Affaire C-65/23, K GmbH (Traitement de données personnelles des employés): Arrêt de la Cour (huitième chambre) du 19 décembre 2024 (demande de décision préjudicielle du Bundesarbeitsgericht – Allemagne) – MK / K GmbH [Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement (UE) 2016/679 – Article 88, paragraphes 1 et 2 – Traitement de données dans le cadre des relations de travail – Données à caractère personnel des employés – Règles plus spécifiques prévues par un État membre en vertu de cet article 88 – Obligation de respecter l’article 5, l’article 6, paragraphe 1, ainsi que l’article 9, paragraphes 1 et 2, de ce règlement – Traitement sur la base d’une convention collective – Marge d’appréciation des parties à la convention collective quant à la nécessité du traitement des données à caractère personnel prévu par celle-ci – Portée du contrôle juridictionnel]

1)

L’article 88, paragraphes 1 et 2, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données),

doit être interprété en ce sens que:

une disposition nationale ayant pour objet le traitement de données à caractère personnel aux fins des relations de travail et ayant été adoptée en vertu de l’article 88, paragraphe 1, de ce règlement doit avoir pour effet de contraindre ses destinataires à respecter non seulement les exigences découlant de l’article 88, paragraphe 2, dudit règlement, mais également celles découlant de l’article 5, de l’article 6, paragraphe 1, ainsi que de l’article 9, paragraphes 1 et 2, de celui-ci.

2)

L’article 88, paragraphe 1, du règlement 2016/679

doit être interprété en ce sens que:

lorsqu’une convention collective relève du champ d’application de cette disposition, la marge d’appréciation dont les parties à cette convention disposent pour déterminer le caractère «nécessaire» d’un traitement de données à caractère personnel, au sens de l’article 5, de l’article 6, paragraphe 1, ainsi que de l’article 9, paragraphes 1 et 2, de ce règlement, n’empêche pas le juge national d’exercer un contrôle juridictionnel complet à cet égard.