Talba għal deċiżjoni preliminari mressqa mill-Cour d’appel de Bruxelles (il-Belġju) fl-10 ta’ Diċembru 2025 – État belge vs Autorité de protection des données

(Kawża C-804/25, Autorité de protection des données)

(C/2026/2199)

Lingwa tal-kawża: il-Franċiż

Qorti tar-rinviju

Cour d’appel de Bruxelles

Partijiet fil-kawża prinċipali

Rikorrent: État belge

Konvenut: Autorité de protection des données

Partijiet oħra fil-proċedura: JC, Accidental Americans Association of Belgium (AAAB)

Domandi preliminari

Fid-dawl tal-Artikolu 96 tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas-27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (1) (iktar ’il quddiem il-“GDPR”), ftehim internazzjonali konkluż minn Stat Membru qabel l-24 ta’ Mejju 2016 li jinvolvi t-trasferiment ta’ data personali lejn pajjiż terz josserva d-dritt tal-Unjoni kif kien applikabbli qabel l-24 ta’ Mejju 2016, u b’mod iktar speċifiku l-Artikoli 6(1)(b), (ċ) u (e) tad-Direttiva tal-Parlament Ewropew u tal-Kunsill 95/46/KE tal-24 ta’ Ottubru 1995 dwar il-protezzjoni ta’ individwi fir-rigward ta’ l-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ dik id-data (2), moqrija jekk ikun il-każ flimkien mal-Artikoli 7, 8 u 52 tal-Karta tad-Drittijiet Fundamentali, sa fejn dan il-ftehim jipprevedi, għal finijiet ta’ taxxa u sabiex tiġi żgurata l-osservanza tar-regoli fiskali internazzjonali u l-implimentazzjoni tal-obbligi li jirriżultaw mill-Foreign Account Tax Compliance Act (il-Liġi Amerikana dwar il-Konformità Fiskali tal-Kontijiet Barranin) (FATCA) intiża għall-ġlieda kontra l-evitar tat-taxxa taċ-ċittadini Amerikani, it-trasferiment awtomatiku b’osservanza tar-regoli ta’ kunfidenzjalità lejn dan il-pajjiż terz ta’ informazzjoni dwar il-kontijiet finanzjarji taċ-ċittadini kollha ta’ dan l-Istat (informazzjoni li, fil-prattika, tinkludi, b’mod partikolari, l-isem, l-indirizz, in-Numru ta’ Identifikazzjoni tat-Taxxa (NIT) mogħti lid-detentur ta’ kont mill-Istat ta’ residenza tiegħu, id-data tat-twelid, in-numru tal-kont, il-bilanċ jew il-valur fil-kont fi tmiem is-sena kalendarja kkonċernata jew fi tmiem perijodu ta’ riferiment xieraq ieħor, ċerta data fil-każ ta’ kont ta’ titoli, ta’ kont ta’ depożitu jew ta’ tip ieħor ta’ kont) mingħajr għażla minn qabel ta’ kontijiet li jippreżentaw riskju ta’ evitar tat-taxxa, mingħajr limitazzjoni ratione temporis taż-żamma tad-data prevista f’dan il-ftehim u fejn il-limitu ta’ USD 50 000 previst fl-Anness I huwa suġġett għar-rieda tajba tal-istituzzjonijiet finanzjarji?

2)	Tali ftehim jista’ jiġi ġġustifikat abbażi tal-Artikolu 26(1)(d) tad-Direttiva 95/46 iċċitata iktar ’il fuq jekk l-Istat terz ikkonċernat ma jiggarantixxix reċiproċità effettiva?

L-Artikolu 26(2) tad-Direttiva 95/46 iċċitata iktar ’il fuq, moqri flimkien mal-Artikoli 7, 8 u 52 tal-Karta tad-Drittijiet Fundamentali, għandu jiġi interpretat fis-sens li l-garanziji suffiċjenti previsti minn din id-dispożizzjoni:

—	jirrigwardaw b’mod partikolari l-indikazzjoni tal-perijodu ta’ żamma tad-data fis-sens tal-Artikolu 6(l)(e) tad-Direttiva u d-drittijiet għall-informazzjoni msemmija fl-Artikoli 10 u 11 tagħha?

—	jinkludu d-definizzjoni tal-portata tal-limitazzjoni tad-dritt għar-rispett tal-ħajja privata u tad-dritt għall-protezzjoni tad-data personali?

—	għandhom, fil-każ ta’ ftehim li jipprevedi t-trasferiment ta’ data personali, jiġu inklużi espliċitament f’din il-konvenzjoni?

Fil-każ ta’ risposta fl-affermattiv għal din it-tielet domanda kollha kemm hi jew għal parti minnha, fid-dawl tal-Artikolu 96 tal-GDPR, ftehim internazzjonali konkluż minn Stat Membru qabel l-24 ta’ Mejju 2016 li jinvolvi t-trasferiment ta’ data personali lejn pajjiż terz josserva d-dritt tal-Unjoni kif kien applikabbli qabel l-24 ta’ Mejju 2016, u b’mod iktar speċifiku l-Artikolu 26(2) tad-Direttiva 95/46 iċċitata iktar ’il fuq, moqri jekk ikun il-każ flimkien mal-Artikoli 7, 8 u 52 tal-Karta tad-Drittijiet Fundamentali jekk dan ma jipprevedix espliċitament il-garanziji suffiċjenti previsti minn din id-dispożizzjoni?

Fil-każ ta’ risposta fl-affermattiv għall-ewwel u/jew għat-tieni u/jew għar-raba’ domanda, it-trasferiment ta’ data personali mwettaq b’applikazzjoni ta’ dan il-ftehim internazzjonali għandu madankollu josserva, mill-24 ta’ Mejju 2018, id-dispożizzjonijiet tal-GDPR fir-rigward tal-kwistjonijiet li ma humiex speċifikament imsemmija jew esklużi minn dan il-ftehim, u b’mod partikolari l-Artikolu 5(2), u l-Artikoli 12,14, 24 u 35 tiegħu?

6)	L-oneru tal-prova tal-kundizzjonijiet stabbiliti fl-Artikolu 96 tal-GDPR jaqa’ fuq il-kontrollur tad-data?

L-Artikolu 96 tal-GDPR, meħud waħdu jew moqri flimkien mal-Artikolu 4(3) tat-Trattat dwar l-Unjoni Ewropea, mal-Artikolu 351 tat-Trattat dwar il-Funzjonament tal-Unjoni Ewropea u mal-Artikoli 7, 8 u 52 tal-Karta tad-Drittijiet Fundamentali, għandu jiġi interpretat fis-sens li l-Istati Membri għandhom l-obbligu li jagħmlu l-aħjar sforzi tagħhom sabiex jemendaw, jissostitwixxu jew jirrevokaw it-trattati internazzjonali li għalihom huma partijiet li ma josservawx id-dispożizzjonijiet ta’ dan ir-regolament?

Stat Membru li, fl-2025, ma jkunx għamel l-aħjar sforzi tiegħu sabiex jemenda, jissostitwixxi jew jirrevoka trattat internazzjonali, li għalih huwa parti, li ma josservax id-dispożizzjonijiet tal-GDPR, jista’ jinvoka l-Artikolu 96 ta’ dan ir-regolament sabiex jiġġustifika aġir inkompatibbli ma’ dan ir-regolament?

Fil-każ ta’ risposta fin-negattiv għall-ewwel, għat-tieni jew għar-raba’ domanda:

a.	tali ftehim għandu jiġi eskluż ex officio mill-qorti nazzjonali?

b.	il-qorti nazzjonali għandha tivverifika l-konformità ta’ tali ftehim mal-GDPR?

Fil-każ ta’ risposta fin-negattiv għall-ewwel, għat-tieni jew għar-raba’ domanda u fil-każ ta’ risposta fl-affermattiv għall-punt (b) tat-tmien domanda, ftehim internazzjonali bħal dak deskritt fl-ewwel domanda josserva l-GDPR, u b’mod iktar speċifiku l-Artikoli 5(l)(b) u (c), moqrija jekk ikun il-każ flimkien mal-Artikoli 7, 8 u 52 tal-Karta tad-Drittijiet Fundamentali?

10)

Id-Deċiżjoni ta’ Implimentazzjoni tal-Kummissjoni (UE) 2023/1795 tal-10 ta’ Lulju 2023 skont ir-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill dwar il-livell adegwat ta’ protezzjoni ta’ data personali taħt l-ambitu tal-Qafas dwar il-Privatezza tad-Data UE-US (3) tikkostitwixxi deċiżjoni ta’ adegwatezza fis-sens tal-Artikolu 45(3) tal-GDPR f’dak li jirrigwarda t-trasferimenti ta’ data kontenzjuża, li jitwettqu għal finijiet ta’ taxxa?

11)

Fil-każ ta’ risposta fin-negattiv għall-ewwel, għat-tieni jew għar-raba’ domanda, u fil-każ ta’ risposta fl-affermattiv għall-punt (b) tat-tmien domanda, l-Artikolu 46 tal-GDPR għandu jiġi interpretat fis-sens li:

—

il-garanziji xierqa li għalihom dan jirreferi jinkludu l-garanziji kollha li ġejjin jew parti minnhom: (1) id-definizzjonijiet tal-kunċetti bażiċi (li jinkludi l-kunċetti li ġejjin: “data personali”, “ipproċessar ta’ data personali”, “kontrollur”, “proċessur”, “riċevitur” u “data sensittiva” (2), il-prinċipji bażiċi fil-qasam tal-protezzjoni tad-data (inklużi l-prinċipji ta’ “limitazzjoni tal-iskop”, ta’ “eżatezza u minimizzazzjoni” (jew proporzjonalità), ta’ limitazzjoni ratione temporis taż-żamma tad-data (3) id-drittijiet tas-suġġetti tad-data (b’mod partikolari d-dritt għall-informazzjoni; id-dritt ta’ aċċess, id-dritt ta’ rettifika, id-dritt għat-tħassir, id-dritt għar-restrizzjoni jew id-dritt ta’ oġġezzjoni, id-dritt li suġġett tad-data ma jkunx is-suġġett ta’ deċiżjoni individwali awtomatizzata fis-sens tal-Artikolu 22 tal-GDPR, kif ukoll il-modalitajiet ta’ eżerċizzju ta’ dawn id-drittijiet) (4) il-limitazzjoni tat-trasferiment ulterjuri u tat-tqassim tad-data (5) ir-rimedji ġudizzjarji effettivi, (6) il-mekkaniżmi ta’ kontroll u (7) il-prinċipju ta’ responsabbiltà?

—	dawn il-garanziji għandhom jiġu inklużi b’mod espliċitu fl-istrument legali vinkolanti msemmi fl-Artikolu 46(2)(a) tal-GDPR?

—	dan l-istrument legali vinkolanti huwa, meta jkun jeżisti trattat li jirregola t-trasferimenti ta’ data personali lejn pajjiżi terzi, biss dan it-trattat jew jista’ jinkludi l-istrument nazzjonali ta’ traspożizzjoni tiegħu?

12)

Fil-każ ta’ risposta fin-negattiv għall-ewwel, għat-tieni jew għar-raba’ domanda, u fil-każ ta’ risposta fl-affermattiv għall-punt (b) tat-tmien domanda:

l-Artikolu 49(1)(d) tal-GDPR għandu jiġi interpretat fis-sens li jippermetti jew li jipprojbixxi ftehim internazzjonali li jinvolvi t-trasferiment ta’ data personali lejn pajjiż terz, li jipprevedi, għal finijiet ta’ taxxa, it-trasferiment awtomatiku lejn dan il-pajjiż terz ta’ informazzjoni finanzjarja taċ-ċittadini kollha ta’ dan l-Istat (kif speċifikata fl-ewwel domanda)?

b.	il-livell ta’ reċiproċità tal-iskambji ta’ data huwa kriterju rilevanti sabiex tiġi ddeterminata r-risposta għal din id-domanda?

13)

Fil-każ ta’ risposta fin-negattiv għall-ewwel, għat-tieni jew għar-raba’ domanda, u fil-każ ta’ risposta fl-affermattiv għall-punt (b) tat-tmien domanda:

a.	l-“informazzjoni” koperta mill-eżenzjoni ta’ informazzjoni prevista fl-Artikolu 14(5)(a) tal-GDPR tista’ tkun ingħatat mill-kontrolluri li jkunu ġabru d-data direttament mingħand is-suġġett tad-data?

b.	f’dan il-każ, min għandu l-oneru li jipprova li l-informazzjoni ġiet ikkomunikata u dan, fid-dawl b’mod partikolari tal-Artikolu 5(1)(a) u (5)(2) tal-GDPR?

(1) ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2.

(2) ĠU 1995, L 281, p. 31, rettifika fil-ĠU 2018, L 127, p. 2.

(3) ĠU 2023, L 231, p. 118.