CELEX: 62021CJ0268
Begäran om förhandsavgörande
Skydd av personuppgifter
Förordning (EU) 2016/679
Artikel 6.3 och 6.4
Laglig behandling av personuppgifter
Edition av en handling med personuppgifter
Artikel 23.1 f och j
Skydd av rättsväsendets oberoende och rättsliga åtgärder
Verkställighet av civilrättsliga anspråk
Krav som ska iakttas
Beaktande av de registrerades intressen
Avvägning mellan berörda motstående intressen
Artikel 5
Uppgiftsminimering
Europeiska unionens stadga om de grundläggande rättigheterna
Artikel 7
Rätt till respekt för privatlivet
Artikel 8
Rätt till skydd av personuppgifter
Artikel 47
Rätt till ett effektivt domstolsskydd
Proportionalitetsprincipen

Begäran om förhandsavgörande avser tolkningen av artikel 6.3 och 6.4 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (
EUT L 119, 2016, s. 1
) (nedan kallad dataskyddsförordningen).
Begäran har framställts i ett mål mellan Norra Stockholm Bygg AB (nedan kallat Fastec) och Per Nycander AB (nedan kallat Nycander). Målet rör Nycanders yrkande om edition av en elektronisk personalliggare som innehåller närvarouppgifter för de som arbetat i en entreprenad som Fastec utfört för Nycander. Grunden för yrkandet är att personalliggaren kan ha betydelse som bevis i en pågående tvist om ersättning för den utförda entreprenaden.
Tillämpliga bestämmelser
Unionsrätt
Skälen 1, 2, 4, 20, 26, 45 och 50 i dataskyddsförordningen har följande lydelse:
”(1)
Skyddet för fysiska personer vid behandling av personuppgifter är en grundläggande rättighet. Artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan) och artikel 16.1 [FEUF] föreskriver att var och en har rätt till skydd av de personuppgifter som rör honom eller henne.
(2)
Principerna och reglerna för skyddet för fysiska personer vid behandling av deras personuppgifter bör, oavsett deras medborgarskap eller hemvist, respektera deras grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter. Avsikten med denna förordning är att bidra till att skapa ett område med frihet, säkerhet och rättvisa och en ekonomisk union, till ekonomiska och sociala framsteg, till förstärkning och konvergens av ekonomierna inom den inre marknaden samt till fysiska personers välbefinnande.
…
(4)
Behandlingen av personuppgifter bör utformas så att den tjänar människor. Rätten till skydd av personuppgifter är inte en absolut rättighet; den måste förstås utifrån sin uppgift i samhället och vägas mot andra grundläggande rättigheter i enlighet med proportionalitetsprincipen. …
…
(20)
Eftersom denna förordning bland annat gäller för verksamhet inom domstolar och andra rättsliga myndigheter, skulle det i unionsrätt eller medlemsstaternas nationella rätt kunna anges vilken behandling och vilka förfaranden för behandling som berörs när det gäller domstolars och andra rättsliga myndigheters behandling av personuppgifter. …
…
(26)
Principerna för dataskyddet bör gälla all information som rör en identifierad eller identifierbar fysisk person. Personuppgifter som har pseudonymiserats och som skulle kunna tillskrivas en fysisk person genom att kompletterande uppgifter används bör anses som uppgifter om en identifierbar fysisk person. … Principerna för dataskyddet bör därför inte gälla för anonym information, nämligen information som inte hänför sig till en identifierad eller identifierbar fysisk person, eller för personuppgifter som anonymiserats på ett sådant sätt att den registrerade inte eller inte längre är identifierbar. …
…
(45)
Behandling som grundar sig på en rättslig förpliktelse som åvilar den personuppgiftsansvarige eller behandling som krävs för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning, bör ha en grund i unionsrätten eller i en medlemsstats nationella rätt. … Det kan räcka med en lag som grund för flera behandlingar som bygger på en rättslig förpliktelse som åvilar den personuppgiftsansvarige eller om behandlingen krävs för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning. Behandlingens syfte bör också fastställas i unionsrätten eller i medlemsstaternas nationella rätt. …
…
(50)
Behandling av personuppgifter för andra ändamål än de för vilka de ursprungligen samlades in bör endast vara tillåten, när detta är förenligt med de ändamål för vilka personuppgifterna ursprungligen samlades in. I dessa fall krävs det inte någon annan separat rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs. Om behandlingen är nödvändig för att fullgöra en uppgift av allmänt intresse eller som ett led i myndighetsutövning som den personuppgiftsansvarige har fått i uppgift att utföra, kan unionsrätten eller medlemsstaternas nationella rätt fastställa och närmare ange för vilka uppgifter och syften ytterligare behandling bör betraktas som förenlig och laglig. …Den rättsliga grund för behandling av personuppgifter som återfinns i unionsrätten eller i medlemsstaternas nationella rätt kan också utgöra en rättslig grund för ytterligare behandling. …
Om den registrerade har gett sitt medgivande eller behandlingen grundar sig på unionsrätten eller på medlemsstaternas nationella rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa i synnerhet viktiga mål av allmänt intresse, bör den personuppgiftsansvarige tillåtas att behandla personuppgifterna ytterligare, oavsett om detta är förenligt med ändamålen eller inte. Under alla omständigheter bör tillämpningen av principerna i denna förordning, särskilt informationen till den registrerade om dessa andra ändamål och om dennes rättigheter, inbegripet rätten att göra invändningar, säkerställas. …”
Artikel 2 i dataskyddsförordningen har rubriken ”Materiellt tillämpningsområde”, och där föreskrivs följande:
”1.   Denna förordning ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.
2.   Denna förordning ska inte tillämpas på behandling av personuppgifter som
a)
utgör ett led i en verksamhet som inte omfattas av unionsrätten,
b)
medlemsstaterna utför när de bedriver verksamhet som omfattas av avdelning V kapitel 2 i [fördraget om Europeiska unionen],
c)
en fysisk person utför som ett led i verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll,
d)
behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten.
3.   [Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter (
EGT L 8, 2001, s. 1
)] är tillämplig på den behandling av personuppgifter som sker i EU:s institutioner, organ och byråer. Förordning [nr 45/2001] och de av unionens övriga rättsakter som är tillämpliga på sådan behandling av personuppgifter ska anpassas till principerna och bestämmelserna i denna förordning i enlighet med artikel 98.”
I artikel 4 i dataskyddsförordningen föreskrivs följande:
”I denna förordning avses med
…
2)
behandling
: en åtgärd eller kombination av åtgärder som utförs beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om det sker automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring,
…
5)
pseudonymisering
: behandling av personuppgifter på ett sätt som innebär att personuppgifterna inte längre kan tillskrivas en specifik registrerad utan att kompletterande uppgifter används, under förutsättning att dessa kompletterande uppgifter förvaras separat och är föremål för tekniska och organisatoriska åtgärder som säkerställer att personuppgifterna inte tillskrivs en identifierad eller identifierbar fysisk person,
…”
Artikel 5 i dataskyddsförordningen har rubriken ”Principer för behandling av personuppgifter”. I punkt 1 i denna artikel föreskrivs följande:
”Vid behandling av personuppgifter ska följande gälla:
a)
Uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (
laglighet, korrekthet och öppenhet
).
b)
De ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål … (
ändamålsbegränsning
).
c)
De ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (
uppgiftsminimering
).
d)
De ska vara korrekta och om nödvändigt uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål (
korrekthet
)
…
Artikel 6 i dataskyddsförordningen har rubriken ”Laglig behandling av personuppgifter”, och där föreskrivs följande:
”1.   Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt:
a)
Den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål.
…
c)
Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige.
…
e)
Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning.
…
3.   Den grund för behandlingen som avses i punkt 1 c och e ska fastställas i enlighet med
a)
unionsrätten, eller
b)
en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av.
Syftet med behandlingen ska fastställas i den rättsliga grunden eller, i fråga om behandling enligt punkt 1 e, ska vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. … Unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas.
4.   Om en behandling för andra ändamål än det ändamål för vilket personuppgifterna samlades in inte grundar sig på den registrerades samtycke eller på unionsrätten eller medlemsstaternas nationella rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att skydda de mål som avses i artikel 23.1, ska den personuppgiftsansvarige för att fastställa huruvida behandling för andra ändamål är förenlig med det ändamål för vilket personuppgifterna ursprungligen samlades in bland annat beakta följande:
a)
Kopplingar mellan de ändamål för vilka personuppgifterna har samlats in och ändamålen med den avsedda ytterligare behandlingen.
…”
Artikel 23 i dataskyddsförordningen har rubriken ”Begränsningar”, och där föreskrivs följande:
”1.   Det ska vara möjligt att i unionsrätten eller i en medlemsstats nationella rätt som den personuppgiftsansvarige eller personuppgiftsbiträdet omfattas av införa en lagstiftningsåtgärd som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna 12–22 och 34, samt artikel 5 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22, om en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa
…
f)
skydd av rättsväsendets oberoende och rättsliga åtgärder,
…
j)
verkställighet av civilrättsliga krav [anspråk].
…”
Svensk rätt
RB
Bestämmelser om skriftliga bevis finns i 38 kap. rättegångsbalken (RB).
Enligt 38 kap. 2 § första stycket är den som innehar en skriftlig handling som kan antas ha betydelse som bevis skyldig att förete handlingen.
Undantag från denna editionsplikt föreskrivs i bland annat 38 kap. 2 § andra stycket. Som undantag gäller att vissa befattningshavare inte får förete en skriftlig handling om dess innehåll kan antas vara sådant att innehavaren inte får höras som vittne om den. Detta undantag tar sikte på advokater, läkare, psykologer, präster och andra befattningshavare som har anförtrotts uppgifter under sin yrkesutövning eller motsvarande. Omfattningen av editionsplikten korresponderar på så sätt med skyldigheten att vittna i rättegång.
Om någon är skyldig att förete en skriftlig handling som bevis, får rätten enligt 38 kap. 4 § förelägga honom eller henne att förete handlingen.
Skatteförfarandelagen
Enligt 39 kap. 11 a–c §§ skatteförfarandelagen (2011:1244) ska den som bedriver byggverksamhet i vissa fall föra en elektronisk personalliggare. I denna ska dokumenteras nödvändiga identifikationsuppgifter för de personer som är verksamma i näringsverksamheten. Skyldigheten ligger i första hand på byggherren, men byggherren kan ge en självständig näringsidkare i uppdrag att sköta personalliggaren. Enligt 39 kap. 12 § i lagen ska personalliggaren hållas tillgänglig för Skatteverket.
Vilka uppgifter som personalliggaren ska innehålla framgår av 9 kap. 5 § skatteförfarandeförordningen (2011:1261). Den ska innehålla bland annat namn och personnummer för de personer som är verksamma i näringsverksamheten samt tidpunkt då respektive persons arbetspass påbörjas och avslutas.
Målet vid Högsta domstolen och tolkningsfrågorna
Fastec har för Nycander utfört en entreprenad för nybyggnad av ett kontorshus. De som arbetade i entreprenaden registrerade sin närvaro i en elektronisk personalliggare. Personalliggaren tillhandahölls av Entral AB på uppdrag av Fastec.
I tingsrätten pågår tvist om ersättning för den utförda entreprenaden. Fastec har yrkat att Nycander ska betala ett belopp för vad bolaget menar är resterande betalning som ska utgå. Nycander har bestritt yrkandet och invänt att Fastec inte har lagt ned all den tid som Fastec begär betalning för.
Under tvistemålets handläggning i tingsrätten yrkade Nycander att tingsrätten skulle förelägga Entral att förete den aktuella personalliggaren för perioden den 1 augusti 2016 till den 30 november 2017, i första hand i omaskerat skick och i andra hand med maskering av berörda personers personnummer. Som grund för detta yrkande om edition gjorde Nycander gällande att Entral innehade personalliggaren och att den kunde ha betydelse som bevis. Med uppgifterna i personalliggaren vill Nycander motbevisa att Fastecs personal varit på plats i den omfattning som det bolaget gör gällande.
Fastec bestred Nycanders editionsyrkande och invände främst att yrkandet kom i konflikt med artikel 5.1 b i dataskyddsförordningen. Fastec hänvisade till att personalliggaren innehåller personuppgifter som hade samlats in i syfte att Skatteverket ska kunna kontrollera verksamheten och att det inte är förenligt med detta ändamål att lämna ut uppgifterna.
Tingsrätten förelade Entral att förete personalliggaren för entreprenaden avseende den aktuella perioden i omaskerat skick. Svea hovrätt fastställde tingsrättens beslut.
Fastec har överklagat Svea hovrätts beslut och bland annat yrkat att Högsta domstolen ska avslå Nycanders yrkande om edition.
Högsta domstolen vill nu med sin begäran om förhandsavgörande få klarhet i om, och i förekommande fall hur, bestämmelserna i dataskyddsförordningen ska tillämpas i det aktuella målet.
Vad gäller editionsplikten i rättegångsbalken har Högsta domstolen bland annat anfört följande. Det framgår av rättspraxis att prövningen av en editionsfråga ska omfatta en avvägning mellan bevisningens relevans och motpartens intresse av att inte lämna ut uppgifterna. Vid prövningen beaktas i princip inte om information i handlingen är av privat natur eller om andra personer har intresse av innehållet i handlingen, utöver vad som kan följa av de särskilt föreskrivna undantagen.
Editionsplikten i rättegångsbalken syftar till att den som är i behov av en skriftlig handling som bevis ska få tillgång till handlingen. Ytterst handlar det om att säkerställa att den enskilde ska kunna komma till sin rätt när det finns ett befogat bevisintresse.
Det är mot denna bakgrund som Högsta domstolen har beslutat att vilandeförklara målet och ställa följande frågor till EU-domstolen:
”1)
Innefattar artikel 6.3 och 6.4 i [dataskyddsförordningen] krav också på nationell processrättslig lagstiftning om editionsplikt?
2)
Om svaret på fråga 1 är ja, innebär [dataskyddsförordningen] att det vid bedömningen av frågan om edition ska beslutas rörande en handling med personuppgifter även ska tas hänsyn till de registrerades intressen? Ställer unionsrätten i så fall några krav på hur denna bedömning närmare ska göras?”
Prövning av tolkningsfrågorna
Den första frågan
Högsta domstolen har ställt den första frågan för att få klarhet i huruvida artikel 6.3 och 6.4 i dataskyddsförordningen ska tolkas på så sätt att denna bestämmelse är tillämplig i ett tvistemål där fråga är om edition av en personalliggare som innehåller personuppgifter som avser andra än de enskilda parterna själva och som har samlats in huvudsakligen för skattekontroll.
EU-domstolen gör följande bedömning. För att besvara den första frågan ska det inledningsvis påpekas att det i artikel 2.1 i dataskyddsförordningen anges att denna förordning ska tillämpas på sådan ”behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register” och att det därvid inte görs någon åtskillnad beroende på vem som utför behandlingen. Härav följer att dataskyddsförordningen, med undantag för de fall som nämns i artikel 2.2 och 2.3, är tillämplig på behandling av personuppgifter som utförs både av privatpersoner och av offentliga myndigheter, vilket innebär, som framgår av skäl 20 i förordningen, att den även gäller för verksamhet inom rättsliga myndigheter, såsom domstolar (dom av den 24 mars 2022, Autoriteit Persoonsgegevens,
C‑245/20
,
EU:C:2022:216
, punkt
).
Vidare framgår av artikel 4 led 2 i förordningen att definitionen av ”behandling” bland annat omfattar åtgärder som vidtas beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt.
Det nu sagda innebär att inte bara upprättande och förande av en elektronisk personalliggare, som den nu aktuella, ska anses utgöra en behandling av personuppgifter som omfattas av dataskyddsförordningens materiella tillämpningsområde (se, analogt, dom av den 30 maj 2013, Worten,
C‑342/12
,
EU:C:2013:355
, punkt
), utan även det förhållandet att någon som bevis företer en elektroniskt lagrad handling eller en fysisk handling som innehåller personuppgifter till följd av ett editionsföreläggande (se, för ett liknande resonemang, dom av den 8 december 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Ändamålen med behandlingen av personuppgifter – Brottsutredning),
C‑180/21
,
EU:C:2022:967
, punkt
).
Till sist ska det påpekas att all behandling av personuppgifter, inbegripet behandling som utförs av offentliga myndigheter såsom domstolar, måste uppfylla de villkor för laglig behandling som anges i artikel 6 i dataskyddsförordningen.
I detta avseende ska det för det första påpekas att enligt artikel 6.1 e i dataskyddsförordningen gäller att behandling av personuppgifter är tillåten om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning.
Enligt artikel 6.3 jämförd med skäl 45 i dataskyddsförordningen ska den grund för behandlingen som avses i artikel 6.1 e i förordningen fastställas i enlighet med unionsrätten eller den medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Härtill kommer att unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och stå i proportion till det legitima mål som eftersträvas.
Enligt artikel 6.1 e i dataskyddsförordningen, jämförd med artikel 6.3 i förordningen, krävs således att det finns en rättslig grund, bland annat i nationell rätt, som ger stöd för personuppgiftsansvarigas behandling av personuppgifter som sker i samband med att de utför en uppgift av allmänt intresse eller som ett led i deras myndighetsutövning, såsom den behandling som utförs av domstolarna inom ramen för deras dömande verksamhet.
I fall där behandlingen av personuppgifter sker för ett annat ändamål än det för vilket uppgifterna samlades in (nedan kallat vidarebehandling) gäller för det andra följande. Av artikel 6.4 jämförd med skäl 50 i dataskyddsförordningen framgår att en sådan behandling är tillåten under förutsättning att den bland annat grundar sig på en medlemsstats nationella rätt och att den utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att skydda något av de mål som avses i artikel 23.1 i dataskyddsförordningen. Detta innebär, såsom framgår av nämnda skäl 50, att för att skydda dessa viktiga mål av allmänt intresse, så har den personuppgiftsansvarige rätt att vidarebehandla personuppgifter oberoende av om vidarebehandlingen är förenlig med det ursprungliga behandlingsändamålet.
Vad beträffar det nu aktuella fallet är det bestämmelserna i 38 kap. RB om editionsplikt och editionsföreläggande som utgör den rättsliga grund som ger stöd för behandlingen av personuppgifter. Även om dessa bestämmelser i princip utgör en tillräcklig rättslig grund för att tillåta behandling av personuppgifter, så framgår det av Högsta domstolens beslut att denna rättsliga grund skiljer sig från den rättsliga grunden för behandling av personuppgifter enligt skatteförfarandelagen, med stöd av vilken den i målet aktuella personalliggaren har upprättats för skattekontroll. Högsta domstolen har angett att editionsplikten i rättegångsbalken syftar till att den som är i behov av en skriftlig handling som bevis ska få tillgång till handlingen. Ytterst handlar det om att säkerställa att den enskilde ska kunna komma till sin rätt när det finns ett befogat bevisintresse.
Vad gäller skatteförfarandelagen har Högsta domstolen angett att det framgår av förarbetena till lagstiftningen att personuppgifterna i personalliggaren behövs för att avstämning ska kunna göras vid Skatteverkets kontrollbesök. Det grundläggande syftet med detta är att minska förekomsten av svartarbete och att skapa sundare konkurrensförhållanden. Den rättsliga grunden för behandlingen av personuppgifterna är att den är nödvändig för att fullgöra en rättslig förpliktelse som på detta sätt åvilar den personuppgiftsansvarige, nämligen att föra personalliggare.
EU-domstolen finner således att behandling av personuppgifter i en personalliggare i samband med handläggning av mål i domstol, som det nu aktuella målet vid Högsta domstolen, utgör vidarebehandling som görs för ett nytt ändamål i förhållande till det ursprungliga behandlingsändamålet (nämligen skattekontroll) och som inte grundar sig på de registrerades samtycke, i den mening som avses i artikel 6.1 a i dataskyddsförordningen.
Vid sådana förhållanden ska vidarebehandlingen av personuppgifter för ett annat ändamål än det ursprungliga behandlingsändamålet inte endast ha stöd i nationell rätt, såsom bestämmelserna i 38 kap. RB, utan även utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle, i den mening som avses i artikel 6.4 i dataskyddsförordningen, och skydda ett av de mål som avses i artikel 23.1 i förordningen.
Ett av dessa mål är ”skydd av rättsväsendets oberoende och rättsliga åtgärder” (artikel 23.1 f i dataskyddsförordningen). EU-domstolen finner, i likhet med vad Europeiska kommissionen har anfört i sitt skriftliga yttrande, att detta mål ska förstås på så sätt det syftar till att skydda rättskipningen mot intern eller extern påverkan, men även till att säkerställa en god rättskipning. Vidare framgår av artikel 23.1 j i förordningen att verkställighet av civilrättsliga anspråk är ett mål som kan utgöra grund för vidarebehandling av personuppgifter. Det är således inte uteslutet att de nyss nämnda målen kan utgöra grund för att i samband med handläggningen av ett tvistemål behandla andras personuppgifter.
Det ankommer dock på Högsta domstolen att pröva huruvida de relevanta bestämmelserna i 38 kap. RB svarar mot ett av eller båda dessa mål och dessutom är nödvändiga och står i proportion till målen, vilket i sådant fall innebär att dessa bestämmelser kan omfattas av de fall av behandling av personuppgifter som anses vara tillåtna enligt bestämmelserna i artikel 6.3 och 6.4 i dataskyddsförordningen, jämförd med artikel 23.1 f och j i förordningen.
Det saknar därvid betydelse om det rättsliga stödet för behandlingen av personuppgifter är en materiell eller processuell bestämmelse i nationell rätt, eftersom det i artikel 6.3 b och 6.4 i förordningen inte görs någon åtskillnad mellan dessa två typer av bestämmelser.
Mot bakgrund av det ovan anförda ska den första frågan besvaras enligt följande. Artikel 6.3 och 6.4 i dataskyddsförordningen ska tolkas på så sätt att denna bestämmelse är tillämplig i ett tvistemål där fråga är om edition av en personalliggare som innehåller personuppgifter som avser andra än de enskilda parterna själva och som har samlats in huvudsakligen för skattekontroll.
Den andra frågan
Högsta domstolen har ställt den andra frågan för att få klarhet i huruvida artiklarna 5 och 6 i dataskyddsförordningen ska tolkas på så sätt att det vid bedömningen av frågan om edition ska beslutas rörande en handling med personuppgifter även ska tas hänsyn till de registrerades intressen. Om denna fråga besvaras jakande vill Högsta domstolen dessutom få klarhet i huruvida unionsrätten, och i synnerhet dataskyddsförordningen, ställer några särskilda krav på hur denna bedömning närmare ska göras.
EU-domstolen gör följande bedömning. Det ska inledningsvis påpekas att all behandling av personuppgifter, med förbehåll för de undantag som medges i artikel 23 i dataskyddsförordningen, ska vara förenlig med de principer som reglerar behandlingen av personuppgifter och de rättigheter som registrerade personer har enligt kapitel II respektive III i förordningen. All behandling av personuppgifter ska i synnerhet dels stå i överensstämmelse med de principer som anges i artikel 5 i dataskyddsförordningen, dels uppfylla de laglighetsvillkor som anges i artikel 6 i samma förordning (se, för ett liknande resonemang, dom av den 6 oktober 2020, La Quadrature du Net m.fl.,
C‑511/18, C‑512/18 och C‑520/18
,
EU:C:2020:791
, punkt
och där angiven rättspraxis).
Vad gäller det nu aktuella fallet framgår det av Högsta domstolens beslut att de relevanta bestämmelserna i 38 kap. RB inte uttryckligen kräver att hänsyn ska tas även till de registrerades intressen vid bedömningen av huruvida edition ska beslutas rörande en handling med personuppgifter. Av beslutet framgår vidare att nämnda bestämmelser enligt Högsta domstolens praxis endast kräver att det ska göras en avvägning mellan bevisningens relevans och motpartens intresse av att inte lämna ut uppgifterna.
Såsom konstaterats i punkt 39 ovan innebär det förhållandet att de nationella bestämmelserna gäller edition att de kan omfattas av de fall av behandling av personuppgifter som anses vara tillåtna enligt bestämmelserna i artikel 6.3 och 6.4 i dataskyddsförordningen, jämförd med artikel 23.1 f och j i förordningen. Så är fallet i den mån nämnda bestämmelser dels har till syfte att säkerställa en god rättskipning på så sätt att den enskilde ska kunna komma till sin rätt när det finns ett befogat bevisintresse, dels är nödvändiga och står i proportion till detta syfte.
Det framgår nämligen av artikel 6.4 i dataskyddsförordningen att sådana behandlingar av personuppgifter är tillåtna under förutsättning att de utgör nödvändiga och proportionerliga åtgärder i ett demokratiskt samhälle i syfte att säkerställa de mål som eftersträvas med artikel 23 i dataskyddsförordningen. Det nu sagda innebär följande. För att en nationell domstol ska kunna kontrollera att dessa krav är uppfyllda måste den ta hänsyn till berörda motstående intressen vid bedömningen av huruvida edition ska beslutas rörande en handling som innehåller andras personuppgifter.
Det ska i det avseendet framhållas att resultatet av den avvägning som en nationell domstol ska göra kan variera både beroende på omständigheterna i varje enskilt fall och vilken typ av mål det är fråga om.
När det gäller de intressen som berörs i ett tvistemål ska en nationell domstol, såsom framgår av bland annat skälen 1 och 2 i dataskyddsförordningen, säkerställa skyddet för fysiska personer med avseende på behandling av personuppgifter, vilket är en grundläggande rättighet enligt artikel 8.1 i stadgan och artikel 16 FEUF. En nationell domstol ska även garantera rätten till respekt för privatlivet enligt artikel 7 i stadgan, som är nära knuten till rätten till skydd av personuppgifter.
Såsom framgår av skäl 4 i dataskyddsförordningen är rätten till skydd av personuppgifter dock inte en absolut rättighet, utan måste förstås utifrån sin uppgift i samhället och, i enlighet med proportionalitetsprincipen, vägas mot andra grundläggande rättigheter, som till exempel rätten till ett effektivt domstolsskydd enligt artikel 47 i stadgan.
EU-domstolen finner, i likhet med vad generaladvokaten har anfört i punkt 61 i sitt förslag till avgörande, att den omständigheten att det i ett tvistemål beslutas om edition av en handling som innehåller andras personuppgifter bidrar till att upprätthålla rätten till ett effektivt domstolsskydd.
I det avseendet kan det konstateras att artikel 47 andra stycket i stadgan motsvarar artikel 6.1 i Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, som undertecknades i Rom den 4 november 1950 (nedan kallad Europakonventionen), och att den därför, enligt artikel 52.3 i stadgan, ska anses ha samma innebörd och räckvidd som nämnda artikel 6.1 har enligt Europakonventionen.
Europeiska domstolen för de mänskliga rättigheterna (nedan kallad Europadomstolen) har i fast praxis slagit fast att det mot bakgrund av den framskjutna plats som rätten till en rättvis rättegång har i ett demokratiskt samhälle är väsentligt att en part har möjlighet att på ett ändamålsenligt sätt lägga fram sin sak inför domstolen och att parterna åtnjuter likställdhet i processen (se, för ett liknande resonemang, Europadomstolen, 24 juni 2022, Zayidov mot Azerbajdzjan (Nr 2), CE:ECHR:2022:0324JUD000538610, § 87 och där angiven rättspraxis). Av detta följer bland annat att förfarandet ska vara kontradiktoriskt och att parterna under förfarandets gång ska ha haft möjlighet att lägga fram de argument som de anser vara relevanta för sin sak (Europadomstolen, 21 januari 1999, García Ruiz mot Spanien, CE:ECHR:1999:0121JUD003054496, § 29).
Mot bakgrund av det nyss anförda finner EU-domstolen att upprätthållandet av rätten till ett effektivt domstolsskydd och, i synnerhet, rätten till en rättvis rättegång, i den mening som avses i artikel 47 andra stycket i stadgan, kräver att parterna i ett tvistemål ska ha möjlighet att få tillgång till handlingar som de behöver för att kunna styrka viss i målet förd talan, vilka eventuellt kan innehålla parternas eller andras personuppgifter.
Såsom angetts ovan i punkt 46 ska dock berörda intressen beaktas vid prövningen av huruvida åtgärden är nödvändig och proportionerlig, det vill säga de två villkor som måste vara uppfyllda för att behandling av personuppgifter enligt artikel 6.3 och 6.4 i dataskyddsförordningen ska vara tillåten. Därvid ska det således även tas hänsyn till artikel 5.1 i förordningen, och i synnerhet till principen om ”uppgiftsminimering” i artikel 5.1 c, som är ett uttryck för proportionalitetsprincipen. Principen om uppgiftsminimering kräver att personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (se, för ett liknande resonemang, dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning),
C‑439/19
,
EU:C:2021:504
, punkt
och där angiven rättspraxis).
En nationell domstol är således skyldig att fastställa huruvida ett utlämnande av personuppgifter är adekvat och relevant för att säkerställa det mål som eftersträvas med de tillämpliga bestämmelserna i nationell rätt och huruvida detta mål inte kan uppnås genom att man använder bevismedel som är mindre ingripande med avseende på skyddet av ett stort antal individers personuppgifter. Som exempel kan nämnas att man gör ett urval när det gäller vilka vittnen som ska höras.
Om en nationell domstol finner att det finns skäl att besluta om edition av en handling med personuppgifter ställer principen om uppgiftsminimering ytterligare ett krav. Domstolen måste nämligen, i fall där endast en del av personuppgifterna är nödvändiga för bevisändamål, överväga att besluta om ytterligare åtgärder för att skydda personuppgifterna – som till exempel pseudonymisering i den mening som avses i artikel 4 led 5 i dataskyddsförordningen, det vill säga att uppgifterna lämnas ut utan de registrerades namn – eller andra åtgärder som syftar till att minimera den begränsning av rätten till skydd av personuppgifter som ett beslut om edition av en sådan handling utgör. Sådana åtgärder kan bland annat bestå i att begränsa allmänhetens möjlighet att ta del av handlingarna i målet eller i att förelägga de parter till vilka handlingarna med personuppgifter har lämnats ut att inte använda uppgifterna för något annat ändamål än att föra bevisning i det aktuella målet.
Det ska därvid påpekas att det framgår av artikel 4.5 jämförd med skäl 26 i dataskyddsförordningen att personuppgifter som har pseudonymiserats och som skulle kunna tillskrivas en fysisk person genom att kompletterande uppgifter används bör anses som uppgifter om en identifierbar fysisk person, på vilka principerna om dataskydd är tillämpliga. Däremot framgår det av skäl 26 att dataskyddsprinciperna inte gäller för ”anonym information, nämligen information som inte hänför sig till en identifierad eller identifierbar fysisk person, eller för personuppgifter som anonymiserats på ett sådant sätt att den registrerade inte eller inte längre är identifierbar”.
Av detta följer att en nationell domstol kan besluta att en handling som innehåller parternas eller andras personuppgifter ska ges in till den för att den med beaktande av samtliga omständigheter i målet och i enlighet med proportionalitetsprincipen ska kunna göra en avvägning mellan berörda intressen. Denna bedömning kan i förekommande fall föranleda att domstolen beslutar att de personuppgifter som handlingen innehåller helt eller delvis ska lämnas ut till motparten, om domstolen finner att ett sådant utlämnande inte går utöver vad som är nödvändigt för att säkerställa att parternas rättigheter enligt artikel 47 i stadgan faktiskt upprätthålls.
Av det ovan anförda följer att den andra frågan ska besvaras enligt följande. Artiklarna 5 och 6 i dataskyddsförordningen ska tolkas på så sätt att en nationell domstol är skyldig att vid bedömningen av frågan om edition ska beslutas rörande en handling med personuppgifter ta hänsyn till de registrerades intressen och göra en avvägning av dessa utifrån omständigheterna i varje enskilt fall, vilken typ av mål det är fråga om och med vederbörlig hänsyn till proportionalitetsprincipens krav samt till de krav som följer av principen om uppgiftsminimering i artikel 5.1 c i förordningen.
Rättegångskostnader
Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.

Mot denna bakgrund beslutar domstolen (tredje avdelningen) följande:

1)
Artikel 6.3 och 6.4 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning)
ska tolkas på så sätt
att denna bestämmelse är tillämplig i ett tvistemål där fråga är om edition av en personalliggare som innehåller personuppgifter som avser andra än de enskilda parterna själva och som har samlats in huvudsakligen för skattekontroll.

2)
Artiklarna 5 och 6 i förordning 2016/679
ska tolkas på så sätt
att en nationell domstol är skyldig att vid bedömningen av frågan om edition ska beslutas rörande en handling med personuppgifter ta hänsyn till de registrerades intressen och göra en avvägning av dessa utifrån omständigheterna i varje enskilt fall, vilken typ av mål det är fråga om och med vederbörlig hänsyn till proportionalitetsprincipens krav samt till de krav som följer av principen om uppgiftsminimering i artikel 5.1 c i förordningen.

Jürimäe
Arastey Sahún
Piçarra
Jääskinen
Gavalec
Avkunnad vid offentligt sammanträde i Luxemburg den 2 mars 2023.
A. Calot Escobar
Justitiesekreterare
K. Jürimäe
Avdelningsordföranden
(
*1
)	Rättegångsspråk: svenska.