–

en nombre de MK, por el Sr. J. Zäh, Rechtsanwalt;

–

en nombre de K GmbH, por la Sra. B. Geck, Rechtsanwältin;

–

en nombre de Irlanda, por la Sra. M. Browne, Chief State Solicitor, y los Sres. A. Joyce y M. Tierney, en calidad de agentes, asistidos por el Sr. D. Fennelly, BL;

–

en nombre del Gobierno italiano, por la Sra. G. Palmieri, en calidad de agente, asistida por la Sra. G. Natale, avvocato dello Stato;

–

en nombre de la Comisión Europea, por el Sr. A. Bouchagiar, la Sra. M. Heller y el Sr. H. Kranenborg, en calidad de agentes;

1

La petición de decisión prejudicial tiene por objeto la interpretación de los artículos 82, apartado 1, y 88, apartados 1 y 2, en relación con los artículos 5, 6, apartado 1, y 9, apartados 1 y 2, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; corrección de errores en DO 2018, L 127, p. 3 y en DO 2021, L 74, p. 35; en lo sucesivo, «RGPD»).

2

Esta petición se ha presentado en el contexto de un litigio entre MK, una persona física, y K GmbH, su empleador, en relación con la indemnización del daño moral que dicha persona alega haber sufrido como consecuencia del tratamiento de sus datos personales efectuado por esa sociedad sobre la base de un acuerdo de empresa.

3

Los considerandos 8, 10 y 155 del RGPD tienen el siguiente tenor:

[…]

[…]

4

El artículo 4 de dicho Reglamento, con el título «Definiciones», dispone:

«A efectos del presente Reglamento se entenderá por:

[…]

[…]».

5

El capítulo II del RGPD, titulado «Principios», abarca los artículos 5 a 11.

6

El artículo 5 de dicho Reglamento, con el epígrafe «Principios relativos al tratamiento», establece:

«1.   Los datos personales serán:

[…]

[…]

2.   El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (“responsabilidad proactiva”).»

7

El artículo 6 de dicho Reglamento, cuyo título es «Licitud del tratamiento», dispone:

«1.   El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.

2.   Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras c) y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX.

3.   La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser establecida por:

[…] Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. […]

[…]»

8

El artículo 9 del mismo Reglamento, titulado «Tratamiento de categorías especiales de datos personales», está redactado en los siguientes términos:

«1.   Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.

2.   El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:

[…]».

9

Dentro del capítulo VIII del RGPD, titulado «Recursos, responsabilidad y sanciones», el artículo 82, titulado a su vez «Derecho a indemnización y responsabilidad», establece en su apartado 1:

«Toda persona que haya sufrido daños y perjuicios materiales o inmateriales como consecuencia de una infracción del presente Reglamento tendrá derecho a recibir del responsable o el encargado del tratamiento una indemnización por los daños y perjuicios sufridos».

10

Dentro del capítulo IX del RGPD, con la rúbrica «Disposiciones relativas a situaciones específicas de tratamiento», el artículo 88, titulado a su vez «Tratamiento en el ámbito laboral», dispone en sus apartados 1 y 2:

«1.   Los Estados miembros podrán, a través de disposiciones legislativas o de convenios colectivos, establecer normas más específicas para garantizar la protección de los derechos y libertades en relación con el tratamiento de datos personales de los trabajadores en el ámbito laboral, en particular a efectos de contratación de personal, ejecución del contrato laboral, incluido el cumplimiento de las obligaciones establecidas por la ley o por el convenio colectivo, gestión, planificación y organización del trabajo, igualdad y diversidad en el lugar de trabajo, salud y seguridad en el trabajo, protección de los bienes de empleadores o clientes, así como a efectos del ejercicio y disfrute, individual o colectivo, de los derechos y prestaciones relacionados con el empleo y a efectos de la extinción de la relación laboral.

2.   Dichas normas incluirán medidas adecuadas y específicas para preservar la dignidad humana de los interesados, así como sus intereses legítimos y sus derechos fundamentales, prestando especial atención a la transparencia del tratamiento, a la transferencia de los datos personales dentro de un grupo empresarial o de una unión de empresas dedicadas a una actividad económica conjunta y a los sistemas de supervisión en el lugar de trabajo».

11

El artículo 99 del RGPD, con el epígrafe «Entrada en vigor y aplicación», es del siguiente tenor:

«1.   El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

2.   Será aplicable a partir del 25 de mayo de 2018».

12

El artículo 26 de la Bundesdatenschutzgesetz (Ley Federal de Protección de Datos), de 30 de junio de 2017 (BGBl. 2017 I, p. 2097) (en lo sucesivo, «BDSG»), titulado «Tratamiento de datos para fines de la relación laboral», dispone en sus apartados 1 y 4:

«(1)   Los datos personales de los trabajadores podrán ser objeto de tratamiento para fines de la relación laboral si resulta necesario para decidir sobre la formalización de una relación laboral o, una vez formalizada la relación laboral, para su ejecución o extinción o para el ejercicio o cumplimiento de los derechos y obligaciones de la representación legal de los trabajadores derivados de una ley o de un instrumento de regulación colectiva, de un acuerdo de empresa o de un acuerdo de servicio (convenio colectivo). […]

[…]

(4)   El tratamiento de datos personales, incluidas las categorías especiales de datos personales de los trabajadores para fines de la relación laboral, estará permitido con arreglo a lo dispuesto en convenio colectivo. En ese marco, las partes negociadoras deben respetar el apartado 2 del artículo 88 del [RGPD].»

13

El recurrente en el litigio principal es un trabajador de la recurrida en el litigio principal, una sociedad alemana, y preside el comité de empresa constituido en dicha sociedad.

14

Inicialmente, la referida sociedad trataba determinados datos personales de sus trabajadores utilizando un programa informático denominado «SAP» (en lo sucesivo, «programa SAP»), en particular a efectos de contabilidad, y celebró, con su comité de empresa, varios acuerdos de empresa a este respecto.

15

En 2017, el grupo de sociedades D, al que pertenece la recurrida en el litigio principal (en lo sucesivo, «grupo D»), introdujo en todo ese grupo el programa informático denominado «Workday» (en lo sucesivo, «programa Workday»), que funciona en la nube (cloud), como sistema único de gestión de la información sobre el personal. En este contexto, la recurrida en el litigio principal transfirió diversos datos personales de sus trabajadores desde el programa SAP a un servidor de la sociedad matriz del grupo D, situado en Estados Unidos.

16

El 3 de julio de 2017, la recurrida en el litigio principal y su comité de empresa celebraron un acuerdo por el que se establecía una tolerancia en cuanto a la introducción del programa Workday (en lo sucesivo, «acuerdo de empresa por el que se establece una tolerancia»), que prohibía, en particular, que dicho programa se utilizara con fines de gestión de recursos humanos, como la evaluación de un trabajador, durante la fase de prueba. Según el anexo 2 de dicho acuerdo, las únicas categorías de datos que podían transferirse para alimentar el programa Workday eran el número de personal asignado al trabajador dentro del grupo D, su apellido, su nombre, su número de teléfono, la fecha en que había comenzado a trabajar para la sociedad en cuestión, la fecha en que había comenzado a trabajar para el grupo D, su lugar de trabajo, el nombre de la sociedad en cuestión y su número de teléfono y dirección de correo electrónico profesionales. Los efectos de dicho acuerdo se prorrogaron hasta la entrada en vigor de un acuerdo de empresa definitivo, celebrado el 23 de enero de 2019.

17

En este contexto, el recurrente en el litigio principal presentó demanda ante el Arbeitsgericht (Tribunal de lo Laboral, Alemania) y posteriormente recurso de apelación ante el Landesarbeitsgericht (Tribunal Regional de lo Laboral, Alemania) territorialmente competentes con la pretensión de obtener el acceso a determinada información, la supresión de datos que le concernían y la concesión de una indemnización. Dicho recurrente alegó, en particular, que la recurrida en el litigio principal había transferido al servidor de la sociedad matriz datos relativos a su persona, algunos de los cuales no se mencionaban en el acuerdo de empresa por el que se establece una tolerancia, en particular sus datos de contacto privados, los detalles de su contrato y de su retribución, sus números de seguridad social y de identificación fiscal, su nacionalidad y su estado civil.

18

Al no haber obtenido satisfacción completa, el recurrente en el litigio principal interpuso recurso de casación ante el Bundesarbeitsgericht (Tribunal Supremo de lo Laboral, Alemania), que es el órgano jurisdiccional remitente. Solo está pendiente todavía la pretensión de este recurrente de que, sobre la base del RGPD, se repare el perjuicio moral que alega haber sufrido como consecuencia de un tratamiento ilícito de sus datos personales mediante el programa Workday, durante el período comprendido entre el primer día en que dicho Reglamento pasó a ser aplicable, a saber, el 25 de mayo de 2018, y finales del primer trimestre de 2019.

19

En lo referente a la ilicitud de dicho tratamiento, el recurrente en el litigio principal alega, por un lado, que dicho tratamiento no era necesario para fines de la relación laboral, para la que la recurrida en el litigio principal utilizaba entonces el programa SAP, ni para probar el programa Workday, ya que, para ello, el uso de datos ficticios hubiera bastado, lo que habría garantizado que no se pudiera acceder a ningún dato real en el seno del grupo D. Por otro lado, en su opinión, aun suponiendo que el acuerdo de empresa por el que se establece una tolerancia pudiera constituir una base válida para dicho tratamiento, se sobrepasó la autorización que figura en él, ya que dicha recurrida transmitió datos distintos de los previstos en el anexo 2 del citado acuerdo. Por último, aduce que la carga de la prueba de que las actuaciones de dicha recurrida son conformes con el RGPD incumbe a esta última.

20

La recurrida en el litigio principal contesta a estas alegaciones que el tratamiento en cuestión respeta las exigencias del RGPD, que la carga de la prueba incumbe al recurrente en el litigio principal y que este no ha demostrado ni la existencia de un daño moral ni la relación de causalidad entre una eventual infracción de dicho Reglamento y el perjuicio alegado.

21

El órgano jurisdiccional remitente considera que las operaciones impugnadas por el recurrente en el litigio principal están comprendidas en el ámbito de aplicación material del RGPD, ya que constituyen un «tratamiento» de «datos personales» de ese «interesado», en el sentido del artículo 4, puntos 1 y 2, de dicho Reglamento. Además, indica que la recurrida en el litigio principal tiene la condición de «responsable del tratamiento», según el artículo 4, punto 7, de dicho Reglamento. En lo que atañe al ámbito de aplicación temporal de este último, subraya que, ciertamente, el tratamiento comenzó antes de la fecha en la que dicho instrumento pasó a ser aplicable, pero que, no obstante, continuó después de esa fecha, debido a varias prórrogas de los efectos iniciales del acuerdo de empresa por el que se establece una tolerancia.

22

En este contexto, el órgano jurisdiccional remitente se plantea, en primer lugar, la duda de si una norma nacional reguladora de los tratamientos de datos personales para fines de la relación laboral —que establece, en esencia, que tal tratamiento efectuado sobre la base de convenios colectivos es lícito siempre que se respete el artículo 88, apartado 2, del RGPD—, como el artículo 26, apartado 4, de la BDSG, es compatible con dicho Reglamento o si, a tal fin, el tratamiento en cuestión debe ser también conforme con las demás disposiciones de este. Dicho órgano jurisdiccional se inclina por considerar que, cuando el tratamiento de datos personales de los trabajadores se rige por un «convenio colectivo», en el sentido del artículo 88 del RGPD, el referido tratamiento no puede apartarse de las exigencias derivadas no solo de dicho artículo 88, sino también de los artículos 5, 6, apartado 1, y 9, apartados 1 y 2, del referido Reglamento, en particular en lo que respecta al criterio de la necesidad del tratamiento previsto en estos últimos tres artículos.

23

En segundo lugar, en caso de respuesta afirmativa a su primera cuestión prejudicial, el órgano jurisdiccional remitente se pregunta si las partes de tal convenio colectivo disponen de un margen de apreciación que solo debería ser objeto de un control judicial limitado en lo que respecta a la evaluación de la necesidad del tratamiento en cuestión, en el sentido de los artículos 5, 6, apartado 1, y 9, apartados 1 y 2, del RGPD. En su opinión, esta tesis puede encontrar apoyo en el argumento según el cual estas partes presentan una gran cercanía a la vida de la empresa y, por lo general, han logrado un justo equilibrio entre los intereses en juego. No obstante, la jurisprudencia del Tribunal de Justicia relativa a otros actos del Derecho de la Unión, en particular las sentencias de 7 de febrero de 1991, Nimz (C‑184/89, EU:C:1991:50), y de 20 de marzo de 2003, Kutz-Bauer (C‑187/00, EU:C:2003:168), sugiere más bien que las disposiciones de un convenio colectivo comprendido en el ámbito de aplicación de dicho Derecho no pueden ser contrarias a este último y que, de ser necesario, tales disposiciones deben dejarse inaplicadas.

24

En tercer lugar, en el supuesto de que la respuesta a su segunda cuestión prejudicial fuese afirmativa, el órgano jurisdiccional remitente desea conocer los criterios de apreciación a los que, en su caso, debe limitar su control jurisdiccional.

25

Por último, las cuestiones prejudiciales cuarta a sexta inicialmente planteadas por dicho órgano jurisdiccional, antes de ser retiradas por este, se referían, en esencia, al derecho a la indemnización de un daño moral en virtud del artículo 82, apartado 1, del RGPD.

26

En estas circunstancias, el Bundesarbeitsgericht (Tribunal Supremo de lo Laboral) decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:

27

Mediante decisión del Presidente del Tribunal de Justicia de 24 de enero de 2024, se comunicaron al órgano jurisdiccional remitente las sentencias de 4 de mayo de 2023, Österreichische Post (Daños y perjuicios inmateriales relacionados con el tratamiento de datos personales) (C‑300/21, EU:C:2023:370); de 14 de diciembre de 2023, Natsionalna agentsia za prihodite (C‑340/21, EU:C:2023:986); de 14 de diciembre de 2023, Gemeinde Ummendorf (C‑456/22, EU:C:2023:988); de 21 de diciembre de 2023, Krankenversicherung Nordrhein (C‑667/21, EU:C:2023:1022), y de 25 de enero de 2024, MediaMarktSaturn (C‑687/21, EU:C:2024:72), a fin de que indicara si, a la vista de dichas sentencias, deseaba mantener su petición de decisión prejudicial, más concretamente en lo que respecta a las cuestiones cuarta a sexta.

28

Mediante decisión del Presidente del Tribunal de Justicia de 15 de marzo de 2024, se suspendió el procedimiento, con arreglo al artículo 55, apartado 1, letra b), del Reglamento de Procedimiento del Tribunal de Justicia, hasta que se recibiera respuesta a la pregunta formulada.

29

Mediante comunicación escrita recibida en el Tribunal de Justicia el 8 de mayo de 2024, el órgano jurisdiccional remitente informó de que retiraba sus cuestiones prejudiciales cuarta a sexta, pero mantenía sus cuestiones prejudiciales primera a tercera.

30

La recurrida en el litigio principal sostiene que las cuestiones prejudiciales primera a tercera son inadmisibles por no ser pertinentes para la solución del litigio del que conoce el órgano jurisdiccional remitente. En esencia, alega que el recurrente en el litigio principal no impugna el tenor del acuerdo de empresa aplicable en el caso de autos, sino el rebasamiento de los límites de dicho acuerdo por el tratamiento de datos controvertido, de modo que este litigio no tiene por objeto un incumplimiento de las exigencias del artículo 88 del RGPD relativas a tal acuerdo. Además, en su opinión, estas cuestiones son hipotéticas en la medida en que pretenden que se permita a dicho órgano jurisdiccional controlar la licitud del referido tratamiento en su conjunto, y no únicamente en relación con los elementos impugnados por el recurrente en el litigio principal.

31

A este respecto, según reiterada jurisprudencia, corresponde exclusivamente al juez nacional que conoce del litigio y que debe asumir la responsabilidad de la decisión jurisdiccional que ha de adoptarse apreciar, a la luz de las particularidades del asunto, tanto la necesidad de una decisión prejudicial para poder dictar sentencia como la pertinencia de las cuestiones que plantea al Tribunal de Justicia, que disfrutan de una presunción de pertinencia. Por consiguiente, cuando las cuestiones planteadas se refieran a la interpretación o a la validez de una norma del Derecho de la Unión, el Tribunal de Justicia está, en principio, obligado a pronunciarse, salvo si resulta patente que la interpretación solicitada no guarda relación alguna con la realidad o con el objeto del litigio principal, que el problema es de naturaleza hipotética o que el Tribunal de Justicia no dispone de los elementos de hecho o de Derecho necesarios para responder adecuadamente a tales cuestiones (sentencia de 20 de junio de 2024, Scalable Capital,C‑182/22 y C‑189/22, EU:C:2024:531, apartado 18 y jurisprudencia citada).

32

En el presente asunto, las cuestiones prejudiciales primera a tercera se refieren a la interpretación de varias disposiciones del Derecho de la Unión, más concretamente el artículo 88 del RGPD, en relación con los artículos 5, 6 y 9 de este. Además, el órgano jurisdiccional remitente considera que se han rebasado los límites establecidos por el acuerdo de empresa aplicable en el presente asunto, que califica de «convenio colectivo» en el sentido de dicho Reglamento, y que el tratamiento de datos personales controvertido en el litigio principal debe ser examinado en su conjunto, ya que puede ser ilícito a la luz de lo dispuesto tanto en el apartado 1 como en el apartado 4 del artículo 26 de la BDSG, que se refiere expresamente al artículo 88 del RGPD.

33

Por lo tanto, la petición de decisión prejudicial es admisible.

34

Mediante su primera cuestión prejudicial, el órgano jurisdiccional remitente pretende que se dilucide, en esencia, si el artículo 88, apartados 1 y 2, del RGPD debe interpretarse en el sentido de que una disposición nacional que tiene por objeto el tratamiento de datos personales para fines de la relación laboral y que ha sido adoptada en virtud del artículo 88, apartado 1, de dicho Reglamento debe tener el efecto de obligar a sus destinatarios a cumplir no solo las exigencias del artículo 88, apartado 2, del referido Reglamento, sino también las derivadas de los artículos 5, 6, apartado 1, y 9, apartados 1 y 2, de este.

35

A este respecto, procede recordar que el RGPD aspira a garantizar una armonización de las legislaciones nacionales relativas a la protección de los datos personales, en principio, completa. No obstante, algunas disposiciones de dicho Reglamento ofrecen a los Estados miembros la posibilidad de establecer normas nacionales adicionales, que sean más estrictas o prevean alguna excepción, y les deja un margen de apreciación en cuanto a la manera de aplicar dichas disposiciones («cláusulas de apertura») (véase, en este sentido, la sentencia de 30 de marzo de 2023, Hauptpersonalrat der Lehrerinnen und Lehrer,C‑34/21, EU:C:2023:270, apartado 51 y jurisprudencia citada).

36

El artículo 88 del RGPD, relativo al tratamiento de datos personales en el ámbito laboral, determina las condiciones en las que los Estados miembros pueden establecer «normas más específicas», a través de disposiciones legislativas o de convenios colectivos, para garantizar la protección de los derechos y libertades de los trabajadores a los que afecte ese tratamiento. El considerando 155 de dicho Reglamento indica, en particular, que el concepto de «convenio colectivo», en el sentido del referido artículo 88, incluye los acuerdos de empresa, como el controvertido en el litigio principal. Por otra parte, los artículos 5, 6 y 9 del RGPD enuncian, respectivamente, los principios relativos al tratamiento de datos personales, las condiciones de licitud de dicho tratamiento y una serie de normas relativas al tratamiento de categorías especiales de tales datos.

37

Según reiterada jurisprudencia, el tenor de una disposición del Derecho de la Unión que, como el artículo 88 del RGPD, no contenga una remisión expresa al Derecho de los Estados miembros para determinar su sentido y su alcance debe normalmente ser objeto de una interpretación autónoma y uniforme en toda la Unión, que debe buscarse, en particular, teniendo en cuenta el tenor de la disposición en cuestión, los objetivos perseguidos por esta y el contexto en el que se inscribe (véase, por analogía, la sentencia de 14 de diciembre de 2023, Natsionalna agentsia za prihodite,C‑340/21, EU:C:2023:986, apartados 23 y jurisprudencia citada).

38

En primer lugar, resulta del tenor del artículo 88 del RGPD que su apartado 1 exige que las «normas más específicas» que autoriza dicha disposición tengan un contenido normativo propio del ámbito regulado y distinto de las reglas generales de dicho Reglamento, mientras que su apartado 2 delimita, conforme al objetivo de armonización de dicho Reglamento, el margen de apreciación de los Estados miembros que pretendan establecer una normativa nacional en virtud de dicho apartado 1 (véase, en este sentido, la sentencia de 30 de marzo de 2023, Hauptpersonalrat der Lehrerinnen und Lehrer,C‑34/21, EU:C:2023:270, apartados 61, 65, 72 y 75).

39

En cambio, este tenor no proporciona ninguna indicación expresa sobre si las «normas más específicas» que pueden así adoptar los Estados miembros deben cumplir únicamente las exigencias del artículo 88, apartado 2, del RGPD o también las recogidas en otras disposiciones de dicho Reglamento, de modo que los tratamientos de datos personales realizados con arreglo a tales normas deban ser conformes, además, con estas últimas disposiciones.

40

En segundo lugar, por lo que respecta a los objetivos del artículo 88 del RGPD, el Tribunal de Justicia ya ha declarado que este artículo constituye una «cláusula de apertura» y que la facultad conferida a los Estados miembros por el apartado 1 de este, habida cuenta de las particularidades de tal tratamiento, se explica, sobre todo, por la existencia de una relación de subordinación entre el trabajador y el empresario. El Tribunal de Justicia ha precisado que las exigencias que impone el artículo 88, apartado 2, del referido Reglamento reflejan los límites de la apreciación que se reconoce a los Estados miembros, en el sentido de que la falta de armonización inherente a esta solo puede admitirse cuando las diferencias que subsistan vayan acompañadas de garantías adecuadas y específicas destinadas a proteger los derechos y libertades de los trabajadores en relación con el tratamiento de sus datos personales en el ámbito laboral (véase, en este sentido, la sentencia de 30 de marzo de 2023, Hauptpersonalrat der Lehrerinnen und Lehrer,C‑34/21, EU:C:2023:270, apartados 52, 53 y 73).

41

Además, el Tribunal de Justicia ha subrayado que, cuando los Estados miembros ejercen la facultad que les confiere el artículo 88 del RGPD, deben hacer uso de su margen de apreciación en las condiciones y con los límites prescritos por las disposiciones de dicho Reglamento y, por tanto, deben legislar de manera que no se menoscaben el contenido y los objetivos de dicho Reglamento, que tiene por objeto, en particular, garantizar un elevado nivel de protección de los derechos y libertades de los interesados a quienes concierna ese tratamiento, como se desprende de su considerando 10. Por consiguiente, las normas adoptadas por un Estado miembro sobre la base de dicho artículo 88 deben tener por objeto proteger los derechos y libertades de los trabajadores en lo que respecta al tratamiento de sus datos personales (véase, en este sentido, la sentencia de 30 de marzo de 2023, Hauptpersonalrat der Lehrerinnen und Lehrer,C‑34/21, EU:C:2023:270, apartados 54, 59, 62 y 74).

42

Pues bien, so pena de menoscabar todos estos fines, y más concretamente el de garantizar una protección a un nivel elevado de los trabajadores en caso de tratamiento de sus datos personales en el ámbito laboral, el artículo 88 del RGPD no puede interpretarse en el sentido de que las «normas más específicas» que los Estados miembros pueden adoptar en virtud de dicho artículo puedan tener por objeto o como efecto eludir las obligaciones del responsable o del encargado del tratamiento que resultan de otras disposiciones de dicho Reglamento.

43

De ello se deduce que procede interpretar el artículo 88, apartados 1 y 2, del RGPD en el sentido de que, aun cuando los Estados miembros se basen en este artículo para introducir, en sus respectivos ordenamientos jurídicos internos, «normas más específicas», a través de disposiciones legislativas o de convenios colectivos, también deben cumplirse las exigencias derivadas de las demás disposiciones a que se refiere específicamente esta cuestión prejudicial, a saber, los artículos 5, 6, apartado 1, y 9, apartados 1 y 2, de dicho Reglamento. Así sucede, en particular, con el cumplimiento del criterio de necesidad del tratamiento previsto por las referidas disposiciones, sobre el que se pregunta más concretamente el órgano jurisdiccional remitente.

44

En tercer lugar, el contexto en el que se inscribe el artículo 88 del RGPD corrobora esta interpretación.

45

En efecto, el artículo 88 del RGPD figura en el capítulo IX, titulado «Disposiciones relativas a situaciones específicas de tratamiento», mientras que los artículos 5, 6 y 9 de dicho Reglamento figuran en el capítulo II, con el título «Principios», el cual tiene, por tanto, un alcance más general. Asimismo, del tenor de dicho artículo 6, que, en sus apartados 2 y 3, se refiere expresamente a las disposiciones de ese capítulo IX, se desprende claramente que las condiciones de licitud establecidas en el citado artículo 6 son vinculantes también en el marco de las «situaciones específicas» reguladas por las disposiciones de dicho capítulo IX.

46

Además, es jurisprudencia reiterada que todo tratamiento de datos personales debe respetar los principios que rigen el tratamiento de tales datos, así como los derechos del interesado establecidos, respectivamente, en los capítulos II y III del RGPD. En particular, debe ser conforme con los principios relativos al tratamiento de tales datos enunciados en el artículo 5 de dicho Reglamento y cumplir las condiciones de licitud del tratamiento enumeradas en su artículo 6 [véanse, en este sentido, las sentencias de 2 de marzo de 2023, Norra Stockholm Bygg,C‑268/21, EU:C:2023:145, apartado 43, y de 11 de julio de 2024, Meta Platforms Ireland (Acción de representación),C‑757/22, EU:C:2024:598, apartado 49 y jurisprudencia citada].

47

Por lo que respecta, más concretamente, a la relación entre el artículo 88 del RGPD y otras disposiciones de dicho Reglamento, el Tribunal de Justicia ha señalado, en particular a la luz de su considerando 8, que, pese a la eventual existencia de «normas más específicas» adoptadas por los Estados miembros sobre la base del artículo 88, apartado 1, de dicho Reglamento, todo tratamiento de datos personales debe cumplir las obligaciones derivadas de las disposiciones de los capítulos II y III del mismo Reglamento y, en particular, de los artículos 5 y 6 de este (véase, en este sentido, la sentencia de 30 de marzo de 2023, Hauptpersonalrat der Lehrerinnen und Lehrer,C‑34/21, EU:C:2023:270, apartados 67 a 71).

48

Asimismo, las obligaciones derivadas del artículo 9 del RGPD deben ser respetadas en todo tratamiento de datos personales comprendido en el referido Reglamento, incluso cuando existan «normas más específicas» adoptadas en virtud del artículo 88, apartado 1, de este. En efecto, dicho artículo 9, que regula el tratamiento de las categorías especiales de datos que enumera, figura en el capítulo II de dicho Reglamento, al igual que sus artículos 5 y 6, cuyas exigencias son, por otra parte, acumulables con las derivadas del referido artículo 9 (véase, en este sentido, la sentencia de 21 de diciembre de 2023, Krankenversicherung Nordrhein,C‑667/21, EU:C:2023:1022, apartados 73 y 77 a 79). Además, esta interpretación es conforme con la finalidad del referido artículo 9, que consiste en garantizar una mayor protección frente a tratamientos que, en atención a la particular sensibilidad de los datos objeto de ellos, pueden constituir una injerencia especialmente grave en los derechos fundamentales de los interesados (véase, en este sentido, la sentencia de 4 de octubre de 2024, Lindenapotheke,C‑21/23, EU:C:2024:846, apartado 89 y jurisprudencia citada).

49

Así pues, en el supuesto de que el Derecho de un Estado miembro contenga «normas más específicas», en el sentido del artículo 88, apartado 1, del RGPD, los tratamientos de datos personales cubiertos por estas normas deben respetar no solo los requisitos establecidos en los apartados 1 y 2 de dicho artículo, sino también los previstos en los artículos 5, 6 y 9 del referido Reglamento, tal como han sido interpretados por la jurisprudencia del Tribunal de Justicia.

50

Habida cuenta de las consideraciones anteriores, procede responder a la primera cuestión prejudicial que el artículo 88, apartados 1 y 2, del RGPD debe interpretarse en el sentido de que una disposición nacional que tiene por objeto el tratamiento de datos personales para fines de la relación laboral y que ha sido adoptada en virtud del artículo 88, apartado 1, de dicho Reglamento debe tener el efecto de obligar a sus destinatarios a cumplir no solo las exigencias del artículo 88, apartado 2, de dicho Reglamento, sino también las derivadas de los artículos 5, 6, apartado 1, y 9, apartados 1 y 2, de este.

51

Mediante su segunda cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, si el artículo 88, apartado 1, del RGPD debe interpretarse en el sentido de que, cuando un convenio colectivo está comprendido en el ámbito de aplicación de esta disposición, el margen de apreciación de que disponen las partes en dicho convenio para determinar el carácter «necesario» de un tratamiento de datos personales, en el sentido de los artículos 5, 6, apartado 1, y 9, apartados 1 y 2, de dicho Reglamento, tiene por efecto impedir al juez nacional ejercer un control jurisdiccional completo a este respecto.

52

Antes de nada, es preciso recordar que, como se ha subrayado en el apartado 41 de la presente sentencia, los Estados miembros que ejerzan la facultad que les concede el artículo 88 del RGPD deben utilizar su margen de apreciación en las condiciones y dentro de los límites establecidos por las disposiciones de este Reglamento y velar así por que las «normas más específicas» que integren en su ordenamiento jurídico interno no menoscaben el contenido y los objetivos de dicho Reglamento. Estas normas deben tener por objeto, en particular, garantizar un elevado nivel de protección de las libertades y los derechos fundamentales de los trabajadores por lo que respecta al tratamiento de sus datos personales en el ámbito laboral.

53

En lo que atañe al alcance del control jurisdiccional que puede ejercerse respecto de tales normas específicas, el Tribunal de Justicia ya ha declarado que corresponde al órgano jurisdiccional nacional que conoce del asunto, único competente para interpretar el Derecho nacional, apreciar si dichas normas respetan efectivamente las condiciones y los límites establecidos, en particular, por el artículo 88 del RGPD. En virtud del principio de primacía del Derecho de la Unión, en caso de que dicho órgano jurisdiccional llegue a la conclusión de que las disposiciones nacionales de que se trate no respetan esas condiciones y límites, deberá abstenerse de aplicar tales disposiciones. A falta de normas más específicas que respeten las exigencias del referido artículo 88, el tratamiento de datos personales en el ámbito laboral se rige directamente por dicho Reglamento (véase, en este sentido, la sentencia de 30 de marzo de 2023, Hauptpersonalrat der Lehrerinnen und Lehrer,C‑34/21, EU:C:2023:270, apartados 80, 82 a 84 y 89).

54

Estas consideraciones son igualmente válidas para las partes de un convenio colectivo contemplado en el artículo 88 del RGPD, como el controvertido en el litigio principal. En efecto, como señaló, en esencia, la Comisión Europea en sus observaciones escritas, las partes de un convenio colectivo deben poder disponer de un margen de apreciación equivalente, en particular por lo que respecta a sus límites, al que se reconoce a los Estados miembros, ya que las «normas más específicas» a que se refiere el apartado 1 de dicho artículo 88 pueden derivarse, en particular, de convenios colectivos. El considerando 155 de dicho Reglamento indica asimismo que tales normas pueden establecerse en el Derecho de los Estados miembros o en convenios colectivos, incluidos los acuerdos de empresa.

55

Así pues, a pesar del margen de apreciación que el artículo 88 del RGPD reconoce a las partes de un convenio colectivo, el control jurisdiccional ejercido sobre tal convenio, al igual que el relativo a una norma de Derecho nacional adoptada en virtud de dicha disposición, debe poder tener por objeto sin restricción alguna el respeto de todas las condiciones y límites establecidos por las disposiciones de dicho Reglamento para el tratamiento de datos personales.

56

A continuación, debe precisarse que tal control jurisdiccional debe tener por objeto, más concretamente, la comprobación del carácter «necesario» del tratamiento de tales datos, en el sentido de los artículos 5, 6 y 9 del RGPD. Dicho de otro modo, el artículo 88 de este Reglamento no puede interpretarse en el sentido de que las partes de un convenio colectivo disponen de una facultad de apreciación que les permita introducir «normas más específicas» que lleven a aplicar de manera menos estricta, o incluso a descartar, dicha exigencia de necesidad.

57

Es cierto que, como han observado, en esencia, el órgano jurisdiccional remitente e Irlanda, las partes de un convenio colectivo se encuentran generalmente bien situadas para evaluar si un tratamiento de datos reviste un carácter necesario en un marco profesional concreto, ya que dichas partes poseen habitualmente amplios conocimientos sobre las necesidades propias del ámbito del empleo y del sector de actividad de que se trate. No obstante, tal proceso de evaluación no debe llevar a que dichas partes lleguen a compromisos, por razones económicas o de conveniencia, que puedan menoscabar indebidamente el objetivo del RGPD consistente en garantizar la protección, a un elevado nivel, de las libertades y los derechos fundamentales de los trabajadores en lo que respecta al tratamiento de sus datos personales.

58

Por consiguiente, habida cuenta del objetivo de protección recordado en el apartado anterior de la presente sentencia, no sería compatible con el RGPD una interpretación de su artículo 88 según la cual los órganos jurisdiccionales nacionales no pueden ejercer un control jurisdiccional completo de un convenio colectivo, en particular con el fin de comprobar si las justificaciones alegadas por las partes en dicho convenio acreditan el carácter necesario del tratamiento de datos personales que se deriva de él.

59

Por último, procede subrayar que, en el supuesto de que el órgano jurisdiccional nacional que conoce del asunto, al término de su control, llegue a la conclusión de que determinadas disposiciones del convenio colectivo en cuestión no respetan las condiciones y los límites establecidos por el RGPD, le incumbirá dejar inaplicadas esas disposiciones, de conformidad con la jurisprudencia mencionada en el apartado 53 de la presente sentencia.

60

Habida cuenta de las consideraciones anteriores, procede responder a la segunda cuestión prejudicial que el artículo 88, apartado 1, del RGPD debe interpretarse en el sentido de que, cuando un convenio colectivo está comprendido en el ámbito de aplicación de esta disposición, el margen de apreciación de que disponen las partes en dicho convenio para determinar el carácter «necesario» de un tratamiento de datos personales, en el sentido de los artículos 5, 6, apartado 1, y 9, apartados 1 y 2, de dicho Reglamento, no impide al juez nacional ejercer un control jurisdiccional completo a este respecto.

61

Habida cuenta de la respuesta dada a la segunda cuestión prejudicial, no procede responder a la tercera cuestión prejudicial.

62

Dado que el procedimiento tiene, para las partes del litigio principal, el carácter de un incidente promovido ante el órgano jurisdiccional remitente, corresponde a este resolver sobre las costas. Los gastos efectuados por quienes, no siendo partes del litigio principal, han presentado observaciones ante el Tribunal de Justicia no pueden ser objeto de reembolso.

En virtud de todo lo expuesto, el Tribunal de Justicia (Sala Octava) declara: