W wydanym wczoraj wyroku TSUE stwierdził, że przetwarzanie danych osobowych pracowników wykonujących swe obowiązki w formie wideokonferencji podlega przepisom o ochronie danych osobowych — zatem nie zawsze wymaga wyrażenia przez nich zgody.
wyrok Trybunału Sprawiedliwości UE z 30 marca 2023 r. w/s Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium vs. Minister des Hessischen Kultusministeriums (C-34/21)
1) Uregulowanie krajowe nie może stanowić „bardziej szczegółowego przepisu” w rozumieniu art. 88 ust. 1 RODO, jeżeli nie spełnia warunków określonych w ust. 2 tego artykułu.
2) [Zgodnie z RODO] należy odstąpić od stosowania przepisów krajowych przyjętych w celu zapewnienia ochrony praw i wolności pracowników w zakresie przetwarzania ich danych osobowych w związku z zatrudnieniem, jeżeli przepisy te nie spełniają warunków i ograniczeń określonych w tym art. 88 ust. 1 i 2, chyba że przepisy te stanowią podstawę prawną, o której mowa w art. 6 ust. 3 tego rozporządzenia, zgodną z przewidzianymi w nim wymogami.
Sprawa zaczęła się od przyjętej przez ministerstwo edukacji Hesji regulacji umożliwiającej prowadzenie szkolnych lekcji poprzez wideokonferencję (bo koronawirus). Zgodnie z przepisami udział ucznia w takich zajęciach mógł nastąpić za zgodą (ucznia lub rodziców), „natomiast zgoda zainteresowanych nauczycieli na ich udział w tej usłudze nie została przewidziana” — co spotkało się ze sprzeciwem rady głównej nauczycieli.
Spór trafił do sądu, który zwrócił uwagę, że wprawdzie federalne i landowe prawo daje podstawę do przetwarzania danych osobowych pracowników, jednak można mieć wątpliwości, czy te normy są zgodne z art. 88 RODO, a zwrócił się w trybie prejudycjalnym do TSUE.
W wydanym wyroku Trybunał Sprawiedliwości UE uznał, że przetwarzanie danych osobowych pracowników w związku wykonywaniem pracy, tj. prowadzenia lekcji w formie wideokonferencji, powinno być zgodne z przepisami o ochronie danych osobowych.
RODO pozwala na przyjmowanie przez poszczególne państwa własnych — bardziej szczegółowych, „restrykcyjnych lub wprowadzających odstępstwa” — regulacji dotyczących przetwarzania danych osobowych pracowników. Takie ustawy nie mogą powielać treści rozporządzenia, ale też nie mogą odbiegać od gwarantowanego zakresu ochrony praw i wolności, w tym w zakresie legalności (zasad i przesłanek) przetwarzania danych. W przypadku sprzeczności przepisów krajowych z uregulowaniem unijnym obowiązkiem sądu jest — biorąc pod uwagę zasadę bezpośredniego stosowania rozporządzeń — dokonać ich wykładni i ocenić, czy są one niezgodne z RODO.
art. 88 ust. 1-2 rozporządzenia 679/2016 o ochronie danych osobowych
1. Państwa członkowskie mogą zawrzeć w swoich przepisach lub w porozumieniach zbiorowych bardziej szczegółowe przepisy mające zapewnić ochronę praw i wolności w przypadku przetwarzania danych osobowych pracowników w związku z zatrudnieniem (…).
2. Przepisy te muszą obejmować odpowiednie i szczegółowe środki zapewniające osobie, której dane dotyczą, poszanowanie jej godności, prawnie uzasadnionych interesów i praw podstawowych (…)
art. 6 ust. 1 RODO
Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:
b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
Biorąc pod uwagę, że przepisy przewidują kilka różnych, alternatywnych przesłanek przetwarzania, przetwarzanie danych pracowników na potrzeby prowadzonej wideokonferencji można rozpatrywać jako niezbędne dla wykonania umowy o pracę. Można też przyjąć, iż w przypadku nauczycieli prowadzących transmisję online lekcji przesłanką tą będzie niezbędność do wypełnienia ciążącego na administratorze obowiązku prawnego lub też wykonania zadania realizowanego w interesie publicznym, o ile rzecz jasna cel tego przetwarzania został określony normatywnie (art. 6 ust. 3 RODO). Stąd też obowiązkiem sądu będzie także zbadanie, czy przepisy prawa krajowego w prawidłowy sposób określają owe cele — jeśli tak, podstawa do odstąpienia od ich stosowania nie zaistnieje.