–

għal Digi Távközlési és Szolgáltató Kft., minn R. Hatala u A. D. László, ügyvédek,

–

għan-Nemzeti Adatvédelmi és Információszabadság Hatóság, minn G. Barabás, konsulent ġuridiku, assistit minn G. J. Dudás u Á. Hargita, ügyvédek,

–

għall-Gvern Ungeriż, minn Z. Biró‑Tóth u M. Z. Lewis, bħala aġenti,

–

għall-Gvern Ċek, minn T. Machovičová, M. Smolek u J. Vláčil, bħala aġenti,

–

għall-Gvern Portugiż, minn P. Barros da Costa, L. Inez Fernandes, I. Oliveira, J. Ramos u C. Vieira Guerra, bħala aġenti,

–

għall-Kummissjoni Ewropea, minn V. Bottka u H. Kranenborg, bħala aġenti,

1

It-talba għal deċiżjoni preliminari tirrigwarda l-interpretazzjoni tal-Artikolu 5(1)(b) u (e) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2).

2

Din it-talba tressqet fil-kuntest ta’ tilwima bejn, minn naħa, Digi Távközlési és Szolgáltató Kft. (iktar ’il quddiem “Digi”), wieħed mill-fornituri prinċipali ta’ servizzi tal-internet u tat-televiżjoni fl-Ungerija, u, min-naħa l-oħra, in-Nemzeti Adatvédelmi és Információszabadság Hatóság (l-Awtorità Nazzjonali għall-Protezzjoni tad-Data u tal-Libertà tal-Informazzjoni, l-Ungerija, iktar ’il quddiem l-“Awtorità”), dwar ksur ta’ data personali li tinsab f’database ta’ Digi.

3

Il-premessi 10 u 50 tar-Regolament 2016/679 jistipulaw:

[…]

4

L-Artikolu‑4 tar-Regolament 2016/679 intitolat “Definizzjonijiet”, jipprevedi:

“Għall-finijiet ta’ dan ir-Regolament:

[…]

[…]”

5

Skont l-Artikolu 5 ta’ dan ir-regolament, intitolat “Prinċipji relatati mal-ipproċessar ta’ data personali”:

“1.   Id-data personali għandha:

2.   Il-kontrollur għandu jkun responsabbli għall-konformità mal-paragrafu 1 u jkun kapaċi juriha (‘responsabbiltà’).”

6

L-Artikolu 6 tal-imsemmi regolament, intitolat “Legalità tal-ipproċessar”, jipprevedi:

“1.   L-ipproċessar għandu jkun legali biss jekk u safejn mill-inqas ikun japplika wieħed mill-punti li ġejjin:

[…]

4.   Fejn l-ipproċessar għal finijiet differenti minn dak li għalih id-data personali tkun inġabret ma jkunx ibbażat fuq il-kunsens tas-suġġett tad-data jew fuq liġi tal-Unjoni jew ta’ Stat Membru li tikkostitwixxi miżura meħtieġa u proporzjonata f’soċjetà demokratika biex tissalvagwardja l-objettivi msemmija fl-Artikolu 23(1), il-kontrollur għandu, sabiex jaċċerta jekk l-ipproċessar għal fini ieħor huwiex kompatibbli mal-fini li għalih tkun inġabret id-data personali inizjalment, jieħu kont, fost l-oħrajn, ta’:

7

Digi hija waħda mill-fornituri prinċipali tas-servizzi tal-internet u tat-televiżjoni fl-Ungerija.

8

Fix-xahar ta’ April 2018, wara ħsara teknika li affettwat il-funzjonament ta’ server, Digi ħolqot database magħrufa bħala “għall-ittestjar” (iktar ’il quddiem id-“database għall-ittestjar”), li fiha hija kkopjat id-data personali ta’ madwar terz mill-klijenti tagħha li huma individwi, li kienet miżmuma f’database oħra, imsejħa “digihu”, li setgħet tiġi llinkjata mas-sit www.digi.hu, li tinkludi d-data aġġornata tal-persuni li kienu nkitbu sabiex jirċievu l-ittra ta’ informazzjoni ta’ Digi, għal finijiet ta’ marketing dirett, kif ukoll id-data ta’ amministratur tas-sistema li tagħti aċċess għall-interfaċċa tas-sit.

9

Fit‑23 ta’ Settembru 2019, Digi saret taf bil-fatt li “hacker etiku” kellu aċċess għad-data personali miżmuma minn din tal-aħħar rigward madwar 322000 persuna. Dan l-aċċess ġie rrapportat lil Digi minn dan il-“hacker etiku” nnifsu, li kkomunikalha, bħala prova, linja mid-database għall-ittestjar. Digi sewwiet il-ħsara li kienet ippermettiet dan l-aċċess u kkonkludiet ftehim ta’ kunfidenzjalità ma’ din il-persuna, u offrietilha kumpens.

10

Wara li ħassret id-database għall-ittestjar, Digi nnotifikat il-ksur ta’ data personali lill-Awtorità fil‑25 ta’ Settembru 2019, li sussegwentement fetħet investigazzjoni.

11

Permezz ta’ deċiżjoni tat‑18 ta’ Mejju 2020, l-Awtorità kkonkludiet b’mod partikolari li Digi kienet kisret l-Artikolu 5(1)(b) u (e) tar-Regolament 2016/679, sa fejn, wara li wettqet it-testijiet neċessarji u sewwiet il-ħsarat, hija ma kinitx ħassret immedjatament id-database għall-ittestjar, b’tali mod li kien inżamm numru kbir ta’ data personali f’din id-database mingħajr ebda skop għal kważi 18-il xahar, ġewwa fajl li seta’ jippermetti l-identifikazzjoni tal-persuni kkonċernati. Konsegwentement, l-Awtorità obbligat lil Digi teżamina d-databases kollha tagħha u imponiet fuqha multa ta’ HUF 100000000 (forint Ungeriż) (madwar EUR 248000).

12

Digi kkontestat il-legalità ta’ din id-deċiżjoni quddiem il-qorti tar-rinviju.

13

Din tal-aħħar tirrileva li d-data personali kkopjata minn Digi fid-database għall-ittestjar inġabret għall-finijiet tal-konklużjoni u tal-eżekuzzjoni ta’ kuntratti ta’ abbonament u li l-legalità tal-ġbir inizjali tad-data ma ġietx ikkontestata mill-Awtorità. Madankollu, hija tistaqsi jekk il-kopja, f’database oħra, tad-data miġbura inizjalment kellhiex il-konsegwenza li tbiddel l-għan tal-ġbir inizjali u tal-ipproċessar tagħha. Hija żżid li għandu jiġi stabbilit ukoll jekk il-ħolqien ta’ database għall-ittestjar u t-tkomplija, f’din id-database l-oħra, tal-ipproċessar tad-data tal-klijenti humiex kompatibbli mal-iskopijiet tal-ġbir inizjali. Hija tikkunsidra li l-prinċipju tal-“limitazzjoni tal-iskopijiet”, kif stabbilit fl-Artikolu 5(1)(b) tar-Regolament 2016/679, ma jippermettilhiex li tiddetermina s-sistemi interni li fihom il-kontrollur għandu d-dritt li jipproċessa d-data miġbura b’mod leġittimu u lanqas li jkun jaf jekk dan tal-aħħar jistax jikkopja din id-data f’database għall-ittestjar mingħajr ma jbiddel l-iskop tal-ġbir inizjali ta’ data.

14

Fil-każ fejn il-ħolqien tad-database għall-ittestjar ikun inkompatibbli mal-iskop tal-ġbir inizjali, il-qorti tar-rinviju tistaqsi wkoll jekk, peress li l-iskop tal-ipproċessar tad-data tal-klijenti f’database oħra ma huwiex il-korrezzjoni ta’ żbalji imma l-konklużjoni ta’ kuntratti, il-perijodu ta’ ħżin neċessarju għandux, skont il-prinċipju tal-“limitazzjoni tal-ħżin” li jinsab fl-Artikolu 5(1)(e) tar-Regolament 2016/679, ikun allinjat mal-perijodu neċessarju għall-korrezzjoni tal-iżbalji jew inkella mal-perijodu neċessarju għall-eżekuzzjoni tal-obbligi kuntrattwali.

15

F’dawn iċ-ċirkustanzi, il-Fővárosi Törvényszék (il-Qorti tal-Belt ta’ Budapest, l-Ungerija) iddeċidiet li tissospendi l-proċeduri quddiemha u li tagħmel lill-Qorti tal-Ġustizzja d-domandi preliminari li ġejjin:

16

L-Awtorità kif ukoll il-Gvern Ungeriż esprimew dubji rigward l-ammissibbiltà tad-domandi preliminari, minħabba li d-domandi magħmula ma jikkorrispondux mal-fatti tat-tilwima fil-kawża prinċipali u ma humiex direttament rilevanti għas-soluzzjoni tagħha.

17

F’dan ir-rigward, fl-ewwel lok, għandu jitfakkar li, skont ġurisprudenza stabbilita tal-Qorti tal-Ġustizzja, hija biss il-qorti nazzjonali li quddiemha titressaq il-kawża u li għandha tassumi r-responsabbiltà tad-deċiżjoni ġudizzjarja li għandha tingħata li għandha tevalwa, fid-dawl taċ-ċirkustanzi partikolari tal-kawża, kemm in-neċessità ta’ deċiżjoni preliminari sabiex tkun f’pożizzjoni li tagħti d-deċiżjoni tagħha, kif ukoll ir-rilevanza tad-domandi li hija tagħmel lill-Qorti tal-Ġustizzja. Għaldaqstant, sa fejn id-domandi magħmula jirrigwardaw l-interpretazzjoni jew il-validità ta’ dispożizzjoni legali tal-Unjoni, il-Qorti tal-Ġustizzja hija, bħala prinċipju, meħtieġa tagħti deċiżjoni. Minn dan isegwi li d-domandi magħmula mill-qrati nazzjonali jgawdu minn preżunzjoni ta’ rilevanza. Il-Qorti tal-Ġustizzja tista’ tirrifjuta li tagħti deċiżjoni dwar domanda preliminari magħmula minn qorti nazzjonali biss jekk ikun jidher li l-interpretazzjoni mitluba ma għandha ebda rabta mar-realtà jew mas-suġġett tat-tilwima fil-kawża prinċipali, jekk il-problema tkun ta’ natura ipotetika jew inkella jekk il-Qorti tal-Ġustizzja ma jkollhiex il-punti ta’ fatt u ta’ liġi meħtieġa sabiex tagħti risposta utli għall-imsemmija domandi (sentenza tas‑16 ta’ Lulju 2020, Facebook Ireland u Schrems, C‑311/18, EU:C:2020:559, punt 73 u l-ġurisprudenza ċċitata).

18

F’dan il-każ, il-qorti tar-rinviju hija adita b’rikors intiż għall-annullament ta’ deċiżjoni li tissanzjona lil Digi, fil-kwalità tagħha ta’ kontrollur, talli kisret il-prinċipju tal-“limitazzjoni tal-iskopijiet” u l-prinċipju tal-“limitazzjoni tal-ħżin”, previsti, rispettivament, fil-punti (b) u (e) tal-Artikolu 5(1) tar-Regolament 2016/679, billi naqset milli tħassar database li tinkludi data personali li tippermetti l-identifikazzjoni tal-persuni kkonċernati. Issa, id-domandi preliminari jirrigwardaw preċiżament l-interpretazzjoni ta’ dawn id-dispożizzjonijiet, b’tali mod li ma jistax jitqies li l-interpretazzjoni mitluba tad-dritt tal-Unjoni ma għandhiex rabta mar-realtà jew mas-suġġett tat-tilwima fil-kawża prinċipali jew hija ta’ natura ipotetika. Barra minn hekk, id-deċiżjoni tar-rinviju tinkludi l-punti ta’ fatt u ta’ liġi suffiċjenti sabiex tingħata risposta utli għad-domandi magħmula mill-qorti tar-rinviju.

19

Fit-tieni lok, għandu jitfakkar li, fil-kuntest tal-proċedura msemmija fl-Artikolu 267 TFUE, ibbażata fuq separazzjoni ċara tal-funzjonijiet bejn il-qrati nazzjonali u l-Qorti tal-Ġustizzja, hija biss il-qorti nazzjonali li għandha ġurisdizzjoni sabiex tagħti deċiżjonijiet dwar l-interpretazzjoni u l-applikazzjoni tad-dispożizzjonijiet tad-dritt nazzjonali, filwaqt li l-Qorti tal-Ġustizzja hija awtorizzata biss sabiex tiddeċiedi dwar l-interpretazzjoni jew il-validità ta’ test tal-Unjoni, abbażi tal-fatti li huma indikati lilha mill-qorti nazzjonali (sentenza tal‑5 ta’ Mejju 2022, Zagrebačka banka, C‑567/20, EU:C:2022:352, punt 45 u l-ġurisprudenza ċċitata).

20

Għaldaqstant, l-argument dwar l-inammissibbiltà tad-domandi preliminari li l-Awtorità u l-Gvern Ungeriż jibbażaw, essenzjalment, fuq il-fatt li d-domandi preliminari ma jikkorrispondux, fil-fehma tagħhom, mal-fatti tat-tilwima fil-kawża prinċipali, għandu jiġi miċħud.

21

Minn dan jirriżulta li d-domandi magħmula huma ammissibbli.

22

Permezz tal-ewwel domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 5(1)(b) tar-Regolament 2016/679 għandux jiġi interpretat fis-sens li l-prinċipju tal-“limitazzjoni tal-iskopijiet”, previst f’din id-dispożizzjoni, jipprekludix ir-reġistrazzjoni u l-ħżin mill-kontrollur, f’database maħluqa sabiex isiru testijiet u sabiex jiġu kkorreġuti żbalji, ta’ data personali miġbura preċedentement u maħżuna f’database oħra.

23

Skont ġurisprudenza stabbilita, l-interpretazzjoni ta’ dispożizzjoni tad-dritt tal-Unjoni teħtieġ li jittieħdu inkunsiderazzjoni mhux biss il-kliem tagħha, iżda wkoll il-kuntest li fih hija tinsab u l-għanijiet u l-iskop tal-att li hija tagħmel parti minnu (sentenza tal‑1 ta’ Awwissu 2022, Hold Alapkezelġ, C‑352/20, EU:C:2022:606, punt 42 u l-ġurisprudenza ċċitata).

24

F’dan ir-rigward, fl-ewwel lok, għandu jiġi rrilevat li l-Artikolu 5(1) tar-Regolament 2016/679 jistabbilixxi l-prinċipji dwar l-ipproċessar tad-data personali, li huma imposti fuq il-kontrollur u li dan tal-aħħar għandu jkun f’pożizzjoni li juri l-osservanza tagħhom, konformement mal-prinċipju ta’ responsabbiltà stabbilit fil-paragrafu 2 ta’ dan l-artikolu.

25

B’mod partikolari, skont l-Artikolu 5(1)(b) ta’ dan ir-regolament, li jistabbilixxi l-prinċipju tal-“limitazzjoni tal-iskopijiet”, id-data personali għandha, minn naħa, tinġabar għal skopijiet speċifikati, espliċiti u leġittimi u, min-naħa l-oħra, ma għandhiex tiġi pproċessata ulterjorment b’mod inkompatibbli ma’ dawn l-iskopijiet.

26

Għalhekk, mill-formulazzjoni ta’ din id-dispożizzjoni jirriżulta li din tinkludi żewġ rekwiżiti, waħda relatata mal-finijiet tal-ġbir inizjali tad-data personali u l-oħra li tirrigwarda l-ipproċessar ulterjuri ta’ din id-data.

27

Fir-rigward, l-ewwel, tar-rekwiżit li d-data personali għandha tinġabar għal finijiet speċifikati, espliċiti u leġittimi, mill-ġurisprudenza tal-Qorti tal-Ġustizzja jirriżulta li dan jimplika, qabelxejn, li l-iskopijiet tal-ipproċessar għandhom jiġu identifikati mhux iktar tard mill-ġbir tad-data personali, sussegwentement, li l-iskopijiet tal-ipproċessar ikunu stabbiliti b’mod ċar u, fl-aħħar nett, li l-iskopijiet tal-imsemmi pproċessar jiggarantixxu, b’mod partikolari, il-legalità tal-ipproċessar ta’ din id-data, fis-sens tal-Artikolu 6(1) tar-Regolament 2016/679 (ara, f’dan is-sens, is-sentenza tal‑24 ta’ Frar 2022, Valsts ieņēmumu dienests (Ipproċessar ta’ data personali għal finijiet ta’ taxxa), C‑175/20, EU:C:2022:124, punti 64 sa 66).

28

F’dan il-każ, mill-formulazzjoni tal-ewwel domanda u mill-motivi tad-deċiżjoni tar-rinviju jirriżulta li d-data personali inkwistjoni fil-kawża prinċipali nġabret għal skopijiet speċifikati, espliċiti u leġittimi, filwaqt li l-qorti tar-rinviju ppreċiżat barra minn hekk li l-ġbir ta’ din id-data twettaq għall-finijiet tal-konklużjoni u tal-eżekuzzjoni minn Digi ta’ kuntratti ta’ abbonament mal-klijenti tagħha, skont l-Artikolu 6(1)(b) tar-Regolament 2016/679.

29

F’dak li jirrigwarda, it-tieni, ir-rekwiżit li d-data personali ma għandhiex tkun is-suġġett ta’ pproċessar ulterjuri li jkun inkompatibbli ma’ dawn l-iskopijiet, għandu jiġi rrilevat, minn naħa, li r-reġistrazzjoni u l-ħżin, mill-kontrollur, f’database ġdida maħluqa, ta’ data personali maħżuna f’database oħra tikkostitwixxi “ipproċessar ulterjuri” ta’ din id-data.

30

Fil-fatt, il-kunċett ta’ “ipproċessar” huwa ddefinit b’mod wiesa’ fl-Artikolu 4(2) tar-Regolament 2016/679 bħala li jkopri kull operazzjoni jew sett ta’ operazzjonijiet imwettqa jew le permezz ta’ proċessi awtomatizzati u applikati għal data jew għal settijiet ta’ data personali, bħal, b’mod partikolari, il-ġbir, ir-reġistrazzjoni u l-ħżin ta’ din id-data.

31

Barra minn hekk, konformement mat-tifsira normali tat-terminu “ulterjuri” fil-lingwaġġ ta’ kuljum, kull ipproċessar ta’ data personali li jseħħ wara l-ipproċessar inizjali kkostitwit mill-ġbir inizjali ta’ din id-data jikkostitwixxi pproċessar “ulterjuri” tal-imsemmija data, indipendentement mill-iskop ta’ dan l-ipproċessar ulterjuri.

32

Min-naħa l-oħra, għandu jiġi osservat li l-Artikolu 5(1)(b) tar-Regolament 2016/679 ma jinkludix indikazzjonijiet dwar il-kundizzjonijiet li fihom ipproċessar ulterjuri ta’ data personali tad-data jista’ jitqies bħala kompatibbli mal-iskopijiet tal-ġbir inizjali ta’ din id-data.

33

Madankollu, il-kuntest li tagħmel parti minnu din id-dispożizzjoni jipprovdi, fit-tieni lok, kjarifiki utli f’dan ir-rigward.

34

Fil-fatt, minn qari flimkien tal-Artikolu 5(1)(b), tal-Artikolu 6(1)(a) u tal-Artikolu 6(4) tar-Regolament 2016/679 jirriżulta li l-kwistjoni tal-kompatibbiltà tal-ipproċessar ulterjuri tad-data personali mal-iskopijiet li għalihom din id-data tkun inġabret inizjalment tqum biss fl-ipoteżi fejn l-iskopijiet tal-imsemmi pproċessar ulterjuri ma jkunux identiċi għall-iskopijiet tal-ġbir inizjali.

35

Barra minn hekk, minn dan l-Artikolu 6(4), moqri fid-dawl tal-premessa 50 tal-imsemmi regolament, jirriżulta li, meta l-ipproċessar għal skop differenti minn dak li għalih id-data tkun inġabret ma jkunx ibbażat fuq il-kunsens tal-persuna kkonċernata jew fuq id-dritt tal-Unjoni jew fuq id-dritt tal-Unjoni jew fuq id-dritt ta’ Stat Membru, hemm lok, sabiex jiġi ddeterminat jekk l-ipproċessar għal skop ieħor huwiex kompatibbli mal-għan li għalih id-data personali tkun inġabret inizjalment, li jittieħdu inkunsiderazzjoni, fost l-oħrajn, l-eżistenza eventwali ta’ rabta bejn l-iskopijiet li għalihom tkun inġabret id-data personali u l-iskopijiet tat-trattament ulterjuri previst; it-tieni, il-kuntest li fih inġabret id-data personali, b’mod partikolari fir-rigward tar-relazzjoni bejn il-persuni kkonċernati u l-kontrollur; it-tielet, in-natura tad-data personali; ir-raba’, il-konsegwenzi possibbli tal-ipproċessar ulterjuri previst għall-persuni kkonċernati, u fl-aħħar nett, il-ħames, l-eżistenza ta’ garanziji xierqa kemm fil-kuntest tal-ipproċessar inizjali kif ukoll tal-ipproċessar ulterjuri previst.

36

Kif l-Avukat Ġenerali osserva, essenzjalment, fil-punti 28, 59 u 60 tal-konklużjonijiet tiegħu, dawn il-kriterji jirriflettu n-neċessità ta’ rabta konkreta, loġika u suffiċjentement stretta bejn l-iskopijiet tal-ġbir inizjali tad-data personali u l-ipproċessar ulterjuri ta’ din id-data, u jippermettu li jiġi żgurat li dan l-ipproċessar ulterjuri ma jmurx kontra l-aspettattivi leġittimi tal-abbonati fir-rigward tal-użu ulterjuri tad-data tagħhom.

37

Dawn il-kriterji jippermettu, barra minn hekk, fit-tielet lok, kif enfasizza l-Avukat Ġenerali, essenzjalment, fil-punt 27 tal-konklużjonijiet tiegħu, li jiġi ddelimitat l-użu mill-ġdid ta’ data personali miġbura preċedentement billi jiġi żgurat ekwilibriju bejn, minn naħa, il-ħtieġa ta’ prevedibbiltà u ta’ ċertezza legali dwar l-iskopijiet tal-ipproċessar ta’ data personali miġbura preċedentement u, min-naħa l-oħra, ir-rikonoxximent ta’ ċerta flessibbiltà favur il-kontrollur fil-ġestjoni ta’ din id-data, u jikkontribwixxu għalhekk għat-twettiq tal-għan li jikkonsisti fil-garanzija ta’ livell koerenti u għoli ta’ protezzjoni tal-persuni fiżiċi, kif huwa stabbilit fil-premessa 10 tar-Regolament 2016/679.

38

Għalhekk, billi tieħu inkunsiderazzjoni l-kriterji msemmija fil-punt 35 ta’ din is-sentenza u fid-dawl taċ-ċirkustanzi kollha li jikkaratterizzaw il-każ ineżami, hija l-qorti nazzjonali li għandha tiddetermina kemm l-iskopijiet tal-ġbir inizjali tad-data personali kif ukoll dawk tal-ipproċessar ulterjuri ta’ din id-data u, fl-ipoteżi fejn l-iskopijiet ta’ dan l-ipproċessar ulterjuri jkunu differenti mill-iskopijiet ta’ dan il-ġbir, li tivverifika li l-ipproċessar ulterjuri tal-imsemmija data jkun kompatibbli mal-iskopijiet tal-imsemmi ġbir inizjali.

39

Madankollu, il-Qorti tal-Ġustizzja tista’, meta tiddeċiedi fuq rinviju għal deċiżjoni preliminari, tagħti kjarifiki intiżi sabiex jiggwidaw lill-qorti nazzjonali f’din id-determinazzjoni (ara, f’dan is-sens, is-sentenza tas‑7 ta’ April 2022, Fuhrmann‑2, C‑249/21, EU:C:2022:269, punt 32).

40

F’dan il-każ, l-ewwel nett, kif tfakkar fil-punt 13 ta’ din is-sentenza, mid-deċiżjoni tar-rinviju jirriżulta li d-data personali nġabret inizjalment minn Digi, kontrollur tal-ipproċessar, għall-finijiet tal-konklużjoni u tal-eżekuzzjoni ta’ kuntratti ta’ abbonament mal-klijenti tagħha li huma individwi.

41

It-tieni, il-partijiet fil-kawża prinċipali ma jaqblux dwar l-iskop speċifiku tar-reġistrazzjoni u tal-ħżin, minn Digi, fid-database għall-ittestjar, tad-data personali inkwistjoni. Fil-fatt, filwaqt li Digi ssostni li l-ħolqien tad-database għall-ittestjar kellu bħala għan speċifiku li jiggarantixxi l-aċċess għad-data tal-abbonati sakemm l-iżbalji jiġu kkoreġuti, b’tali mod li dan l-iskop ikun identiku għall-iskopijiet segwiti mill-ġbir inizjali ta’ din id-data, l-Awtorità ssostni li l-iskop speċifiku tal-ipproċessar ulterjuri kien distint minn dawn l-iskopijiet, peress li dan kien jikkonsisti fit-twettiq ta’ testijiet u fil-korrezzjoni ta’ żbalji.

42

F’dan ir-rigward, għandu jitfakkar li mill-ġurisprudenza ċċitata fil-punt 19 ta’ din is-sentenza jirriżulta li, fil-kuntest tal-proċedura msemmija fl-Artikolu 267 TFUE, ibbażata fuq separazzjoni ċara tal-funzjonijiet bejn il-qrati nazzjonali u l-Qorti tal-Ġustizzja, hija biss il-qorti nazzjonali li għandha ġurisdizzjoni sabiex tinterpreta u tapplika dispożizzjonijiet tad-dritt nazzjonali, filwaqt li l-Qorti tal-Ġustizzja hija awtorizzata biss sabiex tiddeċiedi dwar l-interpretazzjoni jew il-validità ta’ test tal-Unjoni, abbażi tal-fatti li huma indikati lilha mill-qorti nazzjonali.

43

Issa, mid-deċiżjoni tar-rinviju jirriżulta li d-database għall-ittestjar inħolqot minn Digi sabiex tkun tista’ twettaq testijiet u tikkoreġi żbalji, b’tali mod li huwa fid-dawl ta’ dawn l-iskopijiet li l-qorti tar-rinviju għandha tevalwa l-kompatibbiltà tal-ipproċessar ulterjuri mal-iskopijiet tal-ġbir inizjali, li jikkonsistu fil-konklużjoni u fl-eżekuzzjoni ta’ kuntratti ta’ abbonament.

44

It-tielet, fir-rigward ta’ din l-evalwazzjoni, għandu jiġi rrilevat li t-twettiq ta’ testijiet u l-korrezzjoni ta’ żbalji li jaffettwaw id-database tal-abbonati għandhom rabta konkreta mal-eżekuzzjoni tal-kuntratti ta’ abbonament ta’ klijenti li huma individwi, sa fejn tali żbalji jistgħu jkunu dannużi għall-provvista tas-servizz kuntrattwalment previst, u li għalih id-data nġabret inizjalment. Fil-fatt, kif irrileva l-Avukat Ġenerali fil-punt 60 tal-konklużjonijiet tiegħu, tali pproċessar ma jitbiegħedx mill-aspettattivi leġittimi ta’ dawn il-klijenti fir-rigward tal-użu ulterjuri tad-data personali tagħhom. Mill-bqija, mid-deċiżjoni tar-rinviju ma jirriżultax li din id-data kollha jew parti minnha kienet sensittiva jew li l-ipproċessar ulterjuri inkwistjoni tagħha, bħala tali, kellu konsegwenzi dannużi għall-abbonati jew ma kienx akkumpanjat minn garanziji xierqa, u dan għandu, fi kwalunkwe każ, jiġi vverifikat mill-qorti tar-rinviju.

45

Minn dak kollu li ntqal hawn fuq jirriżulta li r-risposta għall-ewwel domanda għandha tkun li l-Artikolu 5(1)(b) tar-Regolament 2016/679 għandu jiġi interpretat fis-sens li l-prinċipju tal-“limitazzjoni tal-iskopijiet”, previst f’din id-dispożizzjoni, ma jipprekludix ir-reġistrazzjoni u l-ħżin mill-kontrollur, f’database maħluqa għall-finijiet tat-twettiq ta’ testijiet u ta’ korrezzjoni ta’ żbalji, ta’ data personali miġbura preċedentement u maħżuna f’database oħra, meta tali pproċessar ulterjuri jkun kompatibbli mal-iskopijiet speċifiċi li għalihom id-data personali kienet inizjalment inġabret, u dan għandu jiġi stabbilit fid-dawl tal-kriterji msemmija fl-Artikolu 6(4) ta’ dan ir-regolament.

46

Preliminarjament, għandu jiġi rrilevat li t-tieni domanda tal-qorti tar-rinviju, li tirrigwarda l-konformità mal-prinċipju tal-“limitazzjoni tal-ħżin”, li jinsab fl-Artikolu 5(1)(e) tar-Regolament 2016/679, tal-ħżin minn Digi, fid-database għall-ittestjar, ta’ data personali tal-klijenti tiegħu, hija magħmula minn din il-qorti biss fil-każ ta’ risposta fl-affermattiv għall-ewwel domanda kif ifformulata mill-ġdid, jiġifieri fl-ipoteżi li dan il-ħżin ma jkunx kompatibbli mal-prinċipju ta’ “limitazzjoni tal-iskopijiet”, previst fl-Artikolu 5(1)(b) ta’ dan ir-regolament.

47

Madankollu, minn naħa, kif irrileva l-Avukat Ġenerali fil-punt 24 tal-konklużjonijiet tiegħu, il-prinċipji dwar l-ipproċessar ta’ data personali stabbiliti fl-Artikolu 5 tar-Regolament 2016/679 huma applikabbli b’mod kumulattiv. Għaldaqstant, il-ħżin ta’ data personali għandu josserva mhux biss il-prinċipju ta’ “limitazzjoni tal-iskopijiet” iżda wkoll dak tal-“limitazzjoni tal-ħżin”.

48

Min-naħa l-oħra, għandu jitfakkar li, kif jirriżulta mill-premessa 10 tar-Regolament 2016/679, dan huwa intiż b’mod partikolari sabiex jiżgura livell għoli ta’ protezzjoni tal-persuni fiżiċi fi ħdan l-Unjoni u, għal dan il-għan, li jiżgura applikazzjoni koerenti u omoġenja tar-regoli ta’ protezzjoni tal-libertajiet u tad-drittijiet fundamentali ta’ dawn il-persuni fir-rigward tal-ipproċessar tad-data personali fl-Unjoni kollha.

49

Għal dan il-għan, il-Kapitoli II u III ta’ dan ir-regolament jistabbilixxu, rispettivament, il-prinċipji li jirregolaw l-ipproċessar tad-data personali kif ukoll id-drittijiet tal-persuna kkonċernata li għandhom jiġu osservati minn kull ipproċessar ta’ data personali. B’mod partikolari, kull ipproċessar ta’ data personali għandu, minn naħa, ikun konformi mal-prinċipji dwar l-ipproċessar tad-data stabbiliti fl-Artikolu 5 tal-imsemmi regolament u, min-naħa l-oħra, fid-dawl b’mod partikolari tal-prinċipju tal-legalità tal-ipproċessar, previst fil-paragrafu 1(a) ta’ dan l-artikolu, jissodisfa waħda mill-kundizzjonijiet ta’ legalità tal-ipproċessar elenkati fl-Artikolu 6 tal-istess regolament (ara, f’dan is-sens, is-sentenzi tat‑22 ta’ Ġunju 2021, Latvijas Republikas Saeima (Punti ta’ penalità), C‑439/19, EU:C:2021:504, punt 96, u tal‑24 ta’ Frar 2022, Valsts ieņēmumu dienests (Ipproċessar tad-data personali għal finijiet ta’ taxxa), C‑175/20, EU:C:2022:124, punt 50).

50

Fid-dawl ta’ dawn il-kunsiderazzjonijiet, anki jekk, formalment, il-qorti tar-rinviju għamlet it-tieni domanda biss fil-każ ta’ risposta fl-affermattiv għall-ewwel domanda kif ifformulata mill-ġdid, tali ċirkustanza ma tipprekludix lill-Qorti tal-Ġustizzja milli tipprovdilha l-elementi kollha ta’ interpretazzjoni tad-dritt tal-Unjoni li jistgħu jkunu utli għall-evalwazzjoni tal-kawża li biha hija adita (ara, f’dan is-sens, is-sentenza tas‑17 ta’ Marzu 2022, Daimler, C‑232/20, EU:C:2022:196, punt 49) u, għaldaqstant, milli tirrispondi għal din it-tieni domanda.

51

F’dawn iċ-ċirkustanzi, għandu jitqies li, permezz ta’ din id-domanda, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 5(1)(e) tar-Regolament 2016/679 għandux jiġi interpretat fis-sens li l-prinċipju tal-“limitazzjoni tal-ħżin”, previst f’din id-dispożizzjoni, jipprekludi l-ħżin mill-kontrollur, f’database maħluqa għall-finijiet tat-twettiq ta’ testijiet u sabiex jiġu kkoreġuti żbalji, ta’ data personali miġbura preċedentement għal skopijiet oħra, għal perijodu li jeċċedi dak li huwa neċessarju għat-twettiq ta’ dawn it-testijiet u għall-korrezjoni ta’ dawn l-iżbalji.

52

Fl-ewwel lok, għandu jiġi osservat li, skont l-Artikolu 5(1)(e) tar-Regolament 2016/679, id-data għandha tinħażen f’forma li tippermetti l-identifikazzjoni tal-persuni kkonċernati għal perijodu li ma jeċċedix dak li huwa neċessarju għat-twettiq tal-iskopijiet li għalihom id-data personali tiġi pproċessata;

53

Għalhekk mill-formulazzjoni ta’ dan l-artikolu jirriżulta mingħajr ambigwità li l-prinċipju tal-“limitazzjoni tal-ħżin” jirrikjedi li l-kontrollur ikun f’pożizzjoni li juri, konformement mal-prinċipju ta’ responsabbiltà mfakkar fil-punt 24 ta’ din is-sentenza, li d-data personali tinħażen biss matul il-perijodu neċessarju għat-twettiq tal-għanijiet li għalihom tkun inġabret jew li għalihom tkun ġiet ipproċessata ulterjorment.

54

Minn dan jirriżulta li anki pproċessar inizjalment legali ta’ data jista’ jsir, biż-żmien, inkompatibbli mar-Regolament 2016/679 meta din id-data ma tkunx għadha neċessarja għat-twettiq ta’ tali skopijiet (is-sentenza tal‑24 ta’ Settembru 2019, GC et (Tneħħija tar-riferiment ta’ data sensittiva)), C-136/17, EU:C:2019:773, punt 74) u li d-data għandha titħassar meta l-imsemmija skopijiet jitwettqu (ara, f’dan is-sens, is-sentenza tas‑7 ta’ Mejju 2009, Rijkeboer, C‑553/07, EU:C:2009:293, punt 33).

55

Din l-interpretazzjoni hija konformi, fit-tieni lok, mal-kuntest li fih jinsab l-Artikolu 5(1) (e) tar-Regolament 2016/679.

56

F’dan ir-rigward, fil-punt 49 ta’ din is-sentenza tfakkar li kull ipproċessar ta’ data personali għandu jkun konformi mal-prinċipji dwar l-ipproċessar tad-data msemmija fl-Artikolu 5 tal-imsemmi regolament u għandu jissodisfa waħda mill-kundizzjonijiet dwar il-legalità tal-ipproċessar elenkati fl-Artikolu 6 tal-istess regolament.

57

Issa, minn naħa, kif jirriżulta mill-Artikolu 6, meta l-persuna kkonċernata ma tkunx tat il-kunsens għall-ipproċessar tad-data personali tagħha għal skop speċifiku wieħed jew iktar, konformement mal-Artikolu 6(1)(a) tar-Regolament 2016/679, l-ipproċessar għandu, kif jirriżulta mill-punti (b) sa (f) tal-imsemmi paragrafu, jissodisfa rekwiżit ta’ neċessità.

58

Min-naħa l-oħra, tali rekwiżit ta’ neċessità jirriżulta wkoll mill-prinċipju ta’ “minimizzazzjoni tad-data”, previst fl-Artikolu 5(1)(c) ta’ dan ir-regolament, li skontu d-data personali għandha tkun adegwata, rilevanti u limitata għal dak li huwa neċessarju fir-rigward tal-iskopijiet li għalihom hija pproċessata.

59

Tali interpretazzjoni hija, fit-tielet lok, konformi mal-għan segwit mill-Artikolu 5(1)(e) tar-Regolament 2016/679, li, kif tfakkar fil-punt 48 ta’ din is-sentenza, jikkonsisti b’mod partikolari f’li jiġi żgurat livell għoli ta’ protezzjoni tal-persuni fiżiċi fi ħdan l-Unjoni fir-rigward tal-ipproċessar ta’ data personali.

60

F’dan il-każ, Digi sostniet li kien bi żball li d-data personali ta’ parti mill-klijenti privati tagħha maħżuna fid-database għall-ittestjar ma tħassritx, wara li saru t-testijiet u l-korrezzjoni tal-iżbalji.

61

F’dan ir-rigward, huwa biżżejjed li jiġi rrilevat li dan l-argument huwa irrilevanti għall-finijiet tal-evalwazzjoni ta’ jekk data nħażnitx għal perijodu li jeċċedi dak li kien neċessarju għat-twettiq tal-iskopijiet li għalihom ġiet ipproċessata ulterjorment, bi ksur tal-prinċipju tal-“limitazzjoni tal-ħżin”, previst fl-Artikolu 5(1)(e) tar-Regolament 2016/679.

62

Fid-dawl ta’ dak kollu li ntqal hawn fuq, ir-risposta għat-tieni domanda għandha tkun li l-Artikolu 5(1) (e) tar-Regolament 2016/679 għandu jiġi interpretat fis-sens li l-prinċipju tal-“limitazzjoni tal-ħżin”, previst f’din id-dispożizzjoni, jipprekludi l-ħżin mill-kontrollur, f’database maħluqa għall-finijiet tat-twettiq ta’ testijiet u ta’ korrezzjoni ta’ żbalji, ta’ data personali miġbura preċedentement għal skopijiet oħra, għal perijodu li jeċċedi dak li huwa neċessarju għat-twettiq ta’ dawn it-testijiet u għall-korrezzjoni ta’ dawn l-iżbalji.

63

Peress li l-proċedura għandha, fir-rigward tal-partijiet fil-kawża prinċipali, in-natura ta’ kwistjoni mqajma quddiem il-qorti tar-rinviju, hija din il-qorti li tiddeċiedi fuq l-ispejjeż. L-ispejjeż sostnuti għas-sottomissjoni tal-osservazzjonijiet lill-Qorti tal-Ġustizzja, barra dawk tal-imsemmija partijiet, ma jistgħux jitħallsu lura.

Għal dawn il-motivi, Il-Qorti tal-Ġustizzja (L-Ewwel Awla) taqta’ u tiddeċiedi: