Европейският съд излезе с решение по дело C‑34/21 Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium срещу Minister des Hessischen Kultusministeriums.
Делото има следната предостория свързана с обработка на лични данни и нужното за това съгласие:
Както е видно от представената на Съда преписка, с два акта, приети през 2020 г., министърът на образованието и културата на провинция Хесен, Германия установява правната и организационна уредба на училищното образование през периода на пандемията от COVID-19. Тази уредба създава по-специално възможността учениците, които не могат да присъстват в часовете, да участват пряко в учебните занятия чрез видеоконферентна връзка. За да се защитят правата на учениците в областта на защитата на личните данни, е установено, че свързването със системата на услугата за видеоконферентна връзка е допустимо само със съгласието на самите ученици или, ако те са непълнолетни, на техните родители. За сметка на това не е предвидено съгласието на съответните преподаватели за участието им в тази услуга.
Главният комитет на учителския състав към Министерството на образованието и културата на провинция Хесен подава жалба до Административен съд Висбаден, Германия, като се оплаква, че съгласието на съответните преподаватели не е предвидено като условие за прякото излъчване на учебните занятия чрез видеоконферентна връзка.
От своя страна министърът на образованието и културата на провинция Хесен изтъква, че обработването на лични данни, каквото представлява прякото излъчване на учебните занятия чрез видеоконферентна връзка, попада в приложното поле на член 23, параграф 1, първо изречение от HDSIG, така че то можело да се осъществи, без да се иска съгласието на съответния преподавател.
В това отношение Административен съд Висбаден посочва, че съобразно волята на законодателя на провинция Хесен член 23 от HDSIG и член 86 от HBG спадат към категорията „по-конкретни правила“, които държавите членки могат да предвидят съгласно член 88, параграф 1 от ОЗРД, за да гарантират защитата на правата и свободите по отношение на обработването на личните данни на наетите лица по трудово или служебно правоотношение. Посочената юрисдикция обаче изпитва съмнения относно съвместимостта на член 23, параграф 1, първо изречение от HDSIG и на член 86, параграф 4 от HBG с изискванията, установени в член 88, параграф 2 от ОРЗД.
Всъщност, на първо място, член 23, параграф 1, първо изречение от HDSIG и член 86, параграф 4 от HBG се основавали на „необходимостта“ като правно основание за обработването на данните на наетите лица. От една страна обаче, включването в закона на принципа на „необходимост“ не представлявало правило, с което се конкретизират изискванията, съдържащи се в член 88, параграф 2 от ОРЗД, тъй като необходимото обработване на данни в контекста на трудово или служебно правоотношение вече било уредено от член 6, параграф 1, първа алинея, буква б) от ОРЗД.
От друга страна, член 23, параграф 1, първо изречение от HDSIG се прилагал освен към същинското договорно правоотношение към всяко обработване на данни на наети лица. От член 6, параграф 1, първа алинея, буква е) от ОРЗД обаче следвало, че в случай на обработване на лични данни, което надхвърля строго необходимото в контекста на трудовия договор, трябва да се прави претегляне на свободите и основните права на субектите на данни, в случая наетите лица и държавните служители, с легитимния интерес на администратора, в случая работодателя. Доколкото член 23, параграф 1, първо изречение от HDSIG не предвиждал такова претегляне, тази разпоредба не можела да се счита за специална отраслова норма след влизането в сила на ОРЗД.
На второ място Административен съд Висбаден счита, че само указването в член 23, параграф 5 HDSIG, че администраторът е длъжен да спазва залегналите в член 5 от ОРЗД принципи, не удовлетворява изискванията на член 88, параграф 2 от същия регламент. Всъщност последната разпоредба изисквала да се приемат посочените в нея подходящи и конкретни нормативни разпоредби за защита на човешкото достойнство, законните интереси и основните права на субекта на данните, по-специално по отношение на прозрачността на обработването, предаването на лични данни в рамките на група предприятия или група дружества, участващи в съвместна стопанска дейност и системите за наблюдение на работното място и не била само правило, което прилагащият национална норма трябвало допълнително да спазва. Прилагащият нормата не бил адресатът на член 88, параграф 2 от ОРЗД.
При тези условия Административен съд Висбаден решава да спре производството и да постави на Съда следните преюдициални въпроси:
„1) Трябва ли член 88, параграф 1 от [ОРЗД] да се тълкува в смисъл, че за да представлява по-конкретно правило за гарантиране на защитата на правата и свободите по отношение на обработването на личните данни на наетите лица по трудово или служебно правоотношение, по смисъла на член 88, параграф 1 от [ОРЗД], дадена правна разпоредба трябва да отговаря на изискванията, предвидени в член 88, параграф 2 от [ОРЗД] за тези правила?
2) Може ли национална правна норма, дори когато очевидно не отговаря на изискванията по член 88, параграф 2 от [ОРЗД], все пак да продължи да бъде приложима?“.
Решението на съда:
1) Член 88 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкува в смисъл, че:
национална правна уредба не може да представлява „по-конкретно правило“ по смисъла на параграф 1 от този член, в случай че не отговоря на условията, поставени в параграф 2 от посочения член.
2) Член 88, параграфи 1 и 2 от Регламент 2016/679 трябва да се тълкува в смисъл, че:
национални разпоредби, приети, за да се гарантира защитата на правата и свободите на наетите лица по отношение на обработването на техните лични данни в контекста на трудово или служебно правоотношение, трябва да се оставят без приложение, когато тези разпоредби не зачитат условията и пределите, предвидени в посочения член 88, параграфи 1 и 2, освен ако въпросните разпоредби представляват правно основание, посочено в член 6, параграф 3 от Регламента, което отговаря на предвидените в него изисквания.
