–

għad-Data Protection Commissioner, minn D. Young, solicitor, B. Murray u M. Collins, SC, kif ukoll minn C. Donnelly, BL,

–

għal Facebook Ireland Ltd, minn P. Gallagher u N. Hyland, SC, A. Mulligan u F. Kieran, BL, kif ukoll minn P. Nolan, C. Monaghan, C. O’Neill u R. Woulfe, solicitors,

–

għal M. Schrems, minn H. Hofmann, Rechtsanwalt, E. McCullough, J. Doherty u S. O’Sullivan, SC, kif ukoll minn G. Rudden, solicitor,

–

għal The United States of America, minn E. Barrington, SC, S. Kingston, BL, S. Barton u B. Walsh, solicitors,

–

għall-Electronic Privacy Information Centre, minn S. Lucey, solicitor, G. Gilmore u A. Butler, BL, kif ukoll minn C. O’Dwyer, SC,

–

għal BSA Business Software Alliance Inc., minn B. Van Vooren u K. Van Quathem, advocaten,

–

għal Digitaleurope, minn N. Cahill, barrister, J. Cahir, solicitor, u M. Cush, SC,

–

għall-Irlanda, minn A. Joyce u M. Browne, bħala aġenti, assistiti minn D. Fennelly, BL,

–

għall-Gvern Belġjan, minn J.-C. Halleux u P. Cottin, bħala aġenti,

–

għall-Gvern Ċek, minn M. Smolek, J. Vláčil, O. Serdula u A. Kasalická, bħala aġenti,

–

għall-Gvern Ġermaniż, minn J. Möller, D. Klebs u T. Henze, bħala aġenti,

–

għall-Gvern Franċiż, minn A.‑L. Desjonquères, bħala aġent,

–

għall-Gvern Olandiż, minn C. S. Schillemans, K. Bulterman u M. Noort, bħala aġenti,

–

għall-Gvern Awstrijak, minn J. Schmoll u G. Kunnert, bħala aġenti,

–

għall-Gvern Pollakk, minn B. Majczyna, bħala aġent,

–

għall-Gvern Portugiż, minn L. Inez Fernandes, A. Pimenta u C. Vieira Guerra, bħala aġenti,

–

għall-Gvern tar-Renju Unit, minn S. Brandon, bħala aġent, assistit minn J. Holmes, QC, u C. Knight, barrister,

–

għall-Parlament Ewropew, minn M. J. Martínez Iglesias u A. Caiola, bħala aġenti,

–

għall-Kummissjoni Ewropea, minn D. Nardi, H. Krämer u H. Kranenborg, bħala aġenti,

–

għall-Bord Ewropew għall-Protezzjoni tad-Data (EDPB), minn A. Jelinek u K. Behn, bħala aġenti,

1

It-talba għal deċiżjoni preliminari tikkonċerna, essenzjalment,

2

Din it-talba tressqet fil-kuntest ta’ tilwima bejn, minn naħa, id-Data Protection Commissioner (il-Kummissarju għall-Protezzjoni tad-Data, l-Irlanda) (iktar ’il quddiem il-“Kummissarju”) u, min-naħa l-oħra, Facebook Ireland Ltd u Maximillian Schrems, dwar ilment imressaq minn dan tal-aħħar fir-rigward tat-trasferiment tad-data personali tiegħu minn Facebook Ireland lil Facebook Inc. fl-Istati Uniti.

3

L-Artikolu 3 tad-Direttiva 95/46, intitolat “Skop”, kien jipprovdi, fil-paragrafu 2 tiegħu:

“Din id-Direttiva m’għandhiex tapplika għall-ipproċessar ta’ data personali:

[…]”

4

L-Artikolu 25 ta’ din id-direttiva kien jipprovdi:

“1.   L-Istati Membri għandhom jipprovdu li t-trasferiment lil pajjiż terz ta’ data personali […] jista’ jsir biss jekk, bla ħsara għal konformità mad-dispożizzjonijiet nazzjonali adottati skond id-dispożizzjonijiet l-oħra ta’ din id-Direttiva, il-pajjiż terz jassigura livell adekwat ta’ protezzjoni.

2.   Jekk il-livell ta’ protezzjoni mogħti minn pajjiż terz ikunx adekwat għandu jiġi eżaminat fid-dawl taċ-ċirkostanzi kollha li jkollhom x’jaqsmu ma’ operazzjoni ta’ trasferiment ta’ data jew sett ta’ operazzjonijiet ta’ trasferiment ta’ data; […]

[…]

6.   Il-Kummissjoni tista’ tikkonkludi, skond il-proċedura msemmija fl-Artikolu 31(2), li pajjiż terz ikun qed jassigura livell adekwat ta’ protezzjoni skond it-tifsira tal-paragrafu 2 ta’ dan l-Artikolu, permezz tal-liġi domestika tiegħu jew ta’ l-impenji internazzjonali li jkun daħal għalihom, partikolarment meta jintemmu n-negozjati msemmija fil-paragrafu 5, għall-protezzjoni tal-ħajja privata u tal-libertajiet u d-drittijiet bażiċi ta’ l-individwu.

Stati Membri għandhom jieħdu l-miżuri meħtieġa biex ikunu konformi mad-deċiżjoni tal-Kummissjoni.”

5

L-Artikolu 26(2) u (4) tal-imsemmija direttiva kien jipprevedi:

“2.   Bla ħsara għall-paragrafu 1, Stat Membru jista’ jawtorizza trasferiment jew sett ta’ trasferimenti ta’ data personali lil pajjiż terz li ma jassigurax livell adekwat ta’ protezzjoni skond it-tifsira ta’ l-Artikolu 25(2), meta l-kontrollur jipprovdi ħarsien biżżejjed għall-protezzjoni tal-ħajja privata u tad-drittijiet u l-libertajiet fundamentali ta’ l-individwu u għall-eżerċizzju tad-drittijiet relattivi; ħarsien bħal dak jista’ partikolarment jirriżulta minn klawsoli kontrattwali xierqa.

[…]

4.   Meta l-Kummissjoni tiddeċiedi, skond il-proċedura msemmija fl-Artikolu 31(2), li ċerti klawsoli kontrattwali standard joffru protezzjoni biżżejjed kif mitluba skond il-paragrafu 2, Stati Membri għandhom jieħdu l-miżuri meħtieġa biex ikunu konformi mad-deċiżjoni tal-Kummissjoni.”

6

Skont l-Artikolu 28(3) tal-istess direttiva:

“Kull [awtorità superviżorja] għandha jkollha partikolarment:

[…]”

7

Id-Direttiva 95/46 tħassret u ġiet issostitwita bir-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-“GDPR”).

8

Il-premessi 6, 10, 101, 103, 104, 107 sa 109, 114, 116 u 141 tal-GDPR jiddikjaraw:

[…]

[…]

[…]

[…]

[…]

[…]

[…]

9

L-Artikolu 2(1) u (2) ta’ dan ir-regolament jipprevedi:

“1.   Dan ir-Regolament japplika għall-ipproċessar ta’ data personali kompletament jew parzjalment b’mezzi awtomatizzati, u għall-ipproċessar għajr b’mezzi awtomatizzati ta’ data personali li tifforma parti minn sistema ta’ arkivjar jew li tkun maħsuba sabiex tifforma parti minn sistema ta’ arkivjar.

2.   Dan ir-Regolament ma japplikax għall-ipproċessar ta’ data personali:

10

L-Artikolu 4 tal-imsemmi regolament jipprovdi:

“Għall-finijiet ta’ dan ir-Regolament:

[…]

[…]

[…]”

11

L-Artikolu 23 tal-istess regolament jipprovdi:

“1.   Il-liġi tal-Unjoni jew ta’ Stat Membru li għaliha jkun soġġett il-kontrollur jew il-proċessur tad-data tista’ tirrestrinġi permezz ta’ miżura leġiżlattiva l-kamp ta’ applikazzjoni tal-obbligi u d-drittijiet previsti fl-Artikoli 12 sa 22 u l-Artikolu 34, kif ukoll l-Artikolu 5 sakemm id-dispożizzjonijiet tiegħu [tal-liġi inkwistjoni] jikkorrispondu mad-drittijiet u l-obbligi previsti fl-Artikoli 12 sa 22, meta tali restrizzjoni tirrispetta l-essenza tad-drittijiet u l-libertajiet fundamentali u hija miżura meħtieġa u proporzjonata f’soċjetà demokratika għas-salvagwardja ta’:

[…]

2.   B’mod partikolari, kull miżura leġiżlattiva msemmija fil-paragrafu 1 għandu jkun fiha dispożizzjonijiet speċifiċi tal-inqas, fejn rilevanti, dwar:

12

Il-Kapitolu V tal-GDPR, intitolat “Trasferimenti ta’ data personali lejn pajjiżi terzi jew organizzazzjonijiet internazzjonali”, jinkludi l-Artikoli 44 sa 50 ta’ dan ir-regolament. Skont l-Artikolu 44 tiegħu, intitolat “Prinċipju ġenerali għal trasferimenti”:

“Kwalunkwe trasferiment ta’ data personali li tkun qed tiġi pproċessata jew hija maħsuba li tiġi pproċessata wara trasferiment lejn pajjiż terz jew lejn organizzazzjoni internazzjonali għandu jseħħ biss jekk, soġġett għad-dispożizzjonijiet l-oħra ta’ dan ir-Regolament, il-kontrollur u l-proċessur ikunu f’konformità mal-kondizzjonijiet stipulati f’dan il-Kapitolu, inkluż għal trasferimenti ulterjuri ta’ data personali mill-pajjiż terz jew minn organizzazzjoni internazzjonali lejn pajjiż terz ieħor jew lejn organizzazzjoni internazzjonali oħra. Id-dispożizzjonijiet kollha f’dan il-Kapitolu għandhom jiġu applikati sabiex jiġi żgurat li ma għandux jiddgħajjef il-livell ta’ protezzjoni tal-persuni fiżiċi ggarantit minn dan ir-Regolament.”

13

L-Artikolu 45 ta’ dan ir-regolament, intitolat “Trasferimenti abbażi ta’ deċiżjoni ta’ adegwatezza”, jipprevedi, fil-paragrafi 1 sa 3 tiegħu:

“1.   Trasferiment ta’ data personali lejn pajjiż terz jew organizzazzjoni internazzjonali jista’ jseħħ fejn il-Kummissjoni tiddeċiedi li l-pajjiż terz, jew territorju jew settur speċifikat wieħed jew aktar f’dak il-pajjiż terz, jew l-organizzazzjoni internazzjonali inkwistjoni tiżgura livell adegwat ta’ protezzjoni. Tali trasferiment ma għandu jkun jeħtieġ ebda awtorizzazzjoni speċifika.

2.   Meta tivvaluta l-adegwatezza tal-livell ta’ protezzjoni, il-Kummissjoni għandha tieħu kont, b’mod partikolari, tal-elementi li ġejjin:

3.   Il-Kummissjoni, wara li tivvaluta l-adegwatezza tal-livell ta’ protezzjoni, tista’ tiddeċiedi, permezz ta’ att ta’ implimentazzjoni, li pajjiż terz, jew territorju jew settur speċifikat wieħed jew aktar f’pajjiż terz, jew organizzazzjoni internazzjonali jiżguraw livell adegwat ta’ protezzjoni fis-sens tal-paragrafu 2 ta’ dan l-Artikolu. L-att ta’ implimentazzjoni għandu jipprevedi mekkaniżmu għal rieżami perjodiku, mill-inqas kull erba’ snin, li għandu jieħu kont tal-iżviluppi rilevanti kollha fil-pajjiż terz jew l-organizzazzjoni internazzjonali. L-att ta’ implimentazzjoni għandu jispeċifika l-applikazzjoni territorjali u settorjali tiegħu u, fejn applikabbli, jidentifika l-awtorità jew l-awtoritajiet superviżorji msemmija fil-punt (b) tal-paragrafu 2 ta’ dan l-Artikolu. L-att ta’ implimentazzjoni għandu jiġi adottat f’konformità mal-proċedura ta’ eżami msemmija fl-Artikolu 93(2).”

14

L-Artikolu 46 tal-imsemmi regolament, intitolat “Trasferimenti soġġetti għal salvagwardji xierqa”, jipprovdi, fil-paragrafi 1 sa 3 tiegħu:

“1.   Fin-nuqqas ta’ deċiżjoni skont l-Artikolu 45(3), kontrollur jew proċessur jista’ jittrasferixxi data personali lejn pajjiż terz jew organizzazzjoni internazzjonali biss jekk il-kontrollur jew il-proċessur ikun ipprovda salvagwardji xierqa, u bil-kondizzjoni li jkunu disponibbli drittijiet infurzabbli tas-suġġett tad-data u rimedji legali effettivi għas-suġġetti tad-data.

2.   Is-salvagwardji xierqa msemmija fil-paragrafu 1 jistgħu jkunu previsti, mingħajr ma jkun jinħtieġ ebda awtorizzazzjoni speċifika minn awtorità superviżorja, permezz ta’:

3.   Soġġett għall-awtorizzazzjoni mill-awtorità superviżorja kompetenti, is-salvagwardji xierqa msemmija fil-paragrafu 1 jistgħu wkoll jiġu previsti, B’mod partikolari permezz ta’:

15

L-Artikolu 49 tal-istess regolament, intitolat “Derogi għal sitwazzjonijiet speċifiċi”, jipprovdi:

“1.   Fin-nuqqas ta’ deċiżjoni dwar l-adegwatezza skont l-Artikolu 45(3), jew salvagwardji xierqa skont l-Artikolu 46, inklużi regoli korporattivi vinkolanti, trasferiment jew sett ta’ trasferimenti ta’ data personali lejn pajjiż terz jew organizzazzjoni internazzjonali għandu jseħħ biss b’waħda mill-kondizzjonijiet li ġejjin:

Fejn trasferiment ma setgħax ikun ibbażat fuq dispożizzjoni fl-Artikoli 45 jew 46, inklużi d-dispożizzjonijiet dwar regoli korporattivi vinkolanti, u l-ebda waħda mid-derogi għal sitwazzjoni speċifika msemmija fl-ewwel subparagrafu ta’ dan il-paragrafu ma tkun applikabbli, it-trasferiment ma jkunx ripetittiv, jikkonċerna biss għadd limitat ta’ suġġetti tad-data, ikun meħtieġ għall-għanijiet ta’ interessi leġittimi konvinċenti mfittxija mill-kontrollur li ma jingħelbux mill-interessi jew id-drittijiet u l-libertajiet tas-suġġett tad-data, u l-kontrollur ikun ivvaluta ċ-ċirkostanzi kollha madwar it-trasferiment tad-data u abbażi ta’ dik il-valutazzjoni pprovda salvagwardji xierqa fir-rigward tal-protezzjoni tad-data personali. Il-kontrollur għandu jinforma lill-awtorità superviżorja bit-trasferiment. Il-kontrollur għandu, barra milli jipprovdi l-informazzjoni msemmija fl-Artikolu 13 u 14, jinforma lis-suġġett tad-data dwar it-trasferiment u dwar l-interessi leġittimi konvinċenti segwiti.

2.   Trasferiment skont il-punt (g) tal-ewwel subparagrafu tal-paragrafu 1 ma għandux jinvolvi t-totalità tad-data personali jew kategoriji sħaħ tad-data personali li jinsabu fir-reġistru. Fejn ir-reġistru huwa maħsub għall-konsultazzjoni minn persuni li jkollhom interess leġittimu, it-trasferiment għandu jsir biss fuq it-talba ta’ dawk il-persuni jew jekk ser ikunu r-riċevituri.

3.   Il-punti (a), (b) u (c) tal-ewwel subparagrafu tal-paragrafu 1 u t-tieni subparagrafu tiegħu ma għandhomx japplikaw għal attivitajiet imwettqa minn awtoritajiet pubbliċi fl-eżerċizzju tas-setgħat pubbliċi tagħhom.

4.   L-interess pubbliku msemmi fil-punt (d) tal-ewwel subparagrafu tal-paragrafu 1 għandu jiġi rikonoxxut fil-liġi tal-Unjoni jew tal-Istat Membru li għaliha jkun soġġett il-kontrollur.

5.   Fin-nuqqas ta’ deċiżjoni dwar l-adegwatezza, il-liġi tal-Unjoni jew il-liġi tal-Istat Membru tista’, għal raġunijiet importanti ta’ interess pubbliku, espressament tistabbilixxi limiti għat-trasferiment ta’ kategoriji speċifiċi tad-data personali lejn pajjiż terz jew organizzazzjoni internazzjonali. L-Istati Membri għandhom jinnotifikaw tali dispożizzjonijiet lill-Kummissjoni.

6.   Il-kontrollur jew il-proċessur għandu jiddokumenta l-valutazzjoni kif ukoll is-salvagwardji xierqa msemmija fit-tieni subparagrafu tal-paragrafu 1 ta’ dan l-Artikolu fir-reġistri msemmija fl-Artikolu 30.”

16

Skont l-Artikolu 51(1) tal-GDPR:

“Kull Stat Membru għandu jipprovdi li awtorità pubblika indipendenti waħda jew aktar ikunu responsabbli għall-monitoraġġ tal-applikazzjoni ta’ dan ir-Regolament, sabiex jiġu protetti d-drittijiet u l-libertajiet fundamentali ta’ persuni fiżiċi b’rabta mal-ipproċessar u biex jiġi ffaċilitat il-fluss liberu ta’ data personali fl-Unjoni (‘awtorità superviżorja’).”

17

Konformement mal-Artikolu 55(1) ta’ dan ir-regolament, “[k]ull awtorità superviżorja għandha tkun kompetenti biex twettaq il-kompiti assenjati lilha u l-eżerċizzju tas-setgħat ikkonferiti lilha f’konformità ma’ dan ir-Regolament fit-territorju tal-Istat Membru tagħha stess”.

18

L-Artikolu 57(1) tal-imsemmi regolament jipprevedi:

“Mingħajr preġudizzju għal kompiti oħra stabbiliti f’dan ir-Regolament, kull awtorità superviżorja għandha fit-territorju tagħha:

[…]

[…]”

19

Skont l-Artikolu 58(2) u (4) tal-istess regolament:

“2.   Kull awtorità superviżorja għandu jkollha s-setgħat kollha korrettivi li ġejjin:

[…]

[…]

[…]

4.   L-eżerċizzju tas-setgħat ikkonferiti lill-awtorità superviżorja skont dan l-Artikolu għandu jkun soġġett għal salvagwardji xierqa, inklużi r-rimedju ġudizzjarju effettiv u l-proċess ġust, stabbiliti fil-liġi tal-Unjoni u l-liġijiet tal-Istati Membri f’konformità mal-Karta.”

20

L-Artikolu 64(2) tal-GDPR jipprovdi:

“Kwalunkwe awtorità superviżorja, il-President tal-[Bord Ewropew għall-Protezzjoni tad-Data (EDPB)] jew il-Kummissjoni tista’ titlob li kwalunkwe kwistjoni ta’ applikazzjoni ġenerali jew li jkollha effetti f’aktar minn Stat Membru wieħed tiġi eżaminata mill-Bord bil-ħsieb li tinkiseb opinjoni, b’mod partikolari fejn awtorità superviżorja kompetenti ma tkunx f’konformità mal-obbligi ta’ assistenza reċiproka f’konformità mal-Artikolu 61 jew għal operazzjonijiet konġunti f’konformità mal-Artikolu 62.”

21

Skont l-Artikolu 65(1) ta’ dan ir-regolament:

“Sabiex jiżgura l-applikazzjoni korretta u konsistenti ta’ dan ir-Regolament f’każijiet individwali, il-Bord għandu jadotta deċiżjoni vinkolanti fil-każijiet li ġejjin:

[…]

22

L-Artikolu 77 tal-imsemmi regolament, intitolat “Dritt li jitressaq ilment quddiem awtorità superviżorja”, jipprovdi:

“1.   Mingħajr preġudizzju għal kwalunkwe rimedju amministrattiv jew ġudizzjarju ieħor, kull suġġett tad-data għandu d-dritt li jressaq ilment quddiem awtorità superviżorja, b’mod partikolari fl-Istat Membru tar-residenza abitwali tiegħu, il-post tax-xogħol tiegħu jew il-post tal-ksur allegat, jekk is-suġġett tad-data jqis li l-ipproċessar ta’ data personali dwaru jikser dan ir-Regolament.

2.   L-awtorità superviżorja li magħha jkun sar l-ilment għandha tinforma lill-ilmentatur dwar il-progress u l-eżitu tal-ilment inkluża l-possibbiltà ta’ rimedju ġudizzjarju skont l-Artikolu 78.”

23

L-Artikolu 78 tal-istess regolament, intitolat “Dritt għal rimedju ġudizzjarju effettiv kontra awtorità superviżorja”, jipprevedi, fil-paragrafi 1 u 2 tiegħu:

“1.   Mingħajr preġudizzju għal kwalunkwe rimedju amministrattiv jew mhux ġudizzjarju ieħor, kull persuna fiżika jew ġuridika għandu jkollha d-dritt għal rimedju ġudizzjarju effettiv kontra deċiżjoni legalment vinkolanti ta’ awtorità superviżorja li tikkonċernaha.

2.   Mingħajr preġudizzju għal kwalunkwe rimedju amministrattiv jew mhux ġudizzjarju ieħor, kull suġġett tad-data għandu d-dritt għal rimedju ġudizzjarju effettiv fejn l-awtorità superviżorja li hija kompetenti skont l-Artikoli 55 u 56 ma titrattax ilment jew ma tinformax lis-suġġett tad-data fi żmien tliet xhur dwar il-progress jew l-eżitu tal-ilment skont l-Artikolu 77.”

24

L-Artikolu 94 tal-GDPR jipprovdi:

“1.   Id-Direttiva [95/46] titħassar b’effett mill-25 ta’ Mejju 2018.

2.   Ir-referenzi għad-Direttiva mħassra għandhom jinftiehmu bħala referenzi għal dan ir-Regolament. Ir-referenzi għall-Grupp ta’ Ħidma dwar il-Protezzjoni ta’ Individwi fir-rigward tal-Ipproċessar tad-Data Personali stabbilit bl-Artikolu 29 tad-Direttiva [95/46] għandhom jinftiehmu bħala referenzi għall-Bord Ewropew għall-Protezzjoni tad-Data stabbilit b’dan ir-Regolament.”

25

Skont l-Artikolu 99 ta’ dan ir-regolament:

“1.   Dan ir-Regolament għandu jidħol fis-seħħ fl-għoxrin jum wara dak tal-pubblikazzjoni tiegħu f’Il-Ġurnal Uffiċjali tal-Unjoni Ewropea.

2.   Huwa għandu japplika mill-25 ta’ Mejju 2018.”

26

Il-premessa 11 tad-Deċiżjoni KSP hija fformulata kif ġej:

“L-awtoritajiet ta’ sorveljanza tal-Istati Membri għandhom sehem essenzjali f’dan il-mekkaniżmu kuntrattwali sabiex jiżguraw li d-dejta personali tiġi mħarsa b’mod adegwat wara t-trasferiment. F’każijiet eċċezzjonali meta l-esportaturi tad-dejta ma jkunux kapaċi jagħtu struzzjonijiet kif suppost lill-importatur tad-dejta, bir-riskju imminenti ta’ dannu serju lis-soġġetti tad-dejta, il-klawżoli kuntrattwali standard għandhom jippermettu lill-awtoritajiet kuntrattwali sabiex jivverifikaw lill-importaturi tad-dejta u s-sottoproċessuri u, fejn xieraq, jieħdu deċisjonijiet li jorbtu lill-importaturi tad-dejta u s-sottoproċessuri. L-awtoritajiet ta’ sorveljanza għandu jkollhom is-setgħa li jipprojbixxu jew jissospendu t-trasferiment tad-dejta jew għadd ta’ trasferimenti bbażati fuq il-klawżoli kuntrattwali standard f’dawk il-każijiet eċċezzjonali meta jiġi stabbilit li trasferiment fuq bażi kuntrattwali aktarx ikollu effett negattiv fuq il-garanziji u l-obbligi li jipprovdu protezzjoni adegwata għas-soġġett tad-dejta.”

27

L-Artikolu 1 ta’ din id-deċiżjoni jipprovdi:

“Il-klawżoli kuntrattwali standard stabbiliti fl-Anness huma kkunsidrati bħala li joffru salvagwardji adegwati fir-rigward tal-protezzjoni tal-privatezza u d-drittijiet u l-libertajiet fondamentali tal-individwi u fir-rigward tal-eżerċizzju tad-drittijiet korrispondenti kif mitlub mill-Artikolu 26(2) tad-Direttiva [95/46].”

28

Konformement mat-tieni paragrafu tal-Artikolu 2 tagħha, l-imsemmija deċiżjoni “għandha tapplika għat-trasferiment tad-dejta personali minn kontrolluri stabbiliti fl-Unjoni Ewropea lil reċipjenti stabbiliti barra t-territorju tal-Unjoni Ewropea li jaġgixxu biss bħala proċessuri”.

29

L-Artikolu 3 tal-istess deċiżjoni jipprovdi:

“Għall-finijiet ta’ din id-Deċiżjoni, għandhom japplikaw id-definizzjonijiet li ġejjin:

[…]

[…]

[…]”

30

Fil-verżjoni inizjali tiegħu, qabel id-dħul fis-seħħ tad-Deċiżjoni ta’ Implimentazzjoni 2016/2297, l-Artikolu 4 tad-Deċiżjoni 2010/87 kien jipprevedi:

“1.   Mingħajr preġudizzju għall-poteri tagħhom biex jieħdu azzjoni sabiex jiżguraw konformità mad-dispożizzjonijiet nazzjonali adottati skont il-Kapitoli II, III, V u VI tad-Direttiva [95/46], l-awtoritajiet kompetenti fl-Istati Membri jistgħu jeżerċitaw il-poteri eżistenti tagħhom biex jipprojbixxu jew jissospendu ċ-ċirkolazzjoni tad-dejta lil pajjiżi terzi sabiex jipproteġu lill-individwi fir-rigward tal-ipproċessar tad-dejta personali tagħhom f’każijiet fejn:

2.   Il-projbizzjoni jew is-sospensjoni skont il-paragrafu 1 għandhom jitneħħew malli r-raġunijiet għas-sospenzjoni jew għal-projbizzjoni ma jibqgħux jeżistu.

3.   Meta l-Istati Membri jadottaw miżuri skont il-paragrafi 1 u 2, huma għandhom, mingħajr dewmien, jgħarrfu lill-Kummissjoni li tgħaddi l-informazzjoni lill-Istati Membri l-oħrajn.”

31

Il-premessa 5 tad-Deċiżjoni ta’ Implimentazzjoni 2016/2297, adottata wara l-għoti tas-sentenza tas-6 ta’ Ottubru 2015, Schrems (C‑362/14, EU:C:2015:650), hija fformulata kif ġej:

“Mutatis mutandis, deċiżjoni tal-Kummissjoni adottata skont l-Artikolu 26(4) tad-Direttiva [95/46] torbot lill-korpi kollha tal-Istati Membri destinatarji, inkluż l-awtoritajiet superviżorji indipendenti tagħhom, sa fejn din għandha l-effett li tirrikonoxxi li trasferimenti li jsiru fuq bażi ta’ klawżoli kuntrattwali standard stabbiliti f’dan ir-rigward joffru protezzjoni biżżejjed kif mitluba skont l-Artikolu 26(2) ta’ dik id-Direttiva. Dan ma jwaqqafx lil awtorità nazzjonali superviżorja milli teżerċita s-setgħat tagħha li tissorvelja l-flussi tad-dejta, inkluż is-setgħa li tissospendi jew tipprojbixxi t-trasferiment ta’ dejta personali meta tiddetermina li t-trasferiment ikun sar bi ksur tal-liġi tal-UE jew nazzjonali dwar il-protezzjoni tad-dejta, bħal, pereżempju, meta l-importatur tad-dejta ma jirrispettax il-klawżoli kuntrattwali standard.”

32

Fil-verżjoni attwali tiegħu, kif toħroġ mid-Deċiżjoni ta’ Implimentazzjoni 2016/2297, l-Artikolu 4 tad-Deċiżjoni KSP jipprovdi:

“Kull meta l-awtoritajiet kompetenti tal-Istati Membri jeżerċitaw is-setgħat tagħhom skont l-Artikolu 28(3) tad-Direttiva [95/46] li jwasslu għas-sospensjoni jew il-projbizzjoni definittiva ta’ flussi ta’ dejta lejn pajjiżi terzi sabiex jipproteġu individwi fir-rigward tal-ipproċessar tad-dejta personali tagħhom, l-Istati Membri kkonċernati għandhom, mingħajr dewmien, jgħarrfu lill-Kummissjoni li għandha tgħaddi l-informazzjoni lill-Istati Membri l-oħra.”

33

L-Anness tad-Deċiżjoni KSP, intitolat “Klawżoli kuntrattwali standard (proċessuri)”, jinkludi tnax-il klawżola standard. Il-klawżola 3 ta’ dan l-anness, intitolata “Il-klawżola tal-parti terza benefiċjarja”, tipprevedi:

“1. Is-suġġett tad-dejta jista’ jinforza kontra l-esportatur tad-dejta din il-Klawżola, Klawżola 4(b) sa (i), Klawżola 5(a) sa (e), u (g) sa (j), Klawżola 6(1) u (2), Klawżola 7, Klawżola 8(2), u Klawżoli 9 sa 12 bħala parti terza benefiċjarja.

2. Is-suġġett tad-dejta jista’ jinforza kontra l-esportatur tad-dejta din il-Klawżola, Klawżola 5(a) sa (e), u (g) sa (j), Klawżola 6, Klawżola 7, Klawżola 8(2), u Klawżoli 9 sa 12, f’każijiet fejn l-esportatur tad-dejta jkun fattwalment għeb jew ma jkunx għadu jeżisti legalment sakemm ma jkunx hemm entità suċċessur li tkun ħadet fuqha l-obbligi legali kollha tal-esportatur tad-dejta bil-kuntratt jew permezz tal-operat tal-liġi, u bħala riżultat ta’ dan tieħu fuqha d-drittijiet u l-obbligi tal-esportatur tad-dejta, f’liema każ is-suġġett tad-dejta jkun jista’ jinfurzahom kontra entità bħal din.

[…]”

34

Skont il-klawżola 4 ta’ dan l-anness, intitolata “Obbligi tal-esportatur tad-dejta”:

“L-esportatur tad-dejta jaqbel u jiggarantixxi:

[…]

[…]”

35

Il-klawżola 5 tal-imsemmi anness, intitolata “Obbligi tal-importatur tad-dejta […]”, tistipula:

“L-importatur tad-dejta jaqbel u jiggarantixxi:

[…]

[…]”

36

In-nota ta’ qiegħ il-paġna li għaliha jirreferi t-titolu ta’ din il-klawżola 5 tindika:

“Rekwiżiti mandatarji tal-liġi nazzjonali applikabbli għall-importatur tad-dejta li ma jmorrux lil hinn minn dak li hu meħtieġ f’soċjetà demokratika fuq il-bażi ta’ wieħed mill-interessi elenkati fl-Artikolu 13(1) tad-Direttiva [95/46], jiġifieri, jekk huma jikkostitwixxu miżura meħtieġa biex jissalvagwardjaw id-difiża tas-sigurtà nazzjonali, sigurtà pubblika, il-prevenzjoni, investigazzjoni, individwar u prosekuzzjoni ta’ reati kriminali jew ta’ ksur ta’ etika għall-professjonijiet irregolati, interess importanti ekonomiku u finanzjarju għall-Istat jew il-protezzjoni tas-suġġett tad-dejta jew id-drittijiet u l-libertajiet tal-oħrajn, mhumiex f’kontradizzjoni mal-klawżoli kuntrattwali standard. […]”

37

Il-klawżola 6 tal-anness tad-Deċiżjoni KSP, intitolata “Responsabbiltà”, tipprevedi:

“1. Il-partijiet jaqblu li kwalunkwe suġġett tad-dejta, li sofra dannu bħala riżultat ta’ kwalunkwe ksur tad-dispożizzjonijiet imsemmijin fil-Klawżola 3 jew Klawżola 11 minn kwalunkwe parti jew sottoproċessur huwa intitolat li jirċievi kumpens mill-esportatur tad-dejta għad-dannu soffert.

2. Jekk suġġett tad-dejta ma jkunx jista’ jagħmel talba għall-kumpens skont il-paragrafu 1 kontra l-esportatur tad-dejta minħabba ksur min-naħa tal-importatur tad-dejta jew is-sottoproċessur tiegħu, jew kwalunkwe mill-obbligi tagħhom imsemmijin fi Klawżoli 3 jew fil-Klawżola 11 minħabba li l-esportatur tad-dejta jkun fattwalment għeb jew ma jkunx għadu jeżisti legalment jew ikun sar insolventi, l-importatur tad-dejta jaqbel li s-suġġett tad-dejta jista’ jiftaħ pretensjoni kontra l-importatur tad-dejta daqslikieku kien l-esportatur tad-dejta […].

[…]”

38

Il-klawżola 8 ta’ dan l-anness, intitolata “Kooperazzjoni mal-awtoritajiet ta’ superviżjoni”, tistipula, fil-paragrafu 2 tagħha:

“Il-partijiet jaqblu li l-awtorità ta’ superviżjoni għandha d-dritt li twettaq verifika tal-importatur tad-dejta, u ta’ kwalunkwe sottoproċessur, li għandu l-istess ambitu u huwa suġġett għall-istess kundizzjonijiet li japplikaw għall-verifika tal-esportatur tad-dejta taħt il-liġi applikabbli dwar il-protezzjoni tad-dejta.”

39

Il-klawżola 9 tal-imsemmi anness, intitolata “Liġi Regolatorja”, tispeċifika li l-klawżoli għandhom ikunu rregolati mid-dritt tal-Istat Membru fejn ikun stabbilit l-esportatur tad-data.

40

Skont il-klawżola 11 tal-istess anness, intitolata “Sottoproċessar”:

“1. L-importatur tad-dejta m’għandu jagħti b’sottokuntratt l-ebda waħda mill-operazzjonijiet ta’ pproċessar tiegħu mwettqin f’isem l-esportatur tad-dejta taħt il-Klawżoli mingħajr il-kunsens bil-miktub u minn qabel tal-esportatur tad-dejta. Fejn l-importatur tad-dejta, bil-kunsens tal-esportatur tad-dejta, jagħti b’sottokuntratt l-obbligi tiegħu taħt il-Klawżoli, għandu jagħmel dan biss permezz ta’ qbil bil-miktub mas-sottoproċessur li jimponi l-istess obbligi fuq is-sottoproċessur kif inhuma imposti fuq l-importatur tad-dejta skont il-Klawżoli. […]

2. Il-kuntratt miktub li jkun [stabbilit minn qabel] bejn l-importatur tad-dejta u s-sottoproċessur għandu jipprovdi wkoll għal klawżola tal-parti terza benefiċjarja kif stipulata fi Klawżola 3 għall-każijiet fejn is-Suġġett tad-Dejta mhux kapaċi jagħmel il-talba għal kumpens imsemmija fil-paragrafu 1 tal- Klawżola 6, kontra l-Esportatur tad-Dejta jew l-Importatur tad-Dejta għaliex fattwalment ikunu għebu jew waqfu jeżistu legalment jew saru insolventi sakemm ma jkunx hemm entità suċċessur li tkun ħadet fuqha l-obbligi legali kollha tal-esportatur tad-dejta jew l-importatur tad-dejta bil-kuntratt jew permezz ta’ operat tal-liġi. Responsabbiltà bħal din ta’ parti terza tas-sottoproċessur għandha tkun limitata għall-operazzjonijiet ta’ pproċessar tagħha taħt il-Klawżoli.

[…]”

41

Il-klawżola 12 tal-Anness tad-Deċiżjoni KSP, intitolata “Obbligu wara t-terminazzjoni tas-servizzi tal-ipproċessar tad-dejta personali”, tistabbilixxi, fil-paragrafu 1 tagħha:

“Il-partijiet jaqblu li dwar it-terminazzjoni tad-dispożizzjoni tas-servizzi tal-ipproċessar tad-dejta, l-importatur tad-dejta u s-sottoproċessur għandhom, skont l-għażla tal-esportatur tad-dejta, jirritornaw id-dejta personali kollha trasferita u l-kopji tagħha lill-esportatur tad-dejta jew għandhom jiddistruġġu d-dejta personali kollha u jiċċertifikaw lill-esportatur tad-dejta li jkunu għamlu hekk, sakemm ma jkunx hemm leġiżlazzjoni imposta fuq l-importatur tad-dejta li twaqqfu milli jirritorna jew jiddistruġġi parti mid-dejta personali trasferita jew kollha kemm hi. […]”

42

Permezz ta’ sentenza tas-6 ta’ Ottubru 2015, Schrems (C‑362/14, EU:C:2015:650), il-Qorti tal-Ġustizzja invalidat id-Deċiżjoni tal-Kummissjoni 2000/520/KE tas-26 ta’ Lulju 2000 skond id-Direttiva 95/46/EC tal-Parlament Ewropew u tal-Kunsill dwar l-adegwatezza tal-protezzjoni pprovduta mill-prinċipji ta’ privatezza ta’ port salv u li tirrigwarda mistoqsijiet li jsiru ta’ spiss maħruġa mid-Dipartiment tal-Kummerċ tal-USA (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 16, Vol. 1, p. 119), li fiha l-Kummissjoni kienet ikkonstatat li dan il-pajjiż terz kien jiżgura livell adegwat ta’ protezzjoni.

43

Sussegwentement għall-għoti ta’ din is-sentenza, il-Kummissjoni adottat id-Deċiżjoni ĦP wara li wettqet, għall-finijiet tal-adozzjoni ta’ din tal-aħħar, evalwazzjoni tal-leġiżlazzjoni tal-Istati Uniti, kif speċifikat fil-premessa 65 tal-imsemmija deċiżjoni:

“Il-Kummissjoni vvalutat il-limitazzjonijiet u s-salvagwardji disponibbli fid-dritt tal-Istati Uniti dwar l-aċċess u l-użu ta’ dejta personali ttrasferita taħt il-Ħarsien tal-Privatezza [Unjoni Ewropea-Stati Uniti] mill-awtoritajiet pubbliċi tal-Istati Uniti għal skopijiet ta’ sigurtà nazzjonali, infurzar tal-liġi jew interess pubbliku ieħor. Barra minn hekk, il-gvern tal-Istati Uniti, permezz tal-Uffiċċju tiegħu tad-Direttur tal-Intelligence Nazzjonali (Office of the Director of National Intelligence, ODNI), ipprovda lill-Kummissjoni b’dikjarazzjonijiet u impenji ddettaljati li jinsabu fl-Anness VI ta’ din id-deċiżjoni. B’ittra ffirmata mis-Segretarju tal-Istat u mehmuża bħala l-Anness III għal din id-deċiżjoni, il-gvern tal-Istati Uniti ħa l-impenn ukoll li joħloq mekkaniżmu ta’ sorveljanza ġdid għal interferenza fis-sigurtà nazzjonali, bl-Ombudsman għall-Ħarsien tal-Privatezza (Privacy Shield Ombudsperson), li jkun indipendenti mill-Komunità tal-Intelligence (Intelligence Community). Fl-aħħar nett, dikjarazzjoni mid-Department of Justice tal-Istati Uniti, li tinsab fl-Anness VII għal din id-deċiżjoni, tiddeskrivi l-limitazzjonijiet u s-salvagwardji applikabbli għall-aċċess u l-użu ta’ dejta mill-awtoritajiet pubbliċi għal skopijiet ta’ infurzar tal-liġi u interess pubbliku ieħor. Sabiex tissaħħaħ it-trasparenza u tiġi riflessa n-natura legali ta’ dawn l-impenji, kull wieħed mid-dokumenti elenkati u annessi għal din id-deċiżjoni se jiġi ppubblikat fil-Federal Register tal-Istati Uniti.”

44

L-analiżi mwettqa mill-Kummissjoni fir-rigward ta’ dawn il-limitazzjonijiet u ta’ dawn is-salvagwardja hija ppreżentata fil-qosor fil-premessi 67 sa 135 tad-Deċiżjoni ĦP, filwaqt li l-konklużjonijiet ta’ din l-istituzzjoni dwar il-livell adegwat ta’ protezzjoni fil-kuntest tal-Ħarsien tal-Privatezza Unjoni Ewropea-Stati Uniti jinsabu fil-premessi 136 sa 141 tagħha.

45

B’mod partikolari, il-premessi 68, 69, 76, 77, 109, 112 sa 116, 120, 136 u 140 ta’ din id-deċiżjoni jiddikjaraw:

[…]

[…]

[…]

[…]

[…]

[…]

46

Skont l-Artikolu 1 tad-Deċiżjoni ĦP:

“1.   Għall-finijiet tal-Artikolu 25(2) tad-Direttiva [95/46], l-Istati Uniti jiżguraw livell adegwat ta’ protezzjoni għad-dejta personali ttrasferita mill-Unjoni lil organizzazzjonijiet fl-Istati Uniti permezz tal-Ħarsien tal-Privatezza [Unjoni Ewropea-Stati Uniti].

2.   Il-Ħarsien tal-Privatezza [Unjoni Ewropea-Stati Uniti] huwa kkostitwit mill-Prinċipji maħruġa mid-Dipartiment tal-Kummerċ tal-Istati Uniti fis-7 ta’ Lulju 2016 kif stabbilit fl-Anness II u d-dikjarazzjonijiet u l-impenji uffiċjali li jinsabu fid-dokumenti elenkati fl-Annessi I, III sa VII.

3.   Għall-finijiet tal-paragrafu 1, id-dejta personali hija ttrasferita taħt il-Ħarsien tal-Privatezza [Unjoni Ewropea-Stati Uniti] meta tiġi ttrasferita mill-Unjoni lil organizzazzjonijiet fl-Istati Uniti li huma inklużi fil-‘Lista tal-Ħarsien tal-Privatezza’, miżmuma u magħmula disponibbli għall-pubbliku mid-Dipartiment tal-Kummerċ tal-Istati Uniti, f’konformità mat-Taqsimiet I u III tal-Prinċipji stabbiliti fl-Anness II.”

47

L-Anness II tad-Deċiżjoni ĦP, intitolat “Prinċipji tal-qafas tal-Ħarsien tal-Privatezza [Unjoni Ewropea-Stati Uniti] maħruġa mid-dipartiment tal-kummerċ Amerikan”, jipprevedi, fil-punt I.5 tiegħu, li l-adeżjoni mal-Prinċipji tista’ tkun limitata, b’mod partikolari, permezz tar-“rekwiżiti ta’ sigurtà nazzjonali, interess pubbliku jew infurzar tal-liġi”.

48

L-Anness III ta’ din id-deċiżjoni fih ittra minn John Kerry, li dak iż-żmien kien is-Secretary of State (is-Segretarju tal-Istat, l-Istati Uniti), lill-Kummissarju għall-Ġustizzja, għall-Konsumaturi u għall-Ugwaljanza bejn l-Irġiel u n-Nisa, tas-7 ta’ Lulju 2016, li magħha huwa anness, bħala l-Anness A, memorandum intitolat “Mekkaniżmu tal-Ombudsman tal-Ħarsien tal-Privatezza [Unjoni Ewropea-Stati Uniti] dwar l-intelligence ta’ sinjali”, li fih is-silta segwenti:

“B’rikonoxximent tal-importanza tal-Qafas tal-Ħarsien tal-Privatezza [Unjoni Ewropea-Stati Uniti], dan il-Memorandum iniedi l-proċess għall-implimentazzjoni ta’ mekkaniżmu ġdid, konsistenti mad-Direttiva tal-Politika Presidenzjali 28 (PPD-28), dwar l-intelligence ta’ sinjali.

[…] Il-President Obama ħabbar il-ħruġ ta’ direttiva presidenzjali ġdida — PPD-28 — biex ‘jiddeskrivi b’mod ċar x’jagħmlu u x’ma jagħmlux f’dak li għandu x’jaqsam mas-sorveljanza estera.’

It-Taqsima 4(d) tal-PPD-28 tagħti struzzjonijiet lis-Segretarju tal-Istat biex jaħtar ‘Koordinatur Għoli għad-Diplomazija Internazzjonamli għat-Teknoloġija tal-Informazzjoni (Koordinatur Għoli)’‘biex … iservi bħala punt ta’ kuntatt għall-gvernijiet li jixtiequ jqajjmu tħassib dwar attivitajiet tal-intelligence tas-sinjali mwettqa mill-Istati Uniti.’

[…]

[…]”.

49

L-Anness VI tad-Deċiżjoni ĦP fih ittra mill-Office of the Director of National Intelligence (l-Uffiċċju tad-Direttur tal-Intelligence Nazzjonali) lill-Ministru Amerikan għall-Kummerċ kif ukoll lill-Amministrazzjoni tal-Kummerċ Internazzjonali, tal-21 ta’ Ġunju 2016, fejn jiġi speċifikat li l-PPD-28 tippermetti l-“ġbir ‘bil-massa’ […] ta’ volum relattivament kbir ta’ informazzjoni jew dejta ta’ intelligence ta’ sinjali f’ċirkostanzi fejn l-Komunità ta’ Intelligence ma tistax tuża identifikatur assoċjat ma’ mira speċifika […] biex tiffoka l-ġbir”.

50

M. Schrems, ċittadin Awstrijak li jirrisjedi fl-Awstrija, ilu mill-2008 utent tan-network soċjali Facebook (iktar ’il quddiem “Facebook”).

51

Kull persuna residenti fit-territorju tal-Unjoni li tkun tixtieq tuża Facebook hija meħtieġa tikkonkludi, meta tirreġistra, kuntratt ma’ Facebook Ireland, li hija sussidjarja ta’ Facebook Inc., li min-naħa tagħha hija rreġistrata fl-Istati Uniti. Id-data personali tal-utenti ta’ Facebook li jirrisjedu fit-territorju tal-Unjoni tiġi ttrasferita, kompletament jew parzjalment, lejn servers li jappartjenu lil Facebook Inc. u li jinsabu fit-territorju tal-Istati Uniti, fejn tkun is-suġġett ta’ pproċessar.

52

Fil-25 ta’ Ġunju 2013, M. Schrems ressaq ilment quddiem il-Kummissarju li fih essenzjalment talab lil dan tal-aħħar jipprojbixxi lil Facebook Ireland milli tittrasferixxi d-data personali tiegħu lejn l-Istati Uniti, filwaqt li sostna li d-dritt u l-prassi fis-seħħ f’dan il-pajjiż ma kinux jiggarantixxu protezzjoni suffiċjenti tad-data personali miżmuma fit-territorju tal-imsemmi pajjiż kontra l-attivitajiet ta’ sorveljanza eżerċitati hemmhekk mill-awtoritajiet pubbliċi. Dan l-ilment ġie miċħud għar-raġuni, b’mod partikolari, li l-Kummissjoni kienet ikkonstatat, fid-Deċiżjoni 2000/520 tagħha, li l-Istati Uniti kienu jiżguraw livell adegwat ta’ protezzjoni.

53

Il-High Court (il-Qorti Għolja, l-Irlanda), li quddiemha M. Schrems kien ippreżenta rikors kontra ċ-ċaħda tal-ilment tiegħu, ressqet talba għal deċiżjoni preliminari quddiem il-Qorti tal-Ġustizzja dwar l-interpretazzjoni u l-validità tad-Deċiżjoni 2000/520. Permezz ta’ sentenza tas-6 ta’ Ottubru 2015, Schrems (C‑362/14, EU:C:2015:650), il-Qorti tal-Ġustizzja ddikjarat din id-deċiżjoni invalida.

54

Wara din is-sentenza, il-qorti tar-rinviju annullat iċ-ċaħda tal-ilment ta’ M. Schrems u bagħtet l-ilment lura quddiem il-Kummissarju. Fil-kuntest tal-investigazzjoni miftuħa minn dan tal-aħħar, Facebook Ireland spjegat li l-parti kbira tad-data personali kienet tiġi ttrasferita lil Facebook Inc. fuq il-bażi tal-klawżoli standard ta’ protezzjoni tad-data li jinsabu fl-Anness tad-Deċiżjoni KSP. Fid-dawl ta’ dawn l-elementi, il-Kummissarju stieden lil M. Schrems sabiex jifformula mill-ġdid l-ilment tiegħu.

55

Fl-ilment tiegħu kif ifformulat mill-ġdid, ippreżentat fl-1 ta’ Diċembru 2015, M. Schrems sostna, b’mod partikolari, li d-dritt Amerikan jobbliga lil Facebook Inc. tqiegħed id-data personali ttrasferita lilha għad-dispożizzjoni tal-awtoritajiet Amerikani, bħan-National Security Agency (NSA) u l-Federal Bureau of Investigation (FBI). Huwa sostna li, peress li din id-data tintuża fil-kuntest ta’ diversi programmi ta’ sorveljanza b’mod inkompatibbli mal-Artikoli 7, 8 u 47 tal-Karta, id-Deċiżjoni KSP ma tistax tiġġustifika t-trasferiment tal-imsemmija data lejn l-Istati Uniti. F’dawn iċ-ċirkustanzi, M. Schrems talab lill-Kummissarju jipprojbixxi jew jissospendi t-trasferiment tad-data personali tiegħu lejn Facebook Inc.

56

Fl-24 ta’ Mejju 2016, il-Kummissarju ppubblika “abbozz ta’ deċiżjoni” fejn ġabar fil-qosor il-konklużjonijiet provviżorji tal-investigazzjoni tiegħu. F’dan l-abbozz, huwa qies b’mod provviżorju li kien hemm ir-riskju li d-data personali taċ-ċittadini tal-Unjoni ttrasferita lejn l-Istati Uniti tiġi kkonsultata u pproċessata mill-awtoritajiet Amerikani b’mod li huwa inkompatibbli mal-Artikoli 7 u 8 tal-Karta u li d-dritt tal-Istati Uniti ma joffrix lil dawn iċ-ċittadini rimedji kompatibbli mal-Artikolu 47 tal-Karta. Il-Kummissjoni qies li l-klawżoli standard ta’ protezzjoni tad-data li jinsabu fl-Anness tad-Deċiżjoni KSP ma humiex ta’ natura li jirrimedjaw dan in-nuqqas, sa fejn jagħtu lis-suġġetti tad-data drittijiet kuntrattwali kontra l-esportatur u l-importatur tad-data biss, mingħajr ma jorbtu lill-awtoritajiet Amerikani.

57

Peress li kien tal-fehma li, f’dawn iċ-ċirkustanzi, l-ilment ifformulat mill-ġdid ta’ M. Schrems kien iqajjem il-kwistjoni tal-validità tad-Deċiżjoni KSP, il-Kummissarju, fil-31 ta’ Mejju 2016, ressaq il-każ quddiem il-High Court (il-Qorti Għolja), filwaqt li invoka l-ġurisprudenza li toħroġ mis-sentenza tas-6 ta’ Ottubru 2015, Schrems (C‑362/14, EU:C:2015:650, punt 65), sabiex din tal-aħħar tagħmel domanda lill-Qorti tal-Ġustizzja dwar dan. Permezz ta’ deċiżjoni tal-4 ta’ Mejju 2018, il-High Court (il-Qorti Għoja) ressqet ir-rinviju għal deċiżjoni preliminari ineżami quddiem il-Qorti tal-Ġustizzja.

58

Ma’ dan ir-rinviju għal deċiżjoni preliminari, il-High Court (il-Qorti Għolja) annettiet sentenza mogħtija fit-3 ta’ Ottubru 2017 li fiha rreġistrat ir-riżultat tal-eżami tal-provi prodotti quddiemha fil-kuntest tal-proċedura nazzjonali, proċedura li fiha kien ipparteċipa l-Gvern Amerikan.

59

Fl-imsemmija sentenza, li għaliha t-talba għal deċiżjoni preliminari tirreferi diversi drabi, il-qorti tar-rinviju rrilevat li, bħala prinċipju, hija mhux biss għandha d-dritt iżda wkoll l-obbligu li teżamina l-fatti u l-argumenti kollha invokati quddiemha sabiex tiddeċiedi, fuq il-bażi tagħhom, jekk rinviju għal deċiżjoni preliminari huwiex meħtieġ jew le. Fi kwalunkwe każ, hija tqis li hija meħtieġa tieħu inkunsiderazzjoni l-eventwali emendi tad-dritt li jkunu seħħew bejn il-preżentata tar-rikors u s-seduta organizzata quddiemha. Il-qorti tar-rinviju speċifikat li, fil-kuntest tal-proċedura fil-kawża prinċipali, l-evalwazzjoni tagħha ma hijiex limitata għall-motivi ta’ invalidità mressqa mill-Kummissarju, b’tali mod li tista’ anki tirrileva ex officio motivi oħra ta’ invalidità u, fuq il-bażi tagħhom, tista’ tipproċedi għal rinviju għal deċiżjoni preliminari.

60

Skont il-konstatazzjonijiet magħmula fl-imsemmija sentenza, l-attivitajiet ta’ intelligence tal-awtoritajiet Amerikani fir-rigward tad-data personali ttrasferita lejn l-Istati Uniti huma bbażati, b’mod partikolari, fuq l-Artikolu 702 tal-FISA u fuq l-E.O. 12333.

61

Fir-rigward tal-Artikolu 702 tal-FISA, il-qorti tar-rinviju tispeċifika, fl-istess sentenza, li dan l-artikolu jippermetti lill-Avukat Ġenerali u lid-Direttur tal-Intelligence Nazzjonali jawtorizzaw, b’mod konġunt u wara l-approvazzjoni tal-FISC, bil-għan li tinġabar “informazzjoni ta’ intelligence barranija”, is-sorveljanza ta’ ċittadini mhux Amerikani li jinsabu barra mit-territorju tal-Istati Uniti u jservi, b’mod partikolari, bħala bażi għall-programmi ta’ sorveljanza PRISM u UPSTREAM. Fil-kuntest tal-programm PRISM, il-fornituri ta’ servizzi tal-internet huma obbligati, skont il-konstatazzjonijiet tal-qorti tar-rinviju, jipprovdu lin-NSA il-komunikazzjonijiet kollha mibgħuta u rċevuti minn “selettur”, li parti minnhom tintbagħat ukoll lill-FBI u lis-Central Intelligence Agency (CIA) (l-Aġenzija Ċentrali tal-Intelligence).

62

Fir-rigward tal-programm UPSTREAM, l-imsemmija qorti kkonstatat li, fil-kuntest ta’ dan il-programm, l-impriżi ta’ telekomunikazzjonijiet li jużaw id-“dorsali” tal-internet – jiġifieri n-network ta’ kejbils, switches u routers – huma obbligati jippermettu lin-NSA tikkopja u tiffilterja l-flussi tat-traffiku tal-internet sabiex tiġbor il-komunikazzjonijiet mibgħuta minn jew rċevuti minn jew li jikkonċernaw iċ-ċittadin mhux Amerikan li jkun is-suġġett ta’ “selettur”. Fil-kuntest tal-imsemmi programm, in-NSA, skont il-konstatazzjonijiet tal-istess qorti, għandha aċċess kemm għall-metadata u kemm għall-kontenut tal-komunikazzjonijiet ikkonċernati.

63

Fir-rigward tal-E.O. 12333, il-qorti tar-rinviju tikkonstata li dan jippermetti lin-NSA taċċedi għal data “fi tranżitu” lejn l-Istati Uniti, billi tikseb aċċess għall-kejbils għaddejjin minn taħt il-baħar li jinsabu fil-qiegħ tal-Atlantiku, kif ukoll tiġbor u żżomm din id-data qabel tasal fl-Istati Uniti u qabel ma tkun hemmhekk suġġetta għad-dispożizzjonijiet tal-FISA. Hija tispeċifika li l-attivitajiet ibbażati fuq l-E.O. 12333 ma humiex irregolati mil-liġi.

64

Fir-rigward tal-limiti imposti fuq l-attivitajiet ta’ intelligence, il-qorti tar-rinviju tenfasizza l-fatt li l-persuni mhux Amerikani jaqgħu biss taħt il-PPD-28 u li din tindika sempliċement li l-attivitajiet ta’ intelligence għandhom ikunu “immirati kemm jista’ jkun” (as tailored as feasible). Fuq il-bażi tal-konstatazzjonijiet tagħha, l-imsemmija qorti qieset li l-Istati Uniti jipproċessaw id-data bil-massa, mingħajr ma jiżguraw protezzjoni sostanzjalment ekwivalenti għal dik iggarantita mill-Artikoli 7 u 8 tal-Karta.

65

Fir-rigward tal-protezzjoni ġudizzjarja, l-istess qorti tesponi li ċ-ċittadini tal-Unjoni ma għandhomx aċċess għall-istess rimedji bħal dawk li għandhom aċċess għalihom iċ-ċittadini Amerikani kontra l-ipproċessar ta’ data personali mill-awtoritajiet Amerikani, u dan sa fejn ir-Raba’ Emenda tal-Constitution of the United States (il-Kostituzzjoni tal-Istati Uniti), li tikkostitwixxi fid-dritt Amerikan l-ogħla protezzjoni kontra s-sorveljanza illegali, ma tapplikax għaċ-ċittadini tal-Unjoni. F’dan ir-rigward, il-qorti tar-rinviju tispeċifika li r-rimedji li jifdal għad-dispożizzjoni ta’ dawn tal-aħħar jiffaċċjaw ostakoli kunsiderevoli, b’mod partikolari l-obbligu – li fil-fehma tagħha huwa eċċessivament diffiċli li jiġi ssodisfatt – li jiġġustifikaw il-locus standi tagħhom. Barra minn hekk, skont il-konstatazzjonijiet tal-istess qorti, l-attivitajiet tal-NSA bbażati fuq l-E.O. 12333 ma humiex is-suġġett ta’ sorveljanza ġudizzjarja u ma jistgħux ikunu s-suġġett ta’ rikors ġudizzjarju. Fl-aħħar nett, l-imsemmija qorti tqis li, sa fejn, fil-fehma tagħha, l-Ombudsman tal-Ħarsien tal-Privatezza ma huwiex qorti, fis-sens tal-Artikolu 47 tal-Karta, id-dritt Amerikan ma jiżgurax liċ-ċittadini tal-Unjoni livell ta’ protezzjoni sostanzjalment ekwivalenti għal dak iggarantit mid-dritt fundamentali rrikonoxxut f’dan l-artikolu.

66

Fit-talba għal deċiżjoni preliminari tagħha, il-qorti tar-rinviju tispeċifika wkoll li l-partijiet fil-proċedura fil-kawża prinċipali ma jaqblux, b’mod partikolari, dwar il-kwistjoni tal-applikabbiltà tad-dritt tal-Unjoni għal trasferimenti, lejn pajjiż terz, ta’ data personali li tista’ tiġi pproċessata mill-awtoritajiet ta’ dan il-pajjiż b’mod partikolari għall-finijiet ta’ sigurtà nazzjonali kif ukoll dwar l-elementi li għandhom jittieħdu inkunsiderazzjoni għall-finijiet tal-evalwazzjoni tal-livell adegwat ta’ protezzjoni żgurat mill-imsemmi pajjiż. B’mod partikolari, il-qorti tar-rinviju tirrileva li, skont Facebook Ireland, il-konstatazzjonijiet tal-Kummissjoni dwar in-natura adegwata tal-livell ta’ protezzjoni żgurat minn pajjiż terz, bħal dawk li jinsabu fid-Deċiżjoni ĦP, jorbtu lill-awtoritajiet superviżorji anki fil-kuntest ta’ trasferiment ta’ data personali bbażat fuq il-klawżoli standard ta’ protezzjoni tad-data li jinsabu fl-Anness tad-Deċiżjoni KSP.

67

Fir-rigward ta’ dawn il-klawżoli standard ta’ protezzjoni tad-data, l-imsemmija qorti għandha dubju dwar jekk id-Deċiżjoni KSP tistax titqies li hija valida f’sitwazzjoni fejn, skont din l-istess qorti, l-imsemmija klawżoli ma għandhomx natura vinkolanti fil-konfront tal-awtoritajiet tal-Istat tal-pajjiż terz ikkonċernat u, għaldaqstant, ma humiex ta’ natura li jirrimedjaw eventwali assenza ta’ livell adegwat ta’ protezzjoni f’dan il-pajjiż. F’dan ir-rigward, hija tqis li l-possibbiltà, irrikonoxxuta lill-awtoritajiet kompetenti tal-Istati Membri, permezz tal-Artikolu 4(1)(a) tad-Deċiżjoni 2010/87, fil-verżjoni tiegħu preċedenti għad-dħul fis-seħħ tad-Deċiżjoni ta’ Implimentazzjoni 2016/2297, li jipprojbixxu t-trasferimenti ta’ data personali lejn pajjiż terz li jimponi fuq l-importatur obbligi inkompatibbli mas-salvagwardji previsti f’dawn l-istess klawżoli, turi li l-istat tad-dritt tal-pajjiż terz jista’ jiġġustifika l-projbizzjoni ta’ trasferiment ta’ data, anki jekk jitwettaq fuq il-bażi tal-klawżoli standard ta’ protezzjoni tad-data li jinsabu fl-Anness tad-Deċiżjoni KSP, u, għalhekk, tenfasizza li dawn il-klawżoli jistgħu jkunu insuffiċjenti sabiex tiġi żgurata protezzjoni adegwata. B’dan premess, il-qorti tar-rinviju għandha dubju dwar il-portata tas-setgħa tal-Kummissarju li jipprojbixxi trasferiment ta’ data bbażat fuq dawn il-klawżoli, filwaqt li tqis li setgħa diskrezzjonali ma tistax tkun suffiċjenti sabiex tiġi żgurata protezzjoni adegwata.

68

Huwa f’dawn iċ-ċirkustanzi li l-High Court (il-Qorti Għolja) iddeċidiet li tissospendi l-proċedura quddiemha u li tagħmel lill-Qorti tal-Ġustizzja d-domandi preliminari segwenti:

69

Facebook Ireland kif ukoll il-Gvern Ġermaniż u l-Gvern tar-Renju Unit isostnu li t-talba għal deċiżjoni preliminari hija inammissibbli.

70

Fir-rigward tal-eċċezzjoni mqajma minn Facebook Ireland, din il-kumpannija tosserva li d-dispożizzjonijiet tad-Direttiva 95/46 li fuqhom huma bbażati d-domandi preliminari tħassru bil-GDPR.

71

F’dan ir-rigward, għalkemm huwa minnu li d-Direttiva 95/46 tħassret b’effett mill-25 ta’ Mejju 2018 bis-saħħa tal-Artikolu 94(1) tal-GDPR, din id-direttiva kienet għadha fis-seħħ fl-4 ta’ Mejju 2018, meta tressqet din it-talba għal deċiżjoni preliminari, li waslet quddiem il-Qorti tal-Ġustizzja fid-9 ta’ Mejju 2018. Barra minn hekk, l-ewwel inċiż tal-Artikolu 3(2), l-Artikoli 25 u 26 kif ukoll l-Artikolu 28(3) tad-Direttiva 95/46, li għalihom jirreferu d-domandi preliminari, ġew essenzjalment riprodotti, rispettivament, fl-Artikolu 2(2) kif ukoll fl-Artikoli 45, 46 u 58 tal-GDPR. Barra minn hekk, għandu jitfakkar li l-missjoni tal-Qorti tal-Ġustizzja hija li tinterpreta d-dispożizzjonijiet kollha tad-dritt tal-Unjoni li l-qrati nazzjonali jkollhom bżonn sabiex jiddeċiedu t-tilwim imressaq quddiemhom, anki jekk dawn id-dispożizzjonijiet ma jkunux indikati espliċitament fid-domandi li jsirulha minn dawn il-qrati (sentenza tat-2 ta’ April 2020, Ruska Federacija, C‑897/19 PPU, EU:C:2020:262, punt 43 u l-ġurisprudenza ċċitata). Għal dawn id-diversi raġunijiet, il-fatt li l-qorti tar-rinviju fformulat id-domandi preliminari billi għamlet riferiment biss għad-dispożizzjonijiet tad-Direttiva 95/45 ma jistax jimplika l-inammissibbiltà tat-talba għal deċiżjoni preliminari ineżami.

72

Min-naħa tiegħu, il-Gvern Ġermaniż jibbaża l-eċċezzjoni ta’ inammissibbiltà tiegħu fuq il-fatt, minn naħa, li l-Kummissarju esprima biss dubji u mhux opinjoni definittiva fir-rigward tal-kwistjoni tal-validità tad-Deċiżjoni KSP u, min-naħa l-oħra, li l-qorti tar-rinviju naqset milli tivverifika jekk M. Schrems kienx ta, mingħajr ebda dubju, il-kunsens tiegħu għat-trasferiment tad-data inkwistjoni fil-kawża prinċipali, punt dan li, jekk ikun minnu, ikollu l-effett li jagħmel inutli risposta għal din id-domanda. Fl-aħħar nett, skont il-Gvern tar-Renju Unit, id-domandi preliminari huma ta’ natura ipotetika sa fejn il-qorti tar-rinviju ma kkonstatax li din id-data kienet effettivament ittrasferita fuq il-bażi tal-imsemmija deċiżjoni.

73

Mill-ġurisprudenza stabbilita tal-Qorti tal-Ġustizzja jirriżulta li hija biss il-qorti nazzjonali, li tkun adita bit-tilwima u li jkollha tassumi r-responsabbiltà għad-deċiżjoni ġudizzjarja li għandha tingħata, li għandha tevalwa, fid-dawl tal-karatteristiċi partikolari tal-kawża, kemm il-ħtieġa ta’ deċiżjoni preliminari sabiex tkun f’pożizzjoni li tagħti d-deċiżjoni tagħha u kemm ir-rilevanza tad-domandi li hija tagħmel lill-Qorti tal-Ġustizzja. Għaldaqstant, sa fejn id-domandi magħmula jikkonċernaw l-interpretazzjoni jew il-validità ta’ dispożizzjoni legali tal-Unjoni, il-Qorti tal-Ġustizzja hija, bħala prinċipju, meħtieġa tagħti deċiżjoni. Minn dan isegwi li d-domandi magħmula mill-qrati nazzjonali jgawdu minn preżunzjoni ta’ rilevanza. Il-Qorti tal-Ġustizzja tista’ tirrifjuta li tagħti deċiżjoni dwar domanda preliminari magħmula minn qorti nazzjonali biss jekk ikun jidher li l-interpretazzjoni mitluba ma għandha ebda konnessjoni mar-realtà jew mas-suġġett tat-tilwima fil-kawża prinċipali, jekk il-problema tkun ta’ natura ipotetika jew inkella jekk il-Qorti tal-Ġustizzja ma jkollhiex il-punti ta’ fatt u ta’ liġi meħtieġa sabiex tagħti risposta utli għall-imsemmija domandi (sentenzi tas-16 ta’ Ġunju 2015, Gauweiler et, C‑62/14, EU:C:2015:400, punti 24 u 25; tat-2 ta’ Ottubru 2018, Ministerio Fiscal, C‑207/16, EU:C:2018:788, punt 45, kif ukoll tad-19 ta’ Diċembru 2019, Dobersberger, C‑16/18, EU:C:2019:1110, punti 18 u 19).

74

F’dan il-każ, it-talba għal deċiżjoni preliminari fiha punti ta’ fatt u ta’ liġi suffiċjenti sabiex tinftiehem il-portata tad-domandi preliminari. Barra minn hekk u fuq kollox, ebda element fil-proċess li għandha għad-dispożizzjoni tagħha l-Qorti tal-Ġustizzja ma jippermetti li jitqies li l-interpretazzjoni mitluba tad-dritt tal-Unjoni ma għandhiex konnessjoni mar-realtà jew mas-suġġett tat-tilwima fil-kawża prinċipali jew hija ta’ natura ipotetika, b’mod partikolari minħabba l-fatt li t-trasferiment ta’ data personali inkwistjoni fil-kawża prinċipali huwa allegatament ibbażat fuq il-kunsens espliċitu tas-suġġett tad-data għal dan it-trasferiment u mhux fuq id-Deċiżjoni KSP. Fil-fatt, skont l-indikazzjonijiet li jinsabu f’din it-talba, Facebook Ireland irrikonoxxiet li kienet ittrasferixxiet lil Facebook Inc. id-data personali tal-abbonati tagħha li jirrisjedu fl-Unjoni u li l-parti l-kbira ta’ dawn it-trasferimenti, li tagħhom M. Schrems qiegħed jikkontesta l-legalità, titwettaq fuq il-bażi tal-klawżoli standard ta’ protezzjoni tad-data li jinsabu fl-Anness tad-Deċiżjoni KSP.

75

Barra minn hekk, il-fatt li l-Kummissarju ma esprimiex opinjoni definittiva dwar il-validità ta’ din id-deċiżjoni ma għandu ebda effett fuq l-ammissibbiltà ta’ din it-talba għal deċiżjoni preliminari sa fejn il-qorti tar-rinviju tqis li r-risposta għad-domandi preliminari dwar l-interpretazzjoni u l-validità tad-dispożizzjonijiet legali tal-Unjoni hija meħtieġa għas-soluzzjoni tat-tilwima fil-kawża prinċipali.

76

Minn dan isegwi li t-talba għal deċiżjoni preliminari hija ammissibbli.

77

Preliminarjament, għandu jitfakkar li t-talba għal deċiżjoni preliminari ineżami toriġina minn ilment ta’ M. Schrems intiż li l-Kummissarju jordna s-sospensjoni jew il-projbizzjoni, fil-futur, tat-trasferiment minn Facebook Ireland tad-data personali tiegħu lejn Facebook Inc. Issa, filwaqt li d-domandi preliminari jirreferu għad-dispożizzjonijiet tad-Direttiva 95/46, huwa paċifiku li l-Kummissarju ma kienx għadu adotta deċiżjoni finali dwar dan l-ilment meta din id-direttiva tħassret u ġiet issostitwita bil-GDPR, b’effett mill-25 ta’ Mejju 2018.

78

Din l-assenza ta’ deċiżjoni nazzjonali tiddistingwi s-sitwazzjoni inkwistjoni fil-kawża prinċipali minn dawk li wasslu għas-sentenzi tal-24 ta’ Settembru 2019, Google (Portata territorjali tad-dritt għat-tneħħija ta’ referenza) (C‑507/17, EU:C:2019:772), u tal-1 ta’ Ottubru 2019, Planet49 (C‑673/17, EU:C:2019:801), li fihom kienu inkwistjoni deċiżjonijiet adottati qabel it-tħassir tal-imsemmija direttiva.

79

Għaldaqstant, ir-risposta għad-domandi preliminari għandha tingħata fid-dawl tad-dispożizzjonijiet tal-GDPR u mhux fid-dawl ta’ dawk tad-Direttiva 95/46.

80

Permezz tal-ewwel domanda tagħha, il-qorti tar-rinviju tixtieq tkun taf, essenzjalment, jekk l-Artikolu 2(1) u l-Artikolu 2(2)(a), (b) u (d) tal-GDRP, moqrija flimkien mal-Artikolu 4(2) TUE, għandhomx jiġu interpretati fis-sens li jaqa’ fil-kamp ta’ applikazzjoni ta’ dan ir-regolament trasferiment ta’ data personali mwettaq minn operatur ekonomiku stabbilit fi Stat Membru lejn operatur ekonomiku ieħor stabbilit f’pajjiż terz f’sitwazzjoni fejn, matul jew wara dan it-trasferiment, din id-data tista’ tkun ipproċessata mill-awtoritajiet ta’ dan il-pajjiż terz għal finijiet ta’ sigurtà pubblika, ta’ difiża u ta’ sigurtà tal-Istat.

81

F’dan id-dawl, għandu jiġi rrilevat, qabel kollox, li d-dispożizzjoni li tinsab fl-Artikolu 4(2) TUE, li tipprovdi li, fi ħdan l-Unjoni, kull Stat Membru jibqa’ esklużivament responsabbli għas-sigurtà nazzjonali, tikkonċerna esklużivament l-Istati Membri tal-Unjoni. Għaldaqstant, f’dan il-każ, din id-dispożizzjoni ma hijiex rilevanti għall-interpretazzjoni tal-Artikolu 2(1) u tal-Artikolu 2(2)(a), (b) u (d) tal-GDPR.

82

Skont l-Artikolu 2(1) tiegħu, il-GDPR japplika għall-ipproċessar ta’ data personali, kompletament jew parzjalment awtomatizzat, kif ukoll għall-ipproċessar mhux awtomatizzat ta’ data personali li tifforma parti jew li tkun maħsuba li tifforma parti minn sistema ta’ arkivjar. Il-punt 2 tal-Artikolu 4 ta’ dan ir-regolament jiddefinixxi l-kunċett ta’ “ipproċessar” bħala “kwalunkwe attività jew sett ta’ attivitajiet li jitwettqu fuq data personali jew fuq settijiet ta’ data personali, sew jekk b’mezzi awtomatizzati u sew jekk mingħajrhom” u jsemmi, bħala eżempji, “l-iżvelar bi trażmissjoni, it-tixrid jew it-tqegħid għad-dispożizzjoni b’xi mezz ieħor”, mingħajr ma jagħmel distinzjoni skont jekk dawn l-operazzjonijiet jitwettqux ġewwa l-Unjoni jew jekk ikollhomx rabta ma’ pajjiż terz. Barra minn hekk, l-imsemmi regolament jissuġġetta t-trasferimenti ta’ data personali lejn pajjiż terz għal regoli partikolari li jinsabu fil-Kapitolu V tiegħu, intitolat “Trasferimenti ta’ data personali lejn pajjiżi terzi jew organizzazzjonijiet internazzjonali”, u jagħti, barra minn hekk, lill-awtoritajiet superviżorji setgħat speċifiċi f’dan ir-rigward, li jinsabu fl-Artikolu 58(2)(j) tal-istess regolament.

83

Minn dan isegwi li l-operazzjoni li tikkonsisti fit-trasferiment ta’ data personali minn Stat Membru lejn pajjiż terz tikkostitwixxi, bħala tali, ipproċessar ta’ data personali, fis-sens tal-punt 2 tal-Artikolu 4 tal-GDPR, imwettaq fit-territorju ta’ Stat Membru, ipproċessar li għalih japplika dan ir-regolament bis-saħħa tal-Artikolu 2(1) tiegħu (ara, b’analoġija, fir-rigward tal-Artikolu 2(b) u tal-Artikolu 3(1) tad-Direttiva 95/47, is-sentenza tas-6 ta’ Ottubru 2015, Schrems, C‑362/14, EU:C:2015:650, punt 45 u l-ġurisprudenza ċċitata).

84

Fir-rigward tal-kwistjoni jekk tali operazzjoni tistax titqies li hija eskluża mill-kamp ta’ applikazzjoni tal-GDPR bis-saħħa tal-Artikolu 2(2) tiegħu, għandu jitfakkar li din id-dispożizzjoni tipprevedi eċċezzjonijiet għall-kamp ta’ applikazzjoni ta’ dan ir-regolament, kif iddefinit fl-Artikolu 2(1) tiegħu, u li dawn l-eċċezzjonijiet għandhom jirċievu interpretazzjoni stretta (ara, b’analoġija, fir-rigward tal-Artikolu 3(2) tad-Direttiva 95/46, is-sentenza tal-10 ta’ Lulju 2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, punt 37 u l-ġurisprudenza ċċitata).

85

F’dan il-każ, it-trasferiment ta’ data personali inkwistjoni fil-kawża prinċipali jitwettaq minn Facebook Ireland lejn Facebook Inc., jiġifieri bejn żewġ persuni ġuridiċi, u għalhekk dan it-trasferiment ma jaqax taħt l-Artikolu 2(2)(c) tal-GDPR, li jikkonċerna l-ipproċessar ta’ data mwettaq minn persuna fiżika fil-kuntest ta’ attività purament personali jew fid-dar. L-imsemmi trasferiment lanqas ma jaqa’ taħt l-eċċezzjonijiet li jinsabu fl-Artikolu 2(2)(a), (b) u (d) ta’ dan ir-regolament, peress li l-attivitajiet imsemmija f’dawn id-dispożizzjonijiet bħala eżempji huma, fil-każijiet kollha, attivitajiet speċifiċi għall-Istati jew għall-awtoritajiet tal-Istat li ma jaqgħux fl-oqsma ta’ attività tal-individwi (ara, b’analoġija, fir-rigward tal-Artikolu 3(2) tad-Direttiva 95/46, is-sentenza tal-10 ta’ Lulju 2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, punt 38 u l-ġurisprudenza ċċitata).

86

Issa, il-possibbiltà li d-data personali ttrasferita bejn żewġ operaturi ekonomiċi għal finijiet kummerċjali tkun is-suġġett, matul jew wara t-trasferiment, ta’ pproċessar għal finijiet ta’ sigurtà pubblika, ta’ difiża jew ta’ sigurtà tal-Istat mill-awtoritajiet tal-pajjiż terz ikkonċernat ma tistax teskludi l-imsemmi trasferiment mill-kamp ta’ applikazzjoni tal-GDPR.

87

Barra minn hekk, billi tobbliga speċifikament lill-Kummissjoni, meta tevalwa n-natura adegwata tal-livell ta’ protezzjoni offrut minn pajjiż terz, tieħu inkunsiderazzjoni, b’mod partikolari, “il-leġiżlazzjoni rilevanti, kemm ġenerali kif ukoll settorjali, inkluż dwar is-sigurtà pubblika, id-difiża, is-sigurtà nazzjonali u l-liġi kriminali u l-aċċess tal-awtoritajiet pubbliċi għad-data personali, kif ukoll l-implimentazzjoni ta’ tali leġiżlazzjoni”, il-formulazzjoni stess tal-Artikolu 45(2)(a) ta’ dan ir-regolament tenfasizza l-fatt li l-eventwali pproċessar, minn pajjiż terz, tad-data kkonċernata għal finijiet ta’ sigurtà pubblika, ta’ difiża u ta’ sigurtà tal-Istat ma jdaħħalx inkwistjoni l-applikabbiltà tal-imsemmi regolament għat-trasferiment inkwistjoni.

88

Minn dan isegwi li tali trasferiment ma jistax jevita li jaqa’ fil-kamp ta’ applikazzjoni tal-GDPR għar-raġuni li d-data inkwistjoni tista’ tiġi pproċessata, matul jew wara dan it-trasferiment, mill-awtoritajiet tal-pajjiż terz ikkonċernat, għal finijiet ta’ sigurtà pubblika, ta’ difiża u ta’ sigurtà tal-Istat.

89

Għaldaqstant, ir-risposta li għandha tingħata għall-ewwel domanda hija li l-Artikolu 2(1) u (2) tal-GDRP għandu jiġi interpretat fis-sens li jaqa’ fil-kamp ta’ applikazzjoni ta’ dan ir-regolament trasferiment ta’ data personali mwettaq għal finijiet kummerċjali minn operatur ekonomiku stabbilit fi Stat Membru lejn operatur ekonomiku ieħor stabbilit f’pajjiż terz, minkejja l-fatt li, matul jew wara dan it-trasferiment, din id-data tista’ tkun ipproċessata mill-awtoritajiet tal-pajjiż terz ikkonċernat għal finijiet ta’ sigurtà pubblika, ta’ difiża u ta’ sigurtà tal-Istat.

90

Permezz tat-tieni, tat-tielet u tas-sitt domanda tagħha, il-qorti tar-rinviju qiegħda essenzjalment tistaqsi lill-Qorti tal-Ġustizzja dwar il-livell ta’ protezzjoni meħtieġ fl-Artikolu 46(1) u fl-Artikolu 46(2)(c) tal-GDPR fil-kuntest ta’ trasferiment ta’ data personali lejn pajjiż terz ibbażat fuq klawżoli standard ta’ protezzjoni tad-data. B’mod partikolari, l-imsemmija qorti titlob lill-Qorti tal-Ġustizzja tispeċifika l-elementi li għandhom jittieħdu inkunsiderazzjoni sabiex jiġi ddeterminat jekk dan il-livell ta’ protezzjoni huwiex żgurat fil-kuntest ta’ tali trasferiment.

91

Fir-rigward tal-livell ta’ protezzjoni meħtieġ, minn qari ta’ dawn id-dispożizzjonijiet flimkien jirriżulta li, fl-assenza ta’ deċiżjoni ta’ adegwatezza adottata taħt l-Artikolu 45(3) ta’ dan ir-regolament, il-kontrollur jew il-proċessur ikunu jistgħu jittrasferixxu data personali lejn pajjiż terz biss jekk jipprovdu “salvagwardji xierqa” u bil-kundizzjoni li s-suġġetti tad-data jkollhom “drittijiet infurzabbli […] u rimedji legali effettivi”, fejn dawn is-salvagwardji xierqa jistgħu jingħataw, b’mod partikolari, permezz ta’ klawżoli standard ta’ protezzjoni tad-data adottati mill-Kummissjoni.

92

Għalkemm l-Artikolu 46 tal-GDPR ma jispeċifikax in-natura tar-rekwiżiti li joħorġu minn dan ir-riferiment għas-“salvagwardji xierqa”, għad-“drittijiet infurzabbli” u għar-“rimedji legali effettivi”, għandu jiġi rrilevat li dan l-artikolu jinsab fil-Kapitolu V ta’ dan ir-regolament u għaldaqstant għandu jinqara fid-dawl tal-Artikolu 44 tal-imsemmi regolament, intitolat “Prinċipju ġenerali għal trasferimenti”, li jipprovdi li “[i]d-dispożizzjonijiet kollha f’dan il-Kapitolu għandhom jiġu applikati sabiex jiġi żgurat li ma għandux jiddgħajjef il-livell ta’ protezzjoni tal-persuni fiżiċi ggarantit minn dan ir-Regolament”. Għaldaqstant, dan il-livell ta’ protezzjoni għandu jiġi ggarantit irrispettivament mid-dispożizzjoni tal-imsemmi kapitolu li fuq il-bażi tagħha jitwettaq trasferiment ta’ data personali lejn pajjiż terz.

93

Fil-fatt, kif osserva l-Avukat Ġenerali fil-punt 117 tal-konklużjonijiet tiegħu, id-dispożizzjonijiet tal-Kapitolu V tal-GDPR huma intiżi li jiżguraw il-kontinwità fil-livell għoli ta’ din il-protezzjoni fil-każ li data personali tiġi ttrasferita lejn pajjiż terz, konformement mal-għan speċifikat fil-premessa 6 ta’ dan ir-regolament.

94

L-ewwel sentenza tal-Artikolu 45(1) tal-GDRP tipprevedi li trasferiment ta’ data personali lejn pajjiż terz jista’ jiġi awtorizzat permezz ta’ deċiżjoni meħuda mill-Kummissjoni fis-sens li dan il-pajjiż terz, territorju jew settur partikolari wieħed jew iktar f’dan il-pajjiż jiżgura livell adegwat ta’ protezzjoni. F’dan ir-rigward, mingħajr ma teżiġi li l-pajjiż terz ikkonċernat jiggarantixxi livell ta’ protezzjoni identiku għal dak iggarantit fl-ordinament ġuridiku tal-Unjoni, l-espressjoni “livell adegwat ta’ protezzjoni” għandha tinftiehem, kif tikkonferma l-premessa 104 ta’ dan ir-regolament, bħala li teżiġi li dan il-pajjiż terz għandu jiżgura effettivament, minħabba l-leġiżlazzjoni interna tiegħu jew minħabba l-impenji internazzjonali tiegħu, livell ta’ protezzjoni tal-libertajiet u tad-drittijiet fundamentali li jkun sostanzjalment identiku għal dak iggarantit fi ħdan l-Unjoni bis-saħħa tal-imsemmi regolament, moqri fid-dawl tal-Karta. Fil-fatt, fl-assenza ta’ tali rekwiżit, l-għan imsemmi fil-punt preċedenti ma jkunx osservat (ara, b’analoġija, fir-rigward tal-Artikolu 25(6) tad-Direttiva 95/46, is-sentenza tas-6 ta’ Ottubru 2015, Schrems, C‑362/14, EU:C:2015:650, punt 73).

95

F’dan il-kuntest, il-premessa 107 tal-GDPR tindika li, f’sitwazzjoni fejn “pajjiż terz, territorju jew settur speċifikat f’pajjiż terz […] ma jibqgħux jiżguraw livell adegwat ta’ protezzjoni tad-data […], it-trasferiment ta’ data personali lejn [dan il-]pajjiż terz […] għandu jkun ipprojbit, dment li r-rekwiżiti f’dan ir-Regolament relatati ma’ trasferimenti suġġetti għal garanziji adegwati […] ma jiġux sodisfatti”. Għal dan il-għan, il-premessa 108 tal-imsemmi regolament tispeċifika li, fl-assenza ta’ deċiżjoni ta’ adegwatezza, is-salvagwardji xierqa li l-kontrollur jew il-proċessur għandhom jieħdu konformement mal-Artikolu 46(1) tal-istess regolament għandhom “jikkumpensa[w] għan-nuqqas ta’ protezzjoni tad-data f’pajjiż terz” sabiex “jiżguraw konformità mar-rekwiżiti għall-protezzjoni tad-data u d-drittijiet tas-suġġetti tad-data adatti għall-ipproċessar fl-Unjoni”.

96

Minn dan jirriżulta, kif osserva l-Avukat Ġenerali fil-punt 115 tal-konklużjonijiet tiegħu, li dawn is-salvagwardji xierqa għandhom ikunu ta’ natura li jiżguraw li l-persuni li d-data personali tagħhom tiġi ttrasferita lejn pajjiż terz fuq il-bażi ta’ klawżoli standard ta’ protezzjoni tad-data jibbenefikaw, bħal fil-kuntest ta’ trasferiment ibbażat fuq deċiżjoni ta’ adegwatezza, minn livell ta’ protezzjoni sostanzjalment ekwivalenti għal dak iggarantit fi ħdan l-Unjoni.

97

Il-qorti tar-rinviju tistaqsi wkoll dwar il-kwistjoni ta’ jekk dan il-livell ta’ protezzjoni sostanzjalment ekwivalenti għal dak iggarantit fi ħdan l-Unjoni għandux jiġi ddeterminat fid-dawl tad-dritt tal-Unjoni, b’mod partikolari tad-drittjiet iggarantiti mill-Karta, u/jew fid-dawl tad-drittijiet fundamentali stabbiliti fil-Konvenzjoni Ewropea għall-Protezzjoni tad-Drittijiet tal-Bniedem u tal-Libertajiet Fundamentali (iktar ’il quddiem il-“KEDB”) kif ukoll fid-dawl tad-dritt nazzjonali tal-Istati Membri.

98

F’dan ir-rigward, għandu jitfakkar li għalkemm, kif jikkonferma l-Artikolu 6(3) TUE, id-drittijiet fundamentali stabbiliti fil-KEDB jagħmlu parti mid-dritt tal-Unjoni bħala prinċipji ġenerali u għalkemm l-Artikolu 52(3) tal-Karta jipprovdi li d-drittijiet previsti fiha li jikkorrispondu għal dawk iggarantiti mill-KEDB għandhom l-istess tifsira u l-istess portata bħal dawk li tagħtihom l-imsemmija konvenzjoni, din tal-aħħar ma hijiex, minħabba li l-Unjoni ma aderixxietx magħha, strument legali li jagħmel formalment parti mill-ordinament ġuridiku tal-Unjoni (sentenzi tas-26 ta’ Frar 2013, Åkerberg Fransson, C‑617/10, EU:C:2013:105, punt 44 u l-ġurisprudenza ċċitata, kif ukoll tal-20 ta’ Marzu 2018, Menci, C‑524/15, EU:C:2018:197, punt 22).

99

F’dawn iċ-ċirkustanzi, il-Qorti tal-Ġustizzja ddeċidiet li l-interpretazzjoni tad-dritt tal-Unjoni kif ukoll l-eżami tal-validità tal-atti tal-Unjoni għandhom jitwettqu fid-dawl tad-drittijiet fundamentali ggarantiti mill-Karta (ara, b’analoġija, is-sentenza tal-20 ta’ Marzu 2018, Menci, C‑524/15, EU:C:2018:197, punt 24).

100

Barra minn hekk, skont ġurisprudenza stabbilita, il-validità tad-dispożizzjonijiet tad-dritt tal-Unjoni u, fl-assenza ta’ riferiment espliċitu għad-dritt nazzjonali tal-Istati Membri, l-interpretazzjoni tagħhom, ma jistgħux jiġu evalwati fid-dawl ta’ dan id-dritt nazzjonali, anki jekk ta’ livell kostituzzjonali, u b’mod partikolari fid-dawl tad-drittijiet fundamentali kif ifformulati fil-kostituzzjoni nazzjonali tagħhom (ara, f’dan is-sens, is-sentenzi tas-17 ta’ Diċembru 1970, Internationale Handelsgesellschaft, 11/70, EU:C:1970:114, punt 3; tat-13 ta’ Diċembru 1979, Hauer, 44/79, EU:C:1979:290, punt 14; kif ukoll tat-18 ta’ Ottubru 2016, Nikiforidis, C‑135/15, EU:C:2016:774, punt 28 u l-ġurisprudenza ċċitata).

101

Minn dan isegwi li, peress li, minn naħa, trasferiment ta’ data personali, bħal dak inkwistjoni fil-kawża prinċipali, imwettaq għal finijiet kummerċjali minn operatur ekonomiku stabbilit fi Stat Membru lejn operatur ekonomiku ieħor stabbilit f’pajjiż terz jaqa’, kif jirriżulta mir-risposta għall-ewwel domanda, fil-kamp ta’ applikazzjoni tal-GDPR u peress li, min-naħa l-oħra, dan ir-regolament huwa intiż, b’mod partikolari, kif jirriżulta mill-premessa 10 tiegħu, li jiżgura livell għoli u konsistenti ta’ protezzjoni tal-persuni fiżiċi fi ħdan l-Unjoni u, għal dan il-għan, li jiżgura applikazzjoni konsistenti u omoġenea tar-regoli ta’ protezzjoni tal-libertajiet u tad-drittijiet fundamentali ta’ dawn il-persuni fir-rigward tal-ipproċessar tad-data personali fl-Unjoni kollha, il-livell ta’ protezzjoni tad-drittijiet fundamentali meħtieġ fl-Artikolu 46(1) tal-imsemmi regolament għandu jiġi ddeterminat fuq il-bażi tad-dispożizzjonijiet tal-istess regolament, moqrija fid-dawl tad-drittijiet fundamentali ggarantiti mill-Karta.

102

Il-qorti tar-rinviju tixtieq tkun taf ukoll liema elementi għandhom jittieħdu inkunsiderazzjoni sabiex tiġi ddeterminata n-natura adegwata tal-livell ta’ protezzjoni fil-kuntest ta’ trasferiment ta’ data personali lejn pajjiż terz fuq il-bażi ta’ klawżoli standard ta’ protezzjoni tad-data adottati taħt l-Artikolu 46(2)(c) tal-GDPR.

103

F’dan ir-rigward, għalkemm din id-dispożizzjoni ma telenkax id-diversi elementi li għandhom jittieħdu inkunsiderazzjoni sabiex tiġi evalwata n-natura adegwata tal-livell ta’ protezzjoni li għandu jiġi osservat fil-kuntest ta’ tali trasferiment, l-Artikolu 46(1) ta’ dan ir-regolament jispeċifika li s-suġġetti tad-data għandhom jibbenefikaw minn salvagwardji xierqa u għandu jkollhom drittjiet infurzabbli u rimedji legali effettivi.

104

L-evalwazzjoni meħtieġa, għal dan il-għan, fil-kuntest ta’ tali trasferiment għandha, b’mod partikolari, tieħu inkunsiderazzjoni kemm l-istipulazzjonijiet kuntrattwali miftiehma bejn il-kontrollur jew il-proċessur stabbiliti fl-Unjoni u r-riċevitur tat-trasferiment stabbilit fil-pajjiż terz ikkonċernat u kemm, fir-rigward ta’ eventwali aċċess mill-awtoritajiet pubbliċi ta’ dan il-pajjiż terz għad-data personali ttrasferita, l-elementi rilevanti tas-sistema ġuridika tiegħu. Fir-rigward ta’ dan l-aħħar punt, l-elementi li għandhom jittieħdu inkunsiderazzjoni fil-kuntest tal-Artikolu 46 tal-imsemmi regolament jikkorrispondu għal dawk indikati, b’mod mhux eżawrjenti, fl-Artikolu 45(2) tiegħu.

105

Għaldaqstant, ir-risposta li għandha tingħata għat-tieni, għat-tielet u għas-sitt domanda hija li l-Artikolu 46(1) u l-Artikolu 46(2)(c) tal-GDPR għandhom jiġu interpretati fis-sens li s-salvagwardji xierqa, id-drittijiet infurzabbli u r-rimedji legali effettivi meħtieġa minn dawn id-dispożizzjonijiet għandhom jiżguraw li d-drittijiet tal-persuni li d-data personali tagħhom tiġi ttrasferita lejn pajjiż terz fuq il-bażi ta’ klawżoli standard ta’ protezzjoni tad-data jibbenefikaw minn livell ta’ protezzjoni sostanzjalment ekwivalenti għal dak iggarantit fi ħdan l-Unjoni minn dan ir-regolament, moqri fid-dawl tal-Karta. Għal dan il-għan, l-evalwazzjoni tal-livell ta’ protezzjoni żgurat fil-kuntest ta’ tali trasferiment għandha, b’mod partikolari, tieħu inkunsiderazzjoni kemm l-istipulazzjonijiet kuntrattwali miftiehma bejn il-kontrollur jew il-proċessur stabbiliti fl-Unjoni u r-riċevitur tat-trasferiment stabbilit fil-pajjiż terz ikkonċernat u kemm, fir-rigward ta’ eventwali aċċess mill-awtoritajiet pubbliċi ta’ dan il-pajjiż terz għad-data personali ttrasferita, l-elementi rilevanti tas-sistema ġuridika tiegħu, b’mod partikolari dawk indikati fl-Artikolu 45(2) tal-imsemmi regolament.

106

Permezz tat-tmien domanda tagħha, il-qorti tar-rinviju tixtieq tkun taf essenzjalment jekk l-Artikolu 58(2)(f) u (j) tal-GDPR għandux jiġi interpretat fis-sens li l-awtorità superviżorja kompetenti hija obbligata tissospendi jew tipprojbixxi trasferiment ta’ data personali lejn pajjiż terz ibbażat fuq klawżoli standard ta’ protezzjoni tad-data adottati mill-Kummissjoni, f’sitwazzjoni fejn din l-awtorità superviżorja tqis li dawn il-klawżoli ma humiex jew ma jistgħux jiġu osservati f’dan il-pajjiż terz u li l-protezzjoni tad-data ttrasferita meħtieġa mid-dritt tal-Unjoni, b’mod partikolari mill-Artikoli 45 u 46 tal-GDPR kif ukoll mill-Karta, ma tistax tiġi żgurata, jew fis-sens li l-eżerċizzju ta’ dawn is-setgħat huwa limitat għal każijiet eċċezzjonali.

107

Konformement mal-Artikolu 8(3) tal-Karta kif ukoll mal-Artikolu 51(1) u mal-Artikolu 57(1)(a) tal-GDPR, l-awtoritajiet superviżorji nazzjonali huma responsabbli għall-monitoraġġ tal-osservanza tar-regoli tal-Unjoni dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar tad-data personali. Għaldaqstant, kull awtorità superviżorja nazzjonali għandha l-kompetenza tivverifika jekk trasferiment ta’ data personali mill-Istat Membru tagħha lejn pajjiż terz josservax ir-rekwiżiti stabbiliti minn dan ir-regolament (ara, b’analoġija, fir-rigward tal-Artikolu 28 tad-Direttiva 95/46, is-sentenza tas-6 ta’ Ottubru 2015, Schrems, C‑362/14, EU:C:2015:650, punt 47).

108

Minn dawn id-dispożizzjonijiet jirriżulta li l-awtoritajiet superviżorji għandhom il-missjoni ewlenija li jimmonitorjaw l-applikazzjoni tal-GDPR u li jiżguraw l-osservanza tiegħu. L-eżerċizzju ta’ din il-missjoni huwa ta’ importanza partikolari fil-kuntest ta’ trasferiment ta’ data personali lejn pajjiż terz, peress li, kif jirriżulta mill-kliem stess tal-premessa 116 ta’ dan ir-regolament, “[m]eta d-data personali tiġi trasferita b’mod transkonfinali barra mill-Unjoni, hija tista’ tpoġġi f’riskju akbar il-ħila tal-persuni fiżiċi li jeżerċitaw id-drittijiet ta’ protezzjoni tad-data b’mod partikolari sabiex jipproteġu lilhom infushom mill-użu jew l-iżvelar illegali ta’ dik l-informazzjoni”. F’dan il-każ, kif jingħad b’mod speċifiku f’din l-istess premessa, “l-awtoritajiet superviżorji jistgħu jsibu li ma jistgħux isegwu l-ilmenti jew iwettqu investigazzjonijiet relatati mal-attivitajiet barra l-fruntieri tagħhom”.

109

Barra minn hekk, skont l-Artikolu 57(1)(f) tal-GDPR, kull awtorità superviżorja hija meħtieġa, fit-territorju tagħha, tittratta l-ilmenti li kull persuna, konformement mal-Artikolu 77(1) ta’ dan ir-regolament, hija intitolata li tressaq meta tqis li pproċessar ta’ data personali li tikkonċernaha jikkostitwixxi ksur tal-imsemmi regolament, u teżamina s-suġġett ta’ dawn l-ilmenti sa fejn ikun meħtieġ. L-awtorità superviżorja għandha tittratta tali lment bid-diliġenza kollha meħtieġa (ara, b’analoġija, fir-rigward tal-Artikolu 25(6) tad-Direttiva 95/46, is-sentenza tas-6 ta’ Ottubru 2015, Schrems, C‑362/14, EU:C:2015:650, punt 63).

110

L-Artikolu 78(1) u (2) tal-GDPR jirrikonoxxi lil kull persuna d-dritt li tippreżenta rikors ġudizzjarju effettiv, b’mod partikolari meta l-awtorità superviżorja tonqos milli tittratta l-ilment tagħha. Il-premessa 141 ta’ dan ir-regolament tirreferi wkoll għal dan id-“dritt għal rimedju ġudizzjarju effettiv f’konformità mal-Artikolu 47 tal-Karta” fil-każ li din l-awtorità superviżorja “ma tiħux azzjoni fejn tali azzjoni tkun meħtieġa għall-protezzjoni tad-drittijiet tas-suġġett tad-data”.

111

Għall-finijiet tat-trattament tal-ilmenti mressqa, l-Artikolu 58(1) tal-GDPR jagħti lil kull awtorità superviżorja setgħat kunsiderevoli ta’ investigazzjoni. Fil-każ li tali awtorità tqis, meta ttemm l-investigazzjoni tagħha, li s-suġġett tad-data li d-data personali tiegħu kienet ġiet ittrasferita lejn pajjiż terz ma jibbenefikax f’dan il-pajjiż terz minn livell adegwat ta’ protezzjoni, din l-awtorità hija obbligata, b’applikazzjoni tad-dritt tal-Unjoni, tirreaġixxi b’mod xieraq sabiex tirrimedja l-insuffiċjenza kkonstatata, u dan irrispettivament mill-oriġini jew min-natura ta’ din l-insuffiċjenza. Għal dan il-għan, l-Artikolu 58(2) ta’ dan ir-regolament jelenka d-diversi miżuri korrettivi li jistgħu jiġu adottati mill-awtorità superviżorja.

112

Għalkemm l-għażla tal-mezz adegwat u neċessarju għandha ssir mill-awtorità superviżorja u għalkemm din għandha tagħmel din l-għażla filwaqt li tieħu inkunsiderazzjoni ċ-ċirkustanzi kollha tat-trasferiment ta’ data personali inkwistjoni, din l-awtorità hija xorta waħda obbligata taġixxi bid-diliġenza kollha meħtieġa mill-missjoni tagħha li tiżgura l-osservanza sħiħa tal-GDPR.

113

F’dan ir-rigward u kif irrileva wkoll l-Avukat Ġenerali fil-punt 148 tal-konklużjonijiet tiegħu, l-imsemmija awtorità hija obbligata, skont l-Artikolu 58(2)(f) u (j) ta’ dan ir-regolament, tissospendi jew tipprojbixxi trasferiment ta’ data personali lejn pajjiż terz meta tqis, fid-dawl taċ-ċirkustanzi speċifiċi kollha ta’ dan it-trasferiment, li l-klawżoli standard ta’ protezzjoni tad-data ma humiex jew ma jistgħux ikunu osservati f’dan il-pajjiż terz u li l-protezzjoni tad-data ttrasferita meħtieġa mid-dritt tal-Unjoni ma tistax tiġi żgurata b’mezzi oħra, sakemm il-kontrollur jew il-proċessur stabbiliti fl-Unjoni ma jkunux issospendew jew temmew it-trasferiment huma stess.

114

L-interpretazzjoni li tinsab fil-punt preċedenti ma hijiex imdgħajfa mill-argument tal-Kummissarju fis-sens li l-Artikolu 4 tad-Deċiżjoni 2010/87, fil-verżjoni tiegħu qabel id-dħul fis-seħħ tad-Deċiżjoni ta’ Implimentazzjoni 2016/2297, moqri fid-dawl tal-premessa 11 ta’ din id-deċiżjoni, kien jillimita għal ċerti każijiet eċċezzjonali s-setgħa tal-awtoritajiet superviżorji li jissospendu jew li jipprojbixxu trasferiment ta’ data personali lejn pajjiż terz. Fil-fatt, fil-verżjoni tiegħu kif tirriżulta mid-Deċiżjoni ta’ Implimentazzjoni 2016/2297, l-Artikolu 4 tad-Deċiżjoni KSP jevoka s-setgħa li għandhom dawn l-awtoritajiet, li issa hija prevista fl-Artikolu 58(2)(f) u (j) tal-GDPR, li jissospendu jew jipprojbixxu tali trasferiment, mingħajr bl-ebda mod ma jillimita l-eżerċizzju ta’ din is-setgħa għal ċirkustanzi eċċezzjonali.

115

Fi kwalunkwe każ, is-setgħa ta’ implimentazzjoni li l-Artikolu 46(2)(c) tal-GDPR jirrikonoxxi lill-Kummissjoni għall-finijiet li tadotta klawżoli standard ta’ protezzjoni tad-data, ma tagħtix lill-Kummissjoni l-kompetenza li tillimita s-setgħat li għandhom l-awtoritajiet superviżorji taħt l-Artikolu 58(2) ta’ dan ir-regolament (ara, b’analoġija, fir-rigward tal-Artikolu 25(6) u tal-Artikolu 28 tad-Direttiva 95/46, is-sentenza tas-6 ta’ Ottubru 2015, Schrems, C‑362/14, EU:C:2015:650, punti 102 u 103). Barra minn hekk, il-premessa 5 tad-Deċiżjoni ta’ Implimentazzjoni 2016/2297 tikkonferma li d-Deċiżjoni KSP “ma [t]waqqafx lil [awtorità superviżorja] milli teżerċita s-setgħat tagħha li tissorvelja l-flussi tad-dejta, inkluż is-setgħa li tissospendi jew tipprojbixxi t-trasferiment ta’ dejta personali meta tiddetermina li t-trasferiment ikun sar bi ksur tal-liġi tal-[Unjoni] jew nazzjonali dwar il-protezzjoni tad-dejta”.

116

Madankollu, għandu jiġi speċifikat li s-setgħat tal-awtorità superviżorja kompetenti huma suġġetti għall-osservanza sħiħa tad-deċiżjoni li permezz tagħha l-Kummissjoni tikkonstata, jekk ikun il-każ, b’applikazzjoni tal-ewwel sentenza tal-Artikolu 45(1) tal-GDPR, li pajjiż terz partikolari jiżgura livell adegwat ta’ protezzjoni. Fil-fatt, f’tali każ, mit-tieni sentenza tal-Artikolu 45(1) ta’ dan ir-regolament, moqrija flimkien mal-premessa 103 tiegħu, jirriżulta li t-trasferimenti ta’ data personali lejn il-pajjiż terz ikkonċernat jistgħu jseħħu mingħajr ma jkun meħtieġ li tinkiseb awtorizzazzjoni speċifika.

117

Skont ir-raba’ paragrafu tal-Artikolu 288 TFUE, deċiżjoni ta’ adegwatezza tal-Kummissjoni għandha, fir-rigward tal-elementi kollha tagħha, natura vinkolanti għall-Istati Membri destinatarji kollha u għalhekk torbot lill-korpi kollha tagħhom, sa fejn tikkonstata li l-pajjiż terz ikkonċernat jiggarantixxi livell adegwat ta’ protezzjoni u sa fejn ikollha l-effett li tawtorizza dawn it-trasferimenti ta’ data (ara, b’analoġija, fir-rigward tal-Artikolu 25(6) tad-Direttiva 95/46, is-sentenza tas-6 ta’ Ottubru 2015, Schrems, C‑362/14, EU:C:2015:650, punt 51 u l-ġurisprudenza ċċitata).

118

B’hekk, sakemm id-deċiżjoni ta’ adegwatezza ma tkunx ġiet iddikjarata invalida mill-Qorti tal-Ġustizzja, l-Istati Membri u l-korpi tagħhom, li jinkludu l-awtoritajiet superviżorji indipendenti tagħhom, ma jistgħux jadottaw miżuri li jmorru kontra din id-deċiżjoni, bħalma huma atti intiżi li jiġi kkonstatat b’effett vinkolanti li l-pajjiż terz li jkun is-suġġett tal-imsemmija deċiżjoni ma jiżgurax livell adegwat ta’ protezzjoni (sentenza tas-6 ta’ Ottubru 2015, Schrems, C‑362/14, EU:C:2015:650, punt 52 u l-ġurisprudenza ċċitata) u, għaldaqstant, li jiġu sospiżi jew ipprojbiti t-trasferimenti ta’ data personali lejn dan il-pajjiż terz.

119

Madankollu, deċiżjoni ta’ adegwatezza tal-Kummissjoni adottata taħt l-Artikolu 45(3) tal-GDPR ma tistax tipprekludi lill-persuni li d-data personali tagħhom kienet jew tista’ tkun ittrasferita lejn pajjiż terz milli jressqu, b’applikazzjoni tal-Artikolu 77(1) tal-GDRP, ilment quddiem l-awtorità superviżorja nazzjonali kompetenti dwar il-protezzjoni tad-drittijiet tagħhom u tal-libertajiet tagħhom fir-rigward tal-ipproċessar ta’ din id-data. Bl-istess mod, deċiżjoni ta’ dan it-tip la tista’ ġġib fix-xejn u lanqas ma tista’ tnaqqas is-setgħat irrikonoxxuti espliċitament lill-awtoritajiet superviżorji nazzjonali mill-Artikolu 8(3) tal-Karta kif ukoll mill-Artikolu 51(1) u mill-Artikolu 57(1)(a) tal-imsemmi regolament (ara, b’analoġija, fir-rigward tal-Artikolu 25(6) u tal-Artikolu 28 tad-Direttiva 95/46, is-sentenza tas-6 ta’ Ottubru 2015, Schrems, C‑362/14, EU:C:2015:650, punt 53).

120

B’hekk, anki fil-preżenza ta’ deċiżjoni ta’ adegwatezza tal-Kummissjoni, l-awtorità superviżorja nazzjonali kompetenti, adita minn persuna b’ilment dwar il-protezzjoni tad-drittijiet tagħha u tal-libertajiet tagħha fir-rigward ta’ pproċessar ta’ data personali li tikkonċernaha, għandha tkun tista’ teżamina, b’indipendenza sħiħa, jekk it-trasferiment ta’ din id-data josservax ir-rekwiżiti stabbiliti mill-GDPR u, jekk ikun il-każ, għandha tkun tista’ tippreżenta rikors quddiem il-qrati nazzjonali sabiex dawn jagħmlu, jekk jikkondividu d-dubji ta’ din l-awtorità dwar il-validità tad-deċiżjoni ta’ adegwatezza, rinviju għal deċiżjoni preliminari sabiex tiġi eżaminata din il-validità (ara, b’analoġija, fir-rigward tal-Artikolu 25(6) u tal-Artikolu 28 tad-Direttiva 95/46, is-sentenza tas-6 ta’ Ottubru 2015, Schrems, C‑362/14, EU:C:2015:650, punti 57 u 65).

121

Fid-dawl tal-kunsiderazzjonijiet preċedenti, ir-risposta li għandha tingħata għat-tmien domanda hija li l-Artikolu 58(2)(f) u (j) tal-GDPR għandu jiġi interpretat fis-sens li, sakemm ma jkunx hemm deċiżjoni ta’ adegwatezza adottata b’mod validu mill-Kummissjoni, l-awtorità superviżorja kompetenti hija obbligata tissospendi jew tipprojbixxi trasferiment ta’ data lejn pajjiż terz ibbażat fuq klawżoli standard ta’ protezzjoni tad-data adottati mill-Kummissjoni f’sitwazzjoni fejn din l-awtorità superviżorja tqis, fid-dawl taċ-ċirkustanzi speċifiċi kollha ta’ dan it-trasferiment, li dawn il-klawżoli ma humiex jew ma jistgħux jiġu osservati f’dan il-pajjiż terz u li l-protezzjoni tad-data ttrasferita meħtieġa mid-dritt tal-Unjoni, b’mod partikolari mill-Artikoli 45 u 46 tal-GDPR u mill-Karta, ma tistax tiġi żgurata b’mezzi oħra, sakemm il-kontrollur jew il-proċessur stabbiliti fl-Unjoni ma jkunux issospendew jew temmew it-trasferiment huma stess.

122

Permezz tas-seba’ u tal-ħdax-il domanda tagħha, li għandhom jiġu eżaminati flimkien, il-qorti tar-rinviju essenzjalment tistaqsi lill-Qorti tal-Ġustizzja dwar il-validità tad-Deċiżjoni KSP fid-dawl tal-Artikoli 7, 8 u 47 tal-Karta.

123

B’mod partikolari, kif jirriżulta mill-kliem stess tas-seba’ domanda u mill-ispjegazzjonijiet marbuta magħha mogħtija fit-talba għal deċiżjoni preliminari, il-qorti tar-rinviju għandha dubju dwar jekk id-Deċiżjoni KSP hijiex kapaċi tiżgura livell adegwat ta’ protezzjoni tad-data personali ttrasferita lejn pajjiżi terzi, sa fejn il-klawżoli standard ta’ protezzjoni tad-data previsti minnha ma jorbtux lill-awtoritajiet ta’ dawn il-pajjiżi terzi.

124

L-Artikolu 1 tad-Deċiżjoni KSP jipprovdi li l-klawżoli standard ta’ protezzjoni tad-data li jinsabu fl-Anness tagħha huma meqjusa li joffru salvagwardji xierqa fir-rigward tal-protezzjoni tal-ħajja privata kif ukoll tal-libertajiet u tad-drittijiet fundamentali tal-persuni, konformement mar-rekwiżiti tal-Artikolu 26(2) tad-Direttiva 95/46. Din id-dispożizzjoni tal-aħħar ġiet essenzjalment riprodotta fl-Artikolu 46(1) u fl-Artikolu 46(2)(c) tal-GDPR.

125

Madankollu, filwaqt li dawn il-klawżoli huma vinkolanti għall-kontrollur stabbilit fl-Unjoni u għar-riċevitur tat-trasferiment tad-data personali stabbilit f’pajjiż terz, fil-każ li jkunu kkonkludew kuntratt b’riferiment għal dawn il-klawżoli, huwa paċifiku li l-imsemmija klawżoli ma jistgħux jorbtu lill-awtoritajiet ta’ dan il-pajjiż terz peress li dawn tal-aħħar ma humiex partijiet fil-kuntratt.

126

Għalkemm jeżistu, għaldaqstant, sitwazzjonijiet li fihom, fid-dawl tal-istat tad-dritt u tal-prassi fis-seħħ fil-pajjiż terz ikkonċernat, ir-riċevitur ta’ tali trasferiment ikun f’pożizzjoni li jiggarantixxi l-protezzjoni tad-data meħtieġa fuq il-bażi biss tal-klawżoli standard ta’ protezzjoni tad-data, jeżistu sitwazzjonijiet oħra li fihom l-istipulazzjonijiet li jinsabu f’dawn il-klawżoli jistgħu ma jikkostitwixxux mezz suffiċjenti li jippermetti li tiġi żgurata, fil-prattika, il-protezzjoni effettiva tad-data personali ttrasferita fil-pajjiż terz ikkonċernat. Dan ikun il-każ, b’mod partikolari, meta d-dritt ta’ dan il-pajjiż terz jippermetti lill-awtoritajiet pubbliċi tiegħu jinterferixxu fid-drittijiet tas-suġġetti tad-data marbuta ma’ din id-data.

127

B’hekk, tqum il-kwistjoni ta’ jekk deċiżjoni tal-Kummissjoni dwar klawżoli standard ta’ protezzjoni tad-data, adottata fuq il-bażi tal-Artikolu 46(2)(c) tal-GDPR, tkunx invalida fl-assenza, f’din id-deċiżjoni, ta’ salvagwardji li jkunu jistgħu jiġu invokati fil-konfront tal-awtoritajiet pubbliċi tal-pajjiżi terzi li lejhom tkun jew tkun tista’ tiġi ttrasferita d-data personali fuq il-bażi ta’ dawn il-klawżoli.

128

L-Artikolu 46(1) tal-GDPR jipprevedi li, fl-assenza ta’ deċiżjoni ta’ adegwatezza, il-kontrollur jew il-proċessur jistgħu jittrasferixxu data personali lejn pajjiż terz fil-każ biss li jkunu pprevedew salvagwardji xierqa u bil-kundizzjoni li s-suġġetti tad-data jkollhom drittijiet infurzabbli u rimedji legali effettivi. Skont l-Artikolu 46(2)(c) ta’ dan ir-regolament, dawn is-salvagwardji jistgħu jiġu pprovduti minn klawżoli standard ta’ protezzjoni tad-data adottati mill-Kummissjoni. Issa, dawn id-dispożizzjonijiet ma jistabbilixxux li l-imsemmija salvagwardji kollha għandhom neċessarjament ikunu previsti permezz ta’ deċiżjoni tal-Kummissjoni bħalma hija d-Deċiżjoni KSP.

129

F’dan ir-rigward, għandu jiġi rrilevat li tali deċiżjoni għandha tiġi distinta minn deċiżjoni ta’ adegwatezza adottata fuq il-bażi tal-Artikolu 45(3) tal-GDPR, li hija intiża, wara eżami tal-leġiżlazzjoni tal-pajjiż terz ikkonċernat fid-dawl, b’mod partikolari, tal-leġiżlazzjoni rilevanti fil-qasam tas-sigurtà nazzjonali u ta’ aċċess tal-awtoritajiet pubbliċi għad-data personali, li tikkonstata b’effett vinkolanti li pajjiż terz, territorju jew settur partikolari wieħed jew iktar f’dan il-pajjiż terz jiżgura livell adegwat ta’ protezzjoni u li, għalhekk, l-aċċess tal-awtoritajiet pubbliċi tal-imsemmi pajjiż terz għal tali data ma jipprekludix it-trasferimenti ta’ din id-data lejn dan l-istess pajjiż terz. Għaldaqstant, tali deċiżjoni ta’ adegwatezza tista’ tiġi adottata mill-Kummissjoni bil-kundizzjoni biss li din tal-aħħar tkun ikkonstatat li l-leġiżlazzjoni rilevanti tal-pajjiż terz f’dan il-qasam tinkludi effettivament is-salvagwardji kollha meħtieġa li jippermettu li jitqies li din il-leġiżlazzjoni tiżgura livell adegwat ta’ protezzjoni.

130

Għall-kuntrarju, fir-rigward ta’ deċiżjoni tal-Kummissjoni li tadotta klawżoli standard ta’ protezzjoni tad-data, bħalma hija d-Deċiżjoni KSP, sa fejn tali deċiżjoni ma tkoprix pajjiż terz, territorju jew settur partikolari wieħed jew iktar f’dan il-pajjiż terz, mill-Artikolu 46(1) u mill-Artikolu 46(2)(c) tal-GDPR ma jistax jiġi dedott li l-Kummissjoni hija obbligata twettaq, qabel l-adozzjoni ta’ tali deċiżjoni, evalwazzjoni tan-natura adegwata tal-livell ta’ protezzjoni żgurat mill-pajjiżi terzi li lejhom tista’ tiġi ttrasferita data personali fuq il-bażi ta’ tali klawżoli.

131

F’dan ir-rigward, għandu jitfakkar li, skont l-Artikolu 46(1) ta’ dan ir-regolament, fl-assenza ta’ deċiżjoni ta’ adegwatezza tal-Kummissjoni, huma l-kontrollur jew il-proċessur stabbiliti fl-Unjoni li għandhom jipprevedu, b’mod partikolari, salvagwardji xierqa. Il-premessi 108 u 114 tal-imsemmi regolament jikkonfermaw li, meta l-Kummissjoni ma tkunx ħadet pożizzjoni dwar in-natura adegwata tal-livell ta’ protezzjoni tad-data f’pajjiż terz, il-kontrollur jew, jekk ikun il-każ, il-proċessur tiegħu “għandu jieħu miżuri sabiex jikkumpensa għan-nuqqas ta’ protezzjoni tad-data f’pajjiż terz permezz ta’ salvagwardji adatti għas-suġġett tad-data” u li “[d]awk is-salvagwardji għandhom jiżguraw konformità mar-rekwiżiti għall-protezzjoni tad-data u d-drittijiet tas-suġġetti tad-data adatti għall-ipproċessar fl-Unjoni, inkluż id-disponibbiltà tad-drittijiet eżegwibbli tas-suġġett tad-data u tar-rimedji legali effettivi […] fl-Unjoni jew f’pajjiż terz”.

132

Peress li, kif jirriżulta mill-punt 125 ta’ din is-sentenza, huwa inerenti għan-natura kuntrattwali tal-klawżoli standard ta’ protezzjoni tad-data li dawn ma jistgħux jorbtu lill-awtoritajiet pubbliċi tal-pajjiżi terzi, u peress li, min-naħa l-oħra, l-Artikolu 44, l-Artikolu 46(1) u l-Artikolu 46(2)(c) tal-GDPR, interpretati fid-dawl tal-Artikoli 7, 8 u 47 tal-Karta, jeżiġu li l-livell ta’ protezzjoni tal-persuni fiżiċi ggarantit minn dan ir-regolament ma għandux jiġi kompromess, jista’ jirriżulta neċessarju li s-salvagwardji li jinsabu f’dawn il-klawżoli standard ta’ protezzjoni tad-data jiġu kkompletati. F’dan ir-rigward, il-premessa 109 tal-imsemmi regolament tiddikjara li “[i]l-possibbiltà għall-kontrollur […] li juża klawżoli standard dwar il-protezzjoni tad-data adottati mill-Kummissjoni [ma għandhiex] tipprevjeni l-kontrolluri […] milli jżidu klawżoli oħrajn jew salvagwardji addizzjonali” u tispeċifika, b’mod partikolari, li dawn tal-aħħar “għandhom jiġu mħeġġa jipprovdu salvagwardji addizzjonali […] li jissupplimentaw il-klawżoli ta’ protezzjoni [tad-data] standard”.

133

B’hekk, jidher li l-klawżoli standard ta’ protezzjoni tad-data adottati mill-Kummissjoni taħt l-Artikolu 46(2)(c) tal-istess regolament huma intiżi biss li jipprovdu lill-kontrolluri jew lill-proċessuri tagħhom stabbiliti fl-Unjoni salvagwardji kuntrattwali li japplikaw b’mod uniformi fil-pajjiżi terzi kollha u, għaldaqstant, indipendentement mil-livell ta’ protezzjoni ggarantit f’kull wieħed minnhom. Sa fejn ma jistgħux, fid-dawl tan-natura tagħhom, jipprovdu salvagwardji li jmorru lil hinn minn obbligu kuntrattwali li jiġi żgurat li jiġi osservat il-livell ta’ protezzjoni meħtieġ mid-dritt tal-Unjoni, dawn il-klawżoli standard ta’ protezzjoni tad-data ma jistgħux jeżiġu, skont is-sitwazzjoni prevalenti f’pajjiż terz jew ieħor, l-adozzjoni ta’ miżuri supplimentari mill-kontrollur sabiex tiġi żgurata l-osservanza ta’ dan il-livell ta’ protezzjoni.

134

F’dan ir-rigward, kif irrileva l-Avukat Ġenerali fil-punt 126 tal-konklużjonijiet tiegħu, il-mekkaniżmu kuntrattwali previst fl-Artikolu 46(2)(c) tal-GDPR huwa bbażat fuq ir-responsabbilizzazzjoni tal-kontrollur jew tal-proċessur tiegħu stabbiliti fl-Unjoni kif ukoll, sussidjarjament, tal-awtorità superviżorja kompetenti. Għaldaqstant, huwa qabel kollox dan il-kontrollur jew il-proċessur tiegħu li għandhom jivverifikaw, każ b’każ, u, jekk ikun il-każ, b’kollaborazzjoni mar-riċevitur tat-trasferiment, jekk id-dritt tal-pajjiż terz ta’ destinazzjoni jiżgurax protezzjoni adegwata, fid-dawl tad-dritt tal-Unjoni, tad-data personali ttrasferita fuq il-bażi ta’ klawżoli standard ta’ protezzjoni tad-data, billi jipprovdu, jekk ikun meħtieġ, salvagwardji supplimentari għal dawk offruti permezz ta’ dawn il-klawżoli.

135

Jekk il-kontrollur jew il-proċessur tiegħu stabbiliti fl-Unjoni ma jkunux jistgħu jieħdu miżuri supplimentari suffiċjenti sabiex jiggarantixxu tali protezzjoni, dawn tal-aħħar jew, sussidjarjament, l-awtorità superviżorja kompetenti, huma obbligati jissospendu jew itemmu t-trasferiment ta’ data personali lejn il-pajjiż terz ikkonċernat. Dan ikun il-każ b’mod partikolari meta d-dritt ta’ dan il-pajjiż terz jimponi fuq ir-riċevitur ta’ trasferiment ta’ data personali li joriġina mill-Unjoni obbligi li jmorru kontra l-imsemmija klawżoli u, għaldaqstant, li jkunu ta’ natura li jdaħħlu inkwistjoni s-salvagwardja kuntrattwali ta’ livell adegwat ta’ protezzjoni kontra l-aċċess tal-awtoritajiet pubbliċi tal-imsemmi pajjiż terz għal din id-data.

136

Għaldaqstant, is-sempliċi fatt li klawżoli standard ta’ protezzjoni tad-data li jinsabu f’deċiżjoni tal-Kummissjoni adottata b’applikazzjoni tal-Artikolu 46(2)(c) tal-GDPR, bħal dawk li jinsabu fl-Anness tad-Deċiżjoni KSP, ma jorbtux lill-awtoritajiet tal-pajjiżi terzi li lejhom tista’ tiġi ttrasferita data personali ma jistax jaffettwa l-validità ta’ din id-deċiżjoni.

137

Għall-kuntrarju, din il-validità tiddependi mill-kwistjoni ta’ jekk, konformement mar-rekwiżit li jirriżulta mill-Artikolu 46(1) u mill-Artikolu 46(2)(c) tal-GDPR, interpretati fid-dawl tal-Artikoli 7, 8 u 47 tal-Karta, tali deċiżjoni tinkludix mekkaniżmi effettivi li jippermettu, fil-prattika, li jiġi żgurat li jiġi osservat il-livell ta’ protezzjoni meħtieġ mid-dritt tal-Unjoni u li t-trasferimenti ta’ data personali, fuq il-bażi ta’ tali klawżoli, jiġu sospiżi jew ipprojbiti fil-każ ta’ ksur ta’ dawn il-klawżoli jew fil-każ li jkun impossibbli li jiġu osservati.

138

Fir-rigward tas-salvagwardji inklużi fil-klawżoli standard ta’ protezzjoni tad-data li jinsabu fl-Anness tad-Deċiżjoni KSP, mill-klawżola 4(a) u (b), mill-klawżola 5(a), mill-klawżola 9 kif ukoll mill-klawżola 11(1) ta’ dan l-anness jirriżulta li l-kontrollur stabbilit fl-Unjoni, ir-riċevitur tat-trasferiment ta’ data personali kif ukoll l-eventwali proċessur ta’ dan tal-aħħar jintrabtu reċiprokament li l-ipproċessar ta’ din id-data, inkluż it-trasferiment tagħha, twettaq u ser ikompli jitwettaq konformement mad-“dispożizzjonijiet tal-liġi applikabbli dwar il-protezzjoni tad-dejta”, jiġifieri, skont id-definizzjoni li tinsab fl-Artikolu 3(f) tal-imsemmija deċiżjoni, “il-leġiżlazzjoni li tipproteġi d-drittijiet u l-libertajiet fundamentali ta’ individwi u, b’mod partikolari, id-dritt tagħhom għall-privatezza fir-rigward tal-ipproċessar tad-dejta personali applikabbli għal kontrollur tad-dejta fl-Istat Membru fejn l-esportatur tad-dejta huwa stabbilit”. Issa, id-dispożizzjonijiet tal-GDPR, moqrija fid-dawl tal-Karta, jagħmlu parti minn din il-leġiżlazzjoni.

139

Barra minn hekk, ir-riċevitur tat-trasferiment ta’ data personali stabbilit f’pajjiż terz jintrabat, skont din il-klawżola 5(a), li jinforma fil-pront lill-kontrollur stabbilit fl-Unjoni dwar l-eventwali inkapaċità tiegħu li jikkonforma ruħu mal-obbligi tiegħu taħt il-kuntratt konkluż. B’mod partikolari, skont l-imsemmija klawżola 5(b), dan ir-riċevitur għandu jiċċertifika li ma hemm ebda raġuni sabiex wieħed jemmen li l-leġiżlazzjoni li tikkonċernah tipprekludih milli jissodisfa l-obbligi tiegħu taħt il-kuntratt konkluż u r-riċevitur jintrabat li jikkomunika fil-pront lill-kontrollur, hekk kif isir jaf biha, kull bidla fil-leġiżlazzjoni nazzjonali li tikkonċernah li jkun jista’ jkollha konsegwenzi negattivi kunsiderevoli għas-salvagwardji u għall-obbligi offruti mill-klawżoli standard ta’ protezzjoni tad-data li jinsabu fl-Anness tad-Deċiżjoni KSP. Barra minn hekk, għalkemm l-istess klawżola 5(d)(i) tippermetti lir-riċevitur tat-trasferiment ta’ data personali, fil-każ ta’ leġiżlazzjoni li tipprekludih milli jagħmel dan, bħalma hija projbizzjoni ta’ natura kriminali intiża li tħares il-kunfidenzjalità ta’ investigazzjoni mill-pulizija, ma jikkomunikax lill-kontrollur stabbilit fl-Unjoni talba vinkolanti għall-iżvelar ta’ data personali magħmula minn awtorità taż-żamma tal-ordni, huwa xorta waħda huwa meħtieġ, konformement mal-klawżola 5(a) tal-Anness tad-Deċiżjoni KSP, jinforma lill-kontrollur dwar l-inkapaċità tiegħu li jikkonforma ruħu mal-klawżoli standard ta’ protezzjoni tad-data.

140

Fiż-żewġ sitwazzjonijiet previsti minnha, din il-klawżola 5(a) u (b) tagħti lill-kontrollur stabbilit fl-Unjoni d-dritt li jissospendi t-trasferiment tad-data u/jew li jxolji l-kuntratt. Fid-dawl tar-rekwiżiti li jirriżultaw mill-Artikolu 46(1) u mill-Artikolu 46(2)(c) tal-GDPR, moqrija fid-dawl tal-Artikoli 7 u 8 tal-Karta, is-sospensjoni tat-trasferiment tad-data u/jew ix-xoljiment tal-kuntratt għandhom natura obbligatorja għall-kontrollur f’sitwazzjoni fejn ir-riċevitur tat-trasferiment ma jkunx jew ma jkunx għadu f’pożizzjoni li josserva l-klawżoli standard ta’ protezzjoni tad-data. Fl-assenza ta’ dan, il-kontrollur jonqos milli josserva r-rekwiżiti li huwa suġġett għalihom taħt il-klawżola 4(a) tal-Anness tad-Deċiżjoni KSP, interpretata fid-dawl tad-dispożizzjonijiet tal-GDPR u tal-Karta.

141

B’hekk, jidher li l-klawżola 4(a) u l-klawżola 5(a) u (b) ta’ dan l-anness jobbligaw lill-kontrollur stabbilit fl-Unjoni u lir-riċevitur tat-trasferiment ta’ data personali jiżguraw li l-leġiżlazzjoni tal-pajjiż terz ta’ destinazzjoni tippermetti lill-imsemmi riċevitur jikkonforma ruħu mal-klawżoli standard ta’ protezzjoni tad-data li jinsabu fl-Anness tad-Deċiżjoni KSP, qabel jipproċedu għal trasferiment ta’ data personali lejn dan il-pajjiż terz. Fir-rigward ta’ din il-verifika, in-nota ta’ qiegħ il-paġna dwar l-imsemmija klawżola 5 tispeċifika li rekwiżiti imperattivi ta’ din il-leġiżlazzjoni li ma jmorrux lil hinn minn dawk li huma meħtieġa f’soċjetà demokratika sabiex jiġu ssalvagwardjati b’mod partikolari s-sigurtà tal-Istat, id-difiża u s-sigurtà pubblika ma jmorrux kontra dawn il-klawżoli standard ta’ protezzjoni tad-data. Għall-kuntrarju, kif enfasizza l-Avukat Ġenerali fil-punt 131 tal-konklużjonijiet tiegħu, il-fatt li jiġi osservat obbligat impost mid-dritt tal-pajjiż terz ta’ destinazzjoni li jmur lil hinn minn dak li huwa meħtieġ għal tali finijiet għandu jitqies li huwa ksur tal-imsemmija klawżoli. L-evalwazzjoni, min-naħa ta’ dawn l-operaturi, tan-natura meħtieġa ta’ tali obbligu għandha, jekk ikun il-każ, tieħu inkunsiderazzjoni l-konstatazzjoni tan-natura adegwata tal-livell ta’ protezzjoni żgurat mill-pajjiż terz ikkonċernat li tkun tinsab f’deċiżjoni ta’ adegwatezza tal-Kummissjoni, adottata taħt l-Artikolu 45(3) tal-GDPR.

142

Minn dan jirriżulta li l-kontrollur stabbilit fl-Unjoni u r-riċevitur tat-trasferiment ta’ data personali huma obbligati jivverifikaw, minn qabel, l-osservanza, fil-pajjiż terz ikkonċernat, tal-livell ta’ protezzjoni meħtieġ mid-dritt tal-Unjoni. Ir-riċevitur ta’ dan it-trasferiment jinsab obbligat, jekk ikun il-każ, skont l-istess klawżola 5(b), li jinforma lill-kontrollur dwar l-eventwali inkapaċità tiegħu li jikkonforma ruħu ma’ dawn il-klawżoli, u dan tal-aħħar f’dan il-każ ikollu jissospendi t-trasferiment ta’ data u/jew ixolji l-kuntratt.

143

Jekk ir-riċevitur tat-trasferiment ta’ data personali lejn pajjiż terz jinforma lill-kontrollur, taħt il-klawżola 5(b) tal-Anness tad-Deċiżjoni KSP, li l-leġiżlazzjoni tal-pajjiż terz ikkonċernat ma tippermettilux jikkonforma ruħu mal-klawżoli standard ta’ protezzjoni tad-data li jinsabu f’dan l-anness, mill-klawżola 12 jirriżulta li d-data li tkun diġà ġiet ittrasferita lejn dan il-pajjiż terz u l-kopji tagħha għandhom jintbagħtu lura jew jinqerdu fl-intier tagħhom. Fi kwalunkwe każ, il-klawżola 6 tal-istess anness tissanzjona n-nuqqas ta’ osservanza ta’ dawn il-klawżoli standard billi tagħti lis-suġġett tad-data d-dritt li jikseb kumpens għad-dannu mġarrab.

144

Għandu jingħad ukoll li, skont il-klawżola 4(f) tal-Anness tad-Deċiżjoni KSP, il-kontrollur stabbilit fl-Unjoni jintrabat, f’sitwazzjoni fejn kategoriji partikolari ta’ data jkunu jistgħu jiġu ttrasferiti f’pajjiż terz li ma joffrix livell adegwat ta’ protezzjoni, li jinforma b’dan lis-suġġett tad-data qabel it-trasferiment jew hekk kif ikun possibbli wara t-trasferiment. Din l-informazzjoni tista’ tqiegħed lil dan is-suġġett tad-data f’pożizzjoni li jeżerċita d-dritt ta’ rimedju li tagħtih il-klawżola 3(1) ta’ dan l-anness kontra l-kontrollur, sabiex dan tal-aħħar jissospendi t-trasferiment ippjanat, ixolji l-kuntratt konkluż mar-riċevitur tat-trasferiment ta’ data personali jew, jekk ikun il-każ, jitlob lil dan tal-aħħar jibgħat lura jew jeqred id-data ttrasferita.

145

Fl-aħħar nett, skont il-klawżola 4(g) tal-imsemmi, il-kontrollur stabbilit fl-Unjoni huwa meħtieġ, meta r-riċevitur tat-trasferiment ta’ data personali jinformah, skont il-klawżola 5(b) tiegħu, li l-leġiżlazzjoni li tikkonċernah hija s-suġġett ta’ emenda li jista’ jkollha konsegwenzi negattivi kunsiderevoli fuq is-salvagwardji offruti u fuq l-obbligi imposti mill-klawżoli standard ta’ protezzjoni tad-data, jgħaddi din l-informazzjoni lill-awtorità superviżorja kompetenti jekk jiddeċiedi, minkejja l-imsemmija informazzjoni, li jkompli bit-trasferiment jew li jwaqqaf is-sospensjoni tiegħu. Il-komunikazzjoni ta’ tali informazzjoni lil din l-awtorità superviżorja u d-dritt ta’ din tal-aħħar li twettaq verifiki mar-riċevitur tat-trasferiment ta’ data personali b’applikazzjoni tal-klawżola 8(2) tal-istess anness, jippermettu lill-imsemmija awtorità superviżorja tivverifika jekk hemmx lok li jiġi sospiż jew ipprojbit it-trasferiment ippjanat bil-għan li jiġi żgurat livell adegwat ta’ protezzjoni.

146

F’dan il-kuntest, l-Artikolu 4 tad-Deċiżjoni KSP, moqri fid-dawl tal-premessa 5 tad-Deċiżjoni ta’ Implimentazzjoni 2016/2297, jikkonferma li d-Deċiżjoni KSP bl-ebda mod ma tipprekludi lill-awtorità superviżorja kompetenti milli tissospendi jew tipprojbixxi, jekk ikun il-każ, trasferiment ta’ data personali lejn pajjiż terz ibbażat fuq il-klawżoli standard ta’ protezzjoni tad-data li jinsabu fl-Anness ta’ din id-deċiżjoni. F’dan ir-rigward, kif jirriżulta mir-risposta għat-tmien domanda, sakemm ma jkunx hemm deċiżjoni ta’ adegwatezza adottata b’mod validu mill-Kummissjoni, l-awtorità superviżorja kompetenti hija meħtieġa, skont l-Artikolu 58(2)(f) u (j) tal-GDPR, tissospendi jew tipprojbixxi tali trasferiment f’sitwazzjoni fejn din l-awtorità superviżorja tqis, fid-dawl taċ-ċirkustanzi speċifiċi kollha ta’ dan it-trasferiment, li dawn il-klawżoli ma humiex jew ma jistgħux jiġu osservati f’dan il-pajjiż terz u li l-protezzjoni tad-data ttrasferita meħtieġa mid-dritt tal-Unjoni ma tistax tiġi żgurata b’mezzi oħra, sakemm il-kontrollur jew il-proċessur stabbiliti fl-Unjoni ma jkunux issospendew jew temmew it-trasferiment huma stess.

147

Fir-rigward tal-fatt, enfasizzat mill-Kummissarju, li trasferimenti ta’ data personali lejn tali pajjiż terz jistgħu eventwalment ikunu s-suġġett ta’ deċiżjonijiet diverġenti mill-awtoritajiet superviżorji tad-diversi Stati Membri, għandu jingħad ukoll li, kif jirriżulta mill-Artikolu 55(1) u mill-Artikolu 57(1)(a) tal-GDPR, il-missjoni li tiġi żgurata l-osservanza ta’ dan ir-regolament hija bħala prinċipju fdata lil kull awtorità superviżorja fit-territorju tal-Istat Membru tagħha. Barra minn hekk, sabiex jiġu evitati deċiżjonijiet diverġenti, l-Artikolu 64(2) tal-imsemmi regolament jipprevedi l-possibbiltà għal awtorità superviżorja li tqis li t-trasferimenti ta’ data lejn pajjiż terz għandhom, b’mod ġenerali, jiġu pprojbiti li tressaq il-kwistjoni għall-opinjoni tal-Bord Ewropew għall-Protezzjoni tad-Data (EDPB), li jista’, skont l-Artikolu 65(1)(c) tal-istess regolament, jadotta deċiżjoni vinkolanti, b’mod partikolari meta awtorità superviżorja ma ssegwix l-opinjoni maħruġa.

148

Minn dan isegwi li d-Deċiżjoni KSP tipprevedi mekkaniżmi effettivi li jippermettu, fil-prattika, li jiġi żgurat li t-trasferiment lejn pajjiż terz ta’ data personali fuq il-bażi ta’ klawżoli standard ta’ protezzjoni tad-data li jinsabu fl-Anness ta’ din id-deċiżjoni jiġi sospiż jew ipprojbit meta r-riċevitur tat-trasferiment ma josservax l-imsemmija klawżoli jew jinsab f’sitwazzjoni fejn ma jkunx kapaċi josservahom.

149

Fid-dawl tal-kunsiderazzjonijiet preċedenti kollha, ir-risposta li għandha tingħata għas-seba’ u għall-ħdax-il domanda hija li mill-eżami tad-Deċiżjoni KSP fid-dawl tal-Artikoli 7, 8 u 47 tal-Karta ma rriżulta ebda element ta’ natura li jaffettwa l-validità ta’ din id-deċiżjoni.

150

Permezz tad-disa’ domanda tagħha, il-qorti tar-rinviju qiegħda essenzjalment tistaqsi jekk u sa fejn awtorità superviżorja ta’ Stat Membru hija marbuta mill-konstatazzjonijiet li jinsabu fid-Deċiżjoni ĦP fis-sens li l-Istati Uniti jiżguraw livell adegwat ta’ protezzjoni. Permezz tar-raba’, tal-ħames u tal-għaxar domanda tagħha, din il-qorti qiegħda essenzjalment tistaqsi jekk, fid-dawl tal-konstatazzjonijiet tagħha stess dwar id-dritt tal-Istati Uniti, it-trasferiment lejn dan il-pajjiż terz ta’ data personali fuq il-bażi tal-klawżoli standard ta’ protezzjoni tad-data li jinsabu fl-Anness tad-Deċiżjoni KSP jiksirx id-drittijiet iggarantiti fl-Artikoli 7, 8 u 47 tal-Karta u tistaqsi lill-Qorti tal-Ġustizzja, b’mod partikolari, dwar il-kwistjoni ta’ jekk it-twaqqif tal-Ombudsman imsemmi fl-Anness III tad-Deċiżjoni ĦP huwiex kompatibbli ma’ dan l-Artikolu 47.

151

Preliminarjament, għandu jiġi rrilevat li, filwaqt li r-rikors fil-kawża prinċipali ppreżentat mill-Kummissarju jqajjem dubju dwar il-validità tad-Deċiżjoni KSP biss, dan ir-rikors ġie ppreżentat quddiem il-qorti tar-rinviju qabel l-adozzjoni tad-deċiżjoni ĦP. Sa fejn, permezz tar-raba’ u tal-ħames domanda tagħha, il-qorti tar-rinviju tistaqsi lill-Qorti tal-Ġustizzja, b’mod ġenerali, dwar il-protezzjoni li għandha tiġi żgurata, bis-saħħa tal-Artikoli 7, 8 u 47 tal-Karta, fil-kuntest ta’ tali trasferiment, l-eżami tal-Qorti tal-Ġustizzja għandu jieħu inkunsiderazzjoni l-konsegwenzi li jirriżultaw mill-adozzjoni tad-Deċiżjoni ĦP, li seħħet fil-frattemp. Dan jgħodd iktar u iktar fid-dawl tal-fatt li l-imsemmija qorti tistaqsi espliċitament, permezz tal-għaxar domanda tagħha, jekk il-protezzjoni meħtieġa minn dan l-Artikolu 47 hijiex żgurata permezz tal-Ombudsman imsemmi f’din id-deċiżjoni tal-aħħar.

152

Barra minn hekk, mill-indikazzjonijiet li jinsabu fit-talba għal deċiżjoni preliminari jirriżulta li, fil-kuntest tal-proċedura fil-kawża prinċipali, Facebook Ireland indikat li d-Deċiżjoni ĦP kellha, għall-Kummissarju, effetti vinkolanti fir-rigward tal-konstatazzjoni tan-natura adegwata tal-livell ta’ protezzjoni żgurat mill-Istati Uniti u, għaldaqstant, fuq in-natura legali ta’ trasferiment lejn dan il-pajjiż terz ta’ data personali bbażat fuq il-klawżoli standard ta’ protezzjoni ta’ data li jinsabu fl-Anness tad-Deċiżjoni KSP.

153

Issa, kif jirriżulta mill-punt 59 ta’ din is-sentenza, fis-sentenza tagħha tat-3 ta’ Ottubru 2017, annessa mat-talba għal deċiżjoni preliminari, il-qorti tar-rinviju enfasizzat li hija kienet meħtieġa tieħu inkunsiderazzjoni l-emendi tad-dritt li seħħew bejn il-preżentata tar-rikors u s-seduta miżmuma quddiemha. B’hekk, il-qorti tar-rinviju tidher li hija obbligata tieħu inkunsiderazzjoni, sabiex taqta’ t-tilwima fil-kawża prinċipali, il-bidla fiċ-ċirkustanzi li tirriżulta mill-adozzjoni tad-Deċiżjoni ĦP kif ukoll l-eventwali effetti vinkolanti tagħha.

154

B’mod partikolari, l-eżistenza ta’ effetti vinkolanti marbuta mal-konstatazzjoni permezz tad-Deċiżjoni ĦP ta’ livell adegwat ta’ protezzjoni fl-Istati Uniti hija rilevanti għall-finijiet tal-evalwazzjoni kemm tal-obbligi, imfakkra fil-punti 141 u 142 ta’ din is-sentenza, li għandhom il-kontrollur u r-riċevitur ta’ trasferiment ta’ data personali lejn pajjiż terz imwettaq fuq il-bażi tal-klawżoli standard ta’ protezzjoni tad-data li jinsabu fl-Anness tad-Deċiżjoni KSP u kemm tal-obbligi li għandha, jekk ikun il-każ, l-awtorità superviżorja li tissospendi jew li tipprojbixxi tali trasferiment.

155

Fil-fatt, fir-rigward tal-effetti vinkolanti tad-Deċiżjoni ĦP, l-Artikolu 1(1) ta’ din id-deċiżjoni jipprovdi li, għall-finijiet tal-Artikolu 45(1) tal-GDPR, “l-Istati Uniti jiżguraw livell adegwat ta’ protezzjoni għad-dejta personali ttrasferita mill-Unjoni lil organizzazzjonijiet fl-Istati Uniti permezz tal-Ħarsien tal-Privatezza [Unjoni Ewropea-Stati Uniti]”. Konformement mal-Artikolu 1(3) tal-imsemmija deċiżjoni, id-data personali hija meqjusa li ġiet ittrasferita fil-kuntest tal-Ħarsien tal-Privatezza meta tkun ittrasferita mill-Unjoni lejn organizzazzjonijiet stabbiliti fl-Istati Uniti li jinsabu fil-lista tal-organizzazzjonijiet li huma inklużi fil-Ħarsien tal-Privatezza, li hija miżmuma aġġornata u ppubblikata mid-Dipartiment tal-Kummerċ Amerikan, konformement mat-Taqsimiet I u III tal-Prinċipji stabbiliti fl-Anness II tal-istess deċiżjoni.

156

Kif jirriżulta mill-ġurisprudenza mfakkra fil-punti 117 u 118 ta’ din is-sentenza, id-Deċiżjoni ĦP għandha natura vinkolanti għall-awtoritajiet superviżorji sa fejn tikkonstata li l-Istati Uniti jiggarantixxu livell adegwat ta’ protezzjoni u, għaldaqstant, għandha l-effett li tawtorizza t-trasferimenti ta’ data personali mwettqa fil-kuntest tal-Ħarsien tal-Privatezza Unjoni Ewropea-Stati Uniti. Għaldaqstant, sakemm din id-deċiżjoni ma tkunx ġiet iddikjarata invalida mill-Qorti tal-Ġustizzja, l-awtorità superviżorja kompetenti ma tistax tissospendi jew tipprojbixxi trasferiment ta’ data personali lejn organizzazzjoni li hija inkluża f’dan il-Ħarsien tal-Privatezza għar-raġuni li tqis, għall-kuntrarju tal-evalwazzjoni magħmula mill-Kummissjoni fl-imsemmija deċiżjoni, li l-leġiżlazzjoni tal-Istati Uniti li tirregola l-aċċess għad-data personali ttrasferita fil-kuntest tal-imsemmi Ħarsien tal-Privatezza u l-użu ta’ din id-data mill-awtoritajiet pubbliċi ta’ dan il-pajjiż terz għal finijiet ta’ sigurtà nazzjonali, tal-osservanza tal-liġi jew tal-interess pubbliku ma tiżgurax livell adegwat ta’ protezzjoni.

157

Xorta jibqa’ l-fatt li, konformement mal-ġurisprudenza mfakkra fil-punti 119 u 120 ta’ din is-sentenza, meta tkun adita b’ilment minn persuna, l-awtorità superviżorja kompetenti għandha teżamina, b’indipendenza sħiħa, jekk it-trasferiment ta’ data personali inkwistjoni josservax ir-rekwiżiti stabbiliti permezz tal-GDPR u, fil-każ li hija tqis li huma fondati l-ilmenti mressqa minn din il-persuna sabiex iddaħħal inkwistjoni l-validità ta’ deċiżjoni ta’ adegwatezza, hija għandha tippreżenta rikors quddiem il-qrati nazzjonali sabiex dawn tal-aħħar jagħmlu rinviju għal deċiżjoni preliminari lil-Qorti tal-Ġustizzja għal evalwazzjoni tal-validità ta’ din id-deċiżjoni.

158

Fil-fatt, ilment ippreżentat taħt l-Artikolu 77(1) tal-GDPR, li permezz tiegħu persuna, li d-data personali tagħha kienet jew tista’ tiġi ttrasferita lejn pajjiż terz, issostni li d-dritt u l-prassi ta’ dan il-pajjiż ma jiżgurawx, minkejja dak li ġie kkonstatat mill-Kummissjoni f’deċiżjoni adottata taħt l-Artikolu 45(3) ta’ dan ir-regolament, livell adegwat ta’ protezzjoni, għandu jinftiehem fis-sens li jikkonċerna, essenzjalment, il-kompatibbiltà ta’ din id-deċiżjoni mal-protezzjoni tal-ħajja privata kif ukoll tal-libertajiet u tad-drittijiet fundamentali tal-persuni (ara, b’analoġija, fir-rigward tal-Artikolu 25(6) u tal-Artikolu 28(4) tad-Direttiva 95/46, is-sentenza tas-6 ta’ Ottubru 2015, Schrems, C‑362/14, EU:C:2015:650, punt 59).

159

F’dan il-każ, M. Schrems essenzjalment talab lill-Kummissarju jipprojbixxi jew jissospendi t-trasferiment minn Facebook Ireland tad-data personali tiegħu lil Facebook Inc., stabbilita fl-Istati Uniti, għar-raġuni li fil-fehma tiegħu dan il-pajjiż terz ma jiżgurax livell adegwat ta’ protezzjoni. Wara li temm investigazzjoni dwar l-allegazzjonijiet ta’ M. Schrems, il-Kummissarju ressaq il-każ quddiem il-qorti tar-rinviju u din tal-aħħar, fid-dawl tal-provi prodotti u tad-dibattitu kontradittorju li żvolġa quddiemha, tidher li għandha dubju dwar il-fondatezza tad-dubji ta’ M. Schrems dwar in-natura adegwata tal-livell ta’ protezzjoni żgurat fl-imsemmi pajjiż terz, minkejja dak li l-Kummissjoni fil-frattemp ikkonstatat fid-Deċiżjoni ĦP, u kien dan id-dubju li wassal lill-qorti tar-rinviju sabiex tagħmel lill-Qorti tal-Ġustizzja r-raba’, il-ħames u l-għaxar domanda preliminari.

160

Kif irrileva l-Avukat Ġenerali fil-punt 175 tal-konklużjonijiet tiegħu, dawn id-domandi preliminari għandhom għalhekk jinftiehmu fis-sens li jdaħħlu inkwistjoni, essenzjalment, il-konstatazzjoni tal-Kummissjoni, li tinsab fid-Deċiżjoni ĦP, fis-sens li l-Istati Uniti jiżguraw livell adegwat ta’ protezzjoni tad-data personali ttrasferita mill-Unjoni lejn dan il-pajjiż terz, u, għaldaqstant, il-validità ta’ din id-deċiżjoni.

161

Fid-dawl tal-kunsiderazzjonijiet magħmula fil-punti 121 u 157 sa 160 ta’ din is-sentenza u sabiex tingħata risposta kompleta lill-qorti tar-rinviju, għandu jiġi eżaminat għalhekk jekk id-Deċiżjoni ĦP hijiex konformi mar-rekwiżiti li jirriżultaw mill-GDPR, moqri fid-dawl tal-Karta (ara, b’analoġija, is-sentenza tas-6 ta’ Ottubru 2015, Schrems, C‑362/14, EU:C:2015:650, punt 67).

162

L-adozzjoni mill-Kummissjoni ta’ deċiżjoni ta’ adegwatezza taħt l-Artikolu 45(3) tal-GDPR teżiġi l-konstatazzjoni debitament motivata, min-naħa ta’ din l-istituzzjoni, li l-pajjiż terz ikkonċernat effettivament jiżgura, minħabba l-leġiżlazzjoni interna tiegħu jew minħabba l-impenji internazzjonali tiegħu, livell ta’ protezzjoni tad-drittijiet fundamentali sostanzjalment ekwivalenti għal dak iggarantit fl-ordinament ġuridiku tal-Unjoni (ara, b’analoġija, fir-rigward tal-Artikolu 25(6) tad-Direttiva 95/46, is-sentenza tas-6 ta’ Ottubru 2015, Schrems, C‑362/14, EU:C:2015:650, punt 96).

163

Fl-Artikolu 1(1) tad-Deċiżjoni ĦP il-Kummissjoni kkonstatat li l-Istati Uniti jiżguraw livell adegwat ta’ protezzjoni tad-data personali ttrasferita mill-Unjoni lejn l-organizzazzjonijiet stabbiliti fl-Istati Uniti fil-kuntest tal-Ħarsien tal-Privatezza Unjoni Ewropea-Stati Uniti, li huwa kkostitwit, b’mod partikolari, skont l-Artikolu 1(2) ta’ din id-deċiżjoni, mill-Prinċipji ppubblikati mid-Dipartiment tal-Kummerċ Amerikan fis-7 ta’ Lulju 2016 u li jinsabu fl-Anness II tal-imsemmija deċiżjoni, kif ukoll mill-osservazzjonijiet u mill-impenji uffiċjali li jinsabu fid-dokumenti elenkati fl-Anness I, III sa VII tal-istess deċiżjoni.

164

Madankollu, fil-punt I.5 tal-Anness II tagħha, intitolat “Prinċipji tal-qafas tal-Ħarsien tal-Privatezza [Unjoni Ewropea-Stati Uniti] maħruġa mid-Dipartiment tal-Kummerċ Amerikan”, id-Deċiżjoni ĦP tispeċifika wkoll li l-aderenza ma’ dawn il-Prinċipji tista’ tkun limitata, b’mod partikolari mir-“rekwiżiti ta’ sigurtà nazzjonali, interess pubbliku jew infurzar tal-liġi”. B’hekk, din id-deċiżjoni tistabbilixxi, bħad-Deċiżjoni 2000/520, is-supremazija ta’ dawn ir-rekwiżiti fuq l-imsemmija prinċipju, supremazija li bis-saħħa tagħha l-organizzazzjonijiet Amerikani awtoċertifikati li jirċievu data personali mill-Unjoni huma meħtieġa, mingħajr ebda limitazzjoni, ma jimxux mal-istess prinċipji meta dawn tal-aħħar jinsabu f’kunflitt mal-imsemmija rekwiżiti u għalhekk jirriżultaw li huma inkompatibbli magħhom (ara, b’analoġija, fir-rigward tad-Deċiżjoni 2000/520, is-sentenza tas-6 ta’ Ottubru 2015, Schrems, C‑362/14, EU:C:2015:650, punt 86).

165

Fid-dawl tan-natura ġenerali tagħha, id-deroga prevista fil-punt I.5 tal-Anness II tad-Deċiżjoni ĦP b’hekk tippermetti ndħil ibbażat fuq rekwiżiti marbuta mas-sigurtà nazzjonali u mal-interess pubbliku jew fuq il-leġiżlazzjoni interna tal-Istati Uniti fid-drittijiet fundamentali tal-persuni li d-data personali tagħhom hija jew tista’ tiġi ttrasferita mill-Unjoni lejn l-Istati Uniti (ara, b’analoġija, fir-rigward tad-Deċiżjoni 2000/520, is-sentenza tas-6 ta’ Ottubru 2015, Schrems, C‑362/14, EU:C:2015:650, punt 87). B’mod iktar partikolari, u kif ġie kkonstatat fid-Deċiżjoni ĦP, tali ndħil jista’ jirriżulta mill-aċċess għad-data personali ttrasferita mill-Unjoni lejn l-Istati Uniti u mill-użu ta’ din id-data mill-awtoritajiet pubbliċi Amerikani, fil-kuntest tal-programmi ta’ sorveljanza PRSIM u UPSTREAM ibbażati fuq l-Artikolu 702 tal-FISA kif ukoll fuq l-E.O. 12333.

166

F’dan il-kuntest, il-Kummissjoni evalwat, fil-premessi 67 sa 135 tad-Deċiżjoni ĦP, il-limitazzjonijiet u l-garanziji previsti fil-leġiżlazzjoni tal-Istati Uniti, b’mod partikolari fl-Artikolu 702 tal-FISA, fl-E.O. 12333 u fil-PPD-28, fir-rigward tal-aċċess għad-data personali ttrasferita fil-kuntest tal-Ħarsien tal-Privatezza Unjoni Ewropea-Stati Uniti u tal-użu ta’ din id-data mill-awtoritajiet pubbliċi Amerikani għal finijiet ta’ sigurtà nazzjonali, ta’ osservanza tal-liġi kif ukoll għal finijiet oħra ta’ interess ġenerali.

167

Meta temmet din l-evalwazzjoni, il-Kummissjoni kkonstatat, fil-premessa 136 ta’ din id-deċiżjoni, li “l-Istati Uniti jiżguraw livell adegwat ta’ protezzjoni għad-dejta personali ttrasferita mill-Unjoni lil organizzazzjonijiet awtoċertifikati fl-Istati Uniti”, u, fil-premessa 140 tal-imsemmija deċiżjoni, hija qieset li, “abbażi tal-informazzjoni disponibbli dwar l-ordinament ġuridiku tal-Istati Uniti, […] kwalunkwe interferenza mill-awtoritajiet pubbliċi tal-Istati Uniti mad-drittijiet fundamentali tal-persuni li d-dejta personali tagħhom tiġi ttrasferita mill-Unjoni lejn l-Istati Uniti taħt il-Ħarsien tal-Privatezza għal skopijiet ta’ sigurtà nazzjonali, infurzar tal-liġi jew interess pubbliku ieħor, u r-restrizzjonijiet sussegwenti imposti fuq organizzazzjonijiet awtoċertifikati fir-rigward tal-aderenza tagħhom għall-Prinċipji se jkunu limitati għal dak li huwa strettament neċessarju biex jintlaħaq l-objettiv leġittimu inkwistjoni, u li hemm teżisti protezzjoni legali effettiva kontra tali interferenza”.

168

Fid-dawl tal-elementi msemmija mill-Kummissjoni fid-Deċiżjoni ĦP kif ukoll fid-dawl ta’ dawk stabbiliti mill-qorti tar-rinviju fil-kuntest tal-proċedura fil-kawża prinċipali, il-qorti tar-rinviju għandha dubji dwar il-kwistjoni ta’ jekk id-dritt tal-Istati Uniti effettivament jiżgurax il-livell adegwat ta’ protezzjoni meħtieġ fl-Artikolu 45 tal-GDPR, moqri fid-dawl tad-drittijiet fundamentali ggarantiti fl-Artikoli 7, 8 u 47 tal-Karta. B’mod partikolari, l-imsemmija qorti tqis li d-dritt ta’ dan il-pajjiż terz ma jipprevedix il-limitazzjonijiet u s-salvagwardji meħtieġa fir-rigward tal-indħil awtorizzat mil-leġiżlazzjoni nazzjonali tiegħu u lanqas ma jiżgura protezzjoni ġudizzjarja effettiva kontra tali ndħil. Fir-rigward ta’ dan il-punt tal-aħħar, hija żżid li l-istabbiliment tal-Ombudsman tal-Ħarsien tal-Privatezza ma jistax, fil-fehma tagħha, jirrimedja dawn in-nuqqasijiet sa fejn dan l-ombudsman ma jistax jiġi assimilat ma’ qorti, fis-sens tal-Artikolu 47 tal-Karta.

169

Fir-rigward, fl-ewwel lok, tal-Artikoli 7 u 8 tal-Karta, li jagħmlu parti mil-livell ta’ protezzjoni meħtieġ fi ħdan l-Unjoni u li l-osservanza tagħhom għandha tiġi kkonstatata mill-Kummissjoni qabel tadotta deċiżjoni ta’ adegwatezza taħt l-Artikolu 45(1) tal-GDPR, għandu jitfakkar li l-Artikolu 7 tal-Karta jiggarantixxi lil kull persuna d-dritt għar-rispett tal-ħajja privata u tal-familja tagħha, tar-residenza tagħha u tal-komunikazzjonijiet tagħha. Fir-rigward tal-Artikolu 8(1) tal-Karta, dan jirrikonoxxi espliċitament lil kull persuna d-dritt għall-protezzjoni tad-data personali li tikkonċernaha.

170

B’hekk, l-aċċess għal data personali ta’ persuna fiżika bil-għan li tinżamm jew li tintuża jaffettwa d-dritt fundamentali ta’ din il-persuna għar-rispett tal-ħajja privata tagħha, iggarantit fl-Artikolu 7 tal-Karta, liema dritt jikkonċerna kwalunkwe informazzjoni marbuta ma’ persuna fiżika identifikata jew identifikabbli. L-imsemmi pproċessar ta’ data jaqa’ wkoll taħt l-Artikolu 8 tal-Karta minħabba l-fatt li jikkostitwxxi pproċessar ta’ data personali fis-sens ta’ dan l-artikolu u għalhekk għandu neċessarjament jissodisfa r-rekwiżiti ta’ protezzjoni tad-data previsti fl-imsemmi artikolu (ara, f’dan is-sens, is-sentenzi tad-9 ta’ Novembru 2010, Volker u Markus Schecke u Eifert, C‑92/09 u C‑93/09, EU:C:2010:662, punti 49 u 52; tat-8 ta’ April 2014, Digital Rights Ireland et, C‑293/12 u C‑594/12, EU:C:2014:238, punt 29; kif ukoll l-Opinjoni 1/15 (Ftehim PNR UE-Kanada), tas-26 ta’ Lulju 2017, EU:C:2017:592, punti 122 u 123).

171

Il-Qorti tal-Ġustizzja diġà ddeċidiet li l-komunikazzjoni ta’ data personali lil terz, bħalma hija awtorità pubblika, tikkostitwixxi ndħil fid-drittijiet fundamentali stabbiliti fl-Artikoli 7 u 8 tal-Karta, irrispettivament mill-użu ulterjuri tal-informazzjoni kkomunikata. Dan jgħodd ukoll għaż-żamma ta’ data personali kif ukoll għall-aċċess għall-imsemmija data sabiex tintuża mill-awtoritajiet pubbliċi, irrispettivament minn jekk l-informazzjoni dwar il-ħajja privata kkonċernata tkunx ta’ natura sensittiva jew le, jew minn jekk is-suġġetti tad-data ġarrbux jew le eventwali inkonvenjenti minħabba dan l-indħil (ara, f’dan is-sens, is-sentenzi tal-20 ta’ Mejju 2003, Österreichischer Rundfunk et, C‑465/00, C‑138/01 u C‑139/01, EU:C:2003:294, punti 74 u 75; tat-8 ta’ April 2014, Digital Rights Ireland et, C‑293/12 u C‑594/12, EU:C:2014:238, punti 33 sa 36; kif ukoll l-Opinjoni 1/15 (Ftehim PNR UE-Kanada), tas-26 ta’ Lulju 2017, EU:C:2017:592, punti 124 u 126).

172

Madankollu, id-drittijiet stabbiliti fl-Artikoli 7 u 8 tal-Karta ma jidhrux li huma prerogattivi assoluti, iżda għandhom jittieħdu inkunsiderazzjoni fid-dawl tal-funzjoni tagħhom fis-soċjetà (ara, f’dan is-sens, is-sentenzi tad-9 ta’ Novembru 2010, Volker und Markus Schecke u Eifert, C‑92/09 u C‑93/09, EU:C:2010:662, punt 48 u l-ġurisprudenza ċċitata; tas-17 ta’ Ottubru 2013, Schwarz, C‑291/12, EU:C:2013:670, punt 33 u l-ġurisprudenza ċċitata; kif ukoll l-Opinjoni 1/15 (Ftehim PNR UE-Kanada), tas-26 ta’ Lulju 2017, EU:C:2017:592, punt 136).

173

F’dan ir-rigward, għandu jiġi rrilevat ukoll li, skont l-Artikolu 8(2) tal-Karta, id-data personali għandha, b’mod partikolari, tiġi pproċessata “għal finijiet determinati u abbażi tal-kunsens tal-persuna kkonċernata jew fuq bażi oħra leġittima stabbilita mil-liġi”.

174

Barra minn hekk, konformement mal-ewwel sentenza tal-Artikolu 52(1) tal-Karta, kull limitazzjoni għall-eżerċizzju tad-drittijiet u tal-libertajiet irrikonoxxuti fil-Karta għandha tkun prevista mil-liġi u għandha tirrispetta l-kontenut essenzjali tal-imsemmija drittijiet u libertajiet. Skont it-tieni sentenza tal-Artikolu 52(1) tal-Karta, b’osservanza tal-prinċipju ta’ proporzjonalità, jistgħu jiġu introdotti limitazzjonijiet għal dawn id-drittijiet u libertajiet fil-każ biss li jkunu meħtieġa u li jissodisfaw effettivament għanijiet ta’ interess ġenerali rrikonoxxuti mill-Unjoni jew sabiex jiġu protetti d-drittijiet u l-libertajiet ta’ ħaddieħor.

175

Fir-rigward ta’ dan il-punt tal-aħħar, għandu jingħad ukoll li r-rekwiżit li kwalunkwe limitazzjoni għall-eżerċizzju tad-drittijiet fundamentali għandha tkun prevista mil-liġi jimplika li l-bażi legali li tippermetti l-indħil f’dawn id-drittijiet għandha tiddefinixxi hija stess il-portata tal-limitazzjoni tal-eżerċizzju tad-dritt ikkonċernat (ara l-Opinjoni 1/15 (Ftehim PNR UE-Kanada), tas-26 ta’ Lulju 2017, EU:C:2017:592, punt 139 u l-ġurisprudenza ċċitata).

176

Fl-aħħar nett, sabiex tissodisfa r-rekwiżit ta’ proporzjonalità li jeħtieġ li d-derogi għall-protezzjoni tad-data personali u l-limitazzjonijiet għal din il-protezzjoni għandhom jitwettqu fil-limiti ta’ dak li jkun strettament neċessarju, il-leġiżlazzjoni inkwistjoni li tinkludi l-indħil għandha tipprevedi regoli ċari u preċiżi li jirregolaw il-portata u l-applikazzjoni tal-miżura inkwistjoni u li jimponu rekwiżiti minimi, b’tali mod li l-persuna li d-data tagħhom tkun ġiet ittrasferita jkollhom salvagwardji suffiċjenti li jippermettu l-protezzjoni effettiva tad-data personali tagħhom kontra r-riskji ta’ abbuż. B’mod partikolari, hija għandha tindika f’liema ċirkustanzi u taħt liema kundizzjonijiet tista’ tittieħed miżura li tipprevedi l-ipproċessar ta’ tali data, u b’hekk għandha tiggarantixxi li l-indħil ikun limitat għal dak li jkun strettament neċessarju. Il-ħtieġa li jiġu previsti tali salvagwardji tkun iktar u iktar importanti meta d-data personali tkun suġġetta għal ipproċessar awtomatizzat (ara, f’dan is-sens, l-Opinjoni 1/15 (Ftehim PNR UE-Kanada), tas-26 ta’ Lulju 2017, EU:C:2017:592, punti 140 u 141 kif ukoll il-ġurisprudenza ċċitata).

177

Għal dan il-għan, l-Artikolu 45(2)(a) tal-GDPR jispeċifika li, fil-kuntest tal-evalwazzjoni tagħha tan-natura adegwata tal-livell ta’ protezzjoni żgurat minn pajjiż terz, il-Kummissjoni għandha tieħu inkunsiderazzjoni, b’mod partikolari, id-“drittijiet tas-suġġett tad-data effettivi u infurzabbli” li d-data personali tiegħu tkun ġiet ittrasferita.

178

F’dan il-każ, il-konstatazzjoni magħmula mill-Kummissjoni fid-Deċiżjoni ĦP, fis-sens li l-Istati Uniti jiżguraw livell ta’ protezzjoni sostanzjalment ekwivalenti għal dak iggarantit fi ħdan l-Unjoni mill-GDPR, moqri fid-dawl tal-Artikoli 7 u 8 tal-Karta, ġiet ikkontestata għar-raġuni, fost l-oħrajn, li l-indħil li jirriżulta mill-programmi ta’ sorveljanza bbażati fuq l-Artikolu 702 tal-FISA u fuq l-E.O. 12333 ma huwiex suġġett għal rekwiżiti li jiżguraw, b’osservanza tal-prinċipju ta’ proporzjonalità, livell ta’ protezzjoni sostanzjalment ekwivalenti għal dak iggarantit mit-tieni sentenza tal-Artikolu 52(1) tal-Karta. Għaldaqstant, għandu jiġi eżaminat jekk dawn il-programmi ta’ sorveljanza humiex implimentati b’osservanza ta’ tali rekwiżiti, mingħajr ma huwa meħtieġ li jiġi vverifikat minn qabel jekk dan il-pajjiż terz josservax kundizzjonijiet sostanzjalment ekwivalenti għal dawk previsti fl-ewwel sentenza tal-Artikolu 52(1) tal-Karta.

179

F’dan id-dawl, fir-rigward tal-programmi ta’ sorveljanza bbażati fuq l-Artikolu 702 tal-FISA, il-Kummissjoni kkonstatat, fil-premessa 109 tad-Deċiżjoni ĦP, li, skont l-imsemmi artikolu, “il-FISC ma tawtorizzax miżuri ta’ sorveljanza individwali; pjuttost, din tawtorizza programmi ta’ sorveljanza (bħal PRISM, UPSTREAM) fuq il-bażi ta’ ċertifikazzjonijiet annwali mħejjija mill-Avukat Ġenerali u d-Direttur tal-Intelligence Nazzjonali”. Kif jirriżulta minn din l-istess premessa, il-kontroll eżerċitat mill-FISC huwa għalhekk intiż li jiġi vverifikat jekk dawn il-programmi ta’ sorveljanza jikkorrispondux mal-għan li tinkiseb informazzjoni fil-qasam tal-intelligence barranija, iżda ma jindirizzax il-kwistjoni ta’ jekk l-“individwi [humiex] fil-mira kif xieraq biex tinkiseb informazzjoni ta’ intelligence barranija”.

180

B’hekk, jidher li mill-Artikolu 702 tal-FISA bl-ebda mod ma joħroġ li hemm limitazzjonijiet għall-awtorizzazzjoni li dan l-artikolu jagħti fir-rigward tal-implimentazzjoni ta’ programmi ta’ sorveljanza għall-finijiet tal-intelligence barranija, bħalma lanqas ma joħroġ li hemm salvagwardji fir-rigward tal-persuni mhux Amerikani potenzjalment fil-mira ta’ dawn il-programmi. F’dawn iċ-ċirkustanzi, u kif essenzjalment irrileva l-Avukat Ġenerali fil-punti 291, 292 u 297 tal-konklużjonijiet tiegħu, dan l-artikolu ma jistax jiżgura livell ta’ protezzjoni sostanzjalment ekwivalenti għal dak iggarantit mill-Karta, kif interpretata mill-ġurisprudenza mfakkra fil-punti 175 u 176 ta’ din is-sentenza, li tipprovdi li bażi legali li tippermetti ndħil fid-drittijiet fundamentali għandha, sabiex tissodisfa l-prinċipju ta’ proporzjonalità, tiddefinixxi hija stess il-portata tal-limitazzjoni tal-eżerċizzju tad-dritt ikkonċernat u tipprevedi regoli ċari u preċiżi li jirregolaw il-portata u l-applikazzjoni tal-miżura inkwistjoni u li jimponu rekwiżiti minimi.

181

Skont il-konstatazzjonijiet magħmula fid-Deċiżjoni ĦP, huwa minnu li l-programmi ta’ sorveljanza bbażati fuq l-Artikolu 702 tal-FISA għandhom jiġu implimentati b’osservanza tar-rekwiżiti li jirriżultaw mill-PPD-28. Madankollu, għalkemm il-Kummissjoni enfasizzat, fil-premessi 69 u 77 tad-Deċiżjoni ĦP, li tali rekwiżiti jirriżultaw mill-PPD-28 huma ta’ natura vinkolanti għad-dipartimenti tal-intelligence Amerikani, il-Gvern Amerikan ammetta, bi tweġiba għal mistoqsija tal-Qorti tal-Ġustizzja, li l-PPD-28 ma tagħtix lis-suġġetti tad-data drittijiet infurzabbli fil-konfront tal-awtoritajiet Amerikani quddiem il-qrati. Għaldaqstant, il-PPD-28 ma hijiex ta’ natura li tiżgura livell ta’ protezzjoni sostanzjalment ekwivalenti għal dak li jirriżulta mill-Karta, għall-kuntrarju ta’ dak li jirrikjedi l-Artikolu 45(2)(a) tal-GDPR, li jipprovdi li l-konstatazzjoni ta’ dan il-livell tiddependi, b’mod partikolari, mill-eżistenza ta’ drittijiet effettivi u infurzabbli għall-persuni li d-data tagħhom kienet ġiet ittrasferita lejn il-pajjiż terz inkwistjoni.

182

Fir-rigward tal-programmi ta’ sorveljanza bbażati fuq l-E.O. 12333, mill-proċess li għandha quddiemha l-Qorti tal-Ġustizzja jirriżulta li dan id-digriet lanqas ma jagħti drittijiet infurzabbli fil-konfront tal-awtoritajiet Amerikani quddiem il-qrati.

183

Għandu jingħad ukoll li l-PPD-28, li għandha tiġi osservata fil-kuntest tal-applikazzjoni tal-programmi msemmija fiż-żewġ punti preċedenti, tippermetti li jitwettaq “ġbir ‘bil-massa’ […] ta’ volum relattivament kbir ta’ informazzjoni jew dejta ta’ intelligence ta’ sinjali f’ċirkostanzi fejn l-Komunità ta’ Intelligence ma tistax tuża identifikatur assoċjat ma’ mira speċifika […] biex tiffoka l-ġbir”, kif huwa speċifikat f’ittra tal-21 ta’ Ġunju 2016 mill-Uffiċċju tad-Direttur tal-Intelligence Nazzjonali (Office of the Director of National Intelligence) lid-Dipartiment Amerikan tal-Kummerċ, li tinsab fl-Anness VI tad-Deċiżjoni ĦP. Issa, din il-possibbiltà, li tippermetti, fil-kuntest tal-programmi ta’ sorveljanza bbażati fuq l-E.O. 12333, aċċess għal data fi tranżitu lejn l-Istati Uniti mingħajr ma dan l-aċċess ikun is-suġġett ta’ kwalunkwe superviżjoni ġudizzjarja, ma tiddefinixxix, fi kwalunkwe każ, b’mod suffiċjentement ċar u preċiż, il-portata ta’ tali ġbir bil-massa ta’ data personali.

184

Għaldaqstant, jidher li la l-Artikolu 702 tal-FISA u lanqas l-E.O. 12333, moqrija flimkien mal-PPD-28, ma jikkorrispondu għar-rekwiżiti minimi marbuta, fid-dritt tal-Unjoni, mal-prinċipju ta’ proporzjonalità, b’tali mod li ma huwiex permess li jitqies li l-programmi ta’ sorveljanza bbażati fuq dawn id-dispożizzjonijiet huma limitati għal dak li huwa strettament neċessarju.

185

F’dawn iċ-ċirkustanzi, il-limitazzjonijiet tal-protezzjoni tad-data personali li joħorġu mil-leġiżlazzjoni interna tal-Istati Uniti dwar l-aċċess u l-użu, mill-awtoritajiet pubbliċi Amerikani, ta’ tali data ttrasferita mill-Unjoni lejn l-Istati Uniti, u li ġew evalwati mill-Kummissjoni fid-Deċiżjoni ĦP, ma humiex iddefiniti b’mod li jissodisfa rekwiżiti sostanzjalment ekwivalenti għal dawk meħtieġa, fid-dritt tal-Unjoni, mit-tieni sentenza tal-Artikolu 52(1) tal-Karta.

186

Fit-tieni lok, fir-rigward tal-Artikolu 47 tal-Karta, li jagħmel parti wkoll mil-livell ta’ protezzjoni meħtieġ fi ħdan l-Unjoni li l-osservanza tiegħu għandha tiġi kkonstatata mill-Kummissjoni qabel tadotta deċiżjoni ta’ adegwatezza taħt l-Artikolu 45(1) tal-GDPR, għandu jitfakkar li l-ewwel paragrafu ta’ dan l-Artikolu 47 jeżiġi li kull persuna li d-drittijiet u l-libertajiet tagħha ggarantiti mid-dritt tal-Unjoni kienu miksura għandu jkollha dritt għal rimedju effettiv quddiem qorti b’osservanza tal-kundizzjonijiet previsti f’dan l-artikolu. Skont it-tieni paragrafu tal-imsemmi artikolu, kull persuna għandha dritt li l-kawża tagħha tinstema’ minn qorti indipendenti u imparzjali.

187

Skont ġurisprudenza stabbilita, l-eżistenza stess ta’ stħarriġ ġudizzjarju effettiv intiż li tiġi żgurata l-osservanza tad-dispożizzjonijiet tad-dritt tal-Unjoni hija inerenti għall-eżistenza ta’ Stat tad-dritt. B’hekk, leġiżlazzjoni li ma tipprevedi ebda possibbiltà għall-individwu li jeżerċita rimedji legali sabiex ikollu aċċess għal data personali li tikkonċernah, jew sabiex jikseb ir-rettifika jew it-tħassir ta’ tali data, ma tirrispettax il-kontenut essenzjali tad-dritt fundamentali għal protezzjoni ġudizzjarja effettiva, kif stabbilit fl-Artikolu 47 tal-Karta (sentenza tas-6 ta’ Ottubru 2015, Schrems, C‑362/14, EU:C:2015:650, punt 95 u l-ġurisprudenza ċċitata).

188

Għal dan il-għan, l-Artikolu 45(2)(a) tal-GDPR jeżiġi li, fil-kuntest tal-evalwazzjoni tagħha tan-natura adegwata tal-livell ta’ protezzjoni żgurat minn pajjiż terz, il-Kummissjoni għandha tieħu inkunsiderazzjoni, b’mod partikolari, ir-“rimedju amministrattiv u ġudizzjarju effettiv għas-suġġetti tad-data li tkun qed tiġi ttrasferita d-data personali tagħhom”. F’dan ir-rigward, il-premessa 104 tal-GDPR tenfasizza li l-pajjiż terz “għandu jiżgura superviżjoni effettiva u indipendenti tal-protezzjoni tad-data u għandu jipprevedi mekkaniżmi ta’ kooperazzjoni mal-awtoritajiet tal-Istati Membri għall-protezzjoni tad-data”, u tispeċifika li s-“suġġetti tad-data għandhom jingħataw drittijiet effettivi u infurzabbli u rimedju amministrattiv u ġudizzjarju effettiv”.

189

L-eżistenza ta’ tali possibbiltajiet effettivi ta’ rimedju fil-pajjiż terz ikkonċernat għandha importanza partikolari fil-kuntest ta’ trasferiment ta’ data personali lejn dan il-pajjiż terz, sa fejn, kif jirriżulta mill-premessa 116 tal-GDPR, is-suġġetti tad-data jistgħu jsibu quddiemhom sitwazzjoni fejn is-setgħat u l-mezzi tal-awtoritajiet amministrattivi u ġudizzjarji tal-Istati Membri sabiex jieħdu passi utli fir-rigward tal-ilmenti tagħhom ibbażati fuq ipproċessar allegatament illegali, f’dan il-pajjiż terz, tad-data tagħhom ittrasferita b’dan il-mod, ma jkunux suffiċjenti, b’tali mod li jkollhom iressqu l-każ tagħhom quddiem l-awtoritajiet u l-qrati nazzjonali ta’ dan l-istess pajjiż terz.

190

F’dan il-każ, il-konstatazzjoni magħmula mill-Kummissjoni fid-Deċiżjoni ĦP, fis-sens li l-Istati Uniti jiżguraw livell ta’ protezzjoni sostanzjalment ekwivalenti għal dak iggarantit fl-Artikolu 47 tal-Karta, ġiet ikkontestata għar-raġuni, b’mod partikolari, li l-istabbiliment tal-Ombudsman tal-Ħarsien tal-Privatezza ma jistax jirrimedja n-nuqqasijiet ikkonstatati mill-Kummissjoni stess fir-rigward tal-protezzjoni ġudizzjarja tal-persuni li d-data personali tagħhom hija ttrasferita lejn dan il-pajjiż terz.

191

F’dan ir-rigward, fil-premessa 115 tad-Deċiżjoni ĦP, il-Kummissjoni rrilevat li, filwaqt li l-“individwi, inklużi suġġetti tad-dejta tal-[Unjoni], […] għandhom numru ta’ possibbiltajiet ta’ rimedju meta dawn ikunu ġew suġġetti għal sorveljanza (elettronika) illegali għal skopijiet ta’ sigurtà nazzjonali, huwa ċar ukoll li mill-inqas ċerti bażijiet legali li l-awtoritajiet ta’ intelligence tal-Istati Uniti jistgħu jużaw (pereż. E.O. 12333) mhumiex koperti”. B’hekk, fir-rigward tal-E.O. 12333, hija enfasizzat, fl-imsemmija premessa 115, l-assenza ta’ kwalunkwe rimedju. Issa, skont il-ġurisprudenza mfakkra fil-punt 187 ta’ din is-sentenza, tali lakuna fil-protezzjoni ġudizzjarja fir-rigward tal-indħil marbut mal-programmi ta’ intelligence ibbażati fuq dan id-digriet presidenzjali tostakola l-konklużjoni, bħalma għamlet il-Kummissjoni fid-Deċiżjoni ĦP, li d-dritt tal-Istati Uniti jiżgura livell ta’ protezzjoni sostanzjalment ekwivalenti għal dak iggarantit fl-Artikolu 47 tal-Karta.

192

Barra minn hekk, fir-rigward kemm tal-programmi ta’ sorveljanza bbażati fuq l-Artikolu 702 tal-FISA u kemm ta’ dawk ibbażati fuq l-E.O. 12333, fil-punti 181 u 182 ta’ din is-sentenza ġie rrilevat li la l-PPD-28 u lanqas l-E.O. 12333 ma jagħtu lis-suġġetti tad-data drittijiet infurzabbli fil-konfront tal-awtoritajiet Amerikani quddiem il-qrati, b’tali mod li dawn is-suġġetti tad-data ma għandhomx dritt għal rimedju effettiv.

193

Madankollu, fil-premessi 115 u 116 tad-Deċiżjoni ĦP, il-Kummissjoni kkonstatat li, minħabba l-eżistenza tal-mekkaniżmu ta’ Ombudsman stabbilit mill-awtoritajiet Amerikani, kif deskritt fl-ittra mibgħuta fis-7 ta’ Lulju 2016 mis-Segretarju tal-Istat Amerikan lill-Kummissarju Ewropew għall-Ġustizzja, għall-Konsumaturi u għall-Ugwaljanza bejn l-Irġiel u n-Nisa, li tinsab fl-Anness III ta’ din id-deċiżjoni, u minħabba n-natura tal-missjoni fdata lill-Ombudsman, f’dan il-każ bħala “Koordinatur Għoli għad-Diplomazija Internazzjonali għat-Teknoloġija tal-Informazzjoni”, l-Istati Uniti setgħu jitqiesu li jiżguraw livell ta’ protezzjoni sostanzjalment ekwivalenti għal dak iggarantit fl-Artikolu 47 tal-Karta.

194

L-eżami tal-kwistjoni ta’ jekk il-mekkaniżmu ta’ Ombudsman imsemmi fid-Deċiżjoni ĦP huwiex effettivament ta’ natura li jirrimedja l-limitazzjonijiet tad-dritt għal protezzjoni ġudizzjarja kkonstatati mill-Kummissjoni għandu, konformement mar-rekwiżiti li joħorġu mill-Artikolu 47 tal-Karta u mill-ġurisprudenza mfakkra fil-punt 187 ta’ din is-sentenza, jitlaq mill-prinċipju li l-individwi għandu jkollhom il-possibbiltà li jeżerċitaw rimedji legali quddiem qorti indipendenti u imparzjali sabiex ikollhom aċċess għal data personali li tikkonċernahom jew sabiex jiksbu r-rettifika jew it-tħassir ta’ tali data.

195

Issa, fl-ittra msemmija fil-punt 193 ta’ din is-sentenza, l-Ombudsman tal-Ħarsien tal-Privatezza, għalkemm huwa deskritt bħala “indipendenti mill-Komunità tal-Intelligence”, ġie ppreżentat bħala li “jirrapporta diretament lis-Segretarju tal-Istat li jassigura li l-Ombudsman iwettaq il-funzjoni tiegħu b’mod oġġettiv, ħieles minn influwenza mhux xierqa li tkun mistennija li jkollha effett fuq ir-rispons li jkun se jiġi pprovdut”. Barra minn hekk, minbarra l-fatt li, kif ikkonstatat il-Kummissjoni fil-premessa 116 ta’ din id-deċiżjoni, l-Ombudsman jinħatar mis-Segretarju tal-Istat u jagħmel parti integrali mid-Dipartiment tal-Istat tal-Istati Uniti, fl-imsemmija deċiżjoni ma hemm ebda indikazzjoni, kif irrileva l-Avukat Ġenerali fil-punt 337 tal-konklużjonijiet tiegħu, li r-revoka tal-Ombudsman jew l-annullament tal-ħatra tiegħu huma suġġetti għal salvagwardji partikolari, punt dan li huwa ta’ natura li jdaħħal inkwistjoni l-indipendenza tal-Ombudsman fil-konfront tal-poter eżekuttiv (ara, f’dan is-sens, is-sentenza tal-21 ta’ Jannar 2020, Banco de Santander, C‑274/14, EU:C:2020:17, punti 60 u 63 kif ukoll il-ġurisprudenza ċċitata).

196

Bl-istess mod, kif enfasizza l-Avukat Ġenerali fil-punt 338 tal-konklużjonijiet tiegħu, għalkemm il-premessa 120 tad-Deċiżjoni ĦP ssemmi impenn mill-Gvern Amerikan li l-element ikkonċernat tad-dipartimenti tal-intelligence ser ikun meħtieġ jikkoreġi kwalunkwe ksur tal-istandards applikabbli identifikat mill-Ombudsman tal-Ħarsien tal-Privatezza, l-imsemmija deċiżjoni ma fiha ebda indikazzjoni fis-sens li dan l-Ombudsman għandu s-setgħa jieħu deċiżjonijiet vinkolanti fil-konfront ta’ dawn id-dipartimenti u lanqas ma ssemmi salvagwardji legali li għalihom huwa suġġett dan l-impenn u li jistgħu jiġu invokati mis-suġġetti tad-data.

197

B’hekk, il-mekkaniżmu ta’ Ombudsman previst fid-Deċiżjoni ĦP ma jipprovdix rimedju quddiem korp li joffri lill-persuni li d-data tagħhom hija ttrasferita lejn l-Istati Uniti salvagwardji sostanzjalment ekwivalenti għal dawk meħtieġa mill-Artikolu 47 tal-Karta.

198

Għaldaqstant, meta kkonstatat, fl-Artikolu 1(1) tad-Deċiżjoni ĦP, li l-Istati Uniti jiżguraw livell adegwat ta’ protezzjoni tad-data personali ttrasferita mill-Unjoni lejn organizzazzjonijiet stabbiliti f’dan il-pajjiż terz fil-kuntest tal-Ħarsien tal-Privatezza Unjoni Ewropea-Stati Uniti, il-Kummissjoni naqset milli tosserva r-rekwiżiti li jirriżultaw mill-Artikolu 45(1) tal-GDPR, moqri fid-dawl tal-Artikoli 7, 8 u 47 tal-Karta.

199

Minn dan isegwi li l-Artikolu 1 tad-Deċiżjoni ĦP huwa inkompatibbli mal-Artikolu 45(1) tal-GDPR, moqri fid-dawl tal-Artikoli 7, 8 u 47 tal-Karta, u li għalhekk huwa invalidu.

200

Peress li l-Artikolu 1 tad-Deċiżjoni ĦP ma jistax jiġi sseparat mill-Artikoli 2 sa 6 kif ukoll mill-annessi tagħha, l-invalidità tiegħu għandha l-effett li taffettwa l-validità ta’ din id-deċiżjoni fl-intier tagħha.

201

Fid-dawl tal-kunsiderazzjonijiet preċedenti, għandu jiġi konkluż li d-Deċiżjoni ĦP hija invalida.

202

Fir-rigward tal-kwistjoni dwar jekk l-effetti ta’ din id-deċiżjoni għandhomx jinżammu sabiex jiġi evitat il-ħolqien ta’ vojt legali (ara, f’dan is-sens, is-sentenza tat-28 ta’ April 2016, Borealis Polyolefine et, C‑191/14, C‑192/14, C‑295/14, C‑389/14 u C‑391/14 sa C‑393/14, EU:C:2016:311, punt 106), għandu jiġi osservat li, fi kwalunkwe każ, fid-dawl tal-Artikolu 49 tal-GDPR, l-annullament ta’ deċiżjoni ta’ adegwatezza bħalma hija d-Deċiżjoni ĦP ma jistax joħloq tali vojt legali. Fil-fatt, dan l-artikolu jistabbilixxi, b’mod preċiż, il-kundizzjonijiet li fihom trasferimenti ta’ data personali lejn pajjiżi terzi jkunu jistgħu jseħħu fl-assenza ta’ deċiżjoni ta’ adegwatezza bis-saħħa tal-Artikolu 45(3) tal-imsemmi regolament jew ta’ salvagwardji xierqa taħt l-Artikolu 46 tal-istess regolament.

203

Peress li l-proċedura għandha, fir-rigward tal-partijiet fil-kawża prinċipali, in-natura ta’ kwistjoni mqajma quddiem il-qorti tar-rinviju, hija din il-qorti li tiddeċiedi fuq l-ispejjeż. L-ispejjeż sostnuti għas-sottomissjoni tal-osservazzjonijiet lill-Qorti tal-Ġustizzja, barra dawk tal-imsemmija partijiet, ma jistgħux jitħallsu lura.

Għal dawn il-motivi, Il-Qorti tal-Ġustizzja (Awla Manja) taqta’ u tiddeċiedi: