"Bardziej szczegółowe przepisy" w rozumieniu art. 88 RODO

Art. 88 RODO należy interpretować w ten sposób, że uregulowanie krajowe nie może stanowić „bardziej szczegółowego przepisu” w rozumieniu ust. 1 tego artykułu, jeżeli nie spełnia warunków określonych w ust. 2 tego artykułu.

Państwa członkowskie mają możliwość, a nie obowiązek przyjęcia bardziej szczegółowych przepisów, które mogą być przewidziane w przepisach prawa lub w porozumieniach zbiorowych.

W sytuacji gdy państwa członkowskie korzystają z przyznanego im w takiej klauzuli upoważniającej uprawnienia, powinny one korzystać z przysługującego im zakresu uznania na warunkach i w granicach przewidzianych w przepisach RODO, wobec czego powinny stanowić prawo w taki sposób, aby nie naruszać treści ani celów tego rozporządzenia (zob. podobnie wyrok z dnia 28 kwietnia 2022 r., Meta Platforms Ireland, C-319/20)..

Z użycia wyrażenia „bardziej szczegółowe” wynika przede wszystkim, że uregulowania, o których mowa w tym przepisie, powinny mieć treść normatywną właściwą dla regulowanej dziedziny i odrębną od przepisów ogólnych tego rozporządzenia.

Cel uregulowań przyjętych na podstawie tego przepisu polega na ochronie praw i wolności pracowników w zakresie przetwarzania ich danych osobowych w związku z zatrudnieniem.

„Bardziej szczegółowe przepisy” mogą odnosić się do bardzo dużej liczby operacji przetwarzania związanych z zatrudnieniem, tak iż objęte zostaną wszystkie cele, w których dane osobowe mogą być przetwarzane w związku z zatrudnieniem. Ponadto ponieważ wyliczenie tych celów nie jest wyczerpujące, państwa członkowskie dysponują zakresem uznania co do przetwarzania podlegającego tym bardziej szczegółowym przepisom.

Artykuł 88 ust. 2 RODO przewiduje, że przepisy przyjęte na podstawie art. 88 ust. 1 RODO muszą obejmować odpowiednie i szczegółowe środki zapewniające osobie, której dane dotyczą, poszanowanie jej godności, prawnie uzasadnionych interesów i praw podstawowych, w szczególności pod względem przejrzystości przetwarzania, przekazywania danych osobowych w ramach grupy przedsiębiorstw lub grupy przedsiębiorców prowadzących wspólną działalność gospodarczą oraz systemów monitorujących w miejscu pracy. Z brzmienia art. 88 RODO wynika zatem, że ust. 2 tego artykułu reguluje zakres uznania państw członkowskich, które zamierzają przyjąć „bardziej szczegółowe przepisy” na podstawie jego ust. 1. Tym samym – z jednej strony – przepisy te nie mogą ograniczać się do powtórzenia przepisów tego rozporządzenia i powinny mieć na celu ochronę praw i wolności pracowników w przypadku przetwarzania ich danych osobowych w związku z zatrudnieniem oraz obejmować odpowiednie i szczegółowe środki zapewniające osobie, której dane dotyczą, poszanowanie jej godności, prawnie uzasadnionych interesów i praw podstawowych. Z drugiej strony szczególną uwagę należy zwrócić na przejrzystość przetwarzania, przekazywanie danych osobowych w ramach grupy przedsiębiorstw lub grupy przedsiębiorstw prowadzących wspólną działalność gospodarczą oraz na systemy monitorujące w miejscu pracy.

Art. 88 RODO należy interpretować w świetle motywu 8 tego rozporządzenia, zgodnie z którym w zakresie, w jakim rozporządzenie to dopuszcza doprecyzowanie lub zawężenie jego przepisów przez prawo państw członkowskich, państwa te mogą – o ile jest to niezbędne, by krajowe przepisy były spójne i zrozumiałe dla osób, do których mają zastosowanie – włączyć elementy tego rozporządzenia do swego prawa krajowego.

O ile przy korzystaniu z możliwości przyznanej im na mocy klauzuli upoważniającej RODO państwa członkowskie mogą włączyć elementy tego rozporządzenia do swojego prawa krajowego, w zakresie, w jakim jest to niezbędne, by krajowe przepisy były spójne i zrozumiałe dla osób, do których mają zastosowanie, o tyle „bardziej szczegółowe przepisy” przyjęte na podstawie art. 88 ust. 1 wspomnianego rozporządzenia nie mogą ograniczać się do powtórzenia warunków zgodności z prawem przetwarzania danych osobowych oraz zasad tego przetwarzania określonych, odpowiednio, w art. 6 i art. 5 tego samego rozporządzenia lub do odesłania do tych warunków i zasad.

Aby przepis prawny można było uznać za „bardziej szczegółowy przepis” w rozumieniu art. 88 ust. 1 RODO, musi on spełniać warunki określone w ust. 2 tego artykułu. Oprócz tego, że te bardziej szczegółowe przepisy mają treść normatywną właściwą dla regulowanej dziedziny i odrębną od przepisów ogólnych tego rozporządzenia, muszą one mieć na celu ochronę praw i wolności pracowników w zakresie przetwarzania ich danych osobowych w związku z zatrudnieniem oraz obejmować odpowiednie i szczegółowe środki zapewniające osobie, której dane dotyczą, poszanowanie jej godności, prawnie uzasadnionych interesów i praw podstawowych. Szczególną uwagę należy zwrócić na przejrzystość przetwarzania, przekazywanie danych osobowych w ramach grupy przedsiębiorstw lub grupy przedsiębiorstw prowadzących wspólną działalność gospodarczą oraz na systemy monitorujące w miejscu pracy.

Wyrok TSUE z dnia 30 marca 2023 r., C-34/21

Standard: 84110 (pełna treść orzeczenia)