Edizzjoni Provviżorja

SENTENZA TAL‑QORTI TAL‑ĠUSTIZZJA (Awla Manja)

16 ta’ Jannar 2024 (*)

“Rinviju għal deċiżjoni preliminari – Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Artikolu 16 TFUE – Regolament (UE) 2016/679 – Artikolu 2(2)(a) – Kamp ta’ applikazzjoni – Esklużjonijiet – Attivitajiet li ma jaqgħux fil-kamp ta’ applikazzjoni tad-dritt tal-Unjoni – Artikolu 4(2) TUE – Attivitajiet relatati mas-sigurtà nazzjonali – Kumitat ta’ inkjesta parlamentari ta’ Stat Membru – Artikolu 23(1)(a) u (h), Artikoli 51 u 55 tar-Regolament (UE) 2016/679 – Kompetenza tal-awtorità ta’ superviżjoni tal-protezzjoni tad-data – Artikolu 77 – Dritt li jitressaq lment quddiem awtorità ta’ superviżjoni – Effett dirett”

Fil-Kawża C‑33/22,

li għandha bħala suġġett talba għal deċiżjoni preliminari skont l-Artikolu 267 TFUE, imressqa mill-Verwaltungsgerichtshof (il-Qorti Amministrattiva, l-Awstrija), permezz ta’ deċiżjoni tal‑14 ta’ Diċembru 2021, li waslet fil-Qorti tal-Ġustizzja fl‑14 ta’ Jannar 2022, fil-kawża

Österreichische Datenschutzbehörde

vs

WK,

fil-preżenza ta’:

Präsident des Nationalrates,

IL‑QORTI TAL‑ĠUSTIZZJA (Awla Manja),

komposta minn K. Lenaerts, President, L. Bay Larsen, Viċi President, K. Jürimäe, C. Lycourgos, E. Regan u N. Piçarra, Presidenti ta’ Awla, M. Ilešič, P. G. Xuereb, L. S. Rossi (Relatriċi), I. Jarukaitis, A. Kumin, N. Jääskinen, N. Wahl, I. Ziemele u J. Passer, Imħallfin,

Avukat Ġenerali: M. Szpunar,

Reġistratur: D. Dittert, Kap ta’ Diviżjoni,

wara li rat il-proċedura bil-miktub u wara s-seduta tas‑6 ta’ Marzu 2023,

wara li kkunsidrat l-osservazzjonijiet ippreżentati:

–        għall-Österreichische Datenschutzbehörde, minn A. Jelinek u M. Schmidl, bħala aġenti,

–        għal WK, minn M. Sommer, Rechtsanwalt,

–        għall-Präsident des Nationalrates, minn C. Neugebauer u R. Posnik, bħala aġenti,

–        għall-Gvern Awstrijak, minn A. Posch, J. Schmoll, S. Dörnhöfer u C. Leeb, bħala aġenti,

–        għall-Gvern Ċek, minn O. Serdula, M. Smolek u J. Vláčil, bħala aġenti,

–        għall-Kummissjoni Ewropea, minn A. Bouchagiar, M. Heller u H. Kranenborg, bħala aġenti,

wara li semgħet il-konklużjonijiet tal-Avukat Ġenerali, ippreżentati fis-seduta tal‑11 ta’ Mejju 2023,

tagħti l-preżenti

Sentenza

1        It-talba għal deċiżjoni preliminari tirrigwarda l-interpretazzjoni tal-ewwel sentenza tal-Artikolu 16(2) TFUE, kif ukoll tal-Artikolu 2(2)(a), l-Artikolu 51(1), l-Artikolu 55(1) u l-Artikolu 77(1) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-“GDPR”).

2        Din it-talba tressqet fil-kuntest ta’ tilwima bejn l-Österreichische Datenschutzbehörde (l-Awtorità għall-Protezzjoni tad-Data, l-Awstrija) (iktar ’il quddiem id-“Datenschutzbehörde”) u WK dwar iċ-ċaħda tal-ilment imressaq minn dan tal-aħħar kontra allegat ksur tad-dritt tiegħu għall-protezzjoni tad-data personali tiegħu.

 Il‑kuntest ġuridiku

 Id‑dritt tal‑Unjoni

3        Il-premessi 16, 20 u 117 tal-GDPR huma fformulati kif ġej:

“(16)      Dan ir-Regolament ma japplikax għal kwistjonijiet ta’ protezzjoni ta’ drittijiet u libertajiet fundamentali jew il-fluss liberu ta’ data personali relatata ma’ attivitajiet li jaqgħu barra l-kamp ta’ applikazzjoni tal-liġi tal-Unjoni, bħal attivitajiet rigward is-sigurtà nazzjonali. Dan ir-Regolament ma japplikax għall-ipproċessar tad-data personali mill-Istati Membri meta jwettqu attivitajiet fir-rigward tal-politika estera u ta’ sigurtà komuni tal-Unjoni.

[...]

(20)      Filwaqt li dan ir-Regolament japplika, inter alia, għall-attivitajiet tal-qrati u awtoritajiet ġudizzjarji oħrajn, il-liġi tal-Unjoni jew ta’ Stat Membru tista’ tispeċifika l-attivitajiet ta’ pproċessar u l-proċeduri ta’ pproċessar b’rabta mal-ipproċessar ta’ data personali minn qrati u awtoritajiet ġudizzjarji oħrajn. Il-kompetenza tal-awtoritajiet superviżorji ma għandhiex tkopri l-ipproċessar ta’ data personali meta l-qrati jkunu qegħdin jaġixxu fil-kapaċità ġudizzjarja tagħhom, sabiex tiġi ssalvagwardjata l-indipendenza tal-ġudikatura fit-twettiq tal-kompiti ġudizzjarji tagħha, inkluż it-teħid ta’ deċiżjonijiet. Is-superviżjoni ta’ tali attivitajiet tal-ipproċessar tad-data għandha tkun tista’ tiġi fdata lil entitajiet speċifiċi fi ħdan is-sistema ġudizzjarja tal-Istat Membru, li għandhom b’mod partikolari jiżguraw il-konformità mar-regoli ta’ dan ir-Regolament, iżidu l-għarfien fost il-membri tal-ġudikatura dwar l-obbligi tagħhom taħt dan ir-Regolament u jittrattaw l-ilmenti b’rabta ma’ tali operazzjonijiet ta’ pproċessar ta’ data.

[...]

(117)      L-istabbiliment ta’ awtoritajiet superviżorji fl-Istati Membri, bis-setgħa li jwettqu l-kompiti tagħhom u jeżerċitaw is-setgħat tagħhom b’indipendenza sħiħa, huwa komponent essenzjali tal-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar tad-data personali tagħhom. L-Istati Membri għandhom ikunu jistgħu jistabbilixxu aktar minn awtorità superviżorja waħda, sabiex jirriflettu l-istruttura kostituzzjonali, organizzattiva u amministrattiva tagħhom.”

4        L-Artikolu 2 tal-GDPR, intitolat “Kamp ta’ applikazzjoni materjali”, jipprevedi:

“1.      Dan ir-Regolament japplika għall-ipproċessar ta’ data personali kompletament jew parzjalment b’mezzi awtomatizzati, u għall-ipproċessar għajr b’mezzi awtomatizzati ta’ data personali li tifforma parti minn sistema ta’ arkivjar jew li tkun maħsuba sabiex tifforma parti minn sistema ta’ arkivjar.

2.      Dan ir-Regolament ma japplikax għall-ipproċessar ta’ data personali:

(a)      matul attività li ma taqax taħt il-kamp ta’ applikazzjoni tal-liġi tal-Unjoni;

(b)      mill-Istati Membri meta jkunu qegħdin iwettqu attivitajiet li jaqgħu taħt il-kamp ta’ applikazzjoni tal-Kapitolu 2 tat-Titolu V tat-TUE;

[...]

(d)      mill-awtoritajiet kompetenti għall-finijiet tal-prevenzjoni, investigazzjoni, sejbien jew prosekuzzjoni ta’ reati kriminali, jew l-eżekuzzjoni ta’ pieni kriminali, inkluż is-salvagwardji kontra u l-prevenzjoni ta’ theddid għas-sigurtà pubblika.

3.      Għall-ipproċessar ta’ data personali mill-istituzzjonijiet, korpi, uffiċċji u aġenziji tal-Unjoni, japplika r-Regolament (KE) Nru 45/2001 [tal-Parlament Ewropew u tal-Kunsill tat‑18 ta’ Diċembru 2000 dwar il-protezzjoni tal-individwi fir-rigward tal-ipproċessar ta’ data personali mill-istituzzjonijiet u l-korpi tal-Komunità u dwar il-movement liberu ta’ dik id-data (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 13, Vol. 26, p. 102, rettifika fil-ĠU 2013, L 298, p. 50)]. Ir-Regolament (KE) Nru 45/2001 u atti legali oħrajn tal-Unjoni applikabbli għal tali pproċessar tad-data personali għandhom jiġu adattati għall-prinċipji u r-regoli ta’ dan ir-Regolament skont l-Artikolu 98.

[...]”

5        L-Artikolu 4 tal-GDPR, intitolat “Definizzjonijiet”, jaqra kif ġej:

“Għall-finijiet ta’ dan ir-Regolament:

[...]

(7)      ‘kontrollur’ tfisser persuna fiżika jew ġuridika, awtorità pubblika, aġenzija jew kwalunkwe korp ieħor li, waħdu jew flimkien ma’ oħrajn, jiddetermina l-għanijiet u l-mezzi tal-ipproċessar ta’ data personali; fejn l-għanijiet u l-mezzi tal-ipproċessar ikunu ddeterminati mil-liġi tal-Unjoni jew ta’ Stat Membru, il-kontrollur jew il-kriterji speċifiċi għall-ħatra tiegħu jistgħu jiġu determinati mil-liġi tal-Unjoni jew ta’ Stat Membru;

[...]”

6        L-Artikolu 23 tar-GDPR, intitolat “Restrizzjonijiet”, jipprovdi, fil-paragrafu 1 tiegħu:

“Il-liġi tal-Unjoni jew ta’ Stat Membru li għaliha jkun soġġett il-kontrollur jew il-proċessur tad-data tista’ tirrestrinġi permezz ta’ miżura leġiżlattiva l-kamp ta’ applikazzjoni tal-obbligi u d-drittijiet previsti fl-Artikoli 12 sa 22 u l-Artikolu 34, kif ukoll l-Artikolu 5 sakemm id-dispożizzjonijiet tiegħu jikkorrispondu mad-drittijiet u l-obbligi previsti fl-Artikoli 12 sa 22, meta tali restrizzjoni tirrispetta l-essenza tad-drittijiet u l-libertajiet fundamentali u hija miżura meħtieġa u proporzjonata f’soċjetà demokratika għas-salvagwardja ta’:

(a)      is-sigurtà nazzjonali;

(b)      id-difiża [nazzjonali];

(c)      is-sigurtà pubblika;

(d)      il-prevenzjoni, l-investigazzjoni, is-sejbien jew il-prosekuzzjoni ta’ reati kriminali jew l-eżekuzzjoni ta’ pieni kriminali, inkluż is-salvagwardji kontra u l-prevenzjoni ta’ theddidiet għas-sigurtà pubblika;

(e)      objettivi importanti oħrajn ta’ interess pubbliku ġenerali tal-Unjoni jew ta’ Stat Membru, b’mod partikolari interess ekonomiku jew finanzjarju importanti tal-Unjoni jew ta’ Stat Membru, inkluż, kwistjonijiet monetarji, baġitarji u fiskali, is-saħħa pubblika u s-sigurtà soċjali;

(f)      il-protezzjoni tal-indipendenza ġudizzjarja u l-proċedimenti ġudizzjarji;

[...]

(h)      funzjoni ta’ monitoraġġ, ispezzjoni jew regolatorja marbuta, anki jekk okkażjonalment, mal-eżerċizzju ta’ awtorità uffiċjali f’każijiet imsemmija fil-punti (a) sa (e) u (g);

(i)      il-protezzjoni tas-suġġett tad-data jew id-drittijiet u l-libertajiet ta’ persuni oħrajn;

[...]”

7        L-Artikolu 51 tal-GDPR, intitolat “Awtorità superviżorja”, jipprevedi, fil-paragrafu 1 tiegħu:

“Kull Stat Membru għandu jipprovdi li awtorità pubblika indipendenti waħda jew aktar ikunu responsabbli għall-monitoraġġ tal-applikazzjoni ta’ dan ir-Regolament, sabiex jiġu protetti d-drittijiet u l-libertajiet fundamentali ta’ persuni fiżiċi b’rabta mal-ipproċessar u biex jiġi ffaċilitat il-fluss liberu ta’ data personali fl-Unjoni (‘awtorità superviżorja’).”

8        L-Artikolu 54 tal-GDPR, intitolat “Regoli dwar l-istabbiliment tal-awtorità superviżorja”, jipprovdi, fil-paragrafu 1 tiegħu:

“Kull Stat Membru għandu jipprevedi bil-liġi għal dawn kollha li ġejjin:

(a)      l-istabbiliment ta’ kull awtorità superviżorja;

[...]”

9        L-Artikolu 55 tal-GDPR, intitolat “Kompetenza”, huwa fformulat kif ġej:

“1.      Kull awtorità superviżorja għandha tkun kompetenti biex twettaq il-kompiti assenjati lilha u l-eżerċizzju tas-setgħat ikkonferiti lilha f’konformità ma’ dan ir-Regolament fit-territorju tal-Istat Membru tagħha stess.

2.      Fejn l-ipproċessar titwettaq minn awtoritajiet pubbliċi jew korpi privati li jaġixxu abbażi tal-punt (c) jew (e) tal-Artikolu 6(1), għandha tkun kompetenti l-awtorità superviżorja tal-Istat Membru kkonċernat. F’tali każijiet ma japplikax l-Artikolu 56.

3.      L-awtoritajiet superviżorji ma għandhomx ikunu kompetenti li jissorveljaw l-attivitajiet ta’ pproċessar ta’ qrati li jaġixxu fil-kapaċità ġudizzjarja tagħhom.”

10      L-Artikolu 77 tal-GDPR, intitolat “Dritt li jitressaq ilment quddiem awtorità superviżorja”, jipprevedi:

“1.      Mingħajr preġudizzju għal kwalunkwe rimedju amministrattiv jew ġudizzjarju ieħor, kull suġġett tad-data għandu d-dritt li jressaq ilment quddiem awtorità superviżorja, b’mod partikolari fl-Istat Membru tar-residenza abitwali tiegħu, il-post tax-xogħol tiegħu jew il-post tal-ksur allegat, jekk is-suġġett tad-data jqis li l-ipproċessar ta’ data personali dwaru jikser dan ir-Regolament.

2.      L-awtorità superviżorja li magħha jkun sar l-ilment għandha tinforma lill-ilmentatur dwar il-progress u l-eżitu tal-ilment inkluża l-possibbiltà ta’ rimedju ġudizzjarju skont l-Artikolu 78.”

 Il‑liġi Awstrijaka

11      L-Artikolu 53 tal-Bundes‑Verfassungsgesetz (il-Liġi Kostituzzjonali Federali) tat‑2 ta’ Jannar 1930 (BGBl. 1/1930), fil-verżjoni tagħha applikabbli għall-fatti tal-kawża prinċipali (iktar ’il quddiem il-“B‑VG”), jipprevedi:

“(1) In-Nationalrat [(l-Assemblea Nazzjonali, l-Awstrija)] tista’ tiddeċiedi li tistabbilixxi kumitati ta’ inkjesta. Barra minn hekk, kumitat ta’ inkjesta għandu jitwaqqaf fuq talba ta’ kwart tal-membri tagħha.

(2)      L-investigazzjoni għandha tirrigwarda attività fil-passat f’qasam li jaqa’ taħt il-poter eżekuttiv fil-livell federali. Dan jinkludi l-attivitajiet kollha tal-korpi federali li permezz tagħhom il-Bund, irrispettivament mill-estent tal-parteċipazzjoni tiegħu, jeżerċita drittijiet ta’ parteċipazzjoni u ta’ sorveljanza. Eżami mill-ġdid tal-ġurisprudenza huwa eskluż.

(3)      Il-korpi kollha tal-Bund, tal-Länder, tal-muniċipalitajiet u tal-gruppi ta’ muniċipalitajiet kif ukoll tal-korpi awtonomi l-oħra għandhom, fuq talba għalhekk, jipproduċu l-fajls u d-dokumenti tagħhom lil kumitat ta’ inkjesta sa fejn dawn jaqgħu fil-kamp ta’ applikazzjoni tal-inkjesta u huma obbligati li jobdu t-talbiet ta’ kumitat ta’ inkjesta fir-rigward tal-ġbir ta’ provi relatati mas-suġġett tal-inkjesta. Dan l-obbligu ma japplikax għall-preżentazzjoni ta’ fajls u ta’ dokumenti li l-iżvelar tagħhom jista’ jikkomprometti s-sorsi fis-sens tal-Artikolu 52(2).

(4)      L-obbligu previst fil-paragrafu 3 ma japplikax inkwantu jiġi affettwat il-proċess legali ta’ formazzjoni tar-rieda tal-Gvern Federali jew ta’ xi wħud mill-membri tiegħu jew il-preparazzjoni immedjata tiegħu.

[…]”

12      Il-B‑VG tipprevedi s-separazzjoni tal-poteri leġiżlattivi, eżekuttivi u ġudizzjarji. Kull ksur ta’ dan il-prinċipju ta’ separazzjoni jeħtieġ bażi kostituzzjonali.

13      L-Artikolu 1(1) tad-Datenschutzgesetz (il-Liġi dwar il-Protezzjoni tad-Data) tas‑17 ta’ Awwissu 1999 (BGBl. I, 165/1999), fil-verżjoni tagħha applikabbli għall-fatti fil-kawża prinċipali (iktar ’il quddiem id-“DSG”), jipprovdi:

“Fid-dawl, b’mod partikolari, tar-rispett tal-ħajja privata u tal-familja tagħha, kull persuna għandha d-dritt għall-kunfidenzjalità tad-data personali li tikkonċernaha, inkwantu jkun hemm interess li jistħoqqlu protezzjoni. Dan l-interess huwa eskluż f’sitwazzjoni fejn id-data ma tagħtix lok għal dritt ta’ kunfidenzjalità minħabba li hija disponibbli b’mod pubbliku jew li huwa impossibbli li s-suġġett tad-data jiġi ttraċċjat minn din id-data.”

14      Skont l-Artikolu 18(1) tad-DSG:

“Id-Datenschutzbehörde hija stabbilita bħala awtorità nazzjonali ta’ superviżjoni skont l-Artikolu 51 tal-GDPR.”

15      L-Artikolu 24(1) tad-DSG huwa fformulat kif ġej:

“(1) Kull suġġett tad-data għandu d-dritt li jressaq lment quddiem id-Datenschutzbehörde jekk is-suġġett tad-data jqis li l-ipproċessar tad-data personali dwaru jikser il-GDPR jew l-Artikolu (1) jew tal-ewwel parti prinċipali tal-Artikolu 2.”

16      L-Artikolu 35 tad-DSG jipprevedi:

“(1)      “L-għan tad-Datenschutzbehörde huwa li tiggarantixxi l-protezzjoni tad-data f’konformità mad-dispożizzjonijiet tal-GDPR u ta’ din il-liġi federali.

(2)      Id-Datenschutzbehörde għandha teżerċita wkoll is-setgħat tagħha fil-konfront tal-korpi supremi tal-poter eżekuttiv msemmija fl-Artikolu 19 tal-B‑VG kif ukoll fil-konfront tal-korpi supremi konformement mad-dispożizzjonijiet tal-Artikolu 30(3) sa (6), tal-Artikoli 125 u 134(8), kif ukoll tal-Artikolu 148h(1) u (2) tal‑B-VG fir-rigward ta’ kwistjonijiet amministrattivi li jaqgħu taħt il-kompetenza tagħhom.”

 Il‑kawża prinċipali u d‑domandi preliminari

17      Permezz ta’ deċiżjoni tal‑20 ta’ April 2018, l-Assemblea Nazzjonali, konformement mal-Artikolu 53 tal-B‑VG, waqqfet kumitat ta’ inkjesta inkarigat sabiex jitfa’ dawl fuq il-possibbiltà ta’ influwenza politika fuq il-Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (l-Uffiċċju Federali għall-Ħarsien tal-Kostituzzjoni u għall-Ġlieda Kontra t-Terroriżmu, l-Awstrija) (iktar ’il quddiem il-“BVT”), li, fl‑1 ta’ Diċembru 2021, ġie ssostitwit bid-Direktion Staatsschutz und Nachrichtendienst (id-Direttorat għas-Sigurtà tal-Istat u għas-Servizzi tal-Informazzjoni, l-Awstrija).

18      Fid‑19 ta’ Settembru 2018, dan il-kumitat ta’ inkjesta (iktar ’il quddiem il-“Kumitat ta’ Inkjesta BVT”) sema’ lil WK bħala xhud waqt smigħ aċċessibbli għar-rappreżentanti tal-midja. Minkejja talba għall-anonimizzazzjoni minn WK, il-minuti ta’ din is-seduta, li fihom kienu ssemmew kunjomu u ismu b’mod sħiħ, ġew ippubblikati fuq is-sit internet tal-Parlament Österreich (il-Parlament Awstrijak).

19      Fit‑2 ta’ April 2019, WK ressaq lment quddiem id-Datenschutzbehörde li fih huwa sostna li l-pubblikazzjoni, kontra r-rieda tiegħu, tal-minuti tal-imsemmija seduta, liema minuti semmew l-identità tiegħu, kienet tmur kontra d-dispożizzjonijiet tal-GDPR u tal-Artikolu 1 tad-DSG. Insostenn tal-ilment tiegħu, huwa spjega li kien jaħdem bħala uffiċjal pajżan fil-grupp ta’ intervent tal-pulizija responsabbli għall-ġlieda kontra d-delinkwenza fit-toroq pubbliċi.

20      Permezz ta’ deċiżjoni tat‑18 ta’ Settembru 2019, id-Datenschutzbehörde ċaħdet dan l-ilment. Hija qieset li, għalkemm il-GDPR ma jżommx, bħala prinċipju, lill-awtoritajiet ta’ superviżjoni milli jissorveljaw lill-korpi leġiżlattivi, kien, madankollu, eskluż, skont il-prinċipju ta’ separazzjoni tal-poteri, li l-poter leġiżlattiv ikun suġġett għas-superviżjoni tal-poter eżekuttiv. F’dawn iċ-ċirkustanzi, u sa fejn il-Kumitat ta’ Inkjesta BVT kien jaqa’ taħt il-poter leġiżlattiv, id-Datenschutzbehörde, li hija korp tal-poter eżekuttiv, ma hijiex awtorizzata tissorvelja l-attività tal-imsemmi kumitat u għalhekk ma għandhiex il-kompetenza sabiex tiddeċiedi dwar l-ilment ta’ WK.

21      Permezz ta’ deċiżjoni tat‑23 ta’ Novembru 2020, il-Bundesverwaltungsgericht (il-Qorti Amministrattiva Federali, l-Awstrija) laqgħet ir-rikors ippreżentat minn WK u annullat id-deċiżjoni tad-Datenschutzbehörde. Hija ddeċidiet, essenzjalment, li l-GDPR japplika għall-atti tal-leġiżlatur u, għalhekk, għal dawk tal-Kumitat ta’ Inkjesta BVT. Fil-fatt, il-kamp ta’ applikazzjoni ratione materiae tal-GDPR, kif iddefinit fl-Artikolu 2(1) tiegħu, huwa maħsub b’mod eżawrjenti u jkopri kull ipproċessar tad-data, indipendentement mill-entità li twettaq l-ipproċessar u mill-funzjoni statali li taħtha taqa’ din l-entità. Barra minn hekk, mill-Artikolu 2(2) tal-GDPR lanqas ma tista’ tiġi dedotta deroga mill-applikabbiltà ta’ dan ir-regolament fir-rigward ta’ ċerti funzjonijiet tal-Istat, bħall-funzjoni leġiżlattiva, peress li d-deroga prevista fil-punt (a) ta’ din id-dispożizzjoni għandha tiġi interpretata b’mod restrittiv. Konsegwentement, skont il-Bundesverwaltungsgericht (il-Qorti Amministrattiva Federali), id-Datenschutzbehörde kienet kompetenti sabiex tiddeċiedi dwar l-ilment ta’ WK, konformement mal-Artikolu 77 tal-imsemmi regolament.

22      Adita mid-Datenschutzbehörde b’rikors għal reviżjoni kontra din id-deċiżjoni tal-Bundesverwaltungsgericht (il-Qorti Amministrattiva Federali), il-Verwaltungsgerichtshof (il-Qorti Amministrattiva, l-Awstrija), li hija l-qorti tar-rinviju f’din il-kawża, tistaqsi, fl-ewwel lok, jekk l-atti ta’ kumitat ta’ inkjesta mwaqqaf mill-parlament ta’ Stat Membru humiex, indipendentement mis-suġġett tal-inkjesta, esklużi mill-kamp ta’ applikazzjoni tal-GDPR skont l-Artikolu 2(2)(a) tiegħu u l-ewwel sentenza tal-Artikolu 16(2) TFUE, minħabba li l-ħidma ta’ tali kumitat tikkostitwixxi, min-natura tagħha, attività li ma taqax fil-kamp ta’ applikazzjoni tad-dritt tal-Unjoni.

23      F’dan il-kuntest, l-imsemmija qorti tirrileva, qabelxejn, li, skont il-ġurisprudenza tal-Qorti tal-Ġustizzja f’dan il-qasam, li tirriżulta, b’mod partikolari, mis-sentenza tad‑9 ta’ Lulju 2020, Land Hessen (C‑272/19, EU:C:2020:535), ma jistax ikun meħtieġ, għall-finijiet tal-applikazzjoni tal-GDPR, li l-ipproċessar ta’ data personali kkonċernat jitwettaq b’mod konkret għal finijiet li jaqgħu taħt id-dritt tal-Unjoni, li jkun transkonfinali jew li jkun jaffettwa b’mod konkret u dirett il-moviment liberu bejn l-Istati Membri. Għall-kuntrarju, l-applikazzjoni ta’ dan ir-regolament tkun eskluża biss jekk, għall-inqas, waħda mill-kundizzjonijiet għall-applikazzjoni tad-deroga tal-Artikolu 2(2)(a) sa (d) tal-imsemmi regolament tkun issodisfatta.

24      F’dan ir-rigward, il-qorti tar-rinviju tfakkar li, skont il-ġurisprudenza tal-Qorti tal-Ġustizzja, l-Artikolu 2(2)(a) tal-GDPR, moqri fid-dawl tal-premessa 16 ta’ dan ir-regolament, għandu jitqies li l-għan uniku tiegħu huwa li jeskludi mill-kamp ta’ applikazzjoni tal-imsemmi regolament l-ipproċessar ta’ data personali mill-awtoritajiet tal-Istat fil-kuntest ta’ attività intiża sabiex tissalvagwardja s-sigurtà nazzjonali jew ta’ attività li tista’ tiġi kklassifikata fl-istess kategorija. L-attivitajiet li għandhom l-għan li jissalvagwardjaw is-sigurtà nazzjonali msemmija fl-Artikolu 2(2)(a) tal-GDPR ikopru, b’mod partikolari, dawk intiżi sabiex jipproteġu l-funzjonijiet essenzjali tal-Istat u l-interessi fundamentali tas-soċjetà (sentenza tat‑22 ta’ Ġunju 2021, Latvijas Republikas Saeima (Punti ta’ penalità), C‑439/19, EU:C:2021:504, punti 62 sa 67 u l-ġurisprudenza ċċitata).

25      Sussegwentement, hija tenfasizza ċerti differenzi bejn il-kumitat parlamentari inkwistjoni fil-kawża li wasslet għas-sentenza tad‑9 ta’ Lulju 2020, Land Hessen (C‑272/19, EU:C:2020:535), jiġifieri l-Kumitat tal-Petizzjonijiet tal-Parlament tal-Land Hessen (il-Land ta’ Hesse, il-Ġermanja), u l-Kumitat ta’ Inkjesta BVT. B’mod partikolari, il-ħidma ta’ dan tal-aħħar ma tikkontribwixxix biss b’mod indirett għall-attività parlamentari, iżda hija fil-qalba ta’ din l-attività, minħabba l-missjoni ta’ superviżjoni mogħtija mill-B‑VG lill-kumitati ta’ inkjesta mwaqqfa mill-Assemblea Nazzjonali.

26      Fl-aħħar nett, il-qorti tar-rinviju tirreferi għall-prinċipju tas-separazzjoni tal-poteri leġiżlattivi, eżekuttivi u ġudizzjarji, prinċipju inerenti kemm għad-dritt ta’ kull Stat Membru kif ukoll għad-dritt tal-Unjoni. Huwa minnu li l-Artikolu 55(3) tal-GDPR sempliċement jeskludi l-kompetenza tal-awtoritajiet ta’ superviżjoni li jissorveljaw l-ipproċessar ta’ data personali mill-qrati fl-eżerċizzju tal-attivitajiet ġudizzjarji tagħhom u ma jkoprix ukoll l-ipproċessar ta’ data mwettaq fil-kuntest tal-qalba tal-attività parlamentari. Dan is-silenzju jista’, madankollu, jiġi spjegat mill-fatt li, għal-leġiżlatur tal-Unjoni, din l-attività tal-aħħar diġà taqa’ barra mill-kamp ta’ applikazzjoni tal-imsemmi regolament skont l-Artikolu 2(2)(a) tiegħu.

27      Fit-tieni lok, il-qorti tar-rinviju tenfasizza li s-suġġett tal-inkjesta tal-Kumitat ta’ Inkjesta BVT jikkonċerna attivitajiet ta’ sigurtà nazzjonali li, fid-dawl tal-premessa 16 tal-GDPR, ma jaqgħux fil-kamp ta’ applikazzjoni tad-dritt tal-Unjoni u huma, għalhekk, esklużi mill-kamp ta’ applikazzjoni ratione materiae ta’ dan ir-regolament, konformement mal-Artikolu 2(2)(a) tiegħu.

28      B’hekk, anki jekk jitqies li l-attività ta’ superviżjoni parlamentari ta’ kumitat ta’ inkjesta taqa’, bħala prinċipju, fil-kamp ta’ applikazzjoni tad-dritt tal-Unjoni, fis-sens tal-Artikolu 16(2) TFUE, ikun għad irid jiġi vverifikat jekk l-attivitajiet tiegħu humiex għall-inqas koperti mill-eċċezzjoni prevista fl-Artikolu 2(2)(a) tal-GDPR, fid-dawl tal-fatt li s-suġġett tal-inkjesta jkun jikkonċerna attivitajiet tal-poter eżekuttiv li, bħal f’dan il-każ, ma jaqgħux fil-kamp ta’ applikazzjoni tad-dritt tal-Unjoni.

29      Fit-tielet lok, il-qorti tar-rinviju tistaqsi jekk, fid-dawl, b’mod partikolari, tal-prinċipju kostituzzjonali ta’ separazzjoni tal-poteri fl-Awstrija, id-Datenschutzbehörde, l-unika awtorità nazzjonali ta’ superviżjoni fis-sens tal-Artikolu 51 tal-GDPR, hijiex kompetenti, abbażi ta’ dan ir-regolament biss, sabiex tiddeċiedi dwar lment bħal dak imressaq minn WK, fl-assenza ta’ kwalunkwe bażi kostituzzjonali fid-dritt nazzjonali li jippermetti li tiġi stabbilita tali kompetenza.

30      Huwa f’dawn iċ-ċirkustanzi li l-Verwaltungsgerichtshof (il-Qorti Amministrattiva) iddeċidiet li tissospendi l-proċeduri quddiemha u li tagħmel lill-Qorti tal-Ġustizzja d-domandi preliminari li ġejjin:

“(1)      L-attivitajiet ta’ kumitat ta’ inkjesta stabbilit minn parlament ta’ Stat Membru fl-eżerċizzju tas-setgħa tiegħu ta’ sorveljanza tal-eżekuttiv jaqgħu fil-kamp ta’ applikazzjoni tad-dritt tal-Unjoni fis-sens tal-ewwel sentenza tal-Artikolu 16(2) TFUE, irrispettivament mis-suġġett tal-inkjesta, b’mod li [l-GDPR] japplika għall-ipproċessar ta’ data personali minn kumitat ta’ inkjesta parlamentari ta’ Stat Membru?

Fil-każ ta’ risposta fl-affermattiv għall-ewwel domanda:

(2)      L-attivitajiet ta’ kumitat ta’ inkjesta stabbilit minn parlament ta’ Stat Membru fl-eżerċizzju tas-setgħa tiegħu ta’ sorveljanza tal-eżekuttiv, li qed jinvestiga l-attivitajiet ta’ awtorità tal-pulizija inkarigata bis-sigurtà tal-Istat, jiġifieri attivitajiet relatati mal-protezzjoni tas-sigurtà nazzjonali fis-sens tal-premessa 16 [tal-GDPR], jaqgħu taħt l-eċċezzjoni fl-Artikolu 2(2)(a) ta’ dan ir-regolament?

Fil-każ ta’ risposta fin-negattiv għat-tieni domanda:

(3)      Jekk, bħal f’dan il-każ, Stat Membru jkun stabbilixxa biss awtorità superviżorja waħda skont l-Artikolu 51(1) [tal-GDPR], il-kompetenza tagħha li tisma’ lmenti, fis-sens tal-Artikolu 77(1) ikkunsidrat flimkien mal-Artikolu 55(1) [tal-GDPR], diġà jirriżulta direttament minn dan ir-regolament?”

 Fuq id‑domandi preliminari

 Fuq l‑ewwel domanda

31      Permezz tal-ewwel domanda tagħha, il-qorti tar-rinviju qiegħda essenzjalment tistaqsi jekk l-ewwel sentenza tal-Artikolu 16(2) TFUE u l-Artikolu 2(2)(a) tal-GDPR għandhomx jiġu interpretati fis-sens li attività, sempliċiment għaliex titwettaq minn kumitat ta’ inkjesta mwaqqaf mill-parlament ta’ Stat Membru fl-eżerċizzju tas-setgħa tiegħu ta’ superviżjoni tal-poter eżekuttiv, taqa’ barra mill-kamp ta’ applikazzjoni tad-dritt tal-Unjoni u, għalhekk, ma japplikax għaliha dan ir-regolament.

32      L-Artikolu 16 TFUE, li jikkostitwixxi l-bażi legali tal-GDPR, jipprevedi, fil-paragrafu 2 tiegħu, li l-Parlament Ewropew u l-Kunsill tal-Unjoni Ewropea għandhom jistabbilixxu r-regoli dwar, b’mod partikolari, il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar tad-data personali mill-Istati Membri fl-eżerċizzju ta’ attivitajiet li jaqgħu fil-kamp ta’ applikazzjoni tad-dritt tal-Unjoni.

33      Konformement ma’ din id-dispożizzjoni, l-Artikolu 2(1) tal-GDPR jagħti definizzjoni wiesgħa ħafna tal-kamp ta’ applikazzjoni ratione materiae tiegħu (sentenza tat‑22 ta’ Ġunju 2021, Latvijas Republikas Saeima (Punti ta’ penalità), C‑439/19, EU:C:2021:504, punt 61). Huwa jipprevedi, fil-fatt, li dan ir-regolament “japplika għall-ipproċessar ta’ data personali kompletament jew parzjalment b’mezzi awtomatizzati, u għall-ipproċessar għajr b’mezzi awtomatizzati ta’ data personali li tifforma parti minn sistema ta’ arkivjar jew li tkun maħsuba sabiex tifforma parti minn sistema ta’ arkivjar”.

34      Barra minn hekk, dan l-istess Artikolu 2 tal-GDPR, fil-paragrafi 2 u 3 tiegħu, jelenka, b’mod eżawrjenti, l-eċċezzjonijiet għar-regola li tiddefinixxi l-kamp ta’ applikazzjoni ratione materiae ta’ dan ir-regolament stabbilit fil-paragrafu 1 tiegħu. B’mod partikolari, l-Artikolu 2(2)(a) tal-imsemmi regolament jippreċiża li dan tal-aħħar ma japplikax għall-ipproċessar tad-data personali “matul attività li taqa’ barra mill-kamp ta’ applikazzjoni tad-dritt tal-Unjoni”.

35      F’dan il-kuntest, il-qorti tar-rinviju tistaqsi dwar jekk ipproċessar ta’ data personali fil-kuntest tal-attività ta’ kumitat ta’ inkjesta mwaqqaf mill-parlament ta’ Stat Membru fl-eżerċizzju tas-setgħa tiegħu ta’ superviżjoni tal-poter eżekuttiv jaqax, fi kwalunkwe każ u indipendentement mis-suġġett tal-inkjesta, taħt l-eċċezzjoni prevista f’din id-dispożizzjoni tal-aħħar.

36      F’dan ir-rigward, għandu jitfakkar li, bla ħsara għall-każijiet imsemmija fl-Artikolu 2(2) u (3) tiegħu, il-GDPR japplika għall-ipproċessar imwettaq kemm mill-persuni privati kif ukoll mill-awtoritajiet pubbliċi (ara, f’dan is-sens, is-sentenza tal‑24 ta’ Marzu 2022, Autoriteit Persoonsgegevens, C‑245/20, EU:C:2022:216, punt 25).

37      Mill-ġurisprudenza tal-Qorti tal-Ġustizzja jirriżulta li l-eċċezzjoni prevista fl-Artikolu 2(2) tal-GDPR għandha tiġi interpretata b’mod strett (sentenza tat‑22 ta’ Ġunju 2021, Latvijas Republikas Saeima (Punti ta’ penalità), C‑439/19, EU:C:2021:504, punt 62 u l-ġurisprudenza ċċitata). F’dan il-kuntest, il-Qorti tal-Ġustizzja diġà kellha l-okkażjoni tippreċiża li l-uniku għan tal-Artikolu 2(2)(a) ta’ dan ir-regolament, moqri fid-dawl tal-premessa 16 tal-imsemmi regolament, huwa li jeskludi mill-kamp ta’ applikazzjoni ta’ dan tal-aħħar l-ipproċessar ta’ data personali mill-awtoritajiet tal-Istat fil-kuntest ta’ attività intiża sabiex tissalvagwardja s-sigurtà nazzjonali jew ta’ attività li tista’ tiġi kklassifikata fl-istess kategorija, b’tali mod li s-sempliċi fatt li attività tkun karatteristika tal-Istat jew ta’ awtorità pubblika ma huwiex biżżejjed sabiex din l-eċċezzjoni tapplika awtomatikament għal tali attività (sentenzi tat‑22 ta’ Ġunju 2021, Latvijas Republikas Saeima (Punti ta’ penalità), C‑439/19, EU:C:2021:504, punt 66 u tal‑20 ta’ Ottubru 2022, Koalitsia “Demokratichna Bulgaria – Obedinenie”, C‑306/21, EU:C:2022:813, punt 39).

38      Din l-interpretazzjoni, li diġà tirriżulta mill-fatt li l-Artikolu 2(1) tal-GDPR ma jagħmilx distinzjoni abbażi tal-identità tal-awtur tal-ipproċessar ikkonċernat, hija kkonfermata mill-punt 7 tal-Artikolu 4 ta’ dan ir-regolament, li jiddefinixxi l-kunċett ta’ “kontrollur” bħala li jirreferi għal “persuna fiżika jew ġuridika, awtorità pubblika, aġenzija jew korp ieħor li waħdu jew flimkien ma’ oħrajn jiddetermina l-finijiet u l-mezzi tal-ipproċessar”.

39      Huwa preċiżament fl-interpretazzjoni ta’ din id-dispożizzjoni tal-aħħar li l-Qorti tal-Ġustizzja ddeċidiet li, sa fejn huwa jiddetermina, waħdu jew flimkien ma’ oħrajn, l-għanijiet u l-mezzi tal-ipproċessar, Kumitat tal-Petizzjonijiet tal-Parlament ta’ Stat Federali ta’ Stat Membru għandu jiġi kklassifikat bħala “kontrollur”, fis-sens ta’ din id-dispożizzjoni, b’tali mod li l-ipproċessar ta’ data personali mwettaq minn tali kumitat jaqa’ fil-kamp ta’ applikazzjoni ta’ dan ir-regolament (sentenza tad‑9 ta’ Lulju 2020, Land Hessen, C‑272/19, EU:C:2020:535, punt 74).

40      Il-fatt, enfasizzat mill-Präsident des Nationalrates (il-President tal-Assemblea Nazzjonali, l-Awstrija), li, għall-kuntrarju tal-Kumitat tal-Petizzjonijiet inkwistjoni fil-kawża li wasslet għas-sentenza tad‑9 ta’ Lulju 2020, Land Hessen (C‑272/19, EU:C:2020:535), li kkontribwixxa biss b’mod indirett għall-attività parlamentari, il-Kumitat ta’ Inkjesta BVT huwa korp li l-attività tiegħu hija, b’mod dirett u esklużiv, ta’ natura parlamentari, ma jimplikax li l-attivitajiet ta’ dan il-kumitat tal-aħħar huma esklużi mill-kamp ta’ applikazzjoni tal-GDPR.

41      Fil-fatt, kif irrileva essenzjalment l-Avukat Ġenerali fil-punt 84 tal-konklużjonijiet tiegħu, l-eċċezzjoni għall-kamp ta’ applikazzjoni tal-GDPR prevista fl-Artikolu 2(2)(a) ta’ dan ir-regolament tirreferi biss għal kategoriji ta’ attivitajiet li, minħabba n-natura tagħhom, ma jaqgħux fil-kamp ta’ applikazzjoni tad-dritt tal-Unjoni, u la tirreferi għal kategoriji ta’ persuni, skont jekk dawn għandhomx natura privata jew pubblika, u lanqas, f’sitwazzjoni fejn il-kontrollur tal-ipproċessar ikun awtorità pubblika, għall-fatt li l-kompiti u l-funzjonijiet ta’ din tal-aħħar jaqgħu b’mod dirett u esklużiv taħt prerogattiva partikolari ta’ awtorità pubblika mingħajr ma din il-prerogattiva tkun marbuta ma’ attività li, fi kwalunkwe każ, ma taqax fil-kamp ta’ applikazzjoni tad-dritt tal-Unjoni.

42      Għaldaqstant, il-fatt li l-ipproċessar ta’ data personali jitwettaq minn kumitat ta’ inkjesta mwaqqaf mill-parlament ta’ Stat Membru fl-eżerċizzju tas-setgħa tiegħu ta’ superviżjoni tal-poter eżekuttiv ma jippermettix, bħala tali, li jiġi stabbilit li dan l-ipproċessar ikun twettaq fil-kuntest ta’ attività li ma taqax fil-kamp ta’ applikazzjoni tad-dritt tal-Unjoni, fis-sens tal-Artikolu 2(2)(a) tal-GDPR.

43      Fid-dawl tal-premess, ir-risposta għall-ewwel domanda għandha tkun li l-ewwel sentenza tal-Artikolu 16(2) TFUE u l-Artikolu 2(2)(a) tal-GDPR għandhom jiġu interpretati fis-sens li attività ma tistax titqies li taqa’ barra mill-kamp ta’ applikazzjoni tad-dritt tal-Unjoni u li, għalhekk, ma japplikax għaliha dan ir-regolament, għas-sempliċi raġuni li hija titwettaq minn kumitat ta’ inkjesta mwaqqaf mill-parlament ta’ Stat Membru fl-eżerċizzju tas-setgħa tiegħu ta’ superviżjoni tal-poter eżekuttiv.

 Fuq it‑tieni domanda

44      Permezz tat-tieni domanda tagħha, il-qorti tar-rinviju qiegħda essenzjalment tistaqsi jekk l-Artikolu 2(2)(a) tal-GDPR, moqri fid-dawl tal-premessa 16 tiegħu, għandux jiġi interpretat fis-sens li ma jistgħux jitqiesu li huma attivitajiet relatati mas-sigurtà nazzjonali li jaqgħu barra mill-kamp ta’ applikazzjoni tad-dritt tal-Unjoni, fis-sens ta’ din id-dispożizzjoni, l-attivitajiet ta’ kumitat ta’ inkjesta mwaqqaf mill-parlament ta’ Stat Membru fl-eżerċizzju tas-setgħa tiegħu ta’ superviżjoni tal-poter eżekuttiv, li għandhom l-għan li jinvestigaw l-attivitajiet ta’ awtorità tal-pulizija għall-protezzjoni tal-Istat minħabba suspett ta’ influwenza politika fuq din l-awtorità.

45      Kif ġie mfakkar fil-punt 37 ta’ din is-sentenza, l-Artikolu 2(2)(a) tal-GDPR għandu jiġi interpretat b’mod strett u l-uniku għan tiegħu huwa li jeskludi mill-kamp ta’ applikazzjoni tal-imsemmi regolament l-ipproċessar ta’ data personali mill-awtoritajiet tal-Istat fil-kuntest ta’ attività intiża sabiex tissalvagwardja s-sigurtà nazzjonali jew ta’ attività li tista’ tiġi kklassifikata fl-istess kategorija.

46      L-attivitajiet li għandhom l-għan li jissalvagwardjaw is-sigurtà nazzjonali fis-sens tal-Artikolu 2(2)(a) tal-GDPR ikopru, b’mod partikolari, dawk li għandhom l-għan li jipproteġu l-funzjonijiet essenzjali tal-Istat u l-interessi fundamentali tas-soċjetà (sentenza tat‑22 ta’ Ġunju 2021, Latvijas Republikas Saeima (Punti ta’ penalità), C‑439/19, EU:C:2021:504, punt 67 u tal‑20 ta’ Ottubru 2022, Koalitsia “Demokratichna Bulgaria – Obedinenie”, C‑306/21, EU:C:2022:813, punt 40).

47      Skont l-Artikolu 4(2) TUE, tali attivitajiet jibqgħu r-responsabbiltà esklużiva tal-Istati Membri (ara, f’dan is-sens, is-sentenza tal‑15 ta’ Lulju 2021, Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, punt 36).

48      F’dan il-każ, mill-proċess li għandha quddiemha l-Qorti tal-Ġustizzja jirriżulta li l-Kumitat ta’ Inkjesta BVT ġie mwaqqaf mill-Assemblea Nazzjonali sabiex tinvestiga l-possibbiltà ta’ influwenza politika fuq il-BVT, li l-missjoni tiegħu matul il-perijodu inkwistjoni fil-kawża prinċipali kienet li jiżgura l-protezzjoni tal-Kostituzzjoni u jiġġieled kontra t-terroriżmu.

49      Il-President tal-Assemblea Nazzjonali u l-Gvern Ċek huma essenzjalment tal-fehma li, peress li l-missjonijiet tal-BVT jinkludu “attivitajiet relatati mas-sigurtà nazzjonali”, l-attivitajiet tiegħu jaqgħu taħt l-eċċezzjoni prevista fl-Artikolu 2(2)(a) tal-GDPR. Issa, l-attivitajiet ta’ kumitat ta’ inkjesta tal-parlament ta’ Stat Membru li jikkonsistu fis-superviżjoni tal-korpi tal-Istat li, bħalma kien il-każ tal-BVT, huma inkarigati li jiżguraw is-sigurtà nazzjonali, jaqgħu wkoll taħt il-kunċett ta’ attivitajiet relatati mas-sigurtà nazzjonali. Fil-fatt, l-għan tal-attività ta’ superviżjoni ta’ tali kumitat ta’ inkjesta huwa li jiġi vverifikat li l-awtoritajiet issorvjelati jiżguraw is-sigurtà nazzjonali kif suppost.

50      F’dan ir-rigward, għandu jiġi rrilevat li, minkejja li huma l-Istati Membri, konformement mal-Artikolu 4(2) TUE, li għandhom jiddefinixxu l-interessi essenzjali tagħhom ta’ sigurtà u li jadottaw il-miżuri xierqa sabiex jiżguraw is-sigurtà interna u esterna tagħhom, is-sempliċi fatt li miżura nazzjonali tkun ittieħdet għall-finijiet tal-protezzjoni tas-sigurtà nazzjonali ma jistax iwassal għall-inapplikabbiltà tad-dritt tal-Unjoni u ma jistax jeżenta lill-Istati Membri mill-osservanza neċessarja ta’ dan id-dritt (ara, f’dan is-sens, is-sentenza tal‑15 ta’ Lulju 2021, Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, punt 40 u l-ġurisprudenza ċċitata).

51      Issa, kif ġie mfakkar fil-punt 41 ta’ din is-sentenza, l-eċċezzjoni prevista fl-Artikolu 2(2)(a) tal-GDPR tirreferi biss għal kategoriji ta’ attivitajiet li, minħabba n-natura tagħhom, ma jaqgħux fil-kamp ta’ applikazzjoni tad-dritt tal-Unjoni u la tirreferi għal kategoriji ta’ persuni, skont jekk dawn għandhomx natura privata jew pubblika, u lanqas, f’sitwazzjoni fejn il-kontrollur tal-ipproċessar ikun awtorità pubblika, għall-fatt li l-kompiti u l-funzjonijiet ta’ din tal-aħħar jaqgħu b’mod dirett u esklużiv taħt prerogattiva partikolari ta’ awtorità pubblika mingħajr ma din il-prerogattiva tkun marbuta ma’ attività li, fi kwalunkwe każ, ma taqax fil-kamp ta’ applikazzjoni tad-dritt tal-Unjoni. F’dan ir-rigward, il-fatt li l-kontrollur tal-ipproċessar huwa awtorità pubblika li l-attività prinċipali tagħha hija li tiżgura s-sigurtà nazzjonali ma huwiex biżżejjed, bħala tali, sabiex jeskludi mill-kamp ta’ applikazzjoni tal-GDPR l-ipproċessar ta’ data personali minn din l-awtorità fil-kuntest tal-attivitajiet l-oħra mwettqa minnha.

52      F’dan il-każ, mill-proċess li għandha quddiemha l-Qorti tal-Ġustizzja jirriżulta li l-kumitat ta’ inkjesta inkwistjoni fil-kawża prinċipali kellu l-għan li jwettaq superviżjoni politika tal-attività tal-BVT minħabba suspett ta’ influwenza politika fuq dan l-organu, mingħajr ma din is-superviżjoni tidher li tikkostitwixxi, bħala tali, attività intiża sabiex tissalvagwardja s-sigurtà nazzjonali jew li tista’ tiġi kklassifikata fl-istess kategorija, fis-sens tal-ġurisprudenza mfakkra fil-punt 45 ta’ din is-sentenza. Dan ifisser li, bla ħsara għal verifika mill-qorti tar-rinviju, din l-attività ma taqax barra mill-kamp ta’ applikazzjoni tal-GDPR skont l-Artikolu 2(2)(a) tiegħu.

53      B’dan premess, kumitat ta’ inkjesta parlamentari bħal dak inkwistjoni fil-kawża prinċipali jista’, fil-kuntest tal-ħidma tiegħu, ikollu aċċess għal informazzjoni, b’mod partikolari għal data personali, li, għal raġunijiet relatati mas-sigurtà nazzjonali, għandha tgawdi minn protezzjoni speċjali, liema protezzjoni tillimita, pereżempju, l-informazzjoni li għandha tiġi pprovduta lis-suġġetti tad-data dwar il-ġbir ta’ din id-data jew anki l-aċċess ta’ dawn l-istess suġġetti għall-imsemmija data.

54      F’dan ir-rigward, l-Artikolu 23 tal-GDPR jipprovdi li jistgħu jiġu stabbiliti restrizzjonijiet, permezz ta’ miżuri leġiżlattivi, għall-obbligi u għad-drittijiet previsti fl-Artikoli 5, 12 sa 22 u 34 tal-GDPR sabiex tiġi żgurata, b’mod partikolari, is-sigurtà nazzjonali jew missjoni ta’ superviżjoni marbuta mal-eżerċizzju tal-awtorità pubblika, b’mod partikolari fil-kuntest tas-sigurtà nazzjonali.

55      B’hekk, ir-rekwiżit ta’ salvagwardja tas-sigurtà nazzjonali jista’ jiġġustifika restrizzjonijiet, permezz ta’ miżuri leġiżlattivi, għall-obbligi u għad-drittijiet li jirriżultaw mill-GDPR, b’mod partikolari fir-rigward tal-ġbir tad-data personali, tal-informazzjoni tas-suġġetti tad-data u tal-aċċess tagħhom għall-imsemmija data jew anki tal-iżvelar tagħha, mingħajr il-kunsens tas-suġġetti tad-data, lil suġġetti oħra li ma humiex il-kontrollur, inkwantu tali restrizzjonijiet jirrispettaw l-essenza tal-libertajiet u tad-drittijiet fundamentali tas-suġġetti tad-data u jikkostitwixxu miżura neċessarja u proporzjonata f’soċjetà demokratika.

56      F’dan il-każ, madankollu, mill-proċess li għandha quddiemha l-Qorti tal-Ġustizzja ma jirriżultax li l-Kumitat ta’ Inkjesta BVT sostna li l-iżvelar tad-data ta’ natura personali ta’ WK, li seħħ fl-okkażjoni tal-pubblikazzjoni fuq is-sit internet tal-Parlament Awstrijak tal-minuti tas-smigħ tiegħu quddiem dan il-kumitat, u mingħajr il-kunsens ta’ dan is-suġġett, kien neċessarju għas-salvagwardja tas-sigurtà nazzjonali u bbażat fuq miżura leġiżlattiva nazzjonali prevista għal dan il-għan. Madankollu, hija l-qorti tar-rinviju li għandha, jekk ikun il-każ, twettaq il-verifiki neċessarji f’dan ir-rigward.

57      Fid-dawl tal-premess, ir-risposta għat-tieni domanda għandha tkun li l-Artikolu 2(2)(a) tal-GDPR, moqri fid-dawl tal-premessa 16 tiegħu, għandu jiġi interpretat fis-sens li l-attivitajiet ta’ kumitat ta’ inkjesta mwaqqaf mill-parlament ta’ Stat Membru fl-eżerċizzju tas-setgħa tiegħu ta’ superviżjoni tal-poter eżekuttiv, li l-għan tiegħu huwa li jinvestiga l-attivitajiet ta’ awtorità tal-pulizija għall-protezzjoni tal-Istat minħabba suspett ta’ influwenza politika fuq din l-awtorità, ma jistgħux, bħala tali, jitqiesu bħala attivitajiet relatati mas-sigurtà nazzjonali li jaqgħu barra mill-kamp ta’ applikazzjoni tad-dritt tal-Unjoni fis-sens ta’ din id-dispożizzjoni.

 Fuq it‑tielet domanda

58      Permezz tat-tielet domanda tagħha, il-qorti tar-rinviju qiegħda essenzjalment tistaqsi jekk l-Artikolu 77(1) u l-Artikolu 55(1) tal-GDPR għandhomx jiġu interpretati fis-sens li, f’sitwazzjoni fejn Stat Membru jkun għażel, konformement mal-Artikolu 51(1) ta’ dan ir-regolament, li jistabbilixxi awtorità ta’ superviżjoni waħda, mingħajr madankollu ma jattribwixxilha l-kompetenza sabiex tissorvelja l-applikazzjoni tal-GDPR minn kumitat ta’ inkjesta mwaqqaf mill-parlament ta’ dan l-Istat Membru fl-eżerċizzju tas-setgħa tiegħu ta’ superviżjoni tal-poter eżekuttiv, dawn id-dispożizzjonijiet jagħtu direttament lil din l-awtorità l-kompetenza sabiex tieħu konjizzjoni ta’ lmenti relatati ma’ pproċessar ta’ data personali mill-imsemmi kumitat ta’ inkjesta.

59      Sabiex tingħata risposta għal din id-domanda, għandu jitfakkar li, skont it-tieni paragrafu tal-Artikolu 288 TFUE, ir-regolament jorbot fl-intier tiegħu u huwa direttament applikabbli fl-Istati Membri kollha.

60      Skont ġurisprudenza stabbilita sew, bis-saħħa ta’ din id-dispożizzjoni u minħabba n-natura stess tar-regolament u l-funzjoni tagħhom fis-sistema tas-sorsi tad-dritt tal-Unjoni, id-dispożizzjonijiet tar-regolamenti għandhom, bħala regola ġenerali, effett immedjat fl-ordinamenti ġuridiċi nazzjonali, mingħajr il-ħtieġa li jittieħdu miżuri ta’ applikazzjoni mill-awtoritajiet nazzjonali (sentenza tal‑15 ta’ Ġunju 2021, Facebook Ireland et, C‑645/19, EU:C:2021:483, punt 110 u l-ġurisprudenza ċċitata).

61      Issa, minn naħa, skont l-Artikolu 77(1) tal-GDPR, kull suġġett tad-data għandu d-dritt li jressaq lment quddiem awtorità ta’ superviżjoni jekk huwa jqis li l-ipproċessar ta’ data personali dwaru jikkostitwixxi ksur ta’ dan ir-regolament. Min-naħa l-oħra, skont l-Artikolu 55(1) tal-imsemmi regolament, kull awtorità ta’ superviżjoni għandha tkun kompetenti sabiex twettaq il-kompiti fdati lilha u teżerċita s-setgħat mogħtija lilha f’konformità ma’ dan l-istess regolament fit-territorju tal-Istat Membru tagħha stess.

62      Mill-formulazzjoni ta’ dawn id-dispożizzjonijiet jirriżulta li, kif irrileva essenzjalment l-Avukat Ġenerali fil-punt 132 tal-konklużjonijiet tiegħu, l-Artikolu 77(1) u l-Artikolu 55(1) tal-GDBR ma jeħtiġux, għall-implimentazzjoni tagħhom, l-adozzjoni ta’ miżuri nazzjonali ta’ applikazzjoni u huma suffiċjentement ċari, preċiżi u inkundizzjonati sabiex ikollhom effett dirett.

63      Dan ifisser li, għalkemm il-GDPR, konformement mal-Artikolu 51(1) tiegħu, jagħti marġni ta’ diskrezzjoni lill-Istati Membri fir-rigward tan-numru ta’ awtoritajiet ta’ superviżjoni li għandhom jiġu stabbiliti, mill-banda l-oħra, huwa jistabbilixxi l-portata tal-kompetenza li dawn l-awtoritajiet, indipendentement min-numru tagħhom, għandu jkollhom sabiex jissorveljaw l-applikazzjoni ta’ dan ir-regolament.

64      B’hekk, kif irrileva, essenzjalment, l-Avukat Ġenerali fil-punt 137 tal-konklużjonijiet tiegħu, fil-każ fejn Stat Membru jagħżel li jistabbilixxi awtorità ta’ superviżjoni waħda, din għandha neċessarjament ikollha l-kompetenzi kollha li l-GDPR jagħti lill-awtoritajiet ta’ superviżjoni.

65      Kwalunkwe interpretazzjoni oħra ċċaħħad lill-Artikolu 55(1) u lill-Artikolu 77(1) tal-GDPR mill-effett utli tagħhom u tirriskja li ddgħajjef l-effett utli tad-dispożizzjonijiet l-oħra kollha ta’ dan ir-regolament li jistgħu jkunu s-suġġett ta’ lment.

66      Mill-bqija, f’sitwazzjoni fejn il-leġiżlatur tal-Unjoni ried jillimita l-kompetenza tal-awtoritajiet ta’ superviżjoni fil-qasam tas-superviżjoni tal-operazzjonijiet ta’ pproċessar minn awtoritajiet pubbliċi, huwa għamel dan b’mod espliċitu, kif jixhed l-Artikolu 55(3) tal-GDPR, li jipprovdi li dawn l-awtoritajiet ma humiex kompetenti sabiex jissorveljaw l-operazzjonijiet ta’ pproċessar imwettqa mill-qrati fl-eżerċizzju tal-funzjoni ġudizzjarja tagħhom.

67      Id-Datenschutzbehörde, il-President tal-Assemblea Nazzjonali u l-Gvern Awstrijak josservaw li d-dispożizzjonijiet tad-dritt Awstrijak ta’ livell kostituzzjonali jipprojbixxu lill-poter eżekuttiv milli jwettaq kwalunkwe superviżjoni fir-rigward tal-poter leġiżlattiv. Dawn id-dispożizzjonijiet jeskludu għalhekk il-possibbiltà għad-Datenschutzbehörde, li tiddependi mill-poter eżekuttiv, li tissorvelja l-applikazzjoni tal-GDPR mill-Kumitat ta’ Inkjesta BVT, li huwa korp li jaqa’ taħt il-poter leġiżlattiv.

68      Madankollu, f’dan il-każ, huwa preċiżament b’osservanza tal-istruttura kostituzzjonali tal-Istati Membri li l-Artikolu 51(1) tal-GDPR sempliċement jeżiġi li l-Istati Membri jistabbilixxu, għall-inqas, awtorità ta’ superviżjoni waħda, filwaqt li jagħtihom il-possibbiltà li jistabbilixxu diversi awtoritajiet ta’ superviżjoni. Barra minn hekk, il-premessa 117 ta’ dan ir-regolament tiddikjara li l-Istati Membri għandhom ikunu jistgħu jistabbilixxu aktar minn awtorità ta’ superviżjoni waħda, sabiex jirriflettu l-istruttura kostituzzjonali, organizzattiva u amministrattiva tagħhom.

69      L-Artikolu 51(1) tal-GDPR jagħti għalhekk lil kull Stat Membru marġni ta’ diskrezzjoni li tippermettilu jistabbilixxi daqstant awtoritajiet ta’ superviżjoni daqskemm jeħtieġu, b’mod partikolari, ir-rekwiżiti relatati mal-istruttura kostituzzjonali tiegħu.

70      Barra minn hekk, għandu jitfakkar li l-fatt li Stat Membru jinvoka dispożizzjonijiet tad-dritt nazzjonali ma jistax jqiegħed f’perikolu l-unità u l-effettività tad-dritt tal-Unjoni. Fil-fatt, l-effetti marbuta mal-prinċipju ta’ supremazija tad-dritt tal-Unjoni jorbtu lill-korpi kollha ta’ Stat Membru, mingħajr, b’mod partikolari, ma d-dispożizzjonijiet interni, inkluż dawk ta’ natura kostituzzjonali, jistgħu jostakolaw dan il-prinċipju (sentenza tat‑22 ta’ Frar 2022, RS (Effett tas-sentenzi ta’ qorti kostituzzjonali), C‑430/21, EU:C:2022:99, punt 51 u l-ġurisprudenza ċċitata).

71      Peress li, fil-kuntest tal-marġni ta’ diskrezzjoni tiegħu, Stat Membru għażel li jistabbilixxi awtorità ta’ superviżjoni waħda, huwa ma jistax jinvoka dispożizzjonijiet tad-dritt nazzjonali, anki jekk ta’ natura kostituzzjonali, sabiex jeżenta mis-superviżjoni ta’ din l-awtorità l-ipproċessar ta’ data personali li jaqa’ fil-kamp ta’ applikazzjoni tal-GDPR.

72      Fid-dawl tal-premess, ir-risposta għat-tielet domanda għandha tkun li l-Artikolu 77(1) u l-Artikolu 55(1) tal-GDPR għandhom jiġu interpretati fis-sens li, f’sitwazzjoni fejn Stat Membru jkun għażel, konformement mal-Artikolu 51(1) ta’ dan ir-regolament, li jistabbilixxi awtorità ta’ superviżjoni waħda, mingħajr madankollu ma jattribwixxilha l-kompetenza sabiex tissorvelja l-applikazzjoni tal-imsemmi regolament minn kumitat ta’ inkjesta mwaqqaf mill-parlament ta’ dan l-Istat Membru fl-eżerċizzju tas-setgħa tiegħu ta’ superviżjoni tal-poter eżekuttiv, dawn id-dispożizzjonijiet jagħtu direttament lil din l-awtorità l-kompetenza sabiex tieħu konjizzjoni ta’ lmenti dwar l-ipproċessar ta’ data personali mill-imsemmi kumitat ta’ inkjesta.

 Fuq l‑ispejjeż

73      Peress li l-proċedura għandha, fir-rigward tal-partijiet fil-kawża prinċipali, in-natura ta’ kwistjoni mqajma quddiem il-qorti tar-rinviju, hija dik il-qorti li għandha tiddeċiedi fuq l-ispejjeż. L-ispejjeż sostnuti għas-sottomissjoni tal-osservazzjonijiet lill-Qorti tal-Ġustizzja, barra dawk tal-imsemmija partijiet, ma jistgħux jitħallsu lura.

Għal dawn il-motivi, Il-Qorti tal-Ġustizzja (Awla Manja) taqta’ u tiddeċiedi:

1)      L-ewwel sentenza tal-Artikolu 16(2) TFUE u l-Artikolu 2(2)(a) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data),

għandhom jiġu interpretati fis-sens li:

attività ma tistax titqies li taqa’ barra mill-kamp ta’ applikazzjoni tad-dritt tal-Unjoni u li, għalhekk, ma japplikax għaliha dan ir-regolament, għas-sempliċi raġuni li hija titwettaq minn kumitat ta’ inkjesta mwaqqaf mill-parlament ta’ Stat Membru fl-eżerċizzju tas-setgħa tiegħu ta’ superviżjoni tal-poter eżekuttiv.

2)      L-Artikolu 2(2)(a) tar-Regolament 2016/679, moqri fid-dawl tal-premessa 16 ta’ dan ir-regolament,

għandu jiġi interpretat fis-sens li:

l-attivitajiet ta’ kumitat ta’ inkjesta mwaqqaf mill-parlament ta’ Stat Membru fl-eżerċizzju tas-setgħa tiegħu ta’ superviżjoni tal-poter eżekuttiv, li l-għan tiegħu huwa li jinvestiga l-attivitajiet ta’ awtorità tal-pulizija għall-protezzjoni tal-Istat minħabba suspett ta’ influwenza politika fuq din l-awtorità, ma jistgħux, bħala tali, jitqiesu bħala attivitajiet relatati mas-sigurtà nazzjonali li jaqgħu barra mill-kamp ta’ applikazzjoni tad-dritt tal-Unjoni fis-sens ta’ din id-dispożizzjoni.

3)      L-Artikolu 77(1) u l-Artikolu 55(1) tar-Regolament 2016/679

għandhom jiġu interpretati fis-sens li:

f’sitwazzjoni fejn Stat Membru jkun għażel, konformement mal-Artikolu 51(1) ta’ dan ir-regolament, li jistabbilixxi awtorità ta’ superviżjoni waħda, mingħajr madankollu ma jattribwixxilha l-kompetenza sabiex tissorvelja l-applikazzjoni tal-imsemmi regolament minn kumitat ta’ inkjesta mwaqqaf mill-parlament ta’ dan l-Istat Membru fl-eżerċizzju tas-setgħa tiegħu ta’ superviżjoni tal-poter eżekuttiv, dawn id-dispożizzjonijiet jagħtu direttament lil din l-awtorità l-kompetenza sabiex tieħu konjizzjoni ta’ lmenti dwar l-ipproċessar ta’ data personali mill-imsemmi kumitat ta’ inkjesta.

Firem

*      Lingwa tal-kawża: il-Ġermaniż.