Ochrona danych osobowych podczas wideokonferencji

Stan faktyczny

Niemiecki spór dotyczył zgodności z prawem uregulowania przewidującego transmitowanie lekcji na żywo w formie wideokonferencji, wprowadzonego do szkół bez ustanowienia wymogu uprzedniej zgody zainteresowanych nauczycieli. Sąd odsyłający stwierdził, iż zgodnie z wolą ustawodawcy to uregulowanie należy do kategorii „bardziej szczegółowych przepisów”, które państwa członkowskie mogą ustanowić zgodnie z art. 88 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz.Urz. UE L z 2016 r. Nr 119, s. 1; dalej: RODO). Sąd ten ma jednak wątpliwości co do zgodności tego uregulowania z wymogami ustanowionymi w art. 88 ust. 2 RODO.

Warunki określone w art. 88 ust. 2 RODO

Trybunał uznał, iż szeroka wykładnia art. 88 ust. 1 RODO, w myśl której „bardziej szczegółowe przepisy”, które państwa członkowskie mogą ustanowić w celu zapewnienia ochrony praw i wolności w przypadku przetwarzania danych osobowych pracowników w związku z zatrudnieniem, mogą dotyczyć wszystkich pracowników, niezależnie od charakteru stosunku prawnego łączącego ich z pracodawcą. W tych okolicznościach przetwarzanie danych osobowych nauczycieli przy transmitowaniu na żywo prowadzonych przez nich lekcji nauczania publicznego, takie jak rozpatrywane w postępowaniu głównym, jest objęte materialnym i podmiotowym zakresem stosowania art. 88 RODO.

Art. 88 ust. 2 RODO przewiduje, iż przepisy przyjęte na podstawie art. 88 ust. 1 RODO muszą obejmować odpowiednie i szczegółowe środki zapewniające osobie, której dane dotyczą, poszanowanie jej godności, prawnie uzasadnionych interesów i praw podstawowych, w szczególności pod względem przejrzystości przetwarzania, przekazywania danych osobowych w ramach grupy przedsiębiorstw lub grupy przedsiębiorców prowadzących wspólną działalność gospodarczą, oraz systemów monitorujących w miejscu pracy. Trybunał wskazał, iż z treści art. 88 RODO wynika zatem, iż art. 88 ust. 2 RODO reguluje zakres uznania państw członkowskich, które zamierzają przyjąć „bardziej szczegółowe przepisy” na podstawie art. 88 ust. 1 RODO. Tym samym, z jednej strony te przepisy nie mogą ograniczać się do powtórzenia przepisów RODO i powinny mieć na celu ochronę praw i wolności pracowników w przypadku przetwarzania ich danych osobowych w związku z zatrudnieniem oraz obejmować odpowiednie i szczegółowe środki zapewniające osobie, której dane dotyczą, poszanowanie jej godności, prawnie uzasadnionych interesów i praw podstawowych. Z drugiej strony szczególną uwagę należy zwrócić na przejrzystość przetwarzania, przekazywanie danych osobowych w ramach grupy przedsiębiorstw lub grupy przedsiębiorstw prowadzących wspólną działalność gospodarczą, oraz na systemy monitorujące w miejscu pracy.

Co się tyczy kontekstu, w jaki wpisuje się art. 88 RODO, TSUE wskazał, iż ten przepis należy interpretować w świetle motywu 8 RODO, zgodnie z którym w zakresie, w jakim rozporządzenie to dopuszcza doprecyzowanie lub zawężenie jego przepisów przez prawo państw członkowskich, państwa te mogą (o ile jest to niezbędne, by krajowe przepisy były spójne i zrozumiałe dla osób, do których mają zastosowanie) włączyć elementy RODO do swego prawa krajowego. Rozdziały II i III RODO ustanawiają, odpowiednio, zasady regulujące przetwarzanie danych osobowych oraz prawa osoby, której dane dotyczą, które powinny być przestrzegane przy każdym przetwarzaniu danych osobowych (wyrok TSUE z 24.2.2022 r., Valsts ieņēmumu dienests Przetwarzanie danych osobowych do celów podatkowych, C-175/20, Legalis, pkt 50). jeżeli chodzi o zasady dotyczące legalności przetwarzania, art. 6 RODO zawiera wyczerpujący i zamknięty wykaz przypadków, w których przetwarzanie danych osobowych może zostać uznane za zgodne z prawem.

Trybunał orzekł, iż art. 88 RODO należy interpretować w ten sposób, iż uregulowanie krajowe nie może stanowić „bardziej szczegółowego przepisu” w rozumieniu art. 88 ust. 1 RODO, o ile nie spełnia warunków określonych w art. 88 ust. 2 RODO.

Konsekwencje stwierdzenia niezgodności

Trybunał przypomniał, iż klauzule upoważniające przewidziane w RODO dają państwom członkowskim możliwość ustanowienia dodatkowych – bardziej restrykcyjnych lub wprowadzających odstępstwa – uregulowań krajowych, które pozostawiają tym państwom pewien zakres uznania co do sposobu, w jaki dane przepisy mogą być wprowadzane w życie. Trybunał wskazał, iż do sądu odsyłającego, który jako jedyny jest adekwatny do dokonania wykładni prawa krajowego, należy ocena, czy sporne uregulowanie spełnia warunki i ograniczenia określone w art. 88 RODO.

Rzecznik generalny stwierdził w pkt. 60–62 opinii, iż sporne niemieckie przepisy, które uzależniają przetwarzanie danych osobowych pracowników od warunku, aby przetwarzanie to było niezbędne dla określonych celów związanych z wykonywaniem stosunku pracy, wydają się powtarzać przesłankę ogólnej zgodności z prawem przetwarzania, o której mowa już w art. 6 ust. 1 lit. b) RODO, bez dodawania bardziej szczegółowego przepisu w rozumieniu art. 88 ust. 1 RODO. Zatem takie przepisy nie wydają się mieć treści normatywnej adekwatnej dla regulowanej dziedziny i odrębnej od przepisów ogólnych RODO. Trybunał stwierdził, iż gdyby sąd odsyłający uznał, iż sporne uregulowanie nie spełnia warunków i ograniczeń określonych w art. 88 RODO, powinien on, co do zasady, odstąpić od stosowania tych przepisów.

Trybunał przypomniał, iż zgodnie z zasadą pierwszeństwa prawa UE podlegające bezpośredniemu stosowaniu postanowienia Traktatów oraz akty wydawane przez instytucje Unii powodują bowiem w stosunku do prawa krajowego państw członkowskich nieskuteczność z mocy prawa – ze względu na samo ich wejście w życie – wszelkich sprzecznych z nimi przepisów prawa krajowego (wyrok TSUE z 4.2.2016 r., Ince, C-336/14, Legalis, pkt 52).

Trybunał stwierdził, iż do przetwarzania danych osobowych, takiego jak rozpatrywane w postępowaniu głównym, mogą mieć zastosowanie art. 6 ust. 1 lit. c) i art. 6 ust. 1 lit. e) RODO, na mocy których przetwarzanie danych osobowych jest zgodne z prawem, o ile jest ono niezbędne, odpowiednio, do wypełnienia obowiązku prawnego ciążącego na administratorze lub do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Trybunał orzekł już, iż zgodne z prawem przetwarzanie danych osobowych przez administratorów na podstawie art. 6 ust. 1 lit. e) RODO zakłada nie tylko, iż można je uznać za wykonujące zadanie w interesie publicznym, ale także iż przetwarzanie danych osobowych w celu wykonywania tego zadania opiera się na podstawie prawnej z art. 6 ust. 3 RODO (wyrok TSUE z 20.10.2022 r., Koalitsia „Demokratichna Bulgaria – Obedinenie”, C-306/21, Legalis, pkt 52).

Trybunał orzekł, iż art. 88 ust. 1 i 2 RODO należy interpretować w ten sposób, iż należy odstąpić od stosowania przepisów krajowych przyjętych w celu zapewnienia ochrony praw i wolności pracowników w zakresie przetwarzania ich danych osobowych w związku z zatrudnieniem, o ile te przepisy nie spełniają warunków i ograniczeń określonych w tym art. 88 ust. 1 i 2, chyba iż przepisy te stanowią podstawę prawną, o której mowa w art. 6 ust. 3 RODO, zgodną z przewidzianymi w nim wymogami.

Komentarz