–

za Österreichische Datenschutzbehörde A. Jelinek in M. Schmidl, agenta,

–

za WK M. Sommer, Rechtsanwalt,

–

za Präsident des Nationalrates C. Neugebauer in R. Posnik, agentki,

–

za avstrijsko vlado A. Posch, J. Schmoll, S. Dörnhöfer in C. Leeb, agenti,

–

za češko vlado O. Serdula, M. Smolek in J. Vláčil, agenti,

–

za Evropsko komisijo A. Bouchagiar, M. Heller in H. Kranenborg, agenti,

1

Predlog za sprejetje predhodne odločbe se nanaša na razlago člena 16(2), prvi stavek, PDEU ter člena 2(2)(a), člena 51(1), člena 55(1) in člena 77(1) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, in popravek v UL 2018, L 127, str. 2, v nadaljevanju: SUVP).

2

Ta predlog je bil vložen v okviru spora med Österreichische Datenschutzbehörde (organ za varstvo podatkov, Avstrija) (v nadaljevanju: Datenschutzbehörde) in WK zaradi zavrnitve pritožbe, ki jo je WK vložil zoper zatrjevano kršitev svoje pravice do varstva osebnih podatkov.

3

V uvodnih izjavah 16, 20 in 117 SUVP je navedeno:

[…]

[…]

4

Člen 2 SUVP, naslovljen „Področje uporabe“, določa:

„1.   Ta uredba se uporablja za obdelavo osebnih podatkov, ki se v celoti ali delno izvaja z avtomatiziranimi sredstvi, in za obdelavo osebnih podatkov, ki so del zbirke ali so namenjeni oblikovanju dela zbirke, ki se ne izvaja z avtomatiziranimi sredstvi.

2.   Ta uredba se ne uporablja za obdelavo osebnih podatkov:

[…]

3.   Za obdelavo osebnih podatkov s strani institucij, organov, uradov in agencij Unije se uporablja Uredba (ES) št. 45/2001 [Evropskega parlamenta in Sveta z dne 18. decembra 2000 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah in organih Skupnosti in o prostem pretoku takih podatkov (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 30, str. 102)]. Uredba (ES) št. 45/2001 in drugi pravni akti Unije, ki se uporabljajo za tako obdelavo osebnih podatkov, se prilagodijo načelom in pravilom iz te uredbe v skladu s členom 98.

[…]“

5

Člen 4 SUVP, naslovljen „Opredelitev pojmov“, določa:

„V tej uredbi:

[…]

[…].“

6

Člen 23 SUVP, naslovljen „Omejitve“, v odstavku 1 določa:

„Pravo Unije ali pravo države članice, ki velja za upravljavca ali obdelovalca podatkov, lahko z zakonodajnim ukrepom omeji obseg obveznosti in pravic iz členov 12 do 22 in člena 34, pa tudi člena 5, kolikor njegove določbe ustrezajo pravicam in obveznostim iz členov 12 do 22, če taka omejitev spoštuje bistvo temeljnih pravic in svoboščin ter je potreben in sorazmeren ukrep v demokratični družbi za zagotavljanje:

[…]

[…].“

7

Člen 51 SUVP, naslovljen „Nadzorni organ“, v odstavku 1 določa:

„Vsaka država članica zagotovi enega ali več neodvisnih javnih organov, ki so pristojni za spremljanje uporabe te uredbe, da se zaščitijo temeljne pravice in svoboščine posameznikov v zvezi z obdelavo ter olajša prost pretok osebnih podatkov v Uniji (v nadaljnjem besedilu: nadzorni organ).“

8

Člen 54 SUVP, naslovljen „Pravila o ustanovitvi nadzornega organa“, v odstavku 1 določa:

„Vsaka država članica z zakonom določi vse naslednje:

[…].“

9

Člen 55 SUVP, naslovljen „Pristojnost“, določa:

„1.   Vsak nadzorni organ je na ozemlju svoje države članice pristojen za opravljanje dodeljenih nalog in izvajanje prenesenih pooblastil v skladu s to uredbo.

2.   Kadar obdelavo izvajajo javni organi ali zasebna telesa, ki delujejo na podlagi točke (c) ali (e) člena 6(1), je pristojen nadzorni organ zadevne države članice. V takih primerih se člen 56 ne uporablja.

3.   Nadzorni organi niso pristojni za nadzor dejanj obdelave sodišč, kadar delujejo kot sodni organ.“

10

Člen 77 SUVP, naslovljen „Pravica do vložitve pritožbe pri nadzornem organu“, določa:

„1.   Brez poseganja v katero koli drugo upravno ali pravno sredstvo ima vsak posameznik, na katerega se nanašajo osebni podatki, pravico, da vloži pritožbo pri nadzornem organu, zlasti v državi članici, v kateri ima običajno prebivališče, v kateri je njegov kraj dela ali v kateri je domnevno prišlo do kršitve, če meni, da obdelava osebnih podatkov v zvezi z njim krši to uredbo.

2.   Nadzorni organ, pri katerem je vložena pritožba, obvesti pritožnika o stanju zadeve in odločitvi o pritožbi, vključno z možnostjo pravnega sredstva na podlagi člena 78.“

11

Člen 53 Bundes-Verfassungsgesetz (zvezni ustavni zakon), ponovno objavljen 2. januarja 1930 (BGBl. 1/1930), v različici, ki se uporablja za dejansko stanje v postopku v glavni stvari (v nadaljevanju: B-VG), določa:

„(1) Nationalrat [(državni svet, Avstrija)] lahko odloči, da se ustanovijo preiskovalne komisije. Poleg tega se preiskovalna komisija ustanovi na zahtevo četrtine njegovih članov.

(2) Preiskava se nanaša na pretekle dejavnosti na področju, za katero je pristojna izvršilna veja oblasti na zvezni ravni. To vključuje vse dejavnosti zveznih organov, prek katerih Bund [(zvezna država, Avstrija)], neodvisno od obsega svoje udeležbe, izvršuje pravice do sodelovanja in nadzora. Revidiranje sodne prakse je izključeno.

(3) Vsi organi zvezne države, Länder [(zvezne dežele)], občin in združenj občin ter drugi neodvisni organi morajo na zahtevo predložiti svoje spise in dokumente preiskovalni komisiji, če so ti zajeti s predmetom preiskave, in morajo pristati na zahteve preiskovalne komisije, katerih namen je zbrati dokaze v zvezi s predmetom preiskave. Ta obveznost ne velja za predložitev spisov in dokumentov, katerih razkritje bi lahko ogrozilo vire v smislu člena 52a(2).

(4) Obveznost iz odstavka 3 se ne uporablja, če bi to vplivalo na zakonit postopek odločanja zvezne vlade ali nekaterih njenih članov oziroma na neposredno pripravo za tako odločanje.

[…]“

12

B-VG določa delitev oblasti na zakonodajno, izvršilno in sodno. Za vsak poseg v to načelo delitve oblasti je potrebna ustavna podlaga.

13

Člen 1(1) Datenschutzgesetz (zakon o varstvu podatkov) z dne 17. avgusta 1999 (BGBl. I, 165/1999) v različici, ki se uporablja za dejansko stanje v postopku v glavni stvari (v nadaljevanju: DSG), določa:

„Vsakdo ima, zlasti tudi ob upoštevanju spoštovanja svojega zasebnega in družinskega življenja, pravico do zaupnosti osebnih podatkov, ki se nanašajo nanj, če za to obstaja upravičen interes. Ta interes je izključen, kadar podatki ne dajejo pravice do zaupnosti, ker so javno dostopni ali ker na podlagi teh podatkov ni mogoče ugotoviti, da gre za posameznika, na katerega se nanašajo osebni podatki.“

14

Člen 18(1) DSG določa:

„Datenschutzbehörde se ustanovi kot nacionalni nadzorni organ v skladu s členom 51 SUVP.“

15

Člen 24(1) DSG določa:

„Vsak posameznik, na katerega se nanašajo osebni podatki, ima pravico do vložitve pritožbe pri Datenschutzbehörde, če meni, da obdelava osebnih podatkov v zvezi z njim pomeni kršitev SUVP ali člena 1 oziroma člena 2, prvi glavni del.“

16

Člen 35 DSG določa:

„(1) Naloga Datenschutzbehörde je zagotavljati varstvo podatkov v skladu z določbami SUVP in tega zveznega zakona.

(2) Datenschutzbehörde prav tako izvaja svoja pooblastila v razmerju do najvišjih organov izvršilne oblasti iz člena 19 B-VG in do najvišjih organov v skladu z določbami člena 30, od (3) do (6), člena 125 in člena 134(8) ter člena 148h(1) in (2) B-VG v zvezi z upravnimi zadevami, ki spadajo v njihovo pristojnost.“

17

Državni svet je s sklepom z dne 20. aprila 2018 v skladu s členom 53 B-VG ustanovil preiskovalno komisijo, zadolženo za razjasnitev obstoja morebitnega političnega vpliva na Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (zvezni urad za varstvo ustave in boj proti terorizmu, Avstrija) (v nadaljevanju: BVT), ki ga je 1. decembra 2021 nasledil Direktion Staatsschutz und Nachrichtendienst (direktorat za državno varnost in obveščevalne službe, Avstrija).

18

Ta preiskovalna komisija (v nadaljevanju: preiskovalna komisija v zvezi z BVT) je 19. septembra 2018 zaslišala WK kot pričo na zaslišanju, dostopnem predstavnikom medijev. Kljub zahtevi za anonimizacijo, ki jo je vložil WK, je bil zapisnik tega zaslišanja, v katerem so bili navedeni njegovi popolni priimek in imena, objavljen na spletnem mestu Parlament Österreich (avstrijski parlament).

19

WK je 2. aprila 2019 pri Datenschutzbehörde vložil pritožbo, v kateri je trdil, da je objava zapisnika navedenega zaslišanja proti njegovi volji z navedbo njegove identitete v nasprotju z določbami SUVP in členom 1 DSG. V utemeljitev svoje pritožbe je pojasnil, da dela kot policist pod krinko v policijski operativni skupini, zadolženi za boj proti uličnemu prestopništvu.

20

Datenschutzbehörde je z odločbo z dne 18. septembra 2019 to pritožbo zavrnil. Menil je, da SUVP sicer načeloma ne preprečuje nadzora nadzornih organov nad zakonodajnimi organi, vendar je na podlagi načela delitve oblasti izključeno, da bi izvršilna oblast izvajala nadzor nad zakonodajno oblastjo. V teh okoliščinah in ker je preiskovalna komisija v zvezi z BVT spadala pod zakonodajno oblast, naj Datenschutzbehörde, ki je organ izvršilne oblasti, ne bi bil pooblaščen za nadzor nad dejavnostjo navedene komisije in naj torej ne bi bil pristojen za odločanje o pritožbi WK.

21

Bundesverwaltungsgericht (zvezno upravno sodišče, Avstrija) je z odločbo z dne 23. novembra 2020 ugodilo pravnemu sredstvu, ki ga je vložil WK, in odločbo Datenschutzbehörde odpravilo. V bistvu je razsodilo, da se SUVP uporablja za dejanja zakonodajalca in torej za dejanja preiskovalne komisije v zvezi z BVT. Stvarno področje uporabe SUVP, kot je opredeljeno v njenem členu 2(1), naj bi bilo namreč zasnovano izčrpno in naj bi se nanašalo na vse obdelave podatkov, ne glede na subjekt, ki izvaja obdelavo, in državno funkcijo, ki jo ta subjekt opravlja. Poleg tega naj iz člena 2(2) SUVP prav tako ne bi bilo mogoče sklepati o odstopanju od uporabe te uredbe za nekatere državne funkcije, kot je zakonodajna funkcija, saj naj bi bilo treba odstopanje iz točke (a) te določbe razlagati ozko. Zato je bil po mnenju Bundesverwaltungsgericht (zvezno upravno sodišče) Datenschutzbehörde v skladu s členom 77 navedene uredbe pristojen za odločanje o pritožbi WK.

22

Verwaltungsgerichtshof (vrhovno upravno sodišče, Avstrija), pri katerem je Datenschutzbehörde vložil revizijo zoper to odločbo Bundesverwaltungsgericht (zvezno upravno sodišče) in ki je predložitveno sodišče v tej zadevi, se sprašuje, na prvem mestu, ali so dejanja preiskovalne komisije, ki jo ustanovi parlament države članice, ne glede na predmet preiskave, izključena s področja uporabe SUVP – in sicer na podlagi člena 2(2)(a) te uredbe in člena 16(2), prvi stavek, PDEU – ker je delo take komisije po naravi dejavnost, ki ne spada na področje uporabe prava Unije.

23

V tem okviru navedeno sodišče najprej izpostavlja, da v skladu s sodno prakso Sodišča na tem področju, ki izhaja zlasti iz sodbe z dne 9. julija 2020, Land Hessen (C‑272/19, EU:C:2020:535), za uporabo SUVP ni mogoče zahtevati, da se zadevna obdelava osebnih podatkov konkretno izvaja za namene, ki so zajeti s pravom Unije, da je čezmejna ali da konkretno in neposredno vpliva na prosti pretok med državami članicami. Uporaba te uredbe naj bi bila, nasprotno, izključena le, če je izpolnjen vsaj eden od pogojev za uporabo odstopanja iz člena 2(2), od (a) do (d), navedene uredbe.

24

V zvezi s tem predložitveno sodišče opozarja, da je treba v skladu s sodno prakso Sodišča za člen 2(2)(a) SUVP v povezavi z uvodno izjavo 16 te uredbe šteti, da je njegov edini cilj to, da se s področja uporabe navedene uredbe izključijo obdelave osebnih podatkov, ki jih izvajajo državni organi v okviru dejavnosti, namenjene ohranjanju nacionalne varnosti, ali dejavnosti, ki jo je mogoče uvrstiti v isto kategorijo. Dejavnosti, katerih cilj je ohranjanje nacionalne varnosti in na katere se nanaša člen 2(2)(a) SUVP, naj bi zajemale zlasti dejavnosti, katerih cilj je zaščita bistvenih funkcij države in temeljnih interesov družbe (sodba z dne 22. junija 2021, Latvijas Republikas Saeima (Kazenske točke), C‑439/19, EU:C:2021:504, točke od 62 do 67 in navedena sodna praksa).

25

Dalje, navedeno sodišče poudarja nekatere razlike med parlamentarnim odborom, obravnavanim v zadevi, v kateri je bila izdana sodba z dne 9. julija 2020, Land Hessen (C‑272/19, EU:C:2020:535), in sicer odborom za peticije parlamenta Land Hessen (dežela Hessen, Nemčija), in preiskovalno komisijo v zvezi z BVT. Natančneje, delo te komisije naj ne bi le posredno prispevalo k parlamentarni dejavnosti, ampak naj bi bilo v središču te dejavnosti zaradi nadzora, ki ga v skladu z B-VG lahko izvajajo preiskovalne komisije, ki jih ustanovi državni svet.

26

Nazadnje, predložitveno sodišče se sklicuje na načelo delitve oblasti na zakonodajno, izvršilno in sodno oblast, ki je značilno za pravo vsake države članice in za pravo Unije. Res je, da naj bi bila s členom 55(3) SUVP zgolj izključena pristojnost nadzornih organov za nadzor nad obdelavo osebnih podatkov, ki jo izvajajo sodišča pri opravljanju svojih sodnih dejavnosti, in da naj se ta člen ne bi nanašal na obdelavo podatkov, ki se izvaja v okviru osrednjega področja parlamentarne dejavnosti. Vendar naj bi bilo mogoče to nenanašanje pojasniti s tem, da za zakonodajalca Unije zadnjenavedena dejavnost na področje uporabe navedene uredbe ne spada že na podlagi njenega člena 2(2)(a).

27

Na drugem mestu, predložitveno sodišče poudarja, da se predmet preiskave preiskovalne komisije v zvezi z BVT nanaša na dejavnosti, povezane z nacionalno varnostjo, ki glede na uvodno izjavo 16 SUVP ne spadajo na področje uporabe prava Unije in so torej izključene s stvarnega področja uporabe te uredbe v skladu z njenim členom 2(2)(a).

28

Tako naj bi bilo treba ob predpostavki, da dejavnost parlamentarnega nadzora, ki jo izvaja preiskovalna komisija, načeloma spada na področje uporabe prava Unije v smislu člena 16(2) PDEU, preveriti še, ali so dejavnosti te komisije zajete vsaj z izjemo iz člena 2(2)(a) SUVP, in sicer ob upoštevanju okoliščine, da se predmet preiskave nanaša na dejavnosti izvršilne oblasti, ki – tako kot v obravnavani zadevi – ne spadajo na področje uporabe prava Unije.

29

Na tretjem mestu, predložitveno sodišče se sprašuje, ali je ob upoštevanju zlasti ustavnega načela delitve oblasti, ki velja v Avstriji, Datenschutzbehörde, ki je edini nacionalni nadzorni organ v smislu člena 51 SUVP, že zgolj na podlagi te uredbe pristojen za odločanje o pritožbi, kakršna je ta, ki jo je vložil WK, če v nacionalnem pravu ni nobene ustavne podlage, ki bi omogočala določitev take pristojnosti.

30

V teh okoliščinah je Verwaltungsgerichtshof (vrhovno upravno sodišče) prekinilo odločanje in Sodišču v predhodno odločanje predložilo ta vprašanja:

Če je odgovor na prvo vprašanje pritrdilen:

Če je odgovor na drugo vprašanje nikalen:

31

Predložitveno sodišče s prvim vprašanjem v bistvu sprašuje, ali je treba člen 16(2), prvi stavek, PDEU in člen 2(2)(a) SUVP razlagati tako, da dejavnost zgolj zato, ker jo opravlja preiskovalna komisija, ki jo je ustanovil parlament države članice zaradi izvajanja svoje pristojnosti nadzora nad izvršilno oblastjo, ne spada na področje uporabe prava Unije in se zato zanjo ta uredba ne uporablja.

32

Člen 16 PDEU, ki je pravna podlaga SUVP, v odstavku 2 določa, da Evropski parlament in Svet Evropske unije določita pravila med drugim o varstvu posameznikov pri obdelavi osebnih podatkov s strani držav članic v okviru dejavnosti s področja uporabe prava Unije.

33

V skladu s to določbo člen 2(1) SUVP vsebuje zelo široko opredelitev stvarnega področja uporabe te uredbe (sodba z dne 22. junija 2021, Latvijas Republikas Saeima (Kazenske točke), C‑439/19, EU:C:2021:504, točka 61). Določa namreč, da se ta uredba „uporablja za obdelavo osebnih podatkov, ki se v celoti ali delno izvaja z avtomatiziranimi sredstvi, in za obdelavo osebnih podatkov, ki so del zbirke ali so namenjeni oblikovanju dela zbirke, ki se ne izvaja z avtomatiziranimi sredstvi“.

34

Poleg tega ta člen 2 SUVP v odstavkih 2 in 3 izčrpno določa izjeme od pravila o opredelitvi stvarnega področja uporabe te uredbe, ki je določeno v odstavku 1 tega člena. Natančneje, v členu 2(2)(a) navedene uredbe je pojasnjeno, da se ta uredba ne uporablja za obdelavo osebnih podatkov „v okviru dejavnosti zunaj področja uporabe prava Unije“.

35

V tem kontekstu se predložitveno sodišče sprašuje, ali je obdelava osebnih podatkov, ki spada v okvir dejavnosti preiskovalne komisije, ki jo ustanovi parlament države članice zaradi izvajanja svoje pristojnosti nadzora nad izvršilno oblastjo, v vsakem primeru in neodvisno od predmeta preiskave zajeta z izjemo iz zadnjenavedene določbe.

36

V zvezi s tem je treba opozoriti, da se SUVP, razen v primerih, navedenih v njenem členu 2(2) in (3), uporablja za obdelavo, ki jo izvajajo tako posamezniki kot javni organi (glej v tem smislu sodbo z dne 24. marca 2022, Autoriteit Persoonsgegevens, C‑245/20, EU:C:2022:216, točka 25).

37

Iz sodne prakse Sodišča je razvidno, da je treba izjemo iz člena 2(2) SUVP razlagati ozko (sodba z dne 22. junija 2021, Latvijas Republikas Saeima (Kazenske točke), C‑439/19, EU:C:2021:504, točka 62 in navedena sodna praksa). V tem okviru je Sodišče že pojasnilo, da je edini namen člena 2(2)(a) SUVP v povezavi z uvodno izjavo 16 te uredbe izključiti s področja uporabe navedene uredbe obdelave osebnih podatkov, ki jih izvajajo državni organi v okviru dejavnosti, katere namen je ohranjanje nacionalne varnosti, ali v okviru dejavnosti, ki jo je mogoče razvrstiti v isto kategorijo, tako da zgolj dejstvo, da je dejavnost značilna za državo ali državni organ, ne zadostuje za samodejno uporabo te izjeme za takšno dejavnost (sodbi z dne 22. junija 2021, Latvijas Republikas Saeima (Kazenske točke), C‑439/19, EU:C:2021:504, točka 66, in z dne 20. oktobra 2022, KoalitsiaDemokratichna Bulgaria – Obedinenie, C‑306/21, EU:C:2022:813, točka 39).

38

Ta razlaga, ki izhaja že iz okoliščine, da člen 2(1) SUVP ne določa razlikovanja glede na identiteto avtorja zadevne obdelave, je potrjena s členom 4, točka 7, te uredbe, v katerem je pojem „upravljavec“ opredeljen kot „fizična ali pravna oseba, javni organ, agencija ali drugo telo, ki sam ali skupaj z drugimi določa namene in sredstva obdelave“.

39

Sodišče je prav pri razlagi zadnjenavedene določbe razsodilo, da je treba odbor za peticije parlamenta zvezne države države članice, če ta odbor sam ali skupaj z drugimi določa namene in sredstva obdelave, opredeliti kot „upravljavca“ v smislu te določbe, tako da obdelava osebnih podatkov, ki jo izvaja tak odbor, spada na področje uporabe te uredbe (sodba z dne 9. julija 2020, Land Hessen, C‑272/19, EU:C:2020:535, točka 74).

40

Okoliščina, ki jo je izpostavil Präsident des Nationalrates (predsednik državnega sveta, Avstrija), da je v nasprotju z odborom za peticije iz zadeve, v kateri je bila izdana sodba z dne 9. julija 2020, Land Hessen (C‑272/19, EU:C:2020:535), ki je le posredno prispeval k parlamentarni dejavnosti, preiskovalna komisija v zvezi z BVT organ, katerega dejavnost je neposredno in izključno parlamentarna, ne pomeni, da so dejavnosti te komisije izključene s področja uporabe SUVP.

41

Kot je namreč generalni pravobranilec v bistvu navedel v točki 84 sklepnih predlogov, izjema od področja uporabe SUVP, ki je določena v členu 2(2)(a) te uredbe, vsebuje sklicevanje le na kategorije dejavnosti, ki zaradi svoje narave ne spadajo na področje uporabe prava Unije, ne pa na kategorije oseb glede na to, ali so te zasebne ali javne, niti – kadar je upravljavec javni organ – na okoliščino, da naloge in funkcije tega organa neposredno in izključno spadajo v okvir dane prerogative javne oblasti, ne da bi bila ta prerogativa povezana z dejavnostjo, ki nikakor ne spada na področje uporabe prava Unije.

42

Zato okoliščina, da obdelavo osebnih podatkov izvaja preiskovalna komisija, ki jo je ustanovil parlament države članice zaradi izvajanja svoje pristojnosti nadzora nad izvršilno oblastjo, sama po sebi ne omogoča ugotovitve, da se ta obdelava izvaja v okviru dejavnosti zunaj področja uporabe prava Unije v smislu člena 2(2)(a) SUVP.

43

Glede na navedeno je treba na prvo vprašanje odgovoriti, da je treba člen 16(2), prvi stavek, PDEU in člen 2(2)(a) SUVP razlagati tako, da za dejavnost ni mogoče šteti, da je zunaj področja uporabe prava Unije in da se, posledično, ta uredba zanjo ne uporablja zgolj zato, ker jo opravlja preiskovalna komisija, ki jo je ustanovil parlament države članice zaradi izvajanja svoje pristojnosti nadzora nad izvršilno oblastjo.

44

Predložitveno sodišče z drugim vprašanjem v bistvu sprašuje, ali je treba člen 2(2)(a) SUVP v povezavi z uvodno izjavo 16 te uredbe razlagati tako, da dejavnosti preiskovalne komisije, ki jo je parlament države članice ustanovil zaradi izvajanja svoje pristojnosti nadzora nad izvršilno oblastjo in katere namen je preiskovanje dejavnosti policijskega organa za državno varnost zaradi suma političnega vplivanja na ta organ, ni mogoče šteti za dejavnosti v zvezi z nacionalno varnostjo, ki ne spadajo na področje uporabe prava Unije, v smislu te določbe.

45

Kot je bilo opozorjeno v točki 37 te sodbe, je treba člen 2(2)(a) SUVP razlagati ozko, njegov edini namen pa je s področja uporabe navedene uredbe izključiti obdelave osebnih podatkov, ki jih državni organi izvajajo v okviru dejavnosti, katere namen je ohranjanje nacionalne varnosti, ali v okviru dejavnosti, ki jo je mogoče uvrstiti v isto kategorijo.

46

Dejavnosti, katerih cilj je ohranjanje nacionalne varnosti v smislu člena 2(2)(a) SUVP, zajemajo zlasti dejavnosti, katerih predmet je zaščita bistvenih funkcij države in temeljnih interesov družbe (sodbi z dne 22. junija 2021, Latvijas Republikas Saeima (Kazenske točke), C‑439/19, EU:C:2021:504, točka 67, in z dne 20. oktobra 2022, Koalitsia Demokratichna Bulgaria – Obedinenie, C‑306/21, EU:C:2022:813, točka 40).

47

V skladu s členom 4(2) PEU take dejavnosti ostajajo v izključni pristojnosti držav članic (glej v tem smislu sodbo z dne 15. julija 2021, Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, točka 36).

48

V obravnavani zadevi je iz spisa, ki ga ima Sodišče na voljo, razvidno, da je državni svet ustanovil preiskovalno komisijo v zvezi z BVT, da bi ta raziskala obstoj morebitnega političnega vpliva na BVT, katerega naloga v obdobju, obravnavanem v postopku v glavni stvari, je bila zagotavljanje varstva ustave in boj proti terorizmu.

49

Predsednik državnega sveta in češka vlada v bistvu menita, da ker so naloge BVT vključevale „dejavnosti v zvezi z nacionalno varnostjo“, so bile njegove dejavnosti zajete z izjemo iz člena 2(2)(a) SUVP. Dejavnosti preiskovalne komisije parlamenta države članice, v okviru katerih se izvaja nadzor nad državnimi organi, ki so – tako kot je bil BVT – zadolženi za zagotavljanje nacionalne varnosti, pa naj bi prav tako spadale pod pojem dejavnosti v zvezi z nacionalno varnostjo. Cilj nadzorne dejavnosti, ki jo opravlja taka preiskovalna komisija, naj bi bil namreč preveriti, ali nadzorovani organi pravilno zagotavljajo nacionalno varnost.

50

V zvezi s tem je treba navesti, da čeprav so v skladu s členom 4(2) PEU države članice pristojne, da opredelijo svoje bistvene varnostne interese in sprejmejo ustrezne ukrepe za zagotovitev svoje notranje in zunanje varnosti, zgolj dejstvo, da je bil nacionalni ukrep sprejet zaradi zaščite nacionalne varnosti, ne more povzročiti neuporabe prava Unije in držav članic oprostiti obveznosti spoštovanja tega prava (glej v tem smislu sodbo z dne 15. julija 2021, Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, točka 40 in navedena sodna praksa).

51

Kot pa je bilo opozorjeno v točki 41 te sodbe, izjema iz člena 2(2)(a) SUVP vsebuje sklicevanje le na kategorije dejavnosti, ki zaradi svoje narave ne spadajo na področje uporabe prava Unije, ne pa na kategorije oseb glede na to, ali so te zasebne ali javne, niti – kadar je upravljavec javni organ – na okoliščino, da naloge in funkcije tega organa neposredno in izključno spadajo v okvir dane prerogative javne oblasti, ne da bi bila ta prerogativa povezana z dejavnostjo, ki nikakor ne spada na področje uporabe prava Unije. V zvezi s tem okoliščina, da je upravljavec javni organ, katerega glavna dejavnost je zagotavljanje nacionalne varnosti, sama po sebi ne more zadostovati za to, da se s področja uporabe SUVP izključijo obdelave osebnih podatkov, ki jih ta organ izvaja v okviru drugih dejavnosti, ki jih opravlja.

52

V obravnavani zadevi je iz spisa, ki ga ima Sodišče na voljo, razvidno, da je bil cilj preiskovalne komisije iz postopka v glavni stvari izvajanje političnega nadzora nad dejavnostjo BVT zaradi suma političnega vplivanja na ta organ, pri čemer se ne zdi, da ta nadzor kot tak pomeni dejavnost, katere namen je ohranjanje nacionalne varnosti ali ki jo je mogoče razvrstiti v isto kategorijo, v smislu sodne prakse, na katero je opozorjeno v točki 45 te sodbe. Iz tega sledi, da ta dejavnost ni izključena s področja uporabe SUVP na podlagi člena 2(2)(a) te uredbe, kar pa mora preveriti predložitveno sodišče.

53

Vendar ima lahko parlamentarna preiskovalna komisija, kot je ta iz postopka v glavni stvari, v okviru svojega dela dostop do informacij, zlasti do osebnih podatkov, ki morajo biti iz razlogov nacionalne varnosti deležni posebnega varstva, ki na primer vključuje omejitev informacij, ki jih je treba zagotoviti posameznikom, na katere se nanašajo osebni podatki, v zvezi z zbiranjem teh podatkov ali omejitev dostopa teh posameznikov do navedenih podatkov.

54

V zvezi s tem člen 23 SUVP določa, da se lahko z zakonodajnimi ukrepi določijo omejitve obveznosti in pravic iz členov 5, od 12 do 22 in 34 SUVP za zagotovitev med drugim nacionalne varnosti ali nadzora, povezanega z izvajanjem javne oblasti, zlasti v okviru nacionalne varnosti.

55

Tako je mogoče z zahtevo po zaščiti nacionalne varnosti utemeljiti omejitve – določene z zakonodajnimi ukrepi – obveznosti in pravic, ki izhajajo iz SUVP, zlasti glede zbiranja osebnih podatkov, obveščanja posameznikov, na katere se nanašajo osebni podatki, in njihovega dostopa do navedenih podatkov ali razkritja teh podatkov brez privolitve posameznikov, na katere se nanašajo osebni podatki, drugim osebam kot upravljavcu, če take omejitve spoštujejo bistvo temeljnih pravic in svoboščin posameznikov, na katere se nanašajo osebni podatki, ter pomenijo potreben in sorazmeren ukrep v demokratični družbi.

56

Vendar v obravnavani zadevi iz spisa, ki ga ima Sodišče na voljo, ni razvidno, da bi preiskovalna komisija v zvezi z BVT trdila, da je bilo razkritje osebnih podatkov WK, do katerega je prišlo z objavo zapisnika njegovega zaslišanja pred to komisijo na spletnem mestu avstrijskega parlamenta brez privolitve te osebe, potrebno za zaščito nacionalne varnosti in je temeljilo na za to določenem nacionalnem zakonodajnem ukrepu. Kljub temu mora predložitveno sodišče po potrebi opraviti potrebna preverjanja v zvezi s tem.

57

Glede na navedeno je treba na drugo vprašanje odgovoriti, da je treba člen 2(2)(a) SUVP v povezavi z uvodno izjavo 16 te uredbe razlagati tako, da dejavnosti preiskovalne komisije, ki jo je parlament države članice ustanovil zaradi izvajanja svoje pristojnosti nadzora nad izvršilno oblastjo in katere namen je preiskovanje dejavnosti policijskega organa za državno varnost zaradi suma političnega vplivanja na ta organ, kot takih ni mogoče šteti za dejavnosti v zvezi z nacionalno varnostjo, ki ne spadajo na področje uporabe prava Unije, v smislu te določbe.

58

Predložitveno sodišče s tretjim vprašanjem v bistvu sprašuje, ali je treba člen 77(1) in člen 55(1) SUVP razlagati tako, da kadar se je država članica v skladu s členom 51(1) te uredbe odločila ustanoviti en sam nadzorni organ, ne da bi mu podelila pristojnost za nadzor nad uporabo SUVP s strani preiskovalne komisije, ki jo je ustanovil parlament te države članice zaradi izvajanja svoje pristojnosti nadzora nad izvršilno oblastjo, ti določbi temu organu neposredno podeljujeta pristojnost za odločanje o pritožbah v zvezi z obdelavo osebnih podatkov, ki jo izvaja navedena preiskovalna komisija.

59

Za odgovor na to vprašanje je treba spomniti, da je na podlagi člena 288, drugi odstavek, PDEU uredba v celoti zavezujoča in se neposredno uporablja v vseh državah članicah.

60

V skladu z ustaljeno sodno prakso imajo na podlagi te določbe ter že zaradi narave uredb in njihove vloge v sistemu virov prava Unije določbe uredb v nacionalnih pravnih redih na splošno takojšnji učinek, ne da bi morali nacionalni organi sprejeti izvedbene ukrepe (sodba z dne 15. junija 2021, Facebook Ireland in drugi, C‑645/19, EU:C:2021:483, točka 110 in navedena sodna praksa).

61

Na eni strani pa ima v skladu s členom 77(1) SUVP vsak posameznik, na katerega se nanašajo osebni podatki, pravico do vložitve pritožbe pri nadzornem organu, če meni, da obdelava osebnih podatkov v zvezi z njim pomeni kršitev te uredbe. Na drugi strani je v skladu s členom 55(1) SUVP vsak nadzorni organ na ozemlju svoje države članice pristojen za opravljanje dodeljenih nalog in izvajanje prenesenih pooblastil v skladu s to uredbo.

62

Iz besedila teh določb je razvidno, kot je generalni pravobranilec v bistvu navedel v točki 132 sklepnih predlogov, da člen 77(1) in člen 55(1) SUVP ne zahtevata, da se za njuno izvajanje sprejmejo nacionalni izvedbeni ukrepi, ter sta dovolj jasna, natančna in brezpogojna, da imata neposredni učinek.

63

Iz tega sledi, da čeprav je s SUVP v skladu z njenim členom 51(1) državam članicam priznano polje proste presoje glede števila nadzornih organov, ki jih je treba ustanoviti, je z njo določen obseg pristojnosti, ki jo morajo ti organi ne glede na svoje število imeti za nadzor nad uporabo te uredbe.

64

Tako velja, kot je generalni pravobranilec v bistvu navedel v točki 137 sklepnih predlogov, da če se država članica odloči ustanoviti en sam nadzorni organ, ima ta organ nujno vse pristojnosti, ki so s SUVP podeljene nadzornim organom.

65

Vsaka drugačna razlaga bi ogrozila polni učinek člena 55(1) in člena 77(1) SUVP ter bi lahko oslabila polni učinek vseh drugih določb te uredbe, na katere bi se lahko nanašala pritožba.

66

Poleg tega, kadar je zakonodajalec Unije želel omejiti pristojnost nadzornih organov na področju nadzora nad dejanji obdelave, ki jih izvajajo javni organi, je to storil izrecno, kot potrjuje člen 55(3) SUVP, v skladu s katerim ti organi niso pristojni za nadzor dejanj obdelave sodišč, kadar ta delujejo kot sodni organ.

67

Datenschutzbehörde, predsednik državnega sveta in avstrijska vlada navajajo, da določbe avstrijskega prava na ustavni ravni izvršilni oblasti prepovedujejo izvajanje kakršnega koli nadzora nad zakonodajno oblastjo. Te določbe naj bi torej izključevale možnost, da Datenschutzbehörde, ki je odvisen od izvršilne veje oblasti, nadzoruje uporabo SUVP s strani preiskovalne komisije v zvezi z BVT, ki je organ, ki spada pod zakonodajno oblast.

68

Vendar v obravnavani zadevi člen 51(1) SUVP prav zaradi spoštovanja ustavne strukture držav članic zahteva le, da države članice ustanovijo vsaj en nadzorni organ, hkrati pa jim daje možnost, da jih ustanovijo več. Poleg tega je v uvodni izjavi 117 te uredbe pojasnjeno, da bi morale države članice imeti možnost ustanoviti več nadzornih organov glede na njihovo ustavno, organizacijsko in upravno strukturo.

69

Člen 51(1) SUVP tako vsaki državi članici priznava polje proste presoje, ki ji omogoča, da ustanovi toliko nadzornih organov, kolikor jih je potrebnih med drugim na podlagi zahtev v zvezi z njeno ustavno ureditvijo.

70

Poleg tega je treba opozoriti, da to, da se država članica sklicuje na določbe nacionalnega prava, ne sme posegati v enotnost in učinkovitost prava Unije. Učinki načela primarnosti prava Unije so namreč zavezujoči za vse organe države članice, ne da bi med drugim nacionalne določbe, vključno s tistimi na ustavni ravni, to lahko ovirale (sodba z dne 22. februarja 2022, RS (Učinek sodb ustavnega sodišča), C‑430/21, EU:C:2022:99, točka 51 in navedena sodna praksa).

71

Če se je država članica v okviru svojega polja proste presoje odločila ustanoviti en sam nadzorni organ, se ne more sklicevati na določbe nacionalnega prava, vključno s tistimi na ustavni ravni, da bi obdelave osebnih podatkov, ki spadajo na področje uporabe SUVP, izvzela iz nadzora tega organa.

72

Glede na navedeno je treba na tretje vprašanje odgovoriti, da je treba člen 77(1) in člen 55(1) SUVP razlagati tako, da kadar se je država članica v skladu s členom 51(1) te uredbe odločila ustanoviti en sam nadzorni organ, ne da bi mu podelila pristojnost za nadzor nad uporabo navedene uredbe s strani preiskovalne komisije, ki jo je ustanovil parlament te države članice zaradi izvajanja svoje pristojnosti nadzora nad izvršilno oblastjo, ti določbi temu organu neposredno podeljujeta pristojnost za odločanje o pritožbah v zvezi z obdelavo osebnih podatkov, ki jo izvaja navedena preiskovalna komisija.

73

Ker je ta postopek za stranke v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.

Iz teh razlogov je Sodišče (veliki senat) razsodilo: