Domstolen ska beakta EU:s dataskyddsförordning när den prövar en parts yrkande om edition av handlingar med personuppgifter
EU-domstolen meddelade den 2 mars 2023 ett förhandsavgörande rörande vilka krav EU:s dataskyddsförordning (”GDPR”) ställer på nationella domstolar när de ska pröva ett yrkande om edition av handlingar som innehåller personuppgifter. I förhandsavgörandet fastställde EU-domstolen att det utgör behandling av personuppgifter att förete en handling med personuppgifter som bevis efter ett editionsföreläggande och att en domstol därmed måste pröva en editionsbegäran mot kraven i GDPR. Konsekvensen av detta är att en nationell domstol behöver tillgodose att skyddet för personuppgifter iakttas.
Frågan om tillämpligheten av GDPR på edition av handlingar med personuppgifter uppkom i ett svenskt tvistemål. Kärande var en byggentreprenör som väckte talan mot en beställare med yrkande om att få resterande betalning för ett utfört entreprenadarbete. Beställaren begärde att tingsrätten skulle förplikta byggentreprenören att överlämna en elektronisk personalliggare. Syftet med begäran var att använda personalliggaren som bevis för att arbete inte utförts i den utsträckning som byggentreprenören yrkade betalning för. Byggentreprenören bestred att handlingen skulle överlämnas och anförde att det skulle strida mot GDPR eftersom den innehöll byggentreprenörens anställdas personuppgifter i form av namn, personnummer och arbetstider.
Underinstanserna biföll editionsyrkandet. Sedan beslutet överklagats av byggentreprenören till Högsta domstolen, begärde domstolen ett förhandsavgörande från EU-domstolen, vilket vi tidigare har skrivit om här (HD:s mål nr Ö 1750-20). Den första frågan till EU-domstolen var om en nationell domstol vid prövningen av en parts yrkande om edition är skyldig att beakta kraven i artikel 6.3 och 6.4 GDPR.
Av GDPR följer att en åtgärd som innebär behandling av personuppgifter måste uppfylla ett av villkoren i artikel 6.1 för att vara tillåten. Ett sådant villkor är exempelvis om åtgärden är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.1 e)). En förutsättning för att villkoret ska vara uppfyllt är att det finns en rättslig grund enligt artikel 6.3. Om behandlingen sker för ett ändamål som inte är förenligt med ändamålet till den ursprungliga insamlingen av personuppgifterna (s.k. vidarebehandling), ställs ytterligare krav i artikel 6.4.
Enligt svensk processrätt kan den som innehar en skriftlig handling som kan antas ha betydelse som bevis bli skyldig att förete handlingen på föreläggande av domstolen (38 kap. 2 § första stycket och 4 § rättegångsbalken). Domstolen prövar ett sådant yrkande genom att väga bevisningens relevans mot editionssvarandens intresse att inte utge handlingen.
Som svar på den första frågan konstaterade EU-domstolen att det utgör personuppgiftsbehandling att förete en handling med personuppgifter som bevis efter ett editionsföreläggande, och att ett av villkoren i artikel 6.1 GDPR alltså måste vara uppfyllt. EU-domstolen fortsatte med att edition i regel kan tillåtas genom villkoret i artikel 6.1 e) (se ovan), eftersom editionsreglerna i rättegångsbalken är en godtagbar rättslig grund. Vidare, uttalade EU-domstolen att kraven i artikel 6.4 för laglig vidarebehandling ska iakttas, eftersom ändamålet med att använda en handling som bevis inte är förenligt med syftet till att personuppgifterna samlats in. Således, ansåg EU-domstolen, att en domstol måste pröva om edition är en nödvändig och proportionell åtgärd och bidrar till ett av målen i artikel 23.1 i GDPR (artikel 6.4). EU-domstolen bedömde preliminärt att editionsplikten uppfyller dessa krav.
Högsta domstolen bad även EU-domstolen att besvara om artikel 5 och 6 GDPR ska tolkas så att en domstol ska ta hänsyn till de registrerades intressen (dvs. de fysiska personer vars personuppgifter behandlas) i editionsprövningen, samt om GDPR föreskriver hur detta ska göras.
I denna del förklarade EU-domstolen att den nationella domstolen ska väga in de registrerades intressen i samband med att den avgör om behandlingen är laglig enligt artikel 6.1, 6.3 och 6.4 GDPR (se ovan). EU-domstolen framhöll därefter att skyddet för personuppgifter inte är absolut. I ett enskilt fall kan företräde i stället ges till rätten till ett effektivt domstolsskydd enligt artikel 47 i EU:s rättighetsstadga, vilken editionsinstitutet främjar genom att ge parterna tillgång till relevanta handlingar för att föra sin talan. Konkret innebär detta att domstolen ska väga skyddet för fysiska personer avseende behandling av personuppgifter, å ena sidan, mot rätten till ett effektivt domstolsskydd, å andra sidan.
Till sist måste domstolen avgöra om samtliga personuppgifter som finns i en handling är relevanta som bevisning i målet. Om enbart vissa uppgifter är relevanta ska domstolen, med hänsyn till principen om uppgiftsminimering i artikel 5.1 c) GDPR, överväga till exempel pseudonymisering (se artikel 4 punkt 5) eller ett förbud för editionskäranden att använda uppgifterna för annat än som bevisning i målet.
Högsta domstolen har nu att pröva om byggentreprenören ska förpliktas att utge personalliggaren. För kommande prövningar av edition av handlingar med personuppgifter innebär förhandsavgörandet att integritetsperspektivet måste beaktas, utöver bevisningens relevans och editionssvarandens intresse av att inte utge handlingen.
Här kan du läsa EU-domstolens förhandsavgörande av den 2 mars 2023 i mål C-268/21.
