JULKISASIAMIEHEN RATKAISUEHDOTUS
MANUEL CAMPOS SÁNCHEZ-BORDONA
22 päivänä syyskuuta 2022 (1)
Asia C-34/21
Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium
jossa asian käsittelyyn osallistuu
Minister des Hessischen Kultusministeriums als Dienststellenleiter
(Ennakkoratkaisupyyntö – Verwaltungsgericht Frankfurt am Main (Frankfurt am Mainin hallintotuomioistuin, Saksa))
Ennakkoratkaisukysymys – Henkilötietojen suoja – Asetus (EU) 2016/679 – Henkilötietojen käsittely työsuhteen yhteydessä – 88 artiklan 1 kohta – Yksityiskohtaisempi sääntö – 88 artiklan 2 kohtaan sisältyvät vaatimukset – Alueellinen koulujärjestelmä – Videoneuvottelun kautta suoratoistona annettava opetus – Opetushenkilöstön nimenomaisen suostumuksen puuttuminen
1. Tämän ennakkoratkaisupyynnön taustalla olevassa oikeusriidassa selvitetään lähinnä, onko Hessenin osavaltion (Saksa) ministeriön palveluksessa olevien opettajien annettava suostumuksensa siihen, että heidän opetustaan lähetetään videoneuvottelun kautta, tai jos he eivät anna suostumustaan, voiko heidän henkilötietojensa käsittely(2) perustua johonkin asetuksessa (EU) 2016/679(3) säädettyyyn oikeutettuun tavoitteeseen.
2. Ennakkoratkaisupyyntö antaa unionin tuomioistuimelle tilaisuuden lausua ensimmäisen kerran – ellen erehdy – yleisen tietosuoja-asetuksen 88 artiklasta. Kyseisen säännöksen mukaan jäsenvaltiot voivat antaa lakisääteisesti tai työehtosopimuksilla yksityiskohtaisempia sääntöjä työntekijöiden henkilötietojen käsittelystä työsuhteen yhteydessä oikeuksien ja vapauksien suojan varmistamiseksi.
I Asiaa koskevat oikeussäännöt
A Unionin oikeus. Yleinen tietosuoja-asetus
3. Asetuksen johdanto-osan perustelukappaleissa todetaan seuraavaa:
”– –
(8) Kun tässä asetuksessa säädetään täsmennyksistä tai rajoituksista, joita jäsenvaltioiden lainsäädännössä voidaan tehdä sen sääntöihin, jäsenvaltiot voivat – siinä määrin kuin johdonmukaisuus ja kansallisten säännösten ymmärrettävyys niille, joihin niitä sovelletaan, edellyttävät – sisällyttää tämän asetuksen osia kansalliseen lainsäädäntöönsä.
– –
(10) Jotta voitaisiin varmistaa yhdenmukainen ja korkeatasoinen luonnollisten henkilöiden suojelu ja poistaa henkilötietojen liikkuvuuden esteet unionissa, luonnollisten henkilöiden oikeuksien ja vapauksien suojelun tason näiden tietojen käsittelyssä olisi oltava vastaava kaikissa jäsenvaltioissa. Luonnollisten henkilöiden perusoikeuksien ja -vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen olisi varmistettava kaikkialla unionissa. Henkilötietojen käsittelyn lakisääteisen velvoitteen noudattamiseksi tai yleisen edun vuoksi toteutettavan tehtävän tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi jäsenvaltioiden olisi voitava pitää voimassa tai ottaa käyttöön kansallisia säännöksiä, joilla tämän asetuksen sääntöjen soveltamista voitaisiin täsmentää entisestään. – –
– –
(45) Kun käsittely tapahtuu rekisterinpitäjää koskevan lakisääteisen velvoitteen mukaisesti tai kun se on tarpeen yleisen edun vuoksi toteutettavan tehtävän tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi, käsittelyllä olisi oltava perusta unionin oikeudessa tai jäsenvaltion lainsäädännössä. Tässä asetuksessa ei edellytetä, että kaikkia yksittäisiä tiedonkäsittelytilanteita varten olisi olemassa erityislaki. Useiden käsittelytoimien perustana oleva yksi laki voi olla riittävä käsittelyn perustuessa rekisterinpitäjän lakisääteisen velvoitteeseen tai jos käsittely on tarpeen yleisen edun vuoksi toteutettavan tehtävän suorittamiseksi tai julkisen vallan käyttämiseksi. Käsittelyn tarkoitus olisi niin ikään määriteltävä unionin oikeudessa tai jäsenvaltion lainsäädännössä. Kyseisessä oikeudessa tai lainsäädännössä voitaisiin myös täsmentää tässä asetuksessa säädettyjä yleisiä edellytyksiä, jotka koskevat henkilötietojen käsittelyn lainmukaisuutta sekä tarkat vaatimukset, joilla määritetään rekisterinpitäjä, käsiteltävien henkilötietojen tyyppi, asianomaiset rekisteröidyt, yhteisöt, joille henkilötietoja voidaan luovuttaa, tarkoituksen rajoitukset, säilyttämisaika ja muut toimenpiteet, joilla varmistetaan laillinen ja asianmukainen käsittely. – –
– –
(155) Jäsenvaltion lainsäädännöllä tai työehtosopimuksilla, mukaan lukien ’paikalliset sopimukset’, voidaan vahvistaa erityissäännöksiä työntekijöiden henkilötietojen käsittelystä työsuhteen yhteydessä, erityisesti niistä edellytyksistä, joiden mukaisesti henkilötietoja voidaan käsitellä työsuhteen yhteydessä työntekijän suostumuksen perusteella taikka rekrytointia tai työsopimuksen täytäntöönpanoa varten, mukaan lukien lakisääteisten tai työehtosopimukseen perustuvien velvollisuuksien täyttäminen, työn johto, suunnittelu ja organisointi, yhdenvertaisuuden ja monimuotoisuuden toteutuminen työpaikalla, työterveys ja -turvallisuus, sekä työntekoon liittyvien oikeuksien ja etuuksien yksilöllistä tai kollektiivista käyttöä ja nautintaa sekä työsuhteen päättämistä varten.
– –”.
4. Yleisen tietosuoja-asetuksen 5 artiklassa (”Henkilötietojen käsittelyä koskevat periaatteet”) säädetään seuraavaa:
”1. Henkilötietojen suhteen on noudatettava seuraavia vaatimuksia:
a) niitä on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi (’lainmukaisuus, kohtuullisuus ja läpinäkyvyys’);
b) ne on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla; myöhempää käsittelyä yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten ei katsota 89 artiklan 1 kohdan mukaisesti yhteensopimattomaksi alkuperäisten tarkoitusten kanssa (’käyttötarkoitussidonnaisuus’);
c) niiden on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään (’tietojen minimointi’);
d) niiden on oltava täsmällisiä ja tarvittaessa päivitettyjä; on toteutettava kaikki mahdolliset kohtuulliset toimenpiteet sen varmistamiseksi, että käsittelyn tarkoituksiin nähden virheelliset henkilötiedot poistetaan tai oikaistaan viipymättä (’täsmällisyys’);
e) ne on säilytettävä muodossa, josta rekisteröity on tunnistettavissa, ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten; henkilötietoja voidaan säilyttää pidempiä aikoja, jos henkilötietoja käsitellään ainoastaan yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten 89 artiklan 1 kohdan mukaisesti edellyttäen, että tässä asetuksessa vaaditut asianmukaiset tekniset ja organisatoriset toimenpiteet on pantu täytäntöön rekisteröidyn oikeuksien ja vapauksien turvaamiseksi (’säilytyksen rajoittaminen’);
f) niitä on käsiteltävä tavalla, jolla varmistetaan henkilötietojen asianmukainen turvallisuus, mukaan lukien suojaaminen luvattomalta ja lainvastaiselta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta käyttäen asianmukaisia teknisiä tai organisatorisia toimia (’eheys ja luottamuksellisuus’).
2. Rekisterinpitäjä vastaa siitä, ja sen on pystyttävä osoittamaan se, että 1 kohtaa on noudatettu (’osoitusvelvollisuus’).”
5. Yleisen tietosuoja-asetuksen 6 artiklassa (”Käsittelyn lainmukaisuus”) säädetään seuraavaa:
”1. Käsittely on lainmukaista ainoastaan jos ja vain siltä osin kuin vähintään yksi seuraavista edellytyksistä täyttyy:
a) rekisteröity on antanut suostumuksensa henkilötietojensa käsittelyyn yhtä tai useampaa erityistä tarkoitusta varten;
b) käsittely on tarpeen sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osapuolena, tai sopimuksen tekemistä edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä;
c) käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi;
– –
e) käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi;
f) käsittely on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, paitsi milloin henkilötietojen suojaa edellyttävät rekisteröidyn edut tai perusoikeudet ja -vapaudet syrjäyttävät tällaiset edut, erityisesti jos rekisteröity on lapsi.
Ensimmäisen alakohdan f alakohtaa ei sovelleta tietojenkäsittelyyn, jota viranomaiset suorittavat tehtäviensä yhteydessä.
2. Jäsenvaltiot voivat pitää voimassa tai ottaa käyttöön yksityiskohtaisempia säännöksiä tässä asetuksessa vahvistettujen sääntöjen soveltamisen mukauttamiseksi sellaisessa käsittelyssä, joka tehdään 1 kohdan c ja e alakohdan noudattamiseksi määrittämällä täsmällisemmin tietojenkäsittely- ja muita toimenpiteitä koskevat erityiset vaatimukset, joilla varmistetaan laillinen ja asianmukainen tietojenkäsittely muun muassa muissa erityisissä käsittelytilanteissa siten kuin IX luvussa säädetään.
3. Edellä olevan 1 kohdan c ja e alakohdassa tarkoitetun käsittelyn perustasta on säädettävä joko
a) unionin oikeudessa; tai
b) rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä.
Käsittelyn tarkoitus määritellään kyseisessä käsittelyn oikeusperusteessa tai, 1 kohdan e alakohdassa tarkoitetussa käsittelyssä, sen on oltava tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi. Kyseinen käsittelyn oikeusperuste voi sisältää erityisiä säännöksiä, joilla mukautetaan tämän asetuksen sääntöjen soveltamista, muun muassa: yleisiä edellytyksiä, jotka koskevat rekisterinpitäjän suorittaman tietojenkäsittelyn lainmukaisuutta; käsiteltävien tietojen tyyppiä; asianomaisia rekisteröityjä, yhteisöjä joille ja tarkoituksia joihin henkilötietoja voidaan luovuttaa; käyttötarkoitussidonnaisuutta; säilytysaikoja; sekä käsittelytoimia ja -menettelyjä, mukaan lukien laillisen ja asianmukaisen tietojenkäsittelyn varmistamiseen tarkoitetut toimenpiteet, kuten toimenpiteet muita IX luvussa esitettyjä erityisiä tietojenkäsittelytilanteita varten. Unionin oikeuden tai jäsenvaltion lainsäädännön on täytettävä yleisen edun mukainen tavoite ja oltava oikeasuhteinen sillä tavoiteltuun oikeutettuun päämäärään nähden.
4. Jos käsittely tapahtuu muuta kuin sitä tarkoitusta varten, jonka vuoksi tiedot on kerätty, eikä käsittely perustu rekisteröidyn suostumukseen eikä unionin oikeuteen tai jäsenvaltion lainsäädäntöön, joka muodostaa demokraattisessa yhteiskunnassa välttämättömän ja oikeasuhteisen toimenpiteen 23 artiklan 1 kohdassa tarkoitettujen tavoitteiden turvaamiseksi, rekisterinpitäjän on otettava huomioon muun muassa seuraavat asiat varmistaakseen, että muuhun tarkoitukseen tapahtuva käsittely on yhteensopivaa sen tarkoituksen kanssa, jota varten tiedot alun perin kerättiin:
a) henkilötietojen keruun tarkoitusten ja aiotun myöhemmän käsittelyn tarkoitusten väliset yhteydet;
b) henkilötietojen keruun asiayhteys erityisesti rekisteröityjen ja rekisterinpitäjän välisen suhteen osalta;
c) henkilötietojen luonne, erityisesti se, käsitelläänkö erityisiä henkilötietojen ryhmiä 9 artiklan mukaisesti tai rikostuomioihin ja rikkomuksiin liittyviä henkilötietoja 10 artiklan mukaisesti;
d) aiotun myöhemmän käsittelyn mahdolliset seuraukset rekisteröidyille;
e) asianmukaisten suojatoimien, kuten salaamisen tai pseudonymisoinnin, olemassaolo.”
6. Yleisen tietosuoja-asetuksen 88 artiklassa (”Käsittely työsuhteen yhteydessä”) säädetään seuraavaa:
”1. Jäsenvaltiot voivat antaa lakisääteisesti tai työehtosopimuksilla yksityiskohtaisempia sääntöjä työntekijöiden henkilötietojen käsittelystä työsuhteen yhteydessä oikeuksien ja vapauksien suojan varmistamiseksi, erityisesti palvelukseenottamista tai työsopimuksen täytäntöönpanoa varten, mukaan lukien lakisääteisten tai työehtosopimukseen perustuvien velvollisuuksien täyttäminen, työn johto, työn suunnittelu ja organisointi, yhdenvertaisuus ja monimuotoisuus työpaikalla, työterveys ja -turvallisuus, työnantajan tai asiakkaan omaisuuden suoja, sekä työntekoon liittyvien oikeuksien ja etuuksien yksilöllistä tai kollektiivista käyttöä tai nautintaa sekä työsuhteen päättämistä varten.
2. Näihin sääntöihin on sisällytettävä asianmukaisia ja erityisiä toimenpiteitä rekisteröidyn ihmisarvon, oikeutettujen etujen ja perusoikeuksien suojaamiseksi siten, että erityistä huomiota kiinnitetään tietojenkäsittelyn läpinäkyvyyteen, henkilötietojen siirtoihin saman konsernin tai samaa taloudellista toimintaa harjoittavan yritysryhmän sisällä ja työpaikalla käytössä oleviin valvontajärjestelmiin.
3. Jäsenvaltioiden on ilmoitettava komissiolle 1 kohdan nojalla annetut säännökset viimeistään 25 päivänä toukokuuta 2018 ja kaikki niitä koskevat myöhemmät muutokset viipymättä.”
B Kansallinen oikeus
1. Hessenin osavaltion tietosuojaa ja tiedonvälityksen vapautta koskeva laki(4)
7. HDSIG:n 23 §:ssä säädetään seuraavaa:
”(1) Työntekijöitä koskevia henkilötietoja voidaan käsitellä palvelussuhdetta varten, jos se on tarpeen, kun päätetään palvelussuhteen perustamisesta, tai palvelussuhteen perustamisen jälkeen palvelussuhteen täytäntöönpanemiseksi, lopettamiseksi tai päättämiseksi sekä sisäisten suunnitteluun liittyvien, organisatoristen, sosiaalisten ja henkilöstöön liittyvien toimenpiteiden toteuttamiseksi. Tämä koskee myös lakiin tai työehtosopimukseen, yrityskohtaiseen sopimukseen tai virkasopimukseen (kollektiivisopimus) perustuvien, työntekijöiden etujen edustamista koskevien oikeuksien käyttämistä ja velvoitteiden noudattamista.
– –
(4) Henkilötietojen, työntekijöitä koskevat erityiset henkilötietoluokat mukaan lukien, käsittely palvelussuhdetta varten on sallittua työehtosopimusten perusteella. Neuvotteluosapuolten on tällöin noudatettava [yleisen tietosuoja-asetuksen] 88 artiklan 2 kohtaa.
(5) Rekisterinpitäjän on toteutettava aiheelliset toimenpiteet varmistaakseen, että etenkin [yleisen tietosuoja-asetuksen] 5 artiklassa säädettyjä henkilötietojen käsittelyä koskevia periaatteita noudatetaan.
– –
(8) Tässä laissa tarkoitettuja työntekijöitä ovat:
– –
7. Hessenin osavaltion virkamieslain[(5)] soveltamisalaan kuuluvat virkamiehet, osavaltiotuomarit sekä valtionhallinnon virkamiehet.
– –”.
2. Hessenin osavaltion virkamieslaki
8. HBG:n 86 §:n 4 momentissa säädetään seuraavaa:
”Työnantaja saa kerätä hakijoita, virkamiehiä ja entisiä virkamiehiä koskevia henkilötietoja vain siltä osin kuin se on tarpeen virkasuhteen perustamiseksi, täytäntöönpanemiseksi, lopettamiseksi tai päättämiseksi taikka organisatoristen, henkilöstöön liittyvien ja sosiaalisten toimenpiteiden toteuttamiseksi, erityisesti henkilöstösuunnittelua ja henkilöstöresurssien kohdentamista varten, tai siltä osin kuin se on säännösten tai virkasopimuksen mukaan sallittua – –”.
II Tosiseikat, pääasia ja ennakkoratkaisukysymykset
9. Tämän ennakkoratkaisupyynnön alun perin esittänyt Verwaltungsgericht Wiesbaden (Wiesbadenin hallintotuomioistuin, Saksa) ei ole esittänyt yksityiskohtaista kuvausta pääasian tosiseikastosta, sen yhteydessä riitautetuista säännöksistä(6) eikä oikeudenkäyntimenettelyn kulusta, vaan on pikemminkin keskittynyt esittämään oikeudellisia näkökohtia koskevat epäilynsä.
10. Ennakkoratkaisua pyytänyt tuomioistuin toteaa ainoastaan, että asianosaiset ”ovat eri mieltä siitä, onko videoneuvottelujärjestelmien avulla suoratoistona toteutettavaa opetusta käyttöön otettaessa saatava suostumus alaikäisten oppilaiden vanhempien tai täysi-ikäisten oppilaiden lisäksi myös asianomaiselta opetushenkilöstöltä, vai kuuluuko tässä yhteydessä toteutettava tietojenkäsittely HDSIG:n 23 §:n 1 momentin ensimmäisen virkkeen soveltamisalaan – –”.
11. Erityisesti se on epävarma siitä, onko HDSIG:n 23 §:n 1 momentin ensimmäinen virke yleisen tietosuoja-asetuksen 88 artiklassa tarkoitettu työntekijöiden tietojen käsittelyyn liittyvä yksityiskohtaisempi sääntö. Ennakkoratkaisua pyytäneen tuomioistuimen mukaan tämä säännös ei täytä yleisen tietosuoja-asetuksen 88 artiklan 2 kohtaan sisältyviä vaatimuksia seuraavista syistä:
– Siinä viitataan työntekijöiden tai virkamiesten henkilötietojen käsittelyn oikeusperustana ainoastaan ”tarpeeseen”.
– Kun kyse on työntekijöiden tietojen käsittelystä, joka ylittää työsopimuksen nojalla ehdottoman tarvittavan tietojenkäsittelyn, sen toteuttaminen edellyttää laajempaa intressien punnintaa kuin pelkästään sen arvioimisen, mikä on yksinkertaisesti tarpeen, eikä kansallisessa lainsäädännössä säädetä tästä.
12. Ennakkoratkaisua pyytänyt tuomioistuin toteaa, ettei se ole samaa mieltä Bundesarbeitsgerichtin (liittovaltion ylin työtuomioistuin, Saksa) oikeuskäytännöstä, joka koskee HDSIG:n 23 §:n 1 momentin ensimmäistä virkettä vastaavan liittovaltiotason oikeussäännön(7) yhteensopivuutta yleisen tietosuoja-asetuksen 88 artiklan kanssa.
13. Ennakkoratkaisua pyytänyt tuomioistuin katsoo päinvastoin seuraavaa:
– Tarpeellisuusperiaatteen sisällyttäminen kansalliseen lainsäädäntöön ei merkitse yleisen tietosuoja-asetuksen 88 artiklan 2 kohtaan sisältyvien vaatimusten tosiasiallista täyttämistä.
– Myöskään maininta siitä, että rekisterinpitäjän on noudatettava erityisesti yleisen tietosuoja-asetuksen 5 artiklassa vahvistettuja periaatteita, ei täytä kyseisiä vaatimuksia, koska 5 artiklassa ei säädetä työntekijöiden erityisestä suojaamisesta.
– Vaikka lainsäätäjä olisi lähtökohtaisesti ottanut huomioon yleisen tietosuoja-asetuksen 88 artiklan 2 kohdan vaatiessaan sen noudattamista työehtosopimusten yhteydessä, se ei ole tarkastellut eikä täyttänyt 2 kohdassa esitettyjä vaatimuksia itse laissa eikä kyseisten säännösten perusteluissa.
14. Tässä yhteydessä ennakkoratkaisua pyytänyt tuomioistuin on esittänyt unionin tuomioistuimelle seuraavat kysymykset:
”1) Onko [yleisen tietosuoja-asetuksen] 88 artiklan 1 kohtaa tulkittava siten, että jotta säännöksen voidaan katsoa olevan kyseisen asetuksen 88 artiklan 1 kohdassa tarkoitettu yksityiskohtaisempi sääntö työntekijöiden henkilötietojen käsittelystä työsuhteen yhteydessä oikeuksien ja vapauksien suojan varmistamiseksi, sen on täytettävä kyseisen asetuksen 88 artiklan 2 kohdassa tällaisille säännöille asetetut vaatimukset?
(2) Jos on ilmeistä, ettei kansallinen säännös täytä [yleisen tietosuoja-asetuksen] 88 artiklan 2 kohdassa vahvistettuja vaatimuksia, voidaanko sitä silti soveltaa edelleen?”
III Asian käsittelyn vaiheet unionin tuomioistuimessa
15. Ennakkoratkaisupyyntö kirjattiin saapuneeksi unionin tuomioistuimeen 20.1.2021.
16. Alkuperäisen oikeusriidan ratkaisemista koskeva toimivalta siirtyi 1.12.2021 alkaen(8) Verwaltungsgericht Frankfurt am Mainille (Frankfurt am Mainin hallintotuomioistuin, Saksa), jossa asian käsittelyä jatkettiin.
17. Kirjallisia huomautuksia ovat esittäneet Itävallan, Romanian ja Saksan hallitukset sekä Euroopan komissio. Kaikki ne sekä opettajatoimikunta vastasivat kirjallisesti unionin tuomioistuimen niille ennen istuntoa esittämiin kysymyksiin.
18. Istunnossa, joka pidettiin 30.6.2022, olivat edustettuina opettajatoimikunta, Hessenin osavaltion opetus- ja kulttuuriministeriö, Saksan hallitus ja komissio.
IV Asian tarkastelu
A Ennakkoratkaisupyynnön tutkittavaksi ottaminen
19. Saksan hallitus oli huomautuksissaan väittänyt, että ennakkoratkaisupyyntö on jätettävä tutkimatta, sillä selvittäessään, kuuluuko videoneuvottelun kautta suoratoistona annettavaan opetukseen liittyvä henkilötietojen käsittely HDSIG:n 23 §:n 1 momentin soveltamisalaan, ennakkoratkaisua pyytänyt tuomioistuin ei selitä syitä siihen, miksi se katsoo, että ei ole mahdollista, että kyseisten tietojen käsittely olisi sallittua opettajan suostumuksen perusteella.
20. Istunnossa Saksan hallitus täsmensi osittain tätä väitettä ja myönsi, että unionin tuomioistuimen olisi annettava ratkaisu asiassa (toisin sanoen ennakkoratkaisupyyntö olisi otettava tutkittavaksi), jos asianomaiset opettajat eivät olisi antaneet suostumustaan tietojen käsittelyyn.
21. Joka tapauksessa unionin tuomioistuin voi jättää tutkimatta kansallisen tuomioistuimen esittämän ennakkoratkaisukysymyksen ainoastaan, jos on ilmeistä, että pyydetyllä unionin oikeuden tulkitsemisella ei ole mitään yhteyttä kansallisessa tuomioistuimessa käsiteltävän asian tosiseikkoihin tai kohteeseen, jos kyseinen ongelma on luonteeltaan hypoteettinen taikka jos unionin tuomioistuimella ei ole tiedossaan niitä tosiseikkoja ja oikeudellisia seikkoja, jotka ovat tarpeen, jotta se voisi antaa hyödyllisen vastauksen sille esitettyihin kysymyksiin.(9)
22. Tässä ennakkoratkaisupyynnössä ei ole kyse mistään näistä seikoista, joten etusijalla on pidettävä olettamaa, jonka mukaan sillä on merkitystä asian ratkaisemisen kannalta.(10) Sen lähtökohtana on, että kaikki opettajat eivät välttämättä anna suostumusta henkilötietojensa käsittelyyn, joten on edelleen olemassa intressi ratkaista, onko sääntö,(11) jonka nojalla tietoja voidaan käsitellä ilman asianomaisen henkilön suostumusta, unionin oikeuden mukainen.
23. Ennakkoratkaisukysymys koskee nimenomaisesti vain sen määrittämistä, täyttääkö lainsäädäntö, jonka väitetään muodostavan perustan opettajien henkilötietojen käsittelylle ilman heidän suostumustaan, yleisen tietosuoja-asetuksen 88 artiklan 1 ja 2 kohdan vaatimukset. Oikeusriita ja ne unionin oikeuden säännökset, joiden tulkintaa pyydetään, liittyvät näin ollen kiistatta riittävän läheisesti toisiinsa.
B Pääasia
1. Alustavat toteamukset
24. Ensimmäisessä kysymyksessään ennakkoratkaisua pyytänyt tuomioistuin tiedustelee, onko säännöksen täytettävä yleisen tietosuoja asetuksen 88 artiklan 2 kohdassa asetetut vaatimukset, jotta kyseisen säännöksen voidaan katsoa olevan saman asetuksen 88 artiklan 1 kohdassa tarkoitettu ”yksityiskohtaisempi sääntö”.
25. Yleisen tietosuoja-asetuksen 88 artiklan tulkinnan perusteella voidaan päätellä, että sen 1 kohdassa mainittujen yksityiskohtaisempien sääntöjen on oltava 2 kohtaan sisältyvien vaatimusten mukaisia.
26. Yleisen tietosuoja-asetuksen 88 artiklan 2 kohdan mukaan ”näihin sääntöihin” (eli 1 kohdassa mainittuihin yksityiskohtaisempiin sääntöihin, joita jäsenvaltiot voivat antaa) on sisällytettävä ”asianmukaisia ja erityisiä toimenpiteitä” työntekijöiden ihmisarvon, oikeutettujen etujen ja perusoikeuksien suojaamiseksi. Näissä säännöissä on kiinnitettävä erityistä huomiota tietojenkäsittelyn läpinäkyvyyteen, henkilötietojen siirtoihin saman konsernin tai saman yritysryhmän sisällä ja työpaikalla käytössä oleviin valvontajärjestelmiin.
27. Näiden yleisen tietosuoja-asetuksen 88 artiklassa olevien kahden kohdan välillä on siis ilmeinen yhteys: 2 kohdassa täsmennetään pakottavasti(12) niiden yksityiskohtaisten sääntöjen sisältö, joita jäsenvaltiot voivat antaa työsuhteen yhteydessä 1 kohdan mukaisesti.
28. Tähän kysymykseen vastaaminen ei näin ollen tuota suurempia vaikeuksia: yleisen tietosuoja-asetuksen 88 artiklaa on tulkittava siten, että säännöksen, jonka tarkoituksena on olla kyseisen artiklan 1 kohdassa tarkoitettu yksityiskohtaisempi sääntö, on – ennakkoratkaisua pyytäneen tuomioistuimen sanamuodon mukaisesti – täytettävä 2 kohdassa asetetut vaatimukset.
29. Ennakkoratkaisua pyytänyt tuomioistuin ei todennäköisesti tarvitsisi unionin tuomioistuimen apua tämän päätelmän tekemiseen. Tästä syystä ensimmäisen ennakkoratkaisukysymyksen todellista merkitystä olisi ehkä arvioitava toisen kysymyksen valossa. Jälkimmäisessä kysymyksessä tiedustellaan, voidaanko kansallista säännöstä, joka ei ”täytä [yleisen tietosuoja-asetuksen] 88 artiklan 2 kohdassa vahvistettuja vaatimuksia”,(13) soveltaa edelleen.
30. Tästä näkökulmasta (joka on sama kuin ennakkoratkaisupyynnössä) keskustelu laajentuu siihen, voivatko jäsenvaltioiden tietosuoja-asetuksen 88 artiklan 1 kohdan nojalla antamat säännökset, jotka eivät ole sen 88 artiklan 2 kohdan mukaisia, kuulua tietosuoja-asetuksen muiden säännösten soveltamisalaan. Erityisesti tarkoitetaan kyseisen asetuksen muiden valinnaisuuslausekkeiden, kuten sen 6 artiklan 2 kohdan, soveltamisalaa.
31. Ennakkoratkaisua pyytäneen tuomioistuimen esittämien kahden kysymyksen välillä on niin paljon päällekkäisyyttä, että Itävallan hallituksen ja komission mukaan niihin on vastattava yhdessä, mikä on myös oma näkemykseni, jota aion noudattaa.
2. Yleisen tietosuoja-asetuksen 88 artikla ja julkishallinnon opetushenkilöstö
32. Ennakkoratkaisua pyytänyt tuomioistuin pitää selvänä, että sisäisten tietosuojasääntöjen kannalta opettajatoimikunnassa edustettuina olevat opettajat ovat työsuhteessa Hessenin osavaltion opetus- ja kulttuuriministeriöön.
33. Tämä oletus on HDSIG:n mukainen, sillä sen työntekijöiden henkilötietojen käsittelyä koskevan sääntelyn mukaan siinä tarkoitetaan työntekijöillä HBG:n soveltamisalaan kuuluvia virkamiehiä, opettajat mukaan lukien.
34. Ennakkoratkaisua pyytänyt tuomioistuin ei siis missään vaiheessa epäile yleisen tietosuoja-asetuksen 88 artiklan sovellettavuutta osavaltion työntekijöihin, jotka hoitavat julkishallinnon opetustehtäviä.
35. Myöskään ennakkoratkaisumenettelyn asianosaiset ja muut osapuolet, joilta unionin tuomioistuin tiedusteli tästä asiasta, eivät kyseenalaistaneet tätä lähtökohtaa. Kaikki ovat yhtä mieltä siitä, että palvelussuhde julkishallinnon opetushenkilöstössä ei jää yleisen tietosuoja-asetuksen 88 artiklan soveltamisalan ulkopuolelle.
36. Mielestäni tämä lähestymistapa on oikea, ja sen avulla voidaan analysoida yleisen tietosuoja-asetuksen 88 artiklan ulottuvuutta, kun siinä viitataan työntekijöiden henkilötietojen suojaan työsuhteen yhteydessä.
37. Kuten Saksan hallitus on korostanut, työntekijöihin laajasti ymmärrettynä kuuluvat luonnollisesti virkamiehinä olevat opettajat, jotka työskentelevät osavaltion palveluksessa ja joiden etuja opettajatoimikunta ajaa.
38. Työsuhdetta ja työntekijöiden käsitettä koskeva unionin tuomioistuimen oikeuskäytäntö,(14) joka liittyy työntekijöiden vapaaseen liikkuvuuteen ja siihen, että aiempaa EY 39 artiklan 4 kohtaa (nykyinen SEUT 45 artiklan 4 kohta) ei sovelleta julkishallinnon palvelussuhteisiin, voi vastaavuuden kautta vaikuttaa ehdottamaani ratkaisuun.
39. Tässä hoidettavan tehtävän toiminnallisia näkökohtia korostavassa oikeuskäytännössä todetaan seuraavaa:
– Julkishallinnon käsitettä on tältä osin tulkittava ja sovellettava yhtenäisesti koko unionissa, eikä sitä voi näin ollen jättää jäsenvaltioiden täysin vapaaseen harkintaan.
– SEUT 45 artiklan 4 kohta koskee palvelussuhteita, joihin liittyy suoraan tai välillisesti julkisen vallan käyttäminen ja sellaisten tehtävien hoitaminen, joiden tarkoituksena on turvata valtion tai muiden julkisyhteisöjen yleiset edut.(15)
40. Koska virkamiehinä olevat opettajat eivät sinänsä osallistu julkisen vallan käyttöön sanan varsinaisessa merkityksessä, vaan pikemminkin harjoittavat muiden yksityisten laitosten tai yritysten harjoittaman toiminnan kanssa samankaltaista opetuspalvelutoimintaa,(16) heidän voidaan yleisesti ottaen – ja siten myös tietosuojaa koskevissa asioissa – määritellä kuuluvan työntekijöihin.
41. Kuten Itävallan hallitus on huomauttanut, muunlainen ratkaisu merkitsisi sitä, että olennaisilta osin toisiaan vastaavia tilanteita, kuten niitä, joissa määritellään aineelliselta kannalta opettajien asema julkishallinnossa ja yksityisellä sektorilla, kohdeltaisiin eri tavalla. Tämä olisi sitäkin vakavampaa siksi, että – kuten komissio on todennut – julkisen palvelun käsitettä ei ole yhdenmukaistettu unionissa, minkä seurauksena on niin, että jos sitä tulkitaan eri tavoin, yleisen tietosuoja-asetuksen 88 artiklan soveltamisala riippuisi kansallisesta lainsäädännöstä.
3. Yleisen tietosuoja-asetuksen valinnaisuuslausekkeet
42. Kuten julkisasiamies Bobek korosti asiassa Fashion ID,(17) direktiivin 95/46/EY(18) korvaaminen yleisellä tietosuoja-asetuksella on ennen kaikkea muuttanut perinpohjaisesti sen oikeudellisen välineen luonnetta, jolla säännellään yksilöiden suojelua henkilötietojen käsittelyn alalla.
43. Kyseinen säädös ei ole enää direktiivi (eli säädös, joka velvoittaa saavutettavaan tulokseen nähden, mutta jättää kansallisten viranomaisten valittavaksi muodon ja keinot) vaan asetus. Asetuksen, joka on kaikilta osiltaan velvoittava ja jota sovelletaan sellaisenaan kaikissa jäsenvaltioissa, sisältöä ei voida lähtökohtaisesti ja ilman nimenomaista lupaa panna täytäntöön kansallisilla oikeussäännöillä (tai toisintaa niissä).(19)
44. Vaikka yleisessä tietosuoja-asetuksessa säädetään direktiivissä 95/46/EY asetettuja tavoitteita laajemmasta yhdenmukaistamisesta,(20) unionin lainsäätäjä on sillä perusteella, että ne ihmisen toiminnan alat, joilla tuotetaan tietojen käsittelyä koskevan suojan piiriin kuuluvia henkilötietoja,(21) ovat käytännössä yleismaailmallisia, antanut jäsenvaltioille valtuudet
– sisällyttää kansalliseen lainsäädäntöönsä osia yleisestä tietosuoja-asetuksesta, kun siinä säädetään, että sen säännöksiä on täsmennettävä tai rajoitettava jäsenvaltioiden lainsäädännössä
– pitää voimassa tai ottaa käyttöön kansallisia säännöksiä, joilla joidenkin yleisen tietosuoja-asetuksen säännösten soveltamista voidaan täsmentää entisestään.(22)
45. Vaikka yleisellä tietosuoja-asetuksella pyritään varmistamaan suojelua koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen kaikkialla unionissa ja poistamaan henkilötietojen liikkuvuuden esteet siellä,(23) unionin lainsäätäjä ei ole voinut olla myöntämättä, että – kuten julkisasiamies Richard de la Tour totesi – todellisuus on kuitenkin monimutkaisempi: yleisessä tietosuoja-asetuksessa ei sen laaja-alaisuudesta huolimatta voitu ennakoida kaikkia mahdollisia seurauksia, joita henkilötietojen suojelu aiheuttaa kuluttamisen, kilpailun tai työelämän kaltaisilla aloilla.(24)
46. Tämä selittää sen, että yleisessä tietosuoja-asetuksessa annetaan jäsenvaltioille mahdollisuus säätää tiukemmista tai poikkeavista kansallisista täydentävistä säännöistä. Jäsenvaltioilla on harkintavaltaa sen osalta, miten nämä säännökset voidaan panna täytäntöön (ns. valinnaisuuslausekkeet).(25)
47. Tällaisten lausekkeiden suhteellinen yleistyminen on haitannut henkilötietosuojan täydellistä yhdenmukaistamista.(26) Komissio onkin myöntänyt sen, että yleisessä tietosuoja-asetuksessa edellytetään jäsenvaltioiden antavan lainsäädäntöä tietyillä aloilla, samalla kun niille annetaan mahdollisuus täsmentää sääntöjään muilla aloilla, aiheuttaneen ”jonkin verran hajanaisuutta, mikä johtuu erityisesti valinnaista täsmentämistä koskevien lausekkeiden laajasta käytöstä”.(27)
48. Tässä asiassa erityisen merkityksellinen lauseke sisältyy yleisen tietosuoja-asetuksen 88 artiklan 1 kohtaan. Sen suhdetta saman asetuksen 6 artiklan 1 kohdan b ja e alakohtaan on kuitenkin tarkasteltava lyhyesti, kuten istunnossa tehtiin.
a) Yleisen tietosuoja-asetuksen 6 artiklan 2 kohta
49. Yleisen tietosuoja-asetuksen II luvussa vahvistetaan henkilötietojen käsittelyä ohjaavat periaatteet, jotka siten muodostavat järjestelmän yleisen rakenteen, ja kyseisessä luvussa olevan 6 artiklan 1 kohdassa luetellaan käsittelyn lainmukaisuuden edellytykset. Viimeksi mainitun kohdan a alakohdassa viitataan rekisteröidyn suostumukseen ja b alakohdassa siihen, että käsittely on tarpeen sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osapuolena.
50. Nämä edellytykset täydentävät edellytyksiä, jotka perustuvat yleisen tietosuoja-asetuksen 5 artiklassa säädettyihin yleisiin periaatteisiin(28) ja joita täsmennetään tietosuoja-asetuksen 7–11 artiklassa suostumuksen (7 artikla ja alaikäisten lasten osalta 8 artikla), erityisiä henkilötietoryhmiä koskevan käsittelyn (9 artikla) tai niiden edellytysten osalta, jotka liittyvät rikostuomioihin tai rikkomuksiin (10 artikla), ja käsittelyyn, joka ei edellytä tunnistamista (11 artikla).
51. Näihin periaatteisiin ja sääntöihin voidaan lisätä jäsenvaltioiden käyttöön ottamat (tai voimassa pitämät) yksityiskohtaisemmat säännökset yleisessä tietosuoja-asetuksessa ”vahvistettujen sääntöjen soveltamisen mukauttamiseksi” sen 6 artiklan 2 kohdan mukaisesti kahdessa erityisessä käsittelytapauksessa eli jos käsittely on tarpeen
– lakisääteisen velvoitteen noudattamiseksi (6 artiklan 1 kohdan c alakohta)
– yleistä etua koskevan tehtävän suorittamiseksi tai julkisen vallan käyttämiseksi (6 artiklan 1 kohdan e alakohta).(29)
52. Säännöksessä lisätään, että tämä mukauttaminen tehdään ”määrittämällä täsmällisemmin tietojenkäsittely- ja muita toimenpiteitä koskevat erityiset vaatimukset, joilla varmistetaan laillinen ja asianmukainen tietojenkäsittely”, muun muassa ”muissa erityisissä käsittelytilanteissa siten kuin IX luvussa säädetään”.
53. Säännöksen viimeinen ilmaisu ei ole niin selkeä kuin olisi toivottavaa, koska ei ole helppo päätellä, sallitaanko siinä – nimenomaisesti 6 artiklan 1 kohdan c ja e alakohdassa tarkoitetun käsittelyn osalta – muiden kuin IX luvussa jo säädettyjen erityistilanteiden sääntely, vai ovatko IX lukuun sisältyvät erityistilanteet ainoita, joissa yleisessä tietosuoja-asetuksessa sallitaan tietojen käsittely kyseisissä kahdessa tapauksessa.
b) Yleisen tietosuoja-asetuksen 88 artiklan 1 kohta
54. Toistan, että tässä yhteydessä merkityksellinen valinnaisuuslauseke, johon ennakkoratkaisua pyytänyt tuomioistuin keskittyy, on joka tapauksessa se, joka sisältyy yleisen tietosuoja-asetuksen 88 artiklan 1 kohtaan. Muistutan, että sen sanamuodon mukaan jäsenvaltiot voivat antaa lakisääteisesti tai työehtosopimuksilla ”yksityiskohtaisempia sääntöjä työntekijöiden henkilötietojen käsittelystä työsuhteen yhteydessä oikeuksien ja vapauksien suojan varmistamiseksi”.
55. Tällaisia henkilötietoja voidaan käsitellä erityisesti seuraavia tarkoituksia varten:
– henkilöstön palvelukseen ottaminen, työsopimuksen täytäntöönpano,(30) työn johto, suunnittelu ja organisointi, yhdenvertaisuus ja monimuotoisuus työpaikalla, työterveys ja -turvallisuus, työnantajan tai asiakkaan omaisuuden suoja
– työntekoon liittyvien oikeuksien ja etuuksien yksilöllinen tai kollektiivinen käyttö
– työsuhteen päättäminen.
56. Sallimalla näiden säännösten käyttöönotto saadaan aikaan tietty yhdenmukaisuutta vähentävä vaikutus. Yleisen tietosuoja-asetuksen 88 artiklan 1 kohdan nojalla annetut kansalliset säännöt voivat johtaa yhdessä tai useammassa jäsenvaltiossa siihen, että yleisen tietosuoja-asetuksen yleiseen rakenteeseen sisällytetään eroavaisuuksia, jotka menevät kyseisen asetuksen 6 artiklan 2 kohdassa sallittuja mukauttamistoimia pidemmälle:
– Yleisen tietosuoja-asetuksen 6 artiklan 2 kohdassa annetaan jäsenvaltioille valtuudet mukauttaa yleisen tietosuoja-asetuksen tiettyjen säännösten soveltamista.
– Sitä vastoin yleisen tietosuoja-asetuksen 88 artiklan 1 kohdan mukaan jäsenvaltiot voivat antaa yksityiskohtaisempia varmistussääntöjä. Kyse on siis korkeamman intensiteetin lainsäätämistoiminnasta, josta ei ole kyse silloin, kun pyritään vain mukauttamaan tai muokkaamaan sellaisten yleisen tietosuoja-asetuksen säännösten soveltamista, joiden sisältöä ja ulottuvuutta on pidettävä lopullisina.(31)
4. HDSIG:n 23 § suhteessa yleiseen tietosuoja-asetukseen
57. Saksan liittotasavalta ilmoitti komissiolle yleisen tietosuoja-asetuksen 88 artiklan 3 kohdan säännösten mukaisesti, että HDSIG:n 23 § sisältyy kyseisen jäsenvaltion yleisen tietosuoja-asetuksen 88 artiklan 1 kohdan nojalla antamiin säännöksiin.
58. Katson tältä osin ennakkoratkaisua pyytäneen tuomioistuimen ja komission tavoin, että HDSIG:n 23 § ei täytä edellytystä, jonka mukaan niiden oikeuksien suojaamiseksi, jotka liittyvät henkilötietojen käsittelyyn työsuhteen yhteydessä, voidaan antaa yksityiskohtaisempia sääntöjä, kuten yleisen tietosuoja-asetuksen 88 artiklan 1 kohdassa säädetään.
59. Sekä HDSIG:n 23 §:n 1 momentin ensimmäisessä virkkeessä että HBG:n 86 §:n 4 momentin ensimmäisessä virkkeessä säädetään ainoastaan, että työntekijöiden ja virkamiesten henkilötietoja voidaan käsitellä työsuhteeseen liittyvissä asioissa, jos se on tarpeen jossakin seuraavista tarkoituksista:
– työsuhteen muodostamista koskevan päätöksen tekemiseksi tai, kun työsuhde on muodostettu, sen täytäntöönpanemiseksi, lopettamiseksi tai päättämiseksi, taikka
– sisäisten suunnitteluun liittyvien, organisatoristen, sosiaalisten ja henkilöstöön liittyvien toimenpiteiden toteuttamiseksi.
60. Tarkemmin sanoen työntekijöiden henkilötietojen käsittely edellyttää molempien säännösten mukaan vain sitä, että se on tarpeen tiettyjä tarkoituksia varten.
61. Kyse ei siis ole säännöksestä, joka poikkeaisi suuresti yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan b alakohdassa annetusta säännöksestä (”käsittely on lainmukaista ainoastaan jos – – [se] on tarpeen sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osapuolena, tai sopimuksen tekemistä edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä”).(32)
62. HDSIG:n 23 §:ssä toistetaan siis edellytys, joka on jo asetettu käsittelyn yleiselle lainmukaisuudelle yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan b alakohdassa. Siinä ei sitä vastoin lisätä mitään yksityiskohtaista sääntöä niiden oikeuksien suojelemiseksi, jotka liittyvät henkilötietojen käsittelyyn työsuhteen yhteydessä.(33)
63. Samaan tulokseen päästäisiin, jos kyseessä oleva opetustoiminta kuuluisi yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdan soveltamisalaan (eli jos kyseinen käsittely olisi tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai julkisen vallan käyttämiseksi).(34)
64. Yleisen tietosuoja-asetuksen 6 artiklan 2 kohdan mukaan jäsenvaltiot voivat – kuten jo totesin – c ja e alakohdassa tarkoitetuissa tapauksissa pitää voimassa tai ottaa käyttöön ”yksityiskohtaisempia säännöksiä – – määrittämällä täsmällisemmin tietojenkäsittely- ja muita toimenpiteitä koskevat erityiset vaatimukset – –”.
65. Korostan, että HDSIG:n 23 § ei ole yksityiskohtaisempi säännös, vaan siinä sallitaan työntekijöiden tietojen käsittely ainoastaan silloin, kun se osoittautuu tarpeelliseksi. Siinä ei täsmennetä tarkemmin tämän mahdollisen käsittelyn edellytyksiä ja ehtoja.
66. Saksan hallitus väittää vastoin tätä näkemystä, ettei työsuhteeseen liittyvien moninaisten tietojenkäsittelytoimien eritteleminen yksityiskohtaisesti ole mahdollista eikä toteutettavissa. Se pitää riittävänä sellaista säädöstä, jonka nojalla toteutetaan tarvittaessa käsittelytoimia, jotka eivät edellytä yksityiskohtaisempaa oikeusperustaa.(35)
67. Edellä esitettyyn on riittävää vastata, että vaikka tehtävä osoittautuisi vaikeaksi, yleisen tietosuoja-asetuksen 88 artiklan 3 kohdassa säädetään tyhjentävästi, että jäsenvaltioiden on ilmoitettava komissiolle saman artiklan ”1 kohdan nojalla annetut säännökset”. Toisin sanoen ei niitä (perus)säännöksiä, joiden nojalla annetaan yksityiskohtaisempia sääntöjä koskevat säännökset, vaan nimenomaisesti yksityiskohtaisemmat säännöt. Ilmoituksen on oltava yksilöity ja täsmällinen.(36)
68. Lyhyesti sanottuna HDSIG:n 23 §:ssä toistetaan yleisen tietosuoja-asetuksen 88 artiklan 1 kohtaan jo sisältyvä valtuutus eli toisin sanoen mahdollistetaan yksityiskohtaisempien sääntöjen laatiminen myöhemmin (tai niiden voimassa pitäminen).
69. Sen lisäksi, että HDSIG:n 23 §:ssä ei itsessään säädetä yleisen tietosuoja-asetuksen 88 artiklan 1 kohdassa tarkoitettuja yksityiskohtaisempia sääntöjä, siihen ei myöskään sisälly ”asianmukaisia ja erityisiä toimenpiteitä rekisteröidyn ihmisarvon, oikeutettujen etujen ja perusoikeuksien suojaamiseksi”.
70. Koska HDSIG:n 23 §:ään ei sisälly tällaisia toimenpiteitä, se ei täytä yleisen tietosuoja-asetuksen 88 artiklan 2 kohdassa säädettyjä edellytyksiä, joiden mukaisesti jäsenvaltiot voivat antaa työsuhteisiin liittyvää eriytettyä lainsäädäntöä.
71. Koska ennakkoratkaisupyynnössä tarkastellaan vain lainsäädäntöä eikä työehtosopimuksia, kiinnitän jälkimmäisten(37) sijasta huomiota ainoastaan edellisiin.
72. Näiden säännösten osalta kansallinen lainsäätäjä ei voi tyytyä säätämään, kuten HDSIG:n 23 §:n 5 momentissa on tehty, että rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet sen varmistamiseksi, että yleisen tietosuoja-asetuksen ”5 artiklassa säädettyjä henkilötietojen käsittelyä koskevia periaatteita noudatetaan”. Tämä säännös on tarpeeton siitä hetkestä alkaen, jolloin minkä tahansa tietojenkäsittelytoimen on lähtökohtaisesti täytettävä ainakin yleisen tietosuoja-asetuksen 5 artiklassa asetetut edellytykset.
73. Yleisen tietosuoja-asetuksen 88 artiklan 2 kohdassa käsitellään sellaisten toimenpiteiden käyttöön ottamista, joilla varmistetaan suojatoimien yhteydessä niiden asianmukainen vastaavuus yleisen tietosuoja-asetuksen 88 artiklan 1 kohdan nojalla toteutettavien toimenpiteiden erityisluonteen kanssa. Pohjimmiltaan tarkoituksena on, että tässä viimeksi mainitussa säännöksessä sallittu erityisluonne saatetaan tarvittaessa vastaamaan asianmukaisesti niihin liittyvien suojatoimien erityisluonnetta.
74. Sen hyväksyminen, että HDSIG:n 23 § sisältää yleisen tietosuoja-asetuksen 88 artiklan 1 kohdan mukaisia yksityiskohtaisia sääntöjä, merkitsisi yleisen tietosuoja-asetuksen 5 artiklassa yleisesti säädettyjen suojatoimien toistamista 88 artiklan 2 kohdassa edellytettyjen suojatoimien yhteydessä. Viime kädessä olisi horjutettu yleisen tietosuoja-asetuksen 88 artiklan 1 kohdassa sallittujen sääntöjen erityisluonteen ja sen 2 kohdassa edellytettyjen suojatoimenpiteiden eritysluonteen välistä välttämätöntä tasapainoa.
75. Yhteenvetona katson, että HDSIG:n 23 §:llä ei voi olla perustaa yleisen tietosuoja-asetuksen 88 artiklassa. Yhtäältä näin on siksi, että siinä ei säädetä yksityiskohtaisempia sääntöjä, ja toisaalta siksi, että siinä vain toistetaan yleisen tietosuoja-asetuksen 5 artiklaan sisältyvät yleiset suojatoimet.
5. Voidaanko HDSIG:n 23 §:ää soveltaa kaikesta huolimatta?
76. Jää nähtäväksi, voidaanko HDSIG:n 23 §:ää soveltaa kansallisessa oikeusjärjestyksessä edellä esitetystä huolimatta. Kuten edellä totesin, tämä näyttää olevan seikka, jolla on viime kädessä merkitystä ennakkoratkaisua pyytäneelle tuomioistuimelle.
77. Kysymys rajoittuu sen selvittämiseen, voidaanko jäsenvaltioissa yleisen tietosuoja-asetuksen 88 artiklan 1 kohdan valinnaisuuslausekkeen mukaisesti annettuja sääntöjä, jotka eivät täytä saman asetuksen 88 artiklan 2 kohdassa asetettuja vaatimuksia, soveltaa kyseisen asetuksen muiden säännösten nojalla.
78. Vastaus, jonka lähtökohtana on, että HDSIG:n 23 §:ään ei sisälly mitään tietosuoja-asetuksen 88 artiklassa tarkoitettua yksityiskohtaisempaa sääntöä,(38) voi olla kaksimerkityksinen:
– HDSIG:n 23 §:stä tulee merkityksetön tai tarpeeton siltä osin kuin siinä ei varsinaisesti oteta käyttöön erityissäännöksiä, joilla taataan työntekijöiden oikeus henkilötietojensa suojaan työsuhteen yhteydessä.
– Tällä alalla (työsuhteet) on sovellettava suoraan ja pääosin yleisen tietosuoja-asetuksen yhteiseen järjestelmään sisältyviä säännöksiä.
79. Eri asia on, että – kuten Itävallan ja Romanian hallitukset ovat komission lisäksi väittäneet ja kuten kaikki osapuolet istunnossa myönsivät – mikään ei estä jäsenvaltiota soveltamasta joko yleisen tietosuoja-asetuksen muita säännöksiä tai kyseisen asetuksen 6 artiklan 2 kohdan nojalla kansallisia sääntöjä, joilla työntekijöiden tietojen käsittelyä rajataan siten, että niillä tuetaan yleisen tietosuoja-asetuksen soveltamisen mukauttamista.
V Ratkaisuehdotus
80. Edellä esitetyn perusteella ehdotan, että unionin tuomioistuin vastaa Verwaltungsgericht Frankfurt am Mainille seuraavasti:
Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 88 artiklan 1 ja 2 kohtaa on tulkittava seuraavasti:
Jäsenvaltion antama säännös on yksityiskohtaisempi sääntö työntekijöiden henkilötietojen käsittelystä työsuhteen yhteydessä oikeuksien ja vapauksien suojan varmistamiseksi vain, jos se täyttää asetuksen 2016/679 88 artiklan 2 kohdassa asetetut vaatimukset.
Jos kyseinen säännös ei täytä asetuksen 2016/679 88 artiklan 2 kohdassa asetettuja vaatimuksia, sitä sovelletaan tarvittaessa vain siltä osin kuin se voi kuulua kyseisen asetuksen muiden säännösten tai sen 6 artiklan 2 kohdassa tarkoitettujen kansallisten mukauttamissääntöjen soveltamisalaan.