DOMSTOLENS DOM (tredje avdelningen)
30 maj 2013 (*)
”Behandling av personuppgifter – Direktiv 95/46/EG – Artikel 2 – Begreppet personuppgifter – Artiklarna 6 och 7 – Principer om uppgifternas kvalitet och principer som gör att uppgiftsbehandling kan tillåtas – Artikel 17 – Säkerhet vid behandling – Arbetstagares arbetstid – Arbetstidsregister – Tillgång för behöriga nationella arbetsmiljömyndigheter – Arbetsgivarens skyldighet att ge tillgång till arbetstidsregistret på ett sätt som gör det möjligt att omedelbart avläsa registret”
I mål C‑342/12,
angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Tribunal do trabalho de Viseu (Portugal) genom beslut av den 13 juli 2012, som inkom till domstolen den 18 juli 2012, i målet
Worten – Equipamentos para o Lar SA
mot
Autoridade para as Condições de Trabalho (ACT),
meddelar
DOMSTOLEN (tredje avdelningen)
sammansatt av avdelningsordföranden M. Ilešič samt domarna E. Jarašiūnas, A. Ó Caoimh (referent), C. Toader och C.G. Fernlund,
generaladvokat: J. Kokott,
justitiesekreterare: A. Calot Escobar,
efter det skriftliga förfarandet,
med beaktande av de yttranden som avgetts av:
– Worten – Equipamentos para o Lar, SA, genom D. Abrunhosa e Sousa och J. Cruz Ribeiro, advogados,
– Portugals regering, genom L. Inez Fernandes och C. Vieira Guerra, båda i egenskap av ombud,
– Tjeckiens regering, genom M. Smolek, i egenskap av ombud,
– Italiens regering, genom G. Palmieri, i egenskap av ombud, biträdd av M. Russo, avvocato dello Stato,
– Ungerns regering, genom M. Fehér, K. Szíjjártó och Á. Szilágyi, samtliga i egenskap av ombud,
– Europeiska kommissionen, genom P. Costa de Oliveira och B. Martenczuk, båda i egenskap av ombud,
med hänsyn till beslutet, efter att ha hört generaladvokaten, att avgöra målet utan förslag till avgörande,
följande
Dom
1 Begäran om förhandsavgörande avser tolkningen av artiklarna 2 och 17.1 i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, s. 31).
2 Begäran har framställts i ett mål mellan Worten – Equipamentos para o Lar SA (nedan kallat Worten), ett bolag med säte i Viseu (Portugal), och Autoridade para as Condições de Trabalho (myndighet för övervakning av arbetsvillkor, nedan kallad ACT), angående den sistnämndas ansökan om att få tillgång till Wortens arbetstidsregister.
Tillämpliga bestämmelser
Unionsrätt
Direktiv 95/46
3 I artikel 2 i direktiv 95/46, med rubriken ”Definitioner”, anges följande:
”I detta direktiv avses med
a) personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person (den registrerade). En identifierbar person är en person som kan identifieras, direkt eller indirekt, framför allt genom hänvisning till ett identifikationsnummer eller till en eller flera faktorer som är specifika för hans fysiska, fysiologiska, psykiska, ekonomiska, kulturella eller sociala identitet,
b) behandling av personuppgifter (behandling): varje åtgärd eller serie av åtgärder som vidtas beträffande personuppgifter, vare sig det sker på automatisk väg eller inte, till exempel insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring,
...”
4 I artikel 3 i direktiv 95/46, med rubriken ”Tillämpningsområde”, föreskrivs följande:
”1. Detta direktiv gäller för sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg liksom för annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.
2. Detta direktiv gäller inte för sådan behandling av personuppgifter
– som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten, exempelvis sådan verksamhet som avses i avdelningarna V och VI i Fördraget om Europeiska unionen, och inte under några omständigheter behandlingar som rör allmän säkerhet, försvar, statens säkerhet (inbegripet statens ekonomiska välstånd när behandlingen har samband med frågor om statens säkerhet) och statens verksamhet på straffrättens område,
– av en fysisk person som [utgör] ett led i verksamhet av rent privat natur eller som har samband med hans hushåll.”
5 Artikel 6 i direktiv 95/46, som avser principer om uppgifternas kvalitet, har följande lydelse:
”1. Medlemsstaterna skall föreskriva att personuppgifter
...
b) skall samlas in för särskilda, uttryckligt angivna och berättigade ändamål; senare behandling får inte ske på ett sätt som är oförenligt med dessa ändamål. Senare behandling av uppgifter för historiska, statistiska eller vetenskapliga ändamål skall inte anses oförenlig med dessa ändamål förutsatt att medlemsstaterna beslutar om lämpliga skyddsåtgärder,
c) skall vara adekvata och relevanta och inte får omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de senare behandlas,
...
2. Det åligger den registeransvarige att säkerställa att punkt 1 efterlevs.”
6 Artikel 7 i direktiv 95/46, som avser principer som gör att uppgiftsbehandling kan tillåtas, har följande lydelse:
”Medlemsstaterna skall föreskriva att personuppgifter får behandlas endast om
...
c) behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den registeransvarige, eller
...
e) behandlingen är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den registeransvarige eller tredje man till vilken uppgifterna har lämnats ut, …
...”
7 I artikel 17 i direktiv 95/46, med rubriken ”Säkerhet vid behandling”, föreskrivs följande:
”1. Medlemsstaterna skall föreskriva att den registeransvarige skall genomföra lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter från förstöring genom olyckshändelse eller otillåtna handlingar eller förlust genom olyckshändelse samt mot ändringar, otillåten spridning av eller otillåten tillgång till uppgifterna, särskilt om behandlingen innefattar överföring av uppgifter i ett nätverk, och mot varje annat slag av otillåten behandling.
Dessa åtgärder skall med beaktande av den nuvarande tekniska nivån och de kostnader som är förenade med åtgärdernas genomförande åstadkomma en lämplig säkerhetsnivå i förhållande till de risker som är förknippade med behandlingen och arten av de uppgifter som skall skyddas.
...”
Direktiv 2003/88/EG
8 I artikel 1 i Europaparlamentets och rådets direktiv 2003/88/EG av den 4 november 2003 om arbetstidens förläggning i vissa avseenden (EUT L 299, s. 9), föreskrivs, under rubriken ”Ändamål och räckvidd”, följande:
”1. I detta direktiv föreskrivs minimikrav på säkerhet och hälsa vid förläggningen av arbetstiden.
2. Detta direktiv är tillämpligt på
a) minimitider för dygnsvila, veckovila och årlig semester, vidare på raster och begränsning av veckoarbetstiden, ...
...”
9 Artikel 6 i direktiv 2003/88, med rubriken ”Begränsning av veckoarbetstiden”, har följande lydelse:
”Medlemsstaterna skall, med beaktande av behovet av att skydda arbetstagares säkerhet och hälsa, vidta de åtgärder som behövs för att se till att
...
b) den genomsnittliga arbetstiden under varje sjudagarsperiod inklusive övertid inte överstiger 48 timmar.”
10 I artikel 22.1 första stycket i direktiv 2003/88 föreskrivs följande:
”En medlemsstat skall ha möjlighet att inte tillämpa artikel 6 varvid medlemsstaten skall respektera de allmänna principerna om skydd av arbetstagarnas hälsa och säkerhet och vidta de åtgärder som behövs för att se till att
a) ingen arbetsgivare kräver att en arbetstagare arbetar mer än 48 timmar under en period om sju dagar, … såvida han inte först har fått arbetstagarens medgivande,
...
c) arbetsgivaren för aktuella noteringar om alla arbetstagare som utför sådant arbete,
d) att noteringarna ställs till de behöriga myndigheternas förfogande och att dessa – av skäl som rör arbetstagarnas hälsa eller säkerhet – kan förbjuda eller begränsa möjligheten att överskrida begränsningen av veckoarbetstiden,
…”
Portugisisk lagstiftning
11 I artikel 202 i arbetslagen (codigo do trabalho), vilken godkändes genom lag nr 7/2009 av den 12 februari 2009, föreskrivs, under rubriken ”Arbetstidsregister”, följande:
”1. Arbetsgivaren ska föra ett arbetstidsregister – även för anställda som inte har fasta arbetstider – i en tillgänglig lokal för omedelbar avläsning av registret.
2. I arbetstidsregistret ska tidpunkterna för arbetstidens början och slut med uppehåll och raster som inte omfattas av arbetstiden anges för att antalet fullgjorda arbetstimmar per anställd, dygn och vecka ska kunna fastställas. ...
...
5. Åsidosättande av bestämmelserna i förevarande artikel utgör en allvarlig administrativ överträdelse.”
12 Lag nr 107/2009 av den 14 september 2009 innehåller bland annat följande bestämmelse:
”Artikel 10 – Inspektionsförfaranden
1. Arbetsmiljöinspektören ska, utan att det påverkar tillämpningen av bestämmelser i särskild lagstiftning, vid utövandet av sina befogenheter
a) kräva att få tillgång till, med omedelbar verkan eller för senare uppvisande inför arbetsministeriets decentraliserade inspektionsenheter, kontrollera och kopiera handlingar och andra register som är relevanta för att bedöma arbetsförhållanden och arbetsvillkor,
...
2. Socialförsäkringsinspektören ska, utan att det påverkar tillämpningen av bestämmelser i särskild lagstiftning, vid utövandet av sina befogenheter
a) kräva att få tillgång till och kopiera, med omedelbar verkan, liggare, handlingar, register, arkiv och andra uppgifter som tillhör de enheter vars verksamhet inspekteras och som är relevanta för att utreda de inspekterade omständigheterna, för kontroll, avläsning och biläggande till rapporten,
...”
Målet vid den nationella domstolen och tolkningsfrågorna
13 ACT genomförde den 9 mars 2010 en inspektion av Wortens verksamhetslokaler i Viseu. Till följd av denna inspektion upprättades en rapport där följande konstaterades:
– Bolaget hade fyra anställda som arbetade i skift i dessa lokaler.
– Arbetstidsregistret där dagliga arbetsperioder, dygns- och veckovila samt beräkning av varje arbetstagares arbetstimmar per dag och vecka ska anges, fanns inte tillgängligt för omedelbar avläsning.
– Arbetstagarna registrerade sin arbetstid genom att införa ett magnetkort i en stämpelklocka som fanns i butikslokaler bredvid bolagets verksamhetslokaler.
– Det var inte alla arbetstagare i bolaget eller i driftsställena som hade tillgång till arbetstidsregistret. Det var dessutom endast den person som hade dataåtkomst, nämligen Wortens regionansvarige, som hade tillgång till registret. Eftersom denna person var frånvarande under inspektionen kunde uppgifterna i registret endast erhållas från Wortens centrala personalavdelning.
14 Arbetstidsregistret som innehöll de uppgifter som ACT lagligen kunde utkräva översändes den 15 mars 2010 till myndigheten efter föreläggande om att dessa uppgifter skulle inges.
15 Genom beslut av den 14 mars 2012 bedömde ACT att Worten hade gjort sig skyldig till en allvarlig administrativ överträdelse av arbetsrätten genom åsidosättande av reglerna gällande arbetstidsregister i artikel 202.1 i arbetslagen, eftersom detta bolag inte hade tillåtit ACT att omedelbart i verksamhetslokalerna avläsa arbetstidsregistret för de arbetstagare som var anställda i dessa lokaler. Överträdelsens allvar berodde enligt ACT på att frågan huruvida organiseringen av ett företags verksamhet är förenlig med lagstiftning gällande arbetstider direkt och snabbt kan avgöras genom en avläsning av arbetstidsregistret. ACT ålade följaktligen Worten böter på ett belopp om 2 000 euro.
16 Worten överklagade detta beslut vid Tribunal do trabalho de Viseu.
17 Tribunal do trabalho de Viseu beslutade att vilandeförklara målet och att hänskjuta följande tolkningsfrågor för ett förhandsavgörande:
”1) Ska artikel 2 i direktiv [95/46] tolkas så, att ett arbetstidsregister, det vill säga upplysningar avseende varje arbetstagare om tidpunkterna för arbetstidens början och slut samt motsvarande uppehåll och raster, omfattas av begreppet personuppgifter?
2) För det fall den första frågan besvaras jakande: Är den portugisiska staten enligt artikel 17.1 i direktiv [95/46] skyldig att föreskriva lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter från förstöring genom olyckshändelse eller otillåtna handlingar eller förlust genom olyckshändelse samt mot ändringar, otillåten spridning av eller otillåten tillgång till uppgifterna, särskilt om behandlingen innefattar överföring av uppgifter i ett nätverk?
3) För det fall den andra frågan besvaras jakande: Ska principen om unionsrättens företräde, tolkas så, att en medlemsstat som inte vidtar några åtgärder enligt artikel 17.1 i direktiv [95/46] inte får straffa en arbetsgivare som är ansvarig för behandlingen av ovannämnda uppgifter och som inrättar ett system med begränsad åtkomst till dessa uppgifter som innebär att nationella arbetsmiljömyndigheter inte har automatisk tillgång till dem?”
Prövning av tolkningsfrågorna
Den första frågan
18 Den hänskjutande domstolen har ställt den första frågan för att få klarhet i huruvida artikel 2 a i direktiv 95/46 ska tolkas så, att ett arbetstidsregister, såsom det som är aktuellt i det nationella målet, som avseende varje arbetstagare innehåller upplysningar om tidpunkterna för arbetstidens början och slut samt motsvarande uppehåll och raster, omfattas av begreppet personuppgifter i den mening som avses i bestämmelsen.
19 Det kan härvid konstateras att de uppgifter som finns i ett sådant arbetstidsregister, vilka avser varje arbetstagares dagliga arbetstid och viloperioder, vilket även samtliga som inkommit med skriftliga yttranden har gjort gällande, utgör personuppgifter i den mening som avses i artikel 2 a i direktiv 95/46. Det rör sig nämligen om ”upplysning[ar] som avser en identifierad eller identifierbar fysisk person” (se, för ett liknande resonemang, bland annat dom av den 20 maj 2003 i de förenade målen C‑465/00, C‑138/01 och C‑139/01, Österreichischer Rundfunk m.fl., REG 2003, s. I‑4989, punkt 64, av den 16 december 2008 i mål C‑524/06, Huber, REG 2008, s. I‑9705, punkt 43, samt av den 7 maj 2009 i mål C‑553/07, Rijkeboer, REG 2009, s. I‑3889, punkt 42).
20 En arbetsgivares insamling, registrering, organisering, lagring, inhämtande eller användning av sådana uppgifter samt översändande av dem till behöriga nationella arbetsmiljömyndigheter utgör således ”behandling av personuppgifter” i den mening som avses i artikel 2 b i direktiv 95/46 (se, för ett liknande resonemang, bland annat domarna i de ovannämnda målen Österreichischer Rundfunk m.fl., punkt 64, och Huber, punkt 43).
21 Eftersom det i det nationella målet är utrett att denna behandling av personuppgifterna sker på automatisk väg och att inget av de undantag som anges i artikel 3.2 i direktiv 95/46 är tillämpligt, omfattas behandlingen av direktivets tillämpningsområde.
22 Den första frågan ska följaktligen besvaras enligt följande. Artikel 2 a i direktiv 95/46 ska tolkas så, att ett arbetstidsregister, såsom det som är aktuellt i det nationella målet, som avseende varje arbetstagare innehåller upplysningar om tidpunkterna för arbetstidens början och slut samt motsvarande uppehåll och raster, omfattas av begreppet personuppgifter i den mening som avses i denna bestämmelse.
Den andra och den tredje frågan
23 Den hänskjutande domstolen har ställt den andra och den tredje frågan, som ska prövas tillsammans, för att få klarhet i huruvida artikel 17.1 i direktiv 95/46 ska tolkas så, att medlemsstaterna är skyldiga att föreskriva lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter från förstöring genom olyckshändelse eller otillåtna handlingar eller förlust genom olyckshändelse samt mot ändringar, otillåten spridning av eller otillåten tillgång till uppgifterna. Om denna fråga ska besvaras jakande önskar den hänskjutande domstolen få klarhet i huruvida en medlemsstat som inte har vidtagit sådana åtgärder har rätt att påföra en arbetsgivare påföljder om denne, i egenskap av ansvarig för behandlingen av sådana uppgifter, har inrättat ett system med begränsad åtkomst till dessa uppgifter som innebär att behöriga nationella arbetsmiljömyndigheter inte har omedelbar tillgång till dem.
24 Enligt artikel 17.1 i direktiv 95/46, som avser säkerheten vid behandlingen, ska medlemsstaterna föreskriva att den ansvarige för behandlingen av personuppgifter ska genomföra lämpliga tekniska och organisatoriska åtgärder för att åstadkomma en lämplig säkerhetsnivå i förhållande till de risker som är förknippade med behandlingen och arten av de uppgifter som ska skyddas, med beaktande av den nuvarande tekniska nivån och de kostnader som är förenade med åtgärdernas genomförande (se, för ett liknande resonemang, domen i det ovannämnda målet Rijkeboer, punkt 62).
25 Härav följer att i motsats till det antagande som ligger till grund för den andra och den tredje frågan, medför artikel 17.1 i direktivet ingen skyldighet för medlemsstaterna – förutom när de själva är ansvariga för behandlingen – att anta dessa tekniska och organisatoriska åtgärder. Skyldigheten att vidta dessa åtgärder åvilar endast den ansvarige för behandlingen av personuppgifterna, det vill säga i förevarande fall arbetsgivaren. Medlemsstaterna ska däremot enligt artikel 17.1 i direktivet i sin interna rättsordning anta en bestämmelse där denna skyldighet föreskrivs.
26 Det framgår inte av beslutet om hänskjutande att de ifrågavarande uppgifterna har blivit föremål för förstöring genom olyckshändelse eller otillåtna handlingar, förlust genom olyckshändelse, ändringar, otillåten spridning av eller otillåten tillgång till dem eller ens något annat slag av otillåten behandling i den mening som avses i artikel 17.1 i 95/46. Av handlingarna i målet framgår tvärtom att det i förevarande fall är utrett att behöriga nationella arbetsmiljömyndigheter enligt nationell lagstiftning har rätt att få tillgång till uppgifterna.
27 Worten har i sina skriftliga yttranden emellertid gjort gällande att skyldigheten att ställa arbetstidsregistren till förfogande för omedelbar avläsning enligt artikel 202.1 i arbetslagen i praktiken är oförenlig med skyldigheten att inrätta ett lämpligt system för att skydda de personuppgifter som återfinns i dessa register. Denna skyldighet skulle nämligen innebära att varje arbetstagare i det berörda företaget kunde få tillgång till dessa uppgifter vilket vore oförenligt med skyldigheten att skydda dessa uppgifter enligt artikel 17.1 i direktiv 95/46. En sådan allmän tillgång till uppgifterna skulle således frånta bestämmelsen dess ändamålsenliga verkan.
28 Detta resonemang kan emellertid inte godtas. I motsats till det antagande som ligger till grund för resonemanget innebär inte skyldigheten för den arbetsgivare som är ansvarig för behandlingen av personuppgifterna att medge behöriga nationella arbetsmiljömyndigheter omedelbar tillgång till arbetstidsregistren att personuppgifterna i dessa register ska finnas tillgängliga för personer som saknar behörighet i detta avseende. Såsom den portugisiska regeringen med fog har gjort gällande åligger det alla ansvariga för behandling av personuppgifter att genomföra lämpliga tekniska och organisatoriska åtgärder enligt artikel 17.1 i direktiv 95/46 för att säkerställa att endast personer med vederbörlig åtkomst till de ifrågavarande personuppgifterna har behörighet att pröva en ansökan från tredje man om att medges tillgång till desamma.
29 Tolkningen av artikel 17.1 i direktiv 95/46 förefaller mot denna bakgrund sakna relevans för avgörandet av det nationella målet.
30 Enligt det förfarande för samarbete mellan de nationella domstolarna och EU-domstolen som har införts genom artikel 267 FEUF ankommer det emellertid på den sistnämnda domstolen att ge den nationella domstolen ett användbart svar, så att den kan avgöra det mål som är anhängigt vid den. I detta syfte åligger det domstolen att i förekommande fall omformulera de frågor som har ställts till den. Domstolen ska nämligen tolka alla bestämmelser i unionsrätten som de nationella domstolarna behöver för att slita tvister som har hänskjutits till dem, även om dessa bestämmelser inte anges uttryckligen i de frågor som dessa domstolar har ställt (se, bland annat, dom av den 8 mars 2007 i mål C‑45/06, Campina, REG 2007, s. I‑2089, punkterna 30 och 31, samt av den 14 oktober 2010 i mål C‑243/09, Fuß, REU 2010, s. I‑9849, punkt 39).
31 Även om den hänskjutande domstolen formellt sett endast har ställt frågor avseende tolkningen av artikel 17.1 i direktiv 95/46, utgör denna omständighet inte hinder för att EU-domstolen tillhandahåller den hänskjutande domstolen alla uppgifter om unionsrättens tolkning som kan vara användbara för att avgöra det mål som är anhängigt vid den, oavsett om denna domstol har hänvisat till dessa i sina frågor. EU-domstolen ska härvid, av samtliga uppgifter som den hänskjutande domstolen tillhandahållit, särskilt skälen till begäran om förhandsavgörande, utläsa vilka förhållanden som omfattas av unionsrätten och som påkallar en tolkning, med hänsyn tagen till saken i målet (se domen i det ovannämnda målet Fuß, punkt 40).
32 I förevarande fall framgår det av handlingarna i målet att den hänskjutande domstolen främst önskar få klarhet i huruvida bestämmelserna i direktiv 95/46 ska tolkas så, att de utgör hinder för nationell lagstiftning, såsom den som är aktuell i det nationella målet, enligt vilken arbetsgivaren är skyldig att medge behöriga nationella arbetsmiljömyndigheter tillgång till arbetstidsregister för omedelbar avläsning. Såsom framgår av punkt 15 i denna dom är det nämligen på grund av Wortens åsidosättande av denna skyldighet enligt artikel 202.1 i arbetslagen som detta bolag har ålagts böter.
33 I enlighet med bestämmelserna i kapitel II i direktiv 95/46, med rubriken ”Allmänna bestämmelser om när personuppgifter får behandlas”, ska, med förbehåll för tillåtna undantag enligt artikel 13 i direktivet, all behandling av personuppgifter dels stå i överensstämmelse med de principer om uppgifternas kvalitet som anges i artikel 6 i detta direktiv, dels svara mot någon av de principer som gör att uppgiftsbehandlingen kan tillåtas, vilka anges i artikel 7 i direktivet (domarna i de ovannämnda målen Österreichischer Rundfunk m.fl., punkt 65, och Huber, punkt 48, samt av den 24 november 2011 i de förenade målen C‑468/10 och C‑469/10, ASNEF och FECEMD, REU 2011, s. I‑12181, punkt 26).
34 Uppgifterna ska närmare bestämt ”samlas in för särskilda, uttryckligt angivna och berättigade ändamål” och vara ”adekvata och relevanta och inte ... omfatta mer än vad som är nödvändigt” med hänsyn till nämnda ändamål (artikel 6.1 b och c i direktiv 95/46). Därutöver får enligt artikel 7 c och e i samma direktiv behandling av personuppgifter ske om ”behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den registeransvarige” eller ”behandlingen är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den registeransvarige eller tredje man till vilken uppgifterna har lämnats ut” (domen i de ovannämnda förenade målen Österreichischer Rundfunk m.fl., punkt 66).
35 Detta verkar vara fallet i en sådan situation som den som är aktuell i det nationella målet, eftersom personuppgifterna i arbetstidsregistret förefaller ha samlats in för att säkerställa tillämpningen av lagstiftningen om arbetsvillkor. Behandlingen av personuppgifterna förefaller vidare vara nödvändig för att fullgöra en rättslig förpliktelse som åvilar arbetsgivaren och för att behöriga nationella arbetsmiljömyndigheter ska kunna genomföra sitt tillsynsuppdrag. Det ankommer dock på den hänskjutande domstolen att pröva dessa frågor.
36 Vad beträffar frågan hur nationella myndigheters tillgång till dessa personuppgifter ska organiseras för att de ska kunna utföra sitt uppdrag att utöva tillsyn över arbetsvillkoren kan det endast anses vara nödvändigt, i den mening som avses i artikel 7 e i direktiv 95/46, att ge myndigheter med behörighet på detta område tillgång till registret (se, för ett liknande resonemang, domen i det ovannämnda målet Huber, punkt 61).
37 Vad beträffar arbetsgivarens skyldighet att medge de nationella myndigheterna omedelbar tillgång till arbetstidsregister följer det av domstolens praxis att en sådan skyldighet kan visa sig nödvändig, i den mening som avses i artikel 7 e i direktiv 95/46, om den bidrar till att effektivisera tillämpningen av lagstiftningen om arbetsvillkor (se, analogt, domen i det ovannämnda målet Huber, punkt 62).
38 Syftet med direktiv 2003/88 är att föreskriva minimikrav för att främja förbättringar av arbetstagares levnads- och arbetsvillkor genom tillnärmning av nationella bestämmelser om bland annat arbetstid, genom att låta dem åtnjuta viloperioder av en viss minsta längd – särskilt dygnsvila och veckovila – och tillräckliga raster, och genom att föreskriva en begränsning av veckoarbetstiden (se, för ett liknande resonemang, bland annat dom av den 5 oktober 2004 i de förenade målen C‑397/01–C‑403/01, Pfeiffer m.fl., REG 2004, s. I‑8835, punkt 76, och av den 25 november 2010 i mål C‑429/09, Fuß, REU 2010, s. I‑12167, punkt 43).
39 I detta syfte föreskrivs i artikel 6 b i direktiv 2003/88 en skyldighet för medlemsstaterna att vidta ”de åtgärder som behövs”, med beaktande av behovet av att skydda arbetstagares säkerhet och hälsa, för att se till att den genomsnittliga arbetstiden under varje sjudagarsperiod inklusive övertid inte överstiger 48 timmar (se, för ett liknande resonemang, domarna i de ovannämnda förenade målen Pfeiffer m.fl., punkt 100, och av den 14 oktober 2010, Fuß, punkt 33).
40 Enligt artikel 22.1 första stycket i direktiv 2003/88 har medlemsstaterna möjlighet att inte tillämpa artikel 6 under förutsättning att de bland annat, genom att vidta de åtgärder som behövs, ser till att arbetsgivaren för aktuella noteringar om alla arbetstagare (artikel 22.1 första stycket c i direktivet), att noteringarna ställs till de behöriga myndigheternas förfogande och att dessa – av skäl som rör arbetstagarnas hälsa eller säkerhet – kan förbjuda eller begränsa möjligheten att överskrida begränsningen av veckoarbetstiden (artikel 22.1 första stycket d i direktivet).
41 Även om direktiv 2003/88 inte medför någon uttrycklig skyldighet för medlemsstaterna att anta sådan lagstiftning som den som är aktuell i det nationella målet anser Europeiska kommissionen att kontrollen huruvida de skyldigheter som föreskrivs i direktivet uppfylls, genom vidtagandet av ”de åtgärder som behövs” för att genomföra direktivets syften, kan innefatta införandet av tillsynsåtgärder. Arbetsgivarens skyldighet att medge omedelbar avläsning av arbetstidsregister kan förhindra att uppgifterna ändras under den tid som förlöper mellan inspektionsbesöket som utförs av behöriga nationella myndigheter och dessa myndigheters faktiska kontroll av uppgifterna.
42 Worten har däremot anfört att denna skyldighet är överdriven med beaktande av det ingrepp den medför i arbetstagarnas privatliv. Syftet med arbetstidsregister är nämligen att förse arbetstagarna med ett bevismedel för att kunna styrka arbetad tid. Detta registers tillförlitlighet har emellertid inte ifrågasatts i det nationella målet. Registret innebär även att genomsnittlig fullgjord arbetstid kan beräknas för att bland annat kontrollera situationer där det inte råder fasta arbetstider. Omedelbar tillgång till dessa register medför i detta avseende inget mervärde. De uppgifter som förekommer i ett register kan för övrigt översändas vid en senare tidpunkt.
43 Det ankommer i förevarande fall på den hänskjutande domstolen att pröva huruvida arbetsgivarens skyldighet att medge behöriga nationella arbetsmiljömyndigheter tillgång till arbetstidsregister för omedelbar avläsning kan anses vara nödvändig för att dessa myndigheter ska kunna utföra sitt tillsynsuppdrag genom att den bidrar till att effektivisera tillämpningen av lagstiftningen om arbetsvillkor, särskilt vad gäller arbetstiden.
44 Även om denna skyldighet bedöms vara nödvändig för att uppnå detta syfte måste de sanktioner som påförs för att säkerställa en effektiv tillämpning av kraven i direktiv 2003/88 alltid stå i överensstämmelse med proportionalitetsprincipen, vilket det också ankommer på den hänskjutande domstolen att pröva i det nationella målet (se, analogt, dom av den 6 november 2003 i mål C‑101/01, Lindqvist, REG 2003, s. I‑12971, punkt 88).
45 Mot bakgrund av ovanstående överväganden ska den andra och den tredje frågan besvaras enligt följande. Artiklarna 6.1 b och c samt 7 c och e i direktiv 95/46 ska tolkas så, att de inte utgör hinder för sådan nationell lagstiftning, som den som är aktuell i målet vid den nationella domstolen, enligt vilken arbetsgivaren är skyldig att medge behöriga nationella arbetsmiljömyndigheter tillgång till arbetstidsregister för omedelbar avläsning, under förutsättning att denna skyldighet är nödvändig för att myndigheterna ska kunna utföra sitt uppdrag att utöva tillsyn över tillämpningen av lagstiftningen om arbetsvillkor, särskilt vad gäller arbetstiden.
Rättegångskostnader
46 Eftersom förfarandet i förhållande till parterna i målet vid den nationella domstolen utgör ett led i beredningen av samma mål, ankommer det på den nationella domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.
Mot denna bakgrund beslutar domstolen (tredje avdelningen) följande:
1) Artikel 2 a i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ska tolkas så, att ett arbetstidsregister, såsom det som är aktuellt i det nationella målet, som avseende varje arbetstagare innehåller upplysningar om tidpunkterna för arbetstidens början och slut samt motsvarande uppehåll och raster, omfattas av begreppet personuppgifter i den mening som avses i denna bestämmelse.
2) Artiklarna 6.1 b och c samt 7 c och e i direktiv 95/46 ska tolkas så, att de inte utgör hinder för sådan nationell lagstiftning, som den som är aktuell i målet vid den nationella domstolen, enligt vilken arbetsgivaren är skyldig att medge behöriga nationella arbetsmiljömyndigheter tillgång till arbetstidsregister för omedelbar avläsning, under förutsättning att denna skyldighet är nödvändig för att myndigheterna ska kunna utföra sitt uppdrag att utöva tillsyn över tillämpningen av lagstiftningen om arbetsvillkor, särskilt vad gäller arbetstiden.
Underskrifter