–

għal J.M., minnu nnifsu,

–

għall-Apulaistietosuojavaltuutettu, minn A. Talus, tietosuojavaltuutettu,

–

għal Pankki S, minn T. Kalliokoski u J. Lång, asianajajat, kif ukoll minn E.‑L. Hokkonen, oikeustieteen maisteri,

–

għall-Gvern Finlandiż, minn A. Laine u H. Leppo, bħala aġenti,

–

għall-Gvern Ċek, minn A. Edelmannová, M. Smolek u J. Vláčil, bħala aġenti,

–

għall-Gvern Awstrijak, minn A. Posch, bħala aġent,

–

għall-Kummissjoni Ewropea, minn A. Bouchagiar, H. Kranenborg u I. Söderlund, bħala aġenti,

1

It-talba għal deċiżjoni preliminari tirrigwarda l-interpretazzjoni tal-Artikolu 15(1) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-“GDPR”).

2

Din it-talba tressqet fil-kuntest ta’ proċedura mibdija minn J.M. dwar l-annullament tad-deċiżjoni tal-Apulaistietosuojavaltuutettule (l-Assistent Uffiċjal tal-Protezzjoni ta-Data, il-Finlandja) li tiċħad it-talba tagħha sabiex tordna lil Pankki S, istituzzjoni bankarja stabbilita fil-Finlandja, li tikkomunikalu ċerta informazzjoni dwar operazzjonijiet ta’ konsultazzjoni tad-data personali tiegħu.

3

Il-premessi 4, 10, 11, 26, 39, 58, 60, 63 u 74 tal-GDPR jistipulaw:

[…]

[…]

[…]

[…]

[…]

[…]

[…]

4

L-Artikolu 1 tal-GDPR, intitolat “Suġġett u objettivi”, jiddisponi, fil-paragrafu 2 tiegħu:

“Dan ir-Regolament jipproteġi d-drittijiet u l-libertajiet fundamentali tal-persuni fiżiċi u b’mod partikolari d-dritt tagħhom għall-protezzjoni ta’ data personali.”

5

L-Artikolu 4 ta’ dan ir-regolament jipprevedi:

“Għall-finijiet ta’ dan ir-Regolament:

[…]

[…]

[…]

[…]”

6

L-Artikolu 5 tal-imsemmi regolament, intitolat “Prinċipji relatati mal-ipproċessar ta’ data personali”, huwa fformulat kif ġej:

“1.   Id-data personali għandha:

[…]

2.   Il-kontrollur għandu jkun responsabbli għall-konformità mal-paragrafu 1 u jkun kapaċi juriha (‘responsabbiltà’).”

7

L-Artikolu 12 tal-GDPR, intitolat “Informazzjoni, komunikazzjoni u modalitajiet trasparenti għall-eżerċizzju tad-drittijiet tas-suġġett tad-data”, jistabbilixxi:

“1.   Il-kontrollur għandu jieħu miżuri adatti biex jipprovdi kwalunkwe informazzjoni msemmija fl-Artikoli 13 u 14 u kwalunkwe komunikazzjoni skont l-Artikoli 15 sa 22 u 34 relatata mal-ipproċessar lis-suġġett tad-data f’forma konċiża, trasparenti, intelliġibbli u faċilment aċċessibbli, bl-użu ta’ lingwaġġ ċar u sempliċi, b’mod partikolari għal kwalunkwe informazzjoni indirizzata speċifikament lil minorenni. L-informazzjoni għandha tiġi pprovduta bil-miktub, jew b’mezzi oħra, inkluż, fejn xieraq, b’mezzi elettroniċi. […]

[…]

5.   […] Fejn it-talbiet minn suġġett tad-data jkunu manifestament bla bażi jew eċċessivi, b’mod partikolari minħabba n-natura ripetittiva tagħhom, il-kontrollur jista’ jew:

[…]

Il-kontrollur għandu jerfa’ r-responsabbiltà li juri n-natura manifestament mingħajr bażi jew eċċessiva tat-talba.

[…]”

8

L-Artikolu 15 ta’ dan ir-regolament, intitolat “Dritt ta’ aċċess mis-suġġett tad-data”, jiddisponi:

“1.   Is-suġġett tad-data għandu d-dritt li jikseb mingħand il-kontrollur konferma dwar jekk id-data personali li tikkonċerna lilu hijiex qiegħda tiġi proċessata jew le, u, fejn dan ikun il-każ, l-aċċess għad-data personali u l-informazzjoni li ġejja:

[…]

3.   Il-kontrollur għandu jipprovdi kopja tad-data personali li tkun qiegħda tiġi pproċessata. […]

4.   Id-dritt li tinkiseb kopja msemmija fil-paragrafu 3 ma għandux jaffettwa b’mod negattiv id-drittijiet u l-libertajiet ta’ oħrajn.”

9

L-Artikoli 16 u 17 tal-imsemmi regolament jistabbilixxu, rispettivament id-dritt tas-suġġett tad-data li jikseb ir-rettifika tad-data personali li ma tkunx eżatta (dritt għar-rettifika), kif ukoll id-dritt, f’ċerti ċirkustanzi, għat-tħassir ta’ din id-data (dritt għal tħassir jew “dritt li wieħed jintesa”).

10

L-Artikolu 18 tal-istess regolament, intitolat “Dritt għal restrizzjoni tal-ipproċessar”, jiddisponi fil-paragrafu 1 tiegħu:

“Is-suġġett tad-data għandu d-dritt li jikseb mingħand il-kontrollur ir-restrizzjoni tal-ipproċessar fejn tkun tapplika waħda minn dawn:

11

L-Artikolu 21 tal-GDPR, intitolat “Dritt ta’ oġġezzjoni”, jipprevedi fil-paragrafu 1 tiegħu:

“Is-suġġett tad-data għandu d-dritt li joġġezzjona, għal raġunijiet relatati mas-sitwazzjoni partikolari tiegħu, fi kwalunkwe mument għall-ipproċessar ta’ data personali li tikkonċerna lilu li hija bbażata fuq il-punt (e) jew (f) tal-Artikolu 6(1), inkluż it-tfassil ta’ profili abbażi ta’ dawk id-dispożizzjonijiet. Il-kontrollur ma għandux jibqa’ jipproċessa d-data personali sakemm il-kontrollur ma jagħtix raġunijiet leġittimi konvinċenti għall-ipproċessar li jegħlbu l-interessi, id-drittijiet u l-libertajiet tas-suġġett tad-data jew għall-istabbiliment, l-eżerċizzju jew id-difiża ta’ talbiet legali.”

12

Konformement mal-Artikolu 24(1) ta’ dan ir-regolament:

“B’kont meħud tan-natura, l-ambitu, il-kuntest, u l-għanijiet tal-ipproċessar kif ukoll ir-riskji ta’ probabbiltà u gravità li jvarjaw għad-drittijiet u l-libertajiet tal-persuni fiżiċi, il-kontrollur għandu jimplimenta miżuri tekniċi u organizzattivi adatti biex jiżgura u jkun jista’ juri li l-ipproċessar isir f’konformità ma’ dan ir-Regolament. […]”

13

L-Artikolu 29 tal-imsemmi regolament, intitolat “Ipproċessar taħt l-awtorità tal-kontrollur jew tal-proċessur”, huwa fformulat kif ġej:

“Il-proċessur u kull persuna li taġixxi taħt l-awtorità tal-kontrollur jew tal-proċessur li jkollhom aċċess għal data personali ma għandhomx jipproċessaw dik id-data ħlief fuq istruzzjonijiet mingħand il-kontrollur, sakemm ma jkunux meħtieġa jagħmlu dan taħt il-liġi tal-Unjoni jew ta’ Stat Membru.”

14

L-Artikolu 30 tal-GDPR, intitolat “Reġistru tal-attivitajiet ta’ pproċessar”, jipprevedi li:

“1.   Kull kontrollur u, fejn applikabbli, ir-rappreżentant tal-kontrollur, għandu jżomm reġistru tal-attivitajiet ta’ pproċessar taħt ir-responsabbiltà tiegħu. […]

[…]

4.   Il-kontrollur jew il-proċessur u, fejn applikabbli, ir-rappreżentant tal-kontrollur jew tal-proċessur, għandhom jagħmlu r-reġistru disponibbli għall-awtorità superviżorja fuq talba.

[…]”

15

L-Artikolu 58 ta’ dan ir-regolament, intitolat “Setgħat”, jiddisponi fil-paragrafu 1 tiegħu:

“1.   Kull awtorità superviżorja għandu jkollha s-setgħat kollha investigattivi li ġejjin:

16

L-Artikolu 77 tal-imsemmi regolament, intitolat “Dritt li jitressaq ilment quddiem awtorità superviżorja”, jippreċiża dan li ġej:

“1.   Mingħajr preġudizzju għal kwalunkwe rimedju amministrattiv jew ġudizzjarju ieħor, kull suġġett tad-data għandu d-dritt li jressaq ilment quddiem awtorità superviżorja, b’mod partikolari fl-Istat Membru tar-residenza abitwali tiegħu, il-post tax-xogħol tiegħu jew il-post tal-ksur allegat, jekk is-suġġett tad-data jqis li l-ipproċessar ta’ data personali dwaru jikser dan ir-Regolament.

2.   L-awtorità superviżorja li magħha jkun sar l-ilment għandha tinforma lill-ilmentatur dwar il-progress u l-eżitu tal-ilment inkluża l-possibbiltà ta’ rimedju ġudizzjarju skont l-Artikolu 78.”

17

L-Artikolu 79 tal-GDPR, intitolat “Dritt għal rimedju ġudizzjarju effettiv kontra kontrollur jew proċessur”, jistabbilixxi, fil-paragrafu 1 tiegħu:

“Mingħajr preġudizzju għal kwalunkwe rimedju amministrattiv jew mhux ġudizzjarju disponibbli, inkluż id-dritt li jitressaq ilment quddiem awtorità superviżorja skont l-Artikolu 77, kull suġġett tad-data għandu d-dritt għal rimedju ġudizzjarju effettiv fejn jikkunsidra li nkisru d-drittijiet tiegħu taħt dan ir-Regolament b’riżultat tal-ipproċessar tad-data personali tiegħu b’nuqqas ta’ konformità ma’ dan ir-Regolament.”

18

L-Artikolu 82 ta’ dan ir-regolament, intitolat “Dritt għal kumpens u responsabbiltà”, jipprevedi fil-paragrafu 1 tiegħu:

“Kwalunkwe persuna li tkun ġarrbet xi dannu materjali jew mhux materjali b’riżultat ta’ ksur ta’ dan ir-Regolament għandu jkollha d-dritt li tirċievi kumpens mill-kontrollur jew il-proċessur għad-dannu mġarrab.”

19

Konformement mal-Artikolu 99(2) tiegħu, il-GDPR daħal fis-seħħ fil‑25 ta’ Mejju 2018.

20

Matul is-sena 2014, J.M., li dak iż-żmien kien impjegat u klijent ta’ Pankki S, sar jaf li d-data tiegħu bħala klijent kienet ġiet ikkonsultata minn membri tal-persunal tal-bank, diversi drabi, matul il-perijodu bejn l‑1 ta’ Novembru u l‑31 ta’ Diċembru 2013.

21

Peress li kellu dubji dwar il-legalità ta’ dawn il-konsultazzjonijiet, J.M. li, fil-frattemp, kien tkeċċa mix-xogħol tiegħu fi ħdan Pankki S, talab, fid‑29 ta’ Mejju 2018, lil din tal-aħħar tikkomunikalu l-identità tal-persuni li kkonsultaw id-data tiegħu bħala klijent, id-dati eżatti tal-konsultazzjonijiet kif ukoll l-għanijiet tal-ipproċessar tal-imsemmija data.

22

Fir-risposta tagħha tat‑30 ta’ Awwissu 2018, Pankki S, fil-kwalità tagħha ta’ kontrollur fis-sens tal-punt 7 tal-Artikolu 4 tal-GDPR, irrifjutat li tikkomunika l-identità tal-impjegati li wettqu l-operazzjonijiet ta’ konsultazzjoni minħabba li din l-informazzjoni kienet tikkostitwixxi d-data personali ta’ dawn l-impjegati.

23

Madankollu, f’din ir-risposta, Pankki S iċċarat l-operazzjonijiet ta’ konsultazzjoni mwettqa, fuq l-istruzzjonijiet tagħha, mid-dipartiment tal-verifika interna tagħha. Hija spjegat ukoll li klijent tal-bank li tiegħu J.M. kien il-konsulent għall-klijentela kien kreditur ta’ persuna li għandha wkoll il-kunjom ta’ J.M., b’tali mod li hija xtaqet tiċċara jekk ir-rikorrent fil-kawża prinċipali u d-debitur inkwistjoni kinux l-istess persuna u jekk setax ikun hemm relazzjoni eventwali ta’ kunflitti ta’ interessi mhux xierqa. Pankki S żiedet tgħid li l-kjarifika ta’ din il-kwistjoni kienet talbet li tiġi pproċessata d-data ta’ J.M. u li kull membru tal-persunal tal-bank li pproċessa din id-data kien għamel, mad-dipartiment tal-verifika interna, dikjarazzjoni dwar ir-raġunijiet għal dan l-ipproċessar ta’ data. Barra minn hekk, il-bank iddikjara li dawn il-konsultazzjonijiet ippermettew li jitneħħa kwalunkwe suspett ta’ kunflitt ta’ interess fir-rigward ta’ J.M..

24

J.M. adixxa lit-Tietosuojavaltuutetun toimisto (l-Uffiċċju tal-Uffiċjal tal-Protezzjoni tad-Data, il-Finlandja), l-awtorità superviżorja fis-sens tal-punt 21 tal-Artikolu 4 tal-GDPR, sabiex Pankki S tiġi ordnata tibgħatlu l-informazzjoni mitluba.

25

Permezz ta’ deċiżjoni tal‑4 ta’ Awwissu 2020, l-Assistent Uffiċjal tal-Protezzjoni ta-Data ċaħad it-talba ta’ J.M.. Huwa spjega li tali talba kienet intiża sabiex tippermettilu jaċċedi għal-log files tal-impjegati li pproċessaw id-data tiegħu, meta, bis-saħħa tal-prassi deċiżjonali tagħha, tali fajls jikkostitwixxu data personali mhux relatata mas-suġġett tad-data iżda mal-impjegati li pproċessaw id-data ta’ dan is-suġġett.

26

J.M. Ressaq rikors kontra din id-deċiżjoni quddiem il-qorti tar-rinviju.

27

Din il-qorti tfakkar li l-Artikolu 15 tal-GDPR jipprevedi d-dritt tas-suġġett tad-data li jikseb mingħand il-kontrollur l-aċċess għad-data pproċessata li tikkonċernaha kif ukoll l-informazzjoni relatata, b’mod partikolari, mal-għanijiet tal-ipproċessar u mad-destinatarji tad-data. Hija tistaqsi jekk il-komunikazzjoni tal-log files ġġenerati fl-okkażjoni tal-operazzjonijiet ta’ pproċessar, li jinkludu tali informazzjoni, b’mod partikolari l-identità tal-impjegati tal-kontrollur, hijiex koperta mill-Artikolu 15 tal-GDPR, peress li dawn il-fajls jistgħu jirriżultaw neċessarji għas-suġġett tad-data sabiex jevalwa l-legalità tal-ipproċessar li d-data tiegħu kienet suġġett għalih.

28

F’dawn iċ-ċirkustanzi, il-Itä-Suomen hallinto-oikeus (il-Qorti Amministrattiva tal-Finlandja tal-Lvant, il-Finlandja) iddeċidiet li tissospendi l-proċeduri quddiemha u li tagħmel lill-Qorti tal-Ġustizzja d-domandi preliminari li ġejjin:

29

Permezz tar-raba’ domanda tagħha, li għandha tiġi eżaminata qabel kollox, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 15 tal-GDPR, moqri fid-dawl tal-Artikolu 99(2) ta’ dan ir-regolament, huwiex applikabbli għal talba għal aċċess għall-informazzjoni msemmija fl-ewwel wieħed minn fost dawn id-dispożizzjonijiet meta l-operazzjonijiet ta’ pproċessar ikkonċernati minn din it-talba jkunu twettqu qabel id-data tad-dħul fis-seħħ tal-imsemmi regolament, iżda t-talba tkun tressqet wara din id-data.

30

Sabiex tingħata risposta għal din id-domanda, għandu jiġi rrilevat li, bis-saħħa tal-Artikolu 99(2) tal-GDPR, dan huwa applikabbli mill‑25 ta’ Mejju 2018.

31

Issa, f’dan il-każ, mid-deċiżjoni tar-rinviju jirriżulta li l-operazzjonijiet ta’ pproċessar ta’ data personali inkwistjoni fil-kawża prinċipali twettqu bejn l‑1 ta’ Novembru 2013 u l‑31 ta’ Diċembru 2013, jiġifieri qabel id-data tad-dħul fis-seħħ tal-GDPR. Madankollu, minn din id-deċiżjoni jirriżulta wkoll li J.M. ippreżenta t-talba tiegħu għal informazzjoni lil Pankki S wara din id-data, jiġifieri d‑29 ta’ Mejju 2018.

32

F’dan ir-rigward, għandu jitfakkar li r-regoli proċedurali huma ġeneralment maħsuba sabiex japplikaw fid-data ta’ meta jidħlu fis-seħħ, għall-kuntrarju tar-regoli sostantivi li ġeneralment jiġu interpretati li ma japplikawx għal sitwazzjonijiet li tnisslu u definittivament ġraw qabel id-dħul fis-seħħ tagħhom sa fejn jirriżulta b’mod ċar mill-kliem, mill-għan u mill-istruttura tagħhom li tali effett għandu jiġi assenjat lilhom (sentenza tal‑15 ta’ Ġunju 2021, Facebook Ireland et, C‑645/19, EU:C:2021:483, punt 100 kif ukoll il-ġurisprudenza ċċitata).

33

F’dan il-każ, mid-deċiżjoni tar-rinviju jirriżulta li t-talba ta’ J.M. li tiġi kkomunikata lilu l-informazzjoni inkwistjoni fil-kawża prinċipali hija marbuta mal-Artikolu 15(1) tal-GDPR, li jipprevedi d-dritt tas-suġġett tad-data li jikseb l-aċċess għad-data personali li tikkonċernah li hija s-suġġett ta’ pproċessar, kif ukoll għall-informazzjoni msemmija minn din id-dispożizzjoni.

34

Għandu jiġi kkonstatat li l-imsemmija dispożizzjoni ma tikkonċernax il-kundizzjonijiet ta’ legalità tal-ipproċessar li hija s-suġġett tagħha d-data personali tas-suġġett tad-data. Fil-fatt, l-Artikolu 15(1) tal-GDPR sempliċement jippreċiża l-portata tad-dritt ta’ aċċess ta’ dan is-suġġett għad-data u għall-informazzjoni li hija ssemmi.

35

Minn dan jirriżulta, kif irrileva l-Avukat Ġenerali fil-punt 33 tal-konklużjonijiet tiegħu, li l-Artikolu 15(1) tal-GDPR jagħti lis-suġġetti tad-data dritt ta’ natura proċedurali li jikkonsisti fil-kisba ta’ informazzjoni dwar l-ipproċessar tad-data personali tagħhom. Bħala regola proċedurali, din id-dispożizzjoni tapplika għat-talbiet għal aċċess imressqa mid-dħul fis-seħħ ta’ dan ir-regolament, bħat-talba ta’ J.M..

36

F’dawn iċ-ċirkustanzi, ir-risposta għar-raba’ domanda għandha tkun li l-Artikolu 15 tal-GDPR, moqri fid-dawl tal-Artikolu 99(2) ta’ dan ir-regolament, għandu jiġi interpretat fis-sens li huwa applikabbli għal talba għal aċċess għall-informazzjoni msemmija f’din id-dispożizzjoni meta l-operazzjonijiet ta’ pproċessar ikkonċernati minn din it-talba jkunu twettqu qabel id-data ta’ dħul fis-seħħ skont l-imsemmi regolament, iżda t-talba tkun tressqet wara din id-data.

37

Permezz tal-ewwel u tat-tieni domanda tagħha, li għandhom jiġu eżaminati flimkien, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 15(1) tal-GDPR għandux jiġi interpretat fis-sens li l-informazzjoni dwar operazzjonijiet ta’ konsultazzjoni ta’ data personali ta’ persuna, dwar id-dati u l-għanijiet ta’ dawn l-operazzjonijiet, kif ukoll l-identità tal-persuni fiżiċi li jkunu wettqu dawn l-operazzjonijiet, tikkostitwixxi informazzjoni li din il-persuna għandha d-dritt li tikseb mingħand il-kontrollur bis-saħħa ta’ din id-dispożizzjoni.

38

Qabel kollox, għandu jitfakkar li, skont ġurisprudenza stabbilita, l-interpretazzjoni ta’ dispożizzjoni tad-dritt tal-Unjoni teħtieġ li jittieħdu inkunsiderazzjoni mhux biss il-kliem tagħha, iżda wkoll il-kuntest tagħha kif ukoll l-għanijiet u l-finalità mfittxija mill-att li tagħmel parti minnu (sentenza tat‑12 ta’ Jannar 2023, Österreichische Post (Informazzjoni dwar ir-riċevituri tad-data personali), C‑154/21, EU:C:2023:3, punt 29).

39

Fir-rigward, qabel kollox, tal-formulazzjoni tal-Artikolu 15(1) tal-GDPR, din id-dispożizzjoni tipprevedi li s-suġġett tad-data għandu d-dritt li jikseb mingħand il-kontrollur il-konferma li d-data personali li tikkonċernah hija jew ma hijiex ipproċessata u, meta din tkun ipproċessata, l-aċċess għad-data personali kif ukoll għall-informazzjoni, b’mod partikolari, dwar l-għanijiet tal-ipproċessar u d-destinatarji jew il-kategoriji ta’ destinatarji li lilhom tkun ġiet ikkomunikata jew ser tiġi kkomunikata din id-data personali.

40

F’dan ir-rigward, għandu jiġi enfasizzat li l-kunċetti li jinsabu fl-Artikolu 15(1) tal-GDPR huma ddefiniti fl-Artikolu 4 ta’ dan ir-regolament.

41

Għalhekk, fl-ewwel lok, il-punt 1 tal-Artikolu 4 tal-GDPR jindika li tikkostitwixxi data personali “kwalunkwe informazzjoni relatata ma’ persuna fiżika identifikata jew identifikabbli” u jippreċiża li “persuna fiżika identifikabbli hija persuna li tista’ tiġi identifikata, direttament jew indirettament, b’mod partikolari b’referenza għal mezz ta’ identifikazzjoni bħal isem, numru ta’ identifikazzjoni, data ta’ lokalizzazzjoni, identifikatur online jew għal fattur wieħed jew aktar speċifiċi għall-identità fiżika, fiżjoloġika, ġenetika, mentali, ekonomika, kulturali jew soċjali ta’ dik il-persuna fiżika”.

42

L-użu tal-espressjoni “kwalunkwe informazzjoni” fil-kuntest tad-definizzjoni tal-kunċett ta’ “data personali”, li tinsab f’din id-dispożizzjoni, jirrifletti l-għan tal-leġiżlatur tal-Unjoni li jattribwixxi sens wiesa’ lil dan il-kunċett, li potenzjalment jiġbor fih kull tip ta’ informazzjoni, kemm oġġettiva kif ukoll suġġettiva, fil-forma ta’ opinjonijiet jew evalwazzjonijiet, bil-kundizzjoni li dawn “jikkonċernaw” lill-persuna inkwistjoni (sentenza tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF, C‑487/21, EU:C:2023:369, punt 23).

43

F’dan ir-rigward, ġie deċiż li informazzjoni tikkonċerna persuna fiżika identifikata jew identifikabbli meta, minħabba l-kontenut, l-għan jew l-effett tagħha, din tkun relatata ma’ persuna identifikabbli (sentenza tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF, C‑487/21, EU:C:2023:369, punt 24).

44

Fir-rigward tan-natura “identifikabbli” ta’ persuna, il-premessa 26 tal-GDPR tippreċiża li għandhom jitqiesu “l-mezzi kollha li raġonevolment x’aktarx ikunu jintużaw, bħas-singolarizzazzjoni, mill-kontrollur jew minn kwalunkwe persuna oħra sabiex persuna fiżika tiġi identifikata direttament jew indirettament”.

45

Minn dan jirriżulta li d-definizzjoni wiesgħa tal-kunċett ta’ “data personali” ma tkoprix biss id-data miġbura u miżmuma mill-kontrollur, iżda tinkludi wkoll l-informazzjoni kollha li tirriżulta minn ipproċessar ta’ data personali li tikkonċerna persuna identifikata jew identifikabbli (ara, f’dan is-sens, is-sentenza tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF, C‑487/21, EU:C:2023:369, punt 26).

46

Fit-tieni lok, fir-rigward tal-kunċett ta’ “pproċessar”, kif iddefinit fil-punt 2 tal-Artikolu 4 tal-GDPR, għandu jiġi kkonstatat li, bl-użu tal-espressjoni “kwalunkwe attività”, il-leġiżlatur tal-Unjoni ried jagħti lil dan il-kunċett portata wiesgħa billi jagħmel riferiment għal elenku mhux eżawrjenti ta’ operazzjonijiet applikati għal data jew għal settijiet ta’ data personali, li jkopru, fost l-oħrajn, il-ġbir, ir-reġistrazzjoni, iż-żamma jew anki l-konsultazzjoni (ara, f’dan is-sens, is-sentenza tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF, C‑487/21, EU:C:2023:369, punt 27).

47

Fit-tielet lok, il-punt 9 tal-Artikolu 4 tal-GDPR jippreċiża li, permezz ta’ “riċevitur”, għandu jinftiehem “persuna fiżika jew ġuridika, awtorità pubblika, aġenzija jew korp ieħor, li lilha tiġi żvelata d-data personali, irrispettivament milli huwiex parti terza jew le”.

48

F’dan ir-rigward, il-Qorti tal-Ġustizzja ddeċidiet li s-suġġett tad-data għandu d-dritt li jikseb mingħand il-kontrollur informazzjoni dwar id-destinatarji konkreti li lilhom ġiet jew ser tiġi kkomunikata d-data personali li tikkonċernah (sentenza tat‑12 ta’ Jannar 2023, Österreichische Post (Informazzjoni dwar ir-riċevituri tad-data personali), C‑154/21, EU:C:2023:3, punt 46).

49

Għaldaqstant, mill-analiżi testwali tal-Artikolu 15(1) tal-GDPR u mill-kunċetti li dan jinkludi jirriżulta li d-dritt ta’ aċċess li din id-dispożizzjoni tirrikonoxxi lis-suġġett tad-data huwa kkaratterizzat mill-portata wiesgħa tal-informazzjoni li l-kontrollur għall-ipproċessar tad-data għandu jipprovdi lil dan is-suġġett.

50

F’dak li jirrigwarda, sussegwentement, il-kuntest li jagħmel parti minnu l-Artikolu 15(1) tal-GDPR, għandu jitfakkar, fl-ewwel lok, li l-premessa 63 ta’ dan ir-regolament tipprevedi li kull suġġett tad-data għandu jkollu d-dritt li jkun jaf u li jiġi kkomunikat lilu, b’mod partikolari, l-għanijiet tal-ipproċessar tad-data personali, jekk ikun possibbli t-tul tal-ipproċessar ta’ din id-data personali u l-identità tad-destinatarji ta’ din id-data personali.

51

Fit-tieni lok, il-premessa 60 tal-GDPR tistabbilixxi li l-prinċipju ta’ pproċessar ġust u trasparenti jeżiġi li s-suġġett tad-data jiġi informat bl-eżistenza tal-operazzjoni ta’ pproċessar u l-għanijiet tagħha, filwaqt li jiġi enfasizzat li l-kontrollur għandu jipprovdi kwalunkwe informazzjoni oħra meħtieġa sabiex jiġi żgurat ipproċessar ġust u trasparenti, fid-dawl taċ-ċirkustanzi partikolari u tal-kuntest li fih tiġi pproċessata d-data personali. Barra minn hekk, konformement mal-prinċipju ta’ trasparenza, imsemmi mill-qorti tar-rinviju, li għalih tirreferi l-premessa 58 tal-GDPR u li tistabbilixxi espressament l-Artikolu 12(1) ta’ dan ir-regolament, kull informazzjoni indirizzata lis-suġġett tad-data għandha tkun konċiża, faċilment aċċessibbli u faċli li tinftiehem, u fformulata f’termini ċari u sempliċi.

52

F’dan ir-rigward, l-Artikolu 12(1) tal-GDPR jippreċiża li l-informazzjoni għandha tiġi pprovduta mill-kontrollur tad-data bil-miktub jew b’mezzi oħra, inkluż, fejn xieraq, b’mezzi elettroniċi, sakemm is-suġġett tad-data ma jitlobx li din tiġi pprovduta bil-fomm. Din id-dispożizzjoni, li hija l-espressjoni tal-prinċipju ta’ trasparenza, għandha l-għan li tiggarantixxi li l-persuna kkonċernata tkun f’pożizzjoni li tifhem b’mod sħiħ l-informazzjoni indirizzata lilha (sentenza tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF, C‑487/21, EU:C:2023:369, punt 38 kif ukoll il-ġurisprudenza ċċitata).

53

Mill-analiżi kuntestwali preċedenti jirriżulta li l-Artikolu 15(1) tal-GDPR jikkostitwixxi waħda mid-dispożizzjonijiet intiżi li tiggarantixxi t-trasparenza tal-modalitajiet ta’ pproċessar tad-data personali fir-rigward tas-suġġett tad-data.

54

Fl-aħħar, din l-interpretazzjoni tal-portata tad-dritt ta’ aċċess previst fl-Artikolu 15(1) tal-GDPR hija kkorroborata mill-għanijiet imfittxija minn dan ir-regolament.

55

Fil-fatt, l-ewwel, dan għandu l-għan, kif jindikaw il-premessi 10 u 11 tiegħu, li jiżgura livell koerenti u għoli ta’ protezzjoni tal-persuni fiżiċi fi ħdan l-Unjoni kif ukoll li jsaħħaħ u jippreċiża d-drittijiet tas-suġġett tad-data.

56

Barra minn hekk, kif jirriżulta mill-premessa 63 tal-GDPR, id-dritt ta’ persuna li jkollha aċċess għad-data personali tagħha u informazzjoni oħra msemmija fl-Artikolu 15(1) ta’ dan ir-regolament, għandu, qabelxejn, l-għan li jippermetti lil dan is-suġġett ikun jaf bl-ipproċessar tad-data tiegħu u jivverifika l-legalità tagħha. Minn dan isegwi, skont din il-premessa u kif indikat fil-punt 50 ta’ din is-sentenza, li kull suġġett tad-data għandu jkollu d-dritt li jkun jaf u li jiġi kkomunikat lilu, b’mod partikolari, l-għanijiet tal-ipproċessar tad-data personali, jekk ikun possibbli t-tul tal-ipproċessar, l-identità tad-destinatarji ta’ din id-data kif ukoll il-loġika li fuqha huwa bbażat l-ipproċessar tagħha.

57

F’dan ir-rigward, għandu jitfakkar, it-tieni, li l-Qorti tal-Ġustizzja diġà ddeċidiet li d-dritt ta’ aċċess previst fl-Artikolu 15 tal-GDPR għandu jippermetti lis-suġġett tad-data jiżgura ruħu li d-data personali li tikkonċernah tkun eżatta u li tiġi pproċessata b’mod legali (sentenza tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF, C‑487/21, EU:C:2023:369, punt 34).

58

B’mod partikolari, dan id-dritt ta’ aċċess huwa neċessarju sabiex jippermetti lis-suġġett tad-data jeżerċita, jekk ikun il-każ, id-dritt tiegħu għar-rettifika, id-dritt tiegħu għat-tħassir (“dritt li wieħed jintesa”) u, id-dritt tiegħu għar-restrizzjoni tal-ipproċessar, li huma rrikonoxxuti lilu, rispettivament, mill-Artikoli 16 sa 18 tal-GDPR, id-dritt tiegħu li joġġezzjona għall-ipproċessar tad-data personali tiegħu, previst fl-Artikolu 21 tal-GDPR, kif ukoll id-dritt tiegħu għal rimedju fil-każ ta’ dannu mġarrab, previst fl-Artikoli 79 u 82 tal-GDPR (sentenza tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF, C‑487/21, EU:C:2023:369, punt 35 kif ukoll il-ġurisprudenza ċċitata).

59

Għaldaqstant, l-Artikolu 15(1) tal-GDPR jikkostitwixxi waħda mid-dispożizzjonijiet intiżi li jiggarantixxu t-trasparenza tal-modalitajiet ta’ pproċessar tad-data personali fir-rigward tas-suġġett tad-data (sentenza tat‑12 ta’ Jannar 2023, Österreichische Post (Informazzjoni dwar ir-riċevituri tad-data personali), C‑154/21, EU:C:2023:3, punt 42), trasparenza li mingħajrha dan ma jkunx f’pożizzjoni li jevalwa l-legalità tal-ipproċessar tad-data tiegħu u jeżerċita l-prerogattivi previsti b’mod partikolari fl-Artikoli 16 sa 18, 21, 79 u 82 ta’ dan ir-regolament.

60

F’dan il-każ, mid-deċiżjoni tar-rinviju jirriżulta li J.M. talab lil Pankki S tikkomunikalu informazzjoni dwar l-operazzjonijiet ta’ konsultazzjoni li għalihom kienet is-suġġett id-data personali tiegħu bejn l‑1 ta’ Novembru 2013 u l‑31 ta’ Diċembru 2013, informazzjoni dwar id-dati ta’ dawn il-konsultazzjonijiet, l-għanijiet tagħhom u l-identità tal-persuni li wettqu l-imsemmija konsultazzjonijiet. Il-qorti tar-rinviju tindika li t-trażmissjoni tal-log files ġġenerati fl-okkażjoni tal-imsemmija operazzjonijiet tippermetti li tiġi ssodisfatta t-talba ta’ J.M..

61

F’dan il-każ, ma huwiex ikkontestat li l-operazzjonijiet ta’ konsultazzjoni li għalihom kienet is-suġġett id-data personali tar-rikorrent fil-kawża prinċipali jikkostitwixxu “ipproċessar”, fis-sens tal-punt 2 tal-Artikolu 4 tal-GDPR, b’tali mod li jagħtuh, bis-saħħa tal-Artikolu 15(1) ta’ dan ir-regolament, mhux biss dritt għall-aċċess għal din id-data personali, iżda wkoll dritt li tiġi kkomunikata lilu l-informazzjoni b’rabta ma’ dawn l-operazzjonijiet, kif imsemmija minn din l-aħħar dispożizzjoni.

62

Fir-rigward tal-informazzjoni bħal dik mitluba minn J.M., il-komunikazzjoni, qabel kollox, tad-dati tal-operazzjonijiet ta’ konsultazzjoni hija ta’ natura li tippermetti lis-suġġett tad-data jikseb il-konferma li d-data personali tiegħu ġiet effettivament ipproċessata f’mument partikolari. Barra minn hekk, peress li l-kundizzjonijiet ta’ legalità previsti fl-Artikoli 5 u 6 tal-GDPR għandhom jiġu ssodisfatti fil-mument tal-ipproċessar stess, id-data tiegħu tikkostitwixxi element li jippermetti li tiġi vverifikata l-legalità tiegħu. Sussegwentement, għandu jiġi rrilevat li l-informazzjoni dwar l-għanijiet tal-ipproċessar hija espressament imsemmija fl-Artikolu 15(1)(a) ta’ dan ir-regolament. Fl-aħħar, l-Artikolu 15(1)(c) tal-imsemmi regolament jipprevedi li l-kontrollur għandu jinforma lis-suġġett tad-data bid-destinatarji li lilhom tkun ġiet ikkomunikata d-data tiegħu.

63

F’dak li jirrigwarda, b’mod iktar partikolari, il-komunikazzjoni ta’ din l-informazzjoni kollha bil-provvista ta’ log files relatati mal-operazzjonijiet ta’ pproċessar inkwistjoni fil-kawża prinċipali, għandu jiġi rrilevat li l-ewwel sentenza tal-Artikolu 15(3) tal-GDPR tipprovdi li l-kontrollur “għandu jipprovdi kopja tad-data personali li tkun qiegħda tiġi pproċessata”.

64

F’dan ir-rigward, il-Qorti tal-Ġustizzja diġà ddeċidiet li l-kunċett ta’ “kopja” hekk użat jindika r-riproduzzjoni jew it-traskrizzjoni fidila ta’ oriġinal, b’tali mod li deskrizzjoni purament ġenerali tad-data li tkun qed tiġi pproċessata jew riferiment għal kategoriji ta’ data personali ma tkunx tikkorrispondi għal din id-definizzjoni. Barra minn hekk, mill-kliem tal-ewwel sentenza tal-Artikolu 15(3) ta’ dan ir-regolament jirriżulta li l-obbligu ta’ komunikazzjoni huwa marbut mad-data personali li hija s-suġġett tal-ipproċessar inkwistjoni (sentenza tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF, C‑487/21, EU:C:2023:369, punt 21).

65

Il-kopja li l-kontrollur huwa obbligat li jipprovdi għandha tinkludi d-data personali kollha li tkun is-suġġett ta’ pproċessar, tippreżenta l-karatteristiċi kollha li jippermettu lis-suġġett tad-data jeżerċita effettivament id-drittijiet tiegħu taħt l-imsemmi regolament u, konsegwentement, tirriproduċi b’mod sħiħ u preċiż din id-data (ara, f’dan is-sens, is-sentenza tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF, C‑487/21, EU:C:2023:369, punti 32 u 39).

66

Sabiex jiġi żgurat li l-informazzjoni pprovduta b’dan il-mod tkun tista’ tinftiehem faċilment, kif jeżiġi l-Artikolu 12(1) tal-GDPR, moqri flimkien mal-premessa 58 ta’ dan ir-regolament, ir-riproduzzjoni ta’ estratti ta’ dokumenti jew ta’ dokumenti sħaħ jew anki ta’ estratti ta’ databases li jinkludu, fost oħrajn, id-data personali li tkun is-suġġett ta’ pproċessar tista’ tirriżulta indispensabbli fil-każ fejn il-kuntestwalizzazzjoni tad-data pproċessata tkun neċessarja sabiex tiġi żgurata l-komprensibbiltà tagħha. B’mod partikolari, meta data personali tiġi ġġenerata minn data oħra jew meta tali data tirriżulta minn oqsma liberi, jiġifieri assenza ta’ indikazzjoni li tiżvela informazzjoni dwar is-suġġett tad-data, il-kuntest li fih din id-data tkun is-suġġett ta’ pproċessar huwa element indispensabbli sabiex is-suġġett tad-data jkun jista’ jkollu aċċess trasparenti u preżentazzjoni li tinftiehem ta’ din id-data (sentenza tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF, C‑487/21, EU:C:2023:369, punt 41 u 42).

67

F’dan il-każ, hekk kif irrileva l-Avukat Ġenerali fil-punti 88 sa 90 tal-konklużjonijiet tiegħu, il-log files, li jinkludu l-informazzjoni mitluba minn J.M., jikkorrispondu għal reġistri ta’ attivitajiet, fis-sens tal-Artikolu 30 tal-GDPR. Għandu jitqies li dawn jaqgħu taħt il-miżuri, imsemmija fil-premessa 74 ta’ dan ir-regolament, implimentati mill-kontrollur sabiex tintwera l-konformità tal-attivitajiet ta’ pproċessar mal-imsemmi regolament. L-Artikolu 30(4) tal-istess regolament jippreċiża b’mod partikolari li huma għandhom jitqiegħdu għad-dispożizzjoni tal-awtorità superviżorja fuq talba tagħha.

68

Sa fejn dawn ir-reġistri ta’ attivitajiet ma jinkludux informazzjoni dwar persuna fiżika identifikata jew identifikabbli fis-sens tal-ġurisprudenza mfakkra fil-punti 42 u 43 ta’ din is-sentenza, dawn jippermettu biss lill-kontrollur jissodisfa l-obbligi tiegħu fil-konfront tal-awtorità superviżorja li titlob il-provvista tagħhom.

69

Fir-rigward b’mod iktar partikolari tal-log files tal-kontrollur, il-komunikazzjoni ta’ kopja tal-informazzjoni li tinsab f’dawn il-fajls tista’ tirriżulta neċessarja sabiex jiġi ssodisfatt l-obbligu li s-suġġett tad-data jingħata l-aċċess għall-informazzjoni kollha msemmija fl-Artikolu 15(1) tal-GDPR u sabiex jiġi żgurat ipproċessar ġust u trasparenti, li jippermettilu għalhekk li jinvoka b’mod sħiħ id-drittijiet li huwa jislet minn dan ir-regolament.

70

Fil-fatt, l-ewwel, tali fajls jiżvelaw l-eżistenza ta’ pproċessar ta’ data, informazzjoni li s-suġġett tad-data għandu jkollu aċċess għaliha bis-saħħa tal-Artikolu 15(1) tal-GDPR. Barra minn hekk, huma għandhom jipprovdu informazzjoni dwar il-frekwenza u l-intensità tal-operazzjonijiet ta’ konsultazzjoni li b’hekk jippermettu lis-suġġett tad-data li jiżgura li l-ipproċessar imwettaq ikun effettivament motivat mill-għanijiet avvanzati mill-kontrollur.

71

It-tieni, dawn il-fajls jinkludu l-informazzjoni dwar l-identità tal-persuni li wettqu l-operazzjonijiet ta’ konsultazzjoni.

72

F’dan il-każ, mid-deċiżjoni tar-rinviju jirriżulta li l-persuni li wettqu l-operazzjonijiet ta’ konsultazzjoni inkwistjoni fil-kawża prinċipali huma impjegati ta’ Pankki S li aġixxew taħt l-awtorità tagħha u konformement mal-istruzzjonijiet tagħha.

73

Jekk mill-Artikolu 15(1)(c) tal-GDPR jirriżulta li s-suġġett tad-data għandu d-dritt li jikseb mingħand il-kontrollur l-informazzjoni dwar id-destinatarji jew il-kategoriji ta’ destinatarji li lilhom tkun ġiet ikkomunikata jew ser tiġi kkomunikata d-data personali, l-impjegati tal-kontrollur ma jistgħux jitqiesu li huma “destinatarji”, fis-sens tal-Artikolu 15(1)(c) tal-GDPR kif imfakkar fil-punti 47 u 48 ta’ din is-sentenza, meta jipproċessaw data personali taħt l-awtorità tal-imsemmi kontrollur u konformement mal-istruzzjonijiet tiegħu, kif irrileva l-Avukat Ġenerali fil-punt 63 tal-konklużjonijiet tiegħu.

74

F’dan ir-rigward, għandu jiġi enfasizzat li, konformement mal-Artikolu 29 tal-GDPR, kull persuna li taġixxi taħt l-awtorità tal-persuna responsabbli għall-ipproċessar, li jkollha aċċess għal data personali, tista’ tipproċessa din id-data biss fuq istruzzjonijiet tal-imsemmi kontrollur.

75

Madankollu, l-informazzjoni li tinsab fil-log files dwar il-persuni li jkunu wettqu konsultazzjonijiet tad-data personali tas-suġġett tad-data tista’ tikkostitwixxi informazzjoni li taqa’ taħt dik imsemmija fil-punt 1 tal-Artikolu 4 tal-GDPR, kif imfakkra fil-punt 41 ta’ din is-sentenza, li tista’ tippermettilu jivverifika l-legalità tal-ipproċessar tad-data tiegħu u, b’mod partikolari, jiżgura ruħu li l-operazzjonijiet ta’ pproċessar ikunu effettivament twettqu taħt l-awtorità tal-kontrollur tal-ipproċessar u konformement mal-istruzzjonijiet tagħha.

76

Madankollu, l-ewwel, mid-deċiżjoni tar-rinviju jirriżulta li l-informazzjoni li tinsab f’log files bħal dawk inkwistjoni fil-kawża prinċipali tippermetti li jiġu identifikati l-impjegati li wettqu l-operazzjonijiet ta’ pproċessar u li jinkludu data personali ta’ dawn l-impjegati, fis-sens tal-punt 1 tal-Artikolu 4 tal-GDPR.

77

F’dan ir-rigward, għandu jitfakkar li, fir-rigward tad-dritt ta’ aċċess previst fl-Artikolu 15 tal-GDPR, il-premessa 63 ta’ dan ir-regolament tippreċiża li “[d]ak id-dritt ma għandux jaffettwa negattivament id-drittijiet jew il-libertajiet ta’ persuni oħrajn”.

78

Fil-fatt, bis-saħħa tal-premessa 4 tal-GDPR, id-dritt għall-protezzjoni tad-data personali ma huwiex dritt assolut, peress li għandu jitqies fid-dawl tal-funzjoni tiegħu fis-soċjetà u għandu jiġi bbilanċjat ma’ drittijiet fundamentali oħra (ara, f’dan is-sens, is-sentenza tas‑16 ta’ Lulju 2020, Facebook Ireland u Schrems, C‑311/18, EU:C:2020:559, punt 172).

79

Issa, kieku l-komunikazzjoni tal-informazzjoni dwar l-identità tal-impjegati tal-kontrollur lis-suġġett tad-data tista’ tirriżulta neċessarja għal dan tal-aħħar sabiex jiżgura l-legalità tal-ipproċessar tad-data personali tiegħu, din tista’ madankollu tippreġudika d-drittijiet u l-libertajiet ta’ dawn l-impjegati.

80

F’dawn iċ-ċirkustanzi, fil-każ ta’ kunflitt bejn, minn naħa, l-eżerċizzju ta’ dritt ta’ aċċess li jiżgura l-effett utli tad-drittijiet irrikonoxxuti mill-GDPR lis-suġġett tad-data u, min-naħa l-oħra, id-drittijiet jew il-libertajiet ta’ ħaddieħor, għandhom jiġu bbilanċjati d-drittijiet u l-libertajiet inkwistjoni. Sa fejn huwa possibbli, għandhom jintgħażlu modalitajiet li ma jippreġudikawx id-drittijiet jew il-libertajiet ta’ oħrajn, filwaqt li jittieħed inkunsiderazzjoni l-fatt li dawn il-kunsiderazzjonijiet “m’għandux ikun rifjut li tiġi provduta l-informazzjoni kollha lis-suġġett tad-data”, kif jirriżulta mill-premessa 63 tal-GDPR (ara, f’dan is-sens, is-sentenza tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF, C‑487/21, EU:C:2023:369, punt 44).

81

Madankollu, it-tieni, mid-deċiżjoni tar-rinviju jirriżulta li J.M. ma jitlobx li jingħata informazzjoni dwar l-identità tal-impjegati ta’ Pankki S li wettqu l-operazzjonijiet ta’ konsultazzjoni tad-data personali tiegħu, minħabba li huma ma aġixxewx effettivament taħt l-awtorità u konformement mal-istruzzjonijiet tal-kontrollur, iżda jidher li jiddubita mill-veraċità tal-informazzjoni dwar l-għan ta’ dawn il-konsultazzjonijiet li ġiet ikkomunikata lilu minn Pankki S.

82

F’tali ċirkustanzi, jekk is-suġġett tad-data kellu jqis li l-informazzjoni kkomunikata mill-kontrollur hija insuffiċjenti sabiex ikun jista’ jneħħi d-dubji li huwa għandu dwar il-legalità tal-ipproċessar tad-data personali tiegħu, huwa għandu d-dritt li jressaq ilment quddiem l-awtorità superviżorja abbażi tal-Artikolu 77(1) tal-GDPR, peress li din l-awtorità għandha s-setgħa, bis-saħħa tal-Artikolu 58(1)(a) ta’ dan ir-regolament, li titlob lill-kontrollur jikkomunikalha kull informazzjoni li hija għandha bżonn sabiex teżamina l-ilment tas-suġġett tad-data.

83

Mill-kunsiderazzjonijiet preċedenti jirriżulta li l-Artikolu 15(1) tal-GDPR għandu jiġi interpretat fis-sens li l-informazzjoni dwar operazzjonijiet ta’ konsultazzjoni ta’ data personali ta’ persuna, dwar id-dati u l-għanijiet ta’ dawn l-operazzjonijiet, tikkostitwixxi informazzjoni li din il-persuna għandha d-dritt li tikseb mingħand il-kontrollur bis-saħħa ta’ din id-dispożizzjoni. Għall-kuntrarju, l-imsemmjia dispożizzjoni ma tistabbilixxix tali dritt fir-rigward tal-informazzjoni dwar l-identità tal-impjegati tal-imsemmi kontrollur li jkunu wettqu dawn l-operazzjonijiet taħt l-awtorità tiegħu u konformement mal-istruzzjonijiet tiegħu, sakemm din l-informazzjoni ma tkunx indispensabbli sabiex tippermetti lis-suġġett tad-data jeżerċita effettivament id-drittijiet mogħtija lilu minn dan ir-regolament u bil-kundizzjoni li jittieħdu inkunsiderazzjoni d-drittijiet u l-libertajiet ta’ dawn l-impjegati.

84

Permezz tat-tielet domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk il-fatt, minn naħa, li l-kontrollur jeżerċita attività bankarja fil-kuntest ta’ missjoni rregolata u, min-naħa l-oħra, li l-persuna li d-data personali tagħha ġiet ipproċessata fil-kwalità tagħha ta’ klijent tal-kontrollur kienet ukoll l-impjegat ta’ dan il-kontrollur, huwiex rilevanti għall-finijiet tad-definizzjoni tal-portata tad-dritt ta’ aċċess li jirrikonoxxilha l-Artikolu 15(1) tal-GDPR.

85

Qabelxejn, għandu jiġi enfasizzat li, fir-rigward tal-kamp ta’ applikazzjoni tad-dritt ta’ aċċess previst fl-Artikolu 15(1) tal-GDPR, ebda dispożizzjoni ta’ dan ir-regolament ma tagħmel distinzjoni skont in-natura tal-attivitajiet tal-kontrollur jew il-kwalità tal-persuna li d-data personali tagħha tkun is-suġġett ta’ pproċessar.

86

Fir-rigward, minn naħa, tan-natura rregolata tal-attività ta’ Pankki S, l-Artikolu 23 tal-GDPR ċertament jippermetti lill-Istati Membri jillimitaw, permezz ta’ miżuri leġiżlattivi, il-portata tal-obbligi u tad-drittijiet previsti b’mod partikolari fl-Artikolu 15 ta’ dan ir-regolament.

87

Madankollu, mid-deċiżjoni tar-rinviju ma jirriżultax li l-attività ta’ Pankki S hija suġġetta għal tali leġiżlazzjoni.

88

Fir-rigward, min-naħa l-oħra, tal-fatt li J.M. kien kemm klijent kif ukoll impjegat ta’ Pankki S, għandu jiġi rrilevat li, fid-dawl mhux biss tal-għanijiet tal-GDPR iżda wkoll tal-portata tad-dritt ta’ aċċess li minnu jibbenefika s-suġġett tad-data, kif imfakkra fil-punti 49 u 55 sa 59 ta’ din is-sentenza, il-kuntest li fih dan is-suġġett tad-data jitlob aċċess għall-informazzjoni msemmija fl-Artikolu 15(1) tal-GDPR ma jista’ jeżerċita ebda influwenza fuq il-portata ta’ dan id-dritt.

89

Konsegwentement, l-Artikolu 15(1) tal-GDPR għandu jiġi interpretat fis-sens li l-fatt li l-kontrollur jeżerċita attività bankarja fil-kuntest ta’ missjoni rregolata u li l-persuna li d-data personali tagħha ġiet ipproċessata fil-kwalità tagħha ta’ klijent tal-kontrollur kienet ukoll l-impjegat ta’ dan il-kontrollur, bħala prinċipju, ma huwiex rilevanti fuq il-portata tad-dritt li tibbenefika minnu din il-persuna bis-saħħa ta’ din id-dispożizzjoni.

90

Peress li l-proċedura għandha, fir-rigward tal-partijiet fil-kawża prinċipali, in-natura ta’ kwistjoni mqajma quddiem il-qorti tar-rinviju, hija din il-qorti li tiddeċiedi fuq l-ispejjeż. L-ispejjeż sostnuti għas-sottomissjoni tal-osservazzjonijiet lill-Qorti tal-Ġustizzja, barra dawk tal-imsemmija partijiet, ma jistgħux jitħallsu lura.

Għal dawn il-motivi, Il-Qorti tal-Ġustizzja (L‑Ewwel Awla) taqta’ u tiddeċiedi: