Voorlopige editie
ARREST VAN HET HOF (Grote kamer)
16 januari 2024 (*)
„Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Artikel 16 VWEU – Verordening (EU) 2016/679 – Artikel 2, lid 2, onder a) – Toepassingsgebied – Daarvan uitgesloten – Activiteiten die buiten de werkingssfeer van het Unierecht vallen – Artikel 4, lid 2, VEU – Activiteiten betreffende de nationale veiligheid – Enquêtecommissie die door het parlement van een lidstaat is ingesteld – Artikel 23, lid 1, onder a) en h), en artikelen 51 en 55 van verordening (EU) 2016/679 – Competentie van de voor gegevensbescherming bevoegde toezichthoudende autoriteit – Artikel 77 – Recht om een klacht in te dienen bij een toezichthoudende autoriteit – Rechtstreekse werking”
In zaak C‑33/22,
betreffende een verzoek om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door het Verwaltungsgerichtshof (hoogste bestuursrechter, Oostenrijk) bij beslissing van 14 december 2021, ingekomen bij het Hof op 14 januari 2022, in de procedure
Österreichische Datenschutzbehörde
tegen
WK,
in tegenwoordigheid van:
Präsident des Nationalrates,
wijst
HET HOF (Grote kamer),
samengesteld als volgt: K. Lenaerts, president, L. Bay Larsen, vicepresident, K. Jürimäe, C. Lycourgos, E. Regan en N. Piçarra, kamerpresidenten, M. Ilešič, P. G. Xuereb, L. S. Rossi (rapporteur), I. Jarukaitis, A. Kumin, N. Jääskinen, N. Wahl, I. Ziemele en J. Passer, rechters,
advocaat-generaal: M. Szpunar,
griffier: D. Dittert, afdelingshoofd,
gezien de stukken en na de terechtzitting op 6 maart 2023,
gelet op de opmerkingen van:
– de Österreichische Datenschutzbehörde, vertegenwoordigd door A. Jelinek en M. Schmidl als gemachtigden,
– WK, vertegenwoordigd door M. Sommer, Rechtsanwalt,
– de Präsident des Nationalrates, vertegenwoordigd door C. Neugebauer en R. Posnik als gemachtigden,
– de Oostenrijkse regering, vertegenwoordigd door A. Posch, J. Schmoll, S. Dörnhöfer en C. Leeb als gemachtigden,
– de Tsjechische regering, vertegenwoordigd door O. Serdula, M. Smolek en J. Vláčil als gemachtigden,
– de Europese Commissie, vertegenwoordigd door A. Bouchagiar, M. Heller en H. Kranenborg als gemachtigden,
gehoord de conclusie van de advocaat-generaal ter terechtzitting van 11 mei 2023,
het navolgende
Arrest
1 Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 16, lid 2, eerste volzin, VWEU, alsmede van artikel 2, lid 2, onder a), artikel 51, lid 1, artikel 55, lid 1, en artikel 77, lid 1, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificatie in PB 2021, L 74, blz. 35; hierna: „AVG”).
2 Dit verzoek is ingediend in het kader van een geding tussen de Österreichische Datenschutzbehörde (toezichthoudende autoriteit op het gebied van gegevensbescherming, Oostenrijk; hierna: „Datenschutzbehörde”) en WK over de afwijzing van zijn klacht tegen een vermeende schending van zijn recht op bescherming van zijn persoonsgegevens.
Toepasselijke bepalingen
Unierecht
3 De overwegingen 16, 20 en 117 AVG luiden als volgt:
„(16) Deze verordening is niet van toepassing op vraagstukken met betrekking tot de bescherming van de grondrechten en de fundamentele vrijheden of het vrije verkeer van persoonsgegevens in verband met niet onder het Unierecht vallende activiteiten, zoals activiteiten betreffende nationale veiligheid. Deze verordening is niet van toepassing op de verwerking van persoonsgegevens die de lidstaten verrichten bij activiteiten in verband met het gemeenschappelijk buitenlands en veiligheidsbeleid van de Unie.
[...]
(20) Hoewel de onderhavige verordening onder meer van toepassing is op de activiteiten van gerechten en andere rechterlijke autoriteiten, zouden in het Unierecht of het lidstatelijke recht de verwerkingen en verwerkingsprocedures met betrekking tot het verwerken van persoonsgegevens door gerechten en andere rechterlijke autoriteiten nader kunnen worden gespecificeerd. De competentie van de toezichthoudende autoriteiten mag zich niet uitstrekken tot de verwerking van persoonsgegevens door gerechten in het kader van hun gerechtelijke taken, zulks teneinde de onafhankelijkheid van de rechterlijke macht bij de uitoefening van haar rechterlijke taken, waaronder besluitvorming, te waarborgen. Het toezicht op die gegevensverwerkingen moet kunnen worden toevertrouwd aan specifieke instanties binnen de rechterlijke organisatie van de lidstaat, die met name de naleving van de regels van deze verordening moeten garanderen, leden van de rechterlijke macht van hun verplichtingen krachtens deze verordening sterker bewust moeten maken, en klachten met betrekking tot die gegevensverwerkingen moeten behandelen.
[...]
(117) Het is voor de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens van wezenlijk belang dat in elke lidstaat een toezichthoudende autoriteit wordt ingesteld die bevoegd is haar taken en bevoegdheden volstrekt onafhankelijk uit te oefenen. De lidstaten moeten de mogelijkheid hebben om in overeenstemming met hun constitutionele, organisatorische en bestuurlijke structuur meer dan één toezichthoudende autoriteit in te stellen.”
4 Artikel 2 AVG, met als opschrift „Materieel toepassingsgebied”, bepaalt:
„1. Deze verordening is van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.
2. Deze verordening is niet van toepassing op de verwerking van persoonsgegevens:
a) in het kader van activiteiten die buiten de werkingssfeer van het Unierecht vallen;
b) door de lidstaten bij de uitvoering van activiteiten die binnen de werkingssfeer van titel V, hoofdstuk 2, VEU vallen;
[...]
d) door de bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid.
3. Op de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie is verordening (EG) nr. 45/2001 [van het Europees Parlement en de Raad van 18 december 2000 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de communautaire instellingen en organen en betreffende het vrije verkeer van die gegevens (PB 2001, L 8, blz. 1)] van toepassing. Verordening (EG) nr. 45/2001 en andere rechtshandelingen van de Unie die van toepassing zijn op een dergelijke verwerking van persoonsgegevens worden overeenkomstig artikel 98 aan de beginselen en regels van de onderhavige verordening aangepast.
[...]”
5 Artikel 4 AVG („Definities”) luidt als volgt:
„Voor de toepassing van deze verordening wordt verstaan onder:
[...]
7) ‚verwerkingsverantwoordelijke’: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen;
[...]”
6 Artikel 23, lid 1, AVG, met als opschrift „Beperkingen”, bepaalt:
„De reikwijdte van de verplichtingen en rechten als bedoeld in de artikelen 12 tot en met 22 en artikel 34, alsmede artikel 5 voor zover de bepalingen van dat artikel overeenkomen met de rechten en verplichtingen als bedoeld in de artikelen 12 tot en met 22, kan door middel van een Unierechtelijke of lidstaatrechtelijke wetgevingsmaatregel die op de verwerkingsverantwoordelijke of de verwerker van toepassing is worden beperkt, op voorwaarde dat die beperking de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laat en in een democratische samenleving een noodzakelijke en evenredige maatregel is ter waarborging van:
a) de nationale veiligheid;
b) landsverdediging;
c) de openbare veiligheid;
d) de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid;
e) andere belangrijke doelstellingen van algemeen belang van de Unie of van een lidstaat, met name een belangrijk economisch of financieel belang van de Unie of van een lidstaat, met inbegrip van monetaire, budgettaire en fiscale aangelegenheden, volksgezondheid en sociale zekerheid;
f) de bescherming van de onafhankelijkheid van de rechter en gerechtelijke procedures;
[...]
h) een taak op het gebied van toezicht, inspectie of regelgeving die verband houdt, al is het incidenteel, met de uitoefening van het openbaar gezag in de in de punten a) tot en met e) en punt g) bedoelde gevallen;
i) de bescherming van de betrokkene of van de rechten en vrijheden van anderen;
[...]”
7 Artikel 51, lid 1, AVG, met als opschrift „Toezichthoudende autoriteit”, bepaalt:
„Elke lidstaat bepaalt dat één of meer onafhankelijke overheidsinstanties verantwoordelijk zijn voor het toezicht op de toepassing van deze verordening, teneinde de grondrechten en fundamentele vrijheden van natuurlijke personen in verband met de verwerking van hun persoonsgegevens te beschermen en het vrije verkeer van persoonsgegevens binnen de Unie te vergemakkelijken (,toezichthoudende autoriteit’).”
8 Artikel 54 AVG, met als opschrift „Regels inzake de oprichting van de toezichthoudende autoriteit”, bepaalt in lid 1:
„Elke lidstaat regelt al het volgende bij wet:
a) de oprichting van elke toezichthoudende autoriteit;
[...]”
9 Artikel 55 AVG („Competentie”) luidt als volgt:
„1. Elke toezichthoudende autoriteit heeft de competentie op het grondgebied van haar lidstaat de taken uit te voeren die haar overeenkomstig deze verordening zijn opgedragen en de bevoegdheden uit te oefenen die haar overeenkomstig deze verordening zijn toegekend.
2. In het geval van verwerking door overheidsinstanties of door particuliere organen die handelen op grond van artikel 6, lid 1, onder c) of e), is de toezichthoudende autoriteit van de lidstaat in kwestie competent. In dergelijke gevallen is artikel 56 niet van toepassing.
3. Toezichthoudende autoriteiten zijn niet competent toe te zien op verwerkingen door gerechten bij de uitoefening van hun rechterlijke taken.”
10 Artikel 77 AVG, „Recht om een klacht in te dienen bij een toezichthoudende autoriteit”, bepaalt het volgende:
„1. Onverminderd andere mogelijkheden van administratief beroep of een voorziening in rechte, heeft iedere betrokkene het recht een klacht in te dienen bij een toezichthoudende autoriteit, met name in de lidstaat waar hij gewoonlijk verblijft, hij zijn werkplek heeft of waar de beweerde inbreuk is begaan, indien hij van mening is dat de verwerking van hem betreffende persoonsgegevens inbreuk maakt op deze verordening.
2. De toezichthoudende autoriteit waarbij de klacht is ingediend, stelt de klager in kennis van de voortgang en het resultaat van de klacht, alsmede van de mogelijke voorziening in rechte overeenkomstig artikel 78.”
Oostenrijks recht
11 Artikel 53 van het Bundes-Verfassungsgesetz (federale grondwet) van 2 januari 1930 (BGBl. 1/1930), in de versie die van toepassing is op de feiten in het hoofdgeding (hierna: „B-VG”), bepaalt het volgende:
„(1) De Nationalrat [(lagerhuis van het parlement, Oostenrijk)] kan besluiten enquêtecommissies in te stellen. Bovendien wordt een enquêtecommissie ingesteld op verzoek van een kwart van zijn leden.
(2) De enquête heeft betrekking op bepaalde afgesloten activiteiten op het gebied van de uitvoerende macht op federaal niveau. Daartoe behoren alle activiteiten van federale instanties waarmee de federale overheid, ongeacht de omvang van haar betrokkenheid, medezeggenschaps- en controlerechten uitoefent. De rechtspraak is van toezicht uitgesloten.
(3) Alle organen van de federale overheid, de deelstaten, gemeenten en samenwerkingsverbanden van gemeenten en andere autonome organen moeten op verzoek hun dossiers en documenten aan een enquêtecommissie overleggen voor zover deze relevant zijn voor het voorwerp van het onderzoek en zijn verplicht gevolg te geven aan de verzoeken van een enquêtecommissie om bewijsmateriaal te verzamelen dat relevant is voor het voorwerp van het onderzoek. Deze verplichting geldt niet voor de overlegging van dossiers en documenten waarvan de openbaarmaking bronnen in gevaar zou brengen in de zin van artikel 52a, lid 2.
(4) De in lid 3 genoemde verplichting geldt niet wanneer de rechtmatige totstandkoming van besluiten van de bondsregering of van haar individuele leden, of de directe voorbereiding daarvan in het gedrang komt.
[...]”
12 Het B-VG voorziet in de scheiding van de wetgevende, de uitvoerende en de rechterlijke macht. Om dit beginsel van de scheiding der machten te doorbreken, is er een constitutionele grondslag vereist.
13 § 1, lid 1, van het Datenschutzgesetz (wet inzake gegevensbescherming) van 17 augustus 1999 (BGBl. I, 165/1999), in de versie die van toepassing is op de feiten in het hoofdgeding (hierna: „DSG”), bepaalt:
„Eenieder heeft, mede gelet op de eerbiediging van zijn privéleven en zijn familie- en gezinsleven, recht op vertrouwelijkheid van de hem betreffende persoonsgegevens wanneer er sprake is van een beschermenswaardig belang. Van een dergelijk belang is geen sprake als er voor gegevens geen aanspraak op vertrouwelijkheid kan worden gemaakt omdat zij algemeen beschikbaar zijn of niet tot de betrokkene kunnen worden herleid.”
14 § 18, lid 1, DSG bepaalt:
„De Datenschutzbehörde is een nationale toezichthoudende autoriteit overeenkomstig artikel 51 AVG.”
15 § 24, lid 1, DSG luidt:
„Iedere betrokkene heeft het recht een klacht in te dienen bij de Datenschutzbehörde, indien hij van mening is dat de verwerking van hem betreffende persoonsgegevens inbreuk maakt op de AVG of op § 1 of op artikel 2, hoofdstuk 1.”
16 § 35 DSG bepaalt:
„(1) „De Datenschutzbehörde heeft tot taak de gegevensbescherming overeenkomstig de AVG en deze federale wet te waarborgen.
(2) De Datenschutzbehörde oefent haar bevoegdheden ook uit jegens de in artikel 19 B-VG genoemde hoogste organen van de uitvoerende macht en jegens de hoogste organen als bedoeld in artikel 30, leden 3 tot en met 6, artikel 125, artikel 134, lid 8, en artikel 148h, leden 1 en 2, B-VG wat de onder hun bevoegdheid vallende bestuurlijke aangelegenheden betreft.”
Hoofdgeding en prejudiciële vragen
17 Bij besluit van 20 april 2018 heeft het lagerhuis van het parlement overeenkomstig artikel 53 B-VG een enquêtecommissie ingesteld om na te gaan of er sprake was van mogelijke politieke beïnvloeding van het Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (federaal bureau voor de bescherming van de grondwet en de bestrijding van terrorisme, Oostenrijk; hierna: „BVT”), sinds 1 december 2021 de Direktion Staatsschutz und Nachrichtendienst (directoraat staatsveiligheid en inlichtingendienst) geheten.
18 Op 19 september 2018 heeft deze enquêtecommissie (hierna: „BVT-enquêtecommissie”) WK als getuige gehoord tijdens een hoorzitting die toegankelijk was voor de media. Hoewel WK om anonimiteit had verzocht, werd het verslag van deze hoorzitting gepubliceerd op de website van het Parlament Österreich (Oostenrijks parlement), met vermelding van zijn volledige voor- en achternaam.
19 Op 2 april 2019 heeft WK bij de Datenschutzbehörde een klacht ingediend waarin hij aanvoerde dat de publicatie van het verslag van die hoorzitting, met vermelding van zijn identiteit, in strijd was met de bepalingen van de AVG en met § 1 DSG en tegen zijn wil was gebeurd. Ter ondersteuning van zijn klacht heeft hij aangegeven dat hij als undercoveragent werkte bij de politie-eenheid voor de bestrijding van criminaliteit op straat.
20 Bij besluit van 18 september 2019 heeft de Datenschutzbehörde die klacht afgewezen. Volgens deze autoriteit staat de AVG er in beginsel weliswaar niet aan in de weg dat de toezichthoudende autoriteiten toezicht uitoefenen op de wetgevende organen, maar is het op grond van het beginsel van de scheiding der machten uitgesloten dat de uitvoerende macht toezicht houdt op de wetgevende macht. Betoogd wordt dat, aangezien de BVT-enquêtecommissie onderdeel is van de wetgevende macht, de Datenschutzbehörde als orgaan van de uitvoerende macht in die omstandigheden niet bevoegd is om controle uit te oefenen op de werkzaamheden van deze commissie en dus onbevoegd is om uitspraak te doen over de klacht van WK.
21 Bij vonnis van 23 november 2020 heeft het Bundesverwaltungsgericht (federale bestuursrechter in eerste aanleg, Oostenrijk) het door WK ingestelde beroep toegewezen en het besluit van de Datenschutzbehörde nietig verklaard. Het heeft in wezen geoordeeld dat de AVG van toepassing is op de handelingen van de wetgever en dus op die van de BVT-enquêtecommissie. Het materiële toepassingsgebied van de AVG is overeenkomstig artikel 2, lid 1, ervan alomvattend opgevat en is van toepassing op alle gegevensverwerkingen, ongeacht het orgaan dat de verwerking verricht en de overheidsfunctie waarvan dat orgaan deel uitmaakt, aldus het Bundesverwaltungsgericht. Ook uit artikel 2, lid 2, AVG kan niet worden afgeleid dat deze verordening niet van toepassing is op bepaalde overheidsfuncties, zoals de wetgevende functie, aangezien de in punt a) van die bepaling genoemde uitzondering restrictief moet worden uitgelegd. Bijgevolg was de Datenschutzbehörde volgens het Bundesverwaltungsgericht bevoegd om overeenkomstig artikel 77 van deze verordening uitspraak te doen over de klacht van WK.
22 De Datenschutzbehörde heeft tegen het vonnis van het Bundesverwaltungsgericht beroep in Revision ingesteld bij het Verwaltungsgerichtshof (hoogste bestuursrechter, Oostenrijk), de verwijzende rechter in de onderhavige zaak. Het Verwaltungsgerichtshof vraagt zich in de eerste plaats af of de handelingen van een enquêtecommissie die door het parlement van een lidstaat is ingesteld, ongeacht het voorwerp van het onderzoek, krachtens artikel 2, lid 2, onder a), AVG en artikel 16, lid 2, eerste volzin, VWEU buiten het toepassingsgebied van de AVG vallen op de grond dat de werkzaamheden van een dergelijke commissie naar hun aard een activiteit vormen die buiten de werkingssfeer van het Unierecht valt.
23 In deze context merkt de verwijzende rechter om te beginnen op dat volgens de desbetreffende rechtspraak van het Hof, die met name voortvloeit uit het arrest van 9 juli 2020, Land Hessen (C‑272/19, EU:C:2020:535), voor de toepassing van de AVG niet kan worden vereist dat de betrokken verwerking van persoonsgegevens concreet wordt verricht voor doeleinden die onder het Unierecht vallen, grensoverschrijdend is of het vrije verkeer tussen de lidstaten specifiek en rechtstreeks beïnvloedt. De toepassing van de AVG is echter slechts uitgesloten als ten minste één van de uitzonderingen in artikel 2, lid 2, onder a) tot en met d), van deze verordening van toepassing is.
24 In dit verband herinnert de verwijzende rechter eraan dat volgens de rechtspraak van het Hof artikel 2, lid 2, onder a), AVG, gelezen in het licht van overweging 16 van die verordening, moet worden geacht enkel tot doel te hebben de verwerking van persoonsgegevens door overheidsinstanties in het kader van activiteiten die ertoe strekken de nationale veiligheid te beschermen of in het kader van activiteiten die in dezelfde categorie kunnen worden ondergebracht, van het toepassingsgebied van de verordening uit te sluiten. De in artikel 2, lid 2, onder a), AVG bedoelde activiteiten die ertoe strekken de nationale veiligheid te beschermen, bestrijken met name de activiteiten die tot doel hebben de essentiële functies van de staat en de fundamentele belangen van de samenleving te beschermen [arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punten 62‑67 en aldaar aangehaalde rechtspraak].
25 Vervolgens wijst de verwijzende rechter op bepaalde verschillen tussen de parlementaire commissie die aan de orde was in de zaak die heeft geleid tot het arrest van 9 juli 2020, Land Hessen (C‑272/19, EU:C:2020:535), namelijk de commissie verzoekschriften van het parlement van het Land Hessen (deelstaat Hessen, Duitsland), en de BVT-enquêtecommissie. In het bijzonder dragen de activiteiten van de laatstgenoemde commissie niet slechts indirect bij aan de parlementaire werkzaamheden, maar behoren zij tot de kern van deze werkzaamheden, gelet op de taak om toezicht te houden die de door het lagerhuis van het parlement ingestelde enquêtecommissies volgens het B-VG hebben.
26 Ten slotte verwijst de verwijzende rechter naar het beginsel van de scheiding van de wetgevende, de uitvoerende en de rechterlijke macht, dat inherent is aan zowel het recht van elke lidstaat als het Unierecht. Het is juist dat artikel 55, lid 3, AVG slechts bepaalt dat toezichthoudende autoriteiten niet competent zijn om toe te zien op de verwerking van persoonsgegevens door gerechten bij de uitoefening van hun rechterlijke taken en geen betrekking heeft op gegevensverwerking waar het gaat om de kern van de parlementaire werkzaamheden, aldus die rechter. Dit kan evenwel worden verklaard door het feit dat die werkzaamheden volgens de Uniewetgever reeds buiten het toepassingsgebied van deze verordening vallen op grond van artikel 2, lid 2, onder a), ervan.
27 In de tweede plaats merkt de verwijzende rechter op dat het onderzoek van de BVT-enquêtecommissie betrekking heeft op activiteiten met betrekking tot de nationale veiligheid, welke activiteiten gelet op overweging 16 AVG buiten de werkingssfeer van het Unierecht vallen en dus zijn uitgesloten van het materiële toepassingsgebied van deze verordening overeenkomstig artikel 2, lid 2, onder a), ervan.
28 Indien er wordt aangenomen, aldus de verwijzende rechter, dat de parlementaire controlewerkzaamheden van een enquêtecommissie in beginsel binnen het toepassingsgebied van het Unierecht vallen in de zin van artikel 16, lid 2, VWEU, dan moet ook worden nagegaan of de werkzaamheden van die commissie in elk geval niet onder de uitzondering van artikel 2, lid 2, onder a), AVG vallen, gelet op het feit dat het onderzoek betrekking heeft op activiteiten van de uitvoerende macht die, zoals in casu, niet binnen het toepassingsgebied van het Unierecht vallen.
29 In de derde plaats vraagt de verwijzende rechter zich, met name gelet op het constitutionele beginsel van de scheiding der machten in Oostenrijk, af of de Datenschutzbehörde – de enige nationale toezichthoudende autoriteit in de zin van artikel 51 AVG – bevoegd is om louter op grond van de verordening uitspraak te doen over een klacht als die van WK wanneer er in het nationale recht geen constitutionele grondslag is die het mogelijk maakt om te kunnen spreken van een dergelijke bevoegdheid.
30 In deze omstandigheden heeft het Verwaltungsgerichtshof de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:
„1) Vallen werkzaamheden van een enquêtecommissie die door een parlement van een lidstaat is ingesteld bij de uitoefening van zijn recht van toezicht op de uitvoerende macht, binnen het toepassingsgebied van het Unierecht in de zin van artikel 16, lid 2, eerste volzin, VWEU, ongeacht het voorwerp van de enquête, zodat de [AVG] van toepassing is op de verwerking van persoonsgegevens door een parlementaire enquêtecommissie van een lidstaat?
Indien de eerste vraag bevestigend wordt beantwoord:
2) Vallen werkzaamheden van een enquêtecommissie die door een parlement van een lidstaat is ingesteld bij de uitoefening van zijn recht van toezicht op de uitvoerende macht en waarvan het onderzoek betrekking heeft op activiteiten van een politiële staatsveiligheidsdienst en dus op activiteiten ter bescherming van de nationale veiligheid in de zin van overweging 16 [AVG], onder de uitzondering van artikel 2, lid 2, onder a), AVG?
Indien de tweede vraag ontkennend wordt beantwoord:
3) Indien – zoals in het onderhavige geval – een lidstaat slechts één toezichthoudende autoriteit in de zin van artikel 51, lid 1, AVG heeft ingesteld, vloeit haar bevoegdheid om de in artikel 77, lid 1, juncto artikel 55, lid 1, AVG bedoelde klachten te behandelen dan reeds rechtstreeks voort uit [de AVG]?”
Beantwoording van de prejudiciële vragen
Eerste vraag
31 Met zijn eerste vraag wenst de verwijzende rechter in essentie te vernemen of artikel 16, lid 2, eerste volzin, VWEU en artikel 2, lid 2, onder a), AVG aldus moeten worden uitgelegd dat activiteiten louter omdat zij worden verricht door een enquêtecommissie die door het parlement van een lidstaat is ingesteld ter uitoefening van zijn recht van toezicht op de uitvoerende macht, buiten de werkingssfeer van het Unierecht vallen en daarmee zijn uitgesloten van het toepassingsgebied van deze verordening.
32 Artikel 16 VWEU, dat de rechtsgrondslag voor de AVG is, bepaalt in lid 2 dat het Europees Parlement en de Raad van de Europese Unie de voorschriften vaststellen betreffende de bescherming van natuurlijke personen wat de verwerking van persoonsgegevens door onder meer de lidstaten bij de uitoefening van activiteiten die binnen het toepassingsgebied van het Unierecht vallen betreft.
33 In overeenstemming met deze bepaling bevat artikel 2, lid 1, AVG een zeer ruime definitie van het materiële toepassingsgebied van de AVG [arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punt 61]. Het bepaalt dat deze verordening „van toepassing [is] op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen”.
34 Voorts geeft artikel 2, leden 2 en 3, AVG een uitputtende opsomming van de uitzonderingen op de regel in lid 1, waarin het materiële toepassingsgebied van deze verordening wordt gedefinieerd. In het bijzonder bepaalt artikel 2, lid 2, onder a), van die verordening dat deze niet van toepassing is op de verwerking van persoonsgegevens „in het kader van activiteiten die buiten de werkingssfeer van het Unierecht vallen”.
35 Tegen deze achtergrond vraagt de verwijzende rechter zich af of de verwerking van persoonsgegevens in het kader van de werkzaamheden van een enquêtecommissie die door het parlement van een lidstaat is ingesteld ter uitoefening van zijn recht van toezicht op de uitvoerende macht, hoe dan ook onder de uitzondering van de laatstgenoemde bepaling valt, ongeacht het voorwerp van het onderzoek.
36 In dit verband dient te worden opgemerkt dat de AVG, behoudens in de in artikel 2, leden 2 en 3, ervan genoemde gevallen, van toepassing is op zowel verwerkingen door particulieren als verwerkingen door overheidsinstanties (zie in die zin arrest van 24 maart 2022, Autoriteit Persoonsgegevens, C‑245/20, EU:C:2022:216, punt 25).
37 Uit de rechtspraak van het Hof volgt dat de uitzondering waarin artikel 2, lid 2, AVG voorziet restrictief moet worden uitgelegd [arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punt 62 en aldaar aangehaalde rechtspraak]. In deze context heeft het Hof reeds verklaard dat artikel 2, lid 2, onder a), AVG, gelezen in het licht van overweging 16 van deze verordening, enkel tot doel heeft om de verwerking van persoonsgegevens door overheidsinstanties in het kader van activiteiten die ertoe strekken de nationale veiligheid te beschermen of in het kader van activiteiten die in die categorie kunnen worden ondergebracht, van het toepassingsgebied van die verordening uit te sluiten, zodat het feit dat een activiteit kenmerkend is voor de staat of voor een overheidsinstantie, op zichzelf niet volstaat opdat die uitzondering automatisch op die activiteit van toepassing is [arresten van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punt 66, en 20 oktober 2022, Koalitsia „Demokratichna Bulgaria – Obedinenie”, C‑306/21, EU:C:2022:813, punt 39].
38 Deze uitlegging, die reeds voortvloeit uit de omstandigheid dat artikel 2, lid 1, AVG geen onderscheid maakt naargelang van wie de betrokken verwerking verricht, wordt bevestigd door artikel 4, punt 7, van deze verordening, waarin het begrip „verwerkingsverantwoordelijke” wordt gedefinieerd als „een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt”.
39 Het is juist bij de uitlegging van deze laatste bepaling dat het Hof heeft geoordeeld dat een commissie verzoekschriften van het parlement van een deelstaat van een lidstaat, voor zover zij, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt, moet worden aangemerkt als „verwerkingsverantwoordelijke” in de zin van die bepaling, zodat de verwerking van persoonsgegevens door deze commissie binnen de werkingssfeer van deze verordening valt (arrest van 9 juli 2020, Land Hessen, C‑272/19, EU:C:2020:535, punt 74).
40 De door de Präsident des Nationalrates (voorzitter van het lagerhuis van het parlement, Oostenrijk) naar voren gebrachte omstandigheid dat – anders dan de commissie verzoekschriften in de zaak die heeft geleid tot het arrest van 9 juli 2020, Land Hessen (C‑272/19, EU:C:2020:535), die slechts indirect bijdroeg aan de parlementaire werkzaamheden – de BVT-enquêtecommissie een orgaan is waarvan de activiteiten rechtstreeks en uitsluitend van parlementaire aard zijn, impliceert niet dat de activiteiten van die enquêtecommissie van het toepassingsgebied van de AVG zijn uitgesloten.
41 Zoals de advocaat-generaal in punt 84 van zijn conclusie in wezen heeft opgemerkt, heeft de in artikel 2, lid 2, onder a), AVG neergelegde uitzondering op het toepassingsgebied van deze verordening immers slechts betrekking op categorieën van activiteiten die naar hun aard niet binnen de werkingssfeer van het Unierecht vallen en niet op categorieën van personen, waarbij er wordt gekeken of zij van privaatrechtelijke dan wel publiekrechtelijke aard zijn, en ook niet – wanneer de verwerkingsverantwoordelijke een overheidsinstantie is – op de omstandigheid dat de taken en plichten van die instantie rechtstreeks en uitsluitend zien op een specifieke publiekrechtelijke bevoegdheid, indien deze bevoegdheid geen verband houdt met activiteiten die hoe dan ook buiten de werkingssfeer van het Unierecht vallen.
42 Bijgevolg kan op basis van het feit dat de verwerking van persoonsgegevens wordt verricht door een enquêtecommissie die door het parlement van een lidstaat is ingesteld ter uitoefening van zijn recht van toezicht op de uitvoerende macht, als zodanig niet worden geoordeeld dat deze verwerking plaatsvindt in het kader van activiteiten die buiten de werkingssfeer van het Unierecht vallen in de zin van artikel 2, lid 2, onder a), AVG.
43 Gelet op een en ander dient op de eerste vraag te worden geantwoord dat artikel 16, lid 2, eerste volzin, VWEU en artikel 2, lid 2, onder a), AVG aldus moeten worden uitgelegd dat activiteiten niet kunnen worden geacht buiten de werkingssfeer van het Unierecht te vallen en daarmee te zijn uitgesloten van het toepassingsgebied van deze verordening om de enkele reden dat zij worden verricht door een enquêtecommissie die door het parlement van een lidstaat is ingesteld ter uitoefening van zijn recht van toezicht op de uitvoerende macht.
Tweede vraag
44 Met zijn tweede vraag wenst de verwijzende rechter in essentie te vernemen of artikel 2, lid 2, onder a), AVG, gelezen in het licht van overweging 16 van deze verordening, aldus moet worden uitgelegd dat de activiteiten die door een door het parlement van een lidstaat ter uitoefening van zijn recht van toezicht op de uitvoerende macht ingestelde enquêtecommissie worden verricht en die dienen om de activiteiten van een politiële staatsveiligheidsdienst te onderzoeken omdat er sprake is van mogelijke politieke beïnvloeding van die dienst, niet kunnen worden aangemerkt als activiteiten die betrekking hebben op de nationale veiligheid en die buiten de werkingssfeer van het Unierecht vallen in de zin van die bepaling.
45 Zoals in punt 37 van het onderhavige arrest in herinnering is gebracht, moet artikel 2, lid 2, onder a), AVG restrictief worden uitgelegd en heeft het enkel tot doel de verwerking van persoonsgegevens door overheidsinstanties in het kader van activiteiten die ertoe strekken de nationale veiligheid te beschermen of in het kader van activiteiten die in dezelfde categorie kan worden ondergebracht, van het toepassingsgebied van die verordening uit te sluiten.
46 De in artikel 2, lid 2, onder a), AVG bedoelde activiteiten die ertoe strekken de nationale veiligheid te beschermen, bestrijken met name de activiteiten die tot doel hebben de essentiële functies van de staat en de fundamentele belangen van de samenleving te beschermen [arresten van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punt 67, en 20 oktober 2022, Koalitsia „Demokratichna Bulgaria – Obedinenie”, C‑306/21, EU:C:2022:813, punt 40].
47 Overeenkomstig artikel 4, lid 2, VEU blijven dergelijke activiteiten de uitsluitende verantwoordelijkheid van de lidstaten (zie in die zin arrest van 15 juli 2021, Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, punt 36).
48 In casu blijkt uit het dossier waarover het Hof beschikt dat de BVT-enquêtecommissie is ingesteld door het lagerhuis van het parlement om te onderzoeken of er mogelijk sprake is van politieke beïnvloeding van de BVT, die in de in het hoofdgeding aan de orde zijnde periode tot taak had de bescherming van de grondwet te waarborgen en terrorisme te bestrijden.
49 De voorzitter van het lagerhuis van het parlement en de Tsjechische regering zijn in wezen van mening dat de activiteiten van de BVT onder de uitzondering van artikel 2, lid 2, onder a), AVG vallen omdat zijn taken „activiteiten betreffende de nationale veiligheid” omvatten. Volgens hen vallen ook de activiteiten van een enquêtecommissie van het parlement van een lidstaat die bestaan uit het toezicht houden op overheidsinstanties die, net als de BVT, belast zijn met het waarborgen van de nationale veiligheid, onder dat begrip. Betoogd wordt dat de toezichthoudende activiteiten van die enquêtecommissie namelijk tot doel hebben om na te gaan of de autoriteiten waarop toezicht wordt gehouden de nationale veiligheid naar behoren waarborgen.
50 In dit verband moet erop worden gewezen dat het weliswaar aan de lidstaten staat om overeenkomstig artikel 4, lid 2, VEU hun wezenlijke veiligheidsbelangen te definiëren en om passende maatregelen te nemen teneinde hun binnenlandse en buitenlandse veiligheid te verzekeren, maar dat het enkele feit dat een nationale maatregel is genomen met het oog op de bescherming van de nationale veiligheid er niet toe kan leiden dat het Unierecht niet van toepassing is en dat de lidstaten worden ontheven van de verplichting om dit recht te eerbiedigen (zie in die zin arrest van 15 juli 2021, Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, punt 40 en aldaar aangehaalde rechtspraak).
51 Zoals in punt 41 van het onderhavige arrest is opgemerkt, heeft de uitzondering van artikel 2, lid 2, onder a), AVG slechts betrekking op categorieën van activiteiten die naar hun aard niet binnen de werkingssfeer van het Unierecht vallen en niet op categorieën van personen, waarbij er wordt gekeken of zij van privaatrechtelijke dan wel publiekrechtelijke aard zijn, en ook niet – wanneer de verwerkingsverantwoordelijke een overheidsinstantie is – op de omstandigheid dat de taken en plichten van die instantie rechtstreeks en uitsluitend zien op een specifieke publiekrechtelijke bevoegdheid, indien deze bevoegdheid geen verband houdt met activiteiten die hoe dan ook buiten de werkingssfeer van het Unierecht vallen. Het is op zichzelf niet voldoende dat de verwerkingsverantwoordelijke een overheidsinstantie is waarvan de hoofdactiviteiten bestaan uit het waarborgen van de nationale veiligheid om de verwerking van persoonsgegevens die deze instantie in het kader van andere door haar uitgevoerde activiteiten verricht uit te sluiten van het toepassingsgebied van de AVG.
52 In casu blijkt uit het dossier waarover het Hof beschikt dat de enquêtecommissie die in het hoofdgeding aan de orde is tot doel had om politiek toezicht uit te oefenen op de activiteiten van de BVT vanwege mogelijke politieke beïnvloeding van dat orgaan, maar dat er bij dit toezicht als zodanig geen sprake lijkt te zijn van activiteiten waarmee de nationale veiligheid wordt beschermd of die in die categorie kunnen worden ondergebracht in de zin van de in punt 45 van het onderhavige arrest in herinnering gebrachte rechtspraak. Hieruit volgt dat deze activiteiten, onder voorbehoud van verificatie door de verwijzende rechter, niet buiten het toepassingsgebied van de AVG vallen op grond van artikel 2, lid 2, onder a), AVG.
53 Een parlementaire enquêtecommissie zoals die welke in het hoofdgeding aan de orde is, kan in het kader van haar werkzaamheden echter toegang hebben tot informatie, waaronder ook persoonsgegevens, die om redenen van nationale veiligheid bijzondere bescherming behoeven. Zo kan het zijn dat er beperkingen gelden voor de aan de betrokkenen bij het verzamelen van persoonsgegevens te verstrekken informatie of dat de toegang van die personen tot die gegevens wordt beperkt.
54 In dit verband bepaalt artikel 23 AVG dat er door middel van een Unierechtelijke of lidstaatrechtelijke wetgevingsmaatregel beperkingen aan de verplichtingen en rechten als bedoeld in de artikelen 5, 12 tot en met 22 en 34 AVG kunnen worden gesteld, onder meer ter waarborging van de nationale veiligheid of een taak op het gebied van toezicht die verband houdt met de uitoefening van het openbaar gezag, waaronder ook de uitoefening daarvan in het kader van de nationale veiligheid.
55 De noodzaak om de nationale veiligheid te waarborgen kan dus rechtvaardigen dat de uit de AVG voortvloeiende verplichtingen en rechten door middel van een Unierechtelijke of lidstaatrechtelijke wetgevingsmaatregel worden beperkt, met name waar het gaat om het verzamelen van persoonsgegevens, de aan de betrokkenen te verstrekken informatie en hun toegang tot die gegevens of de openbaarmaking ervan – zonder toestemming van de betrokkenen – aan andere personen dan de verwerkingsverantwoordelijke, op voorwaarde dat die beperking de wezenlijke inhoud van de grondrechten en fundamentele vrijheden van de betrokkenen onverlet laat en in een democratische samenleving een noodzakelijke en evenredige maatregel is.
56 In casu blijkt uit het dossier waarover het Hof beschikt echter niet dat de BVT-enquêtecommissie heeft gesteld dat de openbaarmaking van de persoonsgegevens van WK, die zonder zijn toestemming plaatsvond toen het verslag van de hoorzitting voor deze commissie op de website van het Oostenrijkse parlement werd gepubliceerd, noodzakelijk was om de nationale veiligheid te waarborgen en gebaseerd was op een daartoe vastgestelde nationale wetgevingsmaatregel. Het staat evenwel aan de verwijzende rechter om indien nodig de daartoe noodzakelijke verificaties te verrichten.
57 Gelet op een en ander moet op de tweede vraag worden geantwoord dat artikel 2, lid 2, onder a), AVG, gelezen in het licht van overweging 16 ervan, aldus moet worden uitgelegd dat de activiteiten die door een door het parlement van een lidstaat ter uitoefening van zijn recht van toezicht op de uitvoerende macht ingestelde enquêtecommissie worden verricht en die dienen om de activiteiten van een politiële staatsveiligheidsdienst te onderzoeken omdat er sprake is van mogelijke politieke beïnvloeding van die dienst, als zodanig niet kunnen worden aangemerkt als activiteiten die betrekking hebben op de nationale veiligheid en die buiten de werkingssfeer van het Unierecht vallen in de zin van die bepaling.
Derde vraag
58 Met zijn derde vraag wenst de verwijzende rechter in essentie te vernemen of artikel 77, lid 1, en artikel 55, lid 1, AVG aldus moeten worden uitgelegd dat, wanneer een lidstaat er overeenkomstig artikel 51, lid 1, van deze verordening voor heeft gekozen één enkele toezichthoudende autoriteit in te stellen, maar er niet de bevoegdheid aan heeft toegekend om toezicht te houden op de toepassing van de AVG door een enquêtecommissie die door het parlement van deze lidstaat is ingesteld ter uitoefening van zijn recht van toezicht op de uitvoerende macht, die bepalingen aan deze autoriteit rechtstreeks de bevoegdheid verlenen om kennis te nemen van klachten over de verwerking van persoonsgegevens door die enquêtecommissie.
59 Ter beantwoording van deze vraag dient eraan te worden herinnerd dat een verordening volgens artikel 288, tweede alinea, VWEU verbindend is in al haar onderdelen en rechtstreeks toepasselijk is in elke lidstaat.
60 Volgens vaste rechtspraak hebben bepalingen van verordeningen krachtens dat artikel en wegens hun aard en hun functie in het systeem van de bronnen van het Unierecht in het algemeen rechtstreekse werking in de nationale rechtsorden, zonder dat de nationale autoriteiten uitvoeringsmaatregelen hoeven vast te stellen (arrest van 15 juni 2021, Facebook Ireland e.a., C‑645/19, EU:C:2021:483, punt 110 en aldaar aangehaalde rechtspraak).
61 Volgens artikel 77, lid 1, AVG heeft iedere betrokkene het recht een klacht in te dienen bij een toezichthoudende autoriteit, indien hij van mening is dat de verwerking van hem betreffende persoonsgegevens inbreuk maakt op deze verordening. Voorts heeft volgens artikel 55, lid 1, AVG elke toezichthoudende autoriteit de competentie om op het grondgebied van haar lidstaat de taken uit te voeren die haar overeenkomstig deze verordening zijn opgedragen en de bevoegdheden uit te oefenen die haar overeenkomstig deze verordening zijn toegekend.
62 Uit de bewoordingen van deze bepalingen blijkt dat, zoals de advocaat-generaal in punt 132 van zijn conclusie in wezen heeft opgemerkt, artikel 77, lid 1, en artikel 55, lid 1, AVG geen nationale uitvoeringsmaatregelen vereisen en voldoende duidelijk, nauwkeurig en onvoorwaardelijk zijn om rechtstreekse werking te hebben.
63 Hieruit volgt dat de AVG de lidstaten overeenkomstig artikel 51, lid 1, ervan weliswaar een beoordelingsmarge laat met betrekking tot het aantal in te stellen toezichthoudende autoriteiten, maar dat deze verordening wel bepaalt welke reikwijdte de bevoegdheden van deze autoriteiten, ongeacht hun aantal, hebben opdat zij toezicht houden op de toepassing van de verordening.
64 Zoals de advocaat-generaal in punt 137 van zijn conclusie in wezen heeft opgemerkt is het zo dat, wanneer een lidstaat ervoor kiest om één enkele toezichthoudende autoriteit in te stellen, deze dan noodzakelijkerwijs beschikt over alle bevoegdheden die de AVG aan de toezichthoudende autoriteiten toekent.
65 Een andersluidende uitlegging zou afbreuk doen aan de effectiviteit van artikel 55, lid 1, en artikel 77, lid 1, AVG en zou de effectiviteit kunnen aantasten van alle andere bepalingen van deze verordening die relevant zouden kunnen zijn voor een klacht.
66 Bovendien heeft de Uniewetgever, waar hij de bevoegdheid van de toezichthoudende autoriteiten heeft willen beperken met betrekking tot het toezicht op verwerkingen door overheidsinstanties, dat uitdrukkelijk gedaan, zoals blijkt uit artikel 55, lid 3, AVG, volgens hetwelk deze autoriteiten niet competent zijn om toe te zien op verwerkingen door gerechten bij de uitoefening van hun rechterlijke taken.
67 De Datenschutzbehörde, de voorzitter van het lagerhuis van het parlement en de Oostenrijkse regering merken op dat bepalingen van Oostenrijks constitutioneel recht de uitvoerende macht verbieden toezicht uit te oefenen op de wetgevende macht. Deze bepalingen sluiten volgens hen dus uit dat de Datenschutzbehörde, die onderdeel is van de uitvoerende macht, toezicht kan uitoefenen op de toepassing van de AVG door de BVT-enquêtecommissie, die onderdeel is van de wetgevende macht.
68 Het is echter juist met het oog op de constitutionele structuur van de lidstaten dat artikel 51, lid 1, AVG slechts vereist dat de lidstaten ten minste één toezichthoudende autoriteit instellen, maar hun de mogelijkheid laat om er meerdere in te stellen. Overweging 117 van deze verordening vermeldt overigens dat de lidstaten de mogelijkheid moeten hebben om in overeenstemming met hun constitutionele, organisatorische en bestuurlijke structuur meer dan één toezichthoudende autoriteit in te stellen.
69 Artikel 51, lid 1, AVG verleent elke lidstaat dus een beoordelingsmarge waardoor hij zo veel toezichthoudende autoriteiten kan instellen als nodig is, met name vanwege zijn constitutionele structuur.
70 Er zij bovendien aan herinnerd dat de omstandigheid dat een lidstaat zich beroept op bepalingen van nationaal recht niet kan afdoen aan de eenheid en de werking van het Unierecht. De gevolgen van het beginsel van voorrang van het Unierecht zijn immers bindend voor alle organen van een lidstaat, zonder dat de nationale bepalingen – waaronder de grondwettelijke – daaraan in de weg kunnen staan [arrest van 22 februari 2022, RS (Gevolgen van de uitspraken van een grondwettelijk hof), C‑430/21, EU:C:2022:99, punt 51 en aldaar aangehaalde rechtspraak].
71 Wanneer een lidstaat in het kader van zijn beoordelingsmarge ervoor heeft gekozen om één enkele toezichthoudende autoriteit in te stellen, kan hij zich niet beroepen op bepalingen van nationaal recht, ook niet van constitutionele aard, om onder de AVG vallende verwerkingen van persoonsgegevens aan het toezicht van deze autoriteit te onttrekken.
72 Gelet op het voorgaande moet op de derde vraag worden geantwoord dat artikel 77, lid 1, en artikel 55, lid 1, AVG aldus moeten worden uitgelegd dat, wanneer een lidstaat er overeenkomstig artikel 51, lid 1, van deze verordening voor heeft gekozen één enkele toezichthoudende autoriteit in te stellen, maar er niet de bevoegdheid aan heeft toegekend om toezicht te houden op de toepassing van de AVG door een enquêtecommissie die door het parlement van deze lidstaat is ingesteld ter uitoefening van zijn recht van toezicht op de uitvoerende macht, die bepalingen aan deze autoriteit rechtstreeks de bevoegdheid verlenen om kennis te nemen van klachten over de verwerking van persoonsgegevens door die enquêtecommissie.
Kosten
73 Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.
Het Hof (Grote kamer) verklaart voor recht:
1) Artikel 16, lid 2, eerste volzin, VWEU, en artikel 2, lid 2, onder a), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)
moeten aldus worden uitgelegd dat
activiteiten niet kunnen worden geacht buiten de werkingssfeer van het Unierecht te vallen en daarmee te zijn uitgesloten van het toepassingsgebied van deze verordening om de enkele reden dat zij worden verricht door een enquêtecommissie die door het parlement van een lidstaat is ingesteld ter uitoefening van zijn recht van toezicht op de uitvoerende macht.
2) Artikel 2, lid 2, onder a), van verordening 2016/679, gelezen in het licht van overweging 16 van deze verordening,
moet aldus worden uitgelegd dat
de activiteiten die door een door het parlement van een lidstaat ter uitoefening van zijn recht van toezicht op de uitvoerende macht ingestelde enquêtecommissie worden verricht en die dienen om de activiteiten van een politiële staatsveiligheidsdienst te onderzoeken omdat er sprake is van mogelijke politieke beïnvloeding van die dienst, als zodanig niet kunnen worden aangemerkt als activiteiten die betrekking hebben op de nationale veiligheid en die buiten de werkingssfeer van het Unierecht vallen in de zin van die bepaling.
3) Artikel 77, lid 1, en artikel 55, lid 1, van verordening 2016/679
moeten aldus worden uitgelegd dat,
wanneer een lidstaat er overeenkomstig artikel 51, lid 1, van deze verordening voor heeft gekozen één enkele toezichthoudende autoriteit in te stellen, maar er niet de bevoegdheid aan heeft toegekend om toezicht te houden op de toepassing van die verordening door een enquêtecommissie die door het parlement van deze lidstaat is ingesteld ter uitoefening van zijn recht van toezicht op de uitvoerende macht, die bepalingen aan deze autoriteit rechtstreeks de bevoegdheid verlenen om kennis te nemen van klachten over de verwerking van persoonsgegevens door die enquêtecommissie.
ondertekeningen
* Procestaal: Duits.