ext/celex/62024CJ0484

Preliminär utgåva

DOMSTOLENS DOM (femte avdelningen)

den 18 juni 2026 ( * )

” Begäran om förhandsavgörande – Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning (EU) nr 2016/679 – Artikel 5.1 e – Lagringsminimering – Artikel 6.1 första stycket led e – Lagligheten av behandlingen, inom ramen för ett domstolsförfarande, av personuppgifter hänförliga till ett anställningsavtal – Artikel 17.3 e – Ingen skyldighet att radera uppgifterna när behandlingen är nödvändig för att kunna fastställa, göra gällande eller försvara rättsliga anspråk – Uppgifter som samlats in av arbetsgivaren för att styrka att den anställde grovt åsidosatt sina skyldigheter – Användning av bevisning som erhållits på ett olagligt sätt ”

I mål C‑484/24,

angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Landesarbeitsgericht Niedersachsen (Arbetsöverdomstolen för Niedersachsen, Tyskland) genom beslut av den 8 maj 2024, som inkom till domstolen den 10 juli 2024, i målet

NTH Haustechnik GmbH

mot

EM,

meddelar

DOMSTOLEN (femte avdelningen)

sammansatt av avdelningsordföranden M.L. Arastey Sahún samt domarna J. Passer, E. Regan (referent), D. Gratsias och B. Smulders,

generaladvokat: D. Spielmann,

justitiesekreterare: handläggaren G. Chiapponi,

efter det skriftliga förfarandet och förhandlingen den 2 juli 2025,

med beaktande av de yttranden som avgetts av:

– Tysklands regering, genom J. Möller och P.-L. Krüger, båda i egenskap av ombud,

– Ungerns regering, genom M.Z. Féher, K. Szíjjártó och Zs. Biró-Tóth, samtliga i egenskap av ombud,

– Finlands regering, genom A. Laine och H. Leppo, båda i egenskap av ombud,

– Europeiska kommissionen, genom A. Bouchagiar, F. Erlbacher och H. Kranenborg, samtliga i egenskap av ombud,

och efter att den 16 oktober 2025 ha hört generaladvokatens förslag till avgörande,

följande

Dom

1 Begäran om förhandsavgörande avser tolkningen av artiklarna 5, 6, 9, 13 och 17 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1 och rättelser i EUT L 127, 2018, s. 2 och EUT L 74, 2021, s.35) (nedan kallad dataskyddsförordningen).

2 Begäran har framställts i ett mål mellan NTH Haustechnik GmbH (nedan kallat NTH) och en av dess tidigare anställda EM angående ersättning för skada som detta bolag påstår sig ha lidit på grund av otillåten onlineförsäljning av egendom tillhörande bolaget.

Tillämpliga bestämmelser

Unionsrätt

3 Skälen 1, 2, 4, 7, 10, 20, 39 och 41 i dataskyddsförordningen har följande lydelse:

”(1) Skyddet för fysiska personer vid behandling av personuppgifter är en grundläggande rättighet. Artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan ) och artikel 16.1 [FEUF] föreskriver att var och en har rätt till skydd av de personuppgifter som rör honom eller henne.

(2) Principerna och reglerna för skyddet för fysiska personer vid behandling av deras personuppgifter bör, oavsett deras medborgarskap eller hemvist, respektera deras grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter. Avsikten med denna förordning är att bidra till att skapa ett område med frihet, säkerhet och rättvisa och en ekonomisk union, till ekonomiska och sociala framsteg, till förstärkning och konvergens av ekonomierna inom den inre marknaden samt till fysiska personers välbefinnande.

…

(4) Behandlingen av personuppgifter bör utformas så att den tjänar människor. Rätten till skydd av personuppgifter är inte en absolut rättighet; den måste förstås utifrån sin uppgift i samhället och vägas mot andra grundläggande rättigheter i enlighet med proportionalitetsprincipen. Denna förordning respekterar alla grundläggande rättigheter och iakttar de friheter och principer som erkänns i stadgan, såsom de fastställts i fördragen, särskilt skydd för privat- och familjeliv, bostad och kommunikationer, skydd av personuppgifter, tankefrihet, samvetsfrihet och religionsfrihet, yttrande- och informationsfrihet, näringsfrihet, rätten till ett effektivt rättsmedel och en opartisk domstol samt kulturell, religiös och språklig mångfald.

…

(7) Dessa förändringar kräver en stark och mer sammanhängande ram för dataskyddet inom unionen, uppbackad av kraftfullt tillsynsarbete, eftersom det är viktigt att skapa den tillit som behövs för att utveckla den digitala ekonomin över hela den inre marknaden. Fysiska personer bör ha kontroll över sina egna personuppgifter. Den rättsliga säkerheten och smidigheten för fysiska personer, ekonomiska operatörer och myndigheter bör stärkas.

…

(10) För att säkra en enhetlig och hög skyddsnivå för fysiska personer och för att undanröja hindren för flödena av personuppgifter inom [Europeiska] unionen bör nivån på skyddet av fysiska personers rättigheter och friheter vid behandling av personuppgifter vara likvärdig i alla medlemsstater. En konsekvent och enhetlig tillämpning av bestämmelserna om skydd av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter bör säkerställas i hela unionen. Vad gäller behandlingen av personuppgifter för att fullgöra en rättslig förpliktelse, för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning som utförs av den personuppgiftsansvarige, bör medlemsstaterna tillåtas att behålla eller införa nationella bestämmelser för att närmare fastställa hur bestämmelserna i denna förordning ska tillämpas. Jämte den allmänna och övergripande lagstiftning om dataskydd varigenom [Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31)] genomförs har medlemsstaterna flera sektorsspecifika lagar på områden som kräver mer specifika bestämmelser. Denna förordning ger dessutom medlemsstaterna handlingsutrymme att specificera sina bestämmelser, även för behandlingen av särskilda kategorier av personuppgifter … . Denna förordning utesluter inte att det i medlemsstaternas nationella rätt fastställs närmare omständigheter för specifika situationer där uppgifter behandlas, inbegripet mer exakta villkor för laglig behandling av personuppgifter.

…

(20) Eftersom denna förordning bland annat gäller för verksamhet inom domstolar och andra rättsliga myndigheter, skulle det i unionsrätt eller medlemsstaternas nationella rätt kunna anges vilken behandling och vilka förfaranden för behandling som berörs när det gäller domstolars och andra rättsliga myndigheters behandling av personuppgifter. Tillsynsmyndigheternas behörighet bör inte omfatta domstolars behandling av personuppgifter när detta sker inom ramen för domstolarnas dömande verksamhet, i syfte att säkerställa domstolsväsendets oberoende när det utför sin rättskipande verksamhet, inbegripet när det fattar beslut. Det bör vara möjligt att anförtro tillsynen över sådan behandling av uppgifter till särskilda organ inom medlemsstaternas rättsväsen, vilka framför allt bör säkerställa efterlevnaden av bestämmelserna i denna förordning, främja domstolsväsendets medvetenhet om sina skyldigheter enligt denna förordning och hantera klagomål relaterade till sådan behandling av uppgifter.

…

(39) Varje behandling av personuppgifter måste vara laglig och rättvis. Det bör vara klart och tydligt för fysiska personer hur personuppgifter som rör dem insamlas, används, konsulteras eller på annat sätt behandlas samt i vilken utsträckning personuppgifterna behandlas eller kommer att behandlas. Öppenhetsprincipen kräver att all information och kommunikation i samband med behandlingen av dessa personuppgifter är lättillgänglig och lättbegriplig samt att ett klart och tydligt språk används. Den principen gäller framför allt informationen till registrerade om den personuppgiftsansvariges identitet och syftet med behandlingen samt ytterligare information för att sörja för en rättvis och öppen behandling för berörda fysiska personer och deras rätt att erhålla bekräftelse på och meddelande om vilka personuppgifter rörande dem som behandlas. Fysiska personer bör göras medvetna om risker, regler, skyddsåtgärder och rättigheter i samband med behandlingen av personuppgifter och om hur de kan utöva sina rättigheter med avseende på behandlingen. De specifika ändamål som personuppgifterna behandlas för bör vara tydliga och legitima och ha bestämts vid den tidpunkt då personuppgifterna samlades in. Personuppgifterna bör vara adekvata, relevanta och begränsade till vad som är nödvändigt för de ändamål som de behandlas för. Detta kräver i synnerhet att det tillses att den period under vilken personuppgifterna lagras är begränsad till ett strikt minimum. Personuppgifter bör endast behandlas om syftet med behandlingen inte rimligen kan uppnås genom andra medel. …

…

(41) När det i denna förordning hänvisas till en rättslig grund eller lagstiftningsåtgärd, innebär detta inte nödvändigtvis en lagstiftningsakt antagen av ett parlament, utan att detta påverkar krav som uppställs i den konstitutionella ordningen i den berörda medlemsstaten. En sådan rättslig grund eller lagstiftningsåtgärd bör dock vara tydlig och precis och dess tillämpning bör vara förutsägbar för personer som omfattas av den, i enlighet med rättspraxis vid Europeiska unionens domstol ... och Europeiska domstolen för de mänskliga rättigheterna.”

4 I artikel 1 i dataskyddsförordningen, med rubriken ”Syfte”, anges följande:

”1. I denna förordning fastställs bestämmelser om skydd för fysiska personer med avseende på behandlingen av personuppgifter och om det fria flödet av personuppgifter.

2. Denna förordning skyddar fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter.

3. Det fria flödet av personuppgifter inom unionen får varken begränsas eller förbjudas av skäl som rör skyddet för fysiska personer med avseende på behandlingen av personuppgifter.”

5 Artikel 2 i samma förordning har rubriken ”Materiellt tillämpningsområde”. I artikel 2.1 och 2.2 föreskrivs följande:

”1. Denna förordning ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.

2. Denna förordning ska inte tillämpas på behandling av personuppgifter som

a) utgör ett led i en verksamhet som inte omfattas av unionsrätten,

b) medlemsstaterna utför när de bedriver verksamhet som omfattas av avdelning V kapitel 2 [FEU],

c) en fysisk person utför som ett led i verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll,

d) behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten.”

6 I artikel 4 i dataskyddsförordningen, med rubriken ”Definitioner”, föreskrivs följande:

”I denna förordning avses med

…

2) behandling : en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring,

…

6) register : en strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden,

…”

7 Kapitel II i dataskyddsförordningen, med rubriken ”Principer”, innehåller artiklarna 5–11.

8 Artikel 5 i förordningen har rubriken ”Principer för behandling av personuppgifter”. I artikel 5.1 föreskrivs följande:

”1. Vid behandling av personuppgifter ska följande gälla:

a) Uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (laglighet, korrekthet och öppenhet).

b) De ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska inte anses vara oförenlig med de ursprungliga ändamålen (ändamålsbegränsning).

c) De ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (uppgiftsminimering).

…

e) De får inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Personuppgifter får lagras under längre perioder i den mån som personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, under förutsättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt denna förordning genomförs för att säkerställa den registrerades rättigheter och friheter (lagringsminimering).

…”

9 Artikel 6 i dataskyddsförordningen, som har rubriken ”Laglig behandling av personuppgifter”, föreskriver följande:

”1. Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt:

a) Den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål.

b) Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås.

c) Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige.

d) Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person.

e) Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning.

f) Behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn.

Led f i första stycket ska inte gälla för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter.

2. Medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i denna förordning med hänsyn till behandling för att efterleva punkt 1 c och e genom att närmare fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling, inbegripet för andra specifika situationer då uppgifter behandlas i enlighet med kapitel IX.

3. Den grund för behandlingen som avses i punkt 1 c och e ska fastställas i enlighet med

a) unionsrätten, eller

b) en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av.

Syftet med behandlingen ska fastställas i den rättsliga grunden eller, i fråga om behandling enligt punkt 1 e, ska vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i denna förordning, bland annat: de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling, däribland för behandling i andra särskilda situationer enligt kapitel IX. Unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas.

4. Om en behandling för andra ändamål än det ändamål för vilket personuppgifterna samlades in inte grundar sig på den registrerades samtycke eller på unionsrätten eller medlemsstaternas nationella rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att skydda de mål som avses i artikel 23.1, ska den personuppgiftsansvarige för att fastställa huruvida behandling för andra ändamål är förenlig med det ändamål för vilket personuppgifterna ursprungligen samlades in bland annat beakta följande:

a) Kopplingar mellan de ändamål för vilka personuppgifterna har samlats in och ändamålen med den avsedda ytterligare behandlingen.

b) Det sammanhang inom vilket personuppgifterna har samlats in, särskilt förhållandet mellan de registrerade och den personuppgiftsansvarige.

c) Personuppgifternas art, särskilt huruvida särskilda kategorier av personuppgifter behandlas i enlighet med artikel 9 eller huruvida personuppgifter om fällande domar i brottmål och lagöverträdelser som innefattar brott behandlas i enlighet med artikel 10.

d) Eventuella konsekvenser för registrerade av den planerade fortsatta behandlingen.

e) Förekomsten av lämpliga skyddsåtgärder, vilket kan inbegripa kryptering eller pseudonymisering.”

10 Artikel 9 i dataskyddsförordningen, med rubriken ”Behandling av särskilda kategorier av personuppgifter”, stadgar följande:

”1. Behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska vara förbjuden.

2. Punkt 1 ska inte tillämpas om något av följande gäller:

…

f) Behandlingen är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk eller som en del av domstolarnas dömande verksamhet.

…

3. Personuppgifter som avses i punkt 1 får behandlas för de ändamål som avses i punkt 2 h, när uppgifterna behandlas av eller under ansvar av en yrkesutövare som omfattas av tystnadsplikt enligt unionsrätten eller medlemsstaternas nationella rätt eller bestämmelser som fastställs av nationella behöriga organ eller av en annan person som också omfattas av tystnadsplikt enligt unionsrätten eller medlemsstaternas nationella rätt eller bestämmelser som fastställs av nationella behöriga organ.

4. Medlemsstaterna får behålla eller införa ytterligare villkor, även begränsningar, för behandlingen av genetiska eller biometriska uppgifter eller uppgifter om hälsa.”

11 Kapitel III i dataskyddsförordningen, med rubriken ”Den registrerades rättigheter”, innehåller artiklarna 12–23.

12 Artikel 13 i förordningen, med rubriken ”Information som ska tillhandahållas om personuppgifterna samlas in från den registrerade”, föreskriver följande:

”1. Om personuppgifter som rör en registrerad person samlas in från den registrerade, ska den personuppgiftsansvarige, när personuppgifterna erhålls, till den registrerade lämna information om följande:

a) Identitet och kontaktuppgifter för den personuppgiftsansvarige och i tillämpliga fall för dennes företrädare.

b) Kontaktuppgifter för dataskyddsombudet, i tillämpliga fall.

c) Ändamålen med den behandling för vilken personuppgifterna är avsedda samt den rättsliga grunden för behandlingen.

d) Om behandlingen är baserad på artikel 6.1 f, den personuppgiftsansvariges eller en tredje parts berättigade intressen.

e) Mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna, i förekommande fall.

f) I tillämpliga fall att den personuppgiftsansvarige avser att överföra personuppgifter till ett tredjeland eller en internationell organisation och huruvida ett beslut av kommissionen om adekvat skyddsnivå föreligger eller saknas eller, när det gäller de överföringar som avses i artikel 46, 47 eller artikel 49.1 andra stycket, hänvisning till lämpliga eller passande skyddsåtgärder och hur en kopia av dem kan erhållas eller var dessa har gjorts tillgängliga.

2. Utöver den information som avses i punkt 1 ska den personuppgiftsansvarige vid insamlingen av personuppgifterna lämna den registrerade följande ytterligare information, vilken krävs för att säkerställa rättvis och öppen behandling:

a) Den period under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, de kriterier som används för att fastställa denna period.

b) Att det föreligger en rätt att av den personuppgiftsansvarige begära tillgång till och rättelse eller radering av personuppgifter eller begränsning av behandling som rör den registrerade eller att invända mot behandling samt rätten till dataportabilitet.

c) Om behandlingen grundar sig på artikel 6.1 a eller artikel 9.2 a, att det föreligger en rätt att när som helst återkalla sitt samtycke, utan att detta påverkar lagligheten av behandlingen på grundval av samtycket, innan detta återkallades.

d) Rätten att inge klagomål till en tillsynsmyndighet.

e) Huruvida tillhandahållandet av personuppgifter är ett lagstadgat eller avtalsenligt krav eller ett krav som är nödvändigt för att ingå ett avtal samt huruvida den registrerade är skyldig att tillhandahålla personuppgifterna och de möjliga följderna av att sådana uppgifter inte lämnas.

f) Förekomsten av automatiserat beslutsfattande, inbegripet profilering enligt artikel 22.1 och 22.4, varvid det åtminstone i dessa fall ska lämnas meningsfull information om logiken bakom samt betydelsen och de förutsedda följderna av sådan behandling för den registrerade.

3. Om den personuppgiftsansvarige avser att ytterligare behandla personuppgifterna för ett annat syfte än det för vilket de insamlades, ska den personuppgiftsansvarige före denna ytterligare behandling ge den registrerade information om detta andra syfte samt ytterligare relevant information enligt punkt 2.

4. Punkterna 1, 2 och 3 ska inte tillämpas om och i den mån den registrerade redan förfogar över informationen.”

13 I artikel 17 i dataskyddsförordningen, med rubriken ”Rätt till radering (’rätten att bli bortglömd’)”, föreskrivs följande:

”1. Den registrerade ska ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade och den personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera personuppgifter om något av följande gäller:

…

b) Den registrerade återkallar det samtycke på vilket behandlingen grundar sig enligt artikel 6.1 a eller artikel 9.2 a och det finns inte någon annan rättslig grund för behandlingen.

…

d) Personuppgifterna har behandlats på olagligt sätt.

…

3. Punkterna 1 och 2 ska inte gälla i den utsträckning som behandlingen är nödvändig av följande skäl:

…

e) För att kunna fastställa, göra gällande eller försvara rättsliga anspråk.”

14 Artikel 23 i dataskyddsförordningen, med rubriken ”Begränsningar”, anger följande:

”1. Det ska vara möjligt att i unionsrätten eller i en medlemsstats nationella rätt som den personuppgiftsansvarige eller personuppgiftsbiträdet omfattas av införa en lagstiftningsåtgärd som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna 12–22 och 34, samt artikel 5 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22, om en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa

…

e) andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse ...

f) skydd av rättsväsendets oberoende och rättsliga åtgärder,

…

i) skydd av den registrerade eller andras rättigheter och friheter”.

j) verkställighet av civilrättsliga krav.

2. Framför allt ska alla lagstiftningsåtgärder som avses i punkt 1 innehålla specifika bestämmelser åtminstone, när så är relevant, avseende

a) ändamålen med behandlingen eller kategorierna av behandling,

b) kategorierna av personuppgifter,

c) omfattningen av de införda begränsningarna,

d) skyddsåtgärder för att förhindra missbruk eller olaglig tillgång eller överföring,

e) specificeringen av den personuppgiftsansvarige eller kategorierna av personuppgiftsansvariga,

f) lagringstiden samt tillämpliga skyddsåtgärder med beaktande av behandlingens art, omfattning och ändamål eller kategorierna av behandling,

g) riskerna för de registrerades rättigheter och friheter, och

h) de registrerades rätt att bli informerade om begränsningen, såvida detta inte kan inverka menligt på begränsningen.”

Tysk rätt

Förbundsrepubliken Tysklands grundlag

15 Artikel 92 i Grundgesetz für die Bundesrepublik Deutschland (Förbundsrepubliken Tysklands grundlag) av den 23 maj 1949 (BGBl. 1949 I, s. 1) (nedan kallad grundlagen) föreskriver följande:

”Den dömande makten ska anförtros domstolarna. Den ska utövas av Bundesverfassungsgericht (Federala författningsdomstolen, Tyskland), av de federala domstolar som anges i denna grundlag och av delstaternas domstolar.”

Civilprocesslagen

16 I 138 § i Zivilprozessordnung (civilprocesslagen), i den lydelse som är tillämplig i det nationella målet (nedan kallad civilprocesslagen), med rubriken ”Skyldighet att förklara de faktiska omständigheterna och att hålla sig till sanningen”, föreskrivs följande:

”(1) Parterna ska lämna fullständiga och sanningsenliga uppgifter om de faktiska omständigheterna.

(2) Vardera parten ska yttra sig rörande de omständigheter som den andra parten har åberopat.

(3) Faktiska omständigheter som inte uttryckligen bestrids ska anses ha vitsordats, om det inte framgår av andra uttalanden från parten att denne hade för avsikt att bestrida dem.

(4) En förklaring om att en part saknar kännedom om en viss omständighet får endast avse sådana omständigheter som inte har varit föremål för partens eget handlande eller som denne inte haft kännedom om.”

17 286 § BGB har rubriken ”Fri bevisprövning” och föreskriver följande:

”(1) Rätten ska, med beaktande av allt som förekommit under förhandlingarna och av eventuell bevisupptagning, utifrån sin egen övertygelse avgöra om ett påstående om de faktiska omständigheterna ska anses vara sant eller osant. I domen ska de skäl som lett fram till rättens övertygelse anges.

(2) Domstolen ska endast vara bunden av lagstadgade bevisregler i de fall som anges i denna lag.”

18 355 § BGB, med rubriken, ”Omedelbarhet vid bevisupptagningen”, har följande lydelse:

”(1) Utredningen av målet ska äga rum vid den domstol som har att pröva målet i sak. Den får endast anförtros en ledamot av den domstolen eller en annan domstol i de fall som föreskrivs i denna lag.

(2) Ett beslut om bevisupptagning får inte överklagas.”

Den federala dataskyddslagen

19 I 3 § i Bundesdatenschutzgesetz (federala dataskyddslagen) av den 30 juni 2017 (BGBl. 2017 I, s. 2097), med rubriken ”Myndigheters behandling av personuppgifter”, i den lydelse som är tillämplig i målet vid den nationella domstolen, föreskrivs följande:

”Behandling av personuppgifter av ett offentligt organ är tillåten om den är nödvändig för att fullgöra en uppgift som omfattas av den personuppgiftsansvariges behörighet eller som ett led i myndighetsutövning som den personuppgiftsansvarige har fått i uppgift att utföra.

…”

20 I 26 § i den federala dataskyddslagen, i dess gällande lydelse i det nationella målet, med rubriken ”Behandling av uppgifter inom ramen för anställningsförhållanden”, anges följande:

”(1) Anställdas personuppgifter får behandlas för syften som är knutna till anställningsförhållandet om det är nödvändigt för att fatta beslut om ingående av ett anställningsförhållande eller efter det att ett anställningsförhållande har ingåtts för att genomföra eller avsluta anställningsförhållandet, samt för att utöva rättigheter eller fullgöra skyldigheter avseende de anställdas intressen vilka följer av lag, kollektivavtalsreglering, verksamhetsöverenskommelse eller tjänsteöverenskommelse (kollektivavtal). För att upptäcka brott får anställdas personuppgifter behandlas under förutsättning att det finns en misstanke som grundar sig på konkreta indikationer på att den registrerade har begått ett brott inom ramen för anställningsförhållandet, att behandlingen är nödvändig för att upptäcka brottet och att den eller de anställdas berättigade intresse av att utesluta behandling inte väger tyngre, och i synnerhet att behandlingens art och omfattning inte är oproportionerlig i förhållande till de skäl som ligger till grund för behandlingen.

(2) När behandlingen av de anställdas personuppgifter sker på grundval av ett samtycke ska, vid bedömningen av huruvida medgivandet har lämnats frivilligt, hänsyn tas bland annat till den anställdes beroendeställning i anställningsförhållandet och till de omständigheter under vilka samtycke har lämnats. Att samtycket är frivilligt kan framgå bland annat av att det föreligger en rättslig eller ekonomisk fördel för den anställde eller av att arbetsgivaren och den anställde har intressen som sammanfaller med varandra. Samtycket ska vara skriftligt eller elektroniskt, om inte annat är nödvändigt på grund av särskilda omständigheter. Arbetsgivaren är skyldig att skriftligen informera den anställde om syftet med behandlingen av uppgifterna och om den anställdes rätt enligt artikel 7.3 i [dataskyddsförordningen] att återkalla sitt samtycke.

…

(5) Den personuppgiftsansvarige ska vidta lämpliga åtgärder för att säkerställa att i synnerhet principerna i artikel 5 i [dataskyddsförordningen] för behandling av personuppgifter uppfylls.

(6) Deltaganderättigheterna för de organisationer som företräder de anställda förblir oförändrade.

(7) Punkterna 1–6 ska även tillämpas när personuppgifter, inbegripet särskilda kategorier av personuppgifter om anställda, behandlas utan att de ingår i eller är avsedda att ingå i ett register.

(8) Med anställda ska enligt denna lag förstås

1. arbetstagare, inbegripet arbetstagare som hyrs ut av bemanningsföretag i förhållande till användaren,

…”

Målet vid den nationella domstolen och tolkningsfrågorna

21 NTH, ett värme- och luftkonditioneringsföretag, anställde EM, som var gift med chefen för företaget.

22 Den 31 oktober 2019 upphörde anställningsförhållandet mellan NTH och EM. Därefter, fram till dess att EM separerade från chefen för företaget den 26 juni 2022, hade hon fortsatt tillträde till företagets lokaler och kunde använda de datorer som fanns där.

23 Omedelbart efter separationen konstaterade NTH, som agerade huvudsakligen genom sin anställde F., som är son till chefen för företaget och till EM, att EM via e-handelsplattformen eBay för egen räkning hade sålt egendom som NTH gör anspråk på äganderätt till, till ett sammanlagt återförsäljningsvärde om 13 217,09 euro. Med hänsyn till inköpspriset för denna egendom och de administrativa kostnader som uppkommit till följd av behovet av att ersätta denna egendom, har NTH uppgett sig ha lidit en skada på totalt 46 567,91 euro.

24 EM har bestritt att hon sålt nämnda egendom utan NTH:s vetskap. Denna egendom utgjordes nämligen i huvudsak antingen varor som returnerats av kunder eller varor med säkerhetsbrister eller utgångna varor som inte kunde användas och som således inte längre hade något värde för NTH. NTH hade överlåtit dem kostnadsfritt till EM, som sålde dem för att betala för kostnaderna för hennes och chefen för NTH:s gemensamma hushåll.

25 Landesarbeitsgericht Niedersachsen (Arbetsöverdomstolen för Niedersachsen, Tyskland), som är den hänskjutande domstolen, har angett att NTH fick kännedom om EM:s försäljningar genom att logga in på EM:s privata konto på e-handelsplattformen eBay. För att göra detta använde den anställde F. EM:s användarnamn och lösenord på denna handelsplattform.

26 Vad gäller hur F. fick kännedom om användarnamnet och lösenordet, har NTH:s chef uppgett att F. fick information om EM:s användning av plattformen genom att konsultera navigeringshistoriken på den dator som användes av EM, och att F. fick kännedom om lösenordet genom att konsultera en ”familjemapp” som skapats på dess server. EM har å sin sida hävdat att hon inte har behållit samma lösenord i NTH:s datalagringsutrymmen. Tvärtom har hon anfört att NTH:s chef uppgett sig ha förlorat den mobiltelefon, registrerad i företagets namn, som hon använde, för att kunna begära ett nytt SIM-kort ( Subscriber Identity Module ) från teleoperatören, vilket gjorde det möjligt för honom att använda det telefonnummer som var kopplat till den telefonen för att ändra lösenordet på hennes privata eBay-konto och få tillgång till det.

27 Den hänskjutande domstolen anser att den insamling och lagring av uppgifter som utförts av NTH, varigenom företaget fick kännedom om motpartens försäljning på e-handelsplattformen eBay, har skett olagligen.

28 Den hänskjutande domstolen har under alla omständigheter angett att den är benägen att anse att de uppgifter som NTH samlat in utgör behandling av personuppgifter i den mening som avses i dataskyddsförordningen.

29 Enligt den hänskjutande domstolen är det emellertid inte möjligt att utifrån EU-domstolens praxis klart avgöra, för det första, huruvida bestämmelserna i tysk processrätt är tillräckligt precisa för att uppfylla kraven i dataskyddsförordningen, bland annat vad gäller de kriterier som ska tillämpas för att avgöra under vilka omständigheter användningen av sådana uppgifter är förbjuden, därefter huruvida de tyska domstolarna kan stödja sig på artikel 17.3 e i dataskyddsförordningen i sin dömande verksamhet för att behandla dessa uppgifter, och slutligen vilka kriterier som ska ligga till grund för en närmare bedömning av om den personuppgiftsbehandling som utförs inom ramen för denna funktion är tillåten, särskilt när, såsom i förevarande fall, uppgifter kan ha samlats in olagligt av en part.

30 Den hänskjutande domstolen har för det första påpekat att enligt artikel 6.3 första stycket i dataskyddsförordningen ska grunden för den behandling som avses i artikel 6.1 första stycket c och e i förordningen i avsaknad av unionsbestämmelser fastställas i enlighet med en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av och som enligt den hänskjutande domstolens tolkning av artikel 6.3 andra stycket ska definiera ändamålen med behandlingen. Enligt den hänskjutande domstolen framgår det också av EU-domstolens praxis enligt domen av den 24 februari 2022, Valsts ieņēmumu dienests (Behandling av personuppgifter för skatteändamål) (C‑175/20, EU:C:2022:124, punkt 83), att för att uppfylla det proportionalitetskrav som artikel 5.1 c i dataskyddsförordningen är ett specifikt uttryck för, måste de föreskrifter som ligger till grund för behandlingen innehålla tydliga och precisa bestämmelser som reglerar räckvidden och tillämpningen av den aktuella åtgärden samt ange minimikrav, och i synnerhet ange under vilka omständigheter och på vilka villkor en åtgärd för behandling av sådana uppgifter får vidtas.

31 Den hänskjutande domstolen vill således få klarlagt om artikel 6.3 andra stycket i dataskyddsförordningen ska tolkas så, att när en domstol i sin dömande verksamhet vidtar en åtgärd som innebär ett ingrepp i en parts grundläggande rättigheter och behandlar uppgifter som har samband därmed, räcker det att uppgiftsbehandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning, eller om det, bland annat med beaktande av artikel 8.2 i stadgan, finns anledning att kräva att den rättsliga grunden för nämnda behandling innehåller preciseringar av de omständigheter och villkor under vilka de uppgifter som parterna har lämnat in kan användas av den domstolen.

32 För det fall EU-domstolen skulle komma fram till att domstolsåtgärder avseende uppgiftsbehandling som innebär intrång i grundläggande rättigheter ska grundas på lagbestämmelser som innehåller sådana preciseringar, vill den hänskjutande domstolen få klarlagt om sådana nationella bestämmelser som de som är aktuella i det nationella målet uppfyller kraven i dataskyddsförordningen. Dessa regler innehåller nämligen inte några uppgifter om vilka villkor som ska vara uppfyllda, eller vilka kriterier som ska vägas mot varandra, för att en domstol ska kunna fastställa huruvida det är tillåtet för en domstol att beakta de faktiska omständigheter som en part har åberopat eller att ta upp bevisning som denna part har åberopat. Den hänskjutande domstolen vill särskilt få klarlagt vilken inverkan det har att det saknas bestämmelser om sådana fall där den berörda parten olagligt har erhållit de personuppgifter som den grundar sig på och sådana fall där den stöder sig på bevisning som erhållits genom olaglig användning av personuppgifter. Den hänskjutande domstolen vill även få klarlagt vilken inverkan det har att de regler som i tysk rätt reglerar användningen av sådana uppgifter uteslutande har utvecklats i rättspraxis.

33 För det andra har den hänskjutande domstolen påpekat att Bundesarbeitsgericht (Federala arbetsdomstolen, Tyskland) i sin praxis har angett att det tydligt följer av artikel 17 i dataskyddsförordningen att en domstol kan behandla personuppgifter även om en parts insamling av dessa uppgifter i ett administrativt eller utomrättsligt skede visar sig vara olaglig enligt dataskyddsförordningen eller tillämplig nationell dataskyddslagstiftning, och att det därför inte funnits anledning att begära ett förhandsavgörande från EU-domstolen.

34 Även om artikel 17.3 e i dataskyddsförordningen föreskriver ett undantag från rätten till radering av olagligt behandlade uppgifter, i den mån behandlingen är ”nödvändig” för att kunna fastställa, göra gällande eller försvara rättsliga anspråk, avser denna bestämmelse, enligt Bundesarbeitsgericht, emellertid endast denna rätt till radering.

35 Under alla omständigheter anser den hänskjutande domstolen att det finns anledning att fråga sig om artikel 6.1 e eller artikel 9.2 f i dataskyddsförordningen utgör grunden för de nationella domstolarnas behandling av personuppgifter i deras dömande verksamhet eller om de även kan grunda sig på artikel 17.3 e i dataskyddsförordningen.

36 För det fall EU-domstolen skulle komma fram till att artikel 17.3 e i dataskyddsförordningen kan utgöra en sådan grund för behandling som utförs inom ramen för de nationella domstolarnas dömande verksamhet, vill den hänskjutande domstolen få klarlagt hur denna bestämmelse ska tillämpas och om den medför ett förbud mot att använda uppgifterna, till exempel när den ursprungliga insamlingen av uppgifter inte har dolts och den har använts för att fastställa att en skyldighet har åsidosatts uppsåtligen.

37 För det tredje vill den hänskjutande domstolen få klarlagt vilka materiella kriterier som ska gälla för uppgiftsbehandling inom ramen för en dömande verksamhet.

38 Den hänskjutande domstolen frågar sig först om de nationella domstolarna, när det gäller uppgifter som erhållits olagligen, men vilkas äkthet och materiella riktighet inte i sig har bestritts, ska göra en proportionalitetsprövning och en fördjupad avvägning mellan de föreliggande intressena. Den frågar sig även om dessa domstolar också ska bedöma om det ska göras åtskillnad mellan en sådan situation och en situation där den andra parten bestrider såväl det sätt som de aktuella uppgifterna erhållits på, genom att kvalificera det som olagligt, som deras äkthet och/eller materiella riktighet.

39 Den hänskjutande domstolen har därefter understrukit att EM inte hade använt NTH:s it-system på länge när företaget samlade in vissa av de uppgifter som fanns lagrade där, för användning i det nationella målet. Den hänskjutande domstolen har vidare påpekat att artikel 5.1 e i dataskyddsförordningen föreskriver att personuppgifter endast får lagras så länge som är nödvändigt för ändamålet med behandlingen. Den hänskjutande domstolen vill därför få klarlagt vilka slutsatser som ska dras för tillämpningen av denna bestämmelse av att dessa uppgifter samlats in långt tidigare, eller till och med lagrats under en lång period, och slutligen av att det förelåg avtalsförpliktelser avseende radering vilka inte iakttagits.

40 Den hänskjutande domstolen vill vidare få klarlagt om det räcker att en part gör gällande att åberopandet av bevisningen är av allmänt samhällsintresse eller om unionsrätten fordrar att även andra aspekter beaktas, av vilka det framgår att intresset av bevisupptagningen förtjänar skydd trots att den andra partens rätt har kränkts.

41 Den hänskjutande domstolen frågar sig också om klaganden/arbetsgivaren i en sådan situation som den aktuella kan åberopa artikel 47.2 i stadgan för att motivera insamlingen och behandlingen av de personuppgifter som vederbörande har utfört, samt vilka slutsatser som ska dras av att arbetsgivaren eventuellt inte har iakttagit sin informationsskyldighet enligt artikel 13 i dataskyddsförordningen.

42 Den hänskjutande domstolen har avslutningsvis påpekat att EU-domstolen i punkt 55 i sin dom av den 2 mars 2023, Norra Stockholm Bygg (C‑268/21, EU:C:2023:145), fann att en nationell domstol för att beakta artikel 5.1 i dataskyddsförordningen och särskilt principen om ”uppgiftsminimering” i artikel 5.1 c måste fastställa om ett utlämnande av personuppgifter är adekvat och relevant för att säkerställa det mål som eftersträvas med de tillämpliga bestämmelserna i nationell rätt och om inte detta mål kan uppnås genom bevismedel som är mindre ingripande med avseende på skyddet av ett stort antal individers personuppgifter, exempelvis genom att höra valda vittnen. Den hänskjutande domstolen vill således få klarlagt om denna lösning kan överföras på förevarande fall, eftersom exempelvis uppgifter om köpare på e-handelsplattformen eBay skulle kunna beröras.

43 Mot denna bakgrund beslutade Landesarbeitsgericht Niedersachsen (Arbetsöverdomstolen för Niedersachsen) att vilandeförklara målet och ställa följande frågor till EU-domstolen:

”1) Uppfyller bestämmelserna i artikel 92 i den tyska grundlagen jämförd med 138, 286, 355 och följande §§ i civilprocesslagen det krav på precision som följer av artiklarna 8.2 och 52.1 i [stadgan], jämförda med artikel 5.1 c i [dataskyddsförordningen], i en situation där fråga är om behandling av personuppgifter inom ramen för självständig dömande verksamhet som omfattas av artikel 6.1 e och 6.3 i dataskyddsförordningen, i den mån som domstolens behandling av personuppgifter innebär ett ingrepp i en parts eller tredje mans grundläggande rättigheter?

2 a) Kan en nationell domstol vid behandling av uppgifter – särskilt personuppgifter – göra gällande att behandlingen är tillåten enligt artikel 17.3 e i dataskyddsförordningen, eller utgör artiklarna 6 och 9 i dataskyddsförordningen den enda rättsliga grunden för behandling som utförs som en del av dömande verksamhet?

b) Om artikel 17.3 e i dataskyddsförordningen i princip kan utgöra rättslig grund för behandling i samband med dömande verksamhet:

aa) Gäller detta även i situationer där en part eller tredje man ursprungligen samlat in uppgifterna på ett olagligt sätt?

bb) Innebär den allmänt tillämpliga principen om korrekthet (artikel 5.1 a i dataskyddsförordningen), i en situation som omfattar behandling av personuppgifter som ursprungligen samlats in olagligt, att sekundärrätten begränsar behandling som utförs som en del av dömande verksamhet på så sätt att artikel 17.3 e i förordningen endast är tillämplig under vissa förutsättningar eller inom vissa gränser?

cc) Ska artikel 17.3 e i dataskyddsförordningen tolkas på så sätt att ett förbud mot att en domstol använder uppgifter som ursprungligen erhållits på ett olagligt sätt inte ska tillämpas – och att domstolen således under alla omständigheter ska använda dessa uppgifter – om den ursprungliga insamlingen av uppgifter inte skedde på ett förtäckt sätt och genomfördes i syfte att bevisa en uppsåtlig överträdelse av skyldigheter?

3) Oavsett huruvida behandling av personuppgifter inom ramen för dömande verksamhet omfattas av artikel 17.3 e i dataskyddsförordningen eller av artikel 6.1 c eller e, artikel 6.3, eller artikel 9 i förordningen, eller andra unionsrättsliga bestämmelser:

a) Är det möjligt att från de dataskyddsrättsliga principerna om nödvändighet och uppgiftsminimering enligt artikel 52.1 andra meningen i stadgan, jämförd med artikel 5.1 a i dataskyddsförordningen, härleda ett krav på att domstolarna genomför en fullständig proportionalitetsprövning och avvägning, i synnerhet när det är fråga om behandling av uppgifter som ursprungligen samlats in eller lagrats på ett olagligt sätt?

b) Vilken betydelse har artikel 5.1 e i dataskyddsförordningen, i vilken det föreskrivs att personuppgifter endast får lagras så länge som är nödvändigt för ändamålet med behandlingen, för en senare behandling av personuppgifter i samband med dömande verksamhet, särskilt i fall där

– uppgifterna ursprungligen insamlades för andra ändamål, eller

– den ursprungliga, olagliga insamlingen av uppgifter ägde rum för länge sedan, eller

– en otillåten lagring fortsatte under en längre tidsperiod, eller

– den olagliga insamlingen av uppgifter avsåg uppgifter som lagrades för länge sedan, i förekommande fall otillåtet, eller

– det organ eller den person som behandlar eller samlar in uppgifterna, antingen ensidigt eller genom ett individuellt avtal eller kollektivavtal, har åtagit sig att radera uppgifterna inom en viss tid, men inte har genomfört raderingen?

c) Följer det av unionsrätten, i synnerhet av artikel 8 i [stadgan], artikel 6.1 c och e, artikel 6.3 och artikel 9 i dataskyddsförordningen, att den nationella domstolen endast får använda bevisning som har erhållits i strid med skyddet för personuppgifter om parten som har bevisbördan har ett berättigat intresse av att få lägga fram bevisningen som går utöver ett rent bevisintresse, eller innehåller unionsrätten inte några bestämmelser i detta avseende, vilket innebär att det ankommer på den nationella rättsordningen att reglera denna fråga?

d) Följer det av artikel 47 andra stycket i stadgan, vilken garanterar rätten till ett effektivt domstolsskydd och i synnerhet till en rättvis rättegång och således innebär att parterna i ett tvistemål i princip på ett tillfredsställande sätt ska kunna visa att de har ett rättsligt intresse och lägga fram bevisning för sin sak, att domstolens behandling av personuppgifter beträffande en arbetstagare som väckt talan, vilka olagligen insamlats av arbetsgivaren, endast kan anses vara olämplig och oproportionerlig i strikt mening under förutsättning att insamlingen av uppgifterna enligt unionsrätten visar sig vara en allvarlig överträdelse av artiklarna 7 och 8 i [stadgan], och att andra möjliga påföljder för arbetsgivaren (till exempel ersättning enligt artikel 82 i dataskyddsförordningen eller påförande av administrativa sanktionsavgifter enligt artikel 83 i samma förordning) skulle vara helt otillräckliga, eller kan behandlingen anses vara olämplig och oproportionerlig redan till följd av mindre allvarliga åsidosättanden av rätten till skydd av personuppgifter i samband med den ursprungliga insamlingen av uppgifter?

e) Ska domstolen, vid bedömningen av huruvida den inom ramen för sin dömande verksamhet ska använda uppgifter som ursprungligen samlats in av en part eller tredje man, även ta hänsyn till huruvida den som samlat in uppgifterna har uppfyllt sin informationsskyldighet enligt artikel 13 i dataskyddsförordningen? Om så är fallet: Under vilka förutsättningar och enligt vilka kriterier ska domstolen ta hänsyn till detta?

f) Innebär den omständigheten att domstolen är bunden av dataskyddsförordningen och [stadgan] i samband med behandling av personuppgifter att även tredje mans personuppgifter omfattas? På vilket sätt påverkar en eventuell överträdelse av tredje mans rätt till skydd av personuppgifter vid den ursprungliga insamlingen en domstols senare behandling av personuppgifterna i samband med en tvist mellan två parter? Kan en part åberopa en överträdelse som inte begåtts gentemot denne utan i förhållande till tredje man, eller är så inte fallet?”

Prövning av tolkningsfrågorna

Huruvida tolkningsfrågorna kan tas upp till prövnin g

44 EU-domstolen erinrar inledningsvis om att även om nationella domstolars frågor om tolkningen av unionsrätten – vilka ställs mot bakgrund av den beskrivning av omständigheterna i målet och tillämplig lagstiftning som den nationella domstolen på eget ansvar har lämnat och vars riktighet det inte ankommer på EU-domstolen att pröva – enligt fast rättspraxis presumeras vara relevanta, kan sådana frågor inte tas upp till sakprövning om det är uppenbart att den begärda tolkningen av unionsrätten inte har något samband med de verkliga omständigheterna eller saken i det nationella målet eller om frågorna är hypotetiska eller EU-domstolen inte har tillgång till sådana uppgifter om de faktiska eller rättsliga omständigheterna som är nödvändiga för att kunna ge ett användbart svar på de frågor som ställts till den (se, i detta avseende, dom av den 18 juni 2024, Bundesrepublik Deutschland (Verkan av ett beslut om beviljande av flyktingstatus), C‑753/22, EU:C:2024:524, punkt 44 och där angiven rättspraxis).

45 I förevarande fall ska det påpekas att den hänskjutande domstolen i sina frågor upprepade gånger har hänvisat till artikel 9 i dataskyddsförordningen, som rör vissa särskilda kategorier av personuppgifter, nämligen uppgifter om ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning.

46 Eftersom det framgår av handlingarna i målet att det nationella målet inte rör sådana uppgifter, kan de tolkningsfrågor som den hänskjutande domstolen har ställt inte tas upp till sakprövning i den del de avser tolkningen av artikel 9 i dataskyddsförordningen.

Den första frågan

47 Det ska inledningsvis påpekas att den fråga som ställts vilar på antagandet att behandling av personuppgifter som utförs av en domstol som ett led i dess dömande verksamhet enbart kan grundas på artikel 6.1 e i dataskyddsförordningen, vilken avser behandling av personuppgifter som är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning.

48 Det är emellertid utrett att flera alternativa laglighetsvillkor i vissa situationer kan vara tillämpliga på samma behandling.

49 Även om viss behandling av personuppgifter som utförs av en domstol kan anses vara nödvändig för att utföra en sådan uppgift av allmänt intresse eller som ett led i utövandet av en sådan myndighet, är den behandling av personuppgifter som en domstol kan utföra, såsom i det nationella målet, i samband med parternas bevisföring, i princip nödvändig för att fullgöra en rättslig förpliktelse som åvilar den domstolen, det vill säga skyldigheten att pröva huruvida bevisningen är tillåten och, när bevisningen har förklarats vara tillåten enligt de kriterier som föreskrivs för detta ändamål i nationell rätt, skyldigheten att beakta den när den avgör målet.

50 EU-domstolen anser därför att det, för att kunna ge den hänskjutande domstolen ett användbart svar, är nödvändigt att pröva de olika frågor som ställts till den i förevarande mål mot bakgrund av artikel 6.1 c i dataskyddsförordningen, snarare än mot bakgrund av artikel 6.1 e i samma förordning.

51 Under dessa omständigheter ska den hänskjutande domstolen anses ha ställt den första frågan för att få klarhet i huruvida artikel 6.1 första stycket c och 6.3 i dataskyddsförordningen jämförd med artiklarna 8.2 och 52 i stadgan ska tolkas så, att den utgör hinder för en nationell lagstiftning som, vad gäller en domstols användning av personuppgifter i samband med sin prövning av de faktiska omständigheterna och bevisupptagning endast föreskriver att det ankommer på parterna att lägga fram utförliga och sanningsenliga faktiska omständigheter och att ålägga den domstolen att fullt ut beakta dessa innan den i förekommande fall gör en bedömning, utan att ange under vilka omständigheter och på vilka villkor de omständigheter och bevis som lagts fram av de parter som innehåller personuppgifter får användas av nämnda domstol.

52 Domstolen erinrar för det första om att det på unionsrättens nuvarande stadium förvisso enbart är en fråga för nationell rätt att bestämma reglerna rörande tillåtlighet och prövning av faktiska omständigheter och bevisning (se, i detta avseende, dom av den 6 oktober 2020, La Quadrature du Net m.fl., C‑511/18, C‑512/18 och C‑520/18, EU:C:2020:791, punkt 223, och dom av den 5 april 2022, Commissioner of An Garda Síochána m.fl., C‑140/20, EU:C:2022:258, punkt 127).

53 Enligt artikel 2.1 i dataskyddsförordningen ska förordningen, med förbehåll för vissa fall som anges i artikel 2.2 och 2.3 i förordningen, tillämpas på sådan ”behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register”. Eftersom behandling som utförs av domstolar och andra rättsliga myndigheter inte ingår bland de fall som avses i artikel 2.2 och 2.3, kan nämnda förordning således – såsom för övrigt bekräftas av skäl 20 i förordningen – vara tillämplig på behandling som utförs av dessa domstolar och dessa myndigheter.

54 I artikel 4 led 2 i dataskyddsförordningen definieras ”behandling” som en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring.

55 Användningen av uttrycket ”en åtgärd” där innebär att unionslagstiftaren haft för avsikt att ge begreppet behandling en vidsträckt räckvidd (dom av den 5 december 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punkt 50 och där angiven rättspraxis).

56 För att en behandling av personuppgifter ska omfattas av dataskyddsförordningens tillämpningsområde krävs det visserligen, enligt artikel 2.1 i förordningen, att behandlingen helt eller delvis företas på automatisk väg eller, om behandlingen inte sker på automatisk väg, att de berörda uppgifterna ingår i eller kommer att ingå i ett register.

57 En behandling av personuppgifter ska anses vara helt eller delvis automatiserad i den mening som avses i denna bestämmelse när den innebär användning av tekniska åtgärder utan mänsklig medverkan (se, i detta avseende och analogt, dom av den 6 november 2003, Lindqvist, C‑101/01, EU:C:2003:596, punkt 26).

58 I artikel 4 led 6 definieras begreppet register som en strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden.

59 Även om frågan huruvida bevisning får åberopas inte omfattas av dataskyddsförordningen, ska en domstol anses utföra en behandling av personuppgifter i förordningens mening bland annat när den lägger handlingar som innehåller personuppgifter till en akt, såsom den i det nationella målet, när akten omfattas av begreppet register i den mening som avses i artiklarna 2.1 och 4 led 6 i dataskyddsförordningen.

60 När sådana handlingar översänds till en domstol digitalt och den domstolen läser, tar fram, lagrar eller använder personuppgifter, utför den också en behandling i den mening som avses i dataskyddsförordningen.

61 Det ska särskilt påpekas att eftersom varje överföring av uppgifter till en annan personuppgiftsansvarig än den föregående personuppgiftsansvarige leder till en motsvarande insamling av uppgifter av den förstnämnde (se, i detta avseende, dom av den 30 april 2024, La Quadrature du Net m.fl. (Personuppgifter och bekämpning av upphovsrättsintrång), C‑470/21, EU:C:2024:370, punkt 62), ska en domstol anses utföra en sådan insamling när den, på grundval av elektroniska handlingar som en part har översänt till den, samlar in vissa personuppgifter i dessa handlingar.

62 I förevarande fall ankommer det på den hänskjutande domstolen att, mot bakgrund av det ovan anförda, kontrollera att den behandling av personuppgifter som är aktuell i det nationella målet kan anses omfattas av dataskyddsförordningens tillämpningsområde, antingen eftersom den är eller kommer att vara tillgänglig i akten i det målet enligt särskilda kriterier, eller därför att den helt eller delvis företas på automatisk väg, vilket bland annat är fallet om den översända bevisningen har överförts digitalt och behandlingen har bestått i att läsa, ta fram, lagra eller använda personuppgifter på grundval av denna bevisning.

63 Det ska påpekas att huvudsyftet med dataskyddsförordningen, såsom framgår bland annat av artikel 1 samt skälen 1, 2, 7 och 10 i förordningen, är att säkerställa en hög nivå på skyddet av fysiska personers grundläggande fri- och rättigheter, särskilt deras rätt till skydd för privatlivet vid behandling av personuppgifter, i enlighet med artikel 8.1 i stadgan och artikel 16.1 FEUF (se, i detta avseende, dom av den 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:858, punkt 26 och där angiven rättspraxis).

64 Enligt detta syfte måste all behandling av personuppgifter som omfattas av dataskyddsförordningens tillämpningsområde, för att vara laglig, vara förenlig med de principer som anges i kapitel II i förordningen och med de registrerades rättigheter enligt kapitel III i förordningen (se, i detta avseende, dom av den 2 mars 2023, Norra Stockholm Bygg, C‑286/21, EU:C:2023:145, punkt 43 och där angiven rättspraxis).

65 Enligt artikel 6.1 första stycket i dataskyddsförordningen är behandling av personuppgifter som omfattas av förordningens tillämpningsområde endast laglig om och i den mån som åtminstone ett av de laglighetsvillkor som anges i den bestämmelsen är uppfyllt (se, i detta avseende, dom av den 5 juni 2023, kommissionen/Polen (Domares oavhängighet och privatliv), C‑204/21, EU:C:2023:442, punkt 335, och där angiven rättspraxis).

66 När det gäller en behandling som grundar sig på det alternativa laglighetsvillkoret i artikel 6.1 första stycket c i dataskyddsförordningen, preciserar artikel 6.3 första stycket i dataskyddsförordningen att grunden för denna behandling ska fastställas i unionsrätten eller i en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av.

67 Artikel 6.3 första stycket i dataskyddsförordningen kräver således att en behandling av personuppgifter som utförs på grundval av detta alternativa laglighetsvillkor ska ha en rättslig grund i nationell rätt, eftersom unionsrätten inte reglerar formerna för att lägga fram de faktiska omständigheterna och för bevisupptagningen vid nationella domstolar (se, i detta avseende, dom av den 2 mars 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, punkt 32).

68 Vad gäller den form och det innehåll som denna rättsliga grund ska ha, med förbehåll för de krav som är knutna till det fall som avses i artikel 6.3 tredje meningen i dataskyddsförordningen, är denna bestämmelse begränsad till att, när det gäller sådan behandling som avses i artikel 6.1 första stycket c i förordningen, fordra att ändamålen med behandlingen fastställs i nämnda rättsliga grund, att samma rättsliga grund svarar mot ett mål av allmänt intresse och att den står i proportion till detta mål.

69 Det framgår däremot inte av artikel 6.3 i dataskyddsförordningen eller någon annan bestämmelse i förordningen att det syfte som eftersträvas med den rättsliga grunden i nationell rätt ska anges i denna. Med ”syfte” ska förstås de allmänna ändamål som eftersträvas med behandlingen i fråga och med ”ändamål” de specifika och konkreta ändamålen för behandlingen (se, i detta avseende, dom av den 20 november 2025, Policejní prezidium (Lagring av biometriska och genetiska uppgifter), C‑57/23, EU:2025:905, punkt 81).

70 När lagstiftaren i en medlemsstat antar en rättslig grund som tillåter behandling med stöd av artikel 6.1 första stycket c i dataskyddsförordningen, tillämpar lagstiftaren unionsrätten. Det innebär att en sådan rättslig grund enligt artikel 51 i stadgan måste vara förenlig med stadgan.

71 Såsom den hänskjutande domstolen har betonat har EU-domstolen dragit den slutsatsen av artikel 8.2 i stadgan – en bestämmelse som i sig själv enbart återspeglar och konkretiserar kravet i artikel 52 i stadgan att varje begränsning i utövandet av de grundläggande rättigheter som erkänns i stadgan bland annat ska vara föreskriven i lag (se, i detta avseende, dom av den 20 november 2025, Policejní prezidium (Lagring av biometriska och genetiska uppgifter), C‑57/23, EU:C:2025:905, punkt 51) – att varje rättslig grund som medger ett ingrepp i rätten till skydd för personuppgifter ska vara definierad i själva den rättsliga grund som tillåter ingreppet (se, i detta avseende, dom av den 6 oktober 2020, Privacy International, C‑623/17, EU:C:2020:790, punkt 65 och där angiven rättspraxis).

72 Domstolen har dessutom, vad gäller kravet i artikel 52 i stadgan, slagit fast att varje ingrepp i rätten till skydd av personuppgifter måste ske med iakttagande av proportionalitetsprincipen, vilket fordrar att all lagstiftning som ger upphov till ett sådant ingrepp innehåller klara och precisa bestämmelser som reglerar räckvidden och tillämpningen av den aktuella åtgärden och föreskriver minimikrav, så att de personer vilkas personuppgifter behandlas har tillräckliga garantier för att på ett effektivt sätt kunna skydda dessa uppgifter mot riskerna för missbruk samt mot otillåten åtkomst och användning (se, i detta avseende, dom av den 24 februari 2022, Valsts ieņēmumu dienests (Behandling av personuppgifter för skatteändamål) , C‑175/20, EU:C:2022:124, punkt 55 och där angiven rättspraxis, och dom av den 16 november 2023, Roos m.fl./parlamentet , C‑458/22 P, EU:C:2023:871, punkt 69, och där angiven rättspraxis).

73 Dessa föreskrifter måste även vara rättsligt bindande enligt nationell rätt och i synnerhet ange under vilka omständigheter och på vilka villkor en åtgärd för behandling av sådana uppgifter får vidtas, vilket säkerställer att ingreppet begränsas till vad som är strikt nödvändigt (se, i detta avseende, dom av den 16 juli 2020, Facebook Ireland och Schrems, C‑311/18, EU:C:2020:559, punkt 176 och där angiven rättspraxis).

74 Domstolen har dock även preciserat, med hänvisning till fast praxis från Europadomstolen för de mänskliga rättigheterna, att termen lag, som används i artikel 8.2 i stadgan, i uttrycket ”lagenlig grund”, ska förstås enligt sin materiella, inte formella betydelse (se, i detta avseende, dom av den 16 november 2023, Roos m.fl./parlamentet, C‑458/22 P, EU:C:2023:871, punkt 61 och där angiven rättspraxis).

75 Enligt denna praxis från Europadomstolen innebär vidare denna betydelse av termen lag i uttrycket ”med stöd av lag” i artikel 8.2 i Europakonventionen att termen avser den gällande lydelsen av en lag såsom den tolkats av behöriga domstolar (se, i detta avseende, Europadomstolen, 23 januari 2025, H.W. mot Frankrike, CE:ECHR:2025:0123JUD001380521, § 65).

76 Skäl 41 i dataskyddsförordningen nämner för övrigt uttryckligen att när förordningen hänvisar till en rättslig grund eller lagstiftningsåtgärd, innebär detta inte nödvändigtvis att det krävs en lagstiftningsakt antagen av ett parlament, med förbehåll för de krav som uppställs i den konstitutionella ordningen i den berörda medlemsstaten. En sådan rättslig grund eller lagstiftningsåtgärd bör dock vara tydlig och precis, och dess tillämpning bör vara förutsägbar för personer som omfattas av den, i enlighet med EU-domstolens och Europadomstolens praxis.

77 Kravet i artikel 6.3 i dataskyddsförordningen på att föreskriva en rättslig grund för all behandling som grundar sig på de alternativa villkor för laglig behandling som föreskrivs i artikel 6.1 första stycket c och e i förordningen ska således förstås så, att det inte nödvändigtvis innebär att det föreligger en lagstiftningsakt, eftersom begreppet ”en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av” även kan innefatta nationell rättspraxis, förutsatt att denna är klar och precis och att dess tillämpning är förutsebar för enskilda (se, i detta avseende, dom av den 12 september 2024, HTB Neunte Immobilien Portfolio och Ökorenta Neue Energien Ökostabil IV, C‑17/22 och C‑18/22, EU:C:2024:738, punkterna 71 och 72).

78 Eftersom artikel 6.3 andra stycket i dataskyddsförordningen fordrar att den rättsliga grunden för uppgiftsbehandlingen i fråga uppfyller ett mål av allmänt intresse och är proportionell mot det legitima mål som eftersträvas (se, i detta avseende, dom av den 12 september 2024, HTB Neunte Immobilien Portfolio och Ökorenta Neue Energien Ökostabil IV, C‑17/22 och C‑18/22, EU:C:2024:738, punkt 73 och där angiven rättspraxis).

79 I förevarande fall framgår det av begäran om förhandsavgörande att de lagbestämmelser som är aktuella i det nationella målet inte föreskriver vilka villkor som ska vara uppfyllda för att bevisning eller omständigheter som innehåller personuppgifter som tidigare varit föremål för olaglig behandling ska anses vara tillåtna. Det ankommer således på den hänskjutande domstolen att, för att se till att dessa bestämmelser är förenliga med dataskyddsförordningen, kontrollera att de är föremål för en klar, precis och förutsebar rättspraxis, som (i) själv fastställer under vilka omständigheter och på vilka villkor de omständigheter och bevis som innehåller personuppgifter, vilka lagts fram av parterna, kan användas av en domstol, (ii) uppfyller ett mål av allmänt intresse och (iii) är proportionell mot detta mål.

80 Av vad som anförts följer att den första frågan ska besvaras på följande sätt. Artikel 6.1 första stycket c och 6.3 i dataskyddsförordningen, jämförd med artiklarna 8.2 och 52 i stadgan, ska tolkas så, att den inte utgör hinder för en nationell lagstiftning som, vad gäller en domstols behandling av personuppgifter i samband med dess prövning av de faktiska omständigheterna och bevisupptagning endast föreskriver att det ankommer på parterna att lägga fram utförliga och sanningsenliga faktiska omständigheter och ålägger den domstolen att fullt ut beakta dessa innan den i förekommande fall gör en bedömning, utan att ange under vilka omständigheter och på vilka villkor de omständigheter och bevis som innehåller personuppgifter, vilka lagts fram av parterna, kan användas av nämnda domstol, förutsatt att det finns en nationell rättspraxis som är klar, precis och har en förutsebar tillämpning och som själv fastställer de omständigheter och villkor under vilka de omständigheter och bevis som innehåller personuppgifter, vilka lagts fram av parterna, kan användas av en domstol, att denna rättspraxis uppfyller ett mål av allmänt intresse och är proportionell mot detta mål.

Den andra f rågan, delfråga a

81 Den hänskjutande domstolen har ställt fråga 2 a för att få klarhet i huruvida artikel 17.3 e i dataskyddsförordningen ska tolkas så, att den innehåller ett alternativt villkor för laglig behandling som en behandling av personuppgifter kan uppfylla för att vara förenlig med artikel 5.1 a i förordningen och som skiljer sig från något av de villkor som räknas upp i artikel 6.1 första stycket i dataskyddsförordningen.

82 Det ska erinras om att enligt artikel 5.1 a i dataskyddsförordningen måste all behandling av personuppgifter bland annat vara laglig, vilket, såsom erinrats om i punkt 64 ovan, innebär att behandlingen ska vara förenlig med samtliga principer i kapitel II i förordningen och respektera de registrerades rättigheter enligt kapitel III i förordningen.

83 Bland dessa principer innehåller artikel 6.1 första stycket i dataskyddsförordningen en uttömmande och begränsande uppräkning av de fall där behandling av personuppgifter kan anses vara laglig. För att en sådan behandling ska anses laglig måste den enligt artikel 5.1 a i dataskyddsförordningen omfattas av något av de fall som föreskrivs i artikel 6.1 första stycket (se, i detta avseende, dom av den 4 maj 2023, Bundesrepublik Deutschland (Digital domstolsbrevlåda), C‑60/22, EU:C:2023:373, punkt 56 och där angiven rättspraxis).

84 Den registrerades rätt att av den personuppgiftsansvarige få sina uppgifter raderade bland annat om, såsom framgår av artikel 17.1 d i dataskyddsförordningen, uppgifterna har behandlats på olagligt sätt gäller visserligen enligt artikel 17.3 e i förordningen inte om behandlingen är nödvändig för att kunna fastställa, göra gällande eller försvara rättsliga anspråk.

85 Att det genom artikel 17.3 e i dataskyddsförordningen införts ett undantag från rätten till radering innebär emellertid inte att denna bestämmelse ska tolkas så, att den som sådan anger ett fristående, alternativt villkor för laglig behandling som skulle kunna till ligga grund för att en personuppgiftsbehandling, som är nödvändig för att kunna fastställa, göra gällande eller försvara rättsliga anspråk, är förenlig med artikel 5.1 a i dataskyddsförordningen. Den förteckning över alternativa villkor för laglig behandling i artikel 6.1 första stycket i dataskyddsförordningen är nämligen, såsom framgår av punkt 83 ovan, uttömmande och begränsande, och den situation som avses i artikel 17.3 e i förordningen kan därför inte anses utgöra ett sådant alternativt villkor för laglig behandling.

86 Mot bakgrund av det ovan anförda ska fråga 2 a besvaras enligt följande. Artikel 17.3 e i dataskyddsförordningen ska tolkas så, att den inte innehåller ett alternativt villkor för laglig behandling som en behandling av personuppgifter kan uppfylla för att vara förenlig med artikel 5.1 a i förordningen och som skiljer sig från något av de villkor som räknas upp i artikel 6.1 första stycket i dataskyddsförordningen.

Den andra frågan , delfråga b

87 Med hänsyn till svaret på fråga 2 a saknas anledning att pröva fråga 2 b.

Den tredje frågan , delfråga a

88 Det ska inledningsvis påpekas att principen om ”uppgiftsminimering”, som fråga 3 a uteslutande avser, inte – såsom den hänskjutande domstolen tycks anse mot bakgrund av lydelsen av denna fråga – anges i artikel 5.1 a i dataskyddsförordningen, utan i artikel 5.1 c i förordningen.

89 Det framgår dessutom av begäran om förhandsavgörande att den hänskjutande domstolen, när den hänvisar till en proportionalitetsprövning av den planerade uppgiftsbehandlingen och en uttömmande ”avvägning” mellan de relevanta intressena, vill få klarlagt om det enligt artikel 52.1 andra meningen i stadgan är nödvändigt att, för varje behandling av personuppgifter som utförs, kontrollera att de uppgifter som behandlas vid detta tillfälle är ägnade att göra det möjligt att uppnå det ändamålet med behandlingen och att de dessutom är strikt nödvändiga för att uppnå detta ändamål samt att allvaret i det ingrepp i de grundläggande rättigheterna som beaktandet av uppgifterna medför för att utföra behandlingen är proportionerligt i förhållande till det intresse som den personuppgiftsansvarige har av att använda dessa uppgifter för att utföra den aktuella behandlingen.

90 Den hänskjutande domstolen har således ställt fråga 3 a för att få klarhet i huruvida artikel 5.1 c i dataskyddsförordningen jämförd med artikel 52.1 andra meningen i stadgan ska tolkas så, att principen om ”uppgiftsminimering” kräver att en domstol ska se till att varje behandling av personuppgifter som den utför iakttar proportionalitetsprincipen, genom att försäkra sig om att de uppgifter som behandlas vid detta tillfälle är ägnade att göra det möjligt att uppnå ändamålet med behandlingen och att de är strikt nödvändiga för att uppnå detta ändamål, samt att allvaret i det ingrepp i de grundläggande rättigheterna som beaktandet av uppgifterna medför för att utföra behandlingen är proportionerligt i förhållande till det intresse som den domstolen har av att använda nämnda uppgifter för att utföra den aktuella behandlingen.

91 Som framgår av artikel 52.1 andra meningen i stadgan är en förutsättning för att begränsningar i utövandet av de grundläggande rättigheterna som erkänns i stadgan ska kunna göras med iakttagande av proportionalitetsprincipen att rättighetsbegränsningarna är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors rättigheter och friheter.

92 Närmare bestämt ska undantag från och begränsningar av skyddet för personuppgifter inskränkas till vad som är absolut nödvändigt. När det finns flera ändamålsenliga åtgärder att välja mellan för att uppnå de legitima mål som eftersträvas, ska den åtgärd väljas som är minst ingripande. Dessutom kan ett mål av allmänt samhällsintresse inte legitimt eftersträvas utan att det tas hänsyn till att det ska vara förenligt med de grundläggande rättigheter som berörs av den aktuella åtgärden, och detta genom att göra en balanserad avvägning mellan målet av allmänt samhällsintresse och de berörda rättigheterna, för att säkerställa att de olägenheter som åtgärden orsakar inte är orimliga i förhållande till de eftersträvade målen. Möjligheten att motivera en begränsning av de rättigheter som garanteras i artiklarna 7 och 8 i stadgan ska således bedömas utifrån hur allvarligt ingrepp som rättighetsbegränsningen innebär och huruvida betydelsen av det mål av allmänt samhällsintresse som eftersträvas med begränsningen står i proportion till ingreppets allvar (dom av den 21 mars 2024, Landeshauptstadt Wiesbaden, C‑61/22, EU:C:2024:251, punkt 83 och där angiven rättspraxis).

93 För att proportionalitetsprincipen ska iakttas krävs det följaktligen att grundläggande rättigheter som garanteras i stadgan bara får begränsas om, för det första, åtgärden eftersträvar ett eller flera av unionen erkända mål av allmänt samhällsintresse och faktiskt är ägnad att uppnå dessa mål, för det andra, rättighetsingreppen är begränsade till vad som är strikt nödvändigt, i den meningen att målen inte rimligen skulle kunna uppnås lika effektivt med andra medel som innebär ett mindre intrång i de berörda personernas grundläggande rättigheter och, för det tredje, ingreppen står i rimlig proportion till de eftersträvade målen, vilket bland annat innefattar en avvägning mellan dessa mål och ingreppens allvar (dom av den 21 mars 2024, Landeshauptstadt Wiesbaden, C‑61/22, EU:C:2024:251, punkt 84 där angiven rättspraxis).

94 Vidare slår artikel 5.1 c i dataskyddsförordningen fast att behandlingen av personuppgifter ska iaktta principen om ”uppgiftsminimering”, genom att föreskriva att de uppgifter som behandlas ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (se, i detta avseende, dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning), C‑439/19, EU:C:2021:504, punkt 104).

95 Även om den principen är ett ”uttryck” för proportionalitetsprincipen (se, i detta avseende, dom av den 9 januari 2025, Mousse, C‑394/23, EU:C:2025:2, punkt 24 och där angiven rättspraxis), betyder detta dock inte att det enbart är den bestämmelsen som genomför proportionalitetsprincipen och följaktligen de tre villkor som det erinras om i punkt 91 ovan.

96 Det ska i detta hänseende påpekas att de krav som föreskrivs i artikel 5.1 c i dataskyddsförordningen, vilka är tillräckliga för att motivera att den bestämmelsen kan ses som ett uttryck för proportionalitetsprincipen, är ägnade att säkerställa att valet att använda vissa uppgifter i stället för andra uppfyller de två första villkor som följer av iakttagandet av denna princip.

97 För det första framgår det av själva innebörden av orden ”adekvat” och ”relevant” att när uppgifter uppfyller dessa två krav är de ägnade att uppnå ändamålen med den aktuella behandlingen och, i än högre grad, att uppnå syftet med behandlingen. Eftersom dessa uppgifter är begränsade till vad som är nödvändigt med hänsyn till de ändamål för vilka de behandlas, är de även begränsade mot bakgrund av det övergripande syfte som eftersträvas i samband med att det beslutats använda dessa uppgifter för att utföra den aktuella behandlingen.

98 Vad gäller det tredje villkor som erinras om i punkt 91 ovan, konstaterar domstolen att redan den omständigheten att ett av de alternativa villkor för laglig behandling som anges i artikel 6.1 första stycket i dataskyddsförordningen är uppfyllt i princip är ägnad att begränsa den behandling som de aktuella uppgifterna kan bli föremål för till sådan behandling som inte bara är nödvändig för att uppnå ett berättigat mål, utan även är av ett berättigat intresse som väger tyngre än allvaret i det ingrepp i de i artiklarna 7 och 8 i stadgan garanterade grundläggande rättigheterna som behandlingen innebär.

99 När det gäller behandling som omfattas av artikel 6.1 första stycket c i dataskyddsförordningen, det vill säga sådan behandling som är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige, föreskrivs det uttryckligen i artikel 6.3 andra stycket i förordningen att den unionsrätt eller den nationella rätt i en medlemsstat som utgör den rättsliga grunden för sådan behandling, och som således anger den skyldighet som kräver att personuppgifter behandlas, ska uppfylla ett mål av allmänt intresse och stå i proportion till det legitima mål som eftersträvas.

100 Härigenom ställer sistnämnda bestämmelse uttryckligen upp kravet att den rättsliga förpliktelse som åvilar den personuppgiftsansvarige och som ligger till grund för en behandling av personuppgifter ska vara resultatet av en avvägning, vid antagandet av denna rättsliga grund, mellan å ena sidan de grundläggande rättigheterna till respekt för privatlivet och skydd av personuppgifter, vilka slås fast i artiklarna 7 och 8 i stadgan, och å andra sidan de legitima mål som vid det tillfället eftersträvas enligt unionsrätten eller medlemsstaternas nationella rätt (se, analogt, dom av den 4 oktober 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punkt 124 och där angiven rättspraxis).

101 Enligt artikel 5.1 c i dataskyddsförordningen är det endast uppgifter som är adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas som får användas vid uppgiftsbehandling. När denna förpliktelse är resultatet av en sådan avvägning är därför de enda uppgifter som uppfyller dessa krav sådana uppgifter för vilka det berättigade intresset av uppgiftsbehandlingen väger tyngre än allvaret av det ingrepp i de grundläggande rättigheter som garanteras i artiklarna 7 och 8 i stadgan som behandlingen innebär.

102 Vid behandling av personuppgifter som en domstol har att utföra vid bedömningen av parternas bevisning kan det konstateras, då sådan uppgiftsbehandling är nödvändig för att rätten till en rättvis rättegång ska iakttas, att den domstolen för att iaktta principen om ”uppgiftsminimering” endast är skyldig att kontrollera att de uppgifter som den behandlar uppfyller villkoren i artikel 5.1 c i dataskyddsförordningen. Den är inte särskilt skyldig – och således utöver kravet enligt artikel 6.3 andra stycket i dataskyddsförordningen att den rättsliga grunden för behandlingen i fråga ska vara proportionerlig i förhållande till det legitima mål som eftersträvas – göra en avvägning mellan de berörda intressena, oavsett om denna avvägning är uttömmande eller inte.

103 Mot bakgrund av det ovan anförda ska fråga 3 a besvaras enligt följande. Artikel 5.1 c i dataskyddsförordningen, jämförd med artikel 52.1 andra meningen i stadgan, ska tolkas så, att principen om ”uppgiftsminimering” inte kräver att en domstol ser till att varje behandling av personuppgifter som den utför iakttar proportionalitetsprincipen, genom att försäkra sig om att de uppgifter som behandlas vid detta tillfälle är ägnade att göra det möjligt att uppnå ändamålet med behandlingen och att de är strikt nödvändiga för att uppnå detta ändamål, samt att allvaret i det ingrepp i de grundläggande rättigheterna som beaktandet av uppgifterna medför för att utföra behandlingen är proportionerligt i förhållande till det intresse som den domstolen har av att använda nämnda uppgifter för att utföra den aktuella behandlingen, förutsatt att villkoren i artikel 5.1 c i dataskyddsförordningen är uppfyllda.

Den tredje frågan , delfrågorna b–d

104 Mot bakgrund av vad som anförts i punkt 49 ovan ska den hänskjutande domstolen anses ha ställt fråga 3 b–d för att få klarhet i huruvida artiklarna 7 och 8 i stadgan, artikel 5.1 i dataskyddsförordningen, artikel 6.1 första stycket c, jämförd med artikel 6.3 i förordningen, samt principen om ”uppgiftsminimering” ska tolkas så, att de hindrar att en nationell domstol använder bevisning som innehåller personuppgifter som, av den part som gett in bevisningen, inhämtats i strid med rätten till skydd för privatlivet och rätten till skydd av personuppgifter, när denna part inte har ett berättigat intresse av en sådan behandling som väger tyngre än blotta intresset av att styrka de omständigheter som åberopats.

105 Det ska i detta hänseende understrykas att även om rätten till skydd för privatlivet och rätten till skydd av personuppgifter, som avses i artiklarna 7 och 8 i stadgan, i vissa situationer kan strida mot rätten till ett effektivt rättsmedel, som garanteras i artikel 47 i stadgan, ska – med avseende på behandlingen av personuppgifter som omfattas av dataskyddsförordningen – de mekanismer som gör det möjligt att uppnå en skälig avvägning mellan de olika grundläggande rättigheterna och intressena i fråga anses vara inskrivna i själva förordningen (se, i detta avseende, dom av den 17 juni 2021, M.I.C.M., C‑597/19, EU:C:2021:492 punkt 112).

106 I synnerhet säkerställs proportionaliteten av de ingrepp i rätten till skydd för privatlivet och rätten till skydd av personuppgifter som avses i artiklarna 7 och 8 i stadgan, som en behandling som omfattas av dataskyddsförordningens tillämpningsområde medför, genom en kombinerad tillämpning av de principer som föreskrivs i artikel 5.1 i förordningen och de krav som följer av respektive alternativt villkor för laglig behandling som anges i artikel 6.1 första stycket i förordningen, i förekommande fall jämförd med artikel 6.3 i förordningen.

107 Förutsatt att villkoren för laglig behandling av personuppgifter enligt dataskyddsförordningen är uppfyllda, anses följaktligen denna behandling i princip även uppfylla kraven i artiklarna 7 och 8 i stadgan (dom av den 5 juni 2023, kommissionen/Polen (Domares oavhängighet och privatliv), C‑204/21, EU:C:2023:442, punkt 332).

108 Såsom generaladvokaten har påpekat i punkt 32 i sitt förslag till avgörande utgör varken artikel 5.1 i dataskyddsförordningen eller någon av de andra rättigheter och principer som anges i kapitlen II och III i förordningen ett allmänt och absolut förbud för en myndighet, såsom en domstol, att beakta personuppgifter som tidigare har varit föremål för olaglig behandling, i den mening som avses i förordningen, av den person som har gett in uppgifterna till den.

109 I artikel 5.1 a i dataskyddsförordningen anges visserligen att en behandling av personuppgifter inte bara ska vara laglig och öppen, utan även korrekt.

110 Det framgår emellertid av skäl 39 i förordningen att syftet med denna princip om korrekt behandling, som sammanfaller med syftet med principen om öppenhet, är att säkerställa att de registrerade får kännedom om att deras personuppgifter behandlas och att de vid detta tillfälle får den information som de behöver för att kunna utöva sina rättigheter.

111 Betydelsen av att de behandlade uppgifterna tidigare har varit föremål för olaglig behandling, i den mening som avses i artikel 5.1 a i dataskyddsförordningen, av den part som överfört dem, beror således på det alternativa villkor för laglig behandling som den personuppgiftsansvarige har åberopat för att motivera behandlingen. På grund av de krav som ställs upp i dessa alternativa villkor för laglig behandling kan dessa villkor nämligen inte vara tillämpliga när det är fråga om sådana uppgifter.

112 När det gäller det alternativa villkoret för laglig behandling i artikel 6.1 första stycket f i dataskyddsförordningen, utesluter den omständigheten att den personuppgiftsansvarige kände till eller borde ha känt till att vissa uppgifter som överförts till den personuppgiftsansvarige tidigare bland annat hade samlats in eller lagrats på ett olagligt sätt att den personuppgiftsansvariges insamling av dessa uppgifter, som utförs efter det att uppgifterna överförts, kan anses eftersträva berättigade intressen och följaktligen uppfylla detta alternativa villkor för laglig behandling.

113 Det ska emellertid konstateras att den behandling av personuppgifter som en domstol utför i samband med de personuppgifter som förekommer i parternas bevisning i princip är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den domstolen, det vill säga förpliktelsen att pröva om bevisningen är tillåten och, när bevisningen har förklarats tillåten enligt gällande kriterier i nationell rätt, skyldigheten att beakta denna bevisning när den avgör målet.

114 Artikel 6.1 första stycket c i dataskyddsförordningen anger emellertid inte något krav som kan utesluta att en domstol kan grunda sig på detta alternativa villkor för laglig behandling när de personuppgifter som förekommer i bevisning tidigare har varit föremål för olaglig behandling, i den mening som avses i denna förordning, av den person som har gett in bevisningen.

115 Artikel 6.3 i dataskyddsförordningen preciserar visserligen att den rättsliga grunden för behandling av personuppgifter som grundar sig på artikel 6.1 första stycket c i denna förordning ska fastställas i unionsrätten eller i en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av, att denna rättsliga grund kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen till de behov som eftersträvas med uppgiftsbehandlingen och att unionsrätten eller den medlemsstatens nationella rätt under alla omständigheter måste uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas (se, i detta avseende, dom av den 2 mars 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, punkt 31).

116 Vad gäller detta proportionalitetskrav och de krav som det medför ska det påpekas att det följer av den rättspraxis som erinras om i punkt 91 ovan för det första att den rättsliga grund som ligger till grund för den aktuella behandlingen ska vara ägnad att uppfylla det eftersträvade målet av allmänt intresse, för det andra att den endast ska tillåta behandling som håller sig inom gränserna för vad som är strikt nödvändigt, vilket förutsätter att det inte finns några andra åtgärder som i mindre utsträckning inskränker de registrerades fri- och rättigheter och som gör det möjligt att lika effektivt uppnå detta mål och för det tredje att denna rättsliga grund ska vara proportionerlig i strikt mening, då den, efter en avvägning mellan samtliga relevanta omständigheter, inte kan tillåta behandling som medför begränsningar av de registrerades rättigheter och friheter som är orimliga i förhållande till betydelsen av att uppnå detta mål.

117 Den omständigheten att den rättsliga förpliktelse som gör det nödvändigt att behandla de personuppgifter som finns i parternas bevisning även är tillämplig på personuppgifter som den part som har gett in uppgifterna till en domstol har erhållit i strid med rätten till skydd för privatlivet och rätten till skydd av personuppgifter tycks emellertid inte utesluta att denna rättsliga grund kan uppfylla sådana krav.

118 Beträffande det första krav som det erinras om i punkt 91 ovan, ska, när det gäller en domstols behandling av personuppgifter, den rättsliga förpliktelse som åvilar den domstolen att avgöra huruvida parternas bevisning är tillåten och, när så är fallet, att beakta den när avgör målet, anses avse ett mål av allmänt intresse, eftersom det avser iakttagandet av en grundläggande rättighet, nämligen rätten till en rättvis rättegång, vilken är stadfäst i artikel 47 i stadgan.

119 Vidare ska denna skyldighet även anses vara ägnad att göra det möjligt att uppfylla detta mål av allmänt intresse, och vara strikt nödvändig för detta, även om de berörda uppgifterna har erhållits på ett olagligt sätt. Eftersom rätten till en rättvis rättegång kräver att en domstol avgör huruvida parternas bevisning är tillåten och, när sådan bevisning är tillåten, att den beaktar denna bevisning när den avgör målet, förefaller ingen annan åtgärd vara ägnad att lika effektivt uppfylla ett sådant mål som målet att göra det möjligt för domstolarna att behandla personuppgifter i parternas bevisning.

120 Det ska slutligen erinras om att, såsom framgår av skäl 4 i dataskyddsförordningen, rätten till skydd av personuppgifter inte är en absolut rättighet, utan måste förstås utifrån sin uppgift i samhället och, i enlighet med proportionalitetsprincipen, vägas mot andra grundläggande rättigheter, som till exempel rätten till ett effektivt domstolsskydd enligt artikel 47 i stadgan (se, i detta avseende, dom av den 2 mars 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, punkt 49).

121 Med hänsyn till den grundläggande funktion som rätten till en rättvis rättegång fyller i samhället, framstår inte en skyldighet för en domstol att behandla personuppgifter som förekommer i parternas bevisning, även när dessa uppgifter har erhållits i strid med rätten till skydd för privatlivet och rätten till skydd av personuppgifter, som ett oproportionerligt ingrepp i dessa rättigheter, såsom de garanteras i artiklarna 7 och 8 i stadgan.

122 Den skyldighet som åligger en domstol, i enlighet med rätten till en rättvis rättegång, att behandla alla personuppgifter som ingår i bevisningen uppfyller följaktligen kraven i artikel 6.3 i dataskyddsförordningen, även om denna skyldighet avser uppgifter som erhållits i strid med rätten till integritet och den part som har gett in uppgifterna till den domstolen inte har ett berättigat intresse av en sådan behandling som väger tyngre än blotta styrkandet av de omständigheter som åberopats.

123 De uppgifter som används i detta sammanhang ska likväl enligt artikel 5.1 c i dataskyddsförordningen vara begränsade till uppgifter som är adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas.

124 Vad för det första gäller de personuppgifter som används i samband med den behandling som en domstol utför för att avgöra huruvida viss bevisning är tillåten och huruvida de omständigheter som åberopats av en part är relevanta mot bakgrund av de bestämmelser i nationell rätt som är tillämpliga på området, ska det understrykas att rätten till en rättvis rättegång, såsom den erkänns i artikel 47 i stadgan, innebär att parterna inför domstol ska kunna lägga fram den bevisning som de anser vara relevant.

125 När det gäller en talan som syftar till att ta till vara skyddet av de rättigheter som enskilda har enligt unionsrätten, innebär den omständigheten att en domstol för att avgöra huruvida viss bevisning är tillåten behöver behandla personuppgifter i princip inte att principen om ”uppgiftsminimering” åsidosätts, eftersom sådana uppgifter i detta skede är adekvata, relevanta och nödvändiga just för att göra det möjligt för den domstolen att uttala sig om huruvida bevisningen är tillåten. Detsamma gäller en talan vid domstol där unionsrätten inte åberopas, när en rättighet med en räckvidd som motsvarar rätten till en rättvis rättegång enligt artikel 47 i stadgan tillerkänns parterna i den berörda medlemsstatens lagstiftning.

126 När en domstol väl har konstaterat att handlingar som innehåller de personuppgifter som getts in till den är tillåtna enligt de bestämmelser som föreskrivs för detta ändamål i nationell rätt, ska den domstolen däremot, innan den för dem till akten, pröva om de är begränsade till de uppgifter som är nödvändiga med hänsyn till de ändamål som eftersträvas, det vill säga att göra det möjligt för den domstolen att meddela ett så välgrundat avgörande som möjligt mot bakgrund av de relevanta omständigheterna i målet och med iakttagande av den kontradiktoriska principen, eller om den ska vidta vissa åtgärder för att minska det antal uppgifter som berörs, såsom en partiell eller fullständig anonymisering av de berörda handlingarna, utan att för den skull påverka dessa andra parters rättigheter.

127 Den omständigheten att de berörda uppgifterna har erhållits i strid med rätten till skydd för privatlivet och rätten till skydd av personuppgifter i artiklarna 7 och 8 i stadgan, framstår emellertid inte i sig som avgörande, eftersom de kriterier som föreskrivs i artikel 5.1 c i dataskyddsförordningen kräver att uppgifterna ska vara adekvata, relevanta och begränsade till vad som är nödvändigt med hänsyn till de eftersträvade ändamålen.

128 Vad för det andra gäller personuppgifter som en domstol behandlat i syfte att avgöra ett mål ska, med hänsyn till rätten till en rättvis rättegång, alla uppgifter i handlingar som förklarats tillåtna och som har förts till akten i princip anses vara adekvata, relevanta och begränsade till vad som är nödvändigt med hänsyn till ändamålet med en sådan behandling, eftersom den domstolen, i enlighet med rätten till en rättvis rättegång, är skyldig att beakta all denna bevisning för att bland annat bedöma dess relevans.

129 För det tredje och slutligen, vad gäller en domstols röjande av sådana uppgifter vid delgivningen eller offentliggörandet av sin dom, fordrar en sådan uppgiftsbehandling att den domstolen, för att se till att uppgifterna begränsas till vad som nödvändigt med hänsyn till ändamålet med behandlingen, inte bara beaktar behovet av att göra det möjligt att kunna verkställa avgörandet, att underrätta tredje män som också kan vara berörda av de relevanta omständigheterna och att skydda enskilda mot följderna av en hemlig rättskipning (se, i detta avseende, Europadomstolen, 2 juni 2022, Straume mot Lettland, CE:ECHR:2022:0602JUD005940214, § 124), utan att den även beaktar möjligheten att vidta vissa åtgärder, såsom anonymisering eller pseudoanonymisering av uppgifterna, för att minimera det hinder för rätten till skydd av personuppgifter som ett sådant röjande är ägnat att medföra.

130 Av vad som anförts följer att fråga 3 b–d ska besvaras enligt följande. Artiklarna 7 och 8 i stadgan, artikel 5.1 i dataskyddsförordningen, artikel 6.1 första stycket c, jämförd med artikel 6.3 i förordningen, samt principen om ”uppgiftsminimering” ska tolkas så, att de inte hindrar att en nationell domstol använder bevisning som innehåller personuppgifter som, av den part som har gett in bevisningen, inhämtats i strid med rätten till skydd för privatlivet och rätten till skydd av personuppgifter, när denna part inte har ett berättigat intresse av en sådan behandling som väger tyngre än blotta intresset av att styrka de omständigheter som parten har åberopat. Den hänskjutande domstolen ska däremot, innan den röjer dessa uppgifter för parterna eller utomstående, kontrollera att sådana uppgifter är begränsade till vad som är nödvändigt med hänsyn till de ändamål för vilka uppgifterna röjs och, i förekommande fall, vidta åtgärder för att minimera det hinder för rätten till skydd av personuppgifter som ett sådant röjande kan medföra.

Den tredje frågan, delfråga e

131 Den hänskjutande domstolen har ställt fråga 3 e för att få klarhet i huruvida artikel 13.1 och 13.2 i dataskyddsförordningen ska tolkas så, att den hindrar att en nationell domstol, inom ramen för sin dömande verksamhet, använder uppgifter som samlats in av en person som inte har uppfyllt sin informationsskyldighet enligt denna artikel.

132 Av artikel 13.1 och 13.2 i dataskyddsförordningen framgår att när personuppgifter om en person samlas in från den registrerade ska den personuppgiftsansvarige, när personuppgifterna erhålls, till den registrerade lämna de typer av information som räknas upp i dessa bestämmelser.

133 Eftersom denna bestämmelse ingår i kapitel III i dataskyddsförordningen, ska dessa punkter anses ange villkor som måste vara uppfyllda för att insamlingen av personuppgifter ska vara laglig.

134 Den skyldighet som föreskrivs i artikel 13 i förordningen bidrar för övrigt till att uppfylla kravet i artikel 5.1 a, som ingår i kapitel II i förordningen, enligt vilket all behandling av personuppgifter ska vara korrekt och öppen, vilket innebär att skyldigheten även måste fullgöras i detta avseende.

135 Utan att det är nödvändigt att avgöra huruvida denna bestämmelse, för att bevara den ändamålsenliga verkan av artikel 17.3 e i dataskyddsförordningen, ska tolkas så, att den omständigheten att den berörda parten har samlat in de aktuella uppgifterna utan att uppfylla denna skyldighet inte medför att behandling som består i att överföra bevisning som innehåller dessa uppgifter till en domstol ska anses vara olaglig, ska det emellertid erinras om att, såsom konstaterats i punkt 108 ovan, varken artikel 5.1 i dataskyddsförordningen eller någon av de andra rättigheter och principer som anges i kapitlen II och III i förordningen innebär ett allmänt och absolut förbud för en personuppgiftsansvarig att beakta personuppgifter som tidigare har varit föremål för olaglig behandling av den person som har överfört dem, i den mening som avses i förordningen.

136 Fråga 3 e ska följaktligen besvaras på följande sätt. Artikel 13.1 och 13.2 i dataskyddsförordningen ska tolkas så, att den inte hindrar att en nationell domstol, inom ramen för sin dömande verksamhet, använder uppgifter som samlats in av en part eller en utomstående som inte har uppfyllt sin informationsskyldighet enligt denna bestämmelse.

Den tredje frågan, delfråga f

137 Den hänskjutande domstolen har ställt fråga 3 f för att få klarhet i huruvida dataskyddsförordningen ska tolkas så, att en domstol, inom ramen för sin dömande verksamhet, är skyldig att se till att denna förordning iakttas när den behandlar personuppgifter som rör personer som är utomstående i förhållande till det mål som är anhängigt vid den och huruvida unionsrätten kräver att en av parterna i målet kan göra gällande att uppgifterna har samlats in eller lagrats olagligt, i den mening som avses i nämnda förordning, av den andra parten i strid med de rättigheter som dessa utomstående personer har enligt förordningen.

138 Det framgår av artikel 288 FEUF att en förordning ska ha allmän giltighet och till alla delar vara bindande och direkt tillämplig i varje medlemsstat.

139 Eftersom de principer som anges i kapitel II i dataskyddsförordningen är tillämpliga oberoende av alla överväganden som rör de registrerades processuella situation eller den omständigheten att den personuppgiftsansvarige är en domstol, ska denna förordning, jämförd med artikel 288 FEUF, tolkas så, att en domstol är skyldig att i sin dömande verksamhet iaktta förordningen när den behandlar personuppgifter som rör personer som är utomstående i förhållande till det mål som är anhängigt vid den.

140 Vad däremot gäller frågan huruvida en part kan åberopa en rättsstridighet som begåtts till nackdel för tredje man, omfattas denna fråga, i avsaknad av unionsbestämmelser om detta, av medlemsstaternas processuella autonomi.

141 När det gäller en talan som syftar till att ta till vara skyddet av de rättigheter för enskilda som följer av unionsrätten får de processuella reglerna för en sådan talan, enligt principen om processuell autonomi, som är tillämplig i avsaknad av unionsbestämmelser, varken vara mindre förmånliga än dem som avser liknande situationer som regleras av nationell rätt (likvärdighetsprincipen) eller medföra att det i praktiken blir omöjligt eller orimligt svårt att utöva rättigheter som följer av unionsrätten (effektivitetsprincipen) (se, i detta avseende, dom av den 6 oktober 2020, La Quadrature du Net m.fl., C‑511/18, C‑512/18 och C‑520/18, EU:C:2020:791, punkt 223 och där angiven rättspraxis).

142 Dessa processuella regler ska dessutom vara förenliga med rätten till en rättvis rättegång, såsom den garanteras i artikel 47 i stadgan, vilken enligt artikel 51 i stadgan är tillämplig i alla situationer där medlemsstaterna tillämpar unionsrätten.

143 Det kan emellertid konstateras att varken effektivitetsprincipen eller rätten till en rättvis rättegång, som garanteras i artikel 47 i stadgan, i princip kräver att parterna i en rättsprocess ges möjlighet att göra gällande ett åsidosättande av dataskyddsförordningen som begåtts till nackdel för tredje man i detta förfarande.

144 Fråga 3 f ska följaktligen besvaras på följande sätt. Dataskyddsförordningen ska tolkas så, att en domstol är, i sin dömande verksamhet, skyldig att se till att denna förordning iakttas när den behandlar personuppgifter som rör personer som är utomstående i förhållande till en rättsprocess. Unionsrätten kräver inte att en av parterna i rättsprocessen ska kunna göra gällande att uppgifterna har samlats in eller lagrats på ett olagligt sätt, i den mening som avses i nämnda förordning, av den andra parten, i strid med de rättigheter som dessa utomstående personer har enligt förordningen.

Rättegångskostnader

145 Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.

Mot denna bakgrund beslutar domstolen (femte avdelningen) följande:

1) Artikel 6.1 första stycket c och 6.3 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), jämförd med artiklarna 8.2 och 52 i Europeiska unionens stadga om de grundläggande rättigheterna

ska tolkas så,

att den inte utgör hinder för en nationell lagstiftning som, vad gäller en domstols behandling av personuppgifter i samband med dess prövning av de faktiska omständigheterna och bevisupptagning, endast föreskriver att det ankommer på parterna att lägga fram utförliga och sanningsenliga faktiska omständigheter och ålägger den domstolen att fullt ut beakta dessa innan den i förekommande fall gör en bedömning, utan att ange under vilka omständigheter och på vilka villkor de omständigheter och bevis som innehåller personuppgifter, vilka lagts fram av parterna, kan användas av nämnda domstol, förutsatt att det finns en nationell rättspraxis som är klar, precis och har en förutsebar tillämpning och som själv fastställer de omständigheter och villkor under vilka de omständigheter och bevis som innehåller personuppgifter, vilka lagts fram av parterna, kan användas av en domstol, att denna rättspraxis uppfyller ett mål av allmänt intresse och är proportionell mot detta mål.

2) Artikel 17.3 e i förordning 2016/679

ska tolkas så,

att den bestämmelsen inte innehåller ett alternativt villkor för laglig behandling som en uppgiftsbehandling kan uppfylla för att vara förenlig med artikel 5.1 a i förordningen och som skiljer sig från något av de villkor som räknas upp i artikel 6.1 första stycket i förordningen.

3) Artikel 5.1 c i förordning 2016/679, jämförd med artikel 52.1 andra meningen i stadgan om de grundläggande rättigheterna,

ska tolkas så,

att principen om ”uppgiftsminimering” inte kräver att en domstol ser till att varje behandling av personuppgifter som den utför iakttar proportionalitetsprincipen, genom att försäkra sig om att de uppgifter som behandlas vid detta tillfälle är ägnade att göra det möjligt att uppnå ändamålet med behandlingen och att de är strikt nödvändiga för att uppnå detta ändamål, samt att allvaret i det ingrepp i de grundläggande rättigheterna som beaktandet av uppgifterna medför för att utföra behandlingen är proportionerligt i förhållande till det intresse som den domstolen har av att använda nämnda uppgifter för att utföra den aktuella behandlingen, förutsatt att villkoren i artikel 5.1 c i förordning 2016/679 är uppfyllda.

4) Artiklarna 7 och 8 i stadgan om de grundläggande rättigheterna, artikel 5.1 i förordning 2016/679, artikel 6.1 första stycket c, jämförd med artikel 6.3 i samma förordning, samt principen om ”uppgiftsminimering”

ska tolkas så,

att de inte hindrar att en nationell domstol använder bevisning som innehåller personuppgifter som, av den part som har gett in bevisningen, inhämtats i strid med rätten till skydd för privatlivet och rätten till skydd av personuppgifter, när denna part inte har ett berättigat intresse av en sådan behandling som väger tyngre än blotta intresset av att styrka de faktiska omständigheter som parten har åberopat. Den hänskjutande domstolen ska däremot, innan den röjer dessa uppgifter för parterna eller utomstående, kontrollera att sådana uppgifter är begränsade till vad som är nödvändigt med hänsyn till de ändamål för vilka uppgifterna röjs och, i förekommande fall, vidta åtgärder för att minimera det hinder för rätten till skydd av personuppgifter som ett sådant röjande kan medföra.

5) Artikel 13.1 och 13.2 i förordning 2016/679

ska tolkas så,

att den inte hindrar att en nationell domstol, inom ramen för sin dömande verksamhet, använder uppgifter som samlats in av en part eller en utomstående som inte har uppfyllt sin informationsskyldighet enligt denna bestämmelse.

6) Förordning 2016/679

ska tolkas så,

att en domstol är, i sin dömande verksamhet, skyldig att se till att denna förordning iakttas när den behandlar personuppgifter som rör personer som är utomstående i förhållande till en rättsprocess. Unionsrätten kräver inte att en av parterna i rättsprocessen ska kunna göra gällande att uppgifterna har samlats in eller lagrats på ett olagligt sätt, i den mening som avses i nämnda förordning, av den andra parten, i strid med de rättigheter som dessa utomstående personer har enligt förordningen.

Underskrifter

* Rättegångsspråk: tyska.