62021CJ0034_RES
Mål C‑34/21
Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium
mot
Minister des Hessischen Kultusministeriums
(begäran om förhandsavgörande från Verwaltungsgericht Wiesbaden)
Domstolens dom (första avdelningen) av den 30 mars 2023
”Begäran om förhandsavgörande – Skydd för personuppgifter – Förordning (EU) 2016/679 – Artikel 88.1 och 88.2 – Behandling av uppgifter i anställningsförhållanden – Regionalt skolsystem – Undervisning via videokonferens på grund av covid-19-pandemin – Genomförande utan uttryckligt samtycke från lärarna”
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Tillämpningsområde – Undantag – Behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten – Verksamhet som syftar till att upprätthålla nationell säkerhet eller tillhör samma verksamhetskategori – Begrepp – Verksamheten med att organisera undervisning inom det offentliga utbildningssystemet – Omfattas inte
(Europaparlamentets och rådets förordning 2016/679, skäl 16 och artikel 2.1 och artikel 2.2 leden a och b)
(se punkterna 32–37)
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Behandling av anställdas personuppgifter i anställningsförhållanden – Begrepp – Direktsändning via videokonferens av de lektioner som lärarna håller inom ramen för en offentlig tjänst – Omfattas
(Europaparlamentets och rådets förordning 2016/679, skäl 10 och artiklarna 1.2 och 88)
(se punkterna 39–56)
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Behandling av anställdas personuppgifter i anställningsförhållanden – Begreppet mer specifika regler – Möjlighet som medlemsstaterna tillerkänts – Målet att skydda anställdas rättigheter och friheter i fråga om uppgiftsbehandling – Villkor och begränsningar som föreskrivs i förordningen – Nationell lagstiftning som inte är förenlig med dessa villkor och begränsningar – Omfattas inte
(Europaparlamentets och rådets förordning 2016/679, skäl 10 och artikel 88.1 och 88.2)
(se punkterna 58–75 samt punkt 1 i domslutet)
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Behandling av anställdas personuppgifter i anställningsförhållanden – Villkor och begränsningar som föreskrivs i förordningen – Nationella bestämmelser om att lektioner som hålls av lärare inom ramen för det allmänna utbildningssystemet ska direktsändas via videokonferens utan krav på dessa lärares uttryckliga samtycke – Otillåtlighet – Följder – Bestämmelsernas otillämplighet – Gränser
(Artikel 288 andra stycket FEUF; Europaparlamentets och rådets förordning 2016/679, skäl 45 och artikel 5, artikel 6.1 första stycket, artikel 6.3, artikel 88.1 och artikel 88.2)
(se punkterna 77–89 samt punkt 2 i domslutet)
Resumé
Direktsändning via videokonferens av lektioner inom ramen för det allmänna utbildningssystemet faller under allmänna dataskyddsförordningen
Såsom framgår av de handlingar som ingetts till domstolen fastställde ministern för utbildning och kultur i delstaten Hessen (Tyskland), genom två rättsakter som antogs år 2020, reglerna och organisationsformerna för bedrivande av skolundervisning under covid-19-pandemin. Bland annat infördes en möjlighet för de elever som inte kunde närvara i klassrummet att delta i lektioner via videokonferens. För att skydda elevernas rättigheter i fråga om personuppgiftsskydd bestämdes det att anslutning till en videokonferenstjänst endast är tillåten med elevernas, eller om de är omyndiga, deras föräldrars samtycke. Däremot fanns det inte något krav på att de berörda lärarna skulle samtycka till att undervisa med användning av videokonferenstjänsten.
Huvudkommittén för undervisningspersonalen vid ministeriet för utbildning och kultur i delstaten Hessen väckte talan mot ministern med ansvar för dessa frågor och invände mot att det inte krävdes något samtycke från de berörda lärarna för att genomföra sådana direktsändningar av lektioner via videokonferens som möjliggjordes av den nationella lagstiftningen. Ministern gjorde gällande att behandlingen av personuppgifter i form av direktsändning av lektioner via videokonferens omfattades av den nationella lagstiftningen, vilket innebär att behandlingen kunde utföras utan samtycke från de berörda lärarna.
Förvaltningsdomstolen angav att den nationella lagstiftning som ligger till grund för behandlingen av lärarnas personuppgifter, i enlighet med lagstiftarens vilja, ingår i kategorin ”mer specifika regler” som medlemsstaterna enligt artikel 88.1 i allmänna dataskyddsförordningen (
1
) får införa för att säkerställa skyddet för anställdas rättigheter och friheter i fråga om behandling av deras personuppgifter i anställningsförhållanden. (
2
) Den hänskjutande domstolen hyste emellertid tvivel om huruvida denna lagstiftning var förenlig med kraven i artikel 88.2 i allmänna dataskyddsförordningen. (
3
) Den begärde således ett förhandsavgörande från EU-domstolen.
EU-domstolen slår i sin dom fast att en nationell bestämmelse inte kan utgöra en ”mer specifik regel” i den mening som avses i artikel 88.1 i allmänna dataskyddsförordningen om den inte uppfyller villkoren i artikel 88.2 i förordningen. EU-domstolen preciserar dessutom att nationella bestämmelser som antagits för att säkerställa skyddet för anställdas rättigheter och friheter i fråga om behandling av deras personuppgifter i anställningsförhållanden inte ska tillämpas när de inte är förenliga med de förutsättningar och begränsningar som föreskrivs i artikel 88.1 och 88.2 i allmänna dataskyddsförordningen, förutom om bestämmelserna i fråga utgör en rättslig grund enligt en annan artikel (
4
) i allmänna dataskyddsförordningen som uppfyller de krav som anges där.
Domstolens bedömning
EU-domstolen anger inledningsvis att en behandling av lärares personuppgifter i samband med direktsändning via videokonferens av de lektioner som lärarna håller inom ramen för det allmänna utbildningssystemet omfattas av det materiella tillämpningsområdet för allmänna dataskyddsförordningen. EU-domstolen har vidare preciserat att denna behandling av personuppgifter för lärare som i egenskap av anställda eller tjänstemän ingår i delstaten Hessens offentliga förvaltning sett till den berörda personkretsen omfattas av tillämpningsområdet för allmänna dataskyddsförordningens artikel 88, vilken avser behandling av anställdas personuppgifter i anställningsförhållanden.
För det första prövar domstolen frågan huruvida en ”mer specifik regel” i den mening som avses i artikel 88.1 i allmänna dataskyddsförordningen måste uppfylla de villkor som uppställs i punkt 2 i nämnda artikel. Enligt domstolen framgår det av användningen av uttrycket ”mer specifika” i formuleringen i artikel 88.1 att de regler som avses i denna bestämmelse ska ha ett normativt innehåll som är specifikt för det reglerade området och som skiljer sig från de allmänna reglerna i förordningen. Det framgår även av lydelsen i artikel 88 i förordningen att artikel 88.2 anger vissa gränser för det utrymme för skönsmässig bedömning som tillkommer de medlemsstater som önskar anta ”mer specifika regler” med stöd av artikel 88.1. EU-domstolen anser således att dessa regler inte får utgöra en ren upprepning av förordningens bestämmelser om villkoren för att behandling av personuppgifter ska vara tillåten och principerna för denna behandling, (
5
) eller bara innehålla en ren hänvisning till dessa villkor och principer. Dessa regler ska syfta till att skydda anställdas rättigheter och friheter i fråga om behandling av deras uppgifter samt innehålla lämpliga och specifika åtgärder för att skydda den registrerades mänskliga värdighet, berättigade intressen och grundläggande rättigheter. Särskild uppmärksamhet ska även fästas vid insyn i behandlingen, överföring av personuppgifter inom en koncern eller en grupp av företag som deltar i gemensam ekonomisk verksamhet samt övervakningssystem på arbetsplatsen. För att kunna kvalificeras som en ”mer specifik regel” i den mening som avses i artikel 88.1 i allmänna dataskyddsförordningen måste en rättsregel följaktligen uppfylla de villkor som uppställs i punkt 2 i nämnda artikel.
Därefter preciserar domstolen vilka konsekvenserna blir om det konstateras att de nationella bestämmelserna i fråga inte är förenliga med de villkor och begränsningar som föreskrivs i artikel 88.1 och 88.2 i allmänna dataskyddsförordningen.
Domstolen erinrar om att det ankommer på den hänskjutande domstolen, som ensam är behörig att tolka nationell rätt, att bedöma huruvida de nationella bestämmelserna är förenliga med de förutsättningar och begränsningar som föreskrivs i artikel 88 i allmänna dataskyddsförordningen. Domstolen påpekar emellertid att dessa nationella bestämmelser – enligt vilka behandling av anställdas personuppgifter endast är tillåten om den är nödvändig för vissa ändamål som har samband med genomförandet av ett anställningsförhållande – förefaller utgöra en upprepning av det villkor för allmän tillåtlighet som redan anges i allmänna dataskyddsförordningen, (
6
) utan att någon mer specifik regel i den mening som avses i artikel 88.1 i förordningen läggs till. För det fall den hänskjutande domstolen skulle komma fram till att de nationella bestämmelserna inte är förenliga med de förutsättningar och begränsningar som föreskrivs i artikel 88 i förordningen, ankommer det i princip på denna att avstå från att tillämpa dem. Principen om unionsrättens företräde innebär nämligen att om inga mer specifika regler som är förenliga med de förutsättningar och begränsningar som föreskrivs i denna artikel 88 föreligger, regleras behandlingen av personuppgifter i anställningsförhållanden, såväl inom den privata som inom den offentliga sektorn, direkt av bestämmelserna i förordningen.
Här påpekar domstolen att det i ett fall som det förevarande kan bli aktuellt att tillämpa andra bestämmelser i allmänna dataskyddsförordningen, (
7
) enligt vilka behandling av personuppgifter är tillåten om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning, respektive för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. När det gäller dessa två fall av lagenlighet anges i allmänna dataskyddsförordningen (
8
) att behandlingen ska vara grundad på unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Där tilläggs att syftet med behandlingen ska fastställas i den rättsliga grunden eller, i fråga om behandling enligt punkt 1 e, ska vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning.
När den hänskjutande domstolen konstaterar att de nationella bestämmelserna om behandling av personuppgifter i anställningsförhållanden inte är förenliga med de förutsättningar och begränsningar som föreskrivs i artikel 88.1 och 88.2 i allmänna dataskyddsförordningen, ska den följaktligen pröva huruvida dessa nationella bestämmelser utgör en sådan rättslig grund för behandlingen som avses i en annan artikel i förordningen, (
9
) och som uppfyller kraven i denna förordning. Om så är fallet ska de nationella bestämmelserna inte lämnas utan avseende.
(
1
)	Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1; och rättelse i EUT L 74, 2021, s. 35 samt i EUT L 127, 2018, s. 2) (nedan kallad allmänna dataskyddsförordningen).
(
2
)	Enligt artikel 88.1 i allmänna dataskyddsförordningen, som utgör en öppningsklausul, får medlemsstaterna i lag eller i kollektivavtal fastställa mer specifika regler för att säkerställa skyddet av rättigheter och friheter vid behandling av anställdas personuppgifter i anställningsförhållanden, särskilt när det gäller genomförande av anställningsavtalet, ledning, planering och organisering av arbetet.
(
3
)	I artikel 88.2 i allmänna dataskyddsförordningen föreskrivs att dessa regler ska innehålla lämpliga och specifika åtgärder för att skydda den registrerades mänskliga värdighet, berättigade intressen och grundläggande rättigheter, varvid hänsyn särskilt ska tas till insyn i behandlingen, överföring av personuppgifter samt övervakningssystem på arbetsplatsen.
(
4
)	Artikel 6.3 i dataskyddsförordningen.
(
5
)	Vilka anges i artikel 6 respektive artikel 5 i allmänna dataskyddsförordningen.
(
6
)	Artikel 6.1 första stycket b i allmänna dataskyddsförordningen.
(
7
)	Artikel 6.1 första stycket leden c och e i allmänna dataskyddsförordningen.
(
8
)	Artikel 6.3 i allmänna dataskyddsförordningen.
(
9
)	I artikel 6.3 i allmänna dataskyddsförordningen, jämförd med skäl 45 i samma förordning.