—

Worten – Equipamentos para o Lar, SA, genom D. Abrunhosa e Sousa och J. Cruz Ribeiro, advogados,

—

Portugals regering, genom L. Inez Fernandes och C. Vieira Guerra, båda i egenskap av ombud,

—

Tjeckiens regering, genom M. Smolek, i egenskap av ombud,

—

Italiens regering, genom G. Palmieri, i egenskap av ombud, biträdd av M. Russo, avvocato dello Stato,

—

Ungerns regering, genom M. Fehér, K. Szíjjártó och Á. Szilágyi, samtliga i egenskap av ombud,

—

Europeiska kommissionen, genom P. Costa de Oliveira och B. Martenczuk, båda i egenskap av ombud,

1

Begäran om förhandsavgörande avser tolkningen av artiklarna 2 och 17.1 i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, s. 31).

2

Begäran har framställts i ett mål mellan Worten – Equipamentos para o Lar SA (nedan kallat Worten), ett bolag med säte i Viseu (Portugal), och Autoridade para as Condições de Trabalho (myndighet för övervakning av arbetsvillkor, nedan kallad ACT), angående den sistnämndas ansökan om att få tillgång till Wortens arbetstidsregister.

3

I artikel 2 i direktiv 95/46, med rubriken ”Definitioner”, anges följande:

”I detta direktiv avses med

...”

4

I artikel 3 i direktiv 95/46, med rubriken ”Tillämpningsområde”, föreskrivs följande:

”1.   Detta direktiv gäller för sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg liksom för annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.

2.   Detta direktiv gäller inte för sådan behandling av personuppgifter

5

Artikel 6 i direktiv 95/46, som avser principer om uppgifternas kvalitet, har följande lydelse:

”1.   Medlemsstaterna skall föreskriva att personuppgifter

...

...

2.   Det åligger den registeransvarige att säkerställa att punkt 1 efterlevs.”

6

Artikel 7 i direktiv 95/46, som avser principer som gör att uppgiftsbehandling kan tillåtas, har följande lydelse:

”Medlemsstaterna skall föreskriva att personuppgifter får behandlas endast om

...

...

...”

7

I artikel 17 i direktiv 95/46, med rubriken ”Säkerhet vid behandling”, föreskrivs följande:

”1.   Medlemsstaterna skall föreskriva att den registeransvarige skall genomföra lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter från förstöring genom olyckshändelse eller otillåtna handlingar eller förlust genom olyckshändelse samt mot ändringar, otillåten spridning av eller otillåten tillgång till uppgifterna, särskilt om behandlingen innefattar överföring av uppgifter i ett nätverk, och mot varje annat slag av otillåten behandling.

Dessa åtgärder skall med beaktande av den nuvarande tekniska nivån och de kostnader som är förenade med åtgärdernas genomförande åstadkomma en lämplig säkerhetsnivå i förhållande till de risker som är förknippade med behandlingen och arten av de uppgifter som skall skyddas.

...”

8

I artikel 1 i Europaparlamentets och rådets direktiv 2003/88/EG av den 4 november 2003 om arbetstidens förläggning i vissa avseenden (EUT L 299, s. 9), föreskrivs, under rubriken ”Ändamål och räckvidd”, följande:

”1.   I detta direktiv föreskrivs minimikrav på säkerhet och hälsa vid förläggningen av arbetstiden.

2.   Detta direktiv är tillämpligt på

...”

9

Artikel 6 i direktiv 2003/88, med rubriken ”Begränsning av veckoarbetstiden”, har följande lydelse:

”Medlemsstaterna skall, med beaktande av behovet av att skydda arbetstagares säkerhet och hälsa, vidta de åtgärder som behövs för att se till att

...

10

I artikel 22.1 första stycket i direktiv 2003/88 föreskrivs följande:

”En medlemsstat skall ha möjlighet att inte tillämpa artikel 6 varvid medlemsstaten skall respektera de allmänna principerna om skydd av arbetstagarnas hälsa och säkerhet och vidta de åtgärder som behövs för att se till att

...

…”

11

I artikel 202 i arbetslagen (codigo do trabalho), vilken godkändes genom lag nr 7/2009 av den 12 februari 2009, föreskrivs, under rubriken ”Arbetstidsregister”, följande:

...

12

Lag nr 107/2009 av den 14 september 2009 innehåller bland annat följande bestämmelse:

”Artikel 10 –

Inspektionsförfaranden

1.   Arbetsmiljöinspektören ska, utan att det påverkar tillämpningen av bestämmelser i särskild lagstiftning, vid utövandet av sina befogenheter

...

2.   Socialförsäkringsinspektören ska, utan att det påverkar tillämpningen av bestämmelser i särskild lagstiftning, vid utövandet av sina befogenheter

...”

13

ACT genomförde den 9 mars 2010 en inspektion av Wortens verksamhetslokaler i Viseu. Till följd av denna inspektion upprättades en rapport där följande konstaterades:

14

Arbetstidsregistret som innehöll de uppgifter som ACT lagligen kunde utkräva översändes den 15 mars 2010 till myndigheten efter föreläggande om att dessa uppgifter skulle inges.

15

Genom beslut av den 14 mars 2012 bedömde ACT att Worten hade gjort sig skyldig till en allvarlig administrativ överträdelse av arbetsrätten genom åsidosättande av reglerna gällande arbetstidsregister i artikel 202.1 i arbetslagen, eftersom detta bolag inte hade tillåtit ACT att omedelbart i verksamhetslokalerna avläsa arbetstidsregistret för de arbetstagare som var anställda i dessa lokaler. Överträdelsens allvar berodde enligt ACT på att frågan huruvida organiseringen av ett företags verksamhet är förenlig med lagstiftning gällande arbetstider direkt och snabbt kan avgöras genom en avläsning av arbetstidsregistret. ACT ålade följaktligen Worten böter på ett belopp om 2000 euro.

16

Worten överklagade detta beslut vid Tribunal do trabalho de Viseu.

17

Tribunal do trabalho de Viseu beslutade att vilandeförklara målet och att hänskjuta följande tolkningsfrågor för ett förhandsavgörande:

18

Den hänskjutande domstolen har ställt den första frågan för att få klarhet i huruvida artikel 2 a i direktiv 95/46 ska tolkas så, att ett arbetstidsregister, såsom det som är aktuellt i det nationella målet, som avseende varje arbetstagare innehåller upplysningar om tidpunkterna för arbetstidens början och slut samt motsvarande uppehåll och raster, omfattas av begreppet personuppgifter i den mening som avses i bestämmelsen.

19

Det kan härvid konstateras att de uppgifter som finns i ett sådant arbetstidsregister, vilka avser varje arbetstagares dagliga arbetstid och viloperioder, vilket även samtliga som inkommit med skriftliga yttranden har gjort gällande, utgör personuppgifter i den mening som avses i artikel 2 a i direktiv 95/46. Det rör sig nämligen om ”upplysning[ar] som avser en identifierad eller identifierbar fysisk person” (se, för ett liknande resonemang, bland annat dom av den 20 maj 2003 i de förenade målen C-465/00, C-138/01 och C-139/01, Österreichischer Rundfunk m.fl., REG 2003, s. I-4989, punkt 64, av den 16 december 2008 i mål C-524/06, Huber, REG 2008, s. I-9705, punkt 43, samt av den 7 maj 2009 i mål C-553/07, Rijkeboer, REG 2009, s. I-3889, punkt 42).

20

En arbetsgivares insamling, registrering, organisering, lagring, inhämtande eller användning av sådana uppgifter samt översändande av dem till behöriga nationella arbetsmiljömyndigheter utgör således ”behandling av personuppgifter” i den mening som avses i artikel 2 b i direktiv 95/46 (se, för ett liknande resonemang, bland annat domarna i de ovannämnda målen Österreichischer Rundfunk m.fl., punkt 64, och Huber, punkt 43).

21

Eftersom det i det nationella målet är utrett att denna behandling av personuppgifterna sker på automatisk väg och att inget av de undantag som anges i artikel 3.2 i direktiv 95/46 är tillämpligt, omfattas behandlingen av direktivets tillämpningsområde.

22

Den första frågan ska följaktligen besvaras enligt följande. Artikel 2 a i direktiv 95/46 ska tolkas så, att ett arbetstidsregister, såsom det som är aktuellt i det nationella målet, som avseende varje arbetstagare innehåller upplysningar om tidpunkterna för arbetstidens början och slut samt motsvarande uppehåll och raster, omfattas av begreppet personuppgifter i den mening som avses i denna bestämmelse.

23

Den hänskjutande domstolen har ställt den andra och den tredje frågan, som ska prövas tillsammans, för att få klarhet i huruvida artikel 17.1 i direktiv 95/46 ska tolkas så, att medlemsstaterna är skyldiga att föreskriva lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter från förstöring genom olyckshändelse eller otillåtna handlingar eller förlust genom olyckshändelse samt mot ändringar, otillåten spridning av eller otillåten tillgång till uppgifterna. Om denna fråga ska besvaras jakande önskar den hänskjutande domstolen få klarhet i huruvida en medlemsstat som inte har vidtagit sådana åtgärder har rätt att påföra en arbetsgivare påföljder om denne, i egenskap av ansvarig för behandlingen av sådana uppgifter, har inrättat ett system med begränsad åtkomst till dessa uppgifter som innebär att behöriga nationella arbetsmiljömyndigheter inte har omedelbar tillgång till dem.

24

Enligt artikel 17.1 i direktiv 95/46, som avser säkerheten vid behandlingen, ska medlemsstaterna föreskriva att den ansvarige för behandlingen av personuppgifter ska genomföra lämpliga tekniska och organisatoriska åtgärder för att åstadkomma en lämplig säkerhetsnivå i förhållande till de risker som är förknippade med behandlingen och arten av de uppgifter som ska skyddas, med beaktande av den nuvarande tekniska nivån och de kostnader som är förenade med åtgärdernas genomförande (se, för ett liknande resonemang, domen i det ovannämnda målet Rijkeboer, punkt 62).

25

Härav följer att i motsats till det antagande som ligger till grund för den andra och den tredje frågan, medför artikel 17.1 i direktivet ingen skyldighet för medlemsstaterna – förutom när de själva är ansvariga för behandlingen – att anta dessa tekniska och organisatoriska åtgärder. Skyldigheten att vidta dessa åtgärder åvilar endast den ansvarige för behandlingen av personuppgifterna, det vill säga i förevarande fall arbetsgivaren. Medlemsstaterna ska däremot enligt artikel 17.1 i direktivet i sin interna rättsordning anta en bestämmelse där denna skyldighet föreskrivs.

26

Det framgår inte av beslutet om hänskjutande att de ifrågavarande uppgifterna har blivit föremål för förstöring genom olyckshändelse eller otillåtna handlingar, förlust genom olyckshändelse, ändringar, otillåten spridning av eller otillåten tillgång till dem eller ens något annat slag av otillåten behandling i den mening som avses i artikel 17.1 i 95/46. Av handlingarna i målet framgår tvärtom att det i förevarande fall är utrett att behöriga nationella arbetsmiljömyndigheter enligt nationell lagstiftning har rätt att få tillgång till uppgifterna.

27

Worten har i sina skriftliga yttranden emellertid gjort gällande att skyldigheten att ställa arbetstidsregistren till förfogande för omedelbar avläsning enligt artikel 202.1 i arbetslagen i praktiken är oförenlig med skyldigheten att inrätta ett lämpligt system för att skydda de personuppgifter som återfinns i dessa register. Denna skyldighet skulle nämligen innebära att varje arbetstagare i det berörda företaget kunde få tillgång till dessa uppgifter vilket vore oförenligt med skyldigheten att skydda dessa uppgifter enligt artikel 17.1 i direktiv 95/46. En sådan allmän tillgång till uppgifterna skulle således frånta bestämmelsen dess ändamålsenliga verkan.

28

Detta resonemang kan emellertid inte godtas. I motsats till det antagande som ligger till grund för resonemanget innebär inte skyldigheten för den arbetsgivare som är ansvarig för behandlingen av personuppgifterna att medge behöriga nationella arbetsmiljömyndigheter omedelbar tillgång till arbetstidsregistren att personuppgifterna i dessa register ska finnas tillgängliga för personer som saknar behörighet i detta avseende. Såsom den portugisiska regeringen med fog har gjort gällande åligger det alla ansvariga för behandling av personuppgifter att genomföra lämpliga tekniska och organisatoriska åtgärder enligt artikel 17.1 i direktiv 95/46 för att säkerställa att endast personer med vederbörlig åtkomst till de ifrågavarande personuppgifterna har behörighet att pröva en ansökan från tredje man om att medges tillgång till desamma.

29

Tolkningen av artikel 17.1 i direktiv 95/46 förefaller mot denna bakgrund sakna relevans för avgörandet av det nationella målet.

30

Enligt det förfarande för samarbete mellan de nationella domstolarna och EU-domstolen som har införts genom artikel 267 FEUF ankommer det emellertid på den sistnämnda domstolen att ge den nationella domstolen ett användbart svar, så att den kan avgöra det mål som är anhängigt vid den. I detta syfte åligger det domstolen att i förekommande fall omformulera de frågor som har ställts till den. Domstolen ska nämligen tolka alla bestämmelser i unionsrätten som de nationella domstolarna behöver för att slita tvister som har hänskjutits till dem, även om dessa bestämmelser inte anges uttryckligen i de frågor som dessa domstolar har ställt (se, bland annat, dom av den 8 mars 2007 i mål C-45/06, Campina, REG 2007, s. I-2089, punkterna 30 och 31, samt av den 14 oktober 2010 i mål C-243/09, Fuß, REU 2010, s. I-9849, punkt 39).

31

Även om den hänskjutande domstolen formellt sett endast har ställt frågor avseende tolkningen av artikel 17.1 i direktiv 95/46, utgör denna omständighet inte hinder för att EU-domstolen tillhandahåller den hänskjutande domstolen alla uppgifter om unionsrättens tolkning som kan vara användbara för att avgöra det mål som är anhängigt vid den, oavsett om denna domstol har hänvisat till dessa i sina frågor. EU-domstolen ska härvid, av samtliga uppgifter som den hänskjutande domstolen tillhandahållit, särskilt skälen till begäran om förhandsavgörande, utläsa vilka förhållanden som omfattas av unionsrätten och som påkallar en tolkning, med hänsyn tagen till saken i målet (se domen i det ovannämnda målet Fuß, punkt 40).

32

I förevarande fall framgår det av handlingarna i målet att den hänskjutande domstolen främst önskar få klarhet i huruvida bestämmelserna i direktiv 95/46 ska tolkas så, att de utgör hinder för nationell lagstiftning, såsom den som är aktuell i det nationella målet, enligt vilken arbetsgivaren är skyldig att medge behöriga nationella arbetsmiljömyndigheter tillgång till arbetstidsregister för omedelbar avläsning. Såsom framgår av punkt 15 i denna dom är det nämligen på grund av Wortens åsidosättande av denna skyldighet enligt artikel 202.1 i arbetslagen som detta bolag har ålagts böter.

33

I enlighet med bestämmelserna i kapitel II i direktiv 95/46, med rubriken ”Allmänna bestämmelser om när personuppgifter får behandlas”, ska, med förbehåll för tillåtna undantag enligt artikel 13 i direktivet, all behandling av personuppgifter dels stå i överensstämmelse med de principer om uppgifternas kvalitet som anges i artikel 6 i detta direktiv, dels svara mot någon av de principer som gör att uppgiftsbehandlingen kan tillåtas, vilka anges i artikel 7 i direktivet (domarna i de ovannämnda målen Österreichischer Rundfunk m.fl., punkt 65, och Huber, punkt 48, samt av den 24 november 2011 i de förenade målen C-468/10 och C-469/10, ASNEF och FECEMD, REU 2011, s. I-12181, punkt 26).

34

Uppgifterna ska närmare bestämt ”samlas in för särskilda, uttryckligt angivna och berättigade ändamål” och vara ”adekvata och relevanta och inte ... omfatta mer än vad som är nödvändigt” med hänsyn till nämnda ändamål (artikel 6.1 b och c i direktiv 95/46). Därutöver får enligt artikel 7 c och e i samma direktiv behandling av personuppgifter ske om ”behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den registeransvarige” eller ”behandlingen är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den registeransvarige eller tredje man till vilken uppgifterna har lämnats ut” (domen i de ovannämnda förenade målen Österreichischer Rundfunk m.fl., punkt 66).

35

Detta verkar vara fallet i en sådan situation som den som är aktuell i det nationella målet, eftersom personuppgifterna i arbetstidsregistret förefaller ha samlats in för att säkerställa tillämpningen av lagstiftningen om arbetsvillkor. Behandlingen av personuppgifterna förefaller vidare vara nödvändig för att fullgöra en rättslig förpliktelse som åvilar arbetsgivaren och för att behöriga nationella arbetsmiljömyndigheter ska kunna genomföra sitt tillsynsuppdrag. Det ankommer dock på den hänskjutande domstolen att pröva dessa frågor.

36

Vad beträffar frågan hur nationella myndigheters tillgång till dessa personuppgifter ska organiseras för att de ska kunna utföra sitt uppdrag att utöva tillsyn över arbetsvillkoren kan det endast anses vara nödvändigt, i den mening som avses i artikel 7 e i direktiv 95/46, att ge myndigheter med behörighet på detta område tillgång till registret (se, för ett liknande resonemang, domen i det ovannämnda målet Huber, punkt 61).

37

Vad beträffar arbetsgivarens skyldighet att medge de nationella myndigheterna omedelbar tillgång till arbetstidsregister följer det av domstolens praxis att en sådan skyldighet kan visa sig nödvändig, i den mening som avses i artikel 7 e i direktiv 95/46, om den bidrar till att effektivisera tillämpningen av lagstiftningen om arbetsvillkor (se, analogt, domen i det ovannämnda målet Huber, punkt 62).

38

Syftet med direktiv 2003/88 är att föreskriva minimikrav för att främja förbättringar av arbetstagares levnads- och arbetsvillkor genom tillnärmning av nationella bestämmelser om bland annat arbetstid, genom att låta dem åtnjuta viloperioder av en viss minsta längd – särskilt dygnsvila och veckovila – och tillräckliga raster, och genom att föreskriva en begränsning av veckoarbetstiden (se, för ett liknande resonemang, bland annat dom av den 5 oktober 2004 i de förenade målen C-397/01-C-403/01, Pfeiffer m.fl., REG 2004, s. I-8835, punkt 76, och av den 25 november 2010 i mål C-429/09, Fuß, REU 2010, s. I-12167, punkt 43).

39

I detta syfte föreskrivs i artikel 6 b i direktiv 2003/88 en skyldighet för medlemsstaterna att vidta ”de åtgärder som behövs”, med beaktande av behovet av att skydda arbetstagares säkerhet och hälsa, för att se till att den genomsnittliga arbetstiden under varje sjudagarsperiod inklusive övertid inte överstiger 48 timmar (se, för ett liknande resonemang, domarna i de ovannämnda förenade målen Pfeiffer m.fl., punkt 100, och av den 14 oktober 2010, Fuß, punkt 33).

40

Enligt artikel 22.1 första stycket i direktiv 2003/88 har medlemsstaterna möjlighet att inte tillämpa artikel 6 under förutsättning att de bland annat, genom att vidta de åtgärder som behövs, ser till att arbetsgivaren för aktuella noteringar om alla arbetstagare (artikel 22.1 första stycket c i direktivet), att noteringarna ställs till de behöriga myndigheternas förfogande och att dessa – av skäl som rör arbetstagarnas hälsa eller säkerhet – kan förbjuda eller begränsa möjligheten att överskrida begränsningen av veckoarbetstiden (artikel 22.1 första stycket d i direktivet).

41

Även om direktiv 2003/88 inte medför någon uttrycklig skyldighet för medlemsstaterna att anta sådan lagstiftning som den som är aktuell i det nationella målet anser Europeiska kommissionen att kontrollen huruvida de skyldigheter som föreskrivs i direktivet uppfylls, genom vidtagandet av ”de åtgärder som behövs” för att genomföra direktivets syften, kan innefatta införandet av tillsynsåtgärder. Arbetsgivarens skyldighet att medge omedelbar avläsning av arbetstidsregister kan förhindra att uppgifterna ändras under den tid som förlöper mellan inspektionsbesöket som utförs av behöriga nationella myndigheter och dessa myndigheters faktiska kontroll av uppgifterna.

42

Worten har däremot anfört att denna skyldighet är överdriven med beaktande av det ingrepp den medför i arbetstagarnas privatliv. Syftet med arbetstidsregister är nämligen att förse arbetstagarna med ett bevismedel för att kunna styrka arbetad tid. Detta registers tillförlitlighet har emellertid inte ifrågasatts i det nationella målet. Registret innebär även att genomsnittlig fullgjord arbetstid kan beräknas för att bland annat kontrollera situationer där det inte råder fasta arbetstider. Omedelbar tillgång till dessa register medför i detta avseende inget mervärde. De uppgifter som förekommer i ett register kan för övrigt översändas vid en senare tidpunkt.

43

Det ankommer i förevarande fall på den hänskjutande domstolen att pröva huruvida arbetsgivarens skyldighet att medge behöriga nationella arbetsmiljömyndigheter tillgång till arbetstidsregister för omedelbar avläsning kan anses vara nödvändig för att dessa myndigheter ska kunna utföra sitt tillsynsuppdrag genom att den bidrar till att effektivisera tillämpningen av lagstiftningen om arbetsvillkor, särskilt vad gäller arbetstiden.

44

Även om denna skyldighet bedöms vara nödvändig för att uppnå detta syfte måste de sanktioner som påförs för att säkerställa en effektiv tillämpning av kraven i direktiv 2003/88 alltid stå i överensstämmelse med proportionalitetsprincipen, vilket det också ankommer på den hänskjutande domstolen att pröva i det nationella målet (se, analogt, dom av den 6 november 2003 i mål C-101/01, Lindqvist, REG 2003, s. I-12971, punkt 88).

45

Mot bakgrund av ovanstående överväganden ska den andra och den tredje frågan besvaras enligt följande. Artiklarna 6.1 b och c samt 7 c och e i direktiv 95/46 ska tolkas så, att de inte utgör hinder för sådan nationell lagstiftning, som den som är aktuell i målet vid den nationella domstolen, enligt vilken arbetsgivaren är skyldig att medge behöriga nationella arbetsmiljömyndigheter tillgång till arbetstidsregister för omedelbar avläsning, under förutsättning att denna skyldighet är nödvändig för att myndigheterna ska kunna utföra sitt uppdrag att utöva tillsyn över tillämpningen av lagstiftningen om arbetsvillkor, särskilt vad gäller arbetstiden.

46

Eftersom förfarandet i förhållande till parterna i målet vid den nationella domstolen utgör ett led i beredningen av samma mål, ankommer det på den nationella domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.

Mot denna bakgrund beslutar domstolen (tredje avdelningen) följande: