62021CJ0034_RES
Processo C‑34/21
Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium
contra
Minister des Hessischen Kultusministeriums
(pedido de decisão prejudicial apresentado pelo Verwaltungsgericht Wiesbaden)
Acórdão do Tribunal de Justiça (Primeira Secção) de 30 de março de 2023
«Reenvio prejudicial — Proteção de dados pessoais — Regulamento (UE) 2016/679 — Artigo 88.o, n.os 1 e 2 — Tratamento de dados no contexto laboral — Sistema escolar regional — Ensino em direto através de videoconferência devido à pandemia de COVID‑19 — Implementação sem o consentimento expresso dos docentes»
Proteção das pessoas singulares no que respeita ao tratamento de dados pessoais — Regulamento 2016/679 — Âmbito de aplicação — Derrogações — Tratamento de dados no âmbito de uma atividade não abrangida pelo direito da União — Atividade destinada a preservar a segurança nacional ou incluída nessa categoria — Conceito — Atividade relativa à organização do ensino público — Exclusão
[Regulamento 2016/679 do Parlamento Europeu e do Conselho, considerando 16 e artigo 2.o, n.os 1 e 2, alíneas a) e b)]
(cf. n.os 32‑37)
Proteção das pessoas singulares no que respeita ao tratamento de dados pessoais — Regulamento 2016/679 — Tratamento de dados dos trabalhadores no contexto laboral — Conceito — Difusão em direto por videoconferência das aulas ministradas por docentes que integram um serviço público — Inclusão
(Regulamento 2016/679 do Parlamento Europeu e do Conselho, considerando 10 e artigos 1.o, n.o 2, e 88.°)
(cf. n.os 39‑56)
Proteção das pessoas singulares no que respeita ao tratamento de dados pessoais — Regulamento 2016/679 — Tratamento de dados dos trabalhadores no contexto laboral — Conceito de regras mais específicas — Faculdade concedida aos Estados‑Membros — Objetivo de proteção dos direitos e liberdades dos trabalhadores no âmbito do tratamento dos seus dados — Condições e limites previstos no regulamento — Regulamentação nacional que não preenche essas condições e limites — Exclusão
(Regulamento 2016/679 do Parlamento Europeu e do Conselho, considerando 10 e artigo 88.o, n.os 1 e 2)
(cf. n.os 58‑75, disp. 1)
Proteção das pessoas singulares no que respeita ao tratamento de dados pessoais — Regulamento 2016/679 — Tratamento de dados dos trabalhadores no contexto laboral — Condições e limites previstos no regulamento — Disposições nacionais que preveem a difusão em direto por videoconferência das aulas ministradas por docentes sem o seu consentimento expresso — Inadmissibilidade — Consequências — Inaplicabilidade destas disposições — Limites
(Artigo 288.o, segundo parágrafo, TFUE; Regulamento 2016/679 do Parlamento Europeu e do Conselho, considerando 45 e artigos 5.o, 6.o, n.o 1, primeiro parágrafo, e 3.o, e 88.o, n.os 1 e 2)
(cf. n.os 77‑89, disp. 2)
Resumo
A difusão em direto por videoconferência das aulas de ensino escolar público é abrangida pelo RGPD
Através de duas deliberações adotadas em 2020, o Ministro da Educação e da Cultura do Hesse (Alemanha) fixou o quadro jurídico e organizacional do ensino escolar durante o período da pandemia de COVID‑19, instituindo, nomeadamente, a possibilidade de os alunos que não pudessem estar presentes em sala assistirem em direto às aulas por videoconferência. A fim de preservar os direitos dos alunos em matéria de proteção de dados pessoais, foi estabelecido que a ligação ao serviço de videoconferência só seria autorizada com o consentimento dos próprios alunos ou, se estes fossem menores, dos seus pais. Em contrapartida, não estava previsto o consentimento dos docentes em causa para participarem nesse serviço.
Queixando‑se do facto de a difusão em direto das aulas por videoconferência, tal como instituída pela legislação nacional, não estar sujeita ao requisito do consentimento dos docentes em causa, o Comité principal do pessoal docente do Ministério da Educação e da Cultura do Hesse interpôs recurso contra o ministro responsável por estas questões. Este último alegou que o tratamento dos dados pessoais que a difusão em direto das aulas por videoconferência constitui estava abrangido pela legislação nacional, de modo que podia ser efetuado sem que fosse pedido o consentimento dos docentes em causa.
O órgão jurisdicional administrativo chamado a pronunciar‑se referiu que, de acordo com a vontade do legislador do Land de Hesse, a regulamentação nacional, com base na qual o tratamento dos dados pessoais é efetuado, pertence à categoria das «normas mais específicas» que os Estados‑Membros podem estabelecer, em conformidade com o artigo 88.o, n.o 1, do Regulamento Geral sobre a Proteção de Dados (
1
), para garantir a defesa dos direitos e liberdades dos trabalhadores no que respeita ao tratamento dos seus dados pessoais no contexto laboral (
2
). No entanto, este órgão jurisdicional tem dúvidas quanto à compatibilidade desta regulamentação com os requisitos previstos no artigo 88.o, n.o 2, do RGPD (
3
). Por conseguinte, submeteu ao Tribunal de Justiça um pedido de decisão prejudicial.
Com o seu acórdão, o Tribunal de Justiça declara que uma regulamentação nacional não pode constituir uma «norma mais específica», na aceção do n.o 1 do artigo 88.o do RGPD, caso não preencha os requisitos previstos no n.o°2 do referido artigo. Além disso, o Tribunal de Justiça precisa que a aplicação de disposições nacionais adotadas para garantir a defesa dos direitos e liberdades do trabalhador no que respeita ao tratamento dos seus dados pessoais no contexto laboral deve ser afastada quando essas disposições não respeitem as condições e os limites previstos neste artigo 88.o, n.os 1 e 2, do RGPD, a menos que essas disposições constituam uma base jurídica para o tratamento, referida noutro artigo do RGPD (
4
) que respeite as exigências previstas por este último.
Apreciação do Tribunal de Justiça
Antes de mais, o Tribunal de Justiça considera que o tratamento de dados pessoais de docentes, aquando da difusão em direto por videoconferência das aulas de ensino público que ministram, se encontra abrangido pelo âmbito de aplicação material do RGPD. Em seguida, precisa que este tratamento de dados pessoais de docentes que, enquanto agentes ou funcionários, integram o serviço público do Land de Hesse, é abrangido pelo âmbito de aplicação pessoal do artigo 88.o do RGPD, que visa o tratamento de dados pessoais dos trabalhadores no contexto laboral.
Num primeiro momento, o Tribunal de Justiça debruça‑se sobre a questão de saber se uma «norma mais específica» na aceção do n.o 1 do artigo 88.o do RGPD deve preencher os requisitos previstos no n.o 2 deste artigo. Segundo o Tribunal de Justiça, resulta da utilização dos termos «mais específicas» na redação do artigo 88.o, n.o 1, do RGPD, que as normas visadas por esta disposição devem ter um conteúdo normativo próprio do domínio regulamentado e distinto das normas gerais desse regulamento. Resulta igualmente da redação do artigo 88.o do RGPD que o n.o 2 deste artigo enquadra a margem de apreciação dos Estados‑Membros que pretendam adotar «normas mais específicas» nos termos do n.o 1 deste artigo. Assim, o Tribunal de Justiça considera, por um lado, que estas normas não se podem limitar a reiterar as disposições deste regulamento que preveem as condições para o tratamento lícito dos dados pessoais, bem como os princípios desse tratamento (
5
), ou a remeter para essas condições e princípios. Estas normas devem visar a defesa dos direitos e liberdades dos trabalhadores no que respeita ao tratamento dos seus dados e incluir medidas adequadas e específicas para salvaguardar a dignidade, os interesses legítimos e os direitos fundamentais do titular dos dados. Por outro lado, deve ser dado especial relevo à transparência do tratamento, à transparência do tratamento de dados, à transferência de dados pessoais num grupo empresarial ou num grupo de empresas envolvidas numa atividade económica conjunta, bem como aos sistemas de controlo no local de trabalho. Por conseguinte, para poder ser qualificada de «norma mais específica», na aceção do n.o 1 do artigo 88.o do RGPD, uma disposição legal deve preencher os requisitos previstos no n.o 2 deste artigo.
Num segundo momento, o Tribunal de Justiça precisa as consequências que devem ser retiradas da constatação de que as condições e os limites previstos no artigo 88.o, n.os 1 e 2, do RGPD são incompatíveis com disposições nacionais em causa.
Assim, o Tribunal de Justiça recorda que cabe ao órgão jurisdicional de reenvio, que tem competência exclusiva para interpretar o direito nacional, apreciar se as disposições em causa respeitam as condições e os limites previstos no artigo 88.o do RGPD. No entanto, o Tribunal de Justiça salienta que estas disposições nacionais, que subordinam o tratamento dos dados pessoais dos trabalhadores à condição de esse tratamento ser necessário para determinadas finalidades ligadas à execução de uma relação de trabalho, parecem reiterar a condição geral de licitude do tratamento já enunciada no RGPD (
6
), sem acrescentar uma norma mais específica na aceção do artigo 88.o, n.o 1, deste regulamento. Caso o órgão jurisdicional de reenvio chegue à conclusão de que estas disposições não respeitam as condições e os limites previstos no artigo 88.o do RGPD, deve, em princípio, impedir a aplicação das referidas disposições. Com efeito, por força do princípio do primado do direito da União, na falta de normas mais específicas que respeitem as condições e os limites previstos no artigo 88.o do RGPD, o tratamento de dados pessoais no contexto laboral, tanto no setor privado como no setor público, é diretamente regido pelas disposições desse regulamento.
A este respeito, o Tribunal de Justiça salienta que podem ser aplicadas a um tratamento de dados pessoais, como o que está em causa no processo principal, outras disposições do RGPD (
7
), nos termos das quais o tratamento de dados pessoais é lícito quando for necessário, respetivamente, ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento, ou para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito. Em relação a estas duas hipóteses de licitude, o RGPD (
8
), por um lado, prevê que o tratamento se deve basear no direito da União ou no direito do Estado‑Membro ao qual o responsável pelo tratamento está sujeito, e acrescenta, por outro lado, que a finalidade do tratamento é determinada com esse fundamento jurídico ou deve ser necessária ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento.
Por conseguinte, quando o órgão jurisdicional de reenvio chega à conclusão de que as disposições nacionais relativas ao tratamento de dados pessoais no contexto laboral não respeitam as condições e os limites previstos no artigo 88.o, n.os 1 e 2, do RGPD, deve ainda verificar se as referidas disposições constituem uma base jurídica para o tratamento, prevista noutro artigo do RGPD (
9
), que cumpra os requisitos previstos neste regulamento. Se tal for o caso, a aplicação dessas disposições nacionais não deve ser afastada.
(
1
)	Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1, a seguir «RGPD»).
(
2
)	Nos termos do artigo 88.o, n.o 1, do RGPD, que constitui uma cláusula de abertura, os Estados‑Membros podem estabelecer, no seu ordenamento jurídico ou em convenções coletivas, normas mais específicas para garantir a defesa dos direitos e liberdades no que respeita ao tratamento de dados pessoais dos trabalhadores no contexto laboral, nomeadamente para efeitos de execução do contrato de trabalho, de gestão, planeamento e organização do trabalho.
(
3
)	O artigo 88.o, n.o 2, do RGPD prevê que as normas referidas incluem medidas adequadas e específicas para salvaguardar a dignidade, os interesses legítimos e os direitos fundamentais do titular dos dados, com especial relevo para a transparência do tratamento de dados, a transferência de dados pessoais e os sistemas de controlo no local de trabalho.
(
4
)	Artigo 6.o, n.o 3, do RGPD
(
5
)	Enunciados, respetivamente, no artigo 6.o e no artigo 5.o do RGPD.
(
6
)	Artigo 6.o, n.o 1, primeiro parágrafo, alínea b), do RGPD.
(
7
)	Artigo 6.o, n.o 1, primeiro parágrafo, alínea c) e e), do RGPD.
(
8
)	Artigo 6.o, n.o 3, do RGPD
(
9
)	Prevista no artigo 6.o, n.o 3, do RGPD, lido em conjugação com o seu considerando 45.