ARREST VAN HET HOF (Eerste kamer)
30 maart 2023 (*)
„Prejudiciële verwijzing – Bescherming van persoonsgegevens – Verordening (EU) 2016/679 – Artikel 88, leden 1 en 2 – Gegevensverwerking in het kader van de arbeidsverhouding – Regionaal onderwijsstelsel – Onderwijs via videoconferentie vanwege de COVID-19-pandemie – Uitvoering zonder uitdrukkelijke toestemming van de leerkrachten”
In zaak C‑34/21,
betreffende een verzoek om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door het Verwaltungsgericht Wiesbaden (bestuursrechter in eerste aanleg Wiesbaden, Duitsland) bij beslissing van 20 december 2020, ingekomen bij het Hof op 20 januari 2021, in de procedure
Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium
tegen
minister des Hessischen Kultusministeriums,
wijst
HET HOF (Eerste kamer),
samengesteld als volgt: A. Arabadjiev, kamerpresident, K. Lenaerts, president van het Hof, en L. Bay Larsen, vicepresident van het Hof, waarnemend rechters van de Eerste kamer, A. Kumin en I. Ziemele (rapporteur), rechters,
advocaat-generaal: M. Campos Sánchez-Bordona,
griffier: S. Beer, administrateur,
gezien de stukken en na de terechtzitting op 30 juni 2022,
gelet op de opmerkingen van:
– de Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium, vertegenwoordigd door J. Kolter, Rechtsanwalt,
– de minister des Hessischen Kultusministeriums, vertegenwoordigd door C. Meinert,
– de Duitse regering, vertegenwoordigd door J. Möller en D. Klebs als gemachtigden,
– de Oostenrijkse regering, vertegenwoordigd door G. Kunnert en J. Schmoll als gemachtigden,
– de Roemeense regering, vertegenwoordigd door E. Gane en A. Wellman als gemachtigden,
– de Europese Commissie, vertegenwoordigd door F. Erlbacher, H. Kranenborg en D. Nardi als gemachtigden,
gehoord de conclusie van de advocaat-generaal ter terechtzitting van 22 september 2022,
het navolgende
Arrest
1 Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 88, leden 1 en 2, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificaties in PB 2018, L 127, blz. 2, en PB 2021, L 74, blz. 35; hierna: „AVG”).
2 Dit verzoek is ingediend in het kader van een geding tussen de Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium (centraal college van leerkrachten bij het ministerie van Onderwijs en Cultuur van de deelstaat Hessen, Duitsland) en de minister des Hessischen Kultusministeriums (minister van Onderwijs en Cultuur van de deelstaat Hessen, Duitsland) over de rechtmatigheid van een systeem voor livestreamonderwijs via videoconferentie dat de scholen in de deelstaat Hessen (Duitsland) gebruiken zonder ervoor te zorgen dat de betrokken leerkrachten vooraf toestemming geven.
Toepasselijke bepalingen
Unierecht
Richtlijn 95/46
3 Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L 281, blz. 31), is met ingang van 25 mei 2018 ingetrokken bij de AVG. Artikel 3 van deze richtlijn had als opschrift „Werkingssfeer” en luidde als volgt:
„1. De bepalingen van deze richtlijn zijn van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede op de niet-geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.
2. De bepalingen van deze richtlijn zijn niet van toepassing op de verwerking van persoonsgegevens:
– die met het oog op de uitoefening van niet binnen de werkingssfeer van het gemeenschapsrecht vallende activiteiten geschiedt zoals die bedoeld in de titels V en VI [VEU, in de versie van voor het Verdrag van Lissabon,] en in ieder geval verwerkingen die betrekking hebben op de openbare veiligheid, defensie, de veiligheid van de staat (waaronder de economie van de staat, wanneer deze verwerkingen in verband staan met vraagstukken van staatsveiligheid), en de activiteiten van de staat op strafrechtelijk gebied;
[…]”
AVG
4 In de overwegingen 8 tot en met 10, 13, 16, 45 en 155 AVG staat te lezen:
„(8) Voor zover deze verordening bepaalt dat de regels die zij bevat door lidstatelijk recht kunnen worden gespecificeerd of beperkt, kunnen de lidstaten indien nodig elementen van deze verordening in hun recht opnemen om de samenhang te garanderen en om de nationale bepalingen begrijpelijk te maken voor degenen op wie zij van toepassing zijn.
(9) De doelstellingen en beginselen van richtlijn [95/46] blijven overeind, maar de richtlijn heeft niet kunnen voorkomen dat gegevens in de [Europese] Unie op gefragmenteerde wijze worden beschermd, dat er rechtsonzekerheid heerst of dat in brede lagen van de bevolking het beeld bestaat dat met name online-activiteiten aanzienlijke risico’s voor de bescherming van natuurlijke personen inhouden. De lidstaten bieden op het vlak van verwerking van persoonsgegevens uiteenlopende niveaus van bescherming van de rechten en vrijheden van natuurlijke personen, met name de bescherming van persoonsgegevens, wat het vrije verkeer van persoonsgegevens binnen de Unie in de weg kan staan. Die verschillen kunnen dan ook een belemmering vormen voor de uitoefening van economische activiteiten op Unieniveau, de mededinging verstoren en de overheid beletten de taak die zij uit hoofde van het Unierecht heeft, te vervullen. Die verschillende beschermingsniveaus zijn toe te schrijven aan de verschillen in de uitvoering en toepassing van richtlijn [95/46].
(10) Teneinde natuurlijke personen een consistent en hoog beschermingsniveau te bieden en de belemmeringen voor het verkeer van persoonsgegevens binnen de Unie op te heffen, dient het niveau van bescherming van de rechten en vrijheden van natuurlijke personen op het vlak van verwerking van deze gegevens in alle lidstaten gelijkwaardig te zijn. Er moet gezorgd worden voor een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens. Met het oog op de verwerking van persoonsgegevens voor het vervullen van een wettelijke verplichting, voor het vervullen van een taak van algemeen belang of bij de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend, moet de lidstaten worden toegestaan nationale bepalingen te handhaven of in te voeren ter nadere precisering van de wijze waarop de regels van deze verordening moeten worden toegepast. In samenhang met de algemene en horizontale wetgeving inzake gegevensbescherming ter uitvoering van richtlijn [95/46] beschikken de lidstaten over verscheidene sectorgebonden wetten op gebieden waar behoefte is aan meer specifieke bepalingen. Deze verordening biedt de lidstaten ook ruimte om eigen regels voor de toepassing vast te stellen, onder meer wat de verwerking van bijzondere persoonsgegevenscategorieën (‚gevoelige gegevens’) betreft. In zoverre staat deze verordening niet in de weg aan lidstatelijk recht waarin specifieke situaties op het gebied van gegevensverwerking nader worden omschreven, meer bepaald door nauwkeuriger te bepalen in welke gevallen verwerking van persoonsgegevens rechtmatig geschiedt.
[…]
(13) Teneinde natuurlijke personen in de gehele Unie een consistent niveau van bescherming te bieden en te voorkomen dat verschillen het vrije verkeer van persoonsgegevens op de interne markt hinderen, is een verordening nodig om marktdeelnemers […] rechtszekerheid en transparantie te bieden, te voorzien in dezelfde wettelijk afdwingbare rechten voor natuurlijke personen in alle lidstaten en in verplichtingen en verantwoordelijkheden voor de verwerkingsverantwoordelijken en de verwerkers, te zorgen voor consistent toezicht op de verwerking van persoonsgegevens en voor vergelijkbare sancties in alle lidstaten, alsook voor doeltreffende samenwerking tussen de toezichthoudende autoriteiten van verschillende lidstaten. Voor de goede werking van de interne markt is het nodig dat het vrije verkeer van persoonsgegevens in de Unie niet wordt beperkt of verboden om redenen die verband houden met de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens. […]
[…]
(16) Deze verordening is niet van toepassing op vraagstukken met betrekking tot de bescherming van de grondrechten en de fundamentele vrijheden of het vrije verkeer van persoonsgegevens in verband met niet onder het Unierecht vallende activiteiten, zoals activiteiten betreffende nationale veiligheid. Deze verordening is niet van toepassing op de verwerking van persoonsgegevens die de lidstaten verrichten bij activiteiten in verband met het gemeenschappelijk buitenlands en veiligheidsbeleid van de Unie.
[…]
(45) Indien de verwerking wordt verricht omdat de verwerkingsverantwoordelijke hiertoe wettelijk is verplicht of indien de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang dan wel voor een taak in het kader van de uitoefening van het openbaar gezag, dient de verwerking een grondslag te hebben in het Unierecht of het lidstatelijke recht. Deze verordening schrijft niet voor dat voor elke afzonderlijke verwerking specifieke wetgeving vereist is. Er kan worden volstaan met wetgeving die als basis fungeert voor verscheidene verwerkingen op grond van een wettelijke verplichting die op de verwerkingsverantwoordelijke rust, of voor verwerking die noodzakelijk is voor de vervulling van een taak van algemeen belang dan wel voor een taak in het kader van de uitoefening van het openbaar gezag. Het moet ook het Unierecht of het lidstatelijke recht zijn dat het doel van de verwerking bepaalt. Voorts zou dat recht een nadere omschrijving kunnen geven van de algemene voorwaarden van deze verordening waaraan de persoonsgegevensverwerking moet voldoen om rechtmatig te zijn, en specificaties kunnen vaststellen voor het bepalen van de verwerkingsverantwoordelijke, het type verwerkte persoonsgegevens, de betrokkenen, de entiteiten waaraan de persoonsgegevens mogen worden vrijgegeven, de doelbinding, de opslagperiode en andere maatregelen om te zorgen voor rechtmatige en behoorlijke verwerking. […]
[…]
(155) In het lidstatelijke recht of in collectieve overeenkomsten, met inbegrip van ‚bedrijfsovereenkomsten’, kunnen specifieke regels worden vastgesteld voor de verwerking van de persoonsgegevens van werknemers in het kader van de arbeidsverhouding, met name voor de voorwaarden waaronder persoonsgegevens in de arbeidsverhouding op basis van de toestemming van de werknemer mogen worden verwerkt, voor de aanwerving, voor de uitvoering van de arbeidsovereenkomst, met inbegrip van de naleving van wettelijke of uit collectieve overeenkomsten voortvloeiende verplichtingen, voor het beheer, de planning en de organisatie van de arbeid, voor gelijkheid, diversiteit, gezondheid en veiligheid op het werk, voor de uitoefening en het genot van de met de arbeidsverhouding samenhangende individuele of collectieve rechten en voordelen, en voor de beëindiging van de arbeidsverhouding.”
5 Artikel 1 AVG, met als opschrift „Onderwerp en doelstellingen”, bepaalt:
„1. Bij deze verordening worden regels vastgesteld betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van persoonsgegevens.
2. Deze verordening beschermt de grondrechten en de fundamentele vrijheden van natuurlijke personen en met name hun recht op bescherming van persoonsgegevens.
3. Het vrije verkeer van persoonsgegevens in de Unie wordt noch beperkt noch verboden om redenen die verband houden met de bescherming van natuurlijke personen ten aanzien van de verwerking van persoonsgegevens.”
6 Artikel 2 van deze verordening heeft als opschrift „Materieel toepassingsgebied” en bepaalt in de leden 1 en 2:
„1. Deze verordening is van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.
2. Deze verordening is niet van toepassing op de verwerking van persoonsgegevens:
a) in het kader van activiteiten die buiten de werkingssfeer van het Unierecht vallen;
b) door de lidstaten bij de uitvoering van activiteiten die binnen de werkingssfeer van titel V, hoofdstuk 2, VEU vallen;
c) door een natuurlijke persoon bij de uitoefening van een zuiver persoonlijke of huishoudelijke activiteit;
d) door de bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid.”
7 Artikel 4 van die verordening heeft als opschrift „Definities” en luidt:
„Voor de toepassing van deze verordening wordt verstaan onder:
1) ‚persoonsgegevens’: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (‚de betrokkene’); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;
2) ‚verwerking”: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens;
[…]”
8 In artikel 5 AVG, met als opschrift „Beginselen inzake verwerking van persoonsgegevens”, is bepaald:
„1. Persoonsgegevens moeten:
a) worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (,rechtmatigheid, behoorlijkheid en transparantie’);
b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; de verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 89, lid 1, niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd (,doelbinding’);
c) toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (‚minimale gegevensverwerking’);
d) juist zijn en zo nodig worden geactualiseerd; alle redelijke maatregelen moeten worden genomen om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren (,juistheid’);
e) worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is; persoonsgegevens mogen voor langere perioden worden opgeslagen voor zover de persoonsgegevens louter met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden worden verwerkt overeenkomstig artikel 89, lid 1, mits de bij deze verordening vereiste passende technische en organisatorische maatregelen worden getroffen om de rechten en vrijheden van de betrokkene te beschermen (,opslagbeperking’);
f) door het nemen van passende technische of organisatorische maatregelen op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging (,integriteit en vertrouwelijkheid’).
2. De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen (‚verantwoordingsplicht’).”
9 Artikel 6 van die verordening, getiteld „Rechtmatigheid van de verwerking”, bepaalt in de leden 1 tot en met 3:
„1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
[…]
e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.
De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken.
2. De lidstaten kunnen specifiekere bepalingen handhaven of invoeren ter aanpassing van de manier waarop de regels van deze verordening met betrekking tot de verwerking met het oog op de naleving van lid 1, punten c) en e), worden toegepast; hiertoe kunnen zij een nadere omschrijving geven van specifieke voorschriften voor de verwerking en andere maatregelen om een rechtmatige en behoorlijke verwerking te waarborgen, ook voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX.
3. De rechtsgrond voor de in lid 1, punten c) en e), bedoelde verwerking moet worden vastgesteld bij:
a) Unierecht; of
b) lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is.
Het doel van de verwerking wordt in die rechtsgrond vastgesteld of is met betrekking tot de in lid 1, punt e), bedoelde verwerking noodzakelijk voor de vervulling van een taak van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend. Die rechtsgrond kan specifieke bepalingen bevatten om de toepassing van de regels van deze verordening aan te passen, met inbegrip van de algemene voorwaarden inzake de rechtmatigheid van verwerking door de verwerkingsverantwoordelijke; de types verwerkte gegevens; de betrokkenen; de entiteiten waaraan en de doeleinden waarvoor de persoonsgegevens mogen worden verstrekt; de doelbinding; de opslagperioden; en de verwerkingsactiviteiten en -procedures, waaronder maatregelen om te zorgen voor een rechtmatige en behoorlijke verwerking, zoals die voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX. Het Unierecht of het lidstatelijke recht moet beantwoorden aan een doelstelling van algemeen belang en moet evenredig zijn met het nagestreefde gerechtvaardigde doel.”
10 Artikel 88 AVG is opgenomen in hoofdstuk IX („Bepalingen in verband met specifieke situaties op het gebied van gegevensverwerking”) en heeft betrekking op „verwerking in het kader van de arbeidsverhouding”. Hierin is het volgende bepaald:
„1. Bij wet of bij collectieve overeenkomst kunnen de lidstaten nadere regels vaststellen ter bescherming van de rechten en vrijheden met betrekking tot de verwerking van de persoonsgegevens van werknemers in het kader van de arbeidsverhouding, in het bijzonder met het oog op aanwerving, de uitvoering van de arbeidsovereenkomst, met inbegrip van de naleving van wettelijke of uit collectieve overeenkomsten voortvloeiende verplichtingen, het beheer, de planning en de organisatie van de arbeid, gelijkheid en diversiteit op het werk, gezondheid en veiligheid op het werk, bescherming van de eigendom van de werkgever of de klant dan wel met het oog op de uitoefening en het genot van de met de arbeidsverhouding samenhangende individuele of collectieve rechten en voordelen, en met het oog op de beëindiging van de arbeidsverhouding.
2. Die regels omvatten passende en specifieke maatregelen ter waarborging van de menselijke waardigheid, de gerechtvaardigde belangen en de grondrechten van de betrokkene, met name wat betreft de transparantie van de verwerking, de doorgifte van persoonsgegevens binnen een concern of een groepering van ondernemingen die gezamenlijk een economische activiteit uitoefenen en toezichtsystemen op het werk.
3. Elke lidstaat deelt de [Europese] Commissie uiterlijk op 25 mei 2018 de overeenkomstig lid 1 vastgestelde wetgevingsbepalingen mee, alsook onverwijld alle latere wijzigingen daarvan.”
Duits recht
11 § 26, lid 1, van het Bundesdatenschutzgesetz (federale wet inzake gegevensbescherming) van 30 juni 2017 (BGBl. 2017 I, blz. 2097), bepaalt:
„Persoonsgegevens van werknemers kunnen ten behoeve van de arbeidsverhouding worden verwerkt, indien dit noodzakelijk is voor de beslissing om een arbeidsverhouding aan te gaan of indien dit, na de totstandkoming van de arbeidsverhouding, noodzakelijk is voor de uitvoering of de beëindiging ervan, dan wel voor de uitoefening respectievelijk de nakoming van de rechten en verplichtingen die betrekking hebben op de behartiging van werknemersbelangen en die voortvloeien uit een wet, een collectieve arbeidsovereenkomst of een bedrijfs- of dienstakkoord (collectieve overeenkomst). […]”
12 § 23 van het Hessische Datenschutz- und Informationsfreiheitsgesetz (wet van de deelstaat Hessen inzake gegevensbescherming en informatievrijheid; hierna: „HDSIG”) van 3 mei 2018 bepaalt:
„(1) Persoonsgegevens van werknemers kunnen ten behoeve van de arbeidsverhouding worden verwerkt indien dit noodzakelijk is voor de beslissing om een arbeidsverhouding aan te gaan of indien dit, na de totstandkoming van de arbeidsverhouding, noodzakelijk is voor de uitvoering, beëindiging of afwikkeling daarvan, alsmede voor de uitvoering van bedrijfsinterne plannings-, organisatorische, sociale en personeelsmaatregelen. […]
(2) Wanneer voor de verwerking van persoonsgegevens van werknemers toestemming is verleend, moet bij de beoordeling of de toestemming vrijwillig is gegeven, met name rekening worden gehouden met de afhankelijkheid van de werknemer in de arbeidsverhouding en met de omstandigheden waarin de toestemming is gegeven. De toestemming kan met name vrijwillig zijn wanneer de werknemer een juridisch of economisch voordeel behaalt of wanneer de werkgever en de werknemer dezelfde belangen hebben. De toestemming moet schriftelijk worden verleend, tenzij wegens bijzondere omstandigheden een andere vorm geschikt is. De werkgever is verplicht de werknemer schriftelijk in kennis te stellen van het doel van de gegevensverwerking en van zijn recht om op grond van artikel 7, lid 3, [AVG] zijn toestemming in te trekken.
(3) In afwijking van artikel 9, lid 1, [AVG] is de verwerking van bijzondere categorieën van persoonsgegevens in de zin van artikel 9, lid 1, [AVG] ten behoeve van de arbeidsverhouding toegestaan wanneer die verwerking noodzakelijk is voor de uitoefening van rechten of de nakoming van juridische plichten die voortvloeien uit het arbeidsrecht, het socialezekerheidsrecht en de sociale bescherming, en er geen reden is om aan te nemen dat het rechtmatige belang van de betrokkene om de verwerking te verhinderen, zwaarder weegt. Lid 2 geldt ook voor de toestemming voor de verwerking van bijzondere categorieën persoonsgegevens. De toestemming moet daarbij uitdrukkelijk betrekking hebben op die gegevens. […]
(4) Persoonsgegevens van werknemers, daaronder begrepen bijzondere categorieën persoonsgegevens, mogen in het kader van de arbeidsverhouding worden verwerkt op grond van collectieve overeenkomsten. Daarbij dienen de onderhandelende partijen artikel 88, lid 2, [AVG] in acht te nemen.
(5) De verwerkingsverantwoordelijke moet passende maatregelen nemen om ervoor te zorgen dat met name de in artikel 5 [AVG] neergelegde beginselen inzake de verwerking van persoonsgegevens worden nageleefd.
[…]
(7) De leden 1 tot en met 6 zijn ook van toepassing wanneer persoonsgegevens, met inbegrip van bijzondere categorieën persoonsgegevens, door werknemers worden verwerkt zonder dat zij in een bestand zijn opgenomen of bestemd zijn om daarin te worden opgenomen. De bepalingen van het Hessische Beamtengesetz [(HBG) (ambtenarenwet van de deelstaat Hessen) van 21 juni 2018 (hierna: „HBG”)] die moeten worden aangewend bij het recht inzake personeelsdossiers, zijn van overeenkomstige toepassing op werknemers in de overheidssector, tenzij in een collectieve arbeidsovereenkomst anders is bepaald.
(8) Personeelsleden in de zin van deze wet zijn:
1. de werknemers, met inbegrip van uitzendkrachten in de relatie met de inlener;
[…]
7. ambtenaren die zijn onderworpen aan het [HBG], rechters van de deelstaat en personen die een vervangende dienstplicht vervullen.
[…]”
13 § 86, lid 4, HBG luidt als volgt:
„De werkgever mag persoonsgegevens van sollicitanten, ambtenaren en gewezen ambtenaren enkel verzamelen voor zover dit ofwel noodzakelijk is voor de totstandbrenging, uitvoering, beëindiging of afwikkeling van de arbeidsverhouding dan wel voor de uitvoering van organisatorische, personeels- en sociale maatregelen, met name ook met het oog op de personeelsplanning en de inzet van personeel, ofwel toegestaan is op grond van een wettelijke bepaling of een dienstakkoord. […]”
Hoofdgeding en prejudiciële vragen
14 Zoals blijkt uit het aan het Hof overgelegde dossier, heeft de minister van Onderwijs en Cultuur van de deelstaat Hessen bij twee in 2020 vastgestelde besluiten het juridische en organisatorische kader voor het schoolonderwijs tijdens COVID-19-pandemie vastgesteld. Met name kregen scholieren die niet in de klas aanwezig konden zijn de mogelijkheid om via videoconferentie aan het onderwijs deel te nemen. Om de rechten van de leerlingen op het gebied van de bescherming van persoonsgegevens te waarborgen, mocht alleen bij de aanbieder van videoconferenties worden ingelogd als de leerlingen of, bij minderjarigen, hun ouders, toestemming hadden gegeven. Daarentegen was niet bepaald dat de betrokken leerkrachten moesten instemmen met hun deelname aan deze videoconferenties.
15 De Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium heeft beroep ingesteld bij het Verwaltungsgericht Wiesbaden (bestuursrechter in eerste aanleg Wiesbaden, Duitsland) en beklaagde zich erover dat voor het livestreamonderwijs via videoconferentie geen toestemming van de leerkrachten vereist was.
16 De minister van Onderwijs en Cultuur van de deelstaat Hessen heeft op zijn beurt aangevoerd dat de verwerking van persoonsgegevens bij livestreamonderwijs via videoconferentie viel onder § 23, lid 1, eerste volzin, HDSIG, zodat deze verwerking mocht worden verricht zonder de betrokken leerkracht om toestemming te vragen.
17 Het Verwaltungsgericht Wiesbaden wijst er in dit verband op dat § 23 HDSIG en § 86 HBG overeenkomstig de wens van de wetgever van de deelstaat Hessen vallen onder de categorie „nadere regels” die de lidstaten overeenkomstig artikel 88, lid 1, AVG kunnen vaststellen ter bescherming van de rechten en vrijheden met betrekking tot de verwerking van de persoonsgegevens van werknemers in het kader van de arbeidsverhouding. Deze rechter betwijfelt echter of § 23, lid 1, eerste volzin, HDSIG en § 86, lid 4, HBG verenigbaar zijn met de vereisten van artikel 88, lid 2, AVG.
18 In de eerste plaats is in § 23, lid 1, eerste volzin, HDSIG en § 86, lid 4, HBG immers de „noodzakelijkheid” opgenomen als rechtsgrondslag voor de verwerking van persoonsgegevens. Om te beginnen is door in de wet het beginsel van „noodzakelijkheid” in te voegen evenwel geen regel tot stand gebracht die de vereisten van artikel 88, lid 2, AVG nader uitwerkt, aangezien de in de context van een arbeidsverhouding noodzakelijke verwerking van gegevens reeds wordt geregeld door artikel 6, lid 1, eerste alinea, onder b), AVG.
19 Voorts is § 23, lid 1, eerste volzin, HDSIG behalve op de eigenlijke contractuele verhouding, ook van toepassing op elke verwerking van gegevens van werknemers. Uit artikel 6, lid 1, eerste alinea, onder f), AVG volgt dat in het geval van een verwerking van persoonsgegevens die verder gaat dan een verwerking die strikt noodzakelijk is in het kader van de arbeidsovereenkomst, de vrijheden en grondrechten van de betrokkene (in casu werknemers en ambtenaren) moeten worden afgewogen tegen het gerechtvaardigde belang dat wordt nagestreefd door de verwerkingsverantwoordelijke (in casu de werkgever). Aangezien § 23, lid 1, eerste volzin, HDSIG niet in een dergelijke afweging voorziet, kan deze bepaling na de inwerkingtreding van de AVG niet worden beschouwd als een sectorspecifieke norm.
20 In de tweede plaats is het Verwaltungsgericht Wiesbaden van oordeel dat enkel de aanwijzing in § 23, lid 5, HDSIG dat de verwerkingsverantwoordelijke met name de beginselen van artikel 5 AVG in acht moet nemen, niet volstaat om aan de vereisten van artikel 88, lid 2, van die verordening te voldoen. Deze laatste bepaling vereist immers dat de passende en specifieke normatieve bepalingen waar daarin op wordt gedoeld, worden vastgesteld ter waarborging van de menselijke waardigheid, de gerechtvaardigde belangen en de grondrechten van de betrokkene, met name wat betreft de transparantie van de verwerking, de doorgifte van persoonsgegevens binnen een concern of een groepering van ondernemingen die gezamenlijk een economische activiteit uitoefenen en toezichtsystemen op het werk. Die bepalingen mogen bij de toepassing van een nationale norm niet slechts nog een extra in acht te nemen regel vormen. Degene die de norm toepast, is niet de adressaat van artikel 88, lid 2, AVG.
21 In deze omstandigheden heeft het Verwaltungsgericht Wiesbaden de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:
„1) Dient artikel 88, lid 1, [AVG] aldus te worden uitgelegd dat een bepaling slechts als een nadere regel ter bescherming van de rechten en vrijheden met betrekking tot de verwerking van de persoonsgegevens van werknemers in het kader van de arbeidsverhouding in de zin van artikel 88, lid 1, [AVG] kan worden aangemerkt indien zij voldoet aan de vereisten die krachtens artikel 88, lid 2, van die verordening gelden voor dergelijke regels?
2) Kan een nationale norm toepasselijk blijven hoewel zij kennelijk niet voldoet aan de vereisten van artikel 88, lid 2, [AVG]?”
22 Bij mededeling, ingekomen ter griffie van het Hof op 30 november 2021, heeft het Verwaltungsgericht Wiesbaden het Hof meegedeeld dat het hoofdgeding wegens wijzigingen van de nationale wettelijke regeling inzake de territoriale bevoegdheid van de bestuursrechters in de deelstaat Hessen die op 1 december 2021 zouden ingaan, was overgedragen aan het Verwaltungsgericht Frankfurt am Main (bestuursrechter in eerste aanleg Frankfurt am Main, Duitsland). Bij mededeling, ingekomen ter griffie van het Hof op 21 februari 2022, heeft het Verwaltungsgericht Frankfurt am Main deze overgang bevestigd en het Hof het nieuwe zaaknummer van het hoofdgeding meegedeeld.
Ontvankelijkheid van het verzoek om een prejudiciële beslissing
23 In haar schriftelijke opmerkingen heeft de Duitse regering aangevoerd dat het verzoek om een prejudiciële beslissing niet-ontvankelijk is omdat de prejudiciële vragen niet relevant zijn voor de beslechting van het hoofdgeding. Het antwoord van het Hof zou voor de verwijzende rechter immers niet nuttig zijn indien de gegevensverwerking op grond van de instemming van de leerkracht zou zijn toegestaan. De verwijzende rechter legt echter niet uit waarom hij geen rekening houdt met een dergelijke mogelijkheid.
24 In antwoord op een vraag hierover ter terechtzitting voor het Hof heeft de Duitse regering evenwel erkend dat de prejudiciële vragen relevant zijn wanneer geen toestemming van de leerkracht kon worden verkregen.
25 In dit verband zij eraan herinnerd dat er volgens vaste rechtspraak een vermoeden van relevantie geldt voor vragen over de uitlegging van het Unierecht die de nationale rechter heeft gesteld binnen het onder zijn eigen verantwoordelijkheid geschetste wettelijke en feitelijke kader, waarvan de juistheid niet ter beoordeling van het Hof staat. Het Hof kan slechts weigeren uitspraak te doen op een verzoek van een nationale rechter om een prejudiciële beslissing wanneer duidelijk blijkt dat de gevraagde uitlegging van het Unierecht geen verband houdt met een reëel geschil of met het voorwerp van het hoofdgeding, wanneer het vraagstuk van hypothetische aard is of wanneer het Hof niet beschikt over de feitelijke en juridische gegevens die het nodig heeft om een nuttig antwoord te geven op de gestelde vragen (arrest van 1 augustus 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punt 48 en aldaar aangehaalde rechtspraak).
26 In het onderhavige geval blijkt uit de verwijzingsbeslissing dat partijen in het hoofdgeding het oneens zijn over de vraag of voor livestreamonderwijs via videoconferentiesystemen behalve de toestemming van de ouders voor hun kinderen, of de toestemming van meerderjarige leerlingen, ook de toestemming van de betrokken leerkrachten vereist is, of dat de verwerking van de persoonsgegevens van leerkrachten daarentegen onder § 23, lid 1, eerste volzin, HDSIG en § 86, lid 4, HBG valt.
27 Ook moet worden opgemerkt dat het Verwaltungsgericht Wiesbaden in zijn verzoek om een prejudiciële beslissing heeft uiteengezet dat § 23 HDSIG en § 86 HBG volgens de nationale wetgever nadere regels in de zin van artikel 88 AVG zijn, en dat de uitkomst van het hoofdgeding afhangt van de vraag of § 23, lid 1, eerste volzin, HDSIG en § 86, lid 4, HBG voldoen aan de vereisten van dit artikel 88, AVG, en dus nadere voorschriften kunnen vormen die van toepassing zijn op de verwerking van persoonsgegevens van leerkrachten bij livestreamonderwijs via het videoconferentiesysteem dat in het hoofdgeding aan de orde is.
28 Gelet op de in het verzoek om een prejudiciële beslissing verstrekte gegevens, kan het betoog van de Duitse regering het voor de gestelde vragen geldende vermoeden van relevantie niet weerleggen.
29 In die omstandigheden kan niet worden geoordeeld dat de gevraagde uitlegging van Unierechtelijke bepalingen kennelijk geen verband houdt met een reëel geschil of met het voorwerp van het hoofdgeding, noch dat het vraagstuk van hypothetische aard is, aangezien de verwijzende rechter bij de beslechting van het hoofdgeding met deze uitlegging rekening kan houden. Ten slotte beschikt het Hof over de feitelijke en juridische gegevens die het nodig heeft om een nuttig antwoord te geven op de gestelde vragen.
30 Derhalve is het verzoek om een prejudiciële beslissing ontvankelijk.
Beantwoording van de prejudiciële vragen
Opmerkingen vooraf
31 De prejudiciële vragen betreffen de uitlegging van artikel 88, leden 1 en 2, AVG in het kader van een geding betreffende de verwerking van persoonsgegevens van leerkrachten bij het livestreamen van het openbaar onderwijs dat zij via videoconferentie moeten geven.
32 In de eerste plaats moet worden bepaald of een dergelijke verwerking binnen de materiële werkingssfeer van de AVG valt, gelet op het feit dat de AVG volgens artikel 2, lid 2, onder a), ervan niet van toepassing is op de verwerking van persoonsgegevens „in het kader van activiteiten die buiten de werkingssfeer van het Unierecht vallen” en de lidstaten overeenkomstig artikel 165, lid 1, VWEU verantwoordelijk zijn voor de inhoud van het onderwijs en de organisatie van hun onderwijsstelsels.
33 In dit verband volgt uit de rechtspraak van het Hof dat de definitie van de materiële werkingssfeer van de AVG, zoals deze in artikel 2, lid 1, is neergelegd, zeer ruim is en dat de in artikel 2, lid 2, bedoelde uitzonderingen op deze werkingssfeer strikt moeten worden uitgelegd [zie in die zin arresten van 9 juli 2020, Land Hessen, C‑272/19, EU:C:2020:535, punt 68, en 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punten 61 en 62].
34 Bovendien moet artikel 2, lid 2, onder a), AVG worden gelezen in samenhang met artikel 2, lid 2, onder b), van deze verordening en overweging 16 ervan, waarin wordt gepreciseerd dat die verordening niet van toepassing is op de verwerking van persoonsgegevens in verband met „niet onder het Unierecht vallende activiteiten, zoals activiteiten betreffende nationale veiligheid” en „activiteiten in verband met het gemeenschappelijk buitenlands en veiligheidsbeleid van de Unie” [arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punt 63].
35 Hieruit volgt dat artikel 2, lid 2, onder a) en b), AVG, dat gedeeltelijk weer aanhaakt bij artikel 3, lid 2, eerste streepje, van richtlijn 95/46, niet aldus kan worden uitgelegd dat het een ruimere draagwijdte heeft dan de uitzondering die voortvloeit uit artikel 3, lid 2, eerste streepje, van richtlijn 95/46, op grond waarvan onder meer de verwerking van persoonsgegevens in het kader van „niet binnen de werkingssfeer van het gemeenschapsrecht vallende activiteiten […] zoals die bedoeld in de titels V en VI [VEU, in de versie ervan die gold vóór het Verdrag van Lissabon,] en in ieder geval verwerkingen die betrekking hebben op de openbare veiligheid, defensie [en] de veiligheid van de staat”, reeds van de werkingssfeer van deze richtlijn uitgesloten waren [arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punt 64].
36 In het onderhavige geval staat vast dat het verzorgen van onderwijs in de deelstaat Hessen niet kan worden ondergebracht in de categorie van de in artikel 2, lid 2, onder a), AVG bedoelde activiteiten ter bescherming van de nationale veiligheid.
37 De verwerking van persoonsgegevens van leerkrachten bij het livestreamen van het openbaar onderwijs dat zij via videoconferentie geven, zoals die aan de orde is in het hoofdgeding, valt daarom binnen de materiële werkingssfeer van de AVG.
38 In de tweede plaats blijkt uit het verzoek om een prejudiciële beslissing dat het hoofdgeding betrekking heeft op de verwerking van persoonsgegevens van leerkrachten die als werknemers of ambtenaren onder de openbare dienst van de deelstaat Hessen vallen.
39 Derhalve moet worden vastgesteld of een dergelijke verwerking van persoonsgegevens binnen de werkingssfeer van artikel 88 AVG valt, welke bepaling betrekking heeft op „de verwerking van de persoonsgegevens van werknemers in het kader van de arbeidsverhouding”.
40 In dit verband moet worden opgemerkt dat de AVG de begrippen „werknemer” en „arbeidsverhouding” niet definieert en voor een definitie evenmin verwijst naar het recht van de lidstaten. Bij gebreke van een dergelijke verwijzing moet eraan worden herinnerd dat, zoals voortvloeit uit de vereisten van zowel de eenvormige toepassing van het Unierecht als het gelijkheidsbeginsel, de bewoordingen van een Unierechtelijke bepaling die voor de vaststelling van de betekenis en de draagwijdte ervan niet uitdrukkelijk verwijst naar het recht van de lidstaten, in de regel in de gehele Unie autonoom en op eenvormige wijze dienen te worden uitgelegd (arrest van 2 juni 2022, HK/Danmark en HK/Privat, C‑587/20, EU:C:2022:419, punt 25 en aldaar aangehaalde rechtspraak).
41 Bovendien moeten de termen „werknemer” en „arbeidsverhouding” bij gebreke van een definitie in de AVG worden uitgelegd in overeenstemming met de in de omgangstaal gebruikelijke betekenis ervan, met inachtneming van de context waarin ze worden gebruikt en de door de regeling waarvan ze deel uitmaken beoogde doelstellingen (arrest van 2 juni 2022, HK/Danmark en HK/Privat, C‑587/20, EU:C:2022:419, punt 26 en aldaar aangehaalde rechtspraak).
42 De term „werknemer” duidt in de gebruikelijke betekenis ervan op een persoon die werkzaam is in een ondergeschiktheidsverhouding met zijn werkgever en die dus onder diens toezicht staat (arrest van 18 maart 2021, Kuoni Travel, C‑578/19, EU:C:2021:213, punt 42).
43 Evenzo is het hoofdkenmerk van een „arbeidsverhouding” dat iemand gedurende een bepaalde tijd voor een ander en onder diens gezag prestaties levert en als tegenprestatie een vergoeding ontvangt (arrest van 15 juli 2021, Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, punt 49).
44 Aangezien een dergelijk kenmerk eigen is aan werknemers en arbeidsverhoudingen bij zowel de overheid als in de particuliere sector, moet daaruit worden afgeleid dat de termen „werknemer” en „arbeidsverhouding” in de gebruikelijke betekenis ervan tevens duiden op personen die hun beroepsactiviteit in de publieke sector uitoefenen.
45 De draagwijdte van artikel 88, lid 1, AVG kan immers niet worden bepaald aan de hand van de aard van de rechtsverhouding tussen de werknemer en de werkgever. Irrelevant is dus of de betrokken persoon in dienst is als werknemer of ambtenaar, dan wel of zijn arbeidsverhouding onder publiek- of privaatrecht valt, aangezien deze juridische kwalificaties afhankelijk van de nationale wetgevingen verschillend uitvallen en dus geen geschikt criterium kunnen vormen voor een uniforme en autonome uitlegging van die bepaling (zie naar analogie arresten van 12 februari 1974, Sotgiu, 152/73, EU:C:1974:13, punt 5, en 3 juni 1986, Commissie/Frankrijk, 307/84, EU:C:1986:222, punt 11).
46 Wat specifiek personen betreft wier arbeidsverhouding niet is gebaseerd op een arbeidsovereenkomst, zoals ambtenaren, moet worden vastgesteld dat artikel 88, lid 1, AVG inderdaad verwijst naar de „uitvoering van de arbeidsovereenkomst”. Evenwel moet ten eerste worden opgemerkt dat deze verwijzing is opgenomen naast andere doeleinden voor de verwerking van persoonsgegevens in het kader van de arbeidsverhouding waarvoor de lidstaten nadere regels kunnen vaststellen en die zijn opgesomd in artikel 88, lid 1, AVG, en dat deze opsomming hoe dan ook niet uitputtend is, zoals blijkt uit de woorden „in het bijzonder” in die bepaling.
47 Ten tweede wordt de irrelevantie van de kwalificatie van de rechtsverhouding tussen de werknemer en de organisatie waarbij hij in dienst is, bevestigd door het feit dat het beheer, de planning en de organisatie van de arbeid, gelijkheid en diversiteit op het werk, gezondheid en veiligheid op het werk, bescherming van de eigendom van de werkgever of de klant, de uitoefening en het genot van de met de arbeidsverhouding samenhangende individuele of collectieve rechten en voordelen, en de beëindiging van de arbeidsverhouding, die eveneens zijn opgesomd in artikel 88, lid 1, AVG, verband houden met arbeidsplaatsen zowel in de particuliere sector als bij de overheid.
48 Bijgevolg kan uit de verwijzing naar de „uitvoering van de arbeidsovereenkomst” in artikel 88, lid 1, AVG niet worden afgeleid dat een niet op een arbeidsovereenkomst gebaseerde betrekking in de publieke sector, van de werkingssfeer van die bepaling is uitgesloten.
49 Dezelfde conclusie dringt zich op door de omstandigheid dat in artikel 88, lid 2, AVG van drie elementen wordt vermeld dat, wanneer de lidstaten dergelijke „nadere regels” vaststellen, zij dat „met name wat betreft” deze elementen moeten doen en dat daaronder de doorgifte van persoonsgegevens „binnen een concern of een groepering van ondernemingen die gezamenlijk een economische activiteit uitoefenen” wordt genoemd. De twee andere elementen, namelijk de transparantie van de verwerking en toezichtsystemen op het werk, zijn immers relevant voor arbeidsplaatsen zowel in de particuliere sector als bij de overheid, ongeacht de aard van de rechtsverhouding tussen de werknemer en de werkgever.
50 De uitlegging die voortvloeit uit de bewoordingen van artikel 88 AVG wordt bevestigd door de context van dat artikel en door het doel van de regeling waarvan het deel uitmaakt.
51 Zoals blijkt uit artikel 1, lid 1, AVG gelezen in het licht van met name de overwegingen 9, 10 en 13 ervan, strekt de AVG ertoe de nationale wetgevingen inzake de bescherming van persoonsgegevens in beginsel volledig te harmoniseren. De bepalingen van deze verordening bieden de lidstaten evenwel de mogelijkheid om strengere of afwijkende nationale regels vast te stellen en laten hun een beoordelingsmarge met betrekking tot de wijze waarop deze bepalingen kunnen worden toegepast („open clausules”) (zie in die zin arrest van 28 april 2022, Meta platforms Ireland, C‑319/20, EU:C:2022:322, punt 57).
52 Artikel 88 AVG maakt deel uit van hoofdstuk IX met als opschrift „Bepalingen in verband met specifieke situaties op het gebied van gegevensverwerking” en vormt een dergelijke open clausule, aangezien het de lidstaten de bevoegdheid verleent om „nadere regels” vast te stellen ter bescherming van de rechten en vrijheden met betrekking tot de verwerking van de persoonsgegevens van werknemers in het kader van de arbeidsverhouding.
53 De bijzondere kenmerken van de verwerking van persoonsgegevens in het kader van de arbeidsverhouding en bijgevolg de bij artikel 88, lid 1, AVG aan de lidstaten verleende bevoegdheid zijn met name toe te schrijven aan de ondergeschiktheidsband tussen de werknemer en zijn werkgever, en niet aan de aard van de tussen hen bestaande rechtsverhouding.
54 Bovendien heeft deze verordening volgens artikel 1, lid 2, juncto overweging 10 AVG met name tot doel een hoog niveau van bescherming van de fundamentele vrijheden en de grondrechten van natuurlijke personen in verband met de verwerking van persoonsgegevens te waarborgen, welk recht ook wordt erkend in artikel 8 van het Handvest van de grondrechten van de Europese Unie en nauw verband houdt met het recht op eerbiediging van het privéleven dat is opgenomen in artikel 7 daarvan (zie in die zin arrest van 1 augustus 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punt 61).
55 Het is in overeenstemming met dit doel om een ruime uitlegging te geven aan artikel 88, lid 1, AVG, volgens welke de „nadere regels” die de lidstaten kunnen vaststellen ter bescherming van de rechten en vrijheden met betrekking tot de verwerking van de persoonsgegevens van werknemers in het kader van de arbeidsverhouding, betrekking kunnen hebben op alle werknemers, ongeacht de aard van de rechtsverhouding tussen hen en hun werkgever.
56 In die omstandigheden valt de verwerking van persoonsgegevens van leerkrachten bij het livestreamen van het openbaar onderwijs dat zij via videoconferentie geven, zoals die aan de orde is in het hoofdgeding, binnen de materiële en personele werkingssfeer van artikel 88 AVG.
Eerste vraag
57 Met zijn eerste vraag wenst de verwijzende rechter in essentie te vernemen of artikel 88 AVG aldus moet worden uitgelegd dat een rechtsregel, om als een nadere regel in de zin van lid 1 van dat artikel te kunnen worden aangemerkt, moet voldoen de voorwaarden van lid 2 van dat artikel.
58 Zoals in punt 52 van het onderhavige arrest is opgemerkt, zijn de lidstaten bevoegd en niet verplicht dergelijke regels vast te stellen, die door middel van wettelijke bepalingen of collectieve overeenkomsten tot stand kunnen komen.
59 Bovendien moeten de lidstaten, wanneer zij gebruikmaken van de bevoegdheid die een open clausule van de AVG hun biedt, hun beoordelingsmarge aanwenden onder de voorwaarden en binnen de beperkingen die in de bepalingen van die verordening zijn gesteld, en aldus een wettelijke regeling vaststellen die geen afbreuk doet aan de inhoud en de doelstellingen van die verordening (zie in die zin arrest van 28 april 2022, Meta platforms Ireland, C‑319/20, EU:C:2022:322, punt 60).
60 Om te bepalen aan welke voorwaarden en beperkingen de in artikel 88, leden 1 en 2, AVG bedoelde regels zijn onderworpen en, bijgevolg, te beoordelen welke discretionaire bevoegdheid volgens deze bepalingen aan de lidstaten wordt overgelaten, zij eraan herinnerd dat volgens vaste rechtspraak bij de uitlegging van een Unierechtelijke bepaling niet alleen rekening moet worden gehouden met haar bewoordingen, maar ook met haar context en met de doelstellingen en het oogmerk van de regeling waarvan zij deel uitmaakt (arrest van 15 maart 2022, Autorité des marchés financiers, C‑302/20, EU:C:2022:190, punt 63).
61 Wat de formulering van artikel 88, lid 1, AVG betreft, blijkt allereerst uit het gebruik van het woord „nader” dat de in die bepaling bedoelde regels een specifiek op het gereglementeerde gebied toegesneden normatieve inhoud moeten hebben die zich onderscheidt van de algemene regels van deze verordening.
62 Vervolgens hebben de op basis van deze bepaling vastgestelde regels, zoals in punt 52 van het onderhavige arrest is opgemerkt, tot doel de rechten en vrijheden van werknemers met betrekking tot de verwerking van hun persoonsgegevens in het kader van de arbeidsverhouding.
63 Tot slot volgt uit de verschillende in artikel 88, lid 1, AVG, vermelde doeleinden waarvoor de verwerking van persoonsgegevens kan worden verricht, dat de daarin bedoelde „nadere regels” betrekking kunnen hebben op zeer veel aan een arbeidsverhouding gerelateerde verwerkingen, zodat die nadere regels alle doeleinden kunnen bestrijken waarvoor de verwerking van persoonsgegevens in het kader van een arbeidsverhouding kan plaatsvinden. Aangezien de opsomming van die doeleinden niet uitputtend is, zoals is opgemerkt in punt 46 van dit arrest, beschikken de lidstaten bij de verwerkingen die aldus aan die nadere regels zijn onderworpen bovendien over een discretionaire bevoegdheid.
64 In artikel 88, lid 2, AVG is bepaald dat de op grond van lid 1 vastgestelde regels passende en specifieke maatregelen omvatten ter waarborging van de menselijke waardigheid, de gerechtvaardigde belangen en de grondrechten van de betrokkene, met name wat betreft de transparantie van de verwerking, de doorgifte van persoonsgegevens binnen een concern of een groepering van ondernemingen die gezamenlijk een economische activiteit uitoefenen en toezichtsystemen op het werk.
65 Uit de formulering van artikel 88 AVG volgt dus dat lid 2 van dit artikel het kader afbakent waarbinnen de lidstaten die op grond van lid 1 van dit artikel „nadere regels” willen vaststellen, over een discretionaire bevoegdheid beschikken. Ten eerste mogen die regels dus niet slechts bepalingen van deze verordening herhalen. Zij moeten ertoe strekken de rechten en vrijheden van werknemers met betrekking tot de verwerking van hun persoonsgegevens in het kader van de arbeidsverhouding te beschermen en moeten passende en specifieke maatregelen omvatten ter waarborging van de menselijke waardigheid, de gerechtvaardigde belangen en de grondrechten van de betrokkene.
66 Ten tweede moeten die maatregelen met name de transparantie van de verwerking, de doorgifte van persoonsgegevens binnen een concern of een groepering van ondernemingen die gezamenlijk een economische activiteit uitoefenen, en toezichtsystemen op het werk betreffen.
67 Wat de context van artikel 88 AVG betreft, moet in de eerste plaats worden opgemerkt dat deze bepaling moet worden uitgelegd in het licht van overweging 8 van deze verordening, waarin staat te lezen dat voor zover deze verordening bepaalt dat de regels die zij bevat door lidstatelijk recht kunnen worden gespecificeerd of beperkt, de lidstaten indien nodig elementen van deze verordening in hun recht kunnen opnemen om de samenhang te garanderen en om de nationale bepalingen begrijpelijk te maken voor degenen op wie zij van toepassing zijn.
68 In de tweede plaats moet eraan worden herinnerd dat in de hoofdstukken II en III van de AVG respectievelijk de beginselen staan vermeld die van toepassing zijn op de verwerking van persoonsgegevens en de rechten van de betrokkene die bij elke verwerking van persoonsgegevens moeten worden geëerbiedigd [arrest van 24 februari 2022, alsts ieņēmumu dienests (Verwerking van persoonsgegevens voor fiscale doeleinden), C‑175/20, EU:C:2022:124, punt 50].
69 In het bijzonder moet elke verwerking van persoonsgegevens om te beginnen in overeenstemming zijn met de in artikel 5 AVG vermelde beginselen inzake gegevensverwerking en voorts beantwoorden aan een van de in artikel 6 van die verordening genoemde beginselen inzake de rechtmatigheid van de verwerking [arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punt 96 en aldaar aangehaalde rechtspraak].
70 Wat de beginselen inzake de rechtmatigheid van de verwerking betreft, bevat artikel 6 AVG een uitputtende en limitatieve lijst van gevallen waarin de verwerking van persoonsgegevens kan worden geacht rechtmatig te zijn. Om te kunnen worden aangemerkt als gerechtvaardigd, moet een verwerking dan ook vallen onder een van de in artikel 6 van die verordening bedoelde gevallen [arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punt 99 en aldaar aangehaalde rechtspraak].
71 Hoewel de lidstaten bij de uitoefening van de bevoegdheid die een open clausule van de AVG hun biedt, onderdelen van deze verordening in hun recht kunnen opnemen voor zover dit nodig is om de samenhang te waarborgen en de nationale bepalingen begrijpelijk te maken voor degenen op wie zij van toepassing zijn, mogen de op grond van artikel 88, lid 1, AVG vastgestelde „nadere regels” niet slechts een herhaling vormen van de in artikel 6 van deze verordening genoemde voorwaarden waaronder de verwerking van persoonsgegevens rechtmatig is en de in artikel 5 van deze verordening genoemde beginselen inzake deze verwerking, noch mag er slechts sprake zijn van een verwijzing naar deze voorwaarden en beginselen.
72 De uitlegging volgens welke de discretionaire bevoegdheid van de lidstaten bij de vaststelling van regels op grond van artikel 88, lid 1, AVG, begrensd wordt door lid 2 van dat artikel, is in overeenstemming met de in punt 51 van het onderhavige arrest in herinnering gebrachte doelstelling van deze verordening, namelijk de nationale wetgevingen inzake de bescherming van persoonsgegevens in beginsel volledig te harmoniseren.
73 Zoals de advocaat-generaal in de punten 56, 70 en 73 van zijn conclusie in essentie heeft opgemerkt, is het ingeval de lidstaten op grond van artikel 88, lid 1, AVG „nadere regels” kunnen vaststellen, immers mogelijk dat die omstandigheid leidt tot een gebrekkige harmonisatie op het gebied van de werkingssfeer van die regels. De voorwaarden van artikel 88, lid 2, van deze verordening geven de grenzen van de volgens deze verordening aanvaardbare differentiatie aldus weer dat deze gebrekkige harmonisatie slechts toelaatbaar is wanneer de resterende verschillen gepaard gaan met specifieke en passende waarborgen ter bescherming van de rechten en vrijheden van de werknemers met betrekking tot de verwerking van hun persoonsgegevens in het kader van de arbeidsverhouding.
74 Om als „nadere regel” in de zin van artikel 88, lid 1, AVG te kunnen worden aangemerkt, moet een rechtsregel dus voldoen aan de voorwaarden van lid 2 van dat artikel. Deze nadere regels moeten niet alleen een specifiek op het gereglementeerde gebied toegesneden normatieve inhoud hebben die zich onderscheidt van de algemene regels van deze verordening. Zij moeten bovendien ertoe strekken de rechten en vrijheden van werknemers bij de verwerking van hun persoonsgegevens in het kader van de arbeidsverhoudingen te beschermen en moeten passende en specifieke maatregelen omvatten ter waarborging van de menselijke waardigheid, de gerechtvaardigde belangen en de grondrechten van de betrokkene. Met name moeten die maatregelen de transparantie van de verwerking, de doorgifte van persoonsgegevens binnen een concern of een groepering van ondernemingen die gezamenlijk een economische activiteit uitoefenen en toezichtsystemen op het werk betreffen.
75 Gelet op een en ander moet op de eerste vraag worden geantwoord dat artikel 88 AVG aldus moet worden uitgelegd dat een nationale regeling geen „nadere regel” in de zin van lid 1 van dat artikel kan vormen ingeval zij niet voldoet aan de voorwaarden van lid 2 van dat artikel.
Tweede vraag
76 Met zijn tweede vraag wenst de verwijzende rechter in essentie te vernemen welke gevolgen moeten worden verbonden aan de vaststelling dat nationale bepalingen ter bescherming van de rechten en vrijheden met betrekking tot de verwerking van de persoonsgegevens van werknemers in het kader van de arbeidsverhouding, onverenigbaar zijn met de voorwaarden en beperkingen van artikel 88, leden 1 en 2, AVG.
77 In dit verband moet in herinnering worden gebracht dat een verordening krachtens artikel 288, tweede alinea, VWEU verbindend is in al haar onderdelen en rechtstreeks toepasselijk is in elke lidstaat, zodat de bepalingen ervan in beginsel geen uitvoeringsmaatregelen van de lidstaten behoeven (arrest van 15 juni 2021, Facebook Ireland e.a., C‑645/19, EU:C:2021:483, punt 109).
78 Zoals in punt 51 van dit arrest in herinnering is gebracht, bieden de in de AVG opgenomen open clausules de lidstaten evenwel de mogelijkheid om strengere of afwijkende nationale regels vast te stellen en wordt hun een beoordelingsmarge gelaten met betrekking tot de wijze waarop de betrokken bepalingen kunnen worden toegepast.
79 Zoals in punt 59 van dit arrest is opgemerkt, moeten de lidstaten, wanneer zij gebruikmaken van de bevoegdheid die een open clausule van de AVG hun biedt, hun beoordelingsmarge aanwenden onder de voorwaarden en binnen de beperkingen die in de bepalingen van die verordening zijn gesteld, en aldus een wettelijke regeling vaststellen die geen afbreuk doet aan de inhoud en de doelstellingen van die verordening.
80 Het staat aan de verwijzende rechter, die als enige bevoegd is om het nationale recht uit te leggen, om te beoordelen of de in het hoofdgeding aan de orde zijnde bepalingen voldoen aan de voorwaarden en beperkingen van artikel 88 AVG, zoals samengevat in punt 74 van dit arrest.
81 Zoals de advocaat-generaal in de punten 60 tot en met 62 van zijn conclusie heeft opgemerkt, lijken bepalingen als § 23, lid 1, HDSIG en § 86, lid 4, HBG – die de verwerking van persoonsgegevens van werknemers afhankelijk stellen van de voorwaarde dat deze verwerking noodzakelijk is voor bepaalde doeleinden die in de arbeidsverhouding relevant zijn – echter de reeds door artikel 6, lid 1, eerste alinea, onder b), AVG gestelde voorwaarde voor de algemene rechtmatigheid van de verwerking te herhalen zonder een nadere regel in de zin van artikel 88, lid 1, AVG toe te voegen. Dergelijke bepalingen lijken immers geen specifiek op het gereglementeerde gebied toegesneden normatieve inhoud te hebben die zich onderscheidt van de algemene regels van deze verordening.
82 Ingeval de verwijzende rechter zou vaststellen dat de in het hoofdgeding aan de orde zijnde bepalingen niet voldoen aan de voorwaarden en beperkingen van artikel 88 AVG, dan staat het in beginsel aan hem om die bepalingen buiten toepassing te laten.
83 Krachtens het beginsel van de voorrang van het Unierecht hebben de Verdragsbepalingen en de rechtstreeks toepasselijke handelingen van de instellingen in hun verhouding tot het nationale recht van de lidstaten immers tot gevolg dat zij door het enkele feit van hun inwerkingtreding elke strijdige bepaling van de nationale wetgeving van rechtswege buiten toepassing doen treden (arresten van 9 maart 1978, Simmenthal, 106/77, EU:C:1978:49, punt 17; 19 juni 1990, Factortame e.a., C‑213/89, EU:C:1990:257, punt 18, en 4 februari 2016, Ince, C‑336/14, EU:C:2016:72, punt 52).
84 Bij gebreke van nadere regels die voldoen aan de voorwaarden en beperkingen van artikel 88 AVG, wordt de verwerking van persoonsgegevens in het kader van de arbeidsverhouding, zowel in de particuliere sector als bij de overheid, rechtstreeks geregeld door de bepalingen van deze verordening.
85 In dit verband moet worden opgemerkt dat op een verwerking van persoonsgegevens zoals die in het hoofdgeding aan de orde is, de bepalingen van artikel 6, lid 1, eerste alinea, onder c) en e), AVG van toepassing kunnen zijn, op grond waarvan de verwerking van persoonsgegevens rechtmatig is wanneer deze verwerking noodzakelijk is om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust, respectievelijk wanneer die noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen.
86 Artikel 6, lid 3, AVG bepaalt met betrekking tot de twee in artikel 6, lid 1, eerste alinea, onder c), en e), van die verordening bedoelde gevallen waarin verwerking rechtmatig is, om te beginnen dat de rechtsgrond voor die verwerking moet worden vastgesteld bij Unierecht of bij lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is. Voorts wordt volgens dat artikel 6, lid 3, AVG het doel van de verwerking in die rechtsgrond vastgesteld of is dat doel met betrekking tot de in lid 1, eerste alinea, onder e), bedoelde verwerking noodzakelijk voor de vervulling van een taak van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend [zie in die zin arrest van 8 december 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Doeleinden van de verwerking van persoonsgegevens – Strafrechtelijk onderzoek), C‑180/21, EU:C:2022:967, punt 95].
87 In herinnering moet worden gebracht dat het Hof reeds heeft geoordeeld dat de rechtmatige verwerking van persoonsgegevens door de verwerkingsverantwoordelijken op basis van artikel 6, lid 1, eerste alinea, onder e), AVG, niet alleen veronderstelt dat zij kunnen worden geacht een taak van algemeen belang te vervullen, maar ook dat voor de verwerking van persoonsgegevens met het oog op de uitoefening van een dergelijke taak een rechtsgrond als bedoeld in artikel 6, lid 3, van die verordening bestaat (zie in die zin arrest van 20 oktober 2022, Koalitsia „Demokratichna Bulgaria – Obedinenie”, C‑306/21, EU:C:2022:813, punt 52).
88 Wanneer de verwijzende rechter tot de vaststelling komt dat de nationale bepalingen betreffende de verwerking van persoonsgegevens in het kader van de arbeidsverhouding niet voldoen aan de voorwaarden en beperkingen van artikel 88, leden 1 en 2, AVG, moet hij dus nog nagaan of die bepalingen een rechtsgrond vormen als bedoeld in artikel 6, lid 3, van deze verordening, gelezen in samenhang met overweging 45 ervan, die voldoet aan de vereisten van die verordening. Indien dit het geval is, mag de toepassing van de nationale bepalingen niet achterwege worden gelaten.
89 Gelet op een en ander moet op de tweede prejudiciële vraag worden geantwoord dat artikel 88, leden 1 en 2, AVG aldus moet worden uitgelegd dat de toepassing van nationale bepalingen die zijn vastgesteld ter bescherming van de rechten en vrijheden van werknemers met betrekking tot de verwerking van hun persoonsgegevens in het kader van de arbeidsverhouding, achterwege moet blijven wanneer die bepalingen niet voldoen aan de voorwaarden en beperkingen van genoemd artikel 88, leden 1 en 2, tenzij die bepalingen een rechtsgrond vormen als bedoeld in artikel 6, lid 3, van deze verordening die aan de daarin vastgelegde vereisten voldoet.
Kosten
90 Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechterlijke instantie over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.
Het Hof (Eerste kamer) verklaart voor recht:
1) Artikel 88 van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)
moet aldus worden uitgelegd dat
een nationale regeling geen „nadere regel” in de zin van lid 1 van dat artikel kan vormen ingeval zij niet voldoet aan de voorwaarden van lid 2 van dat artikel.
2) Artikel 88, leden 1 en 2, van verordening 2016/679
moet aldus worden uitgelegd dat
de toepassing van nationale bepalingen die zijn vastgesteld ter bescherming van de rechten en vrijheden van werknemers met betrekking tot de verwerking van hun persoonsgegevens in het kader van de arbeidsverhouding, achterwege moet blijven wanneer die bepalingen niet voldoen aan de voorwaarden en beperkingen van genoemd artikel 88, leden 1 en 2, tenzij die bepalingen een rechtsgrond vormen als bedoeld in artikel 6, lid 3, van deze verordening die aan de daarin vastgelegde vereisten voldoet.
ondertekeningen