Asia C-34/21
Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium
vastaan
Minister des Hessischen Kultusministeriums
(Ennakkoratkaisupyyntö – Bundesarbeitsgericht)
Unionin tuomioistuimen tuomio (ensimmäinen jaosto) 30.3.2023
Ennakkoratkaisupyyntö – Henkilötietojen suoja – Asetus (EU) 2016/679 – 88 artiklan 1 ja 2 kohta – Henkilötietojen käsittely työsuhteen yhteydessä – Alueellinen koulujärjestelmä – COVID-19-pandemian vuoksi videoneuvottelun välityksellä annettava opetus – Toteuttaminen ilman opettajien nimenomaista suostumusta
1.        Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Soveltamisala – Poikkeukset – Tietojen käsittely sellaisessa toiminnassa, joka ei kuulu unionin oikeuden soveltamisalaan – Toiminta, jonka tarkoitus on kansallisen turvallisuuden turvaaminen tai joka kuuluu tähän ryhmään – Käsite – Julkisen koulutusjärjestelmän opetus – Käsitteen soveltamisalan ulkopuolelle jääminen
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 johdanto-osan 16 perustelukappale sekä 2 artiklan 1 kohta ja 2 kohdan a ja b alakohta)
(ks. 32–37 kohta)
2.        Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Henkilötietojen käsittely työsuhteen yhteydessä – Käsite – Videoneuvottelun välityksellä suoratoistona annettava julkisen koulutusjärjestelmän opetus – Käsitteen soveltamisalaan kuuluminen
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 johdanto-osan 10 perustelukappale sekä 1 artiklan 2 kohta ja 88 artikla)
(ks. 39–56 kohta)
3.        Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Henkilötietojen käsittely työsuhteen yhteydessä – Yksityiskohtaisempien sääntöjen käsite – Jäsenvaltioille annettu mahdollisuus – Tavoite työntekijöiden oikeuksien ja vapauksien suojaamisesta heidän henkilötietojensa käsittelyssä työsuhteiden yhteydessä – Asetuksessa säädetyt vaatimukset ja rajoitukset – Kansallinen säännöstö, jossa ei noudateta näitä vaatimuksia ja rajoituksia – Soveltamisalan ulkopuolelle jääminen
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 johdanto-osan 10 perustelukappale sekä 88 artiklan 1 ja 2 kohta)
(ks. 58–75 kohta ja tuomiolauselman 1 kohta)
4.        Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Henkilötietojen käsittely työsuhteen yhteydessä – Asetuksessa säädetyt vaatimukset ja rajoitukset – Kansallisia säännöksiä videoneuvottelun välityksellä suoratoistona annettavasta julkisen koulujärjestelmän opetuksesta ilman sitä antavien opettajien nimenomaista suostumusta ei voida hyväksyä – Seuraukset – Säännösten soveltamatta jättäminen – Rajat
(SEUT 288 artiklan toinen kohta; Euroopan parlamentin ja neuvoston asetuksen 2016/679 johdanto-osan 45 perustelukappale sekä 5 artikla, 6 artiklan 1 kohdan ensimmäinen alakohta ja 3 kohta ja 88 artiklan 1 ja 2 kohta
(ks. 77–89 kohta ja tuomiolauselman 2 kohta)
Tiivistelmä
Videoneuvottelun välityksellä suoratoistona annettava julkisen koulutusjärjestelmän opetus kuuluu yleisen tietosuoja-asetuksen soveltamisalaan
Hessenin osavaltion opetus- ja kulttuuriministeri vahvisti kahdella vuonna 2020 annetulla toimella kouluopetuksen oikeudelliset ja organisatoriset puitteet covid-19-pandemian aikana. Nämä puitteet antoivat muun muassa oppilaille, jotka eivät voineet olla läsnä luokassa, mahdollisuuden osallistua opetukseen videoneuvottelujen välityksellä. Oppilaiden henkilötietojen suojaa koskevien oikeuksien suojaamiseksi päätettiin, että yhteys videoneuvottelupalveluun sallitaan ainoastaan oppilaiden itsensä suostumuksella tai, jos he ovat alaikäisiä, heidän vanhempiensa suostumuksella. Sitä vastoin asianomaisten opettajien suostumuksesta heidän osallistumiselleen tähän palveluun ei vahvistettu mitään.
Hessenin opetus- ja kulttuuriministeriön opetushenkilöstön päätoimikunta moitti sitä, että luentojen välittäminen suoratoistona videoneuvottelujen kautta, sellaisena kuin se vahvistettiin kansallisella säännöstöllä, ei edellyttänyt asianomaisten opettajien suostumusta, ja nosti kanteen asiasta vastaavaa ministeriä vastaan. Viimeksi mainittu väitti, että luentojen välittäminen suoratoistona videoneuvottelun kautta oli henkilötietojen käsittelyä, joka kuului kansallisen säännöstön soveltamisalaan, joten käsittely voitiin toteuttaa pyytämättä kyseessä olevien opettajien suostumusta.
Asiaa käsittelevä hallintotuomioistuin totesi, että Hessenin osavaltion lainsäätäjän tahdon mukaisesti kansallinen säännöstö, jonka nojalla opettajien henkilötietojen käsittely toteutetaan, kuuluvat sellaisten ”yksityiskohtaisempien sääntöjen” luokkaan, joita jäsenvaltiot voivat antaa tietosuoja-asetuksen(1) 88 artiklan 1 kohdan mukaisesti työntekijöiden oikeuksien ja vapauksien suojan varmistamiseksi heidän henkilötietojensa käsittelyssä työsuhteen yhteydessä(2). Kyseinen tuomioistuin oli kuitenkin epävarma siitä, onko tämä säännöstö yleisen tietosuoja-asetuksen 88 artiklan 2 kohdan vaatimusten mukainen(3). Niinpä se pyysi ennakkoratkaisua unionin tuomioistuimelta.
Unionin tuomioistuin katsoo tuomiossaan, että kansallinen säännöstö ei voi olla yleisen tietosuoja-asetuksen 88 artiklan 1 kohdassa tarkoitettu yksityiskohtaisempi sääntö, jos se ei täytä mainitun artiklan 2 kohdassa asetettuja vaatimuksia. Lisäksi unionin tuomioistuin täsmentää, että kansalliset säännökset, jotka on annettu työntekijöiden oikeuksien ja vapauksien suojaamiseksi heidän henkilötietojensa käsittelyssä työsuhteiden yhteydessä, on jätettävä soveltamatta, kun nämä säännökset eivät täytä yleisen tietosuoja-asetuksen 88 artiklan 1 ja 2 kohdassa säädettyjä vaatimuksia ja rajoituksia, paitsi jos nämä säännökset muodostavat toisessa yleisen tietosuoja-asetuksen artiklassa(4) tarkoitetun oikeusperustan, joka täyttää asetuksessa säädetyt vaatimukset.
Unionin tuomioistuimen arviointi
Aluksi unionin tuomioistuin toteaa, että opettajien henkilötietojen käsittely heidän videoneuvottelun välityksellä suoratoistona antamansa julkisen opetuksen yhteydessä kuuluu yleisen tietosuoja-asetuksen aineelliseen soveltamisalaan. Tämän jälkeen se täsmentää, että näiden opettajien, jotka ovat Hessenin osavaltion julkishallinnon palveluksessa työntekijöinä tai virkamiehinä, henkilötietojen käsittely kuuluu yleisen tietosuoja-asetuksen 88 artiklan, joka koskee työntekijöiden henkilötietojen käsittelyä työsuhteen yhteydessä, henkilölliseen soveltamisalaan.
Unionin tuomioistuin käsittelee ensinnäkin kysymystä siitä, onko yleisen tietosuoja-asetuksen 88 artiklan 1 kohdassa tarkoitetun yksityiskohtaisemman säännön täytettävä tämän artiklan 2 kohdassa asetetut vaatimukset. Unionin tuomioistuin toteaa yleisen tietosuoja-asetuksen 88 artiklan 1 kohdan sanamuodosta, että ilmaisun ”yksityiskohtaisempia sääntöjä” käytöstä ilmenee, että kyseisessä säännöksessä tarkoitetuilla säännöillä on oltava säänneltyä alaa koskeva normatiivinen merkitys, joka on tämän asetuksen yleisistä säännöistä erillinen. Lisäksi tietosuoja-asetuksen 88 artiklan sanamuodosta käy ilmi, että tämän artiklan 2 kohdalla säännellään niiden jäsenvaltioiden harkintavaltaa, jotka haluavat antaa yksityiskohtaisempia sääntöjä mainitun artiklan 1 kohdan nojalla. Näin ollen unionin tuomioistuin katsoo yhtäältä, että näissä säännöissä ei voida vain toistaa tämän asetuksen säännöksiä, joissa säädetään henkilötietojen käsittelyn lainmukaisuuden edellytyksistä ja tämän käsittelyn periaatteista(5), tai viitata näihin edellytyksiin ja periaatteisiin. Näillä säännöillä on pyrittävä suojaamaan työntekijöiden oikeuksia ja vapauksia, jotka koskevat heidän henkilötietojensa käsittelyä työsuhteessa, ja niiden on sisällettävä asianmukaisia ja erityisiä toimenpiteitä rekisteröidyn ihmisarvon, oikeutettujen etujen ja perusoikeuksien suojaamiseksi. Toisaalta on kiinnitettävä erityistä huomiota tietojenkäsittelyn läpinäkyvyyteen, henkilötietojen siirtoihin saman konsernin tai samaa taloudellista toimintaa harjoittavan yritysryhmän sisällä ja työpaikalla käytössä oleviin valvontajärjestelmiin. Näin ollen oikeussäännön on täytettävä yleisen tietosuoja-asetuksen 88 artiklan 2 kohdassa säädetyt vaatimukset, jotta sitä voidaan pitää mainitun artiklan 1 kohdassa tarkoitettuna yksityiskohtaisempana sääntönä.
Toiseksi unionin tuomioistuin täsmentää päätelmät, jotka on tehtävä toteamuksesta, jonka mukaan kyseessä olevat kansalliset säännökset ovat ristiriidassa yleisen tietosuoja-asetuksen 88 artiklan 1 ja 2 kohdassa säädettyjen vaatimusten ja rajoitusten kanssa.
Unionin tuomioistuin huomauttaa, että ennakkoratkaisua pyytäneen tuomioistuimen, joka on yksin toimivaltainen tulkitsemaan kansallista oikeutta, tehtävänä on arvioida, ovatko pääasiassa kyseessä olevat säännökset yleisen tietosuoja-asetuksen 88 artiklassa säädettyjen vaatimusten ja rajoitusten mukaisia. Se toteaa kuitenkin, että näillä kansallisilla säännöksillä, joissa työntekijöiden henkilötietojen käsittelyn edellytykseksi asetetaan se, että käsittely on tarpeen tiettyjä työsuhteen toteuttamiseen liittyviä tarkoituksia varten, näytetään toistettavan yleistä lainmukaisuutta koskeva edellytys, josta on jo säädetty yleisessä tietosuoja-asetuksessa(6), antamatta yleisen tietosuoja-asetuksen 88 artiklan 1 kohdassa tarkoitettua yksityiskohtaisempaa sääntöä. Siinä tapauksessa, että ennakkoratkaisua pyytänyt tuomioistuin katsoo, että pääasiassa kyseessä olevat säännökset eivät ole yleisen tietosuoja-asetuksen 88 artiklassa säädettyjen vaatimusten ja rajoitusten mukaisia, sen on lähtökohtaisesti jätettävä soveltamatta mainittuja säännöksiä. Unionin oikeuden ensisijaisuuden periaatteesta nimittäin seuraa, että sellaisten yksityiskohtaisempien sääntöjen puuttuessa, jotka noudattaisivat yleisen tietosuoja-asetuksen 88 artiklassa säädettyjä vaatimuksia ja rajoituksia, henkilötietojen käsittelyä työsuhteissa sekä yksityisellä että julkisella sektorilla säännellään suoraan tämän asetuksen säännöksillä.
Tästä unionin tuomioistuin toteaa, että pääasiassa kyseessä olevan kaltaiseen henkilötietojen käsittelyyn voidaan soveltaa muita tietosuoja-asetuksen säännöksiä(7), joiden nojalla henkilötietojen käsittely on lainmukaista, jos käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi tai jos se on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi. Näistä kahdesta lainmukaisuustilanteesta yleisessä tietosuoja-asetuksessa(8) säädetään yhtäältä, että käsittelyn on perustuttava unionin oikeuteen tai rekisterinpitäjään sovellettavaan jäsenvaltion lainsäädäntöön, ja siinä lisätään toisaalta, että käsittelyn tarkoitus määritellään kyseisessä käsittelyn oikeusperustassa tai sen on oltava tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi.
Näin ollen silloin, kun ennakkoratkaisua pyytänyt tuomioistuin katsoo, että henkilötietojen käsittelyä työsuhteen yhteydessä koskevat kansalliset säännökset eivät ole yleisen tietosuoja-asetuksen 88 artiklan 1 ja 2 kohdassa säädettyjen vaatimusten ja rajoitusten mukaisia, sen on vielä tarkistettava, muodostavatko kyseiset säännökset toisessa yleisen tietosuoja-asetuksen artiklassa(9) tarkoitetun käsittelyä koskevan oikeusperustan, joka on kyseisessä asetuksessa säädettyjen vaatimusten mukainen. Jos näin on, näitä kansallisia säännöksiä ei voida jättää soveltamatta.
1 Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annettu Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1).
2 Yleisen tietosuoja-asetuksen 88 artiklan 1 kohdan, joka on avoin lauseke, mukaan jäsenvaltiot voivat antaa lakisääteisesti tai työehtosopimuksilla yksityiskohtaisempia sääntöjä työntekijöiden henkilötietojen käsittelystä työsuhteen yhteydessä oikeuksien ja vapauksien suojan varmistamiseksi erityisesti työsopimuksen täytäntöönpanoa varten, mukaan lukien työn johto, suunnittelu ja organisointi.
3 Yleisen tietosuoja-asetuksen 88 artiklan 2 kohdassa säädetään, että näihin sääntöihin on sisällytettävä asianmukaisia ja erityisiä toimenpiteitä rekisteröidyn ihmisarvon, oikeutettujen etujen ja perusoikeuksien suojaamiseksi siten, että erityistä huomiota kiinnitetään tietojenkäsittelyn läpinäkyvyyteen, henkilötietojen siirtoihin saman konsernin tai samaa taloudellista toimintaa harjoittavan yritysryhmän sisällä ja työpaikalla käytössä oleviin valvontajärjestelmiin.
4 Yleisen tietosuoja-asetuksen 6 artiklan 3 kohta.
5 Yleisen tietosuoja-asetuksen 6 ja 5 artikla.
6 Yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan b alakohta.
7 Yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan c ja e alakohta.
8 Yleisen tietosuoja-asetuksen 6 artiklan 3 kohta.
9 Yleisen tietosuoja-asetuksen 6 artiklan 3 kohta, luettuna yhdessä asetuksen johdanto-osan 45 perustelukappaleen kanssa.