C-65/23

EUROOPA KOHTU OTSUS (kaheksas koda) 19. detsember 2024 ( *1 ) Eelotsusetaotlus – Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus (EL) 2016/679 – Artikli 88 lõiked 1 ja 2 – Isikuandmete töötlemine töösuhete kontekstis – Töötajate isikuandmed – Liikmesriigi poolt kõnealuse artikli 88 alusel ette nähtud täpsemad eeskirjad – Kohustus täita selle määruse artiklit 5, artikli 6 lõiget 1 ning artikli 9 lõikeid 1 ja 2 – Andmete töötlemine kollektiivlepingu alusel – Kollektiivlepingu poolte hindamisruum seoses selles lepingus ette nähtud isikuandmete töötlemise vajalikkusega – Kohtuliku kontrolli ulatus Kohtuasjas C‑65/23, mille ese on ELTL artikli 267 alusel Bundesarbeitsgerichti (Saksamaa Liitvabariigi kõrgeim töökohus) 22. septembri 2022. aasta otsusega esitatud eelotsusetaotlus, mis saabus Euroopa Kohtusse 8. veebruaril 2023, menetluses MK versus K GmbH, EUROOPA KOHUS (kaheksas koda), koosseisus: üheksanda koja president N. Jääskinen (ettekandja) kaheksanda koja presidendi ülesannetes, kohtunikud M. Gavalec ja I. Ziemele, kohtujurist: L. Medina, kohtusekretär: A. Calot Escobar, arvestades kirjalikku menetlust, arvestades seisukohti, mille esitasid: – MK, esindaja: Rechtsanwalt J. Zäh, – K GmbH, esindaja: Rechtsanwältin B. Geck, – Iirimaa, esindajad: Chief State Solicitor M. Browne, A. Joyce ja M. Tierney, keda abistas D. Fennelly, BL, – Itaalia valitsus, esindaja: G. Palmieri, keda abistas avvocato dello Stato G. Natale, – Euroopa Komisjon, esindajad: A. Bouchagiar, M. Heller ja H. Kranenborg, arvestades pärast kohtujuristi ärakuulamist tehtud otsust lahendada kohtuasi ilma kohtujuristi ettepanekuta, on teinud järgmise kohtuotsuse 1 Eelotsusetaotlus käsitleb Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1; edaspidi „isikuandmete kaitse üldmäärus“) artikli 82 lõike 1 ning artikli 88 lõigete 1 ja 2 tõlgendamist koostoimes artikli 5, artikli 6 lõike 1 ning artikli 9 lõigetega 1 ja 2. 2 Taotlus on esitatud füüsilise isiku MK ja tema tööandja K GmbH vahelises kohtuvaidluses sellise mittevaralise kahju hüvitamise üle, mis nimetatud füüsilisel isikul väidetavalt tekkis seoses vastava äriühingu poolt selle isiku isikuandmete töötlemisega tööandja ja töötajate esinduskogu vahel sõlmitud lepingu alusel. Õiguslik raamistik Liidu õigus 3 Isikuandmete kaitse üldmääruse põhjendused 8, 10 ja 155 on sõnastatud järgmiselt: „(8) Kui käesolevas määruses on ette nähtud eeskirjade täpsustamine või piiramine liikmesriigi õigusega, võivad liikmesriigid sidususe seisukohast vajalikul määral ja liikmesriigi õiguse sätete arusaadavaks muutmiseks isikutele, kelle suhtes neid kohaldatakse, integreerida määruse elemente oma õigusesse. […] (10) Selleks et tagada füüsiliste isikute järjekindel ja kõrgetasemeline kaitse ning kõrvaldada takistused isikuandmete liikumisel [Euroopa L]iidus, peaks füüsiliste isikute õiguste ja vabaduste kaitse selliste andmete töötlemisel olema kõigis liikmesriikides samal tasemel. Isikuandmete töötlemisel tuleks tagada füüsiliste isikute põhiõiguste ja -vabaduste kaitse eeskirjade järjekindel ja ühtne kohaldamine kogu liidus. […] Samuti nähakse käesoleva määrusega liikmesriikidele ette manööverdamisruum oma eeskirjade, sealhulgas isikuandmete eriliikide töötlemise eeskirjade täpsustamiseks. Sellega seoses ei välista käesolev määrus sellist liikmesriigi õigust, millega määratletakse konkreetsete töötlemisjuhtude asjaolud, sealhulgas määratakse täpsemalt kindlaks tingimused, mille alusel isikuandmete töötlemine on seaduslik. […] (155) Liikmesriigi õiguses või kollektiivlepingutes (sealhulgas ettevõttesisesed lepingud) võib ette näha erieeskirjad, millega reguleeritakse töötajate isikuandmete töötlemist töösuhete kontekstis, eelkõige tingimused, mille kohaselt võib töösuhete kontekstis isikuandmeid töödelda töötaja nõusolekul, seoses töötajate värbamisega, töölepingu, sealhulgas õigusaktides või kollektiivlepingutes sätestatud kohustuste täitmisega, juhtimisega, töö kavandamise ja korraldamisega, võrdsuse ja mitmekesisusega töökohal, töötervishoiu ja tööohutusega ning tööhõivega seotud õiguste ja hüvitiste isikliku või kollektiivse kasutamisega ja töösuhte lõppemisega.“ 4 Määruse artiklis 4 „Mõisted“ on sätestatud: „Käesolevas määruses kasutatakse järgmisi mõisteid: 1) „isikuandmed“ – igasugune teave tuvastatud või tuvastatava füüsilise isiku („andmesubjekti“) kohta; 2) „isikuandmete töötlemine“ – isikuandmete või nende kogumitega tehtav automatiseeritud või automatiseerimata toiming või toimingute kogum […] […] 7) „vastutav töötleja“ – füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kes üksi või koos teistega määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid; […] […]“. 5 Isikuandmete kaitse üldmääruse II peatükk „Põhimõtted“ sisaldab artikleid 5–11. 6 Määruse artiklis 5 „Isikuandmete töötlemise põhimõtted“ on ette nähtud: „1. Isikuandmete töötlemisel tagatakse, et […] c) isikuandmed on asjakohased, olulised ja piiratud sellega, mis on vajalik nende töötlemise eesmärgi seisukohalt („võimalikult väheste andmete kogumine“); […] f) isikuandmeid töödeldakse viisil, mis tagab isikuandmete asjakohase turvalisuse, sealhulgas kaitseb loata või ebaseadusliku töötlemise eest ning juhusliku kaotamise, hävitamise või kahjustumise eest, kasutades asjakohaseid tehnilisi või korralduslikke meetmeid („usaldusväärsus ja konfidentsiaalsus“); 2. Lõike 1 täitmise eest vastutab ja on võimeline selle täitmist tõendama vastutav töötleja („vastutus“).“ 7 Nimetatud määruse artiklis 6 „Isikuandmete töötlemise seaduslikkus“ on ette nähtud: „1. Isikuandmete töötlemine on seaduslik ainult juhul, kui on täidetud vähemalt üks järgmistest tingimustest, ning sellisel määral, nagu see tingimus on täidetud: a) andmesubjekt on andnud nõusoleku töödelda oma isikuandmeid ühel või mitmel konkreetsel eesmärgil; b) isikuandmete töötlemine on vajalik andmesubjekti osalusel sõlmitud lepingu täitmiseks või lepingu sõlmimisele eelnevate meetmete võtmiseks vastavalt andmesubjekti taotlusele; c) isikuandmete töötlemine on vajalik vastutava töötleja seadusjärgse kohustuse täitmiseks; d) isikuandmete töötlemine on vajalik andmesubjekti või mõne muu füüsilise isiku eluliste huvide kaitsmiseks; e) isikuandmete töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks; f) isikuandmete töötlemine on vajalik vastutava töötleja või kolmanda isiku õigustatud huvi korral, välja arvatud juhul, kui sellise huvi kaaluvad üles andmesubjekti huvid või põhiõigused ja -vabadused, mille nimel tuleb kaitsta isikuandmeid, eriti juhul kui andmesubjekt on laps. Esimese lõigu punkti f ei kohaldata, kui isikuandmeid töötleb avaliku sektori asutus oma ülesannete täitmisel. 2. Liikmesriigid võivad säilitada või kehtestada konkreetsemad sätted, et kohandada käesoleva määruse sätete kohaldamist seoses isikuandmete töötlemisega lõike 1 punktide c ja e täitmiseks, määrates üksikasjalikumalt kindlaks töötlemise konkreetsed nõuded ja teised meetmed, et tagada seaduslik ja õiglane töötlemine, sealhulgas teiste andmetöötluse eriolukordade jaoks, nagu see on sätestatud IX peatükis. 3. Lõike 1 punktides c ja e osutatud isikuandmete töötlemise alus kehtestatakse: a) liidu õigusega või b) vastutava töötleja suhtes kohaldatava liikmesriigi õigusega. […] See õiguslik alus võib sisaldada erisätteid, et kohandada käesoleva määruse sätete kohaldamist, sealhulgas üldtingimusi, mis reguleerivad vastutava töötleja poolt isikuandmete töötlemise seaduslikkust, töötlemisele kuuluvate andmete liiki, asjaomaseid andmesubjekte, üksuseid, kellele võib isikuandmeid avaldada, ja avaldamise põhjuseid, eesmärgi piirangut, säilitamise aega ning isikuandmete töötlemise toiminguid ja -menetlusi, sealhulgas meetmeid seadusliku ja õiglase töötlemise tagamiseks, nagu näiteks meetmed teiste andmetöötluse eriolukordade jaoks, nagu need on sätestatud IX peatükis. […] […]“. 8 Määruse artikkel 9 „Isikuandmete eriliikide töötlemine“ on sõnastatud järgmiselt: „1. Keelatud on töödelda isikuandmeid, millest ilmneb rassiline või etniline päritolu, poliitilised vaated, usulised või filosoofilised veendumused või ametiühingusse kuulumine, geneetilisi andmeid, füüsilise isiku kordumatuks tuvastamiseks kasutatavaid biomeetrilisi andmeid, terviseandmeid või andmeid füüsilise isiku seksuaalelu ja seksuaalse sättumuse kohta. 2. Lõiget 1 ei kohaldata, kui kehtib üks järgmistest asjaoludest: a) andmesubjekt on andnud selgesõnalise nõusoleku nende isikuandmete töötlemiseks ühel või mitmel konkreetsel eesmärgil, välja arvatud juhul, kui liidu või liikmesriigi õiguse kohaselt ei saa andmesubjekt lõikes 1 nimetatud keeldu tühistada; b) töötlemine on vajalik seoses vastutava töötleja või andmesubjekti tööõigusest ning sotsiaalkindlustuse ja sotsiaalkaitse valdkonna õigusest tulenevate kohustuste ja eriõigustega niivõrd, kuivõrd see on lubatud liidu või liikmesriigi õigusega või liikmesriigi õiguse kohase kollektiivlepinguga, millega kehtestatakse asjakohased kaitsemeetmed andmesubjekti põhiõiguste ja huvide kaitseks; […]“. 9 Isikuandmete kaitse üldmääruse VIII peatükki „Õiguskaitsevahendid, vastutus ja karistused“ kuuluva artikli 82 „Õigus hüvitisele ja vastutus“ lõikes 1 on ette nähtud: „Igal isikul, kes on kandnud käesoleva määruse rikkumise tulemusel materiaalset või mittemateriaalset kahju, on õigus saada vastutavalt töötlejalt või volitatud töötlejalt hüvitist tekitatud kahju eest.“ 10 Isikuandmete kaitse üldmääruse IX peatükki „Isikuandmete töötlemise eriolukordi käsitlevad sätted“ kuuluva artikli 88 „Isikuandmete töötlemine töösuhete kontekstis“ lõigetes 1 ja 2 on ette nähtud: „1. Liikmesriigid võivad õigusaktide või kollektiivlepingutega ette näha täpsemad eeskirjad, et tagada õiguste ja vabaduste kaitse seoses töötajate isikuandmete töötlemisega töösuhete kontekstis, eelkõige seoses töötajate värbamisega, töölepingu, sealhulgas õigusaktides või kollektiivlepingutes sätestatud kohustuste täitmisega, juhtimisega, töö kavandamise ja korraldamisega, võrdsuse ja mitmekesisusega töökohal, töötervishoiu ja tööohutusega, tööandja või kliendi vara kaitsega ning tööhõivega seotud õiguste ja hüvitiste isikliku või kollektiivse kasutamisega ning töösuhte lõppemisega. 2. Need eeskirjad sisaldavad sobivaid ja konkreetseid meetmeid, et kaitsta andmesubjekti inimväärikust, õigustatud huve ja põhiõigusi, eelkõige seoses töötlemise läbipaistvusega, isikuandmete edastamisega kontserni või ühise majandustegevusega tegelevate ettevõtjate rühma siseselt ning järelevalvesüsteemidega töökohal.“ 11 Isikuandmete kaitse üldmääruse artikkel 99 „Jõustumine ja kohaldamine“ on sõnastatud järgmiselt: „1. Käesolev määrus jõustub kahekümnendal päeval pärast selle avaldamist Euroopa Liidu Teatajas. 2. Seda kohaldatakse alates 25. maist 2018.“ Liikmesriigi õigus 12 30. juuni 2017. aasta föderaalse andmekaitseseaduse (Bundesdatenschutzgesetz) (BGBl. 2017 I, lk 2097; edaspidi „BDSG“) § 26 „Isikuandmete töötlemine töösuhete kontekstis“ lõigetes 1 ja 4 on ette nähtud: „(1) Töötajate isikuandmete töötlemine töösuhete kontekstis on lubatud, kui see on vajalik seoses töösuhte tekkimise kindlaks tegemisega või pärast töösuhte tekkimist selle täitmise või lõpetamisega või töötajate huvide esindamisega seadusest, kollektiivlepingust ning tööandja ja töötajate esinduskogu vahel sõlmitud lepingust (kollektiivleping) tulenevate õiguste teostamiseks või kohustuste täitmiseks. […] […] (4) Töötajate isikuandmete, sealhulgas isikuandmete eriliikide töötlemine on töösuhte kontekstis kollektiivlepingu alusel lubatud. Seejuures peavad läbirääkimiste osapooled täitma [isikuandmete kaitse üldmääruse] artikli 88 lõiget 2.“ Põhikohtuasi ja eelotsuse küsimused 13 Põhikohtuasja kaebaja on põhikohtuasja vastustaja, Saksa õiguse alusel asutatud äriühingu töötaja ja selles äriühingus moodustatud töötajate esinduskogu esimees. 14 Esialgu töötles nimetatud äriühing oma töötajate teatavaid isikuandmeid eelkõige raamatupidamise eesmärgil, kasutades tarkvara SAP (edaspidi „tarkvara SAP“), ning sõlmis töötajate esinduskoguga selle kohta mitu lepingut (edaspidi „tööandja ja töötajate esinduskogu vahel sõlmitud lepingud“). 15 Kontsern D, kuhu põhikohtuasja vastustaja kuulub (edaspidi „kontsern D“), võttis 2017. aastal kogu selles kontsernis kasutusele pilvepõhise (cloud) ühtse personaliinfosüsteemi tarkvara Workday (edaspidi „tarkvara Workday“). Sellega seoses edastas põhikohtuasja vastustaja oma töötajate eri isikuandmed tarkvarast SAP kontserni D Ameerika Ühendriikides asuva emaettevõtja serverisse. 16 Põhikohtuasja vastustaja ja tema töötajate esinduskogu sõlmisid 3. juulil 2017 tarkvara Workday kasutuselevõtu suhtes salliva suhtumise kokkuleppe (edaspidi „salliva suhtumise kokkulepe“), mis keelas tarkvara testimisfaasis muu hulgas selle, et nimetatud tarkvara kasutatakse personalijuhtimiseks, näiteks töötaja hindamiseks. Kokkuleppe lisa 2 kohaselt olid ainsad andmekategooriad, mida võis tarkvarasse Workday ülekandmiseks edastada, kontserni D töötajate ametinumber, perekonnanimi, eesnimi, telefoninumber, asjaomases äriühingus tööle asumise kuupäev, kontsernis D tööle asumise kuupäev, töökoht, asjaomase äriühingu nimi ning töötelefoni number ja töökoha e-posti aadress. Lepingut pikendati kuni 23. jaanuaril 2019 sõlmitud tööandja ja töötajate esinduskogu vahel sõlmitud lõpliku lepingu jõustumiseni. 17 Sellega seoses esitas põhikohtuasja kaebaja territoriaalselt pädevale Arbeitsgerichtile (töökohus, Saksamaa) ja seejärel Landesarbeitsgerichtile (liidumaa kõrgeim töökohus, Saksamaa) nõuded võimaldada tal tutvuda teatava teabega, kustutada teda puudutavad andmed ning mõista talle välja hüvitis. Nimetatud kaebaja väitis muu hulgas, et põhikohtuasja vastustaja edastas emaettevõtja serverisse teda puudutavad isikuandmed, millest teatavaid ei olnud salliva suhtumise kokkuleppes mainitud, nimelt tema isiklikud kontaktandmed, lepingu ja töötasu üksikasjad, sotsiaalkindlustus- ja maksukohustuslase number, kodakondsus ja perekonnaseis. 18 Kuna põhikohtuasja kaebaja nõuet täielikult ei rahuldatud, esitas ta kassatsioonkaebuse Bundesarbeitsgerichtile (Saksamaa Liitvabariigi kõrgeim töökohus), kes on eelotsusetaotluse esitanud kohus. Ainus veel vaidluse all olev nõue on kaebaja nõue hüvitada talle isikuandmete kaitse üldmääruse alusel mittevaraline kahju, mis väidetavalt tekitati tema isikuandmete õigusvastase töötlemisega tarkvara Workday abil ajavahemikul alates esimesest kuupäevast, mil nimetatud määrus muutus kohaldatavaks, st 25. maist 2018, kuni 2019. aasta esimese trimestri lõpuni. 19 Mis puudutab selle töötlemise seaduslikkust, siis väidab põhikohtuasja kaebaja esiteks, et see ei olnud vajalik seoses töösuhtega, mille jaoks põhikohtuasja vastustaja siis tarkvara SAP kasutas, ega ka tarkvara Workday testimiseks, kuna fiktiivsete andmete kasutamisest oleks piisanud ja nii oleks olnud tagatud, et kontsernis D ei tehta kättesaadavaks mingeid tegelikke andmeid. Teiseks, isegi kui eeldada, et salliva suhtumise kokkulepe võib olla sellise töötlemise kehtiv alus, on selles sisalduvat luba ületatud, kuna vastustaja edastas muid andmeid kui need, mis on ette nähtud kokkuleppe lisas 2. Lõpuks on põhikohtuasja vastustaja ülesanne tõendada, et tema tegevus on isikuandmete kaitse üldmäärusega kooskõlas. 20 Põhikohtuasja vastustaja väidab vastu, et kõnealune töötlemine vastab isikuandmete kaitse üldmääruse nõuetele, et tõendamiskoormis lasub põhikohtuasja kaebajal ning et ta ei ole tõendanud mittevaralise kahju olemasolu ega põhjuslikku seost selle määruse võimaliku rikkumise ja väidetava kahju vahel. 21 Eelotsusetaotluse esitanud kohus leiab, et põhikohtuasja kaebaja vaidlusalused toimingud kuuluvad isikuandmete kaitse üldmääruse esemelisse kohaldamisalasse, kuna tegemist on vastava „andmesubjekti“„isikuandmete“„töötlemisega“ selle määruse artikli 4 punktide 1 ja 2 tähenduses. Lisaks märgib ta, et põhikohtuasja vastustaja on „vastutav töötleja“ nimetatud määruse artikli 4 punkti 7 tähenduses. Seoses viimati nimetatud õigusakti ajalise kohaldamisalaga tõdeb ta, et töötlemine algas küll enne kuupäeva, mil see instrument muutus kohaldatavaks, kuid pärast seda see siiski jätkus, kuna salliva suhtumise kokkulepet pikendati mitu korda. 22 Selles kontekstis küsib eelotsusetaotluse esitanud kohus esiteks, kas isikuandmete kaitse üldmäärusega on kooskõlas riigisisene õigusnorm, mis reguleerib isikuandmete töötlemist töösuhete kontekstis ja mis näeb sisuliselt ette, et kollektiivlepingu alusel toimuv isikuandmete töötlemine on seaduslik, kui täidetud on isikuandmete kaitse üldmääruse artikli 88 lõige 2, nagu ka BDSG § 26 lõige 4, või peab asjaomane töötlemine selleks olema kooskõlas ka kõnealuse määruse muude sätetega. Kõnealune kohus kaldub arvama, et kui töötajate isikuandmete töötlemist reguleerib kollektiivleping isikuandmete kaitse üldmääruse artikli 88 tähenduses, ei saa sellisel töötlemisel arvestada mitte ainult kõnealuse artiklist 88, vaid ka selle määruse artiklist 5, artikli 6 lõikest 1 ning artikli 9 lõigetest 1 ja 2 tulenevate nõuetega, eelkõige mis puudutab kolmes viimati nimetatud artiklis ette nähtud töötlemise vajalikkuse kriteeriumi. 23 Teiseks, kui vastus esimesele küsimusele on jaatav, palub eelotsusetaotluse esitanud kohus selgitada, kas sellise kollektiivlepingu pooltel on hindamisruum, mille üle saab asjaomase töötlemise vajalikkuse hindamisel isikuandmete kaitse üldmääruse artikli 5, artikli 6 lõike 1 ning artikli 9 lõigete 1 ja 2 tähenduses teostada üksnes piiratud kohtulikku kontrolli. Tema arvates saab seda seisukohta toetada argumendiga, et need isikud olid äriühingu igapäevaste tegemistega väga lähedalt seotud ja nende puhul oli asjaomaste huvide sobiv tasakaal üldiselt saavutatud. Euroopa Kohtu kohtupraktika seoses muude liidu õiguse aktidega, eelkõige 7. veebruari 1991. aasta kohtuotsus Nimz (C‑184/89, EU:C:1991:50) ja 20. märtsi 2003. aasta kohtuotsus Kutz-Bauer (C‑187/00, EU:C:2003:168), viitab siiski sellele, et selle õiguse kohaldamisalasse kuuluva kollektiivlepingu tingimused ei saa olla selle õigusega vastuolus ja et vajaduse korral tuleb sellised tingimused jätta kohaldamata. 24 Kolmandaks, juhul kui vastus teisele küsimusele on jaatav, palub eelotsusetaotluse esitanud kohus selgitada, milliste hindamiskriteeriumide alusel peab vastavalt olukorrale olema tema teostatav kohtulik kontroll piiratud. 25 Lõpuks puudutasid neljas kuni kuues küsimus, mille see kohus algul esitas, enne kui ta need tagasi võttis, sisuliselt õigust mittevaralise kahju hüvitamisele vastavalt isikuandmete kaitse üldmääruse artikli 82 lõikele 1. 26 Neil asjaoludel otsustas Bundesarbeitsgericht (liitvabariigi kõrgeim töökohus) menetluse peatada ja esitada Euroopa Kohtule järgmised eelotsuse küsimused: „1. Kas isikuandmete kaitse üldmääruse artikli 88 lõike 1 alusel vastu võetud riigisisest õigusnormi – nagu BDSG § 26 lõige 4 –, milles on sätestatud, et töötajate isikuandmete, sealhulgas isikuandmete eriliikide töötlemine kollektiivlepingutel põhinevate töösuhete kontekstis on seaduslik tingimusel, et järgitakse isikuandmete kaitse üldmääruse artikli 88 lõiget 2, tuleb tõlgendada nii, et alati tuleb täita ka isikuandmete kaitse üldmääruse muid nõudeid – eelkõige isikuandmete kaitse üldmääruse artiklis 5, artikli 6 lõikes 1 ja artikli 9 lõigetes 1 ja 2 sisalduvaid nõudeid? 2. Kui esimesele küsimusele vastatakse jaatavalt: kas isikuandmete kaitse üldmääruse artikli 88 lõike 1 alusel vastu võetud riigisisest õigusnormi – nagu BDSG § 26 lõige 4 – tuleb tõlgendada nii, et kollektiivlepingu (käesolevas asjas tööandja ja töötajate esinduskogu vahel sõlmitud lepingu) pooltel on isikuandmete töötlemise vajalikkuse hindamisel isikuandmete kaitse üldmääruse artikli 5, artikli 6 lõike 1 ja artikli 9 lõigete 1 ja 2 tähenduses hindamisruum, mille üle on võimalik teostada vaid piiratud kohtulikku kontrolli? 3. Kui teisele küsimusele vastatakse jaatavalt: millega võib kohtulikku kontrolli sellisel juhul piirata? 4. Kas isikuandmete kaitse üldmääruse artikli 82 lõiget 1 tuleb tõlgendada nii, et isikutel on õigus mittevaralise kahju eest makstavale hüvitisele juba siis, kui nende isikuandmeid on töödeldud isikuandmete kaitse üldmäärust rikkudes, või eeldab õigus mittevaralise kahju hüvitamisele lisaks seda, et andmesubjekt tõendab, et talle on tekitatud arvestatava kaaluga mittevaraline kahju? 5. Kas isikuandmete kaitse üldmääruse artikli 82 lõige 1 on oma olemuselt eri- või üldpreventiivne ja kas seda tuleb arvesse võtta vastutavalt töötlejalt või volitatud töötlejalt selle sätte alusel mittevaralise kahju eest nõutava hüvitise suuruse arvutamisel? 6. Kas mittevaralise kahju tekitamise eest isikuandmete kaitse üldmääruse artikli 82 lõike 1 alusel nõutava hüvitise suuruse arvutamisel on oluline vastutava töötleja või volitatud töötleja süü suurus? Eelkõige, kas vastutava töötleja või volitatud töötleja süü puudumist või süü väiksust võib nimetatud isiku kasuks arvesse võtta?“ Menetlus Euroopa Kohtus 27 Euroopa Kohtu presidendi 24. jaanuari 2024. aasta otsusega toimetati 4. mai 2023. aasta kohtuotsus Österreichische Post (isikuandmete töötlemisega seotud mittevaraline kahju) (C‑300/21, EU:C:2023:370), 14. detsembri 2023. aasta kohtuotsus Natsionalna agentsia za prihodite (C‑340/21, EU:C:2023:986), 14. detsembri 2023. aasta kohtuotsus Gemeinde Ummendorf (C‑456/22, EU:C:2023:988), 21. detsembri 2023. aasta kohtuotsus Krankenversicherung Nordrhein (C‑667/21, EU:C:2023:1022) ning 25. jaanuari 2024. aasta kohtuotsus MediaMarktSaturn (C‑687/21, EU:C:2024:72) eelotsusetaotluse esitanud kohtule kätte, et see kohus täpsustaks, kas neid kohtuotsuseid arvestades soovib ta jääda eelkõige seoses neljanda kuni kuuenda küsimusega oma eelotsusetaotluse juurde. 28 Euroopa Kohtu presidendi 15. märtsi 2024. aasta otsusega peatati menetlus Euroopa Kohtu kodukorra artikli 55 lõike 1 punkti b alusel kuni esitatud küsimusele vastuse saamiseni. 29 Eelotsusetaotluse esitanud kohus teatas 8. mail 2024 Euroopa Kohtusse saabunud kirjalikus teates, et võtab oma neljanda kuni kuuenda küsimuse tagasi, kuid jääb esimese kuni kolmanda küsimuse juurde. Eelotsusetaotluse vastuvõetavus 30 Põhikohtuasja vastustaja väidab, et esimene kuni kolmas küsimus on vastuvõetamatud, kuna need ei ole eelotsusetaotluse esitanud kohtu menetluses oleva vaidluse lahendamisel asjakohased. Sisuliselt väidab ta, et põhikohtuasja kaebaja ei vaidlusta mitte käesolevas asjas kohaldatava tööandja ja töötajate esinduskogu vahel sõlmitud lepingu sisu, vaid selle lepingu piiride ületamist vaidlusaluse andmete töötlemise kaudu, mistõttu ei ole vaidluse ese sellise lepingu suhtes kohaldatavate üldmääruse artikli 88 nõuete rikkumine. Lisaks on need küsimused hüpoteetilised, kuna nende eesmärk on võimaldada eelotsusetaotluse esitanud kohtul kontrollida asjaomase töötlemise seaduslikkust tervikuna, mitte üksnes seoses põhikohtuasjas kaebaja poolt vaidlustatud asjaoludega. 31 Sellega seoses tuleb märkida, et vastavalt väljakujunenud kohtupraktikale on üksnes asja menetleval ja selle lahendamise eest vastutaval liikmesriigi kohtul õigus kohtuasja eripära arvesse võttes hinnata nii eelotsuse vajalikkust kohtuasjas otsuse langetamiseks kui ka nende küsimuste asjakohasust, mis ta Euroopa Kohtule esitab ja mille asjasse puutuvust eeldatakse. Seega, kui küsimused on esitatud liidu õigusnormi tõlgendamise või kehtivuse kohta, on Euroopa Kohus üldjuhul kohustatud vastama, välja arvatud juhul, kui ilmneb, et taotletud tõlgendamine ei ole mingil viisil seotud põhikohtuasja faktiliste asjaolude või esemega, või ka juhul, kui probleem on hüpoteetiline või kui Euroopa Kohtule ei ole teada faktilised või õiguslikud asjaolud, mis on vajalikud nimetatud küsimustele tarviliku vastuse andmiseks (20. juuni 2024. aasta kohtuotsus Scalable Capital, C‑182/22 ja C‑189/22, EU:C:2024:531, punkt 18 ja seal viidatud kohtupraktika). 32 Käesolevas asjas puudutavad esimene kuni kolmas küsimus mitme liidu õiguse sätte tõlgendamist, täpsemalt isikuandmete kaitse üldmääruse artikli 88 tõlgendamist koostoimes selle artiklitega 5, 6 ja 9. Lisaks leiab eelotsusetaotluse esitanud kohus, et käesolevas asjas kohaldatavas tööandja ja töötajate esinduskogu vahel sõlmitud lepingus, mida ta kirjeldab kui kollektiivlepingut selle määruse tähenduses, kindlaks määratud piire on ületatud ning põhikohtuasjas kõne all olevat isikuandmete töötlemist tuleb analüüsida tervikuna, kuna see võib olla ebaseaduslik nii BDSG § 26 lõike 1 kui ka lõike 4 seisukohast, milles on sõnaselgelt viidatud isikuandmete kaitse üldmääruse artiklile 88. 33 Sellest järeldub, et eelotsusetaotlus on vastuvõetav. Eelotsuse küsimuste analüüs Esimene küsimus 34 Esimese küsimusega soovib eelotsusetaotluse esitanud kohus sisuliselt teada, kas isikuandmete kaitse üldmääruse artikli 88 lõikeid 1 ja 2 tuleb tõlgendada nii, et sellise riigisisese õigusnormi mõju, mis käsitleb isikuandmete töötlemist töösuhete kontekstis ja mis on vastu võetud osutatud määruse artikli 88 lõike 1 alusel, peab olema niisugune, et selle adressaadid on kohustatud täitma mitte ainult üldmääruse artikli 88 lõikest 2, vaid ka artiklist 5, artikli 6 lõikest 1 ning artikli 9 lõigetest 1 ja 2 tulenevaid nõudeid. 35 Sellega seoses tuleb meelde tuletada, et isikuandmete kaitse üldmääruse eesmärk on tagada isikuandmete kaitset käsitlevate liikmesriikide õigusaktide põhimõtteliselt täielik ühtlustamine. Kõnealuse määruse teatavad sätted annavad liikmesriikidele siiski võimaluse näha ette täiendavaid, rangemaid või erandeid ettenägevaid riigisiseseid eeskirju, mis jätavad liikmesriikidele hindamisruumi nende sätete rakendamisel („avatuse klauslid“) (vt selle kohta 30. märtsi 2023. aasta kohtuotsus Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punkt 51 ja seal viidatud kohtupraktika). 36 Isikuandmete kaitse üldmääruse artiklis 88, mis käsitleb isikuandmete töötlemist töösuhete kontekstis, on sätestatud tingimused, mille alusel võivad liikmesriigid õigusaktide või kollektiivlepingutega näha ette „täpsemad eeskirjad“, et tagada õiguste ja vabaduste kaitse seoses töötajate isikuandmete töötlemisega. Määruse põhjenduses 155 on muu hulgas märgitud, et mõiste „kollektiivleping“ selle artikli 88 tähenduses hõlmab selliseid „tööandja ja töötajate esinduskogu vahel sõlmitud lepinguid“, nagu on kõne all põhikohtuasjas. Lisaks on määruse artiklites 5, 6 ja 9 sätestatud vastavalt isikuandmete töötlemise põhimõtted, töötlemise seaduslikkuse tingimused ja selliste andmete eriliikide töötlemise eeskirjad. 37 Väljakujunenud kohtupraktika kohaselt tuleb sellise liidu õigusnormi sõnastust, nagu on isikuandmete kaitse üldmääruse artikkel 88, milles ei ole selle tähenduse ning kohaldamisala kindlaksmääramiseks sõnaselgelt viidatud liikmesriikide õigusele, tavaliselt kogu liidus tõlgendada autonoomselt ja ühetaoliselt ning selleks tuleb eelkõige arvesse võtta asjaomase sätte sõnastust, sellega taotletavaid eesmärke ja konteksti (vt analoogia alusel 14. detsembri 2023. aasta kohtuotsus Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punkt 23 ja seal viidatud kohtupraktika). 38 Esiteks nähtub isikuandmete kaitse üldmääruse artikli 88 sõnastusest, et selle lõikega 1 lubatud „täpsematel eeskirjadel“ peab olema reguleeritavale valdkonnale omane normatiivne sisu, mis erineb selle määruse üldnormidest, samas kui selle artikli lõikes 2 on kooskõlas kõnealuse määruse riigisiseste õigusaktide ühtlustamise eesmärgiga piiritletud nende liikmesriikide hindamisruumi, kes plaanivad võtta nimetatud artikli lõike 1 alusel vastu riigisisesed eeskirjad (vt selle kohta 30. märtsi 2023. aasta kohtuotsus Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punktid 61, 65, 72 ja 75). 39 Seevastu ei sisalda see sõnastus sõnaselget viidet selle kohta, kas „täpsemad eeskirjad“, mida liikmesriigid võivad seega ette näha, peavad olema suunatud üksnes isikuandmete kaitse üldmääruse artikli 88 lõikes 2 sätestatud nõuete või ka selle määruse muude sätete täitmisele, mistõttu peab isikuandmete töötlemine selliste eeskirjade alusel lisaks olema kooskõlas viimati nimetatud sätetega. 40 Teiseks, mis puudutab isikuandmete kaitse üldmääruse artikli 88 eesmärke, siis on Euroopa Kohus juba otsustanud, et osutatud artikkel kujutab endast „avatuse klauslit“ ja et liikmesriikidele niisuguse artikli lõikega 1 antud võimalus on sellise töötlemise eripära arvestades seletatav eelkõige alluvussuhtega töötaja ja tööandja vahel. Ta täpsustas, et üldmääruse artikli 88 lõikega 2 kehtestatud tingimused peegeldavad liikmesriikidele jäetud hindamisruumi piire selles mõttes, et sellega kaasnevat ühtlustamise puudumist saab lubada vaid juhul, kui allesjäänud erinevustega kaasnevad konkreetsed ja sobivad tagatised, mille eesmärk on kaitsta töötajate õigusi ja vabadusi seoses nende isikuandmete töötlemisega töösuhete kontekstis (vt selle kohta 30. märtsi 2023. aasta kohtuotsus Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punktid 52, 53 ja 73). 41 Lisaks on Euroopa Kohus rõhutanud, et kui liikmesriigid kasutavad neile isikuandmete kaitse üldmääruse artikliga 88 antud võimalust, peavad nad oma hindamisruumi kasutama selle määruse sätetes ette nähtud tingimustel ja piires ning seega peavad nad õigusakte vastu võtma viisil, mis ei kahjusta üldmääruse sisu ja eesmärke, millega soovitakse eelkõige tagada andmesubjektide õiguste ja vabaduste kõrgetasemeline kaitse, nagu nähtub määruse põhjendusest 10. Järelikult peab liikmesriigi poolt selle artikli 88 alusel vastu võetud õigusnormide eesmärk olema kaitsta töötajate õigusi ja vabadusi seoses nende isikuandmete töötlemisega (vt selle kohta 30. märtsi 2023. aasta kohtuotsus Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punktid 54, 59, 62 ja 74). 42 Isikuandmete kaitse üldmääruse artiklit 88 ei saa aga tõlgendada nii, et „täpsemad eeskirjad“, mida liikmesriikidel on õigus selle artikli alusel vastu võtta, võivad olla suunatud sellele või põhjustada seda, et vastutav töötleja või isegi volitatud töötleja saab kõrvale hoida oma kohustustest, mis tulenevad selle määruse muudest sätetest, sest vastasel juhul kahjustataks kõiki neid eesmärke, eelkõige eesmärki tagada töötajate kõrgetasemeline kaitse juhul, kui nende isikuandmeid töödeldakse töösuhete kontekstis. 43 Sellest järeldub, et isikuandmete kaitse üldmääruse artikli 88 lõikeid 1 ja 2 tuleb tõlgendada nii, et isegi kui liikmesriigid tuginevad sellele artiklile selleks, et kehtestada oma vastavates riigisisestes õiguskordades seaduse või kollektiivlepingutega „täpsemad eeskirjad“, peavad täidetud olema ka nõuded, mis tulenevad muudest sätetest, millele on käesolevas küsimuses konkreetselt viidatud, nimelt selle määruse artiklist 5, artikli 6 lõikest 1 ning artikli 9 lõigetest 1 ja 2. Nii on see eelkõige nendes sätetes ette nähtud töötlemise vajalikkuse kriteeriumi järgimisega, mille kohta eelotsusetaotluse esitanud kohus täpsemalt küsib. 44 Kolmandaks kinnitab seda tõlgendust isikuandmete kaitse üldmääruse artikli 88 kontekst. 45 Isikuandmete kaitse üldmääruse artikkel 88 kuulub IX peatükki „Isikuandmete töötlemise eriolukordi käsitlevad sätted“, samas kui selle määruse artiklid 5, 6 ja 9 sisalduvad määruse II peatükis „Põhimõtted“, millel on seega üldisem kohaldamisala. Lisaks nähtub selgesti artikli 6 sõnastusest, mille lõigetes 2 ja 3 on sõnaselgelt viidatud IX peatüki sätetele, et artiklis 6 ette nähtud seaduslikkuse tingimused on siduvad ka „eriolukordades“, mida reguleerivad IX peatüki sätted. 46 Lisaks tuleneb väljakujunenud kohtupraktikast, et isikuandmete töötlemisel tuleb järgida isikuandmete töötlemist reguleerivaid põhimõtteid ja andmesubjekti õigusi, mis on sätestatud vastavalt isikuandmete kaitse üldmääruse II ja III peatükis. Eelkõige peab see vastama nende andmete töötlemise põhimõtetele, mis on ette nähtud määruse artiklis 5, ja vastama määruse artiklis 6 loetletud töötlemise seaduslikkuse tingimustele (vt selle kohta 2. märtsi 2023. aasta kohtuotsus Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, punkt 43, ja 11. juuli 2024. aasta kohtuotsus Meta Platforms Ireland (esindushagi), C‑757/22, EU:C:2024:598, punkt 49 ning seal viidatud kohtupraktika). 47 Mis puudutab konkreetsemalt seda, kuidas isikuandmete kaitse üldmääruse artikkel 88 suhestub selle määruse muude sätetega, siis märkis Euroopa Kohus eelkõige määruse põhjendust 8 arvestades, et vaatamata võimalike „täpsemate eeskirjade“ olemasolule, mille liikmesriigid on määruse artikli 88 lõike 1 alusel vastu võtnud, tuleb isikuandmete töötlemisel järgida kohustusi, mis tulenevad sama määruse II ja III peatüki sätetest ning eelkõige selle artiklitest 5 ja 6 (vt selle kohta 30. märtsi 2023. aasta kohtuotsus Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punktid 67–71). 48 Samamoodi tuleb isikuandmete kaitse üldmääruse artiklist 9 tulenevaid kohustusi järgida igasuguse selle määruse kohaldamisalasse kuuluva isikuandmete töötlemise puhul, sealhulgas siis, kui esinevad selle määruse artikli 88 lõike 1 alusel vastu võetud „täpsemad eeskirjad“. Nimelt asub nimetatud artikkel 9, mis reguleerib selles loetletud andmete eriliikide töötlemist, määruse II peatükis, nagu ka artiklid 5 ja 6, milles sätestatud nõuded saavad kumuleeruda artiklist 9 tulenevate nõuetega (vt selle kohta 21. detsembri 2023. aasta kohtuotsus Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punktid 73, 77–79). Lisaks on see tõlgendus kooskõlas sama artikli 9 eesmärgiga, milleks on tagada suurem kaitse töötlemise eest, mis asjaomaste andmete erilise tundlikkuse tõttu võib kujutada endast andmesubjektide põhiõiguste eriti tõsist riivet (vt selle kohta 4. oktoobri 2024. aasta kohtuotsus Lindenapotheke, C‑21/23, EU:C:2024:846, punkt 89 ja seal viidatud kohtupraktika). 49 Seega juhul, kui liikmesriigi õigus sisaldab „täpsemaid eeskirju“ isikuandmete kaitse üldmääruse artikli 88 lõike 1 tähenduses, peab nende eeskirjadega hõlmatud isikuandmete töötlemine vastama mitte ainult selle artikli lõigetes 1 ja 2 sätestatud tingimustele, vaid ka selle määruse artiklites 5, 6 ja 9 sätestatud tingimustele, nagu neid on tõlgendatud Euroopa Kohtu praktikas. 50 Eeltoodud kaalutlusi arvestades tuleb esimesele küsimusele vastata, et isikuandmete kaitse üldmääruse artikli 88 lõikeid 1 ja 2 tuleb tõlgendada nii, et sellise riigisisese õigusnormi mõju, mis käsitleb isikuandmete töötlemist töösuhete kontekstis ja mis on ette nähtud üldmääruse artikli 88 lõike 1 alusel, peab olema niisugune, et selle adressaadid on kohustatud täitma mitte ainult üldmääruse artikli 88 lõikest 2, vaid ka artiklist 5, artikli 6 lõikest 1 ning artikli 9 lõigetest 1 ja 2 tulenevaid nõudeid. Teine küsimus 51 Teise küsimusega palub eelotsusetaotluse esitanud kohus sisuliselt selgitada, kas isikuandmete kaitse üldmääruse artikli 88 lõiget 1 tuleb tõlgendada nii, et juhul, kui kollektiivleping kuulub selle sätte kohaldamisalasse, takistab hindamisruum, mis on kollektiivlepingu pooltel selle kindlaksmääramisel, kas isikuandmete töötlemine on asjaomase määruse artikli 5, artikli 6 lõike 1 ning artikli 9 lõigete 1 ja 2 tähenduses „vajalik“, liikmesriigi kohtul teostada selles küsimuses täielikku kohtulikku kontrolli. 52 Kõigepealt tuleb märkida, et nagu on rõhutatud käesoleva kohtuotsuse punktis 41, peavad liikmesriigid, kes kasutavad neile isikuandmete kaitse üldmääruse artikliga 88 antud võimalust, kasutama oma kaalutlusõigust selle määruse sätetes ette nähtud tingimustel ja piires ning seega tagama, et „täpsemad eeskirjad“, mille nad oma riigisisesesse õiguskorda lisavad, ei kahjustaks selle määruse sisu ja eesmärke. Nende eeskirjade eesmärk peab olema eelkõige tagada töötajate põhiõiguste ja -vabaduste kõrgetasemeline kaitse seoses nende isikuandmete töötlemisega töösuhetes. 53 Mis puudutab niisuguste erinormide üle teostatava kohtuliku kontrolli ulatust, siis on Euroopa Kohus juba otsustanud, et asja menetleval liikmesriigi kohtul, kes on ainsana pädev riigisisest õigust tõlgendama, tuleb hinnata, kas need õigusnormid tõesti vastavad tingimustele ja piirangutele, mis on eelkõige isikuandmete kaitse üldmääruse artiklis 88 ette nähtud. Liidu õiguse esimuse põhimõtte kohaselt peab see kohus juhul, kui ta jõuab järeldusele, et asjaomased riigisisesed õigusnormid ei vasta nendele tingimustele ja piiridele, jätma need sätted kohaldamata. Kui puuduvad täpsemad eeskirjad, mis vastaksid artikli 88 nõuetele, reguleerib töösuhetes isikuandmete töötlemist otseselt see määrus (vt selle kohta 30. märtsi 2023. aasta kohtuotsus Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punktid 80, 82–84 ja 89). 54 Need kaalutlused kehtivad ka isikuandmete kaitse üldmääruse artiklis 88 nimetatud sellise kollektiivlepingu poolte kohta, nagu on kõne all põhikohtuasjas. Nagu Euroopa Komisjon oma kirjalikes seisukohtades sisuliselt märkis, peab kollektiivlepingu pooltel olema eelkõige selle lepingu piirangute osas samaväärne hindamisruum, kui on liikmesriikidel, kuna artikli 88 lõikes 1 viidatud „täpsemad eeskirjad“ võivad tuleneda eelkõige kollektiivlepingutest. Kõnealuse määruse põhjenduses 155 on samuti märgitud, et sellised eeskirjad võib ette näha liikmesriigi õiguses või kollektiivlepingutes, sealhulgas „tööandja ja töötajate esinduskogu vahel sõlmitud lepingutes“. 55 Seega, vaatamata hindamisruumile, mille isikuandmete kaitse üldmääruse artikkel 88 kollektiivlepingu pooltele jätab, peab kohtulik kontroll niisuguse kollektiivlepingu üle, nagu ka selle sätte alusel vastu võetud riigisisese õigusnormi üle saama ilma piiranguteta hõlmata kõigi selle määruse sätetega isikuandmete töötlemiseks ette nähtud tingimuste ja piiride järgimist. 56 Seejärel tuleb täpsustada, et niisuguse kohtuliku kontrolli eesmärk konkreetsemalt peab olema teha kindlaks, kas selliste andmete töötlemine on isikuandmete kaitse üldmääruse artiklite 5, 6 ja 9 tähenduses „vajalik“. Teisisõnu ei saa selle artiklit 88 tõlgendada nii, et kollektiivlepingu pooltel on hindamisruum, mis võimaldab neil näha ette „täpsemaid eeskirju“, mis viiksid nimetatud vajalikkuse nõude vähem range kohaldamiseni või isegi selle kohaldamata jätmiseni. 57 Nagu eelotsusetaotluse esitanud kohus ja Iirimaa sisuliselt märkisid, on kollektiivlepingu pooltel üldiselt head eeldused, et hinnata, kas andmete töötlemine on konkreetses kutsealases kontekstis vajalik, sest neil pooltel on tavaliselt laialdased teadmised asjaomase töö- ja tegevusvaldkonna spetsiifilistest vajadustest. Selline hindamisprotsess ei tohi siiski viia selleni, et pooled teevad ökonoomsusest või mugavusest tingitud kompromisse, mis võivad põhjendamatult kahjustada isikuandmete kaitse üldmääruse eesmärki tagada töötajaid puudutavate isikuandmete töötlemisel nende põhiõiguste ja -vabaduste kaitse kõrgel tasemel. 58 Seega ei oleks isikuandmete kaitse üldmääruse artikli 88 tõlgendus, mille kohaselt ei saa liikmesriigi kohtud teostada kollektiivlepingu üle täielikku kohtulikku kontrolli, eelkõige selleks, et kindlaks teha, kas kollektiivlepingu poolte esitatud põhjendused tõendavad sellest kokkuleppest tuleneva isikuandmete töötlemise vajalikkust, isikuandmete kaitse üldmäärusega kooskõlas, arvestades käesoleva kohtuotsuse eelmises punktis osutatud kaitse-eesmärki. 59 Viimaseks tuleb tõdeda, et juhul kui liikmesriigi kohus, kelle poole on pöördutud, jõuab oma kontrolli tulemusel järeldusele, et asjaomase kollektiivlepingu teatavad sätted ei vasta isikuandmete kaitse üldmääruses ette nähtud tingimustele ja piirangutele, peab ta vastavalt käesoleva kohtuotsuse punktis 53 viidatud kohtupraktikale jätma need sätted kohaldamata. 60 Eeltoodud kaalutlusi arvestades tuleb teisele küsimusele vastata, et isikuandmete kaitse üldmääruse artikli 88 lõiget 1 tuleb tõlgendada nii, et juhul, kui kollektiivleping kuulub selle sätte kohaldamisalasse, ei takista hindamisruum, mis on kollektiivlepingu pooltel selle kindlaksmääramisel, kas isikuandmete töötlemine on üldmääruse artikli 5, artikli 6 lõike 1 ning artikli 9 lõigete 1 ja 2 tähenduses „vajalik“, liikmesriigi kohtul teostada selles küsimuses täielikku kohtulikku kontrolli. Kolmas küsimus 61 Teisele küsimusele antud vastust arvestades ei ole kolmandale küsimusele vaja vastata. Kohtukulud 62 Kuna põhikohtuasja poolte jaoks on käesolev menetlus eelotsusetaotluse esitanud kohtus pooleli oleva asja üks staadium, otsustab kohtukulude jaotuse liikmesriigi kohus. Euroopa Kohtule seisukohtade esitamisega seotud kulusid, välja arvatud poolte kohtukulud, ei hüvitata. Esitatud põhjendustest lähtudes Euroopa Kohus (kaheksas koda) otsustab: 1. Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) artikli 88 lõikeid 1 ja 2 tuleb tõlgendada nii, et sellise riigisisese õigusnormi mõju, mis käsitleb isikuandmete töötlemist töösuhete kontekstis ja mis on ette nähtud üldmääruse artikli 88 lõike 1 alusel, peab olema niisugune, et selle adressaadid on kohustatud täitma mitte ainult üldmääruse artikli 88 lõikest 2, vaid ka artiklist 5, artikli 6 lõikest 1 ning artikli 9 lõigetest 1 ja 2 tulenevaid nõudeid. 2. Määruse 2016/679 artikli 88 lõiget 1 tuleb tõlgendada nii, et juhul, kui kollektiivleping kuulub selle sätte kohaldamisalasse, ei takista hindamisruum, mis on kollektiivlepingu pooltel selle kindlaksmääramisel, kas isikuandmete töötlemine on üldmääruse artikli 5, artikli 6 lõike 1 ning artikli 9 lõigete 1 ja 2 tähenduses „vajalik“, liikmesriigi kohtul teostada selles küsimuses täielikku kohtulikku kontrolli. Allkirjad ( *1 ) Kohtumenetluse keel: saksa.