Sakens bakgrunn

Under covid-19-pandemien tilrettela skolene i delstaten Hessen i Tyskland for digital undervisning via videokonferanse for elever som ikke kunne møte opp fysisk. For å sikre elevenes rettigheter etter personvernforordningen, ble det fastsatt krav om innhenting av samtykke til deltakelse fra myndige elever og fra foreldrene til de som var mindreårige, for at undervisningen skulle kunne skje via videokonferanse. Det ble ikke stilt tilsvarende krav om samtykke fra lærerne.

Personalutvalget for lærere i Hessen anla sak ved Verwaltungsgericht Wiesbaden (tysk forvaltningsdomstol i Wiesbaden) og gjorde gjeldende at direkteoverføring av undervisningen via videokonferanse også krevde de berørte lærernes samtykke. Verwaltungsgericht Wiesbaden er foreleggende rett.

EU-domstolens vurdering

Innledende bemerkninger

EU-domstolen tar først stilling til om behandlingen av lærernes personopplysninger i undervisningssituasjonen er omfattet av personvernforordningen. Ifølge TEUV artikkel 165 (1) er medlemsstatene selv ansvarlige for innholdet i og oppbyggingen av undervisning. Personvernforordningen får ifølge artikkel 2 (2) (a) ikke anvendelse på «utøvelse av en aktivitet som ikke omfattes av unionsretten». Men unntaket fra forordningen er hovedsakelig ment å gjelde aktivitet med formål å beskytte nasjonal sikkerhet, og skal derfor fortolkes svært innskrenkende, se C-272/19 Land Hessen og C-439/19 Latvijas Republikas Saeima (Strafpoint). Behandling av lærernes personopplysninger som i denne saken, er altså omfattet av forordningen.

Deretter påpeker EU-domstolen at alle ansatte, uavhengig av hvilket rettsforhold som knytter dem til arbeidsgiver, er omfattet av artikkel 88 i forordningen. Bestemmelsen gir medlemsstatene en mulighet, men ingen plikt, til å fastsette «nærmere regler» om «behandling i forbindelse med ansettelsesforhold» for å sikre vern av rettigheter og friheter ved behandling av arbeidstakeres personopplysninger. Bestemmelsen finner altså også anvendelse på spørsmålet om læreres personvern.

Første spørsmål

Det første spørsmålet EU-domstolen vurderer er om «nærmere regler» i personvernforordningens artikkel 88 (1) må oppfylle vilkårene som oppstilles i artikkel 88 (2).

EU-domstolen ser på ordlyd, kontekst og formål: Ordlyden «nærmere regler» tilsier at reglene skal ha et normativt innhold som skiller seg fra personvernforordningens generelle regler. Personopplysninger behandles i mange ulike tilfeller i forbindelse med ansettelsesforhold. Dette tilsier at medlemsstatene må ha et visst skjønn ved fastsettelsen av slike nærmere regler. Denne skjønnsmarginen må imidlertid utøves innenfor rammene av artikkel 88 (2) som sier at reglene skal omfatte egnede og særlige tiltak for å verne den registrertes menneskeverd, berettigede interesser og grunnleggende rettigheter.

Denne tolkningen er i overensstemmelse med forordningens formål om fullstendig harmonisering av nasjonale regler om personvern. Rammene i artikkel 88 (2) tilsvarer grensene for forskjellene som kan aksepteres mellom medlemsstatene.

Annet spørsmål

Det andre spørsmålet EU-domstolen vurderer er hvilke konsekvenser det skal ha at det konstateres uforenelighet mellom betingelsene og begrensningene som er fastsatt i artikkel 88 (1) og (2) og de nasjonale bestemmelsene som er vedtatt for å sikre beskyttelsen av grunnleggende rettigheter i forbindelse med behandling av arbeidstakeres personopplysninger i ansettelsesforhold.

EU-domstolen bemerker først at en forordning ifølge TEUV artikkel 288 (2) er bindende i alle enkeltheter og gjelder umiddelbart i hver medlemsstat. Men artikkel 88 åpner som nevnt for at medlemsstatene kan gi skjønnsmessige, supplerende regler innenfor grensene av bestemmelsens annet ledd.

Det følger av prinsippet om EU-rettens forrang at EU-rettens bestemmelser som gjelder umiddelbart i medlemsstatene fører til at enhver motstridende bestemmelse i nasjonal lovgivning uten videre blir uanvendelig, se C-213/89 Factortame m.fl. Dersom de supplerende reglene som er gitt i tråd med artikkel 88 første ledd ikke overholder betingelsene og begrensningene i artikkel 88 annet ledd, tilkommer det derfor den nasjonale domstolen å unnlate å anvende disse.

Dersom den foreleggende rett konkluderer med at de nasjonale bestemmelsene ikke overholder artikkel 88 (1) og (2), skal den likevel prøve om bestemmelsene utgjør et rettsgrunnlag som omhandlet i artikkel 6 (3). Artikkel 6 (3) og fortalepunkt 45 sier at grunnlaget for lovlig behandling av personopplysninger etter artikkel 6 (1) (c) og (e) skal fastsettes i unionsretten eller medlemsstatens nasjonale rett. Om bestemmelsen utgjør et rettsgrunnlag som omhandlet i forordningen artikkel 6 (3), kan det ikke utelukkes at de nasjonale bestemmelsene likevel skal anvendes.

EU-domstolens konklusjon

Artikkel 88 (1) skal tolkes slik at en nasjonal lovgivning ikke kan utgjøre «nærmere regler» uten å oppfylle betingelsene i artikkelens annet ledd.

Nasjonale bestemmelser som er vedtatt for å sikre beskyttelsen av arbeidstakeres grunnleggende rettigheter i forbindelse med behandling av deres personopplysninger i ansettelsesforhold, skal unnlates anvendt så lenge bestemmelsene ikke er i overensstemmelse med betingelsene og begrensningene som er fastsatt i personvernforordningens artikkel 88 (1) og (2). Et unntak fra dette er om bestemmelsene utgjør et rettsgrunnlag som omhandlet i artikkel 6 (3).

Forordning (EU) 2016/679 (GDPR) er inntatt i EØS-avtalens vedlegg XI (Elektronisk kommunikasjon, audiovisuelle tjenester og informasjonssamfunnstjenester). GDPR er gjennomført i norsk rett ved lov 15. juni 2018 nr. 38 om behandling av personopplysninger (personopplysningsloven).

(C-34/21)

ÅE