den 2 mars 2023 (*1)
”Begäran om förhandsavgörande – Skydd av personuppgifter – Förordning (EU) 2016/679 – Artikel 6.3 och 6.4 – Laglig behandling av personuppgifter – Edition av en handling med personuppgifter – Artikel 23.1 f och j – Skydd av rättsväsendets oberoende och rättsliga åtgärder – Verkställighet av civilrättsliga anspråk – Krav som ska iakttas – Beaktande av de registrerades intressen – Avvägning mellan berörda motstående intressen – Artikel 5 – Uppgiftsminimering – Europeiska unionens stadga om de grundläggande rättigheterna – Artikel 7 – Rätt till respekt för privatlivet – Artikel 8 – Rätt till skydd av personuppgifter – Artikel 47 – Rätt till ett effektivt domstolsskydd – Proportionalitetsprincipen”
I mål C‑268/21,
angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Högsta domstolen (Sverige) genom beslut av den 15 april 2021, som inkom till EU-domstolen den 23 april 2021, i målet
Norra Stockholm Bygg AB
mot
Per Nycander AB,
övriga:
Entral AB
meddelar
DOMSTOLEN (tredje avdelningen),
sammansatt av avdelningsordföranden K. Jürimäe samt domarna M.L. Arastey Sahún, N. Piçarra, N. Jääskinen (referent), och M. Gavalec,
generaladvokat: T. Ćapeta,
justitiesekreterare: handläggaren C. Strömholm,
efter det skriftliga förfarandet och förhandlingen den 27 juni 2022,
med beaktande av de yttranden som avgetts av:
och efter att den 6 oktober 2022 ha hört generaladvokatens förslag till avgörande,
följande
1Begäran om förhandsavgörande avser tolkningen av artikel 6.3 och 6.4 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) ( EUT L 119, 2016, s. 1 ) (nedan kallad dataskyddsförordningen).
2Begäran har framställts i ett mål mellan Norra Stockholm Bygg AB (nedan kallat Fastec) och Per Nycander AB (nedan kallat Nycander). Målet rör Nycanders yrkande om edition av en elektronisk personalliggare som innehåller närvarouppgifter för de som arbetat i en entreprenad som Fastec utfört för Nycander. Grunden för yrkandet är att personalliggaren kan ha betydelse som bevis i en pågående tvist om ersättning för den utförda entreprenaden.
3Skälen 1, 2, 4, 20, 26, 45 och 50 i dataskyddsförordningen har följande lydelse:
”(1)
Skyddet för fysiska personer vid behandling av personuppgifter är en grundläggande rättighet. Artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan) och artikel 16.1 [FEUF] föreskriver att var och en har rätt till skydd av de personuppgifter som rör honom eller henne.
…
…
…
…
…
Om den registrerade har gett sitt medgivande eller behandlingen grundar sig på unionsrätten eller på medlemsstaternas nationella rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa i synnerhet viktiga mål av allmänt intresse, bör den personuppgiftsansvarige tillåtas att behandla personuppgifterna ytterligare, oavsett om detta är förenligt med ändamålen eller inte. Under alla omständigheter bör tillämpningen av principerna i denna förordning, särskilt informationen till den registrerade om dessa andra ändamål och om dennes rättigheter, inbegripet rätten att göra invändningar, säkerställas. …”
4Artikel 2 i dataskyddsförordningen har rubriken ”Materiellt tillämpningsområde”, och där föreskrivs följande:
”1. Denna förordning ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.
2Denna förordning ska inte tillämpas på behandling av personuppgifter som
3[Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter ( EGT L 8, 2001, s. 1 )] är tillämplig på den behandling av personuppgifter som sker i EU:s institutioner, organ och byråer. Förordning [nr 45/2001] och de av unionens övriga rättsakter som är tillämpliga på sådan behandling av personuppgifter ska anpassas till principerna och bestämmelserna i denna förordning i enlighet med artikel 98.”
5I artikel 4 i dataskyddsförordningen föreskrivs följande:
”I denna förordning avses med
…
…
…”
6Artikel 5 i dataskyddsförordningen har rubriken ”Principer för behandling av personuppgifter”. I punkt 1 i denna artikel föreskrivs följande:
”Vid behandling av personuppgifter ska följande gälla:
…
7Artikel 6 i dataskyddsförordningen har rubriken ”Laglig behandling av personuppgifter”, och där föreskrivs följande:
”1. Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt:
…
…
…
3Den grund för behandlingen som avses i punkt 1 c och e ska fastställas i enlighet med
Syftet med behandlingen ska fastställas i den rättsliga grunden eller, i fråga om behandling enligt punkt 1 e, ska vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. … Unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas.
4Om en behandling för andra ändamål än det ändamål för vilket personuppgifterna samlades in inte grundar sig på den registrerades samtycke eller på unionsrätten eller medlemsstaternas nationella rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att skydda de mål som avses i artikel 23.1, ska den personuppgiftsansvarige för att fastställa huruvida behandling för andra ändamål är förenlig med det ändamål för vilket personuppgifterna ursprungligen samlades in bland annat beakta följande:
…”
8Artikel 23 i dataskyddsförordningen har rubriken ”Begränsningar”, och där föreskrivs följande:
”1. Det ska vara möjligt att i unionsrätten eller i en medlemsstats nationella rätt som den personuppgiftsansvarige eller personuppgiftsbiträdet omfattas av införa en lagstiftningsåtgärd som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna 12–22 och 34, samt artikel 5 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22, om en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa
…
…
…”
9Bestämmelser om skriftliga bevis finns i 38 kap. rättegångsbalken (RB).
10Enligt 38 kap. 2 § första stycket är den som innehar en skriftlig handling som kan antas ha betydelse som bevis skyldig att förete handlingen.
11Undantag från denna editionsplikt föreskrivs i bland annat 38 kap. 2 § andra stycket. Som undantag gäller att vissa befattningshavare inte får förete en skriftlig handling om dess innehåll kan antas vara sådant att innehavaren inte får höras som vittne om den. Detta undantag tar sikte på advokater, läkare, psykologer, präster och andra befattningshavare som har anförtrotts uppgifter under sin yrkesutövning eller motsvarande. Omfattningen av editionsplikten korresponderar på så sätt med skyldigheten att vittna i rättegång.
12Om någon är skyldig att förete en skriftlig handling som bevis, får rätten enligt 38 kap. 4 § förelägga honom eller henne att förete handlingen.
13Enligt 39 kap. 11 a–c §§ skatteförfarandelagen (2011:1244) ska den som bedriver byggverksamhet i vissa fall föra en elektronisk personalliggare. I denna ska dokumenteras nödvändiga identifikationsuppgifter för de personer som är verksamma i näringsverksamheten. Skyldigheten ligger i första hand på byggherren, men byggherren kan ge en självständig näringsidkare i uppdrag att sköta personalliggaren. Enligt 39 kap. 12 § i lagen ska personalliggaren hållas tillgänglig för Skatteverket.
14Vilka uppgifter som personalliggaren ska innehålla framgår av 9 kap. 5 § skatteförfarandeförordningen (2011:1261). Den ska innehålla bland annat namn och personnummer för de personer som är verksamma i näringsverksamheten samt tidpunkt då respektive persons arbetspass påbörjas och avslutas.
15Fastec har för Nycander utfört en entreprenad för nybyggnad av ett kontorshus. De som arbetade i entreprenaden registrerade sin närvaro i en elektronisk personalliggare. Personalliggaren tillhandahölls av Entral AB på uppdrag av Fastec.
16I tingsrätten pågår tvist om ersättning för den utförda entreprenaden. Fastec har yrkat att Nycander ska betala ett belopp för vad bolaget menar är resterande betalning som ska utgå. Nycander har bestritt yrkandet och invänt att Fastec inte har lagt ned all den tid som Fastec begär betalning för.
17Under tvistemålets handläggning i tingsrätten yrkade Nycander att tingsrätten skulle förelägga Entral att förete den aktuella personalliggaren för perioden den 1 augusti 2016 till den 30 november 2017, i första hand i omaskerat skick och i andra hand med maskering av berörda personers personnummer. Som grund för detta yrkande om edition gjorde Nycander gällande att Entral innehade personalliggaren och att den kunde ha betydelse som bevis. Med uppgifterna i personalliggaren vill Nycander motbevisa att Fastecs personal varit på plats i den omfattning som det bolaget gör gällande.
18Fastec bestred Nycanders editionsyrkande och invände främst att yrkandet kom i konflikt med artikel 5.1 b i dataskyddsförordningen. Fastec hänvisade till att personalliggaren innehåller personuppgifter som hade samlats in i syfte att Skatteverket ska kunna kontrollera verksamheten och att det inte är förenligt med detta ändamål att lämna ut uppgifterna.
19Tingsrätten förelade Entral att förete personalliggaren för entreprenaden avseende den aktuella perioden i omaskerat skick. Svea hovrätt fastställde tingsrättens beslut.
20Fastec har överklagat Svea hovrätts beslut och bland annat yrkat att Högsta domstolen ska avslå Nycanders yrkande om edition.
21Högsta domstolen vill nu med sin begäran om förhandsavgörande få klarhet i om, och i förekommande fall hur, bestämmelserna i dataskyddsförordningen ska tillämpas i det aktuella målet.
22Vad gäller editionsplikten i rättegångsbalken har Högsta domstolen bland annat anfört följande. Det framgår av rättspraxis att prövningen av en editionsfråga ska omfatta en avvägning mellan bevisningens relevans och motpartens intresse av att inte lämna ut uppgifterna. Vid prövningen beaktas i princip inte om information i handlingen är av privat natur eller om andra personer har intresse av innehållet i handlingen, utöver vad som kan följa av de särskilt föreskrivna undantagen.
23Editionsplikten i rättegångsbalken syftar till att den som är i behov av en skriftlig handling som bevis ska få tillgång till handlingen. Ytterst handlar det om att säkerställa att den enskilde ska kunna komma till sin rätt när det finns ett befogat bevisintresse.
24Det är mot denna bakgrund som Högsta domstolen har beslutat att vilandeförklara målet och ställa följande frågor till EU-domstolen:
”1)
Innefattar artikel 6.3 och 6.4 i [dataskyddsförordningen] krav också på nationell processrättslig lagstiftning om editionsplikt?
25Högsta domstolen har ställt den första frågan för att få klarhet i huruvida artikel 6.3 och 6.4 i dataskyddsförordningen ska tolkas på så sätt att denna bestämmelse är tillämplig i ett tvistemål där fråga är om edition av en personalliggare som innehåller personuppgifter som avser andra än de enskilda parterna själva och som har samlats in huvudsakligen för skattekontroll.
26EU-domstolen gör följande bedömning. För att besvara den första frågan ska det inledningsvis påpekas att det i artikel 2.1 i dataskyddsförordningen anges att denna förordning ska tillämpas på sådan ”behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register” och att det därvid inte görs någon åtskillnad beroende på vem som utför behandlingen. Härav följer att dataskyddsförordningen, med undantag för de fall som nämns i artikel 2.2 och 2.3, är tillämplig på behandling av personuppgifter som utförs både av privatpersoner och av offentliga myndigheter, vilket innebär, som framgår av skäl 20 i förordningen, att den även gäller för verksamhet inom rättsliga myndigheter, såsom domstolar (dom av den 24 mars 2022, Autoriteit Persoonsgegevens, C‑245/20 , EU:C:2022:216 , punkt 25 ).
27Vidare framgår av artikel 4 led 2 i förordningen att definitionen av ”behandling” bland annat omfattar åtgärder som vidtas beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt.
28Det nu sagda innebär att inte bara upprättande och förande av en elektronisk personalliggare, som den nu aktuella, ska anses utgöra en behandling av personuppgifter som omfattas av dataskyddsförordningens materiella tillämpningsområde (se, analogt, dom av den 30 maj 2013, Worten, C‑342/12 , EU:C:2013:355 , punkt 19 ), utan även det förhållandet att någon som bevis företer en elektroniskt lagrad handling eller en fysisk handling som innehåller personuppgifter till följd av ett editionsföreläggande (se, för ett liknande resonemang, dom av den 8 december 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Ändamålen med behandlingen av personuppgifter – Brottsutredning), C‑180/21 , EU:C:2022:967 , punkt 72 ).
29Till sist ska det påpekas att all behandling av personuppgifter, inbegripet behandling som utförs av offentliga myndigheter såsom domstolar, måste uppfylla de villkor för laglig behandling som anges i artikel 6 i dataskyddsförordningen.
30I detta avseende ska det för det första påpekas att enligt artikel 6.1 e i dataskyddsförordningen gäller att behandling av personuppgifter är tillåten om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning.
31Enligt artikel 6.3 jämförd med skäl 45 i dataskyddsförordningen ska den grund för behandlingen som avses i artikel 6.1 e i förordningen fastställas i enlighet med unionsrätten eller den medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Härtill kommer att unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och stå i proportion till det legitima mål som eftersträvas.
32Enligt artikel 6.1 e i dataskyddsförordningen, jämförd med artikel 6.3 i förordningen, krävs således att det finns en rättslig grund, bland annat i nationell rätt, som ger stöd för personuppgiftsansvarigas behandling av personuppgifter som sker i samband med att de utför en uppgift av allmänt intresse eller som ett led i deras myndighetsutövning, såsom den behandling som utförs av domstolarna inom ramen för deras dömande verksamhet.
33I fall där behandlingen av personuppgifter sker för ett annat ändamål än det för vilket uppgifterna samlades in (nedan kallat vidarebehandling) gäller för det andra följande. Av artikel 6.4 jämförd med skäl 50 i dataskyddsförordningen framgår att en sådan behandling är tillåten under förutsättning att den bland annat grundar sig på en medlemsstats nationella rätt och att den utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att skydda något av de mål som avses i artikel 23.1 i dataskyddsförordningen. Detta innebär, såsom framgår av nämnda skäl 50, att för att skydda dessa viktiga mål av allmänt intresse, så har den personuppgiftsansvarige rätt att vidarebehandla personuppgifter oberoende av om vidarebehandlingen är förenlig med det ursprungliga behandlingsändamålet.
34Vad beträffar det nu aktuella fallet är det bestämmelserna i 38 kap. RB om editionsplikt och editionsföreläggande som utgör den rättsliga grund som ger stöd för behandlingen av personuppgifter. Även om dessa bestämmelser i princip utgör en tillräcklig rättslig grund för att tillåta behandling av personuppgifter, så framgår det av Högsta domstolens beslut att denna rättsliga grund skiljer sig från den rättsliga grunden för behandling av personuppgifter enligt skatteförfarandelagen, med stöd av vilken den i målet aktuella personalliggaren har upprättats för skattekontroll. Högsta domstolen har angett att editionsplikten i rättegångsbalken syftar till att den som är i behov av en skriftlig handling som bevis ska få tillgång till handlingen. Ytterst handlar det om att säkerställa att den enskilde ska kunna komma till sin rätt när det finns ett befogat bevisintresse.
35Vad gäller skatteförfarandelagen har Högsta domstolen angett att det framgår av förarbetena till lagstiftningen att personuppgifterna i personalliggaren behövs för att avstämning ska kunna göras vid Skatteverkets kontrollbesök. Det grundläggande syftet med detta är att minska förekomsten av svartarbete och att skapa sundare konkurrensförhållanden. Den rättsliga grunden för behandlingen av personuppgifterna är att den är nödvändig för att fullgöra en rättslig förpliktelse som på detta sätt åvilar den personuppgiftsansvarige, nämligen att föra personalliggare.
36EU-domstolen finner således att behandling av personuppgifter i en personalliggare i samband med handläggning av mål i domstol, som det nu aktuella målet vid Högsta domstolen, utgör vidarebehandling som görs för ett nytt ändamål i förhållande till det ursprungliga behandlingsändamålet (nämligen skattekontroll) och som inte grundar sig på de registrerades samtycke, i den mening som avses i artikel 6.1 a i dataskyddsförordningen.
37Vid sådana förhållanden ska vidarebehandlingen av personuppgifter för ett annat ändamål än det ursprungliga behandlingsändamålet inte endast ha stöd i nationell rätt, såsom bestämmelserna i 38 kap. RB, utan även utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle, i den mening som avses i artikel 6.4 i dataskyddsförordningen, och skydda ett av de mål som avses i artikel 23.1 i förordningen.
38Ett av dessa mål är ”skydd av rättsväsendets oberoende och rättsliga åtgärder” (artikel 23.1 f i dataskyddsförordningen). EU-domstolen finner, i likhet med vad Europeiska kommissionen har anfört i sitt skriftliga yttrande, att detta mål ska förstås på så sätt det syftar till att skydda rättskipningen mot intern eller extern påverkan, men även till att säkerställa en god rättskipning. Vidare framgår av artikel 23.1 j i förordningen att verkställighet av civilrättsliga anspråk är ett mål som kan utgöra grund för vidarebehandling av personuppgifter. Det är således inte uteslutet att de nyss nämnda målen kan utgöra grund för att i samband med handläggningen av ett tvistemål behandla andras personuppgifter.
39Det ankommer dock på Högsta domstolen att pröva huruvida de relevanta bestämmelserna i 38 kap. RB svarar mot ett av eller båda dessa mål och dessutom är nödvändiga och står i proportion till målen, vilket i sådant fall innebär att dessa bestämmelser kan omfattas av de fall av behandling av personuppgifter som anses vara tillåtna enligt bestämmelserna i artikel 6.3 och 6.4 i dataskyddsförordningen, jämförd med artikel 23.1 f och j i förordningen.
40Det saknar därvid betydelse om det rättsliga stödet för behandlingen av personuppgifter är en materiell eller processuell bestämmelse i nationell rätt, eftersom det i artikel 6.3 b och 6.4 i förordningen inte görs någon åtskillnad mellan dessa två typer av bestämmelser.
41Mot bakgrund av det ovan anförda ska den första frågan besvaras enligt följande. Artikel 6.3 och 6.4 i dataskyddsförordningen ska tolkas på så sätt att denna bestämmelse är tillämplig i ett tvistemål där fråga är om edition av en personalliggare som innehåller personuppgifter som avser andra än de enskilda parterna själva och som har samlats in huvudsakligen för skattekontroll.
42Högsta domstolen har ställt den andra frågan för att få klarhet i huruvida artiklarna 5 och 6 i dataskyddsförordningen ska tolkas på så sätt att det vid bedömningen av frågan om edition ska beslutas rörande en handling med personuppgifter även ska tas hänsyn till de registrerades intressen. Om denna fråga besvaras jakande vill Högsta domstolen dessutom få klarhet i huruvida unionsrätten, och i synnerhet dataskyddsförordningen, ställer några särskilda krav på hur denna bedömning närmare ska göras.
43EU-domstolen gör följande bedömning. Det ska inledningsvis påpekas att all behandling av personuppgifter, med förbehåll för de undantag som medges i artikel 23 i dataskyddsförordningen, ska vara förenlig med de principer som reglerar behandlingen av personuppgifter och de rättigheter som registrerade personer har enligt kapitel II respektive III i förordningen. All behandling av personuppgifter ska i synnerhet dels stå i överensstämmelse med de principer som anges i artikel 5 i dataskyddsförordningen, dels uppfylla de laglighetsvillkor som anges i artikel 6 i samma förordning (se, för ett liknande resonemang, dom av den 6 oktober 2020, La Quadrature du Net m.fl., C‑511/18, C‑512/18 och C‑520/18 , EU:C:2020:791 , punkt 208 och där angiven rättspraxis).
44Vad gäller det nu aktuella fallet framgår det av Högsta domstolens beslut att de relevanta bestämmelserna i 38 kap. RB inte uttryckligen kräver att hänsyn ska tas även till de registrerades intressen vid bedömningen av huruvida edition ska beslutas rörande en handling med personuppgifter. Av beslutet framgår vidare att nämnda bestämmelser enligt Högsta domstolens praxis endast kräver att det ska göras en avvägning mellan bevisningens relevans och motpartens intresse av att inte lämna ut uppgifterna.
45Såsom konstaterats i punkt 39 ovan innebär det förhållandet att de nationella bestämmelserna gäller edition att de kan omfattas av de fall av behandling av personuppgifter som anses vara tillåtna enligt bestämmelserna i artikel 6.3 och 6.4 i dataskyddsförordningen, jämförd med artikel 23.1 f och j i förordningen. Så är fallet i den mån nämnda bestämmelser dels har till syfte att säkerställa en god rättskipning på så sätt att den enskilde ska kunna komma till sin rätt när det finns ett befogat bevisintresse, dels är nödvändiga och står i proportion till detta syfte.
46Det framgår nämligen av artikel 6.4 i dataskyddsförordningen att sådana behandlingar av personuppgifter är tillåtna under förutsättning att de utgör nödvändiga och proportionerliga åtgärder i ett demokratiskt samhälle i syfte att säkerställa de mål som eftersträvas med artikel 23 i dataskyddsförordningen. Det nu sagda innebär följande. För att en nationell domstol ska kunna kontrollera att dessa krav är uppfyllda måste den ta hänsyn till berörda motstående intressen vid bedömningen av huruvida edition ska beslutas rörande en handling som innehåller andras personuppgifter.
47Det ska i det avseendet framhållas att resultatet av den avvägning som en nationell domstol ska göra kan variera både beroende på omständigheterna i varje enskilt fall och vilken typ av mål det är fråga om.
48När det gäller de intressen som berörs i ett tvistemål ska en nationell domstol, såsom framgår av bland annat skälen 1 och 2 i dataskyddsförordningen, säkerställa skyddet för fysiska personer med avseende på behandling av personuppgifter, vilket är en grundläggande rättighet enligt artikel 8.1 i stadgan och artikel 16 FEUF. En nationell domstol ska även garantera rätten till respekt för privatlivet enligt artikel 7 i stadgan, som är nära knuten till rätten till skydd av personuppgifter.
49Såsom framgår av skäl 4 i dataskyddsförordningen är rätten till skydd av personuppgifter dock inte en absolut rättighet, utan måste förstås utifrån sin uppgift i samhället och, i enlighet med proportionalitetsprincipen, vägas mot andra grundläggande rättigheter, som till exempel rätten till ett effektivt domstolsskydd enligt artikel 47 i stadgan.
50EU-domstolen finner, i likhet med vad generaladvokaten har anfört i punkt 61 i sitt förslag till avgörande, att den omständigheten att det i ett tvistemål beslutas om edition av en handling som innehåller andras personuppgifter bidrar till att upprätthålla rätten till ett effektivt domstolsskydd.
51I det avseendet kan det konstateras att artikel 47 andra stycket i stadgan motsvarar artikel 6.1 i Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, som undertecknades i Rom den 4 november 1950 (nedan kallad Europakonventionen), och att den därför, enligt artikel 52.3 i stadgan, ska anses ha samma innebörd och räckvidd som nämnda artikel 6.1 har enligt Europakonventionen.
52Europeiska domstolen för de mänskliga rättigheterna (nedan kallad Europadomstolen) har i fast praxis slagit fast att det mot bakgrund av den framskjutna plats som rätten till en rättvis rättegång har i ett demokratiskt samhälle är väsentligt att en part har möjlighet att på ett ändamålsenligt sätt lägga fram sin sak inför domstolen och att parterna åtnjuter likställdhet i processen (se, för ett liknande resonemang, Europadomstolen, 24 juni 2022, Zayidov mot Azerbajdzjan (Nr 2), CE:ECHR:2022:0324JUD000538610, § 87 och där angiven rättspraxis). Av detta följer bland annat att förfarandet ska vara kontradiktoriskt och att parterna under förfarandets gång ska ha haft möjlighet att lägga fram de argument som de anser vara relevanta för sin sak (Europadomstolen, 21 januari 1999, García Ruiz mot Spanien, CE:ECHR:1999:0121JUD003054496, § 29).
53Mot bakgrund av det nyss anförda finner EU-domstolen att upprätthållandet av rätten till ett effektivt domstolsskydd och, i synnerhet, rätten till en rättvis rättegång, i den mening som avses i artikel 47 andra stycket i stadgan, kräver att parterna i ett tvistemål ska ha möjlighet att få tillgång till handlingar som de behöver för att kunna styrka viss i målet förd talan, vilka eventuellt kan innehålla parternas eller andras personuppgifter.
54Såsom angetts ovan i punkt 46 ska dock berörda intressen beaktas vid prövningen av huruvida åtgärden är nödvändig och proportionerlig, det vill säga de två villkor som måste vara uppfyllda för att behandling av personuppgifter enligt artikel 6.3 och 6.4 i dataskyddsförordningen ska vara tillåten. Därvid ska det således även tas hänsyn till artikel 5.1 i förordningen, och i synnerhet till principen om ”uppgiftsminimering” i artikel 5.1 c, som är ett uttryck för proportionalitetsprincipen. Principen om uppgiftsminimering kräver att personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (se, för ett liknande resonemang, dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning), C‑439/19 , EU:C:2021:504 , punkt 98 och där angiven rättspraxis).
55En nationell domstol är således skyldig att fastställa huruvida ett utlämnande av personuppgifter är adekvat och relevant för att säkerställa det mål som eftersträvas med de tillämpliga bestämmelserna i nationell rätt och huruvida detta mål inte kan uppnås genom att man använder bevismedel som är mindre ingripande med avseende på skyddet av ett stort antal individers personuppgifter. Som exempel kan nämnas att man gör ett urval när det gäller vilka vittnen som ska höras.
56Om en nationell domstol finner att det finns skäl att besluta om edition av en handling med personuppgifter ställer principen om uppgiftsminimering ytterligare ett krav. Domstolen måste nämligen, i fall där endast en del av personuppgifterna är nödvändiga för bevisändamål, överväga att besluta om ytterligare åtgärder för att skydda personuppgifterna – som till exempel pseudonymisering i den mening som avses i artikel 4 led 5 i dataskyddsförordningen, det vill säga att uppgifterna lämnas ut utan de registrerades namn – eller andra åtgärder som syftar till att minimera den begränsning av rätten till skydd av personuppgifter som ett beslut om edition av en sådan handling utgör. Sådana åtgärder kan bland annat bestå i att begränsa allmänhetens möjlighet att ta del av handlingarna i målet eller i att förelägga de parter till vilka handlingarna med personuppgifter har lämnats ut att inte använda uppgifterna för något annat ändamål än att föra bevisning i det aktuella målet.
57Det ska därvid påpekas att det framgår av artikel 4.5 jämförd med skäl 26 i dataskyddsförordningen att personuppgifter som har pseudonymiserats och som skulle kunna tillskrivas en fysisk person genom att kompletterande uppgifter används bör anses som uppgifter om en identifierbar fysisk person, på vilka principerna om dataskydd är tillämpliga. Däremot framgår det av skäl 26 att dataskyddsprinciperna inte gäller för ”anonym information, nämligen information som inte hänför sig till en identifierad eller identifierbar fysisk person, eller för personuppgifter som anonymiserats på ett sådant sätt att den registrerade inte eller inte längre är identifierbar”.
58Av detta följer att en nationell domstol kan besluta att en handling som innehåller parternas eller andras personuppgifter ska ges in till den för att den med beaktande av samtliga omständigheter i målet och i enlighet med proportionalitetsprincipen ska kunna göra en avvägning mellan berörda intressen. Denna bedömning kan i förekommande fall föranleda att domstolen beslutar att de personuppgifter som handlingen innehåller helt eller delvis ska lämnas ut till motparten, om domstolen finner att ett sådant utlämnande inte går utöver vad som är nödvändigt för att säkerställa att parternas rättigheter enligt artikel 47 i stadgan faktiskt upprätthålls.
59Av det ovan anförda följer att den andra frågan ska besvaras enligt följande. Artiklarna 5 och 6 i dataskyddsförordningen ska tolkas på så sätt att en nationell domstol är skyldig att vid bedömningen av frågan om edition ska beslutas rörande en handling med personuppgifter ta hänsyn till de registrerades intressen och göra en avvägning av dessa utifrån omständigheterna i varje enskilt fall, vilken typ av mål det är fråga om och med vederbörlig hänsyn till proportionalitetsprincipens krav samt till de krav som följer av principen om uppgiftsminimering i artikel 5.1 c i förordningen.
60Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.
Mot denna bakgrund beslutar domstolen (tredje avdelningen) följande:
ska tolkas på så sätt
att denna bestämmelse är tillämplig i ett tvistemål där fråga är om edition av en personalliggare som innehåller personuppgifter som avser andra än de enskilda parterna själva och som har samlats in huvudsakligen för skattekontroll.
ska tolkas på så sätt
att en nationell domstol är skyldig att vid bedömningen av frågan om edition ska beslutas rörande en handling med personuppgifter ta hänsyn till de registrerades intressen och göra en avvägning av dessa utifrån omständigheterna i varje enskilt fall, vilken typ av mål det är fråga om och med vederbörlig hänsyn till proportionalitetsprincipens krav samt till de krav som följer av principen om uppgiftsminimering i artikel 5.1 c i förordningen.
Jürimäe
Arastey Sahún
Piçarra
Jääskinen
Gavalec
Avkunnad vid offentligt sammanträde i Luxemburg den 2 mars 2023.
A. Calot Escobar
Justitiesekreterare
K. Jürimäe
Avdelningsordföranden
(*1) Rättegångsspråk: svenska.
Tekstas iš mūsų archyvo (Europos Sąjungos leidinių biuro „Cellar“ duomenys). Commission Decision 2011/833/EU — free reuse incl. commercial; attribution to EUR-Lex / Court of Justice of the European Union required; EUR-Lex is not the authentic record of the Court.