Решение на Европейския съд по дело C-34/21
Прякото излъчване чрез видеоконферентна връзка на учебните занятия в обществените училища попада в обхвата на GDPR, стана категорично ясно след решение на Съда на ЕС.
С два акта, приети през 2020 г., министърът на образованието и културата в провинция Хесен (Германия) установява правната и организационна уредба на училищното образование през периода на пандемията от COVID-19. Тази уредба създава по-специално възможността учениците, които не могат да присъстват в часовете, да участват пряко в учебните занятия чрез видеоконферентна връзка. За да се защитят правата на учениците в областта на защитата на личните данни, е установено, че свързването със системата на услугата за видеоконферентна връзка е допустимо само със съгласието на самите ученици или, ако те са непълнолетни, на техните родители. За сметка на това не е предвидено съгласието на съответните преподаватели за участието им в тази услуга.
Главният комитет на учителския състав към Министерството на образованието и културата на провинция Хесен завежда дело срещу ресорния министър като се оплаква, че съгласието на съответните преподаватели не е предвидено като условие за установеното в националната правна уредба пряко излъчване на учебните занятия чрез видеоконферентна връзка. Министърът изтъква, че обработването на лични данни, каквото представлява прякото излъчване на учебните занятия чрез видеоконферентна връзка, попада в приложното поле на националната правна уредба, така че то можело да се осъществи, без да се иска съгласието на съответните преподаватели.
Сезираният административен съд посочва, че съобразно волята на законодателя на провинция Хесен националната правна уредба, на основание на която се извършва обработването на лични данни на преподавателите, спада към категорията „по-конкретни правила“, които държавите членки могат да предвидят съгласно член 88, параграф 1 от Общия регламент относно защитата на данните1, за да гарантират защитата на правата и свободите на наетите лица по отношение на обработването на личните им данни в контекста на трудово или служебно правоотношение2. Посочената юрисдикция обаче изпитва съмнения относно съвместимостта на тази правна уредба с условията, поставени в член 88, параграф 2 от ОРЗД3. Ето защо тя сезира Съда с преюдициално запитване.
В решението си Съдът постановява, че национална правна уредба не може да представлява „по-конкретно правило“ по смисъла на параграф 1 от член 88 от ОРЗД, в случай че не отговоря на условията, поставени в параграф 2 от посочения член. Освен това Съдът уточнява, че национални разпоредби, приети, за да се гарантира защитата на правата и свободите на наетите лица по отношение на обработването на техните лични данни в контекста на трудово или служебно правоотношение, трябва да се оставят без приложение, когато тези разпоредби не зачитат условията и пределите, предвидени в посочения член 88, параграфи 1 и 2 от ОРЗД, освен ако посочените разпоредби представляват правно основание за обработване, посочено в друг член от ОРЗД4, което отговаря на предвидените в него изисквания.
Съображения на Съда
Съдът най-напред приема, че обработването на лични данни на преподаватели при прякото излъчване чрез видеоконферентна връзка на провежданите от тях учебни занятия в обществените училища попада в материалното приложно поле на ОРЗД. След това той уточнява, че обработването на лични данни на преподаватели, които като наети лица или държавни служители са на публична служба в провинция Хесен, попада в персоналното приложно поле на член 88 от ОРЗД, който се отнася до обработването на лични данни на наети лица в контекста на трудово или служебно правоотношение.
На първо място Съдът разглежда въпроса дали „по-конкретно правило“ по смисъла на член 88, параграф 1 от ОРЗД трябва да отговаря на условията, поставени в член 2 от този член. Според Съда от използването на израза „по-конкретни“ в текста на член 88, параграф 1 от ОРЗД следва, че посочените в тази разпоредба правила трябва да имат нормативно съдържание, което съответства на уредената област и е различно от общите правила на Регламента. От текста на член 88 от ОРЗД следва също така, че параграф 2 от този член урежда свободата на преценка на държавите членки, които възнамеряват да приемат „по-конкретни правила“ по силата на параграф 1 от посочения член. Така, от една страна, Съдът приема, че тези правила не могат да се свеждат до възпроизвеждане на разпоредбите на ОРЗД, които предвиждат условията за законосъобразност на обработването на лични данни и принципите на това обработване5 или да препращат към тези условия и принципи. Тези правила трябва да имат за цел защитата на правата и свободите на наетите лица по отношение на обработването на техните лични данни и да съдържат подходящи и конкретни мерки за защита на човешкото достойнство, на законните интереси и на основните права на субектите на данни. От друга страна, трябва да се обърне особено внимание на прозрачността на обработването, на предаването на лични данни в рамките на група предприятия или на група от дружества, участващи в съвместна стопанска дейност и на системите за наблюдение на работното място. Следователно, за да може да се квалифицира като „по-конкретно правило“ по смисъла на член 88, параграф 1 от ОРЗД, дадена правна разпоредба трябва да отговаря на условията, поставени в параграф 2 от този член.
На второ място, Съдът уточнява последиците, които следва да се изведат от констатацията на несъвместимостта на разглежданите национални разпоредби с условията и пределите, предвидени в член 88, параграфи 1 и 2 от ОРЗД.
Така Съдът припомня, че запитващата юрисдикция, която единствена е компетентна да тълкува националното право, следва да прецени дали разглежданите разпоредби зачитат предвидените в член 88 от ОРЗД условия и предели. Съдът обаче отбелязва, че тези национални разпоредби, които поставят обработването на лични данни на наетите лица в зависимост от условието обработването да е необходимо за определени цели, свързани с изпълнението на трудово правоотношение, изглежда повтарят вече прогласеното в ОРЗД условие за обща законосъобразност6 , без да добавят по-конкретно правило по смисъла на член 88, параграф 1 от Регламента. В случай че запитващата юрисдикция стигне до извода, че тези национални разпоредби не зачитат условията и пределите, предвидени в член 88 от ОРЗД, тя по принцип трябва да ги остави без приложение. Всъщност в съответствие с принципа на предимство на правото на Съюза при липсата на по-конкретни правила, които зачитат условията и пределите, предвидени в член 88 от ОРЗД, обработването на лични данни в контекста на трудово или служебно правоотношение както в частния, така и в публичния сектор се урежда пряко от разпоредбите на посочения регламент.
В това отношение Съдът отбелязва, че към обработване на лични данни като разглежданото в случая могат да се приложат други разпоредби от ОРЗД7 , по силата на които обработването на лични данни е законосъобразно, когато то е необходимо съответно за изпълнението на задача от обществен интерес или във връзка с упражняването на официални правомощия, които са предоставени на администратора, или за спазването на законово задължение, което се прилага спрямо администратора. С оглед на тези две хипотези на законосъобразност ОРЗД8 , от една страна, предвижда, че основанието за обработването трябва да е установено от правото на Съюза или от правото на държавата членка, което се прилага спрямо администратора, и от друга страна, добавя, че целта на обработването се определя в това правно основание или то е необходимо за изпълнението на задача от обществен интерес или във връзка с упражняването на официални правомощия, които са предоставени на администратора.
Следователно, когато запитващата юрисдикция стигне до извода, че националните разпоредби относно обработването на лични данни в контекста на трудово или служебно правоотношение не зачитат условията и пределите, предвидени в член 88, параграфи 1 и 2 от ОРЗД, тя трябва да провери и дали посочените разпоредби представляват правно основание за обработване, посочено в друг член от ОРЗД9 , което отговаря на предвидените в този регламент изисквания. Ако случаят е такъв, националните разпоредби не трябва да се оставят без приложение.
––
1 Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1 и поправка в ОВ L 127, 2018 г., стр. 2, наричан по-нататък „ОРЗД“).
2 Съгласно член 88, параграф 1 от ОРЗД, който представлява отворена клауза, държавите членки могат със закон или с колективни споразумения да предвидят по-конкретни правила, за да гарантират защитата на правата и свободите по отношение на обработването на личните данни на наетите лица по трудово или служебно правоотношение, по-специално за целите на изпълнението на трудовия договор, управлението, планирането и организацията на работата.
3 Член 88, параграф 2 от ОРЗД предвижда, че тези правила включват подходящи и конкретни мерки за защита на човешкото достойнство, законните интереси и основните права на субекта на данните, по-специално по отношение на прозрачността на обработването, предаването на лични данни и системите за наблюдение на работното място.
4 Член 6, параграф 3 от ОРЗД.
5 Прогласени съответно в членове 6 и 5 от ОРЗД.
6 Член 6, параграф 1, първа алинея, буква б) от ОРЗД.
7 Член 6, параграф 1, първа алинея, букви в) и д) от ОРЗД.
8 Член 6, параграф 3 от ОРЗД.
9 Предвидено в член 6, параграф 3 от ОРЗД, разглеждан във връзка със съображение 45 от него