TEISINGUMO TEISMO (pirmoji kolegija) SPRENDIMAS
2023 m. kovo 30 d.(*)
„Prašymas priimti prejudicinį sprendimą – Asmens duomenų apsauga – Reglamentas (ES) 2016/679 – 88 straipsnio 1 ir 2 dalys – Duomenų tvarkymas su darbo santykiais susijusiame kontekste – Regioninė mokyklų sistema – Mokymas per vaizdo konferenciją dėl COVID‑19 pandemijos – Vykdymas be aiškaus mokytojų sutikimo“
Byloje C‑34/21
dėl Verwaltungsgericht Wiesbaden (Vysbadeno administracinis teismas, Vokietija) 2020 m. gruodžio 20 d. sprendimu, kurį Teisingumo Teismas gavo 2021 m. sausio 20 d., pagal SESV 267 straipsnį pateikto prašymo priimti prejudicinį sprendimą byloje
Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium
prieš
Minister des Hessischen Kultusministeriums
TEISINGUMO TEISMAS (pirmoji kolegija),
kurį sudaro kolegijos pirmininkas A. Arabadjiev, pirmosios kolegijos teisėjų pareigas einantys Teisingumo Teismo pirmininkas K. Lenaerts ir Teisingumo Teismo pirmininko pavaduotojas L. Bay Larsen, teisėjai A. Kumin ir I. Ziemele (pranešėja),
generalinis advokatas M. Campos Sánchez-Bordona,
posėdžio sekretorė S. Beer, administratorė,
atsižvelgęs į rašytinę proceso dalį ir įvykus 2022 m. birželio 30 d. posėdžiui,
išnagrinėjęs pastabas, pateiktas:
– Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium, atstovaujamo Rechtsanwalt J. Kolter,
– Minister des Hessischen Kultusministeriums, atstovaujamo C. Meinert,
– Vokietijos vyriausybės, atstovaujamos J. Möller ir D. Klebs,
– Austrijos vyriausybės, atstovaujamos G. Kunnert ir J. Schmoll,
– Rumunijos vyriausybės, atstovaujamos E. Gane ir A. Wellman,
– Europos Komisijos, atstovaujamos F. Erlbacher, H. Kranenborg ir D. Nardi,
susipažinęs su 2022 m. rugsėjo 22 d. posėdyje pateikta generalinio advokato išvada,
priima šį
Sprendimą
1 Prašymas priimti prejudicinį sprendimą pateiktas dėl 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas; toliau – BDAR) (OL L 119, 2016, p. 1; klaidų ištaisymai OL L 127, 2018, p. 2 ir OL L 74, 2021, p. 35) 88 straipsnio 1 ir 2 dalių išaiškinimo.
2 Šis prašymas pateiktas nagrinėjant Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium (Pagrindinis Heseno federalinės žemės Švietimo ir kultūros ministerijos mokytojų komitetas, Vokietija) ir Minister des Hessischen Kultusministeriums (Heseno federalinės žemės švietimo ir kultūros ministras) ginčą dėl tiesioginio pamokų transliavimo per vaizdo konferenciją Heseno federalinės žemės mokyklose sistemos, pagal kurią nenumatytas išankstinis atitinkamų mokytojų sutikimas, teisėtumo.
Teisinis pagrindas
Sąjungos teisė
Direktyva 95/46/EB
3 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyva 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (OL L 281, 1995, p. 31; 2004 m. specialusis leidimas lietuvių k., 13 sk., 15 t., p. 355) nuo 2018 m. gegužės 25 d. buvo panaikinta BDAR. Šios direktyvos 3 straipsnyje „Taikymo sritis“ buvo numatyta:
„1. Ši direktyva taikoma automatiniais būdais tvarkant asmens duomenis ištisai arba dalimis ir neautomatiniais būdais tvarkant asmens duomenis, kai tie duomenys sudaro arba yra skirti sudaryti rinkmenų sistemos dalį.
2. Ši direktyva netaikoma tvarkant asmens duomenis:
– kai yra užsiimama tokia veikla, kuri nepatenka į Bendrijos teisės taikymo sritį, kaip antai veikla, kuri numatyta [iki Lisabonos sutarties galiojusios redakcijos ESS] V ir VI dalyse, taip pat kai atliekamos tvarkymo operacijos, susijusios su visuomenės saugumu, gynyba, valstybės saugumu (taip pat ir valstybės ekonomine gerove, kai tvarkymo operacija susijusi su valstybės saugumo klausimais) ir su valstybės veiksmais baudžiamosios teisės srityje,
<…>“
BDAR
4 BDAR 8–10 13, 16, 45 ir 155 konstatuojamosiose dalyse nurodyta:
„(8) kai šiuo reglamentu numatoma galimybė valstybės narės teisėje konkrečiau apibrėžti reglamento taisykles ar numatyti jų apribojimus, valstybės narės, kiek tai būtina suderinamumui užtikrinti ir siekiant, kad nacionalinės nuostatos būtų suprantamos asmenims, kuriems jos taikomos, gali į savo nacionalinę teisę įtraukti šio reglamento elementus;
(9) Direktyvos [95/46] ir principai tebėra pagrįsti, tačiau ji neužkirto kelio suskaidytam duomenų apsaugos įgyvendinimui [Europos] Sąjungoje, teisiniam netikrumui ar plačiai paplitusiai viešajai nuomonei, kad fizinių asmenų apsaugai kyla didelių pavojų, visų pirma dėl veiklos internete. Dėl skirtingo fizinių asmenų teisių ir laisvių, visų pirma teisės į asmens duomenų apsaugą tvarkant asmens duomenis, apsaugos lygio valstybėse narėse gali būti trikdomas laisvas asmens duomenų judėjimas Sąjungoje. Todėl tokie skirtumai gali kliudyti užsiimti ekonomine veikla Sąjungos lygmeniu, iškreipti konkurenciją ir trukdyti valdžios institucijoms vykdyti savo pareigas pagal Sąjungos teisę. Tokią skirtingo lygio apsaugą lemia nevienodas Direktyvos [95/46] įgyvendinimas ir taikymas;
(10) siekiant užtikrinti vienodo ir aukšto lygio fizinių asmenų apsaugą ir pašalinti asmens duomenų judėjimo Sąjungoje kliūtis, visose valstybėse narėse turėtų būti užtikrinama lygiavertė asmenų teisių ir laisvių apsauga tvarkant tokius duomenis. Visoje Sąjungoje turėtų būti užtikrintas nuoseklus ir vienodas taisyklių, kuriomis reglamentuojama fizinių asmenų pagrindinių teisių ir laisvių apsauga tvarkant asmens duomenis, taikymas. Kalbant apie asmens duomenų tvarkymą siekiant laikytis teisinės prievolės, užduoties, vykdomos dėl viešojo intereso arba vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas, atlikimui valstybėms narėms turėtų būti leidžiama išlaikyti arba nustatyti nacionalines nuostatas, kuriomis konkrečiau apibrėžiamas šiame reglamente nustatytų taisyklių taikymas. Kartu su bendraisiais ir horizontaliaisiais teisės aktais dėl duomenų apsaugos, kuriais įgyvendinama Direktyva [95/46], valstybės narės turi keletą konkretiems sektoriams skirtų teisės aktų srityse, kuriose reikia konkretesnių nuostatų. Šiuo reglamentu valstybėms narėms taip pat suteikiama tam tikra veiksmų laisvė nustatyti savo taisykles, be kita ko, dėl specialių kategorijų asmens duomenų (neskelbtini [jautrūs] duomenys) tvarkymo. Todėl šiuo reglamentu neužkertamas kelias taikyti valstybės narės teisę, kurioje nustatomos konkrečių duomenų tvarkymo atvejų aplinkybės, be kita ko, tiksliau apibrėžiant sąlygas, kuriomis duomenų tvarkymas yra teisėtas.
<…>
(13) siekiant užtikrinti vienodo lygio fizinių asmenų apsaugą visoje Sąjungoje ir neleisti atsirasti skirtumams, kurie kliudo laisvam asmens duomenų judėjimui vidaus rinkoje, reikia priimti reglamentą, kuriuo būtų užtikrintas teisinis tikrumas ir skaidrumas ekonominės veiklos vykdytojams, <…>, kuriuo fiziniams asmenims visose valstybėse narėse būtų užtikrintos vienodo lygio teisiškai įgyvendinamos teisės, o duomenų valdytojams ir duomenų tvarkytojams būtų nustatytos vienodo lygio prievolės bei atsakomybė, ir kuriuo būtų užtikrinta nuosekli asmens duomenų tvarkymo stebėsena ir lygiavertės sankcijos visose valstybėse narėse, taip pat veiksmingas skirtingų valstybių narių priežiūros institucijų bendradarbiavimas. Tam, kad vidaus rinka veiktų tinkamai, reikia užtikrinti, kad laisvas asmens duomenų judėjimas Sąjungoje nebūtų ribojamas ar draudžiamas dėl priežasčių, susijusių su fizinių asmenų apsauga tvarkant asmens duomenis. <…>
<…>
(16) šis reglamentas netaikomas <…> pagrindinių teisių ir laisvių apsaugai ar laisvo duomenų, susijusių su Sąjungos teisės nereglamentuojama veikla, pavyzdžiui, su nacionaliniu saugumu susijusia veikla, judėjimo klausimams. Šis reglamentas netaikomas asmens duomenų tvarkymui, kai asmens duomenis tvarko valstybės narės, vykdydamos su Sąjungos bendra užsienio ir saugumo politika susijusią veiklą.
<…>
(45) kai duomenų valdytojas duomenis tvarko vykdydamas jam tenkančią teisinę prievolę arba kai duomenis būtina tvarkyti siekiant atlikti užduotį, vykdomą dėl viešojo intereso arba vykdant viešosios valdžios funkcijas, duomenų tvarkymo pagrindas turėtų būti įtvirtintas Sąjungos arba valstybės narės teisėje. Šiuo reglamentu nereikalaujama kiekvienu atskiru duomenų tvarkymo atveju specialaus teisės [akto.] Kelioms duomenų tvarkymo operacijoms gali užtekti vieno teisės akto, kai duomenų valdytojas duomenis tvarko vykdydamas jam tenkančią teisinę prievolę arba kai duomenis būtina tvarkyti siekiant atlikti užduotį, vykdomą dėl viešojo intereso arba vykdant viešosios valdžios funkcijas. Be to, Sąjungos ar valstybės narės teisėje turėtų būti nustatytas asmens duomenų tvarkymo tikslas. Be to, šiame pagrinde galėtų būti nurodytos bendrosios šio reglamento sąlygos, kuriomis reglamentuojamas asmens duomenų tvarkymo teisėtumas, nustatytos asmens duomenų valdytojo, tvarkytinų asmens duomenų rūšies, atitinkamų duomenų subjektų, subjektų, kuriems asmens duomenys gali būti atskleisti, tikslų apribojimų, saugojimo laikotarpio ir kitų priemonių, kuriomis užtikrinamas teisėtas ir sąžiningas duomenų tvarkymas, specifikacijos. <…>
<…>
(155) valstybės narės teisėje ar kolektyvinėse sutartyse, įskaitant darbo sutartis [„įmonės lygmens sutartis“], gali būti numatytos specialios taisyklės, kuriomis reglamentuojamas darbuotojų asmens duomenų tvarkymas su darbo santykiais susijusiame kontekste, visų pirma sąlygos, kuriomis asmens duomenys su darbo santykiais susijusiame kontekste gali būti tvarkomi remiantis darbuotojo sutikimu, siekiant įdarbinti, vykdyti darbo sutartį, įskaitant teisės aktais arba kolektyvinėmis sutartimis nustatytų prievolių vykdymą, darbo administravimą, planavimą ir organizavimą, lygybę ir įvairovę darbo vietoje, darbuotojų saugą ir sveikatą, taip pat siekiant naudotis su darbo santykiais susijusiomis individualiomis ir kolektyvinėmis teisėmis ir išmokomis, taip pat siekiant nutraukti darbo santykius.“
5 BDAR 1 straipsnyje „Dalykas ir tikslai“ nustatyta:
„1. Šiuo reglamentu nustatomos taisyklės, susijusios su fizinių asmenų apsauga tvarkant jų asmens duomenis, ir taisyklės, susijusios su laisvu asmens duomenų judėjimu.
2. Šiuo reglamentu saugomos fizinių asmenų pagrindinės teisės ir laisvės, visų pirma jų teisė į asmens duomenų apsaugą.
3. Laisvas asmens duomenų judėjimas Sąjungoje nėra nei ribojamas, nei draudžiamas dėl su fizinių asmenų apsauga tvarkant jų asmens duomenis susijusių priežasčių.“
6 Šio reglamento 2 straipsnio „Materialinė taikymo sritis“ 1 ir 2 dalyse numatyta:
„1. Šis reglamentas taikomas asmens duomenų tvarkymui, visiškai arba iš dalies atliekamam automatizuotomis priemonėmis, ir asmens duomenų, kurie sudaro susisteminto rinkinio dalį ar yra skirti ją sudaryti, tvarkymui ne automatizuotomis priemonėmis.
2. Šis reglamentas netaikomas asmens duomenų tvarkymui, kai:
a) duomenys tvarkomi vykdant veiklą, kuriai Sąjungos teisė netaikoma;
b) duomenis tvarko valstybės narės, vykdydamos veiklą, kuriai taikomas ES sutarties V antraštinės dalies 2 skyrius;
c) duomenis tvarko fizinis asmuo, užsiimdamas išimtinai asmenine ar namų ūkio veikla;
d) duomenis tvarko kompetentingos valdžios institucijos nusikalstamų veikų prevencijos, tyrimo, nustatymo ar patraukimo baudžiamojon atsakomybėn už jas, baudžiamųjų sankcijų vykdymo, įskaitant apsaugą nuo grėsmių visuomenės saugumui ir jų prevenciją, tikslais.“
7 Šio reglamento 4 straipsnyje „Apibrėžtys“ nurodyta:
„Šiame reglamente:
1) asmens duomenys – bet kokia informacija apie fizinį asmenį, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti (duomenų subjektas); fizinis asmuo, kurio tapatybę galima nustatyti, yra asmuo, kurio tapatybę tiesiogiai arba netiesiogiai galima nustatyti, visų pirma pagal identifikatorių, kaip antai vardą ir pavardę, asmens identifikavimo numerį, buvimo vietos duomenis ir interneto identifikatorių arba pagal vieną ar kelis to fizinio asmens fizinės, fiziologinės, genetinės, psichinės, ekonominės, kultūrinės ar socialinės tapatybės požymius;
2) duomenų tvarkymas bet kokia automatizuotomis arba neautomatizuotomis priemonėmis su asmens duomenimis ar asmens duomenų rinkiniais atliekama operacija ar operacijų seka, kaip antai rinkimas, įrašymas, rūšiavimas, sisteminimas, saugojimas, adaptavimas ar keitimas, išgava, susipažinimas, naudojimas, atskleidimas persiunčiant, platinant ar kitu būdu sudarant galimybę jais naudotis, taip pat sugretinimas ar sujungimas su kitais duomenimis, apribojimas, ištrynimas arba sunaikinimas;
<…>“
8 BDAR 5 straipsnyje „Su asmens duomenų tvarkymu susiję principai“ numatyta:
„1. Asmens duomenys turi būti:
a) duomenų subjekto atžvilgiu tvarkomi teisėtu, sąžiningu ir skaidriu būdu (teisėtumo, sąžiningumo ir skaidrumo principas);
b) renkami nustatytais, aiškiai apibrėžtais bei teisėtais tikslais ir toliau netvarkomi su tais tikslais nesuderinamu būdu; tolesnis duomenų tvarkymas archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais pagal 89 straipsnio 1 dalį nėra laikomas nesuderinamu su pirminiais tikslais (tikslo apribojimo principas);
c) adekvatūs, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie tvarkomi (duomenų kiekio mažinimo principas);
d) tikslūs ir prireikus atnaujinami; turi būti imamasi visų pagrįstų priemonių užtikrinti, kad asmens duomenys, kurie nėra tikslūs, atsižvelgiant į jų tvarkymo tikslus, būtų nedelsiant ištrinami arba ištaisomi (tikslumo principas);
e) laikomi tokia forma, kad duomenų subjektų tapatybę būtų galima nustatyti ne ilgiau, nei tai yra būtina tais tikslais, kuriais asmens duomenys yra tvarkomi; asmens duomenis galima saugoti ilgesnius laikotarpius, jeigu asmens duomenys bus tvarkomi tik archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais pagal 89 straipsnio 1 dalį, įgyvendinus atitinkamas technines ir organizacines priemones, kurių reikalaujama šiuo reglamentu siekiant apsaugoti duomenų subjekto teises ir laisves (saugojimo trukmės apribojimo principas);
f) tvarkomi tokiu būdu, kad taikant atitinkamas technines ar organizacines priemones būtų užtikrintas tinkamas asmens duomenų saugumas, įskaitant apsaugą nuo duomenų tvarkymo be leidimo arba neteisėto duomenų tvarkymo ir nuo netyčinio praradimo, sunaikinimo ar sugadinimo (vientisumo ir konfidencialumo principas).
2. Duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi 1 dalies, ir turi sugebėti įrodyti, kad jos laikomasi (atskaitomybės principas).“
9 Minėto reglamento 6 straipsnio „Tvarkymo teisėtumas“ 1–3 dalyse numatyta:
„1. Duomenų tvarkymas yra teisėtas tik tuo atveju, jeigu taikoma bent viena iš šių sąlygų, ir tik tokiu mastu, kokiu ji yra taikoma:
a) duomenų subjektas davė sutikimą, kad jo asmens duomenys būtų tvarkomi vienu ar keliais konkrečiais tikslais;
b) tvarkyti duomenis būtina siekiant įvykdyti sutartį, kurios šalis yra duomenų subjektas, arba siekiant imtis veiksmų duomenų subjekto prašymu prieš sudarant sutartį;
c) tvarkyti duomenis būtina, kad būtų įvykdyta duomenų valdytojui taikoma teisinė prievolė;
<…>
e) tvarkyti duomenis būtina siekiant atlikti užduotį, vykdomą viešojo intereso labui arba vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas;
f) tvarkyti duomenis būtina siekiant teisėtų duomenų valdytojo arba trečiosios šalies interesų, išskyrus atvejus, kai tokie duomenų subjekto interesai arba pagrindinės teisės ir laisvės, dėl kurių būtina užtikrinti asmens duomenų apsaugą, yra už juos viršesni, ypač kai duomenų subjektas yra vaikas.
Pirmos pastraipos f punktas netaikomas duomenų tvarkymui, kurį valdžios institucijos atlieka vykdydamos savo užduotis.
2. Valstybės narės gali toliau taikyti arba nustatyti konkretesnes nuostatas šio reglamento taisyklių taikymui pritaikyti, kiek tai susiję su duomenų tvarkymu, kad būtų laikomasi 1 dalies c ir e punktų, tiksliau nustatydamos konkrečius duomenų tvarkymui keliamus reikalavimus ir kitas teisėto ir sąžiningo duomenų tvarkymo užtikrinimo priemones, įskaitant kitais specialiais IX skyriuje numatytais duomenų tvarkymo atvejais.
3. 1 dalies c ir e punktuose nurodytas duomenų tvarkymo pagrindas nustatomas:
a) Sąjungos teisėje; arba
b) duomenų valdytojui taikomoje valstybės narės teisėje.
Duomenų tvarkymo tikslas nustatomas tame teisiniame pagrinde arba, 1 dalies e punkte nurodyto duomenų tvarkymo atveju, yra būtinas, siekiant atlikti užduotį, vykdomą viešojo intereso labui arba vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas. Tame teisiniame pagrinde galėtų būti išdėstytos konkrečios nuostatos pagal šį reglamentą taikomų taisyklių pritaikymui, įskaitant bendrąsias sąlygas, reglamentuojančias duomenų valdytojo atliekamo duomenų tvarkymo teisėtumą, tvarkytinų duomenų rūšis, atitinkamus duomenų subjektus, subjektus, kuriems asmens duomenys gali būti atskleisti ir tikslus, dėl kurių asmens duomenys gali būti atskleisti, tikslo apribojimo principą, saugojimo laikotarpius ir duomenų tvarkymo operacijas bei duomenų tvarkymo procedūras, įskaitant priemones, kuriomis būtų užtikrintas teisėtas ir sąžiningas duomenų tvarkymas, kaip antai tas, kurios skirtos kitiems specialiems IX skyriuje numatytiems duomenų tvarkymo atvejams. Sąjungos arba valstybės narės teisė atitinka viešojo intereso tikslą ir yra proporcinga teisėtam tikslui, kurio siekiama.“
10 BDAR IX skyriuje „Nuostatos, susijusios su konkrečiais duomenų tvarkymo atvejais“ esančiame 88 straipsnyje, kuriame aptartas „[d]uomenų tvarkymas su darbo santykiais susijusiame“, numatyta:
„1. Valstybės narės gali teisėje ar kolektyvinėse sutartyse numatyti konkretesnes taisykles, kuriomis siekiama užtikrinti teisių ir laisvių apsaugą tvarkant darbuotojų asmens duomenis su darbo santykiais susijusiame kontekste, visų pirma juos įdarbinant, vykdant darbo sutartį, įskaitant teisės aktais arba kolektyvinėmis sutartimis nustatytų prievolių vykdymą, užtikrinant darbo administravimą, planavimą ir organizavimą, lygybę ir įvairovę darbo vietoje, darbuotojų saugą ir sveikatą, darbdavio ar kliento turto apsaugą, taip pat siekiant pasinaudoti su darbo santykiais susijusiomis individualiomis ir kolektyvinėmis teisėmis ir išmokomis, taip pat siekiant nutraukti darbo santykius.
2. Tos taisyklės apima tinkamas ir konkrečias priemones, kuriomis siekiama apsaugoti duomenų subjekto žmogiškąjį orumą, teisėtus interesus ir pagrindines teises, ypatingą dėmesį skiriant duomenų tvarkymo skaidrumui, asmens duomenų perdavimui įmonių grupėje arba bendrą ekonominę veiklą vykdančių įmonių grupėje ir stebėsenos sistemoms darbo vietoje.
3. Kiekviena valstybė narė ne vėliau kaip 2018 m. gegužės 25 d. praneša [Europos] Komisijai [apie] tas savo teisės aktų nuostatas, kurias ji priima pagal 1 dalį, ir nedelsdama praneša [apie] vėlesnius su tomis nuostatomis susijusius pakeitimus.“
Vokietijos teisė
11 2017 m. birželio 30 d. Bundesdatenschutzgesetz (Federalinis duomenų apsaugos įstatymas, BGBl. 2017 I, p. 2097) 26 straipsnio 1 dalyje nustatyta:
„Darbuotojų asmens duomenys gali būti tvarkomi darbo santykių tikslais, jei tai būtina priimant sprendimą dėl darbo santykių nustatymo arba, nustačius darbo santykius, dėl šių santykių įgyvendinimo ar nutraukimo arba įgyvendinant teises ar vykdant pareigas, atitinkamai susijusias su darbuotojų interesų atstovavimu, kurios kyla pagal teisės aktus ar kolektyvinio darbo santykių reguliavimo priemonę, įmonės ar darbovietės lygmens sutartis (kolektyvinė sutartis). <…>“
12 2018 m. gegužės 3 d. Hessisches Datenschutz- und Informationsfreiheitsgesetz (Heseno federalinės žemės duomenų apsaugos ir informacijos laisvės įstatymas; toliau – HDSIG) 23 straipsnyje nustatyta:
„1. Darbuotojų asmens duomenys gali būti tvarkomi darbo santykių tikslais, jei tai būtina siekiant priimti sprendimą dėl darbo santykių nustatymo arba, nustačius darbo santykius, dėl šių santykių įgyvendinimo, nutraukimo ar sureguliavimo, taip pat įgyvendinant vidines planavimo, organizacines, socialines ir darbuotojams taikomas priemones. <…>
2. Kai darbuotojų asmens duomenys tvarkomi gavus sutikimą, siekiant įvertinti, ar sutikimas buvo duotas laisvai, reikia atsižvelgti, be kita ko, į darbuotojo priklausomybę vykstant darbo santykiams ir į aplinkybes, kuriomis sutikimas buvo duotas. Laisvas sutikimo pobūdis gali būti patvirtintas, be kita ko, tuo atveju, kai darbuotojas turi teisinės ar ekonominės naudos arba jeigu darbdavys ir darbuotojas turi sutampančių interesų. Sutikimas turi būti įformintas raštu, išskyrus atvejus, kai dėl ypatingų aplinkybių reikia kitokios formos. Darbdavys privalo raštu informuoti darbuotoją apie duomenų tvarkymo tikslą ir apie jo teisę atšaukti savo sutikimą, numatytą [BDAR] 7 straipsnio 3 dalyje.
3. Nukrypstant nuo [BDAR] 9 straipsnio 1 dalies, specialių kategorijų asmens duomenų tvarkymas, kaip tai suprantama pagal [BDAR] 9 straipsnio 1 dalį, darbo santykių tikslais leidžiamas, kai būtina įgyvendinti iš darbo teisės, socialinio draudimo ir socialinės apsaugos kylančias teisines pareigas ar jų laikytis, ir nėra pagrindo manyti, kad duomenų subjekto teisėtas interesas, kad duomenys nebūtų tvarkomi, yra viršesnis. 2 dalis taip pat taikoma leidimui tvarkyti specialių kategorijų asmens duomenis. Šiuo klausimu sutikimu turi būti daroma aiški nuoroda į šiuos duomenis. <…>
4. Asmens duomenis, įskaitant specialių kategorijų darbuotojų asmens duomenis, darbo santykių tikslais leidžiama tvarkyti remiantis kolektyviniais susitarimais. Tai darydamos derybų šalys turi laikytis [BDAR] 88 straipsnio 2 dalies.
5. Duomenų valdytojas turi imtis tinkamų priemonių užtikrinti, kad visų pirma būtų laikomasi [BDAR] 5 straipsnyje nustatytų duomenų tvarkymą reglamentuojančių principų.
<…>
7. 1–6 dalys taip pat taikomos tais atvejais, kai asmens duomenys, įskaitant specialių kategorijų darbuotojų asmens duomenis, tvarkomi taip, kad jie nelaikomi arba jų neketinama laikyti susistemintame rinkinyje. 2018 m. birželio 21 d. Hessisches Beamtengesetz [(HBG) (Heseno federalinės žemės valstybės tarnybos įstatymas, toliau – HBG)] nuostatos, taikomos darbuotojų byloms, mutatis mutandis taikomos viešojo sektoriaus darbuotojams, išskyrus atvejus, kai kolektyvinio darbo santykių reguliavimo priemonėje numatyta kitaip.
8. Pagal šį įstatymą darbuotojais laikomi:
1) darbuotojai, įskaitant laikinuosius darbuotojus, dirbančius pagal su naudotoju sudarytą darbo sutartį;
<…>
7) tarnautojai, kuriems taikomas [HBG], federalinės žemės teisėjai, taip pat asmenys, atliekantys civilinę tarnybą.
<…>“
13 HBG 86 straipsnio 4 dalyje numatyta:
„Darbdavys gali rinkti kandidatų, tarnautojų ir buvusių tarnautojų asmens duomenis tik tiek, kiek tai būtina darbo santykiams nustatyti, įgyvendinti, nutraukti ar sureguliuoti, taip pat siekdamas įgyvendinti organizacines, socialines ir darbuotojams taikomas priemones, visų pirma žmogiškųjų išteklių planavimo ir paskirstymo tikslais, arba jeigu tai leidžiama pagal tam tikrą teisės aktą ar darbovietės lygmens kolektyvinę sutartį. <…>“
Pagrindinė byla ir prejudiciniai klausimai
14 Kaip matyti iš Teisingumo Teismui pateiktos bylos medžiagos, dviem 2020 m. priimtais aktais Heseno federalinės žemės švietimo ir kultūros ministras nustatė teisinę ir organizacinę mokymo mokyklose tvarką COVID‑19 pandemijos laikotarpiu. Pagal šią tvarką mokiniams, kurie negalėjo būti klasėje, buvo numatyta galimybė tiesiogiai dalyvauti pamokose per vaizdo konferenciją. Siekiant apsaugoti mokinių teises į asmens duomenų apsaugą, buvo nustatyta, kad prijungimas prie vaizdo konferencijos paslaugos leidžiamas tik su pačių mokinių arba, jeigu jie nepilnamečiai, jų tėvų sutikimu. Tačiau atitinkamų mokytojų sutikimas dalyvauti užtikrinant šį mokymą nebuvo numatytas.
15 Pagrindinis Heseno federalinės žemės švietimo ir kultūros ministerijos mokytojų komitetas pateikė skundą Verwaltungsgericht Wiesbaden (Vysbadeno administracinis teismas, Vokietija); jame skundžiama tai, kad tiesioginis pamokų transliavimas per vaizdo konferenciją nebuvo susietas su sąlyga, kad jis galimas tik atitinkamiems mokytojams davus sutikimą.
16 Heseno federalinės žemės Švietimo ir kultūros ministras savo ruožtu nurodė, kad asmens duomenų tvarkymas, kai pamokos tiesiogiai transliuojamos per vaizdo konferenciją, patenka į HDSIG 23 straipsnio 1 dalies pirmo sakinio taikymo sritį, todėl jis buvo galimas be atitinkamo mokytojo sutikimo.
17 Verwaltungsgericht Wiesbaden (Vysbadeno administracinis teismas) šiuo klausimu nurodo, kad, vadovaujantis Heseno federalinės žemės teisės aktų leidėjo valia, HDSIG 23 straipsnis ir HBG 86 straipsnis laikytini „konkretesnėmis taisyklėmis“, kurias valstybės narės gali numatyti pagal BDAR 88 straipsnio 1 dalį, siekdamos užtikrinti teisių ir laisvių apsaugą tvarkant darbuotojų asmens duomenis su darbo santykiais susijusiame kontekste. Vis dėlto šiam teismui kyla abejonių dėl to, ar HDSIG 23 straipsnio 1 dalies pirmas sakinys ir HBG 86 straipsnio 4 dalis suderinami su BDAR 88 straipsnio 2 dalyje nustatytais reikalavimais.
18 Iš tiesų, pirma, HDSIG 23 straipsnio 1 dalies pirmas sakinys ir HBG 86 straipsnio 4 dalis grindžiami „būtinybe“, kaip darbuotojų duomenų tvarkymo teisiniu pagrindu. Vis dėlto, viena vertus, „būtinybės“ principo įtraukimas į įstatymą nėra taisyklė, kuria būtų patikslinti BDAR 88 straipsnio 2 dalyje įtvirtinti reikalavimai, nes su darbo santykiais susijusiame kontekste būtinas duomenų tvarkymas jau reglamentuotas BDAR 6 straipsnio 1 dalies pirmos pastraipos b punkte.
19 Kita vertus, HDSIG 23 straipsnio 1 dalies pirmas sakinys taikomas bet kokiam darbuotojų duomenų tvarkymui, ne tik sutartiniams santykiams per se. Iš BDAR 6 straipsnio 1 dalies pirmos pastraipos f punkto matyti, kad, kai asmens duomenys tvarkomi viršijant tai, kas griežtai būtina darbo sutarties kontekste, reikia palyginti duomenų subjekto, šiuo atveju darbuotojų ir tarnautojų, laisves ir pagrindines teises su teisėtu interesu, kurio siekia duomenų valdytojas, šiuo atveju – darbdavys. Kadangi HDSIG 23 straipsnio 1 dalies pirmame sakinyje tokio palyginimo nenumatyta, ši nuostata negali būti laikoma konkrečia sektorine teisės norma įsigaliojus BDAR.
20 Antra, Verwaltungsgericht Wiesbaden (Vysbadeno administracinis teismas) mano, kad vien HDSIG 23 straipsnio 5 dalyje pateikiama nuoroda, kad duomenų valdytojas turi, be kita ko, laikytis BDAR 5 straipsnyje įtvirtintų principų, neatitinka šio reglamento 88 straipsnio 2 dalies reikalavimų. Iš tiesų pagal pastarąją nuostatą reikalaujama, kad joje nurodytos tinkamos ir konkrečios teisės aktų nuostatos būtų priimtos siekiant apsaugoti duomenų subjektų žmogiškąjį orumą, teisėtus interesus ir pagrindines teises, ypatingą dėmesį skiriant duomenų tvarkymo skaidrumui, asmens duomenų perdavimui įmonių grupėje arba bendrą ekonominę veiklą vykdančių įmonių grupėje ir stebėsenos sistemoms darbo vietoje, ir jos nebūtų tik dar viena nacionalinės teisės norma, kurios turi paisyti jos taikytojas. Teisės normos taikytojas nėra subjektas, kuriam skirta BDAR 88 straipsnio 2 dalis.
21 Šiomis aplinkybėmis Verwaltungsgericht Wiesbaden (Vysbadeno administracinis teismas) nusprendė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui šiuos prejudicinius klausimus:
„1. Ar [BDAR] 88 straipsnio 1 dalį reikia aiškinti taip, jog tam, kad teisės akto nuostata būtų laikoma konkretesne taisykle, kuria siekiama užtikrinti teisių ir laisvių apsaugą tvarkant darbuotojų asmens duomenis su darbo santykiais susijusiame kontekste, kaip tai suprantama pagal [BDAR] 88 straipsnio 1 dalį, ši nuostata turi atitikti to reglamento 88 straipsnio 2 dalyje tokioms taisyklėms keliamus reikalavimus?
2. Ar gali būti toliau taikoma nacionalinės teisės norma, jeigu ji akivaizdžiai neatitinka [BDAR] 88 straipsnio 2 dalyje nustatytų reikalavimų?“
22 Raštu (jį Teisingumo Teismo kanceliarija gavo 2021 m. lapkričio 30 d.) Verwaltungsgericht Wiesbaden (Vysbadeno administracinis teismas) informavo Teisingumo Teismą, kad dėl nacionalinės teisės aktų, reglamentuojančių Heseno federalinės žemės administracinių teismų teritorinę jurisdikciją, pakeitimų, kurie turėjo įsigalioti 2021 m. gruodžio 1 d., pagrindinė byla buvo perduota nagrinėti Verwaltungsgericht Frankfurt am Main (Frankfurto prie Maino administracinis teismas, Vokietija). Rašte (jį Teisingumo Teismo kanceliarija gavo 2022 m. vasario 21 d.) pastarasis teismas patvirtino šį perdavimą ir Teisingumo Teismui nurodė pagrindinei bylai suteiktą naują eilės numerį.
Dėl prašymo priimti prejudicinį sprendimą priimtinumo
23 Savo rašytinėse pastabose Vokietijos vyriausybė tvirtino, kad prašymas priimti prejudicinį sprendimą nepriimtinas, nes prejudiciniai klausimai nėra svarbūs siekiant priimti sprendimą pagrindinėje byloje. Iš tiesų Teisingumo Teismo atsakymas nebūtų naudingas prašymą priimti prejudicinį sprendimą pateikusiam teismui tuo atveju, jei duomenų tvarkymas būtų leidžiamas mokytojui davus sutikimą. Vis dėlto prašymą priimti prejudicinį sprendimą pateikęs teismas nepaaiškina, kodėl neatsižvelgė į tokią galimybę.
24 Paklausta apie tai per posėdį Teisingumo Teisme Vokietijos vyriausybė vis dėlto pripažino, kad prejudiciniai klausimai yra svarbūs tuo atveju, kai negalima gauti mokytojo sutikimo.
25 Šiuo klausimu reikia priminti, kad pagal suformuotą jurisprudenciją nacionalinio teismo pateiktiems klausimams dėl Sąjungos teisės išaiškinimo, atsižvelgiant į jo paties nurodytą teisinį pagrindą ir faktines aplinkybes, kurių tikslumo Teisingumo Teismas neprivalo tikrinti, taikoma svarbos prezumpcija. Teisingumo Teismas gali atsisakyti priimti sprendimą dėl nacionalinio teismo pateikto prašymo priimti prejudicinį sprendimą, tik jeigu akivaizdu, kad prašomas Sąjungos teisės išaiškinimas visiškai nesusijęs su pagrindinėje byloje nagrinėjamo ginčo aplinkybėmis ar dalyku, jeigu problema hipotetinė arba Teisingumo Teismas neturi informacijos apie faktines ir teisines aplinkybes, būtinos tam, kad naudingai atsakytų į jam pateiktus klausimus (2022 m. rugpjūčio 1 d. Sprendimo Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, 48 punktas ir jame nurodyta jurisprudencija).
26 Nagrinėjamu atveju iš sprendimo dėl prašymo priimti prejudicinį sprendimą matyti, kad pagrindinės bylos šalys nesutaria dėl to, ar siekiant tiesiogiai transliuoti pamokas per vaizdo konferencijas būtinas ne tik tėvų dėl jų vaikų arba pilnamečių mokinių, bet ir atitinkamų mokytojų sutikimas, ar, atvirkščiai, šių asmenų asmens duomenų tvarkymui taikomas HDSIG 23 straipsnio 1 dalies pirmas sakinys ir HBG 86 straipsnio 4 dalis.
27 Taip pat svarbu pažymėti, kad Verwaltungsgericht Wiesbaden (Vysbadeno administracinis teismas) savo prašyme priimti prejudicinį sprendimą nurodė, pirma, kad nacionalinės teisės aktų leidėjas pripažino, jog HDSIG 23 straipsnis ir HBG 86 straipsnis yra konkretesnės taisyklės, kaip jos suprantamos pagal BDAR 88 straipsnį, ir, antra, kad sprendimas pagrindinėje byloje priklauso nuo to, ar HDSIG 23 straipsnio 1 dalies pirmas sakinys ir HBG 86 straipsnio 4 dalis atitinka to BDAR 88 straipsnio reikalavimus, kad galėtų būti laikomos konkretesnėmis taisyklėmis, taikomomis tvarkant mokytojų asmens duomenis, kai tiesiogiai transliuojamos pamokos naudojant tokią vaizdo konferencijų sistemą, kokia nagrinėjama pagrindinėje byloje.
28 Atsižvelgiant į prašyme priimti prejudicinį sprendimą pateiktą informaciją, Vokietijos vyriausybės pateikti argumentai negali paneigti pateiktų klausimų svarbos prezumpcijos.
29 Šiomis aplinkybėmis negalima teigti, kad prašomas Sąjungos teisės išaiškinimas neturi jokio ryšio su pagrindinės bylos aplinkybėmis ar dalyku arba kad problema hipotetinė, nes prašymą priimti prejudicinį sprendimą pateikęs teismas gali atsižvelgti į šį išaiškinimą, siekdamas priimti sprendimą pagrindinėje byloje. Be to, Teisingumo Teismas turi informacijos apie faktines ir teisines aplinkybes, būtinos tam, kad naudingai atsakytų į jam pateiktus klausimus.
30 Taigi prašymas priimti prejudicinį sprendimą yra priimtinas.
Dėl prejudicinių klausimų
Pirminės pastabos
31 Prejudiciniai klausimai pateikti dėl BDAR 88 straipsnio 1 ir 2 dalių išaiškinimo nagrinėjant ginčą dėl mokytojų asmens duomenų tvarkymo tuo atveju, kai tiesiogiai per vaizdo konferenciją transliuojamos jų viešosiose mokymo įstaigose vedamos pamokos.
32 Pirma, reikia nustatyti, ar toks tvarkymas patenka į BDAR materialinę taikymo sritį, atsižvelgiant į tai, kad pagal šio reglamento 2 straipsnio 2 dalies a punktą šis reglamentas netaikomas asmens duomenų tvarkymui, kai „duomenys tvarkomi vykdant veiklą, kuriai Sąjungos teisė netaikoma“, ir kad pagal SESV 165 straipsnio 1 dalį valstybės narės yra atsakingos už mokymo turinį ir jų švietimo sistemų organizavimą.
33 Šiuo aspektu iš Teisingumo Teismo jurisprudencijos matyti, kad BDAR materialinė taikymo sritis, kaip ji apibrėžta jo 2 straipsnio 1 dalyje, yra plati, ir kad šios taikymo srities išimtys, numatytos šio reglamento 2 straipsnio 2 dalyje, turi būti aiškinamos siaurai (šiuo klausimu žr. 2020 m. liepos 9 d. Sprendimo Land Hessen, C‑272/19, EU:C:2020:535, 68 punktą ir 2021 m. birželio 22 d. Sprendimo Latvijas Republikas Saeima (Baudos taškai), C‑439/19, EU:C:2021:504, 61 ir 62 punktus).
34 Be to, BDAR 2 straipsnio 2 dalies a punktą reikia aiškinti kartu su jo 2 straipsnio 2 dalies b punktu ir 16 konstatuojamąja dalimi, kurioje nurodyta, kad šis reglamentas netaikomas asmens duomenų tvarkymui vykdant „Sąjungos teisės nereglamentuojam[ą] veikl[ą], pavyzdžiui, su nacionaliniu saugumu susijusi[ą] veikl[ą]“ ir „su Sąjungos bendra užsienio ir saugumo politika susijusią veiklą“ (2021 m. birželio 22 d. Sprendimo Latvijas Republikas Saeima (Baudos taškai), C‑439/19, EU:C:2021:504, 63 punktas).
35 Vadinasi, BDAR 2 straipsnio 2 dalies a ir b punktai yra Direktyvos 95/46 3 straipsnio 2 dalies pirmos įtraukos tęsinys ir jie negali būti aiškinami taip, kad jų taikymo sritis yra platesnė už Direktyvos 95/46 3 straipsnio 2 dalies pirmoje įtraukoje įtvirtintos išimties taikymo sritį; pastarojoje nuostatoje buvo numatyta, kad šios direktyvos taikymo sritis, be kita ko, neapima asmens duomenų tvarkymo, atliekamo vykdant „veikl[ą], kuri nepatenka į Bendrijos teisės taikymo sritį, kaip antai veikl[ą], kuri numatyta [iki Lisabonos sutarties galiojusios redakcijos ESS] V ir VI dalyse, taip pat, kai atliekamos tvarkymo operacijos, susijusios su visuomenės saugumu, gynyba ir valstybės saugumu“ (2021 m. birželio 22 d. Sprendimo Latvijas Republikas Saeima (Baudos taškai), C‑439/19, EU:C:2021:504, 64 punktas).
36 Nagrinėjamu atveju neginčijama, kad su mokymo organizavimu Heseno žemėje susijusi veikla negali būti priskirta prie veiklos, kuria siekiama užtikrinti nacionalinį saugumą, kategorijos, nurodytos BDAR 2 straipsnio 2 dalies a punkte.
37 Vadinasi, pagrindinėje byloje nagrinėjamas mokytojų asmens duomenų tvarkymas tiesiogiai per vaizdo konferenciją transliuojant viešosiose mokymo įstaigose vedamas pamokas patenka į BDAR materialinę taikymo sritį.
38 Antra, iš prašymo priimti prejudicinį sprendimą matyti, kad mokytojai, kurių asmens duomenų tvarkymas yra pagrindinės bylos dalykas, dirba Heseno federalinės žemės viešojoje tarnyboje turėdami darbuotojų pagal darbo sutartį arba tarnautojų statusą.
39 Taigi reikia nustatyti, ar toks asmens duomenų tvarkymas patenka į BDAR 88 straipsnio, kuriame kalbama apie „[darbuotojų asmens duomenų tvarkymą su darbo santykiais susijusiame kontekste]“, taikymo sritį.
40 Šiuo aspektu reikia nurodyti, kad BDAR neapibrėžti terminai „darbuotojai“ ir „darbo santykiai“, be to, nedaroma nuorodos į valstybių narių teisę dėl jų apibrėžties. Kadangi tokios nuorodos nėra, reikia priminti, kad, kaip matyti iš vienodo Sąjungos teisės taikymo ir lygybės principo reikalavimų, kai Sąjungos teisės nuostatoje aiškiai nedaroma nuorodos į valstybių narių teisę, norint nustatyti šios nuostatos prasmę ir apimtį, jos reikšmė visoje Sąjungoje paprastai turi būti aiškinama savarankiškai ir vienodai (2022 m. birželio 2 d. Sprendimo HK / Danmark ir HK / Privat, C‑587/20, EU:C:2022:419, 25 punktas ir jame nurodyta jurisprudencija).
41 Be to, kadangi BDAR neapibrėžti terminai „darbuotojai“ ir „darbo santykiai“, jie turi būti aiškinami remiantis įprasta jų reikšme bendrinėje kalboje, kartu atsižvelgiant į kontekstą, kuriam esant jie vartojami, ir teisės aktų, kuriuose jie įtvirtinti, tikslus (2022 m. birželio 2 d. Sprendimo HK / Danmark ir HK / Privat, C‑587/20, EU:C:2022:419, 26 punktas ir jame nurodyta jurisprudencija).
42 Terminas „darbuotojas“ pagal įprastą reikšmę reiškia asmenį, kuris dirba saistomas pavaldumo santykių su darbdaviu, taigi jo kontroliuojamas (2021 m. kovo 18 d. Sprendimo Kuoni Travel, C‑578/19, EU:C:2021:213, 42 punktas).
43 O pagrindinis „darbo santykių“ požymis yra tas, kad asmuo tam tikrą laiką kito asmens naudai ir jo vadovaujamas teikia tam tikras paslaugas, už kurias gauna darbo užmokestį (2021 m. liepos 15 d. Sprendimo Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, 49 punktas).
44 Kadangi toks požymis būdingas tiek viešojo, tiek privataus sektoriaus darbuotojams ir darbo santykiams, tuo remiantis darytina išvada, kad terminai „darbuotojas“ ir „darbo santykiai“, suprantami pagal įprastą jų reikšmę, apima ir asmenis, kurie savo profesinę veiklą vykdo viešajame sektoriuje.
45 Iš tikrųjų BDAR 88 straipsnio 1 dalies taikymo sritis negali būti nustatoma pagal darbuotoją ir darbdavį saistančio teisinio ryšio pobūdį. Taigi nėra svarbu aiškintis tai, ar atitinkamas asmuo turi darbuotojo, ar tarnautojo statusą, arba tai, ar jo darbo santykiai reglamentuojami pagal viešąją, ar privatinę teisę, nes šis teisinis kvalifikavimas skiriasi pagal skirtingus nacionalinės teisės aktus, todėl negali būti tinkamas kriterijus vienodam ir autonomiškam šios nuostatos aiškinimui (pagal analogiją žr. 1974 m. vasario 12 d. Sprendimo Sotgiu, 152/73, EU:C:1974:13, 5 punktą ir 1986 m. birželio 3 d. Sprendimo Komisija / Prancūzija, 307/84, EU:C:1986:222, 11 punktą).
46 Konkrečiai dėl asmenų, kurių darbo santykiai įforminti ne darbo sutartimi, kaip antai tarnautojų, pažymėtina, kad BDAR 88 straipsnio 1 dalyje daroma nuoroda į „darbo sutarties vykdymą“. Vis dėlto reikia pažymėti, viena vertus, kad ši nuoroda minima tarp kitų asmens duomenų tvarkymo su darbo santykiais susijusiame kontekste, dėl kurio valstybės narės gali priimti BDAR 88 straipsnio 1 dalyje numatytas konkretesnes taisykles, tikslų ir kad bet kuriuo atveju šis sąrašas nėra išsamus, kaip tai patvirtina šioje nuostatoje vartojamas žodžių junginys „visų pirma“.
47 Kita vertus, tai, kad nesvarbi darbuotoją ir jį įdarbinusios administracijos saistančio teisinio ryšio kvalifikacija, patvirtina ta aplinkybė, kad darbo administravimas, planavimas ir organizavimas, lygybė ir įvairovė darbo vietoje, darbuotojų sauga ir sveikata, darbdavio ar kliento turto apsauga, naudojimasis su darbo santykiais susijusiomis individualiomis ir kolektyvinėmis teisėmis ir išmokomis, taip pat darbo santykių nutraukimas, kurie išvardyti šio BDAR 88 straipsnio 1 dalyje, sietini tiek du darbu privačiame sektoriuje, tiek su darbu viešajame sektoriuje.
48 Taigi remiantis BDAR 88 straipsnio 1 dalyje esančia nuoroda į „darbo sutarties vykdymą“ negalima daryti išvados, kad darbas viešajame sektoriuje, atliekamas ne pagal darbo sutartį, nepatenka į šios nuostatos taikymo sritį.
49 Tai galioja ir aplinkybei, kad BDAR 88 straipsnio 2 dalyje tarp trijų aspektų, kuriems valstybės narės turi skirti „ypatingą dėmesį“, kai priima tokias „konkretesnes taisykles“, nurodytas asmens duomenų perdavimas „įmonių grupėje arba bendrą ekonominę veiklą vykdančių įmonių grupėje“. Iš tikrųjų kiti du aspektai, t. y. duomenų tvarkymo skaidrumas ir stebėsenos sistemos darbo vietoje, yra svarbūs tiek dirbant privačiame, tiek viešajame sektoriuose, ir visai neturi reikšmės darbuotoją ir darbdavį saistančio teisinio ryšio pobūdis.
50 Iš BDAR 88 straipsnio teksto išplaukiantį aiškinimą patvirtina šio straipsnio kontekstas ir teisės akto, kuriame jis įtvirtintas, tikslas.
51 Kaip matyti iš BDAR 1 straipsnio 1 dalies, siejamos, be kita ko, su jo 9, 10 ir 13 konstatuojamosiomis dalimis, šiuo reglamentu siekiama užtikrinti visišką nacionalinės teisės aktų, reglamentuojančių asmens duomenų apsaugą, suderinimą. Vis dėlto šio reglamento nuostatomis valstybėms narėms atveriama galimybė numatyti papildomas griežtesnes ar leidžiančias nukrypti nacionalines nuostatas ir suteikiama diskrecija dėl galimo šių nuostatų įgyvendinamo būdo („leidžiančiosios nuostatos“) (šiuo klausimu žr. 2022 m. balandžio 28 d. Sprendimo Meta Platforms Ireland, C‑319/20, EU:C:2022:322, 57 punktą).
52 BDAR 88 straipsnis, esantis šio reglamento IX skyriuje „Nuostatos, susijusios su konkrečiais duomenų tvarkymo atvejais“, yra tokia leidžiančioji nuostata, nes ji suteikia valstybėms narėms galimybę priimti „konkretesnes taisykles“, kuriomis siekiama užtikrinti teisių ir laisvių apsaugą tvarkant darbuotojų asmens duomenis su darbo santykiais susijusiame kontekste.
53 Asmens duomenų tvarkymo su darbo santykiais susijusiame kontekste ypatybes ir atitinkamai BDAR 88 straipsnio 1 dalyje valstybėms narėms suteiktą galimybę galima paaiškinti, be kita ko, darbuotojo pavaldumo darbdaviui santykio buvimu, o ne juos saistančio teisinio ryšio pobūdžiu.
54 Be to, pagal BDAR 1 straipsnio 2 dalį, siejamą su jo 10 konstatuojamąja dalimi, šio reglamento tikslas, be kita ko, yra užtikrinti aukštą fizinių asmenų pagrindinių laisvių ir teisių apsaugos lygį tvarkant asmens duomenis; ši teisė taip pat pripažįstama Europos Sąjungos pagrindinių teisių chartijos 8 straipsnyje ir glaudžiai susijusi su jos 7 straipsnyje įtvirtinta teise į privataus gyvenimo gerbimą (šiuo klausimu žr. 2022 m. rugpjūčio 1 d. Sprendimo Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, 61 punktą).
55 Šį tikslą atitinka platus BDAR 88 straipsnio 1 dalies aiškinimas, kad „konkretesnės taisyklės“, kurias gali numatyti valstybės narės, siekdamos užtikrinti teisių ir laisvių apsaugą tvarkant darbuotojų asmens duomenis su darbo santykiais susijusiame kontekste, gali būti taikomos visiems darbuotojams, nesvarbu, kokio pobūdžio teisinis ryšys juos saisto su darbdaviu.
56 Šiomis sąlygomis mokytojų asmens duomenų tvarkymas tiesiogiai per vaizdo konferenciją transliuojant jų vedamas pamokas viešosiose mokymo įstaigose, kaip antai aptariamas nagrinėjamoje byloje, patenka į BDAR 88 straipsnio materialinę taikymo sritį ir taikymo asmenų atžvilgiu sritį.
Dėl pirmojo klausimo
57 Pirmuoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas siekia išsiaiškinti, ar BDAR 88 straipsnis turi būti aiškinamas taip, kad teisės norma, tam, kad ją būtų galima kvalifikuoti kaip „konkretesnę taisyklę“, kaip ji suprantama pagal šio straipsnio 1 dalį, turi atitikti šio straipsnio 2 dalyje nustatytas sąlygas.
58 Kaip nurodyta šio sprendimo 52 punkte, valstybės narės turi galimybę, o ne pareigą, priimti tokias taisykles, jos gali būti numatytos teisės aktuose arba kolektyvinėse sutartyse.
59 Be to, tais atvejais, kai valstybės narės pasinaudoja galimybe, kurią joms suteikta BDAR leidžiančioji nuostata, jos turi naudotis savo diskrecija, laikydamosi šio reglamento nuostatose numatytų sąlygų ir apribojimų, taigi turi priimti teisės aktus taip, kad nepakenktų šio reglamento turiniui ir tikslams (šiuo klausimu žr. 2022 m. balandžio 28 d. Sprendimo Meta Platforms Ireland, C‑319/20, EU:C:2022:322, 60 punktą).
60 Siekiant nustatyti sąlygas ir apribojimus, kurie taikomi BDAR 88 straipsnio 1 ir 2 dalyse nurodytoms taisyklėms, taigi, ir įvertinti valstybėms narėms pagal šias nuostatas suteiktą diskreciją, reikia priminti, kad pagal suformuotą jurisprudenciją aiškinant Sąjungos teisės nuostatą būtina atsižvelgti ne tik į jos tekstą, bet ir į jos kontekstą, taip pat į akto, kurio dalis ji yra, tikslus (2022 m. kovo 15 d. Sprendimo Autorité des marchés financiers, C‑302/20, EU:C:2022:190, 63 punktas).
61 Dėl BDAR 88 straipsnio 1 dalies formuluotės reikia pažymėti, kad visų pirma iš vartojamo termino „konkretesnės“ matyti, kad šioje nuostatoje numatytos taisyklės turi būti reglamentuotai sričiai būdingo ir kitokio nei šio reglamento bendrosios nuostatos norminio turinio.
62 Be to, kaip nurodyta šio sprendimo 52 punkte, remiantis šia nuostata priimtų taisyklių tikslas yra užtikrinti teisių ir laisvių apsaugą tvarkant darbuotojų asmens duomenis su darbo santykiais susijusiame kontekste.
63 Galiausiai iš įvairių BDAR 88 straipsnio 1 dalyje nurodytų tikslų, dėl kurių gali būti tvarkomi asmens duomenys, matyti, kad joje numatytos „konkretesnės taisyklės“ gali būti susijusios su labai įvairiu tvarkymu darbo santykių srityje, taigi gali apimti visus tikslus, dėl kurių asmens duomenys gali būti tvarkomi su darbo santykiais susijusiame kontekste. Be to, kadangi šių tikslų sąrašas nėra išsamus, kaip nurodyta šio sprendimo 46 punkte, valstybės narės turi diskreciją nuspręsti, kokiam tvarkymui taikomos šios konkretesnės taisyklės.
64 BDAR 88 straipsnio 2 dalyje numatyta, kad remiantis šio straipsnio 1 dalimi priimtos taisyklės apima tinkamas ir konkrečias priemones, kuriomis siekiama apsaugoti duomenų subjekto žmogiškąjį orumą, teisėtus interesus ir pagrindines teises, ypatingą dėmesį skiriant duomenų tvarkymo skaidrumui, asmens duomenų perdavimui įmonių grupėje arba bendrą ekonominę veiklą vykdančių įmonių grupėje ir stebėsenos sistemoms darbo vietoje.
65 Taigi iš BDAR 88 straipsnio teksto matyti, kad šio straipsnio 2 dalyje apribojama valstybių narių, kurios ketina priimti „konkretesnes taisykles“ pagal šio straipsnio 1 dalį, diskrecija. Vadinasi, pirma, šiomis taisyklėmis negali būti tik pakartojamos šio reglamento nuostatos, jomis turi būti siekiama užtikrinti darbuotojų teisių ir laisvių apsaugą tvarkant jų asmens duomenis su darbo santykiais susijusiame kontekste ir jos turi apimti tinkamas ir konkrečias priemones, skirtas duomenų subjekto žmogiškajam orumui, teisėtiems interesams ir pagrindinėms teisėms apsaugoti.
66 Antra, turi būti skiriamas ypatingas dėmesys duomenų tvarkymo skaidrumui, asmens duomenų perdavimui įmonių grupėje arba bendrą ekonominę veiklą vykdančių įmonių grupėje ir stebėsenos sistemoms darbo vietoje.
67 Dėl BDAR 88 straipsnio konteksto visų pirma reikia pažymėti, kad ši nuostata turi būti aiškinama atsižvelgiant į šio reglamento 8 konstatuojamąją dalį, kurioje numatyta, kad, kai šiuo reglamentu numatoma galimybė valstybės narės teisėje konkrečiau apibrėžti reglamento taisykles ar numatyti jų apribojimus, valstybės narės, kiek tai būtina suderinamumui užtikrinti ir siekiant, kad nacionalinės nuostatos būtų suprantamos asmenims, kuriems jos taikomos, gali į savo nacionalinę teisę įtraukti šio reglamento elementus.
68 Be to, svarbu priminti, kad Reglamento 2016/679 II ir III skyriuose atitinkamai nustatyti asmens duomenų tvarkymo principai ir duomenų subjekto teisės, kurių turi būti paisoma tvarkant asmens duomenis (2022 m. vasario 24 d. Sprendimo Valsts ieņēmumu dienests (Asmens duomenų tvarkymas mokesčių tikslais), C‑175/20, EU:C:2022:124, 50 punktas).
69 Konkrečiai tariant, bet koks asmens duomenų tvarkymas turi, viena vertus, atitikti BDAR 5 straipsnyje įtvirtintus duomenų tvarkymo principus ir, kita vertus, tenkinti vieną iš duomenų tvarkymo teisėtumo principų, išvardytų to reglamento 6 straipsnyje (2021 m. birželio 22 d. Sprendimo Latvijas Republikas Saeima (Baudos taškai), C‑439/19, EU:C:2021:504, 96 punktas ir jame nurodyta jurisprudencija).
70 Dėl principų, susijusių su tvarkymo teisėtumu, pažymėtina, kad BDAR 6 straipsnyje numatytas išsamus ir baigtinis atvejų, kai asmens duomenų tvarkymas gali būti laikomas teisėtu, sąrašas. Taigi tam, kad tvarkymas galėtų būti laikomas teisėtu, jis turi patekti į kurį nors iš tame 6 straipsnyje numatytų atvejų (2021 m. birželio 22 d. Sprendimo Latvijas Republikas Saeima (Baudos taškai), C‑439/19, EU:C:2021:504, 99 punktas ir jame nurodyta jurisprudencija).
71 Vadinasi, nors naudodamosi pagal BDAR leidžiančiąją nuostatą joms suteikta galimybe valstybės narės gali į savo nacionalinę teisę įtraukti šio reglamento elementus, kiek tai būtina suderinamumui užtikrinti ir siekiant, kad nacionalinės nuostatos būtų suprantamos asmenims, kuriems jos taikomos, „konkretesnėmis taisyklėmis“, priimtomis remiantis šio reglamento 88 straipsnio 1 dalimi, negali būti tik pakartojamos teisėto asmens duomenų tvarkymo sąlygos ir šio tvarkymo principai, įtvirtinti atitinkamai šio reglamento 6 ir 5 straipsniuose, arba daroma nuoroda į šias sąlygas ir principus.
72 Aiškinimas, kad valstybių narių diskrecija priimant taisykles remiantis BDAR 88 straipsnio 1 dalimi ribojama šio straipsnio 2 dalimi, atitinka šio sprendimo 51 punkte primintą šio reglamento tikslą užtikrinti visišką nacionalinės teisės aktų, reglamentuojančių asmens duomenų apsaugą, suderinimą.
73 Kaip iš esmės pažymėjo generalinis advokatas savo išvados 56, 70 ir 73 punktuose, valstybių narių galimybė priimti „konkretesnes taisykles“ remiantis BDAR 88 straipsnio 1 dalimi gali lemti tam tikrą nesuderinamumą šių taisyklių taikymo srityje. Šio reglamento 88 straipsnio 2 dalyje nustatytos sąlygos atspindi pagal šį reglamentą leidžiamų skirtumų ribas, turint omenyje, kad šis nesuderinamumas gali būti leidžiamas tik tuo atveju, kai esami skirtumai papildomi konkrečiomis ir tinkamomis garantijomis, kuriomis siekiama apsaugoti darbuotojų teises ir laisves tvarkant jų asmens duomenis su darbo santykiais susijusiame kontekste.
74 Taigi tam, kad teisės normą būtų galima kvalifikuoti kaip „konkretesnę taisyklę“, kaip ji suprantama pagal BDAR 88 straipsnio 1 dalį, ji turi atitikti šio straipsnio 2 dalyje nustatytas sąlygas. Šios konkretesnės taisyklės ne tik turi būti reglamentuotai sričiai būdingo ir kitokio nei šio reglamento bendrosios nuostatos norminio turinio, bet ir jomis turi būti siekiama užtikrinti darbuotojų teisių ir laisvių apsaugą tvarkant jų asmens duomenis su darbo santykiais susijusiame kontekste, taip pat jos turi apimti tinkamas ir konkrečias priemones, kuriomis siekiama apsaugoti duomenų subjekto žmogiškąjį orumą, teisėtus interesus ir pagrindines teises. Ypatingas dėmesys turi būti skiriamas duomenų tvarkymo skaidrumui, asmens duomenų perdavimui įmonių grupėje arba bendrą ekonominę veiklą vykdančių įmonių grupėje ir stebėsenos sistemoms darbo vietoje.
75 Remiantis tuo, kas išdėstyta, į pirmąjį klausimą reikia atsakyti: BDAR 88 straipsnis turi būti aiškinamas taip, kad nacionalinės teisės normų negalima kvalifikuoti kaip „konkretesnių taisyklių“, kaip jos suprantamos pagal šio straipsnio 1 dalį, jeigu jos neatitinka šio straipsnio 2 dalyje nustatytų sąlygų.
Dėl antrojo klausimo
76 Antruoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas siekia iš esmės išsiaiškinti dėl pasekmių, kurių kiltų, jeigu nacionalinės teisės nuostatos, priimtos siekiant užtikrinti teisių ir laisvių apsaugą tvarkant darbuotojų asmens duomenis su darbo santykiais susijusiame kontekste, būtų pripažintos nesuderinamomis su BDAR 88 straipsnio 1 ir 2 dalyse numatytomis sąlygomis ir apribojimais.
77 Šiuo aspektu reikia priminti, kad pagal SESV 288 straipsnio antrą pastraipą reglamentas yra privalomas visas ir tiesiogiai taikomas visose valstybėse narėse, todėl dėl jo nuostatų valstybėms narėms iš principo nereikia priimti jokių įgyvendinimo priemonių (2021 m. birželio 15 d. Sprendimo Facebook Ireland ir kt., C‑645/19, EU:C:2021:483, 109 punktas).
78 Vis dėlto, kaip priminta šio sprendimo 51 punkte, BDAR numatytomis leidžiančiosiomis nuostatomis valstybėms narėms suteikiama galimybė numatyti papildomas griežtesnes ar leidžiančias nukrypti nacionalines nuostatas ir diskrecija dėl galimo atitinkamų nuostatų įgyvendinamo būdo.
79 Kaip nurodyta šio sprendimo 59 punkte, tais atvejais, kai valstybės narės pasinaudoja galimybe, kurią joms suteikia BDAR leidžiančioji nuostata, jos turi naudotis savo diskrecija, laikydamosi šio reglamento nuostatose numatytų sąlygų ir apribojimų, taigi turi priimti teisės aktus taip, kad nepakenktų šio reglamento turiniui ir tikslams.
80 Prašymą priimti prejudicinį sprendimą pateikęs teismas, kuris vienintelis turi kompetenciją aiškinti nacionalinę teisę, turi įvertinti, ar pagrindinėje byloje nagrinėjamos teisės nuostatos atitinka BDAR 88 straipsnyje nustatytas sąlygas ir apribojimus, aptartus šio sprendimo 74 punkte.
81 Vis dėlto, kaip pažymėjo generalinis advokatas savo išvados 60–62 punktuose, teisės nuostatos, kaip antai HDSIG 23 straipsnio 1 dalis ir HBG 86 straipsnio 4 dalis, kuriose darbuotojų asmens duomenų tvarkymas siejamas su sąlyga, kad šis tvarkymas turi būti būtinas siekiant tam tikrų tikslų, susijusių su vykdomais darbo santykiais, atrodo, tik pakartoja bendrą teisėto tvarkymo sąlygą, jau numatytą BDAR 6 straipsnio 1 dalies pirmos pastraipos b punkte, ir jose papildomai nenumatyta konkretesnės taisyklės, kaip ji suprantama pagal šio reglamento 88 straipsnio 1 dalį. Iš tikrųjų neatrodo, kad šios nuostatos būtų reglamentuotai sričiai būdingo ir kitokio nei šio reglamento bendrosios nuostatos norminio turinio.
82 Tuo atveju, jeigu prašymą priimti prejudicinį sprendimą pateikęs teismas konstatuotų, kad pagrindinėje byloje nagrinėjamos teisės nuostatos neatitinka BDAR 88 straipsnyje nustatytų sąlygų ir apribojimų, jis turėtų iš esmės netaikyti šių nuostatų.
83 Iš tikrųjų remiantis Sąjungos teisės viršenybės principu, kalbant apie tiesiogiai taikomų Sutarčių nuostatų bei institucijų aktų ir valstybių narių nacionalinės teisės santykį, tokios įsigaliojusios nuostatos ir aktai lemia savaiminį bet kokių joms prieštaraujančių nacionalinės teisės nuostatų netaikymą (1978 m. kovo 9 d. Sprendimo Simmenthal, 106/77, EU:C:1978:49, 17 punktas; 1990 m. birželio 19 d. Sprendimo Factortame ir kt., C‑213/89, EU:C:1990:257, 18 punktas ir 2016 m. vasario 4 d. Sprendimo Ince, C‑336/14, EU:C:2016:72, 52 punktas).
84 Vadinasi, jei nėra BDAR 88 straipsnyje nustatytas sąlygas ir apribojimus atitinkančių konkrečių taisyklių, personalo asmens duomenų tvarkymui su darbo santykiais susijusiame kontekste tiek privačiame, tiek viešajame sektoriuje tiesiogiai taikomos šio reglamento nuostatos.
85 Šiuo aspektu reikia pažymėti, kad tokiam asmens duomenų tvarkymui, koks aptariamas pagrindinėje byloje, gali būti taikomi BDAR 6 straipsnio 1 dalies pirmos pastraipos c ir e punktai, pagal kuriuos asmens duomenų tvarkymas yra teisėtas, kai jis būtinas atitinkamai siekiant laikytis duomenų valdytojui nustatytos teisinės prievolės arba vykdant užduotį dėl viešojo intereso arba duomenų valdytojui pavestas viešosios valdžios funkcijas.
86 BDAR 6 straipsnio 3 dalyje numatyta, pirma, kad šio reglamento 6 straipsnio 1 dalies pirmos pastraipos c ir e punktuose nurodytas dviejų teisėtų duomenų tvarkymo atvejų pagrindas turi būti nustatytas Sąjungos teisėje arba duomenų valdytojui taikomoje valstybės narės teisėje, ir pridurta, antra, kad duomenų tvarkymo tikslai nustatomi tame teisiniame pagrinde arba – 1 dalies pirmos pastraipos e punkte nurodyto duomenų tvarkymo atveju – yra būtini vykdant užduotį dėl viešojo intereso arba duomenų valdytojui pavestas viešosios valdžios funkcijas (šiuo klausimu žr. 2022 m. gruodžio 8 d. Sprendimo Inspektor v Inspektorata kam Visshia sadeben savet (Asmens duomenų tvarkymo tikslai – ikiteisminis tyrimas baudžiamojoje byloje), C‑180/21, EU:C:2022:967, 95 punktą).
87 Reikia priminti, kad Teisingumo Teismas jau nusprendė, jog tam, kad duomenų valdytojai teisėtai tvarkytų asmens duomenis pagal BDAR 6 straipsnio 1 dalies pirmos pastraipos e punktą, reikia ne tik to, kad jie galėtų būti laikomi atliekančiais užduotį dėl viešojo intereso, bet ir to, kad asmens duomenų tvarkymas siekiant atlikti tokią užduotį būtų grindžiamas šio reglamento 6 straipsnio 3 dalyje numatytu teisiniu pagrindu (šiuo klausimu žr. 2022 m. spalio 20 d. Sprendimo Koalitsia „Demokratichna Bulgaria – Obedinenie“, C‑306/21, EU:C:2022:813, 52 punktą).
88 Taigi, kai prašymą priimti prejudicinį sprendimą pateikęs teismas konstatuoja, kad nacionalinės teisės nuostatos dėl asmens duomenų tvarkymo su darbo santykiais susijusiame kontekste neatitinka BDAR 88 straipsnio 1 ir 2 dalyse nustatytų sąlygų ir apribojimų, jis dar turi patikrinti, ar šios nuostatos yra šio reglamento 6 straipsnio 3 dalyje, siejamoje su jo 45 konstatuojamąja dalimi, nurodytas teisinis pagrindas, kuris atitinka šiame reglamente numatytus reikalavimus. Jei taip yra, negalima netaikyti nacionalinės teisės nuostatų.
89 Remiantis tuo, kas išdėstyta, į antrąjį prejudicinį klausimą reikia atsakyti: BDAR 88 straipsnio 1 ir 2 dalys turi būti aiškinamos taip, kad turi būti netaikomos nacionalinės teisės nuostatos, priimtos siekiant užtikrinti darbuotojų teisių ir laisvių apsaugą tvarkant jų asmens duomenis su darbo santykiais susijusiame kontekste, jeigu jos neatitinka šio 88 straipsnio 1 ir 2 dalyse nustatytų sąlygų ir apribojimų, nebent šios nuostatos yra šio reglamento 6 straipsnio 3 dalyje nurodytas teisinis pagrindas, kuris atitinka tame reglamente numatytus reikalavimus.
Dėl bylinėjimosi išlaidų
90 Kadangi šis procesas pagrindinės bylos šalims yra vienas iš etapų prašymą priimti prejudicinį sprendimą pateikusio teismo nagrinėjamoje byloje, bylinėjimosi išlaidų klausimą turi spręsti šis teismas. Išlaidos, susijusios su pastabų pateikimu Teisingumo Teismui, išskyrus tas, kurias patyrė minėtos šalys, nėra atlygintinos.
Remdamasis šiais motyvais, Teisingumo Teismas (pirmoji kolegija) nusprendžia:
1. 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) 88 straipsnis
turi būti aiškinamas taip:
nacionalinės teisės normų negalima kvalifikuoti kaip „konkretesnių taisyklių“, kaip jos suprantamos pagal šio straipsnio 1 dalį, jeigu jos neatitinka šio straipsnio 2 dalyje nustatytų sąlygų.
2. Reglamento 2016/679 88 straipsnio 1 ir 2 dalys
turi būti aiškinamos taip:
turi būti netaikomos nacionalinės teisės nuostatos, priimtos siekiant užtikrinti darbuotojų teisių ir laisvių apsaugą tvarkant jų asmens duomenis su darbo santykiais susijusiame kontekste, jeigu jos neatitinka šio 88 straipsnio 1 ir 2 dalyse nustatytų sąlygų ir apribojimų, nebent šios nuostatos yra šio reglamento 6 straipsnio 3 dalyje nurodytas teisinis pagrindas, kuris atitinka tame reglamente numatytus reikalavimus.
Parašai.