62021CJ0034_RES
Sprawa C‑34/21
Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium
przeciwko
Minister des Hessischen Kultusministeriums
(wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Verwaltungsgericht Wiesbaden)
Wyrok Trybunału (pierwsza izba) z dnia 30 marca 2023 r.
Odesłanie prejudycjalne – Ochrona danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuł 88 ust. 1 i 2 – Przetwarzanie danych w kontekście zatrudnienia – Regionalny system szkolny – Nauczanie w formie wideokonferencji z powodu pandemii COVID-19 – Wdrożenie bez wyraźnej zgody nauczycieli
Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie 2016/679 – Zakres stosowania – Odstępstwa – Przetwarzanie danych w ramach działalności nieobjętej zakresem prawa Unii – Działalność służąca zapewnieniu bezpieczeństwa narodowego lub należąca do tej kategorii – Pojęcie – Działalność w zakresie organizacji szkolnictwa publicznego – Wyłączenie
[rozporządzenie Parlamentu Europejskiego i Rady 2016/679, motyw 16, art. 2 ust. 1, art. 2 ust. 2 lit. a), b)]
(zob. pkt 32–37)
Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie 2016/679 – Przetwarzanie danych pracowników w kontekście zatrudnienia – Pojęcie – Transmitowanie na żywo w formie wideokonferencji lekcji nauczania prowadzonych przez nauczycieli należących do służby publicznej – Włączenie
(rozporządzenie Parlamentu Europejskiego i Rady 2016/679, motyw 10, art. 1 ust. 2, art. 88)
(zob. pkt 39–56)
Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie 2016/679 – Przetwarzanie danych pracowników w kontekście zatrudnienia – Pojęcie bardziej szczegółowych przepisów – Możliwość przyznana państwom członkowskim – Cel ochrony praw i wolności pracowników w ramach przetwarzania ich danych – Warunki i ograniczenia przewidziane w rozporządzeniu – Uregulowanie krajowe niespełniające tych warunków i ograniczeń – Wyłączenie
(rozporządzenie Parlamentu Europejskiego i Rady 2016/679, motyw 10, art. 88 ust. 1, 2)
(zob. pkt 58–75, pkt 1 sentencji)
Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie 2016/679 – Przetwarzanie danych pracowników w kontekście zatrudnienia – Warunki i ograniczenia przewidziane w rozporządzeniu – Przepisy krajowe przewidujące transmitowanie na żywo w formie wideokonferencji lekcji nauczania publicznego prowadzonych przez nauczycieli bez ich wyraźnej zgody – Niedopuszczalność – Konsekwencje – Brak możliwości zastosowania tych przepisów – Ograniczenia
(art. 288 akapit drugi TFUE; rozporządzenie Parlamentu Europejskiego i Rady 2016/679, motyw 45, art. 5, art. 6 ust. 1 akapit pierwszy, art. 6 ust. 3, art. 88 ust. 1, 2)
(zob. pkt 77–89, pkt 2 sentencji)
Streszczenie
Transmitowanie na żywo w formie wideokonferencji publicznego nauczania szkolnego podlega RODO
Dwoma aktami przyjętymi w 2020 r. minister edukacji kraju związkowego Hesja (Niemcy) określił ramy prawne i organizacyjne kształcenia szkolnego w okresie pandemii COVID-19, przewidując w szczególności możliwość, by uczniowie, którzy nie mogli być obecni w klasie, mogli uczestniczyć w lekcjach na żywo za pośrednictwem wideokonferencji. W celu ochrony praw uczniów w zakresie ochrony danych osobowych ustalono, że połączenie z usługą wideokonferencji będzie dozwolone wyłącznie za zgodą samych uczniów lub, w przypadku ich niepełnoletniości, za zgodą ich rodziców. Nie przewidziano natomiast zgody zainteresowanych nauczycieli na ich udział w tej usłudze.
Rada główna nauczycielstwa przy ministerstwie edukacji kraju związkowego Hesja wniosła skargę przeciwko ministrowi odpowiedzialnemu za te kwestie, powołując się na fakt, że transmitowanie na żywo lekcji w formie wideokonferencji, tak jak przewidziano w uregulowaniu krajowym, nie zostało poddane warunkowi uzyskania zgody zainteresowanych nauczycieli. Minister podniósł, że przetwarzanie danych osobowych, jakim jest transmitowanie lekcji na żywo w formie wideokonferencji, jest objęte uregulowaniem krajowym, w związku z czym może być dokonywane bez uzyskania zgody zainteresowanych nauczycieli.
Sąd administracyjny rozpatrujący sprawę wskazał, że zgodnie z wolą ustawodawcy kraju związkowego Hesja uregulowanie krajowe, na podstawie którego odbywa się przetwarzanie danych osobowych nauczycieli, należy do kategorii „bardziej szczegółowych przepisów”, które państwa członkowskie mogą przewidzieć zgodnie z art. 88 ust. 1 ogólnego rozporządzenia o ochronie danych (
1
) w celu zapewnienia ochrony praw i wolności pracowników w zakresie przetwarzania ich danych osobowych w związku z zatrudnieniem (
2
). Sąd ten powziął jednak wątpliwości co do zgodności tego uregulowania z warunkami ustanowionymi w art. 88 ust. 2 RODO (
3
). W związku z tym zwrócił się do Trybunału z wnioskiem o wydanie orzeczenia w trybie prejudycjalnym.
W swoim wyroku Trybunał orzekł, że uregulowanie krajowe nie może stanowić „bardziej szczegółowego przepisu” w rozumieniu art. 88 ust. 1 RODO, w przypadku gdy nie spełnia ono warunków określonych w ust. 2 tego artykułu. Ponadto Trybunał wyjaśnił, że należy odstąpić od stosowania przepisów krajowych przyjętych w celu zapewnienia ochrony praw i wolności pracowników w zakresie przetwarzania ich danych osobowych w związku z zatrudnieniem, jeżeli przepisy te nie spełniają warunków i ograniczeń określonych w art. 88 ust. 1 i 2 RODO, chyba że rozpatrywane przepisy stanowią podstawę prawną przetwarzania, o której mowa w innym artykule RODO (
4
), spełniającą przewidziane w tym przepisie wymogi.
Ocena Trybunału
Na wstępie Trybunał uznał, że przetwarzanie danych osobowych nauczycieli przy transmitowaniu na żywo prowadzonych przez nich lekcji nauczania publicznego w formie wideokonferencji jest objęte materialnym zakresem stosowania RODO. Wyjaśnił on następnie, że to przetwarzanie danych osobowych nauczycieli, którzy jako pracownicy lub urzędnicy należą do służby publicznej kraju związkowego Hesja, wchodzi w podmiotowy zakres stosowania art. 88 RODO, który dotyczy przetwarzania danych osobowych pracowników w związku z zatrudnieniem.
W pierwszej kolejności Trybunał zajął się kwestią, czy „bardziej szczegółowy przepis” w rozumieniu art. 88 ust. 1 RODO powinien spełniać warunki określone w ust. 2 tego artykułu. Zdaniem Trybunału z użycia w treści art. 88 ust. 1 RODO wyrażenia „bardziej szczegółowe” wynika, że uregulowania, o których mowa w tym przepisie, powinny mieć treść normatywną właściwą dla regulowanej dziedziny i odrębną od przepisów ogólnych tego rozporządzenia. Z brzmienia art. 88 RODO wynika również, że ust. 2 tego artykułu ogranicza zakres uznania państw członkowskich, które zamierzają przyjąć „bardziej szczegółowe przepisy” na podstawie ust. 1 tego artykułu. Trybunał uznał z jednej strony, że przepisy te nie mogą ograniczać się do powtórzenia przepisów tego rozporządzenia przewidujących warunki legalności przetwarzania danych osobowych oraz zasady tego przetwarzania (
5
) czy też do odesłania do tych warunków i zasad. Przepisy te powinny mieć na celu ochronę praw i wolności pracowników w związku z przetwarzaniem ich danych oraz zawierać odpowiednie i konkretne środki służące ochronie godności, prawnie uzasadnionych interesów i praw podstawowych osób, których dane dotyczą. Z drugiej strony szczególną uwagę należy zwrócić na przejrzystość przetwarzania, przekazywanie danych osobowych w ramach grupy przedsiębiorstw lub grupy przedsiębiorstw prowadzących wspólną działalność gospodarczą, a także na systemy monitorujące w miejscu pracy. W konsekwencji, aby przepis prawny można było zakwalifikować jako „bardziej szczegółowy przepis” w rozumieniu art. 88 ust. 1 RODO, musi on spełniać warunki określone w ust. 2 tego artykułu.
W drugiej kolejności Trybunał wyjaśnił konsekwencje, jakie należy wyciągnąć ze stwierdzenia niezgodności rozpatrywanych przepisów krajowych z warunkami i ograniczeniami przewidzianymi w art. 88 ust. 1 i 2 RODO.
Trybunał przypomniał, że do sądu odsyłającego, który jako jedyny jest właściwy do dokonywania wykładni prawa krajowego, należy ocena, czy rozpatrywane przepisy krajowe spełniają warunki i ograniczenia określone w art. 88 RODO. Trybunał zauważył jednak, że te przepisy krajowe, które uzależniają przetwarzanie danych osobowych pracowników od warunku, by przetwarzanie to było niezbędne do określonych celów związanych z wykonywaniem stosunku pracy, wydają się powtarzać ustanowiony już w RODO (
6
) ogólny warunek zgodności z prawem, bez dodawania bardziej szczegółowego przepisu w rozumieniu art. 88 ust. 1 tego rozporządzenia. W przypadku gdyby sąd odsyłający doszedł do wniosku, że te przepisy krajowe nie spełniają warunków i ograniczeń określonych w art. 88 RODO, powinien on co do zasady odstąpić od ich stosowania. Zgodnie bowiem z zasadą pierwszeństwa prawa Unii, w braku bardziej szczegółowych przepisów zgodnych z warunkami i ograniczeniami określonymi w art. 88 RODO, przetwarzanie danych osobowych w związku z zatrudnieniem, zarówno w sektorze prywatnym, jak i publicznym, podlega bezpośrednio przepisom tego rozporządzenia.
W tym względzie Trybunał zauważył, że do przetwarzania danych osobowych, takiego jak w niniejszej sprawie, mogą mieć zastosowanie inne przepisy RODO (
7
), na mocy których przetwarzanie danych osobowych jest zgodne z prawem, jeżeli jest ono konieczne, odpowiednio, do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi lub do wypełnienia obowiązku prawnego ciążącego na administratorze. W odniesieniu do tych dwóch przypadków zgodności z prawem RODO (
8
) z jednej strony przewiduje, że przetwarzanie musi opierać się na prawie Unii lub prawie państwa członkowskiego, któremu podlega administrator, a z drugiej strony dodaje, że cele przetwarzania są określone w tej podstawie prawnej lub są niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi.
W związku z tym, gdy sąd odsyłający dojdzie do wniosku, że przepisy krajowe dotyczące przetwarzania danych osobowych w związku z zatrudnieniem nie spełniają warunków i ograniczeń określonych w art. 88 ust. 1 i 2 RODO, powinien on jeszcze sprawdzić, czy przepisy te stanowią podstawę prawną przetwarzania, o której mowa w innym artykule RODO (
9
), spełniającą wymogi przewidziane w tym rozporządzeniu. Jeżeli tak jest, nie można odstąpić od stosowania tych przepisów krajowych.
(
1
)	Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. 2016, L 119, s. 1, zwane dalej „RODO”).
(
2
)	Zgodnie z art. 88 ust. 1 RODO, który stanowi klauzulę upoważniającą, państwa członkowskie mogą zawrzeć w swoich przepisach lub w porozumieniach zbiorowych bardziej szczegółowe przepisy mające zapewnić ochronę praw i wolności w przypadku przetwarzania danych osobowych pracowników w związku z zatrudnieniem, w szczególności do celów wykonania umowy o pracę, zarządzania, planowania i organizacji pracy.
(
3
)	Artykuł 88 ust. 2 RODO stanowi, że przepisy te muszą obejmować odpowiednie i szczegółowe środki zapewniające osobie, której dane dotyczą, poszanowanie jej godności, prawnie uzasadnionych interesów i praw podstawowych, w szczególności pod względem przejrzystości przetwarzania, przekazywania danych osobowych oraz systemów monitorujących w miejscu pracy.
(
4
)	Artykuł 6 ust. 3 RODO.
(
5
)	Określone odpowiednio w art. 6 i 5 RODO.
(
6
)	Artykuł 6 ust. 2 akapit pierwszy lit. b) RODO
(
7
)	Artykuł 6 ust. 1 akapit pierwszy lit. c) i e) RODO,
(
8
)	Artykuł 6 ust. 3 RODO.
(
9
)	Przewidziana w art. 6 ust. 3 RODO w związku z jego motywem 45.