Kawża C‑655/23

Quirin Privatbank AG

(talba għal deċiżjoni preliminari, imressqa mill-Bundesgerichtshof)

Sentenza tal-Qorti tal-Ġustizzja (Ir-Raba’ Awla) tal-4 ta’ Settembru 2025

“Rinviju għal deċiżjoni preliminari – Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament (UE) 2016/679 – Drittijiet tas-suġġett tad-data – Artikolu 17 – Dritt għat-tħassir tad-data – Artikolu 18 – Dritt għal restrizzjoni tal-ipproċessar – Artikolu 79 – Dritt għal rimedju ġudizzjarju effettiv – Ipproċessar illegali ta’ data personali – Rikors intiż sabiex il-kontrollur jiġi ordnat jastjeni milli jwettaq, fil-ġejjieni, kull ipproċessar illegali ġdid – Bażi – Kundizzjonijiet – Artikolu 82(1) – Dritt għal kumpens – Kunċett ta’ ‘dannu morali’ – Evalwazzjoni tal-kumpens – Teħid inkunsiderazzjoni eventwali tal-gravità tan-nuqqas tal-kontrollur – Eventwali effett tal-benefiċċju ta’ ‘ordni ta’ astensjoni’”

Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Rimedji ġudizzjarji – Obbligu, għall-Istati Membri, li jipprevedu rimedju li jippermetti li l-kontrollur jiġi ordnat jastjeni milli jwettaq kull ipproċessar illegali ġdid – Assenza – Leġiżlazzjoni nazzjonali li tippermetti li tali rimedju jiġi eżerċitat fl-ordinament ġuridiku intern – Ammissibbiltà

(Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea, Artikolu 8(1) u (2); Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, premessi 1, 10 u 11, Artikolu 1, il-punt 1 tal-Artikolu 4 u l-Artikoli 5, 6, 17, 18, u 77 sa 79)

(ara l-punti 38 sa 52, u d-dispożittiv 1)
Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Dritt għal kumpens u responsabbiltà – Dritt għal kumpens għad-dannu mġarrab – Dannu morali – Kunċett – Emozzjonijiet negattivi mġarrba mis-suġġett tad-data wara trażmissjoni mhux awtorizzata tad-data personali tiegħu lil terz – Inklużjoni – Kundizzjonijiet – Neċessità li tintwera l-eżistenza ta’ tali emozzjonijiet u l-konsegwenzi negattivi tagħhom minħabba l-ksur ta’ dan ir-regolament

(Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, premessi 1, 10, 75, 85 u 146, u Artikoli 1 u 82(1))

(ara l-punti 55, 56, u 58 sa 64, u d-dispożittiv 2)
Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Dritt għal kumpens u responsabbiltà – Dritt għal kumpens għad-dannu mġarrab – Determinazzjoni tal-ammont u tal-forma tal-kumpens – Leġiżlazzjoni nazzjonali li tawtorizza t-teħid inkunsiderazzjoni tal-grad ta’ gravità tan-nuqqas imwettaq mill-awtur tad-dannu għall-finijiet tal-evalwazzjoni tal-kumpens għal dannu morali – Inammissibbiltà

(Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, premessa 146, u Artikoli 82 u 83)

(ara l-punti 66, 67, u 69 sa 73, u d-dispożittiv 3)
Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Dritt għal kumpens u responsabbiltà – Dritt għal kumpens għad-dannu mġarrab – Determinazzjoni tal-ammont u tal-forma tal-kumpens – Teħid inkunsiderazzjoni, sabiex jitnaqqas jew jiġi eskluż il-kumpens pekunjarju għal dannu morali, ta’ ordni ta’ astensjoni mir-repetizzjoni ta’ ksur ta’ dan ir-regolament – Inammissibbiltà

(Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, Artikolu 82)

(ara l-punti 77 sa 79, u 81 sa 83, u d-dispożittiv 4)

Sunt

Il-Qorti tal-Ġustizzja, adita b’talba għal deċiżjoni preliminari mressqa mill-Bundesgerichtshof (il-Qorti Federali tal-Ġustizzja, il-Ġermanja), ippreċiżat il-portata tad-drittijiet li diversi dispożizzjonijiet tal-GDPR ( 1 ) jagħtu lis-suġġett tad-data fil-każ ta’ pproċessar illegali tad-data personali tiegħu.

IP applika, permezz ta’ network soċjali professjonali online, għal impjieg ma’ Quirin Privatbank, kumpannija rregolata mid-dritt Ġermaniż. Sussegwentement, impjegata ta’ din il-kumpannija użat is-servizz ta’ posta elettronika ta’ dan in-network sabiex tibgħat lil terz, li ma kienx involut fil-proċess ta’ reklutaġġ, messaġġ li kien intiż biss għal IP, li fih hija kienet qiegħda tinforma lil dan tal-aħħar biċ-ċaħda tal-aspettattivi salarjali tiegħu u offrietlu remunerazzjoni oħra. Dan it-terz, li kien preċedentement ħadem ma’ IP, bagħatlu dan il-messaġġ u staqsieh jekk kienx qiegħed ifittex xogħol.

IP ippreżenta, quddiem il-Landgericht Darmstadt (il-Qorti Reġjonali ta’ Darmstadt, il-Ġermanja), azzjoni intiża sabiex Quirin Privatbank tiġi kkundannata, minn naħa, tastjeni minn kull ipproċessar tad-data personali b’rabta mal-kandidatura tiegħu li seta’ jirrepeti l-iżvelar mhux awtorizzat ta’ din id-data u, min-naħa l-oħra, tħallsu danni bħala kumpens għad-dannu morali mġarrab. Il-qorti tal-ewwel istanza laqgħet dawn it-talbiet.

L-Oberlandesgericht Frankfurt (il-Qorti Reġjonali Superjuri ta’ Frankfurt, il-Ġermanja), adita b’appell ippreżentat minn Quirin Privatbank, bidlet parzjalment dik is-sentenza billi ċaħdet it-talba għad-danni. Fil-fatt, fil-fehma ta’ dik il-qorti, IP ma kienx ipproduċa prova ta’ dannu konkret u, anki jekk jitqies li huwa kien ġie suġġett għal umiljazzjoni, din ma setgħetx tiġi kklassifikata bħala dannu morali.

Kemm IP kif ukoll Quirin Privatbank appellaw minn dik is-sentenza quddiem il-Bundesgerichtshof (il-Qorti Federali tal-Ġustizzja), il-qorti tar-rinviju.

Peress li kellha dubji dwar l-interpretazzjoni ta’ diversi dispożizzjonijiet tal-GDPR, il-Qorti Federali tal-Ġustizzja staqsiet lill-Qorti tal-Ġustizzja dwar il-portata tar-rimedji ġudizzjarji, dwar il-portata tad-dritt għall-kumpens għad-dannu mġarrab u dwar il-kriterji li jippermettu l-evalwazzjoni tad-dannu morali li jista’ jiġi kkumpensat.

Il-kunsiderazzjonijiet tal-Qorti tal-Ġustizzja

Fl-ewwel stadju, il-Qorti tal-Ġustizzja ntalbet tagħti deċiżjoni dwar jekk id-dispożizzjonijiet tar-GDPR jipprevedux, għall-benefiċċju tas-suġġett tad-data kkonċernat mill-ipproċessar illegali ta’ data personali li ma talabx it-tħassir tagħha, rimedju ġudizzjarju li jippermettilu jikseb, b’mod preventiv, li l-kontrollur jiġi ordnat jastjeni milli jwettaq, fil-ġejjieni, ipproċessar illegali ġdid, u jekk, fil-każ ta’ risposta fin-negattiv, dawn id-dispożizzjonijiet jipprekludux lill-Istati Membri milli jistabbilixxu tali rimedju fl-ordinamenti ġuridiċi rispettivi tagħhom.

Hija osservat, f’dan ir-rigward, li l-GDPR ma jinkludix dispożizzjonijiet li jipprevedu, espliċitament jew impliċitament, li s-suġġett tad-data jibbenefika minn dritt li jikseb b’mod preventiv, permezz ta’ azzjoni ġudizzjarja, li l-kontrollur ta’ data personali jkun imġiegħel jastjeni milli jwettaq, fil-ġejjieni, ksur tad-dispożizzjonijiet ta’ dan ir-regolament, speċjalment fil-forma ta’ repetizzjoni ta’ pproċessar illegali.

Barra minn hekk, il-Qorti tal-Ġustizzja kkonstatat li ebda waħda mid-dispożizzjonijiet ta’ dan ir-regolament li jirrigwardaw ir-rimedji ġudizzjarji ( 2 ) ma timponi fuq l-Istati Membri l-obbligu li jistabbilixxu rikors preventiv. B’mod partikolari, l-Artikolu 79(1) tal-GDPR, li jikkonferma d-dritt għal rimedju ġudizzjarju effettiv kontra kontrollur, ma jimponix fuq l-Istati Membri l-obbligu li jipprevedu rimedju ġudizzjarju speċifiku li jippermetti li tinkiseb, b’mod preventiv, ordni ta’ astensjoni permezz ta’ azzjoni ġudizzjarja.

B’dan espost, fid-dawl, b’mod partikolari, tar-rikonoxximent, mill-GDPR, tad-dritt ta’ kull suġġett tad-data li jkollu rimedju ġudizzjarju effettiv jekk huwa jqis li d-drittijiet mogħtija lilu minn dan ir-regolament inkisru minħabba pproċessar tad-data personali tiegħu mwettaq bi ksur tal-imsemmi regolament, “bla ħsara” għal kull rimedju amministrattiv jew extraġudizzjarju ieħor, il-Qorti tal-Ġustizzja qieset li l-Istati Membri ma humiex preklużi milli jipprevedu tali rimedju preventiv sabiex il-kontrollur jiġi ordnat jastjeni minn kull ksur ġdid tad-drittijiet li dan ir-regolament jagħti lis-suġġett tad-data.

Il-Qorti tal-Ġustizzja enfasizzat, fuq dan il-punt, li diversi dispożizzjonijiet tal-GDPR jiftħu espressament il-possibbiltà għall-Istati Membri li jipprevedu regoli nazzjonali supplimentari, iktar stretti jew derogatorji, li jħallu lil dawn tal-aħħar marġni ta’ evalwazzjoni dwar il-mod kif dawn id-dispożizzjonijiet jistgħu jiġu implimentati (“klawżoli ta’ ftuħ”). F’dan il-kuntest, hija osservat li, għalkemm id-dispożizzjonijiet tal-GDPR dwar ir-rimedji ġudizzjarji ma jinkludux speċifikament tali klawżola ta’ ftuħ, il-leġiżlatur tal-Unjoni ma kellux l-intenzjoni li jwettaq armonizzazzjoni eżawrjenti tar-rimedji ġudizzjarji disponibbli fil-każ ta’ ksur ta’ dan ir-regolament u, b’mod partikolari, ma eskludiex tali possibbiltà ta’ rimedju preventiv.

Il-Qorti tal-Ġustizzja kompliet tesponi li din l-interpretazzjoni hija kkonfermata mill-għanijiet imfittxija mill-GDPR. Fil-fatt, il-possibbiltà li s-suġġett tad-data jippreżenta rikors ġudizzjarju sabiex kontrollur jiġi ordnat jastjeni, fil-ġejjieni, minn ksur tad-dispożizzjonijiet sostantivi tal-GDPR hija ta’ natura li ssaħħaħ l-effett utli tagħhom u, għalhekk, il-livell għoli ta’ protezzjoni tas-suġġetti tad-data fir-rigward tal-ipproċessar tad-data personali tagħhom.

Minn dan il-Qorti tal-Ġustizzja ddeduċiet li l-GDPR ma jipprekludix li dritt għal azzjoni legali intiż għall-ksib ta’ ordni li tippermetti l-prevenzjoni ta’ eventwali twettiq ta’ ksur tad-dispożizzjonijiet sostantivi ta’ dan ir-regolament, b’mod partikolari permezz ta’ repetizzjoni potenzjali ta’ pproċessar illegali, ikun disponibbli abbażi ta’ dispożizzjonijiet tad-dritt ta’ Stat Membru li jkunu applikabbli quddiem il-qorti nazzjonali adita.

Fit-tieni stadju, il-Qorti tal-Ġustizzja pprovdiet preċiżazzjonijiet dwar il-kunċett ta’ “dannu morali” li jagħti, skont il-GDPR ( 3 ), lis-suġġett tad-data d-dritt li jikseb, mingħand il-kontrollur responsabbli għall-ipproċessar, kumpens għad-dannu mġarrab.

F’dan il-kuntest, hija fakkret li l-Artikolu 82(1) tal-GDPR, dwar id-dritt għal kumpens, jipprekludi regola jew prattika nazzjonali li tissuġġetta l-kumpens għal “dannu morali” għall-kundizzjoni li d-dannu mġarrab mis-suġġett tad-data jkun laħaq ċertu grad ta’ gravità. L-imsemmija dispożizzjoni ma teżiġix li dannu morali allegat mis-suġġett tad-data għandu jilħaq “livell de minimis” sabiex dan id-dannu jkun jista’ jiġi kkumpensat ( 4 ).

Barra minn hekk, il-Qorti tal-Ġustizzja osservat li sitwazzjonijiet, bħal dawk invokati fil-kawża prinċipali, relatati ma’ “ħsara għar-reputazzjoni” li tirriżulta minn ksur ta’ data personali jew ma’ “telf ta’ kontroll” fuq tali data, jinsabu espliċitament fost l-eżempji ta’ danni possibbli li huma elenkati fil-GDPR ( 5 ).

Hija fakkret ukoll li l-biża’, li tinħass mis-suġġett tad-data, li d-data personali tiegħu tkun is-suġġett ta’ użu abbużiv fil-ġejjieni, wara ksur tal-GDPR, tista’ tikkostitwixxi, waħedha, “dannu morali”, bil-kundizzjoni li din il-biża’, bil-konsegwenzi negattivi tagħha, tkun debitament ipprovata, punt li għandu jiġi vverifikat mill-qorti nazzjonali adita ( 6 ).

Għalhekk, il-Qorti tal-Ġustizzja rrikonoxxiet li, għalkemm l-emozzjonijiet negattivi msemmija mill-qorti tar-rinviju, b’mod partikolari l-biża’ jew il-frustrazzjoni, jistgħu barra minn hekk jagħmlu parti mir-riskji ġenerali inerenti għall-ħajja ta’ kuljum, dawn jistgħu jikkostitwixxu “dannu morali”, fis-sens tal-GDPR, dejjem sakemm is-suġġett tad-data juri li huwa qiegħed iġarrab tali emozzjonijiet, bil-konsegwenzi negattivi tagħhom, preċiżament minħabba l-ksur inkwistjoni ta’ dan ir-regolament, bħalma hija trażmissjoni mhux awtorizzata tad-data personali tiegħu lil terz li toħloq ir-riskju ta’ użu abbużiv tagħha, punt li għandu jiġi evalwat mill-qrati nazzjonali aditi.

Il-Qorti tal-Ġustizzja enfasizzat li din l-interpretazzjoni hija konformi mal-formulazzjoni tal-Artikolu 82(1) tal-GDPR, moqri fid-dawl tal-premessi 85 u 146 ta’ dan ir-regolament li jsejħu għal interpretazzjoni wiesgħa tal-kunċett ta’ “dannu morali”, u hija sostnuta mill-għan tal-imsemmi regolament li huwa li jiġi żgurat livell għoli ta’ protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar tad-data personali.

Fit-tielet stadju, il-Qorti tal-Ġustizzja kkonstatat li l-Artikolu 82(1) tal-GDPR, dwar id-dritt għal kumpens, jipprekludi li l-grad ta’ gravità tan-nuqqas imwettaq mill-kontrollur jittieħed inkunsiderazzjoni għall-finijiet tal-evalwazzjoni tal-kumpens għal dannu morali dovut abbażi ta’ dan l-artikolu.

F’dan ir-rigward, hija fakkret li, fid-dawl tal-funzjoni esklużivament kumpensatorja tad-dritt għal kumpens, il-qrati nazzjonali għandhom jiżguraw kumpens “sħiħ u effettiv” għad-dannu mġarrab, mingħajr ma jkun neċessarju, għall-finijiet ta’ tali kumpens sħiħ, li jiġi impost il-ħlas ta’ danni punittivi ( 7 ).

Hija ppreċiżat li din il-funzjoni esklużivament kumpensatorja tad-dritt għal kumpens previst fil-GDPR tipprekludi li l-grad ta’ gravità u l-eventwali natura intenzjonali tal-ksur ta’ dan ir-regolament imwettaq mill-kontrollur jittieħdu inkunsiderazzjoni għall-finijiet tal-kumpens għal dannu fuq din il-bażi. Għalhekk, l-attitudni u l-motivazzjoni tal-kontrollur ma jistgħux jittieħdu inkunsiderazzjoni sabiex, jekk ikun il-każ, is-suġġett tad-data jingħata kumpens iżgħar mid-dannu konkret li huwa jkun ġarrab, kemm jekk fir-rigward tal-ammont kif ukoll jekk fir-rigward tal-forma ta’ dan il-kumpens.

Fir-raba’ u l-aħħar stadju, il-Qorti tal-Ġustizzja qieset li l-Artikolu 82(1) tal-GDPR jipprekludi li l-fatt li s-suġġett tad-data jkun kiseb, skont id-dritt nazzjonali applikabbli, ordni ta’ astensjoni mir-repetizzjoni ta’ ksur ta’ dan ir-regolament, invokabbli fil-konfront tal-kontrollur, jittieħed inkunsiderazzjoni sabiex titnaqqas il-portata tal-kumpens pekunjarju għal dannu morali dovut abbażi ta’ dan l-artikolu jew saħansitra li din l-ordni sservi ta’ sostitut għal dan il-kumpens.

Il-Qorti tal-Ġustizzja fakkret li hija diġà aċċettat li, fil-limiti li jirriżultaw mill-prinċipju ta’ effettività, ċerti ċirkustanzi jistgħu jinfluwenzaw l-evalwazzjoni tal-kumpens dovut abbażi tal-Artikolu 82 tal-GDPR, speċjalment sabiex dan il-kumpens jiġi limitat. Issa, forma ta’ kumpens prevista mid-dritt nazzjonali applikabbli tista’ titqies li hija konformi mal-GDPR biss sa fejn tkun ta’ natura li tiżgura kumpens sħiħ u effettiv għad-dannu mġarrab mis-suġġett tad-data. B’mod partikolari, kumpens dovut abbażi tal-Artikolu 82 tal-GDPR ma jistax jingħata fil-forma, parzjalment jew kompletament, ta’ ordni ta’ astensjoni, peress li d-dritt ta’ kumpens għal dannu jaqdi funzjoni esklużivament kumpensatorja, filwaqt li ordni ta’ astensjoni fil-konfront tal-awtur tad-dannu għandha għan purament preventiv.

( 1 ) Artikoli 17, 18, 79 u 82 tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-“GDPR”).

( 2 ) Il-Kapitolu VIII tal-GDPR, intitolat “Rimedji, responsabbiltà u pieni”, li jinkludi, b’mod partikolari, l-Artikoli 77 sa 79 tiegħu.

( 3 ) Artikolu 82(1) tal-GDPR.

( 4 ) Ara, f’dan is-sens, is-sentenzi tal-4 ta’ Mejju 2023, Österreichische Post (Dannu morali marbut mal-ipproċessar ta’ data personali),C‑300/21, EU:C:2023:370, punt 51, kif ukoll tal‑4 ta’ Ottubru 2024, Agentsia po vpisvaniyata,C‑200/23, EU:C:2024:827, punti 147 u 149).

( 5 ) Ara l-premessi 75 u 85 tal-GDPR.

( 6 ) Ara, f’dan is-sens, is-sentenzi tal-20 ta’ Ġunju 2024, PS (Indirizz żbaljat) (C‑590/22, EU:C:2024:536, punti 32, 35 u 36), kif ukoll tal‑4 ta’ Ottubru 2024, Agentsia po vpisvaniyata (C‑200/23, EU:C:2024:827, punti 143, 144 u 155 kif ukoll il-ġurisprudenza ċċitata).

( 7 ) Ara, f’dan is-sens, is-sentenzi tal-4 ta’ Mejju 2023, Österreichische Post (Dannu morali marbut mal-ipproċessar ta’ data personali) (C‑300/21, EU:C:2023:370, punti 57 u 58), kif ukoll tal‑4 ta’ Ottubru 2024, Patērētāju tiesību aizsardzības centrs (C‑507/23, EU:C:2024:854, punt 34).