–

għan-Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos, minn G. Aleksienė,

–

għall-Valstybinė duomenų apsaugos inspekcija, minn R. Andrijauskas,

–

għall-Gvern Litwan, minn V. Kazlauskaitė-Švenčionienė, bħala aġent,

–

għall-Gvern tal-Pajjiżi l-Baxxi, minn C. S. Schillemans, bħala aġent,

–

għall-Kunsill tal-Unjoni Ewropea, minn R. Liudvinavičiūtė u K. Pleśniak, bħala aġenti,

–

għall-Kummissjoni Ewropea, minn A. Bouchagiar, H. Kranenborg u A. Steiblytė, bħala aġenti,

1

It-talba għal deċiżjoni preliminari tirrigwarda l-interpretazzjoni tal-punti 1 u 7 tal-Artikolu 4(1), tal-Artikolu 26(1), kif ukoll tal-Artikolu 83(1) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas-27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (ir-Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem ir-“GDPR”).

2

Din it-talba tressqet fil-kuntest ta’ tilwima bejn in-Nacionalinis visuomenės sveikatos centrs prie Sveikatos apsaugos ministerijos (iċ-Ċentru Nazzjonali tas-Saħħa Pubblika fi ħdan il-Ministeru għas-Saħħa, il-Litwanja; iktar ’il quddiem in-“NVSC”) u l-Valstybinė duomenų apsaugos inspekcija (l-Ispettorat Nazzjonali għall-Protezzjoni tad-Data, il-Litwanja; iktar ’il quddiem l-“INPD”) dwar deċiżjoni li permezz tagħha din tal-aħħar imponiet fuq in-NVSC multa amministrattiva skont l-Artikolu 83 tal-GDPR minħabba ksur tal-Artikoli 5, 13, 24, 32 u 35 ta’ dan ir-regolament.

3

Il-premessi 9, 10, 11, 13, 26, 74, 79, 129 u 148 tal-GDPR jistipulaw:

[…]

[…]

[…]

[…]

[…]

[…]

4

Skont l-Artikolu 4 ta’ dan ir-regolament:

“Għall-finijiet ta’ dan ir-Regolament:

[…]

[…]

[…]”

5

L-Artikolu 26 tal-imsemmi regolament, intitolat “Kontrolluri konġunti”, jistabbilixxi, fil-paragrafu 1 tiegħu:

“Fejn żewġ kontrolluri jew aktar jiddeterminaw flimkien l-għanijiet u l-mezzi tal-ipproċessar, huma għandhom ikunu kontrolluri konġunti. Huma għandhom b’mod trasparenti jistabbilixxu r-responsabbiltajiet rispettivi tagħhom għall-konformità mal-obbligi taħt dan ir-Regolament, b’mod partikolari fir-rigward tal-eżerċizzju tad-drittijiet tas-suġġett tad-data u l-kompiti rispettivi tagħhom biex jipprovdu l-informazzjoni msemmija fl-Artikoli 13 u 14, permezz ta’ arranġament bejniethom ħlief jekk, u sa fejn, ir-responsabbiltajiet rispettivi tal-kontrolluri jkunu stabbiliti bil-liġi tal-Unjoni jew ta’ Stat Membru li għalihom il-kontrolluri jkunu soġġetti. L-arranġament jista’ jaħtar punt ta’ kuntatt għas-suġġetti tad-data.”

6

L-Artikolu 28 ta’ dan l-istess regolament, intitolat “Proċessur”, jipprovdi, fil-paragrafu 10 tiegħu:

“Mingħajr preġudizzju għall-Artikoli 82, 83 u 84, jekk proċessur jikser dan ir-Regolament billi jiddetermina l-għanijiet u l-mezzi tal-ipproċessar, il-proċessur għandu jitqies bħala kontrollur fir-rigward ta’ dak l-ipproċessar.”

7

Fil-paragrafu 2 tiegħu, l-Artikolu 58 tal-GDPR, intitolat “Setgħat”, jipprevedi:

“Kull awtorità superviżorja għandu jkollha s-setgħat kollha korrettivi li ġejjin:

[…]

[…]

[…]

[…]”

8

L-Artikolu 83 ta’ dan ir-regolament, intitolat “Kondizzjonijiet ġenerali biex jiġu imposti multi amministrattivi”, jipprevedi, fil-paragrafu 1 tiegħu, li:

“1.   Kull awtorità superviżorja għandha tiżgura li l-impożizzjoni ta’ multi amministrattivi skont dan l-Artikolu fir-rigward ta’ ksur ta’ dan ir-Regolament imsemmi fil-paragrafi 4, 5 u 6 għandha tkun effettiva, proporzjonata u dissważiva f’kull każ individwali.

2.   Il-multi amministrattivi għandhom, skont iċ-ċirkostanzi ta’ kull każ individwali, jiġu imposti flimkien ma’, jew minflok, miżuri msemmija fil-punti (a) sa (h) u (j) tal-Artikolu 58(2). Meta jiġi deċiż jekk għandiex tiġi imposta multa amministrattiva u jiġi deċiż l-ammont tal-multa amministrattiva, f’kull każ individwali, għandha tingħata konsiderazzjoni dovuta lil dawn li ġejjin:

3.   Jekk kontrollur jew proċessur, intenzjonalment jew b’negliġenza, għall-istess attivitajiet ta’ pproċessar jew għal dawk b’rabta ma’ xulxin, jikser diversi dispożizzjonijiet ta’ dan ir-Regolament, l-ammont totali tal-multa amministrattiva ma għandux jaqbeż l-ammont speċifikat għall-ksur l-aktar gravi.

4.   Il-ksur tad-dispożizzjonijiet li ġejjin għandu, f’konformità mal-paragrafu 2a, ikun soġġett għal multi amministrattivi sa EUR 10000000, jew fil-każ ta’ impriża, sa 2 % tal-fatturat annwali dinji totali tas-sena finanzjarja preċedenti, skont liema jkun l-ogħla:

(a) l-obbligi tal-kontrollur u tal-proċessur skont l-Artikoli 8, 11, 25 sa 39 u 42 u 43;

[…]

5.   Il-ksur tad-dispożizzjonijiet li ġejjin għandu, f’konformità mal-paragrafu 2a, ikun soġġett għal multi amministrattivi sa EUR 20000000, jew fil-każ ta’ impriża, sa 4 % tal-fatturat annwali dinji totali tas-sena finanzjarja preċedenti, skont liema jkun l-ogħla:

[…]

[…]

6.   Nuqqas ta’ konformità ma’ ordni mill-awtorità superviżjorja kif imsemmija fl-Artikolu 58(2) għandu, f’konformità mal-paragrafu 2 ta’ dan l-Artikolu, ikun soġġett għal multi amministrattivi sa EUR 20000000, jew fil-każ ta’ impriża, sa 4 % tal-fatturat annwali dinji totali tas-sena finanzjarja preċedenti, skont liema jkun l-ogħla.

7.   Mingħajr preġudizzju għas-setgħat korrettivi ta’ awtoritajiet superviżorji skont l-Artikolu 58(2), kull Stat Membru jista’ jistipula r-regoli dwar jekk u sa fejn multi amministrattivi jistgħu jiġu imposti fuq awtoritajiet jew korpi pubbliċi stabbiliti f’dak l-Istat Membru.

8.   L-eżerċizzju mill-awtorità superviżorja tas-setgħat tagħha taħt dan l-Artikolu għandu jkun soġġett għal salvagwardji proċedurali xierqa f’konformità mal-liġi tal-Unjoni u l-liġi tal-Istat Membru, inklużi rimedju ġudizzjarju u proċess dovut effettivi.

[…]”

9

L-Artikolu 84 intitolat “Pieni”, jistabbilixxi, fil-paragrafu 1 tiegħu, li:

“L-Istati Membri għandhom jistipulaw ir-regoli dwar il-pieni oħrajn applikabbli għal ksur ta’ dan ir-Regolament b’mod partikolari għal ksur li ma jkunx soġġett għal multi amministrattivi skont l-Artikolu 83, u għandhom jieħdu l-miżuri kollha meħtieġa biex jiżguraw li dawn jiġu implimentati. Tali pieni għandhom ikunu effettivi, proporzjonati u dissważivi.”

10

L-Artikolu 29(3) tal-Viešоjų pirkimų įstatymas (il-Liġi dwar il-Kuntratti Pubbliċi) isemmi ċerti ċirkustanzi li fihom l-awtorità kontraenti għandha jew id-dritt, jew l-obbligu, li tirtira l-proċeduri ta’ sejħa għal offerti jew ta’ kompetizzjoni mibdija fuq inizjattiva tagħha u f’kull mument qabel il-konklużjoni tal-kuntratt pubbliku (jew tal-kuntratt preliminari) jew id-determinazzjoni ta’ min ikun għadda mill-kompetizzjoni.

11

L-Artikolu 72(2) tal-Liġi dwar il-Kuntratti Pubbliċi jipprevedi l-istadji tan-negozjati li l-awtorità kontraenti tmexxi fil-kuntest ta’ proċedura nnegozjata ta’ kuntratt pubbliku mingħajr pubblikazzjoni minn qabel.

12

Fil-kuntest tal-pandemija kkawżata mill-virus tal-COVID-19, il-Lietuvos Respublikos sveikatos apsaugos ministras (il-Ministru tas-Saħħa tar-Repubblika tal-Litwanja), permezz tal-ewwel deċiżjoni tal-24 ta’ Marzu 2020, inkariga lid-Direttur tan-NVSC sabiex jorganizza l-akkwist immedjat ta’ sistema informatika għall-finijiet tar-reġistrazzjoni u tal-monitoraġġ tad-data tal-persuni esposti għal dan il-virus, għal finijiet ta’ monitoraġġ epidemjoloġiku.

13

Permezz ta’ posta elettronika tas-27 ta’ Marzu 2020, persuna, li ppreżentat ruħha bħala rappreżentant tan-NVSC (iktar ’il quddiem “A.S.”), informat lill-kumpannija UAB “IT sprendimai sėkmei” (iktar ’il quddiem il-“kumpannija ITSS”) li n-NVSC kien għażilha sabiex toħloq applikazzjoni għall-apparati mobbli għal dan l-għan. Sussegwentement, A.S. bagħtet ittri elettroniċi lill-kumpannija ITSS dwar diversi aspetti tal-ħolqien ta’ din l-applikazzjoni, fejn kopja ta’ din il-posta elettronika kienet indirizzata lid-direttur tan-NVSC.

14

Matul in-negozjati bejn il-kumpannija ITSS u n-NVSC, minbarra A.S., impjegati oħra tan-NVSC bagħtu wkoll posta elettronika lil din il-kumpannija dwar l-abbozzar tad-domandi magħmula fl-applikazzjoni għall-apparati mobbli inkwistjoni.

15

Waqt il-ħolqien ta’ din l-applikazzjoni għall-apparati mobbli, tfasslet politika ta’ protezzjoni tal-ħajja privata, li fiha l-kumpannija ITSS u n-NVSC inħatru bħala l-kontrolluri.

16

L-applikazzjoni għall-apparati mobbli inkwistjoni, li ssemmi l-kumpannija ITSS u n-NVSC, kienet disponibbli għall-finijiet tat-tniżżil fil-ħanut online Google Play Store mill-4 ta’ April 2020 u fil-ħanut online Apple App store mis-6 ta’ April 2020. Hija kienet funzjonali sas-26 ta’ Mejju 2020.

17

Bejn l-4 ta’ April 2020 u s-26 ta’ Mejju 2020, 3802 persuna għamlu użu minn din l-applikazzjoni u pprovdew id-data li tikkonċernahom mitluba mill-imsemmija applikazzjoni, bħan-numru tal-identità, il-koordinati ġeografiċi (latitudni u lonġitudni), il-pajjiż, il-belt, il-komun, il-kodiċi postali, l-isem tat-triq, in-numru tal-bini, il-kunjom, l-isem, il-kodiċi personali, in-numru tat-telefon u l-indirizz.

18

Permezz tat-tieni deċiżjoni tal-10 ta’ April 2020, il-Ministru għas-Saħħa tar-Repubblika tal-Litwanja ddeċieda li jafda lid-direttur tan-NVSC bil-kompitu li jorganizza l-akkwist tal-applikazzjoni għall-apparati mobbli inkwistjoni mingħand il-kumpannija ITSS u, għal dan l-għan, ġie previst l-użu tal-Artikolu 72(2) tal-Liġi dwar il-Kuntratti Pubbliċi. Madankollu, l-ebda kuntratt pubbliku għall-akkwist uffiċjali ta’ din l-applikazzjoni min-NVSC ma ngħata lil din il-kumpanija.

19

Fil-fatt, fil-15 ta’ Mejju 2020, in-NVSC talab lill-imsemmija kumpannija li bl-ebda mod ma ssemmih fl-applikazzjoni għall-apparati mobbli inkwistjoni. Barra minn hekk, permezz ta’ ittra tal-4 ta’ Ġunju 2020, in-NVSC informa lill-istess kumpannija li, minħabba nuqqas ta’ finanzjament għall-akkwist ta’ din l-applikazzjoni, huwa kien temm, konformement mal-Artikolu 29(3) tal-Liġi dwar il-Kuntratti Pubbliċi, il-proċedura intiża għal tali akkwist.

20

Fil-kuntest ta’ investigazzjoni dwar l-ipproċessar tad-data personali mibdija fit-18 ta’ Mejju 2020, l-INPD stabbilixxa li d-data personali kienet inġabret permezz tal-applikazzjoni għall-apparati mobbli inkwistjoni. Barra minn hekk, ġie kkonstatat li l-utenti li għażlu din l-applikazzjoni bħala metodu ta’ monitoraġġ tal-iżolament li sar obbligatorju minħabba l-pandemija tal-COVID-19 kienu wieġbu mistoqsijiet li jinvolvu l-ipproċessar ta’ data personali. Din id-data ġiet ipprovduta fit-tweġibiet għall-mistoqsijiet magħmula permezz tal-imsemmija applikazzjoni u kienet tirrigwarda, b’mod partikolari, l-istat ta’ saħħa tal-persuna kkonċernata u l-osservanza, minnha, tal-kundizzjonijiet tal-iżolament.

21

Permezz ta’ deċiżjoni tal-24 ta’ Frar 2021, l-INPD impona multa amministrattiva ta’ EUR 12000 fuq in-NVSC skont l-Artikolu 83 tal-GDPR, fid-dawl tal-ksur minnu tal-Artikoli 5, 24, 13, 32 u 35 ta’ dan ir-regolament. Permezz ta’ din id-deċiżjoni, ġiet imposta wkoll multa amministrattiva ta’ EUR 3000 fuq il-kumpannija ITSS bħala kontrollur konġunt.

22

In-NVSC ikkontesta din id-deċiżjoni quddiem il-Vilniaus apygardos administracinis teismas (il-Qorti Amministrattiva Reġjonali ta’ Vilnjus, il-Litwanja), li hija l-qorti tar-rinviju, billi sostna li hija l-kumpannija ITSS li għandha titqies li hija l-unika kontrollur, fis-sens tal-punt 7 tal-Artikolu 4 tal-GDPR. Min-naħa tagħha, il-kumpannija ITSS issostni li hija aġixxiet bħala proċessur, fis-sens tal-punt 8 tal-Artikolu 4 tal-GDPR, fuq l-istruzzjoni tan-NVSC li huwa, fil-fehma tagħha, l-uniku kontrollur.

23

Il-qorti tar-rinviju tirrileva li l-kumpannija ITSS ħolqot l-applikazzjoni għall-apparati mobbli inkwistjoni u li n-NVSC taha parir dwar il-kontenut tad-domandi magħmula permezz ta’ din l-applikazzjoni. Madankollu, ma jeżistix kuntratt pubbliku bejn in-NVSC u l-kumpannija ITSS. Barra minn hekk, in-NVSC ma tax il-kunsens tiegħu u lanqas ma awtorizza t-tqegħid għad-dispożizzjoni ta’ din l-applikazzjoni permezz ta’ diversi ħwienet online.

24

Din il-qorti tippreċiża li l-ħolqien tal-applikazzjoni għall-apparati mobbli inkwistjoni kien intiż sabiex jimplimenta l-għan assenjat min-NVSC, jiġifieri l-ġestjoni tal-pandemija tal-COVID-19 permezz tal-ħolqien ta’ għodda informatika, u li kien previst li tiġi pproċessata data personali għal dan l-għan. Fir-rigward tar-rwol tal-kumpannija ITSS, ma kienx previst li din il-kumpannija ssegwi għanijiet differenti minn dak li tirċievi remunerazzjoni għall-prodott tal-informatika maħluq.

25

L-imsemmija qorti tosserva wkoll li, matul l-investigazzjoni tal-INPD, ġie stabbilit li l-kumpannija Litwana Juvare Lithuania li tamministra s-sistema informatika ta’ monitoraġġ u ta’ kontroll tal-mard li jittieħed li jippreżenta riskju ta’ tixrid kellha tirċievi l-kopji tad-data personali miġbura mill-applikazzjoni għall-apparati mobbli inkwistjoni. Barra minn hekk, sabiex din tiġi ttestjata, intużat data fittizja, bl-eċċezzjoni tan-numri tat-telefons tal-impjegati tal-imsemmija kumpannija.

26

Fid-dawl ta’ dawn il-kunsiderazzjonijiet, il-Vilniaus apygardos administracinis teismas (il-Qorti Amministrattiva Reġjonali ta’ Vilnjus) iddeċidiet li tissospendi l-proċeduri quddiemha u li tagħmel lill-Qorti tal-Ġustizzja d-domandi preliminari li ġejjin:

27

Permezz tal-ewwel sat-tielet domanda tagħha, li għandhom jiġu eżaminati flimkien, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk il-punt 7 tal-Artikolu 4 tal-GDPR għandux jiġi interpretat fis-sens li tista’ titqies bħala kontrollur, fis-sens ta’ din id-dispożizzjoni, entità li inkarigat impriża sabiex tiżviluppa applikazzjoni informatika mobbli, meta din l-entità ma tkunx wettqet, hija stess, operazzjonijiet ta’ pproċessar ta’ data personali, meta hija ma tkunx tat il-kunsens tagħha b’mod espliċitu għat-twettiq tal-operazzjonijiet konkreti ta’ tali pproċessar jew għat-tqegħid għad-dispożizzjoni tal-pubbliku ta’ din l-applikazzjoni għall-apparati mobbli u li hija ma tkunx kisbet l-imsemmija applikazzjoni għall-apparati mobbli.

28

Il-punt 7 tal-Artikolu 4(d) tal-GDPR jiddefinixxi b’mod wiesa’ l-kunċett ta’ “kontrollur” bħala l-persuna fiżika jew ġuridika, l-awtorità pubblika, l-aġenzija jew kwalunkwe organu ieħor li waħdu jew flimkien ma’ oħrajn “ jiddetermina l-għanijiet u l-mezzi tal-ipproċessar ta’ data personali”.

29

L-għan ta’ din id-definizzjoni wiesa’ jikkonsisti, b’mod konformi ma’ dak tal-GDPR, f’li tiġi żgurata protezzjoni effikaċi tal-libertajiet u tad-drittijiet fundamentali tal-persuni fiżiċi kif ukoll, b’mod partikolari, livell għoli ta’ protezzjoni tad-dritt ta’ kull persuna għall-protezzjoni tad-data personali li tikkonċernaha (ara, f’dan is-sens, is-sentenzi tad-29 ta’ Lulju 2019, Fashion ID,C‑40/17, EU:C:2019:629, punt 66 u tat-28 ta’ April 2022, Meta Platforms Ireland,C‑319/20, EU:C:2022:322, punt 73 kif ukoll il-ġurisprudenza ċċitata).

30

Il-Qorti tal-Ġustizzja diġà ddeċidiet li kull persuna fiżika jew ġuridika li tinfluwenza, għal finijiet partikolari għaliha, l-ipproċessar ta’ tali data u tipparteċipa minħabba f’hekk fid-determinazzjoni tal-finijiet u tal-mezzi ta’ dan l-ipproċessar tista’ titqies bħala kontrollur. F’dan ir-rigward, ma huwiex neċessarju li l-għanijiet u l-mezzi tal-ipproċessar ikunu ddeterminati permezz ta’ linji gwida bil-miktub jew istruzzjonijiet min-naħa tal-kontrollur (ara, f’dan is-sens, is-sentenza tal-10 ta’ Lulju 2018, Jehovan todistajat,C‑25/17, EU:C:2018:551, punti 67 u 68), u lanqas li din ġiet formalment indikata bħala tali.

31

Għaldaqstant, sabiex jiġi stabbilit jekk entità, bħan-NVSC, tistax titqies bħala kontrollur fis-sens tal-punt 7 tal-Artikolu 4 tal-GDPR, għandu jiġi eżaminat jekk din l-entità effettivament influwenzatx, għall-finijiet tagħha stess, id-determinazzjoni tal-finijiet u tal-mezzi ta’ dan l-ipproċessar.

32

F’dan il-każ, bla ħsara għall-verifiki li għandha twettaq il-qorti tar-rinviju, mill-proċess għad-dispożizzjoni tal-Qorti tal-Ġustizzja jirriżulta li l-ħolqien tal-applikazzjoni għall-apparati mobbli inkwistjoni ġie ordnat min-NVSC u kien intiż sabiex jimplimenta l-għan assenjat minnu, jiġifieri l-ġestjoni tal-pandemija tal-COVID-19 permezz ta’ għodda informatika għall-finijiet tar-reġistrazzjoni u tas-sorveljanza tad-data tal-persuni li kienu f’kuntatt ma’ persuni esposti għall-virus tal-COVID-19. Għal dan l-għan, in-NVSC kien ippreveda li tiġi pproċessata d-data personali tal-utenti tal-applikazzjoni għall-apparati mobbli inkwistjoni. Barra minn hekk, mid-deċiżjoni tar-rinviju jirriżulta li l-parametri ta’ din l-applikazzjoni, bħad-domandi magħmula u l-formulazzjoni tagħhom, ġew adattati għall-ħtiġijiet tan-NVSC u li dan kellu rwol attiv fid-determinazzjoni tagħhom.

33

F’dawn iċ-ċirkustanzi, għandu, bħala prinċipju, jiġi kkunsidrat li n-NVSC effettivament ipparteċipa fid-determinazzjoni tal-għanijiet u tal-mezzi tal-ipproċessar.

34

Min-naħa l-oħra, is-sempliċi fatt li n-NVSC issemma bħala kontrollur fil-politika ta’ protezzjoni tal-ħajja privata tal-applikazzjoni għall-apparati mobbli inkwistjoni u li links għal din l-entità ġew inklużi f’din l-applikazzjoni jista’ jitqies bħala rilevanti biss sakemm jiġi stabbilit li n-NVSC ta l-kunsens tiegħu, b’mod espress jew impliċitu, għal dan ir-riferiment jew dawn il-links.

35

Barra minn hekk, iċ-ċirkustanzi msemmija mill-qorti tar-rinviju fil-kuntest tal-kunsiderazzjonijiet li jsostnu l-ewwel tliet domandi preliminari tagħha, jiġifieri li n-NVSC ma pproċessax huwa stess data personali, li ma kienx hemm kuntratt bejn in-NVSC u l-kumpannija ITSS, li n-NVSC ma akkwistax l-applikazzjoni għall-apparati mobbli inkwistjoni jew ukoll li t-tixrid ta’ din l-applikazzjoni permezz ta’ ħwienet online ma kienx is-suġġett ta’ awtorizzazzjoni min-NVSC, ma jeskludux li din tista’ tiġi kklassifikata bħala kontrollur, fis-sens tal-punt 7 tal-Artikolu 4 tal-GDPR.

36

Fil-fatt, minn din id-dispożizzjoni, moqrija fid-dawl tal-premessa 74 tal-GDPR, jirriżulta li entità, peress li tissodisfa l-kundizzjoni stabbilita mill-imsemmi punt 7 tal-Artikolu 4, hija responsabbli mhux biss għal kull ipproċessar ta’ data personali li hija twettaq hija stess, iżda wkoll għal dak li jitwettaq f’isimha.

37

F’dan ir-rigward, għandu madankollu jiġi ppreċiżat li n-NVSC ma jistax jitqies bħala l-kontrollur tal-ipproċessar tad-data personali li jirriżulta mit-tqegħid għad-dispożizzjoni tal-applikazzjoni għall-apparati mobbli inkwistjoni lill-pubbliku jekk, qabel dan it-tqegħid għad-dispożizzjoni, huwa opponih espressament, fatt li għandu jiġi vverifikat mill-qorti tar-rinviju. Fil-fatt, f’tali ipoteżi, ma jistax jitqies li l-ipproċessar inkwistjoni twettaq f’isem in-NVSC.

38

Fid-dawl tar-raġunijiet preċedenti, ir-risposta għall-ewwel sat-tielet domanda għandha tkun li l-punt 7 tal-Artikolu 4 tal-GDPR għandu jiġi interpretat fis-sens li tista’ titqies bħala kontrollur, fis-sens ta’ din id-dispożizzjoni, entità li inkarigat impriża sabiex tiżviluppa applikazzjoni informatika mobbli u li, f’dan il-kuntest, ipparteċipat fid-determinazzjoni tal-finijiet u tal-mezzi tal-ipproċessar ta’ data personali mwettqa permezz ta’ din l-applikazzjoni, anki jekk din l-entità ma wettqitx, hija stess, operazzjonijiet ta’ pproċessar ta’ tali data, li hija ma tatx il-kunsens tagħha b’mod espliċitu għat-twettiq ta’ operazzjonijiet konkreti ta’ tali pproċessar jew għat-tqegħid għad-dispożizzjoni tal-pubbliku tal-imsemmija applikazzjoni għall-apparati mobbli u li hija ma kisbitx din l-istess applikazzjoni għall-apparati mobbli, sakemm, qabel dan it-tqegħid għad-dispożizzjoni tal-pubbliku, l-imsemmija entità ma opponietx espressament għaliha u għall-ipproċessar tad-data personali li rriżultat minnha.

39

Permezz tal-ħames domanda tagħha, li għandha tiġi eżaminata fit-tieni lok, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk il-punt 7 tal-Artikolu 4 l-Artikolu 26(1) tal-GDPR għandhomx jiġu interpretati fis-sens li l-klassifikazzjoni ta’ żewġ entitajiet bħala li huma kontrolluri konġunti tippreżupponi l-eżistenza ta’ ftehim bejn dawn l-entitajiet dwar id-determinazzjoni tal-għanijiet u tal-mezzi tal-ipproċessar tad-data personali inkwistjoni jew l-eżistenza ta’ ftehim li jistabbilixxi l-kundizzjonijiet relatati mar-responsabbiltà konġunta tal-ipproċessar.

40

Skont l-Artikolu 26(1) tal-GDPR, ikunu jeżistu “kontrolluri konġunti” meta żewġ kontrolluri jew iktar jiddeterminaw b’mod konġunt l-għanijiet u l-mezzi tal-ipproċessar.

41

Kif iddeċidiet il-Qorti tal-Ġustizzja, sabiex tkun tista’ titqies bħala kontrollur konġunt, persuna fiżika jew ġuridika għandha għalhekk tissodisfa b’mod indipendenti d-definizzjoni ta’ “kontrollur” mogħtija fil-punt 7 tal-Artikolu 4 tal-GDPR. (ara, f’dan is-sens, is-sentenza tad-29 ta’ Lulju 2019, Fashion ID,C‑40/17, EU:C:2019:629, punt 74).

42

Madankollu, l-eżistenza ta’ responsabbiltà konġunta ma twassalx neċessarjament għal responsabbiltà ekwivalenti tal-operaturi differenti kkonċernati mill-ipproċessar ta’ data personali. Għall-kuntrarju, dawn l-operaturi jistgħu jkunu involuti fi stadji differenti ta’ dan l-ipproċessar u skont gradi differenti, b’tali mod li l-livell ta’ responsabbiltà ta’ kull wieħed minnhom għandu jiġi evalwat fid-dawl taċ-ċirkustanzi rilevanti kollha tal-każ ineżami (sentenza tal-5 ta’ Ġunju 2018, Wirtschaftsakademie Schleswig-Holstein,C‑210/16, EU:C:2018:388, punt 43). Barra minn hekk, ir-responsabbiltà kondiviża ta’ diversi atturi għall-istess ipproċessar, skont din id-dispożizzjoni, ma teħtieġx li kull wieħed minnhom ikollu aċċess għad-data personali kkonċernata (ara, f’dan is-sens, is-sentenza tal-10 ta’ Lulju 2018, Jehovan todistajat,C‑25/17, EU:C:2018:551, punt 69 u l-ġurisprudenza ċċitata).

43

Kif irrileva l-Avukat Ġenerali fil-punt 38 tal-konklużjonijiet tiegħu, il-parteċipazzjoni fid-determinazzjoni tal-finijiet u tal-mezzi tal-ipproċessar tista’ tieħu forom differenti, peress li din il-parteċipazzjoni tista’ tirriżulta kemm minn deċiżjoni komuni meħuda minn żewġ entitajiet jew iktar kif ukoll minn deċiżjonijiet konverġenti ta’ tali entitajiet. Issa, f’dan l-aħħar każ, l-imsemmija deċiżjonijiet għandhom jikkompletaw ruħhom, b’tali mod li kull waħda minnhom ikollha effett konkret fuq id-determinazzjoni tal-finijiet u tal-mezzi tal-ipproċessar.

44

Min-naħa l-oħra, ma jistax ikun meħtieġ li jkun hemm ftehim formali bejn dawn il-kontrolluri fir-rigward tal-għanijiet u tal-mezzi tal-ipproċessar.

45

Ċertament, skont l-Artikolu 26(1) tal-GDPR, moqri fid-dawl tal-premessa 79 tiegħu, il-kontrolluri konġunti għandhom, permezz ta’ ftehim bejniethom, jiddefinixxu b’mod trasparenti l-obbligi rispettivi tagħhom sabiex jiżguraw l-osservanza tar-rekwiżiti ta’ dan ir-regolament. Madankollu, l-eżistenza ta’ tali ftehim ma tikkostitwixxix kundizzjoni preliminari sabiex żewġ entitajiet jew iktar jiġu kklassifikati bħala kontrolluri konġunti, iżda obbligu li dan l-Artikolu 26(1) jimponi fuq il-kontrolluri konġunti, ladarba kklassifikati bħala tali, sabiex tiġi żgurata l-osservanza tar-rekwiżiti tal-GDPR imposti fuqhom. Għalhekk, din il-klassifikazzjoni tirriżulta mis-sempliċi fatt li diversi entitajiet ipparteċipaw fid-determinazzjoni tal-finijiet u tal-mezzi tal-ipproċessar.

46

Fid-dawl tar-raġunijiet preċedenti, ir-risposta għall-ħames domanda għandha tkun li l-punt 7 tal-Artikolu 4 l-Artikolu 26(1) tal-GDPR għandhom jiġu interpretati fis-sens li l-klassifikazzjoni ta’ żewġ entitajiet bħala li huma kontrolluri konġunti la tippreżupponi l-eżistenza ta’ ftehim bejn dawn l-entitajiet dwar id-determinazzjoni tal-finijiet u tal-mezzi tal-ipproċessar tad-data personali inkwistjoni u lanqas l-eżistenza ta’ ftehim li jistabbilixxi l-kundizzjonijiet relatati mar-responsabbiltà konġunta tal-ipproċessar.

47

Permezz tar-raba’ domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk il-punt 2 tal-Artikolu 4 tal-GDPR għandux jiġi interpretat fis-sens li jikkostitwixxi “ipproċessar”, fis-sens ta’ din id-dispożizzjoni, l-użu ta’ data personali għall-finijiet ta’ testijiet informatiċi ta’ applikazzjoni għall-apparati mobbli.

48

F’dan il-każ, kif jirriżulta mill-punt 25 ta’ din is-sentenza, il-kumpannija Litwana li tamministra s-sistema informatika ta’ monitoraġġ u ta’ kontroll tal-mard li jittieħed li jippreżenta riskju ta’ tixrid kellha tirċievi l-kopji tad-data personali miġbura permezz tal-applikazzjoni għall-apparati mobbli inkwistjoni. Għall-finijiet ta’ testijiet informatiċi, intużat data fittizja, bl-eċċezzjoni tan-numri tat-telefons tal-impjegati tal-imsemmija kumpannija.

49

F’dan ir-rigward, fl-ewwel lok, il-punt 2 tal-Artikolu 4 tal-GDPR jiddefinixxi l-kunċett ta’ “pproċessar” bħala “kwalunkwe attività jew sett ta’ attivitajiet li jitwettqu fuq data personali jew fuq settijiet ta’ data personali”. F’lista mhux eżawrjenti, introdotta bil-lokuzzjoni “bħalma huma”, din id-dispożizzjoni ssemmi bħala eżempji ta’ pproċessar, il-ġbir, it-tqegħid għad-dispożizzjoni u l-użu ta’ data personali.

50

Mill-formulazzjoni ta’ din id-dispożizzjoni, b’mod partikolari mill-espressjoni “kull operazzjoni”, jirriżulta li l-leġiżlatur tal-Unjoni ried jagħti lill-kunċett ta’ “pproċessar” portata wiesgħa. (ara, f’dan is-sens, is-sentenza tal-24 ta’ Frar 2022, Valsts ieņēmumu dienests (Ipproċessar ta’ data personali għal finijiet fiskali),C‑175/20, EU:C:2022:124, punt 35) u li r-raġunijiet li għalihom titwettaq tranżazzjoni jew sensiela ta’ tranżazzjonijiet ma jistgħux jittieħdu inkunsiderazzjoni sabiex jiġi ddeterminat jekk din l-operazzjoni jew dan is-sett ta’ tranżazzjonijiet jikkostitwixxux “ipproċessar” fis-sens tal-punt 2 tal-Artikolu 4 tal-GDPR.

51

Għaldaqstant, il-kwistjoni dwar jekk data personali tintużax għal testijiet informatiċi jew għal skop ieħor ma taffettwax il-klassifikazzjoni tal-operazzjoni inkwistjoni bħala “pproċessar”, fis-sens tal-punt 2 tal-Artikolu 4 tal-GDPR.

52

Fit-tieni lok, għandu madankollu jiġi ppreċiżat li huwa biss ipproċessar li jirrigwarda “data personali” li jikkostitwixxi “ipproċessar”, fis-sens tal-punt 2 tal-Artikolu 4 tal-GDPR.

53

L-Artikolu 4(1) tar-Regolament GDPR jippreċiża f’dan ir-rigward li “data personali” tfisser “kwalunkwe informazzjoni relatata ma’ persuna fiżika identifikata jew identifikabbli (“suġġett tad-data”)”, jiġifieri “persuna fiżika identifikabbli hija persuna li tista’ tiġi identifikata, direttament jew indirettament, b’mod partikolari b’riferiment għal mezz ta’ identifikazzjoni bħal isem, numru ta’ identifikazzjoni, data ta’ lokalizzazzjoni, identifikatur online jew għal fattur wieħed jew iktar speċifiċi għall-identità fiżika, fiżjoloġika, ġenetika, mentali, ekonomika, kulturali jew soċjali tagħha”.

54

Issa, il-fatt li għalih tirreferi l-qorti tar-rinviju fir-raba’ domanda tagħha, li dawn huma “kopji ta’ data personali” ma huwiex, bħala tali, ta’ natura li jiċħad lil dawn il-kopji l-kwalifika ta’ data personali, fis-sens tal-punt 1 tal-Artikolu 4 tal-GDPR, sakemm tali kopji effettivament jinkludu informazzjoni relatata ma’ persuna fiżika identifikata jew identifikabbli.

55

Madankollu, għandu jiġi kkonstatat li data fittizja, peress li ma hijiex relatata ma’ persuna fiżika identifikata jew identifikabbli iżda ma’ persuna li, fir-realtà, ma teżistix, ma tikkostitwixxix data personali, fis-sens tal-punt 1 tal-Artikolu 4 tal-GDPR.

56

L-istess japplika fir-rigward tad-data użata għal finijiet ta’ ttestjar informatiku li hija anonimizzata jew anonimizzata.

57

Fil-fatt, mill-premessa 26 tal-GDPR kif ukoll mid-definizzjoni stess tal-kunċett ta’ “data personali”, ipprovduta mill-punt 1 tal-Artikolu 4 ta’ dan ir-regolament, jirriżulta li ma taqax taħt dan il-kunċett l- “informazzjoni anonima, jiġifieri informazzjoni li mhijiex marbuta ma’ persuna fiżika identifikat jew identifikabbli”, u lanqas id- “data ma jkunx jew ma jkunx għadu identifikabbli.”

58

Min-naħa l-oħra, mill-punt 5 tal-Artikolu 4 tal-GDPR, moqri flimkien mal-premessa 26 ta’ dan ir-regolament jirriżulta li d-data personali li kienet unikament is-suġġett ta’ psewdonimizzazzjoni u li tista’ tiġi attribwita lil persuna fiżika bl-użu ta’ informazzjoni supplimentari għandha titqies bħala informazzjoni dwar persuna fiżika identifikabbli u li għaliha japplikaw il-prinċipji relatati mal-protezzjoni tad-data.

59

Fid-dawl tar-raġunijiet preċedenti, ir-risposta għar-raba’ domanda għandha tkun li l-punt 2 tal-Artikolu 4 tal-GDPR għandu jiġi interpretat fis-sens li jikkostitwixxi “ipproċessar”, fis-sens ta’ din id-dispożizzjoni, l-użu ta’ data personali għall-finijiet ta’ testijiet informatiċi ta’ applikazzjoni għall-apparati mobbli, sakemm tali data ma tkunx saret anonima b’tali mod li s-suġġett tad-data minn din id-data ma jkunx jew ma jkunx għadu identifikabbli jew ma jkunx għadu jista’ jiġi identifikat jew ikun data fittizja li ma tkunx relatata ma’ persuna fiżika eżistenti.

60

Permezz tas-sitt domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 83 tal-GDPR għandux jiġi interpretat fis-sens li, minn naħa, multa amministrattiva tista’ tiġi imposta b’applikazzjoni ta’ din id-dispożizzjoni biss jekk jiġi stabbilit li l-kontrollur wettaq, deliberatament jew b’negliġenza, ksur imsemmi fil-paragrafi 4 sa 6 ta’ dan l-artikolu u, min-naħa l-oħra, tali multa tista’ tiġi imposta fuq kontrollur fir-rigward tal-operazzjonijiet ta’ pproċessar imwettqa minn proċessur f’ismu.

61

Fir-rigward, fl-ewwel lok, tal-punt dwar jekk multa amministrattiva tistax tiġi imposta skont l-Artikolu 83 tal-GDPR biss sa fejn jiġi stabbilit li l-kontrollur jew il-proċessur wettaq, deliberatament jew b’negliġenza, ksur imsemmi fil-paragrafi 4 sa 6 ta’ dan l-artikolu, mill-paragrafu 1 tal-imsemmi artikolu jirriżulta li dawn il-multi għandhom ikunu effettivi, proporzjonati u dissważivi. Min-naħa l-oħra, l-Artikolu 83 tal-GDPR ma jispeċifikax espressament li tali ksur jista’ jiġi ssanzjonat b’tali multa biss jekk ikun twettaq deliberatament jew, tal-inqas, b’negliġenza.

62

Minn dan, il-Gvern Litwan u l-Kunsill tal-Unjoni Ewropea jiddeduċu li l-leġiżlatur tal-Unjoni ried iħalli lill-Istati Membri ċertu marġni ta’ diskrezzjoni fl-implimentazzjoni tal-Artikolu 83 tal-GDPR, li jippermettilhom jipprevedu l-impożizzjoni ta’ multi amministrattivi skont din id-dispożizzjoni, jekk ikun il-każ, mingħajr ma jiġi stabbilit li l-ksur tal-GDPR issanzjonat minn din il-multa twettaq deliberatament jew b’negliġenza.

63

Tali interpretazzjoni tal-Artikolu 83 tal-GDPR ma tistax tiġi aċċettata.

64

F’dan ir-rigward, għandu jitfakkar li, skont l-Artikolu 288 TFUE, id-dispożizzjonijiet tar-regolamenti għandhom, b’mod ġenerali, effett immedjat fl-ordinamenti ġuridiċi nazzjonali, mingħajr ma l-awtoritajiet nazzjonali jkollhom bżonn jieħdu miżuri ta’ applikazzjoni. Dan minħabba li xi dispożizzjonijiet ta’ regolamenti jistgħu jeħtieġu, għall-implementazzjoni tagħhom, l-adozzjoni ta’ miżuri ta’ applikazzjoni mill-Istati Membri. (ara, f’dan is-sens, is-sentenza tat-28 ta’ April 2022, Meta Platforms Ireland,C‑319/20, EU:C:2022:322, punt 58 u l-ġurisprudenza ċċitata).

65

Dan huwa b’mod partikolari l-każ tal-GDPR li ċerti dispożizzjonijiet tiegħu jiftħu l-possibbiltà għall-Istati Membri li jipprevedu regoli nazzjonali addizzjonali, iktar stretti jew derogatorji, li jħallu lil dawn tal-aħħar marġni ta’ diskrezzjoni dwar il-mod kif dawn id-dispożizzjonijiet jistgħu jiġu implimentati (sentenza tat-28 ta’ April 2022, Meta Platforms Ireland,C‑319/20, EU:C:2022:322, punt 57).

66

Bl-istess mod, fl-assenza ta’ regoli proċedurali speċifiċi fil-GDPR, huwa l-ordinament ġuridiku ta’ kull Stat Membru li għandu jistabbilixxi, bla ħsara għall-osservanza tal-prinċipji ta’ ekwivalenza u ta’ effettività, il-modalitajiet tal-azzjonijiet intiżi sabiex jiżguraw il-protezzjoni tad-drittijiet li l-partijiet fil-kawża jisiltu mid-dispożizzjonijiet ta’ dan ir-regolament. (ara, f’dan is-sens, is-sentenza tal-4 ta’ Mejju 2023, Österreichische Post (Dannu morali marbut mal-ipproċessar ta’ data personali),C‑300/21, EU:C:2023:370, punti 53 u 54 kif ukoll il-ġurisprudenza ċċitata).

67

Madankollu, ma hemm xejn fil-formulazzjoni tal-Artikolu 83(1) sa (6) tal-GDPR li jippermetti li jitqies li l-leġiżlatur tal-Unjoni kellu l-intenzjoni li jħalli marġni ta’ diskrezzjoni lill-Istati Membri fir-rigward tal-kundizzjonijiet sostantivi li għandhom jiġu osservati minn awtorità superviżorja meta din tiddeċiedi li timponi multa amministrattiva fuq kontrollur għal ksur imsemmi fil-paragrafi 4 sa 6 ta’ dan l-artikolu.

68

Ċertament, minn naħa, il-paragrafu 7 tal-Artikolu 83 tar-GDPR jipprevedi li kull Stat Membru jista’ jistabbilixxi r-regoli li jiddeterminaw jekk u sa fejn jistgħu jiġu imposti multi amministrattivi fuq awtoritajiet pubbliċi u fuq korpi pubbliċi stabbiliti fit-territorju tiegħu. Min-naħa l-oħra, mill-Artikolu 83(8) ta’ dan ir-regolament, moqri fid-dawl tal-premessa 129 tiegħu, jirriżulta li l-eżerċizzju, mill-awtorità superviżorja, tas-setgħat mogħtija lilha minn dan l-artikolu huwa suġġett għal garanziji proċedurali xierqa konformement mad-dritt tal-Unjoni u mad-dritt tal-Istati Membri, inkluż rimedju ġudizzjarju effettiv u proċedura regolari.

69

Madankollu, il-fatt li l-imsemmi regolament jagħti għalhekk lill-Istati Membri l-possibbiltà li jipprevedu eċċezzjonijiet fir-rigward tal-awtoritajiet pubbliċi u tal-korpi pubbliċi stabbiliti fit-territorju tagħhom kif ukoll rekwiżiti li jikkonċernaw il-proċedura li għandha tiġi segwita mill-awtoritajiet ta’ superviżjoni sabiex tiġi imposta multa amministrattiva bl-ebda mod ma jfisser li dawn l-istati huma wkoll awtorizzati jipprevedu, lil hinn minn tali eċċezzjonijiet u rekwiżiti ta’ natura proċedurali, kundizzjonijiet sostantivi li għandhom jiġu osservati sabiex tiġi stabbilita r-responsabbiltà tal-kontrollur u jimponulu multa amministrattiva skont l-imsemmi Artikolu 83. Barra minn hekk, il-fatt li l-leġiżlatur tal-Unjoni ħa ħsieb li jipprevedi espressament din il-possibbiltà iżda mhux dik li jipprevedi tali kundizzjonijiet sostantivi jikkonferma li huwa ma ħalliex lill-Istati Membri marġni ta’ diskrezzjoni f’dan ir-rigward.

70

Din il-konstatazzjoni hija kkorroborata wkoll minn qari konġunt tal-Artikoli 83 u 84 tal-GDPR. Fil-fatt, l-Artikolu 84(1) ta’ dan ir-regolament jaċċetta li l-Istati Membri jżommu l-kompetenza sabiex jiddeterminaw ir-regoli dwar “pieni oħrajn applikabbli” fil-każ ta’ ksur ta’ dan ir-regolament, “b’mod partikolari għal ksur li ma jkunx soġġett għal multi amministrattivi skont l-Artikolu 83”. Għalhekk, minn tali qari konġunt ta’ dawn id-dispożizzjonijiet jirriżulta li d-determinazzjoni tal-kundizzjonijiet sostantivi li jippermettu li jiġu imposti tali multi amministrattivi ma taqax taħt din il-kompetenza. Għaldaqstant, dawn il-kundizzjonijiet jaqgħu biss taħt id-dritt tal-Unjoni.

71

Fir-rigward tal-imsemmija kundizzjonijiet, għandu jiġi rrilevat li l-Artikolu 83(2) tal-GDPR jelenka l-elementi li fid-dawl tagħhom l-awtorità superviżorja timponi multa amministrattiva fuq il-kontrollur. Fost dawn l-elementi hemm, fil-punt (b) ta’ din id-dispożizzjoni, “ il-karattru intenzjonali jew negliġenti tal-ksur”. Min-naħa l-oħra, ebda wieħed mill-elementi elenkati fl-imsemmija dispożizzjoni ma jsemmi ebda possibbiltà li tiġi stabbilita r-responsabbiltà tal-kontrollur fl-assenza ta’ aġir żbaljat min-naħa tiegħu.

72

Barra minn hekk, l-Artikolu 83(2) tal-GDPR għandu jinqara flimkien mal-paragrafu 3 ta’ dan l-artikolu li l-għan tiegħu huwa li jipprevedi l-konsegwenzi tal-każijiet ta’ kumulu ta’ ksur ta’ dan ir-regolament u li jipprovdi li “[j]ekk kontrollur jew proċessur bi ksur intenzjonat jew b’negliġenza ta’ diversi dispożizzjonijiet ta’ dan ir-Regolament, fil-kuntest tal-istess operazzjoni ta’ pproċessar jew operazzjonijiet ta’ pproċessar relatati, l-ammont totali tal-multa amministrattiva ma għandux jaqbeż l-ammont stabbilit għall-aktar ksur serju”.

73

Għalhekk, mill-formulazzjoni tal-Artikolu 83(2) tal-GDPR jirriżulta li huwa biss il-ksur tad-dispożizzjonijiet ta’ dan ir-regolament imwettaq b’mod żbaljat mill-kontrollur, jiġifieri dak imwettaq intenzjonalment jew b’negliġenza, li jista’ jwassal għall-impożizzjoni ta’ multa amministrattiva fuq dan tal-aħħar skont dan l-artikolu.

74

L-istruttura ġenerali u l-iskop tal-GDPR jikkorroboraw dan il-qari.

75

Minn naħa, il-leġiżlatur tal-Unjoni ppreveda sistema ta’ sanzjonijiet li tippermetti lill-awtoritajiet ta’ superviżjoni jimponu s-sanzjonijiet l-iktar xierqa skont iċ-ċirkustanzi ta’ kull każ.

76

Fil-fatt, l-Artikolu 58 tal-GDPR, li jistabbilixxi s-setgħat tal-awtoritajiet superviżorji, jipprevedi, fil-paragrafu 2 (i) tiegħu, li dawn l-awtoritajiet jistgħu jimponu l-multi amministrattivi, skont l-Artikolu 83 ta’ dan ir-regolament, “flimkien ma’, jew minflok” miżuri korrettivi oħra elenkati f’dan l-Artikolu 58(2), bħal twissijiet, ċanfir jew ordnijiet. Bl-istess mod, il-premessa 148 tal-imsemmi regolament tistabbilixxi b’mod partikolari li huwa permess li l-awtoritajiet ta’ superviżjoni, fil-każ ta’ ksur minuri jew jekk il-multa amministrattiva li tista’ tiġi imposta tikkostitwixxi piż sproporzjonat għal persuna fiżika, jastjenu milli jimponu multa amministrattiva u, minflokha, jagħtu ċanfira.

77

B’mod partikolari, mill-premessa 10 tal-GDPR jirriżulta li d-dispożizzjonijiet tiegħu għandhom, b’mod partikolari, l-għanijiet li jiżguraw livell koerenti u għoli ta’ protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar tad-data personali fi ħdan l-Unjoni u, għal dan l-għan, li jiżguraw applikazzjoni koerenti u omoġenja tar-regoli ta’ protezzjoni tal-libertajiet u tad-drittijiet fundamentali ta’ dawn il-persuni fir-rigward tal-ipproċessar ta’ tali data fl-Unjoni kollha. Il-premessi 11 u 129 tal-GDPR jenfasizzaw, barra minn hekk, in-neċessità li jiġi żgurat, sabiex tiġi ssalvagwardjata applikazzjoni koerenti ta’ dan ir-regolament, li l-awtoritajiet superviżorji għandhom setgħat ekwivalenti ta’ superviżjoni u ta’ superviżjoni tal-osservanza tar-regoli dwar il-protezzjoni tad-data personali u li huma jkunu jistgħu jimponu sanzjonijiet ekwivalenti fil-każ ta’ ksur tal-imsemmi regolament.

78

L-eżistenza ta’ sistema ta’ sanzjonijiet li tippermetti li tiġi imposta, meta ċ-ċirkustanzi speċifiċi ta’ kull każ jiġġustifikaw dan, multa amministrattiva skont l-Artikolu 83 tal-GDPR toħloq, għall-kontrolluri u għall-proċessuri, inċentiv sabiex jikkonformaw ruħhom ma’ dan ir-regolament. Permezz tal-effett dissważiv tagħhom, il-multi amministrattivi jikkontribwixxu għat-tisħiħ tal-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar tad-data personali u jikkostitwixxu għalhekk element prinċipali sabiex jiġi ggarantit ir-rispett tad-drittijiet ta’ dawn il-persuni, konformement mal-għan ta’ dan ir-regolament li jiġi żgurat livell għoli ta’ protezzjoni ta’ tali persuni fir-rigward tal-ipproċessar tad-data personali.

79

Madankollu, il-leġiżlatur tal-Unjoni ma qiesx neċessarju, sabiex jiżgura tali livell għoli ta’ protezzjoni, li jipprevedi l-impożizzjoni ta’ multi amministrattivi fl-assenza ta’ ħtija. Fid-dawl tal-fatt li l-GDPR għandu livell ta’ protezzjoni kemm ekwivalenti kif ukoll omoġenju u li, għal dan l-għan, għandu jiġi applikat b’mod koerenti fl-Unjoni kollha, ikun kuntrarju għal dan l-għan li l-Istati Membri jkunu jistgħu jipprevedu tali sistema għall-impożizzjoni ta’ multa skont l-Artikolu 83 ta’ dan ir-regolament. Tali libertà ta’ għażla hija, barra minn hekk, ta’ natura li toħloq distorsjoni tal-kompetizzjoni bejn l-operaturi ekonomiċi fi ħdan l-Unjoni, u dan imur kontra l-għanijiet espressi mil-leġiżlatur tal-Unjoni, b’mod partikolari, fil-premessi 9 u 13 tal-imsemmi regolament.

80

Konsegwentement, għandu jiġi kkonstatat li l-Artikolu 83 tal-GDPR ma jippermettix li tiġi imposta multa amministrattiva għal ksur imsemmi fil-paragrafi 4 sa 6 tiegħu, mingħajr ma jiġi stabbilit li dan il-ksur twettaq deliberatament jew b’negliġenza mill-kontrollur, u li, għaldaqstant, ksur żbaljat jikkostitwixxi kundizzjoni għall-impożizzjoni ta’ tali multa.

81

F’dan ir-rigward, għandu jiġi ppreċiżat ukoll, fir-rigward tal-kwistjoni dwar jekk ksur twettaqx deliberatament jew b’negliġenza u, minħabba f’hekk, jistax jiġi ssanzjonat b’multa amministrattiva skont l-Artikolu 83 tal-GDPR, li kontrollur jista’ jiġi ssanzjonat għal aġir li jaqa’ fil-kamp ta’ applikazzjoni tal-GDPR peress li dan il-kontrollur ma setax ma jkunx jaf bin-natura li jikkostitwixxi ksur tal-aġir tiegħu, irrispettivament minn jekk kienx konxju jew le li kiser id-dispożizzjonijiet tal-GDPR. (ara, b’analoġija, is-sentenzi tat-18 ta’ Ġunju 2013, Schenker & Co. et, C‑681/11, EU:C:2013:404, punt 37 kif ukoll il-ġurisprudenza ċċitata, tal-25 ta’ Marzu 2021, Lundbeck vs Il-Kummissjoni,C‑591/16 P, EU:C:2021:243, punt 156, u tal-25 ta’ Marzu 2021, Arrow Group u Arrow Generics vs Il-Kummissjoni, C‑601/16 P, EU:C:2021:244, punt 97).

82

Meta l-kontrollur ikun persuna ġuridika, għandu jiġi ċċarat ukoll li l-applikazzjoni tal-Artikolu 83 tal-GDPR ma timplikax azzjoni jew saħansitra għarfien tal-korp ta’ ġestjoni ta’ dik il-persuna ġuridika. (ara, b’analoġija, is-sentenzi tas-7 ta’ Ġunju 1983, Musique Diffusion française et vs Il-Kummissjoni,100/80 sa 103/80, EU:C:1983:158, punt 97, kif ukoll is-sentenza tas-16 ta’ Frar 2017, Tudapetrol Mineralölerzeugnisse Nils Hansen vs Il-Kummissjoni,C‑94/15 P, EU:C:2017:124, punt 28 u l-ġurisprudenza ċċitata).

83

Fir-rigward, fit-tieni lok, tal-kwistjoni dwar jekk multa amministrattiva tistax tiġi imposta skont l-Artikolu 83 tal-GDPR fuq kontrollur fir-rigward tal-operazzjonijiet ta’ pproċessar imwettqa minn proċessur, għandu jitfakkar li, skont id-definizzjoni li tinsab fil-punt 8 tal-Artikolu 4 tal-GDPR, huwa proċessur “persuna fiżika jew ġuridika, awtorità pubblika, aġenzija jew korp ieħor li jipproċessa data personali f’isem il-kontrollur;”.

84

Peress li, kif ġie indikat fil-punt 36 ta’ din is-sentenza, kontrollur huwa responsabbli mhux biss għal kull ipproċessar ta’ data personali li huwa jwettaq huwa stess, iżda wkoll għall-ipproċessar imwettaq f’ismu, dan il-kontrollur jista’ jiġi impost fuqu multa amministrattiva skont l-Artikolu 83 tal-GDPR f’sitwazzjoni fejn data personali tkun is-suġġett ta’ pproċessar illegali, u fejn ma jkunx tali kontrollur, iżda proċessur li huwa jkun uża, li jkun wettaq l-imsemmi pproċessar f’isem dan tal-aħħar.

85

Madankollu, ir-responsabbiltà tal-kontrollur għall-aġir ta’ proċessur ma tistax testendi għas-sitwazzjonijiet li fihom il-proċessur ikun ipproċessa data personali għal finijiet tiegħu stess jew li fihom dan tal-aħħar ikun ipproċessa din id-data b’mod inkompatibbli mal-kuntest jew il-modalitajiet tal-ipproċessar kif kienu ddeterminati mill-kontrollur jew b’mod li ma jistax raġonevolment jitqies li dan il-kontrollur ta l-kunsens tiegħu. Fil-fatt, konformement mal-Artikolu 28(10) tal-GDPR, il-proċessur għandu, f’tali ipoteżi, jitqies bħala kontrollur fir-rigward ta’ tali pproċessar.

86

Fid-dawl tal-kunsiderazzjonijiet preċedenti, ir-risposta għas-sitt domanda għandha tkun li l-Artikolu 83 tal-GDPR għandu jiġi interpretat fis-sens li, minn naħa, multa amministrattiva tista’ tiġi imposta b’applikazzjoni ta’ din id-dispożizzjoni biss jekk jiġi stabbilit li l-kontrollur wettaq, deliberatament jew b’negliġenza, ksur imsemmi fil-paragrafi 4 sa 6 ta’ dan l-artikolu, u, min-naħa l-oħra, tali multa tista’ tiġi imposta fuq kontrollur fir-rigward tal-operazzjonijiet ta’ pproċessar ta’ data personali imwettqa minn proċessur f’ismu, ħlief jekk, fil-kuntest ta’ dawn l-operazzjonijiet, dan il-proċessur ikun wettaq ipproċessar għal finijiet tiegħu stess jew ikun ipproċessa din id-data b’mod inkompatibbli mal-kuntest jew il-modalitajiet tal-ipproċessar kif kienu ddeterminati mill-kontrollur jew b’mod li ma jistax raġonevolment jitqies li dan il-kontrollur kien ta l-kunsens tiegħu.

87

Peress li l-proċedura għandha, fir-rigward tal-partijiet fil-kawża prinċipali, in-natura ta’ kwistjoni mqajma quddiem il-qorti tar-rinviju, hija din il-qorti li tiddeċiedi fuq l-ispejjeż. L-ispejjeż sostnuti għas-sottomissjoni tal-osservazzjonijiet lill-Qorti tal-Ġustizzja, barra dawk tal-imsemmija partijiet, ma jistgħux jitħallsu lura.

Għal dawn il-motivi, il-Qorti tal-Ġustizzja (Awla Manja) taqta’ u tiddeċiedi: