Sentenza tal-Qorti tal-Ġustizzja (L-Ewwel Awla) tas-7 ta’ Diċembru 2023 (talbiet għal deċiżjoni preliminari tal-Verwaltungsgericht Wiesbaden – il-Ġermanja) – UF (C-26/22), AB (C-64/22) vs Land Hessen

(Kawżi magħquda C-26/22 u C-64/22 (1), SCHUFA Holding (Rilaxx minn dejn li ma tħallasx lura))

(Rinviju għal deċiżjoni preliminari - Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali - Regolament (UE) 2016/679 - Artikolu 5(1)(a) - Prinċipju ta’ “legalità” - Il-punt (f) tal-ewwel subparagrafu tal-Artikolu 6(1) - Ħtieġa tal-ipproċessar għall-finijiet tal-interessi leġittimi mfittxija mill-kontrollur tad-data jew minn terz - Artikolu 17(1)(d) - Dritt għat-tħassir fil-każ ta’ pproċessar illegali ta’ data personali - Artikolu 40 - Kodiċijiet ta’ kondotta - Artikolu 78(1) - Dritt għal rimedju ġudizzjarju effettiv kontra awtorità ta’ superviżjoni - Deċiżjoni meħuda mill-awtorità ta’ superviżjoni dwar ilment - Portata tal-istħarriġ ġudizzjarju fuq din id-deċiżjoni - Kumpanniji li jipprovdu informazzjoni kummerċjali - Żamma ta’ data provenjenti minn reġistru pubbliku dwar ir-rilaxx minn dejn li ma tħallasx lura favur persuna - Tul taż-żamma)

(C/2024/917)

Lingwa tal-kawża: il-Ġermaniż

Qorti tar-rinviju

Verwaltungsgericht Wiesbaden

Partijiet fil-kawża prinċipali

Rikorrenti: UF (C-26/22), AB (C-64/22)

Konvenut: Land Hessen

fil-preżenza ta’: SCHUFA Holding AG

Dispożittiv

L-Artikolu 78(1) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas-27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il Protezzjoni tad-Data),

għandu jiġi interpretat fis-sens li:

deċiżjoni dwar ilment adottata minn awtorità ta’ superviżjoni hija suġġetta għal stħarriġ ġudizzjarju sħiħ.

L-Artikolu 5(1)(a) tar-Regolament 2016/679, moqri flimkien mal-punt (f) tal-ewwel subparagrafu tal-Artikolu 6(1) ta’ dan ir-regolament,

għandu jiġi interpretat fis-sens li:

jipprekludi prassi ta’ kumpanniji privati li jipprovdu informazzjoni kummerċjali li tikkonsisti fiż-żamma, fid-databases tagħhom stess, ta’ informazzjoni provenjenti minn reġistru pubbliku dwar l-għoti ta’ rilaxx minn dejn li ma tħallasx lura favur persuni fiżiċi sabiex ikunu jistgħu jipprovdu informazzjoni dwar is-solvenza ta’ dawn il-persuni, matul perijodu li jmur lil hinn minn dak li matulu d-data tinżamm fir-reġistru pubbliku.

L-Artikolu 17(1)(c) tar-Regolament 2016/679

għandu jiġi interpretat fis-sens li:

is-suġġett tad-data għandu d-dritt li jikseb mingħand il-kontrollur tad-data t-tħassir, mingħajr dewmien żejjed, tad-data personali li tikkonċernah meta huwa joġġezzjona għall-ipproċessar konformement mal-Artikolu 21(1) ta’ dan ir-regolament u ma jeżistux raġunijiet leġittimi imperattivi ta’ natura li jiġġustifikaw, eċċezzjonalment, l-ipproċessar inkwistjoni.

4)	L-Artikolu 17(1)(d) tar-Regolament 2016/679 għandu jiġi interpretat fis-sens li: il-kontrollur tad-data huwa obbligat iħassar, mingħajr dewmien żejjed, id-data personali li kienet is-suġġett ta’ pproċessar illegali.

(1) ĠU C 148, 4.4.2022.