WYROK TRYBUNAŁU (pierwsza izba)
z dnia 30 marca 2023 r.(*)
Odesłanie prejudycjalne – Ochrona danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuł 88 ust. 1 i 2 – Przetwarzanie danych w kontekście zatrudnienia – Regionalny system szkolny – Nauczanie w formie wideokonferencji z powodu pandemii COVID‑19 – Wdrożenie bez wyraźnej zgody nauczycieli
W sprawie C‑34/21
mającej za przedmiot wniosek o wydanie, na podstawie art. 267 TFUE, orzeczenia w trybie prejudycjalnym, złożony przez Verwaltungsgericht Wiesbaden (sąd administracyjny w Wiesbaden, Niemcy) postanowieniem z dnia 20 grudnia 2020 r., które wpłynęło do Trybunału w dniu 20 stycznia 2021 r., w postępowaniu:
Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium
przeciwko
Minister des Hessischen Kultusministeriums,
TRYBUNAŁ (pierwsza izba),
w składzie: A. Arabadjiev, prezes izby, K. Lenaerts, prezes Trybunału, L. Bay Larsen, wiceprezes Trybunału, pełniący obowiązki prezesa pierwszej izby, A. Kumin i I. Ziemele (sprawozdawczyni), sędziowie,
rzecznik generalny: M. Campos Sánchez-Bordona,
sekretarz: S. Beer, administratorka,
uwzględniając pisemny etap postępowania i po przeprowadzeniu rozprawy w dniu 30 czerwca 2022 r.,
rozważywszy uwagi, które przedstawili:
– w imieniu Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium – J. Kolter, Rechtsanwalt,
– w imieniu Minister des Hessischen Kultusministeriums – C. Meinert,
– w imieniu rządu niemieckiego – J. Möller i D. Klebs, w charakterze pełnomocników,
– w imieniu rządu austriackiego – G. Kunnert i J. Schmoll, w charakterze pełnomocników,
– w imieniu rządu rumuńskiego – E. Gane i A. Wellman, w charakterze pełnomocników,
– w imieniu Komisji Europejskiej – F. Erlbacher, H. Kranenborg i D. Nardi, w charakterze pełnomocników,
po zapoznaniu się z opinią rzecznika generalnego na posiedzeniu w dniu 22 września 2022 r.,
wydaje następujący
Wyrok
1 Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 88 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. 2016, L 119, s. 1; zwanego dalej „RODO”).
2 Skarga ta została złożona w ramach sporu pomiędzy Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium (radą główną nauczycielstwa przy ministerstwie edukacji kraju związkowego Hesja, Niemcy) a Minister des Hessischen Kultusministeriums (ministrem edukacji kraju związkowego Hesja, Niemcy) w przedmiocie zgodności z prawem systemu transmitowania lekcji na żywo w formie wideokonferencji wprowadzonego do szkół kraju związkowego Hesja (Niemcy) bez ustanowienia wymogu uprzedniej zgody zainteresowanych nauczycieli.
Ramy prawne
Prawo Unii
Dyrektywa 95/46/WE
3 Dyrektywa 95/46/WG Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. 1995, L 281, s. 31) została uchylona z dniem 25 maja 2018 r. przez RODO. Artykuł 3 tej dyrektywy, zatytułowany „Zakres obowiązywania”, miał następujące brzmienie:
„1. Niniejsza dyrektywa stosuje się do przetwarzania danych osobowych w całości lub w części w sposób zautomatyzowany oraz innego przetwarzania danych osobowych, stanowiących część zbioru danych lub mających stanowić część zbioru danych.
2. Niniejsza dyrektywa nie ma zastosowania do przetwarzania danych osobowych:
– w ramach działalności wykraczającej poza zakres prawa Wspólnoty, jak np. dane, o których stanowi tytuł V i VI traktatu [UE, w wersji sprzed traktatu z Lizbony], a w żadnym razie do działalności na rzecz bezpieczeństwa publicznego, obronności, bezpieczeństwa państwa (łącznie z dobrą kondycją gospodarczą państwa, gdy działalność ta dotyczy spraw związanych z bezpieczeństwem państwa) oraz działalności państwa w obszarach prawa karnego,
[…]”.
RODO
4 Motywy 8–10, 13, 16, 45 i 155 RODO przewidują:
„(8) W zakresie, w jakim niniejsze rozporządzenie dopuszcza doprecyzowanie lub zawężenie jego przepisów przez prawo państw członkowskich, mogą one – o ile jest to niezbędne, by krajowe przepisy były spójne i zrozumiałe dla osób, do których mają zastosowanie – włączyć elementy niniejszego rozporządzenia do swego prawa krajowego.
(9) Cele i zasady dyrektywy [95/46] pozostają aktualne, jednak wdrażając ochronę danych w Unii [Europejskiej], nie uniknięto fragmentaryzacji, niepewności prawnej oraz upowszechnienia się poglądu, że ochrona osób fizycznych jest znacznie zagrożona, w szczególności w związku z działaniami w Internecie. Różnice w stopniu ochrony praw i wolności osób fizycznych w państwach członkowskich – w szczególności prawa do ochrony danych osobowych – w związku z przetwarzaniem danych osobowych mogą utrudniać swobodny przepływ danych osobowych w Unii. Mogą zatem stanowić przeszkodę w prowadzeniu działalności gospodarczej na szczeblu Unii, zakłócać konkurencję oraz utrudniać organom wykonywanie obowiązków nałożonych na nie prawem Unii. Różnice w stopniu ochrony wynikają z różnic we wdrażaniu i stosowaniu dyrektywy [95/46].
(10) Aby zapewnić wysoki i spójny stopień ochrony osób fizycznych oraz usunąć przeszkody w przepływie danych osobowych w Unii, należy zapewnić równorzędny we wszystkich państwach członkowskich stopień ochrony praw i wolności osób fizycznych w związku z przetwarzaniem takich danych. Należy zapewnić spójne i jednolite w całej Unii stosowanie przepisów o ochronie podstawowych praw i wolności osób fizycznych w związku z przetwarzaniem danych osobowych. Jeżeli chodzi o przetwarzanie danych osobowych w celu wypełnienia obowiązku prawnego, w celu wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, państwa członkowskie powinny móc zachować lub wprowadzić krajowe przepisy doprecyzowujące stosowanie przepisów niniejszego rozporządzenia. Obok ogólnego, horyzontalnego prawa o ochronie danych wdrażającego dyrektywę [95/46] państwa członkowskie przyjęły uregulowania sektorowe w dziedzinach wymagających przepisów bardziej szczegółowych. Niniejsze rozporządzenie umożliwia też państwom członkowskim doprecyzowanie jego przepisów, w tym w odniesieniu do przetwarzania szczególnych kategorii danych osobowych (zwanych dalej »danymi wrażliwymi« [»danymi szczególnie chronionymi«]). W tym względzie niniejsze rozporządzenie nie wyklucza możliwości określenia w prawie państwa członkowskiego okoliczności dotyczących konkretnych sytuacji związanych z przetwarzaniem danych, w tym dookreślenia warunków, które decydują o zgodności przetwarzania z prawem.
[…]
(13) Aby zapewnić spójny stopień ochrony osób fizycznych w Unii oraz zapobiegać rozbieżnościom hamującym swobodny przepływ danych osobowych na rynku wewnętrznym, należy przyjąć rozporządzenie, które zagwarantuje podmiotom gospodarczym – w tym mikroprzedsiębiorstwom oraz małym i średnim przedsiębiorstwom – pewność prawa i przejrzystość, a osobom fizycznym we wszystkich państwach członkowskich ten sam poziom prawnie egzekwowalnych praw oraz obowiązków i zadań administratorów i podmiotów przetwarzających, które pozwoli spójnie monitorować przetwarzanie danych osobowych, a także które zapewni równoważne kary we wszystkich państwach członkowskich oraz skuteczną współpracę organów nadzorczych z różnych państw członkowskich. Aby rynek wewnętrzny mógł właściwie funkcjonować, swobodny przepływ danych osobowych w Unii nie jest ograniczany ani zakazany z powodów odnoszących się do ochrony osób fizycznych w związku z przetwarzaniem danych osobowych […].
[…]
(16) Niniejsze rozporządzenie nie ma zastosowania do kwestii ochrony podstawowych praw i wolności ani do swobodnego przepływu danych osobowych w związku z działalnością nieobjętą zakresem prawa Unii, taką jak działalność dotycząca bezpieczeństwa narodowego. Niniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych przez państwa członkowskie w związku z działaniami związanymi ze wspólną polityką zagraniczną i bezpieczeństwa Unii.
[…]
(45) Jeżeli przetwarzanie odbywa się w celu wypełnienia obowiązku prawnego, któremu podlega administrator, lub jeżeli jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej, podstawę przetwarzania powinno stanowić prawo Unii lub prawo państwa członkowskiego. Niniejsze rozporządzenie nie nakłada wymogu, aby dla każdego indywidualnego przetwarzania istniało szczegółowe uregulowanie prawne. Wystarczyć może to, że dane uregulowanie prawne stanowi podstawę różnych operacji przetwarzania wynikających z obowiązku prawnego, któremu podlega administrator, lub że przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej. Prawo Unii lub prawo państwa członkowskiego powinno określać także cel przetwarzania. Ponadto prawo to może doprecyzowywać ogólne warunki określone w niniejszym rozporządzeniu dotyczące zgodności przetwarzania z prawem, określać sposoby wskazywania administratora, rodzaj danych osobowych podlegających przetwarzaniu, osoby, których dane dotyczą, podmioty, którym można ujawniać dane osobowe, ograniczenia celu, okres przechowywania oraz inne środki zapewniające zgodność z prawem i rzetelność przetwarzania […].
[…]
(155) W prawie państwa członkowskiego lub w porozumieniach zbiorowych, w tym zakładowych porozumieniach z przedstawicielami pracowników, mogą być przewidziane przepisy szczegółowe o przetwarzaniu danych osobowych pracowników w związku z zatrudnieniem, w szczególności warunki, na których dane osobowe w związku z zatrudnieniem można przetwarzać za zgodą pracownika do celów procedury rekrutacyjnej, wykonywania umowy o pracę, w tym wykonywania obowiązków określonych w przepisach lub w porozumieniach zbiorowych, zarządzania, planowania i organizacji pracy, równości i różnorodności w miejscu pracy, bezpieczeństwa i higieny pracy oraz do celów indywidualnego lub zbiorowego wykonywania praw i korzystania ze świadczeń związanych z zatrudnieniem, a także do celów zakończenia stosunku pracy”.
5 Artykuł 1 RODO, zatytułowany „Przedmiot i cele”, stanowi:
„1. W niniejszym rozporządzeniu ustanowione zostają przepisy o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych oraz przepisy o swobodnym przepływie danych osobowych.
2. Niniejsze rozporządzenie chroni podstawowe prawa i wolności osób fizycznych, w szczególności ich prawo do ochrony danych osobowych.
3. Nie ogranicza się ani nie zakazuje swobodnego przepływu danych osobowych w Unii z powodów odnoszących się do ochrony osób fizycznych w związku z przetwarzaniem danych osobowych”.
6 Artykuł 2 wspomnianego rozporządzenia, zatytułowany „Materialny zakres stosowania”, przewiduje w ust. 1 i 2:
„1. Niniejsze rozporządzenie ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych.
2. Niniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych:
a) w ramach działalności nieobjętej zakresem prawa Unii;
b) przez państwa członkowskie w ramach wykonywania działań wchodzących w zakres tytułu V rozdział 2 [TUE];
c) przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze;
d) przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom”.
7 Artykuł 4 tego rozporządzenia, zatytułowany „Definicje”, stanowi:
„Na użytek niniejszego rozporządzenia:
1) »dane osobowe« oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (»osobie, której dane dotyczą«); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej;
2) »przetwarzanie« oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie;
[…]”.
8 Artykuł 5 RODO, zatytułowany „Zasady dotyczące przetwarzania danych osobowych”, stanowi:
„1. Dane osobowe muszą być:
a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (»zgodność z prawem, rzetelność i przejrzystość«);
b) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane, w myśl art. 89 ust. 1, za niezgodne z pierwotnymi celami (»ograniczenie celu«);
c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (»minimalizacja danych«);
d) prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane (»prawidłowość«);
e) przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1, z zastrzeżeniem, że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane na mocy niniejszego rozporządzenia w celu ochrony praw i wolności osób, których dane dotyczą (»ograniczenie przechowywania«);
f) przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych (»integralność i poufność«).
2. Administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie (»rozliczalność«)”.
9 Artykuł 6 tego rozporządzenia, zatytułowany „Zgodność przetwarzania z prawem”, stanowi w ust. 1–3:
„1. Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:
a) osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;
b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
[…]
e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.
2. Państwa członkowskie mogą zachować lub wprowadzić bardziej szczegółowe przepisy, aby dostosować stosowanie przepisów niniejszego rozporządzenia w odniesieniu do przetwarzania służącego wypełnieniu warunków określonych w ust. 1 lit. c) i e); w tym celu mogą dokładniej określić szczegółowe wymogi przetwarzania i inne środki w celu zapewnienia zgodności przetwarzania z prawem i jego rzetelności, także w innych szczególnych sytuacjach związanych z przetwarzaniem przewidzianych w rozdziale IX.
3. Podstawa przetwarzania, o którym mowa w ust. 1 lit. c) i e), musi być określona:
a) w prawie Unii; lub
b) w prawie państwa członkowskiego, któremu podlega administrator.
Cel przetwarzania musi być określony w tej podstawie prawnej lub, w przypadku przetwarzania, o którym mowa w ust. 1 lit. e), musi być ono niezbędne [on niezbędny] do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Podstawa prawna może zawierać przepisy szczegółowe [szczególne] dostosowujące stosowanie przepisów niniejszego rozporządzenia, w tym: ogólne warunki zgodności z prawem przetwarzania przez administratora; rodzaj danych podlegających przetwarzaniu; osoby, których dane dotyczą; podmioty, którym można ujawnić dane osobowe; cele, w których można je ujawnić; ograniczenia celu; okresy przechowywania; oraz operacje i procedury przetwarzania, w tym środki zapewniające zgodność z prawem i rzetelność przetwarzania, w tym w innych szczególnych sytuacjach związanych z przetwarzaniem, o których mowa w rozdziale IX. Prawo Unii lub prawo państwa członkowskiego muszą służyć realizacji celu leżącego w interesie publicznym, oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu”.
10 Zawarty w rozdziale IX RODO, zatytułowanym „Przepisy dotyczące szczególnych sytuacji związanych z przetwarzaniem”, art. 88 tego rozporządzenia, dotyczący „[p]rzetwarzani[a] w kontekście zatrudnienia”, przewiduje:
„1. Państwa członkowskie mogą zawrzeć w swoich przepisach lub w porozumieniach zbiorowych bardziej szczegółowe przepisy mające zapewnić ochronę praw i wolności w przypadku przetwarzania danych osobowych pracowników w związku z zatrudnieniem, w szczególności do celów rekrutacji, wykonania umowy o pracę, w tym wykonania obowiązków określonych przepisami lub porozumieniami zbiorowymi, zarządzania, planowania i organizacji pracy, równości i różnorodności w miejscu pracy, bezpieczeństwa i higieny pracy, ochrony własności pracodawcy lub klienta oraz do celów indywidualnego lub zbiorowego wykonywania praw i korzystania ze świadczeń związanych z zatrudnieniem, a także do celów zakończenia stosunku pracy.
2. Przepisy te muszą obejmować odpowiednie i szczegółowe środki zapewniające osobie, której dane dotyczą, poszanowanie jej godności, prawnie uzasadnionych interesów i praw podstawowych, w szczególności pod względem przejrzystości przetwarzania, przekazywania danych osobowych w ramach grupy przedsiębiorstw lub grupy przedsiębiorców prowadzących wspólną działalność gospodarczą oraz systemów monitorujących w miejscu pracy.
3. Do dnia 25 maja 2018 r. każde państwo członkowskie zawiadamia Komisję [Europejską] o swoich przepisach przyjętych na mocy ust. 1, a następnie niezwłocznie o każdej dotyczącej ich późniejszej zmianie”.
Prawo krajowe
11 Paragraf 26 ust. 1 zdanie pierwsze Bundesdatenschutzgesetz (federalnej ustawy o ochronie danych) z dnia 30 czerwca 2017 r. (BGBl. 2017 I, s. 2097) stanowi:
„Dla celów związanych ze stosunkiem pracy można przetwarzać dane osobowe pracowników, jeżeli jest to niezbędne dla podjęcia decyzji o nawiązaniu stosunku pracy lub po nawiązaniu stosunku pracy dla jego wykonania, rozwiązania lub wykonywania praw i obowiązków rad pracowniczych, wynikających z ustawy lub układu zbiorowego pracy, porozumienia zakładowego w sektorze prywatnym albo porozumienia zakładowego w sektorze publicznym (porozumienia zbiorowego) […]”.
12 Zgodnie z § 23 Hessisches Datenschutz- und Informationsfreiheitsgesetz (ustawy kraju związkowego Hesja o ochronie danych i wolności informacji) z dnia 3 maja 2018 r. (zwanej dalej „HDSIG”):
„1. Dla celów związanych ze stosunkiem pracy można przetwarzać dane osobowe pracowników, jeżeli jest to niezbędne dla podjęcia decyzji o nawiązaniu stosunku pracy lub po nawiązaniu stosunku pracy dla jego wykonania, zakończenie lub rozwiązanie, a także dla realizacji wewnętrznych służbowych środków o charakterze planistycznym, organizacyjnym, socjalnym i kadrowym […].
2. W przypadku gdy przetwarzanie danych osobowych pracowników odbywa się na podstawie zgody, w celu oceny, czy zgoda została wyrażona dobrowolnie, należy uwzględnić między innymi zależność pracownika od stosunku pracy oraz okoliczności, w jakich zgoda została wyrażona. Dobrowolny charakter zgody może zostać wykazany w szczególności wtedy, gdy pracownik odnosi korzyść prawną lub ekonomiczną lub jeżeli pracodawca i pracownik mają zbieżne interesy. Zgoda musi zostać udzielona na piśmie, chyba że ze względu na szczególne okoliczności wymagana jest inna forma. Pracodawca jest zobowiązany poinformować pracownika na piśmie o celu przetwarzania danych oraz o przysługującym mu prawie do wycofania zgody, o którym mowa w art. 7 ust. 3 [RODO].
3. Na zasadzie odstępstwa od art. 9 ust. 1 [RODO] przetwarzanie szczególnych kategorii danych osobowych w rozumieniu art. 9 ust. 1 [RODO] jest dozwolone do celów stosunku pracy, jeżeli jest ono niezbędne do wykonywania praw lub obowiązków prawnych wynikających z prawa pracy, prawa zabezpieczenia społecznego i ochrony socjalnej i gdy nie ma podstaw, by zakładać, że ważniejszy jest interes osoby, której dane dotyczą, w postaci wykluczenia przetwarzania. Paragraf 2 stosuje się również do zgody na przetwarzanie szczególnych kategorii danych osobowych. W tym względzie zgoda musi zawierać wyraźne odniesienie do tych danych […].
4. Przetwarzanie danych osobowych, w tym kategorii szczególnych danych osobowych pracowników dla celów związanych ze stosunkiem pracy, jest dopuszczalne na podstawie porozumień zbiorowych. Strony negocjacji przestrzegają przy tym art. 88 ust. 2 [RODO].
5. Administrator musi podjąć odpowiednie środki, aby zapewnić przestrzeganie w szczególności zasad dotyczących przetwarzania danych osobowych, o których mowa w art. 5 [RODO].
[…]
7. Paragrafy 1–6 mają zastosowanie również wtedy, gdy dane osobowe, w tym szczególne kategorie danych osobowych pracowników, są przetwarzane, mimo że nie stanowią one części zbioru danych ani nie mają stanowić części zbioru danych. Przepisy Hessisches Beamtengesetz [(HBG) (ustawy o służbie publicznej kraju związkowego Hesja) z dnia 21 czerwca 2018 r. (zwanej dalej „HBG”)] mające zastosowanie do akt osobowych stosuje się mutatis mutandis do pracowników sektora publicznego, chyba że układ zbiorowy pracy stanowi inaczej.
8. W rozumieniu niniejszej ustawy pracownikami są:
1) pracownicy, w tym pracownicy tymczasowi w stosunkach z podmiotem stosującym normy;
[…]
7) urzędnicy podlegający [HBG], sędziowie kraju związkowego, a także osoby pozostające w służbie cywilnej.
[…]”.
13 Paragraf 86 ust. 4 HBG stanowi:
„Pracodawca może zbierać dane osobowe dotyczące kandydatów, urzędników oraz byłych urzędników jedynie w zakresie, w jakim jest to niezbędne dla nawiązania, wykonania, zakończenia lub rozwiązania stosunku pracy lub dla realizacji środków o charakterze organizacyjnym, kadrowym i socjalnym, w szczególności również dla celów związanych z planowaniem i wykorzystywaniem kadr, lub w jakim zezwala na to przepis prawa lub porozumienie zakładowe w sektorze publicznym […]”.
Postępowanie główne i pytania prejudycjalne
14 Jak wynika z akt sprawy przedłożonych Trybunałowi, dwoma aktami przyjętymi w 2020 r. minister edukacji i kraju związkowego Hesja ustalił ramy prawne i organizacyjne nauczania szkolnego w okresie pandemii COVID‑19. Ramy te przewidywały między innymi możliwość uczestniczenia uczniów, którzy nie mogli być obecni w klasie, w lekcjach na żywo za pośrednictwem wideokonferencji. W celu ochrony praw uczniów w dziedzinie ochrony danych osobowych ustalono, że połączenie z usługą wideokonferencji będzie dozwolone wyłącznie za zgodą samych uczniów lub, w przypadku ich nieletniości, ich rodziców. Natomiast zgoda zainteresowanych nauczycieli na ich udział w tej usłudze nie została przewidziana.
15 Radą główna nauczycielstwa przy ministerstwie edukacji kraju związkowego Hesja, wniosła skargę do Verwaltungsgericht Wiesbaden (sądu administracyjnego w Wiesbaden, Niemcy), podnosząc, że transmitowanie na żywo lekcji za pośrednictwem wideokonferencji nie zostało poddane warunkowi uzyskania zgody zainteresowanych nauczycieli.
16 Minister edukacji kraju związkowego Hesja podniósł ze swej strony, że przetwarzanie danych osobowych, jakim jest transmitowanie lekcji na żywo w formie wideokonferencji, jest objęte zakresem § 23 ust. 1 zdanie pierwsze HDSIG, w związku z czym może ono być dokonywane bez uzyskania zgody danych nauczycieli.
17 Verwaltungsgericht Wiesbaden (sąd administracyjny w Wiesbaden) wskazuje w tym względzie, że zgodnie z wolą ustawodawcy kraju związkowego Hesja § 23 HDSIG i § 86 HBG należą do kategorii „bardziej szczegółowych przepisów”, które państwa członkowskie mogą ustanowić zgodnie z art. 88 ust. 1 RODO w celu zapewnienia ochrony praw i wolności w przypadku przetwarzania danych osobowych pracowników w związku z zatrudnieniem. Sąd ten ma jednak wątpliwości co do zgodności § 23 ust. 1 zdanie pierwsze HDSIG i § 86 ust. 4 HBG z wymogami ustanowionymi w art. 88 ust. 2 RODO.
18 W pierwszej kolejności bowiem § 23 ust. 1 zdanie pierwsze HDSIG i § 86 ust. 4 HBG opierają się na „niezbędności” jako podstawie prawnej przetwarzania danych pracowników. Tymczasem, po pierwsze, wprowadzenie do ustawy zasady „niezbędności” nie stanowi normy konkretyzującej wymogi zawarte w art. 88 ust. 2 RODO, ponieważ przetwarzanie danych niezbędne w kontekście zatrudnienia jest już uregulowane w art. 6 ust. 1 akapit pierwszy lit. b) RODO.
19 Po drugie, § 23 ust. 1 zdanie pierwsze HDSIG znajduje zastosowanie poza stosunkiem umownym w ścisłym znaczeniu do każdego przetwarzania danych pracowników. Tymczasem z art. 6 ust. 1 akapit pierwszy lit. f) RODO wynika, że w przypadku przetwarzania danych osobowych wykraczającego poza przetwarzanie ściśle niezbędne w ramach umowy o pracę należy wyważyć podstawowe prawa i wolności osoby, której dane dotyczą, w niniejszym przypadku pracowników i urzędników, z uzasadnionym interesem realizowanym przez administratora danych, w niniejszym przypadku pracodawcę. Ponieważ § 23 ust. 1 zdanie pierwsze HDSIG nie przewiduje takiego wyważenia, po wejściu w życie RODO przepisu tego nie można uznawać za szczególną normę sektorową.
20 W drugiej kolejności – Verwaltungsgericht Wiesbaden (sąd administracyjny w Wiesbaden) uważa, że zwykłe odesłanie zawarte w § 23 ust. 5 HDSIG, zgodnie z którym administrator danych musi w szczególności przestrzegać zasad określonych w art. 5 RODO, nie spełnia wymogów art. 88 ust. 2 tego rozporządzenia. Przepisy te muszą obejmować odpowiednie i szczegółowe środki zapewniające osobie, której dane dotyczą, poszanowanie jej godności, prawnie uzasadnionych interesów i praw podstawowych, w szczególności pod względem przejrzystości przetwarzania, przekazywania danych osobowych w ramach grupy przedsiębiorstw lub grupy przedsiębiorców prowadzących wspólną działalność gospodarczą oraz systemów monitorujących w miejscu pracy. Podmiot stosujący normy nie jest adresatem art. 88 ust. 2 RODO.
21 W tych okolicznościach Verwaltungsgericht Wiesbaden (sąd administracyjny w Wiesbaden) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:
„1) Czy wykładni art. 88 ust. 1 [RODO] należy dokonywać w ten sposób, że przepis prawa, aby stanowił bardziej szczegółowy przepis mający zapewnić ochronę praw i wolności w przypadku przetwarzania danych osobowych pracowników w związku z zatrudnieniem w rozumieniu art. 88 ust. 1 [RODO], musi spełniać wymogi stawiane wobec takich przepisów w art. 88 ust. 2 tego rozporządzenia?
2) Czy można mimo wszystko nadal stosować normę krajową, jeżeli w sposób oczywisty nie spełnia ona wymogów wynikających z art. 88 ust. 2 [RODO]?”.
22 Pismem, które wpłynęło do sekretariatu Trybunału w dniu 30 listopada 2021 r., Verwaltungsgericht Wiesbaden (sąd administracyjny w Wiesbaden) poinformował Trybunał, że ze względu na zmiany w przepisach krajowych regulujących właściwość miejscową sądów administracyjnych kraju związkowego Hesja, które miały stać się skuteczne w dniu 1 grudnia 2021 r., spór w postępowaniu głównym został przeniesiony do Verwaltungsgericht Frankfurt am Main (sądu administracyjnego we Frankfurcie nad Menem, Niemcy). Pismem, które wpłynęło do sekretariatu Trybunału w dniu 21 lutego 2022 r., sąd ten potwierdził to przekazanie i wskazał Trybunałowi nowy numer sprawy nadany w postępowaniu głównym.
W przedmiocie dopuszczalności wniosku o wydanie orzeczenia w trybie prejudycjalnym
23 W uwagach na piśmie rząd niemiecki podniósł, że wniosek o wydanie orzeczenia w trybie prejudycjalnym jest niedopuszczalny, ponieważ pytania prejudycjalne nie mają znaczenia dla rozstrzygnięcia sporu w postępowaniu głównym. Odpowiedź Trybunału nie byłaby bowiem użyteczna dla sądu odsyłającego, w przypadku gdyby przetwarzanie danych było dozwolone na podstawie zgody nauczyciela. Tymczasem sąd odsyłający nie wyjaśnił powodów, dla których nie uwzględnił takiej ewentualności.
24 Zapytany o tę kwestię na rozprawie przed Trybunałem rząd niemiecki przyznał jednak, że pytania prejudycjalne są istotne w sytuacji, gdy nie można było uzyskać zgody nauczyciela.
25 Należy przypomnieć w tej kwestii, że zgodnie z utrwalonym orzecznictwem pytania dotyczące wykładni prawa Unii, z którymi zwrócił się do Trybunału sąd krajowy w ramach stanu prawnego i faktycznego, za którego ustalenie jest on odpowiedzialny, przy czym prawidłowość tych ustaleń nie podlega ocenie przez Trybunał, korzystają z domniemania posiadania znaczenia dla sprawy. Odmowa wydania przez Trybunał orzeczenia w przedmiocie złożonego przez sąd krajowy wniosku jest możliwa tylko wtedy, gdy jest oczywiste, że wykładnia prawa Unii, o którą wniesiono, nie ma żadnego związku ze stanem faktycznym lub z przedmiotem postępowania głównego, gdy problem jest natury hipotetycznej bądź gdy Trybunał nie dysponuje informacjami w zakresie stanu faktycznego lub prawnego niezbędnymi do udzielenia użytecznej odpowiedzi na postawione mu pytania (wyrok z dnia 1 sierpnia 2022 r., Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, pkt 48 i przytoczone tam orzecznictwo).
26 W niniejszej sprawie z postanowienia odsyłającego wynika, że strony w postępowaniu głównym spierają się co do tego, czy wprowadzenie transmitowania na żywo lekcji za pośrednictwem systemów wideokonferencji wymaga, poza zgodą rodziców dla ich dzieci lub zgodą uczniów pełnoletnich, zgody zainteresowanych nauczycieli, czy też przetwarzanie ich danych osobowych jest objęte § 23 ust. 1 zdanie pierwsze HDSIG i § 86 ust. 4 HBG.
27 Należy również zauważyć, że Verwaltungsgericht Wiesbaden (sąd administracyjny w Wiesbaden) wskazał we wniosku o wydanie orzeczenia w trybie prejudycjalnym z jednej strony, że ustawodawca krajowy uznał, iż § 23 HDSIG i § 86 HBG stanowią bardziej szczegółowe przepisy w rozumieniu art. 88 RODO, a z drugiej strony, że rozstrzygnięcie sporu w postępowaniu głównym zależy od tego, czy § 23 ust. 1 zdanie pierwsze HDSIG i § 86 ust. 4 HBG są zgodne z wymogami wspomnianego art. 88 RODO, tak aby mogły stanowić bardziej szczegółowe przepisy mające zastosowanie do przetwarzania danych osobowych nauczycieli przy transmitowaniu na żywo lekcji poprzez system wideokonferencyjny, o którym mowa w postępowaniu głównym.
28 Z uwagi na informacje przedstawione we wniosku o wydanie orzeczenia w trybie prejudycjalnym argumentacja przedstawiona przez rząd niemiecki nie może obalić domniemania znaczenia dla sprawy, z którego korzystają zadane pytania.
29 W tych okolicznościach nie można uznać ani że wykładnia przepisów prawa Unii, o którą wnioskowano, w oczywisty sposób nie ma żadnego związku ze stanem faktycznym lub z przedmiotem sporu w postępowaniu głównym, ani że problem ma charakter hipotetyczny, ponieważ sąd odsyłający może wziąć tę wykładnię pod uwagę w celu rozstrzygnięcia sporu w postępowaniu głównym. Wreszcie Trybunał dysponuje informacjami w zakresie stanu faktycznego i prawnego niezbędnymi do udzielenia użytecznej odpowiedzi na przedstawione mu pytania.
30 Wynika stąd, że wniosek o wydanie orzeczenia w trybie prejudycjalnym jest dopuszczalny.
W przedmiocie pytań prejudycjalnych
Uwagi wstępne
31 Pytania prejudycjalne dotyczą wykładni art. 88 ust. 1 i 2 RODO w ramach sporu dotyczącego przetwarzania danych osobowych nauczycieli przy transmitowaniu na żywo w formie wideokonferencji publicznego nauczania szkolnego, którego prowadzenie należy do ich obowiązków.
32 W pierwszej kolejności należy ustalić, czy takie przetwarzanie jest objęte materialnym zakresem stosowania RODO, zważywszy na fakt, że zgodnie z art. 2 ust. 2 lit. a) tego rozporządzenia nie ma ono zastosowania do przetwarzania danych osobowych „w ramach działalności nieobjętej zakresem prawa Unii” oraz że zgodnie z art. 165 ust. 1 TFUE państwa członkowskie są odpowiedzialne za treść nauczania i organizację swoich systemów edukacyjnych.
33 W tym względzie z orzecznictwa Trybunału wynika, że definicja materialnego zakresu stosowania RODO określona w jego art. 2 ust. 1 jest bardzo szeroka i że wyjątki od tego zakresu, przewidziane w jego art. 2 ust. 2, należy interpretować ściśle [zob. podobnie wyroki: z dnia 9 lipca 2020 r., Land Hessen, C‑272/19, EU:C:2020:535, pkt 68; a także z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 61, 62].
34 Ponadto art. 2 ust. 2 lit. a) RODO należy odczytywać w związku z jego art. 2 ust. 2 lit. b) i motywem 16, który uściśla, że rozporządzenie to nie ma zastosowania do przetwarzania danych osobowych „w związku z działalnością nieobjętą zakresem prawa Unii, taką jak działalność dotycząca bezpieczeństwa narodowego”, a także „w związku z działaniami związanymi ze wspólną polityką zagraniczną i bezpieczeństwa Unii” [wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 63].
35 Wynika z tego, że art. 2 ust. 2 lit. a) i b) RODO, który częściowo stanowi kontynuację art. 3 ust. 2 tiret pierwsze dyrektywy 95/46, nie może być interpretowany w ten sposób, że ma on szerszy zakres niż wyjątek wynikający z art. 3 ust. 2 tiret pierwsze dyrektywy 95/46, który wykluczał już z zakresu stosowania tej dyrektywy między innymi przetwarzanie danych osobowych w ramach „działalności wykraczającej poza zakres prawa Wspólnoty, jak np. dane, o których stanowi tytuł V i VI traktatu [UE, w wersji sprzed traktatu z Lizbony], a w żadnym razie […] działalności na rzecz bezpieczeństwa publicznego, obronności, bezpieczeństwa państwa” [wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 64].
36 W niniejszej sprawie bezsporne jest, że działalność związana z organizacją nauczania w kraju związkowym Hesja nie może zostać zaliczona do kategorii działalności mającej na celu ochronę bezpieczeństwa narodowego, o której mowa w art. 2 ust. 2 lit. a) RODO.
37 W związku z tym przetwarzanie danych osobowych nauczycieli przy transmitowaniu na żywo w formie wideokonferencji prowadzonych przez nich lekcji nauczania publicznego, takie jak rozpatrywane w postępowaniu głównym, jest objęte materialnym zakresem stosowania RODO.
38 W drugiej kolejności z wniosku o wydanie orzeczenia w trybie prejudycjalnym wynika, że nauczyciele, których przetwarzanie danych osobowych jest przedmiotem sporu w postępowaniu głównym, należą do służby publicznej kraju związkowego Hesja jako pracownicy lub urzędnicy.
39 Należy zatem ustalić, czy takie przetwarzanie danych osobowych wchodzi w zakres stosowania art. 88 RODO, który dotyczy „przetwarzania danych osobowych pracowników w związku z zatrudnieniem”.
40 W tym względzie należy zauważyć, że RODO nie definiuje pojęć „pracowników” i „zatrudnienia” ani nie odsyła do prawa państw członkowskich w celu ich zdefiniowania. W braku takiego odesłania należy przypomnieć, że – jak wynika zarówno z wymogów jednolitego stosowania prawa Unii, jak i z zasady równości – treści przepisu prawa Unii, który nie zawiera wyraźnego odesłania do prawa państw członkowskich dla określenia jego znaczenia i zakresu, należy zwykle nadać w całej Unii autonomiczną i jednolitą wykładnię (wyrok z dnia 2 czerwca 2022 r., HK/Danmark i HK/Privat, C‑587/20, EU:C:2022:419, pkt 25 i przytoczone tam orzecznictwo).
41 Ponadto ponieważ RODO nie definiuje pojęć „pracowników” i „zatrudnienia”, należy je interpretować zgodnie z ich zwykłym znaczeniem w języku potocznym, z uwzględnieniem kontekstu, w którym zostały użyte, i celów uregulowania, którego część stanowią (wyrok z dnia 2 czerwca 2022 r., HK/Danmark i HK/Privat, C‑587/20, EU:C:2022:419, pkt 26 i przytoczone tam orzecznictwo).
42 Otóż termin „pracownik” w jego zwykłym znaczeniu oznacza osobę, która świadczy pracę w ramach stosunku podporządkowania wobec pracodawcy, a zatem pod jego nadzorem (wyrok z dnia 18 marca 2021 r., Kuoni Travel, C‑578/19, EU:C:2021:213, pkt 42).
43 Podobnie istotną cechą charakterystyczną „zatrudnienia” jest okoliczność, że dana osoba wykonuje przez pewien okres na rzecz innej osoby i pod jej kierownictwem świadczenia, za które otrzymuje wynagrodzenie (wyrok z dnia 15 lipca 2021 r., Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, pkt 49).
44 Ponieważ taka cecha jest właściwa pracownikom i zatrudnieniu zarówno w sektorze publicznym, jak i prywatnym, należy z tego wywnioskować, że pojęcia „pracownika” i „zatrudnienia”, rozumiane w ich zwykłym znaczeniu, nie wykluczają osób wykonujących swoją działalność zawodową w sektorze publicznym.
45 Zakresu art. 88 ust. 1 RODO nie można bowiem określać w zależności od charakteru stosunku prawnego łączącego pracownika z pracodawcą. Tym samym bez znaczenia jest kwestia, czy dana osoba jest zatrudniona w charakterze pracownika najemnego, czy urzędnika, lub też czy jej stosunek pracy podlega prawu publicznemu, czy prywatnemu, ponieważ te kwalifikacje prawne są zmienne w zależności od przepisów krajowych i nie mogą stanowić odpowiedniego kryterium dla jednolitej i autonomicznej wykładni tego przepisu (zob. analogicznie wyroki: z dnia 12 lutego 1974 r., Sotgiu, 152/73, EU:C:1974:13, pkt 5; z dnia 3 czerwca 1986 r., Komisja/Francja, 307/84, EU:C:1986:222, pkt 11).
46 Co się tyczy w szczególności osób, których stosunek pracy nie jest umową o pracę, takich jak urzędnicy, prawdą jest, że art. 88 RODO odnosi się w ust. 1 do „wykonania umowy o pracę”. Należy jednak zauważyć, po pierwsze, że odniesienie to znajduje się wśród innych celów przetwarzania danych osobowych w związku z zatrudnieniem, które mogą być przedmiotem bardziej szczegółowych przepisów przyjętych przez państwa członkowskie, wymienionych w art. 88 ust. 1 RODO, i że w każdym razie wyliczenie to nie ma charakteru wyczerpującego, o czym świadczy użyte w tym przepisie sformułowanie „w szczególności”.
47 Po drugie, brak znaczenia kwalifikacji stosunku prawnego między pracownikiem a zatrudniającą go administracją znajduje potwierdzenie w fakcie, że zarządzanie, planowanie i organizacja pracy, równość i różnorodność w miejscu pracy, bezpieczeństwo i higiena pracy, ochrona własności pracodawcy lub klienta, indywidualne lub zbiorowe wykonywanie praw i korzystanie ze świadczeń związanych z zatrudnieniem, a także zakończenie stosunku pracy, które są również wymienione w art. 88 ust. 1 RODO, odnoszą się do zatrudnienia zarówno w sektorze prywatnym, jak i publicznym.
48 W konsekwencji z zawartego w art. 88 ust. 1 RODO odniesienia do „wykonania umowy o pracę” nie można wywodzić, że zatrudnienie w sektorze publicznym, które nie jest oparte na umowie o pracę, jest wyłączone z zakresu stosowania tego przepisu.
49 Taki sam wniosek nasuwa się w odniesieniu do okoliczności, że art. 88 ust. 2 RODO wymienia wśród trzech elementów, na które państwa członkowskie powinny „w szczególności” zwrócić uwagę przy przyjmowaniu takich „bardziej szczegółowych przepisów”, przekazywanie danych osobowych „w ramach grupy przedsiębiorstw lub grupy przedsiębiorstw prowadzących wspólną działalność gospodarczą”. Dwa pozostałe elementy, a mianowicie przejrzystość przetwarzania i systemy monitorujące w miejscu pracy, mają bowiem znaczenie zarówno dla zatrudnienia w sektorze prywatnym, jak i w sektorze publicznym, niezależnie od charakteru stosunku prawnego łączącego pracownika z pracodawcą.
50 Wykładnię wynikającą z brzmienia art. 88 RODO potwierdza kontekst, w jaki artykuł ten się wpisuje, oraz cel regulacji, której część on stanowi.
51 Jak wynika z art. 1 ust. 1 RODO w związku z między innymi jego motywami 9, 10 i 13, rozporządzenie to ma na celu zapewnienie harmonizacji ustawodawstw krajowych w zakresie ochrony danych osobowych, która jest co do zasady pełna. Jednakże przepisy wspomnianego rozporządzenia dają państwom członkowskim możliwość ustanowienia dodatkowych – bardziej restrykcyjnych lub wprowadzających odstępstwa – uregulowań krajowych i pozostawiają im zakres uznania co do sposobu, w jaki owe przepisy mogą być wprowadzane w życie („klauzule upoważniające”) (zob. podobnie wyrok z dnia 28 kwietnia 2022 r., Meta Platforms Ireland, C‑319/20, EU:C:2022:322, pkt 57).
52 Artykuł 88 RODO, który znajduje się w rozdziale IX tego rozporządzenia, zatytułowanym „Przepisy dotyczące szczególnych sytuacji związanych z przetwarzaniem”, stanowi taką klauzulę upoważniającą, ponieważ przyznaje państwom członkowskim możliwość przyjęcia „bardziej szczegółowych przepisów” mających zapewnić ochronę praw i wolności w przypadku przetwarzania danych osobowych pracowników w związku z zatrudnieniem.
53 Specyfikę przetwarzania danych osobowych w związku z zatrudnieniem, a w konsekwencji uprawnienie przyznane państwom członkowskim w art. 88 ust. 1 RODO, tłumaczy się w szczególności istnieniem stosunku podporządkowania między pracownikiem a pracodawcą, a nie charakterem stosunku prawnego łączącego pracownika z pracodawcą.
54 Ponadto zgodnie z art. 1 ust. 2 RODO w związku z jego motywem 10 rozporządzenie to ma na celu w szczególności zagwarantowanie wysokiego poziomu ochrony podstawowych praw i wolności osób fizycznych w zakresie przetwarzania danych osobowych, które to prawo zostało również uznane w art. 8 Karty praw podstawowych Unii Europejskiej i jest ściśle związane z prawem do poszanowania życia prywatnego, wyrażonym w jej art. 7 (zob. podobnie wyrok z dnia 1 sierpnia 2022 r., Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, pkt 61).
55 Zgodna z tym celem jest więc szeroka wykładnia art. 88 ust. 1 RODO, w myśl której „bardziej szczegółowe przepisy”, które państwa członkowskie mogą ustanowić w celu zapewnienia ochrony praw i wolności w przypadku przetwarzania danych osobowych pracowników w związku z zatrudnieniem, mogą dotyczyć wszystkich pracowników, niezależnie od charakteru stosunku prawnego łączącego ich z pracodawcą.
56 W tych okolicznościach przetwarzanie danych osobowych nauczycieli przy transmitowaniu na żywo prowadzonych przez nich lekcji nauczania publicznego, takie jak rozpatrywane w postępowaniu głównym, jest objęte materialnym i podmiotowym zakresem stosowania art. 88 RODO.
W przedmiocie pytania pierwszego
57 Poprzez pytanie pierwsze sąd odsyłający dąży zasadniczo do ustalenia, czy art. 88 RODO należy interpretować w ten sposób, że aby przepis prawa mógł zostać uznany za bardziej szczegółowy przepis w rozumieniu ust. 1 tego artykułu, musi on spełniać warunki określone w ust. 2 tego artykułu.
58 Jak wskazano w pkt 52 niniejszego wyroku, państwa członkowskie mają możliwość, a nie obowiązek przyjęcia takich przepisów, które mogą być przewidziane w przepisach prawa lub w porozumieniach zbiorowych.
59 Ponadto w sytuacji gdy państwa członkowskie korzystają z przyznanego im w takiej klauzuli upoważniającej uprawnienia, powinny one korzystać z przysługującego im zakresu uznania na warunkach i w granicach przewidzianych w przepisach RODO, wobec czego powinny stanowić prawo w taki sposób, aby nie naruszać treści ani celów tego rozporządzenia (zob. podobnie wyrok z dnia 28 kwietnia 2022 r., Meta Platforms Ireland, C‑319/20, EU:C:2022:322, pkt 60).
60 W celu określenia warunków i ograniczeń, jakim podlegają przepisy, o których mowa w art. 88 ust. 1 i 2 RODO, a w konsekwencji oceny zakresu uznania pozostawionego państwom członkowskim w tych przepisach, należy przypomnieć, że zgodnie z utrwalonym orzecznictwem wykładnia przepisu prawa Unii wymaga uwzględnienia nie tylko jego brzmienia, ale także kontekstu, w jaki się on wpisuje, oraz celów realizowanych przez akt, którego jest on częścią (wyrok z dnia 15 marca 2022 r., Autorité des marchés financiers, C‑302/20, EU:C:2022:190, pkt 63).
61 Co się tyczy brzmienia art. 88 ust. 1 RODO, z użycia wyrażenia „bardziej szczegółowe” wynika przede wszystkim, że uregulowania, o których mowa w tym przepisie, powinny mieć treść normatywną właściwą dla regulowanej dziedziny i odrębną od przepisów ogólnych tego rozporządzenia.
62 Następnie, jak wskazano w pkt 52 niniejszego wyroku, cel uregulowań przyjętych na podstawie tego przepisu polega na ochronie praw i wolności pracowników w zakresie przetwarzania ich danych osobowych w związku z zatrudnieniem.
63 Wreszcie z różnych celów, dla których można dokonywać przetwarzania danych osobowych, określonych w art. 88 ust. 1 RODO, wynika, że „bardziej szczegółowe przepisy”, do których się ono odnosi, mogą odnosić się do bardzo dużej liczby operacji przetwarzania związanych z zatrudnieniem, tak iż objęte zostaną wszystkie cele, w których dane osobowe mogą być przetwarzane w związku z zatrudnieniem. Ponadto ponieważ wyliczenie tych celów nie jest wyczerpujące, jak wskazano w pkt 46 niniejszego wyroku, państwa członkowskie dysponują zakresem uznania co do przetwarzania podlegającego tym bardziej szczegółowym przepisom.
64 Artykuł 88 ust. 2 RODO przewiduje, że przepisy przyjęte na podstawie art. 88 ust. 1 RODO muszą obejmować odpowiednie i szczegółowe środki zapewniające osobie, której dane dotyczą, poszanowanie jej godności, prawnie uzasadnionych interesów i praw podstawowych, w szczególności pod względem przejrzystości przetwarzania, przekazywania danych osobowych w ramach grupy przedsiębiorstw lub grupy przedsiębiorców prowadzących wspólną działalność gospodarczą oraz systemów monitorujących w miejscu pracy.
65 Z brzmienia art. 88 RODO wynika zatem, że ust. 2 tego artykułu reguluje zakres uznania państw członkowskich, które zamierzają przyjąć „bardziej szczegółowe przepisy” na podstawie jego ust. 1. Tym samym – z jednej strony – przepisy te nie mogą ograniczać się do powtórzenia przepisów tego rozporządzenia i powinny mieć na celu ochronę praw i wolności pracowników w przypadku przetwarzania ich danych osobowych w związku z zatrudnieniem oraz obejmować odpowiednie i szczegółowe środki zapewniające osobie, której dane dotyczą, poszanowanie jej godności, prawnie uzasadnionych interesów i praw podstawowych.
66 Z drugiej strony szczególną uwagę należy zwrócić na przejrzystość przetwarzania, przekazywanie danych osobowych w ramach grupy przedsiębiorstw lub grupy przedsiębiorstw prowadzących wspólną działalność gospodarczą oraz na systemy monitorujące w miejscu pracy.
67 Co się tyczy kontekstu, w jaki wpisuje się art. 88 RODO, należy zauważyć w pierwszej kolejności, że przepis ten należy interpretować w świetle motywu 8 tego rozporządzenia, zgodnie z którym w zakresie, w jakim rozporządzenie to dopuszcza doprecyzowanie lub zawężenie jego przepisów przez prawo państw członkowskich, państwa te mogą – o ile jest to niezbędne, by krajowe przepisy były spójne i zrozumiałe dla osób, do których mają zastosowanie – włączyć elementy tego rozporządzenia do swego prawa krajowego.
68 W drugiej kolejności należy przypomnieć, że rozdziały II i III RODO ustanawiają, odpowiednio, zasady regulujące przetwarzanie danych osobowych oraz prawa osoby, której dane dotyczą, które powinny być przestrzegane przy każdym przetwarzaniu danych osobowych [wyrok z dnia 24 lutego 2022 r., Valsts ieņēmumu dienests (Przetwarzanie danych osobowych do celów podatkowych), C‑175/20, EU:C:2022:124, pkt 50].
69 W szczególności każde przetwarzanie danych osobowych powinno z jednej strony być zgodne z zasadami dotyczącymi przetwarzania danych określonymi w art. 5 RODO, a z drugiej strony odpowiadać jednej z zasad dotyczących zgodności przetwarzania z prawem wymienionych w art. 6 tego rozporządzenia [wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 96 i przytoczone tam orzecznictwo].
70 Jeśli chodzi o zasady dotyczące legalności przetwarzania, art. 6 RODO zawiera wyczerpujący i zamknięty wykaz przypadków, w których przetwarzanie danych osobowych może zostać uznane za zgodne z prawem. A zatem aby można było uznać je za zgodne z prawem, przetwarzanie powinno stanowić jeden z przypadków przewidzianych we wspomnianym art. 6 [wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 99 i przytoczone tam orzecznictwo].
71 W związku z tym o ile przy korzystaniu z możliwości przyznanej im na mocy klauzuli upoważniającej RODO państwa członkowskie mogą włączyć elementy tego rozporządzenia do swojego prawa krajowego, w zakresie, w jakim jest to niezbędne, by krajowe przepisy były spójne i zrozumiałe dla osób, do których mają zastosowanie, o tyle „bardziej szczegółowe przepisy” przyjęte na podstawie art. 88 ust. 1 wspomnianego rozporządzenia nie mogą ograniczać się do powtórzenia warunków zgodności z prawem przetwarzania danych osobowych oraz zasad tego przetwarzania określonych, odpowiednio, w art. 6 i art. 5 tego samego rozporządzenia lub do odesłania do tych warunków i zasad.
72 Wykładnia, zgodnie z którą zakres uznania państw członkowskich przy przyjmowaniu przepisów na podstawie art. 88 ust. 1 RODO jest ograniczony przez ust. 2 tego artykułu, jest zgodna z celem tego rozporządzenia, przypomnianym w pkt 51 niniejszego wyroku, którym jest zapewnienie harmonizacji ustawodawstw krajowych w zakresie ochrony danych osobowych, która jest co do zasady pełna.
73 Jak bowiem zauważył zasadniczo rzecznik generalny w pkt 56, 70 i 73 opinii, możliwość przyjęcia przez państwa członkowskie „bardziej szczegółowych przepisów” na podstawie art. 88 ust. 1 RODO może prowadzić do braku harmonizacji w zakresie stosowania tych przepisów. Tymczasem warunki ustanowione w art. 88 ust. 2 odzwierciedlają granice zróżnicowania zaakceptowanego przez to rozporządzenie w tym znaczeniu, że ów brak harmonizacji może zostać stwierdzony tylko wtedy, gdy pozostałym różnicom towarzyszą szczególne i odpowiednie zabezpieczenia, których celem jest ochrona praw i wolności pracowników w zakresie przetwarzania ich danych osobowych w ramach stosunków pracy.
74 W konsekwencji aby przepis prawny można było uznać za „bardziej szczegółowy przepis” w rozumieniu art. 88 ust. 1 RODO, musi on spełniać warunki określone w ust. 2 tego artykułu. Oprócz tego, że te bardziej szczegółowe przepisy mają treść normatywną właściwą dla regulowanej dziedziny i odrębną od przepisów ogólnych tego rozporządzenia, muszą one mieć na celu ochronę praw i wolności pracowników w zakresie przetwarzania ich danych osobowych w związku z zatrudnieniem oraz obejmować odpowiednie i szczegółowe środki zapewniające osobie, której dane dotyczą, poszanowanie jej godności, prawnie uzasadnionych interesów i praw podstawowych. Szczególną uwagę należy zwrócić na przejrzystość przetwarzania, przekazywanie danych osobowych w ramach grupy przedsiębiorstw lub grupy przedsiębiorstw prowadzących wspólną działalność gospodarczą oraz na systemy monitorujące w miejscu pracy.
75 W świetle całości powyższych rozważań na pytanie pierwsze należy odpowiedzieć, iż art. 88 RODO należy interpretować w ten sposób, że uregulowanie krajowe nie może stanowić „bardziej szczegółowego przepisu” w rozumieniu ust. 1 tego artykułu, jeżeli nie spełnia warunków określonych w ust. 2 tego artykułu.
W przedmiocie pytania drugiego
76 Poprzez pytanie drugie sąd odsyłający zmierza zasadniczo do ustalenia, jakie konsekwencje należy wyciągnąć ze stwierdzenia niezgodności z warunkami i ograniczeniami przewidzianymi w art. 88 ust. 1 i 2 RODO przepisów krajowych przyjętych w celu zapewnienia ochrony praw i wolności w zakresie przetwarzania danych osobowych pracowników w związku z zatrudnieniem.
77 W tym względzie należy przypomnieć, że zgodnie z art. 288 akapit drugi TFUE rozporządzenie wiąże w całości i jest bezpośrednio stosowane we wszystkich państwach członkowskich, w związku z czym jego przepisy nie wymagają co do zasady przyjęcia przez państwa członkowskie jakiegokolwiek środka wykonawczego (wyrok z dnia 15 czerwca 2021 r., Facebook Ireland i in., C‑645/19, EU:C:2021:483, pkt 109).
78 Jednakże, jak przypomniano w pkt 51 niniejszego wyroku, klauzule upoważniające przewidziane w RODO dają państwom członkowskim możliwość ustanowienia dodatkowych – bardziej restrykcyjnych lub wprowadzających odstępstwa – uregulowań krajowych, które pozostawiają tym państwom pewien zakres uznania co do sposobu, w jaki dane przepisy mogą być wprowadzane w życie.
79 Jak wskazano w pkt 59 niniejszego wyroku, w sytuacji gdy państwa członkowskie korzystają z uprawnienia przyznanego im w klauzuli upoważniającej RODO, powinny one korzystać z przysługującego im zakresu uznania na warunkach i w granicach przewidzianych w przepisach tego rozporządzenia, wobec czego powinny stanowić prawo w taki sposób, aby nie naruszać treści ani celów tego rozporządzenia.
80 Do sądu odsyłającego, który jako jedyny jest właściwy do dokonania wykładni prawa krajowego, należy ocena, czy rozpatrywane w postępowaniu głównym przepisy spełniają warunków i ograniczenia określone w art. 88 RODO, które zostały streszczone w pkt 74 niniejszego wyroku.
81 Jednakże, jak zauważył rzecznik generalny w pkt 60–62 opinii, przepisy takie jak § 23 ust. 1 HDSIG i § 86 ust. 4 HBG, które uzależniają przetwarzanie danych osobowych pracowników od warunku, by przetwarzanie to było niezbędne dla określonych celów związanych z wykonywaniem stosunku pracy, wydają się powtarzać przesłankę ogólnej zgodności z prawem przetwarzania, o której mowa już w art. 6 ust. 1 akapit pierwszy lit. b) RODO, bez dodawania bardziej szczegółowego przepisu w rozumieniu art. 88 ust. 1 tego rozporządzenia. Takie przepisy nie wydają się bowiem mieć treści normatywnej właściwej dla regulowanej dziedziny i odrębnej od przepisów ogólnych wspomnianego rozporządzenia.
82 W przypadku gdyby sąd odsyłający doszedł do wniosku, że przepisy rozpatrywane w postępowaniu głównym nie spełniają warunków i ograniczeń określonych w art. 88 RODO, powinien on co do zasady odstąpić od stosowania tych przepisów.
83 Zgodnie z zasadą pierwszeństwa prawa Unii podlegające bezpośredniemu stosowaniu postanowienia traktatów oraz akty wydawane przez instytucje powodują bowiem w stosunku do prawa krajowego państw członkowskich nieskuteczność z mocy prawa – ze względu na samo ich wejście w życie – wszelkich sprzecznych z nimi przepisów prawa krajowego (wyroki: z dnia 9 marca 1978 r., Simmenthal, 106/77, EU:C:1978:49, pkt 17; z dnia 19 czerwca 1990 r., Factortame i in., C‑213/89, EU:C:1990:257, pkt 18; a także z dnia 4 lutego 2016 r., Ince, C‑336/14, EU:C:2016:72, pkt 52).
84 W związku z tym w braku bardziej szczegółowych przepisów, które spełniają warunków i ograniczenia określone w art. 88 RODO, przetwarzanie danych osobowych w związku z zatrudnieniem, zarówno w sektorze prywatnym, jak i publicznym, jest regulowane bezpośrednio przepisami tego rozporządzenia.
85 W tym względzie należy zauważyć, że do przetwarzania danych osobowych takiego jak rozpatrywane w postępowaniu głównym mogą mieć zastosowanie art. 6 ust. 1 akapit pierwszy lit. c) i e) RODO, na mocy których przetwarzanie danych osobowych jest zgodne z prawem, jeżeli jest ono niezbędne, odpowiednio, do wypełnienia obowiązku prawnego ciążącego na administratorze lub do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi.
86 Artykuł 6 ust. 3 RODO stanowi z jednej strony w odniesieniu do dwóch przypadków zgodności z prawem, o których mowa, odpowiednio, w art. 6 ust. 1 akapit pierwszy lit. c) i e) tego rozporządzenia, że przetwarzanie musi opierać się na prawie Unii lub prawie państwa członkowskiego, któremu podlega administrator, a z drugiej strony, że cel przetwarzania musi być określony w tej podstawie prawnej lub, w przypadku przetwarzania, o którym mowa we wspomnianym ust. 1 akapit pierwszy lit. e), musi być on niezbędny do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi [zob. podobnie wyrok z dnia 8 grudnia 2022 r., Inspektor v Inspektorata kam Visshia sadeben savet (Cele przetwarzania danych osobowych – Postępowanie karne), C‑180/21, EU:C:2022:967, pkt 95].
87 Należy przypomnieć, że Trybunał orzekł już, iż zgodne z prawem przetwarzanie danych osobowych przez administratorów na podstawie art. 6 ust. 1 akapit pierwszy lit. e) RODO zakłada nie tylko, że można je uznać za wykonujące zadanie w interesie publicznym, ale także że przetwarzanie danych osobowych w celu wykonywania tego zadania opiera się na podstawie prawnej z art. 6 ust. 3 tego rozporządzenia (zob. podobnie wyrok z dnia 20 października 2022 r., Koalitsia „Demokratichna Bulgaria – Obedinenie”, C‑306/21, EU:C:2022:813, pkt 52).
88 W konsekwencji jeżeli sąd odsyłający dojdzie do wniosku, że przepisy krajowe dotyczące przetwarzania danych osobowych w ramach stosunków pracy nie spełniają warunków i ograniczeń określonych w art. 88 ust. 1 i 2 RODO, będzie musiał on jeszcze zbadać, czy wspomniane przepisy stanowią podstawę prawną, o której mowa w art. 6 ust. 3 tego rozporządzenia w związku z jego motywem 45, zgodną z wymogami przewidzianymi w tym rozporządzeniu. Jeżeli tak jest, nie można odstąpić od stosowania przepisów krajowych.
89 W świetle powyższych rozważań na drugie pytanie prejudycjalne należy odpowiedzieć, że art. 88 ust. 1 i 2 RODO należy interpretować w ten sposób, że należy odstąpić od stosowania przepisów krajowych przyjętych w celu zapewnienia ochrony praw i wolności pracowników w zakresie przetwarzania ich danych osobowych w związku z zatrudnieniem, jeżeli przepisy te nie spełniają warunków i ograniczeń określonych w tym art. 88 ust. 1 i 2, chyba że przepisy te stanowią podstawę prawną, o której mowa w art. 6 ust. 3 tego rozporządzenia, zgodną z przewidzianymi w nim wymogami.
W przedmiocie kosztów
90 Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.
Z powyższych względów Trybunał (pierwsza izba) orzeka, co następuje:
1) Artykuł 88 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)
należy interpretować w ten sposób, że:
uregulowanie krajowe nie może stanowić „bardziej szczegółowego przepisu” w rozumieniu ust. 1 tego artykułu, jeżeli nie spełnia warunków określonych w ust. 2 tego artykułu.
2) Artykuł 88 ust. 1 i 2 rozporządzenia 2016/679
należy interpretować w ten sposób, że:
należy odstąpić od stosowania przepisów krajowych przyjętych w celu zapewnienia ochrony praw i wolności pracowników w zakresie przetwarzania ich danych osobowych w związku z zatrudnieniem, jeżeli przepisy te nie spełniają warunków i ograniczeń określonych w tym art. 88 ust. 1 i 2, chyba że przepisy te stanowią podstawę prawną, o której mowa w art. 6 ust. 3 tego rozporządzenia, zgodną z przewidzianymi w nim wymogami.
Podpisy