DOMSTOLENS DOM (Tredje Afdeling)
30. maj 2013 (*)
»Behandling af personoplysninger – direktiv 95/46/EF – artikel 2 – begrebet »personoplysninger« – artikel 6 og 7 – princippet vedrørende oplysningernes pålidelighed og vedrørende grundlaget for behandling af personoplysninger – artikel 17 – behandlingssikkerhed – arbejdstageres arbejdstid – arbejdstidsregister – adgang for de kompetente myndigheder på området for tilsyn med arbejdsvilkårene – arbejdsgiverens forpligtelse til at stille arbejdstidsregisteret til rådighed på en måde, der muliggør umiddelbar aflæsning«
I sag C-342/12,
angående en anmodning om præjudiciel afgørelse i henhold til artikel 267 TEUF, indgivet af tribunal do trabalho de Viseu (Portugal) ved afgørelse af 13. juli 2012, indgået til Domstolen den 18. juli 2012, i sagen:
Worten – Equipamentos para o Lar SA
mod
Autoridade para as Condições de Trabalho (ACT),
har
DOMSTOLEN (Tredje Afdeling)
sammensat af afdelingsformanden, M. Ilešič, og dommerne E. Jarašiūnas, A. Ó Caoimh (refererende dommer), C. Toader og C.G. Fernlund,
generaladvokat: J. Kokott
justitssekretær: A. Calot Escobar,
på grundlag af den skriftlige forhandling,
efter at der er afgivet indlæg af:
– Worten – Equipamentos para o Lar SA ved advogados D. Abrunhosa e Sousa og J. Cruz Ribeiro
– den portugisiske regering ved L. Inez Fernandes og C. Vieira Guerra, som befuldmægtigede
– den tjekkiske regering ved M. Smolek, som befuldmægtiget
– den italienske regering ved G. Palmieri, som befuldmægtiget, bistået af avvocato dello Stato M. Russo
– den ungarske regering ved M. Fehér samt ved K. Szíjjártó og Á. Szilágyi, som befuldmægtigede
– Europa-Kommissionen ved P. Costa de Oliveira og B. Martenczuk, som befuldmægtigede,
og idet Domstolen efter at have hørt generaladvokaten har besluttet, at sagen skal pådømmes uden forslag til afgørelse,
afsagt følgende
Dom
1 Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 2 og artikel 17, stk. 1, i Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT L 281, s. 31).
2 Anmodningen er indgivet under en sag mellem Worten – Equipamentos para o Lar SA (herefter »Worten«), der er et selskab med hjemsted i Viseu (Portugal), og Autoridade para as Condições de Trabalho (ACT) (tilsynsmyndighed for arbejdsvilkår, herefter »arbejdstilsynet«), vedrørende sidstnævntes anmodning om adgang til dette selskabs arbejdstidsregister.
Retsforskrifter
EU-retten
Direktiv 95/46
3 Artikel 2 i direktiv 95/46 med overskriften »Definitioner« fastsætter:
»I dette direktiv forstås ved:
a) »personoplysninger« enhver form for information om en identificeret eller identificerbar fysisk person (»den registrerede«); ved identificerbar person forstås en person, der direkte eller indirekte kan identificeres, bl.a. ved et identifikationsnummer eller et eller flere elementer, der er særlige for denne persons fysiske, fysiologiske, psykiske, økonomiske, kulturelle eller sociale identitet
b) »behandling af personoplysninger« (»behandling«) enhver operation eller række af operationer – med eller uden brug af elektronisk databehandling – som personoplysninger gøres til genstand for, f.eks. indsamling, registrering, systematisering, opbevaring, tilpasning eller ændring, selektion, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring samt blokering, slettelse eller tilintetgørelse
[…]«
4 Dette direktivs artikel 3 med overskriften »Anvendelsesområde« har følgende ordlyd:
»1. Dette direktivs bestemmelser anvendes på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af edb, samt på ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.
2. Dette direktiv gælder ikke for sådan behandling af personoplysninger
– som iværksættes med henblik på udøvelse af aktiviteter, der ikke er omfattet af fællesskabsretten, som f.eks. de aktiviteter, der er fastsat i afsnit V og VI i traktaten om Den Europæiske Union, og under ingen omstændigheder for behandling, der vedrører den offentlige sikkerhed, forsvar, statens sikkerhed (herunder statens økonomiske interesser, når behandlingen er forbundet med spørgsmål vedrørende statens sikkerhed) og statens aktiviteter på det strafferetlige område
– som foretages af en fysisk person med henblik på udøvelse af rent personlige eller familiemæssige aktiviteter.«
5 Nævnte direktivs artikel 6, der omhandler principperne vedrørende oplysningernes pålidelighed, bestemmer:
»1. Medlemsstaterne fastsætter bestemmelser om, at personoplysninger:
[…]
b) skal indsamles til udtrykkeligt angivne og legitime formål, samt at senere behandling heraf ikke må være uforenelig med disse formål; senere behandling af oplysninger i historisk, statistisk eller videnskabeligt øjemed anses ikke for at være uforenelig med disse formål, såfremt medlemsstaterne giver de fornødne garantier
c) skal være relevante og tilstrækkelige og ikke omfatte mere end, hvad der kræves til opfyldelse af de formål, hvortil de indsamles, og til de formål, hvortil de senere behandles
[…]
2. Det påhviler den registeransvarlige at sikre, at bestemmelserne i stk. 1 overholdes.«
6 Samme direktivs artikel 7, der omhandler principperne vedrørende grundlaget for behandling af oplysningerne, bestemmer:
»Medlemsstaterne fastsætter bestemmelser om, at behandling af personoplysninger kun må finde sted, hvis:
[…]
c) behandlingen er nødvendig for at overholde en retlig forpligtelse, som gælder for den registeransvarlige
eller
[…]
e) behandlingen er nødvendig af hensyn til udførelsen af en opgave i samfundets interesse eller henhørende under offentlig myndighedsudøvelse, som den registeransvarlige eller en tredjemand, til hvem oplysningerne videregives, har fået pålagt
[…]«
7 Artikel 17 i direktiv 95/46 med overskriften »Behandlingssikkerhed« har følgende ordlyd:
»1. Medlemsstaterne fastsætter bestemmelser om, at den registeransvarlige skal iværksætte de fornødne tekniske og organisatoriske foranstaltninger til at beskytte personoplysninger mod hændelig eller ulovlig tilintetgørelse, mod hændeligt tab, mod forringelse, ubeføjet udbredelse eller ikke-autoriseret adgang, navnlig hvis behandlingen omfatter fremsendelser af oplysninger i et net, samt mod enhver anden form for ulovlig behandling.
Disse foranstaltninger skal under hensyn til det aktuelle tekniske niveau og de omkostninger, som er forbundet med deres iværksættelse, tilvejebringe et tilstrækkeligt sikkerhedsniveau i forhold til de risici, som behandlingen indebærer, og arten af de oplysninger, som skal beskyttes.
[…]«
Direktiv 2003/88/EF
8 Artikel 1 i Europa-Parlamentets og Rådets direktiv 2003/88/EF af 4. november 2003 om visse aspekter i forbindelse med tilrettelæggelse af arbejdstiden (EUT L 299, s. 9), der har overskriften »Formål og anvendelsesområde«, bestemmer:
»1. Dette direktiv indeholder minimumsforskrifter for sikkerhed og sundhed i forbindelse med tilrettelæggelse af arbejdstiden.
2. Dette direktiv finder anvendelse på:
a) de minimale daglige hvileperioder, ugentlige hvileperioder og årlige ferier, på pauser og på den maksimale ugentlige arbejdstid […]
[…]«
9 Direktivets artikel 6 med overskriften »Maksimal ugentlig arbejdstid« fastsætter:
»Medlemsstaterne træffer de nødvendige foranstaltninger for, at det, henset til kravene om at beskytte arbejdstagernes sikkerhed og sundhed, sikres:
[…]
b) at den gennemsnitlige arbejdstid i løbet af en syvdagesperiode ikke overstiger 48 timer, inklusive overarbejde.«
10 Direktivets artikel 22, stk. 1, første afsnit, har følgende ordlyd:
»En medlemsstat kan undlade at anvende artikel 6 under overholdelse af de almindelige principper for beskyttelse af arbejdstagernes sikkerhed og sundhed og forudsat, at den ved nødvendige foranstaltninger, som er truffet med henblik herpå, sikrer:
a) at ingen arbejdsgiver kræver, at en arbejdstager præsterer mere end 48 timers arbejde i løbet af en syvdagesperiode, beregnet som gennemsnit i den referenceperiode, der er omhandlet i artikel 16, litra b), medmindre arbejdstageren har samtykket i at udføre et sådant arbejde
[…]
c) at arbejdsgiveren fører ajourførte registre over de arbejdstagere, der udfører et sådant arbejde
d) at registrene stilles til rådighed for de kompetente myndigheder, som af sikkerheds og/eller sundhedsmæssige årsager kan forbyde eller begrænse arbejdstagernes mulighed for at overskride den maksimale ugentlige arbejdstid,
[…]«
Portugisisk ret
11 Under overskriften »Registrering af arbejdstid« bestemmer artikel 202 i codigo do trabalho (arbejdsloven), vedtaget ved lov nr. 7/2009 af 12. februar 2009, følgende:
»1) Arbejdsgiveren skal føre et register over arbejdstiden – selv for de medarbejdere, der ikke har en fast arbejdsplan – i et tilgængeligt lokale og på en sådan måde, at det kan aflæses umiddelbart.
2) Registeret skal angive tidspunkterne for arbejdsdagens påbegyndelse og afslutning samt de pauser eller tidsrum, som ikke medregnes i arbejdstiden, således at der kan foretages en beregning af det antal timer, som medarbejderen har arbejdet om dagen og om ugen […]
[…]
5) Manglende opfyldelse af bestemmelserne i denne artikel anses for en alvorlig administrativ overtrædelse.«
12 Lov nr. 107/2009 af 14. september 2009 indeholder bl.a. følgende bestemmelse:
»Artikel 10 – Inspektionsprocedurer
1. I forbindelse med udførelsen af sine opgaver følger arbejdsinspektøren – medmindre andet følger af særlige bestemmelser – følgende procedurer:
a) fremsættelse af krav om udlevering – med øjeblikkelig virkning eller med henblik på en forelæggelse for de decentraliserede tjenestegrene af arbejdsministeriets inspektionstjeneste – samt undersøgelse og kopiering af de dokumenter og andre registre, der er nødvendige med henblik på at fastslå arbejdsforhold og ‑vilkår
[…]
2. I forbindelse med udførelsen af sine opgaver foretager inspektøren fra de sociale sikringsmyndigheder – medmindre andet følger af særlige bestemmelser – følgende procedurer:
a) fremsættelse af krav om udlevering med øjeblikkelig virkning og – med henblik på undersøgelse, søgning og tilføjelse til rapporterne – kopiering af bøger, dokumenter, registre, arkiver og andre relevante genstande, der tilhører de enheder, hvis virksomhed er underlagt inspektion, og som er nødvendige for at kontrollere de inspicerede forhold
[…]«
Tvisten i hovedsagen og de præjudicielle spørgsmål
13 Den 9. marts 2010 foretog arbejdstilsynet en inspektion af virksomheden Worten med hjemsted i Viseu, i hvilken forbindelse arbejdstilsynet udarbejdede en rapport, hvori det konstateres, at:
– Det pågældende selskab havde en medarbejderstab på dette sted bestående af fire personer, som arbejdede i skiftehold.
– Der ikke var noget arbejdstidsregister med mulighed for umiddelbar aflæsning, hvori de daglige arbejdstider, de daglige og ugentlige pauser eller beregningen af de daglige og ugentlige antal arbejdstimer for medarbejderne blev registreret.
– Medarbejderne registrerede deres arbejdstid ved at køre et magnetkort igennem en maskine, der var installeret i en butik beliggende ved siden af nævnte virksomhed.
– Ikke alene var alle medarbejdere i virksomheden eller på forretningsstedet udelukket fra at kunne søge i arbejdstidsregisteret, oplysningerne kunne også kun indhentes fra den person, som havde elektronisk adgang til registeret, nærmere bestemt Wortens regionsansvarlige, som ikke var til stede i forbindelse med inspektionen, idet det i et sådant tilfælde kun var Wortens centrale HR-afdeling, der kunne udlevere oplysningerne fra registeret.
14 Den 15. marts 2010, efter pålæg om at udlevere disse oplysninger, blev arbejdstidsregisteret, der indeholdt de lovmæssigt påkrævede oplysninger, udleveret til arbejdstilsynet.
15 Ved afgørelse af 14. marts 2012 fandt arbejdstilsynet, at Worten havde begået en alvorlig administrativ overtrædelse af arbejdslovgivningen, idet selskabet havde overtrådt bestemmelserne vedrørende registrering af arbejdstid i henhold til arbejdslovens artikel 202, stk. 1, for så vidt som det ikke gjorde det muligt for arbejdstilsynet på det omhandlede forretningssted at få umiddelbar adgang til arbejdstidsregisteret for de på stedet ansatte medarbejdere. Overtrædelsens alvor følger af den omstændighed, at arbejdstidsregistreret gør det muligt direkte og hurtigt at afgøre, hvorvidt organiseringen af et selskabs virksomhed er i overensstemmelse med lovgivningen om arbejdstid. Følgelig pålagde arbejdstilsynet Worten en bøde på 2 000 EUR.
16 Worten anlagde annullationssøgsmål til prøvelse af denne beslutning ved tribunal do trabalho de Viseu.
17 På denne baggrund har tribunal do trabalho de Viseu besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:
»1) Skal artikel 2 i direktiv 95/46 […] fortolkes således, at begrebet »personoplysninger« bl.a. omfatter registrering af arbejdstid, dvs. angivelse af tidspunktet for den enkelte medarbejders påbegyndelse og afslutning af sin arbejdsdag, herunder pauser eller tidsrum, som ikke medregnes i arbejdstiden?
2) Såfremt det første spørgsmål besvares bekræftende, er den portugisiske stat da i henhold til artikel 17, stk. 1, i direktiv 95/46 […] forpligtet til at iværksætte de fornødne tekniske og organisatoriske foranstaltninger til at beskytte personoplysninger mod hændelig eller ulovlig tilintetgørelse, mod hændeligt tab, mod forringelse, ubeføjet udbredelse eller ikke-autoriseret adgang, navnlig hvis behandlingen omfatter fremsendelser af oplysninger i et net?
3) Såfremt det andet spørgsmål besvares bekræftende, skal princippet om EU-rettens forrang, i det tilfælde hvor en medlemsstat ikke iværksætter nogen foranstaltninger til opfyldelse af bestemmelsen i artikel 17, stk. 1, i direktiv 95/46 […], og hvor arbejdsgivervirksomheden, som er ansvarlig for behandlingen af de pågældende oplysninger, indfører et system med begrænset adgang til disse oplysninger, som ikke giver den kompetente nationale myndighed automatisk adgang hertil i forbindelse med dennes kontrol af arbejdsforholdene, da fortolkes således, at medlemsstaten ikke kan sanktionere arbejdsgivervirksomheden for denne adfærd?«
Om de præjudicielle spørgsmål
Om det første spørgsmål
18 Med det første spørgsmål ønsker den forelæggende ret oplyst, om artikel 2, litra a), i direktiv 95/46 skal fortolkes således, at et arbejdstidsregister, som det i hovedsagen omhandlede, der for hver arbejdstager indeholder angivelsen af tidspunkterne for arbejdsdagens påbegyndelse og afslutning samt tilsvarende for afbrydelser eller pauser, er omfattet af begrebet »personoplysninger« i denne bestemmelses forstand.
19 I denne henseende er det tilstrækkeligt at fastslå, således som samtlige interesserede parter, der har indgivet skriftlige indlæg, har anført, at oplysninger i et arbejdstidsregister som det i hovedsagen omhandlede, der for hver arbejdstager vedrører de daglige arbejdstider og pauser, udgør personoplysninger i den forstand, hvori dette udtryk er anvendt i direktivets artikel 2, litra a), da der er tale om »information om en identificeret eller identificerbar fysisk person« (jf. i denne retning bl.a. dom af 20.5.2003, forenede sager C-465/00, C-138/01 og C-139/01, Österreichischer Rundfunk m.fl., Sml. I, s. 4989, præmis 64, af 16.12.2008, sag C-524/06, Huber, Sml. I, s. 9705, præmis 43, og af 7.5.2009, sag C-553/07, Rijkeboer, Sml. I, s. 3889, præmis 42).
20 Arbejdsgiverens indsamling, registrering, systematisering, opbevaring, søgning og brug af sådanne oplysninger samt vedkommendes videregivelse heraf til de kompetente myndigheder på området for tilsyn med arbejdsvilkårene udgør således en »behandling af personoplysninger« i den forstand, hvori begrebet er anvendt i artikel 2, litra b), i direktiv 95/46 (jf. i denne retning bl.a. dommen i sagen Österreichischer Rundfunk m.fl., præmis 64, og Huber-dommen, præmis 43).
21 Det skal desuden fremhæves, at eftersom det i hovedsagen er ubestridt, at denne behandling af personoplysninger er automatiseret, og at ingen af de i artikel 3, stk. 2, i direktiv 95/46 nævnte undtagelser finder anvendelse, er nævnte behandling omfattet af dette direktivs anvendelsesområde.
22 Det første spørgsmål skal derfor besvares med, at artikel 2, litra a), i direktiv 95/46 skal fortolkes således, at et arbejdstidsregister som det i hovedsagen omhandlede, der for hver arbejdstager indeholder angivelsen af tidspunkterne for arbejdsdagens påbegyndelse og afslutning samt tilsvarende for afbrydelser eller pauser, er omfattet af begrebet »personoplysninger« i denne bestemmelses forstand.
Om det andet og det tredje spørgsmål
23 Med det andet og det tredje spørgsmål, som skal behandles samlet, ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 17, stk. 1, i direktiv 95/46 skal fortolkes således, at hver medlemsstat er forpligtet til at iværksætte de fornødne tekniske og organisatoriske foranstaltninger til at beskytte personoplysninger mod hændelig eller ulovlig tilintetgørelse, mod hændeligt tab, mod forringelse, ubeføjet udbredelse eller ikke-autoriseret adgang, og i bekræftende fald, om en medlemsstat, der ikke har iværksat sådanne foranstaltninger, har ret til at pålægge en arbejdsgiver, der som ansvarlig for behandlingen af de pågældende oplysninger har indført et system med begrænset adgang til disse oplysninger, som ikke giver den kompetente nationale myndighed på området for tilsyn med arbejdsvilkår umiddelbar adgang hertil, en bøde.
24 Det bemærkes, at i henhold til artikel 17, stk. 1, i direktiv 95/46, som vedrører behandlingssikkerheden, skal medlemsstaterne fastsætte bestemmelser om, at den ansvarlige for behandlingen af personoplysninger iværksætter de fornødne tekniske og organisatoriske foranstaltninger til at tilvejebringe et tilstrækkeligt sikkerhedsniveau i forhold til de risici, som nævnte behandling indebærer, og arten af de oplysninger, som skal beskyttes, når henses til det aktuelle tekniske niveau og de omkostninger, som er forbundet med foranstaltningernes iværksættelse (jf. i denne retning Rijkeboer-dommen, præmis 62).
25 Heraf følger i modsætning til den antagelse, som det andet og det tredje spørgsmål bygger på, at nævnte artikel 17, stk. 1, ikke pålægger medlemsstaterne – bortset fra de tilfælde, hvor de fungerer som registeransvarlige – at iværksætte de pågældende tekniske og organisatoriske foranstaltninger, idet forpligtelsen til at iværksætte sådanne foranstaltninger udelukkende påhviler den registeransvarlige, det vil i denne sag sige arbejdsgiveren. Denne bestemmelse pålægger derimod medlemsstaterne i national ret at vedtage en bestemmelse, der fastsætter denne forpligtelse.
26 Det fremgår desuden på ingen måde af forelæggelsesafgørelsen, at de i hovedsagen omhandlede oplysninger har været genstand for en hændelig eller ulovlig tilintetgørelse, et hændeligt tab, en forringelse, ubeføjet udbredelse eller ikke-autoriseret adgang eller en anden form for ulovlig behandling som omhandlet i artikel 17, stk. 1, i direktiv 95/46. Det følger derimod af de forhold, der fremgår af sagsakterne for Domstolen, at det i denne sag er ubestridt, at adgangen for de kompetente myndigheder på området for tilsyn med arbejdsvilkår til disse oplysninger er tilladt i henhold til national lovgivning.
27 I sine skriftlige indlæg har Worten imidlertid gjort gældende, at forpligtelsen til at stille arbejdstidsregisteret til rådighed med henblik på at muliggøre umiddelbar aflæsning, således som fastsat i arbejdslovens artikel 202, stk. 1, i praksis er uforenelig med forpligtelsen til at indføre en passende ordning til sikring af de personoplysninger, der er indeholdt i dette register. En sådan forpligtelse ville nemlig være ensbetydende med en accept af, at alle den berørte virksomheds medarbejdere kan få adgang til sådanne oplysninger, hvilket er i strid med forpligtelsen i henhold til artikel 17, stk. 1, i direktiv 95/46 til at sikre disse oplysninger. En sådan generel adgang fratager således denne bestemmelse enhver effektiv virkning.
28 En sådan argumentation kan ikke tiltrædes. I modsætning til den antagelse denne argumentation bygger på, indebærer forpligtelsen for en arbejdsgiver, der er ansvarlig for behandlingen af personoplysninger, til at give den kompetente myndighed på området for tilsyn for arbejdsvilkår umiddelbar adgang til arbejdstidsregisteret nemlig på ingen måde, at personoplysningerne i dette register nødvendigvis alene på baggrund af denne omstændighed skal gøres tilgængelige for personer, der ikke har tilladelse hertil. Således som den portugisiske regering med rette har gjort gældende, tilkommer det nemlig enhver, der er ansvarlig for behandling af personoplysninger i henhold til artikel 17, stk. 1, i direktiv 95/46, at iværksætte de fornødne tekniske og organisatoriske foranstaltninger for at sikre, at kun personer med den fornødne tilladelse til adgang til de omhandlede personoplysninger har ret til at imødekomme en tredjeparts anmodning om adgang.
29 Under disse omstændigheder kan fortolkningen af artikel 17, stk. 1, i direktiv 95/46 ikke anses for relevant med henblik på at træffe afgørelse i tvisten i hovedsagen.
30 Som led i den samarbejdsprocedure mellem de nationale retter og Domstolen, som er indført ved artikel 267 TEUF, tilkommer det imidlertid Domstolen at give den forelæggende ret et hensigtsmæssigt svar, som sætter den i stand til at afgøre den tvist, der verserer for den. Ud fra dette synspunkt påhviler det Domstolen i givet fald at omformulere de spørgsmål, der forelægges den. Det påhviler nemlig Domstolen at fortolke alle de bestemmelser i EU-retten, som de nationale retter skal anvende for at træffe afgørelse i de for dem verserende tvister, også selv om disse bestemmelser ikke udtrykkeligt er omtalt i de præjudicielle spørgsmål, der forelægges Domstolen (jf. bl.a. dom af 8.3.2007, sag C-45/06, Campina, Sml. I, s. 2089, præmis 30 og 31, og af 14.10.2010, sag C-243/09, Fuß, Sml. I, s. 9849, præmis 39).
31 Selv om den forelæggende ret formelt har begrænset sine spørgsmål alene til fortolkningen af artikel 17, stk. 1, i direktiv 95/46, er en sådan omstændighed derfor ikke til hinder for, at Domstolen oplyser den om alle de momenter angående fortolkningen af EU-retten, som kan være til nytte ved afgørelsen af den sag, som verserer for den, uanset om den henviser til dem i sit spørgsmål. Det tilkommer herved Domstolen fra samtlige de oplysninger, der er fremlagt af den nationale ret, navnlig af forelæggelsesafgørelsens præmisser, at udlede de fællesskabsretlige elementer, som det under hensyn til sagens genstand er nødvendigt at fortolke (jf. Fuß-dommen, præmis 40).
32 I denne sag fremgår det af de sagsakter, som Domstolen er i besiddelse af, at den forelæggende ret i det væsentlige ønsker oplyst, om bestemmelserne i direktiv 95/46 skal fortolkes således, at de er til hinder for en national lovgivning, som den i hovedsagen omhandlede, der pålægger arbejdsgiveren en forpligtelse til at stille arbejdstidsregisteret til rådighed for den kompetente nationale myndighed på området for tilsyn med arbejdsvilkår på en måde, der muliggør umiddelbar aflæsning. Som det fremgår af denne doms præmis 15, er det nemlig som følge af en tilsidesættelse af denne forpligtelse, der er fastsat i arbejdslovens artikel 202, stk. 1, at Worten er blevet pålagt en bøde.
33 Det bemærkes i denne henseende, at enhver behandling af personoplysninger ifølge de bestemmelser, der er indeholdt i kapitel II i direktiv 95/46 under overskriften »Almindelige betingelser for lovlig behandling af personoplysninger« – med forbehold af de i direktivets artikel 13 tilladte undtagelser – skal foregå i overensstemmelse med både principperne vedrørende oplysningernes pålidelighed, der er fastsat i direktivets artikel 6, og et af de i direktivets artikel 7 opregnede principper vedrørende grundlaget for behandling af oplysninger (dommen i sagen Österreichischer Rundfunk m.fl., præmis 65, og Huber-dommen, præmis 48, samt dom af 24.11.2011, forenede sager C-468/10 og C-469/10, ASNEF og FECEMD, Sml. I, s. 12181, præmis 26).
34 Oplysningerne skal navnlig »indsamles i medfør af artikel 6, stk. 1, litra b) og c), i direktiv 95/46 til udtrykkeligt angivne og legitime formål« samt være »relevante og tilstrækkelige og ikke omfatte mere end, hvad der kræves« til opfyldelse af disse formål. Det bestemmes endvidere i nævnte direktivs artikel 7, litra c) og e), at behandling af personoplysninger er lovlig, hvis »behandlingen er nødvendig for at overholde en retlig forpligtelse, som gælder for den registeransvarlige«, eller »behandlingen er nødvendig af hensyn til udførelsen af en opgave i samfundets interesse eller henhørende under offentlig myndighedsudøvelse, som den registeransvarlige eller den tredjepart, til hvem oplysningerne videregives, har fået pålagt« (dommen i sagen Österreichischer Rundfunk m.fl., præmis 66).
35 Dette synes at være tilfældet i en situation som i hovedsagen foreliggende, eftersom det dels fremgår, hvilket det påhviler den forelæggende ret at efterprøve, at de personoplysninger, der findes i arbejdstidsregisteret, er indsamlet med henblik på at sikre overholdelsen af reglementet om arbejdsvilkår, dels at behandlingen af disse personoplysninger er nødvendig for at overholde en retlig forpligtelse, som arbejdsgiveren er underlagt samt for gennemførelsen af de kontrolopgaver, der er tillagt den kompetente nationale myndighed på området for tilsyn med arbejdsvilkår.
36 Hvad angår de konkrete organisatoriske foranstaltninger for at give denne nationale myndighed adgang til personoplysningerne således, at den kan varetage sine opgaver vedrørende tilsyn af arbejdsvilkår, bemærkes, at det kun er tildelingen af adgang til myndigheder, der er kompetente på dette område, der kan anses for nødvendig i henhold til artikel 7, litra e), i direktiv 95/46 (jf. i denne retning Huber-dommen, præmis 61).
37 Hvad angår arbejdsgiverens forpligtelse til at give nævnte nationale myndighed umiddelbar adgang til arbejdsregisteret, fremgår det af Domstolens retspraksis, at en sådan forpligtelse kan være nødvendig i henhold til denne bestemmelse, hvis den bidrager til en mere effektiv forvaltning af lovgivningen på området for arbejdsvilkår (jf. analogt Huber-dommen, præmis 62).
38 Det skal i denne henseende bemærkes, at direktiv 2003/88 har til formål at fastsætte minimumsforskrifter med henblik på at forbedre arbejdstagernes leve- og arbejdsvilkår ved indbyrdes tilnærmelse af de nationale lovgivninger bl.a. om arbejdstidens længde ved at sikre dem bl.a. daglige og ugentlige minimumshvileperioder og passende pauser og ved at fastsætte en maksimumgrænse for den ugentlige arbejdstid (jf. i denne retning bl.a. dom af 5.10.2004, forenede sager C-397/01 – C-403/01, Pfeiffer m.fl., præmis 76, og Fuß-dommen, præmis 43).
39 I den sammenhæng forpligter artikel 6, litra b), i direktiv 2003/88 medlemsstaterne til at træffe de »nødvendige foranstaltninger« for, at det, henset til kravene om at beskytte arbejdstagernes sikkerhed og sundhed, sikres, at den gennemsnitlige arbejdstid i løbet af en syvdagesperiode ikke overstiger 48 timer, inklusive overarbejde (jf. i denne retning dommen i sagen Pfeiffer m.fl., præmis 100, og Fuß-dommen, præmis 33).
40 Desuden fastsætter artikel 22, stk. 1, første afsnit, i direktiv 2003/88, at medlemsstaterne kan undlade at anvende bestemmelserne i direktivets artikel 6 forudsat, at de bl.a. ved nødvendige foranstaltninger, som er truffet med henblik herpå, sikrer, at arbejdsgiveren fører ajourførte registre over de berørte arbejdstagere [nævnte direktivs artikel 22, stk. 1, første afsnit, litra c)], og at disse registre stilles til rådighed for de kompetente myndigheder, som af sikkerheds- og/eller sundhedsmæssige årsager kan forbyde eller begrænse arbejdstagernes mulighed for at overskride den maksimale ugentlige arbejdstid [samme direktivs artikel 22, stk. 1, første afsnit, litra d)].
41 Selv om direktiv 2003/88 ikke udtrykkeligt pålægger medlemsstaterne en forpligtelse til at vedtage en lovgivning som den i hovedsagen omhandlede, kan kontrollen af overholdelsen af de forpligtelser, der pålægges i medfør af dette direktiv ifølge Europa-Kommissionen imidlertid indebære, at der indføres tilsynsforanstaltninger som et led i de »nødvendige foranstaltninger« for at opfylde de målsætninger, direktivet forfølger. Arbejdsgiverens forpligtelse til at muliggøre en umiddelbar aflæsning af arbejdstidsregisteret skal imidlertid være af en sådan karakter, at enhver mulighed for at ændre i oplysningerne i tidsrummet mellem de kompetente nationale myndigheders inspektionsbesøg og disse myndigheders faktiske kontrol af de pågældende oplysninger kan undgås.
42 Worten har derimod anført, at denne forpligtelse er overdreven, henset til den indgriben i arbejdstagernes privatliv, som den indebærer. Arbejdstidsregisteret har nemlig dels til formål at give arbejdstageren et bevismiddel med henblik på at kontrollere den faktiske arbejdstid. I hovedsagen er registerets ægthed imidlertid ikke blevet anfægtet. Dels gjorde nævnte register det muligt i forbindelse med en kontrol at foretage en vurdering af de gennemsnitlige faktiske arbejdstider, bl.a. i forhold til arbejdstidsfritagelser. I denne forbindelse har den umiddelbare aflæsning af disse registre ingen merværdi. Desuden ville oplysningerne i registeret kunne fremsendes efterfølgende.
43 I denne sag tilkommer det den forelæggende ret at undersøge, om arbejdsgiverens forpligtelse til at give den kompetente nationale myndighed på området for tilsyn med arbejdsvilkår adgang til arbejdstidsregisteret på en måde, der muliggør en umiddelbar aflæsning, må anses for nødvendig med henblik på denne myndigheds gennemførelse af sin tilsynsopgave, der kan bidrage til en mere effektiv forvaltning af lovgivningen på området for arbejdsvilkår, bl.a. for så vidt angår arbejdstid.
44 I denne henseende skal det imidlertid præciseres, at for så vidt som en sådan forpligtelse anses for nødvendig for at nå dette mål, skal de sanktioner, der pålægges med henblik på at sikre den effektive anvendelse af de krav direktiv 2003/88 opstiller under alle omstændigheder ligeledes overholde proportionalitetsprincippet, hvilket det tilkommer den forelæggende ret at efterprøve i hovedsagen (jf. analogt dom af 6.11.2003, sag C-101/01, Lindquist, Sml. I, s. 12971, præmis 88).
45 På denne baggrund skal det andet og det tredje spørgsmål besvares med, at artikel 6, stk. 1, litra b) og c), samt artikel 7, litra c) og e), i direktiv 95/46 skal fortolkes således, at de ikke er til hinder for en national lovgivning, som den i hovedsagen omhandlede, der pålægger arbejdsgiveren en forpligtelse til at stille arbejdstidsregisteret til rådighed for den kompetente nationale myndighed på området for tilsyn med arbejdsvilkår på en måde, der muliggør umiddelbar aflæsning, for så vidt som denne forpligtelse er nødvendig med henblik på denne myndigheds gennemførelse af sine tilsynsopgaver med forvaltningen af lovgivningen på området for arbejdsvilkår, bl.a. for så vidt angår arbejdstid.
Sagens omkostninger
46 Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagens omkostninger. Bortset fra nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.
På grundlag af disse præmisser kender Domstolen (Tredje Afdeling) for ret:
1) Artikel 2, litra a), i Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger, skal fortolkes således, at et arbejdstidsregister, som det i hovedsagen omhandlede, der for hver arbejdstager indeholder angivelsen af tidspunkterne for arbejdsdagens påbegyndelse og afslutning samt tilsvarende for afbrydelser eller pauser, er omfattet af begrebet »personoplysninger« i denne bestemmelses forstand.
2) Artikel 6, stk. 1, litra b) og c), samt artikel 7, litra c) og e), i direktiv 95/46 skal fortolkes således, at de ikke er til hinder for en national lovgivning, som den i hovedsagen omhandlede, der pålægger arbejdsgiveren en forpligtelse til at stille arbejdstidsregisteret til rådighed for den kompetente nationale myndighed på området for tilsyn med arbejdsvilkår på en måde, der muliggør umiddelbar aflæsning, for så vidt som denne forpligtelse er nødvendig med henblik på denne myndigheds gennemførelse af sine tilsynsopgaver med forvaltningen af lovgivningen på området for arbejdsvilkår, bl.a. for så vidt angår arbejdstid.
Underskrifter