—

za Worten – Equipamentos para o Lar SA, D. Abrunhosa e Sousa in J. Cruz Ribeiro, odvetnika,

—

za portugalsko vlado L. Inez Fernandes in C. Vieira Guerra, agenta,

—

za češko vlado M. Smolek, agent,

—

za italijansko vlado G. Palmieri, agentka, skupaj z M. Russo, avvocato dello Stato,

—

za madžarsko vlado M. Fehér ter K. Szíjjártó in Á. Szilágyi, agenti,

—

za Evropsko komisijo P. Costa de Oliveira in B. Martenczuk, agenta,

1

Predlog za sprejetje predhodne odločbe se nanaša na razlago členov 2 in 17(1) Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 15, str. 355).

2

Ta predlog je bil vložen v okviru spora med Worten – Equipamentos para o Lar SA (v nadaljevanju: Worten), družbo s sedežem v Viseu (Portugalska), in Autoridade para as Condições de Trabalho (ACT) (organ za nadzor delovnih razmer, v nadaljevanju: ACT) zaradi zahteve slednje za dostop do evidence delovnega časa te družbe.

3

Člen 2 Direktive 95/46, naslovljen „Opredelitev pojmov“, določa:

„V tej direktivi:

[…]“

4

Člen 3 te direktive, naslovljen „Področje uporabe“, določa:

„1.   Ta direktiva se uporablja za obdelavo osebnih podatkov v celoti ali delno z avtomatskimi sredstvi in za drugačno obdelavo kakor z avtomatskimi sredstvi za osebne podatke, ki sestavljajo del zbirke ali so namenjeni sestavljanju dela zbirke.

2.   Ta direktiva se ne uporablja za obdelavo osebnih podatkov:

5

Člen 6 navedene direktive, ki zadeva načela glede kakovosti podatkov, določa:

„1.   Države članice določijo, da morajo biti osebni podatki:

[…]

[…]

2.   Upravljavec mora zagotoviti, da se ravna v skladu z odstavkom 1.“

6

Člen 7 iste direktive, ki zadeva načela glede zakonitosti obdelave podatkov, določa:

„Države članice določijo, da se lahko osebni podatki obdelujejo samo, če:

[…]

[…]

[…]“

7

Člen 17 Direktive 95/46, naslovljen „Varnost obdelave“, določa:

„1.   Države članice določijo, da mora upravljavec izvajati ustrezne tehnične in organizacijske ukrepe za zavarovanje osebnih podatkov pred slučajnim ali nezakonitim uničenjem ali slučajno izgubo, predelavo, nepooblaščenim posredovanjem ali dostopom, predvsem kadar obdelava vključuje prenos podatkov po omrežju, ter proti vsem drugim nezakonitim oblikam obdelave.

Taki ukrepi ob upoštevanju stanja tehnologije in stroškov za njihovo izvajanje zagotavljajo raven zaščite, ustrezno tveganju, ki ga predstavljata obdelava in narava podatkov, ki jih je potrebno varovati.

[…]“

8

Člen 1 Direktive 2003/88/ES Evropskega parlamenta in Sveta z dne 4. novembra 2003 o določenih vidikih organizacije delovnega časa (UL, posebna izdaja v slovenščini, poglavje 5, zvezek 4, str. 381), naslovljen „Namen in področje uporabe“, določa:

„1.   Ta direktiva določa minimalne varnostne in zdravstvene zahteve pri organizaciji delovnega časa.

2.   Ta direktiva se nanaša na:

[…]“

9

Člen 6 te direktive, naslovljen „Najdaljši tedenski delovni čas“, določa:

„Države članice sprejmejo potrebne ukrepe, s katerimi v skladu s potrebo po varovanju zdravja in varnosti delavcev zagotovijo, da:

[…]

10

Člen 22(1), prvi pododstavek, navedene direktive določa:

„Država članica ima možnost, da ne uporabi člena 6, pri čemer pa upošteva splošna načela varovanja zdravja in varnosti delavcev pod pogojem, da sprejme potrebne ukrepe, s katerimi se zagotovi, da:

[…]

[…]“

11

Člen 202 zakonika o delu (codigo do trabalho), potrjen z zakonom št. 7/2009 z dne 12. februarja 2009, pod naslovom „Evidenca delovnega časa“ določa:

[…]

12

Zakon št. 107/2009 z dne 14. Septembra 2009 med drugim vsebuje to določbo:

„Člen 10 –

Inšpekcijski postopki

1.   Inšpektor za delo je v okviru opravljanja svojih nalog – brez poseganja v določbe specifične zakonodaje – upravičen:

[…]

2.   Inšpektor za socialno varnost je v okviru opravljanja svojih nalog – brez poseganja v določbe specifične zakonodaje – upravičen:

[…]“

13

ACT je 9. marca 2010 v prostorih družbe Worten Viseu opravil inšpekcijski pregled, na podlagi katerega je bil sestavljen zapisnik, iz katerega izhaja:

14

Na podlagi zahteve za predložitev teh podatkov je bila 15. marca 2010 ACT predložena evidenca delovnega časa, ki je vsebovala zakonsko zahtevane podatke.

15

Z odločbo z dne 14. marca 2012 je ACT menil, da je družba Worten ravnala v nasprotju s predpisi o beleženju delovnega časa, določenimi v členu 202 zakonika o delu, in sicer zato, ker ta družba ni omogočila, da bi ACT v navedenih prostorih družbe imel takojšen vpogled v evidenco delovnega časa delavcev, zaposlenih v teh prostorih, s čimer je storila posebno hudo upravno kršitev delovnega prava. Teža kršitve je odraz dejstva, da je na podlagi evidence delovnega časa mogoče neposredno in hitro ugotoviti skladnost organiziranosti dejavnosti podjetja s predpisi o delovnem času. Posledično je ACT družbi Worten naložil globo v višini 2000 EUR.

16

Družba Worten je zoper to odločbo pri tribunal do trabalho de Viseu vložila tožbo za razglasitev ničnosti.

17

V teh okoliščinah je tribunal do trabalho de Viseu odločilo prekiniti postopek in Sodišču predložiti ta vprašanja za predhodno odločanje:

18

Predložitveno sodišče s prvim vprašanjem sprašuje, ali je treba člen 2 Direktive 95/46 […] razlagati tako, da evidenca delovnega časa, kakršna je v zadevi v glavni stvari, ki za vsakega delavca navede, kdaj začne in konča delavnik, ter odmor ali čas, ki v delavnik nista vključena, sodi pod pojem „osebni podatki“ v smislu te določbe.

19

V zvezi s tem zadošča ugotoviti, da – kot so predlagale vse stranke, ki so predložile pisna stališča – podatki iz evidence delovnega časa, kakršna je obravnavana v postopku v glavni stvari, ki se za vsakega delavca nanašajo na dnevni čas dela in čas premora, pomenijo osebne podatke v smislu člena 2(a) Direktive 95/46, ker gre za „informacijo, ki se nanaša na določeno ali določljivo fizično osebo“ (glej v tem smislu sodbe z dne 20. maja 2003 v združenih zadevah Österreichischer Rundfunk in drugi, C-465/00, C-138/01 in C-139/01, Recueil, str. I- 4989, točka 64; z dne 16. decembra 2008 v zadevi Huber, C-524/06, ZOdl., str. I-9705, točka 43, in z dne 7. maja 2009, Rijkeboer v zadevi C-553/07, ZOdl., str. I-3889, točka 42).

20

Zbiranje, beleženje, urejanje, shranjevanje, vpogled, uporaba takih podatkov s strani delodajalca in njihovo posredovanje s strani slednjega nacionalnim organom, pristojnim za nadzor delovnih razmer, pomenijo torej „obdelavo osebnih podatkov“ v smislu člena 2(b) Direktive 95/46 (glej v tem smislu zlasti zgoraj navedeni sodbi Österreichischer Rundfunk in drugi, točka 64, in Huber, točka 43).

21

Poleg tega je treba natančneje pojasniti, ker je v obravnavani zadevi v glavni stvari ugotovljeno, da ta obdelava osebnih podatkov poteka z avtomatskimi sredstvi in da se ne uporabi nobeno od odstopanj iz člena 3(2) Direktive 95/46, navedena obdelava sodi na področje uporabe te direktive.

22

Zato je treba na prvo vprašanje odgovoriti, da je treba člen 2 Direktive 95/46 razlagati tako, da evidenca delovnega časa, kakršna je v zadevi v glavni stvari, ki za vsakega delavca navede, kdaj začne in konča delavnik, ter odmor ali čas, ki v delavnik nista vključena, sodi pod pojem „osebni podatki“ v smislu te določbe.

23

Predložitveno sodišče z drugim in tretjim vprašanjem, ki ju je treba obravnavati skupaj, v bistvu sprašuje, ali je člen 17(1) Direktive 95/46 treba razlagati tako, da mora vsaka država članica določiti ustrezne tehnične in organizacijske ukrepe za zavarovanje osebnih podatkov pred slučajnim ali nezakonitim uničenjem ali slučajno izgubo, predelavo, nepooblaščenim posredovanjem ali dostopom, in ali lahko država članica, ki ni sprejela takih ukrepov, v primeru pritrdilnega odgovora sankcionira delodajalca, ki je kot upravljavec teh podatkov sprejel sistem omejenega dostopa do teh podatkov, ki nacionalnemu organu, pristojnemu za nadzor nad delovnimi razmerami, ni omogočal takojšnjega dostopa.

24

Opozoriti je treba, da morajo v skladu s členom 17(1) Direktive 95/46, ki se nanaša na varnost obdelave, države članice določiti, da mora upravljavec osebnih podatkov izvajati tehnične in organizacijske ukrepe, ki ob upoštevanju stanja tehnologije in stroškov za njihovo izvajanje zagotavljajo raven zaščite, ustrezno tveganju, ki ga predstavljata navedena obdelava in narava podatkov, ki jih je potrebno varovati (glej v tem smislu zgoraj navedeno sodbo Rijkeboer, točka 62).

25

Iz navedenega izhaja, da – v nasprotju s predpostavko drugega in tretjega vprašanja – navedeni člen 17(1) državam članicam ne nalaga – razen, če so v vlogi upravljavca – da sprejmejo tehnične in organizacijske ukrepe, saj ima obveznost sprejetja takih ukrepov zgolj upravljavec, torej v obravnavani zadevi delodajalec. Ta določba nasprotno državam članicam nalaga, da v svoja nacionalna prava sprejmejo določbo, ki določa takšno obveznost.

26

Poleg tega iz predložitvene odločbe v ničemer ne izhaja, da naj bi bili zadevni podatki iz zadeve v glavni stvari predmet slučajnega ali nezakonitega uničenja ali slučajne izgube, predelave, nepooblaščenega posredovanja ali dostopa oziroma kakšne druge nezakonite obravnave v smislu člena 17(1) Direktive 95/46. Nasprotno, iz spisa, predloženega Sodišču, izhaja, da v tej zadevi ni sporno, da nacionalno pravo nacionalnim organom, pristojnim za nadzor delovnih razmer, omogoča dostop do teh podatkov.

27

Vendar družba Worten v svojih pisnih stališčih trdi, da je obveznost dati na voljo evidenco delovnega časa z namenom takojšnjega vpogleda, določena v členu 202(1) zakonika o delu, v praksi nezdružljiva z obveznostjo vzpostaviti ustrezen sistem varstva osebnih podatkov iz te evidence. Takšna obveznost naj bi namreč pomenila, da lahko vsak zaposleni zadevnega podjetja dostopa do takih podatkov, kršeč pri tem obveznost iz člena 17(1) Direktive 95/46 zagotoviti zaščito teh podatkov. Tak splošno mogoč dostop bi torej tej določbi v celoti odvzel polni učinek.

28

Tako razlogovanje ni pravilno. V nasprotju s predpostavko tega razlogovanja namreč obveznost delodajalca, ki je upravljavec osebnih podatkov, omogočiti nacionalnim organom, pristojnim za nadzor delovnih razmer, takojšen dostop do evidence delovnega časa, v ničemer ne pomeni, da morajo osebni podatki iz te evidence zgolj zato biti nujno dostopni osebam, ki za to niso pooblaščene. Kot je pravilno zatrdila portugalska vlada, je namreč na podlagi člena 17(1) Direktive 95/46 dolžnost vsakega upravljavca osebnih podatkov sprejeti tehnične in organizacijske ukrepe, potrebne za to, da se zagotovi, da lahko samo osebe, ustrezno pooblaščene za dostop do osebnih podatkov, odgovarjajo na zahteve tretjih za tak dostop.

29

V teh okoliščinah razlaga člena 17(1) Direktive 95/46 ni upoštevna za odločanje v sporu o glavni stvari.

30

Vendar je v okviru postopka sodelovanja med nacionalnimi sodišči in Sodiščem, uvedenega s členom 267 PDEU, naloga Sodišča nacionalnemu sodišču dati koristen odgovor, ki mu omogoča rešitev spora, o katerem odloča. V ta namen mora Sodišče po potrebi preoblikovati predložena vprašanja. Naloga Sodišča je namreč razložiti vse določbe prava Unije, ki jih nacionalna sodišča potrebujejo za odločanje v sporih, čeprav te določbe niso izrecno navedene v vprašanjih, ki jih postavijo ta sodišča (glej zlasti sodbi z dne 8. marca 2007 v zadevi Campina, C-45/06, ZOdl., str. I-2089, točki 30 in 31, in z dne 14. oktobra 2010 v zadevi Fuß, C-243/09, ZOdl., str. I-9849, točka 39).

31

Zato, čeprav je predložitveno sodišče svoja vprašanja formalno omejilo samo na razlago člena 17(1) Direktive 95/46, to Sodišča ne ovira, da predložitvenemu sodišču sporoči vse vidike razlage prava Unije, ki bi mu lahko koristili pri presoji predložene zadeve, in sicer ne glede na to, ali se je nanje sklicevalo v predstavitvi svojih vprašanj ali ne. Glede tega mora Sodišče iz vseh dejstev in dokazov, ki jih je predložilo nacionalno sodišče, zlasti iz obrazložitve predložitvenega sklepa, zbrati elemente prava Unije, ki jih je treba razložiti ob upoštevanju predmeta spora (glej zgoraj navedeno sodbo Fuß, točka 40).

32

V obravnavani zadevi iz spisa, predloženega Sodišču, izhaja, da želi predložitveno sodišče predvsem določiti, ali je treba določbe Direktive 95/46 razlagati tako, da nasprotujejo nacionalni ureditvi, kakršna je v zadevi v glavni stvari, ki delodajalcu nalaga, da nacionalnemu organu, pristojnemu za nadzor delovnih razmer, omogoči dostop do evidence delovnega časa, in sicer tako, da je mogoč takojšen vpogled vanjo. Kot izhaja iz točke 15 te sodbe, je bila namreč družbi Worten zaradi kršitve te obveznosti iz člena 202(1) zakonika o delu naložena denarna sankcija.

33

V zvezi s tem je treba opozoriti, da mora v skladu z določbami poglavja II Direktive 95/46, naslovljenega „Splošna pravila o zakonitosti obdelave osebnih podatkov“, in ne glede na odstopanja, ki so dopustna na podlagi člena 13 te direktive, vsaka obdelava osebnih podatkov, prvič, biti v skladu z načeli v zvezi s kakovostjo podatkov iz člena 6 navedene direktive, in drugič, ustrezati enemu od šestih meril za zakonitost obdelave podatkov, ki so navedena v členu 7 te direktive (glej v tem smislu zgoraj navedeni sodbi Österreichischer Rundfunk in drugi, točka 65, in Huber, točka 48, ter sodbo z dne 24. novembra 2011 v združenih zadevah ASNEF in FECEMI, C-468/10 in C-469/10, ZOdl., str. I-12181, točka 26).

34

Natančneje, podatki morajo biti na podlagi člena 6(1)(b) in (c) Direktive 95/46 „zbrani za določene, izrecne ter zakonite namene“ ter biti „primerni, ustrezni in ne pretirani“ glede na namene, za katere se zbirajo. Poleg tega je v skladu s členom 7(c) in (e) navedene direktive obdelava osebnih podatkov dovoljena v zvezi z „obdelavo, potrebno za skladnost z zakonsko obveznostjo, ki velja za upravljavca“, ali v zvezi z „obdelavo, potrebno za izvajanje naloge, ki se opravlja v javnem interesu ali pri izvrševanju javne oblasti, dodeljene upravljavcu ali tretji stranki, ki so ji posredovani podatki“ (zgoraj navedena sodba Österreichischer Rundfunk in drugi, točka 66).

35

Zdi se, da gre za to v položaju, kakršen je v zadevi v glavni stvari, kjer se na eni strani zdi – kar mora preveriti predložitveno sodišče – da so osebni podatki, ki so v evidenci delovnega časa, zbrani z namenom zagotovitve spoštovanja predpisov o delovnih razmerah, in na drugi strani, da je obdelava osebnih podatkov potrebna za spoštovanje zakonske obveznosti, ki velja za upravljavca, in za izvajanje nadzornih nalog, ki jih opravi nacionalni organ, pristojen za nadzor delovnih razmer.

36

Glede podrobnih pravil organizacije dostopa tega nacionalnega organa do osebnih podatkov z namenom zagotovitve njegovih nalog nadzora delovnih razmer je treba opozoriti, da se lahko le dostop organov, pristojnih na tem področju, šteje za nujnega v smislu člena 7(e) Direktive 95/46 (glej v tem smislu zgoraj navedeno sodbo Huber, točka 61).

37

Glede obveznosti delodajalca, da navedenemu organu omogoči takojšen dostop do evidence delovnega časa, iz sodne prakse Sodišča izhaja, da je takšna obveznost lahko v smislu te določbe potrebna, če izboljša izvajanje predpisov s področja delovnih razmer (glej po analogiji zgoraj navedeno sodbo Huber, točka 62).

38

V zvezi s tem je treba opozoriti, da je namen Direktive 2003/88 določitev minimalnih zahtev, namenjenih izboljšanju življenjskih in delovnih razmer za delavce s približevanjem nacionalnih zakonodaj, ki se nanašajo predvsem na delovni čas, tako da se jim zagotovi pravica do minimalnega počitka, predvsem dnevnega in tedenskega, in do primernih odmorov ter da se določi zgornja meja tedenskega delovnega časa (glej v tem smislu zlasti sodbi z dne 5. oktobra 2004 v združenih zadevah Pfeiffer in drugi, od C-397/01 do C-403/01, ZOdl., str. I-8835, točka 76, in z dne 25. novembra 2010 v zadevi Fuß, C-429/09, ZOdl., str. I-12167, točka 43).

39

Člen 6(b) Direktive 2003/88 državam članicam ob upoštevanju tega nalaga, da sprejmejo potrebne ukrepe, s katerimi v skladu s potrebo po varovanju zdravja in varnosti delavcev zagotovijo, da povprečni delovni čas za vsako sedemdnevno obdobje, vključno z nadurami, ne presega 48 ur (glej v tem smislu zgoraj navedeni sodbi Pfeiffer in drugi, točka 100, in z dne 14. oktobra 2010 v zadevi Fuß, točka 33).

40

Poleg tega člen 22(1) Direktive 2003/88 določa, da imajo države članice možnost, da ne uporabijo člena 6, zlasti pod pogojem, da sprejmejo potrebne ukrepe, s katerimi se zagotovi, da delodajalec vodi tekočo evidenco vseh zadevnih delavcev (člen 22(1), prvi odstavek, (b) navedene direktive) in da se evidence predložijo pristojnim organom, ki lahko iz razlogov, povezanih z varnostjo in/ali zdravjem delavcev, prepovejo ali omejijo možnost preseganja najvišjega števila ur v delovnem tednu delavcem, ki opravljajo tako delo (člen 22(1), prvi odstavek, (d) iste direktive).

41

Evropska komisija meni, da tudi če Direktiva 2003/88 izrecno ne določa obveznosti sprejeti ureditve, kakršna je v zadevi v glavni stvari, pa kljub temu nadzor spoštovanja obveznosti iz te direktive lahko vsebuje – iz naslova „potrebnih ukrepov“ za dosego ciljev iz te direktive – vzpostavitev ukrepov nadzora. Obveznost delodajalca, da omogoči takojšnji vpogled v evidenco delovnega časa, naj bi preprečila vsako možnost predelave podatkov v obdobju med inšpekcijskim obiskom, ki ga opravijo pristojni nacionalni organi, in dejanskega preverjanja navedenih podatkov s strani teh organov.

42

Družba Worten nasprotno trdi, da je ta obveznost pretirana, in sicer zaradi posega, ki ga ta povzroči v zasebnem življenju delavcev. Po eni strani naj bi bil namreč cilj evidence delovnega časa delavcu dati na voljo dokaz za preverjanje časa, ko se je dejansko delalo. Avtentičnost te evidence pa naj bi v zadevi v glavni stvari ne bila sporna. Po drugi strani naj bi navedena evidenca omogočila presojo opravljenega delovnega časa, zlasti z namenom preverjanja časa, ki ni vključen v delovni urnik. V ta namen naj takojšnja dostopnost teh evidenc ne bi prinašala nobene dodatne koristi. Poleg tega naj bi bilo podatke iz teh evidenc mogoče predložiti naknadno.

43

V obravnavani zadevi je naloga predložitvenega sodišča, da preveri, ali je obveznost delodajalca, da nacionalnemu organu, pristojnemu za nadzor nad delovnimi razmerami, omogoči takojšen dostop do evidence delovnega časa, potrebna za izvajanje nadzora s strani tega organa in izboljšanje izvajanja predpisov s področja delovnih razmer, zlasti glede delovnega časa.

44

Vendar je zvezi s tem treba podrobneje pojasniti – če je takšna obveznost potrebna za dosego tega cilja – da morajo v vsakem primeru sankcije, naložene za zagotovitev učinkovite uporabe zahtev, naloženih z Direktivo 2003/88, prav tako spoštovati načelo sorazmernosti, kar tudi preveri predložitveno sodišče v zadevi v glavni stvari (glej po analogiji sodbo z dne 6. novembra 2003 v zadevi Lindqvist, C-101/01, Recueil, str. I-12971, točka 88).

45

V teh okoliščinah je na drugo in tretje vprašanje treba odgovoriti, da je treba člen 6(1)(b) in (c) in člen 7 Direktive 95/46 razlagati tako, da ne nasprotujeta nacionalni ureditvi, kakršna je v zadevi v glavni stvari, ki delodajalcu nalaga, da nacionalnemu organu, pristojnemu za nadzor delovnih razmer, omogoči dostop do evidence delovnega časa, in sicer tako, da je mogoč takojšen vpogled vanjo, pod pogojem, da je ta obveznost potrebna za to, da ta organ izvaja nadzor uporabe predpisov s področja delovnih razmer, zlasti glede delovnega časa.

46

Ker je ta postopek za stranke v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški, priglašeni za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.

Iz teh razlogov je Sodišče (tretji senat) razsodilo: