WYROK TRYBUNAŁU (trzecia izba)
z dnia 2 marca 2023 r.(*)
Odesłanie prejudycjalne – Ochrona danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuł 6 ust. 3 i 4 – Zgodność przetwarzania z prawem – Przedstawienie dokumentu zawierającego dane osobowe w ramach cywilnego postępowania sądowego – Artykuł 23 ust. 1 lit. f) i j) – Ochrona niezależności sądów i postępowania sądowego – Egzekucja roszczeń cywilnoprawnych – Wymogi, które muszą być spełnione – Uwzględnienie interesu osób, których dane dotyczą – Wyważenie przeciwstawnych interesów – Artykuł 5 – Minimalizacja danych osobowych – Karta praw podstawowych Unii Europejskiej – Artykuł 7 – Prawo do poszanowania życia prywatnego – Artykuł 8 – Prawo do ochrony danych osobowych – Artykuł 47 – Prawo do skutecznej ochrony sądowej – Zasada proporcjonalności
W sprawie C‑268/21
mającej za przedmiot wniosek o wydanie, na podstawie art. 267 TFUE, orzeczenia w trybie prejudycjalnym, złożony przez Högsta domstolen (sąd najwyższy Szwecja) postanowieniem z dnia 15 kwietnia 2021 r., które wpłynęło do Trybunału w dniu 23 kwietnia 2021 r., w postępowaniu:
Norra Stockholm Bygg AB
przeciwko
Per Nycander AB,
przy udziale:
Entral AB,
TRYBUNAŁ (trzecia izba),
w składzie: K. Jürimäe, prezes izby, M. L. Arastey Sahún, N. Piçarra, N. Jääskinen (sprawozdawca) i M. Gavalec, sędziowie,
rzecznik generalny: T. Ćapeta,
sekretarz: C. Strömholm, administratorka,
uwzględniając pisemny etap postępowania i po przeprowadzeniu rozprawy w dniu 27 czerwca 2022 r.,
rozważywszy uwagi, które przedstawili:
– w imieniu Norra Stockholm Bygg AB – H. Täng Nilsson i M. E. Wassén, advokater,
– w imieniu Per Nycander AB – P. Degerfeldt i V. Hermansson, advokater,
– w imieniu rządu szwedzkiego – C. Meyer-Seitz, H. Shev i O. Simonsson, w charakterze pełnomocników,
– w imieniu rządu czeskiego – O. Serdula, M. Smolek i J. Vláčil, w charakterze pełnomocników,
– w imieniu rządu polskiego – B. Majczyna i J. Sawicka, w charakterze pełnomocników,
– w imieniu Komisji Europejskiej – A. Bouchagiar, M. Gustafsson i H. Kranenborg, w charakterze pełnomocników,
po zapoznaniu się z opinią rzecznika generalnego na posiedzeniu w dniu 6 października 2022 r.,
wydaje następujący
Wyrok
1 Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 6 ust. 3 i 4 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz.U. 2016, L 119, s. 1; sprostowania: Dz.U. 2018, L 127, s. 2; Dz.U. 2021, L 74, s. 35, zwanego dalej „RODO”).
2 Wniosek ten został złożony w ramach sporu pomiędzy Norra Stockholm Bygg AB (zwaną dalej „Fastekiem”) a spółką Per Nycander AB (zwaną dalej „Nycanderem”) w przedmiocie żądania udostępnienia elektronicznego rejestru pracowników Fasteca, którzy wykonywali na rzecz Nycandera prace, w celu określenia kwoty za wykonane prace, jakie ta ostatnia spółka powinna zapłacić.
Ramy prawne
Prawo Unii
3 Motywy 1, 2, 4, 20, 26, 45 i 50 RODO mają następujące brzmienie:
„(1) Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych jest jednym z praw podstawowych. Art[ykuł] 8 ust. 1 Karty praw podstawowych Unii Europejskiej (zwanej dalej »kartą«) oraz art. 16 ust. 1 [TFUE] stanowią, że każda osoba ma prawo do ochrony danych osobowych jej dotyczących.
(2) Zasady i przepisy dotyczące ochrony osób fizycznych w związku z przetwarzaniem ich danych osobowych nie mogą – niezależnie od obywatelstwa czy miejsca zamieszkania takich osób – naruszać ich podstawowych praw i wolności, w szczególności prawa do ochrony danych osobowych. Niniejsze rozporządzenie ma na celu przyczyniać się do tworzenia przestrzeni wolności, bezpieczeństwa i sprawiedliwości oraz unii gospodarczej, do postępu społeczno-gospodarczego, do wzmacniania i konwergencji gospodarek na rynku wewnętrznym, a także do pomyślności ludzi.
[…]
(4) Przetwarzanie danych osobowych należy zorganizować w taki sposób, aby służyło ludzkości. Prawo do ochrony danych osobowych nie jest prawem bezwzględnym; należy je postrzegać w kontekście jego funkcji społecznej i wyważyć względem innych praw podstawowych w myśl zasady proporcjonalności. […]
[…]
(20) Niniejsze rozporządzenie ma zastosowanie między innymi do działań sądów i innych organów wymiaru sprawiedliwości, niemniej prawo Unii lub prawo państwa członkowskiego może doprecyzować operacje i procedury przetwarzania danych osobowych przez sądy i inne organy wymiaru sprawiedliwości. […]
[…]
(26) Zasady ochrony danych powinny mieć zastosowanie do wszelkich informacji o zidentyfikowanych lub możliwych do zidentyfikowania osobach fizycznych. Spseudonimizowane dane osobowe, które przy użyciu dodatkowych informacji można przypisać osobie fizycznej, należy uznać za informacje o możliwej do zidentyfikowania osobie fizycznej. […] Zasady ochrony danych nie powinny więc mieć zastosowania do informacji anonimowych, czyli informacji, które nie wiążą się ze zidentyfikowaną lub możliwą do zidentyfikowania osobą fizyczną, ani do danych osobowych zanonimizowanych w taki sposób, że osób, których dane dotyczą, w ogóle nie można zidentyfikować lub już nie można zidentyfikować. […]
[…]
(45) Jeżeli przetwarzanie odbywa się w celu wypełnienia obowiązku prawnego, któremu podlega administrator, lub jeżeli jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej, podstawę przetwarzania powinno stanowić prawo Unii lub prawo państwa członkowskiego. […] Wystarczyć może to, że dane uregulowanie prawne stanowi podstawę różnych operacji przetwarzania wynikających z obowiązku prawnego, któremu podlega administrator, lub że przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej. Prawo Unii lub prawo państwa członkowskiego powinno określać także cel przetwarzania. […]
[…]
(50) Przetwarzanie danych osobowych do celów innych niż cele, w których dane te zostały pierwotnie zebrane, powinno być dozwolone wyłącznie w przypadkach, gdy jest zgodne z celami, w których dane osobowe zostały pierwotnie zebrane. W takim przypadku nie jest wymagana odrębna podstawa prawna inna niż podstawa prawna, która umożliwiła zbieranie danych osobowych. Jeżeli przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, prawo Unii lub prawo państwa członkowskiego mogą określać i precyzować zadania i cele, w których dalsze przetwarzanie powinno być uznawane za zgodne z prawem i z pierwotnymi celami. […] Podstawa prawna przetwarzania danych osobowych przewidziana prawem Unii lub prawem państwa członkowskiego może być również podstawą prawną dalszego przetwarzania. […]
Jeżeli osoba, której dane dotyczą, wyraziła zgodę lub jeżeli przetwarzanie ma za podstawę prawo Unii lub prawo państwa członkowskiego stanowiące w demokratycznym społeczeństwie niezbędny i proporcjonalny środek, który zapewnia w szczególności realizację ważnych celów leżących w ogólnym interesie publicznym, administrator powinien móc dokonać dalszego przetwarzania danych osobowych, bez względu na jego zgodność z pierwotnymi celami. W każdym przypadku należy zapewnić stosowanie zasad przewidzianych w niniejszym rozporządzeniu, w szczególności stosowanie zasady informowania osoby, której dane dotyczą, o tych innych celach oraz o jej prawach, w tym prawie do sprzeciwu. […]” .
4 Artykuł 2 tego rozporządzenia, zatytułowany „Materialny zakres stosowania”, stanowi:
„1. Niniejsze rozporządzenie ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych.
2. Niniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych:
a) w ramach działalności nieobjętej zakresem prawa Unii;
b) przez państwa członkowskie w ramach wykonywania działań wchodzących w zakres tytułu V rozdział 2 TUE;
c) przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze;
d) przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom.
3. Do przetwarzania danych osobowych przez instytucje, organy i jednostki organizacyjne Unii zastosowanie ma rozporządzenie (WE) nr 45/2001 [Parlamentu Europejskiego i Rady z dnia 18 grudnia 2000 r. o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje i organy wspólnotowe i o swobodnym przepływie takich danych (Dz.U. 2001, L 8, s. 1)]. Rozporządzenie [nr 45/2001] oraz inne unijne akty prawne mające zastosowanie do takiego przetwarzania danych osobowych zostają dostosowane do zasad i przepisów niniejszego rozporządzenia zgodnie z art. 98”.
5 Zgodnie z art. 4 tego rozporządzenia:
„Na użytek niniejszego rozporządzenia:
[…]
2) »przetwarzanie« oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie;
[…]
5) »pseudonimizacja« oznacza przetworzenie danych osobowych w taki sposób, by nie można ich było już przypisać konkretnej osobie, której dane dotyczą, bez użycia dodatkowych informacji, pod warunkiem że takie dodatkowe informacje są przechowywane osobno i są objęte środkami technicznymi i organizacyjnymi uniemożliwiającymi ich przypisanie zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej;
[…]” .
6 Artykuł 5 tego rozporządzenia, zatytułowany „Zasady dotyczące przetwarzania danych osobowych”, w ust. 1 stanowi:
„Dane osobowe muszą być:
a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (»zgodność z prawem, rzetelność i przejrzystość«);
b) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami […] (»ograniczenie celu«);
c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (»minimalizacja danych«);
d) prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane (»prawidłowość«);
[…]”.
7 Artykuł 6 RODO, zatytułowany „Zgodność przetwarzania z prawem”, stanowi:
„1. Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:
a) osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;
[…]
c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
[…]
e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
[…]
3. Podstawa przetwarzania, o którym mowa w ust. 1 lit. c) i e), musi być określona:
a) w prawie Unii; lub
b) w prawie państwa członkowskiego, któremu podlega administrator.
Cel przetwarzania musi być określony w tej podstawie prawnej lub, w przypadku przetwarzania, o którym mowa w ust. 1 lit. e) – musi być ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. […] Prawo Unii lub prawo państwa członkowskiego muszą służyć realizacji celu leżącego w interesie publicznym, oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu.
4. Jeżeli przetwarzanie w celu innym niż cel, w którym dane osobowe zostały zebrane, nie odbywa się na podstawie zgody osoby, której dane dotyczą, ani prawa Unii lub prawa państwa członkowskiego stanowiących w demokratycznym społeczeństwie niezbędny i proporcjonalny środek służący zagwarantowaniu celów, o których mowa w art. 23 ust. 1, administrator – aby ustalić, czy przetwarzanie w innym celu jest zgodne z celem, w którym dane osobowe zostały pierwotnie zebrane – bierze pod uwagę między innymi:
a) wszelkie związki między celami, w których zebrano dane osobowe, a celami zamierzonego dalszego przetwarzania;
[…]”.
8 Artykuł 23 tego rozporządzenia, zatytułowany „Ograniczenia”, stanowi:
„1. Prawo Unii lub prawo państwa członkowskiego, któremu podlegają administrator danych lub podmiot przetwarzający, może aktem prawnym ograniczyć zakres obowiązków i praw przewidzianych w art. 12–22 i w art. 34, a także w art. 5 – o ile jego przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 12–22 – jeżeli ograniczenie takie nie narusza istoty podstawowych praw i wolności oraz jest w demokratycznym społeczeństwie środkiem niezbędnym i proporcjonalnym, służącym:
[…].
f) ochronie niezależności sądów i postępowania sądowego;
[…]
j) egzekucji roszczeń cywilnoprawnych.
[…]”.
Prawo szwedzkie
RB
9 Dowód z dokumentów regulują przepisy rozdziału 38 rättegångsbalken (kodeksu postępowania sądowego, zwanego dalej „RB”).
10 Zgodnie z ujętym w rozdziale 38 RB § 2 akapit pierwszy każda osoba będąca w posiadaniu dokumentu, który można uznać za mający wartość dowodową, jest zobowiązana do przedstawienia tego dokumentu.
11 Wyjątki od tego obowiązku przedstawienia dokumentu są przewidziane w szczególności w akapicie drugim tego paragrafu. Niektórzy urzędnicy są zwolnieni z tego obowiązku, jeżeli można przypuszczać, że jego treść nie pozwala na przesłuchanie jego posiadacza w charakterze świadka w odniesieniu do tego dokumentu. Wyjątek ten dotyczy prawników, lekarzy, psychologów, księży i innych urzędników, którym powierzono informacje z zachowaniem poufności w związku z wykonywaniem zawodu lub w podobnych okolicznościach. Zakres wspomnianego obowiązku odpowiada zatem obowiązkowi stawiennictwa w charakterze świadka w postępowaniu sądowym.
12 Jeżeli dana osoba jest zobowiązana do przedstawienia dokumentu w charakterze dowodu, sąd może, zgodnie z rozdziałem 38 § 4 RB, nakazać zainteresowanemu przedstawienie dokumentu.
Ordynacja podatkowa
13 Zgodnie z rozdziałem 39 § 11a–11c skatteförfarandelagen (2011:1244) [ordynacji podatkowej (2011:1244)] każdy, kto prowadzi przedsiębiorstwo budowlane, musi w określonych przypadkach prowadzić elektroniczny rejestr pracowników. Ów rejestr pracowników musi zawierać niezbędne informacje identyfikacyjne dotyczące osób zaangażowanych w prace. Obowiązek ten spoczywa przede wszystkim na deweloperze, który może jednak powierzyć prowadzenie rejestru pracowników niezależnemu podmiotowi. Zgodnie z § 12 zawartym w rozdziale 39 tej ordynacji szwedzki organ podatkowy musi mieć dostęp do rejestru pracowników.
14 Dane, które mają być zarejestrowane w rejestrze pracowników, są określone w rozdziale 9 § 5 skatteförfarandeförordningen (2011:1261) [rozporządzenia o postepowaniu podatkowym (2011:1261)]. Dotyczy to w szczególności tożsamości i krajowego numeru identyfikacyjnego każdej osoby zaangażowanej w prace, jak również harmonogramu rozpoczęcia i zakończenia usług.
Postępowanie główne i pytania prejudycjalne
15 Fastec wybudował dla Nycandera budynek biurowy. Osoby wykonujące roboty na tej budowie odnotowywały swoją obecność w elektronicznym rejestrze pracowników. Rejestr pracowników dostarczała spółka Entral AB, która działała w imieniu Fasteca.
16 Fastec wniósł do tingsrätt (sądu pierwszej instancji, Szwecja) powództwo o zapłatę za wykonane roboty. W ramach tego powództwa Fastec zażądał od Nycandera zapłaty kwoty odpowiadającej zdaniem Fasteca pozostałej do zapłaty przez Nycander należności. Ta ostatnia spółka sprzeciwiła się żądaniu Fasteca, podnosząc w szczególności, że liczba godzin przepracowanych przez pracowników Fasteca jest niższa od wskazanej w tym wniosku.
17 Przed wspomnianym sądem Nycander wniósł o nakazanie Entralowi przedstawienia rejestru pracowników Fasteca w okresie od dnia 1 sierpnia 2016 r. do dnia 30 listopada 2017 r., tytułem głównym, w niezmienionej postaci lub ewentualnie z zakryciem osobistych numerów identyfikacyjnych osób, których dane dotyczą. Na poparcie tego wniosku Nycander podniósł, że Entral posiada ten rejestr pracowników i że wspomniany rejestr może stanowić istotny dowód dla rozstrzygnięcia w przedmiocie skargi Fasteca, ponieważ zapisane w tym rejestrze pracowników dane pozwalają na udowodnienie wymiaru godzin przepracowanych przez pracowników Fasteca.
18 Fastec sprzeciwił się temu żądaniu, podnosząc tytułem głównym, że jest ono sprzeczne z art. 5 ust. 1 lit. b) RODO. Rejestr pracowników Fasteca zawiera dane osobowe, które zebrano, w celu umożliwienia szwedzkiemu organowi podatkowemu przeprowadzania kontroli działalności tej spółki, oraz że ujawnienie tych danych przed sądem nie byłoby zgodne z tym celem.
19 Tingsrätt (sąd pierwszej instancji) nakazał Entralowi przedstawienie rejestru pracowników Fasteca za odpowiedni okres w odniesieniu do pracowników zaangażowanych w prace budowlane będące przedmiotem postępowania głównego, bez wprowadzania jakichkolwiek zmian redakcyjnych. Svea hovrätt (sąd apelacyjny z siedzibą w Sztokholmie, Szwecja) utrzymał w mocy orzeczenie tingsrätt (sądu pierwszej instancji).
20 Fastec wniósł odwołanie od orzeczenia Svea hovrätt (sądu apelacyjnego z siedzibą w Sztokholmie) do sądu odsyłającego, Högsta domstolen (sądu najwyższego, Szwecja), i wniósł o oddalenie żądania Nycandera, o którym mowa w pkt 17 niniejszego wyroku.
21 Sąd odsyłający zastanawia się, czy należy zastosować, a jeśli tak, to w jaki sposób, przepisy RODO w ramach postępowania głównego.
22 Co się tyczy obowiązku przedstawienia dokumentów, sąd ten zauważa, że z jego własnego orzecznictwa dotyczącego wykładni właściwych przepisów RB wynika, iż należy wyważyć znaczenie rozpatrywanych dowodów dla rozstrzygnięcia sprawy w postępowaniu głównym z interesem strony przeciwnej w nieujawnianiu tych dowodów. Wyjaśnia on, że w ramach tego wyważenia nie bierze się pod uwagę co do zasady prywatnego charakteru informacji zawartych w danym dokumencie lub interesu innych osób w uzyskaniu dostępu do treści tego dokumentu, poza tym, co może wynikać z wyjątków wyraźnie przewidzianych w ustawodawstwie.
23 Sąd ten wyjaśnia, że przewidziany w RB obowiązek przedstawienia dokumentu ma w szczególności na celu umożliwienie każdemu, kto potrzebuje dokumentu jako dowodu, dostępu do tego dokumentu. Ostatecznie chodzi o to, aby zapewnić jednostkom możliwość korzystania z przysługujących im praw, jeżeli mają „uzasadniony interes dowodowy”.
24 W tych okolicznościach Högsta domstolen (sąd najwyższy) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:
„1) Czy art. 6 ust. 3 i 4 RODO skutkują również ustanowieniem w krajowych przepisach proceduralnych wymogu w zakresie obowiązków [przedstawienia dokumentów]?
2) W przypadku odpowiedzi twierdzącej na pytanie pierwsze: Czy przepisy [RODO] oznaczają, że przy [ocenie kwestii, czy należy nakazać przedstawienie dokumentu zawierającego] dan[e] osobow[e], należy uwzględnić również interesy osób, których dane dotyczą? Czy w takich okolicznościach prawo Unii ustanawia jakiekolwiek wymogi dotyczące szczegółowego sposobu [dokonywania takiej oceny]?”.
W przedmiocie pytań prejudycjalnych
W przedmiocie pytania pierwszego
25 Poprzez pytanie pierwsze sąd odsyłający dąży w istocie do ustalenia, czy art. 6 ust. 3 i 4 RODO należy interpretować w ten sposób, że przepis ten ma zastosowanie w ramach cywilnego postępowania sądowego do przedstawienia jako dowodu rejestru pracowników zawierającego dane osobowe osób trzecich zebrane głównie do celów kontroli podatkowej.
26 W celu udzielenia odpowiedzi na to pytanie należy w pierwszej kolejności zauważyć, że art. 2 ust. 1 RODO przewiduje, iż rozporządzenie to ma zastosowanie do każdego „przetwarzania danych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych”, bez dokonywania rozróżnienia ze względu na tożsamość autora danego przetwarzania. Wynika z tego, że, z zastrzeżeniem przypadków wymienionych w jego art. 2 ust. 2 i 3, RODO ma zastosowanie do operacji przetwarzania dokonywanych zarówno przez osoby prywatne, jak i przez organy publiczne, w tym, jak wskazano w motywie 20 tego rozporządzenia, przez organy wymiaru sprawiedliwości takie jak sądy (wyrok z dnia 24 marca 2022 r., Autoriteit Persoonsgegevens, C‑245/20, EU:C:2022:216, pkt 25).
27 W drugiej kolejności zgodnie z art. 4 pkt 2 RODO pojęcie „przetwarzania” zdefiniowano jako operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany taką jak zbieranie, utrwalanie, wykorzystywanie, ujawnianie, rozpowszechnianie lub innego rodzaju udostępnianie.
28 Wynika z tego, że nie tylko utworzenie i prowadzenie elektronicznego rejestru pracowników stanowią przetwarzanie danych osobowych objęte przedmiotowym zakresem stosowania RODO (zob. analogicznie wyrok z dnia 30 maja 2013 r., Worten, C‑342/12, EU:C:2013:355, pkt 19), lecz również stanowi takie przetwarzanie przedstawienie jako dowodu dokumentu cyfrowego lub fizycznego, zawierającego takie dane osobowe, nakazane przez sąd w ramach postępowania sądowego [zob. podobnie wyrok z dnia 8 grudnia 2022 r., Inspektor v Inspektorata kam Visshia sadeben savet (Cele przetwarzania danych osobowych – Postępowanie karne), C‑180/21, EU:C:2022:967, pkt 72].
29 W trzeciej kolejności należy podkreślić, że każde przetwarzanie danych osobowych, w tym przetwarzanie przez organy publiczne takie jak sądy, musi spełniać warunki zgodności z prawem określone w art. 6 RODO.
30 W tym względzie należy zauważyć, po pierwsze, że zgodnie z art. 6 ust. 1 lit. e) RODO, zgodne z prawem jest przetwarzanie, gdy jest ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi.
31 Zgodnie z art. 6 ust. 3 RODO w związku z jego motywem 45, podstawa przetwarzania, o którym mowa w art. 6 ust. 1 lit. e) tego rozporządzenia, musi być określona w prawie Unii lub w prawie państwa członkowskiego, któremu podlega administrator. Ponadto prawo Unii lub prawo państwa członkowskiego muszą służyć realizacji celu leżącego w interesie publicznym oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu.
32 Łącznie interpretowane przepisy art. 6 ust. 1 lit. e) RODO w związku z art. 6 ust. 3 tego rozporządzenia wymagają zatem istnienia podstawy prawnej, w szczególności w prawie krajowym, w oparciu o którą dokonuje się przetwarzania danych osobowych przez administratorów działających w ramach wykonywania zadania realizowanego w interesie publicznym lub zadania w ramach sprawowania władzy publicznej, takich jak wykonywane przez sądy w ramach ich funkcji sądowniczych.
33 Po drugie, jeżeli przetwarzanie danych osobowych odbywa się w celu innym niż cel, w którym dane te zostały zebrane, z art. 6 ust. 4 RODO w związku z motywem 50 tego rozporządzenia wynika, że takie przetwarzanie jest dozwolone, pod warunkiem że opiera się, w szczególności, na prawie państwa członkowskiego i stanowi w demokratycznym społeczeństwie niezbędny i proporcjonalny środek służący zagwarantowaniu jednego z celów, o których mowa w art. 23 ust. 1 RODO. Jak wskazano w tym motywie, aby zapewnić realizację tych ważnych celów leżących w ogólnym interesie publicznym, administrator jest uprawniony do dalszego przetwarzania danych osobowych bez względu na zgodność tego przetwarzania z celami, w których dane osobowe zostały pierwotnie zebrane.
34 W niniejszej sprawie właściwe przepisy rozdziału 38 RB, które przewidują obowiązek przedstawienia dokumentu jako dowodu i możliwość nakazania przez sądy krajowe przedstawienia tego dokumentu, stanowią podstawę prawną, w oparciu o którą dokonuje się przetwarzania danych osobowych. O ile przepisy te stanowią co do zasady wystarczającą podstawę prawną dopuszczającą takie przetwarzanie danych osobowych, o tyle z postanowienia odsyłającego wynika, że ta podstawa prawna różni się od podstawy prawnej ustanowionej przez ordynację podatkową, w oparciu o którą rejestr pracowników, będący przedmiotem postępowania głównego, został opracowany do celów kontroli podatkowej. Ponadto obowiązek przedstawienia dokumentu przewidziany w tych przepisach RB ma na celu, zdaniem sądu odsyłającego, zapewnienie każdemu, kto potrzebuje dokumentu jako dowodu, dostępu do tego dokumentu. Według tego sądu chodzi o to, aby zapewnić jednostkom możliwość korzystania z przysługujących im praw, jeżeli mają „uzasadniony interes dowodowy”.
35 Zdaniem sądu odsyłającego, z prac przygotowawczych, które doprowadziły do przyjęcia ordynacji podatkowej, wynika, że dane osobowe zapisane w rejestrze pracowników mają na celu umożliwienie urzędnikom właściwego szwedzkiego organu podatkowego dokonania odpowiednich ustaleń podczas kontroli na miejscu. Głównym celem jest zapobieganie niezarejestrowanej pracy i stworzenie zdrowszych warunków konkurencji. Przetwarzanie danych osobowych jest uzasadnione koniecznością spełnienia obowiązku prawnego ciążącego na administratorze, a mianowicie prowadzenia rejestru pracowników.
36 Należy zatem uznać, że przetwarzanie tych danych w ramach postępowania sądowego, takiego jak rozpatrywane w postępowaniu głównym, stanowi przetwarzanie danych w celu innym niż cel, w którym dane zostały zebrane, a mianowicie w celu kontroli podatkowej, i które nie jest oparte na zgodzie osób, których dane dotyczą, w rozumieniu art. 6 ust. 1 lit. a) RODO.
37 W tych okolicznościach przetwarzanie danych osobowych w celu innym niż cel, w którym dane te zostały zebrane, musi opierać się nie tylko na prawie krajowym, takim jak przepisy rozdziału 38 RB, lecz również stanowić w demokratycznym społeczeństwie niezbędny i proporcjonalny środek w rozumieniu art. 6 ust. 4 RODO i gwarantować jeden z celów, o których mowa w art. 23 ust. 1 RODO.
38 Wśród tych celów wskazano, zgodnie z art. 23 ust. 1 lit. f) tego rozporządzenia, „ochronę niezależności sądów i postępowania sądowego”, przy czym cel ten należy, jak zauważyła Komisja Europejska w swoich uwagach na piśmie, rozumieć w ten sposób, że służy on ochronie wymiaru sprawiedliwości przed ingerencją wewnętrzną lub zewnętrzną, ale także prawidłowemu administrowaniu wymiarem sprawiedliwości. Ponadto zgodnie z ust. 1 lit. j) tego artykułu egzekucja roszczeń cywilnoprawnych stanowi również cel mogący uzasadniać przetwarzanie danych osobowych w celu innym niż cel, dla którego zostały one zebrane. Nie jest zatem wykluczone, że przetwarzanie danych osobowych osób trzecich w ramach postępowania sądowego w sprawach cywilnych może opierać się na takich celach.
39 Jednakże do sądu odsyłającego należy zbadanie, czy odpowiednie przepisy rozdziału 38 RB, po pierwsze, odpowiadają jednemu lub drugiemu z tych celów, a po drugie, są niezbędne i proporcjonalne do tych celów, w związku z czym mogą one obejmować te przypadki przetwarzania danych osobowych, które można uznać za zgodne z prawem na podstawie przepisów art. 6 ust. 3 i 4 RODO w związku z art. 23 ust. 1 lit. f) i j) tego rozporządzenia.
40 W tym względzie nie ma znaczenia, czy przetwarzanie danych osobowych odbywa się na podstawie przepisu krajowego prawa materialnego czy proceduralnego, ponieważ przepisy art. 6 ust. 3 lit. b) i art. 6 ust. 4 tego rozporządzenia nie dokonują żadnego rozróżnienia pomiędzy tymi dwoma rodzajami przepisów.
41 W świetle całości powyższych rozważań na pytanie pierwsze należy odpowiedzieć, iż art. 6 ust. 3 i 4 RODO należy interpretować w ten sposób, że przepis ten ma zastosowanie, w ramach sądowego postępowania cywilnego, do przedstawienia jako dowodu rejestru pracowników zawierającego dane osobowe osób trzecich zebrane głównie do celów kontroli podatkowej.
W przedmiocie pytania drugiego
42 Poprzez pytanie drugie sąd odsyłający dąży w istocie do ustalenia, czy art. 5 i 6 RODO należy interpretować w ten sposób, że przy ocenie kwestii, czy w sądowym postępowaniu cywilnym należy nakazać przedstawienie dokumentu zawierającego dane osobowe, sąd krajowy jest zobowiązany uwzględnić interesy osób, których dane dotyczą. W przypadku odpowiedzi twierdzącej sąd ten zastanawia się ponadto, czy prawo Unii, a w szczególności RODO, nakłada szczególne wymogi w odniesieniu do zasad dokonywania tej oceny.
43 Przede wszystkim należy podkreślić, że każde przetwarzanie danych osobowych powinno, z zastrzeżeniem odstępstw dopuszczalnych w jego art. 23, być zgodne z zasadami dotyczącymi przetwarzania danych osobowych oraz praw osoby, której dane dotyczą, określonymi, odpowiednio, w rozdziałach II i III tego rozporządzenia. W szczególności każde przetwarzanie danych osobowych powinno, po pierwsze, być zgodne z zasadami określonymi w art. 5 wspomnianego rozporządzenia, a po drugie, spełniać warunki zgodności z prawem wymienione w art. 6 tego rozporządzenia (zob. podobnie wyrok z dnia 6 października 2020 r., La Quadrature du Net i in., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, pkt 208 i przytoczone tam orzecznictwo).
44 W niniejszej sprawie sąd odsyłający wskazuje, że przy ocenie kwestii, czy należy nakazać przedstawienie dokumentu zawierającego dane osobowe, właściwe przepisy rozdziału 38 RB nie ustanawiają wyraźnego wymogu uwzględnienia interesów osób, których dane osobowe są przedmiotem danej sprawy. Zgodnie z orzecznictwem krajowym przepisy te wymagają jedynie wyważenia znaczenia dowodu i interesu strony przeciwnej w nieujawnianiu spornych informacji.
45 Jak stwierdzono w pkt 39 niniejszego wyroku, ponieważ te przepisy prawa krajowego dotyczą przedstawienia dokumentu jako dowodu, mogą one obejmować przypadki przetwarzania danych osobowych uznane za zgodne z prawem na podstawie przepisów art. 6 ust. 3 i 4 RODO w związku z art. 23 ust. 1 lit. f) i j) tego rozporządzenia. Jest tak w zakresie, w jakim wspomniane przepisy, po pierwsze, mają na celu zapewnienie prawidłowego przebiegu postępowania sądowego poprzez zagwarantowanie podmiotowi prawa możliwości dochodzenia swoich praw, jeżeli istnieje „uzasadniony interes dowodowy”, oraz po drugie, że są one niezbędne i proporcjonalne do tego celu.
46 Z art. 6 ust. 4 RODO wynika bowiem, że takie przetwarzanie danych osobowych jest zgodne z prawem, pod warunkiem że stanowi w demokratycznym społeczeństwie niezbędny i proporcjonalny środek służący zagwarantowaniu celów, o których mowa w art. 23 RODO, do których ono zmierza. Wynika z tego, że w celu zbadania tych wymogów sąd krajowy jest zobowiązany uwzględnić występujące w postępowaniu przeciwstawne interesy przy ocenie celowości nakazania przedstawienia dokumentu zawierającego dane osobowe osób trzecich.
47 W tym względzie należy podkreślić, że rezultat dokonanego wyważenia, jakiego powinien dokonać sąd krajowy, może różnić się zarówno w zależności od okoliczności każdej sprawy, jak i rodzaju danego postępowania.
48 Co się tyczy interesów występujących w postępowaniu cywilnym, sąd krajowy powinien, jak wynika w szczególności z motywów 1 i 2 RODO, zapewnić ochronę osób fizycznych w związku z przetwarzaniem danych osobowych, która jest prawem podstawowym zapewnionym w art. 8 ust. 1 karty i w art. 16 TFUE. Sąd ten powinien również zagwarantować prawo do poszanowania życia prywatnego, zapewnione w art. 7 karty, które jest ściśle związane z prawem do ochrony danych osobowych.
49 Jednakże, jak stanowi motyw 4 RODO, prawo do ochrony danych osobowych nie jest prawem bezwzględnym lecz należy je postrzegać w kontekście jego funkcji społecznej i wyważyć względem innych praw podstawowych w myśl zasady proporcjonalności z innymi prawami podstawowymi, takimi jak prawo do skutecznej ochrony sądowej zagwarantowane w art. 47 karty.
50 Tymczasem przedstawienie dokumentu zawierającego dane osobowe osób trzecich w ramach sądowego postępowania cywilnego przyczynia się, jak zauważyła w istocie rzecznik generalna w pkt 61 opinii, do poszanowania tego prawa do skutecznej ochrony sądowej.
51 W tym względzie, ponieważ art. 47 akapit drugi karty odpowiada art. 6 ust. 1 europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności, podpisanej w Rzymie w dniu 4 listopada 1950 r., jego znaczenie i zakres są, zgodnie z art. 52 ust. 3 karty, takie same jak te przyznane przez wspomnianą konwencję w tym art. 6 ust. 1.
52 Zgodnie z utrwalonym orzecznictwem Europejskiego Trybunału Praw Człowieka ze względu na znaczące miejsce, jakie prawo do rzetelnego procesu sądowego zajmuje w społeczeństwie demokratycznym, istotne jest, aby jednostka miała możliwość skutecznej obrony swojej sprawy przed sądem i by korzystała z równości broni ze swoim przeciwnikiem [zob. podobnie wyrok ETPC z dnia 24 czerwca 2022 r. w sprawie Zayidov przeciwko Azerbejdżanowi (nr 2) CE:ECHR:2022:0324JUD000538610, § 87 i przytoczone tam orzecznictwo]. Wynika z tego w szczególności, że podmiot prawa powinien mieć możliwość skorzystania z postępowania kontradyktoryjnego i przedstawienia na różnych jego etapach argumentów, które uważa za istotne dla obrony swojej sprawy (wyrok ETPC z dnia 21 stycznia 1999 r. w sprawie García Ruiz przeciwko Hiszpanii, CE:ECHR:1999:0121JUD003054496, § 29).
53 W związku z tym w celu zapewnienia jednostkom możliwości korzystania z prawa do skutecznej ochrony sądowej, a w szczególności z prawa do rzetelnego procesu w rozumieniu art. 47 akapit drugi karty, należy uznać, że strony postępowania cywilnego powinny mieć możliwość dostępu do dowodów niezbędnych do wystarczającego wykazania zasadności ich zarzutów, co może ewentualnie obejmować dane osobowe stron lub osób trzecich.
54 W związku z tym, jak wskazano w pkt 46 niniejszego wyroku, rozważenie występujących w postępowaniu interesów stanowi część badania niezbędności i proporcjonalności środka, przewidzianych w art. 6 ust. 3 i 4 RODO, które są warunkami zgodności z prawem przetwarzania danych osobowych. W tym względzie należy zatem również wziąć pod uwagę art. 5 ust. 1 tego rozporządzenia, a w szczególności zasadę „minimalizacji danych” zawartą w lit. c) tego przepisu, która wyraża zasadę proporcjonalności. Zgodnie z tą zasadą minimalizacji danych dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane [zob. podobnie wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 98 i przytoczone tam orzecznictwo].
55 Sąd krajowy jest zatem zobowiązany do ustalenia, czy ujawnienie danych osobowych jest adekwatne i stosowne dla zapewnienia realizacji celu określonego we właściwych przepisach prawa krajowego oraz czy cel ten nie może zostać osiągnięty za pomocą mniej inwazyjnych środków dowodowych w świetle ochrony danych osobowych dużej liczby osób trzecich, takich jak na przykład przesłuchanie wybranych świadków.
56 W przypadku gdy przedstawienie dokumentu zawierającego dane osobowe okaże się uzasadnione, z zasady tej wynika ponadto, że jeżeli tylko część tych danych wydaje się niezbędna do celów dowodowych, sąd krajowy powinien rozważyć podjęcie dodatkowych środków w zakresie ochrony danych, takich jak zdefiniowana w art. 4 pkt 5 RODO pseudonimizacja nazwisk osób, których dane dotyczą, lub wszelkich innych środków mających na celu zminimalizowanie przeszkody w korzystaniu z prawa do ochrony danych osobowych, jaką stanowi przedstawienie takiego dokumentu. Takie środki mogą w szczególności obejmować ograniczenie publicznego dostępu do akt lub skierowany do stron, którym zostały przekazane dokumenty zawierające dane osobowe, nakaz niewykorzystywania tych danych w innym celu niż przeprowadzenie dowodu w danym postępowaniu sądowym.
57 W tym względzie należy wyjaśnić, że z art. 4 pkt 5 RODO w związku z motywem 26 tego rozporządzenia wynika, że dane osobowe, które zostały spseudonimizowane i które można by przypisać osobie fizycznej poprzez użycie dodatkowych informacji, należy uznać za informacje dotyczące możliwej do zidentyfikowania osoby fizycznej, do których mają zastosowanie zasady ochrony danych. Natomiast z motywu tego wynika, że zasady te nie mają zastosowania ani do „informacji anonimowych, czyli informacji, które nie wiążą się ze zidentyfikowaną lub możliwą do zidentyfikowania osobą fizyczną, ani do danych osobowych zanonimizowanych w taki sposób, że osób, których dane dotyczą, w ogóle nie można zidentyfikować lub już nie można zidentyfikować”.
58 Wynika z tego, że sąd krajowy może uznać, że dane osobowe stron lub osób trzecich powinny zostać mu przekazane, aby móc wyważyć występujące w postępowaniu interesy przy pełnej znajomości stanu rzeczy i z poszanowaniem zasady proporcjonalności. Ocena ta może w danym wypadku prowadzić do zezwolenia stronie przeciwnej na pełne lub częściowe ujawnienie przekazanych jej w ten sposób danych osobowych, jeżeli uzna on, że takie ujawnienie nie wykracza poza to, co jest konieczne do zapewnienia skutecznego korzystania z praw, które jednostki wywodzą z art. 47 karty.
59 W świetle całości powyższych rozważań na pytanie drugie należy odpowiedzieć, iż art. 5 i 6 RODO należy interpretować w ten sposób, że przy ocenie kwestii, czy należy nakazać przedstawienie dokumentu zawierającego dane osobowe, sąd krajowy jest zobowiązany uwzględnić interesy osób, których dane dotyczą, i wyważyć je w zależności od okoliczności każdej sprawy, rodzaju postępowania w sprawie i z należytym uwzględnieniem wymogów wynikających z zasady proporcjonalności, a w szczególności wymogów wynikających z zasady minimalizacji danych, o której mowa w art. 5 ust. 1 lit. c) tego rozporządzenia.
W przedmiocie kosztów
60 Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.
Z powyższych względów Trybunał (trzecia izba) orzeka, co następuje:
1) Artykuł 6 ust. 3 i 4 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych)
należy interpretować w ten sposób, że:
przepis ten ma zastosowanie w ramach sądowego postępowania cywilnego do przedstawienia jako dowodu rejestru pracowników zawierającego dane osobowe osób trzecich zebrane głównie do celów kontroli podatkowej.
2) Artykuły 5 i 6 rozporządzenia 2016/679
należy interpretować w ten sposób, że:
przy ocenie kwestii, czy należy nakazać przedstawienie dokumentu zawierającego dane osobowe, sąd krajowy jest zobowiązany uwzględnić interesy osób, których dane dotyczą, i wyważyć je w zależności od okoliczności każdej sprawy, rodzaju postępowania w sprawie i z należytym uwzględnieniem wymogów wynikających z zasady proporcjonalności, a w szczególności wymogów wynikających z zasady minimalizacji danych, o której mowa w art. 5 ust. 1 lit. c) tego rozporządzenia.
Podpisy