Kawża C‑200/23

Agentsia po vpisvaniyata

vs

OL

(talba għal deċiżjoni preliminari, imressqa mill-Varhoven administrativen sad)

Sentenza tal-Qorti tal-Ġustizzja (L-Ewwel Awla) tal‑4 ta’ Ottubru 2024

“Rinviju għal deċiżjoni preliminari – Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament (UE) 2016/679 – Pubblikazzjoni, fir-reġistru tal-kummerċ, tal-memorandum u l-istatut ta’ assoċjazzjoni li jinkludu data personali – Direttiva (UE) 2017/1132 – Data personali mhux obbligatorja – Assenza ta’ kunsens tas-suġġett tad-data – Dritt għal tħassir – Dannu morali”

1. Libertà ta’ stabbiliment – Kumpanniji – Direttiva 2017/1132 – Obbligu ta’ Stat Membru li jawtorizza, fir-reġistru tal-kummerċ, il-pubblikazzjoni ta’ memorandum u statut ta’ assoċjazzjoni li fihom data personali – Pubblikazzjoni ta’ data mhux meħtieġa mid-dritt nazzjonali – Assenza ta’ obbligu

   (Direttiva tal-Parlament Ewropew u tal-Kunsill 2017/1132, Artikolu 21(2))

   (ara l-punti 54, 55 u 60, u d-dispożittiv 1)

2. Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Kunċett ta’ kontrollur – Kunċett ta’ destinatarju tad-data – Awtorità responsabbli mir-reġistru tal-kummerċ ta’ Stat Membru, li tippubblika d-data personali li tinsab f’memorandum u statut ta’ assoċjazzjoni – Inklużjoni – Memorandum u statut ta’ assoċjazzjoni li fihom data personali li la hija meħtieġa mid-Direttiva 2017/1132 u lanqas mid-dritt nazzjonali – Assenza ta’ effett

   (Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, punti 7 u 9 tal-Artikolu 4; Direttiva tal-Parlament Ewropew u tal-Kunsill 2017/1132)

   (ara l-punti 66, 72 sa 76, u 83, u d-dispożittiv 2)

3. Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Kundizzjonijiet ta’ legalità ta’ pproċessar ta’ data personali – Ipproċessar neċessarju għall-osservanza ta’ obbligu legali li jaqa’ fuq il-kontrollur – Pubblikazzjoni ta’ data personali li tinsab f’memorandum u statut ta’ assoċjazzjoni – Data personali li la hija meħtieġa mid-Direttiva 2017/1132 u lanqas mid-dritt nazzjonali – Esklużjoni – Klassifikazzjoni ta’ din il-pubblikazzjoni bħala pproċessar neċessarju għall-eżekuzzjoni ta’ missjoni ta’ interess pubbliku jew li jaqa’ taħt l-eżerċizzju tal-awtorità pubblika – Kundizzjonijiet – Natura neċessarja tal-ipproċessar

   (Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, punti (c) u (e) tal-ewwel subparagrafu tal-Artikolu 6(1); Direttiva tal-Parlament Ewropew u tal-Kunsill 2017/1132)

   (ara l-punti 94 sa 96, 105 sa 112, u 114 sa 116)

4. Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Dritt għal tħassir – Portata – Ipproċessar illegali ta’ data personali – Inklużjoni – Ipproċessar legali ta’ data personali – Ipproċessar neċessarju għall-eżekuzzjoni ta’ missjoni ta’ interess pubbliku jew li jaqa’ taħt l-eżerċizzju tal-awtorità pubblika – Esklużjoni – Eċċezzjoni – Eżistenza ta’ raġunijiet leġittimi u imperattivi għall-ipproċessar li jipprevalu fuq l-interessi u d-drittijiet u l-libertajiet tas-suġġett tad-data – Oneru tal-prova li jaqa’ fuq il-kontrollur

   (Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, Artikoli 6(1)(e), 17(1)(c) u (d), u 21(1))

   (ara l-punti 118 sa 120)

5. Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Dritt għal tħassir – Obbligu ta’ awtorità nazzjonali responsabbli għar-reġistru tal-kummerċ ta’ Stat Membru li tirrifjuta kull talba għat-tħassir ta’ data mhux moħbija – Data personali li la hija meħtieġa mid-Direttiva 2017/1132 u lanqas mid-dritt nazzjonali – Inammissibbiltà

   (Regolament tal-Parlament Ewropew u tal-Kunsill Nru 2016/679, Artikolu 17; Direttiva tal-Parlament Ewropew u tal-Kunsill 2017/1132, Artikolu 16)

   (ara l-punt 127 u d-dispożittiv 3)

6. Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Kunċett ta’ data personali – Firma bl-idejn ta’ persuna fiżika – Inklużjoni

   (Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, punt 1 tal-Artikolu 4)

   (ara l-punti 131, 133 sa 136, u d-dispożittiv 4)

7. Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Dritt għal kumpens u responsabbiltà – Dritt għal kumpens għad-dannu mġarrab – Dannu morali – Kunċett – Telf ta’ kontroll fuq data personali – Inklużjoni – Kundizzjonijiet – Oneru tal-prova tad-dannu morali li jaqa’ fuq is-suġġett tad-data – Obbligu li tintwera l-eżistenza ta’ konsegwenzi negattivi tanġibbli addizzjonali – Assenza

   (Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, Artikolu 82(1))

   (ara l-punti 140 sa 146, u 156, u d-dispożittiv 5)

8. Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Dritt għal kumpens u responsabbiltà – Responsabbiltà tal-kontrollur u obbligu li jiġi kkumpensat id-dannu mġarrab minn suġġett tad-data – Eżenzjoni – Portata – Ħruġ, minn awtorità superviżorja, ta’ opinjoni konsultattiva dwar kwistjonijiet relatati mal-protezzjoni tad-data, mogħtija lill-kontrollur – Nuqqas ta’ applikazzjoni tal-eżenzjoni mir-responsabbiltà ta’ awtorità nazzjonali li għandha l-kwalità ta’ kontrollur

   (Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, punt 7 tal-Artikolu 4, Artikolu 58(3)(b) u Artikolu 82(1) sa (3))

   (ara l-punti 171, 172, 174 u 176, u d-dispożittiv 6)

Sunt

Adita b’talba għal deċiżjoni preliminari mill-Varhoven administrativen sad (il-Qorti Amministrattiva Suprema, il-Bulgarija), il-Qorti tal-Ġustizzja ddeċidiet dwar sensiela ta’ domandi li kienu jirrigwardaw, essenzjalment, ir-rabta bejn id-dispożizzjonijiet tad-dritt tal-Unjoni Ewropea fil-qasam tal-pubblikazzjoni tad-dokumenti tal-kumpanniji ( 1 ) u l-GDPR ( 2 ).

OL kienet soċju ta’ “Praven Shtit Konsulting” OOD, kumpannija b’responsabbiltà limitata li kienet irregolata mid-dritt Bulgaru u li kienet irreġistrata fir-reġistru tal-kummerċ wara l-preżentazzjoni ta’ memorandum u statut ta’ assoċjazzjoni. Dawn il-memorandum u l-istatut ta’ assoċjazzjoni, ippubblikati mill-Agentsia po vpisvaniyata (l-Aġenzija Responsabbli għall-Iskrizzjoni fir-Reġistri, il-Bulgarija) (iktar ’il quddiem l-“Aġenzija”) kif kienu ġew ippreżentati, kienu jinkludu diversi elementi ta’ data personali tas-soċji, inklużi l-kunjomijiet, l-ismijiet, in-numri tal-karta tal-identità, l-indirizzi u l-firem tagħhom.

Fl‑2021, OL talbet lill-Aġenzija tħassar id-data personali li kienet tikkonċernaha u li kienet tinsab f’dawn il-memorandum u l-istatut ta’ assoċjazzjoni. Ir-rifjut ta’ din l-aġenzija li tilqa’ din it-talba kien is-suġġett ta’ żewġ rikorsi ppreżentati minn OL quddiem l-Administrativen sad Dobrich (il-Qorti Amministrattiva ta’ Dobrich, il-Bulgarija). Permezz ta’ sentenza tal‑5 ta’ Mejju 2022, din l-aħħar qorti kkundannat lill-Aġenzija sabiex tikkumpensa lil OL għal dannu morali skont il-GDPR ( 3 ). Peress li ma kinitx issodisfatta b’din is-sentenza, l-Aġenzija ppreżentat appell ta’ kassazzjoni quddiem il-qorti tar-rinviju.

Peress li kellha dubji dwar il-konċiljazzjoni li kellha ssir bejn il-leġiżlazzjoni li tirrigwarda d-dritt għall-protezzjoni tad-data personali u dik li tiggarantixxi l-iżvelar ta’ u l-aċċess għal ċerti dokumenti tal-kumpanniji, il-qorti tar-rinviju ressqet talba għal deċiżjoni preliminari quddiem il-Qorti tal-Ġustizzja.

Il‑kunsiderazzjonijiet tal‑Qorti tal‑Ġustizzja

Fl-ewwel lok, fir-rigward tal-portata tal-iżvelar volontarju tad-dettalji, inkluża d-data personali li tinsab fid-dokumenti tal-kumpanniji, il-Qorti tal-Ġustizzja rrilevat li d-dispożizzjoni tad-Direttiva 2017/1132 li tirrigwarda l-iżvelar volontarju tad-dokumenti u tad-dettalji relatati mal-kumpannija ( 4 ) tikkonċerna biss it-traduzzjonijiet tagħhom mingħajr madankollu ma tirreferi għall-kontenut tagħhom. Għaldaqstant, hija ma tistax tiġi interpretata bħala li timponi xi obbligu dwar l-iżvelar ta’ data li l-iżvelar tagħha la tkun meħtieġa minn dispożizzjonijiet oħra tad-dritt tal-Unjoni u lanqas mid-dritt tal-Istat Membru kkonċernat, iżda li tkun tinsab f’dokument suġġett għall-iżvelar obbligatorju previst minn din id-direttiva ( 5 ). Għaldaqstant, din id-dispożizzjoni ma timponix fuq Stat Membru obbligu li jawtorizza l-iżvelar, fir-reġistru tal-kummerċ, ta’ memorandum u statut ta’ assoċjazzjoni ta’ kumpannija suġġetti għall-iżvelar obbligatorju previst minn din id-direttiva u li jinkludu data personali li ma tkunx id-data personali minima meħtieġa, li l-pubblikazzjoni tagħha ma tkunx meħtieġa mid-dritt ta’ dan l-Istat Membru.

Fit-tieni lok, il-Qorti tal-Ġustizzja nnotat li l-awtorità inkarigata miż-żamma tar-reġistru tal-kummerċ ta’ Stat Membru li tkun ippubblikat fih id-data personali li tkun tinsab f’memorandum u statut ta’ assoċjazzjoni suġġetti għall-iżvelar obbligatorju previst mid-Direttiva 2017/1132 u li jkunu ġew trażmessi fil-kuntest ta’ talba għall-iskrizzjoni tal-kumpannija f’dan ir-reġistru, tkun kemm “destinatarju” ta’ din id-data kif ukoll, b’mod partikolari sa fejn din tkun qegħditha għad-dispożizzjoni tal-pubbliku, “kontrollur” tal-imsemmija data ( 6 ), anki meta dawn il-memorandum u statut ta’ assoċjazzjoni jkunu jinkludu data mhux meħtieġa minn din id-direttiva jew mid-dritt ta’ dan l-Istat Membru.

F’dan il-kuntest, il-Qorti tal-Ġustizzja osservat li, skont id-Direttiva 2017/1132, huma l-Istati Membri li għandhom jiddeterminaw, b’mod partikolari, liema kategoriji ta’ informazzjoni dwar l-identità tal-persuni marbuta mal-kumpanniji, u, b’mod partikolari, x’tip ta’ data personali, għandhom jiġu żvelati b’mod obbligatorju, b’osservanza tad-dritt tal-Unjoni.

Il-Qorti tal-Ġustizzja nnotat ukoll li, meta ddaħħal u taħżen data personali rċevuta fil-kuntest ta’ talba għall-iskrizzjoni ta’ kumpannija fir-reġistru tal-kummerċ ta’ Stat Membru, meta tikkomunikaha, jekk ikun il-każ, fuq talba lil terzi u meta tippubblikaha fil-gazzetta nazzjonali, jew permezz ta’ miżura li għandha effett ekwivalenti, l-awtorità inkarigata miż-żamma ta’ dan ir-reġistru twettaq ipproċessar ta’ data personali li għaliha hija l-“kontrollur”. Fil-fatt, dan l-ipproċessar ta’ data personali huwa distint u sussegwenti għall-komunikazzjoni tad-data personali magħmula mill-applikant għal din l-iskrizzjoni u rċevuta minn din l-awtorità. Barra minn hekk, din tal-aħħar tipproċedi waħedha, konformement mal-għanijiet u mal-modalitajiet li huma stabbiliti mid-Direttiva 2017/1132 u mil-leġiżlazzjoni tal-Istat Membru li timplimenta din id-direttiva.

Fit-tielet lok, fir-rigward tal-dritt eventwali għat-tħassir li jkollu s-suġġett tad-data ( 7 ), il-Qorti tal-Ġustizzja pproċediet, fl-ewwel lok, għall-eżami tar-raġunijiet ta’ legalità li jista’ jaqa’ taħthom l-ipproċessar tad-data personali tiegħu.

Minn naħa, fir-rigward tal-punt dwar jekk dan l-ipproċessar huwiex neċessarju għall-osservanza ta’ obbligu legali li jirriżulta mid-dritt tal-Unjoni jew mid-dritt tal-Istat Membru li għalih huwa suġġett il-kontrollur ( 8 ), il-Qorti tal-Ġustizzja rrilevat li d-Direttiva 2017/1132 ma timponix l-ipproċessar sistematiku ta’ kull data personali li tinsab f’dokument suġġett għall-iżvelar obbligatorju previst minn din id-direttiva. Għall-kuntrarju, kull ipproċessar ta’ data personali mwettaq fil-kuntest ta’ din id-direttiva għandu jissodisfa b’mod sħiħ ir-rekwiżiti li jirriżultaw mill-GDPR. Għalhekk, huma l-Istati Membri li għandhom jiżguraw li l-għanijiet ta’ ċertezza legali u ta’ protezzjoni tal-interessi ta’ terzi, imfittxija mid-Direttiva 2017/1132, jiġu rrikonċiljati mad-drittijiet stabbiliti mill-GDPR.

Għaldaqstant, ma setax jitqies li t-tqegħid għad-dispożizzjoni tal-pubbliku, online, fir-reġistru tal-kummerċ, ta’ data personali mhux meħtieġa mid-Direttiva 2017/1132 jew mil-leġiżlazzjoni nazzjonali inkwistjoni fil-kawża prinċipali li kienet tinsab f’memorandum u statut ta’ assoċjazzjoni suġġetti għall-żvelar obbligatorju prevista minn din id-direttiva u trażmessi lill-Aġenzija kien iġġustifikat mir-rekwiżit li jiġi żgurat l-iżvelar tad-dokumenti msemmija f’din id-direttiva u li, għaldaqstant, kien jirriżulta minn obbligu legali previst mid-dritt tal-Unjoni. Barra minn hekk, il-legalità tal-ipproċessar ikkonċernat lanqas ma kienet tidher li kienet bbażata, bla ħsara għall-verifika tal-qorti tar-rinviju, fuq obbligu legali previst mid-dritt nazzjonali.

Min-naħa l-oħra, fir-rigward tan-neċessità tal-ipproċessar ikkonċernat għall-finijiet tal-eżekuzzjoni ta’ missjoni ta’ interess pubbliku ( 9 ), il-Qorti tal-Ġustizzja osservat li dan l-ipproċessar kien jidher, ċertament, li kien twettaq fl-okkażjoni ta’ tali missjoni. Madankollu, kien jidher li mar lil hinn minn dak li kien neċessarju sabiex jintlaħqu l-għanijiet ta’ interess ġenerali mfittxija.

F’dan ir-rigward, il-Qorti tal-Ġustizzja rrilevat li r-rekwiżit li jiġu ppreżervati l-integrità u l-affidabbiltà tad-dokumenti tal-kumpanniji suġġetti għall-iżvelar obbligatorju previst mid-Direttiva 2017/1132, li jeżiġi l-pubblikazzjoni ta’ dawn id-dokumenti kif ikunu ġew trażmessi lill-awtoritajiet inkarigati miż-żamma tar-reġistru tal-kummerċ, ma jistax sistematikament jipprevali fuq id-dritt għall-protezzjoni tad-data personali, taħt piena li jrendi l-protezzjoni tagħha illużorja. B’mod partikolari, dan ir-rekwiżit ma setax jimponi ż-żamma għad-dispożizzjoni tal-pubbliku, online, f’dan ir-reġistru, ta’ data personali mhux meħtieġa minn din id-direttiva jew mid-dritt nazzjonali, meta l-Aġenzija setgħet tistabbilixxi hija stess kopja tad-dokument tal-kumpannija kkonċernata li minnha titneħħa d-data personali mhux meħtieġa, prevista minn dan id-dritt, bl-għan ta’ dan it-tqegħid għad-dispożizzjoni.

Fit-tieni lok, il-Qorti tal-Ġustizzja enfasizzat li, fil-każ li l-qorti tar-rinviju tikkonkludi, fi tmiem l-evalwazzjoni tagħha, li l-ipproċessar ikkonċernat kien ta’ natura illegali, l-Aġenzija, bħala kontrollur, kellha tħassar id-data kkonċernata fl-iqsar żmien possibbli.

Madankollu, jekk din il-qorti tikkonkludi li dan l-ipproċessar kien effettivament neċessarju għat-twettiq ta’ missjoni ta’ interess pubbliku, b’mod partikolari sa fejn it-tqegħid għad-dispożizzjoni tal-pubbliku, online, fir-reġistru tal-kummerċ, ta’ data mhux meħtieġa mid-Direttiva 2017/1132 jew mil-leġiżlazzjoni nazzjonali kien neċessarju sabiex jiġi evitat dewmien fl-iskrizzjoni tal-kumpannija kkonċernata, fl-interess tal-protezzjoni ta’ terzi, kellu jsir l-eżami tal-eżistenza ta’ raġunijiet leġittimi imperattivi li setgħu jipprevalu fuq l-interessi, id-drittijiet u l-libertajiet tas-suġġett tad-data u li setgħu jippermettu oġġezzjoni għal tali talba għal tħassir ( 10 ).

Għaldaqstant, il-Qorti tal-Ġustizzja kkonstatat li d-Direttiva 2017/1132 u l-GDPR għandhom jiġu interpretati fis-sens li jipprekludu leġiżlazzjoni jew prassi ta’ Stat Membru li twassal lill-awtorità inkarigata miż-żamma tar-reġistru tal-kummerċ ta’ dan l-Istat Membru sabiex tirrifjuta kull talba għal tħassir ta’ data personali, mhux meħtieġa minn din id-direttiva jew mid-dritt tal-imsemmi Stat Membru, li tinsab f’memorandum u statut ta’ assoċjazzjoni ppubblikati f’dan ir-reġistru, meta kopja ta’ dawn id-dokumenti li taħbi din id-data ma tkunx ġiet ipprovduta lil din l-awtorità, kuntrarjament għall-modalitajiet proċedurali previsti minn din il-leġiżlazzjoni.

Fl-aħħar lok, fir-rigward tas-sistema ta’ responsabbiltà skont il-GDPR u, b’mod iktar konkret, dwar l-impatt, f’dan il-kuntest, ta’ opinjoni maħruġa mill-awtorità superviżorja ta’ Stat Membru, il-Qorti tal-Ġustizzja enfasizzat li, skont il-GDPR ( 11 ), il-ħruġ ta’ tali opinjoni jaqa’ taħt is-setgħat konsultattivi u mhux taħt is-setgħat ta’ awtorizzazzjoni tal-awtorità superviżorja. Barra minn hekk, it-termini użati jindikaw li din l-opinjoni ma hijiex, skont id-dritt tal-Unjoni, legalment vinkolanti. Għalhekk, l-opinjoni kkonċernata ma tistax turi, fiha nnifisha, assenza ta’ imputabbiltà tad-dannu fil-konfront tal-kontrollur u lanqas, għaldaqstant, ma tista’ tkun suffiċjenti sabiex teżentah mir-responsabbiltà skont il-GDPR. Konsegwentement, tali opinjoni ma hijiex biżżejjed sabiex teżenta mir-responsabbiltà l-awtorità inkarigata miż-żamma tar-reġistru tal-kummerċ ta’ Stat Membru li jkollha l-kwalità ta’ kontrollur.

( 1 ) Direttiva (UE) 2017/1132 tal-Parlament Ewropew u tal-Kunsill tal‑14 ta’ Ġunju 2017 dwar ċerti aspetti tal-liġi dwar il-kumpaniji (ĠU 2017, L 69, p. 46).

( 2 ) Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (ir-Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-“GDPR”).

( 3 ) Skont l-Artikolu 82 tal-GDPR.

( 4 ) Artikolu 21(2) tad-Direttiva 2017/1132.

( 5 ) Skont l-Artikolu 14 tad-Direttiva 2017/1132.

( 6 ) Rispettivament, fis-sens tal-punt 7 tal-Artikolu 4 u tal-punt 9 tal-Artikolu 4 tal-GDPR.

( 7 ) Skont l-Artikolu 17 tal-GDPR.

( 8 ) Raġuni ta’ legalità li tinsab fil-punt (c) tal-ewwel subparagrafu tal-Artikolu 6(1) tal-GDPR.

( 9 ) Raġuni ta’ legalità prevista fil-punt (e) tal-ewwel subparagrafu tal-Artikolu 6(1) tal-GDPR.

( 10 ) Skont l-Artikolu 17(1)(c), moqri flimkien mal-Artikolu 21(1) tal-GDPR.

( 11 ) Artikolu 58(3)(b) tal-GDPR.