ΑΠΟΦΑΣΗ ΤΟΥ ΔΙΚΑΣΤΗΡΙΟΥ (πρώτο τμήμα)
της 30ής Μαρτίου 2023 (*)
«Προδικαστική παραπομπή – Προστασία δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Άρθρο 88, παράγραφοι 1 και 2 – Επεξεργασία δεδομένων στο πλαίσιο της απασχόλησης – Περιφερειακό σχολικό σύστημα – Διδασκαλία μέσω τηλεδιάσκεψης λόγω της πανδημίας COVID‑19 – Εφαρμογή χωρίς τη ρητή συγκατάθεση των εκπαιδευτικών»
Στην υπόθεση C‑34/21,
με αντικείμενο αίτηση προδικαστικής αποφάσεως δυνάμει του άρθρου 267 ΣΛΕΕ, που υπέβαλε το Verwaltungsgericht Wiesbaden (διοικητικό πρωτοδικείο Βισμπάντεν, Γερμανία) με απόφαση της 20ής Δεκεμβρίου 2020, η οποία περιήλθε στο Δικαστήριο στις 20 Ιανουαρίου 2021, στο πλαίσιο της δίκης
Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium
κατά
Minister des Hessischen Kultusministeriums,
ΤΟ ΔΙΚΑΣΤΗΡΙΟ (πρώτο τμήμα),
συγκείμενο από τους A. Arabadjiev, πρόεδρο τμήματος, K. Lenaerts, Πρόεδρο του Δικαστηρίου, L. Bay Larsen, Αντιπρόεδρο του Δικαστηρίου, ασκούντες καθήκοντα δικαστών του πρώτου τμήματος, A. Kumin και I. Ziemele (εισηγήτρια), δικαστές,
γενικός εισαγγελέας: M. Campos Sánchez-Bordona
γραμματέας: S. Beer, διοικητική υπάλληλος,
έχοντας υπόψη την έγγραφη διαδικασία και κατόπιν της επ’ ακροατηρίου συζητήσεως της 30ής Ιουνίου 2022,
λαμβάνοντας υπόψη τις παρατηρήσεις που υπέβαλαν:
– η Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium, εκπροσωπούμενη από τον J. Kolter, Rechtsanwalt,
– ο Minister des Hessischen Kultusministeriums, εκπροσωπούμενος από τον C. Meinert,
– η Γερμανική Κυβέρνηση, εκπροσωπούμενη από τους J. Möller και D. Klebs,
– η Αυστριακή Κυβέρνηση, εκπροσωπούμενη από τον G. Kunnert και την J. Schmoll,
– η Ρουμανική Κυβέρνηση, εκπροσωπούμενη από τις E. Gane και A. Wellman,
– η Ευρωπαϊκή Επιτροπή, εκπροσωπούμενη από τους F. Erlbacher, H. Kranenborg και D. Nardi,
αφού άκουσε τον γενικό εισαγγελέα, που ανέπτυξε τις προτάσεις του κατά τη συνεδρίαση της 22ας Σεπτεμβρίου 2022,
εκδίδει την ακόλουθη
Απόφαση
1 Η αίτηση προδικαστικής αποφάσεως αφορά την ερμηνεία του άρθρου 88, παράγραφοι 1 και 2, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1) (στο εξής: ΓΚΠΔ).
2 Η αίτηση αυτή υποβλήθηκε στο πλαίσιο ένδικης διαφοράς μεταξύ της Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium (κύριας επιτροπής διδακτικού προσωπικού του Υπουργείου Παιδείας και Πολιτισμού του ομόσπονδου κράτους της Έσσης, Γερμανία) και του Minister des Hessischen Kultusministeriums (Υπουργού Παιδείας και Πολιτισμού του ομόσπονδου κράτους της Έσσης, Γερμανία), σχετικά με τη νομιμότητα του συστήματος μετάδοσης σε πραγματικό χρόνο μαθημάτων μέσω τηλεδιάσκεψης που εφαρμόζεται σε σχολεία στο ομόσπονδο κράτος της Έσσης (Γερμανία), χωρίς την προηγούμενη συγκατάθεση των οικείων εκπαιδευτικών.
Το νομικό πλαίσιο
Το δίκαιο της Ένωσης
Η οδηγία 95/46/ΕΚ
3 Η οδηγία 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (ΕΕ 1995, L 281, σ. 31), καταργήθηκε με τον ΓΚΠΔ από τις 25 Μαΐου 2018. Το άρθρο 3 της οδηγίας, το οποίο έφερε τον τίτλο «Πεδίο εφαρμογής», όριζε τα εξής:
«1. Οι διατάξεις της παρούσας οδηγίας εφαρμόζονται στην αυτοματοποιημένη, εν όλω ή εν μέρει, επεξεργασία δεδομένων προσωπικού χαρακτήρα καθώς και στη μη αυτοματοποιημένη επεξεργασία τέτοιων δεδομένων που περιλαμβάνονται ή πρόκειται να περιληφθούν σε αρχείο.
2. Οι διατάξεις της παρούσας οδηγίας δεν εφαρμόζονται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα:
– η οποία πραγματοποιείται στο πλαίσιο δραστηριοτήτων που δεν εμπίπτουν στο πεδίο εφαρμογής του κοινοτικού δικαίου, όπως οι δραστηριότητες που προβλέπονται στις διατάξεις των τίτλων V και VI της συνθήκης [ΕΕ, όπως ίσχυε πριν από τη Συνθήκη της Λισσαβώνας,] και, εν πάση περιπτώσει, στην επεξεργασία δεδομένων που αφορά τη δημόσια ασφάλεια, την εθνική άμυνα, την ασφάλεια του κράτους (συμπεριλαμβανομένης και της οικονομικής ευημερίας του, εφόσον η επεξεργασία αυτή συνδέεται με θέματα ασφάλειας του κράτους) και τις δραστηριότητες του κράτους σε τομείς του ποινικού δικαίου,
[…]».
Ο ΓΚΠΔ
4 Οι αιτιολογικές σκέψεις 8 έως 10, 13, 16, 45 και 155 του ΓΚΠΔ έχουν ως εξής:
«(8) Οσάκις ο παρών κανονισμός προβλέπει προδιαγραφές ή περιορισμούς των κανόνων του από το δίκαιο των κρατών μελών, τα κράτη μέλη μπορούν να ενσωματώσουν στοιχεία του παρόντος κανονισμού στο εθνικό τους δίκαιο, στην έκταση που απαιτείται για λόγους συνεκτικότητας και για να είναι κατανοητές οι εθνικές διατάξεις στα πρόσωπα για τα οποία αυτές εφαρμόζονται.
(9) Ενώ οι στόχοι και οι αρχές της οδηγίας [95/46] παραμένουν ισχυροί, η οδηγία δεν κατόρθωσε να αποτρέψει τον κατακερματισμό της εφαρμογής της προστασίας των δεδομένων σε ολόκληρη την [Ευρωπαϊκή] Ένωση, την ανασφάλεια δικαίου ή τη διαδεδομένη στο κοινό αντίληψη ότι υπάρχουν σημαντικοί κίνδυνοι για την προστασία των φυσικών προσώπων, ιδίως όσον αφορά την επιγραμμική δραστηριότητα. Διαφορές στο επίπεδο προστασίας των δικαιωμάτων και των ελευθεριών των φυσικών προσώπων, ιδίως του δικαιώματος προστασίας των δεδομένων προσωπικού χαρακτήρα, όσον αφορά την επεξεργασία των δεδομένων προσωπικού χαρακτήρα στα κράτη μέλη, ενδέχεται να εμποδίζουν την ελεύθερη κυκλοφορία δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ένωση. Επομένως, οι διαφορές αυτές μπορεί να συνιστούν εμπόδιο για την άσκηση οικονομικών δραστηριοτήτων στο επίπεδο της Ένωσης, να στρεβλώνουν τον ανταγωνισμό και να εμποδίζουν τις αρχές στην εκτέλεση των αρμοδιοτήτων τους, όπως αυτές απορρέουν από το δίκαιο της Ένωσης. Αυτή η διαφορά ως προς τα επίπεδα προστασίας οφείλεται στην ύπαρξη αποκλίσεων κατά την εκτέλεση και εφαρμογή της οδηγίας [95/46].
(10) Για τη διασφάλιση συνεκτικής και υψηλού επιπέδου προστασίας των φυσικών προσώπων και την άρση των εμποδίων στις ροές δεδομένων προσωπικού χαρακτήρα εντός της Ένωσης, το επίπεδο προστασίας των δικαιωμάτων και των ελευθεριών των φυσικών προσώπων σε σχέση με την επεξεργασία των εν λόγω δεδομένων θα πρέπει να είναι ισοδύναμο σε όλα τα κράτη μέλη. Θα πρέπει να διασφαλίζεται συνεκτική και ομοιόμορφη εφαρμογή των κανόνων για την προστασία των θεμελιωδών δικαιωμάτων και των ελευθεριών των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ένωση. Όσον αφορά την επεξεργασία δεδομένων προσωπικού χαρακτήρα που γίνεται προς συμμόρφωση με νομική υποχρέωση, προς εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας, τα κράτη μέλη θα πρέπει να έχουν τη δυνατότητα να διατηρούν ή να θεσπίζουν εθνικές διατάξεις για τον περαιτέρω προσδιορισμό της εφαρμογής των κανόνων του παρόντος κανονισμού. Σε συνδυασμό με το γενικό και οριζόντιο δίκαιο περί προστασίας δεδομένων που αποσκοπεί στην εφαρμογή της οδηγίας [95/46], στα κράτη μέλη ισχύουν διάφοροι τομεακοί νόμοι σε τομείς που χρειάζονται ειδικότερες διατάξεις. Ο παρών κανονισμός παρέχει επίσης περιθώρια χειρισμού στα κράτη μέλη, ώστε να εξειδικεύσουν τους κανόνες του, συμπεριλαμβανομένων αυτών που αφορούν την επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα (“ευαίσθητα δεδομένα”). Σε αυτόν τον βαθμό, ο παρών κανονισμός δεν αποκλείει το δίκαιο των κρατών μελών να προσδιορίζει τις περιστάσεις ειδικών καταστάσεων επεξεργασίας, μεταξύ άλλων τον ακριβέστερο καθορισμό των προϋποθέσεων υπό τις οποίες η επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι σύννομη.
[…]
(13) Για να διασφαλιστεί συνεκτικό επίπεδο προστασίας των φυσικών προσώπων σε ολόκληρη την Ένωση και προς αποφυγή αποκλίσεων που εμποδίζουν την ελεύθερη κυκλοφορία των δεδομένων προσωπικού χαρακτήρα στην εσωτερική αγορά, απαιτείται κανονισμός ο οποίος θα κατοχυρώνει την ασφάλεια δικαίου και τη διαφάνεια για τους οικονομικούς παράγοντες […], και θα προβλέπει για τα φυσικά πρόσωπα σε όλα τα κράτη μέλη το ίδιο επίπεδο νομικά εκτελεστών δικαιωμάτων και υποχρεώσεων, καθώς και ευθυνών για τους υπευθύνους επεξεργασίας και τους εκτελούντες την επεξεργασία, ώστε να διασφαλιστεί η συνεκτική παρακολούθηση της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, καθώς και οι ισοδύναμες κυρώσεις σε όλα τα κράτη μέλη και η αποτελεσματική συνεργασία μεταξύ των εποπτικών αρχών των διάφορων κρατών μελών. Για την ομαλή λειτουργία της εσωτερικής αγοράς, η ελεύθερη κυκλοφορία δεδομένων προσωπικού χαρακτήρα εντός της Ένωσης δεν πρέπει να περιορίζεται, ούτε να απαγορεύεται για λόγους που σχετίζονται με την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα. […]
[…]
(16) Ο παρών κανονισμός δεν εφαρμόζεται σε ζητήματα προστασίας θεμελιωδών δικαιωμάτων και ελευθεριών ή την ελεύθερη κυκλοφορία δεδομένων προσωπικού χαρακτήρα που σχετίζονται με δραστηριότητες που δεν υπάγονται στο πεδίο εφαρμογής του ενωσιακού δικαίου, όπως δραστηριότητες που αφορούν την εθνική ασφάλεια. Ο παρών κανονισμός δεν εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα από τα κράτη μέλη όταν αυτά εκτελούν δραστηριότητες συναφείς με την κοινή εξωτερική πολιτική και πολιτική ασφάλειας της Ένωσης.
[…]
(45) Όταν η επεξεργασία διενεργείται σύμφωνα με νομική υποχρέωση την οποία υπέχει ο υπεύθυνος επεξεργασίας ή όταν είναι αναγκαία για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας, η επεξεργασία θα πρέπει να έχει βάση στο δίκαιο της Ένωσης ή κράτους μέλους. Ο παρών κανονισμός δεν απαιτεί συγκεκριμένο νόμο για κάθε μεμονωμένη επεξεργασία. Μπορεί να αρκεί ένας μόνο νόμος ως βάση για περισσότερες από μία πράξεις επεξεργασίας με βάση νομική υποχρέωση στην οποία υπόκειται ο υπεύθυνος επεξεργασίας ή εάν η επεξεργασία είναι αναγκαία για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας. Επίσης, ο καθορισμός του σκοπού της επεξεργασίας θα πρέπει να εναπόκειται στο δίκαιο της Ένωσης ή κράτους μέλους. Επιπλέον, το εν λόγω δίκαιο θα μπορούσε να προσδιορίζει τις γενικές προϋποθέσεις του παρόντος κανονισμού που διέπουν τη σύννομη επεξεργασία δεδομένων προσωπικού χαρακτήρα και να θεσπίζει προδιαγραφές για τον καθορισμό του υπευθύνου επεξεργασίας, του είδους των δεδομένων προσωπικού χαρακτήρα που υπόκεινται σε επεξεργασία, των εκάστοτε υποκειμένων των δεδομένων, των οντοτήτων στις οποίες μπορούν να κοινολογούνται τα δεδομένα προσωπικού χαρακτήρα, των περιορισμών σκοπού, της περιόδου αποθήκευσης και άλλων μέτρων για την εξασφάλιση σύννομης και δίκαιης επεξεργασίας. […]
[…]
(155) Στο δίκαιο των κρατών μελών ή σε συλλογικές συμβάσεις, συμπεριλαμβανομένων των “εργασιακών συμφωνιών”, μπορούν να θεσπίζονται ειδικοί κανόνες για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα εργαζομένων στο πλαίσιο της απασχόλησης, ιδίως για τους όρους υπό τους οποίους δεδομένα προσωπικού χαρακτήρα στο πλαίσιο της απασχόλησης μπορούν να υφίστανται επεξεργασία με βάση τη συγκατάθεση του εργαζομένου, για σκοπούς πρόσληψης, εκτέλεσης της σύμβασης απασχόλησης, συμπεριλαμβανομένης της εκτέλεσης των υποχρεώσεων που προβλέπονται από τον νόμο ή από συλλογικές συμβάσεις, διαχείρισης, προγραμματισμού και οργάνωσης εργασίας, ισότητας και πολυμορφίας στον χώρο εργασίας και υγείας και ασφάλειας στην εργασία, καθώς και για σκοπούς άσκησης και απόλαυσης, σε ατομική ή συλλογική βάση, δικαιωμάτων και παροχών που σχετίζονται με την απασχόληση και για σκοπούς καταγγελίας της σχέσης απασχόλησης.»
5 Το άρθρο 1 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Αντικείμενο και στόχοι», ορίζει τα εξής:
«1. Ο παρών κανονισμός θεσπίζει κανόνες που αφορούν την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και κανόνες που αφορούν την ελεύθερη κυκλοφορία των δεδομένων προσωπικού χαρακτήρα.
2. Ο παρών κανονισμός προστατεύει θεμελιώδη δικαιώματα και ελευθερίες των φυσικών προσώπων και ειδικότερα το δικαίωμά τους στην προστασία των δεδομένων προσωπικού χαρακτήρα.
3. Η ελεύθερη κυκλοφορία των δεδομένων προσωπικού χαρακτήρα εντός της Ένωσης δεν περιορίζεται ούτε απαγορεύεται για λόγους που σχετίζονται με την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα.»
6 Το άρθρο 2 του εν λόγω κανονισμού, το οποίο φέρει τον τίτλο «Ουσιαστικό πεδίο εφαρμογής», προβλέπει στις παραγράφους 1 και 2 τα εξής:
«1. Ο παρών κανονισμός εφαρμόζεται στην, εν όλω ή εν μέρει, αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα, καθώς και στη μη αυτοματοποιημένη επεξεργασία τέτοιων δεδομένων τα οποία περιλαμβάνονται ή πρόκειται να περιληφθούν σε σύστημα αρχειοθέτησης.
2. Ο παρών κανονισμός δεν εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα:
α) στο πλαίσιο δραστηριότητας η οποία δεν εμπίπτει στο πεδίο εφαρμογής του δικαίου της Ένωσης,
β) από τα κράτη μέλη κατά την άσκηση δραστηριοτήτων που εμπίπτουν στο πεδίο εφαρμογής του κεφαλαίου 2 του τίτλου V της [Συνθήκης ΕΕ,]
γ) από φυσικό πρόσωπο στο πλαίσιο αποκλειστικά προσωπικής ή οικιακής δραστηριότητας,
δ) από αρμόδιες αρχές για τους σκοπούς της πρόληψης, της διερεύνησης, της ανίχνευσης ή της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων, συμπεριλαμβανομένης της προστασίας και πρόληψης έναντι κινδύνων που απειλούν τη δημόσια ασφάλεια.»
7 Το άρθρο 4 του εν λόγω κανονισμού, το οποίο φέρει τον τίτλο «Ορισμοί», ορίζει τα εξής:
«Για τους σκοπούς του παρόντος κανονισμού νοούνται ως:
1) “δεδομένα προσωπικού χαρακτήρα”: κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο (“υποκείμενο των δεδομένων”)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου,
2) “επεξεργασία”: κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή,
[…]».
8 Το άρθρο 5 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα», προβλέπει τα εξής:
«1. Τα δεδομένα προσωπικού χαρακτήρα:
α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων (“νομιμότητα, αντικειμενικότητα και διαφάνεια”),
β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς· η περαιτέρω επεξεργασία για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον ή σκοπούς επιστημονικής ή ιστορικής έρευνας ή στατιστικούς σκοπούς δεν θεωρείται ασύμβατη με τους αρχικούς σκοπούς σύμφωνα με το άρθρο 89 παράγραφος 1 (“περιορισμός του σκοπού”),
γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία (“ελαχιστοποίηση των δεδομένων”)·
δ) είναι ακριβή και, όταν είναι αναγκαίο, επικαιροποιούνται· πρέπει να λαμβάνονται όλα τα εύλογα μέτρα για την άμεση διαγραφή ή διόρθωση δεδομένων προσωπικού χαρακτήρα τα οποία είναι ανακριβή, σε σχέση με τους σκοπούς της επεξεργασίας (“ακρίβεια”),
ε) διατηρούνται υπό μορφή που επιτρέπει την ταυτοποίηση των υποκειμένων των δεδομένων μόνο για το διάστημα που απαιτείται για τους σκοπούς της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα· τα δεδομένα προσωπικού χαρακτήρα μπορούν να αποθηκεύονται για μεγαλύτερα διαστήματα, εφόσον τα δεδομένα προσωπικού χαρακτήρα θα υποβάλλονται σε επεξεργασία μόνο για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον, για σκοπούς επιστημονικής ή ιστορικής έρευνας ή για στατιστικούς σκοπούς, σύμφωνα με το άρθρο 89 παράγραφος 1 και εφόσον εφαρμόζονται τα κατάλληλα τεχνικά και οργανωτικά μέτρα που απαιτεί ο παρών κανονισμός για τη διασφάλιση των δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων (“περιορισμός της περιόδου αποθήκευσης”),
στ) υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων (“ακεραιότητα και εμπιστευτικότητα”).
2. Ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 (“λογοδοσία”).»
9 Το άρθρο 6 του εν λόγω κανονισμού, το οποίο φέρει τον τίτλο «Νομιμότητα της επεξεργασίας», ορίζει στις παραγράφους 1 έως 3 τα εξής:
«1. Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις:
α) το υποκείμενο των δεδομένων έχει παράσχει συγκατάθεση για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς,
β) η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ’ αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης,
γ) η επεξεργασία είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας,
[…]
ε) η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας,
στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί.
Το στοιχείο στ) του πρώτου εδαφίου δεν εφαρμόζεται στην επεξεργασία που διενεργείται από δημόσιες αρχές κατά την άσκηση των καθηκόντων τους.
2. Τα κράτη μέλη μπορούν να διατηρούν ή να θεσπίζουν πιο ειδικές διατάξεις για την προσαρμογή της εφαρμογής των κανόνων του παρόντος κανονισμού όσον αφορά την επεξεργασία για τη συμμόρφωση με την παράγραφο 1 στοιχεία γ) και ε), καθορίζοντας ακριβέστερα ειδικές απαιτήσεις για την επεξεργασία και άλλα μέτρα προς εξασφάλιση σύννομης και θεμιτής επεξεργασίας, μεταξύ άλλων για άλλες ειδικές περιπτώσεις επεξεργασίας όπως προβλέπονται στο κεφάλαιο ΙΧ.
3. Η βάση για την επεξεργασία που αναφέρεται στην παράγραφο 1 στοιχεία γ) και ε) ορίζεται σύμφωνα με:
α) το δίκαιο της Ένωσης, ή
β) το δίκαιο του κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας.
Ο σκοπός της επεξεργασίας καθορίζεται στην εν λόγω νομική βάση ή, όσον αφορά την επεξεργασία που αναφέρεται στην παράγραφο 1 στοιχείο ε), είναι η αναγκαιότητα της επεξεργασίας για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας. Η εν λόγω νομική βάση μπορεί να περιλαμβάνει ειδικές διατάξεις για την προσαρμογή της εφαρμογής των κανόνων του παρόντος κανονισμού, μεταξύ άλλων: τις γενικές προϋποθέσεις που διέπουν τη σύννομη επεξεργασία από τον υπεύθυνο επεξεργασίας· τα είδη των δεδομένων που υποβάλλονται σε επεξεργασία· τα οικεία υποκείμενα των δεδομένων· τις οντότητες στις οποίες μπορούν να κοινοποιούνται τα δεδομένα προσωπικού χαρακτήρα και τους σκοπούς αυτής της κοινοποίησης· τον περιορισμό του σκοπού· τις περιόδους αποθήκευσης· και τις πράξεις επεξεργασίας και τις διαδικασίες επεξεργασίας, συμπεριλαμβανομένων των μέτρων για τη διασφάλιση σύννομης και θεμιτής επεξεργασίας, όπως εκείνα για άλλες ειδικές περιπτώσεις επεξεργασίας όπως προβλέπονται στο κεφάλαιο ΙΧ. Το δίκαιο της Ένωσης ή το δίκαιο του κράτους μέλους ανταποκρίνεται σε σκοπό δημόσιου συμφέροντος και είναι ανάλογο προς τον επιδιωκόμενο νόμιμο σκοπό.»
10 Το άρθρο 88 του ΓΚΠΔ, το οποίο περιλαμβάνεται στο κεφάλαιο IX του ΓΚΠΔ, με τίτλο «Διατάξεις που αφορούν ειδικές περιπτώσεις επεξεργασίας», και το οποίο επιγράφεται «[ε]πεξεργασία στο πλαίσιο της απασχόλησης», προβλέπει τα εξής:
«1. Τα κράτη μέλη, μέσω της νομοθεσίας ή μέσω των συλλογικών συμβάσεων, μπορούν να θεσπίζουν ειδικούς κανόνες προκειμένου να διασφαλίζουν την προστασία των δικαιωμάτων και των ελευθεριών έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα των εργαζομένων στο πλαίσιο της απασχόλησης, ιδίως για σκοπούς πρόσληψης, εκτέλεσης της σύμβασης απασχόλησης, συμπεριλαμβανομένης της εκτέλεσης των υποχρεώσεων που προβλέπονται από τον νόμο ή από συλλογικές συμβάσεις, διαχείρισης, προγραμματισμού και οργάνωσης εργασίας, ισότητας και πολυμορφίας στον χώρο εργασίας, υγείας και ασφάλειας στην εργασία, προστασίας της περιουσίας εργοδοτών και πελατών και για σκοπούς άσκησης και απόλαυσης, σε ατομική ή συλλογική βάση, δικαιωμάτων και παροχών που σχετίζονται με την απασχόληση και για σκοπούς καταγγελίας της σχέσης απασχόλησης.
2. Οι εν λόγω κανόνες περιλαμβάνουν κατάλληλα και ειδικά μέτρα για τη διαφύλαξη της ανθρώπινης αξιοπρέπειας, των έννομων συμφερόντων και των θεμελιωδών δικαιωμάτων του προσώπου στο οποίο αναφέρονται τα δεδομένα, με ιδιαίτερη έμφαση στη διαφάνεια της επεξεργασίας, τη διαβίβαση δεδομένων προσωπικού χαρακτήρα εντός ομίλου επιχειρήσεων, ή ομίλου εταιρειών που ασκούν κοινή οικονομική δραστηριότητα και τα συστήματα παρακολούθησης στον χώρο εργασίας.
3. Κάθε κράτος μέλος κοινοποιεί στην [Ευρωπαϊκή] Επιτροπή τις διατάξεις που θεσπίζει στο δίκαιό του δυνάμει της παραγράφου 1, έως τις 25 Μαΐου 2018 και, χωρίς καθυστέρηση, κάθε επακολουθούσα τροποποίησή τους.»
Το γερμανικό δίκαιο
11 Το άρθρο 26, παράγραφος 1, του Bundesdatenschutzgesetz (ομοσπονδιακού νόμου περί προστασίας δεδομένων), της 30ής Ιουνίου 2017 (BGBl. 2017 I, σ. 2097), ορίζει τα εξής:
«Δεδομένα προσωπικού χαρακτήρα των εργαζομένων μπορούν να υποβάλλονται σε επεξεργασία για σκοπούς της σχέσης εργασίας, εφόσον τούτο είναι αναγκαίο για τη λήψη απόφασης σχετικά με τη σύναψη σύμβασης εργασίας ή, μετά τη σύναψη της σύμβασης εργασίας, για την εκτέλεσή της ή την καταγγελία της, ή για την άσκηση των δικαιωμάτων ή την εκπλήρωση υποχρεώσεων σχετικά με την εκπροσώπηση των συμφερόντων των εργαζομένων που απορρέουν από νόμο ή από γενική συλλογική σύμβαση, από εργασιακή συμφωνία ή από σύμβαση του δημοσίου τομέα (συλλογική σύμβαση). […]»
12 Το άρθρο 23 του Hessisches Datenschutz- und Informationsfreiheitsgesetz (νόμου του ομόσπονδου κράτους της Έσσης περί προστασίας των δεδομένων και της ελευθερίας της πληροφόρησης, της 3ης Μαΐου 2018 (στο εξής: HDSIG) ορίζει τα εξής:
«1. Δεδομένα προσωπικού χαρακτήρα των εργαζομένων μπορούν να υποβάλλονται σε επεξεργασία για σκοπούς της σχέσης εργασίας, εφόσον τούτο είναι αναγκαίο για τη λήψη απόφασης σχετικά με τη σύναψη σύμβασης εργασίας ή, μετά τη σύναψη της σύμβασης εργασίας, για την εκτέλεσή της, την καταγγελία της ή τη λύση της, καθώς και για την υλοποίηση εσωτερικών μέτρων προγραμματισμού, οργάνωσης, κοινωνικού χαρακτήρα και μέτρων που αφορούν το προσωπικό. […]
2. Όταν η επεξεργασία των δεδομένων προσωπικού χαρακτήρα των εργαζομένων πραγματοποιείται βάσει συγκατάθεσης, προκειμένου να αξιολογηθεί κατά πόσον η συγκατάθεση δόθηκε ελεύθερα, πρέπει να λαμβάνεται υπόψη, μεταξύ άλλων, η εξάρτηση του εργαζομένου στο πλαίσιο της σχέσης εργασίας καθώς και οι περιστάσεις υπό τις οποίες δόθηκε η συγκατάθεση. Ο ελεύθερος χαρακτήρας της συγκατάθεσης μπορεί να διαπιστωθεί, μεταξύ άλλων, αν υφίσταται για τον εργαζόμενο νομικό ή οικονομικό πλεονέκτημα ή αν ο εργοδότης και ο εργαζόμενος έχουν συγκλίνοντα συμφέροντα. Η συγκατάθεση πρέπει να παρέχεται εγγράφως, εκτός εάν επιβάλλεται άλλος τύπος λόγω ειδικών περιστάσεων. Ο εργοδότης υποχρεούται να ενημερώνει εγγράφως τον εργαζόμενο για τον σκοπό της επεξεργασίας των δεδομένων και για το δικαίωμά του να ανακαλέσει τη συγκατάθεσή του, όπως προβλέπεται στο άρθρο 7, παράγραφος 3, του [ΓΚΠΔ].
3. Κατά παρέκκλιση από το άρθρο 9, παράγραφος 1, του [ΓΚΠΔ], η επεξεργασία που αφορά ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα κατά την έννοια του άρθρου 9, παράγραφος 1, του [ΓΚΠΔ] επιτρέπεται για τους σκοπούς της σχέσης εργασίας όταν είναι απαραίτητη για την άσκηση δικαιωμάτων ή τη συμμόρφωση με νομικές υποχρεώσεις που απορρέουν από το εργατικό δίκαιο, το δίκαιο κοινωνικής ασφάλισης και το δίκαιο κοινωνικής προστασίας και δεν υπάρχει λόγος να θεωρηθεί ότι υπερισχύει το έννομο συμφέρον του υποκειμένου των δεδομένων να αποκλείσει την επεξεργασία. Η παράγραφος 2 ισχύει επίσης για τη συγκατάθεση στην επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα. Συναφώς, η συγκατάθεση πρέπει να αναφέρεται ρητώς στα δεδομένα αυτά. […]
4. Η επεξεργασία δεδομένων προσωπικού χαρακτήρα, συμπεριλαμβανομένων ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα των εργαζομένων για σκοπούς της σχέσης εργασίας, επιτρέπεται βάσει συλλογικών συμβάσεων. Τα διαπραγματευόμενα μέρη οφείλουν, συναφώς, να τηρούν το άρθρο 88, παράγραφος 2, του [ΓΚΠΔ].
5. Ο υπεύθυνος επεξεργασίας πρέπει να λαμβάνει τα κατάλληλα μέτρα προκειμένου να διασφαλίζει, ιδίως, ότι τηρούνται οι αρχές που καθορίζονται στο άρθρο 5 του [ΓΚΠΔ] και διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα.
[…]
7. Οι παράγραφοι 1 έως 6 εφαρμόζονται επίσης όταν δεδομένα προσωπικού χαρακτήρα, συμπεριλαμβανομένων ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα των εργαζομένων, υποβάλλονται σε επεξεργασία χωρίς να περιέχονται ή προορίζονται να περιληφθούν σε αρχείο. Οι διατάξεις του Hessisches Beamtengesetz [(HBG) (νόμου του ομόσπονδου κράτους της Έσσης για τον δημοσιοϋπαλληλικό κώδικα), της 21ης Ιουνίου 2018 (στο εξής: HBG)] που ισχύουν για τους φακέλους του προσωπικού εφαρμόζονται mutatis mutandis στους εργαζομένους του δημόσιου τομέα, εκτός αν άλλως ορίζεται στη συλλογική σύμβαση εργασίας.
8. Ως εργαζόμενοι κατά την έννοια του παρόντος νόμου νοούνται:
1. οι εργαζόμενοι, συμπεριλαμβανομένων των προσωρινώς απασχολουμένων σε σχέση με τους χρήστες·
[…]
7. οι δημόσιοι υπάλληλοι που υπάγονται στον [HBG], οι δικαστές του ομόσπονδου κράτους καθώς και τα πρόσωπα που εκτελούν πολιτική υπηρεσία.
[…]»
13 Το άρθρο 86, παράγραφος 4, του HBG ορίζει τα εξής:
«Ο εργοδότης μπορεί να συλλέγει δεδομένα προσωπικού χαρακτήρα που αφορούν υποψηφίους για εργασία, δημοσίους υπαλλήλους και πρώην δημοσίους υπαλλήλους μόνο στον βαθμό που τούτο είναι αναγκαίο για τη σύναψη, την εκτέλεση, την καταγγελία ή τη λύση σχέσης εργασίας, καθώς και για την υλοποίηση μέτρων σχετικά με την οργάνωση και το προσωπικό καθώς και μέτρων κοινωνικού χαρακτήρα και ειδικότερα για σκοπούς του προγραμματισμού και της κατανομής προσωπικού, ή στον βαθμό που τούτο επιτρέπεται από διάταξη νόμου ή από συλλογική σύμβαση του δημοσίου τομέα. […]»
Η διαφορά της κύριας δίκης και τα προδικαστικά ερωτήματα
14 Όπως προκύπτει από τη δικογραφία που υποβλήθηκε στο Δικαστήριο, ο Υπουργός Παιδείας και Πολιτισμού του ομόσπονδου κράτους της Έσσης, με δύο πράξεις που εξέδωσε το 2020, καθόρισε το νομικό και οργανωτικό πλαίσιο της σχολικής εκπαίδευσης κατά την περίοδο της πανδημίας COVID‑19. Το πλαίσιο αυτό προέβλεπε, μεταξύ άλλων, τη δυνατότητα των μαθητών οι οποίοι δεν μπορούσαν να είναι παρόντες στην τάξη να παρακολουθούν σε πραγματικό χρόνο τα μαθήματα μέσω τηλεδιάσκεψης. Προκειμένου να διασφαλιστούν τα δικαιώματα των μαθητών ως προς την προστασία των δεδομένων προσωπικού χαρακτήρα, ορίστηκε ότι η σύνδεση στην υπηρεσία τηλεδιάσκεψης θα επιτρέπεται μόνο με τη συγκατάθεση των ίδιων των μαθητών ή, σε περίπτωση που αυτοί είναι ανήλικοι, των γονέων τους. Αντιθέτως, δεν προβλέφθηκε η συγκατάθεση των οικείων εκπαιδευτικών όσον αφορά τη συμμετοχή τους στην υπηρεσία τηλεδιάσκεψης.
15 Η κύρια επιτροπή διδακτικού προσωπικού του Υπουργείου Παιδείας και Πολιτισμού του ομόσπονδου κράτους της Έσσης άσκησε προσφυγή ενώπιον του Verwaltungsgericht Wiesbaden (διοικητικού πρωτοδικείου Βισμπάντεν, Γερμανία) βάλλοντας κατά του ότι για τη μετάδοση σε πραγματικό χρόνο μαθημάτων μέσω τηλεδιάσκεψης δεν απαιτείτο η συγκατάθεση των οικείων εκπαιδευτικών.
16 Ο Υπουργός Παιδείας και Πολιτισμού του ομόσπονδου κράτους της Έσσης υποστήριξε ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα, την οποία συνιστά η μετάδοση σε πραγματικό χρόνο μαθημάτων μέσω τηλεδιάσκεψης, καλυπτόταν από το άρθρο 23, παράγραφος 1, πρώτη περίοδος, του HDSIG, οπότε μπορούσε να πραγματοποιηθεί χωρίς να ζητηθεί η συγκατάθεση του οικείου εκπαιδευτικού.
17 Το Verwaltungsgericht Wiesbaden (διοικητικό πρωτοδικείο Βισμπάντεν) επισημαίνει συναφώς ότι, σύμφωνα με τη βούληση του νομοθέτη του ομόσπονδου κράτους της Έσσης, το άρθρο 23 του HDSIG και το άρθρο 86 του HBG εμπίπτουν στην κατηγορία των «ειδικών κανόνων» τους οποίους τα κράτη μέλη μπορούν να θεσπίζουν, σύμφωνα με το άρθρο 88, παράγραφος 1, του ΓΚΠΔ, για τη διασφάλιση της προστασίας των δικαιωμάτων και των ελευθεριών των εργαζομένων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της απασχόλησης. Εντούτοις, το ως άνω δικαστήριο διατηρεί αμφιβολίες ως προς τη συμβατότητα του άρθρου 23, παράγραφος 1, πρώτη περίοδος, του HDSIG και του άρθρου 86, παράγραφος 4, του HBG με τις απαιτήσεις του άρθρου 88, παράγραφος 2, του ΓΚΠΔ.
18 Συγκεκριμένα, κατά πρώτον, το άρθρο 23, παράγραφος 1, πρώτη περίοδος, του HDSIG και το άρθρο 86, παράγραφος 4, του HBG στηρίζονται στην «αναγκαιότητα», ως νομική βάση για την επεξεργασία των δεδομένων των εργαζομένων. Ωστόσο, αφενός, η προσθήκη στον νόμο της αρχής της «αναγκαιότητας» δεν συνιστά συγκεκριμενοποίηση των απαιτήσεων του άρθρου 88, παράγραφος 2, του ΓΚΠΔ, δεδομένου ότι η αναγκαία, στο πλαίσιο σχέσης εργασίας, επεξεργασία δεδομένων διέπεται ήδη από το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο βʹ, του ΓΚΠΔ.
19 Αφετέρου, το άρθρο 23, παράγραφος 1, πρώτη περίοδος, του HDSIG έχει εφαρμογή σε κάθε επεξεργασία δεδομένων των εργαζομένων, πέραν της συμβατικής σχέσης αυτής καθεαυτήν. Από το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ προκύπτει ότι, στην περίπτωση επεξεργασίας δεδομένων προσωπικού χαρακτήρα η οποία βαίνει πέραν της αυστηρώς αναγκαίας στο πλαίσιο της συμβάσεως εργασίας επεξεργασίας, πρέπει να σταθμίζονται τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων, εν προκειμένω των εργαζομένων και των υπαλλήλων, με το έννομο συμφέρον που επιδιώκει ο υπεύθυνος επεξεργασίας, εν προκειμένω ο εργοδότης. Στο μέτρο που η διάταξη του άρθρου 23, παράγραφος 1, πρώτη περίοδος, του HDSIG δεν προβλέπει τέτοια στάθμιση, δεν μπορεί να θεωρηθεί ως ειδικός τομεακός κανόνας μετά την έναρξη ισχύος του ΓΚΠΔ.
20 Κατά δεύτερον, το Verwaltungsgericht Wiesbaden (διοικητικό πρωτοδικείο Βισμπάντεν) εκτιμά ότι η απλή αναφορά που περιλαμβάνεται στο άρθρο 23, παράγραφος 5, του HDSIG, κατά την οποία ο υπεύθυνος επεξεργασίας οφείλει, μεταξύ άλλων, να τηρεί τις αρχές του άρθρου 5 του ΓΚΠΔ, δεν πληροί τις απαιτήσεις του άρθρου 88, παράγραφος 2, του εν λόγω κανονισμού. Συγκεκριμένα, η τελευταία αυτή διάταξη απαιτεί τη θέσπιση κατάλληλων και ειδικών μέτρων για τη διαφύλαξη της ανθρώπινης αξιοπρέπειας, των εννόμων συμφερόντων και των θεμελιωδών δικαιωμάτων των υποκειμένων των δεδομένων, με ιδιαίτερη έμφαση στη διαφάνεια της επεξεργασίας, τη διαβίβαση δεδομένων προσωπικού χαρακτήρα εντός ομίλου επιχειρήσεων ή ομίλου εταιρειών που ασκούν κοινή οικονομική δραστηριότητα και τα συστήματα παρακολούθησης στον χώρο εργασίας, και δεν αποτελεί απλώς μια κανονιστική ρύθμιση την οποία οφείλει να τηρεί επιπλέον ο εφαρμοστής ενός εθνικού κανόνα. Ο εφαρμοστής του κανόνα δεν είναι αποδέκτης του άρθρου 88, παράγραφος 2, του ΓΚΠΔ.
21 Υπό τις συνθήκες αυτές, το Verwaltungsgericht Wiesbaden (διοικητικό πρωτοδικείο Βισμπάντεν) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:
«1) Έχει το άρθρο 88, παράγραφος 1, του [ΓΚΠΔ] την έννοια ότι μια νομοθετική διάταξη, για να αποτελεί ειδικό κανόνα που διασφαλίζει την προστασία των δικαιωμάτων και των ελευθεριών έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα των εργαζομένων στο πλαίσιο της απασχόλησης κατά την έννοια του άρθρου 88, παράγραφος 1, του [ΓΚΠΔ], πρέπει να πληροί τις απαιτήσεις του άρθρου 88, παράγραφος 2, του [ΓΚΠΔ];
2) Μπορεί ένα εθνικός κανόνας να εξακολουθεί να εφαρμόζεται παρά το γεγονός ότι προδήλως δεν πληροί τις απαιτήσεις του άρθρου 88, παράγραφος 2, του [ΓΚΠΔ];»
22 Με ανακοίνωση που περιήλθε στη Γραμματεία του Δικαστηρίου στις 30 Νοεμβρίου 2021, το Verwaltungsgericht Wiesbaden (διοικητικό πρωτοδικείο Βισμπάντεν) ενημέρωσε το Δικαστήριο ότι, συνεπεία τροποποιήσεων της εθνικής νομοθεσίας που ρυθμίζει την κατά τόπον αρμοδιότητα των διοικητικών δικαστηρίων του ομόσπονδου κράτους της Έσσης οι οποίες επρόκειτο να τεθούν σε ισχύ την 1η Δεκεμβρίου 2021, η διαφορά της κύριας δίκης είχε μεταβιβαστεί στο Verwaltungsgericht Frankfurt am Main (διοικητικό πρωτοδικείο Φρανκφούρτης επί του Μάιν, Γερμανία). Με ανακοίνωση που περιήλθε στη Γραμματεία του Δικαστηρίου στις 21 Φεβρουαρίου 2022, το ως άνω δικαστήριο επιβεβαίωσε την εν λόγω μεταβίβαση και γνωστοποίησε στο Δικαστήριο τον νέο αριθμό πρωτοκόλλου της διαφοράς της κύριας δίκης.
Επί του παραδεκτού της αιτήσεως προδικαστικής αποφάσεως
23 Με τις γραπτές παρατηρήσεις της, η Γερμανική Κυβέρνηση υποστήριξε ότι η αίτηση προδικαστικής αποφάσεως είναι απαράδεκτη, στο μέτρο που τα προδικαστικά ερωτήματα δεν είναι λυσιτελή για την επίλυση της διαφοράς της κύριας δίκης. Συγκεκριμένα, η απάντηση του Δικαστηρίου δεν θα ήταν χρήσιμη για το αιτούν δικαστήριο στην περίπτωση που η επεξεργασία των δεδομένων επιτρεπόταν λόγω της συγκατάθεσης του εκπαιδευτικού. Το αιτούν δικαστήριο, όμως, δεν διευκρινίζει τους λόγους για τους οποίους δεν εξετάζει αυτό το ενδεχόμενο.
24 Πάντως, ερωτηθείσα συναφώς κατά την επ’ ακροατηρίου συζήτηση ενώπιον του Δικαστηρίου, η Γερμανική Κυβέρνηση παραδέχθηκε ότι τα προδικαστικά ερωτήματα είναι λυσιτελή για την περίπτωση που δεν είναι δυνατό να ληφθεί η συγκατάθεση του εκπαιδευτικού.
25 Συναφώς, υπενθυμίζεται ότι, κατά πάγια νομολογία του Δικαστηρίου, τα σχετικά με την ερμηνεία του δικαίου της Ένωσης ερωτήματα που έχει υποβάλει το εθνικό δικαστήριο εντός του κανονιστικού και πραγματικού πλαισίου το οποίο αυτό προσδιορίζει με δική του ευθύνη και του οποίου την ακρίβεια δεν οφείλει να ελέγξει το Δικαστήριο θεωρούνται κατά τεκμήριο λυσιτελή. Το Δικαστήριο μπορεί να αρνηθεί να αποφανθεί επί αιτήσεως προδικαστικής αποφάσεως που έχει υποβάλει εθνικό δικαστήριο μόνον όταν προδήλως προκύπτει ότι η ερμηνεία του δικαίου της Ένωσης που ζητεί το εθνικό δικαστήριο δεν έχει καμία σχέση με το υποστατό ή το αντικείμενο της διαφοράς της κύριας δίκης, όταν το πρόβλημα είναι υποθετικής φύσεως ή επίσης όταν το Δικαστήριο δεν διαθέτει τα πραγματικά και νομικά στοιχεία που είναι αναγκαία προκειμένου να δώσει χρήσιμη απάντηση στα ερωτήματα που του έχουν υποβληθεί (απόφαση της 1ης Αυγούστου 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, σκέψη 48 και εκεί μνημονευόμενη νομολογία).
26 Εν προκειμένω, από την απόφαση περί παραπομπής προκύπτει ότι οι διάδικοι της κύριας δίκης διαφωνούν ως προς το ζήτημα αν για τη μετάδοση σε πραγματικό χρόνο μαθημάτων μέσω συστημάτων τηλεδιάσκεψης απαιτείται, πέραν της συγκατάθεσης των γονέων για τα τέκνα τους ή εκείνης των ενήλικων μαθητών, η συγκατάθεση των οικείων εκπαιδευτικών, ή αν, αντιθέτως, η επεξεργασία των δεδομένων προσωπικού χαρακτήρα των τελευταίων καλύπτεται από το άρθρο 23, παράγραφος 1, πρώτη περίοδος, του HDSIG και το άρθρο 86, παράγραφος 4, του HBG.
27 Πρέπει επίσης να σημειωθεί ότι στην αίτηση προδικαστικής αποφάσεως το Verwaltungsgericht Wiesbaden (διοικητικό πρωτοδικείο Βισμπάντεν) ανέφερε, αφενός, ότι, κατά τον εθνικό νομοθέτη, το άρθρο 23 του HDSIG και το άρθρο 86 του HBG συνιστούν ειδικούς κανόνες κατά την έννοια του άρθρου 88 του ΓΚΠΔ και, αφετέρου, ότι η έκβαση της διαφοράς της κύριας δίκης εξαρτάται από το κατά πόσον το άρθρο 23, παράγραφος 1, πρώτη περίοδος, του HDSIG και το άρθρο 86, παράγραφος 4, του HBG πληρούν τις απαιτήσεις του άρθρου 88 του ΓΚΠΔ, ούτως ώστε να μπορούν να αποτελέσουν ειδικούς κανόνες οι οποίοι έχουν εφαρμογή στην επεξεργασία δεδομένων προσωπικού χαρακτήρα των εκπαιδευτικών επ’ ευκαιρία της επίμαχης στην κύρια δίκη μετάδοσης σε πραγματικό χρόνο μαθημάτων μέσω συστήματος τηλεδιάσκεψης.
28 Επομένως, λαμβανομένων υπόψη των στοιχείων που παρατίθενται στην αίτηση προδικαστικής αποφάσεως, τα επιχειρήματα που προβάλλει η Γερμανική Κυβέρνηση δεν είναι ικανά να ανατρέψουν το τεκμήριο λυσιτέλειας που ισχύει για τα υποβληθέντα ερωτήματα.
29 Υπό τις συνθήκες αυτές, δεν μπορεί να γίνει δεκτό ούτε ότι η ζητούμενη ερμηνεία των διατάξεων του δικαίου της Ένωσης δεν έχει προδήλως καμία σχέση με το υποστατό ή το αντικείμενο της διαφοράς της κύριας δίκης, ούτε ότι το πρόβλημα είναι υποθετικής φύσεως, δεδομένου ότι η ερμηνεία αυτή μπορεί να ληφθεί υπόψη από το αιτούν δικαστήριο για την επίλυση της διαφοράς της κύριας δίκης. Επιπλέον, το Δικαστήριο διαθέτει τα αναγκαία πραγματικά και νομικά στοιχεία προκειμένου να δώσει χρήσιμη απάντηση στα υποβληθέντα προδικαστικά ερωτήματα.
30 Κατά συνέπεια, η αίτηση προδικαστικής αποφάσεως είναι παραδεκτή.
Επί των προδικαστικών ερωτημάτων
Προκαταρκτικές παρατηρήσεις
31 Τα προδικαστικά ερωτήματα αφορούν την ερμηνεία του άρθρου 88, παράγραφοι 1 και 2, του ΓΚΠΔ στο πλαίσιο διαφοράς σχετικής με την επεξεργασία δεδομένων προσωπικού χαρακτήρα των εκπαιδευτικών επ’ ευκαιρία της μετάδοσης σε πραγματικό χρόνο, μέσω τηλεδιάσκεψης, των μαθημάτων δημόσιας εκπαίδευσης των οποίων η διδασκαλία τους έχει ανατεθεί.
32 Πρώτον, πρέπει να καθοριστεί αν μια τέτοια επεξεργασία εμπίπτει στο καθ’ ύλην πεδίο εφαρμογής του ΓΚΠΔ, λαμβανομένου υπόψη ότι, κατά το άρθρο του 2, παράγραφος 2, στοιχείο αʹ, ο κανονισμός δεν εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που πραγματοποιείται «στο πλαίσιο δραστηριότητας η οποία δεν εμπίπτει στο πεδίο εφαρμογής του δικαίου της Ένωσης» και ότι, σύμφωνα με το άρθρο 165, παράγραφος 1, ΣΛΕΕ, τα κράτη μέλη είναι αρμόδια για το περιεχόμενο της διδασκαλίας και την οργάνωση του εκπαιδευτικού τους συστήματος.
33 Συναφώς, από τη νομολογία του Δικαστηρίου προκύπτει ότι ο ορισμός του καθ’ ύλην πεδίου εφαρμογής του ΓΚΠΔ, όπως διατυπώνεται στο άρθρο του 2, παράγραφος 1, είναι ιδιαιτέρως ευρύς και ότι οι εξαιρέσεις από το εν λόγω πεδίο εφαρμογής, που προβλέπονται στο άρθρο του 2, παράγραφος 2, πρέπει να ερμηνεύονται στενά [πρβλ. αποφάσεις της 9ης Ιουλίου 2020, Land Hessen, C‑272/19, EU:C:2020:535, σκέψη 68, και της 22ας Ιουνίου 2021, Latvijas Republikas Saeima (Βαθμοί ποινής), C‑439/19, EU:C:2021:504, σκέψεις 61 και 62].
34 Επιπροσθέτως, το άρθρο 2, παράγραφος 2, στοιχείο αʹ, του ΓΚΠΔ πρέπει να ερμηνεύεται σε συνδυασμό με το άρθρο του 2, παράγραφος 2, στοιχείο βʹ, και την αιτιολογική σκέψη του 16, η οποία διευκρινίζει ότι ο εν λόγω κανονισμός δεν εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο «δραστηρι[οτήτων] που δεν υπάγονται στο πεδίο εφαρμογής του ενωσιακού δικαίου, όπως δραστηριότητες που αφορούν την εθνική ασφάλεια», και «δραστηρι[οτήτων] συναφ[ών] με την κοινή εξωτερική πολιτική και πολιτική ασφάλειας της Ένωσης» [απόφαση της 22ας Ιουνίου 2021, Latvijas Republikas Saeima (Βαθμοί ποινής), C‑439/19, EU:C:2021:504, σκέψη 63].
35 Συνεπώς, το άρθρο 2, παράγραφος 2, στοιχεία αʹ και βʹ, του ΓΚΠΔ, το οποίο αποτελεί εν μέρει συνέχεια του άρθρου 3, παράγραφος 2, πρώτη περίπτωση, της οδηγίας 95/46, δεν μπορεί να ερμηνευθεί υπό την έννοια ότι έχει ευρύτερο περιεχόμενο από την εξαίρεση του άρθρου 3, παράγραφος 2, πρώτη περίπτωση, της οδηγίας 95/46, που απέκλειε από το πεδίο εφαρμογής της ως άνω οδηγίας, μεταξύ άλλων, την επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία πραγματοποιούνταν στο πλαίσιο «δραστηριοτήτων που δεν εμπίπτουν στο πεδίο εφαρμογής του κοινοτικού δικαίου, όπως οι δραστηριότητες που προβλέπονται στις διατάξεις των τίτλων V και VI της συνθήκης [ΕΕ, όπως ίσχυε πριν από τη Συνθήκη της Λισσαβώνας,] και, εν πάση περιπτώσει, [τ]ην επεξεργασία δεδομένων που αφορά τη δημόσια ασφάλεια, την εθνική άμυνα, την ασφάλεια του κράτους» [απόφαση της 22ας Ιουνίου 2021, Latvijas Republikas Saeima (Βαθμοί ποινής), C‑439/19, EU:C:2021:504, σκέψη 64].
36 Εν προκειμένω, δεν αμφισβητείται ότι η σχετική με την οργάνωση της εκπαίδευσης δραστηριότητα στο ομόσπονδο κράτος της Έσσης δεν είναι δυνατό να υπαχθεί στην κατηγορία των δραστηριοτήτων που αποσκοπούν στη διαφύλαξη της εθνικής ασφάλειας, στις οποίες αναφέρεται το άρθρο 2, παράγραφος 2, στοιχείο αʹ, του ΓΚΠΔ.
37 Κατά συνέπεια, επεξεργασία, όπως η επίμαχη εν προκειμένω, δεδομένων προσωπικού χαρακτήρα εκπαιδευτικών στο πλαίσιο της μετάδοσης σε πραγματικό χρόνο, μέσω τηλεδιάσκεψης, μαθημάτων δημόσιας εκπαίδευσης τα οποία αυτοί παραδίδουν, εμπίπτει στο καθ’ ύλην πεδίο εφαρμογής του ΓΚΠΔ.
38 Δεύτερον, από την αίτηση προδικαστικής αποφάσεως προκύπτει ότι οι εκπαιδευτικοί, των οποίων η επεξεργασία δεδομένων προσωπικού χαρακτήρα αποτελεί το αντικείμενο της διαφοράς της κύριας δίκης, ανήκουν, ως ιδιωτικοί ή δημόσιοι υπάλληλοι, στο προσωπικό που, στο ομόσπονδο κράτος της Έσσης, παρέχει δημόσια υπηρεσία.
39 Επομένως, πρέπει να καθοριστεί αν μια τέτοια επεξεργασία δεδομένων προσωπικού χαρακτήρα εμπίπτει στο πεδίο εφαρμογής του άρθρου 88 του ΓΚΠΔ, το οποίο αφορά «την επεξεργασία των δεδομένων προσωπικού χαρακτήρα των εργαζομένων στο πλαίσιο της απασχόλησης».
40 Συναφώς, επισημαίνεται ότι ο ΓΚΠΔ δεν περιέχει ορισμό των όρων «εργαζόμενοι» και «απασχόληση» ούτε παραπέμπει στο δίκαιο των κρατών μελών για τον ορισμό τους. Υπενθυμίζεται, ωστόσο, ότι, σε περίπτωση που το γράμμα μιας διάταξης του δικαίου της Ένωσης δεν περιέχει καμία ρητή παραπομπή στο δίκαιο των κρατών μελών για τον προσδιορισμό της έννοιας και του πεδίου εφαρμογής της, η ομοιόμορφη εφαρμογή του δικαίου της Ένωσης και η αρχή της ισότητας επιβάλλουν η διάταξη αυτή να ερμηνεύεται κατά κανόνα με τρόπο αυτοτελή και ομοιόμορφο σε ολόκληρη την Ένωση (απόφαση της 2ας Ιουνίου 2022, HK κατά Danmark και HK κατά Privat, C‑587/20, EU:C:2022:419, σκέψη 25 και εκεί μνημονευόμενη νομολογία).
41 Επιπλέον, δεδομένου ότι ο ΓΚΠΔ δεν περιέχει ορισμό των όρων «εργαζόμενος» και «απασχόληση», οι όροι αυτοί πρέπει να ερμηνεύονται σύμφωνα με το σύνηθες νόημά τους στην καθημερινή γλώσσα, λαμβανομένου υπόψη του πλαισίου εντός του οποίου χρησιμοποιούνται και των σκοπών της ρύθμισης στην οποία εντάσσονται (απόφαση της 2ας Ιουνίου 2022, HK κατά Danmark και HK κατά Privat, C‑587/20, EU:C:2022:419, σκέψη 26 και εκεί μνημονευόμενη νομολογία).
42 Ο όρος «εργαζόμενος» κατά το σύνηθες νόημά του δηλώνει πρόσωπο που παρέχει την εργασία του στο πλαίσιο σχέσεως εξαρτήσεως με τον εργοδότη του και, επομένως, υπό τον έλεγχό του (απόφαση της 18ης Μαρτίου 2021, Kuoni Travel, C‑578/19, EU:C:2021:213, σκέψη 42).
43 Ομοίως, το κύριο χαρακτηριστικό της σχέσης «απασχόλησης» είναι ότι ένα πρόσωπο παρέχει, κατά τη διάρκεια ορισμένου χρόνου, σε άλλο και υπό τις οδηγίες του, υπηρεσίες έναντι των οποίων λαμβάνει αμοιβή (απόφαση της 15ης Ιουλίου 2021, Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, σκέψη 49).
44 Εφόσον το χαρακτηριστικό αυτό προσιδιάζει στους εργαζομένους και στις σχέσεις απασχόλησης τόσο του δημοσίου όσο και του ιδιωτικού τομέα, πρέπει να συναχθεί ότι οι όροι «εργαζόμενος» και «απασχόληση», νοούμενοι υπό τη συνήθη έννοιά τους, δεν αποκλείουν τα πρόσωπα που ασκούν την επαγγελματική τους δραστηριότητα στον δημόσιο τομέα.
45 Πράγματι, το περιεχόμενο του άρθρου 88, παράγραφος 1, του ΓΚΠΔ δεν μπορεί να καθορίζεται σε συνάρτηση με τη φύση της έννομης σχέσης που συνδέει τον εργαζόμενο με τον εργοδότη. Επομένως, είναι αδιάφορο αν ένας εργαζόμενος απασχολείται ως ιδιωτικός ή δημόσιος υπάλληλος ή ακόμη αν η εργασιακή του σχέση διέπεται από το δημόσιο ή το ιδιωτικό δίκαιο, αφού, πράγματι, οι νομικοί αυτοί χαρακτηρισμοί ποικίλλουν ανάλογα με τις εθνικές νομοθεσίες και, κατά συνέπεια, δεν μπορούν να παράσχουν κατάλληλο κριτήριο για αυτοτελή και ομοιόμορφη ερμηνεία της εν λόγω διατάξεως (βλ., κατ’ αναλογίαν, αποφάσεις της 12ης Φεβρουαρίου 1974, Sotgiu, 152/73, EU:C:1974:13, σκέψη 5, και της 3ης Ιουνίου 1986, Επιτροπή κατά Γαλλίας, 307/84, EU:C:1986:222, σκέψη 11).
46 Όσον αφορά ειδικότερα τα πρόσωπα των οποίων ο εργασιακός δεσμός δεν είναι σύμβαση εργασίας, όπως οι δημόσιοι υπάλληλοι, είναι αληθές ότι το άρθρο 88, παράγραφος 1, του ΓΚΠΔ αναφέρεται στην «εκτέλεση της σύμβασης απασχόλησης». Εντούτοις, επισημαίνεται, αφενός, ότι η ανωτέρω αναφορά περιλαμβάνεται μεταξύ άλλων σκοπών της επεξεργασίας δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της απασχόλησης οι οποίοι απαριθμούνται στο άρθρο 88, παράγραφος 1, του ΓΚΠΔ και οι οποίοι μπορούν να αποτελέσουν αντικείμενο των ειδικών κανόνων που θεσπίζουν τα κράτη μέλη και ότι, εν πάση περιπτώσει, ο κατάλογος αυτός δεν έχει εξαντλητικό χαρακτήρα, όπως μαρτυρεί το επίρρημα «ιδίως» που χρησιμοποιείται στην εν λόγω διάταξη.
47 Αφετέρου, το ότι δεν ασκεί επιρροή ο χαρακτηρισμός της έννομης σχέσης που συνδέει τον υπάλληλο με τη διοίκηση που τον απασχολεί επιβεβαιώνεται από το γεγονός ότι η διαχείριση, ο προγραμματισμός και η οργάνωση της εργασίας, η ισότητα και η πολυμορφία στον χώρο εργασίας, η υγεία και η ασφάλεια στην εργασία, η προστασία της περιουσίας εργοδοτών και πελατών, η άσκηση και η απόλαυση, σε ατομική ή συλλογική βάση, δικαιωμάτων και παροχών που σχετίζονται με την απασχόληση, καθώς και η καταγγελία της σχέσης απασχόλησης, που επίσης απαριθμούνται στο εν λόγω άρθρο 88, παράγραφος 1, του ΓΚΠΔ, αφορούν την απασχόληση τόσο στον ιδιωτικό όσο και στον δημόσιο τομέα.
48 Κατά συνέπεια, από το γεγονός ότι το άρθρο 88, παράγραφος 1, του ΓΚΠΔ αναφέρεται στην «εκτέλεση της σύμβασης απασχόλησης» δεν μπορεί να συναχθεί ότι η απασχόληση στον δημόσιο τομέα, η οποία δεν στηρίζεται σε σύμβαση εργασίας, αποκλείεται από το πεδίο εφαρμογής της εν λόγω διατάξεως.
49 Το ίδιο συμπέρασμα επιβάλλεται όσον αφορά το γεγονός ότι το άρθρο 88, παράγραφος 2, του ΓΚΠΔ αναφέρει, μεταξύ των τριών στοιχείων στα οποία τα κράτη μέλη πρέπει να δίνουν «ιδιαίτερη έμφαση» όταν θεσπίζουν τέτοιους «ειδικούς κανόνες», τη διαβίβαση δεδομένων προσωπικού χαρακτήρα «εντός ομίλου επιχειρήσεων, ή ομίλου εταιρειών που ασκούν κοινή οικονομική δραστηριότητα». Πράγματι, τα δύο άλλα στοιχεία, ήτοι η διαφάνεια της επεξεργασίας και τα συστήματα παρακολούθησης στον χώρο εργασίας, είναι κρίσιμα τόσο για την απασχόληση στον ιδιωτικό όσο και για την απασχόληση στον δημόσιο τομέα, ανεξαρτήτως της φύσεως του νομικού δεσμού που συνδέει τον εργαζόμενο με τον εργοδότη.
50 Η ερμηνεία η οποία απορρέει από το γράμμα του άρθρου 88 του ΓΚΠΔ επιβεβαιώνεται από το πλαίσιο στο οποίο εντάσσεται το εν λόγω άρθρο, καθώς και από τον σκοπό που επιδιώκεται με τη ρύθμιση της οποίας αποτελεί μέρος.
51 Συναφώς, επισημαίνεται ότι, όπως προκύπτει από το άρθρο 1, παράγραφος 1, του ΓΚΠΔ, σε συνδυασμό, μεταξύ άλλων, με τις αιτιολογικές του σκέψεις 9, 10 και 13, ο κανονισμός σκοπεί να διασφαλίσει την, κατ’ αρχήν, πλήρη εναρμόνιση των εθνικών νομοθεσιών περί προστασίας των δεδομένων προσωπικού χαρακτήρα. Εντούτοις, οι διατάξεις του εν λόγω κανονισμού παρέχουν στα κράτη μέλη τη δυνατότητα να θεσπίζουν πρόσθετους εθνικούς κανόνες, αυστηρότερους ή εισάγοντες παρεκκλίσεις, και καταλείπουν σε αυτά περιθώριο εκτιμήσεως ως προς τον τρόπο με τον οποίο οι εν λόγω διατάξεις μπορούν να τίθενται σε εφαρμογή («ρήτρες ανοίγματος») (απόφαση της 28ης Απριλίου 2022, Meta platforms Ireland, C‑319/20, EU:C:2022:322, σκέψη 57).
52 Το άρθρο 88 του ΓΚΠΔ, που περιλαμβάνεται στο επιγραφόμενο «Διατάξεις που αφορούν ειδικές περιπτώσεις επεξεργασίας» κεφάλαιο ΙΧ του εν λόγω κανονισμού, συνιστά τέτοια ρήτρα ανοίγματος, καθόσον παρέχει στα κράτη μέλη τη δυνατότητα να θεσπίζουν «ειδικούς κανόνες» για τη διασφάλιση της προστασίας των δικαιωμάτων και των ελευθεριών έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα των εργαζομένων στο πλαίσιο της απασχόλησης.
53 Οι ιδιαιτερότητες της επεξεργασίας δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της απασχόλησης και, ως εκ τούτου, η δυνατότητα που παρέχεται στα κράτη μέλη από το άρθρο 88, παράγραφος 1, του ΓΚΠΔ εξηγούνται, μεταξύ άλλων, από την ύπαρξη σχέσης εξάρτησης μεταξύ του εργαζομένου και του εργοδότη και όχι από τη φύση της έννομης σχέσης που συνδέει τον εργαζόμενο με τον εργοδότη.
54 Επιπλέον, κατά το άρθρο 1, παράγραφος 2, του ΓΚΠΔ, σε συνδυασμό με την αιτιολογική του σκέψη 10, σκοπός του κανονισμού είναι ιδίως η διασφάλιση υψηλού επιπέδου προστασίας των θεμελιωδών δικαιωμάτων και ελευθεριών των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, δικαίωμα το οποίο κατοχυρώνεται επίσης στο άρθρο 8 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης και συνδέεται στενά με το δικαίωμα στον σεβασμό της ιδιωτικής ζωής, που κατοχυρώνεται στο άρθρο 7 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης (πρβλ. απόφαση της 1ης Αυγούστου 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, σκέψη 61).
55 Ωστόσο, είναι σύμφωνη προς τον ανωτέρω σκοπό μια ευρεία ερμηνεία του άρθρου 88, παράγραφος 1, του ΓΚΠΔ, κατά την οποία οι «ειδικοί κανόνες» τους οποίους μπορούν να θεσπίζουν τα κράτη μέλη, προκειμένου να διασφαλίζουν την προστασία των δικαιωμάτων και των ελευθεριών έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα των εργαζομένων στο πλαίσιο της απασχόλησης, είναι δυνατό να αφορούν όλους τους εργαζομένους, ανεξαρτήτως της φύσεως της έννομης σχέσης που τους συνδέει με τον εργοδότη τους.
56 Υπό τις συνθήκες αυτές, επεξεργασία, όπως η επίμαχη στην υπόθεση της κύριας δίκης, δεδομένων προσωπικού χαρακτήρα εκπαιδευτικών επ’ ευκαιρία της μετάδοσης σε πραγματικό χρόνο, μέσω τηλεδιάσκεψης, μαθημάτων δημόσιας εκπαίδευσης τα οποία αυτοί παραδίδουν, εμπίπτει στο πεδίο εφαρμογής του άρθρου 88 του ΓΚΠΔ.
Επί του πρώτου προδικαστικού ερωτήματος
57 Με το πρώτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 88 του ΓΚΠΔ έχει την έννοια ότι ένας κανόνας δικαίου, προκειμένου να μπορεί να χαρακτηριστεί ως ειδικός κανόνας κατά την έννοια της παραγράφου 1 του εν λόγω άρθρου, πρέπει να πληροί τις προϋποθέσεις της παραγράφου 2 του ίδιου άρθρου.
58 Όπως επισημάνθηκε στη σκέψη 52 της παρούσας αποφάσεως, τα κράτη μέλη έχουν την ευχέρεια και όχι την υποχρέωση να θεσπίζουν τέτοιους κανόνες, οι οποίοι μπορούν να προβλέπονται από τον νόμο ή από συλλογικές συμβάσεις.
59 Επιπροσθέτως, όταν τα κράτη μέλη προβαίνουν σε χρήση της δυνατότητας που τους παρέχεται με ρήτρα ανοίγματος του ΓΚΠΔ, οφείλουν να κάνουν χρήση του περιθωρίου εκτιμήσεως που διαθέτουν υπό τις προϋποθέσεις και εντός των ορίων που προβλέπουν οι διατάξεις του ΓΚΠΔ και να νομοθετούν κατά τρόπο που να μη θίγει το περιεχόμενο και τους σκοπούς του εν λόγω κανονισμού (πρβλ. απόφαση της 28ης Απριλίου 2022, Meta platforms Ireland, C‑319/20, EU:C:2022:322, σκέψη 60).
60 Προκειμένου να προσδιοριστούν οι προϋποθέσεις και τα όρια στα οποία υπόκεινται οι κανόνες του άρθρου 88, παράγραφοι 1 και 2, του ΓΚΠΔ και, κατά συνέπεια, να εκτιμηθεί το περιθώριο εκτιμήσεως που καταλείπουν οι εν λόγω διατάξεις στα κράτη μέλη, υπενθυμίζεται ότι, κατά πάγια νομολογία, για την ερμηνεία διατάξεως του δικαίου της Ένωσης πρέπει να λαμβάνεται υπόψη όχι μόνον το γράμμα της, αλλά και το πλαίσιο στο οποίο αυτή εντάσσεται, καθώς και οι σκοποί τους οποίους επιδιώκει η πράξη της οποίας αποτελεί μέρος (απόφαση της 15ης Μαρτίου 2022, Autorité des marchés financiers, C‑302/20, EU:C:2022:190, σκέψη 63).
61 Όσον αφορά το γράμμα του άρθρου 88, παράγραφος 1, του ΓΚΠΔ, από τη χρήση του όρου «ειδικοί» προκύπτει, κατ’ αρχάς, ότι οι κανόνες τους οποίους αφορά η εν λόγω διάταξη πρέπει να έχουν ένα κανονιστικό περιεχόμενο το οποίο να προσιδιάζεις στον ρυθμιζόμενο τομέα και να είναι διακριτό από τους γενικούς κανόνες του εν λόγω κανονισμού.
62 Περαιτέρω, όπως επισημάνθηκε στη σκέψη 52 της παρούσας αποφάσεως, σκοπός των κανόνων που θεσπίζονται βάσει της εν λόγω διατάξεως είναι η προστασία των δικαιωμάτων και των ελευθεριών των εργαζομένων έναντι της επεξεργασίας των δεδομένων τους προσωπικού χαρακτήρα στο πλαίσιο της απασχόλησης.
63 Τέλος, από τους διάφορους σκοπούς τους οποίους μπορεί να επιδιώκει η επεξεργασία δεδομένων προσωπικού χαρακτήρα και οι οποίοι προβλέπονται στο άρθρο 88, παράγραφος 1, του ΓΚΠΔ, προκύπτει ότι οι «ειδικοί κανόνες», που μνημονεύονται στο εν λόγω άρθρο, δύνανται να αφορούν έναν πολύ μεγάλο αριθμό πράξεων επεξεργασίας που συνδέονται με σχέση απασχόλησης, κατά τρόπον ώστε να καλύπτεται το σύνολο των σκοπών για τους οποίους είναι δυνατή η επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο σχέσης απασχόλησης. Επιπλέον, δεδομένου ότι η παράθεση των σκοπών αυτών δεν είναι εξαντλητική, όπως επισημάνθηκε στη σκέψη 46 της παρούσας αποφάσεως, τα κράτη μέλη διαθέτουν περιθώριο εκτιμήσεως όσον αφορά τις πράξεις επεξεργασίας που υπόκεινται, ως εκ τούτου, στους ειδικούς αυτούς κανόνες.
64 Το άρθρο 88 του ΓΚΠΔ προβλέπει στην παράγραφο 2 ότι οι κανόνες που θεσπίζονται βάσει της παραγράφου του 1 περιλαμβάνουν κατάλληλα και ειδικά μέτρα για τη διαφύλαξη της ανθρώπινης αξιοπρέπειας, των εννόμων συμφερόντων και των θεμελιωδών δικαιωμάτων του προσώπου στο οποίο αναφέρονται τα δεδομένα, με ιδιαίτερη έμφαση στη διαφάνεια της επεξεργασίας, τη διαβίβαση δεδομένων προσωπικού χαρακτήρα εντός ομίλου επιχειρήσεων ή ομίλου εταιρειών που ασκούν κοινή οικονομική δραστηριότητα και τα συστήματα παρακολούθησης στον χώρο εργασίας.
65 Επομένως, από το γράμμα του άρθρου 88 του ΓΚΠΔ προκύπτει ότι η παράγραφος 2 αυτού οριοθετεί το περιθώριο εκτιμήσεως των κρατών μελών που προτίθενται να θεσπίσουν ειδικούς κανόνες δυνάμει της παραγράφου 1 του εν λόγω άρθρου. Επομένως, αφενός, οι ειδικοί κανόνες δεν μπορούν να περιορίζονται σε επανάληψη των διατάξεων του εν λόγω κανονισμού, αλλά πρέπει να αποσκοπούν στην προστασία των δικαιωμάτων και των ελευθεριών των εργαζομένων έναντι της επεξεργασίας των δεδομένων τους προσωπικού χαρακτήρα στο πλαίσιο της απασχόλησης καθώς και να περιλαμβάνουν κατάλληλα και ειδικά μέτρα για τη διαφύλαξη της ανθρώπινης αξιοπρέπειας, των εννόμων συμφερόντων και των θεμελιωδών δικαιωμάτων των υποκειμένων των δεδομένων.
66 Αφετέρου, ιδιαίτερη έμφαση πρέπει να δίνεται στη διαφάνεια της επεξεργασίας, στη διαβίβαση δεδομένων προσωπικού χαρακτήρα εντός ομίλου επιχειρήσεων ή ομίλου εταιρειών που ασκούν κοινή οικονομική δραστηριότητα και στα συστήματα παρακολούθησης στον χώρο εργασίας.
67 Όσον αφορά το πλαίσιο στο οποίο εντάσσεται το άρθρο 88 του ΓΚΠΔ, επισημαίνεται, πρώτον, ότι η διάταξη αυτή πρέπει να ερμηνευθεί υπό το πρίσμα της αιτιολογικής σκέψεως 8 του κανονισμού, κατά την οποία, όταν ο κανονισμός προβλέπει προδιαγραφές ή περιορισμούς των κανόνων του από το δίκαιο των κρατών μελών, τα κράτη μέλη μπορούν να ενσωματώσουν στοιχεία του εν λόγω κανονισμού στο εθνικό τους δίκαιο, στην έκταση που απαιτείται για λόγους συνεκτικότητας και για να είναι κατανοητές οι εθνικές διατάξεις στα πρόσωπα για τα οποία αυτές εφαρμόζονται.
68 Δεύτερον, υπενθυμίζεται ότι τα κεφάλαια II και III του ΓΚΠΔ προβλέπουν αντιστοίχως τις αρχές που διέπουν την επεξεργασία των δεδομένων προσωπικού χαρακτήρα, καθώς και τα δικαιώματα του υποκειμένου των δεδομένων, τα οποία πρέπει να γίνονται σεβαστά σε κάθε περίπτωση επεξεργασίας δεδομένων προσωπικού χαρακτήρα [απόφαση της 24ης Φεβρουαρίου 2022, Valsts ieņēmumu dienests (Επεξεργασία των προσωπικών δεδομένων για φορολογικούς σκοπούς), C‑175/20, EU:C:2022:124, σκέψη 50].
69 Ειδικότερα, κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει να είναι σύμφωνη, αφενός, προς τις αρχές που διέπουν την επεξεργασία των δεδομένων, οι οποίες διατυπώνονται στο άρθρο 5 του ΓΚΠΔ, και, αφετέρου, προς μία από τις αρχές που διέπουν τη νομιμότητα της επεξεργασίας, οι οποίες απαριθμούνται στο άρθρο 6 του εν λόγω κανονισμού [απόφαση της 22ας Ιουνίου 2021, Latvijas Republikas Saeima (Βαθμοί ποινής), C‑439/19, EU:C:2021:504, σκέψη 96 και εκεί μνημονευόμενη νομολογία].
70 Όσον αφορά τις αρχές που διέπουν τη νομιμότητα της επεξεργασίας, το άρθρο 6 του ΓΚΠΔ προβλέπει εξαντλητικό και περιοριστικό κατάλογο των περιπτώσεων στις οποίες η επεξεργασία δεδομένων προσωπικού χαρακτήρα μπορεί να θεωρηθεί νόμιμη. Επομένως, για να μπορεί να θεωρηθεί νόμιμη η επεξεργασία δεδομένων προσωπικού χαρακτήρα, πρέπει να εμπίπτει σε μία από τις περιπτώσεις που προβλέπει το εν λόγω άρθρο 6 [πρβλ. απόφαση της 22ας Ιουνίου 2021, Latvijas Republikas Saeima (Βαθμοί ποινής), C‑439/19, EU:C:2021:504, σκέψη 99 και εκεί μνημονευόμενη νομολογία].
71 Κατά συνέπεια, μολονότι, κατά την άσκηση της δυνατότητας που τους παρέχεται από ρήτρα ανοίγματος του ΓΚΠΔ τα κράτη μέλη μπορούν να ενσωματώσουν στοιχεία του εν λόγω κανονισμού στο εθνικό τους δίκαιο, στην έκταση που απαιτείται για λόγους συνεκτικότητας και για να είναι κατανοητές οι εθνικές διατάξεις στα πρόσωπα για τα οποία αυτές εφαρμόζονται, εντούτοις οι «ειδικοί κανόνες» που θεσπίζονται βάσει του άρθρου 88, παράγραφος 1, του κανονισμού δεν μπορεί να περιορίζονται σε επανάληψη των προϋποθέσεων νομιμότητας της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και των αρχών που διέπουν την επεξεργασία αυτή, οι οποίες ορίζονται, αντιστοίχως, στο άρθρο 6 και στο άρθρο 5 του ίδιου κανονισμού, ή σε παραπομπή στις εν λόγω προϋποθέσεις και αρχές.
72 Η ερμηνεία κατά την οποία το περιθώριο εκτιμήσεως των κρατών μελών κατά τη θέσπιση κανόνων βάσει της παραγράφου 1 του άρθρου 88 του ΓΚΠΔ περιορίζεται από την παράγραφο 2 του εν λόγω άρθρου είναι σύμφωνη με τον σκοπό του κανονισμού, που υπομνήσθηκε στη σκέψη 51 της παρούσας αποφάσεως και ο οποίος συνίσταται στη διασφάλιση της, κατ’ αρχήν, πλήρους εναρμόνισης των εθνικών νομοθεσιών περί προστασίας των δεδομένων προσωπικού χαρακτήρα.
73 Πράγματι, όπως επισήμανε κατ’ ουσίαν ο γενικός εισαγγελέας με τα σημεία 56, 70 και 73 των προτάσεών του, η δυνατότητα των κρατών μελών να θεσπίζουν «ειδικούς κανόνες» βάσει του άρθρου 88, παράγραφος 1, του ΓΚΠΔ μπορεί να οδηγήσει σε έλλειψη εναρμόνισης στο πεδίο εφαρμογής των εν λόγω κανόνων. Ωστόσο, οι προϋποθέσεις που επιβάλλει το άρθρο 88, παράγραφος 2, του εν λόγω κανονισμού αντικατοπτρίζουν τα όρια της διαφοροποίησης που ο κανονισμός δέχεται, υπό την έννοια ότι αυτή η έλλειψη εναρμόνισης μπορεί να γίνει δεκτή μόνον όταν οι διαφορές οι οποίες εξακολουθούν να υφίστανται συνοδεύονται από ειδικές και πρόσφορες εγγυήσεις που αποσκοπούν στην προστασία των δικαιωμάτων και των ελευθεριών των εργαζομένων έναντι της επεξεργασίας των δεδομένων τους προσωπικού χαρακτήρα στο πλαίσιο της απασχόλησης.
74 Κατά συνέπεια, προκειμένου ένας κανόνας δικαίου να μπορεί να χαρακτηριστεί ως «ειδικός κανόνας» κατά την έννοια της παραγράφου 1 του άρθρου 88 του ΓΚΠΔ, πρέπει να πληροί τις προϋποθέσεις της παραγράφου 2 του εν λόγω άρθρου. Πέραν του ότι αυτοί οι ειδικοί κανόνες πρέπει να έχουν κανονιστικό περιεχόμενο το οποίο να προσιδιάζει στον ρυθμιζόμενο τομέα και να είναι διακριτό από τους γενικούς κανόνες του κανονισμού, οι εν λόγω κανόνες πρέπει να αποσκοπούν στην προστασία των δικαιωμάτων και των ελευθεριών των εργαζομένων έναντι της επεξεργασίας των δεδομένων τους προσωπικού χαρακτήρα στο πλαίσιο της σχέσης απασχόλησης και να περιλαμβάνουν κατάλληλα και ειδικά μέτρα για τη διαφύλαξη της ανθρώπινης αξιοπρέπειας, των εννόμων συμφερόντων και των θεμελιωδών δικαιωμάτων των υποκειμένων των δεδομένων. Ιδιαίτερη έμφαση πρέπει να δίνεται στη διαφάνεια της επεξεργασίας, στη διαβίβαση δεδομένων προσωπικού χαρακτήρα εντός ομίλου επιχειρήσεων ή ομίλου εταιρειών που ασκούν κοινή οικονομική δραστηριότητα και στα συστήματα παρακολούθησης στον χώρο εργασίας.
75 Κατόπιν του συνόλου των προεκτεθέντων, στο πρώτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 88 του ΓΚΠΔ έχει την έννοια ότι εθνική ρύθμιση δεν δύναται να συνιστά «ειδικό κανόνα», κατά την έννοια της παραγράφου 1 του ως άνω άρθρου, στην περίπτωση που δεν πληροί τις προϋποθέσεις της παραγράφου 2 του εν λόγω άρθρου.
Επί του δευτέρου προδικαστικού ερωτήματος
76 Με το δεύτερο προδικαστικό ερώτημα, το αιτούν δικαστήριο διερωτάται, κατ’ ουσίαν, ως προς τις συνέπειες που πρέπει να συναχθούν από τη διαπίστωση ότι οι εθνικές διατάξεις που θεσπίζονται για τη διασφάλιση της προστασίας των δικαιωμάτων και των ελευθεριών έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα των εργαζομένων στο πλαίσιο της απασχόλησης δεν είναι συμβατές με τις προϋποθέσεις και τα όρια που προβλέπονται στο άρθρο 88, παράγραφοι 1 και 2, του ΓΚΠΔ.
77 Συναφώς, υπενθυμίζεται ότι, δυνάμει του άρθρου 288, δεύτερο εδάφιο, ΣΛΕΕ, ένας κανονισμός είναι δεσμευτικός ως προς όλα τα μέρη του και ισχύει άμεσα σε κάθε κράτος μέλος, οπότε οι διατάξεις του δεν απαιτούν, κατ’ αρχήν, κανένα μέτρο εφαρμογής των κρατών μελών (απόφαση της 15ης Ιουνίου 2021, Facebook Ireland κ.λπ., C‑645/19, EU:C:2021:483, σκέψη 109).
78 Εντούτοις, όπως υπομνήσθηκε στη σκέψη 51 της παρούσας αποφάσεως, οι ρήτρες ανοίγματος που προβλέπει ο ΓΚΠΔ παρέχουν στα κράτη μέλη τη δυνατότητα να θεσπίζουν πρόσθετους εθνικούς κανόνες, αυστηρότερους ή εισάγοντες παρεκκλίσεις, και καταλείπουν σε αυτά περιθώριο εκτιμήσεως ως προς τον τρόπο με τον οποίο οι σχετικές διατάξεις μπορούν να τίθενται σε εφαρμογή.
79 Όπως επισημάνθηκε στη σκέψη 59 της παρούσας αποφάσεως, όταν τα κράτη μέλη κάνουν χρήση της δυνατότητας που τους παρέχεται με ρήτρα ανοίγματος του ΓΚΠΔ, οφείλουν να κάνουν χρήση του περιθωρίου εκτιμήσεως που διαθέτουν υπό τις προϋποθέσεις και εντός των ορίων που προβλέπουν οι διατάξεις του ΓΚΠΔ και να νομοθετούν κατά τρόπο που να μη θίγει το περιεχόμενο και τους σκοπούς του εν λόγω κανονισμού.
80 Εναπόκειται στο αιτούν δικαστήριο, το οποίο είναι το μόνο αρμόδιο για την ερμηνεία του εθνικού δικαίου, να κρίνει αν οι επίμαχες στην κύρια δίκη διατάξεις τηρούν τις προϋποθέσεις και τα όρια που θέτει το άρθρο 88 του ΓΚΠΔ, όπως συνοψίζονται στη σκέψη 74 της παρούσας αποφάσεως.
81 Εντούτοις, όπως επισήμανε ο γενικός εισαγγελέας με τα σημεία 60 έως 62 των προτάσεών του, διατάξεις όπως εκείνες του άρθρου 23, παράγραφος 1, του HDSIG και του άρθρου 86, παράγραφος 4, του HBG, οι οποίες εξαρτούν την επεξεργασία των δεδομένων προσωπικού χαρακτήρα των εργαζομένων από την προϋπόθεση ότι η επεξεργασία αυτή είναι αναγκαία για συγκεκριμένους σκοπούς που σχετίζονται με την εκτέλεση σχέσης απασχόλησης, φαίνεται να επαναλαμβάνουν την προϋπόθεση που προβλέπεται από το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο βʹ, του ΓΚΠΔ σχετικά με την εν γένει νομιμότητα της επεξεργασίας, χωρίς να προσθέτουν έναν ειδικό κανόνα κατά την έννοια του άρθρου 88, παράγραφος 1, του κανονισμού. Πράγματι, τέτοιες διατάξεις δεν φαίνεται να έχουν ένα κανονιστικό περιεχόμενο το οποίο προσιδιάζει στον ρυθμιζόμενο τομέα και είναι διακριτό από τους γενικούς κανόνες του εν λόγω κανονισμού.
82 Σε περίπτωση που το αιτούν δικαστήριο καταλήξει στη διαπίστωση ότι οι επίμαχες στην κύρια δίκη διατάξεις δεν τηρούν τις προϋποθέσεις και τα όρια που θέτει το άρθρο 88 του ΓΚΠΔ, οφείλει, κατ’ αρχήν, να αφήσει ανεφάρμοστες τις εν λόγω διατάξεις.
83 Συγκεκριμένα, δυνάμει της αρχής της υπεροχής του δικαίου της Ένωσης, οι διατάξεις της Συνθήκης και οι πράξεις των θεσμικών οργάνων που εφαρμόζονται άμεσα έχουν ως αποτέλεσμα, στις σχέσεις τους με το εσωτερικό δίκαιο των κρατών μελών, να καθιστούν αυτοδικαίως ανεφάρμοστη, απλώς και μόνο με τη θέση τους σε ισχύ, κάθε αντίθετη διάταξη της εθνικής νομοθεσίας (αποφάσεις της 9ης Μαρτίου 1978, Simmenthal, 106/77, EU:C:1978:49, σκέψη 17, της 19ης Ιουνίου 1990, Factortame κ.λπ., C‑213/89, EU:C:1990:257, σκέψη 18, και της 4ης Φεβρουαρίου 2016, Ince, C‑336/14, EU:C:2016:72, σκέψη 52).
84 Επομένως, ελλείψει ειδικών κανόνων οι οποίοι να τηρούν τις προϋποθέσεις και τα όρια που θέτει το άρθρο 88 του ΓΚΠΔ, η επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της απασχόλησης, τόσο στον ιδιωτικό όσο και στον δημόσιο τομέα, διέπεται άμεσα από τις διατάξεις του εν λόγω κανονισμού.
85 Συναφώς, επισημαίνεται ότι επεξεργασία δεδομένων προσωπικού χαρακτήρα, όπως η επίμαχη στην υπόθεση της κύριας δίκης, μπορεί να υπόκειται στις διατάξεις του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχεία γʹ και εʹ, του ΓΚΠΔ, σύμφωνα με τις οποίες η επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι σύννομη όταν αυτή είναι απαραίτητη, αντιστοίχως, για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας ή για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας.
86 Το άρθρο 6, παράγραφος 3, του ΓΚΠΔ, αφενός, ορίζει, όσον αφορά τις δύο περιπτώσεις νομιμότητας της επεξεργασίας που προβλέπονται, αντιστοίχως, στο άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχεία γʹ και εʹ, του εν λόγω κανονισμού, ότι η επεξεργασία πρέπει να βασίζεται στο δίκαιο της Ένωσης ή στο δίκαιο του κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας και, αφετέρου, προσθέτει ότι ο σκοπός της επεξεργασίας καθορίζεται στην εν λόγω νομική βάση ή, όσον αφορά την επεξεργασία που αναφέρεται στην παράγραφο 1, πρώτο εδάφιο, στοιχείο εʹ, ο σκοπός συνίσταται στην αναγκαιότητα της επεξεργασίας για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας [πρβλ. απόφαση της 8ης Δεκεμβρίου 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Σκοποί επεξεργασίας προσωπικών δεδομένων – Ποινική έρευνα), C‑180/21, EU:C:2022:967, σκέψη 95].
87 Συναφώς υπενθυμίζεται ότι η νόμιμη επεξεργασία δεδομένων προσωπικού χαρακτήρα από τους υπεύθυνους επεξεργασίας δυνάμει του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο εʹ, του ΓΚΠΔ προϋποθέτει όχι μόνον ότι μπορεί να θεωρηθεί ότι οι εν λόγω υπεύθυνοι εκπληρώνουν καθήκον που εκτελείται προς το δημόσιο συμφέρον, αλλά και ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα για την εκπλήρωση του καθήκοντος αυτού στηρίζεται σε νομική βάση προβλεπόμενη στο άρθρο 6, παράγραφος 3, του κανονισμού (πρβλ. απόφαση της 20ής Οκτωβρίου 2022, Koalitsia «Demokratichna Bulgaria – Obedinenie», C‑306/21, EU:C:2022:813, σκέψη 52).
88 Κατά συνέπεια, σε περίπτωση που το αιτούν δικαστήριο διαπιστώσει ότι οι εθνικές διατάξεις σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της απασχόλησης δεν τηρούν τις προϋποθέσεις και τα όρια που θέτει το άρθρο 88, παράγραφοι 1 και 2, του ΓΚΠΔ, οφείλει επίσης να εξακριβώσει αν οι εθνικές αυτές διατάξεις συνιστούν νομική βάση προβλεπόμενη στο άρθρο 6, παράγραφος 3, του κανονισμού, σε συνδυασμό με την αιτιολογική του σκέψη 45, η οποία πληροί τις απαιτήσεις του εν λόγω κανονισμού. Εάν αυτό ισχύει, δεν πρέπει να αποκλειστεί η εφαρμογή των εθνικών διατάξεων.
89 Κατόπιν των προεκτεθέντων, στο δεύτερο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 88, παράγραφοι 1 και 2, του ΓΚΠΔ έχει την έννοια ότι η εφαρμογή εθνικών διατάξεων που θεσπίζονται για τη διασφάλιση της προστασίας των δικαιωμάτων και ελευθεριών των εργαζομένων έναντι της επεξεργασίας των δεδομένων τους προσωπικού χαρακτήρα στο πλαίσιο της απασχόλησης πρέπει να αποκλείεται όταν οι διατάξεις αυτές δεν τηρούν τις προϋποθέσεις και τα όρια που θέτει το εν λόγω άρθρο 88, παράγραφοι 1 και 2, εκτός αν οι εθνικές αυτές διατάξεις συνιστούν νομική βάση προβλεπόμενη στο άρθρο 6, παράγραφος 3, του κανονισμού η οποία πληροί τις απαιτήσεις του εν λόγω κανονισμού.
Επί των δικαστικών εξόδων
90 Δεδομένου ότι η παρούσα διαδικασία έχει ως προς τους διαδίκους της κύριας δίκης τον χαρακτήρα παρεμπίπτοντος που ανέκυψε ενώπιον του εθνικού δικαστηρίου, σε αυτό εναπόκειται να αποφανθεί επί των δικαστικών εξόδων. Τα έξοδα στα οποία υποβλήθηκαν όσοι υπέβαλαν παρατηρήσεις στο Δικαστήριο, πλην των ως άνω διαδίκων, δεν αποδίδονται.
Για τους λόγους αυτούς, το Δικαστήριο (πρώτο τμήμα) αποφαίνεται:
1) Το άρθρο 88 του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων),
έχει την έννοια ότι:
εθνική ρύθμιση δεν δύναται να συνιστά «ειδικό κανόνα», κατά την έννοια της παραγράφου 1 του ως άνω άρθρου, στην περίπτωση που δεν πληροί τις προϋποθέσεις της παραγράφου 2 του εν λόγω άρθρου.
2) Το άρθρο 88, παράγραφοι 1 και 2, του κανονισμού 2016/679
έχει την έννοια ότι:
η εφαρμογή εθνικών διατάξεων που θεσπίζονται για τη διασφάλιση της προστασίας των δικαιωμάτων και ελευθεριών των εργαζομένων έναντι της επεξεργασίας των δεδομένων τους προσωπικού χαρακτήρα στο πλαίσιο της απασχόλησης πρέπει να αποκλείεται όταν οι διατάξεις αυτές δεν τηρούν τις προϋποθέσεις και τα όρια που θέτει το εν λόγω άρθρο 88, παράγραφοι 1 και 2, εκτός αν οι εθνικές αυτές διατάξεις συνιστούν νομική βάση προβλεπόμενη στο άρθρο 6, παράγραφος 3, του κανονισμού η οποία πληροί τις απαιτήσεις του εν λόγω κανονισμού.
(υπογραφές)