Teodora Dubar – GDPR în procedura civilă – oaspete sau intrus?

În data de 2 martie 2023, Curtea de Justiție a Uniunii Europene („CJUE” sau „Curtea”) a pronunțat o hotărâre[1] într-o cauză care vizează legătura dintre protecția datelor cu caracter personal și dreptul părților aflate într-un litigiu de avea acces la informații relevante, prin care să își probeze susținerile.

CJUE a răspuns întrebărilor formulate de instanța de trimitere referitoare la posibilitatea prezentării ca mijloc de probă a unui registru al personalului care conține date cu caracter personal ale unor terți în cadrul unei proceduri jurisdicționale civile.

Situația de fapt și întrebările formulate de instanța de trimitere

Sesizarea provine de la Curtea Supremă a Suediei, în contextul unui litigiu civil între Norra Stockholm Bygg AB („Fastec“) și Per Nycander AB (“Nycander“) cu privire la sumele datorate pentru construcția unei clădiri de birouri.

Conform legislației naționale, societățile care desfășoară o activitate de construcții, respectiv dezvoltatorii imobiliari, au obligația de a păstra un registru electornic al personalului, în cuprinsul căruia sunt înregistrate date privind identitatea, numărul național de identificare (i.e. CNP) al persoanelor care lucrează pe șantier, precum și orele de începere și de terminare a serviciului.

Registrul era ținut în scopul permiterii agenților administrației fiscale de a efectua verificări cu ocazia inspecțiilor la fața locului, obiectivele principale fiind de a preveni munca nedeclarată și de a îmbunătăți condițiile de concurență.

În cadrul litigiului, Nycander a solicitat depunerea registrului, invocând faptul că acesta ar putea constitui o probă relevantă pentru soluționarea cauzei, în măsura în care datele înregistrate în cuprinsul acestuia ar permite dovedirea orelor prestate de personalul Fastec[2]. În ceea ce privește admisibilitatea probei, Fastec s-a opus divulgării pe motiv că registrul conține date cu caracter personal și că divulgarea era contrară Regulamentului (UE) 2016/679 privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi libera circulaţie a acestor date („Regulamentul general privind protecția datelor” sau „GDPR”).

Inițial, instanțele naționale[3] au admis cererea formulată de Nycander și au dispus prezentarea registrului, însă Fastec a formulat recurs, iar instanța de trimitere[4] a ridicat problema necesității aplicării dispozițiilor Regulamentului general privind protecția datelor în cadrul litigiului principal.

Prin intermediul primei întrebări, instanța de trimitere a solicitat CJUE să stabilească dacă Regulamentul general privind protecția datelor se aplică în cadrul unor proceduri jurisdicționale civile, în situația administrării unui mijloc de probă constând într-un registru al personalului care conține date cu caracter personal ale unor terți colectate în principal în vederea prezentării în cadrul unor controale ale administrației fiscale[5].

Prin intermediul celei de-a doua întrebări, instanța de trimitere a solicitat CJUE să stabilească dacă, la aprecierea necesității prezentării unui document care conține date cu caracter personal în cadrul unei proceduri jurisdicționale civile, instanțele naționale sunt obligate să ia în considerare interesele persoanelor vizate[6].

Considerentele Curții

În primul rând, trebuie menționat faptul că GDPR[7] stabilește posibilitatea prelucrării datelor cu caracter personal în alte scopuri decât cele pentru care acestea au fost inițial colectate, în cazul în care prelucrarea este necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice.

În acest sens, CJUE a precizat că prelucrarea datelor cu caracter personal în alte scopuri trebuie (i) să aibă ca temei prevederi din dreptul național, (ii) să constituie o măsură necesară și proporțională într-o societate democratică și (iii) să protejeze obiective precum buna administrare a justiției.

Astfel, Curtea a stabilit[8] faptul că solicitarea, respectiv prezentarea în cadrul unei proceduri jurisdicționale civile a unui registru care conține date cu caracter personal se încadrează în definiția prelucrării datelor „în alte scopuri”, prevăzut de Regulamentul general privind protecția datelor.

În al doilea rând, dreptul la protecția datelor cu caracter personal nu este un drept absolut, putând suferi limitări prin raportare la alte drepturi fundamentale, cum ar fi dreptul la protecție jurisdicțională efectivă. În acest sens, CJUE a amintit[9] jurisprudența Curții Europene a Drepturilor Omului în ceea ce privește dreptul la un proces echitabil.

Astfel, Curtea a stabilit că este necesar ca justițiabilii să aibă posibilitatea efectivă de a-și prezenta cauza și de a avea acces la probele necesare pentru a stabili temeinicia argumentelor invocate, chiar dacă acestea includ date cu caracter personal ale terților.

În al treilea rând, CJUE a statuat importanța efectuării de către instanțele naționale a unei analize de proporționalitate, în funcție de împrejurările concrete ale fiecărei cauze. În acest sens, echilibrul între dreptul părților de a-și proba susținerile și dreptul terților la protecția datelor cu caracter personal implică inclusiv analizarea posibilității ca  susținerile părții să fie probate prin mijloace de probă mai puțin intruzive în ceea ce privește protecția datelor cu caracter personal, cum ar fi audierea unor martori selecționați[10].

De asemenea, Curtea a exemplificat măsurile care pot fi impuse de instanțele naționale, în situația administrării unor mijloace de probă care conțin date cu caracter personal ale terților: (i) pseudonimizarea[11], (ii) limitarea accesului public la dosar, (iii) somarea părților de a nu utiliza datele în alte scopuri decât cel al administrării probelor în cadrul procedurii jurisdicționale.

Concluzie

Hotărârea CJUE prezintă importanță practică, având în vedere faptul că aceasta stabilește posibilitatea invocării de către părți a dreptului la protecția datelor cu caracter personal ale terților pentru a se opune administrării unor probe care depășesc ceea ce este necesar pentru probarea susținerilor în cadrul procedurilor jurisdicționale. Echilibrul între aceste drepturi este o chestiune care va fi analizată de instanțele de judecată în fiecare caz în parte.

---

[1] Hotărârea Curții din 2 martie 2023, pronunțată în Cauza C-268/21, Norra Stockholm Bygg, disponibilă în limba română la https://curia.europa.eu/juris/document/document.jsf?text=&docid=270823&pageIndex=0&doclang=RO&mode=lst&dir=&occ=first&part=1&cid=944344 (Accesat la 7 aprilie 2023).

[2] A se vedea para. (17) din Hotărâre.

[3] Tribunalul de Primă Instanță (Tingsrätt) și Curtea de Apel (Svea hovrätt).

[4] Curtea Supermă (Högsta domstolen).

[5] A se vedea para. (25) din Hotărâre.

[6] A se vedea para. (42) din Hotărâre.

[7] A se vedea considerentul (50) din GDPR.

[8] A se vedea para. (38) din Hotărâre.

[9] A se vedea para. (52) din Hotărâre.

[10] A se vedea para. (54) din Hotărâre.

[11] Prelucrarea datelor cu caracter personal într‑un asemenea mod încât acestea să nu mai poată fi atribuite unei anume persoane vizate fără a se utiliza informații suplimentare.