民事诉讼中的个人信息保护

本文转自：人民法院报

民事诉讼中的个人信息保护

——以欧盟法院一判决为例

2023年3月2日，欧盟法院就“北斯德哥尔摩建造公司诉铂新坎达公司、英特莱公司案”作出判决。在判决中，欧盟法院明确了民事诉讼中个人信息保护应遵循的若干原则。

基本案情

本案原告北斯德哥尔摩建造公司（以下简称北斯德哥尔摩公司）为被告铂新坎达公司建造办公楼。在该办公楼工地工作的北斯德哥尔摩公司的员工，均须通过该公司代理人英特莱公司提供的电子员工登记册进行打卡。

后北斯德哥尔摩公司向瑞典斯德哥尔摩地区法院（以下简称斯德哥尔摩地区法院）提起诉讼，请求铂新坎达公司支付办公楼工程欠款。铂新坎达公司则以北斯德哥尔摩公司员工的实际工作时间低于该公司主张的时间为由，不同意其诉讼请求。

为支持其抗辩意见，铂新坎达公司向斯德哥尔摩地区法院提交申请，请求责令英特莱公司向法院提交2016年8月1日至2017年11月30日期间的员工登记册，主要理由是该员工登记册能够证明北斯德哥尔摩公司员工的实际工作时间，因此是本案的重要证据，而该证据现由英特莱公司持有。

北斯德哥尔摩公司提出异议，主要理由是该员工登记册含有个人数据，将这些数据披露给法院违反了欧盟《通用数据保护条例》（以下简称《条例》）的规定。

斯德哥尔摩地区法院在审理本案之后作出裁定，支持了铂新坎达公司的申请，责令英特莱公司向该院提交相关员工的登记册。北斯德哥尔摩公司对裁定不服，提起上诉。瑞典斯德哥尔摩上诉法院经审理，裁定驳回上诉，维持原裁定。北斯德哥尔摩公司对此裁定不服，向瑞典最高法院提起上诉。

因本案涉及《条例》的解释问题，瑞典最高法院遂决定中止本案诉讼，并请求欧盟法院就相关问题作出先予裁决，其中一个问题是，根据《条例》的规定，欧盟成员国法院在考虑是否责令相关当事人提交含有个人数据的文件时，是否应考量相关数据主体的权益？如是，则欧盟法律特别是《条例》是否就该考量提出了相关要求？

欧盟法院的判决

2023年3月2日，欧盟法院就本案作出判决。

关于瑞典最高法院提出的问题，欧盟法院首先指出，根据《条例》的规定，除了《条例》第23条规定的例外情况之外，原则上，所有个人数据处理均须遵守《条例》规定的个人数据处理原则并尊重相关个人的权利。

接下来，欧盟法院注意到，瑞典最高法院在其向欧盟法院提交的先予裁决申请书中确认，《瑞典司法程序法典》并未明确要求法院在斟酌是否应责令相关当事人提交含有个人数据的文件时，对相关个人的权益予以考量。该法典仅仅要求法院考虑以下两个因素，即证据的相关性以及对方当事人在不予披露相关文件方面享有的权益。

对此，欧盟法院认为，根据《条例》的规定，欧盟成员国法院在斟酌是否应责令相关当事人提交含有第三方个人数据的文件时，应当对案件所涉的相互冲突的权益，包括第三方享有的个人数据保护权和隐私权以及案件当事人享有的获得有效司法救济的权利予以平衡，该平衡的结果可能因每个案件的具体情况以及案件所涉诉讼的类型而有所不同。在进行此类平衡时，应当考虑《条例》规定的个人数据处理原则，特别是体现了比例原则的数据最小化原则。根据数据最小化原则，个人数据必须是充分和相关的，并且限于为实现个人数据处理目的所需的最小限度之内。为此，欧盟成员国法院应认定，相关个人数据的披露对实现其国内法的目的而言是否是充分和相关的，并且，该目的是否无法通过对第三方个人数据影响更小的举证方式来实现。而在责令相关当事人提交含有个人数据的文件具备正当理由的情况下，欧盟成员国法院应根据数据最小化原则的要求，在提供部分个人数据作为证据已足够的情形下，采取额外的个人数据保护措施，例如对相关个人的姓名予以假名化，或者采取任何旨在将提交该文件所导致的对个人数据保护权的干预最小化的其他措施。这些措施包括限制公众查阅相关卷宗，或者命令接受文件披露的当事人不得将文件中的个人数据用于取证之外的其他目的等。

据此，欧盟法院认为，欧盟成员国法院可以认定，相关当事人应当向其提交该当事人或第三方的个人数据，以便其能够基于案件事实及比例原则，对案件所涉的相互冲突的权益进行平衡。若欧盟成员国法院在对案件的具体情况进行斟酌后认定，一方当事人向对方当事人披露全部或部分个人数据，为保障对方当事人享有的获得有效司法救济的权利所必需，则欧盟成员国法院可以授权进行该等披露。

综上，对于瑞典最高法院提出的问题，欧盟法院认为，根据《条例》的规定，欧盟成员国法院在斟酌是否责令相关当事人提交含有个人数据的文件时，必须考量相关数据主体的权益，并基于个案情况、诉讼类型以及比例原则和数据最小化原则，对案件所涉的相互冲突的权益进行平衡。

（作者系法律工作者）