Art. 88 ust. 1 RODO stanowi, że państwa członkowskie mogą zawrzeć w swoich przepisach lub w porozumieniach zbiorowych bardziej szczegółowe przepisy mające zapewnić ochronę praw i wolności w przypadku przetwarzania danych osobowych pracowników w związku z zatrudnieniem, w szczególności do celów rekrutacji, wykonania umowy o pracę, w tym wykonania obowiązków określonych przepisami lub porozumieniami zbiorowymi, zarządzania, planowania i organizacji pracy, równości i różnorodności w miejscu pracy, bezpieczeństwa i higieny pracy, ochrony własności pracodawcy lub klienta oraz do celów indywidualnego lub zbiorowego wykonywania praw i korzystania ze świadczeń związanych z zatrudnieniem, a także do celów zakończenia stosunku pracy. Przepisy te muszą obejmować odpowiednie i szczegółowe środki zapewniające osobie, której dane dotyczą, poszanowanie jej godności, prawnie uzasadnionych interesów i praw podstawowych, w szczególności pod względem przejrzystości przetwarzania, przekazywania danych osobowych w ramach grupy przedsiębiorstw lub grupy przedsiębiorców prowadzących wspólną działalność gospodarczą oraz systemów monitorujących w miejscu pracy.
W dzisiejszym wyroku TSUE wskazał, że tylko niemiecki sąd odsyłający może dokonać wykładni prawa krajowego i ocenić, czy przepisy krajowe spełniają warunki i ograniczenia określone w art. 88 RODO. Jednak Trybunał zauważył, że w zasadzie powtarzają one ustanowiony już w RODO ogólny warunek zgodności z prawem. Nie dodają bardziej szczegółowej regulacji w rozumieniu art. 88 ust. 1 RODO.
Jeśli więc sąd odsyłający doszedłby do wniosku, że przepisy krajowe nie spełniają warunków i ograniczeń określonych w art. 88 RODO, powinien on co do zasady odstąpić od ich stosowania i - zgodnie z zasadą pierwszeństwa prawa Unii, zastosować przepisy RODO.
Te zaś wskazują, że przetwarzanie danych osobowych jest zgodne z prawem, jeżeli jest ono konieczne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi do wypełnienia obowiązku prawnego ciążącego na administratorze.
- W odniesieniu do tych dwóch przypadków zgodności z prawem RODO z jednej strony przewiduje, że przetwarzanie musi opierać się na prawie Unii lub prawie państwa członkowskiego, któremu podlega administrator, a z drugiej strony dodaje, że cele przetwarzania są określone w tej podstawie prawnej lub są niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi - wyjaśnił TSUE.
- W związku z tym, gdy sąd odsyłający dojdzie do wniosku, że przepisy krajowe dotyczące przetwarzania danych osobowych w związku z zatrudnieniem nie spełniają warunków i ograniczeń określonych w art. 88 ust. 1 i 2 RODO, powinien jeszcze sprawdzić, czy przepisy te stanowią podstawę prawną przetwarzania, o której mowa w innym artykule RODO, spełniającą wymogi przewidziane w tym rozporządzeniu. Jeżeli tak jest, nie można odstąpić od stosowania tych przepisów krajowych - wskazał TSUE.
