–

za MK J. Zäh, Rechtsanwalt,

–

za K GmbH B. Geck, Rechtsanwältin,

–

za Irsko M. Browne, Chief State Solicitor, A. Joyce in M. Tierney, agenta, skupaj z D. Fennellyjem, BL,

–

za italijansko vlado G. Palmieri, agentka, skupaj z G. Natale, avvocato dello Stato,

–

za Evropsko komisijo A. Bouchagiar, M. Heller in H. Kranenborg, agenti,

1

Predlog za sprejetje predhodne odločbe se nanaša na razlago člena 82(1) ter člena 88(1) in (2) v povezavi s členom 5, členom 6(1) ter členom 9(1) in (2) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, v nadaljevanju: SUVP).

2

Ta predlog je bil vložen v okviru spora med MK, fizično osebo, in družbo K GmbH, njenim delodajalcem, v zvezi s povračilom nepremoženjske škode, za katero ta oseba trdi, da jo je utrpela, ker je ta družba njene osebne podatke obdelala na podlagi sporazuma na ravni podjetja.

3

V uvodnih izjavah 8, 10 in 155 SUVP je navedeno:

[…]

[…]

4

Člen 4 te uredbe, naslovljen „Opredelitev pojmov“, določa:

„V tej uredbi:

[…]

[…].“

5

Poglavje II SUVP, naslovljeno „Načela“, vsebuje člene od 5 do 11 te uredbe.

6

Člen 5 te uredbe, naslovljen „Načela v zvezi z obdelavo osebnih podatkov“, določa:

„1.   Osebni podatki morajo biti:

[…]

[…]

2.   Upravljavec je odgovoren za skladnost z odstavkom 1 in je to skladnost tudi zmožen dokazati (,odgovornost‘).“

7

Člen 6 navedene uredbe, naslovljen „Zakonitost obdelave“, določa:

„1.   Obdelava je zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

Točka (f) prvega pododstavka se ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

2.   Države članice lahko ohranijo ali uvedejo podrobnejše določbe, da bi prilagodile uporabo pravil te uredbe v zvezi z obdelavo osebnih podatkov za zagotovitev skladnosti s točkama (c) in (e) odstavka 1, tako da podrobneje opredelijo posebne zahteve v zvezi z obdelavo ter druge ukrepe za zagotovitev zakonite in poštene obdelave, tudi za druge posebne primere obdelave iz poglavja IX.

3.   Podlaga za obdelavo iz točk (c) in (e) odstavka 1 je določena v skladu s:

[…] Navedena pravna podlaga lahko vključuje posebne določbe, s katerimi se prilagodi uporaba pravil iz te uredbe, med drugim: splošne pogoje, ki urejajo zakonitost obdelave podatkov s strani upravljavca; vrste podatkov, ki se obdelujejo; zadevne posameznike, na katere se nanašajo osebni podatki; subjekte, katerim se osebni podatki lahko razkrijejo, in namene, za katere se lahko razkrijejo; omejitve namena; obdobja hrambe; ter dejanja obdelave in postopke obdelave, vključno z ukrepi za zagotovitev zakonite in poštene obdelave, kot tiste za druge posebne primere obdelave iz poglavja IX. […]

[…]“

8

Člen 9 iste uredbe, naslovljen „Obdelava posebnih vrst osebnih podatkov“, določa:

„1.   Prepovedani sta obdelava osebnih podatkov, ki razkrivajo rasno ali etnično poreklo, politično mnenje, versko ali filozofsko prepričanje ali članstvo v sindikatu, in obdelava genskih podatkov, biometričnih podatkov za namene edinstvene identifikacije posameznika, podatkov v zvezi z zdravjem ali podatkov v zvezi s posameznikovim spolnim življenjem ali spolno usmerjenostjo.

2.   Odstavek 1 se ne uporablja, če velja eno od naslednjega:

[…].“

9

Člen 82 SUVP, ki je v poglavju VIII te uredbe, naslovljenem „Pravna sredstva, odgovornost in kazni“, in ki je naslovljen „Pravica do odškodnine in odgovornost“, v odstavku 1 določa:

„Vsak posameznik, ki je utrpel premoženjsko ali nepremoženjsko škodo kot posledico kršitve te uredbe, ima pravico, da od upravljavca ali obdelovalca dobi odškodnino za nastalo škodo.“

10

Člen 88 SUVP, ki je v poglavju IX te uredbe, naslovljenem „Določbe o posebnih primerih obdelave“, in ki je naslovljen „Obdelava v okviru zaposlitve“, v odstavkih 1 in 2 določa:

„1.   Države članice lahko v zakonu ali kolektivnih pogodbah določijo podrobnejša pravila za zagotovitev varstva pravic in svoboščin v zvezi z obdelavo osebnih podatkov zaposlenih v okviru zaposlitve, zlasti za namene zaposlovanja, izvajanja pogodbe o zaposlitvi, vključno z izpolnjevanjem obveznosti, določenih z zakonom ali kolektivnimi pogodbami, upravljanja, načrtovanja in organizacije dela, enakosti in raznolikosti na delovnem mestu, zdravja in varnosti pri delu, varstva lastnine zaposlenih ali potrošnikov in za namene individualnega ali kolektivnega izvajanja in uživanja pravic in ugodnosti, povezanih z zaposlitvijo, ter za namene prekinitve delovnega razmerja.

2.   Ta pravila vključujejo ustrezne in posebne ukrepe za zaščito človeškega dostojanstva, zakonitih interesov in temeljnih pravic posameznika, na katerega se nanašajo osebni podatki, s posebnim poudarkom na preglednosti obdelave, prenosu osebnih podatkov v povezani družbi ali skupini podjetij, ki opravljajo skupno gospodarsko dejavnost, ter sistemih spremljanja na delovnem mestu.“

11

Člen 99 SUVP, naslovljen „Začetek veljavnosti in uporaba“, določa:

„1.   Ta uredba začne veljati dvajseti dan po objavi v Uradnem listu Evropske unije.

2.   Uporablja se od 25. maja 2018.“

12

Člen 26 Bundesdatenschutzgesetz (zvezni zakon o varstvu podatkov) z dne 30. junija 2017 (BGBl. 2017 I, str. 2097, v nadaljevanju: BDSG), naslovljen „Obdelava podatkov za namene delovnega razmerja“, v odstavkih 1 in 4 določa:

„(1)   Osebni podatki zaposlenih se lahko obdelujejo za namene delovnega razmerja, če je to potrebno za odločanje o vzpostavitvi delovnega razmerja ali – po vzpostavitvi delovnega razmerja – za njegovo izvajanje ali prenehanje oziroma za uveljavljanje pravic in izpolnjevanje obveznosti, povezanih z zastopanjem interesov delavcev, ki izhajajo iz zakona ali instrumenta kolektivnega urejanja, sporazuma med delodajalci in delojemalci v zasebnem ali javnem sektorju (kolektivna pogodba). […]

[…]

(4)   Obdelava osebnih podatkov zaposlenih – vključno s posebnimi vrstami osebnih podatkov – za namene delovnega razmerja je dovoljena na podlagi kolektivnih pogodb. Pri tem morajo pogajalske strani upoštevati člen 88(2) [SUVP].“

13

Tožeča stranka iz postopka v glavni stvari je zaposlena pri toženi stranki iz postopka v glavni stvari, ki je družba nemškega prava, in predseduje svetu delavcev, ustanovljenem v okviru te družbe.

14

Navedena družba je sprva obdelovala nekatere osebne podatke svojih zaposlenih v okviru uporabe programske opreme, imenovane „SAP“ (v nadaljevanju: programska oprema SAP), zlasti za računovodstvo, in je s svojim svetom delavcev v zvezi s tem sklenila več sporazumov na ravni podjetja.

15

Skupina družb D, katere del je tožena stranka iz postopka v glavni stvari (v nadaljevanju: skupina D), je leta 2017 v tej celotni skupini uvedla programsko opremo, imenovano „Workday“ (v nadaljevanju: programska oprema Workday), ki deluje v oblaku (cloud) kot enoten sistem za upravljanje informacij o osebju. V tem okviru je tožena stranka iz postopka v glavni stvari prenesla različne osebne podatke svojih zaposlenih s programske opreme SAP na strežnik matične družbe skupine D s sedežem v Združenih državah.

16

Tožena stranka iz postopka v glavni stvari in njen svet delavcev sta 3. julija 2017 sklenila sporazum o dopustitvi uvedbe programske opreme Workday (v nadaljevanju: sporazum na ravni podjetja o določitvi tolerance), s katerim je bilo med drugim prepovedano, da bi se ta programska oprema uporabljala za upravljanje človeških virov, kot je na primer ocena delavca v poskusni fazi. V skladu s Prilogo 2 k temu sporazumu so se za polnjenje programske opreme Workday lahko posredovale zgolj naslednje vrste podatkov: osebna številka zaposlenega, ki je delavcu dodeljena v skupini D, njegov priimek, njegovo ime, njegova telefonska številka, njegov datum začetka zaposlitve v skupini D, njegov kraj dela, ime družbe, pri kateri je zaposlen, ter njegova službena telefonska številka in elektronski naslov. Učinki navedenega sporazuma so bili podaljšani do začetka veljavnosti končnega sporazuma na ravni podjetja, sklenjenega 23. januarja 2019.

17

V tem kontekstu je tožeča stranka iz postopka v glavni stvari pri Arbeitsgericht (delovno sodišče, Nemčija) in nato pri krajevno pristojnem Landesarbeitsgericht (deželno delovno sodišče, Nemčija) vložila zahtevke za dostop do nekaterih informacij, izbris podatkov, ki se nanašajo nanjo, in dodelitev odškodnine. Ta tožeča stranka je med drugim trdila, da je tožena stranka iz postopka v glavni stvari na strežnik matične družbe prenesla osebne podatke, ki se nanašajo nanjo in od katerih nekateri niso bili navedeni v sporazumu na ravni podjetja, ki določa toleranco, zlasti njene zasebne podatke, podrobnosti iz njene pogodbe in plače, njeno številko socialnega zavarovanja in davčno identifikacijsko številko, državljanstvo in njeno osebno stanje.

18

Ker tožeča stranka iz postopka v glavni stvari z zahtevki ni uspela v celoti, je vložila revizijo pri Bundesarbeitsgericht (zvezno delovno sodišče, Nemčija), ki je predložitveno sodišče. Edini zahtevek te tožeče stranke, o katerem še ni bilo odločeno, je zahtevek – na podlagi SUVP – za povračilo nepremoženjske škode, ki naj bi jo utrpela zaradi nezakonite obdelave njenih osebnih podatkov s programsko opremo Workday v obdobju od prvega dne začetka uporabe te uredbe, in sicer od 25. maja 2018 do konca prvega četrtletja leta 2019.

19

Tožeča stranka iz postopka v glavni stvari v zvezi z nezakonitostjo te obdelave trdi, po eni strani, da ta ni bila potrebna niti za delovno razmerje, za katero je tožena stranka iz postopka v glavni stvari takrat uporabljala programsko opremo SAP, niti za preizkušanje programske opreme Workday, saj naj bi za to zadostovala uporaba fiktivnih podatkov, ki bi zagotavljala, da v okviru skupine D ne bi bil mogoč dostop do nobenega dejanskega podatka. Po drugi strani pa naj bi bilo dovoljenje iz tega sporazuma – tudi ob predpostavki, da je sporazum na ravni podjetja, ki določa toleranco, lahko veljavna podlaga za navedeno obdelavo – prekoračeno, ker naj bi ta tožena stranka posredovala podatke, ki niso bili določeni v Prilogi 2 k temu sporazumu. Nazadnje, dokazno breme, da so ravnanja navedene tožene stranke v skladu s SUVP, naj bi nosila zadnjenavedena.

20

Tožena stranka iz postopka v glavni stvari trdi, da zadevna obdelava izpolnjuje zahteve iz SUVP, da dokazno breme nosi tožeča stranka iz postopka v glavni stvari in da ta ni dokazala ne obstoja nepremoženjske škode ne vzročne zveze med morebitno kršitvijo te uredbe in zatrjevano škodo.

21

Predložitveno sodišče ugotavlja, da dejanja, ki jih izpodbija tožeča stranka iz postopka v glavni stvari, spadajo na stvarno področje uporabe SUVP, saj pomenijo „obdelavo“„osebnih podatkov“ tega „posameznika, na katerega se nanašajo osebni podatki“, v smislu člena 4, točki 1 in 2, te uredbe. Poleg tega navaja, da je tožena stranka iz postopka v glavni stvari „upravljavec“ v smislu člena 4, točka 7, navedene uredbe. V zvezi s časovnim področjem uporabe te uredbe poudarja, da se je obdelava sicer res začela pred datumom začetka uporabe tega instrumenta, vendar se je nadaljevala tudi po tem datumu zaradi več podaljšanj začetnih učinkov sporazuma na ravni podjetja, ki določa toleranco.

22

V tem okviru se predložitveno sodišče na prvem mestu sprašuje, ali je nacionalni predpis – ki ureja obdelavo osebnih podatkov za namene delovnih razmerij in ki v bistvu določa, da je taka obdelava na podlagi kolektivnih pogodb zakonita pod pogojem, da se upošteva člen 88(2) SUVP, kot je člen 26(4) BDSG – združljiv s to uredbo ali pa mora biti v ta namen zadevna obdelava v skladu tudi z njenimi drugimi določbami. Navedeno sodišče se nagiba k mnenju, da kadar obdelavo osebnih podatkov zaposlenih ureja „kolektivna pogodba“ v smislu člena 88 SUVP, pri tej obdelavi ni mogoče zanemariti zahtev, ki izhajajo ne le iz tega člena 88, temveč tudi iz člena 5, člena 6(1) ter člena 9(1) in (2) te uredbe, zlasti kar zadeva merilo potrebnosti obdelave iz zadnjih treh členov.

23

Na drugem mestu, če je odgovor na njegovo prvo vprašanje pritrdilen, se navedeno sodišče sprašuje, ali imata stranki takšne kolektivne pogodbe polje proste presoje, ki bi moralo biti predmet le omejenega sodnega nadzora glede ocene potrebnosti zadevne obdelave v smislu člena 5, člena 6(1) ter člena 9(1) in (2) SUVP. Po mnenju navedenega sodišča je mogoče to tezo podpreti s trditvijo, da naj bi ti stranki zelo dobro poznali poslovanje tega podjetja in da naj bi na splošno dosegli pravično ravnotežje med zadevnimi interesi. Vendar naj bi bilo iz sodne prakse Sodišča v zvezi z drugimi akti prava Unije, zlasti iz sodb z dne 7. februarja 1991, Nimz (C‑184/89, EU:C:1991:50), in z dne 20. marca 2003, Kutz-Bauer (C‑187/00, EU:C:2003:168), prej mogoče sklepati, da določbe kolektivne pogodbe, ki spadajo na področje uporabe tega prava, ne morejo biti v nasprotju s tem pravom in da se po potrebi take določbe ne bi smele uporabiti.

24

Na tretjem mestu, če bi bil odgovor na njegovo drugo vprašanje pritrdilen, želi predložitveno sodišče izvedeti, na katera merila presoje bi moralo po potrebi omejiti svoj sodni nadzor.

25

Nazadnje, četrto, peto in šesto vprašanje, ki jih je navedeno sodišče prvotno predložilo, preden jih je umaknilo, so se v bistvu nanašala na pravico do odškodnine za nepremoženjsko škodo na podlagi člena 82(1) SUVP.

26

V teh okoliščinah je Bundesarbeitsgericht (zvezno delovno sodišče) prekinilo odločanje in Sodišču v predhodno odločanje predložilo ta vprašanja:

27

S sklepom predsednika Sodišča z dne 24. januarja 2024 so bile predložitvenemu sodišču vročene sodbe z dne 4. maja 2023, Österreichische Post (Nepremoženjska škoda v zvezi z obdelavo osebnih podatkov) (C‑300/21, EU:C:2023:370), z dne 14. decembra 2023, Natsionalna agentsia za prihodite (C‑340/21, EU:C:2023:986), z dne 14. decembra 2023, Gemeinde Ummendorf (C‑456/22, EU:C:2023:988), z dne 21. decembra 2023, Krankenversicherung Nordrhein (C‑667/21, EU:C:2023:1022), ter z dne 25. januarja 2024, MediaMarktSaturn (C‑687/21, EU:C:2024:72), da bi predložitveno sodišče pojasnilo, ali želi glede na te sodbe vztrajati pri svojem predlogu za sprejetje predhodne odločbe, zlasti glede četrtega, petega in šestega vprašanja.

28

Na podlagi člena 55(1)(b) Poslovnika Sodišča je bil postopek s sklepom predsednika Sodišča z dne 15. marca 2024 prekinjen do prejema odgovora na tako postavljeno vprašanje.

29

Predložitveno sodišče je v pisnem sporočilu, ki je na Sodišče prispelo 8. maja 2024, Sodišče obvestilo, da umika četrto, peto in šesto vprašanje, vendar želi ohraniti svoje prvo, drugo in tretje vprašanje.

30

Tožena stranka iz postopka v glavni stvari trdi, da prvo, drugo in tretje vprašanje niso dopustna, ker niso upoštevna za rešitev spora, o katerem odloča predložitveno sodišče. V bistvu trdi, da tožeča stranka iz postopka v glavni stvari ne izpodbija vsebine sporazuma na ravni podjetja, ki se uporablja v obravnavani zadevi, temveč prekoračitev meja tega sporazuma s sporno obdelavo podatkov, tako da predmet tega spora ni kršitev zahtev iz člena 88 SUVP v zvezi s takim sporazumom. Poleg tega naj bi bila ta vprašanja hipotetična, saj naj bi navedenemu sodišču omogočala nadzor nad zakonitostjo te obdelave na splošno, in ne le glede elementov, ki jih izpodbija tožeča stranka iz postopka v glavni stvari.

31

V zvezi s tem je v skladu z ustaljeno sodno prakso le nacionalno sodišče, ki odloča o sporu in ki mora prevzeti odgovornost za sodno odločbo, ki bo izdana, pristojno, da ob upoštevanju posebnosti zadeve presodi potrebo po predhodni odločbi, da bi lahko izdalo sodbo, in tudi upoštevnost vprašanj, ki jih postavi Sodišču in za katere velja domneva upoštevnosti. Zato Sodišče, kadar se postavljeno vprašanje nanaša na razlago ali veljavnost pravila prava Unije, načeloma mora odločiti, razen če je očitno, da zahtevana razlaga nima nobene zveze z dejanskim stanjem ali predmetom spora o glavni stvari, če je problem hipotetičen ali če Sodišče nima na voljo pravnih in dejanskih elementov, ki so potrebni, da bi lahko na navedeno vprašanje dalo koristen odgovor (sodba z dne 20. junija 2024, Scalable Capital, C‑182/22 in C‑189/22, EU:C:2024:531, točka 18 in navedena sodna praksa).

32

V obravnavani zadevi se prvo, drugo in tretje vprašanje nanašajo na razlago več določb prava Unije, natančneje člena 88 SUVP v povezavi s členi 5, 6 in 9 te uredbe. Poleg tega predložitveno sodišče ugotavlja, da so bile prekoračene meje, določene s sporazumom na ravni podjetja, ki se uporablja v tej zadevi in ki ga navedeno sodišče označuje kot „kolektivno pogodbo“ v smislu te uredbe, in da je treba obdelavo osebnih podatkov, ki je predmet postopka v glavni stvari, preučiti v celoti, saj je lahko nezakonita tako z vidika odstavka 1 kot odstavka 4 člena 26 BDSG, ki se izrecno sklicuje na člen 88 SUVP.

33

Iz tega je razvidno, da je predlog za sprejetje predhodne odločbe dopusten.

34

Predložitveno sodišče s prvim vprašanjem v bistvu sprašuje, ali je treba člen 88(1) in (2) SUVP razlagati tako, da mora nacionalna določba, katere predmet je obdelava osebnih podatkov za namene delovnih razmerij in ki je bila sprejeta na podlagi člena 88(1) te uredbe, učinkovati tako, da so njeni naslovniki zavezani k spoštovanju ne le zahteve iz člena 88(2) navedene uredbe, ampak tudi zahtev iz člena 5, člena 6(1) ter člena 9(1) in (2) te uredbe.

35

V zvezi s tem je treba spomniti, da je namen SUVP zagotoviti harmonizacijo nacionalnih zakonodaj o varstvu osebnih podatkov, ki je načeloma popolna. Vendar nekatere določbe te uredbe državam članicam dajejo možnost, da določijo dodatna, strožja ali odstopajoča nacionalna pravila, in jim pustijo polje proste presoje glede načina, kako se te določbe lahko izvajajo („pomensko odprte določbe“) (glej v tem smislu sodbo z dne 30. marca 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, točka 51 in navedena sodna praksa).

36

Člen 88 SUVP, ki se nanaša na obdelavo osebnih podatkov v okviru zaposlitve, določa pogoje, pod katerimi lahko države članice v zakonu ali kolektivnih pogodbah določijo „podrobnejša pravila“ za zagotovitev varstva pravic in svoboščin zaposlenih, na katere se taka obdelava nanaša. V uvodni izjavi 155 te uredbe je med drugim navedeno, da pojem „kolektivna pogodba“ v smislu tega člena 88 vključuje „sporazum na ravni podjetja“, kot je ta iz postopka v glavni stvari. Poleg tega so v členih 5, 6 in 9 navedene uredbe določena načela v zvezi z obdelavo osebnih podatkov, pogoji za zakonitost te obdelave in pravila o obdelavi posebnih vrst takih podatkov.

37

V skladu z ustaljeno sodno prakso je treba izraze iz določbe prava Unije, ki tako kot člen 88 SUVP pri opredelitvi svojega pomena in obsega ne napotuje izrecno na pravo držav članic, običajno razlagati avtonomno in enotno v celotni Uniji, in sicer ob upoštevanju besedila zadevne določbe, ciljev, ki se želijo doseči s to določbo, in konteksta, v katerega je ta določba umeščena (glej po analogiji sodbo z dne 14. decembra 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, točka 23 in navedena sodna praksa).

38

Prvič, iz besedila člena 88 SUVP izhaja, da njegov odstavek 1 zahteva, da imajo „podrobnejša pravila“, ki so dovoljena s to določbo, normativno vsebino, ki je značilna za regulirano področje in se razlikuje od splošnih pravil te uredbe, medtem ko njegov odstavek 2 v skladu s ciljem harmonizacije, ki mu sledi navedena uredba, ureja polje proste presoje držav članic, ki nameravajo sprejeti nacionalno ureditev na podlagi tega odstavka 1 (glej v tem smislu sodbo z dne 30. marca 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, točka 61 in navedena sodna praksa).

39

Iz tega besedila pa ni izrecno razvidno, ali mora biti cilj „podrobnejših pravil“, ki jih države članice lahko tako sprejmejo, izpolnjevanje izključno zahtev iz člena 88(2) SUVP ali tudi zahtev iz drugih določb te uredbe, tako da bi morala biti obdelava osebnih podatkov, ki se izvaja na podlagi teh pravil, poleg tega skladna tudi s temi zadnjenavedenimi določbami.

40

Drugič, v zvezi s cilji člena 88 SUVP je Sodišče že razsodilo, da je ta člen „pomensko odprta določba“ in da je mogoče možnost, ki je državam članicam dana z odstavkom 1 tega člena, ob upoštevanju posebnosti take obdelave, pojasniti zlasti z obstojem razmerja podrejenosti med delavcem in delodajalcem. Sodišče je pojasnilo, da pogoji, naloženi s členom 88(2) te uredbe, odražajo omejitve polja proste presoje, ki je dano državam članicam, v tem smislu, da je neobstoj harmonizacije, ki je neločljivo povezan s to uredbo, mogoče dopustiti le, če preostale razlike spremljajo posebni in ustrezni zaščitni ukrepi, katerih namen je varstvo pravic in svoboščin zaposlenih v zvezi z obdelavo njihovih osebnih podatkov v okviru zaposlitve (glej v tem smislu sodbo z dne 30. marca 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, točke 52, 53 in 73).

41

Poleg tega je Sodišče poudarilo, da morajo države članice, kadar izvajajo možnost, ki jim je podeljena s členom 88 SUVP, svoje polje proste presoje uporabiti pod pogoji in v mejah, določenih z določbami te uredbe, in morajo torej zakonodajo sprejeti tako, da ne posegajo v vsebino in cilje navedene uredbe, katere cilj je zlasti zagotoviti visoko raven varstva pravic in svoboščin oseb, na katere se taka obdelava nanaša, kot je razvidno iz njene uvodne izjave 10. Zato mora biti cilj pravil, ki jih država članica sprejme na podlagi tega člena 88, varstvo pravic in svoboščin zaposlenih glede obdelave njihovih osebnih podatkov (glej v tem smislu sodbo z dne 30. marca 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, točke 54, 59, 62 in 74).

42

Vendar, da se ne bi ogrozili vsi ti cilji, zlasti cilj zagotavljanja visoke ravni varstva zaposlenih v primeru obdelave njihovih osebnih podatkov v okviru zaposlitve, člena 88 RGPD ni mogoče razlagati tako, da bi bil cilj ali učinek „podrobnejših pravil“, ki jih države članice lahko sprejmejo na podlagi tega člena, izogibanje obveznostim upravljavca ali celo obdelovalca, ki izhajajo iz drugih določb te uredbe.

43

Iz tega izhaja, da je treba člen 88(1) in (2) SUVP razlagati tako, da morajo biti tudi v primeru, ko se države članice sklicujejo na ta člen, da bi v svoje notranje pravne sisteme z zakonom ali kolektivnimi pogodbami uvedle „podrobnejša pravila“, prav tako izpolnjene zahteve, ki izhajajo iz drugih določb, ki so posebej navedene v tem vprašanju, in sicer člena 5, člena 6(1) ter člena 9(1) in (2) te uredbe. To velja zlasti za spoštovanje merila potrebnosti obdelave, določenega v teh določbah, glede katerega se predložitveno sodišče natančneje sprašuje.

44

Tretjič, kontekst, v katerega je umeščen člen 88 SUVP, to razlago potrjuje.

45

Člen 88 SUVP je namreč v poglavju IX, naslovljenem „Določbe o posebnih primerih obdelave“, medtem ko so členi 5, 6 in 9 del poglavja II te uredbe, ki je naslovljen „Načela“ in ki ima torej bolj splošno področje uporabe. Poleg tega je iz besedila tega člena 6, ki se v odstavkih 2 in 3 izrecno sklicuje na določbe tega poglavja IX, jasno razvidno, da so pogoji za zakonitost, določeni v navedenem členu 6, zavezujoči tudi v okviru „posebnih primerov“, ki jih urejajo določbe navedenega poglavja IX.

46

Poleg tega je v skladu z ustaljeno sodno prakso treba pri vsaki obdelavi osebnih podatkov upoštevati načela, ki urejajo obdelavo takih podatkov, ter pravice posameznika, na katerega se nanašajo osebni podatki, ki so določene v poglavjih II in III SUVP. Obdelava podatkov mora biti v skladu zlasti z načeli v zvezi z obdelavo teh podatkov, določenimi v členu 5 te uredbe, in izpolnjevati pogoje za zakonitost obdelave, naštete v členu 6 te uredbe (glej v tem smislu sodbi z dne 2. marca 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, točka 43, in z dne 11. julija 2024, Meta Platforms Ireland (Zastopniška tožba), C‑757/22, EU:C:2024:598, točka 49 ter navedena sodna praksa).

47

Kar zadeva razmerje med členom 88 SUVP in drugimi določbami te uredbe, je Sodišče zlasti ob upoštevanju uvodne izjave 8 te uredbe poudarilo, da je treba kljub morebitnemu obstoju „podrobnejših pravil“, ki jih države članice sprejmejo na podlagi člena 88(1) navedene uredbe, pri vsaki obdelavi osebnih podatkov spoštovati obveznosti, ki izhajajo iz določb poglavij II in III te iste uredbe ter zlasti iz njenih členov 5 in 6 (glej v tem smislu sodbo z dne 30. marca 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, točke od 67 do 71).

48

Prav tako je treba obveznosti iz člena 9 SUVP spoštovati pri vsaki obdelavi osebnih podatkov, ki spada na področje uporabe te uredbe, tudi če obstajajo „podrobnejša pravila“, sprejeta na podlagi člena 88(1) te uredbe. Ta člen 9, ki ureja obdelavo posebnih vrst podatkov, ki jih našteva, je namreč del poglavja II navedene uredbe, tako kot njena člena 5 in 6, katerih zahteve se poleg tega lahko kumulirajo z zahtevami, ki izhajajo iz navedenega člena 9 (glej v tem smislu sodbo z dne 21. decembra 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, točke 73 in od 77 do 79). Poleg tega je ta razlaga v skladu s ciljem tega člena 9, katerega namen je zagotoviti večje varstvo pred obdelavo, ki bi zaradi posebne občutljivosti podatkov, ki se obdelujejo, lahko pomenila posebno hud poseg v temeljne pravice posameznikov, na katere se nanašajo osebni podatki (glej v tem smislu sodbo z dne 4. oktobra 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, točka 89 in navedena sodna praksa).

49

Kadar torej pravo države članice vsebuje „podrobnejša pravila“ v smislu člena 88(1) SUVP, je treba pri obdelavi osebnih podatkov, za katere veljajo ta pravila, spoštovati ne le pogoje iz odstavkov 1 in 2 tega člena, ampak tudi pogoje iz členov 5, 6 in 9 te uredbe, kot jih razlaga sodna praksa Sodišča.

50

Glede na zgoraj navedene razloge je treba na prvo vprašanje odgovoriti, da je treba člen 88(1) in (2) SUVP razlagati tako, da mora nacionalna določba, katere predmet je obdelava osebnih podatkov za namene delovnih razmerij in ki je bila sprejeta na podlagi člena 88(1) te uredbe, učinkovati tako, da so njeni naslovniki zavezani k spoštovanju ne le zahteve iz člena 88(2) navedene uredbe, ampak tudi zahtev iz člena 5, člena 6(1) ter člena 9(1) in (2) iste uredbe.

51

Predložitveno sodišče z drugim vprašanjem v bistvu sprašuje, ali je treba člen 88(1) SUVP razlagati tako, da bi – kadar kolektivna pogodba spada na področje uporabe te določbe – polje proste presoje, ki naj bi ga imele stranke te pogodbe za določitev „potrebnosti“ obdelave osebnih podatkov v smislu člena 5, člena 6(1) ter člena 9(1) in (2) te uredbe, nacionalnemu sodišču preprečevalo, da bi v zvezi s tem izvajalo celovit sodni nadzor.

52

Najprej je treba opozoriti, kot je bilo poudarjeno v točki 41 te sodbe, da morajo države članice, ki uporabijo možnost, ki jim je dana s členom 88 SUVP, svoje polje proste presoje uporabljati pod pogoji in v mejah, določenih z določbami te uredbe, ter tako zagotoviti, da „podrobnejša pravila“, ki jih uvedejo v svoj notranji pravni red, ne posegajo v vsebino in cilje navedene uredbe. Namen teh pravil mora biti zlasti zagotavljanje visoke ravni varstva temeljnih pravic in svoboščin zaposlenih pri obdelavi njihovih osebnih podatkov v okviru delovnih razmerij.

53

V zvezi z obsegom sodnega nadzora, ki ga je mogoče opraviti v zvezi s takimi podrobnimi pravili, je Sodišče že razsodilo, da mora nacionalno sodišče, ki odloča o sporu in ki je edino pristojno za razlago nacionalnega prava, presoditi, ali so ta pravila v skladu s pogoji in omejitvami, določenimi zlasti v členu 88 SUVP. V skladu z načelom primarnosti prava Unije navedeno sodišče, kadar ugotovi, da zadevne nacionalne določbe niso v skladu s temi pogoji in omejitvami, navedenih določb ne sme uporabiti. Kadar ni podrobnejših pravil, ki bi izpolnjevala zahteve iz tega člena 88, je obdelava osebnih podatkov v okviru delovnih razmerij neposredno urejena s to uredbo (glej v tem smislu sodbo z dne 30. marca 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, točke 80, od 82 do 84 in 89).

54

Ti preudarki veljajo tudi za stranke kolektivne pogodbe iz člena 88 SUVP, kakršna je ta iz postopka v glavni stvari. Kot je Evropska komisija v bistvu poudarila v pisnem stališču, morajo stranke kolektivne pogodbe imeti polje proste presoje, ki je zlasti glede njegovih omejitev enakovredno polju proste presoje, ki ga imajo države članice, saj „podrobnejša pravila“ iz člena 88(1) lahko izhajajo zlasti iz kolektivnih pogodb. V uvodni izjavi 155 te uredbe je navedeno tudi, da so takšna pravila lahko določena v zakonodaji držav članic ali v kolektivnih pogodbah, vključno v „sporazumih na ravni podjetja“.

55

Ne glede na polje proste presoje, ki ga člen 88 SUVP dopušča strankam kolektivne pogodbe, se mora torej sodni nadzor take pogodbe, tako kot sodni nadzor predpisa nacionalnega prava, sprejetega na podlagi te določbe, brez kakršne koli omejitve nanašati na izpolnjevanje vseh pogojev in omejitev, predpisanih z določbami te uredbe za obdelavo osebnih podatkov.

56

Poleg tega je treba pojasniti, da je treba s takšno sodno presojo natančneje preveriti, ali je obdelava teh podatkov „potrebna“ v smislu členov 5, 6 in 9 SUVP. Z drugimi besedami, člena 88 te uredbe ni mogoče razlagati tako, da imajo stranke kolektivne pogodbe polje proste presoje, ki bi jim omogočalo uvedbo „podrobnejših pravil“, ki bi vodila k manj strogi uporabi ali celo izključitvi navedene zahteve po potrebnosti.

57

Res je, kot sta v bistvu ugotovila predložitveno sodišče in Irska, da stranke kolektivne pogodbe na splošno lahko presojajo, ali je obdelava podatkov potrebna v konkretnem delovnem okolju, saj te stranke običajno dobro poznajo potrebe na področju zaposlovanja in zadevnem sektorju dejavnosti. Vendar tak postopek ocene ne sme voditi k temu, da bi stranke sklepale kompromise glede ekonomičnosti in priročnosti, kar bi lahko neupravičeno ogrozilo cilj SUVP, in sicer zagotavljanje visoke ravni varstva temeljnih pravic in svoboščin zaposlenih v zvezi z obdelavo njihovih osebnih podatkov.

58

Zato razlaga člena 88 SUVP, v skladu s katero nacionalna sodišča ne morejo izvajati celovitega sodnega nadzora nad kolektivno pogodbo, zlasti da bi preverila, ali utemeljitve, ki jih navajajo stranke te pogodbe, dokazujejo potrebnost obdelave osebnih podatkov, ki izhaja iz te pogodbe, glede na cilj varstva, na katerega je bilo opozorjeno v prejšnji točki te sodbe, ne bi bila združljiva s to uredbo.

59

Nazadnje je treba poudariti, da nacionalno sodišče, ki odloča v tej zadevi – če bi po opravljenem nadzoru ugotovilo, da nekatere določbe zadevne kolektivne pogodbe niso v skladu s pogoji in omejitvami, določenimi s SUVP – v skladu s sodno prakso, navedeno v točki 53 te sodbe, teh določb ne bi smelo uporabiti.

60

Glede na zgoraj navedene razloge je treba na drugo vprašanje odgovoriti, da je treba člen 88(1) SUVP razlagati tako, da – kadar kolektivna pogodba spada na področje uporabe te določbe – polje proste presoje, ki ga imajo stranke te pogodbe za določitev „potrebnosti“ obdelave osebnih podatkov v smislu člena 5, člena 6(1) ter člena 9(1) in (2) te uredbe, nacionalnemu sodišču ne preprečuje, da v zvezi s tem izvede celovit sodni nadzor.

61

Glede na odgovor na drugo vprašanje na tretje vprašanje ni treba odgovoriti.

62

Ker je ta postopek za stranki v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.

Iz teh razlogov je Sodišče (osmi senat) razsodilo: