–

MK, edustajanaan J. Zäh, Rechtsanwalt,

–

K GmbH, edustajanaan B. Geck, Rechtsanwältin,

–

Irlanti, asiamiehinään M. Browne, Chief State Solicitor, A. Joyce ja M. Tierney, avustajanaan D. Fennelly, BL,

–

Italian hallitus, asiamiehenään G. Palmieri, avustajanaan G. Natale, avvocato dello Stato,

–

Euroopan komissio, asiamiehinään A. Bouchagiar, M. Heller ja H. Kranenborg,

1

Ennakkoratkaisupyyntö koskee luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1) 82 artiklan 1 kohdan ja 88 artiklan 1 ja 2 kohdan tulkintaa, kun niitä luetaan yhdessä asetuksen 5 artiklan, 6 artiklan 1 kohdan ja 9 artiklan 1 ja 2 kohdan kanssa.

2

Tämä pyyntö on esitetty asiassa, jossa vastakkain ovat luonnollinen henkilö MK ja hänen työnantajansa K GmbH ja joka koskee korvausta aineettomasta vahingosta, jota MK väittää hänelle aiheutuneen siitä, että kyseinen yhtiö käsitteli hänen henkilötietojaan paikallisen sopimuksen perusteella.

3

Yleisen tietosuoja-asetuksen johdanto-osan 8, 10 ja 155 perustelukappaleessa todetaan seuraavaa:

– –

– –

4

Yleisen tietosuoja-asetuksen 4 artiklassa, jonka otsikko on ”Määritelmät”, säädetään seuraavaa:

”Tässä asetuksessa tarkoitetaan

– –

– –”

5

Yleisen tietosuoja-asetuksen II luku, jonka otsikko on ”Periaatteet”, sisältää sen 5–11 artiklan.

6

Kyseisen asetuksen 5 artiklassa, jonka otsikko on ”Henkilötietojen käsittelyä koskevat periaatteet”, säädetään seuraavaa:

”1.   Henkilötietojen suhteen on noudatettava seuraavia vaatimuksia:

– –

– –

(2)   Rekisterinpitäjä vastaa siitä, ja sen on pystyttävä osoittamaan se, että 1 kohtaa on noudatettu (’osoitusvelvollisuus’).”

7

Mainitun asetuksen 6 artiklassa, jonka otsikko on ”Käsittelyn lainmukaisuus”, säädetään seuraavaa:

”(1)   Käsittely on lainmukaista ainoastaan jos ja vain siltä osin kuin vähintään yksi seuraavista edellytyksistä täyttyy:

Ensimmäisen alakohdan f alakohtaa ei sovelleta tietojenkäsittelyyn, jota viranomaiset suorittavat tehtäviensä yhteydessä.

2.   Jäsenvaltiot voivat pitää voimassa tai ottaa käyttöön yksityiskohtaisempia säännöksiä tässä asetuksessa vahvistettujen sääntöjen soveltamisen mukauttamiseksi sellaisessa käsittelyssä, joka tehdään 1 kohdan c ja e alakohdan noudattamiseksi määrittämällä täsmällisemmin tietojenkäsittely- ja muita toimenpiteitä koskevat erityiset vaatimukset, joilla varmistetaan laillinen ja asianmukainen tietojenkäsittely muun muassa muissa erityisissä käsittelytilanteissa siten kuin IX luvussa säädetään.

3.   Edellä olevan 1 kohdan c ja e alakohdassa tarkoitetun käsittelyn perustasta on säädettävä joko

– – Kyseinen käsittelyn oikeusperuste voi sisältää erityisiä säännöksiä, joilla mukautetaan tämän asetuksen sääntöjen soveltamista, muun muassa: yleisiä edellytyksiä, jotka koskevat rekisterinpitäjän suorittaman tietojenkäsittelyn lainmukaisuutta; käsiteltävien tietojen tyyppiä; asianomaisia rekisteröityjä, yhteisöjä joille ja tarkoituksia joihin henkilötietoja voidaan luovuttaa; käyttötarkoitussidonnaisuutta; säilytysaikoja; sekä käsittelytoimia ja ‑menettelyjä, mukaan lukien laillisen ja asianmukaisen tietojenkäsittelyn varmistamiseen tarkoitetut toimenpiteet, kuten toimenpiteet muita IX luvussa esitettyjä erityisiä tietojenkäsittelytilanteita varten. – –

– –”

8

Saman asetuksen 9 artiklan, jonka otsikko on ”Erityisiä henkilötietoryhmiä koskeva käsittely”, sanamuoto on seuraava:

”1.   Sellaisten henkilötietojen käsittely, joista ilmenee rotu tai etninen alkuperä, poliittisia mielipiteitä, uskonnollinen tai filosofinen vakaumus tai ammattiliiton jäsenyys sekä geneettisten tietojen käsittely, biometristen tietojen käsittely henkilön yksiselitteistä tunnistamista varten tai terveyttä koskevien tietojen taikka luonnollisen henkilön seksuaalista käyttäytymistä ja suuntautumista koskevien tietojen käsittely on kiellettyä.

2.   Edellä olevaa 1 kohtaa ei sovelleta, jos sovelletaan jotakin seuraavista:

– –”

9

Yleisen tietosuoja-asetuksen VIII lukuun, jonka otsikko on ”Oikeussuojakeinot, vastuu ja seuraamukset”, sisältyvän 82 artiklan, jonka otsikko on ”Vastuu ja oikeus korvauksen saamiseen”, 1 kohdassa säädetään seuraavaa:

”Jos henkilölle aiheutuu tämän asetuksen rikkomisesta aineellista tai aineetonta vahinkoa, hänellä on oikeus saada rekisterinpitäjältä tai henkilötietojen käsittelijältä korvaus aiheutuneesta vahingosta.”

10

Yleisen tietosuoja-asetuksen IX lukuun, jonka otsikko on ”Tietojenkäsittelyyn liittyviä erityistilanteita koskevat säännökset”, sisältyvän 88 artiklan, jonka otsikko on ”Käsittely työsuhteen yhteydessä”, 1 ja 2 kohdassa säädetään seuraavaa:

”1.   Jäsenvaltiot voivat antaa lakisääteisesti tai työehtosopimuksilla yksityiskohtaisempia sääntöjä työntekijöiden henkilötietojen käsittelystä työsuhteen yhteydessä oikeuksien ja vapauksien suojan varmistamiseksi, erityisesti palvelukseenottamista tai työsopimuksen täytäntöönpanoa varten, mukaan lukien lakisääteisten tai työehtosopimukseen perustuvien velvollisuuksien täyttäminen, työn johto, työn suunnittelu ja organisointi, yhdenvertaisuus ja monimuotoisuus työpaikalla, työterveys ja ‑turvallisuus, työnantajan tai asiakkaan omaisuuden suoja, sekä työntekoon liittyvien oikeuksien ja etuuksien yksilöllistä tai kollektiivista käyttöä tai nautintaa sekä työsuhteen päättämistä varten.

2.   Näihin sääntöihin on sisällytettävä asianmukaisia ja erityisiä toimenpiteitä rekisteröidyn ihmisarvon, oikeutettujen etujen ja perusoikeuksien suojaamiseksi siten, että erityistä huomiota kiinnitetään tietojenkäsittelyn läpinäkyvyyteen, henkilötietojen siirtoihin saman konsernin tai samaa taloudellista toimintaa harjoittavan yritysryhmän sisällä ja työpaikalla käytössä oleviin valvontajärjestelmiin.”

11

Yleisen tietosuoja-asetuksen 99 artiklassa, jonka otsikko on ”Voimaantulo ja soveltaminen”, säädetään seuraavaa:

”1.   Tämä asetus tulee voimaan kahdentenakymmenentenä päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.

2.   Sitä sovelletaan 25 päivästä toukokuuta 2018.”

12

Liittovaltion tietosuojalain (Bundesdatenschutzgesetz), joka on annettu 30.6.2017 (BGBl. 2017 I, s. 2097; jäljempänä BDSG), 26 §:ssä, jonka otsikko on ”Käsittely työsuhteen yhteydessä”, 1 ja 4 momentissa säädetään seuraavaa:

”(1)   Työntekijöiden henkilötietoja voidaan käsitellä työsuhteen yhteydessä, jos se on tarpeen, kun päätetään työsuhteen perustamisesta, tai työsuhteen perustamisen jälkeen työsuhteen täytäntöönpanemiseksi tai lopettamiseksi taikka lakiin tai työehtosopimukseen, yrityskohtaiseen sopimukseen tai virkasopimukseen (kollektiivisopimus) perustuvien, työntekijöiden etujen edustamista koskevien oikeuksien käyttämiseksi ja velvoitteiden noudattamiseksi. – –

– –

(4)   Työntekijöiden henkilötietojen, mukaan lukien erityiset henkilötietoryhmät, käsittely on sallittua työsuhteen yhteydessä työehtosopimusten perusteella. Neuvotteluosapuolten on tällöin noudatettava yleisen tietosuoja-asetuksen 88 artiklan 2 kohtaa.”

13

Pääasian valittaja työskentelee pääasian vastapuolen, joka on Saksan oikeuden mukaan perustettu yhtiö, palveluksessa, ja hän toimii kyseiseen yhtiöön perustetun työpaikkaneuvoston puheenjohtajana.

14

Mainittu yhtiö käsitteli alun perin työntekijöidensä tiettyjä henkilötietoja käyttämällä SAP-nimistä ohjelmistoa (jäljempänä SAP-ohjelmisto) muun muassa kirjanpitotarkoituksiin, ja se teki työpaikkaneuvostonsa kanssa useita paikallisia sopimuksia tältä osin.

15

Vuonna 2017 konsernissa D, johon pääasian vastapuoli kuuluu (jäljempänä D‑konserni), otettiin konsernin laajuisesti keskitettynä henkilöstötietojen hallintajärjestelmänä käyttöön pilvipalveluna (cloud) toimiva Workday-niminen ohjelmisto (jäljempänä Workday-ohjelmisto). Tässä yhteydessä pääasian vastapuoli siirsi työntekijöidensä eri henkilötietoja SAP-ohjelmistosta D‑konsernin Yhdysvalloissa sijaitsevan emoyhtiön palvelimelle.

16

Pääasian vastapuoli ja sen työpaikkaneuvosto tekivät 3.7.2017 sopimuksen, jossa vahvistettiin Workday-ohjelmiston käyttöönoton salliminen (jäljempänä ohjelmiston käyttöönoton sallimista koskeva paikallinen sopimus) ja jossa kiellettiin muun muassa kyseisen ohjelmiston käyttö henkilöstöresurssien hallintaan, kuten työntekijän arviointiin, kokeiluvaiheen aikana. Kyseisen sopimuksen liitteen 2 mukaan ainoat tietoryhmät, jotka voitiin siirtää Workday-ohjelmistoon syöttämistä varten, olivat työntekijälle D-konsernissa annettu henkilöstönumero, työntekijän sukunimi, etunimi ja puhelinnumero, hänen työskentelynsä aloittamispäivä asianomaisessa yhtiössä, hänen työskentelynsä aloittamispäivä D-konsernissa, hänen työpaikkansa, asianomaisen yhtiön nimi sekä työntekijän puhelinnumero ja sähköpostiosoite. Mainitun sopimuksen voimassaoloa jatkettiin 23.1.2019 tehdyn lopullisen paikallisen sopimuksen voimaantuloon saakka.

17

Pääasian valittaja nosti tässä tilanteessa kanteen alueellisesti toimivaltaisessa Arbeitsgerichtissä (työoikeudellisten asioiden alioikeus, Saksa), minkä jälkeen hän valitti alueellisesti toimivaltaiseen Landesarbeitsgerichtiin (osavaltion työoikeudellisten asioiden ylioikeus, Saksa) ja vaati, että hänelle annetaan oikeus tutustua tiettyihin tietoihin, häntä koskevat tiedot poistetaan ja hänelle maksetaan korvausta. Kyseinen pääasian valittaja väitti muun muassa, että pääasian vastapuoli oli siirtänyt emoyhtiön palvelimelle häntä koskevia henkilötietoja, joista joitakin ei ollut mainittu ohjelmiston käyttöönoton sallimista koskevassa paikallisessa sopimuksessa, kuten erityisesti hänen yksityiset yhteystietonsa, hänen sopimuksensa ja palkkauksensa yksityiskohdat, hänen sosiaaliturvanumeronsa ja verotunnistenumeronsa sekä hänen kansalaisuutensa ja siviilisäätynsä.

18

Koska pääasian valittajan vaatimuksia ei hyväksytty kokonaisuudessaan, hän teki Revision-valituksen Bundesarbeitsgerichtiin (liittovaltion ylin työtuomioistuin, Saksa), joka on ennakkoratkaisua pyytänyt tuomioistuin. Ainoa vielä vireillä oleva vaatimus on pääasian valittajan yleisen tietosuoja-asetuksen perusteella esittämä korvausvaatimus aineettomasta vahingosta, jota hänelle on aiheutunut hänen henkilötietojensa lainvastaisesta käsittelystä Workday-ohjelmistolla ajalla, joka alkoi ensimmäisenä päivänä, jona kyseistä asetusta alettiin soveltaa, eli 25.5.2018, ja päättyi vuoden 2019 ensimmäisen vuosineljänneksen loppuun.

19

Pääasian valittaja väittää yhtäältä tästä tietojenkäsittelyn lainvastaisuudesta, ettei käsittely ollut tarpeen sen työsuhteen kannalta, jota varten pääasian vastapuoli käytti tuolloin SAP-ohjelmistoa, eikä Workday-ohjelmiston kokeilun kannalta, sillä fiktiivisten tietojen käyttö olisi riittänyt tähän tarkoitukseen ja taannut sen, ettei D-konsernissa olisi ollut saatavilla mitään todellisia tietoja. Toisaalta on niin, että vaikka oletettaisiin, että ohjelmiston käyttöönoton sallimista koskeva paikallinen sopimus voisi olla pätevä perusta mainitulle käsittelylle, sopimukseen sisältyvä valtuutus on ylitetty, koska pääasian vastapuoli on toimittanut muita kuin kyseisen sopimuksen liitteessä 2 määrättyjä tietoja. Viimein on niin, että pääasian vastapuolella on todistustaakka siitä, että sen toiminta on yleisen tietosuoja-asetuksen mukaista.

20

Pääasian vastapuoli väittää, että kyseessä oleva käsittely on yleisen tietosuoja-asetuksen vaatimusten mukaista, todistustaakka on pääasian valittajalla eikä tämä ole osoittanut aineettoman vahingon olemassaoloa eikä syy-yhteyttä kyseisen asetuksen mahdollisen rikkomisen ja väitetyn vahingon välillä.

21

Ennakkoratkaisua pyytänyt tuomioistuin katsoo, että pääasian valittajan riitauttamat toimet kuuluvat yleisen tietosuoja-asetuksen aineelliseen soveltamisalaan, koska niissä on kyse kyseisen ”rekisteröidyn””henkilötietojen””käsittelystä” kyseisen asetuksen 4 artiklan 1 ja 2 alakohdassa tarkoitetussa merkityksessä. Lisäksi se katsoo, että pääasian valittajaa on pidettävä mainitun asetuksen 4 artiklan 7 alakohdassa tarkoitettuna ”rekisterinpitäjänä”. Yleisen tietosuoja-asetuksen ajallisesta soveltamisalasta se korostaa, että käsittely on tosin alkanut ennen päivää, jolloin kyseistä säädöstä alettiin soveltaa, mutta se on kuitenkin jatkunut sen jälkeen siitä syystä, että ohjelmiston käyttöönoton sallimista koskevan paikallisen sopimuksen alkuperäisiä vaikutuksia oli jatkettu useasti.

22

Ennakkoratkaisua pyytänyt tuomioistuin pohtii tässä yhteydessä ensinnäkin sitä, onko kansallinen oikeussääntö, jolla säännellään henkilötietojen käsittelyä työsuhteita varten ja jossa säädetään lähinnä, että tällainen työehtosopimusten perusteella tapahtuva käsittely on lainmukaista, mikäli yleisen tietosuoja-asetuksen 88 artiklan 2 kohtaa ja BDSG:n 26 §:n 4 momenttia noudatetaan, kyseisen asetuksen mukainen vai onko kyseessä olevan käsittelyn tätä varten oltava myös asetuksen muiden säännösten mukaista. Kyseinen tuomioistuin on taipuvainen katsomaan, että kun työntekijöiden henkilötietojen käsittelyyn sovelletaan yleisen tietosuoja-asetuksen 88 artiklassa tarkoitettua ”työehtosopimusta”, tämä käsittely ei voi poiketa vaatimuksista, jotka perustuvat paitsi kyseiseen 88 artiklaan myös kyseisen asetuksen 5 artiklaan, 6 artiklan 1 kohtaan sekä 9 artiklan 1 ja 2 kohtaan, etenkään näissä kolmessa viimeksi mainitussa artiklassa säädetyn käsittelyn tarpeellisuutta koskevan kriteerin osalta.

23

Toiseksi siinä tapauksessa, että ennakkoratkaisua pyytäneen tuomioistuimen ensimmäiseen kysymykseen vastataan myöntävästi, mainittu tuomioistuin pohtii, onko tällaisen työehtosopimuksen osapuolilla harkintavaltaa, jonka pitäisi olla vain rajoitetun tuomioistuinvalvonnan kohteena siltä osin kuin on kyse henkilötietojen käsittelyn yleisen tietosuoja-asetuksen 5 artiklassa, 6 artiklan 1 kohdassa sekä 9 artiklan 1 ja 2 kohdassa tarkoitetun tarpeellisuuden arvioinnista. Ennakkoratkaisua pyytäneen tuomioistuimen näkemyksen mukaan tämä väite saa tukea argumenteista, joiden mukaan nämä osapuolet ovat hyvin lähellä yrityksen toimintaa ja ovat yleensä saavuttaneet sopivan tasapainon esillä olevien intressien välillä. Muita unionin oikeuden toimia koskevan unionin tuomioistuimen oikeuskäytännön, erityisesti 7.2.1991 annetun tuomion Nimz (C‑184/89, EU:C:1991:50) ja 20.3.2003 annetun tuomion Kutz-Bauer (C‑187/00, EU:C:2003:168), perusteella voidaan kuitenkin pikemminkin ajatella, että unionin oikeuden soveltamisalaan kuuluvan työehtosopimuksen määräykset eivät voi olla unionin oikeuden vastaisia ja tällaisia määräyksiä olisi tarvittaessa jätettävä soveltamatta.

24

Kolmanneksi siinä tapauksessa, että toiseen kysymykseen vastataan myöntävästi, ennakkoratkaisua pyytänyt tuomioistuin haluaa tietää, mihin arviointikriteereihin sen on mahdollisesti rajoitettava tuomioistuinvalvontansa.

25

Lopuksi on todettava, että ennen kuin kyseinen tuomioistuin peruutti alun perin esittämänsä neljännen, viidennen ja kuudennen kysymyksen, ne koskivat lähinnä oikeutta saada korvausta aineettomasta vahingosta yleisen tietosuoja-asetuksen 82 artiklan 1 kohdan nojalla.

26

Bundesarbeitsgericht on tässä tilanteessa päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:

27

Unionin tuomioistuimen presidentin 24.1.2024 antamalla päätöksellä 4.5.2023 annettu tuomio Österreichische Post (Henkilötietojen käsittelyyn liittyvä aineeton vahinko) (C‑300/21, EU:C:2023:370), 14.12.2023 annettu tuomio Natsionalna agentsia za prihodite (C‑340/21, EU:C:2023:986), 14.12.2023 annettu tuomio Gemeinde Ummendorf (C‑456/22, EU:C:2023:988), 21.12.2023 annettu tuomio Krankenversicherung Nordrhein (C‑667/21, EU:C:2023:1022) ja 25.1.2024 annettu tuomio MediaMarktSaturn (C‑687/21, EU:C:2024:72) annettiin tiedoksi ennakkoratkaisua pyytäneelle tuomioistuimelle, jotta tämä täsmentäisi, halusiko se näiden tuomioiden perusteella pysyttää ennakkoratkaisupyyntönsä etenkin neljännen, viidennen ja kuudennen kysymyksen osalta.

28

Unionin tuomioistuimen presidentin 15.3.2024 tekemällä päätöksellä asian käsittelyä lykättiin unionin tuomioistuimen työjärjestyksen 55 artiklan 1 kohdan b alakohdan nojalla esitettyyn kysymykseen annettavan vastauksen vastaanottamiseen asti.

29

Ennakkoratkaisua pyytänyt tuomioistuin ilmoitti unionin tuomioistuimeen 8.5.2024 saapuneella kirjallisella ilmoituksella peruuttavansa neljännen, viidennen ja kuudennen kysymyksensä mutta pysyttävänsä ensimmäisen, toisen ja kolmannen kysymyksensä.

30

Pääasian vastapuoli väittää, että ensimmäinen, toinen ja kolmas kysymys on jätettävä tutkimatta, koska niillä ei ole merkitystä ennakkoratkaisua pyytäneen tuomioistuimen käsiteltäväksi saatetun asian ratkaisemisen kannalta. Se väittää lähinnä, ettei pääasian valittaja riitauta käsiteltävässä asiassa sovellettavan paikallisen sopimuksen sisältöä vaan sen, että kyseessä oleva tietojenkäsittely on ylittänyt tämän sopimuksen rajat, joten kyseisen oikeusriidan kohteena ei ole tällaiseen sopimukseen liittyvien yleisen tietosuoja-asetuksen 88 artiklan vaatimusten rikkominen. Lisäksi nämä kysymykset ovat hypoteettisia, koska niillä pyritään mahdollistamaan se, että kyseinen tuomioistuin voi valvoa tämän käsittelyn lainmukaisuutta kokonaisuudessaan eikä yksinomaan pääasian valittajan riitauttamia seikkoja.

31

Vakiintuneesta oikeuskäytännöstä ilmenee tältä osin, että yksinomaan kansallisen tuomioistuimen, jossa asia on vireillä ja joka vastaa annettavasta ratkaisusta, tehtävänä on asian erityispiirteiden perusteella harkita, onko ennakkoratkaisu tarpeen asian ratkaisemiseksi ja onko sen unionin tuomioistuimelle esittämillä kysymyksillä merkitystä asian kannalta, jolloin olettamana on, että niillä on merkitystä. Jos siis esitetty kysymys koskee unionin oikeussäännön tulkintaa tai pätevyyttä, unionin tuomioistuimella on lähtökohtaisesti velvollisuus vastata siihen, paitsi jos on ilmeistä, että pyydetyllä unionin oikeuden tulkitsemisella ei ole mitään yhteyttä pääasian tosiseikkoihin tai kohteeseen, jos kyseinen ongelma on luonteeltaan hypoteettinen tai jos unionin tuomioistuimella ei ole tiedossaan niitä tosiseikkoja ja oikeudellisia seikkoja, jotka ovat tarpeen, jotta se voisi antaa hyödyllisen vastauksen sille esitettyyn kysymykseen (tuomio 20.6.2024, Scalable Capital, C‑182/22 ja C‑189/22, EU:C:2024:531, 18 kohta oikeuskäytäntöviittauksineen).

32

Nyt käsiteltävässä asiassa ensimmäinen, toinen ja kolmas kysymys koskevat useiden unionin oikeuden säännösten tulkintaa ja tarkemmin sanottuna yleisen tietosuoja-asetuksen 88 artiklan tulkintaa, kun sitä luetaan yhdessä kyseisen asetuksen 5, 6 ja 9 artiklan kanssa. Ennakkoratkaisua pyytänyt tuomioistuin katsoo lisäksi, että käsiteltävässä asiassa sovellettavassa paikallisessa sopimuksessa, jota se luonnehtii kyseisessä asetuksessa tarkoitetuksi ”työehtosopimukseksi”, vahvistetut rajat on ylitetty ja pääasiassa kyseessä olevaa henkilötietojen käsittelyä on tarkasteltava kokonaisuudessaan, koska se voi olla lainvastaista BDSG:n 26 §:n 1 momentin ja 4 momentin, jossa viitataan nimenomaisesti yleisen tietosuoja-asetuksen 88 artiklaan, perusteella.

33

Tästä seuraa, että ennakkoratkaisupyyntö voidaan ottaa tutkittavaksi.

34

Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee ensimmäisellä kysymyksellään lähinnä, onko yleisen tietosuoja-asetuksen 88 artiklan 1 ja 2 kohtaa tulkittava siten, että kansallisen säännöksen, joka koskee henkilötietojen käsittelyä työsuhteita varten ja joka on annettu kyseisen asetuksen 88 artiklan 1 kohdan nojalla, vaikutuksena on oltava se, että se velvoittaa sen adressaatit noudattamaan paitsi mainitun asetuksen 88 artiklan 2 kohdasta johtuvia vaatimuksia myös sen 5 artiklasta, 6 artiklan 1 kohdasta ja 9 artiklan 1 ja 2 kohdasta johtuvia vaatimuksia.

35

Tältä osin on muistutettava, että yleisellä tietosuoja-asetuksella pyritään henkilötietojen suojaa koskevan kansallisen lainsäädännön lähtökohtaisesti täydellisen yhdenmukaistamisen varmistamiseen. Kyseisen asetuksen tietyillä säännöksillä annetaan kuitenkin jäsenvaltioille mahdollisuus säätää tiukemmista tai poikkeavista kansallisista täydentävistä säännöistä ja jätetään niille harkintavaltaa sen suhteen, miten nämä säännökset voidaan panna täytäntöön (ns. avoimet lausekkeet) (ks. vastaavasti tuomio 30.3.2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, 51 kohta oikeuskäytäntöviittauksineen).

36

Yleisen tietosuoja-asetuksen 88 artiklassa, joka koskee henkilötietojen käsittelyä työsuhteen yhteydessä, määritetään edellytykset, joiden täyttyessä jäsenvaltiot voivat antaa lakisääteisesti tai työehtosopimuksilla ”yksityiskohtaisempia sääntöjä” työntekijöiden, joita tällainen käsittely koskee, oikeuksien ja vapauksien suojan varmistamiseksi. Kyseisen asetuksen johdanto-osan 155 perustelukappaleessa todetaan muun muassa, että kyseisessä 88 artiklassa tarkoitettu työehtosopimuksen käsite kattaa pääasiassa kyseessä olevan kaltaiset ”paikalliset sopimukset”. Lisäksi mainitun asetuksen 5, 6 ja 9 artiklassa vahvistetaan henkilötietojen käsittelyä koskevat periaatteet, tämän käsittelyn lainmukaisuuden edellytykset ja erityisiä henkilötietoryhmiä koskevan käsittelyn säännöt.

37

Vakiintuneen oikeuskäytännön mukaan yleisen tietosuoja-asetuksen 88 artiklan kaltaisen unionin oikeuden sellaisen säännöksen sanamuotoa, joka ei sisällä nimenomaista viittausta jäsenvaltioiden oikeuteen sen merkityksen ja ulottuvuuden määrittämiseksi, on tavallisesti tulkittava kaikkialla unionissa itsenäisesti ja yhtenäisesti, ja kyseisen säännöksen tai määräyksen tulkitsemisessa on otettava huomioon muun muassa sen sanamuoto, sillä tavoiteltavat päämäärät sekä asiayhteys, johon se kuuluu (ks. analogisesti tuomio 14.12.2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, 23 kohta oikeuskäytäntöviittauksineen).

38

Ensinnäkin yleisen tietosuoja-asetuksen 88 artiklan sanamuodosta ilmenee, että sen 1 kohdassa edellytetään, että tässä säännöksessä sallituilla ”yksityiskohtaisimmilla säännöillä” on oltava säännellylle alalle sopiva normatiivinen sisältö, joka poikkeaa tämän asetuksen yleisistä säännöistä, kun taas sen 2 kohdassa säännellään mainitun asetuksen yhdenmukaistamistavoitteen mukaisesti niiden jäsenvaltioiden harkintavaltaa, jotka haluavat antaa kansallista lainsäädäntöä kyseisen 1 kohdan perusteella (ks. vastaavasti tuomio 30.3.2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, 61, 65, 72 ja 75 kohta).

39

Tästä sanamuodosta ei sitä vastoin ilmene nimenomaisesti, onko ”yksityiskohtaisemmilla säännöillä”, joita jäsenvaltiot näin ollen voivat antaa, pyrittävä yksinomaan yleisen tietosuoja-asetuksen 88 artiklan 2 kohdassa säädettyjen vaatimusten noudattamiseen vai myös kyseisen asetuksen muiden säännösten vaatimusten noudattamiseen siten, että tällaisten sääntöjen mukaisesti suoritettavan henkilötietojen käsittelyn on lisäksi oltava näiden viimeksi mainittujen säännösten mukaista.

40

Toiseksi unionin tuomioistuin on jo todennut yleisen tietosuoja-asetuksen 88 artiklan tavoitteista, että kyseinen artikla on ”avoin lauseke” ja että sen 1 kohdassa jäsenvaltioille tällaisen käsittelyn erityispiirteiden vuoksi annettu mahdollisuus selittyy erityisesti työntekijän ja työnantajan välisen alisteisuussuhteen olemassaololla. Se täsmentää, että kyseisen asetuksen 88 artiklan 2 kohdassa asetetut edellytykset heijastavat jäsenvaltioille jätetyn harkintavallan rajoja siten, että siihen erottamattomasti liittyvän yhdenmukaistamisen puuttuminen voidaan hyväksyä ainoastaan silloin, kun olemassa oleviin eroihin liittyy asianmukaisia ja erityisiä toimenpiteitä, joiden tarkoituksena on suojata työntekijöiden oikeuksia ja vapauksia heidän henkilötietojensa käsittelyssä työsuhteiden yhteydessä (ks. vastaavasti tuomio 30.3.2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, 52, 53 ja 73 kohta oikeuskäytäntöviittauksineen).

41

Unionin tuomioistuin on lisäksi korostanut, että kun jäsenvaltiot käyttävät niille yleisen tietosuoja-asetuksen 88 artiklassa annettua mahdollisuutta, niiden on käytettävä harkintavaltaansa kyseisen asetuksen säännöksissä säädettyjen edellytysten ja rajoitusten mukaisesti ja siten annettava lainsäädäntöä tavalla, joka ei vaaranna mainitun asetuksen, jonka tavoitteena on muun muassa taata henkilöiden, joita tällainen käsittely koskee, oikeuksien ja vapauksien korkeatasoinen suoja, kuten sen johdanto-osan kymmenennestä perustelukappaleesta ilmenee, sisältöä ja tavoitteita. Näin ollen jäsenvaltion kyseisen 88 artiklan nojalla antamien sääntöjen tavoitteena on oltava työntekijöiden oikeuksien ja vapauksien suojaaminen heidän henkilötietojensa käsittelyssä (ks. vastaavasti tuomio 30.3.2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, 54, 59, 62 ja 74 kohta).

42

Yleisen tietosuoja-asetuksen 88 artiklaa ei kuitenkaan voida tulkita siten, että ”yksityiskohtaisempien sääntöjen”, joita jäsenvaltiot voivat antaa tämän artiklan nojalla, tavoitteena tai vaikutuksena voisi olla tämän asetuksen muista säännöksistä johtuvien rekisterinpitäjän tai henkilötietojen käsittelijän velvollisuuksien kiertäminen, sillä muuten loukattaisiin kaikkia näitä tavoitteita ja erityisesti tavoitetta, jolla pyritään varmistamaan työntekijöiden korkeatasoinen suoja heidän henkilötietojensa käsittelyssä työsuhteiden yhteydessä.

43

Tästä seuraa, että yleisen tietosuoja-asetuksen 88 artiklan 1 ja 2 kohtaa on tulkittava siten, että myös silloin, kun jäsenvaltiot nojautuvat tähän artiklaan ottaakseen kansallisessa oikeusjärjestyksessään käyttöön lakisääteisesti tai työehtosopimuksilla ”yksityiskohtaisempia sääntöjä”, esillä olevassa kysymyksessä nimenomaisesti tarkoitetuista muista säännöksistä eli kyseisen asetuksen 5 artiklasta, 6 artiklan 1 kohdasta sekä 9 artiklan 1 ja 2 kohdasta johtuvat vaatimukset on myös täytettävä. Tämä koskee muun muassa näissä säännöksissä säädetyn käsittelyn tarpeellisuutta koskevan kriteerin noudattamista, jota ennakkoratkaisua pyytänyt tuomioistuin erityisesti pohtii.

44

Kolmanneksi yleisen tietosuoja-asetuksen 88 artiklan asiayhteys tukee tätä tulkintaa.

45

Yleisen tietosuoja-asetuksen 88 artikla nimittäin sisältyy sen IX lukuun, jonka otsikko on ”Tietojenkäsittelyyn liittyviä erityistilanteita koskevat säännökset”, kun taas kyseisen asetuksen 5, 6 ja 9 artikla ovat sen II luvussa, jonka otsikko on ”Periaatteet” ja joka on siis soveltamisalaltaan yleisempi. Lisäksi kyseisen 6 artiklan, jonka 2 ja 3 kohdassa viitataan nimenomaisesti kyseisen IX luvun säännöksiin, sanamuodosta ilmenee selvästi, että mainitussa 6 artiklassa säädetyt lainmukaisuuden edellytykset ovat sitovia myös mainitun IX luvun säännöksissä säännellyissä ”erityistilanteissa”.

46

Lisäksi vakiintuneen oikeuskäytännön mukaan henkilötietojen käsittelyssä on noudatettava henkilötietojen käsittelyä koskevia periaatteita ja rekisteröidyn oikeuksia, joista säädetään yleisen tietosuoja-asetuksen II ja III luvussa. Henkilötietojen käsittelyssä on erityisesti noudatettava kyseisen asetuksen 5 artiklassa säädettyjä henkilötietojen käsittelyä koskevia periaatteita, ja sen on täytettävä asetuksen 6 artiklassa luetellut lainmukaisuuden edellytykset (ks. vastaavasti tuomio 2.3.2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, 43 kohta ja tuomio 11.7.2024, Meta Platforms Ireland (Edustajakanne), C‑757/22, EU:C:2024:598, 49 kohta oikeuskäytäntöviittauksineen).

47

Unionin tuomioistuin on todennut erityisesti yleisen tietosuoja-asetuksen 88 artiklan ja kyseisen asetuksen muiden säännösten välisestä suhteesta muun muassa kyseisen asetuksen johdanto-osan kahdeksannen perustelukappaleen valossa, että jäsenvaltioiden mainitun asetuksen 88 artiklan 1 kohdan perusteella mahdollisesti antamien ”yksityiskohtaisempien sääntöjen” olemassaolosta huolimatta henkilötietojen käsittelyssä on noudatettava saman asetuksen II ja III luvun säännöksistä ja erityisesti sen 5 ja 6 artiklasta johtuvia velvoitteita (ks. vastaavasti tuomio 30.3.2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, 67–71 kohta oikeuskäytäntöviittauksineen).

48

Yleisen tietosuoja-asetuksen 9 artiklasta johtuvia velvoitteita on vastaavasti noudatettava kaikessa kyseisen asetuksen soveltamisalaan kuuluvassa henkilötietojen käsittelyssä, myös silloin, kun on olemassa kyseisen asetuksen 88 artiklan 1 kohdan nojalla annettuja ”yksityiskohtaisempia sääntöjä”. Kyseinen 9 artikla, jossa säädetään siinä lueteltujen erityisten tietoryhmien käsittelystä, kuuluu nimittäin asetuksen II lukuun, samoin kuin asetuksen 5 ja 6 artikla, joiden vaatimuksia voidaan lisäksi soveltaa 9 artiklasta johtuvien vaatimusten rinnalla (ks. vastaavasti tuomio 21.12.2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, 73, 77 ja 79 kohta). Lisäksi tämä tulkinta vastaa saman 9 artiklan tavoitetta varmistaa parempi suoja sellaista käsittelyä vastaan, joka sen kohteena olevien tietojen erityisen arkaluonteisuuden vuoksi voi merkitä erityisen vakavaa puuttumista rekisteröityjen perusoikeuksiin (ks. vastaavasti tuomio 4.10.2024, Lindenapotheke, C‑21/23, EU:C:2024:846, 89 kohta oikeuskäytäntöviittauksineen).

49

Siinä tapauksessa, että jäsenvaltion oikeus sisältää yleisen tietosuoja-asetuksen 88 artiklan 1 kohdassa tarkoitettuja ”yksityiskohtaisempia sääntöjä”, näiden sääntöjen soveltamisalaan kuuluvien henkilötietojen käsittelyssä on noudatettava paitsi kyseisen artiklan 1 ja 2 kohdan edellytyksiä myös kyseisen asetuksen 5, 6 ja 9 artiklan edellytyksiä, sellaisina kuin niitä on tulkittu unionin tuomioistuimen oikeuskäytännössä.

50

Edellä esitetyn perusteella ensimmäiseen kysymykseen on vastattava, että yleisen tietosuoja-asetuksen 88 artiklan 1 ja 2 kohtaa on tulkittava siten, että kansallisen säännöksen, joka koskee henkilötietojen käsittelyä työsuhteita varten ja joka on annettu kyseisen asetuksen 88 artiklan 1 kohdan nojalla, vaikutuksena on oltava se, että se velvoittaa sen adressaatit noudattamaan paitsi mainitun asetuksen 88 artiklan 2 kohdasta johtuvia vaatimuksia myös sen 5 artiklasta, 6 artiklan 1 kohdasta ja 9 artiklan 1 ja 2 kohdasta johtuvia vaatimuksia.

51

Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee toisella kysymyksellään lähinnä, onko yleisen tietosuoja-asetuksen 88 artiklan 1 kohtaa tulkittava siten, että kun työehtosopimus kuuluu tämän säännöksen soveltamisalaan, työehtosopimuksen osapuolilla oleva harkintavalta määrittää, onko henkilötietojen käsittely ”tarpeen” kyseisen asetuksen 5 artiklassa, 6 artiklan 1 kohdassa ja 9 artiklan 1 ja 2 kohdassa tarkoitetussa merkityksessä, estää kansallista tuomioistuinta harjoittamasta tältä osin täysimääräistä tuomioistuinvalvontaa.

52

Aluksi on muistutettava, että – kuten tämän tuomion 41 kohdassa on korostettu – jäsenvaltioiden, jotka käyttävät niille yleisen tietosuoja-asetuksen 88 artiklassa annettua mahdollisuutta, on käytettävä harkintavaltaansa kyseisen asetuksen säännöksissä säädetyin edellytyksin ja rajoituksin ja huolehdittava siten siitä, että niiden sisäiseen oikeusjärjestykseen sisällyttämät ”yksityiskohtaisemmat säännöt” eivät vaaranna mainitun asetuksen sisältöä ja tavoitteita. Näillä säännöillä on pyrittävä muun muassa varmistamaan työntekijöiden perusoikeuksien ja ‑vapauksien korkeatasoinen suoja heidän henkilötietojensa käsittelyssä työsuhteiden yhteydessä.

53

Unionin tuomioistuin on jo todennut tällaisten erityissääntöjen osalta harjoitettavan tuomioistuinvalvonnan laajuudesta, että kansallisen tuomioistuimen, jonka käsiteltäväksi asia on saatettu ja joka on yksin toimivaltainen tulkitsemaan kansallista oikeutta, tehtävänä on arvioida, ovatko mainitut säännöt etenkin yleisen tietosuoja-asetuksen 88 artiklassa säädettyjen edellytysten ja rajoitusten mukaisia. Unionin oikeuden ensisijaisuuden periaatteen mukaisesti on niin, että siinä tapauksessa, että kansallinen tuomioistuin katsoo, että kyseessä olevat kansalliset säännökset eivät ole kyseisten edellytysten ja rajoitusten mukaisia, sen on tällöin jätettävä soveltamatta mainittuja säännöksiä. Sellaisten yksityiskohtaisempien sääntöjen puuttuessa, jotka noudattaisivat kyseisen 88 artiklan vaatimuksia, henkilötietojen käsittelyä työsuhteen yhteydessä säännellään suoraan kyseisellä asetuksella (ks. vastaavasti tuomio 30.3.2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, 80, 82–84 ja 89 kohta).

54

Nämä toteamukset pätevät myös pääasiassa kyseessä olevan kaltaisen yleisen tietosuoja-asetuksen 88 artiklassa tarkoitetun työehtosopimuksen osapuoliin. Kuten Euroopan komissio on pääasiallisesti todennut kirjallisissa huomautuksissaan, työehtosopimuksen osapuolilla on nimittäin oltava erityisesti sopimuksen rajojen osalta samanlaista harkintavaltaa kuin jäsenvaltioilla, koska kyseisen 88 artiklan 1 kohdassa tarkoitetut ”yksityiskohtaisemmat säännöt” voivat perustua muun muassa työehtosopimuksiin. Kyseisen asetuksen johdanto-osan 155 perustelukappaleessa todetaan myös, että tällaisia sääntöjä voidaan antaa jäsenvaltioiden lainsäädännössä tai työehtosopimuksissa, mukaan lukien ”paikalliset sopimukset”.

55

Näin ollen huolimatta siitä harkintavallasta, joka yleisen tietosuoja-asetuksen 88 artiklassa jätetään työehtosopimuksen osapuolille, tällaiseen työehtosopimukseen kohdistuvan tuomioistuinvalvonnan on tämän säännöksen nojalla annettuun kansallisen oikeuden sääntöön liittyvän tuomioistuinvalvonnan tavoin voitava rajoituksetta koskea kaikkien kyseisen asetuksen säännöksissä henkilötietojen käsittelylle säädettyjen edellytysten ja rajoitusten noudattamista.

56

Tämän jälkeen on täsmennettävä, että tällaisella tuomioistuinvalvonnalla on erityisesti pyrittävä tarkistamaan, onko tällaisten tietojen käsittely ”tarpeen” yleisen tietosuoja-asetuksen 5, 6 ja 9 artiklassa tarkoitetussa merkityksessä. Toisin sanoen sen 88 artiklaa ei voida tulkita siten, että työehtosopimuksen osapuolilla olisi harkintavaltaa, jonka perusteella ne voisivat ottaa käyttöön ”yksityiskohtaisempia sääntöjä”, jotka johtaisivat siihen, että mainittua tarpeellisuusvaatimusta sovellettaisiin vähemmän tiukasti tai se jopa sivuutettaisiin.

57

Kuten ennakkoratkaisua pyytänyt tuomioistuin ja Irlanti ovat pääasiallisesti huomauttaneet, työehtosopimuksen osapuolilla on tosin yleensä hyvät edellytykset arvioida, onko tietojenkäsittely tarpeen konkreettisessa ammatillisessa asiayhteydessä, sillä näillä osapuolilla on tavallisesti laaja tietämys työelämän ja kyseisen toimialan erityisistä tarpeista. Tällainen arviointimenettely ei kuitenkaan saa johtaa siihen, että mainitut osapuolet tekisivät taloudellisia tai tarkoituksenmukaisia kompromisseja, jotka voisivat haitata kohtuuttomasti yleisen tietosuoja-asetuksen tavoitetta varmistaa työntekijöiden perusoikeuksien ja ‑vapauksien korkeatasoinen suoja heidän henkilötietojensa käsittelyssä.

58

Näin ollen yleisen tietosuoja-asetuksen 88 artiklan sellainen tulkinta, jonka mukaan kansalliset tuomioistuimet eivät voi harjoittaa työehtosopimusta koskevaa täysimääräistä tuomioistuinvalvontaa erityisesti sen tarkastamiseksi, osoittavatko kyseisen työehtosopimuksen osapuolten esittämät perustelut sen, että kyseisestä sopimuksesta seuraava henkilötietojen käsittely on tarpeen, ei olisi yhteensopiva kyseisen asetuksen kanssa, kun otetaan huomioon tämän tuomion edellisessä kohdassa mainittu suojatavoite.

59

Lopuksi on korostettava, että jos kansallinen tuomioistuin, jonka käsiteltäväksi asia on saatettu, toteaisi suorittamansa valvonnan päätteeksi, että tietyt kyseessä olevan työehtosopimuksen määräykset eivät ole yleisessä tietosuoja-asetuksessa säädettyjen edellytysten ja rajoitusten mukaisia, sen on jätettävä soveltamatta näitä määräyksiä tämän tuomion 53 kohdassa mainitun oikeuskäytännön mukaisesti.

60

Edellä esitetyn perusteella toiseen kysymykseen on vastattava, että yleisen tietosuoja-asetuksen 88 artiklan 1 kohtaa on tulkittava siten, että kun työehtosopimus kuuluu tämän säännöksen soveltamisalaan, työehtosopimuksen osapuolilla oleva harkintavalta määrittää, onko henkilötietojen käsittely ”tarpeen” kyseisen asetuksen 5 artiklassa, 6 artiklan 1 kohdassa ja 9 artiklan 1 ja 2 kohdassa tarkoitetussa merkityksessä, ei estä kansallista tuomioistuinta harjoittamasta tältä osin täysimääräistä tuomioistuinvalvontaa.

61

Kun otetaan huomioon toiseen kysymykseen annettu vastaus, kolmanteen kysymykseen ei ole tarpeen vastata.

62

Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.

Näillä perusteilla unionin tuomioistuin (kahdeksas jaosto) on ratkaissut asian seuraavasti: