ЗАКЛЮЧЕНИЕ НА ГЕНЕРАЛНИЯ АДВОКАТ

T. ĆAPETA

представено на 6 октомври 2022 година ( 1 )

Дело C‑268/21

Norra Stockholm Bygg AB

срещу

Per Nycander AB,

встъпила страна:

Entral AB

(Преюдициално запитване от Högsta domstolen (Върховен съд, Швеция)

„Преюдициално запитване — Регламент (ЕС) 2016/679 — Защита на лични данни — Член 6, параграфи 3 и 4 — Обработване на лични данни — Член 23, параграф 1, буква е) — Защита на независимостта на съдебната власт и съдебните производства — Искане на ответника в гражданско производство да бъде разпоредено на ищеца да предостави информация за отработените от служителите му часове“

I. Въведение

1. „Ценим правото Ви на личен живот. Използваме бисквитки, за да подобрим обслужването на потребителя. Моля, прегледайте предпочитанията за поверителност. Приемете всички/Настройки. Прегледайте нашата политика за поверителност и политика за бисквитки“ ( 2 ).

2. Подобно съобщение се появява при посещението на всеки сайт.

3. Това се дължи на Общия регламент относно защитата на данните (наричан по-нататък „ОРЗД“) ( 3 ), който се превърна в основен инструмент за защита на личните данни в Европейския съюз.

4. Появява ли се ОРЗД и пред националните съдилища? По-специално, прилага ли се към задълженията за разкриване в гражданско производство пред национален съд? Ако е така, какви задължения поражда ОРЗД за тези съдилища? Това са въпросите, които са поставени пред Съда за изясняване в настоящия случай.

II. Фактите в главното производство и преюдициалните въпроси

5. Тези въпроси възникват по дело пред запитващата юрисдикция, Högsta domstolen (Върховен съд, Швеция). Фактите по него могат да бъдат обобщени, както следва. Жалбоподателят в главното производство, Norra Stockholm Bygg AB (наричано по-нататък „Fastec“), извършва строителни работи за изграждане на офис сграда за ответника в главното производство, Per Nycander AB (наричано по-нататък „Nycander“). Служителите, изпълняващи строителните работи по този договор, отбелязват присъствието си в електронен регистър на персонала за данъчни цели. Регистърът на персонала е предоставен от Еntral AB, действащо от името на Fastec.

6. Главното производство е образувано по спор относно обезщетение за извършените строителни работи. Nycander оспорва искането на Fastec за плащане (равняващо се на малко над 2000000 SEK (шведски крони), около 190133 EUR), като твърди, че отработеният от Fastec период от време е по-малък от периода, за който Fastec претендира плащане.

7. За да докаже, че това е така, Nycander иска Entral да предостави съответния регистър на персонала, който е водело от името на Fastec. Fastec се противопоставя на това искане, твърдейки, че с такова разкриване ще се наруши ОРЗД, тъй като исканите данни са събирани с друга цел и не могат да бъдат използвани като доказателство в главното производство.

8. Tingsrätt (районен съд, Швеция) разпорежда на Entral да предостави регистъра, което разпореждане е потвърдено при обжалването му от Svea hovrätt (Апелативен съд Свеа, Стокхолм, Швеция).

9. Fastec обжалва решението на Svea hovrätt (Апелативен съд Свеа, Стокхолм) пред Högsta domstolen (Върховен съд) и иска последният да отхвърли искането на Nycander за разкриване или, при условията на евентуалност, да разпореди представянето на анонимизиран вариант на регистъра на персонала. В хода на това производство Högsta domstolen (Върховен съд) отправя преюдициално запитване до Съда със следните въпроси: „1) Налага ли член 6, параграфи 3 и 4 от [ОРЗД] и изискване към националното процесуално законодателство във връзка със задълженията за разкриване? 2) Ако на първия въпрос се отговори утвърдително, следва ли от [ОРЗД], че трябва да се съобразят и интересите на субектите на данните при вземане на решение за разкриване, което включва обработването на лични данни? При такива обстоятелства установява ли правото на ЕС изисквания във връзка с това как конкретно трябва да бъде взето това решение?“.

10. В хода на производството пред Съда са представени становища от Fastec, чешкото, полското и шведското правителство и Европейската комисия. Съдебно заседание е проведено на 27 юни 2022 г., в което Nycander, полското и шведското правителство и Комисията представят устни становища.

III. Правна уредба

А. Правото на Съюза

11. Член 5 от ОРЗД определя принципите, на които трябва да отговаря всяко обработване на лични данни: „1. Лични данни са: а) обработвани законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните („законосъобразност, добросъвестност и прозрачност“); б) събирани за конкретни, изрично указани и легитимни цели и не се обработват по-нататък по начин, несъвместим с тези цели; по-нататъшното обработване за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели не се счита, съгласно член 89, параграф 1, за несъвместимо с първоначалните цели („ограничение на целите“); в) подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват („свеждане на данните до минимум“); г) точни и при необходимост да бъдат поддържани в актуален вид; трябва да се предприемат всички разумни мерки, за да се гарантира своевременното изтриване или коригиране на неточни лични данни, като се имат предвид целите, за които те се обработват („точност“); д) съхранявани във форма, която да позволява идентифицирането на субекта на данните за период, не по-дълъг от необходимото за целите, за които се обработват личните данни; личните данни могат да се съхраняват за по-дълги срокове, доколкото ще бъдат обработвани единствено за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели съгласно член 89, параграф 1, при условие че бъдат приложени подходящите технически и организационни мерки, предвидени в настоящия регламент с цел да бъдат гарантирани правата и свободите на субекта на данните („ограничение на съхранението“); е) обработвани по начин, който гарантира подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки („цялостност и поверителност“). 2. Администраторът носи отговорност и е в състояние да докаже спазването на параграф 1 („отчетност“)“.

12. Член 6 от ОРЗД, озаглавен „Законосъобразност на обработването“, в параграфи 1, 3 и 4 предвижда следното: „1. Обработването е законосъобразно, само ако и доколкото е приложимо поне едно от следните условия: […] в) обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора; […] д) обработването е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора; […] 3. Основанието за обработването, посочено в параграф 1, букви в) и д), е установено от: а) правото на Съюза или б) правото на държавата членка, което се прилага спрямо администратора. Целта на обработването се определя в това правно основание или доколкото се отнася до обработването по параграф 1, буква д), то трябва да е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора. Това правно основание може да включва конкретни разпоредби за адаптиране на прилагането на разпоредбите на настоящия регламент, inter alia общите условия, които определят законосъобразността на обработването от администратора, видовете данни, които подлежат на обработване, съответните субекти на данни; образуванията, пред които могат да бъдат разкривани лични данни, и целите, за които се разкриват; ограниченията по отношение на целите на разкриването; периодът на съхранение и операциите и процедурите за обработване, включително мерки за гарантиране на законосъобразното и добросъвестно обработване, като тези за други конкретни случаи на обработване съгласно предвиденото в глава IX. Правото на Съюза или правото на държавата членка се съобразява с обществения интерес и е пропорционално на преследваната легитимна цел. 4. Когато обработването за други цели, различни от тези, за които първоначално са били събрани личните данни, не се извършва въз основа на съгласието на субекта на данните или на правото на Съюза или правото на държава членка, което представлява необходима и пропорционална мярка в едно демократично общество за гарантиране на целите по член 23, параграф 1, администраторът, за да се увери дали обработването за други цели е съвместимо с първоначалната цел, за която са били събрани личните данни, inter alia, взема под внимание: а) всяка връзка между целите, за които са били събрани личните данни, и целите на предвиденото по-нататъшно обработване; б) контекста, в който са били събрани личните данни, по-специално във връзка с отношенията между субекта на данните и администратора; в) естеството на личните данни, по-специално дали се обработват специални категории лични данни съгласно член 9 или се обработват лични данни, отнасящи се до присъди и нарушения, съгласно член 10; г) възможните последствия от предвиденото по-нататъшно обработване за субектите на данните; д) наличието на подходящи гаранции, които могат да включват криптиране или псевдонимизация“.

13. Освен това член 23, параграф 1 от ОРЗД регламентира ограничения на права и задължения по ОРЗД: „1. В правото на Съюза или правото на държава членка, което се прилага спрямо администратора или обработващия лични данни, чрез законодателна мярка може да се ограничи обхватът на задълженията и правата, предвидени в членове 12—22 и в член 34, както и в член 5, доколкото неговите разпоредби съответстват на правата и задълженията, предвидени в членове 12—22, когато подобно ограничение е съобразено със същността на основните права и свободи и представлява необходима и пропорционална мярка в едно демократично общество с цел да се гарантира: […] е) защитата на независимостта на съдебната власт и съдебните производства; […]“.

Б. Шведското право

14. В глава 38, член 2, първа алинея от Rättegångsbalken (Съдопроизводствен кодекс; наричан по-нататък „RB“) се предвижда, че всяко лице, което държи писмен документ, за който може да се счита, че има доказателствена стойност, е длъжно да представи този документ. Във втората алинея от същата разпоредба се посочват изключения от това задължение, включително за адвокатите, лекарите, психолозите, свещениците и други длъжностни лица, на които е поверена информация, при упражняване на тяхната професия или равностойна дейност. Глава 38, член 4 от RB съответно предоставя на съда възможността да разпореди разкриване на писмен документ като доказателство.

15. Според запитващата юрисдикция, когато се прави преценка дали лицето следва да представи документ, съдът претегля релевантността на доказателството спрямо интереса на противната страна тази информация да не бъде разкривана. Както запитващата юрисдикция посочва, това обаче не означава да се вземе предвид личният характер на разкриваната информация.

IV. Анализ

А. Изясняване на контекста

16. ОРЗД е основният акт на Съюза, който урежда защитата на физическите лица при обработването на техните лични данни. За разлика от неговия предшественик, Директива 95/46/ЕО ( 4 ), ОРЗД е приет въз основа на член 16 ДФЕС ( 5 ). Това правно основание предоставя възможност на законодателя на Съюза да защитава основното право на защита на личните данни, предвидено в член 8, параграф 1 от Хартата на основните права на Европейския съюз (наричана по-нататък „Хартата“) ( 6 ).

17. Когато се обработват лични данни, ОРЗД вменява на „администратора на данни“ задължението за спазване на този акт ( 7 ). Ето защо във всеки случай на обработване на лични данни е важно да се установи кой е администраторът на данни.

18. Съгласно член 4, параграф 7 от ОРЗД администраторът на данни е физическото или юридическото лице, публичен орган, агенция или друга структура, която определя целите и средствата за обработването на лични данни.

19. В настоящия случай са налице два отделни случая на обработване на лични данни. Първото обработване засяга електронния регистър на персонала, поддържан от Entral от името на Fastec, тъй като последният има задължение, предвидено в шведското законодателство, да събира данни за отработените часове за данъчни цели. В този контекст, Fastec е администраторът, а Entral е обработващият лични данни ( 8 ).

20. Не се спори, че първото обработване е в съответствие с ОРЗД. По-специално член 6, параграф 1, буква в) от него позволява обработване на лични данни, необходимо за спазването на законово задължение, което се прилага спрямо администратора ( 9 ), в случая Fastec. Разбира се, ако бъде установено, че това първо обработване е незаконосъобразно съгласно ОРЗД, повторното обработване на същите данни с променена цел също би било незаконосъобразно ( 10 ).

21. Предметът на това дело обаче е второто (с променена цел) обработване на същите данни, които първоначално са събрани за данъчни цели. Новата цел е разкриването от Entral на регистъра на персонала като доказателство в гражданското производство със страни Fastec и Nycander. Предоставянето на този регистър за използването му в гражданско производство неизбежно би довело до обработване на лични данни.

22. При това второ обработване ролите съгласно ОРЗД се променят в сравнение с първото обработване. Най-важното е, че постановявайки разпореждането Entral да предостави регистъра на персонала (наричано по-нататък „разпореждането за разкриване“), националният съд се оказва субектът, който определя целите и средствата за второто обработване на данни ( 11 ). Така този съд се превръща в администратор на данни ( 12 ).

23. При това второ обработване може да се приеме, че Fastec е останало администраторът или е променило ролята си: сега е получателят на данни заедно с Nycander ( 13 ). Дори ако обаче Fastec остане администратор съвместно с националния съд ( 14 ), това не би повлияло на задълженията на националния съд като администратор ( 15 ). На последно място, ролята на Entral не се променя. То остава обработващият лични данни и продължава да обработва същите лични данни, но вече от името на нов администратор — националния съд.

24. С първия си въпрос запитващата юрисдикция пита по същество дали националният съд действително може да се превърне в администратор по смисъла на ОРЗД и дали в този случай Регламентът налага изисквания към националното процесуално законодателство, свързани с правомощията и задълженията на съдилищата в гражданското производство. Ако ОРЗД се прилага и националният съд е администраторът, то с втория си въпрос запитващата юрисдикция пита как такъв съд следва да вземе решение за разкриване на лични данни, когато те трябва да се използват като доказателство в гражданско производство.

25. За да отговоря на въпросите на запитващата юрисдикция, ще продължа анализа си по следния начин. Най-напред ще обясня защо считам, че ОРЗД е приложим за гражданското производство пред съдилищата на държавите членки и как това влияе на съществуващото национално процесуално законодателство на държавите членки (Б). След това ще разгледам методологията, която националните съдилища като администратори на данни трябва да прилагат, за да изпълнят изискванията на ОРЗД (В).

Б. ОРЗД е приложим за гражданското производство пред националните съдилища и допълва процесуалните правила на държавите членки

26. С първия си въпрос запитващата юрисдикция по същество иска да разбере дали ОРЗД е приложим за гражданското съдопроизводство и какво влияние има върху съответните процесуални правила. По-специално, тя пита дали ОРЗД засяга онези национални правила, които уреждат правомощията и задълженията на съдилищата, когато разпореждат разкриване на писмени доказателства. Ще отговоря на този въпрос в три стъпки.

1. ОРЗД не изключва действията на националните съдилища в гражданското производство

27. Материалният обхват на ОРЗД е определен в член 2, параграф 1, като е възприет по-скоро функционален, а не институционален подход. Приложимостта на ОРЗД се обуславя по-скоро от това какво се прави (дейността по обработване на лични данни), а не от това кой я извършва ( 16 ).

28. Изброените в член 2, параграф 2 от ОРЗД хипотези, които са изключени от обхвата му, са също така функционални по своя характер. Тъй като представляват изключение от приложното поле на ОРЗД, Съдът счита, че те трябва да се тълкуват стеснително ( 17 ).

29. Следователно дейностите на публичните органи не са изключени от обхвата на ОРЗД като такива, а по-скоро само във връзка с дейностите, изброени в член 2, параграф 2 от ОРЗД ( 18 ). В това отношение посочената разпоредба не изключва съдебните дейности в гражданското производство от материалния обхват на ОРЗД.

30. Изводът, че ОРЗД се прилага за съдебните дейности се потвърждава от съображение 20 от ОРЗД ( 19 ), съгласно което този акт се прилага за дейностите на съдилищата и други съдебни органи ( 20 ).

31. Изключването на компетентността на надзорните органи по отношение на съдилищата при изпълнение на съдебните им функции, предвидено в член 55, параграф 3 от ОРЗД, не засяга направения извод. Напротив, според мен тази разпоредба потвърждава, че наложените с ОРЗД задължения се прилагат за съдилищата при изпълнение на съдебните им функции. Това гарантира тяхната независимост и безпристрастност чрез забраняването на контрола от страна на надзорните органи върху техните операции по обработване.

32. Настоящият случай е свързан с обработване на лични данни, което попада в материалния обхват на ОРЗД. Създаването и поддържането на електронния регистър на персонала се отнасят за обработване на лични данни ( 21 ). Аналогично, разпореждането на разкриването на такива лични данни в рамките на гражданско производство е пример за обработване на тези данни ( 22 ). Следователно положението в главното производство попада в материалния обхват на ОРЗД.

33. Какво означава това за действието на национални процесуални правила като RB?

2. Наличието на национално право е условието за законосъобразност на обработката на данни от националните съдилища

34. Правното основание за постановяване на разглежданото в случая разпореждане за разкриване е RB.

35. ОРЗД действително изисква обработването на данни в хипотеза като разглежданата в настоящия случай да има за правно основание правото на държава членка (или на Съюза) ( 23 ).

36. Съответните данни са събирани и обработвани първоначално за данъчни цели, а съгласно разпореждането за разкриване в настоящия случай сега трябва да бъдат обработени с доказателствена цел в съдебно производство.

37. Член 6, параграф 4 от ОРЗД позволява промяна на целта на обработване на данни, ако това става въз основа на правото на държава членка, което представлява необходима мярка в едно демократично общество за гарантиране на целите по член 23, параграф 1 от ОРЗД. Сред тези цели в член 23, параграф 1, буква е) се посочва „защитата на независимостта на съдебната власт и съдебните производства“.

38. Всички участници в производството по настоящото преюдициално запитване са съгласни, че член 23, параграф 1, буква е) от ОРЗД е правилната разпоредба, за да се обоснове промяната на целта на обработването на данните въз основа на RB ( 24 ).

39. RB оправомощава националните съдилища да разпоредят разкриването на документи, ако имат доказателствена стойност в гражданско производство. Както бе обяснено, ако документът, който следва да бъде разкрит, съдържа лични данни, съдът, който постановява това разкриване, става администратор на данни съгласно ОРЗД.

40. Както отбеляза Комисията по време на заседанието, националният съд е обикновен администратор само до известна степен. А именно националните съдилища могат да обработват данни само при упражняване на своите официални правомощия.

41. Когато обработването на данни се извършва при упражняване на официални правомощия ( 25 ), член 6, параграф 3 от ОРЗД изисква то да се основава на правото на Съюза или на правото на държава членка.

42. Следователно, както член 6, параграф 4 (позволяващ промяната на целта на обработването), така и член 6, параграф 3 от ОРЗД (позволяващ обработването на данни при упражняване на официални правомощия) изискват да е налице национално право (или право на Съюза) като правно основание за обработването ( 26 ).

43. Следователно наличието на RB, който оправомощава съда да постанови разпореждане за разкриване, е необходимо условие за законосъобразността на разглежданото обработване.

3. ОРЗД допълва националните процесуални правила

44. Изпълнени ли са изискванията на ОРЗД за законосъобразно обработване, ако съществува изискваното от Регламента правно основание и разпореждането, което води до обработване на лични данни, е постановено в съответствие с правото на държавата членка?

45. Според мен наличието на правно основание в националното право, макар и необходимо, не е достатъчно, за да бъде разпореждането за разкриване в съответствие с ОРЗД.

46. Запитващата юрисдикция обяснява, че съгласно RB по принцип личният характер на информацията не се отчита, когато се вземат решения за разкриване на доказателства. От съдилищата се изисква да вземат предвид интересите на двете противостоящи страни, но в самия закон не се споменава, че интересите на субектите на данни имат някакво значение.

47. Несъвместим ли RB е с ОРЗД, щом не задължава изрично съдилищата, когато се окажат администратори на данни, да вземат предвид интересите на субектите на данни при постановяване на решения, които могат да засегнат техните лични данни?

48. Според мен това не е така. Трябва да се има предвид, че различните национални актове, които служат за правно основание за обработването на данни, не са приети специално в изпълнение на ОРЗД, а имат свои собствени цели. Освен това ОРЗД е пряко приложим в правните системи на държавите членки и не се изисква транспонирането му. Ето защо е важно, когато националните процесуални правила и ОРЗД се срещат, тези правила да дават възможност за едновременното му прилагане.

49. По време на съдебното заседание шведското правителство потвърди, че RB не изисква, но и не забранява, съдилищата да вземат предвид интересите на субектите на данни. Следователно той не изключва прякото прилагане на ОРЗД в съдебната процедура, уредена с този кодекс.

50. Следователно националните съдилища се подчиняват успоредно на националните процедурни правила и на ОРЗД, като последният допълва националните правила, ако процесуалните действия на съдилищата са свързани с обработването на лични данни.

51. В заключение, не е необходимо националното законодателство изрично да препраща към ОРЗД или да задължава съдилищата да вземат предвид интересите на субектите на данни. Достатъчно е това законодателство да позволява съпътстващо прилагане на ОРЗД. Само ако това не е така, националният акт би бил в противоречие с ОРЗД. RB същевременно изглежда допуска съпътстващо прилагане на ОРЗД ( 27 ).

52. Ето защо в отговор на първия въпрос на запитващата юрисдикция стигам до извода, че член 6, параграфи 3 и 4 от ОРЗД налага изисквания към националното процесуално законодателство във връзка със задълженията за разкриване винаги когато разкриването води до обработване на лични данни. Националното процесуално законодателство не може да възпрепятства в такъв случай да се вземат предвид интересите на субектите на данни. Тези интереси ще бъдат защитени, ако националните съдилища спазват правилата на ОРЗД, когато вземат решение относно разкриването на писмени доказателства в конкретен случай.

В. Задълженията на национални съд спрямо интересите на субектите на данни

53. Тъй като ОРЗД се прилага за националните съдилища, в качеството си на администратори на данни те трябва да вземат предвид интересите на субектите на данни. Как трябва да се вземат предвид тези интереси при постановяване на конкретно решение за разкриване? Това е същността на втория въпрос на запитващата юрисдикция.

1. Пропорционалност

54. Интересите на субектите на данни ще бъдат защитени, когато обработването на личните им данни става в съответствие с членове 5 и 6 от ОРЗД ( 28 ). Както посочва генералния адвокат Pikamäe, съответствието с членове 5 и 6 от ОРЗД осигурява защитата на правото на личен и семеен живот и защитата на личните данни, както е гарантирано съответно от членове 7 и 8 от Хартата ( 29 ).

55. Легитимните цели на обработването са изброени в член 6 от ОРЗД ( 30 ). Както бе обяснено в предходната част на настоящото заключение, обработването в разглеждания случай преследва законна цел, тъй като съдът упражнява официалните си правомощия, когато разпорежда разкриване въз основа на националното право, служещо за гарантиране на надлежното провеждане на съдебното производство. Както член 6, така и член 5 от ОРЗД обаче изискват не само легитимна цел, но и конкретното обработване да е необходимо за постигане на тази цел.

56. Следователно ОРЗД изисква съдът да извърши анализ на пропорционалността, когато решава дали разкриването на лични данни в конкретния случай е необходимо за целите на доказването в съдебното производство ( 31 ).

57. В това отношение член 6, параграф 4 от ОРЗД изисква националното право, на което се основава повторното обработване с променена цел, да бъде необходима и пропорционална мярка за гарантиране на една от целите, изброени в член 23, параграф 1 от ОРЗД — в този случай защитата на независимостта на съдебната власт и съдебните производства. Освен това член 6, параграф 3 от ОРЗД изисква обработването при упражняване на официални правомощия да е необходимо за упражняването на тези официални правомощия, предоставени на администратора.

58. Националното право, което е основанието за обработване, може in abstracto да съответства на изискванията на членове 6, параграфи 3 и 4 от ОРЗД. Законосъобразността на всяко отделно обработване (включително конкретно съдебно разпореждане за разкриване) обаче зависи от претеглянето на всички засегнати интереси, като се има предвид легитимната цел, за която се иска разкриването ( 32 ). Само по този начин националният съд може да реши дали и до каква степен е необходимо разкриването.

59. Следователно е ясно, че ОРЗД изисква анализ на пропорционалността. Може ли ОРЗД да помогне допълнително при намиране на отговор на въпроса кои конкретни стъпки трябва да предприеме съдът при такъв анализ?

2. Конкретни стъпки, които да бъдат предприети от националните съдилища

60. Както бе посочено, анализът на пропорционалността трябва да се извършва във всеки отделен случай, като се вземат предвид всички засегнати интереси. В случаи като настоящия следва да бъдат претеглени интересът от разкриването, от една страна, и намесата в правото на защита на личните данни, от друга ( 33 ).

61. Интересът от разкриването отразява правото на ефективна съдебна защита (член 47 от Хартата). Интересите на субектите на данни, с които се сблъсква посоченото право, отразяват правото на личен и семеен живот (член 7 от Хартата) и правото на защита на личните данни (член 8 от Хартата). Именно тези права трябва да бъдат претеглени, за да се прецени дали е необходимо разкриването на лични данни.

62. По-долу ще изложа някои предложения относно конкретните стъпки, които може да се очаква да предприеме националният съд.

63. Като начало, винаги може да се предполага, че субектите на данни, които не са дали своето съгласие за обработването, имат интерес от ограничаване на обработването на личните им данни. Следователно това е стандартната изходна позиция за националния съд: да обоснове защо този интерес трябва да бъде накърнен.

64. Според мен указания за извършване на преценката е възможно да бъдат открити в член 5 от ОРЗД, съдържащ принципите, които администраторът на данни трябва да спазва при обработване на лични данни.

65. В това отношение принципът на свеждане на данните до минимум, посочен в член 5, параграф 1, буква в) от ОРЗД, е от съществена важност. Това изискване, както отбелязва Съдът ( 34 ), е израз на пропорционалност. Този принцип изисква личните данни да бъдат подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват.

66. Следователно първият въпрос, който следва да се зададе, е дали данните в регистъра на персонала, съхраняван от Entral, са подходящи. Те ще са подходящи за целите, за които трябва да бъдат разкрити, ако действително показват броя на отработените часове от служителите на Fastec на строителната площадка.

67. Вторият въпрос, който следва да се зададе е дали данните в регистъра на персонала, съхраняван от Entral, са свързани с целта, за която са искани. Целта, изглежда, е интересът на Nycander да докаже твърдението си, че служителите на Fastec са работили по-малко часове, отколкото е посочено във фактурата. При тези обстоятелства регистърът на персонала би имал връзка, ако наистина доказва или опровергава подобно твърдение. Националният съд следва да прецени свързаността в светлината на другите факти по делото (например твърдението на Fastec, че регистърът на персонала съдържа само част от съответните работни часове, а други са прекарани извън строителната площадка).

68. За да отговори на третото изискване за свеждане на данните до минимум, националният съд трябва да реши дали всички или само част от данните, съдържащи се в регистъра, са достатъчни за целите на доказването. В допълнение, ако има други начини за установяване на същия факт, свеждането на данните до минимум изисква да се използват тези други начини. Например националният съд може да се наложи да прецени твърдението на Fastec, че действително отработените часове могат да бъдат проверени чрез други документи, които вече са част от материалите по делото пред запитващата юрисдикция. Ако установи, че това твърдение е вярно, националният съд не може да разпореди разкриването на лични данни от регистъра на персонала.

69. Необходимо е националният съд да установи какви видове лични данни от регистъра са достатъчни, за да се докажат или опровергаят релевантните факти. В това отношение принципът на свеждане на данните до минимум изисква да се разкриват само данните, които са строго необходими за въпросната цел. Следователно може да се наложи Entral, в качеството си на обработващ, да промени по някакъв начин регистъра на персонала, така че да ограничи личните данни до необходимия минимум, като същевременно позволи да се направи извод относно действително отработените часове.

70. В това отношение националният съд трябва да прецени дали е необходимо лицата, чиито данни са в регистъра, да могат да бъдат идентифицирани, за да има разкриването доказателствена стойност (например, ако е необходимо, да се посочат имена на отделни работници, за да бъдат призовани да се явят като свидетели). В противен случай може да е достатъчно да се разполага с информация относно общия брой часове, прекарани на строителната площадка, и/или броя на лицата, които са отработили тези часове.

71. В зависимост от отговорите на по-горните въпроси, съдът може да реши да поиска разкриването на псевдонимизирани или анонимизирани данни ( 35 ).

72. Съгласно съображение 26 от ОРЗД данните, които са били подложени на псевдонимизация, остават в материалния обхват на ОРЗД. Това е така, тъй като продължава да е възможно да се проследи самоличността на лицето зад псевдонима. Това не се отнася за анонимизираните данни, които са извън обхвата на Регламента. Следователно начинът на разкриване, който националният съд ще разпореди в крайна сметка, също ще окаже влияние върху по-нататъшната приложимост на ОРЗД ( 36 ).

73. В крайна сметка националният съд трябва да определи доказателствената стойност на различните версии на регистъра на персонала, за да реши какъв тип минимизиране на данните, ако има такова, е необходимо за успешното приключване на съдебното производство пред него.

74. Освен принципа на свеждане на данните до минимум в член 5, параграф 1, буква в) от ОРЗД, други принципи, съдържащи се в член 5 от ОРЗД, също обвързват националния съд и са от значение за начина на постановяване на разпореждането за разкриване.

75. Например в член 5, параграф 1, буква а) от ОРЗД, освен че се посочва принципът на законосъобразност (развит по-нататък в член 6), се споменава и принципът на прозрачност. Според мен този принцип изисква националният съд ясно да обясни решението си да разпореди разкриването на лични данни, като, inter alia, посочи как е претеглил различните интереси и доводи на страните, свързани с разкриването.

76. Надлежното мотивиране на разпореждането за разкриване удовлетворява и изискването на член 5, параграф 2 от ОРЗД, съгласно което администраторът на данни трябва да може да докаже спазването на принципите, посочени в член 5, параграф 1 от него.

77. Начинът на спазване на принципите по член 5 от ОРЗД може да се изведе и от съображение 31 от ОРЗД. В него се предвижда, че „исканията за разкриване на данни, изпратени от публичните органи, следва винаги да бъдат в писмена форма, да са обосновани и да засягат само отделни случаи и не следва да се отнасят до целия регистър с лични данни или да водят до свързване на регистри на лични данни“.

78. Полското правителство изразява загриженост във връзка с преценката на пропорционалността от националния съд: ако националният съд трябва да прецени доказателствената стойност на регистъра на персонала или друго доказателство в производството пред него, не се ли намесва прекалено в това, което трябва да продължи да бъде ролята на страните, а именно да се стремят да спечелят спор относно самата доказателствена стойност на такова доказателство?

79. Според мен преценката на доказателствената стойност, която отчита интересите на субектите на данни, не води до по-голяма намеса в делото, отколкото преценката на доказателствена стойност на което и да е друго доказателство в гражданското производство ( 37 ).

80. Степента на намеса на националния съд ще зависи от очевидността на доказателствената стойност на данните, чието разкриване се иска при обстоятелствата в конкретното дело. Винаги ще зависи от конкретния случай до каква степен разкриването може да засегне интересите на субектите на данни.

81. Например някои дела може да засягат чувствителни данни със специален режим на защита съгласно член 9 от ОРЗД или данни за наказателни санкции, отнасящи се до режима на член 10 от него. В такива случаи интересите на субектите на данни непременно ще имат по-голяма тежест при извършването на претеглянето ( 38 ). По същия начин интересът от разкриването може да се различава в отделните случаи. Понякога ще е ясно, че значението на исканите доказателства е незначително, но в други случаи те ще бъдат от основно значение за определяне на изхода на делото. В това отношение е полезна забележката на Комисията, че когато анализира това, националният съд следва да разполага с широка свобода на преценка. Той обаче никога не трябва да бъде освобождаван от задължението да отчита интересите на субектите на данни.

82. Чешкото правителство изразява друго безпокойство: налагането на задължения на националните съдилища да отчитат интересите на субектите на данни, когато разпореждат разкриване на писмени доказателства, би попречило на нормалното протичане на съдебните производства. ОРЗД действително въвежда допълнително задължение ( 39 ) съдилищата да извършват проверка за пропорционалност, преди да разпоредят разкриване на писмени доказателства, съдържащи лични данни. Претеглянето на интересите обаче не е необичайно интелектуално упражнение, което съдилищата трябва да направят, нито пък наложената на националните съдилища тежест е различна от наложената на всеки администратор на данни с ОРЗД.

83. Ако гражданите на Съюза трябва да се ползват на високо ниво на защита на личните им данни в съответствие с избора на законодателя на Съюза, изразен в ОРЗД, отчитането на интересите на субектите на данни не може да се разглежда като прекомерна тежест, с която се натоварват съдилищата на държавите членки.

84. Ето защо предлагам Съдът да отговори на втория въпрос на запитващата юрисдикция, както следва: когато взема решение в гражданско производство да разпореди разкриване, водещо до обработване на лични данни, националният съд трябва да извърши анализ за пропорционалност, при който да вземе предвид интересите на субектите на данни, чиито лични данни ще бъдат обработвани, и да ги претегли във връзка с интереса на страните в производството да получат доказателства. Тази преценка за пропорционалност се ръководи от принципите, заложени в член 5 от ОРЗД, включително принципа на свеждане на данните до минимум.

V. Заключение

85. С оглед на гореизложеното предлагам на Съда да отговори на двата преюдициални въпроса, отправени от Högsta domstolen (Върховен съд, Швеция), както следва: „1) Член 6, параграфи 3 и 4 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) налага изисквания към националното процесуално законодателство във връзка със задълженията за разкриване винаги когато разкриването води до обработване на лични данни. Националното процесуално законодателство не може да възпрепятства в такъв случай да се вземат предвид интересите на субектите на данни. Тези интереси ще бъдат защитени, ако националните съдилища спазват правилата на Регламент 2016/679, когато вземат решение относно разкриването на писмени доказателства в конкретен случай. 2) Когато взема решение в гражданско производство да разпореди разкриване, водещо до обработване на лични данни, националният съд трябва да извърши анализ за пропорционалност, при който да вземе предвид интересите на субектите на данни, чиито лични данни ще бъдат обработвани, и да ги претегли във връзка с интереса на страните в производството да получат доказателства. Тази преценка за пропорционалност се ръководи от принципите, заложени в член 5 от Регламент 2016/679, включително принципа на свеждане на данните до минимум“.

( 1 ) Език на оригиналния текст: английски.

( 2 ) Това съобщение специално се появява на https://eulawlive.com/.

( 3 ) Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОВ L 119, 2016, стр. 1).

( 4 ) Директива на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (ОВ L 281, 1995 г., стр. 31; Специално издание на български език, 2007 г., глава 13, том 17, стр. 10). Правната основа за приемането на Директива 95/46 е тази на вътрешния пазар. За първоначален анализ на промените, въведени от ОРЗД, вж. Van Alsenoy, B. Liability under EU Data Protection Law. From Directive 95/46 to the General Data Protection Regulation. — Journal of Intellectual Property, Information Technology and Electronic Commerce Law, vol. 7, 2016, 271—288.

( 5 ) Въпреки разликата в правната им основа, съдебната практика по тълкуването на Директива 95/46 е от значение за разбирането на ОРЗД. Вж. в това отношение решение от 17 юни 2021 г., M.I.C.M. (C‑597/19, EU:C:2021:492, т. 107). Поради това ще се позовавам на практиката на Съда относно Директива 95/46, където това е уместно. По същия начин ще се позовавам и на практиката на Съда относно Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 година относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации) (ОВ L 201, 2002, стр. 37; Специално издание на български език, 2007 г., глава 13, том 36, стр. 63), доколкото в нея се предвиждат аналогични разрешения за ограничения на правото на защита на данните. Съдът счита, че тълкуването на ограничения на правата, произтичащи от Директива 2002/58, трябва да се прилага mutatis mutandis към тълкуването на ОРЗД. Вж. в това отношение решение от 6 октомври 2020 г., La Quadrature du Net и др. (C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 209—211).

( 6 ) Вж. съображение 1 от ОРЗД.

( 7 ) Вж. член 5, параграф 2 от ОРЗД.

( 8 ) Член 4, точка 8 от ОРЗД дефинира обработващия лични данни като: „физическо или юридическо лице, публичен орган, агенция или друга структура, която обработва лични данни от името на администратора“.

( 9 ) Съгласно член 6, параграф 3 от ОРЗД, когато обработването се извършва за целите на спазване на правно задължение, което се прилага спрямо администратора, това основание следва да е установено от правото на Европейския съюз или правото на държавата членка, което се съобразява с обществения интерес и е пропорционално на преследваната легитимна цел. Спазването на данъчното законодателство е счетено за легитимна цел в решение от 16 януари 2019 г., Deutsche Post (C‑496/17, EU:C:2019:26, т. 60—63).

( 10 ) Вж. по аналогия решение от 2 март 2021 г., Prokuratuur (Условия за достъп до данните за електронните съобщения) (C‑746/18, EU:C:2021:152, т. 44).

( 11 ) Определянето на целта и средствата за обработване на лични данни е централната дейност, която посочва кой е администраторът. Вж. решение от 10 юли 2018 г., Jehovan todistajat (C‑25/17, EU:C:2018:551, т. 68). Вж. също Bygrave, L. A., Tossoni, L. Article 4(7). Controller. — In: Kuner, C., Bygrave, L. A., Docksey, C. and Drechsler, L. (eds), The EU General Data Protection Regulation (GDPR): A Commentary. OUP, Oxford, 2021, p. 150.

( 12 ) В съдебното заседание полското и шведското правителство и Комисията се съгласиха, че сега в тази роля е националният съд. Nycander твърди, че Fastec продължава да бъде единствения администратор на данни при второто обработване, докато ролята на националния съд е на посредник. Следва да се отбележи, че терминът „посредник“ не е използван никъде в ОРЗД.

( 13 ) В член 4, параграф 9 от ОРЗД получателите са определени като физически или юридически лица, публични органи, агенции или други структури, пред които се разкриват личните данни, независимо дали са трета страна или не. Като страни в гражданско производство, както Fastec, така и Nycander, ще се превърнат в получатели на данни, обработени въз основа на разпореждането на съда за разкриване. По време на заседанието Комисията твърди, че Fastec продължава да бъде администратор, а не е станало получател.

( 14 ) Член 26, параграф 1 от ОРЗД предвижда: „Когато двама или повече администратори съвместно определят целите и средствата на обработването, те са съвместни администратори. Те определят по прозрачен начин съответните си отговорности за изпълнение на задълженията по настоящия регламент, по-специално що се отнася до упражняването на правата на субекта на данни и съответните им задължения за предоставяне на информацията, посочена в членове 13 и 14, посредством договореност помежду си, освен ако и доколкото съответните отговорности на администраторите не са определени от правото на Съюза или правото на държава членка, което се прилага спрямо администраторите. В договореността може да се посочи точка за контакт за субектите на данни“. Вж. също решение от 29 юли 2019 г., Fashion ID (C‑40/17, EU:C:2019:629, т. 67).

( 15 ) Съдът обяснява, че понятието „администратор“ е широкообхватно и на различни етапи от обработката могат да участват различни оператори. Решение от 29 юли 2019 г., Fashion ID (C‑40/17, EU:C:2019:629, т. 70).

( 16 ) Последното е релевантно само по изключение. Например съгласно член 2, параграф 3 от ОРЗД последният не се прилага за институциите, органите, службите и агенциите на ЕС. За тях обаче се прилага Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета от 18 декември 2000 година относно защитата на лицата по отношение на обработката на лични данни от институции и органи на Общността и за свободното движение на такива данни (ОВ L 8, 2001, стр. 1; Специално издание на български език, 2007 г., глава 13, том 30, стр. 142).

( 17 ) Решение от 9 юли 2020 г., Land Hessen (C‑272/19, EU:C:2020:535, т. 68).

( 18 ) В член 2, параграф 2 от ОРЗД се предвижда следното: „Настоящият регламент не се прилага за обработването на лични данни: а) в хода на дейности, които са извън приложното поле на правото на Съюза; б) от държавите членки, когато извършват дейности, които попадат в приложното поле на дял V, глава 2 от ДЕС; в) от физическо лице в хода на чисто лични или домашни занимания; г) от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наложените наказания, включително предпазването от и предотвратяването на заплахи за обществената сигурност“.

( 19 ) Съображение 20 от ОРЗД гласи следното: „Макар настоящият регламент да се прилага, inter alia, спрямо дейностите на съдилищата и други съдебни органи, в правото на Съюза или в правото на държава членка могат да се определят конкретно операциите и процедурите по обработване на лични данни от съдилищата и другите съдебни органи. Компетентността на надзорните органи не следва да обхваща обработването на лични данни, когато съдилищата действат при изпълнение на своите съдебни функции, за да се гарантира независимостта на съдебната власт при изпълнението на съдебните ѝ задължения, включително вземането на решения. Следва да е възможно да се повери надзорът на такива операции по обработване на данни на специални органи в рамките на съдебната система на държавата членка, които по-конкретно следва да осигурят спазването на правилата на настоящия регламент, да повишават осведомеността сред членовете на съдебното съсловие за техните задължения по силата на настоящия регламент и да се занимават с жалбите във връзка с такива операции по обработване на данни“.

( 20 ) Вж. в това отношение решение от 24 март 2022 г., Autoriteit Persoonsgegevens (C‑245/20, EU:C:2022:216, т. 25 и 26).

( 21 ) В решение от 30 май 2013 г., Worten (C‑342/12, EU:C:2013:355, т. 19), Съдът потвърждава, че по-специално регистър на работното време представлява лични данни.

( 22 ) В заключение на генералния адвокат Campos Sánchez-Bordona по дело Инспектор в Инспектората към Висшия съдебен съвет (Цели на обработването на лични данни — Наказателно разследване) (C‑180/21, EU:C:2022:406, т. 82 и 83) се приема, че предоставянето на документи на съда в рамките на гражданското производство представлява обработване. Към момента на публикуване на настоящото заключение това дело все още е висящо пред Съда.

( 23 ) В контекста на Директива 2002/58 Съдът счита, че тази директива не изключва възможността държави членки да въведат задължение за разкриване на лични данни в хода на гражданското производство. Вж. в това отношение решение от 29 януари 2008 г., Promusicae (C‑275/06, EU:C:2008:54, т. 53). Считам, че същото се отнася и за ОРЗД.

( 24 ) Освен това според Комисията друга причина, с която да се обоснове промяната на целта на обработване на данни в настоящия случай, може да бъде открита в член 23, параграф 1, буква и) от ОРЗД („защитата на субекта на данните или на правата и свободите на други лица“). Полското правителство посочи член 23, параграф 1, буква й) от ОРЗД („изпълнението по гражданскоправни искове“).

( 25 ) Обработване при упражняването на официални правомощия е възможно на основание член 6, параграф 1, буква д) от ОРЗД.

( 26 ) Обработването може да се основава и на съгласие на субекта на данните. Настоящият случай обаче не е такъв.

( 27 ) При разпределението на компетентността между Съда и съдилищата на държавите членки в рамките на преюдициалното производство националният съд трябва да реши дали това действително е така.

( 28 ) Решения от 16 януари 2019 г., Deutsche Post (C‑496/17, EU:C:2019:26, т. 57), и от 6 октомври 2020 г., La Quadrature du Net и др. (C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 208). Съдът преди е стигал до същия извод във връзка с Директива 95/46. Вж. например решения от 20 май 2003 г., Österreichischer Rundfunk и др. (C‑465/00, C‑138/01 и C‑139/01, EU:C:2003:294, т. 65), и от 13 май 2014 г., Google Spain and Google (C‑131/12, EU:C:2014:317, т. 71).

( 29 ) Заключение на генералния адвокат Pikamäe по дело Vyriausioji tarnybinės etikos komisija (дело C‑184/20, EU:C:2021:991, т. 36).

( 30 ) Съдът счита, че списъкът в член 6 от ОРЗД с хипотезите, в които обработването на лични данни може да се счита за законно, е изчерпателен и ограничителен. Вж. решение от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни произшествия) (C‑439/19, EU:C:2021:504, т. 99). В контекста на Директива 95/46 Съдът възприема същия подход за законосъобразност на обработването в решения от 4 май 2017 г., Rīgas satiksme (C‑13/16, EU:C:2017:336, т. 25), и от 11 декември 2019 г., Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, т. 37 и 38).

( 31 ) Вж. също съображение 39 от ОРЗД, в което се посочва, че: „[…] Личните данни следва да са адекватни, релевантни и ограничени до необходимото за целите, за които се обработват. […] Личните данни следва да се обработват, единствено ако целта на обработването не може да бъде постигната в достатъчна степен с други средства“.

( 32 ) Съдът пояснява, че претеглянето зависи от обстоятелствата в конкретния случай. Вж. в това отношение решение от 4 май 2017 г., Rīgas satiksme (C‑13/16, EU:C:2017:336, т. 31). Вж. също решение от 19 декември 2020 г., Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2020:104, т. 32).

( 33 ) Вж. по аналогия решение от 9 ноември 2010 г., Volker und Markus Schecke and Eifert (C‑92/09 и C‑93/09, EU:C:2010:662, т. 77).

( 34 ) Решение от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни произшествия) (C‑439/19, EU:C:2021:504, т. 98).

( 35 ) Всъщност Fastec иска от запитващата юрисдикция или да отхвърли искането на Nycander за предоставяне на регистър на персонала, или, при условията на евентуалност, регистърът на персонала да бъде предоставен едва след анонимизиране. Комисията, позовавайки се на принципа на свеждане на данните до минимум и на член 25, параграф 1 от ОРЗД, предлага също така като решение да се създаде псевдонимизиран вариант на регистъра на персонала.

( 36 ) Например анонимизирането на регистъра освобождава администратора на данни от задължението да информира субектите на данни за обработването, което по принцип се изисква съгласно член 14 от ОРЗД.

( 37 ) Както обяснява запитващата юрисдикция, съгласно RB съдилищата са длъжни да претеглят релевантността на доказателството спрямо интереса на противната страна тази информация да не бъде разкривана.

( 38 ) В контекста на Директива 2002/58 Съдът последователно е приемал, че колкото по-тежка е намесата в правото на защита на данните, толкова по-важна трябва да бъде преследваната цел от обществен интерес. Решения от 21 декември 2016 г., Tele2 Sverige и Watson и др. (C‑203/15 и C‑698/15, EU:C:2016:970, т. 115), от 2 октомври 2018 г., Ministerio Fiscal (C‑207/16, EU:C:2018:788, т. 55), от 6 октомври 2020 г., La Quadrature du Net и др. (C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 131), и от 2 март 2021 г., Prokuratuur (Условия за достъп до данните за електронните съобщения) (C‑746/18, EU:C:2021:152, т. 32).

( 39 ) В тези правни системи, в които процедурните правила преди не са изисквали такава проверка.