מידע אישי שהושג תוך הפרת ה-GDPR לא פסול באופן אוטומטי משימוש כראיה בהליך משפטי. כך פסק בתחילת הקיץ בית המשפט האירופי לצדק בהחלטה שעסקה ביחס בין ה-GDPR לדיני הראיות בהליך אזרחי.
ברקע הסכסוך עמדה חברת NTH שתבעה עובדת לשעבר לשעבר בטענה שמכרה טובין של החברה ב-eBay ללא רשות. כדי להוכיח זאת ניגשה החברה לחשבון ה- eBayהפרטי של העובדת באמצעות פרטי הזיהוי שלה — מידע שנאסף ככל הנראה שלא כדין. בית הדין הגרמני הפנה לבית המשפט האירופי את השאלה אם בית משפט רשאי לעשות שימוש בראיות המכילות מידע אישי שהושג שלא כדין.
בית המשפט הגבוה באירופה פסק כי הבסיס החוקי לעיבוד המידע בידי בית המשפט הוא חובה חוקית, בשל הצורך להכריע בקבילות הראיה ולשקול אותה), בשילוב הוראות מאמנת זכויות האדם האירופית. חקיקה לאומית המחייבת את הצדדים להגיש ראיות אמת ומחייבת את בית המשפט לשקול אותן לא מתבטלת בשל ה-GDPR — ובלבד שקיימת פסיקה לאומית ברורה, מדויקת וצפויה הקובעת את התנאים לשימוש במידע, העונה על תכלית ציבורית והיא מידתית.
עוד קבע בית המשפט כי עקרון צמצום המידע לא שולל מבית משפט לאומי שימוש בראיות המכילות מידע אישי שהושג שלא כדין בידי הצד שהגישן —כאשר האינטרס הלגיטימי של אותו צד באיסוף לא גובר על האינטרס של הצגת העובדות. עם זאת, בטרם חשיפת המידע למתדיינים או לצדדים שלישיים, על בית המשפט לוודא שהמידע מוגבל לנדרש, ובמידת הצורך לנקוט אמצעים כגון אנונימיזציה או שימוש בשמות בדויים.
עוד פסק בית המשפט הגבוה באירופה כי הפרת חובת היידוע לנושא המידע בידי הצד שאסף את המידע גם היא לא מונעת מבית המשפט לעשות שימוש במידע.