z dnia 2 marca 2023 r. (*1)
Odesłanie prejudycjalne – Ochrona danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuł 6 ust. 3 i 4 – Zgodność przetwarzania z prawem – Przedstawienie dokumentu zawierającego dane osobowe w ramach cywilnego postępowania sądowego – Artykuł 23 ust. 1 lit. f) i j) – Ochrona niezależności sądów i postępowania sądowego – Egzekucja roszczeń cywilnoprawnych – Wymogi, które muszą być spełnione – Uwzględnienie interesu osób, których dane dotyczą – Wyważenie przeciwstawnych interesów – Artykuł 5 – Minimalizacja danych osobowych – Karta praw podstawowych Unii Europejskiej – Artykuł 7 – Prawo do poszanowania życia prywatnego – Artykuł 8 – Prawo do ochrony danych osobowych – Artykuł 47 – Prawo do skutecznej ochrony sądowej – Zasada proporcjonalności
W sprawie C‑268/21
mającej za przedmiot wniosek o wydanie, na podstawie art. 267 TFUE, orzeczenia w trybie prejudycjalnym, złożony przez Högsta domstolen (sąd najwyższy Szwecja) postanowieniem z dnia 15 kwietnia 2021 r., które wpłynęło do Trybunału w dniu 23 kwietnia 2021 r., w postępowaniu:
Norra Stockholm Bygg AB
przeciwko
Per Nycander AB,
przy udziale:
Entral AB,
TRYBUNAŁ (trzecia izba),
w składzie: K. Jürimäe, prezes izby, M. L. Arastey Sahún, N. Piçarra, N. Jääskinen (sprawozdawca) i M. Gavalec, sędziowie,
rzecznik generalny: T. Ćapeta,
sekretarz: C. Strömholm, administratorka,
uwzględniając pisemny etap postępowania i po przeprowadzeniu rozprawy w dniu 27 czerwca 2022 r.,
rozważywszy uwagi, które przedstawili:
po zapoznaniu się z opinią rzecznika generalnego na posiedzeniu w dniu 6 października 2022 r.,
wydaje następujący
1Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 6 ust. 3 i 4 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) ( Dz.U. 2016, L 119, s. 1 ; sprostowania: Dz.U. 2018, L 127, s. 2 ; Dz.U. 2021, L 74, s. 35 , zwanego dalej „RODO”).
2Wniosek ten został złożony w ramach sporu pomiędzy Norra Stockholm Bygg AB (zwaną dalej „Fastekiem”) a spółką Per Nycander AB (zwaną dalej „Nycanderem”) w przedmiocie żądania udostępnienia elektronicznego rejestru pracowników Fasteca, którzy wykonywali na rzecz Nycandera prace, w celu określenia kwoty za wykonane prace, jakie ta ostatnia spółka powinna zapłacić.
3Motywy 1, 2, 4, 20, 26, 45 i 50 RODO mają następujące brzmienie:
„(1)
Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych jest jednym z praw podstawowych. Art[ykuł] 8 ust. 1 Karty praw podstawowych Unii Europejskiej (zwanej dalej »kartą«) oraz art. 16 ust. 1 [TFUE] stanowią, że każda osoba ma prawo do ochrony danych osobowych jej dotyczących.
[…]
[…]
[…]
[…]
[…]
Jeżeli osoba, której dane dotyczą, wyraziła zgodę lub jeżeli przetwarzanie ma za podstawę prawo Unii lub prawo państwa członkowskiego stanowiące w demokratycznym społeczeństwie niezbędny i proporcjonalny środek, który zapewnia w szczególności realizację ważnych celów leżących w ogólnym interesie publicznym, administrator powinien móc dokonać dalszego przetwarzania danych osobowych, bez względu na jego zgodność z pierwotnymi celami. W każdym przypadku należy zapewnić stosowanie zasad przewidzianych w niniejszym rozporządzeniu, w szczególności stosowanie zasady informowania osoby, której dane dotyczą, o tych innych celach oraz o jej prawach, w tym prawie do sprzeciwu. […]” .
4Artykuł 2 tego rozporządzenia, zatytułowany „Materialny zakres stosowania”, stanowi:
„1. Niniejsze rozporządzenie ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych.
2Niniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych:
3Do przetwarzania danych osobowych przez instytucje, organy i jednostki organizacyjne Unii zastosowanie ma rozporządzenie (WE) nr 45/2001 [Parlamentu Europejskiego i Rady z dnia 18 grudnia 2000 r. o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje i organy wspólnotowe i o swobodnym przepływie takich danych ( Dz.U. 2001, L 8, s. 1 )]. Rozporządzenie [nr 45/2001] oraz inne unijne akty prawne mające zastosowanie do takiego przetwarzania danych osobowych zostają dostosowane do zasad i przepisów niniejszego rozporządzenia zgodnie z art. 98”.
5Zgodnie z art. 4 tego rozporządzenia:
„Na użytek niniejszego rozporządzenia:
[…]
[…]
[…]” .
6Artykuł 5 tego rozporządzenia, zatytułowany „Zasady dotyczące przetwarzania danych osobowych”, w ust. 1 stanowi:
„Dane osobowe muszą być:
[…]”.
7Artykuł 6 RODO, zatytułowany „Zgodność przetwarzania z prawem”, stanowi:
„1. Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:
[…]
[…]
[…]
3Podstawa przetwarzania, o którym mowa w ust. 1 lit. c) i e), musi być określona:
Cel przetwarzania musi być określony w tej podstawie prawnej lub, w przypadku przetwarzania, o którym mowa w ust. 1 lit. e) – musi być ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. […] Prawo Unii lub prawo państwa członkowskiego muszą służyć realizacji celu leżącego w interesie publicznym, oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu.
4Jeżeli przetwarzanie w celu innym niż cel, w którym dane osobowe zostały zebrane, nie odbywa się na podstawie zgody osoby, której dane dotyczą, ani prawa Unii lub prawa państwa członkowskiego stanowiących w demokratycznym społeczeństwie niezbędny i proporcjonalny środek służący zagwarantowaniu celów, o których mowa w art. 23 ust. 1, administrator – aby ustalić, czy przetwarzanie w innym celu jest zgodne z celem, w którym dane osobowe zostały pierwotnie zebrane – bierze pod uwagę między innymi:
[…]”.
8Artykuł 23 tego rozporządzenia, zatytułowany „Ograniczenia”, stanowi:
„1. Prawo Unii lub prawo państwa członkowskiego, któremu podlegają administrator danych lub podmiot przetwarzający, może aktem prawnym ograniczyć zakres obowiązków i praw przewidzianych w art. 12–22 i w art. 34, a także w art. 5 – o ile jego przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 12–22 – jeżeli ograniczenie takie nie narusza istoty podstawowych praw i wolności oraz jest w demokratycznym społeczeństwie środkiem niezbędnym i proporcjonalnym, służącym:
[…].
[…]
[…]”.
9Dowód z dokumentów regulują przepisy rozdziału 38 rättegångsbalken (kodeksu postępowania sądowego, zwanego dalej „RB”).
10Zgodnie z ujętym w rozdziale 38 RB § 2 akapit pierwszy każda osoba będąca w posiadaniu dokumentu, który można uznać za mający wartość dowodową, jest zobowiązana do przedstawienia tego dokumentu.
11Wyjątki od tego obowiązku przedstawienia dokumentu są przewidziane w szczególności w akapicie drugim tego paragrafu. Niektórzy urzędnicy są zwolnieni z tego obowiązku, jeżeli można przypuszczać, że jego treść nie pozwala na przesłuchanie jego posiadacza w charakterze świadka w odniesieniu do tego dokumentu. Wyjątek ten dotyczy prawników, lekarzy, psychologów, księży i innych urzędników, którym powierzono informacje z zachowaniem poufności w związku z wykonywaniem zawodu lub w podobnych okolicznościach. Zakres wspomnianego obowiązku odpowiada zatem obowiązkowi stawiennictwa w charakterze świadka w postępowaniu sądowym.
12Jeżeli dana osoba jest zobowiązana do przedstawienia dokumentu w charakterze dowodu, sąd może, zgodnie z rozdziałem 38 § 4 RB, nakazać zainteresowanemu przedstawienie dokumentu.
13Zgodnie z rozdziałem 39 § 11a–11c skatteförfarandelagen (2011:1244) [ordynacji podatkowej (2011:1244)] każdy, kto prowadzi przedsiębiorstwo budowlane, musi w określonych przypadkach prowadzić elektroniczny rejestr pracowników. Ów rejestr pracowników musi zawierać niezbędne informacje identyfikacyjne dotyczące osób zaangażowanych w prace. Obowiązek ten spoczywa przede wszystkim na deweloperze, który może jednak powierzyć prowadzenie rejestru pracowników niezależnemu podmiotowi. Zgodnie z § 12 zawartym w rozdziale 39 tej ordynacji szwedzki organ podatkowy musi mieć dostęp do rejestru pracowników.
14Dane, które mają być zarejestrowane w rejestrze pracowników, są określone w rozdziale 9 § 5 skatteförfarandeförordningen (2011:1261) [rozporządzenia o postepowaniu podatkowym (2011:1261)]. Dotyczy to w szczególności tożsamości i krajowego numeru identyfikacyjnego każdej osoby zaangażowanej w prace, jak również harmonogramu rozpoczęcia i zakończenia usług.
15Fastec wybudował dla Nycandera budynek biurowy. Osoby wykonujące roboty na tej budowie odnotowywały swoją obecność w elektronicznym rejestrze pracowników. Rejestr pracowników dostarczała spółka Entral AB, która działała w imieniu Fasteca.
16Fastec wniósł do tingsrätt (sądu pierwszej instancji, Szwecja) powództwo o zapłatę za wykonane roboty. W ramach tego powództwa Fastec zażądał od Nycandera zapłaty kwoty odpowiadającej zdaniem Fasteca pozostałej do zapłaty przez Nycander należności. Ta ostatnia spółka sprzeciwiła się żądaniu Fasteca, podnosząc w szczególności, że liczba godzin przepracowanych przez pracowników Fasteca jest niższa od wskazanej w tym wniosku.
17Przed wspomnianym sądem Nycander wniósł o nakazanie Entralowi przedstawienia rejestru pracowników Fasteca w okresie od dnia 1 sierpnia 2016 r. do dnia 30 listopada 2017 r., tytułem głównym, w niezmienionej postaci lub ewentualnie z zakryciem osobistych numerów identyfikacyjnych osób, których dane dotyczą. Na poparcie tego wniosku Nycander podniósł, że Entral posiada ten rejestr pracowników i że wspomniany rejestr może stanowić istotny dowód dla rozstrzygnięcia w przedmiocie skargi Fasteca, ponieważ zapisane w tym rejestrze pracowników dane pozwalają na udowodnienie wymiaru godzin przepracowanych przez pracowników Fasteca.
18Fastec sprzeciwił się temu żądaniu, podnosząc tytułem głównym, że jest ono sprzeczne z art. 5 ust. 1 lit. b) RODO. Rejestr pracowników Fasteca zawiera dane osobowe, które zebrano, w celu umożliwienia szwedzkiemu organowi podatkowemu przeprowadzania kontroli działalności tej spółki, oraz że ujawnienie tych danych przed sądem nie byłoby zgodne z tym celem.
19Tingsrätt (sąd pierwszej instancji) nakazał Entralowi przedstawienie rejestru pracowników Fasteca za odpowiedni okres w odniesieniu do pracowników zaangażowanych w prace budowlane będące przedmiotem postępowania głównego, bez wprowadzania jakichkolwiek zmian redakcyjnych. Svea hovrätt (sąd apelacyjny z siedzibą w Sztokholmie, Szwecja) utrzymał w mocy orzeczenie tingsrätt (sądu pierwszej instancji).
20Fastec wniósł odwołanie od orzeczenia Svea hovrätt (sądu apelacyjnego z siedzibą w Sztokholmie) do sądu odsyłającego, Högsta domstolen (sądu najwyższego, Szwecja), i wniósł o oddalenie żądania Nycandera, o którym mowa w pkt 17 niniejszego wyroku.
21Sąd odsyłający zastanawia się, czy należy zastosować, a jeśli tak, to w jaki sposób, przepisy RODO w ramach postępowania głównego.
22Co się tyczy obowiązku przedstawienia dokumentów, sąd ten zauważa, że z jego własnego orzecznictwa dotyczącego wykładni właściwych przepisów RB wynika, iż należy wyważyć znaczenie rozpatrywanych dowodów dla rozstrzygnięcia sprawy w postępowaniu głównym z interesem strony przeciwnej w nieujawnianiu tych dowodów. Wyjaśnia on, że w ramach tego wyważenia nie bierze się pod uwagę co do zasady prywatnego charakteru informacji zawartych w danym dokumencie lub interesu innych osób w uzyskaniu dostępu do treści tego dokumentu, poza tym, co może wynikać z wyjątków wyraźnie przewidzianych w ustawodawstwie.
23Sąd ten wyjaśnia, że przewidziany w RB obowiązek przedstawienia dokumentu ma w szczególności na celu umożliwienie każdemu, kto potrzebuje dokumentu jako dowodu, dostępu do tego dokumentu. Ostatecznie chodzi o to, aby zapewnić jednostkom możliwość korzystania z przysługujących im praw, jeżeli mają „uzasadniony interes dowodowy”.
24W tych okolicznościach Högsta domstolen (sąd najwyższy) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:
„1)
Czy art. 6 ust. 3 i 4 RODO skutkują również ustanowieniem w krajowych przepisach proceduralnych wymogu w zakresie obowiązków [przedstawienia dokumentów]?
25Poprzez pytanie pierwsze sąd odsyłający dąży w istocie do ustalenia, czy art. 6 ust. 3 i 4 RODO należy interpretować w ten sposób, że przepis ten ma zastosowanie w ramach cywilnego postępowania sądowego do przedstawienia jako dowodu rejestru pracowników zawierającego dane osobowe osób trzecich zebrane głównie do celów kontroli podatkowej.
26W celu udzielenia odpowiedzi na to pytanie należy w pierwszej kolejności zauważyć, że art. 2 ust. 1 RODO przewiduje, iż rozporządzenie to ma zastosowanie do każdego „przetwarzania danych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych”, bez dokonywania rozróżnienia ze względu na tożsamość autora danego przetwarzania. Wynika z tego, że, z zastrzeżeniem przypadków wymienionych w jego art. 2 ust. 2 i 3, RODO ma zastosowanie do operacji przetwarzania dokonywanych zarówno przez osoby prywatne, jak i przez organy publiczne, w tym, jak wskazano w motywie 20 tego rozporządzenia, przez organy wymiaru sprawiedliwości takie jak sądy (wyrok z dnia 24 marca 2022 r., Autoriteit Persoonsgegevens, C‑245/20 , EU:C:2022:216 , pkt 25 ).
27W drugiej kolejności zgodnie z art. 4 pkt 2 RODO pojęcie „przetwarzania” zdefiniowano jako operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany taką jak zbieranie, utrwalanie, wykorzystywanie, ujawnianie, rozpowszechnianie lub innego rodzaju udostępnianie.
28Wynika z tego, że nie tylko utworzenie i prowadzenie elektronicznego rejestru pracowników stanowią przetwarzanie danych osobowych objęte przedmiotowym zakresem stosowania RODO (zob. analogicznie wyrok z dnia 30 maja 2013 r., Worten, C‑342/12 , EU:C:2013:355 , pkt 19 ), lecz również stanowi takie przetwarzanie przedstawienie jako dowodu dokumentu cyfrowego lub fizycznego, zawierającego takie dane osobowe, nakazane przez sąd w ramach postępowania sądowego [zob. podobnie wyrok z dnia 8 grudnia 2022 r., Inspektor v Inspektorata kam Visshia sadeben savet (Cele przetwarzania danych osobowych – Postępowanie karne), C‑180/21 , EU:C:2022:967 , pkt 72 ].
29W trzeciej kolejności należy podkreślić, że każde przetwarzanie danych osobowych, w tym przetwarzanie przez organy publiczne takie jak sądy, musi spełniać warunki zgodności z prawem określone w art. 6 RODO.
30W tym względzie należy zauważyć, po pierwsze, że zgodnie z art. 6 ust. 1 lit. e) RODO, zgodne z prawem jest przetwarzanie, gdy jest ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi.
31Zgodnie z art. 6 ust. 3 RODO w związku z jego motywem 45, podstawa przetwarzania, o którym mowa w art. 6 ust. 1 lit. e) tego rozporządzenia, musi być określona w prawie Unii lub w prawie państwa członkowskiego, któremu podlega administrator. Ponadto prawo Unii lub prawo państwa członkowskiego muszą służyć realizacji celu leżącego w interesie publicznym oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu.
32Łącznie interpretowane przepisy art. 6 ust. 1 lit. e) RODO w związku z art. 6 ust. 3 tego rozporządzenia wymagają zatem istnienia podstawy prawnej, w szczególności w prawie krajowym, w oparciu o którą dokonuje się przetwarzania danych osobowych przez administratorów działających w ramach wykonywania zadania realizowanego w interesie publicznym lub zadania w ramach sprawowania władzy publicznej, takich jak wykonywane przez sądy w ramach ich funkcji sądowniczych.
33Po drugie, jeżeli przetwarzanie danych osobowych odbywa się w celu innym niż cel, w którym dane te zostały zebrane, z art. 6 ust. 4 RODO w związku z motywem 50 tego rozporządzenia wynika, że takie przetwarzanie jest dozwolone, pod warunkiem że opiera się, w szczególności, na prawie państwa członkowskiego i stanowi w demokratycznym społeczeństwie niezbędny i proporcjonalny środek służący zagwarantowaniu jednego z celów, o których mowa w art. 23 ust. 1 RODO. Jak wskazano w tym motywie, aby zapewnić realizację tych ważnych celów leżących w ogólnym interesie publicznym, administrator jest uprawniony do dalszego przetwarzania danych osobowych bez względu na zgodność tego przetwarzania z celami, w których dane osobowe zostały pierwotnie zebrane.
34W niniejszej sprawie właściwe przepisy rozdziału 38 RB, które przewidują obowiązek przedstawienia dokumentu jako dowodu i możliwość nakazania przez sądy krajowe przedstawienia tego dokumentu, stanowią podstawę prawną, w oparciu o którą dokonuje się przetwarzania danych osobowych. O ile przepisy te stanowią co do zasady wystarczającą podstawę prawną dopuszczającą takie przetwarzanie danych osobowych, o tyle z postanowienia odsyłającego wynika, że ta podstawa prawna różni się od podstawy prawnej ustanowionej przez ordynację podatkową, w oparciu o którą rejestr pracowników, będący przedmiotem postępowania głównego, został opracowany do celów kontroli podatkowej. Ponadto obowiązek przedstawienia dokumentu przewidziany w tych przepisach RB ma na celu, zdaniem sądu odsyłającego, zapewnienie każdemu, kto potrzebuje dokumentu jako dowodu, dostępu do tego dokumentu. Według tego sądu chodzi o to, aby zapewnić jednostkom możliwość korzystania z przysługujących im praw, jeżeli mają „uzasadniony interes dowodowy”.
35Zdaniem sądu odsyłającego, z prac przygotowawczych, które doprowadziły do przyjęcia ordynacji podatkowej, wynika, że dane osobowe zapisane w rejestrze pracowników mają na celu umożliwienie urzędnikom właściwego szwedzkiego organu podatkowego dokonania odpowiednich ustaleń podczas kontroli na miejscu. Głównym celem jest zapobieganie niezarejestrowanej pracy i stworzenie zdrowszych warunków konkurencji. Przetwarzanie danych osobowych jest uzasadnione koniecznością spełnienia obowiązku prawnego ciążącego na administratorze, a mianowicie prowadzenia rejestru pracowników.
36Należy zatem uznać, że przetwarzanie tych danych w ramach postępowania sądowego, takiego jak rozpatrywane w postępowaniu głównym, stanowi przetwarzanie danych w celu innym niż cel, w którym dane zostały zebrane, a mianowicie w celu kontroli podatkowej, i które nie jest oparte na zgodzie osób, których dane dotyczą, w rozumieniu art. 6 ust. 1 lit. a) RODO.
37W tych okolicznościach przetwarzanie danych osobowych w celu innym niż cel, w którym dane te zostały zebrane, musi opierać się nie tylko na prawie krajowym, takim jak przepisy rozdziału 38 RB, lecz również stanowić w demokratycznym społeczeństwie niezbędny i proporcjonalny środek w rozumieniu art. 6 ust. 4 RODO i gwarantować jeden z celów, o których mowa w art. 23 ust. 1 RODO.
38Wśród tych celów wskazano, zgodnie z art. 23 ust. 1 lit. f) tego rozporządzenia, „ochronę niezależności sądów i postępowania sądowego”, przy czym cel ten należy, jak zauważyła Komisja Europejska w swoich uwagach na piśmie, rozumieć w ten sposób, że służy on ochronie wymiaru sprawiedliwości przed ingerencją wewnętrzną lub zewnętrzną, ale także prawidłowemu administrowaniu wymiarem sprawiedliwości. Ponadto zgodnie z ust. 1 lit. j) tego artykułu egzekucja roszczeń cywilnoprawnych stanowi również cel mogący uzasadniać przetwarzanie danych osobowych w celu innym niż cel, dla którego zostały one zebrane. Nie jest zatem wykluczone, że przetwarzanie danych osobowych osób trzecich w ramach postępowania sądowego w sprawach cywilnych może opierać się na takich celach.
39Jednakże do sądu odsyłającego należy zbadanie, czy odpowiednie przepisy rozdziału 38 RB, po pierwsze, odpowiadają jednemu lub drugiemu z tych celów, a po drugie, są niezbędne i proporcjonalne do tych celów, w związku z czym mogą one obejmować te przypadki przetwarzania danych osobowych, które można uznać za zgodne z prawem na podstawie przepisów art. 6 ust. 3 i 4 RODO w związku z art. 23 ust. 1 lit. f) i j) tego rozporządzenia.
40W tym względzie nie ma znaczenia, czy przetwarzanie danych osobowych odbywa się na podstawie przepisu krajowego prawa materialnego czy proceduralnego, ponieważ przepisy art. 6 ust. 3 lit. b) i art. 6 ust. 4 tego rozporządzenia nie dokonują żadnego rozróżnienia pomiędzy tymi dwoma rodzajami przepisów.
41W świetle całości powyższych rozważań na pytanie pierwsze należy odpowiedzieć, iż art. 6 ust. 3 i 4 RODO należy interpretować w ten sposób, że przepis ten ma zastosowanie, w ramach sądowego postępowania cywilnego, do przedstawienia jako dowodu rejestru pracowników zawierającego dane osobowe osób trzecich zebrane głównie do celów kontroli podatkowej.
42Poprzez pytanie drugie sąd odsyłający dąży w istocie do ustalenia, czy art. 5 i 6 RODO należy interpretować w ten sposób, że przy ocenie kwestii, czy w sądowym postępowaniu cywilnym należy nakazać przedstawienie dokumentu zawierającego dane osobowe, sąd krajowy jest zobowiązany uwzględnić interesy osób, których dane dotyczą. W przypadku odpowiedzi twierdzącej sąd ten zastanawia się ponadto, czy prawo Unii, a w szczególności RODO, nakłada szczególne wymogi w odniesieniu do zasad dokonywania tej oceny.
43Przede wszystkim należy podkreślić, że każde przetwarzanie danych osobowych powinno, z zastrzeżeniem odstępstw dopuszczalnych w jego art. 23, być zgodne z zasadami dotyczącymi przetwarzania danych osobowych oraz praw osoby, której dane dotyczą, określonymi, odpowiednio, w rozdziałach II i III tego rozporządzenia. W szczególności każde przetwarzanie danych osobowych powinno, po pierwsze, być zgodne z zasadami określonymi w art. 5 wspomnianego rozporządzenia, a po drugie, spełniać warunki zgodności z prawem wymienione w art. 6 tego rozporządzenia (zob. podobnie wyrok z dnia 6 października 2020 r., La Quadrature du Net i in., C‑511/18, C‑512/18 i C‑520/18 , EU:C:2020:791 , pkt 208 i przytoczone tam orzecznictwo).
44W niniejszej sprawie sąd odsyłający wskazuje, że przy ocenie kwestii, czy należy nakazać przedstawienie dokumentu zawierającego dane osobowe, właściwe przepisy rozdziału 38 RB nie ustanawiają wyraźnego wymogu uwzględnienia interesów osób, których dane osobowe są przedmiotem danej sprawy. Zgodnie z orzecznictwem krajowym przepisy te wymagają jedynie wyważenia znaczenia dowodu i interesu strony przeciwnej w nieujawnianiu spornych informacji.
45Jak stwierdzono w pkt 39 niniejszego wyroku, ponieważ te przepisy prawa krajowego dotyczą przedstawienia dokumentu jako dowodu, mogą one obejmować przypadki przetwarzania danych osobowych uznane za zgodne z prawem na podstawie przepisów art. 6 ust. 3 i 4 RODO w związku z art. 23 ust. 1 lit. f) i j) tego rozporządzenia. Jest tak w zakresie, w jakim wspomniane przepisy, po pierwsze, mają na celu zapewnienie prawidłowego przebiegu postępowania sądowego poprzez zagwarantowanie podmiotowi prawa możliwości dochodzenia swoich praw, jeżeli istnieje „uzasadniony interes dowodowy”, oraz po drugie, że są one niezbędne i proporcjonalne do tego celu.
46Z art. 6 ust. 4 RODO wynika bowiem, że takie przetwarzanie danych osobowych jest zgodne z prawem, pod warunkiem że stanowi w demokratycznym społeczeństwie niezbędny i proporcjonalny środek służący zagwarantowaniu celów, o których mowa w art. 23 RODO, do których ono zmierza. Wynika z tego, że w celu zbadania tych wymogów sąd krajowy jest zobowiązany uwzględnić występujące w postępowaniu przeciwstawne interesy przy ocenie celowości nakazania przedstawienia dokumentu zawierającego dane osobowe osób trzecich.
47W tym względzie należy podkreślić, że rezultat dokonanego wyważenia, jakiego powinien dokonać sąd krajowy, może różnić się zarówno w zależności od okoliczności każdej sprawy, jak i rodzaju danego postępowania.
48Co się tyczy interesów występujących w postępowaniu cywilnym, sąd krajowy powinien, jak wynika w szczególności z motywów 1 i 2 RODO, zapewnić ochronę osób fizycznych w związku z przetwarzaniem danych osobowych, która jest prawem podstawowym zapewnionym w art. 8 ust. 1 karty i w art. 16 TFUE. Sąd ten powinien również zagwarantować prawo do poszanowania życia prywatnego, zapewnione w art. 7 karty, które jest ściśle związane z prawem do ochrony danych osobowych.
49Jednakże, jak stanowi motyw 4 RODO, prawo do ochrony danych osobowych nie jest prawem bezwzględnym lecz należy je postrzegać w kontekście jego funkcji społecznej i wyważyć względem innych praw podstawowych w myśl zasady proporcjonalności z innymi prawami podstawowymi, takimi jak prawo do skutecznej ochrony sądowej zagwarantowane w art. 47 karty.
50Tymczasem przedstawienie dokumentu zawierającego dane osobowe osób trzecich w ramach sądowego postępowania cywilnego przyczynia się, jak zauważyła w istocie rzecznik generalna w pkt 61 opinii, do poszanowania tego prawa do skutecznej ochrony sądowej.
51W tym względzie, ponieważ art. 47 akapit drugi karty odpowiada art. 6 ust. 1 europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności, podpisanej w Rzymie w dniu 4 listopada 1950 r., jego znaczenie i zakres są, zgodnie z art. 52 ust. 3 karty, takie same jak te przyznane przez wspomnianą konwencję w tym art. 6 ust. 1.
52Zgodnie z utrwalonym orzecznictwem Europejskiego Trybunału Praw Człowieka ze względu na znaczące miejsce, jakie prawo do rzetelnego procesu sądowego zajmuje w społeczeństwie demokratycznym, istotne jest, aby jednostka miała możliwość skutecznej obrony swojej sprawy przed sądem i by korzystała z równości broni ze swoim przeciwnikiem [zob. podobnie wyrok ETPC z dnia 24 czerwca 2022 r. w sprawie Zayidov przeciwko Azerbejdżanowi (nr 2) CE:ECHR:2022:0324JUD000538610, § 87 i przytoczone tam orzecznictwo]. Wynika z tego w szczególności, że podmiot prawa powinien mieć możliwość skorzystania z postępowania kontradyktoryjnego i przedstawienia na różnych jego etapach argumentów, które uważa za istotne dla obrony swojej sprawy (wyrok ETPC z dnia 21 stycznia 1999 r. w sprawie García Ruiz przeciwko Hiszpanii, CE:ECHR:1999:0121JUD003054496, § 29).
53W związku z tym w celu zapewnienia jednostkom możliwości korzystania z prawa do skutecznej ochrony sądowej, a w szczególności z prawa do rzetelnego procesu w rozumieniu art. 47 akapit drugi karty, należy uznać, że strony postępowania cywilnego powinny mieć możliwość dostępu do dowodów niezbędnych do wystarczającego wykazania zasadności ich zarzutów, co może ewentualnie obejmować dane osobowe stron lub osób trzecich.
54W związku z tym, jak wskazano w pkt 46 niniejszego wyroku, rozważenie występujących w postępowaniu interesów stanowi część badania niezbędności i proporcjonalności środka, przewidzianych w art. 6 ust. 3 i 4 RODO, które są warunkami zgodności z prawem przetwarzania danych osobowych. W tym względzie należy zatem również wziąć pod uwagę art. 5 ust. 1 tego rozporządzenia, a w szczególności zasadę „minimalizacji danych” zawartą w lit. c) tego przepisu, która wyraża zasadę proporcjonalności. Zgodnie z tą zasadą minimalizacji danych dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane [zob. podobnie wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19 , EU:C:2021:504 , pkt 98 i przytoczone tam orzecznictwo].
55Sąd krajowy jest zatem zobowiązany do ustalenia, czy ujawnienie danych osobowych jest adekwatne i stosowne dla zapewnienia realizacji celu określonego we właściwych przepisach prawa krajowego oraz czy cel ten nie może zostać osiągnięty za pomocą mniej inwazyjnych środków dowodowych w świetle ochrony danych osobowych dużej liczby osób trzecich, takich jak na przykład przesłuchanie wybranych świadków.
56W przypadku gdy przedstawienie dokumentu zawierającego dane osobowe okaże się uzasadnione, z zasady tej wynika ponadto, że jeżeli tylko część tych danych wydaje się niezbędna do celów dowodowych, sąd krajowy powinien rozważyć podjęcie dodatkowych środków w zakresie ochrony danych, takich jak zdefiniowana w art. 4 pkt 5 RODO pseudonimizacja nazwisk osób, których dane dotyczą, lub wszelkich innych środków mających na celu zminimalizowanie przeszkody w korzystaniu z prawa do ochrony danych osobowych, jaką stanowi przedstawienie takiego dokumentu. Takie środki mogą w szczególności obejmować ograniczenie publicznego dostępu do akt lub skierowany do stron, którym zostały przekazane dokumenty zawierające dane osobowe, nakaz niewykorzystywania tych danych w innym celu niż przeprowadzenie dowodu w danym postępowaniu sądowym.
57W tym względzie należy wyjaśnić, że z art. 4 pkt 5 RODO w związku z motywem 26 tego rozporządzenia wynika, że dane osobowe, które zostały spseudonimizowane i które można by przypisać osobie fizycznej poprzez użycie dodatkowych informacji, należy uznać za informacje dotyczące możliwej do zidentyfikowania osoby fizycznej, do których mają zastosowanie zasady ochrony danych. Natomiast z motywu tego wynika, że zasady te nie mają zastosowania ani do „informacji anonimowych, czyli informacji, które nie wiążą się ze zidentyfikowaną lub możliwą do zidentyfikowania osobą fizyczną, ani do danych osobowych zanonimizowanych w taki sposób, że osób, których dane dotyczą, w ogóle nie można zidentyfikować lub już nie można zidentyfikować”.
58Wynika z tego, że sąd krajowy może uznać, że dane osobowe stron lub osób trzecich powinny zostać mu przekazane, aby móc wyważyć występujące w postępowaniu interesy przy pełnej znajomości stanu rzeczy i z poszanowaniem zasady proporcjonalności. Ocena ta może w danym wypadku prowadzić do zezwolenia stronie przeciwnej na pełne lub częściowe ujawnienie przekazanych jej w ten sposób danych osobowych, jeżeli uzna on, że takie ujawnienie nie wykracza poza to, co jest konieczne do zapewnienia skutecznego korzystania z praw, które jednostki wywodzą z art. 47 karty.
59W świetle całości powyższych rozważań na pytanie drugie należy odpowiedzieć, iż art. 5 i 6 RODO należy interpretować w ten sposób, że przy ocenie kwestii, czy należy nakazać przedstawienie dokumentu zawierającego dane osobowe, sąd krajowy jest zobowiązany uwzględnić interesy osób, których dane dotyczą, i wyważyć je w zależności od okoliczności każdej sprawy, rodzaju postępowania w sprawie i z należytym uwzględnieniem wymogów wynikających z zasady proporcjonalności, a w szczególności wymogów wynikających z zasady minimalizacji danych, o której mowa w art. 5 ust. 1 lit. c) tego rozporządzenia.
60Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.
Z powyższych względów Trybunał (trzecia izba) orzeka, co następuje:
należy interpretować w ten sposób, że:
przepis ten ma zastosowanie w ramach sądowego postępowania cywilnego do przedstawienia jako dowodu rejestru pracowników zawierającego dane osobowe osób trzecich zebrane głównie do celów kontroli podatkowej.
należy interpretować w ten sposób, że:
przy ocenie kwestii, czy należy nakazać przedstawienie dokumentu zawierającego dane osobowe, sąd krajowy jest zobowiązany uwzględnić interesy osób, których dane dotyczą, i wyważyć je w zależności od okoliczności każdej sprawy, rodzaju postępowania w sprawie i z należytym uwzględnieniem wymogów wynikających z zasady proporcjonalności, a w szczególności wymogów wynikających z zasady minimalizacji danych, o której mowa w art. 5 ust. 1 lit. c) tego rozporządzenia.
Podpisy
(*1) Język postępowania: szwedzki.
Tekstas iš mūsų archyvo (Europos Sąjungos leidinių biuro „Cellar“ duomenys). Commission Decision 2011/833/EU — free reuse incl. commercial; attribution to EUR-Lex / Court of Justice of the European Union required; EUR-Lex is not the authentic record of the Court.