ARREST VAN HET HOF (Derde kamer)
30 mei 2013 (*)
„Verwerking van persoonsgegevens – Richtlijn 95/46/EG – Artikel 2 – Begrip ,persoonsgegevens’ – Artikelen 6 en 7 – Beginselen betreffende kwaliteit van gegevens en toelaatbaarheid van gegevensverwerking – Artikel 17 – Beveiliging van verwerking – Arbeidstijd van werknemers – Arbeidstijdregister – Toegang door nationale autoriteit bevoegd voor toezicht op arbeidsvoorwaarden – Verplichting voor werkgever om onmiddellijk consulteerbaar arbeidstijdregister ter beschikking te stellen”
In zaak C‑342/12,
betreffende een verzoek om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door het Tribunal do Trabalho de Viseu (Portugal) bij beslissing van 13 juli 2012, ingekomen bij het Hof op 18 juli 2012, in de procedure
Worten – Equipamentos para o Lar SA
tegen
Autoridade para as Condições de Trabalho (ACT),
wijst
HET HOF (Derde kamer),
samengesteld als volgt: M. Ilešič, kamerpresident, E. Jarašiūnas, A. Ó Caoimh (rapporteur), C. Toader en C. G. Fernlund, rechters,
advocaat-generaal: J. Kokott,
griffier: A. Calot Escobar,
gezien de stukken,
gelet op de opmerkingen van:
– Worten – Equipamentos para o Lar SA, vertegenwoordigd door D. Abrunhosa e Sousa en J. Cruz Ribeiro, advogados,
– de Portugese regering, vertegenwoordigd door L. Inez Fernandes en C. Vieira Guerra als gemachtigden,
– de Tsjechische regering, vertegenwoordigd door M. Smolek als gemachtigde,
– de Italiaanse regering, vertegenwoordigd door G. Palmieri als gemachtigde, bijgestaan door M. Russo, avvocato dello Stato,
– de Hongaarse regering, vertegenwoordigd door M. Fehér, K. Szíjjártó en Á. Szilágyi als gemachtigden,
– de Europese Commissie, vertegenwoordigd door P. Costa de Oliveira en B. Martenczuk als gemachtigden,
gelet op de beslissing, de advocaat-generaal gehoord, om de zaak zonder conclusie te berechten,
het navolgende
Arrest
1 Het verzoek om een prejudiciële beslissing betreft de uitlegging van de artikelen 2 en 17, lid 1, van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB L 281, blz. 31).
2 Dit verzoek is ingediend in het kader van een geding tussen de te Viseu (Portugal) gevestigde onderneming Worten – Equipamentos para o Lar SA (hierna: „Worten”) en de Autoridade para as Condições de Trabalho (ACT) (dienst voor arbeidsvoorwaarden; hierna: „ACT”) over het verzoek van die dienst om toegang tot Wortens arbeidstijdregister.
Toepasselijke bepalingen
Unierecht
Richtlijn 95/46
3 Artikel 2 van richtlijn 95/46, „Definities”, bepaalt:
„In de zin van deze richtlijn wordt verstaan onder:
a) ,persoonsgegevens’, iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon, hierna ,betrokkene’ te noemen; als identificeerbaar wordt beschouwd een persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificatienummer of van een of meer specifieke elementen die kenmerkend zijn voor zijn of haar fysieke, fysiologische, psychische, economische, culturele of sociale identiteit;
b) ,verwerking van persoonsgegevens’, hierna ,verwerking’ te noemen, elke bewerking of elk geheel van bewerkingen met betrekking tot persoonsgegevens, al dan niet uitgevoerd met behulp van geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op enigerlei andere wijze ter beschikking stellen, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens;
[...]”
4 Artikel 3 van die richtlijn, „Werkingssfeer”, luidt:
„1. De bepalingen van deze richtlijn zijn van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede op de niet-geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.
2. De bepalingen van deze richtlijn zijn niet van toepassing op de verwerking van persoonsgegevens:
– die met het oog op de uitoefening van niet binnen de werkingssfeer van het Gemeenschapsrecht vallende activiteiten geschiedt zoals die bedoeld in de titels V en VI van het Verdrag betreffende de Europese Unie en in ieder geval verwerkingen die betrekking hebben op de openbare veiligheid, defensie, de veiligheid van de staat (waaronder de economie van de staat, wanneer deze verwerkingen in verband staan met vraagstukken van staatsveiligheid), en de activiteiten van de staat op strafrechtelijk gebied;
– die door een natuurlijk persoon in activiteiten met uitsluitend persoonlijke of huishoudelijke doeleinden wordt verricht.”
5 Artikel 6 van die richtlijn, inzake de beginselen betreffende de kwaliteit van de gegevens, bepaalt:
„1. De lidstaten bepalen dat de persoonsgegevens:
[...]
b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden moeten worden verkregen en vervolgens niet worden verwerkt op een wijze de onverenigbaar is met die doeleinden. Verdere verwerking van de gegevens voor historische, statistische of wetenschappelijke doeleinden wordt niet als onverenigbaar beschouwd, mits de lidstaten passende garanties bieden;
c) toereikend, ter zake dienend en niet bovenmatig moeten zijn, uitgaande van de doeleinden waarvoor zij worden verzameld of waarvoor zij vervolgens worden verwerkt;
[...]
2. Op de voor de verwerking verantwoordelijke rust de plicht om voor de naleving van het bepaalde in lid 1 zorg te dragen.”
6 In artikel 7 van die richtlijn, inzake de beginselen betreffende de toelaatbaarheid van de gegevensverwerking, is bepaald:
„De lidstaten bepalen dat de verwerking van persoonsgegevens slechts mag geschieden indien:
[...]
c) de verwerking noodzakelijk is om een wettelijke verplichting na te komen waaraan de voor de verwerking verantwoordelijke onderworpen is, of
[...]
e) de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang of die deel uitmaakt van de uitoefening van het openbaar gezag die aan de voor de verwerking verantwoordelijke of de derde aan wie de gegevens worden verstrekt, drager is opgedragen
[...]”.
7 Artikel 17 van richtlijn 95/46, „Beveiliging van de verwerking”, bepaalt:
„1. De lidstaten bepalen dat de voor de verwerking verantwoordelijke passende technische en organisatorische maatregelen ten uitvoer dient te leggen om persoonsgegevens te beveiligen tegen vernietiging, hetzij per ongeluk, hetzij onrechtmatig, tegen verlies, vervalsing, niet-toegelaten verspreiding of toegang, met name wanneer de verwerking doorzending van gegevens in een netwerk omvat, dan wel tegen enige andere vorm van onwettige verwerking.
Deze maatregelen moeten, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau garanderen gelet op de risico’s die de verwerking en de aard van te beschermen gegevens met zich brengen.
[...]”
Richtlijn 2003/88/EG
8 Artikel 1 van richtlijn 2003/88/EG van het Europees Parlement en de Raad van 4 november 2003 betreffende een aantal aspecten van de organisatie van de arbeidstijd (PB L 299, blz. 9), met als opschrift „Doel en toepassingsgebied”, bepaalt:
„1. Deze richtlijn bepaalt minimumvoorschriften inzake veiligheid en gezondheid op het gebied van de organisatie van de arbeidstijd.
2. Deze richtlijn is van toepassing op:
a) de minimale dagelijkse en wekelijkse rusttijden en de minimale jaarlijkse vakantie, alsmede op de pauzes en de maximale wekelijkse arbeidstijd [...]
[...]”.
9 Artikel 6 van die richtlijn, „Maximale wekelijkse arbeidstijd”, bepaalt:
„De lidstaten treffen de nodige maatregelen opdat in verband met de noodzakelijke bescherming van de veiligheid en de gezondheid van de werknemers:
[...]
b) de gemiddelde arbeidstijd in elk tijdvak van zeven dagen, inclusief overwerk, niet meer dan achtenveertig uren bedraagt.”
10 Artikel 22, lid 1, eerste alinea, van die richtlijn luidt:
„Een lidstaat kan, met inachtneming van de algemene beginselen inzake de bescherming van de veiligheid en de gezondheid van de werknemers, besluiten artikel 6 niet toe te passen, mits hij door de nodige maatregelen te treffen het volgende waarborgt:
a) geen enkele werkgever verlangt dat een werknemer meer dan 48 uur werkt tijdens een periode van zeven dagen, [...] tenzij de werknemer met het verrichten van dergelijke arbeid heeft ingestemd;
[...]
c) de werkgever houdt registers bij van alle werknemers die dergelijke arbeid verrichten;
d) de registers worden ter beschikking gesteld van de bevoegde autoriteiten die, in verband met de veiligheid en/of de gezondheid van de werknemers, de mogelijkheid om de maximale wekelijkse arbeidstijd te overschrijden, kunnen verbieden of beperken;
[...]”
Portugese regeling
11 Artikel 202 van de Codigo do Trabalho (arbeidswetboek), goedgekeurd bij wet nr. 7/2009 van 12 februari 2009, met als opschrift „Arbeidstijdregister”, bepaalt:
„1) De werkgever moet – ook voor de van vaste arbeidstijden vrijgestelde werknemers – in een toegankelijk lokaal een onmiddellijk consulteerbaar arbeidstijdregister bijhouden.
2) In het register moeten het begin en het einde van de arbeidstijd worden opgegeven, alsook de onderbrekingen of pauzes die er geen deel van uitmaken, zodat de dagelijks en wekelijks door een werknemer gepresteerde arbeidstijd [...] kan worden berekend.
[...]
5) Schending van de bepalingen van dit artikel vormt een ernstige administratieve overtreding.”
12 Wet nr. 107/2009 van 14 september 2009 bevat onder meer de volgende bepaling:
„Artikel 10 – Inspecties
1. Onverminderd het bepaalde in bijzondere wetgeving verricht de arbeidsinspecteur in de uitoefening van zijn functie de volgende handelingen:
a) opvragen, met onmiddellijke ingang of met het oog op latere overlegging bij de gedecentraliseerde diensten van de inspectiedienst van het ministerie van Arbeid, van de documenten en andere registers die nuttig zijn om de arbeidsverhoudingen en ‑voorwaarden te verhelderen, deze onderzoeken en kopiëren;
[...]
2. Onverminderd het bepaalde in bijzondere wetgeving verricht de inspecteur van de sociale zekerheid in de uitoefening van zijn functie de volgende handelingen:
a) met onmiddellijke ingang, voor onderzoek, raadpleging en toevoeging aan de processen-verbaal opvragen en kopiëren van de boeken, documenten, registers, archieven en andere relevante gegevens van de entiteiten waarvan de activiteit is onderworpen aan de inspectie en die nuttig zijn voor de verificatie van de feiten die worden geïnspecteerd;
[...]”
Hoofdgeding en prejudiciële vragen
13 Op 9 maart 2010 heeft de ACT een inspectie verricht in Wortens vestiging te Viseu, waarna zij een proces-verbaal heeft opgesteld waarin werd vastgesteld dat:
– die onderneming in die vestiging vier werknemers in dienst had die in ploegendienst werkten;
– het arbeidstijdregister, met vermelding van de dagelijkse arbeidstijdvakken, de dagelijkse en wekelijkse rusttijden en de berekening van de dagelijkse en wekelijkse arbeidsuren van de werknemers, niet beschikbaar was voor onmiddellijke raadpleging;
– de werknemers hun arbeidstijden registreerden door een magnetische kaart door de lezer van een prikklok te halen die was geïnstalleerd in het gebouw van een winkel naast die vestiging;
– het arbeidstijdregister niet alleen niet toegankelijk was voor de werknemers van de onderneming en de vestiging waar zij werkzaam waren, maar bovendien enkel toegankelijk was voor de persoon met toegang tot het computersysteem, namelijk de regionale verantwoordelijke van Worten, die niet aanwezig was op het ogenblik van de inspectie, in welk geval enkel de centrale humanresourcesafdeling de gegevens in dat register kon verstrekken.
14 Op 15 maart 2010 is op bevel tot overlegging van die gegevens, het arbeidstijdregister met de wettelijk vereiste gegevens aan de ACT verstrekt.
15 Bij beslissing van 14 maart 2012 heeft de ACT geoordeeld dat Worten een ernstige overtreding van het arbeidsrecht had begaan wegens schending van de in artikel 202, lid 1, van het arbeidswetboek neergelegde regels inzake het arbeidstijdregister, omdat die onderneming de ACT niet in de mogelijkheid had gesteld onmiddellijk in de betrokken vestiging het arbeidstijdregister van de in die vestiging tewerkgestelde werknemers te raadplegen. De overtreding was ernstig omdat het arbeidstijdregister ertoe strekt onmiddellijk en snel na te gaan of de activiteit van de onderneming in overeenstemming met de regeling inzake arbeidstijden wordt georganiseerd. Om die redenen heeft de ACT Worten een boete van 2 000 EUR opgelegd.
16 Worten heeft bij het Tribunal do Trabalho de Viseu beroep tot nietigverklaring van die beslissing ingesteld.
17 Daarop heeft het Tribunal do Trabalho de Viseu de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:
„1) Dient artikel 2 van richtlijn 95/46 [...] aldus te worden uitgelegd dat de arbeidstijdregistratie – te weten de registratie voor elke werknemer van het begin en het einde van de arbeidstijd alsook de onderbrekingen of pauzes die er geen deel van uitmaken – onder het begrip ,persoonsgegevens’ valt?
2) Indien de vorige vraag bevestigend wordt beantwoord: is de Portugese Staat krachtens artikel 17, lid 1, van richtlijn 95/46 [...] verplicht om passende technische en organisatorische maatregelen vast te stellen om persoonsgegevens te beveiligen tegen toevallige of onrechtmatige vernietiging, toevallig verlies, vervalsing, niet-toegelaten verspreiding of toegang, met name wanneer de verwerking gepaard gaat met doorzending van gegevens via een netwerk?
3) Indien ook de vorige vraag bevestigend wordt beantwoord: wanneer de lidstaat geen enkele maatregel neemt overeenkomstig artikel 17, lid 1, van richtlijn 95/46 [...] en de voor de verwerking van voornoemde gegevens verantwoordelijke werkgever een systeem van beperkte toegang tot deze gegevens invoert waarbij de nationale overheid die bevoegd is voor de controle van de arbeidsvoorwaarden, niet automatisch toegang krijgt tot deze gegevens, dient het beginsel van voorrang van het Unierecht dan aldus te worden uitgelegd dat de lidstaat deze werkgever niet kan bestraffen voor een dergelijke handelwijze?”
Beantwoording van de prejudiciële vragen
Eerste vraag
18 Met zijn eerste vraag wenst de verwijzende rechter in wezen te vernemen of artikel 2, sub a, van richtlijn 95/46 aldus moet worden uitgelegd dat een arbeidstijdregister zoals dat in het hoofdgeding, met daarin voor elke werknemer het begin en het einde van de arbeidstijd alsook de bijbehorende onderbrekingen of pauzes, onder het begrip „persoonsgegevens” in de zin van die bepaling valt.
19 In dat verband volstaat het vast te stellen – zoals alle betrokkenen die schriftelijke opmerkingen hebben gemaakt, hebben aangevoerd – dat de gegevens in een arbeidstijdregister zoals dat in het hoofdgeding, die betrekking hebben op de dagelijkse arbeidstijdvakken en de rusttijden voor elke werknemer, persoonsgegevens vormen in de zin van artikel 2, sub a, van richtlijn 95/46, aangezien het gaat om „informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon” (zie in die zin onder meer arresten van 20 mei 2003, Österreichischer Rundfunk e.a., C‑465/00, C‑138/01 en C‑139/01, Jurispr. blz. I‑4989, punt 64; 16 december 2008, Huber, C‑524/06, Jurispr. blz. I‑9705, punt 43, en 7 mei 2009, Rijkeboer, C‑553/07, Jurispr. blz. I‑3889, punt 42).
20 Het verzamelen, vastleggen, ordenen, bewaren, raadplegen en gebruiken van dergelijke gegevens door een werkgever en de doorzending daarvan aan de nationale autoriteiten bevoegd voor het toezicht op de arbeidsvoorwaarden, vormen dus een „verwerking van persoonsgegevens” in de zin van artikel 2, sub b, van richtlijn 95/46 (zie in die zin onder meer reeds aangehaalde arresten Österreichischer Rundfunk e.a., punt 64, en Huber, punt 43).
21 Voorts valt deze verwerking van persoonsgegevens binnen de werkingssfeer van richtlijn 95/46, aangezien in de onderhavige zaak vaststaat dat zij geautomatiseerd verloopt en de in artikel 3, lid 2, van die richtlijn neergelegde uitzonderingen niet van toepassing zijn.
22 Op de eerste vraag moet dus worden geantwoord dat artikel 2, sub a, van richtlijn 95/46 aldus moet worden uitgelegd dat een arbeidstijdregister zoals dat in het hoofdgeding, met daarin voor elke werknemer het begin en het einde van de arbeidstijd alsook de bijbehorende onderbrekingen of pauzes, onder het begrip „persoonsgegevens” in de zin van die bepaling valt.
Tweede en derde vraag
23 Met zijn tweede en derde vraag, die samen moeten worden onderzocht, wenst de verwijzende rechter in wezen te vernemen of artikel 17, lid 1, van richtlijn 95/46 aldus moet worden uitgelegd dat elke lidstaat verplicht is om passende technische en organisatorische maatregelen vast te stellen om persoonsgegevens te beveiligen tegen toevallige of onrechtmatige vernietiging, toevallig verlies, vervalsing, niet-toegelaten verspreiding of toegang, en indien dit het geval is, of een lidstaat die dergelijke maatregelen niet heeft vastgesteld een werkgever mag bestraffen die als verantwoordelijke voor de verwerking van voornoemde gegevens een systeem heeft ingevoerd van beperkte toegang tot deze gegevens dat niet onmiddellijk toegankelijk is voor de nationale autoriteit bevoegd voor het toezicht op de arbeidsvoorwaarden.
24 Krachtens artikel 17, lid 1, van richtlijn 95/46, dat betrekking heeft op de beveiliging van de verwerking, moeten de lidstaten bepalen dat de voor verwerking van persoonsgegevens verantwoordelijke technische en organisatorische maatregelen ten uitvoer dient te leggen die, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau garanderen gelet op de risico’s die deze verwerking en de aard van de te beschermen gegevens met zich brengen (zie in die zin arrest Rijkeboer, reeds aangehaald, punt 62).
25 Anders dan de premisse waarop de tweede en de derde vraag zijn gebaseerd, verplicht dit artikel 17, lid 1, de lidstaten dan ook niet – tenzij zij verantwoordelijk zijn voor de verwerking – om die technische en organisatorische maatregelen vast te stellen, aangezien de verplichting om dergelijke maatregelen te treffen enkel rust op de verantwoordelijke voor de verwerking, in casu de werkgever. Die bepaling verplicht de lidstaten daarentegen in hun interne recht een bepaling op te nemen die in die verplichting voorziet.
26 Daarnaast blijkt geenszins uit de verwijzingsbeslissing dat de gegevens die in het hoofdgeding aan de orde zijn toevallig of onrechtmatig zijn vernietigd, toevallig verloren zijn gegaan, zijn gewijzigd of op niet-toegelaten wijze zijn verspreid of geraadpleegd, dan wel op een andere wijze onrechtmatig zijn verwerkt in de zin van artikel 17, lid 1, van richtlijn 95/46. Integendeel, uit de gegevens in de stukken waarover het Hof beschikt, blijkt dat in deze zaak vaststaat dat de nationale autoriteiten bevoegd voor het toezicht op de arbeidsvoorwaarden op grond van het nationale recht toegang hadden tot deze gegevens.
27 In haar schriftelijke opmerkingen stelt Worten evenwel dat de in artikel 202, lid 1, van het arbeidswetboek neergelegde verplichting om het arbeidstijdregister voor onmiddellijke raadpleging beschikbaar te stellen, in de praktijk onverenigbaar is met de verplichting om een systeem in te voeren dat de gegevens in dat register passend beschermt. Een dergelijke verplichting zou ertoe leiden dat elke werknemer van de betrokken onderneming toegang heeft tot die gegevens, wat in strijd is met de verplichting van artikel 17, lid 1, van richtlijn 95/46 om de veiligheid van die gegevens te verzekeren. Een dergelijke veralgemeende toegang zou die bepaling derhalve elk nuttig effect ontnemen.
28 Dat betoog kan niet slagen. Anders dan de premisse waarop verzoekster zich baseert, betekent de verplichting voor een werkgever om, als verantwoordelijke voor de verwerking van persoonsgegevens, aan de nationale autoriteit bevoegd voor het toezicht op de arbeidsvoorwaarden onmiddellijke toegang tot het arbeidstijdregister te verschaffen geenszins dat de persoonsgegevens in dat register noodzakelijkerwijze op die enkele grond toegankelijk moeten worden gemaakt voor personen die daartoe niet gemachtigd zijn. Zoals de Portugese regering terecht heeft aangehaald, staat het immers krachtens artikel 17, lid 1, van richtlijn 95/46 aan elke verantwoordelijke voor de verwerking van persoonsgegevens om de technische en organisatorische maatregelen te nemen die nodig zijn om zich ervan te vergewissen dat enkel personen die naar behoren gemachtigd zijn voor toegang tot de betrokken persoonsgegevens een verzoek om toegang door een derde mogen inwilligen.
29 In die omstandigheid is de uitlegging van artikel 17, lid 1, van richtlijn 95/46 voor de beslechting van het hoofdgeding irrelevant.
30 In het kader van de bij artikel 267 VWEU ingestelde procedure van samenwerking tussen de nationale rechterlijke instanties en het Hof is het echter aan het Hof, de nationale rechter een nuttig antwoord voor de oplossing van het bij hem aanhangige geding te geven. Daartoe dient het Hof de hem voorgelegde vragen in voorkomend geval te herformuleren. Het Hof heeft immers tot taak, alle bepalingen van het recht van de Unie uit te leggen die noodzakelijk zijn voor de beslechting van bij de nationale rechterlijke instanties aanhangige gedingen, ook wanneer die bepalingen niet uitdrukkelijk worden genoemd in de door die rechterlijke instanties gestelde vragen (zie onder meer arresten van 8 maart 2007, Campina, C‑45/06, Jurispr. blz. I‑2089, punten 30 en 31, en 14 oktober 2010, Fuß, C‑243/09, Jurispr. blz. I‑9849, punt 39).
31 Derhalve belet de omstandigheid dat de verwijzende rechter zijn vragen formeel heeft beperkt tot de uitlegging van artikel 17, lid 1, van richtlijn 95/46, het Hof niet om hem alle uitleggingsgegevens met betrekking tot het recht van de Unie te verschaffen die van nut kunnen zijn voor de beslechting van de bij hem aanhangige zaak, ongeacht of deze rechter er in zijn vragen melding van maakt. Het staat in dit verband aan het Hof om uit alle door de nationale rechter verschafte gegevens, met name uit de motivering van de verwijzingsbeslissing, de elementen van dat recht te putten die, gelet op het voorwerp van het geschil, uitlegging behoeven (zie arrest Fuß, reeds aangehaald, punt 40).
32 In casu blijkt uit de stukken waarover het Hof beschikt dat de verwijzende rechter in wezen wenst te vernemen of de bepalingen van richtlijn 95/46 aldus moeten worden uitgelegd dat zij zich verzetten tegen een nationale regeling zoals die in het hoofdgeding, die een werkgever verplicht aan de nationale autoriteit bevoegd voor het toezicht op de arbeidsvoorwaarden een onmiddellijk consulteerbaar arbeidsregister ter beschikking te stellen. Zoals blijkt uit punt 15 van het onderhavige arrest is Worten immers beboet wegens schending van die verplichting, zoals neergelegd in artikel 202, lid 1, van het arbeidswetboek.
33 In dat verband zij eraan herinnerd dat overeenkomstig hoofdstuk II van richtlijn 95/46, met het opschrift „Algemene voorwaarden voor de rechtmatigheid van de verwerking van persoonsgegevens”, elke verwerking van persoonsgegevens, behoudens de op grond van artikel 13 van die richtlijn toegestane uitzonderingen, moet stroken met de in artikel 6 van die richtlijn genoemde beginselen betreffende de kwaliteit van de gegevens, alsook met een van de in artikel 7 van die richtlijn genoemde beginselen betreffende de toelaatbaarheid van gegevensverwerking (reeds aangehaalde arresten Österreichischer Rundfunk e.a., punt 65, en Huber, punt 48, en arrest van 24 november 2011, ASNEF en FECEMD, C‑468/10 en C‑469/10, Jurispr. blz. I-12181, punt 26).
34 In het bijzonder moeten krachtens artikel 6, lid 1, sub b en c, van richtlijn 95/46 de gegevens „voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verkregen” alsmede gelet op die doeleinden „toereikend, ter zake dienend en niet bovenmatig” zijn. Volgens artikel 7, sub c en e, van die richtlijn mag de verwerking van persoonsgegevens bovendien slechts geschieden indien zij „noodzakelijk is om een wettelijke verplichting na te komen waaraan de voor de verwerking verantwoordelijke onderworpen is” dan wel „noodzakelijk is voor de vervulling van een taak van algemeen belang of die deel uitmaakt van de uitoefening van het openbaar gezag die aan de voor de verwerking verantwoordelijke of de derde aan wie de gegevens worden verstrekt, [...] is opgedragen” (arrest Österreichischer Rundfunk e.a., reeds aangehaald, punt 66).
35 Dit lijkt het geval in een situatie zoals die in het hoofdgeding, wanneer blijkt – wat aan de verwijzende rechter staat om na te gaan – dat de persoonsgegevens in het arbeidstijdregister zijn verzameld om de naleving van de arbeidsvoorwaardenregeling te verzekeren en de verwerking van die persoonsgegevens voorts noodzakelijk is om een wettelijke verplichting waaraan de werkgever is onderworpen na te komen en om de toezichtsopdracht waarmee de nationale autoriteit bevoegd voor het toezicht op de arbeidsvoorwaarden is belast uit te oefenen.
36 Wat betreft de concrete organisatie van de toegang van die nationale autoriteit tot die persoonsgegevens om het haar opgedragen toezicht op de arbeidsvoorwaarden mogelijk te maken, zij eraan herinnerd dat enkel het verlenen van toegang aan op dit gebied bevoegde autoriteiten kan worden beschouwd als noodzakelijk in de zin van artikel 7, sub e, van richtlijn 95/46 (zie in die zin arrest Huber, reeds aangehaald, punt 61).
37 Aangaande de verplichting voor de werkgever om die nationale autoriteit onmiddellijke toegang tot het arbeidstijdregister te verschaffen, volgt uit de rechtspraak van het Hof dat een dergelijke verplichting noodzakelijk in de zin van die bepaling kan blijken indien zij bijdraagt tot een efficiëntere toepassing van de arbeidsvoorwaardenregeling (zie naar analogie arrest Huber, reeds aangehaald, punt 62).
38 In dat verband zij eraan herinnerd dat richtlijn 2003/88 ertoe strekt minimumvoorschriften vast te stellen om de levens- en arbeidsomstandigheden van de werknemers te verbeteren door de nationale regelingen inzake met name de duur van de arbeidstijd te harmoniseren, door de werknemers – met name dagelijkse en wekelijkse – minimumrusttijden en voldoende pauzes te laten genieten en door aan de wekelijkse arbeidstijd een maximumgrens te stellen (zie in die zin onder meer arresten van 5 oktober 2004, Pfeiffer e.a., C‑397/01–C‑403/01, Jurispr. blz. I‑8835, punt 76, en 25 november 2010, Fuß, C‑429/09, Jurispr. blz. I‑12167, punt 43).
39 Tegen die achtergrond verplicht artikel 6, sub b, van richtlijn 2003/88 de lidstaten om de „nodige maatregelen” te treffen opdat in verband met de noodzakelijke bescherming van de veiligheid en de gezondheid van de werknemers de gemiddelde arbeidstijd in elk tijdvak van zeven dagen, inclusief overwerk, niet meer dan achtenveertig uren bedraagt (zie in die zin arrest Pfeiffer e.a., reeds aangehaald, punt 100, en arrest van 14 oktober 2010, Fuß, reeds aangehaald, punt 33).
40 Bovendien bepaalt artikel 22, lid 1, eerste alinea, van richtlijn 2003/88 dat de lidstaten kunnen besluiten de bepalingen van artikel 6 van deze richtlijn niet toe te passen, op voorwaarde dat zij onder meer waarborgen dat door de daartoe getroffen maatregelen de werkgever registers bijhoudt van alle betrokken werknemers (artikel 22, lid 1, eerste alinea, sub c, van die richtlijn) en die registers ter beschikking worden gesteld van de bevoegde autoriteiten die, in verband met de veiligheid en/of de gezondheid van de werknemers, de mogelijkheid om de maximale wekelijkse arbeidstijd te overschrijden, kunnen verbieden of beperken (artikel 22, lid 1, eerste alinea, sub d, van die richtlijn).
41 De Europese Commissie stelt dat hoewel richtlijn 2003/88 de lidstaten niet uitdrukkelijk verplicht een regeling vast te stellen zoals die in het hoofdgeding, het toezicht op de naleving van de door die richtlijn opgelegde verplichtingen met zich kan brengen dat controlemaatregelen worden ingesteld, als de „nodige maatregelen” voor de verwezenlijking van de door de richtlijn nagestreefde doelstellingen. De verplichting voor de werkgever om onmiddellijke raadpleging van het arbeidstijdregister toe te staan, strekt ertoe te beletten dat de gegevens worden gewijzigd in de periode tussen het controlebezoek door de bevoegde nationale autoriteiten en de daadwerkelijke controle van die gegevens door deze autoriteiten.
42 Volgens Worten daarentegen is die verplichting buitensporig, gelet op de inmenging in het privéleven van de werknemers die zij inhoudt. Het arbeidstijdregister strekt er enerzijds immers toe de werknemer een bewijsmiddel te verschaffen voor verificatie van de daadwerkelijk gewerkte tijd. In het hoofdgeding wordt de authenticiteit van dit register niet betwist. Anderzijds maakt dat register een beoordeling van de gemiddeld gepresteerde arbeidstijden mogelijk, met het oog op de controle van, met name, de vrijstellingen van de arbeidstijden. De onmiddellijke beschikbaarheid van die registers heeft daarvoor geen toegevoegde waarde. Bovendien kan de informatie in dat register later worden verstrekt.
43 In de onderhavige zaak staat het aan de nationale rechter om te onderzoeken of de verplichting voor de werkgever om de nationale autoriteit bevoegd voor het toezicht op de arbeidsvoorwaarden toegang tot het arbeidstijdregister te verschaffen die onmiddellijke raadpleging ervan mogelijk maakt, kan worden beschouwd als noodzakelijk voor de uitoefening door die autoriteit van haar toezichtsopdracht, omdat zij bijdraagt tot een efficiëntere toepassing van de arbeidsvoorwaardenregeling, met name inzake arbeidstijd.
44 In dat verband zij evenwel verduidelijkt dat in elk geval, voor zover een dergelijke verplichting wordt aangemerkt als noodzakelijk om die doelstelling te verwezenlijken, de sancties die worden opgelegd om de daadwerkelijke toepassing van de vereisten van richtlijn 2003/88 te verzekeren ook het evenredigheidsbeginsel moeten eerbiedigen, wat eveneens aan de verwijzende rechter staat om na te gaan in het hoofdgeding (zie naar analogie arrest van 6 november 2003, Lindqvist, C‑101/01, Jurispr. blz. I‑12971, punt 88).
45 Gelet op een en ander moet op de tweede en de derde vraag worden geantwoord dat de artikelen 6, lid 1, sub b en c, en 7, sub c en e, van richtlijn 95/46 aldus moeten worden uitgelegd dat zij zich niet verzetten tegen een nationale regeling zoals die in het hoofdgeding, die een werkgever verplicht aan de nationale autoriteit bevoegd voor het toezicht op de arbeidsvoorwaarden een onmiddellijk consulteerbaar arbeidstijdregister ter beschikking te stellen, voor zover deze verplichting noodzakelijk is opdat die autoriteit het haar opgedragen toezicht op de toepassing van de arbeidsvoorwaardenregeling, met name inzake arbeidstijd, kan uitoefenen.
Kosten
46 Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de nationale rechterlijke instantie over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.
Het Hof (Derde kamer) verklaart voor recht:
1) Artikel 2, sub a, van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, moet aldus worden uitgelegd dat een arbeidstijdregister zoals dat in het hoofdgeding, met daarin voor elke werknemer het begin en het einde van de arbeidstijd alsook de bijbehorende onderbrekingen of pauzes, onder het begrip „persoonsgegevens” in de zin van die bepaling valt.
2) De artikelen 6, lid 1, sub b en c, en 7, sub c en e, van richtlijn 95/46 moeten aldus worden uitgelegd dat zij zich niet verzetten tegen een nationale regeling zoals die in het hoofdgeding, die een werkgever verplicht aan de nationale autoriteit bevoegd voor het toezicht op de arbeidsvoorwaarden een onmiddellijk consulteerbaar arbeidstijdregister ter beschikking te stellen, voor zover deze verplichting noodzakelijk is opdat die autoriteit het haar opgedragen toezicht op de toepassing van de arbeidsvoorwaardenregeling, met name inzake arbeidstijd, kan uitoefenen.
ondertekeningen