Spór o sprzedaż firmowego mienia
Spór powstał między niemiecką spółką NTH Haustechnik GmbH a jej byłą pracownicą EM, będącą żoną członka zarządu. Stosunek pracy ustał 31.10.2019 r., jednak do separacji małżonków 26.6.2022 r. EM nadal miała dostęp do pomieszczeń przedsiębiorstwa i znajdujących się tam komputerów.
Po separacji NTH ustaliła, głównie za pośrednictwem pracownika F. – syna EM i członka zarządu – że była pracownica sprzedawała przez eBay rzeczy, które spółka uważała za swoją własność. Wartość odsprzedaży określono na 13 217,09 euro, a dochodzoną szkodę – na 46 567,91 euro.
EM zaprzeczała, aby sprzedaż odbywała się bez wiedzy spółki. Twierdziła, że były to głównie zwrócone przez klientów, wadliwe albo przestarzałe towary, które NTH przekazała jej nieodpłatnie, aby mogła sprzedawać je na potrzeby gospodarstwa domowego prowadzonego z członkiem zarządu.
Źródłem informacji o transakcjach było prywatne konto EM na eBay, do którego F. uzyskał dostęp przy użyciu jej identyfikatora i hasła. Według NTH informację o koncie odnaleziono w historii przeglądarki firmowego komputera, a hasło – w „folderze rodzinnym” na serwerze spółki. EM zaprzeczała, aby przechowywała tam hasło. Twierdziła, że członek zarządu uzyskał nową kartę SIM do używanego przez nią telefonu, a następnie zmienił hasło do konta z wykorzystaniem powiązanego z nim numeru.
TSUE nie rozstrzygnął, która wersja była prawdziwa, ani nie przesądził, że NTH pozyskała dane niezgodnie z prawem. Sąd odsyłający wskazał jedynie, że nie można tego wykluczyć.
Wątpliwości niemieckiego sądu pracy
Landesarbeitsgericht Niedersachsen dążył do ustalenia, czy krajowe przepisy procesowe stanowią dostatecznie precyzyjną podstawę przetwarzania danych przez sąd, jakie znaczenie ma bezprawność wcześniejszego zebrania lub przechowywania danych oraz czy art. 17 ust. 3 lit. e rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L z 2016 r. Nr 119, s. 1; dalej: RODO), może samodzielnie legalizować czynności sądu.
Bundesarbeitsgericht przyjmował, że sądowe przetwarzanie danych może być dopuszczalne także wtedy, gdy strona zebrała je wcześniej niezgodnie z prawem. Zarazem uznawał art. 17 ust. 3 lit. e RODO jedynie za wyjątek od prawa do usunięcia danych. Sąd odsyłający oczekiwał więc wyjaśnienia podstawy prawnej i pozostałych warunków przetwarzania.
Przetwarzanie przez sąd wymaga własnej podstawy prawnej
TSUE przypomniał, że prawo Unii nie harmonizuje zasad dopuszczalności i oceny dowodów. Określają je państwa członkowskie. Sąd pozostaje jednak związany RODO: włączenie dokumentów do akt, a w przypadku materiałów elektronicznych także ich przeglądanie, pobieranie, przechowywanie lub wykorzystywanie może stanowić przetwarzanie danych.
Podstawą czynności sądu związanych z wnioskami dowodowymi jest przede wszystkim art. 6 ust. 1 lit. c RODO. Sąd wykonuje bowiem prawny obowiązek rozstrzygnięcia o dopuszczalności wniosku, a po jego dopuszczeniu – uwzględnienia dowodu przy orzekaniu. Źródłem tego obowiązku powinno być, zgodnie z art. 6 ust. 3 RODO, prawo Unii albo prawo krajowe.
Podstawa krajowa nie musi szczegółowo opisywać wszystkich okoliczności wykorzystania takich dowodów. Ogólne reguły ustawowe mogą wystarczyć, jeżeli uzupełnia je jasne, precyzyjne i przewidywalne orzecznictwo określające warunki ich wykorzystywania. Regulacje te muszą służyć celowi interesu publicznego i być proporcjonalne. Spełnienie tych wymagań oceni sąd krajowy.
Artykuł 17 ust. 3 lit. e RODO nie stanowi podstawy przetwarzania
Trybunał odrzucił możliwość traktowania art. 17 ust. 3 lit. e RODO jako samodzielnej podstawy zgodności przetwarzania z prawem. Przepis ten jedynie wyłącza prawo do usunięcia danych, gdy przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń. Nie uzupełnia natomiast zamkniętego katalogu przesłanek zawartych w art. 6 ust. 1 RODO.
Potrzeba zachowania danych na użytek sporu może zatem uzasadniać odmowę ich usunięcia, lecz nie przesądza o legalności ich zebrania, przekazania ani dalszego wykorzystania. Każda operacja musi mieć podstawę w art. 6 ust. 1 RODO.
Brak automatycznego zakazu dowodowego
Najistotniejsza teza wyroku dotyczy skutków wcześniejszego naruszenia. Zdaniem TSUE ani art. 5 ust. 1 RODO, ani inne zasady i prawa określone w rozdziałach II i III rozporządzenia nie ustanawiają ogólnego i bezwzględnego zakazu uwzględniania przez sąd danych, które strona przekazująca wcześniej przetwarzała niezgodnie z prawem. Jeżeli dowód jest dopuszczalny według prawa krajowego, sąd może go wykorzystać, nawet gdy zawiera dane pozyskane z naruszeniem prawa do prywatności i ochrony danych, a przedstawiająca go strona nie wykazuje interesu wykraczającego poza zwykły interes w udowodnieniu przywołanych okoliczności.
Uzasadnieniem jest prawo do rzetelnego procesu wynikające z art. 47 Karty Praw Podstawowych UE (Dz.Urz. UE C z 2010 r. Nr 83, s. 389; dalej: KPP). Sąd musi móc zbadać dopuszczalność materiału, a po jego dopuszczeniu uwzględnić go przy orzekaniu. Nie usuwa to jednak ewentualnej bezprawności wcześniejszych działań strony. Wyrok rozdziela zatem odpowiedzialność za pozyskanie lub przechowywanie danych od możliwości ich późniejszego przetwarzania przez sąd.
Wyrok nie rozstrzyga natomiast zasad przetwarzania szczególnych kategorii danych. TSUE uznał pytania dotyczące art. 9 RODO za niedopuszczalne, ponieważ materiał sprawy nie obejmował takich informacji. Wniosków z orzeczenia nie należy więc automatycznie przenosić np. na dowody zawierające dane dotyczące zdrowia bez odrębnej oceny wymagań art. 9 RODO.
Minimalizacja danych na kolejnych etapach postępowania
Sąd pozostaje związany zasadą minimalizacji z art. 5 ust. 1 lit. c RODO i powinien korzystać wyłącznie z danych adekwatnych, stosownych i niezbędnych. TSUE nie wymaga jednak odrębnego, kompleksowego testu proporcjonalności dla każdej operacji, jeżeli podstawa przetwarzania sama spełnia warunek proporcjonalności z art. 6 ust. 3 RODO.
Kontrola powinna odpowiadać etapowi postępowania. Na potrzeby oceny dopuszczalności sąd może zapoznać się z materiałem, który strona uważa za istotny. Przed włączeniem dopuszczonego dokumentu do akt powinien zbadać, czy cały zakres danych jest konieczny, i rozważyć anonimizację, o ile nie naruszy ona praw stron. Przy ujawnianiu danych stronom lub osobom trzecim, w tym w związku z doręczeniem albo publikacją wyroku, potrzebna jest ponowna ocena zakresu oraz ewentualne zastosowanie anonimizacji lub pseudonimizacji.
Naruszenie obowiązku informacyjnego przez stronę lub osobę trzecią także nie tworzy samoistnego zakazu wykorzystania danych przez sąd. Sąd musi jednak przestrzegać RODO w odniesieniu do danych osób trzecich. Prawo Unii nie wymaga, aby strona mogła powołać się na naruszenie ich praw przez przeciwnika. Tę kwestię może regulować prawo krajowe.
Komentarz
Wyrok nie ustanawia zasady, zgodnie z którą „cel procesowy uświęca środki”. Potwierdza, że naruszenie RODO przy pozyskaniu danych i dopuszczalność dowodu to odrębne zagadnienia. Zarzut bezprawnego źródła danych nie powinien prowadzić do ich automatycznego pominięcia, lecz wniesienie materiału do sądu nie usuwa wcześniejszego naruszenia ani jego konsekwencji na gruncie RODO.
Dla pełnomocników praktyczne znaczenie ma ograniczenie materiału przed jego złożeniem. Z korespondencji, historii kont, logów lub zestawień transakcji należy wyodrębnić informacje potrzebne do wykazania tezy dowodowej, a zbędne dane osób postronnych anonimizować. Trzeba też osobno ustalić podstawę zebrania, zachowania i przekazania materiału; art. 17 ust. 3 lit. e RODO nie wystarczy.
Dla sądów orzeczenie oznacza potrzebę rozróżnienia oceny dopuszczalności materiału, włączenia niezbędnych danych do akt oraz ich ujawnienia. Na każdym etapie zakres danych może być inny. Szczególnej ostrożności wymagają dokumenty obejmujące dane osób trzecich, ponieważ sąd odpowiada za własne czynności przetwarzania.
Znaczenie wyroku nie ogranicza się do niemieckich sporów pracowniczych. W polskiej praktyce nie jest on uniwersalną podstawą przyjmowania każdego materiału zdobytego z naruszeniem prawa. Wskazuje natomiast, że z samego RODO nie można wyprowadzać automatycznego zakazu dowodowego. Sąd powinien stosować krajowe reguły dowodowe, mieć własną podstawę przetwarzania i ograniczyć dane do zakresu koniecznego dla rzetelnego rozpoznania sprawy.
Wyrok TSUE z 18.6.2026 r., C-484/24
Artykuł pochodzi z Systemu Legalis. Bądź na bieżąco, polub nas na Facebooku →
