CONCLUZIILE AVOCATULUI GENERAL
DOMNUL MANUEL CAMPOS SÁNCHEZ‑BORDONA
prezentate la 22 septembrie 2022(1)
Cauza C‑34/21
Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium
cu participarea
Minister des Hessischen Kultusministeriums als Dienststellenleiter
[cerere de decizie preliminară formulată de Verwaltungsgericht Frankfurt am Main (Tribunalul Administrativ din Frankfurt am Main, Germania)]
„Întrebare preliminară – Protecția datelor cu caracter personal – Regulamentul (UE) 2016/679 – Prelucrarea datelor în contextul ocupării unui loc de muncă – Articolul 88 alineatul (1) – Normă mai detaliată – Cerințele prevăzute la articolul 88 alineatul (2) – Sistem școlar regional – Predare în timp real prin videoconferință – Lipsa consimțământului expres al profesorilor”
1. În litigiul care stă la baza acestei cereri de decizie preliminară se clarifică, în esență, dacă profesorii angajați de un minister din landul Hessen (Germania) sunt obligați să își dea consimțământul pentru difuzarea predării prin videoconferință sau dacă, în cazul în care nu își dau consimțământul, prelucrarea datelor lor cu caracter personal(2) poate fi justificată de un scop legitim în sensul Regulamentului (UE) 2016/679(3).
2. Trimiterea preliminară oferă Curții oportunitatea de a se pronunța pentru prima dată, dacă nu ne înșelăm, cu privire la articolul 88 din RGPD. În temeiul acestei dispoziții, prin lege sau prin acorduri colective, statele membre pot prevedea norme mai detaliate pentru a asigura protecția drepturilor și a libertăților cu privire la prelucrarea datelor cu caracter personal ale angajaților în contextul ocupării unui loc de muncă.
I. Cadrul normativ
A. Dreptul Uniunii. RGPD
3. Considerentele de mai jos au următorul conținut:
„[…]
(8) În cazul în care prezentul regulament prevede specificări sau restricționări ale normelor sale de către dreptul intern, statele membre pot, în măsura în care acest lucru este necesar pentru coerență și pentru a asigura înțelegerea dispozițiilor naționale de către persoanele cărora li se aplică acestea, să încorporeze elemente din prezentul regulament în dreptul lor intern.
[…]
(10) Pentru a se asigura un nivel consecvent și ridicat de protecție a persoanelor fizice și pentru a se îndepărta obstacolele din calea circulației datelor cu caracter personal în cadrul Uniunii, nivelul protecției drepturilor și libertăților persoanelor fizice în ceea ce privește prelucrarea unor astfel de date ar trebui să fie echivalent în toate statele membre. Aplicarea consecventă și omogenă a normelor în materie de protecție a drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal ar trebui să fie asigurată în întreaga Uniune. În ceea ce privește prelucrarea datelor cu caracter personal în vederea respectării unei obligații legale, a îndeplinirii unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul, statelor membre ar trebui să li se permită să mențină sau să introducă dispoziții de drept intern care să clarifice într‑o mai mare măsură aplicarea normelor prezentului regulament. […]
[…]
(45) În cazul în care prelucrarea este efectuată în conformitate cu o obligație legală a operatorului sau în cazul în care prelucrarea este necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care face parte din exercitarea autorității publice, prelucrarea ar trebui să aibă un temei în dreptul Uniunii sau în dreptul intern. Prezentul regulament nu impune existența unei legi specifice pentru fiecare prelucrare în parte. Poate fi suficientă o singură lege drept temei pentru mai multe operațiuni de prelucrare efectuate în conformitate cu o obligație legală a operatorului sau în cazul în care prelucrarea este necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care face parte din exercitarea autorității publice. De asemenea, ar trebui ca scopul prelucrării să fie stabilit în dreptul Uniunii sau în dreptul intern. Mai mult decât atât, dreptul respectiv ar putea să specifice condițiile generale ale prezentului regulament care reglementează legalitatea prelucrării datelor cu caracter personal, să determine specificațiile pentru stabilirea operatorului, a tipului de date cu caracter personal care fac obiectul prelucrării, a persoanelor vizate, a entităților cărora le pot fi divulgate datele cu caracter personal, a limitărilor în funcție de scop, a perioadei de stocare și a altor măsuri pentru a garanta o prelucrare legală și echitabilă. […]
[…]
(155) Dreptul intern sau acordurile colective, inclusiv „acordurile de muncă”, pot prevedea norme specifice care să reglementeze prelucrarea datelor cu caracter personal ale angajaților în contextul ocupării unui loc de muncă, în special condițiile în care datele cu caracter personal în contextul ocupării unui loc de muncă pot fi prelucrate pe baza consimțământului angajatului, în scopul recrutării, al respectării clauzelor contractului de muncă, inclusiv descărcarea de obligațiile stabilite prin lege sau prin acorduri colective, al gestionării, planificării și organizării muncii, al egalității și diversității la locul de muncă, al asigurării sănătății și securității la locul de muncă, precum și în scopul exercitării și beneficierii, în mod individual sau colectiv, de drepturile și beneficiile legate de ocuparea unui loc de muncă, precum și în scopul încetării raporturilor de muncă.
[…]”
4. Articolul 5 („Principii legate de prelucrarea datelor cu caracter personal”) prevede:
„(1) Datele cu caracter personal sunt:
(a) prelucrate în mod legal, echitabil și transparent față de persoana vizată («legalitate, echitate și transparență»);
(b) colectate în scopuri determinate, explicite și legitime și nu sunt prelucrate ulterior într‑un mod incompatibil cu aceste scopuri; prelucrarea ulterioară în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice nu este considerată incompatibilă cu scopurile inițiale, în conformitate cu articolul 89 alineatul (1) («limitări legate de scop»);
(c) adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate («reducerea la minimum a datelor»);
(d) exacte și, în cazul în care este necesar, să fie actualizate; trebuie să se ia toate măsurile necesare pentru a se asigura că datele cu caracter personal care sunt inexacte, având în vedere scopurile pentru care sunt prelucrate, sunt șterse sau rectificate fără întârziere («exactitate»);
(e) păstrate într‑o formă care permite identificarea persoanelor vizate pe o perioadă care nu depășește perioada necesară îndeplinirii scopurilor în care sunt prelucrate datele; datele cu caracter personal pot fi stocate pe perioade mai lungi în măsura în care acestea vor fi prelucrate exclusiv în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice, în conformitate cu articolul 89 alineatul (1), sub rezerva punerii în aplicare a măsurilor de ordin tehnic și organizatoric adecvate prevăzute în prezentul regulament în vederea garantării drepturilor și libertăților persoanei vizate («limitări legate de stocare»);
(f) prelucrate într‑un mod care asigură securitatea adecvată a datelor cu caracter personal, inclusiv protecția împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, a distrugerii sau a deteriorării accidentale, prin luarea de măsuri tehnice sau organizatorice corespunzătoare («integritate și confidențialitate»).
(2) Operatorul este responsabil de respectarea alineatului (1) și poate demonstra această respectare («responsabilitate»).”
5. Articolul 6 („Legalitatea prelucrării”) din RGPD prevede:
„(1) Prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una dintre următoarele condiții:
(a) persoana vizată și‑a dat consimțământul pentru prelucrarea datelor sale cu caracter personal pentru unul sau mai multe scopuri specifice;
(b) prelucrarea este necesară pentru executarea unui contract la care persoana vizată este parte sau pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract;
(c) prelucrarea este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului;
[…]
(e) prelucrarea este necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul;
(f) prelucrarea este necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un copil.
Litera (f) din primul paragraf nu se aplică în cazul prelucrării efectuate de autorități publice în îndeplinirea atribuțiilor lor.
(2) Statele membre pot menține sau introduce dispoziții mai specifice de adaptare a aplicării normelor prezentului regulament în ceea ce privește prelucrarea în vederea respectării alineatului (1) literele (c) și (e) prin definirea unor cerințe specifice mai precise cu privire la prelucrare și a altor măsuri de asigurare a unei prelucrări legale și echitabile, inclusiv pentru alte situații concrete de prelucrare, astfel cum este prevăzut în capitolul IX.
(3) Temeiul pentru prelucrarea menționată la alineatul (1) literele (c) și (e) trebuie să fie prevăzut în:
(a) dreptul Uniunii sau
(b) dreptul intern care se aplică operatorului.
Scopul prelucrării este stabilit pe baza respectivului temei juridic sau, în ceea ce privește prelucrarea menționată la alineatul (1) litera (e), este necesar pentru îndeplinirea unei sarcini efectuate în interes public sau în cadrul exercitării unei funcții publice atribuite operatorului. Respectivul temei juridic poate conține dispoziții specifice privind adaptarea aplicării normelor prezentului regulament, printre altele: condițiile generale care reglementează legalitatea prelucrării de către operator; tipurile de date care fac obiectul prelucrării; persoanele vizate; entitățile cărora le pot fi divulgate datele și scopul pentru care respectivele date cu caracter personal pot fi divulgate; limitările legate de scop; perioadele de stocare și operațiunile și procedurile de prelucrare, inclusiv măsurile de asigurare a unei prelucrări legale și echitabile cum sunt cele pentru alte situații concrete de prelucrare astfel cum sunt prevăzute în capitolul IX. Dreptul Uniunii sau dreptul intern urmărește un obiectiv de interes public și este proporțional cu obiectivul legitim urmărit.
(4) În cazul în care prelucrarea în alt scop decât cel pentru care datele cu caracter personal au fost colectate nu se bazează pe consimțământul persoanei vizate sau pe dreptul Uniunii sau dreptul intern, care constituie o măsură necesară și proporțională într‑o societate democratică pentru a proteja obiectivele menționate la articolul 23 alineatul (1), operatorul, pentru a stabili dacă prelucrarea în alt scop este compatibilă cu scopul pentru care datele cu caracter personal au fost colectate inițial, ia în considerare, printre altele:
(a) orice legătură dintre scopurile în care datele cu caracter personal au fost colectate și scopurile prelucrării ulterioare preconizate;
(b) contextul în care datele cu caracter personal au fost colectate, în special în ceea ce privește relația dintre persoanele vizate și operator;
(c) natura datelor cu caracter personal, în special în cazul prelucrării unor categorii speciale de date cu caracter personal, în conformitate cu articolul 9, sau în cazul în care sunt prelucrate date cu caracter personal referitoare la condamnări penale și infracțiuni, în conformitate cu articolul 10;
(d) posibilele consecințe asupra persoanelor vizate ale prelucrării ulterioare preconizate;
(e) existența unor garanții adecvate, care pot include criptarea sau pseudonimizarea.”
6. Articolul 88 („Prelucrarea în contextul ocupării unui loc de muncă”) prevede:
„(1) Prin lege sau prin acorduri colective, statele membre pot prevedea norme mai detaliate pentru a asigura protecția drepturilor și a libertăților cu privire la prelucrarea datelor cu caracter personal ale angajaților în contextul ocupării unui loc de muncă, în special în scopul recrutării, al îndeplinirii clauzelor contractului de muncă, inclusiv descărcarea de obligațiile stabilite prin lege sau prin acorduri colective, al gestionării, planificării și organizării muncii, al egalității și diversității la locul de muncă, al asigurării sănătății și securității la locul de muncă, al protejării proprietății angajatorului sau a clientului, precum și în scopul exercitării și beneficierii, în mod individual sau colectiv, de drepturile și beneficiile legate de ocuparea unui loc de muncă, precum și pentru încetarea raporturilor de muncă.
(2) Aceste norme includ măsuri corespunzătoare și specifice pentru garantarea demnității umane, a intereselor legitime și a drepturilor fundamentale ale persoanelor vizate, în special în ceea ce privește transparența prelucrării, transferul de date cu caracter personal în cadrul unui grup de întreprinderi sau al unui grup de întreprinderi implicate într‑o activitate economică comună și sistemele de monitorizare la locul de muncă.
(3) Fiecare stat membru informează Comisia cu privire la dispozițiile de drept intern pe care le adoptă în temeiul alineatului (1) până la 25 mai 2018, precum și, fără întârziere, cu privire la orice modificare ulterioară a acestora.”
B. Dreptul național
1. Hessisches Datenschutz- und Informationsfreiheitsgesetz(4)
7. Articolul 23 prevede:
„(1) Datele cu caracter personal referitoare la lucrători pot fi prelucrate în scopul desfășurării raportului de muncă, în cazul în care acest lucru este necesar pentru a decide cu privire la stabilirea unui raport de muncă sau, după stabilirea raportului de muncă, pentru executarea, încetarea sau rezilierea sa, precum și pentru punerea în aplicare a unor acțiuni interne cu caracter administrativ, organizatoric, social și personal. Acest lucru este valabil și pentru exercitarea sau respectarea drepturilor și obligațiilor care decurg dintr‑o lege sau dintr‑o convenție colectivă sau dintr‑un acord de întreprindere sau de serviciu (convenție colectivă).
[…]
(4) Prelucrarea datelor cu caracter personal, inclusiv a categoriilor speciale de date cu caracter personal ale lucrătorilor în scopul desfășurării raportului de muncă, este autorizată pe baza unor acorduri colective. Astfel, părțile participante la negociere trebuie să respecte articolul 88 alineatul (2) din [RGPD].
(5) Operatorul trebuie să ia măsurile corespunzătoare pentru a asigura respectarea în special a principiilor care reglementează prelucrarea datelor cu caracter personal prevăzute la articolul 5 din [RGPD].”
[…]
(8) Sunt angajați în sensul prezentei legi:
[…]
7. funcționarii care intră sub incidența Hessisches Beamtengesetz[(5)], magistrații landului, precum și persoanele care îndeplinesc o funcție publică.
[…]”
2. Hessisches Beamtengesetz
8. Articolul 86 alineatul (4) prevede:
„Angajatorul poate colecta date cu caracter personal referitoare la candidați, funcționari și foști funcționari numai în măsura în care acest lucru este necesar pentru a stabili, a executa, a înceta sau a rezilia raportul de muncă sau pentru a pune în aplicare măsuri organizatorice, de personal și sociale, în special în scopul planificării și încadrării în muncă a personalului sau în măsura permisă de o dispoziție legală sau de un acord de serviciu […]”
II. Situația de fapt, litigiul și întrebările preliminare
9. Verwaltungsgericht Wiesbaden (Tribunalul Administrativ din Wiesbaden, Germania), care a formulat prezenta cerere de decizie preliminară, nu a furnizat o descriere detaliată a situației de fapt din litigiu, nici a dispozițiilor în discuție în acesta(6) și nici a chestiunilor intervenite în cursul procedurii, ci s‑a concentrat mai degrabă pe prezentarea îndoielilor sale cu privire la aspectele juridice.
10. Instanța respectivă se limitează să constate că părțile „sunt în dezacord cu privire la aspectul dacă, la momentul introducerii predării online prin sisteme de videoconferință, pe lângă consimțământul părinților pentru copiii lor minori sau cel al elevilor de vârstă majoră, este necesar să se obțină consimțământul profesorului respectiv sau dacă prelucrarea datelor care este efectuată în acest caz este reglementată de articolul 23 alineatul (1) prima teză din HDSIG […]”.
11. În special, aceasta are îndoieli cu privire la aspectul dacă articolul 23 alineatul (1) prima teză din HDSIG constituie o „normă mai detaliată” în ceea ce privește prelucrarea datelor lucrătorilor în sensul articolului 88 din RGPD. În opinia sa, dispoziția menționată nu îndeplinește cerințele prevăzute la articolul 88 alineatul (2) din RGPD, deoarece:
– se referă la o „necesitate” doar ca temei juridic pentru prelucrarea datelor angajaților sau ale funcționarilor;
– orice prelucrare a datelor angajaților care depășește prelucrarea datelor strict necesară ca urmare a contractului de muncă trebuie să facă obiectul unei evaluări comparative a intereselor care depășesc simpla necesitate, ceea ce legea națională nu prevede.
12. Instanța de trimitere arată că nu este de acord cu jurisprudența Bundesarbeitsgericht (Curtea Federală pentru Litigii de Muncă, Germania) cu privire la compatibilitatea echivalentului federal al articolului 23 alineatul (1) prima teză din HDSIG(7) cu articolul 88 din RGPD.
13. Instanța de trimitere consideră, dimpotrivă, că:
– introducerea principiului „necesității” în legislația națională nu constituie o îndeplinire concretă a cerințelor prevăzute la articolul 88 alineatul (2) din RGPD;
– nici referirea la faptul că operatorul trebuie să respecte în special principiile prevăzute la articolul 5 din RGPD nu îndeplinește cerințele respective, deoarece articolul 5 din RGPD nu prevede nicio protecție specifică a lucrătorilor;
– deși legiuitorul a recunoscut și a luat în considerare, în principiu, articolul 88 alineatul (2) din RGPD atunci când a solicitat respectarea acestuia în cazul acordurilor colective, el nu a analizat, respectiv nu a completat nici în legea însăși, nici în motivarea reglementării în cauză acest catalog de cerințe prevăzut la alineatul (2).
14. În acest context, instanța respectivă a adresat Curții următoarele întrebări:
„1) Articolul 88 alineatul (1) din [RGPD] trebuie să fie interpretat în sensul că, pentru ca o dispoziție legislativă să constituie o normă mai detaliată care urmărește să asigure protecția drepturilor și a libertăților cu privire la prelucrarea datelor cu caracter personal ale angajaților în contextul ocupării unui loc de muncă, în sensul articolului 88 alineatul (1) din [RGPD], aceasta trebuie să îndeplinească cerințele impuse de dispoziții precum cele prevăzute la articolul 88 alineatul (2) din [RGPD]?
2) O normă națională poate rămâne totuși aplicabilă în cazul în care, în mod vădit, aceasta nu îndeplinește cerințele prevăzute la articolul 88 alineatul (2) din [RGPD]?”
III. Procedura în fața Curții
15. Cererea de decizie preliminară a fost introdusă la grefa Curții la 20 ianuarie 2021.
16. Competența pentru soluționarea litigiului principal a fost transferată, începând cu 1 decembrie 2021(8), către Verwaltungsgericht Frankfurt am Main (Tribunalul Administrativ din Frankfurt am Main, Germania), în fața căruia a continuat soluționarea litigiului.
17. Au prezentat observații scrise guvernele german, austriac și român, precum și Comisia Europeană. Toate acestea, precum și Consiliul profesorilor, au răspuns în scris la întrebările adresate de Curte anterior ședinței.
18. La ședința care a avut loc la 30 iunie 2022 au participat Consiliul profesorilor, Ministerul Educației și Culturii din landul Hessen, guvernul german și Comisia.
IV. Analiză
A. Admisibilitatea trimiterii preliminare
19. Guvernul german a susținut în observațiile sale scrise că trimiterea preliminară este inadmisibilă, deoarece, atunci când analizează dacă prelucrarea datelor cu caracter personal inerentă difuzării în direct a predării prin videoconferință este reglementată de articolul 23 alineatul (1) din HDSIG, instanța de trimitere nu explică motivele pentru a exclude posibilitatea ca o astfel de prelucrare să fie autorizată pe baza consimțământului profesorului.
20. În ședință, guvernul german a nuanțat parțial această susținere, recunoscând că Curtea ar trebui să se pronunțe (cu alte cuvinte că trimiterea preliminară ar fi admisibilă) dacă prelucrarea nu a fost consimțită de profesorii în cauză.
21. În orice caz, Curtea poate refuza să se pronunțe asupra unei întrebări preliminare adresate de o instanță națională numai atunci când este evident că interpretarea solicitată a dreptului Uniunii nu are nicio legătură cu realitatea sau cu obiectul litigiului principal, atunci când problema este de natură ipotetică ori atunci când Curtea nu dispune de elementele de fapt și de drept necesare pentru a răspunde în mod util la întrebările care i‑au fost adresate(9).
22. Niciuna dintre aceste împrejurări nu este prezentă în această trimitere preliminară, în care prevalează prezumția de pertinență a acesteia(10). Premisa de bază este că nu neapărat toți profesorii își dau consimțământul pentru prelucrarea datelor lor cu caracter personal, astfel încât persistă interesul de a determina conformitatea cu dreptul Uniunii a normei(11) care ar acoperi o astfel de prelucrare fără consimțământul persoanei vizate.
23. Întrebarea preliminară se referă tocmai la aspectul dacă legislația pe care s‑ar întemeia prelucrarea datelor cu caracter personal ale profesorilor, în lipsa consimțământului lor, îndeplinește sau nu îndeplinește cerințele prevăzute la articolul 88 alineatele (1) și (2) din RGPD. Legătura suficientă dintre litigiu și dispozițiile dreptului Uniunii a căror interpretare se solicită este, prin urmare, incontestabilă.
B. Cu privire la fond
1. Considerații introductive
24. Prin intermediul primei întrebări preliminare, instanța de trimitere solicită să se stabilească dacă, pentru a fi o „normă mai detaliată”, în sensul articolului 88 alineatul (1) din RGDP, o normă de drept trebuie să îndeplinească cerințele prevăzute la articolul 88 alineatul (2).
25. Lectura articolului 88 din RGPD conduce la concluzia că „normele mai detaliate” menționate la alineatul (1) trebuie să respecte cerințele prevăzute la alineatul (2).
26. În conformitate cu articolul 88 alineatul (2) din RGPD, „aceste norme” [și anume normele mai detaliate menționate la alineatul (1) și pe care pot fi stabilite de statele membre] trebuie să includă „măsuri corespunzătoare și specifice” pentru garantarea demnității umane, a intereselor legitime și a drepturilor fundamentale ale lucrătorilor. Aceste norme trebuie să acorde o atenție deosebită transparenței prelucrării, transferului de date în cadrul unui grup de întreprinderi sau al unui grup de întreprinderi implicate într‑o activitate economică comună și sistemelor de monitorizare la locul de muncă.
27. Prin urmare, există o legătură evidentă între cele două alineate ale articolului 88 din RGPD: al doilea alineat precizează, în termeni imperativi(12), conținutul normelor specifice pe care statele membre le pot adopta, în contextul ocupării unui loc de muncă, în temeiul primului alineat.
28. Răspunsul la această întrebare nu prezintă, prin urmare, dificultăți majore: articolul 88 din RGPD trebuie interpretat în sensul că o normă de drept care urmărește să constituie o „normă mai detaliată” în sensul alineatului (1) al acestuia „trebuie să îndeplinească cerințele” – ca să cităm instanța de trimitere – ale alineatului (2).
29. Este neverosimil faptul că, pentru a ajunge la această concluzie, instanța de trimitere are nevoie de asistența Curții. Prin urmare, adevăratul sens al primei întrebări preliminare trebuie, probabil, să fie apreciat în lumina celei de a doua. În acest din urmă caz, întrebarea este dacă o normă națională poate rămâne totuși aplicabilă în cazul în care aceasta „nu îndeplinește în mod vădit cerințele prevăzute la articolul 88 alineatul (2)” din RGPD(13).
30. Din această perspectivă (care este cea adoptată în decizia de trimitere), dezbaterea se extinde la întrebarea dacă normele de drept specifice ale statelor membre, adoptate în temeiul articolului 88 alineatul (1) din RGPD, însă care nu sunt conforme cu articolul 88 alineatul (2), pot beneficia de protecția altor dispoziții ale RGPD, în special a altor clauze de deschidere ale regulamentului respectiv, precum articolul 6 alineatul (2) din acesta.
31. Suprapunerea celor două întrebări ale instanței de trimitere este de așa natură încât guvernul austriac și Comisia sunt înclinate să dea un răspuns comun, o abordare pe care o împărtășim și pe care o vom adopta.
2. Articolul 88 din RGPD și funcția publică didactică
32. Instanța de trimitere pleacă de la premisa că, în ceea ce privește normele interne privind protecția datelor, între profesorii reprezentați în Consiliul profesorilor și Ministerul Educației și Culturii din landul Hessen există un raport de muncă.
33. Această premisă este în concordanță cu HDSIG, care, cu ocazia reglementării prelucrării datelor cu caracter personal ale lucrătorilor, califică drept angajați în sensul acestei legi funcționarii publici care intră sub incidența HBG, printre care figurează și profesorii.
34. Prin urmare, instanța de trimitere nu pune în niciun moment la îndoială aplicabilitatea articolului 88 din RGPD în ceea ce privește angajații landului care exercită funcția publică didactică.
35. Nici părțile și nici intervenientul în procedura preliminară, cărora Curtea le‑a solicitat opinia cu privire la această chestiune, nu au contestat premisa respectivă. Toți aceștia sunt de acord cu faptul că încadrarea în muncă în funcția publică didactică nu este exclusă din domeniul de aplicare al articolului 88 din RGPD.
36. În opinia noastră, această abordare este corectă și poate fi utilizată pentru a analiza domeniul de aplicare al articolului 88 din RGPD, atunci când se referă la „protecția […] cu privire la prelucrarea datelor cu caracter personal ale angajaților în contextul ocupării unui loc de muncă”.
37. Categoria lucrătorilor, în sens larg, include, în mod natural, astfel cum a subliniat guvernul german, personalul didactic care prestează servicii pentru land și ale cărui interese sunt reprezentate de Consiliul profesorilor.
38. Jurisprudența Curții cu privire la raportul de muncă(14) și la noțiunea de lucrători, în legătură cu libera circulație a acestora și cu inaplicabilitatea ex‑articolului 39 alineatul (4) CE [în prezent, articolul 45 alineatul (4) TFUE] în ceea ce privește încadrarea în administrația publică, poate reprezenta, prin analogie, o sursă de inspirație pentru soluția pe care o propunem.
39. Potrivit acestei jurisprudențe, care subliniază aspectul funcțional al sarcinii îndeplinite:
– noțiunea de administrație publică, în aceste scopuri, trebuie să fie interpretată și aplicată în mod uniform în întreaga Uniune și nu este posibil, prin urmare, să fie lăsată în totalitate la latitudinea statelor membre;
– articolul 45 alineatul (4) TFUE se referă la locurile de muncă în care există o participare directă sau indirectă la exercitarea autorității publice și la funcțiile prin care se urmărește protecția intereselor generale ale statului și ale celorlalte organisme publice(15).
40. Având în vedere că funcționarii din învățământ nu participă, ca atare, la exercitarea autorității publice în sens strict, ci mai degrabă prestează o activitate de natură educațională(16), similară cu cea prestată pentru alte entități sau societăți private, aceștia pot fi calificați drept „lucrători” în termeni generali și, în mod indirect, în domeniul protecției datelor.
41. O abordare diferită ar presupune, astfel cum a subliniat guvernul austriac, ca situații care sunt în esență echivalente – precum cele care, din punct de vedere material, definesc poziția cadrelor didactice în domeniul funcției publice și în cel al sectorului privat – să fie tratate în mod diferențiat. Acest lucru ar fi cu atât mai grav cu cât, astfel cum a susținut Comisia, noțiunea de serviciu public nu este armonizată în cadrul Uniunii, ceea ce ar avea drept consecință faptul că, în cazul unei interpretări diferite, domeniul de aplicare al articolului 88 din RGPD ar depinde de dreptul național.
3. Clauze deschise în RGPD
42. Astfel cum sublinia avocatul general Bobek în cauza Fashion ID(17), înlocuirea Directivei 95/46/CE(18) cu RGPD a condus, în primul rând, la o schimbare fundamentală în ceea ce privește natura instrumentului juridic care reglementează protecția persoanelor fizice în domeniul prelucrării datelor cu caracter personal.
43. Acest instrument nu mai este o directivă (cu alte cuvinte o normă care impune o obligație de rezultat, lăsând alegerea formei și a mijloacelor la latitudinea autorităților naționale), ci un regulament. Acesta din urmă, care este obligatoriu în totalitate și direct aplicabil în fiecare stat membru, nu permite, în principiu și cu excepția unei autorizații exprese, ca normele naționale să transpună (sau să reproducă) conținutul său(19).
44. Deși RGPD a mers dincolo de armonizarea urmărită de Directiva 95/46(20), faptul că în aproape toate domeniile de activitate umană sunt generate date cu caracter personal a căror prelucrare trebuie protejată(21) a determinat legiuitorul să autorizeze statele membre:
– să transpună anumite elemente din RGPD în dreptul lor național, atunci când acesta prevede că normele sale sunt definite sau limitate de dreptul statelor membre;
– să mențină sau să adopte dispoziții naționale care pot garanta într‑o măsură mai mare aplicarea anumitor norme din RGPD(22).
45. În timp ce RGPD urmărește să asigure o aplicare consecventă și omogenă a normelor de protecție în întreaga Uniune și să îndepărteze obstacolele în calea circulației datelor cu caracter personal în cadrul acesteia(23), legiuitorul european nu a putut să nu recunoască, astfel cum a subliniat avocatul general Richard de la Tour, că realitatea este mai complexă: RGPD nu putea anticipa, în pofida caracterului său transversal, toate posibilele ramificații ale protecției datelor cu caracter personal în domenii referitoare la dreptul muncii, la dreptul concurenței sau la dreptul consumatorilor(24).
46. Astfel se explică motivul pentru care RGPD oferă statelor membre posibilitatea de a stabili norme naționale suplimentare mai stricte sau de a prevedea derogări. Statele membre dispun de o marjă de apreciere în ceea ce privește modul de punere în aplicare a acestor dispoziții („clauze de deschidere”)(25).
47. Relativa creștere a numărului acestui tip de clauze a afectat armonizarea deplină a protecției datelor cu caracter personal(26). Astfel cum a recunoscut Comisia, faptul că RGPD obligă statele membre să legifereze în anumite domenii, oferindu‑le în același timp posibilitatea de a‑și specifica normele în altele, a condus la „un anumit grad de fragmentare, determinat în principal de utilizarea pe scară largă a clauzelor specifice facultative”(27).
48. Clauza care prezintă un interes deosebit în prezenta cauză este cea prevăzută la articolul 88 alineatul (1) din RGPD. Cu toate acestea, trebuie să se examineze în mod sumar raportul dintre aceasta și articolul 6 alineatul (1) literele (b) și (e) din RGPD, ceea ce s‑a realizat în cadrul ședinței.
a) Articolul 6 alineatul (2) din RGPD
49. Integrat în capitolul II din RGPD, care stabilește „principiile” care guvernează prelucrarea datelor cu caracter personal și care formează astfel regimul general al sistemului, articolul 6 alineatul (1) enumeră condițiile în care prelucrarea este considerată legală. În special, litera (a) a acestui din urmă alineat se referă la consimțământul persoanei vizate, iar litera (b) la faptul că prelucrarea este necesară pentru executarea unui contract la care persoana vizată este parte.
50. Aceste condiții se adaugă celor care decurg din principiile stabilite cu caracter general(28) la articolul 5 din RGPD și detaliate la articolele 7-11 din RGPD în ceea ce privește consimțământul (articolul 7 și, în ceea ce privește minorii, articolul 8), prelucrarea de categorii speciale de date cu caracter personal (articolul 9) sau referitoare la condamnări penale și infracțiuni (articolul 10) și prelucrarea care nu necesită identificare (articolul 11).
51. La acest set de principii și norme se pot adăuga „dispozițiile mai specifice” adoptate (sau menținute) de statele membre de „adaptare a aplicării normelor” RGPD, în conformitate cu articolul 6 alineatul (2) din RGPD, în ceea ce privește două operațiuni de prelucrare concrete, atunci când sunt necesare pentru:
– îndeplinirea unei obligații legale [articolul 6 alineatul (1) litera (c)];
– îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice [articolul 6 alineatul (1) litera (e)](29).
52. Această „adaptare”, adaugă dispoziția, constă în definirea „unor cerințe specifice mai precise cu privire la prelucrare și a altor măsuri de asigurare a unei prelucrări legale și echitabile”, inclusiv „pentru alte situații concrete de prelucrare, astfel cum este prevăzut în capitolul IX”.
53. Această din urmă expresie din cuprinsul dispoziției nu oferă claritatea dorită, deoarece nu este ușor de dedus dacă permite – astfel cum am arătat, pentru operațiunile de prelucrare menționate la articolul 6 alineatul (1) literele (c) și (e) – reglementarea altor situații specifice decât cele prevăzute deja în capitolul IX sau dacă acestea din urmă sunt singurele permise de RGPD pentru cele două operațiuni de prelucrare.
b) Articolul 88 alineatul (1) din RGPD
54. În orice caz, astfel cum am arătat, clauza de deschidere care prezintă interes în speță și care este cea asupra căreia se concentrează instanța de trimitere este articolul 88 alineatul (1) din RGPD. Reamintim faptul că, potrivit modului de redactare a acesteia, statele membre pot prevedea, prin lege sau prin acorduri colective, „norme mai detaliate pentru a asigura protecția drepturilor și a libertăților cu privire la prelucrarea datelor cu caracter personal ale angajaților în contextul ocupării unui loc de muncă”.
55. Prelucrarea respectivelor date cu caracter personal poate fi efectuată în special în scopul:
– recrutării, al îndeplinirii clauzelor contractului de muncă(30), al gestionării, planificării și organizării muncii, al egalității și diversității la locul de muncă, al asigurării sănătății și securității la locul de muncă, al protejării proprietății angajatorului sau a clientului;
– exercitării și beneficierii, în mod individual sau colectiv, de drepturile și beneficiile legate de ocuparea unui loc de muncă;
– încetării raporturilor de muncă.
56. Autorizația pentru a adopta astfel de dispoziții implică un anumit efect de „dezarmonizare”. Normele naționale autorizate la articolul 88 alineatul (1) din RGPD pot implica, pentru unul sau mai multe state membre, introducerea unor diferențe privind regimul general al RGPD care depășesc simpla funcție de „adaptare” permisă de articolul 6 alineatul (2) din RGPD:
– articolul 6 alineatul (2) din RGPD împuternicește statele membre în ceea ce privește adaptarea aplicării normelor RGPD însuși;
– pe de altă parte, articolul 88 alineatul (1) din RGPD permite statelor membre să stabilească norme mai detaliate de protecție. Prin urmare, ne aflăm în prezența unei activități normative mai intense, ceea ce nu este cazul atunci când este vorba doar despre o simplă adaptare sau acomodare a aplicării dispozițiilor RGPD al căror conținut și domeniu de aplicare trebuie considerate definitive(31).
4. Articolul 23 din HDSIG coroborat cu RGPD
57. În conformitate cu articolul 88 alineatul (3) din RGPD, Republica Federală Germania a notificat Comisiei faptul că articolul 23 din HDSIG figurează printre dispozițiile legale adoptate de acest stat membru în temeiul articolului 88 alineatul (1) din RGPD.
58. În opinia noastră, care, în această privință, coincide cu cea a instanței de trimitere și a Comisiei, articolul 23 din HDSIG nu îndeplinește condiția de a „prevedea norme mai detaliate” pentru protecția drepturilor inerente prelucrării datelor cu caracter personal în contextul ocupării unui loc de muncă, astfel cum propune articolul 88 alineatul (1) din RGPD.
59. Atât articolul 23 alineatul (1) prima teză din HDSIG, cât și articolul 86 alineatul (4) prima teză din HBG prevăd doar faptul că datele cu caracter personal ale angajaților și ale funcționarilor publici pot fi prelucrate în scopul desfășurării raportului de muncă, dacă acest lucru este „necesar” pentru unul dintre următoarele scopuri:
– pentru decizia privind stabilirea raportului respectiv sau, odată ce acesta a fost stabilit, pentru executarea, încetarea sau rezilierea sa sau
– pentru punerea în aplicare a unor măsuri interne de planificare și organizare sau a unor măsuri de natură personală sau socială.
60. Strict vorbind, ambele norme condiționează prelucrarea datelor cu caracter personal ale angajaților de simpla împrejurare ca aceasta să fie necesară în anumite scopuri.
61. Prin urmare, nu este vorba despre o dispoziție foarte diferită de cea cuprinsă la articolul 6 alineatul (1) litera (b) din RGPD („prelucrarea este legală dacă […] este necesară pentru executarea unui contract la care persoana vizată este parte sau pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract”)(32).
62. Articolul 23 din HDSIG ar reitera astfel o condiție deja impusă la articolul 6 alineatul (1) litera (b) din RGPD pentru legalitatea generală a prelucrării. Dimpotrivă, aceasta nu ar adăuga nicio normă detaliată pentru a proteja drepturile implicate în prelucrarea datelor cu caracter personal în contextul ocupării unui loc de muncă(33).
63. S‑ar fi obținut același rezultat dacă activitatea de predare în cauză ar fi intrat sub incidența articolului 6 alineatul (1) litera (e) din RGPD (și anume dacă prelucrarea în cauză ar fi fost necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice)(34).
64. În ipoteza menționată la literele (c) și (e), articolul 6 alineatul (2) din RGPD permite statelor membre, astfel cum am menționat deja, să mențină sau să introducă „dispoziții mai specifice […] prin definirea unor cerințe specifice mai precise cu privire la prelucrare […]”.
65. Insistăm asupra faptului că articolul 23 din HDSIG nu constituie o „dispoziție mai specifică”, ci doar permite prelucrarea datelor lucrătorilor atunci când este necesar. Aceasta nu precizează condițiile și termenii acestei prelucrări eventuale.
66. Guvernul german susține, contrar acestei poziții, că ar fi „imposibil și nerealist” să se reflecte în detaliu varietatea prelucrărilor datelor cu caracter personal în contextul ocupării unui loc de muncă. În opinia sa, ar trebui să fie suficientă o normă legislativă pe care să se bazeze, dacă este cazul, prelucrările care nu necesită un temei juridic mai specific(35).
67. În ceea ce privește chestiunea anterioară, este suficient să răspundem că, oricât de dificilă ar fi această sarcină, articolul 88 alineatul (3) din RGPD este exhaustiv atunci când prevede că statele membre informează Comisia cu privire la „dispozițiile de drept intern pe care le adoptă în temeiul alineatului (1)” al aceluiași articol. Cu alte cuvinte, notificarea nu vizează dispozițiile (de bază) pe care se întemeiază cele care stabilesc norme mai detaliate, ci tocmai pe acestea din urmă. Notificarea trebuie să fie efectuată în mod individual și explicit(36).
68. În concluzie, articolul 23 din HDSIG nu face decât să reitereze autorizarea deja conținută la articolul 88 alineatul (1) din RGPD sau, cu alte cuvinte, să deschidă calea pentru a permite crearea (sau menținerea) în continuare a unor norme mai detaliate.
69. Pe lângă faptul că nu stabilește propriu‑zis „norme mai detaliate” în sensul articolului 88 alineatul (1) din RGPD, articolul 23 din HDSIG nu include nici „măsuri corespunzătoare și specifice pentru garantarea demnității umane, a intereselor legitime și a drepturilor fundamentale ale persoanelor vizate”.
70. Prin omiterea unor astfel de măsuri, articolul 23 din HDSIG încalcă condiția prevăzută la articolul 88 alineatul (2) din RGDP pentru acceptarea legislației diferențiate a statelor membre în domeniul raporturilor de muncă.
71. Având în vedere că trimiterea preliminară se limitează la examinarea dispozițiilor legislative, iar nu a acordurilor colective, nu le vom analiza pe acestea din urmă(37), ci doar pe primele.
72. În ceea ce privește aceste dispoziții, legiuitorul național nu se poate limita, asemenea articolului 23 alineatul (5) din RGDP, la a prevedea că operatorul trebuie să ia măsurile corespunzătoare pentru a asigura „respectarea principiilor care reglementează prelucrarea datelor cu caracter personal prevăzute la articolul 5” din RGPD. Această dispoziție este redundantă, deoarece orice prelucrare a datelor trebuie să respecte în principiu și cel puțin condițiile prevăzute la articolul 5 din RGPD.
73. Articolul 88 alineatul (2) din RGPD se referă la stabilirea de măsuri care să asigure, în domeniul garanțiilor, corespondența necesară cu specificitatea celor adoptate în temeiul articolului 88 alineatul (1) din RGPD. În definitiv, scopul este de a asigura că unicitatea autorizată de această din urmă dispoziție este adaptată în mod corespunzător, dacă este cazul, la specificitatea relevantă a garanțiilor sale.
74. Dacă s‑ar recunoaște faptul că articolul 23 din HDSIG include norme detaliate în conformitate cu articolul 88 alineatul (1) din RGPD, s‑ar reitera, în ceea ce privește garanțiile prevăzute alineatul (2) al acestui din urmă articolul, garanțiile generale prevăzute la articolul 5 din RGPD. În definitiv, s‑ar rupe echilibrul necesar dintre specificitatea normelor autorizate la alineatul (1) și specificitatea măsurilor de „garantare” impuse la articolul 88 alineatul (2) din RGPD.
75. În concluzie, considerăm că articolul 23 din HDSIG nu se poate întemeia pe articolul 88 din RGPD. Pe de o parte, pentru motivul că nu stabilește norme mai detaliate; pe de altă parte, pentru motivul că nu face decât să reitereze garanțiile generale stabilite la articolul 5 din RGPD.
5. Aplicabilitatea, în pofida considerațiilor anterioare, a articolului 23 din HDSIG?
76. Rămâne de văzut dacă, în pofida considerațiilor care precedă, articolul 23 din HDSIG ar putea fi aplicat în ordinea juridică națională. Astfel cum am subliniat anterior, acesta pare a fi, în cele din urmă, aspectul în privința căruia instanța de trimitere are îndoieli.
77. Întrebarea ar fi dacă normele adoptate de statele membre în temeiul clauzei de deschidere de la articolul 88 alineatul (1) din RGPD și care nu îndeplinesc cerințele prevăzute la articolul 88 alineatul (2) din acesta pot fi aplicate în temeiul altor dispoziții din RGPD.
78. Răspunsul, care pleacă de la premisa că articolul 23 din HDSIG nu conține „norme mai detaliate” în sensul articolului 88 din RGPD(38), poate fi dat în două sensuri:
– articolul 23 din HDSIG devine irelevant sau superfluu, în măsura în care nu prevede propriu‑zis norme detaliate care garantează dreptul lucrătorilor la protecția datelor lor cu caracter personal în domeniul muncii;
– în acest domeniu (raporturi de muncă), vor trebui să se aplice în mod direct și în principal dispozițiile privind regimul comun al RGPD.
79. Situația este diferită dacă, astfel cum au susținut guvernele austriac și român, precum și Comisia și după cum au recunoscut toți participanții la ședință, nu există niciun impediment ca un stat membru să aplice fie alte dispoziții ale RGPD, fie, în temeiul articolului 6 alineatul (2) din regulamentul respectiv, norme naționale care reglementează prelucrarea datelor lucrătorilor în termeni care contribuie la „adaptarea aplicării” RGPD.
V. Concluzie
80. În temeiul considerațiilor anterioare, propunem Curții să răspundă Verwaltungsgericht Frankfurt am Main (Tribunalul Administrativ din Frankfurt am Main, Germania) după cum urmează:
„Articolul 88 alineatele (1) și (2) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) trebuie interpretat în sensul că:
O dispoziție legislativă adoptată de un stat membru constituie o normă mai detaliată pentru a asigura protecția drepturilor și libertăților în ceea ce privește prelucrarea datelor cu caracter personal ale lucrătorilor în contextul ocupării unui loc de muncă numai dacă îndeplinește cerințele impuse la articolul 88 alineatul (2) din Regulamentul 2016/679.
În cazul în care o astfel de dispoziție legislativă nu îndeplinește cerințele impuse la articolul 88 alineatul (2) din Regulamentul 2016/679, aceasta se aplică, dacă este cazul, numai în măsura în care poate fi acoperită de alte dispoziții ale regulamentului respectiv sau de măsurile naționale de adaptare menționate la articolul 6 alineatul (2) din regulament.”