Domstolens dom (åttonde avdelningen) den 19 december 2024

I mål C‑65/23, angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Bundesarbeitsgericht (Federala arbetsdomstolen, Tyskland) genom beslut av den 22 september 2022, som inkom till domstolen den 8 februari 2023, i målet

DOMSTOLEN (åttonde avdelningen) sammansatt av ordföranden på nionde avdelningen N. Jääskinen (referent), tillika tillförordnad ordförande på åttonde avdelningen, samt domarna M. Gavalec och I. Ziemele, generaladvokat: L. Medina, justitiesekreterare: A. Calot Escobar,

efter det skriftliga förfarandet,

med beaktande av de yttranden som avgetts av: MK, genom J. Zäh, Rechtsanwalt, K GmbH, genom B. Geck, Rechtsanwältin, Irland, genom M. Browne, Chief State Solicitor, A. Joyce och M. Tierney, båda i egenskap av ombud, biträdda av D. Fennelly, BL, Italiens regering, genom G. Palmieri, i egenskap av ombud, biträdd av G. Natale, avvocato dello Stato, Europeiska kommissionen, genom A. Bouchagiar, M. Heller och H. Kranenborg, samtliga i egenskap av ombud,

med hänsyn till beslutet, efter att ha hört generaladvokaten, att avgöra målet utan förslag till avgörande,

följande

Dom

Tillämpliga bestämmelser

Unionsrätt

Tysk rätt

Målet vid den nationella domstolen och tolkningsfrågorna

Förfarandet vid domstolen

Huruvida begäran om förhandsavgörande kan tas upp till prövning

Prövning av tolkningsfrågorna

Den första frågan

Den andra frågan

Den tredje frågan

Rättegångskostnader

1 Begäran om förhandsavgörande avser tolkningen av artiklarna 82.1 samt 88.1 och 88.2, jämförda med artiklarna 5, 6.1 samt 9.1 och 9.2 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1, och rättelse i EUT L 127, 2018, s. 2) (nedan kallad dataskyddsförordningen).

2 Begäran har framställts i ett mål mellan MK, som är en fysisk person, och hans arbetsgivare K GmbH. Målet rör ersättning för immateriell skada som denna person påstår sig ha lidit till följd av att detta bolag har behandlat hans personuppgifter på grundval av en verksamhetsöverenskommelse.

3 Skälen 8, 10 och 155 i dataskyddsförordningen har följande lydelse:

4 I artikel 4 i dataskyddsförordningen, med rubriken Definitioner, föreskrivs följande:

5 Kapitel II i dataskyddsförordningen, med rubriken Principer, innehåller artiklarna 5–11.

6 I artikel 5 i dataskyddsförordningen, med rubriken Principer för behandling av personuppgifter, föreskrivs följande:

7 I artikel 6 i förordningen, med rubriken Laglig behandling av personuppgifter, föreskrivs följande:

8 I artikel 9 i samma förordning, med rubriken Behandling av särskilda kategorier av personuppgifter, föreskrivs följande:

9 I kapitel VIII i dataskyddsförordningen, med rubriken Rättsmedel, ansvar och sanktioner, återfinns artikel 82, med rubriken Ansvar och rätt till ersättning. I punkt 1 i den artikeln föreskrivs följande:

10 I kapitel IX i dataskyddsförordningen, med rubriken Bestämmelser om särskilda behandlingssituationer, återfinns artikel 88, med rubriken Behandling i anställningsförhållanden. I punkterna 1 och 2 i den artikeln föreskrivs följande:

11 I artikel 99 i dataskyddsförordningen, med rubriken Ikraftträdande och tillämpning, förskrivs följande:

12 I 26 § Bundesdatenschutzgesetz (federal dataskyddslag) av den 30 juni 2017 (BGBl. 2017 I, s. 2097) (nedan kallad BDSG), med rubriken Behandling i anställningsförhållanden, föreskrivs följande i punkterna 1 och 4:

13 Klaganden i det nationella målet är anställd av motparten, som är ett bolag bildat enligt tysk rätt. Klaganden är även ordförande i bolagets företagsråd.

14 Bolaget behandlade ursprungligen vissa personuppgifter om sina anställda i samband med användningen av en programvara kallad SAP (nedan kallad SAP), bland annat i bokföringssyfte. Bolaget ingick för detta ändamål flera verksamhetsöverenskommelser med sitt företagsråd.

15 Under år 2017 införde bolagskoncernen D, i vilken motparten i det nationella målet ingår (nedan kallad D-koncernen), programvaran Workday, som är molnbaserad, inom hela koncernen som det enda systemet för hantering av personalinformation. I detta sammanhang överförde motparten i det nationella målet olika personuppgifter om sina anställda från SAP till en server i Förenta staterna tillhörande moderbolaget i D-koncernen.

16 Den 3 juli 2017 ingick motparten och dess företagsråd en överenskommelse om acceptans vad gäller införandet av programvaran Workday (nedan kallad verksamhetsöverenskommelsen), enligt vilken det bland annat var förbjudet att under försöksfasen använda denna programvara för personaladministration, till exempel för att utvärdera en arbetstagare. Enligt bilaga 2 till verksamhetsöverenskommelsen var de enda kategorier av uppgifter som kunde överföras till Workday anställningsnummer för arbetstagarna inom D-koncernen, efternamn, förnamn, telefonnummer, datum då tjänsten i det ifrågavarande bolaget tillträddes, datum då tjänsteutövning inom koncernen påbörjades, arbetsort, det ifrågavarande bolagets namn samt telefonnummer och e‑postadress. Verkningarna av överenskommelsen förlängdes fram till dess att en slutlig verksamhetsöverenskommelse, som ingicks den 23 januari 2019, trädde i kraft.

17 I detta sammanhang väckte klaganden talan vid Arbeitsgericht (Arbetsdomstolen, Tyskland) och därefter vid Landesarbeitsgericht (Arbetsöverdomstolen, Tyskland), båda med territoriell behörighet, med yrkande om tillgång till vissa uppgifter, radering av uppgifter om honom och skadestånd. Klaganden gjorde bland annat gällande att motparten hade överfört personuppgifter som rörde honom till moderbolagets server. Vissa av dessa uppgifter omfattades inte av verksamhetsöverenskommelsen, vilket särskilt var fallet vad gällde hans privata kontaktuppgifter, uppgifter om hans anställningsavtal, lön, socialförsäkringsnummer, skattenummer, nationalitet och civilstånd.

18 Eftersom klagandens talan inte vann bifall i sin helhet överklagade han till Bundesarbeitsgericht (Federala arbetsdomstolen, Tyskland), som är den hänskjutande domstolen. Det är endast klagandens begäran om ersättning, med stöd av dataskyddsförordningen, för den immateriella skada som han påstår sig ha lidit till följd av olaglig behandling av hans personuppgifter genom programvaran Workday, som fortfarande är anhängig. Begäran om ersättning avser olaglig behandling under perioden från den första dag då dataskyddsförordningen blev tillämplig, det vill säga den 25 maj 2018, till slutet av första kvartalet år 2019.

19 När det gäller frågan huruvida denna behandling var olaglig, har klaganden gjort gällande att denna behandling inte var nödvändig vare sig för anställningsförhållandet, för vilket motparten använde SAP, eller för att testa den nya programvaran Workday. Fiktiva uppgifter hade nämligen varit tillräckliga för detta ändamål och skulle ha säkerställt att ingen verklig uppgift gjordes tillgänglig inom D-koncernen. Även om det antas att verksamhetsöverenskommelsen kunde utgöra en giltig grund för nämnda behandling, har det tillstånd som därav följer enligt klaganden dessutom överskridits, eftersom motparten har överfört andra uppgifter än dem som anges i bilaga 2 till överenskommelsen. Slutligen ankommer det på motparten att visa att dess agerande är förenligt med dataskyddsförordningen.

20 Motparten har invänt att den aktuella behandlingen uppfyller kraven i dataskyddsförordningen, att bevisbördan åvilar klaganden och att han varken har visat att det föreligger en immateriell skada eller att det finns ett orsakssamband mellan ett eventuellt åsidosättande av denna förordning och den påstådda skadan.

21 Den hänskjutande domstolen anser att de åtgärder som klaganden har ifrågasatt omfattas av dataskyddsförordningens materiella tillämpningsområde, eftersom de utgör en behandling av den registrerades personuppgifter i den mening som avses i artikel 4 led 1 och 2 i förordningen. Den hänskjutande domstolen har dessutom angett att motparten är personuppgiftsansvarig i den mening som avses i artikel 4 led 7 i förordningen. Vad beträffar förordningens tidsmässiga tillämpningsområde har den hänskjutande domstolen understrukit att behandlingen visserligen inleddes före den dag då dataskyddsförordningen blev tillämplig, men att den emellertid fortgick efter detta datum. De ursprungliga verkningarna av verksamhetsöverenskommelsen förlängdes nämligen flera gånger.

22 För det första vill den hänskjutande domstolen i detta sammanhang få klarhet i huruvida en nationell bestämmelse, såsom 26 § 4 BDSG – enligt vilken behandling av personuppgifter i ett anställningsförhållande regleras och där det i princip föreskrivs att en sådan behandling som utförs enligt ett kollektivavtal är laglig med förbehåll för iakttagandet av artikel 88.2 i dataskyddsförordningen – är förenlig med denna förordning eller om den berörda behandlingen för detta ändamål även måste vara förenlig med förordningens övriga bestämmelser. Den hänskjutande domstolen är benägen att anse att när behandling av anställdas personuppgifter regleras i ett kollektivavtal, i den mening som avses i artikel 88 i dataskyddsförordningen, får denna behandling inte avvika från de krav som följer inte bara av nämnda artikel 88, utan även av artiklarna 5, 6.1 samt 9.1 och 9.2 i förordningen, särskilt vad gäller det krav på att behandlingen ska vara nödvändig som föreskrivs i de tre sistnämnda artiklarna.

23 För det andra vill den hänskjutande domstolen, för det fall den första frågan besvaras jakande, få klarhet i huruvida parterna i ett sådant kollektivavtal har ett utrymme för skönsmässig bedömning som endast bör bli föremål för en begränsad domstolsprövning vad gäller bedömningen av huruvida den ifrågavarande behandlingen är nödvändig, i den mening som avses i artiklarna 5, 6.1 samt 9.1 och 9.2 i dataskyddsförordningen. Enligt den hänskjutande domstolen vinner denna uppfattning stöd av argumentet att kollektivavtalets parter har stor kännedom om företaget och i allmänhet har nått fram till en lämplig intresseavvägning. EU-domstolens praxis avseende andra unionsrättsakter, särskilt dom av den 7 februari 1991, Nimz ( C‑184/89, EU:C:1991:50), och dom av den 20 mars 2003, Kutz-Bauer ( C‑187/00, EU:C:2003:168), tyder snarare på att bestämmelser i ett kollektivavtal som omfattas av unionsrättens tillämpningsområde inte får strida mot unionsrätten och att sådana bestämmelser i förekommande fall inte ska tillämpas.

24 För det tredje vill den hänskjutande domstolen, för det fall den andra frågan besvaras jakande, få kännedom om de bedömningskriterier till vilka den i förekommande fall ska begränsa sin domstolsprövning.

25 Slutligen avsåg den fjärde, den femte och den sjätte frågan, som den hänskjutande domstolen ursprungligen hade ställt, innan de återkallades, i huvudsak rätten till ersättning för immateriell skada enligt artikel 82.1 i dataskyddsförordningen.

26 Mot denna bakgrund beslutade Bundesarbeitsgericht (Federala arbetsdomstolen) att vilandeförklara målet och ställa följande frågor till EU-domstolen:

27 Genom beslut av EU-domstolens ordförande av den 24 januari 2024 delgavs den hänskjutande domstolen domen av den 4 maj 2023, Österreichische Post (Ideell skada på grund av behandling av personuppgifter) ( C‑300/21, EU:C:2023:370), domen av den 14 december 2023, Natsionalna agentsia za prihodite ( C‑340/21, EU:C:2023:986), domen av den 14 december 2023, Gemeinde Ummendorf ( C‑456/22, EU:C:2023:988), domen av den 21 december 2023, Krankenversicherung Nordrhein ( C‑667/21, EU:C:2023:1022), och domen av den 25 januari 2024, MediaMarktSaturn ( C‑687/21, EU:C:2024:72), för att den hänskjutande domstolen skulle precisera huruvida den med hänsyn till dessa domar ämnade vidhålla sin begäran om förhandsavgörande, särskilt vad gäller den fjärde, den femte och den sjätte frågan.

28 Genom beslut av EU-domstolens ordförande av den 15 mars 2024 vilandeförklarades förfarandet med stöd av artikel 55.1 b i domstolens rättegångsregler till dess att den ställda frågan hade besvarats.

29 Genom en skrivelse som inkom till domstolen den 8 maj 2024 meddelade den hänskjutande domstolen att den återkallade den fjärde, den femte och den sjätte frågan, men vidhöll den första, den andra och den tredje frågan.

30 Motparten i det nationella målet har gjort gällande att den första, den andra och den tredje frågan inte kan tas upp till sakprövning, eftersom de inte är relevanta för avgörandet av det mål som är anhängigt vid den hänskjutande domstolen. Motparten har i huvudsak anfört att klaganden inte har bestritt innehållet i den verksamhetsöverenskommelse som är tillämplig i förevarande fall, utan att klaganden i stället har hävdat att gränserna för denna överenskommelse har överskridits genom den ifrågasatta behandlingen av uppgifter. Enligt motparten innebär detta att målet inte avser ett åsidosättande av kraven i artikel 88 i dataskyddsförordningen avseende en sådan överenskommelse. Dessa frågor är dessutom enligt motparten hypotetiska, eftersom de syftar till att göra det möjligt för den hänskjutande domstolen att pröva lagligheten av denna behandling i dess helhet, och inte enbart i förhållande till de omständigheter som klaganden har bestritt.

31 EU-domstolen gör i denna del följande bedömning. Enligt fast rättspraxis ankommer det uteslutande på den nationella domstolen, vid vilken målet anhängiggjorts och vilken har ansvaret för det rättsliga avgörandet, att mot bakgrund av de särskilda omständigheterna i målet bedöma såväl om ett förhandsavgörande är nödvändigt för att döma i saken som relevansen av de frågor som ställs till EU-domstolen, vilka presumeras vara relevanta. EU-domstolen är följaktligen i princip skyldig att meddela ett förhandsavgörande när de frågor som ställts avser tolkningen eller giltigheten av en unionsrättslig regel, såvida det inte är uppenbart att den begärda tolkningen av unionsrätten inte har något samband med de verkliga omständigheterna eller saken i det nationella målet eller då frågeställningen är hypotetisk eller EU-domstolen inte har tillgång till sådana uppgifter om de faktiska eller rättsliga omständigheterna som är nödvändiga för att kunna ge ett användbart svar på de frågor som ställts till den (dom av den 20 juni 2024, Scalable Capital, C‑182/22 och C‑189/22, EU:C:2024:531, punkt 18 och där angiven rättspraxis).

32 I förevarande fall handlar den första och den tredje frågan om tolkningen av flera unionsrättsliga bestämmelser, närmare bestämt artikel 88 i dataskyddsförordningen, jämförd med artiklarna 5, 6 och 9 i samma förordning. Den hänskjutande domstolen anser dessutom att de begränsningar som fastställts i den verksamhetsöverenskommelse som är tillämplig i förevarande fall, vilken den kvalificerar som ett kollektivavtal i den mening som avses i förordningen, har överskridits och att den behandling av personuppgifter som är aktuell i det nationella målet ska prövas i sin helhet. Behandlingen kan nämligen vara olaglig såväl enligt punkt 1 som punkt 4 i 26 § BDSG, i vilken det uttryckligen hänvisas till artikel 88 i dataskyddsförordningen.

33 Begäran om förhandsavgörande kan således tas upp till sakprövning.

34 Den hänskjutande domstolen har ställt den första frågan för att få klarhet i huruvida artikel 88.1 och 88.2 i dataskyddsförordningen ska tolkas så, att en nationell bestämmelse som avser behandling av personuppgifter i ett anställningsförhållande och som har antagits med stöd av artikel 88.1 i förordningen, ska innebära att dess adressater måste iaktta inte bara de krav som följer av artikel 88.2 i förordningen, utan även de krav som följer av artiklarna 5, 6.1 samt 9.1 och 9.2 i förordningen.

35 EU-domstolen erinrar i detta avseende om att dataskyddsförordningen syftar till att säkerställa en i princip fullständig harmonisering av nationell lagstiftning om skydd av personuppgifter. Förordningen innehåller emellertid vissa bestämmelser som ger medlemsstaterna möjlighet att införa ytterligare nationella regler, som är strängare eller avvikande, och som ger dem ett utrymme för skönsmässig bedömning när det gäller på vilket sätt dessa bestämmelser ska genomföras (öppningsklausuler) (se, för ett liknande resonemang, dom av den 30 mars 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punkt 51 och där angiven rättspraxis).

36 I artikel 88 i dataskyddsförordningen, som avser behandling av personuppgifter i anställningsförhållanden, föreskrivs de villkor enligt vilka medlemsstaterna i lag eller i kollektivavtal får fastställa mer specifika regler för att säkerställa skyddet av fri- och rättigheter för de anställda som berörs av en sådan behandling. I skäl 155 i förordningen anges bland annat att begreppet kollektivavtal i den mening som avses i artikel 88 omfattar verksamhetsöverenskommelser, såsom den överenskommelse som är aktuell i det nationella målet. I artiklarna 5, 6 och 9 i nämnda förordning anges dessutom principerna för behandling av personuppgifter, villkoren för att behandlingen ska vara laglig respektive regler om behandling av särskilda kategorier av personuppgifter.

37 Av fast rättspraxis framgår att de termer som används i en unionsbestämmelse som – i likhet med artikel 88 i dataskyddsförordningen – inte innehåller någon uttrycklig hänvisning till medlemsstaternas rättsordningar för fastställandet av bestämmelsens innebörd och tillämpningsområde i regel ska ges en självständig och enhetlig tolkning inom hela unionen, med beaktande av bland annat den aktuella bestämmelsens ordalydelse, de mål som eftersträvas med den och det sammanhang i vilket den ingår (se, analogt, dom av den 14 december 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punkt 23 och där angiven rättspraxis).

38 För det första framgår det av ordalydelsen i artikel 88.1 i dataskyddsförordningen att de mer specifika regler som tillåts enligt denna bestämmelse ska ha ett normativt innehåll som är specifikt för det reglerade området och som skiljer sig från de allmänna reglerna i förordningen. I artikel 88.2 i dataskyddsförordningen anges emellertid gränserna för medlemsstaternas handlingsutrymme, i enlighet med förordningens syfte att uppnå harmonisering, när de avser att anta nationell lagstiftning med stöd av artikel 88.1 i förordningen (se, för ett liknande resonemang, dom av den 30 mars 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punkterna 61, 65, 72 och 75).

39 Ordalydelsen ger däremot ingen uttrycklig anvisning om huruvida de mer specifika regler som medlemsstaterna således har möjlighet att anta endast ska syfta till att uppfylla de krav som anges i artikel 88.2 i dataskyddsförordningen eller om dessa regler även ska uppfylla de krav som uppställs i andra bestämmelser i denna förordning, på så sätt att behandling av personuppgifter som sker med tillämpning av sådana regler dessutom måste vara förenlig med sistnämnda bestämmelser.

40 För det andra har domstolen redan, vad gäller syftena med artikel 88 i dataskyddsförordningen, slagit fast att denna artikel utgör en öppningsklausul och att den möjlighet som medlemsstaterna medges enligt artikel 88.1, med hänsyn till särdragen hos en sådan behandling, bland annat förklaras av den underordnade ställning som den anställde intar i förhållande till arbetsgivaren. Domstolen preciserade att de villkor som uppställs i artikel 88.2 i dataskyddsförordningen återspeglar gränserna för det utrymme för skönsmässig bedömning som medlemsstaterna har, i den meningen att bristande harmonisering endast kan godtas när de skillnader som kvarstår åtföljs av särskilda och lämpliga garantier för att skydda anställdas fri- och rättigheter vad gäller behandling av deras personuppgifter i anställningsförhållanden (se, för ett liknande resonemang, dom av den 30 mars 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punkterna 52, 53 och 73).

41 Domstolen har dessutom understrukit att när medlemsstaterna utnyttjar den möjlighet som de ges enligt artikel 88 i dataskyddsförordningen ska de använda sitt handlingsutrymme på de villkor och inom de gränser som föreskrivs i förordningens bestämmelser. Medlemsstaterna ska således lagstifta på ett sådant sätt att förordningens innehåll och syften inte undergrävs, med beaktande av att dess mål bland annat är att säkerställa en hög skyddsnivå för de registrerades fri- och rättigheter, såsom framgår av skäl 10 i förordningen. De bestämmelser som en medlemsstat antar med stöd av artikel 88 ska således syfta till att skydda anställdas fri- och rättigheter vad gäller behandling av deras personuppgifter (se, för ett liknande resonemang, dom av den 30 mars 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punkterna 54, 59, 62 och 74).

42 Artikel 88 i dataskyddsförordningen kan emellertid inte tolkas så, att de mer specifika regler som medlemsstaterna har möjlighet att anta med stöd av denna artikel får ha till syfte eller verkan att kringgå de skyldigheter som åligger den personuppgiftsansvarige, eller till och med personuppgiftsbiträdet och som följer av andra bestämmelser i denna förordning, vid äventyr av att samtliga av dessa syften annars riskerar att äventyras, i synnerhet syftet att säkerställa en hög skyddsnivå för anställda vid behandling av deras personuppgifter i anställningsförhållanden.

43 Av detta följer att artikel 88.1 och 88.2 i dataskyddsförordningen ska tolkas så, att även när medlemsstaterna med stöd av denna artikel i sina respektive interna rättsordningar inför mer specifika regler, genom lag eller genom kollektivavtal, måste de krav som följer av de andra bestämmelser som särskilt avses i förevarande fråga, det vill säga artiklarna 5, 6.1 samt 9.1 och 9.2 i förordningen, också vara uppfyllda. Detta gäller bland annat iakttagandet av det i dessa bestämmelser föreskrivna kravet på att behandlingen ska vara nödvändig, gällande vilket den hänskjutande domstolen särskilt vill få klarhet.

44 För det tredje vinner denna tolkning stöd av det sammanhang i vilket artikel 88 i dataskyddsförordningen ingår.

45 Artikel 88 i dataskyddsförordningen återfinns nämligen i kapitel IX, med rubriken Bestämmelser om särskilda behandlingssituationer, medan artiklarna 5, 6 och 9 i förordningen ingår i kapitel II, med rubriken Principer, vilket således har en mer allmän räckvidd. Det framgår dessutom tydligt av ordalydelsen i nämnda artikel 6, i vilken det i punkterna 2 och 3 uttryckligen hänvisas till bestämmelserna i kapitel IX, att de villkor för laglighet som föreskrivs i nämnda artikel 6 är bindande även i de särskilda situationer som regleras av bestämmelserna i nämnda kapitel IX.

46 Det följer av fast rättspraxis att all behandling av personuppgifter ska vara förenlig med de principer som reglerar behandlingen av personuppgifter och de rättigheter som registrerade personer har enligt kapitel II respektive III i förordningen. All behandling av personuppgifter ska i synnerhet dels stå i överensstämmelse med de principer som anges i artikel 5 i dataskyddsförordningen, dels uppfylla de laglighetsvillkor som anges i artikel 6 i samma förordning (se, för ett liknande resonemang, dom av den 2 mars 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, punkt 43, och dom av den 11 juli 2024, Meta Platforms Ireland (Grupptalan), C‑757/22, EU:C:2024:598, punkt 49 samt där angiven rättspraxis).

47 Vad mer specifikt gäller förhållandet mellan artikel 88 i dataskyddsförordningen och andra bestämmelser i denna förordning, har domstolen påpekat, bland annat mot bakgrund av skäl 8 i förordningen, att även om det eventuellt finns mer specifika regler som medlemsstaterna har antagit med stöd av artikel 88.1 i förordningen, måste de skyldigheter som följer av bestämmelserna i kapitlen II och III i förordningen, särskilt artiklarna 5 och 6 i denna, iakttas vid varje behandling av personuppgifter (se, för ett liknande resonemang, dom av den 30 mars 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punkterna 67–71).

48 De skyldigheter som följer av artikel 9 i dataskyddsförordningen måste på samma sätt iakttas vid sådan behandling av personuppgifter som omfattas av denna förordning även i sådana fall då det finns mer specifika regler som har antagits med stöd av artikel 88.1 i förordningen. Denna artikel 9, i vilken regleras behandling av sådana särskilda kategorier av personuppgifter som där finns uppräknade, återfinns nämligen i kapitel II i förordningen, i likhet med artiklarna 5 och 6, där det föreskrivs sådana krav som för övrigt är kumulativa med de krav som följer av artikel 9 (se, för ett liknande resonemang, dom av den 21 december 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punkterna 73 och 77–79). Denna tolkning är dessutom förenlig med syftet med artikel 9, vilket är att säkerställa ett utökat skydd mot sådan personuppgiftsbehandling som, på grund av att de uppgifter som behandlingen omfattar är särskilt känsliga, kan utgöra ett synnerligen allvarligt ingrepp i de registrerades grundläggande rättigheter (se, för ett liknande resonemang, dom av den 4 oktober 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, punkt 89 och där angiven rättspraxis).

49 För det fall en medlemsstats lagstiftning innehåller mer specifika regler, i den mening som avses i artikel 88.1 i dataskyddsförordningen, ska således den behandling av personuppgifter som omfattas av dessa regler inte bara uppfylla de villkor som uppställs i punkterna 1 och 2 i denna artikel, utan även de villkor som uppställs i artiklarna 5, 6 och 9 i förordningen, såsom dessa har tolkats i domstolens praxis.

50 Mot bakgrund av ovanstående överväganden ska den första frågan besvaras enligt följande. Artikel 88.1 och 88.2 i dataskyddsförordningen ska tolkas så, att en nationell bestämmelse som avser behandling av personuppgifter i ett anställningsförhållande och som har antagits med stöd av artikel 88.1 i förordningen, ska innebära att dess adressater måste iaktta inte bara de krav som följer av artikel 88.2 i förordningen, utan även de krav som följer av artiklarna 5, 6.1 samt 9.1 och 9.2 i förordningen.

51 Den hänskjutande domstolen har ställt den andra frågan för att få klarhet i huruvida artikel 88.1 i dataskyddsförordningen, när ett kollektivavtal omfattas av den bestämmelsens tillämpningsområde, ska tolkas så, att det utrymme för skönsmässig bedömning som parterna i kollektivavtalet har när det gäller att avgöra huruvida en behandling av personuppgifter är nödvändig, i den mening som avses i artiklarna 5, 6.1 samt 9.1 och 9.2 i förordningen, innebär att den nationella domstolen hindras från att göra en fullständig domstolsprövning i detta avseende.

52 Det ska inledningsvis erinras om att när medlemsstaterna utnyttjar den möjlighet som de medges enligt artikel 88 i dataskyddsförordningen ska de använda sitt handlingsutrymme på de villkor och inom de gränser som föreskrivs i förordningens bestämmelser, såsom påpekats i punkt 41 i förevarande dom. Medlemsstaterna ska således säkerställa att de mer specifika regler som de inför i sin interna rättsordning inte gör att förordningens innehåll och syften undergrävs. Dessa regler ska bland annat syfta till att säkerställa en hög skyddsnivå för de anställdas grundläggande fri- och rättigheter med avseende på behandling av personuppgifter i anställningsförhållanden.

53 Vad gäller omfattningen av den domstolsprövning som kan företas med avseende på sådana specifika regler, har domstolen redan slagit fast att det ankommer på den nationella domstol vid vilken talan väckts, vilken är ensam behörig att tolka nationell rätt, att bedöma huruvida nämnda regler verkligen är förenliga med de villkor och begränsningar som särskilt föreskrivs i artikel 88 i dataskyddsförordningen. I enlighet med principen om unionsrättens företräde är den hänskjutande domstolen, för det fall den finner att de ifrågavarande nationella reglerna inte är förenliga med dessa villkor och begränsningar, skyldig att avstå från att tillämpa nämnda regler. I avsaknad av mer specifika regler som uppfyller kraven i artikel 88 i dataskyddsförordningen, regleras behandlingen av personuppgifter i anställningsförhållanden direkt av förordningen (se, för ett liknande resonemang, dom av den 30 mars 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punkterna 80, 82–84 och 89).

54 Dessa överväganden gäller även för parterna i ett sådant kollektivavtal som avses i artikel 88 i dataskyddsförordningen, såsom det som är aktuellt i det nationella målet. Såsom Europeiska kommissionen har påpekat i sitt skriftliga yttrande ska parterna i ett kollektivavtal nämligen kunna ha ett utrymme för skönsmässig bedömning som, i synnerhet vad gäller dess gränser, motsvarar det som medlemsstaterna har, eftersom de mer specifika regler som avses i artikel 88.1 bland annat kan följa av kollektivavtal. I skäl 155 i förordningen anges även att sådana regler kan fastställas i medlemsstaternas nationella rätt eller i kollektivavtal, inbegripet verksamhetsöverenskommelser.

55 Oaktat det utrymme för skönsmässig bedömning som parterna i ett kollektivavtal medges enligt artikel 88 i dataskyddsförordningen, ska således domstolsprövningen av ett sådant avtal, i likhet med domstolsprövningen av en regel i nationell rätt som antagits med stöd av denna artikel, utan några som helst begränsningar kunna avse iakttagandet av samtliga villkor och begränsningar som föreskrivs i förordningen vad gäller behandling av personuppgifter.

56 En sådan domstolsprövning ska särskilt syfta till att kontrollera huruvida behandlingen av sådana uppgifter är nödvändig i den mening som avses i artiklarna 5, 6 och 9 i dataskyddsförordningen. Artikel 88 i dataskyddsförordningen kan med andra ord inte tolkas så, att parterna i ett kollektivavtal förfogar över ett handlingsutrymme som gör det möjligt för dem att införa sådana mer specifika regler som innebär att nämnda krav på nödvändighet tillämpas mindre strikt, eller till och med inte tillämpas alls.

57 Det är visserligen riktigt, såsom den hänskjutande domstolen och Irland har påpekat, att parterna i ett kollektivavtal i allmänhet har goda förutsättningar att bedöma huruvida en behandling av personuppgifter är nödvändig i ett konkret yrkessammanhang. Dessa parter har nämligen ofta omfattande kunskaper om behoven inom verksamhetsområdet och i den berörda branschen. En sådan bedömning får emellertid inte leda till att kollektivavtalsparterna ägnar sig åt kompromisser av ekonomiska eller praktiska skäl, vilka på ett otillbörligt sätt skulle kunna undergräva dataskyddsförordningens syfte att säkerställa en hög skyddsnivå för de anställdas grundläggande fri- och rättigheter med avseende på behandling av deras personuppgifter.

58 En tolkning av artikel 88 i dataskyddsförordningen som innebär att de nationella domstolarna inte kan göra en fullständig domstolsprövning av ett kollektivavtal, i synnerhet för att kontrollera huruvida de skäl som parterna i kollektivavtalet har anfört visar att den behandling av personuppgifter som följer av avtalet är nödvändig, skulle således inte vara förenlig med förordningen, med hänsyn till det skyddssyfte som det erinrats om i föregående punkt.

59 För det fall den nationella domstol vid vilken talan väckts, genom sin prövning, finner att vissa regler i det ifrågavarande kollektivavtalet innebär att de villkor och begränsningar som föreskrivs i dataskyddsförordningen inte iakttas, ankommer det slutligen på den nationella domstolen att avstå från att tillämpa dessa regler, i enlighet med den rättspraxis som anges i punkt 53 ovan.

60 Mot bakgrund av ovanstående överväganden ska den andra frågan besvaras enligt följande. Artikel 88.1 i dataskyddsförordningen ska tolkas så, att när ett kollektivavtal omfattas av tillämpningsområdet för denna bestämmelse utgör det utrymme för skönsmässig bedömning som parterna i kollektivavtalet förfogar över för att avgöra huruvida en behandling av personuppgifter är nödvändig, i den mening som avses i artiklarna 5, 6.1 samt 9.1 och 9.2 i förordningen, inte hinder för att den nationella domstolen gör en fullständig domstolsprövning i detta avseende.

61 Mot bakgrund av svaret på den andra frågan, saknas det anledning att besvara den tredje frågan.

62 Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.

1 Rättegångsspråk: tyska.