–

għal RW, minn R. Haupt, Rechtsanwalt,

–

għal Österreichische Post AG, minn R. Marko, Rechtsanwalt,

–

għall-Gvern Awstrijak, minn G. Kunnert, A. Posch u minn J. Schmoll, bħala aġenti,

–

għall-Gvern Ċek, minn M. Smolek u J. Vláčil, bħala aġenti,

–

għall-Gvern Taljan, minn G. Palmieri, bħala aġent, assistita minn M. Russo, avvocato dello Stato,

–

għall-Gvern Latvjan, minn J. Davidoviča, I. Hūna u K. Pommere, bħala aġenti,

–

għall-Gvern Rumen, minn L.-E. Baţagoi, E. Gane u A. Wellman, bħala aġenti,

–

għall-Gvern Svediż, minn H. Eklinder, J. Lundberg, C. Meyer-Seitz, A. M. Runeskjöld, M. Salborn Hodgson, R. Shahsavan Eriksson, H. Shev u O. Simonsson, bħala aġenti,

–

għall-Kummissjoni Ewropea, minn F. Erlbacher u H. Kranenborg, bħala aġenti,

1

It-talba għal deċiżjoni preliminari tirrigwarda l-interpretazzjoni tal-Artikolu 15(1)(c) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-“GDPR”).

2

Din it-talba tressqet fil-kuntest ta’ kawża bejn RW u Österreichische Post AG (iktar ’il quddiem l-“Österreichische Post”) dwar talba għal aċċess għal data personali skont l-Artikolu 15(1)(c) tal-GDPR.

3

Il-premessi 4, 9, 10, 39, 63 u 74 tal-GDPR huma redatti kif ġej:

[…]

[…]

[…]

[…]

4

L-Artikolu 1 tal-GDPR, intitolat “Suġġett u objettivi”, jipprovdi, fil-paragrafu 2 tiegħu:

“Dan ir-Regolament jipproteġi d-drittijiet u l-libertajiet fundamentali tal-persuni fiżiċi u b’mod partikolari d-dritt tagħhom għall-protezzjoni ta’ data personali.”

5

L-Artikolu 5 tal-GDPR, intitolat “Prinċipji relatati mal-ipproċessar ta’ data personali”, jipprovdi:

“1.   Id-data personali għandha:

[…]

2.   Il-kontrollur għandu jkun responsabbli għall-konformità mal-paragrafu 1 u jkun kapaċi juriha (‘responsabbiltà’).”

6

L-Artikolu 12 tal-GDPR, intitolat “Informazzjoni, komunikazzjoni u modalitajiet trasparenti għall-eżerċizzju tad-drittijiet tas-suġġett tad-data”, jipprovdi:

“1.   Il-kontrollur għandu jieħu miżuri adatti biex jipprovdi kwalunkwe informazzjoni msemmija fl-Artikoli 13 u 14 u kwalunkwe komunikazzjoni skont l-Artikoli 15 sa 22 u 34 relatata mal-ipproċessar lis-suġġett tad-data f’forma konċiża, trasparenti, intelliġibbli u faċilment aċċessibbli, bl-użu ta’ lingwaġġ ċar u sempliċi, b’mod partikolari għal kwalunkwe informazzjoni indirizzata speċifikament lil minorenni. L-informazzjoni għandha tiġi pprovduta bil-miktub, jew b’mezzi oħra, inkluż, fejn xieraq, b’mezzi elettroniċi. Meta tintalab mis-suġġett tad-data, l-informazzjoni tista’ tingħata bil-fomm dment li tingħata prova tal-identità tas-suġġett tad-data b’mezzi oħra.

2.   Il-kontrollur għandu jiffaċilita l-eżerċizzju tad-drittijiet tas-suġġett tad-data skont l-Artikoli 15 sa 22. Fil-każijiet imsemmija fl-Artikolu 11([2]), il-kontrollur ma għandux jirrifjuta li jieħu azzjoni fuq it-talba tas-suġġett tad-data biex jeżerċita d-drittijiet tiegħu skont l-Artikoli 15 sa 22, ħlief jekk il-kontrollur juri li huwa ma jkunx f’pożizzjoni li jidentifika s-suġġett tad-data.

[…]

5.   L-informazzjoni pprovduta skont l-Artikoli 13 u 14 u kwalunkwe komunikazzjoni u kwalunkwe azzjoni skont l-Artikoli 15 sa 22 u 34 għandhom jingħataw mingħajr ħlas. Fejn it-talbiet minn suġġett tad-data jkunu manifestament bla bażi jew eċċessivi, b’mod partikolari minħabba n-natura ripetittiva tagħhom, il-kontrollur jista’ jew:

Il-kontrollur għandu jerfa’ r-responsabbiltà li juri n-natura manifestament mingħajr bażi jew eċċessiva tat-talba.

[…]”

7

L-Artikolu 13 tal-GDPR, intitolat “Informazzjoni li għandha tiġi pprovduta fejn tinġabar data personali mis-suġġett tad-data”, jipprevedi fil-paragrafu 1 tiegħu:

“Fejn data personali relatata ma’ suġġett tad-data tinġabar mingħand is-suġġett tad-data, il-kontrollur għandu, fil-ħin li tinkiseb id-data personali, jipprovdi l-informazzjoni kollha li ġejja lis-suġġett tad-data:

[…]

[…]”

8

L-Artikolu 14 tal-GDPR, intitolat “Informazzjoni li għandha tiġi pprovduta fejn id-data personali ma tkunx inkisbet mis-suġġett tad-data”, jipprevedi fil-paragrafu 1 tiegħu:

“Fejn ma tkunx inkisbet data personali mis-suġġett tad-data, il-kontrollur għandu jipprovdi lis-suġġett tad-data l-informazzjoni li ġejja:

[…]

[…]”

9

Skont l-Artikolu 15 tal-GDPR, intitolat “Dritt ta’ aċċess mis-suġġett tad-data”:

“1.   Is-suġġett tad-data għandu d-dritt li jikseb mingħand il-kontrollur konferma dwar jekk id-data personali li tikkonċerna lilu hijiex qiegħda tiġi proċessata jew le, u, fejn dan ikun il-każ, l-aċċess għad-data personali u l-informazzjoni li ġejja:

2.   Fejn id-data personali tkun trasferita lil pajjiż terz jew lil organizzazzjoni internazzjonali, is-suġġett tad-data għandu d-dritt li jiġi informat rigward is-salvagwardji adatti skont l-Artikolu 46 rigward it-trasferiment.

3.   Il-kontrollur għandu jipprovdi kopja tad-data personali li tkun qiegħda tiġi pproċessata. Għal aktar kopji mitluba mis-suġġett tad-data, il-kontrollur jista’ jimponi tariffa raġonevoli bbażata fuq l-ispejjeż amministrattivi. Fejn is-suġġett tad-data jagħmel it-talba b’mezzi elettroniċi, u sakemm ma jkunx mitlub mod ieħor mis-suġġett tad-data, l-informazzjoni għandha tiġi pprovduta f’forma elettronika użata b’mod komuni.

4.   Id-dritt li tinkiseb kopja msemmija fil-paragrafu 3 ma għandux jaffettwa b’mod negattiv id-drittijiet u l-libertajiet ta’ oħrajn.”

10

L-Artikolu 16 tal-GDPR, intitolat “Dritt għar-rettifika”, jipprovdi:

“Is-suġġett tad-data għandu d-dritt li jikseb mingħand il-kontrollur mingħajr dewmien żejjed ir-rettifika ta’ data personali li tikkonċerna lilu li ma tkunx eżatta. B’kont meħud tal-għanijiet tal-ipproċessar, is-suġġett tad-data għandu d-dritt li jikseb il-kompletezza tad-data personali mhux kompluta, inkluż billi jipprovdi dikjarazzjoni supplimentari.”

11

Skont l-Artikolu 17 tal-GDPR, intitolat “Dritt għal tħassir (‘dritt li wieħed jintesa’)”:

“1.   Is-suġġett tad-data għandu d-dritt li jikseb mingħand il-kontrollur it-tħassir ta’ data personali dwaru mingħajr dewmien żejjed u l-kontrollur għandu l-obbligu li jħassar data personali mingħajr dewmien żejjed jekk tkun tapplika waħda minn dawn ir-raġunijiet li ġejjin:

2.   Fejn il-kontrollur ikun ippubblika d-data personali u jiġi obbligat skont il-paragrafu 1 li jħassar id-data personali, il-kontrollur, b’kont meħud tat-teknoloġija disponibbli u l-ispiża tal-implimentazzjoni, għandu jieħu passi raġonevoli, inklużi miżuri tekniċi, biex jinforma lill-kontrolluri li jkunu qegħdin jipproċessaw id-data personali, li s-suġġett tad-data talabhom iħassru kwalunkwe konnessjoni għal dik id-data personali, jew koppja jew replika tagħha.

[…]”

12

L-Artikolu 18 tal-GDPR, intitolat “Dritt għal restrizzjoni tal-ipproċessar”, jipprevedi fil-paragrafu 1 tiegħu:

“Is-suġġett tad-data għandu d-dritt li jikseb mingħand il-kontrollur ir-restrizzjoni tal-ipproċessar fejn tkun tapplika waħda minn dawn:

[…]”

13

L-Artikolu 19 tal-GDPR jipprovdi:

“Il-kontrollur għandu jikkomunika kwalunkwe rettifika jew tħassir ta’ data personali jew restrizzjoni tal-ipproċessar imwettqa f’konformità mal-Artikolu 16, l-Artikolu 17(1) u l-Artikolu 18 lil kull riċevitur li lilu tkun ġiet żvelata d-data personali, għajr jekk dan jirriżulta impossibbli jew ikun jinvolvi sforz sproporzjonat. Il-kontrollur għandu jinforma lis-suġġett tad-data dwar dawk ir-riċevituri jekk is-suġġett tad-data jitlob dan.”

14

Skont l-Artikolu 21 tal-GDPR, intitolat “Dritt ta’ oġġezzjoni”:

“1.   Is-suġġett tad-data għandu d-dritt li joġġezzjona, għal raġunijiet relatati mas-sitwazzjoni partikolari tiegħu, fi kwalunkwe mument għall-ipproċessar ta’ data personali li tikkonċerna lilu li hija bbażata fuq il-punt (e) jew (f) tal-Artikolu 6(1), inkluż it-tfassil ta’ profili abbażi ta’ dawk id-dispożizzjonijiet. Il-kontrollur ma għandux jibqa’ jipproċessa d-data personali sakemm il-kontrollur ma jagħtix raġunijiet leġittimi konvinċenti għall-ipproċessar li jegħlbu l-interessi, id-drittijiet u l-libertajiet tas-suġġett tad-data jew għall-istabbiliment, l-eżerċizzju jew id-difiża ta’ talbiet legali.

2.   Fejn tiġi pproċessata data personali għal għanijiet diretti ta’ kummerċjalizzazzjoni, is-suġġett tad-data għandu d-dritt li joġġezzjona fi kwalunkwe mument għall-ipproċessar tad-data personali li tikkonċernah għal tali kummerċjalizzazzjoni, li tinkludi t-tfassil tal-profili sa fejn huwa marbut ma’ tali kummerċjalizzazzjoni diretta.

3.   Fejn is-suġġett tad-data joġġezzjona għall-ipproċessar għal għanijiet ta’ kummerċjalizzazzjoni diretta, id-data personali ma għandhiex tibqa’ tiġi pproċessata għal tali għanijiet.

4.   Mhux aktar tard mill-mument tal-ewwel komunikazzjoni mas-suġġett tad-data, id-dritt imsemmi fil-paragrafi 1 u 2 għandu jinġieb għall-attenzjoni tas-suġġett tad-data b’mod espliċitu u għandu jiġi ppreżentat b’mod ċar u separatament minn kwalunkwe informazzjoni oħra.

5.   Fil-kuntest tal-użu ta’ servizzi tas-soċjetà tal-informazzjoni, u minkejja d-[Direttiva 2002/58/KE tal-Parlament Ewropew u tal-Kunsill tat-12 ta’ Lulju 2002 dwar l-ipproċessar tad-data personali u l-protezzjoni tal-privatezza fis-settur tal-komunikazzjoni elettronika (Direttiva dwar il-privatezza u l-komunikazzjoni elettronika) (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 13, Vol. 29, p. 514)], is-suġġett tad-data jista’ jeżerċita d-dritt tiegħu li joġġezzjona b’mezzi awtomatizzati bl-użu ta’ speċifikazzjonijiet tekniċi.

6.   Fejn tiġi pproċessata data personali għal finijiet ta’ riċerka xjentifika jew storika jew għal finijiet ta’ statistika skont l-Artikolu 89(1), is-suġġett tad-data, għal raġunijiet marbutin mas-sitwazzjoni partikolari tiegħu, għandu d-dritt li joġġezzjona għall-ipproċessar tad-data personali li tikkonċernah, sakemm l-ipproċessar ma jkunx neċessarju għall-prestazzjoni ta’ kompitu mwettaq għal raġunijiet ta’ interess pubbliku.”

15

L-Artikolu 79 tal-GDPR, intitolat “Dritt għal rimedju ġudizzjarju effettiv kontra kontrollur jew proċessur” jipprovdi fil-paragrafu 1 tiegħu:

“Mingħajr preġudizzju għal kwalunkwe rimedju amministrattiv jew mhux ġudizzjarju disponibbli, inkluż id-dritt li jitressaq ilment quddiem awtorità superviżorja skont l-Artikolu 77, kull suġġett tad-data għandu d-dritt għal rimedju ġudizzjarju effettiv fejn jikkunsidra li nkisru d-drittijiet tiegħu taħt dan ir-Regolament b’riżultat tal-ipproċessar tad-data personali tiegħu b’nuqqas ta’ konformità ma’ dan ir-Regolament.

[…]”

16

L-Artikolu 82 tal-GDPR, intitolat “Dritt għal kumpens u responsabbiltà”, jipprovdi fil-paragrafu 1 tiegħu:

“Kwalunkwe persuna li tkun ġarrbet xi dannu materjali jew mhux materjali b’riżultat ta’ ksur ta’ dan ir-Regolament għandu jkollha d-dritt li tirċievi kumpens mill-kontrollur jew il-proċessur għad-dannu mġarrab.”

17

Fil‑15 ta’ Jannar 2019, RW talab lill-Österreichische Post sabiex ikollu aċċess, skont l-Artikolu 15 tal-GDPR, għad-data personali li tikkonċernah li hija maħżuna mill-Österreichische Post jew li din tal-aħħar kienet żammet fil-passat, kif ukoll, fil-każ ta’ żvelar ta’ din id-data lil terzi, għall-identità tar-riċevituri ta’ dan l-iżvelar.

18

Fir-risposta tagħha għal din it-talba, l-Österreichische Post iddikjarat li hija tuża data, sa fejn hija awtorizzata mil-liġi, fil-kuntest tal-attività tagħha ta’ editriċi ta’ direttorji telefoniċi u li hija tipprovdi din id-data personali lil imsieħba kummerċjali għal finijiet ta’ reklamar. Barra minn hekk, hija rreferiet għal sit internet għal iktar informazzjoni u li tikkonċerna finijiet oħra ta’ pproċessar tad-data. Hija ma kkomunikatx lil RW l-identità tar-riċevituri konkreti tad-data.

19

RW ħarrek lill-Österreichische Post quddiem il-qrati Awstrijaċi fejn talab li din tal-aħħar tiġi ordnata tipprovdilu, b’mod partikolari, l-identità tar-riċevitur jew tar-riċevituri tad-data personali tiegħu kkomunikata b’dan il-mod.

20

Matul il-proċedura quddiem il-qorti adita, l-Österreichische Post informat lil RW li d-data personali tiegħu kienet ġiet ipproċessata għal finijiet ta’ reklamar u li din kienet ġiet trażmessa lil klijenti, fosthom impriżi li jirreklamaw li huma attivi fis-settur tal-bejgħ bil-korrispondenza u tal-kummerċ fiżiku, impriżi informatiċi, edituri ta’ indirizzi u assoċjazzjonijiet bħal organizzazzjonijiet tal-karità, organizzazzjonijiet mhux governattivi (NGO) jew partiti politiċi.

21

Il-qrati tal-ewwel istanza u tal-appell ċaħdu t-talba ta’ RW, billi qiesu essenzjalment li, peress li l-Artikolu 15(1)(c) tal-GDPR jagħmel riferiment għar-“riċevituri jew il-kategoriji ta’ riċevituri”, din id-dispożizzjoni tagħti lill-kontrollur il-possibbiltà li sempliċement jiżvela lis-suġġett tad-data l-kategoriji ta’ riċevituri, mingħajr ma jkollu jindika b’mod partikolari r-riċevituri speċifiċi li lilhom ġiet żvelata d-data personali tiegħu.

22

RW ressaq appell għal reviżjoni quddiem l-Oberster Gerichtshof (il-Qorti Suprema, l-Awstrija), il-qorti tar-rinviju.

23

Din il-qorti tistaqsi dwar l-interpretazzjoni tal-Artikolu 15(1)(c) tal-GDPR, sa fejn il-formulazzjoni ta’ din id-dispożizzjoni ma tippermettix li jsir magħruf kjarament jekk din tagħtix lis-suġġett tad-data d-dritt li jkollu aċċess għall-informazzjoni dwar ir-riċevituri konkreti tad-data kkomunikata jew jekk il-kontrollur għandux għażla diskrezzjonali fir-rigward tal-mod li bih huwa għandu l-intenzjoni li jagħti segwitu għal talba għal aċċess għall-informazzjoni dwar ir-riċevituri.

24

Madankollu, l-imsemmija qorti tosserva li r-ratio legis tal-imsemmija dispożizzjoni pjuttost jimmilita favur l-interpretazzjoni li tgħid li huwa s-suġġett tad-data li għandu l-għażla li jitlob informazzjoni dwar il-kategoriji ta’ riċevituri jew dwar ir-riċevituri konkreti tad-data personali tiegħu. Fil-fehma tagħha, kull interpretazzjoni kuntrarja tippreġudika serjament l-effettività tar-rimedji ġudizzjarji li għandu s-suġġett tad-data sabiex jipproteġi d-data tiegħu. Fil-fatt, fil-każ fejn il-persuni responsabbli jkollhom l-għażla li jindikaw lill-persuni kkonċernati r-riċevituri konkreti jew il-kategoriji ta’ riċevituri biss, ikun hemm il-biża’ li, fil-prattika, ebda wieħed minnhom ma jipprovdi l-informazzjoni dwar ir-riċevituri konkreti.

25

Barra minn hekk, kuntrarjament għall-Artikolu 13(1)(e) u għall-Artikolu 14(1)(e) tal-GDPR, li jipprevedu obbligu għall-kontrollur li jipprovdi l-informazzjoni msemmija fihom, l-Artikolu 15(1) ta’ dan ir-regolament jagħmel enfasi fuq il-portata tad-dritt ta’ aċċess tas-suġġett tad-data, li jindika wkoll, skont il-qorti tar-rinviju, li s-suġġett tad-data għandu d-dritt li jagħżel bejn talba għal informazzjoni dwar ir-riċevituri konkreti jew dwar il-kategoriji ta’ riċevituri.

26

Fl-aħħar nett, il-qorti tar-rinviju żżid li d-dritt ta’ aċċess previst fl-Artikolu 15(1) tal-GDPR jirrigwarda mhux biss id-data personali attwalment ipproċessata iżda wkoll id-data kollha pproċessata fil-passat. F’dan ir-rigward, din tippreċiża li l-kunsiderazzjonijiet li jinsabu fis-sentenza tas‑7 ta’ Mejju 2009, Rijkeboer (C‑553/07, EU:C:2009:293), ibbażati fuq l-għan tad-dritt ta’ aċċess stabbilit fid-Direttiva 95/46, jistgħu jiġu trasposti għad-dritt ta’ aċċess imsemmi fl-Artikolu 15 tal-GDPR, u dan iktar u iktar meta mill-premessi 9 u 10 tagħha jista’ jiġi dedott li l-leġiżlatur tal-Unjoni ma riedx inaqqas il-livell ta’ protezzjoni meta mqabbel ma’ din id-direttiva.

27

F’dawn iċ-ċirkustanzi, l-Oberster Gerichtshof (il-Qorti Suprema) iddeċidiet li tissospendi l-proċedura quddiemha u li tagħmel lill-Qorti tal-Ġustizzja d-domanda preliminari li ġejja:

“L-Artikolu 15(1)(c) ta[l-GDPR] għandu jiġi interpretat fis-sens li d-dritt ta’ aċċess huwa limitat għall-informazzjoni dwar kategoriji ta’ riċevituri, jekk ir-riċevituri konkreti ma jkunux għadhom ġew stabbiliti fil-każ ta’ żvelar previst, iżda fejn id-dritt ta’ aċċess għandu imperattivament jestendi għar-riċevituri ta’ dan l-iżvelar, meta d-data tkun diġà ġiet żvelata?”

28

Permezz tad-domanda preliminari tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 15(1)(c) tal-GDPR għandux jiġi interpretat fis-sens li d-dritt ta’ aċċess tas-suġġett tad-data għad-data personali li tikkonċernah, previst minn din id-dispożizzjoni, jimplikax, meta din id-data tkun ġiet ikkomunikata jew ser tiġi kkomunikata lil riċevituri, l-obbligu tal-kontrollur li jipprovdi lil dan is-suġġett l-identità konkreta ta’ dawn ir-riċevituri.

29

Qabel kollox, għandu jitfakkar li minn ġurisprudenza stabbilita jirriżulta li l-interpretazzjoni ta’ dispożizzjoni tad-dritt tal-Unjoni Ewropea teħtieġ li jittieħdu inkunsiderazzjoni mhux biss il-kliem tagħha, iżda wkoll il-kuntest tagħha kif ukoll l-għanijiet u l-finalità mfittxija mill-att li tagħmel parti minnu (sentenza tal‑15 ta’ Marzu 2022, Autorité des marchés financiers, C‑302/20, EU:C:2022:190, punt 63). Barra minn hekk, meta dispożizzjoni tad-dritt tal-Unjoni tkun tista’ tingħata diversi interpretazzjonijiet, jeħtieġ li din tingħata dik li tkun ta’ natura li tissalvagwardja l-effett utli tagħha (sentenza tas‑7 ta’ Marzu 2018, Cristal Union, C‑31/17, EU:C:2018:168, punt 41 u l-ġurisprudenza ċċitata).

30

Fir-rigward, qabel kollox, tal-formulazzjoni tal-Artikolu 15(1)(c) tal-GDPR, għandu jitfakkar li din id-dispożizzjoni tistabbilixxi li s-suġġett tad-data għandu d-dritt li jikseb mingħand il-kontrollur il-konferma li d-data personali li tikkonċernah hija jew ma hijiex ipproċessata u, meta din tkun ipproċessata, l-aċċess għad-data personali kif ukoll l-informazzjoni dwar ir-riċevituri jew il-kategoriji ta’ riċevituri li lilhom tkun ġiet jew ser tiġi kkomunikata din id-data personali.

31

F’dan ir-rigward, għandu jiġi rrilevat li l-kliem “riċevituri” u “kategoriji ta’ riċevituri” li jinsabu f’din id-dispożizzjoni jintużaw suċċessivament, mingħajr ma jkun possibbli li tiġi dedotta ordni ta’ prijorità bejn wieħed u ieħor.

32

Għalhekk, għandu jiġi kkonstatat li l-formulazzjoni tal-Artikolu 15(1)(c) tal-GDPR ma tippermettix li jiġi ddeterminat, b’mod inekwivoku, jekk is-suġġett tad-data għandux id-dritt li jiġi informat, meta d-data personali li tikkonċernah tkun ġiet ikkomunikata jew ser tkun ser tiġi kkomunikata, bl-identità konkreta tar-riċevituri tagħha.

33

Sussegwentement, fir-rigward tal-kuntest tal-Artikolu 15(1)(c) tal-GDPR, għandu jitfakkar, fl-ewwel lok, li l-premessa 63 ta’ dan ir-regolament tipprevedi li s-suġġett tad-data għandu jkollu d-dritt li jkun jaf u li tiġi kkomunikata lilu, b’mod partikolari, l-identità tar-riċevituri ta’ din id-data personali u ma tippreċiżax li dan id-dritt jista’ jiġi limitat biss għall-kategoriji ta’ riċevituri, kif irrileva l-Avukat Ġenerali fil-punt 23 tal-konklużjonijiet tiegħu.

34

Fit-tieni lok, għandu jitfakkar ukoll li, biex jiġi osservat id-dritt ta’ aċċess, kull ipproċessar tad-data personali ta’ persuni fiżiċi għandu josserva l-prinċipji stabbiliti fl-Artikolu 5 tal-GDPR (ara, f’dan is-sens, is-sentenza tas‑16 ta’ Jannar 2019, Deutsche Post, C‑496/17, EU:C:2019:26, punt 57).

35

Issa, fost dawn il-prinċipji hemm il-prinċipju ta’ trasparenza msemmi fl-Artikolu 5(1)(a) tal-GDPR, li jimplika, kif jirriżulta mill-premessa 39 ta’ dan ir-regolament, li s-suġġett tad-data għandu informazzjoni dwar kif id-data personali tiegħu hija pproċessata u li din l-informazzjoni tkun aċċessibbli u tinftiehem faċilment.

36

Fit-tielet lok, għandu jiġi rrilevat, kif enfasizza l-Avukat Ġenerali fil-punt 21 tal-konklużjonijiet tiegħu, li, b’differenza mill-Artikoli 13 u 14 tal-GDPR, li jistabbilixxu obbligu għall-kontrollur li jipprovdi lis-suġġett tad-data l-informazzjoni relatata mal-kategoriji ta’ riċevituri jew mar-riċevituri konkreti tad-data personali li tikkonċernaha meta din tal-aħħar tinġabar jew ma tinġabarx mingħand is-suġġett tad-data, l-Artikolu 15 tal-GDPR jipprevedi dritt ġenwin ta’ aċċess favur is-suġġett tad-data, b’tali mod li din tal-aħħar għandu jkollha l-għażla li tikseb jew l-informazzjoni dwar ir-riċevituri speċifiċi li lilhom ġiet jew ser tiġi kkomunikata d-data msemmija, meta dan ikun possibbli, jew l-informazzjoni dwar il-kategoriji ta’ riċevituri.

37

Fir-raba’ lok, il-Qorti tal-Ġustizzja diġà ddeċidiet li dan id-dritt ta’ aċċess għandu jippermetti lis-suġġett tad-data jivverifika mhux biss li d-data li tikkonċernah tkun korretta, iżda wkoll li din tkun ġiet ipproċessata legalment (ara, b’analoġija, is-sentenzi tas‑17 ta’ Lulju 2014, YS et, C‑141/12 u C‑372/12, EU:C:2014:2081, punt 44, kif ukoll tal‑20 ta’ Diċembru 2017, Nowak, C‑434/16, EU:C:2017:994, punt 57), b’mod partikolari li dawn ġew ikkomunikati lil riċevituri awtorizzati (ara, b’analoġija, is-sentenza tas‑7 ta’ Mejju 2009, Rijkeboer, C‑553/07, EU:C:2009:293, punt 49).

38

B’mod partikolari, dan id-dritt ta’ aċċess huwa neċessarju sabiex is-suġġett tad-data jkun jista’ jeżerċita, jekk ikun il-każ, id-dritt għal rettifika, id-dritt għal tħassir (id-“dritt li wieħed jintesa”) u d-dritt għal restrizzjoni tal-ipproċessar, mogħtija lilu, rispettivament, mill-Artikoli 16, 17 u 18 tal-GDPR. (ara, b’analoġija, is-sentenzi tas‑17 ta’ Lulju 2014, YS et, C‑141/12 u C‑372/12, EU:C:2014:2081, punt 44, kif ukoll tal‑20 ta’ Diċembru 2017, Nowak, C‑434/16, EU:C:2017:994, punt 57), kif ukoll id-dritt ta’ oppożizzjoni tiegħu għall-ipproċessar tad-data personali tiegħu, stabbilit fl-Artikolu 21 tal-GDPR, u d-dritt ta’ rikors tiegħu f’każ ta’ dannu mġarrab, stabbilit fl-Artikoli 79 u 82 tal-GDPR (ara, f’dan is-sens u b’analoġija, is-sentenza tas‑7 ta’ Mejju 2009, Rijkeboer, C‑553/07, EU:C:2009:293, punt 52).

39

B’hekk, sabiex tiżgura l-effett utli tad-drittijiet kollha msemmija fil-punt preċedenti ta’ din is-sentenza, is-suġġett tad-data għandu jkollu, b’mod partikolari, dritt li jiġi informat bl-identità tar-riċevituri konkreti fil-każ li d-data personali tiegħu tkun diġà ġiet ikkomunikata.

40

Tali interpretazzjoni hija kkonfermata, fil-ħames u l-aħħar lok, mill-qari tal-Artikolu 19 tal-GDPR li jipprevedi, fl-ewwel sentenza tiegħu, li l-kontrollur għandu jinnotifika, bħala prinċipju, lil kull riċevitur li lilu ġiet ikkomunikata d-data personali, kull rettifika jew kull tħassir ta’ data personali jew kull limitazzjoni fit-trattament u, fit-tieni sentenza tiegħu, li dan il-kontrollur għandu jipprovdi lis-suġġett tad-data informazzjoni dwar dawn ir-riċevituri jekk dan jagħmel talba f’dan is-sens.

41

Għalhekk, it-tieni sentenza tal-Artikolu 19 tal-GDPR tagħti espressament lis-suġġett tad-data d-dritt li jiġi informat bir-riċevituri konkreti tad-data li jikkonċernawh mill-kontrollur, fil-kuntest tal-obbligu li dan tal-aħħar għandu li jinforma lir-riċevituri kollha dwar l-eżerċizzju tad-drittijiet li dan is-suġġett għandu skont l-Artikolu 16, l-Artikolu 17(1) u l-Artikolu 18 tal-GDPR.

42

Mill-analiżi kuntestwali preċedenti jirriżulta li l-Artikolu 15(1)(c) tal-GDPR jikkostitwixxi waħda mid-dispożizzjonijiet intiżi biex tiġi ggarantita t-trasparenza tal-modalitajiet tal-ipproċessar tad-data personali fir-rigward tas-suġġett tad-data u jippermettilha, kif irrileva l-Avukat Ġenerali fil-punt 33 tal-konklużjonijiet tiegħu, teżerċita l-prerogattivi previsti b’mod partikolari fl-Artikoli 16 sa 19, 21, 79 u 82 tal-GDPR.

43

Għaldaqstant, għandu jitqies li l-informazzjoni pprovduta lis-suġġett tad-data abbażi tad-dritt ta’ aċċess previst fl-Artikolu 15(1)(c) tal-GDPR għandha tkun l-iktar eżatta possibbli. B’mod partikolari, dan id-dritt ta’ aċċess jimplika l-possibbiltà għas-suġġett tad-data li jikseb mingħand il-kontrollur l-informazzjoni dwar ir-riċevituri speċifiċi li lilhom tkun ġiet żvelata jew ser tiġi żvelata d-data jew, alternattivament, li jagħżel li jillimita ruħu li jitlob l-informazzjoni li tikkonċerna l-kategoriji ta’ riċevituri.

44

Fl-aħħar nett, fir-rigward tal-għan tal-GDPR, għandu jiġi rrilevat li dan ir-regolament huwa intiż, b’mod partikolari, kif jirriżulta mill-premessa 10 tiegħu, li jiżgura livell għoli ta’ protezzjoni tal-persuni fiżiċi fi ħdan l-Unjoni (sentenza tas-6 ta’ Ottubru 2020, La Quadrature du Net et, C‑511/18, C‑512/18 u C‑520/18, EU:C:2020:791, punt 207). F’dan ir-rigward, kif irrileva essenzjalment l-Avukat Ġenerali fil-punt 14 tal-konklużjonijiet tiegħu, il-qafas legali ġenerali maħluq mill-GDPR jimplimenta r-rekwiżiti li jirriżultaw mid-dritt fundamentali għall-protezzjoni tad-data personali protett mill-Artikolu 8 tal-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea, b’mod partikolari r-rekwiżiti espressament previsti fil-paragrafu 2 ta’ dan l-artikolu (ara, f’dan is-sens, is-sentenza tad‑9 ta’ Marzu 2017, Manni, C‑398/15, EU:C:2017:197, punt 40).

45

Għaldaqstant, dan l-għan jikkonferma l-interpretazzjoni tal-Artikolu 15(1) tal-GDPR li tinsab fil-punt 43 ta’ din is-sentenza.

46

Għaldaqstant, mill-għan tal-GDPR jirriżulta wkoll li s-suġġett tad-data għandu d-dritt li jikseb mingħand il-kontrollur informazzjoni dwar ir-riċevituri konkreti li lilhom ġiet ikkomunikata jew ser tiġi kkomunikata d-data personali li tikkonċernah.

47

Madankollu, fl-aħħar nett, għandu jiġi enfasizzat li, kif jirriżulta mill-premessa 4 tal-GDPR, id-dritt għall-protezzjoni tad-data personali ma huwiex dritt assolut. Fil-fatt, dan id-dritt għandu jitqies fid-dawl tal-funzjoni tiegħu fis-soċjetà u għandu jiġi bbilanċjat ma’ drittijiet fundamentali oħra, konformement mal-prinċipju ta’ proporzjonalità, kif affermat mill-ġdid il-Qorti tal-Ġustizzja, essenzjalment, fil-punt 172 tas-sentenza tas‑16 ta’ Lulju 2020, Facebook Ireland u Schrems (C‑311/18, EU:C:2020:559).

48

Għaldaqstant, jista’ jiġi aċċettat li, f’ċirkustanzi speċifiċi, ma jkunx possibbli li tiġi pprovduta informazzjoni dwar riċevituri konkreti. Għaldaqstant, id-dritt ta’ aċċess jista’ jkun limitat għall-informazzjoni dwar il-kategoriji ta’ riċevituri jekk ikun impossibbli li tiġi kkomunikata l-identità tar-riċevituri konkreti, b’mod partikolari meta dawn ikunu għadhom ma humiex magħrufa.

49

Barra minn hekk, għandu jitfakkar li, skont l-Artikolu 12(5)(b) tal-GDPR, il-kontrollur jista’, konformement mal-prinċipju ta’ responsabbiltà msemmi fl-Artikolu 5(2) ta’ dan ir-regolament kif ukoll fil-premessa 74 tiegħu, jirrifjuta li jilqa’ t-talbiet tas-suġġett tad-data meta dawn ikunu manifestament infondati jew eċċessivi, filwaqt li jiġi ppreċiżat li huwa dan l-istess kontrollur li għandu juri n-natura manifestament infondata jew eċċessiva tal-imsemmija talbiet.

50

F’dan il-każ, mit-talba għal deċiżjoni preliminari jirriżulta li l-Österreichische Post ċaħdet it-talba mressqa minn RW abbażi tal-Artikolu 15(1) tal-GDPR, intiża biex dan jipprovdilu l-identità tar-riċevituri li lilhom hija kienet ikkomunikata d-data personali li tikkonċernah. Hija l-qorti tar-rinviju li għandha tivverifika jekk, fid-dawl taċ-ċirkustanzi inkwistjoni fil-kawża prinċipali, l-Österreichische Post stabbilixxietx in-natura manifestament infondata jew eċċessiva ta’ din it-talba.

51

Fid-dawl tal-kunsiderazzjonijiet kollha preċedenti, ir-risposta għad-domanda preliminari għandha tkun li l-Artikolu 15(1)(c) tal-GDPR għandu jiġi interpretat fis-sens li d-dritt ta’ aċċess tas-suġġett tad-data għad-data personali li tikkonċernah, previst minn din id-dispożizzjoni, jimplika, meta din id-data tkun ġiet jew ser tiġi kkomunikata lil riċevituri, l-obbligu tal-kontrollur li jipprovdi lil dan is-suġġett l-identità stess ta’ dawn ir-riċevituri, sakemm ma jkunx impossibbli li dawn ir-riċevituri jiġu identifikati jew sakemm l-imsemmi kontrollur ma jurix li t-talbiet għal aċċess tas-suġġett tad-data huma manifestament infondati jew eċċessivi, fis-sens tal-Artikolu 12(5) tal-GDPR, f’liema każ dan jista’ jindika lil dan is-suġġett il-kategoriji tar-riċevituri inkwistjoni biss.

52

Peress li l-proċedura għandha, fir-rigward tal-partijiet fil-kawża prinċipali, in-natura ta’ kwistjoni mqajma quddiem il-qorti tar-rinviju, hija din il-qorti li tiddeċiedi fuq l-ispejjeż. L-ispejjeż sostnuti għas-sottomissjoni tal-osservazzjonijiet lill-Qorti tal-Ġustizzja, barra dawk tal-imsemmija partijiet, ma jistgħux jitħallsu lura.

Għal dawn il-motivi, Il-Qorti tal-Ġustizzja (L-Ewwel Awla) taqta’ u tiddeċiedi:

L-Artikolu 15(1)(c) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data),

għandu jiġi interpretat fis-sens li:

d-dritt ta’ aċċess tas-suġġett tad-data għad-data personali li tikkonċernah, previst minn din id-dispożizzjoni, jimplika, meta din id-data tkun ġiet jew ser tiġi kkomunikata lil riċevituri, l-obbligu tal-kontrollur li jipprovdi lil dan is-suġġett l-identità stess ta’ dawn ir-riċevituri, sakemm ma jkunx impossibbli li dawn ir-riċevituri jiġu identifikati jew sakemm l-imsemmi kontrollur ma jurix li t-talbiet għal aċċess tas-suġġett tad-data huma manifestament infondati jew eċċessivi, fis-sens tal-Artikolu 12(5) tar-Regolament 2016/679, f’liema każ dan jista’ jindika lil dan is-suġġett il-kategoriji tar-riċevituri inkwistjoni biss.