HvJ EU over gegevensverwerking in het kader van de arbeidsverhouding

HvJ EU 19 december 2024, IT 4731; ECLI:EU:C:2024:1051 (MK tegen K GmbH) K GmbH heeft in 2017 een nieuw cloudgebaseerd softwareprogramma, Workday, ingevoerd en daarbij persoonsgegevens van haar werknemers, waaronder MK, van een ander systeem (SAP) naar servers in de VS overgebracht. Hoewel een bedrijfsovereenkomst is gesloten over de invoering van Workday, stelt MK dat er meer gegevens zijn overgedragen dan is afgesproken en dat deze overdracht niet noodzakelijk is. MK claimt immateriële schade te hebben geleden als gevolg van deze vermeende onrechtmatige verwerking van zijn persoonsgegevens vanaf het moment dat de AVG van toepassing werd tot het einde van het eerste kwartaal van 2019. Het Bundesarbeitsgericht twijfelde vervolgens of de nationale bepaling die deze verwerking regelt in overeenstemming is met de AVG. Dit leidde tot prejudiciële vragen aan het Hof over de interpretatie van artikel 88 AVG en de verhouding tot andere bepalingen van deze verordening, met name artikel 5, 6 en 9.

Het Hof stelt voorop dat een nationale bepaling die de verwerking van persoonsgegevens in het kader van arbeidsverhoudingen regelt, niet alleen moet voldoen aan artikel 88 lid 2 AVG, maar ook aan de vereisten van artikel 5, 6, lid 1 en 9 leden 1 en 2 AVG. Dit betekent dat de verwerking van persoonsgegevens door een werkgever, zelfs wanneer deze is gebaseerd op een collectieve overeenkomst, moet voldoen aan de beginselen van gegevensverwerking, rechtmatigheid en de regels betreffende de verwerking van bijzondere categorieën van persoonsgegevens. Het Hof benadrukt dat de partijen bij een collectieve overeenkomst geen beoordelingsmarge hebben die hen in staat stelt het vereiste van noodzakelijkheid van de gegevensverwerking te omzeilen of minder strikt toe te passen.

Het Hof stelt dat de nationale rechter de volledige bevoegdheid behoudt om de rechtmatigheid van een dergelijke overeenkomst te toetsen aan de AVG. Dit betekent dat de rechter moet kunnen beoordelen of de verwerking van persoonsgegevens die voortvloeit uit een collectieve overeenkomst noodzakelijk is in de zin van de artikelen 5, 6 en 9 AVG. Als de nationale rechter tot de conclusie komt dat de collectieve overeenkomst niet voldoet aan de AVG, dan moet de rechter deze bepalingen buiten toepassing laten. De bevoegdheid die aan de lidstaten en partijen bij collectieve overeenkomsten wordt verleend mag niet ten koste gaan van de bescherming die de AVG beoogt te geven.

42. Om te voorkomen dat afbreuk wordt gedaan aan al deze doelstellingen, in het bijzonder de doelstelling om een hoog niveau van bescherming voor werknemers te waarborgen bij de verwerking van hun persoonsgegevens in het kader van de arbeidsverhouding, kan artikel 88 AVG echter niet aldus worden uitgelegd dat de „nadere regels” die de lidstaten op grond van dit artikel kunnen vaststellen, tot doel of tot gevolg mogen hebben dat de uit andere bepalingen van deze verordening voortvloeiende verplichtingen van de verwerkingsverantwoordelijke of zelfs de verwerker worden omzeild.

46. Bovendien is het volgens vaste rechtspraak bij iedere verwerking van persoonsgegevens vereist dat de op de verwerking van dergelijke gegevens toepasselijke beginselen en de rechten van de betrokkene, neergelegd in respectievelijk hoofdstuk II en hoofdstuk III AVG, worden geëerbiedigd. In het bijzonder moet de verwerking in overeenstemming zijn met de beginselen inzake verwerking van die gegevens in artikel 5 van deze verordening en voldoen aan de in artikel 6 van die verordening genoemde voorwaarden voor de rechtmatigheid van de verwerking [zie in die zin arresten van 2 maart 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, punt 43, en 11 juli 2024, Meta Platforms Ireland (Representatieve vordering), C‑757/22, EU:C:2024:598, punt 49 en aldaar aangehaalde rechtspraak].

55. Ondanks de beoordelingsmarge die op grond van artikel 88 AVG voor de partijen bij een collectieve overeenkomst beschikbaar blijft, moet bij de rechterlijke toetsing van een dergelijke overeenkomst dus, net zoals bij de toetsing van een krachtens die bepaling vastgestelde regel van nationaal recht, zonder enig voorbehoud aan de orde kunnen komen of alle in die verordening opgenomen voorwaarden voor de verwerking van persoonsgegevens en daaraan gestelde beperkingen in acht zijn genomen.

56. Vervolgens moet erop worden gewezen dat een dergelijke rechterlijke toetsing meer in het bijzonder gericht moet zijn op de controle of de verwerking van dergelijke gegevens „noodzakelijk” is in de zin van de artikelen 5, 6 en 9 AVG. Met andere woorden, artikel 88 van die verordening kan niet aldus worden uitgelegd dat de partijen bij een collectieve overeenkomst over een beoordelingsbevoegdheid beschikken die hen in staat stelt „nadere regels” in te voeren die ertoe leiden dat dit noodzakelijkheidsvereiste minder strikt wordt toegepast of zelfs terzijde wordt geschoven.