CONCLUSIE VAN ADVOCAAT-GENERAAL
M. CAMPOS SÁNCHEZ-BORDONA
van 22 september 2022 (1)
Zaak C‑34/21
Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium,
in tegenwoordigheid van:
minister des Hessischen Kultusministeriums als Dienststellenleiter
[verzoek van het Verwaltungsgericht Frankfurt am Main (bestuursrechter in eerste aanleg Frankfurt am Main, Duitsland) om een prejudiciële beslissing]
„Prejudiciële verwijzing – Bescherming van persoonsgegevens – Verordening (EU) 2016/679 – Verwerking van persoonsgegevens in het kader van de arbeidsverhouding – Artikel 88, lid 1 – Nadere regel – Vereisten van artikel 88, lid 2 – Regionaal schoolsysteem – Livestreamen van onderwijs – Ontbreken van uitdrukkelijke toestemming van de leerkrachten”
1. In het geding waaruit deze prejudiciële verwijzing is voortgekomen moet in wezen worden bepaald of leerkrachten die in dienst zijn van een ministerie van het Land (de deelstaat) Hessen (Duitsland) toestemming moeten geven voor de livestreaming van hun lessen dan wel, indien zij daar geen toestemming voor geven, of de verwerking van hun persoonsgegevens(2) kan worden gebaseerd op een legitiem doel zoals bedoeld in verordening (EU) 2016/679(3).
2. De prejudiciële verwijzing biedt het Hof de gelegenheid om zich, als ik mij niet vergis voor het eerst, uit te spreken over artikel 88 AVG. Volgens deze bepaling kunnen de lidstaten bij wet of bij collectieve overeenkomst nadere regels vaststellen ter bescherming van de rechten en vrijheden met betrekking tot de verwerking van de persoonsgegevens van werknemers in het kader van de arbeidsverhouding.
I. Toepasselijke bepalingen
A. Unierecht – AVG
3. In de overwegingen kan het volgende worden gelezen:
„[…]
(8) Voor zover deze verordening bepaalt dat de regels die zij bevat door lidstatelijk recht kunnen worden gespecificeerd of beperkt, kunnen de lidstaten indien nodig elementen van deze verordening in hun recht opnemen om de samenhang te garanderen en om de nationale bepalingen begrijpelijk te maken voor degenen op wie zij van toepassing zijn.
[…]
(10) Teneinde natuurlijke personen een consistent en hoog beschermingsniveau te bieden en de belemmeringen voor het verkeer van persoonsgegevens binnen de Unie op te heffen, dient het niveau van bescherming van de rechten en vrijheden van natuurlijke personen op het vlak van verwerking van deze gegevens in alle lidstaten gelijkwaardig te zijn. Er moet gezorgd worden voor een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens. Met het oog op de verwerking van persoonsgegevens voor het vervullen van een wettelijke verplichting, voor het vervullen van een taak van algemeen belang of bij de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend, moet de lidstaten worden toegestaan nationale bepalingen te handhaven of in te voeren ter nadere precisering van de wijze waarop de regels van deze verordening moeten worden toegepast. […]
[…]
(45) Indien de verwerking wordt verricht omdat de verwerkingsverantwoordelijke hiertoe wettelijk is verplicht of indien de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang dan wel voor een taak in het kader van de uitoefening van het openbaar gezag, dient de verwerking een grondslag te hebben in het Unierecht of het lidstatelijke recht. Deze verordening schrijft niet voor dat voor elke afzonderlijke verwerking specifieke wetgeving vereist is. Er kan worden volstaan met wetgeving die als basis fungeert voor verscheidene verwerkingen op grond van een wettelijke verplichting die op de verwerkingsverantwoordelijke rust, of voor verwerking die noodzakelijk is voor de vervulling van een taak van algemeen belang dan wel voor een taak in het kader van de uitoefening van het openbaar gezag. Het moet ook het Unierecht of het lidstatelijke recht zijn dat het doel van de verwerking bepaalt. Voorts zou dat recht een nadere omschrijving kunnen geven van de algemene voorwaarden van deze verordening waaraan de persoonsgegevensverwerking moet voldoen om rechtmatig te zijn, en specificaties kunnen vaststellen voor het bepalen van de verwerkingsverantwoordelijke, het type verwerkte persoonsgegevens, de betrokkenen, de entiteiten waaraan de persoonsgegevens mogen worden vrijgegeven, de doelbinding, de opslagperiode en andere maatregelen om te zorgen voor rechtmatige en behoorlijke verwerking. […]
[…]
(155) In het lidstatelijke recht of in collectieve overeenkomsten, met inbegrip van ,bedrijfsovereenkomsten’, kunnen specifieke regels worden vastgesteld voor de verwerking van de persoonsgegevens van werknemers in het kader van de arbeidsverhouding, met name voor de voorwaarden waaronder persoonsgegevens in de arbeidsverhouding op basis van de toestemming van de werknemer mogen worden verwerkt, voor de aanwerving, voor de uitvoering van de arbeidsovereenkomst, met inbegrip van de naleving van wettelijke of uit collectieve overeenkomsten voortvloeiende verplichtingen, voor het beheer, de planning en de organisatie van de arbeid, voor gelijkheid, diversiteit, gezondheid en veiligheid op het werk, voor de uitoefening en het genot van de met de arbeidsverhouding samenhangende individuele of collectieve rechten en voordelen, en voor de beëindiging van de arbeidsverhouding.
[…]”
4. Artikel 5 („Beginselen inzake verwerking van persoonsgegevens”) schrijft voor:
„1. Persoonsgegevens moeten:
a) worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (,rechtmatigheid, behoorlijkheid en transparantie’);
b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; de verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 89, lid 1, niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd (,doelbinding’);
c) toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (,minimale gegevensverwerking’);
d) juist zijn en zo nodig worden geactualiseerd; alle redelijke maatregelen moeten worden genomen om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren (,juistheid’);
e) worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is; persoonsgegevens mogen voor langere perioden worden opgeslagen voor zover de persoonsgegevens louter met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden worden verwerkt overeenkomstig artikel 89, lid 1, mits de bij deze verordening vereiste passende technische en organisatorische maatregelen worden getroffen om de rechten en vrijheden van de betrokkene te beschermen (,opslagbeperking’);
f) door het nemen van passende technische of organisatorische maatregelen op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging (,integriteit en vertrouwelijkheid’).
2. De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen (,verantwoordingsplicht’).”
5. In artikel 6 („Rechtmatigheid van de verwerking”) AVG wordt bepaald:
„1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
[…]
e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.
De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken.
2. De lidstaten kunnen specifiekere bepalingen handhaven of invoeren ter aanpassing van de manier waarop de regels van deze verordening met betrekking tot de verwerking met het oog op de naleving van lid 1, punten c) en e), worden toegepast; hiertoe kunnen zij een nadere omschrijving geven van specifieke voorschriften voor de verwerking en andere maatregelen om een rechtmatige en behoorlijke verwerking te waarborgen, ook voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX.
3. De rechtsgrond voor de in lid 1, punten c) en e), bedoelde verwerking moet worden vastgesteld bij:
a) Unierecht; of
b) lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is.
Het doel van de verwerking wordt in die rechtsgrond vastgesteld of is met betrekking tot de in lid 1, punt e), bedoelde verwerking noodzakelijk voor de vervulling van een taak van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend. Die rechtsgrond kan specifieke bepalingen bevatten om de toepassing van de regels van deze verordening aan te passen, met inbegrip van de algemene voorwaarden inzake de rechtmatigheid van verwerking door de verwerkingsverantwoordelijke; de types verwerkte gegevens; de betrokkenen; de entiteiten waaraan en de doeleinden waarvoor de persoonsgegevens mogen worden verstrekt; de doelbinding; de opslagperioden; en de verwerkingsactiviteiten en -procedures, waaronder maatregelen om te zorgen voor een rechtmatige en behoorlijke verwerking, zoals die voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX. Het Unierecht of het lidstatelijke recht moet beantwoorden aan een doelstelling van algemeen belang en moet evenredig zijn met het nagestreefde gerechtvaardigde doel.
4. Wanneer de verwerking voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld niet berust op toestemming van de betrokkene of op een Unierechtelijke bepaling of een lidstaatrechtelijke bepaling die in een democratische samenleving een noodzakelijke en evenredige maatregel vormt ter waarborging van de in artikel 23, lid 1, bedoelde doelstellingen houdt de verwerkingsverantwoordelijke bij de beoordeling van de vraag of de verwerking voor een ander doel verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld onder meer rekening met:
a) ieder verband tussen de doeleinden waarvoor de persoonsgegevens zijn verzameld, en de doeleinden van de voorgenomen verdere verwerking;
b) het kader waarin de persoonsgegevens zijn verzameld, met name wat de verhouding tussen de betrokkenen en de verwerkingsverantwoordelijke betreft;
c) de aard van de persoonsgegevens, met name of bijzondere categorieën van persoonsgegevens worden verwerkt, overeenkomstig artikel 9, en of persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten worden verwerkt, overeenkomstig artikel 10;
d) de mogelijke gevolgen van de voorgenomen verdere verwerking voor de betrokkenen;
e) het bestaan van passende waarborgen, waaronder eventueel versleuteling of pseudonimisering.”
6. Artikel 88 („Verwerking in het kader van de arbeidsverhouding”) luidt:
„1. Bij wet of bij collectieve overeenkomst kunnen de lidstaten nadere regels vaststellen ter bescherming van de rechten en vrijheden met betrekking tot de verwerking van de persoonsgegevens van werknemers in het kader van de arbeidsverhouding, in het bijzonder met het oog op aanwerving, de uitvoering van de arbeidsovereenkomst, met inbegrip van de naleving van wettelijke of uit collectieve overeenkomsten voortvloeiende verplichtingen, het beheer, de planning en de organisatie van de arbeid, gelijkheid en diversiteit op het werk, gezondheid en veiligheid op het werk, bescherming van de eigendom van de werkgever of de klant dan wel met het oog op de uitoefening en het genot van de met de arbeidsverhouding samenhangende individuele of collectieve rechten en voordelen, en met het oog op de beëindiging van de arbeidsverhouding.
2. Die regels omvatten passende en specifieke maatregelen ter waarborging van de menselijke waardigheid, de gerechtvaardigde belangen en de grondrechten van de betrokkene, met name wat betreft de transparantie van de verwerking, de doorgifte van persoonsgegevens binnen een concern of een groepering van ondernemingen die gezamenlijk een economische activiteit uitoefenen en toezichtsystemen op het werk.
3. Elke lidstaat deelt de Commissie uiterlijk op 25 mei 2018 de overeenkomstig lid 1 vastgestelde wetgevingsbepalingen mee, alsook onverwijld alle latere wijzigingen daarvan.”
B. Nationaal recht
1. Hessisches Datenschutz- und Informationsfreiheitsgesetz
7. In § 23 van het Hessische Datenschutz- und Informationsfreiheitsgesetz(4) wordt bepaald:
„(1) Persoonsgegevens van werknemers kunnen ten behoeve van de arbeidsverhouding worden verwerkt indien dit noodzakelijk is voor het nemen van een besluit over de totstandkoming van een arbeidsverhouding, of indien dit na de totstandkoming van de arbeidsverhouding noodzakelijk is voor de uitvoering, beëindiging of afwikkeling daarvan, alsmede voor de uitvoering van bedrijfsinterne plannings-, organisatorische, sociale en personeelsmaatregelen. Dit geldt ook voor de uitoefening respectievelijk de nakoming van de rechten en verplichtingen die betrekking hebben op de behartiging van werknemersbelangen en die voortvloeien uit een wet, een collectieve arbeidsovereenkomst of een bedrijfs- of dienstakkoord (collectieve overeenkomst).
[…]
(4) Persoonsgegevens van werknemers, daaronder begrepen bijzondere categorieën persoonsgegevens, mogen in het kader van de arbeidsverhouding worden verwerkt op grond van collectieve overeenkomsten. Daarbij dienen de onderhandelende partijen artikel 88, lid 2, [AVG] in acht te nemen.
(5) De verwerkingsverantwoordelijke moet passende maatregelen nemen om ervoor te zorgen dat met name de in artikel 5 [AVG] neergelegde beginselen inzake de verwerking van persoonsgegevens worden nageleefd.”
[…]
(8) Personeelsleden in de zin van deze wet zijn:
[…]
7. ambtenaren die zijn onderworpen aan het Hessische Beamtengesetz[(5)], de magistraten van de deelstaat en personen die een publieke taak uitoefenen.
[…]”
2. Hessisches Beamtengesetz
8. In § 86, lid 4, valt te lezen:
„De werkgever mag persoonsgegevens van sollicitanten, ambtenaren en gewezen ambtenaren enkel verzamelen voor zover dit ofwel noodzakelijk is voor de totstandbrenging, uitvoering, beëindiging of afwikkeling van de arbeidsverhouding of voor de uitvoering van organisatorische, personeels- en sociale maatregelen, met name ook met het oog op de personeelsplanning en de inzet van personeel, ofwel toegestaan is op grond van een wettelijke bepaling of een dienstakkoord. […]”
II. Feiten, hoofdgeding en prejudiciële vragen
9. Het Verwaltungsgericht Wiesbaden (bestuursrechter in eerste aanleg Wiesbaden, Duitsland), waarvan dit verzoek om een prejudiciële beslissing oorspronkelijk afkomstig is, heeft geen gedetailleerde beschrijving gegeven van de feiten van het geding, de litigieuze bepalingen(6) of het verloop van de procedure, doch heeft zich veeleer geconcentreerd op het uiteenzetten van zijn vraagtekens bij juridische aspecten van het geding.
10. De verwijzende rechter beperkt zich tot de vaststelling dat partijen „het niet eens [zijn] over de vraag of bij de invoering van livestreamonderwijs via videoconferentiesystemen, naast de toestemming van de ouders voor hun kinderen of van meerderjarige scholieren, ook de instemming van de betrokken leerkracht vereist is, dan wel of de in dit verband verrichte gegevensverwerking bestreken wordt door § 23, lid 1, eerste volzin, HDSIG […]”.
11. In het bijzonder vraagt hij zich af of § 23, lid 1, eerste volzin, HDSIG een „nadere regel” met betrekking tot de verwerking van de persoonsgegevens van werknemers in de zin van artikel 88, lid 1, AVG vormt. In zijn opvatting voldoet die eerste bepaling niet aan de vereisten van artikel 88, lid 2, AVG, aangezien:
– daarin als rechtsgrondslag voor de verwerking van de gegevens van werknemers of ambtenaren enkel wordt verwezen naar de „noodzaak”;
– elke verwerking van gegevens van werknemers die verder gaat dan de strikt noodzakelijke gegevensverwerking uit hoofde van de arbeidsovereenkomst moet worden uitgevoerd na een belangenafweging die meer dient te omvatten dan de vaststelling van de loutere noodzaak, iets waarin het nationale recht niet voorziet.
12. De verwijzende rechter verklaart zich niet te kunnen vinden in de rechtspraak van het Bundesarbeitsgericht (hoogste federale rechter in arbeidszaken, Duitsland) inzake de verenigbaarheid van het federale equivalent van § 23, lid 1, eerste volzin, HDSIG(7) met artikel 88 AVG.
13. De verwijzende rechter is daarentegen van oordeel dat:
– de invoering van het „noodzaak”-beginsel in de nationale wetgeving niet kan worden beschouwd als een concretisering van de vereisten van artikel 88, lid 2, AVG;
– de bepaling dat de verwerkingsverantwoordelijke met name de in artikel 5 AVG neergelegde beginselen moet naleven evenmin voldoet aan die vereisten, daar artikel 5 niet voorziet in een bijzondere bescherming van werknemers;
– de wetgever, door voor te schrijven dat artikel 88, lid 2, AVG bij collectieve overeenkomsten in acht moet worden genomen weliswaar principieel het bestaan van die bepaling heeft onderkend, maar in de wet zelf of in de motivering van de betreffende wettelijke regeling niet is ingegaan op de in voornoemde bepaling van de AVG vervatte voorwaarden, noch daaraan heeft voldaan.
14. Tegen deze achtergrond legt de verwijzende rechter het Hof de volgende vragen voor:
„1) Dient artikel 88, lid 1, [AVG] aldus te worden uitgelegd dat een bepaling slechts als een nadere regel ter bescherming van de rechten en vrijheden met betrekking tot de verwerking van de persoonsgegevens van werknemers in het kader van de arbeidsverhouding in de zin van artikel 88, lid 1, [AVG] kan worden aangemerkt indien zij voldoet aan de vereisten die krachtens artikel 88, lid 2, van die verordening gelden voor dergelijke regels?
2) Kan een nationale norm toepasselijk blijven hoewel zij kennelijk niet voldoet aan de vereisten van artikel 88, lid 2, [AVG]?”
III. Procedure bij het Hof
15. Het verzoek om een prejudiciële beslissing is op 20 januari 2021 ingekomen ter griffie van het Hof.
16. De bevoegdheid om het hoofdgeding te beslechten berust met ingang van 1 december 2021(8) bij het Verwaltungsgericht Frankfurt am Main, waar de behandeling van het geding is voortgezet.
17. De Duitse, de Oostenrijkse en de Roemeense regering en de Europese Commissie hebben schriftelijke opmerkingen ingediend. Naast deze regeringen en de Commissie heeft ook het onderwijspersoneelscomité schriftelijk geantwoord op de vragen die het Hof hun vóór de terechtzitting had gesteld.
18. Ter terechtzitting op 30 juni 2022 zijn verschenen het onderwijspersoneelscomité, het ministerie van Onderwijs en Cultuur van de deelstaat Hessen, de Duitse regering en de Commissie.
IV. Beoordeling
A. Ontvankelijkheid van de prejudiciële verwijzing
19. De Duitse regering heeft in haar opmerkingen betoogd dat het verzoek om een prejudiciële beslissing niet-ontvankelijk moet worden verklaard omdat de verwijzende rechter bij het beantwoorden van de vraag of de verwerking van persoonsgegevens die inherent is aan het livestreamen van onderwijs onder § 23, lid 1, HDSIG valt, niet heeft gemotiveerd waarom er geen rekening is gehouden met de mogelijkheid dat die verwerking op basis van de toestemming van de leerkracht is toegestaan.
20. Ter terechtzitting heeft de Duitse regering dit bezwaar gedeeltelijk genuanceerd door te erkennen dat het Hof zich zou moeten uitspreken (en de verwijzing dus ontvankelijk zou zijn) indien de betrokken leerkrachten niet in de verwerking zouden hebben toegestemd.
21. In ieder geval kan het Hof slechts weigeren uitspraak te doen over een door een nationale rechter gestelde prejudiciële vraag wanneer de verlangde uitlegging van het Unierecht duidelijk geen verband houdt met een reëel geschil of met het voorwerp van het hoofdgeding, wanneer het probleem hypothetisch is of wanneer het Hof niet beschikt over de feitelijke en juridische gegevens die het nodig heeft om een nuttig antwoord op de gestelde vragen te kunnen geven.(9)
22. Van geen van deze omstandigheden is sprake in de onderhavige prejudiciële verwijzing, zodat het vermoeden van relevantie geldt.(10) De aan de prejudiciële verwijzing ten grondslag liggende aanname is dat niet alle leerkrachten noodzakelijkerwijs zullen instemmen met de verwerking van hun persoonsgegevens, zodat het van belang blijft om te bepalen of de regel(11) die die verwerking zonder toestemming van de betrokkene zou legitimeren in overeenstemming met het Unierecht is.
23. De prejudiciële verwijzing spitst zich juist toe op de vraag of de regeling die de basis vormt voor de verwerking van persoonsgegevens van leerkrachten zonder dat zij hun toestemming hebben gegeven, al dan niet voldoet aan de vereisten van artikel 88, leden 1 en 2, AVG. Het bestaan van een voldoende verband tussen het geding en de bepalingen van Unierecht waarvan de uitlegging wordt gevraagd is derhalve onbetwistbaar.
B. Ten gronde
1. Inleidende overwegingen
24. Met zijn eerste prejudiciële vraag wenst de verwijzende rechter te vernemen of een wettelijke bepaling slechts als een „nadere regel” in de zin van artikel 88, lid 1, AVG kan worden aangemerkt indien zij voldoet aan de vereisten van artikel 88, lid 2, AVG.
25. De lezing van artikel 88 AVG leidt tot de conclusie dat de in lid 1 daarvan bedoelde „nadere regels” moeten voldoen aan de vereisten van lid 2.
26. Volgens artikel 88, lid 2, AVG moeten „die regels” (d.w.z. de nadere regels als bedoeld in lid 1 die de lidstaten kunnen vaststellen) „passende en specifieke maatregelen” omvatten om de waardigheid, de gerechtvaardigde belangen en de grondrechten van werknemers te beschermen. In die regels moet bijzondere aandacht worden besteed aan de transparantie van de verwerking, de doorgifte van gegevens binnen een concern of een groepering van ondernemingen en de toezichtsystemen op het werk.
27. Tussen beide leden van artikel 88 AVG bestaat dus een evident verband: lid 2 specificeert in dwingende bewoordingen(12) de inhoud van de nadere regels die de lidstaten op grond van lid 1 kunnen vaststellen in het kader van de arbeidsverhouding.
28. De beantwoording van deze vraag levert daarom geen majeure problemen op: artikel 88 AVG moet aldus worden uitgelegd dat om een wettelijke bepaling te kunnen aanmerken als een „nadere regel” in de zin van lid 1 van dat artikel, zij – om de bewoordingen van de verwijzende rechter te parafraseren – „moet voldoen aan de vereisten” van lid 2.
29. Het is niet waarschijnlijk dat de verwijzende rechter de hulp van het Hof nodig heeft om tot deze slotsom te komen. Daarom moet de werkelijke strekking van de eerste prejudiciële vraag misschien worden afgeleid uit de tweede. Met die laatste vraag wenst de verwijzende rechter te vernemen of een nationale regel die „niet voldoet aan de vereisten van artikel 88, lid 2, [AVG]”(13) toepasselijk kan blijven.
30. Vanuit dit oogpunt (dat het oogpunt van de verwijzingsbeslissing is) strekt het debat zich uit tot de vraag of wettelijke bepalingen die de lidstaten hebben vastgesteld op grond van artikel 88, lid 1, AVG, maar die niet in overeenstemming zijn met artikel 88, lid 2, AVG de bescherming van andere regels van de AVG kunnen genieten, met name die van andere open clausules van die verordening, zoals artikel 6, lid 2.
31. De overlapping van de twee vragen van de verwijzende rechter is van dien aard dat zowel de Oostenrijkse regering als de Commissie geneigd is om de vragen van een gezamenlijk antwoord te voorzien, een zienswijze die ik deel en die ik zal volgen.
2. Artikel 88 AVG en publieke onderwijstaak
32. De verwijzende rechter gaat ervan uit, wat de nationale regels inzake gegevensbescherming aangaat, dat de in het onderwijspersoneelscomité vertegenwoordigde leerkrachten en het ministerie van Onderwijs en Cultuur van de deelstaat Hessen een arbeidsverhouding hebben.
33. Deze aanname strookt met het HDSIG, dat, bij het reguleren van de verwerking van persoonsgegevens van werknemers, ambtenaren die zijn onderworpen aan de HBG – waaronder leerkrachten – als werknemers in de zin van die wet kwalificeert.
34. De verwijzende rechter twijfelt dan ook op geen enkel moment aan de toepasselijkheid van artikel 88 AVG op werknemers van de deelstaat die publieke onderwijstaken uitoefenen.
35. Ook partijen in het hoofdgeding en andere belanghebbenden hebben – daarnaar gevraagd door het Hof – geen vraagtekens bij dit aspect gezet. Allen zijn het erover eens dat een dienstverband in het openbaar onderwijs niet buiten de werkingssfeer van artikel 88 AVG valt.
36. Mij schijnt toe dat die zienswijze juist is en kan worden gehanteerd om het toepassingsbereik van artikel 88 AVG te analyseren voor zover daarin wordt gesproken van de „bescherming van […] de persoonsgegevens van werknemers in het kader van de arbeidsverhouding”.
37. De categorie werknemers in ruime zin omvat uiteraard, zoals de Duitse regering heeft onderstreept, leerkrachten in het openbaar onderwijs die hun diensten verlenen aan de deelstaat en wier belangen worden behartigd door het onderwijspersoneelscomité.
38. De rechtspraak van het Hof inzake de arbeidsverhouding(14) en inzake het begrip „werknemers” in relatie tot het vrije verkeer van werknemers en de niet-toepasselijkheid van het oude artikel 39, lid 4, EG (thans artikel 45, lid 4, VWEU) op betrekkingen in overheidsdienst kan naar analogie als inspiratiebron voor de door mij voorgestelde oplossing dienen.
39. Volgens deze rechtspraak, waarin het functionele aspect van de uitgevoerde taak wordt benadrukt:
– moet het begrip „overheidsdienst” in dit verband in de gehele Unie op dezelfde wijze worden uitgelegd en toegepast en kan het derhalve niet volledig aan het eigen inzicht van de lidstaten worden overgelaten;
– ziet artikel 45, lid 4, VWEU op betrekkingen die de rechtstreekse of indirecte deelneming aan de uitoefening van het openbaar gezag inhouden en die werkzaamheden omvatten strekkende tot bescherming van de algemene belangen van de staat of van andere openbare lichamen.(15)
40. Aangezien leerkrachten in overheidsdienst als zodanig niet deelnemen aan de uitoefening van het openbaar gezag in enge zin, maar veeleer een dienstverlenende activiteit van educatieve aard verrichten(16), die vergelijkbaar is met die welke leerkrachten verrichten voor andere, particuliere entiteiten of ondernemingen, kunnen zij in algemene zin – en bijgevolg ook op het gebied van de gegevensbescherming – als „werknemers” worden aangemerkt.
41. Elke andere conclusie zou impliceren dat, zoals de Oostenrijkse regering heeft benadrukt, situaties die in wezen gelijkwaardig zijn, zoals – in materiële zin – de positie van leerkrachten in overheidsdienst en die van leerkrachten in de particuliere sector, ongelijk worden behandeld. Dat zou des te ernstiger zijn aangezien, zoals de Commissie heeft aangevoerd, het begrip overheidsdienst niet is geharmoniseerd binnen de Unie, met als gevolg dat bij een andere uitlegging de werkingssfeer van artikel 88 AVG zou afhangen van het nationale recht.
3. Open clausules in de AVG
42. Zoals advocaat-generaal Bobek heeft opgemerkt in de zaak Fashion ID(17), heeft de vervanging van richtlijn 95/46/EG(18) door de AVG bovenal geleid tot een fundamentele wijziging van de aard van het rechtsinstrument dat de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens regelt.
43. Dat instrument is niet langer een richtlijn (dat wil zeggen een regel die een resultaatverplichting oplegt en het aan de nationale autoriteiten laat om de vorm en de middelen te kiezen), maar een verordening. Een verordening, die verbindend is in al haar onderdelen en rechtstreeks toepasselijk is in elke lidstaat, staat in beginsel niet toe, tenzij uitdrukkelijk anders wordt bepaald, dat nationale regels de inhoud ervan overnemen (of reproduceren).(19)
44. Ofschoon de AVG verder is gegaan dan de door richtlijn 95/46 nagestreefde harmonisatie(20), heeft het praktisch universele karakter van de gebieden van menselijke activiteit waar persoonsgegevens worden gegenereerd waarvan de verwerking moet worden beschermd(21), de wetgever ertoe gebracht de lidstaten de bevoegdheid te verlenen om:
– bepaalde elementen van de AVG in hun nationale recht te integreren wanneer in de AVG wordt bepaald dat de regels ervan kunnen worden gespecificeerd of beperkt door het recht van de lidstaten;
– nationale bepalingen te handhaven of in te voeren ter nadere precisering van de wijze waarop bepaalde regels van de AVG moeten worden toegepast(22).
45. Hoewel de AVG tot doel heeft om een coherente en homogene toepassing van de beschermingsregels in de gehele Unie te waarborgen en belemmeringen voor het verkeer van persoonsgegevens binnen de Unie weg te nemen(23), heeft de Uniewetgever moeten erkennen, zoals advocaat-generaal Richard de la Tour heeft opgemerkt, dat de werkelijkheid complexer blijkt: ondanks de transversale aard ervan, kon de AVG niet anticiperen op alle mogelijke vertakkingen van de bescherming van persoonsgegevens op gebieden als consumptie, mededinging en arbeid(24).
46. Dit verklaart waarom de AVG de lidstaten de mogelijkheid biedt om aanvullende nationale regels vast te stellen die strenger zijn of voorzien in afwijkingen. De lidstaten beschikken over een beoordelingsmarge met betrekking tot de wijze waarop zij deze bepalingen toepassen („open clausules”).(25)
47. De relatieve wildgroei van dergelijke clausules is nadelig gebleken voor de volledige harmonisatie van de bescherming van persoonsgegevens.(26) Zoals de Commissie heeft erkend, heeft het feit dat de AVG de lidstaten verplicht om op bepaalde gebieden wetgeving vast te stellen en hun tegelijkertijd de mogelijkheid biedt om op andere gebieden de regels van de AVG te specificeren, geleid tot „een zekere mate van versnippering die voornamelijk is te wijten aan het wijdverbreide gebruik van facultatieve specificatieclausules”.(27)
48. De clausule die in casu in het bijzonder van belang is, is die van artikel 88, lid 1, AVG. Het verband daarvan met artikel 6, lid 1, onder b) en e), van diezelfde verordening moet echter summier worden onderzocht, zoals ter terechtzitting is gebeurd.
a) Artikel 6, lid 2, AVG
49. Ingekaderd in hoofdstuk II AVG, inzake de „beginselen” die aan de verwerking van persoonsgegevens ten grondslag liggen en bijgevolg de algemene regeling van het systeem configureren, worden in artikel 6, lid 1, de voorwaarden voor de rechtmatigheid van de verwerking opgesomd. In concreto wordt in lid 1, onder a), de toestemming van de betrokkene als voorwaarde gesteld, en onder b) de noodzakelijkheid van de verwerking voor de uitvoering van een overeenkomst waarbij de betrokkene partij is.
50. Die voorwaarden komen boven op de voorwaarden die voortvloeien uit de beginselen die in artikel 5 AVG in algemene zin zijn neergelegd(28) en die worden gespecificeerd in de artikelen 7 tot en met 11 AVG betreffende de toestemming (artikel 7 en – met betrekking tot minderjarigen – artikel 8), de verwerking van bijzondere categorieën van persoonsgegevens (artikel 9), strafrechtelijke veroordelingen en strafbare feiten (artikel 10) en verwerking waarvoor identificatie niet is vereist (artikel 11).
51. Aan dit geheel van beginselen en regels kunnen de lidstaten „specifiekere bepalingen” toevoegen, die zij krachtens artikel 6, lid 2, AVG invoeren (of handhaven) „ter aanpassing van de manier waarop de regels van [de AVG] worden toegepast” met betrekking tot twee specifieke verwerkingen, indien deze noodzakelijk blijken voor:
– de nakoming van een wettelijke verplichting [artikel 6, lid 1, onder c)].
– de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag [artikel 6, lid 1, onder e)](29).
52. Die „aanpassing”, zo voegt de bepaling daaraan toe, zal erin bestaan „een nadere omschrijving [te] geven van specifieke voorschriften voor de verwerking en andere maatregelen om een rechtmatige en behoorlijke verwerking te waarborgen, ook voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX”.
53. Dit laatste deel van de bepaling heeft niet de gewenste duidelijkheid, aangezien het niet eenvoudig is om eruit op te maken of – wederom wat de in artikel 6, lid 1, onder c) en e), bedoelde verwerkingen betreft – de regeling van andere specifieke situaties dan die waarin hoofdstuk IX reeds voorziet is toegestaan dan wel of de in dat hoofdstuk genoemde situaties de enige zijn die de AVG voor deze twee verwerkingen toestaat.
b) Artikel 88, lid 1, AVG
54. In ieder geval is – het zij nogmaals gezegd – de open clausule die hier van belang is, omdat de verwijzende rechter zich daarop concentreert, die van artikel 88, lid 1, AVG. Ik wil eraan herinneren dat volgens de bewoordingen ervan de lidstaten bij wet of collectieve overeenkomst „nadere regels [kunnen] vaststellen ter bescherming van de rechten en vrijheden met betrekking tot de verwerking van de persoonsgegevens van werknemers in het kader van de arbeidsverhouding”.
55. De verwerking van die persoonsgegevens kan specifiek worden uitgevoerd met het oog op:
– aanwerving, de uitvoering van de arbeidsovereenkomst(30), het beheer, de planning en de organisatie van de arbeid, gelijkheid en diversiteit op het werk, gezondheid en veiligheid op het werk, bescherming van de eigendom van de werkgever of de klant;
– de uitoefening en het genot van de met de arbeidsverhouding samenhangende individuele of collectieve rechten en voordelen, en
– de beëindiging van de arbeidsverhouding.
56. De bevoegdheid om die bepalingen vast te stellen is in sommige opzichten nadeling voor de harmonisatie. De nationale regels die op grond van artikel 88, lid 1, AVG kunnen worden vastgesteld, kunnen in een of meer lidstaten leiden tot de invoering van verschillen in het algemene regime van de AVG die verder gaan dan louter een „aanpassing” uit hoofde van artikel 6, lid 2, AVG.
– Artikel 6, lid 2, AVG verleent de lidstaten de bevoegdheid om de toepassing van bepaalde bepalingen van de AVG aan te passen.
– Artikel 88, lid 1, AVG staat de lidstaten daarentegen toe om nadere waarborgen vast te stellen. Het betreft derhalve een intensievere vorm van regelgevingsactiviteit, waarvan geen sprake is wanneer het slechts gaat om het aanpassen van de toepassing van bepalingen van de AVG waarvan de inhoud en reikwijdte als definitief moeten worden beschouwd(31).
4. Artikel 23 HDSIG in samenhang met de AVG
57. Overeenkomstig artikel 88, lid 3, AVG heeft de Bondsrepubliek Duitsland de Commissie ervan in kennis gesteld dat § 23 HDSIG een van de wettelijke bepalingen is die die lidstaat op grond van artikel 88, lid 1, AVG heeft vastgesteld.
58. Naar mijn oordeel, dat op dit punt overeenkomt met dat van de verwijzende rechter en dat van de Commissie, voldoet § 23 HDSIG niet aan de in artikel 88, lid 1, AVG neergelegde voorwaarde omtrent het vaststellen van „nadere regels” ter bescherming van de rechten en vrijheden met betrekking tot de verwerking van de persoonsgegevens van werknemers in het kader van de arbeidsverhouding.
59. Zowel § 23, lid 1, eerste volzin, HDSIG als § 86, lid 4, eerste volzin, HBG schrijft enkel voor dat de persoonsgegevens van werknemers en ambtenaren mogen worden verwerkt in het kader van de arbeidsverhouding indien dit „noodzakelijk” is voor een van de volgende doelstellingen:
– de besluitvorming over de totstandkoming van die verhouding of, wanneer deze tot stand is gekomen, de uitvoering, beëindiging of afwikkeling ervan, of
– de uitvoering van bedrijfsinterne plannings-, organisatorische, sociale en personeelsmaatregelen.
60. Feitelijk stellen beide regels de verwerking van de persoonsgegevens van werknemers afhankelijk van de enkele omstandigheid dat dit voor bepaalde doeleinden noodzakelijk is.
61. Het betreft dus geen bepalingen die sterk verschillen van artikel 6, lid 1, onder b), AVG („[d]e verwerking is alleen rechtmatig indien […] de verwerking […] noodzakelijk [is] voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen”).(32)
62. § 23 HDSIG herhaalt derhalve een reeds door artikel 6, lid 1, onder b), AVG vastgestelde voorwaarde voor de algemene rechtmatigheid van de verwerking, maar voegt geen nadere regel toe ter bescherming van de rechten die in het geding zijn bij de verwerking van persoonsgegevens in het kader van de arbeidsverhouding.(33)
63. Hetzelfde resultaat zou worden bereikt indien de litigieuze onderwijsactiviteit bij artikel 6, lid 1, onder e), AVG zou worden ondergebracht (dat wil zeggen indien de litigieuze verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag).(34)
64. In het geval van artikel 6, lid 1, onder c) en e), AVG staat artikel 6, lid 2, de lidstaten toe om, zoals ik reeds heb opgemerkt, „specifiekere bepalingen [te handhaven of in te voeren waarin] een nadere omschrijving [wordt gegeven] van specifieke voorschriften voor de verwerking”.
65. Ik wijs er nogmaals op dat § 23 HDSIG geen „specifiekere bepaling” vormt, maar zich beperkt tot het toestaan van de verwerking van gegevens van werknemers wanneer dat noodzakelijk blijkt. § 23 HDSIG gaat niet zo ver dat daarin de voorwaarden van die eventuele verwerking concreet worden gemaakt.
66. Tegen deze opvatting heeft de Duitse regering ingebracht dat het „onmogelijk en onhaalbaar” zou zijn om de verscheidenheid aan gegevensverwerkingen in het kader van de arbeidsverhouding tot in detail te regelen. Volgens deze regering zou een wettelijke regeling die in voorkomend geval kan dienen als grondslag voor verwerkingen die geen specifiekere juridische basis vereisen, afdoende moeten zijn.(35)
67. Aangaande het voorgaande volstaat de repliek dat, hoe moeilijk de taak ook moge zijn, artikel 88, lid 3, AVG, dwingend bepaalt dat de lidstaten de Commissie in kennis moeten stellen van „de overeenkomstig lid 1 [van dat artikel] vastgestelde wetgevingsbepalingen”. Het gaat daarbij niet om de (basis)bepalingen die de grondslag vormen voor bepalingen waarbij specifiekere regels worden vastgesteld, maar juist om die specifiekere regels. De kennisgeving moet uitdrukkelijk en op individuele basis worden gedaan.(36)
68. Wat § 23 HDSIG kortom doet, is de reeds in artikel 88, lid 1, AVG vervatte bevoegdheidsverlening herhalen of, met andere woorden, de deur openen naar de vaststelling (of handhaving) van nadere regels.
69. Behalve dat § 23 HDSIG op zichzelf geen „nadere regels” in de zin van artikel 88, lid 1, AVG vaststelt, omvat het ook geen „passende en specifieke maatregelen ter waarborging van de menselijke waardigheid, de gerechtvaardigde belangen en de grondrechten van de betrokkene”.
70. Door het ontbreken van dergelijke maatregelen voldoet § 23 HDSIG niet aan de in artikel 88, lid 2, AVG vastgestelde voorwaarde om gedifferentieerde wetgeving van de lidstaten op het gebied van arbeidsverhoudingen toe te staan.
71. Daar in de prejudiciële verwijzing wordt verzocht om een onderzoek van wettelijke bepalingen en niet van collectieve overeenkomsten, zal ik niet ingaan op collectieve overeenkomsten(37), maar mij uitsluitend richten op wettelijke bepalingen.
72. Wat deze bepalingen betreft, kan de nationale wetgever zich niet beperken, zoals § 23, lid 5, HDSIG doet, tot het aan de verwerkingsverantwoordelijke opleggen van de verplichting om passende maatregelen te nemen om ervoor te zorgen „dat met name de in artikel 5 [AVG] neergelegde beginselen inzake de verwerking van persoonsgegevens worden nageleefd”. Deze bepaling is redundant aangezien elke gegevensverwerking in beginsel in elk geval moet voldoen aan de voorwaarden van artikel 5 AVG.
73. Artikel 88, lid 2, AVG ziet op het nemen van maatregelen waarmee – wat de beoogde waarborgen betreft – de specifieke aard van de op grond van artikel 88, lid 1, AVG vastgestelde regels naar behoren wordt weerspiegeld. Wat dus wordt beoogd, is dat de bijzondere situatie die door deze laatste bepaling wordt toegestaan, in voorkomend geval naar behoren wordt weerspiegeld in de specifieke aard van de bijbehorende waarborgen.
74. Indien zou worden aanvaard dat § 23 HDSIG een nadere regel in de zin van artikel 88, lid 1, AVG vaststelt, dan zou dit nationale voorschrift, wat de door artikel 88, lid 2, AVG vereiste waarborgen betreft, een herhaling vormen van de waarborgen waarin artikel 5 AVG in algemene zin voorziet. In dat geval zou het benodigde evenwicht tussen de specifieke aard van de door artikel 88, lid 1, AVG toegestane regels en de specifieke aard van de door artikel 88, lid 2, AVG vereiste maatregelen „ter waarborging” verbroken zijn.
75. Ik ben dan ook de opvatting toegedaan dat § 23 HDSIG geen grond kan vinden in artikel 88 AVG, ten eerste omdat het geen nadere regels vaststelt en ten tweede omdat het zich beperkt tot een herhaling van de algemene waarborgen van artikel 5 AVG.
5. Is § 23 HDSIG niettemin toepasselijk?
76. Blijft nog de vraag of § 23 HDSIG, ondanks het voorgaande, kan worden toegepast in de nationale rechtsorde. Dit lijkt, zoals ik reeds heb opgemerkt, uiteindelijk datgene te zijn wat de verwijzende rechter wenst te vernemen.
77. De probleemstelling kan worden herleid tot de vraag of de regels die de lidstaten krachtens de open clausule van artikel 88, lid 1, AVG hebben vastgesteld en die niet voldoen aan de vereisten van artikel 88, lid 2, AVG, kunnen worden toegepast op grond van andere bepalingen van de AVG.
78. Het antwoord, waarbij ervan wordt uitgegaan dat § 23 HDSIG geen „nadere regel” in de zin van artikel 88 AVG bevat(38), kan zich in twee richtingen ontvouwen.
– § 23 HDSIG wordt irrelevant of overbodig, aangezien dat strikt genomen geen specifieke bepalingen bevat die het recht van werknemers op bescherming van hun persoonsgegevens in het kader van de arbeidsverhouding waarborgen;
– op dat gebied (arbeidsverhoudingen) moeten de bepalingen van het gemeenschappelijke regime van de AVG rechtstreeks en met voorrang worden toegepast.
79. Een andere kwestie is dat, zoals naast de Commissie ook de Oostenrijkse en de Roemeense regering hebben aangevoerd en zoals ter terechtzitting door iedereen is erkend, niets eraan in de weg staat dat een lidstaat toepassing geeft hetzij aan andere bepalingen van de AVG, hetzij krachtens artikel 6, lid 2, van die verordening aan nationale bepalingen die de verwerking van werknemersgegevens regelen op een manier die bijdraagt aan „aanpassing van de manier waarop de regels van [de AVG] […] worden toegepast”.
V. Conclusie
80. Gelet op een en ander geef ik het Hof in overweging om het Verwaltungsgericht Frankfurt am Main te antwoorden als volgt:
„Artikel 88, leden 1 en 2, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)
moet aldus worden uitgelegd dat
een door een lidstaat vastgestelde wettelijke bepaling slechts is aan te merken als een nadere regel ter bescherming van de rechten en vrijheden met betrekking tot de verwerking van de persoonsgegevens van werknemers in het kader van de arbeidsverhouding indien zij voldoet aan de vereisten van artikel 88, lid 2, van verordening 2016/679.
Indien die wettelijke bepaling niet voldoet aan de vereisten van artikel 88, lid 2, van verordening 2016/679, is zij in voorkomend geval slechts van toepassing voor zover zij kan vallen onder andere bepalingen van die verordening of onder de in artikel 6, lid 2, van die verordening bedoelde nationale bepalingen die tot aanpassing strekken.”