DOL.0623.9.2022 - Ocena skutków wyroku C-33_22 Österreichische Datenschutzbehörde

Prezes Urzędu Ochrony Danych Osobowych (dalej jako: organ nadzorczy) stwierdza, że w jego ocenie powyższe orzeczenie nie będzie powodowało konieczności zmiany prawa, natomiast będzie miało wpływ na interpretację przepisów rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz.UE.L 119 z 04.05.2016, str. 1, z późn. zm.), dalej jako: "rozporządzenie 2016/679". W sentencji wyroku TSUE stwierdził, że:

1) Artykuł 16 ust. 2 zdanie pierwsze TFUE oraz art. 2 ust. 2 lit. a) ogólnego rozporządzenia o ochronie danych) należy interpretować w ten sposób, że nie można uznać, że dana działalność sytuuje się poza zakresem stosowania prawa Unii, a zatem nie ma do niej zastosowania to rozporządzenie, z tego tylko powodu, że działalność ta jest wykonywana przez komisję śledczą powołaną przez parlament państwa członkowskiego w ramach wykonywania jego uprawnień z zakresu kontroli władzy wykonawczej.

2) Artykuł 2 ust. 2 lit. a) rozporządzenia 2016/679, rozpatrywany w świetle motywu 16 tego rozporządzenia, należy interpretować w ten sposób, że działalności komisji śledczej powołanej przez parlament państwa członkowskiego w ramach wykonywania jego uprawnień z zakresu kontroli władzy wykonawczej, której przedmiotem jest przeprowadzenie dochodzenia w sprawie działań policyjnego organu ochrony państwa ze względu na podejrzenie wywierania nacisków politycznych na ten organ, nie można jako takiej uznać za działalność dotyczącą bezpieczeństwa narodowego, która sytuuje się poza zakresem stosowania prawa Unii w rozumieniu tego przepisu.

3) Artykuł 77 ust. 1 i art. 55 ust. 1 rozporządzenia 2016/679 należy interpretować w ten sposób, że w przypadku gdy państwo członkowskie zdecydowało się, na podstawie art. 51 ust. 1 tego rozporządzenia, ustanowić jeden organ nadzorczy, nie przyznając mu jednak kompetencji do nadzorowania stosowania tego rozporządzenia przez komisję śledczą powołaną przez parlament tego państwa członkowskiego w ramach wykonywania jego uprawnień z zakresu kontroli władzy wykonawczej, wspomniane przepisy bezpośrednio przyznają temu organowi właściwość do rozpoznawania skarg dotyczących przetwarzania danych osobowych przez wspomnianą komisję śledczą.

Na wstępie należy wskazać na art. 2 ust. 2 lit. a rozporządzenia 2016/679, zgodnie z którym rozporządzenie to nie ma zastosowania do przetwarzania danych osobowych w ramach działalności nie objętej zakresem prawa Unii. Zakres tej działalności wskazany jest w art. 4 ust. 2 Traktatu o Unii Europejskiej (Dz. U. z 2004 r. Nr 90, poz. 864/30 z późn. zm.), który określa kwestie dotyczące zapewnienia integralności terytorialnej, utrzymania porządku publicznego oraz ochronę bezpieczeństwa narodowego jako nie objęte zakresem prawa Unii. Za bezpieczeństwo narodowe należy rozumieć w tym kontekście w szczególności działalność mającą na celu ochronę podstawowych funkcji państwa i podstawowych interesów społeczeństwa.

Rozważenia wymaga, czy przepisy regulujące działanie w polskim porządku prawnym sejmowej komisji śledczej zawierają przepisy, na podstawie których do jej działalności nie powinno być stosowane rozporządzenie 2016/679. Przede wszystkim wskazać należy na przepis stanowiący podstawę działania w polskim porządku prawnym sejmowych komisji śledczych, czyli art. 111 Konstytucji RP z dnia 2 kwietnia 1997 r. (Dz. U. Nr 78, poz. 483 z późn. zm.), zgodnie z którym komisja śledcza może być powołana przez Sejm RP do zbadania określonej sprawy. Ta norma konstytucyjna znajduje swoje uszczegółowienie w przepisach ustawy z dnia 21 stycznia 1999 r. o sejmowej komisji śledczej (Dz. U. z 2016 r. poz. 1024). Zgodnie z art. 11e ust. 1 tej ustawy "osoby obowiązane do zachowania w tajemnicy informacji niejawnych o klauzuli tajności »tajne « lub »ściśle tajne « mogą być przesłuchane co do okoliczności, na które rozciąga się ten obowiązek, tylko po zwolnieniu ich od obowiązku zachowania tajemnicy przez właściwy organ". Art. 11h ust. 1 ustawy wskazuje, że "przesłuchania, o których mowa w art. 11e ust. 1, art. 11f i art. 11g ust. 1, odbywają się na posiedzeniu zamkniętym. Ta część posiedzenia, na której zapada decyzja w sprawie zamknięcia posiedzenia, jest również zamknięta. Komisja określa osoby, których udział w posiedzeniu zamkniętym jest niezbędny", ust. 2 określa natomiast, że "wiadomości uzyskane w toku przesłuchań, o których mowa w art. 11f i art. 11g ust. 1, stanowią tajemnicę prawnie chronioną". Zgodnie z art. 11i ustawy "do postępowania w sprawach wzywania oraz przesłuchiwania osób wezwanych przez komisję oraz zwalniania ich z obowiązku zachowania tajemnicy w zakresie nieuregulowanym w niniejszej ustawie stosuje się odpowiednio przepisy Kodeksu postępowania karnego dotyczące w tym zakresie świadków".

Trzeba zauważyć, że komisja śledcza jest powoływana jako instrument funkcji kontrolnej Sejmu RP, poprzez którą władza ustawodawcza uzyskuje informacje o działalności określonych organów i instytucji publicznych oraz prawo wyrażenia oceny tej działalności 1 . Zakres przedmiotowy spraw możliwych do zbadania przez komisję jest nieokreślony - ustawa o sejmowej komisji śledczej nie precyzuje normy określonej w art. 111 Konstytucji RP i w art. 1 ust. 2 ustawy o sejmowej komisji śledczej wskazuje, że "komisję powołuje się do zbadania określonej sprawy". Z zakresu przedmiotowego działań komisji wyłączona wprost w przepisach jest jedynie ocena zgodności z prawem orzeczeń sądowych (art. 8 ust. 2 ustawy o sejmowej komisji śledczej). Przedmiot prac komisji określa się więc uchwałą powołującą komisję śledczą. Co istotne, komisja jest związana zakresem przedmiotowym, który został określony w uchwale o jej powołaniu (art. 7 ust. 1 ustawy o sejmowej komisji śledczej). Podstawowym celem powoływania komisji śledczych jest "zbadanie działalności danego organu władzy publicznej, a w szczególności ustalenie zakresu i przyczyn nieprawidłowości w jego funkcjonowaniu" 2 . Komisja śledcza może więc badać działalność organów władzy publicznej, w tym również tych, których główna działalność dotyczyć będzie zapewnienia ochrony bezpieczeństwa narodowego. TSUE w omawianym wyroku stwierdził, że w takim przypadku "sama okoliczność, że administrator danych jest organem publicznym, którego główna działalność polega na zapewnieniu ochrony bezpieczeństwa narodowego, nie wystarcza do wyłączenia z zakresu stosowania RODO przetwarzania danych osobowych dokonywanego przez ten organ w ramach innych prowadzonych przez niego czynności" (pkt 51 wyroku).

W świetle ww. przepisów ustawy o komisji śledczej oraz analizowanego wyroku TSUE nie ma podstaw do uznania, że działalność sejmowej komisji śledczej jest wyłączona z zakresu zastosowania prawa Unii w rozumieniu art. 2 ust. 2 lit. a rozporządzenia 2016/679.

Polska ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) ustanawia jeden organ nadzorczy właściwy w sprawie ochrony danych osobowych, którym jest Prezes Urzędu Ochrony Danych Osobowych. Choć przepisy tej ustawy nie wskazują wprost na kompetencję organu do nadzorowania stosowania rozporządzenia 2016/679 przez komisję śledczą powołaną przez parlament w ramach wykonywania jego uprawnień z zakresu kontroli władzy wykonawczej, to jednak, w świetle omawianego wyroku TSUE przyjąć należy, że art. 77 ust. 1 i art. 55 ust. 1 rozporządzenia 2016/679 wprost przyznają Prezesowi Urzędu Ochrony Danych Osobowych właściwość rozpoznawania skarg dotyczących przetwarzania danych osobowych przez komisję śledczą. Wśród przepisów ustawy o sejmowej komisji śledczej brak jest przepisów, które stałyby na przeszkodzie w przyjęciu interpretacji art. 77 ust. 1 i 55 ust. 1 rozporządzenia 2016/679 wyrażonej przez TSUE.

Wniosek

Biorąc pod uwagę powyższą analizę, w ocenie organu nadzorczego wyrok TSUE w sprawie C-33/22 Österreichische Datenschutzbehörde nie będzie skutkował koniecznością zmian w polskim prawie, ale wpływać będzie na interpretację przepisów rozporządzenia 2016/679.