SENTENZA TAL-QORTI TAL-ĠUSTIZZJA (It‑Tmien Awla)

19 ta’ Diċembru 2024 ( *1 )

“Rinviju għal deċiżjoni preliminari – Protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament (UE) 2016/679 – Artikolu 88(1) u (2) – Ipproċessar ta’ data fil-kuntest tar-relazzjonijiet tax-xogħol – Data personali tal-impjegati – Regoli iktar speċifiċi previsti minn Stat Membru skont dan l-Artikolu 88 – Obbligu ta’ osservanza tal-Artikolu 5, tal-Artikolu 6(1) kif ukoll tal-Artikolu 9(1) u (2) ta’ dan ir-regolament – Ipproċessar abbażi ta’ ftehim kollettiv – Marġini ta’ evalwazzjoni tal-partijiet fil-ftehim kollettiv fir-rigward tan-neċessità tal-ipproċessar tad-data personali previst minnu – Portata tal-istħarriġ ġudizzjarju”

Fil-Kawża C‑65/23,

li għandha bħala suġġett talba għal deċiżjoni preliminari skont l-Artikolu 267 TFUE, imressqa mill-Bundesarbeitsgericht (il-Qorti Industrijali Federali, il-Ġermanja), permezz ta’ deċiżjoni tat‑22 ta’ Settembru 2022, li waslet fil-Qorti tal-Ġustizzja fit‑8 ta’ Frar 2023, fil-proċedura

K GmbH,

IL-QORTI TAL-ĠUSTIZZJA (It‑Tmien Awla),

komposta minn N. Jääskinen (Relatur), President tad-Disa’ Awla, li qiegħed jaġixxi bħala President tat‑Tmien Awla, M. Gavalec u I. Ziemele, Imħallfin,

Avukat Ġenerali: L. Medina,

Reġistratur: A. Calot Escobar,

wara li rat il-proċedura bil-miktub,

wara li kkunsidrat l-osservazzjonijiet ippreżentati:

–	għal MK, minn J. Zäh, Rechtsanwalt,

–	għal K GmbH, minn B. Geck, Rechtsanwältin,

–	għall-Irlanda, minn M. Browne, Chief State Solicitor, A. Joyce u M. Tierney, bħala aġenti, assistiti minn D. Fennelly, BL,

–	għall-Gvern Taljan, minn G. Palmieri, bħala aġent, assistita minn G. Natale, avvocato dello Stato,

–	għall-Kummissjoni Ewropea, minn A. Bouchagiar, M. Heller u H. Kranenborg, bħala aġenti,

wara li rat id-deċiżjoni meħuda, wara li nstemgħet l-Avukata Ġenerali, li taqta’ l-kawża mingħajr konklużjonijiet,

tagħti l-preżenti

Sentenza

It-talba għal deċiżjoni preliminari tirrigwarda l-interpretazzjoni tal-Artikolu 82(1) kif ukoll tal-Artikolu 88(1) u (2), moqri flimkien mal-Artikolu 5, mal-Artikolu 6(1) kif ukoll mal-Artikolu 9(1) u (2) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p.1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-“GDPR”).

Din it-talba tressqet fil-kuntest ta’ tilwima bejn, minn naħa MK, persuna fiżika, u min-naħa l-oħra, K GmbH, il-persuna li timpjegah, dwar il-kumpens għad-dannu morali li din il-persuna tallega li ġarrbet minħabba pproċessar tad-data personali tagħha mwettaq minn din il-kumpannija abbażi ta’ ftehim tax-xogħol.

Il‑kuntest ġuridiku

Id‑dritt tal‑Unjoni

Il-premessi 8, 10 u 155 tal-GDPR huma fformulati kif ġej:

“(8)

Fejn dan ir-Regolament jipprevedi speċifikazzjonijiet jew restrizzjonijiet għar-regoli tiegħu mil-liġijiet tal-Istati Membri, l-Istati Membri jistgħu, sa fejn ikun meħtieġ għall-koerenza u biex id-dispożizzjonijiet nazzjonali jkunu komprensibbli għall-persuni li għalihom japplikaw, jinkorporaw elementi ta’ dan ir-Regolament fil-liġi nazzjonali tagħhom.

[…]

(10)

Sabiex ikun żgurat livell konsistenti u għoli ta’ protezzjoni tal-persuni fiżiċi u sabiex jitneħħew l-ostakoli għaċ-ċirkolazzjoni tad-data personali fl-Unjoni, il-livell ta’ protezzjoni tad-drittijiet u l-libertajiet tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ din id-data għandu jkun ekwivalenti fl-Istati Membri kollha. L-applikazzjoni konsistenti u omoġenea tar-regoli għall-protezzjoni tad-drittijiet u l-libertajiet fundamentali tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali għandha tkun żgurata fl-Unjoni kollha. […] Dan ir-Regolament jipprovdi wkoll marġni ta’ manuvrar għall-Istati Membri biex jispeċifikaw ir-regoli tagħhom, inkluż għall-ipproċessar ta’ kategoriji speċjali ta’ data personali (‘data sensittiva’). Sa dak il-punt, dan ir-Regolament ma jeskludix il-liġijiet tal-Istati Membri li jispeċifikaw iċ-ċirkostanzi għal sitwazzjonijiet speċifiċi ta’ pproċessar, inkluż li jiġu ddeterminati b’mod aktar preċiż il-kondizzjonijiet li taħthom l-ipproċessar ta’ data personali jkun legali.

[…]

(155)

Il-liġi tal-Istat Membru jew ftehimiet kollettivi, inklużi ‘ftehimiet tax-xogħol’, jistgħu jipprevedu regoli speċifiċi dwar l-ipproċessar tad-data personali tal-impjegati fil-kuntest tax-xogħol, b’mod partikolari għall-kundizzjonijiet li taħthom id-data personali fil-kuntest tal-impjieg tista’ tkun ipproċessata fuq il-bażi tal-kunsens tal-impjegat, il-finijiet tar-reklutaġġ, it-twettiq tal-kuntratt tax-xogħol, inkluż it-twettiq tal-obbligi stabbiliti bil-liġi jew bi ftehimiet kollettivi, il-ġestjoni, l-ippjanar u l-organizzazzjoni tax-xogħol, l-ugwaljanza u d-diversità fil-post tax-xogħol, is-saħħa u s-sigurtà fuq il-post tax-xogħol, u għall-għanijiet tal-eżerċizzju u t-tgawdija, fuq bażi individwali jew kollettiva, ta’ drittijiet u benefiċċji relatati mal-impjieg, u għall-għan tat-terminazzjoni tar-relazzjoni tal-impjieg.”

L-Artikolu 4 ta’ dan ir-regolament, bit-titolu “Definizzjonijiet”, jipprovdi:

“Għall-finijiet ta’ dan ir-Regolament:

(1)	‘data personali’ tfisser kwalunkwe informazzjoni relatata ma’ persuna fiżika identifikata jew identifikabbli (‘suġġett tad-data’); […]

(2)	‘ipproċessar’ tfisser kwalunkwe attività jew sett ta’ attivitajiet li jitwettqu fuq data personali jew fuq settijiet ta’ data personali […]

[…]

(7)	‘kontrollur’ tfisser persuna fiżika jew ġuridika, awtorità pubblika, aġenzija jew kwalunkwe korp ieħor li, waħdu jew flimkien ma’ oħrajn, jiddetermina l-għanijiet u l-mezzi tal-ipproċessar ta’ data personali; […]

[…]”

5	Il-Kapitolu II tal-GDPR, bit-titolu “Prinċipji”, jinkludi fih l-Artikoli 5 sa 11 tiegħu.

L-Artikolu 5 ta’ dan ir-regolament, bit-titolu “Prinċipji relatati mal-ipproċessar ta’ data personali”, jipprevedi:

“1. Id-data personali għandha:

[…]

(c)	tkun adegwata, rilevanti, u limitata għal dak li hu meħtieġ b’rabta mal-finijiet li għalihom tkun qed tiġi pproċessata (‘minimizzazzjoni tad-data’);

[…]

(f)	tiġi pproċessata b’mod li jiżgura sigurtà xierqa tad-data personali, inkluża l-protezzjoni mill-ipproċessar mhux awtorizzat jew illegali u kontra t-telf, il-qerda jew il-ħsara aċċidentali, bl-użu ta’ miżuri tekniċi jew organizzattivi xierqa (‘integrità u kunfidenzjalità’).

2. Il-kontrollur għandu jkun responsabbli għall-konformità mal-paragrafu 1 u jkun kapaċi juriha (‘responsabbiltà’).”

L-Artikolu 6 tal-imsemmi regolament, bit-titolu “Legalità tal-ipproċessar”, jipprevedi:

“1. L-ipproċessar għandu jkun legali biss jekk u safejn mill-inqas ikun japplika wieħed mill-punti li ġejjin:

(a)	is-suġġett tad-data jkun ta l-kunsens għall-ipproċessar ta’ data personali tiegħu għal fini speċifiku wieħed jew aktar;

(b)	l-ipproċessar ikun meħtieġ għat-twettiq ta’ kuntratt li għalih is-suġġett tad-data huwa parti jew sabiex jittieħdu passi fuq talba tas-suġġett tad-data qabel ma jidħol f’kuntratt;

(c)	l-ipproċessar ikun meħtieġ għall-konformità ma’ obbligu legali li għalih huwa soġġett il-kontrollur;

(d)	l-ipproċessar ikun meħtieġ sabiex ikunu protetti l-interessi vitali tas-suġġett tad-data jew ta’ persuna fiżika oħra;

(e)	l-ipproċessar ikun meħtieġ għat-twettiq ta’ kompitu li jsir fl-interess pubbliku jew fl-eżerċizzju ta’ awtorità uffiċjali mogħtija lill-kontrollur;

(f)

l-ipproċessar ikun meħtieġ għall-finijiet tal-interessi leġittimi segwiti mill-kontrollur jew minn parti terza, għajr meta dawn l-interessi jingħelbu mill-interessi jew id-drittijiet u l-libertajiet fundamentali tas-suġġett tad-data li jeħtieġu l-protezzjoni tad-data personali, b’mod partikolari meta s-suġġett tad-data jkun minorenni.

Il-punt (f) tal-ewwel subparagrafu m’għandux japplika għall-ipproċessar li jitwettaq minn awtoritajiet pubbliċi fit-twettiq tal-kompiti tagħhom.

2. L-Istati Membri jistgħu jżommu jew jintroduċu dispożizzjonijiet aktar speċifiċi biex jadattaw l-applikazzjoni tar-regoli ta’ dan ir-Regolament fir-rigward ta’ pproċessar għal konformità mal-punti (c) u (e) tal-paragrafu 1 billi jiddeterminaw b’mod aktar preċiż rekwiżiti speċifiċi għall-ipproċessar u miżuri oħrajn biex jiġi żgurat ipproċessar legali u ġust inkluż għal sitwazzjonijiet speċifiċi oħrajn ta’ pproċessar kif previst fil-Kapitolu IX.

3. Il-bażi għall-ipproċessar imsemmi fil-punti (c) u (e) tal-paragrafu 1 għandha tkun stipulata minn:

(a)	Id-dritt tal-Unjoni;

(b)	il-liġi tal-Istat Membru li għaliha huwa soġġett il-kontrollur.

[…] Dik il-bażi legali jista’ jkun fiha dispożizzjonijiet speċifiċi biex tiġi adattata l-applikazzjoni ta’ regoli ta’ dan ir-Regolament, inklużi l-kondizzjonijiet ġenerali li jirregolaw il-legalità tal-ipproċessar mill-kontrollur; t-tipi ta’ data li huma soġġetti għall-ipproċessar; is-suġġetti tad-data kkonċernati; l-entitajiet li lilhom, jew li għalihom, tista’ tiġi żvelata d-data personali; il-limitazzjoni tal-fini; il-perijodi tal-ħażna u attivitajiet ta’ pproċessar u proċeduri ta’ pproċessar, inklużi miżuri li jiżguraw ipproċessar legali u ġust bħal dawk għal sitwazzjonijiet speċifiċi oħrajn ta’ pproċessar kif previst fil-Kapitolu IX. […]

[…]”

L-Artikolu 9 tal-istess regolament, bit-titolu “Ipproċessar ta’ kategoriji speċjali ta’ data personali”, jipprovdi:

“1. L-ipproċessar ta’ data personali, li jiżvela oriġini razzjali jew etnika, opinjonijiet politiċi, twemmin reliġjuż jew filosofiku, jew sħubija fi trade union, u l-ipproċessar ta’ data ġenetika, data bijometrika sabiex tidentifika b’mod uniku persuna fiżika, data dwar is-saħħa jew data dwar il-ħajja sesswali u l-orjentazzjoni sesswali ta’ persuna fiżika huma projbiti.

2. Il-paragrafu 1 ma għandux japplika jekk japplika wieħed minn dawn li ġejjin:

(a)	is-suġġett tad-data jkun ta kunsens espliċitu għall-ipproċessar ta’ dik id-data personali għal fini speċifiku wieħed jew aktar, għajr fejn il-liġi tal-Unjoni jew il-liġi ta’ Stat Membru tipprevedi li l-projbizzjoni msemmija fil-paragrafu 1 ma tistax titneħħa mis-suġġett tad-data;

(b)

l-ipproċessar ikun meħtieġ għall-finijiet tat-twettiq tal-obbligi u l-eżerċizzju ta’ drittijiet speċifiċi tal-kontrollur jew tas-suġġett tad-data fil-qasam tal-liġi dwar l-impjiegi u dwar il-protezzjoni soċjali u s-sigurtà soċjali sa fejn dan ikun awtorizzat mil-liġi tal-Unjoni jew mil-liġi ta’ Stat Membru jew minn ftehim kollettiv skont il-liġi ta’ Stat Membru li jipprevedu salvagwardji xierqa għad-drittijiet fundamentali u l-interessi tas-suġġett tad-data;

[…]”

Taħt il-Kapitolu VIII tal-GDPR, bit-titolu “Rimedji, responsabbiltà u pieni”, l-Artikolu 82 ta’ dan ir-regolament, huwa stess bit-titolu “Dritt għal kumpens u responsabbiltà”, jipprevedi, fil-paragrafu 1 tiegħu:

“Kwalunkwe persuna li tkun ġarrbet xi dannu materjali jew mhux materjali b’riżultat ta’ ksur ta’ dan ir-Regolament għandu jkollha d-dritt li tirċievi kumpens mill-kontrollur jew il-proċessur għad-dannu mġarrab.”

Taħt il-Kapitolu IX tal-GDPR, bit-titolu “Dispożizzjonijiet b’rabta ma’ sitwazzjonijiet speċifiċi ta’ pproċessar”, l-Artikolu 88 ta’ dan ir-regolament, huwa stess bit-titolu “Ipproċessar fil-kuntest tal-impjiegi”, jipprevedi fil-paragrafi 1 u 2 tiegħu:

“1. L-Istati Membri jistgħu, bil-liġi jew bi ftehimiet kollettivi, jipprevedu regoli aktar speċifiċi biex tiġi żgurata l-protezzjoni tad-drittijiet u l-libertajiet fir-rigward tal-ipproċessar ta’ data personali ta’ impjegati fil-kuntest tal-impjiegi, b’mod partikolari għall-finijiet tar-reklutaġġ, it-twettiq tal-kuntratt tax-xogħol, inkluż it-twettiq tal-obbligi stipulati bil-liġi jew bi ftehimiet kollettivi, il-ġestjoni, l-ippjanar u l-organizzazzjoni tax-xogħol, l-ugwaljanza u d-diversità fil-post tax-xogħol, is-saħħa u s-sikurezza fil-post tax-xogħol, il-protezzjoni tal-proprjetà ta’ min iħaddem jew il-klijent u għall-finijiet tal-eżerċizzju u t-tgawdija, fuq bażi individwali jew kollettiva, ta’ drittijiet u benefiċċji relatati mal-impjieg, u għall-fini tat-terminazzjoni tar-relazzjoni tal-impjieg.

2. Dawk ir-regoli għandhom jinkludu miżuri xierqa u speċifiċi biex jissalvagwardjaw id-dinjità tal-bniedem tas-suġġett tad-data, l-interessi leġittimi u d-drittijiet fundamentali, b’mod partikolari fir-rigward tat-trasparenza tal-ipproċessar, it-trasferiment ta’ data personali fi grupp ta’ impriżi, jew grupp ta’ intrapriżi involuti f’attività ekonomika konġunta u s-sistemi ta’ monitoraġġ fil-post tax-xogħol.”

11	L-Artikolu 99 tal-GDPR bit-titolu “Dħul fis-seħħ u applikazzjoni” huwa fformulat kif ġej: “1. Dan ir-Regolament għandu jidħol fis-seħħ fl-għoxrin jum wara dak tal-pubblikazzjoni tiegħu f’Il-Ġurnal Uffiċjali tal-Unjoni Ewropea. 2. Huwa għandu japplika mill‑25 ta’ Mejju 2018.”

Id‑dritt nazzjonali

L-Artikolu 26 tal-Bundesdatenschutzgesetz (il-Liġi Federali dwar il-Protezzjoni tad-Data) tat‑30 ta’ Ġunju 2017 (BGBl. 2017 I, p. 2097, iktar ’il quddiem il-“BDSG”), bit-titolu “Ipproċessar tad-data għall-finijiet tar-relazzjoni tax-xogħol”, jipprevedi fil-paragrafi 1 u 4 tiegħu:

“(1) Id-data personali tal-impjegati tista’ tkun is-suġġett ta’ pproċessar għall-bżonnijiet tar-relazzjoni tax-xogħol jekk dan ikun neċessarju sabiex jiġi deċiż dwar l-istabbiliment ta’ relazzjoni tax-xogħol jew, wara l-istabbiliment tar-relazzjoni tax-xogħol, għall-eżekuzzjoni jew għax-xoljiment tagħha, jew għall-eżerċizzju tad-drittijiet jew għall-osservanza tal-obbligi rispettivament marbuta mar-rappreżentazzjoni tal-interessi tal-impjegati li jirriżultaw minn liġi jew minn strument ta’ regolamentazzjoni kollettiva tax-xogħol, minn ftehim tax-xogħol jew ta’ servizz (ftehim kollettiv). […]

[…]

(4) L-ipproċessar ta’ data personali, inklużi kategoriji speċifiċi ta’ data personali tal-impjegati, huwa permess għall-finijiet tar-relazzjoni tax-xogħol abbażi ta’ ftehimiet kollettivi. F’dan ir-rigward, il-partijiet fin-negozjati għandhom josservaw l-Artikolu 88(2) tal-[GDPR].”

Il‑kawża prinċipali u d‑domandi preliminari

13	Ir-rikorrent fil-kawża prinċipali huwa impjegat tal-konvenuta fil-kawża prinċipali, kumpannija rregolata mid-dritt Ġermaniż, u jippresjedi l-kumitat tax-xogħol ikkostitwit fi ħdan din il-kumpannija.

Inizjalment, l-imsemmija kumpannija pproċessat ċerta data personali tal-impjegati tagħha fil-kuntest tal-użu ta’ software imsejjaħ “SAP” (iktar ’il quddiem is-“software SAP”), b’mod partikolari għal finijiet ta’ kontabbiltà, u kkonkludiet, mal-kumitat tax-xogħol, diversi ftehimiet tax-xogħol f’dan ir-rigward.

Matul is-sena 2017, il-grupp ta’ kumpanniji D, li l-konvenuta fil-kawża prinċipali tagħmel parti minnu (iktar ’il quddiem il-“grupp D”), introduċa, f’dan il-grupp kollu, is-software imsejjaħ “Workday” (iktar ’il quddiem is-“software Workday”), ibbażat fuq sħaba (cloud), bħala sistema unika ta’ ġestjoni tal-informazzjoni dwar il-persunal. F’dan il-kuntest, il-konvenuta fil-kawża prinċipali ttrasferixxiet diversa data personali tal-impjegati tagħha mis-software SAP lejn server tal-kumpannija omm tal-grupp D, li jinsab fl-Istati Uniti.

Fit‑3 ta’ Lulju 2017, il-konvenuta fil-kawża prinċipali u l-kumitat tax-xogħol tagħha kkonkludew ftehim li jistabbilixxi tolleranza fir-rigward tal-introduzzjoni tas-software Workday (iktar ’il quddiem il-“ftehim tax-xogħol li jistabbilixxi tolleranza”), li kien jipprojbixxi, b’mod partikolari, li dan is-software jintuża għal finijiet ta’ ġestjoni tar-riżorsi umani, bħall-evalwazzjoni ta’ ħaddiem, matul il-fażi ta’ esperimentazzjoni. Skont l-Anness 2 ta’ dan il-ftehim, l-uniċi kategoriji ta’ data li setgħu jiġu ttrasferiti bil-għan ta’ alimentazzjoni tas-software Workday kienu n-numru ta’ matrikolazzjoni allokat lill-ħaddiem fi ħdan il-grupp D, kunjomu, ismu, in-numru tat-telefon tiegħu, id-data tad-dħul fis-servizz tiegħu fil-kumpannija kkonċernata, id-data tad-dħul fis-servizz tiegħu fil-grupp D, il-post tax-xogħol tiegħu, l-isem tal-kumpannija kkonċernata, kif ukoll in-numru tat-telefon u l-indirizz tal-posta elettronika professjonali tiegħu. L-effetti tal-imsemmi ftehim ġew estiżi sad-dħul fis-seħħ ta’ ftehim tax-xogħol finali, konkluż fit‑23 ta’ Jannar 2019.

F’dan il-kuntest, ir-rikorrent fil-kawża prinċipali ressaq, quddiem l-Arbeitsgericht (il-Qorti Industrijali, il-Ġermanja) u sussegwentement quddiem il-Landesarbeitsgericht (il-Qorti Industrijali Superjuri, il-Ġermanja) li territorjalment għandhom ġurisdizzjoni, talbiet intiżi li jinkiseb l-aċċess għal ċerta informazzjoni, it-tħassir ta’ data li tikkonċernah u l-għoti ta’ kumpens. Dan ir-rikorrent allega, b’mod partikolari, li l-konvenuta fil-kawża prinċipali kienet ittrasferixxiet, lejn is-server tal-kumpannija omm, data personali li tikkonċernah, li wħud minnha ma kinitx imsemmija fil-ftehim tax-xogħol li jistabbilixxi tolleranza, b’mod partikolari, id-dettalji personali tiegħu, id-dettalji tal-kuntratt tiegħu u tar-remunerazzjoni tiegħu, in-numri tas-sigurtà soċjali u tal-identifikazzjoni fiskali tiegħu, in-nazzjonalità tiegħu kif ukoll l-istat ċivili tiegħu.

Peress li ma kisibx sodisfazzjon sħiħ, ir-rikorrent fil-kawża prinċipali ppreżenta rikors għal reviżjoni quddiem il-Bundesarbeitsgericht (il-Qorti Industrijali Federali, il-Ġermanja), li hija l-qorti tar-rinviju. Għadha pendenti biss it-talba ta’ dan ir-rikorrent intiża għall-kumpens, abbażi tal-GDPR, għad-dannu morali li huwa ġarrab minħabba pproċessar illegali tad-data personali tiegħu permezz tas-software Workday, matul il-perijodu ta’ bejn l-ewwel jum li fih dan ir-regolament sar applikabbli, jiġifieri l‑25 ta’ Mejju 2018, u t-tmiem tal-ewwel trimestru tal‑2019.

Fir-rigward tal-illegalità ta’ dan l-ipproċessar, ir-rikorrent fil-kawża prinċipali jsostni, minn naħa, li dan ma kienx neċessarju la għall-finijiet tar-relazzjoni tax-xogħol, li għaliha l-konvenuta fil-kawża prinċipali kienet tuża dak iż-żmien is-software SAP, u lanqas għall-finijiet tal-esperimentazzjoni tas-software Workday, peress li l-użu ta’ data fittizja kien ikun suffiċjenti għal dan l-għan u kien jiggarantixxi li ebda data reali ma ssir aċċessibbli fi ħdan il-grupp D. Min-naħa l-oħra, anki jekk jitqies li l-ftehim tax-xogħol li jistabbilixxi tolleranza jista’ jikkostitwixxi bażi valida għall-imsemmi pproċessar, l-awtorizzazzjoni li tinsab fih ġiet eċċeduta, peress li din il-konvenuta kienet ittrażmettiet data għajr dik prevista fl-Anness 2 ta’ dan il-ftehim. Fl-aħħar nett, l-oneru tal-prova li l-aġir tal-imsemmija konvenuta huwa konformi mal-GDPR jaqa’ fuq din tal-aħħar.

Il-konvenuta fil-kawża prinċipali toġġezzjona li l-ipproċessar inkwistjoni josserva r-rekwiżiti tal-GDPR, li l-oneru tal-prova jaqa’ fuq ir-rikorrent fil-kawża prinċipali u li huwa la wera l-eżistenza ta’ dannu morali u lanqas ir-rabta kawżali bejn ksur eventwali ta’ dan ir-regolament u d-dannu allegat.

Il-qorti tar-rinviju tqis li l-operazzjonijiet ikkontestati mir-rikorrent fil-kawża prinċipali jaqgħu taħt il-kamp ta’ applikazzjoni ratione materiae tal-GDPR, peress li dawn jikkostitwixxu “ipproċessar” ta’ “data personali” ta’ dan is-“suġġett tad-data”, fis-sens tal-punti 1 u 2 tal-Artikolu 4 ta’ dan ir-regolament. Barra minn hekk, hija tqis li l-konvenuta fil-kawża prinċipali hija “kontrollur” fis-sens tal-punt 7 tal-Artikolu 4 tal-imsemmi regolament. Fir-rigward tal-kamp ta’ applikazzjoni ratione temporis ta’ dan tal-aħħar, hija tenfasizza li l-ipproċessar, ċertament, beda qabel id-data li fiha dan l-istrument kien sar applikabbli, iżda li, madankollu, dan kompla warajha, minħabba diversi prorogi tal-effetti inizjali tal-ftehim tax-xogħol li jistabbilixxi tolleranza.

F’dan il-kuntest, il-qorti tar-rinviju tistaqsi, fl-ewwel lok, jekk dispożizzjoni nazzjonali li tirregola l-ipproċessar ta’ data personali għall-finijiet tar-relazzjonijiet tax-xogħol li tipprevedi, essenzjalment, li tali pproċessar imwettaq abbażi ta’ ftehimiet kollettivi huwa legali bla ħsara għall-osservanza tal-Artikolu 88(2) tal-GDPR, bħall-Artikolu 26(4) tal-BDSG, hijiex kompatibbli ma’ dan ir-regolament jew jekk, għal dan l-għan, l-ipproċessar ikkonċernat għandux ukoll ikun konformi mad-dispożizzjonijiet l-oħra ta’dan ir-regolament. Din il-qorti hija inklinata tqis li meta l-ipproċessar ta’ data personali tal-impjegati jkun irregolat minn “ftehim kollettiv”, fis-sens tal-Artikolu 88 tal-GDPR, dan l-ipproċessar ma jistax jitbiegħed mir-rekwiżiti li jirriżultaw mhux biss minn dan l-Artikolu 88, iżda wkoll mill-Artikolu 5, mill-Artikolu 6(1) kif ukoll mill-Artikolu 9(1) u (2) ta’ dan ir-regolament, b’mod partikolari, fir-rigward tal-kriterju ta’ neċessità tal-ipproċessar previst f’dawn l-aħħar tliet artikoli.

Fit-tieni lok, fil-każ ta’ risposta fl-affermattiv għall-ewwel domanda tagħha, l-imsemmija qorti tistaqsi jekk il-partijiet f’tali ftehim kollettiv għandhomx marġni ta’ evalwazzjoni li għandu jkun suġġett biss għal stħarriġ ġudizzjarju limitat fir-rigward tal-evalwazzjoni tan-neċessità tal-ipproċessar ikkonċernat, fis-sens tal-Artikolu 5, tal-Artikolu 6(1) kif ukoll tal-Artikolu 9(1) u (2) tal-GDPR. Fil-fehma tagħha, dan l-argument jista’ jsib sostenn fl-argument li abbażi tiegħu dawn il-partijiet għandhom prossimità kbira mal-ħajja tal-impriża u ġeneralment waslu għal bilanċ ġust bejn l-interessi inkwistjoni. Madankollu, il-ġurisprudenza tal-Qorti tal-Ġustizzja dwar atti oħra tad-dritt tal-Unjoni, b’mod partikolari s-sentenzi tas‑7 ta’ Frar 1991, Nimz (C‑184/89, EU:C:1991:50), u tal‑20 ta’ Marzu 2003, Kutz‑Bauer (C‑187/00, EU:C:2003:168), pjuttost tagħti x’tifhem li d-dispożizzjonijiet ta’ ftehim kollettiv li jaqgħu taħt il-kamp ta’ applikazzjoni ta’ dan id-dritt ma jistgħux ikunu kuntrarji għalih u li, jekk ikun hemm bżonn, tali dispożizzjonijiet ma għandhomx jiġu applikati.

24	Fit-tielet lok, fil-każ li r-risposta għat-tieni domanda tagħha tkun fl-affermattiv, il-qorti tar-rinviju tixtieq tkun taf il-kriterji ta’ evalwazzjoni li għalihom hija għandha, jekk ikun il-każ, tillimita l-istħarriġ ġudizzjarju tagħha.

25	Fl-aħħar nett, ir-raba’ sas-sitt domanda inizjalment magħmula minn din il-qorti, qabel l-irtirar tagħhom minnha, kienu jirrigwardaw, essenzjalment, id-dritt għal kumpens għal dannu morali skont l-Artikolu 82(1) tal-GDPR.

F’dawn iċ-ċirkustanzi, il-Bundesarbeitsgericht (il-Qorti Industrijali Federali) iddeċidiet li tissospendi l-proċeduri quddiemha u li tagħmel lill-Qorti tal-Ġustizzja d-domandi preliminari li ġejjin:

“1.

Dispożizzjoni legali nazzjonali li tkun ġiet adottata abbażi tal-Artikolu 88(1) ta[GDPR], bħalma huwa l-Artikolu 26(4) tal-[BDSG], u li tipprovdi li l-ipproċessar ta’ data personali – li tinkludi kategoriji partikolari ta’ data personali – ta’ impjegati għall-finijiet tar-relazzjoni ta’ impjieg hija permissibbli abbażi ta’ ftehimiet kollettivi konformement mal-Artikolu 88(2) ta[l-GDPR], għandha tiġi interpretata fis-sens li anki r-rekwiżiti l-oħra ta[l-GDPR], bħalma huma dawk previsti fl-Artikolu 5, fl-Artikolu 6(1) u fl-Artikolu 9(1) u (2) ta[l-GDPR], għandhom jiġu osservati f’kull każ?

Fil-każ li tingħata risposta fl-affermattiv għall-ewwel domanda:

Dispożizzjoni nazzjonali legali adottata abbażi tal-Artikolu 88(1) ta[l-GDPR], bħalma huwa l-Artikolu 26(4) tal-BDSG, tista’ tiġi interpretata fis-sens li l-partijiet fi ftehim kollettiv (fil-kawża ineżami, il-partijiet fi ftehim ta’ impjieg) għandhom marġni ta’ manuvra fl-evalwazzjoni tal-ħtieġa ta’ pproċessar ta’ data fis-sens tal-Artikolu 5, tal-Artikolu 6(1) u tal-Artikolu 9(1) u (2) ta[l-GDPR], li huwa suġġett biss għal stħarriġ ġudizzjarju limitat?

3.	Fil-każ li tingħata risposta fl-affermattiv għat-tieni domanda: F’tali każ, għal xiex għandu jkun limitat l-istħarriġ ġudizzjarju?

L-Artikolu 82(1) ta[l-GDPR] għandu jiġi interpretat fis-sens li persuna hija intitolata għal kumpens għal dannu morali meta d-data personali tagħha tkun is-suġġett ta’ pproċessar li ma josservax ir-rekwiżiti ta[l-GDPR] jew id-dritt għal kumpens għal dannu morali jeħtieġ li s-suġġett tad-data jistabbilixxi li ġarrab xi tip ta’ danni morali?

5.	L-Artikolu 82(1) ta[l-GDPR] huwa ta’ natura preventiva speċjali jew ġenerali u għandu jittieħed inkunsiderazzjoni għall-finijiet tad-determinazzjoni tal-ammont tad-dannu morali li għandu jiġi kkumpensat, abbażi tal-Artikolu 82(1) ta[l-GDPR], mill-kontrollur jew mill-proċessur?

Għall-finijiet tad-determinazzjoni tal-ammont tad-dannu morali li għandu jiġi kkumpensat abbażi tal-Artikolu 82(1) ta[l-GDPR] għandu jittieħed inkunsiderazzjoni l-livell ta’ ħtija tal-kontrollur jew tal-proċessur? B’mod partikolari, il-fatt li ma jkunx hemm ħtija jew li jkun hemm livell baxx ta’ ħtija min-naħa tal-kontrollur jew tal-proċessar jista’ jittieħed inkunsiderazzjoni favur tagħhom?”

Il‑proċedura quddiem il‑Qorti tal‑Ġustizzja

Permezz ta’ deċiżjoni tal-President tal-Qorti tal-Ġustizzja tal‑24 ta’ Jannar 2024, is-sentenzi tal‑4 ta’ Mejju 2023, Österreichische Post (Dannu morali marbut mal-ipproċessar ta’ data personali) (C‑300/21, EU:C:2023:370), tal‑14 ta’ Diċembru 2023, Natsionalna agentsia za prihodite (C‑340/21, EU:C:2023:986), tal‑14 ta’ Diċembru 2023, Gemeinde Ummendorf (C‑456/22, EU:C:2023:988), tal‑21 ta’ Diċembru 2023, Krankenversicherung Nordrhein (C‑667/21, EU:C:2023:1022), kif ukoll tal‑25 ta’ Jannar 2024, MediaMarktSaturn (C‑687/21, EU:C:2024:72), ġew innotifikati lill-qorti tar-rinviju, sabiex din tal-aħħar tippreċiża jekk, fid-dawl ta’ dawn is-sentenzi, hija xtaqitx iżżomm it-talba tagħha għal deċiżjoni preliminari, b’mod iktar partikolari fir-rigward tar-raba’ sas-sitt domanda.

28	Permezz ta’ deċiżjoni tal-President tal-Qorti tal-Ġustizzja tal‑15 ta’ Marzu 2024, il-proċedura ġiet sospiża, skont l-Artikolu 55(1)(b) tar-Regoli tal-Proċedura tal-Qorti tal-Ġustizzja, sakemm tasal it-tweġiba għall-mistoqsija magħmula.

29	Permezz ta’ komunikazzjoni bil-miktub li waslet fil-Qorti tal-Ġustizzja fit‑8 ta’ Mejju 2024, il-qorti tar-rinviju informatha li hija kienet qiegħda tirtira r-raba’ sas-sitt domanda tagħha, iżda kienet ser iżżomm l-ewwel sat-tielet domanda tagħha.

Fuq l‑ammissibbiltà tat‑talba għal deċiżjoni preliminari

Il-konvenuta fil-kawża prinċipali ssostni li l-ewwel sat-tielet domanda huma inammissibbli, minħabba li dawn ma humiex rilevanti għas-soluzzjoni tat-tilwima li l-qorti tar-rinviju hija adita biha. Essenzjalment, hija tallega li r-rikorrent fil-kawża prinċipali ma jikkontestax il-kontenut tal-ftehim tax-xogħol applikabbli f’dan il-każ, iżda l-qbiż tal-limiti ta’ dan il-ftehim permezz tal-ipproċessar ta’ data inkwistjoni, b’tali mod li din it-tilwima ma għandhiex bħala suġġett ksur tar-rekwiżiti tal-Artikolu 88 tal-GDPR relatati ma’ tali ftehim. Barra minn hekk, dawn id-domandi huma ipotetiċi sa fejn dawn huma intiżi li jippermettu lil dik il-qorti tistħarreġ il-legalità ta’ dan l-ipproċessar globalment, u mhux biss fir-rigward tal-elementi kkontestati mir-rikorrent fil-kawża prinċipali.

F’dan ir-rigward, skont ġurisprudenza stabbilita, hija biss il-qorti nazzjonali li tkun adita bit-tilwima u li jkollha tagħti d-deċiżjoni ġudizzjarja li għandha tevalwa, fid-dawl tal-ispeċifiċitajiet tal-kawża, kemm in-neċessità ta’ deċiżjoni preliminari sabiex tkun f’pożizzjoni li tagħti s-sentenza tagħha kif ukoll ir-rilevanza tad-domandi li hija tagħmel lill-Qorti tal-Ġustizzja, liema domandi jibbenefikaw minn preżunzjoni ta’ rilevanza. Għaldaqstant, peress li d-domanda magħmula tirrigwarda l-interpretazzjoni jew il-validità ta’ regola tad-dritt tal-Unjoni, il-Qorti tal-Ġustizzja hija, bħala prinċipju, marbuta tagħti deċiżjoni, ħlief jekk ikun jidher b’mod manifest li l-interpretazzjoni mitluba ma għandha l-ebda rabta mar-realtà jew mas-suġġett tat-tilwima fil-kawża prinċipali, jekk il-problema tkun ta’ natura ipotetika jew inkella jekk il-Qorti tal-Ġustizzja ma jkollhiex għad-dispożizzjoni tagħha l-punti ta’ fatt u ta’ liġi neċessarji sabiex tirrispondi b’mod utli għall-imsemmija domanda (sentenza tal‑20 ta’ Ġunju 2024, Scalable Capital,C‑182/22 u C‑189/22, EU:C:2024:531, punt 18 u l-ġurisprudenza ċċitata).

F’dan il-każ, l-ewwel sat-tielet domanda jirrigwardaw l-interpretazzjoni ta’ diversi dispożizzjonijiet tad-dritt tal-Unjoni, b’mod iktar preċiż l-Artikolu 88 tal-GDPR, moqri flimkien mal-Artikoli 5, 6 u 9 tiegħu. Barra minn hekk, il-qorti tar-rinviju tqis li l-limiti stabbiliti mill-ftehim tax-xogħol applikabbli f’dan il-każ, li hija tikklassifika bħala “ftehim kollettiv” fis-sens ta’ dan ir-regolament, inqabżu u li l-ipproċessar ta’ data personali inkwistjoni fil-kawża prinċipali għandu jiġi eżaminat fl-intier tiegħu, peress li dan jista’ jkun illegali fid-dawl tad-dispożizzjonijiet kemm tal-Artikolu 26(1) kif ukoll tal-Artikolu 26(4) tal-BDSG, li jirreferi espressament għall-Artikolu 88 tal-GDPR.

33	Minn dan jirriżulta li t-talba għal deċiżjoni preliminari hija ammissibbli.

Fuq id‑domandi preliminari

Fuq l‑ewwel domanda

Permezz tal-ewwel domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 88(1) u (2) tal-GDPR għandux jiġi interpretat fis-sens li dispożizzjoni nazzjonali li jkollha bħala suġġett l-ipproċessar ta’ data personali għall-finijiet tar-relazzjonijiet tax-xogħol u li tkun ġiet adottata skont l-Artikolu 88(1) ta’ dan ir-regolament għandu jkollha l-effett li tobbliga lid-destinatarji tagħha josservaw mhux biss ir-rekwiżiti li jkunu jirriżultaw mill-Artikolu 88(2) tal-imsemmi regolament, iżda wkoll dawk li jkunu jirriżultaw mill-Artikolu 5, mill-Artikolu 6(1) kif ukoll mill-Artikolu 9(1) u (2) tiegħu.

F’dan ir-rigward, għandu jitfakkar li l-GDPR huwa intiż li jiżgura armonizzazzjoni tal-leġiżlazzjonijiet nazzjonali dwar il-protezzjoni tad-data personali li hija, bħala prinċipju, kompleta. Madankollu, ċerti dispożizzjonijiet ta’ dan ir-regolament jiftħu l-possibbiltà għall-Istati Membri li jipprevedu regoli nazzjonali supplimentari, iktar stretti jew derogatorji, u jħallu lill-Istati Membri marġni ta’ evalwazzjoni dwar il-mod li bih dawn id-dispożizzjonijiet jistgħu jiġu implimentati (“klawżoli ta’ ftuħ”) (Ara, f’dan is-sens, is-sentenza tat‑30 ta’ Marzu 2023, Hauptpersonalrat der Lehrerinnen und Lehrer (C‑34/21, EU:C:2023:270, punt 51 u l-ġurisprudenza ċċitata).

L-Artikolu 88 tal-GDPR, dwar l-ipproċessar ta’ data personali fil-kuntest tar-relazzjonijiet tax-xogħol, jiddetermina l-kundizzjonijiet li taħthom l-Istati Membri jistgħu jipprevedu “regoli aktar speċifiċi”, permezz tal-liġi jew permezz ta’ ftehimiet kollettivi, sabiex tiġi żgurata l-protezzjoni tad-drittijiet u tal-libertajiet tal-impjegati kkonċernati minn tali pproċessar. Il-premessa 155 ta’ dan ir-regolament tindika, b’mod partikolari, li l-kunċett ta’ “ftehim kollettiv”, fis-sens ta’ dan l-Artikolu 88, jinkludi l-“ftehimiet tax-xogħol”, bħal dak inkwistjoni fil-kawża prinċipali. Barra minn hekk, l-Artikoli 5, 6 u 9 tal-imsemmi regolament jistabbilixxu, rispettivament, il-prinċipji dwar l-ipproċessar tad-data personali, il-kundizzjonijiet ta’ legalità ta’ dan l-ipproċessar u regoli relatati mal-ipproċessar li jirrigwardaw kategoriji partikolari ta’ tali data.

Skont ġurisprudenza stabbilita, it-termini ta’ dispożizzjoni tad-dritt tal-Unjoni li, bħall-Artikolu 88 tal-GDPR, ma tkun tinkludi ebda riferiment espliċitu għad-dritt tal-Istati Membri sabiex jiġu ddeterminati t-tifsira u l-portata tagħha, għandhom normalment jingħataw, fl-Unjoni kollha, interpretazzjoni awtonoma u uniformi, li għandha tiġi mfittxija billi jittieħdu inkunsiderazzjoni, b’mod partikolari, il-formulazzjoni tad-dispożizzjoni kkonċernata, l-għanijiet imfittxija minn din tal-aħħar u l-kuntest tagħha (ara, b’analoġija, is-sentenza tal‑14 ta’ Diċembru 2023, Natsionalna agentsia za prihodite,C‑340/21, EU:C:2023:986, punt 23 u l-ġurisprudenza ċċitata).

L-ewwel, mill-formulazzjoni tal-Artikolu 88 tal-GDPR jirriżulta li l-paragrafu 1 tiegħu jeżiġi li r-“regoli aktar speċifiċi” awtorizzati minn din id-dispożizzjoni jkollhom kontenut normattiv speċifiku għall-qasam irregolat u distint mir-regoli ġenerali ta’ dan ir-regolament, filwaqt li l-paragrafu 2 tiegħu jirregola, konformement mal-għan ta’ armonizzazzjoni previst mill-imsemmi regolament, il-marġni ta’ evalwazzjoni tal-Istati Membri li jkollhom l-intenzjoni jadottaw leġiżlazzjoni nazzjonali abbażi ta’ dan il-paragrafu 1 (Ara, f’dan is-sens, is-sentenza tat‑30 ta’ Marzu 2023, Hauptpersonalrat der Lehrerinnen und Lehrer (C‑34/21, EU:C:2023:270, punti 61, 65, 72 u 75).

Għall-kuntrarju, din il-formulazzjoni ma tipprovdix indikazzjoni espliċita dwar jekk ir-“regoli aktar speċifiċi” li l-Istati Membri għandhom għalhekk il-possibbiltà jadottaw għandhomx ikunu intiżi għall-osservanza biss tar-rekwiżiti stabbiliti fl-Artikolu 88(2) tal-GDPR jew ukoll ta’ dawk ta’ dispożizzjonijiet oħra ta’ dan ir-regolament, b’mod li l-ipproċessar ta’ data personali mwettaq b’applikazzjoni ta’ tali regoli għandu, barra minn hekk, ikun konformi ma’ dawn id-dispożizzjonijiet tal-aħħar.

It-tieni nett, fir-rigward tal-għanijiet tal-Artikolu 88 tarl-GDPR, il-Qorti tal-Ġustizzja diġà ddeċidiet li dan l-artikolu jikkostitwixxi “klawżola ta’ ftuħ” u li l-possibbiltà mogħtija lill-Istati Membri mill-paragrafu 1 tiegħu, fid-dawl tal-ispeċifiċitajiet ta’ tali pproċessar, hija spjegata b’mod partikolari mill-eżistenza ta’ rabta ta’ subordinazzjoni bejn l-impjegat u l-persuna li timpjega. Hija ppreċiżat li l-kundizzjonijiet imposti fl-Artikolu 88(2) ta’ dan ir-regolament jirriflettu l-limiti tas-setgħa ta’ evalwazzjoni mogħtija lill-Istati Membri, fis-sens li n-nuqqas ta’ armonizzazzjoni inerenti għal din is-setgħa ta’ evalwazzjoni jista’ jiġi aċċettat biss meta d-differenzi li jkunu jissussistu jkunu akkumpanjati minn garanziji speċifiċi u xierqa, intiżi li jipproteġu d-drittijiet u l-libertajiet tal-impjegati fir-rigward tal-ipproċessar tad-data personali tagħhom fil-kuntest tar-relazzjonijiet tax-xogħol(ara, f’dan is-sens, is-sentenza tat‑30 ta’ Marzu 2023, Hauptpersonalrat der Lehrerinnen und Lehrer (C‑34/21, EU:C:2023:270, punti 52, 53 u 73).

Barra minn hekk, il-Qorti tal-Ġustizzja enfasizzat li, meta l-Istati Membri jeżerċitaw il-possibbiltà mogħtija lilhom mill-Artikolu 88 tal-GDPR, huma għandhom jużaw il-marġni ta’ evalwazzjoni tagħhom fil-kundizzjonijiet u fil-limiti stabbiliti mid-dispożizzjonijiet ta’ dan ir-regolament u għandhom għalhekk jilleġiżlaw b’mod li ma jippreġudikawx il-kontenut u l-għanijiet tal-imsemmi regolament, li għandu b’mod partikolari l-għan li jiggarantixxi livell għoli ta’ protezzjoni tad-drittijiet u tal-libertajiet tal-persuni kkonċernati minn tali pproċessar, hekk kif jirriżulta mill-premessa 10 tiegħu. Għaldaqstant, ir-regoli adottati minn Stat Membru abbażi ta’ dan l-Artikolu 88 għandu jkollhom l-għan li jipproteġu d-drittijiet u l-libertajiet tal-impjegati fir-rigward tal-ipproċessar tad-data personali tagħhom. (ara s-sentenza tat‑30 ta’ Marzu 2023, Hauptpersonalrat der Lehrerinnen und Lehrer (C‑34/21, EU:C:2023:270, punt 54, 59, 62 u 74 u l-ġurisprudenza ċċitata).

Issa, taħt piena li jiġu ppreġudikati dawn l-iskopijiet kollha, u b’mod iktar partikolari dak intiż li tiġi żgurata protezzjoni f’livell għoli tal-impjegati fil-każ ta’ pproċessar tad-data personali tagħhom fil-kuntest tar-relazzjonijiet tax-xogħol, l-Artikolu 88 tal-GDPR ma jistax jiġi interpretat fis-sens li r-“regoli aktar speċifiċi” li l-Istati Membri għandhom il-possibbiltà jadottaw skont dan l-artikolu jista’ jkollhom l-għan, jew l-effett, li jiġu evitati l-obbligi tal-kontrollur, jew tal-proċessur, li jirriżultaw minn dispożizzjonijiet oħra ta’ dan ir-regolament.

Minn dan isegwi li l-Artikolu 88(1) u (2) tal-GDPR għandu jiġi interpretat fis-sens li, anki meta l-Istati Membri jibbażaw ruħhom fuq dan l-artikolu sabiex jintroduċu, fl-ordinamenti ġuridiċi interni rispettivi tagħhom, “regoli aktar speċifiċi”, permezz ta’ liġi jew permezz ta’ ftehimiet kollettivi, ir-rekwiżiti li jirriżultaw mid-dispożizzjonijiet l-oħra li huma speċjalment imsemmija f’din id-domanda, jiġifieri l-Artikolu 5, l-Artikolu 6(1) kif ukoll l-Artikolu 9(1) u (2) ta’ dan ir-regolament, għandhom ukoll jiġu ssodisfatti. Dan japplika wkoll, b’mod partikolari, għall-osservanza tal-kriterju ta’ neċessità tal-ipproċessar previst minn dawn id-dispożizzjonijiet, li dwaru l-qorti tar-rinviju tistaqsi b’mod iktar partikolari.

44	It-tielet nett, il-kuntest li taħtu jaqa’ l-Artikolu 88 tal-GDPR jikkorrobora din l-interpretazzjoni.

Fil-fatt, l-Artikolu 88 tal-GDPR jinsab taħt il-Kapitolu IX tiegħu, bit-titolu “Dispożizzjonijiet b’rabta ma’ sitwazzjonijiet speċifiċi ta’ pproċessar”, filwaqt li l-Artikoli 5, 6 u 9 ta’ dan ir-regolament jinsabu taħt il-Kapitolu II tiegħu, bit-titolu “Prinċipji”, li għalhekk għandu portata iktar ġenerali. Barra minn hekk, mill-formulazzjoni ta’ dan l-Artikolu 6, li tirreferi espliċitament, fil-paragrafi 2 u 3 tiegħu, għad-dispożizzjonijiet ta’ dan il-Kapitolu IX, jirriżulta b’mod ċar li l-kundizzjonijiet ta’ legalità previsti fl-imsemmi Artikolu 6 huma vinkolanti inkluż fil-kuntest tas-“sitwazzjonijiet speċifiċi” irregolati mid-dispożizzjonijiet tal-imsemmi Kapitolu IX.

Barra minn hekk, skont ġurisprudenza stabbilita kull ipproċessar ta’ data personali għandu josserva l-prinċipji li jirregolaw l-ipproċessar ta’ tali data kif ukoll id-drittijiet tas-suġġett tad-data li huma stabbiliti, rispettivament, fil-Kapitoli II u III tal-GDPR. B’mod partikolari, dan għandu jkun konformi mal-prinċipji dwar l-ipproċessar ta’ din id-data previsti fl-Artikolu 5 ta’ dan ir-regolament u għandu jissodisfa l-kundizzjonijiet ta’ legalità tal-ipproċessar elenkati fl-Artikolu 6 tiegħu (ara, f’dan is-sens, is-sentenzi tat‑2 ta’ Marzu 2023, Norra Stockholm Bygg,C‑268/21, EU:C:2023:145, punt 43, u tal‑11 ta’ Lulju 2024, Meta Platforms Ireland (Azzjoni rappreżentattiva),C‑757/22, EU:C:2024:598, punt 49 kif ukoll il-ġurisprudenza ċċitata).

F’dak li jirrigwarda b’mod iktar speċifiku r-rabta bejn l-Artikolu 88 tal-GDPR u dispożizzjonijiet oħra ta’ dan ir-regolament, il-Qorti tal-Ġustizzja rrilevat, b’mod partikolari fid-dawl tal-premessa 8 tiegħu, li, minkejja l-eżistenza eventwali ta’ “regoli aktar speċifiċi” adottati mill-Istati Membri abbażi tal-Artikolu 88(1) tal-imsemmi regolament, kull ipproċessar ta’ data personali għandu josserva l-obbligi li jirriżultaw mid-dispożizzjonijiet tal-Kapitoli II u III tal-istess regolament kif ukoll, b’mod partikolari, mill-Artikoli 5 u 6 tiegħu (ara, f’dan is-sens, is-sentenza tat‑30 ta’ Marzu 2023, Hauptpersonalrat der Lehrerinnen und Lehrer (C‑34/21, EU:C:2023:270, punti 67 sa 71).

Bl-istess mod, l-obbligi li jirriżultaw mill-Artikolu 9 tal-GDPR għandhom jiġu osservati matul kull ipproċessar ta’ data personali li jkun jaqa’ taħt dan ir-regolament, inkluż fil-preżenza ta’ “regoli aktar speċifiċi” adottati skont l-Artikolu 88(1) tiegħu. Fil-fatt, dan l-Artikolu 9, li jirregola l-ipproċessar ta’ kategoriji speċifiċi ta’ data li huwa jelenka, jinsab fil-Kapitolu II tal-imsemmi regolament, bħall-Artikoli 5 u 6 tiegħu, li r-rekwiżiti tagħhom huma barra minn hekk kumulattivi ma’ dawk li jirriżultaw mill-imsemmi Artikolu 9 (ara, f’dan is-sens, is-sentenza tal‑21 ta’ Diċembru 2023, Krankenversicherung Nordrhein,C‑667/21, EU:C:2023:1022, punti 73, 77 sa 79). Barra minn hekk, din l-interpretazzjoni hija konformi mal-iskop tal-istess Artikolu 9, li jikkonsisti f’li tiġi żgurata protezzjoni ikbar kontra pproċessar li, minħabba s-sensittività partikolari tad-data li tkun s-suġġett tiegħu, jista’ jikkostitwixxi ndħil partikolarment serju fid-drittijiet fundamentali tas-suġġetti tad-data (ara, f’dan is-sens, is-sentenza tal‑4 ta’ Ottubru 2024, Lindenapotheke,C‑21/23, EU:C:2024:846, punt 89 u l-ġurisprudenza ċċitata).

Għalhekk, fil-każ li d-dritt ta’ Stat Membru jkun jinkludi “regoli aktar speċifiċi”, fis-sens tal-Artikolu 88(1) tal-GDPR, l-ipproċessar ta’ data personali kopert minn dawn ir-regoli għandu josserva mhux biss il-kundizzjonijiet stabbiliti fil-paragrafi 1 u 2 ta’ dan l-artikolu, iżda wkoll dawk stabbiliti fl-Artikoli 5, 6 u 9 ta’ dan ir-regolament, hekk kif interpretati mill-ġurisprudenza tal-Qorti tal-Ġustizzja.

Fid-dawl tal-motivi preċedenti, ir-risposta għall-ewwel domanda għandha tkun li l-Artikolu 88(1) u (2) tal-GDPR għandu jiġi interpretat fis-sens li dispożizzjoni nazzjonali li jkollha bħala suġġett l-ipproċessar ta’ data personali għall-finijiet tar-relazzjonijiet tax-xogħol u li tkun ġiet adottata skont l-Artikolu 88(1) ta’ dan ir-regolament għandu jkollha l-effett li tobbliga lid-destinatarji tagħha josservaw mhux biss ir-rekwiżiti li jkunu jirriżultaw mill-Artikolu 88(2) tal-imsemmi regolament, iżda wkoll dawk li jkunu jirriżultaw mill-Artikolu 5, mill-Artikolu 6(1) kif ukoll mill-Artikolu 9(1) u (2) tiegħu.

Fuq it‑tieni domanda

Permezz tat-tieni domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 88(1) tal-GDPR għandux jiġi interpretat fis-sens li, meta ftehim kollettiv ikun jaqa’ taħt il-kamp ta’ applikazzjoni ta’ din id-dispożizzjoni, il-marġni ta’ evalwazzjoni li l-partijiet f’dan il-ftehim ikollhom sabiex jiddeterminaw in-natura “neċessarja” ta’ pproċessar ta’ data personali, fis-sens tal-Artikolu 5, tal-Artikolu 6(1) kif ukoll tal-Artikolu 9(1) u (2) ta’ dan ir-regolament, ikollu l-effett li jipprekludi lill-qorti nazzjonali milli teżerċita stħarriġ ġudizzjarju komplet f’dan ir-rigward.

Qabelxejn, għandu jitfakkar li, hekk kif ġie enfasizzat fil-punt 41 ta’ din is-sentenza, l-Istati Membri li jeżerċitaw il-possibbiltà mogħtija lilhom mill-Artikolu 88 tal-GDPR għandhom jużaw il-marġni ta’ evalwazzjoni tagħhom skont il-kundizzjonijiet u l-limiti stabbiliti mid-dispożizzjonijiet ta’ dan ir-regolament u b’hekk jiżguraw li r-“regoli aktar speċifiċi” li huma jinkludu fl-ordinament ġuridiku intern tagħhom ma jkunux jippreġudikaw il-kontenut u l-għanijiet tal-imsemmi regolament. Dawn ir-regoli għandhom ikunu intiżi, b’mod partikolari, li jiggarantixxu livell għoli ta’ protezzjoni tal-libertajiet u tad-drittijiet fundamentali tal-impjegati fir-rigward tal-ipproċessar tad-data personali tagħhom fil-kuntest tar-relazzjonijiet tax-xogħol.

Fir-rigward tal-portata tal-istħarriġ ġudizzjarju li jista’ jiġi eżerċitat fir-rigward ta’ tali regoli speċifiċi, il-Qorti tal-Ġustizzja diġà ddeċidiet li hija l-qorti nazzjonali adita, li hija l-unika li għandha ġurisdizzjoni sabiex tinterpreta d-dritt nazzjonali, li għandha tevalwa jekk l-imsemmija regoli josservawx sew il-kundizzjonijiet u l-limiti stabbiliti, b’mod partikolari, mill-Artikolu 88 tal-GDPR. Skont il-prinċipju ta’ supremazija tad-dritt tal-Unjoni, fil-każ fejn din il-qorti tkun tasal għall-konstatazzjoni li d-dispożizzjonijiet nazzjonali kkonċernati ma jkunux josservaw dawn il-kundizzjonijiet u dawn il-limiti, hija jkollha tħalli mhux applikati l-imsemmija dispożizzjonijiet. Fl-assenza ta’ regoli iktar speċifiċi li josservaw ir-rekwiżiti ta’ dan l-Artikolu 88, l-ipproċessar ta’ data personali fil-kuntest tar-relazzjonijiet tax-xogħol huwa direttament irregolat minn dan ir-regolament (ara, f’dan is-sens, is-sentenza tat‑30 ta’ Marzu 2023, Hauptpersonalrat der Lehrerinnen und Lehrer (C‑34/21, EU:C:2023:270, punti 80, 82 sa 84 u 89).

Dawn il-kunsiderazzjonijiet japplikaw ukoll għall-partijiet fi ftehim kollettiv imsemmi fl-Artikolu 88 tar-GDPR, bħal dak inkwistjoni fil-kawża prinċipali. Fil-fatt, hekk kif irrilevat essenzjalment il-Kummissjoni Ewropea fl-osservazzjonijiet bil-miktub tagħha, il-partijiet fi ftehim kollettiv għandu jkollhom marġni ta’ evalwazzjoni ekwivalenti, b’mod partikolari fir-rigward tal-limiti tiegħu, għal dak li huwa rrikonoxxut lill-Istati Membri, peress li r-“regoli aktar speċifiċi” msemmija fl-Artikolu 88(1) jistgħu b’mod partikolari jirriżultaw minn ftehimiet kollettivi. Il-premessa 155 ta’ dan ir-regolament tindika wkoll li tali regoli jistgħu jkunu previsti mid-dritt tal-Istati Membri jew minn ftehimiet kollettivi, inklużi “ftehimiet tax-xogħol”.

Għalhekk, minkejja l-marġni ta’ evalwazzjoni li l-Artikolu 88 tal-GDPR jagħti lill-partijiet fi ftehim kollettiv, l-istħarriġ ġudizzjarju eżerċitat fir-rigward ta’ tali ftehim għandu, bħal dak relatat ma’ regola tad-dritt nazzjonali adottata skont din id-dispożizzjoni, ikun jista’ jirrigwarda mingħajr ebda restrizzjoni l-osservanza tal-kundizzjonijiet u tal-limiti kollha stabbiliti mid-dispożizzjonijiet ta’ dan ir-regolament għall-ipproċessar ta’ data personali.

Sussegwentement, għandu jiġi ppreċiżat li tali stħarriġ ġudizzjarju għandu, b’mod iktar speċifiku, ikun intiż għall-verifika tan-natura “neċessarja” tal-ipproċessar ta’ tali data, fis-sens tal-Artikoli 5, 6 u 9 tal-GDPR. Fi kliem ieħor, l-Artikolu 88 tiegħu ma jistax jiġi interpretat fis-sens li l-partijiet fi ftehim kollettiv għandhom setgħa ta’ evalwazzjoni li tippermettilhom jintroduċu “regoli aktar speċifiċi” li jwasslu għall-applikazzjoni inqas stretta, jew saħansitra għall-esklużjoni, tal-imsemmi rekwiżit ta’ neċessità.

Ċertament, hekk kif essenzjalment osservaw il-qorti tar-rinviju u l-Irlanda, il-partijiet fi ftehim kollettiv huma ġeneralment f’pożizzjoni tajba sabiex jevalwaw jekk ipproċessar ta’ data jkunx ta’ natura neċessarja f’kuntest professjonali konkret, peress li dawn il-partijiet normalment ikollhom għarfien estiż fir-rigward tal-bżonnijiet speċifiċi għall-qasam tal-impjieg u għas-settur ta’ attività kkonċernat. Madankollu, tali proċess ta’ evalwazzjoni ma għandux iwassal sabiex l-imsemmija partijiet iwettqu kompromessi, ta’ natura ekonomika jew ta’ konvenjenza, li jkunu jistgħu jippreġudikaw indebitament l-għan tal-GDPR li tiġi żgurata l-protezzjoni ta’ livell għoli tal-libertajiet u tad-drittijiet fundamentali tal-impjegati fir-rigward tal-ipproċessar tad-data personali li tkun tikkonċernahom.

Għaldaqstant, interpretazzjoni tal-Artikolu 88 tal-GDPR fis-sens li l-qrati nazzjonali ma jistgħux jeżerċitaw stħarriġ ġudizzjarju komplet fir-rigward ta’ ftehim kollettiv, b’mod partikolari sabiex jivverifikaw jekk il-ġustifikazzjonijiet imressqa mill-partijiet f’dan il-ftehim jistabbilixxux in-natura neċessarja tal-ipproċessar ta’ data personali li jirriżulta minnu, ma hijiex kompatibbli ma’ dan ir-regolament, fid-dawl tal-għan ta’ protezzjoni mfakkar fil-punt preċedenti ta’ din is-sentenza.

Fl-aħħar nett, għandu jiġi enfasizzat li, fil-każ li l-qorti nazzjonali adita kellha tasal, fi tmiem l-istħarriġ tagħha, għall-konstatazzjoni li ċerti dispożizzjonijiet tal-ftehim kollettiv ikkonċernat ma josservawx il-kundizzjonijiet u l-limiti stabbiliti mill-GDPR, hija jkollha tħalli mhux applikati dawn id-dispożizzjonijiet, konformement mal-ġurisprudenza msemmija fil-punt 53 ta’ din is-sentenza.

Fid-dawl tal-motivi preċedenti, ir-risposta għat-tieni domanda għandha tkun li l-Artikolu 88(1) tal-GDPR għandu jiġi interpretat fis-sens li, meta ftehim kollettiv ikun jaqa’ taħt il-kamp ta’ applikazzjoni ta’ din id-dispożizzjoni, il-marġni ta’ evalwazzjoni li l-partijiet f’dan il-ftehim ikollhom sabiex jiddeterminaw in-natura “neċessarja” ta’ pproċessar ta’ data personali, fis-sens tal-Artikolu 5, tal-Artikolu 6(1) kif ukoll tal-Artikolu 9(1) u (2) ta’ dan ir-regolament, ma jipprekludix lill-qorti nazzjonali milli teżerċita stħarriġ ġudizzjarju komplet f’dan ir-rigward.

Fuq it‑tielet domanda

61	Fid-dawl tar-risposta mogħtija għat-tieni domanda, ma hemmx lok li tingħata risposta għat-tielet domanda.

Fuq l‑ispejjeż

Peress li l-proċedura għandha, fir-rigward tal-partijiet fil-kawża prinċipali, in-natura ta’ kwistjoni mqajma quddiem il-qorti tar-rinviju, hija dik il-qorti li tiddeċiedi fuq l-ispejjeż. L-ispejjeż sostnuti għas-sottomissjoni tal-osservazzjonijiet lill-Qorti tal-Ġustizzja, barra dawk tal-imsemmija partijiet, ma jistgħux jitħallsu lura.

Għal dawn il-motivi, Il-Qorti tal-Ġustizzja (It‑Tmien Awla) taqta’ u tiddeċiedi:

L-Artikolu 88(1) u(2) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data)

għandu jiġi interpretat fis-sens li:

dispożizzjoni nazzjonali li jkollha bħala suġġett l-ipproċessar ta’ data personali għall-finijiet tar-relazzjonijiet tax-xogħol u li tkun ġiet adottata skont l-Artikolu 88(1) ta’ dan ir-regolament għandu jkollha l-effett li tobbliga lid-destinatarji tagħha josservaw mhux biss ir-rekwiżiti li jkunu jirriżultaw mill-Artikolu 88(2) tal-imsemmi regolament, iżda wkoll dawk li jkunu jirriżultaw mill-Artikolu 5, mill-Artikolu 6(1) kif ukoll mill-Artikolu 9(1) u (2) tiegħu.

L-Artikolu 88(1) tar-Regolament 2016/679

għandu jiġi interpretat fis-sens li:

meta ftehim kollettiv ikun jaqa’ taħt il-kamp ta’ applikazzjoni ta’ din id-dispożizzjoni, il-marġni ta’ evalwazzjoni li l-partijiet f’dan il-ftehim ikollhom sabiex jiddeterminaw in-natura “neċessarja” ta’ pproċessar ta’ data personali, fis-sens tal-Artikolu 5, tal-Artikolu 6(1) kif ukoll tal-Artikolu 9(1) u (2) ta’ dan ir-regolament, ma jipprekludix lill-qorti nazzjonali milli teżerċita stħarriġ ġudizzjarju komplet f’dan ir-rigward.

Firem

( *1 ) Lingwa tal-kawża: il-Ġermaniż.