判决

2013年5月30日，欧洲法院就本案作出判决。

1.关于维塞乌法院提出的第1个问题，欧洲法院认为，该问题实质上是询问《95/46指令》第2条（a）项是否应解释为，含有每个员工工作时间的开始和结束时点，以及相应休息时间和间隔时间的工作时间记录，例如本案所涉的工作时间记录，构成该项规定的“个人数据”。对此，欧洲法院注意到，本案当事人在其书面意见中均认为，工作时间记录（例如本案所涉的工作时间记录）中包含的、涉及每个工人每日工作期间和休息期间的数据构成《95/46指令》第2条（a）项规定的个人数据，因为上述数据系“与已识别或可识别的自然人有关的信息”。雇主对这些数据的收集、记录、组织、存储、查阅和使用，以及将这些数据传输给负责监督劳动条件的国家机关，由此构成《95/46指令》第2条（b）项规定的“个人数据处理”。此外，鉴于本案当事人对以下事实，即该个人数据处理系通过自动方式进行，以及《95/46指令》第3条第2款规定的例外情形在本案中并不适用均无异议，故该个人数据处理包括在《95/46指令》的规制范围之内。在此情形下，对于维塞乌法院提出的第1个问题的答复为，含有每个员工工作时间的开始和结束时点，以及相应休息时间和间隔时间的工作时间记录（例如本案所涉的工作时间记录）构成《95/46指令》第2条（a）项规定的“个人数据”。

2.关于维塞乌法院提出的第2、3个问题，欧洲法院认为，这些问题实质上是询问《95/46指令》第17条第1款是否应解释为，每一欧盟成员国均有义务规定恰当的技术和组织措施，以保护个人数据免受意外或非法损毁、意外遗失、篡改、未经授权的披露或获取？如是，则未规定该措施的欧盟成员国是否可以在作为数据控制者的雇主采用了一个限制获取这些数据的系统，而该系统又不允许负责监督工作条件的国家机关自动获取这些数据的情况下，对该雇主进行处罚。

对此，欧洲法院指出，根据《95/46指令》第17条第1款的规定，欧盟成员国应规定，数据控制者应采取恰当的技术措施和组织措施，这些措施应在考虑技术发展水平以及执行成本的基础上，确保一种与数据处理所带来的风险以及受保护的数据的性质相适应的安全水平。因此，除非欧盟成员国自身就是数据控制者，否则，《95/46指令》第17条第1款并未要求欧盟成员国采取恰当的技术措施和组织措施，因为采取这些措施的义务仅与数据控制者（在本案中为雇主）相关。此外，从在案材料无法看出，案涉数据系《95/46指令》第17条第1款规定的意外或非法损毁、意外遗失、篡改、未经授权的披露或获取，或者任何其他非法个人数据处理的对象。相反，在案材料显示，负责监督劳动条件的国家机关获取案涉数据的行为获得了该国法律的授权。尽管沃腾公司在其书面意见中主张，《葡萄牙劳动法典》第202条第1款规定的提供工作时间记录以便即时查阅的义务与建立充分的、对该记录中包含的个人数据予以保护的制度的义务不符，因为前一个义务相当于允许相关企业的任何雇员获取该记录中包含的个人数据，并因此违反了《95/46指令》第17条第1款规定的确保这些数据的安全的义务。但欧洲法院认为，沃腾公司的主张不应予以采信，因为作为数据控制者的雇主负有让负责监督工作条件的国家机关即时获取工作时间记录的义务，并不意味着该记录中包含的个人数据必然会被未经授权的人获取。如同葡萄牙政府所指出的，根据《95/46指令》第17条第1款的规定，个人数据的所有控制者均应采取恰当的技术措施和组织措施，以确保只有那些获得恰当授权的人才有权对第三方提出的获取数据的请求作出回应。综上，欧洲法院认定，《95/46指令》第17条第1款与案涉争议的解决无关。

接下来，欧洲法院指出，根据《欧盟运行条约》第267条规定的欧盟成员国法院与欧洲法院之间的合作程序，欧洲法院应在其答复对欧盟成员国法院有所裨益，且其答复将使得欧盟成员国法院能够对该院受理的案件进行裁判的情况下，向欧盟成员国法院提供相关答复。为此，欧洲法院可以对欧盟成员国法院提出的问题予以重新组织，且其有义务解释欧盟成员国法院要求其进行解释的欧盟法律的所有条款，以便欧盟成员国法院就该院受理的案件进行裁判，即使在有关条款未于欧盟成员国法院提出的问题中被明确提及的情况下也是如此。据此，即使本案维塞乌法院将其问题限于对《95/46指令》第17条第1款的解释，这亦不妨碍欧洲法院向维塞乌法院提供有助于后者审理本案的相关欧盟法律的解释，无论维塞乌法院是否在其问题中提及了这些法律。鉴于此，本案欧洲法院将在考量本案争议标的的基础上，从维塞乌法院提供的所有信息特别是从其提出的先予裁决请求的理由中，提炼出需要欧洲法院进行解释的欧盟法律问题。(https://www.daowen.com)

接下来，欧洲法院强调，从在案材料可以清楚地看出，维塞乌法院实际上意图确定，《95/46指令》的规定是否应解释为禁止欧盟成员国制定的、要求雇主向负责监督劳动条件的国家机关提供工作时间记录以便其即时查阅该记录的法律，例如本案所涉的葡萄牙法律。就此，欧洲法院指出，根据《95/46指令》第2章“关于个人数据处理合法性的一般规则”的规定，受限于该指令第13条规定的例外情形，所有个人数据处理首先必须遵守该指令第6条规定的有关数据质量的原则；其次，还须遵守该指令第7条列明的使数据处理合法化的六个标准之一。详言之，根据《95/46指令》第6条第1款（b）项和（c）项的规定，相关数据必须“为特定、明确和合法的目的而收集”，且就上述目的而言必须是“充分、相关且非过量的”。此外，根据《95/46指令》第7条（c）项和（e）项的规定，个人数据处理仅在为履行控制者所负担的法律义务所必需，或者为执行公共利益领域的任务所必需，或者为行使控制者或接受数据披露的第三方被赋予的公务职权所必需的情况下才是允许的，而本案就是这种情况（具体还需维塞乌法院核实）。因为一方面，工作时间记录中包含的个人数据系出于确保遵守有关工作条件的法律而收集；另一方面，这些个人数据的处理为履行雇主所承担的法律义务，以及行使负责监督劳动条件的国家机关被赋予的监督职权所必需。

关于国家机关为行使其监督劳动条件的职权而获取相关个人数据，欧洲法院认为，仅仅将获取相关个人数据的权力赋予在此领域拥有职权的机关可视为《95/46指令》第7条（e）项规定的必需情形。

关于雇主负担的让国家机关即时获取工作时间记录的义务，欧洲法院认为，从欧洲法院的判例可以清楚地看出，若该义务有助于有关劳动条件的法律更为有效的适用，则该义务即可构成《95/46指令》第7条（e）项规定的必需情形。需要指出的是，本案所涉的《欧洲议会和欧盟理事会关于工作时间组织的若干方面的2033/88指令》（以下简称《2033/88指令》）的目的是经由有关工作时间的欧盟成员国国内规则的统一，通过确保工人有权享有最低休息期（特别是每日和每周休息期）和充分的短假期，以及规定每周平均工作时间的上限等方式，设定旨在提高工人生活和工作条件的最低要求。为此，《2003/88指令》第6条（b）项要求欧盟成员国采取“必要措施”，确保每七天期间的平均工作时间（包括加班时间）不超过48小时，以满足保护工人安全和健康的要求。同时，《2003/88指令》第22条第1款规定，欧盟成员国可以选择不适用该指令第6条的规定，但条件是其采取了必要措施，确保雇主保存从事相关工作的所有工人的最新记录，且该记录被置于主管机关的支配之下。该主管机关可基于与工人的安全和（或）健康相关的理由，对超过每周最高工作时间的情形予以禁止或限制。本案中，应由维塞乌法院审查，雇主让国家机关获取工作时间记录以供其即时查阅的义务是否因有助于有关劳动条件的法律（特别是有关工作时间的法律）的更为有效的适用，因此为该机关履行其监督任务所需。需要强调的是，若雇主让国家机关获取工作时间记录以供该机关即时查阅的义务为实现前述目标所需，则为确保《2003/88指令》的有效适用而科以的处罚必须遵守比例原则，此问题亦应由维塞乌法院审查。

综上，欧洲法院认为，对于维塞乌法院提出的第2、3个问题的答复是，《95/46指令》第6条第1款（b）项、（c）项以及第7条（c）项和（e）项并未禁止欧盟成员国制定的、要求雇主向负责监督劳动条件的国家机关提供工作时间记录，以便其即时查阅该记录的法律，例如本案所涉的葡萄牙法律，但前提是此义务系该国家机关履行其拥有的以下职权，即监督有关工作条件的法律（特别是有关工作时间的法律）的适用所需。