UNIONIN TUOMIOISTUIMEN TUOMIO (ensimmäinen jaosto)
30 päivänä maaliskuuta 2023 (*)
Ennakkoratkaisupyyntö – Henkilötietojen suoja – Asetus (EU) 2016/679 – 88 artiklan 1 ja 2 kohta – Henkilötietojen käsittely työsuhteen yhteydessä – Alueellinen koulujärjestelmä – Covid-19-pandemian vuoksi videoneuvottelun välityksellä annettava opetus – Toteuttaminen ilman opettajien nimenomaista suostumusta
Asiassa C‑34/21,
jossa on kyse SEUT 267 artiklaan perustuvasta ennakkoratkaisupyynnöstä, jonka Verwaltungsgericht Wiesbaden (Wiesbadenin hallintotuomioistuin, Saksa) on esittänyt 20.12.2020 tekemällään päätöksellä, joka on saapunut unionin tuomioistuimeen 20.1.2021, saadakseen ennakkoratkaisun asiassa
Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium
vastaan
Minister des Hessischen Kultusministeriums,
UNIONIN TUOMIOISTUIN (ensimmäinen jaosto),
toimien kokoonpanossa: jaoston puheenjohtaja A. Arabadjiev, presidentti K. Lenaerts ja varapresidentti L. Bay Larsen, jotka hoitavat ensimmäisen jaoston tuomareiden tehtäviä, sekä tuomarit A. Kumin ja I. Ziemele (esittelevä tuomari),
julkisasiamies: M. Campos Sánchez-Bordona,
kirjaaja: hallintovirkamies S. Beer,
ottaen huomioon kirjallisessa käsittelyssä ja 30.6.2022 pidetyssä istunnossa esitetyn,
ottaen huomioon huomautukset, jotka sille ovat esittäneet
– Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium, edustajanaan J. Kolter, Rechtsanwalt,
– Minister des Hessischen Kultusministeriums, edustajanaan C. Meinert,
– Saksan hallitus, asiamiehinään J. Möller ja D. Klebs,
– Itävallan hallitus, asiamiehinään G. Kunnert ja J. Schmoll,
– Romanian hallitus, asiamiehinään E. Gane ja A. Wellman,
– Euroopan komissio, asiamiehinään F. Erlbacher, H. Kranenborg ja D. Nardi,
kuultuaan julkisasiamiehen 22.9.2022 pidetyssä istunnossa esittämän ratkaisuehdotuksen,
on antanut seuraavan
tuomion
1 Ennakkoratkaisupyyntö koskee luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1) 88 artiklan 1 ja 2 kohdan tulkintaa.
2 Tämä pyyntö on esitetty oikeusriidassa, jossa vastakkain ovat Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium (Hessenin opetus- ja kulttuuriministeriön opetushenkilöstön päätoimikunta; Saksa) ja Minister des Hessischen Kultusministeriums (Hessenin osavaltion opetus- ja kulttuuriministeri, Saksa) ja jossa on kyse Hessenin osavaltion kouluissa käyttöön otetun sellaisen sellaisen järjestelmän lainmukaisuudesta, jonka kautta oppitunteja on välitetty videoneuvottelun välityksellä suoratoistona ilman asianomaisten opettajien ennakkosuostumusta.
Asiaa koskevat oikeussäännöt
Unionin oikeus
Direktiivi 95/46/EY
3 Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annettu Euroopan parlamentin ja neuvoston direktiivi 95/46/EY (EYVL 1995, L 281, s. 31) on kumottu 25.5.2018 alkaen yleisellä tietosuoja-asetuksella. Kyseisen direktiivin 3 artiklassa, jonka otsikko on ”Soveltamisala”, säädettiin seuraavaa:
”1. Tätä direktiiviä sovelletaan osittain tai kokonaan automatisoituun tietojenkäsittelyyn sekä sellaisten henkilötietojen manuaaliseen käsittelyyn, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa.
2. Tätä direktiiviä ei sovelleta henkilötietojen käsittelyyn,
– joka suoritetaan sellaisessa toiminnassa, joka ei kuulu yhteisön oikeuden soveltamisalaan, kuten toiminta, josta on määrätty [EU:n perustamissopimuksen, sellaisena kuin se oli ennen Lissabonin sopimusta,] V ja VI osastossa, ja kaikissa tapauksissa käsittely, joka koskee yleistä turvallisuutta, puolustusta, valtion turvallisuutta (myös valtion taloudellista hyvinvointia, kun käsittelyoperaatio on sidoksissa valtion turvallisuutta koskeviin kysymyksiin) ja rikosoikeuden alalla tapahtuvaa valtion toimintaa,
– –”
Yleinen tietosuoja-asetus
4 Yleisen tietosuoja-asetuksen johdanto-osan 8–10, 13, 16, 45 ja 155 perustelukappaleessa todetaan seuraavaa:
”(8) Kun tässä asetuksessa säädetään täsmennyksistä tai rajoituksista, joita jäsenvaltioiden lainsäädännössä voidaan tehdä asetuksen sääntöihin, jäsenvaltiot voivat – siinä määrin kuin johdonmukaisuus ja kansallisten säännösten ymmärrettävyys niille, joihin niitä sovelletaan, edellyttävät – sisällyttää tämän asetuksen osia kansalliseen lainsäädäntöönsä.
(9) Direktiivin [95/46] tavoitteet ja periaatteet ovat edelleen pätevät, mutta sen avulla ei ole pystytty estämään tietosuojan täytäntöönpanon hajanaisuutta eri puolilla [Euroopan] unionia, oikeudellista epävarmuutta tai laajalle levinnyttä näkemystä, jonka mukaan erityisesti verkkoympäristössä toimimiseen liittyy luonnollisten henkilöiden suojelun kannalta huomattavia riskejä. Jäsenvaltioiden väliset eroavuudet henkilötietojen käsittelyssä suhteessa luonnollisten henkilöiden oikeuksien ja vapauksien suojeluun, erityisesti oikeudessa henkilötietojen suojaan, voivat estää henkilötietojen vapaan liikkuvuuden unionin alueella. Nämä eroavuudet voivat muodostua esteeksi unionin taloudelliselle toiminnalle, vääristää kilpailua ja estää viranomaisia suorittamasta unionin oikeuden mukaisia velvollisuuksiaan. Tällaiset suojelun tasossa ilmenevät eroavuudet johtuvat direktiivin [95/46] täytäntöönpanossa ja soveltamisessa esiintyvistä eroista.
(10) Jotta voitaisiin varmistaa yhdenmukainen ja korkeatasoinen luonnollisten henkilöiden suojelu ja poistaa henkilötietojen liikkuvuuden esteet unionissa, luonnollisten henkilöiden oikeuksien ja vapauksien suojelun tason näiden tietojen käsittelyssä olisi oltava vastaava kaikissa jäsenvaltioissa. Luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen olisi varmistettava kaikkialla unionissa. Henkilötietojen käsittelyn lakisääteisen velvoitteen noudattamiseksi tai yleisen edun vuoksi toteutettavan tehtävän tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi jäsenvaltioiden olisi voitava pitää voimassa tai ottaa käyttöön kansallisia säännöksiä, joilla tämän asetuksen sääntöjen soveltamista voitaisiin täsmentää entisestään. Yhdessä direktiivin [95/46] täytäntöön panevan, tietosuojaa koskevan yleisen ja horisontaalisen lainsäädännön kanssa jäsenvaltioilla on useita alakohtaisia lakeja aloilla, joilla tarvitaan yksityiskohtaisempia säännöksiä. Lisäksi tässä asetuksessa annetaan jäsenvaltioille liikkumavaraa sääntöjen täsmentämisen suhteen, mukaan lukien henkilötietojen erityisryhmien, jäljempänä ’arkaluontoiset tiedot’, käsittelyä koskevat säännöt. Näiltä osin tässä asetuksessa ei suljeta pois jäsenvaltioiden lainsäädäntöä, jossa määritellään erityisiä käsittelytilanteita koskevat olosuhteet, mukaan lukien niiden edellytysten tarkempi määrittely, joiden täyttyessä henkilötietojen käsittely on laillista.
– –
(13) Jotta voitaisiin varmistaa luonnollisten henkilöiden yhdenmukainen suoja kaikkialla unionissa ja estää eroavuudet, jotka haittaavat henkilötietojen vapaata liikkuvuutta sisämarkkinoilla, tarvitaan asetus, jolla taataan oikeusvarmuus ja läpinäkyvyys taloudellisille toimijoille – – annetaan luonnollisille henkilöille kaikissa jäsenvaltioissa samantasoiset, oikeudellisesti täytäntöönpanokelpoiset oikeudet sekä rekisterinpitäjille ja henkilötietojen käsittelijöille velvollisuudet ja vastuut, jotta varmistetaan henkilötietojen käsittelyn yhdenmukainen valvonta ja samantasoiset seuraamukset kaikissa jäsenvaltioissa sekä tehokas yhteistyö eri jäsenvaltioiden valvontaviranomaisten välillä. Sisämarkkinoiden moitteeton toiminta edellyttää, että henkilötietojen vapaata liikkuvuutta unionin sisällä ei rajoiteta eikä kielletä syistä, jotka liittyvät luonnollisten henkilöiden suojeluun henkilötietojen käsittelyssä. – –
– –
(16) Tämä asetus ei koske unionin oikeuden soveltamisalaan kuulumattomia perusoikeuksien ja ‑vapauksien suojeluun tai henkilötietojen vapaaseen liikkuvuuteen liittyviä kysymyksiä, kuten kansallista turvallisuutta koskevia toimia. Tämä asetus ei koske henkilötietojen käsittelyä jäsenvaltioissa niiden toteuttaessa unionin yhteiseen ulko- ja turvallisuuspolitiikkaan liittyvää toimia.
– –
(45) Kun käsittely tapahtuu rekisterinpitäjää koskevan lakisääteisen velvoitteen mukaisesti tai kun se on tarpeen yleisen edun vuoksi toteutettavan tehtävän tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi, käsittelyllä olisi oltava perusta unionin oikeudessa tai jäsenvaltion lainsäädännössä. Tässä asetuksessa ei edellytetä, että kaikkia yksittäisiä tiedonkäsittelytilanteita varten olisi olemassa erityislaki. Useiden käsittelytoimien perustana oleva yksi laki voi olla riittävä käsittelyn perustuessa rekisterinpitäjän lakisääteisen velvoitteeseen tai jos käsittely on tarpeen yleisen edun vuoksi toteutettavan tehtävän suorittamiseksi tai julkisen vallan käyttämiseksi. Käsittelyn tarkoitus olisi niin ikään määriteltävä unionin oikeudessa tai jäsenvaltion lainsäädännössä. Kyseisessä oikeudessa tai lainsäädännössä voitaisiin myös täsmentää tässä asetuksessa säädettyjä yleisiä edellytyksiä, jotka koskevat henkilötietojen käsittelyn lainmukaisuutta sekä tarkat vaatimukset, joilla määritetään rekisterinpitäjä, käsiteltävien henkilötietojen tyyppi, asianomaiset rekisteröidyt, yhteisöt, joille henkilötietoja voidaan luovuttaa, tarkoituksen rajoitukset, säilyttämisaika ja muut toimenpiteet, joilla varmistetaan laillinen ja asianmukainen käsittely. – –
– –
(155) Jäsenvaltion lainsäädännöllä tai työehtosopimuksilla, mukaan lukien ”paikalliset sopimukset”, voidaan vahvistaa erityissäännöksiä työntekijöiden henkilötietojen käsittelystä työsuhteen yhteydessä, erityisesti niistä edellytyksistä, joiden mukaisesti henkilötietoja voidaan käsitellä työsuhteen yhteydessä työntekijän suostumuksen perusteella taikka rekrytointia tai työsopimuksen täytäntöönpanoa varten, mukaan lukien lakisääteisten tai työehtosopimukseen perustuvien velvollisuuksien täyttäminen, työn johto, suunnittelu ja organisointi, yhdenvertaisuuden ja monimuotoisuuden toteutuminen työpaikalla, työterveys ja ‑turvallisuus, sekä työntekoon liittyvien oikeuksien ja etuuksien yksilöllistä tai kollektiivista käyttöä ja nautintaa sekä työsuhteen päättämistä varten.”
5 Yleisen tietosuoja-asetuksen 1 artiklassa, jonka otsikko on ”Kohde ja tavoitteet”, säädetään seuraavaa:
”1. Tällä asetuksella vahvistetaan säännöt luonnollisten henkilöiden suojelulle henkilötietojen käsittelyssä sekä säännöt, jotka koskevat henkilötietojen vapaata liikkuvuutta.
2. Tällä asetuksella suojellaan luonnollisten henkilöiden perusoikeuksia ja ‑vapauksia ja erityisesti heidän oikeuttaan henkilötietojen suojaan.
3. Henkilötietojen vapaata liikkuvuutta unionin sisällä ei saa rajoittaa eikä kieltää syistä, jotka liittyvät luonnollisten henkilöiden suojeluun henkilötietojen käsittelyssä.”
6 Mainitun asetuksen 2 artiklan, jonka otsikko on ”Aineellinen soveltamisala”, 1 ja 2 kohdassa säädetään seuraavaa:
”1. Tätä asetusta sovelletaan henkilötietojen käsittelyyn, joka on osittain tai kokonaan automaattista, sekä sellaisten henkilötietojen käsittelyyn muussa kuin automaattisessa muodossa, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa.
2. Tätä asetusta ei sovelleta henkilötietojen käsittelyyn,
a) jota suoritetaan sellaisen toiminnan yhteydessä, joka ei kuulu unionin lainsäädännön soveltamisalaan;
b) jota suorittavat jäsenvaltiot toteuttaessaan SEU V osaston 2 luvun soveltamisalaan kuuluvaa toimintaa;
c) jonka luonnollinen henkilö suorittaa yksinomaan henkilökohtaisessa tai kotitalouttaan koskevassa toiminnassa;
d) jota toimivaltaiset viranomaiset suorittavat rikosten ennalta estämistä, tutkintaa, paljastamista tai rikoksiin liittyviä syytetoimia varten tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten.”
7 Asetuksen 4 artiklassa, jonka otsikko on ”Määritelmät”, säädetään seuraavaa:
”Tässä asetuksessa tarkoitetaan
1) ’henkilötiedoilla’ kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, jäljempänä ’rekisteröity’, liittyviä tietoja; tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella,
2) ’käsittelyllä’ toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista,
– –”
8 Yleisen tietosuoja-asetuksen 5 artiklassa, jonka otsikko on ”Henkilötietojen käsittelyä koskevat periaatteet”, säädetään seuraavaa:
”1. Henkilötietojen suhteen on noudatettava seuraavia vaatimuksia:
a) niitä on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi (’lainmukaisuus, kohtuullisuus ja läpinäkyvyys’);
b) ne on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla; myöhempää käsittelyä yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten ei katsota 89 artiklan 1 kohdan mukaisesti yhteensopimattomaksi alkuperäisten tarkoitusten kanssa (’käyttötarkoitussidonnaisuus’);
c) niiden on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään (’tietojen minimointi’);
d) niiden on oltava täsmällisiä ja tarvittaessa päivitettyjä; on toteutettava kaikki mahdolliset kohtuulliset toimenpiteet sen varmistamiseksi, että käsittelyn tarkoituksiin nähden virheelliset henkilötiedot poistetaan tai oikaistaan viipymättä (’täsmällisyys’);
e) ne on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten; henkilötietoja voidaan säilyttää pidempiä aikoja, jos henkilötietoja käsitellään ainoastaan yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten 89 artiklan 1 kohdan mukaisesti edellyttäen, että tässä asetuksessa vaaditut asianmukaiset tekniset ja organisatoriset toimenpiteet on pantu täytäntöön rekisteröidyn oikeuksien ja vapauksien turvaamiseksi (’säilytyksen rajoittaminen’);
f) niitä on käsiteltävä tavalla, jolla varmistetaan henkilötietojen asianmukainen turvallisuus, mukaan lukien suojaaminen luvattomalta ja lainvastaiselta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta käyttäen asianmukaisia teknisiä tai organisatorisia toimia (’eheys ja luottamuksellisuus’).
2. Rekisterinpitäjä vastaa siitä, ja sen on pystyttävä osoittamaan se, että 1 kohtaa on noudatettu (’osoitusvelvollisuus’).”
9 Tämän asetuksen 6 artiklan, jonka otsikko on ”Käsittelyn lainmukaisuus”, 1–3 kohdassa säädetään seuraavaa:
”1. Käsittely on lainmukaista ainoastaan jos ja vain siltä osin kuin vähintään yksi seuraavista edellytyksistä täyttyy:
a) rekisteröity on antanut suostumuksensa henkilötietojensa käsittelyyn yhtä tai useampaa erityistä tarkoitusta varten;
b) käsittely on tarpeen sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osapuolena, tai sopimuksen tekemistä edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä;
c) käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi;
– –
e) käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi;
f) käsittely on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, paitsi milloin henkilötietojen suojaa edellyttävät rekisteröidyn edut tai perusoikeudet ja ‑vapaudet syrjäyttävät tällaiset edut, erityisesti jos rekisteröity on lapsi.
Ensimmäisen alakohdan f alakohtaa ei sovelleta tietojenkäsittelyyn, jota viranomaiset suorittavat tehtäviensä yhteydessä.
2. Jäsenvaltiot voivat pitää voimassa tai ottaa käyttöön yksityiskohtaisempia säännöksiä tässä asetuksessa vahvistettujen sääntöjen soveltamisen mukauttamiseksi sellaisessa käsittelyssä, joka tehdään 1 kohdan c ja e alakohdan noudattamiseksi määrittämällä täsmällisemmin tietojenkäsittely- ja muita toimenpiteitä koskevat erityiset vaatimukset, joilla varmistetaan laillinen ja asianmukainen tietojenkäsittely muun muassa muissa erityisissä käsittelytilanteissa siten kuin IX luvussa säädetään.
3. Edellä olevan 1 kohdan c ja e alakohdassa tarkoitetun käsittelyn perustasta on säädettävä joko
a) unionin oikeudessa; tai
b) rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä.
Käsittelyn tarkoitus määritellään kyseisessä käsittelyn oikeusperusteessa tai, 1 kohdan e alakohdassa tarkoitetussa käsittelyssä, sen on oltava tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi. Kyseinen käsittelyn oikeusperuste voi sisältää erityisiä säännöksiä, joilla mukautetaan tämän asetuksen sääntöjen soveltamista, muun muassa: yleisiä edellytyksiä, jotka koskevat rekisterinpitäjän suorittaman tietojenkäsittelyn lainmukaisuutta; käsiteltävien tietojen tyyppiä; asianomaisia rekisteröityjä, yhteisöjä joille ja tarkoituksia joihin henkilötietoja voidaan luovuttaa; käyttötarkoitussidonnaisuutta; säilytysaikoja; sekä käsittelytoimia ja ‑menettelyjä, mukaan lukien laillisen ja asianmukaisen tietojenkäsittelyn varmistamiseen tarkoitetut toimenpiteet, kuten toimenpiteet muita IX luvussa esitettyjä erityisiä tietojenkäsittelytilanteita varten. Unionin oikeuden tai jäsenvaltion lainsäädännön on täytettävä yleisen edun mukainen tavoite ja oltava oikeasuhteinen sillä tavoiteltuun oikeutettuun päämäärään nähden.”
10 Yleisen tietosuoja-asetuksen IX lukuun, jonka otsikko on ”Tietojenkäsittelyyn liittyviä erityistilanteita koskevat säännökset”, sisältyvässä 88 artiklassa, joka koskee ”käsittelyä työsuhteen yhteydessä”, säädetään seuraavaa:
”1. Jäsenvaltiot voivat antaa lakisääteisesti tai työehtosopimuksilla yksityiskohtaisempia sääntöjä työntekijöiden henkilötietojen käsittelystä työsuhteen yhteydessä oikeuksien ja vapauksien suojan varmistamiseksi, erityisesti palvelukseenottamista tai työsopimuksen täytäntöönpanoa varten, mukaan lukien lakisääteisten tai työehtosopimukseen perustuvien velvollisuuksien täyttäminen, työn johto, työn suunnittelu ja organisointi, yhdenvertaisuus ja monimuotoisuus työpaikalla, työterveys ja ‑turvallisuus, työnantajan tai asiakkaan omaisuuden suoja, sekä työntekoon liittyvien oikeuksien ja etuuksien yksilöllistä tai kollektiivista käyttöä tai nautintaa sekä työsuhteen päättämistä varten.
2. Näihin sääntöihin on sisällytettävä asianmukaisia ja erityisiä toimenpiteitä rekisteröidyn ihmisarvon, oikeutettujen etujen ja perusoikeuksien suojaamiseksi siten, että erityistä huomiota kiinnitetään tietojenkäsittelyn läpinäkyvyyteen, henkilötietojen siirtoihin saman konsernin tai samaa taloudellista toimintaa harjoittavan yritysryhmän sisällä ja työpaikalla käytössä oleviin valvontajärjestelmiin.
3. Jäsenvaltioiden on ilmoitettava [Euroopan] komissiolle 1 kohdan nojalla annetut säännökset viimeistään 25 päivänä toukokuuta 2018 ja kaikki niitä koskevat myöhemmät muutokset viipymättä.”
Saksan oikeus
11 Liittovaltion tietosuojalain (Bundesdatenschutzgesetz), joka annettiin 30.6.2017 (BGBl. 2017 I, s. 2097), 24 §:ssä säädetään seuraavaa:
”Työntekijöitä koskevia henkilötietoja voidaan käsitellä palvelussuhdetta varten, jos se on tarpeen, kun päätetään palvelussuhteen perustamisesta, tai palvelussuhteen perustamisen jälkeen palvelussuhteen täytäntöönpanemiseksi tai lopettamiseksi taikka lakiin tai työehtosopimukseen, yrityskohtaiseen sopimukseen tai virkasopimukseen (kollektiivisopimus) perustuvien, työntekijöiden etujen edustamista koskevien oikeuksien käyttämiseksi ja velvoitteiden noudattamiseksi. – –”
12 Tietosuojasta ja tiedonvälityksen vapaudesta 3.5.2018 annetun Hessenin osavaltion lain (Hessisches Datenschutz- und Informationsfreiheitsgesetz, jäljempänä HDSIG) 23 §:ssä säädetään seuraavaa:
”1. Työntekijöitä koskevia henkilötietoja voidaan käsitellä palvelussuhdetta varten, jos se on tarpeen, kun päätetään palvelussuhteen perustamisesta, tai palvelussuhteen perustamisen jälkeen palvelussuhteen täytäntöönpanemiseksi, lopettamiseksi tai päättämiseksi sekä sisäiseen suunnitteluun liittyvien, organisatoristen, sosiaalisten ja henkilöstöön liittyvien toimenpiteiden toteuttamiseksi. – –
2. Kun työntekijöiden henkilötietoja käsitellään suostumuksen perusteella, on sen arvioimiseksi, onko suostumus annettu vapaaehtoisesti, otettava huomioon erityisesti työntekijän riippuvuus työsuhteessa sekä olosuhteet, joissa suostumus on annettu. Suostumuksen voidaan katsoa olevan vapaaehtoinen erityisesti silloin, kun työntekijälle koituu oikeudellista tai taloudellista etua tai työnantajan ja työntekijän intressit ovat yhteneväiset. Suostumus on annettava kirjallisesti, paitsi jos jokin muu muoto on asianmukainen erityisten olosuhteiden vuoksi. Työnantajan on ilmoitettava työntekijälle kirjallisesti tietojenkäsittelyn tarkoituksesta ja työntekijän oikeudesta suostumuksen peruuttamiseen, josta säädetään yleisen tietosuoja-asetuksen 7 artiklan 3 kohdassa.
3. Poiketen siitä, mitä yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa säädetään, yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitettu erityisiä henkilötietoryhmiä koskeva käsittely on sallittua palvelussuhdetta varten, jos käsittely on tarpeen työoikeuteen ja sosiaaliturvaoikeuteen perustuvien ja sosiaalisen suojelun alan oikeuksien käyttämiseksi ja oikeudellisten velvoitteiden noudattamiseksi ja jos ei ole syytä olettaa, että rekisteröidyn oikeutettu etu käsittelyn poissulkemiseen on ensisijainen. Edellä 2 momentissa säädetty pätee myös erityisten henkilötietoryhmien käsittelyä koskevaan suostumukseen; tältä osin suostumuksessa on nimenomaisesti viitattava näihin tietoihin. – –
4. Henkilötietojen, työntekijöitä koskevat erityiset henkilötietoryhmät mukaan lukien, käsittely palvelussuhdetta varten on sallittua työehtosopimusten perusteella. Neuvotteluosapuolten on tällöin noudatettava yleisen tietosuoja-asetuksen 88 artiklan 2 kohtaa.
5. Rekisterinpitäjän on toteutettava aiheelliset toimenpiteet varmistaakseen, että etenkin yleisen tietosuoja-asetuksen 5 artiklassa säädettyjä henkilötietojen käsittelyä koskevia periaatteita noudatetaan.
– –
7. Mitä 1–6 momentissa säädetään, sovelletaan myös silloin, kun työntekijöitä koskevia henkilötietoja, erityiset henkilötietoryhmät mukaan lukien, käsitellään ilman, että henkilötiedot sisältyvät tai että ne on tarkoitus sisällyttää rekisteriin. Hessenin osavaltion virkamiehiä koskevan [21.6.2018 annetun lain (Hessisches Beamtengesetz; jäljempänä HBG)] säännöksiä, joita sovelletaan henkilöstöä koskeviin asiakirjoihin, sovelletaan soveltuvin osin julkisen sektorin työntekijöihin, ellei työsuhteiden kollektiivisia ehtoja koskevissa säännöksissä toisin säädetä.
8. Tässä laissa tarkoitettuja työntekijöitä ovat:
1. työntekijät, mukaan lukien vuokratyöntekijät suhteessa käyttäjään
– –
7. [HBG:n] soveltamisalaan kuuluvat virkamiehet, osavaltiotuomarit sekä siviilipalveluksessa olevat.
– –”
13 HBG:n 86 §:n 4 momentissa säädetään seuraavaa:
”Työnantaja saa kerätä hakijoita, virkamiehiä ja entisiä virkamiehiä koskevia henkilötietoja vain siltä osin kuin se on tarpeen palvelussuhteen perustamiseksi, täytäntöönpanemiseksi, lopettamiseksi tai päättämiseksi taikka organisatoristen, henkilöstöön liittyvien ja sosiaalisten toimenpiteiden toteuttamiseksi, erityisesti henkilöstösuunnittelua ja henkilöstöresurssien kohdentamista varten, tai siltä osin kuin se on säännösten tai palvelussopimuksen mukaan sallittua – –”
Pääasia ja ennakkoratkaisukysymykset
14 Kuten unionin tuomioistuimelle toimitetusta asiakirja-aineistosta ilmenee, Hessenin osavaltion opetus- ja kulttuuriministeri vahvisti kahdella vuonna 2020 annetulla toimella kouluopetuksen oikeudelliset ja organisatoriset puitteet covid-19-pandemian aikana. Nämä puitteet antoivat muun muassa oppilaille, jotka eivät voineet olla läsnä luokassa, mahdollisuuden osallistua suoraan oppitunneille videoneuvottelun välityksellä. Oppilaiden henkilötietojen suojaa koskevien oikeuksien suojaamiseksi päätettiin, että yhteys videoneuvottelupalveluun sallitaan ainoastaan oppilaiden itsensä suostumuksella tai, jos he ovat alaikäisiä, heidän vanhempiensa suostumuksella. Sitä vastoin asianomaisten opettajien suostumuksesta heidän osallistumiselleen tähän palveluun ei päätetty mitään.
15 Hessenin opetus- ja kulttuuriministeriön opetushenkilöstön päätoimikunta nosti Verwaltungsgericht Wiesbadenissa (Wiesbadenin hallintotuomioistuin, Saksa) kanteen, jossa se moitti sitä, että oppituntien välittäminen suoratoistona videoneuvottelun välityksellä ei edellyttänyt asianomaisten opettajien suostumusta.
16 Hessenin osavaltion opetus- ja kulttuuriministeri puolestaan väitti, että oppituntien välittäminen suoratoistona videoneuvottelun välityksellä oli henkilötietojen käsittelyä, joka kuului HDSIG:n 23 §:n 1 momentin ensimmäisen virkkeen soveltamisalaan, joten käsittely voitiin toteuttaa pyytämättä kyseessä olevan opettajan suostumusta.
17 Verwaltungsgericht Wiesbaden toteaa tältä osin, että Hessenin osavaltion lainsäätäjän tahdon mukaisesti HDSIG:n 23 § ja HBG:n 86 § kuuluvat sellaisten ”yksityiskohtaisempien sääntöjen” luokkaan, joita jäsenvaltiot voivat antaa yleisen tietosuoja-asetuksen 88 artiklan 1 kohdan mukaisesti työntekijöiden henkilötietojen käsittelystä työsuhteen yhteydessä oikeuksien ja vapauksien suojan varmistamiseksi. Kyseinen tuomioistuin on kuitenkin epävarma siitä, ovatko HDSIG:n 23 §:n 1 momentin ensimmäinen virke ja HBG:n 86 §:n 4 momentti yleisen tietosuoja-asetuksen 88 artiklan 2 kohdassa asetettujen vaatimusten mukaisia.
18 Ensinnäkin HDSIG:n 23 §:n 1 momentin ensimmäinen virke ja HBG:n 86 §:n 4 momentti nimittäin perustuvat Verwaltungsgericht Wiesbadenin mukaan työntekijöiden tietojen käsittelyn oikeudellisena perustana olevaan tarpeellisuuteen. Yhtäältä tarpeellisuusperiaatteen sisällyttäminen lakiin ei ole sääntö, jolla täsmennettäisiin yleisen tietosuoja-asetuksen 88 artiklan 2 kohtaan sisältyviä vaatimuksia, koska työsuhteen yhteydessä tarpeellista tietojen käsittelyä säännellään jo yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan b alakohdassa.
19 Toisaalta HDSIG:n 23 §:n 1 momentin ensimmäistä virkettä sovelletaan varsinaisen sopimussuhteen lisäksi kaikkeen työntekijöiden tietojen käsittelyyn. Yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdasta ilmenee, että henkilötietojen käsittelyssä, joka ylittää sen, mikä on työsopimuksen kannalta ehdottoman välttämätöntä, on verrattava rekisteröidyn – eli tässä tapauksessa työntekijöiden ja virkamiesten – perusvapauksia ja ‑oikeuksia rekisterinpitäjän – eli tässä tapauksessa työnantajan – oikeutettuun etuun. Koska HDSIG:n 23 §:n 1 momentin ensimmäisessä virkkeessä ei säädetä tällaisesta vertailusta, tätä säännöstä ei voida kyseisen tuomioistuimen mukaan pitää yleisen tietosuoja-asetuksen voimaantulon jälkeen erityisenä alakohtaisena normina.
20 Toiseksi Verwaltungsgericht Wiesbaden katsoo, että HDSIG:n 23 §:n 5 momentissa oleva pelkkä viittaus, jonka mukaan rekisterinpitäjän on noudatettava erityisesti yleisen tietosuoja-asetuksen 5 artiklassa vahvistettuja periaatteita, ei täytä kyseisen asetuksen 88 artiklan 2 kohdan vaatimuksia. Viimeksi mainitussa säännöksessä nimittäin edellytetään, että siinä tarkoitetut asianmukaiset ja erityiset normatiiviset säännöt annetaan rekisteröityjen ihmisarvon, oikeutettujen etujen ja perusoikeuksien suojaamiseksi siten, että erityistä huomiota kiinnitetään tietojenkäsittelyn läpinäkyvyyteen, henkilötietojen siirtoihin saman konsernin tai samaa taloudellista toimintaa harjoittavan yritysryhmän sisällä ja työpaikalla käytössä oleviin valvontajärjestelmiin, eikä kyse ole vain oikeussäännöstä, jota kansallisen säännöksen soveltajan on noudatettava muiden oikeussääntöjen lisäksi. Tietosuoja-asetuksen 88 artiklan 2 kohtaa ei ole osoitettu säännöksen soveltajalle.
21 Näissä olosuhteissa Verwaltungsgericht Wiesbaden on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:
”1) Onko [yleisen tietosuoja-asetuksen] 88 artiklan 1 kohtaa tulkittava siten, että jotta säännöksen voidaan katsoa olevan kyseisen asetuksen 88 artiklan 1 kohdassa tarkoitettu yksityiskohtaisempi sääntö työntekijöiden henkilötietojen käsittelystä työsuhteen yhteydessä oikeuksien ja vapauksien suojan varmistamiseksi, sen on täytettävä kyseisen asetuksen 88 artiklan 2 kohdassa tällaisille säännöille asetetut vaatimukset?
2) Jos on ilmeistä, ettei kansallinen säännös täytä [yleisen tietosuoja-asetuksen] 88 artiklan 2 kohdassa vahvistettuja vaatimuksia, voidaanko sitä silti soveltaa edelleen?”
22 Verwaltungsgericht Wiesbaden ilmoitti unionin tuomioistuimen kirjaamoon 30.11.2021 saapuneella tiedonannolla, että koska Hessenin osavaltion hallintotuomioistuinten alueellista toimivaltaa sääntelevään kansalliseen lainsäädäntöön oli tehty 1.12.2021 voimaan tulevia muutoksia, pääasian oikeusriita oli siirretty Verwaltungsgericht Frankfurt am Mainin (Frankfurt am Mainin hallintotuomioistuin, Saksa) käsiteltäväksi. Viimeksi mainittu tuomioistuin vahvisti tämän siirron unionin tuomioistuimen kirjaamoon 21.2.2022 saapuneella ilmoituksella ja ilmoitti unionin tuomioistuimelle pääasian oikeusriidan uuden asianumeron.
Ennakkoratkaisupyynnön tutkittavaksi ottaminen
23 Saksan hallitus väitti kirjallisissa huomautuksissaan, että ennakkoratkaisupyyntö on jätettävä tutkimatta, koska ennakkoratkaisukysymyksillä ei ole merkitystä pääasian ratkaisun kannalta. Unionin tuomioistuimen vastaus ei nimittäin ole hyödyllinen ennakkoratkaisua pyytäneelle tuomioistuimelle siinä tapauksessa, että tietojen käsittely olisi sallittua opettajan suostumuksen perusteella. Ennakkoratkaisua pyytänyt tuomioistuin ei kuitenkaan tämän hallituksen mukaan esittänyt syitä, joiden vuoksi se ei ottanut huomioon tällaista mahdollisuutta.
24 Kun Saksan hallitukselta kysyttiin tästä seikasta unionin tuomioistuimessa pidetyssä istunnossa, se kuitenkin myönsi, että ennakkoratkaisukysymyksillä oli merkitystä silloin, kun opettajan suostumusta ei voitu saada.
25 Tästä on huomautettava, että unionin tuomioistuimen vakiintuneen oikeuskäytännön mukaan olettamana on, että kansallisen tuomioistuimen niiden oikeudellisten seikkojen ja tosiseikkojen perusteella, joiden määrittämisestä se vastaa ja joiden paikkansapitävyyden selvittäminen ei ole unionin tuomioistuimen tehtävä, esittämillä unionin oikeuden tulkintaan liittyvillä kysymyksillä on merkitystä asian ratkaisun kannalta. Unionin tuomioistuin voi jättää tutkimatta kansallisen tuomioistuimen esittämän ennakkoratkaisupyynnön ainoastaan, jos on ilmeistä, että pyydetyllä unionin oikeuden tulkitsemisella ei ole mitään yhteyttä kansallisessa tuomioistuimessa käsiteltävän asian tosiseikkoihin tai kohteeseen, jos kyseinen ongelma on luonteeltaan hypoteettinen taikka jos unionin tuomioistuimella ei ole tiedossaan niitä tosiseikkoja ja oikeudellisia seikkoja, jotka ovat tarpeen, jotta se voisi antaa hyödyllisen vastauksen sille esitettyihin kysymyksiin (tuomio 1.8.2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, 48 kohta oikeuskäytäntöviittauksineen).
26 Nyt käsiteltävässä asiassa ennakkoratkaisupyynnöstä ilmenee, että pääasian asianosaiset ovat erimielisiä siitä, edellyttääkö oppitunnin välittäminen suoratoistona videoneuvottelujärjestelmien kautta vanhempien lastensa puolesta antaman tai täysi-ikäisten oppilaiden antaman suostumuksen lisäksi asianomaisten opettajien suostumusta vai kuuluuko viimeksi mainittujen henkilöiden henkilötietojen käsittely sitä vastoin HDSIG:n 23 §:n 1 momentin ensimmäisen virkkeen ja HBG:n 86 §:n 4 momentin soveltamisalaan.
27 On myös huomautettava, että Verwaltungsgericht Wiesbaden on todennut ennakkoratkaisupyynnössään yhtäältä, että kansallinen lainsäätäjä on katsonut, että HDSIG:n 23 § ja HBG:n 86 §:n säännökset ovat yleisen tietosuoja-asetuksen 88 artiklassa tarkoitettuja yksityiskohtaisempia sääntöjä, ja toisaalta, että pääasian oikeusriidan ratkaisu riippuu siitä, täyttävätkö HDSIG:n 23 §:n 1 momentin ensimmäinen virke ja HBG:n 86 §:n 4 momentti yleisen tietosuoja-asetuksen 88 artiklan mukaiset vaatimukset, niin että niiden voidaan katsoa olevan yksityiskohtaisempia sääntöjä, joita sovelletaan opettajien henkilötietojen käsittelyyn pääasiassa kyseessä olevien videoneuvottelujärjestelmän kautta suoratoistona välitettävien luentojen osalta.
28 Kun otetaan huomioon ennakkoratkaisupyynnössä annetut tiedot, Saksan hallituksen esittämillä perusteluilla ei voida kumota sitä olettamaa, jonka mukaan esitetyillä kysymyksillä on merkitystä asian ratkaisun kannalta.
29 Näin ollen ei voida katsoa, ettei pyydetyllä unionin oikeuden säännösten tulkitsemisella olisi selvästi mitään yhteyttä kansallisessa tuomioistuimessa käsiteltävän asian tosiseikkoihin tai kohteeseen tai että ongelma olisi luonteeltaan hypoteettinen, koska ennakkoratkaisua pyytänyt tuomioistuin voi ottaa tämän tulkinnan huomioon pääasian ratkaistessaan. Lopuksi on todettava, että unionin tuomioistuimella on tiedossaan ne tosiseikat ja oikeudelliset seikat, jotka ovat tarpeen, jotta se voi antaa hyödyllisen vastauksen sille esitettyihin kysymyksiin.
30 Ennakkoratkaisupyyntö voidaan näin ollen ottaa tutkittavaksi.
Ennakkoratkaisukysymysten tarkastelu
Alustavat huomautukset
31 Ennakkoratkaisukysymykset koskevat yleisen tietosuoja-asetuksen 88 artiklan 1 ja 2 kohdan tulkintaa oikeusriidassa, joka koskee opettajien henkilötietojen käsittelyä siinä yhteydessä, kun julkisen opetuksen oppitunteja, joiden antaminen on heidän tehtävänään, välitetään videoneuvottelun välityksellä suoratoistona.
32 Ensinnäkin on määritettävä, kuuluuko tällainen käsittely yleisen tietosuoja-asetuksen aineelliseen soveltamisalaan, kun otetaan huomioon, että kyseisen asetuksen 2 artiklan 2 kohdan a alakohdan mukaan asetusta ei sovelleta henkilötietojen käsittelyyn, jota suoritetaan ”sellaisen toiminnan yhteydessä, joka ei kuulu unionin lainsäädännön soveltamisalaan”, ja että SEUT 165 artiklan 1 kohdan mukaisesti jäsenvaltiot ovat vastuussa opetuksen sisällöstä ja koulutusjärjestelmiensä järjestämisestä.
33 Unionin tuomioistuimen oikeuskäytännöstä ilmenee tältä osin, että yleisen tietosuoja-asetuksen 2 artiklan 1 kohdassa esitetty määritelmä sen aineellisesta soveltamisalasta on hyvin laaja ja että asetuksen 2 artiklan 2 kohdassa säädettyjä poikkeuksia tästä soveltamisalasta on tulkittava suppeasti (ks. vastaavasti tuomio 9.7.2020, Land Hessen, C‑272/19, EU:C:2020:535, 68 kohta ja tuomio 22.6.2021, Latvijas Republikas Saeima (Liikennerikkomuspisteet), C‑439/19, EU:C:2021:504, 61 ja 62 kohta).
34 Lisäksi yleisen tietosuoja‑asetuksen 2 artiklan 2 kohdan a alakohtaa on luettava yhdessä sen 2 artiklan 2 kohdan b alakohdan ja asetuksen johdanto‑osan 16 perustelukappaleen kanssa; viimeksi mainitussa täsmennetään, että mainittu asetus ei koske henkilötietojen käsittelyä ”unionin oikeuden soveltamisalaan kuulumattomi[en toimien], kuten kansallista turvallisuutta koskevi[en] toimi[en]” yhteydessä, kuten ei myöskään ”unionin yhteiseen ulko‑ ja turvallisuuspolitiikkaan liittyvi[en] toimi[en]” yhteydessä (tuomio 22.6.2021, Latvijas Republikas Saeima (Liikennerikkomuspisteet), C‑439/19, EU:C:2021:504, 63 kohta).
35 Tästä seuraa, että yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan a ja b alakohdalla, jotka kuuluvat osittain direktiivin 95/46 3 artiklan 2 kohdan ensimmäisen luetelmakohdan jatkumoon, ei voida tulkita olevan laajempaa ulottuvuutta kuin poikkeuksella, joka perustui direktiivin 95/46 3 artiklan 2 kohdan ensimmäiseen luetelmakohtaan, jossa jo suljettiin kyseisen direktiivin soveltamisalan ulkopuolelle muun muassa henkilötietojen käsittely, joka suoritettiin ”sellaisessa toiminnassa, joka ei kuulu yhteisön oikeuden soveltamisalaan, kuten toiminta, josta on määrätty [EU:n perustamissopimuksen, sellaisena kuin se oli ennen Lissabonin sopimusta,] V ja VI osastossa, ja kaikissa tapauksissa käsittely, joka koskee yleistä turvallisuutta, puolustusta[ ja] valtion turvallisuutta” (tuomio 22.6.2021, Latvijas Republikas Saeima (Liikennerikkomuspisteet), C‑439/19, EU:C:2021:504, 64 kohta).
36 Nyt käsiteltävässä asiassa on selvää, että opetuksen järjestämiseen liittyvää toimintaa Hessenin osavaltiossa ei voida luokitella niiden yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan a alakohdassa tarkoitettujen toimintojen ryhmään, joiden tarkoituksena on turvata kansallinen turvallisuus.
37 Näin ollen pääasiassa kyseessä olevan kaltainen opettajien henkilötietojen käsittely siinä yhteydessä, kun heidän antamiaan julkisen opetuksen oppitunteja välitetään videoneuvottelun välityksellä suoratoistona, kuuluu yleisen tietosuoja-asetuksen aineelliseen soveltamisalaan.
38 Toiseksi ennakkoratkaisupyynnöstä ilmenee, että opettajat, joiden henkilötietojen käsittely on pääasian kohteena, ovat Hessenin osavaltion julkishallinnon palveluksessa työntekijöinä tai virkamiehinä.
39 Näin ollen on määritettävä, kuuluuko tällainen henkilötietojen käsittely yleisen tietosuoja-asetuksen 88 artiklan, joka koskee työntekijöiden henkilötietojen käsittelyä työsuhteen yhteydessä, soveltamisalaan.
40 Tältä osin on huomattava, että yleisen tietosuoja-asetuksessa ei määritellä ilmaisuja ”työntekijät” ja ”työsuhde” eikä viitata jäsenvaltioiden oikeuteen niiden määrittelemiseksi. Tällaisen viittauksen puuttuessa on huomautettava, että kuten sekä unionin oikeuden yhtenäinen soveltaminen että yhdenvertaisuusperiaate edellyttävät, unionin oikeuden säännöksen, johon ei sisälly nimenomaista viittausta jäsenvaltioiden oikeuteen sen merkityksen ja ulottuvuuden määrittelemiseksi, sanamuotoa on tavallisesti tulkittava koko unionissa itsenäisesti ja yhtenäisesti (tuomio 2.6.2022, HK/Danmark ja HK/Privat, C‑587/20, EU:C:2022:419, 25 kohta oikeuskäytäntöviittauksineen).
41 Lisäksi on todettava, että koska yleisessä tietosuoja-asetuksessa ei määritellä ilmaisuja ”työntekijät” ja ”työsuhde”, niitä on tulkittava sen tavanomaisen merkityksen mukaan, joka niillä on yleiskielessä, ottamalla samalla huomioon asiayhteys, jossa niitä käytetään, ja sen säännöstön tavoitteet, johon ne kuuluvat (tuomio 2.6.2022, HK/Danmark ja HK/Privat, C‑587/20, EU:C:2022:419, 26 kohta oikeuskäytäntöviittauksineen).
42 Termi ”työntekijä” tarkoittaa tavanomaisessa merkityksessään henkilöä, joka suorittaa työtehtävänsä alisteisuussuhteessa työnantajaansa ja näin ollen kyseisen työnantajan valvonnan alaisuudessa (tuomio 18.3.2021, Kuoni Travel, C‑578/19, EU:C:2021:213, 42 kohta).
43 Samoin työsuhteelle ominaista on se, että henkilö tekee tietyn ajanjakson ajan toisen henkilön hyväksi tämän johdon alaisena työsuorituksia vastiketta vastaan (tuomio 15.7.2021, Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, 49 kohta).
44 Koska tällainen piirre on ominainen sekä julkisen sektorin että yksityisen sektorin työntekijöille ja työsuhteille, tästä on pääteltävä, että työntekijän ja työsuhteen käsitteet niiden tavanomaisessa merkityksessä eivät sulje pois henkilöitä, jotka työskentelevät julkisella sektorilla.
45 Yleisen tietosuoja-asetuksen 88 artiklan 1 kohdan ulottuvuutta ei nimittäin voida määrittää työntekijän ja työnantajan välisen oikeudellisen suhteen luonteen perusteella. Näin ollen on merkityksetöntä, onko asianomainen henkilö otettu palvelukseen työntekijänä vai virkamiehenä tai onko hänen palvelussuhteensa julkisoikeudellinen vai yksityisoikeudellinen, sillä nämä oikeudelliset luonnehdinnat itse asiassa vaihtelevat kansallisesta lainsäädännöstä toiseen eivätkä näin ollen voi tarjota tämän säännöksen itsenäistä ja yhtenäistä tulkintaa koskevaa asianmukaista kriteeriä (ks. analogisesti tuomio 12.2.1974, Sotgiu, 152/73, EU:C:1974:13, 5 kohta ja tuomio 3.6.1986, komissio v. Ranska, 307/84, EU:C:1986:222, 11 kohta).
46 Erityisesti virkamiesten kaltaisten henkilöiden, joiden palvelussuhde ei perustu työsopimukseen, osalta on todettava, että on totta, että tietosuoja-asetuksen 88 artiklan 1 kohdassa viitataan ”työsopimuksen täytäntöönpanoon”. On kuitenkin todettava yhtäältä, että tämä viittaus koskee yhtä niistä henkilötietojen käsittelyä työsuhteen yhteydessä, josta jäsenvaltiot voivat antaa yksityiskohtaisempia sääntöjä, koskevista tarkoituksista, jotka on lueteltu yleisen tietosuoja-asetuksen 88 artiklan 1 kohdassa, ja että kyseinen luettelo ei missään tapauksessa ole tyhjentävä, kuten tässä säännöksessä käytetty adverbi ”erityisesti” osoittaa.
47 Toisaalta sitä, että työntekijän ja hänen työnantajanaan olevan hallinnon välisen oikeudellisen suhteen luonnehdinnalla ei ole merkitystä, tukee se, että työn johto, suunnittelu ja organisointi, yhdenvertaisuus ja monimuotoisuus työpaikalla, työterveys ja ‑turvallisuus, työnantajan tai asiakkaan omaisuuden suoja sekä työntekoon liittyvien oikeuksien ja etuuksien yksilöllinen tai kollektiivinen käyttö tai nautinta sekä työsuhteen päättäminen, jotka on myös lueteltu yleisen tietosuoja-asetuksen 88 artiklan 1 kohdassa, liittyvät työskentelyyn sekä yksityisellä että julkisella sektorilla.
48 Yleisen tietosuoja-asetuksen 88 artiklan 1 kohdassa olevasta viittauksesta työsopimuksen täytäntöönpanoon ei näin ollen voida päätellä, että julkisella sektorilla työskentely, joka ei perustu työsopimukseen, jäisi kyseisen säännöksen soveltamisalan ulkopuolelle.
49 Sama päätelmä on tehtävä siitä, että yleisen tietosuoja-asetuksen 88 artiklan 2 kohdassa mainitaan yhtenä niistä kolmesta seikasta, joihin jäsenvaltioiden on tällaisia ”yksityiskohtaisempia sääntöjä” antaessaan kiinnitettävä ”erityistä huomiota”, henkilötietojen siirto ”saman konsernin tai samaa taloudellista toimintaa harjoittavan yritysryhmän sisällä”. Kaksi muuta seikkaa eli tietojenkäsittelyn läpinäkyvyys ja työpaikalla käytössä olevat valvontajärjestelmät ovat nimittäin merkityksellisiä sekä yksityisellä sektorilla että julkisella sektorilla työskentelyn kannalta, olipa työntekijän ja työnantajan välisen oikeudellisen suhteen luonne mikä hyvänsä.
50 Yleisen tietosuoja-asetuksen 88 artiklan sanamuotoon perustuvaa tulkintaa tukevat asiayhteys, johon kyseinen artikla kuuluu, sekä sillä säännöstöllä tavoiteltu päämäärä, jonka osa se on.
51 Kuten yleisen tietosuoja-asetuksen 1 artiklan 1 kohdasta, luettuna erityisesti asetuksen johdanto-osan 9, 10 ja 13 perustelukappaleen valossa, ilmenee, tällä asetuksella pyritään henkilötietojen suojaa koskevan kansallisen lainsäädännön lähtökohtaisesti täydellisen yhdenmukaistamisen varmistamiseen. Mainitun asetuksen säännöksillä annetaan kuitenkin jäsenvaltioille mahdollisuus säätää tiukemmista tai poikkeavista kansallisista täydentävistä säännöistä ja jätetään niille harkintavaltaa sen suhteen, miten nämä säännökset voidaan panna täytäntöön (ns. avoimet lausekkeet) (ks. vastaavasti tuomio 28.4.202, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, 57 kohta).
52 Yleisen tietosuoja-asetuksen 88 artikla, joka kuuluu asetuksen IX lukuun, jonka otsikko on ”Tietojenkäsittelyyn liittyviä erityistilanteita koskevat säännökset”, on tällainen avoin lauseke, koska siinä annetaan jäsenvaltioille mahdollisuus antaa ”yksityiskohtaisempia sääntöjä” työntekijöiden henkilötietojen käsittelystä työsuhteen yhteydessä oikeuksien ja vapauksien suojan varmistamiseksi.
53 Henkilötietojen käsittelyn erityispiirteet työsuhteen yhteydessä ja näin ollen jäsenvaltioille yleisen tietosuoja-asetuksen 88 artiklan 1 kohdassa annettu mahdollisuus selittyvät erityisesti työntekijän ja työnantajan välisen alisteisuussuhteen olemassaololla eikä työntekijän ja työnantajan välisen oikeudellisen suhteen luonteella.
54 Lisäksi yleisen tietosuoja-asetuksen 1 artiklan 2 kohdan, luettuna yhdessä asetuksen johdanto-osan kymmenennen perustelukappaleen kanssa, mukaan kyseisellä asetuksella pyritään muun muassa takaaman luonnollisille henkilöille henkilötietojen käsittelyssä heidän perusoikeuksiensa ja ‑vapauksiensa korkeatasoinen suoja; tämä oikeus suojaan on myös tunnustettu Euroopan unionin perusoikeuskirjan 8 artiklassa ja se liittyy läheisesti perusoikeuskirjan 7 artiklassa vahvistettuun yksityiselämän kunnioittamista koskevaan oikeuteen (ks. vastaavasti tuomio 1.8.2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, 61 kohta).
55 Tämän tavoitteen mukainen on yleisen tietosuoja-asetuksen 88 artiklan 1 kohdan laaja tulkinta, jonka mukaan yksityiskohtaisemmat säännöt, joita jäsenvaltiot voivat antaa työntekijöiden henkilötietojen käsittelystä työsuhteen yhteydessä oikeuksien ja vapauksien suojan varmistamiseksi, voivat koskea kaikkia työntekijöitä riippumatta heidän ja heidän työnantajansa välisen oikeudellisen suhteen luonteesta.
56 Näin ollen pääasiassa kyseessä olevan kaltainen opettajien henkilötietojen käsittely siinä yhteydessä, kun heidän antamiaan julkisen opetuksen oppitunteja välitetään videoneuvottelun välityksellä suoratoistona, kuuluu yleisen tietosuoja-asetuksen 88 artiklan aineelliseen ja henkilölliseen soveltamisalaan.
Ensimmäinen kysymys
57 Ensimmäisellä kysymyksellään ennakkoratkaisua pyytänyt tuomioistuin kysyy, onko yleisen tietosuoja-asetuksen 88 artiklaa tulkittava siten, että oikeussäännön on täytettävä tämän artiklan 2 kohdassa asetetut vaatimukset, jotta sitä voidaan pitää kyseisen artiklan 1 kohdassa tarkoitettuna yksityiskohtaisempana sääntönä.
58 Kuten tämän tuomion 52 kohdassa on todettu, jäsenvaltioilla on mahdollisuus mutta ei velvollisuutta antaa tällaisia sääntöjä, ja ne voidaan antaa lailla tai työehtosopimuksilla.
59 Lisäksi on todettava, että kun jäsenvaltiot käyttävät niille yleisen tietosuoja-asetuksen avoimella lausekkeella annettua mahdollisuutta, niiden on käytettävä harkintavaltaansa tämän asetuksen säännöksissä säädettyjen edellytysten ja rajoitusten mukaisesti ja siten annettava lainsäädäntöä tavalla, joka ei loukkaa kyseisen asetuksen sisältöä ja tavoitteita (ks. vastaavasti tuomio 28.4.2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, 60 kohta).
60 Yleisen tietosuoja-asetuksen 88 artiklan 1 ja 2 kohdassa tarkoitetuille säännöille asetettujen edellytysten ja rajoitusten määrittämiseksi ja näin ollen näissä säännöksissä jäsenvaltioille jätetyn harkintavallan arvioimiseksi on muistutettava, että vakiintuneen oikeuskäytännön mukaan unionin oikeussäännön tulkinta edellyttää, että huomioon otetaan paitsi sen sanamuoto myös asiayhteys, johon se kuuluu, sekä sen toimen tavoitteet ja tarkoitus, jonka osa se on (tuomio 15.3.2022, Autorité des marchés financiers, C‑302/20, EU:C:2022:190, 63 kohta).
61 Yleisen tietosuoja-asetuksen 88 artiklan 1 kohdan sanamuodosta on todettava, että ilmaisun ”yksityiskohtaisempia” käytöstä ilmenee ensinnäkin, että kyseisessä säännöksessä tarkoitetuilla säännöillä on oltava säännellylle alalle sopiva normatiivinen sisältö, joka poikkeaa tämän asetuksen yleisistä säännöistä.
62 Seuraavaksi on huomautettava, että kuten tämän tuomion 52 kohdassa on todettu, tämän säännöksen perusteella annettujen sääntöjen tavoitteena on suojata työntekijöiden oikeuksia ja vapauksia heidän henkilötietojensa käsittelyssä työsuhteiden yhteydessä.
63 Lopuksi eri tarkoituksista, joihin henkilötietoja voidaan käsitellä, sellaisina kuin ne on esitetty yleisen tietosuoja-asetuksen 88 artiklan 1 kohdassa, ilmenee, että siinä tarkoitetut yksityiskohtaisemmat säännöt voivat liittyä hyvin suureen määrään työsuhteita koskevia käsittelyjä siten, että ne kattavat kaikki ne tarkoitukset, joita varten henkilötietoja voidaan käsitellä työsuhteen yhteydessä. Koska näitä tarkoituksia koskeva luettelo ei ole tyhjentävä, kuten tämän tuomion 46 kohdassa on todettu, jäsenvaltioilla on harkintavaltaa niiden käsittelyjen osalta, joihin näitä yksityiskohtaisempia sääntöjä täten sovelletaan.
64 Yleisen tietosuoja-asetuksen 88 artiklan 2 kohdassa säädetään että kyseisen artiklan 1 kohdan nojalla annettuihin sääntöihin on sisällytettävä asianmukaisia ja erityisiä toimenpiteitä rekisteröidyn ihmisarvon, oikeutettujen etujen ja perusoikeuksien suojaamiseksi siten, että erityistä huomiota kiinnitetään tietojenkäsittelyn läpinäkyvyyteen, henkilötietojen siirtoihin saman konsernin tai samaa taloudellista toimintaa harjoittavan yritysryhmän sisällä ja työpaikalla käytössä oleviin valvontajärjestelmiin.
65 Yleisen tietosuoja-asetuksen 88 artiklan sanamuodosta ilmenee siten, että tämän artiklan 2 kohdalla säännellään niiden jäsenvaltioiden harkintavaltaa, jotka haluavat antaa yksityiskohtaisempia sääntöjä mainitun artiklan 1 kohdan nojalla. Näin ollen yhtäältä näissä säännöissä ei voida vain toistaa tämän asetuksen säännöksiä, vaan niillä on pyrittävä suojaamaan työntekijöiden oikeuksia ja vapauksia, kun kyse on heidän henkilötietojensa käsittelystä työsuhteessa, ja niiden on sisällettävä asianmukaisia ja erityisiä toimenpiteitä rekisteröidyn ihmisarvon, oikeutettujen etujen ja perusoikeuksien suojaamiseksi.
66 Toisaalta on kiinnitettävä erityistä huomiota tietojenkäsittelyn läpinäkyvyyteen, henkilötietojen siirtoihin saman konsernin tai samaa taloudellista toimintaa harjoittavan yritysryhmän sisällä ja työpaikalla käytössä oleviin valvontajärjestelmiin.
67 Asiayhteydestä, johon yleisen tietosuoja-asetuksen 88 artikla kuuluu, on todettava ensinnäkin, että tätä säännöstä on tulkittava mainitun asetuksen johdanto-osan kahdeksannen perustelukappaleen valossa; sen mukaan silloin, kun kyseisessä asetuksessa säädetään täsmennyksistä tai rajoituksista, joita jäsenvaltioiden lainsäädännössä voidaan tehdä sen sääntöihin, jäsenvaltiot voivat – siinä määrin kuin johdonmukaisuus ja kansallisten säännösten ymmärrettävyys niille, joihin niitä sovelletaan, edellyttävät – sisällyttää tämän asetuksen osia kansalliseen lainsäädäntöönsä.
68 Toiseksi on huomautettava, että yleisen tietosuoja-asetuksen II luvussa vahvistetaan henkilötietojen käsittelyä koskevat periaatteet ja III luvussa rekisteröidyn oikeudet, joita henkilötietojen käsittelyssä on noudatettava (tuomio 24.2.202, Valsts ieņēmumu dienests (Henkilötietojen käsittely verotusta varten), C‑175/20, EU:C:2022:124, 50 kohta).
69 Erityisesti on todettava, että kaikessa henkilötietojen käsittelyssä on yhtäältä noudatettava tietojen käsittelyä koskevia periaatteita, jotka mainitaan yleisen tietosuoja-asetuksen 5 artiklassa, ja toisaalta sen osalta on täytyttävä jokin tietojen käsittelyn laillisuutta koskevista periaatteista, jotka luetellaan mainitun asetuksen 6 artiklassa (tuomio 22.6.2021, Latvijas Republikas Saeima (Liikennerikkomuspisteet), C‑439/19, EU:C:2021:504, 96 kohta oikeuskäytäntöviittauksineen).
70 Siltä osin kuin on kyse käsittelyn lainmukaisuutta koskevista periaatteista, yleisen tietosuoja-asetuksen 6 artiklassa vahvistetaan tyhjentävä luettelo tilanteista, joissa henkilötietojen käsittelyn voidaan katsoa olevan lainmukaista. Jotta käsittelyn voidaan siis katsoa olevan oikeutettua, sen on kuuluttava johonkin mainitussa 6 artiklassa säädetyistä tapauksista (tuomio 22.6.2021, Latvijas Republikas Saeima (Liikennerikkomuspisteet), C‑439/19, EU:C:2021:504, 99 kohta oikeuskäytäntöviittauksineen).
71 Näin ollen vaikka jäsenvaltiot voivat yleisen tietosuoja-asetuksen avoimella lausekkeella niille annettua mahdollisuutta käyttäessään sisällyttää tämän asetuksen osia lainsäädäntöönsä siinä määrin kuin johdonmukaisuus ja kansallisten säännösten ymmärrettävyys niille, joihin niitä sovelletaan, edellyttävät, mainitun asetuksen 88 artiklan 1 kohdan nojalla annetut yksityiskohtaisemmat säännöt eivät voi rajoittua asetuksen 6 artiklassa säädettyjen henkilötietojen käsittelyn lainmukaisuuden edellytysten ja asetuksen 5 artiklassa vahvistettujen tätä käsittelyä koskevien periaatteiden toistamiseen tai niihin viittaamiseen.
72 Tulkinta, jonka mukaan jäsenvaltioiden harkintavaltaa niiden antaessa sääntöjä yleisen tietosuoja-asetuksen 88 artiklan 1 kohdan perusteella rajoitetaan tämän artiklan 2 kohdalla, on tämän tuomion 51 kohdassa mainitun asetuksen tavoitteen, joka on henkilötietojen suojaa koskevan kansallisen lainsäädännön lähtökohtaisesti täydellisen yhdenmukaistamisen varmistaminen, mukainen.
73 On nimittäin niin, että kuten julkisasiamies on todennut ratkaisuehdotuksensa 56, 70 ja 73 kohdassa, jäsenvaltioiden mahdollisuus antaa yleisen tietosuoja-asetuksen 88 artiklan 1 kohdan perusteella yksityiskohtaisempia sääntöjä voi johtaa siihen, että näiden sääntöjen soveltamisalalla yhdenmukaistaminen puuttuu. Tämän asetuksen 88 artiklan 2 kohdassa asetetut vaatimukset heijastavat kuitenkin kyseisessä asetuksessa hyväksytyn erottelun rajoja siten, että yhdenmukaistamisen puuttuminen voidaan hyväksyä ainoastaan silloin, kun olemassa oleviin eroihin liittyy asianmukaisia ja erityisiä toimenpiteitä, joiden tarkoituksena on suojata työntekijöiden oikeuksia ja vapauksia heidän henkilötietojensa käsittelyssä työsuhteiden yhteydessä.
74 Näin ollen oikeussäännön on täytettävä yleisen tietosuoja-asetuksen 88 artiklan 2 kohdassa säädetyt vaatimukset, jotta sitä voidaan pitää mainitun artiklan 1 kohdassa tarkoitettuna yksityiskohtaisempana sääntönä. Sen lisäksi, että näillä yksityiskohtaisemmilla säännöillä on oltava säännellylle alalle sopiva normatiivinen sisältö, joka poikkeaa tämän asetuksen yleisistä säännöistä, niillä on pyrittävä suojaamaan työntekijöiden oikeuksia ja vapauksia, kun kyse on heidän henkilötietojensa käsittelystä työsuhteessa, ja niiden on sisällettävä asianmukaisia ja erityisiä toimenpiteitä rekisteröidyn ihmisarvon, oikeutettujen etujen ja perusoikeuksien suojaamiseksi. Erityistä huomiota on kiinnitettävä tietojenkäsittelyn läpinäkyvyyteen, henkilötietojen siirtoihin saman konsernin tai samaa taloudellista toimintaa harjoittavan yritysryhmän sisällä ja työpaikalla käytössä oleviin valvontajärjestelmiin.
75 Kaiken edellä esitetyn perusteella ensimmäiseen kysymykseen on vastattava, että yleisen tietosuoja-asetuksen 88 artiklaa on tulkittava siten, että kansallinen säännöstö ei voi olla tämän artiklan 1 kohdassa tarkoitettu yksityiskohtaisempi sääntö, jos se ei täytä mainitun artiklan 2 kohdassa asetettuja vaatimuksia.
Toinen kysymys
76 Toisella kysymyksellään ennakkoratkaisua pyytänyt tuomioistuin kysyy, mitä päätelmiä on tehtävä toteamuksesta, jonka mukaan kansalliset säännökset, jotka on annettu työntekijöiden oikeuksien ja vapauksien suojan varmistamiseksi työntekijöiden henkilötietojen käsittelyssä työsuhteen yhteydessä, ovat ristiriidassa yleisen tietosuoja-asetuksen 88 artiklan 1 ja 2 kohdassa säädettyjen vaatimusten ja rajoitusten kanssa.
77 Tässä yhteydessä on muistutettava, että SEUT 288 artiklan toisen kohdan mukaan asetus on kaikilta osiltaan velvoittava, ja sitä sovelletaan sellaisenaan kaikissa jäsenvaltioissa, joten sen säännökset eivät lähtökohtaisesti edellytä mitään jäsenvaltioiden täytäntöönpanotoimenpiteitä (tuomio 15.6.2021, Facebook Ireland ym., C‑645/19, EU:C:2021:483, 109 kohta).
78 Kuten tämän tuomion 51 kohdassa on huomautettu, yleisessä tietosuoja-asetuksessa säädetyillä avoimilla lausekkeilla annetaan kuitenkin jäsenvaltioille mahdollisuus säätää tiukemmista tai poikkeavista kansallisista täydentävistä säännöistä ja jätetään niille harkintavaltaa sen suhteen, miten nämä säännökset voidaan panna täytäntöön.
79 Kuten tämän tuomion 59 kohdassa on todettu, silloin, kun jäsenvaltiot käyttävät niille yleisen tietosuoja-asetuksen avoimella lausekkeella annettua mahdollisuutta, niiden on käytettävä harkintavaltaansa tämän asetuksen säännöksissä säädettyjen edellytysten ja rajoitusten mukaisesti ja siten annettava lainsäädäntöä tavalla, joka ei loukkaa kyseisen asetuksen sisältöä ja tavoitteita.
80 Ennakkoratkaisua pyytäneen tuomioistuimen, joka on yksin toimivaltainen tulkitsemaan kansallista oikeutta, tehtävänä on arvioida, ovatko pääasiassa kyseessä olevat säännökset yleisen tietosuoja-asetuksen 88 artiklassa säädettyjen vaatimusten ja rajoitusten, sellaisina kuin ne on esitetty tiivistetysti tämän tuomion 74 kohdassa, mukaisia.
81 Kuten julkisasiamies on todennut ratkaisuehdotuksensa 60–62 kohdassa, HDSIG:n 23 §:n 1 momentin ja HBG:n 86 §:n 4 momentin kaltaisilla säännöksillä, joissa työntekijöiden henkilötietojen käsittelyn edellytykseksi asetetaan se, että käsittely on tarpeen tiettyjä työsuhteen toteuttamiseen liittyviä tarkoituksia varten, näytetään kuitenkin toistettavan käsittelyn yleistä lainmukaisuutta koskeva edellytys, josta on jo säädetty yleisen tietosuoja-asetuksen 6 §:n 1 momentin ensimmäisen kohdan b alakohdassa, antamatta asetuksen 88 artiklan 1 kohdassa tarkoitettua yksityiskohtaisempaa sääntöä. Tällaisilla säännöksillä ei nimittäin näytä olevan säännellylle alalle sopivaa ja mainitun asetuksen yleisistä säännöistä poikkeavaa normatiivista sisältöä.
82 Siinä tapauksessa, että ennakkoratkaisua pyytänyt tuomioistuin katsoisi, että pääasiassa kyseessä olevat säännökset eivät ole yleisen tietosuoja-asetuksen 88 artiklassa säädettyjen vaatimusten ja rajoitusten mukaisia, sen on lähtökohtaisesti jätettävä soveltamatta mainittuja säännöksiä.
83 Unionin oikeuden ensisijaisuuden periaatteesta nimittäin seuraa, että välittömästi sovellettavat perussopimusten määräykset ja toimielinten antamat säännökset aiheuttavat suhteessaan jäsenvaltioiden sisäiseen oikeuteen sen, että nämä unionin oikeussäännöt jo pelkällä voimaantulollaan estävät kaikkien niiden kanssa ristiriidassa olevien kansallisten säännösten soveltamisen (tuomio 9.3.1978, Simmenthal, 106/77, EU:C:1978:49, 17 kohta; tuomio 19.6.1990, Factortame ym., C‑213/89, EU:C:1990:257, 18 kohta ja tuomio 4.2.2016, Ince, C‑336/14, EU:C:2016:72, 52 kohta).
84 Niinpä sellaisten yksityiskohtaisempien sääntöjen puuttuessa, jotka noudattaisivat yleisen tietosuoja-asetuksen 88 artiklassa säädettyjä vaatimuksia ja rajoituksia, henkilötietojen käsittelyä työsuhteen yhteydessä sekä yksityisellä että julkisella sektorilla säännellään suoraan tämän asetuksen säännöksillä.
85 Tästä on todettava, että pääasiassa kyseessä olevan kaltaiseen henkilötietojen käsittelyyn voidaan soveltaa yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan c ja e alakohtaa, joiden nojalla henkilötietojen käsittely on lainmukaista silloin, jos käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi (c alakohta), tai silloin, jos se on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi (e alakohta).
86 Yleisen tietosuoja-asetuksen 6 artiklan 3 kohdassa säädetään yhtäältä tämän asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan c ja e alakohdassa tarkoitetuista kahdesta lainmukaisuustilanteesta, että käsittelyn on perustuttava unionin oikeuteen tai rekisterinpitäjään sovellettavaan jäsenvaltion lainsäädäntöön, ja siinä lisätään toisaalta, että käsittelyn tarkoitus määritellään kyseisessä käsittelyn oikeusperustassa tai, 1 kohdan ensimmäisen alakohdan e alakohdassa tarkoitetussa käsittelyssä, sen on oltava tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi (ks. vastaavasti tuomio 8.12.2022, Inspektor v Inspektorata kam Visshia sadeben savet (Henkilötietojen käsittelyn tarkoitus – Rikostutkinta), C‑180/21, EU:C:2022:967, 95 kohta).
87 On huomautettava, että unionin tuomioistuin on jo aiemmin katsonut, että rekisterinpitäjien yleisen tietosuoja‑asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan e alakohdan perusteella toteuttama henkilötietojen lainmukainen käsittely edellyttää paitsi sitä, että heidän voidaan katsoa suorittavan yleistä etua koskevaa tehtävää, myös sitä, että tällaisen tehtävän suorittamista varten tapahtuvalla henkilötietojen käsittelyllä on kyseisen asetuksen 6 artiklan 3 kohdassa tarkoitettu oikeudellinen perusta (ks. vastaavasti tuomio 20.10.2022, Koalitsia ”Demokratichna Bulgaria” – Obedinenie”, C‑306/21, EU:C:2022:813, 52 kohta).
88 Näin ollen silloin, kun ennakkoratkaisua pyytänyt tuomioistuin katsoo, että henkilötietojen käsittelyä työsuhteen yhteydessä koskevat kansalliset säännökset eivät ole yleisen tietosuoja-asetuksen 88 artiklan 1 ja 2 kohdassa säädettyjen vaatimusten ja rajoitusten mukaisia, sen on vielä tarkistettava, muodostavatko kyseiset säännökset kyseisen asetuksen 6 artiklan 3 kohdassa, luettuna yhdessä sen johdanto-osan 45 perustelukappaleen kanssa, tarkoitetun oikeusperustan, joka on kyseisessä asetuksessa säädettyjen vaatimusten mukainen. Jos näin on, kansallisia säännöksiä ei voida jättää soveltamatta.
89 Edellä esitetyn perusteella toiseen ennakkoratkaisukysymykseen on vastattava, että yleisen tietosuoja-asetuksen 88 artiklan 1 ja 2 kohtaa on tulkittava siten, että sellaiset kansalliset säännökset, jotka on annettu työntekijöiden oikeuksien ja vapauksien suojan varmistamiseksi heidän henkilötietojensa käsittelyssä työsuhteen yhteydessä, on jätettävä soveltamatta, kun nämä säännökset eivät täytä kyseisen 88 artiklan 1 ja 2 kohdassa säädettyjä vaatimuksia ja rajoituksia, paitsi jos mainitut säännökset muodostavat tämän asetuksen 6 artiklan 3 kohdassa tarkoitetun oikeusperustan, joka täyttää tässä asetuksessa säädetyt vaatimukset.
Oikeudenkäyntikulut
90 Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.
Näillä perusteilla unionin tuomioistuin (ensimmäinen jaosto) on ratkaissut asian seuraavasti:
1) Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 88 artiklaa
on tulkittava siten, että
kansallinen säännöstö ei voi olla tämän artiklan 1 kohdassa tarkoitettu yksityiskohtaisempi sääntö, jos se ei täytä mainitun artiklan 2 kohdassa asetettuja vaatimuksia.
2) Asetuksen 2016/679 88 artiklan 1 ja 2 kohtaa
on tulkittava siten, että
sellaiset kansalliset säännökset, jotka on annettu työntekijöiden oikeuksien ja vapauksien suojan varmistamiseksi heidän henkilötietojensa käsittelyssä työsuhteen yhteydessä, on jätettävä soveltamatta, kun nämä säännökset eivät täytä kyseisen 88 artiklan 1 ja 2 kohdassa säädettyjä vaatimuksia ja rajoituksia, paitsi jos mainitut säännökset muodostavat tämän asetuksen 6 artiklan 3 kohdassa tarkoitetun oikeusperustan, joka täyttää tässä asetuksessa säädetyt vaatimukset.
Allekirjoitukset