PRESUDA SUDA (prvo vijeće)
30. ožujka 2023.(*)
„Zahtjev za prethodnu odluku – Zaštita osobnih podataka – Uredba (EU) 2016/679 – Članak 88. stavci 1. i 2. – Obrada podataka u kontekstu zaposlenja – Regionalni školski sustav – Nastava preko videokonferencijske veze zbog pandemije bolesti COVID-19 – Provedba bez izričite privole nastavnikâ”
U predmetu C‑34/21,
povodom zahtjeva za prethodnu odluku na temelju članka 267. UFEU‑a, koji je uputio Verwaltungsgericht Wiesbaden (Upravni sud u Wiesbadenu, Njemačka), odlukom od 20. prosinca 2020., koju je Sud zaprimio 20. siječnja 2021., u postupku
Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium
protiv
Minister des Hessischen Kultusministeriums,
SUD (prvo vijeće),
u sastavu: A. Arabadjiev, predsjednik vijeća, K. Lenaerts, predsjednik Suda, L. Bay Larsen, potpredsjednik Suda, u svojstvu sudaca prvog vijeća, A. Kumin i I. Ziemele (izvjestiteljica), suci,
nezavisni odvjetnik: M. Campos Sánchez‑Bordona,
tajnik: S. Beer, administratorica,
uzimajući u obzir pisani dio postupka i nakon rasprave održane 30. lipnja 2022.,
uzimajući u obzir očitovanja koja su podnijeli:
– za Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium, J. Kolter, Rechtsanwalt,
– za Minister des Hessischen Kultusministeriums, C. Meinert,
– za njemačku vladu, J. Möller i D. Klebs, u svojstvu agenata,
– za austrijsku vladu, G. Kunnert i J. Schmoll, u svojstvu agenata,
– za rumunjsku vladu, E. Gane i A. Wellman, u svojstvu agenata,
– za Europsku komisiju, F. Erlbacher, H. Kranenborg i D. Nardi, u svojstvu agenata,
saslušavši mišljenje nezavisnog odvjetnika na raspravi održanoj 22. rujna 2022.,
donosi sljedeću
Presudu
1 Zahtjev za prethodnu odluku odnosi se na tumačenje članka 88. stavaka 1. i 2. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.; u daljnjem tekstu: OUZP).
2 Zahtjev je upućen u okviru spora između Hauptpersonalrata der Lehrerinnen und Lehrer beim Hessischen Kultusministerium (Glavno vijeće nastavnog osoblja pri Ministarstvu obrazovanja i kulture savezne zemlje Hessen, Njemačka) i Ministera des Hessischen Kultusministeriums (ministar obrazovanja i kulture savezne zemlje Hessen, Njemačka), u vezi sa zakonitošću sustava prijenosa nastave uživo preko videokonferencijske veze koji je uspostavljen u školama savezne zemlje Hessen (Njemačka), pri čemu nije propisana obveza prethodne privole nastavnika o kojima je riječ.
Pravni okvir
Pravo Unije
Direktiva 95/46/EZ
3 Direktiva 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.) stavljena je izvan snage OUZP‑om s učinkom od 25. svibnja 2018. Članak 3. te direktive, naslovljen „Područje primjene”, glasio je kako slijedi:
„1. Ova Direktiva se primjenjuje na osobne podatke koji se u cijelosti ili djelomično obrađuju automatskim putem i na obradu podataka koja nije automatska, a koja čini dio sustava arhiviranja ili će činiti dio sustava arhiviranja.
2. Ova se Direktiva ne primjenjuje na obradu osobnih podataka:
– tijekom aktivnosti koja je izvan područja primjene prava Zajednice, kao što je predviđeno u glavama V. i VI. [UEU‑a, u verziji prije Ugovora iz Lisabona] i u svakom slučaju na postupke obrade koji se odnose na javnu sigurnost, obranu, nacionalnu sigurnost (uključujući gospodarsku dobrobit države kada se operacija obrade odnosi na pitanja nacionalne sigurnosti) i aktivnosti države u području kaznenog prava,
[…]”
OUZP
4 U uvodnim izjavama 8. do 10., 13., 16., 45. i 155. OUZP‑a navodi se:
„(8) Ako se ovom Uredbom predviđaju specifikacije ili ograničenja njezinih pravila pravom države članice, države članice mogu, u mjeri u kojoj je to potrebno radi usklađenosti i kako bi nacionalne odredbe bile razumljive osobama na koje se primjenjuju, elemente ove Uredbe uključiti u svoje nacionalno pravo.
(9) Ciljevi i načela Direktive [95/46] i dalje su utemeljeni, no njome nisu spriječeni rascjepkanost provedbe zaštite podataka u [Europskoj u]niji, pravna nesigurnost ili rasprostranjeno javno mišljenje da osobito kod internetskih aktivnosti postoje znatni rizici povezani sa zaštitom pojedinaca. Razlike u razini zaštite prava i sloboda pojedinaca, a posebno prava na zaštitu osobnih podataka, koje pružaju države članice u vezi s obradom osobnih podataka mogu spriječiti slobodni protok osobnih podataka u Uniji. Te razlike stoga mogu predstavljati prepreku obavljanju gospodarskih djelatnosti na razini Unije, narušiti tržišno natjecanje te spriječiti nadležna tijela u ispunjenju njihovih odgovornosti na temelju prava Unije. Do takve razlike u razinama zaštite došlo je zbog postojanja razlika u provedbi i primjeni Direktive [95/46].
(10) Kako bi se osigurala postojana i visoka razina zaštite pojedinaca te uklonile prepreke protoku osobnih podataka unutar Unije, razina zaštite prava i sloboda pojedinaca u vezi s obradom takvih podataka trebala bi biti jednaka u svim državama članicama. U čitavoj Uniji trebalo bi osigurati postojanu i homogenu primjenu pravila za zaštitu temeljnih prava i sloboda pojedinaca u vezi s obradom osobnih podataka. U pogledu obrade osobnih podataka za usklađivanje s pravnom obvezom, za izvršavanje zadaće od javnog interesa ili pri obavljanju službene ovlasti dodijeljene voditelju obrade državama članicama trebalo bi dopustiti da zadrže ili uvedu nacionalne odredbe kako bi se dodatno odredila primjena pravila iz ove Uredbe. Zajedno s općim i horizontalnim zakonodavstvom o zaštiti podataka kojim se provodi Direktiva [95/46], države članice imaju nekoliko posebnih zakona za pojedine sektore u onim područjima u kojima su potrebne konkretnije odredbe. Ovom Uredbom također se državama članicama pruža prostor za djelovanje kako bi bolje odredile njezina pravila uključujući obradu posebnih kategorija osobnih podataka (,osjetljivi podaci’). U tom smislu ovom se Uredbom ne isključuje pravo države članice kojim se utvrđuju okolnosti posebnih situacija obrade, što uključuje preciznije određivanje uvjeta pod kojima je obrada osobnih podataka zakonita.
[…]
(13) Kako bi se osigurala dosljedna razina zaštite pojedinaca širom Unije i spriječila razilaženja koja ometaju slobodno kretanje osobnih podataka na unutarnjem tržištu, potrebna je Uredba radi pružanja pravne sigurnosti i transparentnosti gospodarskim subjektima […], te pružanja pojedincima u svim državama članicama iste razine pravno primjenjivih prava i obveza te odgovornosti za voditelje obrade i izvršitelje obrade kako bi se osiguralo postojano praćenje obrade osobnih podataka i jednake sankcije u svim državama članicama, kao i djelotvorna suradnja između nadzornih tijela različitih država članica. Za ispravno funkcioniranje unutarnjeg tržišta ne ograničava se niti zabranjuje slobodno kretanje osobnih podataka u Uniji zbog razloga povezanih sa zaštitom pojedinaca u vezi s obradom osobnih podataka. […]
[…]
(16) Ova se Uredba ne primjenjuje na pitanja zaštite temeljnih prava i sloboda ili slobodnog protoka osobnih podataka u vezi s djelatnostima koje ne ulaze u područje primjene prava Unije, kao što su djelatnosti u vezi s nacionalnom sigurnošću. Ova se Uredba ne primjenjuje na obradu osobnih podataka od strane država članica pri obavljanju djelatnosti povezanih sa zajedničkom vanjskom i sigurnosnom politikom Unije.
[…]
(45) Ako se obrada odvija u skladu s pravnim obvezama kojima podliježe voditelj obrade ili ako je obrada potrebna za izvršavanje zadaće koja se obavlja u javnom interesu ili pri izvršavanju službene ovlasti, obrada bi se trebala temeljiti na pravu Unije ili pravu države članice. Ovom se Uredbom ne zahtijeva potreba posebnog propisa za svaku pojedinačnu obradu. Jedan propis kao osnova za više postupaka obrade, koji se temelje na pravnoj obvezi kojoj podliježe voditelj obrade ili ako je obrada potrebna za izvršenje zadaće koja se provodi zbog javnog interesa ili pri izvršavanju službene ovlasti, može biti dovoljan. Pravom Unije ili pravom države članice također bi se trebala odrediti svrha obrade. Osim toga, tim bi se propisom mogli utvrditi opći uvjeti ove Uredbe kojima se uređuje zakonitost obrade osobnih podataka, utvrditi specifikacije za utvrđivanje voditelja obrade, vrste osobnih podataka koji podliježu obradi, dotičnih ispitanika, subjekata kojima se osobni podaci mogu otkriti, ograničenja svrhe, razdoblja pohrane i drugih mjera za osiguravanje zakonite i poštene obrade. […]
[…]
(155) Pravom države članice ili kolektivnim ugovorima, uključujući [‚sporazume na razini poduzeća’], mogu se predvidjeti posebna pravila za obradu osobnih podataka zaposlenikâ u kontekstu zaposlenja, posebno za uvjete pod kojima se osobni podaci u kontekstu zaposlenja mogu obrađivati na temelju privole zaposlenikâ, za potrebe zapošljavanja, izvršavanja ugovora o radu, uključujući ispunjavanje zakonski propisanih obveza ili obveza propisanih kolektivnim ugovorima, za potrebe upravljanja radom i njegova planiranja i organizacije, jednakosti i različitosti na radnom mjestu, zdravlja i sigurnosti na radu i za potrebe ostvarenja i uživanja prava i koristi iz radnog odnosa, na individualnoj ili kolektivnoj osnovi, te za potrebe prestanka radnog odnosa.”
5 U članku 1. OUZP‑a, naslovljenom „Predmet i ciljevi”, određuje se:
„1. Ovom se Uredbom utvrđuju pravila povezana sa zaštitom pojedinaca u pogledu obrade osobnih podataka i pravila povezana sa slobodnim kretanjem osobnih podataka.
2. Ovom se Uredbom štite temeljna prava i slobode pojedinaca, a posebno njihovo pravo na zaštitu osobnih podataka.
3. Slobodno kretanje osobnih podataka unutar Unije ne ograničava se ni zabranjuje iz razloga povezanih sa zaštitom pojedinaca u pogledu obrade osobnih podataka.”
6 U stavcima 1. i 2. članka 2. te uredbe, naslovljenog „[Materijalno] područje primjene”, propisuje se:
„1. Ova se Uredba primjenjuje na obradu osobnih podataka koja se u cijelosti [ili djelomično] obavlja automatizirano te na neautomatiziranu obradu osobnih podataka koji čine dio sustava pohrane ili su namijenjeni biti dio sustava pohrane.
2. Ova se Uredba ne odnosi na obradu osobnih podataka:
(a) tijekom djelatnosti koja nije obuhvaćena [područjem primjene] prava Unije;
(b) koju obavljaju države članice kada obavljaju aktivnosti koje su obuhvaćene područjem primjene glave V. poglavlja 2. UEU‑a;
(c) koju provodi fizička osoba tijekom isključivo osobnih ili kućnih aktivnosti;
(d) koju obavljaju nadležna tijela u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihova sprečavanja.”
7 U članku 4. navedene uredbe, naslovljenom „Definicije”, navodi se:
„Za potrebe ove Uredbe:
1. ‚osobni podaci’ znači svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi (‚ispitanik’); pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca;
2. ‚obrada’ znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje;
[…]”
8 U članku 5. OUZP‑a, naslovljenom „Načela obrade osobnih podataka”, propisuje se:
„1. Osobni podaci moraju biti:
(a) zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika (‚zakonitost, poštenost i transparentnost’);
(b) prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama; daljnja obrada u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe, u skladu s člankom 89. stavkom 1. ne smatra se neusklađenom s prvotnim svrhama (‚ograničavanje svrhe’);
(c) primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju (‚smanjenje količine podataka’);
(d) točni i prema potrebi ažurni; mora se poduzeti svaka razumna mjera radi osiguravanja da se osobni podaci koji nisu točni, uzimajući u obzir svrhe u koje se obrađuju, bez odlaganja izbrišu ili isprave (‚točnost’);
(e) čuvani u obliku koji omogućuje identifikaciju ispitanikâ samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju; osobni podaci mogu se pohraniti na dulja razdoblja ako će se osobni podaci obrađivati isključivo u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe u skladu s člankom 89. stavkom 1., što podliježe provedbi primjerenih tehničkih i organizacijskih mjera propisanih ovom Uredbom radi zaštite prava i sloboda ispitanika (‚ograničenje pohrane’);
(f) obrađivani na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih ili organizacijskih mjera (‚cjelovitost i povjerljivost’).
2. Voditelj obrade odgovoran je za usklađenost sa stavkom 1. te je mora biti u mogućnosti dokazati (‚pouzdanost’).”
9 U stavcima 1. do 3. članka 6. te uredbe, naslovljenog „Zakonitost obrade”, određuje se:
„1. Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:
(a) ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha;
(b) obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora;
(c) obrada je nužna radi poštovanja pravnih obveza voditelja obrade;
[…]
(e) obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade;
(f) obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete.
Točka (f) prvog podstavka ne odnosi se na obradu koju provode tijela javne vlasti pri izvršavanju svojih zadaća.
2. Države članice mogu zadržati ili uvesti posebne odredbe kako bi se primjena pravila ove Uredbe s obzirom na obradu prilagodila radi usklađivanja sa stavkom 1. točkama (c) i (e) tako da se preciznije odrede posebni zahtjevi za obradu te druge mjere za osiguravanje zakonite i poštene obrade, među ostalim za druge posebne situacije obrade kako je predviđeno u poglavlju IX.
3. Pravna osnova za obradu iz stavka 1. točaka (c) i (e) utvrđuje se u:
(a) pravu Unije; ili
(b) pravu države članice kojem voditelj obrade podliježe.
Svrha obrade određuje se tom pravnom osnovom ili, u pogledu obrade iz stavka 1. točke (e), mora biti nužna za izvršavanje zadaće od javnog interesa ili izvršavanje službene ovlasti voditelja obrade. Ta pravna osnova može sadržavati posebne odredbe kako bi se prilagodila primjena pravila ove Uredbe, među ostalim opće uvjete kojima se uređuje zakonitost obrade od strane voditelja obrade, vrste podataka koji su predmet obrade, dotične ispitanike, subjekte kojima se osobni podaci mogu otkriti i svrhe u koje se podaci mogu otkriti, ograničavanje svrhe, razdoblje pohrane te aktivnosti obrade i postupke obrade, uključujući mjere za osiguravanje zakonite i poštene obrade, kao i za druge posebne situacije obrade kako je navedeno u poglavlju IX. Pravom Unije ili pravom države članice mora se ostvariti cilj od javnog interesa te ono mora biti razmjerno zakonitom cilju koji se želi postići.”
10 U članku 88. OUZP‑a, koji se nalazi u njegovu poglavlju IX., naslovljenom „Odredbe u vezi s posebnim situacijama obrade” i koji se odnosi na „[o]brad[u] podataka u kontekstu zaposlenja”, propisuje se:
„1. Države članice mogu zakonom ili kolektivnim ugovorima predvidjeti preciznija pravila s ciljem osiguravanja zaštite prava i sloboda u vezi s obradom osobnih podataka zaposlenikâ u kontekstu zaposlenja, osobito za potrebe zapošljavanja, izvršavanja ugovora o radu, što uključuje ispunjavanje zakonski propisanih obveza ili obveza propisanih kolektivnim ugovorima, za potrebe upravljanja, planiranja i organizacije rada, jednakosti i različitosti na radnome mjestu, zdravlja i sigurnosti na radu, zaštite imovine poslodavca ili klijenta i za potrebe ostvarenja i uživanja prava i koristi iz radnog odnosa, na individualnoj ili kolektivnoj osnovi, te za potrebe prestanka radnog odnosa.
2. Ta pravila uključuju prikladne i posebne mjere za zaštitu ljudskog dostojanstva ispitanika, njegovih legitimnih interesa i temeljnih prava, posebno u odnosu na transparentnost obrade, prijenos osobnih podataka unutar grupe poduzetnika ili grupe poduzeća koja se bave zajedničkom gospodarskom djelatnošću i sustavâ praćenja na radnom mjestu.
3. Svaka država članica priopćuje [Europskoj k]omisiji te odredbe svojih zakona koje je donijela u skladu sa stavkom 1. do 25. svibnja 2018. i bez odgađanja [svaku njihovu naknadnu izmjenu].”
Njemačko pravo
11 U članku 26. stavku 1. Bundesdatenschutzgesetza (Savezni zakon o zaštiti podataka) od 30. lipnja 2017. (BGBl. 2017. I, str. 2097.) određuje se:
„Osobni podaci zaposlenikâ mogu se obrađivati u svrhe radnog odnosa, ako je to potrebno za odluku o zasnivanju tog odnosa ili, nakon zasnivanja, za njegovu provedbu ili okončanje, odnosno za ostvarivanje ili ispunjavanje prava i obveza na osnovi predstavljanja interesa zaposlenikâ koji proizlaze iz zakona ili kolektivnog ugovora, sporazuma na razini poslodavca ili službe (kolektivni ugovor). […]”
12 U skladu s člankom 23. Hessisches Datenschutz- und Informationsfreiheitsgesetza (Zakon savezne zemlje Hessen o zaštiti podataka i slobodi informiranja) od 3. svibnja 2018. (u daljnjem tekstu: HDSIG):
„1. Osobni podaci zaposlenikâ mogu se obrađivati u svrhe radnog odnosa, ako je to potrebno za odluku o zasnivanju tog odnosa ili, nakon zasnivanja, za njegovu provedbu, okončanje ili uređenje njegova prestanka kao i za provedbu internih planskih, socijalnih i kadrovskih mjera. […]
2. Kada se osobni podaci zaposlenikâ obrađuju na temelju privole, valja osobito uzeti u obzir zaposlenikovu ovisnost u radnom odnosu kao i okolnosti u kojima je privola dana, kako bi se ocijenilo je li to učinjeno slobodno. Na to da je privola dana slobodno može upućivati, među ostalim, to što za zaposlenika postoji pravna ili ekonomska korist odnosno to što on i poslodavac imaju zajedničke interese. Privola se mora dati pisanim putem, osim ako posebne okolnosti zahtijevaju drukčiji oblik. Poslodavac je dužan zaposlenika pisano izvijestiti o svrsi obrade podataka i njegovu pravu na povlačenje privole, predviđenom u članku 7. stavku 3. [OUZP‑a].
3. Odstupajući od članka 9. stavka 1. [OUZP‑a], obrada koja se odnosi na posebne kategorije osobnih podataka u smislu te odredbe dopuštena je za potrebe radnog odnosa ako je to nužno za ostvarivanje prava ili ispunjavanje pravnih obveza iz radnog prava, prava socijalne sigurnosti i socijalne zaštite, a nema razloga smatrati da prevaguje legitimni interes ispitanika da se podaci ne obrađuju. Stavak 2. primjenjuje se i na privolu koja se daje za obradu posebnih kategorija osobnih podataka. U tom pogledu privola se mora izričito odnositi na te podatke. […]
4. Obrada osobnih podataka za potrebe radnog odnosa, uključujući posebne kategorije osobnih podataka zaposlenikâ, dopuštena je na temelju kolektivnih ugovora. Pritom strane koje sudjeluju u pregovorima moraju poštovati članak 88. stavak 2. [OUZP‑a].
5. Voditelj obrade mora poduzeti odgovarajuće mjere kako bi osigurao osobito poštovanje načela obrade osobnih podataka utvrđena u članku 5. [OUZP‑a].
[…]
7. Stavci 1. do 6. primjenjuju se i kad se osobni podaci zaposlenika – uključujući posebne kategorije tih podataka – obrađuju bez pohranjivanja ili namjere pohranjivanja. Odredbe Hessisches Beamtengesetza [(HBG) (Zakon savezne zemlje Hessen o javnim službenicima) od 21. lipnja 2018. (u daljnjem tekstu: HBG)] koje se primjenjuju na dosjee zaposlenikâ primjenjive su mutatis mutandis na radnike u javnom sektoru ako nije drukčije propisano kolektivnim ugovorom.
8. U smislu ovog zakona zaposlenici su:
1. radnici, uključujući ustupljene radnike u odnosu prema korisniku;
[…]
7. službenici na koje se primjenjuje [HBG], suci savezne zemlje Hessen i osobe koje obavljaju civilnu službu.
[…]”
13 U članku 86. stavku 4. HBG‑a određuje se:
„Poslodavac može prikupljati osobne podatke o kandidatima za posao, službenicima i bivšim službenicima samo ako je to potrebno za zasnivanje, provedbu, okončanje ili uređenje prestanka radnog odnosa ili za provedbu organizacijskih, kadrovskih i socijalnih mjera, osobito u svrhe kadrovskog planiranja i raspoređivanja, odnosno ako je to dopušteno zakonom ili sporazumom na razini službe. […]”
Glavni postupak i prethodna pitanja
14 Kao što to proizlazi iz spisa podnesenog Sudu, dvama aktima donesenima 2020. godine ministar obrazovanja i kulture savezne zemlje Hessen utvrdio je pravni i organizacijski okvir nastave u školama tijekom pandemije bolesti COVID-19. Među ostalim, u tom je kontekstu bilo predviđeno da se učenicima koji su oslobođeni od pohađanja nastave omogući da joj prisustvuju preko videokonferencijske veze. Kako bi se očuvala prava učenika u području zaštite osobnih podataka, bilo je utvrđeno da će se povezivanje s uslugom videokonferencijske veze omogućiti samo uz privolu samih učenika odnosno, u slučaju da su oni maloljetni, njihovih roditelja. Suprotno tomu, nije bila predviđena privola nastavnika o kojima je riječ za njihovo sudjelovanje u toj usluzi.
15 Glavno vijeće nastavnog osoblja pri Ministarstvu obrazovanja i kulture savezne zemlje Hessen podnijelo je tužbu Verwaltungsgerichtu Wiesbaden (Upravni sud u Wiesbadenu, Njemačka) zbog toga što prijenos nastave uživo preko videokonferencijske veze nije bio uvjetovan privolom nastavnika o kojima je riječ.
16 S druge strane, ministar obrazovanja i kulture savezne zemlje Hessen istaknuo je da je obrada osobnih podataka do koje dolazi prilikom prijenosa nastave uživo preko videokonferencijske veze obuhvaćena člankom 23. stavkom 1. prvom rečenicom HDSIG‑a, tako da se može izvršiti bez zahtijevanja privole nastavnika o kojemu je riječ.
17 Verwaltungsgericht Wiesbaden (Upravni sud u Wiesbadenu) naveo je u tom pogledu da, u skladu s voljom zakonodavca savezne zemlje Hessen, članak 23. HDSIG‑a i članak 86. HBG‑a pripadaju kategoriji „preciznijih pravila”, koja države članice mogu predvidjeti na temelju članka 88. stavka 1. OUZP‑a s ciljem osiguravanja zaštite prava i sloboda u vezi s obradom osobnih podataka zaposlenikâ u kontekstu zaposlenja. Međutim, taj sud dvoji o usklađenosti članka 23. stavka 1. prve rečenice HDSIG‑a i članka 86. stavka 4. HBG‑a sa zahtjevima postavljenima u članku 88. stavku 2. OUZP‑a.
18 Naime, kao prvo, prema navodima suda koji je uputio zahtjev, članak 23. stavak 1. prva rečenica HDSIG‑a i članak 86. stavak 4. HBG‑a temelje se na „nužnosti”, kao pravna osnova obrade podataka zaposlenikâ. Međutim, s jedne strane, unošenje načela „nužnosti” u zakon ne čini pravilo kojim se preciziraju zahtjevi sadržani u članku 88. stavku 2. OUZP‑a, s obzirom na to da je obrada podataka koja je nužna u kontekstu zaposlenja već uređena člankom 6. stavkom 1. prvim podstavkom točkom (b) OUZP‑a.
19 S druge strane, sud koji je uputio zahtjev ističe da primjena članka 23. stavka 1. prve rečenice HDSIG‑a nadilazi puki ugovorni odnos te se tiče svake obrade podataka zaposlenikâ. Iz članka 6. stavka 1. prvog podstavka točke (f) OUZP‑a proizlazi da u slučaju obrade osobnih podataka koja prelazi ono što je strogo nužno u okviru zaposlenja, valja odvagnuti slobode i temeljna prava ispitanikâ, u ovom slučaju zaposlenikâ i službenikâ, i legitimni interes voditelja obrade, u ovom slučaju poslodavca. Budući da se u članku 23. stavku 1. prvoj rečenici HDSIG‑a ne predviđa takvo odvagivanje, ta odredba ne može se smatrati posebnim sektorskim pravilom nakon stupanja na snagu OUZP‑a.
20 Kao drugo, Verwaltungsgericht Wiesbaden (Upravni sud u Wiesbadenu) smatra da puko upućivanje iz članka 23. stavka 5. HDSIG‑a, u skladu s kojim voditelj obrade mora poštovati, među ostalim, načela navedena u članku 5. OUZP‑a, ne udovoljava zahtjevima iz članka 88. stavka 2. te uredbe. Naime, u potonjoj se odredbi traži da se donesu u njoj spomenute prikladne i posebne mjere za zaštitu ljudskog dostojanstva ispitanika, njegovih legitimnih interesa i temeljnih prava, posebno u odnosu na transparentnost obrade, prijenos osobnih podataka unutar grupe poduzetnika ili grupe poduzeća koja se bave zajedničkom gospodarskom djelatnošću i sustavâ praćenja na radnom mjestu te nije riječ tek o još jednoj odredbi koju oni koji primjenjuju nacionalne norme moraju poštovati. Sud koji je uputio zahtjev smatra da potonji nisu adresati članka 88. stavka 2. OUZP‑a.
21 U tim je okolnostima Verwaltungsgericht Wiesbaden (Upravni sud u Wiesbadenu) odlučio prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:
„1. Treba li članak 88. stavak 1. [OUZP‑a] tumačiti na način da propis, da bi u smislu te odredbe bio preciznije pravilo s ciljem osiguravanja zaštite prava i sloboda u vezi s obradom osobnih podataka zaposlenikâ u kontekstu zaposlenja, mora ispunjavati uvjete koji su za takva pravila utvrđeni člankom 88. stavkom 2. [OUZP‑a]?
2. Može li se nacionalna odredba, ako očito ne ispunjava uvjete iz članka 88. stavka 2. [OUZP‑a], unatoč tomu i dalje primjenjivati?”
22 U dopisu koji je tajništvo Suda zaprimilo 30. studenoga 2021. Verwaltungsgericht Wiesbaden (Upravni sud u Wiesbadenu) obavijestio je Sud da je zbog izmjena nacionalnog zakonodavstva kojim se uređuje mjesna nadležnost upravnih sudova savezne zemlje Hessen, koje trebaju stupiti na snagu 1. prosinca 2021., glavni predmet ustupio Verwaltungsgerichtu Frankfurt am Main (Upravni sud u Frankfurtu na Majni, Njemačka). U dopisu koji je tajništvo Suda zaprimilo 21. veljače 2022. potonji je sud potvrdio to ustupanje i Sud obavijestio o novom broju koji je dodijeljen glavnom predmetu.
Dopuštenost zahtjeva za prethodnu odluku
23 U svojim pisanim očitovanjima njemačka vlada ističe da je zahtjev za prethodnu odluku nedopušten jer prethodna pitanja nisu relevantna za donošenje odluke u glavnom postupku. Naime, ta vlada smatra da odgovor Suda neće biti koristan sudu koji je uputio zahtjev u slučaju da se obrada podataka dopusti jer je nastavnik dao privolu. Sud koji je uputio zahtjev nije, prema navodima njemačke vlade, pojasnio zbog čega nije u obzir uzeo takvu mogućnost.
24 Međutim, nakon pitanja koje joj je u tom smislu postavljeno na raspravi pred Sudom njemačka je vlada prihvatila relevantnost prethodnih pitanja u slučaju u kojem nije moguće ishoditi privolu nastavnika.
25 U tom pogledu valja podsjetiti na to da, prema ustaljenoj sudskoj praksi, pitanja koja se tiču tumačenja prava Unije koja je uputio nacionalni sud u pravnom i činjeničnom okviru koji određuje pod svojom odgovornošću i za koji nije na Sudu da provjerava njegovu točnost uživaju presumpciju relevantnosti. Sud može odbiti odlučivati o zahtjevu za prethodnu odluku koji je uputio nacionalni sud samo ako je očito da zatraženo tumačenje prava Unije nema nikakve veze s činjeničnim stanjem ili predmetom spora u glavnom postupku, ako je problem hipotetski ili ako Sud ne raspolaže činjeničnim i pravnim elementima potrebnima da bi se mogao dati koristan odgovor na upućena pitanja (presuda od 1. kolovoza 2022., Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, t. 48. i navedena sudska praksa).
26 U predmetnom slučaju, iz odluke kojom se upućuje zahtjev za prethodnu odluku proizlazi da se stranke u glavnom postupku spore oko toga je li pri uvođenju prijenosa nastave uživo preko sustava videokonferencijske veze, osim privole roditelja za svoju djecu ili punoljetnih učenika, potrebna i privola nastavnika o kojima je riječ ili je, suprotno tomu, obrada osobnih podataka potonjih obuhvaćena člankom 23. stavkom 1. prvom rečenicom HDSIG‑a i člankom 86. stavkom 4. HBG‑a.
27 Valja istaknuti i to da je Verwaltungsgericht Wiesbaden (Upravni sud u Wiesbadenu) u svojem zahtjevu za prethodnu odluku naveo, s jedne strane, to da je nacionalni zakonodavac smatrao da članak 23. HDSIG‑a i članak 86. HBG‑a čine preciznija pravila u smislu članka 88. OUZP‑a i, s druge strane, to da ishod glavnog postupka ovisi o odgovoru na pitanje udovoljavaju li članak 23. stavak 1. prva rečenica HDSIG‑a i članak 86. stavak 4. HBG‑a zahtjevima iz navedenog članka 88. OUZP‑a, kako bi mogli činiti preciznija pravila koja se primjenjuju na obradu osobnih podataka nastavnika prilikom prijenosa nastave uživo preko sustava videokonferencijske veze o kojem je riječ u glavnom postupku.
28 S obzirom na te navode, sadržane u zahtjevu za prethodnu odluku, argumentacijom njemačke vlade nije moguće oboriti presumpciju relevantnosti postavljenih pitanja.
29 U tim okolnostima ne može se smatrati da zatraženo tumačenje odredbi prava Unije očito nema nikakve veze s činjeničnim stanjem ili predmetom spora u glavnom postupku odnosno da je problem hipotetski, s obzirom na to da sud koji je uputio zahtjev može uzeti u obzir to tumačenje kako bi donio odluku u glavnom postupku. Naposljetku, Sud raspolaže činjeničnim i pravnim elementima potrebnima za davanje korisnog odgovora na pitanja koja su mu upućena.
30 Stoga je zahtjev za prethodnu odluku dopušten.
O prethodnim pitanjima
Uvodna očitovanja
31 Prethodna pitanja odnose se na tumačenje članka 88. stavaka 1. i 2. OUZP‑a u okviru spora koji se tiče obrade osobnih podataka nastavnikâ kada se u javnim školama nastava, za čije su izvođenje oni odgovorni, prenosi uživo preko videokonferencijske veze.
32 Kao prvo, valja utvrditi je li takva obrada obuhvaćena materijalnim područjem primjene OUZP‑a, s obzirom na to da se navedena uredba, u skladu sa svojim člankom 2. stavkom 2. točkom (a), ne odnosi na obradu osobnih podataka „tijekom djelatnosti koja nije obuhvaćena [područjem primjene] prava Unije” i da su, u skladu s člankom 165. stavkom 1. UFEU‑a, države članice odgovorne za nastavni sadržaj i ustroj svojih obrazovnih sustava.
33 U tom pogledu, iz sudske prakse Suda proizlazi da je definicija materijalnog područja primjene OUZP‑a, koja je sadržana u njegovu članku 2. stavku 1., vrlo široka i da iznimke od tog područja primjene, koje su propisane u članku 2. stavku 2. te uredbe, treba usko tumačiti (vidjeti u tom smislu presude od 9. srpnja 2020., Land Hessen, C‑272/19, EU:C:2020:535, t. 68. i od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi), C‑439/19, EU:C:2021:504, t. 61. i 62.).
34 Nadalje, članak 2. stavak 2. točku (a) OUZP‑a treba tumačiti u vezi s njegovim člankom 2. stavkom 2. točkom (b) i njegovom uvodnom izjavom 16., u kojoj se navodi da se ta uredba ne primjenjuje na obrade osobnih podataka u kontekstu „djelatnost[i] koje ne ulaze u područje primjene prava Unije, kao što su djelatnosti u vezi s nacionalnom sigurnošću” te „djelatnosti povezan[e] sa zajedničkom vanjskom i sigurnosnom politikom Unije” (presuda od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi), C‑439/19, EU:C:2021:504, t. 63.).
35 Iz toga slijedi da se točke (a) i (b) članka 2. stavka 2. OUZP‑a – koje se dijelom nadovezuju na članak 3. stavak 2. prvu alineju Direktive 95/46 – ne mogu tumačiti kao da određuju šire područje primjene od izuzetka koji proizlazi iz članka 3. stavka 2. prve alineje Direktive 95/46, koji je iz područja primjene te direktive već isključivao, među ostalim, obradu osobnih podataka u okviru „aktivnosti koj[e] [su] izvan područja primjene prava Zajednice, kao što je predviđeno u glavama V. i VI. [UEU‑a u verziji prije Ugovora iz Lisabona] i u svakom slučaju postupke obrade koji se odnose na javnu sigurnost, obranu, nacionalnu sigurnost” (presuda od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi), C‑439/19, EU:C:2021:504, t. 64.).
36 U predmetnom slučaju nije sporno da se djelatnost organizacije nastave u saveznoj zemlji Hessen ne može uvrstiti u kategoriju aktivnosti čiji je cilj zaštita nacionalne sigurnosti, navedenih u članku 2. stavku 2. točki (a) OUZP‑a.
37 Prema tome, obrada osobnih podataka nastavnikâ poput one u glavnom postupku, kada se u javnim školama nastava koju oni izvode prenosi uživo preko videokonferencijske veze, ulazi u materijalno područje primjene OUZP‑a.
38 Kao drugo, iz zahtjeva za prethodnu odluku proizlazi to da su nastavnici obrada čijih osobnih podataka čini predmet glavnog postupka u javnoj službi savezne zemlje Hessen, i to u svojstvu zaposlenika ili službenika.
39 Stoga valja utvrditi ulazi li takva obrada osobnih podataka u područje primjene članka 88. OUZP‑a, koji se odnosi na „obradu osobnih podataka zaposlenikâ u kontekstu zaposlenja”.
40 U tom pogledu valja istaknuti da se u OUZP‑u ne definiraju pojmovi „zaposlenici” i „zaposlenje” niti se upućuje na pravo država članica radi njihova definiranja. Budući da nema takvog upućivanja, valja podsjetiti na to da, kao što to proizlazi iz zahtjeva kako ujednačene primjene prava Unije tako i načela jednakosti, pojmove iz odredbe prava Unije koja ne sadržava nikakvo izričito upućivanje na pravo država članica radi utvrđivanja svojeg smisla i dosega u pravilu treba autonomno i ujednačeno tumačiti u cijeloj Uniji (presuda od 2. lipnja 2022., HK/Danmark i HK/Privat, C‑587/20, EU:C:2022:419, t. 25. i navedena sudska praksa).
41 Nadalje, budući da u OUZP‑u nisu definirani pojmovi „zaposlenici” i „zaposlenje”, valja ih tumačiti u skladu s njihovim uobičajenim značenjem u svakodnevnom jeziku, a sve uzimajući u obzir kontekst u kojem se koriste i ciljeve kojima teži propis kojeg su dio (presuda od 2. lipnja 2022., HK/Danmark i HK/Privat, C‑587/20, EU:C:2022:419, t. 26. i navedena sudska praksa).
42 Pojam „zaposlenik” u svojem uobičajenom značenju označava osobu koja svoj posao obavlja u okviru odnosa podređenosti s poslodavcem i stoga pod njegovim nadzorom (presuda od 18. ožujka 2021., Kuoni Travel, C‑578/19, EU:C:2021:213, t. 42.).
43 Jednako tako, temeljno je obilježje „zaposlenja” okolnost da neka osoba tijekom određenog razdoblja u korist druge osobe i prema njezinim uputama obavlja poslove za koje u zamjenu prima plaću (presuda od 15. srpnja 2021., Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, t. 49.).
44 Budući da je takvo obilježje svojstveno zaposlenicima i zaposlenju i u javnom i u privatnom sektoru, valja zaključiti da pojmovi „zaposlenik” i „zaposlenje”, u skladu sa svojim uobičajenim značenjem, ne isključuju osobe koje svoju profesionalnu djelatnost obavljaju u javnom sektoru.
45 Naime, doseg članka 88. stavka 1. OUZP‑a ne može se utvrditi s obzirom na prirodu pravne veze između zaposlenika i poslodavca. Tako je irelevantno je li ispitanik angažiran u svojstvu zaposlenika ili službenika odnosno ulazi li njegov radni odnos u sferu javnog ili privatnog prava jer se te pravne kvalifikacije razlikuju od jednog do drugog nacionalnog zakonodavstva te ne mogu stoga predstavljati prikladno mjerilo za ujednačeno i autonomno tumačenje te odredbe (vidjeti po analogiji presude od 12. veljače 1974., Sotgiu, 152/73, EU:C:1974:13, t. 5. i od 3. lipnja 1986., Komisija/Francuska, 307/84, EU:C:1986:222, t. 11.).
46 Kada je riječ, konkretno, o osobama čiji se radni odnos ne temelji na ugovoru o radu, poput službenika, točno je da se u stavku 1. članka 88. OUZP‑a navodi „izvršavanje ugovora o radu”. Međutim, valja istaknuti, s jedne strane, da je riječ o samo jednoj od svrha obrade osobnih podataka u kontekstu zaposlenja, nabrojenih u članku 88. stavku 1. OUZP‑a, koje je moguće urediti preciznijim pravilima država članica i da, u svakom slučaju, to nabrajanje nije iscrpno, o čemu svjedoči činjenica da je u toj odredbi upotrijebljen prilog „osobito”.
47 S druge strane, irelevantnost kvalifikacije pravne veze između zaposlenika i uprave koja ga zapošljava potvrđuje činjenica da se upravljanje, planiranje i organizacija rada, jednakost i različitost na radnome mjestu, zdravlje i sigurnost na radu, zaštita imovine poslodavca ili klijenta, ostvarenje i uživanje prava i koristi iz radnog odnosa, na individualnoj ili kolektivnoj osnovi, kao i prestanak radnog odnosa, koji su također nabrojeni u tom članku 88. stavku 1. OUZP‑a, odnose na zaposlenje kako u privatnom tako i u javnom sektoru.
48 Posljedično, to što se u članku 88. stavku 1. OUZP‑a navodi „izvršavanje ugovora o radu” ne može poslužiti kao osnova za zaključak da je zapošljavanje u javnom sektoru, koje se ne temelji na tom ugovoru, isključeno iz područja primjene spomenute odredbe.
49 Isti se zaključak nameće kada je riječ o okolnosti da se u članku 88. stavku 2. OUZP‑a, među trima elementima kojima države članice trebaju pokloniti posebnu pozornost prilikom donošenja takvih „preciznijih pravila”, spominje prijenos osobnih podataka „unutar grupe poduzetnika ili grupe poduzeća koja se bave zajedničkom gospodarskom djelatnošću”. Naime, ostala dva elementa, to jest transparentnost obrade i sustavi praćenja na radnom mjestu, relevantna su za zapošljavanje kako u privatnom tako i u javnom sektoru, kakva god bila priroda pravne veze između zaposlenog i poslodavca.
50 Kontekst članka 88. OUZP‑a i cilj kojem teži ta uredba potvrđuju tumačenje proizišlo iz njegova teksta.
51 Kao što to proizlazi iz članka 1. stavka 1. OUZP‑a, u vezi s, među ostalim, njegovim uvodnim izjavama 9., 10. i 13., tom uredbom nastoji se osigurati usklađivanje nacionalnih zakonodavstava o zaštiti osobnih podataka koje je u načelu potpuno. Međutim, odredbe navedene uredbe omogućavaju državama članicama da predvide dodatna, stroža ili odstupajuća nacionalna pravila i ostavljaju im marginu prosudbe o načinu na koji se te odredbe mogu primijeniti („odstupajuće klauzule”) (vidjeti u tom smislu presudu od 28. travnja 2022., Meta Platforms Ireland, C‑319/20, EU:C:2022:322, t. 57.).
52 Članak 88. OUZP‑a, koji se nalazi u poglavlju IX. te uredbe, naslovljenom „Odredbe u vezi s posebnim situacijama obrade”, čini takvu „odstupajuću klauzulu” jer državama članicama omogućava donošenje „preciznijih pravila” s ciljem osiguravanja zaštite prava i sloboda u vezi s obradom osobnih podataka zaposlenikâ u kontekstu zaposlenja.
53 Posebnosti obrade osobnih podataka u kontekstu zaposlenja i, slijedom toga, mogućnost koja je člankom 88. stavkom 1. OUZP‑a dana državama članicama pojašnjavaju se, među ostalim, postojanjem odnosa podređenosti zaposlenika prema poslodavcu, a ne prirodom njihove pravne veze.
54 Nadalje, na temelju članka 1. stavka 2. OUZP‑a u vezi s njegovom uvodnom izjavom 10. cilj je te uredbe, među ostalim, zajamčiti visoku razinu zaštite temeljnih prava i sloboda pojedinaca u pogledu obrade osobnih podataka s obzirom na to da je to pravo priznato i u članku 8. Povelje Europske unije o temeljnim pravima i usko povezano s pravom na poštovanje privatnog života, koje je propisano njezinim člankom 7. (vidjeti u tom smislu presudu od 1. kolovoza 2022., Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, t. 61.).
55 U skladu je s tim ciljem široko tumačenje članka 88. stavka 1. OUZP‑a, prema kojem se „preciznija pravila” koja države članice mogu predvidjeti s ciljem osiguravanja zaštite prava i sloboda u vezi s obradom osobnih podataka zaposlenikâ u kontekstu zaposlenja odnose na sve zaposlenike, neovisno o prirodi njihove pravne veze s poslodavcem.
56 U tim okolnostima obrada osobnih podataka nastavnikâ poput one u glavnom postupku, kada se u javnim školama nastava koju oni izvode prenosi uživo preko videokonferencijske veze, ulazi u materijalno i osobno područje primjene članka 88. OUZP‑a.
Prvo pitanje
57 Svojim prvim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 88. OUZP‑a tumačiti na način da pravno pravilo mora ispunjavati uvjete utvrđene u stavku 2. tog članka da bi ga se moglo smatrati preciznijim pravilom u smislu njegova stavka 1.
58 Kao što je to istaknuto u točki 52. ove presude, države članice mogu, ali i ne moraju, donijeti takva pravila, pri čemu ona mogu biti sadržana u zakonu ili kolektivnim ugovorima.
59 Nadalje, kada države članice iskoriste mogućnost koja im je dana odstupajućom klauzulom OUZP‑a, one moraju koristiti svoju marginu prosudbe pod uvjetima i ograničenjima predviđenima odredbama te uredbe te stoga moraju donijeti zakone ne dovodeći u pitanje njezin sadržaj i ciljeve (vidjeti u tom smislu presudu od 28. travnja 2022., Meta Platforms Ireland, C‑319/20, EU:C:2022:322, t. 60.).
60 Kako bi se utvrdili uvjeti i ograničenja kojima podliježu pravila navedena u članku 88. stavcima 1. i 2. OUZP‑a i, slijedom toga, ocijenila margina prosudbe koju te odredbe ostavljaju državama članicama, valja podsjetiti na to da u skladu s ustaljenom sudskom praksom pri tumačenju odredbe prava Unije treba uzeti u obzir ne samo njezin tekst nego i kontekst u kojem se nalazi te ciljeve i svrhu akta kojeg je ona dio (presuda od 15. ožujka 2022., Autorité des marchés financiers, C‑302/20, EU:C:2022:190, t. 63.).
61 Kada je riječ o tekstu članka 88. stavka 1. OUZP‑a, iz upotrebe izraza „precizniji” prije svega proizlazi to da pravila navedena u toj odredbi moraju imati normativni sadržaj svojstven području koje se uređuje i različit od općih pravila sadržanih u toj uredbi.
62 Nadalje, kao što je to istaknuto u točki 52. ove presude, cilj pravila koja se donose na temelju te odredbe je zaštita prava i sloboda zaposlenikâ u vezi s obradom njihovih osobnih podataka u kontekstu zaposlenja.
63 Naposljetku, iz različitih svrha zbog kojih se mogu obrađivati osobni podaci, poput onih navedenih u članku 88. stavku 1. OUZP‑a, proizlazi to da se „preciznija pravila” na koja se ta odredba odnosi mogu ticati vrlo velikog broja obrada u vezi sa zaposlenjem tako da je moguće da one obuhvate sve svrhe kojima ta obrada može služiti u navedenom kontekstu. Osim toga, budući da navođenje tih svrha nije iscrpno, kao što je to istaknuto u točki 46. ove presude, države članice raspolažu marginom prosudbe u pogledu obrada koje na taj način podliježu tim preciznijim pravilima.
64 U članku 88. stavku 2. OUZP‑a propisuje se da pravila koja se donose na temelju stavka 1. tog članka uključuju prikladne i posebne mjere za zaštitu ljudskog dostojanstva ispitanika, njegovih legitimnih interesa i temeljnih prava, posebno u odnosu na transparentnost obrade, prijenos osobnih podataka unutar grupe poduzetnika ili grupe poduzeća koja se bave zajedničkom gospodarskom djelatnošću i sustavâ praćenja na radnom mjestu.
65 Tako iz teksta članka 88. OUZP‑a proizlazi da se njegovim stavkom 2. uređuje margina prosudbe država članica koje namjeravaju donijeti „preciznija pravila” na temelju stavka 1. navedenog članka. Na taj način, s jedne strane, ta se pravila ne mogu svesti na ponavljanje odredbi te uredbe te se moraju odnositi na zaštitu prava i sloboda zaposlenikâ u vezi s obradom njihovih osobnih podataka u kontekstu zaposlenja i sadržavati prikladne i posebne mjere za zaštitu ljudskog dostojanstva ispitanika, njegovih legitimnih interesa i temeljnih prava.
66 S druge strane, posebnu pozornost valja pridati transparentnosti obrade, prijenosu osobnih podataka unutar grupe poduzetnika ili grupe poduzeća koja se bave zajedničkom gospodarskom djelatnošću i sustavima praćenja na radnom mjestu.
67 Kada je riječ o kontekstu članka 88. OUZP‑a, valja istaknuti, kao prvo, da tu odredbu treba tumačiti u vezi s uvodnom izjavom 8. te uredbe, u kojoj se navodi da, ako se njome predviđaju specifikacije ili ograničenja njezinih pravila pravom države članice, potonje mogu, u mjeri u kojoj je to potrebno radi usklađenosti i kako bi nacionalne odredbe bile razumljive osobama na koje se primjenjuju, elemente navedene uredbe uključiti u svoje nacionalno pravo.
68 Kao drugo, valja podsjetiti na to da se u poglavljima II. i III. OUZP‑a navode, redom, načela kojima se uređuje obrada osobnih podataka kao i prava ispitanika koja se moraju poštovati kod svake obrade osobnih podataka (presuda od 24. veljače 2022., Valsts ieņēmumu dienests (Obrada osobnih podataka u porezne svrhe), C‑175/20, EU:C:2022:124, t. 50.).
69 Konkretno, svaka obrada osobnih podataka mora, s jedne strane, biti u skladu s načelima vezanima uz obradu podataka koja se navode u članku 5. OUZP‑a i, s druge strane, ispunjavati jedno od načela vezanih uz zakonitost obrade koja se navode u članku 6. te uredbe (presuda od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi), C‑439/19, EU:C:2021:504, t. 96. i navedena sudska praksa).
70 Kada je riječ o načelima vezanima uz zakonitost obrade, članak 6. OUZP‑a predviđa iscrpan i taksativan popis slučajeva u kojima se obrada osobnih podataka može smatrati zakonitom. Dakle, da bi se mogla smatrati zakonitom, obrada mora biti obuhvaćena jednim od slučajeva predviđenih u navedenom članku 6. (presuda od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi), C‑439/19, EU:C:2021:504, t. 99. i navedena sudska praksa).
71 Prema tome, iako prilikom korištenja mogućnošću koja im je dana odstupajućom klauzulom OUZP‑a države članice mogu elemente te uredbe uključiti u svoje nacionalno pravo, u mjeri u kojoj je to potrebno radi usklađenosti i kako bi nacionalne odredbe bile razumljive osobama na koje se primjenjuju, „preciznija pravila” koja se donose na temelju članka 88. stavka 1. navedene uredbe ne mogu se svesti na ponavljanje uvjeta zakonitosti i načelâ obrade osobnih podataka, navedenih u članku 6. odnosno članku 5. te uredbe ili na upućivanje na te uvjete i načela.
72 Tumačenje prema kojem je margina prosudbe država članica prilikom donošenja pravila na temelju članka 88. stavka 1. OUZP‑a ograničena stavkom 2. tog članka u skladu je s ciljem te uredbe, navedenim u točki 51. ove presude, a to je usklađivanje nacionalnih zakonodavstava o zaštiti osobnih podataka koje je u načelu potpuno.
73 Naime, kao što je to u biti istaknuo nezavisni odvjetnik u točkama 56., 70. i 73. svojeg mišljenja, mogućnost država članica da donesu „preciznija pravila” na temelju članka 88. stavka 1. OUZP‑a može dovesti do manjka usklađenosti u području primjene navedenih pravila. Uvjeti nametnuti člankom 88. stavkom 2. te uredbe odražavaju granice razlika prihvaćenih u navedenoj uredbi na način da se taj manjak usklađenosti može dopustiti samo ako su uz postojeće razlike pružena posebna i prikladna jamstva kojima se nastoje zaštititi prava i slobode zaposlenikâ u vezi s obradom njihovih osobnih podataka u kontekstu zaposlenja.
74 Slijedom navedenog, da bi se moglo smatrati „preciznijim pravilom” u smislu članka 88. stavka 1. OUZP‑a, pravno pravilo mora ispunjavati uvjete propisane u stavku 2. navedenog članka. Osim što moraju imati normativni sadržaj svojstven području koje se uređuje i različit od općih pravila sadržanih u toj uredbi, ta preciznija pravila moraju se odnositi na zaštitu prava i sloboda zaposlenikâ u vezi s obradom njihovih osobnih podataka u kontekstu zaposlenja i sadržavati prikladne i posebne mjere za zaštitu ljudskog dostojanstva ispitanika, njegovih legitimnih interesa i temeljnih prava. Posebnu pozornost valja pokloniti transparentnosti obrade, prijenosu osobnih podataka unutar grupe poduzetnika ili grupe poduzeća koja se bave zajedničkom gospodarskom djelatnošću i sustavima praćenja na radnom mjestu.
75 S obzirom na sve navedeno, na prvo pitanje valja odgovoriti tako da članak 88. OUZP‑a treba tumačiti na način da nacionalna odredba ne može činiti „preciznije pravilo” u smislu stavka 1. tog članka ako ne ispunjava uvjete utvrđene u njegovu stavku 2.
Drugo pitanje
76 Svojim drugim pitanjem sud koji je uputio zahtjev u biti pita kakav zaključak valja izvesti iz utvrđenja neusklađenosti s uvjetima i ograničenjima propisanima u članku 88. stavcima 1. i 2. OUZP‑a nacionalnih odredbi donesenih s ciljem osiguravanja zaštite prava i sloboda u vezi s obradom osobnih podataka zaposlenikâ u kontekstu zaposlenja.
77 U tom pogledu, valja podsjetiti na to da je, na temelju članka 288. drugog stavka UFEU‑a‚ uredba u cijelosti obvezujuća i da se izravno primjenjuje u svim državama članicama‚ tako da njezine odredbe u načelu ne zahtijevaju nikakvu provedbenu mjeru država članica (presuda od 15. lipnja 2021., Facebook Ireland i dr., C‑645/19, EU:C:2021:483, t. 109.).
78 Međutim, kao što je to navedeno u točki 51. ove presude, odstupajuće klauzule predviđene u OUZP‑u omogućavaju državama članicama da predvide dodatna, stroža ili odstupajuća nacionalna pravila i ostavljaju im marginu prosudbe o načinu na koji se predmetne odredbe mogu primijeniti.
79 Kao što je to istaknuto u točki 59. ove presude, kada države članice iskoriste mogućnost koja im je dana odstupajućom klauzulom OUZP‑a, one moraju koristiti svoju marginu prosudbe pod uvjetima i ograničenjima predviđenima odredbama te uredbe te stoga moraju donijeti zakone ne dovodeći u pitanje njezin sadržaj i ciljeve.
80 Na sudu je koji je uputio zahtjev, koji je jedini nadležan za tumačenje nacionalnog prava, da ocijeni poštuju li se odredbama o kojima je riječ u glavnom postupku uvjeti i ograničenja propisani u članku 88. OUZP‑a, kako su sažeti u točki 74. ove presude.
81 Međutim, kao što je to nezavisni odvjetnik istaknuo u točkama 60. do 62. svojeg mišljenja, čini se da se odredbama poput članka 23. stavka 1. HDSIG‑a i članka 86. stavka 4. HBG‑a – kojima se obrada osobnih podataka zaposlenikâ uvjetuje time da je nužna za određene svrhe povezane s izvršenjem obveza iz radnog odnosa – ponavlja uvjet opće zakonitosti obrade koji je već naveden u članku 6. stavku 1. prvom podstavku točki (b) OUZP‑a, bez dodavanja preciznijeg pravila u smislu članka 88. stavka 1. te uredbe. Doista se čini da takve odredbe nemaju normativni sadržaj svojstven području koje se uređuje i različit od općih pravila sadržanih u spomenutoj uredbi.
82 Ako sud koji je uputio zahtjev utvrdi da se odredbama o kojima je riječ u glavnom postupku ne poštuju uvjeti i ograničenja propisani u članku 88. OUZP‑a, u načelu je dužan navedene odredbe izuzeti iz primjene.
83 Naime, na temelju načela nadređenosti prava Unije, odredbe Ugovora i izravno primjenjivih akata institucija, samom činjenicom stupanja na snagu, imaju takav učinak u odnosu na nacionalno pravo država članica da čine automatski neprimjenjivom svaku suprotnu im odredbu nacionalnog zakonodavstva (presude od 9. ožujka 1978., Simmenthal, 106/77, EU:C:1978:49, t. 17.; od 19. lipnja 1990., Factortame i dr., C‑213/89, EU:C:1990:257, t. 18. i od 4. veljače 2016., Ince, C‑336/14, EU:C:2016:72, t. 52.).
84 Prema tome, ako ne postoje preciznija pravila kojima se poštuju uvjeti i ograničenja propisani u članku 88. OUZP‑a, obrada osobnih podataka u kontekstu zaposlenja, kako u privatnom tako i u javnom sektoru, izravno podliježe odredbama te uredbe.
85 U tom pogledu valja istaknuti da se na obradu osobnih podataka poput one o kojoj je riječ u glavnom postupku mogu primijeniti točke (c) i (e) članka 6. stavka 1. prvog podstavka OUZP‑a, na temelju kojih je obrada osobnih podataka zakonita ako je nužna radi poštovanja pravnih obveza voditelja obrade odnosno za izvršavanje zadaće od javnog interesa ili pri obavljanju službene ovlasti dodijeljene voditelju obrade.
86 U članku 6. stavku 3. OUZP‑a navodi se, s jedne strane, u odnosu na dva slučaja zakonitosti navedena u točkama (c) i (e) članka 6. stavka 1. prvog podstavka te uredbe, da se obrada mora temeljiti na pravu Unije ili pravu države članice kojem voditelj obrade podliježe i dodaje, s druge strane, da se svrhe obrade određuju tom pravnom osnovom odnosno, u pogledu obrade iz stavka 1. prvog podstavka točke (e), da moraju biti nužne za izvršavanje zadaće od javnog interesa ili izvršavanje službene ovlasti voditelja obrade (vidjeti u tom smislu presudu od 8. prosinca 2022., Inspektor v Inspektorata kam Visshia sadeben savet (Svrhe obrade osobnih podataka – Kaznena istraga), C‑180/21, EU:C:2022:967, t. 95.).
87 Valja podsjetiti na to da je Sud već ocijenio da zakonita obrada osobnih podataka koju provode voditelji obrade na temelju članka 6. stavka 1. prvog podstavka točke (e) OUZP‑a pretpostavlja da se može smatrati da oni izvršavaju zadaću od javnog interesa, ali i da se obrada osobnih podataka u svrhu izvršenja takve zadaće temelji na pravnoj osnovi iz članka 6. stavka 3. te uredbe (vidjeti u tom smislu presudu od 20. listopada 2022., Koalitsia „Demokratichna Bulgaria – Obedinenie”, C‑306/21, EU:C:2022:813, t. 52.).
88 Posljedično, kada sud koji je uputio zahtjev utvrdi da se nacionalnim odredbama koje se odnose na obradu osobnih podataka u kontekstu zaposlenja ne poštuju uvjeti i ograničenja propisani u članku 88. stavcima 1. i 2. OUZP‑a, on još mora provjeriti čine li navedene odredbe pravnu osnovu iz članka 6. stavka 3. te uredbe u vezi s njezinom uvodnom izjavom 45., usklađenu s u njoj utvrđenim zahtjevima. Ako je to slučaj, nacionalne odredbe ne treba izuzimati iz primjene.
89 S obzirom na navedeno, na drugo prethodno pitanje valja odgovoriti tako da članak 88. stavke 1. i 2. OUZP‑a treba tumačiti na način da nacionalne odredbe kojima se osigurava zaštita prava i sloboda zaposlenika u vezi s obradom njihovih osobnih podataka u kontekstu zaposlenja valja izuzeti iz primjene ako ne poštuju uvjete i ograničenja koji su propisani u tom članku 88. stavcima 1. i 2., osim ako navedene odredbe čine pravnu osnovu iz članka 6. stavka 3. te uredbe, usklađenu sa zahtjevima utvrđenima u njoj.
Troškovi
90 Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.
Slijedom navedenog, Sud (prvo vijeće) odlučuje:
1. Članak 88. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka)
treba tumačiti na način da:
nacionalna odredba ne može činiti „preciznije pravilo” u smislu stavka 1. tog članka ako ne ispunjava uvjete utvrđene u njegovu stavku 2.
2. Članak 88. stavke 1. i 2. Uredbe 2016/679
treba tumačiti na način da:
nacionalne odredbe kojima se osigurava zaštita prava i sloboda zaposlenika u vezi s obradom njihovih osobnih podataka u kontekstu zaposlenja valja izuzeti iz primjene ako ne poštuju uvjete i ograničenja koji su propisani u tom članku 88. stavcima 1. i 2., osim ako navedene odredbe čine pravnu osnovu iz članka 6. stavka 3. te uredbe, usklađenu sa zahtjevima utvrđenima u njoj.
Potpisi