–

η Österreichische Datenschutzbehörde, εκπροσωπούμενη από την A. Jelinek και τον M. Schmidl,

–

ο WK, εκπροσωπούμενος από τον M. Sommer, Rechtsanwalt,

–

ο Präsident des Nationalrates, εκπροσωπούμενος από τις C. Neugebauer και R. Posnik,

–

η Αυστριακή Κυβέρνηση, εκπροσωπούμενη από τον A. Posch, τις J. Schmoll, S. Dörnhöfer και C. Leeb,

–

η Τσεχική Κυβέρνηση, εκπροσωπούμενη από τους O. Serdula, M. Smolek και J. Vláčil,

–

η Ευρωπαϊκή Επιτροπή, εκπροσωπούμενη από τον A. Μπουχαγιάρ, την M. Heller και τον H. Kranenborg,

1

Η αίτηση προδικαστικής αποφάσεως αφορά την ερμηνεία του άρθρου 16, παράγραφος 2, πρώτο εδάφιο, ΣΛΕΕ καθώς και του άρθρου 2, παράγραφος 2, στοιχείο αʹ, του άρθρου 51, παράγραφος 1, του άρθρου 55, παράγραφος 1, και του άρθρου 77, παράγραφος 1, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1, στο εξής: ΓΚΠΔ).

2

Η αίτηση αυτή υποβλήθηκε στο πλαίσιο ένδικης διαφοράς μεταξύ της Österreichische Datenschutzbehörde (αρχής προστασίας δεδομένων, Αυστρία) (στο εξής: Datenschutzbehörde) και του WK με αντικείμενο την απόρριψη της καταγγελίας που υπέβαλε ο τελευταίος κατά προβαλλόμενης προσβολής του δικαιώματός του σε προστασία των προσωπικού χαρακτήρα δεδομένων του.

3

Οι αιτιολογικές σκέψεις 16, 20 και 117 του ΓΚΠΔ έχουν ως εξής:

[…]

[…]

4

Το άρθρο 2 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Ουσιαστικό πεδίο εφαρμογής», ορίζει τα εξής:

«1.   Ο παρών κανονισμός εφαρμόζεται στην, εν όλω ή εν μέρει, αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα, καθώς και στη μη αυτοματοποιημένη επεξεργασία τέτοιων δεδομένων τα οποία περιλαμβάνονται ή πρόκειται να περιληφθούν σε σύστημα αρχειοθέτησης.

2.   Ο παρών κανονισμός δεν εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα:

[…]

3.   Για την επεξεργασία δεδομένων προσωπικού χαρακτήρα από τα θεσμικά όργανα, φορείς, υπηρεσίες και οργανισμούς της Ένωσης, εφαρμόζεται ο κανονισμός (ΕΚ) αριθ. 45/2001 [του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 18ης Δεκεμβρίου 2000, σχετικά με την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τα όργανα και τους οργανισμούς της Κοινότητας και σχετικά με την ελεύθερη κυκλοφορία των δεδομένων αυτών (ΕΕ 2001, L 8, σ. 1)]. Ο κανονισμός (ΕΚ) αριθ. 45/2001 και άλλες νομικές πράξεις της Ένωσης εφαρμοστέες σε μια τέτοια επεξεργασία δεδομένων προσωπικού χαρακτήρα προσαρμόζονται στις αρχές και τους κανόνες του παρόντος κανονισμού σύμφωνα με το άρθρο 98.

[…]»

5

Το άρθρο 4 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Ορισμοί», έχει ως εξής:

«Για τους σκοπούς του παρόντος κανονισμού νοούνται ως:

[…]

[…]».

6

Το άρθρο 23 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Περιορισμοί», ορίζει στην παράγραφο 1 τα εξής:

«Το δίκαιο της Ένωσης ή του κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία των δεδομένων μπορεί να περιορίζει μέσω νομοθετικού μέτρου το πεδίο εφαρμογής των υποχρεώσεων και των δικαιωμάτων που προβλέπονται στα άρθρα 12 έως 22 και στο άρθρο 34, καθώς και στο άρθρο 5, εφόσον οι διατάξεις του αντιστοιχούν στα δικαιώματα και τις υποχρεώσεις που προβλέπονται στα άρθρα 12 έως 22, όταν ένας τέτοιος περιορισμός σέβεται την ουσία των θεμελιωδών δικαιωμάτων και ελευθεριών και συνιστά αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία για τη διασφάλιση:

[…]

[…]».

7

Το άρθρο 51 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Εποπτική αρχή», ορίζει στην παράγραφο 1 τα εξής:

«Κάθε κράτος μέλος διασφαλίζει ότι μία ή περισσότερες ανεξάρτητες δημόσιες αρχές επιφορτίζονται με την παρακολούθηση της εφαρμογής του παρόντος κανονισμού, με σκοπό την προστασία των θεμελιωδών δικαιωμάτων και ελευθεριών των φυσικών προσώπων έναντι της [επεξεργασίας] και τη διευκόλυνση της ελεύθερης κυκλοφορίας δεδομένων προσωπικού χαρακτήρα στην Ένωση (“εποπτική αρχή”).»

8

Το άρθρο 54 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Κανόνες για τη σύσταση της εποπτικής αρχής», ορίζει στην παράγραφο 1 τα εξής:

«Κάθε κράτος μέλος προβλέπει διά νόμου όλα τα ακόλουθα:

[…]».

9

Το άρθρο 55 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Αρμοδιότητα», έχει ως εξής:

«1.   Κάθε εποπτική αρχή είναι αρμόδια να εκτελεί τα καθήκοντα και να ασκεί τις εξουσίες που της ανατίθενται σύμφωνα με τον παρόντα κανονισμό στο έδαφος του κράτους μέλους της.

2.   Όταν η επεξεργασία γίνεται από δημόσιες αρχές ή ιδιωτικούς φορείς που ενεργούν βάσει του άρθρου 6 παράγραφος 1 στοιχείο γ) ή ε), αρμόδια είναι η εποπτική αρχή του οικείου κράτους μέλους. Σε αυτές τις περιπτώσεις δεν εφαρμόζεται το άρθρο 56.

3.   Οι εποπτικές αρχές δεν είναι αρμόδιες να ελέγχουν πράξεις επεξεργασίας οι οποίες διενεργούνται από δικαστήρια στο πλαίσιο της δικαστικής τους ιδιότητας.»

10

Το άρθρο 77 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή», προβλέπει τα εξής:

«1.   Με την επιφύλαξη τυχόν άλλων διοικητικών ή δικαστικών προσφυγών, κάθε υποκείμενο των δεδομένων έχει το δικαίωμα να υποβάλει καταγγελία σε εποπτική αρχή, ιδίως στο κράτος μέλος στο οποίο έχει τη συνήθη διαμονή του ή τον τόπο εργασίας του ή τον τόπο της εικαζόμενης παράβασης, εάν το υποκείμενο των δεδομένων θεωρεί ότι η επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορά παραβαίνει τον παρόντα κανονισμό.

2.   Η εποπτική αρχή στην οποία έχει υποβληθεί καταγγελία ενημερώνει τον καταγγέλλοντα για την πρόοδο και για την έκβαση της καταγγελίας, καθώς και για τη δυνατότητα άσκησης δικαστικής προσφυγής σύμφωνα με το άρθρο 78.»

11

Το άρθρο 53 του Bundes-Verfassungsgesetz (ομοσπονδιακού συνταγματικού νόμου), ο οποίος επαναδημοσιεύθηκε στις 2 Ιανουαρίου 1930 (BGBl. 1/1930), όπως ίσχυε κατά τον χρόνο των πραγματικών περιστατικών της κύριας δίκης (στο εξής: B-VG), προβλέπει τα εξής:

«(1) Το Nationalrat [Εθνικό Κοινοβούλιο, Αυστρία] μπορεί να αποφασίζει τη σύσταση εξεταστικών επιτροπών. Εξεταστική επιτροπή μπορεί να συσταθεί και κατόπιν αιτήματος του ενός τετάρτου των μελών του.

(2) Η έρευνα αφορά παρελθούσες ενέργειες σε τομέα της εκτελεστικής εξουσίας σε ομοσπονδιακό επίπεδο. Περιλαμβάνει το σύνολο των ενεργειών των ομοσπονδιακών οργάνων μέσω των οποίων το Bund, ανεξαρτήτως του βαθμού συμμετοχής του, ασκεί δικαιώματα συμμετοχής και εποπτείας. Δεν επιτρέπεται επανεξέταση της νομολογίας.

(3) Το σύνολο των οργάνων του Bund, των Länder, των δήμων και ενώσεων δήμων καθώς και λοιπών ανεξάρτητων οργάνων οφείλουν, κατόπιν σχετικού αιτήματος, να προσκομίζουν τα αρχεία και έγγραφά τους ενώπιον εξεταστικής επιτροπής, εφόσον τα τελευταία σχετίζονται με το αντικείμενο της έρευνας, και να συμμορφώνονται με τα αιτήματα εξεταστικής επιτροπής που αφορούν τη συλλογή αποδεικτικών στοιχείων σχετικών με το αντικείμενο της έρευνας. Η υποχρέωση αυτή δεν ισχύει για την υποβολή φακέλων και εγγράφων των οποίων η δημοσιοποίηση θα μπορούσε να θέσει σε κίνδυνο πηγές κατά την έννοια του άρθρου 52a, παράγραφος 2.

(4) Η υποχρέωση που προβλέπεται στην παράγραφο 3 δεν ισχύει στο μέτρο που θα μπορούσε να επηρεαστεί η νόμιμη διαδικασία διαμόρφωσης της βούλησης της ομοσπονδιακής κυβέρνησης ή ορισμένων από τα μέλη της ή η άμεση προετοιμασία της.

[…]»

12

Ο B-VG προβλέπει τη διάκριση της νομοθετικής, της εκτελεστικής και της δικαστικής εξουσίας. Οποιαδήποτε παραβίαση της αρχής της διάκρισης των εξουσιών πρέπει να έχει συνταγματικό έρεισμα.

13

Το άρθρο 1, παράγραφος 1, του Datenschutzgesetz (νόμου περί προστασίας των δεδομένων), της 17ης Αυγούστου 1999 (BGBl. I, 165/1999), όπως ίσχυε κατά τον χρόνο των πραγματικών περιστατικών της κύριας δίκης (στο εξής: DSG), ορίζει τα εξής:

«Κάθε πρόσωπο έχει αξίωση, ιδίως και υπό το πρίσμα του σεβασμού της ιδιωτικής και οικογενειακής ζωής του, να τηρείται το απόρρητο των προσωπικών δεδομένων που το αφορούν, εφόσον έχει κάποιο άξιο προστασίας συμφέρον προς τούτο. Η ύπαρξη τέτοιου συμφέροντος αποκλείεται, όταν τα δεδομένα δεν μπορούν να θεμελιώσουν αξίωση τηρήσεως του απορρήτου είτε διότι είναι διαθέσιμα στο κοινό είτε διότι δεν μπορούν να συσχετιστούν με τον ενδιαφερόμενο.»

14

Κατά το άρθρο 18, παράγραφος 1, του DSG:

«Η Datenschutzbehörde συνιστάται ως εθνική εποπτική αρχή σύμφωνα με το άρθρο 51 του ΓΚΠΔ.»

15

Το άρθρο 24, παράγραφος 1, του DSG ορίζει τα ακόλουθα:

«Κάθε υποκείμενο των δεδομένων έχει το δικαίωμα να υποβάλει καταγγελία στην Datenschutzbehörde, εάν θεωρεί ότι η επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν παραβιάζει τον ΓΚΠΔ ή το άρθρο 1 ή το άρθρο 2, πρώτο μέρος.»

16

Το άρθρο 35 του DSG προβλέπει τα εξής:

«(1) Η Datenschutzbehörde είναι υπεύθυνη για τη διασφάλιση της προστασίας των δεδομένων σύμφωνα με τις διατάξεις του ΓΚΠΔ και του παρόντος ομοσπονδιακού νόμου.

(2) Η Datenschutzbehörde ασκεί επίσης τις εξουσίες της έναντι των ανωτάτων οργάνων της εκτελεστικής εξουσίας που μνημονεύονται στο άρθρο 19 του B-VG καθώς και έναντι των ανωτάτων οργάνων σύμφωνα με τις διατάξεις του άρθρου 30, παράγραφοι 3 έως 6, των άρθρων 125 και 134, παράγραφος 8, καθώς και του άρθρου 148h, παράγραφοι 1 και 2, του B-VG όσον αφορά διοικητικά ζητήματα που εμπίπτουν στην αρμοδιότητά τους.»

17

Με απόφαση της 20ής Απριλίου 2018, το Εθνικό Κοινοβούλιο συνέστησε, σύμφωνα με το άρθρο 53 του B-VG, εξεταστική επιτροπή για τη διερεύνηση της ενδεχόμενης ύπαρξης πολιτικών παρεμβάσεων στην Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (ομοσπονδιακή υπηρεσία για την προστασία του Συντάγματος και την καταπολέμηση της τρομοκρατίας, Αυστρία) (στο εξής: BVT), την οποία διαδέχθηκε την 1η Δεκεμβρίου 2021 η Direktion Staatsschutz und Nachrichtendienst (διεύθυνση κρατικής ασφάλειας και πληροφοριών, Αυστρία).

18

Στις 19 Σεπτεμβρίου 2018 η ως άνω εξεταστική επιτροπή (στο εξής: εξεταστική επιτροπή BVT) εξέτασε τον WK ως μάρτυρα στο πλαίσιο ακρόασης στην οποία είχαν πρόσβαση οι εκπρόσωποι των μέσων ενημέρωσης. Παρά το αίτημα ανωνυμοποίησης που υπέβαλε ο WK, τα πρακτικά της ακρόασης, στα οποία αναγραφόταν το πλήρες ονοματεπώνυμό του, αναρτήθηκαν στον ιστότοπο του Parlament Österreich (Αυστριακού Κοινοβουλίου).

19

Στις 2 Απριλίου 2019 ο WK υπέβαλε καταγγελία ενώπιον της Datenschutzbehörde υποστηρίζοντας ότι η παρά τη θέλησή του δημοσίευση των πρακτικών της εν λόγω ακρόασης, με μνεία της ταυτότητάς του, είναι αντίθετη προς τις διατάξεις του ΓΚΠΔ και το άρθρο 1 του DSG. Προς στήριξη της καταγγελίας του, διευκρίνισε ότι είχε διεισδύσει στην αστυνομική ομάδα επέμβασης για την καταπολέμηση της εγκληματικότητας του δρόμου.

20

Με απόφαση της 18ης Σεπτεμβρίου 2019, η Datenschutzbehörde απέρριψε την ως άνω καταγγελία. Έκρινε ότι, μολονότι ο ΓΚΠΔ δεν εμποδίζει κατ’ αρχήν τον έλεγχο των νομοθετικών οργάνων από τις εποπτικές αρχές, εντούτοις, σύμφωνα με την αρχή της διάκρισης των εξουσιών, αποκλείεται η υπαγωγή της νομοθετικής εξουσίας στον έλεγχο της εκτελεστικής εξουσίας. Υπό τις συγκεκριμένες συνθήκες, και στο μέτρο που η εξεταστική επιτροπή BVT υπάγεται στη νομοθετική εξουσία, η Datenschutzbehörde, ως όργανο της εκτελεστικής εξουσίας, δεν διέθετε εξουσία ελέγχου της δραστηριότητας της εν λόγω επιτροπής και ήταν, επομένως, αναρμόδια να αποφανθεί επί της καταγγελίας του WK.

21

Με απόφαση της 23ης Νοεμβρίου 2020, το Bundesverwaltungsgericht (ομοσπονδιακό διοικητικό δικαστήριο, Αυστρία) δέχθηκε την προσφυγή του WK και ακύρωσε την απόφαση της Datenschutzbehörde. Έκρινε, κατ’ ουσίαν, ότι ο ΓΚΠΔ έχει εφαρμογή στις πράξεις του νομοθέτη και, ως εκ τούτου, στις πράξεις της εξεταστικής επιτροπής BVT. Συγκεκριμένα, σύμφωνα με το ως άνω δικαστήριο, το καθ’ ύλην πεδίο εφαρμογής του ΓΚΠΔ ορίζεται στο άρθρο του 2, παράγραφος 1, κατά τρόπο εξαντλητικό και καταλαμβάνει όλες τις πράξεις επεξεργασίας δεδομένων, ανεξαρτήτως της οντότητας που πραγματοποιεί την επεξεργασία και της κρατικής λειτουργίας στην οποία υπάγεται η οντότητα αυτή. Εξάλλου, ούτε από το άρθρο 2, παράγραφος 2, του ΓΚΠΔ μπορεί να συναχθεί παρέκκλιση από την εφαρμογή του κανονισμού όσον αφορά ορισμένες λειτουργίες του κράτους, όπως η νομοθετική λειτουργία, δεδομένου ότι η προβλεπόμενη στο στοιχείο αʹ της ίδιας διάταξης παρέκκλιση πρέπει να ερμηνεύεται συσταλτικώς. Κατά συνέπεια, το Bundesverwaltungsgericht (ομοσπονδιακό διοικητικό δικαστήριο) έκρινε ότι η Datenschutzbehörde ήταν αρμόδια να αποφανθεί επί της καταγγελίας του WK, σύμφωνα με το άρθρο 77 του ΓΚΠΔ.

22

Επιληφθέν αιτήσεως αναιρέσεως (Revision) την οποία άσκησε η Datenschutzbehörde κατά της ανωτέρω απόφασης του Bundesverwaltungsgericht (ομοσπονδιακού διοικητικού δικαστηρίου), το Verwaltungsgerichtshof (Ανώτατο Διοικητικό Δικαστήριο, Αυστρία), αιτούν δικαστήριο στην υπό κρίση υπόθεση, διερωτάται, πρώτον, αν οι πράξεις εξεταστικής επιτροπής συσταθείσας από το κοινοβούλιο κράτους μέλους εξαιρούνται, ανεξαρτήτως του ερευνώμενου αντικειμένου, από το πεδίο εφαρμογής του ΓΚΠΔ δυνάμει του άρθρου 2, παράγραφος 2, στοιχείο αʹ, του κανονισμού αυτού και του άρθρου 16, παράγραφος 2, πρώτη περίοδος, ΣΛΕΕ, καθότι οι εργασίες μιας τέτοιας επιτροπής συνιστούν, ως εκ της φύσεώς τους, δραστηριότητα μη εμπίπτουσα στο πεδίο εφαρμογής του δικαίου της Ένωσης.

23

Στο πλαίσιο αυτό, το αιτούν δικαστήριο επισημαίνει κατ’ αρχάς ότι, σύμφωνα με τη σχετική νομολογία του Δικαστηρίου που απορρέει ιδίως από την απόφαση της 9ης Ιουλίου 2020, Land Hessen (C‑272/19, EU:C:2020:535), δεν μπορεί να απαιτείται, για τους σκοπούς της εφαρμογής του ΓΚΠΔ, η επίμαχη επεξεργασία δεδομένων προσωπικού χαρακτήρα να πραγματοποιείται συγκεκριμένα για σκοπούς που εμπίπτουν στο δίκαιο της Ένωσης, να είναι διασυνοριακή ή να επηρεάζει άμεσα και συγκεκριμένα την ελεύθερη κυκλοφορία μεταξύ των κρατών μελών. Η εφαρμογή του κανονισμού αυτού αποκλείεται, αντιθέτως, μόνον εάν πληρούται μία τουλάχιστον από τις προϋποθέσεις εφαρμογής της παρέκκλισης του άρθρου 2, παράγραφος 2, στοιχεία αʹ έως δʹ, του εν λόγω κανονισμού.

24

Συναφώς, το αιτούν δικαστήριο υπενθυμίζει ότι, κατά τη νομολογία του Δικαστηρίου, γίνεται δεκτό ότι το άρθρο 2, παράγραφος 2, στοιχείο αʹ, του ΓΚΠΔ, ερμηνευόμενο υπό το πρίσμα της αιτιολογικής σκέψης 16 του ίδιου κανονισμού, έχει ως μοναδικό σκοπό να αποκλείσει από το πεδίο εφαρμογής του κανονισμού την επεξεργασία δεδομένων προσωπικού χαρακτήρα που πραγματοποιείται από τις κρατικές αρχές στο πλαίσιο δραστηριότητας η οποία αποσκοπεί στη διαφύλαξη της εθνικής ασφάλειας ή δραστηριότητας δυνάμενης να υπαχθεί στην ίδια κατηγορία. Οι δραστηριότητες που αποσκοπούν στη διαφύλαξη της εθνικής ασφάλειας στις οποίες αναφέρεται το άρθρο 2, παράγραφος 2, στοιχείο αʹ, του ΓΚΠΔ καταλαμβάνουν ειδικότερα τις δραστηριότητες εκείνες που αποσκοπούν στην προστασία των ουσιωδών λειτουργιών του κράτους και των θεμελιωδών συμφερόντων της κοινωνίας [απόφαση της 22ας Ιουνίου 2021, Latvijas Republikas Saeima (Βαθμοί ποινής), C‑439/19, EU:C:2021:504, σκέψεις 62 έως 67 και εκεί μνημονευόμενη νομολογία].

25

Στη συνέχεια, επισημαίνει ορισμένες διαφορές μεταξύ της κοινοβουλευτικής επιτροπής την οποία αφορούσε η υπόθεση επί της οποίας εκδόθηκε η απόφαση της 9ης Ιουλίου 2020, Land Hessen (C‑272/19, EU:C:2020:535), ήτοι της Επιτροπής Αναφορών του Κοινοβουλίου του Land Hessen (ομόσπονδου κράτους της Έσσης, Γερμανία), και της εξεταστικής επιτροπής BVT. Ειδικότερα, οι εργασίες της εξεταστικής επιτροπής BVT δεν συμβάλλουν μόνον εμμέσως στην κοινοβουλευτική δραστηριότητα, αλλά βρίσκονται στο επίκεντρο της δραστηριότητας αυτής λόγω των ελεγκτικών καθηκόντων που αναθέτει ο B-VG στις εξεταστικές επιτροπές τις οποίες συστήνει το Εθνικό Κοινοβούλιο.

26

Τέλος, το αιτούν δικαστήριο παραπέμπει στην αρχή της διάκρισης της νομοθετικής, της εκτελεστικής και της δικαστικής εξουσίας, αρχή εγγενής τόσο στο δίκαιο κάθε κράτους μέλους όσο και στο δίκαιο της Ένωσης. Βεβαίως, το άρθρο 55, παράγραφος 3, του ΓΚΠΔ αποκλείει μόνον την αρμοδιότητα των εποπτικών αρχών να ελέγχουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα στην οποία προβαίνουν τα δικαστήρια κατά την άσκηση των δικαιοδοτικών τους δραστηριοτήτων, χωρίς να αναφέρεται στην επεξεργασία δεδομένων που διενεργείται στον πυρήνα της κοινοβουλευτικής δραστηριότητας. Η σιωπή αυτή θα μπορούσε, ωστόσο, να εξηγηθεί από το γεγονός ότι, όσον αφορά τον νομοθέτη της Ένωσης, η τελευταία αυτή δραστηριότητα δεν εμπίπτει στο πεδίο εφαρμογής του εν λόγω κανονισμού ήδη δυνάμει του άρθρου 2, παράγραφος 2, στοιχείο αʹ, αυτού.

27

Δεύτερον, το αιτούν δικαστήριο υπογραμμίζει ότι το αντικείμενο έρευνας της εξεταστικής επιτροπής BVT αφορά δραστηριότητες εθνικής ασφάλειας οι οποίες, υπό το πρίσμα της αιτιολογικής σκέψης 16 του ΓΚΠΔ, δεν εμπίπτουν στο πεδίο εφαρμογής του δικαίου της Ένωσης και, ως εκ τούτου, αποκλείονται από το καθ’ ύλην πεδίο εφαρμογής του κανονισμού, σύμφωνα με το άρθρο 2, παράγραφος 2, στοιχείο αʹ.

28

Επομένως, ακόμη και αν υποτεθεί ότι η δραστηριότητα κοινοβουλευτικού ελέγχου εξεταστικής επιτροπής εμπίπτει κατ’ αρχήν στο πεδίο εφαρμογής του δικαίου της Ένωσης κατά την έννοια του άρθρου 16, παράγραφος 2, ΣΛΕΕ, πρέπει περαιτέρω να εξακριβωθεί μήπως οι δραστηριότητες της επιτροπής αυτής καλύπτονται από την εξαίρεση του άρθρου 2, παράγραφος 2, στοιχείο αʹ, του ΓΚΠΔ, δεδομένου ότι ερευνώνται δραστηριότητες της εκτελεστικής εξουσίας οι οποίες, όπως συμβαίνει εν προκειμένω, δεν εμπίπτουν στο πεδίο εφαρμογής του δικαίου της Ένωσης.

29

Τρίτον, το αιτούν δικαστήριο διερωτάται αν, λαμβανομένης ιδίως υπόψη της συνταγματικής αρχής της διάκρισης των εξουσιών στην Αυστρία, η Datenschutzbehörde, μόνη εθνική εποπτική αρχή κατά την έννοια του άρθρου 51 του ΓΚΠΔ, είναι αρμόδια, βάσει του κανονισμού αυτού και μόνον, να αποφανθεί επί καταγγελίας όπως η υποβληθείσα από τον WK ελλείψει οποιουδήποτε συνταγματικού ερείσματος στο εθνικό δίκαιο επί του οποίου θα μπορούσε να θεμελιωθεί μια τέτοια αρμοδιότητα.

30

Υπό τις συνθήκες αυτές, το Verwaltungsgerichtshof (Ανώτατο Διοικητικό Δικαστήριο) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:

Σε περίπτωση καταφατικής απαντήσεως στο πρώτο ερώτημα:

Σε περίπτωση αρνητικής απαντήσεως στο δεύτερο προδικαστικό ερώτημα:

31

Με το πρώτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 16, παράγραφος 2, πρώτη περίοδος, ΣΛΕΕ και το άρθρο 2, παράγραφος 2, στοιχείο αʹ, του ΓΚΠΔ έχουν την έννοια ότι μια δραστηριότητα εκφεύγει του πεδίου εφαρμογής του δικαίου της Ένωσης και, ως εκ τούτου, δεν εμπίπτει στο πεδίο εφαρμογής του κανονισμού αυτού, απλώς και μόνον επειδή επιτελείται από εξεταστική επιτροπή συσταθείσα από το κοινοβούλιο κράτους μέλους στο πλαίσιο της άσκησης της εξουσίας ελέγχου της εκτελεστικής εξουσίας.

32

Το άρθρο 16 ΣΛΕΕ, το οποίο αποτελεί τη νομική βάση του ΓΚΠΔ, προβλέπει στην παράγραφο 2 ότι το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο της Ευρωπαϊκής Ένωσης θεσπίζουν τους κανόνες σχετικά, μεταξύ άλλων, με την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τα κράτη μέλη κατά την άσκηση δραστηριοτήτων που εμπίπτουν στο πεδίο εφαρμογής του δικαίου της Ένωσης.

33

Κατ’ αντιστοιχία προς τη διάταξη αυτή, το άρθρο 2, παράγραφος 1, του ΓΚΠΔ ορίζει κατά τρόπο ιδιαιτέρως ευρύ το καθ’ ύλην πεδίο εφαρμογής του [απόφαση της 22ας Ιουνίου 2021, Latvijas Republikas Saeima (Βαθμοί ποινής), C‑439/19, EU:C:2021:504, σκέψη 61]. Προβλέπει, συγκεκριμένα, ότι ο εν λόγω κανονισμός «εφαρμόζεται στην, εν όλω ή εν μέρει, αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα, καθώς και στη μη αυτοματοποιημένη επεξεργασία τέτοιων δεδομένων τα οποία περιλαμβάνονται ή πρόκειται να περιληφθούν σε σύστημα αρχειοθέτησης».

34

Επιπλέον, το ίδιο άρθρο 2 του ΓΚΠΔ προβλέπει κατά τρόπο εξαντλητικό, στις παραγράφους 2 και 3, τις εξαιρέσεις από τον κανόνα της παραγράφου 1 όπου ορίζεται το καθ’ ύλην πεδίο εφαρμογής του κανονισμού. Ειδικότερα, το άρθρο 2, παράγραφος 2, στοιχείο αʹ, διευκρινίζει ότι ο ΓΚΠΔ δεν εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα «στο πλαίσιο δραστηριότητας η οποία δεν εμπίπτει στο πεδίο εφαρμογής του δικαίου της Ένωσης».

35

Στο πλαίσιο αυτό, το αιτούν δικαστήριο διερωτάται αν επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία εντάσσεται στο πλαίσιο της δραστηριότητας εξεταστικής επιτροπής συσταθείσας από το κοινοβούλιο κράτους μέλους στο πλαίσιο της άσκησης της εξουσίας ελέγχου της εκτελεστικής εξουσίας εμπίπτει, σε κάθε περίπτωση και ανεξαρτήτως του ερευνώμενου αντικειμένου, στην εξαίρεση που προβλέπει η τελευταία αυτή διάταξη.

36

Συναφώς, υπενθυμίζεται ότι, με την επιφύλαξη των περιπτώσεων που μνημονεύονται στο άρθρο 2, παράγραφοι 2 και 3, ο ΓΚΠΔ εφαρμόζεται στις πράξεις επεξεργασίας που διενεργούνται τόσο από τους ιδιώτες όσο και από τις δημόσιες αρχές (πρβλ. απόφαση της 24ης Μαρτίου 2022, Autoriteit persoonsgegevens, C‑245/20, EU:C:2022:216, σκέψη 25).

37

Από τη νομολογία του Δικαστηρίου προκύπτει ότι η εξαίρεση του άρθρου 2, παράγραφος 2, του ΓΚΠΔ πρέπει να τυγχάνει στενής ερμηνείας [απόφαση της 22ας Ιουνίου 2021, Latvijas Republikas Saeima (Βαθμοί ποινής), C‑439/19, EU:C:2021:504, σκέψη 62 και εκεί μνημονευόμενη νομολογία]. Στο πλαίσιο αυτό, το Δικαστήριο είχε ήδη την ευκαιρία να διευκρινίσει ότι το άρθρο 2, παράγραφος 2, στοιχείο αʹ, του κανονισμού αυτού, ερμηνευόμενο υπό το πρίσμα της αιτιολογικής του σκέψης 16, έχει ως μοναδικό σκοπό να αποκλείσει από το πεδίο εφαρμογής του κανονισμού την επεξεργασία δεδομένων προσωπικού χαρακτήρα που πραγματοποιείται από τις κρατικές αρχές στο πλαίσιο δραστηριότητας η οποία αποσκοπεί στη διαφύλαξη της εθνικής ασφάλειας ή δραστηριότητας δυνάμενης να υπαχθεί στην ίδια κατηγορία, οπότε το γεγονός και μόνον ότι μια δραστηριότητα ασκείται από το κράτος ή από δημόσια αρχή δεν αρκεί ώστε η εξαίρεση αυτή να ισχύει αυτομάτως για μια τέτοια δραστηριότητα [αποφάσεις της 22ας Ιουνίου 2021, Latvijas Republikas Saeima (Βαθμοί ποινής), C‑439/19, EU:C:2021:504, σκέψη 66, και της 20ής Οκτωβρίου 2022, Koalitsia Demokratichna Bulgaria – Obedinenie, C‑306/21, EU:C:2022:813, σκέψη 39].

38

Η ερμηνεία αυτή, η οποία απορρέει ήδη από το γεγονός ότι το άρθρο 2, παράγραφος 1, του ΓΚΠΔ δεν προβαίνει σε διάκριση αναλόγως της ταυτότητας του προσώπου που διενεργεί την οικεία επεξεργασία, επιβεβαιώνεται από το άρθρο 4, σημείο 7, του κανονισμού, το οποίο ορίζει ότι ως «υπεύθυνος επεξεργασίας» νοείται «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας».

39

Ερμηνεύοντας συγκεκριμένα την τελευταία αυτή διάταξη, το Δικαστήριο έχει κρίνει ότι, στο μέτρο που επιτροπή αναφορών του κοινοβουλίου ομόσπονδου κράτους ενός κράτους μέλους καθορίζει, μόνη ή από κοινού με άλλους, τους σκοπούς και τον τρόπο της επεξεργασίας, η επιτροπή αυτή πρέπει να χαρακτηριστεί ως «υπεύθυνος επεξεργασίας» κατά την έννοια της διάταξης αυτής, με αποτέλεσμα η επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία πραγματοποιείται από μια τέτοια επιτροπή να εμπίπτει στο πεδίο εφαρμογής του ως άνω κανονισμού (απόφαση της 9ης Ιουλίου 2020, Land Hessen, C‑272/19, EU:C:2020:535, σκέψη 74).

40

Όπως τόνισε και ο Präsident des Nationalrates (πρόεδρος του Εθνικού Κοινοβουλίου, Αυστρία), το γεγονός ότι, εν αντιθέσει προς την επιτροπή αναφορών την οποία αφορούσε η υπόθεση επί της οποίας εκδόθηκε η απόφαση της 9ης Ιουλίου 2020, Land Hessen (C‑272/19, EU:C:2020:535), η οποία συνέβαλλε μόνον εμμέσως στην κοινοβουλευτική δραστηριότητα, η εξεταστική επιτροπή BVT είναι όργανο του οποίου η δραστηριότητα έχει ευθέως και αποκλειστικώς κοινοβουλευτικό χαρακτήρα, δεν συνεπάγεται την εξαίρεση των δραστηριοτήτων της εξεταστικής επιτροπής από το πεδίο εφαρμογής του ΓΚΠΔ.

41

Πράγματι, όπως επισήμανε κατ’ ουσίαν ο γενικός εισαγγελέας στο σημείο 84 των προτάσεών του, η εξαίρεση από το πεδίο εφαρμογής του ΓΚΠΔ την οποία προβλέπει το άρθρο 2, παράγραφος 2, στοιχείο αʹ, του κανονισμού αυτού αναφέρεται μόνον σε κατηγορίες δραστηριοτήτων οι οποίες, ως εκ της φύσεώς τους, δεν εμπίπτουν στο πεδίο εφαρμογής του δικαίου της Ένωσης και όχι σε κατηγορίες προσώπων αναλόγως του αν τα πρόσωπα αυτά είναι ιδιώτες ή δημόσιες αρχές ούτε, όταν ο υπεύθυνος επεξεργασίας είναι δημόσια αρχή, σε περιπτώσεις όπου η αποστολή και οι λειτουργίες της εν λόγω αρχής εμπίπτουν ευθέως και αποκλειστικώς σε συγκεκριμένο προνόμιο δημόσιας εξουσίας, χωρίς το προνόμιο αυτό να συνδέεται με δραστηριότητα η οποία εκφεύγει εν πάση περιπτώσει του πεδίου εφαρμογής του δικαίου της Ένωσης.

42

Ως εκ τούτου, το γεγονός ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα διενεργείται από εξεταστική επιτροπή συσταθείσα από το κοινοβούλιο κράτους μέλους στο πλαίσιο της άσκησης της εξουσίας ελέγχου της εκτελεστικής εξουσίας δεν αποδεικνύει αυτό καθεαυτό ότι η συγκεκριμένη επεξεργασία διενεργείται στο πλαίσιο δραστηριότητας η οποία δεν εμπίπτει στο πεδίο εφαρμογής του δικαίου της Ένωσης κατά την έννοια του άρθρου 2, παράγραφος 2, στοιχείο αʹ, του ΓΚΠΔ.

43

Λαμβανομένων υπόψη των προεκτεθέντων, στο πρώτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 16, παράγραφος 2, πρώτη περίοδος, ΣΛΕΕ και το άρθρο 2, παράγραφος 2, στοιχείο αʹ, του ΓΚΠΔ έχουν την έννοια ότι δεν μπορεί να θεωρηθεί ότι μια δραστηριότητα δεν εμπίπτει στο πεδίο εφαρμογής του δικαίου της Ένωσης και, ως εκ τούτου, εκφεύγει της εφαρμογής του κανονισμού αυτού απλώς και μόνον επειδή επιτελείται από εξεταστική επιτροπή συσταθείσα από το κοινοβούλιο κράτους μέλους στο πλαίσιο της άσκησης της εξουσίας ελέγχου της εκτελεστικής εξουσίας.

44

Με το δεύτερο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 2, παράγραφος 2, στοιχείο αʹ, του ΓΚΠΔ, ερμηνευόμενο υπό το πρίσμα της αιτιολογικής σκέψης 16, έχει την έννοια ότι οι δραστηριότητες εξεταστικής επιτροπής συσταθείσας από το κοινοβούλιο κράτους μέλους στο πλαίσιο της άσκησης της εξουσίας ελέγχου της εκτελεστικής εξουσίας, οι οποίες αποβλέπουν στη διερεύνηση των δραστηριοτήτων αστυνομικής αρχής προστασίας του κράτους λόγω υπονοιών για πολιτικές παρεμβάσεις στην αρχή αυτή, δεν μπορούν να θεωρηθούν ως δραστηριότητες που αφορούν την εθνική ασφάλεια και δεν εμπίπτουν στο πεδίο εφαρμογής του δικαίου της Ένωσης κατά την έννοια της ως άνω διάταξης.

45

Όπως υπενθυμίζεται στη σκέψη 37 της παρούσας απόφασης, το άρθρο 2, παράγραφος 2, στοιχείο αʹ, του ΓΚΠΔ πρέπει να τυγχάνει στενής ερμηνείας και έχει ως μοναδικό σκοπό να αποκλείσει από το πεδίο εφαρμογής του κανονισμού την επεξεργασία δεδομένων προσωπικού χαρακτήρα που πραγματοποιείται από τις κρατικές αρχές στο πλαίσιο δραστηριότητας η οποία αποσκοπεί στη διαφύλαξη της εθνικής ασφάλειας ή δραστηριότητας δυναμένης να υπαχθεί στην ίδια κατηγορία.

46

Οι δραστηριότητες που αποσκοπούν στη διαφύλαξη της εθνικής ασφάλειας κατά την έννοια του άρθρου 2, παράγραφος 2, στοιχείο αʹ, του ΓΚΠΔ καταλαμβάνουν ειδικότερα τις δραστηριότητες εκείνες που αποσκοπούν στην προστασία των ουσιωδών λειτουργιών του κράτους και των θεμελιωδών συμφερόντων της κοινωνίας [αποφάσεις της 22ας Ιουνίου 2021, Latvijas Republikas Saeima (Βαθμοί ποινής), C‑439/19, EU:C:2021:504, σκέψη 67, και της 20ής Οκτωβρίου 2022, Koalitsia Demokratichna Bulgaria – Obedinenie, C‑306/21, EU:C:2022:813, σκέψη 40].

47

Κατά το άρθρο 4, παράγραφος 2, ΣΕΕ, οι δραστηριότητες αυτές παραμένουν στην ευθύνη των κρατών μελών (πρβλ. απόφαση της 15ης Ιουλίου 2021, Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, σκέψη 36).

48

Εν προκειμένω, από τη δικογραφία που έχει στη διάθεσή του το Δικαστήριο προκύπτει ότι η εξεταστική επιτροπή BVT συστάθηκε από το Εθνικό Κοινοβούλιο προκειμένου να διερευνήσει την ύπαρξη τυχόν πολιτικών παρεμβάσεων στην BVT, της οποίας η αποστολή συνίστατο, κατά τον κρίσιμο στην υπόθεση της κύριας δίκης χρόνο, στη διασφάλιση της προστασίας του Συντάγματος και στην καταπολέμηση της τρομοκρατίας.

49

Ο πρόεδρος του Εθνικού Κοινοβουλίου και η Τσεχική Κυβέρνηση φρονούν κατ’ ουσίαν ότι, δεδομένου ότι η αποστολή της BVT περιλάμβανε «δραστηριότητες που αφορούν την εθνική ασφάλεια», οι δραστηριότητές της εμπίπτουν στην εξαίρεση του άρθρου 2, παράγραφος 2, στοιχείο αʹ, του ΓΚΠΔ. Επομένως, οι δραστηριότητες εξεταστικής επιτροπής του κοινοβουλίου κράτους μέλους οι οποίες συνίστανται στον έλεγχο κρατικών οργάνων τα οποία, όπως στην περίπτωση της BVT, είναι επιφορτισμένα με την προάσπιση της εθνικής ασφάλειας εμπίπτουν και αυτές στην έννοια των δραστηριοτήτων που αφορούν την εθνική ασφάλεια. Συγκεκριμένα, σκοπός της ελεγκτικής δραστηριότητας μιας τέτοιας εξεταστικής επιτροπής είναι να εξακριβώνει αν οι ελεγχόμενες αρχές ενεργούν κατά τον δέοντα τρόπο για την προστασία της εθνικής ασφάλειας.

50

Συναφώς, επισημαίνεται ότι, μολονότι σύμφωνα με το άρθρο 4, παράγραφος 2, ΣΕΕ εναπόκειται στα κράτη μέλη, να καθορίζουν τα ουσιώδη συμφέροντα ασφαλείας τους και να λαμβάνουν τα κατάλληλα μέτρα για την προάσπιση της εσωτερικής και εξωτερικής τους ασφάλειας, η λήψη και μόνον εθνικού μέτρου για την προστασία της εθνικής ασφάλειας δεν μπορεί να συνεπάγεται τη μη εφαρμογή του δικαίου της Ένωσης και την απαλλαγή των κρατών μελών από την υποχρέωση σεβασμού του δικαίου αυτού (πρβλ. απόφαση της 15ης Ιουλίου 2021, Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, σκέψη 40 και εκεί μνημονευόμενη νομολογία).

51

Όπως, όμως, υπομνήσθηκε στη σκέψη 41 της παρούσας απόφασης, η εξαίρεση του άρθρου 2, παράγραφος 2, στοιχείο αʹ, του ΓΚΠΔ αναφέρεται μόνον σε κατηγορίες δραστηριοτήτων οι οποίες, ως εκ της φύσεώς τους, δεν εμπίπτουν στο πεδίο εφαρμογής του δικαίου της Ένωσης, και όχι σε κατηγορίες προσώπων αναλόγως του αν τα πρόσωπα αυτά είναι ιδιώτες ή δημόσιες αρχές, ούτε, όταν ο υπεύθυνος επεξεργασίας είναι δημόσια αρχή, σε περιπτώσεις όπου η αποστολή και οι λειτουργίες της εν λόγω αρχής εμπίπτουν ευθέως και αποκλειστικώς σε συγκεκριμένο προνόμιο δημόσιας εξουσίας, χωρίς το προνόμιο αυτό να συνδέεται με δραστηριότητα η οποία εκφεύγει εν πάση περιπτώσει του πεδίου εφαρμογής του δικαίου της Ένωσης. Συναφώς, το γεγονός ότι ο υπεύθυνος επεξεργασίας είναι δημόσια αρχή της οποίας η κύρια δραστηριότητα συνίσταται στην προάσπιση της εθνικής ασφάλειας δεν αρκεί, αυτό καθεαυτό, για να αποκλεισθεί από το πεδίο εφαρμογής του ΓΚΠΔ η επεξεργασία δεδομένων προσωπικού χαρακτήρα την οποία διενεργεί η αρχή αυτή στο πλαίσιο άλλων δραστηριοτήτων της.

52

Εν προκειμένω, από τη δικογραφία που έχει στη διάθεσή του το Δικαστήριο προκύπτει ότι αντικείμενο της επίμαχης στην υπόθεση της κύριας δίκης εξεταστικής επιτροπής ήταν ο πολιτικός έλεγχος της δραστηριότητας της BVT λόγω υπονοιών για πολιτικές παρεμβάσεις στο όργανο αυτό, χωρίς να προκύπτει ότι ο έλεγχος αυτός συνιστά, αυτός καθεαυτόν, δραστηριότητα αποσκοπούσα στη διαφύλαξη της εθνικής ασφάλειας ή δραστηριότητα δυνάμενη να υπαχθεί στην ίδια κατηγορία, κατά την έννοια της νομολογίας που μνημονεύεται στη σκέψη 45 της παρούσας απόφασης. Επομένως, υπό την επιφύλαξη εξακρίβωσης από το αιτούν δικαστήριο, η δραστηριότητα αυτή δεν εκφεύγει του πεδίου εφαρμογής του ΓΚΠΔ δυνάμει του άρθρου του 2, παράγραφος 2, στοιχείο αʹ.

53

Τούτου δοθέντος, μια κοινοβουλευτική εξεταστική επιτροπή όπως η επίμαχη στην υπόθεση της κύριας δίκης μπορεί, στο πλαίσιο των εργασιών της, να έχει πρόσβαση σε πληροφορίες, ιδίως σε δεδομένα προσωπικού χαρακτήρα, τα οποία, για λόγους εθνικής ασφάλειας, πρέπει να τυγχάνουν ειδικής προστασίας, συνιστάμενης, για παράδειγμα, στον περιορισμό των πληροφοριών που παρέχονται στα υποκείμενα των δεδομένων όσον αφορά τη συλλογή των εν λόγω δεδομένων αυτών ή ακόμη της πρόσβασης των υποκειμένων σε αυτά.

54

Συναφώς, το άρθρο 23 του ΓΚΠΔ ορίζει ότι μπορούν να επιβληθούν περιορισμοί, μέσω νομοθετικών μέτρων, στις υποχρεώσεις και τα δικαιώματα που προβλέπονται στα άρθρα 5, 12 έως 22 και 34 του ΓΚΠΔ για τη διασφάλιση, μεταξύ άλλων, της εθνικής ασφάλειας ή της εποπτικής αποστολής που συνδέεται με την άσκηση δημόσιας εξουσίας, ιδίως στο πλαίσιο της εθνικής ασφάλειας.

55

Επομένως, η απαίτηση για διαφύλαξη της εθνικής ασφάλειας μπορεί να δικαιολογήσει περιορισμούς, μέσω νομοθετικών μέτρων, στις υποχρεώσεις και στα δικαιώματα που απορρέουν από τον ΓΚΠΔ, ιδίως όσον αφορά τη συλλογή των δεδομένων προσωπικού χαρακτήρα, την ενημέρωση των υποκειμένων των δεδομένων και την πρόσβασή τους σε αυτά ή ακόμη τη γνωστοποίηση των δεδομένων, χωρίς τη συγκατάθεση των υποκειμένων των δεδομένων, σε άλλα πρόσωπα πλην του υπευθύνου επεξεργασίας, εφόσον οι περιορισμοί αυτοί σέβονται την ουσία των θεμελιωδών δικαιωμάτων και ελευθεριών των υποκειμένων των δεδομένων και συνιστούν αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία.

56

Εν προκειμένω, από τη δικογραφία που έχει στη διάθεσή του το Δικαστήριο δεν προκύπτει, ωστόσο, ότι η εξεταστική επιτροπή BVT υποστήριξε ότι η δημοσιοποίηση των δεδομένων προσωπικού χαρακτήρα του WK, η οποία επήλθε με την ανάρτηση στον ιστότοπο του Αυστριακού Κοινοβουλίου των πρακτικών της ακρόασής του ενώπιον της επιτροπής αυτής, χωρίς τη συγκατάθεση του εν λόγω προσώπου, ήταν αναγκαία για τη διαφύλαξη της εθνικής ασφάλειας και στηριζόταν σε προβλεπόμενο προς τούτο εθνικό νομοθετικό μέτρο. Παρά ταύτα, εναπόκειται στο αιτούν δικαστήριο, εφόσον απαιτηθεί, να προβεί στις αναγκαίες προς τούτο εξακριβώσεις.

57

Λαμβανομένων υπόψη των προεκτεθέντων, στο δεύτερο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 2, παράγραφος 2, στοιχείο αʹ, του ΓΚΠΔ, ερμηνευόμενο υπό το πρίσμα της αιτιολογικής του σκέψης 16, έχει την έννοια ότι οι δραστηριότητες εξεταστικής επιτροπής συσταθείσας από το κοινοβούλιο κράτους μέλους στο πλαίσιο της άσκησης της εξουσίας ελέγχου της εκτελεστικής εξουσίας, οι οποίες αποβλέπουν στη διερεύνηση των δραστηριοτήτων αστυνομικής αρχής προστασίας του κράτους λόγω υπονοιών για πολιτικές παρεμβάσεις στην αρχή αυτή, δεν μπορούν να θεωρηθούν, αυτές καθεαυτές, ως δραστηριότητες που αφορούν την εθνική ασφάλεια και δεν εμπίπτουν στο πεδίο εφαρμογής του δικαίου της Ένωσης, κατά την έννοια της ως άνω διάταξης.

58

Με το τρίτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 77, παράγραφος 1, και το άρθρο 55, παράγραφος 1, του ΓΚΠΔ έχουν την έννοια ότι, όταν ένα κράτος μέλος έχει επιλέξει, σύμφωνα με το άρθρο 51, παράγραφος 1, του κανονισμού αυτού, να συστήσει μία και μόνη εποπτική αρχή, χωρίς ωστόσο να της αναθέσει την αρμοδιότητα παρακολούθησης της εφαρμογής του ΓΚΠΔ από εξεταστική επιτροπή συσταθείσα από το κοινοβούλιο του εν λόγω κράτους μέλους στο πλαίσιο της άσκησης της εξουσίας ελέγχου της εκτελεστικής εξουσίας, οι διατάξεις του ΓΚΠΔ απονέμουν απευθείας στην εποπτική αρχή την αρμοδιότητα να επιλαμβάνεται καταγγελιών σχετικών με την επεξεργασία δεδομένων προσωπικού χαρακτήρα που διενεργεί η εξεταστική επιτροπή.

59

Ενόψει της απάντησης στο ερώτημα αυτό, υπενθυμίζεται ότι, δυνάμει του άρθρου 288, δεύτερο εδάφιο, ΣΛΕΕ, ο κανονισμός είναι δεσμευτικός ως προς όλα τα μέρη του και ισχύει άμεσα σε κάθε κράτος μέλος.

60

Κατά πάγια νομολογία, δυνάμει της διάταξης αυτής και λόγω ακριβώς της φύσης των κανονισμών και της λειτουργίας τους στο σύστημα των πηγών του δικαίου της Ένωσης, οι διατάξεις των κανονισμών έχουν, εν γένει, άμεσο αποτέλεσμα στις εθνικές έννομες τάξεις, χωρίς να απαιτείται από τις εθνικές αρχές να λαμβάνουν μέτρα εφαρμογής (απόφαση της 15ης Ιουνίου 2021, Facebook Ireland κ.λπ., C‑645/19, EU:C:2021:483, σκέψη 110 και εκεί μνημονευόμενη νομολογία).

61

Αφενός, κατά το άρθρο 77, παράγραφος 1, του ΓΚΠΔ, κάθε υποκείμενο των δεδομένων έχει το δικαίωμα να υποβάλει καταγγελία σε εποπτική αρχή, εάν θεωρεί ότι η επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν παραβαίνει τον κανονισμό αυτό. Κατά το άρθρο 55, παράγραφος 1, του ΓΚΠΔ, κάθε εποπτική αρχή είναι αρμόδια να εκτελεί τα καθήκοντα και να ασκεί τις εξουσίες που της ανατίθενται σύμφωνα με τον ίδιο κανονισμό στο έδαφος του κράτους μέλους της.

62

Όπως επισήμανε κατ’ ουσίαν ο γενικός εισαγγελέας στο σημείο 132 των προτάσεών του, από το γράμμα των διατάξεων αυτών προκύπτει ότι το άρθρο 77, παράγραφος 1, και το άρθρο 55, παράγραφος 1, του ΓΚΠΔ δεν απαιτούν, για την εφαρμογή τους, τη λήψη εθνικών μέτρων εφαρμογής και είναι αρκούντως σαφή και ανεπιφύλακτα ώστε να έχουν άμεση εφαρμογή.

63

Επομένως, ο ΓΚΠΔ, σύμφωνα με το άρθρο 51, παράγραφος 1, αναγνωρίζει μεν περιθώριο εκτιμήσεως στα κράτη μέλη όσον αφορά τον αριθμό των προς σύσταση εποπτικών αρχών, πλην όμως καθορίζει την έκταση της αρμοδιότητας που πρέπει να διαθέτουν οι αρχές αυτές, ανεξαρτήτως του αριθμού τους, προκειμένου να εποπτεύουν την εφαρμογή του κανονισμού.

64

Κατά συνέπεια, όπως επισήμανε, κατ’ ουσίαν, ο γενικός εισαγγελέας στο σημείο 137 των προτάσεών του, σε περίπτωση που κράτος μέλος επιλέξει να συστήσει μία και μόνη εποπτική αρχή, η αρχή αυτή διαθέτει κατ’ ανάγκην το σύνολο των αρμοδιοτήτων που ο ΓΚΠΔ απονέμει στις εποπτικές αρχές.

65

Οποιαδήποτε άλλη ερμηνεία θα έθετε σε κίνδυνο την πρακτική αποτελεσματικότητα του άρθρου 55, παράγραφος 1, και του άρθρου 77, παράγραφος 1, του ΓΚΠΔ και θα ενείχε τον κίνδυνο να αποδυναμωθεί η πρακτική αποτελεσματικότητα όλων των λοιπών διατάξεων του κανονισμού τις οποίες ενδέχεται να αφορά μια καταγγελία.

66

Κατά τα λοιπά, όταν ο νομοθέτης της Ένωσης θέλησε να περιορίσει την αρμοδιότητα των εποπτικών αρχών όσον αφορά τον έλεγχο πράξεων επεξεργασίας τις οποίες διενεργούν δημόσιες αρχές, το έπραξε ρητώς, όπως προκύπτει από το άρθρο 55, παράγραφος 3, του ΓΚΠΔ, κατά το οποίο οι αρχές αυτές δεν είναι αρμόδιες να ελέγχουν τις πράξεις επεξεργασίας τις οποίες διενεργούν τα δικαστήρια κατά την άσκηση της δικαιοδοτικής τους αρμοδιότητας.

67

Η Datenschutzbehörde, ο πρόεδρος του Εθνικού Κοινοβουλίου και η Αυστριακή Κυβέρνηση παρατηρούν ότι διατάξεις του αυστριακού συνταγματικού δικαίου απαγορεύουν στην εκτελεστική εξουσία να ασκεί οποιονδήποτε έλεγχο επί της νομοθετικής εξουσίας. Επομένως, οι διατάξεις αυτές αποκλείουν τη δυνατότητα της Datenschutzbehörde, η οποία υπάγεται στην εκτελεστική εξουσία, να εποπτεύει την εφαρμογή του ΓΚΠΔ από την εξεταστική επιτροπή BVT, η οποία είναι όργανο υπαγόμενο στη νομοθετική εξουσία.

68

Ωστόσο, εν προκειμένω, προκειμένου ακριβώς να γίνει σεβαστή η συνταγματική δομή των κρατών μελών, το άρθρο 51, παράγραφος 1, του ΓΚΠΔ απαιτεί από τα κράτη μέλη μόνο να συστήσουν μία τουλάχιστον εποπτική αρχή, παρέχοντάς τους συγχρόνως την ευχέρεια να συστήσουν περισσότερες από μία εποπτικές αρχές. Εξάλλου, η αιτιολογική σκέψη 117 του κανονισμού διευκρινίζει ότι τα κράτη μέλη θα πρέπει να μπορούν να συστήνουν περισσότερες εποπτικές αρχές ανάλογα με τη συνταγματική, οργανωτική και διοικητική δομή τους.

69

Επομένως, το άρθρο 51, παράγραφος 1, του ΓΚΠΔ αναγνωρίζει σε κάθε κράτος μέλος ένα περιθώριο εκτιμήσεως, παρέχοντάς του την ευχέρεια να συστήσει όσες εποπτικές αρχές επιβάλλουν ιδίως οι απαιτήσεις που απορρέουν από τη συνταγματική δομή του.

70

Επιπλέον, υπενθυμίζεται ότι το γεγονός ότι ένα κράτος μέλος επικαλείται διατάξεις του εθνικού δικαίου δεν μπορεί να θίγει την ενότητα και την αποτελεσματικότητα του δικαίου της Ένωσης. Πράγματι, τα αποτελέσματα της αρχής της υπεροχής του δικαίου της Ένωσης δεσμεύουν όλα τα όργανα ενός κράτους μέλους, οι δε εσωτερικές διατάξεις, περιλαμβανομένων των διατάξεων συνταγματικής ισχύος, δεν μπορούν να αποτελέσουν εμπόδιο προς τούτο [απόφαση της 22ας Φεβρουαρίου 2022, RS (Αποτέλεσμα των αποφάσεων συνταγματικού δικαστηρίου), C‑430/21, EU:C:2022:99, σκέψη 51 και εκεί μνημονευόμενη νομολογία].

71

Δεδομένου ότι, στο πλαίσιο του περιθωρίου του εκτιμήσεως, ένα κράτος μέλος έχει επιλέξει να συστήσει μία και μόνη εποπτική αρχή, δεν μπορεί να επικαλεστεί διατάξεις του εθνικού δικαίου, έστω και συνταγματικής ισχύος, προκειμένου να εξαιρέσει την επεξεργασία δεδομένων προσωπικού χαρακτήρα που εμπίπτουν στο πεδίο εφαρμογής του ΓΚΠΔ από την εποπτική αρμοδιότητα της αρχής αυτής.

72

Λαμβανομένων υπόψη των προεκτεθέντων, στο τρίτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 77, παράγραφος 1, και το άρθρο 55, παράγραφος 1, του ΓΚΠΔ έχουν την έννοια ότι, όταν κράτος μέλος έχει επιλέξει, σύμφωνα με το άρθρο 51, παράγραφος 1, του κανονισμού αυτού, να συστήσει μία και μόνη εποπτική αρχή, χωρίς ωστόσο να της αναθέσει την αρμοδιότητα παρακολούθησης της εφαρμογής του κανονισμού αυτού από εξεταστική επιτροπή συσταθείσα από το κοινοβούλιο του εν λόγω κράτους μέλους στο πλαίσιο της άσκησης της εξουσίας ελέγχου επί εκτελεστικής εξουσίας, οι διατάξεις του ΓΚΠΔ απονέμουν απευθείας στην εποπτική αρχή την αρμοδιότητα να επιλαμβάνεται καταγγελιών σχετικών με την επεξεργασία δεδομένων προσωπικού χαρακτήρα που διενεργεί η εξεταστική επιτροπή.

73

Δεδομένου ότι η παρούσα διαδικασία έχει ως προς τους διαδίκους της κύριας δίκης τον χαρακτήρα παρεμπίπτοντος που ανέκυψε ενώπιον του αιτούντος δικαστηρίου, σ’ αυτό εναπόκειται να αποφανθεί επί των δικαστικών εξόδων. Τα έξοδα στα οποία υποβλήθηκαν όσοι υπέβαλαν παρατηρήσεις στο Δικαστήριο, πλην των ως άνω διαδίκων, δεν αποδίδονται.

Για τους λόγους αυτούς, το Δικαστήριο (τμήμα μείζονος συνθέσεως) αποφαίνεται: