Minister za izobraževanje in kulturo zvezne dežele Hessen je z aktoma, sprejetima leta 2020, določil pravni in organizacijski okvir šolskega izobraževanja v obdobju pandemije covida-19, pri čemer so med drugim učencem, ki ne morejo biti prisotni v razredu, omogočili, da se pouka udeležijo v živo prek videokonference. Za zaščito pravic učencev na področju varstva osebnih podatkov je bilo določeno, da je povezava na storitev videokonference dovoljena le s privolitvijo samih učencev ali njihovih staršev, če so mladoletni. Privolitev učiteljev za njihovo sodelovanje pri tej storitvi ni bila predvidena, saj naj bi bila zajeta v aktu za varstvo osebnih podatkov dežele Hessen (Hessisches Datenschutz).
Upravno sodišče v Wiesbadnu, ki je odločalo v zadevi, je v dvomu, ali je deželni predpis kot »podrobnejše pravilo«, ki ga lahko države članice določijo v skladu z 88. členom Uredbe 2016/679 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (GDPR), združljiv z določbami GDPR, pri Sodišču EU vložilo predlog za sprejetje predhodne odločbe.
Sodišče EU je s sodbo v zadevi C-34/21 najprej ugotavljalo stvarno pristojnost GDPR v predmetni zadevi. Ugotovilo je, da se GDPR ne uporablja za obdelavo osebnih podatkov »v okviru dejavnosti zunaj področja uporabe prava Unije« in da so države članice v skladu s prvim odstavkom 165. člena Pogodbe o delovanju EU (PDEU) same odgovorne za vsebino poučevanja in organizacijo svojih izobraževalnih sistemov. Vendar pa je uporaba GDPR zelo široka in je treba izjeme razlagati ozko.
Sodišče EU je potrdilo, da obdelava osebnih podatkov učiteljev v okviru prenosa pouka javnih šol, ki ga izvajajo ti učitelji, v živo prek videokonference, kot je ta v postopku v glavni stvari, spada na stvarno področje uporabe GDPR. To področje ureja 88. člen GDPR, ki ureja »obdelavo osebnih podatkov zaposlenih v okviru zaposlitve«. Pri tem ni pomembno, ali je zadevna oseba zaposlena kot zaposleni ali javni uslužbenec oziroma ali njeno delovno razmerje spada na področje javnega ali zasebnega prava, saj se namreč lahko te pravne opredelitve glede na nacionalne zakonodaje razlikujejo in zato niso ustrezno merilo za enotno in avtonomno razlago te določbe (glej npr. zadevo 307/84). Zaposlitev v javnem sektorju torej ni izključena s področja uporabe te določbe.
V nadaljevanju je Sodišče EU ugotavljalo, ali je deželna »podrobnejša« ureditev skladna z normativno vsebino, ki je značilna za regulirano področje in se razlikuje od splošnih pravil GDPR. Ta v drugem odstavku 88. člena določa, da morajo pravila, sprejeta na podlagi prvega odstavka tega člena, vključevati ustrezne in posebne ukrepe za zaščito človeškega dostojanstva, zakonitih interesov in temeljnih pravic posameznika, na katerega se nanašajo osebni podatki, s posebnim poudarkom na preglednosti obdelave, prenosu osebnih podatkov v povezani družbi ali skupini podjetij, ki opravljajo skupno gospodarsko dejavnost, ter sistemih spremljanja na delovnem mestu. Ta podrobnejša pravila po eni strani ne smejo zgolj ponoviti določb te uredbe in se morajo nanašati na varstvo pravic in svoboščin zaposlenih v zvezi z obdelavo njihovih osebnih podatkov v okviru zaposlitve ter vključevati ustrezne in posebne ukrepe za zaščito človekovega dostojanstva, zakonitih interesov in temeljnih pravic posameznikov, na katere se nanašajo osebni podatki.
Ob upoštevanju 8. uvodne izjave GDPR ter načel, določenih v njenem II. in III. poglavju – ki se morajo upoštevati ob vsaki obdelavi osebnih podatkov – je sodišče izpostavilo, da GDPR določa izčrpen in taksativen seznam primerov, v katerih je mogoče šteti, da je obdelava osebnih podatkov zakonita. Poudarilo je, da se nacionalni predpis ne more šteti za »podrobnejše pravilo«, če ne izpolnjuje pogojev iz drugega odstavka 88. člena.
Ker je uredba GDPR v celoti zavezujoča in se neposredno uporablja v vseh državah članicah, njene določbe načeloma ne zahtevajo nobenega izvedbenega ukrepa držav članic – lahko pa seveda te določijo dodatna, strožja ali odstopajoča nacionalna pravila. Države lahko to storijo pod pogoji in v mejah, predpisanih z določbami GDPR, pri čemer ne smejo posegati v vsebino in cilje GDPR.
Sodišče EU je poudarilo, da je predložitveno sodišče edino pristojno za razlago nacionalnega prava, zato mora predložitveno sodišče presoditi, ali določbe iz postopka v glavni stvari spoštujejo pogoje in meje, določene v 88. členu GDPR. Če bo sodišče ugotovilo, da nacionalni predpis v glavni stvari ne spoštuje teh pogojev in meja, se načeloma ne bi smel uporabiti. Pri tem velja poudariti, da v skladu z načelom primarnosti prava Unije določbe Pogodb in akti institucij, ki se uporabljajo neposredno, v razmerju do nacionalnega prava držav članic že s samim začetkom njihove veljavnosti učinkujejo tako, da se nasprotujoče določbe nacionalne zakonodaje ipso iure ne uporabljajo.
Zaključek Sodišča EU je bil, da je treba uporabo nacionalnih določb, sprejetih za zagotovitev varstva pravic in svoboščin zaposlenih v zvezi z obdelavo njihovih osebnih podatkov v okviru zaposlitve, zavrniti, če te določbe ne spoštujejo pogojev in meja, določenih v prvem in drugem odstavku 88. člena, razen če navedene določbe ne pomenijo pravne podlage iz 6. člena GDPR, ki izpolnjuje zahteve iz te uredbe.
Pripravila: mag. Jasmina Potrč
Članki izražajo stališča avtorjev, in ne nujno organizacij, v katerih so zaposleni, ali uredništva portala EDUS.
