62023CJ0065
A BÍRÓSÁG ÍTÉLETE (nyolcadik tanács)
2024. december 19. (
*1
)
„Előzetes döntéshozatal – A természetes személyek védelme a személyes adatok kezelése vonatkozásában – (EU) 2016/679 rendelet – A 88. cikk (1) és (2) bekezdése – A foglalkoztatással összefüggő adatkezelés – A munkavállalók személyes adatai – Az e 88. cikk alapján a tagállamok által előírt, pontosabban meghatározott szabályok – E rendelet 5. cikkének, 6. cikke (1) bekezdésének, valamint 9. cikke (1) és (2) bekezdésének tiszteletben tartására vonatkozó kötelezettség – Kollektív szerződés alapján történő adatkezelés – A kollektív szerződés feleinek a személyes adatok e szerződésben előírt kezelésének szükségességével kapcsolatos mérlegelési mozgástere – A bírósági felülvizsgálat terjedelme”
A C‑65/23. sz. ügyben,
az EUMSZ 267. cikk alapján benyújtott előzetes döntéshozatal iránti kérelem tárgyában, amelyet a Bundesarbeitsgericht (szövetségi munkaügyi bíróság, Németország) a Bírósághoz 2023. február 8‑án érkezett, 2022. szeptember 22‑i határozatával terjesztett elő az
MK
és
a K GmbH
között folyamatban lévő eljárásban,
A BÍRÓSÁG (nyolcadik tanács),
tagjai: N. Jääskinen, a kilencedik tanács elnöke, a nyolcadik tanács elnökeként eljárva (előadó), M. Gavalec és I. Ziemele bírák,
főtanácsnok: L. Medina,
hivatalvezető: A. Calot Escobar,
tekintettel az írásbeli szakaszra,
figyelembe véve a következők által előterjesztett észrevételeket:
–
MK képviseletében J. Zäh Rechtsanwalt,
–
a K GmbH képviseletében B. Geck Rechtsanwältin,
–
Írország képviseletében M. Browne Chief State Solicitor, A. Joyce és M. Tierney, meghatalmazotti minőségben, segítőjük: D. Fennelly BL,
–
az olasz kormány képviseletében G. Palmieri, meghatalmazotti minőségben, segítője: G. Natale avvocato dello Stato,
–
az Európai Bizottság képviseletében A. Bouchagiar, M. Heller és H. Kranenborg, meghatalmazotti minőségben,
tekintettel a főtanácsnok meghallgatását követően hozott határozatra, miszerint az ügy elbírálására a főtanácsnok indítványa nélkül kerül sor,
meghozta a következő
Ítéletet
1
Az előzetes döntéshozatal iránti kérelem a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 1. o.; HL 2021. L 74., 35. o.; a továbbiakban: GDPR) 5. cikkével, 6. cikkének (1) bekezdésével, valamint 9. cikkének (1) és (2) bekezdésével együttesen értelmezett 82. cikke (1) bekezdésének, valamint 88. cikke (1) és (2) bekezdésének értelmezésére vonatkozik.
2
E kérelmet a természetes személy MK és a K GmbH között azon nem vagyoni kár megtérítése tárgyában folyamatban lévő jogvita keretében terjesztették elő, amely e személyt állítása szerint személyes adatainak az e társaság által, üzemi megállapodás alapján történő kezelése miatt érte.
Jogi háttér
Az uniós jog
3
A GDPR (8), (10) és (155) preambulumbekezdésének szövege a következő:
„(8)
Ha e rendelet úgy rendelkezik, hogy a benne foglalt szabályokat tagállami jog által pontosítani, illetve korlátozni lehet, a tagállamok e rendelet egyes elemeit beépíthetik a nemzeti jogukba, ha az a koherencia biztosításához, valamint ahhoz szükséges, hogy a nemzeti rendelkezések a hatályuk alá tartozó személyek számára érthetők legyenek.
[…]
(10)
A természetes személyek következetes és magas szintű védelmének biztosítása és a személyes adatok [Európai] Unión belüli áramlása előtti akadályok elhárítása érdekében a természetes személyeknek az ilyen adatok kezelésével összefüggésben fennálló jogait és szabadságait minden tagállamban azonos szintű védelemben kell részesíteni. A természetes személyeknek a személyes adataik kezeléséhez kapcsolódó alapvető jogai és szabadságai védelmére vonatkozó szabályok következetes és egységes alkalmazását az Unió egész területén biztosítani kell. […] Ez a rendelet a tagállamok számára mozgásteret biztosít ahhoz, hogy pontosítsák a benne meghatározott szabályokat, ideértve a személyes adatok különleges kategóriáira (»különleges adatok«) vonatkozókat is. Ennyiben tehát ez a rendelet nem zárja ki olyan tagállami jog elfogadását, amely meghatározza a különleges adatkezelési helyzetek körülményeit, ezen belül pontosabban megállapítja, hogy milyen feltételek mellett jogszerű a személyes adatok kezelése.
[…]
(155)
A tagállami jog vagy kollektív szerződések – ideértve az üzemi megállapodásokat is – előírhatnak olyan konkrét szabályokat, amelyek a munkavállalók személyes adatainak a foglalkoztatással összefüggő kezelését szabályozzák, különösen azokat a feltételeket, amelyek mellett a munkavállalók személyes adatainak a foglalkoztatással összefüggő kezelésére – a munkavállaló hozzájárulása alapján, a munkaerő‑felvétel és a munkaszerződés teljesítése céljából – kerülhet sor, ideértve a jogszabályban vagy kollektív szerződésben meghatározott kötelezettségek teljesítését, a munka irányítását, tervezését és szervezését, a munkahelyi egyenlőséget és sokszínűséget, a munkahelyi egészségvédelmet és biztonságot, továbbá a foglalkoztatáshoz kapcsolódó jogok és juttatások egyéni vagy kollektív gyakorlását és érvényesülését, valamint a munkaviszony megszüntetése céljából történő adatkezelést.”
4
E rendelet „Fogalommeghatározások” című 4. cikke a következőképpen rendelkezik:
„E rendelet alkalmazásában:
1)
»személyes adat«: azonosított vagy azonosítható természetes személyre (»érintett«) vonatkozó bármely információ; […]
2)
»adatkezelés«: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége […]
[…]
7)
»adatkezelő«: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; […]
[…]”
5
A GDPR „Elvek” című II. fejezete tartalmazza az 5–11. cikket.
6
E rendeletnek „A személyes adatok kezelésére vonatkozó elvek” című 5. cikke a következőket írja elő:
„(1)   A személyes adatok:
[…]
c)
az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk (»adattakarékosság«);
[…]
f)
kezelését oly módon kell végezni, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve (»integritás és bizalmas jelleg«).
(2)   Az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására (»elszámoltathatóság«).”
7
Az említett rendeletnek „Az adatkezelés jogszerűsége” címet viselő 6. cikke a következőképpen rendelkezik:
„(1)   A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:
a)
az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez;
b)
az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges;
c)
az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges;
d)
az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges;
e)
az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges;
f)
az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.
Az első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre.
(2)   Az e rendeletben foglalt, adatkezelésre vonatkozó szabályok alkalmazásának kiigazítása érdekében, a tagállamok az (1) bekezdés c) és e) pontjának való megfelelés céljából fenntarthatnak vagy bevezethetnek konkrétabb rendelkezéseket, amelyekben pontosabban meghatározzák az adatkezelésre vonatkozó konkrét követelményeket, és amelyekben további intézkedéseket tesznek az adatkezelés jogszerűségének és tisztességességének biztosítására, ideértve a IX. fejezetben meghatározott egyéb konkrét adatkezelési helyzeteket is.
(3)   Az (1) bekezdés c) és e) pontja szerinti adatkezelés jogalapját a következőknek kell megállapítania:
a)
az uniós jog, vagy
b)
azon tagállami jog, amelynek hatálya alá az adatkezelő tartozik.
[…] Ez a jogalap tartalmazhat az e rendeletben foglalt szabályok alkalmazását kiigazító rendelkezéseket, ideértve az adatkezelő általi adatkezelés jogszerűségére irányadó általános feltételeket, az adatkezelés tárgyát képező adatok típusát, az érintetteket, azokat a jogalanyokat, amelyekkel a személyes adatok közölhetők, illetve az ilyen adatközlés céljait, az adatkezelés céljára vonatkozó korlátozásokat, az adattárolás időtartamát és az adatkezelési műveleteket, valamint egyéb adatkezelési eljárásokat, így a törvényes és tisztességes adatkezelés biztosításához szükséges intézkedéseket is, ideértve a IX. fejezetben meghatározott egyéb konkrét adatkezelési helyzetekre vonatkozóan. […]
[…]”
8
Ugyanezen rendelet 9. cikke, melynek címe „A személyes adatok különleges kategóriáinak kezelése”, a következőket írja elő:
„(1)   A faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a természetes személyek egyedi azonosítását célzó genetikai és biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok kezelése tilos.
(2)   Az (1) bekezdés nem alkalmazandó abban az esetben, ha:
a)
az érintett kifejezett hozzájárulását adta az említett személyes adatok egy vagy több konkrét célból történő kezeléséhez, kivéve, ha az uniós vagy tagállami jog úgy rendelkezik, hogy az (1) bekezdésben említett tilalom nem oldható fel az érintett hozzájárulásával;
b)
az adatkezelés az adatkezelőnek vagy az érintettnek a foglalkoztatást, valamint a szociális biztonságot és szociális védelmet szabályozó jogi előírásokból fakadó kötelezettségei teljesítése és konkrét jogai gyakorlása érdekében szükséges, ha az érintett alapvető jogait és érdekeit védő megfelelő garanciákról is rendelkező uniós vagy tagállami jog, illetve a tagállami jog szerinti kollektív szerződés ezt lehetővé teszi;
[…]”
9
A GDPR‑nak a „Jogorvoslat, felelősség és szankciók” című VIII. fejezetében szereplő, „Kártérítéshez való jog és a felelősség” című 82. cikke az (1) bekezdésében a következőket írja elő:
„Minden olyan személy, aki e rendelet megsértésének eredményeként vagyoni vagy nem vagyoni kárt szenvedett, az elszenvedett kárért az adatkezelőtől vagy az adatfeldolgozótól kártérítésre jogosult.”
10
A GDPR‑nak „Az adatkezelés különös eseteire vonatkozó rendelkezések” című IX. fejezetében szereplő, „a foglalkoztatással összefüggő [adatkezelésre]” vonatkozó 88. cikkének (1) és (2) bekezdése a következőket írja elő:
„(1)   A tagállamok jogszabályban vagy kollektív szerződésekben pontosabban meghatározott szabályokat állapíthatnak meg annak érdekében, hogy biztosítsák a jogok és szabadságok védelmét a munkavállalók személyes adatainak a foglalkoztatással összefüggő kezelése tekintetében, különösen a munkaerő‑felvétel, a munkaszerződés teljesítése céljából, ideértve a jogszabályban vagy kollektív szerződésben meghatározott kötelezettségek teljesítését, a munka irányítását, tervezését és szervezését, a munkahelyi egyenlőséget és sokféleséget, a munkahelyi egészségvédelmet és biztonságot, a munkáltató vagy a fogyasztó tulajdonának védelmét is, továbbá a foglalkoztatáshoz kapcsolódó jogok és juttatások egyéni vagy kollektív gyakorlása és élvezete céljából, valamint a munkaviszony megszüntetése céljából.
(2)   E szabályok olyan megfelelő és egyedi intézkedéseket foglalnak magukban, amelyek alkalmasak az érintett emberi méltóságának, jogos érdekeinek és alapvető jogainak megóvására, különösen az adatkezelés átláthatósága, vállalkozáscsoporton vagy a közös gazdasági tevékenységet folytató vállalkozások ugyanazon csoportján belüli adattovábbítás, valamint a munkahelyi ellenőrzési rendszerek tekintetében.”
11
A GDPR „Hatálybalépés és alkalmazás” című 99. cikke így szól:
„(1)   Ez a rendelet az Európai Unió Hivatalos Lapjában való kihirdetését követő huszadik napon lép hatályba.
(2)   Ezt a rendeletet 2018. május 25‑től kell alkalmazni.”
Nemzeti jog
12
A 2017. június 30‑i Bundesdatenschutzgesetz (szövetségi adatvédelmi törvény; BGBl. 2017. I, 2097. o.; a továbbiakban: BDSG) „Adatkezelés munkaviszony céljából” címet viselő 1. és 4. §‑a a következőket írja elő:
„(1)   A munkavállalók személyes adatai a munkaviszony céljából akkor kezelhetők, ha ezen adatkezelés a munkaviszony létesítéséről való döntéshez, illetve a munkaviszony létesítése után annak végrehajtásához, megszüntetéséhez, illetve a munkavállalók érdekképviseletével kapcsolatos, jogszabályból vagy kollektív szabályozási eszközből, illetve üzemi vagy kollektív megállapodásból (kollektív szerződés) eredő jogok gyakorlásához, illetve kötelezettségek teljesítéséhez szükséges. […]
[…]
(4)   A személyes adatok munkaviszony céljából történő kezelése – ideértve a munkavállalók személyes adatainak különleges kategóriáinak kezelését is – kollektív szerződések alapján megengedett. Ennek kapcsán a tárgyaló felek kötelesek tiszteletben tartani [a GDPR] 88. cikkének (2) bekezdését.”
Az alapeljárás és az előzetes döntéshozatalra előterjesztett kérdések
13
Az alapeljárás felperese az alapeljárás alperesének, egy német jog szerint alapított társaságnak a munkavállalója, és az üzemi tanács elnöki tisztségét tölti be.
14
Kezdetben az említett társaság munkavállalóinak bizonyos személyes adatait egy „SAP” elnevezésű szoftver (a továbbiakban: SAP‑szoftver) többek között számviteli célú használatával összefüggésben kezelte, és e tekintetben az üzemi tanácsával több üzemi megállapodást kötött.
15
2017‑ben a D cégcsoport, amelyhez az alapeljárás alperese tartozik (a továbbiakban: D csoport), e csoport egészében bevezette a „Workday” elnevezésű szoftvert (a továbbiakban: Workday szoftver), amely felhőben (cloud) működő, a személyi állományra vonatkozó információk kezelésére szolgáló egységes rendszer. Ennek keretében az alapeljárás alperese a munkavállalóinak az SAP‑szoftverből származó különböző személyes adatait továbbította a D csoport egyik egyesült államokbeli anyavállalatának szerverére.
16
2017. július 3‑án az alapeljárás alperese és üzemi tanácsa a Workday szoftver bevezetésével kapcsolatos tűrést előíró megállapodást kötött (a továbbiakban: tűrésre kötelező üzemi megállapodás), amely többek között megtiltotta, hogy ezt a szoftvert a kísérleti szakaszban az emberi erőforrások olyan igazgatására használják, mint például a munkavállaló értékelése. E megállapodás 2. melléklete szerint a Workday szoftverbe való feltöltés céljából továbbítható egyedüli adatkategóriák: a munkavállaló D csoporton belül hozzárendelt személyi száma, családi neve és utóneve, telefonszáma, az érintett vállalathoz való belépés dátuma, a D csoportnál történő foglalkoztatás kezdete, a munkavégzés helye, az érintett cég neve, valamint munkahelyi telefonszáma és munkahelyi e‑mail‑címe. Az említett megállapodás hatályát a 2019. január 23‑án kötött végleges vállalkozási megállapodás hatálybalépéséig meghosszabbították.
17
Ebben az összefüggésben az alapeljárás felperese az Arbeitsgericht (munkaügyi bíróság, Németország), majd a területileg illetékes Landesarbeitsgericht (munkaügyi fellebbviteli bíróság, Németország) előtt bizonyos információkhoz való hozzáférés, a rá vonatkozó adatok törlése és kártérítés megítélése iránt nyújtott be kérelmeket. E felperes többek között azt állította, hogy az alapeljárás alperese rá vonatkozó személyes adatokat továbbított az anyavállalat szerverére, amelyek közül egyesek nem szerepeltek a tűrésre kötelező üzemi megállapodásban, így különösen a magánelérhetőségi adatait, a szerződésére és a díjazására vonatkozó adatokat, a társadalombiztosítási és adóazonosító számát, az állampolgárságát és a családi állapotát.
18
Az alapeljárás felperese, tekintve, hogy kérelmének nem adtak helyt teljes mértékben, felülvizsgálati kérelmet nyújtott be a Bundesarbeitsgerichthez (szövetségi munkaügyi bíróság, Németország), amely a kérdést előterjesztő bíróság. Jelenleg már csak e felperes azon nem vagyoni kárának a GDPR alapján történő megtérítése iránti kérelme van folyamatban, amelyet személyes adatainak a Workday szoftverrel történő jogellenes kezelése miatt szenvedett el az e rendelet alkalmazásának kezdőnapjától, azaz 2018. május 25‑től 2019 első negyedévének végéig terjedő időszakban.
19
Ami ezen adatkezelés jogellenességét illeti, az alapeljárás felperese egyfelől arra hivatkozik, hogy az adatkezelés nem volt szükséges sem a munkaviszonyhoz – amely tekintetében az alapeljárás alperese akkor az SAP‑szoftvert használta –, sem a Workday szoftver kísérleti üzeméhez, mivel e célból elegendő lett volna fiktív adatok használata, amely biztosította volna, hogy a D csoporton belül semmilyen valós adat ne legyen hozzáférhető. Másfelől, még ha feltételezzük is, hogy a tűrésre kötelező üzemi megállapodás érvényes alapot képezhet az említett adatkezeléshez, az abban szereplő engedélyt túllépték, mivel az alperes az e megállapodás 2. mellékletében előírtaktól eltérő adatokat szolgáltatott. Végül az említett alperesre hárul annak bizonyítása, hogy cselekményei megfelelnek a GDPR‑nak.
20
Az alapeljárás alperese azt állítja, hogy a szóban forgó adatkezelés megfelel a GDPR követelményeinek, hogy a bizonyítási teher az alapeljárás felperesére hárul, és hogy ez utóbbi nem bizonyította sem a nem vagyoni kár fennállását, sem pedig az e rendelet esetleges megsértése és az állítólagos kár közötti okozati összefüggést.
21
A kérdést előterjesztő bíróság úgy véli, hogy az alapeljárás felperese által vitatott műveletek a GDPR tárgyi hatálya alá tartoznak, mivel azok ezen „érintett” e rendelet 4. cikkének 1. és 2. pontja értelmében vett „személyes adatai”„kezelésének” minősülnek. Ezenkívül megjegyzi, hogy az alapeljárás alperese az említett rendelet 4. cikkének 7. pontja értelmében vett „adatkezelőnek” minősül. Ami ez utóbbi időbeli hatályát illeti, hangsúlyozza, hogy az adatkezelés kétségkívül azon időpontot megelőzően kezdődött, amikor ez az eszköz alkalmazandóvá vált, azonban ezen időpontot követően is folytatódott, mivel a vállalkozási megállapodás eredeti hatásai több alkalommal meghosszabbították a tűrésre kötelező üzemi megállapodás eredeti hatályát.
22
Ebben az összefüggésben a kérdést előterjesztő bíróság először is azt a kérdést veti fel, hogy összeegyeztethető‑e e rendelettel a személyes adatok munkaviszonyok céljából történő kezelését szabályozó olyan nemzeti szabály, amely lényegében azt írja elő, hogy a kollektív szerződések alapján végzett ilyen adatkezelés jogszerű, feltéve hogy tiszteletben tartják mind a GDPR 88. cikkének (2) bekezdését, mind a BDSG 26. §‑ának (4) bekezdését, vagy pedig e célból az érintett adatkezelésnek meg kell‑e felelnie e rendelet más rendelkezéseinek is. E bíróság hajlik annak megállapítására, hogy amennyiben a munkavállalók személyes adatainak kezelését a GDPR 88. cikke értelmében vett „kollektív szerződés” szabályozza, ezen adatkezelés nem csupán e 88. cikkből, hanem az e rendelet 5. cikkéből, 6. cikkének (1) bekezdéséből, valamint 9. cikkének (1) és (2) bekezdéséből eredő követelményektől sem térhet el, különösen ami az adatkezelés szükségességének az ez utóbbi három cikkben előírt feltételét illeti.
23
Másodszor, az első kérdésére adott igenlő válasz esetén az említett bíróság arra keresi a választ, hogy az ilyen kollektív szerződés felei rendelkeznek‑e olyan mérlegelési mozgástérrel, amelyet a GDPR 5. cikke, 6. cikkének (1) bekezdése, valamint 9. cikkének (1) és (2) bekezdése értelmében az érintett adatkezelés szükségességének értékelését illetően bírósági csak korlátozottan vizsgálhat felül. Véleménye szerint ezt az álláspontot alátámasztja az az érvelés, amely szerint e felek nagymértékben közel állnak a vállalkozás életéhez, és általában megfelelő egyensúlyt alakítottak ki a szóban forgó érdekek között. Mindazonáltal a Bíróságnak más uniós jogi aktusokra, különösen az 1991. február 7‑iNimz ítéletre (C‑184/89, EU:C:1991:50) és a 2003. március 20‑iKutz‑Bauer ítéletre (C‑187/00, EU:C:2003:168) vonatkozó ítélkezési gyakorlata inkább arra enged következtetni, hogy az e jog hatálya alá tartozó kollektív szerződés rendelkezései nem lehetnek ellentétesek azzal, és szükség esetén el kell tekinteni az ilyen rendelkezések alkalmazásától.
24
Harmadszor, abban az esetben, ha a második kérdésre adott válasz igenlő, a kérdést előterjesztő bíróság meg kívánja ismerni azokat az értékelési szempontokat, amelyekre adott esetben korlátoznia kell az általa elvégzendő bírósági felülvizsgálatot.
25
Végül az e bíróság által eredetileg a visszavonásukat megelőzően előterjesztett negyedik, ötödik és hatodik kérdés lényegében a GDPR 82. cikkének (1) bekezdése alapján a nem vagyoni kár megtérítéséhez való jogra vonatkozott.
26
E körülmények között a Bundesarbeitsgericht (szövetségi munkaügyi bíróság) úgy határozott, hogy az eljárást felfüggeszti, és előzetes döntéshozatal céljából a következő kérdéseket terjeszti a Bíróság elé:
„1)
Úgy kell‑e értelmezni [a GDPR] 88. cikkének (1) bekezdése alapján elfogadott olyan nemzeti jogi rendelkezést, például a [BDSG] 26. §‑ának (4) bekezdését, amely úgy rendelkezik, hogy megengedett a munkavállalók személyes adatainak – ideértve a személyes adatok különleges kategóriáit is – kollektív szerződések alapján szabályozott munkaviszonyt érintő célból, [a GDPR] 88. cikke (2) bekezdésének betartása mellett történő kezelése, hogy [a GDPR] további előírásait, például az 5. cikkét, 6. cikkének (1) bekezdését, valamint 9. cikkének (1) és (2) bekezdését is be kell tartani?
2)
Az első kérdésre adandó igenlő válasz esetén:
Értelmezhető‑e úgy [a GDPR] 88. cikkének (1) bekezdése alapján elfogadott olyan nemzeti jogi rendelkezés, mint a BDSG 26. §‑ának (4) bekezdése, hogy a kollektív szerződésben részt vevő feleket (jelen esetben az üzemi megállapodásban részt vevő feleket) [a GDPR] 5. cikke, 6. cikkének (1) bekezdése és 9. cikkének (1) és (2) bekezdése értelmében vett adatkezelés szükségességének megítélése során olyan mérlegelési mozgástér illeti meg, amelyet a bíróság csak korlátozottan vizsgálhat felül?
3)
A második kérdésre adandó igenlő válasz esetén:
Mire lehet ilyen esetben a bírósági felülvizsgálatot korlátozni?
4)
Úgy kell‑e értelmezni [a GDPR] 82. cikkének (1) bekezdését, hogy az érintettek már akkor is jogosultak a nem vagyoni kár megtérítésére, ha személyes adataik kezelése [a GDPR] követelményeinek megsértésével történt, vagy a nem vagyoni kár megtérítéséhez való joghoz ezen túlmenően az is szükséges, hogy az érintett igazolja az őt ért – bizonyos súlyú – nem vagyoni kárt?
5)
Különös, illetve általános megelőzési jelleggel bír‑e [a GDPR] 82. cikkének (1) bekezdése, és figyelembe kell‑e venni ezt az adatkezelő, illetve adatfeldolgozó terhére a megtérítendő nem vagyoni kár mértékének [a GDPR] 82. cikkének (1) bekezdése alapján történő megállapítása során?
6)
Jelentőséggel bír‑e a megtérítendő nem vagyoni kár mértékének [a GDPR] 82. cikkének (1) bekezdése alapján történő megállapítása során az adatkezelő, illetve adatfeldolgozó vétkességének mértéke? Figyelembe vehető‑e különösen az adatkezelő, illetve adatfeldolgozó javára vétkességének hiánya vagy kis mértéke?”
A Bíróság előtti eljárás
27
A Bíróság elnöke 2024. január 24‑i határozatával ismertette a kérdést előterjesztő bírósággal a 2023. május 4‑iÖsterreichische Post (A személyes adatok kezeléséhez kapcsolódó nem vagyoni kár) ítéletet (C‑300/21, EU:C:2023:370), a 2023. december 14‑iNatsionalna agentsia za prihodite ítéletet (C‑340/21, EU:C:2023:986), a 2023. december 14‑iGemeinde Ummendorf ítéletet (C‑456/22, EU:C:2023:988), a 2023. december 21‑iKrankenversicherung Nordrhein ítéletet (C‑667/21, EU:C:2023:1022), továbbá a 2024. január 25‑iMediaMarktSaturn (C‑687/21, EU:C:2024:72) annak pontosítása érdekében, hogy ezen ítéletekre tekintettel fenn kívánja‑e tartani az előzetes döntéshozatal iránti kérelmét, különösen a negyedik, ötödik és hatodik kérdést illetően.
28
A Bíróság elnökének 2024. március 15‑i határozata értelmében a jelen ügyben az eljárást a Bíróság eljárási szabályzata 55. cikke (1) bekezdésének b) pontja alapján az így feltett kérdésre adott válasz beérkezésééig felfüggesztették.
29
A kérdést előterjesztő bíróság Bírósághoz 2024. május 8‑án érkezett írásbeli közleményében arról tájékoztatta a Bíróságot, hogy visszavonja a negyedik, ötödik és hatodik kérdését, azonban fenntartja az első, a második és a harmadik kérdést.
Az előzetes döntéshozatal iránti kérelem elfogadhatóságáról
30
Az alapeljárás alperese azt állítja, hogy az első, a második és a harmadik kérdés elfogadhatatlan, mivel azok nem relevánsak a kérdést előterjesztő bíróság előtt folyamatban lévő jogvita megoldása szempontjából. Lényegében azt állítja, hogy az alapeljárás felperese nem a jelen ügyben alkalmazandó üzemi megállapodás tartalmát vitatja, hanem azt, hogy a kifogásolt adatkezelés túllépte e megállapodás korlátait, így e jogvita tárgya nem a GDPR 88. cikkében foglalt, az ilyen megállapodásra vonatkozó követelmények megsértése. Ráadásul e kérdések hipotetikusak, mivel arra irányulnak, hogy lehetővé tegyék e bíróság számára ezen adatkezelés jogszerűségének átfogó, és nem kizárólag az alapeljárás felperese által vitatott tényezőkre tekintettel történő vizsgálatát.
31
E tekintetben az állandó ítélkezési gyakorlat szerint kizárólag a jogvitában eljáró és a meghozandó bírósági határozatért felelős nemzeti bíróság feladata annak értékelése, hogy az ügy sajátosságaira figyelemmel az ítéletének meghozatalához szükség van‑e előzetes döntéshozatalra, és a Bíróság elé terjesztett kérdések – amelyek relevanciáját vélelmezni kell – valóban relevánsak‑e. Ennélfogva, amikor az előterjesztett kérdés az uniós jog valamely szabályának értelmezésére vagy érvényességére vonatkozik, a Bíróság főszabály szerint köteles a kérelmet elbírálni, kivéve ha a kért értelmezés nyilvánvalóan semmilyen összefüggésben nincs az alapeljárás tényállásával vagy tárgyával, ha a probléma hipotetikus jellegű, vagy ha nem állnak a Bíróság rendelkezésére azok a ténybeli és jogi elemek, amelyek szükségesek ahhoz, hogy az említett kérdésre hasznos választ adhasson (2024. június 20‑iScalable Capital ítélet, C‑182/22 és C‑189/22, EU:C:2024:531, valamint az ott hivatkozott ítélkezési gyakorlat).
32
A jelen ügyben az első, a második és a harmadik kérdés több uniós jogi rendelkezés, pontosabban a GDPR 5., 6. és 9. cikkével összefüggésben értelmezett 88. cikkének értelmezésére vonatkozik. Ezenkívül a kérdést előterjesztő bíróság úgy véli, hogy túllépték a jelen ügyben alkalmazandó üzemi megállapodásban rögzített korlátokat, amelyeket e bíróság az e rendelet értelmében vett „kollektív szerződésnek” minősít, és hogy a személyes adatoknak az alapügyben szóban forgó kezelését összességében kell vizsgálni, mivel a BDSG 26. §‑ának mind az (1), mind a (4) bekezdése alapján jogellenes lehet, és ez utóbbi kifejezetten hivatkozik a GDPR 88. cikkére.
33
Ebből az következik, hogy az előzetes döntéshozatal iránti kérelem elfogadható.
Az előzetes döntéshozatalra előterjesztett kérdésekről
Az első kérdésről
34
Első kérdésével az előterjesztő bíróság lényegében arra vár választ, hogy a GDPR 88. cikkének (1) és (2) bekezdését úgy kell‑e értelmezni, hogy a személyes adatok foglalkoztatással összefüggő kezelésére irányuló és az e rendelet 88. cikkének (1) bekezdése alapján elfogadott nemzeti rendelkezésnek a címzettjeit nemcsak az említett rendelet 88. cikkének (2) bekezdéséből eredő követelmények, hanem az e rendelet 5. cikkéből, 6. cikkének (1) bekezdéséből, valamint 9. cikkének (1) és (2) bekezdéséből eredő követelmények tiszteletben tartására is köteleznie kell.
35
E tekintetben emlékeztetni kell arra, hogy a GDPR célja a személyes adatok védelmére vonatkozó nemzeti jogszabályok főszabály szerint teljes harmonizációjának biztosítása. Ugyanakkor e rendelet rendelkezései lehetőséget adnak a tagállamok számára, hogy további, szigorúbb vagy eltérő nemzeti szabályokat írjanak elő, és mérlegelési mozgásteret hagynak a tagállamok számára e rendelkezések végrehajtásának módját illetően („engedő rendelkezések”) (lásd ebben az értelemben: 2023. március 30‑iHauptpersonalrat der Lehrerinnen und Lehrer ítélet, C‑34/21, EU:C:2023:270, 51. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
36
A GDPR‑nak a személyes adatok foglalkoztatással összefüggésben történő kezelésére vonatkozó 88. cikke meghatározza azokat a feltételeket, amelyek mellett a tagállamok jogszabályban vagy kollektív szerződések útján „pontosabban meghatározott szabályokat” írhatnak elő az ilyen adatkezeléssel érintett munkavállalók jogainak és szabadságainak védelme érdekében. E rendelet (155) preambulumbekezdése többek között kimondja, hogy a „kollektív szerződésnek” az e 88. cikk értelmében vett fogalma magában foglalja az olyan „üzemi megállapodásokat”, mint amilyenek az alapügyben szerepelnek. Egyébiránt az említett rendelet 5., 6. és 9. cikke tartalmazza a személyes adatok kezelésére vonatkozó elveket, az adatkezelés jogszerűségének feltételeit, valamint az ilyen adatok különleges kategóriáinak kezelésére vonatkozó szabályokat.
37
Az állandó ítélkezési gyakorlat szerint az uniós jog olyan rendelkezését, amely – mint a GDPR 88. cikke – értelmének és hatályának meghatározása céljából nem hivatkozik kifejezetten a tagállamok jogára, általában az Unió egész területén önállóan és egységesen kell értelmezni, figyelembe véve ennek során különösen az érintett rendelkezés szövegét, az e rendelkezéssel elérni kívánt célokat és a rendelkezés összefüggéseit (lásd analógia útján: 2023. december 14‑iNatsionalna agentsia za prihodite ítélet, C‑340/21, EU:C:2023:986, 23. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
38
Először is, a GDPR 88. cikkének szövegéből kitűnik, hogy annak (1) bekezdése megköveteli, hogy az e rendelkezés által engedélyezett, „pontosabban meghatározott szabályok” a szabályozott területre jellemző és az e rendelet általános szabályaitól eltérő normatív tartalommal rendelkezzenek, míg a (2) bekezdése – az említett rendeletben szereplő harmonizációs célkitűzésnek megfelelően – azon tagállamok mérlegelési mozgásterét szabályozza, amelyek ezen (1) bekezdés alapján nemzeti szabályozást kívánnak elfogadni (lásd e tekintetben: 2023. március 30‑i2023. március 24‑iHauptpersonalrat der Lehrerinnen und Lehrer ítélet, C‑34/21, EU:C:2023:270, 61., 65., 72. és 75. pont).
39
Ezzel szemben e megfogalmazás nem tartalmaz kifejezett utalást arra vonatkozóan, hogy a tagállamok által ily módon elfogadott, „pontosabban meghatározott szabályoknak” kizárólag a GDPR 88. cikkének (2) bekezdésében meghatározott követelmények tiszteletben tartására kell‑e irányulniuk vagy e rendelet más rendelkezéseinek tiszteletben tartására is, oly módon, hogy a személyes adatok ilyen szabályok alapján történő kezelésének ezen túlmenően meg kell felelnie ez utóbbi rendelkezéseknek.
40
Másodszor, ami a GDPR 88. cikkének célkitűzéseit illeti, a Bíróság már kimondta, hogy e cikk „engedő rendelkezésnek” minősül, és az e cikk (1) bekezdésében a tagállamok számára biztosított lehetőség, figyelemmel az ilyen adatkezelés sajátosságaira, többek között azzal magyarázható, hogy a munkavállaló és a munkáltató között alárendeltségi viszony áll fenn. A Bíróság pontosította, hogy az e rendelet 88. cikkének (2) bekezdésében előírt feltételek a tagállamok számára hagyott mérlegelési mozgástér határait tükrözik abban az értelemben, hogy a harmonizáció e hiánya csak abban az esetben fogadható el, ha a fennálló különbségeket olyan egyedi és megfelelő garanciák kísérik, amelyek célja az alkalmazottak jogainak és szabadságainak védelme a személyes adataik foglalkoztatással összefüggő kezelése tekintetében (lásd e tekintetben: 2023. március 30‑iHauptpersonalrat der Lehrerinnen und Lehrer ítélet, C‑34/21, EU:C:2023:270, 52., 53. és 73. pont).
41
Ezenkívül a Bíróság hangsúlyozta, hogy amikor a tagállamok élnek a GDPR 88. cikkében számukra biztosított lehetőséggel, mérlegelési mozgásterükkel az e rendelet rendelkezéseiben előírt feltételek és korlátozások mellett kell élniük, és így oly módon kell jogszabályokat alkotniuk, hogy ne sértsék az említett rendelet tartalmát és céljait, amely rendelet célja többek között az ilyen adatkezeléssel érintett személyek jogai és szabadságai magas szintű védelmének biztosítása, amint az a (10) preambulumbekezdéséből kitűnik. Következésképpen a valamely tagállam által e 88. cikk alapján elfogadott szabályoknak a munkavállalók jogainak és szabadságainak a személyes adataik kezelése tekintetében történő védelmére kell irányulniuk (lásd e tekintetben: 2023. március 30‑iHauptpersonalrat der Lehrerinnen und Lehrer ítélet, C‑34/21, EU:C:2023:270, 54., 59., 62. és 74. pont).
42
Márpedig a GDPR 88. cikke – e célok összessége, és különösen a személyes adataiknak a foglalkoztatással összefüggésben történő kezelése esetén a munkavállalók magas szintű védelmének biztosítására irányuló cél sérelme nélkül – nem értelmezhető úgy, hogy a tagállamok által e cikk alapján elfogadható, „pontosabban meghatározott szabályoknak” az lenne a célja vagy hatása, hogy megkerüljék az adatkezelőnek, vagy akár az adatfeldolgozónak az e rendelet más rendelkezéseiből eredő kötelezettségeit.
43
Ebből következik, hogy a GDPR 88. cikkének (1) és (2) bekezdését úgy kell értelmezni, hogy még ha a tagállamok e cikkre támaszkodnak is annak érdekében, hogy belső jogrendjükbe törvény vagy kollektív szerződés útján „pontosabban meghatározott szabályokat” vezessenek be, a jelen kérdésben kifejezetten említett egyéb rendelkezésekből, nevezetesen e rendelet 5. cikkéből, 6. cikkének (1) bekezdéséből, valamint 9. cikkének (1) és (2) bekezdéséből eredő követelményeknek szintén teljesülniük kell. Ez a helyzet többek között az e rendelkezésekben előírt, az adatkezelés szükségességére vonatkozó feltétel tiszteletben tartása esetén, amelyre a kérdést előterjesztő bíróság konkrétan is rákérdez.
44
Harmadszor, az az összefüggés, amelybe a GDPR 88. cikke illeszkedik, megerősíti ezt az értelmezést.
45
A GDPR 88. cikke ugyanis annak „Az adatkezelés különös eseteire vonatkozó rendelkezések” című IX. fejezetében, míg e rendelet 5., 6. és 9. cikke a rendelet „Alapelvek” című, tehát általánosabb hatállyal rendelkező II. fejezetében található. Egyébiránt e 6. cikk szövegéből – amely cikk (2) és (3) bekezdésében kifejezetten utal e IX. fejezet rendelkezéseire – egyértelműen kitűnik, hogy a jogszerűségnek az említett 6. cikkben előírt feltételei az említett IX. fejezet rendelkezései által szabályozott „különös esetek” keretében is kötelezőek.
46
Ezenkívül az állandó ítélkezési gyakorlat szerint a személyes adatok kezelése során tiszteletben kell tartani az ilyen adatok kezelésére vonatkozó elveket, valamint az érintettnek a GDPR II., illetve III. fejezetében rögzített jogait. Különösen meg kell felelnie az ezen adatok kezelésére vonatkozó, az e rendelet 5. cikkében előírt elveknek, és meg kell felelnie az e rendelet 6. cikkében felsorolt, az adatkezelés jogszerűségére vonatkozó feltételeknek (lásd ebben az értelemben: 2023. március 2‑iNorra Stockholm Bygg ítélet, C‑268/21, EU:C:2023:145, 43. pont; 2024. július 11‑iMeta Platforms Ireland [Képviseleti kereset] ítélet, C‑757/22, EU:C:2024:598, 49. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
47
Ami konkrétabban a GDPR 88. cikke és e rendelet más rendelkezései közötti kapcsolatot illeti, a Bíróság többek között e rendelet (8) preambulumbekezdésének fényében megállapította, hogy a tagállamok által az említett rendelet 88. cikkének (1) bekezdése alapján elfogadott, „pontosabban meghatározott szabályok” esetleges fennállása ellenére a személyes adatok bármilyen kezelésének tiszteletben kell tartania az ugyanezen rendelet II. és III. fejezetében, valamint különösen annak 5. és 6. cikkében foglalt rendelkezésekből eredő kötelezettségeket (lásd e tekintetben: 2023. március 30‑iHauptpersonalrat der Lehrerinnen und Lehrer ítélet, C‑34/21, EU:C:2023:270, 67–71. pont).
48
Ugyanígy tiszteletben kell tartani a GDPR 9. cikkéből eredő kötelezettségeket az e rendelet hatálya alá tartozó személyes adatok kezelése során, ideértve az e rendelet 88. cikkének (1) bekezdése alapján elfogadott, „pontosabban meghatározott szabályokat”. E 9. cikk ugyanis, amely az általa felsorolt különleges adatkategóriák kezelését szabályozza, az említett rendelet II. fejezetében szerepel, hasonlóan annak 5. és 6. cikkéhez, amelyek követelményei egyébként az említett 9. cikkből eredő követelményekkel halmozhatók (lásd e tekintetben: 2023. december 21‑iKrankenversicherung Nordrhein ítélet, C‑667/21, EU:C:2023:1022, 73., 77–79. pont). Ráadásul ez az értelmezés megfelel ugyanezen 9. cikk céljának, amely arra irányul, hogy fokozott védelmet biztosítson az olyan adatkezelésekkel szemben, amelyek az érintettek alapvető jogaiba való különösen súlyos beavatkozást jelenthetnek a tárgyukat képező adatok különleges érzékenysége miatt (lásd ebben az értelemben: 2024. október 4‑iLindenapotheke ítélet, C‑21/23, EU:C:2024:846, 89. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
49
Így, abban az esetben, ha valamely tagállam joga a GDPR 88. cikkének (1) bekezdése értelmében vett, „pontosabban meghatározott szabályokat” tartalmaz, a személyes adatok e szabályok hatálya alá tartozó kezeléseinek nemcsak az e cikk (1) és (2) bekezdésében előírt feltételeket, hanem az e rendeletnek a Bíróság ítélkezési gyakorlata által értelmezett 5., 6. és 9. cikkében előírt feltételeket is tiszteletben kell tartaniuk.
50
A fenti indokokra tekintettel az első kérdésre azt a választ kell adni, hogy a GDPR 88. cikkének (1) és (2) bekezdését úgy kell értelmezni, hogy a személyes adatok foglalkoztatással összefüggő kezelésére irányuló és az e rendelet 88. cikkének (1) bekezdése alapján elfogadott nemzeti rendelkezésnek a címzettjeit nemcsak az említett rendelet 88. cikkének (2) bekezdéséből eredő követelmények, hanem az e rendelet 5. cikkéből, 6. cikkének (1) bekezdéséből, valamint 9. cikkének (1) és (2) bekezdéséből eredő követelmények tiszteletben tartására is köteleznie kell.
A második kérdésről
51
Második kérdésével az előterjesztő bíróság lényegében arra vár választ, hogy a GDPR 88. cikkének (1) bekezdését úgy kell‑e értelmezni, hogy amennyiben valamely kollektív szerződés e rendelkezés hatálya alá tartozik, e szerződés feleit a személyes adatok e rendelet 5. cikke, 6. cikkének (1) bekezdése, valamint 9. cikkének (1) és (2) bekezdése értelmében vett „szükséges” jellegének meghatározása tekintetében megillető mérlegelési mozgástér azzal a hatással jár, hogy megakadályozza a nemzeti bíróságot abban, hogy e tekintetben teljes körű bírósági felülvizsgálatot gyakoroljon.
52
Mindenekelőtt emlékeztetni kell arra, hogy – amint az a jelen ítélet 41. pontjában kiemelésre került – a GDPR 88. cikkében számukra biztosított lehetőséggel élő tagállamoknak az e rendelet rendelkezéseiben előírt feltételek mellett és korlátok között kell gyakorolniuk mérlegelési mozgásterüket, és ily módon biztosítaniuk kell, hogy az általuk a belső jogrendjükbe bevezetett, „pontosabban meghatározott szabályok” ne sértsék az említett rendelet tartalmát és céljait. E szabályoknak többek között munkavállalók személyes adatainak a foglalkoztatással összefüggésben történő kezelése tekintetében az alapvető jogaik és szabadságaik magas szintű védelmének biztosítására kell irányulniuk.
53
Az ilyen különös szabályok tekintetében gyakorolható bírósági felülvizsgálat terjedelmét illetően a Bíróság már megállapította, hogy az eljáró, a nemzeti jog értelmezésére kizárólagos hatáskörrel rendelkező nemzeti bíróság feladata annak értékelése, hogy az említett szabályok valóban tiszteletben tartják‑e a különösen a GDPR 88. cikkében előírt feltételeket és korlátokat. Az uniós jog elsőbbsége elvének megfelelően, amennyiben e bíróság arra a megállapításra jut, hogy az érintett nemzeti rendelkezések nem tartják tiszteletben e feltételeket és korlátokat, e bíróságnak mellőznie kell az említett rendelkezések alkalmazását. Az e 88. cikk követelményeit tiszteletben tartó pontosabban meghatározott szabályok hiányában a személyes adatok foglalkoztatással összefüggésben történő kezelését közvetlenül e rendelet szabályozza (lásd ebben az értelemben: 2023. március 30‑iHauptpersonalrat der Lehrerinnen und Lehrer ítélet, C‑34/21, EU:C:2023:270, 80., 82., 84. és 89. pont).
54
E megfontolások érvényesek a GDPR 88. cikkében említett olyan kollektív szerződés feleire is, mint amelyről az alapügyben szó van. Amint ugyanis arra az Európai Bizottság az írásbeli észrevételeiben lényegében rámutatott, a kollektív szerződés felei számára lehetővé kell tenni, hogy – különösen a korlátait illetően – azzal egyenértékű mérlegelési mozgástérrel rendelkezzenek, mint ami a tagállamok részére biztosított, mivel az e 88. cikk (1) bekezdésében említett „pontosabban meghatározott szabályok” többek között kollektív szerződésekből eredhetnek. E rendelet (155) preambulumbekezdése azt is jelzi, hogy ilyen szabályokat a tagállamok jogszabályai vagy kollektív szerződések – ideértve az „üzemi megállapodásokat” – írhatnak elő.
55
Így a GDPR 88. cikke által a kollektív szerződés felei számára biztosított mérlegelési mozgástér ellenére az ilyen szerződés tekintetében gyakorolt bírósági felülvizsgálatnak – az e rendelkezés alapján elfogadott nemzeti jogi szabályra vonatkozó felülvizsgálathoz hasonlóan – mindenféle korlátozás nélkül ki kell terjednie az e rendelet rendelkezései által a személyes adatok kezelése tekintetében előírt valamennyi feltétel és korlátozás tiszteletben tartására.
56
Ezt követően pontosítani kell, hogy az ilyen bírósági felülvizsgálatnak konkrétabban az ilyen adatoknak a GDPR 5., 6. és 9. cikke értelmében vett „szükséges” jellegének ellenőrzésére kell irányulnia. Másként fogalmazva, annak 88. cikke nem értelmezhető úgy, hogy a kollektív szerződés felei olyan mérlegelési jogkörrel rendelkeznek, amely lehetővé tenné számukra, hogy olyan „pontosabban meghatározott szabályokat” vezessenek be, amelyek a szükségesség említett követelményének kevésbé szigorú alkalmazásához, vagy akár mellőzéséhez vezetnek.
57
Kétségtelen, hogy – amint azt a kérdést előterjesztő bíróság és Írország lényegében megjegyezte – a kollektív szerződés felei általában megfelelő helyzetben vannak annak megítélésére, hogy az adatkezelés szükséges‑e egy konkrét szakmai vonatkozásban, mivel e felek általában széles körű ismeretekkel rendelkeznek a foglalkoztatási terület és az érintett tevékenységi ágazat sajátos igényeit illetően. Az ilyen értékelési folyamat azonban nem vezethet ahhoz, hogy az említett felek olyan gazdasági jellegű vagy kényelmi kompromisszumokat kössenek, amelyek indokolatlanul sérthetik a GDPR azon célját, hogy a rájuk vonatkozó személyes adatok kezelése tekintetében biztosítsa a munkavállalók alapvető jogainak és szabadságainak magas szintű védelmét.
58
Ennélfogva a GDPR 88. cikkének olyan értelmezése, amely szerint a nemzeti bíróságok nem gyakorolhatnak teljes körű bírósági felülvizsgálatot valamely kollektív szerződés tekintetében, különösen annak vizsgálata céljából, hogy az e kollektív szerződés felei által előadott igazolások alátámasztják‑e a személyes adatok e szerződésből eredő kezelésének szükségességét, a jelen ítélet előző pontjában felidézett védelmi célra tekintettel nem összeegyeztethető e rendelettel.
59
Végül hangsúlyozni kell, hogy abban az esetben, ha az eljáró nemzeti bíróság a felülvizsgálatát követően megállapítaná, hogy az érintett kollektív szerződés bizonyos rendelkezései nem tartják tiszteletben a GDPR‑ban előírt feltételeket és korlátokat, a jelen ítélet 53. pontjában hivatkozott ítélkezési gyakorlatnak megfelelően el kell tekintenie e rendelkezések alkalmazásától.
60
A fenti indokokra tekintettel a második kérdésre azt a választ kell adni, hogy a GDPR 88. cikkének (1) bekezdését úgy kell értelmezni, hogy amennyiben valamely kollektív szerződés e rendelkezés hatálya alá tartozik, az e szerződés feleit a személyes adatok e rendelet 5. cikke, 6. cikkének (1) bekezdése, valamint 9. cikkének (1) és (2) bekezdése értelmében vett „szükséges” jellegének meghatározása tekintetében megillető mérlegelési mozgástér nem akadályozza meg a nemzeti bíróságot abban, hogy e tekintetben teljes körű bírósági felülvizsgálatot gyakoroljon.
A harmadik kérdésről
61
A második kérdésre adott válaszra tekintettel nem szükséges válaszolni a harmadik kérdésre.
A költségekről
62
Mivel ez az eljárás az alapeljárásban részt vevő felek számára a kérdést előterjesztő bíróság előtt folyamatban lévő eljárás egy szakaszát képezi, ez a bíróság dönt a költségekről. Az észrevételeknek a Bíróság elé terjesztésével kapcsolatban felmerült költségek, az említett felek költségeinek kivételével, nem téríthetők meg.
A fenti indokok alapján a Bíróság (nyolcadik tanács) a következőképpen határozott:
1)
A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) 88. cikkének (1) és (2) bekezdését
a következőképpen kell értelmezni:
a személyes adatok foglalkoztatással összefüggő kezelésére irányuló és az e rendelet 88. cikkének (1) bekezdése alapján elfogadott nemzeti rendelkezésnek a címzettjeit nemcsak az említett rendelet 88. cikkének (2) bekezdéséből eredő követelmények, hanem az e rendelet 5. cikkéből, 6. cikkének (1) bekezdéséből, valamint 9. cikkének (1) és (2) bekezdéséből eredő követelmények tiszteletben tartására is köteleznie kell.
2)
A 2016/679 rendelet 88. cikkének (1) bekezdését
a következőképpen kell értelmezni:
amennyiben valamely kollektív szerződés e rendelkezés hatálya alá tartozik, az e szerződés feleit a személyes adatok e rendelet 5. cikke, 6. cikkének (1) bekezdése, valamint 9. cikkének (1) és (2) bekezdése értelmében vett „szükséges” jellegének meghatározása tekintetében megillető mérlegelési mozgástér nem akadályozza meg a nemzeti bíróságot abban, hogy e tekintetben teljes körű bírósági felülvizsgálatot gyakoroljon.
Aláírások
(
*1
)	Az eljárás nyelve: német.