62021CJ0034_RES
Asunto C‑34/21
Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium
y
Minister des Hessischen Kultusministeriums
(Petición de decisión prejudicial planteada por el Verwaltungsgericht Wiesbaden)
Sentencia del Tribunal de Justicia (Sala Primera) de 30 de marzo de 2023
«Procedimiento prejudicial — Protección de datos personales — Reglamento (UE) 2016/679 — Artículo 88, apartados 1 y 2 — Tratamiento de datos en el ámbito laboral — Sistema escolar regional — Enseñanza por videoconferencia debido a la pandemia de COVID-19 — Aplicación sin el consentimiento expreso de los docentes»
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento 2016/679 — Ámbito de aplicación — Excepciones — Tratamiento de datos en el ejercicio de una actividad no comprendida en el ámbito de aplicación del Derecho de la Unión — Actividad que tiene por objeto la preservación de la seguridad nacional pertenecientes a dicha categoría — Concepto — Actividad relativa a la organización de la enseñanza pública — Exclusión
[Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, considerando 16 y art. 2, aps. 1 y 2, letras a) y b)]
(véanse los apartados 32 a 37)
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento 2016/679 — Tratamiento de datos de los trabajadores en el ámbito laboral — Concepto — Difusión en directo por videoconferencia de las clases de enseñanza impartidas por docentes que forman parte del servicio público — Inclusión
[Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, considerando 10 y arts. 1, ap. 2 y 88]
(véanse los apartados 39 a 56)
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento 2016/679 — Tratamiento de datos de los trabajadores en el ámbito laboral — Concepto de normas más específicas — Facultad concedida a los Estados miembros — Objetivo de protección de las libertades y los derechos fundamentales de las personas físicas en relación con el tratamiento de sus datos personales — Condiciones y límites impuestos por el Reglamento — Normativa nacional que no cumple tales condiciones y límites — Exclusión
[Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, considerando 10 y art. 88, aps. 1 y 2]
(véanse los apartados 58 a 75 y el punto 1 del fallo)
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento 2016/679 — Tratamiento de datos de los trabajadores en el ámbito laboral — Condiciones y límites impuestos por el Reglamento — Disposiciones nacionales que prevén la difusión en directo por videoconferencia de cursos de enseñanza pública impartidos por docentes sin su consentimiento expreso — Improcedencia — Consecuencias — Inaplicabilidad de dichas disposiciones — Límites
(Art. 288 TFUE, párr. 2; Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, considerando 45 y arts. 5, 6, aps. 1, párr. 1, y 3, y 88, aps. 1 y 2]
(véanse los apartados 77 a 89 y el punto 2 del fallo)
Resumen
La difusión en directo por videoconferencia de las clases de enseñanza escolar pública está comprendida dentro del ámbito de aplicación del RGPD
Mediante dos actos adoptados en 2020, el Ministro de Educación y Cultura del Estado Federado de Hesse (Alemania) estableció el marco jurídico y organizativo de la enseñanza escolar durante el período de pandemia de COVID-19, estableciendo, en particular, la posibilidad de que los alumnos que no pudieran estar presentes en clase asistieran en directo a las clases por videoconferencia. Con el fin de preservar los derechos de los alumnos en materia de protección de datos personales, se dispuso que la conexión al servicio de videoconferencia solo se autorizaría con el consentimiento de los propios alumnos o, en caso de minoría de edad de estos, de sus padres. En cambio, no se prescribió el consentimiento de los docentes implicados a su participación en dicho servicio.
Censurando que la difusión en directo de las clases por videoconferencia, tal como estaba regulada por la normativa nacional, no estuviera supeditada al requisito del consentimiento de los docentes implicados, el Comité Principal del Personal Docente del Ministerio de Educación y Cultura del Estado Federado de Hesse interpuso un recurso contra el ministro competente en la materia. Este alegó que el tratamiento de datos personales que constituye la difusión en directo de las clases por videoconferencia estaba cubierto por la normativa nacional, de modo que podía realizarse sin solicitar el consentimiento de los docentes implicados.
El órgano jurisdiccional de lo contencioso-administrativo que conoce del asunto indicó que, de conformidad con la voluntad del legislador del estado federado de Hesse, la normativa nacional, sobre cuya base se realiza el tratamiento de los datos personales de los docentes, pertenece a la categoría de las «normas más específicas» que los Estados miembros pueden establecer, de conformidad con el artículo 88, apartado 1, del Reglamento general de protección de datos, (
1
) para garantizar la protección de los derechos y libertades en relación con el tratamiento de datos personales de los trabajadores en el ámbito laboral. (
2
) No obstante, dicho órgano jurisdiccional alberga dudas en cuanto a la compatibilidad de dicha normativa con las exigencias impuestas por el artículo 88, apartado 2, del RGPD. (
3
)Por lo tanto, presentó una petición de decisión prejudicial ante el Tribunal de Justicia de la Unión Europea.
Mediante su sentencia, el Tribunal de Justicia declara que una normativa nacional no puede constituir una «norma más específica», a los efectos del apartado 1 del artículo 88, apartado 1, del RGPD, en caso de que no cumpla las condiciones impuestas en el apartado 2 del referido artículo. Además, el Tribunal de Justicia precisa que la aplicación de disposiciones nacionales adoptadas para garantizar la protección de los derechos y libertades de los trabajadores en cuanto se refiere al tratamiento de sus datos personales en el ámbito laboral deberá excluirse cuando esas disposiciones no respeten las condiciones y los límites establecidos por el citado artículo 88, apartados 1 y 2, del RGPD, a menos que dichas disposiciones constituyan una base jurídica para el tratamiento contemplada en otro artículo del RPGD que cumple las exigencias establecidas en este.
Apreciación del Tribunal de Justicia
Ante todo, el Tribunal de Justicia considera que el tratamiento de datos personales de docentes en el marco de la difusión en directo por videoconferencia de las clases de enseñanza pública que imparten, está comprendido en el ámbito de aplicación material del RGPD. A continuación, precisa que dicho tratamiento de datos personales de docentes que, en cuanto empleados o funcionarios, forman parte del servicio público del estado federado de Hesse, está comprendido dentro del ámbito de aplicación personal del artículo 88 del RGPD, que se refiere al tratamiento de datos personales de los trabajadores en el ámbito laboral.
En un primer momento, el Tribunal de Justicia trata la cuestión de si una «norma más específica», en el sentido del artículo 88, apartado 1, del RGPD, debe cumplir las condiciones impuestas por el apartado 2 del referido artículo. Según el Tribunal de Justicia, del uso de la expresión «más específicas», en el tenor del artículo 88, apartado 1, del RGPD, se desprende que las normas a las que se refiere esta disposición deben tener un contenido normativo propio del ámbito regulado y distinto de las reglas generales de dicho Reglamento. Asimismo, se desprende del tenor del artículo 88 del RGPD que el apartado 2 de este artículo delimita el margen de apreciación de los Estados miembros que pretenden establecer «normas más específicas» en virtud del apartado 1 de dicho artículo. Así pues, el Tribunal de Justicia considera, por una parte, que tales normas no pueden limitarse a reiterar las disposiciones del referido Reglamento, estableciendo las condiciones de licitud del tratamiento de datos personales y los principios de dicho tratamiento, (
4
) o remitir a esas condiciones y principios. Dichas normas deben tener por objeto la protección de los derechos y libertades de los trabajadores en relación con el tratamiento de sus datos e incluir medidas adecuadas y específicas destinadas a proteger la dignidad humana, los intereses legítimos y los derechos fundamentales de los interesados. Por otra parte, debe prestarse especial atención a la transparencia del tratamiento, a la transferencia de datos personales dentro de un grupo empresarial o de una unión de empresas dedicadas a una actividad económica conjunta, y a los sistemas de supervisión en el lugar de trabajo. Por consiguiente, para poder calificar una norma de Derecho de «norma más específica», a los efectos del apartado 1 del artículo 88 del RGPD, debe cumplir las condiciones impuestas en el apartado 2 del referido artículo.
En un segundo momento, el Tribunal de Justicia precisa las consecuencias que deben extraerse de una declaración de incompatibilidad de las disposiciones nacionales controvertidas con las condiciones y los límites previstos en el artículo 88, apartados 1 y 2, del RGPD.
Así pues, el Tribunal de Justicia recuerda que corresponde al órgano jurisdiccional remitente, único competente para interpretar el Derecho nacional, apreciar si las disposiciones nacionales controvertidas respetan las condiciones y los límites establecidos en el artículo 88 del RGPD. No obstante, el Tribunal de Justicia señala que esas disposiciones nacionales, que supeditan el tratamiento de los datos personales de los empleados a la condición de que dicho tratamiento sea necesario para determinados fines relacionados con la ejecución de una relación laboral, parecen reiterar la condición para la licitud general ya establecida en el RGPD, (
5
) sin añadir una norma más específica en el sentido del artículo 88, apartado 1, de dicho Reglamento. En el supuesto de que el órgano jurisdiccional remitente llegara a la conclusión de que las disposiciones nacionales no respetan las condiciones y los límites establecidos por el artículo 88 del RGPD, le correspondería, en principio, dejarlas inaplicadas. En efecto, en virtud del principio de la primacía del Derecho de la Unión, a falta de normas más específicas que respeten las condiciones y los límites establecidos en el artículo 88 del RGPD, el tratamiento de datos personales en el ámbito laboral, tanto en el sector privado como en el público, se rige directamente por las disposiciones de dicho Reglamento.
A este respecto, el Tribunal de Justicia señala que pueden aplicarse a un tratamiento de datos personales como el controvertido en el litigio principal otras disposiciones del RGPD, (
6
) en virtud de las cuales el tratamiento de datos personales será lícito si es necesario, respectivamente, para el cumplimiento de una obligación legal aplicable al responsable del tratamiento o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. En relación con esas dos hipótesis de licitud, el RGPD, (
7
) por una parte, establece que el tratamiento debe basarse en el Derecho de la Unión o en el Derecho del Estado miembro que se aplique al responsable del tratamiento y añade, por otra parte, que la finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, que será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento.
Por consiguiente, en caso de que el órgano jurisdiccional remitente llegara a la conclusión de que las disposiciones nacionales relativas al tratamiento de datos personales en el ámbito laboral no respetan las condiciones y los límites establecidos por el artículo 88, apartados 1 y 2, del RGPD, deberá comprobar además si dichas disposiciones constituyen una base jurídica contemplada en otro artículo del RGPD, (
8
) que cumple las exigencias establecidas en el mismo Reglamento. Si es así, no deberá excluirse la aplicación de las disposiciones nacionales.
(
1
)	Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016 L 119, p. 1).
(
2
)	En virtud del artículo 88, apartado 1, del RGPD, que constituye una cláusula de apertura, los Estados miembros tienen la facultad de establecer, por ley o por convenio colectivo, normas más específicas para garantizar la protección de los derechos y libertades en relación con el tratamiento de datos personales de los trabajadores en el ámbito laboral, a efectos, en particular, de ejecución del contrato laboral, gestión, planificación y organización del trabajo.
(
3
)	El artículo 88, apartado 2, del RGPD dispone que dichas reglas incluirán medidas adecuadas y específicas para preservar la dignidad humana de los interesados, así como sus intereses legítimos y sus derechos fundamentales, prestando especial atención a la transparencia del tratamiento, a la transferencia de los datos personales y a los sistemas de supervisión en el lugar de trabajo.
(
4
)	Enunciados, respectivamente, en los artículos 6 y 5 del RGPD.
(
5
)	Artículo 6, apartado 1, párrafo primero, letra b), del RGPD.
(
6
)	Artículo 6, apartado 1, párrafo primero, letras c) y e), del RGPD.
(
7
)	Artículo 6, apartado 3, del RGPD.
(
8
)	Contemplada en el artículo 6, apartado 3, del RGPD, en relación con su considerando 45.