ЗАКЛЮЧЕНИЕ НА ГЕНЕРАЛНИЯ АДВОКАТ
M. CAMPOS SÁNCHEZ-BORDONA
представено на 22 септември 2022 година(1)
Дело C‑34/21
Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium
при участието на
Minister des Hessischen Kultusministeriums als Dienstellenleiter
(Преюдициално запитване, отправено от Verwaltungsgericht Frankfurt am Main (Административен съд Франкфурт на Майн, Германия)
„Преюдициално запитване — Защита на личните данни — Регламент (ЕС) 2016/679 — Обработване на данни в контекста на трудово или служебно правоотношение — Член 88, параграф 1 — По-конкретно правило — Изисквания по член 88, параграф 2 — Регионална училищна система — Пряко обучение чрез видеоконферентна връзка — Липса на изрично съгласие на преподавателите“
1. В спора, който е в основата на настоящото преюдициално запитване, по същество се разглежда въпросът дали преподавателите, които работят към министерство на провинция Хесен (Германия), трябва да дадат съгласие за излъчването на техните учебни занятия чрез видеоконферентна връзка или, ако не дадат съгласие за това, обработването на личните им данни(2) може да бъде обосновано с предвидена в Регламент (ЕС) 2016/679(3). законосъобразна цел.
2. Освен ако не греша, преюдициалното запитване дава възможност на Съда да се произнесе за първи път по член 88 от ОРЗД. Съгласно тази разпоредба държавите членки могат със закон или с колективни трудови договори да предвидят по-конкретни правила, за да гарантират защитата на правата и свободите по отношение на обработването на личните данни на наетите лица по трудово или служебно правоотношение.
I. Правна уредба
А. Правото на Съюза. ОРЗД
3. Изложените по-долу съображения имат следното съдържание:
„[…]
(8) Когато в настоящия регламент се предвиждат уточнения или ограничения на съдържащите се в него правила от правото на държавите членки, държавите членки могат, доколкото това е необходимо с оглед на последователността и разбираемостта на националните разпоредби за лицата, по отношение на които те се прилагат, да включат елементи на настоящия регламент в собственото си право.
[…]
(10) За да се гарантира последователно и високо ниво на защита на физическите лица, както и за да се премахнат препятствията пред движението на лични данни в Съюза, нивото на защита на правата и свободите на физическите лица във връзка с обработването на такива данни следва да бъде равностойно във всички държави членки. Следва да се гарантира последователно и еднородно прилагане в рамките на Съюза на правилата за защита на основните права и свободи на физическите лица във връзка с обработването на лични данни. По отношение на обработването на лични данни, необходимо за спазване на правно задължение, за изпълнение на задача от обществен интерес или при упражняване на официалните правомощия, предоставени на администратора на лични данни, на държавите членки следва да се позволи да запазят или да въведат национални разпоредби, които да уточняват по-нататък реда за прилагане на правилата на настоящия регламент. […]
[…]
(45) Когато обработването се извършва в съответствие с правно задължение, наложено на администратора на лични данни, или когато обработването е необходимо за изпълнението на задача от обществен интерес или при упражняване на официални правомощия, за обработването следва да има основание в правото на Съюза или в правото на държава членка. Настоящият регламент не изисква за всяко отделно обработване конкретен законодателен акт. Може да е достатъчен законодателен акт като основание за няколко операции по обработване на данни, основаващи се на правно задължение, наложено на администратора на лични данни, или когато обработването е необходимо за изпълнението на задача от обществен интерес или при упражняване на официални правомощия. Правото на Съюза или на държава членка следва да определя също и целта на обработването. Нещо повече, в това право биха могли да се посочат общите условия на настоящия регламент, които определят законосъобразността на обработването на лични данни, да се установяват спецификациите за определянето на администратора на лични данни, видът данни, които подлежат на обработване, съответните субекти на лични данни, образуванията, пред които могат да бъдат разкривани лични данни, ограниченията по отношение на целите, периодът на съхранение и други мерки за гарантиране на законосъобразното и добросъвестно обработване. […]
[…]
(155) В правото на държавите членки или в колективните споразумения, включително „трудови споразумения“, могат да се предвиждат специални разпоредби относно обработването на личните данни на наетите лица по трудово или служебно правоотношение, по-специално във връзка с условията, при които личните данни в контекста на трудово или служебно правоотношение могат да бъдат обработвани въз основа на съгласието на наетото лице, за целите на набирането на персонал, изпълнението на трудовия договор, включително изпълнението на задължения, установени със закон или с колективни споразумения, управлението, планирането и организацията на работата, равенството и многообразието на работното място, здравословните и безопасни условия на труд, както и за целите на упражняването и ползването на индивидуална или колективна основа на правата и облагите от заетостта, а също и за целите на прекратяването на трудовото или служебното правоотношение.
[…]“.
4. Член 5 („Принципи, свързани с обработването на лични данни“) предвижда:
„1. Личните данни са:
а) обработвани законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните („законосъобразност, добросъвестност и прозрачност“);
б) събирани за конкретни, изрично указани и легитимни цели и не се обработват по-нататък по начин, несъвместим с тези цели; по-нататъшното обработване за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели не се счита, съгласно член 89, параграф 1, за несъвместимо с първоначалните цели („ограничение на целите“);
в) подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват („свеждане на данните до минимум“);
г) точни и при необходимост да бъдат поддържани в актуален вид; трябва да се предприемат всички разумни мерки, за да се гарантира своевременното изтриване или коригиране на неточни лични данни, като се имат предвид целите, за които те се обработват („точност“);
д) съхранявани във форма, която да позволява идентифицирането на субекта на данните за период, не по-дълъг от необходимото за целите, за които се обработват личните данни; личните данни могат да се съхраняват за по-дълги срокове, доколкото ще бъдат обработвани единствено за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели съгласно член 89, параграф 1, при условие че бъдат приложени подходящите технически и организационни мерки, предвидени в настоящия регламент с цел да бъдат гарантирани правата и свободите на субекта на данните („ограничение на съхранението“);
е) обработвани по начин, който гарантира подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки („цялостност и поверителност“);
2. Администраторът носи отговорност и е в състояние да докаже спазването на параграф 1 („отчетност“)“.
5. Член 6 („Законосъобразност на обработването“) от ОРЗД гласи:
„1. Обработването е законосъобразно, само ако и доколкото е приложимо поне едно от следните условия:
а) субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели;
б) обработването е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор;
в) обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора;
[…]
д) обработването е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора;
е) обработването е необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни, по-специално когато субектът на данните е дете.
Буква е) на първа алинея не се прилага за обработването, което се извършва от публични органи при изпълнението на техните задачи.
2. Държавите членки могат да запазят или въведат по-конкретни разпоредби, за да адаптират прилагането на правилата на настоящия регламент по отношение на обработването, необходимо за спазването на параграф 1, букви в) и д), като установят по-конкретно специални изисквания за обработването и други мерки, за да се гарантира законосъобразно и добросъвестно обработване, включително за други особени случаи на обработване на данни, предвидени в глава IX.
3. Основанието за обработването, посочено в параграф 1, букви в) и д), е установено от:
а) правото на Съюза или
б) правото на държавата членка, което се прилага спрямо администратора.
Целта на обработването се определя в това правно основание или що се отнася до обработването по параграф 1, буква д), то трябва да е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора. Това правно основание може да включва конкретни разпоредби за адаптиране на прилагането на разпоредбите на настоящия регламент, inter alia общите условия, които определят законосъобразността на обработването от администратора, видовете данни, които подлежат на обработване, съответните субекти на данните; образуванията, пред които могат да бъдат разкривани лични данни, и целите, за които се разкриват; ограниченията по отношение на целите на разкриването; периодът на съхранение и операциите и процедурите за обработване, включително мерки за гарантиране на законосъобразното и добросъвестно обработване, както тези за други конкретни случаи на обработване съгласно предвиденото в глава IX. Правото на Съюза или правото на държавата членка се съобразява с обществения интерес и е пропорционално на преследваната легитимна цел.
4. Когато обработването за други цели, различни от тези, за които първоначално са били събрани личните данни, не се извършва въз основа на съгласието на субекта на данните или на правото на Съюза или правото на държава членка, което представлява необходима и пропорционална мярка в едно демократично общество за гарантиране на целите по член 23, параграф 1, администраторът, за да се увери дали обработването за други цели е съвместимо с първоначалната цел, за която са били събрани личните данни, inter alia, взема под внимание:
а) всяка връзка между целите, за които са били събрани личните данни, и целите на предвиденото по-нататъшно обработване;
б) контекста, в който са били събрани личните данни, по-специално във връзка с отношенията между субекта на данните и администратора;
в) естеството на личните данни, по-специално дали се обработват специални категории лични данни съгласно член 9 или се обработват лични данни, отнасящи се до присъди и нарушения, съгласно член 10;
г) възможните последствия от предвиденото по-нататъшно обработване за субектите на данните;
д) наличието на подходящи гаранции, които могат да включват криптиране или псевдонимизация“.
6. Член 88 („Обработване в контекста на трудово или служебно правоотношение“) предвижда:
„1. Държавите членки могат със закон или с колективни споразумения да предвидят по-конкретни правила, за да гарантират защитата на правата и свободите по отношение на обработването на личните данни на наетите лица по трудово [и]ли служебно правоотношение, по-специално за целите на набирането на персонал, изпълнението на трудовия договор, включително изпълнението на задълженията, установени със закон или с колективни споразумения, управлението, планирането и организацията на работата, равенството и многообразието на работното място, здравословните и безопасни условия на труд, защитата на имуществото на работодателя или на клиента, както и за целите на упражняване и ползване на индивидуална или колективна основа на правата и облагите от заетостта, а също и за целите на прекратяване на трудовото или служебното правоотношение.
2. Тези правила включват подходящи и конкретни мерки за защита на човешкото достойнство, законните интереси и основните права на субекта на данните, по-специално по отношение на прозрачността на обработването, предаването на лични данни в рамките на група предприятия или група дружества, участващи в съвместна стопанска дейност и системите за наблюдение на работното място.
3. Всяка държава членка уведомява Комисията за тези разпоредби в своето право, които приема съгласно параграф 1 до 25 май 2018 г., и я уведомява незабавно за всяко последващо, свързано с тях изменение“.
Б. Националното право
1. Hessisches Datenschutz- und Informationsfreiheitsgesetz(4)
7. Член 23 предвижда:
„(1) Личните данни на наети лица могат да се обработват за целите на трудово или служебно правоотношение, когато това е необходимо за решението относно възникването на трудово или служебно правоотношение или — когато такова е възникнало — за изпълнението, развалянето или прекратяването на това правоотношение, както и за изпълнението на вътрешни мерки по планиране, организационни, социални и персонални мерки. Това важи и за упражняването или изпълнението на правата и задълженията, които произтичат от закон или от колективен трудов договор за даден сектор, от колективен трудов договор на отделното предприятие или публично учреждение (колективни споразумения) и се отнасят до представляването на интересите на наетите лица.
[…]
(4) Обработването за целите на трудовото или служебното правоотношение на лични данни, включително на специални категории лични данни на наети лица, е допустимо на основание колективни споразумения. В това отношение договарящите страни са длъжни да зачитат член 88, параграф 2 от [ОРЗД].
(5) Администраторът взема подходящи мерки, за да гарантира по-специално спазването на залегналите в член 5 от [ОРЗД] принципи за обработването на лични данни.
[…]
(8) Наети лица по смисъла на настоящия закон са:
[…]
7. държавните служители, спрямо които се прилага Hessisches Beamtengesetz,[(5)] съдиите в провинцията, както и лицата на гражданска служба.
[…]“.
2. Hessiches Beamtengesetz
8. Член 86, параграф 4 гласи
„Работодателят може да събира лични данни на кандидати, държавни служители и бивши държавни служители само ако това е необходимо за възникването, изпълнението, развалянето или прекратяването на служебното правоотношение или за изпълнението на организационни, персонални и социални мерки, по-специално и за целите на планирането и използването на персонала, или ако правна норма, или колективен договор на публично учреждение позволява това […]“.
II. Факти, спор и преюдициални въпроси
9. Verwaltungsgericht Wiesbaden (Административен съд Висбаден, Германия), който първоначално отправя настоящото преюдициално запитване, не предоставя обстойно изложение на фактите по спора, нито на обжалваните разпоредби(6), нито пък на хода на производството, като по-скоро се съсредоточава върху съмненията си относно правните аспекти.
10. Посоченият съд само констатира, че страните „спорят дали при въвеждането на онлайн обучение чрез системи за видеоконферентна връзка се изисква — наред със съгласието на родителите за техните деца или на самите пълнолетни ученици — и съгласието на съответните учители, или извършваното в случая обработване на данни попада в обхвата на член 23, параграф 1, изречение първо от HDSIG […]“.
11. По-специално съдът се съмнява, че член 23, параграф 1, първо изречение от HDSIG представлява „по-конкретно правило“ относно обработката на данните на наетите лица по трудово или служебно правоотношение по смисъла на член 88 от ОРЗД. Според него тази разпоредба не отговаря на изискванията на член 88, параграф 2 от ОРЗД, тъй като:
— Тя се позовава единствено на „необходимост“ като правно основание за обработването на данните на служителите или на длъжностните лица.
— Всяко обработване на данни на наети лица по трудово или служебно правоотношение, което надхвърля необходимото по силата на трудовия договор, трябва да се извършва след претегляне на интересите, надхвърлящо обикновената необходимост, като това не е предвидено в националния закон.
12. Запитващата юрисдикция посочва, че не споделя практиката на Bundesarbeitsgericht (Федерален съд по трудови спорове, Германия) относно съвместимостта с член 88 от ОРЗД на разпоредбата от федералното право, съответстваща на член 23, параграф 1, първо изречение от HDSIG(7).
13. За разлика от това запитващата юрисдикция счита, че:
— Въвеждането на принципа на „необходимост“ в националното законодателство не представлява конкретизиране на изискванията по член 88, параграф 2 от ОРЗД.
— Позоваването на обстоятелството, че администраторът трябва да зачита по-специално принципите по член 5 от ОРЗД, също не отговаря на тези изисквания, тъй като член 5 не предвижда никаква специална защита на работниците.
— действително законодателят по принцип е взел предвид член 88, параграф 2 от ОРЗД, доколкото изисква същият да бъде спазван при колективните споразумения, но нито в самия закон, нито в мотивите към съответната законова уредба се е занимал със списъка с изисквания по параграф 2 или го е изпълнил.
14. В този контекст посочената юрисдикция отправя до Съда следните въпроси:
„1) Трябва ли член 88, параграф 1 от [ОРЗД] да се тълкува в смисъл, че за да представлява по-конкретно правило за гарантиране на защитата на правата и свободите по отношение на обработването на личните данни на наетите лица по трудово или служебно правоотношение, по смисъла на член 88, параграф 1 от [ОРЗД], дадена правна разпоредба трябва да отговаря на изискванията, предвидени в член 88, параграф 2 от [ОРЗД] за тези правила?
2) Може ли национална правна норма, дори когато очевидно не отговаря на изискванията по член 88, параграф 2 от [ОРЗД], все пак да продължи да бъде приложима?“.
III. Производството пред Съда
15. Преюдициалното запитване постъпва в Съда на 20 януари 2021 г.
16. Компетентен за разрешаване на спора в главното производство, считано от 1 декември 2021 г.(8), е Verwaltungsgericht Frankfurt am Main (Административен съд Франкфурт на Майн, Германия), пред който делото продължава да е висящо.
17. Писмени становища представят германското, австрийското и румънското правителство, както и Европейската комисия. Всички те, както и учителският комитет, отговарят писмено на въпросите, поставени им от Съда преди съдебното заседание.
18. В съдебното заседание, проведено на 30 юни 2022 г., се явяват учителският комитет, Министерството на образованието и културата на провинция Хесен, германското правителство и Комисията.
IV. Съображения
А. По допустимостта на преюдициалното запитване
19. В писменото си становище германското правителство възразява, че преюдициалното запитване е недопустимо, тъй като при разглеждането на въпроса дали обработването на лични данни, извършвано при прякото излъчване на учебни занятия чрез видеоконферентна връзка, попада в приложното поле на член 23, параграф 1 от HDSIG, запитващата юрисдикция не излага съображения защо изключва възможността обработването да е допустимо поради съгласие на учителя.
20. В съдебното заседание германското правителство частично релативира това възражение, като признава, че било необходимо Съдът да се произнесе (тоест, че запитването било допустимо), ако засегнатите преподаватели не били дали съгласието си за обработване на данните им.
21. При всички положения Съдът може да откаже да се произнесе по отправеното от национална юрисдикция преюдициално запитване само когато е съвсем очевидно, че исканото тълкуване на правото на Съюза няма никаква връзка с действителността или с предмета на спора в главното производство, когато проблемът е от хипотетично естество или когато Съдът не разполага с необходимите данни от фактическа и правна страна, за да бъде полезен с отговора на поставените му въпроси(9).
22. Нито едно от тези обстоятелства не е налице при настоящото преюдициално запитване, за което важи презумпцията за релевантност(10). Запитването се основава на предположението, че не непременно всички учители се съгласяват с обработването на личните им данни, така че е налице интерес да се установи дали е в съответствие с правото на Съюза разпоредбата(11), съгласно която обработването без съгласието на съответното физическо лице е допустимо.
23. Преюдициалният въпрос се свежда до установяването дали правната уредба, която би предоставила основание за обработването на личните данни на учителите при липса на съгласие от тяхна страна, отговаря на условията по член 88, параграфи 1 и 2 от ОРЗД. Ето защо безспорно е налице достатъчна връзка между спора и разпоредбите на правото на Съюза, чието тълкуване се иска.
Б. По същество
1. Предварителни бележки
24. С първия си въпрос запитващата юрисдикция иска да се установи дали, за да представлява една правна разпоредба „по-конкретно правило“ по смисъла на член 88, параграф 1 от ОРЗД, тя трябва да отговаря на изискванията на член 88, параграф 2.
25. Анализът на член 88 от ОРЗД води до извода, че „по-конкретните правила“, посочени в параграф 1 на Регламента, трябва да отговарят на изискванията на параграф 2.
26. Съгласно член 88, параграф 2 от ОРЗД „тези правила“ (т.е. посочените в параграф 1 по-конкретните правила, които държавите членки могат да предвидят), трябва да съдържат „подходящи и конкретни мерки“, за да се защитят достойнството, законните интереси и основните права на наетите лица по трудово или служебно правоотношение. В тези правила трябва да се обръща особено внимание на прозрачността на обработването, на предаването на данни в рамките на група предприятия или на обединение на предприятия и на системите за наблюдение на работното място.
27. Следователно е налице очевидна връзка между двата параграфа на член 88 от ОРЗД: параграф 2 установява императивно(12) съдържанието на конкретните правила, които държавите членки могат да приемат съгласно параграф 1 в областта на обработването на личните данни на наетите лица в контекста на трудово или служебно правоотношение.
28. Отговорът на този преюдициален въпрос не е труден: член 88 от ОРЗД трябва да се тълкува в смисъл, че правна разпоредба, която следва да се установи като „по-конкретно правило“ по смисъла на параграф 1 от него, „трябва да отговаря на изискванията“ по параграф 2 — съгласно използвания от запитващата юрисдикция израз.
29. Малко вероятно е, че за да стигне до това заключение, запитващата юрисдикция е имала нужда от съдействието на Съда. Ето защо същинският смисъл на първия преюдициален въпрос може би трябва да се изясни с оглед на втория въпрос. С него се иска да се установи дали национална правна уредба, която „не отговаря на изискванията по член 88, параграф 2“ от ОРЗД(13), може да продължи да се прилага.
30. Въз основа на тази (изложена в акта за преюдициално запитване) гледна точка се поставя и въпросът дали правните разпоредби на държавите членки, приети на основание член 88, параграф 1 от ОРЗД, които обаче не съответстват на член 88, параграф 2, могат да се основават на други норми на ОРЗД — по-специално, на други отворени клаузи на този регламент, като например член 6, параграф 2.
31. Двата въпроса на запитващата юрисдикция се припокриват в такава степен, че австрийското правителство и Комисията са склонни да им дадат общ отговор, а аз споделям този подход и ще се придържам към него.
2. Член 88 от ОРЗД и преподаватели, които са държавни служители
32. Запитващата юрисдикция приема, че що се отнася до вътрешните правила за защитата на данните, между учителите, представлявани в учителския комитет, и Министерството на образованието и културата на провинция Хесен, е налице трудово правоотношение.
33. Това схващане е в съответствие с HDSIG, който, като урежда обработването на личните данни в рамките на трудовото правоотношение, квалифицира като наети лица по смисъла на този закон държавните служители, за които се прилага HBG, сред които и са и преподавателите.
34. В нито един момент запитващата юрисдикция не изразява съмнение относно приложимостта на член 88 от ОРЗД към служителите на провинцията, които в качеството си на преподаватели са държавни служители.
35. Страните и встъпилите в производството страни, запитани от Съда относно този въпрос, също не поставят под въпрос това схващане. Всички са съгласни, че длъжността на преподавателите, които са държавни служители, попада в обхвата на член 88 от ОРЗД.
36. Този подход според мен е правилен и може да се приложи, за да се анализира обхватът на член 88 от ОРЗД, доколкото в него се посочва „защитата […] по отношение на обработването на личните данни на наетите лица по трудово [и]ли служебно правоотношение“.
37. Както подчертава германското правителство, в категорията на наетите лица в широкия смисъл на думата попадат преподавателите, които са държавни служители и чиито интереси се представляват от учителския комитет.
38. Практиката на Съда относно трудовото правоотношение(14) и относно понятието работници във връзка със свободното им движение и неприложимостта на предишния член 39, параграф 4 ЕО (понастоящем член 45, параграф 4 ДФЕС) към длъжностите в публичната администрация, може по аналогия да послужи като отправна точка за решението, което предлагам.
39. Съгласно тази съдебна практика, която подчертава функционалния аспект на изпълняваната задача:
— за целта понятието публична администрация трябва да се тълкува и прилага еднакво в целия Съюз и следователно не може да бъде оставено изцяло на преценката на държавите членки.
— Член 45, параграф 4 ДФЕС се отнася до длъжностите, които включват пряко или непряко участие в упражняването на публичната власт и във функциите, които имат за цел защита на общите интереси на държавата и на другите публични органи.(15)
40. Тъй като преподавателите в това си качество не участват в упражняването на публична власт в тесен смисъл, а извършват дейност по предоставяне на образователни услуги(16), подобна на предоставяната на други частни организации или предприятия, те могат общо да бъдат квалифицирани като „работници“, като се квалифицират по този начин съответно и в областта на защитата на данните.
41. Както подчертава австрийското правителство, ако се приеме нещо различно, би означавало да се третират по различен начин по същество еднакви положения, каквито от материална гледна точка са положението на преподавателите, които са държавни служители, и положението на преподавателите в частния сектор. Това би било още по-сериозно, тъй като, както изтъква Комисията, понятието обществена услуга не е хармонизирано в рамките на Съюза, поради което в случай на различно тълкуване обхватът на член 88 от ОРЗД би зависел от националното право.
3. Отворени клаузи в ОРЗД
42. Както подчертава генералният адвокат Bobek по дело Fashion ID(17), замяната на Директива 95/46/ЕО(18) с ОРЗД доведе преди всичко до фундаментална промяна в естеството на правния акт, уреждащ защитата на физическите лица по отношение на обработката на лични данни.
43. Този акт вече не е директива (т.е. норма, налагаща задължение да се постигне определен резултат, която оставя на националните органи избора на формата и средствата), а регламент. Той е задължителен в своята цялост и се прилага пряко във всички държави членки, като по принцип не позволява, освен при наличието на изрично разрешение, националните правила да включват (или оспорват) неговото съдържание(19).
44. Макар ОРЗД да постига по-голяма хармонизация от поставената за цел от Директива 95/46(20), практическата универсалност на областите на човешката дейност, в които се генерират лични данни, чието обработване трябва да бъде защитено(21), е накарала законодателя да разреши на държавите членки:
— да включват в националното си право някои елементи от ОРЗД, когато той предвижда конкретизиране или ограничаване на неговите разпоредби в правото на държавите членки;
— да запазят или да въведат национални разпоредби, които могат да конкретизират в по-голяма степен прилагането на някои правила от ОРЗД(22).
45. Макар ОРЗД да има за цел да осигури последователно и еднакво прилагане на правилата за защита в целия Съюз и да премахне пречките за движението на личните данни в рамките на Съюза(23), европейският законодател не е могъл да не признае, както подчертава генералният адвокат Richard de la Tour, че действителността е по-сложна: въпреки широкобхватния си характер ОРЗД не е можел да предвиди всички възможни разклонения на защитата на личните данни в области като потреблението, конкуренцията или трудовите или служебните правоотношения(24).
46. С това се обяснява обстоятелството, че ОРЗД предоставя на държавите членки възможност да установят допълнителни, по-строги или дерогиращи национални правила. Държавите разполагат с определена свобода на преценка относно начина на прилагане на тези разпоредби („отворени клаузи“)(25).
47. Относително честото срещане на този вид клаузи се отразява неблагоприятно върху пълната хармонизация на защитата на личните данни(26). Както признава Комисията, ОРЗД задължава държавите членки да уредят законодателно определени области, като същевременно им предоставя възможност да конкретизират неговите правила в други области, което е довело до „известна фрагментираност, която се дължи най-вече на широкото използване на разпоредбите, които може факултативно да бъдат уточнени“(27).
48. Клаузата, която по-специално представлява интерес в настоящото дело, е по член 88, параграф 1 от ОРЗД. Следва обаче да се разгледа накратко връзката ѝ с член 6, параграф 1, букви б) и д) от същия регламент, като това бе направено в съдебното заседание.
а) Член 6, параграф 2 от ОРЗД
49. В глава II от ОРЗД, в която се утвърждават „принципите“ за обработването на лични данни и следователно се установява общата уредба на системата, член 6 изброява в параграф 1 условията за законосъобразност на обработването. По-специално в буква а) от този параграф се посочва като условие съгласието на субекта на данните, а в буква б) — условието обработването да е необходимо за изпълнението на договор, по който субектът на данните е страна.
50. Тези условия се прибавят към условията, произтичащи от общоустановените в член 5 от ОРЗД принципи(28), конкретизирани в членове 7 —11 от ОРЗД по отношение на: съгласието (член 7, а по отношение на деца — член 8), обработването на специални категории лични данни (член 9) или отнасящи се до присъди и престъпления (член 10) и до обработването, което не изисква идентифициране (член 11).
51. Към този набор от принципи и правила могат да се добавят „по-конкретните разпоредби“, приети (или запазени в сила) от държавите членки, за да „адаптират прилагането на правилата“ на ОРЗД по отношение на два конкретни вида обработване, когато те са необходими за:
— спазването на законово задължение (член 6, параграф 1, буква в),
— изпълнението на задача от обществен интерес или при упражняването на официални правомощия (член 6, параграф 1, буква д).(29)
52. Съгласно разпоредбата въпросното „адаптиране“ се състои в това да се установят „по-конкретно специални изисквания за обработването и други мерки, за да се гарантира законосъобразно и добросъвестно обработване“, включително за „други особени случаи на обработване на данни, предвидени в глава IX“.
53. Този израз от разпоредбата не се отличава с необходимата яснота, тъй като не е лесно да се установи дали разпоредбата разрешава — подчертавам — за обработването, посочено в член 6, параграф 1, букви в) и д) — уредбата на специални положения, различни от вече посочените в глава IX, или съгласно ОРЗД последните са единствено допустимите за посочените два вида обработване.
б) Член 88, параграф 1 от ОРЗД
54. Ще повторя, че във всеки случай отворената клауза, която представлява интерес понастоящем, защото върху нея се съсредоточава вниманието на запитващата юрисдикция, е член 88, параграф 1 от ОРЗД. Припомням, че съгласно посочената разпоредба държавите членки могат да предвидят със законови разпоредби или колективни трудови договори „по-конкретни правила, за да гарантират защитата на правата и свободите по отношение на обработването на личните данни на наетите лица по трудово [и]ли служебно правоотношение“.
55. Обработването на тези лични данни може да се извършва по-специално за целите на:
— набирането на персонал, изпълнението на трудовия договор(30), управлението, планирането и организацията на работата, равенството и многообразието на работното място, здравословните и безопасни условия на труд, защитата на имуществото на работодателя или на клиента;
— упражняването и ползването на индивидуална или колективна основа на правата и облагите от заетостта; и
— прекратяването на трудовото или служебното правоотношение.
56. Разрешението да се приемат такива разпоредби предполага известен ефект на „разхармонизиране“. Националните разпоредби, допустими съгласно член 88, параграф 1 от ОРЗД, може да доведат за една или повече държави членки до въвеждането на отклонения от общия режим на ОРЗД, надхвърлящи допустимото по член 6, параграф 2 от ОРЗД „адаптиране“:
— Член 6, параграф 2 от ОРЗД оправомощава държавите членки да адаптират прилагането на някои разпоредби от самия ОРЗД.
— За сметка на това, член 88, параграф 1 от ОРЗД допуска държавите членки да предвиждат по-конкретни правила за гарантиране. Следователно става въпрос за по-интензивна нормотворческа дейност, която не е налице, когато става въпрос само за приспособяване или адаптиране на прилагането на разпоредбите на ОРЗД, чието съдържание и обхват трябва да се считат за окончателни(31).
4. Член 23 от HDSIG във връзка с ОРЗД
57. В съответствие с член 88, параграф 3 от ОРЗД Федерална република Германия уведомява Комисията, че сред правните разпоредби, приети от тази държава членка съгласно член 88, параграф 1 от ОРЗД, е член 23 от HDSIG.
58. Според мен — като становището ми по този въпрос съвпада със становището на запитващата юрисдикция и на Комисията — член 23 от HDSIG не отговаря на установеното в член 88, параграф 1 от ОРЗД условие да се „предвидят по-конкретни правила“ за защита на правата, свързани с обработването на лични данни в областта на трудовите и служебните правоотношения.
59. Както член 23, параграф 1, първо изречение от HDSIG, така и член 86, параграф 4, първо изречение от HBG само предвиждат, че личните данни на служителите и на длъжностните лица могат да бъдат обработвани за целите на трудовото правоотношение, ако това е „необходимо“ за една от следните цели:
— възникването на трудово или служебно правоотношение или — когато такова е възникнало — за изпълнението, развалянето или прекратяването на това правоотношение, или
— изпълнението на вътрешни мерки по планиране, организационни, социални и персонални мерки.
60. Строго погледнато, и двете разпоредби предвиждат като условие за обработването на лични данни на наетите лица само обстоятелството то да е необходимо за определени цели.
61. Следователно не става въпрос за разпоредба, която е много различна от посочената в член 6, параграф 1, буква б) от ОРЗД („Обработването е законосъобразно, само ако […] е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор“)(32).
62. Следователно член 23 от HDSIG възпроизвежда условие, което вече е било предвидено в член 6, параграф 1, буква б) от ОРЗД за общата законосъобразност на обработването. За сметка на това той не добавя никакво конкретно правило за защита на правата при обработването на личните данни в контекста на трудово или служебно правоотношение(33).
63. Резултатът би бил същият, ако спорната образователна дейност попадаше в обхвата на член 6, параграф 1, буква д) от ОРЗД (т.е. ако спорното обработване е необходимо за изпълнението на задача от обществен интерес или при упражняване на публичната власт)(34).
64. Както вече посочих, в хипотезата на букви в) и д), член 6, параграф 2 от ОРЗД предоставя на държавите членки възможността да запазят или въведат „по-конкретни разпоредби, […] като установят по-конкретно специални изисквания за обработването […]“.
65. Държа да подчертая, че член 23 от HDSIG не представлява „по-конкретна разпоредба“, а само позволява обработването на данните на наетите лица, когато това се окаже необходимо. Той не конкретизира условията и характеристиките на евентуалното обработване.
66. В противовес на това становище германското правителство поддържа, че е „невъзможно и неосъществимо“ да се отразят подробно многообразните форми на обработване на данните в контекста на трудовите или служебните правоотношения. Според него е достатъчна една правна норма, на която съответно могат да се основат видовете обработване, за които не се изисква по-специално правно основание(35).
67. В това отношение е достатъчно в отговор да се посочи, че колкото и да е трудна задачата, член 88, параграф 3 от ОРЗД предвижда изчерпателно, че държавите членки уведомяват Комисията „за тези разпоредби в своето право, които приема[т] съгласно параграф 1“ от същия член. Т.е. не за (основните) разпоредби, на които почиват разпоредбите, предвиждащи по-конкретни правила, а именно последните разпоредби. Уведомяването трябва да се извършва поотделно и изрично(36).
68. В заключение следва да се посочи, че член 23 от HDSIG възпроизвежда вече съдържащото се в член 88, параграф 1 от ОРЗД оправомощаване или, с други думи, отваря възможност за последващо приемане (или запазване) на по-конкретни правила.
69. Освен че сам по себе си не предвижда „по-конкретни правила“ по смисъла на член 88, параграф 1 от ОРЗД, член 23 от HDSIG не съдържа и „конкретни мерки за защита на човешкото достойнство, законните интереси и основните права на субекта на данните“.
70. Поради липсата на такива мерки член 23 от HDSIG не изпълнява условието по член 88, параграф 2 от ОРЗД за допускане на диференциращо законодателство на държавите членки в областта на трудовите и служебните правоотношения.
71. Тъй като преюдициалното запитване се отнася само до анализа на правни разпоредби, а не на колективни трудови договори, няма да се спирам на последните(37), а само на правните разпоредби.
72. Що се отнася до тези разпоредби, националният законодател не може само да предвиди, както прави член 23, параграф 5 от HDSIG, че администраторът на данни взема подходящи мерки, за да гарантира „спазването на залегналите в член 5 от ОРЗД принципи за обработването на лични данни“. Тази разпоредба е излишна, тъй като всяко обработване на данни трябва по принцип и най-малкото да отговаря на условията по член 5 от ОРЗД.
73. Член 88, параграф 2 от ОРЗД урежда приемането на мерки, осигуряващи в областта на гаранциите необходимата степен на съответствие с конкретността на мерките, приети съгласно член 88, параграф 1 от ОРЗД. Целта в крайна сметка е допустимите съгласно тази разпоредба конкретни мерки да се съпътстват съответно от достатъчно конкретни гаранции.
74. Ако се приеме, че член 23 от HDSIG съдържа по-конкретно правило съгласно член 88, параграф 1 от ОРЗД, то, що се отнася до гаранциите, изисквани по параграф 2 от този член, този член би представлявал повторение на общо са предвидените в член 5 от ОРЗД гаранции. В крайна сметка би било нарушено необходимото равновесие между конкретността на допустимите по параграф 1 разпоредби и конкретността на мерките за „защита“, които изисква член 88, параграф 2 от ОРЗД.
75. В заключение считам, че член 23 от HDSIG не може да има за основание член 88 от ОРЗД, тъй като от една страна не предвижда по-конкретни правила, а от друга страна, само повтаря общите гаранции по член 5 от ОРЗД.
5. Приложим ли е въпреки всичко член 23 от HDSIG?
76. Остава да се разгледа въпросът дали въпреки гореизложеното член 23 от HDSIG би могъл да намери приложение в националния правен ред. Както посочих по-горе, изглежда в крайна сметка това иска да установи запитващата юрисдикция.
77. Въпросът се свежда до изясняването дали разпоредбите, приети от държавите членки въз основа на отворената клауза по член 88, параграф 1 от ОРЗД, които не отговарят на изискванията по член 88, параграф 2 от ОРЗД, може да се прилагат на основание други разпоредби на ОРЗД.
78. За отговора, който се основава на извода, че член 23 от HDSIG не съдържа „по-конкретно правило“ по смисъла на член 88 от ОРЗД(38), има две възможности:
1. Член 23 от HDSIG е ирелевантен или излишен, тъй като строго погледнато не предвижда конкретни разпоредби, гарантиращи правото на наетите лица на защита на личните им данни в контекста на трудовите и служебните правоотношения.
2. В този контекст (трудови и служебни правоотношения) се прилагат пряко и главно разпоредбите на общата уредба по ОРЗД.
79. Както изтъкват австрийското и румънското правителство и Комисията, и както признават всички в съдебното заседание, различен е въпросът, че няма пречка държава членка да приложи или други разпоредби от ОРЗД, или национални разпоредби на основание член 6, параграф 2 от този регламент, които да уреждат обработването на данните на работниците и служителите по начин, който способства „да [се] адаптира[…] прилагането“ на ОРЗД.
V. Заключение
80. По изложените съображения предлагам на Съда да отговори на Verwaltungsgericht Frankfurt am Main (Административен съд Франкфурт на Майн, Германия) по следния начин:
„Член 88, параграфи 1 и 2 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните)“ трябва да се тълкува в смисъл, че:
Приета от държава членка правна разпоредба съставлява по-конкретно правило за гарантиране на защитата на правата и свободите по отношение на обработването на лични данни на наетите лица в контекста на трудово или служебно правоотношение само ако отговаря на изискванията по член 88, параграф 2 от Регламент 2016/679.
Ако тази правна разпоредба не отговаря на изискванията по член 88, параграф 2 от Регламент 2016/679, тя евентуално се прилага, само доколкото може да попада в обхвата на други разпоредби от посочения регламент или на националните разпоредби за адаптиране, посочени в член 6, параграф 2 от него“.