62023CJ0065
DOMSTOLENS DOM (åttonde avdelningen)
den 19 december 2024 (
*1
)
”Begäran om förhandsavgörande – Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning (EU) 2016/679 – Artikel 88.1 och 88.2 – Behandling av personuppgifter i anställningsförhållanden – Anställdas personuppgifter – Mer specifika regler som fastställs av en medlemsstat med stöd av artikel 88 – Skyldighet att iaktta artiklarna 5, 6.1 samt 9.1 och 9.2 i denna förordning – Behandling av personuppgifter enligt kollektivavtal – Utrymme för skönsmässig bedömning för parterna i kollektivavtalet vad gäller nödvändigheten av den behandling av personuppgifter som föreskrivs i avtalet – Omfattningen av domstolsprövningen”
I mål C‑65/23,
angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Bundesarbeitsgericht (Federala arbetsdomstolen, Tyskland) genom beslut av den 22 september 2022, som inkom till domstolen den 8 februari 2023, i målet
MK
mot
K GmbH,
meddelar
DOMSTOLEN (åttonde avdelningen)
sammansatt av ordföranden på nionde avdelningen N. Jääskinen (referent), tillika tillförordnad ordförande på åttonde avdelningen, samt domarna M. Gavalec och I. Ziemele,
generaladvokat: L. Medina,
justitiesekreterare: A. Calot Escobar,
efter det skriftliga förfarandet,
med beaktande av de yttranden som avgetts av:
–
MK, genom J. Zäh, Rechtsanwalt,
–
K GmbH, genom B. Geck, Rechtsanwältin,
–
Irland, genom M. Browne, Chief State Solicitor, A. Joyce och M. Tierney, båda i egenskap av ombud, biträdda av D. Fennelly, BL,
–
Italiens regering, genom G. Palmieri, i egenskap av ombud, biträdd av G. Natale, avvocato dello Stato,
–
Europeiska kommissionen, genom A. Bouchagiar, M. Heller och H. Kranenborg, samtliga i egenskap av ombud,
med hänsyn till beslutet, efter att ha hört generaladvokaten, att avgöra målet utan förslag till avgörande,
följande
Dom
1
Begäran om förhandsavgörande avser tolkningen av artiklarna 82.1 samt 88.1 och 88.2, jämförda med artiklarna 5, 6.1 samt 9.1 och 9.2 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1, och rättelse i EUT L 127, 2018, s. 2) (nedan kallad dataskyddsförordningen).
2
Begäran har framställts i ett mål mellan MK, som är en fysisk person, och hans arbetsgivare K GmbH. Målet rör ersättning för immateriell skada som denna person påstår sig ha lidit till följd av att detta bolag har behandlat hans personuppgifter på grundval av en verksamhetsöverenskommelse.
Tillämpliga bestämmelser
Unionsrätt
3
Skälen 8, 10 och 155 i dataskyddsförordningen har följande lydelse:
”8)
Om denna förordning föreskriver förtydliganden eller begränsningar av dess bestämmelser genom medlemsstaternas nationella rätt, kan medlemsstaterna, i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på, införliva delar av denna förordning i nationell rätt.
…
(10)
För att säkra en enhetlig och hög skyddsnivå för fysiska personer och för att undanröja hindren för flödena av personuppgifter inom [Europeiska] unionen bör nivån på skyddet av fysiska personers rättigheter och friheter vid behandling av personuppgifter vara likvärdig i alla medlemsstater. En konsekvent och enhetlig tillämpning av bestämmelserna om skydd av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter bör säkerställas i hela unionen. … Denna förordning ger dessutom medlemsstaterna handlingsutrymme att specificera sina bestämmelser, även för behandlingen av särskilda kategorier av personuppgifter (nedan kallade känsliga uppgifter). Denna förordning utesluter inte att det i medlemsstaternas nationella rätt fastställs närmare omständigheter för specifika situationer där uppgifter behandlas, inbegripet mer exakta villkor för laglig behandling av personuppgifter.
…
(155)
En medlemsstats nationella rätt eller kollektivavtal, inbegripet ’verksamhetsöverenskommelser’, får föreskriva särskilda bestämmelser om behandling av anställdas personuppgifter i anställningsförhållanden, särskilt när det gäller villkoren för hur personuppgifter i anställningsförhållanden får behandlas på grundval av samtycke från den anställde, rekrytering, genomförande av anställningsavtalet, inklusive befrielse från i lag eller kollektivavtal stadgade skyldigheter, ledning, planering och organisering av arbetet, jämställdhet och mångfald i arbetslivet samt hälsa och säkerhet på arbetsplatsen, men också när det gäller att såväl kollektivt som individuellt utöva och komma i åtnjutande av rättigheter och förmåner som är knutna till anställningen samt att avsluta anställningsförhållandet.”
4
I artikel 4 i dataskyddsförordningen, med rubriken ”Definitioner”, föreskrivs följande:
”I denna förordning avses med
1)
personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad en registrerad) …
2)
behandling: en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, …
…
7)
personuppgiftsansvarig: en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter; …
…”
5
Kapitel II i dataskyddsförordningen, med rubriken ”Principer”, innehåller artiklarna 5–11.
6
I artikel 5 i dataskyddsförordningen, med rubriken ”Principer för behandling av personuppgifter”, föreskrivs följande:
”1.   Vid behandling av personuppgifter ska följande gälla:
…
c)
De ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (uppgiftsminimering).
…
f)
De ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder (integritet och konfidentialitet).
2.   Den personuppgiftsansvarige ska ansvara för och kunna visa att punkt 1 efterlevs (ansvarsskyldighet).”
7
I artikel 6 i förordningen, med rubriken ”Laglig behandling av personuppgifter”, föreskrivs följande:
”1.   Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt:
a)
Den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål.
b)
Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås.
c)
Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige.
d)
Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person.
e)
Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning.
f)
Behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn.
Led f i första stycket ska inte gälla för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter.
2.   Medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i denna förordning med hänsyn till behandling för att efterleva punkt 1 c och e genom att närmare fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling, inbegripet för andra specifika situationer då uppgifter behandlas i enlighet med kapitel IX.
3.   Den grund för behandlingen som avses i punkt 1 c och e ska fastställas i enlighet med
a)
unionsrätten, eller
b)
en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av.
… Den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i denna förordning, bland annat: de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling, däribland för behandling i andra särskilda situationer enligt kapitel IX. …
…”
8
I artikel 9 i samma förordning, med rubriken ”Behandling av särskilda kategorier av personuppgifter”, föreskrivs följande:
”1.   Behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska vara förbjuden.
2.   Punkt 1 ska inte tillämpas om något av följande gäller:
a)
Den registrerade har uttryckligen lämnat sitt samtycke till behandlingen av dessa personuppgifter för ett eller flera specifika ändamål, utom då unionsrätten eller medlemsstaternas nationella rätt föreskriver att förbudet i punkt 1 inte kan upphävas av den registrerade.
b)
Behandlingen är nödvändig för att den personuppgiftsansvarige eller den registrerade ska kunna fullgöra sina skyldigheter och utöva sina särskilda rättigheter inom arbetsrätten och på områdena social trygghet och socialt skydd, i den omfattning detta är tillåtet enligt unionsrätten eller medlemsstaternas nationella rätt eller ett kollektivavtal som antagits med stöd av medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder som säkerställer den registrerades grundläggande rättigheter och intressen fastställs.
…”
9
I kapitel VIII i dataskyddsförordningen, med rubriken ”Rättsmedel, ansvar och sanktioner”, återfinns artikel 82, med rubriken ”Ansvar och rätt till ersättning”. I punkt 1 i den artikeln föreskrivs följande:
”Varje person som har lidit materiell eller immateriell skada till följd av en överträdelse av denna förordning ska ha rätt till ersättning från den personuppgiftsansvarige eller personuppgiftsbiträdet för den uppkomna skadan.”
10
I kapitel IX i dataskyddsförordningen, med rubriken ”Bestämmelser om särskilda behandlingssituationer”, återfinns artikel 88, med rubriken ”Behandling i anställningsförhållanden”. I punkterna 1 och 2 i den artikeln föreskrivs följande:
”1.   Medlemsstaterna får i lag eller i kollektivavtal fastställa mer specifika regler för att säkerställa skyddet av rättigheter och friheter vid behandling av anställdas personuppgifter i anställningsförhållanden, särskilt när det gäller rekrytering, genomförande av anställningsavtalet inklusive befrielse från i lag eller kollektivavtal stadgade skyldigheter, ledning, planering och organisering av arbetet, jämställdhet och mångfald i arbetslivet, hälsa och säkerhet på arbetsplatsen samt skydd av arbetsgivarens eller kundens egendom men också när det gäller att såväl kollektivt som individuellt utöva och komma i åtnjutande av rättigheter och förmåner som är knutna till anställningen samt att avsluta anställningsförhållandet.
2.   Dessa regler ska innehålla lämpliga och specifika åtgärder för att skydda den registrerades mänskliga värdighet, berättigade intressen och grundläggande rättigheter, varvid hänsyn särskilt ska tas till insyn i behandlingen, överföring av personuppgifter inom en koncern eller en grupp av företag som deltar i gemensam ekonomisk verksamhet samt övervakningssystem på arbetsplatsen.”
11
I artikel 99 i dataskyddsförordningen, med rubriken ”Ikraftträdande och tillämpning”, förskrivs följande:
”1.   Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning.
2.   Den ska tillämpas från och med den 25 maj 2018.”
Tysk rätt
12
I 26 § Bundesdatenschutzgesetz (federal dataskyddslag) av den 30 juni 2017 (BGBl. 2017 I, s. 2097) (nedan kallad BDSG), med rubriken ”Behandling i anställningsförhållanden”, föreskrivs följande i punkterna 1 och 4:
”1)   Anställdas personuppgifter får behandlas för syften som är knutna till anställningsförhållandet om det är nödvändigt för att fatta beslut om ingående av ett anställningsförhållande eller efter det att ett anställningsförhållande har ingåtts för att genomföra eller avsluta anställningsförhållandet, samt för att utöva rättigheter eller fullgöra skyldigheter avseende de anställdas intressen vilka följer av lag, kollektivavtalsreglering, verksamhetsöverenskommelse eller tjänsteöverenskommelse (kollektivavtal). …
…
4)   Behandling av personuppgifter, inklusive behandling av särskilda kategorier av anställdas personuppgifter, för syften i samband med ett anställningsförhållande är tillåten om det sker med stöd av kollektivavtal. Kollektivavtalets parter ska beakta artikel 88.2 i [dataskyddsförordningen].”
Målet vid den nationella domstolen och tolkningsfrågorna
13
Klaganden i det nationella målet är anställd av motparten, som är ett bolag bildat enligt tysk rätt. Klaganden är även ordförande i bolagets företagsråd.
14
Bolaget behandlade ursprungligen vissa personuppgifter om sina anställda i samband med användningen av en programvara kallad SAP (nedan kallad SAP), bland annat i bokföringssyfte. Bolaget ingick för detta ändamål flera verksamhetsöverenskommelser med sitt företagsråd.
15
Under år 2017 införde bolagskoncernen D, i vilken motparten i det nationella målet ingår (nedan kallad D-koncernen), programvaran Workday, som är molnbaserad, inom hela koncernen som det enda systemet för hantering av personalinformation. I detta sammanhang överförde motparten i det nationella målet olika personuppgifter om sina anställda från SAP till en server i Förenta staterna tillhörande moderbolaget i D-koncernen.
16
Den 3 juli 2017 ingick motparten och dess företagsråd en överenskommelse om acceptans vad gäller införandet av programvaran Workday (nedan kallad verksamhetsöverenskommelsen), enligt vilken det bland annat var förbjudet att under försöksfasen använda denna programvara för personaladministration, till exempel för att utvärdera en arbetstagare. Enligt bilaga 2 till verksamhetsöverenskommelsen var de enda kategorier av uppgifter som kunde överföras till Workday anställningsnummer för arbetstagarna inom D-koncernen, efternamn, förnamn, telefonnummer, datum då tjänsten i det ifrågavarande bolaget tillträddes, datum då tjänsteutövning inom koncernen påbörjades, arbetsort, det ifrågavarande bolagets namn samt telefonnummer och e‑postadress. Verkningarna av överenskommelsen förlängdes fram till dess att en slutlig verksamhetsöverenskommelse, som ingicks den 23 januari 2019, trädde i kraft.
17
I detta sammanhang väckte klaganden talan vid Arbeitsgericht (Arbetsdomstolen, Tyskland) och därefter vid Landesarbeitsgericht (Arbetsöverdomstolen, Tyskland), båda med territoriell behörighet, med yrkande om tillgång till vissa uppgifter, radering av uppgifter om honom och skadestånd. Klaganden gjorde bland annat gällande att motparten hade överfört personuppgifter som rörde honom till moderbolagets server. Vissa av dessa uppgifter omfattades inte av verksamhetsöverenskommelsen, vilket särskilt var fallet vad gällde hans privata kontaktuppgifter, uppgifter om hans anställningsavtal, lön, socialförsäkringsnummer, skattenummer, nationalitet och civilstånd.
18
Eftersom klagandens talan inte vann bifall i sin helhet överklagade han till Bundesarbeitsgericht (Federala arbetsdomstolen, Tyskland), som är den hänskjutande domstolen. Det är endast klagandens begäran om ersättning, med stöd av dataskyddsförordningen, för den immateriella skada som han påstår sig ha lidit till följd av olaglig behandling av hans personuppgifter genom programvaran Workday, som fortfarande är anhängig. Begäran om ersättning avser olaglig behandling under perioden från den första dag då dataskyddsförordningen blev tillämplig, det vill säga den 25 maj 2018, till slutet av första kvartalet år 2019.
19
När det gäller frågan huruvida denna behandling var olaglig, har klaganden gjort gällande att denna behandling inte var nödvändig vare sig för anställningsförhållandet, för vilket motparten använde SAP, eller för att testa den nya programvaran Workday. Fiktiva uppgifter hade nämligen varit tillräckliga för detta ändamål och skulle ha säkerställt att ingen verklig uppgift gjordes tillgänglig inom D-koncernen. Även om det antas att verksamhetsöverenskommelsen kunde utgöra en giltig grund för nämnda behandling, har det tillstånd som därav följer enligt klaganden dessutom överskridits, eftersom motparten har överfört andra uppgifter än dem som anges i bilaga 2 till överenskommelsen. Slutligen ankommer det på motparten att visa att dess agerande är förenligt med dataskyddsförordningen.
20
Motparten har invänt att den aktuella behandlingen uppfyller kraven i dataskyddsförordningen, att bevisbördan åvilar klaganden och att han varken har visat att det föreligger en immateriell skada eller att det finns ett orsakssamband mellan ett eventuellt åsidosättande av denna förordning och den påstådda skadan.
21
Den hänskjutande domstolen anser att de åtgärder som klaganden har ifrågasatt omfattas av dataskyddsförordningens materiella tillämpningsområde, eftersom de utgör en ”behandling” av den ”registrerades””personuppgifter” i den mening som avses i artikel 4 led 1 och 2 i förordningen. Den hänskjutande domstolen har dessutom angett att motparten är ”personuppgiftsansvarig” i den mening som avses i artikel 4 led 7 i förordningen. Vad beträffar förordningens tidsmässiga tillämpningsområde har den hänskjutande domstolen understrukit att behandlingen visserligen inleddes före den dag då dataskyddsförordningen blev tillämplig, men att den emellertid fortgick efter detta datum. De ursprungliga verkningarna av verksamhetsöverenskommelsen förlängdes nämligen flera gånger.
22
För det första vill den hänskjutande domstolen i detta sammanhang få klarhet i huruvida en nationell bestämmelse, såsom 26 § 4 BDSG – enligt vilken behandling av personuppgifter i ett anställningsförhållande regleras och där det i princip föreskrivs att en sådan behandling som utförs enligt ett kollektivavtal är laglig med förbehåll för iakttagandet av artikel 88.2 i dataskyddsförordningen – är förenlig med denna förordning eller om den berörda behandlingen för detta ändamål även måste vara förenlig med förordningens övriga bestämmelser. Den hänskjutande domstolen är benägen att anse att när behandling av anställdas personuppgifter regleras i ett ”kollektivavtal”, i den mening som avses i artikel 88 i dataskyddsförordningen, får denna behandling inte avvika från de krav som följer inte bara av nämnda artikel 88, utan även av artiklarna 5, 6.1 samt 9.1 och 9.2 i förordningen, särskilt vad gäller det krav på att behandlingen ska vara nödvändig som föreskrivs i de tre sistnämnda artiklarna.
23
För det andra vill den hänskjutande domstolen, för det fall den första frågan besvaras jakande, få klarhet i huruvida parterna i ett sådant kollektivavtal har ett utrymme för skönsmässig bedömning som endast bör bli föremål för en begränsad domstolsprövning vad gäller bedömningen av huruvida den ifrågavarande behandlingen är nödvändig, i den mening som avses i artiklarna 5, 6.1 samt 9.1 och 9.2 i dataskyddsförordningen. Enligt den hänskjutande domstolen vinner denna uppfattning stöd av argumentet att kollektivavtalets parter har stor kännedom om företaget och i allmänhet har nått fram till en lämplig intresseavvägning. EU-domstolens praxis avseende andra unionsrättsakter, särskilt dom av den 7 februari 1991, Nimz (C‑184/89, EU:C:1991:50), och dom av den 20 mars 2003, Kutz-Bauer (C‑187/00, EU:C:2003:168), tyder snarare på att bestämmelser i ett kollektivavtal som omfattas av unionsrättens tillämpningsområde inte får strida mot unionsrätten och att sådana bestämmelser i förekommande fall inte ska tillämpas.
24
För det tredje vill den hänskjutande domstolen, för det fall den andra frågan besvaras jakande, få kännedom om de bedömningskriterier till vilka den i förekommande fall ska begränsa sin domstolsprövning.
25
Slutligen avsåg den fjärde, den femte och den sjätte frågan, som den hänskjutande domstolen ursprungligen hade ställt, innan de återkallades, i huvudsak rätten till ersättning för immateriell skada enligt artikel 82.1 i dataskyddsförordningen.
26
Mot denna bakgrund beslutade Bundesarbeitsgericht (Federala arbetsdomstolen) att vilandeförklara målet och ställa följande frågor till EU-domstolen:
”1)
Ska en nationell bestämmelse som antagits med stöd av artikel 88.1 i [dataskyddsförordningen], såsom 26 § punkt 4 BDSG, i vilken det föreskrivs att behandling av personuppgifter inklusive behandling av särskilda kategorier av anställdas personuppgifter för syften i samband med ett anställningsförhållande är laglig om den sker med stöd av kollektivavtal och med beaktande av artikel 88.2 i dataskyddsförordningen, tolkas så, att även övriga bestämmelser i [dataskyddsförordningen], såsom artiklarna 5, 6.1 och 9.1 och 9.2, alltid ska iakttas?
2)
För det fall fråga 1 besvaras jakande:
Kan en nationell bestämmelse som antagits med stöd av artikel 88.1 i [dataskyddsförordningen], såsom 26 § punkt 4 BDSG, tolkas så, att parterna i ett kollektivavtal (i förevarande fall parterna i en verksamhetsöverenskommelse) medges ett utrymme för skönsmässig bedömning för att avgöra huruvida en behandling av personuppgifter är nödvändig i den mening som avses i artiklarna 5, 6.1 och 9.1 och 9.2 i [dataskyddsförordningen], vilket endast kan bli föremål för en begränsad domstolsprövning?
3)
För det fall fråga 2 besvaras jakande:
Vad får domstolsprövningen begränsas till i ett sådant fall?
4)
Ska artikel 82.1 i [dataskyddsförordningen] tolkas så, att personer har rätt till ersättning för immateriell skada redan om deras personuppgifter har behandlats i strid med bestämmelserna i [dataskyddsförordningen] eller förutsätter rätten till ersättning för immateriell skada dessutom att den registrerade visar att han eller hon har lidit immateriell skada av viss allvarlighetsgrad?
5)
Är artikel 82.1 i [dataskyddsförordningen] av individuell- eller allmänpreventiv karaktär, och ska detta beaktas vid bedömningen av omfattningen av den immateriella skada som den personuppgiftsansvarige eller personuppgiftsbiträdet ska ersätta enligt artikel 82.1 i [dataskyddsförordningen]?
6)
Är graden av fel från den personuppgiftsansvariges eller personuppgiftsbiträdets sida relevant för bedömningen av storleken på den immateriella skada som ska ersättas med stöd av artikel 82.1 i [dataskyddsförordningen]? Kan i synnerhet avsaknad av fel eller mindre fel från den personuppgiftsansvariges eller personuppgiftsbiträdets sida beaktas?”
Förfarandet vid domstolen
27
Genom beslut av EU-domstolens ordförande av den 24 januari 2024 delgavs den hänskjutande domstolen domen av den 4 maj 2023, Österreichische Post (Ideell skada på grund av behandling av personuppgifter) (C‑300/21, EU:C:2023:370), domen av den 14 december 2023, Natsionalna agentsia za prihodite (C‑340/21, EU:C:2023:986), domen av den 14 december 2023, Gemeinde Ummendorf (C‑456/22, EU:C:2023:988), domen av den 21 december 2023, Krankenversicherung Nordrhein (C‑667/21, EU:C:2023:1022), och domen av den 25 januari 2024, MediaMarktSaturn (C‑687/21, EU:C:2024:72), för att den hänskjutande domstolen skulle precisera huruvida den med hänsyn till dessa domar ämnade vidhålla sin begäran om förhandsavgörande, särskilt vad gäller den fjärde, den femte och den sjätte frågan.
28
Genom beslut av EU-domstolens ordförande av den 15 mars 2024 vilandeförklarades förfarandet med stöd av artikel 55.1 b i domstolens rättegångsregler till dess att den ställda frågan hade besvarats.
29
Genom en skrivelse som inkom till domstolen den 8 maj 2024 meddelade den hänskjutande domstolen att den återkallade den fjärde, den femte och den sjätte frågan, men vidhöll den första, den andra och den tredje frågan.
Huruvida begäran om förhandsavgörande kan tas upp till prövning
30
Motparten i det nationella målet har gjort gällande att den första, den andra och den tredje frågan inte kan tas upp till sakprövning, eftersom de inte är relevanta för avgörandet av det mål som är anhängigt vid den hänskjutande domstolen. Motparten har i huvudsak anfört att klaganden inte har bestritt innehållet i den verksamhetsöverenskommelse som är tillämplig i förevarande fall, utan att klaganden i stället har hävdat att gränserna för denna överenskommelse har överskridits genom den ifrågasatta behandlingen av uppgifter. Enligt motparten innebär detta att målet inte avser ett åsidosättande av kraven i artikel 88 i dataskyddsförordningen avseende en sådan överenskommelse. Dessa frågor är dessutom enligt motparten hypotetiska, eftersom de syftar till att göra det möjligt för den hänskjutande domstolen att pröva lagligheten av denna behandling i dess helhet, och inte enbart i förhållande till de omständigheter som klaganden har bestritt.
31
EU-domstolen gör i denna del följande bedömning. Enligt fast rättspraxis ankommer det uteslutande på den nationella domstolen, vid vilken målet anhängiggjorts och vilken har ansvaret för det rättsliga avgörandet, att mot bakgrund av de särskilda omständigheterna i målet bedöma såväl om ett förhandsavgörande är nödvändigt för att döma i saken som relevansen av de frågor som ställs till EU-domstolen, vilka presumeras vara relevanta. EU-domstolen är följaktligen i princip skyldig att meddela ett förhandsavgörande när de frågor som ställts avser tolkningen eller giltigheten av en unionsrättslig regel, såvida det inte är uppenbart att den begärda tolkningen av unionsrätten inte har något samband med de verkliga omständigheterna eller saken i det nationella målet eller då frågeställningen är hypotetisk eller EU-domstolen inte har tillgång till sådana uppgifter om de faktiska eller rättsliga omständigheterna som är nödvändiga för att kunna ge ett användbart svar på de frågor som ställts till den (dom av den 20 juni 2024, Scalable Capital, C‑182/22 och C‑189/22, EU:C:2024:531, punkt 18 och där angiven rättspraxis).
32
I förevarande fall handlar den första och den tredje frågan om tolkningen av flera unionsrättsliga bestämmelser, närmare bestämt artikel 88 i dataskyddsförordningen, jämförd med artiklarna 5, 6 och 9 i samma förordning. Den hänskjutande domstolen anser dessutom att de begränsningar som fastställts i den verksamhetsöverenskommelse som är tillämplig i förevarande fall, vilken den kvalificerar som ett ”kollektivavtal” i den mening som avses i förordningen, har överskridits och att den behandling av personuppgifter som är aktuell i det nationella målet ska prövas i sin helhet. Behandlingen kan nämligen vara olaglig såväl enligt punkt 1 som punkt 4 i 26 § BDSG, i vilken det uttryckligen hänvisas till artikel 88 i dataskyddsförordningen.
33
Begäran om förhandsavgörande kan således tas upp till sakprövning.
Prövning av tolkningsfrågorna
Den första frågan
34
Den hänskjutande domstolen har ställt den första frågan för att få klarhet i huruvida artikel 88.1 och 88.2 i dataskyddsförordningen ska tolkas så, att en nationell bestämmelse som avser behandling av personuppgifter i ett anställningsförhållande och som har antagits med stöd av artikel 88.1 i förordningen, ska innebära att dess adressater måste iaktta inte bara de krav som följer av artikel 88.2 i förordningen, utan även de krav som följer av artiklarna 5, 6.1 samt 9.1 och 9.2 i förordningen.
35
EU-domstolen erinrar i detta avseende om att dataskyddsförordningen syftar till att säkerställa en i princip fullständig harmonisering av nationell lagstiftning om skydd av personuppgifter. Förordningen innehåller emellertid vissa bestämmelser som ger medlemsstaterna möjlighet att införa ytterligare nationella regler, som är strängare eller avvikande, och som ger dem ett utrymme för skönsmässig bedömning när det gäller på vilket sätt dessa bestämmelser ska genomföras (”öppningsklausuler”) (se, för ett liknande resonemang, dom av den 30 mars 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punkt 51 och där angiven rättspraxis).
36
I artikel 88 i dataskyddsförordningen, som avser behandling av personuppgifter i anställningsförhållanden, föreskrivs de villkor enligt vilka medlemsstaterna i lag eller i kollektivavtal får fastställa ”mer specifika regler” för att säkerställa skyddet av fri- och rättigheter för de anställda som berörs av en sådan behandling. I skäl 155 i förordningen anges bland annat att begreppet kollektivavtal i den mening som avses i artikel 88 omfattar ”verksamhetsöverenskommelser”, såsom den överenskommelse som är aktuell i det nationella målet. I artiklarna 5, 6 och 9 i nämnda förordning anges dessutom principerna för behandling av personuppgifter, villkoren för att behandlingen ska vara laglig respektive regler om behandling av särskilda kategorier av personuppgifter.
37
Av fast rättspraxis framgår att de termer som används i en unionsbestämmelse som – i likhet med artikel 88 i dataskyddsförordningen – inte innehåller någon uttrycklig hänvisning till medlemsstaternas rättsordningar för fastställandet av bestämmelsens innebörd och tillämpningsområde i regel ska ges en självständig och enhetlig tolkning inom hela unionen, med beaktande av bland annat den aktuella bestämmelsens ordalydelse, de mål som eftersträvas med den och det sammanhang i vilket den ingår (se, analogt, dom av den 14 december 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punkt 23 och där angiven rättspraxis).
38
För det första framgår det av ordalydelsen i artikel 88.1 i dataskyddsförordningen att de ”mer specifika regler” som tillåts enligt denna bestämmelse ska ha ett normativt innehåll som är specifikt för det reglerade området och som skiljer sig från de allmänna reglerna i förordningen. I artikel 88.2 i dataskyddsförordningen anges emellertid gränserna för medlemsstaternas handlingsutrymme, i enlighet med förordningens syfte att uppnå harmonisering, när de avser att anta nationell lagstiftning med stöd av artikel 88.1 i förordningen (se, för ett liknande resonemang, dom av den 30 mars 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punkterna 61, 65, 72 och 75).
39
Ordalydelsen ger däremot ingen uttrycklig anvisning om huruvida de ”mer specifika regler” som medlemsstaterna således har möjlighet att anta endast ska syfta till att uppfylla de krav som anges i artikel 88.2 i dataskyddsförordningen eller om dessa regler även ska uppfylla de krav som uppställs i andra bestämmelser i denna förordning, på så sätt att behandling av personuppgifter som sker med tillämpning av sådana regler dessutom måste vara förenlig med sistnämnda bestämmelser.
40
För det andra har domstolen redan, vad gäller syftena med artikel 88 i dataskyddsförordningen, slagit fast att denna artikel utgör en ”öppningsklausul” och att den möjlighet som medlemsstaterna medges enligt artikel 88.1, med hänsyn till särdragen hos en sådan behandling, bland annat förklaras av den underordnade ställning som den anställde intar i förhållande till arbetsgivaren. Domstolen preciserade att de villkor som uppställs i artikel 88.2 i dataskyddsförordningen återspeglar gränserna för det utrymme för skönsmässig bedömning som medlemsstaterna har, i den meningen att bristande harmonisering endast kan godtas när de skillnader som kvarstår åtföljs av särskilda och lämpliga garantier för att skydda anställdas fri- och rättigheter vad gäller behandling av deras personuppgifter i anställningsförhållanden (se, för ett liknande resonemang, dom av den 30 mars 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punkterna 52, 53 och 73).
41
Domstolen har dessutom understrukit att när medlemsstaterna utnyttjar den möjlighet som de ges enligt artikel 88 i dataskyddsförordningen ska de använda sitt handlingsutrymme på de villkor och inom de gränser som föreskrivs i förordningens bestämmelser. Medlemsstaterna ska således lagstifta på ett sådant sätt att förordningens innehåll och syften inte undergrävs, med beaktande av att dess mål bland annat är att säkerställa en hög skyddsnivå för de registrerades fri- och rättigheter, såsom framgår av skäl 10 i förordningen. De bestämmelser som en medlemsstat antar med stöd av artikel 88 ska således syfta till att skydda anställdas fri- och rättigheter vad gäller behandling av deras personuppgifter (se, för ett liknande resonemang, dom av den 30 mars 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punkterna 54, 59, 62 och 74).
42
Artikel 88 i dataskyddsförordningen kan emellertid inte tolkas så, att de ”mer specifika regler” som medlemsstaterna har möjlighet att anta med stöd av denna artikel får ha till syfte eller verkan att kringgå de skyldigheter som åligger den personuppgiftsansvarige, eller till och med personuppgiftsbiträdet och som följer av andra bestämmelser i denna förordning, vid äventyr av att samtliga av dessa syften annars riskerar att äventyras, i synnerhet syftet att säkerställa en hög skyddsnivå för anställda vid behandling av deras personuppgifter i anställningsförhållanden.
43
Av detta följer att artikel 88.1 och 88.2 i dataskyddsförordningen ska tolkas så, att även när medlemsstaterna med stöd av denna artikel i sina respektive interna rättsordningar inför ”mer specifika regler”, genom lag eller genom kollektivavtal, måste de krav som följer av de andra bestämmelser som särskilt avses i förevarande fråga, det vill säga artiklarna 5, 6.1 samt 9.1 och 9.2 i förordningen, också vara uppfyllda. Detta gäller bland annat iakttagandet av det i dessa bestämmelser föreskrivna kravet på att behandlingen ska vara nödvändig, gällande vilket den hänskjutande domstolen särskilt vill få klarhet.
44
För det tredje vinner denna tolkning stöd av det sammanhang i vilket artikel 88 i dataskyddsförordningen ingår.
45
Artikel 88 i dataskyddsförordningen återfinns nämligen i kapitel IX, med rubriken ”Bestämmelser om särskilda behandlingssituationer”, medan artiklarna 5, 6 och 9 i förordningen ingår i kapitel II, med rubriken ”Principer”, vilket således har en mer allmän räckvidd. Det framgår dessutom tydligt av ordalydelsen i nämnda artikel 6, i vilken det i punkterna 2 och 3 uttryckligen hänvisas till bestämmelserna i kapitel IX, att de villkor för laglighet som föreskrivs i nämnda artikel 6 är bindande även i de ”särskilda situationer” som regleras av bestämmelserna i nämnda kapitel IX.
46
Det följer av fast rättspraxis att all behandling av personuppgifter ska vara förenlig med de principer som reglerar behandlingen av personuppgifter och de rättigheter som registrerade personer har enligt kapitel II respektive III i förordningen. All behandling av personuppgifter ska i synnerhet dels stå i överensstämmelse med de principer som anges i artikel 5 i dataskyddsförordningen, dels uppfylla de laglighetsvillkor som anges i artikel 6 i samma förordning (se, för ett liknande resonemang, dom av den 2 mars 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, punkt 43, och dom av den 11 juli 2024, Meta Platforms Ireland (Grupptalan), C‑757/22, EU:C:2024:598, punkt 49 samt där angiven rättspraxis).
47
Vad mer specifikt gäller förhållandet mellan artikel 88 i dataskyddsförordningen och andra bestämmelser i denna förordning, har domstolen påpekat, bland annat mot bakgrund av skäl 8 i förordningen, att även om det eventuellt finns ”mer specifika regler” som medlemsstaterna har antagit med stöd av artikel 88.1 i förordningen, måste de skyldigheter som följer av bestämmelserna i kapitlen II och III i förordningen, särskilt artiklarna 5 och 6 i denna, iakttas vid varje behandling av personuppgifter (se, för ett liknande resonemang, dom av den 30 mars 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punkterna 67–71).
48
De skyldigheter som följer av artikel 9 i dataskyddsförordningen måste på samma sätt iakttas vid sådan behandling av personuppgifter som omfattas av denna förordning även i sådana fall då det finns ”mer specifika regler” som har antagits med stöd av artikel 88.1 i förordningen. Denna artikel 9, i vilken regleras behandling av sådana särskilda kategorier av personuppgifter som där finns uppräknade, återfinns nämligen i kapitel II i förordningen, i likhet med artiklarna 5 och 6, där det föreskrivs sådana krav som för övrigt är kumulativa med de krav som följer av artikel 9 (se, för ett liknande resonemang, dom av den 21 december 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punkterna 73 och 77–79). Denna tolkning är dessutom förenlig med syftet med artikel 9, vilket är att säkerställa ett utökat skydd mot sådan personuppgiftsbehandling som, på grund av att de uppgifter som behandlingen omfattar är särskilt känsliga, kan utgöra ett synnerligen allvarligt ingrepp i de registrerades grundläggande rättigheter (se, för ett liknande resonemang, dom av den 4 oktober 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, punkt 89 och där angiven rättspraxis).
49
För det fall en medlemsstats lagstiftning innehåller ”mer specifika regler”, i den mening som avses i artikel 88.1 i dataskyddsförordningen, ska således den behandling av personuppgifter som omfattas av dessa regler inte bara uppfylla de villkor som uppställs i punkterna 1 och 2 i denna artikel, utan även de villkor som uppställs i artiklarna 5, 6 och 9 i förordningen, såsom dessa har tolkats i domstolens praxis.
50
Mot bakgrund av ovanstående överväganden ska den första frågan besvaras enligt följande. Artikel 88.1 och 88.2 i dataskyddsförordningen ska tolkas så, att en nationell bestämmelse som avser behandling av personuppgifter i ett anställningsförhållande och som har antagits med stöd av artikel 88.1 i förordningen, ska innebära att dess adressater måste iaktta inte bara de krav som följer av artikel 88.2 i förordningen, utan även de krav som följer av artiklarna 5, 6.1 samt 9.1 och 9.2 i förordningen.
Den andra frågan
51
Den hänskjutande domstolen har ställt den andra frågan för att få klarhet i huruvida artikel 88.1 i dataskyddsförordningen, när ett kollektivavtal omfattas av den bestämmelsens tillämpningsområde, ska tolkas så, att det utrymme för skönsmässig bedömning som parterna i kollektivavtalet har när det gäller att avgöra huruvida en behandling av personuppgifter är ”nödvändig”, i den mening som avses i artiklarna 5, 6.1 samt 9.1 och 9.2 i förordningen, innebär att den nationella domstolen hindras från att göra en fullständig domstolsprövning i detta avseende.
52
Det ska inledningsvis erinras om att när medlemsstaterna utnyttjar den möjlighet som de medges enligt artikel 88 i dataskyddsförordningen ska de använda sitt handlingsutrymme på de villkor och inom de gränser som föreskrivs i förordningens bestämmelser, såsom påpekats i punkt 41 i förevarande dom. Medlemsstaterna ska således säkerställa att de ”mer specifika regler” som de inför i sin interna rättsordning inte gör att förordningens innehåll och syften undergrävs. Dessa regler ska bland annat syfta till att säkerställa en hög skyddsnivå för de anställdas grundläggande fri- och rättigheter med avseende på behandling av personuppgifter i anställningsförhållanden.
53
Vad gäller omfattningen av den domstolsprövning som kan företas med avseende på sådana specifika regler, har domstolen redan slagit fast att det ankommer på den nationella domstol vid vilken talan väckts, vilken är ensam behörig att tolka nationell rätt, att bedöma huruvida nämnda regler verkligen är förenliga med de villkor och begränsningar som särskilt föreskrivs i artikel 88 i dataskyddsförordningen. I enlighet med principen om unionsrättens företräde är den hänskjutande domstolen, för det fall den finner att de ifrågavarande nationella reglerna inte är förenliga med dessa villkor och begränsningar, skyldig att avstå från att tillämpa nämnda regler. I avsaknad av mer specifika regler som uppfyller kraven i artikel 88 i dataskyddsförordningen, regleras behandlingen av personuppgifter i anställningsförhållanden direkt av förordningen (se, för ett liknande resonemang, dom av den 30 mars 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punkterna 80, 82–84 och 89).
54
Dessa överväganden gäller även för parterna i ett sådant kollektivavtal som avses i artikel 88 i dataskyddsförordningen, såsom det som är aktuellt i det nationella målet. Såsom Europeiska kommissionen har påpekat i sitt skriftliga yttrande ska parterna i ett kollektivavtal nämligen kunna ha ett utrymme för skönsmässig bedömning som, i synnerhet vad gäller dess gränser, motsvarar det som medlemsstaterna har, eftersom de ”mer specifika regler” som avses i artikel 88.1 bland annat kan följa av kollektivavtal. I skäl 155 i förordningen anges även att sådana regler kan fastställas i medlemsstaternas nationella rätt eller i kollektivavtal, inbegripet ”verksamhetsöverenskommelser”.
55
Oaktat det utrymme för skönsmässig bedömning som parterna i ett kollektivavtal medges enligt artikel 88 i dataskyddsförordningen, ska således domstolsprövningen av ett sådant avtal, i likhet med domstolsprövningen av en regel i nationell rätt som antagits med stöd av denna artikel, utan några som helst begränsningar kunna avse iakttagandet av samtliga villkor och begränsningar som föreskrivs i förordningen vad gäller behandling av personuppgifter.
56
En sådan domstolsprövning ska särskilt syfta till att kontrollera huruvida behandlingen av sådana uppgifter är ”nödvändig” i den mening som avses i artiklarna 5, 6 och 9 i dataskyddsförordningen. Artikel 88 i dataskyddsförordningen kan med andra ord inte tolkas så, att parterna i ett kollektivavtal förfogar över ett handlingsutrymme som gör det möjligt för dem att införa sådana ”mer specifika regler” som innebär att nämnda krav på nödvändighet tillämpas mindre strikt, eller till och med inte tillämpas alls.
57
Det är visserligen riktigt, såsom den hänskjutande domstolen och Irland har påpekat, att parterna i ett kollektivavtal i allmänhet har goda förutsättningar att bedöma huruvida en behandling av personuppgifter är nödvändig i ett konkret yrkessammanhang. Dessa parter har nämligen ofta omfattande kunskaper om behoven inom verksamhetsområdet och i den berörda branschen. En sådan bedömning får emellertid inte leda till att kollektivavtalsparterna ägnar sig åt kompromisser av ekonomiska eller praktiska skäl, vilka på ett otillbörligt sätt skulle kunna undergräva dataskyddsförordningens syfte att säkerställa en hög skyddsnivå för de anställdas grundläggande fri- och rättigheter med avseende på behandling av deras personuppgifter.
58
En tolkning av artikel 88 i dataskyddsförordningen som innebär att de nationella domstolarna inte kan göra en fullständig domstolsprövning av ett kollektivavtal, i synnerhet för att kontrollera huruvida de skäl som parterna i kollektivavtalet har anfört visar att den behandling av personuppgifter som följer av avtalet är nödvändig, skulle således inte vara förenlig med förordningen, med hänsyn till det skyddssyfte som det erinrats om i föregående punkt.
59
För det fall den nationella domstol vid vilken talan väckts, genom sin prövning, finner att vissa regler i det ifrågavarande kollektivavtalet innebär att de villkor och begränsningar som föreskrivs i dataskyddsförordningen inte iakttas, ankommer det slutligen på den nationella domstolen att avstå från att tillämpa dessa regler, i enlighet med den rättspraxis som anges i punkt 53 ovan.
60
Mot bakgrund av ovanstående överväganden ska den andra frågan besvaras enligt följande. Artikel 88.1 i dataskyddsförordningen ska tolkas så, att när ett kollektivavtal omfattas av tillämpningsområdet för denna bestämmelse utgör det utrymme för skönsmässig bedömning som parterna i kollektivavtalet förfogar över för att avgöra huruvida en behandling av personuppgifter är ”nödvändig”, i den mening som avses i artiklarna 5, 6.1 samt 9.1 och 9.2 i förordningen, inte hinder för att den nationella domstolen gör en fullständig domstolsprövning i detta avseende.
Den tredje frågan
61
Mot bakgrund av svaret på den andra frågan, saknas det anledning att besvara den tredje frågan.
Rättegångskostnader
62
Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.
Mot denna bakgrund beslutar domstolen (åttonde avdelningen) följande:
1)
Artikel 88.1 och 88.2 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning)
ska tolkas så,
att en nationell bestämmelse som avser behandling av personuppgifter i ett anställningsförhållande och som har antagits med stöd av artikel 88.1 i förordningen, ska innebära att dess adressater måste iaktta inte bara de krav som följer av artikel 88.2 i förordningen, utan även de krav som följer av artiklarna 5, 6.1 samt 9.1 och 9.2 i förordningen.
2)
Artikel 88.1 i förordning 2016/679
ska tolkas så,
att när ett kollektivavtal omfattas av tillämpningsområdet för denna bestämmelse utgör det utrymme för skönsmässig bedömning som parterna i kollektivavtalet förfogar över för att avgöra huruvida en behandling av personuppgifter är ”nödvändig”, i den mening som avses i artiklarna 5, 6.1 samt 9.1 och 9.2 i förordningen, inte hinder för att den nationella domstolen gör en fullständig domstolsprövning i detta avseende.
Underskrifter
(
*1
)	Rättegångsspråk: tyska.