SKLEPNI PREDLOGI GENERALNE PRAVOBRANILKE

TAMARE ĆAPETA,

predstavljeni 6. oktobra 2022 ( 1 )

Zadeva C‑268/21

Norra Stockholm Bygg AB

proti

Per Nycander AB,

ob udeležbi

Entral AB

(Predlog za sprejetje predhodne odločbe, ki ga je vložilo Högsta domstolen (vrhovno sodišče, Švedska))

„Predhodno odločanje – Uredba (EU) 2016/679 – Varstvo osebnih podatkov – Člen 6(3) in (4) – Obdelava osebnih podatkov – Člen 23(1)(f) – Varstvo neodvisnosti sodstva in sodnega postopka – Predlog nasprotne stranke v civilnem postopku, naj se pritožnici odredi predložitev podatkov o delovnih urah njenih zaposlenih“

I. Uvod

1. „Vaša zasebnost nam veliko pomeni. Za izboljšanje uporabniške izkušnje uporabljamo piškotke. Prosimo, preglejte nastavitve zasebnosti. Sprejmi vse/Nastavitve. Podrobno preberite našo politiko varstva zasebnosti in politiko uporabe piškotkov.“ ( 2 )

2. Podobno sporočilo se pojavi ob obisku katere koli spletne strani.

3. To izhaja iz Splošne uredbe o varstvu podatkov (v nadaljevanju: SUVP) ( 3 ), ki je postala glavni instrument za varstvo osebnih podatkov v Evropski uniji.

4. Ali se SUVP pojavlja tudi v postopkih, ki potekajo pred nacionalnimi sodišči? Natančneje, ali se uporablja v zvezi z obveznostmi razkritja v civilnem postopku, ki poteka pred nacionalnim sodiščem? Če je tako, kakšne so obveznosti, ki v zvezi s tem nastanejo za ta sodišča? To so vidiki, ki jih mora Sodišče pojasniti v tej zadevi.

II. Dejansko stanje v postopku v glavni stvari in vprašanji za predhodno odločanje

5. Navedeni vidiki so bili izpostavljeni v zadevi, o kateri odloča predložitveno sodišče, Högsta domstolen (vrhovno sodišče, Švedska). Dejansko stanje v tej zadevi je mogoče povzeti, kot je navedeno v nadaljevanju. Družba Norra Stockholm Bygg AB (v nadaljevanju: Fastec), pritožnica v postopku v glavni stvari, je za družbo Per Nycander AB (v nadaljevanju: Nycander), nasprotno stranko v postopku v glavni stvari, izvedla gradnjo poslovne stavbe. Uslužbenci, ki so izvajali dela po pogodbi, so svojo prisotnost za davčne namene evidentirali v elektronski evidenci delovnega časa zaposlenih. Evidenco je vodila družba Entral AB, ki je delovala v imenu družbe Fastec.

6. Postopek v glavni stvari se je začel zaradi spora v zvezi s plačilom za opravljeno delo. Družba Nycander je izpodbijala zahtevek družbe Fastec za plačilo (v višini nekaj več kot 2.000.000 švedskih kron (SEK), približno 190.133 EUR), pri čemer je trdila, da je družba Fastec za delo porabila manj časa, kot traja obdobje, za katero zahteva plačilo.

7. Da bi družba Nycander dokazala resničnost te trditve, je predlagala, naj družba Entral predloži evidenco delovnega časa zaposlenih, ki jo je ta vodila za družbo Fastec. Družba Fastec je temu predlogu nasprotovala in trdila, da bi tako razkritje pomenilo kršitev SUVP, ker so bili zahtevani podatki zbrani za drug namen in jih ni mogoče uporabiti kot dokaz v postopku v glavni stvari.

8. Tingsrätt (okrožno sodišče, Švedska) je družbi Entral naložilo predložitev zadevne evidence, to odločitev pa je po pritožbi potrdilo tudi Svea hovrätt (višje sodišče v Stockholmu, Švedska).

9. Družba Fastec je zoper odločitev Svea hovrätt (višje sodišče v Stockholmu) vložila pritožbo pri Högsta domstolen (vrhovno sodišče), s katero je zadnjenavedenemu sodišču predlagala, naj to zavrne predlog družbe Nycander za razkritje ali, podredno, odredi predložitev anonimizirane različice evidence delovnega časa zaposlenih. V okviru tega postopka je Högsta domstolen (vrhovno sodišče) Sodišču predložilo predlog za sprejetje predhodne odločbe z naslednjima vprašanjema: „1. Ali člen 6(3) in (4) [SUVP] določa zahtevo tudi za nacionalne postopkovne predpise v zvezi z obveznostjo razkritja? 2. Če je odgovor na prvo vprašanje pritrdilen, ali [SUVP] pomeni, da je treba pri odločanju o razkritju, ki vključuje obdelavo osebnih podatkov, upoštevati tudi interes posameznikov, na katere se nanašajo osebni podatki? Ali v takih okoliščinah pravo Unije določa kakršne koli zahteve o tem, kako natančneje naj bi bilo treba sprejeti navedeno odločitev?“

10. Med postopkom so pisna stališča Sodišču predložile družba Fastec, češka, poljska in švedska vlada ter Evropska komisija. Družba Nycander, poljska in švedska vlada ter Komisija so na obravnavi, ki je potekala 27. junija 2022, ustno predstavile stališča.

III. Pravni okvir

A. Pravo Unije

11. Člen 5 SUVP določa načela, ki jih je treba spoštovati pri vsaki obdelavi osebnih podatkov: „1. Osebni podatki so: (a) obdelani zakonito, pošteno in na pregleden način v zvezi s posameznikom, na katerega se nanašajo osebni podatki (‚zakonitost, pravičnost in preglednost‘); (b) zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni; nadaljnja obdelava v namene arhiviranja v javnem interesu, v znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89(1) ne velja za nezdružljivo s prvotnimi nameni (‚omejitev namena‘); (c) ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo (‚najmanjši obseg podatkov‘); (d) točni in, kadar je to potrebno, posodobljeni; sprejeti je treba vse razumne ukrepe za zagotovitev, da se netočni osebni podatki brez odlašanja izbrišejo ali popravijo ob upoštevanju namenov, za katere se obdelujejo (‚točnost‘); (e) hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo; osebni podatki se lahko shranjujejo za daljše obdobje, če bodo obdelani zgolj za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89(1), pri čemer je treba izvajati ustrezne tehnične in organizacijske ukrepe iz te uredbe, da se zaščitijo pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki (‚omejitev shranjevanja‘); (f) obdelujejo se na način, ki zagotavlja ustrezno varnost osebnih podatkov, vključno z zaščito pred nedovoljeno ali nezakonito obdelavo ter pred nenamerno izgubo, uničenjem ali poškodbo z ustreznimi tehničnimi ali organizacijskimi ukrepi (‚celovitost in zaupnost‘). 2. Upravljavec je odgovoren za skladnost z odstavkom 1 in je to skladnost tudi zmožen dokazati (‚odgovornost‘).“

12. Člen 6 SUVP, naslovljen „Zakonitost obdelave“, v odstavkih 1, 3 in 4 določa: „1. Obdelava je zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev: […] (c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; […] (e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; […] 3. Podlaga za obdelavo iz točk (c) in (e) odstavka 1 je določena v skladu s: (a) pravom Unije; ali (b) pravom države članice, ki velja za upravljavca. Namen obdelave se določi v navedeni pravni podlagi ali pa je ta v primeru obdelave iz točke (e) odstavka 1 potrebna za opravljanje naloge, ki se izvaja v javnem interesu, ali pri izvajanju javne oblasti, dodeljene upravljavcu. Navedena pravna podlaga lahko vključuje posebne določbe, s katerimi se prilagodi uporaba pravil iz te uredbe, med drugim: splošne pogoje, ki urejajo zakonitost obdelave podatkov s strani upravljavca; vrste podatkov, ki se obdelujejo; zadevne posameznike, na katere se nanašajo osebni podatki; subjekte, katerim se osebni podatki lahko razkrijejo, in namene, za katere se lahko razkrijejo; omejitve namena; obdobja hrambe; ter dejanja obdelave in postopke obdelave, vključno z ukrepi za zagotovitev zakonite in poštene obdelave, kot tiste za druge posebne primere obdelave iz poglavja IX. Pravo Unije ali pravo države članice izpolnjuje cilj javnega interesa in je sorazmerno z zakonitim ciljem, za katerega si prizadeva. 4. Kadar obdelava podatkov za drug namen kot za tistega, za katerega so bili osebni podatki zbrani, ne temelji na privolitvi posameznika, na katerega se nanašajo osebni podatki, ali na pravu Unije ali pravu države članice, kar predstavlja potreben in sorazmeren ukrep v demokratični družbi za uresničevanje ciljev iz člena 23(1), upravljavec, da bi ocenil, ali je obdelava za drug namen združljiva z namenom, za katerega so bili osebni podatki prvotno zbrani, med drugim upošteva: (a) kakršno koli povezavo med nameni, za katere so bili osebni podatki zbrani, in nameni načrtovane nadaljnje obdelave; (b) okoliščine, v katerih so bili osebni podatki zbrani, zlasti kar zadeva razmerje med posamezniki, na katere se nanašajo osebni podatki, in upravljavcem; (c) naravo osebnih podatkov, zlasti ali se obdelujejo posebne vrste osebnih podatkov v skladu s členom 9 ali pa se obdelujejo osebni podatki v zvezi s kazenskimi obsodbami in prekrški v skladu s členom 10; (d) morebitne posledice načrtovane nadaljnje obdelave za posameznike, na katere se nanašajo osebni podatki; (e) obstoj ustreznih zaščitnih ukrepov, ki lahko vključujejo šifriranje ali psevdonimizacijo.“

13. Dalje, člen 23(1) SUVP ureja omejitve pravic in obveznosti, ki izhajajo iz SUVP: „1. Pravo Unije ali pravo države članice, ki velja za upravljavca ali obdelovalca podatkov, lahko z zakonodajnim ukrepom omeji obseg obveznosti in pravic iz členov 12 do 22 in člena 34, pa tudi člena 5, kolikor njegove določbe ustrezajo pravicam in obveznostim iz členov 12 do 22, če taka omejitev spoštuje bistvo temeljnih pravic in svoboščin ter je potreben in sorazmeren ukrep v demokratični družbi za zagotavljanje: […] (f) varstva neodvisnosti sodstva in sodnega postopka; […]“

B. Švedsko pravo

14. Člen 2, prvi odstavek, poglavja 38 rättegångsbalken (zakonik o sodnem postopku, v nadaljevanju: RB) določa, da mora vsakdo, ki razpolaga s pisno listino, za katero je mogoče šteti, da ima dokazno moč, to listino predložiti. Drugi odstavek iste določbe predpisuje izjeme od navedene obveznosti, ki med drugim veljajo za odvetnike, zdravnike, psihologe, duhovnike in druge uradnike, ki jim je bila informacija zaupana pri opravljanju njihovega poklica ali enakovredne dejavnosti. Člen 4 poglavja 38 RB, dalje, sodišču podeljuje pristojnost za izdajo odredbe o razkritju pisne listine kot dokaza.

15. Po navedbah predložitvenega sodišča mora sodišče pri preučitvi, ali mora oseba obvezno predložiti listino, pretehtati upoštevnost dokazov glede na interes nasprotne stranke, da se navedena informacija ne objavi. Vendar predložitveno sodišče pojasnjuje, da to ne vključuje upoštevanja zasebne narave razkritih informacij.

IV. Analiza

A. Predstavitev ozadja

16. SUVP je glavni akt Unije, ki ureja varstvo posameznikov pri obdelavi osebnih podatkov. SUVP je bila za razliko od svoje predhodnice, Direktive 95/46/ES ( 4 ), sprejeta na podlagi člena 16 PDEU. ( 5 ) V skladu z navedeno pravno podlago je zakonodajalcu Unije podeljeno pooblastilo za varovanje temeljne pravice do varstva osebnih podatkov iz člena 8(1) Listine Evropske unije o temeljnih pravicah (v nadaljevanju: Listina). ( 6 )

17. SUVP v zvezi z obdelavo osebnih podatkov določa, da je za skladnost obdelave odgovoren „upravljavec“ podatkov. ( 7 ) Zato je treba za vsako dejanje obdelave osebnih podatkov najprej ugotoviti, kdo je upravljavec podatkov.

18. V skladu s členom 4, točka 7, SUVP je upravljavec podatkov fizična ali pravna oseba, javni organ, agencija ali drugo telo, ki določa namene in sredstva obdelave osebnih podatkov.

19. V obravnavani zadevi sta bili opravljeni dve ločeni dejanji obdelave osebnih podatkov. Prvo dejanje obdelave je povezano z elektronsko evidenco delovnega časa zaposlenih, ki jo je v imenu družbe Fastec vodila družba Entral, saj je morala prvonavedena družba v skladu s švedsko zakonodajo zbirati podatke o številu opravljenih delovnih ur za davčne namene. V tem okviru je jasno, da je družba Fastec upravljavec, družba Entral pa obdelovalec podatkov. ( 8 )

20. Ni sporno, da je bilo to prvo dejanje obdelave podatkov v skladu s SUVP. Konkretno, člen 6(1)(c) SUVP določa, da je obdelava osebnih podatkov dovoljena, če je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca, v tem primeru za družbo Fastec. ( 9 ) Če bi se ugotovilo, da je bilo to prvo dejanje obdelave z vidika SUVP nezakonito, bi bila seveda nezakonita tudi ponovna obdelava teh podatkov za drug namen. ( 10 )

21. V obravnavani zadevi pa je zanimivo drugo dejanje obdelave (za drug namen) istih podatkov, ki so bili prvotno zbrani za davčne namene. Nov namen je namreč razkritje evidence delovnega časa zaposlenih, ki naj bi jo družba Entral predložila kot dokaz v civilnem postopku, ki poteka v sporu med družbama Fastec in Nycander. Predložitev te evidence za namene civilnega postopka bi nujno vključevala obdelavo osebnih podatkov.

22. V okviru drugega dejanja obdelave se vlogi, ki ju predvideva SUVP, glede na prvo dejanje obdelave spremenita. Pri tem je najpomembneje, da nacionalno sodišče z izdajo odredbe, s katero je družbi Entral naložilo predložitev evidence delovnega časa zaposlenih (v nadaljevanju: odredba o razkritju), prevzame vlogo subjekta, ki določa namene in sredstva drugega dejanja obdelave. ( 11 ) To sodišče je torej postalo upravljavec podatkov. ( 12 )

23. V okviru drugega dejanja obdelave podatkov bi bilo mogoče šteti, da je družba Fastec ohranila vlogo upravljavca ali pa da se je njena vloga spremenila in je zdaj skupaj z družbo Nycander uporabnik podatkov. ( 13 ) Tudi če bi družba Fastec skupaj z nacionalnim sodiščem ohranila vlogo upravljavca, ( 14 ) to ne bi vplivalo na obveznosti, ki jih ima nacionalno sodišče kot upravljavec. ( 15 ) Nazadnje, vloga družbe Entral ostaja nespremenjena. Ta družba je še vedno obdelovalec in še naprej obdeluje iste osebne podatke, čeprav to zdaj počne v imenu novega upravljavca, to je nacionalnega sodišča.

24. Predložitveno sodišče s prvim vprašanjem v bistvu sprašuje, ali lahko nacionalno sodišče v skladu s SUVP dejansko prevzame vlogo upravljavca, in če je tako, ali ta uredba določa kakršne koli zahteve za nacionalne postopkovne predpise, ki urejajo pristojnosti in obveznosti sodišč v civilnem postopku. Če se SUVP uporablja in ima nacionalno sodišče vlogo upravljavca, predložitveno sodišče z drugim vprašanjem sprašuje, kako bi moralo tako sodišče odločiti o razkritju osebnih podatkov, ki naj bi se uporabili kot dokaz v civilnem postopku.

25. Iskanja odgovorov na vprašanji predložitvenega sodišča se bom lotila tako: najprej bom pojasnila, zakaj menim, da se SUVP uporablja za civilne postopke, ki potekajo pred sodišči držav članic, in kako to vpliva na obstoječe postopkovne predpise držav članic (B). Nato pa bom obravnavala metodologijo, ki bi jo morala nacionalna sodišča kot upravljavci podatkov uporabiti, da bi izpolnila zahteve SUVP (C).

B. SUVP se uporablja za civilne postopke, ki potekajo pred nacionalnimi sodišči, in dopolnjuje postopkovna pravila držav članic

26. Predložitveno sodišče s prvim vprašanjem v bistvu sprašuje, ali se SUVP uporablja za civilne sodne postopke in kako to vpliva na upoštevna postopkovna pravila. Natančneje, sprašuje se, ali to vpliva na nacionalne predpise, ki urejajo pristojnosti in obveznosti sodišč v zvezi z odreditvijo razkritja listinskih dokazov. Na to vprašanje bom odgovorila v treh korakih.

1. Dejavnosti nacionalnih sodišč v civilnih postopkih niso izključene iz SUVP

27. Stvarno področje uporabe SUVP je opredeljeno v členu 2(1) te uredbe in namesto institucionalnega upošteva funkcionalen pristop. Gre namreč za vprašanje, kaj (dejavnost obdelave osebnih podatkov) povzroči uporabo SUVP, ne pa kdo. ( 16 )

28. Položaji, ki so izključeni s področja uporabe SUVP in so našteti v členu 2(2) SUVP, so prav tako funkcionalne narave. Sodišče je glede na to, da ti položaji pomenijo izjemo od uporabe SUVP, menilo, da jih je treba razlagati ozko. ( 17 )

29. Zato s področja uporabe SUVP niso izključene dejavnosti javnih organov kot take, ampak to velja zgolj, kadar ti organi izvajajo dejavnosti, navedene v členu 2(2) SUVP. ( 18 ) S tega vidika je jasno, da dejavnosti sodišč v civilnih postopkih na podlagi navedene določbe niso izključene s stvarnega področja uporabe SUVP.

30. Ugotovitev, da se SUVP uporablja za dejavnosti sodišč, potrjuje besedilo uvodne izjave 20 SUVP, ( 19 ) v kateri je navedeno, da se ta uredba uporablja za dejavnosti sodišč in drugih pravosodnih organov. ( 20 )

31. Izključitev pristojnosti nadzornih organov v razmerju do sodišč, kadar ta delujejo kot sodni organ, ki je določena v členu 55(3) SUVP, ne vpliva na navedeno ugotovitev. Ravno nasprotno, ta določba po mojem mnenju potrjuje, da obveznosti, ki jih določa SUVP, veljajo tudi za sodišča, kadar ta delujejo kot sodni organ. Navedena določba s tem, da nadzornim organom prepoveduje izvajanje nadzora nad dejanji obdelave sodišč, ščiti njihovo neodvisnost in nepristranskost.

32. V obravnavani zadevi gre za obdelavo osebnih podatkov, ki spada na stvarno področje uporabe SUVP. Vzpostavitev in vodenje elektronske evidence delovnega časa zaposlenih sta povezana z obdelavo osebnih podatkov. ( 21 ) Odreditev razkritja takih osebnih podatkov v okviru civilnega postopka prav tako pomeni dejanje obdelave teh podatkov. ( 22 ) Položaj iz postopka v glavni stvari zato spada na stvarno področje uporabe SUVP.

33. Kaj to pomeni za izvajanje nacionalnih postopkovnih pravil, kakršna so določena v RB?

2. Zakonitost obdelave podatkov, ki jo opravijo nacionalna sodišča, je pogojena z nacionalnim pravom

34. Pravna podlaga za sprejetje odredbe o razkritju, ki je predmet obravnavane zadeve, je RB.

35. SUVP namreč določa, da mora pravna podlaga za obdelavo podatkov v položaju, kakršen je ta v obravnavani zadevi, izhajati iz prava države članice (ali EU). ( 23 )

36. Zadevni podatki, ki so bili prvotno zbrani in obdelani za davčne namene, naj bi se zdaj na podlagi odredbe o razkritju, izdane v obravnavani zadevi, obdelali za namene dokazovanja v okviru sodnega postopka.

37. Člen 6(4) SUVP dopušča obdelavo podatkov za drug namen, če ta temelji na pravu države članice, kar predstavlja potreben in sorazmeren ukrep v demokratični družbi za uresničevanje ciljev iz člena 23(1) SUVP. V členu 23(1)(f) je med temi cilji navedeno zagotavljanje „varstva neodvisnosti sodstva in sodnega postopka“.

38. Vsi udeleženci tega postopka predhodnega odločanja se strinjajo, da je člen 23(1)(f) SUVP ustrezna določba, na katero se je treba opreti, da bi se upravičila obdelava podatkov za drug namen, ki se opravi na podlagi RB. ( 24 )

39. V skladu z določbami RB so nacionalna sodišča pristojna za izdajo odredbe o razkritju vsebine listin v civilnem postopku, če imajo te dokazno vrednost. Če listina, katere vsebina naj bi se razkrila, vsebuje osebne podatke, potem sodišče, ki tako razkritje odredi, v skladu s SUVP, kot sem že pojasnila, prevzame vlogo upravljavca podatkov.

40. Komisija je na obravnavi pojasnila, da ima nacionalno sodišče vlogo običajnega upravljavca podatkov le do neke mere. Nacionalna sodišča naj bi namreč lahko podatke obdelovala zgolj pri izvajanju javne oblasti.

41. Kadar se podatki obdelujejo pri izvajanju javne oblasti, ( 25 ) mora taka obdelava v skladu s členom 6(3) SUVP temeljiti na pravu EU ali države članice.

42. Obstoj nacionalnega predpisa (ali predpisa Unije) kot pravne podlage za obdelavo podatkov se torej zahteva tako na podlagi člena 6(4) SUVP (ki dopušča obdelavo za drug namen) kot tudi na podlagi člena 6(3) SUVP (ki dopušča obdelavo podatkov pri izvajanju javne oblasti). ( 26 )

43. Zakonitost zadevne obdelave podatkov je torej nujno pogojena z določbami RB, ki sodišču podeljujejo pristojnost za izdajo odredbe o razkritju.

3. SUVP dopolnjuje nacionalna postopkovna pravila

44. Ali so zahteve, ki jih SUVP določa glede zakonitosti obdelave podatkov, izpolnjene, če obstaja pravna podlaga, ki jo predpisuje SUVP, in če je odredba, ki vključuje obdelavo osebnih podatkov, sprejeta v skladu s pravom države članice?

45. Menim, da je obstoj pravne podlage v nacionalnem pravu sicer nujen, vendar ne zadostuje za to, da bi bila odredba o razkritju v skladu s SUVP.

46. Predložitveno sodišče je pojasnilo, da se pri odločanju o morebitnem razkritju dokazov v skladu z RB načeloma ne upošteva, ali so informacije zasebne narave. Sodišča naj bi sicer morala upoštevati interese obeh nasprotnih strank, vendar naj v predpisih kot takih ne bi bilo navedeno, da imajo interesi posameznikov, na katere se nanašajo osebni podatki, pri tem kakršno koli vlogo.

47. Ali so torej določbe RB nezdružljive s SUVP, ker sodiščem, če ta prevzamejo vlogo upravljavca podatkov, izrecno ne nalagajo, naj pri sprejemanju odločitev, ki bi lahko vplivale na osebne podatke posameznikov, na katere se ti podatki nanašajo, upoštevajo njihove interese?

48. Menim, da ni tako. Upoštevati je treba, da različni nacionalni akti, ki so pravna podlaga za obdelavo podatkov, niso bili sprejeti posebej zaradi izvajanja SUVP, ampak so namenjeni uresničevanju lastnih ciljev. Poleg tega se SUVP neposredno uporablja v pravnih redih držav članic in ne zahteva sprejetja določb o prenosu te uredbe. Pomembno je torej, da nacionalna postopkovna pravila, kadar obstajajo hkrati s SUVP, omogočajo sočasno uporabo določb te uredbe.

49. Švedska vlada je na obravnavi potrdila, da RB sodiščem sicer ne nalaga, naj upoštevajo interese posameznikov, na katere se nanašajo osebni podatki, vendar jim tega obenem tudi ne prepoveduje. Zato naj ne bi nasprotoval neposredni uporabi SUVP v okviru sodnega postopka, ki ga ta zakonik ureja.

50. Za nacionalna sodišča se torej vzporedno uporabljajo nacionalna postopkovna pravila in SUVP, pri čemer zadnjenavedena dopolnjuje nacionalna pravila, če procesna dejanja sodišč vključujejo obdelavo osebnih podatkov.

51. Skratka, nobene potrebe ni, da bi se nacionalni predpisi izrecno sklicevali na SUVP ali da bi sodiščem nalagali upoštevanje interesov posameznikov, na katere se osebni podatki nanašajo. Zadostuje že to, da taki predpisi omogočajo komplementarno uporabo SUVP. Nacionalni akt bi bil v nasprotju s SUVP le, če ne bi bilo tako. Zdi pa se, da RB omogoča komplementarno uporabo SUVP. ( 27 )

52. V odgovor na prvo vprašanje predložitvenega sodišča tako ugotavljam, da člen 6(3) in (4) SUVP določa zahteve za nacionalne postopkovne predpise v zvezi z obveznostmi razkritja, kadar tako razkritje vključuje obdelavo osebnih podatkov. Nacionalni postopkovni predpisi v takem primeru ne morejo preprečiti upoštevanja interesov posameznikov, na katere se osebni podatki nanašajo. Ti interesi so zaščiteni, če nacionalna sodišča pri odločanju o razkritju listinskih dokazov v posamezni zadevi spoštujejo pravila iz SUVP.

C. Obveznosti nacionalnega sodišča v zvezi z interesi posameznikov, na katere se nanašajo osebni podatki

53. Ker se SUVP uporablja za subjekte, kakršni so nacionalna sodišča, morajo ta, kadar imajo vlogo upravljavca podatkov, upoštevati interese posameznikov, na katere se nanašajo osebni podatki. Kako je treba te interese upoštevati pri sprejemanju konkretne odločitve o razkritju? To je bistvo drugega vprašanja predložitvenega sodišča.

1. Sorazmernost

54. Varstvo interesov posameznikov, na katere se nanašajo osebni podatki, je zagotovljeno, če je obdelava njihovih osebnih podatkov v skladu s členoma 5 in 6 SUVP. ( 28 ) Kot ugotavlja generalni pravobranilec P. Pikamäe, namreč skladnost s členoma 5 in 6 SUVP zagotavlja varstvo pravice do zasebnega in družinskega življenja in pravice do varstva osebnih podatkov iz člena 7 oziroma člena 8 Listine. ( 29 )

55. Zakoniti cilji obdelave podatkov so navedeni v členu 6 SUVP. ( 30 ) Kot sem pojasnila v prejšnjem oddelku teh sklepnih predlogov, se podatki v obravnavani zadevi obdelujejo za zakonit namen, saj je sodišče izvajalo javno oblast, ko je na podlagi nacionalnega predpisa, s katerim se zagotavlja pravilen potek sodnega postopka, odredilo razkritje teh podatkov. Vendar tako člen 6 kot člen 5 SUVP ne zahtevata le obstoja zakonitega cilja, ampak tudi to, da mora biti obdelava podatkov v konkretnem primeru potrebna za dosego tega cilja.

56. SUVP torej sodišču nalaga, da pri ugotavljanju, ali je razkritje osebnih podatkov v konkretnih okoliščinah potrebno za namene dokazovanja v okviru sodnega postopka, opravi analizo sorazmernosti. ( 31 )

57. S tega vidika se v skladu s členom 6(4) SUVP zahteva, da je nacionalno pravo, na katerem temelji obdelava podatkov za drug namen, potreben in sorazmeren ukrep za uresničevanje enega od ciljev, navedenih v členu 23(1) SUVP, v tem primeru za zagotavljanje varstva neodvisnosti sodstva in sodnega postopka. Dalje, na podlagi člena 6(3) SUVP se zahteva, da je obdelava, ki se opravi v okviru izvajanja javne oblasti, potrebna pri izvajanju javne oblasti, dodeljene upravljavcu.

58. V nacionalnem pravu, ki je podlaga za obdelavo podatkov, so lahko zahteve iz člena 6(3) in (4) SUVP izpolnjene in abstracto. Kljub temu pa je zakonitost vsake posamezne obdelave (vključno z obdelavo v okviru konkretne odredbe sodišča o razkritju) odvisna od tehtanja vseh zadevnih interesov v posameznem primeru, pri čemer je treba upoštevati zakonit namen, za katerega se je razkritje podatkov zahtevalo. ( 32 ) Le tako lahko nacionalno sodišče presodi, ali in v kolikšnem obsegu je razkritje podatkov potrebno.

59. Očitno je torej, da je treba v skladu s SUVP opraviti analizo sorazmernosti. Ali SUVP vsebuje še kak drug koristen element, na katerega se je mogoče opreti pri iskanju odgovora na vprašanje, katere konkretne ukrepe mora sodišče sprejeti v okviru take analize?

2. Specifični ukrepi, ki jih mora sprejeti nacionalno sodišče

60. Kot sem že pojasnila, je treba analizo sorazmernosti opraviti v vsakem posameznem primeru in pri tem upoštevati vse zadevne interese. V okoliščinah, kakršne so te v obravnavani zadevi, je treba interese, na katerih temelji razkritje, pretehtati glede na poseg v pravico do varstva osebnih podatkov. ( 33 )

61. Interesi, na katerih temelji razkritje, odražajo pravico do učinkovitega sodnega varstva (člen 47 Listine). Interesi posameznikov, na katere se nanašajo osebni podatki, s katerimi je prvonavedena pravica v nasprotju, pa odražajo pravico do zasebnega in družinskega življenja (člen 7 Listine) ter pravico do varstva osebnih podatkov (člen 8 Listine). Te pravice je torej treba uravnotežiti, da bi bilo mogoče presodili, ali je razkritje osebnih podatkov potrebno.

62. V nadaljevanju bom podala nekaj predlogov glede specifičnih ukrepov, za katere je mogoče pričakovati, da jih bo nacionalno sodišče sprejelo.

63. Za začetek naj poudarim, da je mogoče vselej domnevati, da imajo posamezniki, na katere se nanašajo osebni podatki in ki v obdelavo teh podatkov niso privolili, interes za omejitev obdelave njihovih osebnih podatkov. To je torej temeljno izhodišče za nacionalno sodišče, ki mora utemeljiti, zakaj je poseg v ta interes potreben.

64. Po mojem mnenju je mogoče ugotoviti, da napotki za izvedbo te presoje izhajajo iz člena 5 SUVP, v katerem so navedena načela, ki jih mora upravljavec spoštovati pri obdelavi osebnih podatkov.

65. V zvezi s tem je načelo najmanjšega obsega podatkov, ki je določeno v členu 5(1)(c) SUVP, poglavitnega pomena. Za ta pogoj velja, kot je poudarilo Sodišče, ( 34 ) da izraža načelo sorazmernosti. Z njim se zahteva, da so osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.

66. Zato se je treba najprej vprašati, ali so podatki iz evidence delovnega časa zaposlenih, ki jo je vodila družba Entral, ustrezni. Ti podatki bi bili ustrezni za namen, za katerega naj bi se razkrili, če bi bilo mogoče iz njih dejansko razbrati število delovnih ur, ki so jih zaposleni v družbi Fastec opravili na gradbišču.

67. Drugo vprašanje, ki si ga je treba zastaviti, pa je, ali so podatki iz evidence delovnega časa zaposlenih, ki jo je vodila družba Entral, relevantni za namen, za katerega se zahtevajo. Zdi se, da je ta namen povezan z interesom družbe Nycander po dokazovanju resničnosti trditve, da so uslužbenci družbe Fastec opravili manj ur, kot je bilo navedeno na izstavljenem računu. V takih okoliščinah bi bila evidenca delovnega časa zaposlenih relevantna, če bi bilo mogoče resničnost navedene trditve z njo dejansko dokazati ali ovreči. Nacionalno sodišče mora relevantnost te evidence presojati glede na druge okoliščine dejanskega stanja v obravnavani zadevi (na primer glede na trditev družbe Fastec, da zadevna evidenca vsebuje le določen del upoštevnih delovnih ur, saj naj bile druge opravljene zunaj gradbišča).

68. Da bi lahko nacionalno sodišče izpolnilo tretjo zahtevo glede najmanjšega obsega podatkov, mora ugotoviti, ali so za namene dokazovanja dovolj vsi ali le nekateri podatki, ki jih vsebuje evidenca delovnega časa zaposlenih. Poleg tega se v skladu z načelom najmanjšega obsega podatkov zahteva, da se za dokazovanje istega dejanskega stanja uporabijo drugi načini, če obstajajo. Na primer, nacionalno sodišče bi morda moralo opraviti presojo trditve družbe Fastec, da je mogoče število dejansko opravljenih delovnih ur preveriti na podlagi listin iz spisa, ki so bile v postopku pred predložitvenim sodiščem že vložene. Če ugotovi, da to drži, potem nacionalno sodišče ne sme odrediti razkritja osebnih podatkov iz evidence delovnega časa zaposlenih.

69. Nacionalno sodišče mora ugotoviti, katere vrste osebnih podatkov, ki jih vsebuje evidenca delovnega časa zaposlenih, zadostujejo za dokazovanje resničnosti oziroma neresničnosti upoštevnih elementov dejanskega stanja. V zvezi s tem se v skladu z načelom najmanjšega obsega podatkov zahteva, da se razkrijejo le podatki, ki so nujno potrebni za zadevni namen. Zato se lahko izkaže, da bo morala družba Entral kot obdelovalec podatkov to evidenco spremeniti tako, da se bodo osebni podatki omejili na najmanjši potreben obseg, obenem pa omogočila določitev števila dejansko opravljenih delovnih ur.

70. V zvezi s tem mora nacionalno sodišče presoditi, ali morajo biti osebe, katerih podatki se vodijo v evidenci, določljive, da bi razkritje teh podatkov imelo dokazno vrednost (na primer, ali je treba posamezne delavce navesti poimensko, da bi jim bilo mogoče poslati vabila za pričanje na sodišču). V nasprotnem primeru pa je morda dovolj že to, da se pridobijo informacije o skupnem številu delovnih ur, opravljenih na gradbišču, in/ali o številu oseb, ki so te ure opravile.

71. Sodišče se lahko glede na odgovore, ki jih bo podalo na zgornja vprašanja, odloči, da bo zahtevalo razkritje psevdonimiziranih ali anonimiziranih podatkov. ( 35 )

72. V skladu z uvodno izjavo 26 SUVP velja, da podatki, ki so bili psevdonimizirani, še naprej spadajo na stvarno področje uporabe SUVP. To pa zato, ker je na podlagi takih podatkov še vedno mogoče ugotoviti identiteto osebe, za katero se uporabi psevdonim. Ravno nasprotno pa velja za anonimizirane podatke, ki ne spadajo na področje uporabe SUVP. Način razkritja, ki ga bo na koncu odredilo nacionalno sodišče, bo torej vplival tudi na to, ali se SUVP še naprej uporablja. ( 36 )

73. Nacionalno sodišče bo moralo nazadnje presoditi dokazno vrednost posameznih različic evidence delovnega časa zaposlenih, da bi lahko odločilo, katera vrsta postopka zagotavljanja najmanjšega obsega podatkov je sploh potrebna za uspešno dokončanje sodnega postopka, v katerem odloča.

74. Za nacionalno sodišče pa so poleg načela najmanjšega obsega podatkov iz člena 5(1)(c) SUVP zavezujoča tudi druga načela iz člena 5 SUVP, ki so upoštevna za izbiro načina sprejetja odredbe o razkritju.

75. Na primer, v členu 5(1)(a) SUVP je poleg načela zakonitosti (ki je podrobneje razdelano v členu 6 SUVP) navedeno tudi načelo preglednosti. To načelo po mojem mnenju zahteva, da nacionalno sodišče jasno predstavi razloge, zaradi katerih se je odločilo za izdajo odredbe o razkritju osebnih podatkov, pri čemer mora med drugim navesti, kako je pretehtalo različne interese in trditve strank v zvezi s tem razkritjem.

76. Tehtna obrazložitev, ki jo sodišče poda v odredbi o razkritju, izpolnjuje tudi zahtevo iz člena 5(2) SUVP, v skladu s katero mora biti upravljavec podatkov sposoben dokazati skladnost z načeli iz člena 5(1) SUVP.

77. Načine zagotavljanja skladnosti z načeli iz člena 5 SUVP je mogoče razbrati tudi iz besedila uvodne izjave 31 SUVP. V njej je navedeno, da bi morale biti „[z]ahteve za razkritje, ki jih predložijo javni organi, […] vedno v pisni obliki, utemeljene in občasne ter ne bi smele zadevati celotne zbirke ali voditi k medsebojnemu povezovanju zbirk“.

78. Poljska vlada je navedla pomislek glede presoje sorazmernosti, ki jo mora opraviti nacionalno sodišče: ali to, da mora nacionalno sodišče presojati dokazno vrednost evidence delovnega časa zaposlenih ali drugega dokaza, predloženega v postopku, v katerem odloča, ne pomeni, da se sodišče že preveč vpleta na področje, ki bi moralo ostati v domeni strank, in sicer v prizadevanja za predstavitev kar najbolj prepričljivih trditev glede same dokazne vrednosti takega dokaza?

79. Menim, da presoja dokazne vrednosti, v okviru katere se upoštevajo interesi posameznikov, na katere se nanašajo osebni podatki, ne pomeni večjega poseganja v posamezno zadevo kot presoja dokazne vrednosti kakršnih koli drugih dokazov, ki se opravi v okviru civilnega postopka. ( 37 )

80. Raven poseganja nacionalnega sodišča bo odvisna od očitnosti dokazne vrednosti podatkov, katerih razkritje se predlaga v okoliščinah posameznega primera. To, v kolikšnem obsegu bi lahko razkritje poseglo v interese posameznikov, na katere se nanašajo osebni podatki, bo vselej odvisno od posamezne zadeve.

81. Na primer, v nekaterih zadevah gre lahko za občutljive podatke, za katere velja poseben sistem varstva iz člena 9 SUVP, ali za podatke v zvezi s kazenskimi sankcijami, za katere velja ureditev iz člena 10 te uredbe. V takih okoliščinah bodo interesi posameznikov, na katere se nanašajo osebni podatki, pri tehtanju nujno imeli večjo težo. ( 38 ) Tudi interes za razkritje se lahko glede na zadevo razlikuje. Medtem ko bo včasih jasno, da so zahtevani dokazi postranskega pomena, pa se bo v drugih zadevah izkazalo, da so odločilni za odločitev o sporu. S tega vidika je stališče Komisije, da bi moralo imeti nacionalno sodišče pri takem presojanju široko diskrecijsko pravico, umestno. Kljub temu pa bi moralo nacionalno sodišče vselej obvezno upoštevati interese posameznikov, na katere se nanašajo osebni podatki.

82. Češka vlada je izrazila še en pomislek: če bi nacionalnim sodiščem naložili, da morajo vsakič, ko odredijo razkritje listinskih dokazov, upoštevati interese posameznikov, na katere se nanašajo osebni podatki, bi to lahko oviralo pravilno izvedbo sodnega postopka. S SUVP naj bi se namreč uvedla dodatna obveznost ( 39 ) za sodišča, ki naj bi morala pred odreditvijo razkritja listinskih dokazov, ki vsebujejo osebne podatke, opraviti preizkus sorazmernosti. Vendar tehtanje interesov za sodišča ni neobičajna miselna naloga, prav tako pa se breme, ki ga nosijo nacionalna sodišča, ne razlikuje od bremena, ki ga SUVP nalaga kateremu koli drugemu upravljavcu podatkov.

83. Če naj bi se državljanom Unije zagotavljala visoka raven varstva osebnih podatkov, kar izhaja iz volje zakonodajalca Unije, izražene v SUVP, potem ni mogoče šteti, da zahteva po upoštevanju interesov posameznikov, na katere se nanašajo osebni podatki, pomeni pretirano breme za sodišča držav članic.

84. Sodišču torej predlagam, naj na drugo vprašanje predložitvenega sodišča odgovori tako: nacionalno sodišče mora pri odločanju o izdaji odredbe o razkritju v civilnem postopku, ki vključuje obdelavo osebnih podatkov, opraviti analizo sorazmernosti, pri kateri se upoštevajo interesi posameznikov, na katere se nanašajo osebni podatki in katerih osebni podatki naj bi se obdelali, ter te interese uravnotežiti z interesi strank v postopku za pridobitev dokazov. Ta presoja sorazmernosti temelji na načelih iz člena 5 SUVP, vključno z načelom najmanjšega obsega podatkov.

V. Predlog

85. Glede na navedeno Sodišču predlagam, naj na vprašanji za predhodno odločanje, ki ju je postavilo Högsta domstolen (vrhovno sodišče, Švedska), odgovori: 1. Člen 6(3) in (4) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) določa zahteve za nacionalne postopkovne predpise v zvezi z obveznostmi razkritja, kadar razkritje vključuje obdelavo osebnih podatkov. Nacionalni postopkovni predpisi v takem primeru ne morejo preprečiti upoštevanja interesov posameznikov, na katere se osebni podatki nanašajo. Ti interesi so zaščiteni, če nacionalna sodišča pri odločanju o razkritju listinskih dokazov v posameznem primeru spoštujejo pravila iz Uredbe 2016/679. 2. Nacionalno sodišče mora pri odločanju o izdaji odredbe o razkritju v civilnem postopku, ki vključuje obdelavo osebnih podatkov, opraviti analizo sorazmernosti, pri kateri se upoštevajo interesi posameznikov, na katere se nanašajo osebni podatki in katerih osebni podatki naj bi se obdelali, ter te interese uravnotežiti z interesi strank v postopku za pridobitev dokazov. Ta presoja sorazmernosti temelji na načelih iz člena 5 Uredbe 2016/679, vključno z načelom najmanjšega obsega podatkov.

( 1 ) Jezik izvirnika: angleščina.

( 2 ) To konkretno sporočilo se prikaže na spletnem naslovu https://eulawlive.com/.

( 3 ) Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1).

( 4 ) Direktiva Evropskega parlamenta in Sveta z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 15, str. 355). Direktiva 95/46 je bila sprejeta na pravni podlagi v zvezi z notranjim trgom. Za prvotno analizo sprememb, uvedenih na podlagi SUVP, glej Van Alsenoy, B., „Liability under EU Data Protection Law. From Directive 95/46 to the General Data Protection Regulation“, Journal of Intellectual Property, Information Technology and Electronic Commerce Law, zvezek 7, 2016, str. od 271 do 288.

( 5 ) Sodna praksa, v kateri je podana razlaga Direktive 95/46, je upoštevna tudi za SUVP, čeprav ta temelji na drugi pravni podlagi. Glej v zvezi s tem sodbo z dne 17. junija 2021, M. I. C. M. (C‑597/19, EU:C:2021:492, točka 107). Zato se bom, kjer je to upoštevno, sklicevala na sodno prakso Sodišča v zvezi z Direktivo 95/46. Prav tako se bom v delih, v katerih so v zvezi z omejitvami pravice do varstva podatkov podane podobne rešitve, sklicevala tudi na sodno prakso Sodišča v zvezi z Direktivo 2002/58 Evropskega parlamenta in Sveta z dne 12. julija 2002 o obdelavi osebnih podatkov in varstvu zasebnosti na področju elektronskih komunikacij (Direktiva o zasebnosti in elektronskih komunikacijah) (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 29, str. 514). Sodišče je menilo, da je treba razlago omejitev pravic, ki izhajajo iz Direktive 2002/58, smiselno uporabiti za razlago SUVP. Glej v tem smislu sodbo z dne 6. oktobra 2020, La Quadrature du Net in drugi (C‑511/18, C‑512/18 in C‑520/18, EU:C:2020:791, točke od 209 do 211).

( 6 ) Glej uvodno izjavo 1 SUVP.

( 7 ) Glej člen 5(2) SUVP.

( 8 ) V členu 4, točka 8, SUVP je obdelovalec opredeljen kot: „fizičn[a] ali pravn[a] oseb[a], javni organ, agencij[a] ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca“.

( 9 ) Člen 6(3) SUVP določa, da mora biti podlaga, če se obdelava izvaja zaradi izpolnitve zakonske obveznosti, ki velja za upravljavca podatkov, določena v skladu s pravom Unije ali države članice, ki izpolnjuje cilj javnega interesa in je sorazmerno z zakonitim ciljem, za katerega si prizadeva. V sodbi z dne 16. januarja 2019, Deutsche Post (C‑496/17, EU:C:2019:26, točke od 60 do 63), se je spoštovanje nacionalne davčne zakonodaje štelo za zakonit namen.

( 10 ) Glej po analogiji sodbo z dne 2. marca 2021, Prokuratuur (Pogoji za dostop do podatkov o elektronskih komunikacijah) (C‑746/18, EU:C:2021:152, točka 44).

( 11 ) Določitev namena in sredstev obdelave osebnih podatkov je glavno dejanje, na podlagi katerega se ugotovi, kdo je upravljavec. Glej sodbo z dne 10. julija 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551, točka 68). Glej tudi Bygrave, L. A., in Tossoni, L., „Article 4(7). Controller“, v: Kuner, C., Bygrave, L. A., Docksey, C., in Drechsler, L., (ur.), The EU General Data Protection Regulation (GDPR): A Commentary, OUP, Oxford, 2021, na str. 150.

( 12 ) Poljska in švedska vlada ter Komisija so se na obravnavi strinjale, da je to vlogo zdaj prevzelo nacionalno sodišče. Družba Nycander pa je trdila, da je podjetje Fastec tudi v okviru drugega dejanja obdelave še vedno edini upravljavec, medtem ko ima nacionalno sodišče vlogo posrednika. Opozoriti je treba, da se izraz „posrednik“ v SUVP sploh ne uporablja.

( 13 ) V členu 4, točka 9, SUVP so uporabniki opredeljeni kot fizične ali pravne osebe, javni organi, agencije ali druga telesa, ki so jim bili osebni podatki razkriti, ne glede na to, ali so tretja oseba ali ne. Tako družba Fastec kot družba Nycander bosta kot stranki v civilnem postopku postali uporabnika podatkov, obdelanih na podlagi odredbe sodišča o razkritju. Komisija je na obravnavi vztrajala pri stališču, da ima družba Fastec še naprej vlogo upravljavca in da ni prevzela vloge uporabnika.

( 14 ) Člen 26(1) SUVP določa: „Dva ali več upravljavcev, ki skupaj določijo namene in načine obdelave, so skupni upravljavci. Skupni upravljavci na pregleden način z medsebojnim dogovorom določijo dolžnosti vsakega od njih z namenom izpolnjevanja obveznosti v skladu s to uredbo, zlasti v zvezi z uresničevanjem pravic posameznika, na katerega se nanašajo osebni podatki, in nalogami vsakega od njih glede zagotavljanja informacij iz členov 13 in 14, razen če in kolikor so dolžnosti vsakega od upravljavcev določene s pravom Unije ali pravom države članice, ki velja za upravljavce. Z dogovorom se lahko določi kontaktna točka za posameznike, na katere se nanašajo osebni podatki.“ Glej tudi sodbo z dne 29. julija 2019, Fashion ID (C‑40/17, EU:C:2019:629, točka 67).

( 15 ) Sodišče je pojasnilo, da je pojem upravljavca širok in da so lahko v različnih fazah obdelave vključeni različni subjekti. Sodba z dne 29. julija 2019, Fashion ID (C‑40/17, EU:C:2019:629, točka 70).

( 16 ) Zadnjenavedeno je upoštevno le izjemoma. Na primer, v skladu s členom 2(3) SUVP se ta uredba ne uporablja za institucije, organe, urade in agencije Unije. Vendar zanje velja Uredba (ES) št. 45/2001 Evropskega parlamenta in Sveta z dne 18. decembra 2000 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah in organih Skupnosti in o prostem pretoku takih podatkov (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 26, str. 102).

( 17 ) Sodba z dne 9. julija 2020, Land Hessen (C‑272/19, EU:C:2020:535, točka 68).

( 18 ) Člen 2(2) SUVP določa: „Ta uredba se ne uporablja za obdelavo osebnih podatkov: (a) v okviru dejavnosti zunaj področja uporabe prava Unije; (b) s strani držav članic, kadar izvajajo dejavnosti, ki spadajo na področje uporabe poglavja 2 naslova V PEU; (c) s strani fizične osebe med potekom popolnoma osebne ali domače dejavnosti; (d) s strani pristojnih organov za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem.“

( 19 ) V uvodni izjavi 20 SUVP je navedeno: „Ker se ta uredba med drugim uporablja za dejavnosti sodišč in drugih pravosodnih organov, bi lahko v pravu Unije ali pravu držav članic podrobneje določili dejanja obdelave in postopke obdelave v zvezi z obdelavo osebnih podatkov s strani sodišč in drugih pravosodnih organov. Pristojnost nadzornih organov ne bi smela obsegati obdelave osebnih podatkov, kadar sodišča delujejo kot sodni organ, da se zaščiti neodvisnost sodstva pri opravljanju sodnih nalog, vključno z odločanjem. Omogočeno bi moralo biti, da se nadzor takih dejanj obdelave podatkov zaupa posebnim organom v okviru sodnega sistema države članice, ki naj bi zlasti zagotovili upoštevanje pravil te uredbe, izboljšali ozaveščenost delavcev v sodstvu glede njihovih obveznosti na podlagi te uredbe in obravnavali pritožbe v zvezi s takimi dejanji obdelave podatkov.“

( 20 ) Glej v zvezi s tem sodbo z dne 24. marca 2022, Autoriteit Persoonsgegevens (C‑245/20, EU:C:2022:216, točki 25 in 26).

( 21 ) Sodišče je v sodbi z dne 30. maja 2013, Worten (C‑342/12, EU:C:2013:355, točka 19), potrdilo, da so konkretno evidence delovnega časa osebni podatek.

( 22 ) Pošiljanje pisanj sodišču v okviru civilnega postopka se je v sklepnih predlogih generalnega pravobranilca M. Camposa Sánchez-Bordone v zadevi Inspektor v Inspektorata kam Visshia sadeben savet (Nameni obdelave osebnih podatkov – Kazenska preiskava) (C‑180/21, EU:C:2022:406, točki 82 in 83) štelo za obdelavo osebnih podatkov. V času objave teh sklepnih predlogov se postopek v navedeni zadevi, ki poteka pred Sodiščem, še ni končal.

( 23 ) Sodišče je v okviru Direktive 2002/58 menilo, da ta direktiva ne izključuje možnosti za države članice, da določijo obveznost razkritja osebnih podatkov v okviru civilnega sodnega postopka. Glej v tem smislu sodbo z dne 29. januarja 2008, Promusicae (C‑275/06, EU:C:2008:54, točka 53). Po mojem mnenju enako velja tudi za SUVP.

( 24 ) Komisija je poleg tega predlagala, da bi bilo mogoče obdelavo podatkov za drug namen v obravnavani zadevi upravičiti še z enim razlogom, ki izhaja iz člena 23(1)(i) SUVP (zagotavljanje „varstva posameznika, na katerega se nanašajo osebni podatki, ali pravic in svoboščin drugih“). Poljska vlada je opozorila tudi na člen 23(1)(j) SUVP (zagotavljanje „uveljavljanja civilnopravnih zahtevkov“).

( 25 ) Obdelava pri izvajanju javne oblasti je mogoča na podlagi člena 6(1)(e) SUVP.

( 26 ) Obdelava podatkov lahko temelji tudi na privolitvi posameznika, na katerega se nanašajo osebni podatki. Vendar v obravnavani zadevi ne gre za to.

( 27 ) Glede na razdelitev pristojnosti med Sodiščem in sodišči držav članic v okviru postopka predhodnega odločanja mora nacionalno sodišče presoditi, ali je res tako.

( 28 ) Sodbi z dne 16. januarja 2019, Deutsche Post (C‑496/17, EU:C:2019:26, točka 57), in z dne 6. oktobra 2020, La Quadrature du Net in drugi (C‑511/18, C‑512/18 in C‑520/18, EU:C:2020:791, točka 208). Sodišče je pred tem podalo enako ugotovitev v zvezi z Direktivo 95/46. Glej na primer sodbi z dne 20. maja 2003, Österreichischer Rundfunk in drugi (C‑465/00, C‑138/01 in C‑139/01, EU:C:2003:294, točka 65), in z dne 13. maja 2014, Google Spain in Google (C‑131/12, EU:C:2014:317, točka 71).

( 29 ) Sklepni predlogi generalnega pravobranilca P. Pikamäeja v zadevi Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2021:991, točka 36).

( 30 ) Sodišče je ugotovilo, da je seznam primerov zakonite obdelave podatkov iz člena 6 SUVP izčrpen in taksativen. Glej sodbo z dne 22. junija 2021, Latvijas Republikas Saeima (Kazenske točke) (C‑439/19, EU:C:2021:504, točka 99). V okviru Direktive 95/46 je Sodišče v sodbah z dne 4. maja 2017, Rīgas satiksme (C‑13/16, EU:C:2017:336, točka 25), in z dne 11. decembra 2019, Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, točki 37 in 38), v zvezi z zakonitostjo obdelave uporabilo enak pristop.

( 31 ) Glej tudi uvodno izjavo 39 SUVP, v kateri je navedeno: „[…] Osebni podatki bi morali biti ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. […] Osebni podatki bi se lahko obdelali le, če namena obdelave ne bi bilo mogoče razumno doseči z drugimi sredstvi.“

( 32 ) Sodišče je pojasnilo, da je tako tehtanje odvisno od konkretnih okoliščin posameznega primera. Glej v zvezi s tem sodbo z dne 4. maja 2017, Rīgas satiksme (C‑13/16, EU:C:2017:336, točka 31). Glej tudi sodbo z dne 19. decembra 2020, Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2020:104, točka 32).

( 33 ) Glej po analogiji sodbo z dne 9. novembra 2010, Volker und Markus Schecke in Eifert (C‑92/09 in C‑93/09, EU:C:2010:662, točka 77).

( 34 ) Sodba z dne 22. junija 2021, Latvijas Republikas Saeima (Kazenske točke) (C‑439/19, EU:C:2021:504, točka 98).

( 35 ) Družba Fastec je namreč predložitvenemu sodišču predlagala, naj bodisi zahtevo družbe Nycander za predložitev evidence delovnega časa zaposlenih zavrne bodisi, podredno, zahteva, da se ta evidenca predloži šele po anonimizaciji podatkov. Komisija, ki se sklicuje na načelo najmanjšega obsega podatkov in na člen 25(1) SUVP, pa je predlagala, da bi bilo mogoče to težavo rešiti tudi s predložitvijo psevdonimizirane različice evidence delovnega časa zaposlenih.

( 36 ) Na primer, če so podatki v evidenci anonimizirani, potem upravljavec podatkov ni več dolžen posameznikom, na katere se nanašajo osebni podatki, zagotoviti informacij o obdelavi, kar bi bil na podlagi člena 14 SUVP običajno dolžan storiti.

( 37 ) Kot je pojasnilo predložitveno sodišče, so sodišča že na podlagi RB dolžna pretehtati upoštevnost dokazov glede na interes nasprotne stranke, da se navedena informacija ne objavi.

( 38 ) V skladu z ustaljeno sodno prakso, ki jo je Sodišče izoblikovalo v zvezi z Direktivo 2002/58, velja, da večji kot je obseg poseganja v pravico do varstva podatkov, tem pomembnejši mora biti cilj v splošnem interesu, ki se želi doseči s takim posegom. Sodbe z dne 21. decembra 2016, Tele2 Sverige in Watson in drugi (C‑203/15 in C‑698/15, EU:C:2016:970, točka 115); z dne 2. oktobra 2018, Ministerio Fiscal (C‑207/16, EU:C:2018:788, točka 55); z dne 6. oktobra 2020, La Quadrature du Net in drugi (C‑511/18, C‑512/18 in C‑520/18, EU:C:2020:791, točka 131), in z dne 2. marca 2021, Prokuratuur (Pogoji za dostop do podatkov o elektronskih komunikacijah) (C‑746/18, EU:C:2021:152, točka 32).

( 39 ) V tistih pravnih sistemih, v katerih se tak preizkus v skladu s postopkovnimi pravili predhodno ni zahteval.