62021CJ0034_RES
Sag C-34/21
Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium
mod
Minister des Hessischen Kultusministeriums
(anmodning om præjudiciel afgørelse indgivet af Verwaltungsgericht Wiesbaden)
Domstolens dom (Første Afdeling) af 30. marts 2023
»Præjudiciel forelæggelse – beskyttelse af personoplysninger – forordning (EU) 2016/679 – artikel 88, stk. 1 og 2 – behandling i forbindelse med ansættelsesforhold – regionalt skolesystem – undervisning via videokonference på grund af covid-19-pandemien – gennemførelse uden lærernes udtrykkelige samtykke«
Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – anvendelsesområde – undtagelser – behandling af oplysninger i forbindelse med en aktivitet, der ikke er omfattet af EU-retten – aktivitet, som har til formål at beskytte den nationale sikkerhed, eller som kan henføres til denne kategori – begreb – aktivitet vedrørende tilrettelæggelsen af den offentlige undervisning – udelukket
[Europa-Parlamentets og Rådets forordning 2016/679, 16. betragtning og art. 2, stk. 1, og art. 2, stk. 2, litra a) og b)]
(jf. præmis 32-37)
Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – behandling af ansattes oplysninger i forbindelse med ansættelsesforhold – begreb – direkte transmission via videokonference af den offentlige undervisning, som udbydes af lærerne – omfattet
(Europa-Parlamentets og Rådets forordning 2016/679, tiende betragtning samt art. 1, stk. 2, og art. 88)
(jf. præmis 39-56)
Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – behandling af ansattes oplysninger i forbindelse med ansættelsesforhold – begrebet om mere specifikke bestemmelser – mulighed tildelt medlemsstaterne – formål om beskyttelse af arbejdstagernes rettigheder og friheder i forbindelse med behandlingen af deres oplysninger – betingelser og grænser fastsat i forordningen – national forordning, der ikke opfylder disse betingelser og grænser – udelukket
(Europa-Parlamentets og Rådets forordning 2016/679, tiende betragtning og art. 88, stk. 1 og 2)
(jf. præmis 58-75 og domskonkl. 1)
Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – behandling af ansattes oplysninger i forbindelse med ansættelsesforhold – betingelser og grænser fastsat i forordningen – nationale bestemmelser om direkte transmission via videokonference af lærernes offentlige undervisning uden deres udtrykkelige samtykke – ikke tilladt – konsekvenser – disse bestemmelser kan ikke finde anvendelse – grænser
(Art. 288, stk. 2, TEUF; Europa-Parlamentets og Rådets forordning 2016/679, 45. betragtning og art. 5, art. 6, stk. 1, første afsnit, art. 6, stk. 3, og art. 88, stk. 1 og 2)
(jf. præmis 77-89 og domskonkl. 2)
Resumé
Direkte transmission via videokonference af offentlig undervisning er omfattet af databeskyttelsesforordningen
Ved to retsakter, der blev vedtaget i 2020, fastsatte undervisnings- og kulturministeren i delstaten Hessen (Tyskland) den retlige og organisatoriske ramme for skoleundervisningen under covid-19-pandemien, som bl.a. gav mulighed for, at elever, som ikke kunne være til stede i klassen, kunne deltage i direkte undervisning via videokonference. For at sikre elevernes rettigheder med hensyn til beskyttelsen af personoplysninger blev det fastsat, at tilslutning til videokonferencetjenesten kun kunne tillades med elevernes eget samtykke eller, hvis de var mindreårige, med samtykke fra deres forældre. Der blev imidlertid ikke fastsat bestemmelser om de berørte læreres samtykke til deres deltagelse i denne tjeneste.
Med en klage over den omstændighed, at den direkte transmission af undervisningen via videokonference ikke var underlagt en betingelse om de berørte læreres samtykke, anlagde det centrale personaleudvalg for lærere i delstaten Hessens undervisnings- og kulturministerium sag mod den ansvarlige minister. Ministeren gjorde gældende, at den behandling af personoplysninger, som direkte transmission via videokonferencer udgør, var omfattet af den nationale lovgivning, således at den kunne foretages, uden at der blev anmodet om samtykke fra den pågældende lærer.
Den forvaltningsdomstol, som sagen var indbragt for, fastslog i denne forbindelse, at den nationale lovgivning i overensstemmelse med hensigten hos den hessiske lovgiver hører til kategorien af »mere specifikke bestemmelser«, som medlemsstaterne kan fastsætte i henhold til artikel 88, stk. 1, i den generelle forordning om databeskyttelse (
1
) for at sikre beskyttelsen af rettigheder og frihedsrettigheder i forbindelse med behandling af arbejdstageres personoplysninger i ansættelsesforhold (
2
). Den forelæggende ret var imidlertid i tvivl om, hvorvidt denne lovgivning er forenelig med kravene i databeskyttelsesforordningens artikel 88, stk. 2 (
3
). Den anmodede derfor Domstolen om en præjudiciel afgørelse.
Domstolen fastslog i sin dom, at en national lovgivning ikke kan udgøre en »mere specifik bestemmelse« som omhandlet i databeskyttelsesforordningens artikel 88, stk. 1, hvis den ikke opfylder betingelserne i denne artikels stk. 2. Domstolen præciserede desuden, at nationale bestemmelser, der er vedtaget for at sikre beskyttelsen af arbejdstageres rettigheder og frihedsrettigheder i forbindelse med behandling af deres personoplysninger i ansættelsesforhold, skal undlades anvendt, såfremt disse bestemmelser ikke er i overensstemmelse med de betingelser og begrænsninger, der er fastsat i databeskyttelsesforordningens artikel 88, stk. 1 og 2, medmindre disse bestemmelser udgør et retsgrundlag som omhandlet i en anden af databeskyttelsesforordningens bestemmelser (
4
), der opfylder kravene i denne forordning.
Domstolens bemærkninger
Indledningsvis fastslog Domstolen, at behandlingen af læreres personoplysninger i forbindelse med den direkte transmission via videokonference af den offentlige undervisning, som de har til opgave at udbyde, er omfattet af databeskyttelsesforordningens materielle anvendelsesområde. Domstolen præciserede dernæst, at denne behandling af lærernes personoplysninger, der som ansatte eller tjenestemænd er omfattet af delstaten Hessens offentlige tjeneste, er omfattet af det personelle anvendelsesområde for databeskyttelsesforordningens artikel 88, der omhandler behandling af arbejdstageres personoplysninger i forbindelse med ansættelsesforhold.
For det første tog Domstolen stilling til spørgsmålet, om en »mere specifik bestemmelse« som omhandlet i databeskyttelsesforordningens artikel 88, stk. 1, skal opfylde de betingelser, der er fastsat i denne artikels stk. 2. Ifølge Domstolen fremgår det af anvendelsen af udtrykket »mere specifikke« i ordlyden af databeskyttelsesforordningens artikel 88, stk. 1, at de bestemmelser, der er omhandlet i denne bestemmelse, skal have et specifikt normativt indhold på det område, der reguleres, og som adskiller sig fra forordningens generelle bestemmelser. Det fremgår ligeledes af ordlyden af databeskyttelsesforordningens artikel 88, at denne artikels stk. 2, sætter rammen for den skønsmargen, der er tilladt de medlemsstater, der påtænker at vedtage »mere specifikke bestemmelser« i henhold til denne artikel stk. 1. Domstolens fastslog derfor for det første, at disse bestemmelser ikke kan begrænse sig til at gentage bestemmelserne i denne forordning, som fastsætter betingelserne for lovligheden af behandlingen af personoplysninger og principperne for denne behandling (
5
), eller til at henvise til disse betingelser og principper. Disse bestemmelser skal have til formål at sikre beskyttelsen af arbejdstagernes rettigheder og frihedsrettigheder i forbindelse med behandling af deres personoplysninger og omfatte passende og specifikke foranstaltninger til beskyttelse af den registreredes menneskelige værdighed, legitime interesser og grundlæggende rettigheder. For det andet skal der særligt tages hensyn til gennemsigtighed i behandlingen, overførsel af personoplysninger inden for en koncern eller gruppe af foretagender, der udøver en fælles økonomisk aktivitet, og overvågningssystemer på arbejdspladsen. For at kunne kvalificeres som en »mere specifik bestemmelse« som omhandlet i databeskyttelsesforordningens artikel 88, stk. 1, skal en retsregel følgelig opfylde de betingelser, der er fastsat i denne artikels stk. 2.
For det andet præciserede Domstolen, hvilke konsekvenser der skal drages af en konstatering af uforenelighed mellem de betingelser og begrænsninger, der er fastsat i databeskyttelsesforordningens artikel 88, stk. 1 og 2.
Domstolen bemærkedes således, at det tilkommer den forelæggende ret, der alene har kompetence til at fortolke national ret, at vurdere, om de i hovedsagen omhandlede bestemmelser overholder de betingelser og begrænsninger, der er fastsat i databeskyttelsesforordningens artikel 88. Domstolen fastslog, at disse nationale bestemmelser, der gør behandlingen af de ansattes personoplysninger betinget af, at denne behandling er nødvendig med henblik på udøvelsen af et ansættelsesforhold, imidlertid synes at gentage den betingelse om generel lovlighed af behandling, der allerede er fastsat i databeskyttelsesforordningen (
6
), uden at tilføje en mere specifik bestemmelse som omhandlet i denne forordnings artikel 88, stk. 1. Såfremt den forelæggende ret fastslår, at disse bestemmelser ikke overholder de betingelser og begrænsninger, der er fastsat i databeskyttelsesforordningens artikel 88, tilkommer det i princippet denne ret at undlade at anvende dem. I henhold til princippet om EU-rettens forrang forholder det sig således, når der ikke foreligger mere specifikke bestemmelser, som overholder de betingelser og begrænsninger, der er fastsat i databeskyttelsesforordningens artikel 88, at behandlingen af personoplysninger inden for rammerne af ansættelsesforhold i såvel den private som den offentlige sektor er direkte reguleret ved denne forordnings bestemmelser.
I denne forbindelse fastslog Domstolen, at andre bestemmelser i databeskyttelsesforordningen (
7
), hvorefter behandling af personoplysninger er lovlig, hvis behandlingen er nødvendig af hensyn til henholdsvis overholdelsen af en retlig forpligtelse, som påhviler den dataansvarlige eller udførelsen af en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt, vil kunne finde anvendelse på en behandling af personoplysninger som den i hovedsagen omhandlede. Med hensyn til disse to tilfælde af lovlighed fastsætter databeskyttelsesforordningen (
8
) for det første, at behandlingen skal være anerkendt i EU-retten eller retten i den medlemsstat, som den dataansvarlige er underlagt, og tilføjer for det andet, at formålene med behandlingen er defineret i dette retsgrundlag eller er nødvendige for udførelse af en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt.
Såfremt den forelæggende ret konkluderer, at de nationale bestemmelser om behandling af personoplysninger inden for rammerne af ansættelsesforhold ikke overholder de betingelser og begrænsninger, der er fastsat i databeskyttelsesforordningens artikel 88, stk. 1 og 2, skal den følgelig endvidere efterprøve, om disse bestemmelser udgør et retsgrundlag for behandlingen som omhandlet i en anden af databeskyttelsesforordningens bestemmelser (
9
), der opfylder kravene i denne forordning. Hvis dette er tilfældet, skal de nationale bestemmelser ikke undlades anvendt.
(
1
) – Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«).
(
2
) – I henhold til databeskyttelsesforordningens artikel 88, stk. 1, der udgør en åbningsbestemmelse, kan medlemsstaterne ved lov eller i medfør af kollektive overenskomster fastsætte mere specifikke bestemmelser for at sikre beskyttelse af rettighederne og frihedsrettighederne i forbindelse med behandling af arbejdstageres personoplysninger i ansættelsesforhold, navnlig med henblik på ansættelseskontrakter, ledelse, planlægning og tilrettelæggelse af arbejdet.
(
3
) – Databeskyttelsesforordningens artikel 88, stk. 2, fastsætter, at disse bestemmelser skal omfatte passende og specifikke foranstaltninger til beskyttelse af den registreredes menneskelige værdighed, legitime interesser og grundlæggende rettigheder, særlig med hensyn til gennemsigtighed i behandlingen, overførsel af personoplysninger og overvågningssystemer på arbejdspladsen.
(
4
) – Databeskyttelsesforordningens artikel 6, stk. 3.
(
5
) – Anført henholdsvis i databeskyttelsesforordningens artikel 6 og artikel 5.
(
6
) – Databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra b).
(
7
) – Databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra c) og e).
(
8
) – Databeskyttelsesforordningens artikel 6, stk. 3.
(
9
) – Fastsat i databeskyttelsesforordningens artikel 6, stk. 3, sammenholdt med 45. betragtning til denne forordning.