KOHTUJURISTI ETTEPANEK
MANUEL CAMPOS SÁNCHEZ-BORDONA
esitatud 22. septembril 2022(1)
Kohtuasi C‑34/21
Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium
menetluses osales:
Minister des Hessischen Kultusministeriums als Dienststellenleiter
(eelotsusetaotlus, mille on esitanud Verwaltungsgericht Frankfurt am Main (Frankfurdi halduskohus, Saksamaa))
Eelotsusetaotlus – Isikuandmete kaitse – Määrus (EL) 2016/679 – Isikuandmete töötlemine töösuhete kontekstis – Artikli 88 lõige 1 – Täpsemad eeskirjad – Artikli 88 lõike 2 nõuded – Piirkondlik haridussüsteem – Otseõpe videokonverentsi kaudu – Õpetajate sõnaselge nõusoleku puudumine
1. Kohtuvaidluses, milles on esitatud käesolev eelotsusetaotlus, on küsimus sisuliselt selles, kas Hesseni liidumaa (Saksamaa) ministeeriumi teenistuses olevad õpetajad peavad andma nõusoleku oma tundide edastamiseks videokonverentsi teel või kas juhul, kui nad nõusolekut ei anna, võib nende isikuandmete töötlemiseks(2) tugineda määruses (EL) 2016/679(3) ette nähtud õiguspärasele eesmärgile.
2. Eelotsusetaotlus annab Euroopa Kohtule võimaluse teha esimest korda, kui ma ei eksi, otsus isikuandmete kaitse üldmääruse artikli 88 kohta. Selle sätte kohaselt võivad liikmesriigid õigusaktide või kollektiivlepingutega näha ette täpsemad eeskirjad, et tagada õiguste ja vabaduste kaitse seoses töötajate isikuandmete töötlemisega töösuhete kontekstis.
I. Õiguslik raamistik
A. Liidu õigus. Isikuandmete kaitse üldmäärus
3. Järgmistes põhjendustes on sätestatud:
„[…]
(8) Kui käesolevas määruses on ette nähtud eeskirjade täpsustamine või piiramine liikmesriigi õigusega, võivad liikmesriigid sidususe seisukohast vajalikul määral ja liikmesriigi õiguse sätete arusaadavaks muutmiseks isikutele, kelle suhtes neid kohaldatakse, integreerida määruse elemente oma õigusesse.
[…]
(10) Selleks et tagada füüsiliste isikute järjekindel ja kõrgetasemeline kaitse ning kõrvaldada takistused isikuandmete liikumisel liidus, peaks füüsiliste isikute õiguste ja vabaduste kaitse selliste andmete töötlemisel olema kõigis liikmesriikides samal tasemel. Isikuandmete töötlemisel tuleks tagada füüsiliste isikute põhiõiguste ja -vabaduste kaitse eeskirjade järjekindel ja ühtne kohaldamine kogu liidus. Seoses isikuandmete töötlemisega juriidilise kohustuse täitmiseks, avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks peaks liikmesriikidel olema lubatud säilitada või kehtestada õigusnormid käesoleva määruse eeskirjade kohaldamise täpsustamiseks. […]
[…]
(45) Kui töödeldakse vastavalt vastutava töötleja juriidilisele kohustusele või kui töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või avaliku võimu teostamiseks, peaks töötlemise alus olema sätestatud liidu või liikmesriigi õigusaktis. Käesolevas määruses ei nõuta iga üksiku isikuandmete töötlemise toimingu reguleerimiseks eraldi õigusakti. Piisata võib õigusaktist, mille alusel tehakse mitu isikuandmete töötlemise toimingut vastavalt vastutava töötleja juriidilisele kohustusele või kui töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või avaliku võimu teostamiseks. Samuti peaks töötlemise eesmärk olema kindlaks määratud liidu või liikmesriigi õigusaktis. Lisaks võiks nimetatud õigusaktis olla sätestatud käesoleva määruse üldtingimused, millega reguleeritakse isikuandmete töötlemise seaduslikkust, kehtestatakse tingimused vastutava töötleja kindlaksmääramiseks, töötlemisele kuuluvate isikuandmete liik, asjaomased andmesubjektid, üksused, kellele võib andmeid avaldada, eesmärgi piirangud, säilitamise aeg ja muud meetmed seadusliku ja õiglase töötlemise tagamiseks. […]
[…]
(155) Liikmesriigi õiguses või kollektiivlepingutes (sealhulgas ettevõttesisesed lepingud) võib ette näha erieeskirjad, millega reguleeritakse töötajate isikuandmete töötlemist töösuhete kontekstis, eelkõige tingimused, mille kohaselt võib töösuhete kontekstis isikuandmeid töödelda töötaja nõusolekul, seoses töötajate värbamisega, töölepingu, sealhulgas õigusaktides või kollektiivlepingutes sätestatud kohustuste täitmisega, juhtimisega, töö kavandamise ja korraldamisega, võrdsuse ja mitmekesisusega töökohal, töötervishoiu ja tööohutusega ning tööhõivega seotud õiguste ja hüvitiste isikliku või kollektiivse kasutamisega ja töösuhte lõppemisega.
[…]“.
4. Artikkel 5 („Isikuandmete töötlemise põhimõtted“) näeb ette:
„1. Isikuandmete töötlemisel tagatakse, et:
a) töötlemine on seaduslik, õiglane ja andmesubjektile läbipaistev („seaduslikkus, õiglus ja läbipaistvus“);
b) isikuandmeid kogutakse täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ning neid ei töödelda hiljem viisil, mis on nende eesmärkidega vastuolus; isikuandmete edasist töötlemist avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil ei loeta artikli 89 lõike 1 kohaselt algsete eesmärkidega vastuolus olevaks („eesmärgi piirang“);
c) isikuandmed on asjakohased, olulised ja piiratud sellega, mis on vajalik nende töötlemise eesmärgi seisukohalt („võimalikult väheste andmete kogumine“);
d) isikuandmed on õiged ja vajaduse korral ajakohastatud ning et võetakse kõik mõistlikud meetmed, et töötlemise eesmärgi seisukohast ebaõiged isikuandmed kustutaks või parandataks viivitamata („õigsus“);
e) isikuandmeid säilitatakse kujul, mis võimaldab andmesubjekte tuvastada ainult seni, kuni see on vajalik selle eesmärgi täitmiseks, milleks isikuandmeid töödeldakse; isikuandmeid võib kauem säilitada juhul, kui isikuandmeid töödeldakse üksnes avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil vastavalt artikli 89 lõikele 1, eeldusel et andmesubjektide õiguste ja vabaduste kaitseks rakendatakse käesoleva määrusega ettenähtud asjakohaseid tehnilisi ja korralduslikke meetmeid („säilitamise piirang“);
f) isikuandmeid töödeldakse viisil, mis tagab isikuandmete asjakohase turvalisuse, sealhulgas kaitseb loata või ebaseadusliku töötlemise eest ning juhusliku kaotamise, hävitamise või kahjustumise eest, kasutades asjakohaseid tehnilisi või korralduslikke meetmeid („usaldusväärsus ja konfidentsiaalsus“).
2. Lõike 1 täitmise eest vastutab ja on võimeline selle täitmist tõendama vastutav töötleja („vastutus“).“
5. Isikuandmete kaitse üldmääruse artiklis 6 („Isikuandmete töötlemise seaduslikkus“) on sätestatud:
„1. Isikuandmete töötlemine on seaduslik ainult juhul, kui on täidetud vähemalt üks järgmistest tingimustest, ning sellisel määral, nagu see tingimus on täidetud:
a) andmesubjekt on andnud nõusoleku töödelda oma isikuandmeid ühel või mitmel konkreetsel eesmärgil;
b) isikuandmete töötlemine on vajalik andmesubjekti osalusel sõlmitud lepingu täitmiseks või lepingu sõlmimisele eelnevate meetmete võtmiseks vastavalt andmesubjekti taotlusele;
c) isikuandmete töötlemine on vajalik vastutava töötleja juriidilise kohustuse täitmiseks;
[…]
e) isikuandmete töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks;
f) isikuandmete töötlemine on vajalik vastutava töötleja või kolmanda isiku õigustatud huvi korral, välja arvatud juhul, kui sellise huvi kaaluvad üles andmesubjekti huvid või põhiõigused ja -vabadused, mille nimel tuleb kaitsta isikuandmeid, eriti juhul kui andmesubjekt on laps.
Esimese lõigu punkti f ei kohaldata, kui isikuandmeid töötleb avaliku sektori asutus oma ülesannete täitmisel.
2. Liikmesriigid võivad säilitada või kehtestada konkreetsemad sätted, et kohandada käesoleva määruse sätete kohaldamist seoses isikuandmete töötlemisega lõike 1 punktide c ja e täitmiseks, määrates üksikasjalikumalt kindlaks töötlemise konkreetsed nõuded ja teised meetmed, et tagada seaduslik ja õiglane töötlemine, sealhulgas teiste andmetöötluse eriolukordade jaoks, nagu see on sätestatud IX peatükis.
3. Lõike 1 punktides c ja e osutatud isikuandmete töötlemise alus kehtestatakse:
a) liidu õigusega või
b) vastutava töötleja suhtes kohaldatava liikmesriigi õigusega.
Isikuandmete töötlemise eesmärk määratakse kindlaks selles õiguslikus aluses või see on lõike 1 punktis e osutatud isikuandmete töötlemise osas vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks. See õiguslik alus võib sisaldada erisätteid, et kohandada käesoleva määruse sätete kohaldamist, sealhulgas üldtingimusi, mis reguleerivad vastutava töötleja poolt isikuandmete töötlemise seaduslikkust, töötlemisele kuuluvate andmete liiki, asjaomaseid andmesubjekte, üksuseid, kellele võib isikuandmeid avaldada, ja avaldamise põhjuseid, eesmärgi piirangut, säilitamise aega ning isikuandmete töötlemise toiminguid ja -menetlusi, sealhulgas meetmeid seadusliku ja õiglase töötlemise tagamiseks, nagu näiteks meetmed teiste andmetöötluse eriolukordade jaoks, nagu need on sätestatud IX peatükis. Liidu või liikmesriigi õigus vastab avaliku huvi eesmärgile ning on proportsionaalne taotletava õiguspärase eesmärgiga.
4. Kui isikuandmete töötlemine muul eesmärgil kui see, milleks isikuandmeid koguti, ei põhine andmesubjekti nõusolekul või liidu või liikmesriigi õigusel, mis on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede, et tagada artikli 23 lõikes 1 osutatud eesmärkide täitmine, võtab vastutav töötleja selle kindlakstegemiseks, kas muul eesmärgil töötlemine on kooskõlas eesmärgiga, mille jaoks isikuandmeid algselt koguti, muu hulgas arvesse
a) seost nende eesmärkide, mille jaoks isikuandmeid koguti, ja kavandatava edasise töötlemise eesmärkide vahel;
b) isikuandmete kogumise konteksti, eelkõige andmesubjektide ja vastutava töötleja vahelist seost;
c) isikuandmete laadi, eelkõige seda, kas töödeldakse isikuandmete eriliike vastavalt artiklile 9 või süüteoasjades süüdimõistvate kohtuotsuste ja süütegudega seotud isikuandmeid vastavalt artiklile 10;
d) kavandatava edasise töötlemise võimalikke tagajärgi andmesubjektide jaoks;
e) asjakohaste kaitsemeetmete olemasolu, milleks võivad olla näiteks krüpteerimine ja pseudonümiseerimine.“
6. Artiklis 88 („Isikuandmete töötlemine töösuhete kontekstis“) on sätestatud:
„1. Liikmesriigid võivad õigusaktide või kollektiivlepingutega ette näha täpsemad eeskirjad, et tagada õiguste ja vabaduste kaitse seoses töötajate isikuandmete töötlemisega töösuhete kontekstis, eelkõige seoses töötajate värbamisega, töölepingu, sealhulgas õigusaktides või kollektiivlepingutes sätestatud kohustuste täitmisega, juhtimisega, töö kavandamise ja korraldamisega, võrdsuse ja mitmekesisusega töökohal, töötervishoiu ja tööohutusega, tööandja või kliendi vara kaitsega ning tööhõivega seotud õiguste ja hüvitiste isikliku või kollektiivse kasutamisega ning töösuhte lõppemisega.
2. Need eeskirjad sisaldavad sobivaid ja konkreetseid meetmeid, et kaitsta andmesubjekti inimväärikust, õigustatud huve ja põhiõigusi, eelkõige seoses töötlemise läbipaistvusega, isikuandmete edastamisega kontserni või ühise majandustegevusega tegelevate ettevõtjate rühma siseselt ning järelevalvesüsteemidega töökohal.
3. Liikmesriik teavitab komisjoni hiljemalt 25. maiks 2018 vastavalt lõikele 1 vastu võetud õigusnormidest ning viivitamata kõigist hilisematest neid õigusnorme mõjutavatest muudatustest.“
B. Liikmesriigi õigus
1. Hesseni liidumaa andmekaitse ja teabevabaduse seadus(4)
7. Paragrahvis 23 on sätestatud:
„(1) Töötajate isikuandmete töötlemine töösuhte eesmärgil on lubatud, kui see on vajalik otsuse tegemiseks töölepingu sõlmimise kohta või pärast töölepingu sõlmimist selle täitmiseks, ülesütlemiseks või kokkuleppel lõpetamiseks, samuti tööalaste planeerimis-, korralduslike, sotsiaal- ja personalimeetmete võtmiseks. Sama kehtib töötajate huvide esindamiseks seadusest või valdkonna kollektiivlepingust, töötajate või teenistujate ühinguga sõlmitud kollektiivlepingust (kollektiivleping) tulenevate õiguste ja kohustuste teostamisel või täitmisel.
[…]
(4) Töötajate isikuandmete töötlemine, sealhulgas isikuandmete eriliikide töötlemine töösuhte eesmärgil, on kollektiivlepingute alusel lubatud. Seejuures peavad osapooled järgima [isikuandmete kaitse üldmääruse] artikli 88 lõiget 2.
(5) Vastutav töötleja peab võtma asjakohased meetmed, et tagada eelkõige [isikuandmete kaitse üldmääruse] artiklis 5 sätestatud isikuandmete töötlemise põhimõtete järgimine.
[…]
(8) Käesoleva seaduse mõistes on töötajad:
[…]
7. ametnikud, kellele kehtib Hesseni liidumaa avaliku teenistuse seadus,[(5)] liidumaa kohtunikud ning riigiteenistuses töötavad isikud.
[…]“.
2. Hesseni liidumaa avaliku teenistuse seadus
8. Paragrahvi 86 lõikes 4 on sätestatud:
„Teenistusandja võib koguda ametisse kandideerijate, ametnike ja endiste ametnike kohta isikuandmeid ainult niivõrd, kuivõrd see on vajalik teenistussuhte alustamiseks, täitmiseks, ülesütlemiseks või kokkuleppel lõpetamiseks, samuti korralduslike, personali- ja sotsiaalmeetmete võtmiseks, eelkõige ka personali planeerimise ja rakendamise eesmärgil, või kui seadus või teenistujate ühinguga sõlmitud kollektiivleping seda lubab […]“.
II. Faktilised asjaolud, kohtuvaidlus ja eelotsuse küsimused
9. Verwaltungsgericht Wiesbaden (Wiesbadeni halduskohus, Saksamaa), kes esitas selle eelotsusetaotluse algul, ei kirjeldanud üksikasjalikult vaidluse faktilisi asjaolusid ega vaidlusaluseid õigusnorme(6) ega menetluse keerdkäike, keskendudes pigem oma kahtluste väljendamisele õiguslike aspektide osas.
10. See kohus üksnes tuvastab, et pooled „on eriarvamusel küsimuses, kas videokonverentsi teel veebiõppe kasutuselevõtmiseks on lisaks õpilaste vanemate nõusolekule oma laste kohta või täisealiste õpilaste nõusolekule vajalik ka õpetaja nõusolek või kas sel juhul toimub andmetöötlus vastupidi HDSIG § 23 lõike 1 esimese lause alusel […]“.
11. Eelkõige kahtleb ta, kas HDSIG § 23 lõike 1 esimene lause on töötajate andmete töötlemise suhtes „täpsemad eeskirjad“ isikuandmete kaitse üldmääruse artikli 88 tähenduses. Tema hinnangul ei vasta see säte isikuandmete kaitse üldmääruse artikli 88 lõike 2 nõuetele, kuna:
– see viitab töötajate või ametnike andmete töötlemise õigusliku alusena ainult „vajalikkusele“;
– igasugune töötajate andmete töötlemine, mis läheb kaugemale, kui on töölepingu alusel üksnes vajalik, peab toimuma pärast huvide kaalumist, mis ületab lihtsalt vajalikku, mida ei ole riigisiseses õiguses ette nähtud.
12. Eelotsusetaotluse esitanud kohus kinnitab, et ta ei jaga Bundesarbeitsgerichti (Saksamaa Liitvabariigi kõrgeim töökohus) kohtupraktika seisukohta, mis käsitleb HDSIG(7) § 23 lõike 1 esimese lausega samaväärse föderaalseadusesätte kooskõla isikuandmete kaitse üldmääruse artikliga 88.
13. Asja menetlev kohus leiab seevastu, et:
– „vajalikkuse“ põhimõtte lisamine riigisisestesse õigusaktidesse ei ole siiski isikuandmete kaitse üldmääruse artikli 88 lõike 2 nõuete täpsustamine;
– viide sellele, et vastutav töötleja peab täitma konkreetselt isikuandmete kaitse üldmääruse artikli 5 põhimõtteid, ei vasta samuti nendele nõuetele, sest artikkel 5 ei sisalda mingit konkreetset töötajate kaitset;
– kuigi seadusandja on isikuandmete kaitse üldmääruse artikli 88 lõiget 2 põhimõtteliselt arvesse võtnud, nõudes selle täitmist kollektiivlepingutes, ei ole ta lõikes 2 loetletud nõudeid siiski analüüsinud ega täitnud seaduses ega vastava õigusakti seletuskirjas.
14. Neil asjaoludel esitas see kohus Euroopa Kohtule järgmised eelotsuse küsimused:
„1. Kas [isikuandmete kaitse üldmääruse] artikli 88 lõiget 1 tuleb tõlgendada nii, et teatud õigusnorm peab selleks, et seda saaks käsitada täpsema eeskirjana, mille eesmärk on tagada õiguste ja vabaduste kaitse seoses töötajate isikuandmete töötlemisega töösuhete kontekstis isikuandmete kaitse üldmääruse artikli 88 lõike 1 tähenduses, vastama isikuandmete kaitse üldmääruse artikli 88 lõikes 2 sätestatud nõuetele?
2. Kas riigisisest õigusnormi, mis ilmselgelt ei vasta [isikuandmete kaitse üldmääruse] artikli 88 lõikes 2 sätestatud nõuetele, saab sellest hoolimata jätkuvalt kohaldada?“
III. Menetlus Euroopa Kohtus
15. Eelotsusetaotlus registreeriti Euroopa Kohtus 20. jaanuaril 2021.
16. Algse vaidluse lahendamise pädevus anti alates 1. detsembrist 2021(8) Verwaltungsgericht Frankfurt am Mainile (Frankfurdi halduskohus, Saksamaa), kus asja menetlemine jätkus.
17. Kirjalikud seisukohad on esitanud Saksamaa, Austria ja Rumeenia valitsus ning Euroopa Komisjon. Nad kõik ning õpetajate esinduskogu vastasid kirjalikult küsimustele, mille Euroopa Kohus esitas neile enne kohtuistungit.
18. Kohtuistungil, mis toimus 30. juunil 2022, osalesid õpetajate esinduskogu, Hesseni liidumaa haridus- ja kultuuriministeerium, Saksamaa valitsus ja komisjon.
IV. Õiguslik analüüs
A. Eelotsusetaotluse vastuvõetavus
19. Saksamaa valitsus väitis oma kirjalikes seisukohtades, et eelotsusetaotlus on vastuvõetamatu, kuna püüdes välja selgitada, kas videokonverentsi teel õppetöö otseülekannete edastamisega olemuslikult seotud isikuandmete töötlemine kuulub HDSIG § 23 lõike 1 kohaldamisalasse, ei selgita eelotsusetaotluse esitanud kohus põhjusi, miks on välistatud võimalus, et selline töötlemine on lubatud õpetaja nõusolekul.
20. Kohtuistungil täpsustas Saksamaa valitsus seda vastuväidet osaliselt, tunnistades, et Euroopa Kohus peaks otsuse tegema (nimelt, et eelotsusetaotlus on vastuvõetav), kui asjaomased õpetajad ei oleks andmetöötlusega nõustunud.
21. Igal juhul saab Euroopa Kohus keelduda liikmesriigi kohtu esitatud eelotsusetaotlusele vastamast vaid siis, kui on ilmne, et taotletud liidu õiguse tõlgendusel ei ole põhikohtuasja faktiliste asjaolude või esemega mingit seost, või ka juhul, kui probleem on hüpoteetiline või kui Euroopa Kohtule ei ole teada vajalikke faktilisi või õiguslikke asjaolusid, et anda talle esitatud küsimustele tarvilik vastus.(9)
22. Ühtegi neist asjaoludest ei ilmne käesolevas eelotsusetaotluses, milles on ülekaalus selle asjakohasuse eeldus.(10) Selle aluseks on eeldus, et mitte kõik õpetajad ei ole tingimata nõus oma isikuandmete töötlemisega, mistõttu säilib huvi kindlaks määrata, kas õigusnorm,(11) mis võimaldab seda andmete töötlemist ilma andmesubjekti nõusolekuta, on liidu õigusega kooskõlas.
23. Eelotsuse küsimus piirdub just selle kindlakstegemisega, kas õigusnormid, mis toetavad õpetajate isikuandmete töötlemist ilma nende nõusolekuta, vastavad isikuandmete kaitse üldmääruse artikli 88 lõigetes 1 ja 2 sätestatud tingimustele või mitte. Seega on vaidluse ja nende liidu õigusnormide vahel, mille tõlgendamist taotletakse, vaieldamatult piisav seos.
B. Sisulised küsimused
1. Sissejuhatavad märkused
24. Esimese eelotsuse küsimusega soovib eelotsusetaotluse esitanud kohus teada, kas selleks, et õigusnorm oleks isikuandmete kaitse üldmääruse artikli 88 lõike 1 tähenduses „täpsem eeskiri“, peab see vastama artikli 88 lõike 2 nõuetele.
25. Isikuandmete kaitse üldmääruse artikli 88 tõlgendamine viib järeldusele, et selle artikli lõikes 1 osutatud „täpsemad eeskirjad“ peavad olema kooskõlas lõikes 2 sätestatud nõuetega.
26. Isikuandmete kaitse üldmääruse artikli 88 lõike 2 kohaselt peavad „need eeskirjad“ (st lõikes 1 osutatud täpsemad eeskirjad) sisaldama „sobivaid ja konkreetseid meetmeid“, et kaitsta töötajate inimväärikust, õigustatud huve ja põhiõigusi. Nendes eeskirjades tuleb pöörata erilist tähelepanu andmete töötlemise läbipaistvusele, andmete edastamisele kontserni või ettevõtjate rühma siseselt ning järelevalvesüsteemidele töökohal.
27. Seega on isikuandmete kaitse üldmääruse artikli 88 nende kahe lõigu vahel ilmselge seos: teine täpsustab siduvalt(12) selliste täpsemate eeskirjade sisu, mida liikmesriigid võivad esimese lõigu alusel töösuhete kontekstis vastu võtta.
28. Sellele eelotsuse küsimusele vastamine ei tekita seega suuremaid raskusi: isikuandmete kaitse üldmääruse artiklit 88 tuleb tõlgendada nii, et õigusnorm, mida tahetakse käsitada „täpsema eeskirjana“ selle artikli lõike 1 tähenduses, „peab vastama […] lõikes 2 sätestatud nõuetele“, kui kasutada eelotsusetaotluse esitanud kohtu sõnastust.
29. Ei ole tõenäoline, et sellele järeldusele jõudmiseks oleks eelotsusetaotluse esitanud kohtul olnud vaja Euroopa Kohtu abi. Seepärast tuleb esimese eelotsuse küsimuse tõelist tähendust vaadelda teise eelotsuse küsimuse kontekstis. Selles küsitakse, kas riigisisest õigusnormi, mis „ei vasta [isikuandmete kaitse üldmääruse] artikli 88 lõikes 2 sätestatud nõuetele“(13), saab jätkuvalt kohaldada.
30. Sellest vaatenurgast (mis on eelotsusetaotluse vaatenurk) hõlmab arutelu küsimust, kas liikmesriikide õigusnormidele, mis on vastu võetud isikuandmete kaitse üldmääruse artikli 88 lõike 1 alusel, kuid ei ole kooskõlas artikli 88 lõikega 2, võib kohaldada isikuandmete kaitse üldmääruse teiste sätete kaitset. Eelkõige selle määruse teisi avaklausleid, näiteks artikli 6 lõiget 2.
31. Eelotsusetaotluse esitanud kohtu kaks küsimust on omavahel niivõrd põimunud, et Austria valitsus ja komisjon kalduvad andma neile ühe ühise vastuse; nõustun selle käsitusega ja lähtun sellest.
2. Isikuandmete kaitse üldmääruse artikkel 88 ja haridustöötajate avalik teenistus
32. Eelotsusetaotluse esitanud kohus eeldab, et riigisiseste andmekaitse-eeskirjade osas on õpetajate esinduskogus esindatud õpetajate ning Hesseni liidumaa haridus- ja kultuuriministeeriumi vahel töösuhe.
33. See eeldus on kooskõlas HDSIGga, milles on töötajate isikuandmete töötlemise reguleerimisel kvalifitseeritud selle seaduse tähenduses töötajateks ametnikud, kelle suhtes kehtib HBG, sealhulgas õpetajad.
34. Seega ei kahtle asja menetlev kohus kordagi, kas isikuandmete kaitse üldmääruse artikkel 88 on kohaldatav liidumaa töötajatele, kes töötavad avalikus teenistuses õpetajana.
35. Kohtuasja pooled ja menetlusse astujad, kellele Euroopa Kohus selle kohta küsimusi esitas, ei ole samuti seda eeldust kahtluse alla seadnud. Kõik on ühel meelel selles, et õpetaja töökoht avalikus teenistuses ei jää isikuandmete kaitse üldmääruse artikli 88 kohaldamisalast välja.
36. Mulle näib, et selline lähenemine on õige ja seda võib kasutada isikuandmete kaitse üldmääruse artikli 88 ulatuse analüüsimisel, kui selles on viidatud „kaitse[le] seoses töötajate isikuandmek töötlemisega töösuhete kontekstis“.
37. Nagu rõhutas Saksamaa valitsus, kuuluvad töötajate kategooriasse laiemas tähenduses loomulikult liidumaa teenistuses olevad õpetajatest ametnikud, kelle huve esindab õpetajate esinduskogu.
38. Lahendus, mille ma välja pakun, võib olla analoogia alusel inspireeritud Euroopa Kohtu praktikast töösuhte(14) ja töötajate mõiste kohta seoses nende vaba liikumisega ja endise EÜ artikli 39 lõike 4 (nüüd ELTL artikli 45 lõige 4) kohaldamatusega avalikus teenistuses töötamise suhtes.
39. Selle, täidetava ülesande funktsionaalset aspekti rõhutava kohtupraktika kohaselt:
– tuleb avaliku halduse mõistet selle sätte tähenduses tõlgendada ja kohaldada kogu liidus ühetaoliselt ning seda ei saa seega jätta täielikult liikmesriikide otsustada;
– on ELTL artikli 45 lõikes 4 silmas peetud ametikohti, mis eeldavad otsest või kaudset osalemist avaliku võimu teostamises ja ülesannetes, mille eesmärk on kaitsta riigi ja teiste avalike üksuste üldisi huve.(15)
40. Kuna ametnikest õpetajad kui sellised ei osale avaliku võimu teostamises kitsas tähenduses, vaid pigem osutavad hariduslikku laadi teenuseid,(16) mis sarnanevad teistele eraõiguslikele asutustele või ettevõtjatele osutatava teenusega, võib neid kvalifitseerida „töötajateks“ üldiselt ja sellest tulenevalt ka andmekaitse valdkonnas.
41. Vastasel juhul, nagu Austria valitsus rõhutas, koheldaks ebavõrdselt selliseid sisuliselt samaväärseid olukordi nagu need, mis materiaalselt määratlevad õpetajaskonna seisundi avalikus teenistuses ja erasektoris. See oleks seda tõsisem, kuna – nagu väitis komisjon – mõiste „avalik teenistus“ ei ole liidus ühtlustatud, mistõttu sõltuks erineva tõlgenduse korral isikuandmete kaitse üldmääruse artikli 88 kohaldamisala riigisisesest õigusest.
3. Isikuandmete kaitse üldmääruse kaitseklauslid
42. Nagu rõhutas kohtujurist Bobek kohtuasjas Fashion ID(17), muutus direktiivi 95/46/EÜ(18) asendamisel isikuandmete kaitse üldmäärusega esiteks fundamentaalselt selle õigusliku instrumendi laad, mis reguleerib füüsiliste isikute kaitset isikuandmete töötlemisel.
43. See õigusakt ei ole enam direktiiv (st õigusnorm, millega kehtestatakse tulemuse saavutamise kohustus, jättes vormi ja meetodid selle riigi ametiasutuste valida), vaid määrus. Viimane, mis on tervikuna siduv ja vahetult kohaldatav kõikides liikmesriikides, ei luba põhimõtteliselt – kui seda ei ole sõnaselgelt lubatud – riigisiseste õigusnormidega selle sisu üle võtta (või korrata).(19)
44. Kuigi isikuandmete kaitse üldmäärus läks direktiiviga 95/46(20) taotletud ühtlustamisest kaugemale, tuli liidu seadusandjal seetõttu, et isikuandmeid, mille töötlemist tuleb kaitsta(21), tekib praktiliselt kõigis inimtegevuse valdkondades, võimaldada liikmesriikidel:
– integreerida mõned isikuandmete kaitse üldmääruse osad oma riigisisesesse õigusesse, kui selles määruses on ette nähtud, et selle eeskirju täpsustatakse või piiratakse liikmesriikide õigusega;
– säilitada või kehtestada õigusnorme isikuandmete kaitse üldmääruse eeskirjade kohaldamise täpsustamiseks.(22)
45. Kuigi isikuandmete kaitse üldmääruse eesmärk on tagada kogu liidus kaitsenormide järjekindel ja ühtne kohaldamine ning kõrvaldada takistused isikuandmete liidusisesel liikumisel,(23) ei saanud Euroopa seadusandja jätta tunnistamata, nagu rõhutas kohtujurist Richard de la Tour, et tegelikkus on keerulisem: kuigi isikuandmete kaitse üldmäärus on valdkonnaülene, ei saanud selles ette näha isikuandmete kaitse kõiki võimalikke mõjualasid niisugustes valdkondades nagu tarbija-, konkurentsi- või tööõigus.(24)
46. Sellega on seletatav, et isikuandmete kaitse üldmäärus annab liikmesriikidele võimaluse kehtestada täiendavaid riigisiseseid õigusnorme, mis on rangemad või näevad ette erandeid. Liikmesriikidel on nende sätete kohaldamise viisi osas kaalutlusruum („kaitseklauslid“).(25)
47. Seda liiki klauslite suhteline paljusus on kahjustanud isikuandmete kaitse täielikku ühtlustamist.(26) Nagu komisjon on tunnistanud, kuna isikuandmete kaitse üldmääruse kohaselt on liikmesriigid kohustatud mõnes valdkonnas võtma vastu õigusaktid, samas kui teistes valdkondades on neile antud võimalus isikuandmete kaitse üldmääruse eeskirju täpsustada, valitseb selle tõttu „teatav killustatus, mis tuleneb eelkõige valikuliste täpsustamisvõimaluste laialdasest kasutamisest“(27).
48. Konkreetselt käesolevas kohtuasjas oluline säte on isikuandmete kaitse üldmääruse artikli 88 lõige 1. Tuleb siiski kokkuvõtlikult analüüsida selle sätte suhet sama määruse artikli 6 lõike 2 punktidega b ja e, mida kohtuistungil ka tehti.
a) Isikuandmete kaitse üldmääruse artikli 6 lõige 2
49. Isikuandmete kaitse üldmääruse II peatükis, milles on sätestatud „põhimõtted“, mille alusel isikuandmeid töödeldakse ja mis kujundavad seega kogu süsteemi üldist ülesehitust, on artikli 6 lõikes 1 loetletud töötlemise seaduslikkuse tingimused. Eelkõige viidatakse viimati nimetatud lõike punktis a andmesubjekti nõusolekule ja punktis b sellele, et töötlemine on vajalik tema osalusel sõlmitud lepingu täitmiseks.
50. Need tingimused lisanduvad tingimustele, mis tulenevad põhimõtetest, mis on sätestatud isikuandmete kaitse üldmääruse artiklis 5 üldiselt(28) ja mida on täpsustatud isikuandmete kaitse üldmääruse artiklites 7–11 seoses nõusolekuga (artikkel 7 ja laste kohta artikkel 8), isikuandmete eriliikide töötlemisega (artikkel 9) või seoses süüteoasjades süüdimõistvate kohtuotsuste ja süütegudega (artikkel 10) ning töötlemisega, mis ei nõua isiku tuvastamist (artikkel 11).
51. Sellele põhimõtete ja eeskirjade kogumile võib lisada „täpsemad eeskirjad“, mille on liikmesriigid kehtestanud (või säilitanud), et vastavalt isikuandmete kaitse üldmääruse artikli 6 lõikele 2 „kohandada [isikuandmete kaitse üldmääruse] sätete kohaldamist“ seoses kahe konkreetse töötlemisega, kui need on vajalikud:
– juriidilise kohustuse täitmiseks (artikli 6 lõike 1 punkt c);
– avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks (artikli 6 lõike 1 punkt e).(29)
52. See „kohandamine“, nagu on artiklis lisatud, seisneb selles, et määratakse „üksikasjalikumalt kindlaks töötlemise konkreetsed nõuded ja teised meetmed, et tagada seaduslik ja õiglane töötlemine“, sealhulgas „teiste andmetöötluse eriolukordade jaoks, nagu see on sätestatud IX peatükis“.
53. Selle artikli viimati nimetatud väljendis ei ole soovitavat selgust, sest ei ole lihtne teada, kas sellega antakse luba – rõhutan, et artikli 6 lõike 1 punktides c ja e osutatud töötlemise eesmärgil – reguleerida muid spetsiifilisi olukordi peale nende, millele on juba osutatud IX peatükis, või kas seal nimetatud olukorrad on ainsad, milles on need töötlemised isikuandmete kaitse üldmäärusega lubatud.
b) Isikuandmete kaitse üldmääruse artikli 88 lõige 1
54. Kordan, et igal juhul on kaitseklausel, mis on käesoleval juhul oluline, kuna seda on asja menetlev kohus silmas pidanud, isikuandmete kaitse üldmääruse artikli 88 lõige 1. Tuletan meelde, et selle sisu järgi võivad liikmesriigid „õigusaktide või kollektiivlepingutega ette näha täpsemad eeskirjad, et tagada õiguste ja vabaduste kaitse seoses töötajate isikuandmete töötlemisega töösuhete kontekstis“.
55. Selliseid isikuandmeid võib töödelda eelkõige järgmistel eesmärkidel:
– töötajate värbamine, töölepingu täitmine(30), töö juhtimine, kavandamine ja korraldamine, võrdne kohtlemine ja mitmekesisus töökohal, töötervishoid ja tööohutus, tööandjate ja klientide vara kaitse;
– tööhõivega seotud õiguste ja hüvitiste isiklik või kollektiivne kasutamine ning
– töösuhte lõpetamine.
56. Loa andmisel nende sätete vastuvõtmiseks on teatav „ebaühtlustav“ mõju. Isikuandmete kaitse üldmääruse artikli 88 lõikega 1 lubatud riigisisesed eeskirjad võivad ühe või mitme liikmesriigi jaoks tähendada isikuandmete kaitse üldmääruse üldises süsteemis erinevuste kehtestamist, mis lähevad kaugemale isikuandmete kaitse üldmääruse artikli 6 lõikes 2 lubatud pelgast „kohandamise“ funktsioonist:
– isikuandmete kaitse üldmääruse artikli 6 lõige 2 annab liikmesriikidele õiguse kohandada isikuandmete kaitse üldmääruse enda teatavate sätete kohaldamist;
– isikuandmete kaitse üldmääruse artikli 88 lõikega 1 on seevastu liikmesriikidel lubatud kehtestada konkreetsemad tagatise eeskirjad. Tegemist on seega intensiivsema õigusloomega, mida ei toimu, kui lihtsalt kohandatakse või tugevdatakse isikuandmete kaitse üldmääruse nende sätete kohaldamist, mille sisu ja ulatust tuleb pidada lõplikuks.(31)
4. HDSIG § 23 koostoimes isikuandmete kaitse üldmäärusega
57. Vastavalt isikuandmete kaitse üldmääruse artikli 88 lõike 3 ettekirjutustele teatas Saksamaa Liitvabariik komisjonile, et selle liikmesriigi poolt isikuandmete kaitse üldmääruse artikli 88 lõike 1 alusel vastu võetud õigusaktide hulgas on HDSIG § 23.
58. Olen arvamusel, mis langeb selles punktis kokku eelotsusetaotluse esitanud kohtu ja komisjoni seisukohaga, et HDSIG § 23 ei vasta tingimusele, et isikuandmete töötlemisega seotud õiguste kaitseks töösuhete kontekstis „kehtestatakse täpsemad eeskirjad“, nagu on ette nähtud isikuandmete kaitse üldmääruse artikli 88 lõikes 1.
59. Nii HDSIG § 23 lõike 1 esimeses lauses kui ka HBG § 86 lõike 4 esimeses lauses on üksnes sätestatud, et töötajate ja ametnike isikuandmeid võib töödelda töösuhte eesmärgil, kui see on „vajalik“ ühel neist eesmärkidest:
– töösuhete loomise või lõpetamise otsuse tegemiseks või pärast töösuhte loomist selle täitmiseks, ülesütlemiseks või kokkuleppel lõpetamiseks või
– asutusesiseste tööalaste planeerimis-, korralduslike, sotsiaal- ja personalimeetmete võtmiseks.
60. Need mõlemad õigusnormid seavad töötajate isikuandmete töötlemise sõna otseses mõttes sõltuvusse üksnes asjaolust, et see on teatud eesmärkidel vajalik.
61. Seega ei ole see väga erinev sellest, mis on ette nähtud isikuandmete kaitse üldmääruse artikli 6 lõike 1 punktis b („Isikuandmete töötlemine on seaduslik ainult juhul, kui […] isikuandmete töötlemine on vajalik andmesubjekti osalusel sõlmitud lepingu täitmiseks või lepingu sõlmimisele eelnevate meetmete võtmiseks vastavalt andmesubjekti taotlusele“).(32)
62. HDSIG § 23 kordab seega tingimust, mis on isikuandmete kaitse üldmääruse artikli 6 lõike 1 punktis b isikuandmete töötlemise üldise lubatavuse puhul juba nõutav. Seevastu ei sisalda see ühtegi erinormi, mille eesmärk oleks kaitsta töösuhete kontekstis isikuandmete töötlemisega seotud õigusi.(33)
63. Samale tulemusele jõuaks ka juhul, kui kõnealune õppetegevus peaks kuuluma isikuandmete kaitse üldmääruse artikli 6 punkti e alapunkti 1 kohaldamisalasse (st kui vaidlusalune andmete töötlemine oleks vajalik avalikes huvides oleva ülesande täitmiseks või avaliku võimu teostamiseks).(34)
64. Punktide c ja e puhul annab isikuandmete kaitse üldmääruse artikli 6 lõige 2 liikmesriikidele õiguse säilitada või kehtestada „konkreetsemad sätted, […] määrates üksikasjalikumalt kindlaks töötlemise konkreetsed nõuded […]“.
65. Rõhutan, et HDSIG § 23 ei ole „konkreetsem säte“, vaid ainult lubab töötajate andmeid töödelda, kui see on vajalik. See ei lasku sellise võimaliku töötlemise konkreetsete tingimuste ja nõuete üksikasjadesse.
66. Saksamaa valitsus väidab vastupidi sellele seisukohale, et oleks „võimatu ja teostamatu“ kajastada mitmesugust andmete töötlemist töösuhete kontekstis üksikasjalikult. Tema hinnangul piisab õigusnormidest, millel põhinevad vajaduse korral töötlemistoimingud, mis ei nõua konkreetsemat õiguslikku alust.(35)
67. Siinkohal piisab sellest, kui vastata, et kui raske see ka ei oleks, on isikuandmete kaitse üldmääruse artikli 88 lõige 3 ammendav, nähes ette, et liikmesriigid teavitavad komisjoni „vastavalt [sama artikli] lõikele 1 vastu võetud õigusnormidest“. See tähendab, mitte (alus)normidest, millel põhinevad sätted, milles on ette nähtud konkreetsemad sätted, vaid just nendest konkreetsematest sätetest. Teatamine peab toimuma eraldi ja sõnaselgelt.(36)
68. Kokkuvõttes tuleb märkida, et HDSIG §-s 23 korratakse isikuandmete kaitse üldmääruse artikli 88 lõikes 1 juba sisalduvat volitust või teisisõnu antakse võimalus kehtestada edaspidi (või säilitada) täpsemaid eeskirju.
69. Lisaks asjaolule, et HDSIG § 23 iseenesest ei näe ette „täpsemaid eeskirju“ isikuandmete kaitse üldmääruse artikli 88 lõike 1 tähenduses, ei sisalda see ka „sobivaid ja konkreetseid meetmeid, et kaitsta andmesubjekti inimväärikust, õigustatud huve ja põhiõigusi“.
70. Kuna HDSIGs ei ole selliseid meetmeid võetud, ei vasta HDSIG § 23 isikuandmete kaitse üldmääruse artikli 88 lõikes 2 sätestatud tingimusele selleks, et liikmesriikidel oleks lubatud võtta vastu eristavaid õigusnorme töösuhete kontekstis.
71. Kuna eelotsusetaotlus piirdub ainult õigusnormide, mitte kollektiivlepingute põhjaliku analüüsimisega, ei pööra ma tähelepanu viimastele,(37) vaid ainult õigusnormidele.
72. Mis nendesse sätetesse puutub, siis ei saa liikmesriigi seadusandja piirduda sellega, nagu seda teeb HDSIG § 23 lõige 5, et näeb ette, et vastutav töötleja võtab asjakohased meetmed, et tagada isikuandmete kaitse üldmääruse „artiklis 5 sätestatud isikuandmete töötlemise põhimõtete järgimine“. See säte on üleliigne, kuna andmete töötlemine peab põhimõtteliselt ja miinimumina vastama isikuandmete kaitse üldmääruse artikli 5 tingimustele.
73. Isikuandmete kaitse üldmääruse artikli 88 lõige 2 käsitleb selliste meetmete kehtestamist, mis tagavad piisava vastavuse isikuandmete kaitse üldmääruse artikli 88 lõike 1 alusel võetud meetmetele. Lõppkokkuvõttes tahetakse, et viimati nimetatud sättega lubatud eripärale oleks vastukaaluks vajaduse korral nõuetekohaselt ette nähtud selle asjakohase eripäraga tagatised.
74. Kui nõustuda sellega, et HDSIG § 23 sisaldab erinorme isikuandmete kaitse üldmääruse artikli 88 lõike 1 alusel, kordab see seeläbi viimati nimetatud artikli lõikes 2 nõutud tagatisi, mis on üldjuhul ette nähtud isikuandmete kaitse üldmääruse artiklis 5. Kokkuvõttes katkeks vajalik tasakaal lõikes 1 lubatud normide eripära ja isikuandmete kaitse üldmääruse artikli 88 lõikega 2 taotletud „kaitsemeetmete“ eripära vahel.
75. Kokkuvõttes leian, et HDSIG § 23 ei saa põhineda isikuandmete kaitse üldmääruse artiklil 88. Esiteks seetõttu, et ei ole ette nähtud täpsemaid eeskirju, teiseks seetõttu, et see piirdub isikuandmete kaitse üldmääruse artiklis 5 ette nähtud üldiste tagatiste kordamisega.
5. Kas HDSIG § 23 on siiski kohaldatav?
76. Tuleb veel hinnata, kas eeltoodule vaatamata võiks HDSIG § 23 olla liikmesriigi õiguskorras kohaldatav. Nagu ma eespool märkisin, näib see olevat lõppkokkuvõttes eelotsusetaotluse esitanud kohtu huvides.
77. Küsimus on selles, kas norme, mille võtavad liikmesriigid vastu isikuandmete kaitse üldmääruse artikli 88 lõike 1 kaitseklausli alusel ja mis ei vasta selle artikli 88 lõike 2 nõuetele, saab kohaldada isikuandmete kaitse üldmääruse muude sätete alusel.
78. Vastuse, mille eeldus on, et HDSIG § 23 ei sisalda „täpsemaid eeskirju“ isikuandmete kaitse üldmääruse artikli 88 tähenduses,(38) võib esitada kahel viisil:
– HDSIG § 23 muutub ebaoluliseks või üleliigseks, kuna selles ei ole ette nähtud otseses mõttes erisätteid, mis tagaksid töötajate õiguse nende isikuandmete kaitsele töösuhete kontekstis;
– selles valdkonnas (töösuhted) tuleb kohaldada otseselt ja peamiselt isikuandmete kaitse üldmääruse ühise korra sätteid.
79. Teine küsimus on see, et – nagu väitsid Austria ja Rumeenia valitsus lisaks komisjonile ja nagu kohtuistungil kõik tunnistasid – miski ei takista liikmesriigil rakendada kas isikuandmete kaitse üldmääruse muid sätteid või selle määruse artikli 6 lõike 2 alusel riigisiseseid eeskirju, mis reguleerivad töötajate isikuandmete töötlemist viisil, mis aitab kaasa isikuandmete kaitse üldmääruse „kohaldamise kohandamisele“.
V. Ettepanek
80. Eeltoodut arvestades teen Euroopa Kohtule ettepaneku vastata Verwaltungsgericht Frankfurt am Mainile (Frankfurdi halduskohus, Saksamaa) järgmiselt:
Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) artikli 88 lõikeid 1 ja 2 tuleb tõlgendada nii, et
liikmesriigi poolt vastu võetud õigusnorm kujutab endast täpsemat eeskirja töötajate õiguste ja vabaduste kaitse tagamiseks seoses töötajate isikuandmete töötlemisega üksnes siis, kui see vastab määruse 2016/679 artikli 88 lõikes 2 sätestatud nõuetele.
Kui see õigusnorm ei vasta määruse 2016/679 artikli 88 lõikes 2 sätestatud nõuetele, kohaldatakse seda vajaduse korral ainult niivõrd, kuivõrd see võib kuuluda selle määruse muude sätete või selle artikli 6 lõikes 2 osutatud riigisiseste kohandusnormide kohaldamisalasse.