62021CJ0034_RES
Věc C‑34/21
Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium
v.
Minister des Hessischen Kultusministeriums
(žádost o rozhodnutí o předběžné otázce podaná Verwaltungsgericht Wiesbaden)
Rozsudek Soudního dvora (prvního senátu) ze dne 30. března 2023
„Řízení o předběžné otázce – Ochrana osobních údajů – Nařízení (EU) 2016/679 – Článek 88 odst. 1 a 2 – Zpracování v souvislosti se zaměstnáním – Regionální systém školství – Výuka prostřednictvím videokonference v důsledku pandemie covidu-19 – Uskutečnění bez výslovného souhlasu učitelů“
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Oblast působnosti – Výjimky – Zpracování údajů při výkonu činností, které nespadají do oblasti působnosti práva Unie – Činnost, která má chránit národní bezpečnost nebo která spadá do této kategorie – Pojem – Činnost týkající se organizace veřejné výuky – Vyloučení
[Nařízení Evropského parlamentu a Rady 2016/679, bod 16 odůvodnění a čl. 2 odst. 1 a odst. 2 písm. a) a b)]
(viz body 32–37)
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Zpracování údajů zaměstnanců v souvislosti se zaměstnáním – Pojem – Šíření výuky veřejného vzdělávání v přímém přenosu prostřednictvím videokonference, kterou poskytují učitelé, jež jsou součástí veřejné služby – Zahrnutí
(Nařízení Evropského parlamentu a Rady 2016/679, bod 10 odůvodnění a čl. 1 odst. 2 a článek 88)
(viz body 39–56)
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Zpracování údajů zaměstnanců v souvislosti se zaměstnáním – Pojem „konkrétnější pravidla“ – Možnost přiznaná členským státům – Účel spočívající v ochraně práv a svobod ve vztahu ke zpracování osobních údajů zaměstnanců – Podmínky a omezení stanovené nařízením – Vnitrostátní právní úprava, která nesplňuje tyto podmínky a tato omezení – Vyloučení
(Nařízení Evropského parlamentu a Rady 2016/679, bod 10 odůvodnění a čl. 88 odst. 1 a 2)
(viz body 58–75, výrok 1)
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Zpracování údajů zaměstnanců v souvislosti se zaměstnáním – Podmínky a omezení stanovené nařízením – Ustanovení vnitrostátního práva, která stanoví šíření výuky veřejného vzdělávání v přímém přenosu prostřednictvím videokonference, kterou poskytují učitelé, bez jejich výslovného souhlasu – Nepřijatelnost – Důsledky – Vyloučení použití těchto ustanovení – Meze
(Článek 288 druhý pododstavec SFEU; nařízení Evropského parlamentu a Rady 2016/679, bod 45 odůvodnění a článek 5, čl. 6 odst. 1 první pododstavec a čl. 6 odst. 3 a 88 odst. 1 a 2)
(viz body 77–89, výrok 2)
Shrnutí
Na přímé šíření veřejné školní výuky v přímém přenosu prostřednictvím videokonference se vztahuje oblast působnosti GDPR
Ministr školství a kultury spolkové země Hesensko dvěma předpisy přijatými v roce 2020 stanovil právní a organizační rámec školního vzdělávání během období pandemie covidu-19, který mimo jiné stanovil možnost, aby se žáci, kteří se nemohli osobně zúčastnit vyučování ve školní třídě, mohli zúčastnit živé výuky prostřednictvím videokonference. Za účelem ochrany práv žáků na ochranu osobních údajů bylo stanoveno, že připojení ke službě videokonference bude povoleno pouze se souhlasem samotných žáků nebo, v případě jejich nezletilosti, se souhlasem jejich rodičů. Naproti tomu požadavek souhlasu dotčených učitelů s jejich účastí na této službě nebyl stanoven.
Hlavní personální rada učitelek a učitelů při ministerstvu školství a kultury spolkové země Hesensko podala žalobu proti ministrovi, do jehož působnosti spadají tyto záležitosti, v níž si stěžovala na to, že takové šíření výuky v přímém přenosu prostřednictvím videokonference, jak bylo stanoveno vnitrostátní právní úpravou, nebylo podmíněno poskytnutím souhlasu dotyčných učitelů. Uvedený ministr tvrdil, že na zpracování osobních údajů v souvislosti se šířením výuky v přímém přenosu prostřednictvím videokonference se vztahuje vnitrostátní právní úprava, takže může být uskutečňováno, aniž by bylo třeba získat souhlas dotčených učitelů.
Správní soud, k němuž byla uvedená žaloba podána, uvádí, že v souladu s vůlí zákonodárce spolkové země vnitrostátní právní úprava, na jejímž základě jsou zpracovávány osobní údaje učitelů, spadá do kategorie „konkrétnějších pravidel“, která mohou členské státy v souladu s čl. 88 odst. 1 obecného nařízení o ochraně osobních údajů (
1
) stanovit k zajištění ochrany práv a svobod v souvislosti se zpracováním osobních údajů zaměstnanců v pracovněprávních vztazích (
2
). Uvedený soud má však pochybnosti o slučitelnosti této vnitrostátní právní úpravy s požadavky stanovenými v čl. 88 odst. 2 GDPR (
3
). Obrátil se proto na Soudní dvůr s žádostí o zodpovězení předběžných otázek.
Soudní dvůr ve svém rozsudku rozhodl, že vnitrostátní právní úprava nemůže představovat „konkrétnější pravidlo“ ve smyslu čl. 88 odst. 1 GDPR, pokud nesplňuje podmínky stanovené v odstavci 2 uvedeného článku. Soudní dvůr dále upřesnil, že použití vnitrostátních předpisů přijatých k zajištění ochrany práv a svobod zaměstnanců ve vztahu ke zpracování jejich osobních údajů v souvislosti se zaměstnáním musí být vyloučeno, pokud tyto vnitrostátní předpisy nedodržují podmínky a meze stanovené tímto čl. 88 odst. 1 a 2 GDPR, ledaže dotčená ustanovení představují právní základ pro zpracování uvedený v jiném článku GDPR (
4
), který splňuje požadavky stanovené uvedeným nařízením.
Závěry Soudního dvora
Soudní dvůr nejprve konstatoval, že zpracování osobních údajů učitelů v souvislosti se šířením výuky veřejného vzdělávání v přímém přenosu prostřednictvím videokonference, kterou poskytují, spadá do věcné působnosti GDPR. Dále upřesnil, že toto zpracování osobních údajů učitelů, kteří jsou jakožto zaměstnanci nebo osoby ve služebním poměru součástí veřejné služby spolkové země Hesensko, spadá do osobní působnosti článku 88 GDPR, který se týká zpracování osobních údajů zaměstnanců v souvislosti se zaměstnáním.
Soudní dvůr se nejprve zabýval otázkou, zda „konkrétnější pravidlo“ ve smyslu čl. 88 odst. 1 GDPR musí splňovat podmínky stanovené v odstavci 2 tohoto článku. Podle Soudního dvora vyplývá z použití výrazu „konkrétnější“ ve znění ustanovení čl. 88 odst. 1 GDPR, že pravidla uvedená v tomto ustanovení musí mít normativní obsah, který je specifický pro upravovanou oblast a odlišný od obecných pravidel tohoto nařízení. Ze znění článku 88 GDPR rovněž vyplývá, že odstavec 2 tohoto článku vymezuje prostor pro uvážení členských států, které si přejí přijmout „konkrétnější pravidla“ podle odstavce 1 uvedeného článku. Soudní dvůr má tedy za to, že se tato pravidla nemohou omezit na zopakování ustanovení tohoto nařízení, která stanoví podmínky pro zákonnost zpracování osobních údajů, jakož i zásad tohoto zpracování (
5
), nebo na odkaz na tyto podmínky a zásady. Tato pravidla musí směřovat k ochraně práv a svobod zaměstnanců ve vztahu ke zpracování jejich osobních údajů v souvislosti se zaměstnáním a musí obsahovat vhodná a zvláštní opatření na ochranu lidské důstojnosti, oprávněných zájmů a základních práv subjektů údajů. Zvláštní pozornost je třeba věnovat především transparentnosti zpracování, předávání osobních údajů v rámci skupiny podniků nebo skupiny podniků zapojených do společné hospodářské činnosti, jakož i systémům monitorování na pracovišti. Aby tedy mohlo být právní pravidlo kvalifikována jako „konkrétnější pravidlo“ ve smyslu čl. 88 odst. 1 GDPR, musí splňovat podmínky stanovené v odstavci 2 tohoto článku.
Soudní dvůr dále upřesnil důsledky, které je třeba vyvodit z konstatování neslučitelnosti dotčených vnitrostátních ustanovení s podmínkami a omezeními stanovenými v čl. 88 odst. 1 a 2 GDPR.
Soudní dvůr tak připomíná, že předkládajícímu soudu, který má jako jediný pravomoc vykládat vnitrostátní právo, přísluší, aby posoudil, zda dotčená vnitrostátní ustanovení dodržují podmínky a meze stanovené článkem 88 GDPR. Soudní dvůr nicméně uvádí, že tato vnitrostátní ustanovení, která podřizují zpracování osobních údajů zaměstnanců podmínce, že toto zpracování je nezbytné pro určité účely související s výkonem zaměstnání, podle všeho opakují podmínku obecné zákonnosti zpracování stanovenou v GDPR (
6
), aniž by doplňovala konkrétnější pravidlo ve smyslu čl. 88 odst. 1 tohoto nařízení. V případě, že by předkládající soud dospěl k závěru, že vnitrostátní ustanovení nedodržují podmínky a meze stanovené článkem 88 GDPR, byl by v zásadě povinen upustit od použití uvedených ustanovení. Podle zásady přednosti unijního práva se totiž při neexistenci konkrétnějších pravidel, která by dodržovala podmínky a omezení stanovené článkem 88 GDPR, zpracování osobních údajů v souvislosti se zaměstnáním, a to jak v soukromém, tak i ve veřejném sektoru, přímo řídí ustanoveními tohoto nařízení.
V tomto ohledu Soudní dvůr uvádí, že na takové zpracování osobních údajů, jako je zpracování dotčené v projednávané věci, se mohou použít jiná ustanovení GDPR (
7
), podle nichž je zpracování osobních údajů zákonné, pokud je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce, nebo pro splnění právní povinnosti, která se na správce vztahuje. S ohledem na dva případy zákonnosti je v GDPR stanoveno, že základ pro zpracování musí být stanoven právem Unie nebo právem členského státu, které se na správce vztahuje, a dále je v něm doplněno, že účel zpracování musí vycházet z tohoto právního základu nebo musí být toto zpracování nutné pro splnění úkolu prováděného ve veřejném zájmu či při výkonu veřejné moci, kterým je pověřen správce.
Pokud tedy předkládající soud dospěje k závěru, že vnitrostátní ustanovení týkající se zpracování osobních údajů v souvislosti se zaměstnáním nedodržují podmínky a meze stanovené v čl. 88 odst. 1 a 2 GDPR, musí ještě ověřit, zda tato ustanovení představují právní základ pro zpracování uvedený v jiném článku GDPR (
8
), který splňuje požadavky stanovené tímto nařízením. Je-li tomu tak, nesmí být použití vnitrostátních ustanovení vyloučeno.
(
1
) – Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“).
(
2
) – Podle čl. 88 odst. 1 GDPR, které je ustanovením o výjimce, mohou členské státy právním předpisem nebo kolektivními smlouvami stanovit konkrétnější pravidla k zajištění ochrany práv a svobod ve vztahu ke zpracování osobních údajů zaměstnanců v souvislosti se zaměstnáním, mimo jiné pro účely plnění pracovní smlouvy, řízení, plánování a organizace práce.
(
3
) – V čl. 88 odst. 2 GDPR je stanoveno, že tato pravidla zahrnují zvláštní a vhodná opatření zajišťující ochranu lidské důstojnosti, oprávněných zájmů a základních práv subjektů údajů, především pokud jde o transparentnost zpracování, předávání osobních údajů v rámci skupiny podniků nebo uskupení podniků vykonávajících společnou hospodářskou činnost a systémy monitorování na pracovišti.
(
4
) – Článek 6 odst. 3 GDPR.
(
5
) – Podmínky jsou uvedeny v článku 6 a zásady v článku 5 GDPR.
(
6
) – Ustanovení čl. 6 odst. 1 prvního pododstavce písm. b) GDPR.
(
7
) – Ustanovení čl. 6 odst. 1 první pododstavec písm. c) a e) GDPR.
(
8
) – Stanovený v čl. 6 odst. 3 GDPR ve spojení s bodem 45 jeho odůvodnění.