ROZSUDOK SÚDNEHO DVORA (tretia komora)
z 2. marca 2023 (*)
„Návrh na začatie prejudiciálneho konania – Ochrana osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 6 ods. 3 a 4 – Zákonnosť spracovania – Predloženie dokumentu obsahujúceho osobné údaje v občianskom súdnom konaní – Článok 23 ods. 1 písm. f) a j) – Ochrana nezávislosti súdnictva a súdnych konaní – Vymáhanie občianskoprávnych nárokov – Požiadavky, ktoré sa majú dodržať – Zohľadnenie záujmu dotknutých osôb – Vyváženie protichodných záujmov – Článok 5 – Minimalizácia osobných údajov – Charta základných práv Európskej únie – Článok 7 – Právo na ochranu súkromia – Článok 8 – Právo na ochranu osobných údajov – Článok 47 – Právo na účinnú súdnu ochranu – Zásada proporcionality“
Vo veci C‑268/21,
ktorej predmetom je návrh na začatie prejudiciálneho konania podľa článku 267 ZFEÚ, podaný rozhodnutím Högsta domstolen (Najvyšší súd, Švédsko) z 15. apríla 2021 a doručený Súdnemu dvoru 23. apríla 2021, ktorý súvisí s konaním:
Norra Stockholm Bygg AB
proti
Per Nycander AB,
za účasti:
Entral AB,
SÚDNY DVOR (tretia komora),
v zložení: predsedníčka tretej komory K. Jürimäe, sudcovia M. L. Arastey Sahún, N. Piçarra, N. Jääskinen (spravodajca) a M. Gavalec,
generálna advokátka: T. Ćapeta,
tajomník: C. Strömholm, referentka,
so zreteľom na písomnú časť konania a po pojednávaní z 27. júna 2022,
so zreteľom na pripomienky, ktoré predložili:
– Norra Stockholm Bygg AB, v zastúpení: H. Täng Nilsson a E. Wassén, advokater,
– Per Nycander AB, v zastúpení: P. Degerfeldt a V. Hermansson, advokater,
– švédska vláda, v zastúpení: C. Meyer‑Seitz, H. Shev a O. Simonsson, splnomocnení zástupcovia,
– česká vláda, v zastúpení: O. Serdula, M. Smolek a J. Vláčil, splnomocnení zástupcovia,
– poľská vláda, v zastúpení: B. Majczyna a J. Sawicka, splnomocnení zástupcovia,
– Európska komisia, v zastúpení: A. Bouchagiar, M. Gustafsson a H. Kranenborg, splnomocnení zástupcovia,
po vypočutí návrhov generálnej advokátky na pojednávaní 6. októbra 2022,
vyhlásil tento
Rozsudok
1 Návrh na začatie prejudiciálneho konania sa týka výkladu článku 6 ods. 3 a 4 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1; ďalej len „GDPR“).
2 Tento návrh bol podaný v rámci sporu medzi spoločnosťami Norra Stockholm Bygg AB (ďalej len „Fastec“) a Per Nycander AB (ďalej len „Nycander“) vo veci žiadosti o poskytnutie elektronického registra zamestnancov spoločnosti Fastec, ktorí vykonali práce pre Nycander, s cieľom určiť objem práce, ktorú má táto spoločnosť uhradiť.
Právny rámec
Právo Únie
3 Odôvodnenia 1, 2, 4, 20, 26, 45 a 50 GDPR znejú takto:
„(1) Ochrana fyzických osôb v súvislosti so spracúvaním osobných údajov patrí medzi základné práva. V článku 8 ods. 1 Charty základných práv Európskej únie (ďalej len ‚Charta‘) a v článku 16 ods. 1 (ZFEÚ) sa stanovuje, že každý má právo na ochranu osobných údajov, ktoré sa ho týkajú.
(2) V zásadách a pravidlách ochrany fyzických osôb pri spracúvaní ich osobných údajov by sa bez ohľadu na ich štátnu príslušnosť alebo bydlisko mali rešpektovať ich základné práva a slobody, najmä ich právo na ochranu osobných údajov. Týmto nariadením sa má prispieť k dobudovaniu priestoru slobody, bezpečnosti a spravodlivosti a hospodárskej únie, k hospodárskemu a sociálnemu pokroku, k posilneniu a zbližovaniu ekonomík v rámci vnútorného trhu a ku prospechu fyzických osôb.
…
(4) Spracúvanie osobných údajov by malo byť určené na to, aby slúžilo ľudstvu. Právo na ochranu osobných údajov nie je absolútne právo; musí sa posudzovať vo vzťahu k jeho funkcii v spoločnosti a musí byť vyvážené s ostatnými základnými právami, a to v súlade so zásadou proporcionality. …
…
(20) Hoci sa toto nariadenie okrem iného vzťahuje aj na činnosti súdov a iných justičných orgánov, mohli by sa v práve Únie alebo v práve členského štátu spresniť spracovateľské operácie a spracovateľské postupy týkajúce sa spracúvania osobných údajov zo strany súdov a iných justičných orgánov. …
…
(26) Zásady ochrany údajov by sa mali vzťahovať na všetky informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby. Osobné údaje, ktoré boli pseudonymizované a ktoré by sa mohli použitím dodatočných informácií priradiť fyzickej osobe, by sa mali považovať za informácie o identifikovateľnej fyzickej osobe. … Zásady ochrany údajov by sa preto nemali uplatňovať na anonymné informácie, konkrétne na informácie, ktoré sa nevzťahujú na identifikovanú alebo identifikovateľnú fyzickú osobu, ani na osobné údaje, ktoré sa stali anonymnými takým spôsobom, že dotknutá osoba nie je alebo už nie je identifikovateľná. …
…
(45) Ak sa spracúvanie vykonáva v súlade so zákonnými povinnosťami, ktoré má prevádzkovateľ, alebo ak je spracúvanie potrebné na splnenie úlohy realizovanej vo verejnom záujme alebo z úradnej moci, základ pre spracúvanie by mal existovať v práve Únie alebo v práve členského štátu. … Za dostatočný možno považovať právny predpis, ktorý je základom pre viaceré spracovateľské operácie založené na zákonnej povinnosti, ktorá sa vzťahuje na prevádzkovateľa, alebo ak je spracúvanie nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci. Na základe práva Únie alebo práva členského štátu by sa tiež malo rozhodovať o účele spracúvania. …
…
(50) Spracúvanie osobných údajov na iné účely ako na účely, na ktoré boli osobné údaje pôvodne získané, by malo byť umožnené len vtedy, ak je toto spracúvanie zlučiteľné s účelmi, na ktoré boli osobné údaje pôvodne získané. V takom prípade sa nevyžaduje žiadny iný samostatný právny základ, než je právny základ, ktorý umožňoval získavanie osobných údajov. Ak je spracúvanie potrebné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi, v práve Únie alebo v práve členského štátu sa môžu stanoviť a upraviť úlohy a účely, v prípade ktorých by sa malo ďalšie spracúvanie považovať za zlučiteľné a zákonné. … Právny základ pre spracúvanie osobných údajov, ktorý je zakotvený v práve Únie alebo v práve členského štátu, môže byť aj právnym základom pre ďalšie spracúvanie. …
Ak dotknutá osoba udelila súhlas alebo sa spracúvanie zakladá na práve Únie alebo práve členského štátu, ktoré predstavuje potrebné a primerané opatrenie v demokratickej spoločnosti, najmä na ochranu dôležitých verejných záujmov, mal by mať prevádzkovateľ možnosť osobné údaje ďalej spracúvať bez ohľadu na zlučiteľnosť účelov. V každom prípade by sa malo zabezpečiť uplatnenie zásad stanovených v tomto nariadení, najmä povinnosti informovať dotknutú osobu o týchto iných účeloch a o jej právach vrátane práva namietať. …“
4 Článok 2 tohto nariadenia s názvom „Vecná pôsobnosť“ stanovuje:
„1. Toto nariadenie sa vzťahuje na spracúvanie osobných údajov vykonávané úplne alebo čiastočne automatizovanými prostriedkami a na spracúvanie inými než automatizovanými prostriedkami v prípade osobných údajov, ktoré tvoria súčasť informačného systému alebo sú určené na to, aby tvorili súčasť informačného systému.
2. Toto nariadenie sa nevzťahuje na spracúvanie osobných údajov:
a) v rámci činnosti, ktorá nepatrí do pôsobnosti práva Únie;
b) členskými štátmi pri vykonávaní činností patriacich do rozsahu pôsobnosti kapitoly 2 hlavy V ZEÚ;
c) fyzickou osobou v rámci výlučne osobnej alebo domácej činnosti;
d) príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania, alebo výkonu trestných sankcií vrátane ochrany pred ohrozením verejnej bezpečnosti a jeho predchádzania.
3. Na spracúvanie osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie sa uplatňuje nariadenie [Európskeho parlamentu a Rady] (ES) č. 45/2001 [z 18. decembra 2000 o ochrane jednotlivcov so zreteľom na spracovanie osobných údajov inštitúciami a orgánmi spoločenstva a o voľnom pohybe takýchto údajov (Ú. v. ES L 8, 2001, s. 1; Mim. vyd. 13/026, s. 102)]. Nariadenie [č. 45/2001] a ostatné právne akty Únie uplatniteľné na takéto spracúvanie osobných údajov sa upravia podľa zásad a pravidiel tohto nariadenia v súlade s článkom 98.“
5 Podľa článku 4 uvedeného nariadenia:
„Na účely tohto nariadenia sa uplatňujú nasledujúce vymedzenia pojmov:
…
2. ‚spracúvanie‘ je operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov, napríklad získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia, bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami;
…
5. ‚pseudonymizácia‘ je spracúvanie osobných údajov takým spôsobom, aby osobné údaje už nebolo možné priradiť konkrétnej dotknutej osobe bez použitia dodatočných informácií, pokiaľ sa takéto dodatočné informácie uchovávajú oddelene a vzťahujú sa na ne technické a organizačné opatrenia s cieľom zabezpečiť, aby osobné údaje neboli priradené identifikovanej alebo identifikovateľnej fyzickej osobe;
…“
6 Článok 5 toho istého nariadenia, nazvaný „Zásady spracúvania osobných údajov“, vo svojom odseku 1 stanovuje:
„Osobné údaje musia byť:
a) spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe (‚zákonnosť, spravodlivosť a transparentnosť‘);
b) získavané na konkrétne určené, výslovne uvedené a legitímne účely a nesmú sa ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s týmito účelmi… (‚obmedzenie účelu‘);
c) primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú (‚minimalizácia údajov‘);
d) správne a podľa potreby aktualizované; musia sa prijať všetky potrebné opatrenia, aby sa zabezpečilo, že sa osobné údaje, ktoré sú nesprávne z hľadiska účelov, na ktoré sa spracúvajú, bezodkladne vymažú alebo opravia (‚správnosť‘);
…“
7 Článok 6 GDPR, ktorý má názov „Zákonnosť spracúvania“, stanovuje:
„1. Spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z týchto podmienok:
a) dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov na jeden alebo viaceré konkrétne účely;
…
c) spracúvanie je nevyhnutné na splnenie zákonnej povinnosti prevádzkovateľa;
…
e) spracúvanie je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi;
…
3. Základ pre spracúvanie uvedené v odseku 1 písm. c) a e) musí byť stanovený:
a) v práve Únie alebo
b) v práve členského štátu vzťahujúcom sa na prevádzkovateľa.
Účel spracúvania sa stanoví v tomto právnom základe, alebo pokiaľ ide o spracúvanie uvedené v odseku 1 písm. e), spracúvanie je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi. … Právo Únie alebo právo členského štátu musí spĺňať cieľ verejného záujmu a byť primerané sledovanému oprávnenému cieľu.
4. Ak spracúvanie na iné účely ako na účely, na ktoré boli osobné údaje získavané, nie je založené na súhlase dotknutej osoby alebo na práve Únie alebo práve členského štátu, ktoré predstavuje potrebné a primerané opatrenie v demokratickej spoločnosti na ochranu cieľov uvedených v článku 23 ods. 1, prevádzkovateľ na zistenie toho, či je spracúvanie na iný účel zlučiteľné s účelom, na ktorý boli osobné údaje pôvodne získané, okrem iného zohľadní:
a) akékoľvek prepojenie medzi účelmi, na ktoré sa osobné údaje získali, a účelmi zamýšľaného ďalšieho spracúvania;
…“
8 Článok 23 tohto nariadenia s názvom „Obmedzenia“ stanovuje:
„1. V práve Únie alebo práve členského štátu, ktorému prevádzkovateľ alebo sprostredkovateľ podliehajú, sa prostredníctvom legislatívneho opatrenia môže obmedziť rozsah povinností a práv ustanovených v článkoch 12 až 22 a v článku 34, ako aj v článku 5, pokiaľ jeho ustanovenia zodpovedajú právam a povinnostiam ustanoveným v článkoch 12 až 22, ak takéto obmedzenie rešpektuje podstatu základných práv a slobôd a je nevyhnutným a primeraným opatrením v demokratickej spoločnosti s cieľom zaistiť:
…
f) ochranu nezávislosti súdnictva a súdnych konaní;
…
j) vymáhanie občianskoprávnych nárokov.
…“
Švédske právo
RB
9 Listinný dôkaz upravujú ustanovenia kapitoly 38 rättegångsbalken (Súdny poriadok, ďalej len „RB“).
10 Podľa § 2 prvého odseku kapitoly 38 RB každý, kto disponuje písomným dokumentom, o ktorom možno predpokladať, že má dôkaznú hodnotu, je povinný takýto dokument predložiť.
11 Výnimky z tejto povinnosti sú stanovené najmä v druhom odseku tohto ustanovenia. Výkon určitých funkcií oslobodzuje od tejto povinnosti, ak možno predpokladať, že držiteľ takéhoto dokumentu nemôže byť o obsahu tohto dokumentu vypočutý ako svedok. Táto výnimka sa vzťahuje na právnikov, lekárov, psychológov, kňazov a iné úradné osoby, ktorým boli informácie zverené pod ochranou mlčanlivosti pri výkone ich povolania alebo za podobných okolností. Rozsah uvedenej povinnosti teda zodpovedá povinnosti vypovedať pred súdom.
12 Ak je osoba povinná predložiť dokument ako dôkazný prostriedok, súd môže podľa § 4 kapitoly 38 RB nariadiť dotknutej osobe, aby ho predložila ako dôkaz.
Zákon o daňovom konaní
13 Podľa § 11a až 11c kapitoly 39 skatteförfarandelagen (2011:1244) [zákon (2011:1244) o daňovom konaní] každý, kto vykonáva podnikateľskú činnosť v oblasti výstavby, je povinný v niektorých prípadoch viesť elektronický register zamestnancov. V tomto registri zamestnancov musia byť uvedené informácie potrebné na identifikáciu osôb, ktoré sa podieľajú na tejto podnikateľskej činnosti. Táto povinnosť prislúcha zhotoviteľovi, ktorý ju však môže delegovať na nezávislý subjekt. Podľa § 12 kapitoly 39 tohto zákona musí mať k registru zamestnancov prístup švédsky daňový orgán.
14 Údaje, ktoré musia byť zaznamenané v registri zamestnancov, sú uvedené v § 5 kapitoly 9 skatteförfarandeförordningen (2011:1261) [nariadenie (2011:1261) o daňovom konaní]. Ide najmä o totožnosť a vnútroštátne identifikačné číslo každej osoby podieľajúcej sa na hospodárskej činnosti, ako aj o čas začatia a ukončenia práce.
Spor vo veci samej a prejudiciálne otázky
15 Spoločnosť Fastec postavila pre spoločnosť Nycander administratívnu budovu. Osoby pracujúce na predmetnej stavbe zaznamenali svoju prítomnosť prostredníctvom elektronického registra zamestnancov. Tento register zamestnancov poskytla spoločnosť Entral AB, konajúca v mene spoločnosti Fastec.
16 Fastec podala na tingsrätt (súd prvej inštancie, Švédsko) žalobu, ktorou sa domáhala zaplatenia vykonaných prác. V rámci tejto žaloby sa Fastec domáhala, aby jej Nycander zaplatila sumu, ktorá podľa spoločnosti Fastec zodpovedá zostatku jej pohľadávky voči spoločnosti Nycander. Táto spoločnosť namietala proti požiadavke spoločnosti Fastec, pričom najmä tvrdila, že počet hodín odpracovaných zamestnancami spoločnosti Fastec je nižší ako počet hodín uvedený v tejto žiadosti.
17 Nycander pred týmto súdom navrhla, aby sa spoločnosti Entral nariadilo predložiť register zamestnancov spoločnosti Fastec za obdobie od 1. augusta 2016 do 30. novembra 2017, a to primárne v nezmenenej podobe, a subsidiárne s utajením vnútroštátnych identifikačných čísiel dotknutých osôb. Na podporu tohto návrhu Nycander uviedla, že Entral má k dispozícii tento register zamestnancov a že uvedený register môže predstavovať dôležitý dôkaz na účely rozhodnutia o žalobe spoločnosti Fastec, keďže údaje zaznamenané v uvedenom registri zamestnancov umožňujú preukázať hodiny odpracované zamestnancami spoločnosti Fastec.
18 Fastec s týmto návrhom nesúhlasila, pričom v prvom rade tvrdila, že tento návrh je v rozpore s článkom 5 ods. 1 písm. b) GDPR. Register zamestnancov spoločnosti Fastec obsahuje osobné údaje získané na účely kontroly činnosti tejto spoločnosti švédskym daňovým orgánom a nebolo by v súlade s týmto cieľom sprístupniť tieto údaje súdu.
19 Tingsrätt (súd prvej inštancie) nariadil spoločnosti Entral predložiť register zamestnancov spoločnosti Fastec v nezmenenej podobe, pokiaľ ide o zamestnancov, ktorí sa podieľali na stavbe dotknutej vo veci samej, počas posudzovaného obdobia. Svea hovrätt (Odvolací súd pre región Svea, Švédsko) potvrdil rozhodnutie tingsrätt (súd prvej inštancie).
20 Fastec podala proti rozhodnutiu Svea hovrätt (Odvolací súd pre región Svea) kasačný opravný prostriedok na Högsta domstolen (Najvyšší súd, Švédsko), ktorý podal návrh na začatie prejudiciálneho konania, a navrhla zamietnuť návrh spoločnosti Nycander uvedený v bode 17 tohto rozsudku.
21 Vnútroštátny súd sa pýta, či sa majú uplatniť, a prípadne ako sa majú uplatniť ustanovenia GDPR vo veci samej.
22 Pokiaľ ide o povinnosť predložiť dokumenty, tento súd uvádza, že z jeho vlastnej judikatúry týkajúcej sa výkladu relevantných ustanovení RB vyplýva, že je potrebné zvážiť relevantnosť predmetných dôkazov a záujem protistrany nezverejniť tieto dôkazy. Spresňuje, že v rámci tohto zváženia sa v zásade nezohľadňuje súkromná povaha informácií obsiahnutých v dotknutom dokumente alebo záujem iných osôb na prístupe k obsahu tohto dokumentu, nad rámec toho, čo môže vyplývať z výnimiek osobitne stanovených právnou úpravou.
23 Uvedený súd spresňuje, že cieľom povinnosti predložiť dokument stanovenej v RB je najmä umožniť každému, kto potrebuje dokument ako dôkaz, aby mal k nemu prístup. V konečnom dôsledku ide o zabezpečenie výkonu práv jednotlivcov v prípadoch, keď existuje „oprávnený záujem na predložení dôkazu“.
24 Za týchto podmienok Högsta domstolen (Najvyšší súd) rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:
„1. Stanovuje článok 6 ods. 3 a 4 [GDPR] tiež požiadavku, ktorá sa vzťahuje na vnútroštátne procesné právne predpisy týkajúce sa [povinnosti predložiť dokumenty]?
2. V prípade kladnej odpovede na prvú otázku: vyplýva z [GDPR], že pri posudzovaní, či je potrebné nariadiť [predloženie] dokumentu obsahujúceho osobné údaje, sa musia zohľadniť aj záujmy dotknutých osôb? Stanovuje za takýchto okolností právo Únie nejaké bližšie požiadavky týkajúce sa spôsobu vykonania takéhoto posúdenia?“
O prejudiciálnych otázkach
O prvej otázke
25 Svojou prvou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 6 ods. 3 a 4 GDPR vykladať v tom zmysle, že toto ustanovenie sa v rámci občianskeho súdneho konania uplatňuje na predloženie registra zamestnancov, ktorý obsahuje osobné údaje tretích osôb získané najmä na účely daňovej kontroly, ako dôkazu.
26 S cieľom odpovedať na túto otázku treba v prvom rade uviesť, že článok 2 ods. 1 GDPR stanovuje, že toto nariadenie sa vzťahuje na každé „spracúvanie osobných údajov vykonávané úplne alebo čiastočne automatizovanými prostriedkami a na spracúvanie inými než automatizovanými prostriedkami v prípade osobných údajov, ktoré tvoria súčasť informačného systému alebo sú určené na to, aby tvorili súčasť informačného systému“, bez toho, aby sa rozlišovalo podľa totožnosti dotknutého spracovateľa. Z toho vyplýva, že s výnimkou prípadov uvedených v jeho článku 2 ods. 2 a 3 sa GDPR uplatňuje na spracovateľské operácie vykonávané tak súkromnými osobami, ako aj orgánmi verejnej moci, vrátane súdnych orgánov, akými sú súdy (rozsudok z 24. marca 2022, Autoriteit Persoonsgegevens, C‑245/20, EU:C:2022:216, bod 25).
27 V druhom rade podľa článku 4 bodu 2 tohto nariadenia pod definíciu „spracúvanie“ patrí každá operácia s osobnými údajmi alebo súbormi osobných údajov, napríklad získavanie, zaznamenávanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, bez ohľadu na to, či sa vykonáva automatizovanými alebo neautomatizovanými prostriedkami.
28 Z toho vyplýva, že spracúvanie osobných údajov, ktoré patrí do vecnej pôsobnosti GDPR, predstavuje nielen vytvorenie a vedenie elektronického registra zamestnancov (pozri analogicky rozsudok z 30. mája 2013, Worten, C‑342/12, EU:C:2013:355, bod 19), ale aj predloženie digitálneho alebo fyzického dokumentu obsahujúceho takéto osobné údaje ako dôkaz, nariadené súdom v rámci súdneho konania [pozri v tomto zmysle rozsudok z 8. decembra 2022, Inspektor v Inspektorata kăm Visšia sădeben săvet (Účel spracúvania osobných údajov – Trestné vyšetrovanie), C‑180/21, EU:C:2022:967, bod 72].
29 V treťom rade treba zdôrazniť, že akékoľvek spracúvanie osobných údajov, vrátane spracúvania vykonávaného orgánmi verejnej moci, akými sú súdy, musí spĺňať podmienky zákonnosti stanovené v článku 6 GDPR.
30 V tejto súvislosti treba po prvé uviesť, že podľa článku 6 ods. 1 písm. e) GDPR je spracovanie osobných údajov zákonné, ak je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi.
31 V súlade s článkom 6 ods. 3 nariadenia GDPR v spojení s odôvodnením 45 tohto nariadenia musí byť základ pre spracúvanie podľa článku 6 ods. 1 písm. e) tohto nariadenia stanovený v práve Únie alebo v práve členského štátu vzťahujúceho sa na prevádzkovateľa. Okrem toho právo Únie alebo právo členských štátov musí spĺňať cieľ verejného záujmu a byť primerané sledovanému oprávnenému cieľu.
32 Ustanovenia článku 6 ods. 1 písm. e) GDPR v spojení s článkom 6 ods. 3 tohto nariadenia teda vyžadujú existenciu právneho základu, najmä vo vnútroštátnom práve, pre spracúvanie osobných údajov prevádzkovateľmi uvedeného spracovania, ktorí konajú v rámci plnenia úlohy vo verejnom záujme alebo pri výkone verejnej moci, ako sú úlohy, ktoré vykonávajú súdy pri výkone svojich súdnych funkcií.
33 Po druhé, ak sa spracúvanie osobných údajov vykonáva na iný účel, než na ktorý boli tieto údaje získané, z článku 6 ods. 4 GDPR v spojení s odôvodnením 50 tohto nariadenia vyplýva, že takéto spracúvanie je prípustné pod podmienkou, že je založené okrem iného na práve členského štátu a že predstavuje v demokratickej spoločnosti potrebné a primerané opatrenie na zabezpečenie jedného z cieľov uvedených v článku 23 ods. 1 GDPR. Ako sa uvádza v tomto odôvodnení, na účely zachovania týchto dôležitých cieľov všeobecného verejného záujmu je prevádzkovateľ oprávnený ďalej spracúvať osobné údaje bez ohľadu na zlučiteľnosť tohto spracovania s účelmi, na ktoré boli osobné údaje pôvodne získané.
34 V prejednávanej veci relevantné ustanovenia kapitoly 38 RB, ktoré stanovujú povinnosť predložiť dokument ako dôkaz a možnosť vnútroštátnych súdov nariadiť predloženie tohto dokumentu, predstavujú právny základ slúžiaci ako základ pre spracúvanie osobných údajov. Hoci tieto ustanovenia v zásade predstavujú dostatočný právny základ na povolenie takéhoto spracúvania, z rozhodnutia vnútroštátneho súdu vyplýva, že tento právny základ je odlišný od právneho základu tvoreného zákonom o daňovom konaní, na základe ktorého bol register zamestnancov dotknutý vo veci samej vypracovaný na účely daňovej kontroly. Okrem toho cieľom povinnosti predloženia upravenej týmito ustanoveniami RB je podľa vnútroštátneho súdu umožniť každému, kto potrebuje dokument ako dôkaz, aby mal k nemu prístup. Podľa vnútroštátneho súdu ide o zabezpečenie toho, aby osoba podliehajúca súdnej právomoci mohla uplatniť svoje práva, ak existuje „oprávnený záujem na predložení dôkazu“.
35 Podľa vnútroštátneho súdu z prípravných prác na zákone o daňovom konaní vyplýva, že osobné údaje zaznamenané v registri zamestnancov majú za cieľ umožniť úradníkom príslušného švédskeho daňového orgánu vykonať počas kontrol na mieste porovnanie. Hlavným cieľom je predchádzať nedeklarovanej práci a vytvoriť zdravšie podmienky hospodárskej súťaže. Spracúvanie osobných údajov je odôvodnené potrebou splniť zákonnú povinnosť, ktorej prevádzkovateľ podlieha, a to viesť register zamestnancov.
36 Preto treba konštatovať, že spracúvanie týchto údajov v rámci súdneho konania, o aké ide vo veci samej, predstavuje spracúvanie vykonané na iný účel, ako je ten, na ktorý boli údaje získané, teda na účely daňovej kontroly, a ktoré nie je založené na súhlase dotknutých osôb v zmysle článku 6 ods. 1 písm. a) GDPR.
37 Za týchto podmienok musí byť spracúvanie osobných údajov na iný účel, než na ktorý boli tieto údaje získané, založené nielen na vnútroštátnom práve, ako sú ustanovenia kapitoly 38 RB, ale aj predstavovať nevyhnutné a primerané opatrenie v demokratickej spoločnosti v zmysle článku 6 ods. 4 GDPR a zaručiť jeden z cieľov uvedených v článku 23 ods. 1 GDPR.
38 K týmto cieľom patrí v súlade s článkom 23 ods. 1 písm. f) tohto nariadenia „ochrana nezávislosti súdnictva a súdnych konaní“, pričom tento cieľ treba, ako uviedla Európska komisia vo svojich písomných pripomienkach, chápať tak, že sa týka ochrany výkonu spravodlivosti pred vnútornými alebo vonkajšími zásahmi, ale aj riadneho výkonu spravodlivosti. Okrem toho podľa odseku 1 písm. j) tohto článku vymáhanie občianskoprávnych nárokov predstavuje tiež cieľ, ktorý môže odôvodniť spracúvanie osobných údajov na iný účel, než na ktorý boli získané. Nie je teda vylúčené, že spracúvanie osobných údajov tretích osôb v rámci občianskeho súdneho konania môže byť založené na takýchto cieľoch.
39 Vnútroštátnemu súdu však prináleží overiť, či relevantné ustanovenia kapitoly 38 RB na jednej strane zodpovedajú jednému alebo druhému z týchto cieľov a na druhej strane či sú potrebné a primerané uvedeným cieľom, takže môžu patriť medzi prípady spracúvania osobných údajov, ktoré možno považovať za zákonné podľa ustanovení článku 6 ods. 3 a 4 GDPR v spojení s článkom 23 ods. 1 písm. f) a j) tohto nariadenia.
40 V tejto súvislosti nie je podstatné, či sa spracúvanie osobných údajov zakladá na ustanovení vnútroštátneho hmotného alebo procesného práva, keďže ustanovenia článku 6 ods. 3 písm. b) a článku 6 ods. 4 tohto nariadenia nerozlišujú medzi týmito dvoma druhmi ustanovení.
41 Vzhľadom na všetky predchádzajúce úvahy treba na prvú otázku odpovedať tak, že článok 6 ods. 3 a 4 GDPR sa má vykladať v tom zmysle, že toto ustanovenie sa v rámci občianskeho súdneho konania uplatňuje na predloženie registra zamestnancov, ktorý obsahuje osobné údaje tretích osôb získané hlavne na účely daňovej kontroly, ako dôkazu.
O druhej otázke
42 Svojou druhou otázkou sa vnútroštátny súd v podstate pýta, či sa články 5 a 6 GDPR majú vykladať v tom zmysle, že vnútroštátny súd je pri posudzovaní, či je potrebné nariadiť predloženie dokumentu obsahujúceho osobné údaje v občianskom súdnom konaní, povinný zohľadniť záujmy dotknutých osôb. V prípade kladnej odpovede sa tento súd okrem toho pýta, či právo Únie, a najmä GDPR, stanovuje osobitné požiadavky vzhľadom na spôsoby tohto posúdenia.
43 V prvom rade treba zdôrazniť, že každé spracúvanie osobných údajov musí s výhradou výnimiek povolených v jeho článku 23 rešpektovať zásady upravujúce spracúvanie osobných údajov, ako aj práva dotknutej osoby uvedené v kapitolách II a III tohto nariadenia. Konkrétne musí každé spracúvanie osobných údajov na jednej strane byť v súlade so zásadami stanovenými v článku 5 uvedeného nariadenia a na druhej strane spĺňať podmienky týkajúce sa zákonnosti vymenované v článku 6 toho istého nariadenia (pozri v tomto zmysle rozsudok zo 6. októbra 2020, La Quadrature du Net a i., C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 208, ako aj citovanú judikatúru).
44 V prejednávanej veci vnútroštátny súd uvádza, že relevantné ustanovenia kapitoly 38 RB pri posudzovaní otázky, či sa má nariadiť predloženie dokumentu obsahujúceho osobné údaje, výslovne nevyžadujú zohľadnenie záujmov osôb, ktorých osobné údaje sú dotknuté. V súlade s vnútroštátnou judikatúrou tieto ustanovenia vyžadujú len zváženie relevantnosti dôkazu a záujmu protistrany nezverejniť predmetné informácie.
45 Ako bolo uvedené v bode 39 tohto rozsudku, keďže sa tieto ustanovenia vnútroštátneho práva týkajú predloženia dokumentu ako dôkazu, pravdepodobne patria do rozsahu prípadov spracúvania osobných údajov, ktoré sa považujú za zákonné podľa ustanovení článku 6 ods. 3 a 4 GDPR v spojení s článkom 23 ods. 1 písm. f) a j) tohto nariadenia. Je to tak, pokiaľ tieto ustanovenia na jednej strane majú za cieľ zabezpečiť hladký priebeh súdneho konania tým, že zaručujú, aby osoba podliehajúca súdnej právomoci mohla uplatniť svoje práva v prípade, že existuje „oprávnený záujem na predložení dôkazu“, a na druhej strane za predpokladu, že sú nevyhnutné a primerané tomuto cieľu.
46 Z článku 6 ods. 4 GDPR totiž vyplýva, že takéto spracúvanie osobných údajov je zákonné pod podmienkou, že v demokratickej spoločnosti predstavuje nevyhnutné a primerané opatrenia na zabezpečenie cieľov uvedených v článku 23 GDPR, ktoré sledujú. Z toho vyplýva, že na účely overenia týchto požiadaviek je vnútroštátny súd povinný zohľadniť existujúce protichodné záujmy pri posudzovaní možnosti nariadiť predloženie dokumentu obsahujúceho osobné údaje tretích osôb.
47 V tejto súvislosti treba zdôrazniť, že výsledok zváženia, ktoré musí vykonať vnútroštátny súd, sa môže líšiť tak v závislosti od okolností každej veci, ako aj od predmetného typu konania.
48 Pokiaľ ide o záujmy existujúce v rámci občianskeho súdneho konania, vnútroštátny súd musí, ako vyplýva najmä z odôvodnení 1 a 2 GDPR, zabezpečiť ochranu fyzických osôb v súvislosti so spracúvaním osobných údajov, ktoré je základným právom zakotveným v článku 8 ods. 1 Charty a článku 16 ZFEÚ. Tento súd musí tiež zaručiť právo na rešpektovanie súkromného života zakotvené v článku 7 Charty, ktoré úzko súvisí s právom na ochranu osobných údajov.
49 Ako však uvádza odôvodnenie 4 GDPR, právo na ochranu osobných údajov nie je absolútnym právom, ale musí sa posudzovať vo vzťahu k jeho funkcii v spoločnosti a musí byť vyvážené v súlade so zásadou proporcionality s inými základnými právami, akým je právo na účinnú súdnu ochranu zaručené v článku 47 Charty.
50 Predloženie dokumentu obsahujúceho osobné údaje tretích osôb v rámci občianskeho súdneho konania prispieva, ako to v podstate uviedla generálna advokátka v bode 61 svojich návrhov, k dodržiavaniu tohto práva na účinnú súdnu ochranu.
51 V tejto súvislosti článok 47 druhý odsek Charty zodpovedajúci článku 6 ods. 1 Európskeho dohovoru o ochrane ľudských práv a základných slobôd, podpísaného v Ríme 4. novembra 1950, je podľa článku 52 ods. 3 Charty rovnaký ako zmysel a rozsah pôsobnosti, ktoré uvedený dohovor priznáva tomuto článku 6 ods. 1.
52 Podľa ustálenej judikatúry Európskeho súdu pre ľudské práva je vzhľadom na významné postavenie, ktoré má právo na spravodlivý proces v demokratickej spoločnosti, dôležité, aby mala osoba podliehajúca súdnej právomoci možnosť účinne sa brániť pred súdom a aby požívala rovnosť zbraní so svojou protistranou [pozri v tomto zmysle rozsudok ESĽP z 24. júna 2022, Zayidov v. Azerbaïdjan (N° 2), CE:ECHR:2022:0324JUD000538610, bod 87 a citovanú judikatúru]. Z toho najmä vyplýva, že osoba podliehajúca súdnej právomoci musí mať možnosť využiť kontradiktórne konanie a predložiť v rôznych štádiách tohto konania tvrdenia, ktoré považuje za relevantné pre obranu svojej veci (rozsudok ESĽP z 21. januára 1999, García Ruiz v. Španielsko, CE:ECHR:1999:0121JUD003054496, bod 29).
53 Preto s cieľom zabezpečiť, aby osoby podliehajúce súdnej právomoci mohli požívať právo na účinnú súdnu ochranu, a najmä právo na spravodlivý proces v zmysle článku 47 druhého odseku Charty, treba konštatovať, že účastníci občianskeho súdneho konania musia mať možnosť získať prístup k dôkazom potrebným na dostatočné preukázanie dôvodnosti svojich výhrad, ktoré môžu prípadne zahŕňať osobné údaje účastníkov konania alebo tretích osôb.
54 Vzhľadom na to, ako bolo uvedené v bode 46 tohto rozsudku, zohľadnenie prítomných záujmov patrí do rámca preskúmania nevyhnutnosti a primeranosti opatrenia, ktoré sú stanovené v článku 6 ods. 3 a 4 GDPR a ktoré podmieňujú zákonnosť spracúvania osobných údajov. V tejto súvislosti je teda potrebné zohľadniť aj článok 5 ods. 1 tohto nariadenia, a najmä zásadu „minimalizácie údajov“ uvedenú v písm. c) tohto ustanovenia, ktorá vyjadruje zásadu proporcionality. Podľa tejto zásady minimalizácie údajov musia byť osobné údaje primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú [pozri v tomto zmysle rozsudok z 22. júna 2021, Latvijas Republikas Saeima (Pokutové body), C‑439/19, EU:C:2021:504, bod 98 a citovaná judikatúra].
55 Vnútroštátny súd je teda povinný určiť, či je sprístupnenie osobných údajov primerané a relevantné na účely zabezpečenia cieľa sledovaného uplatniteľnými ustanoveniami vnútroštátneho práva a či tento cieľ nemožno dosiahnuť použitím menej invazívnych dôkazných prostriedkov, pokiaľ ide o ochranu osobných údajov veľkého počtu tretích osôb, ako je napríklad vypočutie vybraných svedkov.
56 V prípade, že sa predloženie dokumentu obsahujúceho osobné údaje ukáže ako odôvodnené, z uvedenej zásady navyše vyplýva, že ak sa na účely dokazovania ukáže, že len časť týchto údajov je potrebná na účely dokazovania, vnútroštátny súd musí zvážiť prijatie dodatočných opatrení v oblasti ochrany osobných údajov, ako je pseudonymizácia mien dotknutých osôb v zmysle článku 4 ods. 5 GDPR alebo akékoľvek iné opatrenie, ktorého cieľom je minimalizovať zásah do práva na ochranu osobných údajov, ktorý predstavuje predloženie takéhoto dokumentu. Takéto opatrenia môžu zahŕňať najmä obmedzenie prístupu verejnosti k spisu alebo príkaz adresovaný účastníkom konania, ktorým boli sprístupnené dokumenty obsahujúce osobné údaje, nepoužiť tieto údaje na iný účel ako na účel dokazovania v dotknutom súdnom konaní.
57 V tejto súvislosti treba spresniť, že z článku 4 bodu 5 GDPR v spojení s odôvodnením 26 tohto nariadenia vyplýva, že osobné údaje, ktoré boli pseudonymizované a ktoré by mohli byť priradené k fyzickej osobe za pomoci dodatočných informácií, treba považovať za informácie týkajúce sa identifikovateľnej fyzickej osoby, na ktoré sa uplatňujú zásady týkajúce sa ochrany údajov. Z tohto odôvodnenia naopak vyplýva, že tieto zásady sa neuplatňujú ani na „anonymné informácie, konkrétne na informácie, ktoré sa nevzťahujú na identifikovanú alebo identifikovateľnú fyzickú osobu, ani na osobné údaje, ktoré sa stali anonymnými takým spôsobom, že dotknutá osoba nie je alebo už nie je identifikovateľná“.
58 Z toho vyplýva, že vnútroštátny súd môže usúdiť, že mu musia byť poskytnuté osobné údaje účastníkov konania alebo tretích osôb, aby mohol s úplnou znalosťou veci a pri dodržaní zásady proporcionality zvážiť dotknuté záujmy. Toto posúdenie môže prípadne viesť k povoleniu úplného alebo čiastočného sprístupnenia osobných údajov, ktoré mu boli takto poskytnuté, protistrane, ak sa domnieva, že takéto sprístupnenie nejde nad rámec toho, čo je nevyhnutné na zabezpečenie účinného využívania práv, ktoré osobám podliehajúcim súdnej právomoci vyplývajú z článku 47 Charty.
59 Vzhľadom na všetky predchádzajúce úvahy treba na druhú otázku odpovedať tak, že články 5 a 6 GDPR sa majú vykladať v tom zmysle, že pri posudzovaní otázky, či sa má nariadiť predloženie dokumentu obsahujúceho osobné údaje, je vnútroštátny súd povinný zohľadniť záujmy dotknutých osôb a zvážiť ich v závislosti od okolností každého prípadu, typu predmetného konania a s náležitým zreteľom na požiadavky vyplývajúce zo zásady proporcionality, a najmä na požiadavky vyplývajúce zo zásady minimalizácie údajov uvedenej v článku 5 ods. 1 písm. c) tohto nariadenia.
O trovách
60 Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.
Z týchto dôvodov Súdny dvor (tretia komora) rozhodol takto:
1. Článok 6 ods. 3 a 4 nariadenia (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),
sa má vykladať v tom zmysle, že:
toto ustanovenie sa v rámci občianskeho súdneho konania uplatňuje na predloženie registra zamestnancov, ktorý obsahuje osobné údaje tretích osôb získané hlavne na účely daňovej kontroly, ako dôkazu.
2. Články 5 a 6 nariadenia 2016/679
sa majú vykladať v tom zmysle, že:
pri posudzovaní otázky, či sa má nariadiť predloženie dokumentu obsahujúceho osobné údaje, je vnútroštátny súd povinný zohľadniť záujmy dotknutých osôb a zvážiť ich v závislosti od okolností každého prípadu, typu predmetného konania a s náležitým zreteľom na požiadavky vyplývajúce zo zásady proporcionality, a najmä na požiadavky vyplývajúce zo zásady minimalizácie údajov uvedenej v článku 5 ods. 1 písm. c) tohto nariadenia.
Podpisy