Неокончателна редакция

РЕШЕНИЕ НА СЪДА (пети състав)

18 юни 2026 година(*)

„ Преюдициално запитване — Защита на физическите лица във връзка с обработването на лични данни — Регламент (ЕС) 2016/679 — Член 5, параграф 1, буква д) — Ограничаване на съхранението — Член 6, параграф 1, първа алинея, буква д) — Законосъобразност на свързано с трудов договор обработване на такива данни в рамките на съдебно производство — Член 17, параграф 3, буква д) — Липса на задължение за изтриване на въпросните данни в случай на обработване, необходимо за установяването, упражняването или защитата на правни претенции — Данни, събрани от работодателя като доказателство за сериозно неизпълнение на задълженията от страна на служител — Използване на незаконосъобразно получени доказателства “

По дело C‑484/24

с предмет преюдициално запитване, отправено на основание член 267 ДФЕС от Landesarbeitsgericht Niedersachsen (Областен трудов съд Долна Саксония, Германия) с акт от 8 май 2024 г., постъпил в Съда на 10 юли 2024 г., в рамките на производство по дело

NTH Haustechnik GmbH

срещу

EM, СЪДЪТ (пети състав),

състоящ се от: M. L. Arastey Sahún, председател на състава, J. Passer, E. Regan (докладчик), D. Gratsias и B. Smulders, съдии,

генерален адвокат: D. Spielmann,

секретар: G. Chiapponi, администратор,

предвид изложеното в писмената фаза на производството и в съдебното заседание от 2 юли 2025 г.,

като има предвид становищата, представени:

–за германското правителство, от J. Möller и P.‑L. Krüger, в качеството на представители,

–за унгарското правителство, от M. Z. Fehér, K. Szíjjártó и Zs. Biró-Tóth, в качеството на представители,

–за финландското правителство, от A. Laine и H. Leppo, в качеството на представители,

–за Европейската комисия, от A. Bouchagiar, F. Erlbacher и H. Kranenborg, в качеството на представители,

след като изслуша заключението на генералния адвокат, представено в съдебното заседание от 16 октомври 2025 г.,

постанови настоящото

Решение

1 Преюдициалното запитване се отнася до тълкуването на членове 5, 6, 9, 13 и 17 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1; наричан по-нататък „ОРЗД“).

2 Запитването е отправено в рамките на спор между NTH Haustechnik GmbH (наричано по-нататък „NTH“) и бившата му служителка EM във връзка с иск за обезщетение за вреди, претърпени от това дружество поради неразрешена онлайн препродажба на негово имущество.

Правна уредба

Правото на Съюза

3 Съображения 1, 2, 4, 7, 10, 20, 39 и 41 от ОРЗД гласят:

„(1)Защитата на физическите лица във връзка с обработването на лични данни е основно право. Член 8, параграф 1 от Хартата на основните права на Европейския съюз („Хартата“) и член 16, параграф 1 [ДФЕС] предвиждат, че всеки има право на защита на личните му данни.

(2)Принципите и правилата относно защитата на физическите лица във връзка с обработването на личните им данни следва, независимо от тяхното гражданство или местопребиваване, да са съобразени с техните основни права и свободи, и по-конкретно — с правото на защита на личните им данни. Настоящият регламент има за цел да допринесе за изграждането на пространство на свобода, сигурност и правосъдие и на икономически съюз, за постигането на икономически и социален напредък, за укрепването и сближаването на икономиките в рамките на вътрешния пазар, както и за благосъстоянието на хората.

[…] (4)Обработването на лични данни следва да е предназначено да служи на човечеството. Правото на защита на личните данни не е абсолютно право, а трябва да бъде разглеждано във връзка с функцията му в обществото и да бъде в равновесие с другите основни права съгласно принципа на пропорционалност. Настоящият регламент е съобразен с всички основни права и в него се спазват свободите и принципите, признати от Хартата, както са залегнали в Договорите, и по-специално зачитането на личния и семейния живот, дома и комуникациите, защитата на личните данни, свободата на мисълта, съвестта и религията, свободата на изразяване на мнение и свободата на информацията, свободата на стопанската инициатива, правото на ефективни правни средства за защита и на справедлив съдебен процес, както и културното, религиозното и езиковото многообразие.

[…] (7)Тези промени изискват силна и по-съгласувана рамка за защита на данните в [Европейския съюз], подкрепена от силно правоприлагане, като се има предвид значението на изграждането на доверие, което да позволи на цифровата икономика да се развива на вътрешния пазар. Физическите лица следва да имат контрол върху собствените си лични данни. Правната и практическата сигурност за физическите лица, икономическите оператори и публичните органи следва да бъдат засилени.

[…] (10)За да се гарантира последователно и високо ниво на защита на физическите лица, както и за да се премахнат препятствията пред движението на лични данни в Съюза, нивото на защита на правата и свободите на физическите лица във връзка с обработването на такива данни следва да бъде равностойно във всички държави членки. Следва да се гарантира последователно и еднородно прилагане в рамките на Съюза на правилата за защита на основните права и свободи на физическите лица във връзка с обработването на лични данни. По отношение на обработването на лични данни, необходимо за спазване на правно задължение, за изпълнение на задача от обществен интерес или при упражняване на официалните правомощия, предоставени на администратора на лични данни, на държавите членки следва да се позволи да запазят или да въведат национални разпоредби, които да уточняват по-нататък реда за прилагане на правилата на настоящия регламент. Наред с общите и хоризонтални актове относно защитата на данните, с които се прилага Директива 95/46/ЕО [на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (ОВ L 281, 1995 г., стр. 31; Специално издание на български език, 2007 г., глава 13, том 17, стр. 10)], държавите членки имат и специално секторно законодателство в области, които се нуждаят от по-специфични разпоредби. Настоящият регламент оставя и известна свобода на действие на държавите членки да конкретизират съдържащите се в него правила, включително по отношение на обработването на специални категории лични данни […] В този смисъл настоящият регламент не изключва право на държавите членки, което определя обстоятелствата за специални случаи на обработване, включително по-точно определяне на условията, при които обработването на лични данни е законосъобразно.

[…] (20)Макар настоящият регламент да се прилага, inter alia, спрямо дейностите на съдилищата и други съдебни органи, в правото на Съюза или в правото на държава членка могат да се определят конкретно операциите и процедурите по обработване на лични данни от съдилищата и другите съдебни органи. Компетентността на надзорните органи не следва да обхваща обработването на лични данни, когато съдилищата действат при изпълнение на своите съдебни функции, за да се гарантира независимостта на съдебната власт при изпълнението на съдебните ѝ задължения, включително вземането на решения. Следва да е възможно да се повери надзорът на такива операции по обработване на данни на специални органи в рамките на съдебната система на държавата членка, които по-конкретно следва да осигурят спазването на правилата на настоящия регламент, да повишават осведомеността сред членовете на съдебното съсловие за техните задължения по силата на настоящия регламент и да се занимават с жалбите във връзка с такива операции по обработване на данни.

[…] (39)Всяко обработване на лични данни следва да бъде законосъобразно и добросъвестно. За физическите лица следва да е прозрачно по какъв начин отнасящи се до тях лични данни се събират, използват, консултират или обработват по друг начин, както и в какъв обхват се извършва или ще се извършва обработването на данните. Принципът на прозрачност изисква всяка информация и комуникация във връзка с обработването на тези лични данни да бъде леснодостъпна и разбираема и да се използват ясни и недвусмислени формулировки. Този принцип[…] се отнася в особена степен за информацията, която получават субектите на данни за самоличността на администратора и целите на обработването, и за допълнителната информация, гарантираща добросъвестно и прозрачно обработване на данните по отношение на засегнатите физически лица и тяхното право да получат потвърждение и уведомление за съдържанието на свързани с тях лични данни, които се обработват. Физическите лица следва да бъдат информирани за рисковете, правилата, гаранциите и правата, свързани с обработването на лични данни, и за начините, по които да упражняват правата си по отношение на обработването. По-специално, конкретните цели, за които се обработват лични данни, следва да бъдат ясни и законни и определени към момента на събирането на личните данни. Личните данни следва да са адекватни, релевантни и ограничени до необходимото за целите, за които се обработват. Това налага по-специално да се гарантира, че срокът, за който личните данни се съхраняват, е ограничен до строг минимум. Личните данни следва да се обработват, единствено ако целта на обработването не може да бъде постигната в достатъчна степен с други средства. […]

[…] (41)Когато в настоящия регламент се прави позоваване на правно основание или законодателна мярка, това не налага непременно приемането на законодателен акт от парламент, без с това да се засягат изискванията съгласно конституционния ред на съответната държава членка. Такова правно основание или законодателна мярка обаче следва да бъдат ясни и точни и прилагането им следва да бъде предвидимо за лицата, за които се прилагат, в съответствие с практиката на Съда на Европейския съюз […] и на Европейския съд по правата на човека“.

4 Член 1 от ОРЗД е озаглавен „Предмет и цели“ и гласи:

„1.С настоящия регламент се определят правилата по отношение на защитата на физическите лица във връзка с обработването на лични данни, както и правилата по отношение на свободното движение на лични данни.

2.С настоящия регламент се защитават основни права и свободи на физическите лица, и по-специално тяхното право на защита на личните данни.

3.Свободното движение на лични данни в рамките на Съюза не се ограничава, нито се забранява по причини, свързани със защитата на физическите лица във връзка с обработването на лични данни“.

5 Член 2 от ОРЗД е озаглавен „Материален обхват“ и параграфи 1 и 2 от него предвиждат:

„1.Настоящият регламент се прилага за обработването на лични данни изцяло или частично с автоматични средства, както и за обработването с други средства на лични данни, които са част от регистър с лични данни или които са предназначени да съставляват част от регистър с лични данни.

2.Настоящият регламент не се прилага за обработването на лични данни:

а)в хода на дейности, които са извън приложното поле на правото на Съюза;

б)от държавите членки, когато извършват дейности, които попадат в приложното поле на дял V, глава 2 от ДЕС;

в)от физическо лице в хода на чисто лични или домашни занимания;

г)от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наложените наказания, включително предпазването от и предотвратяването на заплахи за обществената сигурност“.

6 Член 4 от ОРЗД е озаглавен „Определения“ и гласи:

„За целите на настоящия регламент:

[…] 2)„обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване;

[…] 6)„регистър с лични данни“ означава всеки структуриран набор от лични данни, достъпът до които се осъществява съгласно определени критерии, независимо дали е централизиран, децентрализиран или разпределен съгласно функционален или географски принцип;

[…]“.

7 Глава II от ОРЗД е озаглавена „Принципи“ и съдържа членове 5—11.

8 Член 5 от ОРЗД е озаглавен „Принципи, свързани с обработването на лични данни“ и параграф 1 от него предвижда:

„1.Личните данни са:

а)обработвани законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните („законосъобразност, добросъвестност и прозрачност“);

б)събирани за конкретни, изрично указани и легитимни цели и не се обработват по-нататък по начин, несъвместим с тези цели; по-нататъшното обработване за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели не се счита, съгласно член 89, параграф 1, за несъвместимо с първоначалните цели („ограничение на целите“);

в)подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват („свеждане на данните до минимум“);

[…] д)съхранявани във форма, която да позволява идентифицирането на субекта на данните за период, не по-дълъг от необходимото за целите, за които се обработват личните данни; личните данни могат да се съхраняват за по-дълги срокове, доколкото ще бъдат обработвани единствено за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели съгласно член 89, параграф 1, при условие че бъдат приложени подходящите технически и организационни мерки, предвидени в настоящия регламент с цел да бъдат гарантирани правата и свободите на субекта на данните („ограничение на съхранението“);

[…]“.

9 Член 6 от ОРЗД е озаглавен „Законосъобразност на обработването“ и гласи:

„1.Обработването е законосъобразно, само ако и доколкото е приложимо поне едно от следните условия:

а)субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели;

б)обработването е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор;

в)обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора;

г)обработването е необходимо, за да бъдат защитени жизненоважните интереси на субекта на данните или на друго физическо лице;

д)обработването е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора;

е)обработването е необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни, по-специално когато субектът на данните е дете.

Буква е) на първа алинея не се прилага за обработването, което се извършва от публични органи при изпълнението на техните задачи.

2.Държавите членки могат да запазят или въведат по-конкретни разпоредби, за да адаптират прилагането на правилата на настоящия регламент по отношение на обработването, необходимо за спазването на параграф 1, букви в) и д), като установят по-конкретно специални изисквания за обработването и други мерки, за да се гарантира законосъобразно и добросъвестно обработване, включително за други особени случаи на обработване на данни, предвидени в глава IX.

3.Основанието за обработването, посочено в параграф 1, букви в) и д), е установено от:

а)правото на Съюза или

б)правото на държавата членка, което се прилага спрямо администратора.

Целта на обработването се определя в това правно основание или доколкото се отнася до обработването по параграф 1, буква д), то трябва да е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора. Това правно основание може да включва конкретни разпоредби за адаптиране на прилагането на разпоредбите на настоящия регламент, inter alia общите условия, които определят законосъобразността на обработването от администратора, видовете данни, които подлежат на обработване, съответните субекти на данни; образуванията, пред които могат да бъдат разкривани лични данни, и целите, за които се разкриват; ограниченията по отношение на целите на разкриването; периодът на съхранение и операциите и процедурите за обработване, включително мерки за гарантиране на законосъобразното и добросъвестно обработване, като тези за други конкретни случаи на обработване съгласно предвиденото в глава IX. Правото на Съюза или правото на държавата членка се съобразява с обществения интерес и е пропорционално на преследваната легитимна цел.

4.Когато обработването за други цели, различни от тези, за които първоначално са били събрани личните данни, не се извършва въз основа на съгласието на субекта на данните или на правото на Съюза или правото на държава членка, което представлява необходима и пропорционална мярка в едно демократично общество за гарантиране на целите по член 23, параграф 1, администраторът, за да се увери дали обработването за други цели е съвместимо с първоначалната цел, за която са били събрани личните данни, inter alia, взема под внимание:

а)всяка връзка между целите, за които са били събрани личните данни, и целите на предвиденото по-нататъшно обработване;

б)контекста, в който са били събрани личните данни, по-специално във връзка с отношенията между субекта на данните и администратора;

в)естеството на личните данни, по-специално дали се обработват специални категории лични данни съгласно член 9 или се обработват лични данни, отнасящи се до присъди и нарушения, съгласно член 10;

г)възможните последствия от предвиденото по-нататъшно обработване за субектите на данните;

д)наличието на подходящи гаранции, които могат да включват криптиране или псевдонимизация“.

10 Член 9 от ОРЗД е озаглавен „Обработване на специални категории лични данни“ и предвижда:

„1.Забранява се обработването на лични данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения или членство в синдикални организации, както и обработването на генетични данни, биометрични данни за целите […] на [уникалната идентификация] на физическо лице, данни за здравословното състояние или данни за сексуалния живот или сексуалната ориентация на физическото лице.

2.Параграф 1 не се прилага, ако е налице едно от следните условия:

[…] е)обработването е необходимо с цел установяване, упражняване или защита на правни претенции или винаги, когато съдилищата действат в качеството си на правораздаващи органи;

[…] 3.Личните данни, посочени в параграф 1, могат да бъдат обработвани за целите, посочени в параграф 2, буква з), когато въпросните данни се обработват от или под ръководството на професионален работник, обвързан от задължението за професионална тайна по силата на правото на Съюза или правото на държавата членка или правилата, установени от националните компетентни органи, или от друго лице, също обвързано от задължение за тайна по силата на правото на Съюза или правото на държавата членка или правилата, установени от националните компетентни органи.

4.Държавите членки могат да запазят или да въведат допълнителни условия, включително и ограничения, по отношение на обработването на генетични данни, биометрични данни или данни за здравословното състояние“.

11 Глава III от ОРЗД е озаглавена „Права на субекта на данни“ и съдържа членове 12—23.

12 Член 13 от ОРЗД е озаглавен „Информация, предоставяна при събиране на лични данни от субекта на данните“ и гласи:

„1.Когато лични данни, свързани с даден субект на данни, се събират от субекта на данните, в момента на получаване на личните данни администраторът предоставя на субекта на данните цялата посочена по-долу информация:

а)данните, които идентифицират администратора, и координатите за връзка с него и, когато е приложимо, тези на представителя на администратора;

б)координатите за връзка с длъжностното лице по защита на данните, когато е приложимо;

в)целите на обработването, за което личните данни са предназначени, както и правното основание за обработването;

г)когато обработването се извършва въз основа на член 6, параграф 1, буква е), законните интереси, преследвани от администратора или от трета страна;

д)получателите или категориите получатели на личните данни, ако има такива;

е)когато е приложимо, намерението на администратора да предаде личните данни на трета държава или на международна организация, както и наличието или отсъствието на решение на Комисията относно адекватното ниво на защита или в случай на предаване на данни съгласно посоченото в членове 46 или 47, или член 49, параграф 1, втора алинея позоваване на подходящите или приложимите гаранции и средствата за получаване на копие от тях или на информация къде са налични.

2.Освен информацията, посочена в параграф 1, в момента на получаване на личните данни администраторът предоставя на субекта на данните следната допълнителна информация, която е необходима за осигуряване на добросъвестно и прозрачно обработване:

а)срока, за който ще се съхраняват личните данни, а ако това е невъзможно, критериите, използвани за определяне на този срок;

б)съществуването на право да се изиска от администратора достъп до, коригиране или изтриване на лични данни или ограничаване на обработването на лични данни, свързани със субекта на данните, или право да се направи възражение срещу обработването, както и правото на преносимост на данните;

в)когато обработването се основава на член 6, параграф 1, буква а) или член 9, параграф 2, буква а), съществуването на право на оттегляне на съгласието по всяко време, без да се засяга законосъобразността на обработването въз основа на съгласие, преди то да бъде оттеглено;

г)правото на жалба до надзорен орган;

д)дали предоставянето на лични данни е [законоустановено] или договорно изискване, или изискване, необходимо за сключването на договор, както и дали субектът на данните е длъжен да предостави личните данни и евентуалните последствия, ако тези данни не бъдат предоставени;

е)съществуването на автоматизирано вземане на решения, включително профилирането, посочено в член 22, параграфи 1 и 4, и поне в тези случаи съществена информация относно използваната логика, както и значението и предвидените последствия от това обработване за субекта на данните.

3.Когато администраторът възнамерява по-нататък да обработва личните данни за цел, различна от тази, за която са събрани, той предоставя на субекта на данните преди това по-нататъшно обработване информация за тази друга цел и всякаква друга необходима информация, както е посочено в параграф 2.

4.Параграфи 1, 2 и 3 не се прилагат, когато и доколкото субектът на данните вече разполага с информацията“.

13 Член 17 от ОРЗД е озаглавен „Право на изтриване (право „да бъдеш забравен“)“ и предвижда:

„1.Субектът на данни има правото да поиска от администратора изтриване на свързаните с него лични данни без ненужно забавяне, а администраторът има задължението да изтрие без ненужно забавяне личните данни, когато е приложимо някое от посочените по-долу основания:

[…] б)субектът на данните оттегля своето съгласие, върху което се основава обработването на данните съгласно член 6, параграф 1, буква а) или член 9, параграф 2, буква а), и няма друго правно основание за обработването;

[…] г)личните данни са били обработвани незаконосъобразно;

[…]“.

3.Параграфи 1 и 2 не се прилагат, доколкото обработването е необходимо:

[…] д)за установяването, упражняването или защитата на правни претенции“.

14 Член 23 от ОРЗД е озаглавен „Ограничения“ и гласи:

„1.В правото на Съюза или правото на държава членка, което се прилага спрямо администратора или обработващия лични данни, чрез законодателна мярка може да се ограничи обхватът на задълженията и правата, предвидени в членове 12—22 и в член 34, както и в член 5, доколкото неговите разпоредби съответстват на правата и задълженията, предвидени в членове 12—22, когато подобно ограничение е съобразено със същността на основните права и свободи и представлява необходима и пропорционална мярка в едно демократично общество с цел да се гарантира[т]:

[…] д)други важни цели от широк обществен интерес за Съюза или за държава членка […]

е)защитата на независимостта на съдебната власт и съдебните производства;

[…] и)защитата на субекта на данните или на правата и свободите на други лица;

й)изпълнението по гражданскоправни искове.

2.По-специално, всяка законодателна мярка, посочена в параграф 1, съдържа специални разпоредби най-малко, където е целесъобразно, по отношение на:

а)целите на обработването или категориите обработване;

б)категориите лични данни;

в)обхвата на въведените ограничения;

г)гаранциите за предотвратяване на злоупотреби или незаконен достъп или предаване;

д)спецификацията на администратора или категориите администратори;

е)периодите на съхранение и приложимите гаранции, като се вземат предвид естеството, обхватът и целите на обработването или категориите обработване;

ж)рисковете за правата и свободите на субектите на данни; и

з)правото на субектите на данни да бъдат информирани за ограничаването, освен ако това би било в разрез с целта на ограничаването“.

Германското право

Основен закон на Федерална република Германия

15 Член 92 от Grundgesetz für die Bundesrepublik Deutschland (Основен закон на Федерална република Германия) от 23 май 1949 г. (BGBl. 1949 I, стр. 1) гласи:

„Съдебната власт е поверена на съдиите; тя се осъществява от Bundesverfassungsgericht (Федерален конституционен съд), от предвидените в настоящия основен закон федерални съдилища и от съдилищата на провинциите“.

Граждански процесуален кодекс

16 Член 138 от Zivilprozessordnung (Граждански процесуален кодекс) е озаглавен „Задължение за излагане на фактите: задължение да се изнася само истината“ и в приложимата си към спора в главното производство редакция гласи:

„(1)Страните излагат фактическите обстоятелства пълно и правдиво.

(2)Всяка страна взема становище по твърдените от противната страна факти.

(3)Фактите, които не са изрично оспорени, трябва да се считат за признати, освен ако намерението те да бъдат оспорени, не е видно от другите изявления на страната.

(4)Страната може да се позовава на незнание само относно факти, които не са нито предприети от нея действия, нито обект на собственото ѝ възприятие“.

17 Член 286 от този кодекс е озаглавен „Преценка на доказателствата по вътрешно убеждение“ и предвижда:

„(1)Въз основа на всичко изложено в хода на устните състезания и въз основа на евентуално събраните доказателства съдът преценява по вътрешно убеждение дали дадено фактическо твърдение е истинно или не. В решението се посочват изводите, формирали убеждението на съда.

(2)Съдът е обвързан от законовите правила относно доказването само в случаите, посочени в настоящия закон“.

18 Член 355 от посочения кодекс е озаглавен „Непосредственост при събирането на доказателствата“ и има следния текст:

„(1)Доказателствата се събират от съда, разглеждащ делото. Член на този съд или друг съд може да събира доказателства само в случаите, предвидени в настоящия закон.

(2)Определението, с което се допуска едно или друго доказателствено средство, не подлежи на обжалване“.

Федерален закон за защита на данните

19 Член 3 от Bundesdatenschutzgesetz (Федерален закон за защита на данните) от 30 юни 2017 г. (BGBl. 2017 I, стр. 2097) е озаглавен „Обработване на лични данни от публичните органи“ и в приложимата си към спора в главното производство редакция гласи:

„Обработването на лични данни от публичен орган е разрешено, ако е необходимо за изпълнението на задача от компетентността на администратора или за упражняването на предоставените му официални правомощия.

[…]“.

20 Член 26 от Федералния закон за защита на данните е озаглавен „Обработване на лични данни за целите на трудово или служебно правоотношение“ и в приложимата си към спора в главното производство редакция предвижда:

„(1)Лични данни на наетите лица могат да се обработват за целите на трудово или служебно правоотношение, когато това е необходимо за учредяването на трудово или служебно правоотношение, а след учредяването на такова — за изпълнението или прекратяването му, или за упражняването на правата или изпълнението на задълженията, които произтичат от закон или от колективен трудов договор на равнище отрасъл, предприятие или администрация (колективни споразумения) и се отнасят до представляването на интересите на наетите лица. За разкриването на престъпления лични данни на наетите лица могат да се обработват само когато надлежно документирани обстоятелства дават основание да се подозира, че субектът на данните е извършил престъпление в рамките на трудовото или служебното правоотношение, обработването е необходимо за разкриването на престъплението и не надделява законният интерес на наетото лице да се изключи обработването, като естеството и обхватът на обработването трябва да са пропорционални на преследваната с него цел.

(2)Когато обработването на лични данни на наетите лица се извършва въз основа на съгласие, за да се прецени дали съгласието е дадено свободно, по-специално се вземат предвид подчиненото положение на наетото лице в трудовото или служебното правоотношение и обстоятелствата, при които е дадено съгласието. Налице е свободно съгласие например когато наетото лице получава правна или икономическа облага или ако интересите на работодателя и наетото лице съвпадат. Съгласието се дава в писмена или електронна форма, освен ако поради особени обстоятелства е необходима друга форма. Работодателят е длъжен писмено да уведоми наетото лице за целта на обработването на данните и за правото му да оттегли съгласието си в съответствие с член 7, параграф 3 от [ОРЗД].

[…] (5)Администраторът взема подходящи мерки, за да гарантира спазването по-специално на залегналите в член 5 от [ОРЗД] принципи за обработването на лични данни.

(6)Правата на участие на представителните организации на работниците и служителите не се засягат.

(7)Параграфи 1—6 се прилагат и когато лични данни, включително специални категории лични данни на наетите лица, се обработват, без да се съхраняват или да е предвидено да се съхраняват в регистър на лични данни.

(8)„Наети лица“ по смисъла на настоящия закон са:

„1.работниците и служителите, включително наетите чрез агенция за временна заетост работници и служители в отношенията им с предприятието ползвател;

[…]“.

Спорът в главното производство и преюдициалните въпроси

21 NTH, предприятие за отопление и климатизация, наема на работа EM, която е била омъжена за неговия управител.

22 На 31 октомври 2019 г. трудовото правоотношение между NTH и EM е прекратено. До 26 юни 2022 г. обаче, когато се разделя с управителя на NTH, EM има достъп до помещенията на NTH и продължава да използва намиращите се в тях компютри.

23 Непосредствено след тази раздяла NTH, действайки главно чрез служителя си F, който е син на ЕМ и управителя на предприятието, установява, че посредством платформата за онлайн продажби eBay EM е продала за своя сметка и на обща препродажна цена от 13 217,09 евро имущество, за което NTH твърди, че е негова собственост. Предвид покупната цена на това имущество и размера на административните разходи, направени поради необходимостта то да бъде заменено, общата сума на претърпяната от NTH вреда съответно възлизала на 46 567,91 евро.

24 EM отрича да е продала въпросното имущество без знанието на NTH. Всъщност ставало въпрос основно за върнати от клиенти дефектни или остарели вещи, които NTH не можело да използва и които следователно вече нямали стойност за него. NTH ги преотстъпило безвъзмездно на EM, която ги продала, за да покрие разходите на домакинството си с управителя на NTH.

25 Landesarbeitsgericht Niedersachsen (Областен трудов съд Долна Саксония, Германия), който е запитващата юрисдикция, посочва, че NTH е узнало за извършените от EM продажби, сдобивайки се с достъп до личния ѝ профил на платформата за онлайн продажби eBay. За целта служителят F. е използвал потребителското име и паролата на EM за тази платформа.

26 Що се отнася до това откъде този служител е имал въпросното потребителско име и въпросната парола, управителят на NTH твърди, че служителят F. е узнал как EM е използвала платформата, от историята на браузъра на използвания от нея служебен компютър, а паролата ѝ — от създадената на сървъра му „семейна папка“. От своя страна EM твърди, че не е запазвала паролата си в пространството за съхранение на компютъра на NTH. За сметка на това тя поддържа, че управителят на NTH е бил декларирал, че е изгубил регистрирания на името на предприятието, но използван от нея мобилен телефон, за да поиска нова SIM карта (Subscriber Identity Module — модул за идентификация на абоната) от съответния телефонен оператор, което му позволило да използва телефонния номер за този телефон, за да промени паролата за личния ѝ профил в същата платформа и да получи достъп до същия.

27 Според запитващата юрисдикция не е изключено NTH да е събрало незаконосъобразно данните, чрез които е узнало за осъществените от EM продажби на платформата за онлайн продажби eBay.

28 Така или иначе тази юрисдикция посочва, че е склонна да приеме, че данните, които NTH е събрало, представляват обработване на данни по смисъла на ОРЗД.

29 Според посочената юрисдикция обаче от практиката на Съда не става ясно, на първо място, дали правилата на германското процесуално право са достатъчно точни, за да отговарят на изискванията на ОРЗД, по-специално що се отнася до критериите, приложими за целите на преценката при какви обстоятелства използването на такива данни е забранено, на следващо място, дали германските съдилища могат да се позовават на член 17, параграф 3, буква д) от ОРЗД, за да обработват тези данни при изпълнението на съдебните си функции, и на последно място, кои са критериите, по които следва да се преценява обективно дали извършеното при изпълнението на тези функции обработване на данни е допустимо, по-специално когато, както в случая, е възможно данните да са били незаконосъобразно събрани от някоя от страните.

30 По-конкретно, запитващата юрисдикция отбелязва, на първо място, че съгласно член 6, параграф 3, първа алинея от ОРЗД посоченото в параграф 1, първа алинея, букви в) и д) от този член основание за обработването се определя, при липсата на съюзни разпоредби, от приложимото спрямо администратора право на държавата членка, което трябва — според даденото от тази юрисдикция тълкувание на член 6, параграф 3, втора алинея — да определи целите на въпросното обработване. Освен това според посочената юрисдикция от практиката на Съда, установена с решение от 24 февруари 2022 г., Valsts ieņēmumu dienests (Обработка на лични данни за данъчни цели) (C‑175/20, EU:C:2022:124, т. 83), следва, че за да изпълни изискването за пропорционалност, чийто конкретен израз е член 5, параграф 1, буква в) от ОРЗД, правната уредба, която е правно основание за обработването, трябва да предвижда ясни и точни правила, уреждащи обхвата и прилагането на съответната мярка и установяващи минимални изисквания, и в частност да посочва обстоятелствата и условията, при които може да се вземе мярка, предвиждаща такова обработване.

31 Запитващата юрисдикция съответно не е сигурна как трябва да се тълкува член 6, параграф 3, втора алинея от ОРЗД: в смисъл че когато при изпълнение на съдебните си функции съдът издава акт, предполагащ намеса в основните права на дадена страна, и извършва свързано с него обработване на данни, е достатъчно това обработване да е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, или в смисъл че с оглед по-специално на член 8, параграф 2 от Хартата е нужно правното основание на въпросното обработване да съдържа уточнения относно обстоятелствата и условията, при които съдът може да използва предоставените от страните данни.

32 В случай че Съдът стигне до извода, че извършваната от съдилищата дейност по обработване на данни, водеща до нарушения на основни права, трябва да се основава на законови разпоредби, съдържащи такива уточнения, запитващата юрисдикция иска да разбере дали национални правила като процесните отговарят на изискванията на ОРЗД. Всъщност тези правила не съдържат указания относно условията, които трябва да бъдат изпълнени, или критериите, които трябва да бъдат претеглени, за да се установи дали е допустимо съдът да вземе предвид фактите, на които се позовава дадена страна, или да приеме доказателствата, представени от нея. По-конкретно, запитващата юрисдикция си задава въпроса какво отражение има липсата на разпоредби, уреждащи случаите, когато страната е получила незаконно личните данни, на които се позовава, или когато се опира на доказателства, които е получила, използвайки лични данни незаконосъобразно. Тази юрисдикция си задава и въпроса какво е значението на факта, че в германското право уреждащите използването на такива данни правила се извеждат единствено от съдебната практика.

33 На второ място, запитващата юрисдикция отбелязва, че в практиката си Bundesarbeitsgericht (Федерален трудов съд, Германия) е посочил, че от член 17 от ОРЗД недвусмислено следва, че обработването на лични данни от съд е допустимо дори ако събирането на такива данни, извършено от една от страните в досъдебна или извънсъдебна фаза, се окаже незаконосъобразно съгласно ОРЗД или съответното национално право в областта на защитата на данните, и следователно не е необходимо да се отправя преюдициално запитване до Съда.

34 Пак според Bundesarbeitsgericht (Федерален трудов съд) член 17, параграф 3, буква д) от ОРЗД действително предвижда изключение от правото на изтриване на незаконосъобразно обработените данни, ако това обработване е „необходимо“ за установяването, упражняването или защитата на правни претенции, но същевременно тази разпоредба се отнася само до правото на изтриване.

35 При всяко положение запитващата юрисдикция счита, че има неяснота по въпроса дали член 6, параграф 1, буква д) или член 9, параграф 2, буква е) от ОРЗД са основанието за обработването на лични данни от страна на националните съдилища при изпълнение на съдебните им функции, или тези съдилища могат да се позоват и на член 17, параграф 3, буква д) от ОРЗД.

36 В случай че Съдът стигне до извода, че член 17, параграф 3, буква д) от ОРЗД може да представлява такова основание за обработването, извършвано от националните съдилища при изпълнение на съдебните им функции, запитващата юрисдикция иска да разбере как следва да се прилага тази разпоредба и дали от нея може да се изведе забрана за използването на данните, например когато първоначалното им събиране не е било извършено по прикрит начин и е било използвано за доказването на умишлено нарушение.

37 На трето място, запитващата юрисдикция си задава въпроса кои са материалноправните критерии, които трябва да уреждат извършваните при изпълнение на съдебни функции дейности по обработване на данни.

38 По-специално тази юрисдикция иска да разбере, първо, дали в случай на незаконосъобразно получени данни, чиято автентичност и вярност сами по себе си не се оспорват, националните съдилища трябва да извършат проверка за пропорционалност и внимателно претегляне на засегнатите интереси. Тя си задава и въпроса трябва ли тези съдилища да преценяват дали тази хипотеза следва да се разграничи от хипотезата, при която другата страна оспорва както начина на получаване на съответните данни, определяйки го като незаконосъобразен, така и тяхната автентичност и/или вярност.

39 Второ, запитващата юрисдикция подчертава, че към момента, в който за целите на главното производство NTH е взело някои от съхраняваните в информационната му система данни, EM отдавна вече не използвала тази система. Освен това тази юрисдикция отбелязва, че член 5, параграф 1, буква д) от ОРЗД предвижда по същество, че личните данни могат да се съхраняват за период, не по-дълъг от необходимия за целите, за които се обработват. Поради това тя иска да разбере какви са последиците за прилагането на тази разпоредба от това, че тези данни са били събрани отдавна и съответно са били съхранявани дълъг период от време, и в крайна сметка от това, че са съществували договорни задължения за изтриване, които не са били спазени.

40 Трето, запитващата юрисдикция иска да установи дали е достатъчно дадена страна да се позове на общия интерес от доказване, или дали правото на Съюза не изисква да се вземат предвид други аспекти, сочещи, че интересът от получаването на доказателства заслужава защита въпреки посегателството върху правата на другата страна.

41 Четвърто, тази юрисдикция иска да разбере дали в случай като разглеждания в главното производство работодателят ищец може да се позове на член 47, параграф 2 от Хартата, за да обоснове извършените от него събиране и обработване на лични данни, както и какви последици следва да се изведат от това, че този работодател може да не е изпълнил задълженията си за предоставяне на информация по член 13 от ОРЗД.

42 Пето, посочената юрисдикция отбелязва, че в точка 55 от решение от 2 март 2023 г., Norra Stockholm Bygg (C‑268/21, EU:C:2023:145), Съдът е постановил, че за да вземе предвид член 5, параграф 1 от ОРЗД, и в частност принципа на „свеждане на данните до минимум“, съдържащ се в буква в) от тази разпоредба, националният съд трябва да определи дали разкриването на лични данни е подходящо и релевантно за гарантирането на целта, преследвана с приложимите разпоредби на националното право, и дали тази цел не може да бъде постигната чрез доказателствени средства, които засягат в по-малка степен защитата на личните данни на голям брой трети лица, като например изслушването на избрани свидетели. Поради това тя се пита дали това разрешение е приложимо в случая, след като, например, биха могли да бъдат засегнати данните на купуващите чрез платформата за онлайн продажби eBay.

43 При тези обстоятелства Landesarbeitsgericht Niedersachsen (Областен трудов съд Долна Саксония) решава да спре производството и да постави на Съда следните преюдициални въпроси:

„1)В случай че при изпълнението на функциите си съдът извършва самостоятелна дейност по обработване, която попада в обхвата на член 6, параграф 1, буква д) и член 6, параграф 3 от ОРЗД, отговарят ли разпоредбите на член 92 от Основния закон [на Федерална република Германия] и на членове 138, 286, 355 и сл. от Гражданския процесуален кодекс) [в приложимата към спора по главното производство редакция] на изискването за законоустановеност, което следва от член 8, параграф 2 и член 52, параграф 1 от [Хартата] и от член 5, параграф 1, буква в) от ОРЗД, ако дейността по обработване при изпълнението на съдебни функции е свързана с намеса в основни права на една от страните или на трето лице?

2)а)Може ли при обработването на данни, и по-специално на лични данни, национален съд да се позове на обстоятелството, че това обработване му е разрешено на основание член 17, параграф 3, буква д) от ОРЗД, или единственото основание за дейност по обработване при изпълнението на съдебни функции са членове 6 и 9 от ОРЗД?

б)Ако член 17, параграф 3, буква д) от ОРЗД по принцип може да бъде правно основание за дейност по обработване при изпълнението на съдебни функции,

aa)важи ли това и в случаите, в които първоначалното събиране на тези данни не е извършено по законосъобразен начин от едната страна в производството или от трето лице?

бб)води ли, в съответствие с общо приложимия принцип на добросъвестност (член 5, параграф 1, буква а) от ОРЗД), обработването на първоначално незаконосъобразно събрани данни до ограничаване, чрез вторичното право, на обработването при изпълнението на съдебни функции в смисъл, че член 17, параграф 3, буква д) от ОРЗД е приложим само при определени условия или в определени граници?

вв)трябва ли разпоредбата на член 17, параграф 3, буква д) от ОРЗД да се разбира в смисъл, че е изключена забраната съдът да използва първоначално незаконосъобразно получени данни — т.е. че тези данни трябва да се използват от съда — винаги, когато първоначалното събиране на данни не е извършено по прикрит начин и е използвано, за да се докаже умишлено неизпълнение на задължения?

3)Независимо дали обработването на данни при изпълнението на съдебни функции попада в обхвата на член 17, параграф 3, буква д) от ОРЗД или на член 6, параграф 1, първа алинея, буква в), респ. д), член 6, параграф 3 и член 9 от ОРЗД, или на други разпоредби от правото на Съюза:

а)трябва ли необходимостта съдилищата да извършват цялостна проверка на пропорционалността и претегляне на критериите, да се изведе от предвидените в правото за защита на данните принципи на необходимост и свеждане на данните до минимум съгласно член 52, параграф 1, второ изречение от Хартата и член 5, параграф 1, буква а) от ОРЗД, по-специално по отношение на обработването на данни, които първоначално са били събирани или съхранявани незаконосъобразно?

б)Какви последици има член 5, параграф 1, буква д) от ОРЗД, който предвижда, че лични данни могат да се съхраняват за период, не по-дълъг от необходимия за целите, за които се обработват, върху последващата дейност по обработване на данни, извършвана при изпълнението на съдебни функции, и по-специално в случаите, когато:

–първоначалното събиране на данни е обслужвало други цели, или

–първоначалното незаконосъобразно събиране на данни е извършено отдавна, или

–незаконосъобразното съхранение е продължило дълго време, или

–незаконосъобразното събиране на данни се отнася до данни, които са били съхранявани — евентуално незаконосъобразно — преди дълго време, или

–органът или лицето, който/което събира или обработва данните, се е задължил/о едностранно или по силата на индивидуален или колективен трудов договор да ги изтрие в определен срок, но не е направил/о това?

в)Следва ли от правото на Съюза, и по-специално от член 8 от Хартата и от член 6, параграф 1, първа алинея, буква в), респ. д), член 6, параграф 3 и член 9 от ОРЗД, че националният съд може да използва получени в нарушение на правата на личността доказателства само ако страната, която носи тежестта на доказване, има оправдан интерес, който надхвърля обикновения интерес от доказване, или правото на Съюза не предвижда такива изисквания и правилата в това отношение съответно са въпрос на националния правен ред?

г)Следва ли от член 47, втора алинея от Хартата — който гарантира правото на ефективни правни средства за защита, и по-специално на справедлив съдебен процес, съгласно което страните в гражданското производство по принцип трябва да са в състояние да обосноват в достатъчна степен целта на търсената правна защита и да представят съответни доказателства — че обработването от съда на незаконосъобразно събрани от работодателя лични данни на служителя ищец може да се приеме в тесен смисъл за нецелесъобразно и непропорционално само ако се окаже, че събирането на данни е от гледна точка на правото на Съюза тежко нарушение на членове 7 и 8 от Хартата и ако налагането на работодателя на други възможни санкции (напр. на задължение за обезщетение по член 82 от ОРЗД или на административни наказания „глоба“ или „имуществена санкция“ по член 83 от ОРЗД) е напълно недостатъчно, или обработването може да бъде нецелесъобразно и непропорционално дори и при наличие на други, не толкова тежки нарушения на разпоредбите за защита на данните при първоначалното събиране на данни?

д)Трябва ли, когато решава дали в дейността по обработване на данни при изпълнението на съдебните си функции да използва първоначално събраните от едната страна или от трето лице данни, съдът да вземе предвид дали лицето, събрало данните, е спазило задълженията си за предоставяне на информация по член 13 от ОРЗД? Ако отговорът на този въпрос е утвърдителен, при какви условия и по какви критерии съдът трябва да вземе предвид това?

е)Включва ли и личните данни на трети лица изискването при обработването на лични данни съдът да спазва ОРЗД и Хартата? Как евентуално нарушение на разпоредби за защита на данните, извършено по отношение на трети лица при първоначалното събиране на данни, се отразява на последващото обработване на данни при изпълнението на съдебни функции в спор между две страни? Може ли едната от страните да се позове на нарушение, което е извършено по отношение не на нея, а на трети лица, или това не е възможно?“.

По преюдициалните въпроси

По допустимостта

44 Като начало следва да се припомни, че съгласно постоянната съдебна практика въпросите, които са свързани с тълкуването на правото на Съюза и са поставени от националния съд в нормативната и фактическа рамка, която той определя съгласно своите правомощия и проверката на чиято точност не е задача на Съда, действително се ползват с презумпция за релевантност, но същевременно са недопустими, ако е съвсем очевидно, че исканото тълкуване на правото на Съюза няма никаква връзка с действителността или с предмета на спора в главното производство, ако проблемът е от хипотетично естество или пък ако Съдът не разполага с необходимите данни от фактическа и правна страна, за да бъде полезен с отговора на поставените му въпроси (вж. в този смисъл решение от 18 юни 2024 г., Bundesrepublik Deutschland (Действие на решение за предоставяне на статут на бежанец), C‑753/22, EU:C:2024:524, т. 44 и цитираната съдебна практика).

45 В случая следва да се отбележи, че във въпросите си запитващата юрисдикция неколкократно посочва член 9 от ОРЗД, който се отнася до някои специални категории лични данни, а именно данните, които разкриват расов или етнически произход, политически възгледи, религиозни или философски убеждения или членство в синдикални организации, както и генетичните и биометричните данни, доколкото те се обработват за целите на уникалната идентификация на физическо лице, а също и данните за здравословното състояние или за сексуалния живот или сексуалната ориентация на физическото лице.

46 Като се има предвид обаче, че от преписката, с която разполага Съдът, е видно, че спорът в главното производство не се отнася до такива данни, отправените от запитващата юрисдикция преюдициални въпроси трябва да се считат за недопустими, доколкото се отнасят до тълкуването на член 9 от ОРЗД.

По първия въпрос

47 Като начало следва да се отбележи, че в поставения въпрос се изхожда от постановката, че обработването на лични данни, извършвано от съда при изпълнение на съдебните му функции, може да се основава само на член 6, параграф 1, буква д) от ОРЗД, отнасящ се до обработването на лични данни, необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора.

48 От една страна, следва да се отбележи, че в някои случаи за едно и също обработване могат да са налице няколко алтернативни условия за законосъобразност.

49 От друга страна, макар някои извършвани от съдилищата дейности по обработване на лични данни да могат да се считат за необходими за изпълнението на такава задача от обществен интерес или при упражняването на такива правомощия, специфичното за обработването на лични данни, което съдът може да извършва, както по делото в главното производство, по повод на доказателствени искания на страните, е че по принцип то е необходимо за спазването на законово задължение на този съд, а именно да се произнесе по допустимостта на тези доказателствени искания, и ако ги приеме за допустими с оглед на предвидените в националното право за целта критерии — да ги вземе предвид при постановяване на решението си.

50 Ето защо Съдът смята, че за да бъде полезен с отговора си на запитващата юрисдикция, следва да анализира различните въпроси, отправени му по настоящото дело, по-скоро от гледна точка на член 6, параграф 1, буква в) от ОРЗД, а не от гледна точка на член 6, параграф 1, буква д) от този регламент.

51 Съответно следва да се приеме, че с първия въпрос запитващата юрисдикция по същество иска да се установи дали член 6, параграф 1, първа алинея, буква в) и параграф 3 от ОРЗД във връзка с член 8, параграф 2 и член 52 от Хартата трябва да се тълкува в смисъл, че не допуска национална правна уредба, която, що се отнася до използването на лични данни при извършваните от съдилищата преценка на фактите и събиране на доказателствата, просто предвижда, че страните следва да представят подробни и отговарящи на действителността факти, а съдилищата — да ги вземат изцяло под внимание, преди евентуално да ги преценяват, без да посочва обстоятелствата и условията, при които изнесените от страните факти и доказателства, съдържащи лични данни, могат да бъдат използвани от съдилищата.

52 На първо място, следва да се припомни, че несъмнено при сегашното състояние на правото на Съюза само националното право може да определя правилата за допускане и преценка на фактите и доказателствата (вж. в този смисъл решения от 6 октомври 2020 г., La Quadrature du Net и др., C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 223, и от 5 април 2022 г., Commissioner of An Garda Síochána и др., C‑140/20, EU:C:2022:258, т. 127).

53 При все това съгласно член 2, параграф 1 от ОРЗД последният се прилага — извън някои хипотези, предвидени в член 2, параграфи 2 и 3 от този регламент — за всяко „обработване[…] на лични данни изцяло или частично с автоматични средства, както и за обработването с други средства на лични данни, които са част от регистър с лични данни или които са предназначени да съставляват част от регистър с лични данни“. Като се има предвид обаче, че извършваното от съдилища и други съдебни органи обработване не е сред хипотезите по този член 2, параграфи 2 и 3, посоченият регламент следователно може да се прилага, както впрочем се потвърждава в съображение 20 от него, към извършваното от тях обработване.

54 В това отношение член 4, точка 2 от ОРЗД дефинира понятието „обработване“ като „всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване“.

55 Употребата по този повод на израза „всяка операция“ свидетелства за волята на законодателя на Съюза да придаде широк обхват на понятието „обработване“ (решение от 5 декември 2023 г., Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, т. 50 и цитираната съдебна практика).

56 Несъмнено, за да попадне в приложното поле на ОРЗД, е необходимо в съответствие с член 2, параграф 1 от този регламент обработването на лични данни да се извършва и изцяло или частично с автоматични средства или, когато, ако не се извършва с такива средства, съответните данни да са част или да са предназначени да съставляват част от регистър с лични данни.

57 От една страна, обработването на лични данни трябва да се счита за изцяло или частично извършвано с автоматични средства по смисъла на тази разпоредба, когато включва технически операции без никаква човешка намеса (вж. в този смисъл и по аналогия решение от 6 ноември 2003 г., Lindqvist, C‑101/01, EU:C:2003:596, т. 26).

58 От друга страна, член 4, точка 6 от ОРЗД дефинира понятието „регистър с лични данни“ като всеки структуриран набор от лични данни, достъпът до които се осъществява съгласно определени критерии, независимо дали е централизиран, децентрализиран или разпределен съгласно функционален или географски принцип.

59 При все това, макар допустимостта на доказателствените искания да е извън обхвата на ОРЗД, трябва да се счита, че съдът извършва обработване на лични данни по смисъла на този регламент, по-специално когато приобщава документи, съдържащи лични данни, към преписка като процесната, доколкото тя попада в обхвата на понятието „регистър с лични данни“ по смисъла на член 2, параграф 1 и член 4, точка 6 от ОРЗД.

60 Също така, когато получава такива документи в дигитална форма и прави справки със, извлича, съхранява или използва тези данни, съдът извършва обработване по смисъла на ОРЗД.

61 По-конкретно, предвид това, че всяко предаване на данни към администратор, различен от предходния, предполага съответстващо действие по събиране от негова страна (вж. в този смисъл решение от 30 април 2024 г., La Quadrature du Net и др. (Лични данни и борба срещу фалшифицирането), C‑470/21, EU:C:2024:370, т. 62), трябва да се приеме, че съдът извършва такова действие по събиране, когато въз основа на дигитални документи, предадени му от една от страните, събира определени лични данни, съдържащи се в тези документи.

62 В случая задача на запитващата юрисдикция е да провери с оглед на изложените по-горе съображения дали процесното обработване на лични данни може да се счита за попадащо в приложното поле на ОРЗД, било защото се отнася до данни, които съобразно определени критерии са достъпни чрез процесната преписка, било защото изцяло или частично се извършва с автоматични средства, какъвто по-специално е случаят, когато предадените доказателства са били в дигитална форма и въпросното обработване се състои в справки, извличане, съхраняване или използване на лични данни въз основа на тези доказателства.

63 На второ място, следва да се отбележи, че преследваната с ОРЗД цел, която произтича от член 1 и от съображения 1, 2, 7 и 10 от него, е да се гарантира висока степен на защита на основните права и свободи на физическите лица, и по-специално на закрепеното в член 8, параграф 1 от Хартата и в член 16, параграф 1 ДФЕС право на личен живот във връзка с обработването на лични данни (вж. в този смисъл решение от 4 октомври 2024 г., Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:858, т. 26 и цитираната съдебна практика).

64 В съответствие с тази цел, за да бъде законосъобразно, всяко попадащо в приложното поле на ОРЗД обработване на лични данни трябва да зачита посочените в глава II от този регламент принципи и посочените в глава III от същия права на субектите на данни (вж. в този смисъл решение от 2 март 2023 г., Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, т. 43 и цитираната съдебна практика).

65 Съгласно член 6, параграф 1, първа алинея от ОРЗД попадащото в приложното поле на този регламент обработване на лични данни е законосъобразно само ако отговаря на поне едно от алтернативните условия за законосъобразност, посочени в тази разпоредба (вж. в този смисъл решение от 5 юни 2023 г., Комисия/Полша (Независимост и личен живот на съдиите), C‑204/21, EU:C:2023:442, т. 335 и цитираната съдебна практика).

66 Що се отнася до обработването, основано на предвиденото в член 6, параграф 1, първа алинея, буква в) от ОРЗД алтернативно условие за законосъобразност, в член 6, параграф 3, първа алинея от същия се уточнява, че основанието за това обработване трябва да е установено от правото на Съюза или от правото на държавата членка, което се прилага спрямо администратора.

67 След като правото на Съюза не урежда правилата за излагане на фактите и за събиране на доказателствата пред националните съдилища, член 6, параграф 3, първа алинея от ОРЗД съответно изисква в националното право да е налице правно основание за обработването на лични данни, извършвано на базата на това алтернативно условие за законосъобразност (вж. в този смисъл решение от 2 март 2023 г., Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, т. 32).

68 Що се отнася до нужната форма и съдържание на това правно основание, член 6, параграф 3 от ОРЗД просто изисква — при спазване на изискванията, свързани с хипотезата по третото изречение на тази разпоредба — целите на обработването по член 6, параграф 1, първа алинея, буква в) от този регламент да са определени в това правно основание, последното да е съобразено с цел от обществен интерес и да е пропорционално на тази цел.

69 За сметка на това, нито от член 6, параграф 3, нито от друга разпоредба на ОРЗД произтича, че целта, преследвана с предвиденото в националното право правно основание трябва да бъде посочена в последното, като под „цел“ („objectif“) следва да се разбират общите цели на съответното обработване, а под „цели“ („finalités“) — неговите специфични и конкретни цели (вж. в този смисъл решение от 20 ноември 2025 г., Policejní prezidium (Съхранение на биометрични и генетични данни), C‑57/23, EU:C:2025:905, т. 81).

70 Несъмнено, когато предвижда правно основание, допускащо обработване съгласно член 6, параграф 1, първа алинея, буква в) от ОРЗД, законодателят на държава членка прилага правото на Съюза, така че по силата на член 51 от Хартата такова правно основание трябва да е в съответствие с нея.

71 Както и запитващата юрисдикция подчертава, Съдът заключава от член 8, параграф 2 от Хартата — който от своя страна само отразява, конкретизирайки го, изискването по член 52 от Хартата всяко ограничаване на упражняването на признати от нея основни права да бъде предвидено в закон (вж. в този смисъл решение от 20 ноември 2025 г., Policejní prezidium (Съхранение на биометрични и генетични данни), C‑57/23, EU:C:2025:905, т. 51) — че самото правно основание, позволяващо намеса в правото на защита на личните данни, трябва да определя обхвата, в който евентуално се ограничава упражняването на това право (вж. в този смисъл решение от 6 октомври 2020 г., Privacy International, C‑623/17, EU:C:2020:790, т. 65 и цитираната съдебна практика).

72 Освен това, що се отнася до изискването по член 52 от Хартата, Съдът е постановил, че при всяка намеса в правото на защита на личните данни трябва да е спазен принципът на пропорционалност, което налага правната уредба, водеща до такава намеса, да предвижда ясни и точни правила, уреждащи обхвата и прилагането на съответната мярка и установяващи минимални изисквания, така че лицата, чиито лични данни са обработвани, да разполагат с достатъчно гаранции, че данните им ще бъдат ефективно защитени срещу риска от злоупотреба и срещу незаконосъобразното им получаване и използване (вж. в този смисъл решения от 24 февруари 2022 г., Valsts ieņēmumu dienests (Обработка на лични данни за данъчни цели), C‑175/20, EU:C:2022:124, т. 55 и цитираната съдебна практика, и от 16 ноември 2023 г., Roos и др./Парламент, C‑458/22 P, EU:C:2023:871, т. 69 и цитираната съдебна практика).

73 Правното основание на обработването на данни трябва в частност да посочва обстоятелствата и условията, при които може да се приложи мярка за обработване на такива данни, което гарантира ограничаване на намесата до строго необходимото (вж. в този смисъл решение от 16 юли 2020 г., Facebook Ireland и Schrems, C‑311/18, EU:C:2020:559, т. 176 и цитираната съдебна практика).

74 Позовавайки се обаче на постоянната практика на Европейския съд по правата на човека, Съдът е уточнил и че терминът „закон“, използван в член 8, параграф 2 от Хартата в израза „предвидено от закона основание“, трябва да се разбира в своето материалноправно, а не формално значение (вж. в този смисъл решение от 16 ноември 2023 г., Roos и др./Парламент, C‑458/22 P, EU:C:2023:871, т. 61 и цитираната съдебна практика).

75 Освен това, съгласно тази практика на Европейския съд по правата на човека въпросното значение на термина „закон“ в съдържащия се в член 8, параграф 2 от ЕКПЧ израз „предвидени в закона“, предполага, че с този термин се визира действащият текст, така както е тълкуван от компетентните съдилища (вж. в този смисъл ЕСПЧ, 23 януари 2025 г., H. W. с/у Франция, CE:ECHR:2025:0123JUD001380521, § 65).

76 Впрочем в съображение 41 от ОРЗД изрично се споменава, че когато в този регламент се говори за правно основание или законодателна мярка, не се има предвид непременно приемането на законодателен акт от парламент, като това не засяга изискванията съгласно конституционния ред на съответната държава членка. Такова правно основание или законодателна мярка обаче следва да бъдат ясни и точни и прилагането им да бъде предвидимо за правните субекти, в съответствие с практиката на Съда и на Европейския съд по правата на човека.

77 Изискването по член 6, параграф 3 от ОРЗД да се предвиди правно основание за всяко обработване, което почива на предвидените в член 6, параграф 1, първа алинея, букви в) и д) от този регламент алтернативни условия за законосъобразност, съответно трябва да се разбира в смисъл, че не предполага непременно наличието на законодателен акт, тъй като изразът „право на държавата членка, което се прилага спрямо администратора“ може да обхваща и националната съдебна практика, стига тя да е ясна и точна, а прилагането ѝ — предвидимо за правните субекти (вж. в този смисъл решение от 12 септември 2024 г., HTB Neunte Immobilien Portfolio и Ökorenta Neue Energien Ökostabil IV, C‑17/22 и C‑18/22, EU:C:2024:738, т. 71 и 72).

78 Освен това, след като член 6, параграф 3, втора алинея от ОРЗД изисква правното основание да е съобразено с обществения интерес и да е пропорционално на преследваната легитимна цел, такава съдебна практика трябва също да отговаря на тези условия (вж. в този смисъл решение от 12 септември 2024 г., HTB Neunte Immobilien Portfolio и Ökorenta Neue Energien Ökostabil IV, C‑17/22 и C‑18/22, EU:C:2024:738, т. 73 и цитираната съдебна практика).

79 В случая от акта за преюдициално запитване е видно, че процесните законодателни разпоредби не предвиждат условията, които трябва да са изпълнени, за да се приемат за допустими доказателства или факти, съдържащи незаконосъобразно обработени преди това лични данни. Ето защо, за да се увери, че тези разпоредби са в съответствие с ОРЗД, запитващата юрисдикция трябва да провери дали те са предмет на ясна, точна и с предвидимо прилагане съдебна практика, която сама установява обстоятелствата и условията, при които изнесените от страните факти и доказателства, съдържащи лични данни, могат да бъдат използвани от съдилищата, съобразена е с цел от обществен интерес и е пропорционална на тази цел.

80 С оглед на всичко изложено по-горе на първия въпрос следва да се отговори, че член 6, параграф 1, първа алинея, буква в) и параграф 3 от ОРЗД във връзка с член 8, параграф 2 и член 52 от Хартата трябва да се тълкува в смисъл, че допуска национална правна уредба, която, що се отнася до обработването на лични данни при извършваните от съдилищата преценка на фактите и събиране на доказателствата, просто предвижда, че страните следва да представят подробни и отговарящи на действителността факти, а съдилищата — да ги вземат изцяло под внимание, преди евентуално да ги преценяват, без да посочва обстоятелствата и условията, при които изнесените от страните факти и доказателства, съдържащи лични данни, могат да бъдат използвани от съдилищата, стига да съществува ясна, точна и с предвидимо прилагане национална съдебна практика, установяваща самата тя обстоятелствата и условията, при които изнесените от страните факти и доказателства, съдържащи лични данни, могат да бъдат използвани от съдилищата, и стига тази практика да е съобразена с цел от обществен интерес и да е пропорционална на нея.

По втория въпрос, буква a)

81 С втория въпрос, буква а) запитващата юрисдикция по същество иска да се установи дали член 17, параграф 3, буква д) от ОРЗД трябва да се тълкува в смисъл, че съдържа алтернативно условие за законосъобразност, на което може да отговаря дадено обработване, за да бъде в съответствие с член 5, параграф 1, буква а) от този регламент, и което е различно от изброените в член 6, параграф 1, първа алинея от ОРЗД.

82 В това отношение следва да се припомни, че съгласно член 5, параграф 1, буква а) от ОРЗД всяко обработване на лични данни трябва по-специално да бъде законосъобразно, което, както бе припомнено в точка 64 от настоящото решение, означава то да е в съответствие с всички посочени в глава II от ОРЗД принципи и да зачита посочените в глава III от него права на субектите на данни.

83 Наред с тези принципи в член 6, параграф 1, първа алинея от ОРЗД се съдържа изчерпателен и рестриктивен списък на случаите, в които обработването на лични данни може да се счита за законосъобразно. За да бъде счетено за такова, обработването трябва по силата на член 5, параграф 1, буква a) от ОРЗД да попада съответно в една от хипотезите, предвидени в този член 6, параграф 1, първа алинея (вж. в този смисъл решение от 4 май 2023 г., Bundesrepublik Deutschland (Електронна пощенска кутия на съда), C‑60/22, EU:C:2023:373, т. 56 и цитираната съдебна практика).

84 Несъмнено съгласно член 17, параграф 3, буква д) от ОРЗД правото на субектите на данни да поискат от администратора изтриване на данните си, по-специално когато, както предвижда член 17, параграф 1, буква г) от този регламент, тези данни са били обработвани незаконосъобразно, не се прилага, ако обработването е необходимо за установяването, упражняването или защитата на правни претенции.

85 Фактът обаче, че член 17, параграф 3, буква д) от ОРЗД въвежда изключение от това право на изтриване, не означава, че тази разпоредба трябва да се тълкува в смисъл, че самата тя предвижда самостоятелно алтернативно условие за законосъобразност, въз основа на което обработването на лични данни, което е необходимо за установяването, упражняването или защитата на правни претенции, би могло да се приеме за съответстващо на член 5, параграф 1, буква а) от ОРЗД. Всъщност, тъй като, както следва от точка 83 от настоящото решение, списъкът на алтернативните условия за законосъобразност, посочени в член 6, параграф 1, първа алинея от ОРЗД, е изчерпателен и рестриктивен, хипотезата по член 17, параграф 3, буква д) от този регламент не може да се счита за такова алтернативно условие за законосъобразност.

86 С оглед на всичко изложено по-горе на втория въпрос, буква а) следва да се отговори, че член 17, параграф 3, буква д) от ОРЗД трябва да се тълкува в смисъл, че не съдържа алтернативно условие за законосъобразност, на което би могло да отговаря дадено обработване, за да бъде в съответствие с член 5, параграф 1, буква а) от ОРЗД, и което да е различно от изброените в член 6, параграф 1, първа алинея от ОРЗД.

По втория въпрос, буква б)

87 Предвид отговора на втория въпрос, буква а) не е необходимо да се отговаря на втория въпрос, буква б).

По третия въпрос, буква a)

88 Веднага следва да се отбележи, че принципът на „свеждане на данните до минимум“, до който предимно се отнася третият въпрос, буква а), не се съдържа в член 5, параграф 1, буква а) от ОРЗД, както, изглежда, смята запитващата юрисдикция, ако се съди по формулировката на този въпрос, а е прогласен в член 5, параграф 1, буква в) от посочения регламент.

89 Освен това от акта за преюдициално запитване е видно, че когато говори за проверка на пропорционалността на предвиденото обработване и за изчерпателно „претегляне“ на засегнатите интереси, тази юрисдикция си задава въпроса изисква ли член 52, параграф 1, второ изречение от Хартата за всяко извършвано обработване на лични данни да се проверява дали обработваните по този повод данни дават възможност и са строго необходими за постигането на преследваната с обработването цел и дали тежестта на евентуалната намеса в основните права поради вземането предвид на такива данни при процесното обработване е съразмерна спрямо интереса на администратора от използването на тези данни за целите на обработването.

90 Ето защо следва да се приеме, че с третия въпрос, буква а) запитващата юрисдикция по същество иска да се установи дали член 5, параграф 1, буква в) от ОРЗД във връзка с член 52, параграф 1, второ изречение от Хартата трябва да се тълкува в смисъл, че принципът на „свеждане на данните до минимум“ изисква съдът да гарантира, че при всяко обработване на лични данни е спазен принципът на пропорционалност, уверявайки се, че обработваните по този повод данни дават възможност и са строго необходими за постигането на преследваната с обработването цел и че тежестта на евентуалната намеса в основните права поради вземането предвид на такива данни при процесното обработване е съразмерна спрямо интереса му от използването на тези данни за целите на въпросното обработване.

91 В това отношение, от една страна, както следва от член 52, параграф 1, второ изречение, за да бъдат налагани при спазване на принципа на пропорционалност, ограниченията на упражняването на гарантираните с Хартата основни права трябва да са необходими и действително да отговарят на признати от Съюза цели от общ интерес или на необходимостта да се защитят правата и свободите на други хора.

92 По-конкретно, дерогациите и ограниченията на защитата на личните данни се въвеждат в границите на строго необходимото, като се има предвид, че когато съществува избор между няколко подходящи мерки, трябва да се прибегне до най-малко обременителната. Освен това целта от общ интерес не може да се преследва легитимно, без да се отчете фактът, че тя трябва да бъде съвместена с основните права, засягани с разглежданата мярка, като се постигне баланс между целта от общ интерес и тези права, за да се гарантира, че причинените с мярката неблагоприятни последици не са непропорционални на преследваните цели. Следователно възможността да се обоснове ограничаването на гарантираните с членове 7 и 8 от Хартата права трябва да се прецени, като се измери тежестта на намесата, до която води подобно ограничаване, и като се провери дали значението на преследваната с това ограничаване цел от общ интерес е съразмерно с тази тежест (решение от 21 март 2024 г., Landeshauptstadt Wiesbaden, C‑61/22, EU:C:2024:251, т. 83 и цитираната съдебна практика).

93 Следователно, за да е спазен принципът на пропорционалност, ограничения на гарантираните с Хартата основни права могат да се налагат само ако, първо, съответната мярка преследва една или повече признати от Съюза цели от общ интерес и действително е подходяща за постигането на тези цели, второ, произтичащата от това намеса е ограничена до строго необходимото, в смисъл че целите не биха могли разумно да бъдат постигнати също толкова ефикасно с други средства, които засягат в по-малка степен тези основни права на субектите на данни, и трето, въпросната намеса не е непропорционална на целите, което по-конкретно предполага същите да се съпоставят с тежестта на намесата (решение от 21 март 2024 г., Landeshauptstadt Wiesbaden, C‑61/22, EU:C:2024:251, т. 84 и цитираната съдебна практика).

94 От друга страна, като предвижда, че обработваните лични данни трябва да са подходящи, релевантни и ограничени до необходимото във връзка с целите, за които се обработват, член 5, параграф 1, буква в) от ОРЗД обвързва обработването на лични данни със спазването на принципа на „свеждане на данните до минимум“ (вж. в този смисъл решение от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения) (C‑439/19, EU:C:2021:504, т. 104).

95 Впрочем, макар този принцип да е „израз“ на принципа на пропорционалност (вж. в този смисъл решение от 9 януари 2025 г., Mousse, C‑394/23, EU:C:2025:2, т. 24 и цитираната съдебна практика), това все пак не означава, че сама по себе си тази разпоредба прилага принципа на пропорционалност и съответно трите условия, припомнени в точка 91 от настоящото решение.

96 В това отношение следва да се отбележи, че предвидените в член 5, параграф 1, буква в) от ОРЗД изисквания, които са достатъчно основание тази разпоредба да се разглежда като израз на принципа на пропорционалност, могат да гарантират, че решението да се използват едни, а не други данни, отговаря на първите две условия, произтичащи от спазването на същия принцип.

97 От една страна, от самия смисъл на думите „подходящ“ и „релевантен“ следва, че когато отговарят на тези две изисквания, данните могат да постигнат целите на съответното обработване и още повече — общата му цел. От друга страна, като се има предвид, че тези данни са ограничени до необходимото във връзка с целите, за които се обработват, те са ограничени и с оглед на целта, преследвана по-общо с решението да бъдат използвани за обработването.

98 Що се отнася до третото условие, припомнено в точка 91 от настоящото решение, трябва да се отбележи, че с изпълнението на едно от алтернативните условия за законосъобразност, споменати в член 6, параграф 1, първа алинея от ОРЗД, по принцип вече може да се ограничи обработването на съответните данни до това, което е не само необходимо за постигането на легитимна цел, но и представлява законен интерес, който надделява над тежестта на намесата в гарантираните с членове 7 и 8 от Хартата основни права, до която води това обработване.

99 Що се отнася до обработването, попадащо в обхвата на член 6, параграф 1, първа алинея, буква в) от ОРЗД, а именно обработването, необходимо за спазването на законово задължение, което се прилага спрямо администратора, член 6, параграф 3, втора алинея от този регламент съответно предвижда изрично, че правото на Съюза или правото на държава членка, което служи като правно основание за такова обработване и следователно предвижда задължението, за чието спазване се изисква обработването, трябва да се съобразява с обществения интерес и да е пропорционално на преследваната легитимна цел.

100 Така последната разпоредба изрично закрепва изискването законовото задължение, което има администраторът и което служи като основание за обработването на лични данни, да е резултат от извършено при приемането на това правно основание претегляне, от една страна, на закрепените в членове 7 и 8 от Хартата основни права на зачитане на личния живот и на защита на личните данни и от друга страна, на легитимните цели, преследвани в това отношение с правото на Съюза или правото на държава членка (вж. по аналогия решение от 4 октомври 2024 г., Агенция по вписванията, C‑200/23, EU:C:2024:827, т. 124 и цитираната съдебна практика).

101 Тъй като съгласно член 5, параграф 1, буква в) от ОРЗД при обработването могат да се използват само данни, които са подходящи, релевантни и ограничени до необходимото във връзка с преследваните цели, когато това задължение е резултат от такова претегляне, данните, които отговарят на такива изисквания, неизбежно ще бъдат само тези, чието обработване обслужва законен интерес, който надделява над тежестта на намесата в гарантираните с членове 7 и 8 от Хартата основни права, до която води това обработване.

102 Като се има предвид, че обработването на лични данни, което съдът трябва да извърши при разглеждането на доказателствените искания на страните, е необходимо за спазването на правото на справедлив съдебен процес, следва да се констатира, че за да се съобрази с принципа на „свеждане на данните до минимум“, съдът трябва само да провери дали обработваните от него данни отговарят на предвидените в член 5, параграф 1, буква в) от ОРЗД условия, без да е длъжен в това отношение, и следователно в допълнение към изискването по член 6, параграф 3, втора алинея от ОРЗД правното основание за това обработване да бъде пропорционално на преследваната легитимна цел, да извърши претегляне на засегнатите интереси, било то изчерпателно или не.

103 С оглед на всичко изложено по-горе на третия въпрос, буква а) следва да се отговори, че член 5, параграф 1, буква в) от ОРЗД във връзка с член 52, параграф 1, второ изречение от Хартата трябва да се тълкува в смисъл, че стига да са изпълнени предвидените в член 5, параграф 1, буква в) от ОРЗД условия, принципът на „свеждане на данните до минимум“ не изисква съдът да гарантира, че при всяко обработване на лични данни е спазен принципът на пропорционалност, уверявайки се, че обработваните по този повод данни дават възможност и са строго необходими за постигането на преследваната с обработването цел и че тежестта на евентуалната намеса в основните права поради вземането предвид на такива данни при това обработване е съразмерна спрямо интереса му от използването на тези данни за целите на въпросното обработване.

По третия въпрос, букви б)—г)

104 С оглед на посоченото в точка 49 от настоящото решение следва да се приеме, че с третия въпрос, букви б)—г) запитващата юрисдикция по същество иска да се установи дали членове 7 и 8 от Хартата, член 5, параграф 1, член 6, параграф 1, първа алинея, буква в) във връзка с член 6, параграф 3 от ОРЗД и принципът на „свеждане на данните до минимум“ трябва да се тълкуват в смисъл, че не допускат националният съд да използва доказателства, съдържащи лични данни, които предалата му ги страна е получила в нарушение на правото на защита на личния живот и на правото на защита на личните данни, когато тази страна няма законен интерес от такова обработване, който да надхвърля интереса от простото доказване на изнесените от нея факти.

105 В това отношение следва да се подчертае, от една страна, че в някои случаи посочените в членове 7 и 8 от Хартата права на защита на личния живот и на личните данни действително могат да влязат в конфликт с правото на ефективни правни средства за защита, гарантирано в член 47 от Хартата, но същевременно, що се отнася до попадащото в обхвата на ОРЗД обработване на лични данни, механизмите, позволяващи да се намери справедлив баланс между различните основни права и интереси, се съдържат в самия регламент (вж. в този смисъл решение от 17 юни 2021 г., M.I.C.M., C‑597/19, EU:C:2021:492, т. 112).

106 По-специално, пропорционалността на евентуално извършваните поради обработване, попадащо в приложното поле на ОРЗД, нарушения на посочените в членове 7 и 8 от Хартата права на защита на личния живот и на личните данни се гарантира чрез комбинираното прилагане на принципите, предвидени в член 5, параграф 1 от този регламент, и на изискванията, присъщи на всяко алтернативно условие за законосъобразност, посочено в член 6, параграф 1, първа алинея евентуално във връзка с член 6, параграф 3 от него.

107 Следователно, когато са изпълнени условията за законосъобразно обработване на лични данни по същия този регламент, се счита, че по принцип обработването отговаря и на изискванията, установени с членове 7 и 8 от Хартата (решение от 5 юни 2023 г., Комисия/Полша (Независимост и личен живот на съдиите), C‑204/21, EU:C:2023:442, т. 332).

108 От друга страна, както по същество подчертава генералният адвокат в точка 32 от заключението си, нито член 5, параграф 1 от ОРЗД, нито посочените в глави II и III от този регламент права и принципи съдържат обща и абсолютна забрана публичен орган, какъвто е съдът, да взема предвид личните данни, обработени преди това незаконосъобразно по смисъла на посочения регламент от лицето, което му ги е предало.

109 Вярно е, че член 5, параграф 1, буква а) от ОРЗД закрепва принципа, че обработването на лични данни трябва да е не само законосъобразно и прозрачно, но и добросъвестно.

110 От съображение 39 от този регламент обаче следва, че целта, преследвана с този принцип на лоялност, която съвпада с целта, преследвана с принципа на прозрачност, е да се гарантира, че субектите на данни са осведомени за обработването на личните им данни и че съответно им се предоставя информацията, необходима за упражняването на правата им.

111 При това положение значението на обстоятелството, че обработваните данни преди това са били обработени незаконосъобразно по смисъла на член 5, параграф 1, буква а) от ОРЗД от предалата ги страна, зависи от алтернативното условие за законосъобразност, на което се позовава администраторът, за да обоснове обработването. Всъщност някои от тези алтернативни условия могат да бъдат неприложими при наличието на такива данни поради изискванията, които съдържат.

112 Така, що се отнася до алтернативното условие за законосъобразност, посочено в член 6, параграф 1, първа алинея, буква е) от ОРЗД, фактът, че администраторът е знаел или е трябвало да знае, че някои от предадените му данни преди това са били незаконосъобразно събрани или съхранявани, изключва възможността да се приеме, че събирането на тези данни от администратора след предаването им преследва законни интереси и съответно отговаря на въпросното алтернативно условие за законосъобразност.

113 Трябва обаче да се констатира, че обработването на лични данни, извършвано от съда във връзка със съдържащите се в доказателствените искания на страните лични данни, по принцип е необходимо за спазването на негово законово задължение, а именно на задължението му да се произнесе по допустимостта на тези доказателствени искания, и ако ги приеме за допустими с оглед на предвидените в националното право за целта критерии — да ги вземе предвид при постановяване на решението си.

114 В член 6, параграф 1, първа алинея, буква в) от ОРЗД същевременно няма никакво изискване, годно да изключи възможността съдът да се позове на това алтернативно условие за законосъобразност, когато съответните лични данни, съдържащи се в доказателствено искане, преди това са били обработвани незаконосъобразно по смисъла на този регламент от предалото ги лице.

115 Без съмнение в член 6, параграф 3 от ОРЗД се уточнява, че правното основание за обработването на лични данни по член 6, параграф 1, първа алинея, буква в) от този регламент трябва да бъде установено от правото на Съюза или от правото на държавата членка, което се прилага спрямо администратора, че това правно основание може да включва конкретни разпоредби за адаптиране на прилагането на правилата на този регламент спрямо нуждите на обработването и че при всяко положение правото на Съюза или правото на тази държава членка трябва е съобразено с обществения интерес и да е пропорционално на преследваната легитимна цел (вж. в този смисъл решение от 2 март 2023 г., Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, т. 31).

116 Що се отнася до това условие за пропорционалност и до свързаните с него изисквания, следва да се отбележи, че съгласно вече припомнената в точка 91 от настоящото решение съдебна практика правното основание за процесното обработване трябва, първо, да дава възможност за постигането на преследваната цел от обществен интерес, второ, да допуска единствено обработване, което остава в границите на строго необходимото, което предполага, че не съществуват други мерки, които засягат в по-малка степен правата и свободите на субектите на данни и позволяват също толкова ефикасно да се постигне тази цел, и трето, да е пропорционално в тесен смисъл, тоест след претегляне на всички релевантни фактори да не допуска обработване, което води до ограничения на правата и свободите на субектите на данни, които ограничения са несъразмерни с оглед на важността да се постигне въпросната цел.

117 Обстоятелството, че законовото задължение, което налага обработването на личните данни, съдържащи се в направените от страните доказателствени искания, се прилага и за личните данни, които предалата ги на съда страна е получила в нарушение на правото на защита на личния живот и на правото на защита на личните данни, изглежда, не изключва възможността това правно основание да отговаря на въпросните изисквания.

118 Най-напред, що се отнася до първото изискване, припомнено в точка 91 от настоящото решение, следва да се приеме, че при обработването на лични данни от даден съд законовото задължение на този съд да се произнесе по допустимостта на направените от страните доказателствени искания, и ако същите са допустими — да ги вземе предвид при постановяване на решението си, преследва цел от обществен интерес, тъй като е свързано със зачитането на основно право, а именно правото на справедлив съдебен процес, закрепено в член 47 от Хартата.

119 По-нататък, трябва да се приеме, че чрез това задължение също може да се постигне тази цел от обществен интерес, както и че то е строго необходимо за постигането ѝ, дори съответните данни да са били незаконосъобразно получени. По-специално, тъй като правото на справедлив съдебен процес изисква съдът да се произнесе по допустимостта на направените от страните доказателствени искания, и ако същите са допустими — да ги вземе предвид при постановяване на решението си, изглежда, че извън възможността на съдилищата да обработват лични данни, съдържащи се в доказателствените искания на страните, няма друга мярка, която да е също толкова ефикасна за постигането на въпросната цел.

120 Накрая, следва да се припомни, че както се потвърждава в съображение 4 от ОРЗД, правото на защита на личните данни не е абсолютно право, а трябва да бъде разглеждано във връзка с функцията му в обществото и да бъде съгласно принципа на пропорционалност в равновесие с други основни права, като например правото на ефективна съдебна защита, гарантирано в член 47 от Хартата (вж. в този смисъл решение от 2 март 2023 г., Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, т. 49).

121 Предвид основната функция, която има в обществото правото на справедлив съдебен процес, изискването съдът да обработва съдържащите се в доказателствените искания на страните лични данни и когато тези данни са получени в нарушение на правото на защита на личния живот и на правото на защита на личните данни, не изглежда да води до прекомерно засягане на тези права, така както те са гарантирани в членове 7 и 8 от Хартата.

122 Следователно задължението на съда в съответствие с правото на справедлив съдебен процес да обработва всички съдържащи се в доказателствените искания лични данни, отговаря на изискванията на член 6, параграф 3 от ОРЗД, дори да се отнася до данни, получени в нарушение на правата на личността, и страната, която ги е предала на съда, да няма законен интерес от такова обработване, надхвърлящ интереса от простото доказване на изнесените факти.

123 При това положение в съответствие с член 5, параграф 1, буква в) от ОРЗД в тези случаи трябва да се използват само данните, които са подходящи, релевантни и необходими във връзка с целите, за които се обработват.

124 В това отношение, що се отнася, на първо място, до личните данни, използвани при обработването, което съдът извършва, за да се произнесе, с оглед на правилата на приложимото в тази област национално право, по допустимостта на доказателствените искания и релевантността на сочените от страните факти, следва да се подчертае, че правото на справедлив съдебен процес, признато в член 47 от Хартата, предполага страните да могат да отправят до съда доказателствените искания, които смятат за релевантни.

125 Следователно, що се отнася до съдебните производства, предназначени да гарантират защитата на правата, които страните в процеса черпят от правото на Съюза, фактът, че за да се произнесе по допустимостта на доказателствените искания, съдът трябва да обработва лични данни, поначало не означава, че е нарушен принципът на „свеждане на данните до минимум“, тъй като на този етап тези данни са именно подходящи, релевантни и необходими за произнасянето на съда по тази допустимост. Същото важи и за съдебните производства, в които не се прави позоваване на правото на Съюза, ако правото на съответната държава членка признава на страните право с обхват, аналогичен на правото на справедлив съдебен процес, гарантирано в член 47 от Хартата.

126 За сметка на това, след като установи, че предоставените му документи, съдържащи лични данни, са допустими от гледна точка на предвидените за целта в националното право правила, този съд трябва, преди да ги приложи към преписката, да провери дали става въпрос само за данни, които са необходими във връзка с преследваните цели, а именно постановяването на съдебен акт при възможно най-голяма изясненост на делото с оглед на релевантните обстоятелства и съобразяване с принципа на състезателност, или пък следва да предприеме определени мерки за намаляване на обема на съответните данни, например частична или пълна анонимизация на въпросните документи, без обаче да се засягат правата на другите страни.

127 При това положение обстоятелството, че съответните данни са получени в нарушение на посочените в членове 7 и 8 от Хартата права на защита на личния живот и на личните данни, само по себе си не изглежда определящо, тъй като критериите, предвидени в член 5, параграф 1, буква в) от ОРЗД, изискват тези данни да бъдат подходящи, релевантни и ограничени до необходимото във връзка с преследваните цели.

128 Що се отнася, на второ място, до личните данни, използвани по повод обработване, което съдът извършва, за да постанови решението си, с оглед на правото на справедлив съдебен процес всички данни, съдържащи се в документи, приети за допустими и приложени към преписката, по принцип трябва да се считат за подходящи, релевантни и ограничени до необходимото във връзка с целта на такова обработване, тъй като в съответствие с това право на справедлив съдебен процес съдът е длъжен да вземе предвид всички тези доказателства, за да прецени по-специално тяхната релевантност.

129 На трето и последно място, що се отнася до разкриването на такива данни от съда във връзка с връчването или публикуването на постановеното от него решение, при такова обработване е нужно — за да се гарантира, че тези данни са ограничени до необходимото с оглед на целите, за които се обработват — съдът да държи сметка не само за необходимостта да се осигури изпълнението на решението, да се уведомят третите лица, които също могат да бъдат засегнати от процесните факти, и да се защитят правните субекти от злоупотреби при тайно правосъдие (вж. в този смисъл ЕСПЧ, 2 юни 2022 г., Straume с/у Латвия, CE:ECHR:2022:0602JUD005940214, § 124), но и за възможността да се вземат определени мерки, като например анонимизация или псевдонимизация на въпросните данни, за да се сведе до минимум нарушаването на правото на защита на личните данни, до което може да доведе разкриването им.

130 С оглед на всичко изложено по-горе на третия въпрос, букви б)—г) следва да се отговори, че членове 7 и 8 от Хартата, член 5, параграф 1, член 6, параграф 1, първа алинея, буква в) във връзка с член 6, параграф 3 от ОРЗД и принципът на „свеждане на данните до минимум“ трябва да се тълкуват в смисъл, че допускат националният съд да използва доказателства, съдържащи лични данни, които предалата му ги страна е получила в нарушение на правото на защита на личния живот и на правото на защита на личните данни, когато тази страна няма законен интерес от такова обработване, който да надхвърля интереса от простото доказване на изнесените от нея факти. За сметка на това, преди да ги разкрие на страните или на трети лица, този съд трябва да провери дали тези данни са ограничени до необходимото във връзка с целите на разкриването им и евентуално да вземе определени мерки, за да сведе до минимум нарушаването на правото на защита на личните данни, до което може да доведе въпросното разкриване.

По третия въпрос, буква д)

131 С третия въпрос, буква д) запитващата юрисдикция по същество иска да се установи дали член 13, параграфи 1 и 2 от ОРЗД трябва да се тълкува в смисъл, че не допуска при изпълнение на съдебните си функции националният съд да използва данни, събрани от лице, което не е спазило задълженията си за предоставяне на информация по тази разпоредба.

132 В това отношение от член 13, параграфи 1 и 2 от ОРЗД следва, че когато лични данни, свързани с дадено лице, се събират от това лице, в момента на получаването на тези данни администраторът му предоставя посочената в тези параграфи информация.

133 Тъй като тази разпоредба се намира в глава III от ОРЗД, трябва да се приеме, че посочените параграфи съдържат условия, чието спазване е необходимо, за да бъде събирането на лични данни законосъобразно.

134 Освен това задължението по този член 13 допринася за изпълнението на изискването, предвидено в намиращия се в глава II от ОРЗД член 5, параграф 1, буква а), всяко обработване на лични данни да бъде добросъвестно и прозрачно, и съответно следва да се спазва и на това основание.

135 Не е необходимо да се преценява дали, за да се запази полезното действие на член 17, параграф 3, буква д) от ОРЗД, тази разпоредба трябва да се тълкува в смисъл, че фактът, че съответната страна е събрала процесните данни, без да изпълни това задължение, не влече незаконосъобразност на обработването, състоящо се в предаването на съда на съдържащите тези данни доказателства, но същевременно следва да се припомни, че както бе констатирано в точка 108 от настоящото решение, нито член 5, параграф 1 от ОРЗД, нито посочените в глави II и III от този регламент права и принципи съдържат обща и абсолютна забрана администраторът да взема предвид личните данни, обработени преди това незаконосъобразно по смисъла на посочения регламент от лицето, което му ги е предало.

136 Поради това на третия въпрос, буква д) следва да се отговори, че член 13, параграфи 1 и 2 от ОРЗД трябва да се тълкува в смисъл, че допуска при изпълнение на съдебните си функции националният съд да използва данни, събрани от страни или трети лица, които не са спазили задълженията си за предоставяне на информация по тази разпоредба.

По третия въпрос, буква е)

137 С третия въпрос, буква е) запитващата юрисдикция по същество иска да се установи дали ОРЗД трябва да се тълкува в смисъл, че съдът е длъжен в рамките на изпълнението на съдебните си функции да следи за спазването на този регламент, когато обработва лични данни на трети за висящото пред него производство лица, и дали правото на Съюза изисква едната от страните в производството да може да се позове на това, че в нарушение на правата, които тези трети лица черпят от посочения регламент, другата страна е събрала или съхранявала въпросните данни незаконосъобразно по смисъла на същия регламент.

138 В това отношение от член 288 ДФЕС следва, че регламентът е акт с общо приложение, който е задължителен в своята цялост и се прилага пряко във всички държави членки.

139 Като се има предвид, че посочените в глава II от ОРЗД принципи се прилагат независимо от каквито и да било съображения, свързани с процесуалното положение на субектите на данни, или от обстоятелството, че администраторът е съд, този регламент във връзка с член 288 ДФЕС трябва да се тълкува в смисъл, че съдът е длъжен в рамките на изпълнението на съдебните си функции да спазва посочения регламент, когато обработва лични данни на трети за висящото пред него производство лица.

140 Що се отнася обаче до това дали дадена страна може да се позове на допусната в ущърб на трето лице незаконосъобразност, този въпрос се урежда, при липсата в тази област на съюзна разпоредба, въз основа на процесуалната автономия на държавите членки.

141 Без съмнение, що се отнася до съдебните производства, предназначени да гарантират защитата на правата, които страните в процеса черпят от правото на Съюза, съгласно принципа на процесуална автономия, приложим при липсата на съюзни разпоредби, процесуалните правила за тези производства не трябва нито да са по-неблагоприятни от правилата, които уреждат подобни вътрешноправни положения (принцип на равностойност), нито да правят практически невъзможно или прекомерно трудно упражняването на правата, предоставени от правото на Съюза (принцип на ефективност) (вж. в този смисъл решение от 6 октомври 2020 г., La Quadrature du Net и др., C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 223 и цитираната съдебна практика).

142 Освен това тези процесуални правила трябва да са в съответствие и с правото на справедлив съдебен процес, гарантирано в член 47 от Хартата, тъй като съгласно член 51 от нея тя следва да се прилага във всички случаи, в които държавите членки прилагат правото на Съюза.

143 Следва да се отбележи обаче, че нито принципът на ефективност, нито правото на справедлив съдебен процес, гарантирано в член 47 от Хартата, по принцип изискват на страните в съдебно производство да се признае възможността да се позоват на нарушение на ОРЗД, извършено в ущърб на трети за това производство лица.

144 Поради това на третия въпрос, буква е) следва да се отговори, че ОРЗД трябва да се тълкува в смисъл, че съдът е длъжен в рамките на изпълнението на съдебните си функции да следи за спазването на този регламент, когато обработва лични данни на трети за съответното производство лица. Правото на Съюза не изисква едната от страните в производството да може да се позове на това, че в нарушение на правата, които тези трети лица черпят от посочения регламент, другата страна е събрала или съхранявала въпросните данни незаконосъобразно по смисъла на същия регламент.

По съдебните разноски

145 С оглед на обстоятелството, че за страните по главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.

По изложените съображения Съдът (пети състав) реши:

1)Член 6, параграф 1, първа алинея, буква в) и параграф 3 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните), във връзка с член 8, параграф 2 и член 52 от Хартата на основните права на Европейския съюз,

трябва да се тълкува в смисъл, че

допуска национална правна уредба, която, що се отнася до обработването на лични данни при извършваните от съдилищата преценка на фактите и събиране на доказателствата, просто предвижда, че страните следва да представят подробни и отговарящи на действителността факти, а съдилищата — да ги вземат изцяло под внимание, преди евентуално да ги преценяват, без да посочва обстоятелствата и условията, при които изнесените от страните факти и доказателства, съдържащи лични данни, могат да бъдат използвани от съдилищата, стига да съществува ясна, точна и с предвидимо прилагане национална съдебна практика, установяваща самата тя обстоятелствата и условията, при които изнесените от страните факти и доказателства, съдържащи лични данни, могат да бъдат използвани от съдилищата, и стига тази практика да е съобразена с цел от обществен интерес и да е пропорционална на нея.

2)Член 17, параграф 3, буква д) от Регламент 2016/679

трябва да се тълкува в смисъл, че

не съдържа алтернативно условие за законосъобразност, на което би могло да отговаря дадено обработване, за да бъде в съответствие с член 5, параграф 1, буква а) от този регламент, и което да е различно от изброените в член 6, параграф 1, първа алинея от същия.

3)Член 5, параграф 1, буква в) от Регламент 2016/679 във връзка с член 52, параграф 1, второ изречение от Хартата на основните права

трябва да се тълкува в смисъл, че

стига да са изпълнени предвидените в член 5, параграф 1, буква в) от Регламент 2016/679 условия, принципът на „свеждане на данните до минимум“ не изисква съдът да гарантира, че при всяко обработване на лични данни е спазен принципът на пропорционалност, уверявайки се, че обработваните по този повод данни дават възможност и са строго необходими за постигането на преследваната с обработването цел и че тежестта на евентуалната намеса в основните права поради вземането предвид на такива данни при това обработване е съразмерна спрямо интереса му от използването на тези данни за целите на въпросното обработване.

4)Членове 7 и 8 от Хартата на основните права, член 5, параграф 1, член 6, параграф 1, първа алинея, буква в) във връзка с член 6, параграф 3 от Регламент 2016/679 и принципът на „свеждане на данните до минимум“

трябва да се тълкуват в смисъл, че

допускат националният съд да използва доказателства, съдържащи лични данни, които предалата му ги страна е получила в нарушение на правото на защита на личния живот и на правото на защита на личните данни, когато тази страна няма законен интерес от такова обработване, който да надхвърля интереса от простото доказване на изнесените от нея факти. За сметка на това, преди да ги разкрие на другите страни или на трети лица, този съд трябва да провери дали тези данни са ограничени до необходимото във връзка с целите на разкриването им и евентуално да вземе определени мерки, за да сведе до минимум нарушаването на правото на защита на личните данни, до което може да доведе въпросното разкриване.

5)Член 13, параграфи 1 и 2 от Регламент 2016/679

трябва да се тълкува в смисъл, че

допуска при изпълнение на съдебните си функции националният съд да използва данни, събрани от страни или трети лица, които не са спазили задълженията си за предоставяне на информация по тази разпоредба.

6)Регламент 2016/679

трябва да се тълкува в смисъл, че

съдът е длъжен в рамките на изпълнението на съдебните си функции да следи за спазването на този регламент, когато обработва лични данни на трети за съответното производство лица. Правото на Съюза не изисква едната от страните в производството да може да се позове на това, че в нарушение на правата, които тези трети лица черпят от посочения регламент, другата страна е събрала или съхранявала въпросните данни незаконосъобразно по смисъла на същия регламент.

Подписи

*Език на производството: немски.