ΑΠΟΦΑΣΗ ΤΟΥ ΔΙΚΑΣΤΗΡΙΟΥ (τρίτο τμήμα)
της 2ας Μαρτίου 2023 (*)
«Προδικαστική παραπομπή – Προστασία των δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Άρθρο 6, παράγραφοι 3 και 4 – Νομιμότητα της επεξεργασίας – Προσκόμιση εγγράφου το οποίο περιέχει δεδομένα προσωπικού χαρακτήρα στο πλαίσιο αστικής δίκης – Άρθρο 23, παράγραφος 1, στοιχεία στʹ και ιʹ– Προστασία της ανεξαρτησίας της δικαιοσύνης και των δικαστικών διαδικασιών – Εκτέλεση αστικών αξιώσεων – Απαιτήσεις που πρέπει να πληρούνται – Συνεκτίμηση του συμφέροντος των ενδιαφερομένων προσώπων – Στάθμιση των αντιτιθέμενων συμφερόντων – Άρθρο 5 – Ελαχιστοποίηση των δεδομένων προσωπικού χαρακτήρα – Χάρτης των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης – Άρθρο 7 – Δικαίωμα στον σεβασμό της ιδιωτικής ζωής – Άρθρο 8 – Δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα – Άρθρο 47 – Δικαίωμα αποτελεσματικής δικαστικής προστασίας – Αρχή της αναλογικότητας»
Στην υπόθεση C‑268/21,
με αντικείμενο αίτηση προδικαστικής αποφάσεως δυνάμει του άρθρου 267 ΣΛΕΕ, που υπέβαλε το Högsta domstolen (Ανώτατο Δικαστήριο, Σουηδία) με απόφαση της 15ης Απριλίου 2021, η οποία περιήλθε στο Δικαστήριο στις 23 Απριλίου 2021, στο πλαίσιο της δίκης
Norra Stockholm Bygg AB
κατά
Per Nycander AB,
παρισταμένης της:
Entral AB,
ΤΟ ΔΙΚΑΣΤΗΡΙΟ (τρίτο τμήμα),
συγκείμενο από τους K. Jürimäe, πρόεδρο τμήματος, M. L. Arastey Sahún, N. Piçarra, N. Jääskinen (εισηγητή) και M. Gavalec, δικαστές,
γενική εισαγγελέας: T. Ćapeta
γραμματέας: C. Strömholm, διοικητική υπάλληλος,
έχοντας υπόψη την έγγραφη διαδικασία και κατόπιν της επ’ ακροατηρίου συζητήσεως της 27ης Ιουνίου 2022,
λαμβάνοντας υπόψη τις παρατηρήσεις που υπέβαλαν:
– η Norra Stockholm Bygg AB, εκπροσωπούμενη από τους H. Täng Nilsson και E. Wassén, advokater,
– η Per Nycander AB, εκπροσωπούμενη από τους P. Degerfeldt και V. Hermansson, advokater,
– η Σουηδική Κυβέρνηση, εκπροσωπούμενη από τις C. Meyer‑Seitz και H. Shev, καθώς και τον O. Simonsson,
– η Τσεχική Κυβέρνηση, εκπροσωπούμενη από τους O. Serdula, M. Smolek και J. Vláčil,
– η Πολωνική Κυβέρνηση, εκπροσωπούμενη από τον B. Majczyna και την J. Sawicka,
– η Ευρωπαϊκή Επιτροπή, εκπροσωπούμενη από τους Α. Μπουχάγιαρ, M. Gustafsson και H. Kranenborg,
αφού άκουσε τη γενική εισαγγελέα που ανέπτυξε τις προτάσεις της κατά τη συνεδρίαση της 6ης Οκτωβρίου 2022,
εκδίδει την ακόλουθη
Απόφαση
1 Η αίτηση προδικαστικής αποφάσεως αφορά την ερμηνεία του άρθρου 6, παράγραφοι 3 και 4, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1, στο εξής: ΓΚΠΔ).
2 Η αίτηση αυτή υποβλήθηκε στο πλαίσιο ένδικης διαφοράς μεταξύ της Norra Stockholm Bygg AB (στο εξής: Fastec) και της Per Nycander AB (στο εξής: Nycander) σχετικά με αίτημα κοινοποιήσεως του ηλεκτρονικού μητρώου του προσωπικού της Fastec που εκτέλεσε εργασίες για λογαριασμό της Nycander, προκειμένου να καθοριστεί το ύψος του ποσού που πρέπει να καταβάλει η τελευταία για τις εκτελεσθείσες εργασίες.
Το νομικό πλαίσιο
Το δίκαιο της Ένωσης
3 Οι αιτιολογικές σκέψεις 1, 2, 4, 20, 26, 45 και 50 του ΓΚΠΔ έχουν ως εξής:
«(1) Η προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα είναι θεμελιώδες δικαίωμα. Το άρθρο 8 παράγραφος 1 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης (“Χάρτης”) και το άρθρο 16 παράγραφος 1 της Συνθήκης για τη λειτουργία της Ευρωπαϊκής Ένωσης (ΣΛΕΕ) ορίζουν ότι κάθε πρόσωπο έχει δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν.
(2) Οι αρχές και οι κανόνες για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα τους θα πρέπει, ανεξάρτητα από την ιθαγένεια ή τον τόπο διαμονής τους, να σέβονται τα θεμελιώδη δικαιώματα και τις ελευθερίες τους, ιδίως το δικαίωμά τους στην προστασία των δεδομένων προσωπικού χαρακτήρα. Ο παρών κανονισμός σκοπεύει να συμβάλλει στην επίτευξη ενός χώρου ελευθερίας, ασφάλειας και δικαιοσύνης και μιας οικονομικής ένωσης, στην οικονομική και κοινωνική πρόοδο, στην ενίσχυση και σύγκλιση των οικονομιών εντός της εσωτερικής αγοράς και στην ευημερία των φυσικών προσώπων.
[…]
(4) Η επεξεργασία των δεδομένων προσωπικού χαρακτήρα θα πρέπει να προορίζεται να εξυπηρετεί τον άνθρωπο. Το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα δεν είναι απόλυτο δικαίωμα· πρέπει να εκτιμάται σε σχέση με τη λειτουργία του στην κοινωνία και να σταθμίζεται με άλλα θεμελιώδη δικαιώματα, σύμφωνα με την αρχή της αναλογικότητας. […]
[…]
(20) Ενώ ο παρών κανονισμός εφαρμόζεται, μεταξύ άλλων, στις δραστηριότητες των δικαστηρίων και άλλων δικαστικών αρχών, το δίκαιο της Ένωσης ή των κρατών μελών θα μπορούσε να εξειδικεύει τις πράξεις και διαδικασίες επεξεργασίας σε σχέση με την επεξεργασία δεδομένων προσωπικού χαρακτήρα από δικαστήρια και άλλες δικαστικές αρχές. […]
[…]
(26) Οι αρχές της προστασίας δεδομένων θα πρέπει να εφαρμόζονται σε κάθε πληροφορία η οποία αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο. Τα δεδομένα προσωπικού χαρακτήρα που έχουν υποστεί ψευδωνυμοποίηση, η οποία θα μπορούσε να αποδοθεί σε φυσικό πρόσωπο με τη χρήση συμπληρωματικών πληροφοριών, θα πρέπει να θεωρούνται πληροφορίες σχετικά με ταυτοποιήσιμο φυσικό πρόσωπο. […] Οι αρχές της προστασίας δεδομένων δεν θα πρέπει συνεπώς να εφαρμόζονται σε ανώνυμες πληροφορίες, δηλαδή πληροφορίες που δεν σχετίζονται προς ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο ή σε δεδομένα προσωπικού χαρακτήρα που έχουν καταστεί ανώνυμα κατά τρόπο ώστε η ταυτότητα του υποκειμένου των δεδομένων να μην μπορεί ή να μην μπορεί πλέον να εξακριβωθεί. […]
[…]
(45) Όταν η επεξεργασία διενεργείται σύμφωνα με νομική υποχρέωση την οποία υπέχει ο υπεύθυνος επεξεργασίας ή όταν είναι αναγκαία για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας, η επεξεργασία θα πρέπει να έχει βάση στο δίκαιο της Ένωσης ή κράτους μέλους. […] Μπορεί να αρκεί ένας μόνο νόμος ως βάση για περισσότερες από μία πράξεις επεξεργασίας με βάση νομική υποχρέωση στην οποία υπόκειται ο υπεύθυνος επεξεργασίας ή εάν η επεξεργασία είναι αναγκαία για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας. Επίσης, ο καθορισμός του σκοπού της επεξεργασίας θα πρέπει να εναπόκειται στο δίκαιο της Ένωσης ή κράτους μέλους. […]
[…]
(50) Η επεξεργασία δεδομένων προσωπικού χαρακτήρα για σκοπούς άλλους από εκείνους για τους οποίους τα δεδομένα προσωπικού χαρακτήρα συλλέχθηκαν αρχικά θα πρέπει να επιτρέπεται μόνο εφόσον η επεξεργασία είναι συμβατή με τους σκοπούς για τους οποίους τα δεδομένα προσωπικού χαρακτήρα συλλέχθηκαν αρχικά. Σε αυτήν την περίπτωση, δεν απαιτείται νομική βάση χωριστή από εκείνη που επέτρεψε τη συλλογή των δεδομένων προσωπικού χαρακτήρα. Εάν η επεξεργασία είναι αναγκαία για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας, το δίκαιο της Ένωσης ή κράτους μέλους μπορεί να καθορίζει και να προσδιορίζει τα καθήκοντα και τους σκοπούς για τους οποίους πρέπει να θεωρείται συμβατή και σύννομη η περαιτέρω επεξεργασία. […] Η νομική βάση που προβλέπεται από το δίκαιο της Ένωσης ή κράτους μέλους για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα μπορεί επίσης να συνιστά τη νομική βάση για την περαιτέρω επεξεργασία. […]
Όταν το υποκείμενο των δεδομένων παρέσχε τη συναίνεσή του ή η επεξεργασία βασίζεται στο δίκαιο της Ένωσης ή κράτους μέλους που συνιστά αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία για τη διασφάλιση, ειδικότερα, σημαντικών σκοπών στο πλαίσιο γενικού δημόσιου συμφέροντος, θα πρέπει να επιτρέπεται στον υπεύθυνο επεξεργασίας να προβαίνει στην περαιτέρω επεξεργασία των δεδομένων προσωπικού χαρακτήρα, ανεξάρτητα από τη συμβατότητα των σκοπών. Σε κάθε περίπτωση, θα πρέπει να διασφαλίζεται η εφαρμογή των αρχών που καθορίζονται στον παρόντα κανονισμό και, ιδίως, η ενημέρωση του υποκειμένου των δεδομένων σχετικά με τους άλλους αυτούς σκοπούς και σχετικά με τα δικαιώματά του, συμπεριλαμβανομένου του δικαιώματος προβολής αντιρρήσεων. […]»
4 Το άρθρο 2 του ανωτέρω κανονισμού, με τίτλο «Ουσιαστικό πεδίο εφαρμογής», προβλέπει τα εξής:
«1. Ο παρών κανονισμός εφαρμόζεται στην, εν όλω ή εν μέρει, αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα, καθώς και στη μη αυτοματοποιημένη επεξεργασία τέτοιων δεδομένων τα οποία περιλαμβάνονται ή πρόκειται να περιληφθούν σε σύστημα αρχειοθέτησης.
2. Ο παρών κανονισμός δεν εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα:
α) στο πλαίσιο δραστηριότητας η οποία δεν εμπίπτει στο πεδίο εφαρμογής του δικαίου της Ένωσης,
β) από τα κράτη μέλη κατά την άσκηση δραστηριοτήτων που εμπίπτουν στο πεδίο εφαρμογής του κεφαλαίου 2 του τίτλου V της ΣΕΕ,
γ) από φυσικό πρόσωπο στο πλαίσιο αποκλειστικά προσωπικής ή οικιακής δραστηριότητας,
δ) από αρμόδιες αρχές για τους σκοπούς της πρόληψης, της διερεύνησης, της ανίχνευσης ή της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων, συμπεριλαμβανομένης της προστασίας και πρόληψης έναντι κινδύνων που απειλούν τη δημόσια ασφάλεια.
3. Για την επεξεργασία δεδομένων προσωπικού χαρακτήρα από τα θεσμικά όργανα, φορείς, υπηρεσίες και οργανισμούς της Ένωσης, εφαρμόζεται ο κανονισμός (ΕΚ) αριθ. 45/2001 [του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 18ης Δεκεμβρίου 2000, σχετικά με την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τα όργανα και τους οργανισμούς της Κοινότητας και σχετικά με την ελεύθερη κυκλοφορία των δεδομένων αυτών (ΕΕ 2001, L 8, σ. 1)]. Ο κανονισμός [45/2001] και άλλες νομικές πράξεις της Ένωσης εφαρμοστέες σε μια τέτοια επεξεργασία δεδομένων προσωπικού χαρακτήρα προσαρμόζονται στις αρχές και τους κανόνες του παρόντος κανονισμού σύμφωνα με το άρθρο 98.»
5 Κατά το άρθρο 4 του ανωτέρω κανονισμού:
«Για τους σκοπούς του παρόντος κανονισμού νοούνται ως:
[…]
2) “επεξεργασία”: κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή,
[…]
5) “ψευδωνυμοποίηση”: η επεξεργασία δεδομένων προσωπικού χαρακτήρα κατά τρόπο ώστε τα δεδομένα να μην μπορούν πλέον να αποδοθούν σε συγκεκριμένο υποκείμενο των δεδομένων χωρίς τη χρήση συμπληρωματικών πληροφοριών, εφόσον οι εν λόγω συμπληρωματικές πληροφορίες διατηρούνται χωριστά και υπόκεινται σε τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλιστεί ότι δεν μπορούν να αποδοθούν σε ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο,
[…]».
6 Το άρθρο 5 του ίδιου κανονισμού, το οποίο φέρει τον τίτλο «Αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα», προβλέπει στην παράγραφο 1 τα εξής:
«Τα δεδομένα προσωπικού χαρακτήρα:
α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων (“νομιμότητα, αντικειμενικότητα και διαφάνεια”),
β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς […] (“περιορισμός του σκοπού”)·
γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία (“ελαχιστοποίηση των δεδομένων”),
δ) είναι ακριβή και, όταν είναι αναγκαίο, επικαιροποιούνται· πρέπει να λαμβάνονται όλα τα εύλογα μέτρα για την άμεση διαγραφή ή διόρθωση δεδομένων προσωπικού χαρακτήρα τα οποία είναι ανακριβή, σε σχέση με τους σκοπούς της επεξεργασίας (“ακρίβεια”),
[…]».
7 Το άρθρο 6 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Νομιμότητα της επεξεργασίας», προβλέπει τα εξής:
«1. Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις:
α) το υποκείμενο των δεδομένων έχει συναινέσει στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς,
[…]
γ) η επεξεργασία είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας,
[…]
ε) η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας,
[…]
3. Η βάση για την επεξεργασία που αναφέρεται στην παράγραφο 1 στοιχεία γ) και ε) ορίζεται σύμφωνα με:
α) το δίκαιο της Ένωσης, ή
β) το δίκαιο του κράτους μέλος στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας.
Ο σκοπός της επεξεργασίας καθορίζεται στην εν λόγω νομική βάση ή, όσον αφορά την επεξεργασία που αναφέρεται στην παράγραφο 1 στοιχείο ε), είναι η αναγκαιότητα της επεξεργασίας για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας. […] Το δίκαιο της Ένωσης ή το δίκαιο του κράτους μέλους ανταποκρίνεται σε σκοπό δημόσιου συμφέροντος και είναι ανάλογο προς τον επιδιωκόμενο νόμιμο σκοπό.
4. Όταν η επεξεργασία για σκοπό άλλο από αυτόν για τον οποίο έχουν συλλεγεί τα δεδομένα προσωπικού χαρακτήρα δεν βασίζεται στη συγκατάθεση του υποκειμένου των δεδομένων ή στο δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους το οποίο αποτελεί αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία για τη διασφάλιση των σκοπών που αναφέρονται στο άρθρο 23 παράγραφος 1, ο υπεύθυνος επεξεργασίας, προκειμένου να εξακριβωθεί κατά πόσο η επεξεργασία για άλλο σκοπό είναι συμβατή με τον σκοπό για τον οποίο συλλέγονται αρχικώς τα δεδομένα προσωπικού χαρακτήρα, λαμβάνει υπόψη, μεταξύ άλλων:
α) τυχόν σχέση μεταξύ των σκοπών για τους οποίους έχουν συλλεχθεί τα δεδομένα προσωπικού χαρακτήρα και των σκοπών της επιδιωκόμενης περαιτέρω επεξεργασίας,
[…]».
8 Το άρθρο 23 του ανωτέρω κανονισμού, το οποίο φέρει τον τίτλο «Περιορισμοί», προβλέπει τα εξής:
«1. Το δίκαιο της Ένωσης ή του κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία των δεδομένων μπορεί να περιορίζει μέσω νομοθετικού μέτρου το πεδίο εφαρμογής των υποχρεώσεων και των δικαιωμάτων που προβλέπονται στα άρθρα 12 έως 22 και στο άρθρο 34, καθώς και στο άρθρο 5, εφόσον οι διατάξεις του αντιστοιχούν στα δικαιώματα και τις υποχρεώσεις που προβλέπονται στα άρθρα 12 έως 22, όταν ένας τέτοιος περιορισμός σέβεται την ουσία των θεμελιωδών δικαιωμάτων και ελευθεριών και συνιστά αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία για τη διασφάλιση:
[…]
στ) της προστασίας της ανεξαρτησίας της δικαιοσύνης και των δικαστικών διαδικασιών,
[…]
ι) της εκτέλεσης αστικών αξιώσεων.
[…]»
Το σουηδικό δίκαιο
Ο RB
9 Η έγγραφη απόδειξη διέπεται από τις διατάξεις του κεφαλαίου 38 του rättegångsbalken (κώδικα δικονομίας, στο εξής: RB).
10 Βάσει του πρώτου εδαφίου του άρθρου 2 του κεφαλαίου 38 του RB, κάθε πρόσωπο που κατέχει έγγραφο δυνάμενο να θεωρηθεί ότι έχει αποδεικτική ισχύ υποχρεούται να το προσκομίσει.
11 Εξαιρέσεις από την εν λόγω υποχρέωση προσκομίσεως προβλέπονται ιδίως στο δεύτερο εδάφιο του ανωτέρω άρθρου. Η άσκηση ορισμένων καθηκόντων απαλλάσσει από την προαναφερθείσα υποχρέωση αν τεκμαίρεται ότι ο υπόχρεος δεν μπορεί να καταθέσει ως μάρτυρας επί του περιεχομένου της εν λόγω ασκήσεως καθηκόντων. Η συγκεκριμένη εξαίρεση αφορά τους δικηγόρους, τους γιατρούς, τους ψυχολόγους, τους ιερείς και άλλους επαγγελματίες στους οποίους έχουν γνωστοποιηθεί εμπιστευτικώς πληροφορίες κατά την άσκηση του επαγγέλματός τους ή υπό αντίστοιχες περιστάσεις. Επομένως, η έκταση της εν λόγω υποχρεώσεως αντιστοιχεί στην υποχρέωση μαρτυρίας ενώπιον δικαστηρίου.
12 Αν ένα πρόσωπο υποχρεούται να προσκομίσει έγγραφο ως αποδεικτικό στοιχείο, το δικαστήριο δύναται, κατά το άρθρο 4 του κεφαλαίου 38 του RB, να διατάξει το εν λόγω πρόσωπο να το προσκομίσει.
Ο νόμος περί φορολογικών διαδικασιών
13 Βάσει του άρθρου 11, στοιχεία a έως c, του κεφαλαίου 39 του skatteförfarandelagen (2011:1244) [νόμου (2011:1244) περί φορολογικών διαδικασιών], κάθε πρόσωπο που ασκεί κατασκευαστική δραστηριότητα οφείλει, σε ορισμένες περιπτώσεις, να τηρεί ηλεκτρονικό μητρώο προσωπικού. Το εν λόγω μητρώο προσωπικού περιλαμβάνει τα δεδομένα που απαιτούνται για την ταυτοποίηση των προσώπων τα οποία μετέχουν στην οικονομική δραστηριότητα. Η υποχρέωση αυτή βαρύνει τον κύριο του έργου, ο οποίος μπορεί ωστόσο να αναθέσει την εκπλήρωσή της σε ανεξάρτητο επιχειρηματία. Κατά το άρθρο 12 του κεφαλαίου 39 του οικείου νόμου, το μητρώο προσωπικού πρέπει να τίθεται στη διάθεση της σουηδικής φορολογικής αρχής.
14 Τα δεδομένα που πρέπει να καταχωρίζονται στο μητρώο προσωπικού ορίζονται στο άρθρο 5 του κεφαλαίου 9 της skatteförfarandeförordningen (2011:1261) [κανονιστικής πράξεως (2011:1261) περί φορολογικών διαδικασιών]. Πρέπει, μεταξύ άλλων, να καταχωρίζεται το ονοματεπώνυμο και ο εθνικός αριθμός ταυτοποιήσεως κάθε προσώπου που μετέχει στην οικονομική δραστηριότητα, καθώς και οι ώρες ενάρξεως και λήξεως της εργασίας του.
Η διαφορά της κύριας δίκης και τα προδικαστικά ερωτήματα
15 Η Fastec κατασκεύασε κτίριο γραφείων για τη Nycander. Οι εργαζόμενοι στο εργοτάξιο κατέγραφαν την παρουσία τους μέσω ηλεκτρονικού μητρώου προσωπικού. Το μητρώο προσωπικού παρεχόταν από την εταιρία Εntral AB, η οποία ενεργούσε για λογαριασμό της Fastec.
16 Η Fastec άσκησε ενώπιον του tingsrätt (πρωτοδικείου, Σουηδία) αγωγή με αίτημα την εξόφληση των εκτελεσθεισών εργασιών. Στο πλαίσιο της αγωγής της, η Fastec ζήτησε από τη Nycander την καταβολή ποσού που αντιστοιχούσε, κατά τη Fastec, στο υπόλοιπο που εξακολουθούσε να οφείλει η Nycander. Η Nycander αντιτάχθηκε στο αίτημα της Fastec ισχυριζόμενη, μεταξύ άλλων, ότι ο αριθμός των ωρών εργασίας του προσωπικού της Fastec ήταν μικρότερος από τον αναγραφόμενο στο αγωγικό αίτημα.
17 Ενώπιον του πρωτοδικείου, η Nycander ζήτησε να υποχρεωθεί η Entral να προσκομίσει το μητρώο προσωπικού της Fastec για το χρονικό διάστημα από την 1η Αυγούστου 2016 έως την 30ή Νοεμβρίου 2017, και, επικουρικώς, να το προσκομίσει απαλείφοντας τους εθνικούς αριθμούς ταυτοποιήσεως των οικείων προσώπων. Προς στήριξη του σχετικού αιτήματος, η Nycander προέβαλε ότι η Entral είχε στην κατοχή της το επίμαχο μητρώο προσωπικού και ότι αυτό μπορούσε να αποτελέσει σημαντικό αποδεικτικό στοιχείο για την εκδίκαση της αγωγής της Fastec, καθόσον τα καταχωρισμένα στο μητρώο δεδομένα θα καθιστούσαν δυνατή την απόδειξη των ωρών απασχολήσεως του προσωπικού της Fastec.
18 Η Fastec αντιτάχθηκε στο ανωτέρω αίτημα προβάλλοντας κατά κύριο λόγο ότι τούτο αντέβαινε στο άρθρο 5, παράγραφος 1, στοιχείο βʹ, του ΓΚΠΔ. Κατά τη Fastec, το μητρώο προσωπικού που τηρούσε περιείχε δεδομένα προσωπικού χαρακτήρα που συλλέγονται για τον έλεγχο της δραστηριότητάς της από τη σουηδική φορολογική αρχή και η κοινοποίηση των επίμαχων δεδομένων στο δικαστήριο δεν συνάδει προς τον εν λόγω σκοπό.
19 Το tingsrätt (πρωτοδικείο) διέταξε την Εntral να προσκομίσει το μητρώο προσωπικού της Fastec για το προσωπικό που απασχολούνταν στο επίμαχο στην κύρια δίκη εργοτάξιο κατά το κρίσιμο χρονικό διάστημα. Το Svea hovrätt (εφετείο Στοκχόλμης, Σουηδία) επικύρωσε την απόφαση του tingsrätt (πρωτοδικείου).
20 Η Fastec άσκησε αναίρεση κατά της αποφάσεως του Svea hovrätt (εφετείου Στοκχόλμης) ενώπιον του αιτούντος δικαστηρίου, ήτοι του Högsta domstolen (Ανωτάτου Δικαστηρίου, Σουηδία), ζητώντας την απόρριψη του μνημονευθέντος στη σκέψη 17 της παρούσας αποφάσεως αιτήματος της Nycander.
21 Το αιτούν δικαστήριο διερωτάται εάν πρέπει να εφαρμοστούν και, εν τοιαύτη περιπτώσει, πώς πρέπει να εφαρμοστούν, οι διατάξεις του ΓΚΠΔ στο πλαίσιο της υποθέσεως της κύριας δίκης.
22 Όσον αφορά την υποχρέωση προσκομίσεως εγγράφων, το αιτούν δικαστήριο επισημαίνει ότι από τη νομολογία του σχετικά με την ερμηνεία των σχετικών διατάξεων του RB προκύπτει ότι πρέπει να σταθμίζεται, αφενός, η λυσιτέλεια των επίμαχων αποδεικτικών στοιχείων και, αφετέρου, το συμφέρον του αντιδίκου να μη δημοσιοποιηθούν τα εν λόγω στοιχεία. Το αιτούν δικαστήριο διευκρινίζει ότι στο πλαίσιο της σταθμίσεως αυτής δεν λαμβάνεται καταρχήν υπόψη η ιδιωτική φύση των πληροφοριών που περιέχονται στο οικείο έγγραφο ή το συμφέρον άλλων προσώπων να αποκτήσουν πρόσβαση στο περιεχόμενο του επίμαχου εγγράφου, πέραν των εξαιρέσεων που προβλέπει ειδικώς η νομοθεσία.
23 Το αιτούν δικαστήριο διευκρινίζει ότι η προβλεπόμενη από τον RB υποχρέωση προσκομίσεως εγγράφου αποσκοπεί, μεταξύ άλλων, στο να μπορεί οποιοσδήποτε χρειάζεται ένα έγγραφο ως αποδεικτικό στοιχείο να έχει την πρόσβαση σε αυτό. Πρόκειται, σε τελική ανάλυση, για τη διασφάλιση της δυνατότητας ενός προσώπου να ασκήσει τα δικαιώματά του όταν υφίσταται «εύλογο συμφέρον για την απόκτηση αποδεικτικού μέσου».
24 Υπό τις συνθήκες αυτές, το Högsta domstolen (Ανώτατο Δικαστήριο) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:
«1) Έχουν οι διατάξεις του άρθρου 6, παράγραφοι 3 και 4, του [ΓΚΠΔ] την έννοια ότι τυγχάνουν εφαρμογής και επί εθνικών δικονομικών κανόνων περί [υποχρεώσεως προσκομίσεως εγγράφων];
2) Σε περίπτωση καταφατικής απάντησης στο πρώτο ερώτημα, έχει ο [ΓΚΠΔ] την έννοια ότι πρέπει να λαμβάνονται υπόψη και τα συμφέροντα των υποκειμένων των δεδομένων όταν πρόκειται να ληφθεί απόφαση σχετικά με το αν πρέπει να διαταχθεί [προσκόμιση] πράξεως που περιλαμβάνει δεδομένα προσωπικού χαρακτήρα; Σε μια τέτοια περίπτωση, επιβάλλει το δίκαιο της Ένωσης απαιτήσεις σχετικά με τις ειδικότερες λεπτομέρειες κατά τις οποίες πρέπει να λαμβάνεται η απόφαση αυτή;»
Επί των προδικαστικών ερωτημάτων
Επί του πρώτου προδικαστικού ερωτήματος
25 Με το πρώτο ερώτημά του, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 6, παράγραφοι 3 και 4, του ΓΚΠΔ έχει την έννοια ότι εφαρμόζεται όσον αφορά την προσκόμιση ως αποδεικτικού στοιχείου στο πλαίσιο αστικής δίκης ενός μητρώου προσωπικού το οποίο περιέχει δεδομένα προσωπικού χαρακτήρα που συλλέγονται κυρίως για σκοπούς φορολογικού ελέγχου.
26 Προκειμένου να δοθεί απάντηση στο ως άνω ερώτημα, επισημαίνεται, πρώτον, ότι το άρθρο 2, παράγραφος 1, του ΓΚΠΔ προβλέπει ότι ο κανονισμός αυτός εφαρμόζεται στην, «εν όλω ή εν μέρει, αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα, καθώς και στη μη αυτοματοποιημένη επεξεργασία τέτοιων δεδομένων τα οποία περιλαμβάνονται ή πρόκειται να περιληφθούν σε σύστημα αρχειοθέτησης», χωρίς να διακρίνει με βάση την ταυτότητα του προσώπου που προβαίνει στην οικεία επεξεργασία. Επομένως, με την επιφύλαξη των περιπτώσεων που μνημονεύονται στο άρθρο 2, παράγραφοι 2 και 3, ο ΓΚΠΔ εφαρμόζεται στις πράξεις επεξεργασίας που εκτελούνται τόσο από ιδιώτες όσο και από τις δημόσιες αρχές, περιλαμβανομένων, όπως αναφέρεται στην αιτιολογική σκέψη 20 αυτού, των δραστηριοτήτων των δικαστικών αρχών, όπως είναι τα δικαστήρια (απόφαση της 24ης Μαρτίου 2022, Autoriteit Persoonsgegevens, C‑245/20, EU:C:2022:216, σκέψη 25).
27 Δεύτερον, κατά το άρθρο 4, σημείο 2, του ανωτέρω κανονισμού, εμπίπτει στον ορισμό της «επεξεργασίας», μεταξύ άλλων, κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διαθέσεως.
28 Εκ των ανωτέρω προκύπτει ότι συνιστούν επεξεργασία δεδομένων προσωπικού χαρακτήρα εμπίπτουσα στο ουσιαστικό πεδίο εφαρμογής του ΓΚΠΔ όχι μόνον η δημιουργία και η τήρηση ηλεκτρονικού μητρώου προσωπικού (βλ., κατ’ αναλογίαν, απόφαση της 30ής Μαΐου 2013, Worten, C‑342/12, EU:C:2013:355, σκέψη 19), αλλά και η προσκόμιση ως αποδεικτικού στοιχείου ενός εγγράφου, ψηφιακού ή φυσικού, το οποίο περιέχει δεδομένα προσωπικού χαρακτήρα, η οποία διατάχθηκε από δικαστήριο στο πλαίσιο ένδικης διαδικασίας [πρβλ. απόφαση της 8ης Δεκεμβρίου 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Σκοποί επεξεργασίας προσωπικών δεδομένων – Ποινική έρευνα), C‑180/21, EU:C:2022:967, σκέψη 72].
29 Τρίτον, πρέπει να τονιστεί ότι κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα, συμπεριλαμβανομένης της επεξεργασίας που πραγματοποιείται από δημόσιες αρχές όπως τα δικαστήρια, πρέπει να πληροί τις προϋποθέσεις νομιμότητας του άρθρου 6 του ΓΚΠΔ.
30 Συναφώς, επισημαίνεται, πρώτον, ότι, κατά το άρθρο 6, παράγραφος 1, στοιχείο εʹ, του ΓΚΠΔ, η επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι σύννομη εφόσον είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας.
31 Κατά το άρθρο 6, παράγραφος 3, του ΓΚΠΔ, σε συνδυασμό με την αιτιολογική σκέψη 45 αυτού, η βάση της επεξεργασίας για την οποία γίνεται λόγος στο άρθρο 6, παράγραφος 1, στοιχείο εʹ, του οικείου κανονισμού καθορίζεται από το δίκαιο της Ένωσης ή από το δίκαιο του κράτους μέλους στο οποίο υπάγεται ο υπεύθυνος επεξεργασίας. Επιπροσθέτως, το δίκαιο της Ένωσης ή το δίκαιο του κράτους μέλους πρέπει να ανταποκρίνεται σε σκοπό δημόσιου συμφέροντος και να είναι ανάλογο προς τον επιδιωκόμενο νόμιμο σκοπό.
32 Επομένως, το άρθρο 6, παράγραφος 1, στοιχείο εʹ, του ΓΚΠΔ σε συνδυασμό με το άρθρο 6, παράγραφος 3, απαιτούν την ύπαρξη μιας νομικής βάσεως, ιδίως εθνικής, η οποία να αποτελεί το έρεισμα για την επεξεργασία δεδομένων προσωπικού χαρακτήρα από τους υπεύθυνους της επεξεργασίας, οι οποίοι ενεργούν κατά την άσκηση καθηκόντων που εμπίπτουν στην εκτέλεση αποστολής δημοσίου συμφέροντος ή καθηκόντων που εμπίπτουν στην άσκηση δημόσιας εξουσίας, όπως είναι τα καθήκοντα που ασκούν τα δικαστήρια στο πλαίσιο των δικαιοδοτικών τους καθηκόντων.
33 Δεύτερον, όταν η επεξεργασία των δεδομένων προσωπικού χαρακτήρα πραγματοποιείται για σκοπό διαφορετικό από εκείνον για τον οποίο έχουν συλλεγεί τα δεδομένα, από το άρθρο 6, παράγραφος 4, του ΓΚΠΔ, σε συνδυασμό με την αιτιολογική σκέψη 50 του οικείου κανονισμού, προκύπτει ότι η επίμαχη επεξεργασία επιτρέπεται υπό την προϋπόθεση ότι στηρίζεται, μεταξύ άλλων, στο δίκαιο κράτους μέλους και συνιστά μέτρο αναγκαίο και σύμφωνο με την αρχή της αναλογικότητας σε μια δημοκρατική κοινωνία για τη διασφάλιση ενός από τους σκοπούς του άρθρου 23, παράγραφος 1, του ΓΚΠΔ. Όπως αναφέρεται στην αιτιολογική σκέψη 50, προκειμένου να διαφυλαχθούν οι εν λόγω σημαντικοί σκοποί γενικού δημοσίου συμφέροντος, ο υπεύθυνος της επεξεργασίας επιτρέπεται να προβαίνει σε περαιτέρω επεξεργασία των δεδομένων προσωπικού χαρακτήρα ανεξάρτητα από το αν η επεξεργασία αυτή συμβιβάζεται με τους σκοπούς για τους οποίους συνελέγησαν αρχικώς τα δεδομένα προσωπικού χαρακτήρα.
34 Εν προκειμένω, οι σχετικές διατάξεις του κεφαλαίου 38 του RB, οι οποίες προβλέπουν την υποχρέωση προσκομίσεως ενός εγγράφου ως αποδεικτικού στοιχείου και τη δυνατότητα των εθνικών δικαστηρίων να διατάξουν την προσκόμισή του, αποτελούν τη νομική βάση που λειτουργεί ως έρεισμα για την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Μολονότι οι διατάξεις αυτές συνιστούν, καταρχήν, επαρκή νομική βάση για να επιτραπεί τέτοιου είδους επεξεργασία, από την απόφαση περί παραπομπής προκύπτει ότι η συγκεκριμένη νομική βάση διαφέρει από εκείνη του νόμου περί φορολογικών διαδικασιών, βάσει του οποίου καταρτίστηκε το επίμαχο στην κύρια δίκη μητρώο προσωπικού για σκοπούς φορολογικού ελέγχου. Επιπλέον, η προβλεπόμενη από τις συγκεκριμένες διατάξεις του RB υποχρέωση προσκομίσεως αποσκοπεί, κατά το αιτούν δικαστήριο, στο να μπορεί να έχει πρόσβαση στο έγγραφο οποιοσδήποτε το χρειάζεται ως αποδεικτικό στοιχείο. Πρόκειται, κατά το αιτούν δικαστήριο, για τη διασφάλιση της δυνατότητας ενός προσώπου να ασκήσει τα δικαιώματά του όταν υφίσταται «εύλογο συμφέρον για την απόκτηση αποδεικτικού μέσου».
35 Κατά το αιτούν δικαστήριο, από τις προπαρασκευαστικές εργασίες του νόμου περί φορολογικών διαδικασιών προκύπτει ότι τα δεδομένα προσωπικού χαρακτήρα που έχουν καταχωρισθεί στο μητρώο προσωπικού έχουν ως σκοπό να παράσχουν στους υπαλλήλους της αρμόδιας σουηδικής φορολογικής αρχής τη δυνατότητα να προβαίνουν σε διασταυρώσεις στοιχείων κατά τους επιτόπιους ελέγχους. Βασικός στόχος είναι ο περιορισμός των περιπτώσεων αδήλωτης απασχολήσεως και η βελτίωση των συνθηκών ανταγωνισμού. Η επεξεργασία των δεδομένων προσωπικού χαρακτήρα δικαιολογείται από την ανάγκη να εκπληρωθεί η νομική υποχρέωση που υπέχει ο υπεύθυνος της επεξεργασίας, ήτοι η τήρηση μητρώου προσωπικού.
36 Ως εκ τούτου, πρέπει να γίνει δεκτό ότι η επεξεργασία των δεδομένων αυτών στο πλαίσιο ένδικης διαδικασίας όπως η επίμαχη στην υπόθεση της κύριας δίκης συνιστά επεξεργασία η οποία πραγματοποιείται για σκοπό διαφορετικό από εκείνον για τον οποίο συνελέγησαν τα δεδομένα, ήτοι για τους σκοπούς φορολογικού ελέγχου, και η οποία δεν στηρίζεται στη συγκατάθεση των υποκειμένων των δεδομένων κατά την έννοια του άρθρου 6, παράγραφος 1, στοιχείο αʹ, του ΓΚΠΔ.
37 Υπό τις συνθήκες αυτές, η επεξεργασία δεδομένων προσωπικού χαρακτήρα για σκοπό διαφορετικό από εκείνον για τον οποίο συνελέγησαν δεν αρκεί να στηρίζεται στο εθνικό δίκαιο, όπως οι διατάξεις του κεφαλαίου 38 του RB, αλλά πρέπει και να αποτελεί αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία κατά την έννοια του άρθρου 6, παράγραφος 4, του ΓΚΠΔ, καθώς και να εγγυάται κάποιον από τους σκοπούς του άρθρου 23, παράγραφος 1, του ΓΚΠΔ.
38 Στους σκοπούς αυτούς περιλαμβάνεται, σύμφωνα με το άρθρο 23, παράγραφος 1, σημείο στʹ, του οικείου κανονισμού, η «προστασία της ανεξαρτησίας της δικαιοσύνης και των δικαστικών διαδικασιών», ο σκοπός δε αυτός πρέπει, όπως επισήμανε η Ευρωπαϊκή Επιτροπή στις γραπτές παρατηρήσεις της, να γίνει αντιληπτός υπό την έννοια ότι αποβλέπει στην προστασία της απονομής της δικαιοσύνης από εσωτερικές ή εξωτερικές παρεμβάσεις, αλλά και στην ορθή απονομή της δικαιοσύνης. Εξάλλου, κατά το στοιχείο ιʹ της παραγράφου 1 του ίδιου άρθρου, η εκτέλεση των αξιώσεων αστικού δικαίου συνιστά επίσης σκοπό ικανό να δικαιολογήσει την επεξεργασία δεδομένων προσωπικού χαρακτήρα για σκοπό διαφορετικό από εκείνον για τον οποίο συνελέγησαν. Επομένως, δεν αποκλείεται η επεξεργασία δεδομένων προσωπικού χαρακτήρα τρίτων στο πλαίσιο αστικής δίκης να μπορεί να στηρίζεται σε τέτοιους σκοπούς.
39 Εντούτοις, στο αιτούν δικαστήριο εναπόκειται να εξακριβώσει αν οι σχετικές διατάξεις του κεφαλαίου 38 του RB, αφενός, ανταποκρίνονται στον έναν ή/και στον άλλο από τους προαναφερθέντες σκοπούς και, αφετέρου, αν είναι αναγκαίες και αναλογικές προς τους εν λόγω σκοπούς, ώστε να εμπίπτουν στις περιπτώσεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα που θεωρούνται νόμιμες βάσει των διατάξεων του άρθρου 6, παράγραφοι 3 και 4, του ΓΚΠΔ, σε συνδυασμό με το άρθρο 23, παράγραφος 1, στοιχεία στʹ και ιʹ, του εν λόγω κανονισμού.
40 Σημειωτέον ότι είναι αδιάφορο αν η επεξεργασία δεδομένων προσωπικού χαρακτήρα στηρίζεται σε διάταξη του εθνικού ουσιαστικού ή δικονομικού δικαίου, δεδομένου ότι οι διατάξεις του άρθρου 6, παράγραφος 3, στοιχείο βʹ, και παράγραφος 4, του οικείου κανονισμού ουδόλως διακρίνουν μεταξύ των δύο αυτών ειδών διατάξεων.
41 Λαμβανομένου υπόψη του συνόλου των ανωτέρω σκέψεων, στο πρώτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 6, παράγραφοι 3 και 4, του ΓΚΠΔ έχει την έννοια ότι εφαρμόζεται όσον αφορά την προσκόμιση ως αποδεικτικού στοιχείου στο πλαίσιο αστικής δίκης ενός μητρώου προσωπικού το οποίο περιέχει δεδομένα προσωπικού χαρακτήρα που συλλέγονται κυρίως για σκοπούς φορολογικού ελέγχου.
Επί του δευτέρου προδικαστικού ερωτήματος
42 Με το δεύτερο ερώτημά του, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν τα άρθρα 5 και 6 του ΓΚΠΔ έχουν την έννοια ότι το εθνικό δικαστήριο, όταν εξετάζει εάν πρέπει να διατάξει την προσκόμιση εγγράφου που περιέχει δεδομένα προσωπικού χαρακτήρα στο πλαίσιο αστικής δίκης, οφείλει να λάβει υπόψη τα συμφέροντα των υποκειμένων των δεδομένων. Σε περίπτωση καταφατικής απαντήσεως, το αιτούν δικαστήριο ζητεί, περαιτέρω, να διευκρινιστεί αν το δίκαιο της Ένωσης, και ιδίως ο ΓΚΠΔ, επιβάλλει ιδιαίτερες απαιτήσεις όσον αφορά τον τρόπο που πρέπει να γίνεται η εξέταση αυτή.
43 Καταρχάς, υπογραμμίζεται ότι κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει, υπό την επιφύλαξη των παρεκκλίσεων που επιτρέπει το άρθρο 23, να τηρεί τις αρχές που διέπουν την επεξεργασία των δεδομένων προσωπικού χαρακτήρα καθώς και τα δικαιώματα του υποκειμένου των δεδομένων που προβλέπονται, αντιστοίχως, στα κεφάλαια II και III του ανωτέρω κανονισμού. Ειδικότερα, κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει, αφενός, να συνάδει με τις αρχές του άρθρου 5 του εν λόγω κανονισμού και, αφετέρου, να πληροί τις προϋποθέσεις νομιμότητας που απαριθμούνται στο άρθρο 6 του ίδιου κανονισμού (πρβλ. απόφαση της 6ης Οκτωβρίου 2020, La Quadrature du Net κ.λπ., C‑511/18, C‑512/18 και C‑520/18, EU:C:2020:791, σκέψη 208 και εκεί μνημονευόμενη νομολογία).
44 Εν προκειμένω, το αιτούν δικαστήριο επισημαίνει ότι οι σχετικές διατάξεις του κεφαλαίου 38 του RB δεν απαιτούν ρητώς, όταν εξετάζει αν πρέπει να διαταχθεί η προσκόμιση εγγράφου που περιέχει δεδομένα προσωπικού χαρακτήρα, να ληφθούν υπόψη τα συμφέροντα των προσώπων των οποίων τα δεδομένα προσωπικού χαρακτήρα διακυβεύονται. Κατά τη νομολογία των εθνικών δικαστηρίων, οι διατάξεις αυτές απαιτούν μόνο τη στάθμιση της λυσιτέλειας των αποδεικτικών στοιχείων και του συμφέροντος του αντιδίκου να μη δημοσιοποιηθούν οι επίμαχες πληροφορίες.
45 Όπως διαπιστώθηκε στη σκέψη 39 της παρούσας αποφάσεως, δεδομένου ότι οι οικείες διατάξεις του εθνικού δικαίου αφορούν την προσκόμιση εγγράφου ως αποδεικτικού στοιχείου, ενδέχεται να εμπίπτουν στις περιπτώσεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα που θεωρούνται νόμιμες βάσει των διατάξεων του άρθρου 6, παράγραφοι 3 και 4, του ΓΚΠΔ, σε συνδυασμό με το άρθρο του 23, παράγραφος 1, στοιχεία στʹ και ιʹ. Τούτο ισχύει, αφενός, στο μέτρο που οι εν λόγω διατάξεις αποσκοπούν στην εξασφάλιση της ομαλής διεξαγωγής της ένδικης διαδικασίας, καθόσον εγγυώνται ότι ο πολίτης μπορεί να κάνει χρήση των δικαιωμάτων του όταν υφίσταται «εύλογο συμφέρον για την απόκτηση αποδεικτικού μέσου», και, αφετέρου, στο μέτρο που είναι αναγκαίες και ανάλογες προς τον σκοπό αυτόν.
46 Πράγματι, από το άρθρο 6, παράγραφος 4, του ΓΚΠΔ προκύπτει ότι τέτοιου είδους επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι σύννομη υπό την προϋπόθεση ότι αποτελεί μέτρο αναγκαίο και αναλογικό σε μια δημοκρατική κοινωνία για τη διασφάλιση των σκοπών του άρθρου 23 του ΓΚΠΔ τους οποίους επιδιώκει. Επομένως, προκειμένου να βεβαιωθεί ότι πληρούνται οι εν λόγω απαιτήσεις, το εθνικό δικαστήριο οφείλει να λάβει υπόψη τα αντιτιθέμενα συμφέροντα που διακυβεύονται όταν εξετάζει κατά πόσον είναι σκόπιμο να διατάξει την προσκόμιση εγγράφου που περιέχει δεδομένα προσωπικού χαρακτήρα τρίτων.
47 Συναφώς, υπογραμμίζεται ότι το αποτέλεσμα της σταθμίσεως στην οποία πρέπει να προβεί το εθνικό δικαστήριο ενδέχεται να διαφοροποιείται ανάλογα τόσο με τις περιστάσεις κάθε υποθέσεως όσο και με το είδος της επίμαχης διαδικασίας.
48 Όσον αφορά τα συμφέροντα που διακυβεύονται στο πλαίσιο αστικής δίκης, το εθνικό δικαστήριο οφείλει, όπως προκύπτει ιδίως από τις αιτιολογικές σκέψεις 1 και 2 του ΓΚΠΔ, να διασφαλίσει την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, η οποία αποτελεί θεμελιώδες δικαίωμα που κατοχυρώνεται στο άρθρο 8, παράγραφος 1, του Χάρτη και στο άρθρο 16 ΣΛΕΕ. Το εθνικό δικαστήριο οφείλει επίσης να διασφαλίζει το δικαίωμα στον σεβασμό της ιδιωτικής ζωής, το οποίο κατοχυρώνεται στο άρθρο 7 του Χάρτη και συνδέεται στενά με το δικαίωμα προστασίας των δεδομένων προσωπικού χαρακτήρα.
49 Εντούτοις, όπως αναφέρεται στην αιτιολογική σκέψη 4 του ΓΚΠΔ, το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα δεν είναι απόλυτο, αλλά πρέπει να συνεκτιμάται σε σχέση με τον ρόλο του στην κοινωνία και να σταθμίζεται, σύμφωνα με την αρχή της αναλογικότητας, με άλλα θεμελιώδη δικαιώματα, όπως το δικαίωμα αποτελεσματικής δικαστικής προστασίας, το οποίο κατοχυρώνεται στο άρθρο 47 του Χάρτη.
50 Πλην όμως, η προσκόμιση εγγράφου το οποίο περιέχει δεδομένα προσωπικού χαρακτήρα τρίτων στο πλαίσιο αστικής δίκης συμβάλλει, όπως επισήμανε, κατ’ ουσίαν, η γενική εισαγγελέας στο σημείο 61 των προτάσεών της, στον σεβασμό του δικαιώματος αποτελεσματικής δικαστικής προστασίας.
51 Συναφώς, δεδομένου ότι το άρθρο 47, δεύτερο εδάφιο, του Χάρτη αντιστοιχεί στο άρθρο 6, παράγραφος 1, της Ευρωπαϊκής Συμβάσεως για την Προάσπιση των Δικαιωμάτων του Ανθρώπου και των Θεμελιωδών Ελευθεριών (στο εξής: ΕΣΔΑ), η οποία υπογράφηκε στη Ρώμη στις 4 Νοεμβρίου 1950, η έννοια και η εμβέλειά του είναι, δυνάμει του άρθρου 52, παράγραφος 3, του Χάρτη, ίδιες με εκείνες που τους αποδίδει το προαναφερθέν άρθρο 6, παράγραφος 1, της ΕΣΔΑ.
52 Κατά πάγια νομολογία του Ευρωπαϊκού Δικαστηρίου των Δικαιωμάτων του Ανθρώπου, λαμβανομένης υπόψη της εξέχουσας θέσεως που έχει το δικαίωμα στη δίκαιη δίκη σε μια δημοκρατική κοινωνία, είναι σημαντικό να παρέχεται στον διάδικο η δυνατότητα αποτελεσματικής υπεράσπισης ενώπιον του δικαστηρίου και να απολαύει της αρχής της ισότητας των όπλων με τον αντίδικό του [πρβλ. απόφαση του ΕΔΔΑ της 24ης Ιουνίου 2022, Zayidov κατά Αζερμπαϊτζάν (αριθ. 2), CE:ECHR:2022:0324JUD000538610, § 87 και εκεί μνημονευόμενη νομολογία]. Ως εκ τούτου, ο διάδικος πρέπει, μεταξύ άλλων, να έχει τη δυνατότητα να τύχει κατ’ αντιμωλίαν διαδικασίας και να προβάλει, στα διάφορα στάδια της διαδικασίας αυτής, τα επιχειρήματα που κρίνει λυσιτελή για την υπεράσπισή του (απόφαση του ΕΔΔΑ της 21ης Ιανουαρίου 1999, García Ruiz κατά Ισπανίας, CE:ECHR:1999:0121JUD003054496, § 29).
53 Επομένως, προκειμένου να διασφαλιστεί ότι οι πολίτες μπορούν να απολαύουν δικαιώματος αποτελεσματικής δικαστικής προστασίας και, ιδίως, δικαιώματος σε δίκαιη δίκη, κατά την έννοια του άρθρου 47, δεύτερο εδάφιο, του Χάρτη, κρίνεται ότι οι διάδικοι σε αστική δίκη πρέπει να μπορούν να έχουν πρόσβαση στα αποδεικτικά στοιχεία που είναι αναγκαία για να αποδειχθεί επαρκώς το βάσιμο των αιτιάσεών τους και τα οποία ενδέχεται να περιλαμβάνουν δεδομένα προσωπικού χαρακτήρα των διαδίκων ή τρίτων.
54 Τούτου δοθέντος, όπως επισημάνθηκε στη σκέψη 46 της παρούσας αποφάσεως, η συνεκτίμηση των διακυβευομένων συμφερόντων εντάσσεται στο πλαίσιο της εξετάσεως της αναγκαιότητας και της αναλογικότητας του μέτρου, οι οποίες προβλέπονται στο άρθρο 6, παράγραφοι 3 και 4, του ΓΚΠΔ, και από τις οποίες εξαρτάται η νομιμότητα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Επομένως. πρέπει να ληφθεί επίσης υπόψη το άρθρο 5, παράγραφος 1, του κανονισμού αυτού, και ειδικότερα η αρχή της «ελαχιστοποιήσεως των δεδομένων» που περιλαμβάνεται στο στοιχείο γʹ της διατάξεως αυτής, η οποία αποτελεί έκφανση της αρχής της αναλογικότητας. Σύμφωνα με την αρχή της ελαχιστοποιήσεως των δεδομένων, τα δεδομένα προσωπικού χαρακτήρα πρέπει να είναι κατάλληλα, συναφή και να περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία [πρβλ. απόφαση της 22ας Ιουνίου 2021, Latvijas Republikas Saeima (Βαθμοί ποινής), C‑439/19, EU:C:2021:504, σκέψη 98 και εκεί μνημονευόμενη νομολογία].
55 Επομένως, το εθνικό δικαστήριο οφείλει να κρίνει αν η γνωστοποίηση των δεδομένων προσωπικού χαρακτήρα είναι πρόσφορη και κρίσιμη για την επίτευξη του σκοπού που επιδιώκουν οι εφαρμοστέες διατάξεις του εθνικού δικαίου και αν ο σκοπός αυτός μπορεί να επιτευχθεί με τη χρήση λιγότερο παρεμβατικών αποδεικτικών μέσων υπό το πρίσμα της προστασίας των προσωπικών δεδομένων μεγάλου αριθμού τρίτων όπως, για παράδειγμα, η εξέταση επιλεγμένων μαρτύρων.
56 Στην περίπτωση κατά την οποία αποδεικνύεται δικαιολογημένη η προσκόμιση του εγγράφου που περιέχει δεδομένα προσωπικού χαρακτήρα, από την εν λόγω αρχή προκύπτει επιπλέον ότι, όταν μόνον ένα μέρος των δεδομένων αυτών είναι αναγκαίο για αποδεικτικούς σκοπούς, το εθνικό δικαστήριο πρέπει να εξετάσει τη λήψη συμπληρωματικών μέτρων στον τομέα της προστασίας των δεδομένων, όπως είναι η ψευδωνυμοποίηση, κατά τα οριζόμενα στο άρθρο 4, σημείο 5, του ΓΚΠΔ, των ονομάτων των υποκειμένων των δεδομένων ή κάθε άλλου μέτρου που αποσκοπεί στην ελαχιστοποίηση της προσβολής του δικαιώματος προστασίας των δεδομένων προσωπικού χαρακτήρα που συνεπάγεται η προσκόμιση τέτοιου εγγράφου. Στα μέτρα αυτά μπορεί να περιλαμβάνεται, μεταξύ άλλων, ο περιορισμός της προσβάσεως του κοινού στη δικογραφία ή η διαταγή προς τους διαδίκους στους οποίους γνωστοποιήθηκαν τα έγγραφα που περιέχουν δεδομένα προσωπικού χαρακτήρα να μη χρησιμοποιούν τα δεδομένα αυτά για σκοπό διαφορετικό από εκείνον της διεξαγωγής των αποδείξεων κατά την επίμαχη ένδικη διαδικασία.
57 Συναφώς, πρέπει να διευκρινιστεί ότι από το άρθρο 4, σημείο 5, του ΓΚΠΔ, σε συνδυασμό με την αιτιολογική σκέψη 26 του οικείου κανονισμού, προκύπτει ότι τα δεδομένα προσωπικού χαρακτήρα που έχουν υποβληθεί σε ψευδωνυμοποίηση και τα οποία θα μπορούσαν να αποδοθούν σε φυσικό πρόσωπο διά της χρήσεως συμπληρωματικών πληροφοριών θα πρέπει να θεωρούνται πληροφορίες που αφορούν φυσικό πρόσωπο δυνάμενο να ταυτοποιηθεί, επί των οποίων εφαρμόζονται οι αρχές περί προστασίας των δεδομένων. Αντιθέτως, από την εν λόγω αιτιολογική σκέψη προκύπτει ότι οι αρχές αυτές δεν εφαρμόζονται ούτε «σε ανώνυμες πληροφορίες, δηλαδή πληροφορίες που δεν σχετίζονται προς ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο ή σε δεδομένα προσωπικού χαρακτήρα που έχουν καταστεί ανώνυμα κατά τρόπο ώστε η ταυτότητα του υποκειμένου των δεδομένων να μην μπορεί ή να μην μπορεί πλέον να εξακριβωθεί».
58 Επομένως, ένα εθνικό δικαστήριο ενδέχεται να κρίνει ότι τα δεδομένα προσωπικού χαρακτήρα των διαδίκων ή τρίτων πρέπει να του κοινοποιηθούν προκειμένου να μπορέσει να σταθμίσει τα διακυβευόμενα συμφέροντα με πλήρη επίγνωση και τηρουμένης της αρχής της αναλογικότητας. Αναλόγως της περιπτώσεως, η εκτίμηση αυτή ενδέχεται να οδηγήσει το εθνικό δικαστήριο στο να επιτρέψει την πλήρη ή τη μερική γνωστοποίηση στον αντίδικο των δεδομένων προσωπικού χαρακτήρα που του κοινοποιήθηκαν, εφόσον κρίνει ότι η γνωστοποίηση αυτή δεν βαίνει πέραν του αναγκαίου μέτρου για τη διασφάλιση της αποτελεσματικής απολαύσεως των δικαιωμάτων που οι ιδιώτες αντλούν από το άρθρο 47 του Χάρτη.
59 Λαμβανομένου υπόψη του συνόλου των ανωτέρω σκέψεων, στο δεύτερο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι τα άρθρα 5 και 6 του ΓΚΠΔ έχουν την έννοια ότι το εθνικό δικαστήριο, όταν εξετάζει εάν πρέπει να διατάξει την προσκόμιση εγγράφου που περιέχει δεδομένα προσωπικού χαρακτήρα, οφείλει να λάβει υπόψη τα συμφέροντα των υποκειμένων των δεδομένων και να τα σταθμίσει αναλόγως των περιστάσεων κάθε συγκεκριμένης περιπτώσεως, του είδους της επίμαχης διαδικασίας, και λαμβανομένων δεόντως υπόψη των απαιτήσεων που απορρέουν από την αρχή της αναλογικότητας, καθώς και, ειδικότερα, των απαιτήσεων που απορρέουν από την αρχή της ελαχιστοποιήσεως των δεδομένων που κατοχυρώνεται στο άρθρο 5, παράγραφος 1, στοιχείο γʹ, του ανωτέρω κανονισμού.
Επί των δικαστικών εξόδων
60 Δεδομένου ότι η παρούσα διαδικασία έχει ως προς τους διαδίκους της κύριας δίκης τον χαρακτήρα παρεμπίπτοντος που ανέκυψε ενώπιον του αιτούντος δικαστηρίου, σε αυτό εναπόκειται να αποφανθεί επί των δικαστικών εξόδων. Τα έξοδα στα οποία υποβλήθηκαν όσοι υπέβαλαν παρατηρήσεις στο Δικαστήριο, πλην των ως άνω μερών, δεν αποδίδονται.
Για τους λόγους αυτούς, το Δικαστήριο (τρίτο τμήμα) αποφαίνεται:
1) Το άρθρο 6, παράγραφοι 3 και 4, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων),
έχει την έννοια ότι:
εφαρμόζεται, στο πλαίσιο αστικής δίκης, στην προσκόμιση ως αποδεικτικού στοιχείου ενός μητρώου προσωπικού το οποίο περιέχει δεδομένα προσωπικού χαρακτήρα που συλλέγονται κυρίως για σκοπούς φορολογικού ελέγχου.
2) Τα άρθρα 5 και 6 του κανονισμού 2016/679
έχουν την έννοια ότι:
το εθνικό δικαστήριο, όταν εξετάζει εάν πρέπει να διατάξει την προσκόμιση εγγράφου που περιέχει δεδομένα προσωπικού χαρακτήρα, οφείλει να λάβει υπόψη τα συμφέροντα των υποκειμένων των δεδομένων και να τα σταθμίσει αναλόγως των περιστάσεων κάθε συγκεκριμένης περιπτώσεως, του είδους της επίμαχης διαδικασίας και λαμβανομένων δεόντως υπόψη των απαιτήσεων που απορρέουν από την αρχή της αναλογικότητας, καθώς και, ειδικότερα, των απαιτήσεων που απορρέουν από την αρχή της ελαχιστοποιήσεως των δεδομένων που κατοχυρώνεται στο άρθρο 5, παράγραφος 1, στοιχείο γʹ, του ανωτέρω κανονισμού.
(υπογραφές)