Hotărârea Curții (Camera a opta) din 19 decembrie 2024.#MK împotriva K GmbH.#Cerere de decizie preliminară formulată de Bundesarbeitsgericht.#Trimitere preliminară – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul (UE) nr. 2016/679 – Articolul 88 alineatele (1) și (2) – Prelucrarea în contextul ocupării unui loc de muncă – Datele cu caracter personal ale angajaților – Norme mai detaliate prevăzute de un stat membru în temeiul acestui articol 88 – Obligația de a respecta articolul 5, articolul 6 alineatul (1), precum și articolul 9 alineatele (1) și (2) din acest regulament – Prelucrare pe baza unui acord colectiv – Marjă de apreciere a părților la acordul colectiv în ceea ce privește necesitatea prelucrării datelor cu caracter personal prevăzută de acesta – Întinderea controlului jurisdicțional.#Cauza C-65/23.

Cererea de decizie preliminară privește interpretarea articolului 82 alineatul (1), precum și a articolului 88 alineatele (1) și (2) coroborat cu articolul 5, cu articolul 6 alineatul (1), precum și cu articolul 9 alineatele (1) și (2) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, denumit în continuare „RGPD”).

Această cerere a fost formulată în cadrul unui litigiu între MK, o persoană fizică, pe de o parte, și K GmbH, angajatorul său, pe de altă parte, în legătură cu repararea prejudiciului moral pe care această persoană pretinde că l‑a suferit ca urmare a unei prelucrări a datelor sale cu caracter personal efectuate de această societate pe baza unui acord de muncă.

Considerentele (8), (10) și (155) ale RGPD au următorul cuprins: „(8) În cazul în care prezentul regulament prevede specificări sau restricționări ale normelor sale de către dreptul intern, statele membre pot, în măsura în care acest lucru este necesar pentru coerență și pentru a asigura înțelegerea dispozițiilor naționale de către persoanele cărora li se aplică acestea, să încorporeze elemente din prezentul regulament în dreptul lor intern. […] (10) Pentru a se asigura un nivel consecvent și ridicat de protecție a persoanelor fizice și pentru a se îndepărta obstacolele din calea circulației datelor cu caracter personal în cadrul Uniunii [Europene], nivelul protecției drepturilor și libertăților persoanelor fizice în ceea ce privește prelucrarea unor astfel de date ar trebui să fie echivalent în toate statele membre. Aplicarea consecventă și omogenă a normelor în materie de protecție a drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal ar trebui să fie asigurată în întreaga Uniune. […] Prezentul regulament oferă, de asemenea, statelor membre o marjă de manevră în specificarea normelor sale, inclusiv în ceea ce privește prelucrarea categoriilor speciale de date cu caracter personal («date sensibile»). În acest sens, prezentul regulament nu exclude dreptul statelor membre care stabilește circumstanțele aferente unor situații de prelucrare specifice, inclusiv stabilirea cu o mai mare precizie a condițiilor în care prelucrarea datelor cu caracter personal este legală. […] (155) Dreptul intern sau acordurile colective, inclusiv «acordurile de muncă», pot prevedea norme specifice care să reglementeze prelucrarea datelor cu caracter personal ale angajaților în contextul ocupării unui loc de muncă, în special condițiile în care datele cu caracter personal în contextul ocupării unui loc de muncă pot fi prelucrate pe baza consimțământului angajatului, în scopul recrutării, al respectării clauzelor contractului de muncă, inclusiv descărcarea de obligațiile stabilite prin lege sau prin acorduri colective, al gestionării, planificării și organizării muncii, al egalității și diversității la locul de muncă, al asigurării sănătății și securității la locul de muncă, precum și în scopul exercitării și beneficierii, în mod individual sau colectiv, de drepturile și beneficiile legate de ocuparea unui loc de muncă, precum și în scopul încetării raporturilor de muncă.”

Articolul 4 din acest regulament, intitulat „Definiții”, prevede: „În sensul prezentului regulament: 1. «date cu caracter personal» înseamnă orice informații privind o persoană fizică identificată sau identificabilă («persoana vizată»); […] 2. «prelucrare» înseamnă orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate […] […] 7. «operator» înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal; […] […]”

Capitolul II din RGPD, intitulat „Principii”, cuprinde articolele 5-11 din acesta.

Articolul 5 din acest regulament, intitulat „Principii legate de prelucrarea datelor cu caracter personal”, prevede: „(1) Datele cu caracter personal sunt: […] (c) adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate («reducerea la minimum a datelor»); […] (f) prelucrate într‑un mod care asigură securitatea adecvată a datelor cu caracter personal, inclusiv protecția împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, a distrugerii sau a deteriorării accidentale, prin luarea de măsuri tehnice sau organizatorice corespunzătoare («integritate și confidențialitate»); (2) Operatorul este responsabil de respectarea alineatului (1) și poate demonstra această respectare («responsabilitate»).”

Articolul 6 din regulamentul menționat, intitulat „Legalitatea prelucrării”, prevede: „(1) Prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una dintre următoarele condiții: (a) persoana vizată și‑a dat consimțământul pentru prelucrarea datelor sale cu caracter personal pentru unul sau mai multe scopuri specifice; (b) prelucrarea este necesară pentru executarea unui contract la care persoana vizată este parte sau pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract; (c) prelucrarea este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului; (d) prelucrarea este necesară pentru a proteja interesele vitale ale persoanei vizate sau ale altei persoane fizice; (e) prelucrarea este necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul; (f) prelucrarea este necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un copil. Litera (f) din primul paragraf nu se aplică în cazul prelucrării efectuate de autorități publice în îndeplinirea atribuțiilor lor. (2) Statele membre pot menține sau introduce dispoziții mai specifice de adaptare a aplicării normelor prezentului regulament în ceea ce privește prelucrarea în vederea respectării alineatului (1) literele (c) și (e) prin definirea unor cerințe specifice mai precise cu privire la prelucrare și a altor măsuri de asigurare a unei prelucrări legale și echitabile, inclusiv pentru alte situații concrete de prelucrare, astfel cum este prevăzut în capitolul IX. (3) Temeiul pentru prelucrarea menționată la alineatul (1) literele (c) și (e) trebuie să fie prevăzut în: (a) dreptul Uniunii; sau (b) dreptul intern care se aplică operatorului. […] Respectivul temei juridic poate conține dispoziții specifice privind adaptarea aplicării normelor prezentului regulament, printre altele: condițiile generale care reglementează legalitatea prelucrării de către operator; tipurile de date care fac obiectul prelucrării; persoanele vizate; entitățile cărora le pot fi divulgate datele și scopul pentru care respectivele date cu caracter personal pot fi divulgate; limitările legate de scop; perioadele de stocare; și operațiunile și procedurile de prelucrare, inclusiv măsurile de asigurare a unei prelucrări legale și echitabile cum sunt cele pentru alte situații concrete de prelucrare astfel cum sunt prevăzute în capitolul IX. […] […]”

Articolul 9 din același regulament, intitulat „Prelucrarea de categorii speciale de date cu caracter personal”, este redactat după cum urmează: „(1) Se interzice prelucrarea de date cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate și prelucrarea de date genetice, de date biometrice pentru identificarea unică a unei persoane fizice, de date privind sănătatea sau de date privind viața sexuală sau orientarea sexuală ale unei persoane fizice. (2) Alineatul (1) nu se aplică în următoarele situații: (a) persoana vizată și‑a dat consimțământul explicit pentru prelucrarea acestor date cu caracter personal pentru unul sau mai multe scopuri specifice, cu excepția cazului în care dreptul Uniunii sau dreptul intern prevede ca interdicția prevăzută la alineatul (1) să nu poată fi ridicată prin consimțământul persoanei vizate; (b) prelucrarea este necesară în scopul îndeplinirii obligațiilor și al exercitării unor drepturi specifice ale operatorului sau ale persoanei vizate în domeniul ocupării forței de muncă și al securității sociale și protecției sociale, în măsura în care acest lucru este autorizat de dreptul Uniunii sau de dreptul intern ori de un acord colectiv de muncă încheiat în temeiul dreptului intern care prevede garanții adecvate pentru drepturile fundamentale și interesele persoanei vizate; […]”

Figurând în capitolul VIII din RGPD, intitulat „Căi de atac, răspundere și sancțiuni”, articolul 82 din acest regulament, intitulat la rândul său „Dreptul la despăgubiri și răspunderea”, prevede la alineatul (1): „Orice persoană care a suferit un prejudiciu material sau moral ca urmare a unei încălcări a prezentului regulament are dreptul să obțină despăgubiri de la operator sau de la persoana împuternicită de operator pentru prejudiciul suferit.”

Figurând în capitolul IX din RGPD, intitulat „Dispoziții referitoare la situații specifice de prelucrare”, articolul 88 din acest regulament, intitulat la rândul său „Prelucrarea în contextul ocupării unui loc de muncă”, prevede la alineatele (1) și (2): „(1) Prin lege sau prin acorduri colective, statele membre pot prevedea norme mai detaliate pentru a asigura protecția drepturilor și a libertăților cu privire la prelucrarea datelor cu caracter personal ale angajaților în contextul ocupării unui loc de muncă, în special în scopul recrutării, al îndeplinirii clauzelor contractului de muncă, inclusiv descărcarea de obligațiile stabilite prin lege sau prin acorduri colective, al gestionării, planificării și organizării muncii, al egalității și diversității la locul de muncă, al asigurării sănătății și securității la locul de muncă, al protejării proprietății angajatorului sau a clientului, precum și în scopul exercitării și beneficierii, în mod individual sau colectiv, de drepturile și beneficiile legate de ocuparea unui loc de muncă, precum și pentru încetarea raporturilor de muncă. (2) Aceste norme includ măsuri corespunzătoare și specifice pentru garantarea demnității umane, a intereselor legitime și a drepturilor fundamentale ale persoanelor vizate, în special în ceea ce privește transparența prelucrării, transferul de date cu caracter personal în cadrul unui grup de întreprinderi sau al unui grup de întreprinderi implicate într‑o activitate economică comună și sistemele de monitorizare la locul de muncă.”

Articolul 99 din RGPD, intitulat „Intrare în vigoare și aplicare”, are următorul cuprins: „(1) Prezentul regulament intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene. (2) Prezentul regulament se aplică de la 25 mai 2018.”

Articolul 26 din Bundesdatenschutzgesetz (Legea federală privind protecția datelor) din 30 iunie 2017 (BGBl. 2017 I, p. 2097, denumită în continuare „BDSG”), intitulat „Prelucrarea datelor în scopul desfășurării raportului de muncă”, prevede la alineatele (1) și (4): „(1) Datele cu caracter personal ale angajaților pot fi prelucrate în scopul desfășurării raportului de muncă, în cazul în care acest lucru este necesar pentru a decide cu privire la stabilirea unui raport de muncă sau, după stabilirea raportului de muncă, pentru executarea sau încetarea acestuia ori pentru exercitarea sau respectarea drepturilor și obligațiilor legate de reprezentarea intereselor angajaților care decurg dintr‑o lege sau dintr‑un instrument de reglementare colectivă ori dintr‑un acord de muncă sau de serviciu (acord colectiv). […] […] (4) Prelucrarea datelor cu caracter personal, inclusiv a categoriilor speciale de date cu caracter personal ale angajaților în scopul desfășurării raportului de muncă, este autorizată pe baza unor acorduri colective. Astfel, părțile participante la negociere trebuie să respecte articolul 88 alineatul (2) din [RGPD].”

Reclamantul din litigiul principal este angajat al pârâtei din litigiul principal, o societate de drept german, și prezidează comitetul de întreprindere constituit în cadrul acestei societăți.

Inițial, societatea menționată a procedat la prelucrarea anumitor date cu caracter personal ale angajaților săi în cadrul utilizării unui sistem informatic denumit „SAP” (în continuare „sistemul SAP”), în special în scopuri contabile, și a încheiat, împreună cu comitetul său de întreprindere, mai multe acorduri de muncă în această privință.

În cursul anului 2017, grupul de societăți D, din care face parte pârâta din litigiul principal (denumit în continuare „grupul D”), a introdus în întregul grup sistemul informatic „Workday” (denumit în continuare „sistemul Workday”), care funcționează în cloud, ca sistem unic de gestionare a informațiilor referitoare la personal. În acest cadru, pârâta din litigiul principal a transferat diverse date cu caracter personal ale angajaților săi din software‑ul SAP către un server al societății‑mamă a grupului D, situat în Statele Unite.

La 3 iulie 2017, pârâta din litigiul principal și comitetul său de întreprindere au încheiat un acord prin care se stabilea o toleranță în ceea ce privește introducerea sistemului Workday (denumit în continuare „acordul de muncă cu clauză de toleranță”), care interzicea printre altele ca acest sistem informatic, în faza experimentală, să fie utilizat în scopul gestionării resurselor umane, precum evaluarea unui lucrător. Potrivit anexei 2 la acest acord, singurele categorii de date care puteau fi transferate în vederea alimentării sistemului Workday erau numărul matricol alocat lucrătorului în cadrul grupului D, numele său de familie, prenumele, numărul său de telefon, data intrării sale în funcție în societatea în cauză, data intrării sale în funcție în grupul D, locul său de muncă, numele societății în cauză, precum și numărul său de telefon și adresa electronică profesională. Efectele acordului menționat au fost prelungite până la intrarea în vigoare a unui acord de muncă final, încheiat la 23 ianuarie 2019.

În acest context, reclamantul din litigiul principal a introdus la Arbeitsgericht (Tribunalul pentru Litigii de Muncă, Germania), apoi la Landesarbeitsgericht (Tribunalul Superior pentru Litigii de Muncă, Germania) competente teritorial cereri având ca obiect obținerea accesului la anumite informații, ștergerea datelor care îl privesc și acordarea unei reparații. Acest reclamant a susținut în special că pârâta din litigiul principal transferase către serverul societății‑mamă date cu caracter personal care îl priveau, dintre care unele nu erau menționate în acordul de muncă cu clauză de toleranță, în special datele sale private, detaliile contractului său și ale remunerației sale, numerele sale de securitate socială și de identificare fiscală, cetățenia sa, precum și starea sa civilă.

Întrucât nu a obținut câștig deplin, reclamantul din litigiul principal a formulat recurs la Bundesarbeitsgericht (Curtea Federală pentru Litigii de Muncă, Germania), care este instanța de trimitere. Este încă pendinte numai cererea acestui reclamant având ca obiect repararea, în temeiul RGPD, a prejudiciului moral pe care l‑ar fi suferit ca urmare a unei prelucrări nelegale a datelor sale cu caracter personal prin intermediul sistemului Workday, în perioada cuprinsă între prima zi în care acest regulament a devenit aplicabil, și anume 25 mai 2018, și sfârșitul primului trimestru al anului 2019.

În ceea ce privește caracterul ilegal al acestei prelucrări, reclamantul din litigiul principal arată, pe de o parte, că aceasta nu era necesară nici în scopul raportului de muncă, pentru care pârâta din litigiul principal utiliza atunci sistemul SAP, nici în scopul experimentării sistemului Workday, întrucât utilizarea unor date fictive ar fi fost suficientă în acest scop și ar fi garantat că nicio dată reală nu va deveni accesibilă în cadrul grupului D. Pe de altă parte, chiar presupunând că acordul de muncă cu clauză de toleranță poate constitui o bază valabilă pentru prelucrarea menționată, limitele autorizației care figurează în acesta ar fi fost depășite din moment ce pârâta ar fi transmis alte date decât cele prevăzute în anexa 2 la acest acord. În sfârșit, sarcina de a dovedi că acțiunile pârâtei menționate sunt conforme cu RGPD ar reveni acesteia din urmă.

Pârâta din litigiul principal obiectează că prelucrarea în discuție respectă cerințele RGPD, că sarcina probei revine reclamantului din litigiul principal și că acesta nu a demonstrat nici existența unui prejudiciu moral, nici legătura de cauzalitate dintre o eventuală încălcare a acestui regulament și prejudiciul invocat.

Instanța de trimitere consideră că operațiunile contestate de reclamantul din litigiul principal intră în domeniul de aplicare material al RGPD, întrucât constituie o „prelucrare” a „datelor cu caracter personal” ale acestei „persoane vizate”, în sensul articolului 4 punctele 1 și 2 din acest regulament. În plus, aceasta arată că pârâta din litigiul principal are calitatea de „operator”, în sensul articolului 4 punctul 7 din regulamentul menționat. În ceea ce privește domeniul de aplicare temporal al acestuia din urmă, ea subliniază că tratamentul a început, desigur, înainte de data la care acest instrument a devenit aplicabil, dar că a continuat totuși după această dată din cauza mai multor prelungiri ale efectelor inițiale ale acordului de muncă cu clauză de toleranță.

În acest context, instanța de trimitere ridică, în primul rând, problema dacă o normă națională care reglementează prelucrarea datelor cu caracter personal în scopul desfășurării raporturilor de muncă, care prevede în esență că o astfel de prelucrare efectuată în temeiul unor acorduri colective este legală sub rezerva respectării articolului 88 alineatul (2) din RGPD, precum articolul 26 alineatul (4) din BDSG, este compatibilă cu acest regulament sau dacă, în acest scop, prelucrarea în cauză trebuie să fie de asemenea conformă cu celelalte dispoziții ale acestuia. Această instanță tinde să aprecieze că, atunci când prelucrarea datelor cu caracter personal ale angajaților este reglementată de un „acord colectiv”, în sensul articolului 88 din RGPD, această prelucrare nu se poate abate de la cerințele care decurg nu numai din acest articol 88, ci și din articolul 5, din articolul 6 alineatul (1), precum și din articolul 9 alineatele (1) și (2) din acest regulament, în special în ceea ce privește criteriul necesității prelucrării prevăzut la aceste din urmă trei articole.

În al doilea rând, în cazul unui răspuns afirmativ la prima sa întrebare, instanța menționată ridică problema dacă părțile la un astfel de acord colectiv dispun de o marjă de apreciere care ar trebui să facă obiectul numai al unui control jurisdicțional restrâns în ceea ce privește evaluarea necesității prelucrării în cauză, în sensul articolului 5, al articolului 6 alineatul (1), precum și al articolului 9 alineatele (1) și (2) din RGPD. În opinia sa, această teză poate fi susținută de argumentația potrivit căreia aceste părți ar avea o mare proximitate față de viața întreprinderii și ar fi ajuns în general la un just echilibru între interesele existente. Cu toate acestea, jurisprudența Curții referitoare la alte acte de drept al Uniunii, în special Hotărârea din 7 februarie 1991, Nimz (C‑184/89, EU:C:1991:50), și Hotărârea din 20 martie 2003, Kutz‑Bauer (C‑187/00, EU:C:2003:168), ar lăsa mai degrabă să se creadă că dispozițiile unei convenții colective care intră în domeniul de aplicare al acestui drept nu pot fi contrare acestuia și că, dacă este necesar, ar trebui să fie lăsate neaplicate astfel de dispoziții.

În al treilea rând, în ipoteza în care răspunsul la a doua întrebare ar fi afirmativ, instanța de trimitere dorește să cunoască criteriile de apreciere la care ar trebui, dacă este cazul, să își limiteze controlul jurisdicțional.

În sfârșit, întrebările a patra, a cincea și a șasea, adresate inițial de instanța de trimitere, înainte de retragerea lor de către aceasta, priveau în esență dreptul la repararea unui prejudiciu moral în temeiul articolului 82 alineatul (1) din RGPD.

În aceste condiții, Bundesarbeitsgericht (Curtea Federală pentru Litigii de Muncă) a decis să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare: „1) O dispoziție de drept național adoptată în temeiul articolului 88 alineatul (1) din [RGPD], precum articolul 26 alineatul (4) din [BDSG], care prevede că prelucrarea datelor cu caracter personal, inclusiv a categoriilor speciale de date cu caracter personal ale angajaților în scopul desfășurării raportului de muncă, este autorizată pe baza acordurilor colective în conformitate cu articolul 88 alineatul (2) din RGPD, trebuie interpretată în sensul că și celelalte dispoziții ale RGPD – precum articolul 5, articolul 6 alineatul (1) și articolul 9 alineatele (1) și (2) din RGPD – trebuie să fie întotdeauna respectate? 2) În cazul unui răspuns afirmativ la prima întrebare: O dispoziție de drept național adoptată în temeiul articolului 88 alineatul (1) din RGPD – precum articolul 26 alineatul (4) din BDSG – poate fi interpretată în sensul că părțile la un acord colectiv (în speță, părțile la un acord de muncă) dispun, în cadrul aprecierii necesității prelucrării datelor în sensul articolului 5, al articolului 6 alineatul (1) și al articolului 9 alineatele (1) și (2) din RGPD, de o marjă de apreciere care poate fi supusă numai unui control jurisdicțional limitat? 3) În cazul unui răspuns afirmativ la a doua întrebare: La ce anume se poate limita controlul jurisdicțional într‑un astfel de caz? 4) Articolul 82 alineatul (1) din RGPD trebuie interpretat în sensul că persoanele au dreptul la repararea prejudiciului moral deja în cazul în care datele lor cu caracter personal au fost prelucrate contrar prevederilor RGPD sau dreptul la repararea prejudiciului moral presupune, în plus, ca persoana vizată să facă dovada că a suferit un prejudiciu moral de o anumită pondere? 5) Articolul 82 alineatul (1) din RGPD are un caracter de prevenție specială sau generală, iar acesta trebuie să fie luat în considerare la calcularea cuantumului prejudiciului moral pe care operatorul sau persoana împuternicită de operator trebuie să îl repare în temeiul articolului 82 alineatul (1) din RGPD? 6) La calcularea cuantumului prejudiciului moral care trebuie reparat în temeiul articolului 82 alineatul (1) din RGPD trebuie să se țină seama de gravitatea culpei operatorului (sau a persoanei împuternicite de operator)? În special, lipsa culpei sau culpa minoră a operatorului (sau a persoanei împuternicite de operator) poate fi luată în considerare în apărarea sa?”

Prin decizia președintelui Curții din 24 ianuarie 2024, Hotărârea din 4 mai 2023, Österreichische Post (Prejudiciu moral legat de prelucrarea datelor cu caracter personal) (C‑300/21, EU:C:2023:370), Hotărârea din 14 decembrie 2023, Natsionalna agentsia za prihodite (C‑340/21, EU:C:2023:986), Hotărârea din 14 decembrie 2023, Gemeinde Ummendorf (C‑456/22, EU:C:2023:988), Hotărârea din 21 decembrie 2023, Krankenversicherung Nordrhein (C‑667/21, EU:C:2023:1022), precum și Hotărârea din 25 ianuarie 2024, MediaMarktSaturn (C‑687/21,EU:C:2024:72), au fost notificate instanței de trimitere pentru ca aceasta să precizeze dacă, având în vedere aceste hotărâri, dorea să își mențină cererea de decizie preliminară, mai precis în ceea ce privește întrebările a patra, a cincea și a șasea.

Prin Decizia președintelui Curții din 15 martie 2024, procedura a fost suspendată, în temeiul articolului 55 alineatul (1) litera (b) din Regulamentul de procedură al Curții, până la primirea răspunsului la întrebarea astfel adresată.

Printr‑o comunicare scrisă primită de Curte la 8 mai 2024, instanța de trimitere a informat‑o că își retrage întrebările a patra, a cincea și a șasea, însă își menținea primele trei întrebări.

Pârâta din litigiul principal susține că primele trei întrebări sunt inadmisibile, pentru motivul că nu sunt pertinente pentru soluționarea litigiului cu care este sesizată instanța de trimitere. În esență, aceasta susține că reclamantul din litigiul principal nu contestă conținutul acordului de muncă aplicabil în speță, ci o depășire a limitelor acestui acord prin prelucrarea datelor puse în discuție, astfel încât acest litigiu nu are ca obiect o încălcare a cerințelor articolului 88 din RGPD aferente unui asemenea acord. În plus, aceste întrebări ar fi ipotetice, întrucât ar urmări să permită instanței menționate să controleze legalitatea acestei prelucrări în mod global, iar nu numai în raport cu elementele contestate de reclamantul din litigiul principal.

În această privință, potrivit unei jurisprudențe constante, numai instanța națională, care este sesizată cu soluționarea litigiului și care trebuie să își asume răspunderea pentru hotărârea judecătorească ce urmează a fi pronunțată, are competența să aprecieze, luând în considerare particularitățile cauzei, atât necesitatea unei decizii preliminare pentru a fi în măsură să pronunțe propria hotărâre, cât și pertinența întrebărilor pe care le adresează Curții, care beneficiază de o prezumție de pertinență. În consecință, din moment ce întrebarea adresată privește interpretarea sau validitatea unei norme de drept al Uniunii, Curtea este în principiu obligată să se pronunțe, cu excepția cazului în care este evident că interpretarea solicitată nu are nicio legătură cu realitatea sau cu obiectul litigiului principal, atunci când problema este de natură ipotetică sau atunci când Curtea nu dispune de elementele de fapt și de drept necesare pentru a răspunde în mod util la întrebarea respectivă (Hotărârea din 20 iunie 2024, Scalable Capital, C‑182/22 și C‑189/22, EU:C:2024:531, punctul 18, precum și jurisprudența citată).

În speță, primele trei întrebări se referă la interpretarea mai multor dispoziții ale dreptului Uniunii, mai precis a articolului 88 din RGPD coroborat cu articolele 5, 6 și 9 din acesta. În plus, instanța de trimitere consideră că limitele stabilite prin acordul de muncă aplicabil în speță, pe care îl califică drept „acord colectiv” în sensul acestui regulament, au fost depășite și că prelucrarea datelor cu caracter personal în discuție în litigiul principal trebuie examinată în ansamblul său, întrucât poate fi nelegală atât în raport cu dispozițiile alineatului (1), cât și cu cele ale alineatului (4) al articolului 26 din BDSG, care se referă în mod expres la articolul 88 din RGPD.

Rezultă de aici că cererea de decizie preliminară este admisibilă.

Prin intermediul primei întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 88 alineatele (1) și (2) din RGPD trebuie interpretat în sensul că o dispoziție națională care are ca obiect prelucrarea datelor cu caracter personal în scopul desfășurării raporturilor de muncă și care a fost adoptată în temeiul articolului 88 alineatul (1) din acest regulament trebuie să aibă ca efect constrângerea destinatarilor săi să respecte nu numai cerințele care decurg din articolul 88 alineatul (2) din regulamentul menționat, ci și pe cele care decurg din articolul 5, din articolul 6 alineatul (1), precum și din articolul 9 alineatele (1) și (2) din acesta.

În această privință, trebuie amintit că RGPD urmărește să asigure o armonizare a legislațiilor naționale referitoare la protecția datelor cu caracter personal, care este, în principiu, completă. Totuși, anumite dispoziții ale regulamentului menționat deschid posibilitatea ca statele membre să prevadă norme naționale suplimentare, mai stricte sau derogatorii, și lasă acestora o marjă de apreciere asupra modului în care pot fi puse în aplicare aceste dispoziții („clauze de deschidere”) (a se vedea în acest sens Hotărârea din 30 martie 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punctul 51 și jurisprudența citată).

Articolul 88 din RGPD, referitor la prelucrarea datelor cu caracter personal în contextul ocupării unui loc de muncă, stabilește condițiile în care statele membre pot prevedea „norme mai detaliate”, prin lege sau prin acorduri colective, pentru a asigura protecția drepturilor și a libertăților angajaților vizați de o astfel de prelucrare. Considerentul (155) al acestui regulament arată printre altele că noțiunea de „acord colectiv”, în sensul acestui articol 88, include „acordurile de muncă”, precum cel în discuție în litigiul principal. Pe de altă parte, articolele 5, 6 și 9 din regulamentul menționat prevăd principiile referitoare la prelucrarea datelor cu caracter personal, condițiile de legalitate a acestei prelucrări și, respectiv, normele aferente prelucrării referitoare la categorii speciale de astfel de date.

Potrivit unei jurisprudențe constante, termenii unei dispoziții de drept al Uniunii care, precum articolul 88 din RGPD, nu conține nicio trimitere expresă la dreptul statelor membre pentru a stabili sensul și domeniul său de aplicare trebuie, în mod normal, să primească în întreaga Uniune o interpretare autonomă și uniformă, care trebuie stabilită ținând seama în special de modul de redactare a dispoziției în cauză, de obiectivele urmărite de aceasta și de contextul în care ea se înscrie (a se vedea prin analogie Hotărârea din 14 decembrie 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punctul 23 și jurisprudența citată).

În primul rând, din modul de redactare a articolului 88 din RGPD reiese că alineatul (1) al acestuia impune ca „normele mai detaliate” autorizate de această dispoziție să aibă un conținut normativ propriu domeniului reglementat și distinct de normele generale ale acestui regulament, în timp ce alineatul (2) al acestuia reglementează, în conformitate cu obiectivul de armonizare vizat de regulamentul menționat, marja de apreciere a statelor membre care intenționează să adopte o reglementare națională în temeiul acestui alineat (1) (a se vedea în acest sens Hotărârea din 30 martie 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punctele 61, 65, 72 și 75).

În schimb, acest mod de redactare nu oferă o indicație explicită cu privire la aspectul dacă „normele mai detaliate” pe care statele membre au astfel posibilitatea să le adopte trebuie să urmărească respectarea numai a cerințelor prevăzute la articolul 88 alineatul (2) din RGPD sau și a celor ale altor dispoziții ale acestui regulament, așa încât prelucrarea datelor cu caracter personal efectuată în temeiul unor asemenea norme ar trebui să fie, în plus, conformă cu aceste din urmă dispoziții.

În al doilea rând, în ceea ce privește obiectivele articolului 88 din RGPD, Curtea a declarat deja că acest articol constituie o „clauză de deschidere” și că posibilitatea conferită statelor membre prin alineatul (1) al acestuia, ținând seama de particularitățile unei astfel de prelucrări, se explică în special prin existența unei legături de subordonare între angajat și angajator. Curtea a precizat că condițiile impuse la articolul 88 alineatul (2) din acest regulament reflectă limitele marjei de apreciere lăsate statelor membre, în sensul că lipsa de armonizare inerentă acesteia nu poate fi admisă decât atunci când diferențele care subzistă sunt însoțite de garanții specifice și adecvate, care urmăresc să protejeze drepturile și libertățile angajaților în ceea ce privește prelucrarea datelor lor cu caracter personal în contextul ocupării unui loc de muncă (a se vedea în acest sens Hotărârea din 30 martie 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punctele 52, 53 și 73).

În plus, Curtea a subliniat că, atunci când statele membre exercită posibilitatea care le este acordată de articolul 88 din RGPD, ele trebuie să își utilizeze marja de apreciere în condițiile și în limitele prevăzute de dispozițiile acestui regulament și trebuie astfel să legifereze fără să aducă atingere conținutului și obiectivelor regulamentului menționat, care are ca scop în special garantarea unui nivel ridicat de protecție a drepturilor și libertăților persoanelor vizate de o astfel de prelucrare, după cum reiese din considerentul (10) al acestuia. Prin urmare, normele adoptate de un stat membru în temeiul acestui articol 88 trebuie să aibă ca obiectiv protejarea drepturilor și libertăților angajaților în ceea ce privește prelucrarea datelor lor cu caracter personal (a se vedea în acest sens Hotărârea din 30 martie 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punctele 54, 59, 62 și 74).

Or, articolul 88 din RGPD nu poate fi interpretat în sensul că „normele mai detaliate” pe care statele membre au posibilitatea să le adopte în temeiul acestui articol ar putea avea ca obiect sau ca efect eludarea obligațiilor operatorului sau ale persoanei împuternicite de operator care rezultă din alte dispoziții ale acestui regulament, în caz contrar aducându‑se atingere tuturor acestor scopuri și în special celui care vizează asigurarea unei protecții la un nivel ridicat a angajaților în cazul prelucrării datelor lor cu caracter personal în contextul ocupării unui loc de muncă.

Rezultă că articolul 88 alineatele (1) și (2) din RGPD trebuie interpretat în sensul că, chiar și atunci când statele membre se întemeiază pe acest articol pentru a introduce în ordinile lor juridice interne respective „norme mai detaliate”, printr‑o lege sau prin intermediul unor acorduri colective, cerințele care decurg din celelalte dispoziții care sunt vizate în mod special de prezenta întrebare, și anume articolul 5, articolul 6 alineatul (1), precum și articolul 9 alineatele (1) și (2) din acest regulament, trebuie de asemenea să fie îndeplinite. Aceasta este situația în special în ceea ce privește respectarea criteriului necesității prelucrării prevăzut de aceste dispoziții, cu privire la care instanța de trimitere ridică mai precis problema.

În al treilea rând, contextul în care se înscrie articolul 88 din RGPD susține această interpretare.

Astfel, articolul 88 din RGPD figurează în capitolul IX din acesta, intitulat „Dispoziții referitoare la situații specifice de prelucrare”, în timp ce articolele 5, 6 și 9 din acest regulament figurează în capitolul II din acesta, intitulat „Principii”, care are, așadar, un domeniu de aplicare mai general. Pe de altă parte, reiese cu claritate din modul de redactare a acestui articol 6, care, la alineatele (2) și (3), se referă în mod explicit la dispozițiile capitolului IX, că condițiile de legalitate prevăzute la articolul 6 menționat sunt obligatorii inclusiv în cadrul „situațiilor specifice” reglementate de dispozițiile acestui capitol IX.

În plus, potrivit unei jurisprudențe constante, orice prelucrare a datelor cu caracter personal trebuie să respecte principiile care reglementează prelucrarea unor astfel de date, precum și drepturile persoanei în cauză prevăzute în capitolele II și, respectiv, III din RGPD. În special, aceasta trebuie să fie conformă cu principiile referitoare la prelucrarea acestor date prevăzute la articolul 5 din regulamentul menționat și să îndeplinească condițiile de legalitate a prelucrării enumerate la articolul 6 din acesta [a se vedea în acest sens Hotărârea din 2 martie 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, punctul 43, și Hotărârea din 11 iulie 2024, Meta Platforms Ireland (Acțiune în reprezentare),C‑757/22, EU:C:2024:598, punctul 49, precum și jurisprudența citată].

În ceea ce privește mai precis legătura dintre articolul 88 din RGPD și alte dispoziții ale acestui regulament, Curtea a arătat, în special în lumina considerentului (8) al acestuia, că, în pofida eventualei existențe a unor „norme mai detaliate” adoptate de statele membre în temeiul articolului 88 alineatul (1) din regulamentul menționat, orice prelucrare a datelor cu caracter personal trebuie să respecte obligațiile care rezultă din dispozițiile capitolelor II și III din același regulament, precum și în special din articolele 5 și 6 din acesta (a se vedea în acest sens Hotărârea din 30 martie 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punctele 67-71).

De asemenea, obligațiile care rezultă din articolul 9 din RGPD trebuie respectate în cadrul oricărei prelucrări de date cu caracter personal care intră sub incidența acestui regulament, inclusiv în prezența unor „norme mai detaliate” adoptate în temeiul articolului 88 alineatul (1) din acesta. Astfel, acest articol 9, care reglementează prelucrarea categoriilor speciale de date pe care le enumeră, figurează în capitolul II din regulamentul menționat, la fel ca articolele 5 și 6 din acesta, ale căror cerințe pot fi, de altfel, cumulate cu cele care decurg din articolul 9 menționat (a se vedea în acest sens Hotărârea din 21 decembrie 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punctele 73 și 77‑79). În plus, această interpretare este conformă cu finalitatea aceluiași articol 9, care constă în a asigura o protecție sporită împotriva prelucrărilor care, din cauza caracterului deosebit de sensibil al datelor care fac obiectul acestora, sunt susceptibile să constituie o ingerință deosebit de gravă în drepturile fundamentale ale persoanelor vizate (a se vedea în acest sens Hotărârea din 4 octombrie 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, punctul 89 și jurisprudența citată).

Astfel, în ipoteza în care dreptul unui stat membru conține „norme mai detaliate”, în sensul articolului 88 alineatul (1) din RGPD, prelucrările de date cu caracter personal care fac obiectul acestor norme trebuie să respecte nu numai condițiile prevăzute la alineatele (1) și (2) ale acestui articol, ci și pe cele prevăzute la articolele 5, 6 și 9 din acest regulament, astfel cum au fost interpretate de jurisprudența Curții.

Având în vedere motivele care precedă, trebuie să se răspundă la prima întrebare că articolul 88 alineatele (1) și (2) din RGPD trebuie interpretat în sensul că o dispoziție națională care are ca obiect prelucrarea datelor cu caracter personal în scopul desfășurării raporturilor de muncă și care a fost adoptată în temeiul articolului 88 alineatul (1) din acest regulament trebuie să aibă ca efect constrângerea destinatarilor săi să respecte nu numai cerințele care decurg din articolul 88 alineatul (2) din regulamentul menționat, ci și pe cele care decurg din articolul 5, din articolul 6 alineatul (1), precum și din articolul 9 alineatele (1) și (2) din acesta.

Prin intermediul celei de a doua întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 88 alineatul (1) din RGPD trebuie interpretat în sensul că, atunci când un acord colectiv intră în domeniul de aplicare al acestei dispoziții, marja de apreciere de care ar dispune părțile la acest acord pentru a stabili caracterul „necesar” al unei prelucrări de date cu caracter personal, în sensul articolului 5, al articolului 6 alineatul (1), precum și al articolului 9 alineatele (1) și (2) din acest regulament, ar avea ca efect împiedicarea instanței naționale de a exercita un control jurisdicțional complet în această privință.

Mai întâi, trebuie amintit că, astfel cum s‑a subliniat la punctul 41 din prezenta hotărâre, statele membre care exercită posibilitatea ce le este acordată de articolul 88 din RGPD trebuie să își utilizeze marja de apreciere în condițiile și în limitele prevăzute de dispozițiile acestui regulament și să se asigure astfel că „normele mai detaliate” pe care le introduc în ordinea lor juridică internă nu aduc atingere conținutului și obiectivelor regulamentului menționat. Aceste norme trebuie să vizeze printre altele garantarea unui nivel ridicat de protecție a libertăților și a drepturilor fundamentale ale angajaților în ceea ce privește prelucrarea datelor lor cu caracter personal în contextul ocupării unui loc de muncă.

În ceea ce privește întinderea controlului jurisdicțional care poate fi exercitat în privința unor astfel de norme specifice, Curtea a statuat deja că revine instanței naționale sesizate, singura competentă să interpreteze dreptul național, sarcina de a aprecia dacă normele menționate respectă într‑adevăr condițiile și limitele prevăzute în special la articolul 88 din RGPD. În conformitate cu principiul supremației dreptului Uniunii, în cazul în care această instanță ajunge la constatarea că dispozițiile naționale în cauză nu respectă aceste condiții și limite, îi revine atunci sarcina de a lăsa neaplicate dispozițiile menționate. În lipsa unor norme mai detaliate care să respecte cerințele acestui articol 88, prelucrarea de date cu caracter personal în contextul ocupării unui loc de muncă este reglementată în mod direct de acest regulament (a se vedea în acest sens Hotărârea din 30 martie 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punctele 80, 82-84 și 89).

Aceste considerații sunt valabile și pentru părțile la un acord colectiv vizat la articolul 88 din RGPD, precum cel în discuție în litigiul principal. Astfel, după cum a arătat Comisia Europeană în esență în observațiile sale scrise, părțile la un acord colectiv trebuie să poată dispune de o marjă de apreciere echivalentă, în special în ceea ce privește limitele sale, cu cea care este recunoscută statelor membre, din moment ce „normele mai detaliate” prevăzute la alineatul (1) al acestui articol 88 pot rezulta printre altele din acorduri colective. Considerentul (155) al acestui regulament arată de asemenea că astfel de norme pot fi prevăzute de dreptul intern sau de acordurile colective, inclusiv „acordurile de muncă”.

Astfel, în pofida marjei de apreciere pe care articolul 88 din RGPD o lasă părților la un acord colectiv, controlul jurisdicțional exercitat în privința unui asemenea acord trebuie, asemenea celui referitor la o normă de drept național adoptată în temeiul acestei dispoziții, să poată avea ca obiect fără nicio restricție respectarea tuturor condițiilor și limitelor prevăzute de dispozițiile acestui regulament pentru prelucrarea datelor cu caracter personal.

În continuare, trebuie precizat că un asemenea control jurisdicțional trebuie, mai precis, să urmărească verificarea caracterului „necesar” al prelucrării unor astfel de date, în sensul articolelor 5, 6 și 9 din RGPD. Cu alte cuvinte, articolul 88 din acesta nu poate fi interpretat în sensul că părțile la un acord colectiv dispun de o putere de apreciere care le‑ar permite să introducă „norme mai detaliate” care să conducă la aplicarea într‑un mod mai puțin strict a cerinței de necesitate menționate sau chiar la înlăturarea ei.

Desigur, astfel cum au observat în esență instanța de trimitere și Irlanda, părțile la un acord colectiv sunt în general bine plasate pentru a evalua dacă o prelucrare de date are un caracter necesar într‑un cadru profesional concret, întrucât aceste părți au de obicei cunoștințe extinse cu privire la nevoile proprii domeniului ocupării forței de muncă și sectorului de activitate în cauză. Cu toate acestea, un astfel de proces de evaluare nu trebuie să conducă la punerea în aplicare de către părțile menționate a unor compromisuri, de ordin economic sau din comoditate, care ar putea aduce atingere în mod nejustificat obiectivului RGPD de a asigura protecția la un nivel ridicat a libertăților și a drepturilor fundamentale ale angajaților în ceea ce privește prelucrarea datelor cu caracter personal care îi privesc.

Prin urmare, o interpretare a articolului 88 din RGPD potrivit căreia instanțele naționale nu ar putea exercita un control jurisdicțional complet în privința unui acord colectiv, în special pentru a verifica dacă justificările invocate de părțile la acest acord stabilesc caracterul necesar al prelucrării de date cu caracter personal care decurge din aceasta, nu ar fi compatibilă cu regulamentul menționat, având în vedere obiectivul de protecție amintit la punctul precedent din prezenta hotărâre.

În sfârșit, trebuie subliniat că, în ipoteza în care instanța națională sesizată ar ajunge, după încheierea controlului său, la constatarea că anumite dispoziții ale acordului colectiv în cauză nu respectă condițiile și limitele prevăzute de RGPD, i‑ar reveni atunci sarcina de a lăsa neaplicate aceste dispoziții, în conformitate cu jurisprudența menționată la punctul 53 din prezenta hotărâre.

Având în vedere motivele care precedă, trebuie să se răspundă la a doua întrebare că articolul 88 alineatul (1) din RGPD trebuie interpretat în sensul că, atunci când un acord colectiv intră în domeniul de aplicare al acestei dispoziții, marja de apreciere de care dispun părțile la acest acord pentru a stabili caracterul „necesar” al unei prelucrări de date cu caracter personal, în sensul articolului 5, al articolului 6 alineatul (1), precum și al articolului 9 alineatele (1) și (2) din acest regulament, nu împiedică instanța națională să exercite un control jurisdicțional complet în această privință.

Având în vedere răspunsul dat la a doua întrebare, nu este necesar să se răspundă la a treia întrebare.

Întrucât, în privința părților din litigiul principal, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.

HOTĂRÂREA CURȚII (Camera a opta)

19 decembrie 2024 ( *1 )

Hotărâre

Cadrul juridic

Dreptul Uniunii

Dreptul german

Litigiul principal și întrebările preliminare

Procedura în fața Curții

Cu privire la admisibilitatea cererii de decizie preliminară

Cu privire la întrebările preliminare

Cu privire la prima întrebare

Cu privire la a doua întrebare

Cu privire la a treia întrebare

Cu privire la cheltuielile de judecată