62021CJ0034_RES
Vec C‑34/21
Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium
proti
Minister des Hessischen Kultusministeriums
(návrh na začatie prejudiciálneho konania, ktorý podal Verwaltungsgericht Wiesbaden)
Rozsudok Súdneho dvora (prvá komora) z 30. marca 2023
„Návrh na začatie prejudiciálneho konania – Ochrana osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 88 ods. 1 a 2 – Spracúvanie údajov v súvislosti so zamestnaním – Regionálny školský systém – Výučba prostredníctvom videokonferencie z dôvodu pandémie COVID-19 – Uskutočňovanie bez výslovného súhlasu učiteľov“
Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie 2016/679 – Pôsobnosť – Výnimky – Spracúvanie údajov v súvislosti s činnosťou, na ktorú sa nevzťahuje právo Únie – Činnosť, ktorej cieľom je ochrana národnej bezpečnosti alebo ktorá patrí do tejto kategórie – Pojem – Činnosť týkajúca sa organizácie verejného vzdelávania – Vylúčenie
[Nariadenie Európskeho parlamentu a Rady 2016/679, odôvodnenie 16, článok 2 ods. 1 a článok 2 ods. 2 písm. a) a b)]
(pozri body 32 – 37)
Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie 2016/679 – Spracúvanie údajov zamestnancov v súvislosti so zamestnaním – Pojem – Vysielanie vyučovacích hodín zabezpečovaných učiteľmi, ktorí sú vo verejnej službe, v priamom prenose prostredníctvom videokonferencie – Zahrnutie
(Nariadenie Európskeho parlamentu a Rady 2016/679, odôvodnenie 10, článok 1 ods. 2 a článok 88)
(pozri body 39 – 56)
Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie 2016/679 – Spracúvanie údajov zamestnancov v súvislosti so zamestnaním – Pojem konkrétnejšie pravidlá – Možnosť poskytnutá členským štátom – Cieľ ochrany práv a slobôd zamestnancov v rámci spracúvania ich údajov – Podmienky a medze stanovené nariadením – Vnútroštátna právna úprava, ktorá tieto podmienky a medze nespĺňa – Vylúčenie
(Nariadenie Európskeho parlamentu a Rady 2016/679, odôvodnenie 10, článok 88 ods. 1 a článok 88 ods. 2)
(pozri body 58 – 75, výrok 1)
Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie 2016/679 – Spracúvanie údajov zamestnancov v súvislosti so zamestnaním – Podmienky a medze stanovené nariadením – Vnútroštátne ustanovenia upravujúce vysielanie vyučovacích hodín v rámci verejného vzdelávania, ktoré zabezpečujú učitelia, v priamom prenose prostredníctvom videokonferencie bez ich výslovného súhlasu – Neprípustnosť – Dôsledky – Neuplatniteľnosť týchto ustanovení – Obmedzenia
(Článok 288 druhý odsek ZFEÚ; nariadenie Európskeho parlamentu a Rady 2016/679, odôvodnenie 45, článok 5, článok 6 ods. 1 prvý pododsek, článok 6 ods. 3 a článok 88 ods. 1 a 2)
(pozri body 77 – 89, výrok 2)
Zhrnutie
Na vysielanie vyučovacích hodín v rámci verejného školského vzdelávania v priamom prenose prostredníctvom videokonferencie sa vzťahuje GDPR
Minister školstva a kultúry spolkovej krajiny Hesensko (Nemecko) dvomi aktmi prijatými v priebehu roka 2020 stanovil právny a organizačný rámec školskej výučby počas obdobia pandémie COVID‑19, pričom predovšetkým upravil možnosť, aby sa žiaci, ktorí nemohli byť prítomní v triede, mohli zúčastniť na vyučovacích hodinách v priamom prenose prostredníctvom videokonferencie. S cieľom chrániť práva žiakov v oblasti ochrany osobných údajov bolo stanovené, že pripojenie k službe videokonferencie bude povolené len so súhlasom samotných žiakov, alebo v prípade, že sú títo maloletí, so súhlasom ich rodičov. Súhlas dotknutých učiteľov s ich účasťou na tejto službe sa naopak neupravil.
Hlavný výbor pedagogických zamestnancov pri Ministerstve školstva a kultúry spolkovej krajiny Hesensko, ktorý namietal proti tomu, že vysielanie vyučovacích hodín v priamom prenose prostredníctvom videokonferencie, tak ako je upravené vnútroštátnymi právnymi predpismi, nepodlieha podmienke súhlasu dotknutých učiteľov, podal žalobu proti ministrovi zodpovednému za tieto záležitosti. Tento minister tvrdil, že na spracúvanie osobných údajov, ktoré predstavuje vysielanie vyučovacích hodín v priamom prenose prostredníctvom videokonferencie, sa vzťahuje vnútroštátna právna úprava, a teda je možné ho uskutočňovať bez toho, aby sa žiadalo o súhlas dotknutých učiteľov.
Správny súd, na ktorý bola žaloba podaná, uviedol, že v súlade so zámerom zákonodarcu spolkovej krajiny Hesensko vnútroštátna právna úprava, na základe ktorej sa spracúvanie osobných údajov učiteľov uskutočňuje, patrí do kategórie „konkrétnejších pravidiel“, ktoré môžu členské štáty stanoviť v súlade s článkom 88 ods. 1 všeobecného nariadenia o ochrane údajov (
1
), na zabezpečenie ochrany práv a slobôd zamestnancov pri spracúvaní ich osobných údajov v súvislosti so zamestnaním (
2
). Tento súd však mal pochybnosti, pokiaľ ide o zlučiteľnosť tejto právnej úpravy s podmienkami stanovenými v článku 88 ods. 2 GDPR (
3
). Obrátil sa preto na Súdny dvor s návrhom na začatie prejudiciálneho konania.
Súdny dvor vo svojom rozsudku rozhodol, že vnútroštátna právna úprava nemôže predstavovať „konkrétnejšie pravidlo“ v zmysle odseku 1 článku 88 GDPR v prípade, že nespĺňa podmienky stanovené v odseku 2 tohto článku. Okrem toho Súdny dvor spresnil, že uplatnenie vnútroštátnych ustanovení prijatých na zabezpečenie ochrany práv a slobôd zamestnancov pri spracúvaní ich osobných údajov v súvislosti so zamestnaním sa musí odmietnuť v prípade, že tieto ustanovenia nerešpektujú podmienky a medze stanovené týmto článkom 88 ods. 1 a 2 GDPR, ibaže platí, že predmetné ustanovenia predstavujú právny základ pre spracúvanie upravený v inom článku GDPR (
4
), ktorý rešpektuje požiadavky ním stanovené.
Posúdenie Súdnym dvorom
Súdny dvor na úvod konštatoval, že spracúvanie osobných údajov učiteľov pri vysielaní vyučovacích hodín v rámci verejného vzdelávania, ktoré títo poskytujú, v priamom prenose prostredníctvom videokonferencie, patrí do vecnej pôsobnosti GDPR. Ďalej spresnil, že toto spracúvanie osobných údajov učiteľov, ktorí sú vo verejnej službe spolkovej krajiny Hesensko ako zamestnanci alebo úradníci, patrí do osobnej pôsobnosti článku 88 GDPR, ktorý sa týka spracúvania osobných údajov zamestnancov v súvislosti so zamestnaním.
V prvom rade sa Súdny dvor zaoberal otázkou, či „konkrétnejšie pravidlo“ v zmysle odseku 1 článku 88 GDPR musí spĺňať podmienky stanovené v odseku 2 tohto článku. Podľa Súdneho dvora z použitia výrazu „konkrétnejšie“ v znení článku 88 ods. 1 GDPR vyplýva, že pravidlá uvedené v tomto ustanovení musia mať normatívny obsah, ktorý je vlastný regulovanému odvetviu a ktorý sa odlišuje od všeobecných pravidiel tohto nariadenia. Zo znenia článku 88 GDPR tiež vyplýva, že odsek 2 tohto článku vymedzuje rámec pre mieru voľnej úvahy členských štátov, ktoré majú v úmysle prijať „konkrétnejšie pravidlá“ na základe odseku 1 tohto článku. Súdny dvor tak po prvé konštatoval, že tieto pravidlá sa nemôžu obmedziť na to, že sa v nich zopakujú ustanovenia tohto nariadenia stanovujúce podmienky zákonnosti spracúvania osobných údajov, ako aj zásady tohto spracúvania (
5
), alebo že sa v nich na tieto podmienky a zásady odkáže. Tieto pravidlá musia mať za cieľ ochranu práv a slobôd zamestnancov pri spracúvaní ich údajov a musia zahŕňať vhodné a osobitné opatrenia na zaistenie ľudskej dôstojnosti, oprávnených záujmov a základných práv dotknutej osoby. Po druhé sa treba osobitne zamerať na transparentnosť spracúvania, prenos osobných údajov v rámci skupiny podnikov alebo podnikov zapojených do spoločnej hospodárskej činnosti, ako aj na systémy monitorovania na pracovisku. V dôsledku uvedeného, na to, aby sa právne pravidlo mohlo kvalifikovať ako „konkrétnejšie pravidlo“ v zmysle odseku 1 článku 88 GDPR, musí spĺňať podmienky stanovené v odseku 2 tohto článku.
V druhom rade Súdny dvor spresnil dôsledky, ktoré treba vyvodiť z konštatovania nezlučiteľnosti predmetných vnútroštátnych ustanovení s podmienkami a medzami stanovenými v článku 88 ods. 1 a 2 GDPR.
Súdny dvor tak pripomenul, že vnútroštátnemu súdu, ktorý má ako jediný právomoc vykladať vnútroštátne právo, prináleží posúdiť, či predmetné vnútroštátne ustanovenia rešpektujú podmienky a medze stanovené v článku 88 GDPR. Súdny dvor však poukázal na to, že sa zdá, že v týchto vnútroštátnych ustanoveniach, ktoré podmieňujú spracúvanie osobných údajov zamestnancov tým, že je toto spracúvanie nevyhnutné na určité účely súvisiace s výkonom zamestnania, je zopakovaná podmienka všeobecnej zákonnosti, ktorá je už v GDPR uvedená (
6
), pričom nie je dodané konkrétnejšie pravidlo v zmysle článku 88 ods. 1 tohto nariadenia. V prípade, že by vnútroštátny súd dospel k záveru, že tieto vnútroštátne ustanovenia nerešpektujú podmienky a medze stanovené v článku 88 GDPR, v zásade by bol povinný ich neuplatniť. Na základe zásady prednosti práva Únie totiž vzhľadom na neexistenciu konkrétnejších pravidiel, ktoré by rešpektovali podmienky a medze stanovené v článku 88 GDPR, je spracúvanie osobných údajov v súvislosti so zamestnaním priamo upravené ustanoveniami tohto nariadenia, a to tak v súkromnom, ako aj vo verejnom sektore.
V tejto súvislosti Súdny dvor uviedol, že na také spracúvanie osobných údajov, o aké ide vo veci samej, možno uplatniť iné ustanovenia GDPR (
7
), podľa ktorých je spracúvanie osobných údajov zákonné, ak je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi, alebo na splnenie zákonnej povinnosti prevádzkovateľa. Pokiaľ ide o tieto dva prípady zákonnosti, GDPR (
8
) po prvé stanovuje, že spracúvanie musí byť založené na práve Únie alebo na práve členského štátu vzťahujúcom sa na prevádzkovateľa, a po druhé sa v ňom dodáva, že účel spracúvania sa stanoví v tomto právnom základe, alebo je nevyhnutný na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi.
V dôsledku uvedeného, keď vnútroštátny súd dospeje k záveru, že vnútroštátne ustanovenia týkajúce sa spracúvania osobných údajov v súvislosti so zamestnaním nerešpektujú podmienky a medze stanovené v článku 88 ods. 1 a 2 GDPR, musí ešte overiť, či tieto ustanovenia predstavujú právny základ pre spracúvanie, uvedený v inom článku GDPR (
9
), ktorý spĺňa požiadavky stanovené týmto nariadením. Ak to tak je, uplatnenie týchto vnútroštátnych ustanovení nemožno vylúčiť.
(
1
)	Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „GDPR“).
(
2
)	Podľa článku 88 ods. 1 GDPR, ktorý predstavuje ustanovenie o otvorení, môžu členské štáty prostredníctvom právnych predpisov alebo kolektívnych dohôd stanoviť konkrétnejšie pravidlá na zabezpečenie ochrany práv a slobôd pri spracúvaní osobných údajov zamestnancov v súvislosti so zamestnaním, najmä na účely plnenia pracovnej zmluvy, riadenia, plánovania a organizácie práce.
(
3
)	Článok 88 ods. 2 GDPR stanovuje, že uvedené pravidlá zahŕňajú vhodné a osobitné opatrenia na zaistenie ľudskej dôstojnosti, oprávnených záujmov a základných práv dotknutej osoby, s osobitným zameraním na transparentnosť spracúvania, prenos osobných údajov a systémy monitorovania na pracovisku.
(
4
)	Článok 6 ods. 3 GDPR.
(
5
)	Tieto sú uvedené v článku 6 a článku 5 GDPR.
(
6
)	Článok 6 ods. 1 prvý pododsek písm. b) GDPR.
(
7
)	Článok 6 ods. 1 prvý pododsek písm. c) a e) GDPR.
(
8
)	Článok 6 ods. 3 GDPR.
(
9
)	Tento je stanovený v článku 6 ods. 3 GDPR v spojení s jeho odôvodnením 45.