FÖRSLAG TILL AVGÖRANDE AV GENERALADVOKAT

TAMARA ĆAPETA

föredraget den 6 oktober 2022 ( 1 )

Mål C‑268/21

Norra Stockholm Bygg AB

mot

Per Nycander AB,

övrig part:

Entral AB

(begäran om förhandsavgörande från Högsta domstolen (Sverige))

”Begäran om förhandsavgörande – Förordning (EU) 2016/679 – Skydd av personuppgifter – Artikel 6.3 och 6.4 – Behandling av personuppgifter – Artikel 23.1 f – Skydd av rättsväsendets oberoende och rättsliga åtgärder – I ett tvistemål mellan två bolag har svarandebolaget begärt att kärandebolaget ska föreläggas att förete information om det antal timmar som bolagets anställda arbetat”

I. Inledning

1. ”Din integritet är viktig för oss. Vi använder cookies för att förbättra användarupplevelsen. Vänligen granska sekretessinställningarna. Acceptera alla/Inställningar. Kontrollera vår integritetspolicy och vår cookiespolicy.” ( 2 )

2. Ett meddelande av liknande slag kommer alltid upp när man besöker en webbplats.

3. Detta är resultatet av den allmänna dataskyddsförordningen (nedan kallad dataskyddsförordningen), ( 3 ) som har blivit det viktigaste instrumentet för skydd av personuppgifter inom Europeiska unionen.

4. Aktualiseras dataskyddsförordningen även vid nationella domstolar? Är den mer specifikt tillämplig på editionsplikten i civilrättsliga mål vid nationella domstolar? Om så är fallet, vilka skyldigheter medför detta för dessa domstolar? Det är dessa frågor som EU-domstolen har ombetts att klargöra i detta mål.

II. Det nationella målet och tolkningsfrågorna

5. Dessa frågor har uppkommit i ett mål vid den hänskjutande domstolen, Högsta domstolen (Sverige). De faktiska omständigheterna i målet kan sammanfattas på följande sätt. Norra Stockholm Bygg AB (nedan kallat Fastec), som är klagande i det nationella målet, utförde en entreprenad för nybyggnad av ett kontorshus för Per Nycander AB (nedan kallat Nycander), som är motpart i det nationella målet. De som arbetade i entreprenaden registrerade sin närvaro i en elektronisk personalliggare för skattekontrolländamål. Personalliggaren tillhandahölls av Entral AB på uppdrag av Fastec.

6. Bakgrunden till målet är en tvist om den ersättning som ska erläggas för utfört arbete. Nycander har bestritt Fastecs betalningskrav (som uppgår till drygt 2 miljoner kronor, vilket motsvarar ungefär 190133 euro) med hänvisning till att Fastec inte har lagt ned all den tid på arbetet som Fastec begär ersättning för.

7. För att bevisa att så är fallet har Nycander begärt att Entral ska förete den personalliggare som Entral fört för Fastecs räkning. Fastec har motsatt sig denna begäran och hävdat att ett sådant utlämnande skulle strida mot dataskyddsförordningen, eftersom de begärda uppgifterna samlades in för ett annat ändamål och inte kan användas som bevisning i målet.

8. Tingsrätten förelade Entral att förete personalliggaren, och efter överklagande fastställde Svea hovrätt det beslutet.

9. Fastec har överklagat hovrättens beslut och yrkat att Högsta domstolen i första hand ska avslå Nycanders begäran om edition och i andra hand ändra hovrättens beslut på så sätt att personalliggaren ska utges i anonymiserad version så att personuppgifter inte kan utläsas. Det är mot denna bakgrund som Högsta domstolen har ställt följande tolkningsfrågor till EU-domstolen: ”1) Innefattar artikel 6.3 och 6.4 i [dataskyddsförordningen] krav också på nationell processrättslig lagstiftning om editionsplikt? 2) Om svaret på fråga 1 är ja, innebär [dataskyddsförordningen] att det vid bedömningen av frågan om edition ska beslutas rörande en handling med personuppgifter även ska tas hänsyn till de registrerades intressen? Ställer unionsrätten i så fall några krav på hur denna bedömning närmare ska göras?”

10. Fastec, den tjeckiska, den polska och den svenska regeringen samt Europeiska kommissionen har under förfarandets gång inkommit med skriftliga yttranden till EU-domstolen. Nycander, den polska och den svenska regeringen samt kommissionen avgav muntliga yttranden vid förhandlingen den 27 juni 2022.

III. Tillämpliga bestämmelser

A. Unionsrätt

11. I artikel 5 i dataskyddsförordningen fastställs de principer som ska följas vid all behandling av personuppgifter, och där föreskrivs följande: ”1. Vid behandling av personuppgifter ska följande gälla: a) Uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (laglighet, korrekthet och öppenhet). b) De ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska inte anses vara oförenlig med de ursprungliga ändamålen (ändamålsbegränsning). c) De ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (uppgiftsminimering). d) De ska vara riktiga och om nödvändigt uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål (riktighet). e) De får inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Personuppgifter får lagras under längre perioder i den mån som personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, under förutsättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt denna förordning genomförs för att säkerställa den registrerades rättigheter och friheter (lagringsminimering). f) De ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder (integritet och konfidentialitet). 2. Den personuppgiftsansvarige ska ansvara för och kunna visa att punkt 1 efterlevs (ansvarsskyldighet).”

12. Artikel 6 i dataskyddsförordningen har rubriken ”Laglig behandling av personuppgifter”, och där föreskrivs följande i punkterna 1, 3 och 4: ”1. Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt: … c) Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. … e) Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. … 3. Den grund för behandlingen som avses i punkt 1 c och e ska fastställas i enlighet med a) unionsrätten, eller b) en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Syftet med behandlingen ska fastställas i den rättsliga grunden eller, i fråga om behandling enligt punkt 1 e, ska vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i denna förordning, bland annat: de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling, däribland för behandling i andra särskilda situationer enligt kapitel IX. Unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. 4. Om en behandling för andra ändamål än det ändamål för vilket personuppgifterna samlades in inte grundar sig på den registrerades samtycke eller på unionsrätten eller medlemsstaternas nationella rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att skydda de mål som avses i artikel 23.1, ska den personuppgiftsansvarige för att fastställa huruvida behandling för andra ändamål är förenlig med det ändamål för vilket personuppgifterna ursprungligen samlades in bland annat beakta följande: a) Kopplingar mellan de ändamål för vilka personuppgifterna har samlats in och ändamålen med den avsedda ytterligare behandlingen. b) Det sammanhang inom vilket personuppgifterna har samlats in, särskilt förhållandet mellan de registrerade och den personuppgiftsansvarige. c) Personuppgifternas art, särskilt huruvida särskilda kategorier av personuppgifter behandlas i enlighet med artikel 9 eller huruvida personuppgifter om fällande domar i brottmål och lagöverträdelser som innefattar brott behandlas i enlighet med artikel 10. d) Eventuella konsekvenser för registrerade av den planerade fortsatta behandlingen. e) Förekomsten av lämpliga skyddsåtgärder, vilket kan inbegripa kryptering eller pseudonymisering.”

13. I artikel 23.1 i dataskyddsförordningen regleras begränsningar av rättigheter och skyldigheter enligt dataskyddsförordningen, och där föreskrivs följande: ”1. Det ska vara möjligt att i unionsrätten eller i en medlemsstats nationella rätt som den personuppgiftsansvarige eller personuppgiftsbiträdet omfattas av införa en lagstiftningsåtgärd som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna 12–22 och 34, samt artikel 5 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22, om en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa … f) skydd av rättsväsendets oberoende och rättsliga åtgärder, …”

B. Svensk rätt

14. I 38 kap. 2 § första stycket rättegångsbalken (nedan kallad RB) anges att om någon innehar en skriftlig handling, som kan antagas äga betydelse som bevis, är han skyldig att förete den. I andra stycket i samma bestämmelse föreskrivs undantag från denna skyldighet för bland annat advokater, läkare, psykologer, präster och andra tjänstemän som har anförtrotts information i sin yrkesutövning eller motsvarande. 38 kap. 4 § RB ger därefter rätten befogenhet att förordna om att en skriftlig handling ska företes som bevis.

15. Enligt Högsta domstolen ska rätten, då den prövar om någon ska föreläggas att förete en handling, väga bevisets betydelse mot motpartens intresse av att uppgifterna inte lämnas ut. Såsom Högsta domstolen har förklarat innebär detta emellertid inte att hänsyn ska tas till om de uppgifter som ska lämnas ut är av privat karaktär.

IV. Bedömning

A. Bakgrund

16. Dataskyddsförordningen är den viktigaste unionsrättsakten som reglerar skyddet för fysiska personer med avseende på behandling av deras personuppgifter. Till skillnad från sin föregångare, direktiv 95/46/EG, ( 4 ) antogs dataskyddsförordningen med stöd av artikel 16 FEUF. ( 5 ) Denna rättsliga grund gav unionslagstiftaren befogenhet att säkerställa den grundläggande rätt till skydd av personuppgifter som föreskrivs i artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan). ( 6 )

17. Vid behandling av personuppgifter lägger dataskyddsförordningen ansvaret för att denna rättsakt efterlevs på den ”personuppgiftsansvarige”. ( 7 ) Varje gång personuppgifter behandlas är det således viktigt att fastställa vem som är personuppgiftsansvarig.

18. Enligt artikel 4.7 i dataskyddsförordningen avses med personuppgiftsansvarig en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som bestämmer ändamålen och medlen för behandlingen av personuppgifter.

19. I det nu aktuella fallet har behandling av personuppgifter ägt rum vid två skilda tillfällen. Den första behandlingen avser den elektroniska personalliggare som Entral förde för Fastecs räkning, eftersom Fastec enligt svensk lag var skyldigt att samla in uppgifter om arbetade timmar för skattekontrolländamål. I detta sammanhang är Fastec personuppgiftsansvarig och Entral personuppgiftsbiträde. ( 8 )

20. Det är ostridigt att denna första behandling var förenlig med dataskyddsförordningen. Artikel 6.1 c i förordningen tillåter uttryckligen behandling av personuppgifter som är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige, i detta fall Fastec. ( 9 ) Om denna första behandling skulle anses olaglig enligt dataskyddsförordningen, skulle naturligtvis en så kallad vidarebehandling av dessa personuppgifter för ett annat ändamål i förlängningen också vara olaglig. ( 10 )

21. Det som är av intresse i förevarande mål är emellertid vidarebehandlingen (för ett annat ändamål) av samma personuppgifter som ursprungligen samlades in för skattekontrolländamål. Det nya ändamålet är att Entral ska förete personalliggaren som bevis i tvistemålet mellan Fastec och Nycander. Om personalliggaren företes för användning i tvistemålet innebär detta med nödvändighet behandling av personuppgifter.

22. Vid denna vidarebehandling förändras rollerna enligt dataskyddsförordningen jämfört med den första behandlingen. Det som har störst betydelse är att det är den nationella domstolen som, genom att förelägga Entral att förete personalliggaren (nedan kallat editionsföreläggandet), bestämmer ändamålen och medlen för vidarebehandlingen av personuppgifter. ( 11 ) Denna domstol blir därmed personuppgiftsansvarig. ( 12 )

23. Vid denna vidarebehandling kan Fastec antingen anses kvarstå som personuppgiftsansvarig eller anses ha bytt roll och nu vara mottagare av personuppgifter tillsammans med Nycander. ( 13 ) Även om Fastec skulle kvarstå som gemensamt personuppgiftsansvarig med den nationella domstolen ( 14 ) påverkar detta emellertid inte den nationella domstolens skyldigheter i egenskap av personuppgiftsansvarig. ( 15 ) Slutligen förändras inte Entrals roll. Entral förblir personuppgiftsbiträde och fortsätter att behandla samma personuppgifter, men nu för den nationella domstolens räkning, som ju är den nya personuppgiftsansvarige.

24. Högsta domstolen har ställt den första frågan i huvudsak för att få klarhet i huruvida den nationella domstolen rent faktiskt kan bli personuppgiftsansvarig enligt dataskyddsförordningen och huruvida förordningen i så fall ställer krav på nationell processrättslig lagstiftning vad avser domstolarnas befogenheter och skyldigheter i tvistemål. Om dataskyddsförordningen är tillämplig och den nationella domstolen är personuppgiftsansvarig, önskar Högsta domstolen genom sin andra fråga få klarhet i hur en sådan domstol ska besluta i frågan om edition av en skriftlig handling med personuppgifter, när uppgifterna ska användas som bevis i ett tvistemål.

25. För att besvara Högsta domstolens frågor kommer jag att gå tillväga på följande sätt. Jag kommer först att förklara varför jag anser att dataskyddsförordningen är tillämplig på civilrättsliga förfaranden vid medlemsstaternas domstolar och hur detta påverkar medlemsstaternas gällande processrättsliga lagstiftning (B). Därefter kommer jag att behandla vilken metod som nationella domstolar i egenskap av personuppgiftsansvariga bör tillämpa för att uppfylla kraven i dataskyddsförordningen (C).

B. Dataskyddsförordningen är tillämplig på tvistemål i nationella domstolar och kompletterar medlemsstaternas processrättsliga bestämmelser

26. Högsta domstolens första fråga avser i huvudsak huruvida dataskyddsförordningen är tillämplig på tvistemål i domstol och vilken inverkan den har på gällande processrättsliga bestämmelser. Mer specifikt vill den ha klarhet i huruvida dataskyddsförordningen påverkar de nationella bestämmelser som reglerar domstols befogenheter och skyldigheter att meddela editionsföreläggande. Jag kommer att besvara denna fråga i tre steg.

1. Dataskyddsförordningen undantar inte åtgärder som vidtas av nationella domstolar i tvistemål

27. Dataskyddsförordningens materiella tillämpningsområde definieras i artikel 2.1 i förordningen, och är funktionellt snarare än institutionellt inriktat. Det är ett vad (behandling av personuppgifter) snarare än ett vem som medför att dataskyddsförordningen blir tillämplig. ( 16 )

28. Regleringen av vilka situationer som är undantagna från dataskyddsförordningens tillämpningsområde i artikel 2.2 i dataskyddsförordningen är också den funktionellt inriktad. Eftersom de utgör undantag från dataskyddsförordningens tillämpningsområde har EU-domstolen ansett att de ska tolkas restriktivt. ( 17 )

29. Offentliga myndigheters verksamhet är således inte som sådan undantagen från dataskyddsförordningens tillämpningsområde, utan enbart vad gäller sådan verksamhet som räknas upp i artikel 2.2 i dataskyddsförordningen. ( 18 ) I det avseendet kan det konstateras att nämnda bestämmelse inte undantar domstolarnas verksamhet i civilrättsliga mål från dataskyddsförordningens materiella tillämpningsområde.

30. Bedömningen att dataskyddsförordningen är tillämplig på domstolarnas verksamhet vinner stöd av skäl 20 i dataskyddsförordningen, ( 19 ) där det anges att förordningen gäller för verksamhet inom domstolar och andra rättsliga myndigheter. ( 20 )

31. Denna bedömning påverkas inte av att tillsynsmyndigheterna inte är behöriga att utöva tillsyn över domstolar som behandlar personuppgifter i sin dömande verksamhet, såsom framgår av artikel 55.3 i dataskyddsförordningen. Tvärtom bekräftar den bestämmelsen, enligt min mening, att domstolar som behandlar personuppgifter i sin dömande verksamhet omfattas av de skyldigheter som föreskrivs i dataskyddsförordningen. Den skyddar rättsväsendets oberoende och opartiskhet genom att hindra tillsynsmyndigheterna från att utöva tillsyn över domstolarnas behandling av personuppgifter.

32. Det nu aktuella målet rör behandling av personuppgifter, som faller inom dataskyddsförordningens materiella tillämpningsområde. Att upprätta och föra den elektroniska personalliggaren innebär behandling av personuppgifter. ( 21 ) På samma sätt utgör ett föreläggande om edition av sådana personuppgifter i ett tvistemål behandling av dessa uppgifter. ( 22 ) Situationen i det nationella målet faller således inom det materiella tillämpningsområdet för dataskyddsförordningen.

33. Vad innebär detta för tillämpningen av nationella processrättsliga bestämmelser, såsom RB?

2. Nationell rätt utgör grunden för att nationella domstolars behandling av personuppgifter ska vara laglig

34. Det nu aktuella editionsföreläggandet har meddelats med stöd av RB, som alltså utgör den rättsliga grunden.

35. Dataskyddsförordningen kräver nämligen att behandling av personuppgifter som sker i fall som det nu aktuella har sin rättsliga grund i en medlemsstats (eller unionens) lagstiftning. ( 23 )

36. De aktuella personuppgifterna samlades in och behandlades ursprungligen för skattekontrolländamål, men enligt editionsföreläggandet ska de nu behandlas för bevisändamål i ett tvistemål.

37. Artikel 6.4 i dataskyddsförordningen tillåter behandling för andra ändamål än det ändamål för vilket personuppgifterna samlades in om behandlingen grundar sig på medlemsstaternas nationella rätt, som utgör en nödvändig åtgärd i ett demokratiskt samhälle för att skydda de mål som avses i artikel 23.1 i dataskyddsförordningen. Ett av dessa mål anges i artikel 23.1 f, nämligen ”skydd av rättsväsendets oberoende och rättsliga åtgärder”.

38. Samtliga deltagare i förevarande mål om förhandsavgörande är överens om att det är korrekt att grunda sig på artikel 23.1 f i dataskyddsförordningen för att motivera en vidarebehandling av personuppgifterna för ett annat ändamål med stöd av RB. ( 24 )

39. RB ger nationella domstolar befogenhet att meddela föreläggande om företeende av skriftliga handlingar som kan antas ha betydelse som bevis i ett tvistemål. Om en handling som ska företes innehåller personuppgifter blir, som anförts ovan, den domstol som har meddelat editionsföreläggandet personuppgiftsansvarig enligt dataskyddsförordningen.

40. Såsom kommissionen påpekade vid den muntliga förhandlingen är den nationella domstolen endast i viss utsträckning personuppgiftsansvarig i vanlig mening. Nationella domstolar får nämligen endast behandla personuppgifter som ett led i sin myndighetsutövning.

41. När behandlingen av personuppgifter sker inom ramen för myndighetsutövning ( 25 ) krävs det enligt artikel 6.3 i dataskyddsförordningen att behandlingen grundar sig på unionsrätten eller en medlemsstats nationella rätt.

42. Detta innebär att både artikel 6.4 (som tillåter vidarebehandling för andra ändamål) och artikel 6.3 (som tillåter behandling av personuppgifter som ett led i myndighetsutövning) i dataskyddsförordningen förutsätter att det finns en rättslig grund för behandlingen i nationell rätt (eller unionsrätt). ( 26 )

43. Det förhållandet att RB ger domstolen befogenhet att meddela editionsföreläggande är således ett nödvändigt villkor för att den nu aktuella behandlingen av personuppgifter ska vara laglig.

3. Dataskyddsförordningen kompletterar de nationella processrättsliga bestämmelserna

44. Om det finns en rättslig grund enligt dataskyddsförordningen och om det beslut som innebär behandling av personuppgifter fattas i enlighet med medlemsstatens lagstiftning, innebär detta då att dataskyddsförordningens villkor för laglig behandling är uppfyllda?

45. Visserligen måste det finnas en rättslig grund i nationell rätt, men enligt min mening räcker inte detta för att editionsföreläggandet ska vara förenligt med dataskyddsförordningen.

46. Högsta domstolen har förklarat att enligt RB ska det vid prövningen av frågan om någon ska förpliktas att förete en handling i princip inte tas någon hänsyn till om information i handlingen är av privat natur. Domstolarna är skyldiga att ta hänsyn till båda parters intressen, men det framgår inte direkt av lagen att de registrerades intressen har betydelse.

47. Är då RB oförenlig med dataskyddsförordningen, eftersom den inte uttryckligen ålägger domstolar som blir personuppgiftsansvariga att ta hänsyn till de registrerades intressen när de fattar beslut som kan komma att ha inverkan på deras personuppgifter?

48. Enligt min mening är så inte fallet. Man måste beakta att olika nationella lagar och andra författningar som tjänar som rättslig grund för behandling av personuppgifter inte har antagits specifikt för att genomföra dataskyddsförordningen, utan har sina egna syften. Dessutom är dataskyddsförordningen direkt tillämplig i medlemsstaternas rättsordningar och kräver inget införlivande. Vad som är viktigt när nationella processrättsliga bestämmelser och dataskyddsförordningen ställs mot varandra är därför att de nationella bestämmelserna ger utrymme för en samtidig tillämpning av förordningen.

49. Vid den muntliga förhandlingen bekräftade den svenska regeringen att RB inte kräver, men inte heller förbjuder, att domstolarna tar hänsyn till de registrerades intressen. Den utgör därför inte hinder för en direkt tillämpning av dataskyddsförordningen på det av RB reglerade domstolsförfarandet.

50. Nationella domstolar omfattas därför av nationella processrättsliga bestämmelser och dataskyddsförordningen parallellt, och förordningen kompletterar nationella bestämmelser i fall där den processuella verksamheten innefattar behandling av personuppgifter.

51. Sammanfattningsvis behöver nationell lagstiftning inte uttryckligen hänvisa till dataskyddsförordningen eller ålägga domstolarna att ta hänsyn till de registrerades intressen. Det räcker att denna lagstiftning medger kompletterande tillämpning av dataskyddsförordningen. Det är endast om en nationell lagstiftning hindrar en sådan kompletterande tillämpning som den skulle vara oförenlig med dataskyddsförordningen. Så förefaller emellertid inte vara fallet med RB. ( 27 )

52. Mot bakgrund av det ovan anförda föreslår jag att Högsta domstolens första fråga ska besvaras på följande sätt. Artikel 6.3 och 6.4 i dataskyddsförordningen ställer krav på nationell processrättslig lagstiftning om editionsplikt i fall där edition innebär behandling av personuppgifter. Nationell processrättslig lagstiftning får i sådana fall inte hindra att hänsyn tas till de registrerades intressen. Dessa intressen säkerställs om nationella domstolar iakttar bestämmelserna i dataskyddsförordningen när de beslutar om edition av skriftliga bevis i ett enskilt fall.

C. Den nationella domstolens skyldigheter vad gäller de registrerades intressen

53. Nationella domstolar som i egenskap av personuppgiftsansvariga omfattas av dataskyddsförordningen måste ta hänsyn till de registrerades intressen. Hur ska dessa intressen beaktas när ett konkret beslut om edition ska fattas? Detta är kärnan i Högsta domstolens andra fråga.

1. Proportionalitet

54. De registrerades intressen skyddas när behandlingen av deras personuppgifter står i överensstämmelse med artiklarna 5 och 6 i dataskyddsförordningen. ( 28 ) Enligt generaladvokaten Pikamäe säkerställs skyddet av rätten till respekt för privatlivet och familjelivet och till skydd av personuppgifter, som garanteras i artiklarna 7 respektive 8 i stadgan, genom att artiklarna 5 och 6 i dataskyddsförordningen efterlevs. ( 29 )

55. De legitima målen med behandlingen anges i artikel 6 i dataskyddsförordningen. ( 30 ) Såsom har förklarats i det föregående avsnittet i detta förslag till avgörande har behandlingen i förevarande fall ett legitimt mål, eftersom domstolen ägnade sig åt myndighetsutövning när den meddelade ett editionsföreläggande med stöd av nationell lagstiftning som syftar till att säkerställa en ändamålsenlig handläggning. Artikel 6, liksom artikel 5, i dataskyddsförordningen kräver dock inte endast att det finns ett legitimt mål, utan även att behandlingen i det enskilda fallet är nödvändig för att uppnå detta mål.

56. Dataskyddsförordningen kräver därför att domstolen gör en proportionalitetsbedömning när den ska avgöra huruvida det i ett konkret fall är nödvändigt att besluta om edition av skriftliga handlingar som innehåller personuppgifter. ( 31 )

57. I detta avseende kräver artikel 6.4 i dataskyddsförordningen att den nationella lagstiftning som vidarebehandlingen för ett annat ändamål grundar sig på utgör en nödvändig och proportionerlig åtgärd för att skydda något av de mål som avses i artikel 23.1 i dataskyddsförordningen, i detta fall skyddet av rättsväsendets oberoende och rättsliga åtgärder. Enligt artikel 6.3 i dataskyddsförordningen krävs dessutom att den behandling som utförs är nödvändig som ett led i den personuppgiftsansvariges myndighetsutövning.

58. Den nationella lagstiftning som utgör grunden för behandlingen kan på ett abstrakt plan uppfylla kraven i artikel 6.3 och 6.4 i dataskyddsförordningen. Lagligheten av varje individuell behandling (inklusive ett editionsföreläggande från domstol) är dock beroende av en konkret avvägning mellan alla berörda intressen, med beaktande av det legitima mål som utgör grunden för att edition kan begäras. ( 32 ) Endast på detta sätt kan den nationella domstolen avgöra om och i vilken utsträckning det är nödvändigt att besluta om edition.

59. Det står således klart att dataskyddsförordningen kräver en proportionalitetsbedömning. Ger dataskyddsförordningen någon ytterligare vägledning beträffande vilka konkreta steg som domstolens proportionalitetsbedömning måste omfatta?

2. Konkreta åtgärder som ska vidtas av den nationella domstolen

60. Proportionalitetsbedömningen måste, såsom anförts ovan, göras i varje enskilt fall, med beaktande av alla berörda intressen. I fall som det nu aktuella ska de intressen som ligger till grund för editionsinstitutet vägas mot ingreppet i rätten till skydd av personuppgifter. ( 33 )

61. De intressen som ligger till grund för editionsinstitutet är ett uttryck för rätten till ett effektivt rättsmedel (artikel 47 i stadgan). De registrerades intressen, som den rätten står i konflikt med, är ett uttryck för rätten till respekt för privatlivet och familjelivet (artikel 7 i stadgan) och rätten till skydd av personuppgifter (artikel 8 i stadgan). Det är dessa rättigheter som måste vägas mot varandra för att avgöra om är nödvändigt att besluta om edition av handlingar med personuppgifter.

62. I det följande kommer jag att ge några förslag på vilka konkreta åtgärder som den nationella domstolen kan förväntas vidta.

63. Till att börja med kan det alltid antas att registrerade som inte har gett sitt samtycke till behandlingen har ett intresse av att begränsa behandlingen av deras personuppgifter. Detta är således alltid utgångspunkten för den nationella domstolens bedömning: att förklara varför ingreppet i detta intresse är motiverat.

64. Enligt min uppfattning kan vägledning till hur denna bedömning ska göras hittas i artikel 5 i dataskyddsförordningen, som innehåller de principer som den personuppgiftsansvarige måste beakta vid behandling av personuppgifter.

65. I det avseendet är principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen av grundläggande betydelse. Kravet på uppgiftsminimering är, såsom EU-domstolen har konstaterat, ( 34 ) ett uttryck för proportionalitetsprincipen. Den kräver att personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas.

66. Den första fråga som ska ställas är därför om personuppgifterna i den personalliggare som innehas av Entral är adekvata. De ska anses vara adekvata för det ändamål för vilket de ska lämnas ut om de faktiskt visar det antal timmar som Fastecs anställda arbetat på byggarbetsplatsen.

67. Den andra fråga som ska ställas är om personuppgifterna i den personalliggare som innehas av Entral är relevanta för det ändamål för vilket de begärs utlämnade. Ändamålet förefaller vara Nycanders intresse av att styrka sitt påstående om att Fastecs anställda arbetat färre antal timmar än vad som anges på fakturan. Under sådana omständigheter kan personalliggaren vara relevant om den faktiskt kan bevisa eller motbevisa ett sådant påstående. Den nationella domstolen har att bedöma dess relevans mot bakgrund av övriga omständigheter i målet (exempelvis Fastecs påstående om att personalliggaren endast innehåller en del av de relevanta arbetstimmarna, eftersom viss arbetstid har tillbringats utanför byggarbetsplatsen).

68. Vad beträffar det tredje kravet som följer av principen om uppgiftsminimering måste den nationella domstolen avgöra huruvida alla eller endast vissa uppgifter i personalliggaren behövs för bevisändamål. Om det finns andra sätt att bevisa samma sakförhållande, kräver principen om uppgiftsminimering att de sätten ska användas. Den nationella domstolen kan till exempel behöva bedöma Fastecs påstående om att antalet faktiskt arbetade timmar kan kontrolleras med hjälp av i målet redan ingivna handlingar. Om den nationella domstolen finner att detta påstående är korrekt, får den inte meddela ett editionsföreläggande avseende personuppgifter i personalliggaren.

69. Den nationella domstolen behöver fastställa vilka typer av personuppgifter i personalliggaren som är tillräckliga för att bevisa eller motbevisa de relevanta sakförhållandena. I detta avseende kräver principen om uppgiftsminimering att endast de personuppgifter som är strikt nödvändiga för det aktuella ändamålet ska lämnas ut. Entral, i egenskap av personuppgiftsbiträde, kan därför behöva modifiera personalliggaren på så sätt att personuppgifterna begränsas till ett nödvändigt minimum, samtidigt som det ändå är möjligt att dra en slutsats om antalet faktiskt arbetade timmar.

70. I detta avseende måste den nationella domstolen avgöra om det är nödvändigt att personer vars uppgifter finns i personalliggaren kan identifieras för att editionen ska ha bevisvärde (om det till exempel är nödvändigt att namnge enskilda arbetstagare för att de ska kunna kallas som vittnen). I annat fall kan det räcka med att få information om det totala antalet timmar som tillbringats på byggarbetsplatsen och/eller det antal personer som arbetat dessa timmar.

71. Beroende på svaren på ovanstående frågor kan domstolen besluta att editionsföreläggandet ska avse pseudonymiserade eller anonymiserade personuppgifter. ( 35 )

72. Enligt skäl 26 i dataskyddsförordningen omfattas personuppgifter som har pseudonymiserats fortfarande av dataskyddsförordningens materiella tillämpningsområde. Detta eftersom det fortfarande är möjligt att spåra identiteten på en person bakom pseudonymen. Det motsatta gäller för anonym information, som inte omfattas av förordningens tillämpningsområde. Det sätt på vilket den nationella domstolen i slutändan väljer att utforma editionsföreläggandet kommer således även att påverka om dataskyddsförordningen är fortsatt tillämplig. ( 36 )

73. I slutändan ankommer det på den nationella domstolen att fastställa bevisvärdet av olika versioner av personalliggaren för att avgöra vilken typ av uppgiftsminimering som eventuellt är nödvändig för att målet ska kunna avgöras på ett ändamålsenligt sätt.

74. Förutom principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen finns det även andra principer i artikel 5 i dataskyddsförordningen som är bindande för den nationella domstolen och som är relevanta för hur editionsföreläggandet ska utformas.

75. I artikel 5.1 a i dataskyddsförordningen nämns till exempel, förutom laglighetsprincipen (som utvecklas närmare i artikel 6 i förordningen), även öppenhetsprincipen. Enligt min mening kräver öppenhetsprincipen att den nationella domstolen tydligt motiverar sitt beslut att meddela editionsföreläggande avseende en skriftlig handling med personuppgifter, bland annat genom att ange hur avvägningen av parternas olika intressen och argument i fråga om editionen har gjorts.

76. En korrekt motivering i editionsföreläggandet uppfyller också kravet i artikel 5.2 i dataskyddsförordningen att den personuppgiftsansvarige ska kunna visa att de principer som anges i artikel 5.1 i förordningen efterlevs.

77. Hur principerna i artikel 5 i dataskyddsförordningen ska efterlevas kan också utläsas av skäl 31 i förordningen. Det kräver att ”[o]ffentliga myndigheters begäranden om att uppgifter ska lämnas ut … alltid [ska] vara skriftliga och motiverade, läggas fram i enskilda fall och inte gälla hela register eller leda till att register kopplas samman”.

78. Den polska regeringen har beträffande den nationella domstolens proportionalitetsbedömning uttryckt följande farhåga: Blir inte den nationella domstolen alltför inblandad i det som bör förbli parternas roll, nämligen att försöka vinna en argumentation om själva bevisvärdet av personalliggaren eller annan bevisning, om den ska bedöma bevisvärdet av sådan bevisning i det mål som den har att avgöra?

79. Jag anser inte att en bedömning av bevisvärdet som tar hänsyn till de registrerades intressen innebär ett större ingripande i processen än bedömningen av bevisvärdet av vilken annan bevisning som helst i tvistemål. ( 37 )

80. I vilken grad den nationella domstolen ingriper i processen blir beroende av hur uppenbart bevisvärdet av de personuppgifter som är föremål för editionsyrkandet är med hänsyn till omständigheterna i det enskilda fallet. Det är alltid omständigheterna i det enskilda fallet som avgör i vilken utsträckning edition rörande en skriftlig handling med personuppgifter kan komma att utgöra ett ingrepp i de registrerades intressen.

81. I vissa fall kan det till exempel röra sig om känsliga personuppgifter som ges ett särskilt skydd i artikel 9 i dataskyddsförordningen, eller personuppgifter som rör fällande domar i brottmål som omfattas av bestämmelserna i artikel 10 i förordningen. I sådana situationer kommer de registrerades intressen med nödvändighet att tillmätas större vikt vid avvägningen. ( 38 ) På samma sätt kan intresset av edition skilja sig åt mellan enskilda fall. Ibland är uppenbart att den begärda bevisningen är av marginell betydelse, medan den i andra situationer är av avgörande betydelse för utgången i målet. I det avseendet delar jag kommissionens synpunkt att den nationella domstolen bör ha ett brett utrymme för att göra sådana bedömningar efter eget skön. Den bör dock aldrig befrias från sin skyldighet att ta hänsyn till de registrerades intressen.

82. Den tjeckiska regeringen har uttryckt en annan farhåga, nämligen att det skulle strida mot principen om en ändamålsenlig handläggning att ålägga nationella domstolar en skyldighet att ta hänsyn till de registrerades intressen varje gång de beslutar om edition av skriftliga bevis. Dataskyddsförordningen inför visserligen en ytterligare skyldighet ( 39 ) för domstolarna att göra en proportionalitetsbedömning innan de beslutar om edition av skriftliga handlingar med personuppgifter. Intresseavvägningar är emellertid inte någon ovanlig intellektuell övning för domstolar, och inte heller skiljer sig den börda som läggs på nationella domstolar från den börda som dataskyddsförordningen lägger på alla personuppgiftsansvariga.

83. Om unionsmedborgarna ska kunna åtnjuta en hög skyddsnivå för sina personuppgifter, i linje med unionslagstiftarens val såsom det kommer till uttryck i dataskyddsförordningen, kan det inte betraktas som en överdriven börda för medlemsstaternas domstolar att ta hänsyn till de registrerades intressen.

84. Jag föreslår således att EU-domstolen besvarar Högsta domstolens andra fråga på följande sätt. Vid bedömningen av frågan huruvida edition som innefattar behandling av personuppgifter ska beslutas i tvistemål ska den nationella domstolen göra en proportionalitetsbedömning som tar hänsyn till intressena hos de registrerade vars personuppgifter ska behandlas och väga dem mot parternas intresse av att föra bevisning. Denna proportionalitetsbedömning ska göras med ledning av de principer som anges i artikel 5 i dataskyddsförordningen, däribland principen om uppgiftsminimering.

V. Förslag till avgörande

85. Mot bakgrund av vad som anförts ovan föreslår jag att EU-domstolen besvarar de två tolkningsfrågor som ställts av Högsta domstolen (Sverige) på följande sätt: 1) Artikel 6.3 och 6.4 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) ställer krav på nationell processrättslig lagstiftning om editionsplikt i fall där edition innebär behandling av personuppgifter. Nationell processrättslig lagstiftning får i sådana fall inte hindra att hänsyn tas till de registrerades intressen. Dessa intressen säkerställs om nationella domstolar iakttar bestämmelserna i förordning 2016/679 när de beslutar om edition av skriftliga bevis i ett enskilt fall. 2) Vid bedömningen av frågan huruvida edition som innebär behandling av personuppgifter ska beslutas i tvistemål ska den nationella domstolen göra en proportionalitetsbedömning som tar hänsyn till intressena hos de registrerade vars personuppgifter ska behandlas och väga dem mot parternas intresse av att föra bevisning. Denna proportionalitetsbedömning ska göras med ledning av de principer som anges i artikel 5 i förordning 2016/679, däribland principen om uppgiftsminimering.

( 1 ) Originalspråk: engelska.

( 2 ) Just detta meddelande återfinns på https://eulawlive.com/.

( 3 ) Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 5/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1).

( 4 ) Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31). Den rättsliga grunden för att anta direktiv 95/46 var den inre marknaden. För en första analys av de förändringar som infördes genom dataskyddsförordningen, se Van Alsenoy, B., ”Liability under EU Data Protection Law. From Directive 95/46 to the General Data Protection Regulation”, Journal of Intellectual Property, Information Technology and Electronic Commerce Law, vol. 7, 2016, s. 271–288.

( 5 ) Trots att den rättsliga grunden för dessa båda rättsakter skiljer sig åt är rättspraxis angående tolkningen av direktiv 95/46 relevant för förståelsen av dataskyddsförordningen. Se, i detta avseende, dom av den 17 juni 2021, M.I.C.M. (C‑597/19, EU:C:2021:492, punkt 107). Jag kommer därför att hänvisa till EU-domstolens praxis avseende direktiv 95/46 där så är relevant. I den mån den erbjuder analoga lösningar vad gäller begränsningar av rätten till skydd av personuppgifter, kommer jag även att hänvisa till EU-domstolens praxis avseende Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) (EGT L 201, 2002, s. 37). EU-domstolen har slagit fast att tolkningen av begränsningar av de rättigheter som följer av direktiv 2002/58 i tillämpliga delar även ska gälla för tolkningen av dataskyddsförordningen. Se, i detta avseende, dom av den 6 oktober 2020, La Quadrature du Net m.fl. (C‑511/18, C‑512/18 och C‑520/18, EU:C:2020:791, punkterna 209–211).

( 6 ) Se skäl 1 i dataskyddsförordningen.

( 7 ) Se artikel 5.2 i dataskyddsförordningen.

( 8 ) I artikel 4.8 i dataskyddsförordningen definieras ett personuppgiftsbiträde som ”en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning”.

( 9 ) När behandlingen sker för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige ska denna grund enligt artikel 6.3 i dataskyddsförordningen fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt, vilken ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Efterlevnad av nationell skattelagstiftning ansågs vara ett berättigat ändamål i dom av den 16 januari 2019, Deutsche Post (C‑496/17, EU:C:2019:26, punkterna 60–63).

( 10 ) Se, analogt, dom av den 2 mars 2021, Prokuratuur (Villkor för att ge tillgång till uppgifter avseende elektronisk kommunikation) (C‑746/18, EU:C:2021:152, punkt 44).

( 11 ) Att bestämma ändamål och medel för behandlingen av personuppgifter är centrala åtgärder som avgör vem som ska anses vara personuppgiftsansvarig. Se dom av den 10 juli 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551, punkt 68). Se även Bygrave, L.A. och Tossoni, L., ”Article 4.7. Controller” i Kuner, C., Bygrave, L. A., Docksey, C. och Drechsler, L. (red), The EU General Data Protection Regulation (GDPR): A Commentary, OUP, Oxford, 2021, på s. 150.

( 12 ) Vid den muntliga förhandlingen var den polska och den svenska regeringen samt kommissionen eniga om att denna roll nu innehas av den nationella domstolen. Nycander gjorde gällande att Fastec kvarstår som ensam personuppgiftsansvarig vid den andra behandlingen, medan den nationella domstolen har rollen som mellanhand. Det bör noteras att uttrycket ”mellanhand” inte används någonstans i dataskyddsförordningen.

( 13 ) I artikel 4.9 i dataskyddsförordningen definieras en mottagare som en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ till vilket personuppgifterna utlämnas, vare sig det är en tredje part eller inte. I egenskap av parter i ett civilrättsligt förfarande kommer både Fastec och Nycander att bli mottagare av personuppgifter som behandlas på grundval av domstolens föreläggande om utlämnande. Vid den muntliga förhandlingen hävdade kommissionen att Fastec förblir personuppgiftsansvarig, snarare än att bolaget blir mottagare.

( 14 ) I artikel 26.1 i dataskyddsförordningen föreskrivs följande: ”Om två eller fler personuppgiftsansvariga gemensamt fastställer ändamålen med och medlen för behandlingen ska de vara gemensamt personuppgiftsansvariga. Gemensamt personuppgiftsansvariga ska under öppna former fastställa sitt respektive ansvar för att fullgöra skyldigheterna enligt denna förordning, särskilt vad gäller utövandet av den registrerades rättigheter och sina respektive skyldigheter att tillhandahålla den information som avses i artiklarna 13 och 14, genom ett inbördes arrangemang, såvida inte de personuppgiftsansvarigas respektive skyldigheter fastställs genom unionsrätten eller en medlemsstats nationella rätt som de personuppgiftsansvariga omfattas av. Inom ramen för arrangemanget får en gemensam kontaktpunkt för de registrerade utses.” Se även dom av den 29 juli 2019, Fashion ID (C‑40/17, EU:C:2019:629, punkt 67).

( 15 ) EU-domstolen har förklarat att begreppet personuppgiftsansvarig har getts en vid definition och att olika aktörer kan vara involverade i olika skeden av behandlingen. Dom av den 29 juli 2019, Fashion ID (C‑40/17, EU:C:2019:629, punkt 70).

( 16 ) Det sistnämnda är endast relevant i undantagsfall. Enligt artikel 2.3 i dataskyddsförordningen omfattas exempelvis EU:s institutioner, organ och byråer inte av dataskyddsförordningen. De omfattas dock av Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter (EGT L 8, 2001, s. 1).

( 17 ) Dom av den 9 juli 2020, Land Hessen (C‑272/19, EU:C:2020:535, punkt 68).

( 18 ) I artikel 2.2 i dataskyddsförordningen föreskrivs följande: ”Denna förordning ska inte tillämpas på behandling av personuppgifter som a) utgör ett led i en verksamhet som inte omfattas av unionsrätten, b) medlemsstaterna utför när de bedriver verksamhet som omfattas av avdelning V kapitel 2 i EU-fördraget, c) en fysisk person utför som ett led i verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll, d) behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten.”

( 19 ) I skäl 20 i dataskyddsförordningen anges följande: ”Eftersom denna förordning bland annat gäller för verksamhet inom domstolar och andra rättsliga myndigheter, skulle det i unionsrätt eller medlemsstaternas nationella rätt kunna anges vilken behandling och vilka förfaranden för behandling som berörs när det gäller domstolars och andra rättsliga myndigheters behandling av personuppgifter. Tillsynsmyndigheternas behörighet bör inte omfatta domstolars behandling av personuppgifter när detta sker inom ramen för domstolarnas dömande verksamhet, i syfte att säkerställa domstolsväsendets oberoende när det utför sin rättskipande verksamhet, inbegripet när det fattar beslut. Det bör vara möjligt att anförtro tillsynen över sådan behandling av uppgifter till särskilda organ inom medlemsstaternas rättsväsen, vilka framför allt bör säkerställa efterlevnaden av bestämmelserna i denna förordning, främja domstolsväsendets medvetenhet om sina skyldigheter enligt denna förordning och hantera klagomål relaterade till sådan behandling av uppgifter.”

( 20 ) Se, i detta hänseende, dom av den 24 mars 2022, Autoriteit Persoonsgegevens (C‑245/20, EU:C:2022:216, punkterna 25 och 26).

( 21 ) EU-domstolen har bekräftat att särskilt arbetstidsregister utgör personuppgifter i dom av den 30 maj 2013, Worten (C‑342/12, EU:C:2013:355, punkt 19).

( 22 ) Överföring av handlingar till domstolen i samband med ett tvistemål ansågs vara behandling av personuppgifter i förslag till avgörande av generaladvokat M. Campos Sánchez-Bordonas i målet Inspektor v Inspektorata kam Visshia sadeben savet (Ändamål med behandlingen av personuppgifter – brottsutredning) (C‑180/21, EU:C:2022:406, punkterna 82 och 83). När detta förslag till avgörande föredras har det målet ännu inte avgjorts av EU-domstolen.

( 23 ) EU-domstolen har i samband med direktiv 2002/58 konstaterat att detta direktiv inte utgör hinder för att medlemsstaterna föreskriver en skyldighet för berörda att lämna ut personuppgifter i ett tvistemål. Se, i detta avseende, dom av den 29 januari 2008, Promusicae (C‑275/06, EU:C:2008:54, punkt 53). Enligt min mening gäller samma sak även för dataskyddsförordningen.

( 24 ) Därtill har kommissionen föreslagit att det i förevarande mål kan finnas en annan bevekelsegrund för vidarebehandling för andra ändamål i artikel 23.1 i i dataskyddsförordningen (”skydd av den registrerade eller andras rättigheter och friheter”). Den polska regeringen har hänvisat till artikel 23.1 j i dataskyddsförordningen (”verkställighet av civilrättsliga krav”).

( 25 ) Behandling som ett led i myndighetsutövningen har möjliggjorts genom artikel 6.1 e i dataskyddsförordningen.

( 26 ) Behandlingen kan även grundas på den registrerades samtycke. Så är emellertid inte fallet i förevarande mål.

( 27 ) Behörighetsfördelningen mellan EU-domstolen och medlemsstaternas domstolar i mål om förhandsavgörande medför att det ankommer på den nationella domstolen att avgöra om så verkligen är fallet.

( 28 ) Dom av den 16 januari 2019, Deutsche Post (C‑496/17, EU:C:2020:26, punkt 57), och dom av den 6 oktober 2020, La Quadrature du Net m.fl. (C‑511/18, C‑512/18 och C‑520/18, EU:C:2020:791, punkt 208). EU-domstolen hade tidigare dragit samma slutsats beträffande direktiv 95/46. Se, exempelvis, dom av den 20 maj 2003, Österreichischer Rundfunk m.fl. (C‑465/00, C‑138/01 och C‑139/01, EU:C:2003:294, punkt 65), och dom av den 13 maj 2014, Google Spain och Google (C‑131/12, EU:C:2014:317, punkt 71).

( 29 ) Förslag till avgörande av generaladvokat Pikamäe i målet Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2021:991, punkt 36).

( 30 ) EU-domstolen har funnit att artikel 6 i dataskyddsförordningen innehåller en uttömmande och begränsande uppräkning av de fall där behandling av personuppgifter kan anses vara tillåten. Se dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning) (C‑439/19, EU:C:2021:504, punkt 99). I samband med direktiv 95/46 intog EU-domstolen samma synsätt på tillåtligheten av behandling i dom av den 4 maj 2017, Rīgas satiksme (C‑13/16, EU:C:2017:336, punkt 25), och dom av den 11 december 2019, Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, punkterna 37 och 38).

( 31 ) Se även skäl 39 i dataskyddsförordningen, där följande anges: ”… Personuppgifterna bör vara adekvata, relevanta och begränsade till vad som är nödvändigt för de ändamål som de behandlas för. … Personuppgifter bör endast behandlas om syftet med behandlingen inte rimligen kan uppnås genom andra medel.”

( 32 ) EU-domstolen har förklarat att avvägningen beror på de konkreta omständigheterna i det enskilda fallet. Se, i detta avseende, dom av den 4 maj 2017, Rīgas satiksme (C‑13/16, EU:C:2017:336, punkt 31). Se även dom av den 19 december 2020, Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2020:104, punkt 32).

( 33 ) Se, analogt, dom av den 9 november 2010, Volker und Markus Schecke och Eifert (C‑92/09 och C‑93/09, EU:C:2010:662, punkt 77).

( 34 ) Dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning) (C‑439/19, EU:C:2021:504, punkt 98).

( 35 ) Fastec har nämligen yrkat att den hänskjutande domstolen antingen ska avslå Nycanders yrkande om att personalliggaren ska företes eller, i andra hand, att personalliggaren ska företes först i anonymiserad version. Kommissionen har, med hänvisning till principen om uppgiftsminimering och till artikel 25.1 i dataskyddsförordningen, föreslagit att en lösning också skulle kunna vara att förete en pseudonymiserad version av personalliggaren.

( 36 ) Genom att liggaren anonymiseras befrias exempelvis den personuppgiftsansvarige från den skyldighet att informera de registrerade om behandlingen som normalt skulle krävas enligt artikel 14 i dataskyddsförordningen.

( 37 ) Som den hänskjutande domstolen har förklarat är domstolarna enligt RB redan skyldiga att väga bevisningens relevans mot motpartens intresse av att informationen inte lämnas ut.

( 38 ) I samband med direktiv 2002/58 har EU-domstolen konsekvent funnit att ju allvarligare ingrepp i rätten till skydd för personuppgifter som görs, desto större betydelse måste det mål av allmänt samhällsintresse som eftersträvas ha. Dom av den 21 december 2016, Tele2 Sverige och Watson m.fl. (C‑203/15 och C‑698/15, EU:C:2016:970, punkt 115), dom av den 2 oktober 2018, Ministerio Fiscal (C‑207/16, EU:C:2018:788, punkt 55), dom av den 6 oktober 2020, La Quadrature du Net m.fl. (C‑511/18, C‑512/18 och C‑520/18, EU:C:2020:791, punkt 131), och dom av den 2 mars 2021, Prokuratuur (Villkor för att ge tillgång till uppgifter avseende elektronisk kommunikation) (C‑746/18, EU:C:2021:152, punkt 32).

( 39 ) I rättsordningar vars processrättsliga bestämmelser inte tidigare har krävt en sådan bedömning.