Stan faktyczny
Norra Stockholm Bygg AB (dalej jako: NSB) wybudował dla Per Nycander AB (dalej jako: PN) budynek biurowy. Osoby wykonujące roboty na tej budowie odnotowywały swoją obecność w elektronicznym rejestrze pracowników. Rejestr pracowników dostarczał Entral AB, która działała w imieniu NSB.
NSB wniósł do szwedzkiego sądu powództwo o zapłatę za wykonane roboty, żądając od PN zapłaty kwoty odpowiadającej zdaniem NSB pozostałej do zapłaty przez PN należności. Natomiast PN twierdziła, że liczba godzin przepracowanych przez pracowników NSB jest niższa od wskazanej w tym wniosku. Jednocześnie PN wniósł o nakazanie Entralowi przedstawienia rejestru pracowników NSB w niezmienionej postaci lub ewentualnie z zakryciem osobistych numerów identyfikacyjnych osób, których dane dotyczą. PN podniósł, że Entral posiada ten rejestr pracowników, który może stanowić istotny dowód dla rozstrzygnięcia w przedmiocie skargi NSB, ponieważ zapisane w tym rejestrze pracowników dane pozwalają na udowodnienie wymiaru godzin przepracowanych przez pracowników NSB.
NSB sprzeciwił się temu żądaniu, podnosząc, że jest ono sprzeczne z art. 5 ust. 1 lit. b) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (dalej jako: RODO). Rejestr pracowników NSB zawiera bowiem dane osobowe, które zebrano, w celu umożliwienia szwedzkiemu organowi podatkowemu przeprowadzania kontroli działalności tej spółki, oraz że ujawnienie tych danych przed sądem nie byłoby zgodne z tym celem.
Stanowisko TS
1. Rejestr pracowników jako dowód
Przepis art. 2 ust. 1 RODO przewiduje, iż to rozporządzenie ma zastosowanie do każdego „przetwarzania danych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych”, bez dokonywania rozróżnienia ze względu na tożsamość autora danego przetwarzania. Wynika z tego, że, z zastrzeżeniem przypadków wymienionych w jego art. 2 ust. 2 i 3, RODO ma zastosowanie do operacji przetwarzania dokonywanych zarówno przez osoby prywatne, jak i przez organy publiczne, w tym sądy (wyrok TS z 24.3.2022 r., Autoriteit Persoonsgegevens, C-245/20, pkt 25).
Zgodnie z art. 4 pkt 2 RODO pojęcie „przetwarzanie” zdefiniowano jako operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany taką jak zbieranie, utrwalanie, wykorzystywanie, ujawnianie, rozpowszechnianie lub innego rodzaju udostępnianie. W ocenie TS wynika z tego, że nie tylko utworzenie i prowadzenie elektronicznego rejestru pracowników stanowią przetwarzanie danych osobowych objęte przedmiotowym zakresem stosowania RODO (wyrok TS z 30.5.2013 r., Worten, C-342/12, pkt 19), lecz również przedstawienie jako dowodu dokumentu cyfrowego lub fizycznego, zawierającego takie dane osobowe, nakazane przez sąd w ramach postępowania sądowego [wyrok TS z 8.12.2022 r., Inspektor v. Inspektorata kam Visshia sadeben savet (Cele przetwarzania danych osobowych – Postępowanie karne), C-180/21, pkt 72].
Trybunał podkreślił, że każde przetwarzanie danych osobowych, w tym przetwarzanie przez organy publiczne takie jak sądy, musi spełniać warunki zgodności z prawem określone w art. 6 RODO. Na podstawie art. 6 ust. 1 lit. e) RODO zgodne z prawem jest przetwarzanie, gdy jest ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Zgodnie z art. 6 ust. 3 w zw. z motywem 45 RODO, podstawa przetwarzania, o którym mowa w art. 6 ust. 1 lit. e) tego rozporządzenia, musi być określona w prawie UE lub w prawie państwa członkowskiego, któremu podlega administrator. Ponadto prawo UE lub prawo państwa członkowskiego muszą służyć realizacji celu leżącego w interesie publicznym oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu. Łącznie interpretowane przepisy art. 6 ust. 1 lit. e) w zw. z art. 6 ust. 3 RODO wymagają zatem istnienia podstawy prawnej, w szczególności w prawie krajowym, w oparciu o którą dokonuje się przetwarzania danych osobowych przez administratorów działających w ramach wykonywania zadania realizowanego w interesie publicznym lub zadania w ramach sprawowania władzy publicznej, takich jak wykonywane przez sądy w ramach ich funkcji sądowniczych.
Trybunał wskazał, jeżeli przetwarzanie danych osobowych odbywa się w innym celu niż cel, w którym dane te zostały zebrane, z art. 6 ust. 4 w zw. z motywem 50 RODO wynika, że takie przetwarzanie jest dozwolone. Jednak pod warunkiem, że opiera się zwłaszcza na prawie państwa członkowskiego i stanowi w demokratycznym społeczeństwie niezbędny i proporcjonalny środek służący zagwarantowaniu jednego z celów, o których mowa w art. 23 ust. 1 RODO. Jak wskazano w tym motywie, aby zapewnić realizację tych ważnych celów leżących w ogólnym interesie publicznym, administrator jest uprawniony do dalszego przetwarzania danych osobowych bez względu na zgodność tego przetwarzania z celami, w których dane osobowe zostały pierwotnie zebrane.
W niniejszej sprawie właściwe przepisy rozdziału 38 szwedzkiego Kodeksu postępowania sądowego (dalej jako: RB), które przewidują obowiązek przedstawienia dokumentu jako dowodu i możliwość nakazania przez sądy krajowe przedstawienia tego dokumentu, stanowią podstawę prawną, w oparciu o którą dokonuje się przetwarzania danych osobowych. O ile przepisy te stanowią, co do zasady, wystarczającą podstawę prawną dopuszczającą takie przetwarzanie danych osobowych, o tyle z postanowienia odsyłającego wynika, że ta podstawa prawna różni się od podstawy prawnej ustanowionej przez Ordynację podatkową, w oparciu o którą rejestr pracowników, będący przedmiotem postępowania głównego, został opracowany do celów kontroli podatkowej. Zdaniem sądu odsyłającego dane osobowe zapisane w rejestrze pracowników mają na celu umożliwienie urzędnikom właściwego szwedzkiego organu podatkowego dokonania odpowiednich ustaleń podczas kontroli na miejscu. Głównym celem jest zapobieganie niezarejestrowanej pracy i stworzenie zdrowszych warunków konkurencji. Przetwarzanie danych osobowych jest uzasadnione koniecznością spełnienia obowiązku prawnego ciążącego na administratorze, a mianowicie prowadzenia rejestru pracowników.
Wobec tego TS uznał, że przetwarzanie tych danych w ramach postępowania sądowego, takiego jak rozpatrywane w postępowaniu głównym, stanowi przetwarzanie danych w celu innym niż cel, w którym dane zostały zebrane, a mianowicie w celu kontroli podatkowej, i które nie jest oparte na zgodzie osób, których dane dotyczą, w rozumieniu art. 6 ust. 1 lit. a) RODO. W tych okolicznościach przetwarzanie danych osobowych w celu innym niż cel, w którym dane te zostały zebrane, musi opierać się nie tylko na prawie krajowym, takim jak przepisy rozdziału 38 RB, lecz również stanowić w demokratycznym społeczeństwie niezbędny i proporcjonalny środek w rozumieniu art. 6 ust. 4 RODO i gwarantować jeden z celów, o których mowa w art. 23 ust. 1 RODO. Wśród tych celów wskazano, zgodnie z art. 23 ust. 1 lit. f) tego rozporządzenia, „ochronę niezależności sądów i postępowania sądowego”. Przy czym ten cel, zdaniem Komisji Europejskiej, należy rozumieć w ten sposób, że służy on ochronie wymiaru sprawiedliwości przed ingerencją wewnętrzną lub zewnętrzną, ale także prawidłowemu administrowaniu wymiarem sprawiedliwości. Ponadto zgodnie z ust. 1 lit. j) tego artykułu egzekucja roszczeń cywilnoprawnych stanowi również cel mogący uzasadniać przetwarzanie danych osobowych w celu innym niż cel, dla którego zostały one zebrane. W ocenie TS nie jest zatem wykluczone, że przetwarzanie danych osobowych osób trzecich w ramach postępowania sądowego w sprawach cywilnych może opierać się na takich celach.
Trybunał wskazał, że do sądu odsyłającego należy zbadanie, czy odpowiednie przepisy rozdziału 38 RB, po pierwsze, odpowiadają jednemu z tych celów, a po drugie, są niezbędne i proporcjonalne do tych celów, w związku z czym mogą one obejmować te przypadki przetwarzania danych osobowych, które można uznać za zgodne z prawem na podstawie przepisów art. 6 ust. 3 i 4 w zw. z art. 23 ust. 1 lit. f) i j) RODO. W tym względzie nie ma znaczenia, czy przetwarzanie danych osobowych odbywa się na podstawie przepisu krajowego prawa materialnego czy proceduralnego, ponieważ przepisy art. 6 ust. 3 lit. b) i art. 6 ust. 4 tego rozporządzenia nie dokonują żadnego rozróżnienia pomiędzy tymi dwoma rodzajami przepisów.
Trybunał orzekł, że art. 6 ust. 3 i 4 RODO należy interpretować w ten sposób, że ten przepis ma zastosowanie, w ramach sądowego postępowania cywilnego, do przedstawienia jako dowodu rejestru pracowników zawierającego dane osobowe osób trzecich zebrane głównie do celów kontroli podatkowej.
2. Interes osób, których dane dotyczą
Trybunał podkreślił, że każde przetwarzanie danych osobowych powinno, z zastrzeżeniem odstępstw dopuszczalnych w art. 23 RODO, być zgodne z zasadami dotyczącymi przetwarzania danych osobowych oraz praw osoby, której dane dotyczą, określonymi, odpowiednio, w rozdziałach II i III tego rozporządzenia. W szczególności każde przetwarzanie danych osobowych powinno, po pierwsze, być zgodne z zasadami określonymi w art. 5 RODO, a po drugie, spełniać warunki zgodności z prawem wymienione w art. 6 tego rozporządzenia (wyrok TS z 6.10.2020 r., La Quadrature du Net i in., C-511/18, C-512/18 i C-520/18, pkt 208).
W niniejszej sprawie sąd odsyłający wskazuje, że przy ocenie kwestii, czy należy nakazać przedstawienie dokumentu zawierającego dane osobowe, właściwe przepisy rozdziału 38 RB nie ustanawiają wyraźnego wymogu uwzględnienia interesów osób, których dane osobowe są przedmiotem danej sprawy. Zgodnie ze szwedzkim orzecznictwem te przepisy wymagają jedynie wyważenia znaczenia dowodu i interesu strony przeciwnej w nieujawnianiu spornych informacji. Trybunał wskazał, że przepisy RB dotyczą przedstawienia dokumentu jako dowodu, mogą one obejmować przypadki przetwarzania danych osobowych uznane za zgodne z prawem na podstawie przepisów art. 6 ust. 3 i 4 w zw. z art. 23 ust. 1 lit. f) i j) RODO. Jest tak w zakresie, w jakim te przepisy RB, po pierwsze, mają na celu zapewnienie prawidłowego przebiegu postępowania sądowego poprzez zagwarantowanie podmiotowi prawa możliwości dochodzenia swoich praw, jeżeli istnieje „uzasadniony interes dowodowy”, oraz po drugie, że są one niezbędne i proporcjonalne do tego celu. Zdaniem TS wynika z tego, że w celu zbadania tych wymogów sąd krajowy jest zobowiązany uwzględnić występujące w postępowaniu przeciwstawne interesy przy ocenie celowości nakazania przedstawienia dokumentu zawierającego dane osobowe osób trzecich.
Trybunał podkreślił, że rezultat dokonanego wyważenia, jakiego powinien dokonać sąd krajowy, może różnić się zarówno w zależności od okoliczności każdej sprawy, jak i rodzaju danego postępowania.
3. Prawo do skutecznej ochrony sądowej
Trybunał wskazał odnośnie interesów występujących w postępowaniu cywilnym, że sąd krajowy powinien, jak wynika w szczególności z motywów 1 i 2 RODO, zapewnić ochronę osób fizycznych w związku z przetwarzaniem danych osobowych, która jest prawem podstawowym zapewnionym w art. 8 ust. 1 Karty praw podstawowych Unii Europejskiej (dalej jako: KPP) i w art. 16 Traktatu o funkcjonowaniu Unii Europejskiej (dalej jako: TFUE). Sąd ten powinien również zagwarantować prawo do poszanowania życia prywatnego, zapewnione w art. 7 KPP, które jest ściśle związane z prawem do ochrony danych osobowych. Jednak, jak stanowi motyw 4 RODO, prawo do ochrony danych osobowych nie jest prawem bezwzględnym, lecz należy je postrzegać w kontekście jego funkcji społecznej i wyważyć względem innych praw podstawowych w myśl zasady proporcjonalności z innymi prawami podstawowymi, takimi jak prawo do skutecznej ochrony sądowej zagwarantowane w art. 47 KPP.
Trybunał wskazał, że skoro art. 47 akapit drugi KPP odpowiada art. 6 ust. 1 europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności (dalej jako: EKPCz), jego znaczenie i zakres są takie same jak tego art. 6 ust. 1. Zgodnie z utrwalonym orzecznictwem ETPC ze względu na znaczące miejsce, jakie prawo do rzetelnego procesu sądowego zajmuje w społeczeństwie demokratycznym, istotne jest, aby jednostka miała możliwość skutecznej obrony swojej sprawy przed sądem i by korzystała z równości broni ze swoim przeciwnikiem (wyrok ETPC z 24.6.2022 r. w sprawie Zayidov przeciwko Azerbejdżanowi, § 87). Wynika z tego w szczególności, że podmiot prawa powinien mieć możliwość skorzystania z postępowania kontradyktoryjnego i przedstawienia na różnych jego etapach argumentów, które uważa za istotne dla obrony swojej sprawy. W związku z tym TS stwierdził, że w celu zapewnienia jednostkom możliwości korzystania z prawa do skutecznej ochrony sądowej, a w szczególności z prawa do rzetelnego procesu w rozumieniu art. 47 akapit drugi KPP, należy uznać, że strony postępowania cywilnego powinny mieć możliwość dostępu do dowodów niezbędnych do wystarczającego wykazania zasadności ich zarzutów, co może ewentualnie obejmować dane osobowe stron lub osób trzecich. Zatem rozważenie występujących w postępowaniu interesów stanowi część badania niezbędności i proporcjonalności środka, przewidzianych w art. 6 ust. 3 i 4 RODO, które są warunkami zgodności z prawem przetwarzania danych osobowych.
4. Zasada proporcjonalności
Trybunał wskazał, że należy również wziąć pod uwagę art. 5 ust. 1 tego rozporządzenia, a w szczególności zasadę „minimalizacji danych” zawartą w lit. c) tego przepisu, która wyraża zasadę proporcjonalności. Zgodnie z tą zasadą minimalizacji danych dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane [wyrok TS z 22.6.2021 r., Latvijas Republikas Saeima (Punkty karne), C-439/19, pkt 98]. Sąd krajowy jest zatem zobowiązany do ustalenia, czy ujawnienie danych osobowych jest adekwatne i stosowne dla zapewnienia realizacji celu określonego we właściwych przepisach prawa krajowego oraz czy ten cel nie może zostać osiągnięty za pomocą mniej inwazyjnych środków dowodowych, w świetle ochrony danych osobowych dużej liczby osób trzecich, takich jak na przykład przesłuchanie wybranych świadków. W przypadku gdy przedstawienie dokumentu zawierającego dane osobowe okaże się uzasadnione, z tej zasady wynika ponadto, że jeżeli tylko część tych danych wydaje się niezbędna do celów dowodowych, sąd krajowy powinien rozważyć podjęcie dodatkowych środków w zakresie ochrony danych, takich jak zdefiniowana w art. 4 pkt 5 RODO pseudonimizacja nazwisk osób, których dane dotyczą, lub wszelkich innych środków mających na celu zminimalizowanie przeszkody w korzystaniu z prawa do ochrony danych osobowych, jaką stanowi przedstawienie takiego dokumentu. Takie środki mogą w szczególności obejmować ograniczenie publicznego dostępu do akt lub skierowany do stron, którym zostały przekazane dokumenty zawierające dane osobowe, nakaz niewykorzystywania tych danych w innym celu niż przeprowadzenie dowodu w danym postępowaniu sądowym.
Trybunał wyjaśnił, że z art. 4 pkt 5 w zw. z motywem 26 RODO wynika, że dane osobowe, które zostały spseudonimizowane i które można by przypisać osobie fizycznej poprzez użycie dodatkowych informacji, należy uznać za informacje dotyczące możliwej do zidentyfikowania osoby fizycznej, do których mają zastosowanie zasady ochrony danych. Natomiast z motywu tego wynika, że zasady te nie mają zastosowania ani do „informacji anonimowych, czyli informacji, które nie wiążą się ze zidentyfikowaną lub możliwą do zidentyfikowania osobą fizyczną, ani do danych osobowych zanonimizowanych w taki sposób, że osób, których dane dotyczą, w ogóle nie można zidentyfikować lub już nie można zidentyfikować”. Wynika z tego, że sąd krajowy może uznać, że dane osobowe stron lub osób trzecich powinny zostać mu przekazane, aby móc wyważyć występujące w postępowaniu interesy przy pełnej znajomości stanu rzeczy i z poszanowaniem zasady proporcjonalności. Ocena ta może w danym wypadku prowadzić do zezwolenia stronie przeciwnej na pełne lub częściowe ujawnienie przekazanych jej w ten sposób danych osobowych, jeżeli uzna on, że takie ujawnienie nie wykracza poza to, co jest konieczne do zapewnienia skutecznego korzystania z praw, które jednostki wywodzą z art. 47 KPP.
Trybunał orzekł, że art. 5 i 6 RODO należy interpretować w ten sposób, iż przy ocenie kwestii, czy należy nakazać przedstawienie dokumentu zawierającego dane osobowe, sąd krajowy jest zobowiązany uwzględnić interesy osób, których dane dotyczą, i wyważyć je w zależności od okoliczności każdej sprawy, rodzaju postępowania w sprawie i z należytym uwzględnieniem wymogów wynikających z zasady proporcjonalności, a w szczególności wymogów wynikających z zasady minimalizacji danych, o której mowa w art. 5 ust. 1 lit. c) tego rozporządzenia.
Wyrok TS z 2.3.2023 r., Norra Stockholm Bygg, C-268/21
Opracowała: dr Ewa Skibińska - WPiA UKSW w Warszawie, ORCID: 0000-0003-4607-1448
