Concluziile avocatului general domnul D. Spielmann prezentate la 16 octombrie 2025.###

Întrebarea preliminară care face obiectul prezentelor concluzii specifice, în conformitate cu cererea Curții, privește interpretarea articolului 5 alineatul (1) litera (e) din Regulamentul (UE) 2016/679 ( 2 ). Curtea este chemată în esență să analizeze dacă și în ce măsură datele cu caracter personal prezentate ca elemente de probă în cadrul unei proceduri judiciare naționale, care au fost obținute prin recurgerea la alte date cu caracter personal colectate inițial sau păstrate cu încălcarea principiului limitărilor legate de stocare, pot fi prelucrate de instanța națională în mod legal.

Cererea de decizie preliminară a fost formulată de Landesarbeitsgericht Niedersachsen (Tribunalul Superior pentru Litigii de Muncă din Saxonia Inferioară, Germania) în cadrul unui litigiu între NTH Haustechnik GmbH (denumită în continuare „NTH”), pe de o parte, și fosta sa angajată (denumită în continuare „pârâta”), pe de altă parte, în legătură cu o acțiune în despăgubire în vederea reparării unui prejudiciu legat de vânzarea online neautorizată de către pârâtă a unor bunuri care aparțineau NTH.

Articolul 5 alineatul (1) din RGPD, intitulat „Principii legate de prelucrarea datelor cu caracter personal”, prevede: „(1) Datele cu caracter personal sunt: (a) prelucrate în mod legal, echitabil și transparent față de persoana vizată («legalitate, echitate și transparență»); […] (e) păstrate într‑o formă care permite identificarea persoanelor vizate pe o perioadă care nu depășește perioada necesară îndeplinirii scopurilor în care sunt prelucrate datele; datele cu caracter personal pot fi stocate pe perioade mai lungi în măsura în care acestea vor fi prelucrate exclusiv în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice, în conformitate cu articolul 89 alineatul (1), sub rezerva punerii în aplicare a măsurilor de ordin tehnic și organizatoric adecvate prevăzute în prezentul regulament în vederea garantării drepturilor și libertăților persoanei vizate («limitări legate de stocare»); […]”

Articolul 6 din RGPD, intitulat „Legalitatea prelucrării”, menționează că: „(1) Prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una dintre următoarele condiții: […] (e) prelucrarea este necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul; […] (2) Statele membre pot menține sau introduce dispoziții mai specifice de adaptare a aplicării normelor prezentului regulament în ceea ce privește prelucrarea în vederea respectării alineatului (1) literele (c) și (e) prin definirea unor cerințe specifice mai precise cu privire la prelucrare și a altor măsuri de asigurare a unei prelucrări legale și echitabile, inclusiv pentru alte situații concrete de prelucrare, astfel cum este prevăzut în capitolul IX. (3) Temeiul pentru prelucrarea menționată la alineatul (1) literele (c) și (e) trebuie să fie prevăzut în: (a) dreptul Uniunii; sau (b) dreptul intern care se aplică operatorului. Scopul prelucrării este stabilit pe baza respectivului temei juridic sau, în ceea ce privește prelucrarea menționată la alineatul (1) litera (e), este necesar pentru îndeplinirea unei sarcini efectuate în interes public sau în cadrul exercitării unei funcții publice atribuite operatorului. Respectivul temei juridic poate conține dispoziții specifice privind adaptarea aplicării normelor prezentului regulament, printre altele: condițiile generale care reglementează legalitatea prelucrării de către operator; tipurile de date care fac obiectul prelucrării; persoanele vizate; entitățile cărora le pot fi divulgate datele și scopul pentru care respectivele date cu caracter personal pot fi divulgate; limitările legate de scop; perioadele de stocare; și operațiunile și procedurile de prelucrare, inclusiv măsurile de asigurare a unei prelucrări legale și echitabile cum sunt cele pentru alte situații concrete de prelucrare astfel cum sunt prevăzute în capitolul IX. Dreptul Uniunii sau dreptul intern urmărește un obiectiv de interes public și este proporțional cu obiectivul legitim urmărit. […]”

Articolul 23 din RGPD, intitulat „Restricții”, prevede: „(1) Dreptul Uniunii sau dreptul intern care se aplică operatorului de date sau persoanei împuternicite de operator poate restricționa printr‑o măsură legislativă domeniul de aplicare al obligațiilor și al drepturilor prevăzute la articolele 12-22 și 34, precum și la articolul 5 în măsura în care dispozițiile acestuia corespund drepturilor și obligațiilor prevăzute la articolele 12-22, atunci când o astfel de restricție respectă esența drepturilor și libertăților fundamentale și constituie o măsură necesară și proporțională într‑o societate democratică, pentru a asigura: […] (j) punerea în aplicare a pretențiilor de drept civil. […]”

Articolul 138 din Zivilprozessordnung (Codul de procedură civilă) din 30 ianuarie 1877 ( 3 ), intitulat „Obligația de a explica faptele; obligația de adevăr”, prevede, în versiunea aplicabilă litigiului principal: „(1) Părțile fac declarații complete și conforme cu adevărul în ceea ce privește faptele. (2) Fiecare parte își expune punctul de vedere cu privire la faptele susținute de cealaltă parte. (3) Faptele care nu sunt contestate în mod expres se consideră recunoscute, dacă din celelalte declarații ale părții nu rezultă intenția de a le contesta. (4) Declarația făcută în necunoștință de cauză este valabilă numai cu privire la faptele care nu privesc actele proprii ale părții și care nu au fost percepute direct de aceasta.”

Articolul 3 din Bundesdatenschutzgesetz (Legea federală privind protecția datelor) din 30 iunie 2017 ( 4 ), intitulat „Prelucrarea datelor cu caracter personal de către autoritățile publice”, în versiunea aplicabilă litigiului principal, prevede: „Prelucrarea datelor cu caracter personal de către un organism public este autorizată dacă prelucrarea este necesară pentru îndeplinirea unei sarcini care ține de competența operatorului sau de exercitarea autorității publice cu care este învestit.”

NTH este o societate care exploatează o întreprindere de încălzire și de climatizare. Pârâta era o angajată a societății și era căsătorită cu administratorul acesteia. Fiul pârâtei și al administratorului NTH este de asemenea angajat al acestei societăți.

Raportul de muncă dintre NTH și pârâtă a încetat la 31 octombrie 2019, iar soții s‑au separat la 26 iunie 2022. Cu toate acestea, până la separare, pârâta a continuat să aibă posibilitatea de a intra în localurile societății și de a utiliza computerele care se aflau acolo. Aspectul dacă aceasta a procedat astfel numai în scopuri private sau dacă a continuat să desfășoare activități pentru NTH este în litigiu.

Imediat după separarea soților, NTH a stabilit că pârâta vânduse pe cont propriu active profesionale ale societății prin intermediul platformei de vânzare online eBay și îi solicită despăgubiri în acest sens.

Instanța de trimitere arată că NTH a luat cunoștință de operațiunile de vânzare ale pârâtei datorită unui acces informatizat la contul privat eBay al pârâtei. În acest scop, fiul pârâtei și al administratorului NTH ar fi utilizat numele de utilizator și parola contului eBay al pârâtei. Aspectul privind modul în care a luat cunoștință de acestea este în litigiu.

În această privință, NTH afirmă că a obținut informațiile referitoare la utilizarea platformei de vânzare online eBay de către pârâtă prin consultarea istoricului de navigare al computerului profesional al societății utilizat de aceasta din urmă și că a aflat parola consultând un „dosar familial” creat pe serverul NTH, în care parola era înregistrată. În schimb, pârâta afirmă că nu și‑a păstrat parola de utilizator eBay în spațiile de stocare informatică ale întreprinderii și susține că NTH a utilizat telefonul mobil, care era înregistrat pe numele societății, dar pe care îl utiliza pârâta, pentru a modifica parola contului privat al pârâtei pe platforma eBay.

Instanța de trimitere consideră că colectarea și păstrarea datelor pe care le‑a efectuat NTH și prin care a luat cunoștință de vânzările realizate de pârâtă pe platforma de vânzare online eBay au putut fi realizate în mod nelegal. În plus, aceasta consideră că propria sa activitate judiciară și, dacă este cazul, utilizarea datelor colectate de NTH în scopul luării deciziei sale constituie o prelucrare de date în sensul RGPD. În acest sens, instanța de trimitere ridică în esență problema condițiilor care trebuie stabilite de reglementarea națională pentru acte de prelucrare a datelor efectuate în cadrul unei funcții judiciare, precum și a temeiurilor juridice și a criteriilor de fond care trebuie să guverneze astfel de acte.

În aceste condiții, Landesarbeitsgericht Niedersachsen (Tribunalul Superior pentru Litigii de Muncă din Saxonia Inferioară) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare: „1) În cazul unei activități de prelucrare independentă realizată de o instanță în exercițiul funcției judiciare care intră în domeniul de aplicare al articolului 6 alineatul (1) litera (e) și alineatul (3) din RGPD, dispozițiile articolului 92 din Grundgesetz (Legea fundamentală) și ale articolelor 138, 286, 355 și următoarele din Codul de procedură civilă respectă cerința privind precizia legii aplicabile care decurge din articolul 8 alineatul (2) și de la articolul 52 alineatul (1) din Carta drepturilor fundamentale a Uniunii Europene[ ( 5 )], precum și din articolul 5 alineatul (1) litera (c) din [RGPD], dacă activitatea de prelucrare de către instanță implică ingerințe în drepturile fundamentale ale unei părți sau ale unui terț? 2) a) O instanță națională care prelucrează date – în special cu caracter personal – se poate baza pe faptul că articolul 17 alineatul (3) litera (e) din RGPD îi permite să realizeze această prelucrare sau articolele 6 și 9 din RGPD constituie temeiul exclusiv pentru activitatea de prelucrare de către instanță în exercițiul funcției judiciare? b) În cazul în care articolul 17 alineatul (3) litera (e) din RGPD poate constitui un temei juridic pentru activitatea de prelucrare de către instanță în exercițiul funcției judiciare: aa) este acest lucru valabil și în cazurile în care colectarea inițială a acestor date de către o parte din proces sau un terț nu a avut loc în mod legal? bb) prelucrarea datelor colectate inițial în mod nelegal conduce, din punctul de vedere al dreptului derivat și ținând seama de principiul general aplicabil al bunei‑credințe [articolul 5 alineatul (1) litera (a) din RGPD], la o limitare a prelucrării de către instanță în exercițiul funcției judiciare, în sensul că articolul 17 alineatul (3) litera (e) din RGPD este aplicabil numai în anumite condiții sau în anumite limite? cc) dispoziția articolului 17 alineatul (3) litera (e) din RGPD trebuie înțeleasă în sensul că o interdicție de valorificare de către instanță a datelor obținute inițial în mod nelegal nu se aplică – instanța trebuie, așadar, să valorifice aceste date – în toate cazurile în care colectarea inițială a datelor nu a fost realizată în secret și a fost utilizată pentru a dovedi încălcarea cu intenție a unei obligații? 3) Independent de aspectul dacă activitatea de prelucrare de către instanță în exercițiul funcției judiciare intră în domeniul de aplicare al articolului 17 alineatul (3) litera (e) din RGPD sau al articolului 6 alineatul (1) litera (c) ori litera (e) și alineatul (3), al articolului 9 din RGPD sau al unei alte dispoziții de dreptul Uniunii: a) din principiile necesității și reducerii la minimum care guvernează regimul protecției datelor potrivit articolului 52 alineatul (1) a doua teză din Carta drepturilor fundamentale și articolului 5 alineatul (1) litera (a) din RGPD, în ceea ce privește în special prelucrarea datelor care au fost inițial colectate și stocate în mod nelegal, trebuie să se deducă necesitatea ca instanța să realizeze un control de proporționalitate și o evaluare comparativă a tuturor intereselor? b) care sunt efectele pe care articolul 5 alineatul (1) litera (e) din RGPD – care prevede că datele cu caracter personal se păstrează pe o perioadă care nu depășește perioada necesară îndeplinirii scopului – le produce asupra activității ulterioare de prelucrare de către instanță în exercițiul funcției judiciare, în special în situația în care – colectarea inițială a avut loc în alte scopuri; sau – colectarea inițială ilegală a avut loc în urmă cu mult timp; sau – stocarea ilegală a durat perioade mai lungi; sau – colectarea inițială a datelor se referă la date care au fost stocate – posibil în mod nelegal – în urmă cu mult timp; sau – organismul sau persoana care a prelucrat ori a colectat datele nu a realizat ștergerea lor, deși s‑a obligat unilateral sau prin convenție individuală ori colectivă să le șteargă într‑un anumit interval de timp? c) din dreptul Uniunii, în special din articolul 8 din [cartă], din articolul 6 alineatul (1) litera (c) sau litera (e) și alineatul (3), precum și din articolul 9 din RGPD, rezultă că instanța națională poate valorifica mijloacele de probă care au fost obținute cu încălcarea drepturilor personalității numai în cazul în care există un interes care trebuie recunoscut al părții căreia îi revine sarcina probei și care excedează simplul interes de a proba sau dreptul Uniunii nu cuprinde în această privință nicio dispoziție, astfel încât normele în acest sens trebuie prevăzute în ordinea juridică națională? d) din articolul 47 al doilea paragraf din cartă, care consacră dreptul la protecție jurisdicțională efectivă și în special dreptul la un proces echitabil, potrivit căruia părțile dintr un proces civil trebuie să poată în principiu să motiveze suficient obiectivul protecției jurisdicționale și să dovedească faptul că prelucrarea de către instanță a datelor cu caracter personal ale lucrătorului reclamant care au fost colectate în mod nelegal de angajator poate fi considerată necorespunzătoare și neproporțională în sens restrâns numai în cazul în care colectarea datelor se dovedește a fi, potrivit dreptului Uniunii, o încălcare a articolelor 7 și 8 din cartă, iar alte sancțiuni care pot fi aplicate angajatorului (de exemplu, plata de despăgubiri potrivit articolului 82 din RGPD și impunerea unor amenzi în conformitate cu articolul 83 din RGPD) ar fi totalmente insuficiente, ori caracterul necorespunzător și neproporțional poate rezulta și din alte încălcări, mai puțin grave, săvârșite cu ocazia colectării inițiale a datelor? e) atunci când decide dacă valorifică, în cadrul unei prelucrări realizate în exercițiul funcției judiciare, datele colectate inițial de o parte sau de un terț, instanța trebuie să aprecieze dacă cel care a colectat datele și‑a îndeplinit sau nu obligațiile de a furniza informații în conformitate cu articolul 13 din RGPD? În cazul unui răspuns afirmativ: care sunt condițiile și criteriile pe baza cărora instanța apreciază acest fapt? f) împrejurarea că la prelucrarea datelor cu caracter personal instanța trebuie să respecte RGPD și [carta] se referă și la datele cu caracter personal ale unui terț? În ce mod se repercutează o eventuală încălcare a normelor privind protecția datelor, săvârșită față de un terț cu ocazia colectării inițiale a datelor, asupra prelucrării ulterioare de către instanță într‑un litigiu între două părți? O parte se poate sau nu se poate întemeia pe o încălcare care nu a fost săvârșită față de ea, ci față de un terț?”

Comisia Europeană și guvernele german, maghiar și finlandez au depus observații scrise. Comisia și guvernul german au prezentat observații orale în ședința care a avut loc la 2 iulie 2025.

Prin intermediul celei de a treia întrebări preliminare litera b), care face obiectul prezentelor concluzii specifice, instanța de trimitere ridică în esență problema efectelor pe care prelucrările de date contrare principiului limitărilor legate de stocare, prevăzut la articolul 5 alineatul (1) litera (e) din RGPD, le au asupra legalității „actelor ulterioare de prelucrare” ( 6 ), în cadrul activității sale judiciare, a altor date care nu au putut fi obținute decât prin recurgerea la aceste prime date.

Pentru înțelegerea cauzei, considerăm că este util să precizăm că trebuie să se facă distincția între două tipuri de date cu caracter personal în discuție în prezenta cauză. Pe de o parte, datele referitoare la pârâtă stocate pe serverul NTH și în istoricul de navigare al computerului societății utilizat de pârâtă sau chiar în telefonul societății pus la dispoziția pârâtei au permis NTH să recupereze parola și numele de utilizator eBay ale pârâtei pentru a accesa contul său privat pe platforma de vânzare online eBay. Din motive de comoditate, în prezentele concluzii vom utiliza termenul „date inițiale” în privința lor. Pe de altă parte, datele referitoare la vânzările activelor profesionale ale societății, care au fost extrase de pe site‑ul eBay și care au servit drept temei pentru acțiunea în justiție introdusă de NTH împotriva pârâtei, vor fi denumite „date privind vânzările”.

În primul rând, în ceea ce privește datele inițiale, instanța de trimitere a arătat că este în litigiu chestiunea modului în care fiul pârâtei și al administratorului NTH a aflat parola și numele de utilizator eBay ale pârâtei. Cu toate acestea, în cadrul celei de a treia întrebări preliminare litera b), ea pare să pornească de la premisa că aceste date au fost colectate și păstrate cu încălcarea principiului limitărilor legate de stocare, prevăzut la articolul 5 alineatul (1) litera (e) din RGPD, potrivit căruia datele cu caracter personal trebuie păstrate „pe o perioadă care nu depășește perioada necesară îndeplinirii scopurilor în care sunt prelucrate datele”.

În acest scop, instanța de trimitere se referă la faptul că „colectarea inițială a datelor avea alte scopuri”. Aceasta menționează de asemenea o colectare nelegală care „datează dintr‑o perioadă îndepărtată”, o păstrare nelegală „de la o dată cu mult timp în urmă” sau care „a durat mult timp”, precum și nerespectarea unei obligații contractuale de a șterge datele colectate „într‑un termen determinat”. Înțelegem că este vorba despre a susține că colectarea datelor inițiale avea alte scopuri decât acela de a permite societății să colecteze ulterior alte date, și anume datele referitoare la vânzări, în scopul introducerii unei acțiuni în justiție împotriva pârâtei și că perioada de păstrare a datelor inițiale ar fi depășit perioada necesară pentru atingerea scopurilor pentru care aceste date au fost inițial colectate și păstrate ( 7 ).

În al doilea rând, în ceea ce privește datele referitoare la vânzări, acestea nu pot, în opinia noastră, să fie vizate de ipotezele unei colectări inițiale care ar fi avut „alte scopuri”, precum și ale unei stocări care s‑ar fi produs într‑o perioadă îndepărtată, care ar fi continuat pe perioade lungi sau care ar fi fost efectuată cu încălcarea unei obligații contractuale de ștergere. Astfel, din elementele dosarului nu reiese nicidecum că aceste date ar fi fost mult timp păstrate de NTH sau că colectarea lor de către NTH ar fi avut un alt scop decât introducerea unei acțiuni în justiție împotriva pârâtei. Pe de altă parte, nu este vorba despre o colectare ipotetică sau păstrare nelegală a datelor de vânzare online prin eBay.

Cu toate acestea, în opinia noastră, din cererea de decizie preliminară reiese că instanța de trimitere pornește de la premisa că, în măsura în care NTH a încălcat efectiv principiul prevăzut la articolul 5 alineatul (1) litera (e) din RGPD în ceea ce privește datele inițiale, utilizarea ulterioară a acestor date pentru a accesa contul privat eBay al pârâtei este afectată de nelegalitate, precum și, pe cale de consecință, colectarea de către NTH a datelor privind vânzările ( 8 ).

Prin urmare, interesul prezentei cauze constă în legalitatea prelucrării datelor referitoare la vânzări de către instanța de trimitere în cadrul activității sale judiciare, întrucât RGPD se aplică tuturor operațiunilor de prelucrare efectuate de autoritățile judiciare, precum instanța de trimitere ( 9 ). Rezultă că trebuie să se țină seama, în răspunsul care trebuie dat acestei instanțe, de condițiile de legalitate a prelucrării datelor cu caracter personal prevăzute la articolul 6 din RGPD.

În consecință, în scopul prezentei cauze, propunem Curții să reformuleze a treia întrebare preliminară litera b) astfel încât Curtea să aprecieze dacă articolul 5 alineatul (1) litera (e) din RGPD coroborat cu articolul 6 din acest regulament trebuie interpretat în sensul că principiul „limitărilor legate de stocare”, prevăzut de această dispoziție, se opune ca o instanță națională să poată efectua, în cadrul funcției sale judiciare, prelucrarea datelor care au fost obținute prin recurgerea la alte date a căror colectare inițială sau stocare a fost efectuată cu încălcarea principiului menționat sau chiar impune instanței naționale cerințe speciale în ceea ce privește modalitățile de utilizare a acestor date cu caracter personal.

Amintim că orice prelucrare a datelor cu caracter personal, inclusiv prelucrările efectuate de autoritățile publice precum instanțele, trebuie să respecte principiile care reglementează prelucrările datelor cu caracter personal, precum și drepturile persoanei în cauză prevăzute în capitolele II și, respectiv, III din RGPD. În special, astfel de prelucrări trebuie să fie conforme cu principiile enunțate la articolul 5 din acest regulament și, având în vedere principiul legalității prelucrării, prevăzut la alineatul (1) litera (a) al acestui articol, trebuie să îndeplinească condițiile de legalitate enumerate la articolul 6 din regulamentul menționat ( 10 ). Această din urmă dispoziție prevede, la alineatul (1), o listă exhaustivă și limitativă a cazurilor în care o prelucrare de date cu caracter personal poate fi considerată ca fiind legală. Pentru a putea fi considerată legitimă, o prelucrare trebuie să se încadreze în unul dintre cazurile prevăzute de această dispoziție ( 11 ).

Mai precis, prelucrarea datelor cu caracter personal în discuție în litigiul principal, și anume utilizarea lor de către instanța de trimitere în cadrul procesului jurisdicțional, poate intra sub incidența articolului 6 alineatul (1) litera (e) din RGPD, în temeiul căruia prelucrarea este legală numai dacă și în măsura în care este „necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul”, această dispoziție corespunzând de altfel articolului 3 din Legea federală privind protecția datelor ( 12 ).

Astfel cum s‑a arătat la punctele 16-22 din prezentele concluzii, în litigiul principal se ridică problema efectelor pe care diverse încălcări săvârșite de NTH ale principiului limitărilor legate de stocare prevăzut la articolul 5 alineatul (1) litera (e) din RGPD le au asupra admisibilității și utilizării datelor referitoare la vânzări de către instanța de trimitere în cadrul activității sale judiciare.

În această privință, amintim că, potrivit unei jurisprudențe constante, interpretarea unei dispoziții a dreptului Uniunii impune să se țină seama nu numai de termenii săi, ci și de contextul în care se înscrie, precum și de obiectivele și de finalitatea urmărite de actul din care aceasta face parte ( 13 ).

În ceea ce privește articolul 5 alineatul (1) litera (e) din RGPD, Curtea a subliniat deja că reiese fără ambiguitate din modul de redactare a acestui articol că principiul „limitărilor legate de stocare” impune ca operatorul să fie în măsură să demonstreze că datele cu caracter personal sunt stocate numai pentru perioada necesară realizării scopurilor pentru care au fost colectate sau pentru care au fost prelucrate ulterior. Astfel, chiar și o prelucrare inițial legală a datelor poate deveni cu timpul incompatibilă cu RGPD atunci când aceste date nu mai sunt necesare pentru realizarea unor astfel de scopuri ( 14 ).

Din punct de vedere contextual, articolul 5 alineatul (1) litera (e) din RGPD se înscrie printre principiile referitoare la prelucrarea datelor prevăzute la articolul 5 din acest regulament și constituie o expresie a principiului proporționalității. Acesta implică faptul că trebuie efectuată o apreciere a caracterului proporțional al prelucrării în raport cu scopul său, având în vedere trecerea timpului. Astfel, considerentul (39) al RGPD enunță în mod explicit că perioada pentru care datele cu caracter personal sunt stocate trebuie să fie „limitată strict la minimum” și că, „[î]n vederea asigurării faptului că datele cu caracter personal nu sunt păstrate mai mult timp decât este necesar, ar trebui să se stabilească de către operator termene pentru ștergere sau revizuirea periodică” ( 15 ).

În ceea ce privește obiectivul urmărit de articolul 5 alineatul (1) litera (e) din RGPD, acesta constă, după cum reiese din considerentul (10) al aceluiași regulament, în asigurarea unui nivel ridicat de protecție a persoanelor fizice în cadrul Uniunii în ceea ce privește prelucrarea datelor lor cu caracter personal ( 16 ).

Articolul 5 alineatul (1) litera (e) din RGPD privește astfel numai cerințele pe care trebuie să le îndeplinească stocarea datelor cu caracter personal ( 17 ) și nu permite, așadar, să se dea un răspuns precis la chestiunea incidenței unei nerespectări de către un prim operator a principiului limitărilor legate de stocarea datelor cu caracter personal asupra prelucrării datelor cu caracter personal de către o instanță națională în cadrul activității sale judiciare. Un asemenea răspuns nu reiese, pe de altă parte, în opinia noastră, dintr‑o altă dispoziție a acestui regulament.

Nici articolul 5 alineatul (1) litera (e) din RGPD, nici articolul 6 alineatul (1) litera (e) din acest regulament nu interzic în mod general și absolut ca o autoritate publică, precum o instanță, să fie abilitată să țină seama de datele obținute de una dintre părțile în litigiu prin recurgerea la alte date cu caracter personal a căror prelucrare de către această parte ar fi fost contrară principiului limitărilor legate de stocare.

Or, în lipsa unor norme ale Uniunii în materie, revine ordinii juridice interne a fiecărui stat membru, în temeiul principiului autonomiei procedurale a statelor membre, atribuția de a stabili modalitățile procedurale aplicabile acțiunilor în justiție destinate să asigure protecția drepturilor conferite justițiabililor de dreptul Uniunii, cu condiția însă ca acestea să nu fie mai puțin favorabile decât cele aplicabile unor situații similare supuse dreptului intern (principiul echivalenței) și de a nu face imposibilă în practică sau excesiv de dificilă exercitarea drepturilor conferite de dreptul Uniunii (principiul efectivității) ( 18 ). În plus, statele trebuie să își utilizeze marja de apreciere în condițiile și în limitele prevăzute de RGPD și să legifereze astfel încât să nu aducă atingere conținutului și obiectivelor acestuia ( 19 ).

Mai precis, conform articolului 6 alineatul (3) din RGPD coroborat cu considerentele (10) ( 20 ), (20) ( 21 ) și (45) ( 22 ) ale acestui regulament, temeiul juridic care servește drept temei pentru prelucrarea menționată la articolul 6 alineatul (1) litera (e) din regulamentul menționat, indiferent dacă este vorba despre dreptul Uniunii sau despre dreptul intern care se aplică operatorului, trebuie să urmărească un obiectiv de interes public și să fie proporțional cu obiectivul legitim urmărit. Acest temei juridic poate conține dispoziții specifice pentru adaptarea aplicării normelor RGPD, cum ar fi, printre altele, condițiile generale care reglementează legalitatea prelucrării de către operator sau operațiunile și procedurile de prelucrare, inclusiv măsuri de asigurare a unei prelucrări legale și echitabile, precum cele pentru alte situații concrete de prelucrare, prevăzute în capitolul IX din RGPD ( 23 ). Statele membre sunt abilitate astfel să mențină sau să introducă dispoziții naționale destinate să precizeze mai mult aplicarea normelor acestui regulament, astfel cum prevede articolul 6 alineatul (2) din regulamentul menționat.

Pe de altă parte, RGPD prevede că statele membre pot deroga, printre altele, de la articolul 5 din acest regulament atunci când acest lucru este necesar pentru a proteja anumite obiective importante de interes public general, printre care, pentru situația care ne interesează, „punerea în aplicare a pretențiilor de drept civil”. Astfel, articolul 23 alineatul (1) litera (j) ( 24 ) din RGPD enunță că dreptul Uniunii și dreptul statelor membre pot restricționa printr‑o măsură legislativă domeniul de aplicare al obligațiilor și al drepturilor prevăzute în acesta atunci când o astfel de restricție respectă esența drepturilor și libertăților fundamentale și constituie o măsură necesară și proporțională într‑o societate democratică pentru a asigura anumite obiective importante de interes public general precum cel menționat mai sus ( 25 ).

În sfârșit, trebuie amintit că drepturile fundamentale la respectarea vieții private și la protecția datelor cu caracter personal nu sunt prerogative absolute, astfel cum se arată la considerentul (4) al RGPD, ci trebuie să fie luate în considerare în raport cu funcția lor în societate și trebuie echilibrate cu alte drepturi fundamentale, precum dreptul la o protecție jurisdicțională efectivă, garantat la articolul 47 din cartă ( 26 ).

Astfel, pot fi impuse restrângeri, cu condiția ca, în conformitate cu articolul 52 alineatul (1) din cartă, acestea să fie prevăzute de lege și să respecte substanța drepturilor fundamentale, precum și principiul proporționalității. În temeiul acestui din urmă principiu, pot fi impuse restrângeri numai în cazul în care acestea sunt necesare și numai dacă urmăresc efectiv obiective de interes general recunoscute de Uniune sau necesitatea protejării drepturilor și a libertăților celorlalți. Acestea trebuie să indice în ce împrejurări și în ce condiții poate fi luată o măsură care prevede prelucrarea unor asemenea date, garantând în acest mod că o ingerință este limitată la strictul necesar. Reglementarea care cuprinde ingerința trebuie de altfel să prevadă norme clare și precise care să reglementeze conținutul și aplicarea măsurii respective ( 27 ) și să impună o serie de cerințe minime astfel încât persoanele ale căror date cu caracter personal sunt vizate să dispună de garanții suficiente care să permită protejarea în mod eficient a acestor date împotriva riscurilor de abuz ( 28 ).

Adăugăm că dreptul Uniunii nu reglementează problema admisibilității probelor în procedurile judiciare naționale, care, în conformitate cu principiul autonomiei procedurale a statelor membre, intră sub incidența dreptului național, sub rezerva respectării în special a principiilor echivalenței și efectivității, astfel cum s‑a arătat la punctul 33 din prezentele concluzii ( 29 ). Nici Curtea Europeană a Drepturilor Omului ( 30 ) nu consideră că este de competența sa să se pronunțe cu privire la admisibilitatea elementelor de probă obținute în mod nelegal, materie care ține în primul rând de dreptul intern. Din jurisprudența Curții EDO referitoare la articolul 6 din Convenția europeană pentru apărarea drepturilor omului și a libertăților fundamentale ( 31 ) reiese în esență că competența Curții EDO privește aspectul dacă procedura, inclusiv modul în care au fost obținute elementele de probă, este echitabilă în ansamblul său. Aceasta implică examinarea „nelegalității” în cauză și, în cazurile în care se află în discuție încălcarea unui alt drept protejat de această convenție, a naturii acestei încălcări ( 32 ).

De asemenea, Curtea a considerat deja că revine, în principiu, numai dreptului național sarcina de a stabili normele referitoare la admisibilitatea și la aprecierea, în cadrul unei proceduri penale inițiate împotriva unor persoane suspectate de acte de infracționalitate gravă, a informațiilor și a elementelor de probă care au fost obținute printr‑o stocare a datelor contrară dreptului Uniunii. Normele naționale privind admisibilitatea, excluderea sau exploatarea elementelor de probă care conțin date cu caracter personal trebuie să respecte și principiul contradictorialității, precum și dreptul la un proces echitabil ( 33 ). Situația nu poate fi diferită în cadrul unei proceduri civile.

Rezultă din ceea ce precedă că, în lipsa unor norme ale Uniunii în materie, aspectele legate de admisibilitatea și de modalitățile de utilizare a datelor cu caracter personal de către o instanță națională în cadrul activității sale judiciare, inclusiv atunci când aceste date sunt afectate în mod indirect de o prelucrare contrară principiului limitărilor legate de stocarea altor date cu caracter personal care au servit la obținerea lor, trebuie să își găsească temeiul juridic în dreptul statului membru căruia îi este supus operatorul, în sensul articolului 6 alineatul (3) litera (b) din RGPD coroborat cu articolul 23 alineatul (1) din acest regulament.

Or, din elementele dosarului reiese că unul dintre temeiurile juridice ale prezentării datelor referitoare la vânzările activelor profesionale ale societății ca elemente de probă în cadrul unei acțiuni în justiție este articolul 138 din Codul de procedură civilă, care prevede obligația părților din litigiu de a explica faptele. Articolul 3 din Legea federală privind protecția datelor stabilește posibilitatea unui organism public de a efectua prelucrarea datelor cu caracter personal care este necesară pentru îndeplinirea unei sarcini care intră în competența sa ( 34 ).

Pe de altă parte, instanța de trimitere a menționat că nici Legea federală privind protecția datelor, nici Codul de procedură civilă nu conțin norme cu privire la condițiile care trebuie îndeplinite sau cu privire la criteriile care trebuie evaluate comparativ pentru a putea stabili dacă îi revine sau dacă este posibil sau permis unei instanțe să țină seama de elementele de fapt invocate de o parte sau să administreze probele oferite de o parte. În special, nu ar fi prevăzută nicio dispoziție pentru cazurile în care partea a obținut în mod nelegal informațiile pe care se întemeiază sau pentru cele în care se întemeiază pe probe obținute în mod nelegal. În procedura civilă germană, inclusiv în fața Tribunalului pentru Litigii de Muncă, interdicțiile de utilizare a datelor se aplică numai pe o bază jurisprudențială.

Reiese de asemenea din cererea de decizie preliminară, pe de o parte, că, potrivit unei jurisprudențe constante a Bundesverfassungsgericht (Curtea Constituțională Federală, Germania), instanțele naționale sunt în principiu obligate, pentru a stabili adevărul, să ia în considerare mijloacele de probă oferite de părți dacă și în măsura în care o afirmație de fapt este pertinentă și trebuie dovedită în măsura în care este contestată ( 35 ).

Pe de altă parte, Bundesarbeitsgericht (Curtea Federală pentru Litigii de Muncă, Germania) ar fi considerat în esență că prelucrarea datelor cu caracter personal de către o instanță este posibilă chiar dacă colectarea acestor date efectuată de o parte într‑un stadiu precontencios sau extrajudiciar se dovedește nelegală în temeiul RGPD sau al dreptului național privind protecția datelor. Cu toate acestea, în cazul în care partea realizează colectări de date care implică o încălcare a dreptului general al personalității persoanei vizate, invocarea de către parte a unui interes general probatoriu nu ar fi suficientă. O instanță națională ar trebui, așadar, să țină seama de alte elemente, din care rezultă că interesul de a obține probe merită o protecție în pofida atingerii aduse personalității ( 36 ).

Concluzionăm că există un temei juridic național care stabilește condițiile de admisibilitate, precum și modalitățile de utilizare a datelor cu caracter personal într‑o situație precum cea în discuție în cauza principală.

Astfel, Curtea a precizat deja că este irelevant dacă prelucrarea datelor cu caracter personal se întemeiază pe o dispoziție de drept intern material sau procedural ( 37 ). Aceasta a adăugat că „dreptul intern care se aplică operatorului”, în sensul articolului 6 alineatul (3) litera (b) din RGPD, sau referirea la o „măsură legislativă”, la articolul 23 din acest regulament, nu implică în mod necesar adoptarea unui act legislativ de un parlament, ci acoperă și jurisprudența națională, în măsura în care este clară și precisă, iar aplicarea sa este previzibilă pentru justițiabili, conform jurisprudenței atât a Curții, cât și a Curții EDO ( 38 ).

Prin urmare, revine instanței de trimitere sarcina de a identifica dispozițiile relevante ale dreptului național, precum și jurisprudența statului membru în cauză, de a le aplica și de a verifica dacă, pe de o parte, acestea sunt conforme cu principiile echivalenței și efectivității și urmăresc un obiectiv de interes public și, pe de altă parte, sunt necesare și proporționale cu obiectivul menționat, astfel încât pot intra sub incidența cazurilor de prelucrare a datelor cu caracter personal considerate legale în temeiul dispozițiilor articolului 6 alineatul (3) litera (b) din RGPD coroborat cu articolul 23 alineatul (1) din acesta ( 39 ).

Prin urmare, revine instanței de trimitere, singura competentă să interpreteze dreptul național și jurisprudența națională, sarcina de a stabili admisibilitatea elementelor de probă care includ date cu caracter personal, precum și modalitățile de utilizare a acestora, care vor depinde de împrejurările speței și de tipul de procedură în cauză.

În lumina considerațiilor care precedă, propunem Curții să răspundă la a treia întrebare preliminară litera b) adresată de Landesarbeitsgericht Niedersachsen (Tribunalul Superior pentru Litigii de Muncă din Saxonia Inferioară, Germania) după cum urmează: Articolul 5 alineatul (1) litera (e) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) coroborat cu articolul 6 din acest regulament trebuie interpretat în sensul că principiul „limitărilor legate de stocare”, prevăzut de această dispoziție, nu se opune ca o instanță națională să poată efectua, în cadrul funcției sale judiciare, prelucrarea datelor care au fost obținute prin recurgerea la alte date a căror colectare inițială sau stocare a fost efectuată cu încălcarea acestui principiu. Revine instanței naționale sarcina de a se asigura că modalitățile de utilizare a acestor date cu caracter personal în cadrul activității sale judiciare se întemeiază pe dreptul național aplicabil, sunt conforme cu principiile echivalenței și efectivității, urmăresc un obiectiv de interes public și sunt necesare și proporționale cu acest obiectiv.

CONCLUZIILE AVOCATULUI GENERAL

DOMNUL DEAN SPIELMANN

prezentate la 16 octombrie 2025 ( 1 )

Introducere

Cadrul juridic

Dreptul Uniunii

Dreptul german

Codul de procedură civilă

Legea federală privind protecția datelor

Litigiul principal, întrebările preliminare și procedura în fața Curții

Analiză

Observații introductive

Cu privire la a treia întrebare litera b)

Concluzie