Kawża C‑634/21

Land Hessen

(talba għal deċiżjoni preliminari, imressqa mill-Verwaltungsgericht Wiesbaden)

Sentenza tal-Qorti tal-Ġustizzja (L‑Ewwel Awla) tas‑7 ta’ Diċembru 2023

“Rinviju għal deċiżjoni preliminari – Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament (UE) 2016/679 – Artikolu 22 – Deċiżjoni individwali awtomatizzata – Kumpanniji li jipprovdu informazzjoni kummerċjali – Tfassil awtomatizzat ta’ valur ta’ probabbiltà fir-rigward tal-kapaċità ta’ persuna li tonora impenji ta’ pagament fil-futur (‘scoring’) – Użu ta’ dan il-valur ta’ probabbiltà minn terzi”

Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Rimedji ġudizzjarji – Rimedju ġudizzjarju kontra deċiżjoni dwar ilment meħuda minn awtorità ta’ superviżjoni – Stħarriġ ġudizzjarju – Portata – Limiti – Assenza

(Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, Artikolu 78(1))

(ara l-punt 34)
Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Dritt tas-suġġett tad-data li ma jkunx is-suġġett ta’ deċiżjoni bbażata esklużivament fuq ipproċessar awtomatizzat – Deċiżjoni individwali awtomatizzata – Kunċett – Tfassil awtomatizzat, minn kumpannija li tipprovdi informazzjoni kummerċjali, ta’ valur ta’ probabbiltà tas-solvenza ta’ persuna, użat minn terzi – Inklużjoni – Kundizzjonijiet

(Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, premessa 71 u l-punt 4 tal-Artikolu 4 u Artikolu 22(1))

(ara l-punti 43, 46 sa 50, 60 sa 63, 73, u d-dispożittiv)
Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Dritt tas-suġġett tad-data li ma jkunx is-suġġett ta’ deċiżjoni bbażata esklużivament fuq ipproċessar awtomatizzat – Eċċezzjonijiet – Adozzjoni ta’ deċiżjoni bbażata esklużivament fuq ipproċessar awtomatizzat, awtorizzata mid-dritt ta’ Stat Membru – Obbligu li jiġu osservati l-kundizzjonijiet u rekwiżiti previsti mill-imsemmi regolament – Verifika li taqa’ fuq il-qorti nazzjonali

(Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, premessa 71, u l-Artikoli 5, 6 u 22(2) sa (4))

(ara l-punti 53 sa 55, 64, 67 sa 70, 72)

Sunt

SCHUFA Holding AG, kumpannija privata rregolata mid-dritt Ġermaniż, tipprovdi lis-sħab kuntrattwali tagħha informazzjoni dwar is-solvenza ta’ persuni. Għal dan il-għan, hija tagħti lil kull suġġett tad-data valur (“score”) li hija tistabbilixxi abbażi ta’ ċerti karatteristiċi ta’ dan is-suġġett, abbażi ta’ proċeduri matematiċi u statistiċi. It-tfassil tal-iscores iservi sabiex jiġi previst l-aġir futur ta’ persuna, bħar-rimbors ta’ self, abbażi tal-assenjazzjoni tagħha ma’ grupp ta’ persuni oħra li jkollhom karatteristiċi paragunabbli.

Wara li kien is-suġġett ta’ informazzjoni negattiva stabbilita minn SCHUFA u trażmessa lil istituzzjoni ta’ kreditu, OQ ġie rrifjutat, minn din l-istituzzjoni, l-għoti ta’ self. OQ talab lil SCHUFA sabiex tagħtih aċċess għad-data li tikkonċernah u biex tħassar id-data allegatament żbaljata. Madankollu, SCHUFA kkomunikatlu biss l-iscore tiegħu, u, b’mod ġenerali, il-modalitajiet ta’ kalkolu tiegħu, billi invokat, għall-bqija, is-sigriet professjonali.

OQ sussegwentement ressaq ilment kontra SCHUFA quddiem l-HBDI ( 1 ), l-awtorità ta’ superviżjoni Ġermaniża, li din tal-aħħar ċaħdet minħabba li l-attività ta’ SCHUFA kienet konformi mal-leġiżlazzjoni Ġermaniża li tirregola l-modalitajiet ta’ użu ta’ valur ta’ probabbiltà dwar is-solvenza ( 2 ).

Adita b’rikors kontra d-deċiżjoni tal-HBDI minn OQ, il-Verwaltungsgericht Wiesbaden (il-Qorti Amministrattiva ta’ Wiesbaden, il-Ġermanja) staqsiet lill-Qorti tal-Ġustizzja dwar l-interpretazzjoni tad-dispożizzjonijiet tal-GDPR ( 3 ) dwar id-dritt tas-suġġett tad-data li ma jkunx is-suġġett ta’ deċiżjoni bbażata esklużivament fuq ipproċessar awtomatizzat, inkluż it-tfassil ta’ profili ( 4 ).

Fis-sentenza tagħha, il-Qorti tal-Ġustizzja tinterpreta, għall-ewwel darba, id-dispożizzjonijiet tal-GDPR li jirrigwardaw il-qasam sensittiv tad-deċiżjonijiet ibbażati esklużivament fuq ipproċessar awtomatizzat ta’ data. F’dan il-kuntest, hija tiddeċiedi dwar il-kwistjoni jekk it-tfassil awtomatizzat, minn kumpannija li tipprovdi informazzjoni kummerċjali, ta’ valur ta’ probabbiltà dwar is-solvenza ta’ persuna jikkostitwixxix deċiżjoni individwali awtomatizzata u, għalhekk, jaqa’ fil-kamp ta’ applikazzjoni ta’ dawn id-dispożizzjonijiet.

Il‑kunsiderazzjonijiet tal‑Qorti tal‑Ġustizzja

Qabelxejn, il-Qorti tal-Ġustizzja tikkonstata li t-tliet kundizzjonijiet kumulattivi għall-applikabbiltà tad-dispożizzjonijiet tal-GDPR li jirregolaw id-dritt tal-persuna li ma tkunx is-suġġett ta’ deċiżjoni bbażata esklużivament fuq ipproċessar awtomatizzat, inkluż it-tfassil ta’ profili, huma ssodisfatti f’dan il-każ.

Fir-rigward tal-ewwel kundizzjoni, dwar l-eżistenza ta’ deċiżjoni, il-Qorti tal-Ġustizzja tippreċiża li l-kunċett ta’ “deċiżjoni” għandu portata wiesgħa u jista’ jinkludi r-riżultat tal-kalkolu tas-solvenza ta’ persuna fil-forma ta’ valur ta’ probabbiltà fir-rigward tal-kapaċità ta’ dik il-persuna li tonora impenji ta’ pagament fil-futur.

Fir-rigward tat-tieni kundizzjoni, li d-deċiżjoni għandha tkun “[ibbażata] unikament fuq ipproċessar awtomatizzat, inkluż it-tfassil ta’ profili”, huwa paċifiku, skont il-Qorti tal-Ġustizzja, li l-attività tal-kumpannija inkwistjoni tissodisfa d-definizzjoni ta’ “tfassil ta’ profili” ( 5 ) u għalhekk li din il-kundizzjoni hija ssodisfatta f’dan il-każ. Barra minn hekk, il-qorti tar-rinviju ssemmi espliċitament li huwa inkwistjoni t-tfassil awtomatizzat ta’ valur ta’ probabbiltà bbażat fuq data personali dwar persuna u li jikkonċerna l-kapaċità tagħha li tonora self fil-futur.

Fir-rigward tat-tielet kundizzjoni, li tgħid li d-deċiżjoni għandha tipproduċi “effetti legali” fir-rigward tal-persuna inkwistjoni jew taffettwaha “bl-istess mod b’mod sinifikanti”, il-Qorti tal-Ġustizzja tirrileva li, f’dan il-każ, l-azzjoni tat-terz li lilu jiġi trażmess il-valur ta’ probabbiltà hija ggwidata “b’mod determinanti” minn dan il-valur. Fil-fatt, valur ta’ probabbiltà insuffiċjenti jwassal, kważi dejjem, għar-rifjut li jingħata self. Għalhekk, dan il-valur jaffettwa, tal-inqas, lis-suġġett tad-data b’mod sinjifikattiv.

Minn dan il-Qorti tal-Ġustizzja tikkonkludi li fil-każ fejn il-valur ta’ probabbiltà stabbilit minn kumpannija li tipprovdi informazzjoni kummerċjali u kkomunikat lil bank ikollu rwol determinanti fl-għoti ta’ kreditu, it-tfassil ta’ dan il-valur għandu jiġi kklassifikat fih innifsu bħala deċiżjoni li tipproduċi fir-rigward ta’ suġġett tad-data “effetti legali li jikkonċernaw lilu jew li bl-istess mod [jaffettwaw] lilu b’mod sinifikanti” ( 6 ).

Sussegwentement, il-Qorti tal-Ġustizzja tenfasizza li din l-interpretazzjoni, u fuq kollox il-portata wiesgħa tal-kunċett ta’ “deċiżjoni”, issaħħaħ il-protezzjoni effettiva intiża mill-GDPR. Min-naħa l-oħra, interpretazzjoni restrittiva, li t-tfassil tal-valur ta’ probabbiltà għandu jiġi kkunsidrat biss bħala att preparatorju u huwa biss l-att adottat mit-terz li jista’, jekk ikun il-każ, jiġi kklassifikat bħala “deċiżjoni”, twassal għal lakuna fil-protezzjoni ġuridika. Fil-fatt, f’din l-ipoteżi, it-tfassil ta’ tali valur ma jaqax taħt ir-rekwiżiti speċifiċi previsti mill-GDPR ( 7 ), minkejja li din il-proċedura tibbaża fuq ipproċessar awtomatizzat u tipproduċi effetti li jaffettwaw b’mod sinjifikattiv lis-suġġett tad-data sa fejn l-azzjoni tat-terz, li lilu jiġi trażmess dan il-valur ta’ probabbiltà, hija ggwidata b’mod determinanti minnu.

Barra minn hekk, minn naħa, is-suġġett tad-data ma jistax jinvoka, mingħand il-kumpannija li tipprovdi informazzjoni kummerċjali li tfassal il-valur ta’ probabbiltà li jikkonċernah, id-dritt tiegħu ta’ aċċess għall-informazzjoni speċifika ( 8 ), fl-assenza ta’ teħid ta’ deċiżjoni awtomatizzata minn din il-kumpannija. Min-naħa l-oħra, anki jekk jitqies li l-att adottat mit-terz min-naħa tiegħu jaqa’ taħt id-dispożizzjonijiet tal-GDPR li jirrigwardaw id-dritt tal-persuna li ma tkunx is-suġġett ta’ deċiżjoni bbażata esklużivament fuq ipproċessar awtomatizzat, dan it-terz ma jkunx f’pożizzjoni li jipprovdi din l-informazzjoni speċifika peress li ġeneralment ma jkunx fil-pussess tagħha.

Fl-aħħar nett, il-Qorti tal-Ġustizzja tinnota li l-fatt li t-tfassil ta’ valur ta’ probabbiltà huwa kopert mid-dispożizzjonijiet tal-GDPR li jirregolaw id-dritt tal-persuna li ma tkunx is-suġġett ta’ deċiżjoni bbażata esklużivament fuq ipproċessar awtomatizzat għandu bħala konsegwenza li huwa pprojbit sakemm waħda mill-eċċezzjonijiet ma tkunx applikabbli u li r-rekwiżiti speċifiċi previsti mill-GDPR jiġu osservati.

Barra minn hekk, kull ipproċessar ta’ data personali għandu, minn naħa, ikun konformi mal-prinċipji dwar l-ipproċessar tad-data stabbiliti mill-GDPR u, min-naħa l-oħra, fid-dawl b’mod partikolari tal-prinċipju ta’ legalità tal-ipproċessar, għandu jissodisfa waħda mill-kundizzjonijiet ta’ legalità.

F’dan il-kuntest, il-Qorti tal-Ġustizzja tirrileva li l-qorti tar-rinviju tirreferi għall-eċċezzjoni li l-adozzjoni tad-deċiżjoni bbażata esklużivament fuq ipproċessar awtomatizzat tista’ tiġi awtorizzata meta dan ikun previst mid-dritt tal-Istat Membru. F’dan ir-rigward, hija tippreċiża li hija dik il-qorti li għandha tivverifika jekk il-leġiżlazzjoni nazzjonali li tirregola l-modalitajiet ta’ użu ta’ valur ta’ probabbiltà dwar is-solvenza tistax tiġi kklassifikata bħala bażi legali li tawtorizza l-adozzjoni ta’ tali deċiżjoni u, fl-affermattiv, jekk il-kundizzjonijiet relatati ma’ din l-eċċezzjoni u dawk dwar il-prinċipji applikabbli għall-ipproċessar, previsti mill-GDPR, humiex issodisfatti f’dan il-każ.

( 1 ) Hessischer Beauftragter für Datenschutz und Informationsfreiheit (il-Kummissarju għall-Protezzjoni tad-Data u għal-Libertà tal-Informazzjoni għal-Land ta’ Hessen, il-Ġermanja).

( 2 ) Artikolu 31 tal-Bundesdatenschutzgesetz (il-Liġi Federali dwar il-Protezzjoni tad-Data), tat‑30 ta’ Ġunju 2017 (BGBl. I, p. 2097).

( 3 ) Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-“GDPR”).

( 4 ) Artikolu 22 tal-GDPR.

( 5 ) Fis-sens tal-punt 4 tal-Artikolu 4 tal-GDPR.

( 6 ) Fis-sens tal-Artikolu 22(1) tal-GDPR.

( 7 ) Imsemmija fl-Artikolu 22(2) sa (4) tal-GDPR. Minn dawn id-dispożizzjonijiet jirriżulta li l-projbizzjoni ta’ deċiżjoni individwali bbażata esklużivament fuq ipproċessar awtomatizzat tinkludi tliet eċċezzjonijiet, fejn garanziji addizzjonali huma relatati magħhom. Għalhekk, tali deċiżjoni hija ammessa meta tkun neċessarja għall-konklużjoni jew għall-eżekuzzjoni ta’ kuntratt bejn is-suġġett tad-data u kontrollur tad-data, meta hija awtorizzata mid-dritt tal-Unjoni jew mid-dritt tal-Istat Membru li l-kontrollur tad-data jkun suġġett għalih jew meta tkun ibbażata fuq il-kunsens espliċitu tas-suġġett tad-data, bil-kundizzjoni li miżuri xierqa għas-salvagwardja tad-drittijiet u tal-libertajiet kif ukoll tal-interessi leġittimi tas-suġġett tad-data jiġu stabbiliti.

( 8 ) Imsemmija fl-Artikolu 15(1)(h) tal-GDPR, li fil-każ ta’ teħid ta’ deċiżjoni awtomatizzata jagħti lis-suġġett tad-data dritt ta’ aċċess estiż.