–

за MK, от J. Zäh, Rechtsanwalt,

–

за K GmbH, от B. Geck, Rechtsanwältin,

–

за Ирландия, от M. Browne, Chief State Solicitor, A. Joyce и M. Tierney, в качеството на представители, подпомагани от D. Fennelly, BL,

–

за италианското правителство, от G. Palmieri, в качеството на представител, подпомагана от M. Russo, avvocato dello Stato,

–

за Европейската комисия, от A. Bouchagiar, M. Heller и H. Kranenborg, в качеството на представители,

1

Преюдициалното запитване се отнася до тълкуването на член 82, параграф 1 и член 88, параграфи 1 и 2 във връзка с член 5, член 6, параграф 1 и член 9, параграфи 1 и 2 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, и поправка в ОВ L 127, 2018 г., стр. 2, наричан по-нататък „ОРЗД“).

2

Запитването е отправено в рамките на спор между физическото лице MK и неговия работодател K GmbH по повод на обезщетението за неимуществените вреди, които това лице твърди, че е претърпяло вследствие на обработването на негови лични данни, извършено от това дружество въз основа на трудово споразумение.

3

Съображения 8, 10 и 155 от ОРЗД гласят:

[…]

[…]

4

Член 4 („Определения“) от този регламент гласи:

„За целите на настоящия регламент:

[…]

[…]“.

5

Глава II („Принципи“) от ОРЗД обхваща членове 5—11.

6

Член 5 („Принципи, свързани с обработването на лични данни“) от този регламент предвижда:

„1.   Личните данни са:

[…]

[…]

2.   Администраторът носи отговорност и е в състояние да докаже спазването на параграф 1 („отчетност“)“.

7

Член 6 („Законосъобразност на обработването“) от посочения регламент гласи:

„1.   Обработването е законосъобразно, само ако и доколкото е приложимо поне едно от следните условия:

Буква е) на първа алинея не се прилага за обработването, което се извършва от публични органи при изпълнението на техните задачи.

2.   Държавите членки могат да запазят или въведат по-конкретни разпоредби, за да адаптират прилагането на правилата на настоящия регламент по отношение на обработването, необходимо за спазването на параграф 1, букви в) и д), като установят по-конкретно специални изисквания за обработването и други мерки, за да се гарантира законосъобразно и добросъвестно обработване, включително за други особени случаи на обработване на данни, предвидени в глава IX.

3.   Основанието за обработването, посочено в параграф 1, букви в) и д), е установено от:

[…] Това правно основание може да включва конкретни разпоредби за адаптиране на прилагането на разпоредбите на настоящия регламент, inter alia общите условия, които определят законосъобразността на обработването от администратора, видовете данни, които подлежат на обработване, съответните субекти на данни; образуванията, пред които могат да бъдат разкривани лични данни, и целите, за които се разкриват; ограниченията по отношение на целите на разкриването; периодът на съхранение и операциите и процедурите за обработване, включително мерки за гарантиране на законосъобразното и добросъвестно обработване, като тези за други конкретни случаи на обработване съгласно предвиденото в глава IX. […]

[…]“.

8

Текстът на член 9 („Обработване на специални категории лични данни“ от същия регламент е следният:

„1.   Забранява се обработването на лични данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения или членство в синдикални организации, както и обработването на генетични данни, биометрични данни за целите единствено на идентифицирането на физическо лице, данни за здравословното състояние или данни за сексуалния живот или сексуалната ориентация на физическото лице.

2.   Параграф 1 не се прилага, ако е налице едно от следните условия:

[…]“.

9

В глава VIII („Средства за правна защита, отговорност за причинени вреди и санкции“) от ОРЗД се съдържа член 82 („Право на обезщетение и отговорност за причинени вреди“), който предвижда в параграф 1:

„Всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди“.

10

В глава IX („Разпоредби, свързани с особени ситуации на обработване“) от ОРЗД се съдържа член 88 („Обработване в контекста на трудово или служебно правоотношение“), който предвижда в параграфи 1 и 2:

„1.   Държавите членки могат със закон или с колективни споразумения да предвидят по-конкретни правила, за да гарантират защитата на правата и свободите по отношение на обработването на личните данни на наетите лица по трудово [и]ли служебно правоотношение, по-специално за целите на набирането на персонал, изпълнението на трудовия договор, включително изпълнението на задълженията, установени със закон или с колективни споразумения, управлението, планирането и организацията на работата, равенството и многообразието на работното място, здравословните и безопасни условия на труд, защитата на имуществото на работодателя или на клиента, както и за целите на упражняване и ползване на индивидуална или колективна основа на правата и облагите от заетостта, а също и за целите на прекратяване на трудовото или служебното правоотношение.

2.   Тези правила включват подходящи и конкретни мерки за защита на човешкото достойнство, законните интереси и основните права на субекта на данните, по-специално по отношение на прозрачността на обработването, предаването на лични данни в рамките на група предприятия или група дружества, участващи в съвместна стопанска дейност и системите за наблюдение на работното място“.

11

Текстът на член 99 („Влизане в сила и прилагане“) от ОРЗД е следният:

„1.   Настоящият регламент влиза в сила на двадесетия ден след публикуването му в Официален вестник на Европейския съюз.

2.   Прилага се от 25 май 2018 година“.

12

Член 26 от Bundesdatenschutzgesetz (Федерален закон за защита на данните) от 30 юни 2017 г. (BGBl. 2017 I, стр. 2097, наричан по-нататък „BDSG“), озаглавен „Обработване на данни за целите на трудовото или служебното правоотношение“, предвижда в параграфи 1 и 4:

„(1)   Личните данни на наети лица могат да се обработват за целите на трудово или служебно правоотношение, когато това е необходимо за решението относно възникването на трудово или служебно правоотношение или — когато такова е възникнало — за изпълнението или прекратяването на това правоотношение, или за упражняването или изпълнението на правата и задълженията, които произтичат от закон или от колективен трудов договор за даден сектор, от колективен трудов договор на отделното предприятие или публично учреждение (колективни споразумения) и се отнасят до представляването на интересите на наетите лица. […]

[…]

(4)   Обработването за целите на трудовото или служебното правоотношение на лични данни, включително на специални категории лични данни на наети лица, е допустимо на основание колективни споразумения. В това отношение договарящите страни са длъжни да зачитат член 88, параграф 2 от [ОРЗД]“.

13

Жалбоподателят в главното производство е служител на ответника в главното производство — дружество, учредено по германското право, и председателства създадения в това дружество работнически съвет.

14

Първоначално посоченото дружество обработва някои лични данни на служителите си при използването на софтуер, наречен „SAP“ (наричан по-нататък „софтуерът SAP“), по-специално за счетоводни цели, и във връзка с това сключва с работническия си съвет няколко трудови споразумения.

15

През 2017 г. групата от дружества D, част от която е ответникът в главното производство (наричана по-нататък „група D“), въвежда в цялата тази група софтуер, наречен „Workday“ (наричан по-нататък „софтуерът Workday“), който функционира в „облак“ (cloud) като единна система за управление на информацията за персонала. Във връзка с това ответникът в главното производство прехвърля различни лични данни на своите служители от софтуера SAP към сървър на дружеството майка на групата D, който се намира в Съединените щати.

16

На 3 юли 2017 г. ответникът в главното производство и неговият работнически съвет сключват споразумение, установяващо толерантност относно въвеждането на софтуера Workday (наричано по-нататък „трудовото споразумение, установяващо толерантност“), което по-специално забранява този софтуер да се използва за управление на човешките ресурси, като например оценяване на работник, по време на фазата на изпробване на софтуера. Съгласно приложение 2 към това споразумение единствените категории данни, които могат да бъдат прехвърлени за захранване на софтуера Workday, са личният номер, даден на работника в рамките на група D, фамилното му име, собственото му име, телефонният му номер, датата на постъпването му на работа в съответното дружество, датата постъпването му на работа в рамките на група D, мястото му на работа, наименованието на съответното дружество, както и неговият служебен телефонен номер и електронен адрес. Действието на посоченото споразумение е продължено до влизането в сила на окончателно трудово споразумение, сключено на 23 януари 2019 г.

17

В този контекст жалбоподателят в главното производство подава пред териториално компетентните съдилища — Arbeitsgericht (Съд по трудови спорове, Германия) и впоследствие Landesarbeitsgericht (Областен съд по трудови спорове, Германия), искания за достъп до определена информация, за заличаване на отнасящи се до него данни и за присъждане на обезщетение. Жалбоподателят твърди по-специално, че ответникът в главното производство е прехвърлил към сървъра на дружеството майка отнасящи се до него лични данни, някои от които не са посочени в трудовото споразумение, установяващо толерантност, по-специално личните му данни за контакт, подробностите по неговия договор и възнаграждение, неговият социалноосигурителен номер и данъчен идентификационен номер, гражданството му и гражданското му състояние.

18

Тъй като исканията му не са уважени изцяло, жалбоподателят подава ревизионна жалба до запитващата юрисдикция — Bundesarbeitsgericht (Федерален съд по трудови спорове, Германия). Понастоящем е висящо само производството по искането на жалбоподателя за обезщетение на основание на ОРЗД за неимуществените вреди, които твърди, че е претърпял вследствие на незаконосъобразно обработване на личните му данни чрез софтуера Workday за периода от първия ден, в който този регламент е станал приложим, а именно 25 май 2018 г., до края на първото тримесечие на 2019 г.

19

Що се отнася до незаконосъобразността на това обработване, жалбоподателят в главното производство изтъква, от една страна, че то не е било необходимо нито за целите на трудовото или служебното правоотношение, за което тогава ответникът в главното производство е използвал софтуера SAP, нито за целите на изпробването на софтуера Workday, тъй като използването на фиктивни данни било достатъчно за тази цел и гарантирало, че в рамките на група D няма да бъдат достъпни реални данни. От друга страна, дори да се приеме, че трудовото споразумение, установяващо толерантност, може да представлява валидна основа за посоченото обработване, съдържащото се в него разрешение било превишено, тъй като ответникът прехвърлил данни, различни от предвидените в приложение 2 към това споразумение. Накрая, посоченият ответник носел тежестта да докаже, че действията му са в съответствие с ОРЗД.

20

Ответникът в главното производство възразява, че разглежданото обработване отговаря на изискванията на ОРЗД, че жалбоподателят в главното производство носи доказателствената тежест и че последният не е доказал нито наличието на неимуществени вреди, нито причинно-следствената връзка между евентуалното нарушение на този регламент и твърдяната вреда.

21

Запитващата юрисдикция счита, че оспорваните от жалбоподателя в главното производство операции попадат в материалното приложно поле на ОРЗД, тъй като представляват „обработване“ на „лични данни“ на този „субект на данни“ по смисъла на член 4, точки 1 и 2 от този регламент. Освен това тази юрисдикция посочва, че ответникът в главното производство има качеството на „администратор“ по смисъла на член 4, точка 7 от посочения регламент. Що се отнася до времевия обхват на последния, тя подчертава, че несъмнено обработването е започнало преди датата, на която този акт е станал приложим, но че все пак то е продължило след нея поради многократното продължаване на първоначалното действие на трудовото споразумение, установяващо толерантност.

22

В този контекст запитващата юрисдикция иска, на първо място, да се установи дали национална норма, уреждаща обработването на лични данни за целите на трудовите или служебните правоотношения, която по същество предвижда, че такова обработване, извършено въз основа на колективни споразумения е законосъобразно, при условие че са спазени член 88, параграф 2 от ОРЗД и член 26, параграф 4 от BDSG, е съвместима с този регламент, или за тази цел съответното обработване трябва да съответства и на другите негови разпоредби. Тази юрисдикция е склонна да приеме, че когато обработването на лични данни на служителите се урежда от „колективно споразумение“ по смисъла на член 88 от ОРЗД, това обработване не може да се отклонява от изискванията, произтичащи не само от посочения член 88, но и от член 5, член 6, параграф 1 и член 9, параграфи 1 и 2 от този регламент, по-специално що се отнася до критерия за необходимост от обработването, предвиден в последните три члена.

23

На второ място, при утвърдителен отговор на първия си въпрос посочената юрисдикция иска да се установи дали страните по такова колективно споразумение разполагат със свобода на преценка, която трябва да подлежи само на ограничен съдебен контрол, що се отнася до оценката на необходимостта от съответното обработване по смисъла на член 5, член 6, параграф 1 и член 9, параграфи 1 и 2 от ОРЗД. Според нея тази теза може да намери подкрепа в довода, че тези страни имат голяма близост с живота на предприятието и като цяло са постигнали справедливо равновесие между съществуващите интереси. Практиката на Съда обаче относно други актове от правото на Съюза, и по-специално решения от 7 февруари 1991 г., Nimz (C‑184/89, EU:C:1991:50), и от 20 март 2003 г., Kutz-Bauer (C‑187/00, EU:C:2003:168), навеждала по-скоро на мисълта, че разпоредбите на колективно споразумение, което попада в приложното поле на това право, не могат да му противоречат и че при необходимост такива разпоредби трябва да се оставят без приложение.

24

На трето място, в случай че отговорът на втория въпрос е утвърдителен, запитващата юрисдикция иска да се установят критериите за преценка, до които тя евентуално би следвало да ограничи съдебния си контрол.

25

Накрая, четвъртият, петият и шестият въпрос, които тази юрисдикция поставя първоначално, след което ги оттегля, по същество се отнасят до правото на обезщетение за нематериални вреди съгласно член 82, параграф 1 от ОРЗД.

26

При тези обстоятелства Bundesarbeitsgericht (Федерален съд по трудови спорове) решава да спре производството и да постави на Съда следните преюдициални въпроси:

27

С решение на председателя на Съда от 24 януари 2024 г., решения от 4 май 2023 г., Österreichische Post (Нематериални вреди, свързани с обработването на лични данни) (C‑300/21, EU:C:2023:370), от 14 декември 2023 г., Национална агенция за приходите (C‑340/21, EU:C:2023:986), от 14 декември 2023 г., Gemeinde Ummendorf (C‑456/22, EU:C:2023:988), от 21 декември 2023 г., Krankenversicherung Nordrhein (C‑667/21, EU:C:2023:1022), и от 25 януари 2024 г., MediaMarktSaturn (C‑687/21, EU:C:2024:72) са връчени на запитващата юрисдикция, за да може последната да уточни дали с оглед на тези решения поддържа преюдициалното си запитване, по-специално що се отнася до четвъртия, петия и шестия въпрос.

28

С решение на председателя на Съда от 15 март 2024 г. производството е спряно на основание член 55, параграф 1, буква б) от Процедурния правилник на Съда до получаването на отговора на така поставения въпрос.

29

С писмено съобщение, постъпило в Съда на 8 май 2024 г., запитващата юрисдикция го уведомява, че оттегля четвъртия, петия и шестия въпрос, но поддържа първия, втория и третия въпрос.

30

Ответникът в главното производство поддържа, че първият, вторият и третият въпрос са недопустими, тъй като не са релевантни за решаването на спора, с който е сезирана запитващата юрисдикция. По същество той твърди, че жалбоподателят в главното производство оспорва не съдържанието на приложимото в случая трудово споразумение, а превишаването на границите на това споразумение чрез разглежданото обработване на данни, така че този спор няма за предмет нарушение на свързаните с такова споразумение изисквания на член 88 от ОРЗД. Освен това тези въпроси били хипотетични, тъй като позволявали на тази юрисдикция да провери законосъобразността на това обработване като цяло, а не само по отношение на обстоятелствата, оспорвани от жалбоподателя в главното производство.

31

В това отношение съгласно постоянната практика само националният съд, който е сезиран със спора и трябва да поеме отговорността за последващото му съдебно решаване, може да прецени — предвид особеностите на делото — както необходимостта от преюдициално решение, за да може да се произнесе, така и релевантността на въпросите, които поставя на Съда, които се ползват с презумпция за релевантност. Следователно, след като поставеният въпрос се отнася до тълкуването или валидността на норма от правото на Съюза, Съдът по принцип е длъжен да се произнесе, освен ако е очевидно, че исканото тълкуване няма никаква връзка с действителността или с предмета на спора в главното производство, ако проблемът е от хипотетично естество или още ако Съдът не разполага с необходимите данни от фактическа и правна страна, за да бъде полезен с отговора на посочения въпрос (решение от 20 юни 2024 г., Scalable Capital, C‑182/22 и C‑189/22, EU:C:2024:531, т. 18 и цитираната съдебна практика).

32

В случая първият, вторият и третият въпрос се отнасят до тълкуването на няколко разпоредби от правото на Съюза, по-специално член 88 във връзка с членове 5, 6 и 9 от ОРЗД. Освен това запитващата юрисдикция счита, че границите, определени в приложимото в случая трудово споразумение, което тя квалифицира като „колективно споразумение“ по смисъла на този регламент, са били надхвърлени и че обсъжданото в главното производство обработване на лични данни трябва да се разглежда в своята цялост, тъй като то може да е незаконосъобразно от гледна точка на разпоредбите както на параграф 1, така и на параграф 4 от член 26 от BDSG, който изрично препраща към член 88 от ОРЗД.

33

От изложеното следва, че преюдициалното запитване е допустимо.

34

С първия си въпрос запитващата юрисдикция по същество иска да се установи дали член 88, параграфи 1 и 2 от ОРЗД трябва да се тълкува в смисъл, че национална разпоредба, която има за предмет обработването на лични данни за целите на трудовите или служебните правоотношения и е приета в съответствие с член 88, параграф 1 от този регламент, трябва да задължава адресатите си да спазват не само изискванията, произтичащи от член 88, параграф 2 от посочения регламент, но и тези, които произтичат от член 5, член 6, параграф 1 и член 9, параграфи 1 и 2 от него.

35

В това отношение следва да се припомни, че ОРЗД цели да осигури по принцип пълна хармонизация на националните законодателства за защита на лични данни. Някои разпоредби на посочения регламент обаче дават възможност на държавите членки да предвидят допълнителни — по-строги или дерогиращи — национални правила, които им оставят свобода на преценка относно начина на прилагане на тези разпоредби („отворени клаузи“) (вж. в този смисъл решение от 30 март 2023 г., Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, т. 51 и цитираната съдебна практика).

36

Член 88 от ОРЗД относно обработването на лични данни в рамките на трудовите или служебните правоотношения определя условията, при които държавите членки могат със закон или с колективни споразумения да предвидят „по-конкретни правила“, за да гарантират защитата на правата и свободите на наетите лица, засегнати от такова обработване на лични данни. В съображение 155 от този регламент се посочва по-специално, че понятието „колективно споразумение“ по смисъла на посочения член 88 включва „трудовите споразумения“ като разглежданото в главното производство. Освен това в членове 5, 6 и 9 от същия регламент се посочват съответно принципите, свързани с обработването на лични данни, условията за законосъобразност на това обработване и правилата за обработването на специални категории лични данни.

37

Според постоянната съдебна практика разпоредба от правото на Съюза като членове 24 и 88 от ОРЗД, чийто текст не съдържа изрично препращане към правото на държавите членки с оглед на определяне на нейния смисъл и обхват, трябва по принцип да получи самостоятелно и еднакво тълкуване навсякъде в Съюза, което трябва по-специално да се търси с оглед на текста на съответната разпоредба, преследваната от нея цел и контекста, в който тя се вписва (вж. по аналогия решение от 14 декември 2023 г., Национална агенция за приходите,C‑340/21, EU:C:2023:986, т. 23 и цитираната съдебна практика).

38

Първо, от текста на член 88 от ОРЗД следва, че параграф 1 от него изисква позволените от тази разпоредба „по-конкретни правила“ да имат нормативно съдържание, което да съответства на уредената област и да е различно от общите правила на този регламент, докато параграф 2 от него урежда, съобразно с посочената в същия регламент цел за хармонизиране, свободата на преценка на държавите членки, които възнамеряват да приемат национална правна уредба въз основа на този параграф 1 (вж. в този смисъл решение от 30 март 2023 г., Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, т. 61, 65, 72 и 75).

39

Този текст обаче не дава изрично указание дали „по-конкретните правила“, които държавите членки могат да приемат по този начин, трябва да са насочени към спазване само на изискванията, посочени в член 88, параграф 2 от ОРЗД, или също на изискванията на други разпоредби от този регламент, при което обработването на лични данни при прилагане на такива правила би трябвало да бъде, освен това, в съответствие с последните разпоредби.

40

Второ, що се отнася до целите на член 88 от ОРЗД, Съдът вече е постановил, че този член представлява „отворена клауза“ и че възможността, предоставена на държавите членки с параграф 1 от него, предвид особеностите на такова обработване, се обяснява по-специално с наличието на отношение на власт и подчинение между наетото лице и работодателя. Той уточнява, че поставените в член 88, параграф 2 от този регламент условия отразяват пределите на свободата на преценка, оставена на държавите членки, в смисъл, че присъщата ѝ липса на хармонизация може да се допусне само когато различията, които продължават да са налице, са съпътствани от конкретни и подходящи гаранции, които имат за цел защитата на правата и свободите на наетите лица по отношение на обработването на техните лични данни по трудово или служебно правоотношение (вж. в този смисъл решение от 30 март 2023 г., Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, т. 52, 53 и 73).

41

Освен това Съдът е подчертал, че когато упражняват предоставената им с член 88 от ОРЗД възможност, държавите членки трябва да използват свободата си на преценка при условията и в пределите, предвидени в разпоредбите на този регламент, и следователно трябва да приемат законодателство, което да не засяга съдържанието и целите на този регламент, който, видно от съображение 10 от него, е насочен по-специално към гарантиране на висока степен на защита на основните права и свободи на физическите лица, засегнати от такова обработване. Следователно правилата, приети от държава членка въз основа на посочения член 88, трябва да имат за цел да защитават правата и свободите на наетите лица по отношение на обработването на техните лични данни (вж. в този смисъл решение от 30 март 2023 г., Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, т. 54, 59, 62 и 74).

42

Член 88 от ОРЗД обаче не може да се тълкува в смисъл, че „по-конкретните правила“, които държавите членки могат да приемат на основание на този член, биха могли да имат за цел или резултат да се заобиколят задълженията на администратора и дори на обработващия лични данни, произтичащи от други разпоредби на този регламент, тъй като в противен случай всички тези цели могат да бъдат накърнени, по-специално целта да се гарантира високо ниво на защита на наетите лица в случай на обработване на техните лични данни по трудово или служебно правоотношение.

43

От това следва, че член 88, параграфи 1 и 2 от ОРЗД трябва да се тълкува в смисъл, че дори когато държавите членки се основават на този член, за да въведат в съответните си национални правни системи „по-конкретни правила“ със закон или с колективни споразумения, трябва да бъдат изпълнени и изискванията, произтичащи от другите разпоредби, до които конкретно се отнася настоящият въпрос, а именно член 5, член 6, параграф 1 и член 9, параграфи 1 и 2 от този регламент. Това се отнася по-специално за спазването на критерия за необходимост от предвиденото в тези разпоредби обработване, във връзка с който запитващата юрисдикция отправя конкретно въпрос.

44

Трето, контекстът, в който се вписва член 88 от ОРЗД, потвърждава това тълкуване.

45

Всъщност член 88 от ОРЗД се съдържа в глава IX („Разпоредби, свързани с особени ситуации на обработване“) от този регламент, докато членове 5, 6 и 9 от него се съдържат в глава II („Принципи“), която следователно има по-общ обхват. Освен това от текста на посочения член 6, който в параграфи 2 и 3 изрично препраща към разпоредбите на тази глава IX, ясно следва, че условията за законосъобразност, предвидени в същия член 6, са задължителни, включително в рамките на „особените ситуации“, уредени от разпоредбите на посочената глава IX.

46

Освен това съгласно постоянната съдебна практика всяко обработване на лични данни трябва да зачита принципите за обработването на такива данни, както и правата на съответното лице, които са посочени съответно в глави II и III от ОРЗД. По-конкретно, то трябва да е в съответствие с принципите за обработване на тези данни, предвидени в член 5 от този регламент, и да отговаря на изискванията за законосъобразност, изброени в член 6 от него (вж. в този смисъл решения от 2 март 2023 г., Norra Stockholm Bygg,C‑268/21, EU:C:2023:145, т. 43, и от 11 юли 2024 г., Meta Platforms Ireland (Представителен иск),C‑757/22, EU:C:2024:598, т. 49 и цитираната съдебна практика).

47

Що се отнася по-специално до връзката между член 88 от ОРЗД и други разпоредби от този регламент, Съдът отбелязва по-специално с оглед на съображение 8 от него, че независимо от евентуалното наличие на „по-конкретни правила“, приети от държавите членки на основание член 88, параграф 1 от посочения регламент, при всяко обработване на лични данни трябва да се изпълняват задълженията, произтичащи от разпоредбите на глави II и III от същия регламент, както и в частност на членове 5 и 6 от него (вж. в този смисъл решение от 30 март 2023 г., Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, т. 67—71).

48

Освен това задълженията, произтичащи от член 9 от ОРЗД, трябва да се изпълняват при всяко обработване на лични данни по този регламент, включително при наличието на „по-конкретни правила“, приети съгласно член 88, параграф 1 от него. Всъщност този член 9, който урежда обработването на изброените в него специални категории данни, се съдържа в глава II от посочения регламент, подобно на членове 5 и 6, чиито изисквания впрочем могат да се кумулират с произтичащите от посочения член 9 (вж. в този смисъл решение от 21 декември 2023 г., Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, т. 73 и 77—79). Нещо повече, това тълкуване е в съответствие с целта на същия член 9, а именно да се осигури повишена защита срещу обработвания, които поради особената чувствителност на обработваните данни могат да съставляват особено тежко вмешателство в основните права на съответните лица (вж. в този смисъл решение от 4 октомври 2024 г., Lindenapotheke, C‑21/23, EU:C:2024:846, т. 89 и цитираната съдебна практика).

49

По този начин, когато правото на държава членка съдържа „по-конкретни правила“ по смисъла на член 88, параграф 1 от ОРЗД, обработването на лични данни, обхванато от тези правила, трябва да отговаря не само на условията, предвидени в параграфи 1 и 2 от този член, но и на тези по членове 5, 6 и 9 от него, както са тълкувани в практиката на Съда.

50

Предвид изложените по-горе съображения на първия въпрос следва да се отговори, че член 88, параграфи 1 и 2 от ОРЗД трябва да се тълкува в смисъл, че национална разпоредба, която има за предмет обработването на лични данни за целите на трудовите или служебните правоотношения и е приета в съответствие с член 88, параграф 1 от този регламент, трябва да задължава адресатите си да спазват не само изискванията, произтичащи от член 88, параграф 2 от посочения регламент, но и тези, които произтичат от член 5, член 6, параграф 1 и член 9, параграфи 1 и 2 от него.

51

С втория си въпрос запитващата юрисдикция по същество иска да се установи дали член 88, параграф 1 от ОРЗД трябва да се тълкува в смисъл, че когато колективно споразумение попада в приложното поле на тази разпоредба, свободата на преценка, с която разполагат страните по това споразумение, да определят „необходимостта“ от обработване на лични данни по смисъла на член 5, член 6, параграф 1 и член 9, параграфи 1 и 2 от този регламент, възпрепятства националния съд да упражни пълен съдебен контрол в това отношение.

52

Най-напред е необходимо да се припомни, че както бе отбелязано в точка 41 от настоящото решение, държавите членки, които упражняват предоставената им с член 88 от ОРЗД възможност, трябва да използват свободата си на преценка при условията и в пределите, предвидени в разпоредбите на този регламент и по този начин да следят за това „по-конкретните правила“, които въвеждат в националната си правна система, да не засягат съдържанието и целите на посочения регламент. Тези правила трябва да имат за цел по-специално да гарантират високо ниво на защита на основните права и свободи на наетите лица при обработването на техните лични данни по трудови или служебни правоотношения.

53

Що се отнася до обхвата на съдебния контрол, който може да бъде упражнен по отношение на такива конкретни правила, Съдът вече е постановил, че сезираната национална юрисдикция, която единствена е компетентна да тълкува националното право, следва да прецени дали посочените правила действително зачитат условията и пределите, предвидени по-специално в член 88 от ОРЗД. В съответствие с принципа на предимство на правото на Съюза, в случай че тази юрисдикция стигне до извода, че съответните национални разпоредби не зачитат тези условия и предели, тя следва да остави без приложение посочените разпоредби. При липсата на по-конкретни правила, които зачитат изискванията на този член 88, обработването на лични данни в контекста на трудово или служебно правоотношение се урежда пряко от този регламент (вж. в този смисъл решение от 30 март 2023 г., Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, т. 80, 82—84 и 89).

54

Тези съображения се отнасят и за страните по колективно споразумение по член 88 от ОРЗД, като разглежданото в главното производство. Всъщност, както по същество отбелязва Европейската комисия в писменото си становище, страните по колективно споразумение трябва да могат да разполагат със свобода на преценка, която, що се отнася по-специално до неговите предели, да е равностойна на тази, която е призната на държавите членки, тъй като „по-конкретните правила“, посочени в параграф 1 от този член 88, могат да произтичат в частност от колективни споразумения. В съображение 155 от този регламент се посочва също, че такива правила могат да бъдат предвидени в правото на държавите членки или в колективни споразумения, включително в „трудови споразумения“.

55

Така, независимо от свободата на преценка, която член 88 от ОРЗД оставя на страните по колективно споразумение, съдебният контрол, упражняван по отношение на такова споразумение, подобно на контрола спрямо норма от националното право, приета въз основа на тази разпоредба, трябва да може да се отнася без никакво ограничение до спазването на всички условия и предели, предвидени в разпоредбите на този регламент за обработването на лични данни.

56

По-нататък следва да се уточни, че такъв съдебен контрол трябва по-специално да е насочен към проверка на „необходимостта“ от обработването на такива данни по смисъла на членове 5, 6 и 9 от ОРЗД. С други думи, член 88 от него не може да се тълкува в смисъл, че страните по колективно споразумение разполагат с право на преценка, което би им позволило да въведат „по-конкретни правила“, водещи до не толкова стриктно прилагане или дори до пренебрегване на посоченото изискване за необходимост.

57

Несъмнено, както по същество отбелязват запитващата юрисдикция и Ирландия, страните по колективно споразумение обикновено са в добра позиция да преценят дали обработването на данни е необходимо в конкретен професионален контекст, тъй като тези страни обикновено притежават широки познания за нуждите, присъщи за съответната област на заетост и за съответния сектор на дейност. Такъв процес на преценяване обаче не трябва да води до това посочените страни да правят компромиси, икономически или за удобство, които могат да засегнат неоправдано целта на ОРЗД, а именно да се гарантира високо ниво на защита на основните права и свободи на наетите лица при обработването на отнасящите се до тях лични данни.

58

Ето защо тълкуване на член 88 от ОРЗД в смисъл, че националните юрисдикции не могат да упражнят пълен съдебен контрол по отношение на колективно споразумение, по-специално за да проверят дали от обосновката, изтъкната от страните по това споразумение, се установява необходимостта от обработването на лични данни, което произтича от него, не би било съвместимо с този регламент предвид целта за защита, припомнена в предходната точка от настоящото решение.

59

Накрая, следва да се подчертае, че ако вследствие на извършения от нея контрол сезираната национална юрисдикция стигне до извода, че някои разпоредби от съответното колективно споразумение не отговарят на условията и пределите, предвидени в ОРЗД, тя ще трябва да остави без приложение тези разпоредби в съответствие със съдебната практика, посочена в точка 53 от настоящото решение.

60

С оглед на изложените по-горе мотиви на втория въпрос следва да се отговори, че член 88, параграф 1 от ОРЗД трябва да се тълкува в смисъл, че когато колективно споразумение попада в приложното поле на тази разпоредба, свободата на преценка, с която разполагат страните по това споразумение, да определят „необходимостта“ от обработване на лични данни по смисъла на член 5, член 6, параграф 1 и член 9, параграфи 1 и 2 от този регламент, не възпрепятства националния съд да упражни пълен съдебен контрол в това отношение.

61

Предвид отговора на втория въпрос не е необходимо да се отговаря на третия.

62

С оглед на обстоятелството, че за страните по главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.

По изложените съображения Съдът (осми състав) реши: