MIŠLJENJE NEZAVISNE ODVJETNICE

TAMARE ĆAPETA

od 6. listopada 2022. ( 1 )

Predmet C‑268/21

Norra Stockholm Bygg AB

protiv

Per Nycander AB,

uz sudjelovanje:

Entral AB

(zahtjev za prethodnu odluku koji je uputio Högsta domstolen (Vrhovni sud, Švedska))

„Zahtjev za prethodnu odluku – Uredba (EU) 2016/679 – Zaštita osobnih podataka – Članak 6. stavci 3. i 4. – Obrada osobnih podataka – Članak 23. stavak 1. točka (f) – Zaštita neovisnosti pravosuđa i sudskih postupaka – Zahtjev tuženika u građanskom postupku da se tužitelju naloži predočenje podataka o radnim satima koje su njegovi zaposlenici odradili”

I. Uvod

1. „Vaša nam je privatnost važna. Upotrebljavamo kolačiće kako bismo poboljšali korisničko iskustvo. Molimo, pregledajte postavke privatnosti. Prihvatiti sve/Postavke. Provjerite našu politiku zaštite privatnosti i politiku kolačića” ( 2 ).

2. Slična poruka iskočit će prilikom posjeta bilo kojoj internetskoj stranici.

3. Posljedica je to Opće uredbe o zaštiti podataka (u daljnjem tekstu: GDPR) ( 3 ), koja je postala glavno sredstvo za zaštitu osobnih podataka u Europskoj uniji.

4. Iskače li GDPR i pred nacionalnim sudovima? Konkretnije, primjenjuje li se ta uredba na obveze otkrivanja u građanskom postupku pred nacionalnim sudom? Ako se primjenjuje, koje obveze iz nje proizlaze za te sudove? To su pitanja koja je Sud pozvan pojasniti u ovom predmetu.

II. Činjenice u glavnom postupku i prethodna pitanja

5. Ta su se pitanja pojavila u predmetu koji se vodi pred sudom koji je uputio zahtjev, Högsta domstolenom (Vrhovni sud, Švedska). Činjenice tog predmeta mogu se sažeti kako slijedi. Društvo Norra Stockholm Bygg AB (u daljnjem tekstu: Fastec), tužitelj u glavnom postupku, izgradilo je uredsku zgradu za društvo Per Nycander AB (u daljnjem tekstu: Nycander), tuženika u glavnom postupku. Zaposlenici koji su radili u okviru tog ugovora bilježili su svoju prisutnost u elektronički upisnik osoblja za porezne potrebe. Upisnik osoblja vodilo je društvo Entral AB, koje je djelovalo u ime društva Fastec.

6. Glavni postupak započeo je u vezi sa sporom o naknadi dugovanoj za obavljeni rad. Društvo Nycander osporava potraživanje društva Fastec (u iznosu nešto većem od 2 milijuna švedskih kruna, odnosno oko 190133 eura) te smatra da je ono na radove utrošilo manje vremena od onoga za koje traži plaćanje.

7. Kako bi dokazalo da je to tako, društvo Nycander zatražilo je od društva Entral da predoči upisnik koji je vodilo u ime društva Fastec. Društvo Fastec protivi se tom zahtjevu, ističući da bi se takvim otkrivanjem povrijedio GDPR jer su zatraženi podaci prikupljeni u drugu svrhu i ne mogu služiti kao dokaz u glavnom postupku.

8. Tingsrätt (Prvostupanjski sud, Švedska) naložio je društvu Entral da predoči upisnik, a tu je odluku Svea hovrätt (Žalbeni sud regije Svea, Stockholm, Švedska) potvrdio u žalbenom postupku.

9. Društvo Fastec podnijelo je žalbu protiv odluke Svea hovrätta (Žalbeni sud regije Svea, Stockholm) pred Högsta domstolenom (Vrhovni sud) te je od tog suda zatražilo da odbije zahtjev društva Nycander za otkrivanje ili, podredno, da naloži predočenje anonimizirane verzije upisnika osoblja. U okviru tog postupka Högsta domstolen (Vrhovni sud) uputio je Sudu zahtjev za prethodnu odluku sa sljedećim pitanjima: „1. Odnose li se odredbe članka 6. stavaka 3. i 4. [GDPR‑a] i na nacionalna postupovna pravila koja se tiču obveze otkrivanja? 2. U slučaju potvrdnog odgovora na prvo pitanje, podrazumijeva li [GDPR] obvezu da se prilikom donošenja odluke kojom se nalaže dostava dokumenta s osobnim podacima u obzir uzmu i interesi ispitanika? Ako je odgovor potvrdan, propisuju li se u pravu Unije uvjeti u pogledu načina donošenja takve odluke?”

10. Tijekom postupka pisana očitovanja Sudu podnijeli su društvo Fastec, češka, poljska i švedska vlada te Europska komisija. Na raspravi održanoj 27. lipnja 2022. društvo Nycander, poljska i švedska vlada te Komisija iznijeli su usmena očitovanja.

III. Pravni okvir

A. Pravo Unije

11. Člankom 5. GDPR‑a utvrđuju se načela koja svaka obrada osobnih podataka mora poštovati: „1. Osobni podaci moraju biti: (a) zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika (‚zakonitost, poštenost i transparentnost’); (b) prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama; daljnja obrada u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe, u skladu s člankom 89. stavkom 1. ne smatra se neusklađenom s prvotnim svrhama (‚ograničavanje svrhe’); (c) primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju (‚smanjenje količine podataka’); (d) točni i prema potrebi ažurni; mora se poduzeti svaka razumna mjera radi osiguravanja da se osobni podaci koji nisu točni, uzimajući u obzir svrhe u koje se obrađuju, bez odlaganja izbrišu ili isprave (‚točnost’); (e) čuvani u obliku koji omogućuje identifikaciju ispitanikâ samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju; osobni podaci mogu se pohraniti na dulja razdoblja ako će se osobni podaci obrađivati isključivo u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe u skladu s člankom 89. stavkom 1., što podliježe provedbi primjerenih tehničkih i organizacijskih mjera propisanih ovom Uredbom radi zaštite prava i sloboda ispitanika (‚ograničenje pohrane’); (f) obrađivani na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih ili organizacijskih mjera (‚cjelovitost i povjerljivost’); 2. Voditelj obrade odgovoran je za usklađenost sa stavkom 1. te je mora biti u mogućnosti dokazati (‚pouzdanost’).”

12. Članak 6. GDPR‑a, naslovljen „Zakonitost obrade”, u stavcima 1., 3. i 4. propisuje: „1. Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega: […] (c) obrada je nužna radi poštovanja pravnih obveza voditelja obrade; […] (e) obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade; […] 3. Pravna osnova za obradu iz stavka 1. točaka (c) i (e) utvrđuje se u: (a) pravu Unije; ili (b) pravu države članice kojem voditelj obrade podliježe. Svrha obrade određuje se tom pravnom osnovom ili, u pogledu obrade iz stavka 1. točke (e), mora biti nužna za izvršavanje zadaće od javnog interesa ili izvršavanje službene ovlasti voditelja obrade. Ta pravna osnova može sadržavati posebne odredbe kako bi se prilagodila primjena pravila ove Uredbe, među ostalim opće uvjete kojima se uređuje zakonitost obrade od strane voditelja obrade, vrste podataka koji su predmet obrade, dotične ispitanike, subjekte kojima se osobni podaci mogu otkriti i svrhe u koje se podaci mogu otkriti, ograničavanje svrhe, razdoblje pohrane te aktivnosti obrade i postupke obrade, uključujući mjere za osiguravanje zakonite i poštene obrade, kao i za druge posebne situacije obrade kako je navedeno u poglavlju IX. Pravom Unije ili pravom države članice mora se ostvariti cilj od javnog interesa te ono mora biti razmjerno zakonitom cilju koji se želi postići. 4. Ako se obrada u svrhu koja je različita od svrhe u koju su podaci prikupljeni ne temelji na privoli ispitanika ili na pravu Unije ili pravu države članice koje predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu ciljeva iz članka 23. stavka 1., voditelj obrade, s ciljem utvrđivanja je li obrada u drugu svrhu u skladu sa svrhom u koju su osobni podaci prvotno prikupljeni, uzima u obzir, među ostalim: (a) svaku vezu između svrha prikupljanja osobnih podataka i svrha namjeravanog nastavka obrade; (b) kontekst u kojem su prikupljeni osobni podaci, posebno u pogledu odnosa između ispitanikâ i voditelja obrade; (c) prirodu osobnih podataka, osobito činjenicu obrađuju li se posebne kategorije osobnih podataka u skladu s člankom 9. ili osobni podaci koji se odnose na kaznene osude i kažnjiva djela u skladu s člankom 10.; (d) moguće posljedice namjeravanog nastavka obrade za ispitanike; (e) postojanje odgovarajućih zaštitnih mjera, koje mogu uključivati enkripciju ili pseudonimizaciju.”

13. Osim toga, člankom 23. stavkom 1. GDPR‑a uređuju se ograničenja prava i obveza koji iz njega proizlaze: „1. Na temelju prava Unije ili prava države članice kojem podliježu voditelj obrade podataka ili izvršitelj obrade zakonskom mjerom može se ograničiti opseg obveza i prava iz članaka od 12. do 22. i članka 34. te članka 5. ako te odredbe odgovaraju pravima i obvezama predviđenima u člancima od 12. do 22., ako se takvim ograničenjem poštuje bit temeljnih prava i sloboda te ono predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu: […] (f) zaštite neovisnosti pravosuđa i sudskih postupaka; […]”

B. Švedsko pravo

14. Prvi stavak članka 2. poglavlja 38. rättegångsbalkena (Zakonik o sudskom postupku; u daljnjem tekstu: RB) predviđa da svaka osoba koja posjeduje pisani dokument za koji se može smatrati da ima dokaznu snagu mora predočiti taj dokument. Drugi stavak iste odredbe predviđa iznimke od takve obveze, uključujući odvjetnike, liječnike, psihologe, svećenike i ostale službenike kojima su informacije povjerene u okviru obavljanja njihovih zanimanja ili u sličnim situacijama. Članak 4. poglavlja 38. RB‑a sudu daje ovlast da naloži otkrivanje pisanog dokumenta kao dokaza.

15. Prema tvrdnjama suda koji je uputio zahtjev, kad razmatra treba li neka osoba biti obvezna predočiti dokument, sud mora odvagnuti relevantnost dokaza s interesom protivne stranke da se taj podatak ne otkrije. Međutim, kao što to objašnjava sud koji je uputio zahtjev, to ne uključuje uzimanje u obzir privatne prirode otkrivenih podataka.

IV. Analiza

A. Uvodne napomene

16. GDPR je glavni akt Europske unije kojim se uređuje zaštita fizičkih osoba u pogledu obrade njihovih osobnih podataka. Za razliku od svoje prethodnice, Direktive 95/46/EZ ( 4 ), GDPR je donesen na temelju članka 16. UFEU‑a ( 5 ). Ta pravna osnova ovlastila je zakonodavca Unije da osigura temeljno pravo na zaštitu osobnih podataka, predviđeno u članku 8. stavku 1. Povelje Europske unije o temeljnim pravima (u daljnjem tekstu: Povelja) ( 6 ).

17. Odgovornost za usklađenost s GDPR‑om prilikom obrade osobnih podataka tom je uredbom povjerena „voditelju obrade podataka” ( 7 ). Stoga je u svakom slučaju obrade osobnih podataka potrebno utvrditi tko je voditelj obrade podataka.

18. Prema članku 4. točki 7. GDPR‑a, voditelj obrade je fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje određuje svrhe i sredstva obrade osobnih podataka.

19. U ovom su slučaju provedene dvije odvojene obrade osobnih podataka. Prva obrada odnosi se na elektronički upisnik osoblja koji društvo Entral vodi u ime društva Fastec, pri čemu to potonje ima obvezu, predviđenu švedskim pravom, prikupljati podatke o radnim satima u porezne svrhe. U tom kontekstu društvo Fastec je voditelj obrade, a društvo Entral izvršitelj obrade ( 8 ).

20. Nije sporno da je ta prva obrada u skladu s GDPR‑om. Konkretnije, njegov članak 6. stavak 1. točka (c) omogućuje obradu osobnih podataka koja je nužna radi poštovanja pravnih obveza voditelja obrade, u ovom slučaju društva Fastec ( 9 ). Ako bi se ta prva obrada pokazala nezakonitom s obzirom na GDPR, obrada takvih podataka nakon promjene svrhe stoga bi također u svakom slučaju bila nezakonita ( 10 ).

21. Međutim, ovaj se predmet bavi drugom obradom (u promijenjene svrhe) istih podataka koji su prvotno prikupljeni u porezne svrhe. Nova je svrha Entralovo otkrivanje upisnika osoblja kao dokaza u građanskom postupku između društava Fastec i Nycander. Predočenje tog upisnika za uporabu u građanskom postupku nužno bi podrazumijevalo obradu osobnih podataka.

22. U toj drugoj obradi uloge predviđene GDPR‑om mijenjaju se u odnosu na prvu. Prije svega, time što društvu Entral izdaje nalog za predočenje upisnika osoblja (u daljnjem tekstu: nalog za otkrivanje), nacionalni sud je tijelo koje određuje svrhe i sredstva druge obrade podataka ( 11 ). Taj sud stoga postaje voditelj obrade podataka ( 12 ).

23. U toj drugoj obradi moglo bi se smatrati da je i društvo Fastec ostalo voditelj obrade ili pak da se njegova uloga promijenila: da je sada postalo primatelj podataka, zajedno s društvom Nycander ( 13 ). Međutim, ako je društvo Fastec i ostalo voditelj obrade, zajedno s nacionalnim sudom ( 14 ), to ni na koji način ne utječe na obveze nacionalnog suda kao voditelja obrade ( 15 ). Naposljetku, uloga društva Entral se ne mijenja. Ono ostaje izvršitelj obrade i nastavlja obrađivati iste osobne podatke, ali sada u ime novog voditelja obrade, nacionalnog suda.

24. Svojim prvim pitanjem sud koji je uputio zahtjev u biti pita može li nacionalni sud doista postati voditelj obrade na temelju GDPR‑a te nameće li u tom slučaju ta uredba zahtjeve u pogledu nacionalnog postupovnog zakonodavstva koje se odnosi na ovlasti i obveze sudova u građanskom postupku. Ako se GDPR primjenjuje i nacionalni sud jest voditelj obrade, sud koji je uputio zahtjev svojim drugim pitanjem pita kako bi takav sud trebao odlučiti o otkrivanju osobnih podataka kad trebaju poslužiti kao dokaz u građanskom postupku.

25. Kako bih odgovorila na pitanja suda koji je uputio zahtjev, postupit ću na sljedeći način. Najprije ću objasniti zašto smatram da se GDPR primjenjuje na građanske postupke pred sudovima država članica i kako to utječe na njihovo postojeće postupovno zakonodavstvo (B). Zatim ću razmotriti metodologiju koju nacionalni sudovi kao voditelji obrade podataka trebaju primijeniti kako bi ispunili zahtjeve iz GDPR‑a (C).

B. Opća uredba o zaštiti podataka primjenjuje se na građanske postupke pred nacionalnim sudovima i nadopunjuje postupovna pravila država članica

26. Svojim prvim pitanjem sud koji je uputio zahtjev u biti pita primjenjuje li se GDPR na građanske sudske postupke i koji je njegov utjecaj na relevantna postupovna pravila. Konkretnije, pita se utječe li na ona nacionalna pravila kojima se uređuju ovlasti i obveze sudova prilikom nalaganja otkrivanja dokaza u pisanom obliku. Na to ću pitanje odgovoriti u tri koraka.

1. Opća uredba o zaštiti podataka ne isključuje djelatnosti nacionalnih sudova u građanskom postupku

27. Materijalno područje primjene GDPR‑a određeno je u njegovu članku 2. stavku 1. te zauzima funkcionalan, a ne institucionalan pristup. Primjenjuje li se GDPR ovisi o odgovoru na pitanje što (djelatnost obrade osobnih podataka), a ne tko ( 16 ).

28. Situacije isključene iz područja primjene GDPR‑a, navedene u njegovu članku 2. stavku 2., također su po svojoj prirodi funkcionalne. S obzirom na to da predstavljaju iznimku od primjene GDPR‑a, Sud je smatrao da ih treba usko tumačiti ( 17 ).

29. Djelatnosti javnih tijela stoga nisu isključene iz područja primjene GDPR‑a kao takve, nego samo u vezi s djelatnostima navedenima u njegovu članku 2. stavku 2. ( 18 ). U tom pogledu, tom se odredbom iz materijalnog područja primjene GDPR‑a ne isključuju sudske djelatnosti u građanskom postupku.

30. Zaključak prema kojem se GDPR primjenjuje na sudske djelatnosti potvrđen je njegovom uvodnom izjavom 20. ( 19 ), prema kojoj se taj akt primjenjuje na aktivnosti sudova i drugih pravosudnih tijela ( 20 ).

31. Isključenje nadležnosti nadzornih tijela u odnosu na sudove kad oni obavljaju svoju sudbenu funkciju, navedeno u članku 55. stavku 3. GDPR‑a, ne utječe na prethodni zaključak. Upravo suprotno, ta odredba, prema mojem mišljenju, potvrđuje da sudovi, kad obavljaju svoju sudbenu funkciju, podliježu obvezama naloženima GDPR‑om. Njome se jamči njihova neovisnost i nepristranost, zabranjujući nadzornom tijelu nadzor nad njihovim postupcima obrade.

32. U ovom slučaju riječ je o obradi osobnih podataka koja ulazi u materijalno područje primjene GDPR‑a. Uspostava i vođenje elektroničkog upisnika osoblja odnose se na obradu osobnih podataka ( 21 ). Isto tako, nalog za otkrivanje takvih osobnih podataka u okviru građanskog postupka slučaj je obrade tih podataka ( 22 ). Stoga je situacija u glavnom postupku obuhvaćena materijalnim područjem primjene GDPR‑a.

33. Što to znači za primjenu nacionalnih postupovnih pravila, kao što je RB?

2. Nacionalno pravo uvjet je da bi obrada podataka nacionalnih sudova bila zakonita

34. Pravna osnova za donošenje naloga za otkrivanje o kojem je riječ u ovom predmetu jest RB.

35. GDPR‑om se doista zahtijeva da je u situaciji poput one u ovom slučaju pravna osnova obrade podataka pravo države članice (ili Unije) ( 23 ).

36. Prvotno prikupljeni i obrađeni u porezne svrhe, predmetni se podaci, na temelju naloga za otkrivanje u ovom predmetu, sada obrađuju u svrhu dokazivanja u sudskom postupku.

37. Člankom 6. stavkom 4. GDPR‑a omogućuje se promjena svrhe obrade podataka ako se temelji na pravu država članica koje predstavlja nužnu mjeru u demokratskom društvu za zaštitu ciljeva iz članka 23. stavka 1. te uredbe. Među tim ciljevima, u članku 23. stavku 1. točki (f) navodi se „zaštita neovisnosti pravosuđa i sudskih postupaka”.

38. Svi sudionici u ovom zahtjevu za prethodnu odluku slažu se da je članak 23. stavak 1. točka (f) GDPR‑a prikladna odredba za opravdanje promjene svrhe obrade podataka na temelju RB‑a ( 24 ).

39. RB ovlašćuje nacionalne sudove da nalože otkrivanje dokumenata ako oni imaju dokaznu snagu u građanskom postupku. Kao što sam to već objasnila, ako dokument koji treba otkriti sadržava osobne podatke, sud koji nalaže takvo otkrivanje postaje voditelj obrade na temelju GDPR‑a.

40. Kao što je to Komisija naglasila na raspravi, nacionalni sud samo je u određenoj mjeri obični voditelj obrade. Naime, nacionalni sudovi mogu obrađivati podatke samo u izvršavanju svoje službene ovlasti.

41. Kad se obrada podataka odvija u okviru izvršavanja službene ovlasti ( 25 ), člankom 6. stavkom 3. GDPR‑a zahtijeva se da se ona temelji na pravu Unije ili država članica.

42. Prema tome, i članak 6. stavak 4. GDPR‑a (kojim se odobrava promjena svrhe obrade) kao i njegov članak 6. stavak 3. (kojim se odobrava obrada podataka u izvršavanju službene ovlasti) zahtijevaju postojanje nacionalnog prava (ili prava Unije) kao pravne osnove za obradu ( 26 ).

43. Postojanje ovlasti suda da usvoji nalog za otkrivanje na temelju RB‑a stoga je nužan uvjet za zakonitost obrade o kojoj je riječ.

3. Opća uredba o zaštiti podataka dopunjuje nacionalna postupovna pravila

44. Ako postoji pravna osnova koja se zahtijeva GDPR‑om i ako je nalog koji podrazumijeva obradu osobnih podataka donesen u skladu s pravom države članice, jesu li ispunjeni zahtjevi GDPR‑a u pogledu zakonitosti obrade?

45. Prema mojem mišljenju, postojanje pravne osnove u nacionalnom pravu, iako nužno, nije dovoljno da bi nalog za otkrivanje bio u skladu s GDPR‑om.

46. Sud koji je uputio zahtjev objasnio je da se na temelju RB‑a prilikom donošenja odluka o otkrivanju dokaza u načelu ne uzima u obzir privatni karakter podataka. Sudovi su dužni uzeti u obzir interese dviju protivnih stranaka, ali sâm zakon ne spominje nikakvu ulogu interesa ispitanikâ.

47. Je li RB neusklađen s GDPR‑om zbog toga što izričito ne obvezuje sudove da, kad postanu voditelji obrade podataka, uzmu u obzir interese ispitanika prilikom donošenja odluka koje mogu utjecati na njihove osobne podatke?

48. Smatram da nije. Valja uzeti u obzir činjenicu da različiti nacionalni akti koji služe kao pravne osnove za obradu podataka nisu bili doneseni posebno za provedbu GDPR‑a, nego imaju vlastite svrhe. Osim toga, GDPR je izravno primjenjiv u pravnim porecima država članica i ne zahtijeva provedbu. Stoga je važno da na sjecištu nacionalnih postupovnih pravila i GDPR‑a ta pravila ostavljaju prostor za istodobnu primjenu te uredbe.

49. Švedska vlada na raspravi je potvrdila da RB ne zahtijeva od sudova, ali im ni ne zabranjuje, da uzmu u obzir interese ispitanikâ. Stoga taj zakonik ne sprečava izravnu primjenu GDPR‑a na njime uređen sudski postupak.

50. Nacionalni sudovi stoga usporedno podliježu domaćim postupovnim pravilima i GDPR‑u, pri čemu on dopunjuje nacionalna pravila ako postupovne radnje sudova podrazumijevaju obradu osobnih podataka.

51. Zaključno, nacionalno zakonodavstvo ne treba izričito upućivati na GDPR niti obvezivati sudove da uzimaju u obzir interese ispitanikâ. Dovoljno je da se takvim zakonodavstvom omogućuje dodatna primjena GDPR‑a. Samo ako to ne bi bio slučaj, nacionalni akt bio bi protivan GDPR‑u. Međutim, čini se da se RB‑om omogućuje dodatna primjena GDPR‑a ( 27 ).

52. U odgovoru na prvo pitanje suda koji je uputio zahtjev, stoga zaključujem da članak 6. stavci 3. i 4. GDPR‑a nameće zahtjeve u pogledu nacionalnog postupovnog zakonodavstva koje se odnosi na obveze otkrivanja uvijek kad otkrivanje podrazumijeva obradu osobnih podataka. Nacionalno postupovno zakonodavstvo ne može u takvom slučaju onemogućiti uzimanje u obzir interesâ ispitanikâ. Ti interesi bit će zaštićeni ako nacionalni sudovi poštuju pravila GDPR‑a kad odlučuju o otkrivanju dokaza u pisanom obliku u pojedinom slučaju.

C. Obveze nacionalnog suda u vezi s interesima ispitanikâ

53. Kao subjekti GDPR‑a, nacionalni sudovi kao voditelji obrade podataka moraju uzeti u obzir interese ispitanikâ. Kako te interese treba uzeti u obzir prilikom donošenja konkretne odluke o otkrivanju? To je bit drugog pitanja suda koji je uputio zahtjev.

1. Proporcionalnost

54. Interesi ispitanikâ bit će zaštićeni kad je obrada njihovih osobnih podataka u skladu s člancima 5. i 6. GDPR‑a ( 28 ). Kao što je to naglasio nezavisni odvjetnik P. Pikamäe, poštovanjem članaka 5. i 6. GDPR‑a osigurava se zaštita prava na privatni i obiteljski život kao i zaštita osobnih podataka, kako su zajamčene člancima 7. i 8. Povelje ( 29 ).

55. Legitimni ciljevi obrade navedeni su u članku 6. GDPR‑a ( 30 ). Kao što je to objašnjeno u prethodnom odjeljku ovog mišljenja, predmetna obrada ima zakonitu svrhu, s obzirom na to da je sud izvršio svoju službenu ovlast time što je naložio otkrivanje na temelju nacionalnog prava koje omogućuje osiguranje dobrog odvijanja sudskog postupka. Međutim, i članak 6. i članak 5. GDPR‑a zahtijevaju ne samo legitiman cilj nego i da je određena obrada nužna kako bi se postigao taj cilj.

56. GDPR‑om se stoga zahtijeva da sud provede analizu proporcionalnosti kad određuje je li otkrivanje osobnih podataka u konkretnoj situaciji nužno radi dokazivanja u okviru sudskog postupka ( 31 ).

57. U tom pogledu, članak 6. stavak 4. GDPR‑a zahtijeva da je nacionalno pravo na kojem se temelji promjena svrhe obrade nužna i proporcionalna mjera za jamčenje jednog od ciljeva navedenih u članku 23. stavku 1. GDPR‑a, u ovom slučaju zaštite neovisnosti pravosuđa i sudskih postupaka. Usto, članak 6. stavak 3. GDPR‑a zahtijeva da je obrada u izvršavanju službene ovlasti nužna za izvršavanje službene ovlasti voditelja obrade.

58. Nacionalno zakonodavstvo na kojem se temelji obrada može in abstracto biti u skladu sa zahtjevima iz članka 6. stavaka 3. i 4. GDPR‑a. Ipak, zakonitost svake pojedinačne obrade (uključujući poseban sudski nalog za otkrivanje) ovisi o konkretnom odvagivanju svih postojećih interesa, uzimajući u obzir legitiman cilj zbog kojeg se otkrivanje zahtijeva ( 32 ). Samo na taj način nacionalni sud može odlučiti je li i u kojoj mjeri otkrivanje podataka nužno.

59. Stoga je jasno da se GDPR‑om zahtijeva analiza proporcionalnosti. Nudi li on kakvu dodatnu pomoć u odgovoru na pitanje koje konkretne mjere sud treba poduzeti u okviru takve analize?

2. Konkretne mjere koje nacionalni sud treba poduzeti

60. Analizu proporcionalnosti, kao što je to objašnjeno, treba provesti u svakom pojedinom slučaju, uzimajući u obzir sve uključene interese. U situacijama kao što je ona u predmetnom slučaju interesi koji podupiru otkrivanje moraju se odvagnuti sa zadiranjem u pravo na zaštitu osobnih podataka ( 33 ).

61. Interesi koji podupiru otkrivanje odraz su prava na djelotvornu sudsku zaštitu (članak 47. Povelje). Interesi ispitanikâ, s kojima je navedeno pravo u sukobu, odraz su prava na privatni i obiteljski život (članak 7. Povelje) i prava na zaštitu osobnih podataka (članak 8. Povelje). Upravo ta prava valja odvagnuti kako bi se odlučilo je li otkrivanje osobnih podataka nužno.

62. U razmatranjima koja slijede iznijet ću određene prijedloge u vezi s konkretnim koracima koje bi nacionalni sud trebao poduzeti.

63. Prije svega, može se pretpostaviti da su interesi ispitanika koji nisu dali svoju privolu za obradu uvijek takvi da žele ograničiti obradu svojih osobnih podataka. Stoga je to uvijek početna pozicija nacionalnog suda: opravdati zašto bi trebalo zadirati u te interese.

64. Stajališta sam da članak 5. GDPR‑a, koji sadržava načela koja voditelj obrade mora poštovati prilikom obrade osobnih podataka, nudi i upute za provedbu te procjene.

65. U tom je pogledu ključno načelo smanjenja količine podataka, koje proizlazi iz članka 5. stavka 1. točke (c) GDPR‑a. Taj je zahtjev, kao što je to Sud istaknuo ( 34 ), izraz proporcionalnosti. Njime se zahtijeva da su osobni podaci primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju.

66. Prvo je pitanje koje treba postaviti, dakle, jesu li podaci iz upisnika osoblja koji drži društvo Entral primjereni. Oni će biti primjereni u odnosu na svrhu za koju trebaju biti otkriveni ako doista pokazuju broj radnih sati koje su zaposlenici društva Fastec proveli na gradilištu.

67. Drugo pitanje koje treba postaviti odnosi se na to jesu li podaci iz upisnika osoblja koji drži društvo Entral relevantni za svrhu za koju se zahtijevaju. Čini se da je ta svrha interes društva Nycander da dokaže svoju tvrdnju prema kojoj su zaposlenici društva Fastec radili manje sati nego što je to navedeno na računu. U takvim bi okolnostima upisnik osoblja bio relevantan ako se njime može dokazati ili pobiti takva tvrdnja. Nacionalni sud mora ocijeniti njegovu relevantnost s obzirom na druge okolnosti slučaja (primjerice, tvrdnju društva Fastec prema kojoj upisnik osoblja sadržava samo dio relevantnih radnih sati, a ostatak je proveden izvan gradilišta).

68. Kako bi ispunio treći zahtjev smanjenja količine podataka, nacionalni sud mora provjeriti jesu li svi ili samo neki podaci iz upisnika dovoljni za dokazne svrhe. Usto, ako postoje drugi načini dokazivanja iste činjenice, smanjenje količine podataka zahtijeva da se primijene ti drugi načini. Primjerice, moglo bi biti potrebno da nacionalni sud ocijeni tvrdnju društva Fastec prema kojoj se stvarni radni sati mogu provjeriti na temelju dokumenata koji su već dio spisa glavnog postupka. Ako utvrdi da je ta tvrdnja točna, nacionalni sud ne može naložiti otkrivanje osobnih podataka iz upisnika osoblja.

69. Nacionalni sud treba utvrditi koje su vrste osobnih podataka iz upisnika dovoljne za dokazivanje ili osporavanje relevantnih činjenica. U tom pogledu, načelo smanjenja količine podataka zahtijeva da se otkriju samo podaci koji su strogo nužni za predmetnu svrhu. Stoga bi se moglo pokazati potrebnim da društvo Entral, kao izvršitelj obrade, izmijeni upisnik osoblja tako da se osobni podaci ograniče na najmanju potrebnu mjeru, omogućujući pritom zaključak o stvarno odrađenim satima.

70. U tom pogledu, nacionalni sud mora provjeriti je li nužno da se osobe čiji se podaci nalaze u upisniku mogu identificirati kako bi otkrivanje imalo dokaznu snagu (primjerice, je li nužno imenovati pojedine radnike kako bi ih se pozvalo da svjedoče). U protivnom, može biti dovoljno raspolagati podacima o ukupnom broju sati provedenih na gradilištu i/ili broju osoba koje su radile u tim satima.

71. Ovisno o odgovorima na prethodna pitanja, sud može odlučiti zatražiti otkrivanje pseudonimiziranih ili anonimiziranih podataka ( 35 ).

72. Na temelju uvodne izjave 26. GDPR‑a, podaci koji su pseudonimizirani ostaju obuhvaćeni njegovim materijalnim područjem primjene. To je tako jer je i dalje moguće utvrditi identitet osobe koja stoji iza pseudonima. To ne vrijedi za anonimizirane podatke, koji nisu obuhvaćeni njegovim područjem primjene. Način otkrivanja koji na kraju naloži nacionalni sud stoga će također utjecati na kasniju primjenjivost GDPR‑a ( 36 ).

73. U konačnici, na nacionalnom je sudu da utvrdi dokaznu snagu različitih verzija upisnika osoblja kako bi odlučio koja je vrsta smanjenja količine podataka, ako ikoja, nužna za uspješan dovršetak sudskog postupka koji se pred njim vodi.

74. Uz načelo smanjenja količine podataka iz članka 5. stavka 1. točke (c) GDPR‑a, i druga načela sadržana u njegovu članku 5. obvezuju nacionalni sud te su relevantna za način donošenja naloga za otkrivanje.

75. Primjerice, u članku 5. stavku 1. točki (a) GDPR‑a, osim upućivanja na načelo zakonitosti (dodatno razrađeno u njegovu članku 6.), također se spominje načelo transparentnosti. Prema mojem mišljenju, to načelo zahtijeva da nacionalni sud jasno obrazloži svoju odluku o nalaganju otkrivanja osobnih podataka, objašnjavajući, među ostalim, kako je odvagnuo različite interese i argumente stranaka koji se odnose na otkrivanje.

76. Pravilno obrazloženje naloga za otkrivanje također udovoljava zahtjevu iz članka 5. stavka 2. GDPR‑a, kojim se zahtijeva da je voditelj obrade u mogućnosti dokazati usklađenost s načelima iz članka 5. stavka 1. te uredbe.

77. Način usklađivanja s načelima iz članka 5. GDPR‑a može se također iščitati iz njegove uvodne izjave 31. Njome se zahtijeva da bi „zahtjevi za otkrivanje koje šalju tijela javne vlasti trebali uvijek biti u pisanom obliku, obrazloženi i povremeni i ne bi se trebali odnositi na čitav sustav pohrane ili dovesti do međupovezanosti sustavâ pohrane”.

78. Poljska vlada izrazila je zabrinutost u pogledu ocjene proporcionalnosti koju provodi nacionalni sud: ako nacionalni sud mora ocijeniti dokaznu snagu upisnika osoblja ili nekog drugog dokaza u sporu koji se pred njim vodi, ne postaje li on već previše uključen u ono što bi trebalo ostati uloga stranaka, odnosno pokušaj pobjede u raspravi o samoj dokaznoj snazi takvih dokaza?

79. Prema mojem mišljenju, ocjena dokazne snage kojom se uzima u obzir interes ispitanikâ ne podrazumijeva više zadiranja u slučaj nego što to podrazumijeva ocjena dokazne snage bilo kojeg drugog dokaza u građanskom postupku ( 37 ).

80. Stupanj zadiranja nacionalnog suda ovisit će o tome koliko je očita dokazna snaga podataka čije se otkrivanje zahtijeva u okolnostima svakog pojedinog slučaja. Uvijek će o okolnostima pojedinog slučaja ovisiti u kojoj mjeri otkrivanje može zadirati u interese ispitanikâ.

81. Primjerice, neki predmeti mogu uključivati osjetljive podatke na koje se primjenjuje poseban sustav zaštite na temelju članka 9. GDPR‑a ili podatke o kaznenim sankcijama na koje se odnosi njegov članak 10. U takvim slučajevima interes ispitanikâ nužno će imati veću važnost u okviru odvagivanja ( 38 ). Isto tako, interes za otkrivanje može se razlikovati u svakom pojedinom slučaju. Katkad je jasno da je relevantnost zatraženih dokaza manje važna, a u drugim slučajevima oni će biti ključni za rješavanje spora. U tom pogledu, Komisija je pravilno istaknula da nacionalni sud prilikom donošenja takvih ocjena mora raspolagati širokom marginom prosudbe. Ipak, on nikad ne bi trebao biti oslobođen obveze uzimanja u obzir interesa ispitanikâ.

82. Češka vlada izrazila je zabrinutost i u vezi sa sljedećim: nametanje nacionalnim sudovima obveza uzimanja u obzir interesa ispitanikâ svaki put kad smatraju potrebnim naložiti otkrivanje pisanih dokaza predstavljalo bi prepreku urednom funkcioniranju sudskih postupaka. Istina je da GDPR doista za sudove uvodi dodatnu obvezu ( 39 ) da provedu ocjenu proporcionalnosti prije nego što nalože otkrivanje pisanih dokaza koji sadržavaju osobne podatke. Međutim, niti odvagivanje interesa predstavlja neuobičajen intelektualni napor za sudove, niti je opterećenje koje nacionalni sudovi imaju različito od onoga koje je GDPR‑om nametnuto bilo kojem voditelju obrade podataka.

83. Ako, u skladu s izborom zakonodavca Unije izraženom u GDPR‑u, treba postojati visoka razina zaštite osobnih podataka građana Unije, uzimanje u obzir interesa ispitanikâ ne može se smatrati pretjeranim opterećenjem za sudove država članica.

84. Stoga predlažem Sudu da na drugo pitanje suda koji je uputio zahtjev odgovori kako slijedi: kad odlučuje o nalogu za otkrivanje u građanskom postupku koji podrazumijeva obradu osobnih podataka, nacionalni sud mora provesti analizu proporcionalnosti kojom se uzimaju u obzir interesi ispitanikâ čiji se osobni podaci obrađuju, koji se odvaguju s interesima stranaka u postupku da dođu do dokaza. Ta ocjena proporcionalnosti vodi se načelima navedenima u članku 5. GDPR‑a, među kojima je i načelo smanjenja količine podataka.

V. Zaključak

85. S obzirom na sva prethodna razmatranja, predlažem Sudu da na dva pitanja koja je uputio Högsta domstolen (Vrhovni sud, Švedska) odgovori na sljedeći način: 1. Članak 6. stavci 3. i 4. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) nameće zahtjeve u pogledu nacionalnog postupovnog zakonodavstva koje se odnosi na obveze otkrivanja uvijek kad otkrivanje podrazumijeva obradu osobnih podataka. Nacionalno postupovno zakonodavstvo ne može u takvom slučaju onemogućiti uzimanje u obzir interesâ ispitanikâ. Ti interesi bit će zaštićeni ako nacionalni sudovi poštuju pravila Uredbe 2016/679 kad odlučuju o otkrivanju dokaza u pisanom obliku u pojedinom slučaju. 2. Kad odlučuje o nalogu za otkrivanje u građanskom postupku koji podrazumijeva obradu osobnih podataka, nacionalni sud mora provesti analizu proporcionalnosti kojom se uzimaju u obzir interesi ispitanikâ čiji se osobni podaci obrađuju, koji se odvaguju s interesima stranaka u postupku da dođu do dokaza. Ta ocjena proporcionalnosti vodi se načelima navedenima u članku 5. Uredbe 2016/679, među kojima je i načelo smanjenja količine podataka.

( 1 ) Izvorni jezik: engleski

( 2 ) Ova se poruka na engleskom jeziku pojavljuje na adresi https://eulawlive.com/.

( 3 ) Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.)

( 4 ) Direktiva Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.). Direktiva 95/46 donesena je na pravnoj osnovi unutarnjeg tržišta. Za prvu analizu izmjena uvedenih GDPR‑om vidjeti Van Alsenoy, B., „Liability under EU Data Protection Law. From Directive 95/46 to the General Data Protection Regulation”, Journal of Intellectual Property, Information Technology and Electronic Commerce Law, sv. 7., 2016., str. 271.‑288.

( 5 ) Unatoč razlici u pravnom temelju, sudska praksa o tumačenju Direktive 95/46 relevantna je za razumijevanje GDPR‑a. Vidjeti u tom pogledu presudu od 17. lipnja 2021., M. I. C. M. (C‑597/19, EU:C:2021:492, t. 107.). Stoga ću se, kad je to relevantno, pozivati na sudsku praksu Suda koja se odnosi na Direktivu 95/46. Isto tako, u mjeri u kojoj se njome nude rješenja slična ograničenjima prava na zaštitu podataka, pozivat ću se i na sudsku praksu Suda koja se odnosi na Direktivu 2002/58/EZ Europskog parlamenta i Vijeća od 12. srpnja 2002.o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama) (SL 2002., L 201, str. 37.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 52., str. 111.). Sud je smatrao da se tumačenje ograničenja prava koja proizlaze iz Direktive 2002/58 mutatis mutandis primjenjuje na tumačenje GDPR‑a. Vidjeti u tom smislu presudu od 6. listopada 2020., La Quadrature du Net i dr. (C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 209. do 211.).

( 6 ) Vidjeti uvodnu izjavu 1. GDPR‑a.

( 7 ) Vidjeti članak 5. stavak 2. GDPR‑a.

( 8 ) U članku 4. točki 8. GDPR‑a izvršitelj obrade definiran je kao „fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje obrađuje osobne podatke u ime voditelja obrade”.

( 9 ) U skladu s člankom 6. stavkom 3. GDPR‑a, kada se obrada provodi radi poštovanja pravnih obveza voditelja obrade, ta pravna osnova mora biti utvrđena pravom Unije ili pravom države članice kojim se ostvaruje cilj od javnog interesa te koje je razmjerno zakonitom cilju koji se želi postići. Usklađenost s nacionalnim poreznim propisima smatralo se legitimnim ciljem u presudi od 16. siječnja 2019., Deutsche Post (C‑496/17, EU:C:2019:26, t. 60. do 63.).

( 10 ) Vidjeti u tom pogledu presudu od 2. ožujka 2021., Prokuratuur (Uvjeti pristupa podacima o elektroničkim komunikacijama) (C‑746/18, EU:C:2021:152, t. 44.).

( 11 ) Određenje svrhe i sredstava obrade osobnih podataka ključna je aktivnost na temelju koje se određuje tko je voditelj obrade. Vidjeti presudu od 10. srpnja 2018., Jehovan todistajat (C‑25/17, EU:C:2018:551, t. 68.). Vidjeti također Bygrave, L. A. i Tossoni, L., „Article 4(7). Controller”, u Kuner, C., Bygrave, L. A., Docksey, C. i Drechsler, L. (ur.), The EU General Data Protection Regulation (GDPR): A Commentary, OUP, Oxford, 2021., na str. 150.

( 12 ) Poljska i švedska vlada te Komisija na raspravi su se složile da ta uloga sada pripada nacionalnom sudu. Društvo Nycander je tvrdilo da društvo Fastec u drugoj obradi ostaje jedini voditelj obrade, dok nacionalni sud ima ulogu posrednika. Valja istaknuti da se pojam „posrednik” ne upotrebljava nigdje u GDPR‑u.

( 13 ) U članku 4. točki 9. GDPR‑a primatelj je definiran kao fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo kojem se otkrivaju osobni podaci, neovisno o tome je li on treća strana. Kao stranke u građanskom postupku, i društvo Fastec i društvo Nycander postaju primatelji podataka obrađenih na temelju sudskog naloga za otkrivanje. Komisija je na raspravi tvrdila da društvo Fastec ostaje voditelj obrade, a ne da je postalo primatelj.

( 14 ) Članak 26. stavak 1. GDPR‑a određuje: „Ako dvoje ili više voditelja obrade zajednički odrede svrhe i načine obrade, oni su zajednički voditelji obrade. Oni na transparentan način određuju svoje odgovornosti za poštovanje obveza iz ove Uredbe, osobito s obzirom na ostvarivanje prava ispitanika i svojih dužnosti u pogledu pružanja informacija iz članaka 13. i 14., te to čine međusobnim dogovorom, osim ako su odgovornosti voditeljâ obrade utvrđene pravom Unije ili pravom države članice kojem voditelji obrade podliježu i u mjeri u kojoj su one utvrđene. Dogovorom se može odrediti kontaktna točka za ispitanike”. Vidjeti također presudu od 29. srpnja 2019., Fashion ID (C‑40/17, EU:C:2019:629, t. 67.).

( 15 ) Sud je pojasnio da je pojam voditelja obrade širok i da različiti subjekti mogu biti uključeni u različite faze obrade. Presuda od 29. srpnja 2019., Fashion ID (C‑40/17, EU:C:2019:629, t. 70.).

( 16 ) To potonje pitanje samo je iznimno relevantno. Primjerice, na temelju njegova članka 2. stavka 3., na institucije, tijela, urede i agencije Unije ne primjenjuje se GDPR. Ipak, na njih se primjenjuje Uredba (EZ) br. 45/2001 Europskog parlamenta i Vijeća od 18. prosinca 2000. o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama i tijelima Zajednice i o slobodnom kretanju takvih podataka (SL 2001., L 8, str. 1.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 34., str. 6.).

( 17 ) Vidjeti presudu od 9. srpnja 2020., Land Hessen (C‑272/19, EU:C:2020:535, t. 68.).

( 18 ) Članak 2. stavak 2. GDPR‑a određuje: „Ova se Uredba ne odnosi na obradu osobnih podataka: (a) tijekom djelatnosti koja nije obuhvaćena opsegom prava Unije; (b) koju obavljaju države članice kada obavljaju aktivnosti koje su obuhvaćene područjem primjene glave V. poglavlja 2. UEU‑a; (c) koju provodi fizička osoba tijekom isključivo osobnih ili kućnih aktivnosti; (d) koju obavljaju nadležna tijela u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihova sprečavanja.”

( 19 ) Uvodna izjava 20. GDPR‑a glasi: „Iako se ova Uredba primjenjuje, među ostalim, na aktivnosti sudova i drugih pravosudnih tijela, u pravu Unije ili pravu države članice moglo bi se odrediti radnje i postupke obrade u vezi s obradom osobnih podataka koju obavljaju sudovi i druga pravosudna tijela. Nadležnost nadzornih tijela ne bi smjela obuhvaćati obradu osobnih podataka kada sudovi djeluju u sudbenom svojstvu kako bi se zaštitila neovisnost pravosuđa u obavljanju njegovih sudskih zadaća, među ostalim u donošenju odluka. Trebalo bi biti moguće povjeriti nadzor takvih radnji obrade podataka posebnim tijelima u okviru pravosudnog sustava države članice, koja bi posebno trebala osigurati sukladnost s pravilima ove Uredbe, promicati svijest djelatnika u pravosuđu o njihovim obvezama na temelju ove Uredbe i rješavati pritužbe u vezi s takvom obradom osobnih podataka.”

( 20 ) Vidjeti u tom pogledu presudu od 24. ožujka 2022., Autoriteit Persoonsgegevens (C‑245/20, EU:C:2022:216, t. 25. i 26.).

( 21 ) Sud je u presudi od 30. svibnja 2013., Worten (C‑342/12, EU:C:2013:355, t. 19.) potvrdio da konkretno evidencije radnog vremena čine osobne podatke.

( 22 ) Prijenos dokumenata sudu u okviru građanskog postupka u mišljenju nezavisnog odvjetnika M. Camposa Sánchez‑Bordone u predmetu Inspektor v Inspektorata kam Visshia sadeben savet (Svrha obrade osobnih podataka – Kaznena istraga) (C‑180/21, EU:C:2022:406, t. 82. i 83.) smatralo se obradom osobnih podataka. U trenutku objave ovog mišljenja taj je predmet još uvijek u tijeku pred Sudom.

( 23 ) U kontekstu Direktive 2002/58 Sud je smatrao da ona ne isključuje mogućnost da države članice predvide obvezu otkrivanja osobnih podataka u okviru građanskog postupka. Vidjeti u tom pogledu presudu od 29. siječnja 2008., Promusicae (C‑275/06, EU:C:2008:54, t. 53.). Prema mojem mišljenju, isto vrijedi i za GDPR.

( 24 ) Osim toga, Komisija smatra da bi se drugi razlog koji opravdava promjenu svrhe obrade podataka u ovom slučaju mogao pronaći u članku 23. stavku 1. točki (i) GDPR‑a („zaštita ispitanika ili prava i sloboda drugih”). Poljska vlada istaknula je članak 23. stavak 1. točku (j) GDPR‑a („ostvarivanje potraživanja u građanskim sporovima”).

( 25 ) Obrada u izvršavanju službene ovlasti omogućena je člankom 6. stavkom 1. točkom (e) GDPR‑a.

( 26 ) Obrada se također može temeljiti na privoli ispitanika. To, međutim, nije slučaj u ovom predmetu.

( 27 ) U podjeli nadležnosti između Suda i sudova država članica u okviru prethodnog postupka, na nacionalnom je sudu da odluči je li to doista tako.

( 28 ) Presude od 16. siječnja 2019., Deutsche Post (C‑496/17, EU:C:2019:26, t. 57.) i od 6. listopada 2020., La Quadrature du Net i dr. (C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 208.). Sud je već prije isto to zaključio u pogledu Direktive 95/46. Vidjeti, primjerice, presude od 20. svibnja 2003., Österreichischer Rundfunk i dr. (C‑465/00, C‑138/01 i C‑139/01, EU:C:2003:294, t. 65.) i od 13. svibnja 2014., Google Spain i Google (C‑131/12, EU:C:2014:317, t. 71.).

( 29 ) Mišljenje nezavisnog odvjetnika P. Pikamäea u predmetu Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2021:991, t. 36.)

( 30 ) Sud je utvrdio da je popis situacija zakonite obrade podataka iz članka 6. GDPR‑a iscrpan i ograničen. Vidjeti presudu od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi) (C‑439/19, EU:C:2021:504, t. 99.). U kontekstu Direktive 95/46 Sud je u presudama od 4. svibnja 2017., Rīgas satiksme (C‑13/16, EU:C:2017:336, t. 25.) i od 11. prosinca 2019., Asociaţia de Proprietari bloc M5A‑ScaraA (C‑708/18, EU:C:2019:1064, t. 37. i 38.) zauzeo isti pristup u pogledu zakonitosti obrade.

( 31 ) Vidjeti također uvodnu izjavu 39. GDPR‑a, koja određuje da: „[…] osobni podaci trebali bi biti primjereni, bitni i ograničeni na ono što je nužno za svrhe u koje se podaci obrađuju. […] Osobni podaci trebali bi se obrađivati samo ako se svrha obrade opravdano ne bi mogla postići drugim sredstvima.”

( 32 ) Sud je pojasnio da odvagivanje ovisi o posebnim okolnostima konkretnog slučaja. Vidjeti u tom pogledu presudu od 4. svibnja 2017., Rīgas satiksme (C‑13/16, EU:C:2017:336, t. 31.). Vidjeti presudu od 19. prosinca 2020., Asociaţia de Proprietari bloc M5A‑ScaraA (C‑708/18, EU:C:2020:104, t. 32.).

( 33 ) Vidjeti po analogiji presudu od 9. studenoga 2010., Volker und Markus Schecke i Eifert (C‑92/09 i C‑93/09, EU:C:2010:662, t. 77.).

( 34 ) Vidjeti presudu od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi) (C‑439/19, EU:C:2021:504, t. 98.).

( 35 ) Naime, društvo Fastec zahtijeva od suda koji je uputio zahtjev da odbije zahtjev društva Nycander za predočenje upisnika osoblja ili, podredno, da se upisnik osoblja predoči tek nakon anonimizacije. Komisija je, oslanjajući se na načelo smanjenja količine podataka i pozivajući se na članak 25. stavak 1. GDPR‑a, predložila da bi rješenje također moglo biti predočenje pseudonimizirane verzije upisnika osoblja.

( 36 ) Primjerice, anonimiziranje upisnika oslobađa voditelja obrade podataka obveze obavješćivanja ispitanikâ o obradi, koja bi se uobičajeno zahtijevala na temelju članka 14. GDPR‑a.

( 37 ) Kao što je to objasnio sud koji je uputio zahtjev, na temelju RB‑a sudovi su već dužni odvagivati relevantnost dokaza s interesom protivne stranke da se ti podaci ne otkriju.

( 38 ) Prema ustaljenoj sudskoj praksi u kontekstu Direktive 2002/58, što je veće zadiranje u pravo na zaštitu podataka, to mora biti važniji cilj od općeg interesa koji se želi postići. Presude od 21. prosinca 2016., Tele2 Sverige i Watson i dr. (C‑203/15 i C‑698/15, EU:C:2016:970, t. 115.); od 2. listopada 2018., Ministerio Fiscal (C‑207/16, EU:C:2018:788, t. 55.); od 6. listopada 2020., La Quadrature du Net i dr. (C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 131.) i od 2. ožujka 2021., Prokuratuur (Uvjeti pristupa podacima o elektroničkim komunikacijama) (C‑746/18, EU:C:2021:152, t. 32.).

( 39 ) U onim pravnim porecima čijim se postupovnim pravilima prethodno nije zahtijevala takva ocjena.