KONKLUŻJONIJIET TAL-AVUKAT ĠENERALI

SAUGMANDSGAARD ØE

ippreżentati fid‑19 ta’ Diċembru 2019 ( 1 )

Kawża C‑311/18

Data Protection Commissioner

Facebook Ireland Limited,

Maximillian Schrems,

fil-preżenza ta’:

The United States of America,

Electronic Privacy Information Centre,

BSA Business Software Alliance, Inc.,

Digitaleurope

(talba għal deċiżjoni preliminari mressqa mill-High Court (il-Qorti Għolja, l-Irlanda))

“Rinviju għal deċiżjoni preliminari – Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament (UE) 2016/679 – Artikolu 2(2) – Kamp ta’ applikazzjoni – Trasferiment ta’ data personali għal skopijiet kummerċjali lejn l-Istati Uniti – Ipproċessar tad-data ttrasferita mill-awtoritajiet pubbliċi tal-Istati Uniti, għal skopijiet ta’ sigurtà nazzjonali – Artikolu 45 – Evalwazzjoni tal-adegwatezza tal-livell ta’ protezzjoni żgurat f’pajjiż terz – Artikolu 46 – Salvagwardji xierqa offruti mill-kontrollur tad-data – Klawżoli standard ta’ protezzjoni – Artikolu 58(2) – Setgħat tal-awtoritajiet nazzjonali ta’ kontroll – Deċiżjoni 2010/87/UE – Validità – Deciżjoni (UE) 2016/1250 – ‘Ħarsien tal-Privatezza UE‑U.S.’ – Validità – Artikoli 7, 8 u 47 tal-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea”

Werrej

	I. Introduzzjoni
	II. Il-kuntest ġuridiku
	A. Id-Direttiva 95/46/KE
	B. Il-GDPR
	C. Id-Deċiżjoni 2010/87
	D. Id-Deċiżjoni “Ħarsien tal-privatezza”
	III. Il-kawża prinċipali, id-domandi preliminari u l-proċedimenti quddiem il-Qorti tal-Ġustizzja
	IV. Analiżi
	A. Kunsiderazzjonijiet preliminari
	B. Fuq l-ammissibbiltà tar-rinviju għal deċiżjoni preliminari
	1. Fuq l-applikabbiltà ratione temporis tad-Direttiva 95/46
	2. Fuq in-natura provviżorja tad-dubji espressi mid-DPC
	3. Fuq l-inċertezzi dwar id-definizzjoni tal-kuntest fattwali
	C. Fuq l-applikabbiltà tad-dritt tal-Unjoni għat-trasferimenti għal skopijiet kummerċjali ta’ data personali lejn Stat terz li jista’ jipproċessaha għal skopijiet ta’ sigurtà nazzjonali (l-ewwel domanda)
	D. Fuq il-livell ta’ protezzjoni meħtieġ għal trasferiment ibbażat fuq klawżoli kuntrattwali standard (l-ewwel parti tas-sitt domanda)
	E. Fuq il-validità tad-Deċiżjoni 2010/87 fid-dawl tal-Artikoli 7, 8 u 47 tal-Karta (is-seba’, it-tmien u l-ħdax‑il domanda)
	1. Fuq l-obbligi tal-kontrolluri
	2. Fuq l-obbligi li għandhom l-awtoritajiet superviżorji
	F. Fuq l-assenza tal-ħtieġa li tingħata risposta għad-domandi preliminari l-oħrajn u li tiġi eżaminata l-validità tad-Deċiżjoni “Ħarsien tal-privatezza”
	1. Fuq l-assenza ta’ ħtieġa tar-risposti tal-Qorti tal-Ġustizzja fir-rigward tas-suġġett tal-kawża prinċipali
	2. Fuq ir-raġunijiet għalfejn il-Qorti tal-Ġustizzja ma għandhiex teżamina s-suġġett tal-proċedura pendenti quddiem id-DPC
	G. Osservazzjonijiet sussidjarji dwar l-effetti u l-validità tad-Deċiżjoni “Ħarsien tal-privatezza”
	1. Fuq l-impatt tad-Deċiżjoni “Ħarsien tal-privatezza” fil-kuntest tat-trattament minn awtorità superviżorja ta’ lment dwar il-legalità ta’ trasferiment ibbażat fuq salvagwardji kuntrattwali
	2. Fuq il-validità tad-Deċiżjoni “Ħarsien tal-privatezza”
	a) Preċiżazzjonijiet dwar il-kontenut tal-eżami tal-validità ta’ deċiżjoni ta’ adegwatezza
	1) Fuq it-termini tal-paragun li jippermettu l-evalwazzjoni tal-“ekwivalenza sostanzjali” tal-livell ta’ protezzjoni
	2) Fuq il-ħtieġa li jiġi żgurat livell adegwat ta’ protezzjoni waqt il-fażi tat-tranżitu tad-data
	3) Fuq it-teħid inkunsiderazzjoni tal-konstatazzjonijiet fattwali magħmula mill-Kummissjoni u mill-qorti tar-rinviju dwar id-dritt tal-Istati Uniti
	4) Fuq il-portata tal-istandard tal-“ekwivalenza sostanzjali”
	b) Fuq il-validità tad-Deċiżjoni “Ħarsien tal-privatezza” fid-dawl tad-drittijiet għar-rispett tal-privatezza u għall-protezzjoni tad-data personali
	1) Fuq l-eżistenza ta’ interferenza
	2) Fuq in-natura “prevista mil-liġi” tal-interferenzi
	3) Fuq l-assenza ta’ ksur tal-kontenut essenzjali tad-drittijiet fundamentali
	4) Fuq it-tiftixa ta’ għan leġittimu
	5) Fuq in-neċessità u l-proporzjonalità tal-interferenzi
	c) Fuq il-validità tad-Deċiżjoni “Ħarsien tal-privatezza” fid-dawl tad-dritt għal rimedju effettiv
	1) Fuq l-effettività tar-rimedji ġudizzjarji previsti mid-dritt tal-Istati Uniti
	2) Fuq l-impatt tal-mekkaniżmu tal-Ombudsman fuq il-livell ta’ protezzjoni tad-dritt għar-rimedju effettiv
	V. Konklużjoni

I. Introduzzjoni

Fin-nuqqas ta’ salvagwardji komuni fil-qasam tal-protezzjoni tad-data personali fuq livell dinji, il-flussi transkonfinali ta’ din id-data jkunu akkumpanjati minn riskju ta’ waqfien fil-kontinwità tal-livell ta’ protezzjoni żgurat fi ħdan l-Unjoni Ewropea. Sabiex jiffaċilita dawn il-flussi filwaqt li jillimita dan ir-riskju, il-leġiżlatur tal-Unjoni stabbilixxa tliet mekkaniżmi li taħthom id-data personali tista’ tiġi ttrasferita mill-Unjoni lejn Stat terz.

Fl-ewwel lok, tali trasferiment jista’ jsir abbażi ta’ deċiżjoni li permezz tagħha l-Kummissjoni Ewropea tikkonstata li l-Istat terz inkwistjoni jiżgura “livell adegwat ta’ protezzjoni” tad-data li tiġi ttrasferita lejh ( 2 ). Fit-tieni lok, fl-assenza ta’ tali deċiżjoni, it-trasferiment jiġi awtorizzat meta jkun kopert minn “salvagwardji xierqa” ( 3 ). Dawn is-salvagwardji jistgħu jieħdu l-forma ta’ kuntratt bejn l-esportatur u l-importatur tad-data li jinkludi klawżoli standard ta’ protezzjoni adottati mill-Kummissjoni. Il-GDPR jipprevedi, fit-tielet lok, ċerti derogi, ibbażati b’mod partikolari fuq il-kunsens tal-persuna kkonċernata, li jippermettu t-trasferiment lejn pajjiż terz anki fin-nuqqas ta’ deċiżjoni ta’ adegwatezza jew ta’ salvagwardji xierqa ( 4 ).

It-talba għal deċiżjoni preliminari mressqa mill-High Court (il-Qorti Għolja, l-Irlanda) tirrigwarda t-tieni wieħed minn dawn il-mekkaniżmi. Din tirrigwarda, b’mod iktar preċiż, il-validità tad-Deċiżjoni 2010/87/UE ( 5 ), li permezz tagħha l-Kummissjoni stabbilixxiet klawżoli kuntrattwali standard għal ċerti kategoriji ta’ trasferimenti, fid-dawl tal-Artikoli 7, 8 u 47 tal-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea (iktar ’il quddiem il-“Karta”).

Din it-talba tressqet fil-kuntest ta’ tilwima bejn, minn naħa, id-Data Protection Commissioner (il-Kummissarju għall-Protezzjoni tad-Data, l-Irlanda, iktar ’il quddiem, id-“DPC”) u, min-naħa l-oħra, Facebook Ireland Ltd u Maximillian Schrems. Dan tal-aħħar ressaq, mad-DPC, ilment dwar it-trasferiment ta’ data personali li tikkonċernah minn Facebook Ireland lil Facebook Inc., il-kumpannija omm tagħha stabbilita fl-Istati Uniti tal-Amerika (iktar ’il quddiem, l-“Istati Uniti”). Id-DPC iqis li l-ipproċessar ta’ dan l-ilment jiddependi mill-kwistjoni dwar jekk id-Deċiżjoni 2010/87 hijiex valida. F’dan il-kuntest, huwa adixxa lill-qorti tar-rinviju billi talabha tistaqsi lill-Qorti tal-Ġustizzja dwar dan.

5.	Niddikjara mill-ewwel li, fil-fehma tiegħi, l-eżami tad-domandi preliminari ma żvela l-ebda fattur li jista’ jaffettwa l-validità tad-Deċiżjoni 2010/87.

Barra minn hekk, il-qorti tar-rinviju qajmet ċerti dubji dwar, essenzjalment, l-adegwatezza tal-livell ta’ protezzjoni żgurat mill-Istati Uniti fid-dawl tal-interferenzi li l-attivitajiet tal-awtoritajiet tal-intelligence Amerikani joħolqu fl-eżerċizzju tad-drittijiet fundamentali tal-persuni li d-data tagħhom tiġi ttrasferita lejn dan il-pajjiż terz. Dawn id-dubji indirettament jikkontestaw l-evalwazzjonijiet li għamlet il-Kummissjoni dwar dan is-suġġett fid-Deċiżjoni ta’ Implimentazzjoni (UE) 2016/1250 ( 6 ). Għalkemm ir-riżoluzzjoni tat-tilwima fil-kawża prinċipali ma tirrikjedix li l-Qorti tal-Ġustizzja tiddeċiedi din il-kwistjoni u jien nissuġġerilha għalhekk li toqgħod lura milli tagħmel dan, ser nindika sussidjarjament ir-raġunijiet li jwassluni biex niddubita dwar il-validità ta’ din id-deċiżjoni.

L-analiżi kollha tiegħi ser tkun iggwidata mit-tfittxija għal bilanċ bejn, minn naħa, il-ħtieġa li jintwera “grad ta’ pragmatiżmu raġonevoli li jippermetti interazzjoni mal-bqija tad-dinja” ( 7 ) u, min-naħa l-oħra, dik li jiġu affermati l-valuri fundamentali rrikonoxxuti fl-ordinamenti ġuridiċi tal-Unjoni u tal-Istati Membri tagħha, b’mod partikolari mill-Karta.

II. Il-kuntest ġuridiku

A. Id-Direttiva 95/46/KE

L-Artikolu 3(2) tad-Direttiva 95/46/KE dwar il-protezzjoni ta’ individwi fir-rigward ta’ l-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ dik id-data ( 8 ) kien jipprovdi:

“Din id-Direttiva m’għandhiex tapplika għall-ipproċessar ta’ data personali:

–

fil-kors ta’ attività li ma tkunx skond il-finijiet ta’ liġi tal-Komunità, bħalma huma dawk provduti fit-Titoli V u VI tat-Trattat dwar l-Unjoni Ewropea, u fi kwalunkwe każ għal operazzjonijiet ta’ ipproċessar dwar sigurtà pubblika, difiża, sigurtà ta’ l-Istat (magħdud il-ġid ekonomiku ta’ l-Istat meta l-operazzjoni ta’ l-ipproċessar tkun dwar materji ta’ sigurtà ta’ l-Istat) u l-attivitajiet ta’ l-Istat fl-oqsma tal-liġi kriminali,

– […]”

L-Artikolu 13(1) ta’ din id-direttiva kien ifformulat kif ġej:

“Stati Membri jistgħu jadottaw miżuri leġislattivi biex jirrestrinġu l-finijiet ta’ l-obbligazzjonijiet u d-drittijiet provduti fl-Artikoli 6(1), 10, 11 (1), 12 u 21 meta dawn ir-restrizzjonijiet jikkostitwixxu miżuri meħtieġa li jagħtu protezzjoni lil:

(a)	sigurtà nazzjonali;

(b)

difiża;

(ċ)	sigurtà pubblika;

(d)	prevenzjoni, investigazzjoni, sejbien u prosekuzzjoni ta’ offiżi kriminali jew il-ksur ta’ etika ta’ professjonijiet regolati;

(e)	interess ekonomiku jew finanzjarju ta’ importanza għal Stat Membru jew għall-[Unjoni], magħduda affarijiet monetarji, fiskali [baġitarji] jew ta’ l-estmi [fiskali];

(f)	[funzjoni ta’] monitoraġġ, spezzjoni jew funzjoni regolatorja marbuta, ukoll jekk kultant, ma’ l-eżerċizzju ta’ awtorità uffiċjali fil-każi msemmija f’ (ċ), (d) u (e);

(g)	il-protezzjoni tas-suġġett tad-data jew tad-drittijiet u l-libertajiet ta’ l-oħrajn.”

10.

L-Artikolu 25 tal-imsemmija direttiva kien jgħid:

“1. L-Istati Membri għandhom jipprovdu li t-trasferiment lil pajjiż terz ta’ data personali li tkun qed tiġi pproċessata jew li tkun maħsuba li tiġi pproċessata wara trasferiment jista’ jsir biss jekk, bla ħsara għal konformità mad-dispożizzjonijiet nazzjonali adottati skond id-dispożizzjonijiet l-oħra ta’ din id-Direttiva, il-pajjiż terz jassigura livell adekwat ta’ protezzjoni.

2. Jekk il-livell ta’ protezzjoni mogħti minn pajjiż terz ikunx adekwat għandu jiġi eżaminat fid-dawl taċ-ċirkostanzi kollha li jkollhom x’jaqsmu ma’ operazzjoni ta’ trasferiment ta’ data jew sett ta’ operazzjonijiet ta’ trasferiment ta’ data; għandu jittieħed kont partikolarment tan-natura tad-data, l-għan u t-tul ta’ żmien ta’ l-operazzjoni jew operazzjonijiet proposti ta’ l-ipproċessar, il-pajjiż ta’ oriġini u l-pajjiż tad-destinazzjoni finali, ir-regoli tal-liġi, kemm ġenerali kif ukoll settorjali, fis-seħħ fil-pajjiż terz in kwistjoni u r-regoli professjonali u l-miżuri ta’ sigurtà li jitħarsu f’dak il-pajjiż.

[…]

6. Il-Kummissjoni tista’ tikkonkludi, skond il-proċedura msemmija fl-Artikolu 31(2), li pajjiż terz ikun qed jassigura livell adekwat ta’ protezzjoni skond it-tifsira tal-paragrafu 2 ta’ dan l-Artikolu, permezz tal-liġi domestika tiegħu jew ta’ l-impenji internazzjonali li jkun daħal għalihom, partikolarment meta jintemmu n-negozjati msemmija fil-paragrafu 5, għall-protezzjoni tal-ħajja privata u tal-libertajiet u d-drittijiet bażiċi ta’ l-individwu.

Stati Membri għandhom jieħdu l-miżuri meħtieġa biex ikunu konformi mad-deċiżjoni tal-Kummissjoni.”

11.

L-Artikolu 26(2) u (4) tal-istess direttiva kien jipprovdi:

“2. Bla ħsara għall-paragrafu 1, Stat Membru jista’ jawtorizza trasferiment jew sett ta’ trasferimenti ta’ data personali lil pajjiż terz li ma jassigurax livell adekwat ta’ protezzjoni skond it-tifsira ta’ l-Artikolu 25(2), meta l-kontrollur jipprovdi ħarsien biżżejjed għall-protezzjoni tal-ħajja privata u tad-drittijiet u l-libertajiet fundamentali ta’ l-individwu u għall-eżerċizzju tad-drittijiet relattivi; ħarsien bħal dak jista’ partikolarment jirriżulta minn klawsoli kontrattwali xierqa.

[…]

4. Meta l-Kummissjoni tiddeċiedi […] li ċerti klawsoli kontrattwali standard joffru protezzjoni biżżejjed kif mitluba skond il-paragrafu 2, Stati Membri għandhom jieħdu l-miżuri meħtieġa biex ikunu konformi mad-deċiżjoni tal-Kummissjoni.”

12.

L-Artikolu 28(3) tad-Direttiva 95/46 kien ifformulat kif ġej:

“Kull awtorità għandha jkollha partikolarment:

[…]

–

setgħat effettivi ta’ intervent, bħalma hu, per eżempju, dak li tagħti opinjonijiet qabel ma jsiru operazzjonijiet ta’ ipproċessar, skond l-Artikolu 20, u li tassigura li dawn l-opinjonijiet ikollhom pubblikazzjoni sewwa, li tordna l-imblokk, tħassir jew distruzzjoni ta’ data, li ma tħallix għal xi żmien jew għal dejjem milli jsir ipproċessar, li twissi jew twiddeb lill-kontrollur, jew li tirreferi l-kwistjoni lill-parlamenti nazzjonali jew istituzzjonijiet pubbliċi oħra,

– […]”

B. Il-GDPR

13.	Skont l-Artikolu 94(1) tiegħu, il-GDPR ħassar id-Direttiva 95/46 b’effett mill‑25 ta’ Mejju 2018, data li fiha dan ir-regolament beda japplika konformement mal-Artikolu 99(2) tiegħu.

14.

L-Artikolu 2(2) tal-imsemmi regolament jipprevedi:

“Dan ir-Regolament ma japplikax għall-ipproċessar ta’ data personali:

(a)	matul attività li ma taqax taħt il-kamp ta’ applikazzjoni tal-liġi tal-Unjoni;

b)	mill-Istati Membri meta jkunu qegħdin iwettqu attivitajiet li jaqgħu taħt il-kamp ta’ applikazzjoni tal-Kapitolu 2 tat-Titolu V tat-TUE;

[…]

(d)	mill-awtoritajiet kompetenti għall-finijiet tal-prevenzjoni, investigazzjoni, sejbien jew prosekuzzjoni ta’ reati kriminali, jew l-eżekuzzjoni ta’ pieni kriminali, inkluż is-salvagwardji kontra u l-prevenzjoni ta’ theddid għas-sigurtà pubblika.”

15.

Il-punt 2 tal-Artikolu 4 tal-istess regolament jiddefinixxi l-“ipproċessar” bħala “kwalunkwe attività jew sett ta’ attivitajiet li jitwettqu fuq data personali jew fuq settijiet ta’ data personali, sew jekk b’mezzi awtomatizzati u sew jekk mingħajrhom, bħalma huma l-ġbir, ir-reġistrazzjoni, l-organizzazzjoni, l-istrutturar, il-ħażna, l-adattament jew il-bidliet, l-irkupru, il-konsultazzjoni, l-użu, l-iżvelar bi trażmissjoni, it-tixrid jew it-tqegħid għad-dispożizzjoni b’xi mezz ieħor, l-allinjament jew it-taħlita, ir-restrizzjoni, it-tħassir jew il-qerda”.

16.

L-Artikolu 23 tal-GDPR jipprevedi:

“1. Il-liġi tal-Unjoni jew ta’ Stat Membru li għaliha jkun soġġett il-kontrollur jew il-proċessur tad-data tista’ tirrestrinġi permezz ta’ miżura leġiżlattiva l-kamp ta’ applikazzjoni tal-obbligi u d-drittijiet previsti fl-Artikoli 12 sa 22 u l-Artikolu 34, kif ukoll l-Artikolu 5 sakemm id-dispożizzjonijiet tiegħu jikkorrispondu mad-drittijiet u l-obbligi previsti fl-Artikoli 12 sa 22, meta tali restrizzjoni tirrispetta l-essenza tad-drittijiet u l-libertajiet fundamentali u hija miżura meħtieġa u proporzjonata f’soċjetà demokratika għas-salvagwardja ta’:

(a)	is-sigurtà nazzjonali;

(b)	id-difiża;

(c)	is-sigurtà pubblika;

(d)	il-prevenzjoni, l-investigazzjoni, is-sejbien jew il-prosekuzzjoni ta’ reati kriminali jew l-eżekuzzjoni ta’ pieni kriminali, inkluż is-salvagwardji kontra u l-prevenzjoni ta’ theddidiet għas-sigurtà pubblika;

(e)	objettivi importanti oħrajn ta’ interess pubbliku ġenerali tal-Unjoni jew ta’ Stat Membru, b’mod partikolari interess ekonomiku jew finanzjarju importanti tal-Unjoni jew ta’ Stat Membru, […];

[…]

2. B’mod partikolari, kull miżura leġiżlattiva msemmija fil-paragrafu 1 għandu jkun fiha dispożizzjonijiet speċifiċi tal-inqas, fejn rilevanti, dwar:

(a)	il-finijiet tal-ipproċessar jew il-kategoriji tal-ipproċessar;

(b)	il-kategoriji ta’ data personali;

(c)	l-ambitu tar-restrizzjonijiet introdotti;

(d)	is-salvagwardji għall-prevenzjoni tal-abbuż jew tal-aċċess jew it-trasferiment illegali;

(e)	l-ispeċifikazzjoni tal-kontrollur jew il-kategoriji tal-kontrolluri;

(f)	il-perijodi ta’ ħażna u s-salvagwardji applikabbli b’kont meħud tan-natura, l-ambitu u l-finijiet tal-ipproċessar jew il-kategoriji tal-ipproċessar;

(g)	ir-riskji għad-drittijiet u l-libertajiet tas-suġġetti tad-data; u

(h)	id-dritt tas-suġġetti tad-data li jkunu infurmati dwar ir-restrizzjoni, sakemm dak ma jistax jippreġudika l-finijiet tar-restrizzjoni.”

17.

L-Artikolu 44 ta’ dan ir-regolament, intitolat “Prinċipju ġenerali għal trasferimenti”, jgħid:

“Kwalunkwe trasferiment ta’ data personali li tkun qed tiġi pproċessata jew hija maħsuba li tiġi pproċessata wara trasferiment lejn pajjiż terz jew lejn organizzazzjoni internazzjonali għandu jseħħ biss jekk, soġġett għad-dispożizzjonijiet l-oħra ta’ dan ir-Regolament, il-kontrollur u l-proċessur ikunu f’konformità mal-kondizzjonijiet stipulati f’dan il-Kapitolu, inkluż għal trasferimenti ulterjuri ta’ data personali mill-pajjiż terz jew minn organizzazzjoni internazzjonali lejn pajjiż terz ieħor jew lejn organizzazzjoni internazzjonali oħra. Id-dispożizzjonijiet kollha f’dan il-Kapitolu għandhom jiġu applikati sabiex jiġi żgurat li ma għandux jiddgħajjef il-livell ta’ protezzjoni tal-persuni fiżiċi ggarantit minn dan ir-Regolament.”

18.

Skont l-Artikolu 45 tal-imsemmi regolament, intitolat “Trasferimenti abbażi ta’ deċiżjoni ta’ adegwatezza”:

“1. Trasferiment ta’ data personali lejn pajjiż terz jew organizzazzjoni internazzjonali jista’ jseħħ fejn il-Kummissjoni tiddeċiedi li l-pajjiż terz, jew territorju jew settur speċifikat wieħed jew aktar f’dak il-pajjiż terz, jew l-organizzazzjoni internazzjonali inkwistjoni tiżgura livell adegwat ta’ protezzjoni. Tali trasferiment ma għandu jkun jeħtieġ ebda awtorizzazzjoni speċifika.

2. Meta tivvaluta l-adegwatezza tal-livell ta’ protezzjoni, il-Kummissjoni għandha tieħu kont, b’mod partikolari, tal-elementi li ġejjin:

(a)

l-istat tad-dritt, ir-rispett lejn id-drittijiet tal-bniedem u d-drittijiet fundamentali, il-leġiżlazzjoni rilevanti, kemm ġenerali kif ukoll settorjali, inkluż dwar is-sigurtà pubblika, id-difiża, is-sigurtà nazzjonali u l-liġi kriminali u l-aċċess tal-awtoritajiet pubbliċi għad-data personali, kif ukoll l-implimentazzjoni ta’ tali leġiżlazzjoni, ir-regoli tal-protezzjoni tad-data, ir-regoli professjonali u l-miżuri ta’ sigurtà, inklużi regoli għat-trasferiment ulterjuri ta’ data personali lejn pajjiż terz ieħor jew organizzazzjoni internazzjonali oħra li jkun hemm konformità magħhom f’dak il-pajjiż jew l-organizzazzjoni internazzjonali, preċedenti ta’ ġurisprudenza, kif ukoll drittijiet tas-suġġett tad-data effettivi u infurzabbli u rimedju amministrattiv u ġudizzjarju effettiv għas-suġġetti tad-data li tkun qed tiġi ttrasferita d-data personali tagħhom;

(b)

l-eżistenza u l-funzjonament effettiv ta’ awtorità superviżorja indipendenti waħda jew aktar fil-pajjiż terz jew li għalihom tkun soġġetta organizzazzjoni internazzjonali, bir-responsabbiltà għall-iżgurar u l-infurzar tal-konformità mar-regoli dwar il-protezzjoni tad-data, inklużi setgħat ta’ nfurzar adegwati għall-assistenza u l-għoti ta’ pariri lis-suġġetti tad-data fl-eżerċizzju tad-drittijiet tagħhom u għall-kooperazzjoni mal-awtoritajiet superviżorji tal-Istati Membri; u

(c)

l-impenji internazzjonali li l-pajjiż terz jew l-organizzazzjoni internazzjonali kkonċernata tkun daħlet għalihom, jew obbligi oħrajn li jirriżultaw minn konvenzjonijiet jew strumenti legalment vinkolanti kif ukoll mis-sehem tagħha f’sistemi multilaterali jew reġjonali, b’mod partikolari b’rabta mal-protezzjoni ta’ data personali.

3. Il-Kummissjoni, wara li tivvaluta l-adegwatezza tal-livell ta’ protezzjoni, tista’ tiddeċiedi, permezz ta’ att ta’ implimentazzjoni, li pajjiż terz, jew territorju jew settur speċifikat wieħed jew aktar f’pajjiż terz, jew organizzazzjoni internazzjonali jiżguraw livell adegwat ta’ protezzjoni fis-sens tal-paragrafu 2 ta’ dan l-Artikolu. L-att ta’ implimentazzjoni għandu jipprevedi mekkaniżmu għal rieżami perjodiku, mill-inqas kull erba’ snin, li għandu jieħu kont tal-iżviluppi rilevanti kollha fil-pajjiż terz jew l-organizzazzjoni internazzjonali. […]

4. Il-Kummissjoni għandha timmonitorja fuq bażi kontinwa l-iżviluppi f’pajjiżi terzi u organizzazzjonijiet internazzjonali li jistgħu jaffettwaw il-funzjonament tad-deċiżjonijiet adottati skont il-paragrafu 3 ta’ dan l-Artikolu u d-deċiżjonijiet adottati abbażi tal-Artikolu 25(6) tad-[Direttiva 95/46].

5. Il-Kummissjoni għandha tiddeċiedi, fejn l-informazzjoni disponibbli tiżvela dan, b’mod partikolari wara r-rieżami msemmi fil-paragrafu 3 ta’ dan l-Artikolu, li pajjiż terz, jew territorju jew settur speċifikat f’pajjiż terz, jew organizzazzjoni internazzjonali ma għadux jew ma għadhiex tiżgura livell adegwat ta’ protezzjoni fis-sens tal-paragrafu 2 ta’ dan l-Artikolu, sa fejn ikun meħtieġ, għandha tħassar, temenda jew tissospendi d-deċiżjoni msemmija fil-paragrafu 3 ta’ dan l-Artikolu, permezz ta’ atti ta’ implimentazzjoni mingħajr effett retroattiv. […]

6. Il-Kummissjoni għandha tidħol f’konsultazzjonijiet mal-pajjiż terz jew l-organizzazzjoni internazzjonali bil-ħsieb li tirrimedja s-sitwazzjoni li twassal għad-deċiżjoni meħuda skont il-paragrafu 5.

[…]

9. Id-deċiżjonijiet adottati mill-Kummissjoni abbażi tal-Artikolu 25(6) tad-Direttiva 95/46/KE għandhom jibqgħu fis-seħħ sakemm jiġu emendati, sostitwiti jew imħassra minn Deċiżjoni tal-Kummissjoni adottata f’konformità mal-paragrafu 3 jew 5 ta’ dan l-Artikolu.”

19.

L-Artikolu 46 tal-istess regolament, intitolat “Trasferimenti soġġetti għal salvagwardji xierqa”, huwa fformulat kif ġej:

“1. Fin-nuqqas ta’ deċiżjoni skont l-Artikolu 45(3), kontrollur jew proċessur jista’ jittrasferixxi data personali lejn pajjiż terz jew organizzazzjoni internazzjonali biss jekk il-kontrollur jew il-proċessur ikun ipprovda salvagwardji xierqa, u bil-kondizzjoni li jkunu disponibbli drittijiet infurzabbli tas-suġġett tad-data u rimedji legali effettivi għas-suġġetti tad-data.

2. Is-salvagwardji xierqa msemmija fil-paragrafu 1 jistgħu jkunu previsti, mingħajr ma jkun jinħtieġ ebda awtorizzazzjoni speċifika minn awtorità superviżorja, permezz ta’:

[…]

(c)	klawżoli standard ta’ protezzjoni tad-data adottati mill-Kummissjoni f’konformità mal-proċedura ta’ eżami msemmija fl-Artikolu 93(2);

[…]

5. L-awtorizzazzjonijiet minn Stat Membru jew awtorità superviżorja abbażi tal-Artikolu 26(2) tad-Direttiva 95/46/KE għandhom jibqgħu validi sakemm jiġu emendati, sostitwiti jew imħassra, jekk meħtieġ, minn dik l-awtorità superviżorja. Id-deċiżjonijiet adottati mill-Kummissjoni abbażi tal-Artikolu 26(4) tad-Direttiva 95/46/KE għandhom jibqgħu fis-seħħ sakemm jiġu emendati, sostitwiti jew imħassra, jekk meħtieġ, minn Deċiżjoni tal-Kummissjoni adottata f’konformità mal-paragrafu 2 ta’ dan l-Artikolu.”

20.

Skont l-Artikolu 58(2), (4) u (5) tal-GDPR:

“2. “Kull awtorità superviżorja għandu jkollha s-setgħat kollha korrettivi li ġejjin:

(a)	li toħroġ twissijiet lil kontrollur jew proċessur li l-operazzjonijiet ta’ pproċessar maħsuba x’aktarx jiksru dispożizzjonijiet ta’ dan ir-Regolament;

(b)	li ċċanfar kontrollur jew proċessur fejn l-operazzjonijiet ta’ pproċessar ikunu kisru dispożizzjonijiet ta’ dan ir-Regolament;

(c)	li tordna lill-kontrollur jew il-proċessur jikkonforma mat-talbiet tas-suġġett tad-data li jeżerċita d-drittijiet tiegħu skont dan ir-Regolament;

(d)	li tordna lill-kontrollur jew il-proċessur jagħmel operazzjonijiet ta’ pproċessar konformi mad-dispożizzjonijiet ta’ dan ir-Regolament, fejn xieraq, b’mod speċifiku u f’perijodu ta’ żmien speċifiku;

(e)	li tordna lill-kontrollur jikkomunika ksur ta’ data personali lis-suġġett tad-data;

(f)	li timponi limitazzjoni temporanja jew definittiva inkluża projbizzjoni fuq l-ipproċessar;

[…]

(i)	li timponi multa amministrattiva skont l-Artikolu 83, flimkien ma’, jew minflok il-miżuri msemmija f’dan il-paragrafu, skont iċ-ċirkostanzi ta’ kull każ individwali;

(j)	li tordna s-sospensjoni ta’ flussi ta’ data lejn riċevitur f’pajjiż terz jew lejn organizzazzjoni internazzjonali.

[…]

4. L-eżerċizzju tas-setgħat ikkonferiti lill-awtorità superviżorja skont dan l-Artikolu għandu jkun soġġett għal salvagwardji xierqa, inklużi r-rimedju ġudizzjarju effettiv u l-proċess ġust, stabbiliti fil-liġi tal-Unjoni u l-liġijiet tal-Istati Membri f’konformità mal-Karta.

5. Kull Stat Membru għandu jipprevedi bil-liġi li l-awtorità superviżorja tiegħu għandu jkollha s-setgħa li tiġbed l-attenzjoni tal-awtoritajiet ġudizzjarji għal ksur ta’ dan ir-Regolament u, fejn xieraq, tibda jew timpenja ruħha b’mod ieħor fi proċedimenti legali, sabiex tinforza d-dispożizzjonijiet ta’ dan ir-Regolament.”

C. Id-Deċiżjoni 2010/87

21.

L-Artikolu 26(4) tad-Direttiva 95/46 ta lok għall-adozzjoni mill-Kummissjoni ta’ tliet deċiżjonijiet li permezz tagħhom hija kkonstatat li l-klawżoli kuntrattwali standard stabbiliti fihom joffru salvagwardji suffiċjenti għall-protezzjoni tal-privatezza u tal-libertajiet u d-drittijiet fundamentali tal-individwi, kif ukoll għall-eżerċizzju tad-drittijiet korrispondenti (iktar ’il quddiem id-“Deċiżjonijiet KKS”) ( 9 ).

22.

Fost dawn hemm id-Deċiżjoni 2010/87, li l-Artikolu 1 tagħha jipprovdi li “[i]l-klawżoli kuntrattwali standard stabbiliti fl-Anness huma kkunsidrati bħala li joffru salvagwardji adegwati fir-rigward tal-protezzjoni tal-privatezza u d-drittijiet u l-libertajiet fondamentali tal-individwi u fir-rigward tal-eżerċizzju tad-drittijiet korrispondenti kif mitlub mill-Artikolu 26(2) tad-[Direttiva 95/46]”.

23.

Skont l-Artikolu 3 ta’ din id-deċiżjoni:

“Għall-finijiet ta’ din id-Deċiżjoni, għandhom japplikaw id-definizzjonijiet li ġejjin:

[…]

(c)	‘esportatur tad-data’ tfisser il-kontrollur li jitrasferixxi d-data personali;

(d)

‘importatur tad-data’ tfisser il-proċessur stabbilit f’pajjiż terz li jaqbel li jirċievi data personali mingħand l-esportatur tad-data li hija maħsuba għall-ipproċessar f’isem l-esportatur tad-data wara t-trasferiment skont l-istruzzjonijiet tiegħu u skont din id-Deċiżjoni u li m’huwiex soġġett għal sistema ta’ pajjiż terzi li tiżgura protezzjoni adegwata skont it-tifsira tal-Artikolu 25(1) tad-Direttiva 95/46/KE;

[…]

(f)

‘liġi applikabbli dwar il-protezzjoni tad-dejta’ tfisser il-leġiżlazzjoni li tipproteġi d-drittijiet u l-libertajiet fundamentali ta’ individwi u, b’mod partikolari, id-dritt tagħhom għall-privatezza fir-rigward tal-ipproċessar tad-dejta personali applikabbli għal kontrollur tad-dejta fl-Istat Membru fejn l-esportatur tad-dejta huwa stabbilit;

[…]”

24.

Fil-verżjoni inizjali tiegħu, l-Artikolu 4 tal-imsemmija deċiżjoni kien jipprevedi, fil-paragrafu 1 tiegħu:

“Mingħajr preġudizzju għall-poteri tagħhom biex jieħdu azzjoni sabiex jiżguraw konformità mad-dispożizzjonijiet nazzjonali adottati skont il-Kapitoli II, III, V u VI tad-Direttiva 95/46/KE, l-awtoritajiet kompetenti fl-Istati Membri jistgħu jeżerċitaw il-poteri eżistenti tagħhom biex jipprojbixxu jew jissospendu ċ-ċirkolazzjoni tad-dejta lil pajjiżi terzi sabiex jipproteġu lill-individwi fir-rigward tal-ipproċessar tad-dejta personali tagħhom f’każijiet fejn:

(a)

huwa stabbilit li l-liġi li l-importatur tad-dejta jew is-sottoproċessur huma soġġetti għaliha timponi fuqhom rekwiżiti li jidderogaw mil-liġi applikabbli dwar il-protezzjoni tad-dejta li jmorru lil hinn mir-restrizzjonijiet meħtieġa f’soċjetà demokratika kif stabbilit mill-Artikolu 13 tad-[Direttiva 95/46] fejn dawk ir-restrizzjonijiet aktarx ikollhom effett negattiv sostanzjali fuq il-garanziji mogħtijin mil-liġi dwar il-protezzjoni tad-dejta applikabbli u l-klawżoli kuntrattwali standard;

(b)	awtorità kompetenti tkun stabbiliet li l-importatur tad-dejta jew sottoproċessur ma jkunx irrispetta l-klawżoli kuntrattwali standard fl-Anness; jew

(c)	ikun hemm probabbiltà sostanzjali li l-klawżoli kuntrattwali standard fl-Anness mhumiex qegħdin jiġu mħarsa jew mhumiex sejrin jiġu mħarsa u l-issoktar tat-trasferiment jista’ joħloq riskju imminenti ta’ dannu gravi lis-suġġetti tad-dejta.”

25.

Fil-verżjoni attwali tiegħu, kif tirriżulta mill-emenda tad-Deċiżjoni 2010/87 permezz tad-Deċiżjoni ta’ Implimentazzjoni (UE) 2016/2297 ( 10 ), l-Artikolu 4 tad-Deċiżjoni 2010/87 jistabbilixxi li “[k]ull meta l-awtoritajiet kompetenti tal-Istati Membri jeżerċitaw is-setgħat tagħhom skont l-Artikolu 28(3) tad-[Direttiva 95/46] li jwasslu għas-sospensjoni jew il-projbizzjoni definittiva ta’flussi ta’ dejta lejn pajjiżi terzi sabiex jipproteġu individwi fir-rigward tal-ipproċessar tad-dejta personali tagħhom, l-Istati Membri kkonċernati għandhom, mingħajr dewmien, jgħarrfu lill-Kummissjoni li għandha tgħaddi l-informazzjoni lill-Istati Membri l-oħra.”

26.

L-Anness għad-Deċiżjoni 2010/87 jinkludi sensiela ta’ klawżoli kuntrattwali standard. B’mod partikolari, il-Klawżola 3 li tinsab f’dan l-Anness, intitolata “Il-klawżola tal-parti terza benefiċjarja”, tipprovdi:

“1. Is-suġġett tad-dejta jista’ jinforza kontra l-esportatur tad-dejta din il-Klawżola, Klawżola 4(b) sa (i), Klawżola 5(a) sa (e), u (g) sa (j),Klawżola 6(1) u (2), Klawżola 7, Klawżola 8(2), u Klawżoli 9 sa 12 bħala parti terza benefiċjarja.

2. Is-suġġett tad-dejta jista’ jinforza kontra l-esportatur tad-dejta din il-Klawżola, Klawżola 5(a) sa (e), u (g) sa (j), Klawżola 6, Klawżola 7, Klawżola 8(2), u Klawżoli 9 sa 12, f’każijiet fejn l-esportatur tad-dejta jkun fattwalment għeb jew ma jkunx għadu jeżisti legalment sakemm ma jkunx hemm entità suċċessur li tkun ħadet fuqha l-obbligi legali kollha tal-esportatur tad-dejta bil-kuntratt jew permezz tal-operat tal-liġi, u bħala riżultat ta’ dan tieħu fuqha d-drittijiet u l-obbligi tal-esportatur tad-dejta, f’liema każ is-suġġett tad-dejta jkun jista’ jinfurzahom kontra entità bħal din.

[…]”

27.

Il-Klawżola 4 stabbilita fl-imsemmi Anness, intitolata “Obbligi tal-esportatur tad-dejta”, tipprovdi:

“L-esportatur tad-dejta jaqbel u jiggarantixxi:

(a)

li l-ipproċessar, inkluż it-trasferiment innifsu, tad-dejta personali kien u se jibqa’ jitwettaq b’konformità mad-dispożizzjonijiet relevanti tal-liġi applikabbli dwar il-protezzjoni tad-dejta (u, fejn applikabbli, ġie nnotifikat lill-awtoritajiet relevanti tal-Istati Membri fejn ikun stabbilit l-esportatur tad-dejta) u ma jiksirx id-dispożizzjonijiet relevanti tal-Istat.

(b)

li hu ta struzzjonijiet u matul il-perjodu kollu tas-servizzi tal-ipproċessar tad-dejta se jagħti struzzjonijiet lill-importatur tad-dejta biex jipproċessa d-dejta personali trasferita biss f’isem l-esportatur tad-dejta u b’konformità mal-liġi applikabbli dwar il-protezzjoni tad-dejta u mal-Klawżoli;

(c)	li l-importatur tad-dejta għandu jipprovdi garanziji suffiċjenti fir-rigward tal-miżuri tekniċi u organizzattivi ta’ sigurtà speċifikati f’Appendiċi 2 ma’ dan il-kuntratt;

(d)

li wara l-valutazzjoni tal-liġi applikabbli dwar il-protezzjoni tad-dejta, il-miżuri ta’ sigurtà jkunu xierqa biex jipproteġu d-dejta personali kontra distruzzjoni aċċidentali jew kontra l-liġi jew telfien aċċidentali, tibdil, żvelar jew aċċess mhux awtorizzat, b’mod partikolari meta l-ipproċessar jinvolvi t-trażmissjoni tad-dejta fuq network, u kontra kull forma oħra ta’ pproċessar kontra l-liġi, u li dawn il-miżuri jiżguraw livell xieraq ta’ sigurtà għar-riskji ppreżentati mill-ipproċessar u n-natura tad-dejta li qed tiġi protetta b’kunsiderazzjoni għall-istat avvanzat u l-ispiża tal-implimentazzjoni tagħhom;

(e)	li hu jiżgura konformità mal-miżuri ta’ sigurtà;

(f)

li, jekk it-trasferiment jinvolvi kategoriji speċjali ta’ dejta, is-suġġett tad-dejta jkun ġie infurmat jew ikun se jiġi infurmat qabel, jew mill-aktar fis possibbli wara t-trasferiment li d-dejta tiegħu tista’ tiġi trażmessa lejn pajjiż terz u l-protezzjoni adegwata skont it-tifsira tad-[Direttiva 95/46] mhix provduta;

(g)	li jibgħat kwalunkwe notifika li tasal mill-importatur tad-dejta jew kwalunkwe sottoproċessur skont Klawżola 5(b) u Klawżola 8(3) lill-awtorità ta’ superviżjoni tal-protezzjoni tad-dejta jekk l-esportatur tad-dejta jiddeċiedi li jkompli bit-trasferiment jew li jneħħi s-sospensjoni.

(h)

li jagħmel disponibbli lis-suġġetti tad-dejta, fuq talba tagħhom kopja tal-Kawżoli, bl-eċċezzjoni tal-Appendiċi 2, kif ukoll deskrizzjoni fil-qosor tal-miżuri ta’ sigurtà, kif ukoll kopja ta’ kull kuntratt għas-servizzi ta’ sottoproċessar li għandu jsir skont il-Klawżoli, sakemm il-Klawżoli jew il-kuntratt ikun fihom informazzjoni kummerċjali, u f’dan il-każ tkun tista’ tneħħi informazzjoni kummerċjali bħal dan;

(i)	li, fil-każ ta’ sottoproċessar, l-attività ta’ pproċessar titwettaq b’konformità ma’ Klawżola 11 minn sottoproċessur fejn ikun provdut tal-anqas l-istess livell ta’ protezzjoni għad-dejta personali u d-drittijiet tas-suġġett tad-dejta bħala l-importatur tad-dejta taħt il-Klawżoli; kif ukoll

(j)	li hu jiżgura l-konformità ma’ Klawżola 4(a) sa (i).”

28.

Il-Klawżola 5 prevista fl-imsemmi Anness, intitolata “Obbligi tal-importatur tad-dejta (2)”, tgħid:

“L-importatur tad-dejta jaqbel u jiggarantixxi:

(a)

li jipproċessa d-dejta personali biss f’isem l-esportatur tad-dejta u b’konformità mal-istruzzjonijiet tiegħu u mal-Klawżoli; jekk hu ma jistax jipprovdi tali konformità, tkun liema raġuni tkun, hu jaqbel li jinforma fil-pront lill-esportatur tad-dejta bl-inkapaċità tiegħu li jikkonforma, f’liema każ l-esportatur tad-dejta jkun intitolat li jissospendi t-trasferiment tad-dejta u/jew jittermina l-kuntratt;

(b)

li m’għandu l-ebda raġuni għaliex jaħseb li l-leġiżlazzjoni applikabbli għalih twaqqfu milli jissodisfa l-istruzzjonijiet li jaslulu mill-esportatur tad-dejta u l-obbligi tiegħu skont il-kuntratt u li fil-każ ta’ tibdil fil-leġiżlazzjoni li hu mistenni li jkollha effetti negattivi sostanzjali fuq il-garanziji u l-obbligi pprovduta mill-Klawżoli, hu jinnotifika fil-pront lill-esportatur tad-dejta bit-tibdil hekk kif isir jaf, f’liema każ l-esportatur tad-dejta jkun intitolat li jissospendi t-trasferiment tad-dejta u/jew jittermina il-kuntratt;

(c)	li hu jkun implimenta l-miżuri tekniċi u organizzattivi ta’ sigurtà speċifikati f’Appendiċi 2 qabel ma jipproċessa d-dejta personali trasferita;

(d)

li hu jinnotifika fil-pront lill-esportatur tad-dejta dwar:

(i)	kwalunkwe talba li torbot legalment għall-iżvelar tad-dejta personali mill-awtorità tal-infurzar tal-liġi sakemm ma jkunx ipprojbit b’mod ieħor, bħal projbizzjoni taħt liġi kriminali biex jippriżerva l-kunfidenzjalità tal-investigazzjoni dwar l-infurzar tal-liġi;

(ii)	kwalunkwe aċċess aċċidentali jew mhux awtorizzat;

(iii)

kwalunkwe talba li tasal direttament mis-suġġetti tad-dejta mingħajr ma jwieġeb għal dik it-talba, sakemm ma jkunx awtorizzat mod ieħor biex jagħmel hekk;

(e)	li jitratta kif suppost u fil-pront il-mistoqsijiet kollha mill-esportatur tad-dejta relatati mal-ipproċessar tad-dejta personali suġġetta għat-trasferiment u li jimxi mal-pariri tal-awtorità tas-superviżjoni fir-rigward tal-ipproċessar tad-dejta trasferita;

(f)

li fuq it-talba tal-esportatur tad-dejta jissottometti l-faċilitajiet tiegħu għall-ipproċessar tad-dejta għall-verifika tal-attivitajiet ta’ pproċessar koperti mill-Klawżoli li għandhom jitwettqu mill-esportatur tad-dejta jew korp ta’ spezzjoni magħmul minn membri indipendenti u li għandhom il-kwalifiki professjonali meħtieġa marbuta bid-dover tal-kunfidenzjalità, magħżula mill-esportatur tad-dejta, fejn applikabbli, bi qbil mal-awtorità tas-superviżjoni;

[…]”

29.

Skont in-nota ta’ qiegħ il-paġna 2, li għaliha jirreferi t-titolu tal-Klawżola 5 li tinsab fl-Anness għad-Deċiżjoni 2010/87:

“Rekwiżiti mandatarji tal-liġi nazzjonali applikabbli għall-importatur tad-dejta li ma jmorrux lil hinn minn dak li hu meħtieġ f’soċjetà demokratika fuq il-bażi ta’ wieħed mill-interessi elenkati fl-Artikolu 13(1) tad-Direttiva [95/46], jiġifieri, jekk huma jikkostitwixxu miżura meħtieġa biex jissalvagwardjaw id-difiża tas-sigurtà nazzjonali, sigurtà pubblika, il-prevenzjoni, investigazzjoni, individwar u prosekuzzjoni ta’ reati kriminali jew ta’ ksur ta’ etika għall-professjonijiet irregolati, interess importanti ekonomiku u finanzjarju għall-Istat jew il-protezzjoni tas-suġġett tad-dejta jew id-drittijiet u l-libertajiet- tal-oħrajn, mhumiex f’kontradizzjoni mal-klawżoli kuntrattwali standard. Xi eżempji ta’ tali rekwiżiti mandatorji li ma jmorrux lil hinn minn dak li hu meħtieġ f’soċjetà demokratika huma, fost l-oħrajn, sanzjonijiet rikonoxxuti internazzjonalment, rekwiżiti ta’ rrappurtar tat-taxxa jew rekwiżiti ta’ rrappurtar ta’ ħasil tal-flus.”

30.

Il-Klawżola 6 li tinsab f’dan l-Anness, intitolata “Responsabbiltà”, hija fformulata kif ġej:

“1. Il-partijiet jaqblu li kwalunkwe suġġett tad-dejta, li sofra dannu bħala riżultat ta’ kwalunkwe ksur tad-dispożizzjonijiet imsemmijin fil-Klawżola 3 jew Klawżola 11 minn kwalunkwe parti jew sottoproċessur huwa intitolat li jirċievi kumpens mill-esportatur tad-dejta għad-dannu soffert.

2. Jekk suġġett tad-dejta ma jkunx jista’ jagħmel talba għall-kumpens skont il-paragrafu 1 kontra l-esportatur tad-dejta minħabba ksur min-naħa tal-importatur tad-dejta jew is-sottoproċessur tiegħu, jew kwalunkwe mill-obbligi tagħhom imsemmijin fi Klawżoli 3 jew fil-Klawżola 11 minħabba li l-esportatur tad-dejta jkun fattwalment għeb jew ma jkunx għadu jeżisti legalment jew ikun sar insolventi, l-importatur tad-dejta jaqbel li s-suġġett tad-dejta jista’ jiftaħ pretensjoni kontra l-importatur tad-dejta daqslikieku kien l-esportatur tad-dejta, sakemm ma jkunx hemm entità suċċessur li tkun ħadet fuqha l-obbligi legali kollha tal-esportatur tad-dejta bil-kuntratt jew permezz ta’ operat tal-liġi, f’liema każ is-suġġett tad-dejta jista’ jinforza d-drittijiet tiegħu kontra entità bħal din.

[…]”

31.

Il-Klawżola 7 stabbilita fl-imsemmi Anness, intitolata “Medjazzjoni u ġuriżdizzjoni”, tipprovdi:

“1. L-importatur tad-dejta jaqbel li jekk is-suġġett tad-dejta jinvoka kontrieh id-drittijiet tal-parti terza benefiċjarja u/jew pretensjonijiet għal kumpens minħabba ħsarat taħt il-Klawżoli, l-importatur tad-dejta jaċċetta d-deċiżjoni tas-suġġett tad-dejta:

(a)	li jirreferi t-tilwima għal medjazzjoni, permezz ta’ persuna indipendenti jew, fejn applikabbli, permezz ta’ awtorità ta’ superviżjoni;

(b)	li jirreferi t-tilwima lill-qrati fl-Istat Membru li fih ikun stabbilit l-esportatur tad-dejta.

2. Il-partijiet jaqblu li l-għażla magħmula mis-suġġett tad-dejta ma tippreġudikax id-drittijiet sostantivi u proċedurali tiegħu li jfittex rimedji skont dispożizzjonijiet oħrajn tal-liġi nazzjonali jew internazzjonali.”

32.	Il-Klawżola 9 li tinsab fl-istess Anness, intitolata “Liġi Regolatorja”, tipprevedi li l-klawżoli kuntrattwali standard għandhom ikunu rregolati mid-dritt tal-Istat Membru fejn l-esportatur tad-data huwa stabbilit.

D. Id-Deċiżjoni “Ħarsien tal-privatezza”

33.

L-Artikolu 25(6) tad-Direttiva 95/46 serva bħala bażi għall-adozzjoni mill-Kummissjoni ta’ żewġ deċiżjonijiet suċċessivi li permezz tagħhom hija kkonstatat li l-Istati Uniti jiżguraw livell adegwat ta’ protezzjoni tad-data personali ttrasferita lejn impriżi stabbiliti fl-Istati Uniti li ddikjaraw li jaderixxu, permezz ta’ proċedura ta’ awtoċertifikazzjoni, mal-prinċipji stipulati f’dawk id-deċiżjonijiet.

34.

Fl-ewwel lok, il-Kummissjoni adottat id-Deċiżjoni 2000/520/KE dwar l-adegwatezza tal-protezzjoni pprovduta mill-prinċipji tal-privatezza ta’ port salv u li tirrigwarda mistoqsijiet li jsiru ta’ spiss maħruġa mid-Dipartiment tal-Kummerċ tal-USA ( 11 ). Fis-sentenza tas‑6 ta’ Ottubru 2015, Schrems ( 12 ), il-Qorti tal-Ġustizzja ddikjarat din id-deċiżjoni bħala invalida.

35.	Fit-tieni lok, wara dik is-sentenza, il-Kummissjoni adottat id-Deċiżjoni “Ħarsien tal-privatezza”.

36.

L-Artikolu 1 ta’ din id-deċiżjoni jipprovdi:

“1. Għall-finijiet tal-Artikolu 25(2) tad-[Direttiva 95/46], l-Istati Uniti jiżguraw livell adegwat ta’ protezzjoni għad-dejta personali ttrasferita mill-Unjoni lil organizzazzjonijiet fl-Istati Uniti permezz tal-Ħarsien tal-Privatezza UE-U.S.

2. Il-Ħarsien tal-Privatezza UE-U.S. huwa kkostitwit mill-Prinċipji maħruġa mid-Dipartiment tal-Kummerċ tal-Istati Uniti fis-7 ta’ Lulju 2016 kif stabbilit fl-Anness II u d-dikjarazzjonijiet u l-impenji uffiċjali li jinsabu fid-dokumenti elenkati fl-Annessi I, III sa VI.

3. Għall-finijiet tal-paragrafu 1, id-dejta personali hija ttrasferita taħt il-Ħarsien tal-Privatezza UE-U.S. meta tiġi ttrasferita mill-Unjoni lil organizzazzjonijiet fl-Istati Uniti li huma inklużi fil-“Lista tal-Ħarsien tal-Privatezza”, miżmuma u magħmula disponibbli għall-pubbliku mid-Dipartiment tal-Kummerċ tal-Istati Uniti, f’konformità mat-Taqsimiet I u III tal-Prinċipji stabbiliti fl-Anness II.”

37.

L-Anness IIIA għal din id-deċiżjoni, intitolat “Mekkaniżmu tal-Ombudsman tal-Ħarsien tal-Privatezza UE-U.S. dwar l-intelligence ta’ sinjali”, mehmuża ma’ ittra ta’ John Kerry, li dak iż-żmien kien Secretary of State (Segretarju tal-Istat, l-Istati Uniti), iddatata s-7 ta’ Lulju 2016, jinkludi memorandum li jiddeskrivi mekkaniżmu ġdid ta’ Ombudsman quddiem “Koordinatur Għoli għad-Diplomazija Internazzjonali fit-Teknoloġija tal-Informazzjoni” (iktar ’il quddiem l-“Ombudsman”) maħtur mis-Segretarju tal-Istat.

38.

Skont dan il-memorandum, dan il-mekkaniżmu ġie stabbilit “biex jiffaċilita l-ipproċessar ta’ talbiet dwar l-aċċess tas-sigurtà nazzjonali għal dejta trażmessa mill-UE lejn l-Istati Uniti skont il-Ħarsien tal-Privatezza, klawżoli kuntrattwali xierqa (SCCs), regoli korporattivi vinkolanti (BCRs), ‘Derogi’, jew ‘Derogi Futuri Possibbli’, permezz ta’ possibbiltajiet stabbiliti skont il-liġijiet u l-politika applikabbli tal-Istati Uniti, u r-risposta għal dawk it-talbiet”.

III. Il-kawża prinċipali, id-domandi preliminari u l-proċedimenti quddiem il-Qorti tal-Ġustizzja

39.

M. Schrems, ċittadin Awstrijak residenti fl-Awstrija, huwa utent tan-netwerk soċjali Facebook. L-utenti kollha ta’ dan in-netwerk soċjali residenti fit-territorju tal-Unjoni jridu jikkonkludu, meta jirreġistraw, kuntratt ma’ Facebook Ireland, sussidjarja ta’ Facebook Inc., li hija stabbilita fl-Istati Uniti. Id-data personali kollha ta’ dawn l-utenti, jew parti minnha, hija ttrasferita lejn servers li huma proprjetà ta’ Facebook Inc., u li jinsabu fit-territorju tal-Istati Uniti, fejn tiġi pproċessata.

40.

Fil‑25 ta’ Ġunju 2013, M. Schrems ressaq ilment quddiem id-DPC li fih essenzjalment talbu biex jipprojbixxi lil Facebook Ireland milli tittrasferixxi d-data personali tiegħu lejn l-Istati Uniti. Fl-ilment huwa sostna li d-dritt u l-prattiki fis-seħħ f’dan l-Istat terz ma kinux jiżguraw protezzjoni suffiċjenti tad-data personali miżmuma fit-territorju tiegħu kontra l-indħil mill-attivitajiet ta’ sorveljanza mwettqa mill-awtoritajiet pubbliċi. F’dan ir-rigward M. Schrems irrefera għar-rivelazzjonijiet magħmula minn Edward Snowden dwar l-attivitajiet tas-servizzi tal-intelligence tal-Istati Uniti u, b’mod partikolari, dawk tan-National Security Agency (NSA) (l-Aġenzija tas-Sigurtà Nazzjonali, l-Istati Uniti).

41.

Dan l-ilment ġie miċħud għar-raġuni, b’mod partikolari, li kwalunkwe kwistjoni dwar l-adegwatezza tal-protezzjoni żgurata fl-Istati Uniti kellha tiġi deċiża skont id-Deċiżjoni “Port Salv”. F’din id-deċiżjoni, il-Kummissjoni kienet ikkonstatat li dan il-pajjiż terz kien joffri livell adegwat ta’ protezzjoni tad-data personali ttrasferita lejn impriżi li jinsabu fit-territorju tiegħu u li jaderixxi mal-prinċipji stabbiliti fl-imsemmija deċiżjoni.

42.

M. Schrems ippreżenta rikors kontra d-deċiżjoni ta’ ċaħda tal-ilment tiegħu quddiem il-High Court (il-Qorti Għolja). Dik il-qorti qieset li, għalkemm M. Schrems ma kkontestax formalment il-validità tad-Deċiżjoni “Port Salv”, l-ilment tiegħu, fil-verità, kien jiddenunzja l-legalità tal-iskema istitwita minn din id-deċiżjoni. F’dawn iċ-ċirkustanzi, l-imsemmija qorti għamlet domandi lill-Qorti tal-Ġustizzja sabiex, essenzjalment, tistaqsi jekk l-awtoritajiet tal-Istati Membri responsabbli mill-protezzjoni tad-data (iktar ’il quddiem l-“awtoritajiet superviżorji”), meta jaslilhom ilment dwar il-protezzjoni tad-drittijiet u l-libertajiet ta’ persuna fir-rigward tal-ipproċessar ta’ data personali dwarha li ġiet ittrasferita lejn Stat terz, humiex marbuta bil-konstatazzjonijiet dwar l-adegwatezza tal-livell ta’ protezzjoni offrut minn dak l-Istat terz magħmula mill-Kummissjoni taħt l-Artikolu 25(6) tad-Direttiva 95/46, minkejja li l-lanjant jikkontesta dawn il-konstatazzjonijiet.

43.

Wara li ddeċidiet, fil-punti 51 u 52 tas-sentenza Schrems, li deċiżjoni ta’ adegwatezza torbot lill-awtoritajiet superviżorji sakemm din ma tkunx ġiet iddikjarata invalida, il-Qorti tal-Ġustizzja ddikjarat dan li ġej fil-punti 63 u 65 ta’ dik is-sentenza:

“63. […] [M]eta persuna, li d-data personali tagħha ġiet jew tista’ tiġi ttrasferita lejn pajjiż terz li kien is-suġġett ta’ deċiżjoni tal-Kummissjoni abbażi tal-Artikolu 25(6) tad-Direttiva 95/46, tressaq quddiem awtorità nazzjonali ta’ superviżjoni talba dwar il-protezzjoni tad-drittijiet u tal-libertajiet tagħha fir-rigward tal-ipproċessar ta’ din id-data personali u tikkontesta, fil-kuntest tal-imsemmija talba […] il-kompatibbiltà tad-deċiżjoni inkwistjoni mal-protezzjoni tal-ħajja privata u tal-libertajiet u tad-drittijiet fundamentali tal-persuni, din l-awtorità għandha teżamina l-imsemmija talba bid-diliġenza kollha meħtieġa.

[…]

65. Fil-każ […] fejn l-imsemmija awtorità tqis li l-ilmenti [ta’ dik il-persuna] huma fondati, din l-istess awtorità għandu jkollha, skont it-tielet inċiż tal-ewwel subparagrafu tal-Artikolu 28(3) tad-Direttiva 95/46, moqri b’mod partikolari fid-dawl tal-Artikolu 8(3) tal-Karta, locus standi in judicio. F’dan ir-rigward, huwa l-leġiżlatur nazzjonali li għandu jipprevedi rimedji sabiex l-awtorità nazzjonali ta’ superviżjoni kkonċernata tkun tista’ tinvoka l-ilmenti li hija tqis fondati quddiem il-qrati nazzjonali sabiex dawn ikunu jistgħu jressqu, fil-każ li jkollhom l-istess dubji bħal dawk ta’ din l-awtorità dwar il-validità tad-deċiżjoni tal-Kummissjoni, talba għal deċiżjoni preliminari għall-finijiet tal-eżami tal-validità tal-imsemmija deċiżjoni.”

44.	Il-Qorti tal-Ġustizzja eżaminat ukoll, fl-imsemmija sentenza, il-validità tad-Deċiżjoni “Port Salv” fid-dawl tar-rekwiżiti li jirriżultaw mid-Direttiva 95/46, moqrija fid-dawl tal-Karta. Fi tmiem dan l-eżami, hija ddikjarat din id-deċiżjoni invalida ( 13 ).

45.

Wara s-sentenza Schrems, il-qorti tar-rinviju annullat id-deċiżjoni li permezz tagħha d-DPC kien ċaħad l-ilment ta’ M. Schrems u reġgħet irreferietu lid-DPC għal eżami. Dan tal-aħħar fetaħ investigazzjoni u stieden lil M. Schrems jifformula l-ilment tiegħu mill-ġdid minħabba l-invalidazzjoni tad-Deċiżjoni “Port Salv”.

46.

Għal dan l-għan, M. Schrems talab lil Facebook Ireland tidentifika l-bażijiet legali li fuqhom huma bbażati t-trasferimenti mill-Unjoni lejn l-Istati Uniti tad-data personali tal-utenti tan-netwerk soċjali Facebook. Facebook Ireland, mingħajr ma identifikat il-bażijiet legali kollha li hija tibbaża ruħha fuqhom, irreferiet għal ftehim ta’ trasferiment u ta’ pproċessar ta’ data (data transfer processing agreement) konkluż bejnha u Facebook Inc., applikabbli mill‑20 ta’ Novembru 2015, u invokat id-Deċiżjoni 2010/87.

47.

Fl-ilment ifformulat mill-ġdid tiegħu, M. Schrems jargumenta, minn naħa, li l-klawżoli li jinsabu f’dan il-ftehim ma humiex konformi mal-klawżoli kuntrattwali standard li jinsabu fl-Anness għad-Deċiżjoni 2010/87. Min-naħa l-oħra, M. Schrems jallega li dawn il-klawżoli kuntrattwali standard, fi kwalunkwe każ, ma jistgħux jikkostitwixxu l-bażi tat-trasferiment tad-data personali tiegħu lejn l-Istati Uniti. Dan minħabba l-fatt li d-dritt Amerikan jimponi fuq Facebook Inc. li tagħmel id-data personali tal-utenti disponibbli għal awtoritajiet Amerikani, bħan-NSA u l-Federal Bureau of Investigation (FBI) (l-Uffiċċju Federali tal-Investigazzjoni, l-Istati Uniti), bħala parti mill-programmi ta’ sorveljanza li jxekklu l-eżerċizzju tad-drittijiet iggarantiti mill-Artikoli 7, 8 u 47 tal-Karta. M. Schrems jallega li l-ebda rimedju ġudizzjarju ma jippermetti lill-persuni kkonċernati li jinvokaw id-drittijiet tagħhom għar-rispett tal-privatezza u għall-protezzjoni tad-data personali. F’dawn iċ-ċirkustanzi, M. Schrems jitlob lid-DPC jissospendi dan it-trasferiment skont l-Artikolu 4 tad-Deċiżjoni 2010/87.

48.

Facebook Ireland irrikonoxxiet, fil-kuntest tal-investigazzjoni tad-DPC, li hija għadha tittrasferixxi d-data personali tal-utenti tan-netwerk soċjali Facebook residenti fl-Unjoni lejn l-Istati Uniti u li, għal dan l-għan, hija tibbaża ruħha fil-parti l-kbira fuq il-klawżoli kuntrattwali standard li jinsabu fl-Anness għad-Deċiżjoni 2010/87.

49.

L-għan tal-investigazzjoni tad-DPC kien li jiġi ddeterminat, minn naħa, jekk l-Istati Uniti jiżgurawx protezzjoni adegwata tad-data personali taċ-ċittadini tal-Unjoni u, min-naħa l-oħra, jekk le, jekk id-Deċiżjonijiet KKS jipprovdux salvagwardji suffiċjenti f’dak li jirrigwarda l-protezzjoni tal-libertajiet u tad-drittijiet fundamentali ta’ dawn tal-aħħar.

50.

F’dan ir-rigward, f’abbozz ta’ deċiżjoni (draft decision), id-DPC ikkunsidra provviżorjament li d-dritt Amerikan ma joffrix rimedji ġudizzjarji effettivi fis-sens tal-Artikolu 47 tal-Karta liċ-ċittadini tal-Unjoni li d-data tagħhom tiġi ttrasferita lejn l-Istati Uniti, fejn din tista’ tiġi pproċessata mill-aġenziji Amerikani għal skopijiet ta’ sigurtà nazzjonali b’mod li ma huwiex kompatibbli mal-Artikoli 7 u 8 tal-Karta. Is-salvagwardji previsti mill-klawżoli li jinsabu fl-Anness għad-Deċiżjonijiet KKS ma jirrimedjawx dan in-nuqqas, peress li ma jorbtux lill-awtoritajiet jew lill-aġenziji tal-Istati Uniti u joffru biss lill-persuni kkonċernati drittijiet kuntrattwali kontra l-esportatur u/jew l-importatur tad-data.

51.

F’dawn iċ-ċirkustanzi, id-DPC qies li ma setax jiddeċiedi dwar l-ilment ta’ M. Schrems qabel ma l-Qorti tal-Ġustizzja teżamina l-validità tad-Deċiżjonijiet KKS. Konformement ma’ dak li jipprevedi l-punt 65 tas-sentenza Schrems, id-DPC, għalhekk, fetaħ proċedimenti quddiem il-qorti tar-rinviju intiżi biex din tal-aħħar tressaq talba għal deċiżjoni preliminari dwar il-validità ta’ dawn id-deċiżjonijiet quddiem il-Qorti tal-Ġustizzja, fil-każ li jkollha l-istess dubji tad-DPC.

52.	Il-Gvern tal-Istati Uniti, l-Electronic Privacy Information Centre (EPIC), il-Business Software Alliance (BSA) u Digitaleurope ġew awtorizzati jintervjenu quddiem il-qorti tar-rinviju.

53.

Sabiex tiddetermina jekk tikkondividix id-dubji espressi mid-DPC dwar il-validità tad-Deċiżjonijiet KKS, il-High Court (il-Qorti Għolja) laqgħet il-provi prodotti mill-partijiet fil-kawża u semgħet l-argumenti ppreżentati minnhom kif ukoll mill-intervenjenti. B’mod partikolari, id-dispożizzjonijiet tad-dritt tal-Istati Uniti kienu s-suġġett tal-provi prodotti minn esperti. Fid-dritt Irlandiż, id-dritt barrani huwa meqjus bħala punt ta’ fatt li għandu jiġi stabbilit mill-provi bħal kwalunkwe fatt ieħor. Abbażi ta’ dawn il-provi, il-qorti tar-rinviju evalwat id-dispożizzjonijiet tad-dritt tal-Istati Uniti li jawtorizzaw is-sorveljanza mill-awtoritajiet u l-aġenziji governattivi, il-funzjonament taż-żewġ programmi ta’ sorveljanza rrikonoxxuti pubblikament (“PRISM” u “Upstream”), id-diversi rimedji disponibbli għall-individwi li d-drittijiet tagħhom ikunu ġew miksura minn miżuri ta’ sorveljanza, kif ukoll is-salvagwardji sistemiċi u l-mekkaniżmi ta’ superviżjoni. Dik il-qorti rreġistrat ir-riżultati ta’ din l-evalwazzjoni f’sentenza tat‑3 ta’ Ottubru 2017, annessa għad-digriet tar-rinviju tagħha (iktar ’il quddiem is-“sentenza tal-High Court (il-Qorti Għolja) tat‑3 ta’ Ottubru 2017”).

54.

F’dik is-sentenza, il-qorti tar-rinviju rreferiet, fost il-bażijiet legali li jawtorizzaw l-interċettazzjoni ta’ komunikazzjonijiet barranin mis-servizzi tal-intelligence Amerikani, għall-Artikolu 702 tal-Foreign Intelligence Surveillance Act (FISA) (il-Liġi dwar is-Sorveljanza fil-qasam tal-Intelligence Barranija) u għall-Executive Order 12333 (l-Ordni Eżekuttiva Nru 12333, iktar ’il quddiem l-“EO 12333”).

55.

Skont il-konstatazzjonijiet magħmula fl-imsemmija sentenza, l-Artikolu 702 tal-FISA jippermetti lill-Attorney General (l-Avukat Ġenerali, l-Istati Uniti) u lid-Director of National Intelligence (DNI) (id-Direttur tal-Intelligence Nazzjonali, l-Istati Uniti) jawtorizzaw b’mod konġunt, għal perijodu ta’ sena, bl-għan li jiksbu informazzjoni ta’ intelligence barranija, is-sorveljanza ta’ persuni li ma humiex ċittadini Amerikani u li ma humiex residenti permanenti fl-Istati Uniti (imsejħa “persuni mhux Amerikani”) meta jkun raġonevoli li wieħed jaħseb li jinsabu barra mit-territorju tal-Istati Uniti ( 14 ). Skont il-FISA, il-kunċett ta’ “intelligence barranija” jirreferi għall-informazzjoni dwar il-kapaċità tal-Gvern li jipproteġi lilu nnifsu mill-attakki tal-barranin, it-terroriżmu, il-proliferazzjoni tal-armi ta’ qerda tal-massa kif ukoll il-kondotta tal-affarijiet barranin tal-Istati Uniti ( 15 ).

56.

Dawn l-awtorizzazzjonijiet annwali, kif ukoll il-proċeduri li jirregolaw l-immirar fuq il-persuni li jridu jiġu ssorveljati u l-ipproċessar (“minimisation”) tal-informazzjoni miġbura ( 16 ), iridu jiġu approvati mill-Foreign Intelligence Surveillance Court (FISC) (il-Qorti tas-Sorveljanza tal-Intelligence Barranija, l-Istati Uniti). Filwaqt li s-sorveljanza “tradizzjonali” imwettqa abbażi ta’ dispożizzjonijiet oħrajn tal-FISA teħtieġ li tiġi stabbilita “kawża probabbli” biex il-persuni ssorveljati jiġu ssuspettati li jappartjenu għal xi potenza barranija jew li huma l-aġenti tagħha, l-attivitajiet ta’ sorveljanza mwettqa taħt l-Artikolu 702 tal-FISA la huma suġġetti għall-istabbiliment ta’ tali “kawża probabbli” u lanqas għall-approvazzjoni mill-FISC tal-immirar ta’ persuni speċifiċi. Barra minn hekk, dejjem skont il-konstatazzjonijiet tal-qorti tar-rinviju, il-proċeduri ta’ minimizzazzjoni ma japplikawx għall-persuni mhux Amerikani li jinsabu barra mill-Istati Uniti.

57.

Fil-prattika, ladarba tingħata l-awtorizzazzjoni mill-FISC, in-NSA tibgħat lil fornituri tas-servizzi ta’ komunikazzjonijiet elettroniċi stabbiliti fl-Istati Uniti direttivi li jinkludu kriterji ta’ riċerka, imsejħa “seletturi”, assoċjati ma’ persuni fil-mira (bħal numri tat-telefon jew indirizzi elettroniċi). Dawn il-fornituri mbagħad huma obbligati jibagħtu d-data korrispondenti għas-seletturi lin-NSA u jridu jżommu sigrieti d-direttivi mibgħuta lilhom. Huma jistgħu jressqu talba quddiem il-FISC sabiex din temenda jew twarrab direttiva tan-NSA. Id-deċiżjoni tal-FISC tista’ tiġi appellata quddiem il-Foreign Intelligence Surveillance Court of Review (FISCR) (il-Qorti ta’ Rieżami tas-Sorveljanza tal-Intelligence Barranija, l-Istati Uniti).

58.	Il-High Court (il-Qorti Għolja) ikkonstatat li l-Artikolu 702 tal-FISA jservi bħala bażi legali għall-programmi PRISM u Upstream.

59.

Bħala parti mill-programm PRISM, il-fornituri tas-servizz ta’ komunikazzjonijiet elettroniċi huma obbligati jissottomettu lin-NSA il-komunikazzjonijiet kollha “li ġejjin minn” jew “huma diretti lejn” is-selettur indikat minn din tal-aħħar. Parti minn dawn il-komunikazzjonijiet tintbagħat lill-FBI u lis-Central Intelligence Agency (CIA) (l-Aġenzija Ċentrali tal-Intelligence, l-Istati Uniti). Fl‑2015, 94386 persuna allegatament kienu ssorveljati u, fl‑2011, il-Gvern tal-Istati Uniti kiseb iktar minn 250 miljun komunikazzjoni taħt dan il-programm.

60.

Il-programm Upstream huwa bbażat fuq l-appoġġ obbligatorju tal-impriżi li jużaw id-“dorsali”, jiġifieri n-netwerk ta’ kejbils, switches u routers, li fuqhom jgħaddu t-telefonati u l-komunikazzjonijiet bl-internet. Dawn l-impriżi huma obbligati jippermettu lin-NSA tikkopja u tiskrinja l-flussi tat-traffiku tal-internet sabiex tikseb komunikazzjonijiet “li ġejjin minn”, “huma diretti lejn” jew “li jirrigwardaw” selettur imsemmi f’direttiva ta’ din l-aġenzija. Il-komunikazzjonijiet “li jirrigwardaw” selettur jindikaw dawk li jirreferu għal dak is-selettur, mingħajr ma l-persuna mhux Amerikana assoċjata ma’ dak is-selettur neċessarjament tipparteċipa fihom. Għalkemm jirriżulta minn opinjoni tal-FISC tas‑26 ta’ April 2017 li, minn dakinhar, il-Gvern Amerikan ma għadux jiġbor u jikseb komunikazzjonijiet “li jirrigwardaw” selettur, din l-opinjoni ma tindikax li n-NSA waqfet tikkopja u tiskrinja l-flussi ta’ komunikazzjonijiet li jgħaddu mis-sistema ta’ sorveljanza tagħha. Il-programm Upstream jidher li jinvolvi għalhekk l-aċċess min-NSA kemm għall-metadata kif ukoll għall-kontenut tal-komunikazzjonijiet. Mill‑2011 ’l hawn, jidher li n-NSA ġabret madwar 26.5 miljun komunikazzjoni fis-sena bħala parti mill-programm Upstream, li madankollu jirrappreżenta biss parti żgħira mill-komunikazzjonijiet li jiġu skrinjati taħt dan il-programm.

61.

Barra minn hekk, skont il-konstatazzjonijiet tal-High Court (il-Qorti Għolja), l-EO 12333 tawtorizza s-sorveljanza ta’ komunikazzjonijiet elettroniċi barra mit-territorju tal-Istati Uniti billi tippermetti l-aċċess, għal skopijiet ta’ intelligence barranija, għal data jew “fi tranżitu” lejn dak it-territorju, jew “li qiegħda tittranżita” minn dak it-territorju mingħajr ma hija intiża li tiġi pproċessata hemmhekk, kif ukoll il-ġbir u ż-żamma ta’ dik id-data. L-EO 12333 tiddefinixxi l-kunċett ta’ “intelligence barranija” bħala li jinkludi l-informazzjoni dwar il-kapaċitajiet, l-intenzjonijiet jew l-attivitajiet ta’ gvernijiet barranin, ta’ organizzazzjonijiet barranin jew ta’ persuni barranin ( 17 ).

62.

L-EO 12333 tawtorizza lin-NSA taċċessa l-kejbils sottomarini li jinsabu fil-qiegħ tal-Oċean Atlantiku u li permezz tagħhom id-data tiġi ttrasferita mill-Unjoni lejn l-Istati Uniti, qabel ma dik id-data tasal l-Istati Uniti u għalhekk qabel ma tkun suġġetta għad-dispożizzjonijiet tal-FISA. Madankollu, ma teżisti l-ebda prova dwar xi programm implimentat taħt dik l-ordni eżekuttiva.

63.

Għalkemm l-EO 12333 tipprevedi limiti dwar il-ġbir, iż-żamma u t-tixrid tal-informazzjoni, dawn il-limiti ma japplikawx għall-persuni mhux Amerikani. Dawn tal-aħħar jibbenefikaw biss mis-salvagwardji stipulati mill-Presidential Policy Directive 28 (id-Direttiva Strateġika Presidenzjali Nru 28, iktar ’il quddiem il-“PPD 28”), li tapplika għall-attivitajiet kollha ta’ ġbir u ta’ użu ta’ informazzjoni ta’ intelligence barranija ta’ oriġini elettromanjetika. Il-PPD 28 tiddikjara li r-rispett tal-privatezza huwa parti integrali tal-kunsiderazzjonijiet li għandhom jitqiesu waqt l-ippjanar ta’ dawn l-attivitajiet, li l-ġbir għandu jsir biss bl-iskop li tinkiseb informazzjoni ta’ intelligence barranija kif ukoll ta’ kontrospjunaġġ, u li dawn l-attivitajiet għandhom ikunu “kemm jista’ jkun immirati”.

64.	Skont il-qorti tar-rinviju, l-attivitajiet tan-NSA ibbażati fuq l-EO 12333, li tista’ tiġi emendata jew irrevokata f’kull ħin mill-President tal-Istati Uniti, ma humiex irregolati mil-liġi, u ma humiex suġġetti għas-superviżjoni ġudizzjarja jew għal rimedji ġudizzjarji.

65.	Abbażi ta’ dawn il-konstatazzjonijiet, dik il-qorti tikkunsidra li l-Istati Uniti jipproċessaw data personali fi kwantitajiet kbar u b’mod indiskriminat, li jista’ jesponi lill-persuni kkonċernati għal riskju ta’ ksur tad-drittijiet li għandhom taħt l-Artikoli 7 u 8 tal-Karta.

66.

Barra minn hekk, l-imsemmija qorti tindika li ċ-ċittadini tal-Unjoni ma għandhomx aċċess għall-istess rimedji ġudizzjarji kontra l-ipproċessar illegali tad-data personali tagħhom mill-awtoritajiet Amerikani bħaċ-ċittadini Amerikani. Ir-raba’ emenda tal-Kostituzzjoni tal-Istati Uniti, li tikkostitwixxi l-iktar protezzjoni importanti kontra s-sorveljanza illegali, ma hijiex applikabbli għaċ-ċittadini tal-Unjoni li ma għandhomx konnessjoni volontarja sinjifikattiva mal-Istati Uniti. Għalkemm dawn tal-aħħar għandhom madankollu ċerti rimedji oħrajn, dawn jaffaċċjaw ostakoli kbar.

67.

B’mod partikolari, l-Artikolu III tal-Kostituzzjoni tal-Istati Uniti jissuġġetta kwalunkwe rikors quddiem il-qrati federali għall-istabbiliment mill-persuna kkonċernata tal-locus standi tagħha (standing). Il-locus standi jissupponi, b’mod partikolari, li din il-persuna turi li ġarrbet ħsara reali li tkun, minn naħa, konkreta u personali u, min-naħa l-oħra, attwali jew imminenti. Waqt li tirreferi, fost l-oħrajn, għas-sentenza tas-Supreme Court of the United States (il-Qorti Suprema tal-Istati Uniti), Clapper vs Amnesty International US ( 18 ), il-qorti tar-rinviju tikkunsidra li, fil-prattika, huwa eċċessivament diffiċli li din il-kundizzjoni tiġi ssodisfatta, fid-dawl, b’mod partikolari, tal-assenza ta’ kwalunkwe obbligu li l-persuni kkonċernati jiġu informati dwar il-miżuri ta’ sorveljanza meħuda fil-konfront tagħhom ( 19 ). Parti mir-rimedji disponibbli għaċ-ċittadini tal-Unjoni hija, barra minn hekk, suġġetta għall-osservanza ta’ kundizzjonijiet restrittivi oħrajn, bħall-ħtieġa li jiġi stabbilit dannu pekunjarju. L-immunità sovrana mogħtija lill-aġenziji tal-intelligence u l-klassifikazzjoni tal-informazzjoni kkonċernata jostakolaw ukoll l-eżerċizzju ta’ ċerti rimedji ġudizzjarji ( 20 ).

68.	Il-High Court (il-Qorti Għolja) issemmi, barra minn hekk, diversi mekkaniżmi ta’ stħarriġ u ta’ superviżjoni tal-attivitajiet tal-aġenziji tal-intelligence.

69.

Fosthom hemm, minn naħa, il-mekkaniżmu ta’ ċertifikazzjoni annwali mill-FISC tal-programmi bbażati fuq l-Artikolu 702 tal-FISA, li fih, madankollu, il-FISC ma tapprovax is-seletturi individwali. Barra minn hekk, ma hemm l-ebda stħarriġ ġudizzjarju minn qabel fuq il-ġbir tal-informazzjoni ta’ intelligence barranija taħt l-EO 12333.

70.

Min-naħa l-oħra, il-qorti tar-rinviju tirreferi għal diversi mekkaniżmi ta’ superviżjoni ekstraġudizzjarja tal-attivitajiet ta’ intelligence. Hija ssemmi, b’mod partikolari, ir-rwol tal-Inspectors General (l-Ispetturi Ġenerali, l-Istati Uniti) li huma inkarigati mis-superviżjoni tal-attivitajiet ta’ sorveljanza fi ħdan kull aġenzija tal-intelligence. Barra minn hekk, il-Privacy and Civil Liberties Oversight Board (PCLOB) (il-Kunsill ta’ Sorveljanza tal-Privatezza u tal-Libertajiet Ċivili, l-Istati Uniti), aġenzija indipendenti fi ħdan is-setgħa eżekuttiva, jirċievi r-rapporti minn persuni maħtura f’kull aġenzija bħala uffiċjali tal-libertajiet ċivili jew tal-privatezza (civil liberties or privacy officers). Il-PCLOB iħejji rapporti b’mod regolari indirizzati lill-kumitati parlamentari u lill-President. L-aġenziji kkonċernati jridu jirrapportaw l-inċidenti dwar in-nuqqas ta’ osservanza tar-regoli u tal-proċeduri li jirregolaw il-ġbir tal-intelligence barranija, b’mod partikolari, lid-DNI. Dawn l-inċidenti jiġu rrapportati wkoll lill-FISC. Il-Kungress tal-Istati Uniti, permezz tal-kumitati tal-intelligence tal-Kamra u tas-Senat, ukoll għandu r-responsabbiltà li jikkontrolla l-attivitajiet ta’ intelligence barranija.

71.

Madankollu, il-High Court (il-Qorti Għolja) tenfasizza d-differenza fundamentali bejn, minn naħa, ir-regoli intiżi biex jiżguraw li d-data tinkiseb b’mod legali u li, meta tinkiseb, ma jsirx użu abbużiv minnha, u min-naħa l-oħra, ir-rimedji disponibbli meta dawn ir-regoli jiġu miksura. Il-protezzjoni tad-drittijiet fundamentali tal-persuni kkonċernati tkun żgurata biss jekk rimedji ġudizzjarji effettivi jippermettulhom jinvokaw id-drittijiet tagħhom fil-każ ta’ nuqqas ta’ osservanza tal-imsemmija regoli.

72.

F’dawn iċ-ċirkustanzi, il-qorti tar-rinviju tikkunsidra li l-argumenti mressqa mid-DPC, li r-restrizzjonijiet li jimponi d-dritt Amerikan fuq id-dritt għal azzjoni legali tal-persuni li d-data tagħhom tiġi ttrasferita mill-Unjoni ma josservawx il-kontenut essenzjali tad-dritt issalvagwardjat fl-Artikolu 47 tal-Karta u, fi kwalunkwe każ, jikkostitwixxu interferenza sproporzjonata fl-eżerċizzju ta’ dan id-dritt, huma fondati.

73.

Skont il-High Court (il-Qorti Għolja), l-introduzzjoni mill-Gvern tal-Istati Uniti tal-mekkaniżmu tal-Ombudsman deskritt fid-Deċiżjoni “Ħarsien tal-privatezza” ma taffettwax din l-evalwazzjoni. Wara li enfasizzat li dan il-mekkaniżmu huwa aċċessibbli għaċ-ċittadini tal-Unjoni li raġonevolment iqisu li d-data tagħhom ġiet ittrasferita konformement mad-Deċiżjonijiet KKS ( 21 ), dik il-qorti osservat li l-Ombudsman ma huwiex qorti li tissodisfa r-rekwiżiti tal-Artikolu 47 tal-Karta u, b’mod partikolari, ma huwiex indipendenti mis-setgħa eżekuttiva ( 22 ). L-imsemmija qorti tiddubita wkoll kemm l-intervent tal-Ombudsman, li d-deċiżjonijiet tiegħu ma jistgħux ikunu suġġetti għal rimedju ġudizzjarju, jirrappreżenta rimedju effettiv. Fil-fatt, dan l-intervent ma jippermettix lill-persuni li d-data personali tagħhom tkun inġabret, ġiet ipproċessata jew kondiviża b’mod illegali, li jiksbu kumpens jew ordni biex jitwaqqfu l-atti illegali, sakemm l-Ombudsman la jikkonferma u lanqas jiċħad li rikorrent kien is-suġġett ta’ miżura ta’ sorveljanza elettronika.

74.

Wara li spjegat it-tħassib tagħha dwar l-ekwivalenza sostantiva bejn is-salvagwardji previsti mid-dritt Amerikan u r-rekwiżiti li jirriżultaw mill-Artikoli 7, 8 u 47 tal-Karta, il-qorti tar-rinviju esprimiet dubji dwar jekk il-klawżoli kuntrattwali standard previsti fid-Deċiżjonijiet KKS, li, min-natura tagħhom, ma jorbtux lill-awtoritajiet Amerikani, jistgħux madankollu jiżguraw il-protezzjoni tad-drittijiet fundamentali tal-persuni kkonċernati. Dik il-qorti kkonkludiet minn dan li hija taqsam l-istess dubji tad-DPC dwar il-validità ta’ dawn id-deċiżjonijiet.

75.

F’dan ir-rigward, il-qorti tar-rinviju tikkunsidra, b’mod partikolari, li l-Artikolu 28(3) tad-Direttiva 95/46, li għalih jirreferi l-Artikolu 4 tad-Deċiżjoni 2010/87, sa fejn dan jirrikonoxxi l-poter tal-awtoritajiet superviżorji li jissospendu jew jipprojbixxu t-trasferimenti bbażati fuq il-klawżoli kuntrattwali standard previsti f’din id-deċiżjoni, ma huwiex suffiċjenti biex ineħħi dawn id-dubji. Minbarra li, fil-fehma tagħha, dan il-poter huwa biss ta’ natura diskrezzjonali, il-qorti tar-rinviju tiddubita, fid-dawl tal-premessa 11 tad-Deċiżjoni 2010/87, kemm jista’ jiġi eżerċitat meta n-nuqqasijiet ikkonstatati ma jirrigwardawx każ partikolari u eċċezzjonali, iżda huma ġenerali u sistemiċi ( 23 ). Hija tikkunsidra wkoll li r-riskju li deċiżjonijiet diverġenti jingħataw f’diversi Stati Membri jista’ jipprekludi li r-rikonoxximent ta’ tali nuqqasijiet jiġi fdat lill-awtoritajiet ta’ sorveljanza.

76.

F’dawn iċ-ċirkustanzi, il-High Court (il-Qorti Għolja) iddeċidiet, permezz ta’ deċiżjoni tal‑4 ta’ Mejju 2018 ( 24 ) li waslet fil-Qorti tal-Ġustizzja fid‑9 ta’ Mejju 2018, li tissospendi l-proċeduri quddiemha u li tagħmel id-domandi preliminari li ġejjin lill-Qorti tal-Ġustizzja:

“1)

F’ċirkustanzi li fihom data personali hija ttrasferita minn kumpannija privata ta’ Stat Membru tal-[Unjoni] lil kumpannija privata f’pajjiż terz għal skop kummerċjali skont id-[Deċiżjoni 2010/87] u tista’ tiġi pproċessata sussegwentement fil-pajjiż terz mill-awtoritajiet tiegħu għal skopijiet ta’ sigurtà nazzjonali iżda wkoll għal skopijiet ta’ infurzar tal-liġi u tat-twettiq tal-affarijiet barranin tal-pajjiż terz, id-dritt tal-Unjoni, inkluża l-Karta, japplika għat-trasferiment tad-data minkejja d-dispożizzjonijiet tal-Artikolu 4(2) TUE fir-rigward tas-sigurtà nazzjonali u d-dispożizzjonijiet tal-ewwel inċiż tal-Artikolu 3(2) tad-[Direttiva 95/46] fir-rigward tas-sigurtà pubblika, tad-difiża u tas-sigurtà tal-Istat?

Sabiex jiġi ddeterminat jekk hemmx ksur tad-drittijiet ta’ individwu permezz tat-trasferiment ta’ data mill-Unjoni lejn pajjiż terz skont id-Deċiżjoni [2010/87] fejn din tista’ tiġi pproċessata sussegwentement għal skopijiet ta’ sigurtà nazzjonali, l-istrument ta’ paragun rilevanti għall-finijiet tad-Direttiva [95/46] huwa:

i)	il-Karta, it-TUE, it-TFUE, id-Direttiva [95/46], il- [Konvenzjoni Ewropea għall-Protezzjoni tad-Drittijiet tal-Bniedem u tal-Libertajiet Fundamentali, iffirmata f’Ruma fl‑4 ta’ Novembru 1950 (iktar ’il quddiem il-‘KEDB’)] (jew xi dispożizzjoni oħra tad-dritt tal-[Unjoni]); jew

ii)	il-liġijiet nazzjonali ta’ Stat Membru wieħed jew iktar?

b)	Jekk l-istrument ta’ paragun rilevanti huwa l-(b), il-prattiki fil-kuntest tas-sigurtà nazzjonali fi Stat Membru wieħed jew iktar għandhom ukoll jiġu inklużi fl-istrument ta’ paragun?

Sabiex jiġi evalwat jekk pajjiż terz jiżgurax il-livell ta’ protezzjoni meħtieġ mid-dritt tal-Unjoni fir-rigward ta’ data personali ttrasferita lejn dak il-pajjiż għall-finijiet tal-Artikolu 26 tad-Direttiva [95/46], il-livell ta’ protezzjoni fil-pajjiż terz għandu jiġi evalwat b’riferiment:

a)	għar-regoli applikabbli fil-pajjiż terz li jirriżultaw mil-liġi nazzjonali jew mill-impenji internazzjonali tiegħu, u għall-prattika maħsuba sabiex tiġi żgurata l-osservanza ta’ dawn ir-regoli, li għandhom jinkludu r-regoli professjonali u l-miżuri ta’ sigurtà osservati fil-pajjiż terz;

jew

b)	għar-regoli msemmija f’(a) flimkien mal-prattiki amministrattivi, regolamentari u ta’ konformità u l-garanziji ta’ politika, il-proċeduri, il-protokolli, il-mekkaniżmi ta’ sorveljanza u r-rimedji extra-ġudizzjarji kif jinsabu fil-pajjiż terz?

4)	Fid-dawl tal-fatti kkonstatati mill-High Court [(il-Qorti Għolja, l-Irlanda)] fir-rigward tad-dritt tal-Istati Uniti, it-trasferiment ta’ data personali mill-Unjoni lejn l-Istati Uniti skont id-Deċiżjoni [2010/87] jikser id-drittijiet tal-individwi taħt l-Artikoli 7 u/jew 8 tal-Karta?

Fid-dawl tal-fatti kkonstatati mill-High Court [(il-Qorti Għolja)] fir-rigward tad-dritt tal-Istati Uniti, jekk data personali hija ttrasferita mill-Unjoni lejn l-Istati Uniti skont id-Deċiżjoni [2010/87]:

a)	il-livell ta’ protezzjoni mogħti mill-Istati Uniti josserva l-kontenut essenzjali tad-dritt ta’ individwu għal azzjoni ġudizzjarja għal ksur tad-drittijiet tiegħu għall-kunfidenzjalità tad-data ggarantit mill-Artikolu 47 tal-Karta?

Fil-każ ta’ risposta fl-affermattiv għal (a):

il-limitazzjonijiet imposti mid-dritt tal-Istati Uniti fuq id-dritt ta’ individwu għal azzjoni ġudizzjarja fil-kuntest tas-sigurtà nazzjonali tal-Istati Uniti huma proporzjonati fi ħdan it-tifsira tal-Artikolu 52 tal-Karta u ma jeċċedux dak li huwa neċessarju f’soċjetà demokratika għal skopijiet ta’ sigurtà nazzjonali?

Liema huwa l-livell ta’ protezzjoni meħtieġ li jingħata lil data personali ttrasferita lejn pajjiż terz skont klawżoli kuntrattwali standard adottati skont deċiżjoni tal-Kummissjoni taħt l-Artikolu 26(4) [ta’ dik id-direttiva] fid-dawl tad-dispożizzjonijiet tad-Direttiva [95/46] u b’mod partikolari tal-Artikoli 25 u 26 [tagħha] moqrija fid-dawl tal-Karta?

b)	Liema huma l-aspetti li għandhom jittieħdu inkunsiderazzjoni fl-evalwazzjoni dwar jekk il-livell ta’ protezzjoni mogħti lil data ttrasferita lejn pajjiż terz skont id-Deċiżjoni [2010/87] jissodisfax ir-rekwiżiti tad-Direttiva [95/46] u tal-Karta?

Il-fatt li l-klawżoli kuntrattwali standard japplikaw bejn l-esportatur tad-data u l-importatur tad-data u ma jorbtux lill-awtoritajiet nazzjonali ta’ pajjiż terz li jistgħu jeħtieġu lill-importatur tad-data jipprovdi lis-servizzi ta’ sigurtà tiegħu, għal ipproċessar sussegwenti, id-data personali ttrasferita skont il-klawżoli stipulati fid-Deċiżjoni [2010/87], jipprekludi l-klawżoli milli joffru garanziji adegwati kif previsti fl-Artikolu 26(2) tad-Direttiva [95/46]?

Jekk importatur tad-data ta’ pajjiż terz huwa suġġett għal liġijiet ta’ sorveljanza li, fl-opinjoni ta’ [awtorità ta’ sorveljanza] jiksru l-klawżoli tal-Anness mad-Deċiżjoni KKS jew l-Artikoli 25 u 26 tad-Direttiva [95/46] u/jew il-Karta, [awtorità ta’ sorveljanza] hija meħtieġa tuża s-setgħat ta’ infurzar tagħha skont l-Artikolu 28(3) tad-Direttiva [95/46] sabiex tissospendi t-tixrid ta’ data, jew l-eżerċizzju ta’ dawn is-setgħat huwa limitat għal każijiet eċċezzjonali biss, fid-dawl tal-premessa 11 tad-Direttiva [Deċiżjoni 2010/87], jew ukoll [awtorità ta’ sorveljanza] tista’ tuża d-diskrezzjoni tagħha sabiex ma tissospendix it-tixrid ta’ data?

Għall-finijiet tal-Artikolu 25(6) tad-Direttiva [95/46], id-Deċiżjoni [“Ħarsien tal-Privatezza”] tikkostitwixxi konstatazzjoni ta’ applikazzjoni ġenerali li torbot lill-[awtoritajiet ta’ sorveljanza] u lill-qrati tal-Istati Membri, li skontha l-Istati Uniti tiżgura livell adegwat ta’ protezzjoni fi ħdan it-tifsria tal-Artikolu 25(2) tad-Direttiva [95/46] minħabba d-dritt nazzjonali tagħha jew minħabba l-impenji internazzjonali li hija daħlet għalihom?

b)	Jekk dan ma huwiex il-każ, x’rilevanza, jekk ikun il-każ, għandha d-Deċiżjoni [“Ħarsien tal-Privatezza”] għall-evalwazzjoni tal-adegwatezza tal-garanziji pprovduti lil data ttrasferita lejn l-Istati Uniti li hija ttrasferita skont id-Deċiżjoni [2010/87]?

10)

Fid-dawl tal-konstatazzjonijiet tal-High Court [(il-Qorti Għolja)] fir-rigward tad-dritt tal-Istati Uniti, il-ħolqien tal-Ombudsman għall-Ħarsien tal-Privatezza skont l-Anness A għall-Anness III tad-Deċiżjoni [“Ħarsien tal-Privatezza”], meta meħud flimkien mas-sistema eżistenti fl-Istati Uniti, jiżgura li l-Istati Uniti tipprovdi azzjoni kompatibbli mal-Artikolu 47 tal-Karta lill-persuni li d-data personali tagħhom hija ttrasferita lejn l-Istati Uniti skont id-Deċiżjoni [2010/87]?

11)	Id-Deċiżjoni [2010/87] tikser l-Artikoli 7, 8 u/jew 47 tal-Karta?”

77.

Id-DPC, Facebook Ireland, M. Schrems, il-Gvern tal-Istati Uniti, l-EPIC, il-BSA, Digitaleurope, l-Irlanda, il-Gvern Belġjan, dak Ċek, dak Ġermaniż, dak Olandiż, dak Awstrijak, dak Pollakk, dak Portugiż u dak tar-Renju Unit, il-Parlament Ewropew u l-Kummissjoni ppreżentaw osservazzjonijiet bil-miktub lill-Qorti tal-Ġustizzja. Id-DPC, Facebook Ireland, M. Schrems, il-Gvern tal-Istati Uniti, l-EPIC, il-BSA, Digitaleurope, l-Irlanda, il-Gvern Ġermaniż, dak Franċiż, dak Olandiż, dak Awstrijak u dak tar-Renju Unit, il-Parlament, il-Kummissjoni u l-Kumitat Ewropew għall-Protezzjoni tad-Data (European Data Protection Board, EDPB) kienu rrappreżentati waqt is-sottomissjonijiet orali tad‑9 ta’ Lulju 2019.

IV. Analiżi

A. Kunsiderazzjonijiet preliminari

78.

Wara l-invalidazzjoni tad-Deċiżjoni “Port Salv” mill-Qorti tal-Ġustizzja fis-sentenza Schrems, it-trasferimenti tad-data personali lejn l-Istati Uniti tkomplew abbażi ta’ bażijiet legali oħrajn. B’mod partikolari, il-kumpanniji esportaturi tad-data setgħu jirrikorru għal kuntratti mal-importaturi tad-data li jinkorporaw klawżoli standard imfassla mill-Kummissjoni. Dawn il-klawżoli jservu wkoll bħala bażi legali għat-trasferimenti lejn għadd kbir ta’ pajjiżi terzi oħrajn li għalihom il-Kummissjoni ma adottatx deċiżjoni ta’ adegwatezza ( 25 ). Id-Deċiżjoni “Ħarsien tal-privatezza” issa tippermetti lill-impriżi li jkunu awtoċċertifikaw l-adeżjoni tagħhom mal-prinċipji stipulati fiha li jittrasferixxu data personali lejn l-Istati Uniti mingħajr formalitajiet oħrajn.

79.

Kif tindika espressament id-deċiżjoni tar-rinviju u kif enfasizzaw il-BSA, Digitaleurope, l-Irlanda, il-Gvern Awstrijak u dak Franċiż, il-Parlament kif ukoll il-Kummissjoni, il-kawża prinċipali, pendenti quddiem il-High Court (il-Qorti Għolja), għandha l-għan uniku li tiddetermina jekk id-deċiżjoni li permezz tagħha l-Kummissjoni stabbilixxiet il-klawżoli kuntrattwali standard invokati insostenn tat-trasferimenti msemmija fl-ilment ta’ M. Schrems, jiġifieri d-Deċiżjoni 2010/87 ( 26 ), hijiex valida.

80.

Din il-kawża għandha l-oriġini tagħha fi lment li permezz tiegħu d-DPC talab lill-qorti tar-rinviju sabiex tirreferi domanda preliminari lill-Qorti tal-Ġustizzja dwar il-validità tad-Deċiżjoni 2010/87. Skont dik il-qorti, il-kawża prinċipali tirrigwarda, għalhekk, l-eżerċizzju tar-rimedju li l-Qorti tal-Ġustizzja ordnat li għandu jiġi stabbilit mill-Istati Membri fil-punt 65 tas-sentenza Schrems.

81.

Ta’ min ifakkar li l-Qorti tal-Ġustizzja ddeċidiet, fil-punt 63 ta’ dik is-sentenza, li awtorità superviżorja għandha teżamina t-talba, li permezz tagħha persuna, li d-data personali tagħha ġiet jew tista’ tiġi ttrasferita lejn pajjiż terz li kien is-suġġett ta’ deċiżjoni dwar l-adegwatezza, tikkontesta l-kompatibbiltà ta’ din id-deċiżjoni mad-drittijiet fundamentali stabbiliti fil-Karta, bid-diliġenza kollha meħtieġa. Skont il-punt 65 tal-imsemmija sentenza, fil-każ fejn din l-awtorità tqis li l-ilmenti magħmula huma fondati, hija għandu jkollha, skont it-tielet inċiż tal-ewwel subparagrafu tal-Artikolu 28(3) tad-Direttiva 95/46 (li għalih jikkorrispondi l-Artikolu 58(5) tal-GDPR), moqri fid-dawl tal-Artikolu 8(3) tal-Karta, locus standi in judicio. F’dan ir-rigward, il-leġiżlatur nazzjonali għandu jistabbilixxi rimedji ġudizzjarji li jippermettulu jressaq dawn l-ilmenti quddiem il-qrati nazzjonali sabiex dawn tal-aħħar jipproċedu, jekk jikkondividu l-istess dubji tal-imsemmija awtorità, għal rinviju għal deċiżjoni preliminari dwar il-validità tad-deċiżjoni inkwistjoni.

82.

Bħall-qorti tar-rinviju, inqis li dawn il-konklużjonijiet japplikaw b’analoġija meta, fl-okkażjoni tal-ipproċessar ta’ lment imressaq quddiemha, awtorità superviżorja jkollha dubji dwar il-validità mhux ta’ deċiżjoni ta’ adegwatezza, iżda ta’ deċiżjoni, bħad-Deċiżjoni 2010/87, li tistabbilixxi klawżoli kuntrattwali standard għat-trasferiment ta’ data personali lejn pajjiżi terzi. Kuntrarjament għal dak li argumenta l-Gvern Ġermaniż, ma huwiex rilevanti li dawn id-dubji jikkorrispondu ma’ lmenti li l-lanjant ikun ġab għall-attenzjoni tagħha jew li din l-awtorità tikkontesta fuq inizjattiva tagħha stess il-validità tad-deċiżjoni inkwistjoni. Fil-fatt, ir-rekwiżiti li joħorġu mill-Artikolu 58(5) tal-GDPR u mill-Artikolu 8(3) tal-Karta, li l-motivazzjoni tal-Qorti tal-Ġustizzja hija bbażata fuqhom, għandhom japplikaw tkun xi tkun il-bażi legali tat-trasferiment imsemmi fl-ilment imressaq quddiem l-awtorità superviżorja u r-raġunijiet li wasslu lil din l-awtorità sabiex tiddubita l-validità tad-deċiżjoni kkonċernata fil-kuntest tal-ipproċessar ta’ dan l-ilment.

83.

Madankollu, għalkemm id-DPC talab lill-qorti tar-rinviju tistaqsi lill-Qorti tal-Ġustizzja dwar il-validità tad-Deċiżjoni 2010/87, dan huwa minħabba li jqis li hija meħtieġa kjarifika mill-Qorti tal-Ġustizzja dwar dan is-suġġett biex jindirizza l-ilment li permezz tiegħu M. Schrems jitolbu jeżerċita l-poter, li kien mogħti lilu skont it-tieni inċiż tal-Artikolu 28(3) tad-Direttiva 95/46, u issa mogħti lilu mill-Artikolu 58(2)(f) tal-GDPR, li jissospendi t-trasferiment tad-data personali dwaru minn Facebook Ireland lejn Facebook Inc.

84.

Għalhekk, filwaqt li t-tilwima fil-kawża prinċipali tirrigwarda biss il-validità in abstracto tad-Deċiżjoni 2010/87, il-proċedimenti sottostanti pendenti quddiem id-DPC kienu relatati mal-eżerċizzju minn dan tal-aħħar tal-poter tiegħu li jadotta miżuri korrettivi f’każ speċifiku. Jien nipproponi lill-Qorti tal-Ġustizzja li tillimita ruħha li teżamina d-domandi magħmula sa fejn huwa meħtieġ sabiex tiddeċiedi dwar il-validità tad-Deċiżjoni 2010/87, peress li eżami bħal dan ikun biżżejjed biex il-qorti tar-rinviju tkun f’pożizzjoni li ssolvi l-kawża pendenti quddiemha ( 27 ).

85.	Qabel ma tiġi evalwata l-validità ta’ dik id-deċiżjoni, jeħtieġ li jitwarrbu ċerti oġġezzjonijiet imqajma fir-rigward tal-ammissibbiltà tat-talba għal deċiżjoni preliminari.

B. Fuq l-ammissibbiltà tar-rinviju għal deċiżjoni preliminari

86.

L-ammissibbiltà tat-talba għal deċiżjoni preliminari ġiet ikkontestata għal diversi raġunijiet essenzjalment relatati man-nuqqas ta’ applikabbiltà ratione temporis tad-Direttiva 95/46 imsemmija fid-domandi preliminari (Taqsima 1), mal-fatt li l-proċedimenti quddiem id-DPC ma waslux fi stadju avvanzat biżżejjed li jiġġustifika l-utilità tagħhom (Taqsima 2) u mas-sussistenza ta’ inċertezzi dwar il-qafas fattwali deskritt mill-qorti tar-rinviju (Taqsima 3).

87.

Ser inwieġeb għal dawn l-eċċezzjonijiet ta’ inammissibbiltà billi nżomm f’moħħi l-preżunzjoni ta’ rilevanza li għandhom id-domandi magħmula lill-Qorti tal-Ġustizzja taħt l-Artikolu 267 TFUE. Skont ġurisprudenza stabbilita, il-Qorti tal-Ġustizzja tista’ tirrifjuta li tiddeċiedi dwar talba għal deċiżjoni preliminari biss jekk ikun jidher b’mod ċar li l-interpretazzjoni mitluba tad-dritt tal-Unjoni ma jkollha ebda relazzjoni mar-realtà jew mas-suġġett tal-kawża prinċipali, meta l-problema tkun ta’ natura ipotetika jew inkella meta l-Qorti tal-Ġustizzja ma jkollhiex għad-dispożizzjoni tagħha l-punti ta’ fatt u ta’ liġi meħtieġa biex tkun tista’ twieġeb b’mod utli għad-domandi li jkunu sarulha ( 28 ).

1. Fuq l-applikabbiltà ratione temporis tad-Direttiva 95/46

88.	Facebook Ireland teċċepixxi l-inammissibbiltà tad-domandi preliminari minħabba li jirreferu għad-Direttiva 95/46, meta din id-direttiva ġiet irrevokata u ssostitwita mill-GDPR b’effett mill‑25 ta’ Mejju 2018 ( 29 ).

89.	Jien naqbel mal-opinjoni li l-validità tad-Deċiżjoni 2010/87 għandha tiġi eżaminata fid-dawl tad-dispożizzjonijiet tal-GDPR.

90.

Skont l-Artikolu 94(2) ta’ dan ir-regolament, “[i]r-referenzi għad-Direttiva mħassra għandhom jinftiehmu bħala referenzi [għall-imsemmi regolament]”. Minn dan jirriżulta, jidhirli, li d-Deċiżjoni 2010/87, sa fejn issemmi bħala bażi legali l-Artikolu 26(4) tad-Direttiva 95/46, għandha tinftiehem bħala li tirreferi għall-Artikolu 46(2)(c) tal-GDPR li essenzjalment jirriproduċi l-kontenut tiegħu ( 30 ). Għaldaqstant, id-deċiżjonijiet ta’ implimentazzjoni adottati mill-Kummissjoni skont l-Artikolu 26(4) tad-Direttiva 95/46, qabel id-dħul fis-seħħ tal-GDPR, għandhom jiġu interpretati fid-dawl ta’ dan ir-regolament. Huwa wkoll skont l-imsemmi regolament li għandha tiġi evalwata l-validità tagħhom, jekk ikun il-każ.

91.

Din il-konklużjoni ma hijiex ikkontestata mill-ġurisprudenza li tipprovdi li l-legalità ta’ att tal-Unjoni għandha tiġi evalwata skont il-punti ta’ fatt u ta’ liġi eżistenti fid-data meta jkun ġie adottat l-att. Din il-ġurisprudenza tirrigwarda, fil-fatt, l-eżami tal-validità ta’ att tal-Unjoni fid-dawl taċ-ċirkustanzi fattwali rilevanti fil-mument tal-adozzjoni tiegħu ( 31 ) jew tar-regoli proċedurali li jirregolaw l-adozzjoni tiegħu ( 32 ). Min-naħa l-oħra, il-Qorti tal-Ġustizzja eżaminat repetutament il-validità ta’ atti ta’ dritt idderivat skont standards sostantivi ta’ livell ogħla li daħlu fis-seħħ wara l-adozzjoni ta’ dawn l-atti ( 33 ).

92.

Madankollu, l-indikazzjoni, fil-formulazzjoni tad-domandi preliminari, ta’ att li ma għadux applikabbli ratione temporis, għalkemm tiġġustifika r-riformulazzjoni ta’ dawn id-domandi, ma tistax twassal għall-inammissibbiltà tagħhom ( 34 ). Kif sostnew id-DPC u M. Schrems, ir-referenzi għad-Direttiva 95/46 fil-formulazzjoni tad-domandi preliminari jistgħu, barra minn hekk, jiġu spjegati fid-dawl tal-iskeda proċedurali ta’ din il-kawża, peress li dawn id-domandi ġew irreiferiti lill-Qorti tal-Ġustizzja qabel id-dħul fis-seħħ tal-GDPR.

93.

Fi kwalunkwe każ, id-dispożizzjonijiet tal-GDPR li ser jiġu ttrattati għall-analiżi tad-domandi preliminari – jiġifieri, b’mod partikolari, l-Artikoli 45, 46 u 58 tiegħu – jirriproduċu essenzjalment, filwaqt li jiżviluppawh u b’xi differenzi żgħar, il-kontenut tal-Artikoli 25, 26 u 28 tad-Direttiva 95/46. Fir-rigward tal-aspetti rilevanti tagħhom għall-finijiet tad-deċiżjoni dwar il-validità tad-Deċiżjoni 2010/87, ma nara l-ebda raġuni għalfejn dawn id-dispożizzjonijiet tal-GDPR għandhom jiġu attribwiti portata distinta minn dik tad-dispożizzjonijiet korrispondenti tad-Direttiva 95/46 ( 35 ).

2. Fuq in-natura provviżorja tad-dubji espressi mid-DPC

94.

Skont il-Gvern Ġermaniż, it-talba għal deċiżjoni preliminari hija inammissibbli għar-raġuni li l-proċedura ta’ appell imsemmija fil-punt 65 tas-sentenza Schrems tassumi li l-awtorità superviżorja diġà fformat opinjoni finali dwar il-fondatezza tal-ilmenti mressqa mir-rikorrent kontra l-validità tad-deċiżjoni inkwistjoni. Dan ma huwiex il-każ f’din il-kawża sa fejn id-DPC esprima d-dubji tiegħu dwar il-validità tad-Deċiżjoni 2010/87, li barra minn hekk M. Schrems ma jikkontestax, f’abbozz ta’ deċiżjoni mogħtija provviżorjament mingħajr ħsara għall-preżentata eventwali ta’ osservazzjonijiet addizzjonali minn Facebook Ireland u M. Schrems.

95.

Fil-fehma tiegħi, in-natura provviżorja tad-dubji espressi mid-DPC ma għandhiex impatt fuq l-ammissibbiltà tar-rinviju għal deċiżjoni preliminari. Fil-fatt, il-kriterji ta’ ammissibbiltà ta’ domanda preliminari għandhom ikunu evalwati fir-rigward tas-suġġett tal-kawża kif iddefinit mill-qorti tar-rinviju ( 36 ). Issa, huwa stabbilit li dan jirrigwarda l-validità tad-Deċiżjoni 2010/87. Skont id-deċiżjoni tar-rinviju u tas-sentenza annessa magħha, dik il-qorti qieset li d-dubji espressi mid-DPC, irrispettivament minn jekk dawn kinux provviżorji jew finali, huma fondati u għalhekk staqsiet lill-Qorti tal-Ġustizzja dwar il-validità ta’ din id-deċiżjoni. F’dawn iċ-ċirkustanzi, il-kjarifika tal-Qorti tal-Ġustizzja dwar dan is-suġġett hija mingħajr ebda dubju rilevanti sabiex tkun tista’ tirriżolvi l-kawża adita biha.

3. Fuq l-inċertezzi dwar id-definizzjoni tal-kuntest fattwali

96.

Il-Gvern tar-Renju Unit jallega li l-kuntest fattwali deskritt mill-qorti tar-rinviju fih diversi nuqqasijiet li jikkompromettu l-ammissibbiltà tad-domandi preliminari. Dik il-qorti ma ċċaratx jekk id-data personali dwar M. Schrems effettivament ġietx ittrasferita lejn l-Istati Uniti u lanqas, jekk iva, jekk inġabritx mill-awtoritajiet Amerikani. Il-bażi legali ta’ dawn it-trasferimenti eventwali lanqas ma ġiet identifikata b’ċertezza, peress li d-deċiżjoni tar-rinviju ssemmi biss li d-data tal-utenti Ewropej tan-netwerk soċjali Facebook hija ttrasferita “fil-parti l-kbira” abbażi tal-klawżoli kuntrattwali standard previsti mid-Deċiżjoni 2010/87. Ma ġiex stabbilit, fi kwalunkwe każ, li l-kuntratt bejn Facebook Ireland u Facebook Inc., invokat insostenn tat-trasferiment kontenzjuż, jinkorpora eżattament dawn il-klawżoli. Il-Gvern Ġermaniż jikkontesta wkoll l-ammissibbiltà tar-rinviju għal deċiżjoni preliminari għar-raġuni li l-qorti tar-rinviju ma eżaminatx jekk M. Schrems indubbjament tax il-kunsens tiegħu għat-trasferimenti inkwistjoni, f’liema każ dawn kienu jkunu bbażati b’mod validu fuq l-Artikolu 26(1) tad-Direttiva 95/46 (li l-Artikolu 49(1)(a) tal-GDPR jirriproduċi essenzjalment il-kontenut tiegħu).

97.

Dawn l-argumenti ma jippreġudikaw bl-ebda mod ir-rilevanza tar-rinviju għal deċiżjoni preliminari fir-rigward tas-suġġett tal-kawża prinċipali. Billi din il-kawża għandha s-sors tagħha fl-eżerċizzju mid-DPC tar-rimedju ġudizzjarju previst fil-punt 65 tas-sentenza Schrems, l-għan stess tagħha jikkonsisti fil-kisba mill-qorti nazzjonali ta’ rinviju preliminari dwar il-validità tad-Deċiżjoni 2010/87. Il-Gvern Ġermaniż u dak tar-Renju Unit jikkontestaw, fir-realtà, il-ħtieġa tad-domandi preliminari mhux biex jiġi ddeterminat jekk din id-deċiżjoni hijiex valida, iżda sabiex id-DPC ikun jista’ jieħu deċiżjoni in concreto dwar l-ilment ta’ M. Schrems.

98.

Fi kwalunkwe każ, anki mill-perspettiva ta’ dawn il-proċedimenti li fuqhom hija bbażata l-kawża prinċipali, id-domandi preliminari li jirrigwardaw il-validità tad-Deċiżjoni 2010/87 ma jidhirlix li huma irrilevanti. Fil-fatt, il-qorti tar-rinviju stabbilixxiet li Facebook Ireland kompliet tittrasferixxi d-data tal-utenti tagħha lejn l-Istati Uniti wara l-invalidazzjoni tad-Deċiżjoni “Port salv” u li dawn it-trasferimenti huma bbażati, tal-inqas parzjalment, fuq din id-deċiżjoni. Barra minn hekk, għalkemm jista’ jkun ta’ vantaġġ li l-fatti rilevanti kollha jkunu stabbiliti qabel ma teżerċita l-ġurisdizzjoni tagħha taħt l-Artikolu 267 TFUE, hija l-qorti tar-rinviju biss li għandha tevalwa f’liema stadju tal-proċedimenti għandha bżonn deċiżjoni preliminari mill-Qorti tal-Ġustizzja ( 37 ).

99.	Fid-dawl tal-kunsiderazzjonijiet preċedenti, inqis li t-talba għal deċiżjoni preliminari hija ammissibbli.

C. Fuq l-applikabbiltà tad-dritt tal-Unjoni għat-trasferimenti għal skopijiet kummerċjali ta’ data personali lejn Stat terz li jista’ jipproċessaha għal skopijiet ta’ sigurtà nazzjonali (l-ewwel domanda)

100.

Permezz tal-ewwel domanda tagħha, il-qorti tar-rinviju tistaqsi jekk id-dritt tal-Unjoni japplikax għal trasferiment ta’ data personali minn kumpannija li tinsab fi Stat Membru lejn kumpannija stabbilita f’pajjiż terz magħmula għal raġunijiet kummerċjali meta, wara li jkun beda t-trasferiment, id-data tista’ tiġi pproċessata mill-awtoritajiet pubbliċi ta’ dan il-pajjiż terz għal skopijiet li jinkludu l-protezzjoni tas-sigurtà nazzjonali.

101.	Il-problema ta’ din id-domanda għar-riżoluzzjoni tal-kawża prinċipali tinsab fil-fatt li, kieku tali trasferiment kellu jaqa’ ’l barra mill-kamp ta’ applikazzjoni tad-dritt tal-Unjoni, l-oġġezzjonijiet kollha mqajma fir-rigward tal-validità tad-Deċiżjoni 2010/87 f’din il-kawża jsiru infondati.

102.

Kif osservat il-qorti tar-rinviju, l-ipproċessar ta’ data personali li għandu bħala għan is-sigurtà nazzjonali kien eskluż mill-kamp ta’ applikazzjoni tad-Direttiva 95/46 taħt l-Artikolu 3(2) ta’ din id-direttiva. L-Artikolu 2(2) tal-GDPR issa jispeċifika li r-regolament ma japplikax, b’mod partikolari, għall-ipproċessar ta’ data fil-kuntest ta’ attività li ma taqax fil-kamp ta’ applikazzjoni tad-dritt tal-Unjoni jew mill-awtoritajiet kompetenti għal finijiet ta’ protezzjoni tas-sigurtà pubblika. Dawn id-dispożizzjonijiet jirriflettu r-riżerva ta’ kompetenza li l-Artikolu 4(2) TUE jirrikonoxxi lill-Istati Membri fil-qasam tal-protezzjoni tas-sigurtà nazzjonali.

103.

Id-DPC, M. Schrems, l-Irlanda, il-Gvern Ġermaniż, dak Awstrijak, dak Belġjan, dak Ċek, dak Olandiż, dak Pollakk u dak Portugiż kif ukoll il-Parlament u l-Kummissjoni jargumentaw li trasferimenti bħal dawk imsemmija fl-ilment ta’ M. Schrems ma humiex koperti minn dawn id-dispożizzjonijiet u, għaldaqstant, jaqgħu fil-kamp ta’ applikazzjoni tad-dritt tal-Unjoni. Facebook Ireland tiddefendi t-teżi opposta. Jien naqbel mal-opinjoni ta’ dawk tal-ewwel.

104.

F’dan ir-rigward, huwa importanti li jiġi enfasizzat li t-trasferiment ta’ data personali minn Stat Membru lejn pajjiż terz jikkostitwixxi, bħala tali, “ipproċessar” skont it-tifsira tal-punt (2) tal-Artikolu 4 tal-GDPR, magħmul fit-territorju ta’ Stat Membru ( 38 ). L-ewwel domanda preliminari għandha, preċiżament, l-għan li tiddetermina jekk id-dritt tal-Unjoni japplikax għall-ipproċessar ikkostitwit mit-trasferiment innifsu. Din id-domanda ma tirrigwardax l-applikabbiltà tad-dritt tal-Unjoni għall-ipproċessar eventwali sussegwenti, mill-awtoritajiet Amerikani għal skopijiet ta’ sigurtà nazzjonali, tad-data ttrasferita lejn l-Istati Uniti, li ma taqax fil-kamp ta’ applikazzjoni territorjali tal-GDPR ( 39 ).

105.

F’din il-perspettiva, hija biss l-attività li fil-kuntest tagħha jsir dan it-trasferiment li għandha tittieħed inkunsiderazzjoni biex jiġi ddeterminat jekk id-dritt tal-Unjoni japplikax għat-trasferiment tad-data inkwistjoni, mingħajr ma jitqies l-iskop tal-ipproċessar eventwali sussegwenti li d-data ttrasferita tista’ tkun suġġetta għalih mill-awtoritajiet pubbliċi tal-pajjiż terz ta’ destinazzjoni ( 40 ).

106.

Madankollu, mid-deċiżjoni tar-rinviju jirriżulta li t-trasferiment imsemmi fl-ilment ta’ M. Schrems huwa parti minn attività kummerċjali. Barra minn hekk, dan it-trasferiment ma sarx bl-iskop li jippermetti l-ipproċessar sussegwenti tad-data inkwistjoni mill-awtoritajiet Amerikani għal skopijiet ta’ sigurtà nazzjonali.

107.

Barra minn hekk, l-approċċ propost minn Facebook Ireland iċaħħad mill-effettività lid-dispożizzjonijiet tal-GDPR dwar it-trasferimenti lejn pajjiżi terzi, ladarba qatt ma jista’ jiġi eskluż li data ttrasferita fil-kuntest ta’ attività kummerċjali tiġi pproċessata għal skopijiet ta’ sigurtà nazzjonali wara t-trasferiment.

108.

L-interpretazzjoni li qiegħed nissuġġerixxi jiena hija kkonfermata fil-kliem tal-Artikolu 45(2)(a) tal-GDPR. Din id-dispożizzjoni tindika li, meta tadotta deċiżjoni ta’ adegwatezza, il-Kummissjoni għandha tieħu inkunsiderazzjoni, b’mod partikolari, il-leġiżlazzjoni tal-pajjiż terz inkwistjoni dwar is-sigurtà nazzjonali. Minn dan jista’ jiġi dedott li l-possibbiltà li d-data tiġi pproċessata, mill-awtoritajiet tal-pajjiż terz ta’ destinazzjoni, għal skopijiet ta’ protezzjoni tas-sigurtà nazzjonali ma tirrendix id-dritt tal-Unjoni inapplikabbli għall-ipproċessar ikkostitwit mit-trasferiment tad-data lejn dan il-pajjiż terz.

109.

Ir-raġunament u l-konklużjonijiet adottati mill-Qorti tal-Ġustizzja fis-sentenza Schrems huma bbażati wkoll fuq din il-premessa. B’mod partikolari, fiha l-Qorti tal-Ġustizzja eżaminat il-validità tad-Deċiżjoni “Port Salv”, sa fejn din kienet tirrigwarda trasferimenti ta’ data personali lejn l-Istati Uniti fejn setgħet tinġabar u tiġi pproċessata għal skopijiet ta’ protezzjoni tas-sigurtà nazzjonali, fir-rigward tal-Artikolu 25(6) tad-Direttiva 95/46, moqri fid-dawl tal-Karta ( 41 ).

110.

Fid-dawl ta’ dawn il-kunsiderazzjonijiet, inqis li d-dritt tal-Unjoni japplika għal trasferiment ta’ data personali minn Stat Membru lejn pajjiż terz meta dan it-trasferiment ikun parti minn attività kummerċjali, irrispettivament minn jekk id-data ttrasferita tistax tkun suġġetta għal ipproċessar mill-awtoritajiet pubbliċi ta’ dan il-pajjiż terz għal skopijiet ta’ protezzjoni tas-sigurtà nazzjonali tiegħu.

D. Fuq il-livell ta’ protezzjoni meħtieġ għal trasferiment ibbażat fuq klawżoli kuntrattwali standard (l-ewwel parti tas-sitt domanda)

111.

Skont l-ewwel parti tas-sitt domanda, il-qorti tar-rinviju tistaqsi liema huwa l-livell ta’ protezzjoni tad-drittijiet fundamentali tal-persuni kkonċernati li għandu jiġi żgurat sabiex data personali tkun tista’ tiġi ttrasferita lejn pajjiż terz skont klawżoli kuntrattwali standard previsti fid-Deċiżjoni 2010/87.

112.

Dik il-qorti tenfasizza li, fis-sentenza Schrems, il-Qorti tal-Ġustizzja interpretat l-Artikolu 25(6) tad-Direttiva 95/46 (li l-kontenut tagħha huwa essenzjalment irrepetut fl-Artikolu 45(3) tal-GDPR), peress li kien jipprovdi li l-Kummissjoni tista’ tadotta deċiżjoni ta’ adegwatezza biss wara li tkun żgurat li l-pajjiż terz inkwistjoni jiggarantixxi livell ta’ protezzjoni adegwat, bħala li jassumi li din tal-aħħar tistabbilixxi li dan il-pajjiż jiżgura livell ta’ protezzjoni tal-libertajiet u tad-drittijiet fundamentali sostanzjalment ekwivalenti għal dak żgurat fl-Unjoni taħt din id-direttiva, moqrija fid-dawl tal-Karta ( 42 ).

113.

F’dan il-kuntest, l-ewwel parti tas-sitt domanda preliminari tistieden lill-Qorti tal-Ġustizzja tiddetermina jekk l-applikazzjoni ta’ “klawżoli kontrattwali standard” adottati mill-Kummissjoni skont l-Artikolu 26(4) tad-Direttiva 95/46, li jikkorrispondu mal-“klawżoli standard ta’ protezzjoni” issa msemmija fl-Artikolu 46(2)(c) tal-GDPR, għandhiex tippermetti li jintlaħaq livell ta’ protezzjoni korrispondenti għall-istess standard ta’ “ekwivalenza sostanzjali”.

114.

F’dan ir-rigward, l-Artikolu 46(1) tal-GDPR jipprovdi li l-kontrollur jista’ biss, fl-assenza ta’ deċiżjoni ta’ adegwatezza, jittrasferixxi data personali lejn pajjiż terz jekk “ikun ipprovda salvagwardji xierqa, u bil-kondizzjoni li jkunu disponibbli drittijiet infurzabbli tas-suġġett tad-data u rimedji legali effettivi għas-suġġetti tad-data” (enfasi miżjuda minni) ( 43 ). Skont l-Artikolu 46(2)(c) tal-GDPR, dawk is-salvagwardji jistgħu jkunu previsti b’mod partikolari permezz ta’ klawżoli standard ta’ protezzjoni mfassla mill-Kummissjoni.

115.

Bħad-DPC, M. Schrems u l-Irlanda, jien inqis li s-“salvagwardji xierqa” ipprovduti mill-kontrollur li għalihom jirreferi l-Artikolu 46(1) tal-GDPR għandhom jiżguraw li d-drittijiet tal-persuni li d-data tagħhom tiġi ttrasferita jibbenefikaw, bħal fil-każ ta’ trasferiment ibbażat fuq deċiżjoni ta’ adegwatezza, minn livell ta’ protezzjoni sostanzjalment ekwivalenti għal dak li jirriżulta mill-GDPR, moqri fid-dawl tal-Karta.

116.	Din il-konklużjoni tirriżulta mill-għan ta’ din id-dispożizzjoni u mill-istrument li minnu tagħmel parti.

117.

L-Artikoli 45 u 46 tal-GDPR għandhom l-għan li jiżguraw il-kontinwità tal-livell għoli ta’ protezzjoni tad-data personali żgurat minn dan ir-regolament meta din tiġi ttrasferita barra mill-Unjoni. Fil-fatt, l-Artikolu 44 tal-GDPR, intitolat “Prinċipju ġenerali għal trasferimenti”, jiftaħ il-Kapitolu V dwar it-trasferimenti lejn pajjiżi terzi billi jiddikjara li d-dispożizzjonijiet kollha ta’ dan il-kapitolu għandhom jiġu applikati b’mod li l-livell ta’ protezzjoni żgurat mill-GDPR ma jkunx imdgħajjef fil-każ ta’ trasferiment lejn Stat terz ( 44 ). Din ir-regola għandha l-għan li tevita li l-istandards ta’ protezzjoni li jirriżultaw mid-dritt tal-Unjoni jiġu evitati meta tiġi ttrasferita data personali lejn pajjiż terz sabiex tiġi pproċessata hemmhekk ( 45 ). Fid-dawl ta’ dan l-għan, huwa irrilevanti li t-trasferiment ikun ibbażat fuq deċiżjoni ta’ adegwatezza jew fuq salvagwardji offruti mill-kontrollur, b’mod partikolari permezz ta’ klawżoli kuntrattwali. Ir-rekwiżiti ta’ protezzjoni tad-drittijiet fundamentali ggarantiti mill-Karta ma humiex distinti skont il-bażi legali li fuqha huwa bbażat trasferiment speċifiku ( 46 ).

118.	Min-naħa l-oħra, il-mod li bih għandha tinżamm il-kontinwità tal-livell għoli ta’ protezzjoni jvarja skont il-bażi legali tat-trasferiment.

119.

Minn naħa, deċiżjoni ta’ adegwatezza għandha l-għan li tikkonstata li l-pajjiż terz inkwistjoni jiżgura huwa stess livell ta’ protezzjoni sostanzjalment ekwivalenti għal dak li għandu jintlaħaq fi ħdan l-Unjoni. L-adozzjoni ta’ deċiżjoni ta’ adegwatezza tassumi li l-Kummissjoni tevalwa minn qabel, għal pajjiż terz speċifiku, il-livell ta’ protezzjoni ggarantit mid-dritt u l-prattiki ta’ dan il-pajjiż terz fid-dawl tal-fatturi stipulati fl-Artikolu 45(3) tal-GDPR. Data personali tista’ mbagħad tiġi ttrasferita lejn l-imsemmi pajjiż terz mingħajr ma l-kontrollur ikollu għalfejn jikseb awtorizzazzjoni speċifika.

120.

Min-naħa l-oħra, kif spjegat iktar fid-dettall fit-taqsima li ġejja, is-salvagwardji xierqa offruti mill-kontrollur huma intiżi li jiżguraw livell għoli ta’ protezzjoni fl-ipoteżi ta’ nuqqas ta’ salvagwardji suffiċjenti disponibbli fil-pajjiż terz ta’ destinazzjoni. Għaldaqstant, għalkemm l-Artikolu 46(1) tal-GDPR jippermetti li data personali tiġi ttrasferita lejn Stati terzi li ma jiżgurawx livell adegwat ta’ protezzjoni, din id-dispożizzjoni tawtorizza tali trasferimenti biss meta jiġu pprovduti salvagwardji xierqa b’mezzi oħrajn. Il-klawżoli kuntrattwali standard adottati mill-Kummissjoni jirrappreżentaw, f’dan ir-rigward, mekkaniżmu ġenerali applikabbli għat-trasferimenti jkunu xi jkunu l-pajjiż terz ta’ destinazzjoni u l-livell ta’ protezzjoni pprovdut hemmhekk.

E. Fuq il-validità tad-Deċiżjoni 2010/87 fid-dawl tal-Artikoli 7, 8 u 47 tal-Karta (is-seba’, it-tmien u l-ħdax‑il domanda)

121.

Permezz tas-seba’ domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk id-Deċiżjoni 2010/87 hijiex invalida minħabba l-fatt li ma torbotx lill-awtoritajiet tal-Istati terzi li lejhom tiġi ttrasferita data taħt il-klawżoli kuntrattwali standard previsti fl-anness għal din id-deċiżjoni u, b’mod partikolari, li din ma tipprekludihomx milli jeżiġu mill-importatur li dan ipoġġi din id-data għad-dispożizzjoni tagħhom. Għaldaqstant, din id-domanda tikkontesta l-possibbiltà stess li jiġi żgurat livell adegwat ta’ protezzjoni ta’ tali data permezz ta’ mekkaniżmi esklużivament kuntrattwali. Il-ħdax‑il domanda tirrigwarda b’mod iktar ġenerali l-validità tad-Deċiżjoni 2010/87 fid-dawl tal-Artikoli 7, 8 u 47 tal-Karta.

122.

It-tmien domanda tistieden lill-Qorti tal-Ġustizzja tiddetermina jekk awtorità superviżorja għandhiex tuża s-setgħat li jagħtiha l-Artikolu 58(2)(f) u (j) tal-GDPR sabiex tissospendi trasferiment lejn pajjiż terz ibbażat fuq il-klawżoli kuntrattwali standard previsti mid-Deċiżjoni 2010/87 meta hija tqis li l-importatur tad-data hemmhekk huwa suġġett għal obbligi li jipprekluduh milli jonora dawn il-klawżoli u li għandhom l-effett li ma tistax tiġi żgurata protezzjoni xierqa tad-data ttrasferita. Sa fejn ir-risposta għal din id-domanda taffettwa, fil-fehma tiegħi, il-validità tad-Deċiżjoni 2010/87 ( 47 ), jien ser nindirizzaha flimkien mas-seba’ u mal-ħdax‑il domanda.

123.

Il-formulazzjoni tal-Artikolu 46(1) tal-GDPR, minħabba li tipprevedi li, “[f]in-nuqqas ta’ deċiżjoni skont l-Artikolu 45(3), kontrollur jew proċessur jista’ jittrasferixxi data personali lejn pajjiż terz […] biss jekk il-kontrollur jew il-proċessur ikun ipprovda salvagwardji xierqa […]” (enfasi miżjuda minni), tenfasizza l-loġika wara l-mekkaniżmi kuntrattwali bħal dak previst fid-Deċiżjoni 2010/87. Kif jenfasizzaw il-premessi 108 u 114 tal-GDPR, dawn il-mekkaniżmi għandhom l-għan li jippermettu t-trasferimenti lejn pajjiżi terzi li għalihom il-Kummissjoni ma adottatx deċiżjoni ta’ adegwatezza, u għalhekk l-insuffiċjenzi eventwali tal-protezzjoni żgurata fl-ordinament ġuridiku ta’ dak il-pajjiż terzi jiġu kkumpensati b’salvagwardji li l-esportatur u l-importatur tad-data jintrabtu kuntrattwalment li josservaw.

124.

Minħabba li r-raġuni għas-salvagwardji kuntrattwali hija preċiżament li jimtlew il-lakuni possibbli fil-protezzjoni offruta mill-pajjiżi terzi ta’ destinazzjoni, ikunu liema jkunu, il-validità ta’ deċiżjoni li permezz tagħha l-Kummissjoni tikkonstata li ċerti klawżoli standard jissodisfaw b’mod adegwat dawn il-lakuni ma tistax tiddependi mil-livell ta’ protezzjoni żgurat f’kull wieħed mill-pajjiżi terzi partikolari li lejhom tista’ tiġi ttrasferita d-data. Il-validità ta’ tali deċiżjoni tiddependi biss mis-solidità tas-salvagwardji li jipprovdu dawn il-klawżoli sabiex jikkumpensaw għall-insuffiċjenza eventwali tal-protezzjoni fil-pajjiż terz ta’ destinazzjoni. L-effettività ta’ dawn is-salvagwardji għandha tiġi evalwata waqt li jittieħdu inkunsiderazzjoni wkoll salvagwardji kkostitwiti mis-setgħa tal-awtoritajiet superviżorji taħt l-Artikolu 58(2) tal-GDPR.

125.

F’dan ir-rigward, kif irrilevaw, essenzjalment, id-DPC, M. Schrems, il-BSA, l-Irlanda, il-Gvern Awstrijak, dak Franċiż, dak Pollakk u dak Portugiż, kif ukoll il-Kummissjoni, is-salvagwardji fil-klawżoli kuntrattwali standard jistgħu jiġu mnaqqsa, jew saħansitra mxejna, meta d-dritt tal-pajjiż terz ta’ destinazzjoni jimponi fuq l-importatur obbligi kuntrarji għal dawk meħtieġa minn dawn il-klawżoli. Għaldaqstant, il-kuntest ġuridiku li jipprevali fil-pajjiż terz ta’ destinazzjoni jista’, skont iċ-ċirkustanzi konkreti tat-trasferiment ( 48 ), jagħmel it-twettiq tal-obbligi previsti minn dawn il-klawżoli impossibbli.

126.

F’dawn iċ-ċirkustanzi, kif enfasizzaw M. Schrems u l-Kummissjoni, il-mekkaniżmu kuntrattwali previst fl-Artikolu 46(2)(c) tal-GDPR huwa bbażat fuq ir-responsabbilizzazzjoni tal-esportatur kif ukoll, b’mod sussidjarju, tal-awtoritajiet superviżorji. Huwa fuq il-bażi ta’ każ b’każ, għal kull trasferiment speċifiku, li l-kontrollur jew, fin-nuqqas tiegħu, l-awtorità superviżorja, teżamina jekk id-dritt tal-pajjiż terz ta’ destinazzjoni jostakolax l-eżekuzzjoni tal-klawżoli standard u, għalhekk, protezzjoni xierqa tad-data ttrasferita, tant li t-trasferimenti jkollhom jiġu pprojbiti jew sospiżi.

127.

Fid-dawl ta’ dawn l-osservazzjonijiet, inqis li l-fatt li d-Deċiżjoni 2010/87 u l-klawżoli kuntrattwali standard li hija tistipula ma jorbtux lill-awtoritajiet tal-pajjiż terz ta’ destinazzjoni ma jrendix, waħdu, din id-deċiżjoni invalida. Il-konformità tad-Deċiżjoni 2010/87 mal-Artikoli 7, 8 u 47 tal-Karta tiddependi, fil-fehma tiegħi, minn jekk jeżistux mekkaniżmi suffiċjentement solidi li jippermettu li jiġi żgurat li t-trasferimenti bbażati fuq il-klawżoli kuntrattwali standard ikunu sospiżi jew ipprojbiti fil-każ ta’ ksur ta’ dawn il-klawżoli jew tal-impossibbiltà li jiġu osservati.

128.

F’dan ir-rigward, l-Artikolu 46(1) tal-GDPR jipprevedi li trasferiment ibbażat fuq salvagwardji xierqa jista’ jseħħ biss “bil-kondizzjoni li jkunu disponibbli drittijiet infurzabbli tas-suġġett tad-data u rimedji legali effettivi għas-suġġetti tad-data”. Jeħtieġ li jiġi vverifikat jekk is-salvagwardji previsti mill-klawżoli li jinsabu fl-Anness għad-Deċiżjoni 2010/87, issupplimentati bis-setgħat tal-awtoritajiet superviżorji, jippermettux li jiżguraw l-osservanza ta’ din il-kundizzjoni. Dan huwa l-każ biss, fil-fehma tiegħi, sa fejn hemm obbligu, fuq il-kontrolluri (Taqsima 1) u, fil-każ ta’ nuqqas ta’ azzjoni minn dawn tal-aħħar, fuq l-awtoritajiet ta’ superviżjoni (Taqsima 2), li jissospendu jew jipprojbixxu trasferiment meta, minħabba kunflitt bejn l-obbligi li jirriżultaw mill-klawżoli standard u dawk imposti mid-dritt tal-pajjiż terz ta’ destinazzjoni, dawn il-klawżoli ma jistgħux jiġu osservati.

1. Fuq l-obbligi tal-kontrolluri

129.

L-ewwel nett, il-klawżoli kuntrattwali standard li jinsabu fl-Anness għad-Deċiżjoni 2010/87 jirrikjedu li fil-każ ta’ kunflitt bejn l-obbligi li huma jipprevedu u r-rekwiżiti li jirriżultaw mid-dritt tal-pajjiż terz ta’ destinazzjoni, dawn il-klawżoli ma jkunux invokati insostenn ta’ trasferiment lejn dan il-pajjiż terz jew, jekk it-trasferiment ikun diġà beda abbażi tal-imsemmija klawżoli, l-esportatur ikun informat dwar dan il-kunflitt u jkun jista’ jissospendi dan it-trasferiment.

130.

Għalhekk, skont il-Klawżola 5(a), l-importatur jintrabat li jipproċessa d-data personali ttrasferita fl-isem esklużiv tal-esportatur u skont l-istruzzjonijiet ta’ dan tal-aħħar kif ukoll skont il-klawżoli kuntrattwali standard. Jekk l-importatur ma jkunx jista’ jikkonforma ma’ dawn il-klawżoli, huwa jaċċetta li jinforma b’dan fl-iqsar żmien possibbli lill-esportatur, f’liema każ dan tal-aħħar għandu d-dritt li jissospendi t-trasferiment u/jew li jħassar il-kuntratt ( 49 ).

131.

In-nota ta’ qiegħ il-paġna 5 relatata mal-Klawżola 5 tispeċifika li l-klawżoli standard ma jiġux miksura meta l-importatur jikkonforma mar-rekwiżiti mandatorji tal-leġiżlazzjoni nazzjonali applikabbli għalih fil-pajjiż terz, sakemm dawn ir-rekwiżiti ma jmorrux lil hinn minn dak li huwa meħtieġ f’soċjetà demokratika biex jiġi protett wieħed mill-interessi elenkati fl-Artikolu 13(1) tad-Direttiva 95/46 (li l-kontenut tiegħu huwa essenzjalment irriprodott fl-Artikolu 23(1) tal-GDPR), fosthom is-sigurtà pubblika u s-sigurtà nazzjonali. Għall-kuntrarju, in-nuqqas ta’ osservanza ta’ dawn il-klawżoli bl-għan li jkun hemm konformità ma’ obbligu kontradittorju dderivat mid-dritt tal-pajjiż terz ta’ destinazzjoni li jmur lil hinn minn dak li huwa proporzjonat għas-salvagwardja ta’ interess leġittimu rrikonoxxut mill-Unjoni huwa ttrattat bħala ksur tal-imsemmija klawżoli.

132.

Fil-fehma tiegħi, kif argumentaw M. Schrems u l-Kummissjoni, il-Klawżola 5(a) ma tistax tiġi interpretata bħala li timplika li s-sospensjoni tat-trasferiment jew ix-xoljiment tal-kuntratt huma biss fakultattivi meta l-importatur ma jkunx jista’ josserva l-klawżoli standard. Għalkemm din il-klawżola tevoka biss dritt f’dan is-sens għall-benefiċċju tal-esportatur, din il-formulazzjoni għandha tinftiehem b’riferiment għall-qafas kuntrattwali li tagħmel parti minnu. Il-fatt li l-esportatur ikun investit bi dritt, fir-relazzjonijiet bilaterali tiegħu mal-importatur, li jissospendi t-trasferiment jew li jxolji l-kuntratt meta dan tal-aħħar ma jkunx jista’ jonora l-klawżoli standard ma jippreġudikax l-obbligu li għandu l-esportatur li jipproċedi għalhekk fir-rigward tar-rekwiżiti ta’ protezzjoni tad-drittijiet tal-persuni kkonċernati li jirriżultaw mill-GDPR. Kwalunkwe interpretazzjoni oħra tirriżulta fl-invalidità tad-Deċiżjoni 2010/87 billi l-klawżoli kuntrattwali standard li hija tipprevedi ma jippermettux li t-trasferiment ikun kopert minn “salvagwardji xierqa” kif jirrikjedi l-Artikolu 46(1) tal-GDPR, moqri fid-dawl tad-dispożizzjonijiet tal-Karta ( 50 ).

133.

Barra minn hekk, skont il-Klawżola 5(b), l-importatur għandu jiżgura li ma għandu l-ebda raġuni għaliex jaħseb li l-leġiżlazzjoni applikabbli għalih twaqqfu milli jissodisfa l-istruzzjonijiet li jaslulu mill-esportatur u l-obbligi tiegħu skont il-kuntratt. Fil-każ ta’ tibdil fil-leġiżlazzjoni li jista’ jkollu effetti negattivi sostanzjali fuq is-salvagwardji u l-obbligi pprovduti mill-klawżoli standard, hu għandu jinnotifika fil-pront lill-esportatur b’dan it-tibdil, f’liema każ dan tal-aħħar ikun intitolat li jissospendi t-trasferiment tad-data u/jew ixolji l-kuntratt. Skont il-Klawżola 4(g), l-esportatur għandu jibgħat in-notifika li jirċievi mingħand l-importatur lill-awtorità superviżorja kompetenti jekk jiddeċiedi li jkompli bit-trasferiment.

134.

Hawnhekk jidhirli li huwa neċessarju li nipprovdi xi preċiżazzjonijiet dwar il-kontenut tal-eżami li għandhom jagħmlu l-partijiet fil-kuntratt sabiex jiġi ddeterminat, fid-dawl tan-nota ta’ qiegħ il-paġna relatata mal-Klawżola 5, jekk l-obbligi li d-dritt tal-Istat terz jimponi fuq l-importatur jiksrux il-klawżoli standard u, għaldaqstant, jipprekludux li t-trasferiment ikun kopert minn salvagwardji xierqa. Din il-problema tqajmet, essenzjalment, fil-kuntest tat-tieni parti tas-sitt domanda preliminari.

135.

Tali eżami jimplika, fil-fehma tiegħi, it-teħid inkunsiderazzjoni taċ-ċirkustanzi kollha li jikkaratterizzaw kull trasferiment, inkluża n-natura tad-data u n-natura sensittiva eventwali tagħha, il-mekkaniżmi implimentati mill-esportatur u/jew l-importatur biex jiżgura s-sigurtà tagħhom ( 51 ), in-natura u l-iskop tal-ipproċessar mill-awtoritajiet pubbliċi tal-pajjiż terz li għalih ser tkun esposta d-data, il-metodi ta’ dan l-ipproċessar kif ukoll ir-restrizzjonijiet u s-salvagwardji żgurati minn dan il-pajjiż terz. Il-punti li jikkaratterizzaw l-attivitajiet ta’ pproċessar mill-awtoritajiet pubbliċi u s-salvagwardji applikabbli fl-ordinament ġuridiku tal-imsemmi pajjiż terz jistgħu, fil-fehma tiegħi, jikkoinċidu ma’ dawk stipulati fl-Artikolu 45(2) tal-GDPR.

136.	It-tieni nett, il-klawżoli kuntrattwali standard stipulati fl-Anness għad-Deċiżjoni 2010/87 jistabbilixxu għall-benefiċċju tal-persuni kkonċernati drittijiet infurzabbli kif ukoll rimedji ġudizzjarji kontra l-esportatur u, sussidjarjament, kontra l-importatur.

137.

Għaldaqstant, il-Klawżola 3, intitolata “Il-klawżola tal-parti terza benefiċjarja”, tipprevedi, fl-ewwel paragrafu tagħha, dritt għal azzjoni legali tal-persuna kkonċernata kontra l-esportatur fil-każ ta’ ksur, b’mod partikolari tal-Klawżola 5(a) jew (b). B’mod konformi mal-Klawżola 3(2), meta l-esportatur ikun fattwalment għeb jew ma jkunx għadu jeżisti legalment, il-persuna kkonċernata tista’ tapplika din il-klawżola kontra l-importatur.

138.

Il-Klawżola 6(1) tagħti lil kull persuna kkonċernata li tkun sofriet dannu bħala riżultat ta’ nuqqas ta’ twettiq tal-obbligi msemmija fil-Klawżola 3 d-dritt li tikseb kumpens mingħand l-esportatur għad-dannu subit. Taħt il-Klawżola 7(1), l-importatur jaqbel li, jekk il-persuna kkonċernata tinvoka kontrih id-drittijiet tal-parti terza benefiċjarja u/jew titlob kumpens għad-dannu subit, huwa jaċċetta d-deċiżjoni ta’ din il-persuna li jew tirreferi t-tilwima għall-medjazzjoni permezz ta’ persuna indipendenti jew, fejn applikabbli, tal-awtorità superviżorja, jew li tirreferi t-tilwima lill-qrati tal-Istat Membru li fih huwa stabbilit l-esportatur.

139.

Minbarra r-rimedji ġudizzjarji li għandhom disponibbli taħt il-klawżoli kuntrattwali standard previsti fl-Anness għad-Deċiżjoni 2010/87, il-persuni kkonċernati jistgħu, meta jqisu li dawn il-klawżoli ġew miksura, jitolbu lill-awtoritajiet superviżorji jadottaw miżuri korrettivi skont l-Artikolu 58(2) tal-GDPR, li għalih jirreferi l-Artikolu 4 tad-Deċiżjoni 2010/87 ( 52 ).

2. Fuq l-obbligi li għandhom l-awtoritajiet superviżorji

140.

Ir-raġunijiet li ġejjin iwassluni biex nikkunsidra, bħal M. Schrems, l-Irlanda, il-Gvern Ġermaniż, dak Awstrijak, dak Belġjan, dak Olandiż u dak Portugiż kif ukoll l-EDPB, li l-Artikolu 58(2) tal-GDPR jobbliga lill-awtoritajiet supeviżorji, meta jqisu, wara eżami diliġenti, li data ttrasferita lejn pajjiż terz ma tibbenefikax minn protezzjoni xierqa minħabba n-nuqqas ta’ osservanza tal-klawżoli kuntrattwali miftiehma, jieħdu miżuri adegwati biex jirrimedjaw din l-illegalità, jekk ikun meħtieġ billi jordnaw is-sospensjoni tat-trasferiment.

141.

Fl-ewwel lok, nosserva li, kuntrarjament għal dak li jsostni d-DPC, ebda dispożizzjoni tad-Deċiżjoni 2010/87 ma tillimita l-eżerċizzju tas-setgħat li “timponi limitazzjoni temporanja jew definittiva inkluża projbizzjoni fuq l-ipproċessar” u li “tordna s-sospensjoni ta’ flussi ta’ data lejn riċevitur f’pajjiż terz”, li għandhom l-awtoritajiet superviżorji skont l-Artikolu 58(2)(f) u (j) tal-GDPR, għal każijiet eċċezzjonali.

142.

Il-verżjoni inizjali tal-Artikolu 4(1) tad-Deċiżjoni 2010/87 kienet ċertament tillimita l-eżerċizzju mill-awtoritajiet superviżorji tas-setgħat tagħhom li jissospendu jew jipprojbixxu l-flussi transkonfinali tad-data għal ċerti ipoteżijiet li fihom kien stabbilit li trasferiment fuq bażi kuntrattwali seta’ jkollu effetti negattivi sinjifikattivi fuq is-salvagwardji intiżi li jipproteġu l-persuna kkonċernata. Madankollu, l-Artikolu 4 ta’ din id-deċiżjoni, kif emendata mill-Kummissjoni fl‑2016 sabiex tikkonforma mas-sentenza Schrems ( 53 ), issa jagħmel biss referenza għal dawn is-setgħat, mingħajr ma jillimitahom bl-ebda mod. Fi kwalunkwe każ, deċiżjoni ta’ implimentazzjoni tal-Kummissjoni, bħad-Deċiżjoni 2010/87, ma tistax validament tillimita s-setgħat mogħtija lill-awtoritajiet superviżorji taħt il-GDPR innifsu ( 54 ).

143.

Din il-konklużjoni ma hijiex ikkontestata mill-premessa 11 tad-Deċiżjoni 2010/87, li tiddikjara li s-setgħat ta’ sospensjoni u ta’ projbizzjoni tat-trasferimenti jistgħu jiġu eżerċitati mill-awtoritajiet superviżorji f’“każijiet eċċezzjonali” biss. Din il-premessa, diġà eżistenti fil-verżjoni inizjali ta’ din id-deċiżjoni, kienet tirreferi għall-ex Artikolu 4(1) tal-imsemmija deċiżjoni, li kien jillimita s-setgħat tal-awtoritajiet superviżorji. Fir-reviżjoni tad-Deċiżjoni 2010/87 permezz tad-Deċiżjoni 2016/2297, il-Kummissjoni naqset milli tneħħi jew temenda l-imsemmija premessa sabiex tadatta l-kontenut tagħha għall-ħtiġijiet tal-Artikolu 4 l-ġdid. Il-premessa 5 tad-Deċiżjoni 2016/2297 madankollu kkonfermat is-setgħa tal-awtoritajiet superviżorji li jissospendu jew jipprojbixxu kull trasferiment li huma jqisu kuntrarju għad-dritt tal-Unjoni, b’mod partikolari, għaliex l-importatur ma jkunx osserva l-klawżoli kuntrattwali standard. Il-premessa 11 tad-Deċiżjoni 2010/87, minħabba li issa tikkontradixxi kemm il-formulazzjoni kif ukoll l-għan ta’ dispożizzjoni legalment vinkolanti tagħha, għandha titqies bħala obsoleta ( 55 ).

144.

Fit-tieni lok, kuntrarjament għal dak li jsostni wkoll id-DPC, l-eżerċizzju tas-setgħat ta’ sospensjoni u ta’ projbizzjoni previsti fl-Artikolu 58(2)(f) u (j) tal-GDPR, lanqas ma jikkostitwixxi sempliċi għażla li titħalla għad-diskrezzjoni tal-awtoritajiet ta’ superviżjoni. Din il-konklużjoni tirriżulta, fil-fehma tiegħi, minn interpretazzjoni tal-Artikolu 58(2) tal-GDPR fid-dawl ta’ dispożizzjonijiet oħrajn ta’ dan ir-regolament u tal-Karta, kif ukoll mill-istruttura u l-għanijiet tad-Deċiżjoni 2010/87.

145.

B’mod partikolari, l-Artikolu 58(2) tal-GDPR għandu jinqara fid-dawl tal-Artikolu 8(3) tal-Karta u tal-Artikolu 16(2) TFUE. Skont dawn id-dispożizzjonijiet, l-osservanza tar-rekwiżiti li jimplika d-dritt fundamentali għall-protezzjoni tad-data personali hija suġġetta għas-superviżjoni minn awtoritajiet indipendenti. Din il-missjoni ta’ sorveljanza tal-osservanza tar-rekwiżiti relatati mal-protezzjoni tad-data personali, imsemmija wkoll fl-Artikolu 57(1)(a) tal-GDPR, timplika obbligu għall-awtoritajiet superviżorji li jaġixxu b’mod li jiżguraw l-applikazzjoni xierqa ta’ dan ir-regolament.

146.

Għaldaqstant, awtorità superviżorja għandha teżamina bid-diliġenza kollha dovuta l-ilment magħmul minn persuna li d-data tagħha allegatament ġiet ittrasferita lejn Stat terz bi ksur tal-klawżoli kuntrattwali standard applikabbli għat-trasferiment ( 56 ). L-Artikolu 58(1) tal-GDPR jagħti lill-awtoritajiet superviżorji setgħat investigattivi sinjifikattivi għal dan l-għan ( 57 ).

147.

L-awtorità superviżorja kompetenti għandha wkoll l-obbligu li tirreaġixxi kif xieraq għall-ksur possibbli tad-drittijiet tal-persuna kkonċernata li hija tkun sabet fi tmiem l-investigazzjoni tagħha. F’dan ir-rigward, kull awtorità superviżorja għandha, taħt l-Artikolu 58(2) tal-GDPR, firxa wiesgħa ta’ mezzi – bid-diversi setgħat li tadotta miżuri korrettivi elenkati f’din id-dispożizzjoni – sabiex twettaq il-kompitu fdat lilha ( 58 ).

148.

Għalkemm l-għażla tal-iktar mezz effettiv taqa’ fid-diskrezzjoni tal-awtorità superviżorja kompetenti, wara li tqis iċ-ċirkustanzi kollha tat-trasferiment inkwistjoni, din għandha twettaq bis-sħiħ il-missjoni ta’ sorveljanza fdata lilha. Jekk ikun meħtieġ, din l-awtorità għandha tissospendi t-trasferiment jekk hija tikkonkludi li l-klawżoli kuntrattwali standard ma humiex osservati u li protezzjoni xierqa tad-data ttrasferita ma tistax tiġi żgurata b’mezzi oħrajn, sakemm l-esportatur ma jkunx temm it-trasferiment huwa nnifsu.

149.

Din l-interpretazzjoni hija kkorroborata mill-Artikolu 58(4) tal-GDPR, li jipprevedi li l-eżerċizzju tas-setgħat mogħtija lill-awtoritajiet superviżorji skont dan l-artikolu għandu jkun suġġett għal salvagwardji xierqa, inkluż rimedju ġudizzjarju effettiv f’konformità mal-Artikolu 47 tal-Karta. L-Artikolu 78(1) u (2) tal-GDPR jirrikonoxxi, barra minn hekk, id-dritt ta’ kull persuna għal rimedju ġudizzjarju effettiv kontra deċiżjoni legalment vinkolanti ta’ awtorità superviżorja li tikkonċernaha jew meta din l-awtorità ma tittrattax l-ilment tagħha ( 59 ).

150.

Dawn id-dispożizzjonijiet jimplikaw, kif jargumentaw essenzjalment M. Schrems, il-BSA, l-Irlanda, il-Gvern Pollakk u dak tar-Renju Unit, kif ukoll il-Kummissjoni, li deċiżjoni li permezz tagħha awtorità superviżorja tastjeni milli tipprojbixxi jew tissospendi trasferiment lejn pajjiż terz, fuq talba ta’ persuna li tinvoka riskju li data li tikkonċernaha tiġi pproċessata hemmhekk bi ksur tad-drittijiet fundamentali tagħha, tista’ tkun is-suġġett ta’ rimedju ġudizzjarju. Madankollu, ir-rikonoxximent ta’ dritt għal rimedju ġudizzjarju jippreżupponi l-eżistenza ta’ kompetenza limitata, u mhux purament diskrezzjonali, tal-awtoritajiet superviżorji. Barra minn hekk, M. Schrems u l-Kummissjoni enfasizzaw, ġustament, li l-eżerċizzju ta’ stħarriġ ġudizzjarju effettiv jimplika li l-awtorità awtriċi tal-att ikkontestat timmotiva dan b’mod adegwat ( 60 ). Dan l-obbligu ta’ motivazzjoni għandu jkun estiż, fil-fehma tiegħi, għall-għażla mill-awtoritajiet superviżorji li jużaw waħda jew oħra mis-setgħat mogħtija lilhom mill-Artikolu 58(2) tal-GDPR.

151.

Madankollu, għadu meħtieġ li tingħata tweġiba għall-argumenti li permezz tagħhom id-DPC jargumenta li, anki jekk l-awtoritajiet superviżorji huma obbligati jissospendu jew jipprojbixxu trasferiment meta l-protezzjoni tad-drittijiet tal-persuna kkonċernata teżiġi dan, il-validità tad-Deċiżjoni 2010/87 xorta waħda ma hijiex żgurata.

152.

L-ewwel nett, id-DPC iqis li tali obbligu ma jirrimedjax il-problemi sistemiċi relatati mal-assenza ta’ salvagwardji adegwati f’pajjiż terz bħall-Istati Uniti. Fil-fatt, is-setgħat tal-awtoritajiet superviżorji jistgħu jiġu eżerċitati biss każ b’każ, anki jekk il-lakuni li jikkaratterizzaw id-dritt Amerikan huma allegatament ta’ natura ġenerali u strutturali. Minn dan jirriżulta riskju li awtoritajiet superviżorji differenti jadottaw deċiżjonijiet diverġenti dwar trasferimenti paragunabbli.

153.

F’dan ir-rigward, ma nistax ninjora d-diffikultajiet prattiċi marbuta mal-għażla leġiżlattiva li r-responsabbiltà tas-sorveljanza tar-rispett tad-drittijiet fundamentali tal-persuni kkonċernati fil-kuntest ta’ trasferimenti speċifiċi jew ta’ fluss lejn destinatarju partikolari titpoġġa fuq l-awtoritajiet superviżorji. Madankollu, dawn id-diffikultajiet ma jidhirlix li jwasslu għall-invalidità tad-Deċiżjoni 2010/87.

154.	Fil-fatt, id-dritt tal-Unjoni ma jirrikjedix, jidhirli, li tiġi pprovduta soluzzjoni globali u preventiva għat-trasferimenti kollha lejn pajjiż terz speċifiku li jistgħu jġorru l-istess riskju ta’ ksur tad-drittijiet fundamentali.

155.

Barra minn hekk, ir-riskju ta’ frammentazzjoni tal-approċċi segwiti mill-awtoritajiet superviżorji differenti huwa inerenti għall-arkitettura tas-sorveljanza deċentralizzata mixtieqa mil-leġiżlatur ( 61 ). Barra minn hekk, kif enfasizza l-Gvern Ġermaniż, il-Kapitolu VII tal-GDPR, intitolat “Kooperazzjoni u konsistenza”, jistabbilixxi mekkaniżmi intiżi biex jiġi evitat dan ir-riskju. L-Artikolu 60 ta’ dan ir-regolament jipprevedi, fil-każ ta’ pproċessar transfkonfinali tad-data, proċedura ta’ kooperazzjoni bejn l-awtoritajiet superviżorji kkonċernati u l-awtorità superviżorja tal-istabbiliment tal-kontrollur, imsejħa l-“awtorità superviżorja ewlenija” ( 62 ). Fil-każ ta’ opinjonijiet differenti, in-nuqqas ta’ ftehim għandu jiġi solvut mill-EDPB ( 63 ). Dan tal-aħħar huwa wkoll kompetenti sabiex joħroġ opinjonijiet, fuq talba ta’ awtorità superviżorja, fuq kwalunkwe kwistjoni li l-interess tagħha huwa mifrux għal diversi Stati Membri ( 64 ).

156.

It-tieni nett, id-DPC jeċċepixxi l-invalidità tad-Deċiżjoni 2010/87 fid-dawl tal-Artikolu 47 tal-Karta minħabba li l-awtoritajiet superviżorji jistgħu jipproteġu d-drittijiet tal-persuni kkonċernati għall-futur biss, mingħajr ma joffru soluzzjoni lil dawk li d-data tagħhom diġà ġiet ittrasferita. B’mod partikolari, id-DPC jinnota li l-Artikolu 58(2) tal-GDPR ma jipprevedix dritt għall-aċċess, għar-rettifika u għat-tħassir tad-data miġbura mill-awtoritajiet pubbliċi tal-pajjiż terz u lanqas il-possibbiltà ta’ kumpens għad-dannu subit mill-persuni kkonċernati.

157.

Fir-rigward tal-allegata assenza ta’ dritt ta’ aċċess, ta’ rettifika u ta’ tħassir tad-data miġbura, għandu jiġi nnotat li, meta ma jeżisti l-ebda rimedju effettiv fil-pajjiż terz ta’ destinazzjoni, ir-rimedji ġudizzjarji previsti fi ħdan l-Unjoni kontra l-kontrollur ma jippermettux li wieħed jikseb l-aċċess għal din id-data jew ir-rettifika jew it-tħassir tagħha mill-awtoritajiet pubbliċi ta’ dan il-pajjiż terz.

158.

Fil-fehma tiegħi, din l-oġġezzjoni ma tiġġustifikax madankollu l-inkompatibbiltà tad-Deċiżjoni 2010/87 mal-Artikolu 47 tal-Karta. Fil-fatt, il-validità ta’ din id-deċiżjoni ma tiddependix mil-livell ta’ protezzjoni eżistenti f’kull pajjiż terz li lejh tista’ tiġi ttrasferita data abbażi tal-klawżoli kuntrattwali standard li hija tistabbilixxi. Jekk id-dritt tal-Istat terz ta’ destinazzjoni jipprekludi lill-importatur milli josserva dawn il-klawżoli billi jirrikjedi li huwa jagħti lill-awtoritajiet pubbliċi aċċess għad-data li miegħu ma hemmx possibbiltajiet ta’ rimedju xierqa, hija r-responsabbiltà, fil-każ li l-esportatur ma jkunx issospenda t-trasferiment skont il-Klawżola 5(a) jew (b) li tinsab fl-Anness għad-Deċiżjoni 2010/87, tal-awtoritajiet superviżorji li jadottaw miżuri korrettivi.

159.	Barra minn hekk, kif enfasizza M. Schrems, il-persuni li d-drittijiet tagħhom ikunu ġew miksura issa jibbenefikaw, skont l-Artikolu 82 tal-GDPR, minn dritt għal kumpens, mingħand il-kontrollur jew il-proċessur, għad-dannu materjali jew morali mġarrab minħabba ksur ta’ dan ir-regolament ( 65 ).

160.	Kif jirriżulta minn dawn il-kunsiderazzjonijiet kollha, l-analiżi tiegħi ma esponiet l-ebda fattur li jista’ jaffettwa l-validità tad-Deċiżjoni 2010/87 fid-dawl tal-Artikoli 7, 8 u 47 tal-Karta.

F. Fuq l-assenza tal-ħtieġa li tingħata risposta għad-domandi preliminari l-oħrajn u li tiġi eżaminata l-validità tad-Deċiżjoni “Ħarsien tal-privatezza”

161.

F’din it-taqsima, ser nesponi r-raġunijiet, relatati prinċipalment mal-limitazzjoni tas-suġġett tal-kawża prinċipali għall-validità tad-Deċiżjoni 2010/87, li għalihom inqis li ma hemmx lok li tingħata risposta għat-tieni sal-ħames kif ukoll għad-disa’ u l-għaxar domanda preliminari u lanqas li tittieħed deċiżjoni dwar il-validità tad-Deċiżjoni “Ħarsien tal-privatezza”.

162.

It-tieni domanda preliminari tirrigwarda l-identifikazzjoni tal-istandards ta’ protezzjoni li pajjiż terz għandu josserva sabiex data tkun tista’ tiġi ttrasferita legalment lejn dan il-pajjiż abbażi ta’ klawżoli kuntrattwali standard meta din id-data, wara t-trasferiment tagħha, tista’ tiġi pproċessata għal skopijiet ta’ sigurtà nazzjonali mill-awtoritajiet ta’ dan il-pajjiż terz. It-tielet domanda magħmula lill-Qorti tal-Ġustizzja tirrigwarda d-determinazzjoni tal-elementi li jikkaratterizzaw l-iskema ta’ protezzjoni applikabbli fl-Istat terz ta’ destinazzjoni li għandhom jittieħdu inkunsiderazzjoni bl-għan li jiġi vverifikat jekk tissodisfax dawn l-istandards.

163.

Permezz tar-raba’, il-ħames u l-għaxar domanda tagħha, il-qorti tar-rinviju tistaqsi essenzjalment jekk, fid-dawl tal-fatti kkonstatati minnha fir-rigward tad-dritt tal-Istati Uniti, humiex previsti salvagwardji xierqa kontra l-interferenzi mill-awtoritajiet tal-intelligence Amerikani fl-eżerċizzju tad-drittijiet fundamentali tar-rispett tal-privatezza, tal-protezzjoni tad-data personali u tal-protezzjoni ġudizzjarja effettiva.

164.

Id-disa’ domanda preliminari tirrigwarda l-impatt li għandu, fil-kuntest tal-eżami li permezz tiegħu awtorità superviżorja tivverifika jekk trasferiment lejn l-Istati Uniti bbażat fuq il-klawżoli kuntrattwali standard previsti fid-Deċiżjoni 2010/87 huwiex kopert minn salvagwardji xierqa, il-fatt li l-Kummissjoni, fid-Deċiżjoni “Ħarsien tal-privatezza”, ikkonstatat li l-Istati Uniti jipprovdu livell ta’ protezzjoni adegwat tad-drittijiet fundamentali tal-persuni kkonċernati kontra dawn l-interferenzi.

165.

Id-domanda dwar il-validità tad-Deċiżjoni “Ħarsien tal-privatezza”, min-naħa tagħha, ma saritx b’mod espliċitu mill-qorti tar-rinviju, għalkemm, kif spjegat iktar ’il quddiem ( 66 ), ir-raba’, il-ħames u l-għaxar domanda preliminari jixħtu dubju, indirettament, fuq il-fondatezza tal-konstatazzjoni ta’ adegwatezza magħmula mill-Kummissjoni f’din id-deċiżjoni.

166.

Fil-fehma tiegħi, fid-dawl tal-elementi li joħorġu mill-analiżi preċedenti, il-kjarifika tal-Qorti tal-Ġustizzja dwar dawn id-domandi ma tistax taffettwa l-konklużjoni tagħha dwar il-validità in abstracto tad-Deċiżjoni 2010/87 u lanqas, għalhekk, tinfluwenza r-riżoluzzjoni tat-tilwima fil-kawża prinċipali (Taqsima 1). Barra minn hekk, għalkemm ir-risposti tal-Qorti tal-Ġustizzja għall-imsemmija domandi jistgħu, fi stadju ulterjuri, jirriżultaw utli għad-DPC sabiex jiddetermina, fil-kuntest tal-proċedimenti sottostanti għal din il-kawża, jekk it-trasferimenti inkwistjoni għandhomx, in concreto, jiġu sospiżi minħabba l-assenza allegata ta’ salvagwardji xierqa, ikun prematur, fil-fehma tiegħi, li jiġu deċiżi fil-kuntest ta’ din il-kawża (Taqsima 2).

1. Fuq l-assenza ta’ ħtieġa tar-risposti tal-Qorti tal-Ġustizzja fir-rigward tas-suġġett tal-kawża prinċipali

167.

Infakkar li t-tilwima fil-kawża prinċipali tirriżulta mill-eżerċizzju tad-DPC tar-rimedju deskritt fil-punt 65 tas-sentenza Schrems, skont liema kull Stat Membru għandu jippermetti lil awtorità superviżorja, meta hija tqis li huwa neċessarju għall-finijiet tal-ipproċessar ta’ lment li għandha quddiemha, li titlob lil qorti nazzjonali tagħmel talba lill-Qorti tal-Ġustizzja għal deċiżjoni preliminari dwar il-validità ta’ deċiżjoni ta’ adegwatezza, jew, b’analoġija, ta’ deċiżjoni li tistabbilixxi klawżoli kuntrattwali standard.

168.

F’dan ir-rigward, il-High Court (il-Qorti Għolja) enfasizzat li hija kellha biss għad-dispożizzjoni tagħha l-għażliet, wara li ġiet adita mid-DPC, li tippreżenta r-rinviju għal deċiżjoni preliminari dwar il-validità tad-Deċiżjoni 2010/87 mitlub mid-DPC fil-każ li hija jkollha l-istess dubji dwar il-validità ta’ din id-deċiżjoni, jew inkella li tirrifjuta li tagħmel din it-talba fl-ipoteżi opposta. Dik il-qorti tqis li, li kieku għamlet it-tieni għażla, hija kien ikollha tiċħad l-istanza, ladarba l-ilment tad-DPC ma kellu l-ebda suġġett ieħor ( 67 ).

169.

Fuq din l-istess linja, is-Supreme Court (il-Qorti Suprema), adita b’appell imressaq minn Facebook Ireland mid-deċiżjoni tar-rinviju, iddeskriviet il-kawża prinċipali bħala proċedura dikjaratorja li permezz tagħha d-DPC kien qiegħed jitlob lill-qorti tar-rinviju tagħmel lill-Qorti tal-Ġustizzja domanda preliminari dwar il-validità tad-Deċiżjoni 2010/87. Skont il-Qorti Suprema Irlandiża, l-unika domanda sostanzjali mqajma quddiem il-qorti tar-rinviju u quddiem il-Qorti tal-Ġustizzja tirrigwarda, għalhekk, il-validità ta’ din id-deċiżjoni ( 68 ).

170.

Wara li kkunsidrat is-suġġett tal-kawża prinċipali hekk ċirkoskritt, il-qorti tar-rinviju ressqet quddiem il-Qorti tal-Ġustizzja l-ewwel għaxar domandi tagħha sa fejn hija qieset li l-eżami tagħhom ikun parti mill-evalwazzjoni sħiħa meħtieġa sabiex il-Qorti tal-Ġustizzja tiddeċiedi, b’risposta għall-ħdax‑il domanda, dwar il-validità tad-Deċiżjoni 2010/87 fid-dawl tal-Artikoli 7, 8 u 47 tal-Karta. Din id-domanda tirrappreżenta, skont id-deċiżjoni tar-rinviju, l-eżitu loġiku tad-domandi li jippreċeduha.

171.

F’dan il-kuntest, it-tieni sal-ħames kif ukoll id-disa’ u l-għaxar domanda jidhirli li huma sostnuti mill-premessa li l-validità tad-Deċiżjoni 2010/87 tiddependi mil-livell ta’ protezzjoni tad-drittijiet fundamentali previst f’kull Stat terz li lejh tista’ tiġi ttrasferita data abbażi tal-klawżoli kuntrattwali standard li hija tipprevedi. Madankollu, kif jirriżulta mill-analiżi tiegħi tas-seba’ domanda ( 69 ), din id-domanda hija fil-fehma tiegħi żbaljata. L-eżami tad-dritt tal-pajjiż terz ta’ destinazzjoni jsir biss meta l-Kummissjoni tadotta deċiżjoni ta’ adegwatezza jew meta l-kontrollur, jew, fin-nuqqas tiegħu, l-awtorità superviżorja kompetenti, jivverifikaw jekk, fil-kuntest ta’ trasferiment ibbażat fuq salvagwardji xierqa fis-sens tal-Artikolu 46(1) tal-GDPR, l-obbligi li d-dritt ta’ dan il-pajjiż terz jimponi fuq l-importatur ma jikkompromettux l-effettività tal-protezzjoni żgurata b’dawn is-salvagwardji.

172.	Għaldaqstant, ir-risposti tal-Qorti tal-Ġustizzja għad-domandi msemmija iktar ’il fuq ma jistgħux jinfluwenzaw il-konklużjoni tagħha dwar il-ħdax‑il domanda ( 70 ). Barra minn hekk ma hemmx lok li tingħata risposta mill-perspettiva tas-suġġett tal-kawża prinċipali.

173.

Nipproponi lill-Qorti tal-Ġustizzja sabiex sempliċement tittratta din il-kawża mill-angolu tas-suġġett ta’ din il-kawża. Il-Qorti tal-Ġustizzja ma għandhiex, fl-opinjoni tiegħi, tmur lil hinn minn dak li huwa meħtieġ għar-riżoluzzjoni tal-imsemmija kawża billi tindirizza d-domandi preliminari mill-perspettiva tal-proċedura sottostanti pendenti quddiem id-DPC. Kif spjegat iktar ’il quddiem, din l-istedina għall-moderazzjoni ġejja, minn naħa, mir-rieda li ma jkunx hemm tfixkil fl-iżvolġiment normali tal-proċedura li ser tissokta quddiem id-DPC wara li l-Qorti tal-Ġustizzja tkun iddeċidiet fuq il-validità tad-Deċiżjoni 2010/87. Min-naħa l-oħra, fid-dawl tal-fatti tal-kawża odjerna, jidhirli li l-Qorti tal-Ġustizzja, anki mill-perspettiva tal-eżitu ta’ din il-proċedura, tkun qiegħda tgħaġġel xi ftit jekk hija teżamina l-kwistjonijiet imqajma mit-tieni sal-ħames kif ukoll mid-disa’ u l-għaxar domanda.

2. Fuq ir-raġunijiet għalfejn il-Qorti tal-Ġustizzja ma għandhiex teżamina s-suġġett tal-proċedura pendenti quddiem id-DPC

174.

Fl-ilment tiegħu quddiem id-DPC, M. Schrems jitlob lil din l-awtorità superviżorja sabiex teżerċita s-setgħat li għandha taħt l-Artikolu 58(2)(f) tal-GDPR billi tordna lil Facebook Ireland tissospendi t-trasferiment lejn l-Istati Uniti, magħmul abbażi tal-klawżoli kuntrattwali, tad-data personali li tikkonċernah. Insostenn ta’ din it-talba, M. Schrems jinvoka essenzjalment l-inadegwatezza ta’ dawn is-salvagwardji kuntrattwali fid-dawl tal-interferenzi fl-eżerċizzju tad-drittijiet fundamentali tiegħu li jirriżultaw mill-attivitajiet tas-servizzi tal-intelligence Amerikani.

175.

L-argumenti ta’ M. Schrems jikkontestaw il-konstatazzjoni magħmula mill-Kummissjoni fid-Deċiżjoni “Ħarsien tal-privatezza”, li l-Istati Uniti jiżguraw livell ta’ protezzjoni adegwat tad-data ttrasferita skont din id-deċiżjoni fid-dawl tar-restrizzjonijiet għall-aċċess għal din id-data u għall-użu tagħha mill-awtoritajiet tal-intelligence Amerikani kif ukoll tal-protezzjoni legali offruta lill-persuni kkonċernati ( 71 ). It-tħassib espress provviżorjament mid-DPC ( 72 ), kif ukoll mill-qorti tar-rinviju fil-kuntest tar-raba’, il-ħames u l-għaxar domanda tagħha, iqajjem ukoll, b’mod indirett, dubji fuq il-fondatezza ta’ din il-konstatazzjoni.

176.

Ċertament, id-Deċiżjoni “Ħarsien tal-privatezza” tikkonstata biss l-adegwatezza tal-livell ta’ protezzjoni tad-data personali ttrasferita, skont il-prinċipji li hija tistipula, lejn impriża stabbilita fl-Istati Uniti li tkun iċċertifikat hija stess il-konformità tagħha ma’ dawn il-prinċipji ( 73 ). Madankollu, il-kunsiderazzjonijiet li jinsabu fiha jmorru lil hinn mill-kuntest tat-trasferimenti koperti minn din id-deċiżjoni sa fejn jirrigwardaw id-dritt u l-prattiki fis-seħħ f’dak il-pajjiż terz għall-ipproċessar tad-data ttrasferita, għal skopijiet ta’ protezzjoni tas-sigurtà nazzjonali. Kif osservaw essenzjalment Facebook Ireland, M. Schrems, il-Gvern tal-Istati Uniti u l-Kummissjoni, is-sorveljanza eżerċitata mill-awtoritajiet tal-intelligence Amerikani, bħas-salvagwardji kontra r-riskji ta’ abbuż li tinvolvi u l-mekkaniżmi intiżi għall-monitoraġġ tal-konformità tagħhom, għandhom japplikaw, tkun xi tkun, mill-perspettiva tad-dritt tal-Unjoni, il-bażi legali invokata insostenn tat-trasferiment.

177.

F’din il-perspettiva, id-domanda dwar jekk il-konstatazzjonijiet magħmula dwar dan is-suġġett fid-Deċiżjoni “Ħarsien tal-privatezza” jorbtux lill-awtoritajiet superviżorji meta dawn jeżaminaw il-legalità ta’ trasferiment li jkun sar abbażi ta’ klawżoli kuntrattwali standard tista’ tkun rilevanti għall-finijiet tat-trattament tal-ilment ta’ M. Schrems mid-DPC. Fil-każ ta’ risposta affermattiva għal din id-domanda, tqum dik dwar jekk din id-deċiżjoni hijiex tabilħaqq valida.

178.

Madankollu, ma nagħtix parir lill-Qorti tal-Ġustizzja li tiddeċiedi fuq dawn id-domandi bl-għan uniku li tgħin lid-DPC jittratta dan l-ilment, minkejja li ma hemmx lok li tingħata risposta għalihom biex il-qorti tar-rinviju tkun tista’ ssolvi l-kawża prinċipali. Peress li l-proċedura prevista fl-Artikolu 267 TFUE tistabbilixxi djalogu bejn il-qrati, il-Qorti tal-Ġustizzja ma hijiex meħtieġa tagħmel kjarifiki bl-għan uniku li tassisti awtorità amministrattiva fil-kuntest ta’ proċedura sottostanti għal din il-kawża.

179.

Din ir-riżerva hija meħtieġa, fil-fehma tiegħi, iktar u iktar ladarba d-domanda dwar il-validità tad-Deċiżjoni “Ħarsien tal-privatezza” ma ġietx irreferita espressament lilha, billi din id-deċiżjoni kienet, barra minn hekk, diġà s-suġġett ta’ rikors għall-annullament pendenti quddiem il-Qorti Ġenerali tal-Unjoni Ewropea ( 74 ).

180.

Barra minn hekk, jekk tiddeċiedi dwar il-kwistjonijiet deskritti iktar ’il fuq, il-Qorti tal-Ġustizzja tfixkel, fil-fehma tiegħi, il-kors normali tal-proċedimenti li jridu jseħħu wara li tkun tat is-sentenza tagħha f’din il-kawża. F’din il-proċedura, huwa d-DPC li għandu jittratta l-ilment ta’ M. Schrems waqt li jikkunsidra r-risposta li l-Qorti tal-Ġustizzja ser tagħti għall-ħdax‑il domanda preliminari. Jekk il-Qorti tal-Ġustizzja tiddeċiedi, kif nipproponi jiena u kuntrarjament għal dak li argumenta d-DPC quddiemha, li d-Deċiżjoni 2010/87 ma hijiex invalida fid-dawl tal-Artikoli 7, 8 u 47 tal-Karta, id-DPC ikollu, fil-fehma tiegħi, jaċċetta l-possibbiltà li jeżamina mill-ġdid il-fajl tal-proċedimenti pendenti quddiemu. Jekk id-DPC jikkunsidra li ma jistax jiddeċiedi dwar l-ilment ta’ M. Schrems qabel ma l-Qorti tal-Ġustizzja tiddetermina jekk id-Deċiżjoni “Ħarsien tal-privatezza” tostakolax l-eżerċizzju tas-setgħat tiegħu ta’ sospensjoni tat-trasferiment inkwistjoni u jikkonferma d-dubji li kellu dwar il-validità ta’ din id-deċiżjoni, ikun jista’ jadixxi mill-ġdid lill-qrati nazzjonali sabiex dawn jistaqsu lill-Qorti tal-Ġustizzja dwar dan ( 75 ).

181.

B’hekk tiskatta proċedura li tippermetti lil kull parti u lil kull parti kkonċernata tippreżenta osservazzjonijiet lill-Qorti tal-Ġustizzja rigward speċifikament il-validità tad-Deċiżjoni “Ħarsien tal-privatezza”, filwaqt li tindika, fejn xieraq, l-evalwazzjonijiet speċifiċi li tkun qiegħda tikkontesta kif ukoll ir-raġunijiet li għalihom hija tqis li l-Kummissjoni qabżet il-marġni ta’ diskrezzjoni limitat li hija kellha ( 76 ). Fi proċedura bħal din, il-Kummissjoni jkollha l-opportunità twieġeb preċiżament u fid-dettall għal kull kritika eventwali diretta kontra l-imsemmija deċiżjoni. Għalkemm din il-kawża pprovdiet l-okkażjoni għall-partijiet u għall-partijiet ikkonċernati li ppreżentaw osservazzjonijiet lill-Qorti tal-Ġustizzja sabiex jiddibattu ċerti aspetti rilevanti għall-finijiet ta’ evalwazzjoni tal-konformità tad-Deċiżjoni “Ħarsien tal-privatezza” mal-Artikoli 7, 8 u 47 tal-Karta, din il-kwistjoni jistħoqqilha, fid-dawl tal-eżitu tagħha, diskussjoni eżawrjenti u ddettaljata.

182.

Fil-fehma tiegħi, il-prudenza titlob li wieħed jistenna sakemm dawn il-passi proċedurali jkunu ttieħdu qabel ma l-Qorti tal-Ġustizzja teżamina l-impatt li għandha d-Deċiżjoni “Ħarsien tal-privatezza” fuq it-trattament minn awtorità superviżorja ta’ talba għal sospensjoni ta’ trasferiment magħmul lejn l-Istati Uniti taħt l-Artikolu 46(1) tal-GDPR u tiddeċiedi dwar il-validità ta’ din id-deċiżjoni.

183.

Dan japplika wkoll, a fortiori, sa fejn il-proċess ippreżentat lill-Qorti tal-Ġustizzja ma jwassalx għall-konklużjoni li t-trattament mid-DPC tal-ilment ta’ M. Schrems ser jiddependi neċessarjament minn jekk id-Deċiżjoni “Ħarsien tal-privatezza” tipprekludix l-eżerċizzju mill-awtoritajiet superviżorji tas-setgħa tagħhom li jissospendu trasferiment ibbażat fuq klawżoli kuntrattwali standard.

184.

F’dan ir-rigward, fl-ewwel lok, ma huwiex eskluż li d-DPC jista’ jkollu jissospendi t-trasferiment inkwistjoni għal raġunijiet oħrajn minbarra dawk relatati mal-allegat nuqqas ta’ adegwatezza tal-livell ta’ protezzjoni żgurat fl-Istati Uniti kontra l-ksur tad-drittijiet fundamentali tal-persuni kkonċernati li jirriżulta mill-attivitajiet tas-servizzi tal-intelligence Amerikani. B’mod partikolari, il-qorti tar-rinviju speċifikat li M. Schrems isostni, fl-ilment tiegħu lid-DPC, li l-klawżoli kuntrattwali invokati minn Facebook Ireland insostenn ta’ dan it-trasferiment ma jirriflettux eżattament dawk stipulati fl-Anness għad-Deċiżjoni 2010/87. M. Schrems jallega, barra minn hekk, li l-imsemmi trasferiment ma jaqax fil-kamp ta’ applikazzjoni ta’ din id-deċiżjoni, iżda tad-Deċiżjonijiet KKS l-oħrajn ( 77 ).

185.

Fit-tieni lok, id-DPC u l-qorti tar-rinviju enfasizzaw li Facebook Ireland ma invokatx, insostenn tat-trasferiment imsemmi fl-ilment ta’ M. Schrems, id-Deċiżjoni “Ħarsien tal-privatezza” ( 78 ), u din il-kumpannija kkonfermat dan waqt is-seduta. Għalkemm Facebook Inc. iċċertifikat hija stess l-adeżjoni tagħha mal-prinċipji tal-ħarsien tal-privatezza tad-data mit-30 ta’ Settembru 2016 ( 79 ), Facebook Ireland tafferma li din l-adeżjoni tirrigwarda biss it-trasferiment ta’ ċerti kategoriji ta’ data, jiġifieri dawk li jirrigwardaw l-imsieħba kummerċjali ta’ Facebook Inc. Jidhirli li ma huwiex xieraq li l-Qorti tal-Ġustizzja tantiċipa l-mistoqsijiet li jistgħu jitqajmu dwar dan is-suġġett meta teżamina jekk, anki jekk Facebook Ireland ma tkunx tista’ tibbaża ruħha fuq id-Deċiżjoni 2010/87 insostenn tat-trasferiment inkwistjoni, dan it-trasferiment ikunx xorta waħda kopert mid-Deċiżjoni “Ħarsien tal-privatezza”, meta din tal-aħħar la qajmet dan l-argument quddiem il-qorti tar-rinviju u lanqas quddiem id-DPC.

186.	Minn dan nikkonkludi li ma hemmx lok li tingħata risposta għat-tieni sal-ħames kif ukoll għad-disa’ u l-għaxar domanda preliminari u lanqas li tiġi eżaminata l-validità tad-Deċiżjoni “Ħarsien tal-privatezza”.

G. Osservazzjonijiet sussidjarji dwar l-effetti u l-validità tad-Deċiżjoni “Ħarsien tal-privatezza”

187.

Għalkemm l-analiżi preċedenti twassalni biex nipproponi lill-Qorti tal-Ġustizzja, prinċipalment, sabiex tastjeni milli tiddeċiedi fuq l-impatt tad-Deċiżjoni “Ħarsien tal-privatezza” fuq it-trattament ta’ lment bħal dak imressaq minn M. Schrems quddiem id-DPC u fuq il-validità ta’ din id-deċiżjoni, deherli li huwa utli li nagħmel, sussidjarjament u b’riżervi, xi osservazzjonijiet mhux eżawrjenti dwar dan is-suġġett.

1. Fuq l-impatt tad-Deċiżjoni “Ħarsien tal-privatezza” fil-kuntest tat-trattament minn awtorità superviżorja ta’ lment dwar il-legalità ta’ trasferiment ibbażat fuq salvagwardji kuntrattwali

188.

Id-disa’ domanda preliminari tqajjem il-punt dwar jekk il-konstatazzjoni magħmula fid-Deċiżjoni “Ħarsien tal-privatezza” dwar l-adegwatezza, fid-dawl tar-restrizzjonijiet għall-aċċess għad-data ttrasferita u għall-użu tagħha mill-awtoritajiet Amerikani għal skopijiet ta’ sigurtà nazzjonali kif ukoll dwar il-protezzjoni ġuridika tal-persuni kkonċernati, tal-livell ta’ protezzjoni żgurat fl-Istati Uniti tostakolax lil awtorità superviżorja milli tissospendi trasferiment lejn dan il-pajjiż terz eżegwit skont klawżoli kuntrattwali standard.

189.

Jidhirli li din il-problema għandha tinftiehem fid-dawl tal-punti 51 u 52 tas-sentenza Schrems, li minnhom jirriżulta li deċiżjoni ta’ adegwatezza hija vinkolanti għall-awtoritajiet superviżorji sakemm ma tkunx iddikjarata invalida. Awtorità superviżorja adita bl-ilment mingħand persuna li d-data tagħha hija ttrasferita lejn pajjiż terz kopert minn deċiżjoni ta’ adegwatezza ma tistax, għalhekk, tissospendi t-trasferiment għar-raġuni li l-livell ta’ protezzjoni hemmhekk ma huwiex adegwat, jekk il-Qorti tal-Ġustizzja ma tkunx iddikjarat din id-deċiżjoni invalida minn qabel ( 80 ).

190.

Il-qorti tar-rinviju tixtieq essenzjalment tkun taf jekk, fir-rigward ta’ deċiżjoni ta’ adegwatezza, bħad-Deċiżjoni “Ħarsien tal-privatezza”, jew, qabilha, id-Deċiżjoni “Port Salv”, ibbażata fuq l-adeżjoni volontarja tal-impriżi mal-prinċipji li hija tistipula, din il-konklużjoni hijiex valida biss sa fejn it-trasferiment lejn il-pajjiż terz inkwistjoni huwa kopert minn din id-deċiżjoni, jew inkella meta jkun ibbażat fuq bażi legali separata.

191.

Skont M. Schrems, il-Gvern Ġermaniż, dak Olandiż, dak Pollakk u dak Portugiż kif ukoll il-Kummissjoni, il-konstatazzjoni ta’ adegwatezza li saret fid-Deċiżjoni “Ħarsien tal-privatezza” ma tneħħix is-setgħa tal-awtoritajiet superviżorji li jissospendu jew jipprojbixxu trasferiment lejn l-Istati Uniti magħmul taħt klawżoli kuntrattwali standard. Meta t-trasferiment lejn l-Istati Uniti ma jkunx ibbażat fuq id-Deċiżjoni “Ħarsien tal-privatezza”, l-awtoritajiet superviżorji ma jkunux formalment marbuta b’din id-deċiżjoni fl-eżerċizzju tas-setgħat li jagħtihom l-Artikolu 58(2) tal-GDPR. Dawn l-awtoritajiet jistgħu, fi kliem ieħor, jitbiegħdu mill-konstatazzjonijiet magħmula mill-Kummissjoni dwar l-adegwatezza tal-livell ta’ protezzjoni kontra l-interferenzi mill-awtoritajiet pubbliċi Amerikani fl-eżerċizzju tad-drittijiet fundamentali tal-persuni kkonċernati. Il-Gvern Olandiż u l-Kummissjoni jispeċifikaw li l-awtoritajiet superviżorji għandhom, madankollu, jikkunsidrawhom meta jużaw dawn is-setgħat. Fl-opinjoni tal-Gvern Ġermaniż, dawn l-awtoritajiet jistgħu jagħmlu evalwazzjonijiet kuntrarji biss wara eżami fuq il-mertu, li jinkludi l-investigazzjonijiet rilevanti, tal-konstatazzjonijiet magħmula mill-Kummissjoni.

192.

Għall-kuntrarju, Facebook Ireland u l-Gvern tal-Istati Uniti jargumentaw, essenzjalment, li l-effett vinkolanti ta’ deċiżjoni ta’ adegwatezza jimplika, fid-dawl tar-rekwiżiti taċ-ċertezza legali u tal-applikazzjoni uniformi tad-dritt tal-Unjoni, li l-awtoritajiet superviżorji ma humiex kompetenti sabiex jikkontestaw, anki fil-kuntest tat-trattament ta’ lment intiż biex tinkiseb is-sospensjoni ta’ trasferimenti li jkunu saru lejn il-pajjiż terz inkwistjoni fuq bażi oħra għajr ta’ din id-deċiżjoni, il-konstatazzjonijiet li jinsabu fl-imsemmija deċiżjoni.

193.

Jien naqbel mal-ewwel wieħed minn dawn iż-żewġ approċċi. Peress li l-kamp ta’ applikazzjoni tad-Deċiżjoni “Ħarsien tal-privatezza” huwa limitat għat-trasferimenti mwettqa lejn impriża li ċċertifikat lilha nnifisha taħt din id-deċiżjoni, l-imsemmija deċiżjoni ma tistax tillimita formalment lill-awtoritajiet superviżorji fit-trasferimenti li ma jaqgħux f’dan il-kamp ta’ applikazzjoni. Id-Deċiżjoni “Ħarsien tal-privatezza” għandha, b’mod korrelattiv, il-pretensjoni li tiżgura ċ-ċertezza legali għall-benefiċċju biss tal-esportaturi li jittrasferixxu data fil-kuntest li hija tistabbilixxi. Fil-fehma tiegħi, l-indipendenza li l-Artikolu 52 tal-GDPR jirrikonoxxi lill-awtoritajiet superviżorji topponi wkoll il-fatt li jkunu marbuta bil-konstatazzjonijiet magħmula mill-Kummissjoni f’deċiżjoni ta’ adegwatezza anki lil hinn mill-kamp ta’ applikazzjoni tagħha.

194.

Ovvjament, il-konstatazzjonijiet li jinsabu fid-Deċiżjoni “Ħarsien tal-privatezza” dwar l-adegwatezza tal-livell ta’ protezzjoni żgurat fl-Istati Uniti kontra l-interferenzi marbuta mal-attivitajiet tas-servizzi tal-intelligence tagħhom jikkostitwixxu l-punt tat-tluq tal-analiżi li permezz tagħha awtorità superviżorja tevalwa, każ b’każ, jekk trasferiment ibbażat fuq klawżoli kuntrattwali standard għandux ikun sospiż minħabba tali interferenzi. Madankollu, jekk hija tqis, wara investigazzjoni fil-fond, li ma tistax taqbel ma’ dawn il-konstatazzjonijiet f’dak li jirrigwarda t-trasferiment miġjub għall-attenzjoni tagħha, l-awtorità superviżorja kompetenti għandha żżomm, fil-fehma tiegħi, il-possibbiltà li teżerċita s-setgħat li jagħtiha l-Artikolu 58(2)(f) u (j) tal-GDPR.

195.	Fil-fatt, jekk il-Qorti tal-Ġustizzja tirriżerva għad-domanda eżaminata hawnhekk risposta kuntrarja għal dik li nsostni jiena, ikun hemm lok li jiġi eżaminat jekk dawn is-setgħat għandhomx madankollu jingħataw lura minħabba l-invalidità tad-Deċiżjoni “Ħarsien tal-privatezza”.

2. Fuq il-validità tad-Deċiżjoni “Ħarsien tal-privatezza”

196.

L-osservazzjonijiet li ġejjin ser iqajmu ċerti mistoqsijiet dwar il-fondatezza tal-evalwazzjonijiet li jinsabu fid-Deċiżjoni “Ħarsien tal-privatezza” f’dak li jirrigwarda l-adegwatezza, fis-sens tal-Artikolu 45(1) tal-GDPR, tal-livell ta’ protezzjoni żgurat mill-Istati Uniti fid-dawl tal-attivitajiet ta’ sorveljanza tal-komunikazzjonijiet elettroniċi mwettqa mill-awtoritajiet tal-intelligence Amerikani. Dawn l-osservazzjonijiet ma humiex maħsuba sabiex jesponu pożizzjoni definittiva jew eżawrjenti fuq il-validità ta’ din id-deċiżjoni. Dawn sempliċement ser jipprovdu ċerti riflessjonijiet li jistgħu jkunu utli għall-Qorti tal-Ġustizzja fil-każ li tkun tixtieq, kuntrarjament għal dak li nissuġġerixxi jiena, tiddeċiedi fuq dan il-punt.

197.

F’dan ir-rigward, mill-premessa 64 u mill-punt I.5 tal-Anness II għad-Deċiżjoni “Ħarsien tal-privatezza” jirriżulta li l-adeżjoni tal-impriżi għall-prinċipji stipulati f’din id-deċiżjoni tista’ tkun limitata, b’mod partikolari, minn rekwiżiti ta’ sigurtà nazzjonali, ta’ interess pubbliku u ta’ osservanza tal-leġiżlazzjoni jew minn obbligi kontradittorji li jirriżultaw mid-dritt Amerikan.

198.

Għalhekk, il-Kummissjoni evalwat is-salvagwardji previsti fid-dritt tal-Istati Uniti f’dak li jikkonċerna l-aċċess għad-data ttrasferita u l-użu tagħha mill-awtoritajiet pubbliċi Amerikani għal skopijiet, b’mod partikolari, ta’ sigurtà nazzjonali ( 81 ). Hija kisbet mingħand il-Gvern Amerikan ċerti impenji li jirrigwardaw, minn naħa, ir-restrizzjonijiet għall-aċċess u għall-użu mill-awtoritajiet Amerikani tad-data ttrasferita kif ukoll, min-naħa l-oħra, il-protezzjoni ġuridika offruta lill-persuni kkonċernati ( 82 ).

199.

Quddiem il-Qorti tal-Ġustizzja, M. Schrems jeċċepixxi l-invalidità tad-Deċiżjoni “Ħarsien tal-privatezza” għar-raġuni li s-salvagwardji hekk deskritti ma humiex suffiċjenti biex jiżguraw livell adegwat ta’ protezzjoni tad-drittijiet fundamentali tal-persuni li d-data tagħhom hija ttrasferita lejn l-Istati Uniti. Id-DPC, l-EPIC kif ukoll il-Gvern Awstrijak, dak Pollakk u dak Portugiż, mingħajr ma jikkontestaw direttament il-validità ta’ din id-deċiżjoni, jikkontestaw l-evalwazzjonijiet li l-Kummissjoni għamlet fiha dwar l-adegwatezza tal-livell ta’ protezzjoni kontra l-interferenzi li jirriżultaw mill-attivitajiet tas-servizzi tal-intelligence Amerikani. Dawn id-dubji jirriflettu t-tħassib espress mill-Parlament ( 83 ), mill-EDPB ( 84 ) u mill-KEPD ( 85 ).

200.	Qabel ma neżamina l-fondatezza tal-konstatazzjoni ta’ adegwatezza magħmula fid-Deċiżjoni “Ħarsien tal-privatezza”, jeħtieġ li nippreċiża l-metodoloġija li għandha tiggwida dan l-eżami.

a) Preċiżazzjonijiet dwar il-kontenut tal-eżami tal-validità ta’ deċiżjoni ta’ adegwatezza

1) Fuq it-termini tal-paragun li jippermettu l-evalwazzjoni tal-“ekwivalenza sostanzjali” tal-livell ta’ protezzjoni

201.

Skont l-Artikolu 45(3) tal-GDPR u l-ġurisprudenza tal-Qorti tal-Ġustizzja ( 86 ), il-Kummissjoni tista’ tikkonstata li pajjiż terz jiżgura livell adegwat ta’ protezzjoni biss diment li tkun ikkonkludiet, b’mod debitament motivat, li l-livell ta’ protezzjoni tad-drittijiet fundamentali tal-persuni kkonċernati f’dan il-pajjiż terz huwa “sostanzjalment ekwivalenti” għal dak meħtieġ fl-Unjoni taħt dan ir-regolament moqri fid-dawl tal-Karta.

202.

Għalhekk, il-verifika tal-adegwatezza tal-livell ta’ protezzjoni żgurat f’pajjiż terz tinvolvi neċessarjament paragun bejn ir-regoli u l-prattiki eżistenti f’dan il-pajjiż terz, minn naħa, u l-istandards ta’ protezzjoni fis-seħħ fl-Unjoni, min-naħa l-oħra. Permezz tat-tieni domanda tagħha, il-qorti tar-rinviju tistaqsi lill-Qorti tal-Ġustizzja sabiex tippreċiża t-termini ta’ dan il-paragun ( 87 ).

203.

B’mod iktar speċifiku, dik il-qorti tixtieq tkun taf jekk ir-riżerva ta’ kompetenza li l-Artikolu 4(2) TUE u l-Artikolu 2(2) tal-GDPR jirrikonoxxu lill-Istati Membri fil-qasam tal-protezzjoni tas-sigurtà nazzjonali timplikax li l-ordinament ġuridiku tal-Unjoni ma jinkludix standards ta’ protezzjoni li magħhom għandhom jitqabblu, bl-għan li tiġi evalwata l-adegwatezza, is-salvagwardji li jirregolaw f’pajjiż terz l-ipproċessar mill-awtoritajiet pubbliċi għal skopijiet ta’ protezzjoni tas-sigurtà nazzjonali tad-data li hija ttrasferita lejh. Fl-affermattiv, l-imsemmija qorti tixtieq tkun taf kif għandu jiġi ddeterminat il-qafas ta’ referenza rilevanti.

204.

F’dan ir-rigward wieħed għandu jżomm f’moħħu li r-raġuni għar-restrizzjonijiet li d-dritt tal-Unjoni jagħmel fuq it-trasferimenti internazzjonali ta’ data personali, billi jeżiġi li tkun żgurata l-kontinwità fil-livell ta’ protezzjoni tad-drittijiet tal-persuni kkonċernati, hija li jitneħħa r-riskju li jiġu evitati l-istandards applikabbli fi ħdan l-Unjoni ( 88 ). Kif sostniet essenzjalment Facebook Ireland, bl-ebda mod ma jkun iġġustifikat, fid-dawl ta’ dan l-għan, li wieħed jistenna minn pajjiż terz l-osservanza ta’ rekwiżiti li ma jikkorrispondux għal obbligi li għandhom l-Istati Membri.

205.

Madankollu, skont l-Artikolu 51(1) tagħha, il-Karta hija applikabbli għall-Istati Membri biss meta jkunu qegħdin jimplimentaw id-dritt tal-Unjoni. Għaldaqstant, il-validità ta’ deċiżjoni ta’ adegwatezza fir-rigward tar-restrizzjonijiet fuq l-eżerċizzju tad-drittijiet fundamentali tal-persuni kkonċernati li jirriżultaw mil-leġiżlazzjoni tal-pajjiż terz ta’ destinazzjoni tiddependi minn paragun bejn dawn ir-restrizzjonijiet u dawk awtorizzati min-naħa tal-Istati Membri mid-dispożizzjonijiet tal-Karta sa fejn biss leġiżlazzjoni simili ta’ Stat Membru tkun taqa’ fil-kamp ta’ applikazzjoni tad-dritt tal-Unjoni.

206.

Madankollu, l-adegwatezza tal-livell ta’ protezzjoni żgurat fl-Istat terz ta’ destinazzjoni ma tistax tiġi evalwata billi jiġu injorati l-interferenzi possibbli fl-eżerċizzju tad-drittijiet fundamentali tal-persuni kkonċernati li jirriżultaw minn miżuri tal-Istat, b’mod partikolari fil-qasam tas-sigurtà nazzjonali li, li kieku kienu adottati minn Stat Membru, ma kinux jaqgħu fil-kamp ta’ applikazzjoni tad-dritt tal-Unjoni. Għall-finijiet ta’ din l-evalwazzjoni, l-Artikolu 45(2)(a) tal-GDPR jirrikjedi li tittieħed inkunsiderazzjoni, mingħajr ebda restrizzjoni, leġiżlazzjoni dwar is-sigurtà nazzjonali fis-seħħ f’dak l-Istat terz.

207.

L-evalwazzjoni tal-adegwatezza tal-livell ta’ protezzjoni fid-dawl ta’ tali miżuri tal-Istat tinvolvi, fl-opinjoni tiegħi, li jiġu pparagunati s-salvagwardji marbuta magħhom mal-livell ta’ protezzjoni rikjest fi ħdan l-Unjoni taħt id-dritt tal-Istati Membri, inklużi l-impenji tagħhom taħt il-KEDB. Billi l-adeżjoni tal-Istati Membri għall-KEDB tobbligahom li d-dritt intern tagħhom ikun konformi mad-dispożizzjonijiet ta’ din il-konvenzjoni u għalhekk tikkostitwixxi, kif enfasizzaw essenzjalment Facebook Ireland, il-Gvern Ġermaniż u dak Ċek kif ukoll il-Kummissjoni, denominatur komuni għall-Istati Membri, inqis dawn id-dispożizzjonijiet bħala l-komparatur rilevanti għall-finijiet ta’ din l-evalwazzjoni.

208.

F’dan il-każ, kif diskuss hawn fuq ( 89 ), ir-rekwiżiti dwar is-sigurtà nazzjonali tal-Istati Uniti jieħdu preċedenza fuq l-obbligi tal-impriżi awtoċertifikati skont id-Deċiżjoni “Ħarsien tal-privatezza”. Barra minn hekk, il-validità ta’ din id-deċiżjoni tiddependi minn jekk dawn ir-rekwiżiti għandhomx salvagwardji li joffru livell ta’ protezzjoni sostanzjalment ekwivalenti għal dak li għandu jkun żgurat fl-Unjoni.

209.

It-tweġiba għal din il-mistoqsija teħtieġ, qabelxejn, li jiġu identifikati l-istandards, jiġifieri dawk imfassla skont il-Karta jew il-KEDB, li trid tissodisfa, fi ħdan l-Unjoni, leġiżlazzjoni dwar is-sorveljanza tal-komunikazzjonijiet elettroniċi simili għal dawk li l-Kummissjoni eżaminat fid-Deċiżjoni “Ħarsien tal-privatezza”. Id-determinazzjoni tal-istandards applikabbli tiddependi minn jekk leġiżlazzjoni bħall-Artikolu 702 tal-FISA u l-EO 12333 taqax jew le, kieku kienet ġejja minn Stat Membru, taħt ir-restrizzjoni fuq il-kamp ta’ applikazzjoni tal-GDPR skont l-Artikolu 2(2) ta’ dan ir-regolament, moqri fid-dawl tal-Artikolu 4(2) TUE.

210.

F’dan ir-rigward, mill-kliem tal-Artikolu 4(2) TUE u mill-ġurisprudenza stabbilita jirriżulta li d-dritt tal-Unjoni u, b’mod partikolari, l-istrumenti tad-dritt sekondarju dwar il-protezzjoni tad-data personali ma japplikawx għall-attivitajiet ta’ protezzjoni tas-sigurtà nazzjonali sa fejn huma jikkostitwixxu attivitajiet speċifiċi għall-Istat jew għall-awtoritajiet tal-Istat u ma humiex marbuta mal-oqsma ta’ attività tal-individwi ( 90 ).

211.

Dan il-prinċipju jimplika, minn naħa, li leġiżlazzjoni fil-qasam tal-protezzjoni tas-sigurtà nazzjonali ma taqax fil-kamp ta’ applikazzjoni tad-dritt tal-Unjoni meta tirregola biss attivitajiet tal-Istat, mingħajr ma tirregola ebda attività eżerċitata minn individwi. Għaldaqstant, dan id-dritt ma japplikax, fil-fehma tiegħi, għal miżuri nazzjonali dwar il-ġbir u l-użu ta’ data personali implimentati direttament mill-Istat għal skopijiet ta’ protezzjoni tas-sigurtà nazzjonali, mingħajr ma jimponu obbligi speċifiċi fuq operaturi privati. B’mod partikolari, kif sostniet il-Kummissjoni waqt is-seduta, miżura adottata minn Stat Membru li, bħall-EO 12333, tawtorizza l-aċċess dirett mis-servizzi tas-sigurtà tagħha għad-data fi tranżitu, hija eskluża mill-kamp ta’ applikazzjoni tad-dritt tal-Unjoni ( 91 ).

212.

B’mod ieħor iktar kumplessa hija l-kwistjoni ta’ jekk, min-naħa l-oħra, dispożizzjonijiet nazzjonali li, bl-istess mod bħall-Artikolu 702 tal-FISA, jobbligaw lill-fornituri tas-servizzi ta’ komunikazzjonijiet elettroniċi joffru l-appoġġ tagħhom lill-awtoritajiet kompetenti fil-qasam tas-sigurtà nazzjonali biex jippermettulhom jaċċessaw ċerta data personali jaqgħux ukoll ’il barra mill-kamp ta’ applikazzjoni tad-dritt tal-Unjoni.

213.	Filwaqt li s-sentenza PNR targumenta favur tweġiba affermattiva għal din il-mistoqsija, ir-raġunament adottat fis-sentenzi Tele2 Sverige u Ministerio Fiscal jista’ jiġġustifika li din tingħata tweġiba negattiva.

214.

Fis-sentenza PNR, il-Qorti tal-Ġustizzja annullat id-deċiżjoni li fiha l-Kummissjoni kienet ikkonstatat l-adegwatezza tal-livell ta’ protezzjoni tad-data personali miżmuma fir-reġistri tal-passiġġieri tal-ajru (Passenger Name Records, PNR) ittrasferita lill-Uffiċċju tad-Dwana u tal-Protezzjoni tal-Fruntieri tal-Istati Uniti ( 92 ). Il-Qorti tal-Ġustizzja ddeċidiet li l-ipproċessar li kien is-suġġett ta’ din id-deċiżjoni, jiġifieri t-trasferiment tad-data PNR mill-kumpanniji tal-ajru lill-awtorità inkwistjoni, kien jaqa’, fid-dawl tal-għan tiegħu, taħt l-esklużjoni mill-kamp ta’ applikazzjoni tad-Direttiva 95/46 previst fl-Artikolu 3(2) tagħha. Skont il-Qorti tal-Ġustizzja, dan l-ipproċessar ma kienx meħtieġ sabiex jingħataw servizzi, iżda sabiex tiġi mħarsa s-sigurtà pubblika u għal finijiet repressivi. Ladarba t-trasferiment inkwistjoni kien isir f’kuntest stabbilit mill-awtoritajiet pubbliċi u intiż għas-sigurtà pubblika, dan ma kienx jaqa’ fil-kamp ta’ applikazzjoni ta’ din id-direttiva minkejja l-fatt li d-data PNR kienet inizjalment inġabret minn operaturi privati fil-kuntest ta’ attività kummerċjali li taqa’ f’dan il-kamp ta’ applikazzjoni u li dan it-trasferiment kien organizzat minn dawn tal-aħħar ( 93 ).

215.

Fis-sentenza sussegwenti Tele2 Sverige ( 94 ), il-Qorti tal-Ġustizzja ddeċidiet li dispożizzjonijiet nazzjonali, ibbażati fuq l-Artikolu 15(1) tad-Direttiva 2002/58/KE ( 95 ), li jirregolaw kemm iż-żamma ta’ data dwar it-traffiku u dwar il-lokalizzazzjoni mill-fornituri tas-servizzi ta’ telekomunikazzjoni, kif ukoll l-aċċess mill-awtoritajiet pubbliċi għad-data miżmuma għall-finijiet imsemmija f’din id-dispożizzjoni, li jinkludu l-ġlieda kontra l-kriminalità u l-protezzjoni tas-sigurtà nazzjonali, jaqgħu fil-kamp ta’ applikazzjoni ta’ din id-direttiva u, għaldaqstant, tal-Karta. Skont il-Qorti tal-Ġustizzja, la d-dispożizzjonijiet dwar iż-żamma tad-data u lanqas dawk dwar l-aċċess għad-data miżmuma ma huma koperti mill-esklużjoni mill-kamp ta’ applikazzjoni ta’ din id-direttiva prevista fl-Artikolu 1(3) tagħha, li jirreferi, b’mod partikolari, għall-attivitajiet tal-Istat fil-qasam kriminali u fl-oqsma li jikkonċernaw is-sigurtà nazzjonali ( 96 ). Il-Qorti tal-Ġustizzja kkonfermat din il-ġurisprudenza fis-sentenza Ministerio Fiscal ( 97 ).

216.

L-Artikolu 702 tal-FISA jvarja, madankollu, minn tali leġiżlazzjoni peress li din id-dispożizzjoni ma timponi ebda obbligu fuq il-fornituri tas-servizzi ta’ komunikazzjonijiet elettroniċi sabiex iżommu d-data u lanqas li jwettqu xi pproċessar ieħor fl-assenza ta’ talba mill-awtoritajiet tal-intelligence għall-aċċess għad-data.

217.

Għalhekk tqum il-mistoqsija ta’ jekk miżuri nazzjonali li jimponu fuq dawn il-fornituri obbligu li jqiegħdu data għad-dispożizzjoni tal-awtoritajiet pubbliċi għal finijiet ta’ sigurtà nazzjonali, irrispettivament minn kwalunkwe obbligu ta’ żamma, jaqgħux fil-kamp ta’ applikazzjoni tal-GDPR u, għalhekk, tal-Karta ( 98 ).

218.

L-ewwel approċċ jista’ jikkonsisti fir-rikonċiljazzjoni, kemm jista’ jkun possibbli, taż-żewġ linji ta’ ġurisprudenza msemmija iktar ’il fuq billi l-konklużjoni tal-Qorti tal-Ġustizzja fis-sentenzi Tele2 Sverige u Ministerio Fiscal, dwar l-applikabbiltà tad-dritt tal-Unjoni għall-miżuri li jirregolaw l-aċċess għad-data minn awtoritajiet nazzjonali għal finijiet, b’mod partikolari, ta’ protezzjoni tas-sigurtà nazzjonali ( 99 ), tiġi interpretata bħala li hija limitata għall-każijiet li fihom id-data nżammet skont obbligu legali stabbilit taħt l-Artikolu 15(1) tad-Direttiva 2002/58. Din il-konklużjoni ma tapplikax, madankollu, għall-kuntest fattwali differenti tas-sentenza PNR, li kienet tirrigwarda t-trasferiment lil awtorità Amerikana kompetenti fil-qasam tas-sigurtà interna ta’ data miżmuma mill-kumpanniji tal-ajru, b’għan kummerċjali, fuq inizjattiva tagħhom stess.

219.

Skont it-tieni approċċ, li l-Kummissjoni tirrakkomanda u li nikkunsidra li huwa iktar konvinċenti, ir-raġunament adottat fis-sentenzi Tele2 Sverige u Ministerio Fiscal jiġġustifika l-applikabbiltà tad-dritt tal-Unjoni għal regoli nazzjonali li jimponu fuq il-fornituri ta’ servizzi ta’ komunikazzjonijiet elettroniċi li jagħtu l-appoġġ tagħhom lill-awtoritajiet responsabbli mis-sigurtà nazzjonali sabiex dawn ikunu jistgħu jaċċessaw ċerta data, irrispettivament minn jekk dawn ir-regoli jakkumpanjawx jew le obbligu ta’ żamma minn qabel tad-data.

220.

Il-qalba ta’ dan ir-raġunament hija bbażata, fil-fatt, mhux fuq l-għan tad-dispożizzjonijiet inkwistjoni bħal fis-sentenza PNR, iżda fuq il-fatt li dawn id-dispożizzjonijiet kienu jirregolaw l-attivitajiet tal-fornituri billi jordnawlhom jipproċessaw id-data. Dawn l-attivitajiet ma kinux jikkostitwixxu attivitajiet tal-Istat fl-oqsma msemmija fl-Artikolu 1(3) tad-Direttiva 2002/58 u fl-Artikolu 3(2) tad-Direttiva 95/46, li l-Artikolu 2(2) tal-GDPR jirrepeti essenzjalment il-kontenut tiegħu.

221.

Għalhekk, fis-sentenza Tele2 Sverige, il-Qorti tal-Ġustizzja osservat li “aċċess għad-data miżmuma mill-imsemmija fornituri, tikkonċerna l-ipproċessar ta’ data personali minn dawn tal-aħħar, ipproċessar li jaqa’ fil-kamp ta’ applikazzjoni ta’ din id-direttiva” ( 100 ). Bl-istess mod, hija ddeċidiet, fis-sentenza Ministerio Fiscal, li miżuri leġiżlattivi li jimponu fuq il-fornituri li jagħtu lill-awtoritajiet kompetenti l-aċċess għad-data miżmuma “jimplikaw neċessarjament ipproċessar, minn dawn il-fornituri, tal-imsemmija data” ( 101 ).

222.

Madankollu, it-tqegħid tad-data mill-kontrollur tad-data għad-dispożizzjoni ta’ awtorità pubblika jikkorrispondi għad-definizzjoni tal-“ipproċessar” prevista fil-punt 2 tal-Artikolu 4 tal-GDPR ( 102 ). L-istess japplika għall-iskrinjar minn qabel tad-data permezz ta’ kriterji ta’ riċerka biex tiġi iżolata dik li għaliha l-awtoritajiet pubbliċi talbu l-aċċess ( 103 ).

223.

Minn dan nikkonkludi li, skont ir-raġunament adottat mill-Qorti tal-Ġustizzja fis-sentenzi Tele2 Sverige u Ministerio Fiscal, il-GDPR u, għaldaqstant, il-Karta japplikaw għal leġiżlazzjoni nazzjonali li tobbliga lil fornitur ta’ servizzi ta’ komunikazzjonijiet elettroniċi jikkoopera mal-awtoritajiet inkarigati mis-sigurtà nazzjonali billi jqiegħed data għad-dispożizzjoni tagħhom, jekk ikun meħtieġ wara li jkun skrinjaha, anki irrispettivament minn kwalunkwe obbligu legali ta’ żamma ta’ din id-data.

224.

Barra minn hekk, din l-interpretazzjoni tidher li tirriżulta, tal-inqas b’mod impliċitu, mis-sentenza Schrems. Kif enfasizzaw id-DPC, il-Gvern Awstrijak u dak Pollakk kif ukoll il-Kummissjoni, il-Qorti tal-Ġustizzja, fil-kuntest tal-eżami tal-validità tad-Deċiżjoni “Porv salv”, iddeċidiet li d-dritt tal-pajjiż terz kopert minn deċiżjoni ta’ adegwatezza għandu jipprevedi salvagwardji sostanzjalment ekwivalenti għal dawk li jirriżultaw, b’mod partikolari, mill-Artikoli 7, 8 u 47 tal-Karta kontra l-interferenzi mill-awtoritajiet pubbliċi tiegħu fid-drittijiet fundamentali tal-persuni kkonċernati għal finijiet ta’ sigurtà nazzjonali ( 104 ).

225.

Minn dan isegwi, b’mod iktar speċifiku, li miżura nazzjonali li timponi fuq il-fornituri ta’ servizzi ta’ komunikazzjonijiet elettroniċi li jwieġbu għal talba ta’ aċċess mingħand awtoritajiet kompetenti fil-qasam tas-sigurtà nazzjonali, għal ċerta data miżmuma minn dawn il-fornituri fil-kuntest tal-attivitajiet kummerċjali tagħhom irrispettivament minn kwalunkwe obbligu legali, billi jidentifikaw minn qabel id-data mitluba permezz tal-applikazzjoni ta’ seletturi (bħal fil-qafas tal-programm PRISM), hija eskluża mill-kamp ta’ applikazzjoni tal-Artikolu 2(2) tal-GDPR. L-istess japplika għal miżura nazzjonali li tirrikjedi mill-impriżi li jisfruttaw id-“dorsali” tat-telekomunikazzjonijiet li jagħtu aċċess lill-awtoritajiet responsabbli mis-sigurtà nazzjonali għal data fi tranżitu permezz tal-infrastrutturi li jużaw (bħal fil-qafas tal-programm Upstream).

226.

Min-naħa l-oħra, ladarba d-data inkwistjoni tasal f’idejn l-awtoritajiet tal-Istat, iż-żamma tagħha u l-użu sussegwenti tagħha minn dawn l-awtoritajiet għal finijiet ta’ sigurtà nazzjonali huma, fil-fehma tiegħi, għall-istess raġunijiet bħal dawk imsemmija fil-punt 211 ta’ dawn il-konklużjonijiet, koperti mid-deroga prevista fl-Artikolu 2(2) tal-GDPR, b’mod li ma jaqgħux fil-kamp ta’ applikazzjoni ta’ dan ir-regolament u lanqas, għalhekk, tal-Karta.

227.	Fid-dawl tal-konstatazzjonijiet preċedenti kollha, inqis li s-sorveljanza tal-validità tad-Deċiżjoni “Ħarsien tal-privatezza” fid-dawl tar-restrizzjonijiet tal-prinċipji stabbiliti fiha li jistgħu jirriżultaw mill-attivitajiet tal-awtoritajiet tal-intelligence Amerikani tinvolvi verifika doppja.

228.

Ikun meħtieġ, l-ewwel nett, li jiġi eżaminat jekk l-Istati Uniti jiżgurawx livell ta’ protezzjoni sostanzjalment ekwivalenti għal dak li jirriżulta mid-dispożizzjonijiet tal-GDPR u tal-Karta kontra r-restrizzjonijiet li jirriżultaw mill-applikazzjoni tal-Artikolu 702 tal-FISA, billi din id-dispożizzjoni tippermetti lin-NSA timponi fuq il-fornituri li jqiegħdu data personali għad-dispożizzjoni tagħha.

229.

It-tieni nett, id-dispożizzjonijiet tal-KEDB jikkostitwixxu l-qafas ta’ referenza rilevanti sabiex jiġi evalwat jekk ir-restrizzjonijiet li jistgħu jinħolqu mill-implimentazzjoni tal-EO 12333, peress li tawtorizza lill-awtoritajiet tal-intelligence sabiex jiġbru huma stess, mingħajr il-kooperazzjoni tal-operaturi privati, data personali, jippreġudikawx l-adegwatezza tal-livell ta’ protezzjoni żgurat fl-Istati Uniti. Dawn id-dispożizzjonijiet jipprovdu wkoll l-istandards ta’ paragun li jippermettu l-evalwazzjoni tal-adegwatezza ta’ dan il-livell ta’ protezzjoni fir-rigward taż-żamma u l-użu tad-data miksuba minn dawn l-awtoritajiet għal finijiet ta’ sigurtà nazzjonali.

230.

Madankollu, ikun meħtieġ ukoll li jiġi ddeterminat jekk konstatazzjoni ta’ adegwatezza tassumix li l-ġbir ta’ data taħt l-EO 12333 ikun akkumpanjat minn livell ta’ protezzjoni sostanzjalment ekwivalenti għal dak li għandu jiġi żgurat fl-Unjoni, anki sa fejn dan il-ġbir iseħħ barra mit-territorju tal-Istati Uniti, waqt il-fażi ta’ tranżitu tad-data mill-Unjoni lejn dan il-pajjiż terz.

2) Fuq il-ħtieġa li jiġi żgurat livell adegwat ta’ protezzjoni waqt il-fażi tat-tranżitu tad-data

231.

Tliet pożizzjonijiet distinti ġew difiżi quddiem il-Qorti tal-Ġustizzja dwar jekk il-Kummissjoni għandhiex tikkunsidra jew le, sabiex tevalwa l-adegwatezza tal-livell ta’ protezzjoni żgurat f’pajjiż terz, miżuri nazzjonali dwar l-aċċess għad-data mill-awtoritajiet ta’ dan il-pajjiż terz, ’il barra mit-territorju tiegħu, waqt il-fażi ta’ tranżitu tad-data mill-Unjoni lejn dan it-territorju.

232.

L-ewwel nett, Facebook Ireland kif ukoll il-Gvern tal-Istati Uniti u dak tar-Renju Unit isostnu, essenzjalment, li l-eżistenza ta’ tali miżuri ma għandhiex impatt fil-kuntest ta’ konstatazzjoni ta’ adegwatezza. Dawn tal-aħħar jinvokaw, insostenn ta’ dan l-approċċ, l-impossibbiltà għal Stat terz li jissorvelja l-kanali kollha ta’ komunikazzjoni li jinsabu ’l barra mit-territorju tiegħu u li minnhom tgħaddi d-data li tkun ġejja mill-Unjoni, b’mod li teoretikament qatt ma jista’ jkun żgurat li Stat terz ieħor ma jiġborx b’mod sigriet id-data waqt it-tranżitu tagħha.

233.

It-tieni nett, id-DPC, M. Schrems, l-EPIC, il-Gvern Awstrijak u dak Olandiż, il-Parlament u l-KEPD jargumentaw li l-obbligu ta’ kontinwità tal-livell ta’ protezzjoni, stipulat fl-Artikolu 44 tal-GDPR, jimplika li dan il-livell irid ikun adegwat tul it-trasferiment kollu, inkluż meta d-data tgħaddi minn kejbils taħt il-baħar qabel ma tasal fit-territorju tal-pajjiż terz ta’ destinazzjoni.

234.

Waqt li tirrikonoxxi dan il-prinċipju, il-Kummissjoni ssostni, it-tielet nett, li l-għan ta’ konstatazzjoni ta’ adegwatezza huwa limitat għall-protezzjoni żgurata mill-pajjiż terz inkwistjoni ġewwa l-fruntieri tiegħu, tant li ċ-ċirkustanza li livell adegwat ta’ protezzjoni ma huwiex ipprovdut waqt it-tranżitu lejn dak il-pajjiż terz ma tippreġudikax il-validità ta’ deċiżjoni ta’ adegwatezza. Madankollu hija r-responsabbiltà tal-kontrollur tad-data, skont l-Artikolu 32 tal-GDPR, li jiżgura s-sigurtà tat-trasferiment billi jipproteġi kemm jista’ jkun id-data personali waqt il-fażi tat-tranżitu lejn l-imsemmi pajjiż terz.

235.

F’dan ir-rigward, nosserva li l-Artikolu 44 tal-GDPR jissuġġetta trasferiment lejn pajjiż terz għall-osservanza tal-kundizzjonijiet stipulati fid-dispożizzjonijiet tal-Kapitolu V ta’ dan ir-regolament sa fejn id-data tista’ tiġi pproċessata “wara trasferiment”. Dan il-kliem jista’ jinftiehem li jfisser jew, kif sostna l-Gvern tal-Istati Uniti fit-tweġiba bil-miktub tiegħu għall-mistoqsijiet tal-Qorti tal-Ġustizzja, li dawn il-kundizzjonijiet għandhom ikunu osservati ladarba d-data tkun waslet fid-destinazzjoni tagħha, jew li għandhom jiġu osservati wara li jkun ingħata bidu għat-trasferiment (inkluż waqt il-fażi tat-tranżitu).

236.

Peress li l-formulazzjoni tal-Artikolu 44 tal-GDPR ma hijiex konklużiva, interpretazzjoni teleoloġika twassalni biex inħaddan it-tieni interpretazzjoni u, għalhekk, li naqbel mat-tieni approċċ minn dawk imsemmija iktar ’il fuq. Fil-fatt, kieku kellu jitqies li r-rekwiżit ta’ kontinwità tal-livell ta’ protezzjoni previst f’din id-dispożizzjoni jkopri biss il-miżuri ta’ superviżjoni implimentati fit-territorju tal-pajjiż terz ta’ destinazzjoni, dan ir-rekwiżit ikun jista’ jiġi evitat meta dan il-pajjiż terz japplika tali miżuri ’l barra mit-territorju tiegħu waqt il-fażi tat-tranżitu tad-data. Sabiex jiġi evitat dan ir-riskju, l-evalwazzjoni tal-adegwatezza tal-livell ta’ protezzjoni żgurat minn pajjiż terz għandha tkopri d-dispożizzjonijiet kollha tal-ordinament ġuridiku ta’ dan il-pajjiż terz, b’mod partikolari dawk dwar is-sigurtà nazzjonali ( 105 ), li fosthom hemm kemm dawk dwar is-sorveljanza implimentata fit-territorju tiegħu kif ukoll dawk li jippermettu s-sorveljanza tad-data fi tranżitu lejn dan it-territorju ( 106 ).

237.

Madankollu, xejn ma jikkontesta l-fatt li, kif enfasizza l-KEPD, l-evalwazzjoni tal-adegwatezza tal-livell ta’ protezzjoni tirrigwarda biss, kif jirriżulta mill-Artikolu 45(1) tal-GDPR, id-dispożizzjonijiet tal-ordinament ġuridiku tal-pajjiż terz ta’ destinazzjoni tad-data. L-impossibbiltà li jeċċepixxu Facebook Ireland kif ukoll il-Gvern tal-Istati Uniti u dak tar-Renju Unit, li jiġi żgurat li Stat terz ieħor ma jiġborx b’mod sigriet din id-data waqt li tkun qiegħda fi tranżitu, ma taffettwax din l-evalwazzjoni. Barra minn hekk, tali riskju ma jistax ikun eskluż anki wara li d-data tkun waslet fit-territorju tal-Istat terz ta’ destinazzjoni.

238.

Huwa minnu wkoll, barra minn hekk, li l-Kummissjoni, meta tevalwa l-adegwatezza tal-livell ta’ protezzjoni żgurat minn pajjiż terz, tista’ jekk ikun meħtieġ tkun ikkonfrontata min-nuqqas, min-naħa ta’ dan il-pajjiż terz, li jiżvelalha l-eżistenza ta’ ċerti programmi ta’ sorveljanza sigrieti. Madankollu, minn dan ma jsegwix li, meta l-Kummissjoni ssir taf dwar tali programmi, hija tista’ tastjeni milli teħodhom inkunsiderazzjoni fil-kuntest tal-eżami ta’ adegwatezza tagħha. Bl-istess mod, jekk, wara l-adozzjoni ta’ deċiżjoni ta’ adegwatezza, tiġi żvelata lill-Kummissjoni l-eżistenza ta’ ċerti programmi sigrieti ta’ sorveljanza, implimentati mill-pajjiż terz ikkonċernat fit-territorju tiegħu jew waqt it-tranżitu tad-data lejh, hija għandha teżamina mill-ġdid il-konstatazzjoni tagħha dwar l-adegwatezza tal-livell ta’ protezzjoni żgurat minn dak il-pajjiż terz jekk tali żvelar joħloq dubji f’dan ir-rigward ( 107 ).

3) Fuq it-teħid inkunsiderazzjoni tal-konstatazzjonijiet fattwali magħmula mill-Kummissjoni u mill-qorti tar-rinviju dwar id-dritt tal-Istati Uniti

239.

Għalkemm huwa paċifiku li l-Qorti tal-Ġustizzja ma għandhiex il-ġurisdizzjoni sabiex tinterpreta d-dritt ta’ pajjiż terz li jaqa’ fl-ordinament ġuridiku tiegħu, il-validità tad-Deċiżjoni “Ħarsien tal-privatezza” tiddependi mill-fondatezza tal-evalwazzjonijiet magħmula mill-Kummissjoni dwar il-livell ta’ protezzjoni, żgurat mid-dritt u l-prattiki tal-Istati Uniti, tad-drittijiet fundamentali tal-persuni li d-data tagħhom tiġi ttrasferita lejn dan il-pajjiż terz. Fil-fatt, il-Kummissjoni kienet obbligata timmotiva l-konstatazzjoni tagħha dwar l-adegwatezza fid-dawl tal-elementi, relatati b’mod partikolari mal-kontenut tad-dritt tal-imsemmi pajjiż terz, imsemmija fl-Artikolu 45(2) tal-GDPR ( 108 ).

240.

Il-High Court (il-Qorti Għolja) ippreżentat, fis-sentenza tagħha tat‑3 ta’ Ottubru 2017, konstatazzjonijiet iddettaljati li jiddeskrivu l-aspetti rilevanti tad-dritt Amerikan wara li evalwat il-provi miġjuba mill-partijiet fil-kawża ( 109 ). Din il-preżentazzjoni tikkorrobora fil-parti l-kbira l-konstatazzjonijiet li għamlet il-Kummissjoni, fid-Deċiżjoni “Ħarsien tal-privatezza”, dwar il-kontenut tar-regoli tal-ġbir u l-aċċess mill-awtoritajiet tal-intelligence Amerikani għad-data ttrasferita kif ukoll għar-rimedji ġudizzjarji u għall-mekkaniżmi ta’ sorveljanza relatati ma’ dawn l-attivitajiet.

241.

Il-qorti tar-rinviju, kif ukoll ħafna mill-partijiet u partijiet ikkonċernati li ppreżentaw osservazzjonijiet lill-Qorti tal-Ġustizzja, jitfgħu iktar dubji dwar il-konsegwenzi ġuridiċi li l-Kummissjoni siltet minn dawn il-konstatazzjonijiet, jiġifieri l-konklużjoni li l-Istati Uniti jiżguraw livell adegwat ta’ protezzjoni tad-drittijiet fundamentali tal-persuni li d-data tagħhom hija ttrasferita taħt din id-deċiżjoni, milli dwar id-deskrizzjoni li ppreżentat tal-kontenut tad-dritt Amerikan.

242.

F’dawn iċ-ċirkustanzi, ser nevalwa essenzjalment il-validità tad-Deċiżjoni “Ħarsien tal-privatezza” fid-dawl tal-konstatazzjonijiet li għamlet il-Kummissjoni nnifisha fir-rigward tal-kontenut tad-dritt Amerikan, billi neżamina jekk dawn kinux jiġġustifikaw l-adozzjoni ta’ din id-deċiżjoni ta’ adegwatezza.

243.

F’dan ir-rigward, ma naqbilx mal-opinjoni, sostnuta mid-DPC u minn M. Schrems, li l-konstatazzjonijiet magħmula mill-High Court (il-Qorti Għolja) dwar id-dritt tal-Istati Uniti jorbtu lill-Qorti tal-Ġustizzja fil-kuntest tal-eżami tal-validità tad-Deċiżjoni “Ħarsien tal-privatezza”. Dawn tal-aħħar jargumentaw li, peress li d-dritt barrani jikkostitwixxi kwistjoni fattwali skont id-dritt proċedurali Irlandiż, il-qorti tar-rinviju biss għandha l-ġurisdizzjoni li tistabbilixxi l-kontenut tiegħu.

244.

Il-ġurisprudenza stabbilita ċertament tirrikonoxxi li l-qorti nazzjonali għandha l-ġurisdizzjoni esklużiva sabiex tistabbilixxi l-punti ta’ fatt rilevanti kif ukoll sabiex tinterpreta d-dritt ta’ Stat Membru u tapplikah għall-kawża pendenti quddiemha ( 110 ). Din il-ġurisprudenza tirrifletti d-distribuzzjoni tal-funzjonijiet bejn il-Qorti tal-Ġustizzja u l-qorti tar-rinviju fil-kuntest tal-proċedura stabbilita fl-Artikolu 267 TFUE. Filwaqt li l-Qorti tal-Ġustizzja biss hija kompetenti biex tinterpreta d-dritt tal-Unjoni u sabiex tiddeċiedi dwar il-validità tad-dritt sekondarju, hija l-qorti nazzjonali, li għandha tiddeċiedi dwar kawża speċifika pendenti quddiemha, li għandha tistabbilixxi l-kuntest fattwali u leġiżlattiv tagħha sabiex il-Qorti tal-Ġustizzja tkun tista’ tagħtiha risposta utli.

245.

Ir-raġuni għal din il-ġurisdizzjoni esklużiva tal-qorti tar-rinviju ma jidhirlix li hija trasponibbli għall-istabbiliment tad-dritt ta’ pajjiż terz bħala element li jista’ jinfluwenza l-konklużjoni tal-Qorti tal-Ġustizzja dwar il-validità ta’ att ta’ dritt sekondarju ( 111 ). Peress li dikjarazzjoni ta’ invalidità ta’ tali att hija imposta erga omnes fl-ordinament ġuridiku tal-Unjoni ( 112 ), il-konklużjoni tal-Qorti tal-Ġustizzja ma tistax tiddependi mill-oriġini tar-rinviju għal deċiżjoni preliminari. Madankollu, kif enfasizzaw Facebook Ireland u l-Gvern tal-Istati Uniti, din tkun tiddependi minnha kieku l-Qorti tal-Ġustizzja kienet marbuta bil-konstatazzjonijiet magħmula mill-qorti tar-rinviju dwar id-dritt ta’ Stat terz, peress li dawn jistgħu jvarjaw skont il-qorti nazzjonali li tagħmilhom.

246.

Fid-dawl ta’ dawn il-kunsiderazzjonijiet, inqis li, meta r-risposta għal domanda preliminari li tirrigwarda l-validità ta’ att tal-Unjoni tinvolvi li jiġi evalwat il-kontenut tad-dritt ta’ Stat terz, il-Qorti tal-Ġustizzja ma hijiex marbuta bil-konstatazzjonijiet magħmula mill-qorti tar-rinviju dwar id-dritt ta’ dak l-Istat terz, għalkemm tista’ tikkunsidrahom. Il-Qorti tal-Ġustizzja tista’, jekk ikun meħtieġ, titbiegħed minnhom jew tikkompletahom billi tieħu inkunsiderazzjoni, fl-osservanza tal-prinċipju ta’ kontradittorju, sorsi oħrajn sabiex tistabbilixxi l-elementi neċessarji għall-evalwazzjoni tal-validità tal-att inkwistjoni ( 113 ).

4) Fuq il-portata tal-istandard tal-“ekwivalenza sostanzjali”

247.

Infakkar li l-validità tad-Deċiżjoni “Ħarsien tal-privatezza” tiddependi minn jekk l-ordinament ġuridiku tal-Istati Uniti jiżgurax, għall-persuni li d-data tagħhom hija ttrasferita mill-Unjoni lejn dan il-pajjiż terz, livell ta’ protezzjoni li jkun “sostanzjalment ekwivalenti” għal dak żgurat fi ħdan l-Istati Membri skont il-GDPR u l-Karta kif ukoll, fl-oqsma esklużi mill-kamp ta’ applikazzjoni tad-dritt tal-Unjoni, skont l-impenji tagħhom taħt il-KEDB.

248.

Kif enfasizzat il-Qorti tal-Ġustizzja fis-sentenza Schrems ( 114 ), dan l-istandard ma jfissirx li l-livell ta’ protezzjoni għandu jkun “identiku” għal dak li huwa meħtieġ fl-Unjoni. Għalkemm il-mezzi li pajjiż terz juża sabiex jipproteġi d-drittijiet tal-persuni kkonċernati jistgħu jvarjaw minn dawk li jippreskrivi l-GDPR moqri fid-dawl tal-Karta, “dawn il-mezzi għandhom […] ikunu, fil-prattika, effettivi fl-iżgurar ta’ protezzjoni sostanzjalment ekwivalenti għal dik iggarantita fi ħdan l-Unjoni”.

249.

Minn dan jirriżulta wkoll, fil-fehma tiegħi, li d-dritt tal-Istat terz ta’ destinazzjoni jista’ jirrifletti l-iskala ta’ valuri rispettivi tiegħu li fuqha l-piż rispettiv tad-diversi interessi involuti jista’ jvarja minn dak li jingħatalhom fl-ordinament ġuridiku tal-Unjoni. Barra minn hekk, il-protezzjoni tad-data personali li tipprevali fi ħdan l-Unjoni tissodisfa standard partikolarment għoli meta pparagunat mal-livell ta’ protezzjoni fis-seħħ fil-bqija tad-dinja. Il-kriterju tal-“ekwivalenza sostanzjali” għandu għalhekk, fil-fehma tiegħi, jiġi applikat b’mod li jżomm ċerta flessibbiltà biex jittieħdu inkunsiderazzjoni d-diversi tradizzjonijiet ġuridiċi u kulturali. Dan il-kriterju jimplika, madankollu, sabiex ma titneħħiex is-sustanza tiegħu, li ċerti salvagwardji minimi u rekwiżiti ġenerali ta’ protezzjoni tad-drittijiet fundamentali li jirriżultaw mill-Karta u mill-KEDB għandu jkollhom l-ekwivalenti tagħhom fl-ordinament ġuridiku tal-pajjiż terz ta’ destinazzjoni ( 115 ).

250.

F’dan ir-rigward, konformement mal-Artikolu 52(1) tal-Karta, kull restrizzjoni fuq l-eżerċizzju tad-drittijiet u tal-libertajiet stabbiliti minnha għandha tkun prevista mil-liġi, għandha tosserva l-kontenut essenzjali tagħhom u, b’osservanza tal-prinċipju ta’ proporzjonalità, għandha tkun neċessarja u tissodisfa effettivament għan ta’ interess ġenerali rrikonoxxut mill-Unjoni jew il-ħtieġa ta’ protezzjoni tad-drittijiet u tal-libertajiet ta’ persuni oħra. Dawn ir-rekwiżiti jikkorrispondu essenzjalment għal dawk stipulati fl-Artikolu 8(2) tal-KEDB ( 116 ).

251.

Skont l-Artikolu 52(2) tal-Karta, sa fejn id-drittijiet iggarantiti fl-Artikoli 7, 8 u 47 tagħha jikkorrispondu għal dawk iggarantiti fl-Artikoli 8 u 13 tal-KEDB, it-tifsira u l-ambitu tagħhom huma l-istess, bla ebda ħsara għall-fatt li d-dritt tal-Unjoni jista’ madankollu jipprovdilhom protezzjoni iktar estensiva. F’dan il-kuntest, kif ser turi l-preżentazzjoni tiegħi, l-istandards li jirriżultaw mill-Artikoli 7, 8 u 47 tal-Karta, kif interpretata mill-Qorti tal-Ġustizzja, huma f’ċerti aspetti iktar stretti minn dawk li jirriżultaw mill-Artikolu 8 KEDB skont l-interpretazzjoni li tatu l-Qorti Ewropea tad-Drittijiet tal-Bniedem.

252.

Nosserva wkoll li kawżi pendenti quddiem kull waħda minn dawn il-qrati jistednuhom jikkunsidraw mill-ġdid ċerti aspetti tal-ġurisprudenza rispettiva tagħhom. Għalhekk, minn naħa, żewġ sentenzi reċenti tal-Qorti EDB dwar is-sorveljanza tal-komunikazzjonijiet elettroniċi, jiġifieri s-sentenzi Centrüm för Rättvisa vs L-Isvezja ( 117 ) u Big Brother Watch vs Ir-Renju Unit ( 118 ), kienu s-suġġett ta’ rinviju għal eżami mill-ġdid fl-Awla Manja. Min-naħa l-oħra, tliet qrati nazzjonali ressqu talbiet għal rinviju preliminari lill-Qorti tal-Ġustizzja li jiftħu d-dibattitu dwar il-ħtieġa jew le ta’ tibdil fil-ġurisprudenza tagħha li ħarġet mis-sentenza Tele2 Sverige ( 119 ).

253.

Wara li għamilt dawn il-kjarifiki, issa ser neżamina l-validità tad-Deċiżjoni “Ħarsien tal-privatezza” fid-dawl tal-Artikolu 45(1) tal-GDPR, moqri fid-dawl tal-Karta u tal-KEDB peress li dawn jiżguraw id-drittijiet, minn naħa, għar-rispett tal-privatezza kif ukoll għall-protezzjoni tad-data personali (Taqsima (b)), u, min-naħa l-oħra, għal protezzjoni ġudizzjarja effettiva (Taqsima (c)).

b) Fuq il-validità tad-Deċiżjoni “Ħarsien tal-privatezza” fid-dawl tad-drittijiet għar-rispett tal-privatezza u għall-protezzjoni tad-data personali

254.

Fil-kuntest tar-raba’ domanda tagħha, il-qorti tar-rinviju essenzjalment tiddubita l-ekwivalenza sostanzjali bejn il-livell ta’ protezzjoni żgurat mill-Istati Uniti u dak li l-persuni kkonċernati jisiltu, fi ħdan l-Unjoni, mid-drittijiet fundamentali tagħhom għar-rispett tal-privatezza u għall-protezzjoni tad-data personali.

1) Fuq l-eżistenza ta’ interferenza

255.

Fil-premessi 67 sa 124 tad-Deċiżjoni “Ħarsien tal-privatezza”, il-Kummissjoni tinnota l-possibbiltà li l-awtoritajiet pubbliċi Amerikani jaċċessaw id-data ttrasferita mill-Unjoni u jużawha għal skopijiet ta’ sigurtà nazzjonali fil-kuntest ta’ programmi bbażati, b’mod partikolari, fuq l-Artikolu 702 tal-FISA jew fuq l-EO 12333.

256.

L-implimentazzjoni ta’ dawn il-programmi tinvolvi ndħil min-naħa tas-servizzi tal-intelligence Amerikani li, kieku kellu jiġi mill-awtoritajiet ta’ Stat Membru, jitqiesu bħala interferenzi fl-eżerċizzju tad-dritt għar-rispett tal-privatezza ggarantit fl-Artikolu 7 tal-Karta u fl-Artikolu 8 tal-KEDB. Hija tesponi wkoll lill-persuni kkonċernati għal riskju li d-data personali tagħhom tiġi pproċessata b’mod li ma jikkonformax mar-rekwiżiti stipulati fl-Artikolu 8 tal-Karta ( 120 ).

257.

Nindika qabelxejn li d-drittijiet għar-rispett tal-privatezza u għall-protezzjoni tad-data personali jinkludu l-protezzjoni mhux biss tal-kontenut tal-komunikazzjonijiet iżda wkoll tad-data dwar it-traffiku ( 121 ) u dwar il-lokalizzazzjoni (magħrufa, flimkien, bħala “metadata”). Kemm il-Qorti tal-Ġustizzja kif ukoll il-Qorti EDB irrikonoxxew, fil-fatt, li l-metadata, bħad-data dwar il-kontenut, tista’ tiżvela informazzjoni preċiża ħafna dwar il-privatezza ta’ individwu ( 122 ).

258.

Skont il-ġurisprudenza tal-Qorti tal-Ġustizzja, ma huwiex rilevanti, għall-finijiet li tiġi stabbilita l-eżistenza ta’ interferenza fl-eżerċizzju tad-dritt iggarantit fl-Artikolu 7 tal-Karta, jekk id-data kkonċernata hijiex sensittiva jew le u jekk il-persuni kkonċernati ġarrbux inkonvenjent jew le minħabba l-miżura ta’ sorveljanza inkwistjoni ( 123 ).

259.

Madankollu, il-programmi ta’ sorveljanza bbażati fuq l-Artikolu 702 tal-FISA jinvolvu, l-ewwel nett, interferenzi fl-eżerċizzju tad-drittijiet fundamentali tal-persuni li l-komunikazzjonijiet tagħhom jikkorrispondu għas-seletturi magħżula min-NSA u huma, għalhekk, mibgħuta lil din tal-aħħar mill-fornituri tas-servizzi ta’ komunikazzjonijiet elettroniċi ( 124 ). B’mod iktar preċiż, l-obbligu li għandhom il-fornituri li jqiegħdu d-data għad-dispożizzjoni tan-NSA, sa fejn jidderoga mill-prinċipju ta’ kunfidenzjalità tal-komunikazzjonijiet ( 125 ), jinvolvi huwa stess interferenza anki jekk din id-data ma tiġix sussegwentement ikkonsultata u użata mill-awtoritajiet tal-intelligence ( 126 ). Iż-żamma u l-aċċess effettiv minn dawn l-awtoritajiet għall-metadata u għall-kontenut tal-komunikazzjonijiet imqiegħda għad-dispożizzjoni tagħhom, bħall-użu ta’ din id-data, jikkostitwixxu wkoll interferenzi addizzjonali ( 127 ).

260.

Barra minn hekk, skont il-konstatazzjonijiet tal-qorti tar-rinviju ( 128 ) u sorsi oħrajn bħar-rapport tal-PCLOB dwar il-programmi implimentati taħt l-Artikolu 702 tal-FISA miġjub għall-attenzjoni tal-Qorti tal-Ġustizzja mill-Gvern Amerikan ( 129 ), in-NSA jidher li diġà għandha, taħt il-programm Upstream, aċċess għall-finijiet ta’ skrinjar tagħha għal ġabra kbira (“pakketti”) ta’ data li tifforma parti mill-fluss ta’ komunikazzjonijiet li jaqsmu d-“dorsali” tat-telekomunikazzjonijiet u li tinkludi komunikazzjonijiet li ma fihomx seletturi identifikati min-NSA. In-NSA tista’ biss teżamina din il-ġabra ta’ data sabiex tiddetermina malajr, b’mod awtomatizzat, jekk fihiex dawn is-seletturi. Il-komunikazzjonijiet skrinjati b’dan il-mod biss jiġu miżmuma fil-bażijiet tad-data tan-NSA. Dan l-aċċess għad-data għall-finijiet tal-iskrinjar tagħha jikkostitwixxi wkoll, fil-fehma tiegħi, interferenza fl-eżerċizzju tad-dritt għar-rispett tal-privatezza tal-persuni kkonċernati, irrispettivament mill-użu sussegwenti tad-data miżmuma ( 130 ).

261.

Barra minn hekk, it-tqegħid għad-dispożizzjoni u l-iskrinjar tad-data inkwistjoni ( 131 ), l-aċċess għal din id-data mill-awtoritajiet tal-intelligence, kif ukoll iż-żamma, l-analiżi u l-użu eventwali tal-imsemmija data jaqgħu taħt il-kunċett ta’ “ipproċessar” fis-sens tal-punt (2) tal-Artikolu 4 tal-GDPR u tal-Artikolu 8(2) tal-Karta. Dan l-ipproċessar, imbagħad, irid jissodisfa r-rekwiżiti previsti minn din id-dispożizzjoni tal-aħħar ( 132 ).

262.

Is-sorveljanza taħt l-EO 12333 tista’, min-naħa tagħha, timplika l-aċċess dirett, mill-awtoritajiet tal-intelligence, għad-data fi tranżitu, li jinvolvi interferenza fl-eżerċizzju tad-dritt iggarantit fl-Artikolu 8 tal-KEDB. Ma’ din l-interferenza wieħed għandu jżid dik ikkostitwita mill-użu sussegwenti eventwali ta’ din id-data.

2) Fuq in-natura “prevista mil-liġi” tal-interferenzi

263.

Skont il-ġurisprudenza tal-Qorti tal-Ġustizzja ( 133 ) u tal-Qorti Ewropea tad-Drittijiet tal-Bniedem ( 134 ), ir-rekwiżit li kwalunkwe interferenza fl-eżerċizzju tad-drittijiet fundamentali għandha tkun “prevista mil-liġi” fis-sens tal-Artikolu 52(1) tal-Karta u tal-Artikolu 8(2) tal-KEDB, jimplika mhux biss li l-miżura li tipprevedi l-interferenza għandu jkollha bażi legali fid-dritt intern, iżda wkoll li din il-bażi legali għandu jkollha ċerti kwalitajiet ta’ aċċessibbiltà u ta’ prevedibbiltà b’mod li jiġi evitat ir-riskju ta’ arbitrarjetà.

264.	F’dan ir-rigward, il-partijiet u l-partijiet ikkonċernati li għamlu osservazzjonijiet lill-Qorti tal-Ġustizzja ma jaqblux, essenzjalment, fuq il-punt dwar jekk l-Artikolu 702 tal-FISA u l-EO 12333 jissodisfawx il-kundizzjoni tal-prevedibbiltà tal-liġi.

265.

Din il-kundizzjoni, kif interpretata mill-Qorti tal-Ġustizzja ( 135 ) u mill-Qorti EDB ( 136 ), tirrikjedi li leġiżlazzjoni li tinvolvi interferenza fl-eżerċizzju tad-dritt għar-rispett tal-privatezza tistabbilixxi regoli ċari u preċiżi li jirregolaw il-portata u l-applikazzjoni tal-miżura inkwistjoni u li jimponu minimu ta’ rekwiżiti, b’mod li jipprovdi salvagwardji suffiċjenti lill-persuni kkonċernati sabiex jipproteġu d-data tagħhom kontra r-riskji ta’ abbuż kif ukoll kontra kull aċċess jew użu illegali tagħha. Tali regoli għandhom, b’mod partikolari, jindikaw f’liema ċirkustanzi u taħt liema kundizzjonijiet l-awtoritajiet pubbliċi jistgħu jżommu data personali, ikollhom aċċess għaliha u jużawha ( 137 ). Barra minn hekk, il-bażi legali li tippermetti l-interferenza għandha tiddefinixxi hija stess il-portata tar-restrizzjoni għall-eżerċizzju tad-dritt għar-rispett tal-privatezza ( 138 ).

266.	Niddubita, bħal M. Schrems u l-EPIC, li l-EO 12333, bħall-PPD 28 li tistabbilixxi salvagwardji li jakkumpanjaw l-attivitajiet kollha ta’ intelligence dwar it-trażmissjonijiet elettromagnetiċi ( 139 ), huma prevedibbli biżżejjed biex jassumu l-“kwalità ta’ liġi”.

267.

Dawn l-istrumenti jsemmu espressament li ma jagħtux drittijiet legalment eżekutorji lill-persuni kkonċernati ( 140 ). Għaldaqstant dawn tal-aħħar ma jistgħux jinvokaw is-salvagwardji previsti mill-PPD 28 quddiem il-qrati ( 141 ). Barra minn hekk, fid-Deċiżjoni “Ħarsien tal-privatezza”, il-Kummissjoni kkunsidrat li s-salvagwardji stipulati f’din id-direttiva presidenzjali, għalkemm huma ta’ natura vinkolanti għas-servizzi tal-intelligence ( 142 ), “mhux fformulati f’dawk it-termini legali” ( 143 ). Barra minn hekk, l-EO 12333 u l-PPD 28 huma iktar simili għal struzzjonijiet amministrattivi interni li jistgħu jiġu revokati jew emendati mill-President tal-Istati Uniti. Madankollu, il-Qorti EDB diġà ddeċidiet li direttivi amministrattivi interni ma għandhomx il-kwalità ta’ “liġi” ( 144 ).

268.

F’dak li jirrigwarda l-Artikolu 702 tal-FISA, in-natura prevedibbli ta’ din id-dispożizzjoni hija kkontestata minn M. Schrems għar-raġuni li ma tirregolax l-għażla tal-kriterji tal-għażla użati biex tiġi skrinjata d-data permezz ta’ salvagwardji suffiċjenti kontra r-riskji ta’ abbuż. Sa fejn din il-kwistjoni tirrigwarda wkoll in-natura strettament neċessarja tal-interferenzi previsti mill-Artikolu 702 tal-FISA, ser neżaminaha fil-bqija tal-espożizzjoni tiegħi ( 145 ).

269.

It-tielet domanda preliminari tirrigwarda s-suġġett tal-osservanza tal-kundizzjoni dwar il-“kwalità tal-liġi”. Permezz ta’ din id-domanda, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-adegwatezza tal-livell ta’ protezzjoni żgurat f’pajjiż terz għandhiex tkun eżaminata fid-dawl biss tar-regoli legalment vinkolanti fis-seħħ f’dak il-pajjiż terz u tal-prattiki intiżi biex jiżguraw l-osservanza, jew inkella wkoll tad-diversi strumenti mhux vinkolanti u l-mekkaniżmi ta’ sorveljanza ekstraġudizzjarji applikati fil-pajjiż terz.

270.

F’dan ir-rigward, l-Artikolu 45(2)(a) tal-GDPR jistabbilixxi lista mhux eżawrjenti ta’ ċirkustanzi li għandha tieħu inkunsiderazzjoni l-Kummissjoni sabiex tevalwa n-natura adegwata tal-livell ta’ protezzjoni offrut minn pajjiż terz. Fost dawn iċ-ċirkustanzi hemm il-leġiżlazzjoni applikabbli kif ukoll il-mod kif inhi implimentata. Din id-dispożizzjoni ssemmi wkoll l-impatt ta’ tipi oħrajn ta’ regoli, bħal regoli professjonali u miżuri ta’ sigurtà. Hija tirrikjedi wkoll it-teħid inkunsiderazzjoni tad-“drittijiet tas-suġġett tad-data effettivi u infurzabbli” u “rimedju amministrattiv u ġudizzjarju effettiv għas-suġġetti tad-data li tkun qed tiġi ttrasferita d-data personali tagħhom” ( 146 ).

271.

Moqrija fl-intier tagħha u fid-dawl tan-natura mhux eżawrjenti tal-lista li tinkludi, din id-dispożizzjoni timplika, fil-fehma tiegħi, li prattiki jew strumenti mhux ibbażati fuq bażi legali aċċessibbli u prevedibbli jistgħu jittieħdu inkunsiderazzjoni fl-evalwazzjoni globali tal-livell ta’ protezzjoni żgurat mill-pajjiż terz inkwistjoni b’mod li jikkorroboraw salvagwardji li huma stess isibu bażi legali li tippreżenta dawn il-karatteristiċi. Min-naħa l-oħra, bħalma sostnew essenzjalment id-DPC, M. Schrems, il-Gvern Awstrijak u l-KEPD, strumenti jew prattiki simili ma jistgħux jissostitwixxu dawn is-salvagwardji u, għaldaqstant, lanqas jipprovdu fihom innifishom il-livell ta’ protezzjoni meħtieġ.

3) Fuq l-assenza ta’ ksur tal-kontenut essenzjali tad-drittijiet fundamentali

272.

Ir-rekwiżit, stipulat fl-Artikolu 52(1) tal-Karta, li kull limitazzjoni għad-drittijiet jew il-libertajiet iggarantiti mill-Karta għandha tirrispetta l-essenza ta’ dawk id-drittijiet jew libertajiet jimplika li, meta interferenza tikkawża preġudizzju għalihom, l-ebda għan leġittimu ma jista’ jiġġustifikaha. L-interferenza għalhekk titqies li tmur kontra l-Karta mingħajr ma jkun meħtieġ li jiġi eżaminat jekk din hijiex xierqa u neċessarja sabiex jintlaħaq l-għan imfittex.

273.

F’dan ir-rigward, il-Qorti tal-Ġustizzja ddeċidiet li leġiżlazzjoni nazzjonali li tawtorizza aċċess ġeneralizzat għall-kontenut tal-komunikazzjonijiet elettroniċi mill-awtoritajiet pubbliċi jikser l-essenza stess tad-dritt għar-rispett tal-ħajja privata ggarantit fl-Artikolu 7 tal-Karta ( 147 ). Għall-kuntrarju, filwaqt li enfasizzat ir-riskji assoċjati mal-aċċess u mal-analiżi tad-data dwar it-traffiku u dwar il-lokalizzazzjoni ( 148 ), il-Qorti tal-Ġustizzja kkunsidrat li l-kontenut essenzjali ta’ dan id-dritt ma huwiex affettwat meta leġiżlazzjoni nazzjonali tawtorizza aċċess ġeneralizzat mill-awtoritajiet tal-Istat għal din id-data ( 149 ).

274.	L-Artikolu 702 tal-FISA ma jistax, fil-fehma tiegħi, jitqies bħala li jagħti s-setgħa lill-awtoritajiet tal-intelligence Amerikani jaċċessaw b’mod ġeneralizzat il-kontenut tal-komunikazzjonijiet elettroniċi.

275.	Fil-fatt, minn naħa, l-aċċess għad-data mill-awtoritajiet tal-intelligence taħt l-Artikolu 702 tal-FISA, għall-finijiet tal-analiżi u l-użu eventwali tagħha huwa limitat għad-data li tissodisfa kriterji ta’ għażla assoċjati ma’ miri individwali.

276.

Min-naħa l-oħra, il-programm Upstream jista’, ċertament, jinvolvi aċċess ġeneralizzat għall-kontenut tal-komunikazzjonijiet elettroniċi għall-iskrinjar awtomatizzat tagħhom f’każ li jiġu applikati seletturi mhux biss għall-oqsma “minn” u “sa”, iżda wkoll għall-kontenut kollu tal-flussi ta’ komunikazzjonijiet (riċerka “dwar” is-selettur) ( 150 ). Madankollu, kif issostni l-Kummissjoni u għall-kuntrarju ta’ dak li jallegaw M. Schrems u l-EPIC, l-aċċess temporanju tal-awtoritajiet tal-intelligence għall-kontenut kollu tal-komunikazzjonijiet elettroniċi għall-fini biss tal-iskrinjar tagħhom permezz ta’ kriterji tal-għażla ma jistax jitqabbel ma’ aċċess ġeneralizzat għal dan il-kontenut ( 151 ). Fil-fehma tiegħi, il-gravità tal-interferenza li tirriżulta minn dan l-aċċess limitat fiż-żmien għal finijiet ta’ skrinjar awtomatizzat ma tilħaqx dik tal-interferenza li tirriżulta minn aċċess ġeneralizzat għal dan il-kontenut mill-awtoritajiet pubbliċi sabiex janalizzawh u eventwalment jużawh ( 152 ). L-aċċess temporanju għall-iskrinjar ma jippermettix lil dawn l-awtoritajiet iżommu l-metadata jew il-kontenut tal-komunikazzjonijiet li ma jissodisfawx il-kriterji tal-għażla u lanqas, b’mod partikolari, kif innota l-Gvern Amerikan, li jistabbilixxu profili dwar l-individwi li ma jkunux fil-mira ta’ dawn il-kriterji.

277.

Madankollu, il-kwistjoni dwar jekk l-immirar permezz ta’ seletturi fil-programmi bbażati fuq l-Artikolu 702 tal-FISA jillimitax b’mod effettiv is-setgħat tal-awtoritajiet tal-intelligence tiddependi mir-regolamenti tal-għażla tas-seletturi ( 153 ). M. Schrems jargumenta, f’dan ir-rigward, li, fin-nuqqas ta’ monitoraġġ suffiċjenti għal dan l-għan, id-dritt Amerikan ma jipprovdi ebda salvagwardja kontra aċċess ġeneralizzat għall-kontenut tal-komunikazzjonijiet li jkunu diġà fl-istadju tal-iskrinjar, tant li jikser l-essenza nnifisha tad-dritt għall-privatezza tal-persuni kkonċernati.

278.

Għalhekk, kif ser nispjega iktar fid-dettall iktar ’il quddiem ( 154 ), jiena inklinat li naqsam dawn id-dubji dwar is-suffiċjenza tal-qafas tal-għażla tas-seletturi għall-finijiet tal-issodisfar tal-kriterji ta’ prevedibbiltà u ta’ proporzjonalità tal-interferenzi. Madankollu, l-eżistenza ta’ dan il-qafas, anki jekk ma huwiex perfett, tipprekludi l-konklużjoni li l-Artikolu 702 tal-FISA jawtorizza aċċess ġeneralizzat mill-awtoritajiet pubbliċi għall-kontenut tal-komunikazzjonijiet elettroniċi u, għaldaqstant, jammonta għal ksur tal-essenza nnifisha tad-dritt stabbilit fl-Artikolu 7 tal-Karta.

279.

Nenfasizza wkoll li, fl-Opinjoni 1/15, il-Qorti tal-Ġustizzja kkunsidrat li l-kontenut essenzjali tad-dritt għall-protezzjoni tad-data personali, iggarantit fl-Artikolu 8 tal-Karta, huwa ppreżervat meta l-għanijiet tal-ipproċessar ikunu ċirkoskritti u l-ipproċessar ikun akkumpanjat minn regoli intiżi sabiex jiżguraw, b’mod partikolari, is-sigurtà, il-kunfidenzjalità u l-integrità tad-data, kif ukoll sabiex jipproteġuha kontra l-aċċess u l-ipproċessar illegali ( 155 ).

280.

Fid-Deċiżjoni “Ħarsien tal-privatezza”, il-Kummissjoni kkonstatat li kemm l-Artikolu 702 tal-FISA kif ukoll il-PPD 28 jiddelimitaw l-għanijiet li għalihom tista’ tinġabar data fil-kuntest tal-programmi implimentati taħt l-Artikolu 702 tal-FISA ( 156 ). Fiha l-Kummissjoni żvelat ukoll li l-PPD 28 tipprevedi regoli li jirregolaw l-aċċess għad-data kif ukoll il-ħażna tagħha u t-tixrid tagħha sabiex tiġi żgurata s-sigurtà tagħha u jipproteġuha mill-aċċess mhux awtorizzat ( 157 ). Kif ser turi l-bqija tal-espożizzjoni tiegħi ( 158 ), għandi xi dubji, b’mod partikolari, dwar il-punt jekk l-iskopijiet tal-ipproċessar inkwistjoni humiex iddefiniti b’mod ċar u preċiż biżżejjed biex jiżguraw livell ta’ protezzjoni sostanzjalment ekwivalenti għal dak li jipprevali fl-ordinament ġuridiku tal-Unjoni. Madankollu, dawn id-dgħufijiet eventwali ma humiex biżżejjed sabiex, fil-fehma tiegħi, jawtorizzaw il-konstatazzjoni li programmi simili jiksru, li kieku kellhom jintużaw fl-Unjoni, il-kontenut essenzjali tad-dritt għall-protezzjoni tad-data personali.

281.

Barra minn hekk, l-adegwatezza tal-livell ta’ protezzjoni żgurat fil-kuntest ta’ attivitajiet ta’ sorveljanza taħt l-EO 12333 għandha, infakkar, tkun evalwata fir-rigward tad-dispożizzjonijiet tal-KEDB. F’dan ir-rigward, mid-Deċiżjoni “Ħarsien tal-privatezza” jirriżulta li l-uniċi restrizzjonijiet fuq l-implimentazzjoni ta’ miżuri bbażati fuq l-EO 12333 biex tinġabar data dwar persuni mhux Amerikani huma dawk li tipprevedi l-PPD 28 ( 159 ). Din id-direttiva presidenzjali tistipula li l-użu tal-intelligence barranija għandu jkun “immirat kemm jista’ jkun”. Madankollu, hija ssemmi espressament il-possibbiltà li tinġabar data “bil-kwantità”, ’il barra mit-territorju Amerikan, bl-għan li jiġu segwiti ċerti għanijiet speċifiċi ta’ sigurtà nazzjonali ( 160 ). Fil-fehma ta’ M. Schrems, id-dispożizzjonijiet tal-PPD 28, li ma toħloqx, wara kollox, drittijiet għall-individwi, ma jipproteġux lill-persuni kkonċernati kontra r-riskju ta’ aċċess ġeneralizzat għall-kontenut tal-komunikazzjonijiet elettroniċi tagħhom.

282.

Ser nillimita ruħi li nosserva, f’dan ir-rigward, li l-Qorti EDB ma rrikorrietx, fil-ġurisprudenza tagħha dwar l-Artikolu 8 tal-KEDB, għall-kunċett ta’ ksur tal-kontenut essenzjali, jew tas-sustanza nnifisha, tad-dritt għar-rispett tal-privatezza ( 161 ). Din tal-aħħar, sal-lum, għadha ma kkunsidratx li skemi li jippermettu l-interċettazzjoni ta’ komunikazzjonijiet elettroniċi, anki massiva, kienu jaqbżu bħala tali l-marġni ta’ diskrezzjoni tal-Istati Membri. Il-Qorti EDB tikkunsidra li tali skemi huma kompatibbli mal-Artikolu 8(2) tal-KEDB sakemm ikunu akkumpanjati minn ċertu numru ta’ salvagwardji minimi ( 162 ). F’dawn il-kundizzjonijiet, ma jidhirlix li huwa xieraq li nikkonkludi li skema ta’ sorveljanza bħal dik prevista mill-EO 12333 taqbeż il-marġni ta’ diskrezzjoni tal-Istati Membri mingħajr ma jsir l-ebda eżami tas-salvagwardji eventwali li jakkumpanjawha.

4) Fuq it-tiftixa ta’ għan leġittimu

283.

Skont l-Artikolu 52(1) tal-Karta, kull limitazzjoni fl-eżerċizzju tad-drittijiet li hija tistabbilixxi għandha tikkorrispondi effettivament għal għan ta’ interess ġenerali rrikonoxxut mill-Unjoni. L-Artikolu 8(2) tal-Karta jipprovdi wkoll li kull ipproċessar tad-data personali li ma jkunx ibbażat fuq il-kunsens tal-persuna kkonċernata għandu jkun ibbażat fuq “bażi oħra leġittima stabbilita mil-liġi”. L-Artikolu 8(2) tal-KEDB jelenka, min-naħa tiegħu, l-għanijiet li jistgħu jiġġustifikaw interferenza fl-eżerċizzju tad-dritt għar-rispett tal-privatezza.

284.

Skont id-Deċiżjoni “Ħarsien tal-privatezza”, l-adeżjoni mal-prinċipji li hija tistipula tista’ tkun limitata sabiex jiġu ssodisfatti rekwiżiti ta’ sigurtà nazzjonali, ta’ interess pubbliku u ta’ infurzar tal-liġi ( 163 ). Il-premessi 67 sa 124 ta’ din id-deċiżjoni jeżaminaw b’mod iktar speċifiku r-restrizzjonijiet li jirriżultaw mill-aċċess għad-data u mill-użu tagħha mill-awtoritajiet pubbliċi Amerikani għal finijiet ta’ sigurtà nazzjonali.

285.

Huwa paċifiku li l-protezzjoni tas-sigurtà nazzjonali tikkostitwixxi għan leġittimu li jista’ jiġġustifika derogi mir-rekwiżiti meħuda mill-GDPR ( 164 ), kif ukoll mid-drittijiet fundamentali stabbiliti fl-Artikoli 7 u 8 tal-Karta ( 165 ) kif ukoll fl-Artikolu 8(2) tal-KEDB. Madankollu, M. Schrems, il-Gvern Awstrijak u l-EPIC irrimarkaw li l-għanijiet imfittxija fil-kuntest tal-programmi ta’ sorveljanza bbażati fuq l-Artikolu 702 tal-FISA u fuq l-EO 12333 imorru lil hinn mis-sigurtà nazzjonali waħedha. Fil-fatt, l-għan ta’ dawn l-istrumenti huwa l-kisba ta’ “intelligence barranija”, b’dan il-kunċett ikopri diversi tipi ta’ informazzjoni li tinkludi dik dwar is-sigurtà nazzjonali mingħajr neċessarjament ma tkun limitata għal din biss ( 166 ). Għaldaqstant, id-data li tirrigwarda l-ġestjoni tal-affarijiet barranin taqa’ taħt il-kunċett ta’ “intelligence barranija” fis-sens tal-Artikolu 702 tal-FISA ( 167 ). L-EO 12333 tiddefinixxi, min-naħa tagħha, il-kunċett ta’ “intelligence barranija” bħala li jinkludi l-informazzjoni dwar il-kapaċitajiet, l-intenzjonijiet jew l-attivitajiet ta’ gvernijiet barranin, ta’ organizzazzjonijiet barranin jew ta’ persuni barranin ( 168 ). M. Schrems jiddubita l-leġittimità tal-għan inkwistjoni peress li jeċċedi s-sigurtà nazzjonali.

286.

Fil-fehma tiegħi, il-perimetru tas-sigurtà nazzjonali jista’ jinkludi, sa ċertu punt, il-protezzjoni ta’ interessi dwar il-ġestjoni tal-affarijiet barranin ( 169 ). Barra minn hekk, ma huwiex possibbli li wħud mill-iskopijiet għajr il-protezzjoni tas-sigurtà nazzjonali koperti mill-kunċett ta’ “intelligence barranija”, kif iddefinit mill-Artikolu 702 tal-FISA u mill-EO 12333, jikkorrispondu għal għanijiet importanti ta’ interess ġenerali li jistgħu jiġġustifikaw interferenza fid-drittijiet fundamentali għar-rispett tal-privatezza u għall-protezzjoni tad-data personali. Fi kwalunkwe każ, dawn l-għanijiet għandhom inqas piż mis-salvagwardja tas-sigurtà nazzjonali fil-kuntest ta’ bbilanċjar bejn id-drittijiet fundamentali tal-persuni kkonċernati u l-għan imfittex minn din l-interferenza ( 170 ).

287.

Madankollu, ikun xieraq, skont l-Artikolu 52(1) tal-Karta, li s-sigurtà nazzjonali jew għan leġittimu ieħor ikunu effettivament segwiti b’mod effettiv mill-miżuri li jipprevedu l-interferenzi inkwistjoni ( 171 ). Barra minn hekk, l-iskopijiet tal-interferenzi għandhom ikunu ddefiniti b’mod li jissodisfaw ir-rekwiżiti ta’ ċarezza u ta’ preċiżjoni ( 172 ).

288.

Madankollu, skont M. Schrems, l-iskop tal-miżuri ta’ sorveljanza previsti mill-Artikolu 702 tal-FISA u mill-EO 12333 ma huwiex iddikjarat bi preċiżjoni suffiċjenti sabiex josservaw is-salvagwardji ta’ prevedibbiltà u ta’ proporzjonalità. Dan ikun il-każ, b’mod partikolari, sa fejn dawn l-istrumenti jiddefinixxu l-kunċett ta’ “intelligence barranija” b’mod partikolarment wiesa’. Barra minn hekk, il-Kummissjoni kkonstatat fil-premessa 109 tad-Deċiżjoni “Ħarsien tal-privatezza” li l-Artikolu 702 tal-FISA jirrikjedi li l-ġbir tal-informazzjoni fil-qasam tal-intelligence barranija jikkostitwixxi “għan importanti” tal-ġbir, peress li din il-formulazzjoni ma teskludix, mal-ewwel daqqa ta’ għajn u kif innotat mill-EPIC, it-tfittxija ta’ għanijiet oħrajn mhux speċifikati.

289.

Għal dawn ir-raġunijiet, mingħajr ma jiġi eskluż li l-miżuri ta’ sorveljanza taħt l-Artikolu 702 tal-FISA jew l-EO 12333 jissodisfaw għanijiet leġittimi, huwa leġittimu li wieħed jistaqsi jekk dawn humiex iddefiniti b’mod ċar u preċiż biżżejjed biex jevitaw ir-riskji ta’ abbuż u biex jippermettu stħarriġ tal-proporzjonalità tal-interferenzi li jirriżultaw minnhom ( 173 ).

5) Fuq in-neċessità u l-proporzjonalità tal-interferenzi

290.

Il-Qorti tal-Ġustizzja repetutament enfasizzat li d-drittijiet stabbiliti fl-Artikoli 7 u 8 tal-Karta ma jikkostitwixxux prerogattivi assoluti iżda għandhom jiġu kkunsidrati skont il-funzjoni tagħhom fis-soċjetà u bbilanċjati ma’ drittijiet fundamentali oħrajn, skont il-prinċipju ta’ proporzjonalità ( 174 ). Kif enfasizzat Facebook Ireland, fost dawn id-drittijiet l-oħra hemm id-dritt għas-sigurtà ggarantit fl-Artikolu 6 tal-Karta.

291.	F’dan ir-rigward, skont ġurisprudenza daqstant kostanti, kull interferenza fl-eżerċizzju tad-drittijiet iggarantiti fl-Artikoli 7 u 8 tal-Karta għandha tkun suġġetta għal stħarriġ strett ta’ proporzjonalità ( 175 ).

292.

B’mod partikolari, mis-sentenza Schrems jirriżulta li “ma tkunx limitata għal dak li huwa strettament neċessarju leġiżlazzjoni li b’mod ġenerali tawtorizza ż-żamma tad-data kollha personali […] mingħajr ebda distinzjoni, limitu jew eċċezzjoni skont l-għan imfittex u mingħajr ma jiġi previst kriterju oġġettivi li jippermetti li jiġu stabbiliti l-limiti tal-aċċess tal-awtoritajiet pubbliċi għad-data u tal-użu ulterjuri tagħha għal għanijiet speċifiċi, strettament limitati u li jistgħu jiġġustifikaw l-indħil li jirriżulta kemm mill-aċċess kif ukoll mill-użu ta’ din id-data” ( 176 ).

293.

Il-Qorti tal-Ġustizzja ddeċidiet ukoll li, ħlief f’każijiet urġenti debitament iġġustifikati, l-aċċess għandu jkun suġġett għal stħarriġ minn qabel imwettaq jew minn qorti jew minn entità amministrattiva indipendenti li d-deċiżjoni tagħha tkun intiża biex tillimita l-aċċess għad-data u l-użu tagħha għal dak li huwa strettament neċessarju għall-finijiet tal-kisba tal-għan imfittex ( 177 ).

294.

L-Artikolu 23(2) tal-GDPR issa jistabbilixxi serje ta’ salvagwardji li Stat Membru għandu jipprevedi meta jidderoga mid-dispożizzjonijiet ta’ dan ir-regolament. Il-leġiżlazzjoni li tippermetti tali deroga għandha tinkludi dispożizzjonijiet dwar, b’mod partikolari, il-finijiet tal-ipproċessar, il-portata tad-deroga, is-salvagwardji maħsuba biex jiġi evitat l-abbuż, it-tul ta’ żmien tal-ħażna kif ukoll id-dritt tal-persuni kkonċernati li jkunu informati bid-deroga, sakemm dan ma jkunx ta’ riskju li jippreġudika l-finijiet ta’ din id-deroga.

295.

F’dan il-każ, M. Schrems isostni li l-Artikolu 702 tal-FISA ma huwiex akkumpanjat minn salvagwardji suffiċjenti kontra r-riskji ta’ abbuż u ta’ aċċess illegali għad-data. B’mod partikolari, l-għażla tal-kriterji tal-għażla ma hijiex irregolata biżżejjed, tant li din id-dispożizzjoni ma toffri ebda assigurazzjoni kontra aċċess ġeneralizzat għall-kontenut tal-komunikazzjonijiet.

296.

Il-Gvern tal-Istati Uniti u l-Kummissjoni jargumentaw, għall-kuntrarju, li l-Artikolu 702 tal-FISA jillimita l-għażla tas-seletturi permezz ta’ kriterji oġġettivi ladarba din id-dispożizzjoni tippermetti biss il-ġbir tad-data ta’ komunikazzjonijiet elettroniċi ta’ persuni mhux Amerikani li jinsabu ’l barra mill-Istati Uniti bl-għan li tinkiseb informazzjoni dwar l-intelligence barranija.

297.	Fil-fehma tiegħi, huwa leġittimu li wieħed jiddubita dwar in-natura ċara u preċiża biżżejjed ta’ dawn il-kriterji kif ukoll dwar l-eżistenza ta’ salvagwardji suffiċjenti biex jiġu evitati r-riskji ta’ abbuż.

298.

L-ewwel nett, il-premessa 109 tad-Deċiżjoni “Ħarsien tal-privatezza” tindika li s-seletturi ma jiġux approvati individwalment mill-FISC jew minn xi korp ieħor ġudizzjarju jew amministrattiv indipendenti qabel ma jiġu applikati. Il-Kummissjoni kkonstatat li “l-FISC ma tawtorizzax miżuri ta’ sorveljanza individwali; pjuttost, din tawtorizza programmi ta’ sorveljanza […] fuq il-bażi ta’ ċertifikazzjonijiet annwali”, li ġie kkonfermat mill-Gvern tal-Istati Uniti quddiem il-Qorti tal-Ġustizzja. Din il-premessa tispjega li “iċ-ċertifikazzjonijiet li għandhom jiġu approvati mill-FISC ma fihom l-ebda informazzjoni dwar il-persuni individwali li għandhom ikunu fil-mira iżda pjuttost jidentifikaw kategoriji ta’ informazzjoni ta’ intelligence barranija” li jistgħu jinġabru. Il-Kummissjoni tikkonstata wkoll li “l-FISC ma tivvalutax — taħt kawża probabbli jew kwalunkwe standard ieħor — li individwi li huma fil-mira kif xieraq biex tinkiseb informazzjoni ta’ intelligence barranija”, għalkemm tikkontrolla l-kundizzjoni li “għan sinifikanti tal-akkwist huwa li tinkiseb l-informazzjoni tal-intelligence barranija”.

299.

Imbagħad, skont l-imsemmija premessa, l-Artikolu 702 tal-FISA jawtorizza lin-NSA tiġbor komunikazzjonijiet biss “jekk din tista’ tkun konvinta b’mod raġonevoli li mezz partikolari ta’ komunikazzjoni qiegħed jintuża biex tiġi kkomunikata informazzjoni ta’ intelligence barranija”. Il-premessa 70 tad-Deċiżjoni “Ħarsien tal-privatezza” iżżid li l-għażla tas-seletturi ssir fi ħdan il-Qafas Nazzjonali għall-Prijoritajiet tal-Intelligence (National Intelligence Priorities Framework, NIPF). Din id-deċiżjoni ma ssemmix rekwiżiti ta’ motivazzjoni jew ta’ ġustifikazzjoni iktar speċifiċi tal-għażla tas-seletturi fid-dawl ta’ dawn il-prijoritajiet amministrattivi imposti fuq in-NSA ( 178 ).

300.

Fl-aħħar nett, il-premessa 71 tad-Deċiżjoni “Ħarsien tal-privatezza” tirreferi għar-rekwiżit, previst fil-PPD 28, li l-ġbir tal-intelligence barranija għandu jkun dejjem “[i]mfassal b’mod fattibbli [immirat kemm jista’ jkun]”. Minbarra l-fatt li din id-direttiva presidenzjali ma toħloqx drittijiet għall-individwi, l-ekwivalenza sostanzjali bejn il-kriterju ta’ attività “[i]mfassla b’mod fattibbli [immirata kemm jista’ jkun]” u dak ta’ “ħtieġa stretta” li l-Artikolu 52(1) tal-Karta jimponi sabiex tiġi ġġustifikata interferenza fl-eżerċizzju tad-drittijiet iggarantiti fl-Artikoli 7 u 8 tagħha ftit li xejn hija evidenti, fil-fehma tiegħi ( 179 ).

301.

Fid-dawl ta’ dawn il-kunsiderazzjonijiet, ma huwiex ċert li, fuq il-bażi tal-elementi esposti fid-Deċiżjoni “Ħarsien tal-privatezza”, il-miżuri ta’ sorveljanza bbażati fuq l-Artikolu 702 tal-FISA huma akkumpanjati minn salvagwardji relatati mal-limitazzjoni tal-persuni li jistgħu jkunu suġġetti għal miżura ta’ sorveljanza u ta’ għanijiet li għalihom tista’ tinġabar id-data, sostanzjalment ekwivalenti għal dawk meħtieġa taħt il-GDPR, moqri fid-dawl tal-Artikoli 7 u 8 tal-Karta ( 180 ).

302.

Barra minn hekk, f’dak li jirrigwarda l-evalwazzjoni tal-adegwatezza tal-livell ta’ protezzjoni li hemm mas-sorveljanza taħt l-EO 12333, il-Qorti EDB tirrikonoxxi lill-Istati Membri marġni ta’ diskrezzjoni wiesa’ sabiex jagħżlu l-mezzi sabiex jipproteġu s-sigurtà nazzjonali tagħhom, liema marġni madankollu huwa limitat mir-rekwiżit li jipprevedu salvagwardji adegwati u suffiċjenti kontra l-abbużi ( 181 ). Fil-ġurisprudenza tagħha dwar il-miżuri ta’ sorveljanza sigrieta, il-Qorti EDB tivverifika jekk id-dritt intern li fuqu huma bbażati dawn il-miżuri jinkludix salvagwardji u garanziji suffiċjenti u effettivi li jissodisfaw ir-rekwiżiti ta’ “prevedibbiltà” u ta’ “neċessità f’soċjetà demokratika” ( 182 ).

303.

Il-Qorti EDB tistipula, f’dan ir-rigward, ċertu numru ta’ salvagwardji minimi. Dawn is-salvagwardji jirrigwardaw l-indikazzjoni ċara tan-natura tal-ksur li jista’ jagħti lok għal mandat ta’ interċettazzjoni, id-definizzjoni tal-kategoriji ta’ persuni li l-komunikazzjonijiet tagħhom jistgħu jiġu interċettati, l-iffissar ta’ limitu ta’ żmien għall-eżekuzzjoni tal-miżura, il-proċedura li għandha tiġi segwita għall-eżami, l-użu u ż-żamma tad-data miġbura, il-prekawzjonijiet li għandhom jittieħdu għall-komunikazzjoni tad-data lil partijiet oħrajn, u ċ-ċirkustanzi li fihom jista’ jew għandu jsir it-tħassir jew il-qerda tar-rekords ( 183 ).

304.

L-adegwatezza u l-effettività tas-salvagwardji li jirregolaw l-interferenza jiddependu miċ-ċirkustanzi kollha inkwistjoni, inklużi n-natura, il-portata u t-tul ta’ żmien tal-miżuri, ir-raġunijiet meħtieġa sabiex jiġu ordnati, l-awtoritajiet kompetenti sabiex jippermettuhom, iwettquhom u jikkontrollawhom, u t-tip ta’ rimedju pprovdut mid-dritt intern ( 184 ).

305.

B’mod partikolari, sabiex tevalwa l-ġustifikazzjoni ta’ miżura ta’ sorveljanza sigrieta, il-Qorti EDB tieħu inkunsiderazzjoni l-istħarriġ kollu mwettaq “meta tiġi ordnata”, “waqt li qed titwettaq” u “wara li tkun intemmet” ( 185 ) [traduzzjoni mhux uffiċjali]. Fir-rigward tal-ewwel wieħed minn dawn it-tliet stadji, il-Qorti EDB tirrikjedi li tali miżura tiġi awtorizzata minn korp indipendenti. Għalkemm, fil-fehma tagħha, il-ġudikatura tirrappreżenta l-aqwa garanziji ta’ indipendenza, ta’ imparzjalità u ta’ regolarità tal-proċedura, il-korp inkwistjoni ma għandux neċessarjament jappartjeni għall-ġudikatura ( 186 ). Stħarriġ ġudizzjarju bir-reqqa fi stadju ulterjuri jista’ jikkontrobilanċja xi nuqqasijiet eventwali fil-proċedura ta’ awtorizzazzjoni ( 187 ).

306.

F’dan il-każ, mid-Deċiżjoni “Ħarsien tal-privatezza” jirriżulta li l-uniċi salvagwardji li jillimitaw il-ġbir u l-użu ta’ data ’l barra mit-territorju tal-Istati Uniti jinsabu fil-PPD 28, peress li l-Artikolu 702 tal-FISA ma japplikax ’il barra minn dan it-territorju. Ma iniex persważ li dawn is-salvagwardji jistgħu jkunu suffiċjenti sabiex jissodisfaw il-kundizzjonijiet ta’ “prevedibbiltà” u ta’ “neċessità f’soċjetà demokratika”.

307.

L-ewwel nett, diġà rrilevajt li din id-direttiva presidenzjali ma toħloqx drittijiet għall-individwi. It-tieni nett, niddubita kemm ir-rekwiżit li tiġi żgurata sorveljanza “[i]mfassla b’mod fattibbli [immirata kemm jista’ jkun]” huwa fformulat f’termini ċari u speċifiċi biżżejjed biex jipproteġu b’mod adegwat lill-persuni kkonċernati kontra r-riskji ta’ abbuż ( 188 ). Fl-aħħar nett, id-Deċiżjoni “Ħarsien tal-privatezza” ma tistabbilixxix li s-sorveljanza bbażata fuq l-EO 12333 hija suġġetta għal stħarriġ minn qabel minn korp indipendenti jew tista’ tkun suġġetta għal stħarriġ ġudizzjarju a posteriori ( 189 ).

308.

F’dawn iċ-ċirkustanzi, nistaqsi lili nnifsi dwar il-fondatezza tal-konstatazzjoni li l-Istati Uniti jiżguraw, fil-kuntest tal-attivitajiet tas-servizzi tal-intelligence tagħhom taħt it-Taqsima 702 tal-FISA u l-EO 12333, livell adegwat ta’ protezzjoni fis-sens tal-Artikolu 45(1) tal-GDPR, moqri fid-dawl tal-Artikoli 7 u 8 tal-Karta kif ukoll tal-Artikolu 8 tal-KEDB.

c) Fuq il-validità tad-Deċiżjoni “Ħarsien tal-privatezza” fid-dawl tad-dritt għal rimedju effettiv

309.

Il-ħames domanda preliminari tistieden lill-Qorti tal-Ġustizzja tiddetermina jekk il-persuni li d-data tagħhom hija ttrasferita lejn l-Istati Uniti jibbenefikawx minn protezzjoni ġudizzjarja sostanzjalment ekwivalenti għal dik li għandha tiġi żgurata fl-Unjoni taħt l-Artikolu 47 tal-Karta. Permezz tal-għaxar domanda tagħha, il-qorti tar-rinviju tistaqsiha, essenzjalment, jekk il-ħames domanda titlobx risposta affermattiva minħabba l-introduzzjoni mid-Deċiżjoni “Ħarsien tal-privatezza” tal-Ombudsman.

310.	Nikkonstata minnufih li, fil-premessa 115 ta’ din id-deċiżjoni, il-Kummissjoni tirrikonoxxi li s-sistema ġudizzjarja Amerikana fiha xi lakuni fil-protezzjoni ġudizzjarja tal-individwi.

311.

Skont din il-premessa, l-ewwel nett, “mill-inqas ċerti bażijiet legali li l-awtoritajiet ta’ intelligence tal-Istati Uniti jistgħu jużaw (pereż. E.O. 12333) mhumiex koperti” mill-possibbiltajiet ta’ rimedju ġudizzjarju. Fil-fatt, l-EO 12333 u l-PPD 28 ma jagħtux drittijiet lill-persuni kkonċernati u ma jistgħux jiġu invokati minnhom quddiem il-qrati. Madankollu, protezzjoni ġudizzjarja effettiva tassumi, mill-inqas, li l-individwi jkollhom drittijiet li jistgħu jiġu invokati fil-qorti.

312.

It-tieni nett, “anke meta fil-prinċipju jkunu jeżistu possibbiltajiet ta’ rimedju ġudizzjarju għal persuni li mhumiex ċittadini tal-Istati Uniti, bħas-sorveljanza skont l-FISA, il-kawżi ta’ azzjoni disponibbli huma limitati u d-dikjarazzjonijiet magħmula […] se jiġu ddikjarati inammissbbli meta dawn ma jistgħux juru ‘status’, li jirrestrinġi aċċess għall-qrati ordinarji”.

313.

Mill-premessi 116 sa 124 tad-Deċiżjoni “Ħarsien tal-privatezza” jirriżulta li l-ħolqien tal-Ombudsman huwa intiż biex jikkumpensa għal dawn il-limitazzjonijiet. Il-Kummissjoni tikkonkludi, fil-premessa 139 ta’ din id-deċiżjoni, li “bħala ħaġa waħda, il-mekkaniżmi ta’ sorveljanza u rikors previsti mil-Ħarsien tal-Privatezza […] joffru rimedji legali lis-suġġett tad-dejta biex jikseb aċċess għad-dejta personali dwaru u, eventwalment, jikseb ir-rettifika jew it-tħassir ta’ tali dejta” (enfasi miżjuda minni).

314.

Waqt li nfakkar il-prinċipji ġenerali li joħorġu mill-ġurisprudenza tal-Qorti tal-Ġustizzja u tal-Qorti EDB dwar id-dritt għal azzjoni legali kontra miżuri ta’ sorveljanza tal-komunikazzjonijiet, ser neżamina jekk ir-rimedji ġudizzjarji previsti mid-dritt Amerikan, kif deskritti fid-Deċiżjoni “Ħarsien tal-privatezza”, jiżgurawx protezzjoni ġudizzjarja adegwata tal-persuni kkonċernati (Taqsima 1). Imbagħad, ser niddetermina jekk l-introduzzjoni tal-mekkaniżmu ekstraġudizzjarju tal-Ombudsman tpattix, jekk ikun il-każ, għal-lakuni eventwali li jikkaratterizzaw il-protezzjoni ġudizzjarja ta’ dawn il-persuni (Taqsima 2).

1) Fuq l-effettività tar-rimedji ġudizzjarji previsti mid-dritt tal-Istati Uniti

315.

Fl-ewwel lok, l-ewwel paragrafu tal-Artikolu 47 tal-Karta jistabbilixxi li kull persuna li d-drittijiet u l-libertajiet tagħha ggarantiti mid-dritt tal-Unjoni jkunu nkisru għandha d-dritt għal rimedju effettiv quddiem qorti ( 190 ). Skont it-tieni paragrafu ta’ dan l-artikolu, kull persuna għandha d-dritt li l-kawża tagħha tinstema’ quddiem qorti indipendenti u imparzjali ( 191 ). L-aċċess għal qorti indipendenti jaqa’ taħt il-kontenut essenzjali tad-dritt iggarantit fl-Artikolu 47 tal-Karta ( 192 ).

316.

Dan id-dritt għall-protezzjoni ġudizzjarja individwali jingħaqad mal-obbligu li għandhom l-Istati Membri taħt l-Artikoli 7 u 8 tal-Karta li jissottomettu kull miżura ta’ sorveljanza, ħlief f’każijiet urġenti debitament iġġustifikati, għal stħarriġ minn qabel minn qorti jew awtorità amministrattiva indipendenti ( 193 ).

317.

Ċertament, kif argumentaw il-Gvern Ġermaniż u dak Franċiż, id-dritt għal rimedju ġudizzjarju effettiv ma jikkostitwixxix salvagwardja assoluta ( 194 ), peress li dan id-dritt jista’ jkun limitat għal raġunijiet ta’ sigurtà nazzjonali. Id-derogi madankollu huma awtorizzati biss sakemm ma jippreġudikawx il-kontenut essenzjali tiegħu u sakemm ikunu strettament neċessarji għat-twettiq ta’ għan leġittimu.

318.

F’dan ir-rigward, il-Qorti tal-Ġustizzja ddeċidiet, fis-sentenza Schrems, li leġiżlazzjoni li ma tipprevedi ebda possibbiltà li individwu jeżerċita rimedji legali sabiex ikollu aċċess għal data personali li tikkonċernah, jew sabiex ikun jista’ jirrettifika jew iħassar tali data, ma tosservax il-kontenut essenzjali tad-dritt fundamentali sanċit fl-Artikolu 47 tal-Karta” ( 195 ).

319.

Nenfasizza li dan id-dritt ta’ aċċess jimplika l-possibbiltà għal persuna li tikseb mingħand l-awtoritajiet pubbliċi, mingħajr ħsara għad-derogi strettament neċessarji sabiex jiġi mfittex interess leġittimu, il-konferma tal-fatt li jipproċessaw jew le data personali li tikkonċernaha ( 196 ). Din hija, fil-fehma tiegħi, il-portata prattika tad-dritt ta’ aċċess meta l-persuna kkonċernata ma tkunx taf jekk l-awtoritajiet pubbliċi żammewx data personali dwarha wara, b’mod partikolari, proċess ta’ skrinjar awtomatizzat tal-flussi ta’ komunikazzjonijiet elettroniċi.

320.

Barra minn hekk, mill-ġurisprudenza jirriżulta li l-awtoritajiet ta’ Stat Membru huma, fil-prinċipju, mistennija li jinnotifikaw l-aċċess għad-data hekk kif din in-notifika ma tkunx ta’ natura li tista’ tikkomprometti l-investigazzjonijiet imwettqa ( 197 ). Tali notifika tikkostitwixxi, fil-fatt, prerekwiżit għall-eżerċizzju tad-dritt għal azzjoni legali taħt l-Artikolu 47 tal-Karta ( 198 ). Dan l-obbligu issa huwa rrepetut fl-Artikolu 23(2)(h) tal-GDPR.

321.

Il-premessi 111 sa 135 tad-Deċiżjoni “Ħarsien tal-privatezza” jispjegaw fil-qosor ir-rimedji ġudizzjarji kollha disponibbli għall-persuni li d-data tagħhom hija ttrasferita meta dawn jibżgħu li din id-data ġiet ipproċessata mis-servizzi tal-intelligence Amerikani wara t-trasferiment. Dawn ir-rimedji ġudizzjarji ġew deskritti wkoll fis-sentenza tal-High Court (il-Qorti Għolja) tat‑3 ta’ Ottubru 2017 kif ukoll fl-osservazzjonijiet, b’mod partikolari, tal-Gvern tal-Istati Uniti.

322.

Ma hemmx bżonn li jitfakkar fid-dettall il-kontenut ta’ dawn l-ispjegazzjonijiet. Fil-fatt, il-qorti tar-rinviju tikkontesta l-adegwatezza tas-salvagwardji relatati mal-protezzjoni ġuridika tal-persuni kkonċernati, minħabba li, essenzjalment, ir-rekwiżiti partikolarment stretti għal-locus standi (standing) ( 199 ), flimkien mal-assenza ta’ kwalunkwe obbligu ta’ notifika lill-persuni li kienu suġġetti għal miżura ta’ sorveljanza anki meta n-notifika ma tibqax tippreġudika l-għanijiet, jagħmlu, fil-prattika, eċċessivament diffiċli l-eżerċizzju tar-rimedji ġudizzjarji previsti fid-dritt tal-Istati Uniti. Dawn id-dubji huma kondiviżi mid-DPC, M. Schrems, il-Gvern Awstrijak, dak Pollakk u dak Portugiż, kif ukoll mill-KEPD ( 200 ).

323.

Rigward dan is-suġġett, ser nillimita ruħi li nfakkar li r-regoli dwar il-locus standi ma jistgħux jippreġudikaw il-protezzjoni ġudizzjarja effettiva ( 201 ), u nikkonstata li d-Deċiżjoni “Ħarsien tal-privatezza” ma ssemmi l-ebda rekwiżit li l-persuni kkonċernati għandhom jiġu informati li kienu suġġetti għal miżura ta’ sorveljanza ( 202 ). Peress li aktarx tfixkel l-eżerċizzju tar-rimedji ġudizzjarji, l-assenza ta’ obbligu li tali miżura tiġi nnotifikata, anki meta l-informazzjoni tal-persuna kkonċernata ma tkunx tippreġudika l-effettività tagħha iktar, tidher li hija problematika fid-dawl tal-ġurisprudenza msemmija fil-punt 320 ta’ dawn il-konklużjonijiet.

324.

In-nota ta’ qiegħ il-paġna 169 tad-Deċiżjoni “Ħarsien tal-privatezza” tirrikonoxxi, barra minn hekk, li l-proċeduri disponibbli “jew jeħtieġu l-eżistenza ta’ dannu […] jew juru li l-gvern ikun beħsiebu juża jew jiddivulga informazzjoni miksuba […] minn sorveljanza elettronika tal-persuna kkonċernata kontra dik il-persuna […]”. Kif enfasizzat il-qorti tar-rinviju, kif ukoll id-DPC u M. Schrems, dan ir-rekwiżit jikkuntrasta mal-ġurisprudenza tal-Qorti tal-Ġustizzja li tgħid li, sabiex tiġi stabbilita interferenza fid-dritt għar-rispett tal-privatezza tal-persuna kkonċernata, ma hemmx bżonn li din tkun ġarrbet xi inkonvenjent minħabba l-interferenza allegata ( 203 ).

325.

Barra minn hekk, l-opinjoni espressa minn Facebook Ireland u mill-Gvern tal-Istati Uniti, li d-dgħufijiet li jikkaratterizzaw il-protezzjoni ġudizzjarja tal-persuni li d-data tagħhom hija ttrasferita lejn l-Istati Uniti huma kkumpensati mill-istħarriġ minn qabel u a posteriori magħmul mill-FISC kif ukoll mill-ħafna mekkaniżmi ta’ sorveljanza stabbiliti fi ħdan is-setgħa eżekuttiva u dik leġiżlattiva ( 204 ), ma tikkonvinċinix.

326.

Diġà rrilevajt li, minn naħa, skont il-konstatazzjonijiet fid-Deċiżjoni “Ħarsien tal-privatezza”, il-FISC ma tikkontrollax il-miżuri individwali ta’ sorveljanza qabel ma jiġu implimentati ( 205 ). Kif tindika l-premessa 109 ta’ din id-deċiżjoni u kif ikkonferma l-Gvern tal-Istati Uniti fit-tweġiba tiegħu bil-miktub għall-mistoqsijiet magħmula mill-Qorti tal-Ġustizzja, l-istħarriġ ex post tal-applikazzjoni tas-seletturi għandu, min-naħa l-oħra, l-għan li jivverifika, meta inċident dwar in-nuqqas possibbli ta’ osservanza tal-proċeduri ta’ mmirar u ta’ minimizzazzjoni jinġieb għall-attenzjoni tal-FISC minn aġenzija tal-intelligence ( 206 ), l-osservanza tal-kundizzjonijiet li jirregolaw l-għażla tas-seletturi previsti fiċ-ċertifikazzjoni annwali. Għaldaqstant, ma jidhirx li l-proċedura quddiem il-FISC toffri rimedju individwali effettiv lill-persuni li d-data tagħhom hija ttrasferita lejn l-Istati Uniti.

327.

Il-mekkaniżmi ta’ stħarriġ ekstraġudizzjarji msemmija fil-premessi 95 sa 110 tad-Deċiżjoni “Ħarsien tal-privatezza”, minkejja li jistgħu, jekk ikun meħtieġ, isaħħu rimedji ġudizzjarji eventwali, ma jistgħux, fil-fehma tiegħi, ikunu suffiċjenti sabiex jiżguraw livell ta’ protezzjoni adegwat fid-dawl tad-dritt għal azzjoni legali tal-persuni kkonċernati. B’mod partikolari, l-ispetturi ġenerali, li jagħmlu parti mill-istruttura interna ta’ kull aġenzija, ma jikkostitwixxux, fil-fehma tiegħi, aġenziji ta’ kontroll indipendenti. Is-sorveljanza mwettqa mill-PCLOB u mill-kumitati tal-intelligence tal-Kungress ma hijiex ekwivalenti, min-naħa tagħha, għal mekkaniżmu ta’ rimedju individwali kontra miżuri ta’ sorveljanza.

328.	Għaldaqstant għandu jiġi eżaminat jekk il-ħolqien tal-Ombudsman itaffix dawn il-lakuni billi jipprovdi lill-persuni kkonċernati rimedju effettiv quddiem korp indipendenti u imparzjali ( 207 ).

329.

Fit-tieni lok, għall-finijiet tal-evalwazzjoni tal-fondatezza tal-konstatazzjoni ta’ adegwatezza magħmula fid-Deċiżjoni “Ħarsien tal-privatezza” fid-dawl tar-rimedji disponibbli għall-persuni li jaħsbu li kienu suġġetti għal xi sorveljanza bbażata fuq l-EO 12333, il-qafas ta’ referenza rilevanti jibqa’, infakkar, id-dispożizzjonijiet tal-KEDB.

330.

Kif spjegat qabel ( 208 ), il-Qorti EDB tagħmel eżami tal-mekkaniżmi kollha ta’ stħarriġ u ta’ superviżjoni, sabiex tevalwa jekk miżura ta’ sorveljanza tissodisfax il-kundizzjonijiet ta’ “prevedibbiltà” u ta’ “ħtieġa f’soċjetà demokratika” fis-sens tal-Artikolu 8(2) tal-KEDB ( 209 ), implimentati “qabel, waqt u wara” l-eżekuzzjoni tagħha. Meta l-eżerċizzju ta’ rimedju individwali jkun imfixkel minħabba l-fatt li n-notifika tal-miżura ta’ sorveljanza ma tkunx possibbli mingħajr ma tippreġudika l-effettività tal-miżura ( 210 ), din il-lakuna tista’ tkun kontrobilanċjata bl-implimentazzjoni ta’ stħarriġ indipendenti qabel l-applikazzjoni tal-miżura inkwistjoni ( 211 ). Għalhekk, il-Qorti EDB, għalkemm tiddeċiedi li tali notifika hija “mixtieqa” malli tkun tista’ sseħħ mingħajr ma tibdel l-effikaċja tal-miżura ta’ sorveljanza, ma għamlithiex bħala rekwiżit ( 212 ).

331.

F’dan ir-rigward, id-Deċiżjoni “Ħarsien tal-privatezza” ma turix li l-miżuri ta’ sorveljanza bbażati fuq l-EO 12333 jiġu nnotifikati lill-individwi kkonċernati jew irregolati minn mekkaniżmi ta’ stħarriġ ġudizzjarju jew amministrattiv indipendenti fi kwalunkwe stadju tal-adozzjoni jew tal-implimentazzjoni tagħhom.

332.	F’dawn iċ-ċirkustanzi, hemm lok li jiġi eżaminat jekk l-użu tal-Ombudsman jippermettix madankollu li jiġi żgurat stħarriġ indipendenti tal-miżuri ta’ sorveljanza, inkluż meta jkunu bbażati fuq l-EO 12333.

2) Fuq l-impatt tal-mekkaniżmu tal-Ombudsman fuq il-livell ta’ protezzjoni tad-dritt għar-rimedju effettiv

333.	Skont il-premessa 116 tad-Deċiżjoni “Ħarsien tal-privatezza”, il-mekkaniżmu tal-Ombudsman deskritt fl-Anness III A ta’ din id-deċiżjoni għandu l-għan li jipprovdi rimedji ġudizzjarji addizzjonali lill-persuni kollha li d-data tagħhom tiġi ttrasferita mill-Unjoni lejn l-Istati Uniti.

334.

Kif enfasizza l-Gvern tal-Istati Uniti, l-ammissibbiltà ta’ lment imressaq quddiem l-Ombudsman ma hijiex suġġetta għall-osservanza tar-regoli dwar il-locus standi simili għal dawk li jirregolaw l-aċċess għall-qrati Amerikani. Il-premessa 119 tal-imsemmija deċiżjoni tispeċifika, f’dan ir-rigward, li r-rikors għall-Ombudsman ma jissupponix li l-persuna kkonċernata turi li l-Gvern tal-Istati Uniti kkonsulta data personali dwarha.

335.	Bħad-DPC, M. Schrems, il-Gvern Pollakk u dak Portugiż kif ukoll l-EPIC, għandi dubji kemm dan il-mekkaniżmu jista’ jikkumpensa għall-insuffiċjenza tal-protezzjoni ġudizzjarja offruta lill-persuni li d-data tagħhom hija ttrasferita mill-Unjoni lejn l-Istati Uniti.

336.	L-ewwel nett, għalkemm mekkaniżmu ta’ rimedju ekstraġudizzjarju jista’ jikkostitwixxi rimedju ġudizzjarju effettiv fis-sens tal-Artikolu 47 TFUE, dan huwa l-każ biss jekk, b’mod partikolari, il-korp inkwistjoni jkollu oriġini legali u jissodisfa l-kundizzjoni ta’ indipendenza ( 213 ).

337.

Madankollu, mid-Deċiżjoni “Ħarsien tal-privatezza” jirriżulta li, peress li l-mekkaniżmu tal-Ombudsman jikseb is-sors tiegħu mill-PPD 28 ( 214 ), ma joriġinax mil-liġi. L-Ombudsman huwa maħtur mis-Segretarju tal-Istat u huwa parti integrali mid-Dipartiment tal-Istat tal-Istati Uniti ( 215 ). Din id-deċiżjoni ma tinkludi ebda indikazzjoni li r-revoka tal-Ombudsman jew l-annullament tal-ħatra tiegħu huma akkumpanjati minn xi garanziji speċifiċi ( 216 ). Għalkemm l-Ombudsman huwa ppreżentat bħala indipendenti mill-“komunità tal-intelligence”, huwa jirrapporta lis-Segretarju tal-Istat u, għaldaqstant, ma huwiex indipendenti mis-setgħa eżekuttiva ( 217 ).

338.

Imbagħad, l-effettività ta’ rimedju ekstraġudizzjarju tiddependi wkoll, jidhirli, mill-kapaċità tal-korp inkwistjoni li jadotta deċiżjonijiet vinkolanti u motivati. F’dan ir-rigward, id-Deċiżjoni “Ħarsien tal-privatezza” ma tinkludi ebda indikazzjoni li l-Ombudsman jieħu deċiżjonijiet bħal dawn. Hija ma tistabbilixxix li l-istituzzjoni tal-Ombudsman tippermetti lir-rikorrenti jaċċessaw id-data dwarhom u jirrettifikawha jew iħassruha, u lanqas li l-Ombudsman jagħti kumpens lill-persuni leżi minn miżura ta’ sorveljanza. B’mod partikolari, kif jirriżulta mill-punt 4(e) tal-Anness III A ta’ din id-deċiżjoni, “[l]-Ombudsman […] la se jikkonferma u lanqas jiċħad jekk l-individwu kienx il-mira ta’ sorveljanza u […] lanqas mhuwa se jikkonferma r-rimedju speċifiku li ġie applikat” ( 218 ). Għalkemm il-Gvern Amerikan intrabat li l-komponent ikkonċernat tas-servizzi tal-intelligence ikun obbligat jikkorreġi kwalunkwe ksur tal-istandards applikabbli misjub mill-Ombudsman ( 219 ), l-imsemmija deċiżjoni ma ssemmix garanziji legali li jakkumpanjaw dan l-impenn u li jistgħu jiġu invokati mill-individwi kkonċernati.

339.

Għaldaqstant, l-istituzzjoni tal-Ombudsman ma tipprovdix, fil-fehma tiegħi, rimedju quddiem korp indipendenti li joffri lill-persuni li d-data tagħhom hija ttrasferita possibbiltà li jinvokaw id-dritt ta’ aċċess għad-data tagħhom jew li jikkontestaw ksur eventwali mis-servizzi tal-intelligence tar-regoli applikabbli.

340.

Fl-aħħar nett, skont il-ġurisprudenza, ir-rispett tad-dritt iggarantit fl-Artikolu 47 tal-Karta jippreżumi għalhekk li d-deċiżjoni ta’ din l-awtorità amministrattiva li hija stess ma tissodisfax il-kundizzjoni ta’ indipendenza tiġi suġġetta għall-istħarriġ ulterjuri ta’ korp ġudizzjarju kompetenti sabiex jiġu ttrattati l-kwistjonijiet rilevanti kollha ( 220 ). Madankollu, skont l-indikazzjonijiet ipprovduti fid-Deċiżjoni “Ħarsien tal-privatezza”, id-deċiżjonijiet tal-Ombudsman ma jiġux suġġetti għal stħarriġ ġudizzjarju indipendenti.

341.

F’dawn iċ-ċirkustanzi, kif argumentaw id-DPC, M. Schrems, l-EPIC kif ukoll il-Gvern Pollakk u dak Portugiż, l-ekwivalenza sostanzjali bejn il-protezzjoni ġudizzjarja offruta fl-ordinament ġuridiku tal-Istati Uniti lill-persuni li d-data tagħhom hija ttrasferita hemmhekk mill-Unjoni u dik li tirriżulta mill-GDPR moqri fid-dawl tal-Artikolu 47 tal-Karta u tal-Artikolu 8 tal-KEDB jidhirli li hija suġġetta għall-prudenza.

342.	Fid-dawl tal-kunsiderazzjonijiet kollha preċedenti, għandi ċerti dubji dwar il-konformità tad-Deċiżjoni “Ħarsien tal-privatezza” mal-Artikolu 45(1) tal-GDPR, moqri fid-dawl tal-Artikoli 7, 8 u 47 tal-Karta kif ukoll tal-Artikolu 8 tal-KEDB.

V. Konklużjoni

343.

Jiena nipproponi lill-Qorti tal-Ġustizzja li tagħti din ir-risposta għad-domandi preliminari magħmula mill-High Court (il-Qorti Għolja, l-Irlanda):

L-analiżi tad-domandi preliminari ma żvelatx elementi li jaffettwaw il-validità tad-Deċiżjoni tal-Kummissjoni 2010/87/UE tal‑5 ta’ Frar 2010 dwar klawżoli kuntrattwali standard għat-trasferiment ta’ dejta personali għall-proċessuri stabbiliti f’pajjiżi terzi, taħt id-Direttiva 95/46/KE tal-Parlament Ewropew u tal-Kunsill, kif emendata bid-Deċiżjoni ta’ Implimentazzjoni tal-Kummissjoni (UE) 2016/2297 tas-16 ta’ Diċembru 2016.

( 1 ) Lingwa oriġinali: il-Franċiż.

( 2 ) Ara l-Artikolu 45 tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-“GDPR”).

( 3 ) Ara l-Artikolu 46 tal-GDPR.

( 4 ) Ara l-Artikolu 49 tal-GDPR.

( 5 ) Deċiżjoni tal-Kummissjoni tal‑5 ta’ Frar 2010 dwar klawżoli kuntrattwali standard għat-trasferiment ta’ dejta personali għall-proċessuri stabbiliti f’pajjiżi terzi, taħt id-Direttiva 95/46/KE tal-Parlament Ewropew u tal-Kunsill (ĠU 2010, L 39, p. 5), kif emendata bid-Deċiżjoni ta’ Implimentazzjoni tal-Kummissjoni (UE) 2016/2297 tas‑16 ta’ Diċembru 2016 (ĠU 2016, L 344, p. 100) (iktar ’il quddiem id-“Deċiżjoni 2010/87”).

( 6 ) Deċiżjoni tal-Kummissjoni tat‑12 ta’ Lulju 2016 skont id-[Direttiva 95/46] dwar l-adegwatezza tal-protezzjoni pprovduta mill-Ħarsien tal-Privatezza UE-U.S. (ĠU 2016, L 207, p. 1, iktar ’il quddiem id-“Deċiżjoni Ħarsien tal-Privatezza”).

( 7 ) Ara d-diskors tal-Ex Kontrollur Ewropew għall-Protezzjoni tad-Data (KEPD) P. Hustinx, “EU Data Protection Law: The Review of Directive 95/46/EC and the Proposed General Data Protection Regulation”, p. 49, disponibbli fl-indirizz https://edps.europa.eu/sites/edp/files/publication/14-09-15_article_eui_en.pdf.

( 8 ) Direttiva tal-Parlament Ewropew u tal-Kunsill tal‑24 ta’ Ottubru 1995 (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 13, Vol. 15, p. 355), kif emendata bir-Regolament (KE) Nru 1882/2003 tal-Parlament Ewropew u tal-Kunsill tad‑29 ta’ Settembru 2003 (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 1, Vol. 4, p. 447).

( 9 ) Deċiżjoni tal-Kummissjoni 2001/497/KE tal‑15 ta’ Ġunju 2001 dwar klawżoli standard kontrattwali għat-trasferiment ta’ data personali lil pajjiżi terzi, skond id-Direttiva [95/46] (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 13, Vol. 26, p. 347); Deċiżjoni tal-Kummissjoni 2004/915/KE tas‑27 ta’ Diċembru 2004 li temenda d-Deċiżjoni [2001/497] fir-rigward ta’ l-introduzzjoni ta’ sett alternattiv ta’ klawżoli standard kontrattwali għat-trasferiment ta’ data personali lil pajjiżi terzi (ĠU 2004, L 385, p. 74), kif ukoll id-Deċiżjoni 2010/87.

( 10 ) Deċiżjoni ta’ Implimentazzjoni tal-Kummissjoni (UE) 2016/2297 tas-16 ta’ Diċembru 2016 li temenda d-Deċiżjonijiet [2001/497] u [2010/87] dwar klawżoli kuntrattwali standard għat-trasferiment ta’ dejta personali lil pajjiżi terzi u lil proċessuri stabbiliti fit-tali pajjiżi, skont id-Direttiva [95/46] (ĠU 2016, L 344, p. 100).

( 11 ) Deċiżjoni tas-26 ta’ Lulju 2000 skond id-Direttiva [95/46] (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 16, Vol. 1, p. 119, iktar ’il quddiem id-“Deċiżjoni ‘Port Salv’”).

( 12 ) C‑362/14 (EU:C:2015:650, iktar ’il quddiem is-“sentenza Schrems”).

( 13 ) Ara s-sentenza Schrems (punt 106).

( 14 ) 50 U.S.C. 1881(a).

( 15 ) 50 U.S.C. 1881(e).

( 16 ) Il-qorti tar-rinviju kkonstatat li l-proċeduri tal-immirar jikkonċernaw il-mod li bih is-setgħa eżekuttiva tiddetermina li huwa raġonevoli li wieħed jaħseb li individwu partikolari huwa persuna mhux Amerikana li tinsab barra mill-Istati Uniti u li l-immirar ta’ dan l-individwu jista’ jwassal għall-kisba ta’ informazzjoni ta’ intelligence barranija. Il-proċeduri ta’ minimizzazzjoni jkopru l-kisba, iż-żamma, l-użu u t-tixrid ta’ kwalunkwe informazzjoni mhux pubblika dwar persuna Amerikana miksuba taħt l-Artikolu 702 tal-FISA.

( 17 ) EO 12333, punt 3.5(e).

( 18 ) 133 S.Ct. 1138 (2013).

( 19 ) Il-qorti tar-rinviju madankollu kkonstatat li l-prinċipju li n-notifika lill-persuna suġġetta għal miżura ta’ sorveljanza ma hijiex meħtieġa għandu eċċezzjoni meta l-Gvern Amerikan jipprova juża d-data miġbura taħt l-Artikolu 702 tal-FISA kontra din il-persuna fi proċedimenti kriminali jew amministrattivi.

( 20 ) B’mod partikolari, il-qorti tar-rinviju rrilevat li, għalkemm il-Judicial Redress Act (JRA) (il-Liġi dwar ir-Rimedju Ġudizzjarju) estendiet għaċ-ċittadini tal-Unjoni d-dispożizzjonijiet tal-Privacy Act (il-Liġi dwar il-Protezzjoni tal-Privatezza), li jippermetti l-aċċess mill-persuni fiżiċi għall-informazzjoni li tirrigwardahom miżmuma minn ċerti aġenziji b’rabta ma’ ċerti pajjiżi terzi, in-NSA ma hijiex waħda mill-aġenziji indikati taħt il-JRA.

( 21 ) Il-qorti tar-rinviju tirreferi, f’dan ir-rigward, għall-Anness IIIA tad-Deċiżjoni “Ħarsien tal-privatezza” (ara l-punti 37 u 38 ta’ dawn il-konklużjonijiet).

( 22 ) Il-qorti tar-rinviju tinvoka s-sentenza tas‑27 ta’ Jannar 2005, Denuit u Cordenier (C‑125/04, EU:C:2005:69, punt 12).

( 23 ) Il-premessa 11 tad-Deċiżjoni 2010/87 tiddikjara: “L-awtoritajiet ta’ sorveljanza tal-Istati Membri għandhom sehem essenzjali f’dan il-mekkaniżmu kuntrattwali sabiex jiżguraw li d-dejta personali tiġi mħarsa b’mod adegwat wara t-trasferiment. F’każijiet eċċezzjonali meta l-esportaturi tad-dejta ma jkunux kapaċi jagħtu struzzjonijiet kif suppost lill-importatur tad-dejta, bir-riskju imminenti ta’ dannu serju lis-soġġetti tad-dejta, il-klawżoli kuntrattwali standard għandhom jippermettu lill-awtoritajiet kuntrattwali sabiex jivverifikaw lill-importaturi tad-dejta u s-sottoproċessuri u, fejn xieraq, jieħdu deċisjonijiet li jorbtu lill-importaturi tad-dejta u s-sottoproċessuri. L-awtoritajiet ta’ sorveljanza għandu jkollhom is-setgħa li jipprojbixxu jew jissospendu t-trasferiment tad-dejta jew għadd ta’ trasferimenti bbażati fuq il-klawżoli kuntrattwali standard f’dawk il-każijiet eċċezzjonali meta jiġi stabbilit li trasferiment fuq bażi kuntrattwali aktarx ikollu effett negattiv fuq il-garanziji u l-obbligi li jipprovdu protezzjoni adegwata għas-soġġett tad-dejta.”

( 24 ) Facebook Ireland appellat mid-deċiżjoni tar-rinviju quddiem is-Supreme Court (il-Qorti Suprema, l-Irlanda). Dan l-appell ġie miċħud b’sentenza tal‑31 ta’ Mejju 2019, The Data Protection Commissioner vs Facebook Ireland Limited u Maximillian Schrems, Appell Nru 2018/68 (iktar ’il quddiem is-“sentenza tas-Supreme Court (il-Qorti Suprema) tal‑31 ta’ Mejju 2019”).

( 25 ) Il-BSA ssostni li 70 % tal-impriżi membri ta’ din l-alleanza li wieġbu għal stħarriġ dwar dan is-suġġett iddikjaraw li rrikorrew għal klawżoli kuntrattwali standard bħala bażi prinċipali għat-trasferimenti ta’ data personali lejn pajjiżi terzi. Digitaleurope tikkunsidra wkoll li l-klawżoli kuntrattwali standard jirrappreżentaw l-istrument legali ewlieni invokat insostenn ta’ dawn it-trasferimenti.

( 26 ) Għalkemm il-qorti tar-rinviju tindika li t-talba għal deċiżjoni preliminari tagħha tirrigwarda l-validità tat-tliet Deċiżjonijiet KKS, li ġew eżaminati fl-abbozz ta’ deċiżjoni tad-DPC u fis-sentenza tat-3 ta’ Ottubru 2017, id-domandi preliminari jirreferu esklużivament għad-Deċiżjoni 2010/87. Dan hekk kif, quddiem dik il-qorti, Facebook Ireland identifikat din id-deċiżjoni bħala l-bażi legali tat-trasferimenti tad-data tal-utenti Ewropej tan-netwerk soċjali Facebook lejn l-Istati Uniti. L-analiżi tiegħi għalhekk se tirrigwarda biss l-imsemmija deċiżjoni.

( 27 ) Ara l-punti 167 sa 186 ta’ dawn il-konklużjonijiet.

( 28 ) Ara, b’mod partikolari, is-sentenzi tal-10 ta’ Diċembru 2018, Wightman et (C‑621/18, EU:C:2018:999, punt 27), u tad‑19 ta’ Novembru 2019, A. K. et (Indipendenza tal-Awla Dixxiplinari tal-Qorti Suprema) (C‑585/18, C‑624/18 u C‑625/18, EU:C:2019:982, punt 98).

( 29 ) Ara l-Artikolu 94(1) u l-Artikolu 99(1) tal-GDPR.

( 30 ) Nenfasizza li, skont l-Artikolu 46(5) tal-GDPR, id-deċiżjonijiet adottati mill-Kummissjoni abbażi tal-Artikolu 26(4) tad-Direttiva 95/46 jibqgħu fis-seħħ sakemm jiġu emendati, issostitwiti jew irrevokati.

( 31 ) Ara, b’mod partikolari, is-sentenzi tas‑7 ta’ Frar 1979, Franza vs Il-Kummissjoni (15/76 u 16/76, EU:C:1979:29, punt 7); tas‑17 ta’ Mejju 2001, IECC vs Il‑Kummissjoni (C‑449/98 P, EU:C:2001:275, punt 87); u tas‑17 ta’ Ottubru 2013, Schaible (C‑101/12, EU:C:2013:661, punt 50).

( 32 ) Ara, b’mod partikolari, is-sentenzi tas‑16 ta’ April 2015, Il‑Parlament vs Il‑Kunsill (C‑540/13, EU:C:2015:224, punt 35); tas-16 ta’ April 2015, Il-Parlament vs Il-Kunsill (C‑317/13 u C‑679/13, EU:C:2015:223, punt 45); u tat‑22 ta’ Settembru 2016, Il‑Parlament vs Il‑Kunsill (C‑14/15 u C‑116/15, EU:C:2016:715, punt 48).

( 33 ) B’mod partikolari, fis-sentenza Schrems, il-Qorti tal-Ġustizzja evalwat il-validità tad-Deċiżjoni “Port Salv” fid-dawl tad-dispożizzjonijiet tal-Karta, li l-adozzjoni tagħha hija wara dik tad-deċiżjoni. Ara, ukoll, is-sentenzi tas-17 ta’ Marzu 2011, AJD Tuna (C‑221/09, EU:C:2011:153, punt 48), u tal‑11 ta’ Ġunju 2015, Pfeifer & Langen (C‑51/14, EU:C:2015:380, punt 42).

( 34 ) Ara, b’mod partikolari, is-sentenzi tal‑15 ta’ Lulju 2010, Pannon Gép Centrum (C‑368/09, EU:C:2010:441, punti 30 sa 35); tal‑10 ta’ Frar 2011, Andersson (C‑30/10, EU:C:2011:66, punti 20 u 21); kif ukoll tal‑25 ta’ Ottubru 2018, Roche Lietuva (C‑413/17, EU:C:2018:865, punti 17 sa 20).

( 35 ) Ara, f’dan ir-rigward, il-konklużjonijiet tal-Avukat Ġenerali Bobek fil-kawża Fashion ID (C‑40/17, EU:C:2018:1039, punt 87).

( 36 ) Ara l-punt 87 ta’ dawn il-konklużjonijiet.

( 37 ) Ara, f’dan is-sens, is-sentenzi tal‑1 ta’ April 1982, Holdijk et (141/81 sa 143/81, EU:C:1982:122, punt 5), u tad‑9 ta’ Diċembru 2003, Gasser (C‑116/02, EU:C:2003:657, punt 27).

( 38 ) Ara, f’dan is-sens, is-sentenza tat‑30 ta’ Mejju 2006, Il‑Parlament vs Il‑Kunsill u Il‑Kummissjoni (C‑317/04 u C‑318/04, EU:C:2006:346, iktar ’il quddiem is-“sentenza PNR”, punt 56), kif ukoll is-sentenza Schrems (punt 45). Il-punt (2) tal-Artikolu 4 tal-GDPR jirriproduċi essenzjalment id-definizzjoni tal-kunċett ta’ “ipproċessar” li kien jidher fl-Artikolu 2(b) tad-Direttiva 95/46.

( 39 ) Skont l-Artikolu 3(1) tal-GDPR, dan ir-regolament japplika għal kull ipproċessar magħmul fil-kuntest tal-attivitajiet ta’ stabbiliment ta’ kontrollur jew proċessur fl-Unjoni, indipendentement minn jekk l-ipproċessar iseħħx fl-Unjoni jew le. Il-kwistjoni tal-applikabbiltà tad-dritt tal-Unjoni għall-ipproċessar mis-servizzi tal-intelligence ta’ pajjiż terz barra mill-Unjoni għandha tkun distinta minn dik tar-rilevanza tar-regoli u tal-prattiki relatati ma’ dan l-ipproċessar fil-pajjiż terz inkwistjoni biex jiġi ddeterminat jekk f’dan il-pajjiż terz huwiex żgurat livell adegwat ta’ protezzjoni. Din il-kwistjoni tal-aħħar hija s-suġġett tat-tieni domanda preliminari u ser tkun indirizzata fil-punti 201 sa 229 ta’ dawn il-konklużjonijiet.

( 40 ) Fil-konklużjonijiet tiegħi fil-kawża Ministerio Fiscal (C‑207/16, EU:C:2018:300, punt 47), enfasizzajt id-distinzjoni bejn, minn naħa, l-ipproċessar dirett tad-data personali fil-kuntest tal-attivitajiet sovrani tal-Istat u, min-naħa l-oħra, l-ipproċessar kummerċjali segwit minn użu mill-awtoritajiet pubbliċi.

( 41 ) Bl-istess mod, fl-Opinjoni 1/15 (Ftehim PNR bejn l-UE u l-Kanada) tas‑26 ta’ Lulju 2017 (EU:C:2017:592, iktar ’il quddiem l-“Opinjoni 1/15”), il-Qorti tal-Ġustizzja eżaminat il-konformità mal-Artikoli 7, 8 u 47 tal-Karta ta’ abbozz ta’ ftehim internazzjonali bejn il-Kanada u l-Unjoni dwar data li, ladarba tiġi ttrasferita lejn il-Kanada, kienet intiża biex tiġi pproċessata mill-awtoritajiet pubbliċi għal skopijiet ta’ protezzjoni tas-sigurtà nazzjonali.

( 42 ) Sentenza Schrems (punt 73). Il-Qorti tal-Ġustizzja kkonfermat din il-konklużjoni fl-Opinjoni 1/15 (punt 134).

( 43 ) L-Artikolu 26(2) tad-Direttiva 95/46 kien jipprevedi li Stat Membru jista’ jawtorizza tali trasferiment “meta l-kontrollur jipprovdi ħarsien biżżejjed għall-protezzjoni tal-ħajja privata u tad-drittijiet u l-libertajiet fundamentali ta’ l-individwu u għall-eżerċizzju tad-drittijiet relattivi” (enfasi miżjuda minni). Il-kunċetti ta’ “ħarsien biżżejjed” u ta’ “salvagwardji xierqa”, imsemmija rispettivament f’din id-dispożizzjoni u fl-Artikolu 46(1) tal-GDPR, jippreżentaw, fil-fehma tiegħi, l-istess kontenut.

( 44 ) F’dan ir-rigward, il-premessa 6 tal-GDPR tindika li għandu jiġi żgurat “livell għoli” ta’ protezzjoni tad-data kemm fi ħdan l-Unjoni kif ukoll fil-każ ta’ trasferiment ’il barra minnha. Ara wkoll il-premessa 101 tal-GDPR.

( 45 ) Ara s-sentenza Schrems (punt 73) u l-Opinjoni 1/15 (punt 214).

( 46 ) Dan huwa mingħajr preġudizzju għall-possibbiltà li data personali tiġi ttrasferita, anki fl-assenza ta’ salvagwardji xierqa, abbażi tar-raġunijiet ta’deroga previsti fl-Artikolu 49(1) tal-GDPR.

( 47 ) Ara l-punt 128 ta’ dawn il-konklużjonijiet.

( 48 ) Ejjew nimmaġinaw, pereżempju, li pajjiż terz jipprevedi obbligu għall-fornituri tas-servizz ta’ telekomunikazzjoni li jagħtu lill-awtoritajiet pubbliċi aċċess għad-data ttrasferita mingħajr ebda limitu jew salvagwardja. Għalkemm tali fornituri ma jkunux jistgħu josservaw il-klawżoli kuntrattwali standard, l-impriżi li ma humiex suġġetti għal dan l-obbligu ma għandhomx jiġu mwaqqfa milli jagħmlu dan.

( 49 ) Ninnota, barra minn hekk, li l-Klawżola 5(d)(i) teżenta lill-importatur mill-obbligu tiegħu li jinforma lill-esportatur dwar talba vinkolanti ta’ żvelar li tkun ġejja minn awtorità tal-infurzar tal-liġi tal-pajjiż terz meta d-dritt ta’ dan il-pajjiż terz jopponi tali informazzjoni. F’każ bħal dan, l-esportatur ma jkollux il-possibbiltà li jissospendi t-trasferiment jekk dan l-iżvelar, li ma jkunx jaf dwaru, jikser il-klawżoli standard. Madankollu, skont il-Klawżola 5(a), l-importatur jibqa’ obbligat jinforma, fejn xieraq, lill-esportatur dwar il-fatt li jqis li l-leġiżlazzjoni ta’ dan il-pajjiż terz tipprekludih milli jissodisfa l-obbligi tiegħu taħt il-klawżoli kuntrattwali miftiehma.

( 50 ) Mill-ġurisprudenza jirriżulta li d-dispożizzjonijiet ta’ att ta’ implimentazzjoni għandhom jiġu interpretati f’konformità mad-dispożizzjonijiet tal-att bażiku li permezz tiegħu l-leġiżlatur ikun awtorizza l-adozzjoni tiegħu (ara, f’dan is-sens, b’mod partikolari, is-sentenzi tas‑26 ta’ Lulju 2017, Ir-Repubblika Ċeka vs Il‑Kummissjoni (C‑696/15 P, EU:C:2017:595, punt 51); tas‑17 ta’ Mejju 2018, Evonik Degussa (C‑229/17, EU:C:2018:323, punt 29); u tal‑20 ta’ Ġunju 2019, ExxonMobil Production Deutschland (C‑682/17, EU:C:2019:518, punt 112)). Barra minn hekk, att tal-Unjoni għandu jiġi interpretat, sa fejn huwa possibbli, b’mod li ma jippreġudikax il-validità tiegħu u f’konformità mad-dritt primarju kollu u, b’mod partikolari, mad-dispożizzjonijiet tal-Karta (ara, b’mod partikolari, is-sentenza tal‑14 ta’ Mejju 2019, M et (Revoka tal-istatus ta’ refuġjat) (C‑391/16, C‑77/17 u C‑78/17, EU:C:2019:403, punt 77 u l-ġurisprudenza ċċitata)).

( 51 ) F’dan ir-rigward, il-premessa 109 tal-GDPR tinkoraġġixxi lill-esportatur u lill-importatur biex iżidu mal-klawżoli standard salvagwardji addizzjonali, b’mod partikolari permezz ta’ kuntratt.

( 52 ) Għalkemm l-Artikolu 4(1) tad-Deċiżjoni 2010/87 jirreferi għall-Artikolu 28(3) tad-Direttiva 95/46, infakkar li, taħt l-Artikolu 94(2) tal-GDPR, ir-referenzi magħmula għal din id-direttiva għandhom jinftiehmu bħala li jirreferu għad-dispożizzjonijiet korrispondenti tal-GDPR.

( 53 ) Ara l-premessi 6 u 7 tad-Deċiżjoni 2016/2297. Fil-punti 101 sa 104 tas-sentenza Schrems, il-Qorti tal-Ġustizzja kienet iddeċidiet li dispożizzjoni tad-Deċiżjoni “Port Salv” li kienet tillimita għal “każijiet eċċezzjonali” is-setgħat mogħtija lill-awtoritajiet superviżorji permezz tal-Artikolu 28 tad-Direttiva 95/46 kienet invalida, minħabba li l-Kummissjoni ma kellhiex il-kompetenza li tirrestrinġi dawn is-setgħat.

( 54 ) Ara s-sentenza Schrems (punt 103).

( 55 ) Fi kwalunkwe każ, il-preambolu ta’ att tal-Unjoni ma għandux valur legali vinkolanti u ma jistax jiġi invokat sabiex issir deroga mid-dispożizzjonijiet innifishom ta’ dan l-att. Ara s-sentenzi tad‑19 ta’ Novembru 1998, Nilsson et (C‑162/97, EU:C:1998:554, punt 54); tat‑12 ta’ Mejju 2005, Meta Fackler (C‑444/03, EU:C:2005:288, punt 25); u tal‑10 ta’ Jannar 2006, IATA u ELFAA (C‑344/04, EU:C:2006:10, punt 76).

( 56 ) Ara, b’analoġija, is-sentenza Schrems (punt 63).

( 57 ) Inżid li, taħt il-Klawżola 8(2) li tinsab fl-Anness għad-Deċiżjoni 2010/87, il-partijiet fil-kuntratt jaqblu li jagħtu lill-awtorità superviżorja s-setgħa li twettaq verifiki mal-importatur fl-istess kundizzjonijiet bħal dawk fil-każ ta’ verifiki mwettqa mal-esportatur skont id-dritt applikabbli.

( 58 ) Ara, f’dan is-sens, is-sentenza Schrems (punt 43).

( 59 ) Skont il-premessa 141 tal-GDPR, kull persuna għandu jkollha d-dritt għal rimedju ġudizzjarju effettiv skont l-Artikolu 47 tal-Karta jekk l-awtorità superviżorja “ma tiħux azzjoni fejn tali azzjoni tkun meħtieġa għall-protezzjoni tad-drittijiet [ta’ din il-persuna]”. Ara, ukoll, il-premessi 129 u 143 tal-GDPR.

( 60 ) Ara, b’mod partikolari, is-sentenzi tat‑28 ta’ Lulju 2011, Samba Diouf (C‑69/10, EU:C:2011:524, punt 57), u tas‑17 ta’ Novembru 2011, Gaydarov (C‑430/10, EU:C:2011:749, punt 41).

( 61 ) Ara, f’dan ir-rigward, is-sentenza tal‑5 ta’ Ġunju 2018, Wirtschaftsakademie Schleswig-Holstein (C‑210/16, EU:C:2018:388, punti 69 sa 73).

( 62 ) Ara l-Artikolu 56(1) tal-GDPR. Skont l-Artikolu 61 ta’ dan ir-regolament, l-awtoritajiet superviżorji għandhom jipprovdu lil xulxin assistenza reċiproka. L-Artikolu 62 tal-imsemmi regolament jawtorizzahom iwettqu operazzjonijiet konġunti.

( 63 ) Ara l-Artikolu 65 tal-GDPR.

( 64 ) Ara l-Artikolu 64(2) tal-GDPR.

( 65 ) L-Artikolu 83(5)(c) tal-GDPR jipprevedi wkoll multi għall-kontrollur fil-każ ta’ ksur tal-Artikoli 44 sa 49 ta’ dan ir-regolament.

( 66 ) Ara l-punt 175 ta’ dawn il-konklużjonijiet.

( 67 ) Sentenza tal-High Court (il-Qorti Għolja) tat‑3 ta’ Ottubru 2017 (punt 337).

( 68 ) Skont is-sentenza tas-Supreme Court (il-Qorti Suprema) tal‑31 ta’ Mejju 2019 (punt 2.7), “[t]he sole relief claimed by the DPC is, in substance, a reference to the CJEU under Article 267 [TFUE]”. Il-punt 2.9 ta’ dik is-sentenza jkompli jgħid: “Here, the only issue of substance which arises before either the Irish courts or the CJEU is the question of the validity or otherwise of Union measures. Whatever the view taken by the CJEU on that issue, the Irish courts will have no further role, for the measures under question will either be found to be valid or invalid and in either event, that will be the end of the matter” (enfasi miżjuda minni).

( 69 ) Ara l-punt 124 ta’ dawn il-konklużjonijiet.

( 70 ) Għal din l-istess raġuni, is-Supreme Court (il-Qorti Suprema), fis-sentenza tagħha tal‑31 ta’ Mejju 2019 (punti 8.1 sa 8.5), filwaqt li rrikonoxxiet li ma kellhiex kompetenza sabiex tikkontesta d-deċiżjoni tal-qorti tar-rinviju li tagħmel lill-Qorti tal-Ġustizzja domandi preliminari u sabiex temenda l-kliem tagħhom, esprimiet xi dubji dwar il-ħtieġa ta’ wħud minn dawn id-domandi. B’mod partikolari, il-punt 8.5 ta’ dik is-sentenza jgħid: “The sole purpose of the proceedings before the courts in Ireland was to enable the High Court to refer that question of validity to the CJEU and obtain a definitive answer from the only court which has competence to make the decision in question. It is difficult, therefore, to see how the High Court needs answers to many of the questions which have been referred, for the answers to those questions are only relevant to the question of the validity of the challenged measures […].”

( 71 ) Ara l-premessi 64 sa 141 tad-Deċiżjoni “Ħarsien tal-privatezza”. Infakkar li, kif jirriżulta mill-Artikolu 1(2) ta’ din id-deċiżjoni, il-ħarsien tal-protezzjoni tad-data ma jikkonsistix biss fi prinċipji li jridu josservaw l-impriżi li jridu jittrasferixxu data abbażi tal-imsemmija deċiżjoni, iżda wkoll fl-osservazzjonijiet u l-impenji uffiċjali miksuba mill-Gvern tal-Istati Uniti u li jinsabu fid-dokumenti annessi għaliha.

( 72 ) L-abbozz ta’ deċiżjoni tad-DPC jippreċedi l-adozzjoni tad-Deċiżjoni “Ħarsien tal-privatezza”. Kif speċifika d-DPC f’dan l-abbozz, għalkemm fih ikkonkluda provviżorjament li s-salvagwardji previsti mid-dritt tal-Istati Uniti ma kinux jippermettu, tal-inqas, li jiġi żgurat li t-trasferimenti lejn dan il-pajjiż terz ikunu konformi mal-Artikolu 47 tal-Karta, ma eżaminax jew ikkunsidra, f’dan l-istadju, l-arranġamenti l-ġodda ppjanati fl-abbozz tal-ftehim dwar il-“Ħarsien tal-privatezza” peress li dan tal-aħħar kien għadu ma ġiex adottat. Madankollu, fil-punt 307 tas-sentenza tagħha tat‑3 ta’ Ottubru 2017, il-High Court (il-Qorti Għolja) tqis: “It is fair to conclude […] that the decision of the Commission in regard to the adequacy of the protections afforded to EU citizens against interference by the intelligence authorities in the [U.S.] with the fundamental rights of EU citizens whose data are transferred from the [EU] to the [U.S.], conflicts with the case made by the DPC to this court”.

( 73 ) Ara l-Artikolu 1(1) u (3), kif ukoll il-premessi 14 sa 16 tad-Deċiżjoni “Ħarsien tal-privatezza”.

( 74 ) Kawża pendenti T‑738/16, La Quadrature du Net et vs Il‑Kummissjoni (ĠU 2017, C 6, p. 39).

( 75 ) Nosserva barra minn hekk li, fl-osservazzjonijiet bil-miktub tiegħu, id-DPC ma ħax pożizzjoni fuq l-impatt tad-Deċiżjoni “Ħarsien tal-privatezza” fuq it-trattament tal-ilment imressaq quddiemu.

( 76 ) Ara, f’dan ir-rigward, is-sentenza Schrems (punt 78).

( 77 ) M. Schrems jargumenta, insostenn ta’ din it-teżi, li Facebook Inc. għandha titqies mhux biss bħala proċessur, iżda wkoll bħala “kontrollur”, fis-sens tal-Artikolu 4(7) tal-GDPR, f’dak li jirrigwarda l-ipproċessar tad-data personali tal-utenti tan-netwerk soċjali Facebook. Ara, f’dan ir-rigward, is-sentenza tal‑5 ta’ Ġunju 2018, Wirtschaftsakademie Schleswig-Holstein (C‑210/16, EU:C:2018:388, punt 30).

( 78 ) Ara s-sentenza tal-High Court (il-Qorti Għolja) tat‑3 ta’ Ottubru 2017 (punt 66).

( 79 ) Ara s-sit tal-internet tal-“Ħarsien tal-privatezza” (https://www.privacyshield.gov/participant_search).

( 80 ) Ara, f’dan is-sens, is-sentenza Schrems (punt 59).

( 81 ) Ara l-premessa 65 tad-Deċiżjoni “Ħarsien tal-privatezza”.

( 82 ) Ara l-Annessi III sa VII għad-Deċiżjoni “Ħarsien tal-privatezza”.

( 83 ) Riżoluzzjonijiet tal-Parlament tas‑6 ta’ April 2017 dwar l-adegwatezza tal-protezzjoni mogħtija mit-Tarka tal-Privatezza UE-US, P8_TA(2017)0131, u tal‑5 ta’ Lulju 2018 dwar l-adegwatezza tal-protezzjoni mogħtija mit-Tarka tal-Privatezza UE-Stati Uniti, P8_TA (2018)0315.

( 84 ) Ara l-Grupp ta’ Ħidma tal-Artikolu 29 dwar il-protezzjoni tad-data (iktar ’il quddiem il-“Grupp 29”), Opinion 1/2016 on the EU U.S. Privacy Shield draft adequacy decision, 13 ta’ April 2016, WP 238; il-Grupp 29, EU‑US Privacy Shield – First Annual Joint Review, 28 ta’ Novembru 2017, WP 255; u l-EDPB, EU‑US Privacy Shield – Second Annual Joint Review, 22 ta’ Jannar 2019. Il-Grupp 29 kien twaqqaf taħt l-Artikolu 29(1) tad-Direttiva 95/46 li kienet tipprevedi n-natura konsultattiva u indipendenti tiegħu. Skont it-tieni paragrafu ta’ dan l-artikolu, dan il-grupp kien magħmul minn rappreżentant ta’ kull awtorità superviżorja nazzjonali, minn rappreżentant ta’ kull awtorità maħluqa għall-istituzzjonijiet u l-korpi Komunitarji kif ukoll minn rappreżentant tal-Kummissjoni. Minn meta daħal fis-seħħ il-GDPR, il-Grupp 29 ġie ssostitwit mill-EDPB (ara l-Artikolu 94(2) ta’ dan ir-regolament).

( 85 ) Ara l-Opinjoni 4/2016 tal-KEPB tat‑30 ta’ Mejju 2016 dwar l-abbozz ta’ deċiżjoni ta’ adegwatezza tat-Tarka tal-Privatezza tal-UE u l-Istati Uniti. Il-KEPB ġie istitwit mill-Artikolu 1(2) tar-Regolament (KE) Nru 45/2001 tal-Parlament Ewropew u tal-Kunsill tat‑18 ta’ Diċembru 2000 dwar il-protezzjoni ta’ individwu fir-rigward ta’ l-ipproċessar ta’ data personali mill-istituzzjonijiet u l-korpi tal-Komunità u dwar il-movement liberu ta’ dak id-data (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 13, Vol. 26, p. 102, rettifika ĠU 2013, L 298, p. 50). Huwa jimmonitorja l-applikazzjoni tad-dispożizzjonijiet ta’ dan ir-regolament.

( 86 ) Ara l-punt 112 ta’ dawn il-konklużjonijiet.

( 87 ) Infakkar li l-ekwivalenza sostanzjali tal-livell ta’ protezzjoni żgurat minn Stat terz meta mqabbel ma’ dak li huwa rikjest fl-Unjoni trid tiġi evalwata wkoll meta, fil-kuntest ta’ trasferiment speċifiku bbażat fuq il-klawżoli kuntrattwali standard previsti fid-Deċiżjoni 2010/87, il-kontrollur jew, fin-nuqqas ta’ dan, l-awtorità superviżorja kompetenti, jivverifika jekk l-awtoritajiet pubbliċi tal-pajjiż terz ta’ destinazzjoni jissuġġettawx lill-importatur għal rekwiżiti li jeċċedu l-limiti ta’ dak li huwa meħtieġ f’soċjetà demokratika (ara l-Klawżola 5 li tinsab fl-Anness għad-Deċiżjoni 2010/87 kif ukoll in-nota ta’ qiegħ il-paġna relatata magħha). Ara l-punti 115, 134 u 135 ta’ dawn il-konklużjonijiet.

( 88 ) Ara l-punt 117 ta’ dawn il-konklużjonijiet.

( 89 ) Ara l-punt 197 ta’ dawn il-konklużjonijiet.

( 90 ) Ara, b’mod partikolari, is-sentenza tas-6 ta’ Novembru 2003, Lindqvist (C‑101/01, EU:C:2003:596, punti 43 u 44); is-sentenza PNR (punt 58); is-sentenza tas‑16 ta’ Diċembru 2008, Satakunnan Markkinapörssi u Satamedia (C‑73/07, EU:C:2008:727, punt 41); is-sentenza tal‑21 ta’ Diċembru 2016, Tele2 Sverige u Watson et (C‑203/15 u C‑698/15, EU:C:2016:970, iktar ’il quddiem is-“sentenza Tele2 Sverige”, punt 69); kif ukoll is-sentenza tat‑2 ta’ Ottubru 2018, Ministerio Fiscal (C‑207/16, EU:C:2018:788, iktar ’il quddiem is-“sentenza Ministerio Fiscal”, punt 32).

( 91 ) Biex nevita kwalunkwe konfużjoni dwar dan il-punt, nenfasizza li, fid-Deċiżjoni “Ħarsien tal-privatezza”, il-Kummissjoni ma setgħetx tiddetermina jekk l-Istati Uniti jinterċettawx effettivament il-komunikazzjonijiet li jittranżitaw permezz tal-kejbils transatlantiċi, peress li l-awtoritajiet Amerikani la kkonfermaw u lanqas ċaħdu din il-proposta (ara l-premessa 75 ta’ dik id-deċiżjoni kif ukoll l-ittra ta’ Robert Litt tat‑22 ta’ Frar 2016, li tidher fl-Anness VI(I)(a) tagħha). Madankollu, peress li l-Gvern tal-Istati Uniti ma ċaħadx il-ġbir tad-data fi tranżitu abbażi tal-EO 12333, jidhirli li l-Kummissjoni kellha tikseb l-assigurazzjoni mingħand dan tal-aħħar li tali ġbir, jekk iseħħ, ikun akkumpanjat minn salvagwardji suffiċjenti kontra r-riskji ta’ abbuż, qabel ma tissokta bil-konstatazzjoni ta’ adegwatezza. Huwa għalhekk li l-Kummissjoni eżaminat, fil-premessi 68 sa 77 tal-imsemmija deċiżjoni, ir-restrizzjonijiet u s-salvagwardji li għandhom japplikaw f’każ bħal dan taħt il-PPD 28.

( 92 ) Din kienet id-Deċiżjoni tal-Kummissjoni 2004/535/KE tal-14 ta’ Mejju 2004 dwar il-protezzjoni adegwata tad-data personali tal-passiġġieri ta’ l-ajru miżmuma fil-Passenger Name Record u trasferiti lill-United States’ Bureau of Customs and Border Protection (ĠU 2005, L 267M, p. 18).

( 93 ) Sentenza PNR (punti 56 sa 58). Barra minn hekk, fis-sentenza tal‑10 ta’ Frar 2009, L-Irlanda vs Il-Parlament u Il-Kunsill (C‑301/06, EU:C:2009:68, punti 90 u 91), il-Qorti tal-Ġustizzja ddeċidiet li l-kunsiderazzjonijiet żviluppati fis-sentenza PNR ma kinux trasponibbli għall-ipproċessar kopert mid-Direttiva 2006/24/KE tal-Parlament Ewropew u tal-Kunsill tal‑15 ta’ Marzu 2006 dwar iż-żamma ta’ data ġenerata jew proċessata b’konnessjoni mal-provvista ta’ servizzi pubblikament disponibbli ta’ komunikazzjoni elettronika jew ta’ networks ta’ komunikazzjoni pubblika u li temenda d-Direttiva 2002/58/KE (ĠU 2006, L 105, p. 54). Il-Qorti tal-Ġustizzja ġġustifikat din il-konklużjoni bil-fatt li d-Direttiva 2006/24, b’differenza mid-deċiżjoni inkwistjoni fis-sentenza PNR, kienet tirregola biss l-attivitajiet tal-fornituri ta’ servizzi fis-suq intern, mingħajr ma tirregola l-attivitajiet tal-awtoritajiet pubbliċi għal finijiet repressivi. Permezz ta’ dan ir-raġunament, il-Qorti tal-Ġustizzja tidher li affermat li, a contrario, il-konklużjoni tas-sentenza PNR kienet trasponibbli għal dispożizzjonijiet dwar l-aċċess għad-data miżmuma jew għall-użu tagħha minn dawn l-awtoritajiet.

( 94 ) Sentenza Tele2 Sverige (punti 67 sa 81).

( 95 ) Direttiva tal-Parlament Ewropew u tal-Kunsill tat‑12 ta’ Lulju 2002 dwar l-ipproċessar tad-data personali u l-protezzjoni tal-privatezza fis-settur tal-komunikazzjoni elettronika (Direttiva dwar il-privatezza u l-komunikazzjoni elettronika) (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 13, Vol. 29, p. 514).

( 96 ) Peress li d-Direttiva 2002/58 tikkonkretizza r-rekwiżiti tad-Direttiva 95/46, issa mħassra bil-GDPR li fil-biċċa l-kbira jirrepeti l-kontenut tagħha, il-ġurisprudenza dwar l-interpretazzjoni tal-Artikolu 1(3) tad-Direttiva 2002/58 hija, fil-fehma tiegħi, applikabbli b’analoġija għall-interpretazzjoni tal-Artikolu 2(2) tal-GDPR. Ara, f’dan is-sens, is-sentenzi Tele2 Sverige (punt 69) u Ministerio Fiscal (punt 32).

( 97 ) Sentenza Ministerio Fiscal (punti 34, 35 u 37).

( 98 ) Din l-istess mistoqsija tqajmet fil-kuntest ta’ tliet rinviji għal deċiżjoni preliminari oħrajn pendenti quddiem il-Qorti tal-Ġustizzja. Ara l-Kawża C‑623/17, Privacy International (ĠU 2018, C 22, p. 29), kif ukoll il-Kawżi magħquda C‑511/18 u C‑512/18, La Quadrature du Net et u French Data Network et (ĠU 2018, C 392, p. 7).

( 99 ) Fis-sentenza Tele2 Sverige, għalkemm il-Qorti tal-Ġustizzja kkonċentrat fuq l-eżami tal-ġustifikazzjoni tal-interferenzi li jirriżultaw mill-miżuri ta’ żamma u ta’ aċċess inkwistjoni fid-dawl tal-għan tal-ġlieda kontra r-reati kriminali, il-konklużjoni li waslet għaliha hija wkoll valida, mutatis mutandis, meta tali miżuri jsegwu għan ta’ protezzjoni tas-sigurtà nazzjonali. Fil-fatt, l-Artikolu 15(1) tad-Direttiva 2002/58 isemmi, fost l-għanijiet li jistgħu jiġġustifikaw tali miżuri, kemm il-ġlieda kontra r-reati kriminali kif ukoll il-protezzjoni tas-sigurtà nazzjonali. Barra minn hekk, l-Artikolu 1(3) tad-Direttiva 2002/58 u l-Artikolu 2(2) tal-GDPR jeskludu mill-kamp ta’ applikazzjoni ta’ dawn l-istrumenti l-attivitajiet tal-Istat kemm fil-qasam tas-sigurtà nazzjonali kif ukoll f’dak kriminali. Il-miżuri inkwistjoni fil-kawża li tat lok għas-sentenza Tele2 Sverige kienu jsegwu wkoll għan marbut mas-sigurtà nazzjonali. Fil-punt 119 ta’ dik is-sentenza, il-Qorti tal-Ġustizzja ttrattat b’mod espliċitu l-ġustifikazzjoni ta’ miżuri relatati maż-żamma u mal-aċċess għad-data dwar it-traffiku u dwar il-lokalizzazzjoni fid-dawl tal-għan ta’ protezzjoni tas-sigurtà nazzjonali minħabba li dan jinkludi l-ġlieda kontra t-terroriżmu.

( 100 ) Sentenza Tele2 Sverige (punt 78, enfasi miżjuda minni). Kif jixhed l-użu tal-kliem “[b]arra minn hekk”, huwa biss biex tikkorrobora l-konklużjoni tagħha dwar l-applikabbiltà tad-Direttiva 2002/58 li l-Qorti tal-Ġustizzja enfasizzat, fil-punt 79 ta’ dik is-sentenza, ir-rabta intrinsika bejn l-obbligu ta’ żamma tad-data inkwistjoni fil-kawża li tat lok għal dik is-sentenza u d-dispożizzjonijiet dwar l-aċċess mill-awtoritajiet nazzjonali għad-data miżmuma.

( 101 ) Sentenza Ministerio Fiscal (punt 37, enfasi miżjuda minni).

( 102 ) Ara, f’dan is-sens, is-sentenza Ministerio Fiscal (punt 38).

( 103 ) Ara, f’dan is-sens, is-sentenza tat‑13 ta’ Mejju 2014, Google Spain u Google (C‑131/12, EU:C:2014:317, punt 28).

( 104 ) Sentenza Schrems (punti 91 sa 96). Fil-premessi 90, 124 u 141 tad-Deċiżjoni “Ħarsien tal-privatezza”, il-Kummissjoni tirreferi wkoll għad-dispożizzjonijiet tal-Karta, u b’hekk taċċetta l-prinċipju li r-restrizzjonijiet tad-drittijiet fundamentali li jissodisfaw għan ta’ protezzjoni tas-sigurtà nazzjonali għandhom ikunu konformi mal-Karta.

( 105 ) Ara, f’dan is-sens, is-sentenza Schrems (punti 74 u 75).

( 106 ) Ara, f’dan is-sens, l-EDPB, EU‑US Privacy Shield – Second Annual Joint Review, tat‑22 ta’ Jannar 2019 (p. 17, punt 86).

( 107 ) Ara l-Artikolu 45(5) tal-GDPR. Ara wkoll is-sentenza Schrems (punt 76).

( 108 ) Għalhekk, id-Deċiżjoni “Port Salv” ġiet iddikjarata invalida għar-raġuni li l-Kummissjoni ma kinitx indikat, f’din id-deċiżjoni, li l-Istati Uniti kienu effettivament jiżguraw livell adegwat ta’ protezzjoni permezz tal-liġi domestika tagħhom jew tal-impenji internazzjonali tagħhom (sentenza Schrems, punt 97). B’mod partikolari, il-Kummissjoni la kienet ikkonstatat l-eżistenza ta’ regoli tal-Istat intiżi biex jillimitaw l-eventwali ndħil fid-drittijiet fundamentali tal-persuni kkonċernati (sentenza Schrems, punt 88), u lanqas ta’ protezzjoni ġudizzjarja effettiva kontra tali ndħil (sentenza Schrems, punt 89).

( 109 ) Il-punti 54 sa 73 ta’ dawn il-konklużjonijiet jiġbru fil-qosor dawn il-konstatazzjonijiet.

( 110 ) Ara, b’mod partikolari, is-sentenzi tal‑4 ta’ Mejju 1999, Sürül (C‑262/96, EU:C:1999:228, punt 95); tal‑11 ta’ Settembru 2008, Eckelkamp (C‑11/07, EU:C:2008:489, punt 32); u tas‑26 ta’ Ottubru 2016, Senior Home (C‑195/15, EU:C:2016:804, punt 20).

( 111 ) Ara, f’dan ir-rigward, is-sentenza tas-Supreme Court (il-Qorti Suprema) tal‑31 ta’ Mejju 2019 (punt 6.18).

( 112 ) Ara s-sentenza tat‑13 ta’ Mejju 1981, International Chemical Corporation vs Amministrazione delle finanze dello Stato (66/80, EU:C:1981:102, punti 12 u 13).

( 113 ) Ara, f’dan ir-rigward, is-sentenza tat‑22 ta’ Marzu 2012, GLS (C‑338/10, EU:C:2012:158, punti 15, 33 u 34), li fiha l-Qorti tal-Ġustizzja ħadet inkunsiderazzjoni, sabiex tevalwa l-validità ta’ regolament li jistabbilixxi dazju antidumping, statistika tal-Eurostat prodotta mill-Kummissjoni fuq talba tal-Qorti tal-Ġustizzja. Ara, ukoll, is-sentenza tat‑22 ta’ Ottubru 1991, Nölle vs Hauptzollamt Bremen-Freihafen (C‑16/90, EU:C:1991:402, punti 17, 23 u 24). Bl-istess mod, fis-sentenza Schrems (punt 90), il-Qorti tal-Ġustizzja ħadet inkunsiderazzjoni, waqt l-eżami tal-validità tad-Deċiżjoni “Port Salv”, ċerti komunikazzjonijiet tal-Kummissjoni.

( 114 ) Sentenza Schrems (punti 73 u 74).

( 115 ) Ara, f’dan is-sens, Grupp 29, “Adequacy Referential (updated)”, 28 ta’ Novembru 2017, WP 254 (p. 3, 4 u 9).

( 116 ) L-Artikolu 8(2) tal-KEDB, madankollu, ma jagħmel l-ebda riferiment għall-kunċett ta’ “kontenut essenzjali” tad-dritt għar-rispett tal-privatezza. Ara, f’dan ir-rigward, in-nota 161 ta’ dawn il-konklużjonijiet.

( 117 ) Qorti EDB, sentenza tad‑19 ta’ Ġunju 2018 (CE:ECHR:2018:0619JUD003525208, iktar ’il quddiem is-“sentenza Centrüm för Rättvisa”).

( 118 ) Qorti EDB, sentenza tat‑13 ta’ Settembru 2018 (CE:ECHR:2018:0913JUD005817013, iktar ’il quddiem is-“sentenza Big Brother Watch”).

( 119 ) Ara l-kawżi ċċitati fin-nota 98 ta’ dawn il-konklużjonijiet kif ukoll il-kawża C‑520/18, Ordre des barreaux francophones et germanophones et (ĠU 2018, C 408, p. 39).

( 120 ) Għalkemm ipproċessar jista’ jikser kemm l-Artikolu 7 kif ukoll l-Artikolu 8 tal-Karta, il-qafas ta’ analiżi rilevanti għall-finijiet tal-applikazzjoni tal-Artikolu 8 strutturalment ivarja minn dak marbut mal-Artikolu 7. Id-dritt għall-protezzjoni tad-data personali jimplika, skont l-Artikolu 8(2) tal-Karta li “[d]in id-data għandha tiġi trattata b’mod ġust għal finijiet determinati u abbażi tal-kunsens tal-persuna kkonċernata jew fuq bażi oħra leġittima stabbilita mil-liġi” u li “[k]ull persuna għandha d-dritt ta’ aċċess għad-data miġbura li għandha x’taqsam magħha u d-dritt li tikseb ir-rettifika tagħha”. Il-ksur ta’ dan id-dritt jissupponi li data personali tgħaddi minn ipproċessar li jkun sar bi ksur ta’ dawn ir-rekwiżiti. Dan huwa l-każ, b’mod partikolari, meta l-ipproċessar la jkun ibbażat fuq il-kunsens tal-persuna kkonċernata, u lanqas fuq bażi leġittima oħra prevista mil-liġi. F’sitwazzjoni bħal din, filwaqt li l-mistoqsija dwar l-eżistenza ta’ interferenza u dik dwar il-ġustifikazzjoni tagħha huma kunċettwalment distinti fil-kuntest tal-Artikolu 7, huma jikkoinċidu f’dak li jirrigwarda l-Artikolu 8 tal-Karta.

( 121 ) Il-punt (b) tat-tieni paragrafu tal-Artikolu 2 tad-Direttiva 2002/58 jiddefinixxi l-kunċett ta’ “data dwar it-traffiku” bħala “data pproċessata għall-iskopijiet li tintbagħat komunikazzjoni fuq network ta’ komunikazzjoni elettronika jew biex isir il-kont għaliha”.

( 122 ) Ara s-sentenza tat-8 ta’ April 2014, Digital Rights Ireland u Seitlinger et (C‑293/12 u C‑594/12, EU:C:2014:238, iktar ’il quddiem is-“sentenza Digital Rights Ireland”, punt 27), u s-sentenza Tele2 Sverige (punt 99). Ara, ukoll, il-Qorti EDB, sentenza tat-2 ta’ Awwissu 1984, Malone vs Ir-Renju Unit (CE:ECHR:1984:0802JUD000869179, punt 84), u tat-8 ta’ Frar 2018, Ben Faiza vs Franza (CE:ECHR:2018:0208JUD003144612, punt 66).

( 123 ) Ara s-sentenza Digital Rights Ireland (punt 33); Opinjoni 1/15 (punt 124); kif ukoll is-sentenza Ministerio Fiscal (punt 51).

( 124 ) Ara l-premessi 78 sa 81 kif ukoll l-Anness VI, punt II, tad-Deċiżjoni “Ħarsien tal-privatezza”.

( 125 ) Ara, f’dan ir-rigward, is-sentenza Digital Rights Ireland (punt 32).

( 126 ) Ara, f’dan is-sens, l-Opinjoni 1/15 (punti 124 u 125), li minnha jirriżulta li l-komunikazzjoni ta’ data lil parti terza tikkostitwixxi interferenza fl-eżerċizzju tad-drittijiet fundamentali tal-persuni kkonċernati jkun xi jkun l-użu sussegwenti tagħha.

( 127 ) Ara, f’dan is-sens, is-sentenza Digital Rights Ireland (punt 35); is-sentenza Schrems (punt 87); u l-Opinjoni 1/15 (punti 123 sa 126).

( 128 ) Ara l-punt 60 ta’ dawn il-konklużjonijiet.

( 129 ) PCLOB, Report on the Surveillance Program Operated Pursuant to Section 702 of the [FISA], 2 ta’ Lulju 2014 (iktar ’il quddiem ir-“rapport tal-PCLOB”, pp. 84 u 111). Ara, ukoll, il-Grupp 29, EU‑U.S. Privacy Shield – First Annual Joint Review, 28 ta’ Novembru 2017, WP 255 (taħt B.1.1, p. 15).

( 130 ) Ara n-nota 126 ta’ dawn il-konklużjonijiet.

( 131 ) Ara, f’dan ir-rigward, il-punt 222 ta’ dawn il-konklużjonijiet.

( 132 ) Ara l-Opinjoni 1/15 (punt 123 u l-ġurisprudenza ċċitata).

( 133 ) Ara, b’mod partikolari, l-Opinjoni 1/15 (punt 146).

( 134 ) Ara, b’mod partikolari, il-Qorti EDB, 2 ta’ Awwissu 1984, Malone vs Ir-Renju Unit (CE:ECHR:1984:0802JUD000869179, punt 66); id-deċiżjoni tad‑29 ta’ Ġunju 2006, Weber u Saravia vs Il-Ġermanja (CE:ECHR:2006:0629DEC005493400, punt 84 u l-ġurisprudenza ċċitata); kif ukoll is-sentenza tal‑4 ta’ Diċembru 2015, Zakharov vs Ir-Russja (CE:ECHR:2015:1204JUD004714306, iktar ’il quddiem is-“sentenza Zakharov”, punt 228).

( 135 ) Ara, b’mod partikolari, is-sentenza Digital Rights Ireland (punti 54 u 65); is-sentenza Schrems (punt 91); is-sentenza Tele2 Sverige (punt 109); u l-Opinjoni 1/15 (punt 141).

( 136 ) Ara, b’mod partikolari, id-deċiżjoni Weber u Saravia (punti 94 u 95); is-sentenza Zakharov (punt 236); u l-Qorti EDB, 12 ta’ Jannar 2016, Szabó u Vissy vs L-Ungerija (CE:ECHR:2016:0112JUD003713814, iktar ’il quddiem is-“sentenza Szabó u Vissy”, punt 59).

( 137 ) Ara s-sentenza Tele2 Sverige (punt 117) u l-Opinjoni 1/15 (punt 190). Ara wkoll, b’mod partikolari, il-Qorti EDB, 2 ta’ Awwissu 1984, Malone vs Ir-Renju Unit (CE:ECHR:1984:0802JUD000869179, punt 67); is-sentenza Zakharov (punt 229); u s-sentenza Szabó u Vissy (punt 62). Il-Qorti EDB tispeċifika fihom li l-obbligu ta’ prevedibbiltà ma għandux l-istess portata fir-rigward tal-interċettazzjoni tal-komunikazzjonijiet bħal f’oqsma oħra. Fil-kuntest tal-miżuri ta’ sorveljanza sigrieta, “ir-rekwiżit ta’ prevedibbiltà ma jistax ifisser li xi ħadd għandu jitħalla jbassar jekk il-komunikazzjonijiet tiegħu jistgħux jiġu interċettati mill-awtoritajiet u meta, sabiex ikun jista’ jirregola l-imġiba tiegħu kif meħtieġ” [traduzzjoni mhux uffiċjali].

( 138 ) Opinjoni 1/15, (punt 139). Ara, ukoll, f’dan is-sens, il-Qorti EDB, 25 ta’ Marzu 1983, Silver et vs Ir-Renju Unit (CE:ECHR:1983:0325JUD000594772, punti 88 u 89).

( 139 ) Il-premessi 69 sa 77 kif ukoll il-punt I tal-Anness VI tad-Deċiżjoni “Ħarsien tal-privatezza” jinkludu espożizzjoni tal-PPD 28. Dawn jispeċifikaw li din id-direttiva presidenzjali tapplika kemm għall-attivitajiet ta’ intelligence ibbażati fuq l-Artikolu 702 tal-FISA kif ukoll għal dawk li jitwettqu ’l barra mit-territorju tal-Istati Uniti.

( 140 ) Il-punt 3.7(c) tal-EO 12333 jistipula: “[t]his order is intended only to improve the internal management of the executive branch and is not intended to, and does not, create any right or benefit, substantive or procedural, enforceable at law or in equity, by any party against the United States, its departments, agencies or entities, its officers, employees, or agents, or any other person”. L-Artikolu 6(d) tal-PPD 28 jipprevedi wkoll: “This directive is not intended to, and does not, create any right or benefit, substantive or procedural, enforceable at law or in equity by any party against the United States, its departments, agencies, or entities, its officers, employees, or agents, or any other person”.

( 141 ) Ara, f’dan is-sens, l-EDPB, EU‑U.S. Privacy Shield – Second Annual Joint Review, 22 ta’ Jannar 2019 (punt 99).

( 142 ) Ara l-premessi 69 u 77 tad-Deċiżjoni “Ħarsien tal-privatezza”.

( 143 ) Premessa 76 tad-Deċiżjoni “Ħarsien tal-privatezza”.

( 144 ) Ara l-Qorti EDB, 25 ta’ Marzu 1983, Silver et vs Ir-Renju Unit (CE:ECHR:1983:0325JUD000594772, punti 26 u 86).

( 145 ) Ara l-punti 295 sa 301 ta’ dawn il-konklużjonijiet. Fis-sentenza Tele2 Sverige (punti 116 u 117) u fl-Opinjoni 1/15 (punti 140 u 141), il-kundizzjoni ta’ prevedibbiltà tal-liġi ġiet ippreżentata bħala li hija intrinsikament marbuta mal-kundizzjoni ta’ neċessità u ta’ proporzjonalità tal-interferenza. Bl-istess mod, skont il-ġurisprudenza tal-Qorti EDB, l-eżistenza ta’ salvagwardji effettivi kontra r-riskji ta’ abbuż hija parti kemm mill-kundizzjoni ta’ “prevedibbiltà” tal-interferenza kif ukoll minn dik tan-natura “neċessarja f’soċjetà demokratika”, peress li l-osservanza ta’ dawn iż-żewġ kundizzjonijiet hija eżaminata b’mod konġunt. Ara, b’mod partikolari, il-Qorti EDB, 18 ta’ Mejju 2010, Kennedy vs Ir-Renju Unit (CE:ECHR:2010:0518JUD002683905, punt 155); sentenza Zakharov (punt 236); sentenza Centrüm för Rättvisa (punt 107); u sentenza Big Brother Watch (punt 322).

( 146 ) Ara, ukoll, il-premessa 104 tal-GDPR.

( 147 ) Ara s-sentenza Schrems (punt 94). Ara, ukoll, is-sentenzi Digital Rights Ireland (punt 39) u Tele2 Sverige (punt 101). Minħabba r-rabta mill-qrib bejn id-drittijiet għar-rispett tal-privatezza u għall-protezzjoni tad-data personali, miżura nazzjonali li tagħti lill-awtoritajiet pubbliċi aċċess ġeneralizzat għall-kontenut tal-komunikazzjonijiet tikser ukoll, jidhirli, il-kontenut essenzjali tad-dritt stabbilit fl-Artikolu 8 tal-Karta.

( 148 ) Ara l-punt 257 ta’ dawn il-konklużjonijiet. Fis-sentenza Tele2 Sverige (punt 99), il-Qorti tal-Ġustizzja enfasizzat li l-metadata tipprovdi, b’mod partikolari, il-mezzi biex jiġi stabbilit il-profil tal-persuni kkonċernati. Fl-Opinjoni tiegħu 04/2014 dwar is-sorveljanza tal-komunikazzjonijiet elettroniċi għal finijiet ta’ informazzjoni u ta’ sigurtà nazzjonali, tal‑10 ta’ April 2014, WP 215 (p. 5), il-Grupp 29 osserva li, minħabba n-natura strutturata tagħha, il-metadata hija iktar faċli biex tiġi vverifikata u analizzata minn data tal-kontenut.

( 149 ) Ara s-sentenza Tele2 Sverige (punt 99). Ċerti kummentaturi ddubitaw il-fondatezza tad-distinzjoni bejn l-aċċess ġeneralizzat għall-kontenut tal-komunikazzjonijiet u l-aċċess ġeneralizzat għall-metadata fid-dawl tal-iżviluppi fit-teknoloġiji u l-metodi ta’ komunikazzjoni. Ara Falot, N. u Hijmans, H., “Tele2: de afweging tussen privacy en veiligheid nader omlijnd”, Nederlands Tijdschrift voor Europees Recht, Nru 3, 2017 (p. 48), kif ukoll Ojanen, T., “Making essence of the rights real: the Court of Justice of the European Union clarifies the structure of fundamental rights under the Charter” (kummentarju dwar is-sentenza Schrems), European Constitutional Law Review, 2016 (p. 5).

( 150 ) Ara n-nota ta’ qiegħ il-paġna 87 tad-Deċiżjoni “Ħarsien tal-privatezza”. Madankollu, skont l-osservazzjonijiet tal-EPIC u t-tweġiba bil-miktub tal-Gvern tal-Istati Uniti għall-mistoqsijiet magħmula mill-Qorti tal-Ġustizzja, il-FISC jidher li, fl-2017, irrikjeda s-sospensjoni tar-riċerki “dwar” selettur minħabba irregolaritajiet li nstabu fir-riċerki ta’ dan it-tip. Madankollu, il-Kungress kien ippreveda, fl-att ta’ awtorizzazzjoni mill-ġdid tal-FISA adottat fl-2018, il-possibbiltà li dan it-tip ta’ riċerki jiġi introdott mill-ġdid bil-qbil tal-FISC u tal-Kungress. Ara, ukoll, l-EDPB, EU‑U.S. Privacy Shield – Second Annual Joint Review, 22 ta’ Jannar 2019 (p. 27, punt 55).

( 151 ) Minn din il-perspettiva, il-qorti tar-rinviju, fil-punti 188 u 189 tas-sentenza tagħha tat‑3 ta’ Ottubru 2017, tiddistingwi r-riċerka “fi kwantità” mill-kisba, il-ġbir jew iż-żamma “fi kwantità”. Dik il-qorti tikkunsidra essenzjalment li, għalkemm il-programm Upstream jinvolvi riċerka “fi kwantità” fil-flussi kollha tad-data li jgħaddu mid-“dorsali” tat-telekomunikazzjonijiet, il-kisba, il-ġbir u ż-żamma huma mmirati fis-sens li għandhom biss bħala għan id-data li fiha s-seletturi inkwistjoni.

( 152 ) Ara, f’dan is-sens, is-sentenza tas-Supreme Court (il-Qorti Suprema) tal‑31 ta’ Mejju 2019 (punti 11.2 u 11.3). Fiha dik il-qorti tgħid: “[I]t is inevitable that any screening process designed to identify data of interest will necessarily involve all of the data available, for the whole point of the screening process is to identify within that entire universe of available data the relevant material which may be of interest and thus require closer scrutiny. Perhaps part of the problem lies in the fact that the term ‘processing’ covers a wide range of activity, apparently, in the view of the DPC, including screening. On the assumption that that is a correct view of the law, then it is technically correct to describe bulk screening as involving indiscriminate processing. But the use of that terminology might be taken to imply that other forms of processing, which are significantly more invasive, are carried out on an indiscriminate basis.”

( 153 ) Ara l-Opinjoni 1/15 (punt 122). Ara, ukoll, ir-Rapport tal-Kummissjoni Ewropea għad-Demokrazija permezz tad-Dritt (il-Kummissjoni ta’ Venezja) dwar is-superviżjoni demokratika tal-aġenziji tal-ġbir tal-informazzjoni ta’ oriġini elettromanjetika, tal-15 ta’ Diċembru 2015, Studju Nru 719/2013 (CDL‑AD(2015)011, p. 11): “Fil-prattika, jekk dan il-proċess jillimitax b’mod adegwat l-intrużjonijiet żejda fil-komunikazzjonijiet personali innoċenti jiddependi minn jekk is-selettur użat huwiex rilevanti u speċifiku biżżejjed u minn jekk il-kwalità tal-algoritmu diġitali użat biex jagħżel bejn id-data rilevanti fil-parametri magħżula hijiex sodisfaċenti” [traduzzjoni mhux uffiċjali].

( 154 ) Ara l-punti 297 sa 301 ta’ dawn il-konklużjonijiet.

( 155 ) Opinjoni 1/15, (punt 150).

( 156 ) Ara l-premessi 70, 103 u 109 tad-Deċiżjoni “Ħarsien tal-privatezza”.

( 157 ) Ara l-premessi 83 sa 87 kif ukoll il-punt I(c) tal-Anness VI tad-Deċiżjoni “Ħarsien tal-privatezza”. Nosserva li, skont ir-rapport tal-PCLOB (p. 51 sa 66), il-proċeduri ta’ “minimizzazzjoni” tan-NSA taħt l-Artikolu 702 tal-FISA ikopru biss lill-persuni Amerikani, fil-parti l-kbira tal-aspetti tagħhom. Il-PPD 28 kellha l-għan li testendi s-salvagwardji applikabbli għall-persuni mhux Amerikani. Ara PCLOB, Report to the President on the Implementation of [PPD 28]: Signals Intelligence Activites, disponibbli fl-indirizz elettroniku https://www.pclob.gov/reports/report-PPD28/(p. 2). Madankollu, il-ħażna u l-użu tad-data għal finijiet ta’ sigurtà nazzjonali, wara li tkun inkisbet mill-awtoritajiet pubbliċi, ma taqax, fil-fehma tiegħi, fil-kamp ta’ applikazzjoni tad-dritt tal-Unjoni (ara l-punt 226 ta’ dawn il-konklużjonijiet). L-adegwatezza tal-livell ta’ protezzjoni żgurat fil-kuntest ta’ dawn l-attivitajiet għandha għalhekk tkun evalwata biss fid-dawl tal-Artikolu 8 tal-KEDB.

( 158 ) Ara l-punti 283 sa 289 ta’ dawn il-konklużjonijiet.

( 159 ) B’mod partikolari, il-Kummissjoni kkonstatat, fil-premessa 127 tad-Deċiżjoni “Ħarsien tal-privatezza”, li r-raba’ emenda tal-Kostituzzjoni tal-Istati Uniti ma tapplikax għall-persuni mhux Amerikani.

( 160 ) Ara l-premessi 73 sa 74 kif ukoll il-punt I(b) tal-Anness VI tad-Deċiżjoni “Ħarsien tal-privatezza”. Dawn l-għanijiet jinkludu l-ġlieda kontra l-ispjunaġġ u kontra theddid u attivitajiet oħrajn immexxija minn setgħat barranin kontra l-Istati Uniti u l-interessi tagħhom; kontra t-theddid mit-terroriżmu; kontra t-theddid li jirriżulta mill-iżvilupp, il-pussess, il-proliferazzjoni, jew l-użu ta’ armi tal-qerda tal-massa; kontra t-theddid marbut maċ-ċibersigurtà; kontra t-theddid għall-Forzi Armati tal-Istati Uniti jew l-alleati tagħhom; u kontra t-theddid mill-kriminalità transnazzjonali. Skont in-nota ta’ qiegħ il-paġna 5 tal-PPD 28, il-limitazzjoni tal-għanijiet li tiġġustifika l-użu ta’ data miġbura “fi kwantità” ma tapplikax meta tali ġbir huwa biss temporanju u intiż li jiffaċilita ġbir immirat.

( 161 ) Għalkemm id-dispożizzjonijiet tal-KEDB ma jsemmux il-“kontenut essenzjali” tad-drittijiet fundamentali, il-kunċett ekwivalenti tas-“sustanza nfisha” ta’ dritt fundamentali jinsab fil-ġurisprudenza tal-Qorti EDB dwar uħud minn dawn id-dispożizzjonijiet. Ara, f’dak li jirrigwarda s-sustanza nnifisha tad-dritt għal proċess ġust iggarantit fl-Artikolu 6 tal-KEDB, b’mod partikolari, il-Qorti EDB, 25 ta’ Mejju 1985, Ashingdane vs Ir-Renju Unit (CE:ECHR:1985:0528JUD000822578, punti 57 u 59); tal‑21 ta’ Diċembru 2000, Heaney u McGuinness vs L-Irlanda (CE:ECHR:2000:1221JUD003472097, punti 55 u 58); u t-23 ta’ Ġunju 2016, Baka vs L-Ungerija (CE:ECHR:2016:0623JUD002026112, punt 121). Rigward is-sustanza nnifisha tad-dritt għaż-żwieġ stabbilit fl-Artikolu 12 tal-KEDB, ara l-Qorti EDB, 11 ta’ Lulju 2002, Christine Goodwin vs Ir-Renju Unit (CE:ECHR:2002:0711JUD002895795, punti 99 u 101). Rigward is-sustanza nnifisha tad-dritt għall-edukazzjoni ggarantit fl-Artikolu 2 tal-Protokoll Nru 1 għall-KEDB, ara l-Qorti EDB, 23 ta’ Lulju 1968, kawża “dwar ċerti aspetti tal-iskema lingwistika tat-tagħlim fil-Belġju” [traduzzjoni mhux uffiċjali] (CE:ECHR:1968:0723JUD000147462, punt 5).

( 162 ) Ara, b’mod partikolari, is-sentenzi Centrüm för Rättvisa (punti 112 sa 114 kif ukoll il-ġurisprudenza ċċitata) u Big Brother Watch (punt 337).

( 163 ) Ara l-punt 197 ta’ dawn il-konklużjonijiet.

( 164 ) Ara l-Artikolu 23(1)(a) tal-GDPR.

( 165 ) Ara s-sentenza Schrems (punt 88). Il-Qorti tal-Ġustizzja kkunsidrat il-kunċett viċin ta’ “sigurtà pubblika”, fis-sens tad-dispożizzjonijiet tat-TFUE li jawtorizzaw derogi għal-libertajiet fundamentali li jiggarantixxi, bħala kunċett awtonomu tad-dritt tal-Unjoni li jkopri s-sigurtà kemm interna kif ukoll barranija tal-Istati Membri (ara, b’mod partikolari, is-sentenzi tas-26 ta’ Ottubru 1999, Sirdar (C‑273/97, EU:C:1999:523, punt 17), kif ukoll tat-13 ta’ Settembru 2016, CS (C‑304/14, EU:C:2016:674, punt 39 u l-ġurisprudenza ċċitata)). Filwaqt li s-sigurtà interna tista’ tkun affettwata, b’mod partikolari, minn theddida diretta għat-trankwillità u s-sigurtà fiżika tal-popolazzjoni tal-Istat Membru kkonċernat, is-sigurtà barranija tista’ tkun ipperikolata, b’mod partikolari, mir-riskju ta’ perturbazzjoni gravi tar-relazzjonijiet barranin jew tal-koeżistenza paċifika tal-popli. Mingħajr ma jkun jista’ jiddetermina unilateralment il-kontenut ta’ dawn il-kunċetti, kull Stat Membru għandu ċertu marġni ta’ diskrezzjoni sabiex jiddefinixxi l-interessi essenzjali tiegħu f’termini ta’ sigurtà. Ara, b’mod partikolari, is-sentenza tat-2 ta’ Mejju 2018, K. u H. F. (Dritt ta’ residenza u allegazzjonijiet ta’ delitti ta’ gwerra) (C‑331/16 u C‑366/16, EU:C:2018:296, punti 40 sa 42 kif ukoll il-ġurisprudenza ċċitata). Dawn il-kunsiderazzjonijiet huma, fl-opinjoni tiegħi, trasponibbli għall-interpretazzjoni tal-kunċett ta’ “sigurtà nazzjonali” bħala interess li l-protezzjoni tiegħu tista’ tiġġustifika restrizzjonijiet għad-dispożizzjonijiet tal-GDPR u għad-drittijiet iggarantiti fl-Artikoli 7 u 8 tal-Karta.

( 166 ) Ara, f’dan ir-rigward, il-premessa 89 u n-nota ta’ qiegħ il-paġna 97 tad-Deċiżjoni “Ħarsien tal-privatezza”.

( 167 ) Ara l-punt 55 ta’ dawn il-konklużjonijiet.

( 168 ) Ara l-punt 61 ta’ dawn il-konklużjonijiet.

( 169 ) Fis-sentenza Centrüm för Rättvisa (punt 111), il-Qorti EDB iddeċidiet li attivitajiet ta’ sorveljanza intiżi li jappoġġjaw il-politika estera, il-politika ta’ difiża u l-politika ta’ sigurtà tal-Isvezja kif ukoll li jiġi lokalizzat it-theddid estern organizzat fl-Isvezja kienu jsegwu għanijiet leġittimi dwar is-sigurtà nazzjonali.

( 170 ) Ara, dwar dan, is-sentenza Tele2 Sverige (punt 115) u s-sentenza Ministerio Fiscal (punt 55). Il-Qorti tal-Ġustizzja enfasizzat fihom ir-rabta bejn il-grad ta’ gravità ta’ interferenza u dak tal-interess invokat sabiex jiġġustifikaha.

( 171 ) Il-Grupp 29, fid-dokument ta’ ħidma tiegħu dwar is-sorveljanza tal-komunikazzjonijiet elettroniċi għal skopijiet ta’ intelligence u ta’ sigurtà nazzjonali, tal-5 ta’ Diċembru 2014, WP 228 (p. 27), insista fuq l-importanza li ssir evalwazzjoni kritika dwar jekk is-sorveljanza hijiex qiegħda effettivament issir għal skopijiet ta’sigurtà nazzjonali.

( 172 ) Ara l-Opinjoni 1/15 (punt 181), li fiha l-Qorti tal-Ġustizzja ddeċidiet li l-formulazzjoni tad-dispożizzjonijiet leġiżlattivi li jipprevedu l-interferenzi ma kinitx tissodisfa r-rekwiżiti ta’ ċarezza u ta’ preċiżjoni, tant li dawn l-interferenzi ma kinux limitati għal dak li huwa strettament neċessarju. Fl-istess sens, l-Avukat Ġenerali Bot ikkunsidra, fil-konklużjonijiet tiegħu fil-kawża Schrems (C‑362/14, EU:C:2015:627, punti 181 sa 184), li l-għanijiet tal-miżuri ta’ sorveljanza kienu fformulati b’mod ġenerali wisq biex jiġu kkunsidrati bħala għanijiet ta’ interess ġenerali, ħlief f’dak li jirrigwarda s-sigurtà nazzjonali.

( 173 ) Dubji simili ġew espressi mill-KEPD fl-Opinjoni 4/2016 tiegħu dwar il-“Ħarsien tal-Privatezza tal-UE u l-Istati Uniti” (Privacy Shield) – Abbozz ta’ deċiżjoni ta’ adegwatezza tat-30 ta’ Mejju 2016 (p. 8).

( 174 ) Ara s-sentenza tad-9 ta’ Novembru 2010, Volker und Markus Schecke u Eifert (C‑92/09 u C‑93/09, EU:C:2010:662, punt 48); Opinjoni 1/15 (punt 136); u s-sentenza tal-24 ta’ Settembru 2019, Google (Portata territorjali tat-tneħħija ta’ referenza) (C‑507/17, EU:C:2019:772, punt 60).

( 175 ) Ara, b’mod partikolari, is-sentenza tas‑16 ta’ Diċembru 2008, Satakunnan Markkinapörssi u Satamedia (C‑73/07, EU:C:2008:727, punt 56); is-sentenza Digital Rights Ireland (punti 48 u 52); is-sentenza Schrems (punti 78 u 92); kif ukoll l-Opinjoni 1/15 (punti 139 u 140). Ara, ukoll, il-premessa 140 tad-Deċiżjoni “Ħarsien tal-privatezza”.

( 176 ) Sentenza Schrems (punt 93). Ara, ukoll, f’dan is-sens, is-sentenza Digital Rights Ireland (punt 60).

( 177 ) Ara s-sentenza Tele2 Sverige (punt 120) u l-Opinjoni 1/15 (punt 202).

( 178 ) Ir-rapport tal-PCLOB (p. 45) jispeċifika: “With respect to the foreign intelligence purpose, the NSA targeting procedures require the analyst only to “identify” the foreign power or foreign territory regarding which the foreign intelligence information is to be acquired. By policy, but not as a requirement of the targeting procedures, the NSA also requires that all taskings be accompanied by a very brief statement (typically no more than one sentence long) that further explains the analyst’s rationale for assessing that tasking the selector in question will result in the acquisition of the types of foreign intelligence information authorized by the Section 702 certification.”

( 179 ) Ara, f’dan is-sens, Grupp 29, Opinion 1/2016 on the EU‑U.S. Privacy Shield draft adequacy decision, 13 ta’ April 2016, WP 238 (subinċiż 3.3.1, p. 38); ir-riżoluzzjoni tal-Parlament tas‑6 ta’ April 2017 dwar l-adegwatezza tal-protezzjoni mogħtija mit-Tarka tal-Privatezza UE‑US, P8_TA(2017)0131 (punt 17); kif ukoll ir-rapport tal-Parlament dwar l-implikazzjonijiet tal-Big Data fuq id-drittijiet fundamentali: il-privatezza, il-protezzjoni tad-data, in-nondiskriminazzjoni, is-sigurtà u l-infurzar tal-liġi, tal‑20 ta’ Frar 2017, A8‑0044/2017 (punt 17).

( 180 ) Ara, f’dan is-sens, Grupp 29, EU‑U.S. Privacy Shield – First Annual Joint Review, 28 ta’ Novembru 2017, WP 255 (p. 3); ir-riżoluzzjoni tal-Parlament Ewropew tal‑5 ta’ Lulju 2018 dwar l-adegwatezza tal-protezzjoni mogħtija mit-Tarka tal-Privatezza UE‑US, P8_TA (2018)0315 (punt 22); u l-EDPB, EU‑U.S. Privacy Shield – Second Annual Joint Review, 22 ta’ Jannar 2019 (punti 81 sa 83 u 87).

( 181 ) Ara, b’mod partikolari, is-sentenzi Zakharov (punt 232) u Szabó u Vissy (punt 57).

( 182 ) Ara, b’mod partikolari, is-sentenzi Zakharov (punt 237); Centrüm för Rättvisa (punt 111); u Big Brother Watch (punt 322).

( 183 ) Ara, b’mod partikolari, id-deċiżjoni Weber u Saravia (punt 95); is-sentenza tat-28 ta’ Ġunju 2007, Assoċjazzjoni għall-integrazzjoni Ewropea u d-drittijiet tal-bniedem u Ekimdjiev (CE:ECHR:2007:0628JUD006254000, punt 76); is-sentenza Zakharov (punt 231); kif ukoll is-sentenza Centrüm för Rättvisa (punt 103).

( 184 ) Ara, b’mod partikolari, id-deċiżjoni Weber u Saravia (punt 106); is-sentenza Zakharov (punt 232); u s-sentenza Centrüm för Rättvisa (punt 104).

( 185 ) Ara, b’mod partikolari, il-Qorti EDB, 6 ta’ Settembru 1978, Klass et vs Il‑Ġermanja (CE:ECHR:1978:0906JUD000502971, punt 55); is-sentenza Zakharov (punt 233); kif ukoll is-sentenza Centrüm för Rättvisa (punt 105).

( 186 ) Ara, b’mod partikolari, is-sentenza Klass (punt 56); il-Qorti EDB, 18 ta’ Mejju 2010, Kennedy vs Ir-Renju Unit (CE:ECHR:2010:0518JUD002683905, punt 167); kif ukoll is-sentenza Zakharov (punti 233 u 258).

( 187 ) Ara s-sentenzi Szabó u Vissy (punt 77) u Centrüm för Rättvisa (punt 133).

( 188 ) Dan huwa iktar u iktar il-każ fid-dawl tal-kunsiderazzjonijiet esposti fil-punt 281 ta’ dawn il-konklużjonijiet.

( 189 ) Ara l-punti 330 sa 331 ta’ dawn il-konklużjonijiet.

( 190 ) L-ispjegazzjonijiet dwar il-Karta jistipulaw, f’dan ir-rigward, li “fil-liġi ta’ l-Unjoni, il-protezzjoni [prevista fl-Artikolu 47 tal-Karta] hija aktar estiża [minn dik mogħtija mill-Artikolu 13 tal-KEDB] billi tiggarantixxi d-dritt għal rimedju effettiv quddiem qorti”. Ara wkoll il-konklużjonijiet tal-Avukat Ġenerali Wathelet fil-kawża Berlioz Investment Fund (C‑682/15, EU:C:2017:2, punt 37).

( 191 ) Sabiex tiġi evalwata l-kwalità ta’ “qorti” ta’ korp fil-kuntest tal-applikazzjoni tal-Artikolu 47 tal-Karta, għandhom jittieħdu inkunsiderazzjoni l-oriġini legali tiegħu, il-permanenza tiegħu, in-natura obbligatorja tal-ġurisdizzjoni tiegħu, in-natura kontradittorja tal-proċedura tiegħu, l-applikazzjoni, minn dan il-korp, tar-regoli ta’ dritt, kif ukoll l-indipendenza tiegħu. Ara s-sentenza tas-27 ta’ Frar 2018, Associação Sindical dos Juízes Portugueses (C‑64/16, EU:C:2018:117, punt 38 u l-ġurisprudenza ċċitata).

( 192 ) Ara, b’mod partikolari, is-sentenzi tal‑25 ta’ Lulju 2018, Minister for Justice and Equality (Nuqqasijiet tas-sistema ġudizzjarja) (C‑216/18 PPU, EU:C:2018:586, punti 59 u 63); tal‑5 ta’ Novembru 2019, Il‑Kummissjoni vs Il‑Polonja (Indipendenza tal-qrati ordinarji) (C‑192/18, EU:C:2019:924, punt 106); u tad‑19 ta’ Novembru 2019, A. K. et (Indipendenza tal-Awla Dixxiplinari tal-Qorti Suprema) (C‑585/18, C‑624/18 u C‑625/18, EU:C:2019:982, punt 120).

( 193 ) Ara l-punt 293 ta’ dawn il-konklużjonijiet. L-Artikolu 45(3)(a) tal-GDPR jipprevedi t-teħid inkunsiderazzjoni, waqt l-evalwazzjoni tal-adegwatezza tal-livell ta’ protezzjoni pprovdut minn Stat terz, ta’ “rimedju amministrattiv u ġudizzjarju” li jista’ effettivament jiġi introdott mill-persuni kkonċernati (enfasi miżjuda minni). Bl-istess mod, skont il-premessa 104 tal-GDPR, l-adozzjoni ta’ deċiżjoni ta’ adegwatezza għandha tkun suġġetta għall-kundizzjoni li l-persuni kkonċernati jingħataw, fil-pajjiż terz inkwistjoni, “rimedju amministrattiv u ġudizzjarju effettiv” (enfasi miżjuda minni). Ara, ukoll, Grupp 29, EU‑U.S. Privacy Shield – First Annual Joint Review, 28 ta’ Novembru 2017, WP 255 (punt B.3); ir-riżoluzzjoni tal-Parlament Ewropew tal‑5 ta’ Lulju 2018 dwar l-adegwatezza tal-protezzjoni mogħtija mit-Tarka tal-Privatezza UE‑US, P8_TA (2018)0315 (punti 25 u 30); u EDPB, EU‑U.S. Privacy Shield – Second Annual Joint Review, 22 ta’ Jannar 2019 (punti 94 sa 97).

( 194 ) Ara, f’dan is-sens, is-sentenza tat‑28 ta’ Frar 2013, Eżami mill-ġdid Arango Jaramillo et vs BEI (C‑334/12 RX‑II, EU:C:2013:134, punt 43).

( 195 ) Sentenza Schrems (punt 95).

( 196 ) L-Artikolu 15 tal-GDPR, intitolat “Dritt ta’ aċċess mis-suġġett tad-data”, jipprovdi, fil-paragrafu 1 tiegħu, li dan l-individwu “għandu d-dritt li jikseb mingħand il-kontrollur konferma dwar jekk id-data personali li tikkonċerna lilu hijiex qiegħda tiġi proċessata jew le, u, fejn dan ikun il-każ, l-aċċess għad-data personali”. Il-“prinċipju ta’ aċċess” previst fil-punt II.8(a) tal-Anness II tad-Deċiżjoni “Ħarsien tal-privatezza” għandu l-istess tifsira.

( 197 ) Sentenza Tele2 Sverige (punt 121) u Opinjoni 1/15 (punt 220). Kif innotat Facebook Ireland, in-notifika tal-aċċess tal-awtoritajiet pubbliċi għad-data ma tistax tkun għalhekk meħtieġa b’mod sistematiku. F’dan ir-rigward, il-Qorti EDB tikkunsidra li “jista’ ma jkunx fattibbli fil-prattika li teħtieġ notifika a posteriori”, sa fejn it-theddida li hija s-suġġett tal-miżuri ta’ sorveljanza “tista’ tkompli għal snin sħaħ, saħansitra għal deċennji” wara li dawn il-miżuri jiġu sospiżi, b’mod li n-notifika tista’ “tikkomprometti l-għan fit-tul li oriġinarjament ta lok għal din is-sorveljanza” kif ukoll “tiżvela l-metodi ta’ ħidma u l-oqsma ta’ operat tas-servizzi tal-intelligence u […] l-identità tal-aġenti tagħhom” (sentenza Zakharov (punt 287 u l-ġurisprudenza ċċitata)) [traduzzjoni mhux uffiċjali]. Fin-nuqqas ta’ notifika, għalkemm ir-rimedji ġudizzjarji individwali ma jkunux prattikabbli fil-każ ta’ ksur tar-rekwiżiti legali, salvagwardji oħrajn jistgħu jkunu suffiċjenti biex jipproteġu d-dritt għar-rispett tal-privatezza (ara, ukoll, sentenza Centrüm för Rättvisa, punti 164 sa 167 u 171 sa 178). Ara l-punt 330 ta’ dawn il-konklużjonijiet.

( 198 ) Ara, f’dan ir-rigward, in-nota 216 ta’ dawn il-konklużjonijiet.

( 199 ) Ara l-punt 67 ta’ dawn il-konklużjonijiet.

( 200 ) Ara l-KEPD, EU‑U.S. Privacy Shield – Second Annual Joint Review, 22 ta’ Jannar 2019 (p. 18, punt 97).

( 201 ) Ara, b’mod partikolari, is-sentenzi tal-11 ta’ Lulju 1991, Verholen et vs Sociale Verzekeringsbank Amsterdam (C‑87/90 sa C‑89/90, EU:C:1991:314, punt 24 u l-ġurisprudenza ċċitata), kif ukoll tat‑28 ta’ Frar 2013, Eżami mill-ġdid Arango Jaramillo et vs BEI (C‑334/12 RX‑II, EU:C:2013:134, punt 43).

( 202 ) Madankollu, il-Gvern tal-Istati Uniti speċifika, bħall-qorti tar-rinviju, li miżura ta’ sorveljanza taħt l-Artikolu 702 tal-FISA għandha tiġi nnotifikata lill-persuna fil-mira jekk id-data miġbura tintuża kontra tagħha fi proċedura ġudizzjarja.

( 203 ) Sentenza tal‑20 ta’ Mejju 2003, Österreichischer Rundfunk et (C‑465/00, C‑138/01 u C‑139/01, EU:C:2003:294, punt 75); sentenza Digital Rights Ireland (punt 33); sentenza Schrems (punt 87); u Opinjoni 1/15 (punt 124).

( 204 ) Dawn il-mekkaniżmi huma deskritti fil-premessi 95 sa 110 tad-Deċiżjoni “Ħarsien tal-privatezza”. Fihom il-Kummissjoni tagħmel distinzjoni, fil-kategorija tar-regoli dwar il-“protezzjoni legali effettiva”, bejn is-sorveljanza (ara l-premessi 92 sa 110) u r-rimedju individwali (ara l-premessi 111 sa 124).

( 205 ) Ara l-punt 298 ta’ dawn il-konklużjonijiet.

( 206 ) Skont il-premessa 109 tad-Deċiżjoni “Ħarsien tal-privatezza”, “[l-]Avukat Ġenerali u d-Direttur tal-[NSA] jivverifikaw il-konformità, u l-aġenziji għandhom l-obbligu jirrapportaw kwalunkwe inċident ta’ nuqqas ta’ konformità għall-FISC […], li fuq din il-bażi tista’ timmodifika l-awtorizzazzjoni”.

( 207 ) Ara l-punti 333 sa 340 ta’ dawn il-konklużjonijiet.

( 208 ) Ara l-punt 305 ta’ dawn il-konklużjonijiet.

( 209 ) Fil-ġurisprudenza tagħha dwar il-miżuri ta’ sorveljanza tat-telekomunikazzjonijiet, il-Qorti EDB indirizzat il-kwistjoni tar-rimedji fil-kuntest tal-eżami tal-“kwalità tal-liġi” u tal-ħtieġa ta’ interferenza fl-eżerċizzju tad-dritt iggarantit fl-Artikolu 8 tal-KEDB (ara, b’mod partikolari, is-sentenzi Zakharov (punt 236) u Centrüm för Rättvisa (punt 107)). Il-Qorti EDB, fis-sentenza tal‑1 ta’ Lulju 2008, Liberty et vs Ir-Renju Unit (CE:ECHR:2008:0701JUD005824300, punt 73), is-sentenza Zakharov (punt 307) u s-sentenza Centrüm för Rättvisa (punt 184), wara li kkonstatat ksur tal-Artikolu 8 tal-KEDB, ma qisitx li hu neċessarju li teżamina separatament l-ilment ibbażat fuq l-Artikolu 13 ta’ din il-konvenzjoni.

( 210 ) Skont il-Qorti EDB, għalkemm l-assenza ta’ notifika fi stadju kwalunkwe mhux neċessarjament timpedixxi li miżura ta’ sorveljanza tissodisfa l-kundizzjoni ta’ “ħtieġa f’soċjetà demokratika”, hija tikkomprometti l-aċċess għall-qrati u, għaldaqstant, l-effettività tar-rimedji (ara, b’mod partikolari, is-sentenza tas‑6 ta’ Settembru 1978, Klass et vs Il-Ġermanja (CE:ECHR:1978:0906JUD000502971, punti 57 u 58); id-deċiżjoni Weber u Saravia (punt 135); u s-sentenza Zakharov (punt 302)).

( 211 ) Ara, f’dan is-sens, is-sentenza Centrum för Rättvisa (punt 105).

( 212 ) Fis-sentenza Big Brother Watch (punt 317), il-Qorti EDB irrifjutat li żżid, fost is-salvagwardji minimi applikabbli għal skema ta’ sorveljanza kkaratterizzata minn interċettazzjoni massiva tal-komunikazzjonijiet elettroniċi, rekwiżit ta’ notifika tas-sorveljanza lill-persuni kkonċernati. Ara, ukoll, is-sentenza Centrum för Rättvisa (punt 164). Ir-rinviju ta’ dawn is-sentenzi quddiem l-Awla Manja tal-Qorti EDB għandu, b’mod partikolari, l-għan ta’ eżami mill-ġdid ta’ din il-konklużjoni.

( 213 ) Il-kunċett ta’ indipendenza jinkludi l-ewwel aspett, estern, li jissupponi li l-istanza kkonċernata tkun protetta mill-interventi jew il-pressjonijiet esterni li jistgħu jipperikolaw l-indipendenza tad-deċiżjoni tal-membri tagħha fir-rigward tal-kawżi mressqa quddiemhom. It-tieni aspett, intern, ta’ dan il-kunċett jingħaqad ma’ dak ta’ “imparzjalità” u jikkonċerna l-ekwidistanza fir-rigward tal-partijiet fil-kawża u tal-interessi rispettivi tagħhom fir-rigward tas-suġġett tagħha. Ara, b’mod partikolari, is-sentenzi tad‑19 ta’ Settembru 2006, Wilson (C‑506/04, EU:C:2006:587, punti 50 sa 52); tal-25 ta’ Lulju 2018, Minister for Justice and Equality (Nuqqasijiet tas-sistema ġudizzjarja) (C‑216/18 PPU, EU:C:2018:586, punti 63 u 65); u tad‑19 ta’ Novembru 2019, A. K. et (Indipendenza tal-Awla Dixxiplinari tal-Qorti Suprema), (C‑585/18, C‑624/18 u C‑625/18, EU:C:2019:982, punti 121 u 122). Konformement mal-prinċipju tas-separazzjoni tas-setgħat, l-indipendenza tal-qrati għandha tiġi żgurata fil-konfront, b’mod partikolari, tas-setgħa eżekuttiva. Ara s-sentenza tad‑19 ta’ Novembru 2019, A. K. et (Indipendenza tal-Awla Dixxiplinari tal-Qorti Suprema), (C‑585/18, C‑624/18 u C‑625/18, EU:C:2019:982, punt 127 u l-ġurisprudenza ċċitata).

( 214 ) L-Anness IIIA tad-Deċiżjoni “Ħarsien tal-privatezza” jirreferi, f’dan ir-rigward, għat-Taqsima 4(d) tal-PPD 28.

( 215 ) Ara l-premessa 116 tad-Deċiżjoni “Ħarsien tal-privatezza”.

( 216 ) Fis-sentenza tal‑31 ta’ Mejju 2005, Syfait et (C‑53/03, EU:C:2005:333, punt 31), il-Qorti tal-Ġustizzja enfasizzat l-importanza ta’ garanziji bħal dawn biex tiġi ssodisfatta l-kundizzjoni tal-indipendenza. Ara, ukoll, f’dan ir-rigward, is-sentenzi tal‑24 ta’ Ġunju 2019, Il‑Kummissjoni vs Il‑Polonja (Indipendenza tal-Qorti Suprema) (C‑619/18, EU:C:2019:531, punt 76), u tal‑5 ta’ Novembru 2019, Il‑Kummissjoni vs Il‑Polonja (Indipendenza tal-qrati ordinarji) (C‑192/18, EU:C:2019:924, punt 113).

( 217 ) Ara l-premessi 65 u 121 kif ukoll il-punt (1) tal-Anness IIIA tad-Deċiżjoni “Ħarsien tal-privatezza”.

( 218 ) Barra minn hekk, il-premessa 121 tad-Deċiżjoni “Ħarsien tal-privatezza” tindika li “l-Ombudsman se jkollu ‘jikkonferma’ li (i) l-ilment ikun ġie investigat kif xieraq, u li d-dritt tal-Istati Uniti — inklużi b’mod partikolari l-limitazzjonijiet u s-salvagwardji stabbiliti fl-Anness VI — ikun hemm konformità magħhom jew, fil-każ ta’ nuqqas ta’ konformità, tali ksur ikun ġie rrimedjat”.

( 219 ) Il-Kummissjoni kkonstatat, fit-tielet reviżjoni annwali tagħha tal-Ħarsien tal-Privatezza, li, skont id-dikjarazzjonijiet tal-Gvern tal-Istati Uniti, fil-każ li l-investigazzjoni tal-Ombudsman tiżvela xi ksur tal-proċeduri ta’ mmirar u ta’ minimizzazzjoni approvati mill-FISC, dan il-ksur għandu jinġieb għall-attenzjoni ta’ dik il-qorti. Il-FISC imbagħad tagħmel investigazzjoni indipendenti u, jekk ikun meħtieġ, tordna lill-aġenzija tal-intelligence ikkonċernata tirrimedja l-imsemmi ksur. Ara “Commission staff working document accompanying the report from the Commission to the European Parliament and the Council on the third annual review of the functioning of the EU‑U.S. Privacy Shield”23 ta’ Ottubru 2019, SWD(2019) 390 final, p. 28. Fih il-Kummissjoni tirreferi għad-dokument intitolat “Privacy Shield Ombudsperson Mechanism Unclassified Implementation Procedure”, disponibbli fuq l-indirizz https://www.state.gov/wp-content/uploads/2018/12/Ombudsperson-Mechanism-Implementation-Procedures-UNCLASSIFIED.pdf (pp. 4 u 5).

( 220 ) Ara s-sentenzi tas‑16 ta’ Mejju 2017, Berlioz Investment Fund (C‑682/15, EU:C:2017:373, punt 55), u tat‑13 ta’ Diċembru 2017, El Hassani (C‑403/16, EU:C:2017:960, punt 39).