Cauza C‑34/21
Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium
împotriva
Minister des Hessischen Kultusministeriums
(cerere de decizie preliminară introdusă de Verwaltungsgericht Wiesbaden)
Hotărârea Curții (Camera întâi) din 30 martie 2023
„Trimitere preliminară – Protecția datelor cu caracter personal – Regulamentul (UE) 2016/679 – Articolul 88 alineatele (1) și (2) – Prelucrarea în contextul ocupării unui loc de muncă – Sistem școlar regional – Predare prin videoconferință din cauza pandemiei de COVID‑19 – Punere în aplicare fără consimțământul expres al profesorilor”
1. Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Domeniu de aplicare – Derogări – Prelucrarea datelor în cadrul unei activități care nu intră în domeniul de aplicare al dreptului Uniunii – Activitate prin care se urmărește protecția securității naționale sau care face parte din această categorie – Noțiune – Activitate privind organizarea învățământului public – Excludere
[Regulamentul 2016/679 al Parlamentului European și al Consiliului, considerentul (16) și art. 2 alin. (1) și alin. (2) lit. (a) și (b)]
(a se vedea punctele 32-37)
2. Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Prelucrarea datelor angajaților în contextul ocupării unui loc de muncă – Noțiune – Difuzarea în direct prin videoconferință a cursurilor din învățământ predate de profesori care fac parte dintr‑un serviciu public – Includere
[Regulamentul 2016/679 al Parlamentului European și al Consiliului, considerentul (10) și art. 1 alin. (2) și art. 88]
(a se vedea punctele 39-56)
3. Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Prelucrarea datelor angajaților în contextul ocupării unui loc de muncă – Noțiunea de norme mai specifice – Posibilitate acordată statelor membre – Obiectiv de protecție a drepturilor și libertăților angajaților în cadrul prelucrării datelor lor – Condiții și limite prevăzute de regulament – Reglementare națională care nu îndeplinește aceste condiții și limite – Excludere
[Regulamentul 2016/679 al Parlamentului European și al Consiliului, considerentul (10) și art. 88 alin. (1) și (2)]
(a se vedea punctele 58-75 și dispozitiv 1)
4. Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Prelucrarea datelor angajaților în contextul ocupării unui loc de muncă – Condiții și limite prevăzute de regulament – Dispoziții naționale care prevăd difuzarea în direct prin videoconferință a cursurilor de învățământ public predate de profesori fără consimțământul lor expres – Inadmisibilitate – Consecințe – Inaplicabilitatea acestor dispoziții – Limite
[art. 288 al doilea paragraf TFUE; Regulamentul 2016/679 al Parlamentului European și al Consiliului, considerentul (45) și art. 5, art. 6 alin. (1) primul paragraf și alin. (3) și art. 88 alin. (1) și (2)]
(a se vedea punctele 77-89 și dispozitiv 2)
Rezumat
Difuzarea în direct prin videoconferință a cursurilor de învățământ școlar public intră sub incidența RGPD
Prin două acte adoptate în cursul anului 2020, ministrul educației și culturii din landul Hessen (Germania) a stabilit cadrul juridic și organizațional al învățământului școlar în perioada de pandemie de COVID‑19, cadru care prevedea în special posibilitatea ca elevii care nu puteau fi prezenți în clasă să asiste la cursuri în direct prin videoconferință. Pentru a proteja drepturile elevilor în materie de protecție a datelor cu caracter personal, s‑a stabilit că conectarea la serviciul de videoconferință nu ar fi autorizată decât cu consimțământul elevilor înșiși sau, în cazul în care aceștia sunt minori, cu consimțământul părinților lor. În schimb, consimțământul profesorilor în cauză pentru participarea lor la acest serviciu nu a fost prevăzut.
Comitetul principal pentru personalul didactic de pe lângă Ministerul Educației al Landului Hessen a introdus o acțiune împotriva ministrului de resort, prin care se plângea de faptul că difuzarea în direct a cursurilor prin videoconferință, astfel cum a fost organizată prin reglementarea națională, nu era condiționată de consimțământul profesorilor în cauză. Ministrul educației a susținut că prelucrarea datelor cu caracter personal pe care o constituie difuzarea în direct a cursurilor prin videoconferință era reglementată de legislația națională, astfel încât aceasta putea fi efectuată fără solicitarea consimțământului profesorilor în cauză.
Instanța administrativă sesizată a arătat în această privință că, în conformitate cu voința legiuitorului din landul Hessen, reglementarea națională, în temeiul căreia este efectuată prelucrarea datelor cu caracter personal ale profesorilor, intră în categoria „normelor mai detaliate” pe care statele membre le pot prevedea, în conformitate cu articolul 88 alineatul (1) din Regulamentul general privind protecția datelor(1), pentru a asigura protecția drepturilor și a libertăților lucrătorilor în ceea ce privește prelucrarea datelor lor cu caracter personal în cadrul raporturilor de muncă(2). Această instanță și‑a manifestat însă îndoiala cu privire la compatibilitatea acestei reglementări cu condițiile prevăzute la articolul 88 alineatul (2) din RGPD(3). Ea a sesizat deci Curtea cu titlu preliminar.
Prin hotărârea pronunțată, Curtea statuează că o reglementare națională nu poate constitui o „normă mai detaliată”, în sensul alineatului (1) al articolului 88 din RGPD, în cazul în care nu îndeplinește condițiile prevăzute la alineatul (2) al articolului menționat. În plus, Curtea precizează că aplicarea unor dispoziții naționale adoptate pentru a asigura protecția drepturilor și libertăților cu privire la prelucrarea datelor cu caracter personal ale angajaților în contextul ocupării unui loc de muncă trebuie înlăturată atunci când aceste dispoziții nu respectă condițiile și limitele prevăzute la articolul 88 alineatele (1) și (2) din RGPD, cu excepția cazului în care dispozițiile respective constituie un temei juridic al prelucrării vizat la alt articol din RGPD(4), care respectă cerințele prevăzute de acesta.
Aprecierea Curții
Cu titlu prealabil, Curtea consideră că o prelucrare a unor date cu caracter personal ale profesorilor în cadrul difuzării în direct prin videoconferință a cursurilor de învățământ public pe care le oferă intră în domeniul de aplicare material al RGPD. Curtea precizează, în continuare, că această prelucrare a datelor cu caracter personal ale profesorilor, care, în calitate de lucrători sau funcționari, se află în serviciul public al landului Hessen, intră în domeniul de aplicare personal al articolului 88 din RGPD, care vizează prelucrarea datelor cu caracter personal ale angajaților în contextul ocupării unui loc de muncă.
Mai întâi, Curtea analizează aspectul dacă o „normă mai detaliată”, în sensul alineatului (1) al articolului 88 din RGPD, trebuie să îndeplinească condițiile stabilite la alineatul (2) al acestui articol. În opinia Curții, reiese din utilizarea termenilor „mai detaliate” la articolul 88 alineatul (1) din RGPD că normele vizate de această dispoziție trebuie să aibă un conținut normativ propriu domeniului reglementat și distinct de normele generale ale acestui regulament. Reiese de asemenea din modul de redactare a articolului 88 din RGPD că alineatul (2) al acestui articol delimitează marja de apreciere a statelor membre care intenționează să adopte „norme mai detaliate” în temeiul alineatului (1) al acestui articol. Astfel, Curtea consideră, pe de o parte, că aceste norme nu se pot limita la a constitui reiterarea prevederilor acestui regulament privind condițiile de legalitate a prelucrării datelor cu caracter personal sau principiile acestui tratament(5) sau la a trimite la aceste condiții și principii. Aceste norme trebuie să vizeze protecția drepturilor și a libertăților cu privire la prelucrarea datelor lor și să cuprindă măsuri corespunzătoare și specifice pentru garantarea demnității umane, a intereselor legitime și a drepturilor fundamentale ale persoanelor vizate. Pe de altă parte, trebuie acordată o atenție specială transparenței prelucrării, transferului de date cu caracter personal în cadrul unui grup de întreprinderi sau al unui grup de întreprinderi implicate într‑o activitate economică comună, precum și sistemelor de monitorizare la locul de muncă. În consecință, pentru a putea fi calificată drept „normă mai detaliată” în sensul alineatului (1) al articolului 88 din RGPD, o normă de drept trebuie să îndeplinească condițiile prevăzute la alineatul (2) al acestui articol.
Apoi, Curtea precizează consecințele care trebuie deduse din constatarea incompatibilității dispozițiilor naționale în cauză cu condițiile și limitele prevăzute la articolul 88 alineatele (1) și (2) din RGPD.
Astfel, Curtea amintește că revine instanței de trimitere, singura competentă să interpreteze dreptul național, sarcina de a aprecia dacă dispozițiile în discuție în litigiul principal respectă condițiile și limitele prevăzute la articolul 88 din RGPD. Curtea arată totuși că aceste dispoziții naționale, care subordonează prelucrarea datelor cu caracter personal ale lucrătorilor condiției ca această prelucrare să fie necesară în anumite scopuri legate de executarea unui raport de muncă, par să reitereze condiția de legalitate generală a prelucrării, deja prevăzută de RGPD(6), fără a adăuga o normă mai detaliată în sensul articolului 88 alineatul (1) din acest regulament. În cazul în care instanța de trimitere ar constata că aceste dispoziții naționale nu respectă condițiile și limitele prevăzute la articolul 88 din RGPD, ar reveni acesteia, în principiu, sarcina de a le lăsa neaplicate. Prin urmare, în temeiul principiului primatului dreptului Uniunii și în lipsa unor norme mai detaliate care să respecte condițiile și limitele prevăzute la articolul 88 din RGPD, prelucrarea unor date cu caracter personal în contextul ocupării unui loc de muncă, atât în sectorul privat, cât și în cel public, este reglementată în mod direct de dispozițiile regulamentului amintit.
În această privință, Curtea a arătat că pot fi aplicate unei prelucrări a unor date cu caracter personal precum cea în discuție în litigiul principal alte prevederi ale RGPD(7), în temeiul cărora prelucrarea datelor cu caracter personal este legală atunci când este necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul sau, respectiv, pentru respectarea unei obligații legale căreia îi este supus operatorul. În privința acestor două ipoteze de legalitate, RGPD(8) prevede, pe de o parte, că prelucrarea trebuie să se întemeieze pe dreptul Uniunii sau pe dreptul intern care se aplică operatorului și adaugă, pe de altă parte, că scopul prelucrării este stabilit pe baza respectivului temei juridic sau este necesar pentru îndeplinirea unei sarcini efectuate în interes public sau în cadrul exercitării unei funcții publice atribuite operatorului.
În consecință, atunci când instanța de trimitere constată că dispozițiile naționale referitoare la prelucrarea datelor cu caracter personal în contextul ocupării unui loc de muncă nu respectă condițiile și limitele prevăzute la articolul 88 alineatele (1) și (2) din RGPD, aceasta trebuie să verifice și dacă dispozițiile menționate constituie un temei juridic pentru prelucrare prevăzut la alt articol din RGPD(9), care respectă cerințele prevăzute de regulamentul amintit. În acest caz, aplicarea dispozițiilor naționale nu trebuie înlăturată.