Frågan om hur rättegångsbalkens regler om edition påverkas av GDPR står i fokus i ett färskt förhandsavgörande från EU-domstolen. "Målet kommer ha stor praktisk betydelse och är dessutom en viktig signal från HD om att EU-rätten tas på största allvar", skriver Marios Iacovides, universitetslektor i handelsrätt vid Uppsala universitet, i en analys.
I mål C-268/21, Norra Stockholm Bygg AB mot Per Nycander AB, begärde den svenska Högsta domstolen (HD) att EU-domstolen skulle ta ställning till frågan om – och i så fall hur – GDPR ska tillämpas i en civilrättslig process: närmare bestämt när en part vill förlita sig på bevis bestående av personuppgifter som innehas av den andra parten och som ursprungligen samlades in i skatteändamål.
Omständigheterna i målet
Under en entreprenad för nybyggnad av ett kontorshus som Fastec utförde åt Nycander registrerade de som arbetade sin närvaro i en elektronisk personalliggare. I en pågående tvist om ersättning för den utförda entreprenaden yrkade Nycander att tingsrätten skulle förelägga Entral, som tillhandahöll personalliggaren på uppdrag av Fastec, att förete den aktuella personalliggaren. Detta eftersom Nycander ville använda personalliggaren som motbevis gällande påståendet om att Fastecs personal har lagt ned all den tid som företaget begär betalning för. Fastec bestred Nycanders editionsyrkande – främst med argument om att det skulle stå i konflikt med GDPR.
Tingsrätten förelade Entral att förete personalliggaren för entreprenaden avseende den aktuella perioden i omaskerat skick och Svea hovrätt fastställde sedermera tingsrättens beslut. Fastec överklagade beslutet till HD, som vilandeförklarade målet och begärde ett förhandsavgörande från EU-domstolen för att få klarhet om, och i så fall fall hur, bestämmelserna i dataskyddsförordningen bör tillämpas i det aktuella målet.
Editionsplikten i rättegångsbalken
Editionsplikten i rättegångsbalken (RB) syftar till att den som är i behov av en skriftlig handling som bevis för att kunna komma till sin rätt, ska få tillgång till handlingen. Enligt 38 kap. 2 § första stycket rättegångsbalken (RB) är den som innehar en skriftlig handling, som kan antas ha betydelse som bevis, skyldig att förete handlingen och rätten får enligt 38 kap. 4 § RB förelägga hen att förete den. Undantag från editionsplikten finns i 38 kap. 2 § andra stycket RB och handlar om att vissa befattningshavare (såsom advokater, läkare, psykologer, och präster) inte får förete en handling om innehållet kan antas vara av sådan art att personen inte får höras som vittne om den. Domstolsprövningen av en editionsfråga omfattar en avvägning mellan bevisningens relevans och motpartens intresse av att inte lämna ut uppgifterna.
GDPR:s krav på nationell processrättslig lagstiftning
EU-domstolen börjar med att påpeka att GDPR är tillämpligt på alla domstolsbeslut som kräver att en part i en tvist ska lägga fram bevis, eftersom det utgör behandling av personuppgifter av en aktör inom GDPR:s materiella tillämpningsområde. Artikel 6 i GDPR ställer krav på att en sådan behandling måste baseras på en rättslig grund. I en civilrättslig tvist finns den rättsliga grunden i 38 kap. RB.
Personuppgifterna i personalliggaren hade dock samlats in med stöd i 39 kap. 11 a–c §§ skatteförfarandelagen (2011:1244) för att en avstämning skulle kunna göras vid Skatteverkets eventuella kontrollbesök vid arbetsplatsen, i syfte att minska förekomsten av svartarbete och att skapa sunda konkurrensförhållanden.
EU-domstolen fann därmed att den svenska domstolens behandling av personalliggaren som bevis i tvisten skulle utgöra en vidarebehandling som skulle göras i ett nytt ändamål i förhållande till det ursprungliga skattemässiga behandlingsändamålet. Denna vidarebehandling grundade sig inte på de registrerades samtycke.
Konsekvensen av detta är att vidarebehandlingen, utöver att ha stöd i nationell rätt som finns i 38 kap. RB, även måste anses utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle, i den mening som avses i artikel 6.4 GDPR, samt skydda åtminstone ett av de mål som avses i artikel 23.1 GDPR.
EU-domstolen framhåller att det är HD:s uppgift att pröva detta, men påpekar samtidigt att det finns två relevanta mål att beakta i artikel 23.1 GDPR, nämligen ”skydd av rättsväsendets oberoende och rättsliga åtgärder” samt ”verkställighet av civilrättsliga anspråk”. EU-domstolen poängterar även att artikel 6.3 och 6.4 GDPR inte gör någon åtskillnad mellan materiella och processuella bestämmelser i nationell rätt. HD kan därmed bortse från det faktum att 38 kap. RB är en processuell bestämmelse i sin prövning enligt GDPR.
Avvägningen av olika intressen enligt RB och GDPR
De relevanta bestämmelserna i 38 kap. RB kräver inte uttryckligen att hänsyn ska tas till de registrerade personernas intressen vid bedömningen av huruvida edition ska beslutas rörande en handling med personuppgifter. Som nämns ovan görs avvägningen i stället mellan bevisningens relevans och motpartens intresse av att inte lämna ut uppgifterna. Frågan som aktualiserades var om GDPR innebär någon förändring till hur avvägningen hittills gjorts av svenska domstolar.
EU-domstolen anmärker att nationella domstolar i ett tvistemål måste säkerställa skyddet för fysiska personer med avseende på behandling av personuppgifter, något som framgår av skälen 1 och 2 i GDPR samt skyddas enligt artikel 8.1 i stadgan om de grundläggande rättigheterna och artikel 16 FEUF. Till det tillkommer krav på de nationella domstolarna att garantera rätten till respekt för privatlivet enligt artikel 7 i stadgan. Samtidigt kan dessa rättigheter begränsas i enlighet med proportionalitetsprincipen för att säkerställa skyddet för andra rättigheter, såsom det i målet aktuella rätten till ett effektivt domstolsskydd enligt artikel 47 i stadgan. Detta kan kräva att parterna i ett tvistemål ges tillgång till handlingar som kan innehålla parternas eller andras personuppgifter.
Proportionalitetsbedömningen måste göras med hänsyn till principen om uppgiftsminimering som finns i artikel 5.1.c GDPR. Principen kräver att personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Om den nationella domstolen beslutar om edition av en handling med personuppgifter ställer principen om uppgiftsminimering ytterligare krav på domstolen att överväga att besluta om ytterligare åtgärder för att skydda personuppgifterna. Ett exempel av detta kan vara pseudonymisering.
"Stor praktisk betydelse"
Målet är ett nytt och viktigt exempel på hur EU-rätten har förmågan att påverka medlemsstaternas nationella lagstiftning, även på områden som inte direkt regleras av EU-rätt. För alla som processar i svenska domstolar, samt för parterna i dessa processer, kommer detta mål vara av stor praktisk betydelse när det gäller editionsyrkande om bevisning som innehåller personuppgifter som skyddas av GDPR.
Man kan förvänta sig att de svenska domstolarnas avvägning av olika intressen under kap. 38 RB framöver kommer att vara än mer komplext än tidigare. Förutom bevisningens relevans och motpartens intresse av att inte lämna ut uppgifterna så måste även de registrerade personernas intressen beaktas – och en bedömning ska göras gällande nödvändighet och proportionalitet, med hänsyn till principen om uppgiftsminimering.
Givet att svenska domstolar har kritiserats tidigare av såväl kommissionen som akademiker och praktiker för att inte begära förhandsavgöranden i tillräcklig utsträckning, är målet även en viktig signal från HD om att EU-rätten nu tas på största allvar och kommer ges full verkan. Det är värt att notera att HD även nyligen (mål Ö 5978-21, från den 20 december 2022) beslutade att undanröja ett beslut fattat av Patent- och Marknadsöverdomstolen angående ett förlängt patentskydd just eftersom domstolen hade underlåtit att inhämta ett förhandsavgörande från EU-domstolen.
Det verkar således att de gamla tiderna, när svenska domstolar alltför lättvindigt utgick från att EU-rätten antingen var irrelevant eller att de själva kunde ge fullgoda svar på alla EU-rättsliga frågor, tillhör det förflutna.