CONCLUSIONES DEL ABOGADO GENERAL
M. CAMPOS SÁNCHEZ-BORDONA
presentadas el 22 de septiembre de 2022 (1)
Asunto C‑34/21
Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium
con intervención de:
Minister des Hessischen Kultusministeriums als Dienststellenleiter
[Petición de decisión prejudicial planteada por el Verwaltungsgericht Frankfurt am Main (Tribunal de lo contencioso administrativo de Fráncfort del Meno, Alemania)]
«Cuestión prejudicial — Protección de datos de carácter personal — Reglamento (UE) 2016/679 — Tratamiento de datos en el ámbito laboral — Artículo 88, apartado 1 — Norma más específica — Exigencias del artículo 88, apartado 2 — Sistema escolar regional — Enseñanza en directo por videoconferencia — Ausencia de consentimiento expreso de los docentes»
1. En el litigio del que dimana esta petición de decisión prejudicial se dilucida, en esencia, si los profesores al servicio de un Ministerio del Land de Hesse (Alemania) han de prestar su consentimiento para la difusión de sus enseñanzas por videoconferencia o si, de no consentirlo, el tratamiento de sus datos personales (2) puede ampararse en un objetivo legítimo de los que contempla el Reglamento (UE) 2016/679. (3)
2. El reenvío prejudicial ofrece al Tribunal de Justicia la oportunidad de pronunciarse por vez primera, salvo error por mi parte, sobre el artículo 88 del RGPD. A tenor de ese precepto, los Estados miembros pueden establecer, a través de disposiciones legislativas o de convenios colectivos, normas más específicas para garantizar la protección de los derechos y libertades en relación con el tratamiento de los datos personales de los trabajadores en el ámbito laboral.
I. Marco normativo
A. Derecho de la Unión. RGPD
3. Los siguientes considerandos tienen este tenor:
«[…]
(8) En los casos en que el presente Reglamento establece que sus normas sean especificadas o restringidas por el derecho de los Estados miembros, estos, en la medida en que sea necesario por razones de coherencia y para que las disposiciones nacionales sean comprensibles para sus destinatarios, pueden incorporar a su derecho nacional elementos del presente Reglamento.
[…]
(10) Para garantizar un nivel uniforme y elevado de protección de las personas físicas y eliminar los obstáculos a la circulación de datos personales dentro de la Unión, el nivel de protección de los derechos y libertades de las personas físicas por lo que se refiere al tratamiento de dichos datos debe ser equivalente en todos los Estados miembros. Debe garantizarse en toda la Unión que la aplicación de las normas de protección de los derechos y libertades fundamentales de las personas físicas en relación con el tratamiento de datos de carácter personal sea coherente y homogénea. En lo que respecta al tratamiento de datos personales para el cumplimiento de una obligación legal, para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento, los Estados miembros deben estar facultados para mantener o adoptar disposiciones nacionales a fin de especificar en mayor grado la aplicación de las normas del presente Reglamento. [...]
[...]
(45) Cuando se realice en cumplimiento de una obligación legal aplicable al responsable del tratamiento, o si es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos, el tratamiento debe tener una base en el derecho de la Unión o de los Estados miembros. El presente Reglamento no requiere que cada tratamiento individual se rija por una norma específica. Una norma puede ser suficiente como base para varias operaciones de tratamiento de datos basadas en una obligación legal aplicable al responsable del tratamiento, o si el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos. La finalidad del tratamiento también debe determinarse en virtud del derecho de la Unión o de los Estados miembros. Además, dicha norma podría especificar las condiciones generales del presente Reglamento por las que se rige la licitud del tratamiento de datos personales, establecer especificaciones para la determinación del responsable del tratamiento, el tipo de datos personales objeto de tratamiento, los interesados afectados, las entidades a las que se pueden comunicar los datos personales, las limitaciones de la finalidad, el plazo de conservación de los datos y otras medidas para garantizar un tratamiento lícito y leal. [...]
[…]
(155) El derecho de los Estados miembros o los convenios colectivos, incluidos los “convenios de empresa”, pueden establecer normas específicas relativas al tratamiento de datos personales de los trabajadores en el ámbito laboral, en particular en relación con las condiciones en las que los datos personales en el contexto laboral pueden ser objeto de tratamiento sobre la base del consentimiento del trabajador, los fines de la contratación, la ejecución del contrato laboral, incluido el cumplimiento de las obligaciones establecidas por la ley o por convenio colectivo, la gestión, planificación y organización del trabajo, la igualdad y seguridad en el lugar de trabajo, la salud y seguridad en el trabajo, así como a los fines del ejercicio y disfrute, sea individual o colectivo, de derechos y prestaciones relacionados con el empleo y a efectos de la rescisión de la relación laboral.
[…]».
4. El artículo 5 («Principios relativos al tratamiento») prescribe:
«1. Los datos personales serán:
a) tratados de manera lícita, leal y transparente en relación con el interesado (“licitud, lealtad y transparencia”);
b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales (“limitación de la finalidad”);
c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (“minimización de datos”);
d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan (“exactitud”);
e) mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado (“limitación del plazo de conservación”);
f) tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas (“integridad y confidencialidad”).
2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (“responsabilidad proactiva”)».
5. El artículo 6 («Licitud del tratamiento») del RGPD dispone:
«1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
[…]
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.
2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras c) y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX.
3. La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser establecida por:
a) el derecho de la Unión, o
b) el derecho de los Estados miembros que se aplique al responsable del tratamiento.
La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.
4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
a) cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
b) el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
c) la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;
e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización».
6. El artículo 88 («Tratamiento en el ámbito laboral») recoge:
«1. Los Estados miembros podrán, a través de disposiciones legislativas o de convenios colectivos, establecer normas más específicas para garantizar la protección de los derechos y libertades en relación con el tratamiento de datos personales de los trabajadores en el ámbito laboral, en particular a efectos de contratación de personal, ejecución del contrato laboral, incluido el cumplimiento de las obligaciones establecidas por la ley o por el convenio colectivo, gestión, planificación y organización del trabajo, igualdad y diversidad en el lugar de trabajo, salud y seguridad en el trabajo, protección de los bienes de empleadores o clientes, así como a efectos del ejercicio y disfrute, individual o colectivo, de los derechos y prestaciones relacionados con el empleo y a efectos de la extinción de la relación laboral.
2. Dichas normas incluirán medidas adecuadas y específicas para preservar la dignidad humana de los interesados, así como sus intereses legítimos y sus derechos fundamentales, prestando especial atención a la transparencia del tratamiento, a la transferencia de los datos personales dentro de un grupo empresarial o de una unión de empresas dedicadas a una actividad económica conjunta y a los sistemas de supervisión en el lugar de trabajo.
3. Cada Estado miembro notificará a la Comisión las disposiciones legales que adopte de conformidad con el apartado 1 a más tardar el 25 de mayo de 2018 y, sin dilación, cualquier modificación posterior de las mismas».
B. Derecho nacional
1. Hessisches Datenschutz- und Informationsfreiheitsgesetz (4)
7. El artículo 23 preceptúa:
«(1) Los datos personales de los trabajadores pueden ser tratados a efectos de la relación laboral si esto es necesario para la decisión sobre el establecimiento de una relación laboral o, tras el establecimiento de la relación laboral, para su aplicación, extinción o liquidación, así como para la aplicación de medidas internas de planificación, organización, de naturaleza social o de personal. Esto también se aplica al ejercicio o cumplimiento de los derechos y obligaciones de los representantes de los intereses de los trabajadores que resulten de una ley o de un convenio colectivo general, un acuerdo de empresa o un acuerdo colectivo de la función pública (convenio colectivo).
[…]
(4) El tratamiento de datos personales, incluidas las categorías especiales de datos personales de los trabajadores a efectos de la relación laboral, estará permitido con arreglo a lo dispuesto en convenio colectivo. En ese marco, las partes negociadoras deben respetar el apartado 2 del artículo 88 del [RGPD].
(5) El responsable del tratamiento deberá adoptar medidas adecuadas para garantizar, en particular, el cumplimiento de los principios relativos al tratamiento establecidos en el artículo 5 del [RGPD].
[…]
(8) Son empleados en el sentido de la presente ley:
[…]
7. los funcionarios sometidos a la Hessisches Beamtengesetz, [(5)] los magistrados del Land, así como las personas que desempeñen un servicio civil.
[…]».
2. Hessisches Beamtengesetz
8. El artículo 86, apartado 4, expresa:
«El empleador puede recoger datos personales de los aspirantes, funcionarios y antiguos funcionarios solo en la medida en que sea necesario para el establecimiento de una relación laboral o para su aplicación, extinción o liquidación, así como para la aplicación de medidas de organización, de naturaleza social o de personal, especialmente también para la planificación y el despliegue del personal, o si una disposición legislativa o un acuerdo colectivo de la función pública lo permiten […]».
II. Hechos, litigio y preguntas prejudiciales
9. El Verwaltungsgericht Wiesbaden (Tribunal de lo contencioso administrativo de Wiesbaden, Alemania), a quien se debe inicialmente el planteamiento de esta petición de decisión prejudicial, no ha facilitado una descripción circunstanciada de los hechos del litigio ni de las disposiciones en él impugnadas (6) ni de las vicisitudes del procedimiento, centrándose, más bien, en exponer sus dudas sobre los aspectos jurídicos.
10. Aquel tribunal se limita a constatar que las partes «discrepan acerca de si la introducción de la enseñanza en línea mediante sistemas de videoconferencia requiere, además del consentimiento de los padres de alumnos menores o de los alumnos mayores de edad, el del profesor correspondiente o si, por el contrario, el tratamiento de datos que tiene lugar en este caso está amparado por el artículo 23, apartado 1, primera frase, de la HDSIG […]».
11. En particular, duda de que el artículo 23, apartado 1, primera frase, de la HDSIG constituya una «norma más específica» en relación con el tratamiento de datos de los trabajadores, en el sentido del artículo 88 del RGPD. A su juicio, ese precepto no cumple las exigencias del artículo 88, apartado 2, del RGPD, pues:
— Hace referencia únicamente a una «necesidad» como base jurídica del tratamiento de los datos de los empleados o funcionarios.
— Cualquier tratamiento de los datos de los trabajadores que vaya más allá del meramente necesario en virtud del contrato de trabajo ha de llevarse a cabo tras una ponderación de intereses que excede de la simple necesidad, lo que no contempla la ley nacional.
12. El tribunal de reenvío afirma no compartir la jurisprudencia del Bundesarbeitsgericht (Tribunal Supremo de lo laboral, Alemania) sobre la compatibilidad del equivalente federal del artículo 23, apartado 1, primera frase, de la HDSIG (7) con el artículo 88 del RGPD.
13. El tribunal a quo considera, por el contrario, que:
— La introducción del principio de «necesidad» en la legislación nacional no constituye una realización concreta de las exigencias del artículo 88, apartado 2, del RGPD.
— La referencia a que el responsable del tratamiento deba cumplir, en particular, los principios del artículo 5 del RGPD tampoco satisface aquellas exigencias, porque el artículo 5 no contiene ninguna protección específica de los trabajadores.
— «Aunque el legislador haya tenido en cuenta, en principio, el artículo 88, apartado 2, del RGPD, exigiendo su cumplimiento en los convenios colectivos, no analizó ni cumplió el catálogo de exigencias del apartado 2 ni en la propia ley ni en la exposición de motivos de la legislación correspondiente».
14. En este contexto, aquel órgano judicial elevó al Tribunal de Justicia las siguientes preguntas:
«1) ¿Debe interpretarse el artículo 88, apartado 1, del [RGPD] en el sentido de que, para que una disposición legislativa constituya una norma más específica para garantizar la protección de los derechos y libertades en relación con el tratamiento de datos personales de los trabajadores en el ámbito laboral, en el sentido del citado artículo 88, apartado 1, del [RGPD], debe satisfacer las exigencias impuestas por el artículo 88, apartado 2, del mismo Reglamento en relación con tales disposiciones?
2) ¿Puede seguir aplicándose, así y todo, una norma nacional cuando resulte claro que no satisface las exigencias impuestas por el artículo 88, apartado 2, del [RGPD]?»
III. Procedimiento ante el Tribunal de Justicia
15. La petición de decisión prejudicial se registró en el Tribunal de Justicia el 20 de enero de 2021.
16. La competencia para resolver el litigio de origen recayó, con efecto de 1 de diciembre de 2021, (8) en el Verwaltungsgericht Frankfurt am Main (Tribunal de lo contencioso administrativo de Fráncfort del Meno, Alemania), ante el que continuó su tramitación.
17. Han presentado observaciones escritas los Gobiernos alemán, austríaco y rumano, además de la Comisión Europa. Todos ellos, así como el Comité de personal docente, respondieron por escrito a las preguntas que el Tribunal de Justicia les dirigió antes de la vista.
18. En la vista, celebrada el 30 de junio de 2022, comparecieron el Comité de personal docente, el Ministerio de Educación y Cultura del Land de Hesse, el Gobierno alemán y la Comisión.
IV. Análisis
A. Admisibilidad del reenvío prejudicial
19. El Gobierno alemán había objetado en su escrito de observaciones que el reenvío prejudicial es inadmisible, pues, dilucidándose si el tratamiento de datos personales inherente a la difusión en directo de enseñanzas por videoconferencia está amparado por el artículo 23, apartado 1, de la HDSIG, el tribunal de remisión no explica las razones para excluir la posibilidad de que ese tratamiento esté autorizado en virtud del consentimiento del profesor.
20. En el acto de la vista el Gobierno alemán matizó, en parte, esa objeción reconociendo que el Tribunal de Justicia tendría que pronunciarse (esto es, que el reenvío sería admisible) si el tratamiento no hubiera sido consentido por los docentes afectados.
21. En cualquier caso, la negativa del Tribunal de Justicia a pronunciarse sobre una cuestión planteada por un órgano jurisdiccional nacional solo es posible cuando resulta patente que la interpretación solicitada del derecho de la Unión no tiene relación alguna con la realidad o con el objeto del litigio principal, cuando el problema es de naturaleza hipotética o cuando el Tribunal de Justicia no dispone de los elementos de hecho o de derecho necesarios para responder eficazmente a las cuestiones planteadas. (9)
22. Ninguna de esas circunstancias concurre en este reenvío prejudicial, en el que prevalece su presunción de pertinencia. (10) La premisa que subyace en él es que no necesariamente todos los profesores consienten el tratamiento de sus datos personales, por lo que subsiste el interés en determinar la conformidad con el derecho de la Unión de la norma (11) que daría cobertura a ese tratamiento carente de consentimiento del afectado.
23. La pregunta prejudicial se contrae, justamente, a determinar si la normativa que proporcionaría apoyo al tratamiento de los datos personales de los profesores, a falta de su consentimiento, cumple, o no, los requisitos del artículo 88, apartados 1 y 2, del RGPD. La conexión suficiente entre el litigio y las disposiciones del derecho de la Unión cuya interpretación se demanda es, de este modo, innegable.
B. Sobre el fondo
1. Consideraciones preliminares
24. Con su primera pregunta prejudicial, el tribunal de renvío quiere saber si, para que una disposición legislativa constituya una «norma más específica», en el sentido del artículo 88, apartado 1, del RGPD, ha de satisfacer los requisitos del artículo 88, apartado 2.
25. La lectura del artículo 88 del RGPD conduce a deducir que las «normas más específicas» mencionadas en su apartado 1 deben atenerse a los requisitos del apartado 2.
26. Con arreglo al artículo 88, apartado 2, del RGPD, «dichas normas» (es decir, las normas más específicas que menciona el apartado 1 y que los Estados miembros pueden establecer) han de incluir «medidas adecuadas y específicas» para preservar la dignidad, los intereses legítimos y los derechos fundamentales de los trabajadores. Esas normas han de prestar una atención especial a la transparencia del tratamiento, a la transferencia de datos dentro de un grupo empresarial o de una unión de empresas y a los sistemas de supervisión en el lugar de trabajo.
27. Hay, pues, una obvia ligazón entre ambos apartados del artículo 88 del RGPD: el segundo precisa, en términos imperativos, (12) el contenido de las normas específicas que los Estados miembros pueden aprobar, en el ámbito laboral, a título del apartado primero.
28. La respuesta a esta pregunta prejudicial no presenta, por lo tanto, mayores dificultades: el artículo 88 del RGPD ha de interpretarse en el sentido de que una disposición legislativa que pretenda constituirse en «norma más específica», en el sentido de su apartado 1, «debe satisfacer las exigencias» —por utilizar los términos del tribunal de reenvío— del apartado 2.
29. No es verosímil que, para llegar a esta deducción, el órgano judicial a quo necesitara la asistencia del Tribunal de Justicia. Por eso, quizá el verdadero sentido de la primera pregunta prejudicial deba aquilatarse a la luz de la segunda. En esta última, el interrogante es si una norma nacional que «no satisface las exigencias impuestas por el artículo 88, apartado 2» del RGPD (13) puede seguir aplicándose.
30. Desde esta perspectiva (que es la del auto de reenvío), el debate se extiende a si las disposiciones legislativas de los Estados miembros adoptadas en virtud del artículo 88, apartado 1, del RGPD, pero que no se atienen al artículo 88, apartado 2, pueden gozar del amparo de otras normas del RGPD. En particular, de otras cláusulas de apertura de este reglamento, como la de su artículo 6, apartado 2.
31. La imbricación de las dos preguntas del tribunal de reenvío es tal que el Gobierno austríaco y la Comisión se inclinan por darles una respuesta conjunta, enfoque que comparto y al que me atendré.
2. Artículo 88 del RGPD y función pública docente
32. El tribunal de reenvío da por supuesto que, en lo que atañe a las normas internas sobre protección de datos, los profesores representados en el Comité de personal docente y el Ministerio de Educación y Cultura del Land de Hesse tienen una relación laboral.
33. Ese presupuesto es coherente con la HDSIG que, al regular el tratamiento de los datos personales de los trabajadores, califica de empleados, en el sentido de esa ley, a los funcionarios sometidos a la HBG, entre los que se hallan los docentes.
34. En ningún momento, pues, el tribunal a quo duda de la aplicabilidad del artículo 88 del RGPD a los empleados del Land que ejercen la función pública docente.
35. Tampoco las partes e intervinientes en el reenvío, preguntados sobre este particular por el Tribunal de Justicia, han puesto en cuestión tal premisa. Todas coinciden en que el empleo en la función pública docente no queda al margen del ámbito de aplicación del artículo 88 del RGPD.
36. Me parece que ese enfoque es acertado y puede emplearse para analizar el alcance del artículo 88 del RGPD, cuando alude a la «protección […] en relación con el tratamiento de datos personales de los trabajadores en el ámbito laboral».
37. En la categoría de trabajador, en sentido lato, se engloban, con naturalidad, como ha subrayado el Gobierno alemán, los funcionarios docentes que prestan su servicio al Land y cuyos intereses representa el Comité de personal docente.
38. La jurisprudencia del Tribunal de Justicia sobre la relación laboral (14) y sobre la noción de trabajadores, en relación con la libre circulación de estos y la inaplicabilidad del antiguo artículo 39 CE, apartado 4, (actual artículo 45 TFUE, apartado 4) a los empleos en la administración pública, puede inspirar, por analogía, la solución que propongo.
39. A tenor de esa jurisprudencia, que destaca el aspecto funcional de la tarea desempeñada:
— el concepto de administración pública, a estos efectos, debe interpretarse y aplicarse uniformemente en toda la Unión y no es posible, por tanto, dejarlo a la absoluta discreción de los Estados miembros.
— El artículo 45 TFUE, apartado 4, se refiere a los empleos que implican una participación, directa o indirecta, en el ejercicio del poder público y en las funciones que tienen por objeto la salvaguardia de los intereses generales del Estado y de las demás entidades públicas. (15)
40. Dado que los funcionarios docentes no participan, en cuanto tales, en el ejercicio del poder público en sentido estricto, antes bien, brindan una actividad prestacional de naturaleza educativa, (16) semejante a la que prestan a otras entidades o empresas privadas, aquellos pueden calificarse de «trabajadores» en términos generales y, derivadamente, en el terreno de la protección de datos.
41. Otra cosa supondría, y así lo ha destacado el Gobierno austríaco, tratar de manera desigual situaciones sustancialmente equivalentes, como son las que, desde el punto de vista material, definen la posición del profesorado en el ámbito de la función pública y en el del sector privado. Lo que sería tanto más grave cuanto que, como ha alegado la Comisión, la noción de servicio público no está armonizada en el seno de la Unión, con la consecuencia de que, en caso de una interpretación diferente, el campo de aplicación del artículo 88 del RGPD dependería del derecho nacional.
3. Cláusulas abiertas en el RGPD
42. Como subrayaba el abogado general Bobek en el asunto Fashion ID, (17) con la sustitución de la Directiva 95/46/CE (18) por el RGPD se ha producido, ante todo, un cambio fundamental en cuanto a la naturaleza del instrumento jurídico que regula la protección de las personas físicas en materia de tratamiento de datos personales.
43. Ese instrumento no es ya una directiva (esto es, una norma que, impone una obligación de resultado, dejando a las autoridades nacionales la elección de la forma y de los medios), sino un reglamento. Este último, obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro, no consiente, en principio y salvo autorización expresa, que las normas nacionales incorporen (o repliquen) su contenido. (19)
44. Aun cuando el RGPD ha ido más allá de la armonización perseguida por la Directiva 95/46, (20) la práctica universalidad de los ámbitos de la actividad humana en los que se generan datos personales cuyo tratamiento ha de protegerse (21) determinó que el legislador facultase a los Estados miembros para:
— incorporar a su derecho nacional ciertos elementos del RGPD, cuando este establezca que sus normas sean especificadas o restringidas por el derecho de los Estados miembros;
— mantener o adoptar disposiciones nacionales capaces de concretar, en mayor grado, la aplicación de algunas normas del RGPD. (22)
45. Si bien el RGPD pretende garantizar una aplicación coherente y homogénea de las normas de protección en el conjunto de la Unión y eliminar los obstáculos a la circulación de datos personales en el seno de esta, (23) el legislador europeo no ha podido dejar de reconocer, como señaló el abogado general Richard de la Tour, que la realidad resulta más compleja: el RGPD no podía anticiparse, pese a su transversalidad, a todas las ramificaciones posibles de la protección de datos personales en ámbitos como el consumo, la competencia o el trabajo. (24)
46. Se explica así que el RGPD ofrezca a los Estados miembros la posibilidad de establecer normas nacionales adicionales que sean más estrictas o prevean alguna excepción. Los Estados disponen de un margen de apreciación en cuanto a la manera de aplicar esas disposiciones («cláusulas de apertura»). (25)
47. La relativa proliferación de este tipo de cláusulas ha redundado en detrimento de la completa armonización de la protección de datos personales. (26) Como ha reconocido la Comisión, que el RGPD obligue a los Estados miembros a legislar en unos ámbitos, a la vez que les ofrece la posibilidad de especificar sus reglas en otros, ha supuesto «un cierto grado de fragmentación que se debe sobre todo al uso generalizado de cláusulas de especificación facultativas». (27)
48. La cláusula que interesa, en particular, en este asunto es la del artículo 88, apartado 1, del RGPD. Sin embargo, hay que examinar someramente su relación con la del artículo 6, apartado 1, letras b) y e), del mismo Reglamento, lo que se hizo en la vista.
a) Artículo 6, apartado 2, del RGPD
49. Enmarcado en el capítulo II del RGPD, en el que se asientan los «principios» que informan el tratamiento de los datos personales y configuran, por tanto, el régimen general del sistema, el artículo 6 enumera en su apartado 1 las condiciones de licitud del tratamiento. En concreto, la letra a) de este último apartado alude al consentimiento del interesado y la letra b) a que el tratamiento sea necesario para la ejecución de un contrato en el que aquel es parte.
50. Esas condiciones se suman a las que derivan de los principios que el artículo 5 del RGPD establece con carácter general (28) y concretan los artículos 7 a 11 del RGPD en cuanto al consentimiento (artículo 7 y, respecto de los de menores, artículo 8), al tratamiento de categorías especiales de datos personales (artículo 9) o relativos a condenas e infracciones penales (artículo 10) y al tratamiento que no requiere identificación (artículo 11).
51. A este conjunto de principios y de reglas pueden sumarse las «disposiciones más específicas» adoptadas (o mantenidas) por los Estados miembros para, de acuerdo con el artículo 6, apartado 2, del RGPD, «adaptar la aplicación de las normas» del RGPD con respecto a dos tratamientos concretos, cuando resulten necesarios para:
— El cumplimiento de una obligación legal [letra c) del apartado 1 del artículo 6].
— El cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos [letra e) del apartado 1 del artículo 6]. (29)
52. Esa «adaptación», añade el precepto, consistirá en fijar «de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo», incluyendo «otras situaciones específicas de tratamiento a tenor del capítulo IX».
53. Esta última expresión del precepto no tiene la claridad deseable, pues no es fácil colegir si con él se consiente —insisto, para los tratamientos a los que se refieren las letras c) y e) del artículo 6, apartado 1— la regulación de situaciones específicas distintas de las ya contempladas en el capítulo IX o si estas últimas son las únicas admitidas por el RGPD para aquellos dos tratamientos.
b) Artículo 88, apartado 1, del RGPD
54. En cualquier caso, repito, la cláusula de apertura que aquí interesa, porque en ella se centra el tribunal a quo, es la del artículo 88, apartado 1, del RGPD. Recuerdo que, según su tenor, los Estados miembros pueden establecer, mediante disposiciones legislativas o convenios colectivos, «normas más específicas para garantizar la protección de los derechos y libertades en relación con el tratamiento de datos personales de los trabajadores en el ámbito laboral».
55. El tratamiento de esos datos personales puede realizarse, en concreto, a efectos de:
— la contratación de personal, la ejecución del contrato laboral, (30) la gestión, planificación y organización del trabajo, la igualdad y diversidad en el lugar de trabajo, la salud y seguridad en el trabajo, la protección de bienes de empleadores o clientes;
— el ejercicio y disfrute, individual o colectivo, de los derechos y prestaciones relacionados con el empleo; y
— la extinción de la relación laboral.
56. La autorización para aprobar esas disposiciones implica un cierto efecto «desarmonizador». Las normas nacionales habilitadas por el artículo 88, apartado 1, del RGPD pueden implicar, para uno o varios Estados miembros, la introducción de diferencias en el régimen general del RGPD que van más allá de la mera función de «adaptación» permitida por el artículo 6, apartado 2, del RGPD:
— El artículo 6, apartado 2, del RGPD faculta a los Estados miembros para adaptar la aplicación de determinadas disposiciones del propio RGPD.
— El artículo 88, apartado 1, del RGPD, en cambio, consiente que los Estados miembros establezcan normas más específicas de garantía. Se trata, pues, de una actividad de creación normativa de mayor intensidad, que no concurre cuando se trata simplemente de adaptar o acomodar la aplicación de disposiciones del RGPD cuyo contenido y alcance han de tenerse por definitivos. (31)
4. Artículo 23 de la HDSIG en relación con el RGPD
57. De conformidad con lo prescrito por el artículo 88, apartado 3, del RGPD, la República Federal de Alemania notificó a la Comisión que, entre las disposiciones legales adoptadas por ese Estado miembro al amparo del artículo 88, apartado 1, del RGPD, figuraba el artículo 23 de la HDSIG.
58. A mi juicio, coincidente en este punto con el del tribunal de reenvío y el de la Comisión, el artículo 23 de la HDSIG no satisface la condición de «establecer normas más específicas» para la protección de los derechos inherentes al tratamiento de datos personales en el ámbito laboral, como propugna el apartado 1 del artículo 88 del RGPD.
59. Tanto el artículo 23, apartado 1, primera frase, de la HDSIG, como el artículo 86, apartado 4, primera frase, de la HBG se limitan a prescribir que los datos personales de los empleados y funcionarios pueden ser tratados a efectos de la relación laboral, si ello resulta «necesario» para uno de estos objetivos:
— para la decisión sobre el establecimiento de dicha relación o, una vez establecida esta última, para su aplicación, extinción o liquidación; o
— para la aplicación de medidas internas de planificación y organización o de naturaleza personal o social.
60. En puridad, ambas normas condicionan el tratamiento de los datos personales de los trabajadores a la mera circunstancia de que sea necesario para determinados fines.
61. No se trata, por tanto, de una previsión muy distinta de la contemplada en el artículo 6, apartado 1, letra b), del RGPD («el tratamiento solo será lícito si […] es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales»). (32)
62. El artículo 23 de la HDSIG vendría, pues, a reiterar una condición ya exigida por el artículo 6, apartado 1, letra b), del RGPD para la licitud general del tratamiento. No añadiría, por el contrario, ninguna norma específica para proteger los derechos implicados en el contexto del tratamiento de datos personales en el ámbito laboral. (33)
63. Al mismo resultado se llegaría si la actividad docente controvertida hubiera de encuadrarse en la letra e) del artículo 6, apartado 1, del RGPD (esto es, si el tratamiento controvertido fuera necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos). (34)
64. En la hipótesis de las letras c) y e), el apartado 2 del artículo 6 del RGPD consiente a los Estados miembros, como ya he apuntado, el mantenimiento o la introducción de «disposiciones más específicas […] fijando de manera más precisa requisitos específicos de tratamiento […]».
65. Insisto en que el artículo 23 de la HDSIG no constituye una «disposición más específica», sino que se limita a permitir el tratamiento de los datos de los trabajadores cuando resulte necesario. No desciende a concretar las condiciones y los términos de ese eventual tratamiento.
66. El Gobierno alemán sostiene, en contra de esta posición, que sería «imposible e irrealizable» reflejar de manera detallada la variedad de tratamientos de datos en el marco laboral. A su juicio, debería bastar una norma legislativa sobre la que se fundamenten, en su caso, los tratamientos que no requieran de una base jurídica más específica. (35)
67. A lo anterior basta con replicar que, por difícil que resulte el empeño, el artículo 88, apartado 3, del RGPD es taxativo al disponer que los Estados miembros notificarán a la Comisión «las disposiciones legales que adopte[n] de conformidad con el apartado 1» del mismo artículo. Es decir, no las disposiciones (de base) sobre las que se fundamenten las que establezcan normas más específicas, sino justamente estas últimas. La notificación ha de llevarse a cabo de manera individualizada y explícita. (36)
68. En suma, lo que el artículo 23 de la HDSIG hace es reiterar la habilitación ya contenida en el artículo 88, apartado 1, del RGPD o, por decirlo con otras palabras, abrir la puerta que permita la ulterior creación (o mantenimiento) de normas más específicas.
69. Además de no establecer per se «normas más específicas» en el sentido del artículo 88, apartado 1, del RGPD, el artículo 23 de la HDSIG tampoco incluye «medidas adecuadas y específicas para preservar la dignidad humana de los interesados, así como sus intereses legítimos y sus derechos fundamentales».
70. Al omitir ese género de medidas, el artículo 23 de la HDSIG incumple la condición establecida en el artículo 88, apartado 2, del RGPD para que pueda aceptarse la legislación diferenciadora de los Estados miembros en el ámbito de las relaciones laborales.
71. Circunscrito el reenvío prejudicial al escrutinio de disposiciones legislativas y no de convenios colectivos, no dedicaré atención a estos últimos, (37) sino exclusivamente a aquellas.
72. En cuanto a esas disposiciones, el legislador nacional no puede limitarse, como hace el artículo 23, apartado 5, de la HDSIG, a disponer que el responsable del tratamiento de datos adoptará medidas adecuadas para garantizar «el cumplimiento de los principios relativos al tratamiento establecidos en el artículo 5» del RGPD. Esta previsión es redundante, desde el momento en que cualquier tratamiento de datos ha de acomodarse, por principio y como mínimo, a las condiciones del artículo 5 del RGPD.
73. De lo que se ocupa el artículo 88, apartado 2, del RGPD es del establecimiento de medidas que aseguren, en el ámbito de las garantías, la debida correspondencia con la especificidad de las adoptadas con arreglo al artículo 88, apartado 1, del RGPD. Se pretende, en definitiva, que la singularidad autorizada por este último precepto se vea debidamente correspondida, en su caso, con la pertinente especificidad de sus garantías.
74. De admitir que el artículo 23 de la HDSIG incluye una normativa específica con arreglo al artículo 88, apartado 1, del RGPD, estaría reiterando, por lo que hace a las garantías que exige el apartado 2 de este último artículo, las que, con carácter general, prevé el artículo 5 del RGPD. Se habría quebrado, en definitiva, el equilibrio necesario entre la especificidad de las normas autorizadas por el apartado 1 y la especificidad de las medidas de «preservación» que demanda el apartado 2, ambos del artículo 88 del RGPD.
75. En suma, entiendo que el artículo 23 de la HDSIG no puede encontrar fundamento en el artículo 88 del RGDP. De un lado, porque no establece normas más específicas; de otro, porque se limita a reiterar las garantías generales del artículo 5 del RGPD.
5. ¿Aplicabilidad, pese a todo, del artículo 23 de la HDSIG?
76. Queda por ver si, a pesar de lo hasta ahora expuesto, el artículo 23 de la HDSIG podría aplicarse en el ordenamiento jurídico nacional. Esto parece ser, como antes he señalado, lo que en último término le interesa al tribunal de remisión.
77. El interrogante se cifraría en dilucidar si las normas aprobadas por los Estados miembros en virtud de la cláusula de apertura del artículo 88, apartado 1, del RGPD que no satisfagan las exigencias de su artículo 88, apartado 2, pueden aplicarse al amparo de otros preceptos del RGPD.
78. La respuesta, cuya premisa es que el artículo 23 de la HDSIG no contiene ninguna «norma más específica» en el sentido del artículo 88 del RGPD, (38) puede desplegarse en un doble sentido:
— El artículo 23 de la HDSIG deviene irrelevante, o superfluo, en la medida en que no contempla, propiamente hablando, disposiciones específicas que garanticen el derecho de los trabajadores a la protección de sus datos personales en el ámbito laboral.
— En ese ámbito (relaciones laborales) habrán de aplicarse, de manera directa y principal, las disposiciones de régimen común del RGPD.
79. Cuestión distinta es que, como han alegado los Gobiernos austríaco y rumano, además de la Comisión, y como se reconoció por todos en la vista, nada se oponga a que un Estado miembro aplique o bien otras disposiciones del RGPD o bien, al amparo del artículo 6, apartado 2, de este Reglamento, normas nacionales que disciplinen el tratamiento de datos de los trabajadores en términos que contribuyan a «adaptar la aplicación» del RGPD.
V. Conclusión
80. A tenor de lo expuesto, sugiero al Tribunal de Justicia responder al Verwaltungsgericht Frankfurt am Main (Tribunal de lo contencioso administrativo de Fráncfort del Meno, Alemania), de este modo:
«El artículo 88, apartados 1 y 2, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), ha de interpretarse en el sentido de que:
Una disposición legislativa adoptada por un Estado miembro solo constituirá una norma más específica para garantizar la protección de los derechos y libertades en relación con el tratamiento de datos personales de los trabajadores en el ámbito laboral, si satisface las exigencias impuestas por el artículo 88, apartado 2, del Reglamento 2016/679.
Si esa disposición legislativa no satisface las exigencias impuestas por el artículo 88, apartado 2, del Reglamento 2016/679, solo será aplicable, en su caso, en la medida en que pueda encontrar cobertura en otros preceptos de ese Reglamento o en las normas nacionales de adaptación a las que alude su artículo 6, apartado 2».