Cauza C-342/12
Hotărârea Curții de Justiție a Uniunii Europene
din 30.05.2013
Cuvinte cheie: trimitere preliminară; articolul 2, 17 alin.1 Directiva 95/46; evidență a timpului de lucru; consultarea imediată; date cu caracter personal; protecție adecvată
I. Obiectul cauzei
Cererea de decizie preliminară formulată în temeiul articolului 267 TFUE de Tribunal do trabalho de Viseu (Portugalia) pentru interpretarea articolului 2 și a articolului 17 alineatul (1) din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date.
Potrivit articolului 2 din Directiva 95/46/CE
„În sensul prezentei directive:
(a) «date cu caracter personal» înseamnă orice informație referitoare la o persoană fizică identificată sau identificabilă (persoana vizată); o persoană identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un număr de identificare sau la unul sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, psihice, economice, culturale sau sociale;
(b) «prelucrarea datelor cu caracter personal» (prelucrare) înseamnă orice operațiune sau serie de operațiuni care se efectuează asupra datelor cu caracter personal, prin mijloace automate sau neautomate, cum ar fi colectarea, înregistrarea, organizarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, dezvăluirea prin transmitere, diseminare sau în orice alt mod, alăturarea ori combinarea, blocarea, ștergerea sau distrugerea;
Articolul 17 din Directiva 95/46, are următorul cuprins:
„(1) Statele membre prevăd aplicarea obligatorie de către operator a unor măsuri tehnice și organizatorice de protecție adecvate pentru protejarea datelor cu caracter personal împotriva distrugerii accidentale sau ilegale, pierderii accidentale, modificării, dezvăluirii sau accesului neautorizat, în special atunci când prelucrarea presupune transmiterea datelor într-o rețea, precum și împotriva oricărei alte forme de prelucrare ilegală.
Având în vedere cele mai noi tehnici din sector și costurile punerii lor în aplicare, aceste măsuri trebuie să asigure un nivel de securitate adecvat în ceea ce privește riscurile prezentate de prelucrare și caracterul datelor de protejat.
[…]”
II. Starea de fapt
Litigiul s-a născut ca urmare a solicitării formulate de Autoritatea pentru condițiile de muncă (denumită în continuare „ACT”), care la data de 9 martie 2010 a efectuat o inspecție la sediul din Viseu al societății Worten, cu privire la accesul la evidența timpului de lucru al societății menționate.
În procesul-verbal întocmit de ACT la data controlului, s-a reținut faptul că lucrătorii înregistrau timpul de lucru prin introducerea unei cartele magnetice într-un aparat instalat în incinta unui magazin situat lângă unitatea menționată și numai structura centrală de resurse umane a Worten putea să furnizeze informațiile respective.
Cu toate că Worten a comunicat autorității evidența timpului de lucru, ca urmare a unei somații formulate de către aceasta din urmă, societatea a fost sancționată pentru faptul că nu permisese ca ACT să poată proceda la consultarea imediată, în unitatea menționată, a evidenței timpului de lucru al lucrătorilor angajați în unitatea respectivă.
III. Întrebările preliminare
Instanța de trimitere a hotărâtsă adreseze Curții următoarele întrebări preliminare:
„1) Articolul 2 din Directiva 95/46 […] trebuie interpretat în sensul că evidența timpului de lucru, mai exact indicarea orelor la care fiecare lucrător începe și termină ziua de lucru, precum și a pauzelor și a perioadelor neincluse în aceasta, face parte din noțiunea «date cu caracter personal»?
2) În cazul unui răspuns afirmativ la întrebarea anterioară, statul portughez este obligat, în temeiul articolului 17 alineatul (1) din Directiva 95/46 […], să prevadă măsuri tehnice și organizatorice adecvate pentru protejarea datelor cu caracter personal împotriva distrugerii accidentale sau ilegale, a pierderii accidentale, a modificării, a dezvăluirii sau a accesului neautorizat, în special atunci când prelucrarea presupune transmiterea datelor într‑o rețea?
3) De asemenea, în cazul unui răspuns afirmativ la întrebarea anterioară, atunci când statul membru nu adoptă nicio măsură de punere în aplicare a articolului 17 alineatul (1) din Directiva 95/46 […] și atunci când entitatea angajatoare responsabilă cu prelucrarea acestor date adoptă un sistem de acces restrâns la astfel de date, care nu permite accesul automat al autorității naționale competente să monitorizeze condițiile de muncă, principiul supremației dreptului Uniunii trebuie interpretat în sensul că statul membru nu poate sancționa entitatea angajatoare pentru comportamentul menționat?”
IV. Considerentele Curții
Cu privire la prima întrebare preliminară, Curtea reține că, datele care figurează într‑o evidență a timpului de lucru precum cea în discuție în cauza principală, care privesc, în cazul fiecărui lucrător, perioadele de lucru zilnice, precum și perioadele de repaus, constituie date cu caracter personal, în sensul articolului 2 litera (a) din Directiva 95/46, întrucât este vorba despre informații referitoare la o persoană fizică identificată sau identificabilă.
Implicit, acțiunea de colectare, înregistrare, organizare, stocare, consultare sau utilizare a unor astfel de date de către un angajator, precum și transmiterea lor de către acesta autorităților naționale competente să monitorizeze condițiile de muncă reprezintă o prelucrare a datelor cu caracter personal, în sensul articolului 2 litera (b) din Directiva 95/46.
Cu privire la a doua și la a treia întrebare, Curtea reține că potrivit articolului 17 alineatul (1) din Directiva 95/46, statele membre trebuie să prevadă aplicarea obligatorie de către operatorul de date cu caracter personal a unor măsuri tehnice și organizatorice destinate să asigure un nivel de securitate adecvat în ceea ce privește riscurile prezentate de prelucrarea respectivă și caracterul datelor de protejat. Practic, articolul 17 alineatul (1) nu impune statelor membre, cu excepția cazului în care au calitatea de operatori, să adopte astfel de măsuri tehnice și organizatorice, obligația adoptării unor asemenea măsuri revenind doar operatorului, respectiv, în speță, angajatorului.
Cu toate acestea, trebuie reținut faptul că dispoziția menționată impune statelor membre să adopte în dreptul lor intern o dispoziție care să prevadă această obligația operatorului de a adopta măsurile în discuție.
În acest sens, Worten a invocat faptul că obligația de a pune la dispoziție evidența timpului de lucru într‑un mod care să permită consultarea sa imediată, este incompatibilă în practică cu obligația de instituire a unui sistem adecvat de protecție a datelor cu caracter personal conținute în această evidență. Curtea arată că revine fiecărui operator de date cu caracter personal, în temeiul articolului 17 alineatul (1) din Directiva 95/46, sarcina de a adopta măsurile tehnice și organizatorice necesare pentru a se asigura că doar persoane autorizate au acces la datele cu caracter personal vizate și sunt în drept să răspundă unei cereri de acces formulate de un terț. Pe cale de consecință, susținerile Worten nu pot fi primite, deoarece obligația de a pune la dispoziție timpul de lucru într-un mod care să permită consultarea sa imediată, nu presupune automat ca datele cu caracter personal să fie accesibile unor persoane neautorizate.
Având în vedere cele menționate anterior, Curtea a procedat la reformularea întrebărilor adresate de instanța de trimite, pentru a putea da un răspuns util instanței naționale.
Curtea reține că instanța de trimitere urmărește, să se stabilească dacă dispozițiile Directivei 95/46 trebuie interpretate în sensul că se opun unei reglementări naționale, care impune angajatorului obligația de a pune la dispoziția autorității naționale competente să monitorizeze condițiile de muncă evidența timpului de lucru într‑un mod care să permită consultarea sa imediată.
Orice prelucrare a datelor cu caracter personal, sub rezerva derogărilor permise în temeiul articolului 13 din această directivă, trebuie să fie conformă cu principiile referitoare la calitatea datelor, enunțate la articolul 6 din directiva menționată și să respecte unul dintre principiile privind legitimitatea prelucrării datelor, enumerate la articolul 7 din aceeași directivă.
Într‑o situație precum cea din cauza principală, trebuie să se constate, pe de o parte, că datele personale care figurează în evidența timpului de lucru sunt colectate în scopul de a se asigura respectarea reglementării referitoare la condițiile de lucru și, pe de altă parte, că prelucrarea acestor date cu caracter personal este necesară în vederea îndeplinirii unei obligații legale care îi revine angajatorului, precum și pentru aducerea la îndeplinire a sarcinilor de control încredințate autorității naționale competente să monitorizeze condițiile de muncă.
Aceste activități desfășurate se circumscriu prevederilor articolului 6 alineatul (1) literele (b) și (c) din Directiva 95/46, care impune ca datele să fie colectate în scopuri determinate, explicite și legitime și ale articolului 7 literele (c) și (e) din directiva menționată, referitoare la prelucrarea datelor cu caracter personal în situația în care este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului sau dacă este necesară pentru aducerea la îndeplinire a unei sarcini de interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul sau terțul căruia îi sunt comunicate datele
Curtea a statuat că în această cauză, revine instanței de trimitere sarcina de a examina dacă obligația angajatorului de a acorda autorității naționale competente să monitorizeze condițiile de muncă acces la evidența timpului de lucru astfel încât să permită consultarea sa imediată poate fi considerată necesară pentru aducerea la îndeplinire de către această autoritate a sarcinii sale de monitorizare, contribuind la o aplicare mai eficientă a reglementării în materia condițiilor de muncă, în special în ceea ce privește timpul de lucru.
V. Hotărârea Curții
1) Articolul 2 litera (a) din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date trebuie interpretat în sensul că o evidență a timpului de lucru precum cea în discuție în litigiul principal care implică indicarea orelor la care fiecare lucrător începe și termină ziua de lucru, precum și a întreruperilor sau a pauzelor corespunzătoare face parte din noțiunea „date cu caracter personal” în sensul dispoziției menționate.
2) Articolul 6 alineatul (1) literele (b) și (c) și articolul 7 literele (c) și (e) din Directiva 95/46 trebuie interpretate în sensul că nu se opun unei reglementări naționale, precum cea în discuție în litigiul principal, care impune angajatorului obligația de a pune la dispoziția autorității naționale competente să monitorizeze condițiile de muncă evidența timpului de lucru astfel încât să permită consultarea sa imediată atât timp cât această obligație este necesară pentru aducerea la îndeplinire de către această autoritate a sarcinilor sale de monitorizare a aplicării reglementării în materia condițiilor de muncă, în special în ceea ce privește timpul de lucru.
VI. Aprecieri
Hotărârea Curții lămurește aspecte care cad sub incidența Directivei 95/46/CE și sunt de o importanță maximă pentru modul în care statele membre asigură aplicarea acesteia în domeniul relațiilor de muncă. Se pot menționa o serie de aspecte relevante în sensul menționat:
- Evidența care cuprinde datele legate de timpul de lucru este o prelucrare de date cu caracter personal
- Directiva nu exclude obligația statelor de a reglementa condițiile de muncă într-o manieră care să asigure cât mai eficient atât drepturile angajaților cât și nivelul adecvat de securitate a acestor date;
- Măsurile tehnice și organizatorice pentru asigurarea nivelului adecvat de securitate a datelor personale revin în sarcina operatorului de date;
- Atribuțiile de control ale autorităților publice în materia relațiilor de muncă și care presupun transferul de date într-o rețea de la operatorul controlat la aceste autorități, constituie tot prelucrări de date personale, astfel încât o legislație națională care să oblige operatorul să ofere posibilitatea consultării imediate a unor evidențe cu date cu caracter personal, rămâne să fie stabilită de statul membru numai dacă o asemenea consultare imediată este necesară.
Comentarii
Trimiteți un comentariu