–

għal GP, minn H. Schöning, Rechtsanwalt,

–

għal juris GmbH, minn E. Brandt u C. Werkmeister, Rechtsanwälte,

–

għall-Irlanda, minn M. Browne, Chief State Solicitor, A. Joyce u M. Lane, bħala aġenti, assistiti minn D. Fennelly, BL,

–

għall-Kummissjoni Ewropea, minn A. Bouchagiar, M. Heller u H. Kranenborg, bħala aġenti,

1

It-talba għal deċiżjoni preliminari tirrigwarda l-interpretazzjoni tal-Artikolu 82(1) u (3) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-“GDPR”), moqri flimkien mal-Artikoli 29 u 83 ta’ dan ir-regolament kif ukoll fid-dawl tal-premessi 85 u 146 tiegħu.

2

Din it-talba tressqet fil-kuntest ta’ tilwima bejn GP, persuna fiżika, u juris GmbH, kumpannija stabbilita fil-Ġermanja, dwar il-kumpens għad-danni li GP jallega li ġarrab minħabba pproċessar differenti tad-data personali tiegħu li twettaq għal finijiet ta’ marketing, minkejja l-oppożizzjonijiet li huwa kien indirizza lill-imsemmija kumpannija.

3

Il-premessi 85, 146 u 148 tal-GDPR huma fformulati kif ġej:

[…]

[…]

4

L-Artikolu 4 ta’ dan ir-regolament, intitolat “Definizzjonijiet”, jistipula:

“Għall-finijiet ta’ dan ir-Regolament:

[…]

[…]

[…]”

5

L-Artikolu 5 tal-imsemmi regolament jistabbilixxi sensiela ta’ prinċipji relatati mal-ipproċessar ta’ data personali.

6

Taħt il-Kapitolu III tal-GDPR, dwar id-“[d]rittijiet tas-suġġett tad-data”, l-Artikolu 21 tiegħu, intitolat “Dritt ta’ oġġezzjoni”, jipprevedi, fil-paragrafu 3 tiegħu:

“Fejn is-suġġett tad-data joġġezzjona għall-ipproċessar għal għanijiet ta’ kummerċjalizzazzjoni diretta, id-data personali ma għandhiex tibqa’ tiġi pproċessata għal tali għanijiet.”

7

Il-Kapitolu IV ta’ dan ir-regolament, intitolat “Kontrollur u proċessur”, jinkludi l-Artikoli 24 sa 43 tiegħu.

8

L-Artikolu 24 tal-imsemmi regolament, intitolat “Responsabbiltà tal-kontrollur”, jistabbilixxi, fil-paragrafi 1 u 2 tiegħu:

“1.   B’kont meħud tan-natura, l-ambitu, il-kuntest, u l-għanijiet tal-ipproċessar kif ukoll ir-riskji ta’ probabbiltà u gravità li jvarjaw għad-drittijiet u l-libertajiet tal-persuni fiżiċi, il-kontrollur għandu jimplimenta miżuri tekniċi u organizzattivi adatti biex jiżgura u jkun jista’ juri li l-ipproċessar isir f’konformità ma’ dan ir-Regolament. Dawk il-miżuri għandhom jiġu rieżaminati u aġġornati fejn meħtieġ.

2.   Fejn dawn ikunu proporzjonati fir-rigward ta’ attivitajiet ta’ pproċessar, il-miżuri msemmija fil-paragrafu 1 għandhom jinkludu l-implimentazzjoni ta’ politiki adatti dwar il-protezzjoni tad-data mill-kontrollur.”

9

L-Artikolu 25 tal-istess regolament, intitolat “Protezzjoni ta’ data mid-disinn u b’mod awtomatiku”, jipprevedi, fil-paragrafu 1 tiegħu:

“Wara li jikkunsidra l-ogħla livell ta’ żvilupp tekniku, l-ispejjeż tal-implimentazzjoni u n-natura, l-ambitu, il-kuntest u l-finijiet tal-ipproċessar kif ukoll ir-riskji ta’ probabbiltà u gravità li jvarjaw għad-drittijiet u l-libertajiet tal-persuni fiżiċi kkawżati mill-ipproċessar, il-kontrollur għandu, kemm fiż-żmien tad-determinazzjoni tal-mezzi għall-ipproċessar kif ukoll fiż-żmien tal-ipproċessar innifsu, jimplimenta miżuri tekniċi u organizzattivi xierqa, bħall-psewdonimizzazzjoni, li huma maħsuba biex jimplimentaw il-prinċipji tal-protezzjoni tad-data, bħalma hija l-minimizzazzjoni tad-data, b’mod effettiv u biex jintegraw is-salvagwardji meħtieġa fl-ipproċessar sabiex jissodisfa r-rekwiżiti ta’ dan ir-Regolament u jipproteġi d-drittijiet tas-suġġetti tad-data.”

10

L-Artikolu 29 tal-GDPR, intitolat “Ipproċessar taħt l-awtorità tal-kontrollur jew tal-proċessur”, jipprovdi:

“Il-proċessur u kull persuna li taġixxi taħt l-awtorità tal-kontrollur jew tal-proċessur li jkollhom aċċess għal data personali ma għandhomx jipproċessaw dik id-data ħlief fuq istruzzjonijiet mingħand il-kontrollur, sakemm ma jkunux meħtieġa jagħmlu dan taħt il-liġi tal-Unjoni jew ta’ Stat Membru.”

11

L-Artikolu 32 ta’ dan ir-regolament, intitolat “Sigurtà tal-ipproċessar”, jistipula:

“1.   Filwaqt li jikkunsidraw l-ogħla livell ta’ żvilupp tekniku, l-ispejjeż tal-implimentazzjoni u in-natura, l-ambitu, il-kuntest, u l-għanijiet tal-ipproċessar kif ukoll ir-riskju ta’ probabbiltà u gravità li jvarjaw għad-drittijiet u l-libertajiet tal-persuni fiżiċi, il-kontrollur u l-proċessur għandhom jimplimentaw miżuri tekniċi u organizzattivi xierqa, biex jiżguraw livell ta’ sigurtà xieraq għar-riskju, inklużi inter alia kif xieraq:

[…]

[…]

2.   Fl-evalwazzjoni tal-livell xieraq ta’ sigurtà ser jitqiesu b’mod partikolari r-riskji li jippreżenta l-ipproċessar, partikolarment minn qerda, telf, bidla, żvelar mhux awtorizzat ta’, jew aċċess għal data personali trażmessa, maħżuna jew ipproċessata mod ieħor, li jkun aċċidentali jew illegali.

[…]

4.   Il-kontrollur u l-proċessur għandhom jieħdu passi biex jiżguraw li kwalunkwe persuna fiżika li taġixxi taħt l-awtorità tal-kontrollur jew tal-proċessur li jkollhom aċċess għal data personali ma jipproċessawhiex ħlief fuq istruzzjonijiet mingħand il-kontrollur, sakemm ma jkunux meħtieġa jagħmlu dan taħt il-liġi tal-Unjoni jew ta’ Stat Membru.”

12

Il-Kapitolu VIII tal-GDPR, intitolat “Rimedji, responsabbiltà u pieni”, jinkludi l-Artikoli 77 sa 84 tiegħu.

13

L-Artikolu 79 ta’ dan ir-regolament, intitolat “Dritt għal rimedju ġudizzjarju effettiv kontra kontrollur jew proċessur”, jipprevedi, fil-paragrafu 1 tiegħu:

“Mingħajr preġudizzju għal kwalunkwe rimedju amministrattiv jew mhux ġudizzjarju disponibbli, inkluż id-dritt li jitressaq ilment quddiem awtorità superviżorja skont l-Artikolu 77, kull suġġett tad-data għandu d-dritt għal rimedju ġudizzjarju effettiv fejn jikkunsidra li nkisru d-drittijiet tiegħu taħt dan ir-Regolament b’riżultat tal-ipproċessar tad-data personali tiegħu b’nuqqas ta’ konformità ma’ dan ir-Regolament.”

14

L-Artikolu 82 tal-imsemmi regolament, intitolat “Dritt għal kumpens u responsabbiltà”, jipprovdi, fil-paragrafi 1 sa 3 tiegħu:

“1.   Kwalunkwe persuna li tkun ġarrbet xi dannu materjali jew mhux materjali b’riżultat ta’ ksur ta’ dan ir-Regolament għandu jkollha d-dritt li tirċievi kumpens mill-kontrollur jew il-proċessur għad-dannu mġarrab.

2.   Kwalunkwe kontrollur involut fl-ipproċessar għandu jkunu responsabbli għad-dannu kkawżat mill-ipproċessar li jikser dan ir-Regolament. […]

3.   Kontrollur jew proċessur għandu jkun eżentat mir-responsabbiltà taħt il-paragrafu 2 jekk jagħti prova li bl-ebda mod m’huwa responsabbli għall-avveniment li wassal għad-dannu.”

15

L-Artikolu 83 tal-GDPR, intitolat “Kondizzjonijiet ġenerali biex jiġu imposti multi amministrattivi”, jistipula, fil-paragrafi 2, 3 u 5 tiegħu:

“2.   […] Meta jiġi deċiż jekk għandiex tiġi imposta multa amministrattiva u jiġi deċiż l-ammont tal-multa amministrattiva, f’kull każ individwali, għandha tingħata konsiderazzjoni dovuta lil dawn li ġejjin:

[…]

3.   Jekk kontrollur jew proċessur, intenzjonalment jew b’negliġenza, għall-istess operazzjonijiet ta’ pproċessar jew għal dawk b’rabta ma’ xulxin, jikser diversi dispożizzjonijiet ta’ dan ir-Regolament, l-ammont totali tal-multa amministrattiva ma għandux jaqbeż l-ammont speċifikat għall-ksur l-aktar gravi.

[…]

5.   Il-ksur tad-dispożizzjonijiet li ġejjin għandu, f’konformità mal-paragrafu 2a, ikun soġġett għal multi amministrattivi sa EUR 20000000, jew fil-każ ta’ impriża, sa 4 % tal-fatturat annwali dinji totali tas-sena finanzjarja preċedenti, skont liema jkun l-ogħla:

[…]”

16

L-Artikolu 84 ta’ dan ir-regolament, intitolat “Pieni”, jipprevedi, fil-paragrafu 1 tiegħu:

“L-Istati Membri għandhom jistipulaw ir-regoli dwar il-pieni oħrajn applikabbli għal ksur ta’ dan ir-Regolament b’mod partikolari għal ksur li ma jkunx soġġett għal multi amministrattivi skont l-Artikolu 83, u għandhom jieħdu l-miżuri kollha meħtieġa biex jiżguraw li dawn jiġu implimentati. Tali pieni għandhom ikunu effettivi, proporzjonati u dissważivi.”

17

Ir-rikorrent fil-kawża prinċipali, persuna fiżika li teżerċita l-professjoni ta’ avukat indipendenti, kien klijent ta’ juris, kumpannija li topera database ġuridika.

18

Fis‑6 ta’ Novembru 2018, wara li sar jaf li d-data personali tiegħu kienet użata minn juris għal finijiet ta’ marketing dirett ukoll, ir-rikorrent fil-kawża prinċipali rrevoka, bil-miktub, il-kunsens kollu tiegħu sabiex jirċievi informazzjoni mingħand din il-kumpannija permezz ta’ posta elettronika jew bit-telefon u oppona kull ipproċessar ta’ din id-data, ħlief sabiex jintbagħtu “newsletters” li huwa xtaq li jibqa’ jirċievi.

19

Minkejja dan, ir-rikorrent fil-kawża prinċipali rċieva, fix-xahar ta’ Jannar 2019, żewġ fuljetti pubbliċitarji mibgħuta bl-isem fl-indirizz professjonali tiegħu. Permezz ta’ ittra indirizzata lil juris fit‑18 ta’ April 2019, huwa fakkrilha l-oppożizzjoni preċedenti tiegħu għal kull marketing, indikalha li l-ħolqien ta’ dawn il-prospetti kien wassal għal ipproċessar illegali tad-data tiegħu u talabha kumpens għad-dannu li sofra, skont l-Artikolu 82 tal-GDPR. Wara li rċieva prospett pubbliċitarju ġdid fit‑3 ta’ Mejju 2019, huwa tenna l-oppożizzjoni tiegħu, li din id-darba ġiet innotifikata lil juris permezz ta’ marixxall.

20

Kull wieħed mill-imsemmija prospetti kien jinkludi “kodiċi personali għal prova” li jippermetti l-aċċess, fuq is-sit internet ta’ juris, għal formola ta’ ordni ta’ prodotti ta’ din il-kumpannija li kienet tinkludi riferimenti relatati mar-rikorrent fil-kawża prinċipali, kif ġie kkonstatat, fuq talba ta’ dan tal-aħħar, minn nutar, fis‑7 ta’ Ġunju 2019.

21

Ir-rikorrent fil-kawża prinċipali adixxa lil-Landgericht Saarbrücken (il-Qorti Reġjonali ta’ Saarbrücken, il-Ġermanja), li hija l-qorti tar-rinviju f’din il-kawża, b’rikors intiż sabiex jikseb, abbażi tal-Artikolu 82(1) tal-GDPR, il-kumpens għad-dannu materjali tiegħu, marbut mal-ispejjeż ta’ marixxall u ta’ nutar li huwa sostna, kif ukoll għad-dannu morali tiegħu. Huwa jsostni, b’mod partikolari, li huwa ġarrab telf ta’ kontroll fuq id-data personali tiegħu, minħabba l-ipproċessar tiegħu mwettaq minn juris minkejja l-oppożizzjonijiet tiegħu, u li huwa jista’ jikseb kumpens f’dan ir-rigward, mingħajr ma jkollu għalfejn juri l-effetti jew il-gravità tal-preġudizzju kkawżat lid-drittijiet tiegħu, iggarantiti mill-Artikolu 8 tal-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea u speċifikati minn dan ir-regolament.

22

Fir-risposta tagħha, juris tiċħad kull responsabbiltà, billi ssostni li hija kienet stabbilixxiet sistema ta’ ġestjoni tal-oppożizzjonijiet għall-marketing u li t-teħid inkunsiderazzjoni tard ta’ dawk tar-rikorrent fil-kawża prinċipali huwa dovut kemm għall-fatt li wieħed mill-kollaboraturi tagħha ma osservax l-istruzzjonijiet li kienu ngħataw, kif ukoll għall-fatt li kien ikun eċċessivament oneruż li jittieħdu inkunsiderazzjoni dawn l-oppożizzjonijiet. Hija tallega li s-sempliċi ksur ta’ obbligu li jirriżulta mill-GDPR, bħal dak li jirriżulta mill-Artikolu 21(3) tiegħu, ma jistax jikkostitwixxi, waħdu, “dannu” fis-sens tal-Artikolu 82(1) ta’ dan ir-regolament.

23

Fl-ewwel lok, il-qorti tar-rinviju titlaq, qabelxejn, mill-premessa li d-dritt għal kumpens previst fl-Artikolu 82(1) tal-GDPR huwa suġġett għall-eżistenza ta’ tliet kundizzjonijiet, jiġifieri ksur ta’ dan ir-regolament, dannu materjali jew morali, kif ukoll rabta kawżali bejn dan il-ksur u dan id-dannu. Sussegwentement, fid-dawl tat-talbiet tar-rikorrent fil-kawża prinċipali, hija tistaqsi jekk għandux madankollu jitqies li ksur tal-GDPR jikkostitwixxi, waħdu, dannu morali li jagħti dritt għal kumpens, b’mod partikolari, meta d-dispożizzjoni miksura ta’ dan ir-regolament tagħti dritt suġġettiv lis-suġġett tad-data. Fl-aħħar, peress li d-dritt Ġermaniż jissuġġetta l-kumpens pekunjarju ta’ dannu immaterjali għar-rekwiżit ta’ ksur serju tad-drittijiet protetti, dik il-qorti tistaqsi jekk restrizzjoni analoga għandhiex tapplika fir-rigward tat-talbiet għal kumpens skont il-GDPR, fid-dawl tal-indikazzjonijiet dwar il-kunċett ta’ “dannu” li jinsabu fil-premessi 85 u 146 ta’ dan ir-regolament.

24

Fit-tieni lok, l-imsemmija qorti tqis li huwa possibbli li, mill-Artikolu 82 tal-GDPR jirriżulta li, meta l-eżistenza ta’ ksur ta’ dan ir-regolament tkun ġiet ikkonstatata, dan tal-aħħar jitqies attribwibbli għall-kontrollur tad-data, b’tali mod li tkun teżisti responsabbiltà minħabba nuqqas preżunt, jew anki mingħajr tort, tiegħu. Barra minn hekk, wara li enfasizzat li l-paragrafu 3 ta’ dan l-artikolu ma jispeċifikax ir-rekwiżiti ta’ prova marbuta konkretament mal-eżenzjoni prevista f’dan il-paragrafu, hija tirrileva li, jekk il-kontrollur tad-data seta’ jeżonera lilu nnifsu mir-responsabbiltà tiegħu billi sempliċement iqajjem, f’termini ġenerali, imġiba ħażina ta’ wieħed mill-kollaboraturi tiegħu, dan ikun jillimita partikolarment mill-effett utli tad-dritt għal kumpens previst fil-paragrafu 1 tal-imsemmi artikolu.

25

Fit-tielet lok, il-qorti tar-rinviju tixtieq tkun taf b’mod partikolari jekk, sabiex jiġi evalwat l-ammont tal-kumpens pekunjarju ta’ dannu, b’mod partikolari ta’ dannu morali, li jkun dovut skont l-Artikolu 82 tal-GDPR, il-kriterji previsti fl-Artikolu 83(2) u (5) tiegħu, sabiex jiġi deċiż l-ammont ta’ multi amministrattivi, jistgħux, jew għandhomx, jittieħdu inkunsiderazzjoni wkoll fil-kuntest tal-imsemmi Artikolu 82.

26

Fir-raba’ u l-aħħar lok, dik il-qorti tirrileva li, fil-kawża li hija adita biha, id-data personali tar-rikorrent fil-kawża prinċipali kienet is-suġġett ta’ diversi istanzi ta’ pproċessar għall-finijiet ta’ marketing, minkejja l-oppożizzjonijiet irrepetuti tas-suġġett tad-data. Għaldaqstant, hija tfittex li tiddetermina jekk, meta jkun hemm diversi istanzi ta’ ksur tal-GDPR, dawn tal-aħħar għandhomx jittieħdu inkunsiderazzjoni b’mod individwali jew b’mod globali, sabiex jiġi stabbilit l-ammont tal-kumpens eventwalment dovut skont l-Artikolu 82 ta’ dan ir-regolament.

27

F’dawn iċ-ċirkustanzi l-Landgericht Saarbrücken (il-Qorti Reġjonali ta’ Saarbrücken) iddeċidiet li tissospendi l-proċeduri quddiemha u li tagħmel lill-Qorti tal-Ġustizzja d-domandi preliminari li ġejjin:

28

Preliminarjament, juris issostni, essenzjalment, li l-ewwel domanda hija inammissibbli sa fejn hija intiża li tistabbilixxi jekk il-ftuħ tad-dritt għal kumpens previst fl-Artikolu 82 tal-GDPR huwiex suġġett għar-rekwiżit li d-dannu allegat mis-suġġett tad-data, kif iddefinit fil-punt 1 tal-Artikolu 4 ta’ dan ir-regolament, ikun laħaq ċertu livell ta’ gravità. Din id-domanda hija irrilevanti sabiex tiġi deċiża l-kawża prinċipali, minħabba li d-dannu invokat mir-rikorrent fil-kawża prinċipali, jiġifieri telf ta’ kontroll fuq id-data personali tiegħu, ma huwiex ser iseħħ, peress li din id-data kienet is-suġġett ta’ pproċessar legali, bħala li tifforma parti mir-relazzjoni kuntrattwali li kienet torbot lill-partijiet f’din it-tilwima.

29

F’dan ir-rigward, għandu jitfakkar li hija biss il-qorti nazzjonali li quddiemha titressaq il-kawża u li għandha tassumi r-responsabbiltà għad-deċiżjoni ġudizzjarja li għandha tingħata li għandha tevalwa, fir-rigward taċ-ċirkustanzi tal-kawża, kemm in-neċessità ta’ deċiżjoni preliminari sabiex tkun f’pożizzjoni li tagħti s-sentenza tagħha kif ukoll ir-rilevanza tad-domandi li hija tagħmel lill-Qorti tal-Ġustizzja, li jibbenefikaw minn preżunzjoni ta’ rilevanza. Għaldaqstant, peress li d-domanda magħmula tirrigwarda l-interpretazzjoni jew il-validità ta’ regola tad-dritt tal-Unjoni, il-Qorti tal-Ġustizzja, bħala prinċipju, hija marbuta li tagħti deċiżjoni, ħlief jekk ikun jidher b’mod manifest li l-interpretazzjoni mitluba ma għandha l-ebda rabta mar-realtà jew mas-suġġett tat-tilwima fil-kawża prinċipali, meta l-problema tkun ta’ natura ipotetika jew inkella meta l-Qorti tal-Ġustizzja ma jkollhiex għad-dispożizzjoni tagħha l-punti ta’ fatt u ta’ liġi meħtieġa sabiex tirrispondi b’mod utli għall-imsemmija domanda (sentenza tal‑4 ta’ Mejju 2023, Österreichische Post (Dannu morali marbut mal-ipproċessar ta’ data personali), C‑300/21, EU:C:2023:370, punt 23 u l-ġurisprudenza ċċitata).

30

F’din il-kawża, l-ewwel domanda tirrigwarda l-kundizzjonijiet meħtieġa għall-eżerċizzju tad-dritt għal kumpens previst fl-Artikolu 82 tal-GDPR. Barra minn hekk, ma jidhirx b’mod manifest li l-interpretazzjoni mitluba ma għandhiex rabta mal-kawża prinċipali jew li l-problema mqajma hija ta’ natura ipotetika. Fil-fatt, minn naħa, din it-tilwima tirrigwarda talba għal kumpens li taqa’ taħt is-sistema ta’ protezzjoni tad-data personali stabbilita mill-GDPR. Min-naħa l-oħra, din il-kwistjoni hija intiża, essenzjalment, sabiex jiġi ddeterminat jekk, għall-finijiet tal-applikazzjoni tar-regoli ta’ responsabbiltà stabbiliti minn dan ir-regolament, huwiex neċessarju mhux biss li jeżisti dannu morali li huwa distint mill-ksur tal-imsemmi regolament, iżda wkoll li dan id-dannu jaqbeż ċertu livell ta’ gravità.

31

Konsegwentement, l-ewwel domanda hija ammissibbli.

32

Permezz tal-ewwel domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 82(1) tal-GDPR għandux jiġi interpretat fis-sens li ksur ta’ dispożizzjonijiet ta’ dan ir-regolament li jagħtu drittijiet lis-suġġett tad-data huwa biżżejjed, waħdu, sabiex jikkostitwixxi “dannu morali”, fis-sens ta’ din id-dispożizzjoni, indipendentement mil-livell ta’ gravità tad-dannu mġarrab minn dan is-suġġett tad-data.

33

Preliminarjament, għandu jitfakkar li l-Artikolu 82(1) tal-GDPR jistabbilixxi li “[k]walunkwe persuna li tkun ġarrbet xi dannu materjali jew mhux materjali b’riżultat ta’ ksur ta’ dan ir-Regolament għandu jkollha d-dritt li tirċievi kumpens mill-kontrollur jew il-proċessur għad-dannu mġarrab”.

34

Il-Qorti tal-Ġustizzja diġà interpretat l-Artikolu 82(1) tal-GDPR fis-sens li s-sempliċi ksur ta’ dan ir-regolament ma huwiex biżżejjed sabiex jagħti dritt għal kumpens, peress li l-eżistenza ta’ “dannu”, materjali jew morali, jew ta’ “dannu” li jkun ġie “mġarrab” tikkostitwixxi waħda mill-kundizzjonijiet tad-dritt għal kumpens previst fl-imsemmi Artikolu 82(1), bħall-eżistenza ta’ ksur tal-imsemmi regolament u ta’ rabta kawżali bejn dan id-dannu u dan il-ksur, liema tliet kundizzjonijiet huma kumulattivi (ara, f’dan is-sens, is-sentenza tal‑25 ta’ Jannar 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, punt 58 u l-ġurisprudenza ċċitata).

35

Għalhekk, il-persuna li titlob kumpens għal dannu morali abbażi ta’ din id-dispożizzjoni għandha mhux biss tistabbilixxi l-ksur ta’ dispożizzjonijiet ta’ dan ir-regolament, iżda wkoll li dan il-ksur ikkawżalha tali dannu (ara, f’dan is-sens, is-sentenza tal‑25 ta’ Jannar 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, punti 60 u 61 kif ukoll il-ġurisprudenza ċċitata).

36

Dwar dan il-punt, għandu jiġi rrilevat li l-Qorti tal-Ġustizzja interpretat l-Artikolu 82(1) tal-GDPR fis-sens li jipprekludi regola jew prattika nazzjonali li tissuġġetta l-kumpens għal dannu morali, fis-sens ta’ din id-dispożizzjoni, għall-kundizzjoni li d-dannu mġarrab mis-suġġett tad-data jkun laħaq ċertu livell ta’ gravità, filwaqt li enfasizzat li l-imsemmi suġġett tad-data huwa madankollu obbligat juri li l-ksur ta’ dan ir-regolament ikkawżalu tali dannu morali (ara, f’dan is-sens, is-sentenza tal‑25 ta’ Jannar 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, punti 59 u 60 kif ukoll il-ġurisprudenza ċċitata).

37

Minkejja li d-dispożizzjoni tal-GDPR li kienet is-suġġett ta’ ksur tagħti drittijiet lill-persuni fiżiċi, tali ksur ma jistax, waħdu, jikkostitwixxi “dannu morali”, fis-sens ta’ dan ir-regolament.

38

Ċertament, mill-Artikolu 79(1) tal-GDPR isegwi li kull suġġett tad-data għandu dritt għal rimedju ġudizzjarju effettiv, kontra l-kontrollur jew eventwali proċessur, jekk iqis li “[i]nkisru d-drittijiet tiegħu taħt dan ir-Regolament b’riżultat tal-ipproċessar tad-data personali tiegħu b’nuqqas ta’ konformità ma’ dan ir-Regolament”.

39

Madankollu, din id-dispożizzjoni sempliċement tagħti dritt għal azzjoni legali lis-suġġett tad-data li jqis lilu nnifsu vittma ta’ ksur tad-drittijiet mogħtija lilu mill-GDPR, mingħajr ma teżentah mill-obbligu, impost fuqu skont l-Artikolu 82(1) ta’ dan ir-regolament, li jipprova li huwa effettivament ġarrab dannu materjali jew morali.

40

Minn dan isegwi li l-ksur ta’ dispożizzjonijiet tal-GDPR li jagħtu drittijiet lis-suġġett tad-data ma huwiex biżżejjed, waħdu, sabiex jiġġustifika dritt sostantiv li jinkiseb kumpens skont dan ir-regolament, li jeżiġi li ż-żewġ kundizzjonijiet l-oħra ta’ dan id-dritt imsemmija fil-punt 34 ta’ din is-sentenza jkunu wkoll issodisfatti.

41

F’dan il-każ, ir-rikorrent fil-kawża prinċipali jitlob li jikseb, abbażi tal-GDPR, il-kumpens għal dannu morali, jiġifieri telf ta’ kontroll fuq id-data personali tiegħu li kienet is-suġġett ta’ pproċessar minkejja l-oppożizzjoni tiegħu, mingħajr ma huwa obbligat li jipprova li dan id-dannu qabeż ċertu livell ta’ gravità.

42

F’dan ir-rigward, għandu jiġi rrilevat li l-premessa 85 tal-GDPR issemmi espressament it-“telf ta’ kontroll” fost id-dannu li jista’ jiġi kkawżat minn ksur ta’ data personali. Barra minn hekk, il-Qorti tal-Ġustizzja ddeċidiet li t-telf ta’ kontroll fuq tali data, anki għal perijodu ta’ żmien qasir, jista’ jikkostitwixxi “dannu morali”, fis-sens tal-Artikolu 82(1) ta’ dan ir-regolament, li jagħti dritt għal kumpens, bil-kundizzjoni li s-suġġett tad-data juri li effettivament ġarrab tali dannu, anki jekk minimu (ara, f’dan is-sens, is-sentenza tal‑25 ta’ Jannar 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, punt 66 u l-ġurisprudenza ċċitata).

43

Fid-dawl tal-motivi preċedenti, ir-risposta għall-ewwel domanda għandha tkun li l-Artikolu 82(1) tal-GDPR għandu jiġi interpretat fis-sens li ksur ta’ dispożizzjonijiet ta’ dan ir-regolament li jagħtu drittijiet lis-suġġett tad-data ma huwiex biżżejjed, waħdu, sabiex jikkostitwixxi “dannu morali”, fis-sens ta’ din id-dispożizzjoni, indipendentement mil-livell ta’ gravità tad-dannu mġarrab minn dan is-suġġett tad-data.

44

Permezz tat-tieni domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 82 tal-GDPR għandux jiġi interpretat fis-sens li huwa biżżejjed li l-kontrollur, sabiex jiġi eżentat mir-responsabbiltà tiegħu skont il-paragrafu 3 tal-imsemmi artikolu, jinvoka li d-dannu inkwistjoni ġie kkawżat min-nuqqas ta’ persuna li taġixxi taħt l-awtorità tiegħu, fis-sens tal-Artikolu 29 ta’ dan ir-regolament.

45

F’dan ir-rigward, għandu jitfakkar li l-Artikolu 82 tal-GDPR jistipula, fil-paragrafu 2 tiegħu, li kwalunkwe kontrollur li jkun ipparteċipa fl-ipproċessar għandu jkunu responsabbli għad-dannu kkawżat mill-ipproċessar li jikkostitwixxi ksur ta’ dan ir-regolament u, fil-paragrafu 3 tiegħu, li kontrollur għandu jkun eżentat mir-responsabbiltà taħt il-paragrafu 2 jekk jagħti prova li bl-ebda mod ma huwa responsabbli għall-avveniment li wassal għad-dannu.

46

Il-Qorti tal-Ġustizzja diġà kkonstatat li minn analiżi magħquda tal-paragrafi 2 u 3 ta’ dan l-Artikolu 82 isegwi li dan jipprevedi sistema ta’ responsabbiltà bbażata fuq ħtija, li fiha l-kontrollur huwa preżunt li pparteċipa fl-ipproċessar li jikkostitwixxi l-ksur tal-GDPR imsemmi, b’tali mod li l-oneru tal-prova ma jaqax fuq il-persuna li ġarrbet dannu, iżda fuq il-kontrollur (ara, f’dan is-sens, is-sentenza tal‑21 ta’ Diċembru 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punti 92 sa 94).

47

Fir-rigward tal-kwistjoni dwar jekk il-kontrollur jistax jiġi eżentat mir-responsabbiltà tiegħu, skont l-Artikolu 82(3) tal-GDPR, għas-sempliċi raġuni li dan id-dannu ġie kkawżat mill-aġir żbaljat ta’ persuna li taġixxi taħt l-awtorità tiegħu, fis-sens tal-Artikolu 29 ta’ dan ir-regolament, minn naħa, minn dan l-Artikolu 29 isegwi li l-persuni li jaġixxu taħt l-awtorità tal-kontrollur, bħall-impjegati tiegħu, li għandhom aċċess għal data personali, jistgħu, bħala prinċipju, jipproċessaw din id-data biss fuq istruzzjonijiet tal-imsemmi kontrollur u konformement magħhom (ara, f’dan is-sens, is-sentenza tat‑22 ta’ Ġunju 2023, Pankki S, C‑579/21, EU:C:2023:501, punti 73 u 74)

48

Min-naħa l-oħra, l-Artikolu 32(4) tal-GDPR, dwar is-sigurtà tal-ipproċessar ta’ data personali, jipprevedi li l-kontrollur għandu jieħu miżuri sabiex jiżgura li kull persuna fiżika li taġixxi taħt l-awtorità tiegħu, li għandha aċċess għal tali data, ma tipproċessahiex, ħlief fuq istruzzjonijiet tal-kontrollur, sakemm ma tkunx obbligata tagħmel dan mid-dritt tal-Unjoni jew mid-dritt ta’ Stat Membru.

49

Issa, impjegat tal-kontrollur huwa fil-fatt persuna fiżika li taġixxi taħt l-awtorità ta’ dan il-kontrollur. Għalhekk, huwa l-imsemmi kontrollur li għandu jiżgura li l-istruzzjonijiet tiegħu jiġu applikati b’mod korrett mill-impjegati tiegħu. Għaldaqstant, il-kontrollur ma jistax jinħeles mir-responsabbiltà tiegħu skont l-Artikolu 82(3) tal-GDPR sempliċement billi jinvoka negliġenza jew nuqqas ta’ persuna li taġixxi taħt l-awtorità tiegħu.

50

F’dan il-każ, fl-osservazzjonijiet bil-miktub tagħha quddiem il-Qorti tal-Ġustizzja, juris issostni, essenzjalment, li l-kontrollur għandu jiġi eżentat mir-responsabbiltà tiegħu, skont l-Artikolu 82(3) tal-GDPR, meta l-ksur li jkun ikkawża d-dannu kkonċernat ikun imputabbli għall-aġir ta’ wieħed mill-impjegati tiegħu li ma jkunx osserva l-istruzzjonijiet mogħtija mill-imsemmi kontrollur u sakemm dan il-ksur ma jkunx dovut għal nuqqas ta’ twettiq tal-obbligi ta’ dan tal-aħħar stabbiliti, b’mod partikolari, fl-Artikoli 24, 25 u 32 ta’ dan ir-regolament.

51

F’dan ir-rigward, għandu jiġi enfasizzat li ċ-ċirkustanzi għall-eżenzjoni prevista fl-Artikolu 82(3) tal-GDPR għandhom ikunu strettament limitati għal dawk li fihom il-kontrollur ikun f’pożizzjoni li juri assenza ta’ imputabbiltà għad-dannu min-naħa tiegħu stess (ara, f’dan is-sens, is-sentenza tal‑14 ta’ Diċembru 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punt 70). Għaldaqstant, fil-każ ta’ ksur ta’ data personali mwettaq minn persuna li taġixxi taħt l-awtorità tiegħu, l-imsemmi kontrollur jista’ jibbenefika minn din l-eżenzjoni biss jekk jipprova li ma hemm ebda rabta kawżali bejn l-eventwali ksur tal-obbligu ta’ protezzjoni tad-data, impost fuqu bis-saħħa tal-Artikoli 5, 24 u 32 ta’ dan ir-regolament, u d-dannu mġarrab mis-suġġett tad-data (ara, b’analoġija, is-sentenza tal‑14 ta’ Diċembru 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punt 72).

52

Għaldaqstant, sabiex il-kontrollur ikun jista’ jiġi eżentat mir-responsabbiltà tiegħu, skont l-Artikolu 82(3) tal-GDPR, ma jistax ikun suffiċjenti li huwa juri li huwa kien ta istruzzjonijiet lill-persuni li jaġixxu taħt l-awtorità tiegħu, fis-sens tal-Artikolu 29 ta’ dan ir-regolament, u li waħda mill-imsemmija persuni naqset mill-obbligu tagħha li ssegwi dawn l-istruzzjonijiet, b’tali mod li din tal-aħħar ikkontribwixxiet għall-okkorrenza tad-dannu inkwistjoni.

53

Fil-fatt, li kieku kellu jiġi aċċettat li l-kontrollur jista’ jeżonera ruħu mir-responsabbiltà tiegħu billi sempliċement jinvoka n-nuqqas ta’ persuna li taġixxi taħt l-awtorità tiegħu, dan ikun ixejjen l-effett utli tad-dritt għal kumpens stabbilit fl-Artikolu 82(1) tal-GDPR, kif irrilevat essenzjalment il-qorti tar-rinviju, u dan ma jkunx konformi mal-għan ta’ dan ir-regolament li jikkonsisti f’li jiġi żgurat livell għoli ta’ protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar tad-data personali tagħhom.

54

Fid-dawl tal-kunsiderazzjonijiet preċedenti, ir-risposta għat-tieni domanda għandha tkun li l-Artikolu 82 tal-GDPR għandu jiġi interpretat fis-sens li ma huwiex biżżejjed li l-kontrollur, sabiex jiġi eżentat mir-responsabbiltà tiegħu skont il-paragrafu 3 tal-imsemmi artikolu, jinvoka li d-dannu inkwistjoni ġie kkawżat min-nuqqas ta’ persuna li taġixxi taħt l-awtorità tiegħu, fis-sens tal-Artikolu 29 ta’ dan ir-regolament.

55

Permezz tat-tielet u tar-raba’ domanda tagħha, li għandhom jiġu eżaminati flimkien, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 82(1) tal-GDPR għandux jiġi interpretat fis-sens li, sabiex jiġi ddeterminat l-ammont tad-danni dovuti bħala kumpens għal dannu bbażat fuq din id-dispożizzjoni, hemm lok, minn naħa, li jiġu applikati mutatis mutandis il-kriterji għall-iffissar tal-ammont tal-multi amministrattivi li huma previsti fl-Artikolu 83 ta’ dan ir-regolament u, min-naħa l-oħra, li jittieħed inkunsiderazzjoni l-fatt li diversi istanzi ta’ ksur tal-imsemmi regolament li jikkonċernaw l-istess operazzjoni ta’ pproċessar jaffettwaw lill-persuna li qiegħda titlob kumpens.

56

Fl-ewwel lok, fir-rigward ta’ eventwali teħid inkunsiderazzjoni tal-kriterji stabbiliti fl-Artikolu 83 tal-GDPR sabiex jiġi evalwat l-ammont tal-kumpens dovut skont l-Artikolu 82 tiegħu, huwa paċifiku li dawn iż-żewġ dispożizzjonijiet għandhom għanijiet differenti. Fil-fatt, filwaqt li l-Artikolu 83 ta’ dan ir-regolament jiddetermina l-“[k]ondizzjonijiet ġenerali biex jiġu imposti multi amministrattivi”, l-Artikolu 82 tal-imsemmi regolament jirregola d-“[d]ritt għal kumpens u responsabbiltà”.

57

Minn dan isegwi li l-kriterji stabbiliti fl-Artikolu 83 tal-GDPR sabiex jiġi ddeterminat l-ammont tal-multi amministrattivi, li jissemmew ukoll fil-premessa 148 ta’ dan ir-regolament, ma jistgħux jintużaw sabiex jiġi evalwat l-ammont tad-danni skont l-Artikolu 82 tiegħu.

58

Kif diġà enfasizzat il-Qorti tal-Ġustizzja, il-GDPR ma jinkludi ebda dispożizzjoni dwar l-evalwazzjoni tad-danni dovuti abbażi tad-dritt għal kumpens stabbilit fl-Artikolu 82 ta’ dan ir-regolament. Għaldaqstant, il-qrati nazzjonali għandhom, għall-finijiet ta’ din l-evalwazzjoni, japplikaw, skont il-prinċipju tal-awtonomija proċedurali, ir-regoli interni ta’ kull Stat Membru dwar il-portata tal-kumpens pekunjarju, sakemm jiġu osservati l-prinċipji ta’ ekwivalenza u ta’ effettività tad-dritt tal-Unjoni, kif iddefiniti mill-ġurisprudenza stabbilita tal-Qorti tal-Ġustizzja (ara, f’dan is-sens, is-sentenzi tal‑21 ta’ Diċembru 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punti 83 u 101 kif ukoll il-ġurisprudenza ċċitata, u tal‑25 ta’ Jannar 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, punt 53).

59

F’dan il-kuntest, il-Qorti tal-Ġustizzja enfasizzat li l-Artikolu 82 tal-GDPR ma għandux funzjoni punittiva iżda kumpensatorja, kuntrarjament għal dispożizzjonijiet oħra ta’ dan ir-regolament li jinsabu wkoll fil-Kapitolu VIII tiegħu, jiġifieri l-Artikoli 83 u 84 tiegħu, li għandhom, min-naħa tagħhom, essenzjalment għan punittiv, għaliex jippermettu rispettivament li jiġu imposti multi amministrattivi kif ukoll sanzjonijiet oħra. Ir-relazzjoni bejn ir-regoli stabbiliti fl-imsemmi Artikolu 82 u dawk stabbiliti fl-imsemmija Artikoli 83 u 84 turi li teżisti differenza bejn dawn iż-żewġ kategoriji ta’ dispożizzjonijiet, iżda wkoll komplementarjetà, f’termini ta’ inċentiv għall-osservanza tal-GDPR, filwaqt li huwa osservat li d-dritt ta’ kull persuna li titlob kumpens għal dannu jsaħħaħ in-natura operattiva tar-regoli ta’ protezzjoni previsti minn dan ir-regolament u huwa ta’ natura li jiskoraġġixxi r-repetizzjoni ta’ aġir illegali (sentenza tal‑25 ta’ Jannar 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, punt 47 u l-ġurisprudenza ċċitata).

60

Barra minn hekk, il-Qorti tal-Ġustizzja ddeduċiet mill-fatt li d-dritt għal kumpens previst fl-Artikolu 82(1) tal-GDPR ma jissodisfax funzjoni dissważiva, jew saħansitra punittiva, li l-gravità tal-ksur ta’ dan ir-regolament li kkawża d-dannu materjali jew morali allegat ma tistax tinfluwenza l-ammont tad-danni mogħtija skont din id-dispożizzjoni. Minn dan isegwi li dan l-ammont ma jistax jiġi ffissat f’livell li jeċċedi l-kumpens sħiħ ta’ dan id-dannu (ara, f’dan is-sens, is-sentenza ta‑21 ta’ Diċembru 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punt 86).

61

Fid-dawl tas-sitt sentenza tal-premessa 146 tal-GDPR, li tipprovdi li dan l-istrument huwa intiż li jiżgura “kumpens sħiħ u effettiv għad-dannu [mġarrab]”, il-Qorti tal-Ġustizzja rrilevat li, fid-dawl tal-funzjoni kumpensatorja tad-dritt għal kumpens previst fl-Artikolu 82 ta’ dan ir-regolament, kumpens pekunjarju bbażat fuq dan l-artikolu għandu jitqies li huwa “sħiħ u effettiv” jekk jippermetti li jiġi kkumpensat b’mod sħiħ id-dannu konkretament imġarrab minħabba l-ksur tal-imsemmi regolament, mingħajr ma jkun neċessarju, għall-finijiet ta’ tali kumpens sħiħ, li jiġi impost il-ħlas ta’ danni punittivi (sentenza tal‑21 ta’ Diċembru 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punt 84 u l-ġurisprudenza ċċitata).

62

Għalhekk, fid-dawl tad-differenzi ta’ formulazzjoni u ta’ għanijiet eżistenti bejn l-Artikolu 82 tal-GDPR, moqri fid-dawl tal-premessa 146 tiegħu, u l-Artikolu 83 tal-imsemmi regolament, moqri fid-dawl tal-premessa 148 tiegħu, ma jistax jitqies li l-kriterji ta’ evalwazzjoni stabbiliti speċifikament f’dan l-Artikolu 83 huma applikabbli mutatis mutandis fil-kuntest ta’ dan l-Artikolu 82, minkejja l-fatt li r-rimedji legali previsti f’dawn iż-żewġ dispożizzjonijiet huma fil-fatt komplementari sabiex tiġi żgurata l-osservanza tal-istess regolament.

63

Fit-tieni lok, fir-rigward tal-mod kif il-qrati nazzjonali għandhom jevalwaw l-ammont ta’ kumpens pekunjarju skont l-Artikolu 82 tal-GDPR fil-każijiet ta’ diversi istanzi ta’ ksur ta’ dan ir-regolament li jaffettwaw l-istess suġġett tad-data, għandu, qabelxejn, jiġi enfasizzat li, kif imsemmi fil-punt 58 ta’ din is-sentenza, huwa kull Stat Membru li għandu jistabbilixxi l-kriterji li jippermettu li jiġi ddeterminat l-ammont ta’ dan il-kumpens, bla ħsara għall-osservanza tal-prinċipji ta’ effettività u ta’ ekwivalenza tad-dritt tal-Unjoni.

64

Sussegwentement, fid-dawl tal-funzjoni mhux punittiva iżda kumpensatorja tal-Artikolu 82 tal-GDPR, li hija mfakkra fil-punti 60 u 61 ta’ din is-sentenza, iċ-ċirkustanza li twettqu diversi istanzi ta’ ksur mill-kontrollur, fil-konfront tal-istess suġġett tad-data, ma tistax tikkostitwixxi kriterju rilevanti għall-finijiet tal-evalwazzjoni tad-danni li għandhom jingħataw lil dan is-suġġett tad-data skont dan l-Artikolu 82. Fil-fatt, huwa biss id-dannu konkretament imġarrab minn dan is-suġġett tad-data li għandu jittieħed inkunsiderazzjoni sabiex jiġi stabbilit l-ammont tal-kumpens pekunjarju dovut bħala kumpens.

65

Konsegwentement, ir-risposta għat-tielet u għar-raba’ domanda għandha tkun li l-Artikolu 82(1) tal-GDPR għandu jiġi interpretat fis-sens li, sabiex jiġi ddeterminat l-ammont tad-danni dovuti bħala kumpens għal dannu bbażat fuq din id-dispożizzjoni, ma hemmx lok, minn naħa, li jiġu applikati mutatis mutandis il-kriterji għall-iffissar tal-ammont tal-multi amministrattivi li huma previsti fl-Artikolu 83 ta’ dan ir-regolament u, min-naħa l-oħra, li jittieħed inkunsiderazzjoni l-fatt li diversi istanzi ta’ ksur tal-imsemmi regolament li jikkonċernaw l-istess operazzjoni ta’ pproċessar jaffettwaw lill-persuna li titlob kumpens.

66

Peress li l-proċedura għandha, fir-rigward tal-partijiet fil-kawża prinċipali, in-natura ta’ kwistjoni mqajma quddiem il-qorti tar-rinviju, hija dik il-qorti li tiddeċiedi fuq l-ispejjeż. L-ispejjeż sostnuti għas-sottomissjoni tal-osservazzjonijiet lill-Qorti tal-Ġustizzja, barra dawk tal-imsemmija partijiet, ma jistgħux jitħallsu lura.

Għal dawn il-motivi, Il-Qorti tal-Ġustizzja (It-Tielet Awla) taqta’ u tiddeċiedi: