Predbežné znenie

NÁVRHY GENERÁLNEHO ADVOKÁTA

MANUEL CAMPOS SÁNCHEZ‑BORDONA

prednesené 22. septembra 2022( )

Vec C‑34/21

Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium

za účasti:

Minister des Hessischen Kultusministeriums als Dienststellenleiter

[návrh na začatie prejudiciálneho konania, ktorý podal Verwaltungsgericht Frankfurt am Main (Správny súd Frankfurt nad Mohanom, Nemecko)]

„Návrh na začatie prejudiciálneho konania – Ochrana osobných údajov – Nariadenie (EÚ) 2016/679 – Spracúvanie údajov v súvislosti so zamestnaním – Článok 88 ods. 1 – Konkrétnejšie pravidlo – Požiadavky článku 88 ods. 2 – Regionálny školský systém – Online výučba prostredníctvom videokonferencie – Chýbajúci výslovný súhlas učiteľov“





1. Spor, z ktorého vychádza tento návrh na začatie prejudiciálneho konania, sa v podstate zaoberá otázkou, či učitelia zamestnaní Ministerstvom spolkovej krajiny Hesensko (Nemecko) musia udeliť súhlas so šírením svojej výučby prostredníctvom videokonferencie alebo či v prípade, že súhlas nedajú, možno spracúvanie ich osobných údajov( ) odôvodniť niektorým z legitímnych cieľov, ktoré sú uvedené v nariadení (EÚ) 2016/679( ).

2. Návrh na začatie prejudiciálneho konania dáva Súdnemu dvoru príležitosť vyjadriť sa po prvýkrát, pokiaľ sa nemýlim, k článku 88 GDPR. Podľa tohto ustanovenia môžu členské štáty prostredníctvom právnych predpisov alebo kolektívnych dohôd stanoviť konkrétnejšie pravidlá na zabezpečenie ochrany práv a slobôd pri spracúvaní osobných údajov zamestnancov v súvislosti so zamestnaním.

I. Právny rámec

A. Právo Únie. GDPR

3. Nasledujúce odôvodnenia znejú takto:

„…

(8) Ak sa v tomto nariadení stanovuje, že právo členského štátu má spresniť alebo obmedziť jeho pravidlá, členské štáty môžu, pokiaľ je to nevyhnutné pre súdržnosť a dosiahnutie lepšej zrozumiteľnosti vnútroštátnych predpisov pre osoby, na ktoré sa vzťahujú, začleniť prvky tohto nariadenia do svojho vnútroštátneho práva.

…

(10) S cieľom zabezpečiť konzistentnú a vysokú úroveň ochrany fyzických osôb a odstrániť prekážky tokov osobných údajov v rámci Únie, úroveň ochrany práv a slobôd fyzických osôb pri spracúvaní týchto údajov by mala byť rovnaká vo všetkých členských štátoch. Konzistentné a jednotné uplatňovanie pravidiel ochrany základných práv a slobôd fyzických osôb pri spracúvaní osobných údajov by sa malo zabezpečiť v rámci celej Únie. Pokiaľ ide o spracúvanie osobných údajov na účely dodržania zákonnej povinnosti, plnenia úloh realizovaných vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi, členské štáty by mali mať možnosť zachovať alebo zaviesť vnútroštátne predpisy, ktorými by sa spresnilo uplatňovanie pravidiel stanovených v tomto nariadení. …

…

(45) Ak sa spracúvanie vykonáva v súlade so zákonnými povinnosťami, ktoré má prevádzkovateľ, alebo ak je spracúvanie potrebné na splnenie úlohy realizovanej vo verejnom záujme alebo z úradnej moci, základ pre spracúvanie by mal existovať v práve Únie alebo v práve členského štátu. Týmto nariadením sa nevyžaduje, aby pre každé jednotlivé spracúvanie existoval osobitný právny predpis. Za dostatočný možno považovať právny predpis, ktorý je základom pre viaceré spracovateľské operácie založené na zákonnej povinnosti, ktorá sa vzťahuje na prevádzkovateľa, alebo ak je spracúvanie nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci. Na základe práva Únie alebo práva členského štátu by sa tiež malo rozhodovať o účele spracúvania. Okrem toho by toto právo mohlo spresniť všeobecné podmienky tohto nariadenia, ktoré sa týkajú zákonnosti spracúvania osobných údajov, stanoviť špecifikácie na určenie prevádzkovateľa, typu osobných údajov, ktoré podliehajú spracúvaniu, príslušných dotknutých osôb, subjektov, ktorým môžu byť osobné údaje poskytnuté, obmedzenia účelu, doby uchovávania a iných opatrení s cieľom zabezpečiť zákonné a spravodlivé spracúvanie. …

…

(155) V práve členského štátu alebo v kolektívnych zmluvách vrátane podnikových kolektívnych zmlúv sa môžu stanoviť konkrétne pravidlá upravujúce spracúvanie osobných údajov zamestnancov v súvislosti so zamestnaním, najmä podmienky, za ktorých sa môžu na základe súhlasu zamestnanca spracúvať osobné údaje v súvislosti so zamestnaním, na účely prijatia do zamestnania, plnenia pracovnej zmluvy vrátane plnenia povinností vyplývajúcich z právnych predpisov alebo kolektívnych zmlúv, na účely riadenia, plánovania a organizácie práce, rovnosti a rozmanitosti na pracovisku, ochrany zdravia a bezpečnosti pri práci, ako aj na účely uplatňovania a využívania práv a výhod súvisiacich so zamestnaním na individuálnom alebo kolektívnom základe, a na účely ukončenia pracovného pomeru.

…“

4. Článok 5 GDPR s názvom „Zásady spracúvania osobných údajov“ stanovuje:

„1. Osobné údaje musia byť:

a) spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe (‚zákonnosť, spravodlivosť a transparentnosť‘);

b) získavané na konkrétne určené, výslovne uvedené a legitímne účely a nesmú sa ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s týmito účelmi; ďalšie spracúvanie na účely archivácie vo verejnom záujme, na účely vedeckého alebo historického výskumu či štatistické účely sa v súlade s článkom 89 ods. 1 nepovažuje za nezlučiteľné s pôvodnými účelmi (‚obmedzenie účelu‘);

c) primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú (‚minimalizácia údajov‘);

d) správne a podľa potreby aktualizované; musia sa prijať všetky potrebné opatrenia, aby sa zabezpečilo, že sa osobné údaje, ktoré sú nesprávne z hľadiska účelov, na ktoré sa spracúvajú, bezodkladne vymažú alebo opravia (‚správnosť‘);

e) uchovávané vo forme, ktorá umožňuje identifikáciu dotknutých osôb najviac dovtedy, kým je to potrebné na účely, na ktoré sa osobné údaje spracúvajú; osobné údaje sa môžu uchovávať dlhšie, pokiaľ sa budú spracúvať výlučne na účely archivácie vo verejnom záujme, na účely vedeckého alebo historického výskumu či na štatistické účely v súlade s článkom 89 ods. 1 za predpokladu prijatia primeraných technických a organizačných opatrení vyžadovaných týmto nariadením na ochranu práv a slobôd dotknutých osôb (‚minimalizácia uchovávania‘);

f) spracúvané spôsobom, ktorý zaručuje primeranú bezpečnosť osobných údajov, vrátane ochrany pred neoprávneným alebo nezákonným spracúvaním a náhodnou stratou, zničením alebo poškodením, a to prostredníctvom primeraných technických alebo organizačných opatrení (‚integrita a dôvernosť‘).

2. Prevádzkovateľ je zodpovedný za súlad s odsekom 1 a musí vedieť tento súlad preukázať (‚zodpovednosť‘).“

5. Článok 6 GDPR s názvom „Zákonnosť spracúvania“ uvádza:

„1. Spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z týchto podmienok:

a) dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov na jeden alebo viaceré konkrétne účely;

b) spracúvanie je nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba, alebo aby sa na základe žiadosti dotknutej osoby vykonali opatrenia pred uzatvorením zmluvy;

c) spracúvanie je nevyhnutné na splnenie zákonnej povinnosti prevádzkovateľa;

…

e) spracúvanie je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi;

f) spracúvanie je nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana, s výnimkou prípadov, keď nad takýmito záujmami prevažujú záujmy alebo základné práva a slobody dotknutej osoby, ktoré si vyžadujú ochranu osobných údajov, najmä ak je dotknutou osobu dieťa.

Písmeno f) prvého pododseku sa nevzťahuje na spracúvanie vykonávané orgánmi verejnej moci pri výkone ich úloh.

2. Členské štáty môžu zachovať alebo zaviesť špecifickejšie ustanovenia s cieľom prispôsobiť uplatňovanie pravidiel tohto nariadenia s ohľadom na spracúvanie v súlade s odsekom 1 písm. c) a e), a to presnejším stanovením osobitných požiadaviek na spracúvanie a stanovením ďalších opatrení, ktorými sa zaistí zákonné a spravodlivé spracúvanie, vrátane požiadaviek na iné osobitné situácie spracúvania stanovené v kapitole IX.

3. Základ pre spracúvanie uvedené v odseku 1 písm. c) a e) musí byť stanovený:

a) v práve Únie alebo

b) v práve členského štátu vzťahujúcom sa na prevádzkovateľa.

Účel spracúvania sa stanoví v tomto právnom základe, alebo pokiaľ ide o spracúvanie uvedené v odseku 1 písm. e), spracúvanie je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi. Uvedený právny základ môže obsahovať osobitné ustanovenia na prispôsobenie uplatňovania pravidiel tohto nariadenia, vrátane: všeobecných podmienok vzťahujúcich sa na zákonnosť spracúvania prevádzkovateľom; typov spracúvaných údajov; dotknutých osôb; subjektov, ktorým sa môžu osobné údaje poskytnúť, a účely, na ktoré ich možno poskytnúť; obmedzenia účelu; doby uchovávania; a spracovateľských operácií a postupov vrátane opatrení na zabezpečenie zákonného a spravodlivého spracúvania, ako napríklad tie na iné osobitné situácie spracúvania, ako sú stanovené v kapitole IX. Právo Únie alebo právo členského štátu musí spĺňať cieľ verejného záujmu a byť primerané sledovanému oprávnenému cieľu.

4. Ak spracúvanie na iné účely ako na účely, na ktoré boli osobné údaje získavané, nie je založené na súhlase dotknutej osoby alebo na práve Únie alebo práve členského štátu, ktoré predstavuje potrebné a primerané opatrenie v demokratickej spoločnosti na ochranu cieľov uvedených v článku 23 ods. 1, prevádzkovateľ na zistenie toho, či je spracúvanie na iný účel zlučiteľné s účelom, na ktorý boli osobné údaje pôvodne získané, okrem iného zohľadní:

a) akékoľvek prepojenie medzi účelmi, na ktoré sa osobné údaje získali, a účelmi zamýšľaného ďalšieho spracúvania;

b) okolnosti, za akých sa osobné údaje získali, najmä týkajúce sa vzťahu medzi dotknutými osobami a prevádzkovateľom;

c) povahu osobných údajov, najmä či sa spracúvajú osobitné kategórie osobných údajov podľa článku 9 alebo osobné údaje týkajúce sa uznania viny za trestné činy a priestupky podľa článku 10;

d) možné následky zamýšľaného ďalšieho spracúvania pre dotknuté osoby;

e) existenciu primeraných záruk, ktoré môžu zahŕňať šifrovanie alebo pseudonymizáciu.“

6. Článok 88 GDPR s názvom „Spracúvanie v súvislosti so zamestnaním“ stanovuje:

„1. Členské štáty môžu prostredníctvom právnych predpisov alebo kolektívnych dohôd stanoviť konkrétnejšie pravidlá na zabezpečenie ochrany práv a slobôd pri spracúvaní osobných údajov zamestnancov v súvislosti so zamestnaním, najmä na účely prijatia do zamestnania, plnenia pracovnej zmluvy vrátane plnenia povinností vyplývajúcich z právnych predpisov alebo kolektívnych zmlúv, ďalej na účely riadenia, plánovania a organizácie práce, rovnosti a rozmanitosti na pracovisku, ochrany zdravia a bezpečnosti pri práci, ochrany majetku zamestnávateľa alebo zákazníka, ako aj na účely uplatňovania a využívania práv a výhod súvisiacich so zamestnaním na individuálnom alebo kolektívnom základe, a na účely ukončenia pracovného pomeru.

2. Uvedené pravidlá zahŕňajú vhodné a osobitné opatrenia na zaistenie ľudskej dôstojnosti, oprávnených záujmov a základných práv dotknutej osoby s osobitným zameraním na transparentnosť spracúvania, prenos osobných údajov v rámci skupiny podnikov alebo podnikov zapojených do spoločnej hospodárskej činnosti a systémy monitorovania na pracovisku.

3. Každý členský štát oznámi Komisii do 25. mája 2018 ustanovenia svojich právnych predpisov, ktoré prijme podľa odseku 1, a bezodkladne oznámi aj všetky následné zmeny, ktoré sa ich týkajú.“

B. Vnútroštátne právo

1. Hessisches Datenschutz‑ und Informationsfreiheitsgesetz( )

7. V § 23 sa stanovuje:

„1. Osobné údaje zamestnancov sa smú spracúvať na účely pracovného pomeru, ak je to potrebné na rozhodnutie o vzniku pracovného pomeru alebo po vzniku pracovného pomeru na jeho vykonávanie, ukončenie alebo zrušenie, ako aj na uskutočňovanie interných služobných plánovacích, organizačných, sociálnych a personálnych opatrení. To platí aj na účely výkonu alebo plnenia práv a povinností týkajúcich sa zastupovania záujmov zamestnancov, ktoré vyplývajú zo zákona alebo z kolektívnej zmluvy, podnikovej alebo služobnej dohody (kolektívnej dohody).

…

4. Spracúvanie osobných údajov vrátane osobitných kategórií osobných údajov zamestnancov na účely pracovného pomeru je prípustné na základe kolektívnych dohôd. Strany dohody pritom musia dodržiavať článok 88 ods. 2 [GDPR].

(5) Prevádzkovateľ musí prijať vhodné opatrenia s cieľom zabezpečiť, aby boli dodržané najmä zásady spracúvania osobných údajov uvedené v článku 5 [GDPR].

…

8. Zamestnancami v zmysle tohto zákona sú:

…

(7) úradníci, na ktorých sa vzťahuje Hessisches Beamtengesetz[( )], sudcovia spolkovej krajiny, ako aj osoby vykonávajúce civilnú službu.

…“

2. Hessisches Beamtengesetz

8. V § 86 ods. 4 sa uvádza:

„Zamestnávateľ smie získavať osobné údaje o uchádzačkách, uchádzačoch, úradníčkach a úradníkoch, ako aj bývalých úradníčkach a úradníkoch, len pokiaľ je to potrebné na vznik, vykonávanie, ukončenie alebo zrušenie služobného pomeru alebo na uskutočňovanie organizačných, personálnych a sociálnych opatrení, najmä aj na účely personálneho plánovania a prideľovania práce alebo ak to dovoľuje právny predpis alebo kolektívna zmluva týkajúca sa verejnej služby…“

II. Skutkové okolnosti, konanie a prejudiciálne otázky

9. Verwaltungsgericht Wiesbaden (Správny súd Wiesbaden, Nemecko), ktorý pôvodne podal tento návrh na začatie prejudiciálneho konania, neposkytol podrobný opis skutkového stavu sporu, napadnutých ustanovení( ) ani priebehu konania, ale sústredil sa na vyslovenie svojich pochybností o právnych aspektoch.

10. Tento súd len konštatuje, že medzi účastníkmi konania „je sporné, či sa pri zavedení online vyučovania prostredníctvom systémov videokonferencií, okrem súhlasu rodičov maloletých žiakov alebo plnoletých žiakov, vyžaduje aj súhlas príslušných učiteľov, alebo či sa na spracúvanie údajov, ku ktorému dochádza v tomto prípade, vzťahuje § 23 ods. 1 prvá veta HDSIG…“.

11. Konkrétne má pochybnosti o tom, či § 23 ods. 1 prvá veta HDSIG predstavuje „konkrétnejšie pravidlo“ v súvislosti so spracúvaním údajov zamestnancov v zmysle článku 88 GDPR. Podľa jeho názoru toto ustanovenie nespĺňa požiadavky článku 88 ods. 2 GDPR, keďže:

– odkazuje len na „nevyhnutnosť“ ako právny základ spracúvania údajov zamestnancov, resp. úradníkov,

– každé spracúvanie údajov zamestnancov, ktoré prekračuje rámec úplne nevyhnutného podľa pracovnej zmluvy, sa musí vykonať po zvážení záujmov, ktoré prekračuje rámec samotnej nevyhnutnosti, ktorá nie je stanovená vo vnútroštátnom práve.

12. Vnútroštátny súd uvádza, že nesúhlasí s judikatúrou Bundesarbeitsgericht (Spolkový pracovný súd, Nemecko) týkajúcou sa zlučiteľnosti spolkového ekvivalentu § 23 ods. 1 prvej vety HDSIG( ) s článkom 88 GDPR.

13. Vnútroštátny súd sa naopak domnieva, že:

– zakotvenie zásady „nevyhnutnosti“ vo vnútroštátnych predpisoch nepredstavuje konkretizáciu požiadaviek obsiahnutých v článku 88 ods. 2 GDPR,

– ani odkaz na to, že prevádzkovateľ musí dodržiavať najmä zásady článku 5 GDPR, nespĺňa tieto požiadavky, pretože článok 5 neobsahuje žiadnu osobitnú ochranu zamestnancov,

– zákonodarca síce v zásade zohľadnil článok 88 ods. 2 GDPR, keďže vyžaduje jeho dodržiavanie v prípade kolektívnych dohôd, avšak ani v samotnom zákone, ani v odôvodnení príslušnej zákonnej úpravy sa nezaoberal týmto súborom požiadaviek uvedeným v odseku 2, resp. tieto požiadavky nesplnil.

14. Za týchto okolností tento súd kladie Súdnemu dvoru tieto prejudiciálne otázky:

„1. Má sa článok 88 ods. 1 [GDPR] vykladať v tom zmysle, že právny predpis musí na to, aby bol konkrétnejším pravidlom na zabezpečenie ochrany práv a slobôd pri spracúvaní osobných údajov zamestnancov v súvislosti so zamestnaním v zmysle uvedeného článku 88 ods. 1 [GDPR], spĺňať požiadavky kladené na také pravidlá podľa článku 88 ods. 2 [GDPR]?

2. Ak vnútroštátny predpis zjavne nespĺňa požiadavky podľa článku 88 ods. 2 [GDPR], možno ho napriek tomu ešte uplatniť?“

III. Konanie na Súdnom dvore

15. Návrh na začatie prejudiciálneho konania bol doručený do kancelárie Súdneho dvora 20. januára 2021.

16. Právomoc rozhodovať spor vo veci samej prešla s účinnosťou od 1. decembra 2021( ) na Verwaltungsgericht Frankfurt am Main (Správny súd Frankfurt nad Mohanom, Nemecko), na ktorom sa spor ďalej prejednával.

17. Písomné pripomienky predložili nemecká, rakúska a rumunská vláda, ako aj Európska komisia. Všetci menovaní, ako aj výbor pedagogických zamestnancov písomne odpovedali na otázky, ktoré im Súdny dvor položil pred pojednávaním.

18. Na pojednávaní, ktoré sa konalo 30. júna 2022, sa zúčastnili výbor pedagogických zamestnancov, Ministerstvo školstva a kultúry spolkovej krajiny Hesensko, nemecká vláda a Komisia.

IV. Analýza

A. Prípustnosť návrhu na začatie prejudiciálneho konania

19. Nemecká vláda vo svojich písomných pripomienkach namietala, že návrh na začatie prejudiciálneho konania je neprípustný, keďže vnútroštátny súd pri skúmaní, či sa na spracúvanie osobných údajov v súvislosti so šírením výučby v priamom prenose prostredníctvom videokonferencie vzťahuje § 23 ods. 1 HDSIG, nevysvetlil dôvody na vylúčenie možnosti, že takéto spracúvanie je povolené na základe súhlasu učiteľa.

20. Nemecká vláda na pojednávaní túto námietku čiastočne upravila, keď uznala, že Súdny dvor by musel rozhodnúť (teda že by návrh na začatie prejudiciálneho konania bol prípustný), ak by dotknutí učitelia so spracúvaním osobných údajov nesúhlasili.

21. V každom prípade Súdny dvor môže odmietnuť návrh na začatie prejudiciálneho konania podaný vnútroštátnym súdom len vtedy, ak je zjavné, že požadovaný výklad práva Únie nemá nijakú súvislosť s existenciou alebo predmetom sporu vo veci samej, pokiaľ ide o hypotetický problém alebo ak Súdny dvor nedisponuje skutkovými ani právnymi okolnosťami potrebnými na užitočnú odpoveď na otázky, ktoré sa mu položili.( )

22. Žiadna z týchto okolností nie je prítomná v tomto návrhu na začatie prejudiciálneho konania, v ktorom prevláda prezumpcia relevantnosti.( ) Predpoklad, na ktorom je založený, je, že nie všetci učitelia nevyhnutne súhlasia so spracúvaním svojich osobných údajov, a tak pretrváva záujem určiť súlad pravidla,( ) ktoré by bolo základom na takéto spracúvanie bez súhlasu dotknutej osoby, s právom Únie.

23. Prejudiciálna otázka sa obmedzuje práve na určenie toho, či právna úprava, ktorá by poskytovala základ na spracúvanie osobných údajov učiteľov bez ich súhlasu, spĺňa alebo nespĺňa požiadavky článku 88 ods. 1 a 2 GDPR. Dostatočná súvislosť medzi sporom a ustanoveniami práva Únie, ktorých výklad sa požaduje, je teda nepopierateľná.

B. O veci samej

1. Úvodné poznámky

24. Svojou prvou prejudiciálnou otázkou sa vnútroštátny súd snaží zistiť, či na to, aby právny predpis predstavoval „konkrétnejšie pravidlo“ v zmysle článku 88 ods. 1 GDPR, musí spĺňať požiadavky článku 88 ods. 2.

25. Znenie článku 88 GDPR vedie k záveru, že „konkrétnejšie pravidlá“ uvedené v jeho odseku 1 musia byť v súlade s požiadavkami odseku 2.

26. Podľa článku 88 ods. 2 GDPR musia „uvedené pravidlá“ (teda konkrétnejšie pravidlá uvedené v odseku 1, ktoré môžu zaviesť členské štáty) zahŕňať „vhodné a osobitné opatrenia“ na zaistenie dôstojnosti, oprávnených záujmov a základných práv zamestnancov. Tieto pravidlá by mali venovať osobitnú pozornosť transparentnosti spracúvania, prenosu údajov v rámci skupiny podnikov alebo združenia podnikov a systémom monitorovania na pracovisku.

27. Medzi oboma odsekmi článku 88 GDPR teda existuje zjavná súvislosť: druhý odsek záväzným spôsobom( ) spresňuje obsah konkrétnejších pravidiel, ktoré môžu členské štáty prijať v súvislosti so zamestnaním na základe prvého odseku.

28. Odpoveď na túto prejudiciálnu otázku teda nepredstavuje veľké ťažkosti: článok 88 GDPR sa musí vykladať v tom zmysle, že právny predpis, ktorý má predstavovať „konkrétnejšie pravidlo“ v zmysle jeho odseku 1, „musí spĺňať požiadavky“ – slovami vnútroštátneho súdu – odseku 2.

29. Je nepravdepodobné, že by vnútroštátny súd potreboval pomoc Súdneho dvora, aby dospel k tomuto záveru. Z tohto dôvodu by sa zrejme mal skutočný význam prvej prejudiciálnej otázky posudzovať s ohľadom na druhú prejudiciálnu otázku. V druhom prípade je otázkou, či možno ešte uplatniť vnútroštátny predpis, ktorý „nespĺňa požiadavky podľa článku 88 ods. 2“ GDPR( ).

30. Z tohto hľadiska (ktoré je uvedené v návrhu na začatie prejudiciálneho konania) sa diskusia rozširuje na otázku, či sa na právne predpisy členských štátov prijaté na základe článku 88 ods. 1 GDPR, ktoré však nie sú v súlade s článkom 88 ods. 2, môžu vzťahovať iné ustanovenia GDPR. Najmä ďalšie ustanovenia o otvorení tohto nariadenia, ako je článok 6 ods. 2.

31. Prepojenie týchto dvoch otázok vnútroštátneho súdu je také, že rakúska vláda a Komisia sa prikláňajú k tomu, aby sa na ne poskytla spoločná odpoveď, čo je prístup, s ktorým sa stotožňujem a ktorého sa budem držať.

2. Článok 88 GDPR a pedagogická verejná služba

32. Vnútroštátny súd vychádza z toho, že pokiaľ ide o vnútroštátne predpisy o ochrane údajov, učitelia zastúpení vo výbore pedagogických zamestnancov a Ministerstvo školstva a kultúry spolkovej krajiny Hesensko sú v pracovnoprávnom vzťahu.

33. Tento predpoklad je v súlade s HDSIG, ktorý pri úprave spracúvania osobných údajov zamestnancov považuje úradníkov podliehajúcich HBG, medzi ktorých patria učitelia, za zamestnancov v zmysle tohto zákona.

34. Vnútroštátny súd preto v žiadnom prípade nepochybuje o uplatniteľnosti článku 88 GDPR na zamestnancov spolkovej krajiny, ktorí vykonávajú pedagogickú verejnú službu.

35. Účastníci konania a ani vedľajší účastníci konania o prejudiciálnej otázke, ktorým Súdny dvor položil túto otázku, tento predpoklad nespochybnili. Všetci sa zhodujú na tom, že zamestnanie v pedagogickej verejnej službe nie je vyňaté z pôsobnosti článku 88 GDPR.

36. Zdá sa mi, že tento prístup je správny a možno ho použiť na analýzu rozsahu pôsobnosti článku 88 GDPR, keď odkazuje na „ochran[u]… pri spracúvaní osobných údajov zamestnancov v súvislosti so zamestnaním“.

37. Ako zdôraznila nemecká vláda, do kategórie zamestnancov v najširšom zmysle prirodzene patria učitelia, ktorí pracujú pre spolkovú krajinu a ktorých záujmy zastupuje výbor pedagogických zamestnancov.

38. Judikatúra Súdneho dvora týkajúca sa pracovnoprávneho vzťahu( ) a pojmu pracovníci v súvislosti s voľným pohybom týchto pracovníkov a neuplatniteľnosťou bývalého článku 39 ods. 4 Zmluvy o ES (teraz článok 45 ods. 4 ZFEÚ) na zamestnanie vo verejnej správe môže analogicky inšpirovať riešenie, ktoré navrhujem.

39. Podľa tejto judikatúry, ktorá zdôrazňuje funkčný aspekt vykonávanej úlohy:

– pojem verejná správa musí mať na tento účel jednotný výklad a uplatnenie v celej Európskej únii a nie je preto možné ho ponechať na uvážení členských štátov,

– článok 45 ods. 4 ZFEÚ sa vzťahuje na zamestnanie, ktoré zahŕňa priamu alebo nepriamu účasť na výkone verejnej moci a na plnení povinností, ktoré chránia všeobecné záujmy štátu a iných verejnoprávnych subjektov.( )

40. Vzhľadom na to, že učitelia s postavením úradníka sa ako takí nezúčastňujú na výkone verejnej moci v užšom slova zmysle, ale vykonávajú činnosť vzdelávacej povahy,( ) podobne ako iné súkromné subjekty alebo podniky, možno ich všeobecne, a teda aj v oblasti ochrany údajov, označiť za „zamestnancov“.

41. Inak by to znamenalo, ako zdôraznila rakúska vláda, nerovnaké zaobchádzanie so situáciami, ktoré sú v podstate rovnaké, ako sú situácie, ktoré z vecného hľadiska definujú postavenie učiteľov v oblasti verejnej služby a v oblasti súkromného sektora. To by bolo podľa tvrdenia Komisie o to závažnejšie, že pojem verejná služba nie je v rámci Únie harmonizovaný, čo má za následok, že v prípade odlišného výkladu by oblasť pôsobnosti článku 88 GDPR závisela od vnútroštátneho práva.

3. Ustanovenia o otvorení v GDPR

42. Ako zdôraznil generálny advokát Bobek vo veci Fashion ID,( ) nahradenie smernice 95/46/ES( ) prostredníctvom GDPR prinieslo predovšetkým zásadnú zmenu povahy právneho nástroja, ktorý upravuje ochranu fyzických osôb pri spracúvaní osobných údajov.

43. Týmto nástrojom už nie je smernica (teda predpis, ktorý ukladá povinnosť dosiahnuť výsledok, pričom výber formy a prostriedkov ponecháva na vnútroštátne orgány), ale nariadenie. Nariadenie, ktoré je záväzné v celom rozsahu a priamo uplatniteľné v každom členskom štáte, v zásade neumožňuje, pokiaľ to nie je výslovne povolené, aby vnútroštátne predpisy začlenili (alebo reprodukovali) jeho obsah.( )

44. Hoci GDPR prekročilo rámec harmonizácie, ktorú sledovala smernica 95/46,( ) univerzálnosť oblastí ľudskej činnosti, v ktorých vznikajú osobné údaje a ktorých spracúvanie treba chrániť( ), viedla normotvorcu k tomu, že povolil členským štátom:

– začleniť do svojho vnútroštátneho práva určité prvky GDPR, ak toto nariadenie stanoví, že jeho pravidlá sa majú spresniť alebo obmedziť právom členských štátov,

– zachovať alebo prijať vnútroštátne ustanovenia, ktoré môžu konkretizovať uplatňovanie určitých pravidiel GDPR( ).

45. Hoci cieľom GDPR je zabezpečiť konzistentné a jednotné uplatňovanie pravidiel ochrany v celej Únii a odstrániť prekážky tokov osobných údajov v rámci Únie,( ) európsky normotvorca musel uznať, ako uviedol generálny advokát Richard de la Tour, že skutočnosť je zložitejšia: GDPR nemohlo napriek svojej prierezovej povahe predvídať všetky možné dôsledky ochrany osobných údajov v oblastiach, ako je ochrana spotrebiteľa, hospodárska súťaž alebo zamestnanie.( )

46. To vysvetľuje, prečo GDPR dáva členským štátom možnosť stanoviť dodatočné prísnejšie alebo odchylné vnútroštátne pravidlá. Štáty disponujú mierou voľnej úvahy, pokiaľ ide o spôsob uplatňovania týchto ustanovení („ustanovenia o otvorení“).( )

47. Relatívne rozšírenie tohto typu ustanovení narušilo úplnú harmonizáciu ochrany osobných údajov.( ) Ako uznala Komisia, skutočnosť, že GDPR ukladá členským štátom povinnosť prijať právne predpisy v niektorých oblastiach, zatiaľ čo v iných oblastiach im dáva možnosť špecifikovať svoje pravidlá, viedla k „určitej miere fragmentácie, ktorá je spôsobená najmä rozsiahlym používaním voliteľných delegačných ustanovení“( ).

48. Ustanovenie, o ktoré konkrétne ide v tejto veci, je článok 88 ods. 1 GDPR. Je však potrebné stručne preskúmať jeho vzťah k článku 6 ods. 1 písm. b) a e) tohto nariadenia, čo sa urobilo na pojednávaní.

a) Článok 6 ods. 2 GDPR

49. V rámci kapitoly II GDPR, ktorá stanovuje „zásady“, ktorými sa riadi spracúvanie osobných údajov, a vytvára tak všeobecný režim systému, článok 6 vo svojom odseku 1 uvádza podmienky zákonnosti spracúvania. Konkrétne písmeno a) tohto odseku sa týka súhlasu dotknutej osoby a písmeno b) nevyhnutnosti spracúvania na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba.

50. Tieto podmienky sa dopĺňajú k podmienkam, ktoré vyplývajú zo zásad, ktoré stanovuje článok 5 GDPR všeobecne( ) a ktoré konkretizujú články 7 až 11 GDPR, pokiaľ ide o súhlas (článok 7, a v prípade maloletých článok 8), spracúvanie osobitných kategórií osobných údajov (článok 9) alebo osobných údajov týkajúcich sa uznania viny za trestné činy a priestupky (článok 10) a spracúvanie bez potreby identifikácie (článok 11).

51. K tomuto súboru zásad a pravidiel možno pridať „špecifickejšie ustanovenia“, ktoré prijali (alebo zachovali) členské štáty, aby v súlade s článkom 6 ods. 2 GDPR „prispôsobi[li] uplatňovanie pravidiel“ GDPR dvom konkrétnym spracúvaniam, ak sú nevyhnutné na:

– splnenie zákonnej povinnosti [článok 6 ods. 1 písm. c)],

– splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci [článok 6 ods. 1 písm. e)].( )

52. Toto „prispôsobenie“, ako sa dodáva v ustanovení, je dané „presnejším stanovením osobitných požiadaviek na spracúvanie a stanovením ďalších opatrení, ktorými sa zaistí zákonné a spravodlivé spracúvanie“ vrátane „požiadaviek na iné osobitné situácie spracúvania stanovené v kapitole IX“.

53. Táto posledná uvedená formulácia ustanovenia nie je taká jasná, ako by bolo žiaduce, pretože nie je ľahké vyvodiť, či umožňuje – opakujem, v prípade spracúvania uvedeného v článku 6 ods. 1 písm. c) a e) – úpravu iných špecifických situácií, ako sú tie, ktoré sú už uvedené v kapitole IX, alebo či sú tieto situácie jediné, ktoré GDPR pripúšťa na účel týchto dvoch spracúvaní.

b) Článok 88 ods. 1 GDPR

54. V každom prípade, opakujem, ustanovenie o otvorení, o ktoré ide v prejednávanej veci, pretože sa naň zameriava vnútroštátny súd, je ustanovenie článku 88 ods. 1 GDPR. Pripomínam, že podľa jeho znenia môžu členské štáty prostredníctvom právnych predpisov alebo kolektívnych dohôd stanoviť „konkrétnejšie pravidlá na zabezpečenie ochrany práv a slobôd pri spracúvaní osobných údajov zamestnancov v súvislosti so zamestnaním“.

55. Spracúvanie týchto osobných údajov sa môže uskutočniť najmä na účely:

– prijatia do zamestnania, plnenia pracovnej zmluvy,( ) riadenia, plánovania a organizácie práce, rovnosti a rozmanitosti na pracovisku, ochrany zdravia a bezpečnosti pri práci, ochrany majetku zamestnávateľa alebo zákazníka,

– uplatňovania a využívania práv a výhod súvisiacich so zamestnaním na individuálnom alebo kolektívnom základe a

– ukončenia pracovného pomeru.

56. Oprávnenie prijať tieto ustanovenia má za následok určitý „disharmonizujúci“ účinok. Vnútroštátne pravidlá, ktorých prijatie umožňuje článok 88 ods. 1 GDPR, môžu pre jeden alebo viacero členských štátov znamenať zavedenie rozdielov vo všeobecnom režime GDPR, ktoré idú nad rámec samotnej funkcie „prispôsobenia“, ktorú umožňuje článok 6 ods. 2 GDPR:

– článok 6 ods. 2 GDPR umožňuje členským štátom prispôsobiť uplatňovanie určitých ustanovení samotného GDPR,

– článok 88 ods. 1 GDPR naproti tomu umožňuje členským štátom stanoviť konkrétnejšie pravidlá týkajúce sa záruk. Ide teda o intenzívnejšiu činnosť v oblasti tvorby právnych predpisov, o ktorú nejde v prípade, ak ide len o prispôsobenie alebo zladenie uplatňovania ustanovení GDPR, ktorých obsah a rozsah pôsobnosti treba považovať za konečný.( )

4. Článok 23 HDSIG vo vzťahu k GDPR

57. V súlade s požiadavkou článku 88 ods. 3 GDPR Spolková republika Nemecko oznámila Komisii, že medzi ustanoveniami právnych predpisov, ktoré tento členský štát prijal na základe článku 88 ods. 1 GDPR, sa nachádza § 23 HDSIG.

58. Podľa môjho názoru, ktorý sa v tomto bode stotožňuje s vnútroštátnym súdom a Komisiou, § 23 HDSIG nespĺňa podmienku „stanoviť konkrétnejšie pravidlá“ na ochranu práv spojených so spracúvaním osobných údajov v súvislosti so zamestnaním, ako to vyžaduje článok 88 ods. 1 GDPR.

59. Tak § 23 ods. 1 prvá veta HDSIG, ako aj § 86 ods. 4 prvá veta HBG len stanovujú, že osobné údaje zamestnancov a úradníkov možno spracúvať na účely pracovného pomeru, ak je to „potrebné“ pre jeden z týchto cieľov:

– na rozhodnutie o vzniku uvedeného pomeru alebo po vzniku tohto pracovného pomeru na jeho vykonávanie, ukončenie alebo zrušenie, alebo

– na uskutočňovanie interných služobných plánovacích, organizačných, sociálnych a personálnych opatrení.

60. Prísne vzaté, obe ustanovenia podmieňujú spracúvanie osobných údajov zamestnancov samotnou skutočnosťou, že je potrebné na určité účely.

61. Nejde teda o veľmi odlišné ustanovenie od ustanovenia článku 6 ods. 1 písm. b) GDPR („spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď… je nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba, alebo aby sa na základe žiadosti dotknutej osoby vykonali opatrenia pred uzatvorením zmluvy“)( ).

62. Ustanovenie § 23 HDSIG by tak opakovalo podmienku, ktorú už článok 6 ods. 1 písm. b) GDPR vyžaduje pre všeobecnú zákonnosť spracúvania. Nedopĺňal by naopak žiadne konkrétne pravidlo na ochranu práv súvisiacich so spracúvaním osobných údajov v súvislosti so zamestnaním.( )

63. K rovnakému výsledku by sa dospelo, ak by sa na spornú pedagogickú činnosť vzťahoval článok 6 ods. 1 písm. e) GDPR (teda ak by bolo sporné spracúvanie nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci).( )

64. V prípade písmen c) a e) článok 6 ods. 2 GDPR umožňuje členským štátom, ako som už uviedol, zachovať alebo zaviesť „špecifickejšie ustanovenia…, a to presnejším stanovením osobitných požiadaviek na spracúvanie…“.

65. Trvám na tom, že § 23 HDSIG nepredstavuje „špecifickejšie ustanovenie“, ale umožňuje len spracúvanie údajov zamestnancov, ak je to nevyhnutné. Neupresňuje podmienky a spôsoby tohto prípadného spracúvania.

66. Nemecká vláda v rozpore s týmto stanoviskom tvrdí, že by bolo „nemožné a neuskutočniteľné“ podrobne zohľadniť rôznorodosť spracúvania údajov v súvislosti so zamestnaním. Podľa jej názoru by mal postačovať právny predpis, ktorý by bol základom na spracúvania, ktoré si nevyžadujú konkrétnejší právny základ.( )

67. Vzhľadom na už vyššie uvedené stačí odpovedať, že nech je táto úloha akokoľvek náročná, článok 88 ods. 3 GDPR je taxatívny tým, že stanovuje, že členské štáty oznámia Komisii „ustanovenia svojich právnych predpisov, ktoré prijm[ú] podľa odseku 1“ tohto článku. To znamená, že nie (základné) ustanovenia, na ktorých sú založené ustanovenia, ktoré stanovujú konkrétnejšie pravidlá, ale práve tieto konkrétnejšie pravidlá. Oznámenie sa musí vykonať individuálne a výslovne.( )

68. Stručne povedané, § 23 HDSIG len opakuje zmocnenie, ktoré už obsahuje článok 88 ods. 1 GDPR, alebo, inak povedané, otvára dvere pre ďalšie vytvorenie (alebo zachovanie) konkrétnejších pravidiel.

69. Okrem toho, že § 23 HDSIG sám osebe nestanovuje „konkrétnejšie pravidlá“ v zmysle článku 88 ods. 1 GDPR, neobsahuje ani „vhodné a osobitné opatrenia na zaistenie ľudskej dôstojnosti, oprávnených záujmov a základných práv dotknutej osoby“.

70. Vynechaním tohto druhu opatrení § 23 HDSIG nespĺňa podmienku stanovenú v článku 88 ods. 2 GDPR, aby bolo možné akceptovať právnu úpravu odlišujúcu členské štáty v oblasti pracovnoprávnych vzťahov.

71. Keďže návrh na začatie prejudiciálneho konania sa obmedzuje na preskúmanie právnych predpisov a nie kolektívnych dohôd, nebudem sa venovať týmto kolektívnym dohodám,( ) ale len právnym predpisom.

72. Pokiaľ ide o tieto predpisy, vnútroštátny zákonodarca sa nemôže obmedziť na to, že stanoví, ako to robí § 23 ods. 5 HDSIG, že prevádzkovateľ prijme vhodné opatrenia, aby boli dodržané „zásady spracúvania osobných údajov uvedené v článku 5“ GDPR. Toto ustanovenie je nadbytočné, pretože každé spracúvanie údajov musí v zásade a prinajmenšom spĺňať podmienky článku 5 GDPR.

73. Článok 88 ods. 2 GDPR sa týka stanovenia opatrení, ktoré v oblasti záruk zabezpečia náležitú zhodu s osobitnou povahou opatrení prijatých na základe článku 88 ods. 1 GDPR. V konečnom dôsledku je cieľom, aby osobitosť povolená týmto posledným uvedeným ustanovením bola v prípade potreby náležite zosúladená s príslušnou osobitnou povahou jeho záruk.

74. Ak by sa pripustilo, že § 23 HDSIG obsahuje osobitnú právnu úpravu v zmysle článku 88 ods. 1 GDPR, zopakovali by sa, pokiaľ ide o záruky požadované v odseku 2 tohto článku, záruky, ktoré všeobecne stanovuje článok 5 GDPR. V konečnom dôsledku by bola narušená nevyhnutná rovnováha medzi osobitosťou pravidiel povolených odsekom 1 a osobitosťou „ochranných“ opatrení, ktoré požaduje článok 88 ods. 2 GDPR.

75. Záverom sa domnievam, že § 23 HDSIG nemôže mať oporu v článku 88 GDPR. Na jednej strane preto, že nestanovuje konkrétnejšie pravidlá, na druhej strane preto, že len opakuje všeobecné záruky uvedené v článku 5 GDPR.

5. Je § 23 HDSIG napriek tomu uplatniteľný?

76. Zostáva zistiť, či by sa napriek vyššie uvedenému mohol § 23 HDSIG uplatniť vo vnútroštátnom právnom poriadku. Ako som už uviedol, zrejme práve toto v konečnom dôsledku zaujíma vnútroštátny súd.

77. Otázka spočíva v tom, či pravidlá schválené členskými štátmi na základe ustanovenia o otvorení podľa článku 88 ods. 1 GDPR, ktoré nespĺňajú požiadavky jeho článku 88 ods. 2, možno uplatniť na základe iných ustanovení GDPR.

78. Odpoveď, ktorej predpokladom je, že § 23 HDSIG neobsahuje žiadne „konkrétnejšie pravidlo“ v zmysle článku 88 GDPR,( ) môže mať dvojaký význam:

– § 23 HDSIG sa stáva irelevantným alebo nadbytočným, keďže ako taký neobsahuje osobitné ustanovenia, ktoré by zaručovali právo zamestnancov na ochranu ich osobných údajov v súvislosti so zamestnaním,

– v tejto oblasti (pracovné pomery) sa musia priamo a hlavne uplatňovať ustanovenia spoločného režimu GDPR.

79. Inou otázkou je, ako uviedla okrem Komisie aj rakúska a rumunská vláda, a ako všetci uznali na pojednávaní, či nič nebráni tomu, aby členský štát uplatnil buď iné ustanovenia GDPR, alebo podľa článku 6 ods. 2 tohto nariadenia vnútroštátne pravidlá upravujúce spracúvanie údajov zamestnancov spôsobom, ktorý prispieva k „prispôsobeniu uplatňovania“ GDPR.

V. Návrh

80. Vzhľadom na všetky vyššie uvedené úvahy navrhujem, aby Súdny dvor odpovedal Verwaltungsgericht Frankfurt am Main (Správny súd Frankfurt nad Mohanom, Nemecko), takto:

Článok 88 ods. 1 a 2 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov), sa má vykladať v tom zmysle, že:

právny predpis prijatý členským štátom predstavuje konkrétnejšie pravidlo na zabezpečenie ochrany práv a slobôd pri spracúvaní osobných údajov zamestnancov v súvislosti so zamestnaním len vtedy, ak spĺňa požiadavky stanovené v článku 88 ods. 2 nariadenia 2016/679,

ak tento právny predpis nespĺňa požiadavky stanovené v článku 88 ods. 2 nariadenia 2016/679, v prípade potreby sa uplatní len v rozsahu, v akom môže mať oporu v iných ustanoveniach tohto nariadenia alebo vnútroštátnych pravidlách týkajúcich sa prispôsobenia uvedených v článku 6 ods. 2 nariadenia.