1.

L-Artikolu 4, intitolat “Definizzjonijiet”, tar-Regolament 2016/679 ( 2 ) (iktar ’il quddiem ir-“Regolament”) jipprevedi li:

“Għall-finijiet ta’ dan ir-Regolament:

[…]

[…]”.

2.

L-Artikolu 5, intitolat “Prinċipji relatati mal-ipproċessar ta’ data personali”, jipprevedi:

“1.   Id-data personali għandha:

[…]

2.   Il-kontrollur għandu jkun responsabbli għall-konformità mal-paragrafu 1 u jkun kapaċi juriha (‘responsabbiltà’).”

3.

L-Artikolu 24 tal-istess regolament, intitolat “Responsabbiltà tal-kontrollur”, jistabbilixxi li:

“1.   B’kont meħud tan-natura, l-ambitu, il-kuntest, u l-għanijiet tal-ipproċessar kif ukoll ir-riskji ta’ probabbiltà u gravità li jvarjaw għad-drittijiet u l-libertajiet tal-persuni fiżiċi, il-kontrollur għandu jimplimenta miżuri tekniċi u organizzattivi adatti biex jiżgura u jkun jista’ juri li l-ipproċessar isir f’konformità ma’ dan ir-Regolament. Dawk il-miżuri għandhom jiġu rieżaminati u aġġornati fejn meħtieġ.

2.   Fejn dawn ikunu proporzjonati fir-rigward ta’ attivitajiet ta’ pproċessar, il-miżuri msemmija fil-paragrafu 1 għandhom jinkludu l-implimentazzjoni ta’ politiki adatti dwar il-protezzjoni tad-data mill-kontrollur.

3.   Il-konformità mal-kodiċijiet tal-kondotta kif imsemmi fl-Artikolu 40 jew mekkaniżmi ta’ ċertifikazzjoni approvati kif imsemmi fl-Artikolu 42 jistgħu jintużaw bħala element li bih tintwera l-konformità mal-obbligi tal-kontrollur.”

4.

L-Artikolu 32, intitolat “Sigurtà tal-ipproċessar”, jipprevedi li:

“1.   Filwaqt li jikkunsidraw l-ogħla livell ta’ żvilupp tekniku, l-ispejjeż tal-implimentazzjoni u in-natura, l-ambitu, il-kuntest, u l-għanijiet tal-ipproċessar kif ukoll ir-riskju ta’ probabbiltà u gravità li jvarjaw għad-drittijiet u l-libertajiet tal-persuni fiżiċi, il-kontrollur u l-proċessur għandhom jimplimentaw miżuri tekniċi u organizzattivi xierqa, biex jiżguraw livell ta’ sigurtà xieraq għar-riskju, inklużi inter alia kif xieraq:

[…]

2.   Fl-evalwazzjoni tal-livell xieraq ta’ sigurtà ser jitqiesu b’mod partikolari r-riskji li jippreżenta l-ipproċessar, partikolarment minn qerda, telf, bidla, żvelar mhux awtorizzat ta’, jew aċċess għal data personali trażmessa, maħżuna jew ipproċessata mod ieħor, li jkun aċċidentali jew illegali.

3.   L-osservanza ta’ kodiċi ta’ kondotta approvat kif imsemmi fl-Artikolu 40 jew mekkaniżmu ta’ ċertifikazzjoni approvat kif imsemmi fl-Artikolu 42 jistgħu jintużaw bħala element li bih tintwera konformità mar-rekwiżiti stipulati fil-paragrafu 1 ta’ dan l-Artikolu.

[…]”.

5.

L-Artikolu 82 tal-istess regolament, intitolat “Dritt għal kumpens u responsabbiltà”, jipprevedi:

“1.   Kwalunkwe persuna li tkun ġarrbet xi dannu materjali jew mhux materjali b’riżultat ta’ ksur ta’ dan ir-Regolament għandu jkollha d-dritt li tirċievi kumpens mill-kontrollur jew il-proċessur għad-dannu mġarrab.

2.   Kwalunkwe kontrollur involut fl-ipproċessar għandu jkunu responsabbli għad-dannu kkawżat mill-ipproċessar li jikser dan ir-Regolament. […]

3.   Kontrollur jew proċessur għandu jkun eżentat mir-responsabbiltà taħt il-paragrafu 2 jekk jagħti prova li bl-ebda mod m’huwa responsabbli għall-avveniment li wassal għad-dannu.”

6.

Fil‑15 ta’ Lulju 2019, il-midja Bulgara kkomunikat l-aħbar li kien hemm aċċess mhux awtorizzat għas-sistema informatika tan-Natsionalna agentsia za prihodite (l-Aġenzija Nazzjonali tad-Dħul Pubbliku, iktar ’il quddiem in-“NAP” ( 3 )) u li informazzjoni fiskali u tas-sigurtà soċjali differenti ta’ miljuni ta’ persuni, kemm ċittadini kif ukoll barranin, kienet ġiet ippubblikata fuq l-internet.

7.

Diversi persuni, fosthom VB, ir-rikorrenti fil-kawża prinċipali, għalhekk ippreżentaw rikors kontra NAP għal kumpens għad-danni morali.

8.

Fil-kawża ineżami, ir-rikorrenti inkwistjoni fil-kawża prinċipali adixxiet lill-Administrativen sad Sofia-grad (il-Qorti Amministrattiva tal-Belt ta’ Sofija, il-Bulgarija, iktar ’il quddiem l-“ASSG”), billi sostniet li n-NAP kienet kisret ir-regoli nazzjonali, kif ukoll l-obbligu li tipproċessa d-data personali bħala kontrollur responsabbli għad-data personali b’mod li “jiġu żgurati standards xierqa ta’ sigurtà” permezz tal-adozzjoni ta’ miżuri tekniċi u organizzattivi xierqa, skont l-Artikoli 24 u 32 tar-Regolament Nru 679/2016. Sussegwentement, ir-rikorrenti ddikjarat li ġarrbet dannu morali, li mmanifesta ruħu fil-forma ta’ tħassib u ta’ biżgħat dwar użu abbużiv futur tad-data personali tagħha.

9.

Min-naħa l-oħra, il-kontroparti enfasizzat li hija ma kienet irċeviet ebda talba mingħand ir-rikorrenti fil-kawża prinċipali li tindika d-data personali li kienet preċiżament is-suġġett ta’ aċċess. Barra minn hekk, wara li ġiet informata bl-intrużjoni, hija sejħet laqgħat ma’ esperti sabiex tiddefendi d-drittijiet u l-interessi taċ-ċittadini. Skont in-NAP lanqas ma kien hemm rabta kawżali bejn l-attakk informatiku u d-dannu allegatament ilmentat, peress li l-aġenzija implimentat is-sistemi kollha ta’ ġestjoni tal-proċeduri u ta’ sigurtà tal-informazzjoni, skont ir-regoli internazzjonali fis-seħħ f’dan il-qasam.

10.

Il-qorti tal-ewwel istanza, l-ASSG, ċaħdet it-talba, peress li qieset li l-komunikazzjoni tad-data ma kinitx imputabbli lill-aġenzija, li l-obbligu probatorju tal-adegwatezza tal-miżuri adottati kien jaqa’ fuq ir-rikorrenti u, fl-aħħar nett, li ebda dannu morali ma seta’ jiġi kkumpensat.

11.

Is-sentenza tal-ewwel istanza ġiet sussegwentement appellata quddiem il-Varhoven administrativen sad (il-Qorti Amministrattiva Suprema, il-Bulgarija). Fost il-punti sostnuti, ir-rikorrenti fil-kawża prinċipali enfasizzat li l-qorti tal-ewwel istanza kienet wettqet żball meta qassmet l-obbligu probatorju fir-rigward tan-nuqqas ta’ adozzjoni tal-miżuri ta’ sigurtà. Id-dannu morali lanqas ma għandu jkun is-suġġett ta’ obbligu probatorju, peress li dan huwa dannu morali effettiv u mhux purament potenzjali.

12.

Min-naħa tagħha, in-NAP tenniet li kienet ħadet il-miżuri tekniċi u organizzattivi neċessarji bħala kontrollur responsabbli għad-data personali u kkontestat l-eżistenza tal-prova ta’ dannu morali effettiv. Fil-fatt, l-ansjetà u l-biżgħat huma stati emozzjonali, li ma jistgħux jiġu kkumpensati.

13.

Il-qorti tar-rinviju kkonstatat diversi eżiti fir-rigward tad-diversi proċeduri li l-vittmi kienu bdew separatament kontra n-NAP għall-kumpens għad-dannu morali.

14.

F’dan il-kuntest, il-qorti tar-rinviju ssospendiet il-proċeduri u għamlet lill-Qorti tal-Ġustizzja d-domandi preliminari li ġejjin:

15.

Din il-kawża għandha bħala suġġett domandi interessanti u, parzjalment, ġodda dwar l-interpretazzjoni ta’ diversi dispożizzjonijiet tar-Regolament ( 4 ).

16.

Il-ħames domandi preliminari huma kollha bbażati fuq l-istess kwistjoni: il-kundizzjonijiet għall-eliġibbiltà għal kumpens għad-dannu morali lil persuna li d-data personali tagħha, miżmuma minn aġenzija pubblika, ġiet ippubblikata fuq l-internet wara attakk minn hacker.

17.

Għal raġunijiet ta’ konvenjenza fl-espożizzjoni, ser nipproponi risposti fil-qosor separati għad-domandi preliminari kollha tad-digriet tar-rinviju, filwaqt li jiena konxju b’xi sovrappożizzjonijiet kunċettwali, peress li l-ewwel erbgħa huma kollha intiżi biex jidentifikaw il-kundizzjonijiet ta’ imputabbiltà tal-ksur tad-dispożizzjonijiet tar-Regolament lill-kontrollur responsabbli għad-data personali ( 5 ) u l-ħames waħda tikkonċerna b’mod iktar preċiż il-kunċett ta’ dannu morali għall-finijiet tal-kumpens ( 6 ).

18.

Ninnota li bħalissa hemm diversi kawżi pendenti quddiem il-Qorti tal-Ġustizzja fir-rigward tal-Artikolu 82 tar-Regolament u li, f’waħda minnhom, diġà nqraw il-konklużjonijiet tal-Avukat Ġenerali li ser nieħu inkunsiderazzjoni f’din l-analiżi ( 7 ).

19.

Qabel ma neżamina d-domandi magħmula, inqis li huwa opportun li nagħmel xi kunsiderazzjonijiet preliminari dwar il-prinċipji u l-għanijiet tar-Regolament li ser ikunu utli għas-soluzzjoni tad-domandi preliminari individwali.

20.

L-Artikolu 24 tar-Regolament jistabbilixxi f’termini ġenerali l-obbligu, għall-kontrollur responsabbli għad-data personali, li jimplimenta miżuri tekniċi u organizzattivi xierqa sabiex jiġi żgurat li l-ipproċessar tad-data personali jkun konformi mar-Regolament innifsu u li jkun jista’ juri dan, filwaqt li l-Artikolu 32 jistabbilixxi b’mod iktar speċifiku l-istess obbligu fir-rigward tas-sigurtà tal-ipproċessar. L-Artikoli 24 u 32 jidħlu b’mod iktar speċifiku f’dak li huwa diġà previst fl-Artikolu 5(2), li jintroduċi, preċiżament fost il-“prinċipji relatati mal-ipproċessar ta’ data personali”, il-“prinċipju tar-responsabbiltà”. Dan isegwi b’mod loġiku u jikkumplimenta l-“prinċipju tal-integrità u kunfidenzjalità” previst fl-Artikolu 5(1)(f) u t-tnejn li huma għandhom jinqraw fid-dawl tal-approċċ ibbażat fuq ir-riskju li fuqu huwa bbażat ir-Regolament.

21.

Il-prinċipju tar-responsabbiltà huwa wieħed mill-pilastri tar-Regolament u huwa wieħed mill-innovazzjonijiet l-iktar sinjifikattivi tiegħu. Huwa jafda lill-kontrollur responsabbli għad-data personali bir-responsabbiltà li jieħu miżuri proattivi sabiex jiżgura l-konformità mar-Regolament u jkun lest li jagħti prova tagħha ( 8 ).

22.

Fid-duttrina jissemma bdil kulturali veru u proprju bħala effett tal-“portata globali tal-obbligu tar-responsabbiltà” [traduzzjoni libera] ( 9 ). Ma hijiex tant l-osservanza formali tal-obbligu legali jew tal-miżura li hija inkwistjoni, iżda t-totalità tal-istrateġija azjendali adottata sabiex il-kontrollur responsabbli għad-data personali jiġi eskluż minħabba l-konformità mar-regola tal-protezzjoni tad-data.

23.

Il-miżuri tekniċi u organizzattivi meħtieġa mill-prinċipju tar-responsabbiltà għandhom ikunu “xierqa” fid-dawl tal-fatturi indikati fl-Artikolu 24: in-natura, il-kuntest ta’ applikazzjoni, il-kuntest u l-għanijiet tal-ipproċessar u l-probabbiltà u l-gravità tar-riskji għad-drittijiet u għal-libertajiet tal-persuni fiżiċi.

24.

Għaldaqstant, l-Artikolu 24 jimponi n-natura xierqa tal-miżuri sabiex tkun tista’ tintwera l-konformità tal-ipproċessar mal-prinċipji u mad-dispożizzjonijiet tar-Regolament.

25.

L-Artikolu 32, min-naħa tiegħu, jistabbilixxi l-prinċipju tar-responsabbiltà fuq il-miżuri konkreti li għandhom jittieħdu sabiex jiġi żgurat “livell ta’ sigurtà xieraq għar-riskju”. B’dan il-mod, huwa jżid mal-fatturi diġà previsti li għandhom jittieħdu inkunsiderazzjoni fit-tfassil tal-miżuri tekniċi u organizzattivi, il-livell tat-teknika u l-ispejjeż ta’ implimentazzjoni.

26.

Il-kunċett ta’ adegwatezza jirrikjedi li s-soluzzjonijiet adottati sabiex jiġu żgurati s-sistemi informatiċi jissodisfaw livell ta’ aċċettabbiltà, kemm f’termini tekniċi (rilevanza tal-miżuri) kif ukoll kwalitattivi (effiċjenza tal-protezzjoni). Sabiex tiġi żgurata l-osservanza tal-prinċipji ta’ neċessità, ta’ rilevanza u ta’ proporzjonalità, l-ipproċessar għandu jkun, mhux biss xieraq, iżda wkoll sodisfaċenti fir-rigward tal-għanijiet imfittxija. U f’din il-loġika, il-prinċipju ta’ minimizzazzjoni għandu rwol deċiżiv, li permezz tiegħu l-istadji kollha tal-ipproċessar tad-data għandhom dejjem ikunu intiżi sabiex jimminimizzaw ir-riskji ta’ sigurtà ( 10 ).

27.

Ir-Regolament kollu huwa mmirat lejn il-prevenzjoni tar-riskju u r-responsabbiltà tal-kontrollur responsabbli għad-data personali u, għalhekk, lejn approċċ teleoloġiku li jimmira lejn l-aħjar riżultat possibbli f’termini ta’ effettività, jiġifieri ferm ’il bogħod mil-loġika formalistika marbuta mas-sempliċi obbligu li jiġu osservati proċeduri speċifiċi għall-ħelsien mir-responsabbiltà ( 11 ).

28.

L-Artikolu 24 ma jinkludix elenku eżawrjenti ta’ miżuri “adegwati”: wieħed għandu jipproċedi għal evalwazzjoni ta’ każ b’każ. Dan huwa konformi mal-filosofija tar-Regolament li tispjega kif kien ippreferut li l-proċeduri li għandhom jiġu adottati jintgħażlu fuq il-bażi ta’ evalwazzjoni bir-reqqa tas-sitwazzjoni speċifika sabiex ikunu jistgħu jkunu effettivi kemm jista’ jkun ( 12 ).

29.

Permezz tal-ewwel domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikoli 24 u 32 tar-Regolament għandhomx jiġu interpretati fis-sens li l-okkorrenza ta’ “ksur ta’ data personali”, kif iddefinita fl-Artikolu 4(12), hija biżżejjed waħedha sabiex jiġi konkluż li l-miżuri tekniċi u organizzattivi implimentati mill-kontrollur responsabbli għad-data personali ma kinux “adegwati” sabiex jiżguraw il-protezzjoni tad-data.

30.

Mill-kliem tal-Artikoli 24 u 32 tar-Regolament jirriżulta li meta l-kontrollur responsabbli għad-data personali jagħżel il-miżuri tekniċi u organizzattivi li huwa obbligat jimplimenta sabiex jiżgura l-osservanza tar-Regolament innifsu, huwa għandu jieħu inkunsiderazzjoni numru ta’ fatturi ta’ evalwazzjoni elenkati f’dawn l-artikoli u mfakkra iktar ’il fuq.

31.

Il-kontrollur responsabbli għad-data personali għandu ċertu marġni ta’ manuvra fir-rigward tad-determinazzjoni tal-miżuri l-iktar xierqa fid-dawl tas-sitwazzjoni speċifika tiegħu, iżda din l-għażla hija madankollu suġġetta għall-possibbiltà ta’ stħarriġ ġudizzjarju tal-konformità tal-miżuri applikati għall-obbligi u għall-għanijiet kollha tar-Regolament innifsu.

32.

B’mod partikolari, fir-rigward tal-miżuri ta’ sigurtà, l-Artikolu 32(1) jimponi fuq il-kontrollur responsabbli għad-data personali l-obbligu li jieħu inkunsiderazzjoni l-“livell tekniku”. Dan jimplika limitazzjoni tal-livell teknoloġiku ta’ miżuri li għandhom jiġu implimentati għal dak li huwa raġonevolment possibbli fil-mument li fih jiġu adottati l-miżuri: in-natura idonea tal-miżura għall-prevenzjoni tar-riskju għalhekk tiġi mqabbla mas-soluzzjonijiet li joffri l-livell ta’ żvilupp tax-xjenza, tat-teknika, tat-teknoloġija u tar-riċerka attwali, anki bit-teħid inkunsiderazzjoni tal-ispejjeż tal-implimentazzjoni, kif ser jintwera.

33.

Il-miżuri jistgħu jkunu “xierqa” f’mument partikolari u, minkejja dan, jistgħu jiġu evitati permezz ta’ ċiberkriminali bl-użu ta’ strumenti sofistikati ħafna li jistgħu jiksru saħansitra miżuri ta’ sigurtà li jikkonformaw mal-livell tekniku.

34.

Barra minn hekk, jidher illoġiku li jitqies li l-intenzjoni tal-leġiżlatur tal-Unjoni Ewropea kienet li jimponi fuq il-kontrollur responsabbli għad-data personali l-obbligu li jipprevjeni kull ksur ta’ data personali, indipendentement mid-diliġenza fit-tfassil tal-miżuri ta’ sigurtà ( 13 ).

35.

Kif indikat iktar ’il fuq, ir-Regolament japplika perspettiva differenti mill-awtomatiżmu, li jeħtieġ responsabbiltà ogħla tal-kontrollur responsabbli għad-data personali, li madankollu ma tistax twassal għall-impossibbiltà għal dan tal-aħħar li juri li huwa ssodisfa l-obbligi tiegħu b’mod korrett.

36.

Barra minn hekk, l-Artikolu 32(1) jipprevedi t-teħid inkunsiderazzjoni, kif intqal diġà, tal-“ispejjeż tal-implimentazzjoni” tal-miżuri tekniċi u organizzattivi inkwistjoni. Minn dan isegwi li l-evalwazzjoni tan-natura adegwata ta’ dawn il-miżuri għandha tkun ibbażata fuq ibbilanċjar bejn l-interessi tal-persuna kkonċernata, li ġeneralment ikunu intiżi għal livell ta’ protezzjoni ogħla, u l-interessi ekonomiċi u l-kapaċità teknoloġika tal-kontrollur responsabbli għad-data personali, li kultant ikunu intiżi għal livell ta’ protezzjoni iktar baxx. Dan l-ibbilanċjar għandu josserva r-rekwiżiti tal-prinċipju ġenerali ta’ proporzjonalità.

37.

Ma’ dan għandu jiżdied, f’perspettiva ta’ interpretazzjoni sistematika, li l-leġiżlatur jipprevedi l-possibbiltà li jseħħ ksur tas-sistemi; l-Artikolu 32(1)(c) jinkludi fost il-miżuri ssuġġeriti l-kapaċità ta’ restawr f’waqtu tad-disponibbiltà u l-aċċess għal data personali f’każ ta’ inċident fiżiku jew tekniku. Il-previżjoni, fost il-miżuri ta’ sigurtà li jiżguraw livell ta’ sigurtà adattat għar-riskju ta’ tali kapaċità, tkun inutli jekk jitqies li s-sempliċi ksur tas-sistemi jikkostitwixxi fih innifsu l-prova tal-inadegwatezza ta’ dawn il-miżuri.

38.

Permezz tat-tieni domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, liema għandu jkun l-għan u l-portata tal-istħarriġ ġudizzjarju meta hija tivverifika n-natura adegwata tal-miżuri tekniċi u organizzattivi implimentati mill-kontrollur responsabbli għad-data personali fis-sens tal-Artikolu 32 tar-Regolament.

39.

Minħabba l-varjabbiltà tas-sitwazzjonijiet li jistgħu jinqalgħu fil-prattika, ir-Regolament, kif intqal, ma jistabbilixxix dispożizzjonijiet vinkolanti għad-determinazzjoni tal-miżuri tekniċi u organizzattivi li l-kontrollur responsabbli għad-data personali għandu jieħu sabiex jissodisfa r-rekwiżiti tar-Regolament innifsu. L-adegwatezza tal-miżuri adottati għandha għalhekk tiġi evalwata in concreto, billi jiġi vverifikat jekk il-miżuri speċifiċi kinux ta’ natura li jipprevjenu b’mod raġonevoli r-riskju u jimminimizzaw l-effetti negattivi tal-ksur.

40.

Għalkemm huwa mingħajr dubju minnu li l-għażla u l-implimentazzjoni ta’ dawn il-miżuri jaqgħu taħt l-evalwazzjoni suġġettiva tal-kontrollur responsabbli għad-data personali, peress li l-miżuri msemmija fir-Regolament huma biss eżempji, l-eżami tal-qorti ma jistax ikun limitat għall-istħarriġ tal-konformità min-naħa tal-kontrollur responsabbli għad-data personali tal-obbligi li jirriżultaw mill-Artikoli 24 u 32, jiġifieri li jkun ippreveda (formalment) ċerti miżuri tekniċi u organizzattivi. Huwa għandu jwettaq analiżi konkreta tal-kontenut ta’ dawn il-miżuri, tal-mod kif ġew applikati u tal-effetti prattiċi tagħhom, abbażi tal-provi li huwa għandu u taċ-ċirkustanzi tal-kawża ineżami. Kif osserva b’mod utli l-Gvern Portugiż, “il-mod li bih huwa wettaq l-obbligi tiegħu jidher inseparabbli mill-kontenut tal-miżuri meħuda, sabiex juri li, fid-dawl tal-ipproċessar speċifiku tad-data (in-natura tagħha, il-portata tagħha, il-kuntest u l-għanijiet), tal-livell tat-teknika tat-teknoloġiji disponibbli u tal-ispejjeż tagħhom, kif ukoll tar-riskji għad-drittijiet u għal-libertajiet taċ-ċittadini, il-kontrollur responsabbli għad-data personali ħa l-miżuri kollha neċessarji u xierqa sabiex jiżgura livell ta’ sigurtà adegwat għar-riskju sottostanti” ( 14 ).

41.

L-istħarriġ ġudizzjarju għandu, għalhekk, jieħu inkunsiderazzjoni l-fatturi kollha li jinsabu fl-Artikoli 24 u 32 li, kif diġà għidt, jelenkaw sensiela ta’ kriterji sabiex tiġi evalwata n-natura xierqa u jipprovdu eżempji ta’ miżuri li jistgħu jitqiesu xierqa. Barra minn hekk, kif enfasizzaw il-Kummissjoni Ewropea u l-Istati Membri kollha li ppreżentaw osservazzjonijiet fuq it-tieni talba, l-Artikolu 32(1) sa (3) jenfasizza l-ħtieġa li “jiżguraw livell ta’ sigurtà xieraq għar-riskju”, billi jindika fatturi oħra rilevanti għal dan l-għan, bħall-adozzjoni eventwali mill-kontrollur responsabbli għad-data personali ta’ kodiċi ta’ kondotta approvat jew ta’ sistema ta’ ċertifikazzjoni approvata, kif jipprevedu rispettivament l-Artikoli 40 u 42 tar-Regolament.

42.

L-adozzjoni ta’ kodiċijiet ta’ kondotta jew ta’ sistemi ta’ ċertifikazzjoni tista’ tikkostitwixxi element ta’ evalwazzjoni utli għall-finijiet tal-osservanza tal-oneru tal-prova u tal-istħarriġ ġudizzjarju relatat. Bil-preċiżazzjoni, madankollu, li ma huwiex biżżejjed li l-kontrollur responsabbli għad-data personali jaderixxi ma’ kodiċi ta’ kondotta iżda huwa għandu l-obbligu li jipprova li huwa adotta konkretament il-miżuri previsti minnu, skont il-prinċipju ta’ responsabbiltà. Min-naħa l-oħra, iċ-ċertifikazzjoni tikkostitwixxi “prova fiha nnifisha tal-konformità mar-regolament tal-ipproċessar imwettaq anki jekk tista’ tiġi kontradetta fil-prattika” ( 15 ).

43.

Finalment għandu jiġi osservat li dawn il-miżuri għandhom jiġu eżaminati mill-ġdid u aġġornati jekk neċessarju, skont l-Artikolu 24(1). U anki dan għandu jkun suġġett għal evalwazzjoni tal-qorti nazzjonali. L-Artikolu 32(1) tar-Regolament ( 16 ) fil-fatt jimponi fuq il-kontrollur responsabbli għad-data personali obbligu ta’ kontroll u ta’ sorveljanza kostanti, preventiv u suċċessiv għall-attivitajiet ta’ pproċessar, iżda wkoll ta’ manutenzjoni u ta’ aġġornament possibbli tal-miżuri adottati, bl-għan kemm li jiġi evitat il-ksur kif ukoll, jekk ikun il-każ, li jiġu limitati l-effetti tiegħu.

44.

Intendi, madankollu, li neskludi l-possibbiltà li s-sentenza sussegwenti tinkludi elenku ta’ elementi sostanzjali, bħal dak issuġġerit mill-Gvern Portugiż ( 17 ). Dan jista’ joffri lok għal interpretazzjonijiet kuntrastanti peress li ovvjament l-elenku ma jista’ qatt ikun eżawrjenti.

45.

Permezz tal-ewwel parti tat-tielet domanda tagħha, il-qorti tar-rinviju essenzjalment titlob lill-Qorti tal-Ġustizzja sabiex tiddetermina jekk, fid-dawl tal-prinċipju ta’ responsabbiltà stabbilit fl-Artikolu 5(2) u fl-Artikolu 24, moqri flimkien mal-premessa 74 ( 18 ) tar-Regolament, fil-kuntest ta’ azzjoni għad-danni skont l-Artikolu 82, l-obbligu probatorju tal-adegwatezza tal-miżuri tekniċi u organizzattivi skont l-Artikolu 32 jinsabx fuq il-kontrollur responsabbli għad-data personali.

46.

Il-kunsiderazzjonijiet preċedenti jippermettuli nirrispondi fil-qosor għal din id-domanda fl-affermattiv.

47.

L-ittra tal-liġi, il-kuntest u l-għanijiet tar-Regolament jimmilitaw, fil-fatt, b’mod inekwivoku favur l-obbligu probatorju li jaqa’ fuq il-kontrollur responsabbli għad-data personali.

48.

Mill-formulazzjoni ta’ diversi dispożizzjonijiet tar-Regolament jirriżulta li l-kontrollur responsabbli għad-data personali għandu jkun “jista’” jew “kapaċi”“juri” l-osservanza tal-obbligi previsti mir-Regolament u, b’mod partikolari, li jkun wettaq miżuri adegwati għal dan l-għan, kif indikat fil-premessa 74, fl-Artikolu 5(2), u fl-Artikolu 24(1). Kif jenfasizza l-Gvern Portugiż, il-premessa 74 imsemmija tispeċifika li l-obbligu probatorju li b’hekk tqiegħed fuq il-kontrollur responsabbli għad-data personali għandu jinkludi l-prova tal-“effettività tal-miżuri” inkwistjoni.

49.

Din l-interpretazzjoni letterali jidhirli li hija sostnuta mill-kunsiderazzjonijiet prattiċi u teleoloġiċi li ġejjin.

50.

Fir-rigward tat-tqassim tal-oneru probatorju, fil-kuntest ta’ azzjoni għad-danni bbażata fuq l-Artikolu 82, il-persuna kkonċernata li tkun ressqet kawża kontra l-kontrollur responsabbli għad-data personali għandha tipprova, fl-ewwel lok, li kien hemm ksur tar-Regolament, fit-tieni lok, li hija sofriet dannu u, fit-tielet lok, li teżisti rabta kawżali bejn iż-żewġ elementi preċedenti, kif ġie rrilevat fl-osservazzjonijiet bil-miktub kollha dwar il-ħames domanda preliminari. Dawn huma tliet kundizzjonijiet kumulattivi, kif jirriżulta wkoll mill-ġurisprudenza stabbilita tal-Qorti tal-Ġustizzja u tal-Qorti Ġenerali, fil-kuntest tar-responsabbiltà mhux kuntrattwali tal-Unjoni ( 19 ).

51.

Madankollu, inqis li l-obbligu li r-rikorrent juri l-eżistenza ta’ ksur tar-Regolament ma jistax iwassal biex ikun meħtieġ li jintwera kif il-miżuri tekniċi u organizzattivi implimentati mill-kontrollur ma humiex adegwati, skont l-Artikoli 24 u 32.

52.

Kif tenfasizza l-Kummissjoni, il-produzzjoni ta’ dawn il-provi hija ħafna drabi kważi impossibbli fil-prattika, peress li ġeneralment il-persuni kkonċernati la jkollhom għarfien suffiċjenti sabiex ikunu jistgħu janalizzaw dawn il-miżuri, u lanqas aċċess għall-informazzjoni kollha fil-pussess tal- kontrollur responsabbli għad-data personali inkwistjoni, b’mod partikolari fir-rigward tal-metodi applikati sabiex tiġi żgurata s-sigurtà ta’ dan l-ipproċessar. Barra minn hekk, il-kontrollur responsabbli għad-data personali jista’ wkoll isostni li r-rifjut tiegħu li jiżvela dawn il-fatti lis-suġġetti tad-data huwa bbażat fuq ir-raġuni leġittima li ma jippubblikax l-affarijiet interni tiegħu, jew saħansitra elementi koperti mis-sigriet professjonali, b’mod partikolari għal raġunijiet ta’ sigurtà.

53.

Għalhekk, jekk jitqies li l-obbligu probatorju jaqa’ fuq il-persuna kkonċernata, ir-riżultat prattiku jkun li d-dritt għal azzjoni previst fl-Artikolu 82(1) jitlef parti kbira mill-portata tiegħu. Fil-fehma tiegħi, dan ma jkunx konformi mal-intenzjonijiet tal-leġiżlatur tal-UE, li, meta adotta dan ir-Regolament, ipprova jsaħħaħ id-drittijiet tas-suġġetti tad-data u l-obbligi tal-kontrolluri responsabbli għad-data personali, meta mqabbel mad-Direttiva 95/46 li huwa ssostitwixxa. Huwa għalhekk iktar loġiku, u ġuridikament sostenibbli, li l-kontrollur responsabbli għad-data personali jkun obbligat juri, fil-kuntest tad-difiża tiegħu kontra azzjoni għad-danni, li huwa osserva l-obbligi li jirriżultaw mill-Artikoli 24 u 32 ta’ dan ir-Regolament billi adotta miżuri effettivament xierqa.

54.

Permezz tat-tieni parti tat-tielet domanda tagħha, il-qorti tar-rinviju tistaqsi lill-Qorti tal-Ġustizzja, essenzjalment, jekk perizja ġudizzjarja tistax titqies bħala prova neċessarja u suffiċjenti sabiex tiġi evalwata n-natura adegwata tal-miżuri tekniċi u organizzattivi implimentati mill-kontrollur responsabbli għad-data personali f’sitwazzjoni fejn l-aċċess u l-iżvelar mhux awtorizzati tad-data personali huma r-riżultat ta’ attività ta’ hacking.

55.

Kif enfasizzaw (essenzjalment) anki l-Gvern Bulgaru u dak Taljan, l-Irlanda u l-Kummissjoni, inqis li r-risposta għal dawn id-domandi għandha tkun ibbażata fuq il-ġurisprudenza stabbilita tagħna li, skont il-prinċipju tal-awtonomija proċedurali, fin-nuqqas ta’ regoli tal-Unjoni f’dan il-qasam, huwa l-ordinament ġuridiku intern ta’ kull Stat Membru li għandu jirregola l-modalitajiet proċedurali tal-proċeduri ġudizzjarji intiżi biex jissalvagwardjaw id-drittijiet tal-persuni, bil-kundizzjoni, madankollu, li dawn ir-regoli ma jkunux, f’sitwazzjonijiet irregolati mid-dritt tal-Unjoni, inqas favorevoli minn dawk li jirregolaw sitwazzjonijiet simili suġġetti għad-dritt nazzjonali (prinċipju ta’ ekwivalenza) u ma jirrendux impossibbli fil-prattika jew eċċessivament diffiċli l-eżerċizzju tad-drittijiet mogħtija mid-dritt tal-Unjoni (prinċipju ta’ effettività).

56.

F’dan il-każ, nosserva li r-Regolament ma jinkludi ebda dispożizzjoni intiża biex jiġu ddeterminati l-metodi ta’ prova ammissibbli u s-saħħa probatorja tagħhom, b’mod partikolari fir-rigward tal-kumpilazzjoni ta’ xhieda (bħal perizja) li l-qrati nazzjonali jistgħu jew għandhom jordnaw sabiex jevalwaw jekk kontrollur responsabbli għad-data personali ħax miżuri xierqa skont dan ir-Regolament. Għalhekk inqis li, fl-assenza ta’ regoli armonizzati f’dan il-qasam, huwa l-ordinament ġuridiku intern ta’ kull Stat Membru li għandu jiddetermina dawn il-modalitajiet proċedurali, mingħajr preġudizzju għall-osservanza tal-prinċipji ta’ ekwivalenza u ta’ effettività.

57.

Dan il-“prinċipju ta’ effettività”, li jimplika li qorti indipendenti għandha twettaq evalwazzjoni imparzjali, jista’ jiġi kompromess, jekk l-aġġettiv “suffiċjenti” għandu jinftiehem fis-sens li jidhirli li qiegħda tattribwixxilu l-qorti tar-rinviju, jiġifieri li tkun tista’ awtomatikament tiddeduċi minn perizja li l-miżuri meħuda mill-kontrollur responsabbli għad-data personali huma adegwati ( 20 ).

58.

Permezz tar-raba’ domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 82(3) tar-Regolament għandux jiġi interpretat fis-sens li, fil-każ ta’ ksur ta’ dan ir-Regolament (li jikkonsisti, bħal fil-kawża ineżami, fl-“iżvelar mhux awtorizzat” jew fl-“aċċess mhux awtorizzat” għal data personali fis-sens tal-Artikolu 4(12)) imwettaq minn persuni li ma humiex impjegati tal-kontrollur responsabbli għad-data personali u li ma humiex taħt il-kontroll ta’ dan tal-aħħar, dan jikkostitwixxix avveniment li bl-ebda mod ma huwa imputabbli lill-kontrollur responsabbli għad-data personali, u għalhekk huwiex raġuni għal eżenzjoni mir-responsabbiltà tiegħu, fis-sens tal-Artikolu 82(3).

59.

Ir-risposta għad-domanda tirriżulta linearment minn dak indikat iktar ’il fuq dwar il-filosofija ġenerali tar-Regolament: ma humiex previsti awtomatiżmi u għalhekk is-sempliċi fatt li l-iżvelar jew l-aċċess mhux awtorizzati għal data personali seħħew minħabba persuni esterni għall-isfera ta’ kontroll tal-kontrollur responsabbli għad-data personali ma jeżentax lil dan tal-aħħar mir-responsabbiltà tiegħu.

60.

Fl-ewwel lok, b’mod letterali, għandu jiġi nnotat li la l-Artikolu 82(3) u lanqas il-premessa 146 ma jistabbilixxu kundizzjonijiet partikolari li jistgħu jiġu ssodisfatti sabiex il-kontrollur responsabbli għad-data personali jkun eżentat mir-responsabbiltà tiegħu, ħlief li jintwera li “bl-ebda mod m’huwa responsabbli għall-avveniment li wassal għad-dannu”. Minn din il-formulazzjoni jirriżulta, minn naħa, li l-kontrollur responsabbli għad-data personali jista’ jiġi eżentat mir-responsabbiltà tiegħu biss jekk juri li l-avveniment li kkawża d-dannu inkwistjoni ma huwiex imputabbli lilu u, min-naħa l-oħra, li l-livell ta’ prova meħtieġ minn din id-dispożizzjoni huwa għoli, minħabba l-użu tat-terminu “bl-ebda mod”, kif enfasizzat il-Kummissjoni ( 21 ).

61.

Is-sistema ta’ responsabbiltà prevista fl-Artikolu 82 u, b’mod iktar ġenerali fir-Regolament kollu, kienet is-suġġett ta’ dibattitu wiesa’ fid-duttrina tad-diversi Stati Membri. Fil-fatt, din tinkludi elementi tradizzjonali relatati mar-responsabbiltà mhux kuntrattwali iżda wkoll elementi li, fl-istruttura tad-dispożizzjonijiet, iqarrbuha lejn ir-responsabbiltà kuntrattwali jew saħansitra lejn forma ta’ responsabbiltà oġġettiva, minħabba l-perikolożità intrinsika tal-attività ta’ pproċessar tad-data. Dan ma huwiex il-lok fejn wieħed jidħol fl-artikolu dibattut iżda, fil-fehma tiegħi, l-Artikolu 82 ma jidhirx li jidentifika sistema ta’ responsabbiltà oġġettiva ( 22 ).

62.

Id-dannu kkawżat minn ksur ta’ data personali jista’ jkun il-konsegwenza, li ġġorr magħha r-responsabbiltà, tan-nuqqas ta’ adozzjoni tal-miżuri tekniċi u organizzattivi raġonevoli u, fi kwalunkwe każ, xierqa għall-prevenzjoni tiegħu, meħuda inkunsiderazzjoni r-riskji għad-drittijiet u l-libertajiet tal-individwi relatati mal-attività tal-ipproċessar. Dawn ir-riskji jagħmlu l-obbligu ta’ prevenzjoni u ta’ evitar ta’ dannu iktar sever, billi jestendu d-dmir ta’ diliġenza tal-awtur tal-ipproċessar. Konsegwentement, mill-qari konġunt tal-obbligi ta’ aġir li għandhom il-kontrolluri responsabbli għad-data personali u tad-dispożizzjoni dwar il-prova liberatorja imposta fuq dak li wettaq id-dannu, huwa possibbli li jinsilet argument favur ir-rikonoxximent tan-natura ta’ responsabbiltà aggravata bil-preżunzjoni tar-responsabbiltà minħabba l-ipproċessar illegali ta’ data personali skont l-Artikolu 82 tar-Regolament ( 23 ).

63.

Minn dan tirriżulta l-possibbiltà għall-kontrollur responsabbli għad-data personali li jipprovdi prova liberatorja (mhux awtorizzata fil-kuntest tar-responsabbiltà oġġettiva). F’dak li jirrigwarda l-artikolazzjoni tal-obbligu probatorju, l-Artikolu 82(3) tar-Regolament jipprovdi sistema favorevoli għall-vittma, billi jipprovdi forma ta’ inverżjoni tal-obbligu probatorju tar-responsabbiltà ta’ dak li wettaq id-dannu ( 24 ), b’simetrija sħiħa mal-imsemmija inverżjoni tal-obbligu probatorju f’dak li jirrigwarda n-natura xierqa tal-miżuri adottati. Il-leġiżlatur b’hekk juri li huwa konxju tal-perikoli inerenti fl-aċċettazzjoni ta’ distribuzzjoni differenti tal-obbligu probatorju; li, billi qiegħed fuq il-persuna fiżika leża l-prova tar-responsabbiltà tal-persuna li wettqet id-dannu, dan iwassal għal piż eċċessiv fuq il-pożizzjoni tagħha u, għaldaqstant, sabiex tiġi kompromessa, fil-fatt, in-natura effettiva tal-protezzjoni kumpensatorja, f’kuntest ta’ regoli marbuta mal-użu ta’ teknoloġiji ġodda. Fil-fatt, jista’ jkun partikolarment oneruż għas-suġġett tad-data li jerġa’ jibni u jkollu aċċess għall-modalitajiet ta’ produzzjoni tad-dannu u, konsegwentement, li jipprova l-ħtija tal-kontrollur responsabbli għad-data personali. Għall-kuntrarju, il-kontrollur responsabbli għad-data personali jinsab fl-aħjar pożizzjoni sabiex joffri l-prova liberatorja sabiex juri li l-fatt dannuż ma huwa bl-ebda mod imputabbli lilu ( 25 ).

64.

Il-kontrollur responsabbli għad-dannu għandu juri wkoll, f’konformità mal-prinċipju ta’ responsabbiltà deskritt iktar ’il fuq, li għamel dak kollu possibbli sabiex jiġu rrestawrati d-disponibbiltà u l-aċċess għad-data personali.

65.

Sabiex nerġa’ lura għad-domanda tal-qorti tar-rinviju, fuq il-bażi ta’ dak li ntqal iktar ’il fuq dwar in-natura tar-responsabbiltà tal-kontrollur responsabbli għad-data personali, jekk, kif intqal, il-kontrollur responsabbli għad-data personali jista’ jiġi eżentat mir-responsabbiltà billi juri li l-ksur huwa dovut għal fatt li ma huwa imputabbli lilu bl-ebda mod, is-sempliċi fatt li l-avveniment ġie kkawżat minn persuna barra mill-isfera ta’ kontroll tiegħu ma jistax jitqies bħala tali.

66.

Meta kontrollur responsabbli għad-data personali jkun vittma ta’ attakk minn ċiberkriminali, l-avveniment li kkawża d-dannu jista’ jitqies li ma huwiex imputabbli lill-kontrollur responsabbli għad-data personali, iżda ma huwiex eskluż li n-negliġenza tal-kontrollur responsabbli għad-data personali tkun tat lok għall-attakk inkwistjoni, billi tkun iffaċilitatu minħabba l-assenza jew l-inadegwatezza tal-miżuri ta’ sigurtà tad-data personali li dan tal-aħħar huwa obbligat jimplimenta. Dawn huma evalwazzjonijiet fattwali, speċifiċi għal kull każ, li jitħallew f’idejn il-qorti nazzjonali adita, fid-dawl tal-provi prodotti quddiemha.

67.

Barra minn hekk, hija esperjenza komuni li l-attakki esterni għas-sistemi tal-persuni pubbliċi jew privati li għandhom ammont kbir ta’ data personali huma ħafna iktar frekwenti minn attakki interni. Il-kontrollur responsabbli għad-data personali għandu, għalhekk, jistabbilixxi miżuri xierqa sabiex jindirizzaw b’mod partikolari l-attakki esterni.

68.

Fl-aħħar nett, minn perspettiva teleoloġika, għandu jiġi nnotat li r-Regolament għandu l-għan ta’ livell għoli ta’ protezzjoni. F’dan ir-rigward, il-Qorti tal-Ġustizzja diġà enfasizzat li mill-Artikolu 1(2) tar-Regolament, moqri flimkien mal-premessi 10, 11 u 13 tiegħu, jirriżulta li dan ir-regolament jimponi fuq l-istituzzjonijiet, il-korpi, l-uffiċċji u l-aġenziji tal-Unjoni, kif ukoll fuq l-awtoritajiet kompetenti tal-Istati Membri, il-kompitu li jiżguraw livell għoli ta’ protezzjoni tad-drittijiet żgurati fl-Artikolu 16 TFUE u fl-Artikolu 8 tal-Karta ( 26 ).

69.

Kieku l-Qorti tal-Ġustizzja kellha tagħżel l-interpretazzjoni li tgħid li, meta l-ksur tar-Regolament ikun twettaq minn terz, il-kontrollur responsabbli għad-data personali jkollu jiġi awtomatikament eżentat mir-responsabbiltà tiegħu skont l-Artikolu 82(3), tali interpretazzjoni jkollha effett inkompatibbli mal-għan ta’ protezzjoni mfittex minn dan l-istrument, peress li ddgħajjef id-drittijiet tas-suġġetti tad-data, peress li tillimita din ir-responsabbiltà għall-każijiet fejn il-ksur jitwettaq minn persuni taħt l-awtorità u/jew il-kontroll ta’ dan il-kontrollur responsabbli għad-data personali.

70.

Permezz tal-ħames domanda tagħha, il-qorti nazzjonali titlob lill-Qorti tal-Ġustizzja, essenzjalment, tinterpreta l-kunċett ta’ “dannu morali” (fil-lingwaġġ tar-regolament “mhux materjali”) fis-sens tal-Artikolu 82 tar-Regolament. B’mod partikolari, hija tistaqsi jekk id-dispożizzjonijiet tal-Artikolu 82(1) u (2) tar-Regolament, moqrija flimkien mal-premessi 85 u 146 tiegħu ( 27 ), għandhomx jiġu interpretati fis-sens li, f’sitwazzjoni fejn il-ksur ta’ dan ir-regolament kien jikkonsisti f’aċċess mhux awtorizzat għal data personali u fi żvelar mhux awtorizzat ta’ din id-data minn ċiberkriminali, il-fatt li s-suġġett tad-data jibża’ minn eventwali abbuż fil-futur tad-data personali tiegħu jistax jikkostitwixxi fih innifsu dannu (morali) li jagħti dritt għal kumpens.

71.

La l-Artikolu 82 u lanqas il-premessi relattivi għall-kumpens tad-dannu ma jagħtu risposta ċara għad-domanda iżda minnhom innifishom jistgħu jinsiltu ċerti elementi utli għall-analiżi: id-dannu mhux materjali (jew morali) jista’ jkun is-suġġett ta’ kumpens flimkien ma’ dak materjali (jew patrimonjali); il-ksur tar-regolament ma jwassalx awtomatikament għad-dannu “kkawżat” minnu jew, b’mod iktar preċiż, il-ksur ta’ data personali “jista’ jikkawża” danni fiżiċi, materjali jew mhux materjali lil persuni fiżiċi; il-kunċett ta’ dannu għandu jiġi interpretat “f’sens wiesa’” fid-dawl tal-ġurisprudenza tal-Qorti tal-Ġustizzja, sabiex jirrifletti bis-sħiħ l-għanijiet tar-Regolament; il-kumpens għad-dannu “sostnut” għandu jkun “sħiħ u effettiv”.

72.

Is-sens letterali tad-dispożizzjonijiet tar-Regolament diġà jelimina kwalunkwe suġġeriment possibbli ta’ danni in re ipsa: l-għan prinċipali tar-responsabbiltà ċivili previst mir-Regolament huwa dak li s-suġġett tad-data jingħata sodisfazzjon, preċiżament permezz ta’ kumpens “sħiħ u effettiv” tad-dannu sostnut u, għalhekk li jiġi rrestawrat il-bilanċ tas-sitwazzjoni legali li ġiet mibdula b’mod negattiv minħabba l-ksur tad-dritt ( 28 ).

73.

Min-naħa l-oħra, anki mill-perspettiva sistematika, bħal fid-dritt tal-kompetizzjoni, ir-Regolament jipprevedi żewġ pilastri ta’ protezzjoni: wieħed huwa ta’ natura pubblika, billi jipprevedi sanzjonijiet fil-każ ta’ ksur tad-dispożizzjonijiet tar-Regolament, wieħed ta’ natura privata, billi jipprevedi preċiżament responsabbiltà ċivili ta’ natura delittwali, li tista’ tiġi kklassifikata bħala aggravata minħabba responsabbiltà preżunta minħabba l-karatteristiċi, inkluż f’dak li jirrigwarda l-prova liberatorja, imsemmija iktar ’il fuq ( 29 ).

74.

Għalhekk, interpretazzjoni wiesgħa ( 30 ) tal-kunċett ta’ dannu (morali) ma tistax twassal biex jitqies li l-leġiżlatur irrinunzja għar-rekwiżit li “dannu” veru u proprju jkun possibbli.

75.

Il-problema sostantiva reali hija jekk, ladarba tiġi stabbilita l-eżistenza tal-ksur u tar-rabta kawżali, jistax ikun hemm dritt għal kumpens minħabba sempliċi tħassib, ansjetà u biża’ li s-suġġett tad-data jesperjenza fir-rigward ta’ eventwali abbuż fil-futur mid-data personali, meta tali abbuż ma jkunx ġie identifikat u/jew meta s-suġġett tad-data ma jkunx ġarrab dannu ulterjuri.

76.

Skont ġurisprudenza stabbilita tal-Qorti tal-Ġustizzja, il-kunċetti ta’ dispożizzjoni tad-dritt tal-Unjoni, li ma tirreferix espressament għad-dritt tal-Istati Membri sabiex jiġu ddeterminati s-sens u l-portata tagħha, għandhom normalment jingħataw interpretazzjoni awtonoma u uniformi fl-Unjoni kollha, li għandha tiġi mfittxija billi jittieħdu inkunsiderazzjoni l-formulazzjoni letterali tad-dispożizzjoni inkwistjoni, il-kuntest tagħha, l-għanijiet imfittxija mill-att li tagħmel parti minnu u l-oriġini ta’ din id-dispożizzjoni ( 31 ).

77.

Il-Qorti tal-Ġustizzja, kif imfakkar mill-Avukat Ġenerali Campos Sánchez-Bordona ( 32 ), ma elaboratx definizzjoni ġenerali ta’ “dannu”, applikabbli b’mod indistint fi kwalunkwe kuntest ( 33 ). Fir-rigward tad-danni morali, mill-ġurisprudenza tagħha wieħed jista’ jikkonkludi li: meta wieħed mill-għanijiet tad-dispożizzjoni li għandha tiġi interpretata huwa l-protezzjoni tal-individwu jew ta’ kategorija partikolari ta’ individwi ( 34 ), il-kunċett ta’ dannu għandu jkun wiesa’; skont dan il-kriterju, il-kumpens jestendi għad-dannu mhux materjali, anki jekk ma jissemmiex fid-dispożizzjoni interpretata ( 35 ).

78.

Għalkemm il-ġurisprudenza tal-Qorti tal-Ġustizzja tawtorizza li wieħed jargumenta li, fit-termini esposti iktar ’il fuq, fid-dritt tal-Unjoni jeżisti prinċipju ta’ kumpens għad-danni mhux materjali, naqbel mal-Avukat Ġenerali Campos li minnu ma tistax tiġi dedotta regola li tgħid li kull dannu mhux materjali, irrispettivament mill-gravità tiegħu, jista’ jiġi kkumpensat ( 36 ).

79.

F’dan il-kuntest, hija rilevanti d-distinzjoni bejn id-dannu mhux materjali li jista’ jiġi kkumpensat u l-iżvantaġġi l-oħra li jirriżultaw mill-ksur tal-legalità li, minħabba l-importanza żgħira tagħhom, ma jagħtux neċessarjament dritt għal kumpens ( 37 ).

80.

Il-Qorti tal-Ġustizzja tirrikonoxxi din id-differenza meta tirreferi għall-inkonvenjenzi u għad-diffikultajiet bħala kategorija awtonoma meta mqabbla ma’ dik tad-dannu, f’oqsma li fihom hija tqis li għandhom jiġu kkumpensati ( 38 ).

81.

B’mod empiriku, jista’ jiġi nnotat li kwalunkwe ksur ta’ standard ta’ protezzjoni tad-data personali jwassal għal reazzjoni negattiva mis-suġġett tad-data. Kumpens dovut minħabba s-sempliċi sentiment negattiv fir-rigward tan-nuqqas ta’ osservanza tal-liġi minn ħaddieħor faċilment jitfixkel ma’ kumpens mingħajr dannu li, kif diġà ntqal, ma jidhirx li huwa possibbli fil-kawża ineżami skont l-Artikolu 82 tar-Regolament.

82.

Il-fatt li, f’ċirkustanzi bħal dawk fil-kawża prinċipali, l-abbuż mid-data personali huwa biss potenzjali, u mhux effettiv, huwa biżżejjed sabiex jitqies li s-suġġett tad-data seta’ ġarrab dannu morali kkawżat mill-ksur tar-Regolament, bil-kundizzjoni li s-suġġett tad-data juri li l-biża’ ta’ tali abbuż ikkawżatlu konkretament u speċifikament dannu emozzjonali reali u ċert ( 39 ).

83.

Il-konfini bejn is-sempliċi irritazzjoni (mhux kumpensabbli) u d-dannu mhux materjali veru u proprju (kumpensabbli) huwa mingħajr dubju sottili, iżda l-qrati nazzjonali, li għandhom id-dmir li jiddelimitaw dan il-konfini każ b’każ, għandhom iwettqu evalwazzjoni bir-reqqa tal-elementi kollha mogħtija mis-suġġett tad-data li jitlob il-kumpens, li għandu l-obbligu li jallega bi preċiżjoni, u mhux b’mod ġeneriku, elementi konkreti li jistgħu jwasslu għall-possibbiltà ta’ “dannu morali effettivament sostnut” minħabba l-ksur tad-data personali, anki jekk dan ma jissodisfax livell ta’ gravità partikolari ddeterminat minn qabel: dak li jgħodd huwa li din ma tkunx sempliċiment perċezzjoni suġġettiva, li tista’ tinbidel u li tiddependi anki minn elementi ta’ karattru u personali, iżda n-natura oġġettiva ta’ diffikultà, imqar żgħira iżda li tista’ tiġi ppruvata, fl-isfera fiżika jew psikika tal-individwu jew fir-rigward tal-ħajja tar-relazzjonijiet tiegħu; in-natura tad-data personali involuta u r-rilevanza li din għandha fil-ħajja tas-suġġett tad-data u forsi anki l-perċezzjoni li, f’dak il-mument, ikollha s-soċjetà ta’ dik id-diffikultà partikolari relatata mal-ksur tad-data ( 40 )

84.

Fuq il-bażi tal-kunsiderazzjonijiet kollha preċedenti, nipproponi lill-Qorti tal-Ġustizzja tirrispondi kif ġej għad-domandi preliminari magħmula:

“L-Artikoli 5, 24, 32 u 82 tar-Regolament 2016/679 għandhom jiġu interpretati fis-sens li:

is-sempliċi eżistenza ta’ ‘ksur ta’ data personali’, kif iddefinit fl-Artikolu 4(12), ma hijiex biżżejjed fiha nnifisha sabiex jiġi konkluż li l-miżuri tekniċi u organizzattivi implimentati mill-kontrollur responsabbli għad-data personali ma kinux ‘adegwati’ sabiex jiżguraw il-protezzjoni tad-data inkwistjoni;

meta tivverifika l-adegwatezza tal-miżuri tekniċi u organizzattivi implimentati mill-kontrollur responsabbli għad-data personali, il-qorti nazzjonali adita għandha twettaq stħarriġ li jkopri analiżi konkreta kemm tal-kontenut ta’ dawk il-miżuri kif ukoll tal-mod kif ġew applikati u l-effetti prattiċi tagħhom;

fil-kuntest ta’ azzjoni għad-danni skont l-Artikolu 82 tal-GDPR, il-kontrollur responsabbli għad-data personali għandu l-obbligu li juri n-natura adegwata tal-miżuri li jkun implimenta skont l-Artikolu 32 ta’ dan ir-regolament;

skont il-prinċipju tal-awtonomija proċedurali, huwa l-ordinament ġuridiku intern ta’ kull Stat Membru li għandu jiddetermina l-metodi ta’ prova ammissibbli u s-saħħa probatorja tagħhom, inklużi l-miżuri istruttorji li l-qrati nazzjonali jistgħu jew għandhom jordnaw, sabiex jiġi evalwat jekk kontrollur responsabbli għad-data personali jkunx implimenta miżuri xierqa skont dan ir-regolament, fl-osservanza tal-prinċipji ta’ ekwivalenza u ta’ effettività ddefiniti mid-dritt tal-Unjoni;

il-fatt li l-ksur ta’ dan ir-regolament li kkawża d-dannu inkwistjoni twettaq minn terz ma jikkostitwixxix fih innifsu raġuni sabiex il-kontrollur responsabbli għad-data personali jiġi eżentat mir-responsabbiltà tiegħu u, sabiex jibbenefika mill-eżenzjoni prevista minn din id-dispożizzjoni, il-kontrollur responsabbli għad-data personali għandu juri li l-ksur bl-ebda mod ma huwa imputabbli lilu;

id-dannu li jikkonsisti fil-biża’ mill-possibbiltà ta’ abbuż fil-futur mid-data personali tiegħu, li s-suġġett tad-data jkun wera l-eżistenza tiegħu, jista’ jikkostitwixxi dannu morali li jagħti dritt għal kumpens, bil-kundizzjoni li s-suġġett tad-data juri li jkun ġarrab individwalment dannu emozzjonali reali u ċert, li hija ċirkustanza li l-qorti nazzjonali adita għandha tivverifika f’kull każ partikolari.