El Tribunal de Justicia ha dictado una sentencia, de fecha 30 de marzo de 2023, Asunto C-34/21 (LA LEY 38890/2023), donde interpreta diversos artículos del Reglamento 2016/679 (LA LEY 6637/2016), relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD).
La petición de decisión prejudicial se presentó en el contexto de un litigio sobre la legalidad de un sistema de difusión en directo de clases por videoconferencia, establecido en las escuelas del estado federado de Hesse (Alemania) sin que estuviera previsto recabar el consentimiento previo de los docentes.
Antecedentes
Mediante dos actos adoptados en 2020, el Ministro de Educación y Cultura del Estado Federado de Hesse (Alemania) estableció el marco jurídico y organizativo de la enseñanza escolar durante el período de pandemia de COVID-19, estableciendo, en particular, la posibilidad de que los alumnos que no pudieran estar presentes en clase asistieran en directo a las clases por videoconferencia. Con el fin de preservar los derechos de los alumnos en materia de protección de datos personales, se dispuso que la conexión al servicio de videoconferencia solo se autorizaría con el consentimiento de los propios alumnos o, en caso de minoría de edad de estos, de sus padres.
En cambio, no se prescribió el consentimiento de los docentes implicados a su participación en dicho servicio.
Censurando que la difusión en directo de las clases por videoconferencia, tal como estaba regulada por la normativa nacional, no estuviera supeditada al requisito del consentimiento de los docentes implicados, el Comité Principal del Personal Docente del Ministerio de Educación y Cultura del Estado Federado de Hesse interpuso un recurso contra el ministro competente en la materia. Este alegó que el tratamiento de datos personales que constituye la difusión en directo de las clases por videoconferencia estaba cubierto por la normativa nacional, de modo que podía realizarse sin solicitar el consentimiento de los docentes implicados.
El órgano jurisdiccional de lo contencioso-administrativo que conoce del asunto indicó que, de conformidad con la voluntad del legislador del estado federado de Hesse, la normativa nacional sobre cuya base se realiza el tratamiento de los datos personales de los docentes pertenece a la categoría de las «normas más específicas» que los Estados miembros pueden establecer, de conformidad con el artículo 88, apartado 1, del Reglamento general de protección de datos (LA LEY 6637/2016), para garantizar la protección de los derechos y libertades en relación con el tratamiento de datos personales de los trabajadores en el ámbito laboral.
No obstante, dicho órgano jurisdiccional alberga dudas en cuanto a la compatibilidad de dicha normativa con las exigencias impuestas por el artículo 88, apartado 2, del RGPD. 3 Por lo tanto, presentó una petición de decisión prejudicial ante el Tribunal de Justicia de la Unión Europea.
Mediante su sentencia, el Tribunal de Justicia declara que una normativa nacional no puede constituir una «norma más específica», a los efectos del apartado 1 del artículo 88, apartado 1, del RGPD, en caso de que no cumpla las condiciones impuestas en el apartado 2 del referido artículo. Además, el Tribunal de Justicia precisa que la aplicación de disposiciones nacionales adoptadas para garantizar la protección de los derechos y libertades de los trabajadores por lo que se refiere al tratamiento de sus datos personales en el ámbito laboral deberá excluirse cuando esas disposiciones no respeten las condiciones y los límites establecidos por el citado artículo 88, apartados 1 y 2, del RGPD, a menos que dichas disposiciones constituyan una base jurídica para el tratamiento contemplada en otro artículo del RPGD 4 que cumple las exigencias establecidas en este.
Apreciación del Tribunal de Justicia
El Tribunal de Justicia considera, para empezar, que el tratamiento de datos personales de docentes en el marco de la difusión en directo por videoconferencia de las clases de enseñanza pública que imparten está comprendido en el ámbito de aplicación material del RGPD. A continuación, precisa que dicho tratamiento de datos personales de docentes que, en cuanto empleados o funcionarios, forman parte del servicio público del estado federado de Hesse, está comprendido dentro del ámbito de aplicación personal del artículo 88 del RGPD (LA LEY 6637/2016), que se refiere al tratamiento de datos personales de los trabajadores en el ámbito laboral.
En un primer momento, el Tribunal de Justicia trata la cuestión de si una «norma más específica», en el sentido del artículo 88, apartado 1, del RGPD, debe cumplir las condiciones impuestas por el apartado 2 del referido artículo. Según el Tribunal de Justicia, del uso de la expresión «más específicas», en el tenor del artículo 88, apartado 1, del RGPD, se desprende que las normas a las que se refiere esta disposición deben tener un contenido normativo propio del ámbito regulado, distinto de las reglas generales de dicho Reglamento. Asimismo, se desprende del tenor del artículo 88 del RGPD (LA LEY 6637/2016) que el apartado 2 de este artículo delimita el margen de apreciación de los Estados miembros que pretenden establecer «normas más específicas» en virtud del apartado 1 de dicho artículo. Así pues, el Tribunal de Justicia considera, por una parte, que tales normas no pueden limitarse a reiterar las disposiciones del referido Reglamento, estableciendo las condiciones de licitud del tratamiento de datos personales y los principios de dicho tratamiento, 5 o remitir a esas condiciones y principios. Dichas normas deben tener por objeto la protección de los derechos y libertades de los trabajadores en relación con el tratamiento de sus datos e incluir medidas adecuadas y específicas destinadas a proteger la dignidad humana, los intereses legítimos y los derechos fundamentales de los interesados. Por otra parte, debe prestarse especial atención a la transparencia del tratamiento, a la transferencia de datos personales dentro de un grupo empresarial o de una unión de empresas dedicadas a una actividad económica conjunta, y a los sistemas de supervisión en el lugar de trabajo. Por consiguiente, para que una norma de Derecho pueda ser calificada de «norma más específica», a los efectos del apartado 1 del artículo 88 del RGPD (LA LEY 6637/2016), debe cumplir las condiciones impuestas en el apartado 2 del referido artículo.
En un segundo momento, el Tribunal de Justicia precisa las consecuencias que deben extraerse de una declaración de incompatibilidad de las disposiciones nacionales controvertidas con las condiciones y los límites previstos en el artículo 88, apartados 1 y 2, del RGPD.
Así pues, el Tribunal de Justicia recuerda que corresponde al órgano jurisdiccional remitente, único competente para interpretar el Derecho nacional, apreciar si las disposiciones nacionales controvertidas respetan las condiciones y los límites establecidos en el artículo 88 del RGPD (LA LEY 6637/2016). No obstante, el Tribunal de Justicia señala que esas disposiciones nacionales, que supeditan el tratamiento de los datos personales de los empleados a la condición de que dicho tratamiento sea necesario para determinados fines relacionados con la ejecución de una relación laboral, parecen reiterar la condición para la licitud general ya establecida en el RGPD, sin añadir una norma más específica en el sentido del artículo 88, apartado 1, de dicho Reglamento. En el supuesto de que el órgano jurisdiccional remitente llegara a la conclusión de que las disposiciones nacionales no respetan las condiciones y los límites establecidos por el artículo 88 del RGPD (LA LEY 6637/2016), le correspondería, en principio, dejarlas inaplicadas. En efecto, en virtud del principio de la primacía del Derecho de la Unión, a falta de normas más específicas que respeten las condiciones y los límites establecidos en el artículo 88 del RGPD (LA LEY 6637/2016), el tratamiento de datos personales en el ámbito laboral, tanto en el sector privado como en el público, se rige directamente por las disposiciones de dicho Reglamento.
A este respecto, el Tribunal de Justicia señala que pueden aplicarse a un tratamiento de datos personales como el controvertido en el litigio principal otras disposiciones del RGPD, en virtud de las cuales el tratamiento de datos personales será lícito si es necesario, respectivamente, para el cumplimiento de una obligación legal aplicable al responsable del tratamiento o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. En relación con esas dos hipótesis de licitud, el RGPD, por una parte, establece que el tratamiento debe basarse en el Derecho de la Unión o en el Derecho del Estado miembro que se aplique al responsable del tratamiento y añade, por otra parte, que la finalidad del tratamiento deberá quedar determinada en dicha base jurídica o ser necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento.
Por consiguiente, en caso de que el órgano jurisdiccional remitente llegara a la conclusión de que las disposiciones nacionales relativas al tratamiento de datos personales en el ámbito laboral no respetan las condiciones y los límites establecidos por el artículo 88, apartados 1 y 2, del RGPD, deberá comprobar además si dichas disposiciones constituyen una base jurídica contemplada en otro artículo del RGPD, 9 que cumple las exigencias establecidas en el mismo Reglamento. Si es así, no deberá excluirse la aplicación de las disposiciones nacionales.