I.
C-65/23. K GmbH (Traitement de données personnelles des employés) ügyben 2024. december 19-én hozott ítélet
1) A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27-i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) 88. cikkének (1) és (2) bekezdését
a következőképpen kell értelmezni:
a személyes adatok foglalkoztatással összefüggő kezelésére irányuló és az e rendelet 88. cikkének (1) bekezdése alapján elfogadott nemzeti rendelkezésnek a címzettjeit nemcsak az említett rendelet 88. cikkének (2) bekezdéséből eredő követelmények, hanem az e rendelet 5. cikkéből, 6. cikkének (1) bekezdéséből, valamint 9. cikkének (1) és (2) bekezdéséből eredő követelmények tiszteletben tartására is köteleznie kell.
2) A 2016/679 rendelet 88. cikkének (1) bekezdését
a következőképpen kell értelmezni:
amennyiben valamely kollektív szerződés e rendelkezés hatálya alá tartozik, az e szerződés feleit a személyes adatok e rendelet 5. cikke, 6. cikkének (1) bekezdése, valamint 9. cikkének (1) és (2) bekezdése értelmében vett „szükséges” jellegének meghatározása tekintetében megillető mérlegelési mozgástér nem akadályozza meg a nemzeti bíróságot abban, hogy e tekintetben teljes körű bírósági felülvizsgálatot gyakoroljon.
1 Az előzetes döntéshozatal iránti kérelem a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27-i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 1. o.; HL 2021. L 74., 35. o.; a továbbiakban: GDPR) 5. cikkével, 6. cikkének (1) bekezdésével, valamint 9. cikkének (1) és (2) bekezdésével együttesen értelmezett 82. cikke (1) bekezdésének, valamint 88. cikke (1) és (2) bekezdésének értelmezésére vonatkozik.
2 E kérelmet a természetes személy MK és a K GmbH között azon nem vagyoni kár megtérítése tárgyában folyamatban lévő jogvita keretében terjesztették elő, amely e személyt állítása szerint személyes adatainak az e társaság által, üzemi megállapodás alapján történő kezelése miatt érte.
Az alapeljárás
13 Az alapeljárás felperese az alapeljárás alperesének, egy német jog szerint alapított társaságnak a munkavállalója, és az üzemi tanács elnöki tisztségét tölti be.
14 Kezdetben az említett társaság munkavállalóinak bizonyos személyes adatait egy „SAP” elnevezésű szoftver (a továbbiakban: SAP-szoftver) többek között számviteli célú használatával összefüggésben kezelte, és e tekintetben az üzemi tanácsával több üzemi megállapodást kötött.
15 2017-ben a D cégcsoport, amelyhez az alapeljárás alperese tartozik (a továbbiakban: D csoport), e csoport egészében bevezette a „Workday” elnevezésű szoftvert (a továbbiakban: Workday szoftver), amely felhőben (cloud) működő, a személyi állományra vonatkozó információk kezelésére szolgáló egységes rendszer. Ennek keretében az alapeljárás alperese a munkavállalóinak az SAP-szoftverből származó különböző személyes adatait továbbította a D csoport egyik egyesült államokbeli anyavállalatának szerverére.
16 2017. július 3-án az alapeljárás alperese és üzemi tanácsa a Workday szoftver bevezetésével kapcsolatos tűrést előíró megállapodást kötött (a továbbiakban: tűrésre kötelező üzemi megállapodás), amely többek között megtiltotta, hogy ezt a szoftvert a kísérleti szakaszban az emberi erőforrások olyan igazgatására használják, mint például a munkavállaló értékelése. E megállapodás 2. melléklete szerint a Workday szoftverbe való feltöltés céljából továbbítható egyedüli adatkategóriák: a munkavállaló D csoporton belül hozzárendelt személyi száma, családi neve és utóneve, telefonszáma, az érintett vállalathoz való belépés dátuma, a D csoportnál történő foglalkoztatás kezdete, a munkavégzés helye, az érintett cég neve, valamint munkahelyi telefonszáma és munkahelyi e-mail-címe. Az említett megállapodás hatályát a 2019. január 23-án kötött végleges vállalkozási megállapodás hatálybalépéséig meghosszabbították.
17 Ebben az összefüggésben az alapeljárás felperese az Arbeitsgericht (munkaügyi bíróság, Németország), majd a területileg illetékes Landesarbeitsgericht (munkaügyi fellebbviteli bíróság, Németország) előtt bizonyos információkhoz való hozzáférés, a rá vonatkozó adatok törlése és kártérítés megítélése iránt nyújtott be kérelmeket. E felperes többek között azt állította, hogy az alapeljárás alperese rá vonatkozó személyes adatokat továbbított az anyavállalat szerverére, amelyek közül egyesek nem szerepeltek a tűrésre kötelező üzemi megállapodásban, így különösen a magánelérhetőségi adatait, a szerződésére és a díjazására vonatkozó adatokat, a társadalombiztosítási és adóazonosító számát, az állampolgárságát és a családi állapotát.
18 Az alapeljárás felperese, tekintve, hogy kérelmének nem adtak helyt teljes mértékben, felülvizsgálati kérelmet nyújtott be a Bundesarbeitsgerichthez (szövetségi munkaügyi bíróság, Németország), amely a kérdést előterjesztő bíróság. Jelenleg már csak e felperes azon nem vagyoni kárának a GDPR alapján történő megtérítése iránti kérelme van folyamatban, amelyet személyes adatainak a Workday szoftverrel történő jogellenes kezelése miatt szenvedett el az e rendelet alkalmazásának kezdőnapjától, azaz 2018. május 25-től 2019 első negyedévének végéig terjedő időszakban.
19 Ami ezen adatkezelés jogellenességét illeti, az alapeljárás felperese egyfelől arra hivatkozik, hogy az adatkezelés nem volt szükséges sem a munkaviszonyhoz – amely tekintetében az alapeljárás alperese akkor az SAP-szoftvert használta –, sem a Workday szoftver kísérleti üzeméhez, mivel e célból elegendő lett volna fiktív adatok használata, amely biztosította volna, hogy a D csoporton belül semmilyen valós adat ne legyen hozzáférhető. Másfelől, még ha feltételezzük is, hogy a tűrésre kötelező üzemi megállapodás érvényes alapot képezhet az említett adatkezeléshez, az abban szereplő engedélyt túllépték, mivel az alperes az e megállapodás 2. mellékletében előírtaktól eltérő adatokat szolgáltatott. Végül az említett alperesre hárul annak bizonyítása, hogy cselekményei megfelelnek a GDPR-nak.
20 Az alapeljárás alperese azt állítja, hogy a szóban forgó adatkezelés megfelel a GDPR követelményeinek, hogy a bizonyítási teher az alapeljárás felperesére hárul, és hogy ez utóbbi nem bizonyította sem a nem vagyoni kár fennállását, sem pedig az e rendelet esetleges megsértése és az állítólagos kár közötti okozati összefüggést.
21 A kérdést előterjesztő bíróság úgy véli, hogy az alapeljárás felperese által vitatott műveletek a GDPR tárgyi hatálya alá tartoznak, mivel azok ezen „érintett” e rendelet 4. cikkének 1. és 2. pontja értelmében vett „személyes adatai” „kezelésének” minősülnek. Ezenkívül megjegyzi, hogy az alapeljárás alperese az említett rendelet 4. cikkének 7. pontja értelmében vett „adatkezelőnek” minősül. Ami ez utóbbi időbeli hatályát illeti, hangsúlyozza, hogy az adatkezelés kétségkívül azon időpontot megelőzően kezdődött, amikor ez az eszköz alkalmazandóvá vált, azonban ezen időpontot követően is folytatódott, mivel a vállalkozási megállapodás eredeti hatásai több alkalommal meghosszabbították a tűrésre kötelező üzemi megállapodás eredeti hatályát.
22 Ebben az összefüggésben a kérdést előterjesztő bíróság először is azt a kérdést veti fel, hogy összeegyeztethető-e e rendelettel a személyes adatok munkaviszonyok céljából történő kezelését szabályozó olyan nemzeti szabály, amely lényegében azt írja elő, hogy a kollektív szerződések alapján végzett ilyen adatkezelés jogszerű, feltéve hogy tiszteletben tartják mind a GDPR 88. cikkének (2) bekezdését, mind a BDSG 26. §-ának (4) bekezdését, vagy pedig e célból az érintett adatkezelésnek meg kell-e felelnie e rendelet más rendelkezéseinek is. E bíróság hajlik annak megállapítására, hogy amennyiben a munkavállalók személyes adatainak kezelését a GDPR 88. cikke értelmében vett „kollektív szerződés” szabályozza, ezen adatkezelés nem csupán e 88. cikkből, hanem az e rendelet 5. cikkéből, 6. cikkének (1) bekezdéséből, valamint 9. cikkének (1) és (2) bekezdéséből eredő követelményektől sem térhet el, különösen ami az adatkezelés szükségességének az ez utóbbi három cikkben előírt feltételét illeti.
23 Másodszor, az első kérdésére adott igenlő válasz esetén az említett bíróság arra keresi a választ, hogy az ilyen kollektív szerződés felei rendelkeznek-e olyan mérlegelési mozgástérrel, amelyet a GDPR 5. cikke, 6. cikkének (1) bekezdése, valamint 9. cikkének (1) és (2) bekezdése értelmében az érintett adatkezelés szükségességének értékelését illetően bírósági csak korlátozottan vizsgálhat felül. Véleménye szerint ezt az álláspontot alátámasztja az az érvelés, amely szerint e felek nagymértékben közel állnak a vállalkozás életéhez, és általában megfelelő egyensúlyt alakítottak ki a szóban forgó érdekek között. Mindazonáltal a Bíróságnak más uniós jogi aktusokra, különösen az 1991. február 7-i Nimz ítéletre (C-184/89, EU:C:1991:50) és a 2003. március 20-i Kutz-Bauer ítéletre (C-187/00, EU:C:2003:168) vonatkozó ítélkezési gyakorlata inkább arra enged következtetni, hogy az e jog hatálya alá tartozó kollektív szerződés rendelkezései nem lehetnek ellentétesek azzal, és szükség esetén el kell tekinteni az ilyen rendelkezések alkalmazásától.
24 Harmadszor, abban az esetben, ha a második kérdésre adott válasz igenlő, a kérdést előterjesztő bíróság meg kívánja ismerni azokat az értékelési szempontokat, amelyekre adott esetben korlátoznia kell az általa elvégzendő bírósági felülvizsgálatot.
25 Végül az e bíróság által eredetileg a visszavonásukat megelőzően előterjesztett negyedik, ötödik és hatodik kérdés lényegében a GDPR 82. cikkének (1) bekezdése alapján a nem vagyoni kár megtérítéséhez való jogra vonatkozott.
26 E körülmények között a Bundesarbeitsgericht (szövetségi munkaügyi bíróság) úgy határozott, hogy az eljárást felfüggeszti, és előzetes döntéshozatal céljából kérdéseket terjeszt a Bíróság elé.
Az előzetes döntéshozatalra előterjesztett kérdések
„1) Úgy kell-e értelmezni [a GDPR] 88. cikkének (1) bekezdése alapján elfogadott olyan nemzeti jogi rendelkezést, például a [BDSG] 26. §-ának (4) bekezdését, amely úgy rendelkezik, hogy megengedett a munkavállalók személyes adatainak – ideértve a személyes adatok különleges kategóriáit is – kollektív szerződések alapján szabályozott munkaviszonyt érintő célból, [a GDPR] 88. cikke (2) bekezdésének betartása mellett történő kezelése, hogy [a GDPR] további előírásait, például az 5. cikkét, 6. cikkének (1) bekezdését, valamint 9. cikkének (1) és (2) bekezdését is be kell tartani?
2) Az első kérdésre adandó igenlő válasz esetén:
Értelmezhető-e úgy [a GDPR] 88. cikkének (1) bekezdése alapján elfogadott olyan nemzeti jogi rendelkezés, mint a BDSG 26. §-ának (4) bekezdése, hogy a kollektív szerződésben részt vevő feleket (jelen esetben az üzemi megállapodásban részt vevő feleket) [a GDPR] 5. cikke, 6. cikkének (1) bekezdése és 9. cikkének (1) és (2) bekezdése értelmében vett adatkezelés szükségességének megítélése során olyan mérlegelési mozgástér illeti meg, amelyet a bíróság csak korlátozottan vizsgálhat felül?
3) A második kérdésre adandó igenlő válasz esetén:
Mire lehet ilyen esetben a bírósági felülvizsgálatot korlátozni?
4) Úgy kell-e értelmezni [a GDPR] 82. cikkének (1) bekezdését, hogy az érintettek már akkor is jogosultak a nem vagyoni kár megtérítésére, ha személyes adataik kezelése [a GDPR] követelményeinek megsértésével történt, vagy a nem vagyoni kár megtérítéséhez való joghoz ezen túlmenően az is szükséges, hogy az érintett igazolja az őt ért – bizonyos súlyú – nem vagyoni kárt?
5) Különös, illetve általános megelőzési jelleggel bír-e [a GDPR] 82. cikkének (1) bekezdése, és figyelembe kell-e venni ezt az adatkezelő, illetve adatfeldolgozó terhére a megtérítendő nem vagyoni kár mértékének [a GDPR] 82. cikkének (1) bekezdése alapján történő megállapítása során?
6) Jelentőséggel bír-e a megtérítendő nem vagyoni kár mértékének [a GDPR] 82. cikkének (1) bekezdése alapján történő megállapítása során az adatkezelő, illetve adatfeldolgozó vétkességének mértéke? Figyelembe vehető-e különösen az adatkezelő, illetve adatfeldolgozó javára vétkességének hiánya vagy kis mértéke?”
A Bíróság előtti eljárás
27 A Bíróság elnöke 2024. január 24-i határozatával ismertette a kérdést előterjesztő bírósággal a 2023. május 4-i Österreichische Post (A személyes adatok kezeléséhez kapcsolódó nem vagyoni kár) ítéletet (C-300/21, EU:C:2023:370), a 2023. december 14-i Natsionalna agentsia za prihodite ítéletet (C-340/21, EU:C:2023:986), a 2023. december 14-i Gemeinde Ummendorf ítéletet (C-456/22, EU:C:2023:988), a 2023. december 21-i Krankenversicherung Nordrhein ítéletet (C-667/21, EU:C:2023:1022), továbbá a 2024. január 25-i MediaMarktSaturn (C-687/21, EU:C:2024:72) annak pontosítása érdekében, hogy ezen ítéletekre tekintettel fenn kívánja-e tartani az előzetes döntéshozatal iránti kérelmét, különösen a negyedik, ötödik és hatodik kérdést illetően.
28 A Bíróság elnökének 2024. március 15-i határozata értelmében a jelen ügyben az eljárást a Bíróság eljárási szabályzata 55. cikke (1) bekezdésének b) pontja alapján az így feltett kérdésre adott válasz beérkezésééig felfüggesztették.
29 A kérdést előterjesztő bíróság Bírósághoz 2024. május 8-án érkezett írásbeli közleményében arról tájékoztatta a Bíróságot, hogy visszavonja a negyedik, ötödik és hatodik kérdését, azonban fenntartja az első, a második és a harmadik kérdést.
Az előzetes döntéshozatal iránti kérelem elfogadhatóságáról
30 Az alapeljárás alperese azt állítja, hogy az első, a második és a harmadik kérdés elfogadhatatlan, mivel azok nem relevánsak a kérdést előterjesztő bíróság előtt folyamatban lévő jogvita megoldása szempontjából. Lényegében azt állítja, hogy az alapeljárás felperese nem a jelen ügyben alkalmazandó üzemi megállapodás tartalmát vitatja, hanem azt, hogy a kifogásolt adatkezelés túllépte e megállapodás korlátait, így e jogvita tárgya nem a GDPR 88. cikkében foglalt, az ilyen megállapodásra vonatkozó követelmények megsértése. Ráadásul e kérdések hipotetikusak, mivel arra irányulnak, hogy lehetővé tegyék e bíróság számára ezen adatkezelés jogszerűségének átfogó, és nem kizárólag az alapeljárás felperese által vitatott tényezőkre tekintettel történő vizsgálatát.
31 E tekintetben az állandó ítélkezési gyakorlat szerint kizárólag a jogvitában eljáró és a meghozandó bírósági határozatért felelős nemzeti bíróság feladata annak értékelése, hogy az ügy sajátosságaira figyelemmel az ítéletének meghozatalához szükség van-e előzetes döntéshozatalra, és a Bíróság elé terjesztett kérdések – amelyek relevanciáját vélelmezni kell – valóban relevánsak-e. Ennélfogva, amikor az előterjesztett kérdés az uniós jog valamely szabályának értelmezésére vagy érvényességére vonatkozik, a Bíróság főszabály szerint köteles a kérelmet elbírálni, kivéve ha a kért értelmezés nyilvánvalóan semmilyen összefüggésben nincs az alapeljárás tényállásával vagy tárgyával, ha a probléma hipotetikus jellegű, vagy ha nem állnak a Bíróság rendelkezésére azok a ténybeli és jogi elemek, amelyek szükségesek ahhoz, hogy az említett kérdésre hasznos választ adhasson (2024. június 20-i Scalable Capital ítélet, C-182/22 és C-189/22, EU:C:2024:531, valamint az ott hivatkozott ítélkezési gyakorlat).
32 A jelen ügyben az első, a második és a harmadik kérdés több uniós jogi rendelkezés, pontosabban a GDPR 5., 6. és 9. cikkével összefüggésben értelmezett 88. cikkének értelmezésére vonatkozik. Ezenkívül a kérdést előterjesztő bíróság úgy véli, hogy túllépték a jelen ügyben alkalmazandó üzemi megállapodásban rögzített korlátokat, amelyeket e bíróság az e rendelet értelmében vett „kollektív szerződésnek” minősít, és hogy a személyes adatoknak az alapügyben szóban forgó kezelését összességében kell vizsgálni, mivel a BDSG 26. §-ának mind az (1), mind a (4) bekezdése alapján jogellenes lehet, és ez utóbbi kifejezetten hivatkozik a GDPR 88. cikkére.
33 Ebből az következik, hogy az előzetes döntéshozatal iránti kérelem elfogadható.
Az előzetes döntéshozatalra előterjesztett kérdésekről
Az első kérdésről
34 Első kérdésével az előterjesztő bíróság lényegében arra vár választ, hogy a GDPR 88. cikkének (1) és (2) bekezdését úgy kell-e értelmezni, hogy a személyes adatok foglalkoztatással összefüggő kezelésére irányuló és az e rendelet 88. cikkének (1) bekezdése alapján elfogadott nemzeti rendelkezésnek a címzettjeit nemcsak az említett rendelet 88. cikkének (2) bekezdéséből eredő követelmények, hanem az e rendelet 5. cikkéből, 6. cikkének (1) bekezdéséből, valamint 9. cikkének (1) és (2) bekezdéséből eredő követelmények tiszteletben tartására is köteleznie kell.
35 E tekintetben emlékeztetni kell arra, hogy a GDPR célja a személyes adatok védelmére vonatkozó nemzeti jogszabályok főszabály szerint teljes harmonizációjának biztosítása. Ugyanakkor e rendelet rendelkezései lehetőséget adnak a tagállamok számára, hogy további, szigorúbb vagy eltérő nemzeti szabályokat írjanak elő, és mérlegelési mozgásteret hagynak a tagállamok számára e rendelkezések végrehajtásának módját illetően („engedő rendelkezések”) (lásd ebben az értelemben: 2023. március 30-i Hauptpersonalrat der Lehrerinnen und Lehrer ítélet, C-34/21, EU:C:2023:270, 51. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
36 A GDPR-nak a személyes adatok foglalkoztatással összefüggésben történő kezelésére vonatkozó 88. cikke meghatározza azokat a feltételeket, amelyek mellett a tagállamok jogszabályban vagy kollektív szerződések útján „pontosabban meghatározott szabályokat” írhatnak elő az ilyen adatkezeléssel érintett munkavállalók jogainak és szabadságainak védelme érdekében. E rendelet (155) preambulumbekezdése többek között kimondja, hogy a „kollektív szerződésnek” az e 88. cikk értelmében vett fogalma magában foglalja az olyan „üzemi megállapodásokat”, mint amilyenek az alapügyben szerepelnek. Egyébiránt az említett rendelet 5., 6. és 9. cikke tartalmazza a személyes adatok kezelésére vonatkozó elveket, az adatkezelés jogszerűségének feltételeit, valamint az ilyen adatok különleges kategóriáinak kezelésére vonatkozó szabályokat.
37 Az állandó ítélkezési gyakorlat szerint az uniós jog olyan rendelkezését, amely – mint a GDPR 88. cikke – értelmének és hatályának meghatározása céljából nem hivatkozik kifejezetten a tagállamok jogára, általában az Unió egész területén önállóan és egységesen kell értelmezni, figyelembe véve ennek során különösen az érintett rendelkezés szövegét, az e rendelkezéssel elérni kívánt célokat és a rendelkezés összefüggéseit (lásd analógia útján: 2023. december 14-i Natsionalna agentsia za prihodite ítélet, C-340/21, EU:C:2023:986, 23. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
38 Először is, a GDPR 88. cikkének szövegéből kitűnik, hogy annak (1) bekezdése megköveteli, hogy az e rendelkezés által engedélyezett, „pontosabban meghatározott szabályok” a szabályozott területre jellemző és az e rendelet általános szabályaitól eltérő normatív tartalommal rendelkezzenek, míg a (2) bekezdése – az említett rendeletben szereplő harmonizációs célkitűzésnek megfelelően – azon tagállamok mérlegelési mozgásterét szabályozza, amelyek ezen (1) bekezdés alapján nemzeti szabályozást kívánnak elfogadni (lásd e tekintetben: 2023. március 30-i 2023. március 24-i Hauptpersonalrat der Lehrerinnen und Lehrer ítélet, C-34/21, EU:C:2023:270, 61., 65., 72. és 75. pont).
39 Ezzel szemben e megfogalmazás nem tartalmaz kifejezett utalást arra vonatkozóan, hogy a tagállamok által ily módon elfogadott, „pontosabban meghatározott szabályoknak” kizárólag a GDPR 88. cikkének (2) bekezdésében meghatározott követelmények tiszteletben tartására kell-e irányulniuk vagy e rendelet más rendelkezéseinek tiszteletben tartására is, oly módon, hogy a személyes adatok ilyen szabályok alapján történő kezelésének ezen túlmenően meg kell felelnie ez utóbbi rendelkezéseknek.
40 Másodszor, ami a GDPR 88. cikkének célkitűzéseit illeti, a Bíróság már kimondta, hogy e cikk „engedő rendelkezésnek” minősül, és az e cikk (1) bekezdésében a tagállamok számára biztosított lehetőség, figyelemmel az ilyen adatkezelés sajátosságaira, többek között azzal magyarázható, hogy a munkavállaló és a munkáltató között alárendeltségi viszony áll fenn. A Bíróság pontosította, hogy az e rendelet 88. cikkének (2) bekezdésében előírt feltételek a tagállamok számára hagyott mérlegelési mozgástér határait tükrözik abban az értelemben, hogy a harmonizáció e hiánya csak abban az esetben fogadható el, ha a fennálló különbségeket olyan egyedi és megfelelő garanciák kísérik, amelyek célja az alkalmazottak jogainak és szabadságainak védelme a személyes adataik foglalkoztatással összefüggő kezelése tekintetében (lásd e tekintetben: 2023. március 30-i Hauptpersonalrat der Lehrerinnen und Lehrer ítélet, C-34/21, EU:C:2023:270, 52., 53. és 73. pont).
41 Ezenkívül a Bíróság hangsúlyozta, hogy amikor a tagállamok élnek a GDPR 88. cikkében számukra biztosított lehetőséggel, mérlegelési mozgásterükkel az e rendelet rendelkezéseiben előírt feltételek és korlátozások mellett kell élniük, és így oly módon kell jogszabályokat alkotniuk, hogy ne sértsék az említett rendelet tartalmát és céljait, amely rendelet célja többek között az ilyen adatkezeléssel érintett személyek jogai és szabadságai magas szintű védelmének biztosítása, amint az a (10) preambulumbekezdéséből kitűnik. Következésképpen a valamely tagállam által e 88. cikk alapján elfogadott szabályoknak a munkavállalók jogainak és szabadságainak a személyes adataik kezelése tekintetében történő védelmére kell irányulniuk (lásd e tekintetben: 2023. március 30-i Hauptpersonalrat der Lehrerinnen und Lehrer ítélet, C-34/21, EU:C:2023:270, 54., 59., 62. és 74. pont).
42 Márpedig a GDPR 88. cikke – e célok összessége, és különösen a személyes adataiknak a foglalkoztatással összefüggésben történő kezelése esetén a munkavállalók magas szintű védelmének biztosítására irányuló cél sérelme nélkül – nem értelmezhető úgy, hogy a tagállamok által e cikk alapján elfogadható, „pontosabban meghatározott szabályoknak” az lenne a célja vagy hatása, hogy megkerüljék az adatkezelőnek, vagy akár az adatfeldolgozónak az e rendelet más rendelkezéseiből eredő kötelezettségeit.
43 Ebből következik, hogy a GDPR 88. cikkének (1) és (2) bekezdését úgy kell értelmezni, hogy még ha a tagállamok e cikkre támaszkodnak is annak érdekében, hogy belső jogrendjükbe törvény vagy kollektív szerződés útján „pontosabban meghatározott szabályokat” vezessenek be, a jelen kérdésben kifejezetten említett egyéb rendelkezésekből, nevezetesen e rendelet 5. cikkéből, 6. cikkének (1) bekezdéséből, valamint 9. cikkének (1) és (2) bekezdéséből eredő követelményeknek szintén teljesülniük kell. Ez a helyzet többek között az e rendelkezésekben előírt, az adatkezelés szükségességére vonatkozó feltétel tiszteletben tartása esetén, amelyre a kérdést előterjesztő bíróság konkrétan is rákérdez.
44 Harmadszor, az az összefüggés, amelybe a GDPR 88. cikke illeszkedik, megerősíti ezt az értelmezést.
45 A GDPR 88. cikke ugyanis annak „Az adatkezelés különös eseteire vonatkozó rendelkezések” című IX. fejezetében, míg e rendelet 5., 6. és 9. cikke a rendelet „Alapelvek” című, tehát általánosabb hatállyal rendelkező II. fejezetében található. Egyébiránt e 6. cikk szövegéből – amely cikk (2) és (3) bekezdésében kifejezetten utal e IX. fejezet rendelkezéseire – egyértelműen kitűnik, hogy a jogszerűségnek az említett 6. cikkben előírt feltételei az említett IX. fejezet rendelkezései által szabályozott „különös esetek” keretében is kötelezőek.
46 Ezenkívül az állandó ítélkezési gyakorlat szerint a személyes adatok kezelése során tiszteletben kell tartani az ilyen adatok kezelésére vonatkozó elveket, valamint az érintettnek a GDPR II., illetve III. fejezetében rögzített jogait. Különösen meg kell felelnie az ezen adatok kezelésére vonatkozó, az e rendelet 5. cikkében előírt elveknek, és meg kell felelnie az e rendelet 6. cikkében felsorolt, az adatkezelés jogszerűségére vonatkozó feltételeknek (lásd ebben az értelemben: 2023. március 2-i Norra Stockholm Bygg ítélet, C-268/21, EU:C:2023:145, 43. pont; 2024. július 11-i Meta Platforms Ireland [Képviseleti kereset] ítélet, C-757/22, EU:C:2024:598, 49. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
47 Ami konkrétabban a GDPR 88. cikke és e rendelet más rendelkezései közötti kapcsolatot illeti, a Bíróság többek között e rendelet (8) preambulumbekezdésének fényében megállapította, hogy a tagállamok által az említett rendelet 88. cikkének (1) bekezdése alapján elfogadott, „pontosabban meghatározott szabályok” esetleges fennállása ellenére a személyes adatok bármilyen kezelésének tiszteletben kell tartania az ugyanezen rendelet II. és III. fejezetében, valamint különösen annak 5. és 6. cikkében foglalt rendelkezésekből eredő kötelezettségeket (lásd e tekintetben: 2023. március 30-i Hauptpersonalrat der Lehrerinnen und Lehrer ítélet, C-34/21, EU:C:2023:270, 67–71. pont).
48 Ugyanígy tiszteletben kell tartani a GDPR 9. cikkéből eredő kötelezettségeket az e rendelet hatálya alá tartozó személyes adatok kezelése során, ideértve az e rendelet 88. cikkének (1) bekezdése alapján elfogadott, „pontosabban meghatározott szabályokat”. E 9. cikk ugyanis, amely az általa felsorolt különleges adatkategóriák kezelését szabályozza, az említett rendelet II. fejezetében szerepel, hasonlóan annak 5. és 6. cikkéhez, amelyek követelményei egyébként az említett 9. cikkből eredő követelményekkel halmozhatók (lásd e tekintetben: 2023. december 21-i Krankenversicherung Nordrhein ítélet, C-667/21, EU:C:2023:1022, 73., 77–79. pont). Ráadásul ez az értelmezés megfelel ugyanezen 9. cikk céljának, amely arra irányul, hogy fokozott védelmet biztosítson az olyan adatkezelésekkel szemben, amelyek az érintettek alapvető jogaiba való különösen súlyos beavatkozást jelenthetnek a tárgyukat képező adatok különleges érzékenysége miatt (lásd ebben az értelemben: 2024. október 4-i Lindenapotheke ítélet, C-21/23, EU:C:2024:846, 89. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
49 Így, abban az esetben, ha valamely tagállam joga a GDPR 88. cikkének (1) bekezdése értelmében vett, „pontosabban meghatározott szabályokat” tartalmaz, a személyes adatok e szabályok hatálya alá tartozó kezeléseinek nemcsak az e cikk (1) és (2) bekezdésében előírt feltételeket, hanem az e rendeletnek a Bíróság ítélkezési gyakorlata által értelmezett 5., 6. és 9. cikkében előírt feltételeket is tiszteletben kell tartaniuk.
50 A fenti indokokra tekintettel az első kérdésre azt a választ kell adni, hogy a GDPR 88. cikkének (1) és (2) bekezdését úgy kell értelmezni, hogy a személyes adatok foglalkoztatással összefüggő kezelésére irányuló és az e rendelet 88. cikkének (1) bekezdése alapján elfogadott nemzeti rendelkezésnek a címzettjeit nemcsak az említett rendelet 88. cikkének (2) bekezdéséből eredő követelmények, hanem az e rendelet 5. cikkéből, 6. cikkének (1) bekezdéséből, valamint 9. cikkének (1) és (2) bekezdéséből eredő követelmények tiszteletben tartására is köteleznie kell.
A második kérdésről
51 Második kérdésével az előterjesztő bíróság lényegében arra vár választ, hogy a GDPR 88. cikkének (1) bekezdését úgy kell-e értelmezni, hogy amennyiben valamely kollektív szerződés e rendelkezés hatálya alá tartozik, e szerződés feleit a személyes adatok e rendelet 5. cikke, 6. cikkének (1) bekezdése, valamint 9. cikkének (1) és (2) bekezdése értelmében vett „szükséges” jellegének meghatározása tekintetében megillető mérlegelési mozgástér azzal a hatással jár, hogy megakadályozza a nemzeti bíróságot abban, hogy e tekintetben teljes körű bírósági felülvizsgálatot gyakoroljon.
52 Mindenekelőtt emlékeztetni kell arra, hogy – amint az a jelen ítélet 41. pontjában kiemelésre került – a GDPR 88. cikkében számukra biztosított lehetőséggel élő tagállamoknak az e rendelet rendelkezéseiben előírt feltételek mellett és korlátok között kell gyakorolniuk mérlegelési mozgásterüket, és ily módon biztosítaniuk kell, hogy az általuk a belső jogrendjükbe bevezetett, „pontosabban meghatározott szabályok” ne sértsék az említett rendelet tartalmát és céljait. E szabályoknak többek között munkavállalók személyes adatainak a foglalkoztatással összefüggésben történő kezelése tekintetében az alapvető jogaik és szabadságaik magas szintű védelmének biztosítására kell irányulniuk.
53 Az ilyen különös szabályok tekintetében gyakorolható bírósági felülvizsgálat terjedelmét illetően a Bíróság már megállapította, hogy az eljáró, a nemzeti jog értelmezésére kizárólagos hatáskörrel rendelkező nemzeti bíróság feladata annak értékelése, hogy az említett szabályok valóban tiszteletben tartják-e a különösen a GDPR 88. cikkében előírt feltételeket és korlátokat. Az uniós jog elsőbbsége elvének megfelelően, amennyiben e bíróság arra a megállapításra jut, hogy az érintett nemzeti rendelkezések nem tartják tiszteletben e feltételeket és korlátokat, e bíróságnak mellőznie kell az említett rendelkezések alkalmazását. Az e 88. cikk követelményeit tiszteletben tartó pontosabban meghatározott szabályok hiányában a személyes adatok foglalkoztatással összefüggésben történő kezelését közvetlenül e rendelet szabályozza (lásd ebben az értelemben: 2023. március 30-i Hauptpersonalrat der Lehrerinnen und Lehrer ítélet, C-34/21, EU:C:2023:270, 80., 82., 84. és 89. pont).
54 E megfontolások érvényesek a GDPR 88. cikkében említett olyan kollektív szerződés feleire is, mint amelyről az alapügyben szó van. Amint ugyanis arra az Európai Bizottság az írásbeli észrevételeiben lényegében rámutatott, a kollektív szerződés felei számára lehetővé kell tenni, hogy – különösen a korlátait illetően – azzal egyenértékű mérlegelési mozgástérrel rendelkezzenek, mint ami a tagállamok részére biztosított, mivel az e 88. cikk (1) bekezdésében említett „pontosabban meghatározott szabályok” többek között kollektív szerződésekből eredhetnek. E rendelet (155) preambulumbekezdése azt is jelzi, hogy ilyen szabályokat a tagállamok jogszabályai vagy kollektív szerződések – ideértve az „üzemi megállapodásokat” – írhatnak elő.
55 Így a GDPR 88. cikke által a kollektív szerződés felei számára biztosított mérlegelési mozgástér ellenére az ilyen szerződés tekintetében gyakorolt bírósági felülvizsgálatnak – az e rendelkezés alapján elfogadott nemzeti jogi szabályra vonatkozó felülvizsgálathoz hasonlóan – mindenféle korlátozás nélkül ki kell terjednie az e rendelet rendelkezései által a személyes adatok kezelése tekintetében előírt valamennyi feltétel és korlátozás tiszteletben tartására.
56 Ezt követően pontosítani kell, hogy az ilyen bírósági felülvizsgálatnak konkrétabban az ilyen adatoknak a GDPR 5., 6. és 9. cikke értelmében vett „szükséges” jellegének ellenőrzésére kell irányulnia. Másként fogalmazva, annak 88. cikke nem értelmezhető úgy, hogy a kollektív szerződés felei olyan mérlegelési jogkörrel rendelkeznek, amely lehetővé tenné számukra, hogy olyan „pontosabban meghatározott szabályokat” vezessenek be, amelyek a szükségesség említett követelményének kevésbé szigorú alkalmazásához, vagy akár mellőzéséhez vezetnek.
57 Kétségtelen, hogy – amint azt a kérdést előterjesztő bíróság és Írország lényegében megjegyezte – a kollektív szerződés felei általában megfelelő helyzetben vannak annak megítélésére, hogy az adatkezelés szükséges-e egy konkrét szakmai vonatkozásban, mivel e felek általában széles körű ismeretekkel rendelkeznek a foglalkoztatási terület és az érintett tevékenységi ágazat sajátos igényeit illetően. Az ilyen értékelési folyamat azonban nem vezethet ahhoz, hogy az említett felek olyan gazdasági jellegű vagy kényelmi kompromisszumokat kössenek, amelyek indokolatlanul sérthetik a GDPR azon célját, hogy a rájuk vonatkozó személyes adatok kezelése tekintetében biztosítsa a munkavállalók alapvető jogainak és szabadságainak magas szintű védelmét.
58 Ennélfogva a GDPR 88. cikkének olyan értelmezése, amely szerint a nemzeti bíróságok nem gyakorolhatnak teljes körű bírósági felülvizsgálatot valamely kollektív szerződés tekintetében, különösen annak vizsgálata céljából, hogy az e kollektív szerződés felei által előadott igazolások alátámasztják-e a személyes adatok e szerződésből eredő kezelésének szükségességét, a jelen ítélet előző pontjában felidézett védelmi célra tekintettel nem összeegyeztethető e rendelettel.
59 Végül hangsúlyozni kell, hogy abban az esetben, ha az eljáró nemzeti bíróság a felülvizsgálatát követően megállapítaná, hogy az érintett kollektív szerződés bizonyos rendelkezései nem tartják tiszteletben a GDPR-ban előírt feltételeket és korlátokat, a jelen ítélet 53. pontjában hivatkozott ítélkezési gyakorlatnak megfelelően el kell tekintenie e rendelkezések alkalmazásától.
60 A fenti indokokra tekintettel a második kérdésre azt a választ kell adni, hogy a GDPR 88. cikkének (1) bekezdését úgy kell értelmezni, hogy amennyiben valamely kollektív szerződés e rendelkezés hatálya alá tartozik, az e szerződés feleit a személyes adatok e rendelet 5. cikke, 6. cikkének (1) bekezdése, valamint 9. cikkének (1) és (2) bekezdése értelmében vett „szükséges” jellegének meghatározása tekintetében megillető mérlegelési mozgástér nem akadályozza meg a nemzeti bíróságot abban, hogy e tekintetben teljes körű bírósági felülvizsgálatot gyakoroljon.
A harmadik kérdésről
61 A második kérdésre adott válaszra tekintettel nem szükséges válaszolni a harmadik kérdésre.