Na šíření veřejné školní výuky v přímém přenosu prostřednictvím videokonference se vztahuje oblast působnosti GDPR
Ministr školství a kultury spolkové země Hesensko dvěma předpisy přijatými v roce 2020 stanovil právní a organizační rámec školního vzdělávání během období pandemie covidu-19, který mimo jiné stanovil možnost, aby se žáci, kteří se nemohli osobně zúčastnit vyučování ve školní třídě, mohli zúčastnit živé výuky prostřednictvím videokonference. Za účelem ochrany práv žáků na ochranu osobních údajů bylo stanoveno, že připojení ke službě videokonference bude povoleno pouze se souhlasem samotných žáků nebo, v případě jejich nezletilosti, se souhlasem jejich rodičů. Naproti tomu požadavek souhlasu dotčených učitelů s jejich účastí na této službě nebyl stanoven.
Hlavní personální rada učitelek a učitelů při ministerstvu školství a kultury spolkové země Hesensko podala žalobu proti ministrovi, do jehož působnosti spadají tyto záležitosti, ve které si stěžovala na to, že takové šíření výuky v přímém přenosu prostřednictvím videokonference, jak bylo stanoveno vnitrostátní právní úpravou, nebylo podmíněno poskytnutím souhlasu dotyčných učitelů. Uvedený ministr tvrdil, že na zpracování osobních údajů v souvislosti s šíření výuky v přímém přenosu prostřednictvím videokonference se vztahuje vnitrostátní právní úprava, takže může být uskutečňováno, aniž by bylo třeba získat souhlas dotčených učitelů.
Správní soud, k němuž byla uvedená žaloba podána, uvádí, že souladu s vůlí zákonodárce spolkové země vnitrostátní právní úprava, na jejímž základě jsou zpracovávány osobní údaje učitelů, spadá do kategorie „konkrétnějších pravidel“, která mohou členské státy v souladu s čl. 88 odst. 1 obecného nařízení o ochraně osobních údajů[1] stanovit k zajištění ochrany práv a svobod v souvislosti se zpracováním osobních údajů zaměstnanců v pracovněprávních vztazích[2]. Uvedený soud má však pochybnosti o slučitelnosti této vnitrostátní právní úpravy s požadavky stanovenými v čl. 88 odst. 2 GDPR[3]. Obrátil se proto na Soudní dvůr s žádostí o zodpovězení předběžných otázek.
Soudní dvůr ve svém rozsudku rozhodl, že vnitrostátní právní úprava nemůže představovat „konkrétnější pravidlo“ ve smyslu čl. 88 odst. 1 GDPR, pokud nesplňuje podmínky stanovené v odstavci 2 uvedeného článku. Soudní dvůr dále upřesnil, že použití vnitrostátních předpisů přijatých k zajištění ochrany práv a svobod zaměstnanců ve vztahu ke zpracování jejich osobních údajů v souvislosti se zaměstnáním musí být vyloučeno, pokud tyto vnitrostátní předpisy nedodržují podmínky a meze stanovené tímto čl. 88 odst. 1 a 2 GDPR, ledaže dotčená ustanovení představují právní základ pro zpracování uvedený v jiném článku GDPR[4], který splňuje požadavky stanovené uvedeným nařízením.
Závěry Soudního dvora
Soudní dvůr nejprve konstatoval, že zpracování osobních údajů učitelů v souvislosti se šířením výuky veřejného vzdělávání v přímém přenosu prostřednictvím videokonference, kterou poskytují, spadá do věcné působnosti GDPR. Dále upřesňuje, že toto zpracování osobních údajů učitelů, kteří jsou jakožto zaměstnanci nebo osoby ve služebním poměru součástí veřejné služby spolkové země Hesensko, spadá do osobní působnosti článku 88 GDPR, který se týká zpracování osobních údajů zaměstnanců v souvislosti se zaměstnáním.
Soudní dvůr se nejprve zabýval otázkou, zda „konkrétnější pravidlo“ ve smyslu čl. 88 odst. 1 GDPR musí splňovat podmínky stanovené v odstavci 2 tohoto článku. Podle Soudního dvora vyplývá z použití výrazu „konkrétnější“ ve znění ustanovení čl. 88 odst. 1 GDPR, že pravidla uvedená v tomto ustanovení musí mít normativní obsah, který je specifický pro upravovanou oblast a odlišný od obecných pravidel tohoto nařízení. Ze znění článku 88 GDPR rovněž vyplývá, že odstavec 2 tohoto článku vymezuje prostor pro uvážení členských států, jež si přejí přijmout „konkrétnější pravidla“ podle odstavce 1 uvedeného článku. Soudní dvůr má tedy za to, že se tato pravidla nemohou omezit na zopakování ustanovení tohoto nařízení, která stanoví podmínky pro zákonnost zpracování osobních údajů, jakož i zásad tohoto zpracování[5], nebo na odkaz na tyto podmínky a zásady. Tato pravidla musí směřovat k ochraně práv a svobod zaměstnanců ve vztahu ke zpracování jejich osobních údajů v souvislosti se zaměstnáním a musí obsahovat vhodná a zvláštní opatření na ochranu lidské důstojnosti, oprávněných zájmů a základních práv subjektů údajů. Zvláštní pozornost je třeba věnovat především transparentnosti zpracování, předávání osobních údajů v rámci skupiny podniků nebo skupiny podniků zapojených do společné hospodářské činnosti, jakož i systémům monitorování na pracovišti. Aby tedy mohlo být právní pravidlo kvalifikována jako „konkrétnější pravidlo“ ve smyslu čl. 88 odst. 1 GDPR, musí splňovat podmínky stanovené v odstavci 2 tohoto článku.
Soudní dvůr dále upřesnil důsledky, které je třeba vyvodit z konstatování neslučitelnosti dotčených vnitrostátních ustanovení s podmínkami a omezeními stanovenými v čl. 88 odst. 1 a 2 GDPR.
Soudní dvůr tak připomíná, že předkládajícímu soudu, jenž má jako jediný pravomoc vykládat vnitrostátní právo, přísluší, aby posoudil, zda dotčená vnitrostátní ustanovení dodržují podmínky a meze stanovené článkem 88 GDPR. Soudní dvůr nicméně uvádí, že tato vnitrostátní ustanovení, která podřizují zpracování osobních údajů zaměstnanců podmínce, že toto zpracování je nezbytné pro určité účely související s výkonem zaměstnání, podle všeho opakují podmínku obecné zákonnosti zpracování stanovenou v GDPR[6], aniž by doplňovala konkrétnější pravidlo ve smyslu čl. 88 odst. 1 tohoto nařízení. V případě, že by předkládající soud dospěl k závěru, že vnitrostátní ustanovení nedodržují podmínky a meze stanovené článkem 88 GDPR, byl by v zásadě povinen upustit od použití uvedených ustanovení. Podle zásady přednosti unijního práva se totiž při neexistenci konkrétnějších pravidel, která by dodržovala podmínky a omezení stanovené článkem 88 GDPR, zpracování osobních údajů v souvislosti se zaměstnáním, a to jak v soukromém, tak i ve veřejném sektoru, přímo řídí ustanoveními tohoto nařízení.
V tomto ohledu Soudní dvůr uvádí, že na takové zpracování osobních údajů, jako je zpracování dotčené v projednávané věci se mohou použít jiná ustanovení GDPR[7], podle nichž je zpracování osobních údajů zákonné, pokud je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce, nebo pro splnění právní povinnosti, jež se na správce vztahuje. S ohledem na dva případy zákonnosti je v GDPR8 stanoveno, že základ pro zpracování musí být stanoven právem Unie nebo právem členského státu, které se na správce vztahuje, a dále je v něm doplněno, že účel zpracování musí vycházet z tohoto právního základu, nebo musí být toto zpracování nutné pro splnění úkolu prováděného ve veřejném zájmu či při výkonu veřejné moci, kterým je pověřen správce.
Pokud tedy předkládající soud dospěje k závěru, že vnitrostátní ustanovení týkající se zpracování osobních údajů v souvislosti se zaměstnáním nedodržují podmínky a meze stanovené v čl. 88 odst. 1 a 2 GDPR, musí ještě ověřit, zda tato ustanovení představují právní základ pro zpracování uvedený v jiném článku GDPR9, který splňuje požadavky stanovené tímto nařízením. Je-li tomu tak, nesmí být použití vnitrostátních ustanovení vyloučeno.
Převzato z tiskové zprávy Evropského soudního dvora
[1] Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“).
[2] Podle čl. 88 odst. 1 GDPR, které je ustanovením o výjimce, mohou členské státy právním předpisem nebo kolektivními smlouvami stanovit konkrétnější pravidla k zajištění ochrany práv a svobod ve vztahu ke zpracování osobních údajů zaměstnanců v souvislosti se zaměstnáním, mimo jiné pro účely plnění pracovní smlouvy, řízení, plánování a organizace práce.
[3] V článku 88 odst. 2 GDPR je stanoveno, že tato pravidla zahrnují zvláštní a vhodná opatření zajišťující ochranu lidské důstojnosti, oprávněných zájmů a základních práv subjektů údajů, především pokud jde o transparentnost zpracování, předávání osobních údajů v rámci skupiny podniků nebo uskupení podniků vykonávajících společnou hospodářskou činnost a systémy monitorování na pracovišti.
[4] Článek 6 odst. 3 GDPR.
[5] Podmínky jsou uvedeny v článku 6 a zásady v článku 5 GDPR.
[6] Ustanovení čl. 6 odst. 1 prvního pododstavce písm. b) GDPR.
[7] Ustanovení čl. 6 odst. 1 první pododstavec písm. c) a e) GDPR.
Diskuze k článku ()