–

MK, esindaja: Rechtsanwalt J. Zäh,

–

K GmbH, esindaja: Rechtsanwältin B. Geck,

–

Iirimaa, esindajad: Chief State Solicitor M. Browne, A. Joyce ja M. Tierney, keda abistas D. Fennelly, BL,

–

Itaalia valitsus, esindaja: G. Palmieri, keda abistas avvocato dello Stato G. Natale,

–

Euroopa Komisjon, esindajad: A. Bouchagiar, M. Heller ja H. Kranenborg,

1

Eelotsusetaotlus käsitleb Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1; edaspidi „isikuandmete kaitse üldmäärus“) artikli 82 lõike 1 ning artikli 88 lõigete 1 ja 2 tõlgendamist koostoimes artikli 5, artikli 6 lõike 1 ning artikli 9 lõigetega 1 ja 2.

2

Taotlus on esitatud füüsilise isiku MK ja tema tööandja K GmbH vahelises kohtuvaidluses sellise mittevaralise kahju hüvitamise üle, mis nimetatud füüsilisel isikul väidetavalt tekkis seoses vastava äriühingu poolt selle isiku isikuandmete töötlemisega tööandja ja töötajate esinduskogu vahel sõlmitud lepingu alusel.

3

Isikuandmete kaitse üldmääruse põhjendused 8, 10 ja 155 on sõnastatud järgmiselt:

[…]

[…]

4

Määruse artiklis 4 „Mõisted“ on sätestatud:

„Käesolevas määruses kasutatakse järgmisi mõisteid:

[…]

[…]“.

5

Isikuandmete kaitse üldmääruse II peatükk „Põhimõtted“ sisaldab artikleid 5–11.

6

Määruse artiklis 5 „Isikuandmete töötlemise põhimõtted“ on ette nähtud:

„1.   Isikuandmete töötlemisel tagatakse, et

[…]

[…]

2.   Lõike 1 täitmise eest vastutab ja on võimeline selle täitmist tõendama vastutav töötleja („vastutus“).“

7

Nimetatud määruse artiklis 6 „Isikuandmete töötlemise seaduslikkus“ on ette nähtud:

„1.   Isikuandmete töötlemine on seaduslik ainult juhul, kui on täidetud vähemalt üks järgmistest tingimustest, ning sellisel määral, nagu see tingimus on täidetud:

Esimese lõigu punkti f ei kohaldata, kui isikuandmeid töötleb avaliku sektori asutus oma ülesannete täitmisel.

2.   Liikmesriigid võivad säilitada või kehtestada konkreetsemad sätted, et kohandada käesoleva määruse sätete kohaldamist seoses isikuandmete töötlemisega lõike 1 punktide c ja e täitmiseks, määrates üksikasjalikumalt kindlaks töötlemise konkreetsed nõuded ja teised meetmed, et tagada seaduslik ja õiglane töötlemine, sealhulgas teiste andmetöötluse eriolukordade jaoks, nagu see on sätestatud IX peatükis.

3.   Lõike 1 punktides c ja e osutatud isikuandmete töötlemise alus kehtestatakse:

[…] See õiguslik alus võib sisaldada erisätteid, et kohandada käesoleva määruse sätete kohaldamist, sealhulgas üldtingimusi, mis reguleerivad vastutava töötleja poolt isikuandmete töötlemise seaduslikkust, töötlemisele kuuluvate andmete liiki, asjaomaseid andmesubjekte, üksuseid, kellele võib isikuandmeid avaldada, ja avaldamise põhjuseid, eesmärgi piirangut, säilitamise aega ning isikuandmete töötlemise toiminguid ja -menetlusi, sealhulgas meetmeid seadusliku ja õiglase töötlemise tagamiseks, nagu näiteks meetmed teiste andmetöötluse eriolukordade jaoks, nagu need on sätestatud IX peatükis. […]

[…]“.

8

Määruse artikkel 9 „Isikuandmete eriliikide töötlemine“ on sõnastatud järgmiselt:

„1.   Keelatud on töödelda isikuandmeid, millest ilmneb rassiline või etniline päritolu, poliitilised vaated, usulised või filosoofilised veendumused või ametiühingusse kuulumine, geneetilisi andmeid, füüsilise isiku kordumatuks tuvastamiseks kasutatavaid biomeetrilisi andmeid, terviseandmeid või andmeid füüsilise isiku seksuaalelu ja seksuaalse sättumuse kohta.

2.   Lõiget 1 ei kohaldata, kui kehtib üks järgmistest asjaoludest:

[…]“.

9

Isikuandmete kaitse üldmääruse VIII peatükki „Õiguskaitsevahendid, vastutus ja karistused“ kuuluva artikli 82 „Õigus hüvitisele ja vastutus“ lõikes 1 on ette nähtud:

„Igal isikul, kes on kandnud käesoleva määruse rikkumise tulemusel materiaalset või mittemateriaalset kahju, on õigus saada vastutavalt töötlejalt või volitatud töötlejalt hüvitist tekitatud kahju eest.“

10

Isikuandmete kaitse üldmääruse IX peatükki „Isikuandmete töötlemise eriolukordi käsitlevad sätted“ kuuluva artikli 88 „Isikuandmete töötlemine töösuhete kontekstis“ lõigetes 1 ja 2 on ette nähtud:

„1.   Liikmesriigid võivad õigusaktide või kollektiivlepingutega ette näha täpsemad eeskirjad, et tagada õiguste ja vabaduste kaitse seoses töötajate isikuandmete töötlemisega töösuhete kontekstis, eelkõige seoses töötajate värbamisega, töölepingu, sealhulgas õigusaktides või kollektiivlepingutes sätestatud kohustuste täitmisega, juhtimisega, töö kavandamise ja korraldamisega, võrdsuse ja mitmekesisusega töökohal, töötervishoiu ja tööohutusega, tööandja või kliendi vara kaitsega ning tööhõivega seotud õiguste ja hüvitiste isikliku või kollektiivse kasutamisega ning töösuhte lõppemisega.

2.   Need eeskirjad sisaldavad sobivaid ja konkreetseid meetmeid, et kaitsta andmesubjekti inimväärikust, õigustatud huve ja põhiõigusi, eelkõige seoses töötlemise läbipaistvusega, isikuandmete edastamisega kontserni või ühise majandustegevusega tegelevate ettevõtjate rühma siseselt ning järelevalvesüsteemidega töökohal.“

11

Isikuandmete kaitse üldmääruse artikkel 99 „Jõustumine ja kohaldamine“ on sõnastatud järgmiselt:

„1.   Käesolev määrus jõustub kahekümnendal päeval pärast selle avaldamist Euroopa Liidu Teatajas.

2.   Seda kohaldatakse alates 25. maist 2018.“

12

30. juuni 2017. aasta föderaalse andmekaitseseaduse (Bundesdatenschutzgesetz) (BGBl. 2017 I, lk 2097; edaspidi „BDSG“) § 26 „Isikuandmete töötlemine töösuhete kontekstis“ lõigetes 1 ja 4 on ette nähtud:

„(1)   Töötajate isikuandmete töötlemine töösuhete kontekstis on lubatud, kui see on vajalik seoses töösuhte tekkimise kindlaks tegemisega või pärast töösuhte tekkimist selle täitmise või lõpetamisega või töötajate huvide esindamisega seadusest, kollektiivlepingust ning tööandja ja töötajate esinduskogu vahel sõlmitud lepingust (kollektiivleping) tulenevate õiguste teostamiseks või kohustuste täitmiseks. […]

[…]

(4)   Töötajate isikuandmete, sealhulgas isikuandmete eriliikide töötlemine on töösuhte kontekstis kollektiivlepingu alusel lubatud. Seejuures peavad läbirääkimiste osapooled täitma [isikuandmete kaitse üldmääruse] artikli 88 lõiget 2.“

13

Põhikohtuasja kaebaja on põhikohtuasja vastustaja, Saksa õiguse alusel asutatud äriühingu töötaja ja selles äriühingus moodustatud töötajate esinduskogu esimees.

14

Esialgu töötles nimetatud äriühing oma töötajate teatavaid isikuandmeid eelkõige raamatupidamise eesmärgil, kasutades tarkvara SAP (edaspidi „tarkvara SAP“), ning sõlmis töötajate esinduskoguga selle kohta mitu lepingut (edaspidi „tööandja ja töötajate esinduskogu vahel sõlmitud lepingud“).

15

Kontsern D, kuhu põhikohtuasja vastustaja kuulub (edaspidi „kontsern D“), võttis 2017. aastal kogu selles kontsernis kasutusele pilvepõhise (cloud) ühtse personaliinfosüsteemi tarkvara Workday (edaspidi „tarkvara Workday“). Sellega seoses edastas põhikohtuasja vastustaja oma töötajate eri isikuandmed tarkvarast SAP kontserni D Ameerika Ühendriikides asuva emaettevõtja serverisse.

16

Põhikohtuasja vastustaja ja tema töötajate esinduskogu sõlmisid 3. juulil 2017 tarkvara Workday kasutuselevõtu suhtes salliva suhtumise kokkuleppe (edaspidi „salliva suhtumise kokkulepe“), mis keelas tarkvara testimisfaasis muu hulgas selle, et nimetatud tarkvara kasutatakse personalijuhtimiseks, näiteks töötaja hindamiseks. Kokkuleppe lisa 2 kohaselt olid ainsad andmekategooriad, mida võis tarkvarasse Workday ülekandmiseks edastada, kontserni D töötajate ametinumber, perekonnanimi, eesnimi, telefoninumber, asjaomases äriühingus tööle asumise kuupäev, kontsernis D tööle asumise kuupäev, töökoht, asjaomase äriühingu nimi ning töötelefoni number ja töökoha e-posti aadress. Lepingut pikendati kuni 23. jaanuaril 2019 sõlmitud tööandja ja töötajate esinduskogu vahel sõlmitud lõpliku lepingu jõustumiseni.

17

Sellega seoses esitas põhikohtuasja kaebaja territoriaalselt pädevale Arbeitsgerichtile (töökohus, Saksamaa) ja seejärel Landesarbeitsgerichtile (liidumaa kõrgeim töökohus, Saksamaa) nõuded võimaldada tal tutvuda teatava teabega, kustutada teda puudutavad andmed ning mõista talle välja hüvitis. Nimetatud kaebaja väitis muu hulgas, et põhikohtuasja vastustaja edastas emaettevõtja serverisse teda puudutavad isikuandmed, millest teatavaid ei olnud salliva suhtumise kokkuleppes mainitud, nimelt tema isiklikud kontaktandmed, lepingu ja töötasu üksikasjad, sotsiaalkindlustus- ja maksukohustuslase number, kodakondsus ja perekonnaseis.

18

Kuna põhikohtuasja kaebaja nõuet täielikult ei rahuldatud, esitas ta kassatsioonkaebuse Bundesarbeitsgerichtile (Saksamaa Liitvabariigi kõrgeim töökohus), kes on eelotsusetaotluse esitanud kohus. Ainus veel vaidluse all olev nõue on kaebaja nõue hüvitada talle isikuandmete kaitse üldmääruse alusel mittevaraline kahju, mis väidetavalt tekitati tema isikuandmete õigusvastase töötlemisega tarkvara Workday abil ajavahemikul alates esimesest kuupäevast, mil nimetatud määrus muutus kohaldatavaks, st 25. maist 2018, kuni 2019. aasta esimese trimestri lõpuni.

19

Mis puudutab selle töötlemise seaduslikkust, siis väidab põhikohtuasja kaebaja esiteks, et see ei olnud vajalik seoses töösuhtega, mille jaoks põhikohtuasja vastustaja siis tarkvara SAP kasutas, ega ka tarkvara Workday testimiseks, kuna fiktiivsete andmete kasutamisest oleks piisanud ja nii oleks olnud tagatud, et kontsernis D ei tehta kättesaadavaks mingeid tegelikke andmeid. Teiseks, isegi kui eeldada, et salliva suhtumise kokkulepe võib olla sellise töötlemise kehtiv alus, on selles sisalduvat luba ületatud, kuna vastustaja edastas muid andmeid kui need, mis on ette nähtud kokkuleppe lisas 2. Lõpuks on põhikohtuasja vastustaja ülesanne tõendada, et tema tegevus on isikuandmete kaitse üldmäärusega kooskõlas.

20

Põhikohtuasja vastustaja väidab vastu, et kõnealune töötlemine vastab isikuandmete kaitse üldmääruse nõuetele, et tõendamiskoormis lasub põhikohtuasja kaebajal ning et ta ei ole tõendanud mittevaralise kahju olemasolu ega põhjuslikku seost selle määruse võimaliku rikkumise ja väidetava kahju vahel.

21

Eelotsusetaotluse esitanud kohus leiab, et põhikohtuasja kaebaja vaidlusalused toimingud kuuluvad isikuandmete kaitse üldmääruse esemelisse kohaldamisalasse, kuna tegemist on vastava „andmesubjekti“„isikuandmete“„töötlemisega“ selle määruse artikli 4 punktide 1 ja 2 tähenduses. Lisaks märgib ta, et põhikohtuasja vastustaja on „vastutav töötleja“ nimetatud määruse artikli 4 punkti 7 tähenduses. Seoses viimati nimetatud õigusakti ajalise kohaldamisalaga tõdeb ta, et töötlemine algas küll enne kuupäeva, mil see instrument muutus kohaldatavaks, kuid pärast seda see siiski jätkus, kuna salliva suhtumise kokkulepet pikendati mitu korda.

22

Selles kontekstis küsib eelotsusetaotluse esitanud kohus esiteks, kas isikuandmete kaitse üldmäärusega on kooskõlas riigisisene õigusnorm, mis reguleerib isikuandmete töötlemist töösuhete kontekstis ja mis näeb sisuliselt ette, et kollektiivlepingu alusel toimuv isikuandmete töötlemine on seaduslik, kui täidetud on isikuandmete kaitse üldmääruse artikli 88 lõige 2, nagu ka BDSG § 26 lõige 4, või peab asjaomane töötlemine selleks olema kooskõlas ka kõnealuse määruse muude sätetega. Kõnealune kohus kaldub arvama, et kui töötajate isikuandmete töötlemist reguleerib kollektiivleping isikuandmete kaitse üldmääruse artikli 88 tähenduses, ei saa sellisel töötlemisel arvestada mitte ainult kõnealuse artiklist 88, vaid ka selle määruse artiklist 5, artikli 6 lõikest 1 ning artikli 9 lõigetest 1 ja 2 tulenevate nõuetega, eelkõige mis puudutab kolmes viimati nimetatud artiklis ette nähtud töötlemise vajalikkuse kriteeriumi.

23

Teiseks, kui vastus esimesele küsimusele on jaatav, palub eelotsusetaotluse esitanud kohus selgitada, kas sellise kollektiivlepingu pooltel on hindamisruum, mille üle saab asjaomase töötlemise vajalikkuse hindamisel isikuandmete kaitse üldmääruse artikli 5, artikli 6 lõike 1 ning artikli 9 lõigete 1 ja 2 tähenduses teostada üksnes piiratud kohtulikku kontrolli. Tema arvates saab seda seisukohta toetada argumendiga, et need isikud olid äriühingu igapäevaste tegemistega väga lähedalt seotud ja nende puhul oli asjaomaste huvide sobiv tasakaal üldiselt saavutatud. Euroopa Kohtu kohtupraktika seoses muude liidu õiguse aktidega, eelkõige 7. veebruari 1991. aasta kohtuotsus Nimz (C‑184/89, EU:C:1991:50) ja 20. märtsi 2003. aasta kohtuotsus Kutz-Bauer (C‑187/00, EU:C:2003:168), viitab siiski sellele, et selle õiguse kohaldamisalasse kuuluva kollektiivlepingu tingimused ei saa olla selle õigusega vastuolus ja et vajaduse korral tuleb sellised tingimused jätta kohaldamata.

24

Kolmandaks, juhul kui vastus teisele küsimusele on jaatav, palub eelotsusetaotluse esitanud kohus selgitada, milliste hindamiskriteeriumide alusel peab vastavalt olukorrale olema tema teostatav kohtulik kontroll piiratud.

25

Lõpuks puudutasid neljas kuni kuues küsimus, mille see kohus algul esitas, enne kui ta need tagasi võttis, sisuliselt õigust mittevaralise kahju hüvitamisele vastavalt isikuandmete kaitse üldmääruse artikli 82 lõikele 1.

26

Neil asjaoludel otsustas Bundesarbeitsgericht (liitvabariigi kõrgeim töökohus) menetluse peatada ja esitada Euroopa Kohtule järgmised eelotsuse küsimused:

27

Euroopa Kohtu presidendi 24. jaanuari 2024. aasta otsusega toimetati 4. mai 2023. aasta kohtuotsus Österreichische Post (isikuandmete töötlemisega seotud mittevaraline kahju) (C‑300/21, EU:C:2023:370), 14. detsembri 2023. aasta kohtuotsus Natsionalna agentsia za prihodite (C‑340/21, EU:C:2023:986), 14. detsembri 2023. aasta kohtuotsus Gemeinde Ummendorf (C‑456/22, EU:C:2023:988), 21. detsembri 2023. aasta kohtuotsus Krankenversicherung Nordrhein (C‑667/21, EU:C:2023:1022) ning 25. jaanuari 2024. aasta kohtuotsus MediaMarktSaturn (C‑687/21, EU:C:2024:72) eelotsusetaotluse esitanud kohtule kätte, et see kohus täpsustaks, kas neid kohtuotsuseid arvestades soovib ta jääda eelkõige seoses neljanda kuni kuuenda küsimusega oma eelotsusetaotluse juurde.

28

Euroopa Kohtu presidendi 15. märtsi 2024. aasta otsusega peatati menetlus Euroopa Kohtu kodukorra artikli 55 lõike 1 punkti b alusel kuni esitatud küsimusele vastuse saamiseni.

29

Eelotsusetaotluse esitanud kohus teatas 8. mail 2024 Euroopa Kohtusse saabunud kirjalikus teates, et võtab oma neljanda kuni kuuenda küsimuse tagasi, kuid jääb esimese kuni kolmanda küsimuse juurde.

30

Põhikohtuasja vastustaja väidab, et esimene kuni kolmas küsimus on vastuvõetamatud, kuna need ei ole eelotsusetaotluse esitanud kohtu menetluses oleva vaidluse lahendamisel asjakohased. Sisuliselt väidab ta, et põhikohtuasja kaebaja ei vaidlusta mitte käesolevas asjas kohaldatava tööandja ja töötajate esinduskogu vahel sõlmitud lepingu sisu, vaid selle lepingu piiride ületamist vaidlusaluse andmete töötlemise kaudu, mistõttu ei ole vaidluse ese sellise lepingu suhtes kohaldatavate üldmääruse artikli 88 nõuete rikkumine. Lisaks on need küsimused hüpoteetilised, kuna nende eesmärk on võimaldada eelotsusetaotluse esitanud kohtul kontrollida asjaomase töötlemise seaduslikkust tervikuna, mitte üksnes seoses põhikohtuasjas kaebaja poolt vaidlustatud asjaoludega.

31

Sellega seoses tuleb märkida, et vastavalt väljakujunenud kohtupraktikale on üksnes asja menetleval ja selle lahendamise eest vastutaval liikmesriigi kohtul õigus kohtuasja eripära arvesse võttes hinnata nii eelotsuse vajalikkust kohtuasjas otsuse langetamiseks kui ka nende küsimuste asjakohasust, mis ta Euroopa Kohtule esitab ja mille asjasse puutuvust eeldatakse. Seega, kui küsimused on esitatud liidu õigusnormi tõlgendamise või kehtivuse kohta, on Euroopa Kohus üldjuhul kohustatud vastama, välja arvatud juhul, kui ilmneb, et taotletud tõlgendamine ei ole mingil viisil seotud põhikohtuasja faktiliste asjaolude või esemega, või ka juhul, kui probleem on hüpoteetiline või kui Euroopa Kohtule ei ole teada faktilised või õiguslikud asjaolud, mis on vajalikud nimetatud küsimustele tarviliku vastuse andmiseks (20. juuni 2024. aasta kohtuotsus Scalable Capital, C‑182/22 ja C‑189/22, EU:C:2024:531, punkt 18 ja seal viidatud kohtupraktika).

32

Käesolevas asjas puudutavad esimene kuni kolmas küsimus mitme liidu õiguse sätte tõlgendamist, täpsemalt isikuandmete kaitse üldmääruse artikli 88 tõlgendamist koostoimes selle artiklitega 5, 6 ja 9. Lisaks leiab eelotsusetaotluse esitanud kohus, et käesolevas asjas kohaldatavas tööandja ja töötajate esinduskogu vahel sõlmitud lepingus, mida ta kirjeldab kui kollektiivlepingut selle määruse tähenduses, kindlaks määratud piire on ületatud ning põhikohtuasjas kõne all olevat isikuandmete töötlemist tuleb analüüsida tervikuna, kuna see võib olla ebaseaduslik nii BDSG § 26 lõike 1 kui ka lõike 4 seisukohast, milles on sõnaselgelt viidatud isikuandmete kaitse üldmääruse artiklile 88.

33

Sellest järeldub, et eelotsusetaotlus on vastuvõetav.

34

Esimese küsimusega soovib eelotsusetaotluse esitanud kohus sisuliselt teada, kas isikuandmete kaitse üldmääruse artikli 88 lõikeid 1 ja 2 tuleb tõlgendada nii, et sellise riigisisese õigusnormi mõju, mis käsitleb isikuandmete töötlemist töösuhete kontekstis ja mis on vastu võetud osutatud määruse artikli 88 lõike 1 alusel, peab olema niisugune, et selle adressaadid on kohustatud täitma mitte ainult üldmääruse artikli 88 lõikest 2, vaid ka artiklist 5, artikli 6 lõikest 1 ning artikli 9 lõigetest 1 ja 2 tulenevaid nõudeid.

35

Sellega seoses tuleb meelde tuletada, et isikuandmete kaitse üldmääruse eesmärk on tagada isikuandmete kaitset käsitlevate liikmesriikide õigusaktide põhimõtteliselt täielik ühtlustamine. Kõnealuse määruse teatavad sätted annavad liikmesriikidele siiski võimaluse näha ette täiendavaid, rangemaid või erandeid ettenägevaid riigisiseseid eeskirju, mis jätavad liikmesriikidele hindamisruumi nende sätete rakendamisel („avatuse klauslid“) (vt selle kohta 30. märtsi 2023. aasta kohtuotsus Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punkt 51 ja seal viidatud kohtupraktika).

36

Isikuandmete kaitse üldmääruse artiklis 88, mis käsitleb isikuandmete töötlemist töösuhete kontekstis, on sätestatud tingimused, mille alusel võivad liikmesriigid õigusaktide või kollektiivlepingutega näha ette „täpsemad eeskirjad“, et tagada õiguste ja vabaduste kaitse seoses töötajate isikuandmete töötlemisega. Määruse põhjenduses 155 on muu hulgas märgitud, et mõiste „kollektiivleping“ selle artikli 88 tähenduses hõlmab selliseid „tööandja ja töötajate esinduskogu vahel sõlmitud lepinguid“, nagu on kõne all põhikohtuasjas. Lisaks on määruse artiklites 5, 6 ja 9 sätestatud vastavalt isikuandmete töötlemise põhimõtted, töötlemise seaduslikkuse tingimused ja selliste andmete eriliikide töötlemise eeskirjad.

37

Väljakujunenud kohtupraktika kohaselt tuleb sellise liidu õigusnormi sõnastust, nagu on isikuandmete kaitse üldmääruse artikkel 88, milles ei ole selle tähenduse ning kohaldamisala kindlaksmääramiseks sõnaselgelt viidatud liikmesriikide õigusele, tavaliselt kogu liidus tõlgendada autonoomselt ja ühetaoliselt ning selleks tuleb eelkõige arvesse võtta asjaomase sätte sõnastust, sellega taotletavaid eesmärke ja konteksti (vt analoogia alusel 14. detsembri 2023. aasta kohtuotsus Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punkt 23 ja seal viidatud kohtupraktika).

38

Esiteks nähtub isikuandmete kaitse üldmääruse artikli 88 sõnastusest, et selle lõikega 1 lubatud „täpsematel eeskirjadel“ peab olema reguleeritavale valdkonnale omane normatiivne sisu, mis erineb selle määruse üldnormidest, samas kui selle artikli lõikes 2 on kooskõlas kõnealuse määruse riigisiseste õigusaktide ühtlustamise eesmärgiga piiritletud nende liikmesriikide hindamisruumi, kes plaanivad võtta nimetatud artikli lõike 1 alusel vastu riigisisesed eeskirjad (vt selle kohta 30. märtsi 2023. aasta kohtuotsus Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punktid 61, 65, 72 ja 75).

39

Seevastu ei sisalda see sõnastus sõnaselget viidet selle kohta, kas „täpsemad eeskirjad“, mida liikmesriigid võivad seega ette näha, peavad olema suunatud üksnes isikuandmete kaitse üldmääruse artikli 88 lõikes 2 sätestatud nõuete või ka selle määruse muude sätete täitmisele, mistõttu peab isikuandmete töötlemine selliste eeskirjade alusel lisaks olema kooskõlas viimati nimetatud sätetega.

40

Teiseks, mis puudutab isikuandmete kaitse üldmääruse artikli 88 eesmärke, siis on Euroopa Kohus juba otsustanud, et osutatud artikkel kujutab endast „avatuse klauslit“ ja et liikmesriikidele niisuguse artikli lõikega 1 antud võimalus on sellise töötlemise eripära arvestades seletatav eelkõige alluvussuhtega töötaja ja tööandja vahel. Ta täpsustas, et üldmääruse artikli 88 lõikega 2 kehtestatud tingimused peegeldavad liikmesriikidele jäetud hindamisruumi piire selles mõttes, et sellega kaasnevat ühtlustamise puudumist saab lubada vaid juhul, kui allesjäänud erinevustega kaasnevad konkreetsed ja sobivad tagatised, mille eesmärk on kaitsta töötajate õigusi ja vabadusi seoses nende isikuandmete töötlemisega töösuhete kontekstis (vt selle kohta 30. märtsi 2023. aasta kohtuotsus Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punktid 52, 53 ja 73).

41

Lisaks on Euroopa Kohus rõhutanud, et kui liikmesriigid kasutavad neile isikuandmete kaitse üldmääruse artikliga 88 antud võimalust, peavad nad oma hindamisruumi kasutama selle määruse sätetes ette nähtud tingimustel ja piires ning seega peavad nad õigusakte vastu võtma viisil, mis ei kahjusta üldmääruse sisu ja eesmärke, millega soovitakse eelkõige tagada andmesubjektide õiguste ja vabaduste kõrgetasemeline kaitse, nagu nähtub määruse põhjendusest 10. Järelikult peab liikmesriigi poolt selle artikli 88 alusel vastu võetud õigusnormide eesmärk olema kaitsta töötajate õigusi ja vabadusi seoses nende isikuandmete töötlemisega (vt selle kohta 30. märtsi 2023. aasta kohtuotsus Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punktid 54, 59, 62 ja 74).

42

Isikuandmete kaitse üldmääruse artiklit 88 ei saa aga tõlgendada nii, et „täpsemad eeskirjad“, mida liikmesriikidel on õigus selle artikli alusel vastu võtta, võivad olla suunatud sellele või põhjustada seda, et vastutav töötleja või isegi volitatud töötleja saab kõrvale hoida oma kohustustest, mis tulenevad selle määruse muudest sätetest, sest vastasel juhul kahjustataks kõiki neid eesmärke, eelkõige eesmärki tagada töötajate kõrgetasemeline kaitse juhul, kui nende isikuandmeid töödeldakse töösuhete kontekstis.

43

Sellest järeldub, et isikuandmete kaitse üldmääruse artikli 88 lõikeid 1 ja 2 tuleb tõlgendada nii, et isegi kui liikmesriigid tuginevad sellele artiklile selleks, et kehtestada oma vastavates riigisisestes õiguskordades seaduse või kollektiivlepingutega „täpsemad eeskirjad“, peavad täidetud olema ka nõuded, mis tulenevad muudest sätetest, millele on käesolevas küsimuses konkreetselt viidatud, nimelt selle määruse artiklist 5, artikli 6 lõikest 1 ning artikli 9 lõigetest 1 ja 2. Nii on see eelkõige nendes sätetes ette nähtud töötlemise vajalikkuse kriteeriumi järgimisega, mille kohta eelotsusetaotluse esitanud kohus täpsemalt küsib.

44

Kolmandaks kinnitab seda tõlgendust isikuandmete kaitse üldmääruse artikli 88 kontekst.

45

Isikuandmete kaitse üldmääruse artikkel 88 kuulub IX peatükki „Isikuandmete töötlemise eriolukordi käsitlevad sätted“, samas kui selle määruse artiklid 5, 6 ja 9 sisalduvad määruse II peatükis „Põhimõtted“, millel on seega üldisem kohaldamisala. Lisaks nähtub selgesti artikli 6 sõnastusest, mille lõigetes 2 ja 3 on sõnaselgelt viidatud IX peatüki sätetele, et artiklis 6 ette nähtud seaduslikkuse tingimused on siduvad ka „eriolukordades“, mida reguleerivad IX peatüki sätted.

46

Lisaks tuleneb väljakujunenud kohtupraktikast, et isikuandmete töötlemisel tuleb järgida isikuandmete töötlemist reguleerivaid põhimõtteid ja andmesubjekti õigusi, mis on sätestatud vastavalt isikuandmete kaitse üldmääruse II ja III peatükis. Eelkõige peab see vastama nende andmete töötlemise põhimõtetele, mis on ette nähtud määruse artiklis 5, ja vastama määruse artiklis 6 loetletud töötlemise seaduslikkuse tingimustele (vt selle kohta 2. märtsi 2023. aasta kohtuotsus Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, punkt 43, ja 11. juuli 2024. aasta kohtuotsus Meta Platforms Ireland (esindushagi), C‑757/22, EU:C:2024:598, punkt 49 ning seal viidatud kohtupraktika).

47

Mis puudutab konkreetsemalt seda, kuidas isikuandmete kaitse üldmääruse artikkel 88 suhestub selle määruse muude sätetega, siis märkis Euroopa Kohus eelkõige määruse põhjendust 8 arvestades, et vaatamata võimalike „täpsemate eeskirjade“ olemasolule, mille liikmesriigid on määruse artikli 88 lõike 1 alusel vastu võtnud, tuleb isikuandmete töötlemisel järgida kohustusi, mis tulenevad sama määruse II ja III peatüki sätetest ning eelkõige selle artiklitest 5 ja 6 (vt selle kohta 30. märtsi 2023. aasta kohtuotsus Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punktid 67–71).

48

Samamoodi tuleb isikuandmete kaitse üldmääruse artiklist 9 tulenevaid kohustusi järgida igasuguse selle määruse kohaldamisalasse kuuluva isikuandmete töötlemise puhul, sealhulgas siis, kui esinevad selle määruse artikli 88 lõike 1 alusel vastu võetud „täpsemad eeskirjad“. Nimelt asub nimetatud artikkel 9, mis reguleerib selles loetletud andmete eriliikide töötlemist, määruse II peatükis, nagu ka artiklid 5 ja 6, milles sätestatud nõuded saavad kumuleeruda artiklist 9 tulenevate nõuetega (vt selle kohta 21. detsembri 2023. aasta kohtuotsus Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punktid 73, 77–79). Lisaks on see tõlgendus kooskõlas sama artikli 9 eesmärgiga, milleks on tagada suurem kaitse töötlemise eest, mis asjaomaste andmete erilise tundlikkuse tõttu võib kujutada endast andmesubjektide põhiõiguste eriti tõsist riivet (vt selle kohta 4. oktoobri 2024. aasta kohtuotsus Lindenapotheke, C‑21/23, EU:C:2024:846, punkt 89 ja seal viidatud kohtupraktika).

49

Seega juhul, kui liikmesriigi õigus sisaldab „täpsemaid eeskirju“ isikuandmete kaitse üldmääruse artikli 88 lõike 1 tähenduses, peab nende eeskirjadega hõlmatud isikuandmete töötlemine vastama mitte ainult selle artikli lõigetes 1 ja 2 sätestatud tingimustele, vaid ka selle määruse artiklites 5, 6 ja 9 sätestatud tingimustele, nagu neid on tõlgendatud Euroopa Kohtu praktikas.

50

Eeltoodud kaalutlusi arvestades tuleb esimesele küsimusele vastata, et isikuandmete kaitse üldmääruse artikli 88 lõikeid 1 ja 2 tuleb tõlgendada nii, et sellise riigisisese õigusnormi mõju, mis käsitleb isikuandmete töötlemist töösuhete kontekstis ja mis on ette nähtud üldmääruse artikli 88 lõike 1 alusel, peab olema niisugune, et selle adressaadid on kohustatud täitma mitte ainult üldmääruse artikli 88 lõikest 2, vaid ka artiklist 5, artikli 6 lõikest 1 ning artikli 9 lõigetest 1 ja 2 tulenevaid nõudeid.

51

Teise küsimusega palub eelotsusetaotluse esitanud kohus sisuliselt selgitada, kas isikuandmete kaitse üldmääruse artikli 88 lõiget 1 tuleb tõlgendada nii, et juhul, kui kollektiivleping kuulub selle sätte kohaldamisalasse, takistab hindamisruum, mis on kollektiivlepingu pooltel selle kindlaksmääramisel, kas isikuandmete töötlemine on asjaomase määruse artikli 5, artikli 6 lõike 1 ning artikli 9 lõigete 1 ja 2 tähenduses „vajalik“, liikmesriigi kohtul teostada selles küsimuses täielikku kohtulikku kontrolli.

52

Kõigepealt tuleb märkida, et nagu on rõhutatud käesoleva kohtuotsuse punktis 41, peavad liikmesriigid, kes kasutavad neile isikuandmete kaitse üldmääruse artikliga 88 antud võimalust, kasutama oma kaalutlusõigust selle määruse sätetes ette nähtud tingimustel ja piires ning seega tagama, et „täpsemad eeskirjad“, mille nad oma riigisisesesse õiguskorda lisavad, ei kahjustaks selle määruse sisu ja eesmärke. Nende eeskirjade eesmärk peab olema eelkõige tagada töötajate põhiõiguste ja -vabaduste kõrgetasemeline kaitse seoses nende isikuandmete töötlemisega töösuhetes.

53

Mis puudutab niisuguste erinormide üle teostatava kohtuliku kontrolli ulatust, siis on Euroopa Kohus juba otsustanud, et asja menetleval liikmesriigi kohtul, kes on ainsana pädev riigisisest õigust tõlgendama, tuleb hinnata, kas need õigusnormid tõesti vastavad tingimustele ja piirangutele, mis on eelkõige isikuandmete kaitse üldmääruse artiklis 88 ette nähtud. Liidu õiguse esimuse põhimõtte kohaselt peab see kohus juhul, kui ta jõuab järeldusele, et asjaomased riigisisesed õigusnormid ei vasta nendele tingimustele ja piiridele, jätma need sätted kohaldamata. Kui puuduvad täpsemad eeskirjad, mis vastaksid artikli 88 nõuetele, reguleerib töösuhetes isikuandmete töötlemist otseselt see määrus (vt selle kohta 30. märtsi 2023. aasta kohtuotsus Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punktid 80, 82–84 ja 89).

54

Need kaalutlused kehtivad ka isikuandmete kaitse üldmääruse artiklis 88 nimetatud sellise kollektiivlepingu poolte kohta, nagu on kõne all põhikohtuasjas. Nagu Euroopa Komisjon oma kirjalikes seisukohtades sisuliselt märkis, peab kollektiivlepingu pooltel olema eelkõige selle lepingu piirangute osas samaväärne hindamisruum, kui on liikmesriikidel, kuna artikli 88 lõikes 1 viidatud „täpsemad eeskirjad“ võivad tuleneda eelkõige kollektiivlepingutest. Kõnealuse määruse põhjenduses 155 on samuti märgitud, et sellised eeskirjad võib ette näha liikmesriigi õiguses või kollektiivlepingutes, sealhulgas „tööandja ja töötajate esinduskogu vahel sõlmitud lepingutes“.

55

Seega, vaatamata hindamisruumile, mille isikuandmete kaitse üldmääruse artikkel 88 kollektiivlepingu pooltele jätab, peab kohtulik kontroll niisuguse kollektiivlepingu üle, nagu ka selle sätte alusel vastu võetud riigisisese õigusnormi üle saama ilma piiranguteta hõlmata kõigi selle määruse sätetega isikuandmete töötlemiseks ette nähtud tingimuste ja piiride järgimist.

56

Seejärel tuleb täpsustada, et niisuguse kohtuliku kontrolli eesmärk konkreetsemalt peab olema teha kindlaks, kas selliste andmete töötlemine on isikuandmete kaitse üldmääruse artiklite 5, 6 ja 9 tähenduses „vajalik“. Teisisõnu ei saa selle artiklit 88 tõlgendada nii, et kollektiivlepingu pooltel on hindamisruum, mis võimaldab neil näha ette „täpsemaid eeskirju“, mis viiksid nimetatud vajalikkuse nõude vähem range kohaldamiseni või isegi selle kohaldamata jätmiseni.

57

Nagu eelotsusetaotluse esitanud kohus ja Iirimaa sisuliselt märkisid, on kollektiivlepingu pooltel üldiselt head eeldused, et hinnata, kas andmete töötlemine on konkreetses kutsealases kontekstis vajalik, sest neil pooltel on tavaliselt laialdased teadmised asjaomase töö- ja tegevusvaldkonna spetsiifilistest vajadustest. Selline hindamisprotsess ei tohi siiski viia selleni, et pooled teevad ökonoomsusest või mugavusest tingitud kompromisse, mis võivad põhjendamatult kahjustada isikuandmete kaitse üldmääruse eesmärki tagada töötajaid puudutavate isikuandmete töötlemisel nende põhiõiguste ja -vabaduste kaitse kõrgel tasemel.

58

Seega ei oleks isikuandmete kaitse üldmääruse artikli 88 tõlgendus, mille kohaselt ei saa liikmesriigi kohtud teostada kollektiivlepingu üle täielikku kohtulikku kontrolli, eelkõige selleks, et kindlaks teha, kas kollektiivlepingu poolte esitatud põhjendused tõendavad sellest kokkuleppest tuleneva isikuandmete töötlemise vajalikkust, isikuandmete kaitse üldmäärusega kooskõlas, arvestades käesoleva kohtuotsuse eelmises punktis osutatud kaitse-eesmärki.

59

Viimaseks tuleb tõdeda, et juhul kui liikmesriigi kohus, kelle poole on pöördutud, jõuab oma kontrolli tulemusel järeldusele, et asjaomase kollektiivlepingu teatavad sätted ei vasta isikuandmete kaitse üldmääruses ette nähtud tingimustele ja piirangutele, peab ta vastavalt käesoleva kohtuotsuse punktis 53 viidatud kohtupraktikale jätma need sätted kohaldamata.

60

Eeltoodud kaalutlusi arvestades tuleb teisele küsimusele vastata, et isikuandmete kaitse üldmääruse artikli 88 lõiget 1 tuleb tõlgendada nii, et juhul, kui kollektiivleping kuulub selle sätte kohaldamisalasse, ei takista hindamisruum, mis on kollektiivlepingu pooltel selle kindlaksmääramisel, kas isikuandmete töötlemine on üldmääruse artikli 5, artikli 6 lõike 1 ning artikli 9 lõigete 1 ja 2 tähenduses „vajalik“, liikmesriigi kohtul teostada selles küsimuses täielikku kohtulikku kontrolli.

61

Teisele küsimusele antud vastust arvestades ei ole kolmandale küsimusele vaja vastata.

62

Kuna põhikohtuasja poolte jaoks on käesolev menetlus eelotsusetaotluse esitanud kohtus pooleli oleva asja üks staadium, otsustab kohtukulude jaotuse liikmesriigi kohus. Euroopa Kohtule seisukohtade esitamisega seotud kulusid, välja arvatud poolte kohtukulud, ei hüvitata.

Esitatud põhjendustest lähtudes Euroopa Kohus (kaheksas koda) otsustab: