РЕШЕНИЕ НА СЪДА (трети състав)
2 март 2023 година ( *1 )
„Преюдициално запитване — Защита на личните данни — Регламент (ЕС) 2016/679 — Член 6, параграфи 3 и 4 — Законосъобразност на обработването — Представяне в гражданско съдебно производство на документ, който съдържа лични данни — Член 23, параграф 1, букви e) и й) — Защита на независимостта на съдебната власт и съдебните производства — Изпълнение по гражданскоправни искове — Изисквания, които трябва да се спазват — Отчитане на интересите на субектите на данни — Претегляне на съответните противоположни интереси — Член 5 — Свеждане на личните данни до минимум — Харта на основните права на Европейския съюз — Член 7 — Право на зачитане на личния живот —Член 8 — Право на защита на личните данни — Член 47 — Право на ефективна съдебна защита —Принцип на пропорционалност“
По дело C‑268/21
с предмет преюдициално запитване, отправено на основание член 267 ДФЕС от Högsta domstolen (Върховен съд, Швеция) с акт от 15 април 2021 г., постъпил в Съда на 23 април 2021 г., в рамките на производство по дело
Norra Stockholm Bygg AB
срещу
Per Nycander AB,
при участието на:
Entral AB,
СЪДЪТ (трети състав),
състоящ се от: K. Jürimäe, председател на състава, M. L. Arastey Sahún, N. Piçarra, N. Jääskinen (докладчик) и M. Gavalec, съдии,
генерален адвокат: T. Ćapeta,
секретар: C. Strömholm, администратор,
предвид изложеното в писмената фаза на производството и в съдебното заседание от 27 юни 2022 г.,
като има предвид становищата, представени:
– за Norra Stockholm Bygg AB, от H. Täng Nilsson и E. Wassén, advokater,
– за Per Nycander AB, от P. Degerfeldt и V. Hermansson, advokater,
– за шведското правителство, от C. Meyer-Seitz, H. Shev и O. Simonsson, в качеството на представители,
– за чешкото правителство, от O. Serdula, M. Smolek и J. Vláčil, в качеството на представители,
– за полското правителство, от B. Majczyna и J. Sawicka, в качеството на представители,
– за Европейската комисия, от A. Bouchagiar, M. Gustafsson и H. Kranenborg, в качеството на представители,
след като изслуша заключението на генералния адвокат, представено в съдебното заседание от 6 октомври 2022 г.,
постанови настоящото
Решение
1 Преюдициалното запитване се отнася до тълкуването на член 6, параграфи 3 и 4 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, наричан по-нататък „ОРДЗ“).
2 Запитването е отправено в рамките на спор между Norra Stockholm Bygg AB (наричано по-нататък „Fastec“) и Per Nycander AB (наричано по-нататък „Nycander“) относно искане за предоставяне на електронния регистър на персонала на Fastec, извършило строителни работи за Nycander, за да се определи сумата, която трябва да заплати последното за строителните работи.
Правна уредба
Правото на Съюза
3 Съображения 1, 2, 4, 20, 26, 45 и 50 от ОРЗД гласят следното:
„(1)
Защитата на физическите лица във връзка с обработването на лични данни е основно право. Член 8, параграф 1 от Хартата на основните права на Европейския съюз [наричана по-нататък „Хартата“] и член 16, параграф 1 от [ДФЕС] предвиждат, че всеки има право на защита на личните му данни.
(2) Принципите и правилата относно защитата на физическите лица във връзка с обработването на личните им данни следва, независимо от тяхното гражданство или местопребиваване, да са съобразени с техните основни права и свободи, и по-конкретно — с правото на защита на личните им данни. Настоящият регламент има за цел да допринесе за изграждането на пространство на свобода, сигурност и правосъдие и на икономически съюз, за постигането на икономически и социален напредък, за укрепването и сближаването на икономиките в рамките на вътрешния пазар, както и за благосъстоянието на хората.
[…] (4) Обработването на лични данни следва да е предназначено да служи на човечеството. Правото на защита на личните данни не е абсолютно право, а трябва да бъде разглеждано във връзка с функцията му в обществото и да бъде в равновесие с другите основни права съгласно принципа на пропорционалност. […]
[…] (20)
Макар настоящият регламент да се прилага, inter alia, спрямо дейностите на съдилищата и други съдебни органи, в правото на Съюза или в правото на държава членка могат да се определят конкретно операциите и процедурите по обработване на лични данни от съдилищата и другите съдебни органи. […]
[…] (26)
Принципите за защита на данните следва да се прилагат по отношение на всяка информация, отнасяща се до физическо лице, което е идентифицирано или може да бъде идентифицирано. Личните данни, които са били подложени на псевдонимизация, които могат да бъдат свързани с дадено физическо лице чрез използването на допълнителна информация, следва да се считат за информация, отнасяща се до физическо лице, което може да бъде идентифицирано. […] Поради това принципите на защита на данните не следва да се прилагат по отношение на анонимна информация, т.е. информация, която не е свързана с идентифицирано или подлежащо на идентифициране физическо лице, или по отношение на лични данни, които са анонимизирани по такъв начин, че субектът на данните да не може или вече не може да бъде идентифициран. […]
[…] (45)
Когато обработването се извършва в съответствие с правно задължение, наложено на администратора на лични данни, или когато обработването е необходимо за изпълнението на задача от обществен интерес или при упражняване на официални правомощия, за обработването следва да има основание в правото на Съюза или в правото на държава членка. […] Може да е достатъчен законодателен акт като основание за няколко операции по обработване на данни, основаващи се на правно задължение, наложено на администратора на лични данни, или когато обработването е необходимо за изпълнението на задача от обществен интерес или при упражняване на официални правомощия. Правото на Съюза или на държава членка следва да определя също и целта на обработването. […]
[…] (50)
Обработването на лични данни за цели, различни от тези, за които първоначално са събрани личните данни, следва да бъде разрешено единствено когато обработването е съвместимо с целите, за които първоначално са събрани личните данни. В такъв случай не се изисква отделно правно основание, различно от това, с което е било разрешено събирането на личните данни. Ако обработването е необходимо за изпълнението на задача от обществен интерес или свързана с упражняването на официални правомощия, които са предоставени на администратора на лични данни, в правото на Съюза или в правото на държава членка могат да бъдат определени и уточнени задачите и целите, за които по-нататъшното обработване следва да се счита за съвместимо и законосъобразно. […] Правното основание, предвидено от правото на Съюза или правото на държава членка за обработване на лични данни, може да предостави и правно основание за по-нататъшно обработване. […]
Когато субектът на данните е дал съгласието си или когато обработването се основава на правото на Съюза или правото на държава членка, което представлява необходима и пропорционална мярка в едно демократично общество, за да се гарантират по-специално важни цели от широк обществен интерес, на администратора следва да се позволи да обработва по-нататък личните данни, независимо от съвместимостта на целите. Във всеки случай, прилагането на принципите, установени в настоящия регламент, и по-специално информирането на субекта на данните относно тези други цели и относно неговите права, включително правото да възрази, следва да бъдат гарантирани. […]“.
4 Член 2 от този регламент, озаглавен „Материален обхват“, гласи:
„1.Настоящият регламент се прилага за обработването на лични данни изцяло или частично с автоматични средства, както и за обработването с други средства на лични данни, които са част от регистър с лични данни или които са предназначени да съставляват част от регистър с лични данни.
2.Настоящият регламент не се прилага за обработването на лични данни:
a) в хода на дейности, които са извън приложното поле на правото на Съюза;
б) от държавите членки, когато извършват дейности, които попадат в приложното поле на дял V, глава 2 от ДЕС;
в) от физическо лице в хода на чисто лични или домашни занимания;
г) от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наложените наказания, включително предпазването от и предотвратяването на заплахи за обществената сигурност.
3.При обработването на лични данни от институциите, органите, службите и агенциите на Съюза се прилага Регламент (ЕО) № 45/2001 [на Европейския парламент и на Съвета от 18 декември 2000 година относно защитата на лицата по отношение на обработката на лични данни от институции и органи на Общността и за свободното движение на такива данни (ОВ L 8, 2001 г., стр. 1; Специално издание на български език, 2007 г., глава 13, том 30, стр. 142)]. Регламент [№ 45/2001] и другите правни актове на Съюза, приложими към подобна обработка на лични данни, се адаптират към принципите и правилата на настоящия регламент в съответствие с член 98“.
5 Съгласно член 4 от посочения регламент:
„За целите на настоящия регламент:
[…] 2) „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване;
[…] 5) „псевдонимизация“ означава обработването на лични данни по такъв начин, че личните данни не могат повече да бъдат свързвани с конкретен субект на данни, без да се използва допълнителна информация, при условие че тя се съхранява отделно и е предмет на технически и организационни мерки с цел да се гарантира, че личните данни не са свързани с идентифицирано физическо лице или с физическо лице, което може да бъде идентифицирано;
[…]“.
6 Член 5 от същия регламент, озаглавен „Принципи, свързани с обработването на лични данни“), предвижда в параграф 1:
„Личните данни са:
a) обработвани законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните („законосъобразност, добросъвестност и прозрачност“);
б) събирани за конкретни, изрично указани и легитимни цели и не се обработват по-нататък по начин, несъвместим с тези цели; […] („ограничение на целите“);
в) подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват („свеждане на данните до минимум“);
г) точни и при необходимост да бъдат поддържани в актуален вид; трябва да се предприемат всички разумни мерки, за да се гарантира своевременното изтриване или коригиране на неточни лични данни, като се имат предвид целите, за които те се обработват („точност“);
[…]“.
7 Член 6 от ОРЗД, озаглавен „Законосъобразност на обработването“, предвижда:
„1.Обработването е законосъобразно, само ако и доколкото е приложимо поне едно от следните условия:
a) субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели;
[…] в) обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора;
[…] д) обработването е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора;
[…] 3.Основанието за обработването, посочено в параграф 1, букви в) и д), е установено от:
a) правото на Съюза или
б) правото на държавата членка, което се прилага спрямо администратора.
Целта на обработването се определя в това правно основание или доколкото се отнася до обработването по параграф 1, буква д), то трябва да е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора. […] Правото на Съюза или правото на държавата членка се съобразява с обществения интерес и е пропорционално на преследваната легитимна цел.
4.Когато обработването за други цели, различни от тези, за които първоначално са били събрани личните данни, не се извършва въз основа на съгласието на субекта на данните или на правото на Съюза или правото на държава членка, което представлява необходима и пропорционална мярка в едно демократично общество за гарантиране на целите по член 23, параграф 1, администраторът, за да се увери дали обработването за други цели е съвместимо с първоначалната цел, за която са били събрани личните данни, inter alia, взема под внимание:
a) всяка връзка между целите, за които са били събрани личните данни, и целите на предвиденото по-нататъшно обработване;
[…]“.
8 Член 23 от този регламент, озаглавен „Ограничения“, гласи:
„1.В правото на Съюза или правото на държава членка, което се прилага спрямо администратора или обработващия лични данни, чрез законодателна мярка може да се ограничи обхватът на задълженията и правата, предвидени в членове 12—22 и в член 34, както и в член 5, доколкото неговите разпоредби съответстват на правата и задълженията, предвидени в членове 12—22, когато подобно ограничение е съобразено със същността на основните права и свободи и представлява необходима и пропорционална мярка в едно демократично общество с цел да се гарантира:
[…] е) защитата на независимостта на съдебната власт и съдебните производства;
[…] й) изпълнението по гражданскоправни искове.
[…]“.
Шведското право
RB 9 Доказателствените правила относно писмените доказателства се уреждат от разпоредбите на глава 38 от rättegångsbalken (Съдопроизводствен кодекс, наричан по-нататък „RB“).
10 Според глава 38, член 2, първа алинея всяко лице, което държи писмен документ, за който може да се счита, че има доказателствена стойност, е длъжно да представи този документ.
11 Изключения от това задължение за предоставяне се съдържат например във втората алинея на този член. По смисъла на изключението някои длъжностни лица са освободени от посоченото задължение ако може да се презумира, че съдържанието на документа е такова, че държателят не може да бъде изслушан като свидетел във връзка с него. Това изключение се прилага за адвокати, лекари, психолози, свещеници и други длъжностни лица, на които е поверена информация при упражняване на тяхната професия или равностойна дейност. Следователно обхватът на посоченото задължение съответства на задължението за даване на свидетелски показания в съдебно производство.
12 Ако дадено лице е длъжно да представи писмен документ като доказателство, съдът може на основание глава 38, член 4 от RB да разпореди на същото да представи документа.
Закон за данъчното производство
13 Съгласно глава 39, член 11, букви a)—c) от skatteförfarandelagen (2011:1244) (Закон 2011:1244 за данъчното производство), всеки, който извършва строителна дейност, трябва в определени случаи да поддържа електронен регистър на персонала. Регистърът на персонала трябва да удостоверява необходимата идентификационна информация по отношение на лицата, участващи в деловата дейност. Това е задължение на предприемача, но той може да го делегира на независим оператор. По силата на глава 39, член 12 от този закон шведската данъчна администрация трябва да има достъп до регистъра на персонала.
14 Данните, които трябва да се съдържат в регистъра на персонала, са определени в глава 9, член 5 от skatteförfarandeförordningen (2011:1261) (Правила (2011:1261) относно данъчното производство). Това са по-специално имената и личните идентификационни номера на лицата, извършващи професионална дейност, и началото и края на периодите на работа на тези лица.
Спорът в главното производство и преюдициалните въпроси
15 Fastec построява офис сграда за Nycander. Лицата, които работят на строителния обект, отбелязват присъствието си в електронен регистър на персонала. Регистърът на персонала е предоставен от дружество Entral AB, което действа от името на Fastec.
16 Fastec предявява пред tingsrätt (Районен съд, Швеция) иск за плащане на извършените строителни работи. С иска Fastec претендира от Nycander сума, която според него съответства на дължимия от Nycander остатък. Последното дружество оспорва искането на Fastec, като твърди по-специално, че броят на часовете, отработени от персонала на Fastec, е по-малък от посочения в искането.
17 Nycander иска от посочения съд да разпореди на Entral да представи регистъра на персонала на Fastec за периода от 1 август 2016 г. до 30 ноември 2017 г., като главно искане, без заличаване или, при условията на евентуалност, със заличаване на личните идентификационни номера на съответните лица. В подкрепа на искането си Nycander изтъква, че Еntral разполага с този регистър на персонала и че той може да представлява важно доказателство за постановяването на решение по иска на Fastec, тъй като вписаните в него данни биха позволили да се докаже броят на часовете, отработени от персонала на Fastec.
18 Fastec възразява срещу това искане и твърди главно, че то противоречи на член 5, параграф 1, буква б) от ОРЗД. Регистърът на персонала на Fastec съдържал лични данни, събрани с цел шведската данъчна администрация да може да извърши проверка на дейността на това дружество и оповестяването на тези данни пред съда противоречало на тази цел.
19 Tingsrätt (Районен съд) разпорежда на Еntral да представи без заличаване регистъра на персонала на Fastec, който е работил през съответния период на разглеждания в главното производство строителен обект. Svea hovrätt (Апелативен съд, Стокхолм, Швеция) потвърждава решението на Тingsrätten (Районен съд).
20 Fastec обжалва решението на Svea hovrätt (Апелативен съд, Стокхолм, Швеция) пред запитващата юрисдикция, Högsta domstolen (Върховен съд, Швеция), и иска да се отхвърли искането на Nycander, посочено в точка 17 от настоящото решение.
21 Запитващата юрисдикция иска да се установи дали и съответно как следва да се приложат разпоредбите на ОРЗД в рамките на делото по главното производство.
22 Що се отнася до задължението за представяне на документи, тази юрисдикция отбелязва, че от собствената ѝ практика относно тълкуването на релевантните разпоредби на RB следва, че трябва да се претеглят, от една страна, релевантността на разглежданите доказателства и от друга страна, интересът на противната страна тази информация да не бъде разкривана. Тя уточнява, че при това претегляне по принцип не се взема предвид дали информацията в документа е лична по своето естество и дали други лица са заинтересовани от получаването на достъп до съдържанието на документа, освен ако това не произтича от изрично предвидените в правната уредба изключения.
23 Посочената юрисдикция уточнява, че целта на предвиденото в RB задължение за представяне на документ е по-специално всеки, което има нужда от писмен документ като доказателство, да получи достъп до него. В крайна сметка ставало въпрос за това да се гарантира, че лицата са в състояние да упражняват правата си, когато имат обоснован доказателствен интерес.
24 При тези обстоятелства Högsta domstolen (Върховен съд) решава да спре производството и да постави на Съда следните преюдициални въпроси:
„1) Налага ли член 6, параграфи 3 и 4 от ОРЗД и изискване към националното процесуално законодателство във връзка със задълженията за разкриване?
2) Ако на първия въпрос се отговори утвърдително, означава ли ОРЗД, че трябва да се съобразят и интересите на субектите на данните при вземане на решение за разкриване, което включва обработването на лични данни? При такива обстоятелства установява ли правото на ЕС изисквания във връзка с това как конкретно трябва да бъде взето това решение?“.
По преюдициалните въпроси
По първия въпрос
25 С първия си въпрос запитващата юрисдикция по същество иска да се установи дали член 6, параграфи 3 и 4 от ОРЗД трябва да се тълкува в смисъл, че тази разпоредба се прилага в рамките на гражданско съдебно производство по отношение на представянето като доказателство на регистър на персонала, съдържащ лични данни на трети лица, събрани главно за целите на данъчния контрол.
26 За да се отговори на този въпрос, следва да се отбележи, на първо място, че член 2, параграф 1 от ОРЗД предвижда, че този регламент се прилага за всяко „обработване[…] на лични данни изцяло или частично с автоматични средства, както и за обработването с други средства на лични данни, които са част от регистър с лични данни или които са предназначени да съставляват част от регистър с лични данни“, без да се прави разграничение в зависимост от самоличността на лицето, което извършва съответното обработване. От това следва, че освен в случаите, посочени в член 2, параграфи 2 и 3 от ОРЗД, този регламент се прилага към дейностите по обработване, извършвани както от частноправни субекти, така и от публични органи, включително — както се посочва в съображение 20 от него — съдебните органи, каквито са съдилищата (решение от 24 март 2022 г., Autoriteit Persoonsgegevens, C‑245/20, EU:C:2022:216, т. 25).
27 На второ място, съгласно член 4, точка 2 от този регламент понятието „обработване“ на лични данни включва, inter alia, всяка операция, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни.
28 От това следва, че обработване на лични данни, което попада в материалния обхват на ОРЗД, представлява не само създаването и поддържането на електронния регистър на персонала (вж. по аналогия решение от 30 май 2013 г., Worten, C‑342/12, EU:C:2013:355, т. 19), но и представянето като доказателство на цифров или физически документ, който съдържа такива лични данни, разпоредено от съд в рамките на съдебно производство (вж. в този смисъл решение от 8 декември 2022 г., Инспектор в Инспектората към Висшия съдебен съвет (Цели на обработването на лични данни — Наказателно разследване), C‑180/21, EU:C:2022:967, т. 72).
29 На трето място, трябва да се подчертае, че всяко обработване на лични данни, включително обработване от публични органи като съдилищата, трябва да отговаря на установените в член 6 от ОРЗД условия за законосъобразност.
30 В това отношение следва да се отбележи, първо, че съгласно член 6, параграф 1, буква д) от ОРЗД обработването на лични данни е законосъобразно ако е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора.
31 Съгласно член 6, параграф 3 във връзка със съображение 45 от ОРЗД основанието за обработването, посочено в член 6, параграф 1, буква д) от този регламент, е установено от правото на Съюза или от правото на държавата членка, което се прилага спрямо администратора. Освен това правото на Съюза или правото на държавата членка се съобразява с обществения интерес и е пропорционално на преследваната легитимна цел.
32 Следователно разпоредбите на член 6, параграф 1, буква д) във връзка с член 6, параграф 3 от ОРЗД изискват по-специално да е налице национално правно основание въз основа на което да се извършва обработването на лични данни от администраторите, които действат в изпълнение на задача от обществен интерес или при упражняване на официални правомощия, както действат съдилищата при осъществяване на правораздавателните си функции.
33 Второ, когато обработването на лични данни се извършва с цел, различна от тази, за която са събрани данните, от член 6, параграф 4 във връзка със съображение 50 от ОРЗД следва, че такова обработване е допустимо, при условие че се извършва въз основа по-специално на правото на държава членка и представлява необходима и пропорционална мярка в едно демократично общество, за да се гарантира една от целите, посочени в член 23, параграф 1 от ОРЗД. Както се посочва в това съображение, за да се гарантират тези важни цели от широк обществен интерес, на администратора следва да се позволи да извърши последващо обработване на личните данни, независимо дали това обработване е съвместимо с целите, за които първоначално са събрани личните данни.
34 В случая релевантните разпоредби на глава 38 от RB, които предвиждат задължението за представяне на документ като доказателство и възможността националните съдилища да разпоредят представянето на този документ, са правното основание за обработването на лични данни. Макар по принцип тези разпоредби да представляват достатъчно правно основание за разрешаване на обработването, от акта за преюдициално запитване е видно, че това правно основание е различно от правното основание, установено със Закона за данъчното производство, въз основа на който е изготвен разглежданият в главното производство регистър на персонала за целите на данъчния контрол. Освен това според запитващата юрисдикция целта на предвиденото в тези разпоредби на RB задължение за представяне е на всеки, който има нужда от писмен документ като доказателство, да се даде достъп до този документ. Според нея става въпрос за това да се гарантира, че лицата са в състояние да упражняват правата си, когато имат „обоснован доказателствен интерес“.
35 Според запитващата юрисдикция от подготвителните работи по приемането на Закона за данъчното производство е видно, че съдържащите се в регистъра на персонала лични данни са необходими, за да позволят на шведската данъчна администрация да извършва проверки по време на своите ревизии. Основната цел е да се намалят случаите на недеклариран труд и да се подобрят условията за конкуренция. Обработването на лични данни е обосновано от необходимостта да се изпълни законовото задължение на администратора да води регистър на персонала.
36 При това положение следва да се приеме, че обработването на тези данни в рамките на съдебно производство като главното производство е обработване, извършено с цел, различна от тази, за която са били събрани данните, а именно за целите на данъчния контрол, и не се основава на съгласието на субектите на данни по смисъла на член 6, параграф 1, буква а) от ОРЗД.
37 При тези обстоятелства обработването на лични данни за цел, различна от тази, за която са били събрани тези данни, трябва не само да се основава на националното право като разпоредбите на глава 38 от RB, но и да представлява необходима и пропорционална мярка в едно демократично общество по смисъла на член 6, параграф 4 от ОРЗД и да гарантира една от целите, посочени в член 23, параграф 1 от ОРЗД.
38 Съгласно член 23, параграф 1, буква е) от този регламент една от тези цели е „защитата на независимостта на съдебната власт и съдебните производства“, като трябва да се разбира, както отбелязва Европейската комисия в писменото си становище, че в тази цел се включват защитата на правораздаването от вътрешна или външна намеса, но също така и доброто правораздаване. Освен това съгласно параграф 1, буква й) от този член изпълнението по гражданскоправни искове също представлява цел, която може да обоснове обработване на лични данни за цел, различна от тази, за която са били събрани. Следователно не е изключено обработването на лични данни на трети лица в рамките на гражданско съдебно производство да може да се основава на такива цели.
39 Запитващата юрисдикция обаче следва да провери, от една страна, дали релевантните разпоредби на глава 38 от RB отговарят на едната и/или на другата цел и от друга страна, дали тези разпоредби са необходими и пропорционални на посочените цели, така че да попаднат в обхвата на случаите на обработване на лични данни, които се считат за законосъобразни съгласно разпоредбите на член 6, параграфи 3 и 4 във връзка с член 23, параграф 1, букви е) и й) от ОРЗД.
40 В това отношение е без значение дали обработването на лични данни се основава на национална материалноправна или процесуалноправна разпоредба, тъй като разпоредбите на член 6, параграф 3, буква б) и параграф 4 от този регламент не провеждат никакво разграничение между тези два вида разпоредби.
41 С оглед на гореизложените съображения на първия въпрос следва да се отговори, че член 6, параграфи 3 и 4 от ОРЗД трябва да се тълкува в смисъл, че тази разпоредба се прилага в рамките на гражданско съдебно производство по отношение на представянето като доказателство на регистър на персонала, който съдържа лични данни на трети лица, събрани главно за целите на данъчния контрол.
По втория въпрос
42 С втория си въпрос запитващата юрисдикция по същество иска да се установи дали членове 5 и 6 от ОРЗД трябва да се тълкуват в смисъл, че когато преценява дали да разпореди в рамките на гражданско съдебно производство представянето на документ, съдържащ лични данни, националният съд трябва да вземе предвид интересите на субектите на данни. При утвърдителен отговор, запитващата юрисдикция иска да се установи и дали правото на Съюза, и по-специално ОРЗД, налага специални изисквания относно това как конкретно трябва да се извърши тази преценка.
43 Най-напред следва да се подчертае, че освен при предвидените в член 23 изключения всяко обработване на лични данни трябва да зачита принципите за обработването на лични данни, както и правата на съответното физическо лице, посочени съответно в глави II и III от този регламент. По-конкретно всяко обработване на лични данни, от една страна, трябва да е в съответствие с принципите, прогласени в член 5 от посочения регламент, и от друга страна, да отговаря на изискванията за законосъобразност, изброени в член 6 от същия (вж. в този смисъл решение от 6 октомври 2020 г., La Quadrature du Net и др., C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 208 и цитираната съдебна практика).
44 В случая запитващата юрисдикция отбелязва, че релевантните разпоредби на глава 38 от RB не изискват изрично при преценката дали трябва да се разпореди представянето на документ, съдържащ лични данни, да се вземат предвид интересите на лицата, за чиито лични данни става дума. Съгласно националната съдебна практика тези разпоредби изисквали само да се претеглят, от една страна, релевантността на доказателствата и от друга страна, интересът на противната страна тази информация да не бъде разкривана.
45 Както бе констатирано в точка 39 от настоящото решение, тъй като се отнасят до представянето на документи като доказателствен материал, тези разпоредби от националното право биха могли да се причислят към случаите на обработване на лични данни, които се считат за законосъобразни съгласно разпоредбите на член 6, параграфи 3 и 4 във връзка с член 23, параграф 1, букви е) и й) от ОРЗД. Това е така, доколкото посочените разпоредби, от една страна, имат за цел да осигурят доброто протичане на съдебното производство, като гарантират, че правният субект може да потърси защита на правата си, когато е налице „обоснован доказателствен интерес“, и от друга страна, че те са необходими и пропорционални на тази цел.
46 Всъщност от член 6, параграф 4 от ОРЗД следва, че такова обработване на лични данни е законосъобразно, при условие че представлява необходима и пропорционална мярка в едно демократично общество за гарантиране на целите по член 23 от ОРЗД, които то преследва. От това следва, че за да провери тези изисквания, националният съд трябва да вземе предвид съответните противоречиви интереси, когато преценява необходимостта да разпореди представянето на документ, който съдържа лични данни на трети лица.
47 В това отношение трябва да се подчертае, че резултатът от претеглянето, което трябва да се извърши от националния съд, може да варира както в зависимост от обстоятелствата във всеки конкретен случай, така и в зависимост от вида на разглежданото производство.
48 Що се отнася до съответните интереси в гражданско съдебно производство, както следва по-специално от съображения 1 и 2 от ОРЗД, националният съд трябва да гарантира защитата на физическите лица във връзка с обработването на лични данни, която е основно право, закрепено в член 8, параграф 1 от Хартата и в член 16 ДФЕС. Този съд трябва също така да гарантира правото на зачитане на личния живот, прогласено в член 7 от Хартата, което е тясно свързано с правото на защита на личните данни.
49 Както обаче се посочва в съображение 4 от ОРЗД, правото на защита на личните данни не е абсолютно право, а трябва да бъде разглеждано във връзка с функцията му в обществото и да бъде в равновесие с другите основни права съгласно принципа на пропорционалност, като правото на ефективна съдебна защита, гарантирано от член 47 от Хартата.
50 Както по същество отбелязва генералният адвокат в точка 61 от заключението си, представянето на документ, който съдържа лични данни на трети лица в рамките на гражданско съдебно производство, допринася за зачитането на това право на ефективна съдебна защита.
51 В това отношение член 47, втора алинея от Хартата съответства на член 6, параграф 1 от Европейската конвенция за защита на правата на човека и основните свободи, подписана в Рим на 4 ноември 1950 г., и съгласно член 52, параграф 3 от Хартата неговият смисъл и обхват са същите както в член 6, параграф 1 от тази конвенция.
52 Съгласно установената практика на Европейския съд по правата на човека, с оглед на важното място, което заема правото на справедлив съдебен процес в едно демократично общество, от съществено значение е страната да има възможност да защити пълноценно своята позиция пред съда и да има равни процесуални възможности с насрещната страна (вж. в този смисъл, ЕСПЧ, 24 юни 2022 г., Zayidov с/у Азербайджан (No 2), CE:ECHR:2022:0324JUD000538610, § 87 и цитираната съдебна практика). От това следва по-специално, че правният субект трябва да има възможност да се ползва от състезателно производство и да представи на различните етапи на производството доводите, които счита за релевантни за защитата на позицията си (ЕСПЧ, 21 януари 1999 г., García Ruiz с/у Испания, CE:ECHR:1999:0121JUD003054496, § 29).
53 Ето защо, за да се гарантира, че правните субекти могат да се ползват от право на ефективна съдебна защита, и по-специално от право на справедлив съдебен процес по смисъла на член 47, втора алинея от Хартата, следва да се приеме, че страните в гражданско съдебно производство трябва да имат достъп до доказателствата, което са необходими за надлежно установяване на основателността на оплакванията им и които евентуално могат да включват лични данни на страните или на трети лица.
54 При това положение, както бе посочено в точка 46 от настоящото решение, отчитането на съответните интереси е част от проверката на изискванията за необходимост и пропорционалност на мярката, които са предвидени в член 6, параграфи 3 и 4 от ОРЗД и които обуславят законосъобразността на обработването на лични данни. Следователно в това отношение трябва да се държи сметка и за член 5, параграф 1 от ОРЗД, и по-специално за принципа на „свеждане на данните до минимум“, предвиден в буква в) от тази разпоредба, който дава израз на принципа на пропорционалност. Съгласно принципа за свеждане на данните до минимум личните данни трябва да бъдат подходящи, релевантни и ограничени до необходимото във връзка с целите, за които се обработват (вж. в този смисъл решение от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения), C‑439/19, EU:C:2021:504, т. 98 и цитираната съдебна практика).
55 При това положение националният съд трябва да определи дали разкриването на лични данни е подходящо и релевантно за гарантиране на целта, преследвана от приложимите разпоредби на националното право, и дали тази цел не може да бъде постигната чрез доказателства, които засягат в по-малка степен защитата на личните данни на голям брой трети лица, като например изслушването на избрани свидетели.
56 Освен това, ако представянето на документа, който съдържа лични данни, се окаже оправдано, от посочения принцип следва, че когато само част от тези данни е необходима за целите на доказването, националният съд трябва да прецени възможността за приемане на допълнителни мерки за защита на данните като дефинираната в член 4, точка 5 от ОРЗД псевдонимизация на имената на субектите на данни или друга мярка, която да сведе до минимум засягането на правото на защита на личните данни, което произтича от представянето на такъв документ. Тези мерки могат да включват по-специално ограничаването на публичния достъп до преписката или разпореждане, отправено до страните, на които са били разкрити документите, съдържащи лични данни, да не използват тези данни за други цели освен за събиране на доказателства в съответното съдебно производство.
57 В това отношение следва да се уточни, че от член 4, точка 5 във връзка със съображение 26 от ОРЗД следва, че личните данни, които са били предмет на псевдонимизация и могат да бъдат свързани с дадено физическо лице чрез използване на допълнителна информация, следва да се считат за информация, отнасяща се до физическо лице, което може да бъде идентифицирано и за която се прилагат принципите за защита на данните. За сметка на това от това съображение следва, че тези принципи не се прилагат по отношение на „на анонимна информация, т.е. информация, която не е свързана с идентифицирано или подлежащо на идентифициране физическо лице, или по отношение на лични данни, които са анонимизирани по такъв начин, че субектът на данните да не може или вече не може да бъде идентифициран“.
58 От това следва, че националният съд може да прецени, че личните данни на страните или на трети лица трябва да му бъдат съобщени, за да може да претегли съответните интереси, при пълно познаване на фактите и при спазване на принципа на пропорционалност. След извършване на тази преценка той може евентуално да разреши пълното или частично разкриване на насрещната страна на поверените му лични данни, ако счита, че това разкриване не надхвърля необходимото за гарантиране на ефективното упражняване на правата, които правните субекти черпят от член 47 от Хартата.
59 С оглед на гореизложените съображения на втория въпрос следва да се отговори, че членове 5 и 6 от ОРЗД трябва да се тълкуват в смисъл, че когато преценява дали трябва да разпореди представянето на документ, който съдържа лични данни, националният съд трябва да вземе предвид интересите на субектите на данни и да ги претегли с оглед на обстоятелствата по конкретния случай и на вида на съответното производство при надлежно спазване на изискванията, произтичащи от принципа на пропорционалност, и по-специално на тези, които произтичат от принципа за свеждане на данните до минимум, посочен в член 5, параграф 1, буква в) от същия регламент.
По съдебните разноски
60 Тъй като за страните по главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.
По изложените съображения Съдът (трети състав) реши:
1) Член 6, параграфи 3 и 4 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните)
трябва да се тълкува в смисъл, че
тази разпоредба се прилага в рамките на гражданско съдебно производство по отношение на представянето като доказателство на регистър на персонала, който съдържа лични данни на трети лица, събрани главно за целите на данъчния контрол.
2) Членове 5 и 6 от Регламент 2016/679
трябва да се тълкуват в смисъл, че
когато преценява дали трябва да разпореди представянето на документ, който съдържа лични данни, националният съд трябва да вземе предвид интересите на субектите на данни и да ги претегли с оглед на обстоятелствата по конкретния случай и на вида на съответното производство при надлежно спазване на изискванията, произтичащи от принципа на пропорционалност, и по-специално на тези, които произтичат от принципа за свеждане на данните до минимум, посочен в член 5, параграф 1, буква в) от същия регламент.
Подписи
( *1 ) Език на производството: шведски.