SENTENZA TAL-QORTI TAL-ĠUSTIZZJA (Awla Manja)

5 ta’ Ġunju 2018 ( *1 )

“Rinviju għal deċiżjoni preliminari – Direttiva 95/46/KE – Data personali – Protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ din id-data personali – Ordni intiża għal diżattivazzjoni ta’ paġna tal-fans ta’ Facebook (fan page) li tippermetti l-ġabra u l-ipproċessar tad-data ta’ min jaċċessa din il-paġna – Artikolu 2(d) – Kontrollur tal-ipproċessar ta’ data personali – Artikolu 4 – Dritt nazzjonali applikabbli – Artikolu 28 – Awtoritajiet nazzjonali ta’ superviżjoni – Setgħat ta’ intervent ta’ dawn l-awtoritajiet”

Fil-Kawża C‑210/16,

li għandha bħala suġġett talba għal deċiżjoni preliminari skont l-Artikolu 267 TFUE, imressqa mill-Bundesverwaltungsgericht (il-Qorti Amministrattiva Federali, il-Ġermanja), permezz ta’ deċiżjoni tal‑25 ta’ Frar 2016, li waslet fil-Qorti tal-Ġustizzja fl‑14 ta’ April 2016, fil-proċedura

Unabhängiges Landeszentrum für Datenschutz Schleswig‑Holstein

Wirtschaftsakademie Schleswig‑Holstein GmbH,

fil-preżenza ta’:

Facebook Ireland Ltd,

Vertreter des Bundesinteresses beim Bundesverwaltungsgericht,

IL-QORTI TAL-ĠUSTIZZJA (Awla Manja),

komposta minn K. Lenaerts, President, A. Tizzano (Relatur), Viċi President, M. Ilešič, L. Bay Larsen, T. von Danwitz, A. Rosas, J. Malenovský u E. Levits, Presidenti ta’ Awla, E. Juhász, A. Borg Barthet, F. Biltgen, K. Jürimäe, C. Lycourgos, M. Vilaras u E. Regan, Imħallfin,

Avukat Ġenerali: Y. Bot,

Reġistratur: C. Strömholm, Amministratur,

wara li rat il-proċedura bil-miktub u wara s-seduta tas‑27 ta’ Ġunju 2017,

wara li kkunsidrat l-osservazzjonijiet ippreżentati:

–	għall-Unabhängiges Landeszentrum für Datenschutz Schleswig‑Holstein, minn U. Karpenstein u M. Kottmann, Rechtsanwälte,

–	għal Wirtschaftsakademie Schleswig‑Holstein GmbH, minn C. Wolff, Rechtsanwalt,

–	għal Facebook Ireland Ltd, minn C. Eggers, H.‑G. Kamann u M. Braun, Rechtsanwälte, kif ukoll minn I. Perego, avvocato,

–	għall-Gvern Ġermaniż, minn T. Henze u J. Möller, bħala aġenti,

–	għall-Gvern Belġjan, minn L. Van den Broeck, C. Pochet, P. Cottin u J.‑C. Halleux, bħala aġenti,

–	għall-Gvern Ċek, minn M. Smolek, J. Vláčil u L. Březinová, bħala aġenti,

–	għall-Irlanda, minn M. Browne, L. Williams, E. Creedon, G. Gilmore u A. Joyce, bħala aġenti,

–	għall-Gvern Taljan, minn G. Palmieri, bħala aġent, assistita minn P. Gentili, avvocato dello Stato,

–	għall-Gvern Olandiż, minn C. S. Schillemans u M. K. Bulterman, bħala aġenti,

–	għall-Gvern Finlandiż, minn J. Heliskoski, bħala aġent,

–	għall-Kummissjoni Ewropea, minn H. Krämer u D. Nardi, bħala aġenti,

wara li semgħet il-konklużjonijiet tal-Avukat Ġenerali, ippreżentati fis-seduta tal‑24 ta’ Ottubru 2017,

tagħti l-preżenti

Sentenza

It-talba għal deċiżjoni preliminari tirrigwarda l-interpretazzjoni tad-Direttiva 95/46/KE tal-Parlament Ewropew u tal-Kunsill tal‑24 ta’ Ottubru 1995 dwar il-protezzjoni ta’ individwi fir-rigward ta’ l-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ dik id-data (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 13, Vol. 15, p. 355).

Din it-talba ġiet imressqa fil-kuntest ta’ kawża bejn l-Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (l-Awtorità Reġjonali Indipendenti tal-Protezzjoni tad-Data ta’ Schleswig-Holstein, il-Ġermanja) (iktar ’il quddiem l-“ULD”) u Wirtschaftsakademie Schleswig-Holstein GmbH, kumpannija rregolata mid-dritt privat, speċjalizzata fil-qasam tal-edukazzjoni (iktar ’il quddiem “Wirtschaftsakademie”), dwar il-legalità ta’ ordni maħruġa mill-ULD sabiex Wirtschaftsakademie tiddiżattiva il-paġna tal-fans tagħha ospitata fuq is-sit tan-netwerk soċjali Facebook (iktar ’il quddiem “Facebook”).

Il-kuntest ġuridiku

Id-dritt tal-Unjoni

Il-premessi 10, 18, 19 u 26 tad-Direttiva 95/46 jistabbilixxu:

“10.

Billi l-għan tal-liġijiet nazzjonali dwar il-proċessar ta’ data personali huwa l-protezzjoni tad-drittijiet u l-libertajiet fundamentali, l-aktar id-dritt għall-ħajja privata, li huwa rikonoxxut kemm fl-Artikolu 8 tal-Konvenzjoni Ewropea għall-Protezzjoni tad-Drittijiet tal-Bniedem u tal-Libertajiet Fundamentali u fil-prinċipji ġenerali tal-liġi tal-[Unjoni]; billi, għal dik ir-raġuni, l-approssimazzjoni ta’ dawk il-liġijiet m’għandhiex bħala riżultat ta’ dan tnaqqas mill-protezzjoni minnhom mogħtija, imma għandha, għall-kuntrarju, tfittex li tassigura grad għoli ta’ protezzjoni [fl-Unjoni];

[…]

18.

Billi, sabiex ikun assigurat li individwi ma jiċċaħdux mill-protezzjoni li għandhom dritt għaliha b’din id-Direttiva, kull ipproċessar ta’ data personali [fl-Unjoni] għandu jsir skond il-liġi ta’ wieħed mill-Istati Membri; billi, f’dan il-qasam, l-ipproċessar magħmul taħt ir-responsabbiltà ta’ kontrollur li jkun stabbilit fi Stat Membru għandha jkun regolat bil-liġi ta’ dak l-Istat;

19.

Billi stabbiliment fit-territorju ta’ Stat Membru jfisser l-eżerċizzju effettiv u reali ta’ attività permezz ta’ arranġamenti stabbli; billi l-forma legali ta’ stabbiliment bħal dan, kemm jekk sempliċi fergħa jew sussidjarju b’personalità ġuridika, mhux il-fattur determinanti dwar dan; billi, meta kontrollur wieħed ikun stabbilit fit-territorju ta’ diversi Stati Membri, partikolarment permezz ta’ sussidjarji, huwa għandu jassigura, sabiex ma jkunux skartati regoli nazzjonali, li kull stabbiliment jissodisfa l-obbligazzjonijiet tal-liġi nazzjonali li jkunu japplikaw għall-attivitajiet tiegħu;

[…]

26.

Billi l-prinċipji ta’ protezzjoni għandhom ikunu applikabbli għal kull informazzjoni li jkollha x’taqsam ma’ persuna identifikata jew identifikabbli; billi, biex ikun stabbilit jekk persuna tkunx identifikabbli, għandhom jitqiesu l-mezzi kollha li raġonevolment aktax jintużaw mill-kontrollur jew minn persuna oħra biex tkun identifikata l-imsemmija persuna; billi l-prinċipji ta’ protezzjoni m’għandhomx ikunu applikati għal data mogħti b’mod anonimu tant illi s-suġġett tad-data ma jkunx aktar identifikabbli; […]”

L-Artikolu 1 tad-Direttiva 95/46, intitolat “Għan tad-Direttiva”, jipprevedi:

“1. Skond din id-Direttiva, Stati Membri għandhom jipproteġu d-drittijiet fundamentali u l-libertajiet ta’ persuna naturali, u partikolarment tad-dritt tagħhom għall-ħajja privata dwar l-ipproċessar ta’ data personali.

2. Stati Membri m’għandhomx jirrestrinġu jew jipprojbixxu it-tixrid ħieles ta’ data personali bejn Stati Membri għal raġunijiet li jkollhom x’jaqsmu mal-protezzjoni mogħtija fil-paragrafu 1.”

L-Artikolu 2 ta’ din id-direttiva, intitolat “Definizzjonijiet”, huwa fformulat kif ġej:

“Għall-finijiet ta’ din id-Direttiva:

[…]

(b)

‘ipproċessar ta’ data personali’ (‘ipproċessar’) tfisser kull operazzjoni jew sett ta’ operazzjonijiet li jsiru fuq data personali, b’mezzi awtomatiċi jew mingħajrhom, bħalma huma l-ġbir, reġistrazzjoni, organizzazzjoni, ħażna, adattament jew bdil, rkupru, konsultazzjoni, użu, żvelar bi trasmissjoni, tixrid jew li xort’oħra jagħmlu l-ipproċessar disponibbli jew li jġibu allineament, taħlita, imblokk, tħassir jew distruzzjoni;

[…]

(d)

‘kontrollur’ tfisser persuna naturali jew ġuridika, awtorità pubblika, aġenzija jew korp ieħor li waħdu jew flimkien ma’ oħrajn jiddetermina l-finijiet u l-mezzi ta’ l-ipproċessar ta’ data personali; meta l-finijiet u l-mezzi ta’ l-ipproċessar ikunu determinati minn liġijiet jew regolamenti nazzjonali jew tal-[Unjoni], il-kontrollur jew il-kriterji speċifiċi għan-nomina tiegħu jistgħu jkunu stabbiliti b’liġijiet nazzjonali jew tal-[Unjoni];

(e)	‘proċessur’ tfisser persuna naturali jew ġuridika, awtorità pubblika, aġenzija jew korp ieħor li jipproċessa data personali f’isem il-kontrollur;

(f)	‘parti terza’ tfisser persuna naturali jew ġuridika, awtorità pubblika, aġenzija jew korp ieħor li ma jkunx is-suġġett tad-data, il-kontrollur, il-proċessur u l-persuna li, taħt l-awtorità diretta tal-kontrollur jew tal-proċessur, ikunu awtorizzati li jipproċessaw id-data;

[…]”

L-Artikolu 4 tal-imsemmija direttiva, intitolat “Il-Liġi nazzjonali applikabbli”, jistabbilixxi, fil-paragrafu 1 tiegħu:

“Kull Stat Membru għandu japplika d-dispożizzjonijiet nazzjonali li hu jadotta skond din id-Direttiva għall-ipproċessar ta’ data personali meta:

(a)

l-ipproċessar isir fil-kuntest ta’ l-attivitajiet ta’ stabbiliment tal-kontrollur fit-territorju ta’ l-Istat Membru; meta l-istess kontrollur ikun stabbilit fit-territorju ta’ diversi Stati Membri, hu għandu jieħu l-miżuri meħtieġa biex jassigura li kull wieħed minn dawk l-istabbilimenti jkunu konformi ta’ l-obbligazzjonijiet meħtieġa mill-liġi nazzjonali li tkun tapplika;

(b)	il-kontrollur ma jkunx stabbilit fit-territorju ta’ l-Istat Membru, imma f’post fejn il-liġi nazzjonali ta’ dak l-Istat tkun tapplika skond il-liġi pubblika internazzjonali;

(ċ)

il-kontrollur ma jkunx stabbilit fit-territorju tal-[Unjoni] u, għall-finijiet ta’ l-ipproċessar ta’ data personali jagħmel użu minn tagħmir, awtomatizzat jew xort’oħra, li jkun jinsab fit-territorju ta’ l-imsemmi Stat Membru, sakemm dak it-tagħmir jintuża biss għal għanijiet ta’ trasmissjoni fit-territorju tal-[Unjoni].”

L-Artikolu 17 tad-Direttiva 95/46, intitolat “Sigurtà ta’ l-ipproċessar”, jiddisponi, fil-paragrafi 1 u 2 tiegħu:

“1. Stati Membri għandhom jipprovdu li l-kontrollur għandu jimplimenta miżuri tekniċi u organizzattivi xierqa biex jagħtu protezzjoni lil data personali kontra distruzzjoni aċċidentali jew illegali jew telf aċċidentali, tibdil, żvelar jew aċċess mhux awtorizzat, partikolarment meta l-ipproċessar ikollu x’jaqsam mat-trasmissjoni ta’ data fuq network, u kontra kull forma oħra illegali ta’ ipproċessar.

Meħud kont ta’ l-iktar teknika avvanzata u n-nefqa biex ikunu implimentati, dawn il-miżuri għandhom jassiguraw livell xieraq ta’ sigurtà kontra r-riskji li l-ipproċessar u n-natura tad-data li għandha tkun protetta iġibu magħhom.

2. L-Istati Membri għandhom jipprovdu li meta l-ipproċessar isir f’isem il-kontrollur, huwa għandu jagħżel proċessur li jagħti garanziji suffiċjenti dwar miżuri tekniċi ta’ sigurtà u miżuri organizzattivi li jirregolaw l-ipproċessar li jkollu jsir, u għandu jassigura li jitħarsu dawk il-miżuri.”

L-Artikolu 24 ta’ din id-direttiva, intitolat “Sanzjonijiet”, jipprevedi:

“L-Istati Membri għandhom jadottaw miżuri xierqa biex jassiguraw l-implementazzjoni sħieħa tad-dispożizzjonijiet ta’ din id-Direttiva u għandhom partikolarment jistabbilixxu s-sanzjonijiet li għandhom jingħataw f’każ ta’ ksur tad-dispożizzjonijiet adottati skond din id-Direttiva.”

L-Artikolu 28 tal-imsemmija direttiva, intitolat “Awtorità ta’ superviżjoni”, huwa fformulat kif ġej:

“1. Kull Stat Membru għandu jipprovdi li awtorità pubblika waħda jew aktar ikunu responsabbli tas-sorveljanza ta’ l-applikazzjoni fit-territorju tiegħu tad-dispożizzjonijiet adottati mill-Istati Membri skond din id-Direttiva.

Dawn l-awtoritajiet għandhom jaġixxu b’indipendenza sħiħa fl-eżerċizzju tal-funzjonijiet fdati lilhom.

2. Kull Stat Membru għandu jipprovdi li l-awtoritajiet ta’ superviżjoni jiġu kkonsultati meta jkunu qed iħejju miżuri amministrattivi jew regolamenti li jkollhom x’jaqsmu mal-protezzjoni tad-drittijiet u l-libertajiet ta’ l-individwu fl-ipproċessar ta’ data personali.

3. Kull awtorità għandha jkollha partikolarment:

–	setgħat investigattivi, bħalma huma setgħat ta’ aċċess għal data li tagħmel parti mis-suġġett ta’ operazzjonijiet ta’ ipproċessar u setgħat għal ġbir ta’ l-informazzjoni kollha meħtieġa biex twettaq id-dmirijiet tagħha ta’ superviżjoni,

–

setgħat effettivi ta’ intervent, bħalma hu, per eżempju, dak li tagħti opinjonijiet qabel ma jsiru operazzjonijiet ta’ ipproċessar, skond l-Artikolu 20, u li tassigura li dawn l-opinjonijiet ikollhom pubblikazzjoni sewwa, li tordna l-imblokk, tħassir jew distruzzjoni ta’ data, li ma tħallix għal xi żmien jew għal dejjem milli jsir ipproċessar, li twissi jew twiddeb lill-kontrollur, jew li tirreferi l-kwistjoni lill-parlamenti nazzjonali jew istituzzjonijiet pubbliċi oħra,

–	is-setgħa li tidħol fi proċeduri legali meta d-dispożizzjonijiet nazzjonali adottati skond din id-Direttiva jkunu ġew miksura jew li tressaq dan il-ksur quddiem l-awtoritajiet ġudizzjarji.

Deċiżjonijiet ta’ l-awtorità ta’ superviżjoni li jagħtu lok għal ilmenti jistgħu jkunu appellati fil-qrati.

[…]

6. Kull awtorità ta’ superviżjoni hija kompetenti, tkun liema tkun il-liġi nazzjonali li tkun applika għall-ipproċessar in kwistjoni, li teżerċita, fit-territorju ta’ l-Istat Membru tagħha nfisha, is-setgħat mogħtija lilha skond il-paragrafu 3. Kull awtorità tista’ tintalab li teżerċita s-setgħat tagħha minn awtorità ta’ Stat Membru ieħor.

L-awtoritajiet ta’ superviżjoni għandhom jikkooperaw ma xulxin f’dak li jkun meħtieġ biex iwettqu dmirijiethom, partikolarment billi jaqsmu flimkien kull informazzjoni utli.

[…]”

Id-dritt Ġermaniż

L-Artikolu 3(7) tal-Bundesdatenschutzgesetz (il-Liġi Federali dwar il-Protezzjoni tad-Data), fil-verżjoni tagħha applikabbli għall-fatti fil-kawża prinċipali (iktar ’il quddiem il-“BDSG”), huwa fformulat kif ġej:

“Organu responsabbli għandu jfisser kull persuna jew kull organu li jiġbru, jipproċessaw jew jużaw data ta’ natura personali għan-nom tiegħu jew permezz ta’ persuna oħra permezz ta’ proċessur.”

L-Artikolu 11 tal-BDSG, intitolat “Il-ġabra, l-ipproċessar jew l-użu ta’ data personali permezz ta’ persuna oħra permezz ta’ proċessur”, huwa fformulat kif ġej:

“(1) Jekk data personali tinġabar, tiġi pproċessata jew tiġi użata permezz ta’ organi oħra permezz ta’ proċessur, il-kontrollur tal-ipproċessar huwa responsabbli għall-osservanza tad-dispożizzjonijiet ta’ din il-liġi u ta’ dispożizzjonijiet oħra dwar il-protezzjoni tad-data. […]

(2) Il-proċessur għandu jkun magħżul b’mod rigoruż b’kunsiderazzjoni partikolari tan-natura xierqa tal-miżuri tekniċi u dawk organizzattivi li jkun ħa. L-ipproċessar għandu jsir bil-miktub, bil-fehma li għandu jiġi ddeterminat b’mod partikolari fid-dettall: […]

Il-kontrollur tal-ipproċessar għandu jiżgura r-rispett tal-miżuri tekniċi u dawk organizzattivi meħuda mill-proċessur qabel il-bidu tal-ipproċessar tad-data, u fuq bażi regolari. Ir-riżultat għandu jiġi rreġistrat.

[…]”

L-Artikolu 38(5) tal-BDSG jiddisponi:

“Sabiex jiġi żgurat ir-rispett tal-liġi preżenti u tad-dispożizzjonijiet l-oħra li jirrigwardaw il-protezzjoni tad-data, l-awtorità ta’ sorveljanza tista’ tordna miżuri intiżi sabiex jirremedjaw il-ksur ikkonstatat fil-ġabra, l-ipproċessar jew l-użu tad-data ta’ natura personali jew għal xi nuqqasijiet tekniċi jew organizzattivi. Fil-każ ta’ ksur jew ta’ nuqqasijiet gravi, b’mod partikolari meta dawn jirrappreżentaw riskju partikolari ta’ preġudizzju għad-dritt għall-ħajja privata, hija tista’ tipprojbixxi l-ġabra, l-ipproċessar jew l-użu, permezz ta’ rikors għal ċerti proċeduri, fejn ksur jew nuqqasijiet ma jiġux irrimedjati fi żmien xieraq, bi ksur tal-ordni msemmi fl-ewwel sentenza u minkejja l-applikazzjoni ta’ pagamenti ta’ penalità. Hija tista’ titlob it-tkeċċija tal-aġent ta’ protezzjoni tad-data jekk ma jkollux il-perizja u l-affidabbiltà neċessarji sabiex iwettaq id-dmirijiet tiegħu.”

L-Artikolu 12 tat-Telemediengesetz (il-Liġi dwar il-Mezzi ta’ Komunikazzjoni Elettroniċi) tas‑26 ta’ Frar 2007 (BGB1. 2007 I, p. 179, iktar ’il quddiem it-“TMG”) huwa fformulat kif ġej:

“(1) Il-fornitur tas-servizzi ma jistax jiġbor u juża data ta’ natura personali bl-iskop li titqiegħed għad-dispożizzjoni tal-mezzi ta’ komunikazzjoni elettroniċi ħlief jekk il-liġi preżenti jew strument legali ieħor li jipprevedi b’mod espliċitu lill-mezzi ta’ komunikazzjoni elettroniċi jawtorizzah jew jekk l-utent ta l-kunsens tiegħu.

[…]

(3) Sakemm ma jkunx previst mod ieħor, il-leġiżlazzjoni fis-seħħ li tirregola l-protezzjoni tad-data ta’ natura personali għandha tiġi applikata anki jekk id-data ma kinitx is-suġġett ta’ pproċessar awtomatizzat.”

Il-kawża prinċipali u d-domandi preliminari

14	Wirtschaftsakademie toffri servizzi ta’ taħriġ permezz ta’ paġna tal-fans ospitata fuq Facebook.

Il-paġni tal-fans huma kontijiet tal-utenti li jistgħu jiġu kkonfigurati fuq Facebook minn individwi jew minn impriżi. Sabiex jagħmlu dan, l-awtur tal-paġna tal-fans, wara li jirreġistra ruħu ma’ Facebook, jista’ juża pjattaforma li tinħoloq minn dan tal-aħħar għall-utenti ta’ dan in-netwerk soċjali kif ukoll għall-persuni li jaċċessaw il-paġna tal-fans u jiċċirkula komunikazzjonijiet ta’ kull natura fuq is-suq tal-mezzi ta’ kommunikazzjoni u tal-opinjoni. L-amministraturi tal-paġni tal-fans jistgħu jiksbu l-istatistiċi anonimi dwar min jaċċessa dawn il-paġni permezz tal-funzjoni Facebook Insights, li titqiegħed għad-dispożizzjoni tagħhom minn Facebook mingħajr ħlas skont kundizzjonijiet tal-użu li ma jistgħux jinbidlu. Dik id-data nġabret permezz tal-fajls xhieda (iktar ’il quddiem il-“cookies”), u kull wieħed minn dawn ikollu kodiċi tal-utent uniku, li jibqa’ attiv għal sentejn u ssejvjat minn Facebook fuq il-hard disk tal-kompjuter jew fuq xi mezz ieħor tal-persuni li jaċċessaw il-paġna tal-fans. Il-kodiċi tal-utent, li jista’ jiġi konness mad-data ta’ konnessjoni tal-utenti rreġistrati fuq Facebook, jinġabar u jiġi pproċessat fil-mument li jinfetħu l-paġni tal-fans. F’dan ir-rigward, mid-deċiżjoni tar-rinviju jirriżulta li la Wirtschaftsakademie u lanqas Facebook Ireland Ltd ma semmew l-operazzjoni ta’ ssejvjar u l-funzjonament ta’ dawn il-cookies jew l-ipproċessar sussegwenti tad-data, tal-inqas matul il-perijodu rilevanti għall-kawża prinċipali.

B’deċiżjoni tat‑3 ta’ Novembru 2011 (iktar ’il quddiem id-“deċiżjoni kkontestata”), l-ULD, fil-kwalità tagħha ta’ awtorità ta’ superviżjoni, fis-sens tal-Artikolu 28 tad-Direttiva 95/46, responsabbli għas-sorveljanza tal-applikazzjoni fit-territorju tal-Land ta’ Schleswig-Holstein (il-Ġermanja) tad-dispożizzjonijiet adottati mir-Repubblika Federali tal-Ġermanja bl-applikazzjoni ta’ din id-direttiva, ordnat lil Wirtschaftsakademie, konformement mal-ewwel sentenza tal-Artikolu 38(5) tal-BDSG, sabiex tiddiżattiva l-paġna tal-fans li hija ħolqot fuq Facebook fuq l-indirizz www.facebook.com/wirtschaftsakademie, taħt piena ta’ pagamenti ta’ penalità fil-każ ta’ nuqqas ta’ eżekuzzjoni fit-terminu previst, minħabba l-fatt li la Wirtschaftsakademie u lanqas Facebook ma informaw lil min jaċċessa lill-paġna tal-fans li din tal-aħħar kienet qed tiġbor, permezz ta’ cookies, informazzjoni ta’ natura personali dwarhom u li wara kienet qiegħda tipproċessa din l-informazzjoni. Wirtschaftsakademie ppreżentat ilment kontra din id-deċiżjoni billi sostniet, essenzjalment, li ma kinitx responsabbli, fir-rigward tad-dritt applikabbli għall-protezzjoni tad-data, la għall-ipproċessar imwettaq minn Facebook, u lanqas għall-cookies installati minn dan tal-aħħar.

B’deċiżjoni tas-16 ta’ Diċembru 2011, l-ULD ċaħdet dan l-ilment billi kkunsidrat li r-responsabbiltà ta’ Wirtschaftsakademie bħala fornitur ta’ servizzi kienet ġiet stabbilita bl-applikazzjoni tal-punt 4 tal-Artikolu 3(3) u tal-Artikolu 12(1) tat-TMG, flimkien mal-Artikolu 3(7) tal-BDSG. L-ULD argumentat li, billi ħolqot il-paġna tal-fans tagħha, Wirtschaftsakademie għamlet kontribuzzjoni attiva u volontarja lejn il-ġabra, minn Facebook, ta’ data personali dwar min jaċċessa din il-paġna tal-fans, li hija ser tapprofitta minnha permezz tal-istatistiċi li jitqiegħdu għad-dispożizzjoni tagħha minn dan tal-aħħar.

Wirtschaftsakademie ressqet rikors kontra din id-deciżjoni quddiem il-Verwaltungsgericht (il-Qorti Amministrattiva, il-Ġermanja), billi qieset li l-ipproċessar tad-data personali mwettaq minn Facebook ma jistax jiġi attribwit lilha u li hija lanqas ma qabbdet lil Facebook, fis-sens tal-Artikolu 11 tal-BDSG, sabiex jipproċedi bl-ipproċessar tad-data li huwa jikkontrolla jew li huwa seta’ jinfluwenza. Wirtschaftsakademie ddeduċiet li l-ULD kellha taġixxi direttament kontra Facebook, u mhux tadotta d-deċiżjoni kkontestata kontriha.

Permezz ta’ sentenza tad-9 ta’ Ottubru 2013, il-Verwaltungsgericht (il-Qorti Amministrattiva) annullat id-deċiżjoni kkontestata fuq il-bażi, essenzjalment, li l-amministratur ta’ paġna tal-fans fuq Facebook ma huwiex “organu responsabbli” fis-sens tal-Artikolu 3(7) tal-BDSG u li Wirtschaftsakademie ma tistax tkun id-destinatarja ta’ miżura meħuda abbażi tal-Artikolu 38(5) tal-BDSG.

L-Oberverwaltungsgericht (il-Qorti Amministrattiva Superjuri, il-Ġermanja) ċaħdet l-appell ippreżentat mill-ULD kontra din is-sentenza bħala infondat. Din il-qorti kkunsidrat, essenzjalment, li l-projbizzjoni tal-ipproċessar tad-data kkonstatata fid-deċiżjoni kkontestata kienet illegali, sa fejn it-tieni sentenza tal-Artikolu 38(5) tal-BDSG tipprevedi proċess progressiv, fejn l-ewwel fażi tippermetti biss li jiġu adottati xi miżuri intiżi sabiex jirrimedjaw ksur ikkonstatat waqt l-ipproċessar tad-data. Projbizzjoni immedjata tal-ipproċessar tad-data ma tistax tkun prevedibbli ħlief jekk proċedura ta’ pproċessar tad-data hija illegali kollha kemm hi u li hija biss is-sospensjoni ta’ din il-proċedura li tippermetti rimedju. Issa, skont l-Oberverwaltungsgericht (il-Qorti Amministrattiva Superjuri), dan ma kienx il-każ fil-kawża preżenti, peress li Facebook kellu l-possibbiltà sabiex itemm il-ksur allegat mill-ULD.

L-Oberverwaltungsgericht (il-Qorti Amministrattiva Superjuri) żiedet li d-deċiżjoni kkontestata kienet illegali wkoll minħabba l-fatt li ordni skont l-Artikolu 38(5) tal-BDSG ma tistax tingħata ħlief kontra l-organu responsabbli, fis-sens tal-Artikolu 3(7) tal-BDSG, li ma kinitx Wirtschaftsakademie fir-rigward tad-data miġbura minn Facebook. Fil-fatt, huwa biss Facebook li jiddeċiedi l-iskop u l-mezzi għall-ġabra u għall-ipproċessar tad-data personali li jintuża mill-funzjoni Facebook Insight, u Wirtschaftsakademie, min-naħa tagħha, tirċievi biss informazzjoni dwar statistika li ssir anonima.

L-ULD ippreżentat rikors għal Revision quddiem il-Bundesverwaltungsgericht (il-Qorti Amministrattiva Federali, il-Ġermanja), fejn invokat, fost argumenti oħra, ksur tal-Artikolu 38(5) tal-BDSG kif ukoll diversi żbalji proċedurali fid-deċiżjoni tal-qorti tal-appell. Hija tikkunsidra li l-ksur imwettaq minn Wirtschaftsakademie huwa marbut mal-fatt li din fdat fornitur inapproprjat, peress li ma jirrispettax lid-dritt applikabbli għall-protezzjoni tad-data, f’dan il-każ Facebook Ireland, sabiex jieħu ħsieb il-ħolqien, iż-żamma u l-manteniment ta’ sit internet. L-ordni magħmula fil-konfront ta’ Wirtschaftsakademie, permezz tad-deċiżjoni kkontestata, li tipproċedi bid-diżattivazzjoni tal-paġna tal-fans tagħha kienet għalhekk intiża sabiex tirrimedja dan il-ksur, peress li l-ordni tipprojbixxi lil din milli tkompli tuża l-infrastruttura ta’ Facebook bħala bażi teknika tas-sit internet tagħha.

Bħall-Oberverwaltungsgericht (il-Qorti Amministrattiva Superjuri), il-Bundesverwaltungsgericht (il-Qorti Amministrattiva Federali) hi tal-fehma li Wirtschaftsakademie ma tistax tiġi kkunsidrata bħala l-kontrollur tal-ipproċessar ta’ data fis-sens tal-Artikolu 3(7) tal-BDSG jew tal-Artikolu 2(d) tad-Direttiva 95/46. Madankollu, din l-aħħar qorti tqis li dan il-kunċett għandu, bħala prinċipju, jiġi interpretat b’mod estensiv sabiex ikun hemm protezzjoni effettiva tad-dritt għall-ħajja privata, kif il-Qorti tal-Ġustizzja aċċettat fil-ġurisprudenza reċenti tagħha dwar is-suġġett. Barra minn hekk, hija għandha dubji dwar is-setgħat li għandha l-ULD f’dan il-każ fir-rigward ta’ Facebook Germany, fid-dawl tal-fatt li l-kontrollur tal-ġabra u tal-ipproċessar ta’ data personali fi ħdan il-grupp ta’ Facebook huwa, fil-livell tal-Unjoni, Facebook Ireland. Fl-aħħar nett, hija tistaqsi dwar l-effett, għall-finijiet tal-eżerċizzju tas-setgħat ta’ intervent tal-ULD, tal-evalwazzjonijiet magħmula mill-awtorità ta’ superviżjoni li taħtha taqa’ Facebook Ireland fir-rigward tal-legalità tal-ipproċessar tad-data personali inkwistjoni.

F’dawn iċ-ċirkustanzi, il-Bundesverwaltungsgericht (il-Qorti Amministrattiva Federali) iddeċidiet li tissospendi l-proċeduri u tagħmel id-domandi preliminari segwenti lill-Qorti tal-Ġustizzja:

“1)

L-Artikolu 2(d) tad-Direttiva [95/46] għandu jiġi interpretat fis-sens li huwa jirregola b’mod definittiv u eżawrjenti r-responsabbiltà fil-każ ta’ ksur tal-protezzjoni tad-data, jew tista’ wkoll, fil-kuntest tal-‘miżuri xierqa’ msemmija fl-Artikolu 24 [ta’ din id-direttiva] u tas-‘setgħat effettivi ta’ intervent’ imsemmija fit-tieni inċiż tal-Artikolu 28(3) [tagħha], fil-preżenza ta’ fornituri ta’ informazzjoni mifruxa fuq numru ta’ stadji, titqies ir-responsabbiltà ta’ organu li ma huwiex dak responsabbli għall-ipproċessar tad-data [‘kontrollur’] fis-sens tal-Artikolu 2(d) [tal-imsemmija direttiva] meta jagħżel amministratur għall-offerta tiegħu ta’ informazzjoni?

A contrario, mill-obbligu tal-Istati Membri taħt l-Artikolu 17(2) tad-Direttiva [95/46] jirriżulta li għandu jintalab, fl-ipproċessar tad-data b’subappalt, li l-persuna responsabbli għall-ipproċessar ‘[tagħżel] proċessur li jagħti garanziji suffiċjenti dwar miżuri tekniċi ta’ sigurtà u miżuri organizzattivi li jirregolaw l-ipproċessar li jkollu jsir’, li ma jkun jeżisti, fil-kuntest ta’ użi oħra li ma jimplikaw l-ebda pproċċesar ta’ data b’subappalt fis-sens tal-Artikolu 2(e) [ta’ din id-direttiva], l-ebda obbligu li ssir għażla rigoruża, u li dan lanqas ma jista’ jiġi stabbilit abbażi tad-dritt nazzjonali?

Meta kumpannija omm stabbilita barra mill-Unjoni Ewropea jkollha stabbilimenti li huma ġuridikament indipendenti (sussidjarji) f’diversi Stati Membri, l-awtorità ta’ superviżjoni ta’ Stat Membru (f’dan il-każ, il-Ġermanja) hija wkoll awtorizzata, skont l-Artikolu 4 u l-Artikolu 28(6) tad-Direttiva [95/46], li teżerċita s-setgħat fdati lilha skont l-Artikolu 28(3) [ta’ din id-direttiva] fil-konfront tal-istabbiliment li jinsab fit-territorju tagħha, jekk dan l-istabbiliment jipprovdi biss il-promozzjoni u l-bejgħ ta’ spazji ta’ reklamar kif ukoll miżuri oħra ta’ marketing intiżi għall-abitanti ta’ dan l-Istat Membru, filwaqt li l-istabbiliment indipendenti (sussidjarja) stabbilit fi Stat Membru ieħor (f’dan il-każ, l-Irlanda), skont it-tqassim tal-missjonijiet fi ħdan il-grupp, għandu r-responsabbiltà esklużiva għall-ġbir u għall-ipproċessar tad-data personali fit-territorju kollu tal-Unjoni Ewropea u għaldaqstant ukoll fl-Istat Membru l-ieħor (f’dan il-każ, il-Ġermanja), jekk id-deċiżjoni rigward l-ipproċessar tad-data fil-fatt tittieħed mill-kumpannija omm?

L-Artikolu 4(1) u l-Artikolu 28(3) tad-Direttiva [95/46] għandhom jiġu interpretati fis-sens li, meta l-persuna responsabbli għall-ipproċessar ikollha stabbiliment fit-territorju ta’ Stat Membru (f’dan il-każ, l-Irlanda), u meta jeżisti stabbiliment ieħor li huwa ġuridikament indipendenti fit-territorju ta’ Stat Membru ieħor (f’dan il-każ, il-Ġermanja), li huwa inkarigat, fost l-oħrajn, bil-bejgħ ta’ spazji ta’ reklamar, u li l-attività tiegħu hija intiża għall-abitanti ta’ dan l-Istat, l-awtorità ta’ superviżjoni kompetenti f’dan l-Istat Membru l-ieħor (f’dan il-każ, il-Ġermanja) tista’ tadotta miżuri u ordnijiet sabiex timplementa d-dritt applikabbli għall-protezzjoni tad-data, inkluż fil-konfront tal-istabbiliment l-ieħor li ma huwiex responsabbli għall-ipproċessar tad-data skont it-tqassim tal-missjonijiet u r-responsabbiltajiet fi ħdan il-grupp (f’dan il-każ, il-Ġermanja), jew il-miżuri u l-ordnijiet għandhom jiġu adottati, f’dan il-każ, biss mill-awtorità ta’ superviżjoni tal-Istat Membru (f’dan il-każ, l-Irlanda) fit-territorju li fih l-organu responsabbli fi ħdan il-grupp għandu s-sede tiegħu?

L-Artikolu 4(1)(a) u l-Artikolu 28(3) u (6) tad-Direttiva [95/46] għandhom jiġu interpretati fis-sens li, meta l-awtorità ta’ superviżjoni ta’ Stat Membru (f’dan il-każ, il-Ġermanja) tieħu azzjoni kontra persuna jew organu li jeżerċitaw l-attivitajiet tagħhom fit-territorju tal-imsemmi Stat Membru skont l-Artikolu 28(3) [ta’ din id-direttiva] minħabba l-għażla mhux rigoruża ta’ terz involut fil-proċess tal-ipproċessar tad-data (f’dan il-każ, Facebook), peress li dan it-terz kiser id-dritt applikabbli għall-protezzjoni tad-data, l-awtorità ta’ superviżjoni intervenjenti (f’dan il-każ, il-Ġermanja) hija marbuta bl-evalwazzjoni rigward id-dritt applikabbli għall-protezzjoni tad-data magħmula mill-awtorità ta’ superviżjoni tal-Istat Membru l-ieħor, li fih it-terz responsabbli għall-ipproċessar tad-data għandu l-istabbiliment tiegħu (f’dan il-każ, l-Irlanda), b’tali mod li hija ma hijiex awtorizzata li twettaq evalwazzjoni ġuridika diverġenti, jew l-awtorità ta’ superviżjoni intervenjenti (f’dan il-każ, il-Ġermanja) tista’ teżamina b’mod awtonomu l-legalità tal-ipproċessar tad-data mwettaq mit-terz stabbilit fi Stat Membru ieħor (f’dan il-każ, l-Irlanda) b’mod inċidentali?

Fil-każ li l-awtorità ta’ superviżjoni intervenjenti (f’dan il-każ, il-Ġermanja) hija awtorizzata twettaq superviżjoni awtonoma: it-tieni sentenza tal-Artikolu 28(6) tad-Direttiva [95/46] għandha tiġi interpretata fis-sens li din l-awtorità ta’ superviżjoni tista’ teżerċita s-setgħat effettivi ta’ intervent fdati lilha skont l-Artikolu 28(3) [ta’ din id-direttiva] fil-konfront ta’ persuna jew ta’ organu li huma stabbiliti fit-territorju tagħha għall-parti tagħhom tar-responsabbiltà fil-ksur tal-protezzjoni tad-data mwettaq mit-terz stabbilit fi Stat Membru ieħor biss jekk hija tkun talbet minn qabel lill-awtorità ta’ superviżjoni ta’ dan l-Istat Membru l-ieħor (f’dan il-każ, l-Irlanda) sabiex teżerċita s-setgħat tagħha?”

Fuq id-domandi preliminari

Fuq l-ewwel u t-tieni domanda

Permezz tal-ewwel u tat-tieni domanda tagħha, li għandhom jiġu eżaminati flimkien, il-qorti tar-rinviju essenzjalment tixtieq issir taf jekk l-Artikolu 2(d), l-Artikolu 17(2), l-Artikolu 24 u t-tieni inċiż tal-Artikolu 28(3) tad-Direttiva 95/46 għandhomx jiġu interpretati fis-sens li jippermettu li jinżamm responsabbli organu, fil-kwalità tiegħu ta’ amministratur ta’ paġna tal-fans ospitata fuq netwerk soċjali, fil-każ ta’ ksur tar-regoli li jirrigwardaw il-protezzjoni tad-data personali minħabba l-għażla li jirrikorri għal dan in-netwerk soċjali sabiex jiċċirkula l-offerta ta’ informazzjoni tiegħu.

Sabiex tingħata risposta għal dawn id-domandi, għandu jitfakkar li, kif jirriżulta mill-Artikolu 1(1) tagħha u mill-premessa 10 tagħha, id-Direttiva 95/46 hija intiża li tiggarantixxi livell għoli ta’ protezzjoni tal-libertajiet u tad-drittijiet fundamentali tal-persuni fiżiċi, b’mod partikolari tal-ħajja privata tagħhom, fir-rigward tal-ipproċessar ta’ data personali (sentenza tal‑11 ta’ Diċembru 2014, Ryneš, C‑212/13, EU:C:2014:2428, punt 27 u l-ġurisprudenza ċċitata).

Konformement ma’ dan l-għan, l-Artikolu 2(d) ta’ din id-direttiva jiddefinixxi b’mod wiesa’ l-kunċett ta’ “kontrollur” sabiex ifisser il-persuna fiżika jew ġuridika, l-awtorità pubblika, l-aġenzija jew kwalunkwe organu ieħor li waħdu jew flimkien ma’ oħrajn jiddetermina l-finijiet u l-mezzi tal-ipproċessar ta’ data personali.

Fil-fatt, hekk kif il-Qorti tal-Ġustizzja diġà ddeċidiet, l-għan ta’ din id-dispożizzjoni huwa li tiżgura, permezz ta’ definizzjoni wiesgħa tal-kunċett “kontrollur”, protezzjoni effikaċi u kompleta tal-persuni kkonċernati (sentenza tat‑13 ta’ Mejju 2014, Google Spain u Google, C‑131/12, EU:C:2014:317, punt 34).

Barra minn hekk, peress li, kif jipprevedi espressament l-Artikolu 2(d) tad-Direttiva 95/46, il-kunċett ta’ “kontrollur” ifisser l-organu li, “waħdu jew flimkien ma’ oħrajn”, jiddetermina l-finijiet u l-mezzi tal-ipproċessar ta’ data personali, dan il-kunċett ma jirreferix neċessarjament għal organu wieħed u jista’ jkopri diversi atturi li huma involuti f’dan l-ipproċessar, u kull wieħed minn dawn huwa suġġett għad-dispożizzjonijiet applikabbli fir-rigward tal-protezzjoni tad-data.

F’dan il-każ, Facebook Inc. u, fir-rigward tal-Unjoni, Facebook Ireland għandhom jiġu kkunsidrati bħala dawk li jiddeterminaw, prinċipalment, il-finijiet u l-mezzi tal-ipproċessar tad-data personali tal-utenti ta’ Facebook kif ukoll tal-persuni li aċċessaw il-paġni tal-fans ospitati fuq Facebook, u jaqgħu għalhekk taħt il-kunċett ta’ “kontrollur”, fis-sens tal-Artikolu 2(d) tad-Direttiva 95/46, liema fatt ma huwiex imqiegħed f’dubju f’din il-kawża.

Fid-dawl ta’ dan, u sabiex tingħata risposta għad-domandi magħmula, għandu jiġi eżaminat jekk u sa fejn l-amministratur ta’ paġna tal-fans ospitata fuq Facebook, bħalma hi Wirtschaftsakademie, jikkontribwixxi, fil-kuntest ta’ dik il-paġna tal-fans, sabiex jiddetermina, flimkien ma’ Facebook Ireland u Facebook Inc., il-finijiet u l-mezzi tal-ipproċessar tad-data personali ta’ min jaċċessa l-imsemmija paġna tal-fans u għalhekk jistax, huwa wkoll, jiġi kkunsidrat bħala “kontrollur” skont l-Artikolu 2(d) tad-Direttiva 95/46.

F’dan ir-rigward, jidher li kull persuna li tixtieq toħloq paġna tal-fans fuq Facebook tikkonkludi kuntratt speċifiku ma’ Facebook Ireland li jiftaħ din il-paġna u taqbel, f’dan ir-rigward, mal-kundizzjonijiet ta’ użu ta’ din il-paġna, inkluż politika fir-rigward tal-cookies relatati magħha, u hija l-qorti nazzjonali li għandha tivverifikaha.

Kif jirriżulta mill-proċess ippreżentat lill-Qorti tal-Ġustizzja, l-ipproċessar tad-data inkwistjoni fil-kawża prinċipali essenzjalment isir wara t-tqegħid, minn Facebook, fuq il-kompjuter jew fuq kwalunkwe apparat ieħor tal-persuni li jaċċessaw il-paġna tal-fans, ta’ cookies intiżi sabiex jaħżnu informazzjoni fuq il-browsers tal-internet u li jibqgħu attivi għal sentejn li matulhom dawn il-cookies ma jitħassrux. Minn dan jirriżulta wkoll li, fil-prattika, Facebook jirċievi, jirreġistra u jipproċessa l-informazzjoni maħżuna fil-cookies b’mod partikolari meta persuna taċċessa “s-servizzi ta’ Facebook, is-servizzi offruti minn kumpanniji oħrajn ta’ Facebook u servizzi offruti minn impriżi oħra li jużaw is-servizzi ta’ Facebook”. Barra minn hekk, entitajiet oħrajn, bħall-imsieħba ta’ Facebook jew anki ta’ terzi, “jistgħu jużaw cookies fuq is-servizzi ta’ Facebook sabiex [joffru servizzi direttament lil dan in-netwerk soċjali] kif ukoll lill-impriżi li jirreklamaw fuq Facebook”.

Dan l-ipproċessar ta’ data personali huwa partikolarment intiż sabiex jippermetti, minn naħa, lil Facebook li jtejjeb is-sistema tiegħu tar-reklamar li huwa jiċċirkula permezz tan-netwerk tiegħu u, min-naħa l-oħra, lill-amministratur tal-paġna tal-fans li jikseb statistika stabbilita minn Facebook dwar kull aċċess ta’ din il-paġna, għall-finijiet ta’ ġestjoni tal-promozzjoni tal-attività tiegħu, li tippermettilu jkun jaf, pereżempju, il-profil tal-persuni li jaċċessaw il-paġna li togħġobhom din il-paġna tal-fans tiegħu jew li jużaw l-applikazzjonijiet tiegħu, sabiex ikun jista’ joffri kontenut iktar rilevanti u jiżviluppa l-funzjonalitajiet li jistgħu jinteressawhom iktar.

Issa, jekk is-sempliċi fatt li l-użu ta’ netwerk soċjali bħal Facebook ma jirrendix utent ta’ Facebook koresponsabbli għal ipproċessar ta’ data personali mwettaq minn dan in-netwerk, għandu, madankollu, jiġi osservat li l-amministratur ta’ paġna tal-fans ospitata fuq Facebook, permezz tal-ħolqien ta’ tali paġna, joffri lil Facebook il-possibbiltà li jiġu mqiegħda cookies fuq il-kompjuter jew fuq kwalunkwe apparat ieħor tal-persuna li aċċessat il-paġna tal-fans tiegħu, kemm jekk din il-persuna għandhiex kont fuq Facebook jew le.

F’dan il-kuntest, mill-indikazzjonijiet ipprovduti lill-Qorti tal-Ġustizzja jirriżulta li l-ħolqien ta’ paġna tal-fans fuq Facebook jimplika li jkun hemm bidla fil-parametri min-naħa tal-amministratur tagħha abbażi, b’mod partikolari, tal-udjenza fil-mira tiegħu kif ukoll tal-għanijiet ta’ ġestjoni jew ta’ promozzjoni tal-attivitajiet tiegħu, li taffettwa l-ipproċessar ta’ data personali għall-finijiet tal-istatistiċi miġbura mill-aċċess tal-paġna tal-fans. Dan l-amministratur jista’, bl-għajnuna ta’ filtri mqiegħda għad-dispożizzjoni tiegħu minn Facebook, jiddefinixxi l-kriterji li bihom dawn l-istatistiċi għandhom jiġu stabbiliti u jista’ wkoll jagħżel il-kategoriji ta’ persuni li qed ikunu s-suġġett tal-użu tad-data personali tagħhom minn Facebook. Konsegwentement, l-amministratur ta’ paġna tal-fans ospitata fuq Facebook jikkontribwixxi għall-ipproċessar tad-data personali ta’ min jaċċessa l-paġna tiegħu.

B’mod partikolari, l-amministratur tal-paġna tal-fans jista’ jitlob li jakkwista – u b’hekk li jipproċessa – data demografika li tikkonċerna lill-udjenza fil-mira tiegħu, partikolarment it-tendenzi fir-rigward tal-età, tas-sess, tas-sitwazzjoni ta’ mħabba tagħhom u tal-professjoni, tal-informazzjoni fuq l-istil tal-ħajja tagħhom u tal-interessi prinċipali tal-udjenza fil-mira tiegħu kif ukoll informazzjoni dwar ix-xiri online u l-aġir fir-rigward tax-xiri online ta’ min jaċċessa l-paġna, il-kategoriji ta’ prodotti jew ta’ servizzi li jinteressawhom l-iktar, kif ukoll data ġeografika li tippermetti lill-amministratur tal-paġna tal-fans sabiex isir jaf fejn għandu jwettaq promozzjonijiet speċjali u jorganizza xi avvenimenti u, b’mod iktar ġenerali, sabiex jimmira bl-aħjar mod l-offerta ta’ informazzjoni tiegħu.

Filwaqt li l-istatistiċi ta’ udjenza stabbiliti minn Facebook huma trażmessi biss lill-amministratur tal-paġna tal-fans taħt forma anonimizzata, madankollu, jibqa’ l-fatt li l-istabbiliment ta’ dawn l-istatistiċi huwa bbażat fuq il-ġabra minn qabel, permezz ta’ cookies installati minn Facebook fuq il-kompjuter jew fuq kwalunkwe apparat ieħor tal-persuni li jaċċessaw dik il-paġna, u fuq l-ipproċessar tad-data personali ta’ dawn il-persuni għal skopijiet ta’ statistika. Fi kwalunkwe każ, id-Direttiva 95/46 ma teżigix, meta teżisti responsabbiltà konġunta ta’ diversi operaturi għall-istess ipproċessar, li kull wieħed minn dawn ikollu aċċess għad-data personali kkonċernata.

F’dawn iċ-ċirkustanzi, hemm lok li jiġi kkunsidrat li l-amministratur ta’ paġna tal-fans ospitata fuq Facebook, bħalma hi Wirtschaftsakademie, jipparteċipa, permezz ta’ bidla fil-parametri tiegħu, abbażi, b’mod partikolari, tal-udjenza fil-mira tiegħu kif ukoll l-għanijiet ta’ ġestjoni jew ta’ promozzjoni tal-attivitajiet tiegħu, fid-determinazzjoni tal-finijiet u tal-mezzi tal-ipproċessar tad-data personali ta’ min jaċċessa l-paġna tal-fans tiegħu. B’riżultat ta’ dan, dan l-amministratur għandu, f’dan il-każ, jiġi kklassifikat bħala kontrollur fi ħdan l-Unjoni, flimkien ma’ Facebook Ireland, fis-sens tal-Artikolu 2(d) tad-Direttiva 95/46.

40	Fil-fatt, il-fatt li amministratur ta’ paġna tal-fans juża l-pjattaforma stabbilita minn Facebook, sabiex jibbenefika mis-servizzi marbuta miegħu, ma jistax jeżentah mill-obbligi tiegħu fil-qasam tal-protezzjoni tad-data personali.

Barra minn hekk, għandu jiġi enfasizzat li l-paġni tal-fans ospitati fuq Facebook jistgħu jiġu aċċessati wkoll minn persuni li ma humiex utenti ta’ Facebook u li ma għandhomx kont ta’ utent fuq dan in-netwerk soċjali. F’dan il-każ, ir-responsabbiltà tal-amministratur tal-paġna tal-fans fir-rigward tal-ipproċessar tad-data personali ta’ dawn il-persuni għandha saħansitra iktar importanza, peress li s-sempliċi aċċess tal-paġna tal-fans minn xi ħadd awtomatikament jattiva l-ipproċessar tad-data personali ta’ dawn il-persuni.

F’dawn iċ-ċirkustanzi, ir-rikonoxximent ta’ responsabbiltà konġunta tal-operatur tan-netwerk soċjali u tal-amministratur ta’ paġna tal-fans ospitata fuq dan in-netwerk fir-rigward tal-ipproċessar tad-data personali ta’ min jaċċessa din il-paġna tal-fans jgħin sabiex tkun żgurata protezzjoni iktar kompleta tad-drittijiet tal-persuni li jaċċessaw paġna tal-fans, konformement mar-rekwiżiti tad-Direttiva 95/46.

Madankollu, għandu jiġi ppreċiżat, kif irrileva l-Avukat Ġenerali fil-punti 75 u 76 tal-konklużjonijiet tiegħu, li l-eżistenza ta’ responsabbiltà konġunta mhux bilfors tfisser responsabbiltà ekwivalenti għall-operaturi differenti kkonċernati fl-ipproċessar ta’ data personali. Għall-kuntrarju, dawn l-operaturi jistgħu jkunu involuti fi stadji differenti ta’ dan l-ipproċessar u bi gradi differenti, b’tali mod li l-livell ta’ responsabbiltà ta’ kull wieħed minnhom għandu jiġi evalwat billi jittieħdu inkunsiderazzjoni ċ-ċirkustanzi kollha rilevanti tal-każ.

Fid-dawl tal-kunsiderazzjonijiet preċedenti, hemm lok li għall-ewwel u għat-tieni domanda tingħata r-risposta li l-Artikolu 2(d) tad-Direttiva 95/46 għandu jiġi interpretat fis-sens li l-kunċett ta’ “kontrollur”, fis-sens ta’ din id-dispożizzjoni, jinkludi l-amministratur ta’ paġna tal-fans ospitata fuq netwerk soċjali.

Fuq it-tielet u r-raba’ domanda

Permezz tat-tielet u tar-raba’ domanda tagħha, li għandhom jiġu eżaminati flimkien, il-qorti tar-rinviju essenzjalment tixtieq issir taf jekk l-Artikoli 4 u 28 tad-Direttiva 95/46 għandhomx jiġu interpretati fis-sens li, meta impriża stabbilita barra mill-Unjoni jkollha diversi stabbilimenti fi Stati Membri differenti, l-awtorità ta’ superviżjoni ta’ Stat Membru hija awtorizzata li teżerċita s-setgħat fdati lilha mill-Artikolu 28(3) ta’ din id-direttiva, fir-rigward ta’ stabbiliment li jinsab fit-territorju ta’ dan l-Istat Membru, minkejja li, skont it-tqassim tal-missjonijiet fi ħdan il-grupp, minn naħa, dak l-istabbiliment biss huwa responsabbli għall-bejgħ ta’ spazji ta’ reklamar u ta’ miżuri oħra ta’ marketing fit-territorju tal-imsemmi Stat Membru u, min-naħa l-oħra, ir-responsabbiltà esklużiva għall-ġabra u għall-ipproċessar tad-data personali, fit-territorju kollu tal-Unjoni, hija ta’ stabbiliment li jinsab fi Stat Membru ieħor, jew jekk huwiex f’idejn l-awtorità ta’ superviżjoni ta’ dan l-Istat Membru tal-aħħar li teżerċita dawk is-setgħat fir-rigward tat-tieni stabbiliment.

L-ULD u l-Gvern Taljan lissnu dubji fuq l-ammissibbiltà ta’ dawn id-domandi għar-raġuni li dawn ma humiex rilevanti għas-soluzzjoni tal-kawża prinċipali. Fil-fatt, id-deċiżjoni kkontestata għandha lil Wirtschaftsakademie bħala destinatarja u ma tikkonċerna la lil Facebook Inc. u lanqas lil ebda mis-sussidjarji tagħha stabbiliti fit-territorju tal-Unjoni.

F’dan ir-rigward, għandu jitfakkar li, fil-kuntest tal-kooperazzjoni bejn il-Qorti tal-Ġustizzja u l-qrati nazzjonali stabbilita fl-Artikolu 267 TFUE, hija l-qorti nazzjonali biss, li tkun tressqet il-kawża quddiemha u li għandha tkun responsabbli mid-deċiżjoni ġudizzjarja sussegwenti, li għandha tiddetermina, fid-dawl taċ-ċirkustanzi partikolari tal-kawża, kemm in-neċessità ta’ deċiżjoni preliminari sabiex tkun tista’ tagħti s-sentenza kif ukoll ir-rilevanza tad-domandi li tagħmel lill-Qorti tal-Ġustizzja. Konsegwentement, meta d-domandi magħmula jikkonċernaw l-interpretazzjoni tad-dritt tal-Unjoni, il-Qorti tal-Ġustizzja tkun, bħala prinċipju, marbuta li tiddeċiedi (sentenza tas‑6 ta’ Settembru 2016, Petruhhin, C‑182/15, EU:C:2016:630, punt 19 u l-ġurisprudenza ċċitata).

F’dan il-każ, għandu jiġi rrilevat li l-qorti tar-rinviju tiddikjara li risposta tal-Qorti tal-Ġustizzja għat-tielet u għar-raba’ domanda preliminari hija neċessarja sabiex tkun tista’ tiddeċiedi fuq il-kawża prinċipali. Hija tispjega li, fil-każ li jiġi kkonstatat, fid-dawl ta’ din ir-risposta, li l-ULD setgħet tirrimedja l-ksur allegat tad-dritt għall-protezzjoni tad-data personali billi tieħu miżura kontra Facebook Germany, tali ċirkustanza tkun tista’ tistabbilixxi l-eżistenza ta’ żball ta’ evalwazzjoni li jivvizzja d-deċiżjoni kkontestata, peress li hija ġiet meħuda b’mod żbaljat kontra Wirtschaftsakademie.

49	F’dawn iċ-ċirkustanzi, it-tielet u r-raba’ domanda huma ammissibbli.

Sabiex tingħata risposta għal dawn id-domandi, għandu jitfakkar preliminarjament li, skont l-Artikolu 28(1) u (3) tad-Direttiva 95/46, kull awtorità ta’ superviżjoni għandha teżerċita s-setgħat kollha mogħtija lilha mil-liġi nazzjonali fit-territorju tal-Istat Membru li taħtu din taqa’, sabiex tiżgura, f’dan it-territorju, l-osservanza tar-regoli relatati mal-protezzjoni tad-data (ara, f’dan is-sens, is-sentenza tal‑1 ta’ Ottubru 2015, Weltimmo, C‑230/14, EU:C:2015:639, punt 51).

Il-kwistjoni ta’ liema liġi nazzjonali tapplika għall-ipproċessar tad-data personali hija rregolata mill-Artikolu 4 tad-Direttiva 95/46. Skont l-Artikolu 4(1)(a), kull Stat Membru għandu japplika d-dispożizzjonijiet nazzjonali li huwa jadotta abbażi ta’ din id-direttiva għall-ipproċessar ta’ data personali meta l-ipproċessar isir fil-kuntest tal-attivitajiet ta’ stabbiliment tal-kontrollur fit-territorju ta’ dan l-Istat Membru. Din id-dispożizzjoni tippreċiża li, meta l-istess kontrollur ikun stabbilit fit-territorju ta’ diversi Stati Membri, hu għandu jieħu l-miżuri meħtieġa sabiex jiżgura li kull wieħed minn dawn l-istabbilimenti jkun konformi mal-obbligi previsti mid-dritt nazzjonali applikabbli.

Għaldaqstant, minn qari flimkien ta’ din id-dispożizzjoni u tal-Artikolu 28(1) u (3) tad-Direttiva 95/46 jirriżulta li, meta d-dritt nazzjonali tal-Istat Membru tal-awtorità ta’ superviżjoni huwa applikabbli bis-saħħa tal-Artikolu 4(1)(a) ta’ din id-direttiva, minħabba l-fatt li l-ipproċessar inkwistjoni jitwettaq fil-kuntest tal-attivitajiet ta’ stabbiliment tal-kontrollur fit-territorju ta’ dan l-Istat Membru, din l-awtorità ta’ superviżjoni tista’ teżerċita s-setgħat kollha mogħtija lilha minn dan id-dritt fir-rigward ta’ dan l-istabbiliment, u dan irrispettivament mill-kwistjoni dwar jekk il-kontrollur ikollux stabbilimenti fi Stati Membri oħra wkoll.

Għaldaqstant, sabiex jiġi ddeterminat jekk awtorità ta’ superviżjoni tistax, f’ċirkustanzi bħal dawk fil-kawża prinċipali, teżerċita fir-rigward ta’ stabbiliment li jinsab fit-territorju tal-Istat Membru fejn tinsab is-setgħat mogħtija lilha mid-dritt nazzjonali, hemm lok li jiġi vverifikat jekk iż-żewġ kundizzjonijiet stabbiliti mill-Artikolu 4(1)(a) tad-Direttiva 96/46 humiex issodisfatti, jiġifieri, minn naħa, jekk huwiex “stabbiliment tal-kontrollur”, fis-sens ta’ din id-dispożizzjoni, u, min-naħa l-oħra, jekk l-imsemmi pproċessar isirx “fil-kuntest ta’ l-attivitajiet” ta’ dan l-istabbiliment, fis-sens tal-istess dispożizzjoni.

Fir-rigward, fl-ewwel lok, tal-kundizzjoni li l-kontrollur ta’ data personali għandu jkollu stabbiliment fit-territorju tal-Istat Membru tal-awtorità ta’ superviżjoni kkonċernata, għandu jitfakkar li, skont il-premessa 19 tad-Direttiva 95/46, l-istabbiliment fit-territorju ta’ Stat Membru jippreżumi l-eżerċizzju effettiv u reali ta’ attività permezz ta’ arranġamenti stabbli u l-forma ġuridika ta’ tali stabbiliment, kemm jekk sempliċi fergħa jew sussidjarja b’personalità ġuridika, ma hijiex determinanti (sentenza tal‑1 ta’ Ottubru 2015, Weltimmo, C‑230/14, EU:C:2015:639, punt 28 u l-ġurisprudenza ċċitata).

F’dan il-każ, huwa stabbilit li Facebook Inc., bħala kontrollur ta’ data personali, flimkien ma’ Facebook Ireland, għandha stabbiliment stabbli fil-Ġermanja, jiġifieri Facebook Germany, li tinsab f’Hamburg, u li din il-kumpannija tal-aħħar teżerċita realment u effettivament l-attivitajiet fl-imsemmi Stat Membru. Għalhekk, hija tikkostitwixxi “stabbiliment” fis-sens tal-Artikolu 4(1)(a) tad-Direttiva 95/46.

Fit-tieni lok, fir-rigward tal-kundizzjoni li l-ipproċessar ta’ data personali għandu jsir “fil-kuntest ta’ l-attivitajiet” tal-istabbiliment ikkonċernat, għandu jitfakkar, qabelxejn, li, fid-dawl tal-għan li għandu jintlaħaq permezz tad-Direttiva 95/46, li tiġi żgurata protezzjoni effikaċi u kompleta tal-libertajiet u tad-drittijiet fundamentali tal-persuni fiżiċi, b’mod partikolari tad-dritt għall-ħajja privata, fir-rigward tal-ipproċessar ta’ data personali, l-espressjoni “fil-kuntest ta’ l-attivitajiet ta’ stabbiliment” ma għandhiex tingħata interpretazzjoni ristrettiva (sentenza tal‑1 ta’ Ottubru 2015, Weltimmo, C‑230/14, EU:C:2015:639, punt 25 u l-ġurisprudenza ċċitata).

Imbagħad, għandu jiġi enfasizzat li l-Artikolu 4(1)(a) tad-Direttiva 95/46 ma jeżiġix li l-ipproċessar ta’ data personali inkwistjoni jsir “minn” l-istabbiliment ikkonċernat stess, iżda jeżiġi biss li dan isir “fil-kuntest ta’ l-attivitajiet” tiegħu (sentenza tat‑13 ta’ Mejju 2014, Google Spain u Google, C‑131/12, EU:C:2014:317, punt 52).

58	F’dan il-każ, mid-deċiżjoni tar-rinviju, kif ukoll mill-osservazzjonijiet bil-miktub ippreżentati minn Facebook Ireland, jirriżulta li Facebook Germany huwa responsabbli għall-promozzjoni u għall-bejgħ ta’ spazji ta’ reklamar u huwa involut f’attivitajiet intiżi għal persuni residenti fil-Ġermanja.

Kif ġie mfakkar fil-punti 33 u 34 ta’ din is-sentenza, l-ipproċessar ta’ data personali inkwistjoni fil-kawża prinċipali, li jsir minn Facebook Inc., flimkien ma’ Facebook Ireland, u li jikkonsisti fil-ġabra ta’ data permezz ta’ cookies installati fuq il-kompjuters jew fuq kwalunkwe apparat ieħor ta’ min jaċċessa l-paġni tal-fans ospitati fuq Facebook, għandu b’mod partikolari l-għan li jippermetti lil dan in-netwerk soċjali li jtejjeb is-sistema ta’ reklamar tiegħu sabiex jimmira aħjar il-komunikazzjonijiet li jiċċirkula.

Issa, kif irrileva l-Avukat Ġenerali fil-punt 94 tal-konklużjonijiet tiegħu, peress li, minn naħa, netwerk soċjali bħal Facebook jiġġenera parti sostanzjali tad-dħul tiegħu, b’mod partikolari, permezz tar-reklamar li jixxandar fuq il-paġni tal-internet li l-utenti joħolqu u li dawn jaċċessaw u, min-naħa l-oħra, l-istabbiliment ta’ Facebook li jinsab fil-Ġermanja huwa intiż sabiex jiżgura, f’dan l-Istat Membru, il-promozzjoni u l-bejgħ ta’ spazji ta’ reklamar li jservu sabiex jagħmlu profittabbli s-servizzi offruti minn Facebook, l-attivitajiet ta’ dan l-istabbiliment għandhom jiġu kkunsidrati bħala marbutin inseparabbilment mal-ipproċessar ta’ data personali inkwistjoni fil-kawża prinċipali, li għalih Facebook Inc. hija responsabbli b’mod konġunt ma’ Facebook Ireland. Għaldaqstant, tali pproċessar għandu jitqies bħala pproċessar imwettaq fil-kuntest tal-attivitajiet ta’ stabbiliment tal-kontrollur fis-sens tal-Artikolu 4(1)(a) tad-Direttiva 95/46 (ara, f’dan is-sens, is-sentenza tat‑13 ta’ Mejju 2014, Google Spain u Google, C‑131/12, EU:C:2014:317, punti 55 u 56).

Minn dan isegwi li peress li, bis-saħħa tal-Artikolu 4(1)(a) tad-Direttiva 95/46, id-dritt Ġermaniż huwa applikabbli għall-ipproċessar tad-data personali inkwistjoni fil-kawża prinċipali, l-awtorità ta’ superviżjoni Ġermaniża kienet kompetenti, konformement mal-Artikolu 28(1) ta’ din id-direttiva, sabiex tapplika dan id-dritt għall-imsemmi pproċessar.

Konsegwentement, din l-awtorità ta’ superviżjoni kienet kompetenti, għall-finijiet li tiżgura l-osservanza, fit-territorju Ġermaniż, tar-regoli fir-rigward tal-protezzjoni tad-data personali, sabiex timplimenta, fir-rigward ta’ Facebook Germany, is-setgħat kollha li hija għandha bis-saħħa tad-dispożizzjonijiet nazzjonali li jittrasponi l-Artikolu 28(3) tad-Direttiva 95/46.

Għandu jiġi ppreċiżat li l-fatt, enfasizzat mill-qorti tar-rinviju fit-tielet domanda tagħha, li l-istrateġiji tat-teħid tad-deċiżjonijiet dwar il-ġabra u l-ipproċessar ta’ data personali fir-rigward ta’ persuni residenti fit-territorju tal-Unjoni għandhom jittieħdu minn kumpannija omm stabbilita fi Stat terz, bħal, f’dan il-każ, Facebook Inc., ma huwiex ta’ natura li jqiegħed inkwistjoni l-kompetenza tal-awtorità ta’ superviżjoni taħt id-dritt ta’ Stat Membru fir-rigward ta’ stabbiliment, li jinsab fit-territorju ta’ dak l-istess Stat, tal-kontrollur tal-imsemmija data.

Fid-dawl ta’ dak li ntqal preċedentement, ir-risposta għat-tielet u għar-raba’ domanda għandha tkun li l-Artikoli 4 u 28 tad-Direttiva 95/46 għandhom jiġu interpretati fis-sens li, meta impriża stabbilita barra mill-Unjoni jkollha diversi stabbilimenti fi Stati Membri differenti, l-awtorità ta’ superviżjoni ta’ Stat Membru hija awtorizzata li teżerċita s-setgħat fdati lilha mill-Artikolu 28(3) ta’ din id-direttiva, fir-rigward ta’ stabbiliment ta’ din l-impriża li jinsab fit-territorju ta’ dan l-Istat Membru, minkejja li, skont it-tqassim tal-missjonijiet fi ħdan il-grupp, minn naħa, dak l-istabbiliment biss huwa responsabbli għall-bejgħ ta’ spazji ta’ reklamar u ta’ miżuri oħra ta’ marketing fit-territorju tal-imsemmi Stat Membru u, min-naħa l-oħra, ir-responsabbiltà esklużiva għall-ġabra u għall-ipproċessar tad-data personali, fit-territorju kollu tal-Unjoni, hija ta’ stabbiliment li jinsab fi Stat Membru ieħor.

Fuq il-ħames u s-sitt domanda

Permezz tal-ħames u tas-sitt domanda tagħha, li għandhom jiġu eżaminati flimkien, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 4(1)(a) u l-Artikolu 28(3) u (6) tad-Direttiva 95/46 għandhomx jiġu interpretati fis-sens li, meta l-awtorità ta’ superviżjoni ta’ Stat Membru jkollha l-ħsieb li teżerċita fir-rigward ta’ organu stabbilit fit-territorju ta’ dan l-Istat Membru s-setgħat ta’ intervent imsemmija fl-Artikolu 28(3) ta’ din id-direttiva minħabba l-ksur tar-regoli dwar il-protezzjoni tad-data personali, imwettqa minn terz li huwa l-kontrollur tal-ipproċessar ta’ din id-data u li għandu s-sede tiegħu fi Stat Membru ieħor, din l-awtorità ta’ superviżjoni hija kompetenti sabiex tevalwa, b’mod awtonomu fil-konfront tal-awtorità ta’ superviżjoni ta’ dan l-Istat Membru tal-aħħar, il-legalità ta’ tali pproċessar u tista’ teżerċita s-setgħat tagħha ta’ intervent fir-rigward tal-organu stabbilit fit-territorju tagħha mingħajr ma titlob minn qabel lill-awtorità ta’ superviżjoni tal-Istat Membru l-ieħor sabiex tintervjeni.

Sabiex tingħata risposta għal dawn id-domandi, għandu jitfakkar li, kif jirriżulta mir-risposta mogħtija għall-ewwel u għat-tieni domanda preliminari, l-Artikolu 2(d) tad-Direttiva 95/46 għandu jiġi interpretat fis-sens li jippermetti, f’ċirkustanzi bħalma huma dawk tal-kawża prinċipali, li jinżamm responsabbli organu, bħalma hija Wirtschaftsakademie, fil-kwalità tiegħu ta’ amministratur ta’ paġna tal-fans ospitata fuq Facebook, fil-każ ta’ ksur tar-regoli dwar il-protezzjoni tad-data personali.

Minn dan isegwi li, bis-saħħa tal-Artikolu 4(1)(a), kif ukoll tal-Artikolu 28(1) u (3) tad-Direttiva 95/46, l-awtorità ta’ superviżjoni tal-Istat Membru li fit-territorju tiegħu dan l-organu huwa stabbilit hija kompetenti sabiex tapplika d-dritt nazzjonali tagħha u, b’hekk, sabiex timplimenta, fil-konfront tal-imsemmi organu, is-setgħat fdati lilha minn dan id-dritt nazzjonali, konformement mal-Artikolu 28(3) ta’ din id-direttiva.

Kif inhu previst fit-tieni subparagrafu tal-Artikolu 28(1) tal-imsemmija direttiva, l-awtoritajiet ta’ superviżjoni li huma responsabbli għas-sorveljanza tal-applikazzjoni, fit-territorju tal-Istati Membri fejn jinsabu, tad-dispożizzjonijiet adottati minn dawn tal-aħħar b’applikazzjoni ta’ din l-istess direttiva għandhom jaġixxu b’indipendenza sħiħa fl-eżerċizzju tal-funzjonijiet fdati lilhom. Dan ir-rekwiżit jirriżulta wkoll mid-dritt primarju tal-Unjoni, b’mod partikolari mill-Artikolu 8(3) tal-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea u mill-Artikolu 16(2) TFUE (ara, f’dan is-sens, is-sentenza tas‑6 ta’ Ottubru 2015, Schrems, C‑362/14, EU:C:2015:650, punt 40).

Barra minn hekk, jekk, bis-saħħa tat-tieni subparagrafu tal-Artikolu 28(6) tad-Direttiva 95/46, l-awtoritajiet ta’ superviżjoni għandhom jikkooperaw ma’ xulxin f’dak li jkun meħtieġ sabiex iwettqu dmirijiethom, partikolarment billi jaqsmu flimkien kull informazzjoni utli, din l-istess direttiva la tipprevedi ebda kriterju ta’ prijorità li jirregola l-intervent tal-awtoritajiet ta’ superviżjoni ma’ xulxin u lanqas ma tistabbilixxi l-obbligu għal awtorità ta’ superviżjoni ta’ Stat Membru li tikkonforma ruħha mal-pożizzjoni espressa, jekk ikun il-każ, mill-awtorità ta’ superviżjoni ta’ Stat Membru ieħor.

70	B’hekk, xejn ma jobbliga awtorità ta’ superviżjoni li hija rrikonoxxuta bħala kompetenti bis-saħħa tad-dritt nazzjonali tagħha li taċċetta s-soluzzjoni adottata minn awtorità ta’ superviżjoni oħra f’sitwazzjoni simili.

F’dan ir-rigward, għandu jitfakkar li l-awtoritajiet nazzjonali ta’ superviżjoni huma, konformement mal-Artikolu 8(3) tal-Karta tad-Drittijiet Fundamentali u mal-Artikolu 28 tad-Direttiva 95/46, responsabbli għas-superviżjoni tal-osservanza tar-regoli tal-Unjoni dwar il-protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar tad-data personali, u għalhekk kull waħda minnhom hija kompetenti li tivverifika jekk ipproċessar ta’ data personali fit-territorju tal-Istat Membru fejn hija stabbilita josservax ir-rekwiżiti imposti mid-Direttiva 95/46 (ara, f’dan is-sens, is-sentenza tas‑6 ta’ Ottubru 2015, Schrems, C‑362/14, EU:C:2015:650, punt 47).

L-Artikolu 28 tad-Direttiva 95/46 japplika, min-natura tiegħu stess, għal kull ipproċessar ta’ data personali, anki fil-preżenza ta’ deċiżjoni ta’ awtorità ta’ superviżjoni ta’ Stat Membru ieħor, u għalhekk awtorità ta’ superviżjoni, adita minn persuna b’talba dwar il-protezzjoni tad-drittijiet u tal-libertajiet tagħha fir-rigward tal-ipproċessar ta’ data personali li tikkonċernaha, għandha teżamina, b’indipendenza sħiħa, jekk l-ipproċessar ta’ din id-data josservax ir-rekwiżiti imposti mill-imsemmija direttiva (ara, f’dan is-sens, is-sentenza tas‑6 ta’ Ottubru 2015, Schrems, C‑362/14, EU:C:2015:650, punt 57).

73	Minn dan jirriżulta li, f’dan il-każ, bis-saħħa tas-sistema stabbilita bid-Direttiva 95/46, l-ULD kienet awtorizzata sabiex tevalwa, b’mod awtonomu mill-evalwazzjonijiet imwettqa mill-awtorità ta’ superviżjoni Irlandiża, il-legalità tal-ipproċessar tad-data inkwistjoni fil-kawża prinċipali.

Għaldaqstant, ir-risposta għall-ħames u għas-sitt domanda għandha tkun li l-Artikolu 4(1)(a) u l-Artikolu 28(3) u (6) tad-Direttiva 95/46 għandhom jiġu interpretati fis-sens li, meta l-awtorità ta’ superviżjoni ta’ Stat Membru jkollha l-ħsieb li teżerċita fir-rigward ta’ organu stabbilit fit-territorju ta’ dan l-Istat Membru s-setgħat ta’ intervent imsemmija fl-Artikolu 28(3) ta’ din id-direttiva minħabba l-ksur tar-regoli dwar il-protezzjoni tad-data personali, imwettqa minn terz li huwa l-kontrollur tal-ipproċessar ta’ din id-data u li għandu s-sede tiegħu fi Stat Membru ieħor, din l-awtorità ta’ superviżjoni hija kompetenti sabiex tevalwa, b’mod awtonomu fil-konfront tal-awtorità ta’ superviżjoni ta’ dan l-Istat Membru tal-aħħar, il-legalità ta’ tali pproċessar u tista’ teżerċita s-setgħat tagħha ta’ intervent fir-rigward tal-organu stabbilit fit-territorju tagħha mingħajr ma titlob minn qabel lill-awtorità ta’ superviżjoni tal-Istat Membru l-ieħor sabiex tintervjeni.

Fuq l-ispejjeż

Peress li l-proċedura għandha, fir-rigward tal-partijiet fil-kawża prinċipali, in-natura ta’ kwistjoni mqajma quddiem il-qorti tar-rinviju, hija din il-qorti li tiddeċiedi fuq l-ispejjeż. L-ispejjeż sostnuti għas-sottomissjoni tal-osservazzjonijiet lill-Qorti tal-Ġustizzja, minbarra dawk tal-imsemmija partijiet, ma jistgħux jitħallsu lura.

Għal dawn il-motivi, Il-Qorti tal-Ġustizzja (Awla Manja) taqta’ u tiddeċiedi:

L-Artikolu 2(d) tad-Direttiva 95/46/KE tal-Parlament Ewropew u tal-Kunsill tal‑24 ta’ Ottubru 1995 dwar il-protezzjoni ta’ individwi fir-rigward ta’ l-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ dik id-data għandu jiġi interpretat fis-sens li l-kunċett ta’ “kontrollur”, fis-sens ta’ din id-dispożizzjoni, jinkludi l-amministratur ta’ paġna tal-fans ospitata fuq netwerk soċjali.

L-Artikoli 4 u 28 tad-Direttiva 95/46 għandhom jiġu interpretati fis-sens li, meta impriża stabbilita barra mill-Unjoni Ewropea jkollha diversi stabbilimenti fi Stati Membri differenti, l-awtorità ta’ superviżjoni ta’ Stat Membru hija awtorizzata li teżerċita s-setgħat fdati lilha mill-Artikolu 28(3) ta’ din id-direttiva fir-rigward ta’ stabbiliment ta’ din l-impriża li jinsab fit-territorju ta’ dan l-Istat Membru, minkejja li, skont it-tqassim tal-missjonijiet fi ħdan il-grupp, minn naħa, dak l-istabbiliment biss huwa responsabbli għall-bejgħ ta’ spazji ta’ reklamar u ta’ miżuri oħra ta’ marketing fit-territorju tal-imsemmi Stat Membru u, min-naħa l-oħra, ir-responsabbiltà esklużiva għall-ġabra u għall-ipproċessar tad-data personali, fit-territorju kollu tal-Unjoni Ewropea, hija ta’ stabbiliment li jinsab fi Stat Membru ieħor.

L-Artikolu 4(1)(a) u l-Artikolu 28(3) u (6) tad-Direttiva 95/46 għandhom jiġu interpretati fis-sens li, meta l-awtorità ta’ superviżjoni ta’ Stat Membru jkollha l-ħsieb li teżerċita fir-rigward ta’ organu stabbilit fit-territorju ta’ dan l-Istat Membru s-setgħat ta’ intervent imsemmija fl-Artikolu 28(3) ta’ din id-direttiva minħabba l-ksur tar-regoli dwar il-protezzjoni tad-data personali, imwettqa minn terz li huwa l-kontrollur tal-ipproċessar ta’ din id-data u li għandu s-sede tiegħu fi Stat Membru ieħor, din l-awtorità ta’ superviżjoni hija kompetenti sabiex tevalwa, b’mod awtonomu fil-konfront tal-awtorità ta’ superviżjoni ta’ dan l-Istat Membru tal-aħħar, il-legalità ta’ tali pproċessar u tista’ teżerċita s-setgħat tagħha ta’ intervent fir-rigward tal-organu stabbilit fit-territorju tagħha mingħajr ma titlob minn qabel lill-awtorità ta’ superviżjoni tal-Istat Membru l-ieħor sabiex tintervjeni.

Firem

( *1 ) Lingwa tal-kawża: il-Ġermaniż.