CONCLUSÕES DO ADVOGADO‑GERAL
MANUEL CAMPOS SÁNCHEZ‑BORDONA
apresentadas em 22 de setembro de 2022 (1)
Processo C‑34/21
Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium
sendo interveniente:
Minister des Hessischen Kultusministeriums als Dienststellenleiter
[pedido de decisão prejudicial apresentado pelo Verwaltungsgericht Frankfurt am Main (Tribunal Administrativo de Frankfurt am Main, Alemanha)]
«Reenvio prejudicial — Proteção de dados de caráter pessoal — Regulamento (UE) 2016/679 — Tratamento de dados no contexto laboral — Artigo 88.o, n.o 1 — Norma mais específica — Requisitos do artigo 88.o, n.o 2 — Sistema escolar regional — Ensino em direto através de videoconferência — Falta de consentimento expresso dos docentes»
1. No litígio que está na origem do presente pedido de decisão prejudicial, questiona‑se, em substância, se os professores ao serviço de um ministério do Hesse (Alemanha) têm de dar o seu consentimento para a difusão das suas aulas por videoconferência ou se, na falta de consentimento, o tratamento dos seus dados pessoais (2) pode ser abrangido por um dos objetivos legítimos previstos no Regulamento (UE) 2016/679 (3).
2. O reenvio prejudicial confere ao Tribunal de Justiça a oportunidade de se pronunciar pela primeira vez, salvo erro da minha parte, sobre o artigo 88.o do RGPD. Nos termos desta disposição, os Estados‑Membros podem estabelecer, no seu ordenamento jurídico ou em convenções coletivas, normas mais específicas para garantir a defesa dos direitos e liberdades no que respeita ao tratamento de dados pessoais dos trabalhadores no contexto laboral.
I. Quadro jurídico
A. Direito da União. RGPD
3. Os seguintes considerandos têm esta redação:
«[…]
(8) Caso o presente regulamento preveja especificações ou restrições das suas regras pelo direito de um Estado‑Membro, estes podem incorporar elementos do presente regulamento no respetivo direito nacional, na medida do necessário para manter a coerência e tornar as disposições nacionais compreensíveis para as pessoas a quem se aplicam.
[…]
(10) A fim de assegurar um nível de proteção coerente e elevado das pessoas singulares e eliminar os obstáculos à circulação de dados pessoais na União, o nível de proteção dos direitos e liberdades das pessoas singulares relativamente ao tratamento desses dados deverá ser equivalente em todos os Estados‑Membros. É conveniente assegurar em toda a União a aplicação coerente e homogénea das regras de defesa dos direitos e das liberdades fundamentais das pessoas singulares no que diz respeito ao tratamento de dados pessoais. No que diz respeito ao tratamento de dados pessoais para cumprimento de uma obrigação jurídica, para o exercício de funções de interesse público ou o exercício da autoridade pública de que está investido o responsável pelo tratamento, os Estados‑Membros deverão poder manter ou aprovar disposições nacionais para especificar a aplicação das regras do presente regulamento. […]
[…]
(45) Sempre que o tratamento dos dados for realizado em conformidade com uma obrigação jurídica à qual esteja sujeito o responsável pelo tratamento, ou se o tratamento for necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública, o tratamento deverá assentar no direito da União ou de um Estado‑Membro. O presente regulamento não exige uma lei específica para cada tratamento de dados. Poderá ser suficiente uma lei para diversas operações de tratamento baseadas numa obrigação jurídica à qual esteja sujeito o responsável pelo tratamento, ou se o tratamento for necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública. Deverá também caber ao direito da União ou dos Estados‑Membros determinar qual a finalidade do tratamento dos dados. Além disso, a referida lei poderá especificar as condições gerais do presente regulamento que regem a legalidade do tratamento dos dados pessoais, estabelecer regras específicas para determinar os responsáveis pelo tratamento, o tipo de dados pessoais a tratar, os titulares dos dados em questão, as entidades a que os dados pessoais podem ser comunicados, os limites a que as finalidades do tratamento devem obedecer, os prazos de conservação e outras medidas destinadas a garantir a licitude e equidade do tratamento. […]
[…]
(155) O direito do Estado‑Membro ou as convenções coletivas (incluindo «acordos setoriais») podem prever regras específicas para o tratamento de dados pessoais dos trabalhadores no contexto laboral, nomeadamente no que respeita às condições em que os dados pessoais podem ser tratados no contexto laboral, com base no consentimento do assalariado, para efeitos de recrutamento, execução do contrato de trabalho, incluindo o cumprimento das obrigações previstas por lei ou por convenções coletivas, de gestão, planeamento e organização do trabalho, de igualdade e diversidade no trabalho, de saúde e segurança no trabalho, e para efeitos de exercício e gozo, individual ou coletivo, dos direitos e benefícios relacionados com o emprego, bem como para efeitos de cessação da relação de trabalho.
[…]».
4. O artigo 5.o («Princípios relativos ao tratamento de dados pessoais») dispõe:
«1. Os dados pessoais são:
a) Objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados (“licitude, lealdade e transparência”);
b) Recolhidos para finalidades determinadas, explícitas e legítimas e não podendo ser tratados posteriormente de uma forma incompatível com essas finalidades; o tratamento posterior para fins de arquivo de interesse público, ou para fins de investigação científica ou histórica ou para fins estatísticos, não é considerado incompatível com as finalidades iniciais, em conformidade com o artigo 89.o, n.o 1 (“limitação das finalidades”);
c) Adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados (“minimização dos dados”);
d) Exatos e atualizados sempre que necessário; devem ser adotadas todas as medidas adequadas para que os dados inexatos, tendo em conta as finalidades para que são tratados, sejam apagados ou retificados sem demora (“exatidão”);
e) Conservados de uma forma que permita a identificação dos titulares dos dados apenas durante o período necessário para as finalidades para as quais são tratados; os dados pessoais podem ser conservados durante períodos mais longos, desde que sejam tratados exclusivamente para fins de arquivo de interesse público, ou para fins de investigação científica ou histórica ou para fins estatísticos, em conformidade com o artigo 89.o, n.o 1, sujeitos à aplicação das medidas técnicas e organizativas adequadas exigidas pelo presente regulamento, a fim de salvaguardar os direitos e liberdades do titular dos dados (“limitação da conservação”);
f) Tratados de uma forma que garanta a sua segurança, incluindo a proteção contra o seu tratamento não autorizado ou ilícito e contra a sua perda, destruição ou danificação acidental, adotando as medidas técnicas ou organizativas adequadas (“integridade e confidencialidade”).
2. O responsável pelo tratamento é responsável pelo cumprimento do disposto no n.o 1 e tem de poder comprová‑lo (“responsabilidade”)».
5. O artigo 6.o («Licitude do tratamento») do RGPD prevê:
«1. O tratamento só é lícito se e na medida em que se verifique pelo menos uma das seguintes situações:
a) O titular dos dados tiver dado o seu consentimento para o tratamento dos seus dados pessoais para uma ou mais finalidades específicas;
b) O tratamento for necessário para a execução de um contrato no qual o titular dos dados é parte, ou para diligências pré‑contratuais a pedido do titular dos dados;
c) O tratamento for necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito;
[…]
e) O tratamento for necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento;
f) O tratamento for necessário para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros, exceto se prevalecerem os interesses ou direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais, em especial se o titular for uma criança.
O primeiro parágrafo, alínea f), não se aplica ao tratamento de dados efetuado por autoridades públicas na prossecução das suas atribuições por via eletrónica.
2. Os Estados‑Membros podem manter ou aprovar disposições mais específicas com o objetivo de adaptar a aplicação das regras do presente regulamento no que diz respeito ao tratamento de dados para o cumprimento do n.o 1, alíneas c) e e), determinando, de forma mais precisa, requisitos específicos para o tratamento e outras medidas destinadas a garantir a licitude e lealdade do tratamento, inclusive para outras situações específicas de tratamento em conformidade com o capítulo IX.
3. O fundamento jurídico para o tratamento referido no n.o 1, alíneas c) e e), é definido:
a) Pelo direito da União; ou
b) Pelo direito do Estado‑Membro ao qual o responsável pelo tratamento está sujeito.
A finalidade do tratamento é determinada com esse fundamento jurídico ou, no que respeita ao tratamento referido no n.o 1, alínea e), deve ser necessária ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento. Esse fundamento jurídico pode prever disposições específicas para adaptar a aplicação das regras do presente regulamento, nomeadamente: as condições gerais de licitude do tratamento pelo responsável pelo seu tratamento; os tipos de dados objeto de tratamento; os titulares dos dados em questão; as entidades a que os dados pessoais poderão ser comunicados e para que efeitos; os limites a que as finalidades do tratamento devem obedecer; os prazos de conservação; e as operações e procedimentos de tratamento, incluindo as medidas destinadas a garantir a legalidade e lealdade do tratamento, como as medidas relativas a outras situações específicas de tratamento em conformidade com o capítulo IX. O direito da União ou do Estado‑Membro deve responder a um objetivo de interesse público e ser proporcional ao objetivo legítimo prosseguido.
4. Quando o tratamento para fins que não sejam aqueles para os quais os dados pessoais foram recolhidos não for realizado com base no consentimento do titular dos dados ou em disposições do direito da União ou dos Estados‑Membros que constituam uma medida necessária e proporcionada numa sociedade democrática para salvaguardar os objetivos referidos no artigo 23.o, n.o 1, o responsável pelo tratamento, a fim de verificar se o tratamento para outros fins é compatível com a finalidade para a qual os dados pessoais foram inicialmente recolhidos, tem nomeadamente em conta:
a) Qualquer ligação entre a finalidade para a qual os dados pessoais foram recolhidos e a finalidade do tratamento posterior;
b) O contexto em que os dados pessoais foram recolhidos, em particular no que respeita à relação entre os titulares dos dados e o responsável pelo seu tratamento;
c) A natureza dos dados pessoais, em especial se as categorias especiais de dados pessoais forem tratadas nos termos do artigo 9.o, ou se os dados pessoais relacionados com condenações penais e infrações forem tratados nos termos do artigo 10.o;
d) As eventuais consequências do tratamento posterior pretendido para os titulares dos dados;
e) A existência de salvaguardas adequadas, que podem ser a cifragem ou a pseudonimização».
6. O artigo 88.o («Tratamento no contexto laboral») dispõe:
«1. Os Estados‑Membros podem estabelecer, no seu ordenamento jurídico ou em convenções coletivas, normas mais específicas para garantir a defesa dos direitos e liberdades no que respeita ao tratamento de dados pessoais dos trabalhadores no contexto laboral, nomeadamente para efeitos de recrutamento, execução do contrato de trabalho, incluindo o cumprimento das obrigações previstas no ordenamento jurídico ou em convenções coletivas, de gestão, planeamento e organização do trabalho, de igualdade e diversidade no local de trabalho, de saúde e segurança no trabalho, de proteção dos bens do empregador ou do cliente e para efeitos do exercício e gozo, individual ou coletivo, dos direitos e benefícios relacionados com o emprego, bem como para efeitos de cessação da relação de trabalho.
2. As normas referidas incluem medidas adequadas e específicas para salvaguardar a dignidade, os interesses legítimos e os direitos fundamentais do titular dos dados, com especial relevo para a transparência do tratamento de dados, a transferência de dados pessoais num grupo empresarial ou num grupo de empresas envolvidas numa atividade económica conjunta e os sistemas de controlo no local de trabalho.
3. Os Estados‑Membros notificam a Comissão das disposições de direito interno que adotarem nos termos do n.o 1, até 25 de maio de 2018 e, sem demora, de qualquer alteração subsequente das mesmas.»
B. Direito nacional
1. Hessissches Datenschutz‑ und Informationsfreiheitsgesetz (4)
7. O § 23 prevê:
«(1) Os dados pessoais relativos aos trabalhadores podem ser tratados para efeitos da relação laboral, se tal for necessário para decidir da constituição de uma relação de trabalho ou, após a constituição da relação de trabalho, para a sua execução, cessação ou resolução, ou para a execução de medidas internas de caráter administrativo, organizacional, social e pessoal. O mesmo se aplica quando se trate do exercício ou cumprimento dos direitos e obrigações dos representantes dos interesses dos trabalhadores previstos na lei ou numa convenção coletiva ou em acordo de empresa ou da função pública (acordo coletivo de trabalho).
[…]
(4) O tratamento de dados pessoais, incluindo categorias especiais de dados pessoais relativos aos trabalhadores, é autorizado com base em acordos coletivos. Os negociadores devem respeitar o artigo 88.o, n.o 2, do [RGPD].
(5) O responsável pelo tratamento deve tomar as medidas adequadas para assegurar em especial a observância dos princípios que regem o tratamento dos dados pessoais enunciados no artigo 5.o do [RGPD].
[…]
(8) São trabalhadores na aceção da presente lei:
[…]
7. os funcionários sujeitos à Hessisches Beamtengesetz [(5)], os magistrados do Land, e as pessoas que exerçam funções públicas.
[…]».
2. Hessiches Beamtengesetz
8. O § 86, n.o 4, dispõe:
«O empregador só pode recolher dados pessoais relativos a candidatos, a funcionários e antigos funcionários na medida em que tal seja necessário para decidir da constituição de uma relação de trabalho ou para a sua execução, cessação ou resolução, ou para a execução de medidas organizatórias, pessoais ou sociais e especialmente também para os efeitos do planeamento e recrutamento do pessoal, ou quando tal for permitido por lei ou por cláusula de acordo coletivo […]»
II. Matéria de facto, litígio e questões prejudiciais
9. O Verwaltungsgericht Wiesbaden (Tribunal Administrativo de Wiesbaden, Alemanha), que está na origem da apresentação deste pedido de decisão prejudicial, não forneceu uma descrição pormenorizada da matéria de facto do litígio ou das disposições nele impugnadas (6), nem sequer das vicissitudes do processo, concentrando‑se, em vez disso, em expor as suas dúvidas sobre os aspetos jurídicos.
10. O tribunal referido limita‑se a constatar que as partes «estão em litígio quanto à questão de saber se, para criação de um ensino em linha através de videoconferência, para além do consentimento dos pais relativamente aos seus filhos menores ou dos alunos maiores, é necessário obter o consentimento dos professores em questão ou se o tratamento de dados daí resultante está abrangido pelo § 23, n.o 1, primeira parte, da HDSIG […]».
11. Em especial, tem dúvidas de que o § 23, n.o 1, primeira parte, da HDSIG, constitua uma «norma mais específica» relativamente ao tratamento de dados pessoais dos trabalhadores, na aceção do artigo 88.o do RGPD. Na sua opinião, essa disposição não cumpre os requisitos do artigo 88.o, n.o 2, do RGPD, uma vez que:
— Como base jurídica do tratamento de dados dos agentes ou funcionários prevê apenas o «caso de necessidade».
— Qualquer tratamento dos dados relativos ao emprego que vá para além do estritamente necessário previsto no contrato de trabalho deve ser realizado após uma ponderação dos interesses que ultrapassa a simples necessidade, aspeto que não está previsto na legislação nacional.
12. O órgão jurisdicional de reenvio afirma não concordar com a jurisprudência do Bundesarbeitsgericht (Tribunal Federal do Trabalho, Alemanha) sobre a compatibilidade do equivalente federal do § 23, n.o 1, primeira parte, da HDSIG (7) com o artigo 88.o do RGPD.
13. Pelo contrário, o tribunal a quo considera que:
— A introdução do princípio da «necessidade» na legislação nacional não constitui uma concretização dos requisitos previstos no artigo 88.o, n.o 2, do RGPD.
— A indicação de que o responsável pelo tratamento deve tomar as medidas adequadas para assegurar a observância, especialmente, dos princípios enunciados no artigo 5.o do RGPD também não satisfaz esses requisitos, uma vez que o artigo 5.o não prevê nenhuma proteção especial dos trabalhadores.
— Embora o legislador tenha reconhecido e considerado o artigo 88.o, n.o 2, do RGPD, ao exigir a sua observância nos acordos coletivos de trabalho, não ponderou nem cumpriu na própria lei nem na fundamentação do respetivo regime jurídico os requisitos expressamente enunciados no n.o 2.
14. Neste contexto, o órgão jurisdicional referido submeteu ao Tribunal de Justiça as seguintes questões:
«1) Deve o artigo 88.o, n.o 1, do [RGPD] ser interpretado no sentido de que, para que uma disposição legal seja uma norma mais específica para garantir a defesa dos direitos e liberdades no que respeita ao tratamento de dados pessoais dos trabalhadores no contexto laboral, na aceção do artigo 88.o, n.o 1, do [RGPD], deve preencher os requisitos indicados no artigo 88.o, n.o 2, do [RGPD]?
2) Pode uma norma nacional que manifestamente não satisfaz os requisitos indicados no artigo 88.o, n.o 2, do [RGPD] continuar a ser aplicável?»
III. Tramitação do processo no Tribunal de Justiça
15. O pedido de decisão prejudicial foi registado no Tribunal de Justiça em 20 de janeiro de 2021.
16. A competência para decidir o litígio de origem coube, com efeitos a partir de 1 de dezembro de 2021 (8), ao Verwaltungsgericht Frankfurt am Main (Tribunal Administrativo de Frankfurt am Main, Alemanha), no qual continuou a sua tramitação.
17. Apresentaram observações escritas os Governos alemão, austríaco e romeno, e a Comissão Europeia. Todos eles e o Comité do pessoal docente, responderam por escrito às questões que lhes foram colocadas pelo Tribunal de Justiça antes da audiência.
18. Na audiência, realizada em 30 de junho de 2022, compareceram o Comité do pessoal docente, o Ministério da Educação e da Cultura do Hesse, o Governo alemão e a Comissão.
IV. Análise
A. Admissibilidade do reenvio prejudicial
19. O Governo alemão tinha alegado nas suas observações escritas que o reenvio prejudicial é inadmissível, uma vez que, ao procurar saber se o tratamento de dados pessoais inerente à difusão em direto de aulas por videoconferência é abrangido pelo § 23, n.o 1, da HDSIG, o órgão jurisdicional de reenvio não explica as razões para excluir a possibilidade de esse tratamento ser autorizado com base no consentimento do professor.
20. Na audiência, o Governo alemão matizou parcialmente esta objeção, reconhecendo que o Tribunal de Justiça teria que se pronunciar (ou seja, que o reenvio seria admissível) se o tratamento não tivesse sido consentido pelos docentes em causa.
21. Em todo o caso, o Tribunal de Justiça só pode recusar pronunciar‑se sobre um pedido de decisão prejudicial formulado por um órgão jurisdicional nacional quando for manifesto que a interpretação do direito da União solicitada não tem nenhuma relação com a realidade ou com o objeto do litígio no processo principal, quando o problema for hipotético ou quando o Tribunal não dispuser dos elementos de facto e de direito necessários para dar uma resposta útil às questões que lhe são submetidas (9).
22. Nenhuma destas circunstâncias se verifica no presente reenvio prejudicial, que beneficia de uma presunção de pertinência (10). A premissa que lhe está subjacente é que nem todos os professores dão necessariamente o consentimento para o tratamento dos seus dados pessoais, pelo que se mantém o interesse em determinar a conformidade com o direito da União da norma (11) que permitiria esse tratamento sem o consentimento da pessoa em causa.
23. O reenvio prejudicial limita‑se, precisamente, à questão de saber se a regulamentação que dá apoio ao tratamento dos dados pessoais dos docentes, sem o seu consentimento, preenche ou não os requisitos do artigo 88.o, n.os 1 e 2, do RGPD. O nexo suficiente entre o litígio e as disposições do direito da União cuja interpretação é pedida é, assim, inegável.
B. Quanto ao mérito
1. Considerações preliminares
24. Com a sua primeira questão, o órgão jurisdicional de reenvio pretende saber se, para que uma disposição legal seja uma «norma mais específica» na aceção do artigo 88.o, n.o 1, do RGPD, deve preencher os requisitos do artigo 88.o, n.o 2.
25. A leitura do artigo 88.o do RGPD leva a concluir que as «normas mais específicas» referidas no seu n.o 1 devem preencher os requisitos do n.o 2.
26. Nos termos do artigo 88.o, n.o 2, do RGPD, «[a]s normas referidas» (ou seja, as normas mais específicas referidas no n.o 1 e que os Estados‑Membros podem estabelecer) devem incluir «medidas adequadas e específicas» para salvaguardar a dignidade, os interesses legítimos e os direitos fundamentais dos trabalhadores. Essas normas devem conferir especial relevo à transparência do tratamento de dados, à transferência de dados num grupo empresarial ou num grupo de empresas e aos sistemas de controlo no local de trabalho.
27. Por conseguinte, há um nexo evidente entre os dois números do artigo 88.o do RGPD: o segundo precisa, em termos imperativos (12), o conteúdo das normas específicas que os Estados‑Membros podem adotar, no contexto laboral, a título do n.o 1.
28. Por conseguinte, a resposta a esta questão prejudicial não apresenta grandes dificuldades: o artigo 88.o do RGPD deve ser interpretado no sentido de que uma disposição legal que pretenda ser uma «norma mais específica», na aceção do seu n.o 1, «deve preencher os requisitos» — para utilizar os termos do órgão jurisdicional de reenvio — do n.o 2.
29. Não é plausível que, para chegar a esta conclusão, o órgão jurisdicional de reenvio precisasse do apoio do Tribunal de Justiça. Por conseguinte, talvez o verdadeiro sentido da primeira questão prejudicial deva ser interpretado à luz da segunda. Nesta última, a dúvida consiste em saber se uma norma nacional que «não satisfaz os requisitos indicados no artigo 88.o, n.o 2,» do RGPD (13) pode continuar a ser aplicável.
30. Sob este ponto de vista (que é o do despacho de reenvio), a discussão estende‑se à questão de saber se as disposições legais dos Estados‑Membros adotadas ao abrigo do artigo 88.o, n.o 1, do RGPD, mas que não são conformes com o artigo 88.o, n.o 2, podem beneficiar da proteção conferida por outras normas do RGPD. Em especial, de outras cláusulas de abertura deste regulamento, como a do seu artigo 6.o, n.o 2.
31. A interligação das duas questões do órgão jurisdicional de reenvio é tal que o Governo austríaco e a Comissão preferem que lhes seja dada uma resposta conjunta, abordagem com a qual concordo e que seguirei.
2. Artigo 88.o do RGPD e função pública docente
32. O órgão jurisdicional de reenvio admite que, no que respeita às normas internas relativas à proteção de dados, os professores representados no Comité do pessoal docente e o Ministério da Educação e da Cultura do Hesse têm uma relação de trabalho.
33. Essa premissa é coerente com a HDSIG que, ao regulamentar o tratamento dos dados pessoais dos trabalhadores, qualifica de trabalhadores, na aceção dessa lei, os funcionários sujeitos à HBG, entre os quais se encontram os docentes.
34. Por conseguinte, em momento algum o órgão jurisdicional de reenvio duvida da aplicabilidade do artigo 88.o do RGPD aos trabalhadores do Land que exercem a função pública docente.
35. As partes e os intervenientes, interrogados sobre este ponto pelo Tribunal de Justiça, também não puseram em causa essa premissa. Todas estão de acordo quanto ao facto de o emprego na função pública docente não estar excluído do âmbito de aplicação do artigo 88.o do RGPD.
36. Parece‑me que essa abordagem é acertada e pode ser utilizada para analisar o âmbito do artigo 88.o do RGPD, quando se refere à «defesa […] no que respeita ao tratamento de dados pessoais dos trabalhadores no contexto laboral».
37. Como sublinhou o Governo alemão, na categoria de trabalhador, em sentido lato, incluem‑se naturalmente os funcionários docentes que prestam os seus serviços ao Land e cujos interesses são representados pelo Comité do pessoal docente.
38. A jurisprudência do Tribunal de Justiça sobre a relação de trabalho (14) e sobre o conceito de trabalhadores, no que respeita à livre circulação destes e à inaplicabilidade do artigo 39.o, n.o 4, CE (atual artigo 45.o, n.o 4, TFUE) aos empregos na Administração Pública, pode inspirar, por analogia, a solução que proponho.
39. Nos termos dessa jurisprudência, que sublinha a conceção funcional da tarefa desempenhada:
— O conceito de Administração Pública, para estes efeitos, deve receber uma interpretação e uma aplicação uniformes em toda a União e não pode, portanto, ser deixado à total discrição dos Estados‑Membros.
— O artigo 45.o, n.o 4, TFUE, aplica‑se aos empregos que envolvem uma participação, direta ou indireta, no exercício da autoridade pública e nas funções que têm por objeto a salvaguarda dos interesses gerais do Estado ou de outras pessoas coletivas públicas (15).
40. Uma vez que os funcionários docentes não participam, enquanto tais, no exercício da autoridade pública em sentido estrito, exercendo uma atividade de prestação de natureza educativa (16), semelhante à que realizam para outros organismos ou empresas privadas, podem ser qualificados de «trabalhadores» em termos gerais e, consequentemente, no domínio da proteção de dados.
41. Como salientou o Governo austríaco, uma abordagem diferente implicaria tratar de modo desigual situações substancialmente equivalentes, como são as que, do ponto de vista material, definem a posição dos professores no domínio da função pública e no do setor privado. Isso seria ainda mais grave quando, como alegou a Comissão, o conceito de serviço público não está harmonizado na União, com a consequência de que, em caso de uma interpretação distinta, o âmbito de aplicação do artigo 88.o do RGPD dependeria do direito nacional.
3. Cláusulas abertas no RGPD
42. Como salienta o advogado‑geral M. Bobek no processo Fashion ID (17), com a substituição da Diretiva 95/46/CE (18) pelo RGPD ocorreu, antes de mais, uma alteração fundamental quanto à natureza do instrumento jurídico que regula a proteção das pessoas singulares em matéria de tratamento de dados pessoais.
43. Esse instrumento já não é uma diretiva (ou seja, uma norma que impõe uma obrigação de resultado, deixando às autoridades nacionais a escolha da forma e dos meios), mas sim um regulamento. Este último, obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados‑Membros, não permite, em princípio e salvo autorização expressa, que as normas nacionais transponham (ou reproduzam) o seu conteúdo (19).
44. Mesmo quando o RGPD tenha ido além da harmonização prosseguida pela Diretiva 95/46 (20), a universalidade prática dos domínios da atividade humana em que são gerados dados pessoais cujo tratamento deve ser protegido (21) determinou que o legislador permitisse aos Estados‑Membros:
— incorporar determinados elementos do RGPD no respetivo direito nacional, caso este preveja especificações ou restrições das suas regras pelo direito de um Estado‑Membro;
— manter ou adotar disposições nacionais suscetíveis de especificar a aplicação de algumas regras do RGPD (22).
45. Embora o RGPD vise assegurar em toda a União a aplicação coerente e homogénea das regras de proteção e eliminar os obstáculos à circulação de dados pessoais no seu interior (23), o legislador europeu não pôde deixar de reconhecer, como salientou o advogado‑geral J. Richard de la Tour, que a realidade revela ser mais complexa: o RGPD não podia apropriar‑se, apesar da sua transversalidade, de todas as eventuais ramificações da proteção dos dados pessoais em domínios como o dos consumidores, da concorrência ou do trabalho (24).
46. Assim se explica que o RGPD confira aos Estados‑Membros a possibilidade de preverem regras nacionais adicionais, mais rigorosas ou derrogatórias. Os Estados dispõem de uma margem de apreciação quanto ao modo como essas disposições podem ser aplicadas («cláusulas de abertura») (25).
47. A relativa proliferação desse tipo de cláusulas prejudicou a harmonização completa da proteção dos dados pessoais (26). Como reconheceu a Comissão, o facto de o RGPD exigir que os Estados‑Membros legislem em alguns domínios, ao mesmo tempo que lhes confere a possibilidade de precisarem as suas regras noutros, implicou «um certo grau de fragmentação, devido, nomeadamente, à utilização extensiva de cláusulas de especificação facultativas» (27).
48. A cláusula particularmente relevante neste processo é a do artigo 88.o, n.o 1, do RGPD. Todavia, importa analisar resumidamente a sua relação com a do artigo 6.o, n.o 1, alíneas b) e e), do mesmo regulamento, o que foi feito na audiência.
a) Artigo 6.o, n.o 2, do RGPD
49. Incluído no capítulo II do RGPD, em que se estabelecem os «princípios» que informam o tratamento dos dados pessoais e, por conseguinte, configuram o regime geral do sistema, o artigo 6.o enumera no seu n.o 1 as condições de licitude do tratamento. Concretamente, a alínea a) deste último número refere‑se ao consentimento do titular dos dados e a alínea b) à situação em que o tratamento é necessário para a execução de um contrato no qual esse titular é parte.
50. Essas condições acrescem às que decorrem dos princípios que o artigo 5.o do RGPD consagra a título geral (28) e concretizam os artigos 7.o a 11.o do RGPD quanto ao consentimento (artigo 7.o e, no que respeita às crianças, artigo 8.o), quanto ao tratamento de categorias especiais de dados pessoais (artigo 9.o) ou relacionados com condenações penais e infrações (artigo 10.o) e quanto ao tratamento que não exige identificação (artigo 11.o).
51. A este conjunto de princípios e regras podem acrescentar‑se as «disposições mais específicas» aprovadas (ou mantidas) pelos Estados‑Membros para, em conformidade com o artigo 6.o, n.o 2, do RGPD, «adaptar a aplicação das regras» do RGPD no que diz respeito a dois tratamentos concretos, quando forem necessários para:
— O cumprimento de uma obrigação jurídica [artigo 6.o, n.o 1, alínea c)].
— O exercício de funções de interesse público ou o exercício da autoridade pública [artigo 6.o, n.o 1, alínea e] (29).
52. Essa «adaptação», acrescenta a disposição, consistirá em determinar «de forma mais precisa, requisitos específicos para o tratamento e outras medidas destinadas a garantir a licitude e lealdade do tratamento», incluindo «outras situações específicas de tratamento em conformidade com o capítulo IX».
53. Esta última expressão da disposição não tem a clareza desejável, uma vez que não é fácil inferir se com ela se permite — insisto, para os tratamentos referidos nas alíneas c) e e) do artigo 6.o, n.o 1 — a regulamentação de situações específicas diferentes das já abrangidas pelo capítulo IX ou se estas últimas são as únicas admitidas pelo RGPD para esses dois tratamentos.
b) Artigo 88.o, n.o 1, do RGPD
54. Em todo o caso, repito, a cláusula de abertura que aqui interessa, uma vez que é nela que se foca o órgão jurisdicional de reenvio, é a do artigo 88.o, n.o 1, do RGPD. Recordo que, nos termos dessa disposição, os Estados‑Membros podem estabelecer, no seu ordenamento jurídico ou em convenções coletivas, «normas mais específicas para garantir a defesa dos direitos e liberdades no que respeita ao tratamento de dados pessoais dos trabalhadores no contexto laboral».
55. Concretamente, o tratamento desses dados pessoais pode ser efetuado para efeitos:
— de recrutamento, de execução do contrato de trabalho (30), de gestão, planeamento e organização do trabalho, de igualdade e diversidade no local de trabalho, de saúde e segurança no trabalho, de proteção dos bens do empregador ou do cliente;
— do exercício e gozo, individual ou coletivo, dos direitos e benefícios relacionados com o emprego; e
— de cessação da relação de trabalho.
56. A autorização para aprovar estas disposições implica um certo efeito «desarmonizador». As regras nacionais adotadas ao abrigo do artigo 88.o, n.o 1, do RGPD podem implicar, para um ou mais Estados‑Membros, a introdução de diferenças no regime geral do RGPD que vão além da simples função de «adaptação» permitida pelo artigo 6.o, n.o 2, do RGPD:
— O artigo 6.o, n.o 2, do RGPD autoriza os Estados‑Membros a adaptar a aplicação de determinadas disposições do próprio RGPD.
— Em contrapartida, o artigo 88.o, n.o 1, do RGPD, permite que os Estados‑Membros estabeleçam normas mais específicas de garantia. Por conseguinte, trata‑se de uma atividade de criação normativa mais intensa, que não ocorre quando simplesmente se adapta ou se acomoda a aplicação de disposições do RGPD cujo conteúdo e alcance devem ser considerados definitivos (31).
4. § 23 da HDSIG em relação com o RGPD
57. Em conformidade com o disposto no artigo 88.o, n.o 3, do RGPD, a República Federal de Alemanha notificou a Comissão de que, entre as disposições legislativas adotadas por esse Estado‑Membro ao abrigo do artigo 88.o, n.o 1, do RGPD, figurava o § 23 da HDSIG.
58. Na minha opinião, concordante neste ponto com a do órgão jurisdicional de reenvio e com a da Comissão, o § 23 da HDSIG não preenche o requisito de «estabelecer […] normas mais específicas» para a defesa dos direitos inerentes ao tratamento de dados pessoais no contexto laboral, como prevê o n.o 1 do artigo 88.o do RGPD.
59. Tanto o § 23, n.o 1, primeira parte, da HDSIG, como o § 86, n.o 4, primeira parte, da HBG se limitam a dispor que os dados pessoais relativos aos agentes e funcionários podem ser tratados para efeitos da relação laboral, se tal for «necessário» para um dos seguintes objetivos:
— para decidir da constituição dessa relação ou, após a constituição da mesma, para a sua execução, cessação ou resolução; ou
— para a execução de medidas internas de caráter administrativo, organizacional, social e pessoal.
60. Em rigor, as duas normas subordinam o tratamento de dados pessoais relativos aos trabalhadores à simples circunstância de ser necessário para determinadas finalidades.
61. Por conseguinte, não se trata de uma previsão muito diferente da constante do artigo 6.o, n.o 1, alínea b), do RGPD («[o] tratamento só é lícito se […] for necessário para a execução de um contrato no qual o titular dos dados é parte, ou para diligências pré‑contratuais a pedido do titular dos dados») (32).
62. Consequentemente, o § 23 da HDSIG viria repetir um requisito já imposto pelo artigo 6.o, n.o 1, alínea b), do RGPD para a licitude geral do tratamento. Pelo contrário, não acrescentaria nenhuma norma específica para a defesa dos direitos inerentes ao âmbito do tratamento de dados pessoais no contexto laboral (33).
63. O mesmo aconteceria se a atividade docente em causa devesse estar abrangida pelo âmbito de aplicação da alínea e) do artigo 6.o, n.o 1, do RGPD (ou seja, se o tratamento fosse necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública) (34).
64. Na hipótese das alíneas c) e e), o n.o 2 do artigo 6.o do RGPD permite aos Estados‑Membros, como já referi, a manutenção ou a aprovação de «disposições mais específicas […] determinando, de forma mais precisa, requisitos específicos para o tratamento […]».
65. Insisto no facto de o § 23 da HDSIG não constituir uma «disposição mais específica», limitando‑se a permitir o tratamento dos dados dos trabalhadores se tal for necessário. Não especifica os requisitos e os termos desse eventual tratamento.
66. Contrariando esta posição, o Governo alemão defende que é «impossível e irrealizável» refletir de forma detalhada a variedade de tratamentos de dados no contexto laboral. Na sua opinião, deveria ser suficiente uma norma legislativa em que se fundamentassem, sendo o caso, os tratamentos que não exijam uma base jurídica mais específica (35).
67. A esse respeito basta responder que, por mais difícil que seja a tarefa, o artigo 88.o, n.o 3, do RGPD é taxativo ao prever que os Estados‑Membros notificam a Comissão «das disposições de direito interno que adotarem nos termos do n.o 1» do mesmo artigo. Ou seja, não as disposições (de base) em que se fundamentem as que estabelecem normas mais específicas, mas precisamente estas últimas. A notificação deve ser efetuada de forma individualizada e explícita (36).
68. Em suma, o que o § 23 da HDSIG faz é repetir a autorização já prevista no artigo 88.o, n.o 1, do RGPD ou, por outras palavras, abre a porta que permite a criação posterior (ou a manutenção) de normas mais específicas.
69. Além de não estabelecer per se «normas mais específicas» na aceção do artigo 88.o, n.o 1, do RGPD, o § 23 da HDSIG também não inclui «medidas adequadas e específicas para salvaguardar a dignidade, os interesses legítimos e os direitos fundamentais do titular dos dados».
70. Ao omitir esse tipo de medidas, o § 23 da HDSIG não preenche o requisito previsto no artigo 88.o, n.o 2, do RGPD para que se possa aceitar a legislação diferenciadora dos Estados‑Membros no contexto das relações laborais.
71. Uma vez que o reenvio prejudicial se limita ao escrutínio de disposições legais e não de acordos coletivos, não me debruçarei sobre estes últimos (37), mas apenas sobre as primeiras.
72. No que respeita a essas disposições, o legislador nacional não se pode limitar, como faz o § 23, n.o 5, da HDSIG, a dispor que o responsável pelo tratamento de dados adota medidas adequadas para assegurar «a observância, especialmente, dos princípios que regem o tratamento dos dados pessoais enunciados no artigo 5.o» do RGPD. Esta previsão é redundante, uma vez que qualquer tratamento de dados deve respeitar, por princípio e pelo menos, as condições do artigo 5.o do RGPD.
73. O que se trata no artigo 88.o, n.o 2, do RGPD é o estabelecimento de medidas que assegurem, no âmbito das garantias, a correspondência devida com a especificidade das adotadas ao abrigo do artigo 88.o, n.o 1, do RGPD. Em definitivo, pretende‑se que a singularidade autorizada por esta última disposição seja devidamente correspondida, se for o caso, com a pertinente especificidade das suas garantias.
74. Se se admitisse que o § 23 da HDSIG inclui uma regulamentação específica ao abrigo do artigo 88.o, n.o 1, do RGPD, estaria a repetir‑se, no que respeita às garantias exigidas no n.o 2 deste último artigo, as que, a título geral, o artigo 5.o do RGPD prevê. Em definitivo, quebrar‑se‑ia o equilíbrio necessário entre a especificidade das normas autorizadas pelo n.o 1 e a especificidade das medidas de «salvaguarda» exigidas pelo n.o 2, ambos do artigo 88.o do RGPD.
75. Em suma, considero que o § 23 da HDSIG não se pode fundamentar no artigo 88.o do RGDP. Por um lado, porque não estabelece normas mais específicas; por outro, porque se limita a repetir as garantias gerais do artigo 5.o do RGPD.
5. Aplicabilidade, apesar de tudo, do § 23 da HDSIG?
76. Resta saber se, apesar do que precede, o § 23 da HDSIG poderia ser aplicável na ordem jurídica nacional. Como já referi, parece ser esta a questão que, em última análise, interessa ao órgão jurisdicional de reenvio.
77. A dúvida consistiria em saber se as disposições adotadas pelos Estados‑Membros ao abrigo da cláusula de abertura do artigo 88.o, n.o 1, do RGPD que não preenchem os requisitos do seu artigo 88.o, n.o 2, são aplicáveis ao abrigo de outras disposições do RGPD.
78. A resposta, cuja premissa consiste no facto de o § 23 da HDSIG não conter nenhuma «norma mais específica» na aceção do artigo 88.o do RGPD (38), pode ter um duplo sentido:
— O § 23 da HDSIG é desprovido de pertinência, ou supérfluo, na medida em que, em bom rigor, não prevê disposições específicas que garantam o direito dos trabalhadores à proteção dos seus dados pessoais no contexto laboral.
— Nesse contexto (relações laborais) terão de se aplicar, de modo direto e principal, as disposições do regime comum do RGPD.
79. Como alegaram os Governos austríaco e romeno, além da Comissão, e como foi reconhecido na audiência, questão diferente diz respeito ao facto de nada se opor a que um Estado‑Membro aplique quer outras disposições do RGPD quer, ao abrigo do artigo 6.o, n.o 2, deste regulamento, regras nacionais que regulem o tratamento dos dados dos trabalhadores em termos que contribuam para «adaptar a aplicação» do RGPD.
V. Conclusão
80. Atendendo ao exposto, proponho que o Tribunal de Justiça responda ao Verwaltungsgericht Frankfurt am Main (Tribunal Administrativo de Frankfurt am Main, Alemanha) nos seguintes termos:
«O artigo 88.o, n.os 1 e 2, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados), deve ser interpretado no sentido de que:
Uma disposição legal adotada por um Estado‑Membro só será uma norma mais específica para garantir a defesa dos direitos e liberdades no que respeita ao tratamento de dados pessoais dos trabalhadores no contexto laboral, se preencher os requisitos indicados no artigo 88.o, n.o 2, do Regulamento 2016/679.
Quando essa disposição legal não preencher os requisitos indicados no artigo 88.o, n.o 2, do Regulamento 2016/679, será apenas aplicável, se for caso disso, na medida em que possa ser abrangida por outras disposições desse regulamento ou pelas normas nacionais de adaptação referidas no seu artigo 6.o, n.o 2.»