62021CJ0268
A BÍRÓSÁG ÍTÉLETE (harmadik tanács)
2023. március 2. (
*1
)
„Előzetes döntéshozatal – A személyes adatok védelme – (EU) 2016/679 rendelet – A 6. cikk (3) és (4) bekezdése – Az adatkezelés jogszerűsége – Személyes adatokat tartalmazó okirat polgári bírósági eljárás keretében történő benyújtása – A 23. cikk (1) bekezdésének f) és j) pontja – A bírói függetlenség és a bírósági eljárások védelme – Polgári jogi követelések érvényesítése. – Betartandó követelmények – Az érintettek érdekének figyelembevétele – A fennálló egymással ellentétes érdekek súlyozása – 5. cikk – A személyes adatokra vonatkozó adattakarékosság – Az Európai Unió Alapjogi Chartája – 7. cikk – A magánélet tiszteletben tartásához való jog – 8. cikk – A személyes adatok védelméhez való jog – 47. cikk – A hatékony bírói jogvédelemhez való jog – Az arányosság elve”
A C‑268/21. sz. ügyben,
az EUMSZ 267. cikk alapján benyújtott előzetes döntéshozatal iránti kérelem tárgyában, amelyet a Högsta domstolen (legfelsőbb bíróság, Svédország) a Bírósághoz 2021. április 23‑án érkezett, 2021. április 15‑i határozatával terjesztett elő
a Norra Stockholm Bygg AB
és
a Per Nycander AB
között,
az Entral AB
részvételével folyamatban lévő eljárásban,
A BÍRÓSÁG (harmadik tanács),
tagjai: K. Jürimäe tanácselnök, M. L. Arastey Sahún, N. Piçarra, N. Jääskinen (előadó) és M. Gavalec bírák,
főtanácsnok: T. Ćapeta,
hivatalvezető: C. Strömholm tanácsos,
tekintettel az írásbeli szakaszra és a 2022. június 27‑i tárgyalásra,
figyelembe véve a következők által előterjesztett észrevételeket:
–
a Norra Stockholm Bygg AB képviseletében H. Täng Nilsson és E. Wassén advokater,
–
a Per Nycander AB képviseletében P. Degerfeldt és V. Hermansson advokater,
–
a svéd kormány képviseletében C. Meyer‑Seitz, H. Shev és O. Simonsson, meghatalmazotti minőségben,
–
a cseh kormány képviseletében O. Serdula, M. Smolek és J. Vláčil, meghatalmazotti minőségben,
–
a lengyel kormány képviseletében B. Majczyna és J. Sawicka, meghatalmazotti minőségben,
–
az Európai Bizottság képviseletében A. Bouchagiar, M. Gustafsson és H. Kranenborg, meghatalmazotti minőségben,
a főtanácsnok indítványának a 2022. október 6‑i tárgyaláson történt meghallgatását követően,
meghozta a következő
Ítéletet
1
Az előzetes döntéshozatal iránti kérelem a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 2. o. és HL 2021. L 74., 35. o.) 6. cikke (3) és (4) bekezdésének az értelmezésére vonatkozik.
2
E kérelmet a Norra Stockholm Bygg AB (a továbbiakban: Fastec) és a Per Nycander AB (a továbbiakban: Nycander) között egy arra vonatkozó kérelem tárgyában folyamatban lévő jogvita keretében terjesztették elő, hogy mutassák be a Nycander számára munkát végző alkalmazottakról a Fastec által vezetett elektronikus személyzeti nyilvántartást a Nycander által a munkálatokért fizetendő összeg meghatározása céljából.
Jogi háttér
Az uniós jog
3
Az általános adatvédelmi rendelet (1), (2), (4), (20), (26), (45) és (50) preambulumbekezdése a következőképpen szól:
„(1)
A természetes személyek személyes adataik kezelésével összefüggő védelme alapvető jog. Az Európai Unió Alapjogi Chartája (Charta) 8. cikkének (1) bekezdése és az [EUMSZ 16. cikk] (1) bekezdése rögzíti, hogy mindenkinek joga van a rá vonatkozó személyes adatok védelméhez.
(2)
A természetes személyek személyes adataik kezelésével összefüggő védelméhez kapcsolódó elvek és szabályok a természetes személyek állampolgárságától és lakóhelyétől függetlenül tiszteletben tartják e természetes személyek alapvető jogait és szabadságait, különösen, ami a személyes adataik védelméhez való jogukat illeti. Ez hozzájárul a szabadságon, a biztonságon és a jog érvényesülésén alapuló térség, valamint a gazdasági unió megteremtéséhez, a gazdasági és társadalmi fejlődéshez, a belső piacon belüli gazdaságok erősödéséhez és konvergenciájához, valamint a természetes személyek jólétéhez.
[…]
(4)
A személyes adatok kezelését az emberiség szolgálatába kell állítani. A személyes adatok védelméhez való jog nem abszolút jog, azt az arányosság elvével összhangban, a társadalomban betöltött szerepének függvényében kell figyelembe venni, egyensúlyban más alapvető jogokkal. […]
[…]
(20)
Bár ezt a rendeletet a bíróságok és más igazságügyi hatóságok tevékenységeire is alkalmazni kell, az uniós, illetve a tagállami jog a személyes adatok kezelésével összefüggésben a bíróságok és más igazságügyi hatóságok által végzett kezelési műveleteket és eljárásokat pontosabban meghatározhatja. […]
[…]
(26)
Az adatvédelem elveit minden azonosított vagy azonosítható természetes személyre vonatkozó információ esetében alkalmazni kell. Az álnevesített személyes adatok, amelyeket további információ felhasználásával valamely természetes személlyel kapcsolatba lehet hozni, azonosítható természetes személyre vonatkozó adatnak kell tekinteni. […] Az adatvédelem elveit ennek megfelelően az anonim információkra nem kell alkalmazni, nevezetesen olyan információkra, amelyek nem azonosított vagy azonosítható természetes személyre vonatkoznak, valamint az olyan személyes adatokra, amelyeket olyan módon anonimizáltak, amelynek következtében az érintett nem vagy többé nem azonosítható. Ez a rendelet ezért nem vonatkozik az ilyen anonim információk kezelésére, a statisztikai vagy kutatási célú adatkezelést is ideértve. […]
[…]
(45)
Ha az adatkezelésre az adatkezelőre vonatkozó jogi kötelezettség teljesítése keretében kerül sor, vagy ha az közérdekű feladat végrehajtásához, illetve közhatalmi jogosítvány gyakorlásához szükséges, az adatkezelésnek az uniós jogban vagy valamely tagállam jogában foglalt jogalappal kell rendelkeznie. […] Elegendő lehet az is, ha egyetlen jogszabály szolgál jogalapul több olyan adatkezelési művelethez is, amely az adatkezelőre vonatkozó jogi kötelezettségen alapul, illetve amelyre közérdekből végzett feladat ellátásához vagy közhatalmi jogosítvány gyakorlásához van szükség. Az adatkezelés célját is uniós vagy tagállami jogban kell meghatározni. […]
[…]
(50)
A személyes adatoknak a gyűjtésük eredeti céljától eltérő egyéb célból történő kezelése csak akkor megengedett, ha az adatkezelés összeegyeztethető az adatkezelés eredeti céljaival, amelyekre a személyes adatokat eredetileg gyűjtötték. Ebben az esetben nincs szükség attól a jogalaptól eltérő, külön jogalapra, mint amely lehetővé tette a személyes adatok gyűjtését. Ha az adatkezelés közérdekből elvégzendő feladat végrehajtása vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása érdekében szükséges, uniós vagy tagállami jog meghatározhatja és pontosan leírhatja azokat a feladatokat és célokat, amelyek tekintetében a további adatkezelés jogszerűnek és összeegyeztethetőnek tekintendő. […] Az uniós vagy tagállami jogban foglalt, a személyes adatok kezelésére vonatkozó jogalap a további adatkezeléshez is jogalapul szolgálhat. […]
Ha az érintett hozzájárulását adta, illetve ha az adatkezelés uniós vagy tagállami jogon alapul, és egy demokratikus társadalomban szükséges és arányos intézkedésnek minősül bizonyos fontos közérdekek védelme szempontjából, a célok összeegyeztethetőségétől függetlenül az adatkezelő jogosult a szóban forgó adatokon további adatkezelést végezni. Minden esetben biztosítani kell az e rendeletben rögzített elvek érvényesülését, valamint különösen az érintett tájékoztatását ezen egyéb célokról és a jogairól, ideértve a tiltakozáshoz való jogról. […]”
4
E rendelet „Tárgyi hatály” című 2. cikke a következőképpen rendelkezik:
„(1)   E rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni.
(2)   E rendelet nem alkalmazandó a személyes adatok kezelésére, ha azt:
a)
az uniós jog hatályán kívül eső tevékenységek során végzik;
b)
a tagállamok az EUSZ V. címe 2. fejezetének hatálya alá tartozó tevékenységek során végzik;
c)
természetes személyek kizárólag személyes vagy otthoni tevékenységük keretében végzik;
d)
az illetékes hatóságok bűncselekmények megelőzése, nyomozása, felderítése, vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzik, ideértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését.
(3)   A személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelésére [a személyes adatok közösségi intézmények és szervek által történő feldolgozása tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról szóló, 2000. december 18‑i 45/2001/EK európai parlamenti és tanácsi rendeletet (HL 2001. L 8., 1. o.; magyar nyelvű különkiadás 13. fejezet, 26. kötet, 102. o.)] kell alkalmazni. A [45/2001] rendeletet, valamint a személyes adatok ilyen kezelésére vonatkozó egyéb uniós jogi aktusokat a 98. cikkel összhangban hozzá kell igazítani az e rendeletben foglalt elvekhez és szabályokhoz.”
5
Az említett rendelet 4. cikke értelmében:
„E rendelet alkalmazásában:
[…]
2.
»adatkezelés«: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés;
[…]
5.
»álnevesítés«: a személyes adatok olyan módon történő kezelése, amelynek következtében további információk felhasználása nélkül többé már nem állapítható meg, hogy a személyes adat mely konkrét természetes személyre vonatkozik, feltéve hogy az ilyen további információt külön tárolják, és technikai és szervezési intézkedések megtételével biztosított, hogy azonosított vagy azonosítható természetes személyekhez ezt a személyes adatot nem lehet kapcsolni;
[…]”
6
Ugyanezen rendeletnek „A személyes adatok kezelésére vonatkozó elvek” című 5. cikke az (1) bekezdésében a következőképpen rendelkezik:
„A személyes adatok:
a)
kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni (»jogszerűség, tisztességes eljárás és átláthatóság«);
b)
gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon […] (»célhoz kötöttség«);
c)
az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk (»adattakarékosság«);
d)
pontosnak és szükség esetén naprakésznek kell lenniük; minden észszerű intézkedést meg kell tenni annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék (»pontosság«);
[…]”
7
Az általános adatvédelmi rendeletnek „Az adatkezelés jogszerűsége” címet viselő 6. cikke a következőképpen rendelkezik:
„(1)   A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:
a)
az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez;
[…]
c)
az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges;
[…]
e)
az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges;
[…]
(3)   Az (1) bekezdés c) és e) pontja szerinti adatkezelés jogalapját a következőknek kell megállapítania:
a)
az uniós jog, vagy
b)
azon tagállami jog, amelynek hatálya alá az adatkezelő tartozik.
Az adatkezelés célját e jogalapra hivatkozással kell meghatározni, illetve az (1) bekezdés e) pontjában említett adatkezelés tekintetében annak szükségesnek kell lennie valamely közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához. […] Az uniós vagy tagállami jognak közérdekű célt kell szolgálnia, és arányosnak kell lennie az elérni kívánt jogszerű céllal.
(4)   Ha az adatgyűjtés céljától eltérő célból történő adatkezelés nem az érintett hozzájárulásán vagy valamely olyan uniós vagy tagállami jogon alapul, amely szükséges és arányos intézkedésnek minősül egy demokratikus társadalomban a 23. cikk (1) bekezdésében rögzített célok eléréséhez, annak megállapításához, hogy az eltérő célú adatkezelés összeegyeztethető‑e azzal a céllal, amelyből a személyes adatokat eredetileg gyűjtötték, az adatkezelő többek között figyelembe veszi:
a)
a személyes adatok gyűjtésének céljait és a tervezett további adatkezelés céljai közötti esetleges kapcsolatokat;
[…]”
8
E rendelet „Korlátozások” című 23. cikke a következőképpen rendelkezik:
„(1)   Az adatkezelőre vagy adatfeldolgozóra alkalmazandó uniós vagy tagállami jog jogalkotási intézkedésekkel korlátozhatja a 12–22. cikkben és a 34. cikkben foglalt, valamint a 12–22. cikkben meghatározott jogokkal és kötelezettségekkel összhangban lévő rendelkezései tekintetében az 5. cikkben foglalt jogok és kötelezettségek hatályát, ha a korlátozás tiszteletben tartja az alapvető jogok és szabadságok lényeges tartalmát, valamint az alábbiak védelméhez szükséges és arányos intézkedés egy demokratikus társadalomban:
[…]
f)
a bírói függetlenség és a bírósági eljárások védelme;
[…]
j)
polgári jogi követelések érvényesítése.
[…]”
A svéd jog
Az RB
9
Az okirati bizonyítást a rättegångsbalken (bírósági eljárásról szóló törvény, a továbbiakban: RB) 38. fejezetének rendelkezései szabályozzák.
10
A 38. fejezet 2. §‑ának első bekezdése értelmében az, aki olyan irattal rendelkezik, amely úgy tekinthető, hogy bizonyító erővel bír, köteles benyújtani ezt az iratot.
11
A bizonyítékok benyújtásának e kötelezettsége alóli kivételeket többek között e 2. § második bekezdése ír elő. Egyes tisztségek ellátása mentesít e kötelezettség alól, ha vélelmezhető, hogy az irat tulajdonosa ezen irat tekintetében nem hallgatható ki tanúként. E kivétel vonatkozik az ügyvédekre, orvosokra, pszichológusokra, papokra és minden olyan személyre, akikre szakmai feladatuk ellátása során vagy hasonló körülmények között, titoktartás terhe mellett bízták ezeket az információkat. Az említett kötelezettség tartalma tehát megfelel a bírósági eljárásban tanúként való részvétel kötelezettségének.
12
Ha valaki köteles egy iratot okirati bizonyítékként benyújtani, az RB 38. fejezetének 4. §‑a értelmében a bíróság kötelezheti az érdekeltet az irat benyújtására.
Az adózás rendjéről szóló törvény
13
A skatteförfarandelagen (2011:1244) (az adózás rendjéről szóló (2011:1244) törvény) 39. fejezete 11. §‑ának a)–c) pontja értelmében annak, aki építőipari vállalkozást működtet, bizonyos esetekben elektronikus személyzeti nyilvántartást kell vezetnie. E személyzeti nyilvántartásnak tartalmaznia kell a vállalkozási tevékenységben közreműködő személyek azonosításához szükséges információkat. E kötelezettség elsősorban az ingatlanfejlesztőt terheli, de az utóbbi e feladatot független gazdasági szereplőre is átruházhatja. E törvény 39. fejezetének 12. §‑a értelmében a svéd adóhatóság jogosult hozzáférni a személyzeti nyilvántartáshoz.
14
A személyzeti nyilvántartásba bejegyezendő adatokat az skatteförfarandeförordningen (2011:1261) (az adózás rendjéről szóló (2011:1261) rendelet) 9. fejezetének 5. §‑a határozza meg. Többek között a vállalkozási tevékenységben közreműködő személyek nevéről és személyi azonosító számáról, valamint e személyek munkaidejének kezdő és befejező időpontjáról van szó.
Az alapeljárás és az előzetes döntéshozatalra előterjesztett kérdések
15
A Fastec irodaépületet épített a Nycander részére. A szóban forgó építkezésen dolgozó személyek jelenlétüket elektronikus személyzeti nyilvántartás útján rögzítették. Ezt a személyzeti nyilvántartást az Entral AB társaság szolgáltatta, amely a Fastec megbízásából járt el.
16
A Fastec keresetet indított a tingsrätt (körzeti bíróság, Svédország) előtt az elvégzett munka díjának megfizetése iránt. E kereset keretében a Fastec azon összeg megfizetését követelte a Nycandertől, amely a Fastec szerint a Nycander fennálló tartozásának felel meg. Ez utóbbi társaság vitatta a Fastec keresetét, többek között arra hivatkozva, hogy a Fastec személyzete a keresetben megjelöltnél kevesebb munkaórát teljesített.
17
E bíróság előtt a Nycander az Entral arra való kötelezését kérte e bíróságtól, hogy a Fastec 2016. augusztus 1. és 2017. november 30. közötti időszakra vonatkozó személyzeti nyilvántartását elsődlegesen változtatás nélkül vagy másodlagosan az érintettek nemzeti személyi azonosító számának kitakarásával nyújtsa be. E kérelem alátámasztására a Nycander arra hivatkozott, hogy e személyzeti nyilvántartás az Entral birtokában van, és hogy e nyilvántartás jelentős bizonyítéknak minősülhet a Fastec keresetének elbírálása szempontjából, mivel az említett személyzeti nyilvántartásban rögzített adatok lehetővé teszik a Fastec személyzete által teljesített munkaórák bizonyítását.
18
A Fastec vitatta e kérelmet, elsődlegesen arra hivatkozva, hogy az ellentétes az általános adatvédelmi rendelet 5. cikke (1) bekezdésének b) pontjával. A Fastec személyzeti nyilvántartása az e társaság tevékenységének a svéd adóhatóság általi ellenőrzése céljából gyűjtött személyes adatokat tartalmazza, és e céllal nem összeegyeztethető ezen adatoknak a bíróság előtti hozzáférhetővé tétele.
19
A tingsrätt (körzeti bíróság) felszólította az Entralt, hogy nyújtsa be változatlan formában a Fastecnek az alapügyben szóban forgó építkezéssel által érintett személyzetre vonatkozó személyzeti nyilvántartását az érintett időszak vonatkozásában. A Svea hovrätt (stockholmi fellebbviteli bíróság, Svédország) helybenhagyta a tingsrätten (körzeti bíróság) határozatát.
20
A Fastec fellebbezést nyújtott be a Svea hovrätt (stockholmi fellebbviteli bíróság) határozatával szemben a kérdést előterjesztő bírósághoz, a Högsta domstolenhez (legfelsőbb bíróság, Svédország), és a Nycander jelen ítélet 17. pontjában említett kérelmének elutasítását kérte.
21
A kérdést előterjesztő bíróság arra keresi a választ, hogy az alapeljárás keretében alkalmazni kell‑e az általános adatvédelmi rendelet rendelkezéseit, és amennyiben igen, milyen módon.
22
Az okiratok benyújtására vonatkozó kötelezettséget illetően e bíróság megjegyzi, hogy az RB releváns rendelkezéseinek értelmezésére vonatkozó saját ítélkezési gyakorlatából kitűnik, hogy a szóban forgó bizonyítékok relevanciáját az ellenérdekű fél ahhoz fűződő érdekével szemben kell mérlegelni, hogy ne tegye hozzáférhetővé e bizonyítékokat. A Bizottság pontosítja, hogy e mérlegelés keretében főszabály szerint nem veszik figyelembe az érintett okiratban szereplő információk magánjellegét vagy más személyeknek az ezen okirat tartalmához való hozzáféréshez fűződő érdekét, attól eltekintve, ami a jogszabályban kifejezetten előírt kivételekből következhet.
23
Az említett bíróság pontosítja, hogy az RB által előírt, okirat benyújtására vonatkozó kötelezettség célja többek között annak lehetővé tétele, hogy minden olyan személy, akinek az okiratra bizonyítékként való felhasználás céljából szüksége van, ahhoz hozzáférjen. Végső soron annak biztosításáról van szó, hogy a magánszemély gyakorolhassa jogait, amennyiben a „bizonyításhoz jogos érdeke” fűződik.
24
E körülmények között a Högsta domstolen (legfelsőbb bíróság) úgy határozott, hogy az eljárást felfüggeszti, és előzetes döntéshozatal céljából a következő kérdéseket terjeszti a Bíróság elé:
„1)
Az [általános adatvédelmi rendelet] 6. cikkének (3) és (4) bekezdése az [okiratok benyújtásának kötelezettségére] vonatkozó nemzeti eljárásjogi jogszabályok tekintetében is ír‑e elő követelményeket?
2)
Az első kérdésre adott igenlő válasz esetén: azt foglalja‑e magában az [általános adatvédelmi rendelet], hogy az adatkezeléssel érintettek érdekeit is figyelembe kell venni, amikor olyan [okirat közlésére való kötelezés] tárgyában kell határozatot hozni, amely személyes adatok kezelését érinti? Ilyen körülmények között az uniós jog az ezen értékelés elvégzésének módjára vonatkozó részletes követelményeket is megállapít‑e?”
Az előzetes döntéshozatalra előterjesztett kérdésekről
Az első kérdésről
25
Első kérdésével a kérdést előterjesztő bíróság lényegében arra vár választ, hogy az általános adatvédelmi rendelet 6. cikkének (3) és (4) bekezdését úgy kell‑e értelmezni, hogy e rendelkezés polgári bírósági eljárás keretében alkalmazandó a harmadik személyek elsősorban az adóellenőrzés céljából gyűjtött személyes adatait tartalmazó személyzeti nyilvántartás bizonyítékként történő benyújtására.
26
E kérdés megválaszolása érdekében először is rá kell mutatni arra, hogy az általános adatvédelmi rendelet 2. cikkének (1) bekezdése előírja, hogy e rendeletet kell alkalmazni „a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni”, anélkül hogy különbséget tenne az érintett adatkezelési művelet adatkezelőjének személye alapján. Ebből következik, hogy az általános adatvédelmi rendelet 2. cikkének (2) és (3) bekezdésében említett esetek kivételével e rendelet mind a magánszemélyek, mind pedig a hatóságok által végzett adatkezelési műveletekre alkalmazandó, ideértve – amint azt e rendelet (20) preambulumbekezdése is említi – az olyan igazságügyi hatóságok tevékenységét is mint a bíróságok (2022. március 24‑iAutoriteit Persoonsgegevens ítélet, C‑245/20, EU:C:2022:216, 25. pont).
27
Másodszor, e rendelet 4. cikkének 2. pontja szerint az „adatkezelés” fogalma alá tartozik többek között a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet, így különösen a gyűjtés, rögzítés, felhasználás, vagy a továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján való közlés.
28
Ebből következik, hogy nem csupán az elektronikus személyzeti nyilvántartás létrehozása és vezetése minősül az általános adatvédelmi rendelet tárgyi hatálya alá tartozó személyesadat‑kezelésnek (lásd analógia útján: 2013. május 30‑iWorten ítélet, C‑342/12, EU:C:2013:355, 19. pont), hanem a személyes adatokat tartalmazó, valamely bíróság által bírósági eljárás keretében kibocsátott, digitális vagy fizikai okirat bizonyítékként való benyújtása is (lásd ebben az értelemben: 2022. december 8‑iInspektor v Inspektorata kam Visshia sadeben sadeben ítélet [A személyes adatok kezelésének céljai – Nyomozás] C‑180/21, EU:C:2022:967, 72. pont).
29
Harmadszor hangsúlyozni kell, hogy minden személyesadat‑kezelésnek, ideértve a bíróságokhoz hasonló hatóságok által végzett adatkezelést is, meg kell felelnie az általános adatvédelmi rendelet 6. cikkében rögzített jogszerűségi feltételeknek.
30
E tekintetben rá kell mutatni először is arra, hogy az általános adatvédelmi rendelet 6. cikke (1) bekezdésének e) pontja szerint a személyes adatok kezelése jogszerű, ha az közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges.
31
Az általános adatvédelmi rendelet (45) preambulumbekezdésével összefüggésben értelmezett 6. cikke (3) bekezdésének megfelelően az e rendelet 6. cikke (1) bekezdésének e) pontjában említett adatkezelés jogalapját az uniós jog vagy azon tagállam joga határozza meg, amelynek hatálya alá az adatkezelő tartozik. Ezenkívül az uniós vagy a tagállami jognak közérdekű célt kell szolgálnia, és arányosnak kell lennie az elérni kívánt jogszerű céllal.
32
Az általános adatvédelmi rendelet 6. cikke (1) bekezdése e) pontjának és e rendelet 6. cikke (3) bekezdésének együttesen értelmezett rendelkezései tehát többek között nemzeti jogi jogalapot követelnek meg a személyes adatok azon adatkezelők által végzett kezeléséhez, amelyek közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett olyan feladatok végrehajtása keretében járnak el, mint amelyeket a bíróságok igazságszolgáltatási feladataik ellátása keretében teljesítenek.
33
Másodszor, amennyiben a személyes adatok kezelése abból a célból történik, mint amely célból ezen adatokat gyűjtötték, az általános adatvédelmi rendelet 6. cikkének az e rendelet (50) preambulumbekezdésével összefüggésben értelmezett (4) bekezdéséből az következik, hogy az ilyen adatkezelés azzal a feltétellel megengedett, hogy többek között tagállami jogon alapul, és egy demokratikus társadalomban az általános adatvédelmi rendelet 23. cikkének (1) bekezdésében említett célok egyikének biztosítása érdekében szükséges és arányos intézkedésnek minősül. Amint azt e preambulumbekezdés kimondja, e fontos közérdekű célok védelme érdekében az adatkezelő tehát jogosult a személyes adatok további kezelésére, függetlenül attól, hogy ezen adatkezelés összeegyeztethető‑e azon célokkal, amelyek érdekében a személyes adatokat eredetileg gyűjtötték.
34
A jelen ügyben az RB 38. fejezetének releváns rendelkezései, amelyek előírják valamely okirat bizonyítékként való benyújtásának kötelezettségét és a nemzeti bíróságok azon lehetőségét, hogy elrendeljék ezen okirat benyújtását, a személyes adatok kezelésének alapjául szolgáló jogalapnak minősülnek. Bár e rendelkezések főszabály szerint megfelelő jogalapot képeznek az ilyen adatkezelés engedélyezéséhez, az előzetes döntéshozatalra utaló határozatból kitűnik, hogy e jogalap különbözik az adózás rendjéről szóló törvény által teremtett jogalaptól, amely törvény alapján az alapügyben szóban forgó személyzeti nyilvántartást adóellenőrzés céljából kidolgozták. Ezenkívül az RB e rendelkezéseiben előírt benyújtási kötelezettség célja – a kérdést előterjesztő bíróság szerint – annak mindenki számára történő lehetővé tétele, hogy bárki, akinek bizonyítás céljából valamely okiratra van szüksége, ahhoz hozzáférjen. Álláspontja szerint annak biztosításáról van szó, hogy a magánszemélyek gyakorolhassák jogaikat, amennyiben a bizonyításhoz igazolt érdekük fűződik.
35
A kérdést előterjesztő bíróság szerint az adózás rendjéről szóló törvényhez vezető előkészítő munkálatokból kitűnik, hogy a személyi nyilvántartásban rögzített személyes adatok annak lehetővé tételére irányulnak, hogy a svéd adóhatóság alkalmazottai a helyszíni ellenőrzések során ellenőrzéseket végezzenek. Az alapvető cél a be nem jelentett munkavégzés eseteinek csökkentése és a versenyfeltételek javítása. A személyes adatok kezelését az adatkezelőre háruló jogi kötelezettség, nevezetesen a személyzeti nyilvántartás vezetésére vonatkozó kötelezettség teljesítésének szükségessége igazolja.
36
Ennélfogva meg kell állapítani, hogy ezen adatok olyan bírósági eljárás keretében történő kezelése, mint amely az alapügy tárgyát képezi, az adatok adóellenőrzés céljából végzett gyűjtésének céljától eltérő célból végzett adatkezelésnek minősül, amely nem alapul az érintetteknek az általános adatvédelmi rendelet 6. cikke (1) bekezdésének a) pontja értelmében vett hozzájárulásán.
37
E körülmények között az adatgyűjtés céljától eltérő célból történő személyesadat‑kezelésének nem csupán a nemzeti jogon, például az RB 38. fejezetének rendelkezésein kell alapulnia, hanem az általános adatvédelmi rendelet 6. cikkének (4) bekezdése értelmében egy demokratikus társadalomban szükséges és arányos intézkedésnek is kell minősülnie, és biztosítania kell az általános adatvédelmi rendelet 23. cikkének (1) bekezdésében szereplő célok valamelyikének elérését.
38
E célok között szerepel e rendelet 23. cikke (1) bekezdésének f) pontja szerint „a bírói függetlenség és a bírósági eljárások védelme”, mivel ezt a célkitűzést – amint azt az Európai Bizottság az írásbeli észrevételeiben megjegyezte – úgy kell érteni, mint amely az igazságszolgáltatás belső vagy külső beavatkozásokkal szembeni védelmére, valamint a megfelelő igazságszolgáltatásra irányul. Egyébiránt e cikk (1) bekezdésének j) pontja szerint a polgári jogi követelések érvényesítése szintén olyan célnak minősül, amely igazolhatja a személyes adatoknak az adatgyűjtés céljától eltérő célból történő kezelését. Nem kizárt tehát, hogy harmadik személyek személyes adatainak valamely polgári bírósági eljárás keretében történő kezelésének alapjául ilyen célok szolgáljanak.
39
Mindazonáltal a kérdést előterjesztő bíróság feladata annak vizsgálata, hogy az RB 38. fejezetének releváns rendelkezései egyrészt megfelelnek‑e e célkitűzések bármelyikének, másrészt pedig szükségesek‑e és arányosak‑e az említett célkitűzésekkel, és a személyadat‑kezelés olyan eseteinek körébe tartozhatnak‑e, amelyek az általános adatvédelmi rendelet 23. cikke (1) bekezdésének f) és j) pontjával összefüggésben értelmezett 6. cikke (3) és (4) bekezdésének rendelkezései alapján jogszerűnek tekinthetők.
40
E tekintetben közömbös, hogy a személyes adatok kezelése nemzeti anyagi jogi vagy eljárásjogi rendelkezésen alapul‑e, mivel e rendelet 6. cikke (3) bekezdése b) pontjának és (4) bekezdésének rendelkezései nem tesznek különbséget a jogi rendelkezések e két típusa között.
41
A fenti megfontolások összességére figyelemmel az első kérdésre azt a választ kell adni, hogy az általános adatvédelmi rendelet 6. cikkének (3) és (4) bekezdését úgy kell értelmezni, hogy e rendelkezés polgári bírósági eljárás keretében alkalmazandó a harmadik személyek elsősorban adóellenőrzés céljából gyűjtött személyes adatait tartalmazó személyzeti nyilvántartás bizonyítékként történő benyújtására.
A második kérdésről
42
Második kérdésével a kérdést előterjesztő bíróság lényegében arra vár választ, hogy az általános adatvédelmi rendelet 5. és 6. cikkét úgy kell‑e értelmezni, hogy azon kérdés értékelése során, hogy polgári bírósági eljárás keretében el kell‑e rendelni valamely személyes adatokat tartalmazó okirat benyújtását, a nemzeti bíróságnak figyelembe kell vennie az érintettek érdekeit. Igenlő válasz esetén e bíróság ezenkívül arra kíván választ kapni, hogy az uniós jog és különösen az általános adatvédelmi rendelet e határozat elfogadásának módjára vonatkozó részletes követelményeket is megállapít‑e.
43
Mindenekelőtt hangsúlyozni kell, hogy bármely személyesadat‑kezelésnek – a fenti rendelet 23. cikke által megengedett eltérésekre figyelemmel – tiszteletben kell tartania a személyes adatok kezelésére vonatkozó elveket, valamint az érintettnek az e rendelet II., illetve III. fejezetében foglalt jogait. Konkrétabban, bármely személyesadat‑kezelésnek meg kell felelnie egyrészről az említett rendelet 5. cikkében kimondott elveknek, másrészről pedig az ugyanezen rendelet 6. cikkében felsorolt jogszerűségi feltételeknek (lásd ebben az értelemben: 2020. október 6‑iLa Quadrature du Net és társai ítélet, C‑511/18, C‑512/18 és C‑520/18, EU:C:2020:791, 208. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
44
A jelen ügyben a kérdést előterjesztő bíróság megjegyzi, hogy az RB 38. fejezetének releváns rendelkezései annak értékelése során, hogy el kell‑e rendelni a személyes adatokat tartalmazó okirat benyújtását, nem követelik meg kifejezetten azon személyek érdekeinek figyelembevételét, akiknek a személyes adatairól van szó. A nemzeti ítélkezési gyakorlatnak megfelelően e rendelkezések csak a bizonyíték relevanciájának és az ellenérdekű félnek a szóban forgó információk hozzáférhetővé tételének megtagadásához fűződő érdekének mérlegelését írják elő.
45
Amint az a jelen ítélet 39. pontjában megállapításra került, mivel a nemzeti jog e rendelkezései valamely okirat bizonyítékként való benyújtására vonatkoznak, e rendelkezések az általános adatvédelmi rendelet 23. cikke (1) bekezdésének f) és j) pontjával összefüggésben értelmezett 6. cikke (3) és (4) bekezdésének rendelkezései alapján jogszerűnek tekintett személyesadat‑kezelési esetek körébe tartozhatnak. Ez a helyzet áll fenn, amennyiben az említett rendelkezések célja egyrészt a bírósági eljárás megfelelő lefolytatásának biztosítása annak garantálása révén, hogy a jogalany érvényesíthesse a jogait, ha a „bizonyításhoz jogos érdeke” fűződik, másrészt pedig, hogy e rendelkezések szükségesek és e céllal arányban állnak.
46
Az általános adatvédelmi rendelet 6. cikkének (4) bekezdéséből ugyanis az következik, hogy az ilyen személyesadat‑kezelések jogszerűek, feltéve hogy egy demokratikus társadalomban szükséges és arányos intézkedéseknek minősülnek az általános adatvédelmi rendelet 23. cikkében szereplő célok biztosítása érdekében. Ebből következik, hogy e követelmények vizsgálata során a nemzeti bíróságnak figyelembe kell vennie a fennálló ellentétes érdekeket, amikor harmadik személyek személyes adatait tartalmazó okirat benyújtása elrendelésének célszerűségét mérlegeli.
47
E tekintetben hangsúlyozni kell, hogy a nemzeti bíróság által elvégzendő súlyozás eredménye mind az egyes ügyek körülményeitől, mind pedig a szóban forgó eljárás típusától függően változhat.
48
A polgári bírósági eljárás keretében fennálló érdekeket illetően a nemzeti bíróságnak – amint az többek között az általános adatvédelmi rendelet (1) és (2) preambulumbekezdéséből következik – biztosítania kell a természetes személyek védelmét a személyes adatok kezelése vonatkozásában, amely a Charta 8. cikkének (1) bekezdésében és az EUMSZ 16. cikkben biztosított alapvető jog. E bíróságnak a magánélet tiszteletben tartásához való jogot is biztosítania kell, amelyet a Charta 7. cikke mond ki, és amely szorosan kapcsolódik a személyes adatok védelméhez való joghoz.
49
Ugyanakkor, amint azt az általános adatvédelmi rendelet (4) preambulumbekezdése kimondja, a személyes adatok védelméhez való jog nem abszolút jog, azt az arányosság elvével összhangban, a társadalomban betöltött szerepének függvényében kell figyelembe venni, egyensúlyban más alapvető jogokkal, például a Charta 47. cikkében biztosított hatékony bírói jogvédelemhez való joggal.
50
Márpedig a harmadik személyek személyes adatait tartalmazó okirat polgári bírósági eljárás keretében történő benyújtása – amint arra a főtanácsnok az indítványának 61. pontjában lényegében rámutatott – hozzájárul a hatékony bírói jogvédelemhez való jog tiszteletben tartásához.
51
E tekintetben, mivel a Charta 47. cikkének második bekezdése megfelel az emberi jogok és alapvető szabadságok védelméről szóló, 1950. november 4‑én Rómában aláírt európai egyezmény 6. cikke (1) bekezdésének, e jogok tartalmát és terjedelmét – a Charta 52. cikkének (3) bekezdése értelmében – azonosnak kell tekinteni azzal, amelyet az említett egyezmény a fenti 6. cikk (1) bekezdésének tulajdonít.
52
Az Emberi Jogok Európai Bíróságának állandó ítélkezési gyakorlata szerint, tekintettel arra, hogy a tisztességes eljáráshoz való jog kiemelkedő szerepet tölt be egy demokratikus társadalomban, alapvető fontosságú, hogy a jogalanynak rendelkeznie kell azzal a lehetőséggel, hogy hatékonyan érvényesíthesse igényét a bíróság előtt, és hogy ellenfelével szemben megillesse a fegyveregyenlőség (lásd ebben az értelemben: EJEB, 2022. június 24., Zayidov kontra Azerbajdzsán [No 2], CE:ECHR:2022:0324JUD000538610, 87. §, valamint az ott hivatkozott ítélkezési gyakorlat). Ebből többek között az következik, hogy a jogalanynak jogosultnak kell lennie arra, hogy kontradiktórius eljárásban vegyen részt, és ezen eljárás különböző szakaszaiban előterjeszthesse azokat az érveket, amelyeket igényének érvényesítése céljából relevánsnak ítél (EJEB, 1999. január 21., García Ruiz kontra Spanyolország, CE:ECHR:1999:0121JUD003054496, 29. §).
53
Ennélfogva, annak biztosítása érdekében, hogy a jogalanyokat megillesse a hatékony bírói jogvédelemhez való jog és különösen a Charta 47. cikkének második bekezdése értelmében vett tisztességes eljáráshoz való jog, meg kell állapítani, hogy a polgári bírósági eljárásban részt vevő felek számára lehetővé kell tenni, hogy hozzáférjenek az igényük megfelelő alátámasztásához szükséges bizonyítékokhoz, amelyek esetlegesen a felek vagy harmadik személyek személyes adatait is magukban foglalhatják.
54
Mindemellett, amint arra a jelen ítélet 46. pontja rámutat, a fennálló érdekek figyelembevételére az intézkedés szükségességének és arányosságának vizsgálata keretében kerül sor, mely utóbbiakról az általános adatvédelmi rendelet 6. cikkének (3) és (4) bekezdése rendelkezik, és amelyek a személyes adatok kezelése jogszerűségének feltételei. E tekintetben tehát e rendelet 5. cikkének (1) bekezdését is figyelembe kell venni, és különösen az e rendelkezés c) pontjában szereplő „adattakarékosság” elvét, amely az arányosság elvét fejezi ki. Az adattakarékosság ezen elve szerint a személyes adatok az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk (lásd ebben az értelemben: 2021. június 22‑iLatvijas Republikas Saeima [Büntetőpontok] ítélet, C‑439/19, EU:C:2021:504, 98. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
55
A nemzeti bíróság tehát köteles meghatározni, hogy a személyes adatok hozzáférhetővé tétele megfelelő és releváns‑e a nemzeti jog alkalmazandó rendelkezései által követett cél biztosítása szempontjából, és hogy e cél nem valósítható‑e meg a jelentős számú harmadik fél személyes adatainak védelmére tekintettel kevésbé korlátozó bizonyítási eszközök alkalmazásával, például egyes kiválasztott tanúk kihallgatásával.
56
Abban az esetben, ha a személyes adatokat tartalmazó okirat benyújtása indokoltnak bizonyul, az említett elvből ezenkívül az következik, hogy amennyiben ezen adatok csak egy része tűnik szükségesnek a bizonyítás céljából, a nemzeti bíróságnak tervbe kell vennie olyan további adatvédelmi intézkedések meghozatalát, mint az általános adatvédelmi rendelet 4. cikkének 5. pontjában meghatározott, az érintett személyek nevének álnevesítése vagy bármely más olyan intézkedést, amely arra irányul, hogy minimalizálja a személyes adatok védelmének az ilyen okirat benyújtása révén történő korlátozását. Ilyen intézkedések közé tartozhat többek között az ügyiratokhoz való nyilvános hozzáférés korlátozása vagy azon feleknek, akikkel a személyes adatokat tartalmazó okiratokat közölték, arra való kötelezése, hogy ezeket az adatokat ne használják fel a szóban forgó bírósági eljárás során történő bizonyítástól eltérő célra.
57
E tekintetben pontosítani kell, hogy az általános adatvédelmi rendelet 4. cikkének az e rendelet (26) preambulumbekezdésével összefüggésben értelmezett 5. pontjából az következik, hogy az álnevesített személyes adatokat, amelyeket további információ felhasználásával valamely természetes személlyel kapcsolatba lehet hozni, azonosítható természetes személyre vonatkozó adatoknak kell tekinteni, amelyekre az adatvédelemre vonatkozó elvek alkalmazandók. Ezzel szemben e preambulumbekezdésből az következik, hogy ezen elveket „az anonim információkra nem kell alkalmazni, nevezetesen olyan információkra, amelyek nem azonosított vagy azonosítható természetes személyre vonatkoznak, valamint az olyan személyes adatokra, amelyeket olyan módon anonimizáltak, amelynek következtében az érintett nem vagy többé nem azonosítható”.
58
Ebből következik, hogy a nemzeti bíróság ítélheti úgy, hogy a felek vagy harmadik személyek személyes adatait közölni kell vele annak érdekében, hogy az ügy teljes ismeretében és az arányosság elvének tiszteletben tartása mellett súlyozhassa a fennálló érdekeket. Ezen értékelés adott esetben ahhoz vezethet, hogy e bíróság engedélyezi a vele ily módon közölt személyes adatoknak az ellenérdekű fél számára történő teljes vagy részleges hozzáférhetővé tételét, ha úgy ítéli meg, hogy az ilyen hozzáférhetővé tétel nem haladja meg azt a mértéket, amely a jogalanyoknak a Charta 47. cikkéből eredő jogai tényleges gyakorlásának biztosításához szükséges.
59
A fenti megfontolások összességére tekintettel a második kérdésre azt a választ kell adni, hogy az általános adatvédelmi rendelet 5. és 6. cikkét úgy kell értelmezni, hogy annak értékelése során, hogy el kell‑e rendelni a személyes adatokat tartalmazó okirat benyújtását, a nemzeti bíróságnak figyelembe kell vennie az érintettek érdekeit, és azokat az egyes ügyek körülményeitől és a szóban forgó eljárás típusától függően, az arányosság elvéből, valamint különösen az e rendelet 5. cikke (1) bekezdésének c) pontjában említett adattakarékosság elvéből következő követelmények megfelelő figyelembevételével kell súlyoznia.
A költségekről
60
Mivel ez az eljárás az alapeljárásban részt vevő felek számára a kérdést előterjesztő bíróság előtt folyamatban lévő eljárás egy szakaszát képezi, ez a bíróság dönt a költségekről. Az észrevételeknek a Bíróság elé terjesztésével kapcsolatban felmerült költségek, az említett felek költségeinek kivételével, nem téríthetők meg.
A fenti indokok alapján a Bíróság (harmadik tanács) a következőképpen határozott:
1)
A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) 6. cikkének (3) és (4) bekezdését
a következőképpen kell értelmezni:
e rendelkezés polgári bírósági eljárás keretében alkalmazandó a harmadik személyek elsősorban adóellenőrzés céljából gyűjtött személyes adatait tartalmazó személyzeti nyilvántartás bizonyítékként történő benyújtására.
2)
A 2016/679 rendelet 5. és 6. cikkét
a következőképpen kell értelmezni:
annak értékelése során, hogy el kell‑e rendelni a személyes adatokat tartalmazó okirat benyújtását, a nemzeti bíróságnak figyelembe kell vennie az érintettek érdekeit, és azokat az egyes ügyek körülményeitől és a szóban forgó eljárás típusától függően, az arányosság elvéből, valamint különösen az e rendelet 5. cikke (1) bekezdésének c) pontjában említett adattakarékosság elvéből következő követelmények megfelelő figyelembevételével kell súlyoznia.
Aláírások
(
*1
)	Az eljárás nyelve: svéd.