GENERALINĖS ADVOKATĖS

TAMARA ĆAPETA IŠVADA,

pateikta 2022 m. spalio 6 d. ( 1 )

Byla C‑268/21

Norra Stockholm Bygg AB

prieš

Per Nycander AB,

dalyvaujant

Entral AB

(Högsta domstolen (Aukščiausiasis Teismas, Švedija) prašymas priimti prejudicinį sprendimą)

„Prašymas priimti prejudicinį sprendimą – Reglamentas (ES) 2016/679 – Asmens duomenų apsauga – 6 straipsnio 3 ir 4 dalys – Asmens duomenų tvarkymas – 23 straipsnio 1 dalies f punktas – Teismų nepriklausomumo ir teismo proceso apsauga – Kitos kasacinio proceso šalies prašymas civilinėje byloje įpareigoti kasatorę pateikti informaciją apie jos darbuotojų dirbtą laiką“

I. Įžanga

1. „Mums svarbus jūsų privatumas. Siekdami pagerinti vartotojų patirtį, naudojame slapukus. Prašome peržiūrėti privatumo parinktis. Leisti visus / Nustatymai. Susipažinkite su mūsų privatumo ir slapukų politika.“ ( 2 )

2. Lankantis bet kurioje interneto svetainėje, pasirodo panašus pranešimas.

3. Tai – Bendrojo duomenų apsaugos reglamento (toliau – BDAR) ( 3 ), kuris tapo pagrindine asmens duomenų apsaugos priemone Europos Sąjungoje, rezultatas.

4. Ar BDAR „pasirodo“ ir nacionaliniams teismams? Konkrečiau kalbant, ar jis taikomas įpareigojimui atskleisti duomenis nagrinėjant civilinę bylą nacionaliniame teisme? Jeigu taip – kokias pareigas jis sukuria šiems teismams? Šiuos klausimus Teisingumo Teismo prašoma išaiškinti šioje byloje.

I. Pagrindinės bylos faktinės aplinkybės ir prejudiciniai klausimai

5. Šie klausimai kilo nagrinėjant bylą prašymą priimti prejudicinį sprendimą pateikusiame teisme – Högsta domstolen (Aukščiausiasis Teismas, Švedija). Bylos faktines aplinkybes galima apibendrinti taip, kaip aprašyta toliau. Kasatorė pagrindinėje byloje Norra Stockholm Bygg AB (toliau – Fastec) atliko biurų pastato statybos darbus Per Nycander AB (toliau – Nycander), kitai kasacinio proceso šaliai pagrindinėje byloje. Darbuotojai, atliekantys darbus pagal šią sutartį, elektroniniame darbo laiko apskaitos žurnale žymėjo savo buvimo darbo vietoje laiką mokesčių tikslais. Darbo laiko apskaitos žurnalą tvarkė Entral AB, veikianti Fastec vardu.

6. Pagrindinė byla buvo iškelta kilus ginčui dėl atlygio, mokėtino už atliktus darbus. Nycander užginčijo Fastec mokėjimo prašymą (dėl kiek daugiau nei 2000000 Švedijos kronų (SEK), apie 190133 EUR), teigdama, kad Fastec sugaištas darbų atlikimo laikas yra trumpesnis nei laikotarpis, už kurį Fastec reikalauja sumokėti.

7. Siekdama įrodyti savo teiginius, Nycander paprašė Entral pateikti Fastec vardu tvarkomą darbo laiko apskaitos žurnalą. Fastec prieštarauja šiam prašymui, teigdama, kad toks atskleidimas pažeistų BDAR, nes prašomi duomenys buvo surinkti kitu tikslu ir negali būti naudojami kaip įrodymai pagrindinėje byloje.

8. Tingsrätt (pirmosios instancijos teismas, Švedija) įpareigojo Entral pateikti žurnalą ir Svea hovrätt (Stokholmo apeliacinis teismas, Švedija) šį sprendimą patvirtino apeliacine tvarka.

9. Fastec apskundė Svea hovrätt (Stokholmo apeliacinis teismas) sprendimą Högsta domstolen (Aukščiausiasis Teismas, Švedija) ir paprašė šio teismo atmesti Nycander prašymą atskleisti duomenis arba, nepatenkinus šio prašymo, įpareigoti pateikti nuasmenintą darbo laiko apskaitos žurnalo versiją. Būtent vykstant šiam procesui Högsta domstolen (Aukščiausiasis Teismas) pateikė Teisingumo Teismui prašymą priimti prejudicinį sprendimą dėl šių klausimų: „1. Ar BDAR 6 straipsnio 3 ir 4 dalyse taip pat nustatytas reikalavimas, taikomas nacionalinės procesinės teisės aktams dėl įpareigojimo atskleisti duomenis? 2. Jeigu į pirmąjį klausimą būtų atsakyta teigiamai, ar BDAR reiškia, kad taip pat reikia atsižvelgti į duomenų subjektų interesus, kai reikia priimti sprendimą dėl informacijos atskleidimo, kuris apima asmens duomenų tvarkymą? Ar esant tokioms aplinkybėms Sąjungos teisėje nustatyti kokie nors reikalavimai dėl to, kaip konkrečiai reikėtų priimti šį sprendimą?“

10. Nagrinėjant bylą Teisingumo Teismui rašytines pastabas pateikė Fastec, Čekijos, Lenkijos ir Švedijos vyriausybės bei Europos Komisija. 2022 m. birželio 27 d. įvyko posėdis, per kurį Nycander, Lenkijos ir Švedijos vyriausybės bei Komisija pateikė žodinius argumentus.

II. Teisinis pagrindas

A. Europos Sąjungos teisė

11. BDAR 5 straipsnyje nustatyti principai, kurių turi būti laikomasi tvarkant bet kokius asmens duomenis: „1. Asmens duomenys turi būti: a) duomenų subjekto atžvilgiu tvarkomi teisėtu, sąžiningu ir skaidriu būdu (teisėtumo, sąžiningumo ir skaidrumo principas); b) renkami nustatytais, aiškiai apibrėžtais bei teisėtais tikslais ir toliau netvarkomi su tais tikslais nesuderinamu būdu; tolesnis duomenų tvarkymas archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais pagal 89 straipsnio 1 dalį nėra laikomas nesuderinamu su pirminiais tikslais (tikslo apribojimo principas); c) adekvatūs, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie tvarkomi (duomenų kiekio mažinimo principas); d) tikslūs ir prireikus atnaujinami; turi būti imamasi visų pagrįstų priemonių užtikrinti, kad asmens duomenys, kurie nėra tikslūs, atsižvelgiant į jų tvarkymo tikslus, būtų nedelsiant ištrinami arba ištaisomi (tikslumo principas); e) laikomi tokia forma, kad duomenų subjektų tapatybę būtų galima nustatyti ne ilgiau, nei tai yra būtina tais tikslais, kuriais asmens duomenys yra tvarkomi; asmens duomenis galima saugoti ilgesnius laikotarpius, jeigu asmens duomenys bus tvarkomi tik archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais pagal 89 straipsnio 1 dalį, įgyvendinus atitinkamas technines ir organizacines priemones, kurių reikalaujama šiuo reglamentu siekiant apsaugoti duomenų subjekto teises ir laisves (saugojimo trukmės apribojimo principas); f) tvarkomi tokiu būdu, kad taikant atitinkamas technines ar organizacines priemones būtų užtikrintas tinkamas asmens duomenų saugumas, įskaitant apsaugą nuo duomenų tvarkymo be leidimo arba neteisėto duomenų tvarkymo ir nuo netyčinio praradimo, sunaikinimo ar sugadinimo (vientisumo ir konfidencialumo principas). 2. Duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi 1 dalies, ir turi sugebėti įrodyti, kad jos laikomasi (atskaitomybės principas).“

12. BDAR 6 straipsnio „Tvarkymo teisėtumas“ 1, 3 ir 4 dalyse nustatyta: „1. Duomenų tvarkymas yra teisėtas tik tuo atveju, jeigu taikoma bent viena iš šių sąlygų, ir tik tokiu mastu, kokiu ji yra taikoma: <…> c) tvarkyti duomenis būtina, kad būtų įvykdyta duomenų valdytojui taikoma teisinė prievolė; <…> e) tvarkyti duomenis būtina siekiant atlikti užduotį, vykdomą viešojo intereso labui arba vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas; <…> 3. 1 dalies c ir e punktuose nurodytas duomenų tvarkymo pagrindas nustatomas: a) Sąjungos teisėje; arba b) duomenų valdytojui taikomoje valstybės narės teisėje. Duomenų tvarkymo tikslas nustatomas tame teisiniame pagrinde arba, 1 dalies e punkte nurodyto duomenų tvarkymo atveju, yra būtinas, siekiant atlikti užduotį, vykdomą viešojo intereso labui arba vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas. Tame teisiniame pagrinde galėtų būti išdėstytos konkrečios nuostatos pagal šį reglamentą taikomų taisyklių pritaikymui, įskaitant bendrąsias sąlygas, reglamentuojančias duomenų valdytojo atliekamo duomenų tvarkymo teisėtumą, tvarkytinų duomenų rūšis, atitinkamus duomenų subjektus, subjektus, kuriems asmens duomenys gali būti atskleisti ir tikslus, dėl kurių asmens duomenys gali būti atskleisti, tikslo apribojimo principą, saugojimo laikotarpius ir duomenų tvarkymo operacijas bei duomenų tvarkymo procedūras, įskaitant priemones, kuriomis būtų užtikrintas teisėtas ir sąžiningas duomenų tvarkymas, kaip antai tas, kurios skirtos kitiems specialiems IX skyriuje numatytiems duomenų tvarkymo atvejams. Sąjungos arba valstybės narės teisė atitinka viešojo intereso tikslą ir yra proporcinga teisėtam tikslui, kurio siekiama. 4. Kai duomenų tvarkymas kitu tikslu nei tas dėl kurio duomenys buvo surinkti, nėra grindžiamas duomenų subjekto sutikimu arba Sąjungos ar valstybės narės teise, kuri yra demokratinėje visuomenėje būtina ir proporcinga priemonė 23 straipsnio 1 dalyje nurodytiems tikslams apsaugoti, duomenų valdytojas siekdamas įsitikinti, ar duomenų tvarkymas kitu tikslu yra suderinamas su tikslu, dėl kurio iš pradžių asmens duomenys buvo surinkti, atsižvelgia, inter alia, į: a) visas sąsajas tarp tikslų, kuriais asmens duomenys buvo surinkti, ir numatomo tolesnio duomenų tvarkymo tikslų; b) aplinkybes, kuriomis asmens duomenys buvo surinkti, visų pirma susijusias su duomenų subjektų ir duomenų valdytojo tarpusavio santykiu; c) asmens duomenų pobūdį, visų pirma ar tvarkomi specialių kategorijų asmens duomenys pagal 9 straipsnį, ar tvarkomi asmens duomenys apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas pagal 10 straipsnį; d) numatomo tolesnio duomenų tvarkymo galimas pasekmes duomenų subjektams; e) tinkamų apsaugos priemonių, kurios gali apimti šifravimą ar pseudonimų suteikimą, buvimą.“

13. Be to, BDAR 23 straipsnio 1 dalyje reglamentuojami BDAR numatytų teisių ir pareigų apribojimai: „1. Sąjungos ar valstybės narės teise, kuri taikoma duomenų valdytojui arba duomenų tvarkytojui, teisėkūros priemone gali būti apribotos 12–22 straipsniuose ir 34 straipsnyje, taip pat 5 straipsnyje tiek, kiek jo nuostatos atitinka 12–22 straipsniuose numatytas teises ir prievoles, nustatytos prievolės ir teisės, kai tokiu apribojimu gerbiama pagrindinių teisių ir laisvių esmė ir jis demokratinėje visuomenėje yra būtina ir proporcinga priemonė siekiant užtikrinti: <…> f) teismų nepriklausomumo ir teismo proceso apsaugą; <…>“

B. Švedijos teisė

14. Rättegångsbalken (Teismo proceso kodeksas, toliau – RB) 38 straipsnio 2 dalies pirmoje pastraipoje nustatyta, kad asmuo, turintis rašytinį dokumentą, kuris gali būti laikomas turinčiu įrodomąją galią, privalo pateikti tą dokumentą. Tos pačios nuostatos antroje pastraipoje nustatytos tokios pareigos išimtys, taikomos, be kita ko, advokatams, gydytojams, psichologams, dvasininkams ir kitiems pareigūnams, kuriems informacija buvo patikėta vykdant jų profesinę ar jai prilygstančią veiklą. Toliau RB 38 straipsnio 4 dalyje teismui suteikta teisė įpareigoti atskleisti rašytinį dokumentą kaip įrodymą.

15. Prašymą priimti prejudicinį sprendimą pateikęs teismas teigia, kad teismas, nagrinėdamas klausimą, ar asmuo turėtų būti įpareigotas pateikti dokumentą, turi įvertinti įrodymų svarbą ir priešingos šalies interesą neatskleisti tos informacijos. Vis dėlto, kaip paaiškina prašymą priimti prejudicinį sprendimą pateikęs teismas, nagrinėjant šį klausimą nereikia atsižvelgti į atskleidžiamos informacijos privatų pobūdį.

III. Analizė

A. Pirminės pastabos

16. BDAR yra pagrindinis Sąjungos teisės aktas, reglamentuojantis fizinių asmenų apsaugą tvarkant jų asmens duomenis. Skirtingai nuo savo pirmtakės Direktyvos 95/46/EB ( 4 ), BDAR buvo priimtas remiantis SESV 16 straipsniu ( 5 ). Remiantis šiuo teisiniu pagrindu Sąjungos teisės aktų leidėjui buvo suteikti įgaliojimai apsaugoti Europos Sąjungos pagrindinių teisių chartijos (toliau – Chartija) 8 straipsnio 1 dalyje numatytą pagrindinę teisę į asmens duomenų apsaugą ( 6 ).

17. Kai tvarkomi asmens duomenys, pagal BDAR atsakomybė už šio teisės akto laikymąsi tenka „duomenų valdytojui“ ( 7 ). Taigi kiekvienu asmens duomenų tvarkymo atveju svarbu nustatyti, kas yra duomenų valdytojas.

18. Pagal BDAR 4 straipsnio 7 punktą duomenų valdytojas yra fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuris vienas ar drauge su kitais nustato duomenų tvarkymo tikslus ir priemones.

19. Šioje byloje kalbama apie du atskirus asmens duomenų tvarkymo atvejus. Pirmasis duomenų tvarkymas susijęs su elektroniniu darbo laiko apskaitos žurnalu, kurį Fastec vardu tvarko Entral, nes pirmoji pagal Švedijos teisę privalo rinkti duomenis apie dirbtas valandas mokesčių tikslais. Šiomis aplinkybėmis Fastec yra duomenų valdytoja, o Entral – duomenų tvarkytoja ( 8 ).

20. Neginčijama, kad šis pirmasis duomenų tvarkymas atitiko BDAR. Konkrečiai pagal jo 6 straipsnio 1 dalies c punktą leidžiama tvarkyti asmens duomenis, kai tai būtina, kad būtų įvykdyta duomenų valdytojui, aptariamu atveju – Fastec, taikoma teisinė prievolė ( 9 ). Žinoma, jeigu šis pirmasis duomenų tvarkymas būtų pripažintas neteisėtu pagal BDAR, tokių duomenų tvarkymas pakeitus tvarkymo tikslą taip pat būtų neteisėtas ( 10 ).

21. Vis dėlto šioje byloje svarbiausias yra antrasis tų pačių duomenų, kurie iš pradžių buvo surinkti mokesčių tikslais, tvarkymas (pakeitus jo tikslą). Naujasis tikslas – kad Entral atskleistų darbo laiko apskaitos žurnalą kaip įrodymą civilinėje byloje, kurios šalys – Fastec ir Nycander. Šio žurnalo pateikimas naudoti civiliniame procese neišvengiamai reikštų asmens duomenų tvarkymą.

22. Šio antrojo duomenų tvarkymo atveju keičiasi vaidmenys pagal BDAR, palyginti su pirmuoju duomenų tvarkymu. Svarbiausia, kad nacionalinis teismas, nutartimi įpareigodamas Entral pateikti darbo laiko apskaitos žurnalą (toliau – nutartis dėl duomenų atskleidimo), tampa subjektu, nustatančiu antrojo duomenų tvarkymo tikslus ir priemones ( 11 ). Taigi šis teismas tampa duomenų valdytoju ( 12 ).

23. Šio antrojo duomenų tvarkymo atveju gali būti pripažįstama, kad Fastec ir toliau lieka duomenų valdytoja arba yra pakeitusi vaidmenį: šiuo atveju ji yra tapusi duomenų gavėja kartu su Nycander ( 13 ). Vis dėlto net jeigu Fastec išliktų duomenų valdytoja kartu su nacionaliniu teismu ( 14 ), tai neturėtų įtakos nacionalinio teismo, kaip duomenų valdytojo, pareigoms ( 15 ). Galiausiai, Entral vaidmuo nesikeičia. Ji lieka duomenų tvarkytoja ir toliau tvarko tuos pačius asmens duomenis, tačiau dabar – naujojo duomenų valdytojo (nacionalinio teismo) vardu.

24. Pirmuoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar nacionalinis teismas iš tiesų gali tapti duomenų valdytoju pagal BDAR ir ar tokiu atveju šiame reglamente nustatyti reikalavimai taikomi nacionalinės procesinės teisės aktams, susijusiems su teismų įgaliojimais ir pareigomis civiliniame procese. Jeigu taikomas BDAR ir nacionalinis teismas yra duomenų valdytojas, prašymą priimti prejudicinį sprendimą pateikęs teismas užduoda antrąjį klausimą tam, kad išsiaiškintų, kaip toks teismas turėtų nuspręsti dėl asmens duomenų atskleidimo, kai jie turi būti panaudoti kaip įrodymai civiliniame procese.

25. Į prašymą priimti prejudicinį sprendimą pateikusio teismo klausimus atsakysiu tokia tvarka. Pirmiausia paaiškinsiu, kodėl manau, kad BDAR taikomas valstybių narių teismuose vykstančiam civiliniam procesui ir kokią įtaką tai turi galiojantiems valstybių narių procesinės teisės aktams (B skirsnis). Paskui aptarsiu metodiką, kurią nacionaliniai teismai, kaip duomenų valdytojai, turėtų taikyti tam, kad įvykdytų BDAR reikalavimus (C skirsnis).

B. BDAR taikomas civiliniam procesui nacionaliniuose teismuose ir papildo valstybių narių procesines taisykles

26. Prašymą priimti prejudicinį sprendimą pateikęs teismas pirmąjį klausimą iš esmės užduoda tam, kad išsiaiškintų, ar BDAR taikomas civiliniam teismo procesui ir kokią įtaką jis daro atitinkamoms proceso taisyklėms. Konkrečiai kalbant, jam kyla klausimas, ar jis turi įtakos toms nacionalinėms taisyklėms, kuriomis reglamentuojami teismų įgaliojimai ir pareigos, kai šie įpareigoja atskleisti rašytinius įrodymus. Į šį klausimą atsakysiu trimis etapais.

1. Nacionalinių teismų veikla nagrinėjant civilines bylas nepašalinta iš BDAR taikymo srities

27. BDAR materialinė taikymo sritis apibrėžta jo 2 straipsnio 1 dalyje laikantis funkcinio, o ne institucinio požiūrio. BDAR taikymą lemia tai, kas veikiama (asmens duomenų tvarkymo veikla), o ne tai, kas veikia ( 16 ).

28. Į BDAR taikymo sritį nepatenkančios situacijos, išvardytos jo 2 straipsnio 2 dalyje, taip pat yra funkcinio pobūdžio. Kadangi jos yra BDAR taikymo išimtis, Teisingumo Teismo nuomone, jos turi būti aiškinamos siaurai ( 17 ).

29. Taigi valdžios institucijų veikla iš esmės nėra pašalinta iš BDAR taikymo srities – veikiau į ją nepatenka tik veikla, išvardyta BDAR 2 straipsnio 2 dalyje ( 18 ). Šiuo atžvilgiu pagal tą nuostatą teismų veikla civiliniame procese nėra pašalinta iš BDAR materialinės taikymo srities.

30. Išvadą, kad BDAR taikomas teismų veiklai, patvirtina BDAR 20 konstatuojamoji dalis ( 19 ), kurioje nurodyta, kad šis teisės aktas taikomas teismų ir kitų teisminių institucijų veiklai ( 20 ).

31. BDAR 55 straipsnio 3 dalyje nustatyta priežiūros institucijų kompetencijos prižiūrėti teismus, kai šie vykdo teismines funkcijas, išimtis neturi įtakos ankstesnei išvadai. Atvirkščiai – mano nuomone, ši nuostata patvirtina, kad teismams, vykdantiems savo teismines funkcijas, taikomos BDAR nustatytos pareigos. Ji apsaugo jų nepriklausomumą ir nešališkumą, uždrausdama priežiūros institucijai prižiūrėti jų duomenų tvarkymo operacijas.

32. Nagrinėjamu atveju kalbama apie asmens duomenų tvarkymą, kuris patenka į BDAR materialinę taikymo sritį. Elektroninio darbo laiko apskaitos žurnalo sukūrimas ir tvarkymas yra susijęs su asmens duomenų tvarkymu ( 21 ). Įpareigojimas atskleisti tokius asmens duomenis civiliniame procese taip pat yra šių duomenų tvarkymo atvejis ( 22 ). Taigi pagrindinėje byloje nagrinėjama situacija patenka į BDAR materialinę taikymo sritį.

33. Kokią reikšmę tai turi nacionalinių procesinių taisyklių, kaip antai RB, veikimui?

2. Nacionalinė teisė yra nacionalinių teismų atliekamo duomenų tvarkymo teisėtumo sąlyga

34. Šioje byloje aptariamos nutarties dėl duomenų atskleidimo priėmimo teisinis pagrindas yra RB.

35. Pagal BDAR iš tiesų reikalaujama, kad tokioje situacijoje, kokia nagrinėjama šioje byloje, duomenų tvarkymo teisinis pagrindas būtų valstybės narės (arba Sąjungos) teisė ( 23 ).

36. Aptariami duomenys, iš pradžių surinkti ir tvarkyti mokesčių tikslais, pagal nutartį dėl duomenų atskleidimo dabar turi būti tvarkomi įrodinėjimo tikslais vykstant teismo procesui.

37. Pagal BDAR 6 straipsnio 4 dalį leidžiama pakeisti duomenų tvarkymo tikslą, jeigu tai grindžiama valstybės narės teise, kuri yra demokratinėje visuomenėje būtina priemonė BDAR 23 straipsnio 1 dalyje nurodytiems tikslams apsaugoti. Tarp šių tikslų 23 straipsnio 1 dalies f punkte nurodyta „teismų nepriklausomumo ir teismo proceso apsauga“.

38. Visi šio prejudicinio sprendimo priėmimo proceso dalyviai sutinka, kad BDAR 23 straipsnio 1 dalies f punktas yra tinkama nuostata, kuria remiantis galima pateisinti duomenų tvarkymo tikslo pakeitimą pagal RB ( 24 ).

39. Pagal RB nacionaliniams teismams suteikti įgaliojimai įpareigoti atskleisti dokumentus, jeigu šie turi įrodomąją galią civiliniame procese. Kaip paaiškinta, jeigu dokumente, kurį reikia atskleisti, yra asmens duomenų, atskleisti tokį dokumentą įpareigojantis teismas pagal BDAR tampa duomenų valdytoju.

40. Kaip per posėdį nurodė Komisija, nacionalinis teismas yra įprastas duomenų valdytojas tik tam tikru mastu. T. y. nacionaliniai teismai gali tvarkyti duomenis tik vykdydami savo oficialius įgaliojimus.

41. Kai duomenys tvarkomi vykdant viešosios valdžios funkcijas ( 25 ), pagal BDAR 6 straipsnio 3 dalį reikalaujama, kad toks tvarkymas būtų grindžiamas Sąjungos arba valstybės narės teise.

42. Taigi pagal BDAR 6 straipsnio 4 dalį (leidžiančią keisti duomenų tvarkymo tikslą) ir jo 6 straipsnio 3 dalį (leidžiančią tvarkyti duomenis vykdant viešosios valdžios funkcijas) reikalaujama, kad duomenų tvarkymo teisinis pagrindas būtų nacionalinė (arba Sąjungos) teisė ( 26 ).

43. Vadinasi, RB, kuriame teismui suteikti įgaliojimai priimti nutartį dėl duomenų atskleidimo, yra būtina aptariamo duomenų tvarkymo teisėtumo sąlyga.

3. BDAR papildo nacionalines procesines taisykles

44. Jeigu yra BDAR reikalaujamas teisinis pagrindas, o nutartis, pagal kurią tvarkomi asmens duomenys, priimta laikantis tokios valstybės narės teisės, ar įvykdyti BDAR nustatyti teisėto duomenų tvarkymo reikalavimai?

45. Mano nuomone, nors teisinis pagrindas nacionalinėje teisėje būtinas, jo nepakanka tam, kad nutartis dėl duomenų atskleidimo atitiktų BDAR.

46. Prašymą priimti prejudicinį sprendimą pateikęs teismas paaiškino, kad pagal RB priimant sprendimus dėl įrodymų atskleidimo iš esmės neatsižvelgiama į privatų informacijos pobūdį. Teismai privalo atsižvelgti į dviejų priešingų šalių interesus, tačiau pačiame įstatyme neminima, kad duomenų subjektų interesai turi kokios nors reikšmės.

47. Ar RB nesuderinamas su BDAR dėl to, kad aiškiai neįpareigoja teismų, kai šie tampa duomenų valdytojais, priimant sprendimus, kurie gali turėti įtakos duomenų subjektų asmens duomenims, atsižvelgti į jų interesus?

48. Mano nuomone, taip nėra. Reikia atsižvelgti į tai, kad skirtingi nacionalinės teisės aktai, kurie yra duomenų tvarkymo teisiniai pagrindai, nebuvo priimti konkrečiai įgyvendinant BDAR, o turi savo tikslus. Be to, BDAR yra tiesiogiai taikomas valstybių narių teisės sistemose ir jo nereikia įgyvendinti. Taigi svarbu tai, kad, kai susiduria nacionalinės procesinės taisyklės ir BDAR, pirmosios palieka galimybę kartu taikyti ir antrąjį.

49. Per posėdį Švedijos vyriausybė patvirtino, kad pagal RB nereikalaujama, jog teismai atsižvelgtų į duomenų subjektų interesus, bet tai ir nedraudžiama. Taigi pagal jį nedraudžiama tiesiogiai taikyti BDAR šiame kodekse reglamentuojamam teismo procesui.

50. Vadinasi, nacionaliniams teismams lygiagrečiai taikomos vidaus procesinės taisyklės ir BDAR, o antrasis papildo nacionalines taisykles, jeigu teismams vykdant procesinę veiklą tvarkomi asmens duomenys.

51. Darytina išvada, kad nacionalinės teisės aktuose nebūtina aiškiai nurodyti BDAR arba įpareigoti teismų atsižvelgti į duomenų subjektų interesus. Pakanka to, kad pagal tokius teisės aktus leidžiama papildomai taikyti BDAR. Tik jeigu taip nebūtų, nacionalinės teisės aktas prieštarautų BDAR. Vis dėlto atrodo, kad pagal RB leidžiama papildomai taikyti BDAR ( 27 ).

52. Taigi, siekdama atsakyti į prašymą priimti prejudicinį sprendimą pateikusio teismo pirmąjį klausimą, darau išvadą, kad BDAR 6 straipsnio 3 ir 4 dalyse nustatyti reikalavimai, taikomi nacionalinės procesinės teisės aktams dėl įpareigojimo atskleisti duomenis, kai toks atskleidimas susijęs su asmens duomenų tvarkymu. Tokiu atveju pagal nacionalinės procesinės teisės aktus negali būti kliudoma atsižvelgti į duomenų subjektų interesus. Šie interesai apsaugomi, jeigu nacionaliniai teismai, spręsdami dėl rašytinių įrodymų atskleidimo konkrečioje byloje, laikosi BDAR taisyklių.

C. Nacionalinio teismo pareigos, susijusios su duomenų subjektų interesais

53. Kadangi nacionaliniams teismams taikomas BDAR, jie, kaip duomenų valdytojai, privalo atsižvelgti į duomenų subjektų interesus. Kaip reikėtų atsižvelgti į šiuos interesus priimant konkretų sprendimą dėl duomenų atskleidimo? Tai yra prašymą priimti prejudicinį sprendimą pateikusio teismo antrojo klausimo esmė.

1. Proporcingumas

54. Duomenų subjektų interesai saugomi, kai jų asmens duomenų tvarkymas atitinka BDAR 5 ir 6 straipsnius ( 28 ). Kaip teigia generalinis advokatas P. Pikamäe, laikantis BDAR 5 ir 6 straipsnių, užtikrinama teisės į privatų ir šeimos gyvenimą apsauga ir asmens duomenų apsauga, garantuojamos atitinkamai Chartijos 7 ir 8 straipsniuose ( 29 ).

55. Teisėti duomenų tvarkymo tikslai išvardyti BDAR 6 straipsnyje ( 30 ). Kaip paaiškinta ankstesniame šios išvados skirsnyje, nagrinėjamu atveju tvarkant duomenis siekiama teisėto tikslo, nes teismas vykdė jam pavestas viešosios valdžios funkcijas, kai nurodė atskleisti duomenis, remdamasis nacionaline teise, kuria užtikrinama tinkama teismo proceso eiga. Vis dėlto BDAR 6 straipsnyje, taip pat jo 5 straipsnyje reikalaujama ne tik teisėto tikslo, bet ir to, kad konkretus duomenų tvarkymas būtų būtinas tam tikslui pasiekti.

56. Taigi pagal BDAR reikalaujama, kad teismas, spręsdamas, ar konkrečiu atveju atskleisti asmens duomenis būtina įrodinėjimo tikslais vykstant teismo procesui, atliktų proporcingumo analizę ( 31 ).

57. Dėl to BDAR 6 straipsnio 4 dalyje reikalaujama, kad nacionalinė teisė, kuria grindžiamas duomenų tvarkymas, kurio tikslas pakeistas, būtų būtina ir proporcinga priemonė vienam iš BDAR 23 straipsnio 1 dalyje išvardytų tikslų, šiuo atveju – teismų nepriklausomumui ir teismo procesui, apsaugoti. Be to, pagal BDAR 6 straipsnio 3 dalį reikalaujama, kad tvarkyti duomenis vykdant viešosios valdžios funkcijas būtų būtina vykdant tokias duomenų valdytojui pavestas viešosios valdžios funkcijas.

58. Nacionalinė teisė, kuria grindžiamas duomenų tvarkymas, gali in abstracto atitikti BDAR 6 straipsnio 3 ir 4 dalių reikalavimus. Vis dėlto kiekvieno atskiro duomenų tvarkymo (įskaitant konkrečią teismo nutartį dėl duomenų atskleidimo) teisėtumas priklauso nuo konkretaus visų susijusių interesų derinimo, atsižvelgiant į teisėtą tikslą, dėl kurio prašoma atskleisti duomenis ( 32 ). Tik taip nacionalinis teismas gali nuspręsti, ar atskleisti duomenis būtina ir kiek jų būtina atskleisti.

59. Taigi akivaizdu, kad pagal BDAR reikalaujama atlikti proporcingumo analizę. Ar BDAR gali dar kaip nors padėti atsakyti į klausimą, kokių konkrečių veiksmų teismas turi imtis atlikdamas tokią analizę?

2. Konkretūs veiksmai, kurių turi imtis nacionalinis teismas

60. Kaip paaiškinta, proporcingumo analizė turi būti atliekama kiekvienu konkrečiu atveju, atsižvelgiant į visus susijusius interesus. Esant tokiai situacijai, kokia nagrinėjama šiuo atveju, reikia palyginti interesus, kuriais grindžiamas duomenų atskleidimas, ir teisės į asmens duomenų apsaugą apribojimą ( 33 ).

61. Interesai, kuriais grindžiamas duomenų atskleidimas, atspindi teisę į veiksmingą teisminę apsaugą (Chartijos 47 straipsnis). Duomenų subjektų interesai, kuriems ši teisė prieštarauja, atspindi teisę į privatų ir šeimos gyvenimą (Chartijos 7 straipsnis) ir teisę į asmens duomenų apsaugą (Chartijos 8 straipsnis). Būtent šias teises reikia derinti, siekiant nuspręsti, ar būtina atskleisti asmens duomenis.

62. Toliau pateiksiu tam tikrų pasiūlymų dėl konkrečių veiksmų, kurių nacionaliniam teismui gali tekti imtis.

63. Pirmiausia visada galima daryti prielaidą, kad duomenų subjektai, kurie nedavė sutikimo tvarkyti duomenis, suinteresuoti apriboti jų asmens duomenų tvarkymą. Taigi tai yra standartinis atskaitos taškas nacionaliniam teismui: pagrįsti, kodėl šį interesą reikėtų pažeisti.

64. Mano nuomone, nurodymus, kaip atlikti šį vertinimą, galima rasti BDAR 5 straipsnyje, kuriame išvardyti principai, kurių duomenų valdytojas turi laikytis tvarkydamas asmens duomenis.

65. Šiuo požiūriu ypač svarbus BDAR 5 straipsnio 1 dalies c punkte įtvirtintas duomenų kiekio mažinimo principas. Kaip nurodo Teisingumo Teismas ( 34 ), šis reikalavimas yra proporcingumo išraiška. Pagal jį asmens duomenys turi būti adekvatūs, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie tvarkomi.

66. Taigi pirmiausia reikia užduoti klausimą, ar Entral tvarkomo darbo laiko apskaitos žurnalo duomenys yra adekvatūs. Jie yra adekvatūs atsižvelgiant į tikslą, dėl kurio jie turi būti atskleisti, jeigu jie iš tiesų rodo Fastec darbuotojų statybvietėje praleistų darbo valandų skaičių.

67. Antrasis klausimas yra toks: ar Entral tvarkomame darbo laiko apskaitos žurnale pateikti duomenys yra tinkami, atsižvelgiant į tikslą, dėl kurio jų prašoma. Atrodo, kad šis tikslas yra Nycander suinteresuotumas įrodyti savo argumentą, kad Fastec darbuotojai dirbo mažiau valandų, nei nurodyta sąskaitoje faktūroje. Šiomis aplinkybėmis darbo laiko apskaitos žurnalas būtų tinkamas, jeigu remiantis juo iš tiesų būtų galima įrodyti arba paneigti tokį teiginį. Nacionalinis teismas turi įvertinti jo tinkamumą, atsižvelgdamas į kitas bylos aplinkybes (pavyzdžiui, į Fastec teiginį, kad darbo laiko apskaitos žurnale užfiksuota tik dalis atitinkamų darbo valandų, o kitos buvo praleistos ne statybvietėje).

68. Nacionalinis teismas, siekdamas atsakyti, ar įvykdytas trečiasis duomenų kiekio mažinimo reikalavimas, turi nustatyti, ar visų arba tik tam tikrų žurnale nurodytų duomenų pakanka įrodinėjimo tikslais. Be to, jeigu yra kitų būdų įrodyti tą pačią aplinkybę, pagal duomenų kiekio mažinimo principą reikalaujama, kad būtų taikomi tie kiti būdai. Pavyzdžiui, nacionaliniam teismui gali tekti įvertinti Fastec teiginį, kad faktiškai dirbtą laiką galima patikrinti remiantis dokumentais, kurie jau yra pateikti prašymą priimti prejudicinį sprendimą pateikusio teismo nagrinėjamoje byloje. Jeigu nacionalinis teismas nuspręstų, kad šis teiginys teisingas, jis negalėtų įpareigoti atskleisti darbo laiko apskaitos žurnale pateiktų asmens duomenų.

69. Nacionalinis teismas turi nustatyti, kokių rūšių asmens duomenų iš žurnalo pakanka norint įrodyti atitinkamas aplinkybes arba jas paneigti. Šiuo klausimu pagal duomenų kiekio mažinimo principą reikalaujama, kad būtų atskleisti tik konkrečiam tikslui pasiekti iš tiesų būtini duomenys. Taigi Entral, kaip duomenų tvarkytojai, gali pakeisti darbo laiko apskaitos žurnalą taip, kad būtų pateiktas tik mažiausias būtinas asmens duomenų kiekis, bet kartu būtų galima padaryti išvadą apie faktiškai dirbtas valandas.

70. Šiuo klausimu nacionalinis teismas turi nustatyti, ar tam, kad atskleisti duomenys turėtų įrodomąją galią, būtinai turi būti galima nustatyti asmenų, kurių duomenys pateikti žurnale, tapatybę (pavyzdžiui, jeigu būtina nurodyti konkrečius darbuotojus, siekiant juos pakviesti liudyti). Priešingu atveju gali pakakti informacijos apie bendrą statybvietėje praleistų valandų skaičių ir (arba) šias valandas dirbusių asmenų skaičių.

71. Teismas, atsižvelgdamas į atsakymus į pirmiau pateiktus klausimus, gali nuspręsti paprašyti atskleisti pseudonimizuotus arba nuasmenintus duomenis ( 35 ).

72. Pagal BDAR 26 konstatuojamąją dalį duomenys, kuriems suteikti pseudonimai, ir toliau patenka į BDAR materialinę taikymo sritį. Taip yra todėl, kad išlieka galimybė atsekti asmens, kuriam suteiktas pseudonimas, tapatybę. Kitaip yra kalbant apie nuasmenintus duomenis, kurie nepatenka į jo taikymo sritį. Taigi nacionalinio teismo galiausiai nustatytas informacijos atskleidimo būdas taip pat turi įtakos tolesniam BDAR taikymui ( 36 ).

73. Galiausiai nacionalinis teismas turi nustatyti skirtingų darbo laiko apskaitos žurnalo versijų įrodomąją galią, kad nuspręstų, kaip reikia mažinti duomenų kiekį tam, kad būtų galima tinkamai užbaigti jame vykstantį teismo procesą, ir ar to apskritai reikia.

74. Be BDAR 5 straipsnio 1 dalies c punkte įtvirtinto duomenų kiekio mažinimo principo, nacionaliniam teismui privalomi ir kiti BDAR 5 straipsnyje nustatyti principai ir jie yra svarbūs nustatant, kaip turi būti priimta nutartis dėl duomenų atskleidimo.

75. Pavyzdžiui, BDAR 5 straipsnio 1 dalies a punkte, be nuorodos į teisėtumo principą (kuris plėtojamas jo 6 straipsnyje), taip pat minimas skaidrumo principas. Mano nuomone, pagal šį principą nacionalinis teismas privalo aiškiai paaiškinti savo sprendimą įpareigoti atskleisti asmens duomenis, be kita ko, nurodydamas, kaip suderino skirtingus šalių interesus ir argumentus, susijusius su duomenų atskleidimu.

76. Tinkamas nutarties dėl duomenų atskleidimo motyvavimas taip pat atitinka BDAR 5 straipsnio 2 dalyje nustatytą reikalavimą, pagal kurį duomenų valdytojas turi sugebėti įrodyti, kad laikomasi jo 5 straipsnio 1 dalyje numatytų principų.

77. Tai, kaip turi būti laikomasi BDAR 5 straipsnyje nustatytų principų, taip pat galima suprasti iš BDAR 31 konstatuojamosios dalies. Joje nurodyta, kad „valdžios institucijų prašymai atskleisti duomenis visada turėtų būti pateikiami raštu, būti pagrįsti ir nereguliarūs ir neturėtų būti susiję su visu susistemintu rinkiniu ar dėl jų susisteminti rinkiniai neturėtų būti susiejami tarpusavyje“.

78. Lenkijos vyriausybė išreiškė susirūpinimą dėl nacionalinio teismo atliekamo proporcingumo vertinimo: jeigu nacionalinis teismas turi įvertinti darbo laiko apskaitos žurnalo arba kitų jo nagrinėjamoje byloje esamų įrodymų įrodomąją galią, ar jis nėra pernelyg įtraukiamas į vaidmenį, kuris turėtų būti paliktas šalims, t. y. į mėginimą laimėti ginčą dėl pačios tokių įrodymų įrodomosios galios?

79. Mano nuomone, įrodomosios galios vertinimas, kurį atliekant atsižvelgiama į duomenų subjektų interesus, nelemia didesnio kišimosi į bylą nei bet kokių kitų įrodymų įrodomosios galios vertinimas civiliniame procese ( 37 ).

80. Nacionalinio teismo įsikišimo lygis priklauso nuo duomenų, kuriuos prašoma atskleisti, įrodomosios galios akivaizdumo esant konkrečios bylos aplinkybėms. Kiek duomenų atskleidimas gali pažeisti duomenų subjektų interesus, visada priklauso nuo konkretaus atvejo.

81. Pavyzdžiui, kai kurie atvejai gali būti susiję su neskelbtinais duomenimis, kuriems taikoma speciali apsaugos tvarka pagal BDAR 9 straipsnį, arba su baudžiamųjų sankcijų duomenimis, kuriems taikoma jo 10 straipsnyje nustatyta tvarka. Tokiais atvejais derinant interesus duomenų subjektų interesai neišvengiamai įgyja didesnę reikšmę ( 38 ). Interesas atskleisti duomenis konkrečiais atvejais taip pat gali skirtis. Nors kartais akivaizdu, kad prašomų įrodymų reikšmė yra nedidelė, kitais atvejais jie turi esminę reikšmę bylos baigčiai. Šiuo klausimu Komisija yra pateikusi vertingą pastabą, kad nacionalinis teismas, atlikdamas tokius vertinimus, turi turėti didelę diskreciją. Vis dėlto jis niekada neturėtų būti atleistas nuo pareigos atsižvelgti į duomenų subjektų interesus.

82. Čekijos vyriausybė išreiškė susirūpinimą dėl dar vieno aspekto: nacionalinių teismų įpareigojimas atsižvelgti į duomenų subjektų interesus, kai jie įpareigoja atskleisti rašytinius įrodymus, trukdytų tinkamam teismo procesui. Iš tiesų BDAR nustatyta papildoma pareiga ( 39 ) teismams, prieš įpareigojant atskleisti rašytinius įrodymus, kuriuose yra asmens duomenų, atlikti proporcingumo vertinimą. Vis dėlto interesų derinimas nėra neįprasta intelektinė užduotis, kurią turi atlikti teismai, o nacionaliniams teismams tenkanti našta nesiskiria nuo tos, kuri pagal BDAR tenka bet kuriam duomenų valdytojui.

83. Jeigu vadovaujantis Sąjungos teisės aktų leidėjo pasirinkimu, išreikštu BDAR, Sąjungos piliečiams turi būti užtikrinta aukšto lygio jų asmens duomenų apsauga, atsižvelgimo į duomenų subjektų interesus negalima vertinti kaip pernelyg didelės naštos valstybių narių teismams.

84. Taigi siūlau Teisingumo Teismui taip atsakyti į prašymą priimti prejudicinį sprendimą pateikusio teismo antrąjį klausimą: nacionalinis teismas, spręsdamas dėl nutarties dėl duomenų atskleidimo civiliniame procese, jeigu tai susiję su asmens duomenų tvarkymu, turi atlikti proporcingumo analizę, atsižvelgdamas į duomenų subjektų, kurių asmens duomenys turi būti tvarkomi, interesus, ir juos suderinti su proceso šalių interesais surinkti įrodymus. Atliekant šį proporcingumo vertinimą vadovaujamasi BDAR 5 straipsnyje nustatytais principais, įskaitant duomenų kiekio mažinimo principą.

IV. Išvada

85. Atsižvelgdama į tai, kas išdėstyta, siūlau Teisingumo Teismui taip atsakyti į du Högsta domstolen (Aukščiausiasis Teismas, Švedija) pateiktus prejudicinius klausimus: 1. 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) 6 straipsnio 3 ir 4 dalyse nustatyti reikalavimai, taikomi nacionalinės procesinės teisės aktams dėl įpareigojimo atskleisti duomenis, kai toks atskleidimas susijęs su asmens duomenų tvarkymu. Tokiu atveju pagal nacionalinės procesinės teisės aktus negali būti kliudoma atsižvelgti į duomenų subjektų interesus. Šie interesai apsaugomi, jeigu nacionaliniai teismai, spręsdami dėl rašytinių įrodymų atskleidimo konkrečioje byloje, laikosi Reglamento 2016/679 taisyklių. 2. Nacionalinis teismas, spręsdamas dėl nutarties dėl duomenų atskleidimo civiliniame procese, jeigu tai susiję su asmens duomenų tvarkymu, turi atlikti proporcingumo analizę, atsižvelgdamas į duomenų subjektų, kurių asmens duomenys turi būti tvarkomi, interesus, ir juos suderinti su proceso šalių interesais surinkti įrodymus. Atliekant šį proporcingumo vertinimą vadovaujamasi Reglamento 2016/679 5 straipsnyje nustatytais principais, įskaitant duomenų kiekio mažinimo principą.

( 1 ) Originalo kalba: anglų.

( 2 ) Šis konkretus pranešimas pateiktas adresu https://eulawlive.com/.

( 3 ) 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016, p. 1).

( 4 ) 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyva dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (OL L 281, 1995, p. 31; 2004 m. specialusis leidimas lietuvių k., 13 sk., 15 t., p. 355). Direktyva 95/46 buvo priimta remiantis vidaus rinkos teisiniu pagrindu. Pirminė BDAR padarytų pakeitimų analizė pateikta Van Alsenoy, B., „Liability under ES Data Protection Law. From Directive 95/46 to the General Data Protection Regulation“, Journal of Intellectual Property, Information Technology and Electronic Commerce Law, Vol. 7, 2016, p. 271–288.

( 5 ) Nepaisant jų skirtingo teisinio pagrindo, siekiant suprasti BDAR yra svarbi jurisprudencija, kurioje aiškinama Direktyva 95/46. Šiuo klausimu žr. 2021 m. birželio 17 d. Sprendimą M.I.C.M. (C‑597/19, EU:C:2021:492, 107 punktas). Taigi prireikus remsiuosi Teisingumo Teismo jurisprudencija dėl Direktyvos 95/46. Taip pat remsiuosi Teisingumo Teismo jurisprudencija dėl 2002 m. liepos 12 d. Europos Parlamento ir Tarybos direktyvos 2002/58 dėl asmens duomenų tvarkymo ir privatumo apsaugos elektroninių ryšių sektoriuje (Direktyva dėl privatumo ir elektroninių ryšių) (OL L 201, 2002, p. 37; 2004 m. specialusis leidimas lietuvių k., 13 sk., 29 t., p. 514) tiek, kiek joje pateikti analogiški sprendimai dėl teisės į duomenų apsaugą apribojimų. Teisingumo Teismo nuomone, iš Direktyvos 2002/58 kylančių teisių apribojimų aiškinimas mutatis mutandis taikytinas aiškinant BDAR. Šiuo klausimu žr. 2020 m. spalio 6 d. Sprendimą La Quadrature du Net ir kt. (C‑511/18, C‑512/18 ir C‑520/18, EU:C:2020:791, 209–211 punktai).

( 6 ) Žr. BDAR 1 konstatuojamąją dalį.

( 7 ) Žr. BDAR 5 straipsnio 2 dalį.

( 8 ) BDAR 4 straipsnio 8 punkte duomenų tvarkytojas apibrėžtas kaip „fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuri duomenų valdytojo vardu tvarko asmens duomenis“.

( 9 ) Pagal BDAR 6 straipsnio 3 dalį, kai duomenys tvarkomi siekiant įvykdyti duomenų valdytojui taikomą teisinę prievolę, toks pagrindas nustatomas Sąjungos arba valstybės narės teisėje, kuri atitinka viešojo intereso tikslą ir yra proporcinga teisėtam tikslui, kurio siekiama. 2019 m. sausio 16 d. Sprendime Deutsche Post (C‑496/17, EU:C:2019:26, 60–63 punktai) nacionalinės mokesčių teisės aktų laikymasis buvo pripažintas teisėtu tikslu.

( 10 ) Pagal analogiją žr. 2021 m. kovo 2 d. Sprendimą Prokuratuur (Prieigos prie elektroninių ryšių duomenų sąlygos) (C‑746/18, EU:C:2021:152, 44 punktas).

( 11 ) Asmens duomenų tvarkymo tikslų ir priemonių nustatymas yra pagrindinė veikla, pagal kurią nustatoma, kas yra duomenų valdytojas. Žr. 2018 m. liepos 10 d. Sprendimą Jehovan todistajat (C‑25/17, EU:C:2018:551, 68 punktas). Taip pat žr. Bygrave, L. A. ir Tossoni, L., „Article 4(7). Controller“, leidinyje Kuner, C., Bygrave, L. A., Docksey, C. ir Drechsler, L., The ES General Data Protection Regulation (GDPR): A Commentary, OUP, Oxford, 2021, p. 150.

( 12 ) Per posėdį Lenkijos, Švedijos vyriausybės ir Komisija sutarė, kad šis vaidmuo dabar tenka nacionaliniam teismui. Nycander tvirtino, kad, kiek tai susiję su antruoju duomenų tvarkymu, Fastec lieka vienintelė duomenų valdytoja, o nacionalinis teismas atlieka tarpininko vaidmenį. Pažymėtina, kad sąvoka „tarpininkas“ BDAR niekur nevartojama.

( 13 ) BDAR 4 straipsnio 9 punkte duomenų gavėjai apibrėžti kaip fiziniai arba juridiniai asmenys, valdžios institucijos, agentūros ar kitos įstaigos, kurioms atskleidžiami asmens duomenys, nesvarbu, ar tai trečioji šalis ar ne. Fastec ir Nycander, kaip civilinio proceso šalys, taptų duomenų, tvarkomų remiantis teismo nutartimi dėl duomenų atskleidimo, gavėjomis. Komisija per posėdį tvirtino, kad Fastec išlieka duomenų valdytoja, o ne tampa duomenų gavėja.

( 14 ) BDAR 26 straipsnio 1 dalyje nustatyta: „Kai du ar daugiau duomenų valdytojų kartu nustato duomenų tvarkymo tikslus ir priemones, jie yra bendri duomenų valdytojai. Jie tarpusavio susitarimu skaidriu būdu nustato savo atitinkamą atsakomybę už pagal šį reglamentą nustatytų prievolių, visų pirma susijusių su duomenų subjekto naudojimusi savo teisėmis ir jų atitinkamomis pareigomis pateikti 13 ir 14 straipsniuose nurodytą informaciją, vykdymą, išskyrus atvejus, kai atitinkama duomenų valdytojų atsakomybė yra nustatyta Sąjungos arba valstybės narės teisėje, kuri yra taikoma duomenų valdytojams, ir tokiu mastu, kokiu ji yra nustatyta. Susitarimu gali būti paskirtas duomenų subjektų informavimo punktas.“ Taip pat žr. 2019 m. liepos 29 d. Sprendimą Fashion ID (C‑40/17, EU:C:2019:629, 67 punktas).

( 15 ) Teisingumo Teismas paaiškino, kad sąvoka „duomenų valdytojas“ yra plati ir skirtingi subjektai gali dalyvauti skirtinguose tokio tvarkymo etapuose. 2019 m. liepos 29 d. Sprendimas Fashion ID (C‑40/17, EU:C:2019:629, 70 punktas).

( 16 ) Antroji aplinkybė svarbi tik išimtiniais atvejais. Pavyzdžiui, pagal BDAR 2 straipsnio 3 dalį Sąjungos institucijoms, įstaigoms, tarnyboms ir agentūroms BDAR netaikomas. Vis dėlto joms taikomas 2000 m. gruodžio 18 d. Europos Parlamento ir Tarybos reglamentas (EB) Nr. 45/2001 dėl asmenų apsaugos Bendrijos institucijoms ir įstaigoms tvarkant asmens duomenis ir laisvo tokių duomenų judėjimo (OL L 8, 2001, p. 1; 2004 m. specialusis leidimas lietuvių k., 13 sk., 26 t., p. 102).

( 17 ) 2020 m. liepos 9 d. Sprendimas Land Hessen (C‑272/19, EU:C:2020:535, 68 punktas).

( 18 ) BDAR 2 straipsnio 2 dalyje nustatyta: „Šis reglamentas netaikomas asmens duomenų tvarkymui, kai: a) duomenys tvarkomi vykdant veiklą, kuriai Sąjungos teisė netaikoma; b) duomenis tvarko valstybės narės, vykdydamos veiklą, kuriai taikomas ES sutarties V antraštinės dalies 2 skyrius; c) duomenis tvarko fizinis asmuo, užsiimdamas išimtinai asmenine ar namų ūkio veikla; d) duomenis tvarko kompetentingos valdžios institucijos nusikalstamų veikų prevencijos, tyrimo, nustatymo ar patraukimo baudžiamojon atsakomybėn už jas, baudžiamųjų sankcijų vykdymo, įskaitant apsaugą nuo grėsmių visuomenės saugumui ir jų prevenciją, tikslais.“

( 19 ) BDAR 20 konstatuojamojoje dalyje nurodyta: „nors šis reglamentas, inter alia, taikomas ir teismų bei kitų teisminių institucijų veiklai, Sąjungos ar valstybės narės teisėje galėtų būti nurodytos duomenų tvarkymo operacijos ir duomenų tvarkymo procedūros tvarkant asmens duomenis teismuose bei kitose teisminėse institucijose. Siekiant apsaugoti teisminių institucijų nepriklausomumą vykdant jų teismines užduotis, įskaitant jų sprendimų priėmimo nepriklausomumą, priežiūros institucijų kompetencijai neturėtų priklausyti asmens duomenų tvarkymas teismams vykdant jų teismines funkcijas. Tokių duomenų tvarkymo operacijų priežiūrą turėtų būti galima pavesti konkrečioms valstybės narės teismų sistemos įstaigoms; visų pirma jos turėtų užtikrinti, kad būtų laikomasi šiame reglamente nustatytų taisyklių, skatinti teisminių institucijų narių informuotumą apie jų prievoles pagal šį reglamentą ir nagrinėti su tokiomis duomenų tvarkymo operacijomis susijusius skundus.“

( 20 ) Šiuo klausimu žr. 2022 m. kovo 24 d. Sprendimą Autoriteit Persoonsgegevens (C‑245/20, EU:C:2022:216, 25 ir 26 punktai).

( 21 ) 2013 m. gegužės 30 d. Sprendime Worten (C‑342/12, EU:C:2013:355, 19 punktas) Teisingumo Teismas patvirtino, kad konkrečiai darbo laiko sąrašai yra asmens duomenys.

( 22 ) Generalinio advokato M. Campos Sánchez‑Bordona išvadoje byloje Inspektor / Inspektorata kam Visshia sadeben savet (Asmens duomenų tvarkymo tikslai – Baudžiamasis tyrimas) (C‑180/21, EU:C:2022:406, 82 ir 83 punktai) buvo pripažinta, kad dokumentų perdavimas teismui nagrinėjant civilinę bylą yra duomenų tvarkymas. Dabar, kai skelbiama ši išvada, ta byla vis dar nagrinėjama Teisingumo Teisme.

( 23 ) Kiek tai susiję su Direktyva 2002/58, Teisingumo Teismas nusprendė, kad šia direktyva neatmetama galimybė valstybėms narėms nustatyti pareigą atskleisti asmens duomenis vystant civiliniam procesui. Šiuo klausimu žr. 2008 m. sausio 29 d. Sprendimą Promusicae (C‑275/06, EU:C:2008:54, 53 punktas). Mano nuomone, tas pats pasakytina apie BDAR.

( 24 ) Be to, Komisija nurodė, kad kita priežastis, kuria remiantis šiuo atveju galima pateisinti duomenų tvarkymo tikslo pakeitimą, yra nurodyta BDAR 23 straipsnio 1 dalies i punkte („duomenų subjekto apsauga arba kitų asmenų teisių ir laisvių apsauga“). Lenkijos vyriausybė nurodė BDAR 23 straipsnio 1 dalies j punktą („civilinių ieškinių vykdymo užtikrinimas“).

( 25 ) Tvarkyti duomenis vykdant viešosios valdžios funkcijas galima pagal BDAR 6 straipsnio 1 dalies e punktą.

( 26 ) Duomenų tvarkymas taip pat gali būti grindžiamas duomenų subjekto sutikimu. Vis dėlto nagrinėjamu atveju taip nėra.

( 27 ) Pagal Teisingumo Teismo ir valstybių narių teismų kompetencijos pasidalijimą per prejudicinio sprendimo priėmimo procedūrą nacionalinis teismas turi nuspręsti, ar taip iš tiesų yra.

( 28 ) 2019 m. sausio 16 d. Sprendimas Deutsche Post (C‑496/17, EU:C:2019:26, 57 punktas) ir 2020 m spalio 6 d. Sprendimas La Quadrature du Net ir kt. (C‑511/18, C‑512/18 ir C‑520/18, EU:C:2020:791, 208 punktas). Anksčiau Teisingumo Teismas tą pačią išvadą padarė dėl Direktyvos 95/46. Žr., pavyzdžiui, 2003 m. gegužės 20 d. Sprendimą Österreichischer Rundfunk ir kt. (C‑465/00, C‑138/01 ir C‑139/01, EU:C:2003:294, 65 punktas) ir 2014 m. gegužės 13 d. Sprendimą Google Spain ir Google (C‑131/12, EU:C:2014:317, 71 punktas).

( 29 ) Generalinio advokato P. Pikamäe išvada byloje Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2021:991, 36 punktas).

( 30 ) Teisingumo Teismas konstatavo, kad BDAR 6 straipsnyje pateiktas teisėto duomenų tvarkymo atvejų sąrašas yra išsamus ir baigtinis. Žr. 2021 m. birželio 22 d. Sprendimą Latvijas Republikas Saeima (Baudos taškai) (C‑439/19, EU:C:2021:504, 99 punktas). Kiek tai susiję su Direktyva 95/46, Teisingumo Teismas tokio paties požiūrio į asmens duomenų tvarkymo teisėtumą laikėsi 2017 m. gegužės 4 d. Sprendime Rīgas satiksme (C‑13/16, EU:C:2017:336, 25 punktas) ir 2019 m. gruodžio 11 d. Sprendime Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, 37 ir 38 punktai).

( 31 ) Taip pat žr. BDAR 39 konstatuojamąją dalį, kurioje nurodyta, kad: „<…> Asmens duomenys turėtų būti tinkami, susiję su tikslais, kuriais jie tvarkomi, ir riboti pagal tai, kiek jų yra būtina turėti atsižvelgiant į tikslus, kuriais jie tvarkomi; <…> Asmens duomenys turėtų būti tvarkomi tik tuomet, jei asmens duomenų tvarkymo tikslo pagrįstai negalima pasiekti kitomis priemonėmis.“

( 32 ) Teisingumo Teismas paaiškino, kad derinimas priklauso nuo konkrečių kiekvieno atvejo aplinkybių. Šiuo klausimu žr. 2017 m. gegužės 4 d. Sprendimą Rīgas satiksme (C‑13/16, EU:C:2017:336, 31 punktas). Taip pat žr. 2020 m. gruodžio 19 d. Sprendimą Asociaţia de Proprietari bloc M5A‑ScaraA (C‑708/18, EU:C:2020:104, 32 punktas).

( 33 ) Pagal analogiją žr. 2010 m. lapkričio 9 d. Sprendimą Volker und Markus Schecke ir Eifert (C‑92/09 ir C‑93/09, EU:C:2010:662, 77 punktas).

( 34 ) 2021 m. birželio 22 d. Sprendimas Latvijas Republikas Saeima (Baudos taškai) (C‑439/19, EU:C:2021:504, 98 punktas).

( 35 ) Fastec iš tiesų prašo prašymą priimti prejudicinį sprendimą pateikusio teismo arba atmesti Nycander prašymą pateikti darbo laiko apskaitos žurnalą, arba, nepatenkinus šio prašymo, pateikti darbo laiko apskaitos žurnalą tik nuasmeninus jame pateiktus duomenis. Komisija, remdamasi duomenų kiekio mažinimo principu ir BDAR 25 straipsnio 1 dalimi, kaip dar vieną galimą sprendimą pasiūlė pateikti darbo laiko apskaitos žurnalo pseudonimizuotą versiją.

( 36 ) Pavyzdžiui, nuasmeninus žurnalą duomenų valdytojas atleidžiamas nuo pareigos informuoti duomenų subjektus apie duomenų tvarkymą – to paprastai būtų reikalaujama pagal BDAR 14 straipsnį.

( 37 ) Kaip paaiškina prašymą priimti prejudicinį sprendimą pateikęs teismas, pagal RB teismai jau turi įvertinti įrodymų svarbą atsižvelgdami į priešingos šalies interesą neatskleisti tos informacijos.

( 38 ) Kiek tai susiję su Direktyva 2002/58, Teisingumo Teismas ne kartą konstatavo, kad kuo labiau ribojama teisė į duomenų apsaugą, tuo svarbesnis turi būti viešojo intereso tikslas. 2016 m. gruodžio 21 d. Sprendimas Tele2 Sverige ir Watson ir kt. (C‑203/15 ir C‑698/15, EU:C:2016:970, 115 punktas); 2018 m. spalio 2 d. Sprendimas Ministerio Fiscal (C‑207/16, EU:C:2018:788, 55 punktas); 2020 m. spalio 6 d. Sprendimas La Quadrature du Net ir kt. (C‑511/18, C‑512/18 ir C‑520/18, EU:C:2020:791, 131 punktas) ir 2021 m. kovo 2 d. Sprendimas Prokuratuur (Prieigos prie elektroninių ryšių duomenų sąlygos) (C‑746/18, EU:C:2021:152, 32 punktas).

( 39 ) Tose teisės sistemose, kurių procesinėse taisyklėse anksčiau nebuvo reikalaujama tokio vertinimo.