C-33/22 Osterreichische Datenschutzbehorde 

Prejudiciële hofzaak

Zie bijlage voor de verwijzingsuitspraak, en klik hier voor het dossier van het Hof van Justitie (voor zover beschikbaar).

Termijnen: Motivering departement:    11 april 2022
Schriftelijke opmerkingen:                    28 mei 2022

Trefwoorden : gegevensbescherming, enquêtecommissie, AVG

Onderwerp :

-           Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens [ingetrokken bij verordening (EU) 2016/679]

-           Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april [2016] betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming, AVG)

Feiten:

Op 20-04-2018 heeft de Nationalrat (federaal parlement van Oostenrijk) krachtens artikel 53, lid 1, van het Bundes-Verfassungsgesetz de enquêtecommissie BVT ingesteld. Op 19-09-2018 werd de andere partij in de procedure als respondent ondervraagd door de enquêtecommissie BVT, waarbij alleen vertegenwoordigers van de media aanwezig mochten zijn. Het woordelijke verslag van de ondervraging, dat op de website van het Oostenrijkse parlement is gepubliceerd, bevatte zijn volledige voor- en achternaam. Op 02-04-2019 heeft hij klacht ingediend bij de Datenschutzbehörde (gegevensbeschermingsautoriteit, Oostenrijk), waarbij hij verzocht om vast te stellen dat de publicatie van het verslag met zijn volledige naam in strijd was met de AVG. Hij verklaarde dat hij als undercover-agent werkzaam was en dat de publicatie van zijn naam tegen zijn wil schending opleverde van zijn grondrecht op gegevensbescherming en van zijn recht om onrechtmatig verwerkte gegevens te laten wissen. De Datenschutzbehörde heeft de klacht afgewezen. Ter motivering voerde zij aan dat de AVG weliswaar niet eraan in de weg staat dat toezichthoudende gegevensbeschermingsautoriteiten toezicht uitoefenen op wetgevende organen, maar dat de scheiding der machten inherent is aan de Europese rechtsorde en de uitvoerende macht derhalve geen toezicht kan uitoefenen op de wetgevende macht. De enquêtecommissie BVT moet als een wetgevend orgaan worden aangemerkt, zodat de Datenschutzbehörde niet bevoegd is.

Overweging:

Volgens de verwijzende rechter bevat het Unierecht geen bepalingen die de parlementaire activiteit in de lidstaten regelen. De grondslagen voor deze activiteit vloeien voort uit de respectieve nationale regelgevingen. De omstandigheid dat er volgens het arrest in zaak C-272/19 niet is voorzien in een algemene uitzondering voor parlementaire activiteiten, betekent niet dat althans sommige parlementaire activiteiten niet kunnen vallen onder de uitzondering in artikel 2, lid 2, onder a), AVG. Het beginsel van de scheiding der machten is inherent aan zowel het Unierecht als het nationale recht. Het is juist dat artikel 55, lid 3, AVG alleen het toezicht op verwerkingen door gerechten bij de uitoefening van hun rechterlijke taken uitsluit van de bevoegdheid van de toezichthoudende autoriteit. Dit zou evenwel ook aldus kunnen worden begrepen dat de kern van de parlementaire activiteit reeds op grond van artikel 2, lid 2, onder a), is uitgesloten van de werkingssfeer van de AVG, daar het anders ook in artikel 55, lid 3, was genoemd. De verwijzende rechter vraagt zich bijgevolg af of de kern van parlementaire activiteiten, zoals wetgevingshandelingen of controlehandelingen van het parlement, onder artikel 16, lid 2, VWEU valt en dus overeenkomstig artikel 2, lid 2, onder a), AVG binnen de materiële werkingssfeer van deze verordening valt. Voor zover de controleactiviteiten van een parlementaire enquêtecommissie in beginsel binnen de werkingssfeer van het Unierecht vallen, rijst de vraag of deze activiteiten zijn uitgesloten van de werkingssfeer van de AVG, althans wanneer de enquêtecommissie activiteiten van de uitvoerende macht onderzoekt die buiten de toepassingsgebied van het Unierecht vallen. Indien de eerste vraag bevestigend wordt beantwoord, maar het antwoord op de tweede vraag ontkennend luidt, rijst volgens de verwijzende rechter de vraag of de bevoegdheid van de Datenschutzbehörde – als enige toezichthoudende autoriteit in Oostenrijk die overeenkomstig de AVG is ingesteld – met betrekking tot het recht om een klacht in te dienen, dat krachtens artikel 77 AVG aan eenieder is toegekend, reeds rechtstreeks uit het Unierecht voortvloeit.

Prejudiciële vragen:

1. Vallen werkzaamheden van een enquêtecommissie die door een parlement van een lidstaat is ingesteld op grond van zijn recht op controle van de uitvoerende macht, binnen het toepassingsgebied van het Unierecht in de zin van artikel 16, lid 2, eerste volzin, VWEU, ongeacht het voorwerp van de enquête,  zodat verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming; hierna: „AVG”) van toepassing is op de verwerking van persoonsgegevens door een parlementaire enquêtecommissie van een lidstaat?

Indien de eerste vraag bevestigend wordt beantwoord:

2. Vallen werkzaamheden van een enquêtecommissie die door een parlement van een lidstaat is ingesteld op grond van zijn recht op controle van de uitvoerende macht en waarvan het onderzoek betrekking heeft op activiteiten van een politiële staatsveiligheidsdienst, met andere woorden activiteiten ter bescherming van de nationale veiligheid in de zin van overweging 16 van de algemene verordening gegevensbescherming, onder de uitzondering van artikel 2, lid 2, onder a), AVG?

Indien de tweede vraag ontkennend wordt beantwoord:

3. Indien – zoals in het onderhavige geval – een lidstaat slechts één toezichthoudende autoriteit overeenkomstig artikel 51, lid 1, AVG heeft ingesteld, vloeit de bevoegdheid van deze toezichthoudende autoriteit om kennis te nemen van klachten in de zin van artikel 77, lid 1, juncto artikel 55, lid 1, AVG dan reeds rechtstreeks voort uit de algemene verordening gegevensbescherming?

Aangehaalde (recente) jurisprudentie: La Quadrature du Net e.a. (C-511/18, C-512/18 en C-520/18), Land Hessen (C-272/19),

Specifiek beleidsterrein: JenV