–

MK, atstovaujamo Rechtsanwalt J. Zäh,

–

K GmbH, atstovaujamos Rechtsanwältin B. Geck,

–

Airijos, atstovaujamos Chief State Solicitor M. Browne, taip patA. Joyce ir M. Tierney, padedamų BL D. Fennelly,

–

Italijos vyriausybės, atstovaujamos G. Palmieri, padedamos avvocato dello Stato G. Natale,

–

Europos Komisijos, atstovaujamos A. Bouchagiar, M. Heller ir H. Kranenborg,

1

Prašymas priimti prejudicinį sprendimą pateiktas dėl 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016, p. 1; toliau – BDAR) 82 straipsnio 1 dalies, 88 straipsnio 1 ir 2 dalių, siejamų su 5 straipsniu, 6 straipsnio 1 dalimi ir 9 straipsnio 1–2 dalimis, išaiškinimo.

2

Šis prašymas pateiktas nagrinėjant fizinio asmens MK ir jo darbdavės K GmbH ginčą dėl neturtinės žalos, kurią šis asmuo teigia patyręs dėl to, kad ši bendrovė tvarkė jo asmens duomenis pagal įmonės lygmens susitarimą, atlyginimo.

3

BDAR 8, 10 ir 155 konstatuojamosios dalys suformuluotos taip:

<…>

<…>

4

Šio reglamento 4 straipsnyje „Apibrėžtys“ nustatyta:

„Šiame reglamente:

<…>

<…>“

5

BDAR II skyriuje „Principai“ yra 5–11 straipsniai.

6

Šio reglamento 5 straipsnyje „Su asmens duomenų tvarkymu susiję principai“ numatyta:

„1.   Asmens duomenys turi būti:

<…>

<…>

2.   Duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi 1 dalies, ir turi sugebėti įrodyti, kad jos laikomasi (atskaitomybės principas).“

7

Minėto reglamento 6 straipsnyje „Tvarkymo teisėtumas“ nurodyta:

„1.   Duomenų tvarkymas yra teisėtas tik tuo atveju, jeigu taikoma bent viena iš šių sąlygų, ir tik tokiu mastu, kokiu ji yra taikoma:

Šios pastraipos f punktas netaikomas duomenų tvarkymui, kurį valdžios institucijos atlieka vykdydamos savo užduotis.

2.   Valstybės narės gali toliau taikyti arba nustatyti konkretesnes nuostatas šio reglamento taisyklių taikymui pritaikyti, kiek tai susiję su duomenų tvarkymu, kad būtų laikomasi 1 dalies c ir e punktų, tiksliau nustatydamos konkrečius duomenų tvarkymui keliamus reikalavimus ir kitas teisėto ir sąžiningo duomenų tvarkymo užtikrinimo priemones, įskaitant kitais specialiais IX skyriuje numatytais duomenų tvarkymo atvejais.

3.   1 dalies c ir e punktuose nurodytas duomenų tvarkymo pagrindas nustatomas:

<…> Tame teisiniame pagrinde galėtų būti išdėstytos konkrečios nuostatos pagal šį reglamentą taikomų taisyklių pritaikymui, įskaitant bendrąsias sąlygas, reglamentuojančias duomenų valdytojo atliekamo duomenų tvarkymo teisėtumą, tvarkytinų duomenų rūšis, atitinkamus duomenų subjektus, subjektus, kuriems asmens duomenys gali būti atskleisti ir tikslus, dėl kurių asmens duomenys gali būti atskleisti, tikslo apribojimo principą, saugojimo laikotarpius ir duomenų tvarkymo operacijas bei duomenų tvarkymo procedūras, įskaitant priemones, kuriomis būtų užtikrintas teisėtas ir sąžiningas duomenų tvarkymas, kaip antai tas, kurios skirtos kitiems specialiems IX skyriuje numatytiems duomenų tvarkymo atvejams. <…>

<…>“

8

To paties reglamento 9 straipsnis „Specialių kategorijų asmens duomenų tvarkymas“ suformuluotas taip:

„1.   Draudžiama tvarkyti asmens duomenis, atskleidžiančius rasinę ar etninę kilmę, politines pažiūras, religinius ar filosofinius įsitikinimus ar narystę profesinėse sąjungose, taip pat tvarkyti genetinius duomenis, biometrinius duomenis, siekiant konkrečiai nustatyti fizinio asmens tapatybę, sveikatos duomenis arba duomenis apie fizinio asmens lytinį gyvenimą ir lytinę orientaciją.

2.   1 dalis netaikoma, jei taikoma viena iš toliau nurodytų sąlygų:

<…>“

9

BDAR VIII skyriuje „Teisių gynimo priemonės, atsakomybė ir sankcijos“ esančio 82 straipsnio „Teisė į kompensaciją ir atsakomybė“ 1 dalyje numatyta:

„Bet kuris asmuo, patyręs materialinę ar nematerialinę žalą dėl šio reglamento pažeidimo, turi teisę iš duomenų valdytojo arba duomenų tvarkytojo gauti kompensaciją už patirtą žalą.“

10

BDAR IX skyriuje „Nuostatos, susijusios su konkrečiais duomenų tvarkymo atvejais“ esančio 88 straipsnio „Duomenų tvarkymas su darbo santykiais susijusiame kontekste“ 1 ir 2 dalyse nustatyta:

„1.   Valstybės narės gali teisėje ar kolektyvinėse sutartyse numatyti konkretesnes taisykles, kuriomis siekiama užtikrinti teisių ir laisvių apsaugą tvarkant darbuotojų asmens duomenis su darbo santykiais susijusiame kontekste, visų pirma juos įdarbinant, vykdant darbo sutartį, įskaitant teisės aktais arba kolektyvinėmis sutartimis nustatytų prievolių vykdymą, užtikrinant darbo administravimą, planavimą ir organizavimą, lygybę ir įvairovę darbo vietoje, darbuotojų saugą ir sveikatą, darbdavio ar kliento turto apsaugą, taip pat siekiant pasinaudoti su darbo santykiais susijusiomis individualiomis ir kolektyvinėmis teisėmis ir išmokomis, taip pat siekiant nutraukti darbo santykius.

2.   Tos taisyklės apima tinkamas ir konkrečias priemones, kuriomis siekiama apsaugoti duomenų subjekto žmogiškąjį orumą, teisėtus interesus ir pagrindines teises, ypatingą dėmesį skiriant duomenų tvarkymo skaidrumui, asmens duomenų perdavimui įmonių grupėje arba bendrą ekonominę veiklą vykdančių įmonių grupėje ir stebėsenos sistemoms darbo vietoje.“

11

BDAR 99 straipsnis „Įsigaliojimas ir taikymas“ suformuluotas taip:

„1.   Šis reglamentas įsigalioja dvidešimtą dieną po jo paskelbimo Europos Sąjungos oficialiajame leidinyje.

2.   Jis taikomas nuo 2018 m. gegužės 25 d.“

12

2017 m. birželio 30 d.Bundesdatenschutzgesetz (Federalinis duomenų apsaugos įstatymas, BGBl. 2017 I, p. 2097, toliau – BDSG) 26 straipsnio „Duomenų tvarkymas su darbo santykiais susijusiame kontekste“ 1 ir 4 dalyse numatyta:

„1.   Darbuotojų asmens duomenys gali būti tvarkomi su darbo santykiais susijusiame kontekste, jei tai būtina sprendimui dėl darbo santykių sukūrimo priimti arba, sukūrus darbo santykius, jiems įgyvendinti ar nutraukti arba darbuotojų interesų atstovavimo teisėms ir pareigoms, kylančioms iš įstatymo ar kolektyvinio sutartinio darbo santykių reguliavimo, įmonės ar tarnybos lygmens sutarties (kolektyvinės sutarties), įgyvendinti ar įvykdyti. <…>

<…>

4.   Asmens duomenis, įskaitant darbuotojų specialių kategorijų asmens duomenis su darbo santykiais susijusiame kontekste, leidžiama tvarkyti remiantis kolektyvinėmis sutartimis. Tam derybų šalys privalo laikytis [BDAR] 88 straipsnio 2 dalyje nurodytų reikalavimų.“

13

Ieškovas pagrindinėje byloje yra pagal Vokietijos teisę įsteigtos bendrovės – atsakovės pagrindinėje byloje – darbuotojas ir pirmininkauja šioje bendrovėje įsteigtai darbo tarybai.

14

Iš pradžių ši bendrovė tam tikrus savo darbuotojų asmens duomenis tvarkė naudodama programinę įrangą SAP (toliau – SAP programinė įranga), be kita ko, apskaitos tikslais, ir su savo darbo taryba šiuo klausimu sudarė kelis įmonės lygmens susitarimus.

15

2017 m. D įmonių grupė, kuriai priklauso atsakovė pagrindinėje byloje (toliau – D grupė), visoje šioje grupėje įdiegė Workday programinę įrangą (toliau – Workday programinė įranga), veikiančią debesijoje (angl. cloud), kaip vienintelę informacijos, susijusios su darbuotojais, tvarkymo sistemą. Šiomis aplinkybėmis atsakovė pagrindinėje byloje perdavė įvairius savo darbuotojų asmens duomenis iš SAP programinės įrangos į Jungtinėse Amerikos Valstijose esančios D grupės patronuojančiosios bendrovės serverį.

16

2017 m. liepos 3 d. atsakovė pagrindinėje byloje ir jos darbo taryba sudarė sutartį dėl Workday programinės įrangos įdiegimo toleravimo (toliau – įmonės lygmens susitarimas dėl toleravimo), kuria, be kita ko, buvo uždrausta per testavimo etapą šią programinę įrangą naudoti žmogiškųjų išteklių valdymo tikslais, kaip antai darbuotojo vertinimui. Pagal šios sutarties 2 priedą vienintelės duomenų, kurie galėjo būti perduoti siekiant papildyti programinę įrangą Workday, kategorijos buvo D grupės darbuotojui suteiktas numeris, jo pavardė, vardas, telefono numeris, darbo pradžios D grupėje data, darbo vieta, atitinkamos bendrovės pavadinimas ir darbinis telefono numeris bei elektroninio pašto adresas. Tos sutarties galiojimas buvo pratęstas iki galutinio 2019 m. sausio 23 d. sudaryto įmonės lygmens susitarimo įsigaliojimo.

17

Šiomis aplinkybėmis ieškovas pagrindinėje byloje pateikė Arbeitsgericht (Darbo teismas, Vokietija), o vėliau – Landesarbeitsgericht (Apygardos darbo teismas, Vokietija), turintiems teritorinę jurisdikciją, prašymus leisti susipažinti su tam tikra informacija, ištrinti su juo susijusius duomenis ir priteisti kompensaciją. Jis, be kita ko, nurodė, kad atsakovė pagrindinėje byloje į patronuojančios bendrovės serverį perdavė su juo susijusius asmens duomenis, dalis šių duomenų nebuvo paminėti įmonės lygmens susitarime dėl toleravimo, visų pirma jo asmeniniai kontaktiniai duomenys, jo darbo sutarties ir atlyginimo detalės, socialinio draudimo ir mokesčių mokėtojo registracijos numeriai, pilietybė ir civilinė būklė.

18

Nepatenkinus jo visų reikalavimų, ieškovas pagrindinėje byloje kreipėsi į Bundesarbeitsgericht (Federalinis darbo teismas, Vokietija), kuris yra prašymą priimti prejudicinį sprendimą pateikęs teismas. Vienintelis dar neišnagrinėtas reikalavimas yra ieškovo pagal BDAR pateiktas reikalavimas atlyginti neturtinę žalą, kurią jis tariamai patyrė dėl neteisėto jo asmens duomenų tvarkymo naudojant Workday programinę įrangą laikotarpiu nuo pirmos šio reglamento taikymo dienos, t. y. 2018 m. gegužės 25 d., iki 2019 m. pirmojo ketvirčio pabaigos.

19

Dėl šio duomenų tvarkymo neteisėtumo ieškovas pagrindinėje byloje teigia, pirma, kad jis nebuvo būtinas nei darbo santykių, dėl kurių atsakovė pagrindinėje byloje naudojo SAP programinę įrangą, tikslais, nei bandant programinę įrangą Workday, nes tam būtų pakakę naudoti fiktyvius duomenis ir būtų užtikrinta, kad D grupėje nebūtų prieinami jokie tikri duomenys. Antra, net darant prielaidą, kad įmonės lygmens susitarimas dėl toleravimo gali būti tinkamas pagrindas minėtam duomenų tvarkymui, pažymėtina, kad joje numatytas leidimas buvo viršytas, nes atsakovė perdavė kitus duomenis nei numatytieji tos sutarties 2 priede. Galiausiai pareiga įrodyti, kad minėtos atsakovės veiksmai atitinka BDAR, tenka jai pačiai.

20

Atsakovė pagrindinėje byloje teigia, kad nagrinėjamas duomenų tvarkymas atitinka BDAR reikalavimus, kad įrodinėjimo pareiga tenka ieškovui pagrindinėje byloje ir kad jis neįrodė nei neturtinės žalos buvimo, nei priežastinio ryšio tarp bet kokio šio reglamento pažeidimo ir nurodytos žalos.

21

Prašymą priimti prejudicinį sprendimą pateikęs teismas mano, kad ieškovo pagrindinėje byloje ginčijamos operacijos patenka į BDAR materialinę taikymo sritį, nes tai yra šio „duomenų subjekto“„asmens duomenų tvarkymas“, kaip tai suprantama pagal šio reglamento 4 straipsnio 1 ir 2 punktus. Be to, jis nurodo, kad atsakovė pagrindinėje byloje yra „duomenų valdytoja“, kaip tai suprantama pagal minėto reglamento 4 straipsnio 7 punktą. Dėl šio reglamento taikymo srities laiko atžvilgiu jis pabrėžia, kad, žinoma, duomenų tvarkymas prasidėjo prieš pradedant taikyti šį teisės aktą, tačiau jis vis dėlto buvo tęsiamas ir pradėjus taikyti reglamentą, nes kelis kartus buvo pratęstas pradinio įmonės lygmens susitarimo dėl toleravimo galiojimas.

22

Šiomis aplinkybėmis prašymą priimti prejudicinį sprendimą pateikusiam teismui kyla klausimas, pirma, ar nacionalinės teisės norma, darbo santykių tikslais reglamentuojanti asmens duomenų tvarkymą, kurioje iš esmės numatyta, kad duomenų tvarkymas, remiantis kolektyvinėmis sutartimis yra teisėtas, jeigu laikomasi BDAR 88 straipsnio 2 dalies, kaip ir BDSG 26 straipsnio 4 dalies, yra suderinama su šiuo reglamentu, ar vis dėlto šiuo tikslu toks duomenų tvarkymas taip pat turi atitikti kitas reglamento nuostatas. Tas teismas linkęs manyti, kad kai darbuotojų asmens duomenų tvarkymas reglamentuojamas „kolektyvine sutartimi“, kaip tai suprantama pagal BDAR 88 straipsnį, toks tvarkymas negali nukrypti nuo reikalavimų, kylančių ne tik iš šio 88 straipsnio, bet ir iš šio reglamento 5 straipsnio, 6 straipsnio 1 dalies ir 9 straipsnio 1 ir 2 dalių, visų pirma dėl šiuose trijuose straipsniuose numatyto duomenų tvarkymo būtinumo kriterijaus.

23

Antra, jei į pirmąjį klausimą būtų atsakyta teigiamai, tas teismas klausia, ar tokios kolektyvinės sutarties šalys turi diskreciją, kuriai turėtų būti taikoma tik ribota teisminė kontrolė, kiek tai susiję su atitinkamo duomenų tvarkymo būtinumo vertinimu, kaip tai suprantama pagal BDAR 5 straipsnį, 6 straipsnio 1 dalį ir 9 straipsnio 1 ir 2 dalis. Jo nuomone, šį teiginį galima pagrįsti argumentu, kad šios šalys labai artimos įmonės gyvenimui ir paprastai pasiekė teisingą esamų interesų pusiausvyrą. Vis dėlto Teisingumo Teismo jurisprudencija, susijusi su kitais Sąjungos teisės aktais, visų pirma 1991 m. vasario 7 d. Sprendimas Nimz (C‑184/89, EU:C:1991:50) ir 2003 m. kovo 20 d. Sprendimas Kutz-Bauer (C‑187/00, EU:C:2003:168), veikiau leidžia manyti, kad kolektyvinės sutarties nuostatos, patenkančios į Sąjungos teisės taikymo sritį, negali jai prieštarauti ir kad prireikus tokių nuostatų reikėtų netaikyti.

24

Trečia, jei atsakymas į antrąjį klausimą būtų teigiamas, prašymą priimti prejudicinį sprendimą pateikęs teismas nori sužinoti vertinimo kriterijus, kuriais prireikus turėtų apriboti teisminę kontrolę.

25

Galiausiai ketvirtasis–šeštasis to teismo iš pradžių pateikti klausimai, kuriuos jis vėliau atsiėmė, iš esmės buvo susiję su teise į neturtinės žalos atlyginimą pagal BDAR 82 straipsnio 1 dalį.

26

Šiomis aplinkybėmis Bundesarbeitsgericht (Federalinis darbo teismas) nutarė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui šiuos prejudicinius klausimus:

27

2024 m. sausio 24 d. Teisingumo Teismo pirmininko sprendimu prašymą priimti prejudicinį sprendimą pateikusiam teismui buvo įteikti 2023 m. gegužės 4 d. Sprendimas Österreichische Post (Neturtinė žala, susijusi su asmens duomenų tvarkymu) (C‑300/21, EU:C:2023:370), 2023 m. gruodžio 14 d. Sprendimas Natsionalna agentsia za prihodite (C‑340/21, EU:C:2023:986), 2023 m. gruodžio 14 d. Sprendimas Gemeinde Ummendorf (C‑456/22, EU:C:2023:988), 2023 m. gruodžio 21 d. Sprendimas Krankenversicherung Nordrhein (C‑667/21, EU:C:2023:1022), taip pat 2024 m. sausio 25 d. Sprendimas MediaMarktSaturn (C‑687/21, EU:C:2024:72), kad šis patikslintų, ar, atsižvelgdamas į šiuos sprendimus, jis nori palikti savo prašymą priimti prejudicinį sprendimą, konkrečiai kalbant, dėl ketvirtojo–šeštojo klausimų.

28

2024 m. kovo 15 d. Teisingumo Teismo pirmininko sprendimu bylos nagrinėjimas buvo sustabdytas pagal Teisingumo Teismo procedūros reglamento 55 straipsnio 1 dalies b punktą, kol bus gautas atsakymas į pateiktą klausimą.

29

Rašytiniu pranešimu, kurį Teisingumo Teismas gavo 2024 m. gegužės 8 d., prašymą priimti prejudicinį sprendimą pateikęs teismas pranešė, kad atsiima savo ketvirtąjį–šeštąjį klausimus, tačiau palieka pirmąjį–trečiąjį klausimus.

30

Atsakovė pagrindinėje byloje teigia, kad pirmasis–trečiasis klausimai yra nepriimtini, nes nėra svarbūs siekiant išspręsti prašymą priimti prejudicinį sprendimą pateikusio teismo nagrinėjamą ginčą. Iš esmės ji teigia, kad ieškovas pagrindinėje byloje ginčija ne šioje byloje taikytinos įmonės lygmens susitarimo turinį, o tai kad nagrinėjamu duomenų tvarkymu buvo viršytos šios sutarties ribos, todėl šis ginčas nėra susijęs su BDAR 88 straipsnio reikalavimų, taikomų tokiai sutarčiai, pažeidimu. Be to, šie klausimai yra hipotetiniai, nes jais siekiama leisti tam teismui patikrinti tokio duomenų tvarkymo teisėtumą apskritai, o ne tik atsižvelgiant į ieškovo pagrindinėje byloje ginčijamus elementus.

31

Pagal suformuotą jurisprudenciją tik bylą nagrinėjantis nacionalinis teismas, atsakingas už sprendimo priėmimą, atsižvelgdamas į konkrečias bylos aplinkybes turi įvertinti tai, ar jo sprendimui priimti būtinas prejudicinis sprendimas, ir Teisingumo Teismui pateikiamų klausimų, kuriems taikoma svarbos prezumpcija, svarbą. Vadinasi, kai pateikiamas klausimas susijęs su Sąjungos teisės nuostatos išaiškinimu ar galiojimu, Teisingumo Teismas iš principo turi priimti sprendimą dėl šio klausimo, nebent būtų akivaizdu, kad prašomas išaiškinimas visiškai nesusijęs su ginčo pagrindinėje byloje aplinkybėmis ar dalyku, problema hipotetinė arba Teisingumo Teismas neturi informacijos apie faktines ir teisines aplinkybes, būtinas tam, kad naudingai atsakytų į tą klausimą (2024 m. birželio 20 d. Sprendimo Scalable Capital, C‑182/22 ir C‑189/22, EU:C:2024:531 18 punktas ir jame nurodyta jurisprudencija).

32

Nagrinėjamu atveju pirmasis–trečiasis klausimai yra susiję su kelių Sąjungos teisės nuostatų, konkrečiai BDAR 88 straipsnio, siejamo su jo 5, 6 ir 9 straipsniais, aiškinimu. Be to, prašymą priimti prejudicinį sprendimą pateikęs teismas teigia, kad šioje byloje taikytiname įmonės lygmens susitarime, kurį jis laiko „kolektyvine sutartimi“, kaip tai suprantama pagal šį reglamentą, nustatytos ribos buvo viršytos ir kad pagrindinėje byloje nagrinėjamas asmens duomenų tvarkymas turi būti nagrinėjamas kaip visuma, nes jis gali būti neteisėtas atsižvelgiant tiek į BDSG 26 straipsnio 1 dalies, tiek į jo 4 dalies nuostatas, kuriose aiškiai daroma nuoroda į BDAR 88 straipsnį.

33

Vadinasi, prašymas priimti prejudicinį sprendimą yra priimtinas.

34

Pirmuoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar BDAR 88 straipsnio 1 ir 2 dalys turi būti aiškinamos taip, kad nacionalinė nuostata, kurios dalykas yra asmens duomenų tvarkymas darbo santykių tikslais ir kuri buvo priimta pagal šio reglamento 88 straipsnio 1 dalį, turi įpareigoti jos adresatus laikytis reikalavimų, kylančių ne tik iš šio reglamento 88 straipsnio 2 dalies, bet ir iš jo 5 straipsnio, 6 straipsnio 1 dalies ir 9 straipsnio 1 ir 2 dalių.

35

Šiuo klausimu reikia priminti, kad BDAR siekiama užtikrinti iš esmės visišką nacionalinės teisės aktų dėl asmens duomenų apsaugos suderinimą. Vis dėlto kai kuriomis šio reglamento nuostatomis valstybėms narėms atveriama galimybė numatyti papildomas, griežtesnes ar leidžiančias nukrypti nacionalines nuostatas, kurios suteikia joms diskreciją dėl galimo šių nuostatų įgyvendinimo būdo („leidžiančiosios nuostatos“) (šiuo klausimu žr. 2023 m. kovo 30 d. Sprendimo Hauptpersonalrat der Lehrerinnen und Lehrer (C‑34/21, EU:C:2023:270, 51 punktą ir jame nurodytą jurisprudenciją).

36

BDAR 88 straipsnyje dėl asmens duomenų tvarkymo su darbo santykiais susijusiame kontekste nustatytos sąlygos, kuriomis valstybės narės gali teisės aktuose arba kolektyvinėse sutartyse numatyti „konkretesnes taisykles“, kad būtų užtikrinta su tokiu tvarkymu susijusių darbuotojų teisių ir laisvių apsauga. Šio reglamento 155 konstatuojamojoje dalyje, be kita ko, nurodyta, kad sąvoka „kolektyvinė sutartis“, kaip ji suprantama pagal šį 88 straipsnį, apima „darbo sutartis [įmonės lygmens susitarimus]“, kaip antai nagrinėjama pagrindinėje byloje. Be to, minėto reglamento 5, 6 ir 9 straipsniuose atitinkamai įtvirtinti principai, susiję su asmens duomenų tvarkymu, šio tvarkymo teisėtumo sąlygomis ir specialių kategorijų duomenų tvarkymu.

37

Pagal suformuotą jurisprudenciją kai Sąjungos teisės nuostatoje, kaip antai BDAR 88 straipsnyje, aiškiai nedaroma nuoroda į valstybių narių teisę, kuri padėtų nustatyti šios nuostatos prasmę ir apimtį, jos reikšmė visoje Sąjungoje paprastai turi būti aiškinama savarankiškai ir vienodai; taip aiškinti reikia, be kita ko, atsižvelgiant į atitinkamos nuostatos formuluotę, siekiamus tikslus ir kontekstą (pagal analogiją žr. 2023 m. gruodžio 14 d. Sprendimo Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, 23 punktą ir jame nurodytą jurisprudenciją).

38

Pirma, iš BDAR 88 straipsnio formuluotės matyti, jog jo 1 dalyje reikalaujama, kad pagal šią nuostatą leidžiamos „konkretesnės taisyklės“ turėtų atskirą reguliuojamai sričiai būdingą norminį turinį, kuris skirtųsi nuo bendrųjų šio reglamento taisyklių, o jo 2 dalyje, atsižvelgiant į šiuo reglamentu siekiamą suderinimo tikslą, apibrėžta valstybių narių, kurios ketina priimti nacionalines taisykles remdamosi 1 dalimi, diskrecija (šiuo klausimu žr. 2023 m. kovo 30 d. Sprendimo Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, 61, 65, 72 ir 75 punktus).

39

Vis dėlto šioje formuluotėje aiškiai nenurodyta, ar „konkretesn[ėmis] taisykl[ėmis]“, kurias tokiu būdu valstybės narės gali priimti, turi būti siekiama laikytis tik BDAR 88 straipsnio 2 dalyje nustatytų reikalavimų, ar ir kitų šio reglamento nuostatų reikalavimų, taigi pagal tokias taisykles atliekamas asmens duomenų tvarkymas turėtų atitikti ir tas kitas šio reglamento nuostatas.

40

Antra, dėl BDAR 88 straipsnio tikslų Teisingumo Teismas jau yra nusprendęs, kad šis straipsnis yra „leidžiančioji nuostata“ ir kad jo 1 dalyje valstybėms narėms suteikta galimybė, atsižvelgiant į tokio duomenų tvarkymo ypatumus, paaiškinama, be kita ko, pavaldumo ryšiu tarp darbuotojo ir darbdavio. Jis patikslino, kad šio reglamento 88 straipsnio 2 dalyje nustatytos sąlygos atspindi valstybėms narėms paliktos diskrecijos ribas, turint omenyje, kad iš tokios diskrecijos kylantis suderinimo nebuvimas gali būti leidžiamas tik tuo atveju, kai esami skirtumai papildomi konkrečiomis ir tinkamomis garantijomis, kuriomis siekiama apsaugoti darbuotojų teises ir laisves tvarkant jų asmens duomenis su darbo santykiais susijusiame kontekste (šiuo klausimu žr. 2023 m. kovo 30 d. Sprendimo Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, 52, 53 ir 73 punktus).

41

Be to, Teisingumo Teismas pabrėžė, kad kai valstybės narės naudojasi BDAR 88 straipsnyje joms suteikta galimybe, jos turi naudotis savo diskrecija laikydamosi šio reglamento nuostatose nustatytų sąlygų ir apribojimų, taigi turi priimti teisės aktus taip, kad nepakenktų šio reglamento turiniui ir tikslams, kuriais, be kita ko, siekiama užtikrinti aukšto lygio duomenų subjektų teisių ir laisvių apsaugą, kaip matyti iš jo 10 konstatuojamosios dalies. Vadinasi, taisyklėmis, kurias valstybė narė priima remdamasi šiuo 88 straipsniu, turi būti siekiama apsaugoti darbuotojų teises ir laisves tvarkant jų asmens duomenis (šiuo klausimu žr. 2023 m. kovo 30 d. Sprendimo Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, 54, 59, 62 ir 74 punktus).

42

Vis dėlto BDAR 88 straipsnis negali būti aiškinamas taip, kad „konkretesnių taisyklių“, kurias valstybės narės turi teisę priimti pagal šį straipsnį, tikslas ar pasekmė galėtų būti apeiti duomenų valdytojo ar net duomenų tvarkytojo pareigas, kylančias iš kitų šio reglamento nuostatų, nes priešingu atveju būtų pakenkta visiems šiems tikslams, ypač tikslui užtikrinti aukšto lygio darbuotojų apsaugą, kai jų asmens duomenys tvarkomi su darbo santykiais susijusiame kontekste.

43

Vadinasi, BDAR 88 straipsnio 1 ir 2 dalys turi būti aiškinamos taip, kad net ir tuo atveju, kai valstybės narės remiasi šiuo straipsniu siekdamos savo atitinkamose vidaus teisės sistemose įstatymais ar kolektyvinėmis sutartimis numatyti „konkretesnes taisykles“, turi būti tenkinami reikalavimai, kylantys iš kitų nuostatų, kurios konkrečiai nurodytos šiame klausime, t. y. šio reglamento 5 straipsnio, 6 straipsnio 1 dalies ir 9 straipsnio 1 ir 2 dalių. Tai visų pirma taikoma šiose nuostatose numatyto duomenų tvarkymo būtinumo kriterijaus, dėl kurio prašymą priimti prejudicinį sprendimą pateikęs teismas konkrečiai klausia, laikymuisi.

44

Trečia, BDAR 88 straipsnio kontekstas patvirtina šį aiškinimą.

45

BDAR 88 straipsnis yra jo IX skyriuje „Nuostatos, susijusios su konkrečiais duomenų tvarkymo atvejais“, o šio reglamento 5, 6 ir 9 straipsniai yra jo II skyriuje „Principai“, kuris yra bendresnio pobūdžio. Be to, iš 6 straipsnio, kurio 2 ir 3 dalyse aiškiai daroma nuoroda į šio IX skyriaus nuostatas, formuluotės aiškiai matyti, kad minėtame 6 straipsnyje numatytos teisėtumo sąlygos yra privalomos, taip pat kalbant apie „konkrečius <…> atvejus“, reglamentuojamus minėto IX skyriaus nuostatomis.

46

Be to, pagal suformuotą jurisprudenciją bet koks asmens duomenų tvarkymas turi atitikti šio reglamento II skyriuje įtvirtintus tokių duomenų tvarkymo principus ir paisyti jo III skyriuje numatytų duomenų subjekto teisių. Konkrečiai kalbant, jis turi atitikti šio reglamento 5 straipsnyje numatytus principus, susijusius su šių duomenų tvarkymu, ir jo 6 straipsnyje išvardytas duomenų tvarkymo teisėtumo sąlygas (šiuo klausimu žr. 2023 m. kovo 2 d. Sprendimo Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, 43 punktą ir 2024 m. liepos 11 d. Sprendimo Meta Platforms Ireland (Atstovaujamasis ieškinys), C‑757/22, EU:C:2024:598, 49 punktą ir jame nurodytą jurisprudenciją).

47

Konkrečiai dėl BDAR 88 straipsnio ir kitų šio reglamento nuostatų sąsajos Teisingumo Teismas, be kita ko, atsižvelgdamas į jo 8 konstatuojamąją dalį, pažymėjo, kad, nepaisant galimų „konkretesnių taisyklių“, kurias valstybės narės priima pagal minėto reglamento 88 straipsnio 1 dalį, bet koks asmens duomenų tvarkymas turi atitikti iš to paties reglamento II ir III skyrių nuostatų, visų pirma iš jo 5 ir 6 straipsnių, kylančias pareigas (šiuo klausimu žr. 2023 m. kovo 30 d. Sprendimo Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, 67–71 punktus).

48

BDAR 9 straipsnyje nustatytų pareigų taip pat turi būti laikomasi tvarkant asmens duomenis, kuriems taikomas šis reglamentas, įskaitant „konkretesnes taisykles“, priimtas pagal jo 88 straipsnio 1 dalį. Šis 9 straipsnis, kuriuo reglamentuojamas jame išvardytų specialių kategorijų duomenų tvarkymas, yra šio reglamento II skyriuje, kaip ir jo 5 ir 6 straipsniai, kurių reikalavimai, beje, gali būti derinami su reikalavimais, kylančiais iš 9 straipsnio (šiuo klausimu žr. 2023 m. gruodžio 21 d. Sprendimo Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, 73, 77–79 punktus). Be to, šis aiškinimas atitinka to paties 9 straipsnio tikslą užtikrinti didesnę apsaugą nuo duomenų tvarkymo, kuris dėl ypatingo tvarkomų duomenų jautrumo gali labai stipriai suvaržyti duomenų subjektų pagrindines teises (šiuo klausimu žr. 2024 m. spalio 4 d. Sprendimo Lindenapotheke, C‑21/23, EU:C:2024:846, 89 punktą ir jame nurodytą jurisprudenciją).

49

Taigi tuo atveju, kai valstybės narės teisėje numatytos „konkretesnės taisyklės“, kaip jos suprantamos pagal BDAR 88 straipsnio 1 dalį, šiose taisyklėse numatytas asmens duomenų tvarkymas turi atitikti ne tik šio straipsnio 1 ir 2 dalyse, bet ir šio reglamento 5, 6 ir 9 straipsniuose nustatytas sąlygas, kaip jos išaiškintos Teisingumo Teismo jurisprudencijoje.

50

Atsižvelgiant į tai, kas išdėstyta, į pirmąjį klausimą reikia atsakyti taip: BDAR 88 straipsnio 1 ir 2 dalys turi būti aiškinamos taip, kad nacionalinė nuostata, kurios dalykas yra asmens duomenų tvarkymas darbo santykių tikslais ir kuri buvo priimta pagal šio reglamento 88 straipsnio 1 dalį, turi įpareigoti jos adresatus laikytis reikalavimų, kylančių ne tik iš minėto reglamento 88 straipsnio 2 dalies, bet ir iš jo 5 straipsnio, 6 straipsnio 1 dalies ir 9 straipsnio 1 ir 2 dalių.

51

Antruoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar BDAR 88 straipsnio 1 dalis turi būti aiškinama taip, kad tuo atveju, kai kolektyvinė sutartis patenka į šios nuostatos taikymo sritį, šios sutarties šalių turima diskrecija nustatyti, ar asmens duomenų tvarkymas yra „būtinas“, kaip tai suprantama pagal šio reglamento 5 straipsnį, 6 straipsnio 1 dalį ir 9 straipsnio 1 ir 2 dalis, trukdo nacionaliniam teismui vykdyti visapusišką teisminę kontrolę šiuo klausimu.

52

Visų pirma reikia priminti, kad, kaip pažymėta šio sprendimo 41 punkte, valstybės narės, kurios naudojasi BDAR 88 straipsnyje joms suteikta galimybe, turi naudotis savo diskrecija laikydamosi šio reglamento nuostatose nustatytų sąlygų ir apribojimų ir taip užtikrinti, kad „konkretesnės taisyklės“, kurias jos įtraukia į savo vidaus teisės sistemą, nepakenktų šio reglamento turiniui ir tikslams. Šiomis taisyklėmis, be kita ko, turi būti siekiama užtikrinti aukštą darbuotojų pagrindinių teisių ir laisvių apsaugos lygį tvarkant jų asmens duomenis su darbo santykiais susijusiame kontekste.

53

Dėl teisminės kontrolės, kuri gali būti vykdoma tokių konkretesnių taisyklių atžvilgiu, apimties Teisingumo Teismas jau yra nusprendęs, kad nacionalinis teismas, į kurį kreiptasi (jis vienintelis turi jurisdikciją aiškinti nacionalinę teisę), turi įvertinti, ar minėtos taisyklės tikrai atitinka BDAR 88 straipsnyje nustatytas sąlygas ir apribojimus. Pagal Sąjungos teisės viršenybės principą tuo atveju, kai tas teismas konstatuoja, kad atitinkamos nacionalinės teisės nuostatos neatitinka šių sąlygų ir apribojimų, jis turi netaikyti minėtų nuostatų. Nesant konkretesnių taisyklių, atitinkančių šio 88 straipsnio reikalavimus, asmens duomenų tvarkymui su darbo santykiais susijusiame kontekste tiesiogiai taikomos šio reglamento nuostatos (šiuo klausimu žr. 2023 m. kovo 30 d. Sprendimo Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, 80, 82–84 ir 89 punktus).

54

Šie argumentai taip pat taikomi BDAR 88 straipsnyje nurodytos kolektyvinės sutarties, kaip antai nagrinėjamos pagrindinėje byloje, šalims. Iš tiesų, kaip savo rašytinėse pastabose iš esmės pažymėjo Europos Komisija, kolektyvinės sutarties šalys turi turėti tokią pačią diskreciją, visų pirma kiek tai susiję su tokios sutarties ribomis, kaip valstybėms narėms suteikta diskrecija, nes šio 88 straipsnio 1 dalyje nurodytos „konkretesnės taisyklės“, be kita ko, gali išplaukti iš kolektyvinių sutarčių. Šio reglamento 155 konstatuojamojoje dalyje taip pat nurodyta, kad tokios taisyklės gali būti nustatytos valstybių narių teisėje arba kolektyvinėse sutartyse, įskaitant „darbo sutartis [įmonės lygmens susitarimus]“.

55

Taigi, nepaisant diskrecijos, kuri pagal BDAR 88 straipsnį suteikiama kolektyvinės sutarties šalims, tokios sutarties teisminė kontrolė, kaip ir pagal šią nuostatą priimtos nacionalinės teisės normos kontrolė, turi galėti būti be jokių apribojimų sutelkta į tai, ar laikomasi visų šio reglamento nuostatose nustatytų asmens duomenų tvarkymo sąlygų ir apribojimų.

56

Be to, reikia patikslinti, kad tokia teismine kontrole turi būti konkrečiai siekiama patikrinti, ar tokių duomenų tvarkymas yra „būtinas“, kaip tai suprantama pagal BDAR 5, 6 ir 9 straipsnius. Kitaip tariant, jo 88 straipsnis negali būti aiškinamas taip, kad kolektyvinės sutarties šalys turi diskreciją, joms leidžiančią nustatyti „konkretesnes taisykles“, dėl kurių minėtą būtinumo reikalavimą būtų galima taikyti ne taip griežtai ar net jo nepaisyti.

57

Žinoma, kaip iš esmės pažymėjo prašymą priimti prejudicinį sprendimą pateikęs teismas ir Airija, kolektyvinės sutarties šalys paprastai gali tinkamai įvertinti, ar duomenų tvarkymas yra būtinas konkrečiame profesiniame kontekste, nes šios šalys paprastai turi daug žinių apie poreikius užimtumo srityje ir atitinkamame veiklos sektoriuje. Vis dėlto toks vertinimo procesas neturi lemti to, kad minėtos šalys pasiektų kompromisą, įtakotą ekonominių ar su patogumu susijusių priežasčių, kuris galėtų nepagrįstai pakenkti BDAR tikslui užtikrinti aukšto lygio darbuotojų pagrindinių laisvių ir teisių apsaugą tvarkant jų asmens duomenis.

58

Taigi BDAR 88 straipsnio aiškinimas, kad nacionaliniai teismai negali vykdyti išsamios teisminės kolektyvinės sutarties kontrolės, konkrečiai siekdami patikrinti, ar šios sutarties šalių pateikti pateisinimai pagrindžia iš jos kylantį asmens duomenų tvarkymo būtinumą, būtų nesuderinamas su šiuo reglamentu, atsižvelgiant į šio sprendimo pirmesniame punkte primintą apsaugos tikslą.

59

Galiausiai reikia pažymėti, kad jeigu nacionalinis teismas, į kurį kreiptasi, atlikęs kontrolę konstatuotų, kad tam tikros atitinkamos kolektyvinės sutarties nuostatos neatitinka BDAR nustatytų sąlygų ir apribojimų, tuomet jis, remdamasis šio sprendimo 53 punkte nurodyta jurisprudencija, privalėtų šių nuostatų netaikyti.

60

Atsižvelgiant į tai, kas išdėstyta, į antrąjį klausimą reikia atsakyti taip: BDAR 88 straipsnio 1 dalis turi būti aiškinama taip, kad tuo atveju, kai kolektyvinė sutartis patenka į šios nuostatos taikymo sritį, šios sutarties šalių turima diskrecija nustatyti, ar asmens duomenų tvarkymas yra „būtinas“, kaip tai suprantama pagal šio reglamento 5 straipsnį, 6 straipsnio 1 dalį ir 9 straipsnio 1 ir 2 dalis, netrukdo nacionaliniam teismui vykdyti visapusiškos teisminės kontrolės šiuo klausimu.

61

Atsižvelgiant į antrąjį klausimą pateiktą atsakymą, į trečiąjį klausimą atsakyti nereikia.

62

Kadangi šis procesas pagrindinės bylos šalims yra vienas iš etapų prašymą priimti prejudicinį sprendimą pateikusio teismo nagrinėjamoje byloje, bylinėjimosi išlaidų klausimą turi spręsti tas teismas. Išlaidos, susijusios su pastabų pateikimu Teisingumo Teismui, išskyrus tas, kurias patyrė minėtos šalys, nėra atlygintinos.

Remdamasis šiais motyvais, Teisingumo Teismas (aštuntoji kolegija) nusprendžia: