C-65/23
ECLI:EU:C:2024:1051
- Súd
- Súdny dvor Európskej únie
- IČS
- 62023CJ0065
- Zdroj
- eur-lex.europa.eu ↗
62023CJ0065
ROZSUDOK
SÚDNEHO DVORA (ôsma komora)
z 19. decembra 2024 ( *1 )
„Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 88 ods. 1 a 2 – Spracúvanie údajov v rámci pracovnoprávnych vzťahov – Osobné údaje zamestnancov – Konkrétnejšie pravidlá stanovené členským štátom podľa tohto článku 88 – Povinnosť dodržiavať článok 5, článok 6 ods. 1, ako aj článok 9 ods. 1 a 2 tohto nariadenia – Spracúvanie na základe kolektívnej zmluvy – Miera voľnej úvahy zmluvných strán kolektívnej zmluvy, pokiaľ ide o nevyhnutnosť spracúvania osobných údajov, ktoré stanovuje – Rozsah súdneho preskúmania“
Vo veci C‑65/23,
ktorej predmetom je návrh na začatie prejudiciálneho konania podľa článku 267 ZFEÚ, podaný rozhodnutím Bundesarbeitsgericht (Spolkový pracovný súd, Nemecko) z 22. septembra 2022 a doručený Súdnemu dvoru 8. februára 2023, ktorý súvisí s konaním:
MK
proti
K GmbH,
SÚDNY DVOR (ôsma komora),
v zložení: predseda deviatej komory N. Jääskinen (spravodajca), vykonávajúci funkciu predsedu ôsmej komory, sudcovia M. Gavalec a I. Ziemele,
generálna advokátka: L. Medina,
tajomník: A. Calot Escobar,
so zreteľom na písomnú časť konania,
so zreteľom na pripomienky, ktoré predložili:
–
MK, v zastúpení: J. Zäh, Rechtsanwalt,
–
K GmbH, v zastúpení: B. Geck, Rechtsanwältin,
–
Írsko, v zastúpení: M. Browne, Chief State Solicitor, A. Joyce a M. Tierney, splnomocnení zástupcovia, za právnej pomoci D. Fennelly, BL,
–
talianska vláda, v zastúpení: G. Palmieri, splnomocnená zástupkyňa, za právnej pomoci G. Natale, avvocato dello Stato,
–
Európska komisia, v zastúpení: A. Bouchagiar, M. Heller a H. Kranenborg, splnomocnení zástupcovia,
so zreteľom na rozhodnutie prijaté po vypočutí generálnej advokátky, že vec bude prejednaná bez jej návrhov,
vyhlásil tento
Rozsudok
1
Návrh na začatie prejudiciálneho konania sa týka výkladu článku 82 ods. 1, ako aj článku 88 ods. 1 a 2 v spojení s článkom 5, článkom 6 ods. 1 a článkom 9 ods. 1 a 2 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) ( Ú. v. EÚ L 119, 2016, s. 1 , ďalej len „GDPR“).
2
Tento návrh bol podaný v rámci sporu medzi MK, fyzickou osobou, a spoločnosťou K GmbH, jej zamestnávateľom, vo veci náhrady nemajetkovej ujmy, ktorá bola tejto fyzickej osobe údajne spôsobená z dôvodu spracovania jej osobných údajov touto spoločnosťou na základe podnikovej kolektívnej zmluvy.
Právny rámec
Právo Únie
3
Odôvodnenia 8, 10 a 155 GDPR znejú takto:
„(8)
Ak sa v tomto nariadení stanovuje, že právo členského štátu má spresniť alebo obmedziť jeho pravidlá, členské štáty môžu, pokiaľ je to nevyhnutné pre súdržnosť a dosiahnutie lepšej zrozumiteľnosti vnútroštátnych predpisov pre osoby, na ktoré sa vzťahujú, začleniť prvky tohto nariadenia do svojho vnútroštátneho práva.
…
(10)
S cieľom zabezpečiť konzistentnú a vysokú úroveň ochrany fyzických osôb a odstrániť prekážky tokov osobných údajov v rámci [Európskej ú]nie, úroveň ochrany práv a slobôd fyzických osôb pri spracúvaní týchto údajov by mala byť rovnaká vo všetkých členských štátoch. Konzistentné a jednotné uplatňovanie pravidiel ochrany základných práv a slobôd fyzických osôb pri spracúvaní osobných údajov by sa malo zabezpečiť v rámci celej Únie. … Týmto nariadením sa tiež členským štátom dáva priestor na spresnenie svojich pravidiel vrátane pravidiel spracúvania osobitných kategórií osobných údajov (ďalej len ‚citlivé údaje‘). V danom rozsahu toto nariadenie nevylučuje právo členského štátu, ktorým sa vymedzujú okolnosti špecifických spracovateľských situácií vrátane presnejšieho stanovenia podmienok, za ktorých je spracúvanie osobných údajov v súlade so zákonom.
…
(155)
V práve členského štátu alebo v kolektívnych zmluvách vrátane podnikových kolektívnych zmlúv sa môžu stanoviť konkrétne pravidlá upravujúce spracúvanie osobných údajov zamestnancov v súvislosti so zamestnaním, najmä podmienky, za ktorých sa môžu na základe súhlasu zamestnanca spracúvať osobné údaje v súvislosti so zamestnaním, na účely prijatia do zamestnania, plnenia pracovnej zmluvy vrátane plnenia povinností vyplývajúcich z právnych predpisov alebo kolektívnych zmlúv, na účely riadenia, plánovania a organizácie práce, rovnosti a rozmanitosti na pracovisku, ochrany zdravia a bezpečnosti pri práci, ako aj na účely uplatňovania a využívania práv a výhod súvisiacich so zamestnaním na individuálnom alebo kolektívnom základe, a na účely ukončenia pracovného pomeru.“
4
Článok 4 tohto nariadenia, nazvaný „Vymedzenie pojmov“, stanovuje:
„Na účely tohto nariadenia:
1.
‚osobné údaje‘ sú akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby (ďalej len ‚dotknutá osoba‘);…
2.
‚spracúvanie‘ je operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov,… bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami;
…
7.
‚prevádzkovateľ‘ je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý sám alebo spoločne s inými určí účely a prostriedky spracúvania osobných údajov;…
…“
5
Kapitola II GDPR s názvom „Zásady“ obsahuje články 5 až 11.
6
Článok 5 tohto nariadenia, nazvaný „Zásady spracúvania osobných údajov“, stanovuje:
„1. Osobné údaje musia byť:
…
c)
primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú (‚minimalizácia údajov‘);
…
f)
spracúvané spôsobom, ktorý zaručuje primeranú bezpečnosť osobných údajov, vrátane ochrany pred neoprávneným alebo nezákonným spracúvaním a náhodnou stratou, zničením alebo poškodením, a to prostredníctvom primeraných technických alebo organizačných opatrení (‚integrita a dôvernosť‘).
2. Prevádzkovateľ je zodpovedný za súlad s odsekom 1 a musí vedieť tento súlad preukázať (‚zodpovednosť‘).“
7
Článok 6 tohto nariadenia, nazvaný „Zákonnosť spracúvania“, znie:
„1. Spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z týchto podmienok:
a)
dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov na jeden alebo viaceré konkrétne účely;
b)
spracúvanie je nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba, alebo aby sa na základe žiadosti dotknutej osoby vykonali opatrenia pred uzatvorením zmluvy;
c)
spracúvanie je nevyhnutné na splnenie zákonnej povinnosti prevádzkovateľa;
d)
spracúvanie je nevyhnutné, aby sa ochránili životne dôležité záujmy dotknutej osoby alebo inej fyzickej osoby;
e)
spracúvanie je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi;
f)
spracúvanie je nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana, s výnimkou prípadov, keď nad takýmito záujmami prevažujú záujmy alebo základné práva a slobody dotknutej osoby, ktoré si vyžadujú ochranu osobných údajov, najmä ak je dotknutou osobu dieťa.
Písmeno f) prvého pododseku sa nevzťahuje na spracúvanie vykonávané orgánmi verejnej moci pri výkone ich úloh.
2. Členské štáty môžu zachovať alebo zaviesť špecifickejšie ustanovenia s cieľom prispôsobiť uplatňovanie pravidiel tohto nariadenia s ohľadom na spracúvanie v súlade s odsekom 1 písm. c) a e), a to presnejším stanovením osobitných požiadaviek na spracúvanie a stanovením ďalších opatrení, ktorými sa zaistí zákonné a spravodlivé spracúvanie, vrátane požiadaviek na iné osobitné situácie spracúvania stanovené v kapitole IX.
3. Základ pre spracúvanie uvedené v odseku 1 písm. c) a e) musí byť stanovený:
a)
v práve Únie alebo
b)
v práve členského štátu vzťahujúcom sa na prevádzkovateľa.
… Uvedený právny základ môže obsahovať osobitné ustanovenia na prispôsobenie uplatňovania pravidiel tohto nariadenia, vrátane: všeobecných podmienok vzťahujúcich sa na zákonnosť spracúvania prevádzkovateľom; typov spracúvaných údajov; dotknutých osôb; subjektov, ktorým sa môžu osobné údaje poskytnúť, a účel[ov], na ktoré ich možno poskytnúť; obmedzenia účelu; doby uchovávania; a spracovateľských operácií a postupov vrátane opatrení na zabezpečenie zákonného a spravodlivého spracúvania, ako napríklad tie na iné osobitné situácie spracúvania, ako sú stanovené v kapitole IX. …
…“
8
Článok 9 tohto nariadenia, nazvaný „Spracúvanie osobitných kategórií osobných údajov“, znie:
„1. Zakazuje sa spracúvanie osobných údajov, ktoré odhaľujú rasový alebo etnický pôvod, politické názory, náboženské alebo filozofické presvedčenie alebo členstvo v odborových organizáciách, a spracúvanie genetických údajov, biometrických údajov na individuálnu identifikáciu fyzickej osoby, údajov týkajúcich sa zdravia alebo údajov týkajúcich sa sexuálneho života alebo sexuálnej orientácie fyzickej osoby.
2. Odsek 1 sa neuplatňuje, ak platí niektorá z týchto podmienok:
a)
dotknutá osoba vyjadrila výslovný súhlas so spracúvaním týchto osobných údajov na jeden alebo viacero určených účelov, s výnimkou prípadov, keď sa v práve Únie alebo v práve členského štátu stanovuje, že zákaz uvedený v odseku 1 nemôže dotknutá osoba zrušiť;
b)
spracúvanie je nevyhnutné na účely plnenia povinností a výkonu osobitných práv prevádzkovateľa alebo dotknutej osoby v oblasti pracovného práva a práva sociálneho zabezpečenia a sociálnej ochrany, pokiaľ je to povolené právom Únie alebo právom členského štátu alebo kolektívnou zmluvou podľa práva členského štátu poskytujúcimi primerané záruky ochrany základných práv a záujmov dotknutej osoby;
…“
9
V kapitole VIII GDPR s názvom „Prostriedky nápravy, zodpovednosť a sankcie“ článok 82 s názvom „Právo na náhradu škody a zodpovednosť“ v odseku 1 stanovuje:
„Každá osoba, ktorá utrpela majetkovú alebo nemajetkovú ujmu v dôsledku porušenia tohto nariadenia, má právo na náhradu utrpenej škody od prevádzkovateľa alebo sprostredkovateľa.“
10
V kapitole IX GDPR, nazvanej „Ustanovenia o osobitných situáciách spracúvania“, sa nachádza článok 88 s názvom „Spracúvanie v súvislosti so zamestnaním“, ktorý v odsekoch 1 a 2 stanovuje:
„1. Členské štáty môžu prostredníctvom právnych predpisov alebo kolektívnych dohôd stanoviť konkrétnejšie pravidlá na zabezpečenie ochrany práv a slobôd pri spracúvaní osobných údajov zamestnancov v súvislosti so zamestnaním, najmä na účely prijatia do zamestnania, plnenia pracovnej zmluvy vrátane plnenia povinností vyplývajúcich z právnych predpisov alebo kolektívnych zmlúv, ďalej na účely riadenia, plánovania a organizácie práce, rovnosti a rozmanitosti na pracovisku, ochrany zdravia a bezpečnosti pri práci, ochrany majetku zamestnávateľa alebo zákazníka, ako aj na účely uplatňovania a využívania práv a výhod súvisiacich so zamestnaním na individuálnom alebo kolektívnom základe, a na účely ukončenia pracovného pomeru.
2. Uvedené pravidlá zahŕňajú vhodné a osobitné opatrenia na zaistenie ľudskej dôstojnosti, oprávnených záujmov a základných práv dotknutej osoby s osobitným zameraním na transparentnosť spracúvania, prenos osobných údajov v rámci skupiny podnikov alebo podnikov zapojených do spoločnej hospodárskej činnosti a systémy monitorovania na pracovisku.“
11
Článok 99 GDPR s názvom „Nadobudnutie účinnosti a uplatňovanie“ znie takto:
„1. Toto nariadenie nadobúda účinnosť dvadsiatym dňom po jeho uverejnení v Úradnom vestníku Európskej únie .
2. Uplatňuje sa od 25. mája 2018.“
Nemecké právo
12
Ustanovenie § 26 Bundesdatenschutzgesetz (spolkový zákon o ochrane osobných údajov) z 30. júna 2017 (BGBl. 2017 I, s. 2097, ďalej len „BDSG“), nazvaný „Spracúvanie údajov na účely pracovnoprávneho vzťahu“, v odsekoch 1 a 4 stanovuje:
„1. Osobné údaje zamestnancov sa smú spracúvať na účely pracovnoprávneho vzťahu, ak je to potrebné na rozhodnutie o vzniku pracovnoprávneho vzťahu, alebo po vzniku pracovnoprávneho vzťahu na jeho vykonávanie alebo jeho skončenie, alebo na výkon práv či dodržiavanie povinností súvisiacich so zastupovaním záujmov zamestnancov, ktoré vyplývajú zo zákona alebo z nástroja upravujúceho kolektívne pracovnoprávne vzťahy, podnikovej alebo služobnej dohody (kolektívna zmluva). …
…
4. Spracúvanie osobných údajov vrátane osobitných kategórií osobných údajov zamestnancov na účely pracovnoprávneho vzťahu je prípustné na základe kolektívnych zmlúv. V tejto súvislosti musia účastníci kolektívneho vyjednávania dodržať článok 88 ods. 2 [GDPR].“
Spor vo veci samej a prejudiciálne otázky
13
Žalobca vo veci samej je zamestnancom žalovanej vo veci samej, spoločnosti založenej podľa nemeckého práva, a predsedá zamestnaneckej rade založenej v tejto spoločnosti.
14
Táto spoločnosť pôvodne používala na spracúvanie určitých osobných údajov svojich zamestnancov softvér nazvaný „SAP“ (ďalej len „softvér SAP“), najmä na účely účtovníctva, a v tejto súvislosti uzavrela so zamestnaneckou radou viacero podnikových kolektívnych zmlúv.
15
V priebehu roka 2017 skupina spoločností D, do ktorej patrí žalovaná vo veci samej (ďalej len „skupina D“), zaviedla v rámci celej tejto skupiny softvér nazvaný „Workday“ (ďalej len „softvér Workday“), ktorý funguje ako cloudový (cloud) jednotný systém správy údajov o zamestnancoch. V rámci toho žalovaná vo veci samej previedla rôzne osobné údaje svojich zamestnancov zo softvéru SAP na server materskej spoločnosti skupiny D, ktorý sa nachádza v Spojených štátoch.
16
Dňa 3. júla 2017 žalovaná vo veci samej uzavrela dohodu so zamestnaneckou radou, v ktorej sa stanovila tolerancia, pokiaľ ide o zavedenie softvéru Workday (ďalej len „podniková kolektívna dohoda o tolerancii“), ktorá okrem iného zakazovala, aby sa tento softvér počas skúšobnej fázy používal na správu ľudských zdrojov, do ktorej patrí napríklad aj hodnotenie zamestnancov. Podľa prílohy 2 k tejto dohode jediné kategórie údajov, ktoré mohli byť prenesené na účely naplnenia softvéru Workday, boli tieto údaje: osobné registračné číslo pridelené pracovníkovi v rámci skupiny D, jeho priezvisko, meno, telefónne číslo, dátum nástupu do funkcie v tejto spoločnosti, dátum jeho nástupu do funkcie v rámci skupiny D, miesto výkonu jeho práce, názov dotknutej spoločnosti, ako aj jej služobné telefónne číslo a e‑mailová adresa. Účinky tejto dohody boli predĺžené až do nadobudnutia platnosti konečnej podnikovej kolektívnej dohody uzavretej 23. januára 2019.
17
V tomto kontexte žalobca vo veci samej podal na Arbeitsgericht (Pracovný súd, Nemecko) a následne na Landesarbeitsgericht (Krajinský pracovný súd, Nemecko) žaloby, ktorými sa domáhal prístupu k určitým informáciám, výmazu údajov, ktoré sa ho týkajú, a priznania náhrady škody. Žalobca najmä tvrdil, že žalovaná vo veci samej previedla na server materskej spoločnosti osobné údaje, ktoré sa ho týkali, pričom niektoré z nich neboli uvedené v podnikovej kolektívnej dohode o tolerancii, konkrétne jeho súkromné kontaktné údaje, podrobnosti o jeho zmluve a odmene, číslo sociálneho poistenia a daňové identifikačné číslo, jeho štátna príslušnosť, ako aj jeho rodinný stav.
18
Keďže tento súd nevyhovel žalobcovi vo veci samej v plnom rozsahu, podal opravný prostriedok „Revision“ na Bundesarbeitsgericht (Spolkový pracovný súd, Nemecko), ktorý podal návrh na začatie prejudiciálneho konania. Konanie o návrhu tohto žalobcu na náhradu nemajetkovej ujmy, ktorá mu údajne vznikla z dôvodu protiprávneho spracovania jeho osobných údajov prostredníctvom softvéru Workday, a to počas obdobia od prvého dňa uplatňovania tohto nariadenia, teda od 25. mája 2018, do konca prvého trimestra 2019, sa ešte neskončilo.
19
Pokiaľ ide o protiprávnosť tohto spracovania, žalobca vo veci samej jednak tvrdí, že toto spracovanie nebolo nevyhnutné ani na účely pracovnoprávneho vzťahu, v súvislosti s ktorým žalovaná vo veci samej používala softvér SAP, ani na testovanie softvéru Workday, pretože na tento účel by stačilo použiť fiktívne údaje, a to by zaručilo, že v rámci skupiny D by sa nesprístupnili žiadne skutočné údaje. Aj za predpokladu, že podniková kolektívna dohoda o tolerancii by mohla predstavovať platný základ pre toto spracovanie, oprávnenie v nej uvedené bolo prekročené, pretože žalovaná previedla iné údaje, než sú údaje uvedené v prílohe 2 k tejto dohode. Dôkazné bremeno týkajúce sa preukázania toho, že konanie tejto žalovanej bolo v súlade s GDPR, prináleží žalovanej.
20
Žalovaná vo veci samej namieta, že predmetné spracúvanie spĺňa požiadavky GDPR, že dôkazné bremeno nesie žalobca vo veci samej a že nepreukázal ani existenciu nemajetkovej ujmy, ani príčinnú súvislosť medzi prípadným porušením tohto nariadenia a údajnou ujmou.
21
Vnútroštátny súd sa domnieva, že operácie napadnuté žalobcom vo veci samej patria do vecnej pôsobnosti GDPR, pretože predstavujú „spracúvanie“„osobných údajov“ tejto „dotknutej osoby“ v zmysle článku 4 bodov 1 a 2 tohto nariadenia. Okrem toho uvádza, že žalovaná vo veci samej má postavenie „prevádzkovateľa“ v zmysle článku 4 bodu 7 tohto nariadenia. Pokiaľ ide o jeho časovú pôsobnosť, zdôrazňuje, že spracúvanie síce začalo pred dňom, keď sa tento nástroj začal uplatňovať, ale že z dôvodu viacerých predĺžení pôvodných účinkov podnikovej kolektívnej dohody o tolerancii pokračovalo aj po tomto dni.
22
V tomto kontexte sa vnútroštátny súd v prvom rade pýta, či vnútroštátna norma, akou je § 26 ods. 4 BDSG, upravujúca spracúvanie osobných údajov na účely pracovnoprávnych vzťahov, ktorá v podstate stanovuje, že takéto spracúvanie vykonávané na základe kolektívnych zmlúv je zákonné pod podmienkou dodržania článku 88 ods. 2 GDPR, je zlučiteľná s týmto nariadením, alebo či na tento účel dotknuté spracúvanie musí byť tiež v súlade s ostatnými ustanoveniami tohto nariadenia. Tento súd sa prikláňa k názoru, že ak sa na spracúvanie osobných údajov zamestnancov vzťahuje „kolektívna zmluva“ v zmysle článku 88 GDPR, toto spracúvanie sa nemôže odchýliť od požiadaviek vyplývajúcich nielen z tohto článku 88, ale aj z článku 5, článku 6 ods. 1, ako aj z článku 9 ods. 1 a 2 tohto nariadenia, najmä pokiaľ ide o kritérium nevyhnutnosti spracúvania stanovené v týchto troch posledných článkoch.
23
V prípade kladnej odpovede na prvú otázku sa uvedený súd v druhom rade pýta, či zmluvné strany takej kolektívnej zmluvy disponujú voľnou úvahou, ktorá by mala byť predmetom len obmedzeného súdneho preskúmania, pokiaľ ide o posúdenie nevyhnutnosti dotknutého spracúvania v zmysle článku 5, článku 6 ods. 1, ako aj článku 9 ods. 1 a 2 GDPR. Podľa jeho názoru môže byť toto tvrdenie podporené argumentáciou, podľa ktorej sú tieto zmluvné strany úzko napojené na život podniku a vo všeobecnosti dosiahli spravodlivú rovnováhu medzi dotknutými záujmami. Judikatúra Súdneho dvora týkajúca sa iných aktov práva Únie, najmä rozsudkov zo 7. februára 1991, Nimz ( C‑184/89 , EU:C:1991:50 ), a z 20. marca 2003, Kutz‑Bauer ( C‑187/00 , EU:C:2003:168 ), však skôr naznačuje, že ustanovenia kolektívnej zmluvy patriace do pôsobnosti tohto práva nemôžu byť v rozpore s týmto právom a že v prípade potreby by sa takéto ustanovenia nemali uplatňovať.
24
V prípade kladnej odpovede na druhú otázku sa vnútroštátny súd v treťom rade pýta na kritériá posúdenia, na ktoré by mal prípadne obmedziť svoje súdne preskúmanie.
25
Štvrtá až šiesta otázka, ktoré tento súd pôvodne predložil, a následne ich vzal späť, sa v podstate týkali práva na náhradu nemajetkovej ujmy podľa článku 82 ods. 1 GDPR.
26
Za týchto podmienok Bundesarbeitsgericht (Spolkový pracovný súd) rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:
„1.
Má sa vnútroštátny právny predpis prijatý podľa článku 88 ods. 1 [GDPR] – ako napríklad § 26 ods. 4 [BDSG] – ktorý stanovuje, že spracúvanie osobných údajov – vrátane osobitných kategórií osobných údajov – zamestnancov na účely pracovnoprávneho vzťahu na základe kolektívnej zmluvy je prípustné za dodržania článku 88 ods. 2 GDPR, vykladať v tom zmysle, že musia byť vždy dodržané aj ostatné požiadavky GDPR – ako sú článok 5, článok 6 ods. 1 a článok 9 ods. 1 a 2 GDPR?
2.
V prípade kladnej odpovede na prvú otázku:
Môže sa vnútroštátne právne ustanovenie prijaté podľa článku 88 ods. 1 GDPR – ako je § 26 ods. 4 BDSG – vykladať v tom zmysle, že zmluvné strany kolektívnej zmluvy (v tomto prípade zmluvné strany podnikovej kolektívnej zmluvy) majú pri posudzovaní nevyhnutnosti spracúvania údajov v zmysle článku 5, článku 6 ods. 1 a článku 9 ods. 1 a 2 GDPR priestor na voľnú úvahu, ktorá podlieha len obmedzenému súdnemu preskúmaniu?
3.
V prípade kladnej odpovede na druhú otázku:
Na čo sa môže v takomto prípade obmedziť súdne preskúmanie?
4.
Má sa článok 82 ods. 1 GDPR vykladať v tom zmysle, že osoby majú právo na náhradu nemajetkovej ujmy už v prípade, ak boli ich osobné údaje spracúvané v rozpore s požiadavkami GDPR, alebo sa na priznanie práva na náhradu nemajetkovej ujmy vyžaduje, aby dotknutá osoba navyše preukázala, že jej vznikla nemajetková ujma v relevantnej výške?
5.
Má článok 82 ods. 1 GDPR charakter ustanovenia, ktorého cieľom je špeciálna, resp. generálna prevencia, a musí sa to zohľadniť pri určovaní výšky nemajetkovej ujmy, ktorú má na základe tohto ustanovenia nahradiť prevádzkovateľ, resp. sprostredkovateľ?
6.
Záleží pri určovaní výšky nemajetkovej ujmy, ktorá sa má nahradiť na základe článku 82 ods. 1 GDPR, na miere zavinenia prevádzkovateľa, resp. sprostredkovateľa? Môže sa najmä neexistencia alebo nízka miera zavinenia prevádzkovateľa, resp. sprostredkovateľa zohľadniť v jeho prospech?“
Konanie na Súdnom dvore
27
Rozhodnutím predsedu Súdneho dvora z 24. januára 2024 boli rozsudky zo 4. mája 2023, Österreichische Post (Nemajetková ujma súvisiaca so spracovaním osobných údajov) ( C‑300/21 , EU:C:2023:370 ); zo 14. decembra 2023, Nacionalna agencija za prichodite ( C‑340/21 , EU:C:2023:986 ); zo 14. decembra 2023, Gemeinde Ummendorf ( C‑456/22 , EU:C:2023:988 ); z 21. decembra 2023, Krankenversicherung Nordrhein ( C‑667/21 , EU:C:2023:1022 ), ako aj z 25. januára 2024MediaMarktSaturn ( C‑687/21 , EU:C:2024:72 ), doručené vnútroštátnemu súdu, aby spresnil, či vzhľadom na tieto rozsudky trvá na svojom návrhu na začatie prejudiciálneho konania, a to najmä v súvislosti so štvrtou až šiestou otázkou.
28
Rozhodnutím predsedu Súdneho dvora z 15. marca 2024 bolo konanie v tejto veci podľa článku 55 ods. 1 písm. b) Rokovacieho poriadku Súdneho dvora prerušené až do doručenia odpovede na takto položenú otázku.
29
Písomným oznámením doručeným Súdnemu dvoru 8. mája 2024 vnútroštátny súd informoval Súdny dvor, že berie späť svoju štvrtú až šiestu otázku, ale trvá na svojej prvej až tretej otázke.
O prípustnosti návrhu na začatie prejudiciálneho konania
30
Žalovaná vo veci samej tvrdí, že prvá až tretia otázka sú neprípustné z dôvodu, že nie sú relevantné na vyriešenie sporu, ktorý prejednáva vnútroštátny súd. V podstate uvádza, že žalobca vo veci samej nenapáda obsah podnikovej kolektívnej dohody uplatniteľnej v prejednávanej veci, ale prekročenie hraníc tejto dohody predmetným spracúvaním údajov, a v dôsledku toho predmetom tohto sporu nie je porušenie požiadaviek článku 88 GDPR, ktoré sa týkajú takej dohody. Navyše tieto otázky sú hypotetické v tom smere, že tomuto súdu umožňujú preskúmať zákonnosť tohto spracúvania celkovo, a nielen vo vzťahu ku skutočnostiam, ktoré napadol žalobca vo veci samej.
31
V tejto súvislosti podľa ustálenej judikatúry prináleží len vnútroštátnemu súdu, ktorému bol spor predložený a ktorý musí niesť zodpovednosť za prijaté súdne rozhodnutie, aby s prihliadnutím na konkrétne okolnosti veci posúdil tak nevyhnutnosť prejudiciálneho rozhodnutia na vydanie svojho rozsudku, ako aj relevantnosť otázok, ktoré predkladá Súdnemu dvoru a vo vzťahu ku ktorým platí domnienka relevantnosti. Preto, pokiaľ sa položená otázka týka výkladu alebo platnosti právneho predpisu Únie, Súdny dvor je v zásade povinný rozhodnúť, okrem prípadu, ak je zjavné, že požadovaný výklad nemá nijakú súvislosť s existenciou alebo predmetom sporu vo veci samej, ak ide o hypotetický problém alebo ak Súdny dvor nedisponuje skutkovými a právnymi podkladmi potrebnými na poskytnutie užitočnej odpovede na túto otázku (rozsudok z 20. júna 2024, Scalable Capital, C‑182/22 a C‑189/22 , EU:C:2024:531 , bod 18 , ako aj citovaná judikatúra).
32
V prejednávanej veci sa prvá až tretia otázka týkajú výkladu viacerých ustanovení práva Únie, konkrétne článku 88 GDPR v spojení s jeho článkami 5, 6 a 9. Okrem toho sa vnútroštátny súd domnieva, že obmedzenia stanovené podnikovou kolektívnou zmluvou uplatniteľnou v prejednávanej veci, ktoré kvalifikuje ako „kolektívnu zmluvu“ v zmysle tohto nariadenia, boli prekročené a že spracúvanie osobných údajov, o ktoré ide vo veci samej, sa musí preskúmať ako celok, pretože môže byť nezákonné z hľadiska ustanovení tak odseku 1, ako aj ods. 4 § 26 BDSG, ktorý výslovne odkazuje na článok 88 GDPR.
33
Z uvedeného vyplýva, že návrh na začatie prejudiciálneho konania je prípustný.
O prejudiciálnych otázkach
O prvej otázke
34
Svojou prvou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 88 ods. 1 a 2 GDPR vykladať v tom zmysle, že vnútroštátne ustanovenie, ktorého predmetom je spracúvanie osobných údajov na účely pracovnoprávnych vzťahov a ktoré bolo prijaté na základe článku 88 ods. 1 tohto nariadenia, má za účinok to, že zaväzuje svojich adresátov, aby dodržiavali nielen požiadavky vyplývajúce z článku 88 ods. 2 tohto nariadenia, ale aj požiadavky vyplývajúce z jeho článku 5, článku 6 ods. 1, ako aj článku 9 ods. 1 a 2.
35
V tejto súvislosti treba pripomenúť, že GDPR vedie k harmonizácii vnútroštátnych právnych predpisov týkajúcich sa ochrany osobných údajov, pričom táto harmonizácia je v zásade úplná. Určité ustanovenia tohto nariadenia však členským štátom umožňujú stanoviť dodatočné prísnejšie alebo odchylné vnútroštátne pravidlá, ktoré im ponechávajú mieru voľnej úvahy, pokiaľ ide o spôsob, akým sa môžu tieto ustanovenia vykonávať („ustanovenia o otvorení“) (pozri v tomto zmysle rozsudok z 30. marca 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21 , EU:C:2023:270 , bod 51 a citovanú judikatúru).
36
Článok 88 GDPR, ktorý sa týka spracúvania osobných údajov v rámci pracovnoprávnych vzťahov, stanovuje podmienky, za ktorých môžu členské štáty stanoviť „konkrétnejšie pravidlá“ zákonom alebo prostredníctvom kolektívnych zmlúv na zabezpečenie ochrany práv a slobôd zamestnancov, ktorých sa takéto spracúvanie týka. Odôvodnenie 155 tohto nariadenia okrem iného uvádza, že pojem „kolektívna zmluva“ v zmysle tohto článku 88 zahŕňa „podnikové kolektívne zmluvy“, o aké ide vo veci samej. Okrem toho články 5, 6 a 9 tohto nariadenia stanovujú zásady týkajúce sa spracúvania osobných údajov, podmienky zákonnosti tohto spracúvania a pravidlá týkajúce sa spracúvania osobitných kategórií takých údajov.
37
Podľa ustálenej judikatúry Súdneho dvora si znenie ustanovenia práva Únie, akým je článok 88 GDPR, ktoré neobsahuje žiadny výslovný odkaz na právo členských štátov s cieľom určiť jeho zmysel a pôsobnosť, v zásade vyžaduje v celej Únii autonómny a jednotný výklad, ktorý musí zohľadňovať najmä znenie dotknutého ustanovenia, ciele sledované týmto ustanovením a kontext, do ktorého patrí (pozri analogicky rozsudok zo 14. decembra 2023, Nacionalna agencija za prichodite, C‑340/21 , EU:C:2023:986 , bod 23 a citovanú judikatúru).
38
Po prvé zo znenia článku 88 GDPR vyplýva, že jeho odsek 1 vyžaduje, aby „konkrétnejšie pravidlá“ stanovené týmto ustanovením mali normatívny obsah, ktorý je vlastný regulovanému odvetviu a ktorý sa odlišuje od všeobecných pravidiel tohto nariadenia, zatiaľ čo jeho odsek 2 v súlade s cieľom harmonizácie, ktorý toto nariadenie sleduje, vymedzuje rámec pre mieru voľnej úvahy členských štátov, ktoré majú v úmysle prijať vnútroštátnu právnu úpravu na základe tohto odseku 1 (pozri v tomto zmysle rozsudok z 30. marca 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21 , EU:C:2023:270 , body 61 , 65 , 72 a 75 ).
39
Naproti tomu toto znenie výslovne neuvádza, či „konkrétnejšie pravidlá“, ktoré majú členské štáty možnosť prijať, musia smerovať len k dodržiavaniu požiadaviek uvedených v článku 88 ods. 2 GDPR alebo aj požiadaviek iných ustanovení tohto nariadenia, a tak spracúvanie osobných údajov vykonávané podľa takýchto pravidiel musí byť okrem toho v súlade s týmito poslednými uvedenými ustanoveniami.
40
Po druhé, pokiaľ ide o ciele článku 88 GDPR, Súdny dvor už rozhodol, že tento článok predstavuje „ustanovenie o otvorení“ a že možnosť, ktorú členským štátom priznáva odsek 1 tohto článku vzhľadom na osobitosti takéhoto spracúvania, možno vysvetliť najmä existenciou vzťahu podriadenosti medzi zamestnancom a zamestnávateľom. Spresnil, že v podmienkach stanovených v článku 88 ods. 2 tohto nariadenia sa odrážajú hranice voľnej úvahy ponechanej členským štátom, a to v tom zmysle, že túto neexistenciu harmonizácie možno pripustiť len vtedy, ak sú k pretrvávajúcim rozdielom pripojené osobitné a vhodné záruky, ktorých cieľom je chrániť práva a slobody zamestnancov pri spracúvaní ich osobných údajov v súvislosti s pracovnoprávnymi vzťahmi (pozri v tomto zmysle rozsudok z 30. marca 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21 , EU:C:2023:270 , body 52 , 53 a 73 ).
41
Okrem toho Súdny dvor zdôraznil, že keď členské štáty využívajú možnosť, ktorú im priznáva článok 88 GDPR, musia používať svoju voľnú úvahu za podmienok a v medziach stanovených ustanoveniami tohto nariadenia, a musia tak prijímať právne predpisy spôsobom, ktorý nezasahuje do obsahu a cieľov tohto nariadenia, ktoré spočívajú najmä v zaručení vysokej ochrany práv a slobôd dotknutých osôb pri takom spracúvaní, ako to vyplýva z jeho odôvodnenia 10. Pravidlá prijaté členským štátom na základe tohto článku 88 preto musia mať za cieľ ochranu práv a slobôd zamestnancov pri spracúvaní ich osobných údajov (pozri v tomto zmysle rozsudok z 30. marca 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21 , EU:C:2023:270 , body 54 , 59 , 62 a 74 ).
42
Aby však nedošlo k narušeniu všetkých týchto účelov, a najmä účelu zabezpečiť vysokú úroveň ochrany zamestnancov v prípade spracúvania ich osobných údajov v rámci pracovnoprávnych vzťahov, článok 88 GDPR nemožno vykladať v tom zmysle, že „konkrétnejšie pravidlá“, ktoré sú členské štáty oprávnené prijať na základe tohto článku, by mohli mať za cieľ alebo za následok obchádzanie povinností prevádzkovateľa alebo dokonca sprostredkovateľa vyplývajúcich z iných ustanovení tohto nariadenia.
43
Z uvedeného vyplýva, že článok 88 ods. 1 a 2 GDPR sa má vykladať v tom zmysle, že aj keď členské štáty vychádzajú z tohto článku s cieľom zaviesť do svojich príslušných vnútroštátnych právnych poriadkov „konkrétnejšie pravidlá“ prostredníctvom zákona alebo prostredníctvom kolektívnych zmlúv, musia byť splnené aj požiadavky vyplývajúce z iných ustanovení, ktoré sú osobitne uvedené v tejto otázke, a to článku 5, článku 6 ods. 1, ako aj článku 9 ods. 1 a 2 tohto nariadenia. To sa týka najmä dodržiavania kritéria nevyhnutnosti spracovania stanoveného týmito ustanoveniami, na ktoré sa vnútroštátny súd konkrétne pýta.
44
Po tretie kontext, do ktorého patrí článok 88 GDPR, potvrdzuje tento výklad.
45
Článok 88 GDPR sa totiž nachádza v kapitole IX, nazvanej „Ustanovenia o osobitných situáciách spracúvania“, zatiaľ čo články 5, 6 a 9 tohto nariadenia sa nachádzajú v kapitole II, nazvanej „Zásady“, ktorá má teda všeobecnejší rozsah. Okrem toho zo znenia tohto článku 6, ktorý v odsekoch 2 a 3 výslovne odkazuje na ustanovenia tejto kapitoly IX, jasne vyplýva, že podmienky prípustnosti stanovené v tomto článku 6 sú záväzné aj v súvislosti s „osobitnými situáciami“ upravenými v ustanoveniach tejto kapitoly IX.
46
Okrem toho z ustálenej judikatúry vyplýva, že každé spracúvanie osobných údajov musí byť v súlade so zásadami, ktorými sa riadi spracúvanie takýchto údajov, ako aj s právami dotknutej osoby, ktoré sú uvedené v kapitolách II a III nariadenia GDPR. Musí byť konkrétne v súlade so zásadami týkajúcimi sa spracúvania týchto údajov stanovenými v článku 5 tohto nariadenia a spĺňať podmienky zákonnosti spracúvania vymenované v článku 6 tohto nariadenia [pozri v tomto zmysle rozsudky z 2. marca 2023, Norra Stockholm Bygg, C‑268/21 , EU:C:2023:145 , bod 43 , a z 11. júla 2024, Meta Platforms Ireland (Žaloba v zastúpení), C‑757/22 , EU:C:2024:598 , bod 49 a citovanú judikatúru].
47
Pokiaľ ide konkrétne o vzťah medzi článkom 88 GDPR a ostatnými ustanoveniami tohto nariadenia, Súdny dvor najmä vzhľadom na odôvodnenie 8 tohto nariadenia uviedol, že bez ohľadu na prípadnú existenciu „konkrétnejších pravidiel“ prijatých členskými štátmi na základe článku 88 ods. 1 tohto nariadenia, každé spracúvanie osobných údajov musí byť v súlade s povinnosťami vyplývajúcimi z ustanovení kapitol II a III toho istého nariadenia, najmä z jeho článkov 5 a 6 (pozri v tomto zmysle rozsudok z 30. marca 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21 , EU:C:2023:270 , body 67 až 71 ).
48
Rovnako povinnosti vyplývajúce z článku 9 GDPR sa musia dodržiavať pri každom spracúvaní osobných údajov, na ktoré sa vzťahuje toto nariadenie, a to aj v prípade existencie „konkrétnejších pravidiel“ prijatých podľa článku 88 ods. 1 tohto nariadenia. Tento článok 9, ktorý upravuje spracúvanie osobitných kategórií údajov, ktoré vymenúva, sa totiž nachádza v kapitole II tohto nariadenia, podobne ako jeho články 5 a 6, ktorých požiadavky možno navyše kumulovať s požiadavkami vyplývajúcimi z článku 9 (pozri v tomto zmysle rozsudok z 21. decembra 2023, Krankenversicherung Nordrhein, C‑667/21 , EU:C:2023:1022 , body 73 , 77 až 79 ). Navyše tento výklad je v súlade s účelom tohto článku 9, ktorý spočíva v zabezpečení zvýšenej ochrany pred spracúvaním, ktoré z dôvodu osobitnej citlivosti údajov, na ktoré sa vzťahuje, môže predstavovať osobitne závažný zásah do základných práv dotknutých osôb (pozri v tomto zmysle rozsudok zo 4. októbra 2024, Lindenapotheke, C‑21/23 , EU:C:2024:846 , bod 89 a citovanú judikatúru).
49
Ak teda právo členského štátu obsahuje „konkrétnejšie pravidlá“ v zmysle článku 88 ods. 1 GDPR, spracúvanie osobných údajov, na ktoré sa vzťahujú tieto pravidlá, musí spĺňať nielen podmienky stanovené v odsekoch 1 a 2 tohto článku, ale aj podmienky stanovené v článkoch 5, 6 a 9 tohto nariadenia, ako ich vykladá judikatúra Súdneho dvora.
50
Vzhľadom na predchádzajúce dôvody treba na prvú otázku odpovedať tak, že článok 88 ods. 1 a 2 GDPR sa má vykladať v tom zmysle, že vnútroštátne ustanovenie, ktorého predmetom je spracúvanie osobných údajov na účely pracovnoprávnych vzťahov a ktoré bolo prijaté na základe článku 88 ods. 1 tohto nariadenia, musí mať za účinok to, že zaväzuje svojich adresátov, aby dodržiavali nielen požiadavky vyplývajúce z článku 88 ods. 2 tohto nariadenia, ale aj požiadavky vyplývajúce z jeho článku 5, článku 6 ods. 1, ako aj článku 9 ods. 1 a 2.
O druhej otázke
51
Svojou druhou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 88 ods. 1 GDPR vykladať v tom zmysle, že ak kolektívna zmluva patrí do pôsobnosti tohto ustanovenia, miera voľnej úvahy, ktorou disponujú zmluvné strany tejto zmluvy na určenie „nevyhnutnosti“ spracúvania osobných údajov v zmysle článku 5, článku 6 ods. 1, ako aj článku 9 ods. 1 a 2 tohto nariadenia, bráni vnútroštátnemu súdu vykonať v tejto súvislosti súdne preskúmanie v plnom rozsahu.
52
V prvom rade treba pripomenúť, ako sa zdôraznilo v bode 41 tohto rozsudku, že členské štáty, ktoré využijú možnosť, ktorú im priznáva článok 88 GDPR, musia využívať svoju voľnú úvahu za podmienok a v medziach stanovených ustanoveniami tohto nariadenia a dbať tak na to, aby „konkrétnejšie pravidlá“, ktoré začlenia do svojho vnútroštátneho právneho poriadku, neohrozovali obsah a ciele tohto nariadenia. Cieľom týchto pravidiel musí byť najmä zabezpečenie vysokej úrovne ochrany základných práv a slobôd zamestnancov v súvislosti so spracovaním ich osobných údajov v rámci pracovnoprávnych vzťahov.
53
Pokiaľ ide o rozsah súdneho preskúmania, ktoré možno vykonať vo vzťahu k takýmto konkrétnejším pravidlám, Súdny dvor už rozhodol, že prináleží vnútroštátnemu súdu rozhodujúcemu vo veci, ktorý má ako jediný právomoc vykladať vnútroštátne právo, aby posúdil, či uvedené pravidlá skutočne dodržiavajú podmienky a obmedzenia stanovené okrem iného v článku 88 GDPR. V súlade so zásadou prednosti práva Únie, ak tento súd dospeje k záveru, že dotknuté vnútroštátne ustanovenia nedodržiavajú tieto podmienky a obmedzenia, nesmie tieto ustanovenia uplatniť. V prípade neexistencie konkrétnejších pravidiel, ktoré spĺňajú požiadavky tohto článku 88, sa spracovanie osobných údajov v rámci pracovnoprávnych vzťahov riadi priamo týmto nariadením (pozri v tomto zmysle rozsudok z 30. marca 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21 , EU:C:2023:270 , body 80 , 82 až 84 a 89 ).
54
Tieto úvahy platia aj pre zmluvné strany kolektívnej zmluvy uvedenej v článku 88 GDPR, o akú ide vo veci samej. Ako totiž Európska komisia v podstate uviedla vo svojich písomných pripomienkach, zmluvné strany kolektívnej zmluvy musia disponovať rovnakou mierou voľnej úvahy, najmä pokiaľ ide o jej hranice, ako je miera voľnej úvahy priznaná členským štátom, keďže „konkrétnejšie pravidlá“ uvedené v odseku 1 tohto článku 88 môžu vyplývať okrem iného z kolektívnych zmlúv. V odôvodnení 155 tohto nariadenia sa tiež uvádza, že takéto pravidlá môžu byť stanovené právnymi predpismi členských štátov alebo kolektívnymi zmluvami vrátane „podnikových kolektívnych zmlúv“.
55
Bez ohľadu na mieru voľnej úvahy, ktorú článok 88 GDPR ponecháva zmluvným stranám kolektívnej zmluvy, sa tak súdne preskúmanie vykonávané vo vzťahu k takej zmluve, podobne ako preskúmanie týkajúce sa pravidla vnútroštátneho práva prijatého na základe tohto ustanovenia, musí bez akéhokoľvek obmedzenia týkať dodržiavania všetkých podmienok a obmedzení stanovených ustanoveniami tohto nariadenia pre spracúvanie osobných údajov.
56
Potrebné je ďalej spresniť, že takéto súdne preskúmanie musí konkrétne smerovať k overeniu „nevyhnutnej“ povahy spracúvania takýchto údajov v zmysle článkov 5, 6 a 9 GDPR. Inými slovami, článok 88 tohto nariadenia nemožno vykladať v tom zmysle, že zmluvné strany kolektívnej zmluvy disponujú voľnou úvahou, ktorá im umožňuje zaviesť „konkrétnejšie pravidlá“, ktoré by viedli k menej prísnemu uplatňovaniu, alebo dokonca k vylúčeniu tejto požiadavky nevyhnutnosti.
57
Ako to v podstate uviedli vnútroštátny súd a Írsko, je nesporné, že zmluvné strany kolektívnej zmluvy majú vo všeobecnosti dobré postavenie na to, aby posúdili, či spracovanie údajov je nevyhnutné v konkrétnom profesijnom rámci, pretože tieto strany obvykle majú rozsiahle znalosti, pokiaľ ide o potreby príslušnej oblasti zamestnanosti a dotknutého sektora činnosti. Takýto proces posudzovania však nesmie viesť k tomu, aby sa tieto strany dopúšťali kompromisov hospodárskej povahy alebo z praktických dôvodov, ktoré by mohli nenáležite ohroziť cieľ GDPR, ktorý spočíva v zabezpečení vysokej ochrany základných práv a slobôd zamestnancov v súvislosti so spracúvaním ich osobných údajov.
58
Výklad článku 88 GDPR, podľa ktorého vnútroštátne súdy nemôžu vykonať úplné súdne preskúmanie vo vzťahu ku kolektívnej zmluve, najmä s cieľom overiť, či odôvodnenia uvedené zmluvnými stranami tejto zmluvy preukazujú nevyhnutnosť spracúvania osobných údajov, ktorá z nej vyplýva, by preto nebol zlučiteľný s týmto nariadením vzhľadom na cieľ ochrany pripomenutý v predchádzajúcom bode tohto rozsudku.
59
Potrebné je napokon zdôrazniť, že v prípade, že vnútroštátny súd, ktorému bola vec predložená, po preskúmaní dospeje k zisteniu, že v niektorých ustanoveniach dotknutej kolektívnej zmluvy nie sú dodržané podmienky a obmedzenia stanovené v GDPR, v súlade s judikatúrou uvedenou v bode 53 tohto rozsudku nesmie tieto ustanovenia uplatniť.
60
Vzhľadom na predchádzajúce dôvody treba na druhú otázku odpovedať tak, že článok 88 ods. 1 GDPR sa má vykladať v tom zmysle, že ak kolektívna zmluva patrí do pôsobnosti tohto ustanovenia, miera voľnej úvahy, ktorou disponujú zmluvné strany tejto zmluvy na určenie „nevyhnutnosti“ spracúvania osobných údajov v zmysle článku 5, článku 6 ods. 1, ako aj článku 9 ods. 1 a 2 tohto nariadenia, nebráni vnútroštátnemu súdu vykonať v tejto súvislosti súdne preskúmanie v plnom rozsahu.
O tretej otázke
61
Vzhľadom na odpoveď poskytnutú na druhú otázku nie je potrebné odpovedať na tretiu otázku.
O trovách
62
Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.
Z týchto dôvodov Súdny dvor (ôsma komora) rozhodol takto:
1.
Článok 88 ods. 1 a 2 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),
sa má vykladať v tom zmysle, že:
vnútroštátne ustanovenie, ktorého predmetom je spracúvanie osobných údajov na účely pracovnoprávnych vzťahov a ktoré bolo prijaté na základe článku 88 ods. 1 tohto nariadenia, musí mať za účinok to, že zaväzuje svojich adresátov, aby dodržiavali nielen požiadavky vyplývajúce z článku 88 ods. 2 tohto nariadenia, ale aj požiadavky vyplývajúce z jeho článku 5, článku 6 ods. 1, ako aj článku 9 ods. 1 a 2.
2.
Článok 88 ods. 1 nariadenia 2016/679
sa má vykladať v tom zmysle, že:
ak kolektívna zmluva patrí do pôsobnosti tohto ustanovenia, miera voľnej úvahy, ktorou disponujú zmluvné strany tejto zmluvy na určenie „nevyhnutnosti“ spracúvania osobných údajov v zmysle článku 5, článku 6 ods. 1, ako aj článku 9 ods. 1 a 2 tohto nariadenia, nebráni vnútroštátnemu súdu vykonať v tejto súvislosti súdne preskúmanie v plnom rozsahu.
Podpisy
( *1 ) Jazyk konania: nemčina.