Edizzjoni Provviżorja

SENTENZA TAL-QORTI TAL-ĠUSTIZZJA (L‑Ewwel Awla)

4 ta’ Settembru 2025 (*)

“Appell – Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Proċedura ta’ kumpens għad-danni tal-azzjonisti u tal-kredituri ta’ istituzzjoni bankarja wara r-riżoluzzjoni tagħha – Deċiżjoni tal-Kontrollur Ewropew għall-Protezzjoni tad-Data li tikkonstata li l-Bord Uniku ta’ Riżoluzzjoni kiser l-obbligi tiegħu fir-rigward tal-ipproċessar ta’ data personali – Regolament (UE) 2018/1725 – Artikolu 15(1)(d) – Obbligu li s-suġġett tad-data jiġi infurmat – Trażmissjoni ta’ data psewdonimizzata lil terz – Il-punt 1 tal-Artikolu 3 – Kunċett ta’ ‘data personali’ – Il-punt 6 tal-Artikolu 3 – Kunċett ta’ ‘psewdonimizzazzjoni’”

Fil-Kawża C‑413/23 P,

li għandha bħala suġġett appell skont l-Artikolu 56 tal-Istatut tal-Qorti tal-Ġustizzja tal-Unjoni Ewropea, imressaq fil‑5 ta’ Lulju 2023,

Il-Kontrollur Ewropew għall-Protezzjoni tad-Data (KEPD), irrappreżentat inizjalment minn P. Candellier, G. Devin, X. Lareo, D. Nardi u T. Zerdick, sussegwentement minn P. Candellier, X. Lareo, D. Nardi, N. Stolić u T. Zerdick, bħala aġenti,

rikorrent,

sostnut minn:

Il-Bord Ewropew għall-Protezzjoni tad-Data, irrappreżentat minn C. Foglia, M. Gufflet, G. Le Grand u I. Vereecken, bħala aġenti, assistiti minn E. de Lophem, avocat, G. Ryelandt, advocaat, u P. Vernet, avocat,

intervenjent fl-appell,

il-parti l-oħra fil-kawża li hija:

Il-Bord Uniku ta’ Riżoluzzjoni (SRB), irrappreżentat minn H. Ehlers, M. Fernández Rupérez u A. Lapresta Bienz, bħala aġenti, assistiti minn M. Braun, H.-G. Kamann, Rechtsanwälte, u F. Louis, avocat,

rikorrent fl-ewwel istanza,

sostnut minn:

Il-Kummissjoni Ewropea, irrappreżentata minn A. Bouchagiar u H. Kranenborg, bħala aġenti,

intervenjenti fl-appell,

Il-QORTI TAL-ĠUSTIZZJA (L-Ewwel Awla)

komposta minn F. Biltgen, President tal-Awla, T. von Danwitz (Relatur), Viċi President tal-Qorti tal-Ġustizzja, li qiegħed jaġixxi bħala Mħallef tal-Ewwel Awla, A. Kumin, I. Ziemele u S. Gervasoni, Imħallfin,

Avukat Ġenerali: D. Spielmann,

Reġistratur: M. Longar, Amministratur,

wara li rat il-proċedura bil-miktub u wara s-seduta tas‑7 ta’ Novembru 2024,

wara li semgħet il-konklużjonijiet tal-Avukat Ġenerali, ippreżentati fis-seduta tas‑6 ta’ Frar 2025,

tagħti l-preżenti

Sentenza

1        Permezz tal-appell tiegħu, il-Kontrollur Ewropew għall-Protezzjoni tad-Data (KEPD) jitlob l-annullament tas-sentenza tal-Qorti Ġenerali tal-Unjoni Ewropea tas‑26 ta’ April 2023, SRB vs KEPD (T‑557/20, iktar ’il quddiem is-“sentenza appellata”, EU:T:2023:219), li permezz tagħha din annullat id-deċiżjoni rriveduta tal-KEPD, tal‑24 ta’ Novembru 2020, adottata wara t-talba għal eżami mill-ġdid imressqa mill-Bord Uniku ta’ Riżoluzzjoni (SRB) tad-deċiżjoni tal-KEPD tal‑24 ta’ Ġunju 2020 dwar ħames ilmenti mressqa minn diversi persuni li ressqu lment (Kawżi 2019-947, 2019-998, 2019-999, 2019-1000 u 2019-1122) (iktar ’il quddiem id-“deċiżjoni kontenzjuża”).

I.      Il-kuntest ġuridiku

2        Il-premessi 5, 16, 17 u 35 tar-Regolament (UE) 2018/1725 tal-Parlament Ewropew u tal-Kunsill tat‑23 ta’ Ottubru 2018 dwar il-protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali mill-istituzzjonijiet, korpi, uffiċċji u aġenziji tal-Unjoni u dwar il-moviment liberu ta’ tali data, u li jħassar ir-Regolament (KE) Nru 45/2001 u d-Deċiżjoni Nru 1247/2002/KE (ĠU 2018, L 295, p. 39), huma fformulati kif ġej:

“(5)      Huwa fl-interess ta’ approċċ koerenti għall-protezzjoni ta’ data personali madwar l-Unjoni [Ewropea], u tal-moviment liberu ta’ data personali fi ħdan l-Unjoni, li jiġu allinjati kemm jista’ jkun ir-regoli dwar il-protezzjoni tad-data għall-istituzzjonijiet, il-korpi, l-uffiċċji u l-aġenziji tal-Unjoni mar-regoli dwar il-protezzjoni tad-data adottati għas-settur pubbliku fl-Istati Membri. Kull meta d-dispożizzjonijiet ta’ dan ir-Regolament isegwu l-istess prinċipji bħad-dispożizzjonijiet tar-Regolament (UE) 2016/679 [tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-‘GDPR’)], dawk iż-żewġ settijiet ta’ dispożizzjonijiet jenħtieġ li, b’mod konformi mal-ġurisprudenza tal-[Qorti tal-Ġustizzja], jiġu interpretati b’mod omoġenju, b’mod partikolari għaliex jenħtieġ li l-iskema ta’ dan ir-Regolament tinftiehem bħala ekwivalenti għall-iskema tar-Regolament (UE) 2016/679.

[...]

(16)      Il-prinċipji ta’ protezzjoni tad-data jenħtieġ li japplikaw għal kwalunkwe informazzjoni dwar persuna fiżika identifikata jew identifikabbli. Jenħtieġ li d-data personali li tkun għaddiet minn psewdonimizzazzjoni, li tkun tista’ tiġi attribwita lil persuna fiżika bl-użu ta’ informazzjoni addizzjonali, titqies bħala informazzjoni dwar persuna fiżika identifikabbli. Sabiex jiġi ddeterminat jekk persuna fiżika tkunx identifikabbli, jenħtieġ li jitqiesu l-mezzi kollha li raġonevolment x’aktarx ikunu jistgħu jintużaw, bħas-singolarizzazzjoni, mill-kontrollur jew minn kwalunkwe persuna oħra, sabiex persuna fiżika tiġi identifikata direttament jew indirettament. Sabiex jiġi aċċertat liema mezzi huma raġonevolment mistennija jintużaw għall-identifikazzjoni tal-persuna fiżika, jenħtieġ li jitqiesu l-fatturi oġġettivi kollha, bħall-ispejjeż tal-identifikazzjoni u l-ammont ta’ żmien rikjest għall-identifikazzjoni, filwaqt li jitqiesu t-teknoloġija disponibbli fil-mument tal-ipproċessar u l-iżviluppi teknoloġiċi. Jenħtieġ li l-prinċipji tal-protezzjoni tad-data ma japplikawx għalhekk għall-informazzjoni anonima, jiġifieri informazzjoni li mhijiex relatata ma’ persuna fiżika identifikata jew identifikabbli jew għal data personali li ssir anonima b’tali mod li s-suġġett tad-data ma jkunx jew ma jkunx għadu identifikabbli. Għaldaqstant, dan ir-Regolament ma jikkonċernax l-ipproċessar ta’ tali informazzjoni anonima, inkluż għal finijiet ta’ statistika jew ta’ riċerka.

(17)      L-applikazzjoni ta’ psewdonimizzazzjoni ta’ data personali tista’ tnaqqas ir-riskji għas-suġġetti tad-data kkonċernati u tgħin lill-kontrolluri u lill-proċessuri jissodisfaw l-obbligi tagħhom tal-protezzjoni tad-data. L-introduzzjoni espliċita tal-‘psewdonimizzazzjoni’ f’dan ir-Regolament mhijiex intiża li tipprekludi kwalunkwe miżura oħra tal-protezzjoni tad-data.

[...]

(35)      Il-prinċipji ta’ pproċessar ġust u trasparenti jirrikjedu li s-suġġett tad-data jkun informat bl-eżistenza tal-attività tal-ipproċessar u l-finijiet tagħha Jenħtieġ li l-kontrollur jipprovdi lis-suġġett tad-data bi kwalunkwe informazzjoni ulterjuri li tkun meħtieġa biex jiġi żgurat ipproċessar ġust u trasparenti filwaqt li jitqiesu ċ-ċirkostanzi speċifiċi u l-kuntest li fih tiġi pproċessata d-data personali. Barra minn hekk, jenħtieġ li s-suġġett tad-data jkun informat bl-eżistenza tat-tfassil tal-profili u l-konsegwenzi ta’ dan it-tfassil tal-profili. Meta d-data personali tinġabar mis-suġġett tad-data, jenħtieġ li s-suġġett tad-data jiġi infurmat ukoll dwar jekk ikunx obbligat jipprovdi d-data personali u dwar il-konsegwenzi meta huwa ma jipprovdix tali data. Dik l-informazzjoni tista’ tingħata flimkien ma’ ikoni standardizzati sabiex tingħata ħarsa ġenerali lejn l-ipproċessar intenzjonat b’mod li jidher faċilment, li jinftiehem u li jinqara sew. Meta l-ikoni jkunu ppreżentati b’mod elettroniku, jenħtieġ li dawn ikunu jistgħu jinqraw minn magna.”

3        Il-punti 1, 6, 8 u 13 tal-Artikolu 3 tar-Regolament 2018/1725, intitolat “Definizzjonijiet”, jipprevedu:

“Għall-finijiet ta’ dan ir-Regolament, japplikaw id-definizzjonijiet li ġejjin:

(1)      ‘data personali’ tfisser kwalunkwe informazzjoni relatata ma’ persuna fiżika identifikata jew identifikabbli (‘suġġett tad-data’); persuna fiżika identifikabbli hija persuna li tista’ tiġi identifikata, direttament jew indirettament, b’mod partikolari b’referenza għal mezz ta’ identifikazzjoni bħal isem, numru ta’ identifikazzjoni, data ta’ lokalizzazzjoni, identifikatur online jew għal fattur wieħed jew aktar speċifiċi għall-identità fiżika, fiżjoloġika, ġenetika, mentali, ekonomika, kulturali jew soċjali ta’ dik il-persuna fiżika;

[...]

(6)      ‘psewdonimizzazzjoni’ tfisser l-ipproċessar ta’ data personali b’tali mod li d-data personali ma tkunx tista’ tibqa’ tiġi attribwita għal suġġett tad-data speċifiku mingħajr l-użu ta’ informazzjoni addizzjonali, dment li tali informazzjoni addizzjonali tinżamm separatament u tkun soġġetta għal miżuri tekniċi u organizzattivi biex jiġi żgurat li d-data personali ma tiġix attribwita għal persuna fiżika identifikata jew identifikabbli;

[...]

(8)      ‘kontrollur’ tfisser l-istituzzjoni jew il-korp tal-Unjoni jew id-direttorat ġenerali jew kwalunkwe entità organizzattiva oħra li, waħdu jew flimkien ma’ oħrajn, jiddetermina l-finijiet u l-mezzi tal-ipproċessar tad-data personali; meta l-finijiet u l-mezzi ta’ tali pproċessar ikunu ddeterminati minn att speċifiku tal-Unjoni, il-kontrollur jew il-kriterji speċifiċi għan-nomina tiegħu jistgħu jiġu previsti mil-liġi tal-Unjoni;

[...]

(13)      ‘riċevitur’ tfisser persuna fiżika jew ġuridika, awtorità pubblika, aġenzija jew korp ieħor, li lilha tiġi żvelata d-data personali, irrispettivament milli tkunx parti terza jew le. Madankollu, l-awtoritajiet pubbliċi li jistgħu jirċievu data personali fil-qafas ta’ inkjesta partikolari f’konformità mal-liġi tal-Unjoni jew ta’ Stat Membru m’għandhomx jitqiesu bħala riċevituri; l-ipproċessar ta’ dik id-data minn dawk l-awtoritajiet pubbliċi għandu jkun f’konformità mar-regoli ta’ protezzjoni tad-data applikabbli skont il-finijiet tal-ipproċessar”.

4        L-Artikolu 4 ta’ dan ir-regolament, intitolat “Prinċipji relatati mal-ipproċessar ta’ data personali”, jipprovdi fil-paragrafu 2 tiegħu:

“Il-kontrollur għandu jkun responsabbli għall-konformità mal-paragrafu 1 u jkun kapaċi juriha (‘responsabbiltà’).”

5        L-Artikolu 14 tal-imsemmi regolament, intitolat “Informazzjoni, komunikazzjoni u modalitajiet trasparenti għall-eżerċitar tad-drittijiet tas-suġġett tad-data”, jipprevedi fil-paragrafu 1 tiegħu:

“Il-kontrollur għandu jieħu miżuri adatti biex jipprovdi kwalunkwe informazzjoni msemmija fl-Artikoli 15 u 16 u kwalunkwe komunikazzjoni skont l-Artikoli 17 sa 24 u 35 relatata mal-ipproċessar lis-suġġett tad-data f’forma konċiża, trasparenti, intelliġibbli u faċilment aċċessibbli, bl-użu ta’ lingwaġġ ċar u sempliċi, b’mod partikolari għal kwalunkwe informazzjoni indirizzata speċifikament lil minorenni. L-informazzjoni għandha tiġi pprovduta bil-miktub, jew b’mezzi oħra, inkluż, meta jkun xieraq, b’mezzi elettroniċi. Meta tintalab mis-suġġett tad-data, l-informazzjoni tista’ tingħata bil-fomm dment li tingħata prova tal-identità tas-suġġett tad-data b’mezzi oħra.”

6        L-Artikolu 15 tal-imsemmi regolament, intitolat “Informazzjoni li għandha tiġi pprovduta meta d-data tinġabar mis-suġġett tad-data”, jipprovdi:

“1.      Meta data personali relatata ma’ suġġett tad-data tinġabar mingħand is-suġġett tad-data, il-kontrollur, fil-ħin li tinkiseb id-data personali, għandu jipprovdi l-informazzjoni kollha li ġejja lis-suġġett tad-data:

[...]

(d)      ir-riċevituri jew il-kategoriji ta’ riċevituri tad-data personali, jekk jeżistu;

[...]

2.      Minbarra l-informazzjoni msemmija fil-paragrafu 1, il-kontrollur, meta tinkiseb id-data personali, għandu jipprovdi linformazzjoni ulterjuri li ġejja, meħtieġa biex jiġi żgurat ipproċessar ġust u trasparenti lis-suġġett tad-data:

(a)      il-perjodu li matulu d-data personali tkun se tinħażen, jew jekk dak ma jkunx possibbli, il-kriterji użati biex jiġi ddeterminat dak il-perjodu;

(b)      l-eżistenza tad-dritt li jitlob mingħand il-kontrollur aċċess jew rettifika jew tħassir ta’ data personali jew restrizzjoni tal-ipproċessar rigward is-suġġett tad-data jew, meta jkun applikabbli, id-dritt li joġġezzjona għall-ipproċessar jew id-dritt għall-portabbiltà tad-data;

[...]

(e)      jekk il-forniment ta’ data personali huwiex rekwiżit statutorju jew kuntrattwali, jew rekwiżit meħtieġ biex wieħed jidħol f’kuntratt, kif ukoll jekk is-suġġett tad-data huwiex obbligat jipprovdi d-data personali u l-konsegwenzi possibbli meta wieħed jonqos milli jipprovdi tali data;

[...]”

7        L-Artikolu 24 tar-Regolament 2018/1725 jiddetermina l-kundizzjonijiet li fihom deċiżjoni individwali tista’ tkun ibbażata fuq ipproċessar awtomatizzat, inkluż it-tfassil ta’ profili.

8        L-Artikolu 26 ta’ dan ir-regolament, intitolat “Responsabbiltà tal-kontrollur”, jipprevedi, fil-paragrafu 1 tiegħu:

“Meta jitqiesu n-natura, l-ambitu, il-kuntest, u l-finijiet tal-ipproċessar kif ukoll ir-riskji ta’ probabbiltà u gravità li jvarjaw għad-drittijiet u l-libertajiet tal-persuni fiżiċi, il-kontrollur għandu jimplimenta miżuri tekniċi u organizzattivi adatti biex jiżgura u jkun jista’ juri li l-ipproċessar isir f’konformità ma’ dan ir-Regolament. Dawk il-miżuri għandhom jiġu rieżaminati u aġġornati meta jkun meħtieġ.”

II.    Il-fatti li wasslu għall-kawża

9        Il-fatti li wasslu għall-kawża huma esposti fil-punti 2 sa 32 tas-sentenza appellata u jistgħu jiġu deskritti fil-qosor kif ġej.

10      Fis‑7 ta’ Ġunju 2017, is-sessjoni eżekuttiva tas-SRB adottat id-Deċiżjoni SRB/EES/2017/08, dwar skema ta’ riżoluzzjoni fir-rigward ta’ Banco Popular Español, SA abbażi tar-Regolament (UE) Nru 806/2014 tal-Parlament Ewropew u tal-Kunsill tal‑15 ta’ Lulju 2014 li jistabbilixxi regoli uniformi u proċedura uniformi għar-riżoluzzjoni tal-istituzzjonijiet ta’ kreditu u ċerti ditti tal-investiment fil-qafas ta’ Mekkaniżmu Uniku ta’ Riżoluzzjoni u Fond Uniku għar-Riżoluzzjoni u li jemenda r-Regolament (UE) Nru 1093/2010 (ĠU 2014, L 225, p. 1) (iktar ’il quddiem ir-“Regolament SRM”).

11      F’din id-deċiżjoni, is-SRB, peress li qies li l-kundizzjonijiet previsti mill-Artikolu 18(1) tar-Regolament SRM kienu ssodisfatti, iddeċieda li jissuġġetta lil Banco Popular Español SA (iktar ’il quddiem “Banco Popular”) għal proċedura ta’ riżoluzzjoni. Għalhekk, is-SRB iddeċieda li jniżżel il-valur u li jikkonverti l-istrumenti kapitali ta’ Banco Popular skont l-Artikolu 21 ta’ dan ir-regolament u li japplika l-istrument ta’ bejgħ ta’ operat skont l-Artikolu 24 tal-imsemmi regolament permezz tat-trasferiment tal-azzjonijiet lil xerrej.

12      Fl-istess jum, il-Kummissjoni Ewropea adottat id-Deċiżjoni tal-Kummissjoni (UE) 2017/1246 tas‑7 ta’ Ġunju 2017 li tapprova l-iskema ta’ riżoluzzjoni għall-Banco Popular Español S.A. (ĠU 2017, L 178, p. 15, rettifika fil-ĠU 2017, L 320, p. 31).

13      Wara r-riżoluzzjoni ta’ Banco Popular, il-kumpannija tal-awditjar u ta’ konsulenza Deloitte ġiet inkarigata mis-SRB għal valutazzjoni tad-differenza fit-trattament, prevista fl-Artikolu 20(16) sa (18) tar-Regolament SRM, imwettqa sabiex jiġi ddeterminat jekk l-azzjonisti u l-kredituri ta’ Banco Popular kinux jibbenefikaw minn trattament aħjar li kieku Banco Popular kien is-suġġett ta’ proċedura normali ta’ insolvenza (iktar ’il quddiem il-“valutazzjoni 3”). Fl‑14 ta’ Ġunju 2018, hija ttrażmettiet din il-valutazzjoni lis-SRB.

14      Fis‑6 ta’ Awwissu 2018, is-SRB ippubblika, fis-sit internet tiegħu, l-opinjoni tat‑2 ta’ Awwissu 2018 dwar id-deċiżjoni preliminari tiegħu dwar in-neċessità li jingħata jew le kumpens għad-danni lill-azzjonisti u lill-kredituri li kienu s-suġġett ta’ azzjonijiet ta’ riżoluzzjoni fir-rigward ta’ Banco Popular Español, SA u t-tnedija tal-proċedura tad-dritt għal smigħ (SRB/EES/2018/132) (iktar ’il quddiem id-“deċiżjoni preliminari”), kif ukoll verżjoni mhux kunfidenzjali tal-valutazzjoni 3. Fis‑7 ta’ Awwissu 2018, komunikazzjoni dwar din l-opinjoni ġiet ippubblikata fil-Ġurnal Uffiċjali tal-Unjoni Ewropea (ĠU 2018, C 227 I, p. 1).

15      Fid-deċiżjoni preliminari, is-SRB indika li, sabiex ikun jista’ jieħu deċiżjoni finali dwar in-neċessità jew le li jingħataw lill-azzjonisti u lill-kredituri affettwati mir-riżoluzzjoni ta’ Banco Popular (iktar ’il quddiem l-“azzjonisti u l-kredituri affettwati”) kumpens għad-danni skont l-Artikolu 76(1)(e) tar-Regolament SRM, huwa talabhom jesprimu l-interess tagħhom li jeżerċitaw id-dritt għal smigħ tagħhom skont l-Artikolu 41(2)(a) tal-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea (iktar ’il quddiem il-“Karta”).

A.      Fuq il‑proċedura dwar id‑dritt għal smigħ

16      Skont l-indikazzjonijiet li jinsabu fid-deċiżjoni preliminari, il-proċedura dwar id-dritt għal smigħ kienet ser tiżvolġi f’żewġ fażijiet.

17      Fl-ewwel fażi (iktar ’il quddiem il-“fażi ta’ reġistrazzjoni”), l-azzjonisti u l-kredituri affettwati kienu mistiedna jesprimu l-interess tagħhom li jeżerċitaw id-dritt għal smigħ tagħhom permezz ta’ formola ta’ reġistrazzjoni online, u dan sal‑14 ta’ Settembru 2018. Matul dan il-fażi, l-azzjonisti u l-kredituri affettwati li xtaqu jeżerċitaw id-dritt għal smigħ tagħhom kellhom jipprovdu lis-SRB id-dokumenti ta’ sostenn li jipprovaw li, fid-data tar-riżoluzzjoni ta’ Banco Popular, huma kienu jżommu strument kapitali wieħed jew iktar ta’ Banco Popular li kienu tniżżlu fil-valur jew ġew ikkonvertiti u ttrasferiti lil Banco Santander SA fil-kuntest tar-riżoluzzjoni. Id-dokumenti ta’ sostenn li kellhom jiġu pprovduti kienu jinkludu dokument tal-identità u prova tal-proprjetà ta’ wieħed minn dawn l-istrumenti kapitali fis‑6 ta’ Ġunju 2017. Sussegwentement, is-SRB kellu jivverifika jekk kull persuna li kienet immanifestat l-interess tagħha kellhiex effettivament l-istatus ta’ azzjonist jew ta’ kreditur affettwat.

18      Fis‑6 ta’ Awwissu 2018, id-data ta’ ftuħ tal-fażi ta’ reġistrazzjoni, is-SRB ippubblika wkoll, fil-paġna internet ta’ reġistrazzjoni fil-proċedura dwar id-dritt għal smigħ u fis-sit internet tiegħu, dikjarazzjoni ta’ kunfidenzjalità dwar l-ipproċessar ta’ data personali fil-kuntest ta’ din il-proċedura (iktar ’il quddiem id-“dikjarazzjoni ta’ kunfidenzjalità”).

19      Fit-tieni fażi (iktar ’il quddiem il-“fażi ta’ konsultazzjoni”), il-persuni li l-istatus tagħhom ta’ azzjonisti u kredituri affettwati kien ġie vverifikat mis-SRB, setgħu jippreżentaw il-kummenti tagħhom dwar id-deċiżjoni preliminari, li magħha kienet annessa l-valutazzjoni 3. Fis‑16 ta’ Ottubru 2018, is-SRB ħabbar, fis-sit internet tiegħu, li, mis‑6 ta’ Novembru 2018, l-azzjonisti u l-kredituri affettwati kienu ser jiġu mistiedna jippreżentaw il-kummenti bil-miktub tagħhom dwar id-deċiżjoni preliminari matul il-fażi ta’ konsultazzjoni.

20      Fis‑6 ta’ Novembru 2018, permezz ta’ posta elettronika, is-SRB bagħat lill-azzjonisti u lill-kredituri affettwati link personali unika li kienet tippermettilhom jaċċedu għal formola fuq l-internet, li kienet tinkludi seba’ mistoqsijiet, bi spazju limitat għal tweġiba, li kienet tippermetti lill-azzjonisti u lill-kredituri affettwati jippreżentaw, qabel is‑26 ta’ Novembru 2018, kummenti dwar id-deċiżjoni preliminari kif ukoll dwar il-verżjoni mhux kunfidenzjali tal-valutazzjoni 3.

21      Is-SRB eżamina l-kummenti rilevanti tal-azzjonisti u tal-kredituri affettwati dwar id-deċiżjoni preliminari. Huwa talab lil Deloitte, fil-kwalità tagħha ta’ evalwatur indipendenti, li tevalwa l-kummenti rilevanti dwar il-valutazzjoni 3, li tipprovdilu dokument li jinkludi l-evalwazzjoni tagħha u li teżamina jekk din il-valutazzjoni kinitx għadha valida fid-dawl ta’ dawn il-kummenti.

B.      Fuq l‑ipproċessar ta’ data miġbura mis‑SRB fil‑kuntest tal‑proċedura dwar id‑dritt għal smigħ

22      Id-data miġbura matul il-fażi ta’ reġistrazzjoni, jiġifieri l-provi tal-identità tal-azzjonisti u tal-kredituri affettwati u tal-proprjetà ta’ strumenti kapitali ta’ Banco Popular li tniżżlu fil-valur jew li ġew ikkonvertiti u ttrasferiti, kienet aċċessibbli għal numru limitat ta’ membri tal-persunal tas-SRB, jiġifieri dawk inkarigati mill-ipproċessar ta’ din id-data sabiex tiġi ddeterminata l-eliġibbiltà ta’ dawn l-azzjonisti u l-kredituri għal kumpens għad-danni.

23      Il-membri tal-persunal tas-SRB inkarigati mill-ipproċessar tal-kummenti riċevtui waqt il-fażi ta’ konsultazzjoni ma kellhomx aċċess la għad-data miġbura matul il-fażi ta’ reġistrazzjoni, b’tali mod li dawn il-kummenti kienu separati mill-informazzjoni personali dwar l-azzjonisti u l-kredituri affettwati li kienu ssottomettewhom, u lanqas aċċess għal data jew għal informazzjoni li tippermetti li tinstab l-identità ta’ azzjonisti u kredituri affettwati b’riferiment għall-kodiċi alfanumeriku uniku allokat għal kull kumment sottomess permezz ta’ formola. Il-kodiċi alfanumeriku kien jikkonsisti f’identifikatur uniku universali b’33 ċifra, iġġenerat b’mod każwali fil-mument tar-riċezzjoni tat-tweġibiet għall-formola.

24      Fl-ewwel stadju, is-SRB wettaq filtrazzjoni awtomatika ta’ 23 822 kumment, li kull wieħed minnhom kellu kodiċi alfanumeriku uniku, sottomessi minn 2 855 parteċipant fil-proċedura. Żewġ algoritmi ppermettew li jiġu identifikati 20 101 kumment bħala identiċi. F’dan il-każ, il-kumment sottomess l-ewwel ġie kkunsidrat bħala l-kumment oriġinali, li ġie eżaminat matul il-fażi ta’ analiżi, u l-kummenti identiċi rċevuti sussegwentement ġew identifikati bħala duplikati.

25      Fit-tieni stadju, is-SRB identifika l-kummenti sottomessi li kienu jaqgħu fil-kamp ta’ applikazzjoni tal-proċedura dwar id-dritt għal smigħ sa fejn dawn setgħu jkollhom influwenza fuq id-deċiżjoni preliminari jew fuq il-valutazzjoni 3. Sussegwentement, huwa qasam dawn il-kummenti bejn dawk li kellhom jiġu eżaminati mis-SRB sa fejn kienu jikkonċernaw id-deċiżjoni preliminari u dawk li kellhom jiġu eżaminati minn Deloitte sa fejn kienu jikkonċernaw il-valutazzjoni 3. Fi tmiem din il-fażi, is-SRB identifika 3 730 kumment, li huwa kklassifika skont ir-rilevanza tagħhom u t-tema tagħhom.

26      Fit-tielet stadju, il-kummenti dwar id-deċiżjoni preliminari ġew ipproċessati mis-SRB u dawk relatati mal-valutazzjoni 3, jiġifieri 1 104 kumment, ġew ittrasferiti lil Deloitte, fis‑17 ta’ Ġunju 2019, permezz ta’ server virtwali ta’ data sigur u li jintuża esklużivament mis-SRB. Dan tal-aħħar tella’ l-fajls li kellhom jiġu kkomunikati lil Deloitte fuq dan is-server u ta aċċess għal dawn il-fajls lil numru limitat u kkontrollat ta’ membri tal-persunal ta’ Deloitte, jiġifieri dawk involuti direttament f’eżami tal-kummenti dwar il-valutazzjoni 3.

27      Il-kummenti ttrasferiti lil Deloitte kienu ġew iffiltrati, ikkategorizzati u aggregati. Meta kienu jikkostitwixxu kopji ta’ kummenti preċedenti, verżjoni waħda biss ġiet trażmessa lil Deloitte, b’tali mod li l-kummenti individwali li kienu ġew irreplikati ma setgħux jiġu distinti fi ħdan l-istess tema u Deloitte ma kellhiex il-possibbiltà li tkun taf jekk kienx ġie fformulat kumment minn parteċipant wieħed jew iktar fil-proċedura dwar id-dritt għal smigħ.

28      Il-kummenti ttrasferiti lil Deloitte kienu jikkonċernaw biss dawk irċevuti matul il-fażi ta’ konsultazzjoni u kienu jirrigwardaw kodiċi alfanumeriku. Madankollu, is-SRB kien l-uniku wieħed li seta’ jorbot, permezz ta’ dan il-kodiċi, il-kummenti mad-data, b’mod partikolari mad-data ta’ identifikazzjoni tal-awturi tal-kummenti, irċevuti matul il-fażi ta’ reġistrazzjoni. Il-kodiċi alfanumeriku kien ġie żviluppat għal finijiet ta’ awditu sabiex ikun jista’ jiġi vverifikat u possibbilment jintwera, fi proċedura ġudizzjarja, li kull kumment kien ġie pproċessat u debitament ikkunsidrat. Deloitte ma kellhiex aċċess għad-database miġbura matul il-fażi ta’ reġistrazzjoni u lanqas matul il-proċedura dwar id-dritt għal smigħ u ma kellhiex aċċess għaliha fid-data li fiha ngħatat is-sentenza appellata.

C.      Fuq il‑proċedura quddiem il‑KEPD

29      Matul ix-xhur ta’ Ottubru u ta’ Diċembru 2019, azzjonisti u kredituri affettwati li wieġbu għall-formola, ittrażmettew lill-KEPD ħames ilmenti skont ir-Regolament 2018/1725. Permezz ta’ dawn l-ilmenti, huma invokaw ksur tal-Artikolu 15(1)(d) ta’ dan ir-regolament, peress li s-SRB ma kienx informahom li d-data miġbura permezz tat-tweġibiet għall-formola kienet ser tiġi trażmessa lil terzi, jiġifieri Deloitte u Banco Santander, u dan bi ksur tat-termini tad-dikjarazzjoni ta’ kunfidenzjalità.

30      Fi tmiem proċedura li matulha s-SRB ipprovda diversi spjegazzjonijiet fuq talba tal-KEPD u l-persuni li ressqu l-ilmenti pproduċew osservazzjonijiet, il-KEPD adotta, fl‑24 ta’ Ġunju 2020, deċiżjoni dwar ħames ilmenti mressqa minn diversi persuni li ressqu lmenti kontra l-Bord Uniku ta’ Riżoluzzjoni (Kawżi 2019–947, 2019–998, 2019–999, 2019–1000 u 2019–1122) (iktar ’il quddiem id-“deċiżjoni inizjali”). F’din id-deċiżjoni, il-KEPD qies li s-SRB kien kiser l-Artikolu 15 tar-Regolament 2018/1725 sa fejn ma kienx informa lill-persuni li ressqu l-ilmenti, fid-dikjarazzjoni ta’ kunfidenzjalità, bil-possibbiltà li d-data personali tagħhom tiġi kkomunikata lil Deloitte. Konsegwentement, huwa ċanfar is-SRB għal dan il-ksur skont l-Artikolu 58(2)(b) ta’ dan ir-regolament.

31      Fit‑22 ta’ Lulju 2020, is-SRB talab lill-KEPD jeżamina mill-ġdid id-deċiżjoni inizjali skont l-Artikolu 18(1) tad-Deċiżjoni tal-Kontrollur Ewropew għall-Protezzjoni tad-Data tal‑15 ta’ Mejju 2020 li tadotta r-Regoli ta’ Proċedura tal-EDPS (ĠU 2020, L 204, p. 49). B’mod partikolari, is-SRB ipprovda deskrizzjoni ddettaljata tal-proċedura dwar id-dritt għal smigħ u tal-analiżi tal-kummenti sottomessi, matul il-fażi ta’ konsultazzjoni, minn erbgħa mill-persuni identifikati li ressqu l-ilmenti. Huwa sostna li l-informazzjoni trażmessa lil Deloitte ma kinitx tikkostitwixxi data personali fis-sens tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725.

32      Fil‑5 ta’ Awwissu 2020, il-KEPD informa lis-SRB li, fid-dawl tal-elementi ġodda pprovduti, huwa kien iddeċieda li jeżamina mill-ġdid id-deċiżjoni inizjali u li kien ser jadotta deċiżjoni li tissostitwixxiha.

33      Fl‑24 ta’ Novembru 2020, fi tmiem il-proċedura ta’ reviżjoni, li matulha l-persuni li ressqu l-ilmenti ppreżentaw osservazzjonijiet u s-SRB ipprovda informazzjoni addizzjonali fuq it-talba tal-KEPD, dan tal-aħħar adotta d-deċiżjoni kontenzjuża.

34      Permezz ta’ din id-deċiżjoni, il-KEPD irreveda d-deċiżjoni inizjali fit-termini li ġejjin:

“1.      Il-KEPD iqis li d-data li s-SRB ikkondivida ma’ Deloitte kienet data psewdonimizzata, kemm minħabba li l-kummenti tal-fażi [ta’ konsultazzjoni] kienu data personali kif ukoll minħabba li s-SRB ikkondivida l-kodiċi alfanumeriku li jippermetti l-konnessjoni tat-tweġibiet riċevuti matul il-fażi [ta’ reġistrazzjoni] ma’ dawk tal-fażi [ta’ konsultazzjoni], minkejja li d-data pprovduta mill-parteċipanti għall-identifikazzjoni tagħhom matul il-fażi [ta’ reġistrazzjoni] ma kinitx ġiet ikkomunikata lil Deloitte.

2.      Il-KEPD iqis li Deloitte kienet destinatarja ta’ data personali tal-persuni li ressqu l-ilmenti fis-sens tal-punt 13 tal-Artikolu 3 tar-Regolament 2018/1725. Il-fatt li Deloitte ma ssemmietx fid-dikjarazzjoni ta’ kunfidenzjalità tas-SRB bħala destinatarja potenzjali tad-data personali miġbura u pproċessata mis-SRB, fil-kwalità tiegħu ta’ kontrollur tal-ipproċessar fil-kuntest tal-proċedura dwar id-dritt għal smigħ, jikkostitwixxi ksur tal-obbligu ta’ informazzjoni previst fl-Artikolu 15(1)(d) [tar-Regolament 2018/1725].

3.      Fid-dawl tal-miżuri tekniċi u organizzattivi kollha stabbiliti mis-SRB biex jittaffew ir-riskji għad-dritt tal-persuni għall-protezzjoni tad-data fil-kuntest tal-proċedura dwar id-dritt għal smigħ, il-KEPD jiddeċiedi li ma jeżerċitax is-setgħa tiegħu li jadotta miżuri korrettivi prevista fl-Artikolu 58(2) [tar-Regolament 2018/1725].

4.      Madankollu, il-KEPD jirrakkomanda lis-SRB jiżgura ruħu li d-dikjarazzjonijiet ta’ kunfidenzjalità tiegħu fi proċeduri futuri dwar id-dritt għal smigħ ikopru l-ipproċessar ta’ data personali kemm matul il-fażi ta’ reġistrazzjoni kif ukoll matul il-fażi ta’ konsultazzjoni u li jinkludu d-destinatarji potenzjali kollha tal-informazzjoni miġbura, sabiex ikun hemm osservanza sħiħa mal-obbligu li s-suġġetti tad-data jiġu infurmati konformement mal-Artikolu 15 [tar-Regolament 2018/1725]”.

III. Il-proċedura quddiem il-Qorti Ġenerali u s-sentenza appellata

35      Permezz ta’ rikors ippreżentat fir-Reġistru tal-Qorti Ġenerali fl‑1 ta’ Settembru 2020, is-SRB ippreżenta rikors intiż, minn naħa waħda, għall-annullament tad-deċiżjoni kontenzjuża u, min-naħa l-oħra, għal dikjarazzjoni ta’ illegalità tad-deċiżjoni inizjali.

36      Insostenn tal-ewwel kap ta’ talbiet, is-SRB qajjem żewġ motivi, li minnhom l-ewwel wieħed huwa bbażat fuq ksur tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725, inkwantu l-informazzjoni trażmessa lil Deloitte ma kinitx tikkostitwixxi data personali u, it-tieni wieħed, fuq il-ksur tad-dritt għal amministrazzjoni tajba, stabbilit fl-Artikolu 41 tal-Karta.

37      Permezz tas-sentenza appellata, il-Qorti Ġenerali ċaħdet minħabba nuqqas ta’ ġurisdizzjoni t-tieni kap tat-talbiet intiż sabiex id-deċiżjoni inizjali tiġi ddikjarata illegali, sa fejn is-SRB ried jikseb sentenza dikjaratorja u mhux l-annullament ta’ att.

38      Min-naħa l-oħra, il-Qorti Ġenerali ddikjarat ammissibbli l-ewwel kap ta’ talbiet. Dwar il-mertu, hija laqgħet l-ewwel motiv tar-rikors u annullat id-deċiżjoni kontenzjuża, mingħajr ma eżaminat it-tieni motiv tar-rikors.

IV.    Il-proċedura quddiem il-Qorti tal-Ġustizzja u t-talbiet tal-partijiet

39      Permezz ta’ deċiżjoni tal-President tal-Qorti tal-Ġustizzja tal‑20 ta’ Ottubru 2023, il-Kummissjoni Ewropea ġiet ammessa tintervjeni sabiex issostni s-SRB. Permezz ta’ digriet tal-President tal-Qorti tal-Ġustizzja tad‑29 ta’ Novembru 2023, il-Bord Ewropew għall-Protezzjoni tad-Data ġie ammess jintervjeni sabiex issostni l-konklużjonijiet tal-KEDP.

40      Il-KEPD, appoġġjat mill-Bord Ewropew għall-Protezzjoni tad-Data, jitlob li l-Qorti tal-Ġustizzja jogħġobha:

–        tannulla s-sentenza appellata,

–        tiddeċiedi definittivament dwar il-kawża, u

–        tikkundanna lis-SRB għall-ispejjeż tal-proċedura ta’ appell u tal-proċedura quddiem il-Qorti Ġenerali.

41      Is-SRB, sostnuta mill-Kummissjoni, titlob li l-Qorti tal-Ġustizzja jogħġobha:

–        tiċħad l-appell;

–        sussidjarjament, tannulla d-deċiżjoni kontenzjuża;

–        sussidjarjament, tibgħat lura l-kawża quddiem il-Qorti Ġenerali, u

–        tikkundanna lill-KEPD għall-ispejjeż tal-proċedura ta’ appell u tal-proċedura quddiem il-Qorti Ġenerali.

V.      Fuq l-appell

42      Insostenn tal-appell tiegħu, il-KEPD, sostnut mill-Bord Ewropew għall-Protezzjoni tad-Data, iqajjem żewġ aggravji, fejn l-ewwel wieħed huwa bbażat fuq ksur tal-punti 1 u 6 tal-Artikolu 3 tar-Regolament 2018/1725, kif interpretat mill-Qorti tal-Ġustizzja, u t-tieni wieħed fuq ksur tal-Artikolu 4(2) u tal-Artikolu 26(1) ta’ dan ir-regolament.

A.      Fuq l-ewwel aggravju

43      Permezz tal-ewwel aggravju tiegħu, il-KEPD isostni, essenzjalment, li, billi ddeċidiet li huwa kien ikkonkluda b’mod żbaljat, fid-deċiżjoni kontenzjuża, li l-informazzjoni inkwistjoni f’dan il-każ kienet tikkostitwixxi data personali, il-Qorti Ġenerali wettqet żball ta’ liġi fl-interpretazzjoni tal-punti 1 u 6 tal-Artikolu 3 tar-Regolament 2018/1725. Dan l-aggravju huwa maqsum f’żewġ partijiet. L-ewwel parti tikkonċerna l-kundizzjoni, prevista fil-punt 1 tal-Artikolu 3 ta’ dan ir-regolament, li l-informazzjoni “tkun relatata” ma’ persuna fiżika u t-tieni parti tikkonċerna l-kundizzjoni, prevista fl-istess dispożizzjoni, dwar in-natura “identifikabbli” ta’ din il-persuna.

1.      Fuq l-ewwel parti, ibbażata fuq interpretazzjoni żbaljata tal-kundizzjoni, prevista fil-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725, li l-informazzjoni “tkun relatata” ma’ persuna fiżika

a)      L-argumenti tal-partijiet

44      Permezz tal-ewwel parti tal-ewwel aggravju, il-KEPD isostni li, kuntrarjament għal dak li ddeċidiet il-Qorti Ġenerali, fil-punti 60 sa 74 tas-sentenza appellata, l-informazzjoni trażmessa lil Deloitte kienet relatata ma’ persuna fiżika, fis-sens tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725.

45      Fl-ewwel lok, il-KEPD isostni li, kuntrarjament għal dak li jirriżulta mill-punt 70 tas-sentenza appellata, l-awtoritajiet tal-protezzjoni tad-data ma jistgħux ikunu obbligati jwettqu, fi kwalunkwe każ, eżami tal-kontenut, tal-iskop jew tal-effett ta’ informazzjoni sabiex jivverifikaw jekk din tikkonċernax persuna fiżika. Skont il-KEPD, tali eżami ma setax, b’mod partikolari, jintalab fir-rigward tal-kummenti trażmessi mis-SRB lil Deloitte, peress li, fil-fehma tiegħu, kien ċar li dawn il-kummenti “huma relatati ma’” persuna fiżika sa fejn kienu jesprimu l-perspettiva personali ta’ ċerti kredituri u azzjonisti ta’ Banco Popular dwar l-eventwali dritt tagħhom għal kumpens għad-danni skont l-Artikolu 76(1)(e) tar-Regolament SRM.

46      Fit-tieni lok, kuntrarjament għall-konstatazzjoni li tinsab fil-punt 71 tas-sentenza appellata, il-KEPD isostni li, sabiex jikkonkludi li teżisti data personali, huwa mhux biss ibbaża ruħu fuq in-natura tal-kummenti trażmessi lil Deloitte, iżda wkoll fuq il-fatt li l-kodiċi alfanumeriku kien ġie trażmess ukoll lil din il-kumpannija.

47      Fit-tielet lok, il-KEPD isostni li s-sentenza appellata hija vvizzjata b’kontradizzjoni sa fejn il-Qorti Ġenerali, minn naħa, irrilevat fil-punt 7 ta’ din is-sentenza li l-għan stess tal-kummenti trażmessi lil Deloitte kien li jippermetti lil persuni fiżiċi speċifiċi, jiġifieri lill-azzjonisti u lill-kredituri affettwati, jeżerċitaw id-dritt tagħhom għal smigħ fid-dawl ta’ eventwali kumpens għad-danni skont l-Artikolu 76(1)(e) tar-Regolament SRM. B’kontradizzjoni ma’ din l-ewwel konstatazzjoni, il-Qorti Ġenerali ddeċidiet, min-naħa l-oħra, fil-punt 73 tal-imsemmija sentenza, li l-KEPD kien ibbaża ruħu fuq preżunzjonijiet li l-kummenti kollha trażmessi lil Deloitte kienu jikkostitwixxu data personali, mingħajr ma wera li dawn kienu jikkonċernaw persuni fiżiċi.

48      Is-SRB, sostnut mill-Kummissjoni, isostni li dan l-argument għandu jiġi miċħud.

49      Fl-ewwel lok, skont il-ġurisprudenza li tirriżulta mis-sentenzi tal‑20 ta’ Diċembru 2017, Nowak (C‑434/16, EU:C:2017:994, punti 34 u 35), u tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF (C‑487/21, EU:C:2023:369, punti 23 u 24), informazzjoni, oġġettiva jew suġġettiva, fil-forma ta’ opinjonijiet jew evalwazzjonijiet, tista’ tikkostitwixxi data personali, bil-kundizzjoni li din “tikkonċerna” lill-persuna inkwistjoni. Barra minn hekk, skont din il-ġurisprudenza, informazzjoni tikkonċerna persuna fiżika identifikata jew identifikabbli meta, minħabba l-kontenut tagħha, l-iskop tagħha jew l-effett tagħha, l-informazzjoni tkun relatata ma’ persuna identifikabbli. Għalhekk, il-Qorti Ġenerali ddeċidiet, ġustament, fil-punti 70 sa 74 tas-sentenza appellata, li l-KEPD injora l-imsemmija ġurisprudenza billi sempliċement indika li l-kummenti trażmessi lil Deloitte kienu jirriflettu l-opinjonijiet jew il-fehmiet tal-azzjonisti u tal-kredituri affettwati u, għalhekk, mingħajr ma eżamina jekk, minħabba l-kontenut, l-iskop jew l-effett tagħhom, dawn il-kummenti kinux marbuta ma’ persuna identifikabbli.

50      Fit-tieni lok, l-allegazzjoni tal-KEPD li n-natura ta’ data personali tal-imsemmija kummenti tirriżulta neċessarjament mill-iskop tagħhom tikkostitwixxi allegazzjoni fattwali ġdida, ippreżentata għall-ewwel darba quddiem il-qorti tal-appell, li hija, minħabba f’hekk, inammissibbli. Fi kwalunkwe każ, din l-allegazzjoni hija ineffettiva sa fejn il-KEPD ma eżaminax dan il-punt fid-deċiżjoni kontenzjuża.

51      Fir-rigward, fit-tielet lok, tal-allegata kontradizzjoni tal-motivi bejn il-punti 7 u 73 tas-sentenza appellata, is-SRB isostni li d-deskrizzjoni li tinsab fil-punt 7 ta’ din is-sentenza ma tinkludi ebda informazzjoni dwar il-kontenut, l-iskop jew l-effett tal-kummenti trażmessi lil Deloitte u, għaldaqstant, ma tikkontradixxix il-konklużjoni stabbilita fil-punt 73 tal-imsemmija sentenza.

b)      Il-kunsiderazzjonijiet tal-Qorti tal-Ġustizzja

52      Preliminarjament, għandu jiġi rrilevat li d-definizzjoni tal-kunċett ta’ “data personali”, stabbilita fil-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725, hija essenzjalment identika għal dik li tinsab fil-punt 1 tal-Artikolu 4 tal-GDPR, li, min-naħa tagħha, għandha portata essenzjalment identika għal dik li kienet tinsab fl-Artikolu 2(a) tad-Direttiva tal-Parlament Ewropew u tal-Kunsill 95/46/KE tal‑24 ta’ Ottubru 1995 dwar il-protezzjoni ta’ individwi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ dik id-data (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 13, Vol. 15, p. 355). Sabiex tiggarantixxi applikazzjoni uniformi u koerenti tad-dritt tal-Unjoni, għandha tiġi żgurata għalhekk interpretazzjoni identika tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725, tal-punt 1 tal-Artikolu 4 tal-GDPR u tal-Artikolu 2(a) tad-Direttiva 95/46 (ara, f’dan is-sens, is-sentenzi tas‑7 ta’ Marzu 2024, OC vs Il‑Kummissjoni, C‑479/22 P, EU:C:2024:215, punt 43, kif ukoll tas‑7 ta’ Marzu 2024, IAB Europe, C‑604/22, EU:C:2024:214, punt 33 u l-ġurisprudenza ċċitata).

53      Il-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725 jipprovdi li tikkostitwixxi data personali “kwalunkwe informazzjoni relatata ma’ persuna fiżika identifikata jew identifikabbli”.

54      Il-Qorti tal-Ġustizzja ddeċidiet li l-użu tal-espressjoni “kwalunkwe informazzjoni” fid-definizzjoni tal-kunċett ta’ “data personali”, li tinsab f’din id-dispożizzjoni u fil-punt 1 tal-Artikolu 4 tal-GDPR, jirrifletti l-għan tal-leġiżlatur tal-Unjoni li jattribwixxi sens wiesa’ lil dan il-kunċett, li potenzjalment jiġbor fih kull tip ta’ informazzjoni, kemm oġġettiva kif ukoll suġġettiva, fil-forma ta’ opinjonijiet jew evalwazzjonijiet, bil-kundizzjoni li dawn “jikkonċernaw” lill-persuna inkwistjoni (sentenzi tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF, C‑487/21, EU:C:2023:369, punt 23 u l-ġurisprudenza ċċitata; tas‑7 ta’ Marzu 2024, OC vs Il‑Kummissjoni, C‑479/22 P, EU:C:2024:215, punt 45, kif ukoll tal‑4 ta’ Ottubru 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punt 130).

55      Informazzjoni tikkonċerna lil persuna fiżika identifikata jew identifikabbli meta, minħabba l-kontenut, l-iskop jew l-effett tagħha, din tkun relatata ma’ persuna identifikabbli (sentenzi tal‑20 ta’ Diċembru 2017, Nowak, C‑434/16, EU:C:2017:994, punt 35; tas‑7 ta’ Marzu 2024, OC vs Il‑Kummissjoni, C‑479/22 P, EU:C:2024:215, punt 45, u tas‑7 ta’ Marzu 2024, IAB Europe, C‑604/22, EU:C:2024:214, punt 37 u l-ġurisprudenza ċċitata).

56      F’dan il-każ, għalkemm il-Qorti Ġenerali rrilevat, fil-punt 70 tas-sentenza appellata, li l-KEPD la kien eżamina l-kontenut, la l-iskop u lanqas l-effett tal-informazzjoni li tirriżulta mill-kummenti trażmessi lil Deloitte, mill-punti 71 u 72 ta’ din is-sentenza jirriżulta madankollu li l-konstatazzjoni li dawn il-kummenti kienu jirriflettu l-opinjonijiet jew il-fehmiet tas-suġġetti tad-data kienet teħtieġ li l-KEPD ikun eżamina minn qabel il-kontenut tal-imsemmija kummenti. Fuq il-bażi ta’ din il-konstatazzjoni, il-KEPD ikkonkluda li dawn kienu jikkostitwixxu informazzjoni dwar dawn il-persuni. Issa, skont il-ġurisprudenza mfakkra fil-punt 55 ta’ din is-sentenza, eżami li jirrigwarda l-kontenut ta’ informazzjoni ma għandux neċessarjament jiġi kkompletat minn analiżi tal-iskop u tal-effetti ta’ din l-informazzjoni, kif jindika l-użu tal-konġunzjoni “jew” li tgħaqqad id-diversi kriterji msemmija minn din il-ġurisprudenza.

57      Madankollu, fil-punti 73 u 74 tas-sentenza appellata, il-Qorti Ġenerali qieset li l-KEPD ma setax jikklassifika l-informazzjoni li tirriżulta mill-kummenti trażmessi lil Deloitte bħala data personali abbażi biss tal-konstatazzjoni li dawn kienu opinjonijiet jew fehmiet personali, iżda li huwa kellu jeżamina, barra minn hekk, il-kontenut, l-iskop u l-effett tal-opinjonijiet hekk espressi, sabiex jiddetermina jekk dawn kinux marbuta ma’ persuna partikolari.

58      Din l-evalwazzjoni tal-Qorti Ġenerali tinjora n-natura partikolari tal-opinjonijiet jew tal-perspettivi personali li, bħala espressjoni tal-ħsieb ta’ persuna, huma neċessarjament relatati mill-qrib ma’ din tal-aħħar.

59      L-interpretazzjoni adottata fil-punt preċedenti hija kkorroborata mill-ġurisprudenza li tirriżulta mis-sentenza tal‑20 ta’ Diċembru 2017, Nowak (C‑434/16, EU:C:2017:994), li kienet tirrigwarda, fost l-oħrajn, l-annotazzjonijiet ta’ eżaminatur relatati mar-risposti bil-miktub ta’ kandidat għal eżami professjonali. Fil-fatt, fil-punti 42 sa 44 ta’ dik is-sentenza, għalkemm il-Qorti tal-Ġustizzja evalwat il-kontenut, l-iskop u l-effett ta’ dawn l-annotazzjonijiet sabiex tikkonstata li dawn kienu jikkostitwixxu informazzjoni dwar il-kandidat ikkonċernat minnhom, hija, essenzjalment, qieset li l-imsemmija kummenti kienu relatati wkoll mal-eżaminatur li kien l-awtur tagħhom, peress li dawn kienu jesprimu l-opinjoni jew l-evalwazzjoni tiegħu.

60      Minn dan isegwi li l-Qorti Ġenerali wettqet żball ta’ liġi meta ddeċidiet, fil-punti 73 u 74 tas-sentenza appellata, li l-KEPD, sabiex jikkonkludi li l-informazzjoni li tirriżulta mill-kummenti trażmessi lil Deloitte “kienet relatata”, fis-sens tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725, mal-persuni li ppreżentaw dawn il-kummenti, kellu jeżamina l-kontenut, l-iskop jew l-effetti tal-imsemmija kummenti, peress li kien paċifiku li dawn kienu jesprimu l-opinjoni jew il-perspettiva personali tal-awturi tagħhom.

61      Għaldaqstant, mingħajr ma huwa neċessarju li jiġu eżaminati l-argumenti miġbura fil-qosor fil-punti 46 u 47 ta’ din is-sentenza, l-ewwel parti tal-ewwel aggravju għandha tintlaqa’.

2.      Fuq it-tieni parti tal-ewwel aggravju, ibbażata fuq interpretazzjoni żbaljata tal-kundizzjoni, prevista fil‑punt 1 tal‑Artikolu 3 tar‑Regolament 2018/1725, li l‑informazzjoni tirrelata ma’ persuna fiżika “identifikabbli”

62      Permezz tat-tieni parti tal-ewwel aggravju, il-KEPD isostni li, fil-punti 76 sa 106 tas-sentenza appellata, il-Qorti Ġenerali ddeċidiet, b’mod żbaljat, li hija ma setgħetx tqis li l-informazzjoni li tirriżulta mill-kummenti trażmessi lil Deloitte kienet relatata ma’ persuna fiżika “identifikabbli”, fis-sens tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725. Din il-parti hija komposta minn żewġ ilmenti distinti.

a)      Fuq l-ewwel ilment tat-tieni parti tal-ewwel aggravju

1)      L-argumenti tal-partijiet

63      Qabelxejn, il-KEPD ifakkar li, skont il-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725, il-kontrollur jew “kwalunkwe persuna oħra” għandu jkun f’pożizzjoni li jidentifika suġġett tad-data mill-informazzjoni inkwistjoni. Fl-assenza ta’ indikazzjoni dwar il-persuna li għandha tkun f’pożizzjoni li twettaq din l-identifikazzjoni, ikun biżżejjed li s-suġġett tad-data jkun jista’ jiġi identifikat. Issa, f’dan il-każ, ma huwiex ikkontestat li l-kummenti trażmessi lil Deloitte, li kellu s-SRB, jikkostitwixxu data personali. Barra minn hekk, mill-punt 6 tal-Artikolu 3 ta’ dan ir-regolament, moqri flimkien mal-premessa 16 tiegħu, jirriżulta li data psewdonimizzata tikkostitwixxi data personali, u dan sempliċement minħabba l-eżistenza ta’ informazzjoni addizzjonali li tippermetti li din tiġi attribwita lil persuna speċifika.

64      Skont il-KEPD, il-kunsiderazzjonijiet li jinsabu fil-punti 90 u 91 tas-sentenza appellata ma jiħdux inkunsiderazzjoni b’mod suffiċjenti t-termini ta’ dawn id-dispożizzjonijiet kif ukoll id-distinzjoni bejn anonimizzazzjoni u psewdonimizzazzjoni. F’dan ir-rigward, il-Bord Ewropew għall-Protezzjoni tad-Data jippreċiża li, skont l-interpretazzjoni adottata mill-Qorti Ġenerali, data personali tinbidel fin-natura tagħha meta tiġi trażmessa lil entità esterna għall-kontrollur, li ma jkollhiex informazzjoni addizzjonali li tippermetti li jiġi identifikat is-suġġett tad-data. Din l-interpretazzjoni tippermetti lil tali kontrollur ineħħi indebitament id-data personali mill-kamp ta’ applikazzjoni tad-dritt tal-Unjoni fil-qasam tal-protezzjoni ta’ tali data, u dan anki meta l-ipproċessar mill-entità esterna jesponi lis-suġġetti tad-data għal riskji sinjifikattivi.

65      Sussegwentement, il-KEPD jirrileva li, billi introduċa l-kunċett ta’ psewdonimizzazzjoni, il-leġiżlatur tal-Unjoni kkjarifika li, sabiex tiġi eskluża data personali mill-kamp ta’ applikazzjoni tad-dritt tal-Unjoni fil-qasam tal-protezzjoni ta’ tali data, ma huwiex biżżejjed li din id-data tiġi sseparata mill-informazzjoni addizzjonali li tippermetti li jiġi identifikat is-suġġett tad-data.

66      Fl-aħħar nett, il-KEPD ifakkar li l-kunċett ta’ data personali għandu jiġi interpretat b’mod wiesa’, li huwa, fil-fehma tiegħu, neċessarju sabiex id-dritt fil-qasam tal-protezzjoni tad-data jipproduċi l-effett utli tiegħu. Sa fejn l-interpretazzjoni tal-Qorti Ġenerali tippermetti li d-data psewdonimizzata titqies b’mod żbaljat bħala data anonima, din tkun ta’ natura li tikkomprometti l-livell għoli ta’ protezzjoni mfittex mil-leġiżlatur tal-Unjoni u meħtieġ mill-Karta. Skont il-Bord Ewropew għall-Protezzjoni tad-Data, l-interpretazzjoni adottata mill-Qorti Ġenerali tinkludi wkoll ir-riskju li d-data psewdonimizzata tista’ tiġi pproċessata mingħajr restrizzjoni skont il-GDPR u r-Regolament 2018/1725, inkluż il-kondiviżjoni, il-pubblikazzjoni u t-trasferiment tagħha lejn pajjiżi terzi.

67      Is-SRB, sostnut mill-Kummissjoni, jikkontesta dawn l-argumenti.

2)      Il‑kunsiderazzjonijiet tal‑Qorti tal‑Ġustizzja

68      L-ewwel ilment tat-tieni parti tal-ewwel aggravju huwa, essenzjalment, ibbażat fuq il-kunsiderazzjoni li data psewdonimizzata bħall-kummenti trażmessi lil Deloitte tikkostitwixxi, fi kwalunkwe każ, data personali minħabba s-sempliċi eżistenza ta’ informazzjoni li tippermetti li jiġi identifikat is-suġġett tad-data, mingħajr ma huwa neċessarju li jiġi eżaminat b’mod konkret jekk, minkejja l-psewdonimizzazzjoni, il-persuna li magħha hija relatata din id-data hijiex identifikabbli.

69      F’dan ir-rigward, għandu jitfakkar li, skont il-kliem stess tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725, informazzjoni għandha tkun relatata ma’ persuna fiżika “identifikata jew identifikabbli” sabiex tiġi kklassifikata bħala data personali, fis-sens ta’ din id-dispożizzjoni. Għalhekk, l-applikazzjoni ta’ dan ir-regolament tippreżupponi, bħala prinċipju, eżami dwar in-natura identifikata jew identifikabbli tas-suġġett tad-data mill-informazzjoni inkwistjoni.

70      Din l-interpretazzjoni hija kkorroborata mill-ħames u mis-sitt sentenza tal-premessa 16 tar-Regolament 2018/1725, li jipprovdu li ma taqax taħt id-definizzjoni tal-kunċett ta’ “data personali” l-“informazzjoni anonima, jiġifieri informazzjoni li mhijiex relatata ma’ persuna fiżika identifikata jew identifikabbli”, u lanqas id-“data personali li ssir anonima b’tali mod li s-suġġett tad-data ma jkunx jew ma jkunx għadu identifikabbli” (ara, b’analoġija, is-sentenza tal‑5 ta’ Diċembru 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punt 57).

71      Fir-rigward, b’mod iktar partikolari, tad-data psewdonimizzata, għandu jiġi nnotat, fl-ewwel lok, li din id-data ma tissemmiex fid-definizzjoni legali tal-kunċett ta’ “data personali”, li tinsab fil-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725, iżda li l-karatteristiċi tagħha jirriżultaw mill-punt 6 tal-Artikolu 3 ta’ dan ir-regolament. Din l-aħħar dispożizzjoni tiddefinixxi l-kunċett ta’ “psewdonimizzazzjoni” bħala “l-ipproċessar ta’ data personali b’tali mod li d-data personali ma tkunx tista’ tibqa’ tiġi attribwita għal suġġett tad-data speċifiku mingħajr l-użu ta’ informazzjoni addizzjonali, dment li tali informazzjoni addizzjonali tinżamm separatament u tkun soġġetta għal miżuri tekniċi u organizzattivi biex jiġi żgurat li d-data personali ma tiġix attribwita għal persuna fiżika identifikata jew identifikabbli”.

72      Kif irrileva, essenzjalment, l-Avukat Ġenerali fil-punti 46 u 48 tal-konklużjonijiet tiegħu, il-psewdonimizzazzjoni għalhekk ma tikkostitwixxix element tad-definizzjoni ta’ “data personali”, iżda tirreferi għall-implimentazzjoni ta’ miżuri tekniċi u organizzattivi intiżi li jnaqqsu r-riskju ta’ korrelazzjoni ta’ sett ta’ data mal-identità tas-suġġetti tad-data. Skont il-premessa 17 tal-imsemmi regolament, il-psewdonimizzazzjoni “tista’ [biss] tnaqqas ir-riskji” ta’ tali korrelazzjoni għal dawn il-persuni u, għalhekk, “tgħin lill-kontrolluri u lill-proċessuri jissodisfaw l-obbligi tagħhom tal-protezzjoni tad-data”.

73      Fit-tieni lok, mill-kliem tal-punt 6 tal-Artikolu 3 tar-Regolament 2018/1725 jirriżulta li l-kunċett ta’ “psewdonimizzazzjoni” jippreżupponi l-eżistenza ta’ informazzjoni li tippermetti li jiġi identifikat is-suġġett tad-data. Issa, l-eżistenza stess ta’ tali informazzjoni tipprekludi li data li kienet is-suġġett ta’ psewdonimizzazzjoni tkun tista’, fi kwalunkwe każ, titqies li hija data anonima, eskluża mill-kamp ta’ applikazzjoni ta’ dan ir-regolament.

74      Xorta jibqa’ l-fatt li, fit-tielet lok, ir-rekwiżit ta’ żamma separata tal-informazzjoni ta’ identifikazzjoni kif ukoll ta’ miżuri tekniċi u organizzattivi “biex jiġi żgurat li d-data personali ma tiġix attribwita għal persuna fiżika identifikata jew identifikabbli”, previst fil-punt 6 tal-Artikolu 3 tal-imsemmi regolament, jindika li l-psewdonimizzazzjoni għandha b’mod partikolari l-għan li tevita li s-suġġett tad-data jkun jista’ jiġi identifikat biss permezz tad-data psewdonimizzata.

75      Fil-fatt, sakemm tali miżuri tekniċi u organizzattivi jkunu effettivament implimentati u jkunu ta’ natura li jipprevjenu attribuzzjoni tad-data inkwistjoni lis-suġġett tad-data, b’tali mod li dan ma jkunx jew ma jkunx għadu identifikabbli, il-psewdonimizzazzjoni jista’ jkollha effett fuq in-natura personali ta’ din id-data fis-sens tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725.

76      F’dan ir-rigward, għandu jiġi ppreċiżat li, bħalma huwa normalment il-każ tal-kontrollur li wettaq il-psewdonimizzazzjoni, is-SRB għandu, f’dan il-każ, informazzjoni addizzjonali li tippermetti li l-kummenti trażmessi lil Deloitte jiġu attribwiti lis-suġġett tad-data, b’tali mod li, għalih, dawn il-kummenti jżommu, minkejja l-psewdonimizzazzjoni, in-natura personali tagħhom.

77      Fir-rigward ta’ Deloitte li lilha s-SRB ittrażmetta kummenti psewdonimizzati, il-miżuri tekniċi u organizzattivi msemmija fil-punt 6 tal-Artikolu 3 tar-Regolament 2018/1725 jistgħu, kif isostni essenzjalment is-SRB, ikollhom l-effett li, għal din il-kumpannija, dawn il-kummenti ma jkunux ta’ natura personali. Madankollu, dan jippreżupponi, minn naħa, li Deloitte ma tkunx f’pożizzjoni li tneħħi dawn il-miżuri waqt kull ipproċessar tal-imsemmija kummenti mwettaq taħt il-kontroll tagħha. Min-naħa l-oħra, l-imsemmija miżuri għandhom effettivament ikunu ta’ natura li jipprekludu lil Deloitte milli tattribwixxi dawn l-istess kummenti lis-suġġetti tad-data wkoll permezz tal-użu ta’ mezzi ta’ identifikazzjoni oħra bħal kontroverifika ma’ elementi oħra, b’tali mod li, għal din il-kumpannija, is-suġġett tad-data ma huwiex jew ma għadux identifikabbli.

78      Din l-interpretazzjoni hija kkorroborata mill-premessa 16 tar-Regolament 2018/1725 li, wara li ddikjarat, fl-ewwel sentenza tagħha, li “[i]l-prinċipji ta’ protezzjoni tad-data jenħtieġ li japplikaw għal kwalunkwe informazzjoni dwar persuna fiżika identifikata jew identifikabbli”, tipprovdi, fit-tieni sentenza tagħha, li “[j]enħtieġ li d-data personali li tkun għaddiet minn psewdonimizzazzjoni, li tkun tista’ tiġi attribwita lil persuna fiżika bl-użu ta’ informazzjoni addizzjonali, titqies bħala informazzjoni dwar persuna fiżika identifikabbli”.

79      Fil-fatt, wara dawn l-indikazzjonijiet relatati mad-data personali u mad-data psewdonimizzata, it-tielet sentenza ta’ din il-premessa tippreċiża li, sabiex jiġi determinat jekk persuna fiżika hija identifikabbli, għandhom jittieħdu inkunsiderazzjoni “l-mezzi kollha li raġonevolment x’aktarx” jintużaw mill-kontrollur jew “minn kwalunkwe persuna oħra” sabiex jidentifikaw il-persuna fiżika “direttament jew indirettament”. Barra minn hekk, ir-raba’ sentenza ta’ din il-premessa tipprovdi li, sabiex jiġi stabbilit liema mezzi huma raġonevolment mistennija jintużaw għall-identifikazzjoni ta’ persuna fiżika, jenħtieġ li jittieħdu inkunsiderazzjoni “l-fatturi oġġettivi kollha, bħall-ispejjeż tal-identifikazzjoni u l-ammont ta’ żmien rikjest għall-identifikazzjoni, filwaqt li jitqiesu t-teknoloġija disponibbli fil-mument tal-ipproċessar u l-iżviluppi teknoloġiċi”.

80      Issa, kif irrileva, essenzjalment, l-Avukat Ġenerali fil-punt 51 tal-konklużjonijiet tiegħu, dawn il-preċiżazzjonijiet dwar l-evalwazzjoni tan-natura identifikabbli jew le tas-suġġett tad-data jiġu mċaħħda minn kull effett utli jekk data psewdonimizzata kellha titqies li tikkostitwixxi, fi kwalunkwe każ u għal kull persuna, data personali għall-finijiet tal-applikazzjoni tar-Regolament 2018/1725.

81      F’dan ir-rigward, għandu jitfakkar li, fir-rigward ta’ stqarrija għall-istampa li kienet tinkludi ċertu numru ta’ indikazzjonijiet dwar persuna mingħajr ma tindikaha b’isimha, il-Qorti tal-Ġustizzja ma llimitatx ruħha, fis-sentenza tagħha tas‑7 ta’ Marzu 2024, OC vs Il‑Kummissjoni (C‑479/22 P, EU:C:2024:215, punti 52 sa 64), għall-konstatazzjoni li l-organu tal-Unjoni li ppubblika din l-istqarrija kellu l-informazzjoni kollha li tippermetti li tiġi identifikata din il-persuna, iżda hija eżaminat jekk l-indikazzjonijiet li jinsabu fl-imsemmija stqarrija kinux jippermettu raġonevolment lill-pubbliku kkonċernat jidentifika din il-persuna, b’mod partikolari permezz ta’ kombinazzjoni ta’ dawn l-indikazzjonijiet ma’ informazzjoni disponibbli fuq l-internet.

82      Barra minn hekk, il-Qorti tal-Ġustizzja diġà ddeċidiet li mezz ma jistax raġonevolment jiġi implimentat sabiex jiġi identifikat s-suġġett tad-data meta r-riskju ta’ identifikazzjoni jidher fir-realtà insinjifikattiv, peress li l-identifikazzjoni ta’ dan is-suġġett hija pprojbita mil-liġi jew ma tistax titwettaq fil-prattika, pereżempju minħabba l-fatt li timplika sforz sproporzjonat f’termini ta’ ħin, ta’ spejjeż u ta’ ħaddiema (ara, f’dan is-sens, is-sentenza tas‑7 ta’ Marzu 2024, OC vs Il‑Kummissjoni, C‑479/22 P, EU:C:2024:215, punt 51 u l-ġurisprudenza ċċitata). Din il-ġurisprudenza tikkorrobora l-interpretazzjoni li tgħid li l-eżistenza ta’ informazzjoni addizzjonali li tippermetti li jiġi identifikat is-suġġett tad-data ma timplikax, waħedha, li data psewdonimizzata għandha titqies li tikkostitwixxi, fi kwalunkwe każ u għal kull persuna, data personali għall-finijiet tal-applikazzjoni tar-Regolament 2018/1725.

83      Bl-istess mod, il-Qorti tal-Ġustizzja essenzjalment iddeċidiet, b’mod partikolari fis-sentenzi tad‑19 ta’ Ottubru 2016, Breyer (C‑582/14, EU:C:2016:779, punti 44, 47 u 48), u tas‑7 ta’ Marzu 2024, IAB Europe (C‑604/22, EU:C:2024:214, punti 43 u 48), li data fiha nnifisha impersonali, miġbura u miżmuma mill-kontrollur kienet xorta waħda marbuta ma’ persuna identifikabbli, peress li l-kontrollur kellu mezzi legali sabiex jikseb mingħand ħaddieħor l-informazzjoni addizzjonali li kienet tippermetti li din il-persuna tiġi identifikata. Fil-fatt, f’tali ċirkustanzi, il-fatt li l-informazzjoni li tippermetti li jiġi identifikat is-suġġett tad-data kienet tinsab f’idejn persuni differenti ma kienx ta’ natura li effettivament jipprekludi l-identifikazzjoni tiegħu b’tali mod li ma kienx identifikabbli għall-kontrollur.

84      Fuq kollox, skont il-ġurisprudenza li tirriżulta mis-sentenza tad‑9 ta’ Novembru 2023, Gesamtverband Autoteile-Handel (Aċċess għall-informazzjoni dwar il-vetturi) (C‑319/22, EU:C:2023:837, punti 46 u 49), data li fiha nnifisha hija impersonali tista’ tikseb natura “personali”, meta l-kontrollur iqegħedha għad-dispożizzjoni ta’ persuni oħra li għandhom mezzi li raġonevolment jistgħu jippermettu l-identifikazzjoni tas-suġġett tad-data. B’mod partikolari, minn din l-aħħar sentenza jirriżulta li — fil-kuntest ta’ tali tqegħid għad-dispożizzjoni — l-imsemmija data hija ta’ natura personali kemm għal dawn il-persuni kif ukoll, indirettament, għall-kontrollur.

85      Konsegwentement, fid-dawl tal-ġurisprudenza mfakkra fil-punt preċedenti, il-KEPD żbalja meta argumenta li l-fatt li data psewdonimizzata ma għandhiex, jekk ikun il-każ, natura personali għall-persuni li lilhom il-kontrollur jittrasferixxi data psewdonimizzata, jippermetti li din id-data titneħħa indebitament mill-kamp ta’ applikazzjoni tad-dritt tal-Unjoni fil-qasam tal-protezzjoni tad-data personali. Fil-fatt, skont din il-ġurisprudenza, l-imsemmija ċirkustanza ma taffettwax l-evalwazzjoni tan-natura personali ta’ din l-istess data fil-kuntest b’mod partikolari tal-eventwali trasferiment ulterjuri tagħha lil terzi. Għalhekk, sa fejn ma huwiex eskluż li dawn it-terzi jkunu raġonevolment f’pożizzjoni li jattribwixxu, permezz ta’ mezzi, bħal kontroverifika ma’ data oħra li huma għandhom, id-data psewdonimizzata lis-suġġett tad-data, din għandha titqies li hija identifikabbli kemm fir-rigward ta’ dan it-trasferiment kif ukoll fir-rigward ta’ kull ipproċessar ulterjuri ta’ din id-data mill-imsemmija terzi. F’ċirkostanzi bħal dawn, id-data psewdonimizzata jenħtieġ li titqies bħala personali.

86      Minn dan isegwi li, kuntrarjament għal dak li jsostni l-KEPD, data psewdonimizzata ma għandhiex titqies li tikkostitwixxi, fi kwalunkwe każ u għal kull persuna, data personali għall-finijiet tal-applikazzjoni tar-Regolament 2018/1725, sa fejn il-psewdonimizzazzjoni tista’, skont iċ-ċirkustanzi tal-każ, effettivament tipprekludi lil persuni oħra minbarra l-kontrollur milli jidentifikaw is-suġġett tad-data b’tali mod li, għalihom, dan ma huwiex jew ma għadux identifikabbli.

87      Din l-interpretazzjoni ma hijiex ikkontestata mill-fatt, invokat mill-KEPD, li r-raba’ sentenza tal-premessa 16 tar-Regolament 2018/1725 tirrigwarda l-kontrollur jew “kwalunkwe persuna oħra”. Fil-fatt, mill-kliem stess ta’ din is-sentenza, imfakkra fil-punt 79 ta’ din is-sentenza, jirriżulta li din tirreferi biss għall-persuni li għandhom jew li jistgħu jaċċedu għall-mezzi li raġonevolment jistgħu jintużaw għall-finijiet tal-identifikazzjoni tas-suġġett tad-data. Issa, kif ġie rrilevat fil-punti 75 sa 77 ta’ din is-sentenza, il-psewdonimizzazzjoni tista’, skont iċ-ċirkustanzi tal-każ, effettivament tipprekludi lil persuni oħra minbarra l-kontrollur milli jidentifikaw is-suġġett tad-data b’tali mod li, għalihom, dan ma jkunx jew ma jkunx għadu identifikabbli.

88      Fir-rigward tal-argument tal-KEPD ibbażat fuq l-għan li jiġi żgurat livell għoli ta’ protezzjoni tad-data personali, għalkemm il-kliem tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725 jirrifletti l-għan tal-leġiżlatur tal-Unjoni li jattribwixxi sens wiesa’ lill-kunċett ta’ “data personali”, dan il-kunċett ma huwiex illimitat peress li din id-dispożizzjoni teżiġi b’mod partikolari li s-suġġett tad-data jkun identifikat jew identifikabbli.

89      B’mod partikolari, kif irrileva l-Avukat Ġenerali fil-punt 58 tal-konklużjonijiet tiegħu, ir-Regolament 2018/1725 jinkludi obbligi, bħall-obbligu li tiġi pprovduta informazzjoni lis-suġġett tad-data previst fl-Artikolu 15 ta’ dan ir-regolament, li l-osservanza tagħhom tippreżupponi li jiġi identifikat is-suġġett tad-data. Issa, tali obbligi ma jistgħux jiġu imposti fuq entità li bl-ebda mod ma hija f’pożizzjoni li twettaq din l-identifikazzjoni.

90      Konsegwentement, l-ewwel ilment tat-tieni parti tal-ewwel aggravju għandu jiġi miċħud bħala infondat.

b)      Fuq it-tieni lment tat-tieni parti tal-ewwel aggravju

1)      L-argumenti tal-partijiet

91      Permezz tat-tieni lment tat-tieni parti tal-ewwel aggravju, il-KEPD isostni li l-Qorti Ġenerali marret kontra l-ġurisprudenza li tirriżulta mis-sentenza tad‑19 ta’ Ottubru 2016, Breyer (C‑582/14, EU:C:2016:779).

92      Fl-ewwel lok, il-Qorti Ġenerali kisret in-natura oġġettiva tal-kundizzjoni dwar in-natura “identifikabbli” tas-suġġett tad-data, billi ddeċidiet, fil-punti 97, 99 u 100 tas-sentenza appellata, b’mod partikolari, li l-KEPD kellu jeżamina jekk il-kummenti trażmessi lil Deloitte kinux jikkostitwixxu, mill-perspettiva ta’ din tal-aħħar, data personali. Fil-fatt, skont il-KEPD, mill-punti 47 u 48 tas-sentenza tad‑19 ta’ Ottubru 2016, Breyer (C‑582/14, EU:C:2016:779), jirriżulta li s-sempliċi eżistenza ta’ rimedji legali li jippermettu li jiġi identifikat s-suġġett tad-data hija biżżejjed sabiex jiġi konkluż li dan is-suġġett huwa identifikabbli. Issa, f’dan il-każ, is-SRB kien f’pożizzjoni li jidentifika s-suġġetti tad-data, fatt li l-Qorti Ġenerali ma ħaditx inkunsiderazzjoni b’mod suffiċjenti fil-kuntest tal-applikazzjoni tal-ġurisprudenza li tirriżulta minn din is-sentenza.

93      Fit-tieni lok, il-KEPD isostni li, fl-imsemmija sentenza, in-natura identifikabbli jew le tas-suġġett tad-data ġiet evalwata mill-perspettiva tal-kontrollur, u dan fl-assenza ta’ kwalunkwe relazzjoni bejn dan il-kontrollur u l-entitajiet li għandhom l-informazzjoni addizzjonali li tippermetti li jiġi identifikat dan is-suġġett tad-data. Għall-kuntrarju, f’dan il-każ, Deloitte ma hijiex il-kontrollur tad-data u hija, barra minn hekk, marbuta b’kuntratt mas-SRB. Fid-dawl ta’ dawn id-differenzi, il-KEPD iqis li ma kienx obbligat iwettaq evalwazzjoni sħiħa tal-mezzi li jistgħu raġonevolment jippermettu lil Deloitte tidentifika s-suġġetti tad-data.

94      Fi kwalunkwe każ, fil-każ li huwa kien madankollu obbligat jevalwa jekk Deloitte kinitx f’pożizzjoni li tidentifika l-awturi tal-kummenti li kienu ġew trażmessi lilha, il-KEPD isostni li xejn ma kien jipprekludi lil Deloitte milli twettaq din l-identifikazzjoni.

95      Is-SRB, sostnut mill-Kummissjoni, jikkontesta dawn l-argumenti.

96      Fl-ewwel lok, fil-punti 96, 97 u 100 tas-sentenza appellata, b’mod partikolari, il-Qorti Ġenerali ġustament ibbażat ruħha fuq approċċ li jgħid li n-natura identifikabbli tas-suġġett tad-data għandha tiġi eżaminata fir-rigward ta’ kull persuna u kull kontrollur ikkonċernat li jipproċessa l-informazzjoni rilevanti. Issa, fil-kuntest tal-obbligu ta’ informazzjoni previst fl-Artikolu 15(1)(d) tar-Regolament 2018/1725, dan l-eżami għandu jitqiegħed fil-perspettiva tad-destinatarju tal-informazzjoni inkwistjoni.

97      Fit-tieni lok, is-SRB isostni li l-argument ibbażat fuq l-allegati differenzi li għandha din il-kawża ma’ dik li wasslet għas-sentenza tad‑19 ta’ Ottubru 2016, Breyer (C‑582/14, EU:C:2016:779), huwa inammissibbli. Huwa jqis li dan l-argument jikkontesta l-konstatazzjonijiet fattwali tal-Qorti Ġenerali li jinsabu fil-punti 94 u 95 tas-sentenza appellata li Deloitte ma kellhiex aċċess għall-informazzjoni ta’ identifikazzjoni neċessarja sabiex jiġu identifikati l-persuni li ressqu l-ilmenti.

2)      Il‑kunsiderazzjonijiet tal‑Qorti tal‑Ġustizzja

98      Fil-punti 97 sa 100 tas-sentenza appellata, b’mod partikolari, il-Qorti Ġenerali essenzjalment iddeċidiet li, konformement mal-ġurisprudenza li tirriżulta mis-sentenza tad‑19 ta’ Ottubru 2016, Breyer (C‑582/14, EU:C:2016:779), il-KEPD kellu jeżamina jekk il-kummenti trażmessi lil Deloitte kinux jikkostitwixxu, mill-perspettiva ta’ din tal-aħħar, data personali. Sabiex tasal għal din il-konklużjoni, il-Qorti Ġenerali, b’mod partikolari, irrilevat li l-ksur tal-Artikolu 15(1)(d) tar-Regolament 2018/1725, ikkonstatat fid-deċiżjoni kontenzjuża, kien jikkonċerna t-trasferiment mis-SRB ta’ dawn il-kummenti lil Deloitte u mhux biss iż-żamma ta’ dawn mis-SRB.

99      Preliminarjament, għandu jitfakkar li l-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725 ma jippreċiżax espressament il-perspettiva rilevanti sabiex tiġi evalwata n-natura identifikabbli tas-suġġett tad-data, filwaqt li l-premessa 16 ta’ dan ir-regolament tirrigwarda, mingħajr distinzjoni, il-“kontrollur” jew “kwalunkwe persuna oħra”. Barra minn hekk, hija ġurisprudenza stabbilita li, sabiex data tkun tista’ tiġi kklassifikata bħala “data personali”, ma huwiex meħtieġ li l-informazzjoni kollha li tippermetti li jiġi identifikat is-suġġett tad-data għandha tkun f’idejn persuna waħda biss (ara, f’dan is-sens, is-sentenzi tad‑19 ta’ Ottubru 2016, Breyer, C‑582/14, EU:C:2016:779, punt 43 u tas‑7 ta’ Marzu 2024, OC vs Il‑Kummissjoni, C‑479/22 P, EU:C:2024:215, punt 48).

100    Skont il-ġurisprudenza li tirriżulta b’mod partikolari mis-sentenza tad‑19 ta’ Ottubru 2016, Breyer (C‑582/14, EU:C:2016:779), imfakkra fil-punti 81 sa 84 ta’ din is-sentenza, il-perspettiva rilevanti sabiex tiġi evalwata n-natura identifikabbli tas-suġġett tad-data tiddependi essenzjalment miċ-ċirkustanzi li jikkaratterizzaw l-ipproċessar tad-data f’kull każ partikolari.

101    F’dan il-każ, għandu jitfakkar li, fid-deċiżjoni kontenzjuża, il-KEPD ikkonstata li, billi naqas milli jsemmi lil Deloitte bħala destinatarja potenzjali tal-kummenti fid-dikjarazzjoni ta’ kunfidenzjalità ppreżentata fil-mument tal-ġbir tagħhom, is-SRB kien kiser l-obbligu ta’ informazzjoni tiegħu li jirriżulta mill-Artikolu 15(1)(d) tar-Regolament 2018/1725.

102    L-Artikolu 15(1) ta’ dan ir-regolament jiddetermina l-informazzjoni li l-kontrollur għandu jipprovdi lis-suġġett tad-data, meta tinġabar data personali mingħandu, filwaqt li jispeċifika li din l-informazzjoni għandha tiġi pprovduta lil dan is-suġġett tad-data “fil-ħin li tinkiseb id-data [inkwistjoni]”. Jirriżulta mill-kliem stess ta’ din id-dispożizzjoni li din l-informazzjoni għandha tiġi pprovduta mill-kontrollur immedjatament, jiġifieri fil-mument tal-ġbir ta’ din id-data (ara, b’analoġija, is-sentenza tad‑29 ta’ Lulju 2019, Fashion ID, C‑40/17, EU:C:2019:629, punt 104 u l-ġurisprudenza ċċitata)

103    Fir-rigward, b’mod iktar partikolari tal-informazzjoni dwar l-eventwali destinatarji tad-data personali, imsemmija fl-Artikolu 15(1)(d) tal-imsemmi regolament, din hija informazzjoni, li għandha tiġi pprovduta fost oħrajn, waqt il-ġbir tad-data mingħand is-suġġett tad-data.

104    L-Artikolu 14(1) tar-Regolament 2018/1725 jipprevedi li l-kontrollur għandu jieħu miżuri xierqa sabiex, b’mod partikolari, l-informazzjoni msemmija b’mod partikolari fl-Artikolu 15 ta’ dan ir-regolament tiġi pprovduta lis-suġġett tad-data b’mod konċiż, trasparenti, li jinftiehem, faċilment aċċessibbli u li din l-informazzjoni tkun ifformulata fi kliem ċar u sempliċi, sabiex dan is-suġġett tad-data jkun f’pożizzjoni li jifhem b’mod sħiħ l-informazzjoni indirizzata lilu (ara, b’analoġija, is-sentenzi tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF, C‑487/21, EU:C:2023:369, punt 38, kif ukoll tal‑11 ta’ Lulju 2024, Meta Platforms Ireland (Azzjoni rappreżentattiva), (C‑757/22, EU:C:2024:598, punti 55 u 56).

105    L-importanza tal-osservanza ta’ tali obbligu ta’ informazzjoni hija kkonfermata mill-premessa 35 tar-Regolament 2018/1725, li l-ewwel u t-tieni sentenza tagħha jistipulaw li l-prinċipju ta’ pproċessar ġust u trasparenti jirrikjedi li s-suġġett tad-data jkun informat bl-eżistenza tal-attività tal-ipproċessar u l-finijiet tagħha, filwaqt li jenfasizzaw li l-kontrollur għandu jipprovdi kwalunkwe informazzjoni ulterjuri li tkun meħtieġa biex jiġi żgurat ipproċessar ġust u trasparenti, filwaqt li jitqiesu ċ-ċirkustanzi speċifiċi u l-kuntest li fih tiġi pproċessata d-data personali, kif previst ukoll fl-Artikolu 15(2) ta’ dan ir-regolament (ara, b’analoġija, is-sentenza tal‑11 ta’ Lulju 2024, Meta Platforms Ireland (Azzjoni rappreżentattiva), C‑757/22, EU:C:2024:598, punt 57 u l-ġurisprudenza ċċitata).

106    Għalhekk, meta l-ġbir ta’ tali data mingħand is-suġġett tad-data jkun — bħal, f’dan il-każ, fil-kuntest tal-proċedura dwar id-dritt għal smigħ — ibbażat fuq il-kunsens ta’ dan is-suġġett tad-data, il-validità tal-kunsens mogħti mill-imsemmi suġġett tad-data tiddependi, fost oħrajn, mill-punt dwar jekk huwa kisibx, minn qabel, l-informazzjoni fid-dawl taċ-ċirkustanzi kollha relatati mal-ipproċessar tad-data inkwistjoni li huwa kellu dritt għalihom, skont l-Artikolu 15 tar-Regolament 2018/1725, u li jippermettulu jagħti kunsens b’għarfien sħiħ tal-fatti (ara, b’analoġija, is-sentenza tal‑11 ta’ Lulju 2024, Meta Platforms Ireland (Azzjoni rappreżentattiva), C‑757/22, EU:C:2024:598, punt 60).

107    Barra minn hekk, fir-rigward tal-ipoteżi ta’ obbligu għas-suġġett tad-data li jipprovdi data personali lill-kontrollur, il-premessa 35 ta’ dan ir-regolament tippreċiża, fir-raba’ sentenza tagħha, li huwa importanti li s-suġġett tad-data jkun jaf jekk huwiex obbligat jipprovdi din id-data personali u li jiġi informat bil-konsegwenzi li għalihom jesponi ruħu jekk ma jipprovdihiex, fatt li jikkorrobora l-importanza li għandha l-informazzjoni meħtieġa mill-Artikolu 15 tal-imsemmi regolament, fil-mument stess tal-ġbir tad-data mingħand is-suġġett tad-data.

108    F’dawn iċ-ċirkustanzi, jidher li l-obbligu li s-suġġett tad-data jiġi pprovdut — fil-mument tal-ġbir tad-data personali b’rabta miegħu — l-informazzjoni dwar l-eventwali destinatarji ta’ din id-data għandu b’mod partikolari l-għan li jippermetti lil dan is-suġġett tad-data jiddeċiedi b’għarfien sħiħ tal-fatti jekk huwa jipprovdix jew, għall-kuntrarju, jirrifjutax li jipprovdi d-data personali tiegħu miġbura mingħandu.

109    Għandu jingħad ukoll li, kif essenzjalment sostniet il-Kummissjoni waqt is-seduta, l-informazzjoni dwar id-destinatarji eventwali hija, ċertament, ukoll indispensabbli sabiex is-suġġett tad-data jkun jista’, sussegwentement, jiddefendi d-drittijiet tiegħu kontra dawn id-destinatarji. Madankollu, l-obbligu li tiġi pprovduta din l-informazzjoni fil-mument tal-ġbir tad-data personali jiggarantixxi, b’mod partikolari, li din id-data ma tinġabarx mill-kontrollur kontra r-rieda tas-suġġett tad-data, jew tiġi ttrasferita kontra r-rieda tiegħu lil terzi.

110    Minn dan isegwi li, kif irrileva l-Avukat Ġenerali fil-punt 69 tal-konklużjonijiet tiegħu, l-obbligu ta’ informazzjoni previst fl-Artikolu 15(1)(d) tar-Regolament 2018/1725 jaqa’ taħt ir-relazzjoni ġuridika eżistenti bejn is-suġġett tad-data u l-kontrollur u, minħabba f’hekk, huwa għandu bħala suġġett l-informazzjoni b’rabta ma’ din il-persuna kif ġiet trażmessa lil dan il-kontrollur, u għalhekk qabel kull eventwali trasferiment lil terz.

111    Għaldaqstant, għandu jitqies li, għall-finijiet tal-applikazzjoni tal-obbligu ta’ informazzjoni previst fl-Artikolu 15(1)(d) tar-Regolament 2018/1725, in-natura identifikabbli tas-suġġett tad-data għandha tiġi evalwata fil-mument tal-ġbir tad-data u mill-perspettiva tal-kontrollur.

112    Minn dan jirriżulta li, kif irrileva, essenzjalment, l-Avukat Ġenerali fil-punt 79 tal-konklużjonijiet tiegħu, l-obbligu ta’ informazzjoni impost fuq is-SRB kien japplika f’dan il-każ qabel it-trasferiment tal-kummenti inkwistjoni u indipendentement min-natura personali jew le tagħhom, mill-perspettiva ta’ Deloitte, wara l-psewdonimizzazzjoni eventwali tagħhom.

113    Din l-interpretazzjoni ma hijiex ikkontestata mill-argument tas-SRB ibbażat fuq il-kliem tal-Artikolu 15(1)(d) tar-Regolament 2018/1725, li jirreferi għar-“riċevituri [...] tad-data personali”. Fil-fatt, kif jirriżulta mill-punti 102 sa 108 ta’ din is-sentenza, din id-dispożizzjoni tirregola l-obbligu ta’ informazzjoni impost fuq il-kontrollur fil-mument tal-ġbir ta’ tali data. Issa, il-kwistjoni dwar jekk il-kontrollur, f’dan il-mument, osservax l-obbligu tiegħu ta’ informazzjoni ma tistax tiddependi mill-possibbiltajiet ta’ identifikazzjoni tas-suġġett tad-data, li għandu, jekk ikun il-każ, destinatarju eventwali wara trasferiment ulterjuri tad-data inkwistjoni.

114    Kif irrileva, essenzjalment, l-Avukat Ġenerali fil-punt 77 tal-konklużjonijiet tiegħu, l-argument tas-SRB li skontu hemm lok li wieħed ipoġġi ruħu mill-perspettiva tad-destinatarju sabiex jikkontrolla l-osservanza ta’ dan l-obbligu ta’ informazzjoni jkollu l-konsegwenza li jipposponi dan il-kontroll ratione temporis. Sa fejn l-imsemmi kontroll jirrigwarda neċessarjament data personali diġà ttrasferita lid-destinatarju, dan l-argument jinjora wkoll l-għan tal-obbligu ta’ informazzjoni, li huwa intrinsikament marbut mar-relazzjoni bejn il-kontrollur u s-suġġett tad-data.

115    Għaldaqstant, il-Qorti Ġenerali wettqet żball ta’ liġi meta ddeċidiet, fil-punti 97, 98, 100, 101 u 103 sa 105 tas-sentenza appellata, li, sabiex jevalwa jekk is-SRB kienx osserva l-obbligu ta’ informazzjoni tiegħu skont l-Artikolu 15(1)(d) tar-Regolament 2018/1725, il-KEPD kellu jeżamina jekk il-kummenti trażmessi lil Deloitte kinux jikkostitwixxu, mill-perspettiva ta’ din tal-aħħar, data personali.

116    Minn dan isegwi li, mingħajr ma hemm lok li jiġu eżaminati l-argumenti tal-KEPD miġbura fil-qosor fil-punti 93 u 94 ta’ din is-sentenza, it-tieni lment tat-tieni parti tal-ewwel aggravju għandu jintlaqa’.

B.      Fuq it-tieni aggravju

117    Peress li l-ewwel aggravju tal-appell huwa fondat, fl-ewwel parti tiegħu u fit-tieni lment tat-tieni parti tiegħu, ma hemmx lok li jiġi eżaminat it-tieni aggravju tal-KEPD, ibbażat fuq ksur tal-Artikolu 4(2) u tal-Artikolu 26(1) tar-Regolament 2018/1725.

118    Peress li l-ewwel aggravju tal-appell ġie milqugħ, is-sentenza appellata għandha tiġi annullata.

VI.    Fuq ir-rikors quddiem il-Qorti Ġenerali

119    Konformement mat-tieni sentenza tal-ewwel paragrafu tal-Artikolu 61 tal-Istatut tal-Qorti tal-Ġustizzja tal-Unjoni Ewropea, il-Qorti tal-Ġustizzja tista’, fil-każ li tannulla d-deċiżjoni tal-Qorti Ġenerali, taqta’ l-kawża b’mod definittiv meta din tkun fi stat li tiġi deċiża.

120    Fil-każ inkwistjoni, il-kawża hija fi stat li tiġi deċiża f’dak li jikkonċerna l-ewwel motiv tar-rikors, ibbażat fuq allegat ksur mill-KEPD tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725, sa fejn l-informazzjoni trażmessa lil Deloitte ma kinitx tikkostitwixxi data personali. Fil-fatt, fid-dawl tal-kunsiderazzjonijiet li jinsabu fil-punti 58 sa 60 ta’ din is-sentenza, il-KEPD seta’, minn naħa, iqis, mingħajr ma jwettaq żball ta’ liġi, li l-kummenti trażmessi lil Deloitte kienu jikkostitwixxu informazzjoni relatata ma’ persuni fiżiċi, jiġifieri l-awturi ta’ dawn il-kummenti. Min-naħa l-oħra, kif ġie rrilevat fil-punt 111 ta’ din is-sentenza, fil-kuntest tal-applikazzjoni tal-obbligu ta’ informazzjoni previst fl-Artikolu 15(1)(d) ta’ dan ir-regolament, in-natura identifikabbli tas-suġġett tad-data għandha tiġi evalwata mill-perspettiva tal-kontrollur. Issa, ma huwiex ikkontestat bejn il-partijiet li s-SRB kellu, bħala kontrollur, l-informazzjoni kollha neċessarja sabiex jidentifika l-awturi tal-imsemmija kummenti. Mill-kunsiderazzjonijiet preċedenti jirriżulta li l-informazzjoni kontenzjuża tikkostitwixxi, kuntrarjament għal dak li jsostni s-SRB, data personali. Għaldaqstant, l-ewwel motiv tar-rikors għandu jiġi miċħud bħala infondat.

121    Min-naħa l-oħra, il-kawża ma hijiex fi stat li tiġi deċiża fir-rigward tat-tieni motiv tar-rikors, peress li dan il-motiv jimplika evalwazzjonijiet fattwali li ma sarux mill-Qorti Ġenerali.

122    Konsegwentement, hemm lok li l-kawża tintbagħat lura quddiem il-Qorti Ġenerali għall-finijiet tal-eżami tat-tieni motiv.

VII. Fuq l-ispejjeż

123    Peress li l-kawża għandha tintbagħat lura quddiem il-Qorti Ġenerali, l-ispejjeż relatati ma’ dan l-appell għandhom jiġu rriżervati.

Għal dawn il-motivi, Il-Qorti tal-Ġustizzja (L-Ewwel Awla) taqta’ u tiddeċiedi:

1)      Is-sentenza tal-Qorti Ġenerali tal-Unjoni Ewropea tas‑26 ta’ April 2023, SRB vs KEPD (T‑557/20, EU:T:2023:219), hija annullata.

2)      Il-Kawża T‑557/20 hija mibgħuta lura quddiem il-Qorti Ġenerali tal-Unjoni Ewropea.

3)      L-ispejjeż huma rriżervati.

Firem

---

*      Lingwa tal-kawża: l-Ingliż.