–

den tyske regering ved J. Möller og P.-L. Krüger, som befuldmægtigede,

–

den ungarske regering ved M.Z. Fehér, K. Szíjjártó og Zs. Biró-Tóth, som befuldmægtigede,

–

den finske regering ved A. Laine og H. Leppo, som befuldmægtigede,

–

Europa-Kommissionen ved A. Bouchagiar, F. Erlbacher og H. Kranenborg, som befuldmægtigede,

1

Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 5, 6, 9, 13 og 17 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«).

2

Anmodningen er blevet indgivet i forbindelse med en tvist mellem NTH Haustechnik GmbH (herefter »NTH«) og selskabets tidligere medarbejder EM vedrørende erstatning for den skade, som dette selskab angiveligt har lidt som følge af uautoriseret videresalg på nettet af aktiver, der tilhører selskabet.

3

Følgende fremgår af 1., 2., 4., 7., 10., 20., 39. og 41. betragtning til databeskyttelsesforordningen:

[…]

[...]

[...]

[...]

[...]

[...]

4

Databeskyttelsesforordningens artikel 1 med overskriften »Genstand og formål« bestemmer følgende:

»1.   I denne forordning fastsættes regler om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og regler om fri udveksling af personoplysninger.

2.   Denne forordning beskytter fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger.

3.   Den frie udveksling af personoplysninger i Unionen må hverken indskrænkes eller forbydes af grunde, der vedrører beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger.«

5

Databeskyttelsesforordningens artikel 2 med overskriften »Materielt anvendelsesområde« fastsætter følgende i stk. 1 og 2:

»1.   Denne forordning finder anvendelse på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af automatisk databehandling, og på anden ikkeautomatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.

2.   Denne forordning gælder ikke for behandling af personoplysninger:

6

Databeskyttelsesforordningens artikel 4 med overskriften »Definitioner« bestemmer følgende:

»I denne forordning forstås ved:

[...]

[...]

[...]«

7

Databeskyttelsesforordningens kapitel II med overskriften »Principper« indeholder forordningens artikel 5-11.

8

Artikel 5 i databeskyttelsesforordningen med overskriften »Principper for behandling af personoplysninger« bestemmer følgende i stk. 1:

»1.   Personoplysninger skal:

[...]

[…]«

9

Databeskyttelsesforordningens artikel 6 med overskriften »Lovlig behandling« bestemmer følgende:

»1.   Behandling er kun lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende:

Første afsnit, litra f), gælder ikke for behandling, som offentlige myndigheder foretager som led i udførelsen af deres opgaver.

2.   Medlemsstaterne kan opretholde eller indføre mere specifikke bestemmelser for at tilpasse anvendelsen af denne forordnings bestemmelser om behandling med henblik på overholdelse af stk. 1, litra c) og e), ved at fastsætte mere præcist specifikke krav til behandling og andre foranstaltninger for at sikre lovlig og rimelig behandling, herunder for andre specifikke databehandlingssituationer som omhandlet i kapitel IX.

3.   Grundlaget for behandling i henhold til stk. 1, litra c) og e), skal fremgå af:

Formålet med behandlingen skal være fastlagt i dette retsgrundlag eller for så vidt angår den behandling, der er omhandlet i stk. 1, litra e), være nødvendig for udførelsen af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt. Dette retsgrundlag kan indeholde specifikke bestemmelser med henblik på at tilpasse anvendelsen af bestemmelserne i denne forordning, bl.a. de generelle betingelser for lovlighed af den dataansvarliges behandling, hvilke typer oplysninger der skal behandles, berørte registrerede, hvilke enheder personoplysninger må videregives til, og formålet hermed, formålsbegrænsninger, opbevaringsperioder og behandlingsaktiviteter samt behandlingsprocedurer, herunder foranstaltninger til sikring af lovlig og rimelig behandling såsom i andre specifikke databehandlingssituationer som omhandlet i kapitel IX. EU-retten eller medlemsstaternes nationale ret skal opfylde et formål i samfundets interesse og stå i rimeligt forhold til det legitime mål, der forfølges.

4.   Når behandling til et andet formål end det, som personoplysningerne er indsamlet til, ikke er baseret på den registreredes samtykke eller EU-retten eller medlemsstaternes nationale ret, som udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund af hensyn til de mål, der er omhandlet i artikel 23, stk. 1, tager den dataansvarlige, for at afgøre, om behandling til et andet formål er forenelig med det formål, som personoplysningerne oprindelig blev indsamlet til, bl.a. hensyn til følgende:

10

Databeskyttelsesforordningens artikel 9 med overskriften »Behandling af særlige kategorier af personoplysninger« fastsætter følgende:

»1.   Behandling af personoplysninger om race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold samt behandling af genetiske data, biometriske data med det formål entydigt at identificere en fysisk person, helbredsoplysninger eller oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering er forbudt.

2.   Stk. 1 finder ikke anvendelse, hvis et af følgende forhold gør sig gældende:

[...]

[...]

3.   Personoplysninger som omhandlet i stk. 1 kan behandles til de formål, der er omhandlet i stk. 2, litra h), hvis disse oplysninger behandles af en fagperson, der har tavshedspligt i henhold til EU-retten eller medlemsstaternes nationale ret eller regler, der er fastsat af nationale kompetente organer, eller under en sådan persons ansvar, eller af en anden person, der også har tavshedspligt i henhold til EU-retten eller medlemsstaternes nationale ret eller regler, der er fastsat af nationale kompetente organer.

4.   Medlemsstaterne kan opretholde eller indføre yderligere betingelser, herunder begrænsninger, for behandling af genetiske data, biometriske data eller helbredsoplysninger.«

11

Databeskyttelsesforordningens kapitel III med overskriften »Den registreredes rettigheder« indeholder forordningens artikel 12-23.

12

Artikel 13 i databeskyttelsesforordningen med overskriften »Oplysningspligt ved indsamling af personoplysninger hos den registrerede« bestemmer:

»1.   Hvis personoplysninger om en registreret indsamles hos den registrerede, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede alle følgende oplysninger:

2.   Ud over de oplysninger, der er omhandlet i stk. 1, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede følgende yderligere oplysninger, der er nødvendige for at sikre en rimelig og gennemsigtig behandling:

3.   Hvis den dataansvarlige agter at viderebehandle personoplysningerne til et andet formål end det, hvortil de er indsamlet, giver den dataansvarlige forud for denne viderebehandling den registrerede oplysninger om dette andet formål og andre relevante yderligere oplysninger, jf. stk. 2.

4.   Stk. 1, 2 og 3 finder ikke anvendelse, hvis og i det omfang den registrerede allerede er bekendt med oplysningerne.«

13

Databeskyttelsesforordningens artikel 17 med overskriften »Ret til sletning (»retten til at blive glemt«)« fastsætter følgende:

»1.   Den registrerede har ret til at få personoplysninger om sig selv slettet af den dataansvarlige uden unødig forsinkelse, og den dataansvarlige har pligt til at slette personoplysninger uden unødig forsinkelse, hvis et af følgende forhold gør sig gældende:

[...]

[...]

d) Personoplysningerne er blevet behandlet ulovligt.

[...]

3.   Stk. 1 og 2 finder ikke anvendelse, i det omfang denne behandling er nødvendig:

[...]

e) for, at retskrav kan fastlægges, gøres gældende eller forsvares.«

14

Databeskyttelsesforordningens artikel 23 med overskriften »Begrænsninger« bestemmer følgende:

»1.   EU-ret eller medlemsstaternes nationale ret, som den dataansvarlige eller databehandleren er underlagt, kan ved lovgivningsmæssige foranstaltninger begrænse rækkevidden af de forpligtelser og rettigheder, der er omhandlet i artikel 12-22 og 34 samt artikel 5, for så vidt bestemmelserne heri svarer til rettighederne og forpligtelserne i artikel 12-22, når en sådan begrænsning respekterer det væsentligste indhold af de grundlæggende rettigheder og frihedsrettigheder og er en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund af hensyn til:

[...]

[...]

2.   Navnlig skal enhver lovgivningsmæssig foranstaltning, der er omhandlet i stk. 1, som minimum, hvor det er relevant, indeholde specifikke bestemmelser vedrørende:

15

Artikel 92 i Grundgesetz für die Bundesrepublik Deutschland (Forbundsrepublikken Tysklands forfatning) af 23. maj 1949 (BGB1. 1949 I, s. 1) fastsætter følgende:

»Den dømmende magt er betroet dommerne; den udøves af Bundesverfassungsgericht [(forbundsdomstol i forvaltningsretlige sager, Tyskland)], af de forbundsdomstole, der er omhandlet i denne forfatning, og af delstatsdomstolene.«

16

§ 138 i Zivilprozessordnung (den civile retsplejelov) i den affattelse, der finder anvendelse på tvisten i hovedsagen, med overskriften »Forklarings- og sandhedspligt vedrørende de faktiske omstændigheder« bestemmer følgende:

»(1)   Parterne skal afgive fuldstændige og sandfærdige forklaringer om de faktiske omstændigheder.

(2)   Hver part skal afgive udtalelse om de faktiske omstændigheder, som er fremført af modparten.

(3)   Faktiske forhold, som ikke bestrides udtrykkeligt, skal betragtes som tiltrådt, såfremt et ønske om at bestride dem ikke fremgår af partens øvrige forklaringer.

(4)   Forklaring om manglende viden om faktiske omstændigheder kan kun afgives om faktiske omstændigheder, som hverken vedrører partens egne handlinger eller partens egne iagttagelser.«

17

Denne lovs § 286 med overskriften »Fri bevisbedømmelse« fastsætter følgende:

»(1)   På baggrund af alle forhandlinger og konklusionerne fra en eventuel undersøgelse træffer retten efter eget skøn afgørelse om, hvorvidt en påstand vedrørende en faktisk omstændighed skal anses for at være sand eller falsk. Den anfører i sin afgørelse grundene til, at den er overbevist.

(2)   Retten er kun bundet af de lovmæssige regler om bevisførelse i de tilfælde, der er omhandlet i denne lov.«

18

Den nævnte lovs § 355 med overskriften »Umiddelbar bevisoptagelse« har følgende ordlyd:

»(1)   Bevisoptagelsen finder sted ved den ret, der træffer afgørelse om sagens realitet. Den kan kun overdrages til et medlem af den ret, der behandler sagen, eller en anden domstol i de tilfælde, der er fastsat i denne lov.

(2)   En afgørelse om måden for bevisoptagelse kan ikke appelleres.«

19

§ 3 i Bundesdatenschutzgesetz (forbundslov om databeskyttelse) af 30. juni 2017 (BGBl. 2017 I, s. 2097) i den affattelse, der finder anvendelse på tvisten i hovedsagen, med overskriften »Offentlige myndigheders behandling af personoplysninger« bestemmer følgende:

»En offentlig myndigheds behandling af personoplysninger er tilladt, hvis den er nødvendig for udførelsen af den opgave, som den dataansvarlige er ansvarlig for, eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt.

[...]«

20

§ 26 i forbundsloven om databeskyttelse i den affattelse, der finder anvendelse på tvisten i hovedsagen, med overskriften »Behandling af oplysninger i forbindelse med ansættelsesforhold« fastsætter følgende:

»(1)   Ansattes personoplysninger kan behandles til brug for ansættelsesforholdet, hvis dette er nødvendigt for afgørelsen om indgåelse af et ansættelsesforhold eller, efter indgåelsen af ansættelsesforholdet, for dettes gennemførelse, ophør eller afvikling eller med henblik på udøvelse eller opfyldelse af rettigheder og pligter i forbindelse med repræsentation af medarbejdernes interesser, som følger af en lov eller en overenskomst, en virksomheds- eller tjenesteaftale (kollektiv aftale). Ansattes personoplysninger kan behandles for at afsløre strafbare handlinger, forudsat at der foreligger en mistanke baseret på konkrete, dokumenterbare indicier for, at den registrerede har begået en strafbar handling i forbindelse med ansættelsesforholdet, at behandlingen er nødvendig for at afsløre lovovertrædelsen, og at den eller de ansattes legitime interesse i at udelukke behandlingen ikke vejer tungere, og navnlig at behandlingens art og omfang ikke er uforholdsmæssig i forhold til de grunde, der ligger til grund for den.

(2)   Når behandlingen af ansattes personoplysninger foretages på grundlag af et samtykke, skal der ved vurderingen af, om samtykket er afgivet frit, bl.a. tages hensyn til den ansattes afhængighed af arbejdsforholdet og til de omstændigheder, hvorunder samtykket blev givet. Et frivilligt samtykke kan navnlig påvises, hvis der er tale om en retlig eller økonomisk fordel for den ansatte, eller hvis den offentlige eller private arbejdsgiver og den ansatte har sammenfaldende interesser. Samtykke skal gives skriftligt eller elektronisk, medmindre særlige omstændigheder kræver en anden form. Den offentlige eller private arbejdsgiver skal skriftligt underrette den ansatte om formålet med databehandlingen og om, at den ansatte i henhold til [databeskyttelsesforordningens] artikel 7, stk. 3, har ret til at trække sit samtykke tilbage.

[...]

(5)   Den dataansvarlige skal træffe egnede foranstaltninger til at sikre, at navnlig principperne for behandling af personoplysninger i [databeskyttelsesforordningens] artikel 5 bliver overholdt.

(6)   Medbestemmelsesrettigheder for de medarbejderrepræsentative organisationers medbestemmelsesrettigheder forbliver uændrede.

(7)   Stk. 1-6 finder ligeledes anvendelse, når personoplysninger, herunder særlige kategorier af ansattes personoplysninger, behandles, uden at de er indeholdt i eller bestemt til at blive indeholdt i et register.

(8)   Ved »ansatte« forstås i denne lov:

1. arbejdstagere, herunder vikaransatte i forholdet til brugeren

[...]«

21

NTH, som er en varme- og klimateknikvirksomhed, havde ansat EM, der var gift med direktøren for NTH.

22

Den 31. oktober 2019 ophørte ansættelsesforholdet mellem NTH og EM. Derefter og indtil den 26. juni 2022, hvor EM blev separeret fra direktøren for NTH, havde hun fortsat adgang til NTH’s lokaler og kunne anvende de computere, der befandt sig der.

23

Umiddelbart efter denne separation konstaterede NTH, hovedsageligt gennem sin medarbejder F., som er søn af NTH’s direktør og EM, at EM i eget navn på onlinesalgsplatformen eBay havde solgt varer, som NTH hævder at have ejendomsretten til, til en samlet videresalgsværdi på 13217,09 EUR. Henset til købsprisen for disse varer og de administrative omkostninger, der var forbundet med at erstatte dem, kunne det samlede beløb for det tab, som NTH således led, opgøres til 46567,91 EUR.

24

EM bestred at have solgt de nævnte varer uden NTH’s vidende. Disse varer var nemlig hovedsageligt enten varer, der var returneret af kunder, eller defekte eller forældede varer, som NTH ikke kunne bruge, og som derfor ikke længere havde nogen værdi for selskabet. NTH skulle have overdraget dem vederlagsfrit til EM, som solgte dem for at dække udgifterne til den husstand, hun havde sammen med direktøren for NTH.

25

Landesarbeitsgericht Niedersachsen (regional appeldomstol i arbejdsretlige sager i Niedersachsen, Tyskland), som er den forelæggende ret, har anført, at NTH fik kendskab til de af EM foretagne salg ved at få logge ind på EM’s private konto på onlinesalgsplatformen eBay. Med henblik herpå anvendte den ansatte F. EM’s brugernavn og password til denne onlinesalgsplatform.

26

Hvad angår den måde, hvorpå den pågældende ansatte fik kendskab til det omhandlede brugernavn og password, har direktøren for NTH hævdet, at medarbejder F. har fået oplysninger om EM’s brug af nævnte platform ved at gennemgå browserhistorikken på den af selskabets computere, der blev brugt af EM, og at have fået kendskab til det nævnte password ved at søge i en »familiemappe«, der var oprettet på selskabets server. EM har på den anden side hævdet, at hun ikke har beholdt samme password i NTH’s database. Hun har derimod oplyst, at direktøren for NTH har anmeldt den mobiltelefon, der er registreret i selskabet navn og anvendt af hende, for bortkommet for derigennem at kunne anmode telefonudbyderen om et nyt SIM-kort (Subscriber Identity Module, abonnentidentitetsmodul-kort), hvilket angiveligt gjorde det muligt for NTH at benytte det telefonnummer, der var knyttet til denne telefon, til på samme platform at ændre passwordet til hendes private konto og få adgang til denne.

27

Den forelæggende ret udelukker ikke, at NTH’s indsamling af oplysninger, hvorved selskabet blev bekendt med EM’s salg på onlinesalgsplatformen eBay, er foretaget på ulovlig vis.

28

Den forelæggende ret har under alle omstændigheder givet udtryk for, at den er tilbøjelig til at anse de oplysninger, som NTH har indsamlet, for behandling af oplysninger som omhandlet i databeskyttelsesforordningen.

29

Ifølge den forelæggende ret gør Domstolens retspraksis det imidlertid ikke muligt klart at afgøre for det første, om reglerne i tysk procesret er tilstrækkeligt præcise til at opfylde databeskyttelsesforordningens krav, navnlig for så vidt angår de kriterier, der skal anvendes for at fastslå, under hvilke omstændigheder anvendelsen af sådanne oplysninger er forbudt, for det andet, om de tyske domstole ved udførelsen af deres judicielle opgaver kan påberåbe sig databeskyttelsesforordningens artikel 17, stk. 3, litra e), med henblik på at behandle disse oplysninger, og, for det tredje, hvilke kriterier der skal lægges til grund for en grundig vurdering af, om behandling af oplysninger er tilladt i forbindelse med udførelsen af denne opgave, navnlig når oplysninger eventuelt som i det foreliggende tilfælde af en part er blevet indsamlet ulovligt.

30

Navnlig har den forelæggende ret har i første række anført, at grundlaget for den behandling, der er omhandlet i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra c) og e), i henhold til denne forordnings artikel 6, stk. 3, første afsnit, i mangel af EU-retlige bestemmelser er defineret i medlemsstaternes nationale ret, som den dataansvarlige er underlagt, og som ifølge den forelæggende rets fortolkning af artikel 6, stk. 3, andet afsnit, skal fastlægge formålene med den nævnte behandling. Ifølge den forelæggende ret fremgår det desuden af Domstolens praksis, der følger af dom af 24. februar 2022, Valsts ieņēmumu dienests (Behandling af personoplysninger til skatteformål) (C-175/20, EU:C:2022:124, præmis 83), at for at opfylde kravet om forholdsmæssighed, som databeskyttelsesforordningens artikel 5, stk. 1, litra c), er et konkret udtryk for, skal den lovgivning, der danner grundlag for behandlingen, indeholde klare og præcise regler, der regulerer rækkevidden og anvendelsen af den pågældende foranstaltning samt fastsætte minimumskrav, og navnlig angive, under hvilke omstændigheder og på hvilke betingelser en foranstaltning om en sådan behandling kan træffes.

31

Den forelæggende ret ønsker derfor oplyst, om databeskyttelsesforordningens artikel 6, stk. 3, andet afsnit, skal fortolkes således, at når en domstol under udførelsen af dens judicielle opgaver vedtager en retsakt, der indebærer et indgreb i en parts grundlæggende rettigheder, og samtidig behandler oplysninger, der er relateret hertil, er det tilstrækkeligt, at behandlingen er nødvendig af hensyn til udførelse af en opgave i samfundets interesse eller henhører under offentlig myndighedsudøvelse, eller om det i betragtning af bl.a. chartrets artikel 8, stk. 2, skal kræves, at retsgrundlaget for behandlingen indeholder præciseringer af de omstændigheder og betingelser, under hvilke de af parterne fremlagte oplysninger kan anvendes af den berørte domstol.

32

Såfremt Domstolen når frem til den konklusion, at retslige handlinger i forbindelse med behandling af oplysninger, der indebærer indgreb i grundlæggende rettigheder, skal være baseret på lovbestemmelser, der indeholder sådanne præciseringer, ønsker den forelæggende ret oplyst, om nationale regler såsom de i hovedsagen omhandlede opfylder de krav, der er fastsat i databeskyttelsesforordningen. Disse regler indeholder nemlig ingen angivelse af, hvilke betingelser der skal være opfyldt, eller hvilke kriterier der skal afvejes, for at det kan fastslås, om en domstol kan tage hensyn til de faktiske omstændigheder, som en part påberåber sig, eller til beviser fremlagt til støtte herfor. Den forelæggende ret er navnlig i tvivl om, hvilke konsekvenser det har, at der ikke findes bestemmelser, der regulerer de tilfælde, hvor den berørte part på ulovlig vis har indsamlet de personoplysninger, som vedkommende påberåber sig, eller de tilfælde, hvor denne part støtter sig til beviser, som vedkommende har indsamlet ved ulovlig anvendelse af personoplysninger. Den forelæggende ret ønsker ligeledes oplyst, hvilken betydning det har, at de regler, der i tysk ret regulerer anvendelsen af sådanne oplysninger, udelukkende er baseret på retspraksis.

33

Den forelæggende ret har i anden række anført, at Bundesarbeitsgericht (forbundsdomstol i arbejdsretlige sager, Tyskland) i sin praksis har bemærket, at det klart fremgår af databeskyttelsesforordningens artikel 17, at en domstol kan behandle personoplysninger, selv om en parts indsamling af disse oplysninger under en administrativ eller udenretslig fase viser sig at være ulovlig i henhold til databeskyttelsesforordningen eller den relevante nationale lovgivning om databeskyttelse, og at der følgelig ikke var grundlag for at forelægge Domstolen en anmodning om præjudiciel afgørelse.

34

Bundesarbeitsgericht har ligeledes bemærket, at selv om databeskyttelsesforordningens artikel 17, stk. 3, litra e), fastsætter en undtagelse til retten til sletning af ulovligt behandlede oplysninger, i det omfang, en behandling er »nødvendig« for, at retskrav kan fastlægges, gøres gældende eller forsvares, vedrører denne bestemmelse imidlertid kun denne ret til sletning.

35

Under alle omstændigheder finder den forelæggende ret, at det er relevant at undersøge, om databeskyttelsesforordningens artikel 6, stk. 1, litra e), eller artikel 9, stk. 2, litra f), udgør grundlaget for de nationale domstoles behandling af personoplysninger i forbindelse med udførelsen af deres judicielle opgaver, eller om de ligeledes kan støtte sig på databeskyttelsesforordningens artikel 17, stk. 3, litra e).

36

Såfremt Domstolen måtte nå til den konklusion, at databeskyttelsesforordningens artikel 17, stk. 3, litra e), kan udgøre et sådant grundlag for den behandling, som de nationale domstole foretager under udførelsen af deres judicielle opgaver, ønsker den forelæggende ret oplyst, hvordan denne bestemmelse bør anvendes, og om den overhovedet medfører et forbud mod at anvende oplysningerne, f.eks. når den første indsamling af oplysninger ikke er sket i det skjulte og er anvendt til at fastslå en forsætlig tilsidesættelse af en forpligtelse.

37

I tredje række ønsker den forelæggende ret oplyst, hvilke materielle kriterier der skal anvendes ved behandlingen af oplysninger under udførelsen af judicielle opgaver.

38

Den forelæggende ret ønsker navnlig oplyst for det første, om de nationale domstole i tilfælde af ulovligt indsamlede oplysninger, hvis ægthed og materielle nøjagtighed ikke som sådan bestrides, skal foretage en undersøgelse af forholdsmæssigheden og en grundig afvejning af de foreliggende interesser. Den ønsker ligeledes oplyst, om disse domstole skal vurdere, om der skal skelnes mellem en sådan situation og en situation, hvor den anden part bestrider såvel den måde, hvorpå de pågældende oplysninger er indsamlet, ved at kvalificere den som ulovlig, som oplysningernes ægthed og/eller materielle nøjagtighed.

39

Den forelæggende ret har for det andet fremhævet, at EM i længere tid ikke havde benyttet sig af NTH’s IT-system, da NTH med henblik på hovedsagen havde beslaglagt visse af de oplysninger, der var lagret deri. Den forelæggende ret har desuden anført, at databeskyttelsesforordningens artikel 5, stk. 1, litra e), i det væsentlige bestemmer, at personoplysninger ikke må opbevares i et længere tidsrum end det, der er nødvendigt til de formål, hvortil de pågældende personoplysninger behandles. Den forelæggende ret sætter derfor spørgsmålstegn ved, hvilke konsekvenser det har for anvendelsen af denne bestemmelse, at disse oplysninger blev indsamlet for længe siden, at de endog blev opbevaret i en lang periode, og endelig at der forelå kontraktmæssige forpligtelser om sletning, der ikke blev overholdt.

40

For det tredje ønsker den forelæggende ret oplyst, om det er tilstrækkeligt, at en part påberåber sig en almen interesse i bevisførelsen, eller om EU-retten ikke kræver, at der tages hensyn til andre aspekter, hvoraf det fremgår, at interessen i bevisførelsen fortjener beskyttelse på trods af den krænkelse, der påføres den anden parts rettigheder.

41

For det fjerde ønsker den forelæggende ret oplyst, om den sagsøgende arbejdsgiver i en situation som den i hovedsagen omhandlede kan påberåbe sig chartrets artikel 47, stk. 2, med henblik på at begrunde den indsamling og behandling af personoplysninger, som vedkommende har foretaget, og hvilke konsekvenser der skal drages af den omstændighed, at den pågældende arbejdsgiver muligvis ikke har overholdt sin oplysningspligt i henhold til databeskyttelsesforordningens artikel 13.

42

For det femte har den forelæggende ret anført, at Domstolen i præmis 55 i dom af 2. marts 2023, Norra Stockholm Bygg (C-268/21, EU:C:2023:145), fastslog, at den nationale ret med henblik på at tage hensyn til databeskyttelsesforordningens artikel 5, stk. 1, og navnlig princippet om »dataminimering« i denne bestemmelses litra c), er forpligtet til at afgøre, om en udlevering af personoplysningerne er tilstrækkelig og relevant med henblik på at sikre det formål, der forfølges med de i national ret gældende bestemmelser, og om dette formål kan nås ved en anvendelse af bevismidler, der er mindre indgribende i forhold til beskyttelsen af et stort antal tredjemænds personoplysninger, f.eks. gennem afhøring af udvalgte vidner. Den forelæggende ret ønsker derfor oplyst, om denne løsning kan overføres på den foreliggende sag, eftersom f.eks. oplysninger om købere på onlinesalgsplatformen eBay kan være berørt.

43

Det er på denne baggrund, at Landesarbeitsgericht Niedersachsen (regional appeldomstol i arbejdsretlige sager i Niedersachsen) har besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:

44

Indledningsvis bemærkes, at selv om der ifølge fast retspraksis foreligger en formodning for, at de spørgsmål om EU-rettens fortolkning, som den nationale ret har forelagt på baggrund af de retlige og faktiske omstændigheder, som den har ansvaret for at fastlægge – og hvis rigtighed det ikke tilkommer Domstolen at efterprøve – er relevante, kan sådanne spørgsmål derimod ikke antages til realitetsbehandling, såfremt det klart fremgår, at den ønskede fortolkning af EU-retten savner enhver forbindelse med realiteten i hovedsagen eller dennes genstand, når problemet er af hypotetisk karakter, eller når Domstolen ikke råder over de faktiske og retlige oplysninger, som er nødvendige for, at den kan give en hensigtsmæssig besvarelse af de stillede spørgsmål (jf. i denne retning dom af 18.6.2024, Bundesrepublik Deutschland (Virkningen af en afgørelse om tildeling af flygtningestatus), C-753/22, EU:C:2024:524, præmis 44 og den deri nævnte retspraksis).

45

I det foreliggende tilfælde skal det bemærkes, at den forelæggende ret i sine spørgsmål flere gange har henvist til databeskyttelsesforordningens artikel 9, der vedrører visse særlige kategorier af personoplysninger, nemlig oplysninger om race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold samt genetiske data og biometriske data, for så vidt som disse behandles med henblik på entydigt at identificere en fysisk person, helbredsoplysninger eller oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering.

46

Eftersom det fremgår af de sagsakter, som Domstolen råder over, at tvisten i hovedsagen ikke vedrører sådanne oplysninger, kan de præjudicielle spørgsmål, som den forelæggende ret har forelagt, ikke antages til realitetsbehandling, for så vidt som de vedrører fortolkningen af databeskyttelsesforordningens artikel 9.

47

Indledningsvis bemærkes, at det forelagte spørgsmål hviler på den forudsætning, at en domstols behandling af personoplysninger under udførelsen af dens judicielle opgaver kun kan støttes på databeskyttelsesforordningens artikel 6, stk. 1, litra e), der omhandler behandling af personoplysninger, der er nødvendig af hensyn til udførelse af en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt.

48

Det skal i denne henseende bemærkes for det første, at flere alternative betingelser for lovlighed i visse situationer kan finde anvendelse på én og samme behandling.

49

For det andet bemærkes, at selv om visse former for behandling af personoplysninger, der foretages af en domstol, kan anses for nødvendige af hensyn til udførelsen af en sådan opgave i samfundets interesse eller for at henhøre under en sådan myndighedsudøvelse, er den behandling af personoplysninger, som en domstol kan foretage, således som det er tilfældet i hovedsagen, i forbindelse med parternes bevisfremlæggelse kendetegnet ved, at den principielt er nødvendig for at overholde en retlig forpligtelse, der påhviler den berørte domstol, nemlig forpligtelsen til at træffe afgørelse om antageligheden af beviserne og, når beviserne er antaget ifølge de kriterier, der er fastsat herfor i national ret, forpligtelsen til at tage beviserne i betragtning med henblik på at træffe dens afgørelse.

50

Domstolen er derfor af den opfattelse, at det med henblik på at give den forelæggende ret et hensigtsmæssigt svar er nødvendigt at undersøge de forskellige spørgsmål, der i den foreliggende sag er forelagt Domstolen, i lyset af databeskyttelsesforordningens artikel 6, stk. 1, litra c), snarere end i lyset af denne forordnings artikel 6, stk. 1, litra e).

51

Under disse omstændigheder skal det fastslås, at den forelæggende ret med det første spørgsmål nærmere bestemt ønsker oplyst, om databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra c), og artikel 6, stk. 3, sammenholdt med chartrets artikel 8, stk. 2, og artikel 52, skal fortolkes således, at disse bestemmelser er til hinder for en national lovgivning, der for så vidt angår anvendelsen af personoplysninger i forbindelse med en domstols undersøgelse af de faktiske omstændigheder og bevisoptagelsen begrænser sig til at fastsætte, at det tilkommer parterne at afgive fuldstændige og sandfærdige forklaringer om de faktiske omstændigheder, og til at pålægge den berørte domstol at tage fuldt hensyn til disse faktiske omstændigheder, inden der i givet fald foretages en bedømmelse heraf, uden at præcisere, under hvilke omstændigheder og på hvilke betingelser de af parterne påberåbte omstændigheder og beviser, der indeholder personoplysninger, kan anvendes af den nævnte domstol.

52

Det skal i første række bemærkes, at det på EU-rettens nuværende udviklingstrin ganske vist alene er overladt til den nationale lovgivning at fastsætte de regler, der gælder for antagelse og bedømmelse af faktiske oplysninger og beviser (jf. i denne retning dom af 6.10.2020, La Quadrature du Net m.fl., C-511/18, C-512/18 og C-520/18, EU:C:2020:791, præmis 223, og af 5.4.2022, Commissioner of An Garda Síochána m.fl., C-140/20, EU:C:2022:258, præmis 127).

53

I henhold til databeskyttelsesforordningens artikel 2, stk. 1, finder denne forordning imidlertid anvendelse på »behandling af personoplysninger, der helt eller delvis foretages ved hjælp af automatisk databehandling, og på anden ikkeautomatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register« med forbehold af visse af de tilfælde, der er omhandlet i denne forordnings artikel 2, stk. 2 og 3. Eftersom behandlinger, der foretages af domstole og andre judicielle myndigheder, ikke indgår i de tilfælde, der er omhandlet i artikel 2, stk. 2 og 3, kan den nævnte forordning således, som det i øvrigt bekræftes i 20. betragtning hertil, finde anvendelse på behandlinger, der foretages af disse domstole og disse myndigheder.

54

Databeskyttelsesforordningens artikel 4, nr. 2), definerer i denne henseende »behandling« som enhver aktivitet eller række af aktiviteter – med eller uden brug af automatisk behandling – som personoplysninger eller en samling af personoplysninger gøres til genstand for, f.eks. indsamling, registrering, organisering, systematisering, opbevaring, tilpasning eller ændring, genfinding, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring, begrænsning, sletning eller tilintetgørelse.

55

Anvendelsen af udtrykket »enhver aktivitet« i denne artikel indebærer, at EU-lovgiver har haft til hensigt at give begrebet »behandling« en vid rækkevidde (dom af 5.12.2023, Nacionalinis visuomenės sveikatos centras, C-683/21, EU:C:2023:949, præmis 50 og den deri nævnte retspraksis).

56

For at en behandling af personoplysninger falder ind under databeskyttelsesforordningens anvendelsesområde, kræves det ganske vist i henhold til denne forordnings artikel 2, stk. 1, at behandlingen er helt eller delvis automatisk, eller, når behandlingen ikke er automatisk, at de pågældende oplysninger er eller vil blive indeholdt i et register.

57

I denne forbindelse bemærkes for det første, at en behandling af personoplysninger anses for helt eller delvis automatisk som omhandlet i denne bestemmelse, når den indebærer tekniske aktiviteter uden nogen menneskelig indgriben (jf. i denne retning og analogt dom af 6.11.2003, Lindqvist, C-101/01, EU:C:2003:596, præmis 26).

58

For det andet definerer databeskyttelsesforordningens artikel 4, nr. 6), »register« som enhver struktureret samling af personoplysninger, der er tilgængelig efter bestemte kriterier, hvad enten denne samling er placeret centralt eller decentralt eller er fordelt på funktionsbestemt eller geografisk grundlag.

59

Selv om spørgsmålet om, hvorvidt beviser kan antages til behandling, ikke falder ind under databeskyttelsesforordningen, skal en domstol anses for at foretage behandling af personoplysninger som omhandlet i denne forordning, når den bl.a. fører dokumenter, der indeholder personoplysninger, til sagsakterne, såsom de i hovedsagen omhandlede, forudsat at sagsakterne falder ind under begrebet register som omhandlet i databeskyttelsesforordningens artikel 2, stk. 1, og artikel 4, nr. 6).

60

Når sådanne dokumenter fremsendes til en domstol elektronisk, og den pågældende domstol søger, genfinder, opbevarer eller bruger disse oplysninger, foretager den ligeledes en behandling som omhandlet i databeskyttelsesforordningen.

61

Det bemærkes navnlig, at eftersom enhver transmission af oplysninger til en anden dataansvarlig end den forrige medfører en indsamling fra dennes side (jf. i denne retning dom af 30.4.2024, La Quadrature du Net m.fl. (Personoplysninger og bekæmpelse af immaterialretskrænkelser), C-470/21, EU:C:2024:370, præmis 62), skal en domstol anses for at foretage en sådan indsamling, når den på grundlag af elektroniske dokumenter, der er fremsendt af en part, indsamler visse personoplysninger, der er indeholdt i disse dokumenter.

62

I det foreliggende tilfælde tilkommer det den forelæggende ret i lyset af de ovenstående betragtninger at efterprøve, om den i hovedsagen omhandlede behandling af personoplysninger kan anses for at være omfattet af databeskyttelsesforordningens anvendelsesområde, enten fordi behandlingen vedrører oplysninger, der skal være tilgængelige i sagsakterne ifølge bestemte kriterier, eller den er helt eller delvist automatisk, hvilket bl.a. er tilfældet, når beviserne er fremsendt elektronisk, og de omhandlede behandlinger har bestået i at søge, genfinde, opbevare eller bruge personoplysninger på grundlag af disse beviser.

63

Det skal i anden række bemærkes, at hovedformålet med databeskyttelsesforordningen, således som det bl.a. fremgår af denne forordnings artikel 1 og af første, anden, syvende samt tiende betragtning hertil, består i at sikre et højt beskyttelsesniveau for fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af privatlivets fred i forbindelse med behandlingen af personoplysninger, som er fastsat i chartrets artikel 8, stk. 1, og i artikel 16, stk. 1, TEUF (jf. i denne retning dom af 4.10.2024, Koninklijke Nederlandse Lawn Tennisbond, C-621/22, EU:C:2024:858, præmis 26 og den deri nævnte retspraksis).

64

I overensstemmelse med dette formål skal enhver behandling af personoplysninger, der falder ind under anvendelsesområdet for databeskyttelsesforordningen, for at være lovlig overholde de principper, der er fastsat i kapitel II i denne forordning, og de registreredes rettigheder, der er fastsat i kapitel III heri (jf. i denne retning dom af 2.3.2023, Norra Stockholm Bygg, C-268/21, EU:C:2023:145, præmis 43 og den deri nævnte retspraksis).

65

I henhold til databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, er en behandling kun lovlig, hvis og i det omfang mindst en af de alternative betingelser, der er nævnt i denne bestemmelse, er opfyldt (jf. i denne retning dom af 5.6.2023, Kommissionen mod Polen (Dommeres uafhængighed og privatliv), C-204/21, EU:C:2023:442, præmis 335 og den deri nævnte retspraksis).

66

Hvad angår en behandling, der er baseret på den alternative betingelse for lovlighed, der er omhandlet i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra c), præciseres det i databeskyttelsesforordningens artikel 6, stk. 3, første afsnit, at grundlaget for denne behandling skal fremgå af EU-retten eller medlemsstaternes nationale ret, som den dataansvarlige er underlagt.

67

Databeskyttelsesforordningens artikel 6, stk. 3, første afsnit, kræver således, at eftersom EU-retten ikke regulerer de nærmere regler for fremstillingen af faktiske omstændigheder og bevisførelsen ved de nationale domstole, skal en behandling af personoplysninger, der foretages på grundlag af denne alternative betingelse for lovlighed, have et retsgrundlag i national ret (jf. i denne retning dom af 2.3.2023, Norra Stockholm Bygg, C-268/21, EU:C:2023:145, præmis 32).

68

Hvad angår den form og det indhold, som dette retsgrundlag skal have, med forbehold af de krav, der er knyttet til det tilfælde, der er omhandlet i databeskyttelsesforordningens artikel 6, stk. 3, tredje punktum, begrænser denne bestemmelse hvad angår de behandlinger, der er omhandlet i denne forordnings artikel 6, stk. 1, første afsnit, litra c), sig til at kræve, at formålene med denne behandling skal være fastlagt i dette retsgrundlag, og at samme retsgrundlag skal opfylde et formål i samfundets interesse og stå i rimeligt forhold til det legitime mål, der forfølges.

69

Derimod fremgår det ikke af databeskyttelsesforordningens artikel 6, stk. 3, eller af nogen anden bestemmelse i denne forordning, at det mål, der forfølges med retsgrundlaget i national ret, skal være angivet heri, idet »mål« henviser til de mere generelle formål, som forfølges med den pågældende behandling, mens »formålene« skal forstås således, at det henviser til de specifikke og konkrete mål, som forfølges med behandlingen (jf. i denne retning dom af 20.11.2025, Policejní prezidium (Opbevaring af biometriske og genetiske data), C-57/23, EU:C:2025:905, præmis 81).

70

Når en medlemsstats lovgiver vedtager et retsgrundlag, der tillader behandling på grundlag af databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra c), gennemfører denne lovgiver EU-retten, hvilket indebærer, at et sådant retsgrundlag i henhold til chartrets artikel 51 skal være foreneligt med chartret.

71

Som den forelæggende ret har fremhævet, har Domstolen udledt af chartrets artikel 8, stk. 2 – en bestemmelse, der selv blot afspejler det krav, der er opstillet i chartrets artikel 52, hvorefter enhver begrænsning i udøvelsen af de grundlæggende rettigheder, der anerkendes ved chartret, skal være fastlagt i lovgivningen (jf. i denne retning dom af 20.11.2025, Policejní prezidium (Opbevaring af biometriske og genetiske data), C-57/23, EU:C:2025:905, præmis 51) – at ethvert retsgrundlag, som tillader et indgreb i retten til beskyttelse af personoplysninger, selv skal definere rækkevidden af begrænsningen af udøvelsen af den pågældende rettighed, som det kan medføre (jf. i denne retning dom af 6.10.2020, Privacy International, C-623/17, EU:C:2020:790, præmis 65 og den deri nævnte retspraksis).

72

Desuden har Domstolen for så vidt angår kravet i chartrets artikel 52 fastslået, at ethvert indgreb i retten til beskyttelse af personoplysninger skal foretages under overholdelse af proportionalitetsprincippet, hvilket kræver, at enhver lovgivning, der medfører et sådant indgreb, skal fastsætte klare og præcise regler, som regulerer rækkevidden og anvendelsen af den omhandlede foranstaltning og opstiller en række mindstekrav, således at de personer, hvis oplysninger berøres, råder over tilstrækkelige garantier, der gør det muligt effektivt at beskytte disse oplysninger mod risikoen for misbrug og mod ulovlig adgang til og anvendelse af disse oplysninger (jf. i denne retning dom af 24.2.2022, Valsts ieņēmumu dienests (Behandling af personoplysninger til skatteformål), C-175/20, EU:C:2022:124, præmis 55 og den deri nævnte retspraksis, og af 16.11.2023, Roos m.fl. mod Parlamentet, C-458/22 P, EU:C:2023:871, præmis 69 og den deri nævnte retspraksis).

73

Retsgrundlaget for behandlingen skal navnlig angive, under hvilke omstændigheder og på hvilke betingelser der kan vedtages en foranstaltning om behandling af sådanne oplysninger, hvorved det sikres, at indgrebet begrænses til det strengt nødvendige (jf. i denne retning dom af 16.7.2020, Facebook Ireland og Schrems, C-311/18, EU:C:2020:559, præmis 176 og den deri nævnte retspraksis).

74

Domstolen har imidlertid under henvisning til Den Europæiske Menneskerettighedsdomstols faste praksis ligeledes præciseret, at ordet »lov« i chartrets artikel 8, stk. 2, i udtrykket »ved lov fastsat grundlag« skal forstås i dets materielle og ikke dets formelle betydning (jf. i denne retning dom af 16.11.2023, Facebook Ireland og Schrems, C-458/22, EU:C:2023:871, præmis 61 og den deri nævnte retspraksis).

75

Det følger endvidere af denne praksis fra Den Europæiske Menneskerettighedsdomstol, at den nævnte betydning af ordet »lov« i udtrykket »i overensstemmelse med loven« i EMRK’s artikel 8, stk. 2, indebærer, at dette ord henviser til den gældende tekst, således som de kompetente retter har fortolket det (jf. i denne retning Menneskerettighedsdomstolens dom af 23.1.2025, H.W. mod Frankrig, CE:ECHR:2025:0123JUD001380521, § 65).

76

Det fremgår i øvrigt udtrykkeligt af 41. betragtning til databeskyttelsesforordningen, at når denne forordning henviser til et retsgrundlag eller en lovgivningsmæssig foranstaltning, kræver det ikke nødvendigvis en lov, der er vedtaget af et parlament, med forbehold for krav i henhold til den forfatningsmæssige orden i den pågældende medlemsstat. Et sådant retsgrundlag eller en sådan lovgivningsmæssig foranstaltning bør imidlertid være klar(t) og præcis(t), og anvendelse heraf bør i overensstemmelse med praksis fra Domstolen og Den Europæiske Menneskerettighedsdomstol være forudsigelig for personer, der er omfattet af dets/dens anvendelsesområde.

77

Kravet i databeskyttelsesforordningens artikel 6, stk. 3, hvorefter der skal fastsættes et retsgrundlag for enhver behandling, der er baseret på de alternative betingelser for lovlighed, der er fastsat i denne forordnings artikel 6, stk. 1, første afsnit, litra c) og e), skal derfor forstås således, at det ikke nødvendigvis indebærer, at der skal foreligge en lovgivningsmæssig retsakt, idet begrebet »medlemsstaternes nationale ret, som den dataansvarlige er underlagt«, ligeledes kan omfatte national retspraksis, forudsat at denne retspraksis er klar og præcis, og at de personer, der er omfattet heraf, kan forudse dens anvendelse (jf. i denne retning dom af 12.9.2024, HTB Neunte Immobilien Portfolio og Ökorenta Neue Energien Ökostabil IV, C-17/22 og C-18/22, EU:C:2024:738, præmis 71 og 72).

78

Eftersom databeskyttelsesforordningens artikel 6, stk. 3, andet afsnit, kræver, at retsgrundlaget for den omhandlede behandling skal opfylde et formål i samfundets interesse og stå i rimeligt forhold til det legitime mål, der forfølges, skal en sådan retspraksis i øvrigt ligeledes opfylde disse betingelser (jf. i denne retning dom af 12.9.2024, HTB Neunte Immobilien Portfolio og Ökorenta Neue Energien Ökostabil IV, C-17/22 og C-18/22, EU:C:2024:738, præmis 73 og den deri nævnte retspraksis).

79

I det foreliggende tilfælde fremgår det af forelæggelsesafgørelsen, at de i hovedsagen omhandlede lovbestemmelser ikke fastsætter, hvilke betingelser der skal være opfyldt, for at beviser eller faktiske omstændigheder, der indeholder personoplysninger, der tidligere har været genstand for en ulovlig behandling, kan antages til realitetsbehandling. Det påhviler derfor den forelæggende ret med henblik på at sikre, at disse bestemmelser er i overensstemmelse med databeskyttelsesforordningen, at kontrollere, at de har været genstand for en klar og præcis retspraksis, hvis anvendelse er forudsigelig, og som selv fastlægger de omstændigheder og betingelser, hvorunder de af parterne fremlagte faktiske omstændigheder og beviser, der indeholder personoplysninger, kan anvendes af en domstol, og at denne retspraksis opfylder et formål i samfundets interesse og står i rimeligt forhold hertil.

80

Henset til samtlige ovenstående betragtninger skal det første spørgsmål besvares med, at databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra c), og artikel 6, stk. 3, sammenholdt med chartrets artikel 8, stk. 2, og artikel 52, skal fortolkes således, at disse bestemmelser ikke er til hinder for en national lovgivning, der for så vidt angår anvendelsen af personoplysninger i forbindelse med en domstols undersøgelse af de faktiske omstændigheder og bevisoptagelsen begrænser sig til at fastsætte, at det tilkommer parterne at afgive fuldstændige og sandfærdige forklaringer om de faktiske omstændigheder, og til at pålægge den berørte domstol at tage fuldt hensyn til disse faktiske omstændigheder, inden der i givet fald foretages en bedømmelse heraf, uden at præcisere, under hvilke omstændigheder og på hvilke betingelser de af parterne påberåbte omstændigheder og beviser, der indeholder personoplysninger, kan anvendes af den nævnte domstol, forudsat at der foreligger en klar og præcis national retspraksis, hvis anvendelse er forudsigelig, og som selv fastlægger de omstændigheder og betingelser, hvorunder de af parterne fremlagte faktiske omstændigheder og beviser, der indeholder personoplysninger, kan anvendes af en domstol, og at denne retspraksis opfylder et formål i samfundets interesse og står i rimeligt forhold hertil.

81

Med det andet spørgsmål, litra a), ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 17, stk. 3, litra e), skal fortolkes således, at denne bestemmelse fastsætter en alternativ betingelse for lovlighed, som en behandling kan opfylde for at være forenelig med denne forordnings artikel 5, stk. 1, litra a), og som adskiller sig fra en af de betingelser, der er opregnet i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit.

82

I denne henseende bemærkes, at i henhold til databeskyttelsesforordningens artikel 5, stk. 1, litra a), skal personoplysninger behandles lovligt, hvilket, således som det er anført i nærværende doms præmis 64, indebærer, at behandlingen skal være forenelig med alle de principper, der er fastsat i databeskyttelsesforordningens kapitel II, og overholde de registreredes rettigheder som fastsat i forordningens kapitel III.

83

Blandt disse principper indeholder databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, en udtømmende og fuldstændig liste over de tilfælde, hvor behandling af personoplysninger kan anses for lovlig. For at en behandling kan anses for lovlig i henhold til databeskyttelsesforordningens artikel 5, stk. 1, litra a), skal den således falde ind under et af de tilfælde, der er fastsat i artikel 6, stk. 1, første afsnit (jf. i denne retning dom af 4.5.2023, Bundesrepublik Deutschland (Domstolenes elektroniske postkasse), C-60/22, EU:C:2023:373, præmis 56 og den deri nævnte retspraksis).

84

De registreredes ret til at få personoplysninger om sig selv slettet af den dataansvarlige, således som det fremgår af databeskyttelsesforordningens artikel 17, stk. 1, litra d), bl.a. når personoplysningerne er blevet behandlet ulovligt, finder i henhold til denne forordnings artikel 17, stk. 3, litra e), ganske vist ikke anvendelse, hvis behandlingen er nødvendig for, at retskrav kan fastlægges, gøres gældende eller forsvares.

85

Den omstændighed, at databeskyttelsesforordningens artikel 17, stk. 3, litra e), indfører en undtagelse til denne ret til sletning, indebærer imidlertid ikke, at denne bestemmelse skal fortolkes således, at den som sådan fastsætter en selvstændig alternativ betingelse for lovlighed, som en behandling af personoplysninger, der er nødvendig for, at retskrav kan fastlægges, gøres gældende eller forsvares, kan støttes på for at være forenelig med databeskyttelsesforordningens artikel 5, stk. 1, litra a). Da listen over alternative betingelser for lovlighed i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, er udtømmende og fuldstændig, således som det fremgår af denne doms præmis 83, kan den situation, der er omhandlet i denne forordnings artikel 17, stk. 3, litra e), ikke anses for at være en sådan alternativ betingelse for lovlighed.

86

Henset til samtlige ovenstående betragtninger skal det andet spørgsmål, litra a), besvares med, at databeskyttelsesforordningens artikel 17, stk. 3, litra e), skal fortolkes således, at denne bestemmelse ikke fastsætter en alternativ betingelse for lovlighed, som en behandling kan opfylde for at være forenelig med databeskyttelsesforordningens artikel 5, stk. 1, litra a), og som adskiller sig fra en af de betingelser, der er opregnet i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit.

87

Henset til besvarelsen af det andet spørgsmål, litra a), er det ufornødent at besvare det andet spørgsmål, litra b).

88

Det skal indledningsvis bemærkes, at princippet om »dataminimering«, som det tredje spørgsmål, litra a), udelukkende vedrører, ikke, således som det synes at være den forelæggende rets opfattelse ifølge ordlyden af dette spørgsmål, er fastsat i databeskyttelsesforordningens artikel 5, stk. 1, litra a), men derimod i denne forordnings artikel 5, stk. 1, litra c).

89

Det fremgår desuden af anmodningen om præjudiciel afgørelse, at den forelæggende ret, når den henviser til en vurdering af forholdsmæssigheden af den påtænkte behandling og til en udtømmende »afvejning« af de foreliggende interesser, sætter spørgsmålstegn ved, om det i henhold til chartrets artikel 52, stk. 1, andet punktum, er nødvendigt for hver enkelt behandling af personoplysninger, der foretages, at kontrollere, at de oplysninger, der i denne forbindelse behandles, er af en sådan art, at de gør det muligt at nå det mål, der forfølges med behandlingen, er strengt nødvendige herfor, og at alvoren af det indgreb i de grundlæggende rettigheder, som inddragelsen af sådanne oplysninger medfører med henblik på at gennemføre den omhandlede behandling, står i rimeligt forhold til den interesse, som den dataansvarlige har i at anvende disse oplysninger til at gennemføre den omhandlede behandling.

90

Det må derfor lægges til grund, at den forelæggende ret med det tredje spørgsmål, litra a), nærmere bestemt ønsker oplyst, om databeskyttelsesforordningens artikel 5, stk. 1, litra c), sammenholdt med chartrets artikel 52, stk. 1, andet punktum, skal fortolkes således, at princippet om »dataminimering« kræver, at en domstol for hver behandling af personoplysninger, den foretager, håndhæver overholdelsen af proportionalitetsprincippet, idet den sikrer sig, at de oplysninger, der behandles i denne forbindelse, er af en sådan art, at de gør det muligt at nå det formål, der forfølges med behandlingen, er strengt nødvendige herfor, og at alvoren af det indgreb i de grundlæggende rettigheder, som inddragelsen af sådanne oplysninger medfører med henblik på at gennemføre den omhandlede behandling, står i rimeligt forhold til den interesse, som denne retsinstans har i at anvende de pågældende oplysninger til at gennemføre den nævnte behandling.

91

Hertil bemærkes for det første, at som det fremgår af chartrets artikel 52, stk. 1, andet punktum, gælder det, at for at der kan indføres begrænsninger i udøvelsen af de ved chartret sikrede grundlæggende rettigheder under iagttagelse af proportionalitetsprincippet, skal disse begrænsninger være nødvendige og faktisk svare til mål af almen interesse, der er anerkendt af Unionen, eller et behov for beskyttelse af andres rettigheder og friheder.

92

Mere specifikt skal undtagelser fra og begrænsninger i beskyttelsen af personoplysninger begrænses til det strengt nødvendige, hvorved det forudsættes, at såfremt det er muligt at vælge mellem flere egnede foranstaltninger i forhold til de tilsigtede legitime mål, skal den mindst bebyrdende foranstaltning vælges. Desuden kan et mål af almen interesse ikke forfølges uden hensyntagen til den omstændighed, at målet skal forenes med de grundlæggende rettigheder, der er berørt af den pågældende foranstaltning, ved at foretage en rimelig afvejning mellem målet af almen interesse og de pågældende rettigheder med henblik på at sikre, at ulemperne ved denne foranstaltning ikke er uforholdsmæssige i forhold til de tilsigtede mål. Muligheden for at begrunde en begrænsning af de rettigheder, der er sikret ved chartrets artikel 7 og 8, skal således vurderes ved at bedømme alvoren af det indgreb, som en sådan begrænsning indebærer, og ved at kontrollere, at betydningen af det mål af almen interesse, der forfølges med denne begrænsning, står i forhold til denne alvor (dom af 21.3.2024, Landeshauptstadt Wiesbaden, C-61/22, EU:C:2024:251, præmis 83 og den deri nævnte retspraksis).

93

Overholdelsen af proportionalitetsprincippet kræver følgelig, at der kun kan indføres begrænsninger af de grundlæggende rettigheder, der er sikret ved chartret, hvis for det første den omhandlede foranstaltning forfølger et eller flere mål af almen interesse, der er anerkendt af Unionen, og rent faktisk er egnet til at nå disse mål, hvis for det andet de heraf følgende indgreb er begrænset til det strengt nødvendige i den forstand, at de nævnte mål ikke med rimelighed kan nås lige så effektivt ved andre midler, der er mindre indgribende i de berørte personers grundlæggende rettigheder, og for det tredje hvis disse indgreb ikke er uforholdsmæssige i forhold til samme mål, hvilket navnlig indebærer en afvejning mellem disse mål og alvoren af de nævnte indgreb (dom af 21.3.2024, Landeshauptstadt Wiesbaden, C-61/22, EU:C:2024:251, præmis 84 og den deri nævnte retspraksis).

94

For det andet bemærkes, at for så vidt som databeskyttelsesforordningens artikel 5, stk. 1, litra c), fastsætter, at personoplysninger, der er genstand for behandling, skal være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles, kræver denne bestemmelse, at behandlingen af personoplysninger skal ske i overensstemmelse med princippet om »dataminimering« (jf. i denne retning dom af 22.6.2021, Latvijas Republikas Saeima (Strafpoint), C-439/19, EU:C:2021:504, præmis 104).

95

Selv om dette princip er et udtryk for »proportionalitetsprincippet« (jf. i denne retning dom af 9.1.2025, Mousse, C-394/23, EU:C:2025:2, præmis 24 og den deri nævnte retspraksis), indebærer dette ikke, at denne bestemmelse i sig selv gennemfører proportionalitetsprincippet og dermed de tre betingelser, der er nævnt i denne doms præmis 91.

96

Det skal i denne henseende bemærkes, at de krav, der er fastsat i databeskyttelsesforordningens artikel 5, stk. 1, litra c), og som er tilstrækkelige til at begrunde, at denne bestemmelse kan anses for at være et udtryk for proportionalitetsprincippet, kan sikre, at valget af at anvende visse oplysninger frem for andre opfylder de to første betingelser, der følger af overholdelsen af samme princip.

97

For det første fremgår det af selve betydningen af udtrykkene »tilstrækkelige« og »relevante«, at når oplysningerne opfylder disse to første betingelser, er de egnede til at opfylde formålene med den pågældende behandling og så meget desto mere til at nå målet med behandlingen. For det andet er disse oplysninger, henset til at de er begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles, endvidere begrænset i forhold til det overordnede mål, der forfølges med anvendelse af disse oplysninger til den omhandlede behandling.

98

Hvad angår den tredje betingelse, der er nævnt i nærværende doms præmis 91, skal det fastslås, at opfyldelsen af en af de alternative betingelser for lovlighed, der er nævnt i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, principielt allerede er af en sådan art, at den begrænser den behandling, som de pågældende oplysninger kan blive genstand for, til ikke alene at omfatte den behandling, der er nødvendig for at opfylde et legitimt formål, men også den behandling, der har en legitim interesse, der vejer tungere end den alvorlige indgriben i de ved chartrets artikel 7 og 8 sikrede grundlæggende rettigheder, som denne behandling indebærer.

99

Hvad angår behandlinger, der er omfattet af databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra c), dvs. behandlinger, der er nødvendige for at overholde en retlig forpligtelse, som påhviler den dataansvarlige, foreskrives det udtrykkeligt i denne forordnings artikel 6, stk. 3, andet afsnit, at EU-retten, eller medlemsstaternes nationale ret, der tjener som retsgrundlag for sådanne behandlinger, og som dermed fastsætter den forpligtelse, der kræver foretagelse af behandlingerne, skal opfylde et formål i samfundets interesse og stå i rimeligt forhold til det legitime mål, der forfølges.

100

Herved fastsætter sidstnævnte bestemmelse udtrykkeligt et krav om, at den retlige forpligtelse, som den dataansvarlige er underlagt, og som danner grundlag for en behandling af personoplysninger, skal være resultatet af en afvejning i forbindelse med vedtagelsen af dette retsgrundlag mellem på den ene side den grundlæggende ret til respekt for privatlivet og til beskyttelse af personoplysninger, der er fastsat i chartrets artikel 7 og 8, og på den anden side de formål, der i denne henseende lovligt forfølges med EU-retten eller medlemsstaternes nationale ret (jf. analogt dom af 4.10.2024, Agentsia po vpisvaniyata, C-200/23, EU:C:2024:827, præmis 124 og den deri nævnte retspraksis).

101

Da det i henhold til databeskyttelsesforordningens artikel 5, stk. 1, litra c), kun er oplysninger, der er tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles, der kan anvendes til at foretage behandlinger, når den nævnte forpligtelse er resultatet af en sådan afvejning, er de oplysninger, der opfylder sådanne krav, nødvendigvis udelukkende oplysninger, hvis behandling udgør en legitim interesse, der vejer tungere end den alvorlige indgriben i de ved chartrets artikel 7 og 8 sikrede grundlæggende rettigheder, som disse behandlinger indebærer.

102

I tilfælde af de behandlinger af personoplysninger, som en domstol skal foretage i forbindelse med undersøgelsen af parternes beviser, idet sådanne behandlinger er nødvendige for overholdelsen af retten til en retfærdig rettergang, skal det fastslås, at denne domstol med henblik på at overholde princippet om »dataminimering« alene skal efterprøve, om de oplysninger, som den behandler, opfylder betingelserne i databeskyttelsesforordningens artikel 5, stk. 1, litra c), uden at den særskilt, og dermed ud over forpligtelsen fastsat i databeskyttelsesforordningens artikel 6, stk. 3, andet afsnit, hvorefter retsgrundlaget for de omhandlede behandlinger skal stå i rimeligt forhold til det legitime mål, der forfølges, behøver at foretage en afvejning af de foreliggende interesser, uanset om denne afvejning er udtømmende eller ej.

103

Henset til samtlige ovenstående betragtninger skal det tredje spørgsmål, litra a), besvares med, at databeskyttelsesforordningens artikel 5, stk. 1, litra c), sammenholdt med chartrets artikel 52, stk. 1, andet punktum, skal fortolkes således, at princippet om »dataminimering« ikke kræver, at en domstol for hver behandling af personoplysninger, den foretager, håndhæver overholdelsen af proportionalitetsprincippet, idet den sikrer sig, at de oplysninger, der behandles i denne forbindelse, er af en sådan art, at de gør det muligt at nå det formål, der forfølges med behandlingen, er strengt nødvendige herfor, og at alvoren af det indgreb i de grundlæggende rettigheder, som inddragelsen af sådanne oplysninger medfører med henblik på at gennemføre den pågældende behandling, står i rimeligt forhold til den interesse, som denne retsinstans har i at anvende de pågældende oplysninger til at gennemføre samme behandling, forudsat at bestemmelserne i databeskyttelsesforordningens artikel 5, stk. 1, litra c), er opfyldt.

104

Henset til det i denne doms præmis 49 anførte må det antages, at den forelæggende ret med sit tredje spørgsmål, litra b)-d), nærmere bestemt ønsker oplyst, om chartrets artikel 7 og 8, databeskyttelsesforordningens artikel 5, stk. 1, og artikel 6, stk. 1, første afsnit, litra c), sammenholdt med denne forordnings artikel 6, stk. 3, og princippet om »dataminimering« skal fortolkes således, at disse bestemmelser og dette princip er til hinder for, at en national domstol anvender bevismateriale, der indeholder personoplysninger, som er indsamlet i strid med retten til beskyttelse af privatlivets fred og retten til beskyttelse af personoplysninger af den part, der har fremsendt oplysningerne til den nationale domstol, når den pågældende part ikke har en legitim interesse i en sådan behandling, der vejer tungere end interessen i blot at godtgøre de af vedkommende påberåbte faktiske omstændigheder.

105

I denne henseende skal det fremhæves for det første, at selv om retten til beskyttelse af privatlivets fred og retten til beskyttelse af personoplysninger som omhandlet i chartrets artikel 7 og 8 i visse situationer kan være i strid med retten til effektive retsmidler, der er sikret ved chartrets artikel 47, i forbindelse med behandling af personoplysninger, der er omfattet af databeskyttelsesforordningen, skal de mekanismer, som gør det muligt at finde den rette afvejning mellem de forskellige foreliggende grundlæggende rettigheder og interesser, anses for at være indeholdt i selve denne forordning (jf. i denne retning dom af 17.6.2021, M.I.C.M., C-597/19, EU:C:2021:492, præmis 112).

106

Navnlig sikres forholdsmæssigheden af de indgreb i retten til respekt for privatlivets fred og retten til beskyttelse af personoplysninger som omhandlet i chartrets artikel 7 og 8, der muligvis kan forekomme i form af en behandling, der er omfattet af databeskyttelsesforordningens anvendelsesområde, ved en anvendelse af de principper, der er fastsat i denne forordnings artikel 5, stk. 1, og de krav, der er forbundet med hver alternativ betingelse for lovlighed, som er fastsat i nævnte forordnings artikel 6, stk. 1, første afsnit, i givet fald sammenholdt med samme forordnings artikel 6, stk. 3.

107

I det omfang, betingelserne for lovlig behandling af personoplysninger i henhold til databeskyttelsesforordningen er opfyldt, anses denne behandling principielt for at opfylde kravene i chartrets artikel 7 og 8 (dom af 5.6.2023, Kommissionen mod Polen (Dommeres uafhængighed og privatliv), C-204/21, EU:C:2023:442, præmis 332).

108

Det skal for det andet bemærkes, at som generaladvokaten i det væsentlige har fremhævet i punkt 32 i forslaget til afgørelse, forbyder hverken databeskyttelsesforordningens artikel 5, stk. 1, eller nogen af de andre rettigheder og principper, der er fastsat i denne forordnings kapitel II og III, generelt og absolut, at en offentlig myndighed som f.eks. en domstol tager hensyn til personoplysninger, der tidligere har været genstand for en ulovlig behandling som omhandlet i nævnte forordning foretaget af den person, der har fremsendt oplysningerne til den pågældende domstol.

109

Databeskyttelsesforordningens artikel 5, stk. 1, litra a), fastsætter ganske vist principielt, at en behandling af personoplysninger ikke blot skal være lovlig og gennemsigtig, men også rimelig.

110

Det fremgår imidlertid af 39. betragtning til denne forordning, at det formål, der forfølges med dette princip om rimelighed, der er sammenfaldende med det formål, der forfølges med gennemsigtighedsprincippet, er at sikre, at de registrerede har kendskab til, at deres personoplysninger behandles, og at de i denne forbindelse modtager de oplysninger, der er nødvendige for udøvelsen af deres rettigheder.

111

Betydningen af den omstændighed, at de behandlede oplysninger tidligere har været genstand for en ulovlig behandling af den part, der har fremlagt dem som omhandlet i databeskyttelsesforordningens artikel 5, stk. 1, litra a), afhænger derfor af den alternative betingelse for lovlighed, som den dataansvarlige har påberåbt sig som grundlag for den omhandlede behandling. Visse af disse alternative betingelser kan nemlig være uanvendelige, når der foreligger sådanne oplysninger på grund af de krav, som disse bestemmelser opstiller.

112

Hvad angår den alternative betingelse for lovlighed, der er omhandlet i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f), forholder det sig således, at den omstændighed, at den dataansvarlige vidste eller burde have vidst, at visse oplysninger, der var blevet fremsendt til vedkommende, forinden bl.a. var blevet indsamlet eller opbevaret ulovligt, således udelukker, at den dataansvarliges indsamling af oplysningerne efter deres fremsendelse kan anses for at forfølge legitime interesser og følgelig for at opfylde denne alternative betingelse om lovlighed.

113

Det skal imidlertid fastslås, at den behandling af personoplysninger, som en domstol foretager i sammenhæng med de personoplysninger, der fremgår af parternes beviser, principielt er nødvendig for at overholde en retlig forpligtelse, der påhviler den nævnte domstol, nemlig forpligtelsen til at træffe afgørelse om, hvorvidt de omhandlede beviser kan antages til realitetsbehandling, og, når beviserne er antaget til realitetsbehandling i henhold til de kriterier, der er fastsat herfor i national ret, forpligtelsen til at tage beviserne i betragtning i forbindelse med dens afgørelse.

114

Databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra c), nævner imidlertid ikke noget krav, der kan udelukke, at en domstol kan støtte sig på denne alternative betingelse om lovlighed, når de omhandlede personoplysninger, der fremgår af bevismaterialet, tidligere har været genstand for en ulovlig behandling som omhandlet i denne forordning af den person, der har fremsendt dem.

115

Databeskyttelsesforordningens artikel 6, stk. 3, præciserer ganske vist, at grundlaget for behandlinger af personoplysninger i henhold til denne forordnings artikel 6, stk. 1, første afsnit, litra c), skal fremgå af EU-retten eller medlemsstaternes nationale ret, som den dataansvarlige er underlagt, at dette retsgrundlag kan indeholde specifikke bestemmelser med henblik på at tilpasse anvendelsen af bestemmelserne i denne forordning til de behov, der forfølges med disse behandlinger, og at EU-retten eller medlemsstaternes nationale ret under alle omstændigheder skal opfylde et formål i samfundets interesse og stå i rimeligt forhold til det legitime mål, der forfølges (jf. i denne retning dom af 2.3.2023, Norra Stockholm Bygg, C-268/21, EU:C:2023:145, præmis 31).

116

Hvad angår denne betingelse om forholdsmæssighed og de krav, som den medfører, skal det bemærkes, at det følger af den retspraksis, der er nævnt i denne doms præmis 91, for det første, at det retsgrundlag, der tjener som grundlag for den omhandlede behandling, skal være egnet til at opfylde det forfulgte formål i samfundets interesse, for det andet, at det udelukkende tillader behandling, der holdes inden for det strengt nødvendige, hvilket forudsætter, at der ikke findes andre foranstaltninger, der er mindre indgribende i de registreredes rettigheder og frihedsrettigheder, og som gør det muligt lige så effektivt at nå dette mål, og for det tredje, at dette retsgrundlag er forholdsmæssigt i snæver forstand, for så vidt som det efter en afvejning af samtlige relevante elementer ikke kan tillade behandlinger, der medfører begrænsninger af de registreredes rettigheder og friheder, som er uforholdsmæssige i forhold til den betydning, der er knyttet til gennemførelsen af det nævnte formål.

117

Den omstændighed, at den retlige forpligtelse, der gør det nødvendigt at behandle de personoplysninger, der fremgår af parternes beviser, ligeledes finder anvendelse på personoplysninger, der er indsamlet i strid med retten til beskyttelse af privatlivets fred og retten til beskyttelse af personoplysninger af den part, der har fremsendt dem til en domstol, synes ikke at kunne udelukke, at dette retsgrundlag kan opfylde sådanne krav.

118

Hvad indledningsvis angår det første krav, der er nævnt i denne doms præmis 91, forholder det sig således, at i forbindelse med en domstols behandling af personoplysninger skal den retlige forpligtelse, der pålægger denne domstol at træffe afgørelse om, hvorvidt de beviser, som parterne har påberåbt sig, kan antages til realitetsbehandling, og, i tilfælde af at disse beviser kan antages til realitetsbehandling, at tage hensyn hertil med henblik på at træffe dens afgørelse, anses for at opfylde et formål i samfundets interesse, eftersom denne forpligtelse vedrører overholdelsen af en grundlæggende rettighed, nemlig retten til en retfærdig rettergang, der er fastsat i chartrets artikel 47.

119

Denne forpligtelse skal endvidere ligeledes anses for at være egnet til at nå dette formål i samfundets interesse og for at være strengt nødvendig herfor, uanset om de pågældende oplysninger måtte være indsamlet ulovligt. Da retten til en retfærdig rettergang navnlig kræver, at en domstol træffer afgørelse om, hvorvidt de af parterne fremlagte beviser kan antages til realitetsbehandling, og, når beviserne er antaget, tager dem i betragtning i forbindelse med sin afgørelse, forekommer ingen anden foranstaltning at kunne opfylde et sådant mål lige så effektivt som den, der består i at give domstolene mulighed for at behandle personoplysninger, der er indeholdt i de af parterne fremlagte beviser.

120

Det skal endelig bemærkes, at som det bekræftes i fjerde betragtning til databeskyttelsesforordningen, er retten til beskyttelse af personoplysninger ikke en absolut ret, men skal ses i sammenhæng med sin funktion i samfundet og afvejes i forhold til andre grundlæggende rettigheder – såsom retten til adgang til effektive retsmidler, der er fastsat i chartrets artikel 47 – i overensstemmelse med proportionalitetsprincippet (jf. i denne retning dom af 2.3.2023, Norra Stockholm Bygg, C-268/21, EU:C:2023:145, præmis 49).

121

Henset til den centrale funktion, som retten til en retfærdig rettergang har i samfundet, synes forpligtelsen for en domstol til at behandle personoplysninger, der er indeholdt i parternes beviser, herunder når oplysningerne er indsamlet i strid med retten til beskyttelse af privatlivets fred og retten til beskyttelse af personoplysninger, ikke at være et uforholdsmæssigt indgreb i disse rettigheder, således som disse er sikret ved chartrets artikel 7 og 8.

122

Følgelig opfylder den forpligtelse, der påhviler en domstol i medfør af retten til en retfærdig rettergang til at behandle alle personoplysninger, der fremgår af beviserne, kravene i databeskyttelsesforordningens artikel 6, stk. 3, selv om denne forpligtelse vedrører oplysninger, der er indsamlet i forbindelse med en tilsidesættelse af personlige rettigheder, og selv om den part, der har fremsendt dem til denne domstol, ikke har en legitim interesse i en sådan behandling, der vejer tungere end interessen i blot at fastlægge de påberåbte omstændigheder.

123

Når dette er sagt, skal de oplysninger, der anvendes ved disse lejligheder, i henhold til databeskyttelsesforordningens artikel 5, stk. 1, litra c), være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles.

124

Hvad i denne henseende for det første angår de personoplysninger, der anvendes i forbindelse med den behandling, som en domstol foretager med henblik på at afgøre, om de påberåbte beviser kan antages til realitetsbehandling, og om de faktiske omstændigheder, som en part har påberåbt sig, er relevante, skal det i denne henseende fremhæves, at retten til en retfærdig rettergang, således som denne er anerkendt i chartrets artikel 47, indebærer, at parterne for en domstol skal have mulighed for at fremlægge de beviser, som de anser for relevante.

125

Hvad angår søgsmål, der har til formål at sikre beskyttelsen af de rettigheder, som EU-retten medfører for borgerne, indebærer den omstændighed, at en domstol med henblik på at træffe afgørelse om, hvorvidt beviser kan antages til behandling, skal behandle personoplysninger, følgelig principielt ikke nogen tilsidesættelse af princippet om »dataminimering«, eftersom sådanne oplysninger på dette trin netop er tilstrækkelige, relevante og nødvendige for, at den berørte domstol kan tage stilling til, om beviserne kan antages til realitetsbehandling. Det samme gælder for retssager, hvor EU-retten ikke påberåbes, og når parterne i henhold til den pågældende medlemsstats ret er tilkendt en rettighed, der har en rækkevidde svarende til retten til en retfærdig rettergang, der er garanteret i chartrets artikel 47.

126

Når en domstol derimod har konstateret, at dokumenter, der indeholder de personoplysninger, der er fremsendt til den, kan antages til realitetsbehandling i henhold til de regler, der er fastsat herfor i national ret, skal denne domstol, inden dokumenterne føjes til sagsakterne, undersøge, om oplysningerne er begrænset til det, der er nødvendigt i forhold til de forfulgte formål, dvs. at sætte den i stand til at træffe en så velinformeret afgørelse som muligt under hensyntagen til de relevante omstændigheder i sagen og at overholde princippet om kontradiktorisk procedure, eller om det er hensigtsmæssigt for den at træffe visse foranstaltninger med henblik på at reducere mængden af de pågældende oplysninger, såsom en delvis eller fuldstændig anonymisering af de pågældende dokumenter, uden dog at krænke de øvrige parters rettigheder.

127

Når dette er sagt, synes den omstændighed, at de pågældende oplysninger er blevet indsamlet i strid med retten til beskyttelse af privatlivet og retten til beskyttelse af personoplysninger som omhandlet i chartrets artikel 7 og 8, ikke i sig selv at være afgørende, idet de kriterier, der er fastsat i databeskyttelsesforordningens artikel 5, stk. 1, litra c), kræver, at de nævnte oplysninger skal være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til det forfulgte mål.

128

Hvad for det andet angår personoplysninger, som en domstol behandler med henblik på at træffe sin afgørelse, skal alle oplysninger i dokumenter, der er anset for at kunne antages til realitetsbehandling, og som er blevet tilført sagsakterne, henset til retten til en retfærdig rettergang, principielt anses for at være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til formålet med en sådan behandling, eftersom den pågældende domstol i overensstemmelse med denne ret til en retfærdig rettergang er forpligtet til at tage hensyn til alle disse beviser med henblik på bl.a. at vurdere relevansen heraf.

129

Hvad for det tredje og sidste angår en domstols videregivelse af sådanne oplysninger i forbindelse med forkyndelsen eller offentliggørelsen af dens dom kræver en sådan behandling, at den pågældende domstol med henblik på at sikre, at de nævnte oplysninger begrænses til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles, ikke alene tager hensyn til nødvendigheden af at gøre det muligt at fuldbyrde afgørelsen, at informere tredjemænd, der ligeledes kan være berørt af de omhandlede faktiske omstændigheder, og at beskytte borgerne mod misbrug af et hemmeligt retssystem (jf. i denne retning Menneskerettighedsdomstolen, 2.6.2022, Straume mod Letland, CE:ECHR:2022:0602JUD005940214, § 124), men også til muligheden for at træffe visse foranstaltninger, såsom anonymisering eller pseudonymisering af de samme oplysninger, for at minimere den hindring af retten til beskyttelse af personoplysninger, som en sådan videregivelse kan medføre.

130

Henset til samtlige ovenstående betragtninger skal det tredje spørgsmål, litra b)-d), besvares med, at chartrets artikel 7 og 8, databeskyttelsesforordningens artikel 5, stk. 1, og denne forordnings artikel 6, stk. 1, første afsnit, litra c), sammenholdt med samme forordnings artikel 6, stk. 3, og princippet om »dataminimering« skal fortolkes således, at disse bestemmelser og dette princip ikke er til hinder for, at en national domstol anvender bevismateriale, der indeholder personoplysninger, som er indsamlet i strid med retten til beskyttelse af privatlivets fred og retten til beskyttelse af personoplysninger af den part, der har fremsendt oplysningerne til den nationale domstol, når den pågældende part ikke har en legitim interesse i en sådan behandling, der vejer tungere end interessen i blot at godtgøre de af vedkommende påberåbte faktiske omstændigheder. Derimod skal denne domstol, inden den videregiver disse oplysninger til parterne eller tredjemand, efterprøve, om sådanne oplysninger er begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil en sådan videregivelse foretages, og i givet fald træffe visse foranstaltninger for at minimere den hindring for retten til beskyttelse af personoplysninger, som en sådan videregivelse kan medføre.

131

Med det tredje spørgsmål, litra e), ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 13, stk. 1 og 2, skal fortolkes således, at denne bestemmelse er til hinder for, at en national ret i forbindelse med udførelsen af sin judicielle opgave anvender oplysninger, der er indsamlet af en person, som ikke har overholdt sin oplysningspligt i henhold til denne bestemmelse.

132

I denne henseende følger det af databeskyttelsesforordningens artikel 13, stk. 1 og 2, at hvis personoplysninger om en registreret indsamles hos den registrerede, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede de oplysninger, der er opregnet i disse stykker.

133

Eftersom denne bestemmelse indgår i databeskyttelsesforordningens kapitel III, skal de nævnte stykker anses for at fastsætte betingelser, som skal være opfyldt, for at en indsamling af personoplysninger er lovlig.

134

Den forpligtelse, der er fastsat i denne artikel 13, bidrager i øvrigt til opfyldelsen af det krav, der er fastsat i databeskyttelsesforordningens artikel 5, stk. 1, litra a), der indgår i denne forordnings kapitel II, hvorefter enhver behandling af personoplysninger skal være rimelig og gennemsigtig, hvilket indebærer, at denne forpligtelse selv i denne henseende skal overholdes.

135

Uden at det er nødvendigt at afgøre, om denne bestemmelse – for at bevare den effektive virkning af databeskyttelsesforordningens artikel 17, stk. 3, litra e) – skal fortolkes således, at den omstændighed, at den berørte part har indsamlet de omhandlede oplysninger uden at overholde denne forpligtelse, ikke medfører, at behandlingen bestående i fremsendelse af bevismateriale indeholdende disse oplysninger til en domstol skal anses for ulovlig, skal det imidlertid, som det er fastslået i denne doms præmis 108, bemærkes, at hverken databeskyttelsesforordningens artikel 5, stk. 1, eller nogen af de andre rettigheder og principper, der er fastsat i denne forordnings kapitel II og III, generelt og absolut forbyder en dataansvarlig at tage hensyn til personoplysninger, der tidligere har været genstand for en ulovlig behandling som omhandlet i databeskyttelsesforordningen foretaget af den person, der har fremsendt dem til den dataansvarlige.

136

Følgelig skal det tredje spørgsmål, litra e), besvares med, at databeskyttelsesforordningens artikel 13, stk. 1 og 2, skal fortolkes således, at denne bestemmelse ikke er til hinder for, at en national ret i forbindelse med udførelsen af sin judicielle opgave anvender oplysninger, der er indsamlet af en person eller af en tredjemand, som ikke har opfyldt sin oplysningspligt i henhold til denne bestemmelse.

137

Med det tredje spørgsmål, litra f), ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningen skal fortolkes således, at en domstol i forbindelse med udførelsen af sin judicielle opgave er forpligtet til at sikre, at denne forordning overholdes, når den behandler personoplysninger vedrørende en tredjemand i den sag, der verserer for den, og om EU-retten kræver, at en af parterne i denne sag kan påberåbe sig, at disse oplysninger er blevet indsamlet eller lagret ulovligt i henhold til denne forordning af den anden part i strid med de rettigheder, som den pågældende tredjemand har i henhold til samme forordning.

138

Det fremgår i denne henseende af artikel 288 TEUF, at en forordning er en almengyldig akt, som er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat.

139

Eftersom de principper, der er fastsat i databeskyttelsesforordningens kapitel II, finder anvendelse uafhængigt af enhver betragtning vedrørende de registreredes processuelle situation eller den omstændighed, at den dataansvarlige er en domstol, skal denne forordning, sammenholdt med artikel 288 TEUF, fortolkes således, at en domstol i forbindelse med udførelsen af sin judicielle opgave er forpligtet til at overholde den nævnte forordning, når den behandler personoplysninger vedrørende tredjeparter i en sag, der verserer for den.

140

Hvad angår spørgsmålet om, hvorvidt en part kan påberåbe sig en ulovlig handling begået til skade for en tredjemand, henhører dette, i mangel af bestemmelser herom i EU-retten, derimod under medlemsstaternes procesretlige autonomi.

141

Hvad angår søgsmål, der har til formål at sikre beskyttelsen af de rettigheder, som EU-retten medfører for borgerne, skal de processuelle regler for disse søgsmål i medfør af princippet om procesautonomi, der finder anvendelse i mangel af EU-retlige bestemmelser, ganske vist hverken være mindre gunstige end dem, som regulerer tilsvarende situationer, der er underlagt national ret (ækvivalensprincippet), eller i praksis gøre det umuligt eller uforholdsmæssigt vanskeligt at udøve de rettigheder, der tillægges i henhold til EU-retten (effektivitetsprincippet) (jf. i denne retning dom af 6.10.2020, La Quadrature du Net m.fl., C-511/18, C-512/18 og C-520/18, EU:C:2020:791, præmis 223 og den deri nævnte retspraksis).

142

Disse processuelle regler skal i øvrigt ligeledes være i overensstemmelse med retten til en retfærdig rettergang som sikret ved chartrets artikel 47, idet chartret i henhold til dets artikel 51 finder anvendelse i alle de situationer, hvor medlemsstaterne gennemfører EU-retten.

143

Det skal imidlertid bemærkes, at hverken effektivitetsprincippet eller retten til en retfærdig rettergang, der er sikret ved chartrets artikel 47, principielt kræver, at parterne i en retssag gives mulighed for at påberåbe sig en tilsidesættelse af databeskyttelsesforordningen, der er begået til skade for tredjemand i forbindelse med denne procedure.

144

Det tredje spørgsmål, litra f), skal derfor besvares med, at databeskyttelsesforordningen skal fortolkes således, at en domstol i forbindelse med udførelsen af sin judicielle opgave er forpligtet til at sikre, at denne forordning overholdes, når den behandler personoplysninger vedrørende en tredjemand i en sag. EU-retten kræver ikke, at en af parterne i denne sag kan påberåbe sig, at disse oplysninger er blevet indsamlet eller lagret ulovligt i henhold til denne forordning af den anden part i strid med de rettigheder, som den pågældende tredjemand har i henhold til samme forordning.

145

Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.

På grundlag af disse præmisser kender Domstolen (Femte Afdeling) for ret: