null
STANOVISKO GENERÁLNÍHO ADVOKÁTA
DEANA SPIELMANNA
přednesené dne 16. října 2025(1)
Věc C‑484/24
NTH Haustechnik GmbH
proti
EM
[žádost o rozhodnutí o předběžné otázce, kterou podal Landesarbeitsgericht Niedersachsen (Zemský pracovní soud Spolkové země Dolní Sasko, Německo)]
„ Řízení o předběžné otázce – Ochrana osobních údajů – Zákonnost zpracování údajů v rámci soudního řízení v pracovněprávní věci – Údaje shromážděné zaměstnavatelem za účelem prokázání závažného porušení povinností zaměstnancem – Zpracování důkazů získaných nezákonným způsobem – Zásada omezení uložení – Procesní autonomie členských států“
Úvod
1.        Předběžná otázka, na kterou se toto stanovisko soustředí v souladu s požadavkem Soudního dvora, se týká výkladu čl. 5 odst. 1 písm. e) nařízení (EU) 2016/679(2). Soudní dvůr má v podstatě odpovědět na otázku, zda a do jaké míry mohou být osobní údaje předložené jako důkaz v rámci vnitrostátního soudního řízení, které byly získány s využitím jiných osobních údajů původně shromážděných nebo uchovávaných v rozporu se zásadou omezení uložení, zákonným způsobem zpracovány vnitrostátním soudem.
2.        Žádost o rozhodnutí o předběžné otázce podal Landesarbeitsgericht Niedersachsen (Zemský pracovní soud Spolkové země Dolní Sasko) v rámci sporu mezi společností NTH Haustechnik GmbH (dále jen „NTH“) a její bývalou zaměstnankyní (dále jen „žalovaná“), jehož předmětem je žaloba na náhradu škody související s neoprávněným on-line prodejem majetku patřícího společnosti NTH ze strany žalované.
Právní rámec
Unijní právo
3.        Článek 5 odst. 1 GDPR, nadepsaný „Zásady zpracování osobních údajů“, stanoví:
„1.      Osobní údaje musí být:
a)      ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem (‚zákonnost, korektnost a transparentnost‘);
[...]
e)      uloženy ve formě umožňující identifikaci subjektů údajů po dobu ne delší, než je nezbytné pro účely, pro které jsou zpracovávány; osobní údaje lze uložit po delší dobu, pokud se zpracovávají výhradně pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely podle čl. 89 odst. 1, a to za předpokladu provedení příslušných technických a organizačních opatření požadovaných tímto nařízením s cílem zaručit práva a svobody subjektu údajů (‚omezení uložení‘);
[...]“
4.        Článek 6 GDPR, nadepsaný „Zákonnost zpracování“, stanoví, že:
„1.      Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:
[...]
e)      zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce;
[...]
2.      Členské státy mohou zachovat nebo zavést konkrétnější ustanovení, aby přizpůsobily používání pravidel tohoto nařízení ohledně zpracování ke splnění odst. 1 písm. c) a e) tím, že přesněji určí konkrétní požadavky na zpracování a jiná opatření k zajištění zákonného a spravedlivého zpracování, a to i u jiných zvláštních situací, při nichž dochází ke zpracování, jak stanoví kapitola IX.
3.      Základ pro zpracování podle odst. 1 písm. c) a e) musí být stanoven:
a)      právem Unie nebo
b)      právem členského státu, které se na správce vztahuje.
Účel zpracování musí vycházet z tohoto právního základu, nebo pokud jde o zpracování uvedené v odst. 1 písm. e), musí být toto zpracování nutné pro splnění úkolu prováděného ve veřejném zájmu či při výkonu veřejné moci, kterým je pověřen správce. Tento právní základ může obsahovat konkrétní ustanovení pro přizpůsobení uplatňování pravidel tohoto nařízení, včetně obecných podmínek, kterými se řídí zákonnost zpracování správcem, typu osobních údajů, které mají být zpracovány, dotčených subjektů údajů, subjektů, kterým lze osobní údaje poskytnout, a účelu tohoto poskytování, účelového omezení, doby uložení a jednotlivých operací zpracování a postupů zpracování, jakož i dalších opatření k zajištění zákonného a spravedlivého zpracování, jako jsou opatření pro jiné zvláštní situace, při nichž dochází ke zpracování, než stanoví kapitola IX. Právo Unie nebo členského státu musí splňovat cíl veřejného zájmu a musí být přiměřené sledovanému legitimnímu cíli.
[...]“
5.        Článek 23 GDPR, nadepsaný „Omezení“, stanoví:
„1.      Právo Unie nebo členského státu, které se na správce nebo zpracovatele vztahuje, může prostřednictvím legislativního opatření omezit rozsah povinností a práv uvedených v článcích 12 až 22 a v článku 34, jakož i v článku 5, v rozsahu, v jakém ustanovení tohoto článku odpovídají právům a povinnostem stanoveným v článcích 12 až 22, jestliže takové omezení respektuje podstatu základních práv a svobod a představuje nezbytné a přiměřené opatření v demokratické společnosti s cílem zajistit:
[...]
j)      vymáhání občanskoprávních nároků.
[...]“
Německé právo
Občanský soudní řád
6.        Ustanovení § 138 Zivilprozessordnung (občanský soudní řád) ze dne 30. ledna 1877(3), nadepsané „Povinnost vysvětlit skutkový stav; povinnost pravdivosti“, ve znění použitelném na spor v původním řízení stanoví:
„(1)      Účastníci řízení jsou povinni vyjádřit se ke skutkovým okolnostem pravdivě a nic nezamlčovat.
(2)      Každý účastník řízení je povinen se vyjádřit ke skutečnostem tvrzeným protistranou.
(3)      Skutečnosti, které nejsou výslovně zpochybněny, se považují za nesporné, pokud z ostatních prohlášení účastníka řízení nevyplývá, že je hodlá zpochybnit.
(4)      Výhrada nevědomosti je přípustná pouze v případě skutečností, které se netýkají vlastního jednání účastníka řízení, ani je nezaznamenal vlastními smysly.“
Spolkový zákon o ochraně údajů
7.        Ustanovení § 3 Bundesdatenschutzgesetz (spolkový zákon o ochraně údajů) ze dne 30. června 2017(4), nadepsané „Zpracování osobních údajů orgány veřejné moci“, ve znění použitelném na spor v původním řízení stanoví:
„Zpracování osobních údajů orgánem veřejné moci je přípustné, pokud je nezbytné pro plnění úkolu, který spadá do pravomoci správce údajů, nebo při výkonu veřejné moci, kterým je pověřen správce.“
Spor v původním řízení, předběžné otázky a řízení před Soudním dvorem
8.        Společnost NTH provozuje topenářskou a klimatizační činnost. Žalovaná byla zaměstnankyní této společnosti a byla vdaná za jejího jednatele. Syn žalované a tohoto jednatele společnosti NTH je rovněž zaměstnancem této společnosti.
9.        Pracovní poměr mezi společností NTH a žalovanou skončil dne 31. října 2019 a dne 26. června 2022 došlo mezi manželi k rozluce. Až do rozluky však měla žalovaná i nadále možnost vstupovat do prostor společnosti a užívat počítače, které se v nich nacházely. Otázka, zda tak činila pouze pro soukromé účely, nebo zda nadále vykonávala činnost pro společnost NTH, je sporná.
10.      Ihned po rozluce manželů společnost NTH zjistila, že žalovaná prodávala na vlastní účet provozní prostředky společnosti prostřednictvím on-line prodejní platformy eBay, a proto od ní požaduje náhradu škody.
11.      Předkládající soud uvádí, že společnost NTH se o prodejních transakcích žalované dozvěděla díky počítačovému přístupu k soukromému účtu žalované na eBay. Za tímto účelem syn žalované a jednatele společnosti NTH použil uživatelské jméno a heslo k účtu žalované na eBay. Otázka, jakým způsobem se tyto přihlašovací údaje získal, je předmětem sporu.
12.      V tomto ohledu společnost NTH uvádí, že informace týkající se používání on-line prodejní platformy eBay žalovanou získala nahlédnutím do historie prohlížení pracovního počítače společnosti, který žalovaná používala, a že heslo se dozvěděla nahlédnutím do „rodinné složky“ vytvořené na serveru společnosti NTH, v níž bylo heslo uloženo. Žalovaná naproti tomu tvrdí, že své heslo pro přístup k účtu eBay neuchovávala v počítačových úložištích společnosti, a tvrdí, že společnost NTH použila mobilní telefon, který byl registrován na jméno společnosti, ale který používala žalovaná, k tomu, aby na platformě eBay změnila heslo k soukromému účtu žalované a získala k němu přístup.
13.      Předkládající soud má za to, že shromažďování a uchovávání údajů, které provedla společnost NTH a díky nimž se dozvěděla o prodejích uskutečněných žalovanou na on-line prodejní platformě eBay, mohlo být provedeno nezákonně. Kromě toho má za to, že jeho vlastní soudní činnost a případné použití údajů shromážděných společností NTH pro účely svého rozhodnutí představují zpracování údajů ve smyslu GDPR. V tomto ohledu předkládající soud v podstatě žádá o vyjasnění, jaké podmínky musí být stanoveny vnitrostátní právní úpravou pro zpracování údajů prováděné pro soudní účely a podle jakých právních základů a hmotněprávních kritérií se má taková činnost řídit.
14.      Za těchto podmínek se Landesarbeitsgericht Niedersachsen (Zemský pracovní soud Spolkové země Dolní Sasko) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„1)      Splňují ustanovení článku 92 Grundgesetz (základní zákon) a § 138, § 286, § 355 a násl. občanského soudního řádu v případě autonomní činnosti zpracování údajů prováděné pro soudní účely, na kterou se vztahuje čl. 6 odst. 1 písm. e) a čl. 6 odst. 3 [GDPR], požadavek určitosti vyplývající z čl. 8 odst. 2 a čl. 52 odst. 1 Listiny základních práv Evropské unie[(5)] a čl. 5 odst. 1 písm. c) [GDPR], pokud je činnost zpracování prováděná pro soudní účely z hlediska některého účastníka řízení nebo třetí osoby spojena se zásahy do základních práv?
2)      a)      Může se vnitrostátní soud při zpracování – zejména osobních – údajů dovolat toho, že mu toto zpracování umožňuje čl. 17 odst. 3 písm. e) GDPR, nebo výlučný základ pro činnosti zpracování prováděné pro soudní účely představují články 6 a 9 GDPR?
b)      V případě, že čl. 17 odst. 3 písm. e) GDPR v zásadě může tvořit právní základ pro činnost zpracování prováděnou pro soudní účely:
aa)      Je tomu tak i v případech, kdy k původnímu shromáždění těchto údajů ze strany účastníka řízení nebo třetí osoby nedošlo zákonným způsobem?
bb)      Vede zpracování údajů, které byly původně shromážděny protiprávně, v souladu s obecně platnou zásadou korektnosti [čl. 5 odst. 1 písm. a) GDPR] z hlediska sekundárního práva k omezení zpracování prováděného pro soudní účely v tom smyslu, že čl. 17 odst. 3 písm. e) GDPR se použije pouze za určitých podmínek nebo v určitých mezích?
cc)      Musí být ustanovení čl. 17 odst. 3 písm. e) GDPR chápáno v tom smyslu, že zákaz použití údajů, které byly původně získány protiprávně, v soudním řízení se neuplatní vždy, tedy že soud má tyto údaje použít vždy, když původní shromáždění údajů neproběhlo skrytě a bylo použito k prokázání úmyslně spáchaného porušení povinnosti?
3)      Bez ohledu na to, zda se na činnost zpracování údajů prováděnou pro soudní účely vztahuje čl. 17 odst. 3 písm. e) GDPR nebo čl. 6 odst. 1 písm. c), respektive e) a čl. 6 odst. 3 tohoto nařízení či jeho článek 9 nebo jiná ustanovení unijního práva:
a)      Je ze zásad ochrany údajů spočívajících v nezbytnosti a minimalizaci údajů, stanovených v čl. 52 odst. 1 druhé větě [Listiny] a čl. 5 odst. 1 písm. a) GDPR, zejména s ohledem na zpracování údajů, které byly původně shromážděny nebo uloženy protiprávně, třeba vyvodit, že je nutné, aby soudy provedly zevrubný přezkum proporcionality a zvážení?
b)      Jaký dopad má čl. 5 odst. 1 písm. e) GDPR, který stanoví, že osobní údaje mohou být uloženy po dobu ne delší, než vyžaduje jejich účel, na následnou činnost zpracování údajů prováděnou pro soudní účely, a to zejména v případech, kdy:
–        původní shromažďování údajů mělo jiné účely; nebo
–        k původnímu protiprávnímu shromažďování údajů došlo před dlouhou dobou; nebo
–        nezákonné ukládání pokračovalo po delší dobu nebo
–        protiprávní shromažďování údajů se týká údajů, které byly – popřípadě protiprávně – uloženy již před dlouhou dobou, nebo
–        orgán nebo osoba zpracovávající nebo shromažďující údaje se jednostranně nebo na základě individuální či kolektivní smlouvy zaváže, že je do určité doby vymaže, avšak tento výmaz neprovede?
c)      Vyplývá z unijního práva, zejména z článku 8 [Listiny], čl. 6 odst. 1 písm. c), respektive e) a čl. 6 odst. 3 nebo článku 9 GDPR, že vnitrostátní soud může důkazní prostředky, při jejichž opatření byla porušena osobnostní práva, použít pouze v případě, že existuje zájem účastníka řízení zatíženého důkazní povinností, který je hoden uznání a překračuje rámec pouhého zájmu na předložení důkazu, nebo z unijního práva v tomto ohledu nevyplývají žádné požadavky, v důsledku čehož je na vnitrostátním právním řádu, aby stanovil příslušná pravidla?
d)      Vyplývá z čl. 47 druhého pododstavce [Listiny], který zaručuje právo na účinnou soudní ochranu, a zejména na spravedlivý proces, podle kterého musí účastníci občanského soudního řízení v zásadě být s to dostatečně odůvodnit cíl, který sledují uplatněním práva na právní ochranu, a prokázat, že zpracování osobních údajů žalujícího zaměstnance, které byly protiprávně shromážděny zaměstnavatelem, v soudním řízení, se může ukázat jako nevhodné a nepřiměřené v užším slova smyslu pouze tehdy, pokud dané shromažďování údajů podle unijního práva představuje závažné porušení článků 7 a 8 [Listiny] a jiné možné sankce pro zaměstnavatele (např. náhrada újmy podle článku 82 GDPR a uložení správních pokut podle článku 83 GDPR) by byly zcela nedostatečné, nebo se o nevhodnost a nepřiměřenost může jednat již v případě jiných, méně závažných porušení právních předpisů o ochraně údajů při původním shromažďování údajů?
e)      Musí soud při rozhodování o tom, zda v rámci činnosti zpracování údajů prováděné pro soudní účely použije údaje, které původně shromáždil některý účastník řízení nebo třetí osoba, zohlednit, zda osoba, která tyto údaje shromáždila, splnila informační povinnosti stanovené v článku 13 GDPR? Pokud ano: Za jakých podmínek a podle jakých kritérií má soud tuto skutečnost zohlednit?
f)      Zahrnuje skutečnost, že soud je při zpracovávání osobních údajů vázán GDPR a [Listinou], rovněž osobní údaje třetích osob? Jakým způsobem se porušení právních předpisů o ochraně údajů, ke kterému popřípadě došlo ve vztahu k třetím osobám při původním shromažďování údajů, odrazí na následném zpracování těchto údajů pro soudní účely v rámci sporu mezi dvěma účastníky řízení? Může se účastník řízení dovolat protiprávního jednání, k němuž došlo nikoli ve vztahu k němu, nýbrž ve vztahu ke třetím osobám, nebo tomu tak není?“
15.      Písemná vyjádření předložily Evropská komise, německá, maďarská a finská vláda. Komise a německá vláda přednesly ústní vyjádření na jednání konaném dne 2. července 2025.
Analýza
Úvodní poznámky
16.      Podstatou třetí předběžné otázky písm. b) předkládajícího soudu, na kterou se soustředí toto stanovisko, je, jaký dopad má zpracování údajů, které je v rozporu se zásadou omezení uložení stanovenou v čl. 5 odst. 1 písm. e) GDPR, na zákonnost „následné činnosti zpracování“(6) v rámci jeho soudní činnosti, pokud jde o další údaje, které bylo možné získat pouze s využitím těchto prvně uvedených údajů.
17.      Pro pochopení věci považuji za užitečné upřesnit, že je třeba rozlišovat mezi dvěma druhy osobních údajů dotčených v projednávané věci. Na jedné straně údaje týkající se žalované uložené na serveru společnosti NTH a v historii prohlížení počítače této společnosti používaného žalovanou, resp. v telefonu společnosti, který měla žalovaná k dispozici, umožnily společnosti NTH získat heslo a uživatelské jméno žalované na eBay, aby měla přístup k jejímu soukromému účtu na on-line prodejní platformě eBay. Z důvodu přehlednosti budu v tomto stanovisku používat pro tyto údaje výraz „původní údaje“. Na druhé straně údaje týkající se prodeje provozních prostředků společnosti, které byly získány z internetových stránek eBay a sloužily jako základ pro žalobu podanou společností NTH proti žalované, budou označovány výrazem „údaje týkající se prodeje“.
18.      Zaprvé, pokud jde o původní údaje, předkládající soud uvedl, že otázka, jakým způsobem se syn žalované a jednatele společnosti NTH dozvěděl o hesle a uživatelském jménu žalované na eBay, je předmětem sporu. V rámci třetí předběžné otázky písm. b) však uvedený soud podle všeho vychází z předpokladu, že tyto údaje byly shromážděny a uchovávány v rozporu se zásadou omezení uložení stanovenou v čl. 5 odst. 1 písm. e) GDPR, podle níž musí být osobní údaje uchovávány „po dobu ne delší, než je nezbytné pro účely, pro které jsou zpracovávány“.
19.      V tomto ohledu předkládající soud odkazuje na skutečnost, že „původní shromažďování údajů mělo jiné účely“. Zmiňuje rovněž protiprávní shromažďování, které „proběhlo dávno“, protiprávní uchovávání „před dlouhou dobou“ nebo které „trvalo po dlouhou dobu“, jakož i porušení smluvní povinnosti vymazat shromážděné údaje „ve stanovené lhůtě“. Rozumím tomu tak, že se zde jedná o tvrzení, že shromažďování původních údajů mělo jiné účely než umožnit společnosti následně shromažďovat další údaje, a to údaje týkající se prodeje, za účelem podání žaloby proti žalované, a že doba uchovávání původních údajů překročila dobu nezbytnou k dosažení účelů, pro které byly tyto údaje původně shromážděny a uchovávány(7).
20.      Zadruhé, pokud jde o údaje týkající se prodeje, domnívám se, že se na ně nemohou vztahovat hypotézy o původním shromažďování, které mělo „jiné účely“, nebo o uchovávání, které proběhlo dávno, trvalo dlouhou dobu nebo bylo prováděno bez ohledu na smluvní povinnost výmazu. Ze spisu totiž nevyplývá, že by tyto údaje byly společností NTH uchovávány po dlouhou dobu nebo že by jejich shromažďování společností NTH mělo jiný účel než podání žaloby proti žalované. Nejde se ostatně ani zabývat hypotetickým nezákonným shromažďováním či uchováváním údajů o on-line prodejích prostřednictvím eBay.
21.      Navzdory tomu podle mého názoru z žádosti o rozhodnutí o předběžné otázce vyplývá, že předkládající soud vychází z předpokladu, že pokud společnost NTH skutečně porušila zásadu stanovenou v čl. 5 odst. 1 písm. e) GDPR ve vztahu k původním údajům, je následné použití těchto údajů za účelem získání přístupu k soukromému účtu žalované na eBay nezákonné, a tudíž je nezákonné i shromažďování údajů týkajících se prodeje ze strany společnosti NTH(8).
22.      Ústřední otázkou v projednávané věci je tedy zákonnost zpracování údajů týkajících se prodeje ze strany předkládajícího soudu v rámci soudní činnosti, přičemž GDPR se vztahuje na všechny operace zpracování, které provádějí soudy, jako je předkládající soud(9). Z toho vyplývá, že v rámci odpovědi tomuto soudu je třeba zohlednit podmínky zákonnosti zpracování osobních údajů uvedené v článku 6 GDPR.
23.      Pro účely projednávané věci proto navrhuji, aby Soudní dvůr přeformuloval třetí předběžnou otázku písm. b) tak, že posoudí, zda čl. 5 odst. 1 písm. e) GDPR ve spojení s článkem 6 tohoto nařízení musí být vykládán v tom smyslu, že zásada „omezení uložení“ stanovená v tomto ustanovení brání tomu, aby vnitrostátní soud zpracovával pro soudní účely údaje, které byly získány využitím jiných údajů, jejichž původní shromáždění nebo uchovávání bylo provedeno v rozporu s touto zásadou, nebo dokonce ukládá vnitrostátnímu soudu zvláštní požadavky, pokud jde o způsob použití těchto osobních údajů.
Ke  třetí otázce písm. b)
24.      Připomínám, že veškeré zpracování osobních údajů, včetně zpracování prováděného orgány veřejné moci, jako jsou soudy, musí být v souladu se zásadami upravujícími zpracování osobních údajů a právy subjektu údajů uvedenými v kapitolách II a III GDPR. Takové zpracování musí být zejména v souladu se zásadami stanovenými v článku 5 tohoto nařízení a s ohledem na zásadu zákonnosti zpracování stanovenou v odstavci 1 písm. a) tohoto článku musí splňovat podmínky zákonnosti zpracování vyjmenované v článku 6 uvedeného nařízení(10). Ustanovení tohoto čl. 6 odst. 1 obsahuje taxativní a vyčerpávající výčet případů, v nichž lze zpracování osobních údajů považovat za zákonné. Aby mohlo být zpracování považováno za oprávněné, musí jít o jeden z případů stanovených v tomto ustanovení(11).
25.      Konkrétně zpracování osobních údajů dotčené ve věci v původním řízení, a sice jejich použití předkládajícím soudem v rámci soudního řízení, může spadat pod čl. 6 odst. 1 písm. e) GDPR, podle kterého je zpracování zákonné, pokud a v rozsahu, v němž je „nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce“, toto ustanovení kromě toho odpovídá § 3 spolkového zákona o ochraně údajů(12).
26.      Jak je uvedeno v bodech 16 až 22 tohoto stanoviska, ve věci v původním řízení vyvstává otázka, jaký dopad mají různá porušení zásady omezení uložení stanovené v čl. 5 odst. 1 písm. e) GDPR ze strany společnosti NTH, pokud jde o původní údaje, na přípustnost a použití údajů o prodeji předkládajícím soudem v rámci jeho soudní činnosti.
27.      V tomto ohledu připomínám, že podle ustálené judikatury platí, že výklad ustanovení unijního práva vyžaduje, aby bylo zohledněno nejen jeho znění, ale i kontext, do kterého toto ustanovení zapadá, a cíle a účel, které sleduje akt, jehož je součástí(13).
28.      Pokud jde o čl. 5 odst. 1 písm. e) GDPR, Soudní dvůr již uvedl, že ze znění tohoto článku jednoznačně vyplývá, že zásada „omezení uložení“ vyžaduje, aby byl správce schopen prokázat, že osobní údaje jsou uchovávány pouze po dobu nezbytnou k dosažení účelů, pro které byly shromážděny nebo pro které byly dále zpracovávány. I zpracování údajů, které bylo původně v souladu s právními předpisy, může být po určité době neslučitelné s GDPR, pokud již tyto údaje nejsou nezbytné pro dosažení takových účelů(14).
29.      Z kontextuálního hlediska patří čl. 5 odst. 1 písm. e) GDPR mezi zásady zpracování údajů stanovené v článku 5 tohoto nařízení a je vyjádřením zásady proporcionality. Vyžaduje posouzení přiměřenosti zpracování ve vztahu k jeho účelu s ohledem na běh času. Bod 39 odůvodnění GDPR výslovně uvádí, že doba uchovávání údajů musí být „omezena na nezbytné minimum“ a „[a]by se zajistilo, že osobní údaje nebudou uchovávány déle, než je nezbytné, měl by správce stanovit lhůty pro výmaz nebo pravidelný přezkum“(15).
30.      Pokud jde o cíl sledovaný čl. 5 odst. 1 písm. e) GDPR, jak vyplývá z bodu 10 odůvodnění tohoto nařízení, tento cíl spočívá v zajištění vysoké úrovně ochrany fyzických osob v Unii v souvislosti se zpracováním jejich osobních údajů(16).
31.      Článek 5 odst. 1 písm. e) GDPR se týká pouze požadavků, které je třeba splnit při uchovávání údajů(17), a neumožňuje tedy poskytnout přesnou odpověď na otázku dopadu porušení zásady omezení uložení osobních údajů prvním správcem na zpracování osobních údajů vnitrostátním soudem v rámci soudní činnosti. Taková odpověď podle mého názoru nevyplývá ani z jiného ustanovení tohoto nařízení.
32.      Ani čl. 5 odst. 1 písm. e) GDPR, ani čl. 6 odst. 1 písm. e) tohoto nařízení obecně a absolutně nezakazují, aby orgán veřejné moci, jako je soud, byl oprávněn zohlednit údaje získané jedním z účastníků sporu na základě jiných osobních údajů, jejichž zpracování tímto účastníkem řízení bylo v rozporu se zásadou omezení uložení.
33.      Při neexistenci unijní právní úpravy v dané oblasti je přitom na vnitrostátním právním řádu každého členského státu, aby na základě zásady procesní autonomie členských států upravil procesní podmínky soudních řízení určených k zajištění ochrany práv, která jednotlivcům vyplývají z unijního práva, avšak za podmínky, že nejsou méně příznivé než ty, kterými se řídí obdobné situace ve vnitrostátním právu (zásada rovnocennosti), a že v praxi neznemožňují nebo nadměrně neztěžují výkon práv přiznaných unijním právem (zásada efektivity)(18). Členské státy musí využít svého prostoru pro uvážení za podmínek a v mezích stanovených GDPR a musí vykonávat legislativní činnost způsobem, jenž nezasáhne do jeho obsahu a cílů(19).
34.      Konkrétně podle čl. 6 odst. 3 GDPR ve spojení s body 10(20), 20(21) a 45(22) odůvodnění tohoto nařízení musí právní základ, který slouží jako základ pro zpracování podle čl. 6 odst. 1 písm. e) uvedeného nařízení, ať už se jedná o unijní právo nebo právo členského státu, které se na správce vztahuje, splňovat cíl veřejného zájmu a být přiměřený sledovanému legitimnímu cíli. Tento právní základ může obsahovat konkrétní ustanovení pro přizpůsobení uplatňování pravidel GDPR, jako jsou zejména obecné podmínky, kterými se řídí zákonnost zpracování správcem, nebo jednotlivé operace zpracování a postupy zpracování, jakož i další opatření k zajištění zákonného a korektního zpracování, jako jsou opatření pro jiné zvláštní situace, při nichž dochází ke zpracování, uvedené v kapitole IX GDPR(23). Členské státy jsou oprávněny zachovat nebo zavést vnitrostátní ustanovení, která mají za cíl upřesnit uplatňování pravidel tohoto nařízení, jak je stanoveno v čl. 6 odst. 2 uvedeného nařízení.
35.      Kromě toho nařízení GDPR stanoví, že členské státy se mohou odchýlit mimo jiné od článku 5 nařízení, pokud je to nezbytné k zajištění určitých důležitých cílů obecného veřejného zájmu, mezi něž v projednávané věci patří i „vymáhání občanskoprávních nároků“. Článek 23 odst. 1 písm. j)(24) GDPR totiž stanoví, že právo Unie a členského státu může prostřednictvím legislativního opatření omezit rozsah povinností a práv v nich uvedených, pokud takové omezení respektuje podstatu základních svobod a práv a představuje v demokratické společnosti nezbytné a přiměřené opatření k zajištění důležitých cílů obecného veřejného zájmu, jako je cíl uvedený výše(25).
36.      Konečně je třeba připomenout, že základní práva na respektování soukromého života a na ochranu osobních údajů nejsou absolutními výsadami, jak uvádí bod 4 odůvodnění GDPR, ale musí být posuzována v souvislosti s jejich funkcí ve společnosti a musí být v rovnováze s dalšími základními právy, jako je právo na účinnou soudní ochranu, zaručené v článku 47 Listiny(26).
37.      Základní práva lze omezit, pokud je omezení v souladu s čl. 52 odst. 1 Listiny stanoveno zákonem a respektuje podstatu těchto práv a zásadu proporcionality. Podle posledně uvedené zásady mohou být omezení zavedena pouze tehdy, když jsou nezbytná a skutečně odpovídají cílům obecného zájmu, které uznává Unie, nebo potřebě ochrany práv a svobod druhého. Musí vymezit okolnosti a podmínky, za nichž může být přijato opatření týkající se zpracovávání takových údajů, čímž zaručí, že se zásah omezí na to, co je nezbytně nutné. Právní úprava, která s sebou přináší dotčený zásah, musí stanovit jasná a přesná pravidla pro rozsah a použití předmětného opatření(27) a vymezit minimální požadavky, tak aby osoby, o jejichž osobní údaje jde, měly dostatečné záruky umožňující účinně chránit tyto údaje před rizikem zneužití(28).
38.      Dodávám, že unijní právo neupravuje otázku přípustnosti důkazů vnitrostátních soudních řízeních, která podle zásady procesní autonomie členských států spadá do působnosti vnitrostátního práva, s výhradou dodržení zejména zásad rovnocennosti a efektivity, jak je uvedeno v bodě 33 tohoto stanoviska(29). Evropský soud pro lidská práva(30) má rovněž za to, že mu nepřísluší rozhodovat o přípustnosti důkazů získaných nezákonným způsobem, neboť tato otázka spadá především do oblasti vnitrostátního práva. Z judikatury ESLP týkající se článku 6 Evropské úmluvy o ochraně lidských práv a základních svobod(31) v podstatě vyplývá, že pravomoc ESLP se zaměřuje na posouzení toho, zda je řízení jako celek spravedlivé, včetně způsobu, jakým byly získány důkazy. To znamená posouzení dotčené „nezákonnosti“ a v případech, kdy se jedná o porušení jiného práva chráněného touto úmluvou, také povahu tohoto porušení(32).
39.      Stejně tak Soudní dvůr již dříve rozhodl, že v zásadě přísluší pouze vnitrostátnímu právu, aby stanovil pravidla přípustnosti a hodnocení
– v rámci trestního řízení zahájeného proti osobám podezřelým ze závažné trestné činnosti – informací a důkazů získaných uchováváním údajů, které je v rozporu s unijním právem. Vnitrostátní pravidla týkající se přípustnosti, vyloučení nebo využití důkazů obsahujících osobní údaje musí proto rovněž respektovat zásadu kontradiktornosti a právo na spravedlivý proces(33). V rámci občanského soudního řízení tomu nemůže být jinak.
40.      Z výše uvedeného vyplývá, že při neexistenci unijních pravidel v této oblasti se musí otázky přípustnosti a způsobů použití osobních údajů vnitrostátním soudem v rámci soudní činnosti, včetně případů, kdy jsou tyto údaje nepřímo zasaženy zpracováním, které je v rozporu se zásadou omezení uložení jiných osobních údajů, na jejichž základě byly získány, opírat o právní základ v právu členského státu, které se na správce vztahuje ve smyslu čl. 6 odst. 3 písm. b) GDPR ve spojení s čl. 23 odst. 1 tohoto nařízení.
41.      Z informací obsažených ve spise přitom vyplývá, že jedním z právních základů pro předložení údajů týkajících se prodejů provozních prostředků společnosti jakožto důkazu v soudním řízení je § 138 občanského soudního řádu, který stanoví, že účastníci řízení mají povinnost vysvětlit skutkový stav. Ustanovení § 3 spolkového zákona o ochraně údajů stanoví možnost, aby orgán veřejné moci zpracovával osobní údaje, které jsou nezbytné pro splnění úkolu spadajícího do jeho pravomoci(34).
42.      Předkládající soud kromě toho uvedl, že ani spolkový zákon o ochraně údajů, ani občanský soudní řád neobsahují pravidla, která by určovala, jaké podmínky musí být splněny nebo jaká kritéria je třeba zvážit, aby bylo možné určit, zda je soud povinen zohlednit skutkové okolnosti, kterých se dovolává účastník řízení, či je možné nebo přípustné, aby je zohlednil, nebo aby provedl důkazy předložené účastníkem řízení. Zejména se tam nenacházejí žádná ustanovení pro případ, kdy účastník řízení získal nezákonně informace, o které se opírá, nebo kdy se opírá o protiprávně získané důkazy. V německém občanskoprávním řízení, včetně řízení před pracovním soudem, se zákazy používání údajů uplatňují pouze na základě judikatury.
43.      Z žádosti o rozhodnutí o předběžné otázce rovněž vyplývá, že podle ustálené judikatury Bundesverfassungsgericht (Spolkový ústavní soud, Německo) jsou vnitrostátní soudy za účelem zjištění skutečného stavu v zásadě povinny zohlednit důkazy předložené účastníky řízení, pokud je skutkové tvrzení relevantní a je třeba ho prokázat(35).
44.      Dále Bundesarbeitsgericht (Spolkový pracovní soud, Německo) v podstatě zastává názor, že zpracování osobních údajů soudem je možné i v případě, že se shromažďování těchto údajů, které některý z účastníků provedl ve fázi před zahájením soudního řízení nebo ve fázi mimosoudního řízení, ukáže jako nezákonné podle GDPR nebo vnitrostátního práva o ochraně údajů. Pokud však účastník řízení provede shromažďování údajů, které znamená zásah do obecného osobnostního práva subjektu údajů, nestačí, aby se tento účastník řízení dovolával obecného zájmu na provedení důkazu. Vnitrostátní soud proto musí zohlednit další okolnosti, z nichž vyplývá, že zájem na získání důkazů si zaslouží ochranu i přes zásah do osobnostních práv(36).
45.      Z toho vyvozuji, že existuje vnitrostátní právní základ, který stanoví podmínky přípustnosti a způsoby použití osobních údajů v takové situaci, jako je situace, která je předmětem sporu v původním řízení.
46.      Soudní dvůr již totiž uvedl, že není rozhodující, zda je zpracování osobních údajů založeno na ustanovení vnitrostátního hmotného nebo procesního práva(37). Dodal, že „právo členského státu, které se na správce vztahuje“ ve smyslu čl. 6 odst. 3 písm. b) GDPR, nebo odkaz na „legislativní opatření“ v článku 23 tohoto nařízení neznamená nutně legislativní akt přijatý parlamentem, ale zahrnuje také vnitrostátní judikaturu, za podmínky, že je tato judikatura jasná a přesná a její použití musí být pro osoby, na něž se vztahuje, předvídatelné, v souladu s judikaturou Soudního dvora a ESLP(38).
47.      Je tedy na předkládajícím soudu, aby určil relevantní ustanovení vnitrostátního práva, jakož i judikaturu dotčeného členského státu, aby je použil a ověřil, zda jsou v souladu se zásadami rovnocennosti a efektivity a zda odpovídají cíli veřejného zájmu a zda jsou dále nezbytná a přiměřená uvedenému cíli, takže mohou spadat pod případy zpracování osobních údajů považované za zákonné na základě ustanovení čl. 6 odst. 3 písm. b) GDPR ve spojení s čl. 23 odst. 1 tohoto nařízení(39).
48.      Je tudíž na předkládajícím soudu, který má jako jediný pravomoc vykládat vnitrostátní právo a judikaturu, aby určil přípustnost důkazů zahrnujících osobní údaje, jakož i způsoby jejich použití, které budou záviset na okolnostech projednávané věci a druhu dotčeného řízení.
Závěry
49.      S ohledem na výše uvedené úvahy navrhuji, aby Soudní dvůr odpověděl na třetí předběžnou otázku písm. b), položenou Landesarbeitsgericht Niedersachsen (Zemský pracovní soud Spolkové země Dolní Sasko, Německo), následovně:
„Článek 5 odst. 1 písm. e) nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) ve spojení s článkem 6 tohoto nařízení
musí být vykládán v tom smyslu, že
zásada ‚omezení uložení‘ stanovená v tomto ustanovení nebrání tomu, aby vnitrostátní soud mohl zpracovávat pro soudní účely údaje, které byly získány s využitím jiných údajů, jejichž původní shromáždění nebo uchovávání bylo provedeno v rozporu s touto zásadou.
Je na vnitrostátním soudu, aby zajistil, že podmínky použití těchto osobních údajů v rámci soudní činnosti mají základ v použitelném vnitrostátním právu, jsou v souladu se zásadami rovnocennosti a efektivity, odpovídají cíli veřejného zájmu a jsou nezbytné a přiměřené tomuto cíli.“
1      Původní jazyk: francouzština.
2      Nařízení Evropského parlamentu a Rady ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“).
3      BGBl. 2005 I, s. 3202.
4      BGBl. 2017 IS, s. 2097.
5      Dále jen „Listina“.
6      Mám za to, že „následnou činností zpracování“ v rámci soudní činnosti má předkládající soud na mysli jak přípustnost osobních údajů předložených jako důkaz v řízení, tak jejich použití v rámci řízení za účelem odůvodnění vlastního rozhodnutí.
7      Mám však určité pochybnosti, pokud jde o dlouhá nebo dávno uplynulá období v minulosti, na které odkazuje předkládající soud. Ze spisu totiž vyplývá, že otázka, zda mezi ukončením pracovního poměru mezi společností NTH a žalovanou dne 31. října 2019 a rozlukou manželů dne 26. června 2022 měla žalovaná nadále přístup do prostor společnosti a používala tamní počítače pro pracovní nebo výlučně soukromé účely, je sporná. Ačkoli je v konečném důsledku na předkládajícím soudu, aby se k této otázce vyjádřil, v rámci tohoto stanoviska, s ohledem na znění třetí předběžné otázky písm. b) vycházím z předpokladu, že shromažďování a uchovávání původních údajů bylo provedeno v rozporu se zásadou omezení uložení údajů.
8      V tomto ohledu uvádím, jak v podstatě uvedla generální advokátka T. Ćapeta ve svém stanovisku ve věci Norra Stockholm Bygg (C‑268/21, EU:C:2022:755, bod 20), že lze mít za to, že pokud je nutné shledat první zpracování osobních údajů shledat nezákonným podle GDPR, bylo by v důsledku toho nezákonné i další zpracování těchto údajů za jiným účelem.
9      V tomto smyslu viz rozsudek ze dne 24. března 2022, Autoriteit Persoonsgegevens (C‑245/20, EU:C:2022:216, body 25 a 34).
10      Viz rozsudky ze dne 20. října 2022, Digi (C‑77/21, EU:C:2022:805, dále jen „rozsudek Digi“, bod 49 a citovaná judikatura); ze dne 2. března 2023, Norra Stockholm Bygg (C‑268/21, EU:C:2023:145, dále jen „rozsudek Norra Stockholm Bygg“, bod 29), a ze dne 4. května 2023, Bundesrepublik Deutschland (Elektronická soudní schránka) (C‑60/22, EU:C:2023:373, bod 57 a citovaná judikatura).
11      Viz rozsudek ze dne 4. října 2024, Koninklijke Nederlandse Lawn Tennisbond (C‑621/22, EU:C:2024:858, bod 29 a citovaná judikatura).
12      Uvádím, že ačkoli finská vláda tvrdí, že zpracování údajů v rámci soudní činnosti představuje zpracování podle čl. 6 odst. 1 písm. c) GDPR, a ačkoli předkládající soud toto ustanovení uvádí v žádosti o rozhodnutí o předběžné otázce, ze spisu nevyplývá, že by zpracování údajů, které je předmětem sporu v původním řízení, bylo nezbytné pro splnění právní povinnosti, která se na tento soud vztahuje.
13      Viz rozsudek Digi (bod 23 a citovaná judikatura).
14      Viz rozsudek Digi (body 53 a 54).
15      Viz stanovisko generálního advokáta P. Pikamäea ve věci Digi (C‑77/21, EU:C:2022:248, body 29, 30, 62 a 64).
16      Viz rozsudek ze dne 7. května 2009, Rijkeboer (C‑553/07, EU:C:2009:293, body 33 a 35), který se týkal čl. 6 odst. 1 písm. e) směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 13/15, s. 355), jejíž odpovídající norma je převzata do čl. 5 odst. 1 písm. e) GDPR; viz rovněž rozsudek Digi (bod 59).
17      Viz rozsudek ze dne 11. prosince 2019, Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, bod 29).
18      Obdobně viz rozsudek ze dne 2. března 2021, Prokuratuur (Podmínky přístupu k údajům o elektronické komunikaci) (C‑746/18, EU:C:2021:152, bod 42).
19      Viz rozsudek ze dne 3. dubna 2025, Ministerstvo zdravotnictví (Údaje týkající se zástupce právnické osoby) (C‑710/23, EU:C:2025:231, bod 40).
20      „[...] Pokud jde o zpracování osobních údajů z důvodu splnění právní povinnosti, provádění určitého úkolu ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce, měly by mít členské státy možnost zachovat či zavést vnitrostátní předpisy za účelem dále konkretizovat uplatňování pravidel tohoto nařízení. [...]“
21      „Toto nařízení se [sice] mimo jiné vztahuje na činnost soudů a dalších justičních orgánů, a proto by [avšak] právo Unie nebo členského státu mohlo [může] stanovit operace a postupy zpracování v souvislosti se zpracováním osobních údajů soudy a dalšími justičními orgány. [...]“
22      „Pokud je zpracování prováděno v souladu se zákonnou povinností, která se na správce vztahuje, nebo pokud je zpracování nezbytné ke splnění úkolu ve veřejném zájmu nebo při výkonu veřejné moci, mělo by mít toto zpracování základ v právu Unie nebo členského státu. [...]“
23      Viz rozsudky Norra Stockholm Bygg (bod 32), a ze dne 3. dubna 2025, Ministerstvo zdravotnictví (Údaje týkající se zástupce právnické osoby) (C‑710/23, EU:C:2025:231, bod 37).
24      Německá vláda dodává, že zpracování osobních údajů předkládajícím soudem může rovněž spadat pod cíl ochrany nezávislosti soudnictví a soudních řízení stanovený v čl. 23 odst. 1 písm. f) GDPR.
25      V tomto smyslu viz rozsudek ze dne 24. února 2022, Valsts ieņēmumu dienests (Zpracování osobních údajů pro daňové účely) (C‑175/20, dále jen „rozsudek Valsts ieņēmumu dienests“, EU:C:2022:124, bod 51); stanovisko generálního advokáta P. Pikamäe ve věci I. (Prodej databáze) (C‑693/22, EU:C:2024:162, body 85 až 88).
26      Viz rozsudek Norra Stockholm Bygg (bod 49). Konkrétní otázka vyvážení práva na ochranu osobních údajů a práva na účinnou soudní ochranu je předmětem třetí předběžné otázky písm. d), která není předmětem tohoto cíleného stanoviska.
27      V tomto smyslu viz rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body) (C‑439/19, EU:C:2021:504, bod 105 a citovaná judikatura).
28      V tomto smyslu viz rozsudek Valsts ieņēmumu dienests (bod 83 a citovaná judikatura), v němž šlo mimo jiné o otázku dodržení požadavku proporcionality, který je vyjádřen v čl. 5 odst. 1 písm. c) GDPR. V tomto ohledu uvádím, že třetí předběžná otázka písm. a), na kterou se toto stanovisko nezaměřuje, se konkrétně týká přezkumu přiměřenosti.
29      Viz rozsudky ze dne 2. března 2021, Prokuratuur (Podmínky přístupu k údajům o elektronické komunikaci) (C‑746/18, EU:C:2021:152, body 41 až 44), a ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další (C‑140/20, EU:C:2022:258, bod 127).
30      Dále jen „ESLP“.
31      Podepsané v Římě dne 4. listopadu 1950.
32      Viz ESLP, 12. května 2000, Khan v. Spojené království (CE:ECHR:2000:0512JUD003539497, bod 34 a citovaná judikatura) a ESLP, 10. března 2009, Bykov v. Rusko (CE:ECHR:2009:0310JUD000437802, body 88 a 89 a citovaná judikatura). Viz také ESLP, 15. ledna 2015, Dragojević v. Chorvatsko (CE:ECHR:2015:0115JUD006895511, bod 129) a ESLP, 16. února 2021, Budak v. Turecko (CE:ECHR:2021:0216JUD006976212, bod 71), ve kterých ESLP dodal, že při posuzování, zda bylo řízení jako celek spravedlivé, je třeba posoudit, zda bylo dodrženo právo na obhajobu, což zejména znamená posoudit, zda měl stěžovatel možnost zpochybnit pravost důkazů a vznést námitky proti jejich použití, jakož i zohlednit kvalitu důkazů, zejména zda okolnosti, za nichž byly získány, vyvolávají pochybnosti o jejich spolehlivosti nebo správnosti.
33      Viz rozsudek ze dne 6. října 2020, La Quadrature du Net a další (C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, body 221, 222, 225 až 227), který se mimo jiné týká otázky, zda unijní právo brání tomu, aby byly v rámci trestního řízení použity informace a důkazy získané v rozporu s požadavky vyplývajícími ze směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (směrnice o soukromí a elektronických komunikacích) (Úř. věst. 2002, L 201, s. 37; Zvl. vyd. 13/29, s. 514, oprava Úř. věst. 2014, L 290, s. 11).
34      Německá vláda dodává, že § 138, § 286, § 355 a následující občanského soudního řádu se obecně zaměřují na zjištění skutkového stavu relevantního pro rozhodnutí a z § 286 občanského soudního řádu ve spojení s čl. 103 odst. 1 základního zákona vyplývá, že soudy jsou v zásadě povinny zohlednit skutkový stav předložený účastníky řízení a jimi předložené důkazy.
35      Viz rozhodnutí Bundesverfassungsgericht (Spolkový ústavní soud), ze dne 9. října 2002 (1 BVR 1611/96, BVerfGE 106, 28-51, DE:BVerfG:2002:rs20021009.1bvr161196, bod 60).
36      Druhý senát Bundesarbeitsgericht (Spolkový pracovní soud) měl v rozsudku ze dne 29. června 2023 (2 AZR 297/22, DE:BAG:2023:290623.U.2AZR297.22.0), za to, že takový závěr jasně vyplývá z článku 17 GDPR. Německá vláda tento výklad dotčeného rozsudku potvrzuje. V podstatě dodává, že v souladu s touto judikaturou může být soud rovněž veden k tomu, aby vyloučil některé důkazní prostředky, pokud by jejich použití představovalo závažné porušení základních práv účastníka řízení. V tomto ohledu připomínám, že otázka, zda účastník řízení může uplatňovat svá práva, pokud existuje oprávněný zájem na provedení důkazu, spadá spíše pod třetí předběžnou otázku písm. c), kterou se toto stanovisko nezabývá.
37      Viz rozsudek Norra Stockholm Bygg (bod 40).
38      Viz bod 41 odůvodnění GDPR, jakož i v tomto smyslu rozsudky Valsts ieņēmumu dienests (body 52 a 56), a ze dne 12. září 2024, HTB Neunte Immobilien Portfolio a Ökorenta Neue Energien Ökostabil IV (C‑17/22 a C‑18/22, EU:C:2024:738, bod 71).
39      Soudní dvůr již rozhodl, že ustanovení vnitrostátního práva, která upravují předložení dokumentu jako důkazu, by mohla spadat pod případy zpracování osobních údajů, které jsou považovány za zákonné na základě čl. 6 odst. 3 a 4 GDPR ve spojení s čl. 23 odst. 1 písm. f) a j) tohoto nařízení [viz rozsudek Norra Stockholm Bygg, (bod 45)], a dokonce že pokud soud vykonává soudní pravomoci, které mu byly svěřeny vnitrostátním právem, musí být zpracování osobních údajů, které má tento soud provádět, považováno za nezbytné pro účel uvedený v čl. 6 odst. 1 prvním pododstavci písm. e) uvedeného nařízení [viz rozsudek ze dne 4. května 2023, Bundesrepublik Deutschland (Elektronická soudní schránka) (C‑60/22, EU:C:2023:373, bod 73)].