Kawżi magħquda C‑26/22 u C‑64/22

UF
u
AB

Land Hessen

(talba għal deċiżjoni preliminari, imressqa mill-Verwaltungsgericht Wiesbaden)

Sentenza tal-Qorti tal-Ġustizzja (L‑Ewwel Awla) tas‑7 ta’ Diċembru 2023

“Rinviju għal deċiżjoni preliminari – Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament (UE) 2016/679 – Artikolu 5(1)(a) – Prinċipju ta’ ‘legalità’ – Il-punt (f) tal-ewwel subparagrafu tal-Artikolu 6(1) – Ħtieġa tal-ipproċessar għall-finijiet tal-interessi leġittimi mfittxija mill-kontrollur tad-data jew minn terz – Artikolu 17(1)(d) – Dritt għat-tħassir fil-każ ta’ pproċessar illegali ta’ data personali – Artikolu 40 – Kodiċijiet ta’ kondotta – Artikolu 78(1) – Dritt għal rimedju ġudizzjarju effettiv kontra awtorità ta’ superviżjoni – Deċiżjoni meħuda mill-awtorità ta’ superviżjoni dwar ilment – Portata tal-istħarriġ ġudizzjarju fuq din id-deċiżjoni – Kumpanniji li jipprovdu informazzjoni kummerċjali – Żamma ta’ data provenjenti minn reġistru pubbliku dwar ir-rilaxx minn dejn li ma tħallasx lura favur persuna – Tul taż-żamma”

Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Rimedji ġudizzjarji – Rimedju ġudizzjarju kontra deċiżjoni dwar ilment meħuda minn awtorità ta’ superviżjoni – Stħarriġ ġudizzjarju – Portata – Limiti – Assenza

(Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea, Artikoli 8(3) u 47; Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, premessi 141 u 143, Artikoli 52, 78(1) u 79(1))

(ara l-punti 50 sa 53, 58, 59, 62, 67 sa 70, u d-dispożittiv 1)
Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Kundizzjonijiet għal-legalità ta’ pproċessar ta’ data personali – Ipproċessar neċessarju għall-finijiet tal-interessi leġittimi mfittxija mill-kontrollur tad-data jew minn terz – Ipproċessar neċessarju għall-attività ta’ kumpannija privata li tikkonsisti fil-provvista ta’ informazzjoni kummerċjali lis-sħab kuntrattwali tagħha għall-finijiet tal-evalwazzjoni tas-solvenza tal-klijenti potenzjali tagħhom – Żamma sistematika ta’ data provenjenti minn reġistru pubbliku dwar ir-rilaxx minn dejn li ma tħallasx lura favur persuna – Tul taż-żamma li jmur lil hinn mit-terminu ta’ żamma tad-data fir-reġistru pubbliku ta’ insolvenza – Inammissibbiltà

(Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea, Artikoli 7 u 8; Regolament tal-Parlament Ewropew u tal-Kunsill 2015/848, premessa 76 u l-Artikolu 79(4) u (5), u Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, Artikolu 5(1)(a) u punt (f) tal-ewwel subparagrafu tal-Artikolu 6(1))

(ara l-punti 75, 83, 88 sa 100, 113, u d-dispożittiv 2)
Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Kundizzjonijiet għal-legalità ta’ pproċessar ta’ data personali – Kodiċi ta’ Kondotta mfassal minn assoċjazzjoni li tirrappreżenta kontrolluri tad-data jew proċessuri approvat mill-awtorità ta’ superviżjoni kompetenti – Kodiċi li jistabbilixxi kundizzjonijiet għal-legalità ta’ pproċessar li ma jikkorrispondux ma’ dawk previsti mir-Regolament 2016/679 – Assenza ta’ teħid inkunsiderazzjoni

(Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, il-punt (f) tal-ewwel subparagrafu tal-Artikolu 6(1) u l-Artikolu 40(1), (2) u (5))

(ara l-punti 101 sa 105)
Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Dritt għal tħassir – Portata – Ipproċessar illegali ta’ data personali – Inklużjoni

(Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, Artikolu 17(1)(d))

(ara l-punti 107, 108, 113, u d-dispożittiv 4)
Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Dritt għal tħassir – Portata – Dritt ta’ oppożizzjoni tas-suġġett tad-data għal ipproċessar ta’ data – Inklużjoni – Eċċezzjoni – Eżistenza ta’ raġunijiet leġittimi u imperattivi għall-ipproċessar li jipprevalu fuq l-interessi u fuq id-drittijiet u l-libertajiet ta’ dan is-suġġett – Oneru tal-prova li jaqa’ fuq il-kontrollur tad-data

(Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, Artikoli 17(1)(c) u 21(1))

(ara l-punti 109 sa 113, u d-dispożittiv 3)

Sunt

SCHUFA Holding AG, kumpannija privata rregolata mid-dritt Ġermaniż, tirreġistra u żżomm, fid-databases tagħha stess, informazzjoni provenjenti minn reġistri pubbliċi, b’mod partikolari dik dwar rilaxxi ta’ dejn li ma tħallasx lura, li hija tipprovdi, skont il-każ, lis-sħab kuntrattwali tagħha. Hija tħassar din l-informazzjoni fi tmiem terminu ta’ tliet snin wara r-reġistrazzjoni tagħha, konformement mal-Kodiċi ta’ Kondotta mfassal, fil-Ġermanja, mill-assoċjazzjoni li tiġbor fiha l-kumpanniji li jipprovdu informazzjoni kummerċjali.

Wara li bbenefikaw minn deċiżjonijiet ta’ rilaxx antiċipat minn dejn li ma tħallasx lura fil-kuntest ta’ proċeduri ta’ insolvenza, UF u AB talbu lil SCHUFA tħassar l-iskrizzjonijiet dwar dawn id-deċiżjonijiet. Din il-kumpannija rrifjutat li tilqa’ t-talbiet tagħhom billi spjegat li t-terminu għat-tħassir ta’ din id-data mir-reġistru pubbliku ta’ sitt xhur, previst mil-leġiżlazzjoni Ġermaniża ( 1 ), ma kienx japplika għaliha.

UF u AB ressqu, it-tnejn, ilment kontra SCHUFA quddiem l-HBDI ( 2 ), l-awtorità ta’ superviżjoni kompetenti, li din tal-aħħar ċaħdet minħabba li l-ipproċessar tad-data mwettaq minn SCHUFA kien legali.

Adita b’rikorsi kontra d-deċiżjonijiet tal-HBDI minn UF u AB, il-Verwaltungsgericht Wiesbaden (il-Qorti Amministrattiva ta’ Wiesbaden, il-Ġermanja) għamlet domandi lill-Qorti tal-Ġustizzja dwar l-interpretazzjoni ta’ diversi dispożizzjonijiet tal-GDPR ( 3 ), li jirrigwardaw b’mod partikolari n-neċessità tal-ipproċessar ta’ data għall-finijiet tal-interessi mfittxija kif ukoll id-dritt għat-tħassir ( 4 ).

Fis-sentenza tagħha, il-Qorti tal-Ġustizzja tikkonstata li l-GDPR ( 5 ) jipprekludi prattika ta’ kumpanniji privati li jipprovdu informazzjoni kummerċjali, li tikkonsisti fiż-żamma, fid-databases tagħhom stess, ta’ informazzjoni provenjenti minn reġistru pubbliku dwar l-għoti ta’ rilaxx ta’ dejn li ma tħallasx lura favur persuni fiżiċi għal perijodu itwal minn dak previst mil-leġiżlazzjoni nazzjonali għaż-żamma ta’ din id-data f’tali reġistru. Hija tiddeċiedi wkoll dwar id-dritt tas-suġġett tad-data li jikseb mingħand din il-kumpannija t-tħassir tad-data li tikkonċernah.

Il‑kunsiderazzjonijiet tal‑Qorti tal‑Ġustizzja

Fl-ewwel lok, il-Qorti tal-Ġustizzja tfakkar li, skont il-GDPR, ipproċessar ta’ data personali jista’ jitqies li huwa legali b’mod partikolari meta jiġu ssodisfatti tliet kundizzjonijiet kumulattivi, jiġifieri, l-ewwel, li l-kontrollur tad-data jew terz isegwi interess leġittimu, it-tieni, li l-ipproċessar ikun neċessarju għat-twettiq tal-interess leġittimu mfittex u, it-tielet, li l-interessi jew il-libertajiet u d-drittijiet fundamentali tas-suġġett tad-data kkonċernat mill-protezzjoni tad-data ma jipprevalux fuq l-interess leġittimu tal-kontrollur tad-data jew ta’ terz ( 6 ).

Fir-rigward tal-ewwel kundizzjoni, il-Qorti tal-Ġustizzja tenfasizza li, għalkemm, f’dan il-każ, l-ipproċessar tad-data personali jservi l-interessi ekonomiċi ta’ kumpannija privata, dan iservi wkoll sabiex jintlaħqu l-interessi leġittimi tas-sħab kuntrattwali ta’ din il-kumpannija, li huma obbligati jevalwaw is-solvenza tal-persuni li magħhom huma għandhom l-intenzjoni li jikkonkludu kuntratti marbuta ma’ kreditu, u għalhekk l-interessi tas-settur ta’ kreditu fuq livell soċjoekonomiku.

Fir-rigward tat-tieni kundizzjoni, il-Qorti tal-Ġustizzja tfakkar li l-ipproċessar tad-data jista’ jitqies bħala “neċessarju” biss jekk jitwettaq fil-limiti ta’ dak li huwa strettament neċessarju għat-twettiq ta’ interess leġittimu mfittex mill-kontrollur tad-data jew minn terz.

Fir-rigward tat-tielet kundizzjoni, il-Qorti tal-Ġustizzja tikkonstata li, f’dan il-każ, l-eżami tagħha jingħaqad mal-eżami tat-tieni kundizzjoni u jeħtieġ ibbilanċjar tad-drittijiet u tal-interessi opposti sabiex jiġi evalwat jekk l-interessi leġittimi mfittxija jistgħux raġonevolment jintlaħqu minn tul ta’ żamma iqsar tad-data.

Għalhekk, fir-rigward tal-ibbilanċjar tal-interessi leġittimi mfittxija, il-Qorti tal-Ġustizzja tirrileva li, sa fejn l-analiżi magħmula minn kumpannija li tipprovdi informazzjoni kummerċjali tirrendi possibbli l-evalwazzjoni oġġettiva u affidabbli tas-solvenza tal-klijenti potenzjali tas-sħab kuntrattwali ta’ din il-kumpannija, din tippermetti li jiġu kkumpensati differenzi fl-informazzjoni u għalhekk li jitnaqqsu r-riskji ta’ frodi kif ukoll ta’ inċertezzi oħra.

Fir-rigward, min-naħa l-oħra, tad-drittijiet u tal-interessi tas-suġġett tad-data, il-Qorti tal-Ġustizzja tikkunsidra li l-ipproċessar, minn din il-kumpannija, ta’ data dwar l-għoti ta’ rilaxx ta’ dejn li ma tħallasx lura, bħaż-żamma, l-analiżi u l-komunikazzjoni ta’ din id-data lil terz, jikkostitwixxi ndħil serju fid-drittijiet fundamentali tas-suġġett tad-data ( 7 ). Fil-fatt, tali data sservi bħala fattur negattiv waqt l-evalwazzjoni tas-solvenza ta’ dan tal-aħħar u għalhekk tikkostitwixxi informazzjoni sensittiva fuq il-ħajja privata tiegħu li l-ipproċessar tagħha jista’ jippreġudika b’mod kunsiderevoli l-interessi tiegħu. Barra minn hekk, iktar ma tkun twila ż-żamma ta’ tali data, iktar ikunu sinjifikattivi l-konsegwenzi fuq l-interessi u fuq il-ħajja privata tas-suġġett tad-data, u iktar ikunu kunsiderevoli r-rekwiżiti relatati mal-legalità taż-żamma ta’ din l-informazzjoni.

Barra minn hekk, fir-rigward taż-żamma tad-data fir-reġistri pubbliċi ta’ insolvenza, il-Qorti tal-Ġustizzja tirrileva li l-Istati Membri huma responsabbli mill-ġbir u mill-ħażna tad-data fid-databases nazzjonali ( 8 ) u, għaldaqstant, huma għandhom ukoll jiffissaw it-terminu għaż-żamma ta’ din id-data. F’dan il-każ, il-leġiżlatur nazzjonali qies li wara l-iskadenza tat-terminu ta’ sitt xhur, id-drittijiet u l-interessi tas-suġġett tad-data jipprevalu fuq dawk tal-pubbliku li jkollu din l-informazzjoni.

Barra minn hekk, ir-rilaxx ta’ dejn li ma tħallasx lura għandu jippermetti lill-persuna li tibbenefika minnu li tipparteċipa mill-ġdid fil-ħajja ekonomika u huwa, ġeneralment, ta’ importanza eżistenzjali għal din il-persuna. Issa, it-twettiq ta’ dan l-għan jiġi kompromess jekk l-informazzjoni relatata magħha setgħet tinżamm u tintuża wara t-tħassir tagħha mir-reġistru pubbliku ta’ insolvenza.

Konsegwentement, il-Qorti tal-Ġustizzja tikkonkludi li l-interessi tas-settur ta’ kreditu li jkollu informazzjoni dwar rilaxx minn dejn li ma tħallasx lura ma jistgħux jiġġustifikaw iż-żamma tad-data lil hinn mit-terminu ta’ żamma fir-reġistru pubbliku ta’ insolvenza.

Il-Qorti tal-Ġustizzja żżid li ż-żamma tad-data matul il-perijodu ta’ sitt xhur tikkostitwixxi wkoll indħil fid-drittijiet fundamentali tas-suġġett tad-data. F’dan ir-rigward, hija l-qorti tar-rinviju li għandha tevalwa jekk iż-żamma parallela ta’ din id-data minn kumpanniji privati tistax titqies bħala li hija limitata għal dak li huwa strettament neċessarju.

Fl-aħħar nett, fir-rigward tal-eżistenza ta’ kodiċi ta’ kondotta li jipprevedi t-tħassir ta’ data fi tmiem terminu ta’ tliet snin, il-Qorti tal-Ġustizzja tinnota li għalkemm tali kodiċi huwa intiż li jikkontribwixxi għall-applikazzjoni tajba tal-GDPR ( 9 ), xorta jibqa’ l-fatt li l-kundizzjonijiet għal-legalità ta’ pproċessar ta’ data personali li huwa jistabbilixxi ma jistgħux ivarjaw mill-kundizzjonijiet previsti mill-GDPR. Għalhekk, kodiċi ta’ kondotta li jwassal għal evalwazzjoni differenti minn dik miksuba bl-applikazzjoni tal-GDPR ma jistax jittieħed inkunsiderazzjoni.

Fit-tieni lok, fir-rigward tal-obbligu tal-kontrollur tad-data li jħassar id-data personali, il-Qorti tal-Ġustizzja tinnota, minn naħa, li dan tal-aħħar għandu jwettaq it-tħassir tad-data li kienet is-suġġett ta’ pproċessar illegali bħal, f’dan il-każ, l-ipproċessar ta’ data mwettaq mill-kumpannija kkonċernata lil hinn mit-terminu ta’ żamma ta’ sitt xhur fir-reġistru pubbliku ( 10 ). Min-naħa l-oħra, anki jekk il-qorti tar-rinviju kellha tikkonkludi li l-ipproċessar ta’ data matul il-perijodu ta’ sitt xhur kien legali, is-suġġett tad-data għandu d-dritt li jopponi tali pproċessar ( 11 ) u li jikseb it-tħassir ta’ data li tikkonċernah, jekk din il-kumpannija tibqa’ ma turix l-eżistenza ta’ raġunijiet leġittimi imperattivi li jipprevalu fuq l-interessi kif ukoll fuq id-drittijiet u l-libertajiet ta’ din il-persuna ( 12 ).

( 1 ) Artikolu 3(1) tal-Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (ir-Regolament dwar il-Pubblikazzjonijiet Uffiċjali Mxandra bl-Internet fil-Kuntest ta’ Proċeduri ta’ Insolvenza), tat‑12 ta’ Frar 2002 (BGB1. I, p. 677).

( 2 ) Hessischer Beauftragter für Datenschutz und Informationsfreiheit (il-Kummissarju għall-Protezzjoni tad-Data u għal-Libertà tal-Informazzjoni għal-Land ta’ Hessen, il-Ġermanja).

( 3 ) Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1 u rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-“GDPR”).

( 4 ) Rispettivament, il-punt (f) tal-ewwel subparagrafu tal-Artikolu 6(1) u l-Artikolu 17(1)(c) u (d) ta’ dan ir-regolament.

( 5 ) Artikolu 5(1)(a), moqri flimkien mal-punt (f) tal-ewwel subparagrafu tal-Artikolu 6(1) tal-GDPR.

( 6 ) Skont il-punt (f) tal-ewwel subparagrafu tal-Artikolu 6(1) tal-GDPR, applikabbli f’dan il-każ.

( 7 ) Drittijiet stabbiliti fl-Artikoli 7 u 8 tal-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea, rigward rispettivament ir-rispett tal-ħajja privata u dwar il-protezzjoni tad-data personali.

( 8 ) Skont l-Artikolu 79(4) tar-Regolament (UE) 2015/848 tal-Parlament Ewropew u tal-Kunsill tal‑20 ta’ Mejju 2015 dwar proċedimenti ta’ insolvenza (ĠU 2015, L 141, p. 19, rettifika fil-ĠU 2016, L 349, p. 9). L-Artikolu 79(5) ta’ dan ir-regolament sempliċement jipprevedi li l-Istati Membri jinformaw lis-suġġetti tad-data bil-perijodu li matulu d-data personali maħżuna fir-reġistri ta’ insolvenza tkun aċċessibbli, mingħajr ma jistabbilixxi terminu għaż-żamma ta’ din id-data.

( 9 ) Skont l-Artikolu 40(1) u (2) tal-GDPR.

( 10 ) Konformement mal-Artikolu 17(1)(d) tal-GDPR.

( 11 ) Skont l-Artikolu 21(1) tal-GDPR.

( 12 ) Skont l-Artikolu 17(1)(c) tal-GDPR.