–

MK ved Rechtsanwalt J. Zäh,

–

K GmbH ved Rechtsanwältin B. Geck,

–

Irland ved Chief State Solicitor M. Browne, A. Joyce og M. Tierney, som befuldmægtigede, bistået af D. Fennelly, BL,

–

den italienske regering ved G. Palmieri, som befuldmægtiget, bistået af avvocato dello Stato G. Natale,

–

Europa-Kommissionen ved A. Bouchagiar, M. Heller og H. Kranenborg, som befuldmægtigede,

1

Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 82, stk. 1, og artikel 88, stk. 1 og 2, sammenholdt med artikel 5, artikel 6, stk. 1, og artikel 9, stk. 1 og 2, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«).

2

Anmodningen er blevet indgivet i forbindelse med en tvist mellem MK, der er en fysisk person, og K GmbH, der er MK’s arbejdsgiver, vedrørende erstatning for den immaterielle skade, som denne person hævder at have lidt som følge af den behandling af vedkommendes personoplysninger, som det pågældende selskab har foretaget på grundlag af en lokalaftale.

3

8., 10. og 155. betragtning til databeskyttelsesforordningen har følgende ordlyd:

[...]

[...]

4

Denne forordnings artikel 4 med overskriften »Definitioner« bestemmer:

»I denne forordning forstås ved:

[...]

[...]«

5

Databeskyttelsesforordningens kapitel II med overskriften »Principper« indeholder forordningens artikel 5-11.

6

Denne forordnings artikel 5 med overskriften »Principper for behandling af personoplysninger« fastsætter:

»1.   Personoplysninger skal:

[...]

[...]

2.   Den dataansvarlige er ansvarlig for og skal kunne påvise, at stk. 1 overholdes (»ansvarlighed«).«

7

Denne forordnings artikel 6 med overskriften »Lovlig behandling« bestemmer:

»1.   Behandling er kun lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende:

Første afsnit, litra f), gælder ikke for behandling, som offentlige myndigheder foretager som led i udførelsen af deres opgaver.

2.   Medlemsstaterne kan opretholde eller indføre mere specifikke bestemmelser for at tilpasse anvendelsen af denne forordnings bestemmelser om behandling med henblik på overholdelse af stk. 1, litra c) og e), ved at fastsætte mere præcist specifikke krav til behandling og andre foranstaltninger for at sikre lovlig og rimelig behandling, herunder for andre specifikke databehandlingssituationer som omhandlet i kapitel IX.

3.   Grundlaget for behandling i henhold til stk. 1, litra c) og e), skal fremgå af:

[...] Dette retsgrundlag kan indeholde specifikke bestemmelser med henblik på at tilpasse anvendelsen af bestemmelserne i denne forordning, bl.a. de generelle betingelser for lovlighed af den dataansvarliges behandling, hvilke typer oplysninger der skal behandles, berørte registrerede, hvilke enheder personoplysninger må videregives til, og formålet hermed, formålsbegrænsninger, opbevaringsperioder og behandlingsaktiviteter samt behandlingsprocedurer, herunder foranstaltninger til sikring af lovlig og rimelig behandling såsom i andre specifikke databehandlingssituationer som omhandlet i kapitel IX. [...]

[...]«

8

Samme forordnings artikel 9 med overskriften »Behandling af særlige kategorier af personoplysninger« har følgende ordlyd:

»1.   Behandling af personoplysninger om race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold samt behandling af genetiske data, biometriske data med det formål entydigt at identificere en fysisk person, helbredsoplysninger eller oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering er forbudt.

2.   Stk. 1 finder ikke anvendelse, hvis et af følgende forhold gør sig gældende:

[...]«

9

I databeskyttelsesforordningens kapitel VIII med overskriften »Retsmidler, ansvar og sanktioner« fastsætter denne forordnings artikel 82 med overskriften »Ret til erstatning og erstatningsansvar« følgende i stk. 1:

»Enhver, som har lidt materiel eller immateriel skade som følge af en overtrædelse af denne forordning, har ret til erstatning for den forvoldte skade fra den dataansvarlige eller databehandleren.«

10

I databeskyttelsesforordningens kapitel IX med overskriften »Bestemmelser vedrørende specifikke behandlingssituationer« fastsætter denne forordnings artikel 88 med overskriften »Behandling i forbindelse med ansættelsesforhold« følgende i stk. 1 og 2:

»1.   Medlemsstaterne kan ved lov eller i medfør af kollektive overenskomster fastsætte mere specifikke bestemmelser for at sikre beskyttelse af rettighederne og frihedsrettighederne i forbindelse med behandling af arbejdstageres personoplysninger i ansættelsesforhold, navnlig med henblik på ansættelse, ansættelseskontrakter, herunder opfyldelse af forpligtelser fastsat ved lov eller i kollektive overenskomster, ledelse, planlægning og tilrettelæggelse af arbejdet, ligestilling og mangfoldighed på arbejdspladsen, arbejdsmiljø samt beskyttelse af arbejdsgiveres eller kunders ejendom og med henblik på individuel eller kollektiv udøvelse og nydelse af rettigheder og fordele i forbindelse med ansættelse samt med henblik på ophør af ansættelsesforhold.

2.   Disse bestemmelser skal omfatte passende og specifikke foranstaltninger til beskyttelse af den registreredes menneskelige værdighed, legitime interesser og grundlæggende rettigheder, særlig med hensyn til gennemsigtighed i behandlingen, overførsel af personoplysninger inden for en koncern eller gruppe af foretagender, der udøver en fælles økonomisk aktivitet, og overvågningssystemer på arbejdspladsen.«

11

Databeskyttelsesforordningens artikel 99 med overskriften »Ikrafttræden og anvendelse« har følgende ordlyd:

»1.   Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.

2.   Den anvendes fra den 25. maj 2018.«

12

§ 26 i Bundesdatenschutzgesetz (forbundslov om databeskyttelse) af 30. juni 2017 (BGBl. 2017 I, s. 2097, herefter »BDSG«) med overskriften »Behandling af oplysninger i forbindelse med ansættelsesforhold« bestemmer følgende i stk. 1 og 4:

»(1)   »Arbejdstageres personoplysninger kan behandles i forbindelse med ansættelsesforhold, hvis dette er nødvendigt for afgørelsen om indgåelse af et ansættelsesforhold eller, efter indgåelsen af ansættelsesforholdet, for dettes gennemførelse, ophør eller afvikling eller med henblik på udøvelse eller opfyldelse af rettigheder og pligter i forbindelse med repræsentation af arbejdstagernes interesser, som følger af en lov eller en overenskomst, en lokal- eller tjenesteaftale (kollektiv aftale). [...]

[...]

(4)   Behandling af personoplysninger, herunder særlige kategorier af arbejdstagernes personoplysninger i forbindelse med ansættelsesforhold, er tilladt på grundlag af kollektive aftaler. I denne forbindelse skal parterne overholde [databeskyttelsesforordningens] artikel 88, stk. 2.«

13

Sagsøgeren i hovedsagen er ansat hos sagsøgte i hovedsagen, der er et selskab efter tysk ret, og er formand for samarbejdsudvalg i dette selskab.

14

Selskabet behandlede oprindeligt visse personoplysninger om sine ansatte i forbindelse med anvendelsen af en software kendt som »SAP« (herefter »SAP-softwaren«), herunder til regnskabsføring, og i denne henseende indgik det flere lokalaftaler med sit samarbejdsudvalg.

15

I løbet af 2017 indførte koncern D, som sagsøgte i hovedsagen indgår i (herefter »D-koncernen«), i hele koncernen en software kendt som »Workday« (herefter »Workday-softwaren«), der er cloud-baseret, som et fælles system til forvaltning af oplysninger om arbejdstagere. I denne forbindelse overførte sagsøgte i hovedsagen forskellige personoplysninger om sine ansatte fra SAP-softwaren til en server i D-koncernens moderselskab, der har hjemsted i De Forenede Stater.

16

Den 3. juli 2017 indgik sagsøgte i hovedsagen og dets samarbejdsudvalg en aftale om accept af indførelsen af Workday-softwaren (herefter »accept-lokalaftalen«), der bl.a. forbød, at denne software i forsøgsperioden blev anvendt til personaleforvaltning, såsom til evaluering af en arbejdstager. Ifølge bilag 2 til denne aftale var de eneste kategorier af oplysninger, der kunne overføres med henblik på at udfylde Workday-softwaren, det personalenummer, der i D-koncernen var tildelt arbejdstageren, arbejdstagerens efternavn, fornavn, telefonnummer, dato for ansættelsen i det berørte selskab, datoen for arbejdstagerens tiltrædelse af stillingen i D-koncernen, den pågældendes arbejdssted, navnet på det berørte selskab samt arbejdstagerens telefonnummer og arbejdsadresse. Virkningerne af den nævnte aftale blev forlænget indtil en endelig lokalaftale, der blev indgået den 23. januar 2019, trådte i kraft.

17

På denne baggrund anlagde sagsøgeren i hovedsagen sag ved den stedligt kompetente Arbeitsgericht (arbejdsret, Tyskland) og derefter ved den stedligt kompetente Landesarbeitsgericht (regional appeldomstol i arbejdsretlige sager, Tyskland) med påstand om, at han skulle gives aktindsigt i visse oplysninger, have slettet oplysninger om sig og om tildeling af en erstatning. Sagsøgeren i hovedsagen gjorde bl.a. gældende, at sagsøgte i hovedsagen havde videregivet personoplysninger om ham til moderselskabets server, hvoraf nogle ikke var nævnt i accept-lokalaftalen, herunder navnlig hans private kontaktoplysninger, detaljerne i hans kontrakt og om hans løn, hans socialsikrings- og skatteidentifikationsnumre, hans nationalitet og civilstand.

18

Da sagsøgeren i hovedsagen ikke fik fuldt medhold, iværksatte han revisionsanke ved Bundesarbeitsgericht (forbundsdomstol i arbejdsretlige sager, Tyskland), der er den forelæggende ret. Det eneste krav, der stadig verserer, er sagsøgerens krav om erstatning på grundlag af databeskyttelsesforordningen for den immaterielle skade, som han angiveligt har lidt som følge af den ulovlige behandling af hans personoplysninger ved hjælp af Workday-softwaren i perioden fra den første dag, hvor denne forordning fandt anvendelse, dvs. den 25. maj 2018, og indtil udgangen af første kvartal af 2019.

19

Hvad angår spørgsmålet om, hvorvidt denne behandling var ulovlig, har sagsøgeren i hovedsagen for det første gjort gældende, at den hverken var nødvendig med henblik på ansættelsesforholdet, til brug for hvilket sagsøgte i hovedsagen på daværende tidspunkt anvendte SAP-softwaren, eller med henblik på forsøget med Workday-softwaren, idet det i denne henseende havde været tilstrækkeligt at anvende fiktive data, hvilket ville have sikret, at faktiske oplysninger ikke blev tilgængelige inden for D-koncernen. Selv hvis det antages, at lokalaftalen kan udgøre et gyldigt grundlag for den nævnte behandling, var den deri omhandlede tilladelse for det andet udløbet, eftersom sagsøgte har videregivet andre oplysninger end dem, der er omhandlet i bilag 2 til denne aftale. Endelig påhviler bevisbyrden for, at sagsøgtes handlinger er i overensstemmelse med databeskyttelsesforordningen, sidstnævnte.

20

Sagsøgte i hovedsagen har gjort gældende, at den omhandlede behandling opfylder databeskyttelsesforordningens krav, at bevisbyrden påhviler sagsøgeren i hovedsagen, og at han hverken har godtgjort, at der er lidt en immateriel skade, eller at der er en årsagssammenhæng mellem en eventuel tilsidesættelse af denne forordning og den påståede skade.

21

Den forelæggende ret er af den opfattelse, at de aktiviteter, som sagsøgeren i hovedsagen har anfægtet, er omfattet af databeskyttelsesforordningens materielle anvendelsesområde, idet de udgør »behandling« af den berørte »registreredes«»personoplysninger« som omhandlet i denne forordnings artikel 4, nr. 1) og 2). Den har endvidere anført, at sagsøgte i hovedsagen er »dataansvarlig« som omhandlet i forordningens artikel 4, nr. 7). Hvad angår forordningens tidsmæssige anvendelsesområde har den forelæggende ret fremhævet, at behandlingen ganske vist blev påbegyndt før den dato, hvor dette instrument fandt anvendelse, men at den imidlertid fortsatte herefter som følge af flere forlængelser af de oprindelige virkninger af lokalaftalen.

22

I denne henseende ønsker den forelæggende ret for det første oplyst, om en national bestemmelse, der regulerer behandling af personoplysninger i forbindelse med ansættelsesforhold, og som i det væsentlige fastsætter, at en sådan behandling i medfør af kollektive overenskomster er lovlig, forudsat at den er i overensstemmelse med artikel 88, stk. 2, i forordning 2016/679, sådan som det er tilfældet med BDSG’s § 26, stk. 4, er forenelig med denne forordning, eller om den omhandlede behandling i denne henseende ligeledes skal være i overensstemmelse med forordningens øvrige bestemmelser. Denne ret er tilbøjelig til at mene, at når behandlingen af arbejdstageres personoplysninger er reguleret ved en »kollektiv overenskomst« som omhandlet i databeskyttelsesforordningens artikel 88, kan den omhandlede behandling ikke fravige de krav, der ikke alene følger af denne forordnings artikel 88, men også af dens artikel 5, artikel 6, stk. 1, og artikel 9, stk. 1 og 2, navnlig for så vidt angår kriteriet om, at behandlingen skal være nødvendig, således som det fremgår af de tre sidstnævnte artikler.

23

For det andet ønsker den forelæggende ret, såfremt det andet spørgsmål besvares bekræftende, oplyst, om parterne i en sådan kollektiv overenskomst råder over en skønsmargen, der udelukkende skal være genstand for en begrænset domstolsprøvelse, når det skal vurderes, om den pågældende behandling er nødvendig som omhandlet i databeskyttelsesforordningens artikel 5, artikel 6, stk. 1, og artikel 9, stk. 1 og 2. Ifølge den forelæggende ret understøttes denne opfattelse af argumentet om, at der er en tæt forbindelse mellem disse parter og virksomheden, og om, at de i det store hele har opnået en rimelig ligevægt mellem de implicerede interesser. Ikke desto mindre giver Domstolens praksis vedrørende andre EU-retsakter, navnlig dom af 7. februar 1991, Nimz (C-184/89, EU:C:1991:50), og af 20. marts 2003, Kutz-Bauer (C-187/00, EU:C:2003:168), anledning til at antage, at de bestemmelser i en kollektiv overenskomst, der henhører under EU-rettens anvendelsesområde, ikke kan være i strid med EU-retten, og at sådanne bestemmelser om nødvendigt ikke skal anvendes.

24

Såfremt det andet spørgsmål besvares bekræftende, ønsker den forelæggende ret for det tredje oplyst, efter hvilke bedømmelseskriterier den i givet fald skal begrænse sin domstolsprøvelse.

25

Endelig vedrørte det fjerde til det sjette spørgsmål, som den forelæggende ret oprindeligt havde forelagt, inden disse spørgsmål blev trukket tilbage, i det væsentlige retten til erstatning for immateriel skade i henhold til databeskyttelsesforordningens artikel 82, stk. 1.

26

På denne baggrund har Bundesarbeitsgericht (forbundsdomstol i arbejdsretlige sager) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:

27

Ved afgørelse truffet af Domstolens præsident den 24. januar 2024 blev dom af 4. maj 2023, Österreichische Post (Immateriel skade i forbindelse med behandling af personoplysninger) (C-300/21, EU:C:2023:370), domme af 14. december 2023, Natsionalna agentsia za prihodite (C-340/21, EU:C:2023:986) og Gemeinde Ummendorf (C-456/22, EU:C:2023:988), samt dom af 21. december 2023, Krankenversicherung Nordrhein (C-667/21, EU:C:2023:1022), og af 25. januar 2024, MediaMarktSaturn (C-687/21, EU:C:2024:72), forkyndt for den forelæggende ret med henblik på, at denne præciserede, om den, henset til disse domme, ønskede at opretholde sin anmodning om præjudiciel afgørelse, nærmere bestemt for så vidt angår det fjerde til det sjette spørgsmål.

28

Ved afgørelse truffet af Domstolens præsident den 15. marts 2024 blev sagen udsat i henhold til artikel 55, stk. 1, litra b), i Domstolens procesreglement, indtil besvarelsen af det således stillede spørgsmål var modtaget.

29

Ved skriftlig meddelelse indgået til Domstolen den 8. maj 2024 meddelte den forelæggende ret Domstolen, at den trak det fjerde til det sjette spørgsmål tilbage, men fastholdt sit første til tredje spørgsmål.

30

Sagsøgte i hovedsagen har gjort gældende, at det første til det tredje spørgsmål ikke kan antages til realitetsbehandling, eftersom de ikke er relevante for afgørelsen af den tvist, der verserer for den forelæggende ret. Sagsøgte i hovedsagen har i det væsentlige gjort gældende, at sagsøgeren i hovedsagen ikke har anfægtet indholdet af den lokalaftale, der finder anvendelse i den foreliggende sag, men derimod at den omhandlede behandling af oplysninger har overskredet grænserne for denne aftale, således at genstanden for den foreliggende tvist ikke er en tilsidesættelse af de krav i databeskyttelsesforordningens artikel 88, der gælder for en sådan aftale. Desuden er disse spørgsmål hypotetiske, idet de har til formål at sætte denne ret i stand til at efterprøve lovligheden af denne behandling som helhed, og ikke kun i relation til de forhold, som sagsøgeren i hovedsagen har anfægtet.

31

Det følger i denne henseende af fast retspraksis, at det udelukkende tilkommer den nationale ret, for hvilken en tvist er indbragt, og som har ansvaret for den retlige afgørelse, som skal træffes, på grundlag af omstændighederne i den konkrete sag at vurdere, såvel om en præjudiciel afgørelse er nødvendig for, at den kan afsige dom, som relevansen af de spørgsmål, den forelægger Domstolen, hvilke spørgsmål er omfattet af en formodning for at være relevante. Når de forelagte spørgsmål vedrører fortolkningen eller gyldigheden af en EU-retlig regel, er Domstolen derfor principielt forpligtet til at træffe afgørelse, medmindre det klart fremgår, at den ønskede fortolkning savner enhver forbindelse med realiteten i hovedsagen eller dennes genstand, såfremt problemet er af hypotetisk karakter, eller såfremt Domstolen ikke råder over de faktiske og retlige oplysninger, som er nødvendige for, at den kan foretage en hensigtsmæssig besvarelse af disse spørgsmål (dom af 20.6.2024, Scalable Capital,C-182/22 og C-189/22, EU:C:2024:531, præmis 18 og den deri nævnte retspraksis).

32

I det foreliggende tilfælde er det første til det tredje spørgsmål relevante for fortolkningen af flere EU-retlige bestemmelser, nærmere bestemt databeskyttelsesforordningens artikel 88, sammenholdt med dens artikel 5, 6 og 9. Den forelæggende ret er desuden af den opfattelse, at de grænser, der er fastsat i den lokalaftale, der finder anvendelse i den foreliggende sag, og som af den forelæggende ret kvalificeres som en »kollektiv overenskomst« som omhandlet i denne forordning, er blevet overskredet, og at den i hovedsagen omhandlede behandling af personoplysninger skal undersøges i sin helhed, for så vidt som den kan være ulovlig i henhold til bestemmelserne i BDSG’s § 26, stk. 1 og 4, der udtrykkeligt henviser til databeskyttelsesforordningens artikel 88.

33

Det følger heraf, at anmodningen om en præjudiciel afgørelse kan antages til realitetsbehandling.

34

Med det første spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 88, stk. 1 og 2, skal fortolkes således, at en national bestemmelse om behandling af personoplysninger i forbindelse med ansættelsesforhold, der er vedtaget i henhold til denne forordnings artikel 88, stk. 1, skal pålægge adressaterne herfor at overholde ikke blot de krav, der følger af den nævnte forordnings artikel 88, stk. 2, men ligeledes de krav, der følger af forordningens artikel 5, artikel 6, stk. 1, og artikel 9, stk. 1 og 2.

35

Det skal i denne henseende bemærkes, at databeskyttelsesforordningen har til formål at sikre en harmonisering af de nationale lovgivninger om beskyttelse af personoplysninger, som i princippet er fuldstændig. Visse bestemmelser i den nævnte forordning åbner imidlertid mulighed for, at medlemsstaterne kan fastsætte supplerende nationale regler, der er strengere, eller undtagelsesbestemmelser, som overlader medlemsstaterne et skøn med hensyn til, hvorledes disse bestemmelser kan gennemføres (»åbningsbestemmelser«) (jf. i denne retning dom af 30.3.2023, Hauptpersonalrat der Lehrerinnen und Lehrer,C-34/21, EU:C:2023:270, præmis 51 og den deri nævnte retspraksis).

36

Databeskyttelsesforordningens artikel 88 om behandling af personoplysninger i forbindelse med ansættelsesforhold fastsætter de betingelser, hvorunder medlemsstaterne ved lov eller i medfør af kollektive overenskomster kan fastsætte »mere specifikke bestemmelser« for at sikre beskyttelse af rettighederne og frihedsrettighederne for de arbejdstagere, der er berørt af en sådan behandling. Det fremgår bl.a. af 155. betragtning til denne forordning, at begrebet »kollektiv overenskomst« som omhandlet i denne artikel 88 omfatter sådanne »lokalaftaler« som den i hovedsagen omhandlede. Denne forordnings artikel 5, 6 og 9 fastsætter i øvrigt henholdsvis principperne vedrørende behandling af personoplysninger, betingelserne for lovligheden af denne behandling og bestemmelserne om behandling af særlige kategorier af sådanne oplysninger.

37

Det følger af fast retspraksis, at ordlyden af en bestemmelse i EU-retten, der som databeskyttelsesforordningens artikel 88 ikke indeholder nogen udtrykkelig henvisning til medlemsstaternes ret med henblik på at fastlægge dens betydning og rækkevidde, normalt undergives en selvstændig og ensartet fortolkning i hele Unionen, som skal søges under hensyntagen til bl.a. den omhandlede bestemmelses ordlyd, de formål, der forfølges med bestemmelsen, og den sammenhæng, hvori den indgår (jf. analogt dom af 14.12.2023, Natsionalna agentsia za prihodite,C-340/21, EU:C:2023:986, præmis 23 og den deri nævnte retspraksis).

38

For det første fremgår det af ordlyden af databeskyttelsesforordningens artikel 88, at denne artikels stk. 1 kræver, at de »mere specifikke bestemmelser«, der er tilladt i henhold til den pågældende bestemmelse, skal have et specifikt normativt indhold på det område, der er reguleret, og som adskiller sig fra databeskyttelsesforordningens generelle bestemmelser, mens denne artikels stk. 2 i overensstemmelse med det harmoniseringsformål, der forfølges med den nævnte forordning, sætter rammen for den skønsmargen, der er overladt de medlemsstater, der påtænker at vedtage »mere specifikke bestemmelser« i henhold til denne artikel stk. 1 (jf. i denne retning dom af 30.3.2023, Hauptpersonalrat der Lehrerinnen und Lehrer,C-34/21, EU:C:2023:270, præmis 61, 65, 72 og 75).

39

Denne ordlyd angiver derimod ikke, om de »mere specifikke bestemmelser«, som medlemsstaterne således kan vedtage, udelukkende skal opfylde kravene i databeskyttelsesforordningens artikel 88, stk. 2, eller om de også skal opfylde kravene i den pågældende forordnings andre bestemmelser, således at de behandlinger af personoplysninger, der foretages i henhold til sådanne bestemmelser, ydermere skal opfylde sidstnævnte bestemmelser.

40

Hvad for det andet angår formålene med databeskyttelsesforordningens artikel 88 har Domstolen allerede fastslået, at denne artikel udgør en »åbningsbestemmelse«, og at den mulighed, som medlemsstaterne er tillagt ved denne artikels stk. 1, henset til de særlige forhold ved en sådan behandling, bl.a. kan forklares med, at der består et underordnelsesforhold mellem arbejdstageren og arbejdsgiveren. Den har præciseret, at de betingelser, der er fastsat i denne forordnings artikel 88, stk. 2, afspejler grænserne for det skøn, som medlemsstaterne er overladt, for så vidt som den manglende harmonisering kun kan tillades, når de forskelle, der fortsat består, ledsages af specifikke og passende garantier, der har til formål at beskytte arbejdstagernes rettigheder og friheder for så vidt angår behandling af deres personoplysninger i forbindelse med ansættelsesforhold (jf. i denne retning dom af 30.3.2023, Hauptpersonalrat der Lehrerinnen und Lehrer,C-34/21, EU:C:2023:270, præmis 52, 53 og 73).

41

Domstolen har desuden fremhævet, at medlemsstaterne, når de gør brug af den mulighed, som de tildeles ved databeskyttelsesforordningens artikel 88, skal anvende deres skønsmargen på de betingelser og inden for de grænser, der er fastsat i denne forordnings bestemmelser, og de skal således lovgive på en sådan måde, at denne forordnings indhold og formål, der bl.a. har til formål at sikre et højt beskyttelsesniveau for de registreredes rettigheder og frihedsrettigheder, således som det fremgår af tiende betragtning hertil, ikke bringes i fare. Følgelig skal de bestemmelser, som en medlemsstat vedtager på grundlag af denne artikel 88, have til formål at beskytte arbejdstagernes rettigheder og frihedsrettigheder i forbindelse med behandlingen af deres personoplysninger (jf. i denne retning dom af 30.3.2023, Hauptpersonalrat der Lehrerinnen und Lehrer,C-34/21, EU:C:2023:270, præmis 54, 59, 62 og 74).

42

Databeskyttelsesforordningens artikel 88 kan imidlertid ikke fortolkes således, at de »mere specifikke bestemmelser«, som medlemsstaterne har mulighed for at vedtage i henhold til denne artikel, kan have til formål eller til følge at omgå de forpligtelser for den dataansvarlige eller databehandleren, der følger af andre bestemmelser i denne forordning, idet samtlige disse formål, og nærmere bestemt formålet med at sikre et højt beskyttelsesniveau for arbejdstagerne ved behandling af deres personoplysninger i forbindelse med ansættelsesforhold, ellers ville blive bragt i fare.

43

Følgelig skal databeskyttelsesforordningens artikel 88, stk. 1 og 2, fortolkes således, at selv når medlemsstaterne støtter sig på denne artikel for i deres respektive nationale retsordener ved lov eller i medfør af kollektive overenskomster at fastsætte »mere specifikke bestemmelser«, skal de krav, der følger af andre bestemmelser, og som særligt er omhandlet i det foreliggende spørgsmål, dvs. denne forordnings artikel 5, artikel 6, stk. 1, og artikel 9, stk. 1 og 2, ligeledes overholdes. Dette gælder bl.a. overholdelsen af det kriterium om, at behandlingen skal være nødvendig, som den forelæggende ret nærmere bestemt har rejst spørgsmål om.

44

For det tredje bekræfter den sammenhæng, hvori databeskyttelsesforordningens artikel 88 indgår, denne fortolkning.

45

Databeskyttelsesforordningens artikel 88 er nemlig indeholdt i dennes kapitel IX med overskriften »Bestemmelser vedrørende specifikke behandlingssituationer«, mens denne forordnings artikel 5, 6 og 9 er indeholdt i forordningens kapitel II med overskriften »Principper«, der således har en mere generel rækkevidde. Det fremgår i øvrigt klart af ordlyden af artikel 6, som i stk. 2 og 3 udtrykkeligt henviser til bestemmelserne i dette kapitel IX, at de betingelser for lovlighed, der er fastsat i nævnte artikel 6, er bindende, herunder i forbindelse med »specifikke [...]situationer«, der er reguleret af bestemmelserne i nævnte kapitel IX.

46

Det følger desuden af fast retspraksis, at enhver behandling af personoplysninger skal overholde de principper vedrørende behandling af sådanne oplysninger og den registreredes rettigheder, som er fastsat i henholdsvis kapitel II og III i databeskyttelsesforordningen. Den skal navnlig være i overensstemmelse med de principper vedrørende behandling af sådanne oplysninger, der er fastsat i denne forordnings artikel 5, og opfylde de betingelser for lovlighed, der er anført i denne forordnings artikel 6 (jf. i denne retning dom af 2.3.2023, Norra Stockholm Bygg,C-268/21, EU:C:2023:145, præmis 43, og af 11.7.2024, Meta Platforms Ireland (Gruppesøgsmål), C-757/22, EU:C:2024:598, præmis 49 og den deri nævnte retspraksis).

47

Hvad mere specifikt angår forholdet mellem forordningens artikel 88 og andre bestemmelser i denne forordning har Domstolen bemærket, bl.a. i lyset af ottende betragtning hertil, at uanset eventuelle »mere specifikke bestemmelser«, som medlemsstaterne har vedtaget på grundlag af forordningens artikel 88, stk. 1, skal enhver behandling af personoplysninger overholde de forpligtelser, der følger af bestemmelserne i forordningens kapitel II og III, navnlig artikel 5 og 6 (jf. i denne retning dom af 30.3.2023, Hauptpersonalrat der Lehrerinnen und Lehrer,C-34/21, EU:C:2023:270, præmis 67-71).

48

De forpligtelser, der følger af databeskyttelsesforordningens artikel 9, skal ligeledes overholdes i forbindelse med enhver behandling af personoplysninger, der er omfattet af denne forordning, herunder når der foreligger »mere specifikke bestemmelser«, der er vedtaget i henhold til denne forordnings artikel 88, stk. 1. Artikel 9, der regulerer behandlingen af de heri nævnte særlige kategorier af personoplysninger, findes i forordningens kapitel II, ligesom artikel 5 og 6, hvis krav i øvrigt er nøje afgrænset af de kumulative betingelser, der følger af artikel 9 (jf. i denne retning dom af 21.12.2023, Krankenversicherung Nordrhein,C-667/21, EU:C:2023:1022, præmis 73 og 77-79). Denne fortolkning er desuden i overensstemmelse med formålet med samme artikel 9, der består i at sikre en øget beskyttelse mod behandlinger, der som følge af de behandlede oplysningers særligt følsomme karakter kan udgøre et særligt alvorligt indgreb i de registreredes grundlæggende rettigheder (jf. i denne retning dom af 4.10.2024, Lindenapotheke,C-21/23, EU:C:2024:846, præmis 89 og den deri nævnte retspraksis).

49

Såfremt en medlemsstats lovgivning indeholder »mere specifikke bestemmelser« som omhandlet i databeskyttelsesforordningens artikel 88, stk. 1, skal den behandling af personoplysninger, der er omfattet af disse bestemmelser, dermed ikke blot opfylde betingelserne i artikel 88, stk. 1 og 2, men også betingelserne i forordningens artikel 5, 6 og 9, således som disse er fortolket i Domstolens praksis.

50

Henset til ovenstående betragtninger skal det første spørgsmål besvares med, at databeskyttelsesforordningens artikel 88, stk. 1 og 2, skal fortolkes således, at en national bestemmelse om behandling af personoplysninger i forbindelse med ansættelsesforhold, der er vedtaget i henhold til denne forordnings artikel 88, stk. 1, skal pålægge adressaterne herfor at overholde ikke blot de krav, der følger af den nævnte forordnings artikel 88, stk. 2, men ligeledes de krav, der følger af forordningens artikel 5, artikel 6, stk. 1, og artikel 9, stk. 1 og 2.

51

Med det andet spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 88, stk. 1, skal fortolkes således, at når en kollektiv overenskomst er omfattet af denne bestemmelses anvendelsesområde, er den skønsmargen, som parterne i denne overenskomst råder over ved afgørelsen af, om en behandling af personoplysninger som omhandlet i denne forordnings artikel 5, artikel 6, stk. 1, og artikel 9, stk. 1 og 2, er »nødvendig«, til hinder for, at den nationale ret kan foretage en fuldstændig domstolsprøvelse i denne henseende.

52

Det skal indledningsvis bemærkes, således som det er blevet fremhævet i nærværende doms præmis 41, at de medlemsstater, der gør brug af den mulighed, som de er tillagt ved databeskyttelsesforordningens artikel 88, skal anvende deres skønsbeføjelse på de betingelser og inden for de grænser, der er fastsat i denne forordnings bestemmelser, og således sikre, at de »mere specifikke bestemmelser«, som de indfører i deres nationale retsorden, ikke skader den nævnte forordnings indhold og formål. Disse bestemmelser skal bl.a. sikre et højt niveau for beskyttelse af arbejdstageres grundlæggende rettigheder og frihedsrettigheder, når deres personoplysninger behandles i forbindelse med et ansættelsesforhold.

53

Hvad angår omfanget af den domstolsprøvelse, som sådanne specifikke bestemmelser kan undergives, har Domstolen allerede fastslået, at det tilkommer den forelæggende ret, der alene har kompetence til at fortolke national ret, at vurdere, om disse bestemmelser overholder de betingelser og begrænsninger, der er fastsat i databeskyttelsesforordningens artikel 88. I overensstemmelse med princippet om EU-rettens forrang påhviler det den forelæggende ret, såfremt den fastslår, at disse bestemmelser ikke overholder disse betingelser og begrænsninger, at undlade at anvende de nævnte bestemmelser. Når der ikke foreligger mere specifikke bestemmelser, som overholder de betingelser, der er fastsat i denne artikel 88, er behandlingen af personoplysninger i forbindelse med ansættelsesforhold direkte reguleret ved denne forordning (jf. i denne retning dom af 30.3.2023, Hauptpersonalrat der Lehrerinnen und Lehrer,C-34/21, EU:C:2023:270, præmis 80, 82-84 og 89).

54

Disse betragtninger gælder ligeledes for parterne i en sådan kollektiv overenskomst som den i hovedsagen omhandlede, der er omfattet af databeskyttelsesforordningens artikel 88. Som Europa-Kommissionen i det væsentlige har anført i sit skriftlige indlæg, skal parterne i en kollektiv overenskomst nemlig have en skønsmargen, der navnlig hvad angår dens grænser svarer til den skønsmargen, der tilkommer medlemsstaterne, eftersom de »mere specifikke bestemmelser«, der er omhandlet i artikel 88, stk. 1, bl.a. kan følge af kollektive overenskomster. Det fremgår ligeledes af 155. betragtning til denne forordning, at sådanne bestemmelser kan fastsættes i medlemsstaternes lovgivning eller i kollektive overenskomster, herunder »lokalaftaler«.

55

Uanset den skønsmargen, som databeskyttelsesforordningens artikel 88 overlader parterne til en kollektiv overenskomst, skal den domstolsprøvelse, der udøves med hensyn til en sådan overenskomst, i lighed med domstolsprøvelsen af en bestemmelse i national ret, der er vedtaget i henhold til denne bestemmelse, uden begrænsning kunne vedrøre overholdelsen af samtlige de betingelser og grænser, der er fastsat i denne forordnings bestemmelser for behandling af personoplysninger.

56

Det skal dernæst præciseres, at en sådan domstolsprøvelse mere specifikt skal have til formål at efterprøve, om behandlingen af sådanne oplysninger er »nødvendig« som omhandlet i databeskyttelsesforordningens artikel 5, 6 og 9. Med andre ord kan databeskyttelsesforordningens artikel 88 ikke fortolkes således, at parterne i en kollektiv overenskomst har en skønsbeføjelse, der giver dem mulighed for at indføre »mere specifikke bestemmelser«, der fører til en mindre streng anvendelse eller endog tilsidesættelse af nødvendighedskravet.

57

Som den forelæggende ret og Irland i det væsentlige har anført, har parterne i en kollektiv overenskomst ganske vist generelt gode forudsætninger for at vurdere, om behandling er nødvendig i en specifik erhvervsmæssig sammenhæng, da disse parter normalt har et omfattende kendskab til de behov, der er specifikke for det pågældende beskæftigelsesområde og den pågældende erhvervssektor. En sådan vurderingsproces må imidlertid ikke føre til, at parterne indgår kompromiser af økonomisk eller praktisk art, som uberettiget kan skade databeskyttelsesforordningens formål, der er at sikre et højt niveau for beskyttelse af arbejdstagernes grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandlingen af deres personoplysninger.

58

En fortolkning af databeskyttelsesforordningens artikel 88, hvorefter de nationale retsinstanser ikke kan foretage en fuldstændig domstolsprøvelse af en kollektiv overenskomst, navnlig med henblik på at efterprøve, om de begrundelser, som parterne i denne overenskomst har fremført, godtgør, at den i den berørte overenskomst omhandlede behandling af personoplysninger er nødvendig, er derfor ikke forenelig med denne forordning, henset til det beskyttelsesformål, der er nævnt i nærværende doms foregående præmis.

59

Endelig skal det fremhæves, at hvis den nationale ret, for hvilken sagen er indbragt, ved afslutningen af sin prøvelse når til den konklusion, at visse bestemmelser i den omhandlede kollektive overenskomst ikke opfylder de betingelser og begrænsninger, der er fastsat i databeskyttelsesforordningen, påhviler det den at undlade at anvende disse bestemmelser i overensstemmelse med den retspraksis, der er nævnt i nærværende doms præmis 53.

60

Henset til ovenstående betragtninger skal det andet spørgsmål besvares med, at databeskyttelsesforordningens artikel 88, stk. 1, skal fortolkes således, at når en kollektiv overenskomst er omfattet af denne bestemmelses anvendelsesområde, er den skønsmargen, som parterne i denne overenskomst råder over ved afgørelsen af, om en behandling af personoplysninger som omhandlet i denne forordnings artikel 5, artikel 6, stk. 1, og artikel 9, stk. 1 og 2, er »nødvendig«, ikke til hinder for, at den nationale ret kan foretage en fuldstændig domstolsprøvelse i denne henseende.

61

Henset til besvarelsen af det andet spørgsmål er det ufornødent at besvare det tredje spørgsmål.

62

Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.

På grundlag af disse præmisser kender Domstolen (Ottende Afdeling) for ret: