CELEX: 62012CJ0342
Przetwarzanie danych osobowych
Dyrektywa 95/46/WE
Artykuł 2
Pojęcie „danych osobowych”
Artykuły 6 i 7
Zasady dotyczące charakteru danych i legalności przetwarzania danych
Artykuł 17
Bezpieczeństwo przetwarzania danych
Czas pracy pracowników
Ewidencja czasu pracy
Dostęp organu krajowego właściwego w sprawach nadzoru nad warunkami pracy
Spoczywający na pracodawcy obowiązek udostępnienia ewidencji czasu pracy w sposób umożliwiający natychmiastowy wgląd do tej ewidencji

Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 2 i art. 17 ust. 1 dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (
Dz.U. L 281, s. 31
).
Wniosek ten został przedstawiony w ramach sporu między Worten – Equipamentos para o Lar SA (zwaną dalej „Wortenem”), spółką z siedzibą w Viseu (Portugalia) a Autoridade para as Condições de Trabalho (organem nadzorującym warunki pracy, zwanym dalej „ACT”) w przedmiocie żądanego przez ten organ dostępu do ewidencji czasu pracy tej spółki.
Ramy prawne
Prawo Unii
Dyrektywa 95/46
Zgodnie z art. 2 dyrektywy 95/46, zatytułowanym „Definicje”:
„Do celów niniejszej dyrektywy:
a)
»dane osobowe« oznaczają wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (»osoby, której dotyczą dane«), przy czym osoba możliwa do zidentyfikowania to taka osoba, która może zostać zidentyfikowana bezpośrednio lub pośrednio, w szczególności na podstawie numeru identyfikacyjnego lub co najmniej jednej cechy szczególnej związanej z jej tożsamością fizyczną, fizjologiczną, psychiczną, ekonomiczną, kulturową czy społeczną;
b)
»przetwarzanie danych osobowych« (przetwarzanie) oznacza każdą operację lub zestaw operacji dokonywanych na danych osobowych w sposób zautomatyzowany lub inny, takich jak gromadzenie, rejestracja, porządkowanie, przechowywanie, adaptacja lub modyfikacja, odzyskiwanie, konsultowanie, wykorzystywanie, ujawnianie poprzez przekazanie, rozpowszechnianie lub udostępnianie w inny sposób, układanie lub kompilowanie, blokowanie, usuwanie lub niszczenie;
[...]”.
Artykuł 3 tej dyrektywy, zatytułowany „Zakres obowiązywania”, sformułowany jest w sposób następujący:
„1.   Niniejsza dyrektywa stosuje się do przetwarzania danych osobowych w całości lub w części w sposób zautomatyzowany oraz innego przetwarzania danych osobowych, stanowiących część zbioru danych lub mających stanowić część zbioru danych.
2.   Niniejsza dyrektywa nie ma zastosowania do przetwarzania danych osobowych:
—
w ramach działalności wykraczającej poza zakres prawa Wspólnoty, jak np. dane, o których stanowi tytuł V i VI Traktatu o Unii Europejskiej, a w żadnym razie do działalności na rzecz bezpieczeństwa publicznego, obronności, bezpieczeństwa państwa (łącznie z dobrą kondycją gospodarczą państwa, gdy działalność ta dotyczy spraw związanych z bezpieczeństwem państwa) oraz działalności państwa w obszarach prawa karnego,
—
przez osobę fizyczną w trakcie czynności o czysto osobistym lub domowym charakterze”.
Artykuł 6 rzeczonej dyrektywy mówi o zasadach dotyczących jakości danych i stanowi:
„1.   Państwa członkowskie zapewniają, aby dane osobowe były:
[...]
b)
gromadzone do określonych, jednoznacznych i legalnych celów oraz nie były poddawane dalszemu przetwarzaniu w sposób niezgodny z tym celem. Dalsze przetwarzanie danych w celach historycznych, statystycznych lub naukowych nie jest uważane za niezgodne z przepisami pod warunkiem ustanowienia przez państwa członkowskie odpowiednich środków zabezpieczających;
c)
prawidłowe, stosowne oraz nienadmierne ilościowo w stosunku do celów, dla których zostały zgromadzone i/lub dalej przetworzone;
[...]
2.   Na administratorze danych spoczywa obowiązek zapewnienia przestrzegania przepisów ust. 1”.
Artykuł 7 tej dyrektywy, obejmujący zasady dotyczące legalności przetwarzania danych, stanowi:
„Państwa członkowskie zapewniają, że dane osobowe mogą być przetwarzane tylko wówczas, gdy:
[...]
c)
przetwarzanie danych jest konieczne dla wykonania zobowiązania prawnego, któremu administrator danych podlega;
lub
[...]
e)
przetwarzanie danych jest konieczne dla realizacji zadania wykonywanego w interesie publicznym lub dla wykonywania władzy publicznej przekazanej administratorowi danych lub osobie trzeciej, przed którą ujawnia się dane,
[...]”.
Artykuł 17 dyrektywy 95/46, zatytułowany „Bezpieczeństwo przetwarzania danych”, ma następujące brzmienie:
„1.   Państwa członkowskie zapewniają, aby administrator danych wprowadził odpowiednie środki techniczne i organizacyjne w celu ochrony danych osobowych przed przypadkowym lub nielegalnym zniszczeniem lub przypadkową utratą, zmianą, niedozwolonym ujawnieniem lub dostępem, szczególnie wówczas gdy przetwarzanie danych obejmuje transmisję danych w sieci, jak również przed wszelkimi innymi nielegalnymi formami przetwarzania.
Uwzględniając stan wiedzy w tej dziedzinie oraz koszt realizacji, przyjęte zostaną takie środki, które zapewnią poziom bezpieczeństwa odpowiedni do zagrożeń wynikających z przetwarzania danych oraz charakteru danych objętych ochroną.
[...]”.
Dyrektywa 2003/88/WE
Artykuł 1 dyrektywy 2003/88/WE Parlamentu Europejskiego i Rady z dnia 4 listopada 2003 r. dotyczącej niektórych aspektów organizacji czasu pracy (
Dz.U. L 299, s. 9
), zatytułowany „Cel i zakres”, stanowi:
„1.   Niniejsza dyrektywa ustala minimalne wymagania w zakresie bezpieczeństwa i ochrony zdrowia w odniesieniu do organizacji czasu pracy.
2.   Niniejszą dyrektywę stosuje się do:
a)
minimalnych okresów dobowego odpoczynku, odpoczynku tygodniowego oraz corocznego urlopu wypoczynkowego, przerw oraz maksymalnego tygodniowego wymiaru czasu pracy [...].
[...]”.
Artykuł 6 tej dyrektywy, noszący tytuł „Maksymalny tygodniowy wymiar czasu pracy”, przewiduje:
„Państwa członkowskie przyjmują niezbędne środki w celu zapewnienia, że zgodnie z potrzebą zapewnienia ochrony bezpieczeństwa i zdrowia pracowników:
[...]
b)
przeciętny wymiar czasu pracy w okresie siedmiodniowym, łącznie z pracą w godzinach nadliczbowych, nie przekracza 48 godzin”.
Zgodnie z art. 22 ust. 1 akapit pierwszy rzeczonej dyrektywy:
„Państwo członkowskie ma prawo wyboru niestosowania art. 6, przy poszanowaniu zasad ogólnych ochrony bezpieczeństwa i zdrowia pracowników […] [pod warunkiem zapewnienia w drodze przyjęcia niezbędnych w tym celu środków, że]:
a)
żaden pracodawca nie wymaga od pracownika pracy w wymiarze przekraczającym 48 godzin w okresie siedmiodniowym [...], chyba że wcześniej otrzymał on umowę pracownika o wykonywaniu takiej pracy;
[...]
c)
pracodawca przechowuje uaktualnioną dokumentację o wszystkich pracownikach, którzy wykonują taką pracę;
d)
dokumentacja jest do dyspozycji właściwych władz, które mogą, z powodów związanych z bezpieczeństwem i/lub zdrowiem pracowników, zakazać albo ograniczyć możliwość wydłużenia maksymalnego tygodniowego wymiaru czasu pracy;
[...]”.
Uregulowania portugalskie
Artykuł 202 codigo do trabalho (kodeksu pracy), zatwierdzonego ustawą nr 7/2009 z dnia 12 lutego 2009 r., zatytułowany „Rejestr czasu pracy”, stanowi:
„1.
Pracodawca powinien prowadzić ewidencję czasu pracy, w tym pracowników, którzy nie są objęci harmonogramem pracy, w dostępnym lokalu i sposób, który umożliwiałby wgląd do niej w sposób natychmiastowy.
2.
Ewidencja powinna zawierać wskazanie godzin rozpoczęcia i zakończenia pracy, jak również okresy przerw i spoczynku, które nie są wliczane do czasu pracy, tak aby umożliwić obliczenie liczby godzin pracy świadczonej przez pracownika dziennie lub tygodniowo [...]
[...]
5.
Naruszenie przepisów niniejszego artykułu stanowi poważne wykroczenie”.
Ustawa nr 107/2009 z dnia 14 września 2009 r. zawiera m.in. następujący przepis:
„Artykuł 10 –
procedury kontrolne
1.   Inspektor pracy przy wykonywaniu swych zadań, z zastrzeżeniem przepisów szczególnych, przeprowadza następujące czynności:
a)
żąda okazania – ze skutkiem natychmiastowym lub w celu późniejszego przedłożenia zdecentralizowanym służbom inspekcji pracy przy ministerstwie pracy, przeprowadza analizę i sporządza odpisy dokumentów i innych ewidencji przydatnych dla określenia stosunków i warunków pracy;
[...]
2.   Inspektor zabezpieczenia społecznego, przy wykonywaniu swych zadań, z zastrzeżeniem przepisów szczególnych, przeprowadza następujące czynności:
a)
żąda okazania i sporządza odpisy, ze skutkiem natychmiastowym, w celu analizowania, przeglądania i dołączania do protokołów: ksiąg, dokumentów, ewidencji, archiwów i innych mających znaczenie elementów należących do kontrolowanych podmiotów, które są przydatne dla zweryfikowania okoliczności będących przedmiotem kontroli;
[...]”.
Postępowanie przed sądem krajowym i pytania prejudycjalne
W dniu 9 marca 2010 r. ACT przeprowadził kontrolę zakładu Wortenu położonego w Viseu, w wyniku której sporządził protokół stwierdzający, że:
—
spółka zatrudniała w tym zakładzie czterech pracowników w systemie zmianowym;
—
ewidencja czasu pracy, w której powinny być rejestrowane dzienne okresy czasu pracy, dzienne i tygodniowe przerwy w pracy, jak również obliczenie dziennego i tygodniowego czasu pracy pracowników, nie była dostępna do natychmiastowego wglądu;
—
pracownicy rejestrowali ich czas pracy poprzez przesunięcie karty magnetycznej przez czytnik znajdujący się w pomieszczeniach sklepu położonego obok tego zakładu;
—
wgląd do tej ewidencji nie tylko nie był dostępny dla żadnego pracownika w zakładzie, w którym świadczył pracę, ale ponadto był zastrzeżony dla osoby, która miała do niego dostęp informatyczny, to jest dla regionalnego zarządcy Wortenu, który był nieobecny w zakładzie, a informacje figurujące w ewidencji mogła w takiej sytuacji przedstawić wyłącznie centralna komórka Wortenu ds. zasobów ludzkich.
W dniu 15 marca 2010 r. na wezwanie do udzielenia informacji ewidencja czasu pracy zawierająca elementy prawnie wymagalne została przekazana do ACT.
W decyzji z dnia 14 marca 2012 r. ACT uznał, że Worten dopuścił się poważnego wykroczenia z zakresu prawa pracy, gdyż naruszył przepisy dotyczące ewidencji czasu pracy zawarte w art. 202 ust. 1 kodeksu pracy poprzez brak umożliwienia ACT natychmiastowego wglądu – na terenie zakładu, którego kontrola dotyczyła – do ewidencji czasu pracy pracowników przydzielonych do tego zakładu. Powaga wykroczenia wiązała się z faktem, że ewidencja czasu pracy pozwala na bezpośrednie i szybkie ustalenie, czy działalność zakładu jest prowadzona zgodnie z z przepisami regulującymi czas pracy. W konsekwencji ACT nałożył na Worten grzywnę w wysokości 2000 EUR.
Worten wniósł skargę o stwierdzenie nieważności tej decyzji do tribunal do trabalho de Viseu (sądu pracy w Viseu).
W tych okolicznościach tribunal do trabalho de Viseu postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:
„1)
Czy art. 2 dyrektywy 95/46 [...] powinien być interpretowany w ten sposób, że [ewidencja] czasu pracy, to znaczy rejestr wskazujący w odniesieniu do każdego pracownika godziny rozpoczęcia i zakończenia pracy, jak również przerwy lub okresy spoczynku, które nie są wliczane do czasu pracy, jest objęty pojęciem danych osobowych?
2)
W przypadku odpowiedzi twierdzącej, czy państwo portugalskie jest zobowiązane na podstawie art. 17 ust. 1 dyrektywy 95/46 do ustanowienia środków technicznych i organizacyjnych w celu ochrony danych osobowych przed przypadkowym lub nielegalnym zniszczeniem lub przypadkową utratą, zmianą, niedozwolonym ujawnieniem lub dostępem, szczególnie wówczas, gdy przetwarzanie danych obejmuje transmisję danych w sieci?
3)
Ponownie, w przypadku odpowiedzi twierdzącej na poprzedzające pytanie, czy wówczas gdy państwo członkowskie nie przyjmie żadnego środka w celu wykonania art. 17 ust. 1 dyrektywy 95/46 i jeżeli pracodawca odpowiedzialny za przetwarzanie tych danych przyjmie system ograniczonego dostępu do tych danych, który nie pozwala na automatyczny dostęp do tych danych dla organu krajowego uprawnionego do kontroli warunków pracy, zasada pierwszeństwa prawa Unii Europejskiej powinna być interpretowana w ten sposób, że państwo członkowskie nie może ukarać owego pracodawcy za takie zachowanie?”.
W przedmiocie pytań prejudycjalnych
W przedmiocie pytania pierwszego
Poprzez pytanie pierwsze sąd odsyłający zmierza do ustalenia, czy art. 2 lit. a) dyrektywy 95/46 należy interpretować w ten sposób, że ewidencja czasu pracy, taka jak ta, której dotyczy postępowanie główne, zawierająca w odniesieniu do każdego pracownika wskazanie godzin rozpoczęcia i zakończenia pracy, jak również odnośnych przerw lub odpoczynków, wchodzi w zakres pojęcia „danych osobowych” w rozumieniu tego przepisu.
W tej kwestii wystarczy stwierdzić, że – jak podnieśli wszyscy zainteresowani, którzy złożyli uwagi na piśmie – dane zawarte w ewidencji czasu pracy, takiej jak ta, której dotyczy postępowanie główne, obejmujące, w odniesieniu do każdego pracownika, dzienne okresy pracy i okresy odpoczynku, są danymi osobowymi w rozumieniu art. 2 lit. a) dyrektywy 95/46, ponieważ mamy tutaj do czynienia z „informacjami dotyczącymi zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej” (zob. podobnie wyroki: z dnia 20 maja 2003 r. w sprawach połączonych
C-465/00, C-138/01 i C-139/01 Österreichischer Rundfunk i in., Rec. s. I-4989
, pkt 64; z dnia 16 grudnia 2008 r. w sprawie
C-524/06 Huber, Zb.Orz. s. I-9705
, pkt 43; a także z dnia 7 maja 2009 r. w sprawie
C-553/07 Rijkeboer, Zb.Orz. s. I-3889
, pkt 42).
Gromadzenie, rejestracja, porządkowanie, przechowywanie, konsultowanie, wykorzystywanie takich danych przez pracodawcę lub ich przekazywanie przez niego organom krajowym właściwym w sprawach nadzoru nad warunkami pracy jest zatem „przetwarzaniem danych osobowych” w rozumieniu art. 2 lit. b) dyrektywy 95/46 (zob. podobnie w szczególności ww. wyroki: w sprawach połączonych Österreichischer Rundfunk, pkt 64; w sprawie Huber, pkt 43).
Ponadto należy wskazać, że skoro poza sporem jest, iż w sprawie głównej przetwarzanie danych osobowych jest zautomatyzowane i nie ma zastosowania żaden z wyjątków z art. 3 ust. 2 dyrektywy 95/46, przetwarzanie to wchodzi w zakres zastosowania rzeczonej dyrektywy.
Na pytanie pierwsze należy zatem udzielić następującej odpowiedzi: art. 2 lit. a) dyrektywy 95/46 należy interpretować w ten sposób, że ewidencja czasu pracy, taka jak ta, której dotyczy postępowanie główne, zawierająca w odniesieniu do każdego pracownika wskazanie godzin rozpoczęcia i zakończenia pracy, jak również odnośnych przerw lub odpoczynków, wchodzi w zakres pojęcia „danych osobowych” w rozumieniu tego przepisu.
W przedmiocie pytań drugiego i trzeciego
Poprzez pytania drugie i trzecie, które należy zbadać łącznie, sąd odsyłający zmierza zasadniczo do ustalenia, czy art. 17 ust. 1 dyrektywy 95/46 należy interpretować w ten sposób, że każde państwo członkowskie jest zobowiązane do ustanowienia środków technicznych i organizacyjnych właściwych w celu ochrony danych osobowych przed przypadkowym lub nielegalnym zniszczeniem, przypadkową utratą, zmianą, niedozwolonym ujawnieniem lub dostępem, a jeżeli tak, to czy państwo członkowskie, które nie ustanowiło takich środków, może ukarać pracodawcę, który – będąc odpowiedzialnym za przetwarzanie tych danych – przyjął system ograniczonego dostępu do tych danych, niepozwalający krajowemu organowi właściwemu w sprawach nadzoru nad warunkami pracy na natychmiastowy dostęp do tych danych.
Należy przypomnieć, że zgodnie z art. 17 ust. 1 dyrektywy 95/46, dotyczącym bezpieczeństwa przetwarzania danych, państwa członkowskie powinny zapewnić, by administrator danych wprowadził odpowiednie środki techniczne i organizacyjne, które – z uwzględnieniem stanu wiedzy w tej dziedzinie oraz kosztu realizacji – zapewnią poziom bezpieczeństwa odpowiedni do zagrożeń wynikających z przetwarzania danych oraz charakteru danych objętych ochroną (zob. podobnie ww. wyrok w sprawie Rijkeboer, pkt 62).
Wynika stąd, że wbrew temu, co wynikałoby z założenia, na którym opierają się pytania drugie i trzecie, rzeczony art. 17 ust. 1 nie nakłada na państwa członkowskie – chyba że mają one status administratora danych – obowiązku wprowadzania takich środków technicznych i organizacyjnych, który to obowiązek ciąży wyłącznie na administratorze danych, czyli w niniejszej sprawie na pracodawcy. Przepis ten nakłada natomiast na państwa członkowskie obowiązek wprowadzenia do ich prawa krajowego uregulowań ustanawiających taki obowiązek.
Ponadto z postanowienia odsyłającego w żaden sposób nie wynika, by dane, których dotyczy postępowanie główne, uległy przypadkowemu lub nielegalnemu zniszczeniu, przypadkowej utracie, zostały w sposób niedozwolony zmienione, ujawnione lub udostępnione, czy też w jakkolwiek inny sposób zostały nielegalnie przetworzone w rozumieniu art. 17 ust. 1 dyrektywy 95/46. Przeciwnie, z informacji znajdujących się w udostępnionych Trybunałowi aktach sprawy wynika w sposób bezsporny, że w tej sprawie dostęp do przedmiotowych danych ze strony krajowych organów właściwych w sprawach nadzoru nad warunkami pracy jest dozwolony prawem krajowym.
W swoich uwagach na piśmie Worten podniósł jednak, że obowiązek udostępnienia ewidencji czasu pracy w celu umożliwienia natychmiastowego do niej wglądu, przewidzianego w art. 202 ust. 1 kodeksu pracy, jest w praktyce niezgodny z obowiązkiem wprowadzenia właściwego systemu ochrony danych osobowych zawartych w tym rejestrze. Taki obowiązek sprowadza się bowiem jego zdaniem do pozwolenia na to, by każdy pracownik zainteresowanego przedsiębiorstwa korzystał z dostępu do takich danych, wbrew ustanowionemu w art. 17 ust. 1 dyrektywy 95/46 obowiązkowi zapewnienia bezpieczeństwa danych. Taki uogólniony dostęp pozbawiłby więc ten przepis wszelkiego effet utile.
Taka argumentacja nie przekonuje. Wbrew bowiem temu, co wynikałoby z założenia, na którym jest oparta, ciążący na pracodawcy jako administratorze danych osobowych obowiązek natychmiastowego udzielenia dostępu krajowemu organowi właściwemu w sprawach nadzoru nad warunkami pracy w żaden sposób nie oznacza, że wyłącznie z tego powodu dane osobowe zawarte w ewidencji czasu pracy powinny koniecznie stać się dostępne dla osób do tego nieupoważnionych. Jak słusznie podkreślił rząd portugalski, obowiązkiem każdego administratora danych osobowych jest, na podstawie art. 17 ust. 1 dyrektywy 95/46, wprowadzenie środków technicznych i organizacyjnych odpowiednich dla uzyskania pewności, że jedynie osoby należycie upoważnione do dostępu do odnośnych danych osobowych będą miały prawo ustosunkować się do wniosku o udzielenie dostępu pochodzącego od osoby trzeciej.
W tych okolicznościach nie wydaje się, by wykładnia art. 17 ust. 1 dyrektywy 95/46 miała znaczenie dla rozstrzygnięcia sporu w postępowaniu głównym.
Jednak w ramach ustanowionej w art. 267 TFUE procedury współpracy między sądami krajowymi a Trybunałem, do tego ostatniego należy udzielenie sądowi krajowemu użytecznej odpowiedzi, która umożliwi mu rozstrzygnięcie zawisłego przed nim sporu. W tym aspekcie do Trybunału należy – gdy zajdzie taka potrzeba – przeformułowanie przedstawionych mu pytań. Zadaniem Trybunału jest bowiem dokonanie wykładni wszelkich przepisów prawa Unii, których potrzebują sądy krajowe w celu rozstrzygnięcia zawisłych przed nimi sporów, nawet jeżeli przepisy te nie są wyraźnie wskazane w pytaniach skierowanych do niego przez te sądy (zob. w szczególności wyroki: z dnia 8 marca 2007 r. w sprawie
C-45/06 Campina, Zb.Orz. s. I-2089
, pkt 30, 31; z dnia 14 października 2010 r. w sprawie
C-243/09 Fuß, Zb.Orz. s. I-9849
, pkt 39).
W konsekwencji, nawet jeśli formalnie sąd odsyłający ograniczył swoje pytanie do wykładni jedynie art. 17 ust. 1 dyrektywy 95/46, to okoliczność ta nie stoi na przeszkodzie, by Trybunał udzielił mu wykładni prawa Unii we wszystkich aspektach, które mogą być użyteczne dla rozstrzygnięcia zawisłej przed nim sprawy, bez względu na to, czy sąd ten odniósł się do nich w treści swego pytania, czy też nie. W tym względzie do Trybunału należy wyprowadzenie z całości informacji przedstawionych przez sąd krajowy, a w szczególności z uzasadnienia postanowienia odsyłającego, elementów prawa wspólnotowego, które wymagają wykładni w świetle przedmiotu sporu (zob. ww. wyrok w sprawie Fuß, pkt 40).
W niniejszej sprawie z akt udostępnionych Trybunałowi wynika, że sąd odsyłający zmierza zasadniczo do ustalenia, czy przepisy dyrektywy 95/46 należy interpretować w ten sposób, że stoją one na przeszkodzie uregulowaniu krajowemu, takiemu jak to, którego dotyczy postępowanie główne, które nakłada na pracodawcę obowiązek udostępnienia krajowemu organowi właściwemu w sprawach nadzoru nad warunkami pracy ewidencji czasu pracy w sposób umożliwiający natychmiastowy wgląd do tej ewidencji. Jak wynika z pkt 15 niniejszego wyroku to bowiem naruszenie tego obowiązku, wprowadzonego w art. 202 ust. 1 kodeksu pracy, stało się powodem nałożenia na Worten kary pieniężnej.
W tej kwestii należy przypomnieć, że zgodnie z przepisami rozdziału II dyrektywy 95/46, zatytułowanego „Ogólne zasady legalności przetwarzania danych osobowych”, z zastrzeżeniem dozwolonych na mocy jej art. 13 odstępstw, każda operacja przetwarzania danych osobowych musi być zgodna z jednej strony z wyrażonymi w art. 6 tej dyrektywy zasadami odnoszącymi się do charakteru danych, a z drugiej strony – z jednym z kryteriów legalności przetwarzania danych, wymienionych w art. 7 tej dyrektywy (ww. wyroki: w sprawach połączonych Österreichischer Rundfunk i in., pkt 65; w sprawie Huber, pkt 48; a także wyrok z dnia 24 listopada 2011 r. w sprawach połączonych
C-468/10 i C-469/10 ASNEF i FECEMD, Zb.Orz. s. I-12181
, pkt 26).
W szczególności, zgodnie z art. 6 ust. 1 lit. b) i c) dyrektywy 95/46, dane powinny być „gromadzone do określonych, jednoznacznych i legalnych celów” oraz „prawidłowe, stosowne oraz nienadmierne ilościowo” w stosunku do tych celów. Ponadto zgodnie z art. 7 lit. c) i e) rzeczonej dyrektywy przetwarzanie danych osobowych jest legalne, jeżeli „jest konieczne dla wykonania zobowiązania prawnego, któremu administrator danych podlega”, lub jeżeli „jest konieczne dla realizacji zadania wykonywanego w interesie publicznym lub dla wykonywania władzy publicznej przekazanej administratorowi danych lub osobie trzeciej, przed którą ujawnia się dane” (ww. wyrok w sprawach połączonych Österreichischer Rundfunk i in., pkt 66).
Wydaje się, że taka jest sytuacja w sprawie głównej, gdyż okazuje się – co sąd odsyłający powinien sprawdzić – że z jednej strony dane osobowe zawarte w ewidencji czasu pracy są gromadzone w celu zapewnienia przestrzegania przepisów dotyczących warunków pracy, a z drugiej strony, że przetwarzanie tych danych osobowych jest konieczne dla zapewnienia przestrzegania obowiązku ustawowego, któremu podlega pracodawca, jak również dla wykonywania zadań kontrolnych powierzonych krajowemu organowi właściwemu w sprawach nadzoru nad warunkami pracy.
Jeżeli chodzi o szczegółowe zasady organizacji dostępu tego organu do danych osobowych dla potrzeb wykonywania jego zadań z zakresu nadzoru nad warunkami pracy, to jedynie przyznanie dostępu organom właściwym w tej dziedzinie może zostać uznane za konieczne w rozumieniu art. 7 lit. e) dyrektywy 95/46 (zob. podobnie ww. wyrok w sprawie Huber, pkt 61).
Co się tyczy ciążącego na pracodawcy obowiązku udzielenia temu krajowemu organowi natychmiastowego dostępu do ewidencji czasu pracy, to z orzecznictwa Trybunału wynika, że taki obowiązek może okazać się konieczny w rozumieniu tego przepisu, jeżeli przyczynia się do skuteczniejszego stosowania przepisów z zakresu warunków pracy (zob. analogicznie ww. wyrok w sprawie Huber, pkt 62).
W tej kwestii należy przypomnieć, że dyrektywa 2003/88 ma na celu ustanowienie minimalnych wymogów mających poprawić warunki życia i pracy pracowników poprzez zbliżanie przepisów krajowych dotyczących w szczególności czasu pracy pracowników, umożliwiając im korzystanie z odpowiednich minimalnych okresów odpoczynku, w szczególności dobowego i tygodniowego, jak również odpowiednich przerw w pracy oraz wprowadzając maksymalne limity średniego tygodniowego wymiaru czasu pracy (zob. w szczególności podobnie wyrok z dnia 5 października 2004 r. w sprawach połączonych od
C-397/01 do C-403/01 Pfeiffer i in., Zb.Orz. s. I-8835
, pkt 76; z dnia 25 listopada 2010 r. w sprawie
C-429/09 Fuß, Zb.Orz. s. I-12167
, pkt 43).
Widziany z tej perspektywy art. 6 lit. b) dyrektywy 2003/88 zobowiązuje państwa członkowskie do przyjęcia „niezbędnych środków” w celu zapewnienia, że – zgodnie z potrzebą zapewnienia ochrony bezpieczeństwa i zdrowia pracowników – przeciętny wymiar czasu pracy w okresie siedmiodniowym, łącznie z pracą w godzinach nadliczbowych, nie przekraczał 48 godzin (zob. podobnie ww. wyrok w sprawach połączonych Pfeiffer i in., pkt 100; a także ww. wyrok z dnia 14 października 2010 r. w sprawie Fuß, pkt 33).
Ponadto art. 22 ust. 1 akapit pierwszy dyrektywy 2003/88 przewiduje, że państwa członkowskie mogą nie stosować art. 6 tej dyrektywy, między innymi pod warunkiem zapewnienia – w drodze przyjęcia niezbędnych w tym celu środków – że pracodawca będzie przechowywał uaktualnioną dokumentację o wszystkich zainteresowanych pracownikach [art. 22 ust. 1 akapit pierwszy lit. c) rzeczonej dyrektywy] oraz że dokumentacja ta będzie do dyspozycji właściwych władz, które mogą, z powodów związanych z bezpieczeństwem lub zdrowiem pracowników, zakazać albo ograniczyć możliwość wydłużenia maksymalnego tygodniowego wymiaru czasu pracy [art. 22 ust. 1 akapit pierwszy lit. d) rzeczonej dyrektywy].
Zdaniem Komisji, nawet jeżeli dyrektywa 2003/88 nie nakłada wyraźnie na państwa członkowskie obowiązku wprowadzenia przepisów takich jak te, których dotyczy postępowanie główne, to jednak kontrola przestrzegania obowiązków nałożonych tą dyrektywą może obejmować, jako „środki konieczne” do kontroli realizacji jej celów, wprowadzenie środków nadzoru. I tak obowiązek umożliwienia przez pracodawcę natychmiastowego wglądu do ewidencji czasu pracy może wyeliminować wszelką możliwość zmiany danych w okresie między kontrolą na miejscu przeprowadzaną przez właściwe organy krajowe a rzeczywistą kontrolą tych danych przez rzeczone organy.
Worten natomiast twierdzi, że obowiązek ten jest nadmierny, jeżeli wziąć pod uwagę ingerencję w prywatne życie pracowników, jaka z nim się wiąże. Z jednej strony bowiem ewidencja czasu pracy ma na celu udostępnienie pracownikom narzędzia dowodowego w celu weryfikacji czasu rzeczywiście przepracowanego. Wiarygodność tego rejestru nie była kwestionowana w postępowaniu głównym. Z drugiej strony, zdaniem Wortenu, ewidencja ta pozwala na ocenę przeciętnego czasu rzeczywiście przepracowanego w celu w szczególności skontrolowania odstępstw od harmonogramów czasu pracy. Natychmiastowa dostępność tych rejestrów nie przynosi w tym aspekcie żadnej wartości dodanej. Zresztą informacje zawarte w tym rejestrze mogą zostać przekazane później.
W niniejszej sprawie do sądu odsyłającego należy ustalenie, czy ciążący na pracodawcy obowiązek udzielenia dostępu krajowemu organowi właściwemu w sprawach nadzoru nad warunkami pracy dostępu do ewidencji czasu pracy w taki sposób, by umożliwić temu organowi natychmiastowy wgląd do tej ewidencji, może zostać uznany za konieczny dla potrzeb wykonywania przez ten organ jego zadań nadzorczych i wpływający na skuteczniejsze stosowanie przepisów dotyczących warunków pracy, w szczególności z zakresu czasu pracy.
W tej kwestii należy jednak uściślić, że w sytuacji, gdyby taki obowiązek został uznany za konieczny dla potrzeb osiągnięcia tego celu, kary nakładane w celu zapewnienia rzeczywistego stosowania wymogów wprowadzonych dyrektywą 2003/88 powinny w każdym razie również być zgodne z zasadą proporcjonalności. Czy ma to miejsce w sprawie głównej, powinien również ustalić sąd odsyłający (zob. analogicznie wyrok z dnia 6 listopada 2003 r. w sprawie
C-101/01 Lindqvist, Rec. s. I-12971
, pkt 88).
W tych okolicznościach na pytania drugie i trzecie należy udzielić następującej odpowiedzi: art. 6 ust. 1 lit. b) i c) oraz art. 7 lit. c) i e) dyrektywy 95/46 należy interpretować w ten sposób, że nie stoją one na przeszkodzie uregulowaniu krajowemu takiemu jak to, którego dotyczy postępowanie główne, które nakłada na pracodawcę obowiązek udostępnienia krajowemu organowi właściwemu w sprawach nadzoru nad warunkami pracy ewidencji czasu pracy w sposób umożliwiający natychmiastowy wgląd do tej ewidencji, o ile obowiązek ten jest konieczny dla potrzeb sprawowania przez ten organ nadzoru nad stosowaniem przepisów dotyczących warunków pracy, w szczególności z zakresu czasu pracy.
W przedmiocie kosztów
Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.

Z powyższych względów Trybunał (trzecia izba) orzeka, co następuje:

1)
Artykuł 2 lit. a) dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych należy interpretować w ten sposób, że ewidencja czasu pracy, taka jak ta, której dotyczy postępowanie główne, zawierająca w odniesieniu do każdego pracownika wskazanie godzin rozpoczęcia i zakończenia pracy, jak również odnośnych przerw lub odpoczynków, wchodzi w zakres pojęcia „danych osobowych” w rozumieniu tego przepisu.

2)
Artykuł 6 ust. 1 lit. b) i c) oraz art. 7 lit. c) i e) dyrektywy 95/46 należy interpretować w ten sposób, że nie stoją one na przeszkodzie uregulowaniu krajowemu, takiemu jak to, którego dotyczy postępowanie główne, które nakłada na pracodawcę obowiązek udostępnienia krajowemu organowi właściwemu w sprawach nadzoru nad warunkami pracy ewidencji czasu pracy w sposób umożliwiający natychmiastowy wgląd do tej ewidencji, o ile obowiązek ten jest konieczny dla potrzeb sprawowania przez ten organ nadzoru nad stosowaniem przepisów dotyczących warunków pracy, w szczególności z zakresu czasu pracy.

Podpisy
(
*1
)	Język postępowania: portugalski.