SKLEPNI PREDLOGI GENERALNEGA PRAVOBRANILCA
M. CAMPOSA SÁNCHEZ-BORDONE,
predstavljeni 22. septembra 2022(1)
Zadeva C‑34/21
Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium
ob udeležbi
Minister des Hessischen Kultusministeriums als Dienststellenleiter
(Predlog za sprejetje predhodne odločbe, ki ga je vložilo Verwaltungsgericht Frankfurt am Main (upravno sodišče v Frankfurtu na Majni, Nemčija))
„Vprašanje za predhodno odločanje – Varstvo osebnih podatkov – Uredba (EU) 2016/679 – Obdelava podatkov v okviru zaposlitve – Člen 88(1) – Podrobnejše pravilo – Zahteve iz člena 88(2) – Regionalni šolski sistem – Poučevanje v živo prek videokonference – Neobstoj izrecne privolitve učiteljev“
1. Spor, ki je predmet tega predloga za sprejetje predhodne odločbe, se v bistvu nanaša na vprašanje, ali morajo učitelji, ki so zaposleni pri ministrstvu zvezne dežele Hessen (Nemčija), dati privolitev za razširjanje svojega poučevanja prek videokonference, in če da, ali je, če ne privolijo, obdelavo njihovih osebnih podatkov(2) mogoče utemeljiti z enim od zakonitih ciljev iz Uredbe (EU) 2016/679(3).
2. S tem predlogom za sprejetje predhodne odločbe se Sodišču ponuja možnost, da se prvič – če se ne motim – opredeli glede člena 88 SUVP. V skladu s to določbo lahko države članice v zakonu ali kolektivnih pogodbah določijo podrobnejša pravila za zagotovitev varstva pravic in svoboščin v zvezi z obdelavo osebnih podatkov zaposlenih v okviru zaposlitve.
I. Pravni okvir
A. Pravo Unije. SUVP
3. V naslednjih uvodnih izjavah je navedeno:
„[…]
(8) Kadar ta uredba določa natančnejše določitve ali omejitve svojih pravil s pravom držav članic, lahko države članice vključijo elemente te uredbe v svoje nacionalno pravo, kolikor je to potrebno zaradi skladnosti in razumljivosti nacionalnih določb za osebe, za katere se uporabljajo.
[…]
(10) Za zagotovitev dosledne in visoke ravni varstva posameznikov ter odstranitev ovir za prenos osebnih podatkov v Uniji bi morala biti raven varstva pravic in svoboščin posameznikov pri obdelavi osebnih podatkov enaka v vseh državah članicah. V vsej Uniji bi bilo treba zagotoviti dosledno in enotno uporabo pravil za varstvo temeljnih pravic in svoboščin posameznikov pri obdelavi osebnih podatkov. Kar zadeva obdelavo osebnih podatkov z namenom izpolnjevanja pravne obveznosti, za opravljanje naloge, ki se izvaja v javnem interesu, ali pri izvajanju javne oblasti, dodeljene upravljavcu, bi moralo biti državam članicam dovoljeno ohraniti ali uvesti nacionalne določbe za podrobnejšo opredelitev uporabe pravil iz te uredbe. […]
[…]
(45) Kadar se obdelava izvaja v skladu s pravno obveznostjo, ki velja za upravljavca, ali kadar je obdelava potrebna za izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti, bi morala imeti obdelava podlago v pravu Unije ali pravu države članice. Ta uredba ne zahteva posebnega zakona za vsako posamezno obdelavo. Zadosten je lahko zakon, ki je podlaga za več dejanj obdelave, ki temeljijo na pravni obveznosti, ki velja za upravljavca, ali za primere, ko je obdelava potrebna za izvajanje naloge v javnem interesu ali izvrševanje javne oblasti. V pravu Unije ali pravu držav članic bi moral biti določen tudi namen obdelave. Poleg tega bi bili lahko v navedenem pravu opredeljeni splošni pogoji iz te uredbe, ki urejajo zakonitost obdelave osebnih podatkov, določena natančnejša pravila za določitev upravljavca, vrst osebnih podatkov, ki se obdelujejo, zadevnih posameznikov, na katere se nanašajo osebni podatki, subjektov, katerim se osebni podatki lahko razkrijejo, omejitve namena, roka hranjenja in drugih ukrepov za zagotovitev zakonite in poštene obdelave. […]
[…]
(155) V pravu držav članic ali kolektivnih pogodbah, vključno s ‚pogodbami na ravni podjetij‘, so lahko določena posebna pravila o obdelavi osebnih podatkov zaposlenih v okviru zaposlitve, zlasti za pogoje, pod katerimi se lahko obdelujejo osebni podatki v okviru zaposlitve na podlagi privolitve zaposlenega, v namene zaposlovanja, izvajanja pogodbe o zaposlitvi, vključno z izpolnjevanjem obveznosti, določenih z zakonom ali kolektivnimi pogodbami, upravljanja, načrtovanja in organizacije dela, enakosti in raznolikosti na delovnem mestu, zdravja in varnosti pri delu, za namene individualnega ali kolektivnega izvajanja in uživanja pravic in ugodnosti, povezanih z zaposlitvijo, ter za namene prekinitve delovnega razmerja.
[…]“.
4. Člen 5 („Načela v zvezi z obdelavo osebnih podatkov“) določa:
„1. Osebni podatki morajo biti:
a) obdelani zakonito, pošteno in na pregleden način v zvezi s posameznikom, na katerega se nanašajo osebni podatki (‚zakonitost, poštenost in preglednost‘);
b) zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni; nadaljnja obdelava v namene arhiviranja v javnem interesu, v znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89(1) ne velja za nezdružljivo s prvotnimi nameni (‚omejitev namena‘);
c) ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo (‚najmanjši obseg podatkov‘);
d) točni in, kadar je to potrebno, posodobljeni; sprejeti je treba vse razumne ukrepe za zagotovitev, da se netočni osebni podatki brez odlašanja izbrišejo ali popravijo ob upoštevanju namenov, za katere se obdelujejo (‚točnost‘);
e) hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo; osebni podatki se lahko hranijo daljše obdobje, če bodo obdelani zgolj za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89(1), pri čemer je treba izvajati ustrezne tehnične in organizacijske ukrepe iz te uredbe, da se zaščitijo pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki (‚omejitev hrambe‘);
f) obdelani na način, ki zagotavlja ustrezno varnost osebnih podatkov, vključno z zaščito pred nedovoljeno ali nezakonito obdelavo ter pred nenamerno izgubo, uničenjem ali poškodbo z ustreznimi tehničnimi ali organizacijskimi ukrepi (‚celovitost in zaupnost‘).
2. Upravljavec je odgovoren za skladnost z odstavkom 1 in je to skladnost tudi zmožen dokazati (‚odgovornost‘).“
5. Člen 6 („Zakonitost obdelave“) SUVP določa:
„1. Obdelava je zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:
a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
[…]
e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.
Točka (f) prvega pododstavka se ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog.
2. Države članice lahko ohranijo ali uvedejo podrobnejše določbe, da bi prilagodile uporabo pravil te uredbe v zvezi z obdelavo osebnih podatkov za zagotovitev skladnosti s točkama (c) in (e) odstavka 1, tako da podrobneje opredelijo posebne zahteve v zvezi z obdelavo ter druge ukrepe za zagotovitev zakonite in poštene obdelave, tudi za druge posebne primere obdelave iz poglavja IX.
3. Podlaga za obdelavo iz točk (c) in (e) odstavka 1 je določena v skladu s:
a) pravom Unije; ali
b) pravom države članice, ki velja za upravljavca.
Namen obdelave se določi v navedeni pravni podlagi ali pa je v primeru obdelave iz točke (e) odstavka 1 potreben za opravljanje naloge, ki se izvaja v javnem interesu, ali pri izvajanju javne oblasti, dodeljene upravljavcu. Navedena pravna podlaga lahko vključuje posebne določbe, s katerimi se prilagodi uporaba pravil iz te uredbe, med drugim: splošne pogoje, ki urejajo zakonitost obdelave podatkov s strani upravljavca; vrste podatkov, ki se obdelujejo; zadevne posameznike, na katere se nanašajo osebni podatki; subjekte, katerim se osebni podatki lahko razkrijejo, in namene, za katere se lahko razkrijejo; omejitve namena; obdobja hrambe; ter dejanja obdelave in postopke obdelave, vključno z ukrepi za zagotovitev zakonite in poštene obdelave, kot tiste za druge posebne primere obdelave iz poglavja IX. Pravo Unije ali pravo države članice izpolnjuje cilj javnega interesa in je sorazmerno z zakonitim ciljem, za katerega si prizadeva.
4. Kadar obdelava podatkov za drug namen kot za tistega, za katerega so bili osebni podatki zbrani, ne temelji na privolitvi posameznika, na katerega se nanašajo osebni podatki, ali na pravu Unije ali pravu države članice, ki predstavlja potreben in sorazmeren ukrep v demokratični družbi za uresničevanje ciljev iz člena 23(1), upravljavec, da bi ocenil, ali je obdelava za drug namen združljiva z namenom, za katerega so bili osebni podatki prvotno zbrani, med drugim upošteva:
a) kakršno koli povezavo med nameni, za katere so bili osebni podatki zbrani, in nameni načrtovane nadaljnje obdelave;
b) okoliščine, v katerih so bili osebni podatki zbrani, zlasti kar zadeva razmerje med posamezniki, na katere se nanašajo osebni podatki, in upravljavcem;
c) naravo osebnih podatkov, zlasti ali se obdelujejo posebne vrste osebnih podatkov v skladu s členom 9 ali pa se obdelujejo osebni podatki v zvezi s kazenskimi obsodbami in prekrški v skladu s členom 10;
d) morebitne posledice načrtovane nadaljnje obdelave za posameznike, na katere se nanašajo osebni podatki;
e) obstoj ustreznih zaščitnih ukrepov, ki lahko vključujejo šifriranje ali psevdonimizacijo.“
6. Člen 88 („Obdelava v okviru zaposlitve“) določa:
„1. Države članice lahko v zakonu ali kolektivnih pogodbah določijo podrobnejša pravila za zagotovitev varstva pravic in svoboščin v zvezi z obdelavo osebnih podatkov zaposlenih v okviru zaposlitve, zlasti za namene zaposlovanja, izvajanja pogodbe o zaposlitvi, vključno z izpolnjevanjem obveznosti, določenih z zakonom ali kolektivnimi pogodbami, upravljanja, načrtovanja in organizacije dela, enakosti in raznolikosti na delovnem mestu, zdravja in varnosti pri delu, varstva lastnine zaposlenih [delodajalcev] ali potrošnikov in za namene individualnega ali kolektivnega izvajanja in uživanja pravic in ugodnosti, povezanih z zaposlitvijo, ter za namene prekinitve delovnega razmerja.
2. Ta pravila vključujejo ustrezne in posebne ukrepe za zaščito človeškega dostojanstva, zakonitih interesov in temeljnih pravic posameznika, na katerega se nanašajo osebni podatki, s posebnim poudarkom na preglednosti obdelave, prenosu osebnih podatkov v povezani družbi ali skupini podjetij, ki opravljajo skupno gospodarsko dejavnost, ter sistemih spremljanja na delovnem mestu.
3. Vsaka država članica Komisijo uradno obvesti o določbah svojih zakonov, ki jih sprejme v skladu z odstavkom 1, do 25. maja 2018, in jo brez odlašanja uradno obvesti o vsakršni naknadni spremembi, ki nanje vpliva.“
B. Nacionalno pravo
1. Hessisches Datenschutz- und Informationsfreiheitsgesetz(4)
7. Člen 23 določa:
„(1) Osebni podatki o zaposlenih se lahko obdelujejo za namene delovnega razmerja, če je to potrebno za odločanje o vzpostavitvi delovnega razmerja ali – po vzpostavitvi delovnega razmerja – za njegovo izvajanje, prenehanje ali razvezo ter za izvajanje notranjih načrtovalnih, organizacijskih, socialnih ali kadrovskih ukrepov. To velja tudi za izvajanje ali izpolnjevanje pravic in obveznosti delavskega predstavništva, ki izhajajo iz zakona ali kolektivne pogodbe ali sporazuma med delojemalci in delodajalcem v zasebnem ali javnem sektorju (kolektivni dogovor). […]
[…]
(4) Obdelava osebnih podatkov – vključno s posebnimi kategorijami osebnih podatkov – zaposlenih za namene delovnega razmerja je dovoljena na podlagi kolektivnih dogovorov. Pri tem morajo pogajalske strani upoštevati člen 88(2) [SUVP].
(5) Upravljavec mora sprejeti ustrezne ukrepe za zagotovitev, da so upoštevana zlasti načela obdelave osebnih podatkov iz člena 5 [SUVP].“
[…]
(8) Zaposleni v smislu tega zakona so:
[…]
7. uslužbenci, za katere se uporablja Hessisches Beamtengesetz[(5)], sodniki sodišč dežele Hesse in vojaški obvezniki v civilni službi.
[…]“.
2. Hessiches Beamtengesetz
8. Člen 86(4) določa:
„Delodajalec v javnem sektorju lahko osebne podatke o kandidatkah in kandidatih, javnih uslužbenkah in uslužbencih ter nekdanjih javnih uslužbenkah in uslužbencih zbira le, če je to potrebno za vzpostavitev, izvajanje, prenehanje ali razvezo delovnega razmerja ali za izvajanje organizacijskih, kadrovskih in socialnih ukrepov, zlasti za namene načrtovanja in uporabe človeških virov, ali če je to dovoljeno na podlagi zakonske določbe ali kolektivnega dogovora. […]“.
II. Dejansko stanje, spor in vprašanja za predhodno odločanje
9. Verwaltungsgericht Wiesbaden (upravno sodišče v Wiesbadnu, Nemčija), ki je prvotno vložilo predlog za sprejetje predhodne odločbe, ni podrobneje opisalo ne dejanskega stanja spora ne določb, ki se v njem izpodbijajo(6), ne poteka postopka, temveč se je osredotočilo na pojasnitev dvomov, ki jih je imelo glede pravnih vidikov.
10. Navedeno sodišče zgolj ugotavlja, da sta stranki „v sporu glede vprašanja, ali je pri uvedbi pouka na daljavo prek videokonferenčnih sistemov poleg soglasja staršev za njihove otroke ali polnoletnih učencev potrebno tudi soglasje učiteljev ali pa je obdelava podatkov, ki se pri tem izvaja, zajeta s členom 23(1), prvi stavek, HDSIG […]“.
11. Zlasti dvomi, da pomeni člen 23(1), prvi stavek, HDSIG „podrobnejše pravilo“ v zvezi z obdelavo osebnih podatkov zaposlenih v smislu člena 88 SUVP. Meni, da ta določba ne izpolnjuje zahtev člena 88(2) SUVP, ker:
– je v njem kot pravna podlaga za obdelavo podatkov zaposlenih oziroma javnih uslužbencev navedena zgolj „potreba“ po tem;
– je treba vsako obdelavo podatkov zaposlenih, ki presega to, ki je potrebna za namene pogodbe o zaposlitvi, izvesti po tehtanju interesov, ki ni omejeno zgolj na ugotavljanje potrebe, kar pa v nacionalnem zakonu ni omenjeno.
12. Predložitveno sodišče navaja, da se ne strinja s sodno prakso Bundesarbeitsgericht (zvezno delovno sodišče, Nemčija) o skladnosti zvezne določbe, ki je enakovredna členu 23(1), prvi stavek, HDSIG(7), s členom 88 SUVP.
13. Predložitveno sodišče namreč meni, da:
– to, da je v nacionalni zakonodaji uvedeno načelo „potrebe“, ne pomeni podrobnejše določitve zahtev iz člena 88(2) SUVP;
– navedba, da mora upravljavec spoštovati zlasti načela iz člena 5 SUVP, ne zadostuje za izpolnitev teh zahtev, saj člen 5 SUVP ne določa posebnega varstva zaposlenih.
– Zakonodajalec je člen 88(2) SUVP glede na to, da pri kolektivnih dogovarjanjih zahteva njegovo upoštevanje, sicer načeloma zaznal in videl, vendar seznama zahtev iz navedene določbe ni obravnaval oziroma teh zahtev ni izpolnil niti v samem zakonu niti v obrazložitvi zadevnih zakonskih določil.
14. Navedeno sodišče je v teh okoliščinah Sodišču predložilo ti vprašanji za predhodno odločanje:
„1. Ali je treba člen 88(1) [SUVP] razlagati tako, da mora zakonsko pravilo za to, da bi se štelo za podrobnejše pravilo za zagotovitev varstva pravic in svoboščin v zvezi z obdelavo osebnih podatkov zaposlenih v okviru zaposlitve v smislu člena 88(1) [SUVP], izpolnjevati zahteve, ki so za taka pravila opredeljene s členom 88(2) [SUVP]?
2. Ali se lahko nacionalna določba, ki očitno ne izpolnjuje zahtev v skladu s členom 88(2) [SUVP], kljub temu še naprej uporablja?“
III. Postopek pred Sodiščem
15. Sodno tajništvo Sodišča je predlog za sprejetje predhodne odločbe prejelo 20. januarja 2021.
16. Pristojnost za odločanje o zadevnem sporu je bila z učinkom od 1. decembra 2021(8) prenesena na Verwaltungsgericht Frankfurt am Main (upravno sodišče v Frankfurtu na Majni, Nemčija), pred katerim se je postopek nadaljeval.
17. Pisna stališča so predložile nemška, avstrijska in romunska vlada ter Evropska komisija. Navedene in delavski svet učiteljev so pisno odgovorili na vprašanja, ki jim jih je Sodišče postavilo pred obravnavo.
18. Obravnave 30. junija 2022 so se udeležili delavski svet učiteljev, ministrstvo za izobraževanje in kulturo dežele Hessen, nemška vlada in Komisija.
IV. Analiza
A. Dopustnost predloga za sprejetje predhodne odločbe
19. Nemška vlada je v svojem pisnem stališču navedla, da je predlog za sprejetje predhodne odločbe nedopusten; predložitveno sodišče pri preudarjanju, ali je obdelava osebnih podatkov, ki je neločljivo povezana z neposrednim prenosom pouka prek videokonference, utemeljena s členom 23(1) HDSIG, namreč ni pojasnilo razlogov za izključitev možnosti, da je takšna obdelava dovoljena na podlagi privolitve učitelja.
20. Na obravnavi je nemška vlada ta ugovor deloma popravila ter navedla, da bi Sodišče o njem moralo odločiti (da je predlog torej dopusten), če zadevni učitelji niso dali privolitve.
21. Kakor koli že, Sodišče lahko predlog nacionalnega sodišča zavrže, samo če je očitno, da zahtevana razlaga prava Unije nima nobene zveze z dejanskim stanjem ali predmetom spora v postopku v glavni stvari, če je problem hipotetičen ali če Sodišče nima na voljo pravnih in dejanskih elementov, ki so potrebni, da bi lahko na postavljena vprašanja koristno odgovorilo(9).
22. V tem predlogu za sprejetje predhodne odločbe ni podana nobena od teh okoliščin in prevlada domneva njegove upoštevnosti(10). Njegova temeljna premisa je, da ni nujno, da vsi učitelji privolijo v obdelavo svojih osebnih podatkov, zaradi česar je podan interes, da se ugotovi, ali je pravilo(11), na podlagi katerega bi bila ta obdelava utemeljena brez privolitve posameznika, na katerega se nanašajo osebni podatki, skladna s pravom Unije.
23. Vprašanji za predhodno odločanje sta namenjeni prav dognanju, ali ureditev, s katero naj bi se vzpostavila podlaga za obdelavo osebnih podatkov učiteljev, če ti vanjo ne privolijo, izpolnjuje zahteve iz člena 88(1) in (2) SUVP ali ne. Zadostna povezava med sporom in določbami prava Unije, katerih razlaga se zahteva, je torej nesporna.
B. Vsebinska presoja
1. Uvodni preudarki
24. Predložitveno sodišče želi s prvim vprašanjem za predhodno odločanje izvedeti, ali mora zakonska določba za to, da bi pomenila „podrobnejše pravilo“ v smislu člena 88(1) SUVP, izpolnjevati zahteve iz člena 88(2) SUVP.
25. Na podlagi besedila člena 88 SUVP je mogoče sklepati, da morajo biti „podrobnejša pravila“ iz odstavka 1 tega člena skladna z zahtevami iz odstavka 2.
26. V skladu s členom 88(2) SUVP morajo „ta pravila“ (torej podrobnejša pravila, ki so omenjena v odstavku 1 in ki jih lahko določijo države članice) vključevati „ustrezne in posebne ukrepe“ za zaščito dostojanstva, zakonitih interesov in temeljnih pravic delavcev. Pri teh pravilih mora biti poseben poudarek na preglednosti obdelave, prenosu osebnih podatkov v povezani družbi ali skupini podjetij ter sistemih spremljanja na delovnem mestu.
27. Med navedenima odstavkoma člena 88 SUVP je torej očitna povezava: v drugem odstavku je kogentno(12) določena vsebina podrobnejših pravil, ki jih države članice na podlagi prvega odstavka lahko določijo v okviru zaposlitve.
28. Odgovor na to vprašanje za predhodno odločanje torej ni zelo težaven: člen 88 SUVP je treba razlagati tako, da mora zakonska določba, ki naj bi pomenila „podrobnejše pravilo“ v smislu odstavka 1 tega člena, „izpolnjevati zahteve“ – da uporabim izraz predložitvenega sodišča – iz odstavka 2.
29. Ni verjetno, da je predložitveno sodišče za to, da bi prišlo do te ugotovitve, potrebovalo pomoč Sodišča. Zato je pravi pomen prvega vprašanja za predhodno odločanje morda treba presojati glede na drugo. Z njim se želi izvedeti, ali se nacionalna določba, ki „ne izpolnjuje zahtev v skladu s členom 88(2)“ SUVP(13), lahko še naprej uporablja.
30. S tega vidika (s katerega izhaja predložitveni sklep) se razprava razširi na vprašanje, ali so lahko zakonske določbe držav članic, sprejete na podlagi člena 88(1) SUVP, ki pa niso v skladu s členom 88(2) te uredbe, lahko utemeljene z drugimi določbami SUVP. In sicer zlasti na podlagi drugih pomensko odprtih določb iz te uredbe, kakršna je ta iz njenega člena 6(2).
31. Vprašanji predložitvenega sodišča se prekrivata do te mere, da sta avstrijska vlada in Komisija predlagali, naj se v zvezi z njima oblikuje skupen odgovor; s tem pristopom se strinjam in ga bom privzel.
2. Člen 88 in status učiteljev kot javnih uslužbencev
32. Predložitveno sodišče v kontekstu nacionalne ureditve o varstvu osebnih podatkov izhaja iz tega, da so učitelji, ki jih zastopa delavski svet učiteljev, in ministrstvo za izobraževanje in kulturo dežele Hessen v delovnem razmerju.
33. Ta predpostavka je skladna z HDSIG, v skladu s katerim se v okviru urejanja obdelave osebnih podatkov delavcev za zaposlene v smislu tega zakona štejejo javni uslužbenci, za katere se uporablja HBG, med katere spadajo tudi učitelji.
34. Predložitveno sodišče torej nikjer ni podvomilo o tem, da se člen 88 SUVP uporablja za zaposlene zvezne dežele, ki kot javni uslužbenci opravljajo poklic učitelja.
35. Tudi za stranke in intervenientko v postopku predhodnega odločanja, ki jim je Sodišče v zvezi s tem postavilo vprašanje, ta predpostavka ni bila sporna. Vse se strinjajo, da osebe, ki so v javnem sektorju zaposlene kot učitelji, niso izključene s področja uporabe člena 88 SUVP.
36. Zdi se mi, da je ta pristop ustrezen in da se lahko uporabi za analizo obsega člena 88 SUVP v delu, v katerem se nanaša na „varstvo v zvezi z obdelavo osebnih podatkov zaposlenih v okviru zaposlitve“.
37. V kategoriji delavca v širokem pomenu so, kot je poudarila nemška vlada, seveda vključeni tudi učitelji, ki kot javni uslužbenci delajo za zvezno deželo in katerih interese zastopa delavski svet učiteljev.
38. Sodna praksa Sodišča o delovnem razmerju(14) in pojmu delavca v povezavi s sodno prakso o prostem gibanju delavcev in o neuporabi nekdanjega člena 39(4) ES (postal člen 45(4) PDEU) za zaposlene v državni upravi je lahko po analogiji v pomoč pri oblikovanju rešitve, ki jo predlagam.
39. V skladu s to sodno prakso, v kateri je poudarjen funkcionalni vidik naloge, ki se opravlja,
– je treba pojem državne uprave za te namene razlagati in uporabljati enotno po vsej Uniji in zato ne more biti prepuščen presoji držav članic;
– člen 45(4) PDEU se nanaša na tista delovna mesta, ki vključujejo neposredno ali posredno sodelovanje pri izvrševanju pooblastil na podlagi javnega prava, in dolžnosti, katerih namen je varovati splošni interes države ali drugih javnih organov(15).
40. Ker učitelji, ki so zaposleni kot javni uslužbenci, kot taki stricto sensu ne izvajajo javne oblasti, temveč opravljajo storitveno dejavnost poučevalne narave(16), ki je podobna tej, ki jo opravljajo drugi zasebni subjekti ali podjetja, jih je mogoče na splošno in s tem tudi na področju varstva osebnih podatkov opredeliti kot „zaposlene“.
41. Drugačen pristop bi pomenil, kot je poudarila avstrijska vlada, neenako obravnavo v bistvenem enakih položajev, kakršna sta z vsebinskega vidika položaj učitelja, ki je zaposlen kot javni uslužbenec, in položaj učitelja v zasebnem sektorju. To bi bilo še toliko bolj težavno, ker – kot je navedla Komisija – pojem javne službe na ravni Uniji ni harmoniziran, tako da bi bilo, če bi ga katera država razlagala drugače, področje uporabe člena 88 SUVP odvisno od nacionalne zakonodaje.
3. Pomensko odprte določbe v SUVP
42. Kot je generalni pravobranilec Bobek poudaril v zadevi Fashion ID(17), se je s tem, da je bila Direktiva 95/46/ES(18) nadomeščena s SUVP, zlasti spremenila sama narava zakonskega akta, s katerim je urejeno varstvo posameznikov v zvezi z obdelavo osebnih podatkov.
43. Ta akt ni več direktiva (torej predpis, s katerim je naložena obveznost rezultata, pri čemer je izbira oblike in sredstev za njegovo doseganje prepuščena nacionalnim organom), temveč uredba. Pri tem predpisu, ki je zavezujoč v vseh elementih in se neposredno uporablja v vsaki državi članici, načeloma brez izrecnega dovoljenja ni dopustno, da bi bila v nacionalnih predpisih vsebovana (ali povzeta) njegova vsebina(19).
44. Čeprav okvir harmonizacije, vzpostavljen s SUVP, presega tega, ki se je želel doseči z Direktivo 95/46(20), je zakonodajalec Unije zato, ker so področja človeške dejavnosti, na katerih se ustvarjajo osebni podatki, katerih obdelava mora biti predmet varstva(21), skorajda vsesplošna, države članice pooblastil, da:
– v nacionalno pravo vključijo nekatere elemente SUVP, kadar je v njej določeno, da so njena pravila natančneje določena ali omejena s pravom držav članic;
– ohranijo ali uvedejo nacionalne določbe za podrobnejšo opredelitev uporabe nekaterih pravil iz SUVP(22).
45. Čeprav je namen SUVP zagotoviti dosledno in enotno uporabo pravil za varstvo v vsej Uniji in odstraniti ovire za pretok osebnih podatkov v njej(23), zakonodajalec Unije ni mogel spregledati, kot je opozoril generalni pravobranilec Richard de la Tour, da se je resničnost izkazala za bolj zapleteno: s SUVP ni bilo mogoče – kljub njeni transverzalnosti – anticipirati vseh posledic, ki bi jih varstvo osebnih podatkov lahko imelo na področjih, kakršna so področja potrošniškega, konkurenčnega ali delovnega prava.(24)
46. S tem je pojasnjeno, zakaj je v SUVP državam članicam omogočeno, da določijo dodatna nacionalna pravila, ki so strožja, ali nekatera odstopanja. Države članice imajo glede načina, kako se te določbe lahko izvajajo, polje proste presoje („pomensko odprte določbe“)(25).
47. Posledica razmeroma velikega števila takih določb je bila okrnitev popolne harmonizacije varstva osebnih podatkov(26). Kot je priznala Komisija, je to, da se s SUVP od držav članic zahteva, da zakonsko uredijo nekatera področja, na drugih področjih pa jim je dana možnost, da natančneje opredelijo njene določbe, povzročilo „določen[o] razdrobljenost, ki je zlasti posledica obsežne uporabe določil o neobvezni natančnejši ureditvi“(27).
48. Določba, ki je v tej zadevi zlasti upoštevna, je ta iz člena 88(1) SUVP. Vendar je treba bežno preučiti razmerje med njo in to iz člena 6(1)(b) in (c) te uredbe, kar je bilo storjeno na obravnavi.
a) Člen 6(2) SUVP
49. V odstavku 1 člena 6, ki je del poglavja II SUVP, v katerem so določena „načela“, ki morajo biti upoštevana pri obdelavi osebnih podatkov in ki tako pomenijo splošni okvir sistema, so našteti pogoji za zakonitost obdelave. V točki (a) tega odstavka je govora o privolitvi posameznika, na katerega se nanašajo osebni podatki, v točki (b) pa o tem, da mora biti obdelava potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki.
50. Ti pogoji se prištevajo k tem, ki izhajajo iz načel, ki so na splošno(28) določena v členu 5 SUVP in v členih od 7 do 11 SUVP podrobneje opredeljena, kar zadeva privolitev (v členu 7 in – v zvezi z otroci – členu 8), obdelavo posebnih vrst osebnih podatkov (v členu 9) ali obdelavo osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški (v členu 10) in obdelavo, ki ne zahteva identifikacije (v členu 11).
51. K temu sklopu načel in pravil je mogoče prišteti „podrobnejše določbe“, ki jih države članice sprejmejo (ali ohranijo), da bi v skladu s členom 6(2) SUVP „prilagodile uporabo pravil“ te uredbe v zvezi z dvema konkretnima obdelavama, kadar sta potrebni za:
– izpolnitev zakonske obveznosti (člen 6(1)(c));
– opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti (člen 6(1)(e)).(29)
52. Pri tej „prilagoditvi“, je še pojasnjeno v določbi, gre za to, da se „podrobneje opredelijo posebne zahteve v zvezi z obdelavo ter drug[i] ukrep[i] za zagotovitev zakonite in poštene obdelave“, in sicer tudi za „druge posebne primere obdelave iz poglavja IX“.
53. Zadnjenavedeni izraz te določbe ni tako jasen, kot bi bilo zaželeno, saj ni enostavno razbrati, ali je z njim dopuščena – za, ponavljam, obdelavi iz člena 6(1)(c) in (e) – ureditev posebnih primerov, ki niso ti, ki so že obravnavni v poglavju IX, ali pa sta v skladu s SUVP ti obdelavi mogoči le v zvezi s primeri iz tega poglavja.
b) Člen 88(1) SUVP
54. Kakor koli že, pomensko odprta določba, ki je v tej zadevi upoštevna, ker se nanjo osredotoča predložitveno sodišče, je ta iz člena 88(1) SUVP. Naj spomnim, da lahko države članice v skladu z njenim besedilom v zakonu ali kolektivnih pogodbah določijo „podrobnejša pravila za zagotovitev varstva pravic in svoboščin v zvezi z obdelavo osebnih podatkov zaposlenih v okviru zaposlitve“.
55. Obdelava teh osebnih podatkov se lahko izvaja zlasti za namene:
– zaposlovanja, izvajanja pogodbe o zaposlitvi(30), upravljanja, načrtovanja in organizacije dela, enakosti in raznolikosti na delovnem mestu, zdravja in varnosti pri delu, varstva lastnine delodajalcev ali potrošnikov;
– individualnega ali kolektivnega izvajanja in uživanja pravic in ugodnosti, povezanih z zaposlitvijo, in
– prekinitve delovnega razmerja.
56. Posledica pooblastila za uvedbo takih pravil je nekolikšna „deharmonizacija“. Zaradi nacionalnih pravil, ki se jih lahko sprejme na podlagi člena 88(1) SUVP, lahko v eni ali več držav članic pride do razlik v splošni ureditvi SUVP, ki presegajo samo „prilagoditev“, ki je dovoljena v skladu s členom 6(2) SUVP:
– Na podlagi člena 6(2) SUVP lahko države članice prilagodijo uporabo nekaterih določb same SUVP.
– V skladu s členom 88(1) SUVP pa lahko države članice določijo podrobnejša pravila za zagotovitev. Gre torej za izrazitejšo zakonodajno dejavnost, kakršna ni podana v primeru enostavne prilagoditve ali uravnave uporabe določb SUVP, katerih vsebina in obseg se morata šteti za dokončna(31).
4. Člen 23 HDSIG v razmerju do SUVP
57. Zvezna republika Nemčija je v skladu s členom 88(3) SUVP Komisijo obvestila, da je med zakonskimi določbami, ki jih je ta država članica sprejela na podlagi člena 88(1) SUVP, tudi člen 23 HDSIG.
58. Menim – pri čemer se v tej točki strinjam s predložitvenim sodiščem in Komisijo – da s členom 23 HDSIG ni zadoščeno pogoju „določitve podrobnejših pravil“ za varstvo pravic v zvezi z obdelavo osebnih podatkov v okviru zaposlitve, kot je predpisano v členu 88(1) SUVP.
59. Tako člen 23(1), prvi stavek, HDSIG kot člen 86(4), prvi stavek, HBG določata le, da se osebni podatki zaposlenih in javnih uslužbencev lahko obdelujejo za namene delovnega razmerja, če je to „potrebno“ za enega od teh namenov:
– za odločanje o vzpostavitvi tega delovnega razmerja ali – po njegovi vzpostavitvi – za njegovo izvajanje, prenehanje ali razvezo, ali
– za izvajanje notranjih načrtovalnih, organizacijskih, socialnih ali kadrovskih ukrepov.
60. Strogo gledano je obdelava osebnih podatkov zaposlenih v obeh določbah pogojena le z okoliščino, da je to potrebno za določene namene.
61. Ne gre torej za določbo, ki se zelo razlikuje od te iz člena 6(1)(b) SUVP („Obdelava je zakonita le[, če je] potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe“)(32).
62. Pri členu 23 SUVP gre torej za ponovitev pogoja, ki je za splošno zakonitost obdelave določen že s členom 6(1)(b) SUVP. Ni pa z njim določeno nobeno podrobnejše pravilo za varstvo pravic, ki so upoštevne v kontekstu obdelave osebnih podatkov v okviru zaposlitve(33).
63. Sklep bi bil enak, če bi se štelo, da je zadevna dejavnost poučevanja zajeta v členu 6(1)(e) SUVP (torej če bi bila zadevna obdelava potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti)(34).
64. V primeru iz člena 6(2)(c) in (e) SUVP lahko države članice, kot sem že navedel, ohranijo ali uvedejo „podrobnejše določbe […], tako da podrobneje opredelijo posebne zahteve v zvezi z obdelavo […]“.
65. Poudarjam, da člen 23 HDSIG ne pomeni „podrobnejše določbe“, temveč je z njim zgolj dopuščena obdelava osebnih podatkov delavcev, kadar je to potrebno. Ne opredeljuje natančneje pogojev ali zahtev za to morebitno obdelavo.
66. Nemška vlada nasprotuje temu stališču in trdi, da bi bilo „nemogoče in neizvedljivo“ v ureditvi podrobno upoštevati raznolikost obdelav podatkov v okviru zaposlovanja. Meni, da bi morala zadostovati zakonodajna določba, s katero bi bile po potrebi utemeljene obdelave, za katere ni potrebna podrobnejša pravna podlaga.(35)
67. Na to je mogoče odgovoriti že z navedbo, da – ne glede na težavnost te zahteve – člen 88(3) SUVP taksativno določa, da morajo države članice Komisijo obvestiti o „določbah svojih zakonov, ki jih sprejme[jo] v skladu z odstavkom 1“ tega člena. Z drugimi besedami, ne o (osnovnih) določbah, na katerih temeljijo podrobnejša pravila, temveč prav o teh pravilih. Obvestilo se mora opraviti individualizirano in izrecno(36).
68. Skratka, v členu 23 HDSIG je zgolj ponovljeno pooblastilo, ki je že vsebovano v členu 88(1) SUVP, ali, povedano drugače, z njim je omogočena naknadna določitev (ali ohranitev) podrobnejših pravil.
69. Člen 23 HDSIG ne le, da sam po sebi ne določa „podrobnejših pravil“ v smislu člena 88(1) SUVP, temveč prav tako ne vsebuje „ustrezn[ih] in posebn[ih] ukrep[ov] za zaščito človeškega dostojanstva, zakonitih interesov in temeljnih pravic posameznika“.
70. Ker v členu 23 HDSIG ni takih ukrepov, z njim zato ni izpolnjen pogoj, ki je v členu 88(2) SUVP določen za možnost sprejetja diferencirane zakonodaje držav članic na področju delovnih razmerij.
71. Ker se predlog za sprejetje predhodne odločbe nanaša na preizkus zakonodajnih določb, ne pa tudi kolektivnih pogodb, bom obravnaval izključno prvonavedene, zadnjenavedenih(37) pa ne.
72. Nacionalni zakonodajalec se pri teh določbah ne more omejiti – kot je bilo storjeno v členu 23(5) HDSIG – na določitev, da upravljavec podatkov sprejme ustrezne ukrepe za zagotovitev, „da so upoštevana zlasti načela obdelave osebnih podatkov iz člena 5“ SUVP. Ta določba je odveč, saj mora biti vsaka obdelava podatkov načeloma v skladu vsaj s pogoji iz člena 5 SUVP.
73. Predmet člena 88(2) SUVP je določitev ukrepov, s katerimi se, v zvezi z zaščitnimi ukrepi, zagotovi ustrezna skladnost s podrobnostmi teh ukrepov, ki se sprejmejo na podlagi člena 88(1) SUVP. Namen prvonavedene določbe je skratka ta, da se pri posebnostih, ki so dopuščene z zadnjenavedeno določbo, ustrezno upošteva zadevna podrobnost njenih jamstev.
74. Če bi se predpostavilo, da člen 23 HDSIG vsebuje podrobnejšo ureditev v smislu člena 88(1) SUVP, bi bili z njim, v zvezi z zaščitnimi ukrepi, zahtevanimi s členom 88(2) SUVP, ponovljeni tisti, ki so že na splošno določeni v členu 5 SUVP. Skratka, porušeno bi bilo ravnovesje, ki mora biti podano med podrobnostjo pravil, ki se lahko sprejmejo na podlagi odstavka 1 člena 88 SUVP, in podrobnostjo ukrepov „za zaščito“, ki so zahtevani z odstavkom 2 navedenega člena.
75. Menim skratka, da člen 23 HDSIG ne more imeti podlage v členu 88 SUVP. In sicer zato, na eni strani, ker ne določa podrobnejših pravil, in, na drugi strani, ker so v njem zgolj ponovljena splošna jamstva iz člena 5 SUVP.
5. Ali se člen 23 HDSIG kljub vsemu uporabi?
76. Treba je še preveriti, ali se člen 23 HDSIG kljub zgornjim pojasnilom v nacionalnem pravnem redu vseeno lahko uporablja. Zdi se, da želi predložitveno sodišče, kot sem že omenil, v končni fazi izvedeti prav to.
77. Z vprašanjem se skuša razjasniti, ali se pravila, ki jih države članice sprejmejo na podlagi pomensko odprte določbe iz člena 88(1) SUVP in ki ne izpolnjujejo zahtev iz člena 88(2) SUVP, lahko uporabljajo na podlagi drugih določb SUVP.
78. Odgovor, katerega premisa je ta, da člen 23 HDSIG ne vsebuje „podrobnejših pravil“ v smislu člena 88 SUVP(38), je mogoče izraziti z dvema ugotovitvama:
– člen 23 HDSIG postane neupošteven ali odvečen, ker v njem v bistvu ni podrobnejših pravil, s katerimi je zagotovljena pravica delavcev do varstva njihovih osebnih podatkov v okviru zaposlitve;
– na tem področju (delovna razmerja) se morajo neposredno in prednostno uporabiti določbe splošne ureditve iz SUVP.
79. Nekaj drugega pa je, kot sta poleg Komisije trdili tudi avstrijska in romunska vlada in kot so na obravnavi priznale vse udeleženke, da ni ovir za to, da država članica uporabi bodisi druge določbe SUVP bodisi – na podlagi člena 6(2) te uredbe – nacionalna pravila, s katerimi je obdelava podatkov delavcev urejena tako, da se pripomore k „prilagodi[tvi] uporab[e] pravil“ SUVP.
V. Predlog
80. Glede na navedeno Sodišču predlagam, naj Verwaltungsgericht Frankfurt am Main (upravno sodišče v Frankfurtu na Majni, Nemčija) odgovori tako:
Člen 88(1) in (2) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) je treba razlagati tako:
zakonska določba, ki jo sprejme država članica, pomeni podrobnejše pravilo za zagotovitev varstva pravic in svoboščin v zvezi z obdelavo osebnih podatkov zaposlenih v okviru zaposlitve, če izpolnjuje zahteve iz člena 88(2) Uredbe 2016/679.
Če ta zakonska določba ne izpolnjuje zahtev iz člena 88(2) Uredbe 2016/679, se po potrebi uporabi le, če je lahko utemeljena z drugimi določbami te uredbe ali z nacionalnimi predpisi za prilagoditev, omenjenimi v členu 6(2) te uredbe.