1.

„Vaša nam je privatnost važna. Upotrebljavamo kolačiće kako bismo poboljšali korisničko iskustvo. Molimo, pregledajte postavke privatnosti. Prihvatiti sve/Postavke. Provjerite našu politiku zaštite privatnosti i politiku kolačića” ( 2 ).

2.

Slična poruka iskočit će prilikom posjeta bilo kojoj internetskoj stranici.

3.

Posljedica je to Opće uredbe o zaštiti podataka (u daljnjem tekstu: GDPR) ( 3 ), koja je postala glavno sredstvo za zaštitu osobnih podataka u Europskoj uniji.

4.

Iskače li GDPR i pred nacionalnim sudovima? Konkretnije, primjenjuje li se ta uredba na obveze otkrivanja u građanskom postupku pred nacionalnim sudom? Ako se primjenjuje, koje obveze iz nje proizlaze za te sudove? To su pitanja koja je Sud pozvan pojasniti u ovom predmetu.

5.

Ta su se pitanja pojavila u predmetu koji se vodi pred sudom koji je uputio zahtjev, Högsta domstolenom (Vrhovni sud, Švedska). Činjenice tog predmeta mogu se sažeti kako slijedi. Društvo Norra Stockholm Bygg AB (u daljnjem tekstu: Fastec), tužitelj u glavnom postupku, izgradilo je uredsku zgradu za društvo Per Nycander AB (u daljnjem tekstu: Nycander), tuženika u glavnom postupku. Zaposlenici koji su radili u okviru tog ugovora bilježili su svoju prisutnost u elektronički upisnik osoblja za porezne potrebe. Upisnik osoblja vodilo je društvo Entral AB, koje je djelovalo u ime društva Fastec.

6.

Glavni postupak započeo je u vezi sa sporom o naknadi dugovanoj za obavljeni rad. Društvo Nycander osporava potraživanje društva Fastec (u iznosu nešto većem od 2 milijuna švedskih kruna, odnosno oko 190133 eura) te smatra da je ono na radove utrošilo manje vremena od onoga za koje traži plaćanje.

7.

Kako bi dokazalo da je to tako, društvo Nycander zatražilo je od društva Entral da predoči upisnik koji je vodilo u ime društva Fastec. Društvo Fastec protivi se tom zahtjevu, ističući da bi se takvim otkrivanjem povrijedio GDPR jer su zatraženi podaci prikupljeni u drugu svrhu i ne mogu služiti kao dokaz u glavnom postupku.

8.

Tingsrätt (Prvostupanjski sud, Švedska) naložio je društvu Entral da predoči upisnik, a tu je odluku Svea hovrätt (Žalbeni sud regije Svea, Stockholm, Švedska) potvrdio u žalbenom postupku.

9.

Društvo Fastec podnijelo je žalbu protiv odluke Svea hovrätta (Žalbeni sud regije Svea, Stockholm) pred Högsta domstolenom (Vrhovni sud) te je od tog suda zatražilo da odbije zahtjev društva Nycander za otkrivanje ili, podredno, da naloži predočenje anonimizirane verzije upisnika osoblja. U okviru tog postupka Högsta domstolen (Vrhovni sud) uputio je Sudu zahtjev za prethodnu odluku sa sljedećim pitanjima:

10.

Tijekom postupka pisana očitovanja Sudu podnijeli su društvo Fastec, češka, poljska i švedska vlada te Europska komisija. Na raspravi održanoj 27. lipnja 2022. društvo Nycander, poljska i švedska vlada te Komisija iznijeli su usmena očitovanja.

11.

Člankom 5. GDPR‑a utvrđuju se načela koja svaka obrada osobnih podataka mora poštovati:

„1.   Osobni podaci moraju biti:

2.   Voditelj obrade odgovoran je za usklađenost sa stavkom 1. te je mora biti u mogućnosti dokazati (‚pouzdanost’).”

12.

Članak 6. GDPR‑a, naslovljen „Zakonitost obrade”, u stavcima 1., 3. i 4. propisuje:

„1.   Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:

[…]

[…]

[…]

3.   Pravna osnova za obradu iz stavka 1. točaka (c) i (e) utvrđuje se u:

Svrha obrade određuje se tom pravnom osnovom ili, u pogledu obrade iz stavka 1. točke (e), mora biti nužna za izvršavanje zadaće od javnog interesa ili izvršavanje službene ovlasti voditelja obrade. Ta pravna osnova može sadržavati posebne odredbe kako bi se prilagodila primjena pravila ove Uredbe, među ostalim opće uvjete kojima se uređuje zakonitost obrade od strane voditelja obrade, vrste podataka koji su predmet obrade, dotične ispitanike, subjekte kojima se osobni podaci mogu otkriti i svrhe u koje se podaci mogu otkriti, ograničavanje svrhe, razdoblje pohrane te aktivnosti obrade i postupke obrade, uključujući mjere za osiguravanje zakonite i poštene obrade, kao i za druge posebne situacije obrade kako je navedeno u poglavlju IX. Pravom Unije ili pravom države članice mora se ostvariti cilj od javnog interesa te ono mora biti razmjerno zakonitom cilju koji se želi postići.

4.   Ako se obrada u svrhu koja je različita od svrhe u koju su podaci prikupljeni ne temelji na privoli ispitanika ili na pravu Unije ili pravu države članice koje predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu ciljeva iz članka 23. stavka 1., voditelj obrade, s ciljem utvrđivanja je li obrada u drugu svrhu u skladu sa svrhom u koju su osobni podaci prvotno prikupljeni, uzima u obzir, među ostalim:

13.

Osim toga, člankom 23. stavkom 1. GDPR‑a uređuju se ograničenja prava i obveza koji iz njega proizlaze:

„1.   Na temelju prava Unije ili prava države članice kojem podliježu voditelj obrade podataka ili izvršitelj obrade zakonskom mjerom može se ograničiti opseg obveza i prava iz članaka od 12. do 22. i članka 34. te članka 5. ako te odredbe odgovaraju pravima i obvezama predviđenima u člancima od 12. do 22., ako se takvim ograničenjem poštuje bit temeljnih prava i sloboda te ono predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu:

[…]

[…]”

14.

Prvi stavak članka 2. poglavlja 38. rättegångsbalkena (Zakonik o sudskom postupku; u daljnjem tekstu: RB) predviđa da svaka osoba koja posjeduje pisani dokument za koji se može smatrati da ima dokaznu snagu mora predočiti taj dokument. Drugi stavak iste odredbe predviđa iznimke od takve obveze, uključujući odvjetnike, liječnike, psihologe, svećenike i ostale službenike kojima su informacije povjerene u okviru obavljanja njihovih zanimanja ili u sličnim situacijama. Članak 4. poglavlja 38. RB‑a sudu daje ovlast da naloži otkrivanje pisanog dokumenta kao dokaza.

15.

Prema tvrdnjama suda koji je uputio zahtjev, kad razmatra treba li neka osoba biti obvezna predočiti dokument, sud mora odvagnuti relevantnost dokaza s interesom protivne stranke da se taj podatak ne otkrije. Međutim, kao što to objašnjava sud koji je uputio zahtjev, to ne uključuje uzimanje u obzir privatne prirode otkrivenih podataka.

16.

GDPR je glavni akt Europske unije kojim se uređuje zaštita fizičkih osoba u pogledu obrade njihovih osobnih podataka. Za razliku od svoje prethodnice, Direktive 95/46/EZ ( 4 ), GDPR je donesen na temelju članka 16. UFEU‑a ( 5 ). Ta pravna osnova ovlastila je zakonodavca Unije da osigura temeljno pravo na zaštitu osobnih podataka, predviđeno u članku 8. stavku 1. Povelje Europske unije o temeljnim pravima (u daljnjem tekstu: Povelja) ( 6 ).

17.

Odgovornost za usklađenost s GDPR‑om prilikom obrade osobnih podataka tom je uredbom povjerena „voditelju obrade podataka” ( 7 ). Stoga je u svakom slučaju obrade osobnih podataka potrebno utvrditi tko je voditelj obrade podataka.

18.

Prema članku 4. točki 7. GDPR‑a, voditelj obrade je fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje određuje svrhe i sredstva obrade osobnih podataka.

19.

U ovom su slučaju provedene dvije odvojene obrade osobnih podataka. Prva obrada odnosi se na elektronički upisnik osoblja koji društvo Entral vodi u ime društva Fastec, pri čemu to potonje ima obvezu, predviđenu švedskim pravom, prikupljati podatke o radnim satima u porezne svrhe. U tom kontekstu društvo Fastec je voditelj obrade, a društvo Entral izvršitelj obrade ( 8 ).

20.

Nije sporno da je ta prva obrada u skladu s GDPR‑om. Konkretnije, njegov članak 6. stavak 1. točka (c) omogućuje obradu osobnih podataka koja je nužna radi poštovanja pravnih obveza voditelja obrade, u ovom slučaju društva Fastec ( 9 ). Ako bi se ta prva obrada pokazala nezakonitom s obzirom na GDPR, obrada takvih podataka nakon promjene svrhe stoga bi također u svakom slučaju bila nezakonita ( 10 ).

21.

Međutim, ovaj se predmet bavi drugom obradom (u promijenjene svrhe) istih podataka koji su prvotno prikupljeni u porezne svrhe. Nova je svrha Entralovo otkrivanje upisnika osoblja kao dokaza u građanskom postupku između društava Fastec i Nycander. Predočenje tog upisnika za uporabu u građanskom postupku nužno bi podrazumijevalo obradu osobnih podataka.

22.

U toj drugoj obradi uloge predviđene GDPR‑om mijenjaju se u odnosu na prvu. Prije svega, time što društvu Entral izdaje nalog za predočenje upisnika osoblja (u daljnjem tekstu: nalog za otkrivanje), nacionalni sud je tijelo koje određuje svrhe i sredstva druge obrade podataka ( 11 ). Taj sud stoga postaje voditelj obrade podataka ( 12 ).

23.

U toj drugoj obradi moglo bi se smatrati da je i društvo Fastec ostalo voditelj obrade ili pak da se njegova uloga promijenila: da je sada postalo primatelj podataka, zajedno s društvom Nycander ( 13 ). Međutim, ako je društvo Fastec i ostalo voditelj obrade, zajedno s nacionalnim sudom ( 14 ), to ni na koji način ne utječe na obveze nacionalnog suda kao voditelja obrade ( 15 ). Naposljetku, uloga društva Entral se ne mijenja. Ono ostaje izvršitelj obrade i nastavlja obrađivati iste osobne podatke, ali sada u ime novog voditelja obrade, nacionalnog suda.

24.

Svojim prvim pitanjem sud koji je uputio zahtjev u biti pita može li nacionalni sud doista postati voditelj obrade na temelju GDPR‑a te nameće li u tom slučaju ta uredba zahtjeve u pogledu nacionalnog postupovnog zakonodavstva koje se odnosi na ovlasti i obveze sudova u građanskom postupku. Ako se GDPR primjenjuje i nacionalni sud jest voditelj obrade, sud koji je uputio zahtjev svojim drugim pitanjem pita kako bi takav sud trebao odlučiti o otkrivanju osobnih podataka kad trebaju poslužiti kao dokaz u građanskom postupku.

25.

Kako bih odgovorila na pitanja suda koji je uputio zahtjev, postupit ću na sljedeći način. Najprije ću objasniti zašto smatram da se GDPR primjenjuje na građanske postupke pred sudovima država članica i kako to utječe na njihovo postojeće postupovno zakonodavstvo (B). Zatim ću razmotriti metodologiju koju nacionalni sudovi kao voditelji obrade podataka trebaju primijeniti kako bi ispunili zahtjeve iz GDPR‑a (C).

26.

Svojim prvim pitanjem sud koji je uputio zahtjev u biti pita primjenjuje li se GDPR na građanske sudske postupke i koji je njegov utjecaj na relevantna postupovna pravila. Konkretnije, pita se utječe li na ona nacionalna pravila kojima se uređuju ovlasti i obveze sudova prilikom nalaganja otkrivanja dokaza u pisanom obliku. Na to ću pitanje odgovoriti u tri koraka.

27.

Materijalno područje primjene GDPR‑a određeno je u njegovu članku 2. stavku 1. te zauzima funkcionalan, a ne institucionalan pristup. Primjenjuje li se GDPR ovisi o odgovoru na pitanje što (djelatnost obrade osobnih podataka), a ne tko ( 16 ).

28.

Situacije isključene iz područja primjene GDPR‑a, navedene u njegovu članku 2. stavku 2., također su po svojoj prirodi funkcionalne. S obzirom na to da predstavljaju iznimku od primjene GDPR‑a, Sud je smatrao da ih treba usko tumačiti ( 17 ).

29.

Djelatnosti javnih tijela stoga nisu isključene iz područja primjene GDPR‑a kao takve, nego samo u vezi s djelatnostima navedenima u njegovu članku 2. stavku 2. ( 18 ). U tom pogledu, tom se odredbom iz materijalnog područja primjene GDPR‑a ne isključuju sudske djelatnosti u građanskom postupku.

30.

Zaključak prema kojem se GDPR primjenjuje na sudske djelatnosti potvrđen je njegovom uvodnom izjavom 20. ( 19 ), prema kojoj se taj akt primjenjuje na aktivnosti sudova i drugih pravosudnih tijela ( 20 ).

31.

Isključenje nadležnosti nadzornih tijela u odnosu na sudove kad oni obavljaju svoju sudbenu funkciju, navedeno u članku 55. stavku 3. GDPR‑a, ne utječe na prethodni zaključak. Upravo suprotno, ta odredba, prema mojem mišljenju, potvrđuje da sudovi, kad obavljaju svoju sudbenu funkciju, podliježu obvezama naloženima GDPR‑om. Njome se jamči njihova neovisnost i nepristranost, zabranjujući nadzornom tijelu nadzor nad njihovim postupcima obrade.

32.

U ovom slučaju riječ je o obradi osobnih podataka koja ulazi u materijalno područje primjene GDPR‑a. Uspostava i vođenje elektroničkog upisnika osoblja odnose se na obradu osobnih podataka ( 21 ). Isto tako, nalog za otkrivanje takvih osobnih podataka u okviru građanskog postupka slučaj je obrade tih podataka ( 22 ). Stoga je situacija u glavnom postupku obuhvaćena materijalnim područjem primjene GDPR‑a.

33.

Što to znači za primjenu nacionalnih postupovnih pravila, kao što je RB?

34.

Pravna osnova za donošenje naloga za otkrivanje o kojem je riječ u ovom predmetu jest RB.

35.

GDPR‑om se doista zahtijeva da je u situaciji poput one u ovom slučaju pravna osnova obrade podataka pravo države članice (ili Unije) ( 23 ).

36.

Prvotno prikupljeni i obrađeni u porezne svrhe, predmetni se podaci, na temelju naloga za otkrivanje u ovom predmetu, sada obrađuju u svrhu dokazivanja u sudskom postupku.

37.

Člankom 6. stavkom 4. GDPR‑a omogućuje se promjena svrhe obrade podataka ako se temelji na pravu država članica koje predstavlja nužnu mjeru u demokratskom društvu za zaštitu ciljeva iz članka 23. stavka 1. te uredbe. Među tim ciljevima, u članku 23. stavku 1. točki (f) navodi se „zaštita neovisnosti pravosuđa i sudskih postupaka”.

38.

Svi sudionici u ovom zahtjevu za prethodnu odluku slažu se da je članak 23. stavak 1. točka (f) GDPR‑a prikladna odredba za opravdanje promjene svrhe obrade podataka na temelju RB‑a ( 24 ).

39.

RB ovlašćuje nacionalne sudove da nalože otkrivanje dokumenata ako oni imaju dokaznu snagu u građanskom postupku. Kao što sam to već objasnila, ako dokument koji treba otkriti sadržava osobne podatke, sud koji nalaže takvo otkrivanje postaje voditelj obrade na temelju GDPR‑a.

40.

Kao što je to Komisija naglasila na raspravi, nacionalni sud samo je u određenoj mjeri obični voditelj obrade. Naime, nacionalni sudovi mogu obrađivati podatke samo u izvršavanju svoje službene ovlasti.

41.

Kad se obrada podataka odvija u okviru izvršavanja službene ovlasti ( 25 ), člankom 6. stavkom 3. GDPR‑a zahtijeva se da se ona temelji na pravu Unije ili država članica.

42.

Prema tome, i članak 6. stavak 4. GDPR‑a (kojim se odobrava promjena svrhe obrade) kao i njegov članak 6. stavak 3. (kojim se odobrava obrada podataka u izvršavanju službene ovlasti) zahtijevaju postojanje nacionalnog prava (ili prava Unije) kao pravne osnove za obradu ( 26 ).

43.

Postojanje ovlasti suda da usvoji nalog za otkrivanje na temelju RB‑a stoga je nužan uvjet za zakonitost obrade o kojoj je riječ.

44.

Ako postoji pravna osnova koja se zahtijeva GDPR‑om i ako je nalog koji podrazumijeva obradu osobnih podataka donesen u skladu s pravom države članice, jesu li ispunjeni zahtjevi GDPR‑a u pogledu zakonitosti obrade?

45.

Prema mojem mišljenju, postojanje pravne osnove u nacionalnom pravu, iako nužno, nije dovoljno da bi nalog za otkrivanje bio u skladu s GDPR‑om.

46.

Sud koji je uputio zahtjev objasnio je da se na temelju RB‑a prilikom donošenja odluka o otkrivanju dokaza u načelu ne uzima u obzir privatni karakter podataka. Sudovi su dužni uzeti u obzir interese dviju protivnih stranaka, ali sâm zakon ne spominje nikakvu ulogu interesa ispitanikâ.

47.

Je li RB neusklađen s GDPR‑om zbog toga što izričito ne obvezuje sudove da, kad postanu voditelji obrade podataka, uzmu u obzir interese ispitanika prilikom donošenja odluka koje mogu utjecati na njihove osobne podatke?

48.

Smatram da nije. Valja uzeti u obzir činjenicu da različiti nacionalni akti koji služe kao pravne osnove za obradu podataka nisu bili doneseni posebno za provedbu GDPR‑a, nego imaju vlastite svrhe. Osim toga, GDPR je izravno primjenjiv u pravnim porecima država članica i ne zahtijeva provedbu. Stoga je važno da na sjecištu nacionalnih postupovnih pravila i GDPR‑a ta pravila ostavljaju prostor za istodobnu primjenu te uredbe.

49.

Švedska vlada na raspravi je potvrdila da RB ne zahtijeva od sudova, ali im ni ne zabranjuje, da uzmu u obzir interese ispitanikâ. Stoga taj zakonik ne sprečava izravnu primjenu GDPR‑a na njime uređen sudski postupak.

50.

Nacionalni sudovi stoga usporedno podliježu domaćim postupovnim pravilima i GDPR‑u, pri čemu on dopunjuje nacionalna pravila ako postupovne radnje sudova podrazumijevaju obradu osobnih podataka.

51.

Zaključno, nacionalno zakonodavstvo ne treba izričito upućivati na GDPR niti obvezivati sudove da uzimaju u obzir interese ispitanikâ. Dovoljno je da se takvim zakonodavstvom omogućuje dodatna primjena GDPR‑a. Samo ako to ne bi bio slučaj, nacionalni akt bio bi protivan GDPR‑u. Međutim, čini se da se RB‑om omogućuje dodatna primjena GDPR‑a ( 27 ).

52.

U odgovoru na prvo pitanje suda koji je uputio zahtjev, stoga zaključujem da članak 6. stavci 3. i 4. GDPR‑a nameće zahtjeve u pogledu nacionalnog postupovnog zakonodavstva koje se odnosi na obveze otkrivanja uvijek kad otkrivanje podrazumijeva obradu osobnih podataka. Nacionalno postupovno zakonodavstvo ne može u takvom slučaju onemogućiti uzimanje u obzir interesâ ispitanikâ. Ti interesi bit će zaštićeni ako nacionalni sudovi poštuju pravila GDPR‑a kad odlučuju o otkrivanju dokaza u pisanom obliku u pojedinom slučaju.

53.

Kao subjekti GDPR‑a, nacionalni sudovi kao voditelji obrade podataka moraju uzeti u obzir interese ispitanikâ. Kako te interese treba uzeti u obzir prilikom donošenja konkretne odluke o otkrivanju? To je bit drugog pitanja suda koji je uputio zahtjev.

54.

Interesi ispitanikâ bit će zaštićeni kad je obrada njihovih osobnih podataka u skladu s člancima 5. i 6. GDPR‑a ( 28 ). Kao što je to naglasio nezavisni odvjetnik P. Pikamäe, poštovanjem članaka 5. i 6. GDPR‑a osigurava se zaštita prava na privatni i obiteljski život kao i zaštita osobnih podataka, kako su zajamčene člancima 7. i 8. Povelje ( 29 ).

55.

Legitimni ciljevi obrade navedeni su u članku 6. GDPR‑a ( 30 ). Kao što je to objašnjeno u prethodnom odjeljku ovog mišljenja, predmetna obrada ima zakonitu svrhu, s obzirom na to da je sud izvršio svoju službenu ovlast time što je naložio otkrivanje na temelju nacionalnog prava koje omogućuje osiguranje dobrog odvijanja sudskog postupka. Međutim, i članak 6. i članak 5. GDPR‑a zahtijevaju ne samo legitiman cilj nego i da je određena obrada nužna kako bi se postigao taj cilj.

56.

GDPR‑om se stoga zahtijeva da sud provede analizu proporcionalnosti kad određuje je li otkrivanje osobnih podataka u konkretnoj situaciji nužno radi dokazivanja u okviru sudskog postupka ( 31 ).

57.

U tom pogledu, članak 6. stavak 4. GDPR‑a zahtijeva da je nacionalno pravo na kojem se temelji promjena svrhe obrade nužna i proporcionalna mjera za jamčenje jednog od ciljeva navedenih u članku 23. stavku 1. GDPR‑a, u ovom slučaju zaštite neovisnosti pravosuđa i sudskih postupaka. Usto, članak 6. stavak 3. GDPR‑a zahtijeva da je obrada u izvršavanju službene ovlasti nužna za izvršavanje službene ovlasti voditelja obrade.

58.

Nacionalno zakonodavstvo na kojem se temelji obrada može in abstracto biti u skladu sa zahtjevima iz članka 6. stavaka 3. i 4. GDPR‑a. Ipak, zakonitost svake pojedinačne obrade (uključujući poseban sudski nalog za otkrivanje) ovisi o konkretnom odvagivanju svih postojećih interesa, uzimajući u obzir legitiman cilj zbog kojeg se otkrivanje zahtijeva ( 32 ). Samo na taj način nacionalni sud može odlučiti je li i u kojoj mjeri otkrivanje podataka nužno.

59.

Stoga je jasno da se GDPR‑om zahtijeva analiza proporcionalnosti. Nudi li on kakvu dodatnu pomoć u odgovoru na pitanje koje konkretne mjere sud treba poduzeti u okviru takve analize?

60.

Analizu proporcionalnosti, kao što je to objašnjeno, treba provesti u svakom pojedinom slučaju, uzimajući u obzir sve uključene interese. U situacijama kao što je ona u predmetnom slučaju interesi koji podupiru otkrivanje moraju se odvagnuti sa zadiranjem u pravo na zaštitu osobnih podataka ( 33 ).

61.

Interesi koji podupiru otkrivanje odraz su prava na djelotvornu sudsku zaštitu (članak 47. Povelje). Interesi ispitanikâ, s kojima je navedeno pravo u sukobu, odraz su prava na privatni i obiteljski život (članak 7. Povelje) i prava na zaštitu osobnih podataka (članak 8. Povelje). Upravo ta prava valja odvagnuti kako bi se odlučilo je li otkrivanje osobnih podataka nužno.

62.

U razmatranjima koja slijede iznijet ću određene prijedloge u vezi s konkretnim koracima koje bi nacionalni sud trebao poduzeti.

63.

Prije svega, može se pretpostaviti da su interesi ispitanika koji nisu dali svoju privolu za obradu uvijek takvi da žele ograničiti obradu svojih osobnih podataka. Stoga je to uvijek početna pozicija nacionalnog suda: opravdati zašto bi trebalo zadirati u te interese.

64.

Stajališta sam da članak 5. GDPR‑a, koji sadržava načela koja voditelj obrade mora poštovati prilikom obrade osobnih podataka, nudi i upute za provedbu te procjene.

65.

U tom je pogledu ključno načelo smanjenja količine podataka, koje proizlazi iz članka 5. stavka 1. točke (c) GDPR‑a. Taj je zahtjev, kao što je to Sud istaknuo ( 34 ), izraz proporcionalnosti. Njime se zahtijeva da su osobni podaci primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju.

66.

Prvo je pitanje koje treba postaviti, dakle, jesu li podaci iz upisnika osoblja koji drži društvo Entral primjereni. Oni će biti primjereni u odnosu na svrhu za koju trebaju biti otkriveni ako doista pokazuju broj radnih sati koje su zaposlenici društva Fastec proveli na gradilištu.

67.

Drugo pitanje koje treba postaviti odnosi se na to jesu li podaci iz upisnika osoblja koji drži društvo Entral relevantni za svrhu za koju se zahtijevaju. Čini se da je ta svrha interes društva Nycander da dokaže svoju tvrdnju prema kojoj su zaposlenici društva Fastec radili manje sati nego što je to navedeno na računu. U takvim bi okolnostima upisnik osoblja bio relevantan ako se njime može dokazati ili pobiti takva tvrdnja. Nacionalni sud mora ocijeniti njegovu relevantnost s obzirom na druge okolnosti slučaja (primjerice, tvrdnju društva Fastec prema kojoj upisnik osoblja sadržava samo dio relevantnih radnih sati, a ostatak je proveden izvan gradilišta).

68.

Kako bi ispunio treći zahtjev smanjenja količine podataka, nacionalni sud mora provjeriti jesu li svi ili samo neki podaci iz upisnika dovoljni za dokazne svrhe. Usto, ako postoje drugi načini dokazivanja iste činjenice, smanjenje količine podataka zahtijeva da se primijene ti drugi načini. Primjerice, moglo bi biti potrebno da nacionalni sud ocijeni tvrdnju društva Fastec prema kojoj se stvarni radni sati mogu provjeriti na temelju dokumenata koji su već dio spisa glavnog postupka. Ako utvrdi da je ta tvrdnja točna, nacionalni sud ne može naložiti otkrivanje osobnih podataka iz upisnika osoblja.

69.

Nacionalni sud treba utvrditi koje su vrste osobnih podataka iz upisnika dovoljne za dokazivanje ili osporavanje relevantnih činjenica. U tom pogledu, načelo smanjenja količine podataka zahtijeva da se otkriju samo podaci koji su strogo nužni za predmetnu svrhu. Stoga bi se moglo pokazati potrebnim da društvo Entral, kao izvršitelj obrade, izmijeni upisnik osoblja tako da se osobni podaci ograniče na najmanju potrebnu mjeru, omogućujući pritom zaključak o stvarno odrađenim satima.

70.

U tom pogledu, nacionalni sud mora provjeriti je li nužno da se osobe čiji se podaci nalaze u upisniku mogu identificirati kako bi otkrivanje imalo dokaznu snagu (primjerice, je li nužno imenovati pojedine radnike kako bi ih se pozvalo da svjedoče). U protivnom, može biti dovoljno raspolagati podacima o ukupnom broju sati provedenih na gradilištu i/ili broju osoba koje su radile u tim satima.

71.

Ovisno o odgovorima na prethodna pitanja, sud može odlučiti zatražiti otkrivanje pseudonimiziranih ili anonimiziranih podataka ( 35 ).

72.

Na temelju uvodne izjave 26. GDPR‑a, podaci koji su pseudonimizirani ostaju obuhvaćeni njegovim materijalnim područjem primjene. To je tako jer je i dalje moguće utvrditi identitet osobe koja stoji iza pseudonima. To ne vrijedi za anonimizirane podatke, koji nisu obuhvaćeni njegovim područjem primjene. Način otkrivanja koji na kraju naloži nacionalni sud stoga će također utjecati na kasniju primjenjivost GDPR‑a ( 36 ).

73.

U konačnici, na nacionalnom je sudu da utvrdi dokaznu snagu različitih verzija upisnika osoblja kako bi odlučio koja je vrsta smanjenja količine podataka, ako ikoja, nužna za uspješan dovršetak sudskog postupka koji se pred njim vodi.

74.

Uz načelo smanjenja količine podataka iz članka 5. stavka 1. točke (c) GDPR‑a, i druga načela sadržana u njegovu članku 5. obvezuju nacionalni sud te su relevantna za način donošenja naloga za otkrivanje.

75.

Primjerice, u članku 5. stavku 1. točki (a) GDPR‑a, osim upućivanja na načelo zakonitosti (dodatno razrađeno u njegovu članku 6.), također se spominje načelo transparentnosti. Prema mojem mišljenju, to načelo zahtijeva da nacionalni sud jasno obrazloži svoju odluku o nalaganju otkrivanja osobnih podataka, objašnjavajući, među ostalim, kako je odvagnuo različite interese i argumente stranaka koji se odnose na otkrivanje.

76.

Pravilno obrazloženje naloga za otkrivanje također udovoljava zahtjevu iz članka 5. stavka 2. GDPR‑a, kojim se zahtijeva da je voditelj obrade u mogućnosti dokazati usklađenost s načelima iz članka 5. stavka 1. te uredbe.

77.

Način usklađivanja s načelima iz članka 5. GDPR‑a može se također iščitati iz njegove uvodne izjave 31. Njome se zahtijeva da bi „zahtjevi za otkrivanje koje šalju tijela javne vlasti trebali uvijek biti u pisanom obliku, obrazloženi i povremeni i ne bi se trebali odnositi na čitav sustav pohrane ili dovesti do međupovezanosti sustavâ pohrane”.

78.

Poljska vlada izrazila je zabrinutost u pogledu ocjene proporcionalnosti koju provodi nacionalni sud: ako nacionalni sud mora ocijeniti dokaznu snagu upisnika osoblja ili nekog drugog dokaza u sporu koji se pred njim vodi, ne postaje li on već previše uključen u ono što bi trebalo ostati uloga stranaka, odnosno pokušaj pobjede u raspravi o samoj dokaznoj snazi takvih dokaza?

79.

Prema mojem mišljenju, ocjena dokazne snage kojom se uzima u obzir interes ispitanikâ ne podrazumijeva više zadiranja u slučaj nego što to podrazumijeva ocjena dokazne snage bilo kojeg drugog dokaza u građanskom postupku ( 37 ).

80.

Stupanj zadiranja nacionalnog suda ovisit će o tome koliko je očita dokazna snaga podataka čije se otkrivanje zahtijeva u okolnostima svakog pojedinog slučaja. Uvijek će o okolnostima pojedinog slučaja ovisiti u kojoj mjeri otkrivanje može zadirati u interese ispitanikâ.

81.

Primjerice, neki predmeti mogu uključivati osjetljive podatke na koje se primjenjuje poseban sustav zaštite na temelju članka 9. GDPR‑a ili podatke o kaznenim sankcijama na koje se odnosi njegov članak 10. U takvim slučajevima interes ispitanikâ nužno će imati veću važnost u okviru odvagivanja ( 38 ). Isto tako, interes za otkrivanje može se razlikovati u svakom pojedinom slučaju. Katkad je jasno da je relevantnost zatraženih dokaza manje važna, a u drugim slučajevima oni će biti ključni za rješavanje spora. U tom pogledu, Komisija je pravilno istaknula da nacionalni sud prilikom donošenja takvih ocjena mora raspolagati širokom marginom prosudbe. Ipak, on nikad ne bi trebao biti oslobođen obveze uzimanja u obzir interesa ispitanikâ.

82.

Češka vlada izrazila je zabrinutost i u vezi sa sljedećim: nametanje nacionalnim sudovima obveza uzimanja u obzir interesa ispitanikâ svaki put kad smatraju potrebnim naložiti otkrivanje pisanih dokaza predstavljalo bi prepreku urednom funkcioniranju sudskih postupaka. Istina je da GDPR doista za sudove uvodi dodatnu obvezu ( 39 ) da provedu ocjenu proporcionalnosti prije nego što nalože otkrivanje pisanih dokaza koji sadržavaju osobne podatke. Međutim, niti odvagivanje interesa predstavlja neuobičajen intelektualni napor za sudove, niti je opterećenje koje nacionalni sudovi imaju različito od onoga koje je GDPR‑om nametnuto bilo kojem voditelju obrade podataka.

83.

Ako, u skladu s izborom zakonodavca Unije izraženom u GDPR‑u, treba postojati visoka razina zaštite osobnih podataka građana Unije, uzimanje u obzir interesa ispitanikâ ne može se smatrati pretjeranim opterećenjem za sudove država članica.

84.

Stoga predlažem Sudu da na drugo pitanje suda koji je uputio zahtjev odgovori kako slijedi: kad odlučuje o nalogu za otkrivanje u građanskom postupku koji podrazumijeva obradu osobnih podataka, nacionalni sud mora provesti analizu proporcionalnosti kojom se uzimaju u obzir interesi ispitanikâ čiji se osobni podaci obrađuju, koji se odvaguju s interesima stranaka u postupku da dođu do dokaza. Ta ocjena proporcionalnosti vodi se načelima navedenima u članku 5. GDPR‑a, među kojima je i načelo smanjenja količine podataka.

85.

S obzirom na sva prethodna razmatranja, predlažem Sudu da na dva pitanja koja je uputio Högsta domstolen (Vrhovni sud, Švedska) odgovori na sljedeći način: