1.

”Yksityisyytesi on meille tärkeää. Käytämme evästeitä käyttäjäkokemuksen parantamiseksi. Tarkastathan yksityisyysasetukset. Hyväksy kaikki / Asetukset. Tutustu yksityisyyttä koskeviin periaatteisiimme ja evästekäytäntöihimme.” ( 2 )

2.

Samankaltainen viesti ponnahtaa näkyville vierailtaessa millä tahansa verkkosivustolla.

3.

Tämä on seurausta yleisestä tietosuoja-asetuksesta, ( 3 ) josta on tullut henkilötietojen suojelun pääasiallinen väline Euroopan unionissa.

4.

Ponnahtaako yleinen tietosuoja-asetus esiin myös kansallisissa tuomioistuimissa? Tarkemmin sanoen sovelletaanko sitä tietojen luovuttamista koskeviin velvoitteisiin kansallisessa tuomioistuimessa vireillä olevassa siviiliprosessissa? Jos sovelletaan, mitä velvoitteita se asettaa näille tuomioistuimille? Näitä kysymyksiä unionin tuomioistuinta pyydetään selventämään tässä asiassa.

5.

Nämä kysymykset tulivat esille ennakkoratkaisua pyytäneessä tuomioistuimessa, Högsta domstolenissa (korkein oikeus, Ruotsi), käsiteltävässä asiassa. Asian tosiseikat voidaan tiivistää seuraavasti. Norra Stockholm Bygg AB (jäljempänä Fastec), joka on valittajana pääasiassa, toteutti Per Nycander AB:lle (jäljempänä Nycander), joka on vastapuolena pääasiassa, rakennusurakan toimistorakennuksen rakentamiseksi. Rakennusurakan työntekijät kirjasivat läsnäolonsa sähköiseen henkilöstöpäiväkirjaan verotusta varten. Entral AB piti kyseistä henkilöstöpäiväkirjaa Fastecin toimeksiannosta.

6.

Pääasian oikeudenkäynnissä käsiteltävä riita-asia koskee suoritetusta rakennusurakasta maksettavaa korvausta. Nycander on kiistänyt Fastecin maksuvaatimuksen (hieman yli 2000000 Ruotsin kruunua (SEK), noin 190133 euroa) ja väittänyt, ettei Fastec ole käyttänyt rakennusurakkaan kaikkea sitä aikaa, josta se vaatii maksua.

7.

Voidakseen osoittaa tämän Nycander vaati, että Entral esittää Fastecin toimeksiannosta pitämänsä henkilöstöpäiväkirjan. Fastec vastustaa tätä vaatimusta ja väittää, että tällainen tietojen luovuttaminen olisi yleisen tietosuoja-asetuksen vastaista, koska pyydetyt tiedot kerättiin toiseen tarkoitukseen eikä niitä voida käyttää todisteina pääasian oikeudenkäynnissä.

8.

Tingsrätt (käräjäoikeus, Ruotsi) määräsi Entralin esittämään henkilöstöpäiväkirjan, ja Svea hovrätt (Svean hovioikeus, Tukholma, Ruotsi) pysytti tämän ratkaisun muutoksenhakumenettelyssä.

9.

Fastec valitti Svea hovrättin ratkaisusta Högsta domstoleniin ja vaati, että kyseinen tuomioistuin hylkää Nycanderin vaatimuksen tietojen luovuttamisesta tai toissijaisesti määrää, että henkilöstöpäiväkirjasta esitetään anonymisoitu versio. Tämän menettelyn yhteydessä Högsta domstolen esitti unionin tuomioistuimelle ennakkoratkaisupyynnön, joka sisältää seuraavat kysymykset:

10.

Kirjallisia huomautuksia unionin tuomioistuimen menettelyssä esittivät Fastec, Tšekin, Puolan ja Ruotsin hallitukset sekä Euroopan komissio. Nycanderin, Puolan ja Ruotsin hallitusten sekä komission puolesta esitettiin suullisia huomautuksia27.6.2022 pidetyssä istunnossa.

11.

Yleisen tietosuoja-asetuksen 5 artiklassa määritetään periaatteet, joita henkilötietojen käsittelyssä on noudatettava:

”1.   Henkilötietojen suhteen on noudatettava seuraavia vaatimuksia:

2.   Rekisterinpitäjä vastaa siitä, ja sen on pystyttävä osoittamaan se, että 1 kohtaa on noudatettu (’osoitusvelvollisuus’).”

12.

Yleisen tietosuoja-asetuksen 6 artiklan, jonka otsikko on ”Käsittelyn lainmukaisuus”, 1, 3 ja 4 kohdassa säädetään seuraavaa:

”1.   Käsittely on lainmukaista ainoastaan jos ja vain siltä osin kuin vähintään yksi seuraavista edellytyksistä täyttyy:

– –

– –

– –

3.   Edellä olevan 1 kohdan c ja e alakohdassa tarkoitetun käsittelyn perustasta on säädettävä joko

Käsittelyn tarkoitus määritellään kyseisessä käsittelyn oikeusperusteessa tai, 1 kohdan e alakohdassa tarkoitetussa käsittelyssä, sen on oltava tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi. Kyseinen käsittelyn oikeusperuste voi sisältää erityisiä säännöksiä, joilla mukautetaan tämän asetuksen sääntöjen soveltamista, muun muassa: yleisiä edellytyksiä, jotka koskevat rekisterinpitäjän suorittaman tietojenkäsittelyn lainmukaisuutta; käsiteltävien tietojen tyyppiä; asianomaisia rekisteröityjä, yhteisöjä joille ja tarkoituksia joihin henkilötietoja voidaan luovuttaa; käyttötarkoitussidonnaisuutta; säilytysaikoja; sekä käsittelytoimia ja ‑menettelyjä, mukaan lukien laillisen ja asianmukaisen tietojenkäsittelyn varmistamiseen tarkoitetut toimenpiteet, kuten toimenpiteet muita IX luvussa esitettyjä erityisiä tietojenkäsittelytilanteita varten. Unionin oikeuden tai jäsenvaltion lainsäädännön on täytettävä yleisen edun mukainen tavoite ja oltava oikeasuhteinen sillä tavoiteltuun oikeutettuun päämäärään nähden.

4.   Jos käsittely tapahtuu muuta kuin sitä tarkoitusta varten, jonka vuoksi tiedot on kerätty, eikä käsittely perustu rekisteröidyn suostumukseen eikä unionin oikeuteen tai jäsenvaltion lainsäädäntöön, joka muodostaa demokraattisessa yhteiskunnassa välttämättömän ja oikeasuhteisen toimenpiteen 23 artiklan 1 kohdassa tarkoitettujen tavoitteiden turvaamiseksi, rekisterinpitäjän on otettava huomioon muun muassa seuraavat asiat varmistaakseen, että muuhun tarkoitukseen tapahtuva käsittely on yhteensopivaa sen tarkoituksen kanssa, jota varten tiedot alun perin kerättiin:

13.

Lisäksi yleisen tietosuoja-asetuksen 23 artiklan 1 kohdassa säädetään rajoituksista yleisen tietosuoja-asetuksen mukaisiin oikeuksiin ja velvoitteisiin:

”1.   Rekisterinpitäjään tai henkilötietojen käsittelijään sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä voidaan lainsäädäntötoimenpiteellä rajoittaa niiden velvollisuuksien ja oikeuksien soveltamisalaa, joista säädetään 12–22 artiklassa ja 34 artiklassa sekä 5 artiklassa, siltä osin kuin sen säännökset vastaavat 12–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia, jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja ‑vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide, jotta voidaan taata

– –

– –”

14.

Oikeudenkäymiskaaren (rättegångsbalken, jäljempänä RB) 38 luvun 2 §:n ensimmäisessä momentissa säädetään, että jokaisella, jolla on hallussaan asiakirja, jolla voidaan olettaa olevan merkitystä näyttönä, on velvollisuus esittää kyseinen asiakirja. Saman pykälän toisessa momentissa säädetään poikkeuksista tällaiseen velvollisuuteen, muun muassa poikkeuksesta, joka koskee asianajajia, lääkäreitä, psykologeja, pappeja ja muita viran- tai toimenhaltijoita, jotka ovat saaneet tietoja ammattia harjoittaessaan tai muussa vastaavassa tilanteessa. RB:n 38 luvun 4 §:ssä annetaan tuomioistuimelle toimivalta määrätä asianomainen esittämään asiakirja todisteena.

15.

Ennakkoratkaisua pyytäneen tuomioistuimen mukaan arvioitaessa sitä, olisiko henkilö velvoitettava esittämään asiakirja, tuomioistuimen on punnittava keskenään näytön merkityksellisyyttä ja vastapuolen intressiä olla luovuttamatta tietoja. Kuten ennakkoratkaisua pyytänyt tuomioistuin selittää, tässä arvioinnissa ei oteta huomioon sitä, ovatko luovutettavat tiedot luonteeltaan yksityisiä.

16.

Yleinen tietosuoja-asetus on unionin tärkein säädös, jossa säädetään luonnollisten henkilöiden suojelusta heidän henkilötietojensa käsittelyssä. Edeltäjästään, direktiivistä 95/46/EY, ( 4 ) poiketen yleinen tietosuoja-asetus annettiin SEUT 16 artiklan perusteella. ( 5 ) Kyseinen oikeusperusta antoi unionin lainsäätäjälle valtuudet turvata henkilötietojen suojaa koskeva perusoikeus, josta määrätään Euroopan unionin perusoikeuskirjan (jäljempänä perusoikeuskirja) 8 artiklan 1 kohdassa. ( 6 )

17.

Kun henkilötietoja käsitellään, yleisessä tietosuoja-asetuksessa asetetaan velvoite noudattaa kyseistä säädöstä ”rekisterinpitäjälle”. ( 7 ) Kaikessa henkilötietojen käsittelyssä on siten tärkeää määrittää, kuka rekisterinpitäjä on.

18.

Yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdan mukaan rekisterinpitäjä on luonnollinen henkilö tai oikeushenkilö, viranomainen, virasto tai muu elin, joka määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot.

19.

Nyt tarkasteltavassa tapauksessa on kyse kahdesta erillisestä tapauksesta, joissa käsiteltiin henkilötietoja. Ensimmäinen käsittely koskee sähköistä henkilöstöpäiväkirjaa, jota Entral piti Fastecin puolesta, joka oli Ruotsin lain nojalla velvollinen keräämään verotustarkoituksiin tietoja työtunneista. Tässä yhteydessä Fastec on rekisterinpitäjä ja Entral henkilötietojen käsittelijä. ( 8 )

20.

Käsiteltävässä asiassa on riidatonta, että tämä ensimmäinen käsittely oli yleisen tietosuoja-asetuksen mukaista. On erityisesti todettava, että sen 6 artiklan 1 kohdan c alakohdassa sallitaan henkilötietojen käsittely, joka on tarpeen rekisterinpitäjän, tässä tapauksessa Fastecin, lakisääteisen velvoitteen noudattamiseksi. ( 9 ) Jos tämä ensimmäinen käsittely todettaisiin yleisen tietosuoja-asetuksen perusteella lainvastaiseksi, tällaisten tietojen käsittely muihin tarkoituksiin olisi siten myös lainvastaista. ( 10 )

21.

Kiinnostavaa käsiteltävässä asiassa on kuitenkin samojen tietojen, jotka kerättiin alun perin verotustarkoituksiin, jälkimmäinen käsittely (muihin tarkoituksiin). Tämän uuden tarkoituksen muodostaa se, että Entral luovuttaa henkilöstöpäiväkirjan todisteeksi Fastecin ja Nycanderin välisessä siviiliprosessissa. Kyseisen päiväkirjan esittäminen, jotta sitä voidaan käyttää siviiliprosessissa, tarkoittaisi väistämättä henkilötietojen käsittelyä.

22.

Tässä jälkimmäisessä käsittelyssä yleisen tietosuoja-asetuksen mukaiset roolit muuttuvat ensimmäisestä käsittelystä. Mikä tärkeintä, määrätessään Entralin esittämään henkilöstöpäiväkirjan (jäljempänä luovuttamismääräys) kansallinen tuomioistuin on taho, joka määrittelee jälkimmäisen tietojenkäsittelyn tarkoitukset ja keinot. ( 11 ) Kyseisestä tuomioistuimesta tulee näin rekisterinpitäjä. ( 12 )

23.

Tässä jälkimmäisessä käsittelyssä Fastecin voitaisiin katsoa toimivan edelleen rekisterinpitäjänä tai sen roolin muuttuneen; se on nyt tietojen vastaanottaja yhdessä Nycanderin kanssa. ( 13 ) Vaikka Fastec toimisikin edelleen rekisterinpitäjänä yhdessä kansallisen tuomioistuimen kanssa, ( 14 ) tämä ei vaikuttaisi kansallisen tuomioistuimen velvollisuuksiin rekisterinpitäjänä. ( 15 ) Entralin rooli ei muutu. Se on edelleen henkilötietojen käsittelijä ja käsittelee edelleen samoja henkilötietoja, mutta nyt uuden rekisterinpitäjän eli kansallisen tuomioistuimen puolesta.

24.

Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee ensimmäisellä kysymyksellään lähinnä, voiko kansallisesta tuomioistuimesta todellakin tulla yleisen tietosuoja-asetuksen mukainen rekisterinpitäjä ja asetetaanko kyseisessä asetuksessa siinä tapauksessa kansalliselle prosessioikeudelle vaatimuksia, jotka liittyvät tuomioistuinten valtuuksiin ja velvoitteisiin siviiliprosessissa. Jos yleistä tietosuoja-asetusta sovelletaan ja kansallinen tuomioistuin on rekisterinpitäjä, ennakkoratkaisua pyytänyt tuomioistuin tiedustelee toisessa kysymyksessään, miten tällaisen tuomioistuimen olisi päätettävä henkilötietojen luovuttamisesta, kun niitä on tarkoitus käyttää todisteena siviiliprosessissa.

25.

Vastatakseni ennakkoratkaisua pyytäneen tuomioistuimen kysymyksiin etenen seuraavasti. Ensin selitän, miksi yleistä tietosuoja-asetusta voidaan nähdäkseni soveltaa jäsenvaltioiden tuomioistuimissa vireillä oleviin siviiliprosesseihin ja miten tämä vaikuttaa jäsenvaltioiden nykyiseen prosessioikeuteen (B). Sen jälkeen käsittelen menetelmiä, joita kansallisten tuomioistuinten rekisterinpitäjinä olisi sovellettava yleisen tietosuoja-asetuksen vaatimusten täyttämiseksi (C).

26.

Ennakkoratkaisua pyytäneen tuomioistuimen ensimmäisessä kysymyksessä tiedustellaan lähinnä, sovelletaanko yleistä tietosuoja-asetusta siviiliprosessiin ja miten se vaikuttaa relevantteihin menettelysääntöihin. Tarkemmin sanoen siinä kysytään, vaikuttaako yleinen tietosuoja-asetus näihin kansallisiin sääntöihin, jotka koskevat tuomioistuinten valtuuksia ja velvoitteita määrättäessä asiakirjatodisteiden luovuttamisesta. Vastaan tähän kysymykseen kolmessa vaiheessa.

27.

Yleisen tietosuoja-asetuksen aineellinen soveltamisala määritellään sen 2 artiklan 1 kohdassa, jossa omaksutaan institutionaalisen lähestymistavan sijasta toiminnallinen lähestymistapa. Yleisen tietosuoja-asetuksen soveltamisen laukaisee ”mikä” (henkilötietojen käsittelyn muodostama toiminta) pikemminkin kuin ”kuka”. ( 16 )

28.

Yleisen tietosuoja-asetuksen soveltamisalan ulkopuolelle jäävät tilanteet, jotka luetellaan sen 2 artiklan 2 kohdassa, ovat myös luonteeltaan toiminnallisia. Koska ne muodostavat poikkeuksen yleisen tietosuoja-asetuksen soveltamisesta, niitä on unionin tuomioistuimen mukaan tulkittava suppeasti. ( 17 )

29.

Viranomaisten toimet eivät siten jää yleisen tietosuoja-asetuksen soveltamisalan ulkopuolelle sinänsä, vaan ne jäävät sen ulkopuolelle pikemminkin yksinomaan yleisen tietosuoja-asetuksen 2 artiklan 2 kohdassa lueteltujen toimintojen osalta. ( 18 ) Tältä osin kyseisessä säännöksessä ei jätetä yleisen tietosuoja-asetuksen aineellisen soveltamisalan ulkopuolelle tuomioistuinten toimia siviiliprosessissa.

30.

Päätelmää, jonka mukaan yleistä tietosuoja-asetusta sovelletaan tuomioistuinten toimintaan, tukee kyseisen asetuksen johdanto-osan 20 perustelukappale, ( 19 ) jonka mukaan kyseistä asetusta sovelletaan tuomioistuinten ja muiden oikeusviranomaisten toimintaan. ( 20 )

31.

Se, että yleisen tietosuoja-asetuksen 55 artiklan 3 kohdan mukaan valvontaviranomaisilla ei ole toimivaltaa valvoa käsittelytoimia, joita tuomioistuimet suorittavat lainkäyttötehtäviensä yhteydessä, ei vaikuta edellä esitettyyn päätelmään. Kyseinen säännös päinvastoin vahvistaa mielestäni, että tuomioistuimiin niiden toimiessa lainkäyttötehtävissään sovelletaan yleisessä tietosuoja-asetuksessa asetettuja velvoitteita. Sillä turvataan niiden riippumattomuus ja puolueettomuus estämällä valvontaviranomaisia valvomasta niiden käsittelytoimia.

32.

Käsiteltävässä asiassa on kyse henkilötietojen käsittelystä, joka kuuluu yleisen tietosuoja-asetuksen aineelliseen soveltamisalaan. Sähköisen henkilöstöpäiväkirjan luominen ja ylläpito koskevat henkilötietojen käsittelyä. ( 21 ) Samoin määräyksessä, jonka mukaan tällaiset henkilötiedot on luovutettava siviiliprosessin yhteydessä, on kyse näiden tietojen käsittelystä. ( 22 ) Pääasian oikeudenkäynnissä kyseessä oleva tilanne kuuluu siten yleisen tietosuoja-asetuksen aineelliseen soveltamisalaan.

33.

Mitä tämä tarkoittaa RB:n kaltaisten kansallisten menettelysääntöjen toiminnan kannalta?

34.

Käsiteltävässä asiassa kyseessä olevan luovuttamismääräyksen antamisen oikeusperusta on RB.

35.

Yleisessä tietosuoja-asetuksessa nimittäin edellytetään, että pääasiassa kyseessä olevan kaltaisessa tilanteessa tietojenkäsittelyn oikeusperustana on jäsenvaltion (tai unionin) lainsäädäntö. ( 23 )

36.

Käsiteltävässä asiassa kyseessä olevia tietoja, jotka on alun perin kerätty ja joita on käsitelty verotustarkoituksiin ja joista on annettu luovuttamismääräys, on nyt tarkoitus käsitellä todistelutarkoituksiin oikeudenkäynnin yhteydessä.

37.

Yleisen tietosuoja-asetuksen 6 artiklan 4 kohdassa sallitaan muuhun tarkoitukseen tapahtuva käsittely, jos se perustuu jäsenvaltion lainsäädäntöön, joka muodostaa demokraattisessa yhteiskunnassa välttämättömän ja oikeasuhteisen toimenpiteen yleisen tietosuoja-asetuksen 23 artiklan 1 kohdassa tarkoitettujen tavoitteiden turvaamiseksi. Näihin tavoitteisiin kuuluu 23 artiklan 1 kohdan f alakohdan mukaan ”oikeudellisen riippumattomuuden ja oikeudellisten menettelyjen suojelu”.

38.

Kaikki tämän ennakkoratkaisumenettelyn osapuolet ovat yhtä mieltä siitä, että yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan f alakohta on asianmukainen säännös, johon voidaan vedota sen oikeuttamiseksi, että tietojenkäsittelyn kohteena olevia tietoja käsitellään RB:n perusteella muuhun tarkoitukseen. ( 24 )

39.

RB:ssä annetaan kansallisille tuomioistuimille toimivalta määrätä asiakirjojen luovuttamisesta, jos niillä on todistusarvoa siviiliprosessissa. Kuten edellä selitettiin, jos luovutettava asiakirja sisältää henkilötietoja, tällaisesta luovuttamisesta määräävästä tuomioistuimesta tulee yleisen tietosuoja-asetuksen mukainen rekisterinpitäjä.

40.

Kuten komissio istunnossa huomautti, kansallinen tuomioistuin on ainoastaan tietyssä määrin tavanomainen rekisterinpitäjä. Kansalliset tuomioistuimet voivat nimittäin käsitellä tietoja ainoastaan niille kuuluvan julkisen vallan käyttämiseksi.

41.

Kun tietojenkäsittely tapahtuu julkisen vallan käyttämiseksi, ( 25 ) yleisen tietosuoja-asetuksen 6 artiklan 3 kohdan mukaan sen on perustuttava unionin oikeuteen tai jäsenvaltion lainsäädäntöön.

42.

Näin ollen sekä yleisen tietosuoja-asetuksen 6 artiklan 4 kohdassa (joka mahdollistaa tietojen käsittelyn muuhun tarkoitukseen) että 3 kohdassa (joka mahdollistaa tietojen käsittelyn julkisen vallan käyttämiseksi) edellytetään, että tietojen käsittely perustuu kansalliseen lainsäädäntöön (tai unionin oikeuteen). ( 26 )

43.

Se, että RB:ssä annetaan tuomioistuimelle toimivalta antaa luovuttamismääräys, on siten välttämätön edellytys kyseessä olevan käsittelyn lainmukaisuudelle.

44.

Jos yleisessä tietosuoja-asetuksessa edellytettävä oikeusperusta on olemassa ja määräys, johon liittyy henkilötietojen käsittelyä, annetaan tällaisen jäsenvaltion lainsäädännön mukaisesti, täyttyvätkö yleisessä tietosuoja-asetuksessa lainmukaiselle käsittelylle asetetut vaatimukset?

45.

Vaikka jäsenvaltion lainsäädäntöön perustuvan oikeusperustan olemassaolo onkin välttämätön, se ei mielestäni riitä tekemään luovuttamismääräyksestä yleisen tietosuoja-asetuksen mukaista.

46.

Ennakkoratkaisua pyytänyt tuomioistuin selitti, että RB:n nojalla ei lähtökohtaisesti oteta huomioon tietojen yksityistä luonnetta tehtäessä päätöksiä niiden luovuttamisesta todisteeksi. Tuomioistuinten on otettava huomioon vastakkaisten asianosaisten edut, mutta laissa itsessään ei mainita, että rekisteröityjen eduilla olisi mitään merkitystä.

47.

Onko RB ristiriidassa yleisen tietosuoja-asetuksen kanssa, kun siinä ei nimenomaisesti velvoiteta tuomioistuimia, kun niistä tulee rekisterinpitäjiä, ottamaan rekisteröityjen edut huomioon tehdessään päätöksiä, jotka voivat vaikuttaa heidän henkilötietoihinsa?

48.

Mielestäni näin ei ole. On otettava huomioon, että eri kansallisia säädöksiä, jotka muodostavat oikeusperustan tietojenkäsittelylle, ei annettu nimenomaisesti yleisen tietosuoja-asetuksen täytäntöönpanemiseksi, vaan niillä on omat tarkoituksensa. Lisäksi yleistä tietosuoja-asetusta sovelletaan suoraan jäsenvaltioiden oikeusjärjestyksissä, eikä se edellytä täytäntöönpanotoimia. Näin ollen tärkeää on se, että kun kansalliset menettelysäännöt ja yleinen tietosuoja-asetus kohtaavat, ensiksi mainitut mahdollistavat viimeksi mainitun samanaikaisen soveltamisen.

49.

Ruotsin hallitus vahvisti istunnossa, ettei RB:ssä edellytetä tuomioistuinten ottavan rekisteröityjen etuja huomioon, muttei myöskään kielletä sitä. RB ei näin ollen ole esteenä yleisen tietosuoja-asetuksen suoralle soveltamiselle oikeudenkäyntiin, johon kyseistä oikeudenkäymiskaarta sovelletaan.

50.

Kansallisten tuomioistuinten on siten sovellettava samanaikaisesti kansallisia menettelysääntöjä ja yleistä tietosuoja-asetusta, joka täydentää kansallisia sääntöjä, jos tuomioistuinten oikeudenkäynnin yhteydessä toteuttamiin toimiin liittyy henkilötietojen käsittelyä.

51.

Kansallisessa lainsäädännössä ei näin ollen tarvitse viitata nimenomaisesti yleiseen tietosuoja-asetukseen tai velvoittaa tuomioistuimia ottamaan rekisteröityjen edut huomioon. Riittää, että tällainen lainsäädäntö mahdollistaa yleisen tietosuoja-asetuksen täydentävän soveltamisen. Vain siinä tapauksessa, ettei näin ole, kansallinen säädös olisi yleisen tietosuoja-asetuksen vastainen. RB kuitenkin näyttää sallivan yleisen tietosuoja-asetuksen täydentävän soveltamisen. ( 27 )

52.

Ennakkoratkaisua pyytäneen tuomioistuimen ensimmäiseen kysymykseen on näin ollen vastattava, että yleisen tietosuoja-asetuksen 6 artiklan 3 ja 4 kohdassa asetetaan kansalliselle prosessioikeudelle vaatimuksia, jotka liittyvät luovuttamista koskeviin velvoitteisiin, aina kun luovuttamiseen liittyy henkilötietojen käsittelyä. Kansallinen prosessioikeus ei tällaisessa tapauksessa saa estää sitä, että rekisteröityjen edut otetaan huomioon. Nämä edut turvataan, jos kansalliset tuomioistuimet noudattavat yleisen tietosuoja-asetuksen sääntöjä päättäessään asiakirjatodisteiden luovuttamisesta yksittäistapauksessa.

53.

Kansallisiin tuomioistuimiin sovelletaan yleistä tietosuoja-asetusta, joten rekisterinpitäjinä niiden on otettava huomioon rekisteröityjen edut. Miten nämä edut olisi otettava huomioon tehtäessä konkreettista päätöstä luovuttamisesta? Tämä muodostaa ennakkoratkaisua pyytäneen tuomioistuimen toisen kysymyksen ytimen.

54.

Rekisteröityjen etuja suojataan, kun heidän henkilötietojensa käsittely on yleisen tietosuoja-asetuksen 5 ja 6 artiklan mukaista. ( 28 ) Julkisasiamies Pikamäen sanoja lainatakseni, yleisen tietosuoja-asetuksen 5 ja 6 artiklan noudattaminen turvaa yksityis- ja perhe-elämän kunnioittamista ja henkilötietojen suojaa koskevien oikeuksien, sellaisina kuin ne taataan perusoikeuskirjan 7 ja 8 artiklassa, suojelun. ( 29 )

55.

Käsittelyn oikeutetut päämäärät luetellaan yleisen tietosuoja-asetuksen 6 artiklassa. ( 30 ) Kuten tämän ratkaisuehdotuksen edellisessä jaksossa selitettiin, nyt kyseessä olevalla käsittelyllä on lainmukainen tarkoitus, koska tuomioistuin käytti julkista valtaa määrätessään tietojen luovuttamisesta sellaisen kansallisen lainsäädännön perusteella, jolla pyritään varmistamaan oikeudenkäynnin asianmukainen kulku. Sekä yleisen tietosuoja-asetuksen 6 että 5 artiklassa kuitenkin edellytetään paitsi oikeutettua päämäärää myös sitä, että tietty käsittely on tarpeen tämän päämäärän saavuttamiseksi.

56.

Yleisessä tietosuoja-asetuksessa edellytetään siten, että tuomioistuin arvioi oikeasuhteisuutta määrittäessään, onko henkilötietojen luovuttaminen tietyssä tilanteessa tarpeen todistelutarkoituksiin oikeudenkäynnissä. ( 31 )

57.

Tältä osin yleisen tietosuoja-asetuksen 6 artiklan 4 kohdassa edellytetään, että kansallinen lainsäädäntö, johon muuhun tarkoitukseen tapahtuva käsittely perustuu, muodostaa välttämättömän ja oikeasuhteisen toimenpiteen jonkin yleisen tietosuoja-asetuksen 23 artiklan 1 kohdassa tarkoitetun tavoitteen, tässä tapauksessa oikeudellisen riippumattomuuden ja oikeudellisten menettelyjen suojelun, turvaamiseksi. Lisäksi yleisen tietosuoja-asetuksen 6 artiklan 3 kohdassa edellytetään, että julkisen vallan käyttämiseksi tapahtuvan käsittelyn on oltava tarpeen rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi.

58.

Kansallinen lainsäädäntö, johon käsittely perustuu, voi in abstracto olla yleisen tietosuoja-asetuksen 6 artiklan 3 ja 4 kohdan vaatimusten mukainen. Kunkin yksittäisen käsittelyn (myös tuomioistuimen antaman luovuttamismääräyksen) lainmukaisuus riippuu kuitenkin kaikkien asiaan kuuluvien etujen konkreettisesta punninnasta, ja tällöin on pidettävä mielessä oikeutettu päämäärä, jonka vuoksi luovuttamista on pyydetty. ( 32 ) Vain tällä tavalla kansallinen tuomioistuin voi päättää, onko luovuttaminen tarpeen ja jos, niin missä määrin.

59.

On siten selvää, että yleisessä tietosuoja-asetuksessa edellytetään oikeasuhteisuuden arviointia. Onko yleisestä tietosuoja-asetuksesta myös apua vastattaessa siihen, mitä konkreettisia toimia tuomioistuimen on toteutettava tällaisessa arvioinnissa?

60.

Kuten selitettiin, oikeasuhteisuuden arviointi on tehtävä jokaisessa yksittäistapauksessa ottaen huomioon kaikki asiaan liittyvät edut. Nyt tarkasteltavan kaltaisissa tilanteissa luovuttamisen taustalla olevia etuja on punnittava sen kanssa, että luovuttamisella loukataan henkilötietojen suojaa koskevaa oikeutta. ( 33 )

61.

Luovuttamisen taustalla olevat edut kuvastavat oikeutta tehokkaisiin oikeussuojakeinoihin (perusoikeuskirjan 47 artikla). Rekisteröityjen edut, joiden kanssa edellä mainittu oikeus on ristiriidassa, kuvastavat oikeutta yksityis- ja perhe-elämän kunnioittamiseen (perusoikeuskirjan 7 artikla) ja oikeutta henkilötietojen suojaan (perusoikeuskirjan 8 artikla). Näitä oikeuksia on punnittava, jotta voidaan päättää, onko henkilötietojen luovuttaminen tarpeen.

62.

Esitän seuraavaksi tiettyjä ehdotuksia, jotka koskevat erityisiä toimia, joita kansallisen tuomioistuimen voidaan odottaa toteuttavan.

63.

Ensinnäkin voidaan aina olettaa, että rekisteröidyillä, jotka eivät ole antaneet suostumustaan käsittelyyn, on intressi henkilötietojensa käsittelyn rajoittamiseen. Tämä muodostaa siten oletusarvoisen lähtökohdan kansalliselle tuomioistuimelle: sen oikeuttaminen, miksi tähän intressiin olisi kajottava.

64.

Ohjeet tämän arvioinnin tekemiseen löytyvät nähdäkseni yleisen tietosuoja-asetuksen 5 artiklasta, johon sisältyvät periaatteet, joita rekisterinpitäjän on noudatettava henkilötietoja käsitellessään.

65.

Tältä osin kaikkein tärkein on yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohtaan sisältyvä tietojen minimoinnin periaate. Kyseinen vaatimus on, kuten unionin tuomioistuin on todennut, ( 34 ) ilmaus suhteellisuusperiaatteesta. Se edellyttää, että henkilötiedot ovat asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään.

66.

Ensimmäinen kysymys koskee näin ollen sitä, ovatko Entralin pitämään henkilöstöpäiväkirjaan sisältyvät tiedot asianmukaisia. Ne ovat asianmukaisia siihen tarkoitukseen, johon ne on tarkoitus luovuttaa, jos niistä todellakin ilmenee Fastecin työntekijöiden rakennuksella tekemien työtuntien määrä.

67.

Toinen kysymys koskee sitä, ovatko Entralin pitämään henkilöstöpäiväkirjaan sisältyvät tiedot olennaisia siihen tarkoitukseen, johon niitä pyydetään. Tarkoituksena vaikuttaa olevan Nycanderin intressi näyttää toteen väitteensä, jonka mukaan Fastecin työntekijät työskentelivät rakennuksella laskuun merkittyä työtuntimäärää vähemmän. Tällaisessa tilanteessa henkilöstöpäiväkirja olisi olennainen, jos se voi todellakin osoittaa tällaisen väitteen todeksi tai vääräksi. Kansallisen tuomioistuimen on arvioitava sen olennaisuutta ottaen huomioon muut asian tosiseikat (esimerkiksi Fastecin väite, jonka mukaan henkilöstöpäiväkirja sisältää ainoastaan osan olennaisista työtunneista ja että muut työtunnit on tehty työmaan ulkopuolella).

68.

Jotta tietojen minimointia koskeva kolmas edellytys täyttyisi, kansallisen tuomioistuimen on määritettävä, ovatko kaikki vai ainoastaan osa päiväkirjan tiedoista riittäviä todistelutarkoituksiin. Jos on muita tapoja näyttää toteen sama tosiseikka, tietojen minimointi edellyttää lisäksi, että käytetään näitä muita tapoja. Kansallisen tuomioistuimen on esimerkiksi ehkä arvioitava Fastecin väitettä, jonka mukaan tosiasialliset työtunnit voidaan varmistaa sellaisista asiakirjoista, jotka sisältyvät jo ennakkoratkaisua pyytäneen tuomioistuimen asiakirja-aineistoon. Jos se toteaa tämän väitteen pitävän paikkansa, kansallinen tuomioistuin ei voi määrätä henkilöstöpäiväkirjaan sisältyvien henkilötietojen luovuttamisesta.

69.

Kansallisen tuomioistuimen on määritettävä, minkä tyyppiset päiväkirjaan sisältyvät henkilötiedot riittävät asiaa koskevien tosiseikkojen näyttämiseksi paikkansapitäviksi tai virheellisiksi. Tältä osin tietojen minimoinnin periaate edellyttää, että kyseessä olevaa tarkoitusta varten luovutetaan ainoastaan tiedot, jotka ovat ehdottoman välttämättömiä. Näin ollen saattaa olla tarpeen, että Entral henkilötietojen käsittelijänä mukauttaa henkilöstöpäiväkirjaa siten, että se rajaa henkilötiedot tarvittavaan vähimmäismäärään, jolla mahdollistetaan päätelmien tekeminen tosiasiallisista työtunneista.

70.

Tältä osin kansallisen tuomioistuimen on määritettävä, onko tarpeen, että henkilöt, joiden tiedot sisältyvät päiväkirjaan, voidaan tunnistaa, jotta luovuttamisella on todistusarvoa (esimerkiksi jos on tarpeen nimetä yksittäisiä työnrekijöitä, jotta heidät voidaan kutsua todistajiksi). Muutoin saattaa riittää, että on käytettävissä tiedot rakennuksella tehtyjen työtuntien kokonaismäärästä ja/tai niiden työntekijöiden määrästä, jotka ovat työskennelleet näinä tunteina.

71.

Edellä esitettyihin kysymyksiin annetuista vastauksista riippuen tuomioistuin voi päättää pyytää luovuttamaan pseudonymisoituja tai anonymisoituja tietoja. ( 35 )

72.

Yleisen tietosuoja-asetuksen johdanto-osan 26 perustelukappaleen mukaan pseudonymisoidut henkilötiedot kuuluvat edelleen yleisen tietosuoja-asetuksen aineelliseen soveltamisalaan. Näin on siksi, koska on mahdollista selvittää pseudonyymin taustalla oleva henkilön henkilöllisyys. Anonymisoidut tiedot sen sijaan eivät kuulu sen soveltamisalaan. Tapa, jolla kansallinen tuomioistuin viime kädessä määrää tietojen luovuttamisesta, vaikuttaa siten myös siihen, voidaanko yleistä tietosuoja-asetusta edelleen soveltaa. ( 36 )

73.

On viime kädessä kansallisen tuomioistuimen tehtävä määrittää henkilöstöpäiväkirjan eri versioiden todistusarvo voidakseen päättää, minkä tyyppinen tietojen minimointi on – jos ylipäätään – tarpeen, jotta siinä vireillä oleva oikeudenkäynti voidaan saattaa asianmukaisesti päätökseen.

74.

Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohtaan sisältyvän tietojen minimoinnin periaatteen lisäksi muut samaan artiklaan sisältyvät periaatteet sitovat myöskin kansallista tuomioistuinta ja ovat merkityksellisiä luovuttamismääräyksen antamismenetelmän kannalta.

75.

Esimerkiksi yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdassa paitsi viitataan lainmukaisuusperiaatteeseen (jota tarkastellaan lähemmin sen 6 artiklassa) myös mainitaan läpinäkyvyysperiaate. Kyseinen periaate edellyttää nähdäkseni, että kansallinen tuomioistuin selittää selkeästi päätöksensä määrätä henkilötietojen luovuttamisesta muun muassa esittämällä, miten se punnitsi luovuttamiseen liittyviä asianosaisten eri etuja ja perusteluja.

76.

Luovuttamismääräykseen sisältyvät asianmukaiset perustelut täyttävät myös yleisen tietosuoja-asetuksen 5 artiklan 2 kohtaan sisältyvän vaatimuksen, jonka mukaan rekisterinpitäjän on pystyttävä osoittamaan se, että 5 artiklan 1 kohdan periaatteita on noudatettu.

77.

Tapa, jolla yleisen tietosuoja-asetuksen 5 artiklan periaatteita on noudatettava, käy ilmi myös saman asetuksen johdanto-osan 31 perustelukappaleesta. Siinä edellytetään, että ”viranomaisten lähettämien luovutuspyyntöjen olisi aina oltava kirjallisia, perusteltuja ja satunnaisia, eikä niiden pitäisi koskea kokonaista rekisteriä tai johtaa rekisterien yhteenliittämiseen”.

78.

Puolan hallitus on tuonut esille huolenaiheen, joka liittyy kansallisen tuomioistuimen tekemään oikeasuhteisuuden arviointiin: jos kansallisen tuomioistuimen on arvioitava henkilöstöpäiväkirjan tai jonkin muun todisteen todistusarvoa siinä vireillä olevassa oikeudenkäynnissä, eikö siitä tule jo liian osallinen siihen, minkä pitäisi olla asianosaisten tehtävä, nimittäin pyrkimyksiin saada tukea näkemykselleen, joka koskee juurikin tällaisen todisteen todistusarvoa?

79.

Todistusarvon arviointi, jossa otetaan huomioon rekisteröityjen edut, ei mielestäni johda siihen, että asiaan puututtaisiin yhtään sen enempää kuin arvioitaessa jonkin muun todisteen todistusarvoa siviiliprosessissa. ( 37 )

80.

Se, missä määrin kansallinen tuomioistuin puuttuu asiaan, riippuu tietojen, joiden luovuttamista pyydetään, todistusarvon ilmeisyydestä yksittäistapauksen olosuhteissa. On aina tapauskohtaista, missä määrin luovuttamisella saatetaan puuttua rekisteröityjen etuihin.

81.

Esimerkiksi joihinkin tapauksiin voi liittyä arkaluonteisia tietoja, joihin sovelletaan yleisen tietosuoja-asetuksen 9 artiklan mukaista erityistä suojelujärjestelmää, tai rikostuomioihin ja rikoksiin liittyviä tietoja, joihin sovelletaan sen 10 artiklan sääntelyjärjestelmää. Tällaisissa tilanteissa rekisteröityjen edut saavat väistämättä enemmän painoarvoa. ( 38 ) Samoin luovuttamista koskeva intressi voi vaihdella yksittäistapauksissa. Toisinaan on selvää, että pyydetyn todisteen merkitys on vähäinen, kun taas muissa tilanteissa sillä on keskeinen merkitys asian lopputuloksen määrittämisen kannalta. Tältä osin komission huomautuksella, jonka mukaan kansallisella tuomioistuimella olisi oltava laaja harkintavalta tällaisia arviointeja tehdessään, on omat ansionsa. Sitä ei kuitenkaan pitäisi vapauttaa velvoitteesta ottaa rekisteröityjen edut huomioon.

82.

Tšekin hallitus esitti toisen huolenaiheen: se, että kansalliset tuomioistuimet velvoitetaan ottamaan rekisteröityjen edut huomioon aina, kun ne määräävät asiakirjatodisteiden luovuttamisesta, haittaisi oikeudenkäyntien säännönmukaista sujumista. Yleisessä tietosuoja-asetuksessa nimittäin asetetaan tuomioistuimille lisävelvoite ( 39 ) eli velvoite arvioida oikeasuhteisuutta ennen kuin ne määräävät henkilötietoja sisältävien asiakirjatodisteiden luovuttamisesta. Etujen punninta ei kuitenkaan ole mitenkään epätavallinen älyllinen tehtävä tuomioistuimille, eikä kansallisille tuomioistuimille asetettu rasite poikkea kaikille rekisterinpitäjille yleisessä tietosuoja-asetuksessa asetetusta rasitteesta.

83.

Jos unionin kansalaisten on tarkoitus nauttia henkilötietojensa korkeatasoisesta suojasta unionin lainsäätäjän valinnan, sellaisena kuin se ilmaistaan yleisessä tietosuoja-asetuksessa, mukaisesti, rekisteröityjen etujen huomioon ottamista ei voida pitää kohtuuttomana rasitteena jäsenvaltioiden tuomioistuimille.

84.

Ehdotan näin ollen, että unionin tuomioistuin vastaa ennakkoratkaisua pyytäneen tuomioistuimen toiseen kysymykseen seuraavasti: päättäessään siviiliprosessissa luovuttamismääräyksestä, johon liittyy henkilötietojen käsittelyä, kansallisen tuomioistuimen on tehtävä oikeasuhteisuuden arviointi, jossa otetaan huomioon niiden rekisteröityjen edut, joiden henkilötietoja on tarkoitus käsitellä, ja punnita niitä oikeudenkäynnin asianosaisten todisteiden hankkimista koskevan intressin kanssa. Tätä oikeasuhteisuuden arviointia ohjaavat yleisen tietosuoja-asetuksen 5 artiklassa vahvistetut periaatteet, tietojen minimoinnin periaate mukaan luettuna.

85.

Edellä esitetyn perusteella ehdotan, että unionin tuomioistuin vastaa Högsta domstolenin esittämiin kahteen ennakkoratkaisukysymykseen seuraavasti: