ΑΠΟΦΑΣΗ ΤΟΥ ΔΙΚΑΣΤΗΡΙΟΥ (όγδοο τμήμα)
της 19ης Δεκεμβρίου 2024 (*)
« Προδικαστική παραπομπή – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Άρθρο 88, παράγραφοι 1 και 2 – Επεξεργασία δεδομένων στο πλαίσιο της απασχόλησης – Δεδομένα προσωπικού χαρακτήρα των εργαζομένων – Ειδικοί κανόνες οι οποίοι θεσπίζονται από κράτος μέλος δυνάμει του εν λόγω άρθρου 88 – Υποχρέωση τηρήσεως του άρθρου 5, του άρθρου 6, παράγραφος 1, καθώς και του άρθρου 9, παράγραφοι 1 και 2, του εν λόγω κανονισμού – Επεξεργασία βάσει συλλογικής συμβάσεως – Περιθώριο εκτιμήσεως των μερών συλλογικής συμβάσεως ως προς την αναγκαιότητα της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που προβλέπεται σε αυτή – Έκταση του δικαστικού ελέγχου »
Στην υπόθεση C‑65/23,
με αντικείμενο αίτηση προδικαστικής αποφάσεως δυνάμει του άρθρου 267 ΣΛΕΕ, που υπέβαλε το Bundesarbeitsgericht (ομοσπονδιακό δικαστήριο εργατικών διαφορών, Γερμανία) με απόφαση της 22ας Σεπτεμβρίου 2022 η οποία περιήλθε στο Δικαστήριο στις 8 Φεβρουαρίου 2023, στο πλαίσιο της δίκης
MK
κατά
K GmbH,
ΤΟ ΔΙΚΑΣΤΗΡΙΟ (όγδοο τμήμα),
συγκείμενο από τους N. Jääskinen (εισηγητή), πρόεδρο του ενάτου τμήματος, ασκούντα καθήκοντα προέδρου του ογδόου τμήματος, M. Gavalec και I. Ziemele, δικαστές,
γενική εισαγγελέας: L. Medina
γραμματέας: A. Calot Escobar
έχοντας υπόψη την έγγραφη διαδικασία,
λαμβάνοντας υπόψη τις παρατηρήσεις που υπέβαλαν:
– ο MK, εκπροσωπούμενος από τον J. Zäh, Rechtsanwalt,
– η K GmbH, εκπροσωπούμενη από την B. Geck, Rechtsanwältin,
– η Ιρλανδία εκπροσωπούμενη από την M. Browne, Chief State Solicitor, τον A. Joyce και τον M. Tierney, επικουρούμενους από τον D. Fennelly, BL,
– η Ιταλική Κυβέρνηση, εκπροσωπούμενη από την G. Palmieri, επικουρούμενη από την G. Natale, avvocato dello Stato,
– η Ευρωπαϊκή Επιτροπή, εκπροσωπούμενη από τον A. Μπουχάγιαρ, την M. Heller και τον H. Kranenborg,
κατόπιν της αποφάσεως που έλαβε, αφού άκουσε τη γενική εισαγγελέα, να εκδικάσει την υπόθεση χωρίς ανάπτυξη προτάσεων,
εκδίδει την ακόλουθη
Απόφαση
1 Η υπό κρίση αίτηση προδικαστικής αποφάσεως αφορά την ερμηνεία του άρθρου 82, παράγραφος 1, καθώς και του άρθρου 88, παράγραφοι 1 και 2, σε συνδυασμό με το άρθρο 5, το άρθρο 6, παράγραφος 1, καθώς και το άρθρο 9, παράγραφοι 1 και 2, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1, στο εξής: ΓΚΠΔ).
2 Η αίτηση αυτή υποβλήθηκε στο πλαίσιο ένδικης διαφοράς μεταξύ του MK, φυσικού προσώπου, και της K GmbH, εργοδότριάς του, σχετικά με την αποκατάσταση της μη υλικής ζημίας που το εν λόγω πρόσωπο ισχυρίζεται ότι υπέστη λόγω της επεξεργασίας δεδομένων προσωπικού χαρακτήρα που το αφορούν από την ως άνω εταιρία βάσει εργασιακής συμφωνίας.
Το νομικό πλαίσιο
Το δίκαιο της Ένωσης
3 Οι αιτιολογικές σκέψεις 8, 10 και 155 του ΓΚΠΔ έχουν ως εξής:
«(8) Οσάκις ο παρών κανονισμός προβλέπει προδιαγραφές ή περιορισμούς των κανόνων του από το δίκαιο των κρατών μελών, τα κράτη μέλη μπορούν να ενσωματώσουν στοιχεία του παρόντος κανονισμού στο εθνικό τους δίκαιο, στην έκταση που απαιτείται για λόγους συνεκτικότητας και για να είναι κατανοητές οι εθνικές διατάξεις στα πρόσωπα για τα οποία αυτές εφαρμόζονται.
[…]
(10) Για τη διασφάλιση συνεκτικής και υψηλού επιπέδου προστασίας των φυσικών προσώπων και την άρση των εμποδίων στις ροές δεδομένων προσωπικού χαρακτήρα εντός της [Ευρωπαϊκής] Ένωσης, το επίπεδο προστασίας των δικαιωμάτων και των ελευθεριών των φυσικών προσώπων σε σχέση με την επεξεργασία των εν λόγω δεδομένων θα πρέπει να είναι ισοδύναμο σε όλα τα κράτη μέλη. Θα πρέπει να διασφαλίζεται συνεκτική και ομοιόμορφη εφαρμογή των κανόνων για την προστασία των θεμελιωδών δικαιωμάτων και των ελευθεριών των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ένωση. […] Ο παρών κανονισμός παρέχει επίσης περιθώρια χειρισμού στα κράτη μέλη, ώστε να εξειδικεύσουν τους κανόνες του, συμπεριλαμβανομένων αυτών που αφορούν την επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα (“ευαίσθητα δεδομένα”). Σε αυτόν τον βαθμό, ο παρών κανονισμός δεν αποκλείει το δίκαιο των κρατών μελών να προσδιορίζει τις περιστάσεις ειδικών καταστάσεων επεξεργασίας, μεταξύ άλλων τον ακριβέστερο καθορισμό των προϋποθέσεων υπό τις οποίες η επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι σύννομη.
[…]
(155) Στο δίκαιο των κρατών μελών ή σε συλλογικές συμβάσεις, συμπεριλαμβανομένων των “εργασιακών συμφωνιών”, μπορούν να θεσπίζονται ειδικοί κανόνες για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα εργαζομένων στο πλαίσιο της απασχόλησης, ιδίως για τους όρους υπό τους οποίους δεδομένα προσωπικού χαρακτήρα στο πλαίσιο της απασχόλησης μπορούν να υφίστανται επεξεργασία με βάση τη συγκατάθεση του εργαζομένου, για σκοπούς πρόσληψης, εκτέλεσης της σύμβασης απασχόλησης, συμπεριλαμβανομένης της εκτέλεσης των υποχρεώσεων που προβλέπονται από τον νόμο ή από συλλογικές συμβάσεις, διαχείρισης, προγραμματισμού και οργάνωσης εργασίας, ισότητας και πολυμορφίας στο χώρο εργασίας και υγείας και ασφάλειας στην εργασία, καθώς και για σκοπούς άσκησης και απόλαυσης, σε ατομική ή συλλογική βάση, δικαιωμάτων και παροχών που σχετίζονται με την απασχόληση και για σκοπούς καταγγελίας της σχέσης απασχόλησης.»
4 Το άρθρο 4 του κανονισμού, το οποίο φέρει τον τίτλο «Ορισμοί», ορίζει τα εξής:
«Για τους σκοπούς του παρόντος κανονισμού νοούνται ως:
1) “δεδομένα προσωπικού χαρακτήρα”: κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο (“υποκείμενο των δεδομένων”)·
2) “επεξεργασία”: κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα […]
[…]
7) “υπεύθυνος επεξεργασίας”: το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· […]
[…]».
5 Το κεφάλαιο ΙΙ του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Αρχές», περιλαμβάνει τα άρθρα 5 έως 11 του κανονισμού.
6 Το άρθρο 5 του κανονισμού, το οποίο φέρει τον τίτλο «Αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα», προβλέπει τα εξής:
«1. Τα δεδομένα προσωπικού χαρακτήρα:
[…]
γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία (“ελαχιστοποίηση των δεδομένων”)·
[…]
στ) υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων (“ακεραιότητα και εμπιστευτικότητα”).
2. Ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 (“λογοδοσία”).»
7 Το άρθρο 6 του εν λόγω κανονισμού, το οποίο φέρει τον τίτλο «Νομιμότητα της επεξεργασίας», ορίζει τα εξής:
«1. Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις:
α) το υποκείμενο των δεδομένων έχει παράσχει συγκατάθεση στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς,
β) η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ’ αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης,
γ) η επεξεργασία είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας,
δ) η επεξεργασία είναι απαραίτητη για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου,
ε) η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας,
στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί.
Το στοιχείο στ) του πρώτου εδαφίου δεν εφαρμόζεται στην επεξεργασία που διενεργείται από δημόσιες αρχές κατά την άσκηση των καθηκόντων τους.
2. Τα κράτη μέλη μπορούν να διατηρούν ή να θεσπίζουν πιο ειδικές διατάξεις για την προσαρμογή της εφαρμογής των κανόνων του παρόντος κανονισμού όσον αφορά την επεξεργασία για τη συμμόρφωση με την παράγραφο 1 στοιχεία γ) και ε), καθορίζοντας ακριβέστερα ειδικές απαιτήσεις για την επεξεργασία και άλλα μέτρα προς εξασφάλιση σύννομης και θεμιτής επεξεργασίας, μεταξύ άλλων για άλλες ειδικές περιπτώσεις επεξεργασίας όπως προβλέπονται στο κεφάλαιο ΙΧ.
3. Η βάση για την επεξεργασία που αναφέρεται στην παράγραφο 1 στοιχεία γ) και ε) ορίζεται σύμφωνα με:
α) το δίκαιο της Ένωσης, ή
β) το δίκαιο του κράτους μέλος στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας.
[…] Η εν λόγω νομική βάση μπορεί να περιλαμβάνει ειδικές διατάξεις για την προσαρμογή της εφαρμογής των κανόνων του παρόντος κανονισμού, μεταξύ άλλων: τις γενικές προϋποθέσεις που διέπουν τη σύννομη επεξεργασία από τον υπεύθυνο επεξεργασίας· τα είδη των δεδομένων που υποβάλλονται σε επεξεργασία· τα οικεία υποκείμενα των δεδομένων· τις οντότητες στις οποίες μπορούν να κοινοποιούνται τα δεδομένα προσωπικού χαρακτήρα και τους σκοπούς αυτής της κοινοποίησης· τον περιορισμό του σκοπού· τις περιόδους αποθήκευσης· και τις πράξεις επεξεργασίας και τις διαδικασίες επεξεργασίας, συμπεριλαμβανομένων των μέτρων για τη διασφάλιση σύννομης και θεμιτής επεξεργασίας, όπως εκείνα για άλλες ειδικές περιπτώσεις επεξεργασίας όπως προβλέπονται στο κεφάλαιο ΙΧ. […]
[…]»
8 Το άρθρο 9 του ίδιου κανονισμού, το οποίο φέρει τον τίτλο «Επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα», ορίζει τα εξής:
«1. Απαγορεύεται η επεξεργασία δεδομένων προσωπικού χαρακτήρα που αποκαλύπτουν τη φυλετική ή εθνοτική καταγωγή, τα πολιτικά φρονήματα, τις θρησκευτικές ή φιλοσοφικές πεποιθήσεις ή τη συμμετοχή σε συνδικαλιστική οργάνωση, καθώς και η επεξεργασία γενετικών δεδομένων, βιομετρικών δεδομένων με σκοπό την αδιαμφισβήτητη ταυτοποίηση προσώπου, δεδομένων που αφορούν την υγεία ή δεδομένων που αφορούν τη σεξουαλική ζωή φυσικού προσώπου ή τον γενετήσιο προσανατολισμό.
2. Η παράγραφος 1 δεν εφαρμόζεται στις ακόλουθες περιπτώσεις:
α) το υποκείμενο των δεδομένων έχει παράσχει ρητή συγκατάθεση για την επεξεργασία αυτών των δεδομένων προσωπικού χαρακτήρα για έναν ή περισσότερους συγκεκριμένους σκοπούς, εκτός εάν το δίκαιο της Ένωσης ή κράτους μέλους προβλέπει ότι η απαγόρευση που αναφέρεται στην παράγραφο 1 δεν μπορεί να αρθεί από το υποκείμενο των δεδομένων,
β) η επεξεργασία είναι απαραίτητη για την εκτέλεση των υποχρεώσεων και την άσκηση συγκεκριμένων δικαιωμάτων του υπευθύνου επεξεργασίας ή του υποκειμένου των δεδομένων στον τομέα του εργατικού δικαίου και του δικαίου κοινωνικής ασφάλισης και κοινωνικής προστασίας, εφόσον επιτρέπεται από το δίκαιο της Ένωσης ή κράτους μέλους ή από συλλογική συμφωνία σύμφωνα με το εθνικό δίκαιο παρέχοντας κατάλληλες εγγυήσεις για τα θεμελιώδη δικαιώματα και τα συμφέροντα του υποκειμένου των δεδομένων,
[…]».
9 Περιλαμβανόμενο στο κεφάλαιο VIII του ΓΚΠΔ, με τίτλο «Προσφυγές, ευθύνη και κυρώσεις», το άρθρο 82 του κανονισμού, το οποίο φέρει τον τίτλο «Δικαίωμα αποζημίωσης και ευθύνη», προβλέπει στην παράγραφό 1 τα εξής:
«Κάθε πρόσωπο το οποίο υπέστη υλική ή μη υλική ζημία ως αποτέλεσμα παραβίασης του παρόντος κανονισμού δικαιούται αποζημίωση από τον υπεύθυνο επεξεργασίας ή τον εκτελούντα την επεξεργασία για τη ζημία που υπέστη.»
10 Περιλαμβανόμενο στο κεφάλαιο IX του ΓΚΠΔ, με τίτλο «Διατάξεις που αφορούν ειδικές περιπτώσεις επεξεργασίας», το άρθρο 88 του κανονισμού, το οποίο φέρει τον τίτλο «Επεξεργασία στο πλαίσιο της απασχόλησης», προβλέπει στις παραγράφους 1 και 2 τα εξής:
«1. Τα κράτη μέλη, μέσω της νομοθεσίας ή μέσω των συλλογικών συμβάσεων, μπορούν να θεσπίζουν ειδικούς κανόνες προκειμένου να διασφαλίζουν την προστασία των δικαιωμάτων και των ελευθεριών έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα των εργαζομένων στο πλαίσιο της απασχόλησης, ιδίως για σκοπούς πρόσληψης, εκτέλεσης της σύμβασης απασχόλησης, συμπεριλαμβανομένης της εκτέλεσης των υποχρεώσεων που προβλέπονται από τον νόμο ή από συλλογικές συμβάσεις, διαχείρισης, προγραμματισμού και οργάνωσης εργασίας, ισότητας και πολυμορφίας στον χώρο εργασίας, υγείας και ασφάλειας στην εργασία, προστασίας της περιουσίας εργοδοτών και πελατών και για σκοπούς άσκησης και απόλαυσης, σε ατομική ή συλλογική βάση, δικαιωμάτων και παροχών που σχετίζονται με την απασχόληση και για σκοπούς καταγγελίας της σχέσης απασχόλησης.
2. Οι εν λόγω κανόνες περιλαμβάνουν κατάλληλα και ειδικά μέτρα για τη διαφύλαξη της ανθρώπινης αξιοπρέπειας, των έννομων συμφερόντων και των θεμελιωδών δικαιωμάτων του προσώπου στο οποίο αναφέρονται τα δεδομένα, με ιδιαίτερη έμφαση στη διαφάνεια της επεξεργασίας, τη διαβίβαση δεδομένων προσωπικού χαρακτήρα εντός ομίλου επιχειρήσεων, ή ομίλου εταιρειών που ασκούν κοινή οικονομική δραστηριότητα και τα συστήματα παρακολούθησης στον χώρο εργασίας.»
11 Το άρθρο 99 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Έναρξη ισχύος και εφαρμογή», ορίζει τα εξής:
«1. Ο παρών κανονισμός αρχίζει να ισχύει την εικοστή ημέρα από τη δημοσίευσή του στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης.
2. Τίθεται σε εφαρμογή από τις 25 Μαΐου 2018.»
Το εθνικό δίκαιο
12 Το άρθρο 26 του Bundesdatenschutzgesetz (ομοσπονδιακού νόμου για την προστασία των δεδομένων), της 30ής Ιουνίου 2017 (BGBl. 2017 I, σ. 2097, στο εξής: BDSG), το οποίο φέρει τον τίτλο «Επεξεργασία δεδομένων για τους σκοπούς της σχέσης εργασίας», προβλέπει στις παραγράφους 1 και 4 τα εξής:
«(1) Τα δεδομένα προσωπικού χαρακτήρα των εργαζομένων μπορούν να υποβάλλονται σε επεξεργασία για τους σκοπούς της σχέσης εργασίας, εφόσον τούτο είναι αναγκαίο για τη λήψη απόφασης σχετικά με τη σύναψη σύμβασης εργασίας ή, μετά τη σύναψη της σύμβασης εργασίας, για την εκτέλεσή της ή την καταγγελία της, ή για την άσκηση δικαιωμάτων ή την εκπλήρωση υποχρεώσεων συνδεόμενων αντίστοιχα με την εκπροσώπηση των συμφερόντων των εργαζομένων που απορρέουν από νόμο ή από γενική συλλογική σύμβαση, από εργασιακή συμφωνία ή από σύμβαση του δημοσίου τομέα (συλλογική σύμβαση). […]
[…]
(4) Η επεξεργασία δεδομένων προσωπικού χαρακτήρα, συμπεριλαμβανομένων ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα των εργαζομένων για τους σκοπούς της σχέσης εργασίας, επιτρέπεται βάσει συλλογικών συμβάσεων. Τα διαπραγματευόμενα μέρη οφείλουν, συναφώς, να τηρούν το άρθρο 88, παράγραφος 2, του [ΓΚΠΔ].»
Η διαφορά της κύριας δίκης και τα προδικαστικά ερωτήματα
13 Ο αναιρεσείων της κύριας δίκης είναι υπάλληλος της αναιρεσίβλητης της κύριας δίκης, εταιρίας γερμανικού δικαίου, και προεδρεύει του συμβουλίου εργαζομένων της εταιρίας αυτής.
14 Αρχικώς, η εν λόγω εταιρία προέβη στην επεξεργασία ορισμένων δεδομένων προσωπικού χαρακτήρα των υπαλλήλων της στο πλαίσιο της χρήσεως ενός λογισμικού με την ονομασία «SAP» (στο εξής: λογισμικό SAP), ιδίως για λογιστικούς σκοπούς, και συνήψε, με το συμβούλιο εργαζομένων της, διάφορες συναφείς εργασιακές συμφωνίες.
15 Το 2017 ο όμιλος εταιριών D, στον οποίο ανήκει η αναιρεσίβλητη της κύριας δίκης (στο εξής: όμιλος D), εισήγαγε, στο σύνολο του ομίλου, το λογισμικό με την ονομασία «Workday» (στο εξής: λογισμικό Workday), το οποίο βασίζεται σε υπολογιστικό νέφος (cloud), ως ενιαίο σύστημα διαχείρισης των πληροφοριών που αφορούν το προσωπικό. Στο πλαίσιο αυτό, η αναιρεσίβλητη της κύριας δίκης μετέφερε διάφορα δεδομένα προσωπικού χαρακτήρα των υπαλλήλων της από το λογισμικό SAP σε διακομιστή της μητρικής εταιρίας του ομίλου D, ευρισκόμενο στις Ηνωμένες Πολιτείες.
16 Στις 3 Ιουλίου 2017 η αναιρεσίβλητη της κύριας δίκης και το συμβούλιο εργαζομένων της συνήψαν συμφωνία με την οποία προβλέφθηκε ανοχή όσον αφορά την εισαγωγή του λογισμικού Workday (στο εξής: εργασιακή συμφωνία ανοχής), η οποία απαγόρευε, μεταξύ άλλων, τη χρησιμοποίηση του εν λόγω λογισμικού, κατά την περίοδο του δοκιμαστικού σταδίου, για τους σκοπούς της διαχείρισης του ανθρώπινου δυναμικού, όπως η αξιολόγηση των εργαζομένων. Κατά το παράρτημα 2 της ως άνω συμφωνίας, οι μόνες κατηγορίες δεδομένων που μπορούσαν να διαβιβαστούν για την τροφοδότηση του λογισμικού Workday ήταν ο αριθμός μητρώου προσωπικού που είχε χορηγηθεί στον εργαζόμενο εντός του ομίλου D, το επώνυμό του, το όνομά του, ο αριθμός τηλεφώνου του, η ημερομηνία προσλήψεώς του στην οικεία εταιρία, η ημερομηνία προσλήψεώς του στον όμιλο D, ο τόπος εργασίας του, η επωνυμία της οικείας εταιρίας, καθώς και ο εταιρικός αριθμός τηλεφώνου και η επαγγελματική ηλεκτρονική διεύθυνσή του. Η ισχύς της εν λόγω συμφωνίας παρατάθηκε μέχρι την έναρξη ισχύος της τελικής εργασιακής συμφωνίας, η οποία συνήφθη στις 23 Ιανουαρίου 2019.
17 Στο πλαίσιο αυτό, ο αναιρεσείων της κύριας δίκης άσκησε, ενώπιον του κατά τόπον αρμόδιου Arbeitsgericht (πρωτοβάθμιου δικαστηρίου εργατικών διαφορών, Γερμανία) και εν συνεχεία του κατά τόπον αρμόδιου Landesarbeitsgericht (δευτεροβάθμιου δικαστηρίου εργατικών διαφορών, Γερμανία), αγωγές με αίτημα την πρόσβαση σε ορισμένες πληροφορίες, τη διαγραφή δεδομένων που τον αφορούσαν και τη χορήγηση αποζημιώσεως. Ο αναιρεσείων ισχυρίστηκε, μεταξύ άλλων, ότι η αναιρεσίβλητη της κύριας δίκης είχε μεταφέρει στον διακομιστή της μητρικής εταιρίας δεδομένα προσωπικού χαρακτήρα που τον αφορούσαν, ορισμένα εκ των οποίων δεν μνημονεύονταν στην εργασιακή συμφωνία ανοχής, και ειδικότερα τα προσωπικά στοιχεία του, τα λεπτομερή στοιχεία της συμβάσεως και της αμοιβής του, τους αριθμούς κοινωνικής ασφάλισης και φορολογικού μητρώου του, την ιθαγένεια και την οικογενειακή του κατάσταση.
18 Δεδομένου ότι τα αιτήματά του δεν έγιναν πλήρως δεκτά, ο αναιρεσείων της κύριας δίκης άσκησε αναίρεση ενώπιον του Bundesarbeitsgericht (ομοσπονδιακού δικαστηρίου εργατικών διαφορών, Γερμανία), ήτοι του αιτούντος δικαστηρίου. Η μόνη αξίωση η οποία εξακολουθεί να εκκρεμεί είναι αυτή του αναιρεσείοντος για αποκατάσταση της μη υλικής ζημίας που ισχυρίζεται ότι υπέστη λόγω παράνομης επεξεργασίας, με τη χρήση του λογισμικού Workday, δεδομένων προσωπικού χαρακτήρα που τον αφορούν, κατά το χρονικό διάστημα από την πρώτη ημέρα έναρξης εφαρμογής του εν λόγω κανονισμού, ήτοι στις 25 Μαΐου 2018, έως το τέλος του πρώτου τριμήνου του 2019.
19 Όσον αφορά τον παράνομο χαρακτήρα της εν λόγω επεξεργασίας, ο αναιρεσείων της κύριας δίκης υποστηρίζει, αφενός, ότι η επεξεργασία αυτή δεν ήταν αναγκαία ούτε για τους σκοπούς της σχέσης εργασίας, για την οποία η αναιρεσίβλητη της κύριας δίκης χρησιμοποιούσε τότε το λογισμικό SAP, ούτε για τους σκοπούς της δοκιμαστικής χρήσης του λογισμικού Workday, διότι η χρήση πλασματικών δεδομένων θα αρκούσε για τον σκοπό αυτό και θα διασφάλιζε ότι δεν θα καθίστατο δυνατή η πρόσβαση σε κανένα πραγματικό στοιχείο εντός του ομίλου D. Αφετέρου, ακόμη και αν υποτεθεί ότι η εργασιακή συμφωνία ανοχής θα μπορούσε να αποτελέσει έγκυρη βάση για την εν λόγω επεξεργασία, υπήρξε υπέρβαση της περιλαμβανόμενης σε αυτή εξουσιοδοτήσεως, δεδομένου ότι η αναιρεσίβλητη διαβίβασε δεδομένα διαφορετικά από εκείνα τα οποία προβλέπονται στο παράρτημα 2 της εν λόγω συμφωνίας. Τέλος, η αναιρεσίβλητη φέρει το βάρος αποδείξεως ότι οι ενέργειες της είναι σύμφωνες με τον ΓΚΠΔ.
20 Η αναιρεσίβλητη της κύριας δίκης αντιτείνει ότι η επίμαχη επεξεργασία είναι σύμφωνη με τις απαιτήσεις του ΓΚΠΔ, ότι το βάρος αποδείξεως φέρει ο αναιρεσείων της κύριας δίκης και ότι αυτός δεν απέδειξε ούτε την ύπαρξη μη υλικής ζημίας ούτε την αιτιώδη συνάφεια μεταξύ ενδεχόμενης παραβάσεως του εν λόγω κανονισμού και της προβαλλόμενης ζημίας.
21 Το αιτούν δικαστήριο εκτιμά ότι οι πράξεις κατά των οποίων βάλλει ο αναιρεσείων της κύριας δίκης εμπίπτουν στο καθ’ ύλην πεδίο εφαρμογής του ΓΚΠΔ, διότι συνιστούν «επεξεργασία» «δεδομένων προσωπικού χαρακτήρα» του εν λόγω «υποκειμένου των δεδομένων», κατά την έννοια του άρθρου 4, σημεία 1 και 2, του κανονισμού αυτού. Επιπλέον, το αιτούν δικαστήριο επισημαίνει ότι η αναιρεσίβλητη της κύριας δίκης έχει την ιδιότητα του «υπεύθυνου επεξεργασίας», κατά την έννοια του άρθρου 4, σημείο 7, του εν λόγω κανονισμού. Όσον αφορά το χρονικό πεδίο εφαρμογής του εν λόγω κανονισμού, η αναιρεσίβλητη υπογραμμίζει ότι η επεξεργασία άρχισε, ασφαλώς, πριν από την ημερομηνία έναρξης εφαρμογής του εν λόγω κανονισμού, πλην όμως συνεχίστηκε και μετά την ημερομηνία αυτή, λόγω διαφόρων παρατάσεων της ισχύος της εργασιακής συμφωνίας ανοχής.
22 Στο πλαίσιο αυτό, το αιτούν δικαστήριο διερωτάται, πρώτον, αν εθνικός κανόνας, όπως το άρθρο 26, παράγραφος 4, του BDSG, ο οποίος διέπει την επεξεργασία δεδομένων προσωπικού χαρακτήρα για τους σκοπούς των σχέσεων εργασίας και ο οποίος προβλέπει, κατ’ ουσίαν, ότι η επεξεργασία αυτή που πραγματοποιείται βάσει συλλογικών συμβάσεων είναι σύννομη υπό την επιφύλαξη της τηρήσεως του άρθρου 88, παράγραφος 2, του ΓΚΠΔ, είναι συμβατός με τον εν λόγω κανονισμό ή αν, προς τον σκοπό αυτόν, η οικεία επεξεργασία πρέπει να είναι σύμφωνη και με τις λοιπές διατάξεις του. Το αιτούν δικαστήριο κλίνει υπέρ της άποψης ότι, όταν η επεξεργασία δεδομένων προσωπικού χαρακτήρα των εργαζομένων διέπεται από «συλλογική σύμβαση», κατά την έννοια του άρθρου 88 του ΓΚΠΔ, η επεξεργασία αυτή δεν μπορεί να αποκλίνει από τις απαιτήσεις οι οποίες απορρέουν όχι μόνον από το άρθρο 88, αλλά και από το άρθρο 5, το άρθρο 6, παράγραφος 1, καθώς και από το άρθρο 9, παράγραφοι 1 και 2, του εν λόγω κανονισμού, ιδίως όσον αφορά το κριτήριο της αναγκαιότητας της επεξεργασίας που προβλέπεται στα τρία τελευταία άρθρα.
23 Δεύτερον, σε περίπτωση καταφατικής απαντήσεως στο πρώτο προδικαστικό ερώτημα, το αιτούν δικαστήριο διερωτάται αν τα μέρη μιας τέτοιας συλλογικής συμβάσεως διαθέτουν περιθώριο εκτιμήσεως το οποίο θα πρέπει να αποτελεί αντικείμενο περιορισμένου μόνον δικαστικού ελέγχου όσον αφορά την αξιολόγηση της αναγκαιότητας της οικείας επεξεργασίας, κατά την έννοια του άρθρου 5, του άρθρου 6, παράγραφος 1, καθώς και του άρθρου 9, παράγραφοι 1 και 2, του ΓΚΠΔ. Κατά το αιτούν δικαστήριο, η ως άνω άποψη δύναται να βρει έρεισμα στο επιχείρημα ότι τα εν λόγω μέρη βρίσκονται πολύ κοντά στη ζωή της εταιρίας και έχουν κατά κανόνα επιτύχει μια δίκαιη ισορροπία μεταξύ των εμπλεκομένων συμφερόντων. Εντούτοις, η νομολογία του Δικαστηρίου σχετικά με άλλες πράξεις του δικαίου της Ένωσης, ειδικότερα δε οι αποφάσεις της 7ης Φεβρουαρίου 1991, Nimz (C‑184/89, EU:C:1991:50), και της 20ής Μαρτίου 2003, Kutz-Bauer (C‑187/00, EU:C:2003:168), αφήνει μάλλον να εννοηθεί ότι οι διατάξεις συλλογικής συμβάσεως εμπίπτουσας στο πεδίο εφαρμογής του δικαίου της Ένωσης δεν μπορούν να είναι αντίθετες προς αυτό και ότι, εν ανάγκη, οι εν λόγω διατάξεις πρέπει να μην εφαρμόζονται.
24 Τρίτον, σε περίπτωση καταφατικής απαντήσεως στο δεύτερο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί να διευκρινιστούν τα κριτήρια εκτιμήσεως στα οποία θα πρέπει, ενδεχομένως, να περιορίσει τον δικαστικό έλεγχό του.
25 Τέλος, το τέταρτο, το πέμπτο και το έκτο προδικαστικό ερώτημα που υπέβαλε αρχικώς το αιτούν δικαστήριο, πριν τα αποσύρει, αφορούσαν, κατ’ ουσίαν, το δικαίωμα αποζημίωσης για μη υλική ζημία δυνάμει του άρθρου 82, παράγραφος 1, του ΓΚΠΔ.
26 Υπό τις συνθήκες αυτές, το Bundesarbeitsgericht (ομοσπονδιακό δικαστήριο εργατικών διαφορών) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:
«1) Έχει διάταξη εθνικής νομοθεσίας, θεσπισθείσα δυνάμει του άρθρου 88, παράγραφος 1, του [ΓΚΠΔ], όπως το άρθρο 26, παράγραφος 4, του [BDSG], η οποία προβλέπει ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα των εργαζομένων, συμπεριλαμβανομένων ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα, για τους σκοπούς της σχέσης εργασίας βάσει συλλογικών συμβάσεων είναι νόμιμη υπό τον όρο ότι τηρούνται οι προϋποθέσεις του άρθρου 88, παράγραφος 2, του [ΓΚΠΔ], την έννοια ότι σε κάθε περίπτωση πρέπει να τηρούνται και οι λοιπές διατάξεις του [ΓΚΠΔ], ιδίως το άρθρο 5, το άρθρο 6, παράγραφος 1, και το άρθρο 9, παράγραφοι 1 και 2, του ΓΚΠΔ;
2) Σε περίπτωση καταφατικής απαντήσεως στο πρώτο ερώτημα:
Θα μπορούσε διάταξη εθνικής νομοθεσίας, θεσπισθείσα δυνάμει του άρθρου 88, παράγραφος 1, του ΓΚΠΔ, όπως το άρθρο 26, παράγραφος 4, του BDSG, να έχει την έννοια ότι στα μέρη συλλογικής συμβάσεως (εν προκειμένω τα μέρη εργασιακής συμφωνίας) παρέχεται περιθώριο εκτιμήσεως κατά την αξιολόγηση της αναγκαιότητας της επεξεργασίας δεδομένων υπό το πρίσμα του άρθρου 5, του άρθρου 6, παράγραφος 1, και του άρθρου 9, παράγραφοι 1 και 2, του ΓΚΠΔ, το οποίο μπορεί να αποτελέσει αντικείμενο περιορισμένου μόνον δικαστικού ελέγχου;
3) Σε περίπτωση καταφατικής απαντήσεως στο δεύτερο ερώτημα:
Μέχρι ποιου σημείου μπορεί να περιορίζεται στην περίπτωση αυτήν ο δικαστικός έλεγχος;
4) Έχει το άρθρο 82, παράγραφος 1, του ΓΚΠΔ την έννοια ότι κάθε πρόσωπο έχει εκ προοιμίου δικαίωμα αποζημίωσης της μη υλικής ζημίας οσάκις τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υποβάλλονται σε επεξεργασία κατά παράβαση των διατάξεων του ΓΚΠΔ ή μήπως ότι η άσκηση του δικαιώματος αποζημίωσης για μη υλική ζημία προϋποθέτει περαιτέρω ότι το θιγόμενο πρόσωπο αποδεικνύει ότι υπέστη μη υλική ζημία ορισμένης σοβαρότητας;
5) Έχει το άρθρο 82, παράγραφος 1, του ΓΚΠΔ ειδικό ή γενικό προληπτικό χαρακτήρα και πρέπει τούτο να λαμβάνεται υπόψη κατά τον προσδιορισμό του ύψους της προς αποκατάσταση μη υλικής ζημίας την οποία οφείλει να αποκαταστήσει βάσει του εν λόγω άρθρου ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία;
6) Έχει σημασία ο βαθμός υπαιτιότητας του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία κατά τον προσδιορισμό του ύψους της προς αποκατάσταση μη υλικής ζημίας με βάση το άρθρο 82, παράγραφος 1, του κανονισμού 2016/679; Ειδικότερα, μπορεί να ληφθεί υπόψη υπέρ του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία η απουσία υπαιτιότητας ή η ύπαρξη πταίσματος ήσσονος σημασίας;»
Η διαδικασία ενώπιον του Δικαστηρίου
27 Με απόφαση του Προέδρου του Δικαστηρίου της 24ης Ιανουαρίου 2024, οι αποφάσεις της 4ης Μαΐου 2023, Österreichische Post (Ηθική βλάβη συνδεόμενη με την επεξεργασία προσωπικών δεδομένων) (C‑300/21, EU:C:2023:370), της 14ης Δεκεμβρίου 2023, Natsionalna agentsia za prihodite (C‑340/21, EU:C:2023:986), της 14ης Δεκεμβρίου 2023, Gemeinde Ummendorf (C‑456/22, EU:C:2023:988), της 21ης Δεκεμβρίου 2023, Krankenversicherung Nordrhein (C‑667/21, EU:C:2023:1022), και της 25ης Ιανουαρίου 2024, MediaMarktSaturn (C‑687/21, EU:C:2024:72), επιδόθηκαν στο αιτούν δικαστήριο, προκειμένου αυτό να διευκρινίσει αν, υπό το πρίσμα των εν λόγω αποφάσεων, επιθυμούσε να εμμείνει στην αίτησή του προδικαστικής αποφάσεως, ιδίως όσον αφορά το τέταρτο, το πέμπτο και το έκτο προδικαστικό ερώτημα.
28 Με απόφαση του Προέδρου του Δικαστηρίου της 15ης Μαρτίου 2024, η διαδικασία ανεστάλη, δυνάμει του άρθρου 55, παράγραφος 1, στοιχείο βʹ, του Κανονισμού Διαδικασίας του Δικαστηρίου, μέχρις ότου ληφθεί η απάντηση στο ερώτημα που τέθηκε κατά τα ανωτέρω.
29 Με γραπτή ανακοίνωση που περιήλθε στο Δικαστήριο στις 8 Μαΐου 2024, το αιτούν δικαστήριο ενημέρωσε το Δικαστήριο ότι αποσύρει το τέταρτο, το πέμπτο και το έκτο προδικαστικό ερώτημά του, αλλά εμμένει στο πρώτο, στο δεύτερο και στο τρίτο προδικαστικό ερώτημα.
Επί του παραδεκτού της αιτήσεως προδικαστικής αποφάσεως
30 Η αναιρεσίβλητη της κύριας δίκης υποστηρίζει ότι το πρώτο, το δεύτερο και το τρίτο προδικαστικό ερώτημα είναι απαράδεκτα, για τον λόγο ότι δεν είναι λυσιτελή για την επίλυση της διαφοράς της οποίας έχει επιληφθεί το αιτούν δικαστήριο. Κατ’ ουσίαν, η αναιρεσίβλητη της κύριας δίκης υποστηρίζει ότι ο αναιρεσείων της κύριας δίκης αμφισβητεί όχι το περιεχόμενο της εφαρμοστέας εν προκειμένω εργασιακής συμφωνίας, αλλά την υπέρβαση των ορίων της εν λόγω συμφωνίας από την επίμαχη επεξεργασία δεδομένων, με αποτέλεσμα η ένδικη διαφορά να μην έχει ως αντικείμενο την παράβαση των απαιτήσεων του άρθρου 88 του ΓΚΠΔ όσον αφορά μια τέτοια συμφωνία. Επιπλέον, τα ερωτήματα αυτά είναι υποθετικά, καθόσον αποσκοπούν στο να παράσχουν στο αιτούν δικαστήριο τη δυνατότητα να ελέγξει τη νομιμότητα της εν λόγω επεξεργασίας στο σύνολό της, και όχι μόνο σε σχέση με τα στοιχεία τα οποία αμφισβητεί ο αναιρεσείων της κύριας δίκης.
31 Συναφώς, κατά πάγια νομολογία του Δικαστηρίου, εναπόκειται αποκλειστικώς στο εθνικό δικαστήριο, το οποίο έχει επιληφθεί της διαφοράς και φέρει την ευθύνη της δικαστικής απόφασης που πρόκειται να εκδοθεί, να εκτιμήσει, λαμβάνοντας υπόψη τις ιδιαιτερότητες της υπόθεσης, τόσο την ανάγκη υποβολής προδικαστικού ερωτήματος για την έκδοση της δικής του απόφασης όσο και το λυσιτελές των ερωτημάτων που υποβάλλει στο Δικαστήριο, τα οποία θεωρούνται κατά τεκμήριο λυσιτελή. Συνεπώς, εφόσον τα υποβαλλόμενα ερωτήματα αφορούν την ερμηνεία ή το κύρος κανόνα του δικαίου της Ένωσης, το Δικαστήριο οφείλει κατ’ αρχήν να απαντήσει, εκτός αν προκύπτει προδήλως ότι η ερμηνεία την οποία ζητεί το εθνικό δικαστήριο δεν έχει καμία σχέση με το υποστατό ή με το αντικείμενο της διαφοράς της κύριας δίκης, αν το πρόβλημα είναι υποθετικής φύσεως ή ακόμη αν το Δικαστήριο δεν διαθέτει τα πραγματικά και νομικά στοιχεία που είναι αναγκαία προκειμένου να δώσει χρήσιμη απάντηση στο ερώτημα (απόφαση της 20ής Ιουνίου 2024, Scalable Capital, C‑182/22 και C‑189/22, EU:C:2024:531, σκέψη 18 και εκεί μνημονευόμενη νομολογία).
32 Εν προκειμένω, το πρώτο, το δεύτερο και το τρίτο προδικαστικό ερώτημα αφορούν την ερμηνεία πλειόνων διατάξεων του δικαίου της Ένωσης, και ειδικότερα του άρθρου 88 του ΓΚΠΔ, σε συνδυασμό με τα άρθρα 5, 6 και 9 του εν λόγω κανονισμού. Επιπλέον, το αιτούν δικαστήριο εκτιμά ότι τα όρια που θέτει εν προκειμένω η εφαρμοστέα εργασιακή συμφωνία, την οποία χαρακτηρίζει ως «συλλογική σύμβαση» κατά την έννοια του ως άνω κανονισμού, παραβιάστηκαν και ότι η επίμαχη στην υπόθεση της κύριας δίκης επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει να εξεταστεί στο σύνολό της, διότι ενδέχεται να είναι παράνομη υπό το πρίσμα των διατάξεων τόσο της παραγράφου 1 όσο και της παραγράφου 4 του άρθρου 26 του BDSG, το οποίο ρητώς παραπέμπει στο άρθρο 88 του ΓΚΠΔ.
33 Κατά συνέπεια, η αίτηση προδικαστικής αποφάσεως είναι παραδεκτή.
Επί των προδικαστικών ερωτημάτων
Επί του πρώτου προδικαστικού ερωτήματος
34 Με το πρώτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 88, παράγραφοι 1 και 2, του ΓΚΠΔ έχει την έννοια ότι εθνική διάταξη η οποία έχει ως αντικείμενο την επεξεργασία δεδομένων προσωπικού χαρακτήρα για τους σκοπούς των σχέσεων εργασίας και η οποία έχει θεσπιστεί δυνάμει του άρθρου 88, παράγραφος 1, του εν λόγω κανονισμού πρέπει να έχει ως συνέπεια ότι οι αποδέκτες της οφείλουν να τηρούν όχι μόνον τις απαιτήσεις που απορρέουν από το άρθρο 88, παράγραφος 2, του εν λόγω κανονισμού, αλλά και εκείνες που απορρέουν από το άρθρο 5, από το άρθρο 6, παράγραφος 1, καθώς και από το άρθρο 9, παράγραφοι 1 και 2, του κανονισμού αυτού.
35 Συναφώς, υπενθυμίζεται ότι ο ΓΚΠΔ σκοπεί να διασφαλίσει την, κατ’ αρχήν, πλήρη εναρμόνιση των εθνικών νομοθεσιών περί προστασίας των δεδομένων προσωπικού χαρακτήρα. Εντούτοις, οι διατάξεις του εν λόγω κανονισμού παρέχουν στα κράτη μέλη τη δυνατότητα να θεσπίζουν πρόσθετους εθνικούς κανόνες, αυστηρότερους ή εισάγοντες παρεκκλίσεις, και καταλείπουν σε αυτά περιθώριο εκτιμήσεως ως προς τον τρόπο με τον οποίο οι εν λόγω διατάξεις μπορούν να τίθενται σε εφαρμογή («ρήτρες ανοίγματος») (πρβλ. απόφαση της 30ής Μαρτίου 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, σκέψη 51 και εκεί μνημονευόμενη νομολογία).
36 Το άρθρο 88 του ΓΚΠΔ, το οποίο αφορά την επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της απασχόλησης, καθορίζει τις προϋποθέσεις υπό τις οποίες τα κράτη μέλη μπορούν να προβλέπουν «ειδικούς κανόνες», μέσω της νομοθεσίας ή μέσω συλλογικών συμβάσεων, για τη διασφάλιση της προστασίας των δικαιωμάτων και των ελευθεριών των εργαζομένων τους οποίους αφορά η επεξεργασία. Η αιτιολογική σκέψη 155 του εν λόγω κανονισμού αναφέρει, μεταξύ άλλων, ότι η έννοια των «συλλογικών συμβάσεων», κατά το ως άνω άρθρο 88, περιλαμβάνει τις «εργασιακές συμφωνίες», όπως η επίμαχη στην κύρια δίκη. Εξάλλου, τα άρθρα 5, 6 και 9 του εν λόγω κανονισμού θέτουν, αντιστοίχως, τις αρχές που διέπουν την επεξεργασία των δεδομένων προσωπικού χαρακτήρα, τις προϋποθέσεις νομιμότητας της επεξεργασίας και τους κανόνες σχετικά με την επεξεργασία ειδικών κατηγοριών τέτοιων δεδομένων.
37 Κατά πάγια νομολογία, το γράμμα διάταξης του δικαίου της Ένωσης η οποία, όπως το άρθρο 88 του ΓΚΠΔ, δεν παραπέμπει ρητώς στο δίκαιο των κρατών μελών για τον προσδιορισμό της εννοίας και του περιεχομένου της πρέπει κατά κανόνα να ερμηνεύεται σε όλη την Ένωση αυτοτελώς και ομοιόμορφα, με βάση, μεταξύ άλλων, το γράμμα της διάταξης, τους σκοπούς που αυτή επιδιώκει και το πλαίσιο στο οποίο εντάσσεται (βλ., κατ’ αναλογίαν, απόφαση της 14ης Δεκεμβρίου 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, σκέψη 23 και εκεί μνημονευόμενη νομολογία).
38 Πρώτον, από το γράμμα του άρθρου 88 του ΓΚΠΔ προκύπτει ότι η παράγραφος του 1 απαιτεί οι «ειδικοί κανόνες» που επιτρέπονται από την εν λόγω διάταξη να έχουν ένα κανονιστικό περιεχόμενο το οποίο να προσιδιάζει στον ρυθμιζόμενο τομέα και να είναι διακριτό από τους γενικούς κανόνες του εν λόγω κανονισμού, ενώ η παράγραφός του 2 οριοθετεί, σύμφωνα με τον σκοπό εναρμονίσεως που επιδιώκει ο εν λόγω κανονισμός, το περιθώριο εκτιμήσεως των κρατών μελών που προτίθενται να θεσπίσουν εθνική ρύθμιση βάσει της παραγράφου 1 (πρβλ. απόφαση της 30ής Μαρτίου 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, σκέψεις 61, 65, 72 και 75).
39 Αντιθέτως, το γράμμα του εν λόγω άρθρου δεν παρέχει ρητή ένδειξη ως προς το αν οι «ειδικοί κανόνες» τους οποίους τα κράτη μέλη έχουν τη δυνατότητα να θεσπίζουν πρέπει να αποσκοπούν μόνο στην τήρηση των απαιτήσεων του άρθρου 88, παράγραφος 2, του ΓΚΠΔ ή και εκείνων άλλων διατάξεων του εν λόγω κανονισμού, με συνέπεια η επεξεργασία δεδομένων προσωπικού χαρακτήρα που πραγματοποιείται κατ’ εφαρμογήν των κανόνων αυτών να πρέπει, επιπλέον, να είναι σύμφωνη με τις τελευταίες αυτές διατάξεις.
40 Δεύτερον, όσον αφορά τους σκοπούς του άρθρου 88 του ΓΚΠΔ, το Δικαστήριο έχει κρίνει ότι το άρθρο αυτό συνιστά «ρήτρα ανοίγματος» και ότι η δυνατότητα που παρέχεται στα κράτη μέλη από την παράγραφό του 1, λαμβανομένων υπόψη των ιδιαιτεροτήτων της επεξεργασίας αυτής, εξηγείται, μεταξύ άλλων, από την ύπαρξη σχέσης εξάρτησης μεταξύ του εργαζομένου και του εργοδότη. Το Δικαστήριο έχει διευκρινίσει ότι οι προϋποθέσεις που επιβάλλει το άρθρο 88, παράγραφος 2, του εν λόγω κανονισμού αντικατοπτρίζουν τα όρια του περιθωρίου εκτιμήσεως το οποίο ο κανονισμός καταλείπει στα κράτη μέλη, υπό την έννοια ότι η έλλειψη εναρμόνισης, η οποία είναι εγγενής στο περιθώριο αυτό εκτιμήσεως, μπορεί να γίνει δεκτή μόνον όταν οι διαφορές οι οποίες εξακολουθούν να υφίστανται συνοδεύονται από ειδικές και πρόσφορες εγγυήσεις που αποσκοπούν στην προστασία των δικαιωμάτων και των ελευθεριών των εργαζομένων έναντι της επεξεργασίας των δεδομένων τους προσωπικού χαρακτήρα στο πλαίσιο της απασχόλησης (πρβλ. απόφαση της 30ής Μαρτίου 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, σκέψεις 52, 53 και 73).
41 Επιπλέον, το Δικαστήριο έχει υπογραμμίσει ότι, όταν τα κράτη μέλη προβαίνουν σε χρήση της δυνατότητας που τους παρέχεται από το άρθρο 88 του ΓΚΠΔ, οφείλουν να κάνουν χρήση του περιθωρίου εκτιμήσεως που διαθέτουν υπό τις προϋποθέσεις και εντός των ορίων που προβλέπουν οι διατάξεις του ΓΚΠΔ και να νομοθετούν κατά τρόπο που να μη θίγει το περιεχόμενο και τους σκοπούς του εν λόγω κανονισμού, ο οποίος αποσκοπεί, μεταξύ άλλων, στη διασφάλιση υψηλού επιπέδου προστασίας των δικαιωμάτων και των ελευθεριών των υποκειμένων των δεδομένων στο πλαίσιο της επεξεργασίας αυτής, όπως προκύπτει από την αιτιολογική σκέψη 10 του εν λόγω κανονισμού. Κατά συνέπεια, οι κανόνες που θεσπίζει ένα κράτος μέλος βάσει του άρθρου 88 πρέπει να αποσκοπούν στην προστασία των δικαιωμάτων και των ελευθεριών των εργαζομένων έναντι της επεξεργασίας των δεδομένων τους προσωπικού χαρακτήρα (πρβλ. απόφαση της 30ής Μαρτίου 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, σκέψεις 54, 59, 62 και 74).
42 Ωστόσο, το άρθρο 88 του ΓΚΠΔ δεν μπορεί να ερμηνευθεί υπό την έννοια ότι οι «ειδικοί κανόνες», τους οποίους τα κράτη μέλη έχουν τη δυνατότητα να θεσπίζουν δυνάμει του άρθρου αυτού, θα μπορούσαν να έχουν ως αντικείμενο ή ως αποτέλεσμα την καταστρατήγηση των υποχρεώσεων του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία που απορρέουν από άλλες διατάξεις του εν λόγω κανονισμού, με κίνδυνο άλλως να θιγεί το σύνολο των ως άνω σκοπών, και ειδικότερα ο σκοπός που αφορά τη διασφάλιση υψηλού επιπέδου προστασίας των εργαζομένων σε περίπτωση επεξεργασίας των δεδομένων τους προσωπικού χαρακτήρα στο πλαίσιο της απασχόλησης.
43 Επομένως, το άρθρο 88, παράγραφοι 1 και 2, του ΓΚΠΔ έχει την έννοια ότι, ακόμη και όταν τα κράτη μέλη στηρίζονται στο εν λόγω άρθρο προκειμένου να θεσπίσουν, στις αντίστοιχες εσωτερικές έννομες τάξεις τους, «ειδικούς κανόνες», μέσω της νομοθεσίας ή μέσω των συλλογικών συμβάσεων, οι απαιτήσεις που απορρέουν από τις λοιπές διατάξεις τις οποίες αφορά ειδικώς το υπό κρίση ερώτημα, ήτοι το άρθρο 5, το άρθρο 6, παράγραφος 1, καθώς και το άρθρο 9, παράγραφοι 1 και 2, του κανονισμού αυτού, πρέπει επίσης να πληρούνται. Τούτο ισχύει, ιδίως, όσον αφορά την τήρηση του κριτηρίου της αναγκαιότητας της επεξεργασίας που προβλέπεται από τις ανωτέρω διατάξεις, ως προς το οποίο διερωτάται ειδικότερα το αιτούν δικαστήριο.
44 Τρίτον, η ερμηνεία αυτή ενισχύεται από το πλαίσιο στο οποίο εντάσσεται το άρθρο 88 του ΓΚΠΔ.
45 Πράγματι, το άρθρο 88 του ΓΚΠΔ περιλαμβάνεται στο κεφάλαιο IX του εν λόγω κανονισμού, το οποίο φέρει τον τίτλο «Διατάξεις που αφορούν ειδικές περιπτώσεις επεξεργασίας», ενώ τα άρθρα 5, 6 και 9 του ΓΚΠΔ περιλαμβάνονται στο κεφάλαιο II, το οποίο φέρει τον τίτλο «Αρχές» και το οποίο έχει, επομένως, γενικότερο περιεχόμενο. Εξάλλου, από το γράμμα του άρθρου 6, το οποίο, στις παραγράφους 2 και 3, ρητώς αναφέρεται στις διατάξεις του εν λόγω κεφαλαίου IX, προκύπτει σαφώς ότι οι προϋποθέσεις νομιμότητας που προβλέπονται στο εν λόγω άρθρο 6 είναι δεσμευτικές ακόμη και στο πλαίσιο των «ειδικών περιπτώσεων» που διέπονται από τις διατάξεις του εν λόγω κεφαλαίου IX.
46 Επιπλέον, κατά πάγια νομολογία, κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει να είναι σύμφωνη με τις αρχές που διέπουν την επεξεργασία τέτοιων δεδομένων, καθώς και να σέβεται τα δικαιώματα του υποκειμένου των δεδομένων που κατοχυρώνονται, αντιστοίχως, στα κεφάλαια II και III του ΓΚΠΔ. Ειδικότερα, η επεξεργασία πρέπει να είναι σύμφωνη με τις αρχές που θέτει το άρθρο 5 του εν λόγω κανονισμού ως προς την επεξεργασία τέτοιων δεδομένων και να πληροί τις προϋποθέσεις νομιμότητας της επεξεργασίας που απαριθμούνται στο άρθρο 6 του κανονισμού [πρβλ. αποφάσεις της 2ας Μαρτίου 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, σκέψη 43, και της 11ης Ιουλίου 2024, Meta Platforms Ireland (Αντιπροσωπευτική αγωγή), C‑757/22, EU:C:2024:598, σκέψη 49 και εκεί μνημονευόμενη νομολογία].
47 Όσον αφορά ειδικότερα τη σχέση μεταξύ του άρθρου 88 του ΓΚΠΔ και άλλων διατάξεων του εν λόγω κανονισμού, το Δικαστήριο επισήμανε, ιδίως υπό το πρίσμα της αιτιολογικής σκέψης 8 του κανονισμού, ότι, παρά την ενδεχόμενη ύπαρξη «ειδικών κανόνων» τους οποίους θεσπίζουν τα κράτη μέλη βάσει του άρθρου 88, παράγραφος 1, του εν λόγω κανονισμού, κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει να συμμορφώνεται προς τις υποχρεώσεις που απορρέουν από τις διατάξεις των κεφαλαίων II και III του ίδιου κανονισμού καθώς και, ειδικότερα, από τα άρθρα 5 και 6 αυτού (πρβλ. απόφαση της 30ής Μαρτίου 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, σκέψεις 67 έως 71).
48 Ομοίως, οι υποχρεώσεις που απορρέουν από το άρθρο 9 του ΓΚΠΔ πρέπει να τηρούνται κατά την επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία εμπίπτει στο πεδίο εφαρμογής του εν λόγω κανονισμού, συμπεριλαμβανομένων των «ειδικών κανόνων» που θεσπίζονται δυνάμει του άρθρου 88, παράγραφος 1, του ΓΚΠΔ. Πράγματι, το εν λόγω άρθρο 9, το οποίο διέπει την επεξεργασία των ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα που απαριθμεί, περιλαμβάνεται στο κεφάλαιο II του εν λόγω κανονισμού, όπως και τα άρθρα 5 και 6, των οποίων οι απαιτήσεις μπορούν να συνδυαστούν με εκείνες οι οποίες απορρέουν από το εν λόγω άρθρο 9 (πρβλ. απόφαση της 21ης Δεκεμβρίου2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, σκέψεις 73, 77 έως 79). Επιπροσθέτως, η ερμηνεία αυτή είναι σύμφωνη με τον σκοπό του άρθρου 9, ο οποίος συνίσταται στη διασφάλιση αυξημένης προστασίας έναντι επεξεργασίας η οποία, λόγω του ιδιαίτερα ευαίσθητου χαρακτήρα των δεδομένων που αφορά, μπορεί να συνιστά ιδιαιτέρως σοβαρή επέμβαση στα θεμελιώδη δικαιώματα των υποκειμένων των δεδομένων (πρβλ. απόφαση της 4ης Οκτωβρίου 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, σκέψη 89 και εκεί μνημονευόμενη νομολογία).
49 Επομένως, σε περίπτωση που το δίκαιο κράτους μέλους περιλαμβάνει «ειδικούς κανόνες», κατά την έννοια του άρθρου 88, παράγραφος 1, του ΓΚΠΔ, η επεξεργασία δεδομένων προσωπικού χαρακτήρα που καλύπτεται από τους κανόνες αυτούς πρέπει να πληροί όχι μόνον τις προϋποθέσεις των παραγράφων 1 και 2 του ως άνω άρθρου, αλλά και τις προϋποθέσεις των άρθρων 5, 6 και 9 του κανονισμού αυτού, όπως οι προϋποθέσεις αυτές έχουν ερμηνευθεί από τη νομολογία του Δικαστηρίου.
50 Κατόπιν των προεκτεθέντων, στο πρώτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 88, παράγραφοι 1 και 2, του ΓΚΠΔ έχει την έννοια ότι εθνική διάταξη η οποία έχει ως αντικείμενο την επεξεργασία δεδομένων προσωπικού χαρακτήρα για τους σκοπούς των σχέσεων εργασίας και η οποία έχει θεσπιστεί δυνάμει του άρθρου 88, παράγραφος 1, του εν λόγω κανονισμού πρέπει να έχει ως συνέπεια ότι οι αποδέκτες της οφείλουν να τηρούν όχι μόνον τις απαιτήσεις που απορρέουν από το άρθρο 88, παράγραφος 2, του εν λόγω κανονισμού, αλλά και εκείνες που απορρέουν από το άρθρο 5, από το άρθρο 6, παράγραφος 1, καθώς και από το άρθρο 9, παράγραφοι 1 και 2, του κανονισμού αυτού.
Επί του δευτέρου προδικαστικού ερωτήματος
51 Με το δεύτερο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 88, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι, όταν μια συλλογική σύμβαση εμπίπτει στο πεδίο εφαρμογής της εν λόγω διατάξεως, το περιθώριο εκτιμήσεως το οποίο διαθέτουν τα μέρη της συμβάσεως αυτής, προκειμένου να καθορίσουν τον «αναγκαίο» χαρακτήρα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, κατά την έννοια του άρθρου 5, του άρθρου 6, παράγραφος 1, καθώς και του άρθρου 9, παράγραφοι 1 και 2, του κανονισμού αυτού, σημαίνει ότι το εθνικό δικαστήριο εμποδίζεται να ασκήσει συναφώς πλήρη δικαστικό έλεγχο.
52 Κατ’ αρχάς, υπενθυμίζεται ότι, όπως υπογραμμίστηκε στη σκέψη 41 της παρούσας αποφάσεως, τα κράτη μέλη που κάνουν χρήση της δυνατότητας την οποία τους παρέχει το άρθρο 88 του ΓΚΠΔ οφείλουν να κάνουν χρήση του περιθωρίου εκτιμήσεως που διαθέτουν υπό τις προϋποθέσεις και εντός των ορίων που προβλέπουν οι διατάξεις του εν λόγω κανονισμού και να μεριμνούν ώστε οι «ειδικοί κανόνες» που θεσπίζουν στην εσωτερική έννομη τάξη τους να μη θίγουν το περιεχόμενο και τους σκοπούς του εν λόγω κανονισμού. Οι κανόνες αυτοί πρέπει να αποσκοπούν, μεταξύ άλλων, στη διασφάλιση υψηλού επιπέδου προστασίας των θεμελιωδών δικαιωμάτων και των ελευθεριών των εργαζομένων έναντι της επεξεργασίας των δεδομένων τους προσωπικού χαρακτήρα στο πλαίσιο της απασχόλησης.
53 Όσον αφορά την έκταση του δικαστικού ελέγχου που μπορεί να ασκηθεί σε σχέση με τέτοιους ειδικούς κανόνες, το Δικαστήριο έχει κρίνει ότι εναπόκειται στο επιληφθέν εθνικό δικαστήριο, το οποίο είναι το μόνο αρμόδιο να ερμηνεύσει το εθνικό δίκαιο, να εκτιμήσει αν οι εν λόγω κανόνες τηρούν πράγματι τις προϋποθέσεις και τα όρια που θέτει, ειδικότερα, το άρθρο 88 του ΓΚΠΔ. Σύμφωνα με την αρχή της υπεροχής του δικαίου της Ένωσης, σε περίπτωση που το εθνικό δικαστήριο διαπιστώσει ότι οι οικείες διατάξεις του εθνικού δικαίου δεν τηρούν τις εν λόγω προϋποθέσεις και όρια, οφείλει να αφήσει ανεφάρμοστες τις εν λόγω διατάξεις. Ελλείψει ειδικών κανόνων οι οποίοι να τηρούν τις απαιτήσεις του ως άνω άρθρου 88, η επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της απασχόλησης διέπεται άμεσα από τις διατάξεις του εν λόγω κανονισμού (πρβλ. απόφαση της 30ής Μαρτίου 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, σκέψεις 80, 82 έως 84 και 89).
54 Οι εκτιμήσεις αυτές ισχύουν και για τα μέρη συλλογικής συμβάσεως που προβλέπεται από το άρθρο 88 του ΓΚΠΔ, όπως η επίμαχη στην κύρια δίκη. Πράγματι, όπως επισήμανε κατ’ ουσίαν η Επιτροπή με τις γραπτές παρατηρήσεις της, τα μέρη συλλογικής συμβάσεως πρέπει να μπορούν να διαθέτουν περιθώριο εκτιμήσεως ισοδύναμο, ιδίως όσον αφορά τα όριά του, με εκείνο το οποίο αναγνωρίζεται στα κράτη μέλη, δεδομένου ότι οι «ειδικοί κανόνες» της παραγράφου 1 του εν λόγω άρθρου 88 μπορούν, μεταξύ άλλων, να απορρέουν από συλλογικές συμβάσεις. Η αιτιολογική σκέψη 155 του εν λόγω κανονισμού αναφέρει επίσης ότι τέτοιοι κανόνες μπορούν να προβλέπονται από το δίκαιο των κρατών μελών ή από συλλογικές συμβάσεις, συμπεριλαμβανομένων των «εργασιακών συμφωνιών».
55 Επομένως, παρά το περιθώριο εκτιμήσεως που το άρθρο 88 του ΓΚΠΔ καταλείπει στα μέρη συλλογικής συμβάσεως, ο δικαστικός έλεγχος που ασκείται σε σχέση με μια τέτοια σύμβαση πρέπει, όπως και ο δικαστικός έλεγχος που αφορά κανόνα του εθνικού δικαίου θεσπισθέντα βάσει της ως άνω διατάξεως, να μπορεί να αφορά χωρίς κανέναν περιορισμό την τήρηση του συνόλου των προϋποθέσεων και των ορίων που προβλέπουν οι διατάξεις του εν λόγω κανονισμού για την επεξεργασία δεδομένων προσωπικού χαρακτήρα.
56 Εν συνεχεία, διευκρινίζεται ότι ένας τέτοιος δικαστικός έλεγχος πρέπει, ειδικότερα, να αποσκοπεί στην εξακρίβωση του «αναγκαίου» χαρακτήρα της επεξεργασίας τέτοιων δεδομένων, κατά την έννοια των άρθρων 5, 6 και 9 του ΓΚΠΔ. Με άλλα λόγια, το άρθρο 88 του ΓΚΠΔ δεν μπορεί να ερμηνευθεί υπό την έννοια ότι τα μέρη συλλογικής συμβάσεως διαθέτουν εξουσία εκτιμήσεως η οποία τους επιτρέπει να θεσπίζουν «ειδικούς κανόνες» που έχουν ως αποτέλεσμα η εν λόγω απαίτηση περί αναγκαιότητας να εφαρμόζεται κατά τρόπο λιγότερο αυστηρό ή ακόμη και να αποκλείεται.
57 Ασφαλώς, όπως παρατήρησαν κατ’ ουσίαν το αιτούν δικαστήριο και η Ιρλανδία, τα μέρη συλλογικής συμβάσεως είναι κατά κανόνα σε θέση να εκτιμήσουν αν η επεξεργασία δεδομένων είναι αναγκαία σε συγκεκριμένο επαγγελματικό πλαίσιο, δεδομένου ότι τα μέρη αυτά διαθέτουν συνήθως εκτεταμένη γνώση όσον αφορά τις ειδικές ανάγκες του οικείου τομέα απασχόλησης και του οικείου τομέα δραστηριότητας. Εντούτοις, μια τέτοια διαδικασία αξιολόγησης δεν πρέπει να οδηγεί τα μέρη αυτά σε συμβιβασμούς οικονομικής φύσεως ή υπαγορευόμενους από λόγους ευκολίας, οι οποίοι θα μπορούσαν να θίξουν αδικαιολόγητα τον σκοπό του ΓΚΠΔ που συνίσταται στη διασφάλιση υψηλού επιπέδου προστασίας των θεμελιωδών δικαιωμάτων και ελευθεριών των εργαζομένων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που τα αφορούν.
58 Επομένως, ερμηνεία του άρθρου 88 του ΓΚΠΔ υπό την έννοια ότι τα εθνικά δικαστήρια δεν δύνανται να ασκήσουν πλήρη δικαστικό έλεγχο συλλογικής συμβάσεως, προκειμένου ιδίως να εξακριβωθεί αν οι δικαιολογητικοί λόγοι που προβάλλουν τα μέρη της συλλογικής συμβάσεως αποδεικνύουν τον αναγκαίο χαρακτήρα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα που απορρέει από τη σύμβαση, δεν είναι συμβατή με τον εν λόγω κανονισμό, λαμβανομένου υπόψη του σκοπού προστασίας που υπομνήσθηκε στην προηγούμενη σκέψη της παρούσας αποφάσεως.
59 Τέλος, υπογραμμίζεται ότι, σε περίπτωση που το επιληφθέν εθνικό δικαστήριο διαπιστώσει, μετά το πέρας του ελέγχου του, ότι ορισμένες διατάξεις της οικείας συλλογικής συμβάσεως δεν τηρούν τις προϋποθέσεις και τα όρια που προβλέπει ο ΓΚΠΔ, σε αυτό εναπόκειται να αφήσει ανεφάρμοστες τις διατάξεις αυτές, σύμφωνα με τη νομολογία που μνημονεύθηκε στη σκέψη 53 της παρούσας αποφάσεως.
60 Κατόπιν των προεκτεθέντων, στο δεύτερο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 88, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι, όταν μια συλλογική σύμβαση εμπίπτει στο πεδίο εφαρμογής της εν λόγω διατάξεως, το περιθώριο εκτιμήσεως το οποίο διαθέτουν τα μέρη της συμβάσεως αυτής, προκειμένου να καθορίσουν τον «αναγκαίο» χαρακτήρα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα κατά την έννοια του άρθρου 5, του άρθρου 6, παράγραφος 1, καθώς και του άρθρου 9, παράγραφοι 1 και 2, του εν λόγω κανονισμού, δεν εμποδίζει το εθνικό δικαστήριο να ασκήσει συναφώς πλήρη δικαστικό έλεγχο.
Επί του τρίτου προδικαστικού ερωτήματος
61 Κατόπιν της απαντήσεως που δόθηκε στο δεύτερο προδικαστικό ερώτημα, παρέλκει η απάντηση στο τρίτο προδικαστικό ερώτημα.
Επί των δικαστικών εξόδων
62 Δεδομένου ότι η παρούσα διαδικασία έχει ως προς τους διαδίκους της κύριας δίκης τον χαρακτήρα παρεμπίπτοντος που ανέκυψε ενώπιον του αιτούντος δικαστηρίου, σε αυτό εναπόκειται να αποφανθεί επί των δικαστικών εξόδων. Τα έξοδα στα οποία υποβλήθηκαν όσοι υπέβαλαν παρατηρήσεις στο Δικαστήριο, πλην των ως άνω διαδίκων, δεν αποδίδονται.
Για τους λόγους αυτούς, το Δικαστήριο (όγδοο τμήμα) αποφαίνεται:
1) Το άρθρο 88, παράγραφοι 1 και 2, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων),
έχει την έννοια ότι:
εθνική διάταξη η οποία έχει ως αντικείμενο την επεξεργασία δεδομένων προσωπικού χαρακτήρα για τους σκοπούς των σχέσεων εργασίας και η οποία έχει θεσπιστεί δυνάμει του άρθρου 88, παράγραφος 1, του εν λόγω κανονισμού πρέπει να έχει ως συνέπεια ότι οι αποδέκτες της οφείλουν να τηρούν όχι μόνον τις απαιτήσεις που απορρέουν από το άρθρο 88, παράγραφος 2, του εν λόγω κανονισμού, αλλά και εκείνες που απορρέουν από το άρθρο 5, από το άρθρο 6, παράγραφος 1, καθώς και από το άρθρο 9, παράγραφοι 1 και 2, του κανονισμού αυτού.
2) Το άρθρο 88, παράγραφος 1, του κανονισμού 2016/679
έχει την έννοια ότι:
όταν μια συλλογική σύμβαση εμπίπτει στο πεδίο εφαρμογής της εν λόγω διατάξεως, το περιθώριο εκτιμήσεως το οποίο διαθέτουν τα μέρη της συμβάσεως αυτής, προκειμένου να καθορίσουν τον «αναγκαίο» χαρακτήρα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα κατά την έννοια του άρθρου 5, του άρθρου 6, παράγραφος 1, καθώς και του άρθρου 9, παράγραφοι 1 και 2, του εν λόγω κανονισμού, δεν εμποδίζει το εθνικό δικαστήριο να ασκήσει συναφώς πλήρη δικαστικό έλεγχο.
(υπογραφές)
