(1)

Ir-Regolament (UE) 2016/679 jistabbilixxi r-regoli għat-trasferiment ta’ data personali minn kontrolluri jew minn proċessuri fl-Unjoni Ewropea għal pajjiżi terzi u għal organizzazzjonijiet internazzjonali sa fejn it-tali trasferimenti jaqgħu fil-kamp ta’ applikazzjoni tiegħu. Ir-regoli dwar it-trasferimenti internazzjonali tad-data huma stabbiliti fil-Kapitolu V ta’ dak ir-Regolament, jiġifieri fl-Artikoli 44 sa 50. Filwaqt li l-fluss ta’ data personali lejn u minn pajjiżi barra l-Unjoni Ewropea huwa essenzjali għall-espansjoni tal-kooperazzjoni internazzjonali u tal-kummerċ transfruntier, il-livell ta’ protezzjoni mogħti lid-data personali fl-Unjoni Ewropea ma jistax jiġi mminat minn trasferimenti lejn pajjiżi terzi (2).

(2)

Skont l-Artikolu 45(3) tar-Regolament (UE) 2016/679, il-Kummissjoni tista’ tiddeċiedi, permezz ta’ att ta’ implimentazzjoni, li pajjiż terz, territorju jew settur speċifikat wieħed jew aktar f’pajjiż terz jew f’organizzazzjoni internazzjonali jiżgura livell adegwat ta’ protezzjoni. Skont din il-kundizzjoni, it-trasferimenti ta’ data personali lejn pajjiż terz jistgħu jsiru mingħajr il-ħtieġa li tinkiseb xi awtorizzazzjoni ulterjuri, kif previst fl-Artikolu 45(1) u fil-premessa 103 ta’ dak ir-Regolament.

(3)

Kif speċifikat fl-Artikolu 45(2) tar-Regolament (UE) 2016/679, l-adozzjoni ta’ deċiżjoni ta’ adegwatezza trid tkun ibbażata fuq analiżi komprensiva tal-ordinament ġuridiku tal-pajjiż terz, li tkopri kemm ir-regoli applikabbli għall-importaturi tad-data kif ukoll il-limitazzjonijiet u s-salvagwardji fir-rigward tal-aċċess għal data personali mill-awtoritajiet pubbliċi. Fil-valutazzjoni tagħha, il-Kummissjoni trid tiddetermina jekk il-pajjiż terz inkwistjoni jiggarantixxix livell ta’ protezzjoni “essenzjalment ekwivalenti” għal dak żgurat fl-Unjoni Ewropea (il-premessa 104 tar-Regolament (UE) 2016/679). L-istandard li fid-dawl tiegħu tiġi vvalutata l-“ekwivalenza essenzjali” huwa dak stabbilit mil-leġiżlazzjoni tal-Unjoni Ewropea, b’mod partikolari r-Regolament (UE) 2016/679, kif ukoll mill-ġurisprudenza tal-Qorti tal-Ġustizzja tal-Unjoni Ewropea (3). Ir-referenzjali dwar l-adegwatezza tal-Bord Ewropew għall-Protezzjoni tad-Data (EDPB) huwa wkoll ta’ sinifikat f’dan ir-rigward (4).

(4)

Kif iċċarat mill-Qorti tal-Ġustizzja tal-Unjoni Ewropea, dan ma jeħtieġx li jinstab livell identiku ta’ protezzjoni (5). B’mod partikolari, il-mezzi li għalihom il-pajjiż terz inkwistjoni jkollu rikors għall-protezzjoni ta’ data personali jistgħu jvarjaw minn dawk imħaddma fl-Unjoni Ewropea, dment li juru bil-provi, fil-prattika, li jkunu effettivi fl-iżgurar ta’ livell adegwat ta’ protezzjoni (6). Għalhekk, l-istandard tal-adegwatezza ma jeħtieġx replikazzjoni minn punt għal punt tar-regoli tal-Unjoni. Minflok, it-test jinsab f’jekk, permezz tas-sustanza tad-drittijiet tal-protezzjoni tad-data u l-implimentazzjoni, is-superviżjoni u l-infurzar effettivi tagħhom, is-sistema barranija kollha kemm hi tipprovdix il-livell ta’ protezzjoni mitlub (7).

(5)

Il-Kummissjoni analizzat bir-reqqa l-liġi u l-prattika tar-Renju Unit. Fuq il-bażi tas-sejbiet żviluppati fil-premessi (8) sa (270), il-Kummissjoni tikkonkludi li r-Renju Unit jiżgura livell adegwat ta’ protezzjoni għad-data personali ttrasferita fi ħdan il-kamp ta’ applikazzjoni tar-Regolament (UE) 2016/679 mill-Unjoni Ewropea għar-Renju Unit.

(6)

Din il-konklużjoni ma tikkonċernax id-data personali trasferita għall-finijiet tal-kontroll tal-immigrazzjoni tar-Renju Unit jew li b’xi mod ieħor taqa’ fil-kamp ta’ applikazzjoni tal-eżenzjoni minn ċerti drittijiet tas-suġġetti tad-data għall-finijiet taż-żamma ta’ kontroll effettiv tal-immigrazzjoni (l-“eżenzjoni tal-immigrazzjoni”) skont il-paragrafu 4(1) tal-Iskeda 2 tal-Att tar-Renju Unit dwar il-Protezzjoni tad-Data. Il-validità u l-interpretazzjoni tal-eżenzjoni tal-immigrazzjoni skont il-liġi tar-Renju Unit mhumiex solvuti wara deċiżjoni tal-Qorti tal-Appell tal-Ingilterra u Wales tas-26 ta’ Mejju 2021. Filwaqt li tirrikonoxxi li d-drittijiet tas-suġġett tad-data jistgħu, fil-prinċipju, jiġu ristretti għal skopijiet ta’ kontroll tal-immigrazzjoni bħala “aspett importanti tal-interess pubbliku”, il-Qorti tal-Appell sabet li l-eżenzjoni tal-immigrazzjoni hija, fil-forma attwali tagħha, inkompatibbli mal-liġi tar-Renju Unit, peress li l-miżura leġiżlattiva ma għandhiex dispożizzjonijiet speċifiċi li jistabbilixxu s-salvagwardji elenkati fl-Artikolu 23(2) tar-Regolament Ġenerali tar-Renju Unit dwar il-Protezzjoni tad-Data (GDPR tar-Renju Unit ) (8). F’dawn il-kundizzjonijiet, it-trasferimenti ta’ data personali mill-Unjoni lejn ir-Renju Unit li għalihom tista’ tiġi applikata l-eżenzjoni tal-immigrazzjoni jenħtieġ li jiġu esklużi mill-kamp ta’ applikazzjoni ta’ din id-Deċiżjoni (9). Ladarba l-inkompatibbiltà mal-liġi tar-Renju Unit tiġi rimedjata, l-eżenzjoni tal-immigrazzjoni jenħtieġ li tiġi vvalutata mill-ġdid, kif ukoll il-ħtieġa li tinżamm il-limitazzjoni tal-kamp ta’ applikazzjoni ta’ din id-Deċiżjoni.

(7)

Din id-Deċiżjoni jenħtieġ li ma taffettwax l-applikazzjoni diretta tar-Regolament (UE) 2016/679 għal organizzazzjonijiet stabbiliti fir-Renju Unit fejn il-kundizzjonijiet rigward il-kamp ta’ applikazzjoni territorjali ta’ dak ir-Regolament, stabbiliti fl-Artikolu 3 tiegħu, huma ssodisfati.

(8)

Ir-Renju Unit huwa demokrazija Parlamentari li għandha sovran kostituzzjonali bħala Kap ta’ Stat. Għandu Parlament sovran, li huwa suprem għall-istituzzjonijiet l-oħrajn kollha tal-gvern, Eżekuttiv meħud mill-Parlament u responsabbli quddiemu u ġudikatura indipendenti. L-Eżekuttiv jieħu l-awtorità tiegħu mill-kapaċità tiegħu li jikseb il-fiduċja tal-House of Commons eletta u huwa responsabbli quddiem kemm iż-żewġ Houses of Parliament li huma responsabbli għall-iskrutinju tal-Gvern u għad-dibattitu u għall-promulgazzjoni tal-liġijiet.

(9)

Il-Parlament tar-Renju Unit iddevolva r-responsabbiltà lill-Parlament Skoċċiż, lill-Parlament ta’ Wales (Senedd Cymru), u lill-Assemblea tal-Irlanda ta’ Fuq biex jilleġiżlaw dwar kwistjonijiet domestiċi fl-Iskozja, Wales u l-Irlanda ta’ Fuq li l-Parlament tar-Renju Unit ma rriżervax għalih innifsu. Filwaqt li l-protezzjoni tad-data hija kwistjoni riżervata, jiġifieri tapplika l-istess leġiżlazzjoni madwar il-pajjiż kollu, oqsma oħrajn ta’ politika rilevanti għal din id-Deċiżjoni huma devoluti. Pereżempju, is-sistemi tal-ġustizzja kriminali, inklużi l-attivitajiet tal-pulizija, tal-Iskozja u tal-Irlanda ta’ Fuq huma devoluti lill-Parlament Skoċċiż u lill-Assemblea tal-Irlanda ta’ Fuq, rispettivament. Ir-Renju Unit ma għandux kostituzzjoni kkodifikata fis-sens ta’ dokument kostituttiv inkorporat. Maż-żmien tfaċċaw prinċipji kostituzzjonali, meħuda b’mod partikolari mill-ġurisprudenza u mill-konvenzjoni. Il-valur kostituzzjonali ta’ ċerti statuti, bħal Magna Carta, l-Abbozz ta’ Liġi tad-Drittijiet 1689 u l-Att dwar id-Drittijiet tal-Bniedem tal-1998 ġie rikonoxxut mill-qrati. Id-drittijiet fundamentali tal-individwi ġew żviluppati, bħala parti mill-kostituzzjoni, permezz tad-dritt komuni, permezz ta’ dawk l-istatuti, u permezz tat-trattati internazzjonali, b’mod partikolari l-Konvenzjoni Ewropea dwar id-Drittijiet tal-Bniedem li r-Renju Unit irratifika fl-1951. Fl-1987, ir-Renju Unit irratifika wkoll il-Konvenzjoni tal-Kunsill tal-Ewropa għall-Protezzjoni ta’ Individwi fir-rigward tal-Ipproċessar Awtomatiku ta’ Data Personali (Konvenzjoni 108) (10).

(10)

Il-Human Rights Act 1998 jinkorpora d-drittijiet li jinsabu fil-Konvenzjoni Ewropea dwar id-Drittijiet tal-Bniedem fid-dritt tar-Renju Unit. Il-Human Rights Act jagħti lil kwalunkwe individwu d-drittijiet u l-libertajiet fundamentali previsti fl-Artikoli 2 sa 12 u 14 tal-Konvenzjoni Ewropea dwar id-Drittijiet tal-Bniedem, fl-Artikoli 1, 2 u 3 tal-Ewwel Protokoll tiegħu u fl-Artikolu 1 tat-Tlettax-il Protokoll tiegħu, kif moqri flimkien mal-Artikoli 16, 17 u 18 ta’ dik il-Konvenzjoni. Dan jinkludi d-dritt għar-rispett għall-ħajja privata u għall-ħajja tal-familja (u d-dritt għall-protezzjoni tad-data bħala parti minn dak id-dritt) u d-dritt ta’ proċess ġust (11). B’mod partikolari, skont l-Artikolu 8 ta’ dik il-Konvenzjoni, awtorità pubblika tista’ tinterferixxi biss mad-dritt għall-privatezza f’konformità mal-liġi, fejn meħtieġ f’soċjetà demokratika fl-interessi tas-sigurtà nazzjonali, tas-sikurezza pubblika jew tal-benesseri ekonomiku tal-pajjiż, għall-prevenzjoni ta’ disturb jew ta’ delitt, għall-protezzjoni tas-saħħa jew tal-morali, jew għall-protezzjoni tad-drittijiet u tal-libertajiet ta’ oħrajn.

(11)

F’konformità mal-Human Rights Act tal-1998, kwalunkwe azzjoni tal-awtoritajiet pubbliċi trid tkun kompatibbli ma’ Dritt tal-Konvenzjoni (12). Barra minn hekk, il-leġiżlazzjoni primarja u subordinata trid tinqara u tingħata effett b’mod li jkun kompatibbli mad-drittijiet tal-Konvenzjoni (13).

(12)

Ir-Renju Unit ħareġ mill-Unjoni Ewropea fil-31 ta’ Jannar 2020. Fuq il-bażi tal-Ftehim dwar il-ħruġ tar-Renju Unit tal-Gran Brittanja u l-Irlanda ta’ Fuq mill-Unjoni Ewropea u mill-Komunità Ewropea tal-Enerġija Atomika (14), id-dritt tal-Unjoni kompla japplika fir-Renju Unit matul il-perjodu ta’ tranżizzjoni sal-31 ta’ Diċembru 2020. Qabel il-ħruġ u matul il-perjodu ta’ tranżizzjoni, il-qafas leġiżlattiv dwar il-protezzjoni ta’ data personali fir-Renju Unit kien jikkonsisti fil-leġiżlazzjoni rilevanti tal-UE (b’mod partikolari r-Regolament (UE) 2016/679 u d-Direttiva (UE) 2016/680 tal-Parlament Ewropew u tal-Kunsill (15)) u fil-leġiżlazzjoni nazzjonali, b’mod partikolari d-Data Protection Act 2018 (DPA 2018) (16) li pprovda regoli nazzjonali, fejn permess mir-Regolament (UE) 2016/679, li jispeċifikaw u jirrestrinġu l-applikazzjoni tar-regoli tar-Regolament (UE) 2016/679 u tad-Direttiva trasposta (UE) 2016/680.

(13)

Bi tħejjija għall-ħruġ mill-Unjoni Ewropea, il-Gvern tar-Renju Unit ippromulga l-European Union (Withdrawal) Act 2018 (17), li jinkorpora l-leġiżlazzjoni tal-Unjoni applikabbli direttament fil-liġi tar-Renju Unit (18). Dan l-hekk imsejjaħ “dritt tal-UE miżmum” jinkludi r-Regolament (UE) 2016/679 fl-intier tiegħu (inklużi l-premessi tiegħu) (19). F’konformità ma’ dak l-att, id-dritt tal-UE miżmum mhux modifikat irid jiġi interpretat mill-qrati tar-Renju Unit f’konformità mal-ġurisprudenza rilevanti tal-Qorti tal-Ġustizzja tal-Unjoni Ewropea u mal-prinċipji ġenerali tad-dritt tal-Unjoni billi jkollhom effett immedjatament qabel it-tmiem tal-perjodu ta’ tranżizzjoni (imsejħa “ġurisprudenza tal-UE miżmuma” u “prinċipji ġenerali miżmuma tad-dritt tal-UE” rispettivament) (20).

(14)

Skont il-European Union (Withdrawal) Act 2018, il-ministri tar-Renju Unit għandhom is-setgħa li jintroduċu leġiżlazzjoni sekondarja, permezz ta’ strumenti statutorji, sabiex jagħmlu l-modifiki meħtieġa sabiex iżommu d-dritt tal-Unjoni Ewropea b’mod konsegwenzjali għall-ħruġ tar-Renju Unit mill-Unjoni Ewropea. Huma eżerċitaw dik is-setgħa billi adottaw ir-Regolamenti tal-2019 dwar il-Protezzjoni tad-Data, il-Privatezza u l-Komunikazzjonijiet Elettroniċi (Emendi eċċ.) (ir-Regolamenti DPPEC) (21). Ir-Regolamenti DPPEC jemendaw ir-Regolament (UE) 2016/679 kif introdott fil-liġi tar-Renju Unit permezz tal-European Union (Withdrawal) Act 2018, id-DPA tal-2018, u leġiżlazzjoni oħra dwar il-protezzjoni tad-data biex tkun adattata għall-kuntest domestiku (22).

(15)

Konsegwentement, il-qafas legali dwar il-protezzjoni ta’ data personali fir-Renju Unit wara t-tmiem tal-perjodu ta’ tranżizzjoni jikkonsisti f’dawn li ġejjin:

(16)

Peress li l-GDPR tar-Renju Unit huwa bbażat fuq leġiżlazzjoni tal-UE, ir-regoli dwar il-protezzjoni tad-data fir-Renju Unit f’ħafna aspetti jirriflettu mill-qrib ir-regoli korrispondenti applikabbli fl-Unjoni Ewropea.

(17)

Minbarra s-setgħat mogħtija lis-Segretarju tal-Istat mill-European Union (Withdrawal) Act 2018, diversi dispożizzjonijiet tad-DPA 2018 jagħtu setgħat lis-Segretarju tal-Istat sabiex jadotta leġiżlazzjoni sekondarja bl-għan li jemenda ċerti dispożizzjonijiet tal-Att jew jipprovdi regoli supplimentari u addizzjonali (25). S’issa, is-Segretarju tal-Istat eżerċita biss is-setgħa skont it-Taqsima 137 tad-DPA 2018 sabiex jadotta d-Data Protection (Charges and Information) (Amendment) Regulations 2019, li jistabbilixxu ċ-ċirkustanzi li fihom il-kontrolluri tad-data jkunu meħtieġa jħallsu tariffa annwali lill-awtorità indipendenti tar-Renju Unit tal-protezzjoni tad-data, il-Kummissarju tal-Informazzjoni.

(18)

Fl-aħħar nett, gwida ulterjuri fuq il-leġiżlazzjoni dwar il-protezzjoni tad-data tar-Renju Unit hija pprovduta fil-kodiċijiet ta’ prattika u fi gwida oħra adottati mill-Kummissarju tal-Informazzjoni. Għalkemm ma hijiex legalment vinkolanti, din il-gwida ġġorr piż interpretattiv u turi kif tapplika l-leġiżlazzjoni dwar il-protezzjoni tad-data u kif tiġi infurzata mill-Kummissarju fil-prattika. B’mod partikolari, it-Taqsimiet 121 sa 125 tad-DPA 2018 jirrikjedu li l-Kummissarju jħejji kodiċijiet ta’ prattika dwar il-kondiviżjoni tad-data, il-kummerċjalizzazzjoni diretta, id-disinn xieraq skont l-età u l-protezzjoni tad-data u l-ġurnaliżmu.

(19)

Fl-istruttura u fil-komponenti ewlenin tiegħu, il-qafas legali tar-Renju Unit li japplika għad-data ttrasferita skont din id-Deċiżjoni huwa għalhekk simili ħafna għal dak li japplika fl-Unjoni Ewropea. Dan jinkludi l-fatt li tali qafas ma jiddependix biss fuq l-obbligi stabbiliti fid-dritt domestiku, li ssawwar mid-dritt tal-UE, iżda wkoll fuq l-obbligi stabbiliti fid-dritt internazzjonali, b’mod partikolari permezz tal-aderenza mir-Renju Unit mal-KEDB u mal-Konvenzjoni 108, kif ukoll permezz tas-sottomissjoni tiegħu għall-ġurisdizzjoni tal-Qorti Ewropea tad-Drittijiet tal-Bniedem. Dawn l-obbligi li jirriżultaw minn strumenti internazzjonali legalment vinkolanti, b’mod partikolari fir-rigward tal-protezzjoni ta’ data personali, huma għalhekk element importanti partikolari tal-qafas legali vvalutat f’din id-Deċiżjoni.

(20)

B’mod simili għar-Regolament (UE) 2016/679, il-GDPR tar-Renju Unit japplika għall-ipproċessar ta’ data personali kompletament jew parzjalment b’mezzi awtomatizzati, jew għal ipproċessar ieħor, jekk id-data personali tifforma parti minn sistema ta’ arkivjar (26). Id-definizzjonijiet ta’ “data personali”, ta’ “suġġett tad-data” u ta’ “pproċessar” tal-GDPR tar-Renju Unit huma identiċi għal dawk tar-Regolament (UE) 2016/679 (27). Barra minn hekk, il-GDPR tar-Renju Unit japplika għall-ipproċessar ta’ data personali manwali mhux strutturata (28) miżmuma minn ċerti awtoritajiet pubbliċi tar-Renju Unit (29), għalkemm il-prinċipji u d-drittijiet tal-GDPR tar-Renju Unit li ma humiex rilevanti għal tali data personali huma diżapplikati mit-Taqsimiet 24 u 25 tad-DPA 2018. B’mod simili għal dak li huwa pprovdut skont ir-Regolament (UE) 2016/679, il-GDPR tar-Renju Unit ma japplikax għall-ipproċessar ta’ data personali minn individwu matul attività purament personali jew domestika (30).

(21)

Il-GDPR tar-Renju Unit jestendi l-kamp ta’ applikazzjoni tiegħu wkoll għall-ipproċessar matul attività li, immedjatament qabel ma jintemm il-perjodu ta’ tranżizzjoni, kien jaqa’ barra mill-kamp ta’ applikazzjoni tad-dritt tal-Unjoni Ewropea (eż. sigurtà nazzjonali) (31), jew kien fi ħdan il-kamp ta’ applikazzjoni tal-Kapitolu 2 tat-Titolu 5 tat-Trattat dwar l-Unjoni Ewropea (attivitajiet tal-Politika Estera u ta’ Sigurtà Komuni) (32). Bħal fis-sistema tal-Unjoni Ewropea, il-GDPR tar-Renju Unit ma japplikax għall-ipproċessar ta’ data personali minn awtorità kompetenti għall-finijiet tal-prevenzjoni, tal-investigazzjoni, tas-sejbien jew tal-prosekuzzjoni ta’ reati kriminali jew tal-eżekuzzjoni ta’ pieni kriminali, inklużi s-salvagwardja kontra theddidiet għas-sigurtà pubblika u l-prevenzjoni tagħhom (l-hekk imsejħa “finijiet ta’ infurzar tal-liġi”) – minflok, tali pproċessar huwa rregolat bil-Parti 3 tad-DPA 2018, kif inhu l-każ għad-Direttiva (UE) 2016/680 skont id-dritt tal-Unjoni Ewropea – jew l-ipproċessar ta’ data personali mis-servizzi tal-intelligence (is-Security Service, is-Secret Intelligence Service u l-Government Communications Headquarters) li huwa kopert bil-Parti 4 tad-DPA 2018 (33).

(22)

Il-kamp ta’ applikazzjoni territorjali tal-GDPR tar-Renju Unit huwa deskritt fl-Artikolu 3 tal-GDPR tar-Renju Unit (34) jinkludi l-ipproċessar ta’ data personali (irrispettivament minn fejn isseħħ) fil-kuntest tal-attivitajiet ta’ stabbiliment ta’ kontrollur jew ta’ proċessur fir-Renju Unit kif ukoll għall-ipproċessar ta’ data personali ta’ suġġetti tad-data li jinsabu fir-Renju Unit, fejn l-attivitajiet ta’ pproċessar ikunu relatati mal-offerta ta’ oġġetti jew ta’ servizzi lil tali suġġetti tad-data jew mal-monitoraġġ tal-imġiba tagħhom (35). Dan jirrifletti l-approċċ meħud fl-Artikolu 3 tar-Regolament (UE) 2016/679.

(23)

Id-definizzjonijiet ta’ data personali, ta’ pproċessar, ta’ kontrollur, ta’ proċessur, kif ukoll id-definizzjoni ta’ psewdonimizzazzjoni, stabbiliti fir-Regolament (UE) 2016/679, inżammu mingħajr modifika materjali fil-GDPR tar-Renju Unit (36). Barra minn hekk, kategoriji speċjali ta’ data huma ddefiniti fl-Artikolu 9(1) tal-GDPR tar-Renju Unit bl-istess mod bħal dak bħal fir-Regolament (UE) 2016/679 (“li [jiżvelaw] oriġini razzjali jew etnika, opinjonijiet politiċi, twemmin reliġjuż jew filosofiku, jew sħubija fi trade union, u l-ipproċessar ta’ data ġenetika, data bijometrika sabiex tidentifika b’mod uniku persuna fiżika, data dwar is-saħħa jew data dwar il-ħajja sesswali u l-orjentazzjoni sesswali ta’ persuna fiżika”). It-Taqsima 205 tad-DPA 2018 tipprovdi d-definizzjoni ta’ “data bijometrika” (37), ta’ “data li tikkonċerna s-saħħa” (38) u ta’ “data ġenetika” (39).

(24)

Jenħtieġ li d-data personali tiġi pproċessata b’mod legali u ġust.

(25)

Il-prinċipji tal-legalità, tal-ġustizzja u tat-trasparenza u r-raġunijiet għall-ipproċessar legali huma ggarantiti fid-dritt tar-Renju Unit permezz tal-Artikoli 5(1)(a) u 6(1) tal-GDPR tar-Renju Unit, li huma identiċi għad-dispożizzjonijiet rispettivi fir-Regolament (UE) 2016/679 (40). It-Taqsima 8 tad-DPA 2018 tikkomplementa l-Artikolu 6(1)(e) billi tipprovdi li l-ipproċessar ta’ data personali skont l-Artikolu 6(1)(e) tal-GDPR tar-Renju Unit (meħtieġ għall-eżekuzzjoni ta’ kompitu mwettaq fl-interess pubbliku, jew fl-eżerċizzju tal-awtorità uffiċjali tal-kontrollur), tinkludi l-ipproċessar ta’ data personali li jkun meħtieġ għall-amministrazzjoni tal-ġustizzja, l-eżerċizzju ta’ funzjoni ta’ kwalunkwe Kamra tal-Parlament, l-eżerċizzju ta’ funzjoni mogħtija lil persuna permezz ta’ promulgazzjoni jew stat tad-dritt, l-eżerċizzju ta’ funzjoni tal-Kuruna, ta’ Ministru tal-Kuruna jew ta’ dipartiment tal-gvern, jew attività li tappoġġa jew tippromwovi l-involviment demokratiku.

(26)

Fir-rigward tal-kunsens (waħda mir-raġunijiet għall-ipproċessar legali), il-GDPR tar-Renju Unit iżomm ukoll il-kundizzjonijiet previsti fl-Artikolu 7 tar-Regolament (UE) 2016/679 mhux modifikati, jiġifieri l-kontrollur jeħtieġlu jkun jista’ juri li s-suġġett tad-data jkun ta l-kunsens tiegħu, trid tiġi ppreżentata talba bil-miktub għal kunsens bl-użu ta’ lingwaġġ ċar u sempliċi, is-suġġett tad-data jeħtieġlu jkollu d-dritt li jirtira l-kunsens fi kwalunkwe ħin, u meta jiġi vvalutat jekk il-kunsens ingħatax b’mod liberu, jenħtieġ li jitqies jekk l-eżekuzzjoni ta’ kuntratt tkunx kundizzjonali fuq il-kunsens għall-ipproċessar ta’ data personali li ma jkunx meħtieġ għall-eżekuzzjoni ta’ dak il-kuntratt. Barra minn hekk, skont l-Artikolu 8 tal-GDPR tar-Renju Unit, fil-kuntest tal-provvista ta’ servizzi tas-soċjetà tal-informazzjoni, il-kunsens tal-minorenni jkun legali biss meta l-minorenni jkollu tal-anqas 13-il sena. Dan jaqa’ fil-grupp ta’ età stabbilit fl-Artikolu 8 tar-Regolament (UE) 2016/679.

(27)

Jenħtieġ li jkunu jeżistu salvagwardji speċifiċi fejn ikunu qed jiġu pproċessati “kategoriji speċjali” ta’ data.

(28)

Il-GDPR tar-Renju Unit u d-DPA 2018 fihom regoli speċifiċi fir-rigward tal-ipproċessar ta’ kategoriji speċjali ta’ data personali, li huma ddefiniti fl-Artikolu 9(1) tal-GDPR tar-Renju Unit bl-istess mod bħal fir-Regolament (UE) 2016/679 (ara l-premessa (23) above). Skont l-Artikolu 9 tal-GDPR tar-Renju Unit, l-ipproċessar ta’ kategoriji speċjali ta’ data huwa fil-prinċipju pprojbit, sakemm ma tkunx tapplika eċċezzjoni speċifika.

(29)

Dawn l-eċċezzjonijiet (elenkati fl-Artikolu 9(2) u (3) tal-GDPR tar-Renju Unit) ma jagħmlu l-ebda tibdil fis-sustanza għal dawk fl-Artikolu 9(2) u (3) tar-Regolament (UE) 2016/679. Sakemm is-suġġett tad-data ma jkunx ta l-kunsens espliċitu tiegħu għall-ipproċessar ta’ dik id-data personali, l-ipproċessar ta’ kategoriji speċjali ta’ data personali huwa permess biss f’ċirkustanzi speċifiċi u limitati. Fil-biċċa l-kbira tal-każijiet, l-ipproċessar ta’ data sensittiva jrid ikun meħtieġ għal skop speċifiku ddefinit fid-dispożizzjoni rilevanti (ara l-Artikolu 9(2)(b), (c), (f), (g), (h), (i) u (j)).

(30)

Barra minn hekk, fejn eċċezzjoni skont l-Artikolu 9(2) tal-GDPR tar-Renju Unit tkun teħtieġ awtorizzazzjoni bil-liġi jew tirreferi għall-interess pubbliku, it-Taqsima 10 tad-DPA 2018 flimkien mal-Iskeda 1 tad-DPA 2018 jispeċifikaw aktar il-kundizzjonijiet li jridu jiġu ssodisfati sabiex jitħaddmu l-eċċezzjonijiet. Pereżempju, fil-każ tal-ipproċessar ta’ data sensittiva għall-protezzjoni tas-“saħħa pubblika” (l-Artikolu 9(2)(i) tal-GDPR tar-Renju Unit), il-paragrafu 3(b) tal-Parti 1 tal-Iskeda 1 jirrikjedi li, minbarra t-test tan-neċessità, tali pproċessar jitwettaq “minn jew taħt ir-responsabbiltà ta’ professjonist tas-saħħa” jew “minn persuna oħra li tkun marbuta b’obbligu ta’ kunfidenzjalità taħt promulgazzjoni jew stat tad-dritt”, inkluż taħt id-dmir stabbilit sew ta’ kunfidenzjalità tad-dritt komuni.

(31)

Meta data sensittiva tiġi pproċessata għal raġunijiet ta’ interess pubbliku sostanzjali (l-Artikolu 9(2)(g) tal-GDPR tar-Renju Unit), il-Parti 2 tal-Iskeda 1 tad-DPA 2018 tipprovdi lista eżawrjenti ta’ finijiet li jistgħu jitqiesu bħala ta’ interess pubbliku sostanzjali, u, għal kull wieħed minn dawn l-għanijiet, tistabbilixxi kundizzjonijiet addizzjonali speċifiċi. Pereżempju, il-promozzjoni tad-diversità razzjali u etnika fil-livelli superjuri tal-organizzazzjonijiet hija rikonoxxuta bħala interess pubbliku sostanzjali. L-ipproċessar ta’ data sensittiva għal dan il-fini speċifiku huwa soġġett għal rekwiżiti dettaljati, inkluż li l-ipproċessar jitwettaq bħala parti minn proċess ta’ identifikazzjoni ta’ individwi xierqa sabiex iżommu karigi superjuri, ikun meħtieġ sabiex tiġi promossa d-diversità razzjali u etnika u ma jkollux probabbiltà li jikkawża dannu sostanzjali jew tbatija sostanzjali lis-suġġett tad-data.

(32)

It-Taqsima 11(1) tad-DPA 2018 tistabbilixxi l-kundizzjonijiet sabiex id-data personali tiġi pproċessata fiċ-ċirkustanzi deskritti fl-Artikolu 9(3) tal-GDPR tar-Renju Unit relatati mal-obbligu ta’ segretezza. Dan jinkludi ċirkustanzi li fihom jitwettaq minn jew taħt ir-responsabbiltà ta’ professjonist tas-saħħa jew ta’ professjonist ta’ ħidma soċjali, jew minn persuna oħra li fiċ-ċirkustanzi jkollha obbligu ta’ kunfidenzjalità skont promulgazzjoni jew stat tad-dritt.

(33)

Barra minn hekk, ħafna mill-eċċezzjonijiet elenkati fl-Artikolu 9(2) tal-GDPR tar-Renju Unit jeħtieġu salvagwardji xierqa u speċifiċi sabiex jintużaw. Skont in-natura tal-ipproċessar u l-livell ta’ riskju għad-drittijiet u għal-libertajiet tas-suġġetti tad-data, il-kundizzjonijiet għall-ipproċessar previsti fl-Iskeda 1 tad-DPA 2018 jistabbilixxu salvagwardji differenti. Min-naħa tagħha, l-Iskeda 1 tistabbilixxi l-kundizzjonijiet għal kull sitwazzjoni ta’ pproċessar.

(34)

F’xi każijiet, id-DPA 2018 jirregola u jillimita t-tip ta’ data sensittiva li tista’ tiġi pproċessata għal bażi ġuridika partikolari li għandha tiġi rrispettata. Pereżempju, il-paragrafu 8 tal-Iskeda 1 jawtorizza l-ipproċessar ta’ data sensittiva għall-fini tal-promozzjoni tal-ugwaljanza tal-opportunità jew tat-trattament. Din il-kundizzjoni ta’ pproċessar tista’ tintuża biss jekk id-data tiżvela oriġini razzjali jew etnika, twemmin reliġjuż jew filosofiku, orjentazzjoni sesswali, jew jekk tkun data dwar is-saħħa.

(35)

F’xi każijiet, id-DPA 2018 jillimita t-tip ta’ kontrollur li jista’ juża l-kundizzjoni tal-ipproċessar. Pereżempju, il-paragrafu 23 tal-Iskeda 1 jipprovdi għall-ipproċessar ta’ data sensittiva fir-rigward tat-tweġibiet tar-rappreżentanti eletti għall-pubbliku. Din il-kundizzjoni ta’ pproċessar tista’ tintuża biss jekk il-kontrollur ikun ir-rappreżentant elett jew ikun qed jaġixxi taħt l-awtorità tiegħu.

(36)

F’xi każijiet oħrajn, id-DPA 2018 jistabbilixxi limiti fuq il-kategoriji tas-suġġett tad-data sabiex tintuża l-kundizzjoni ta’ pproċessar. Pereżempju, il-paragrafu 21 tal-Iskeda 1 jirregola l-ipproċessar ta’ data sensittiva għal skemi ta’ pensjoni okkupazzjonali. Din il-kundizzjoni tista’ tintuża biss jekk is-suġġett tad-data inkwistjoni jkun wieħed mill-aħwa, ġenitur, nannu/nanna, jew bużnannu/bużnanna tal-membru tal-iskema.

(37)

Barra minn hekk, meta jibbaża fuq l-eċċezzjonijiet fl-Artikolu 9(2) tal-GDPR tar-Renju Unit li huma speċifikati ulterjorment fit-Taqsima 10 tad-DPA 2018 flimkien mal-Iskeda 1 tad-DPA 2018, il-kontrollur fil-biċċa l-kbira tal-każijiet huwa meħtieġ jabbozza “Dokument ta’ Politika Xieraq”. Jeħtieġlu jiddeskrivi l-proċeduri tal-kontrollur sabiex jiżgura konformità mal-prinċipji fl-Artikolu 5 tal-GDPR tar-Renju Unit. Irid jistabbilixxi wkoll politiki għaż-żamma u għat-tħassir, b’indikazzjoni tal-perjodu ta’ ħżin probabbli. Il-kontrolluri jeħtiġilhom jirrieżaminaw u jaġġornaw dan id-dokument kif xieraq. Il-kontrollur jeħtieġlu jżomm id-dokument ta’ politika għal sitt xhur wara li jintemm l-ipproċessar u jeħtieġlu jagħmlu disponibbli għall-Kummissarju tal-Informazzjoni fuq talba (41).

(38)

Skont il-paragrafu 41 tal-Iskeda 1 tad-DPA 2018, id-Dokument ta’ Politika dejjem irid ikun akkumpanjat minn rekord miżjud tal-ipproċessar. Dan ir-rekord irid isegwi l-impenji inklużi fid-Dokument ta’ Politika, jiġifieri jekk id-data tkunx qed titħassar jew tkunx miżmuma f’konformità mal-politiki. Jekk il-politiki ma jkunux ġew segwiti, il-log irid iżomm rekord tar-raġunijiet. Ir-rekord irid jiddeskrivi wkoll kif l-ipproċessar jissodisfa l-Artikolu 6 tal-GDPR tar-Renju Unit (legalità tal-ipproċessar) u l-kundizzjoni speċifika fl-Iskeda 1 tad-DPA 2018 li tħaddmet.

(39)

Fl-aħħar nett, bħar-Regolament (UE) 2016/679, il-GDPR tar-Renju Unit jipprovdi wkoll salvagwardji ġenerali għal ċerti operazzjonijiet ta’ pproċessar ta’ kategoriji speċjali ta’ data. L-Artikolu 35 tal-GDPR tar-Renju Unit jirrikjedi valutazzjoni tal-impatt fuq il-protezzjoni tad-data jekk kategoriji speċjali ta’ data jiġu pproċessati fuq skala kbira. Skont l-Artikolu 37 tal-GDPR tar-Renju Unit, kontrollur jew proċessur jeħtieġlu jaħtar uffiċjal tal-protezzjoni tad-data fejn l-attivitajiet ewlenin tiegħu jikkonsistu fl-ipproċessar ta’ kategoriji speċjali ta’ data fuq skala kbira.

(40)

Fir-rigward tad-data personali relatata ma’ kundanni u ma’ reati kriminali, l-Artikolu 10 tal-GDPR tar-Renju Unit huwa identiku għall-Artikolu 10 tar-Regolament (UE) 2016/679. Dan jippermetti l-ipproċessar ta’ data personali relatata ma’ kundanni u ma’ reati kriminali biss taħt il-kontroll tal-awtorità uffiċjali jew meta l-ipproċessar ikun awtorizzat bid-dritt domestiku li jipprovdi għal salvagwardji xierqa għad-drittijiet u għal-libertajiet tas-suġġetti tad-data.

(41)

Meta l-ipproċessar ta’ data relatata ma’ kundanni u ma’ reati kriminali ma jitwettaqx taħt il-kontroll tal-awtorità uffiċjali, it-Taqsima 10(5) tad-DPA 2018 tipprovdi li tali pproċessar jista’ jsir biss għall-finijiet speċifiċi/ fis-sitwazzjonijiet speċifiċi stabbiliti fil-Partijiet 1, 2 u 3 tal-Iskeda 1 tad-DPA 2018 u huwa soġġett għar-rekwiżiti speċifiċi li huma stabbiliti għal kull wieħed minn dawn il-finijiet/is-sitwazzjonijiet. Pereżempju, id-data dwar kundanni kriminali tista’ tiġi pproċessata minn korpi mingħajr skop ta’ qligħ jekk l-ipproċessar jitwettaq (a) matul l-attivitajiet leġittimi tiegħu b’salvagwardji xierqa minn fondazzjoni, minn assoċjazzjoni jew minn korp ieħor mingħajr skop ta’ qligħ b’għan politiku, filosofiku, reliġjuż jew tat-trade union, u (b) bil-kundizzjoni li (i) l-ipproċessar ikun relatat biss mal-membri jew mal-eks membri tal-korp jew ma’ persuni li għandhom kuntatt regolari miegħu b’rabta mal-finijiet tiegħu, u (ii) id-data personali ma tiġix żvelata barra minn dak il-korp mingħajr il-kunsens tas-suġġetti tad-data.

(42)

Barra minn hekk, il-Parti 3 tal-Iskeda 1 tad-DPA 2018 tistabbilixxi ċirkustanzi oħrajn li fihom tista’ tintuża data dwar kundanni kriminali li jikkorrispondu għar-raġunijiet legali għall-ipproċessar ta’ data sensittiva fl-Artikolu 9(2) tar-Regolament (UE) 2016/679 u fil-GDPR tar-Renju Unit (eż. il-kunsens tas-suġġett tad-data, interessi vitali ta’ individwu jekk is-suġġett tad-data ma jkunx jista’ jagħti kunsens legalment jew fiżikament, jekk id-data tkun diġà saret pubblika b’mod ċar mis-suġġett tad-data, jekk l-ipproċessar ikun meħtieġ għall-istabbiliment, għall-eżerċizzju jew għad-difiża ta’ talba legali eċċ.).

(43)

Jenħtieġ li d-data personali tiġi pproċessata għal fini speċifiku u sussegwentement tintuża biss dment li l-użu ma jkunx inkompatibbli mal-fini tal-ipproċessar.

(44)

Dan il-prinċipju huwa previst fl-Artikolu 5(1)(b) tar-Regolament (UE) 2016/679 u nżamm mingħajr tibdiliet fl-Artikolu 5(1)(b) tal-GDPR tar-Renju Unit. Il-kundizzjonijiet dwar l-ipproċessar kompatibbli ulterjuri skont l-Artikolu 6(4) tar-Regolament (UE) 2016/679 inżammu wkoll mingħajr ebda modifika materjali fl-Artikolu 6(4)(a) - (e) tal-GDPR tar-Renju Unit.

(45)

Barra minn hekk, jenħtieġ li d-data tkun preċiża u, fejn meħtieġ, tinżamm aġġornata. Jenħtieġ li tkun ukoll adegwata, rilevanti u mhux eċċessiva fir-rigward tal-finijiet li għalihom tiġi pproċessata, u fil-prinċipju tinżamm għal mhux aktar milli jkun meħtieġ għall-finijiet li għalihom tiġi pproċessata d-data personali.

(46)

Dawn il-prinċipji tal-minimizzazzjoni, tal-preċiżjoni u tal-limitazzjoni tal-ħżin tad-data huma stabbiliti fl-Artikolu 5(1)(c) sa (e) tar-Regolament (UE) 2016/679 u huma miżmuma mingħajr modifika fl-Artikolu 5(1)(c) sa (e) fil-GDPR tar-Renju Unit.

(47)

Jenħtieġ li d-data personali tiġi pproċessata b’mod li jiżgura s-sigurtà tagħha, inkluża l-protezzjoni kontra pproċessar mhux awtorizzat jew illegali u kontra telf aċċidentali, qerda jew ħsara. Għal dak l-għan, jenħtieġ li l-operaturi tan-negozji jieħdu miżuri tekniċi jew organizzazzjonali xierqa sabiex jipproteġu d-data personali minn theddidiet possibbli. Jenħtieġ li dawn il-miżuri jiġu vvalutati billi jitqiesu l-ogħla livell ta’ żvilupp tekniku u l-kostijiet relatati.

(48)

Is-sigurtà tad-data hija mnaqqxa fid-dritt tar-Renju Unit permezz tal-prinċipju tal-integrità u tal-kunfidenzjalità fl-Artikolu 5(1)(f) tal-GDPR tar-Renju Unit u fl-Artikolu 32 tal-GDPR tar-Renju Unit dwar is-sigurtà tal-ipproċessar. Dawk id-dispożizzjonijiet huma identiċi għad-dispożizzjonijiet rispettivi tar-Regolament (UE) 2016/679. Barra minn hekk, taħt l-istess kundizzjonijiet bħal dawk stabbiliti fl-Artikoli 33 u 34 tar-Regolament (UE) 2016/679, il-GDPR tar-Renju Unit jeħtieġ in-notifika ta’ ksur ta’ data personali lill-awtorità superviżorja (Artikolu 33 tal-GDPR tar-Renju Unit) u l-komunikazzjoni ta’ ksur ta’ data personali lis-suġġett tad-data (Artikolu 34 tal-GDPR tar-Renju Unit).

(49)

Jenħtieġ li s-suġġetti tad-data jiġu informati dwar il-karatteristiċi ewlenin tal-ipproċessar ta’ data personali tagħhom.

(50)

Dan huwa żgurat bl-Artikoli 13 u 14 tal-GDPR tar-Renju Unit, li, flimkien ma’ prinċipju ġenerali tat-trasparenza, jipprovdu regoli dwar l-informazzjoni li għandha tiġi pprovduta lis-suġġett tad-data (42). Il-GDPR tar-Renju Unit ma jintroduċi l-ebda modifika materjali għal dawn ir-regoli meta mqabbel mal-Artikoli korrispondenti tar-Regolament (UE) 2016/679. Madankollu, bħal fir-Regolament (UE) 2016/679, ir-rekwiżiti ta’ trasparenza ta’ dawk l-Artikoli huma soġġetti għal diversi eċċezzjonijiet stabbiliti fid-DPA 2018 (ara l-premessi (55) sa (72)).

(51)

Jenħtieġ li s-suġġetti tad-data jkollhom ċerti drittijiet li jistgħu jiġu infurzati kontra l-kontrollur jew il-proċessur, b’mod partikolari d-dritt ta’ aċċess għad-data, id-dritt ta’ oġġezzjoni għall-ipproċessar u d-dritt li d-data tiġi rrettifikata u titħassar. Fl-istess ħin, tali drittijiet jistgħu jkunu soġġetti għal restrizzjonijiet, sa fejn dawn ir-restrizzjonijiet ikunu meħtieġa u proporzjonati sabiex jissalvagwardjaw is-sigurtà pubblika jew objettivi importanti oħrajn ta’ interess pubbliku ġenerali.

(52)

Il-GDPR tar-Renju Unit jagħti lill-individwi l-istess drittijiet infurzabbli bħar-Regolament (UE) 2016/679. Id-dispożizzjonijiet li jipprovdu d-drittijiet tal-individwi nżammu fil-GDPR tar-Renju Unit mingħajr tibdil materjali.

(53)

Id-drittijiet jinkludu d-dritt ta’ aċċess mis-suġġett tad-data (Artikolu 15 tal-GDPR tar-Renju Unit), id-dritt ta’ rettifika (Artikolu 16 tal-GDPR tar-Renju Unit), id-dritt għal tħassir (Artikolu 17 tal-GDPR tar-Renju Unit), id-dritt għar-restrizzjoni tal-ipproċessar (Artikolu 18 tal-GDPR tar-Renju Unit), obbligu ta’ notifika dwar ir-rettifika jew it-tħassir ta’ data personali jew ir-restrizzjoni tal-ipproċessar (Artikolu 19 tal-GDPR tar-Renju Unit), id-dritt għall-portabbiltà tad-data (Artikolu 20 tal-GDPR tar-Renju Unit), u d-dritt ta’ oġġezzjoni (Artikolu 21 tal-GDPR tar-Renju Unit) (43). Dan tal-aħħar jinkludi wkoll id-dritt ta’ suġġett tad-data li joġġezzjona għall-ipproċessar ta’ data personali għall-fini ta’ kummerċjalizzazzjoni diretta prevista fil-paragrafi 2 u 3 tal-Artikolu 21 tar-Regolament (UE) 2016/679. Barra minn hekk, skont it-Taqsima 122 tad-DPA 2018, il-Kummissarju tal-Informazzjoni jeħtieġlu jħejji Kodiċi ta’ Prattika fir-rigward tat-twettiq tal-kummerċjalizzazzjoni diretta f’konformità mar-rekwiżiti tal-leġiżlazzjoni dwar il-protezzjoni tad-data (u l-Privacy and Electronic Communications (EC Directive) Regulations 2003) u ma’ tali gwida oħra sabiex jippromwovi prattika tajba fil-kummerċjalizzazzjoni diretta li l-Kummissarju jqis xierqa. Bħalissa l-Uffiċċju tal-Kummissarju tal-Informazzjoni qed jiżviluppa l-kodiċi tal-kummerċjalizzazzjoni diretta (44).

(54)

Id-dritt tas-suġġett tad-data li ma jkunx soġġett għal deċiżjoni bbażata biss fuq ipproċessar awtomatizzat li jipproduċi effetti legali dwarhom, jew li b’mod simili jaffettwahom b’mod sinifikanti, kif previst fl-Artikolu 22 tal-GDPR, inżamm ukoll fil-GDPR tar- Renju Unit mingħajr tibdil sostanzjali. Madankollu, żdied paragrafu 3A ġdid bħala riferiment għall-fatt li t-Taqsima 14 tad-DPA 2018 tistabbilixxi salvagwardji għad-drittijiet, għal-libertajiet u għall-interessi leġittimi tas-suġġetti tad-data meta l-ipproċessar jitwettaq skont l-Artikolu 22(2)(b) tal-GDPR tar-Renju Unit. Dan japplika biss meta l-bażi għal tali deċiżjoni tkun awtorizzazzjoni jew rekwiżit skont id-dritt tar-Renju Unit, u ma japplikax meta d-deċiżjoni tkun meħtieġa skont kuntratt jew tkun saret bil-kunsens espliċitu tas-suġġett tad-data. Meta tapplika t-Taqsima 14 tad-DPA 2018, il-kontrollur jeħtieġlu, malli jkun raġonevolment prattikabbli, jinnotifika lis-suġġett tad-data bil-miktub li tkun ittieħdet deċiżjoni bbażata biss fuq ipproċessar awtomatizzat. Is-suġġett tad-data għandu dritt li jitlob li l-kontrollur - fi żmien xahar minn meta jirċievi l-avviż - jew jerġa’ jikkunsidra d-deċiżjoni, jew inkella jieħu deċiżjoni ġdida li ma tkunx ibbażata biss fuq ipproċessar awtomatizzat. Is-Segretarju tal-Istat għandu s-setgħa li jadotta aktar salvagwardji fir-rigward tat-teħid awtomatizzat ta’ deċiżjonijiet. Din is-setgħa għadha ma ġietx eżerċitata.

(55)

Id-DPA 2018 jistabbilixxi diversi restrizzjonijiet għad-drittijiet individwali, li jidħlu fil-qafas tal-Artikolu 23 tal-GDPR tar-Renju Unit. Ma ġiet introdotta l-ebda restrizzjoni f’dan il-qafas dwar id-dritt ta’ oġġezzjoni għall-kummerċjalizzazzjoni diretta kif previst fl-Artikolu 21(2) u (3) tal-GDPR tar-Renju Unit jew għad-dritt li wieħed ma jkunx soġġett għal teħid awtomatizzat ta’ deċiżjonijiet kif previst fl-Artikolu 22 tal-GDPR tar-Renju Unit.

(56)

Ir-restrizzjonijiet huma spjegati f’dettall fl-Iskedi 2-4 tad-DPA 2018. L-awtoritajiet tar-Renju Unit spjegaw li huma ggwidati minn żewġ prinċipji: il-prinċipju tal-ispeċifiċità (bit-teħid ta’ approċċ granulari, hekk kif ir-restrizzjonijiet ġenerali jinqasmu f’diversi dispożizzjonijiet aktar speċifiċi) u l-prinċipju tal-kondizzjonalità (kull dispożizzjoni hija kkomplementata minn salvagwardji fil-forma ta’ limitazzjonijiet jew ta’ kundizzjonijiet għall-prevenzjoni tal-abbuż) (45).

(57)

Ir-restrizzjonijiet deskritti fl-Artikolu 23(1) tal-GDPR tar-Renju Unit huma mfassla sabiex jiżguraw li japplikaw biss f’ċirkustanzi speċifikati fejn meħtieġ f’soċjetà demokratika u b’mod proporzjonat għall-għan leġittimu li jfittxu li jilħqu. Barra minn hekk, f’konformità mal-ġurisprudenza stabbilita dwar l-interpretazzjoni tar-restrizzjonijiet, eżenzjoni mir-reġim ta’ protezzjoni tad-data tista’tiġi applikata biss fi kwalunkwe każ partikolari jekk tkun meħtieġa u proporzjonata li ssir (46). It-test tan-neċessità kien meħtieġ li jkun “wieħed strett, li jirrikjedi li kwalunkwe interferenza mad-drittijiet tas-suġġett tkun proporzjonata mal-gravità tat-theddida għall-interess pubbliku. Għalhekk, l-eżerċizzju jinvolvi analiżi klassika tal-proporzjonalità (47).”

(58)

L-għanijiet imfittxija minn dawn ir-restrizzjonijiet jikkorrispondi għal dawk elenkati fl-Artikolu 23 tar-Regolament (UE) 2016/679, ħlief għar-restrizzjonijiet għas-sigurtà nazzjonali u għad-difiża li, minflok, huma rregolati bit-Taqsima 26 tad-DPA 2018, iżda huma soġġetti għall-istess rekwiżiti ta’ neċessità u ta’ proporzjonalità (ara l-premessi (63) sa (66)).

(59)

Uħud mir-restrizzjonijiet, pereżempju dawk relatati mal-prevenzjoni jew mas-sejbien ta’ delitt, mal-arrest jew mal-prosekuzzjoni ta’ trażgressuri, u mal-valutazzjoni jew il-ġbir tat-taxxi jew tad-dazju (48) jippermettu restrizzjonijiet għad-drittijiet individwali u l-obbligi ta’ trasparenza kollha (esklużi d-drittijiet skont l-Artikolu 21(2) u l-Artikolu 22). Il-kamp ta’ applikazzjoni ta’ restrizzjonijiet oħrajn huwa limitat għall-obbligi ta’ trasparenza u għad-drittijiet ta’ aċċess, bħar-restrizzjonijiet relatati mal-privileġġ professjonali legali (49), mad-dritt għal-libertà minn rekwiżit li tiġi pprovduta informazzjoni li twassal għall-awtoinkriminazzjoni (50), u mal-finanzi korporattivi, b’mod partikolari l-prevenzjoni ta’ negozjar permezz ta’ abbuż minn informazzjoni privileġġata (51). Ftit mir-restrizzjonijiet jippermettu restrizzjoni għall-obbligu tal-kontrollur li jikkomunika ksur tad-data lil suġġett tad-data u l-prinċipji tal-limitazzjoni tal-iskop, u tal-legalità, tal-ġustizzja u tat-trasparenza tal-ipproċessar (52).

(60)

Uħud mir-restrizzjonijiet japplikaw awtomatikament “bis-sħiħ” għal ċertu tip ta’ pproċessar ta’ data personali (pereżempju, l-applikazzjoni tal-obbligi ta’ trasparenza u tad-drittijiet individwali hija eskluża meta d-data personali tiġi pproċessata għall-finijiet tal-valutazzjoni tal-adegwatezza ta’ persuna għal uffiċċju ġudizzjarju jew id-data personali tiġi pproċessata minn qorti, minn tribunal, jew minn individwu, li jaġixxu f’kapaċità ġudizzjarja).

(61)

Madankollu, fil-maġġoranza tal-każijiet, il-paragrafu rilevanti fl-Iskeda 2 għad-DPA 2018 jispeċifika li r-restrizzjoni tapplika biss meta (u sa fejn) l-applikazzjoni tad-dispożizzjonijiet “x’aktarx tippreġudika” l-għan leġittimu segwit minn dik ir-restrizzjoni: pereżempju, id-dispożizzjonijiet elenkati tal-GDPR tar-Renju Unit ma japplikawx għal data personali pproċessata għall-prevenzjoni jew għas-sejbien ta’ delitt, għall-arrest jew għall-prosekuzzjoni ta’ trasgressuri, jew għall-valutazzjoni jew għall-ġbir ta’ taxxa jew ta’ dazju “sa fejn l-applikazzjoni ta’ dawk id-dispożizzjonijiet ikollha probabbiltà li tippreġudika” kwalunkwe waħda minn dawn il-kwistjonijiet (53).

(62)

L-istandard ta’ “jkollha probabbiltà li tippreġudika” ġie interpretat b’mod konsistenti mill-qrati tar-Renju Unit li jfisser “probabbiltà sinifikanti ħafna u importanti ta’ preġudizzju għall-interessi pubbliċi identifikati” (54). Restrizzjoni soġġetta għat-test tal-preġudizzju tista’ għalhekk tiġi invokata biss jekk u sal-punt li jkun hemm ċans sinifikanti u sinifikanti ħafna li l-għoti ta’ ċertu dritt jippreġudika l-interess pubbliku inkwistjoni. Il-kontrollur huwa responsabbli biex jivvaluta fuq bażi ta’ każ b’każ jekk dawn il-kundizzjonijiet humiex issodisfati (55).

(63)

Minbarra r-restrizzjonijiet li jinsabu fl-Iskeda 2 tad-DPA 2018, it-Taqsima 26 tad-DPA 2018 tipprovdi eżenzjoni li tista’ tiġi applikata għal ċerti dispożizzjonijiet tal-GDPR tar-Renju Unit u tad-DPA 2018 jekk dik l-eżenzjoni tkun meħtieġa għall-fini ta’ salvagwardja tas-sigurtà nazzjonali jew għal finijiet tad-difiża. Din l-eżenzjoni tapplika għall-prinċipji tal-protezzjoni tad-data (ħlief il-prinċipju tal-legalità), għall-obbligi ta’ trasparenza, għad-drittijiet tas-suġġett tad-data, għall-obbligu ta’ notifika ta’ ksur tad-data, għar-regoli dwar trasferimenti internazzjonali, għal uħud mid-dmirijiet u mis-setgħat tal-Kummissarju tal-Informazzjoni, u għar-regoli dwar rimedji, obbligazzjonijiet u penali, ħlief għad-dispożizzjoni dwar il-kundizzjonijiet ġenerali għall-impożizzjoni ta’ multi amministrattivi stabbilita fl-Artikolu 83 tal-GDPR tar-Renju Unit u għad-dispożizzjoni dwar il-penali fl-Artikolu 84 tal-GDPR tar-Renju Unit. Barra minn hekk, it-Taqsima 28 tad-DPA 2018 timmodifika l-applikazzjoni tal-Artikolu 9(1) sabiex tippermetti l-ipproċessar ta’ kategoriji speċjali ta’ data fl-Artikolu 9(1) tal-GDPR tar-Renju Unit sal-punt li l-ipproċessar isir għas-salvagwardja tas-sigurtà nazzjonali jew għal finijiet tad-difiża, u b’salvagwardji xierqa għad-drittijiet u għal-libertajiet tas-suġġetti tad-data (56).

(64)

L-eżenzjoni tista’ tiġi applikata biss sal-punt li tkun meħtieġa għas-salvagwardja tas-sigurtà nazzjonali jew tad-difiża. Hekk kif inhu wkoll il-każ għall-eżenzjonijiet l-oħrajn previsti mid-DPA 2018, hija trid tiġi kkunsidrata u invokata mill-kontrollur fuq bażi ta’ każ b’każ. Barra minn hekk, kwalunkwe applikazzjoni tal-eżenzjoni trid tkun konformi mal-istandards dwar id-drittijiet tal-bniedem (imsejsa fuq il-Human Rights Act 1998), li skont dawn kwalunkwe interferenza mad-drittijiet tal-privatezza jenħtieġ li tkun neċessarja u proporzjonata f’soċjetà demokratika (57).

(65)

Din l-interpretazzjoni tal-eżenzjoni hija kkonfermata mill-ICO li ħareġ gwida dettaljata dwar l-applikazzjoni tal-eżenzjoni tas-sigurtà u d-difiża nazzjonali, filwaqt li jagħmilha ċara li din għandha tiġi kkunsidrata u applikata mill-kontrollur fuq bażi ta’ każ b’każ (58). B’mod partikolari, il-gwida tenfasizza li “[d]in mhijiex eżenzjoni ġenerali” u li, sabiex tiġi invokata, “mhuwiex biżżejjed li d-data tiġi pproċessata għal finijiet ta’ sigurtà nazzjonali”. Min-naħa l-oħra, il-kontrollur li jibbaża fuqu jrid “juri li hemm possibbiltà reali ta’ effett negattiv fuq is-sigurtà nazzjonali” u, fejn meħtieġ, il-kontrollur huwa mistenni li “jipprovdi [lill-ICO] b’evidenza dwar għaliex [huwa] uża din l-eżenzjoni”. Il-gwida fiha lista ta’ kontroll u sensiela ta’ eżempji biex jiġu ċċarati aktar il-kundizzjonijiet li taħthom tista’ tiġi invokata din l-eżenzjoni.

(66)

Għalhekk, il-fatt li d-data tiġi pproċessata għal finijiet tas-sigurtà nazzjonali jew tad-difiża ma huwiex biżżejjed waħdu sabiex tiġi applikata l-eżenzjoni. Kontrollur jeħtieġlu jqis il-konsegwenzi attwali għas-sigurtà nazzjonali jekk ikollu jikkonforma mad-dispożizzjoni partikolari dwar il-protezzjoni tad-data. L-eżenzjoni tista’ tiġi applikata biss għal dawk id-dispożizzjonijiet speċifiċi li ġew identifikati bħala dawk li joħolqu r-riskju u trid tiġi applikata b’mod kemm jista’ jkun restrittiv (59).

(67)

Dan l-approċċ ġie kkonfermat mit-Tribunal tal-Informazzjoni (60). Fil-każ ta’ Baker vs Secretary of State for the Home Department (“Baker v Secretary of State”), huwa ddetermina li kien illegali li tiġi applikata l-eżenzjoni tas-sigurtà nazzjonali bħala eżenzjoni ġenerali għat-talbiet ta’ aċċess riċevuti mis-servizzi tal-intelligence. Minflok, l-eżenzjoni kellha tiġi applikata fuq bażi ta’ każ b’każ, billi tingħata ħarsa lejn kull talba dwar il-mertu tagħha u fid-dawl tad-dritt tal-individwi li jirrispettaw il-ħajja privata tagħhom (61).

(68)

L-Artikolu 85(2) tal-GDPR tar-Renju Unit jippermetti li jiġi pprovdut sabiex data personali pproċessata għal finijiet ġurnalistiċi, artistiċi, akkademiċi u letterarji tkun eżentata minn diversi dispożizzjonijiet tal-GDPR tar-Renju Unit. Il-Parti 5 tal-Iskeda 2 tad-DPA 2018 tistabbilixxi l-eżenzjonijiet għall-ipproċessar għal dawn il-finijiet. Tipprovdi għal eżenzjonijiet mill-prinċipji tal-protezzjoni tad-data (ħlief il-prinċipju tal-integrità u tal-kunfidenzjalità), mir-raġunijiet legali għall-ipproċessar (inkl. kategoriji speċjali ta’ data u data dwar kundanni kriminali eċċ.), mill-kundizzjonijiet għall-kunsens, mill-obbligi ta’ trasparenza, mid-drittijiet tas-suġġetti tad-data, mill-obbligu ta’ notifika ta’ ksur tad-data, u mir-rekwiżit li l-Kummissarju tal-Informazzjoni jiġi kkonsultat qabel ipproċessar ta’ riskju għoli, u mir-regoli dwar it-trasferimenti internazzjonali (62). F’dan ir-rigward, il-GDPR tar-Renju Unit ma jitbegħedx b’mod sostantiv mir-Regolament (UE) 2016/679, li fl-Artikolu 85 tiegħu wkoll jipprovdi għall-possibbiltà li l-ipproċessar li jsir għal finijiet ġurnalistiċi jew għall-finijiet ta’ espressjoni akkademika, artistika jew letterarja jiġi eżentat minn numru ta’ rekwiżiti tar-Regolament (UE) 2016/679. Id-dispożizzjonijiet tad-DPA 2018, b’mod partikolari l-Iskeda 2, il-Parti 5, huma kompatibbli mal-GDPR tar-Renju Unit.

(69)

L-eżerċizzju ta’ bbilanċjar ewlieni li għandu jitwettaq skont l-Artikolu 85 tal-GDPR tar-Renju Unit huwa relatat ma’ jekk eżenzjoni għar-regoli dwar il-protezzjoni tad-data msemmija fil-premessa (68) tkunx “neċessarja għar-rikonċiljazzjoni tad-dritt għall-protezzjoni ta’ data personali mal-libertà tal-espressjoni u tal-informazzjoni” (63). Skont il-paragrafi 26(2) u (3) tal-Iskeda 2 tad-DPA 2018, ir-Renju Unit japplika test ta’ “twemmin raġonevoli” sabiex jintlaħaq dan il-bilanċ. Sabiex eżenzjoni tkun iġġustifikata, il-kontrollur jeħtieġlu raġonevolment jemmen (i) li l-pubblikazzjoni tkun fl-interess pubbliku; u (ii) li l-applikazzjoni tad-dispożizzjoni tal-GDPR rilevanti tkun inkompatibbli ma’ finijiet ġurnalistiċi, akkademiċi, artistiċi jew letterarji. Kif ikkonfermat mill-ġurisprudenza (64), it-test ta’ “twemmin raġonevoli” għandu kemm komponent soġġettiv kif ukoll objettiv: ma huwiex biżżejjed li l-kontrollur juri li huwa stess kien jemmen li l-konformità kienet inkompatibbli. It-twemmin tiegħu jrid ikun raġonevoli, jiġifieri jista’ jitwemmen minn persuna raġonevoli li tkun taf il-fatti rilevanti. Għalhekk, il-kontrollur jeħtieġlu jeżerċita d-diliġenza dovuta meta jifforma t-twemmin tiegħu sabiex ikun jista’ juri r-raġonevolezza. Skont l-ispjegazzjonijiet ipprovduti mill-awtoritajiet tar-Renju Unit, it-test ta’ “twemmin raġonevoli” jrid jitwettaq fuq bażi ta’ eżenzjoni b’eżenzjoni (65). Jekk il-kundizzjonijiet jiġu ssodisfati, l-eżenzjoni titqies neċessarja u proporzjonata skont id-dritt tar-Renju Unit.

(70)

Skont it-Taqsima 124 tad-DPA 2018, l-ICO għandu jħejji Kodiċi ta’ Prattika dwar il-Protezzjoni tad-Data u l-Ġurnaliżmu. Il-ħidma fuq dan il-Kodiċi għadha għaddejja. Inħarġet gwida dwar il-kwistjoni skont id-Data Protection Act 1998 li tenfasizza b’mod partikolari li, sabiex tiġi invokata din l-eżenzjoni, ma huwiex biżżejjed li sempliċiment jiġi ddikjarat li l-konformità tkun inkonvenjent għall-attivitajiet tal-ġurnalisti, iżda jrid ikun hemm argument ċar li d-dispożizzjoni inkwistjoni tippreżenta ostakolu għall-ġurnaliżmu responsabbli (66). Gwida dwar l-applikazzjoni tat-test tal-interess pubbliku u l-ibbilanċjar tal-interess pubbliku kontra l-interess ta’ individwu fil-privatezza ġiet ippubblikata wkoll mir-regolatur tat-telekomunikazzjoni tar-Renju Unit OFCOM u mill-BBC fil-linji gwida editorjali tagħha (67). Il-linji gwida jipprovdu b’mod partikolari eżempji ta’ informazzjoni li tista’ titqies fl-interess pubbliku, u jispjegaw il-ħtieġa li jkun jista’ jintwera li l-interess pubbliku jipprevali fuq id-drittijiet tal-privatezza fiċ-ċirkustanzi partikolari tal-każ.

(71)

B’mod simili għal dak li huwa pprovdut fl-Artikolu 89 tal-GDPR, data personali pproċessata għal finijiet ta’ arkivjar fl-interess pubbliku, għal finijiet ta’ riċerka xjentifika jew storika jew għal finijiet statistiċi tista’ tiġi eżentata wkoll minn numru ta’ dispożizzjonijiet elenkati tal-GDPR tar-Renju Unit (68). Fir-rigward tar-riċerka u l-istatistika, huma possibbli eżenzjonijiet għad-dispożizzjonijiet tal-GDPR tar-Renju Unit relatati mal-konferma tal-ipproċessar u l-aċċess għad-data u s-salvagwardji għat-trasferimenti ta’ pajjiżi terzi; id-dritt ta’ rettifika; ir-restrizzjoni tal-ipproċessar u l-oġġezzjoni għall-ipproċessar. Fir-rigward tal-arkivjar fl-interess pubbliku, l-eżenzjonijiet huma possibbli wkoll għall-obbligu ta’ notifika rigward ir-rettifika jew it-tħassir ta’ data personali jew għar-restrizzjoni tal-ipproċessar u għad-dritt għall-portabbiltà tad-data.

(72)

Skont il-paragrafi 27(1) u 28(1) tal-Iskeda 2 tad-DPA 2018, l-eżenzjonijiet mid-dispożizzjonijiet elenkati tal-GDPR tar-Renju Unit huma possibbli fejn l-applikazzjoni tad-dispożizzjonijiet “tipprevjeni jew ixxekkel serjament il-kisba” tal-finijiet inkwistjoni (69).

(73)

Minħabba r-rilevanza tagħhom għal eżerċizzju effettiv tad-drittijiet individwali, kwalunkwe żvilupp rilevanti rigward l-interpretazzjoni u l-applikazzjoni fil-prattika tal-eżenzjonijiet imsemmija hawn fuq (flimkien ma’ dak relatat maż-żamma ta’ kontroll effettiv tal-immigrazzjoni, kif spjegat fil-premessa (6)), inkluż kwalunkwe żvilupp ulterjuri tal-ġurisprudenza u tal-azzjonijiet ta’ gwida u infurzar tal-ICO, se jitqies kif xieraq fil-kuntest tal-monitoraġġ kontinwu ta’ din id-Deċiżjoni (70).

(74)

Il-livell ta’ protezzjoni mogħti lil data personali ttrasferita mill-Unjoni Ewropea lil kontrolluri jew lil proċessuri fir-Renju Unit ma jistax jiġi mfixkel mit-trasferiment ulterjuri ta’ tali data lil riċevituri f’pajjiż terz. Tali “trasferimenti ulterjuri”, li mill-perspettiva tal-kontrollur jew tal-proċessur tar-Renju Unit jikkostitwixxu trasferimenti internazzjonali mir-Renju Unit, jenħtieġ li jkunu permessi biss meta r-riċevitur ulterjuri barra mir-Renju Unit ikun huwa stess soġġett għal regoli li jiżguraw livell simili ta’ protezzjoni għal dak iggarantit fl-ordinament ġuridiku tar-Renju Unit. Għal din ir-raġuni, l-applikazzjoni tar-regoli tal-GDPR tar-Renju Unit u tad-DPA 2018 dwar it-trasferimenti internazzjonali ta’ data personali hija fattur importanti sabiex tiġi żgurata l-kontinwità tal-protezzjoni fil-każ ta’ data personali ttrasferita mill-Unjoni Ewropea lir-Renju Unit skont din id-Deċiżjoni.

(75)

Ir-reġim dwar it-trasferimenti internazzjonali ta’ data personali mir-Renju Unit huwa stabbilit fl-Artikoli 44-49 tal-GDPR tar-Renju Unit, issupplimentat mid-DPA 2018, u fis-sustanza huwa identiku għar-regoli stabbiliti fil-Kapitolu V tar-Regolament (UE) 2016/679 (71). It-trasferimenti ta’ data personali lil pajjiż terz jew lil organizzazzjoni internazzjonali jistgħu jsiru biss fuq il-bażi ta’ regolamenti ta’ adegwatezza (ekwivalenti tar-Renju Unit għal deċiżjoni ta’ adegwatezza skont ir-Regolament (UE) 2016/679), jew, fin-nuqqas ta’ regolamenti ta’ adegwatezza, fejn il-kontrollur jew il-proċessur ikun ipprovda salvagwardji xierqa f’konformità mal-Artikolu 46 tal-GDPR tar-Renju Unit. Fin-nuqqas ta’ regolamenti ta’ adegwatezza jew ta’ salvagwardji xierqa, trasferiment jista’ jsir biss fuq il-bażi tad-derogi stabbiliti fl-Artikolu 49 tal-GDPR tar-Renju Unit.

(76)

Ir-regolamenti ta’ adegwatezza magħmula mis-Segretarju tal-Istat jistgħu jistipulaw li pajjiż terz (jew territorju jew settur f’pajjiż terz), organizzazzjoni internazzjonali, jew deskrizzjoni (72) ta’ tali pajjiż, territorju, settur, jew organizzazzjoni tiżgura livell adegwat ta’ protezzjoni ta’ data personali. Meta jivvaluta l-adegwatezza tal-livell ta’ protezzjoni, is-Segretarju tal-Istat jeħtieġlu jqis l-istess elementi eżatt li l-Kummissjoni hija meħtieġa tivvaluta skont l-Artikolu 45(2)(a)-(c) tar-Regolament (UE) 2016/679, interpretat flimkien mal-premessa 104 tar-Regolament (UE) 2016/679 u mal-ġurisprudenza tal-UE miżmuma. Dan ifisser li, meta jiġi vvalutat il-livell adegwat ta’ protezzjoni ta’ pajjiż terz, l-istandard rilevanti se jkun jekk dak il-pajjiż terz inkwistjoni jiggarantixxix livell ta’ protezzjoni “essenzjalment ekwivalenti” għal dak iggarantit fir-Renju Unit.

(77)

Fir-rigward tal-proċedura, ir-regolamenti ta’ adegwatezza huma soġġetti għar-rekwiżiti proċedurali “ġenerali” previsti fit-Taqsima 182 tad-DPA 2018. Skont din il-proċedura, is-Segretarju tal-Istat jeħtieġlu jikkonsulta lill-Kummissarju tal-Informazzjoni meta jipproponi li jiġu adottati regolamenti ta’ adegwatezza tar-Renju Unit (73). Ladarba jiġu adottati mis-Segretarju tal-Istat, dawk ir-regolamenti jitressqu quddiem il-Parlament u jiġu soġġetti għall-proċedura ta’ “riżoluzzjoni negattiva” li skont din iż-żewġ Kmamar tal-Parlament jistgħu jiskrutinizzaw ir-regolamenti u jkollhom il-kapaċità li jgħaddu mozzjoni li tannulla r-regolamenti fi ħdan perjodu ta’ 40 jum (74).

(78)

Skont it-Taqsima 17B(1) tad-DPA 2018, ir-regolamenti ta’ adegwatezza jridu jiġu rrieżaminati f’intervalli ta’ mhux aktar minn erba’ snin u s-Segretarju tal-Istat, fuq bażi kontinwa, jeħtieġlu jimmonitorja l-iżviluppi f’pajjiżi terzi u f’organizzazzjonijiet internazzjonali li jistgħu jaffettwaw id-deċiżjonijiet li jfassal regolamenti ta’ adegwatezza, jew li jħassar jew jirrevoka tali regolamenti. Meta s-Segretarju tal-Istat isir jaf li pajjiż jew organizzazzjoni speċifikata ma tibqax tiżgura livell adegwat ta’ protezzjoni ta’ data personali, huwa jeħtieġlu, sa fejn ikun meħtieġ, jemenda jew jirrevoka r-regolamenti u jidħol f’konsultazzjonijiet mal-pajjiż terz jew mal-organizzazzjoni internazzjonali kkonċernata sabiex tirrimedja n-nuqqas ta’ livell adegwat ta’ protezzjoni. Dawn l-aspetti proċedurali jirriflettu wkoll ir-rekwiżiti korrispondenti tar-Regolament (UE) 2016/679.

(79)

Fin-nuqqas ta’ regolamenti ta’ adegwatezza, jistgħu jsiru trasferimenti internazzjonali fejn il-kontrollur jew il-proċessur ikun ipprovda salvagwardji xierqa f’konformità mal-Artikolu 46 tal-GDPR tar-Renju Unit. Dawn is-salvagwardji huma simili għal dawk tal-Artikolu 46 tar-Regolament (UE) 2016/679. Dawn jinkludu strumenti legalment vinkolanti u eżekwibbli bejn l-awtoritajiet jew il-korpi pubbliċi, regoli korporattivi vinkolanti (75), klawżoli standard dwar il-protezzjoni tad-data, kodiċijiet ta’ kondotta approvati, mekkaniżmi ta’ ċertifikazzjoni approvati, u bl-awtorizzazzjoni mill-Kummissarju tal-Informazzjoni, klawżoli kuntrattwali bejn il-kontrolluri (jew il-proċessuri) jew arranġamenti amministrattivi bejn l-awtoritajiet pubbliċi. Madankollu, ir-regoli ġew immodifikati, minn perspettiva proċedurali, sabiex jaħdmu fi ħdan il-qafas tar-Renju Unit, b’mod partikolari l-klawżoli standard dwar il-protezzjoni tad-data jistgħu jiġu adottati mis-Segretarju tal-Istat (it-Taqsima 17C) jew mill-Kummissarju tal-Informazzjoni (it-Taqsima 119A) f’konformità mad-DPA 2018.

(80)

Fin-nuqqas ta’ deċiżjoni ta’ adegwatezza jew ta’ salvagwardji xierqa, trasferiment jista’ jsir biss fuq il-bażi tad-derogi stabbiliti fl-Artikolu 49 tal-GDPR tar-Renju Unit (76). Il-GDPR tar-Renju Unit ma jintroduċi l-ebda tibdil materjali għad-derogi, meta mqabbel mar-regoli korrispondenti tar-Regolament (UE) 2016/679. Skont il-GDPR tar-Renju Unit, bħal skont ir-Regolament (UE) 2016/679, ċerti derogi jistgħu jiġu invokati biss jekk it-trasferiment ikun okkażjonali (77). Barra minn hekk, l-ICO, fil-gwida tiegħu dwar it-trasferimenti internazzjonali, jiċċara li: “Jenħtieġ li tuża dawn biss bħala “eċċezzjonijiet” veri mir-regola ġenerali li jenħtieġ li ma tagħmilx trasferiment ristrett sakemm ma jkunx kopert minn deċiżjoni ta’ adegwatezza jew ikun hemm salvagwardji xierqa fis-seħħ” (78). Fir-rigward ta’ trasferimenti li huma neċessarji għal raġunijiet importanti ta’ interess pubbliku (Artikolu 49(1)(d)), is-Segretarju tal-Istat jista’ jagħmel regolamenti sabiex jispeċifika ċ-ċirkustanzi li fihom trasferiment ta’ data personali lejn pajjiż terz jew lejn organizzazzjoni internazzjonali ma jkunx neċessarju għal raġunijiet importanti ta’ interess pubbliku. Barra minn hekk, is-Segretarju tal-Istat jista’ permezz ta’ regolamenti jirrestrinġi t-trasferiment ta’ kategorija ta’ data personali lil pajjiż terz jew lil organizzazzjoni internazzjonali meta t-trasferiment ma jkunx jista’ jsir fuq il-bażi ta’ regolamenti ta’ adegwatezza, u s-Segretarju tal-Istat iqis li r-restrizzjoni tkun neċessarja għal raġunijiet importanti ta’ interess pubbliku. S’issa għadhom ma ġewx adottati regolamenti bħal dawn.

(81)

Dan il-qafas għat-trasferimenti internazzjonali sar applikabbli fi tmiem il-perjodu ta’ tranżizzjoni (79). Madankollu, il-paragrafu 4 tal-Iskeda 21 tad-DPA 2018 (introdott mir-Regolamenti dwar id-DPPEC) jipprovdi li sa mit-tmiem tal-perjodu ta’ tranżizzjoni, ċerti trasferimenti ta’ data personali jiġu ttrattati daqslikieku huma bbażati fuq regolamenti ta’ adegwatezza. Dawn it-trasferimenti jinkludu trasferimenti lejn Stat taż-ŻEE, it-territorju ta’ Ġibiltà, istituzzjoni, korp, uffiċċju jew aġenzija tal-Unjoni stabbiliti minn, jew fuq il-bażi tat-Trattat tal-UE, u pajjiżi terzi li kienu s-suġġett ta’ deċiżjoni ta’ adegwatezza tal-UE fi tmiem il-perjodu ta’ tranżizzjoni. Konsegwentement, it-trasferimenti lejn dawn il-pajjiżi jistgħu jkomplu bħal qabel ma r-Renju Unit ħareġ mill-UE. Wara tmiem il-perjodu ta’ tranżizzjoni, is-Segretarju tal-Istat jeħtieġlu jwettaq rieżami ta’ dawn is-sejbiet ta’ adegwatezza fuq perjodu ta’ erba’ snin, jiġifieri sal-aħħar ta’ Diċembru 2024. Skont l-ispjegazzjoni pprovduta mill-awtoritajiet tar-Renju Unit, għalkemm is-Segretarju tal-Istat jeħtieġ li jwettaq tali rieżami sal-aħħar ta’ Diċembru 2024, id-dispożizzjonijiet tranżizzjonali ma jinkludux dispożizzjoni “sunset” u d-dispożizzjonijiet tranżizzjonali rilevanti mhux se jieqfu awtomatikament milli jkollhom effett jekk rieżami ma jkunx tlesta sal-aħħar ta’ Diċembru 2024.

(82)

Fl-aħħar nett, fir-rigward tal-evoluzzjoni futura tar-reġim ta’ trasferimenti internazzjonali tar-Renju Unit – permezz tal-adozzjoni ta’ regolamenti ġodda dwar l-adegwatezza, il-konklużjoni ta’ ftehimiet internazzjonali jew l-iżvilupp ta’ mekkaniżmi oħra ta’ trasferiment – il-Kummissjoni se tissorvelja mill-qrib is-sitwazzjoni, tivvaluta jekk il-mekkaniżmi differenti ta’ trasferiment jintużawx b’mod li jiżgura l-kontinwità tal-protezzjoni, u, jekk ikun meħtieġ, tieħu miżuri xierqa biex tindirizza l-effetti negattivi possibbli għal tali kontinwità (ara l-premessi (278) sa (287)). Peress li l-UE u r-Renju Unit jikkondividu regoli simili dwar it-trasferimenti internazzjonali, huwa mistenni li d-diverġenza problematika tista’ tiġi evitata wkoll permezz tal-kooperazzjoni, l-iskambju ta’ informazzjoni u l-kondiviżjoni tal-esperjenza, inkluż bejn l-ICO u l-EDPB.

(83)

Skont il-prinċipju tar-responsabbiltà, l-entitajiet li jipproċessaw id-data huma meħtieġa jistabbilixxu miżuri tekniċi u organizzazzjonali xierqa sabiex jikkonformaw b’mod effettiv mal-obbligi tagħhom dwar il-protezzjoni tad-data u jkunu jistgħu juru tali konformità, b’mod partikolari lill-awtorità superviżorja kompetenti.

(84)

Il-prinċipju tar-responsabbiltà previst fir-Regolament (UE) 2016/679 inżamm fl-Artikolu 5(2) tal-GDPR tar-Renju Unit mingħajr tibdil materjali u l-istess japplika għall-Artikolu 24 dwar ir-responsabbiltà tal-kontrollur, għall-Artikolu 25 dwar il-protezzjoni tad-data mid-disinn u b’mod awtomatiku u għall-Artikolu 30 dwar ir-rekords tal-attivitajiet ta’ pproċessar. Inżammu wkoll l-Artikoli 35 u 36 dwar il-valutazzjoni tal-impatt fuq il-protezzjoni tad-data u l-konsultazzjoni minn qabel tal-awtorità superviżorja. L-Artikoli 37-39 tar-Regolament (UE) 2016/679 dwar il-ħatra u l-kompiti tal-uffiċjali tal-protezzjoni tad-data nżammu fil-GDPR tar-Renju Unit mingħajr tibdil materjali. Barra minn hekk, id-dispożizzjonijiet tal-Artikoli 40 u 42 tar-Regolament (UE) 2016/679 dwar il-kodiċijiet ta’ kondotta u ċ-ċertifikazzjoni nżammu fil-GDPR tar-Renju Unit (80).

(85)

Sabiex jiġi żgurat li livell adegwat ta’ protezzjoni tad-data jkun iggarantit fil-prattika, jenħtieġ li tkun fis-seħħ awtorità superviżorja indipendenti inkarigata bis-setgħat li timmonitorja u tinforza l-konformità mar-regoli dwar il-protezzjoni tad-data. Jenħtieġ li din l-awtorità taġixxi b’indipendenza u b’imparzjalità sħiħa fit-twettiq tad-dmirijiet tagħha u fl-eżerċizzju tas-setgħat tagħha.

(86)

Fir-Renju Unit, is-sorveljanza u l-infurzar tal-konformità mal-GDPR tar-Renju Unit u mad-DPA 2018 jitwettqu mill-Kummissarju tal-Informazzjoni. Il-Kummissarju tal-Informazzjoni huwa “Corporation Sole”: entità ġuridika separata kostitwita f’persuna unika. Il-Kummissarju tal-Informazzjoni huwa appoġġat f’ħidmietu minn uffiċċju. Fil-31 ta’ Marzu 2020, l-Uffiċċju tal-Kummissarju tal-Informazzjoni kellu 768 membru tal-persunal permanenti (81). Id-dipartiment sponsor tal-Kummissarju tal-Informazzjoni huwa d-Department for Digital, Culture, Media and Sport (82).

(87)

L-indipendenza tal-Kummissarju hija stabbilita b’mod espliċitu fl-Artikolu 52 tal-GDPR tar-Renju Unit li ma jagħmel l-ebda tibdil sostantiv għall-Artikolu 52(1)-(3) tal-GDPR. Il-Kummissarju jeħtieġlu jaġixxi b’indipendenza sħiħa fit-twettiq tal-kompiti tiegħu u fl-eżerċitar tas-setgħat tiegħu f’konformità mal-GDPR tar-Renju Unit, jibqa’ ħieles minn influwenza esterna, kemm jekk diretta kif ukoll indiretta, fir-rigward ta’ dawk il-kompiti u s-setgħat, u la jfittex u lanqas ma jieħu struzzjonijiet mingħand xi ħadd. Il-Kummissarju jeħtieġlu jżomm ukoll lura minn kwalunkwe azzjoni inkompatibbli mad-dmirijiet tiegħu u ma għandux, waqt li jżomm il-kariga, jinvolvi ruħu f’xi okkupazzjoni inkompatibbli, kemm jekk bi ħlas kif ukoll jekk le.

(88)

Il-kundizzjonijiet għall-ħatra u għat-tneħħija tal-Kummissarju tal-Informazzjoni huma stabbiliti fl-Iskeda 12 tad-DPA 2018. Il-Kummissarju tal-Informazzjoni jinħatar mill-Maestà Tagħha fuq rakkomandazzjoni mill-Gvern wara kompetizzjoni ġusta u miftuħa. Il-kandidat jeħtieġlu jkollu l-kwalifiki, il-ħiliet u l-kompetenza xierqa. F’konformità mal-Governance Code on Public Appointments (83), lista ta’ kandidati magħżula ssir minn bord ta’ valutazzjoni konsultattiv. Qabel ma s-Segretarju tal-Istat fid-Department for Digital, Culture, Media and Sport jiffinalizza d-deċiżjoni tiegħu, il-Kumitat Magħżul rilevanti tal-Parlament jeħtieġlu jwettaq skrutinju ta’ qabel il-ħatra. Il-pożizzjoni tal-Kumitat tiġi ppubblikata (84).

(89)

Il-Kummissarju tal-Informazzjoni jżomm il-kariga għal perjodu ta’ mhux aktar minn seba’ snin. Persuna ma tistax tinħatar bħala l-Kummissarju tal-Informazzjoni għal aktar minn darba. Il-Kummissarju tal-Informazzjoni jista’ jitneħħa mill-kariga mill-Maestà Tagħha wara Indirizz miż-żewġ Kmamar tal-Parlament (85). L-ebda talba għat-tneħħija tal-Kummissarju tal-Informazzjoni ma tista’ tiġi ppreżentata lil xi waħda mill-Kmamar tal-Parlament sakemm Ministru ma jkunx ippreżenta rapport li jiddikjara li huwa jkun aċċerta li l-Kummissarju tal-Informazzjoni jkun ħati ta’ mġiba ħażina serja u/jew li l-Kummissarju ma jibqax jissodisfa l-kundizzjonijiet meħtieġa għall-eżekuzzjoni tal-funzjonijiet ta’ Kummissarju (86).

(90)

Il-finanzjament tal-Kummissarju tal-Informazzjoni jiġi minn tliet sorsi: (i) l-imposti tal-protezzjoni tad-data mħallsa mill-kontrolluri li huma stabbiliti minn regolamenti tas-Segretarju tal-Istat (87) (id-Data Protection (Charges and Information) Regulations 2018), u jammontaw għal 85 % - 90 % tal-baġit annwali tal-Uffiċċju (88); (ii) għotja f’għajnuna mħallsa mill-Gvern lill-Kummissarju tal-Informazzjoni. Għotja f’għajnuna tintuża prinċipalment sabiex tiffinanzja l-kostijiet operatorji tal-Kummissarju tal-Informazzjoni fir-rigward ta’ kompiti relatati mal-protezzjoni tad-data (89); u (iii) tariffi mitluba għal servizzi (90). Bħalissa, ma tintalab l-ebda tariffa bħal din.

(91)

Il-funzjonijiet ġenerali tal-Kummissarju tal-Informazzjoni fir-rigward tal-ipproċessar ta’ data personali li japplika għalihom il-GDPR tar-Renju Unit, huma stabbiliti fl-Artikolu 57 tal-GDPR tar-Renju Unit, u jirriflettu mill-qrib ir-regoli korrispondenti tar-Regolament (UE) 2016/679. Il-funzjonijiet tiegħu jinkludu l-monitoraġġ u l-infurzar tal-GDPR tar-Renju Unit, il-promozzjoni tas-sensibilizzazzjoni tal-pubbliku, it-trattament tal-ilmenti ppreżentati mis-suġġetti tad-data, it-twettiq ta’ investigazzjonijiet eċċ.. Barra minn hekk, it-Taqsima 115 tad-DPA 2018 tistabbilixxi funzjonijiet ġenerali oħrajn tal-Kummissarju, li jinkludu dmir ta’ għoti ta’ pariri lill-Parlament, lill-gvern u lil istituzzjonijiet u lil korpi oħrajn dwar miżuri leġiżlattivi u amministrattivi relatati mal-protezzjoni tad-drittijiet u tal-libertajiet tal-individwi fir-rigward tal-ipproċessar ta’ data personali, u s-setgħa li jinħarġu, fuq inizjattiva proprja tal-Kummissarju jew fuq talba, opinjonijiet lill-Parlament, lill-gvern jew lil istituzzjonijiet u lil korpi oħrajn kif ukoll lill-pubbliku dwar kwalunkwe kwistjoni relatata mal-protezzjoni ta’ data personali. Sabiex iżomm l-indipendenza tal-ġudikatura, il-Kummissarju tal-Informazzjoni ma huwiex awtorizzat jeżerċita l-funzjonijiet tiegħu fir-rigward tal-ipproċessar ta’ data personali minn individwu li jaġixxi f’kapaċità ġudizzjarja, jew minn qorti jew minn tribunal li jaġixxi fil-kapaċità ġudizzjarja tiegħu. Madankollu, is-sorveljanza fuq il-ġudikatura hija żgurata minn korpi speċjalizzati (ara l-premessi (99) sa (103).

(92)

Is-setgħat tal-Kummissarju tal-Informazzjoni huma stabbiliti fl-Artikolu 58 tal-GDPR tar-Renju Unit, li ma jintroduċi l-ebda tibdil materjali fl-artikolu korrispondenti tar-Regolament (UE) 2016/679. Id-DPA 2018 jistabbilixxi regoli supplimentari dwar kif dawn is-setgħat jistgħu jiġu eżerċitati. B’mod partikolari, il-Kummissarju għandu s-setgħat li: (a) jordna lill-kontrollur u lill-proċessur (u f’ċerti ċirkustanzi lil kwalunkwe persuna oħra) sabiex jipprovdu l-informazzjoni meħtieġa billi jagħti avviż ta’ informazzjoni (“avviż ta’ informazzjoni”) (91); (b) iwettaq investigazzjonijiet u awditi billi jagħti avviż ta’ valutazzjoni, li jista’ jirrikjedi li l-kontrollur jew il-proċessur jippermetti lill-Kummissarju jidħol f’bini speċifikat, jispezzjona jew jeżamina dokumenti jew tagħmir, jintervista persuni li jipproċessaw data personali f’isem il-kontrollur, eċċ. (“avviż ta’ valutazzjoni”) (92); (c) jikseb aċċess b’mod ieħor għad-dokumenti, eċċ. tal-kontrolluri u tal-proċessuri u aċċess għall-bini tagħhom f’konformità mat-Taqsima 154 tad-DPA 2018 (“setgħat ta’ dħul u ta’ spezzjoni”); (d) jeżerċita setgħat korrettivi inkluż permezz ta’ twissijiet u ta’ ċanfiriet jew jagħti ordnijiet permezz ta’ avviż ta’ infurzar, li jirrikjedi li l-kontrolluri/il-proċessuri jieħdu jew joqogħdu lura milli jieħdu passi speċifikati, inkluż li l-kontrollur jew il-proċessur jiġi ordnat jagħmel kwalunkwe ħaġa speċifikata fl-Artikolu 58(2)(c)-(g) u (j) tal-GDPR tar-Renju Unit (“avviż ta’ infurzar”) (93); (e) u joħroġ multi amministrattivi fil-forma ta’ avviż ta’ penali (“avviż ta’ penali”) (94). Dan tal-aħħar jista’ jinħareġ ukoll f’każ li awtorità pubblika tkun naqset milli tikkonforma mad-dispożizzjonijiet tal-GDPR tar-Renju Unit (95).

(93)

Il-Politika ta’ Azzjoni Regolatorja tal-ICO tistabbilixxi ċ-ċirkustanzi li fihom huwa joħroġ avviż ta’ informazzjoni, ta’ valutazzjoni, ta’ infurzar jew ta’ penali (96). Avviż ta’ infurzar mogħti bi tweġiba għal nuqqas minn kontrollur jew minn proċessur jista’ jimponi biss ir-rekwiżiti li l-Kummissarju jqis xierqa għall-fini ta’ rimedju tan-nuqqas. L-avviżi ta’ infurzar u ta’ penali jistgħu jinħarġu lil kontrollur jew lil proċessur fir-rigward ta’ ksur tal-Kapitolu II tal-GDPR tar-Renju Unit (prinċipji ta’ pproċessar), tal-Artikoli 12 -22 (drittijiet tas-suġġett tad-data), tal-Artikoli 25-39 (obbligi tal-kontrolluri u tal-proċessuri) u tal-Artikoli 44-49 (trasferimenti internazzjonali) tal-GDPR tar-Renju Unit. Jista’ jingħata wkoll avviż ta’ infurzar meta kontrollur ikun naqas milli jikkonforma mar-rekwiżit li jħallas tariffa fir-regolamenti magħmula skont it-Taqsima 137 tad-DPA 2018. Barra minn hekk, korp ta’ monitoraġġ skont l-Artikolu 41 jew fornitur taċ-ċertifikazzjoni jista’ jingħata avviż ta’ infurzar jekk jonqos milli jikkonforma mal-obbligi tiegħu skont il-GDPR tar-Renju Unit. Jista’ jingħata wkoll avviż ta’ penali lil persuna li ma tkunx ikkonformat ma’ avviż ta’ informazzjoni, ma’ avviż ta’ valutazzjoni jew ma’ avviż ta’ infurzar.

(94)

L-avviż ta’ penali jirrikjedi li l-persuna tħallas lill-Kummissarju tal-Informazzjoni ammont speċifikat fl-avviż. Fid-determinazzjoni ta’ jekk jingħatax avviż ta’ penali lil persuna u fid-determinazzjoni tal-ammont tal-penali, il-Kummissarju tal-Informazzjoni jeħtieġlu jqis il-kwistjonijiet elenkati fl-Artikolu 83(1) u (2) tal-GDPR tar-Renju Unit, li huma identiċi għar-regoli korrispondenti tar-Regolament (UE) 2016/679 (97). Skont l-Artikolu 83(4) u (5), l-ammonti massimi tal-multi amministrattivi f’każ ta’ nuqqas ta’ konformità mal-obbligi msemmija f’dawk id-dispożizzjonijiet huma £8 700 000 jew £17 500 000 rispettivament. Fil-każ ta’ impriża, il-Kummissarju tal-Informazzjoni jista’ jimponi wkoll multi bħala perċentwal tal-fatturat annwali globali, jekk ikun ogħla. Bħal fid-dispożizzjonijiet ekwivalenti tar-Regolament (UE) 2016/679, dawn l-ammonti huma stabbiliti għal 2 % u għal 4 % fl-Artikoli 83(4) u (5) rispettivament. F’każ ta’ nuqqas ta’ konformità ma’ avviż ta’ informazzjoni, ma’ avviż ta’ valutazzjoni jew ma’ avviż ta’ infurzar, l-ammont massimu tal-penali li jista’ jiġi impost minn avviż ta’ penali huwa l-ogħla bejn £17 500 000 jew, fil-każ ta’ impriża, 4 % tal-fatturat annwali globali.

(95)

Il-GDPR tar-Renju Unit flimkien mad-DPA 2018 saħħew ukoll setgħat oħrajn tal-Kummissarju tal-Informazzjoni. Pereżempju, il-Kummissarju issa jista’ jwettaq verifiki obbligatorji fir-rigward tal-kontrolluri u tal-proċessuri kollha permezz tal-użu ta’ avviżi ta’ valutazzjoni, filwaqt li skont il-leġiżlazzjoni preċedenti, id-Data Protection Act 1998, il-Kummissarju kellu din is-setgħa biss fir-rigward tal-gvern ċentrali u tal-organizzazzjonijiet tas-saħħa, oħrajn li għandhom jaqblu ma’ verifika.

(96)

Sa mill-introduzzjoni tar-Regolament (UE) 2016/679, l-ICO jittratta madwar 40 000 ilment fis-sena minn suġġetti tad-data (98) u, barra minn hekk, iwettaq madwar 2000 investigazzjoni ex officio (99). Il-maġġoranza tal-ilmenti huma relatati mad-drittijiet ta’ aċċess għad-data u mal-iżvelar tagħha. Wara l-investigazzjonijiet tiegħu, il-Kummissarju qed jieħu miżuri ta’ infurzar f’firxa wiesgħa ta’ setturi. B’mod aktar speċifiku, skont l-aħħar rapport annwali tal-Kummissarju tal-Informazzjoni (2019-2020) (100), il-Kummissarju ħareġ 54 avviż ta’ informazzjoni, tmien avviżi ta’ valutazzjoni, seba' avviżi ta’ infurzar, erba' twissijiet, tmien prosekuzzjonijiet u 15-il multa matul il-perjodu ta’ rapportar (101).

(97)

Dan jinkludi diversi penali monetarji sinifikanti imposti skont ir-Regolament (UE) 2016/679 u d-DPA 2018. B’mod partikolari, f’Ottubru 2020, il-Kummissarju tal-Informazzjoni mmulta lil kumpanija linja tal-ajru Brittanika £ 20 miljun għal ksur ta’ data li affettwa aktar minn 400 000 klijent. Fl-aħħar ta’ Ottubru 2020, katina internazzjonali tal-lukandi ġiet immultata £ 18,4 miljun talli naqset milli żżomm id-data personali ta’ miljuni ta’ klijenti sigura u, f’Novembru 2020, fornitur tas-servizzi Brittaniku li jbigħ online biljetti tal-avvenimenti ġie mmultat £ 1,25 miljun talli naqas milli jipproteġi d-dettalji tal-ħlas tal-klijenti (102).

(98)

Minbarra s-setgħat ta’ infurzar tal-Kummissarju tal-Informazzjoni deskritti fil-premessa (92), ċerti tipi ta’ ksur tal-leġiżlazzjoni dwar il-protezzjoni tad-data jikkostitwixxu reati u, għalhekk, jistgħu jkunu soġġetti għal sanzjonijiet kriminali (it-Taqsima 196 tad-DPA 2018). Dan japplika, pereżempju, għall-kisba jew għall-iżvelar b’mod konxju jew imprudenti ta’ data personali mingħajr il-kunsens tal-kontrollur, għall-iżvelar ta’ data personali lil persuna oħra mingħajr il-kunsens tal-kontrollur (103), għall-identifikazzjoni mill-ġdid ta’ informazzjoni li tkun data personali deidentifikata mingħajr il-kunsens tal-kontrollur responsabbli għad-deidentifikazzjoni tad-data personali (104), għall-ostruzzjoni b’mod intenzjonali tas-setgħa tal-Kummissarju li jeżerċita s-setgħat tiegħu fir-rigward tal-ispezzjoni ta’ data personali f’konformità mal-obbligi internazzjonali (105), għal dikjarazzjonijiet foloz bi tweġiba għal avviż ta’ informazzjoni, jew għall-qerda ta’ informazzjoni b’rabta mal-avviżi ta’ informazzjoni u ta’ valutazzjoni (106).

(99)

Is-sorveljanza tal-ipproċessar ta’ data personali mill-qrati u mill-ġudikatura hija maqsuma f’żewġ livelli. Meta detentur ta’ uffiċċju ġudizzjarju jew qorti ma tkunx qed taġixxi f’kapaċità ġudizzjarja, is-sorveljanza tiġi pprovduta mill-ICO. Meta l-kontrollur ikun qed jopera f’kapaċità ġudizzjarja, l-ICO ma jistax jeżerċita l-funzjonijiet ta’ sorveljanza tiegħu (107) u s-sorveljanza titwettaq minn korpi speċjali. Dan jirrifletti l-approċċ meħud fir-Regolament (UE) 2016/679 (l-Artikolu 55(3)).

(100)

B’mod partikolari, fit-tieni xenarju, għall-qrati tal-Ingilterra u ta’ Wales u għat-tribunali tal-Prim’Istanza u Superjuri tal-Ingilterra u ta’ Wales, tali sorveljanza tiġi pprovduta mill-Judicial Data Protection Panel (108). Barra minn hekk, il-Lord Chief Justice u s-Senior President of Tribunals ħarġu Avviż dwar il-Privatezza (109) li jistabbilixxi kif il-qrati fl-Ingilterra u f’Wales jipproċessaw data personali għal funzjoni ġudizzjarja. Inħareġ avviż simili mill-ġudikaturi tal-Irlanda ta’ Fuq (110) u tal-Iskozja (111).

(101)

Barra minn hekk, fl-Irlanda ta’ Fuq, il-Lord Chief Justice of Northern Ireland ħatar imħallef tal-High Court bħala Data Supervisory Judge (DSJ) (112). Huwa ħareġ ukoll gwida għall-Ġudikatura tal-Irlanda ta’ Fuq dwar x’għandu jsir fil-każ ta’ telf jew ta’ telf potenzjali ta’ data u l-proċess sabiex tiġi indirizzata kwalunkwe kwistjoni li tirriżulta minn dan (113).

(102)

Fl-Iskozja, il-Lord President ħatar Data Supervisory Judge sabiex jinvestiga kwalunkwe lment fuq il-bażi tal-protezzjoni tad-data. Dan huwa stabbilit skont ir-regoli dwar l-ilmenti ġudizzjarji li jirriflettu dawk stabbiliti għall-Ingilterra u għal Wales (114).

(103)

Fl-aħħar nett, fis-Supreme Court, wieħed mis-Supreme Court Justices huwa nnominat sabiex jissorvelja l-protezzjoni tad-data.

(104)

Sabiex jiġu żgurati l-protezzjoni adegwata u b’mod partikolari l-infurzar tad-drittijiet individwali, is-suġġett tad-data jenħtieġ li jingħata rimedju amministrattiv u ġudizzjarju effettiv, inkluż indennizz.

(105)

L-ewwel, suġġett tad-data għandu d-dritt li jippreżenta lment lill-Kummissarju tal-Informazzjoni, jekk is-suġġett tad-data jqis li, b’rabta mad-data personali relatata miegħu, ikun seħħ ksur tal-GDPR tar-Renju Unit (115). Il-GDPR tar-Renju Unit iżomm ir-regoli fl-Artikolu 77 tar-Regolament (UE) 2016/679 dwar dak id-dritt mingħajr modifika materjali. L-istess japplika għall-Artikolu 57(1)(f) u (2) li jistabbilixxi l-kompiti tal-Kummissarju fir-rigward tat-trattament tal-ilmenti. Kif deskritt fil-premessi (92) sa (98) above, il-Kummissarju tal-Informazzjoni għandu s-setgħa li jivvaluta l-konformità tal-kontrollur u tal-proċessur mal-GDPR tar-Renju Unit u mad-DPA 2018, jeħtieġu jieħu jew iżomm lura milli jieħu l-passi meħtieġa f’każ ta’ nuqqas ta’ konformità u jimponi multi.

(106)

It-tieni, il-GDPR tar-Renju Unit u d-DPA 2018 jipprovdu d-dritt għal rimedju kontra l-Kummissarju tal-Informazzjoni. Skont l-Artikolu 78(1) tal-GDPR tar-Renju Unit, individwu għandu dritt għal rimedju ġudizzjarju effettiv kontra deċiżjoni legalment vinkolanti tal-Kummissarju li tikkonċernah. Fil-kuntest tal-istħarriġ ġudizzjarju, l-imħallef jeżamina d-deċiżjoni li tiġi kkontestata fit-talba, u jqis jekk il-Kummissarju tal-Informazzjoni aġixxiex b’mod legali. Barra minn hekk, skont l-Artikolu 78(2) tal-GDPR tar-Renju Unit, jekk il-Kummissarju jonqos milli jittratta b’mod xieraq ilment magħmul mis-suġġett tad-data, (116) l-ilmentatur ikollu aċċess għal rimedju ġudizzjarju. Dan jista’ jitlob lil Tribunal tal-Prim’Istanza jordna lill-Kummissarju jieħu l-passi xierqa sabiex iwieġeb għall-ilment, jew sabiex jinforma lill-ilmentatur dwar il-progress fl-ilment (117). Barra minn hekk, kwalunkwe persuna li tiġi nnotifikata wieħed mill-avviżi msemmija hawn fuq (avviż ta’ informazzjoni, ta’ valutazzjoni, ta’ infurzar jew ta’ penali) mill-Kummissarju tista’ tappella quddiem Tribunal tal-Prim’Istanza (118). Jekk it-Tribunal iqis li d-deċiżjoni tal-Kummissarju ma hijiex konformi mal-liġi jew li l-Kummissarju tal-Informazzjoni missu eżerċita d-diskrezzjoni tiegħu b’mod differenti, it-Tribunal jeħtieġlu jippermetti l-appell, jew jissostitwixxi avviż jew deċiżjoni oħra li l-Kummissarju tal-Informazzjoni seta’ ta jew għamel.

(107)

It-tielet, l-individwi jistgħu jiksbu rimedju ġudizzjarju kontra kontrolluri u proċessuri direttament quddiem il-qrati skont l-Artikolu 79 tal-GDPR tar-Renju Unit u t-Taqsima 167 tad-DPA 2018. Jekk, fuq applikazzjoni minn suġġett tad-data, qorti tkun sodisfatta li seħħ ksur tad-drittijiet tas-suġġett tad-data skont il-leġiżlazzjoni dwar il-protezzjoni tad-data, il-qorti tista’ tordna lill-kontrollur fir-rigward tal-ipproċessar, jew lil proċessur li jaġixxi f’isem dak il-kontrollur, sabiex jieħu passi speċifikati fl-ordni jew li jżomm lura milli jieħu passi speċifikati fl-ordni.

(108)

Barra minn hekk, skont l-Artikolu 82 tal-GDPR tar-Renju Unit u t-Taqsima 168 tad-DPA 2018, kwalunkwe persuna li ġġarrab danni materjali jew mhux materjali bħala riżultat ta’ ksur tal-GDPR tar-Renju Unit għandha d-dritt li tirċievi kumpens mingħand il-kontrollur jew il-proċessur għad-dannu mġarrab. Ir-regoli dwar il-kumpens u r-responsabbiltà fl-Artikolu 82(1) – (5) tal-GDPR tar-Renju Unit huma identiċi għar-regoli korrispondenti fir-Regolament (UE) 2016/679. Skont it-Taqsima 168 tad-DPA 2018, danni mhux materjali jinkludu t-tbatija wkoll. Skont l-Artikolu 80 tal-GDPR tar-Renju Unit is-suġġett tad-data għandu wkoll dritt li jagħti mandat lil korp jew lil organizzazzjoni rappreżentattiva sabiex tippreżenta l-ilment lill-Kummissarju f’ismu (skont l-Artikolu 77 tal-GDPR tar-Renju Unit) u li teżerċita d-drittijiet imsemmija fl-Artikoli 78 (dritt għal rimedju ġudizzjarju effettiv kontra l-Kummissarju), 79 (dritt għal rimedju ġudizzjarju effettiv kontra kontrollur jew proċessur) u 82 (dritt għal kumpens u responsabbiltà) tal-GDPR tar-Renju Unit f’ismu.

(109)

Ir-raba’, u minbarra l-mezzi għar-rimedju deskritti hawn fuq, kwalunkwe persuna li tqis li d-drittijiet tagħha, li jinkludu d-drittijiet għall-privatezza u għall-protezzjoni tad-data, inkisru minn awtoritajiet pubbliċi, tista’ tikseb rimedju quddiem il-qrati tar-Renju Unit skont il-Human Rights Act 1998 (119). Individwu li jiddikjara li awtorità pubblika aġixxiet (jew tipproponi li taġixxi) b’mod li ma jkunx kompatibbli ma’ dritt tal-Konvenzjoni, u konsegwentement illegali skont it-Taqsima 6(1) tal-Human Rights Act 1998, jista’ jiftaħ proċedimenti kontra l-awtorità quddiem il-qorti jew it-tribunal xieraq, jew jibbaża fuq id-drittijiet ikkonċernati fi kwalunkwe proċediment legali, meta jkun vittma tal-att illegali.

(110)

Jekk il-qorti ssib li xi att ta’ awtorità pubblika jkun illegali, hija tista’ tagħti tali kumpens jew rimedju, jew tagħmel tali ordni, fis-setgħat tagħha kif tqis li jkun ġust u xieraq (120). Il-qorti tista’ tiddikjara wkoll li dispożizzjoni ta’ leġiżlazzjoni primarja tkun inkompatibbli ma’ dritt tal-Konvenzjoni.

(111)

Fl-aħħar nett, wara li jeżawrixxi r-rimedji nazzjonali, individwu jista’ jikseb rimedju quddiem il-Qorti Ewropea tad-Drittijiet tal-Bniedem għal ksur tad-drittijiet iggarantiti mill-Konvenzjoni Ewropea dwar id-Drittijiet tal-Bniedem.

(112)

Il-Kummissjoni vvalutat ukoll il-qafas legali tar-Renju Unit għall-ġbir u għall-użu sussegwenti ta’ data personali ttrasferita lil operaturi tan-negozju fir-Renju Unit minn awtoritajiet pubbliċi tar-Renju Unit fl-interess pubbliku, b’mod partikolari għal finijiet ta’ infurzar tad-dritt penali u tas-sigurtà nazzjonali (minn hawn ’il quddiem imsejħa “aċċess tal-gvern”). Fil-valutazzjoni ta’ jekk il-kundizzjonijiet li fihm l-aċċess tal-gvern għad-data ttrasferita lir-Renju Unit skont din id-Deċiżjoni jissodisfax it-test ta’ “ekwivalenza essenzjali” skont l-Artikolu 45(1) tar-Regolament (UE) 2016/679, kif interpretat mill-Qorti tal-Ġustizzja tal-Unjoni Ewropea fid-dawl tal-Karta tad-Drittijiet Fundamentali, il-Kummissjoni qieset b’mod partikolari l-kriterji li ġejjin.

(113)

L-ewwel nett, kwalunkwe limitazzjoni għad-dritt għall-protezzjoni ta’ data personali trid tkun prevista fil-liġi u l-bażi ġuridika li tippermetti l-interferenza ma’ tali dritt trid tiddefinixxi hija stess il-kamp ta’ applikazzjoni tal-limitazzjoni fuq l-eżerċizzju tad-dritt ikkonċernat (121).

(114)

It-tieni, sabiex jiġi ssodisfat ir-rekwiżit tal-proporzjonalità, li skont dan id-derogi mill-protezzjoni ta’ data personali u l-limitazzjonijiet għaliha jridu japplikaw biss sa fejn ikunu strettament meħtieġa f’soċjetà demokratika sabiex jintlaħqu objettivi speċifiċi ta’ interess ġenerali ekwivalenti għal dawk rikonoxxuti mill-Unjoni, il-leġiżlazzjoni tal-pajjiż terz inkwistjoni li tippermetti l-interferenza trid tistabbilixxi regoli ċari u preċiżi li jirregolaw il-kamp ta’ applikazzjoni u l-applikazzjoni tal-miżuri inkwistjoni u timponi salvagwardji minimi sabiex il-persuni li d-data tagħhom tkun ġiet ittrasferita jkollhom biżżejjed garanziji sabiex jipproteġu b’mod effettiv id-data personali tagħhom kontra r-riskju ta’ abbuż (122). B’mod partikolari, il-leġiżlazzjoni trid tindika f’liema ċirkustanzi u f’liema kundizzjonijiet tista’ tiġi adottata miżura li tipprovdi għall-ipproċessar ta’ tali data (123) kif ukoll soġġetta għall-issodisfar ta’ tali rekwiżiti għal sorveljanza indipendenti (124).

(115)

It-tielet, dik il-leġiżlazzjoni trid tkun legalment vinkolanti skont id-dritt domestiku u dawn ir-rekwiżiti legali ma jistgħux ikunu vinkolanti biss fuq l-awtoritajiet, iżda għandhom ukoll ikunu eżekwibbli quddiem il-qrati kontra l-awtoritajiet tal-pajjiż terz inkwistjoni (125). B’mod partikolari, is-suġġetti tad-data jrid ikollhom il-possibbiltà li jieħdu azzjoni legali quddiem qorti indipendenti u imparzjali sabiex ikollhom aċċess għad-data personali tagħhom, jew sabiex jiksbu r-rettifika jew it-tħassir tat-tali data (126).

(116)

Bħala eżerċizzju ta’ setgħa minn awtorità pubblika, l-aċċess tal-gvern fir-Renju Unit irid jitwettaq b’rispett sħiħ tal-liġi. Ir-Renju Unit irratifika l-Konvenzjoni Ewropea dwar id-Drittijiet tal-Bniedem (ara l-premessa (9)) u l-awtoritajiet pubbliċi kollha fir-Renju Unit huma meħtieġa jaġixxu f’konformità mal-Konvenzjoni (127). L-Artikolu 8 tal-Konvenzjoni jipprovdi li kwalunkwe interferenza mal-privatezza trid tkun f’konformità mal-liġi, fl-interessi ta’ wieħed mill-għanijiet stabbiliti fl-Artikolu 8(2), u b’mod proporzjonat fid-dawl ta’ dak l-għan. L-Artikolu 8 jeħtieġ ukoll li l-interferenza tkun "prevedibbli", jiġifieri jkun hemm bażi ċara, aċċessibbli fil-liġi, u li l-liġi jkun fiha salvagwardji xierqa għall-prevenzjoni tal-abbuż.

(117)

Barra minn hekk, fil-ġurisprudenza tagħha, il-Qorti Ewropea tad-Drittijiet tal-Bniedem speċifikat li jenħtieġ li kwalunkwe interferenza mad-dritt għall-privatezza u għall-protezzjoni tad-data tkun soġġetta għal sistema ta’ sorveljanza effettiva, indipendenti u imparzjali li trid tiġi stabbilita jew minn imħallef jew minn korp indipendenti ieħor (128) (eż. awtorità amministrattiva jew korp parlamentari).

(118)

Barra minn hekk, l-individwi jeħtiġilhom jiġu pprovduti b’rimedju effettiv, u l-Qorti Ewropea tad-Drittijiet tal-Bniedem iċċarat li r-rimedju jrid jiġi offrut minn korp indipendenti u imparzjali li jkun adotta r-regoli ta’ proċedura tiegħu stess, li jikkonsisti minn membri li jeħtieġ li jkollhom jew kellhom kariga ġudizzjarja għolja jew ikunu avukati tal-esperjenza, u li ma jista’ jkun hemm l-ebda oneru tal-evidenza li għandu jingħeleb sabiex tiġi ppreżentata talba quddiemu. Fit-twettiq tal-eżami tiegħu tal-ilmenti minn individwi, il-korp indipendenti u imparzjali jenħtieġ li jkollu aċċess għall-informazzjoni rilevanti kollha, inklużi materjali magħluqa. Fl-aħħar nett, jenħtieġ li jkollu s-setgħat li jirrimedja n-nuqqas ta’ konformità (129).

(119)

Ir-Renju Unit irratifika wkoll il-Konvenzjoni tal-Kunsill tal-Ewropa għall-Protezzjoni ta’ Individwi fir-rigward tal-Ipproċessar Awtomatiku ta’ Data Personali (Konvenzjoni 108), u ffirma l-Protokoll li jemenda l-Konvenzjoni għall-Protezzjoni ta’ Individwi fir-rigward tal-Ipproċessar Awtomatiku ta’ Data Personali (magħruf bħala l-Konvenzjoni 108+) fl-2018 (130). L-Artikolu 9 tal-Konvenzjoni 108 jipprovdi li derogi mill-prinċipji ġenerali tal-protezzjoni tad-data (Artikolu 5 Kwalità tad-data), ir-regoli li jirregolaw kategoriji speċjali ta’ data (Artikolu 6 Kategoriji speċjali ta’ data) u d-drittijiet tas-suġġett tad-data (Artikolu 8 Salvagwardji addizzjonali għas-suġġett tad-data) ikunu permissibbli biss meta tali deroga tkun prevista mid-dritt tal-Parti u tikkostitwixxi miżura neċessarja f’soċjetà demokratika fl-interessi tal-protezzjoni tas-sigurtà tal-Istat, tas-sigurtà pubblika, tal-interessi monetarji tal-Istat jew tas-soppressjoni ta’ reati kriminali, jew għall-protezzjoni tas-suġġett tad-data jew tad-drittijiet u tal-libertajiet ta’ oħrajn (131).

(120)

Għalhekk, permezz tas-sħubija tal-Kunsill tal-Ewropa, l-aderenza għall-Konvenzjoni Ewropea dwar id-Drittijiet tal-Bniedem u s-sottomissjoni għall-ġurisdizzjoni tal-Qorti Ewropea tad-Drittijiet tal-Bniedem, ir-Renju Unit huwa soġġett għal numru ta’ obbligi, imnaqqxa fid-dritt internazzjonali, li jinkwadraw is-sistema tiegħu ta’ aċċess tal-gvern fuq il-bażi ta’ prinċipji, ta’ salvagwardji u ta’ drittijiet individwali simili għal dawk iggarantiti skont id-dritt tal-UE u applikabbli għall-Istati Membri. Għalhekk, kif enfasizzat fil-premessa (19), aderenza kontinwa għal tali strumenti hija element partikolarment importanti tal-valutazzjoni li fuqha hija bbażata din id-Deċiżjoni.

(121)

Barra minn hekk, salvagwardji u drittijiet speċifiċi tal-protezzjoni tad-data huma ggarantiti mid-DPA 2018 meta d-data tiġi pproċessata mill-awtoritajiet pubbliċi, inkluż mill-korpi tal-infurzar tal-liġi u tas-sigurtà nazzjonali.

(122)

B’mod partikolari, ir-reġim għall-ipproċessar ta’ data personali fil-kuntest tal-infurzar tad-dritt penali huwa stabbilit fil-Parti 3 tad-DPA 2018, li ġiet ippromulgata sabiex tittrasponi d-Direttiva (UE) 2016/680. Il-Parti 3 tad-DPA 2018 tapplika għall-ipproċessar ta’ data personali minn awtoritajiet kompetenti għall-finijiet tal-prevenzjoni, tal-investigazzjoni, tas-sejbien jew tal-prosekuzzjoni ta’ reati kriminali jew tal-eżekuzzjoni ta’ pieni kriminali, inklużi s-salvagwardja kontra u l-prevenzjoni ta’ theddidiet għas-sigurtà pubblika (132).

(123)

Il-kunċett ta’ “awtorità kompetenti” huwa definit fit-Taqsima 30 tad-DPA bħala persuna elenkata fl-Iskeda 7 tad-DPA 2018 kif ukoll kwalunkwe persuna oħra sal-punt li l-persuna għandha funzjonijiet statutorji għal kwalunkwe wieħed mill-iskopijiet tal-infurzar tal-liġi (133). Kif spjegat hawn taħt (ara l-premessa (139)), ċerti awtoritajiet kompetenti (pereżempju n-National Crime Agency) jistgħu jużaw, taħt ċerti kundizzjonijiet, is-setgħat ipprovduti mill-Investigatory Power Act 2016 (IPA 2016). F’dan il-każ, is-salvagwardji pprovduti mill-IPA 2016 se japplikaw flimkien ma’ dawk ipprovduti mill-Parti 3 tad-DPA 2018. Is-servizzi tal-intelligence (is-Servizz tal-Intelligence Sigriet, is-Servizz tas-Sigurtà u l-Kwartieri Ġenerali tal-Komunikazzjonijiet tal-Gvern) mhumiex “awtoritajiet kompetenti” (134) li jaqgħu taħt il-Parti 3 tad-DPA 2018 u, għalhekk, ir-regoli pprovduti fiha ma japplikaw għall-ebda waħda mill-attivitajiet tagħhom. Parti speċifika tad-DPA 2018 (Parti 4) hija ddedikata għall-ipproċessar ta’ data personali mis-servizzi ta’ intelligence (għal aktar dettalji ara l-premessa (125)).

(124)

B’mod simili għad-Direttiva (UE) 2016/680, il-Parti 3 tad-DPA 2018 tistabbilixxi l-prinċipji tal-legalità u tal-ġustizzja (135), tal-limitazzjoni tal-fini (136), tal-minimizzazzjoni tad-data (137), tal-preċiżjoni (138), tal-limitazzjoni tal-ħżin (139) u tas-sigurtà (140). Il-leġiżlazzjoni timponi obbligi speċifiċi ta’ trasparenza (141) u tipprovdi lill-individwi bi dritt ta’ aċċess (142), ta’ rettifika u ta’ tħassir (143) u bid-dritt li ma jkunux soġġetti għal teħid awtomatizzat ta’ deċiżjonijiet (144). L-awtoritajiet kompetenti huma meħtieġa wkoll jimplimentaw il-protezzjoni tad-data mid-disinn u b’mod awtomatiku, iżommu rekords tal-attivitajiet ta’ pproċessar, u, għal ċerti operazzjonijiet ta’ pproċessar, iwettqu valutazzjonijiet tal-impatt fuq il-protezzjoni tad-data u jikkonsultaw minn qabel lill-Kummissarju tal-Informazzjoni (145). Skont it-Taqsima 56 tad-DPA 2018, dawn huma meħtieġa juru l-konformità. Barra minn hekk, huma meħtieġa jistabbilixxu miżuri xierqa sabiex jiżguraw is-sigurtà tal-ipproċessar (146) u huma soġġetti għal obbligi speċifiċi f’każ ta’ ksur ta’ data, inkluża n-notifika ta’ tali ksur lill-Kummissarju tal-Informazzjoni u lis-suġġetti tad-data (147). Kif inhu l-każ fid-Direttiva (UE) 2016/680, hemm ukoll rekwiżit għal kontrollur (sakemm ma jkunx qorti jew awtorità ġudizzjarja oħra li taġixxi f’kapaċità ġudizzjarja) li jaħtar uffiċjal tal-protezzjoni tad-data (UPD) (148) li jassisti lill-kontrollur fil-konformità mal-obbligi tiegħu kif ukoll fil-monitoraġġ ta’ dik il-konformità (149). Barra minn hekk, il-leġiżlazzjoni timponi rekwiżiti speċifiċi għat-trasferimenti internazzjonali ta’ data personali għall-finijiet ta’ infurzar tal-liġi lil pajjiżi terzi jew lil organizzazzjonijiet internazzjonali sabiex tiġi żgurata l-kontinwità tal-protezzjoni (150). Fl-istess data bħal din id-Deċiżjoni, il-Kummissjoni adottat deċiżjoni ta’ adegwatezza fuq il-bażi tal-Artikolu 36(3) tad-Direttiva (UE) 2016/680, li sabet li r-reġim ta’ protezzjoni tad-data applikabbli għall-ipproċessar mill-awtoritajiet tal-infurzar tad-dritt penali tar-Renju Unit jiżgura livell ta’ protezzjoni essenzjalment ekwivalenti għal dak iggarantit mid-Direttiva (UE) 2016/680.

(125)

Il-Parti 4 tad-DPA 2018 tapplika għall-ipproċessar kollu mis-servizzi tal-intelligence jew f’isimhom. B’mod partikolari, tistabbilixxi l-prinċipji ewlenin tal-protezzjoni tad-data (legalità, ġustizzja u trasparenza (151); limitazzjoni tal-iskop (152); minimizzazzjoni tad-data (153); preċiżjoni (154); limitazzjoni (155) u sigurtà (156) tal-ħżin), timponi kundizzjonijiet fuq l-ipproċessar ta’ kategoriji speċjali ta’ data (157), tipprovdi għal drittijiet tas-suġġett tad-data (158), teħtieġ protezzjoni tad-data mid-disinn (159) u tirregola t-trasferimenti internazzjonali ta’ data personali (160). L-ICO reċentement ħarġet gwida dettaljata dwar l-ipproċessar mill-aġenziji tal-intelligence skont il-Parti 4 tad-DPA 2018 (161).

(126)

Fl-istess ħin, it-Taqsima 110 tad-DPA 2018 tipprovdi għal eżenzjoni minn dispożizzjonijiet speċifikati fil-Parti 4 tad-DPA 2018 (162) meta tali eżenzjoni tkun meħtieġa għas-salvagwardja tas-sigurtà nazzjonali. Din l-eżenzjoni tista’ tiġi invokata fuq il-bażi ta’ analiżi każ b’każ (163). Kif spjegat mill-awtoritajiet tar-Renju Unit u kkonfermat mill-ġurisprudenza, “kontrollur jeħtieġlu jqis il-konsegwenzi attwali għas-sigurtà jew għad-difiża nazzjonali li kieku jkollu jikkonforma mad-dispożizzjoni partikolari dwar il-protezzjoni tad-data, u jekk ikunx jista’ jikkonforma b’mod raġonevoli mar-regola tas-soltu mingħajr ma jaffettwa s-sigurtà jew id-difiża nazzjonali” (164). Jekk l-eżenzjoni ntużatx kif xieraq jew le huwa soġġett għas-sorveljanza tal-ICO (165).

(127)

Barra minn hekk, fir-rigward tal-possibbiltà li tiġi ristretta għall-protezzjoni tas-“sigurtà nazzjonali”, l-applikazzjoni ta’ dawn id-dispożizzjonijiet speċifikati hawn fuq, skont it-Taqsima 111 tad-DPA 2018, kontrollur jista’ japplika għal ċertifikat iffirmat minn Ministru tal-Kabinett jew mill-Avukat Ġenerali li jiċċertifika li restrizzjoni ta’ dawn id-drittijiet hija miżura neċessarja u proporzjonata għall-protezzjoni tas-sigurtà nazzjonali (166).

(128)

Il-gvern tar-Renju Unit ħareġ gwida sabiex jassisti lill-kontrolluri meta jikkunsidraw jekk japplikawx għal ċertifikat tas-sigurtà nazzjonali skont id-DPA 2018, li tenfasizza b’mod partikolari li kwalunkwe limitazzjoni għad-drittijiet tas-suġġetti tad-data għas-salvagwardja tas-sigurtà nazzjonali trid tkun proporzjonata u meħtieġa (167). Iċ-ċertifikati tas-sigurtà nazzjonali kollha jridu jiġu ppubblikati fuq is-sit web tal-ICO (168).

(129)

Iċ-ċertifikat jenħtieġ li jkun għal durata fissa ta’ mhux aktar minn ħames snin, b’tali mod li jiġi rrieżaminat regolarment mill-Eżekuttiv (169). Ċertifikat għandu jidentifika d-data personali jew kategoriji ta’ data personali soġġetti għall-eżenzjoni kif ukoll id-dispożizzjonijiet tad-DPA 2018 li għalihom tapplika l-eżenzjoni (170).

(130)

Huwa importanti li wieħed jinnota li ċ-ċertifikati ta’ sigurtà nazzjonali ma jipprevedux raġuni addizzjonali għar-restrizzjoni tad-drittijiet tal-protezzjoni tad-data għal raġunijiet ta’ sigurtà nazzjonali. Fi kliem ieħor, il-kontrollur jew il-proċessur jista’ jibbaża biss fuq ċertifikat meta jkun ikkonkluda li jkun meħtieġ li wieħed jibbaża fuq l-eżenzjoni tas-sigurtà nazzjonali li, kif spjegat aktar ’il fuq, trid tiġi applikata fuq bażi ta’ każ b’każ (171). Anki jekk ċertifikat tas-sigurtà nazzjonali jkun japplika għall-kwistjoni inkwistjoni, l-ICO jista’ jinvestiga jekk id-dipendenza fuq l-eżenzjoni mis-sigurtà nazzjonali kinitx iġġustifikata f’każ speċifiku (172).

(131)

Kwalunkwe persuna affettwata direttament mill-ħruġ taċ-ċertifikat tista’ tappella quddiem l-Upper Tribunal (173) kontra ċ-ċertifikat (174) jew, meta ċ-ċertifikat jidentifika data permezz ta’ deskrizzjoni ġenerali, tikkontesta l-applikazzjoni taċ-ċertifikat għal data speċifika (175). It-tribunal jistħarreġ id-deċiżjoni li jinħareġ ċertifikat u jiddeċiedi jekk kienx hemm motivazzjonijiet raġonevoli għall-ħruġ taċ-ċertifikat (176). Jista’ jikkunsidra firxa wiesgħa ta’ kwistjonijiet, inklużi n-neċessità, il-proporzjonalità u l-legalità, filwaqt li jqis l-impatt fuq id-drittijiet tas-suġġetti tad-data u jibbilanċja l-ħtieġa li tiġi ssalvagwardjata s-sigurtà nazzjonali. B’riżultat ta’ dan, it-tribunal jista’ jiddetermina li ċ-ċertifikat ma japplikax għal data personali speċifika li hija s-suġġett tal-appell (177).

(132)

Sett differenti ta’ restrizzjonijiet possibbli jikkonċerna dawk li japplikaw, taħt l-Iskeda 11 tad-DPA 2018, għal ċerti dispożizzjonijiet tal-Parti 4 tad-DPA 2018 (178) sabiex jissalvagwardjaw objettivi importanti oħrajn ta’ interess pubbliku ġenerali jew interessi protetti bħal, pereżempju, il-privileġġ parlamentari, il-privileġġ professjonali legali, it-tmexxija ta’ proċedimenti ġudizzjarji jew l-effettività tal-kombattiment tal-forzi armati (179). L-applikazzjoni ta’ dawn id-dispożizzjonijiet hija jew eżentata għal ċerti kategoriji ta’ informazzjoni (“fuq il-bażi tal-klassi”), jew eżentata fejn l-applikazzjoni ta’ dawn id-dispożizzjonijiet x’aktarx li tippreġudika l-interess protett (“fuq il-bażi tal-preġudizzju”) (180). L-eżenzjonijiet ibbażati fuq il-preġudizzju jistgħu jiġu invokati biss sa fejn l-applikazzjoni tad-dispożizzjoni dwar il-protezzjoni tad-data elenkata x’aktarx li tippreġudika l-interess speċifiku inkwistjoni. Għalhekk, l-użu ta’ eżenzjoni dejjem irid ikun iġġustifikat billi ssir referenza għall-preġudizzju rilevanti li x’aktarx iseħħ fil-każ individwali. L-eżenzjonijiet fuq il-bażi tal-klassi jistgħu jiġu invokati biss fir-rigward tal-kategorija speċifika u ddefinita b’mod ristrett ta’ informazzjoni li għaliha tingħata l-eżenzjoni. Dawn huma simili fl-iskop u fl-effett għal diversi eċċezzjonijiet għall-GDPR tar-Renju Unit (taħt l-Iskeda 2 tad-DPA 2018) li, min-naħa tagħhom, jirriflettu dawk previsti fl-Artikolu 23 tal-GDPR.

(133)

Minn dan ta’ hawn fuq isegwi li l-limitazzjonijiet u l-kundizzjonijiet huma fis-seħħ skont id-dispożizzjonijiet legali applikabbli tar-Renju Unit, kif interpretati wkoll mill-qrati u mill-Information Commission, sabiex jiġi żgurat li dawn l-eżenzjonijiet u r-restrizzjonijiet jibqgħu fil-limiti ta’ dak li jkun meħtieġ u proporzjonat sabiex tiġi protetta s-sigurtà nazzjonali.

(134)

Id-dritt tar-Renju Unit jimponi numru ta’ limitazzjonijiet fuq l-aċċess u fuq l-użu ta’ data personali għall-finijiet ta’ infurzar tad-dritt penali, u jipprovdi mekkaniżmi ta’ sorveljanza u ta’ rimedju f’dan il-qasam li huma konformi mar-rekwiżiti msemmija fil-premessi (113) sa (115) ta’ din id-deċiżjoni. Il-kundizzjonijiet li fihom jista’ jseħħ dan l-aċċess u s-salvagwardji applikabbli għall-użu ta’ dawn is-setgħat huma vvalutati fid-dettall fit-taqsimiet li ġejjin.

(135)

Skont il-prinċipju tal-legalità ggarantit skont it-Taqsima 35 tad-DPA 2018, l-ipproċessar ta’ data personali għal kwalunkwe wieħed mill-finijiet tal-infurzar tal-liġi jkun legali biss jekk ikun ibbażat fuq il-liġi u jew is-suġġett tad-data jkun ta l-kunsens tiegħu għall-ipproċessar għal dak il-fini (181) jew l-ipproċessar ikun meħtieġ għat-twettiq ta’ kompitu mwettaq għal dak il-fini minn awtorità kompetenti.

(136)

Fil-qafas legali tar-Renju Unit, il-ġbir ta’ data personali minn operaturi tan-negozju, li jinkludu dawk li jipproċessaw data ttrasferita mill-UE skont din id-deċiżjoni ta’ adegwatezza, għall-finijiet ta’ infurzar tad-dritt penali, huwa permissibbli fuq il-bażi ta’ mandati ta’ perkwiżizzjoni (182) u ta’ ordnijiet ta’ produzzjoni (183).

(137)

Il-mandati ta’ perkwiżizzjoni jinħarġu minn qorti, normalment wara talba ppreżentata mill-uffiċjal tal-investigazzjoni. Jippermettu lil uffiċjal jidħol f’bini sabiex ifittex materjal jew individwi rilevanti għall-investigazzjoni tiegħu u jżomm kwalunkwe ħaġa li għaliha tkun ġiet awtorizzata perkwiżizzjoni, inkluż kwalunkwe dokument jew materjal rilevanti li jkun fih data personali (184). Ordni ta’ produzzjoni, li jeħtieġ ukoll li tinħareġ minn qorti, teħtieġ li l-persuna speċifikata fiha tipproduċi jew tagħti aċċess għal materjal li jkun fil-pussess jew taħt il-kontroll tagħha. Ir-rikorrent jeħtieġlu jiġġustifika quddiem il-qorti għaliex il-mandat jew l-ordni hija neċessarja, kif ukoll għaliex hija fl-interess pubbliku. Hemm diversi setgħat statutorji li jippermettu l-ħruġ ta’ mandati ta’ perkwiżizzjoni u ta’ ordnijiet ta’ produzzjoni. Kull dispożizzjoni għandha s-sett ta’ kundizzjonijiet statutorji tagħha stess li jridu jiġu ssodisfati sabiex jinħareġ mandat (185) jew ordni ta’ produzzjoni (186).

(138)

L-ordnijiet ta’ produzzjoni u l-mandati ta’ perkwiżizzjoni jistgħu jiġu kkontestati permezz ta’ stħarriġ ġudizzjarju (187). F’termini ta’ salvagwardji, l-awtoritajiet tal-infurzar tal-liġi kriminali kollha li jaqgħu fil-kamp ta’ applikazzjoni tal-Parti 3 tad-DPA 2018), jistgħu jaċċessaw biss data personali – li hija forma ta’ pproċessar – f’konformità mal-prinċipji u r-rekwiżiti stabbiliti fid-DPA 2018 (ara l-premessi (122) u (124) above). Għalhekk, jenħtieġ li talba magħmula minn kwalunkwe awtorità tal-infurzar tal-liġi tkun f’konformità mal-prinċipju li skont dan l-għanijiet tal-ipproċessar iridu jkunu speċifikati, espliċiti u leġittimi (188) u li d-data personali pproċessata minn awtorità kompetenti trid tkun rilevanti għal dak l-għan u mhux eċċessiva (189).

(139)

Għall-fini tal-prevenzjoni jew id-detezzjoni ta’ delitti serji biss (190), ċerti awtoritajiet tal-infurzar tal-liġi, pereżempju l-Aġenzija Nazzjonali tal-Kriminalità jew il-Kap tal-Pulizija (191), jistgħu jużaw setgħat investigattivi mmirati taħt l-IPA tal-2016. F’dan il-każ, is-salvagwardji pprovduti mill-IPA 2016 se japplikaw flimkien ma’ dawk ipprovduti mill-Parti 3 tad-DPA 2018. Is-setgħat investigattivi speċifiċi li dawk l-awtoritajiet tal-infurzar tal-liġi jistgħu jiddependu fuqhom huma: interċettazzjonijiet immirati (Parti 2 tal-IPA 2016), akkwist ta’ data ta’ komunikazzjoni (Parti 3 tal-IPA 2016), żamma ta’ data ta’ komunikazzjoni (Parti 4 tal-IPA 2016) u interferenza mmirata tat-tagħmir (Parti 5 tal-IPA 2016). L-interċettazzjoni tkopri l-kisba tal-kontenut ta’ komunikazzjoni (192) filwaqt li l-kisba u ż-żamma tad-data ta’ komunikazzjoni ma humiex immirati lejn il-kisba tal-kontenut tal-komunikazzjoni, iżda lejn il-“min”, il-“meta”, il-“fejn” u l-“kif” tal-komunikazzjoni. Din tkopri pereżempju l-ħin u d-durata ta’ komunikazzjoni, in-numru tat-telefown jew l-indirizz tal-posta elettronika tal-oriġinatur u tar-riċevitur tal-komunikazzjoni, u xi kultant il-post tal-apparati li minnhom tkun saret il-komunikazzjoni, l-abbonat għal servizz tat-telefown jew kont dettaljat (193). L-interferenza tat-tagħmir hija sett ta’ tekniki użati sabiex tinkiseb varjetà ta’ data mit-tagħmir, li jinkludi kompjuters, tablets u smart phones kif ukoll kejbils, wajers u apparati tal-ħżin (194).

(140)

Is-setgħat ta’ interċettazzjoni mmirata jistgħu jintużaw ukoll meta jkunu “neċessarji għall-fini li jiġu implimentati d-dispożizzjonijiet ta’ strument ta’ assistenza reċiproka tal-UE jew ftehim ta’ assistenza reċiproka internazzjonali” (l-hekk imsejjaħ “mandat ta’ assistenza reċiproka” (195)). Il-mandati ta’ assistenza reċiproka huma pprovduti biss fir-rigward tal-interċettazzjoni, u mhux tal-kisba ta’ data ta’ komunikazzjoni jew tal-interferenza tat-tagħmir. Dawn is-setgħat immirati huma regolati fl-Investigatory Powers Act 2016 (IPA 2016) (196), li, flimkien mar-Regulation of Investigatory Powers Act 2000 (RIPA) għall-Ingilterra, għal Wales u għall-Irlanda ta’ Fuq u mar-Regulation of Investigatory Powers (Scotland) Act 2000 (RIPSA) għall-Iskozja, jipprovdu l-bażi ġuridika u jistabbilixxu l-limitazzjonijiet u s-salvagwardji applikabbli għall-użu tat-tali setgħat. L-IPA 2016 jipprovdi wkoll ir-reġim għall-użu ta’ setgħat investigattivi tal-massa, għalkemm dawn ma humiex disponibbli għall-awtoritajiet tal-infurzar tal-liġi (l-aġenziji tal-intelligence biss jistgħu jagħmlu użu minnhom) (197).

(141)

Sabiex jeżerċitaw dawn is-setgħat, l-awtoritajiet jeħtieġ li jiksbu mandat (198) maħruġ minn awtorità kompetenti (199), u approvat minn Kummissarju Ġudizzjarju indipendenti (200) (l-hekk imsejħa proċedura “double-lock”). Il-kisba ta’ tali mandat hija soġġetta għal test tan-neċessità u tal-proporzjonalità (201). Peress li dawn is-setgħat investigattivi mmirati pprovduti mill-IPA 2016 huma l-istess bħal dawk disponibbli għall-aġenziji tas-sigurtà nazzjonali, il-kundizzjonijiet, il-limitazzjonijiet u s-salvagwardji applikabbli għal tali setgħat huma indirizzati fid-dettall fit-Taqsima dwar l-aċċess u l-użu ta’ data personali mill-awtoritajiet pubbliċi tar-Renju Unit għal finijiet ta’ sigurtà nazzjonali (ara l-premessi (177) u dawk segwenti).

(142)

Il-kondiviżjoni tad-data minn awtorità tal-infurzar tal-liġi ma’ awtorità differenti għal finijiet oħrajn għajr dawk li għalihom tkun inġabret oriġinarjament (l-hekk imsejħa “kondiviżjoni ulterjuri”) hija soġġetta għal ċerti kundizzjonijiet.

(143)

B’mod simili għal dak li huwa pprovdut fl-Artikolu 4(2) tad-Direttiva (UE) 2016/680, it-Taqsima 36(3) tad-DPA 2018 tippermetti li data personali miġbura minn awtorità kompetenti għal fini ta’ infurzar tal-liġi tista’ tiġi pproċessata b’mod ulterjuri (kemm jekk mill-kontrollur oriġinali kif ukoll minn kontrollur ieħor) għal kwalunkwe fini ieħor ta’ infurzar tal-liġi, dment li l-kontrollur ikun awtorizzat bil-liġi sabiex jipproċessa d-data għall-fini l-ieħor u l-ipproċessar ikun meħtieġ u proporzjonat għal dak l-għan (202). F’dan il-każ, is-salvagwardji kollha pprovduti mill-Parti 3 tad-DPA 2018, imsemmija fil-premessi (122) u (124) japplikaw għall-ipproċessar imwettaq mill-awtorità riċeventi.

(144)

Fl-ordinament ġuridiku tar-Renju Unit, liġijiet differenti jippermettu b’mod espliċitu l-kondiviżjoni ulterjuri bħal din. B’mod partikolari, (i) id-Digital Economy Act 2017 jippermetti l-kondiviżjoni bejn l-awtoritajiet pubbliċi għal diversi finijiet, pereżempju fil-każ ta’ kwalunkwe frodi kontra s-settur pubbliku li jinvolvi telf jew riskju ta’ telf għal awtoritajiet pubbliċi (203) jew f’każ ta’ dejn dovut lil awtorità pubblika jew lill-Kuruna (204); (ii) il-Crime and Courts Act 2013 li jippermetti l-kondiviżjoni ta’ informazzjoni man-National Crime Agency (NCA) (205) għall-ġlieda, għall-investigazzjoni u għall-prosekuzzjoni ta’ kriminalità serja u organizzata; (iii) is-Serious Crime Act 2007 li jippermetti lill-awtoritajiet pubbliċi jiżvelaw informazzjoni lill-organizzazzjonijiet ta’ kontra l-frodi għall-finijiet tal-prevenzjoni tal-frodi (206).

(145)

Dawn il-liġijiet jipprevedu b’mod espliċitu li l-kondiviżjoni tal-informazzjoni jenħtieġ li tkun f’konformità mal-prinċipji stabbiliti fid-DPA 2018. Barra minn hekk, il-College of Policing ħareġ Prattika Professjonali Awtorizzata dwar il-Kondiviżjoni tal-Informazzjoni (207) sabiex jgħin lill-pulizija tikkonforma mal-obbligi tagħha dwar il-protezzjoni tad-data skont il-GDPR tar-Renju Unit, id-DPA u l-Human Rights Act 1998. Naturalment, il-konformità tal-kondiviżjoni mal-qafas legali applikabbli dwar il-protezzjoni tad-data hija soġġetta għal stħarriġ ġudizzjarju (208).

(146)

Barra minn hekk, b’mod simili għal dak li huwa stabbilit fl-Artikolu 9 tad-Direttiva (UE) 2016/680, id-DPA 2018 tipprovdi li d-data personali miġbura għal kwalunkwe fini ta’ infurzar tal-liġi tista’ tiġi pproċessata għal fini li ma jkunx wieħed ta’ infurzar tal-liġi meta l-ipproċessar ikun awtorizzat bil-liġi (209).

(147)

Dan it-tip ta’ kondiviżjoni jkopri żewġ xenarji: 1) meta awtorità tal-infurzar tad-dritt penali taqsam data ma’ awtorità tal-infurzar mhux tad-dritt penali minbarra aġenzija tal-intelligence (bħal eż. awtorità finanzjarja jew tat-taxxa, awtorità tal-kompetizzjoni, uffiċċju tal-benessri taż-żgħażagħ, eċċ.); u 2) meta awtorità tal-infurzar tad-dritt penali taqsam data ma’ aġenzija tal-intelligence. Fl-ewwel xenarju, l-ipproċessar ta’ data personali jaqa’ fil-kamp ta’ applikazzjoni tal-GDPR tar-Renju Unit kif ukoll fil-Parti 2 tad-DPA 2018. Il-Kummissjoni vvalutat is-salvagwardji pprovduti mill-GDPR tar-Renju Unit u mill-Parti 2 tad-DPA 2018 fil-premessi (12) sa (111) u waslet għall-konklużjoni li r-Renju Unit jiżgura livell adegwat ta’ protezzjoni għad-data personali ttrasferita fi ħdan il-kamp ta’ applikazzjoni tar-Regolament (UE) 2016/679 mill-Unjoni Ewropea għar-Renju Unit.

(148)

Fit-tieni xenarju, fir-rigward tal-kondiviżjoni tad-data miġbura minn awtorità tal-infurzar tad-dritt penali ma’ aġenzija tal-intelligence għall-finijiet tas-sigurtà nazzjonali, il-bażi ġuridika li tawtorizza tali kondiviżjoni hija t-Taqsima 19 tal-Counter Terrorism Act 2008 (CTA 2008) (210). Skont dan l-Att, kwalunkwe persuna tista’ tagħti informazzjoni lil kwalunkwe wieħed mis-servizzi tal-intelligence għall-finijiet tal-eżekuzzjoni ta’ kwalunkwe waħda mill-funzjonijiet ta’ dak is-servizz, inkluża s-“sigurtà nazzjonali”.

(149)

Fir-rigward tal-kundizzjonijiet li fihom id-data tista’ tiġi kondiviża għal finijiet ta’ sigurtà nazzjonali, l-Intelligence Services Act (211) u s-Security Service Act (212) jillimitaw il-kapaċità tas-servizzi tal-intelligence li jiksbu data għal dak li jkun meħtieġ sabiex jeżegwixxu l-funzjonijiet statutorji tagħhom. L-aġenziji tal-infurzar tal-liġi, li jfittxu li jaqsmu data mas-servizzi tal-intelligence se jkollhom iqisu numru ta’ fatturi/limitazzjonijiet, minbarra l-funzjonijiet statutorji tal-aġenziji li huma stabbiliti fl-Intelligence Services Act u fis-Security Service Act (213). It-Taqsima 20 tas-CTA 2008 tagħmilha ċara li kwalunkwe kondiviżjoni tad-data skont it-Taqsima 19 xorta trid tikkonforma mal-leġiżlazzjoni dwar il-protezzjoni tad-data; li jfisser li japplikaw il-limitazzjonijiet u r-rekwiżiti kollha fil-Parti 3 tad-DPA 2018. Barra minn hekk, peress li l-awtoritajiet kompetenti huma awtoritajiet pubbliċi għall-finijiet tal-Human Rights Act 1998, dawn jeħtiġilhom jiżguraw li jaġixxu f’konformità mad-drittijiet tal-Konvenzjoni, inkluż l-Artikolu 8 tal-KEDB. Dawn il-limiti jiżguraw li l-kondiviżjoni tad-data kollha bejn l-aġenziji tal-infurzar tal-liġi u s-servizzi tal-intelligence tikkonforma mal-leġiżlazzjoni dwar il-protezzjoni tad-data u mal-KEDB.

(150)

Meta awtorità kompetenti jkollha l-ħsieb li tikkondividi data personali pproċessata skont il-Parti 3 tad-DPA 2018 ma’ awtoritajiet tal-infurzar tal-liġi ta’ pajjiż terz, ikunu japplikaw rekwiżiti speċifiċi (214). B’mod partikolari, dawn it-trasferimenti jistgħu jseħħu meta jkunu bbażati fuq regolamenti ta’ adegwatezza magħmula mis-Segretarju tal-Istat jew, fin-nuqqas ta’ tali regolamenti, iridu jiġu żgurati salvagwardji xierqa. It-Taqsima 75 tad-DPA 2018 tipprovdi li jkun hemm fis-seħħ salvagwardji xierqa fejn ikunu stabbiliti minn strument legali li jorbot lir-riċevitur intiż, jew fejn il-kontrollur, wara li jkun ivvaluta ċ-ċirkustanzi kollha li jikkonċernaw it-trasferimenti ta’ dak it-tip ta’ data personali lill-pajjiż terz jew lill-organizzazzjoni internazzjonali, jikkonkludi li jkunu jeżistu salvagwardji xierqa li jipproteġu d-data.

(151)

Jekk trasferiment ma jkunx ibbażat fuq regolament ta’ adegwatezza jew fuq salvagwardji xierqa, dan jista’ jsir biss f’ċerti ċirkustanzi speċifikati, imsemmija bħala “ċirkustanzi speċjali” (215). Dan ikun il-każ meta t-trasferiment ikun meħtieġ: (a) sabiex jiġu protetti l-interessi vitali tas-suġġett tad-data jew ta’ persuna oħra; (b) sabiex jiġu ssalvagwardjati l-interessi leġittimi tas-suġġett tad-data; (c) għall-prevenzjoni ta’ theddida immedjata u serja għas-sigurtà pubblika ta’ stat membru jew ta’ pajjiż terz; (d) f’każijiet individwali għal kwalunkwe wieħed mill-finijiet ta’ infurzar tal-liġi; jew (e) f’każijiet individwali għal fini legali (bħal fir-rigward ta’ proċedimenti ġudizzjarji jew sabiex jinkiseb parir legali). Jista’ jiġi nnotat li (d) u (e) ma japplikawx jekk id-drittijiet u l-libertajiet tas-suġġett tad-data jisbqu l-interess pubbliku fit-trasferiment. Dan is-sett ta’ ċirkustanzi jikkorrispondi għas-sitwazzjonijiet u għall-kundizzjonijiet speċifiċi li jikkwalifikaw bħala “derogi” skont l-Artikolu 38 tad-Direttiva (UE) 2016/680.

(152)

Barra minn hekk, meta l-materjal miksub mill-awtoritajiet tal-infurzar tal-liġi skont mandat li jawtorizza l-użu ta’ interċettazzjoni jew ta’ interferenza ta’ tagħmir jingħadda lil pajjiż terz, l-IPA 2016 jimponi salvagwardji addizzjonali. B’mod partikolari, tali żvelar, iddefinit bħala “żvelar barra l-pajjiż, ikun permess biss jekk l-awtorità emittenti tqis li jkun hemm fis-seħħ arranġamenti xierqa speċifiċi li jillimitaw in-numru ta’ persuni li lilhom tiġi żvelata d-data, il-punt sa fejn kwalunkwe materjal jiġi żvelat jew jitqiegħed għad-dispożizzjoni kif ukoll il-punt sa fejn kwalunkwe materjal jiġi kkupjat u n-numru ta’ kopji magħmula. Barra minn hekk, l-awtorità emittenti tista’ tqis li jkunu meħtieġa arranġamenti xierqa sabiex jiġi żgurat li kull kopja magħmula minn kwalunkwe parti ta’ dak il-materjal tinqered malli ma jkunx hemm aktar motivi rilevanti sabiex tinżamm (jekk ma tinqeridx qabel) (216).

(153)

Fl-aħħar nett, forom speċifiċi ta’ trasferimenti ulterjuri mir-Renju Unit lejn l-Istati Uniti jistgħu jseħħu fil-futur fuq il-bażi tal-“Agreement between the Government of the United Kingdom of Great Britain and Northern Ireland and the Government of the United States of America on Access to Electronic Data for the Purpose of Countering Serious Crime” (il-“Ftehim bejn ir-Renju Unit u l-Istati Uniti” jew il-“Ftehim”) (217), konkluż f’Ottubru 2019 (218). Filwaqt li l-Ftehim bejn ir-Renju Unit u l-Istati Uniti għadu ma daħalx fis-seħħ [fiż-żmien tal-adozzjoni ta’ din id-Deċiżjoni], id-dħul fis-seħħ prevedibbli tiegħu jista’ jaffettwa t-trasferimenti ulterjuri lejn l-Istati Uniti ta’ data ttrasferita għall-ewwel darba lejn ir-Renju Unit fuq il-bażi tad-Deċiżjoni. B’mod aktar speċifiku, id-data ttrasferita mill-UE lill-fornituri ta’ servizzi fir-Renju Unit tista’ tkun soġġetta għal ordnijiet għall-produzzjoni ta’ evidenza elettronika maħruġa minn awtoritajiet tal-infurzar tal-liġi kompetenti tal-Istati Uniti u magħmula applikabbli fir-Renju Unit skont dan il-Ftehim ladarba jidħol fis-seħħ. Għal dawn ir-raġunijiet, il-valutazzjoni tal-kundizzjonijiet u tas-salvagwardji li fihom jistgħu jinħarġu u jiġu eżegwiti tali ordnijiet hija rilevanti għal din id-Deċiżjoni.

(154)

F’dan ir-rigward, jenħtieġ li jiġi nnotat li, l-ewwel nett, fir-rigward tal-kamp ta’ applikazzjoni materjali tiegħu, il-Ftehim huwa applikabbli biss għal delitti li huma punibbli b’terminu massimu ta’ priġunerija ta’ mill-inqas tliet snin (iddefiniti bħala “delitt gravi”) (219), li jinkludu “attività terroristika”. It-tieni, id-data pproċessata fil-ġurisdizzjoni l-oħra tista’ tinkiseb skont dan il-Ftehim biss wara “Ordni […] soġġetta għal stħarriġ jew għal sorveljanza skont id-dritt domestiku tal-Parti Emittenti minn qorti, minn imħallef, minn maġistrat, jew minn awtorità indipendenti oħra qabel jew fil-proċedimenti dwar l-eżekuzzjoni tal-Ordni” (220). It-tielet, kwalunkwe ordni trid “tkun ibbażata fuq rekwiżiti għal ġustifikazzjoni raġonevoli bbażata fuq fatti li jistgħu jiġu artikolati u kredibbli, fuq il-partikolarità, fuq il-legalità, u fuq is-severità rigward l-imġiba li tkun qed tiġi investigata” (221) u “tkun immirata lejn kontijiet speċifiċi kif ukoll tidentifika persuna, kont, indirizz, jew apparat personali speċifiku, jew kwalunkwe identifikatur speċifiku ieħor” (222). Ir-raba’, id-data miksuba skont dan il-ftehim tibbenefika minn protezzjonijiet ekwivalenti għas-salvagwardji speċifiċi pprovduti mill-hekk imsejjaħ “Ftehim Komprensiv bejn l-UE u l-Istati Uniti” (223) – ftehim komprensiv dwar il-protezzjoni tad-data konkluż f’Diċembru 2016 mill-UE u mill-Istati Uniti u li jistabbilixxi s-salvagwardji u d-drittijiet applikabbli għat-trasferimenti ta’ data fil-Qasam ta’ kooperazzjoni fl-infurzar tal-liġi – li lkoll huma inkorporati f’dan il-Ftehim b’referenza fuq bażi mutatis mutandis sabiex b’mod partikolari titqies in-natura speċifika tat-trasferimenti (jiġifieri trasferimenti minn operaturi privati għal infurzar tal-liġi, aktar milli trasferimenti bejn awtoritajiet tal-infurzar tal-liġi) (224). Il-Ftehim bejn ir-Renju Unit u l-Istati Uniti jipprovdi speċifikament li protezzjonijiet ekwivalenti għal dawk ipprovduti mill-Ftehim Komprensiv bejn l-UE u l-Istati Uniti se jiġu applikati “għall-informazzjoni personali kollha prodotta fl-eżekuzzjoni tal-Ordnijiet soġġetti għall-Ftehim sabiex jiġu prodotti protezzjonijiet ekwivalenti” (225).

(155)

Għalhekk, jenħtieġ li d-data ttrasferita lill-awtoritajiet tal-Istati Uniti skont il-Ftehim bejn ir-Renju Unit u l-Istati Uniti tibbenefika mill-protezzjonijiet ipprovduti minn strument tad-dritt tal-UE, bl-adattamenti meħtieġa sabiex tiġi riflessa n-natura tat-trasferimenti inkwistjoni. L-awtoritajiet tar-Renju Unit ikkonfermaw ukoll li l-protezzjonijiet tal-Ftehim Komprensiv se japplikaw għall-informazzjoni personali kollha prodotta jew ippreservata skont il-Ftehim, irrispettivament min-natura jew mit-tip ta’ korp li jagħmel it-talba (eż. awtoritajiet tal-infurzar tal-liġi kemm federali kif ukoll tal-Istati fl-Istati Uniti), b’tali mod li l-protezzjoni ekwivalenti trid tiġi pprovduta fil-każijiet kollha. Madankollu, l-awtoritajiet tar-Renju Unit spjegaw ukoll li d-dettalji tal-implimentazzjoni konkreta tas-salvagwardji għall-protezzjoni tad-data għadhom soġġetti għal diskussjonijiet bejn ir-Renju Unit u l-Istati Uniti. Fil-kuntest tat-taħditiet mas-servizzi tal-Kummissjoni Ewropea dwar din id-deċiżjoni, l-awtoritajiet tar-Renju Unit ikkonfermaw li se jħallu l-Ftehim jidħol fis-seħħ biss ladarba jkunu sodisfatti li l-implimentazzjoni tiegħu tikkonforma mal-obbligi legali pprovduti fih, inkluża ċ-ċarezza fir-rigward tal-konformità mal-istandards dwar il-protezzjoni tad-data għal kwalunkwe data mitluba skont dan il-Ftehim. Peress li d-dħul fis-seħħ possibbli tal-Ftehim jista’ jkollu impatt fuq il-livell ta’ protezzjoni vvalutat f’din id-Deċiżjoni, kwalunkwe informazzjoni u kjarifika futura dwar il-mod kif l-Istati Uniti se jikkonformaw mal-obbligi tagħhom skont il-Ftehim jenħtieġ li tiġi kkomunikata mir-Renju Unit lill-Kummissjoni Ewropea, hekk kif issir disponibbli u fi kwalunkwe każ qabel id-dħul fis-seħħ tal-Ftehim, biex jiġi żgurat monitoraġġ xieraq ta’ din id-deċiżjoni f’konformità mal-Artikolu 45(4) tar-Regolament (UE) 2016/679. Se tingħata attenzjoni partikolari għall-applikazzjoni u għall-adattament tal-protezzjoni tal-Ftehim Komprensiv għat-tip speċifiku ta’ trasferimenti koperti mill-Ftehim bejn ir-Renju Unit u l-Istati Uniti.

(156)

B’mod aktar ġenerali, kwalunkwe żvilupp rilevanti fir-rigward tad-dħul fis-seħħ u tal-applikazzjoni tal-Ftehim se jitqies kif xieraq fil-kuntest tal-monitoraġġ kontinwu ta’ din id-deċiżjoni, inkluż fir-rigward tal-konsegwenzi neċessarji li għandhom jitfasslu f’każ ta’ kwalunkwe indikazzjoni li livell ta’ protezzjoni essenzjalment ekwivalenti ma għadux żgurat.

(157)

Skont is-setgħat użati mill-awtoritajiet kompetenti meta jipproċessaw data personali għall-fini ta’ infurzar tal-liġi (kemm jekk skont id-DPA 2018 jew l-IPA 2016), korpi differenti jiżguraw is-sorveljanza fuq l-użu ta’ dawn is-setgħat. B’mod partikolari, il-Kummissarju tal-Informazzjoni jissorvelja l-ipproċessar ta’ data personali meta din tkun taqa’ taħt il-kamp ta’ applikazzjoni tal-Parti 3 tad-DPA 2018 (226). Sorveljanza indipendenti u ġudizzjarja dwar l-użu tas-setgħat investigattivi skont l-IPA 2016 hija żgurata mill-Investigatory Powers Commissioner’s Office (IPCO) (227) (din il-parti hija indirizzata fil-premessi (250) sa (255)). Barra minn hekk, sorveljanza addizzjonali hija ggarantita mill-Parlament kif ukoll minn korpi oħrajn.

(158)

Il-funzjonijiet ġenerali tal-Kummissarju tal-Informazzjoni – li l-indipendenza u l-organizzazzjoni tiegħu huma spjegati fil-premessa (87) – fir-rigward tal-ipproċessar ta’ data personali li taqa’ taħt il-kamp ta’ applikazzjoni tal-Parti 3 tad-DPA 2018 huma stabbiliti fl-Iskeda 13 tad-DPA 2018. Il-kompitu ewlieni tal-ICO huwa li jissorvelja u jinforza l-Parti 3 tad-DPA 2018 kif ukoll li jippromwovi s-sensibilizzazzjoni pubblika, jagħti pariri lill-Parlament, lill-gvern u lil istituzzjonijiet u lil korpi oħrajn. Sabiex iżomm l-indipendenza tal-ġudikatura, il-Kummissarju tal-Informazzjoni ma huwiex awtorizzat jeżerċita l-funzjonijiet tiegħu fir-rigward tal-ipproċessar ta’ data personali minn individwu li jaġixxi f’kapaċità ġudizzjarja, jew minn qorti jew minn tribunal li jaġixxi fil-kapaċità ġudizzjarja tiegħu. F’dawn iċ-ċirkustanzi, korpi oħrajn jeżerċitaw il-funzjonijiet ta’ sorveljanza, kif spjegat fil-premessi (99) sa (103).

(159)

Il-Kummissarju għandu setgħat investigattivi, korrettivi, ta’ awtorizzazzjoni u konsultattivi ġenerali fir-rigward tal-ipproċessar ta’ data personali li għaliha tapplika l-Parti 3. B’mod partikolari, il-Kummissarju għandu s-setgħat li jinnotifika lill-kontrollur jew lill-proċessur dwar ksur allegat tal-Parti 3 tad-DPA 2018, li joħroġ twissijiet jew ċanfiriet lil kontrollur jew lil proċessur li jkun kiser id-dispożizzjonijiet tal-Parti 3 tal-Att, kif ukoll li joħroġ fuq inizjattiva tagħha stess jew fuq talba, opinjonijiet lill-Parlament, lill-gvern jew lil istituzzjonijiet u lil korpi oħrajn kif ukoll lill-pubbliku dwar kwalunkwe kwistjoni relatata mal-protezzjoni ta’ data personali (228).

(160)

Barra minn hekk, il-Kummissarju għandu s-setgħat li joħroġ avviżi ta’ informazzjoni (229), avviżi ta’ valutazzjoni (230) u avviżi ta’ infurzar kif (231) ukoll is-setgħa li jaċċessa dokumenti ta’ kontrolluri u ta’ proċessuri, jaċċessa l-bini tagħhom (232) u joħroġ multi amministrattivi fil-forma ta’ avviżi ta’ penali (233). Il-Politika ta’ Azzjoni Regolatorja tal-ICO tistabbilixxi ċ-ċirkustanzi li fihom joħroġ rispettivament avviżi ta’ informazzjoni, ta’ valutazzjoni, ta’ infurzar u ta’ penali (234) (ara wkoll il-premessa (93) u l-premessi 101-102 dwar id-deċiżjoni ta’ adegwatezza tad-Direttiva (UE) 2016/680).

(161)

Skont l-aħħar rapporti annwali tiegħu (2018–2019 (235), 2019-2020 (236)), il-Kummissarju tal-Informazzjoni wettaq numru ta’ investigazzjonijiet u ħa miżuri ta’ infurzar fir-rigward tal-ipproċessar tad-data minn awtoritajiet tal-infurzar tal-liġi. Pereżempju, il-Kummissarju wettaq investigazzjoni u ppubblika opinjoni f’Ottubru 2019 dwar l-użu għall-infurzar tal-liġi tat-teknoloġija tar-rikonoxximent tal-wiċċ f’postijiet pubbliċi. L-investigazzjoni ffokat b’mod partikolari fuq l-użu ta’ kapaċitajiet ta’ rikonoxximent tal-wiċċ minn filmati diretti mill-Pulizija ta’ South Wales u mill-Metropolitan Police Service (MPS). Il-Kummissarju tal-Informazzjoni investiga wkoll l-MPS “Gangs matrix” (237) u sab firxa ta’ ksur serju tal-liġi dwar il-protezzjoni tad-data li x’aktarx kien se jdgħajjef il-fiduċja pubblika fil-matriċi u f’kif kienet qed tintuża d-data. F’Novembru 2018, il-Kummissarju tal-Informazzjoni ħareġ avviż ta’ infurzar u sussegwentement l-MPS ħa l-passi meħtieġa sabiex iżid is-sigurtà u r-responsabbiltà u bl-għan li jiżgura li d-data kienet qed tintuża b’mod proporzjonat. Eżempju ieħor ta’ azzjoni ta’ infurzar f’dan il-qasam huwa l-multa ta’ £325 000 maħruġa mill-Kummissarju f’Mejju 2018 kontra l-Crown Prosecution Service (uffiċċju tal-prosekutur), għat-telf ta’ DVDs mhux kriptati li fihom reġistrazzjonijiet ta’ interrogazzjonijiet tal-pulizija. Il-Kummissarju tal-Informazzjoni wettaq ukoll investigazzjonijiet dwar suġġetti usa’, pereżempju fl-ewwel nofs tal-2020 dwar l-użu tal-Estrazzjoni mit-Telefowns Ċellulari għal Finijiet tal-Pulizija u l-ipproċessar ta’ data tal-vittmi mill-pulizija. Barra minn hekk, il-Kummissarju bħalissa qed jinvestiga każ li jinvolvi l-aċċess tal-awtoritajiet tal-infurzar tal-liġi għad-data miżmuma minn entità tas-settur privat, Clearview AI Inc (238).

(162)

Minbarra s-setgħat ta’ infurzar tal-Kummissarju tal-Informazzjoni msemmija fil-premessi ((160) u (161)), ċerti tipi ta’ ksur tal-leġiżlazzjoni dwar il-protezzjoni tad-data jikkostitwixxu reati u, għalhekk, jistgħu jkunu soġġetti għal sanzjonijiet kriminali (it-Taqsima 196 tad-DPA 2018). Dan japplika, pereżempju, għall-kisba, għall-iżvelar jew għaż-żamma ta’ data personali mingħajr il-kunsens tal-kontrollur u għall-akkwist tal-iżvelar ta’ data personali lil persuna oħra mingħajr il-kunsens tal-kontrollur (239)’; l-identifikazzjoni mill-ġdid ta’ informazzjoni li tkun data personali deidentifikata mingħajr il-kunsens tal-kontrollur responsabbli għad-deidentifikazzjoni tad-data personali (240); l-ostakolar b’mod intenzjonali lill-Kummissarju mill-eżerċizzju tas-setgħat tiegħu fir-rigward tal-ispezzjoni ta’ data personali f’konformità mal-obbligi internazzjonali (241), il-ħruġ ta’ dikjarazzjonijiet foloz bħala tweġiba għal avviż ta’ informazzjoni, jew il-qerda ta’ informazzjoni b’rabta ma’ avviżi ta’ informazzjoni u ta’ valutazzjoni (242).

(163)

Minbarra l-Kummissarju tal-Informazzjoni, hemm diversi korpi ta’ sorveljanza fil-qasam tal-infurzar tal-liġi kriminali b’mandati speċifiċi rilevanti għal kwistjonijiet ta’ protezzjoni tad-data. Dan jinkludi, pereżempju, il-Kummissarju għaż-Żamma u għall-Użu ta’ Materjal Bijometriku (“il-Kummissarju tal-Bijometrija”) (243) u l-Kummissarju għall-Kameras ta’ Sorveljanza (244).

(164)

Il-Home Affairs Select Committee (HASC) jiżgura sorveljanza parlamentari fil-qasam tal-infurzar tal-liġi. Dan il-Kumitat jikkonsisti fi 11-il Membru tal-Parlament, meħuda mill-akbar tliet partiti politiċi. Il-Kumitat għandu l-kompitu li jeżamina n-nefqa, l-amministrazzjoni u l-politika tal-Home Office u tal-korpi pubbliċi assoċjati, jiġifieri inklużi l-pulizija u l-NCA – li l-ħidma tagħhom il-Kumitat jista’ jiskrutinizza b’mod speċifiku (245).

(165)

Il-Kumitat jista’, fil-limiti tal-mandat tiegħu, jagħżel is-suġġett tal-inkjesta tiegħu stess, inklużi każijiet speċifiċi, dment li l-kwistjoni ma tkunx sub judice. Il-Kumitat jista’ jfittex ukoll evidenza bil-miktub u bil-fomm minn firxa wiesgħa ta’ gruppi u ta’ individwi rilevanti. Huwa jipproduċi rapporti dwar is-sejbiet tiegħu u joħroġ rakkomandazzjonijiet lill-Gvern (246). Il-Gvern huwa mistenni li jwieġeb għal kull waħda mir-rakkomandazzjonijiet tar-rapport u jeħtieġlu jwieġeb fi żmien 60 jum (247).

(166)

Fil-qasam tas-sorveljanza, il-Kumitat ipproduċa wkoll rapport dwar ir-Regulation of Investigatory Powers Act 2000 (RIPA 2000) (248), li sab li l-RIPA 2000 ma kienx adattat għall-iskop tiegħu. Ir-rapport tiegħu ġie kkunsidrat matul is-sostituzzjoni ta’ partijiet sinifikanti tal-RIPA 2000 mal-IPA 2016. Lista sħiħa ta’ inkjesti tista’ tinstab fuq is-sit web tal-Kumitat (249).

(167)

Il-kompiti tal-HASC jitwettqu fl-Iskozja mill-Justice Subcommittee on Policing u fl-Irlanda ta’ Fuq mill-Committee for Justice (250).

(168)

Fir-rigward tal-ipproċessar tad-data mill-awtoritajiet tal-infurzar tal-liġi, il-mekkaniżmi ta’ rimedju huma disponibbli fil-Parti 3 tad-DPA 2018 u fl-IPA 2016, kif ukoll fil-Human Rights Act 1998.

(169)

Din is-serje ta’ mekkaniżmi tipprovdi lis-suġġetti tad-data b’mezzi amministrattivi u ġudizzjarji effettivi ta’ rimedju, li jippermettulhom b’mod partikolari jiżguraw id-drittijiet tagħhom, inkluż id-dritt li jkollhom aċċess għad-data personali tagħhom, jew li jiksbu r-rettifika jew it-tħassir ta’ tali data.

(170)

L-ewwel, skont it-Taqsima 165 tad-DPA 2018, suġġett tad-data għandu d-dritt li jippreżenta lment lill-Kummissarju tal-Informazzjoni jekk is-suġġett tad-data jqis li, b’rabta mad-data personali relatata miegħu, ikun seħħ ksur tal-Parti 3 tad-DPA 2018 (251). Il-Kummissarju tal-Informazzjoni għandu s-setgħa li jivvaluta l-konformità tal-kontrollur u tal-proċessur mad-DPA 2018, jeħtieġhom jieħdu l-passi meħtieġa f’każ ta’ nuqqas ta’ konformità u jimponi multi.

(171)

It-tieni, id-DPA 2018 jipprovdi d-dritt għal rimedju kontra l-Kummissarju tal-Informazzjoni jekk jonqos milli jittratta b’mod xieraq ilment imressaq mis-suġġett tad-data. B’mod aktar speċifiku, jekk il-Kummissarju jonqos milli “jagħmel progress” (252) f’ilment magħmul mis-suġġett tad-data, l-ilmentatur ikollu aċċess għal rimedju ġudizzjarju, peress li jista’ jitlob lil Tribunal tal-Prim’Istanza (253) jordna lill-Kummissarju jieħu l-passi xierqa sabiex iwieġeb għall-ilment, jew jinforma lill-ilmentatur bil-progress fl-ilment (254). Barra minn hekk, kwalunkwe persuna li tingħata xi wieħed mill-avviżi msemmija (avviż ta’ informazzjoni, ta’ valutazzjoni, ta’ infurzar jew ta’ penali) mill-Kummissarju tista’ tappella quddiem Tribunal tal-Prim’Istanza. Jekk it-Tribunal iqis li d-deċiżjoni tal-Kummissarju ma hijiex konformi mal-liġi jew li l-Kummissarju tal-Informazzjoni missu eżerċita d-diskrezzjoni tiegħu b’mod differenti, it-Tribunal jeħtieġlu jippermetti l-appell, jew jissostitwixxi avviż jew deċiżjoni oħra li l-Kummissarju tal-Informazzjoni seta’ ta jew għamel (255).

(172)

It-tielet, l-individwi jistgħu jiksbu rimedju ġudizzjarju kontra kontrolluri u proċessuri direttament quddiem il-qrati. B’mod partikolari, skont it-Taqsima 167 tad-DPA 2018, suġġett tad-data jista’ jippreżenta talba quddiem il-qorti għal ksur tad-dritt tiegħu skont il-leġiżlazzjoni dwar il-protezzjoni tad-data u l-qorti tista’, permezz ta’ ordni, titlob lill-kontrollur jieħu (jew iżomm lura milli jieħu) kwalunkwe pass fir-rigward tal-ipproċessar għall-konformità mad-DPA 2018. Barra minn hekk, skont it-Taqsima 169 tad-DPA 2018, kwalunkwe persuna li ssofri dannu minħabba ksur ta’ rekwiżit tal-leġiżlazzjoni dwar il-protezzjoni tad-data (inkluża l-Parti 3 tad-DPA 2018), minbarra l-GDPR tar-Renju Unit, hija intitolata għal kumpens għal dak id-dannu mill-kontrollur jew mill-proċessur, ħlief jekk il-kontrollur jew il-proċessur jagħti prova li l-kontrollur jew il-proċessur bl-ebda mod ma jkun responsabbli għall-avveniment li jwassal għad-dannu. Id-dannu jinkludi kemm telf finanzjarju kif ukoll dannu li ma jinvolvux telf finanzjarju, bħal tbatija.

(173)

Fl-aħħar nett, kwalunkwe persuna, sa fejn tqis li d-drittijiet tagħha, li jinkludu d-drittijiet għall-privatezza u għall-protezzjoni tad-data, inkisru minn kwalunkwe awtorità pubblika, tista’ tikseb rimedju quddiem il-qrati tar-Renju Unit skont il-Human Rights Act 1998 (256), u, wara li tkun eżawrixxiet ir-rimedji nazzjonali, persuna, organizzazzjoni mhux governattiva u gruppi ta’ individwi jistgħu jiksbu rimedju quddiem il-Qorti Ewropea tad-Drittijiet tal-Bniedem għal ksur tad-drittijiet iggarantiti skont il-Konvenzjoni Ewropea dwar id-Drittijiet tal-Bniedem (257) (ara fil-premessa (111)).

(174)

L-individwi jistgħu jiksbu rimedju għal ksur tal-IPA 2016 quddiem l-Investigatory Powers Tribunal. Il-mogħdijiet ta’ rimedju disponibbli skont l-IPA 2016 huma deskritti fil-premessi (263) sa (269) below.

(175)

Fl-ordinament ġuridiku tar-Renju Unit, is-servizzi tal-intelligence li għandhom is-setgħa li jiġbru informazzjoni elettronika miżmuma minn kontrolluri jew minn proċessuri għal raġunijiet ta’ sigurtà nazzjonali, f’sitwazzjonijiet li huma rilevanti għal xenarju ta’ adegwatezza, huma s-Security Service (258) (MI5), is-Secret Intelligence Service (259) (SIS) u l-Government Communications Headquarters (260) (GCHQ) (261).

(176)

Fir-Renju Unit, is-setgħat tal-aġenziji tal-intelligence huma stabbiliti fl-IPA 2016 u l-RIPA 2000, li, flimkien mad-DPA 2018, jiddefinixxu l-kamp ta’ applikazzjoni materjali u personali ta’ dawn is-setgħat kif ukoll il-limitazzjonijiet u s-salvagwardji għall-użu tagħhom. Dawk is-setgħat kif ukoll il-limitazzjonijiet u s-salvagwardji applikabbli għalihom huma vvalutati fid-dettall fit-taqsimiet li ġejjin.

(177)

L-IPA 2016 jipprovdi l-qafas legali għall-użu ta’ setgħat investigattivi, jiġifieri s-setgħa ta’ interċettazzjoni, ta’ aċċess tad-data ta’ komunikazzjoni u li titwettaq interferenza tat-tagħmir. L-IPA 2016 jintroduċi projbizzjoni ġenerali u jagħmilha reat kriminali li jintużaw tekniki li jippermettu aċċess għall-kontenut tal-komunikazzjonijiet, aċċess għad-data ta’ komunikazzjoni jew interferenza tat-tagħmir mingħajr awtorità legali (262). Dan huwa rifless fil-fatt li l-użu ta’ dawn is-setgħat investigattivi huwa legali biss meta jitwettaq fuq il-bażi ta’ mandat jew ta’ awtorizzazzjoni (263).

(178)

L-IPA 2016 jistabbilixxi regoli dettaljati li jirregolaw il-kamp ta’ applikazzjoni u l-applikazzjoni ta’ kull setgħa investigattiva kif ukoll il-limitazzjonijiet u s-salvagwardji speċifiċi tagħhom. Japplikaw regoli differenti skont it-tip ta’ setgħa investigattiva (interċettazzjoni ta’ komunikazzjonijiet, kisba u żamma tad-data ta’ komunikazzjoni u interferenza tat-tagħmir) (264), kif ukoll dwar jekk is-setgħa tkunx eżerċitata fuq mira speċifika jew tal-massa. Dettalji dwar l-ambitu, is-salvagwardji u l-limitazzjonijiet ta’ kull miżura pprovduta mill-IPA 2016 huma deskritti fit-taqsima speċifika hawn taħt.

(179)

Minbarra dan, l-IPA 2016 huwa ssupplimentat b’numru ta’ Kodiċijiet ta’ Prattika statutorji, maħruġa mis-Secretary of State, approvati miż-żewġ Kmamar tal-Parlament (265) u applikabbli fil-pajjiż kollu, li jipprovdu gwida ulterjuri dwar l-użu ta’ dawn is-setgħat (266). Filwaqt li s-suġġetti tad-data jistgħu jiddependu direttament fuq id-dispożizzjonijiet stabbiliti fl-IPA tal-2016 biex jeżerċitaw id-drittijiet tagħhom, l-Iskeda 7, il-paragrafu 5 tal-IPA tal-2016 tispeċifika li l-Kodiċijiet ta’ Prattika huma ammissibbli bħala evidenza fi proċedimenti ċivili u kriminali, u l-qorti, it-tribunal jew l-awtorità superviżorja jistgħu jqisu kwalunkwe nuqqas ta’ konformità mal-Kodiċijiet meta jiddeterminaw kwistjoni rilevanti fi proċedimenti ġudizzjarji (267). Fil-kuntest tal-valutazzjoni tagħha tal- “kwalità tal-liġi” tal-leġiżlazzjoni preċedenti tar-Renju Unit fil-qasam tas-sorveljanza, l-RIPA 2000, l-Awla Manja tal-Qorti Ewropea tad-Drittijiet tal-Bniedem espressament irrikonoxxiet ir-rilevanza tal-Kodiċi ta’ Prattika tar-Renju Unit u aċċettat li d-dispożizzjonijiet tagħha jistgħu jitqiesu fil-valutazzjoni tal-prevedibbiltà tal-leġiżlazzjoni li tippermetti s-sorveljanza (268).

(180)

Jenħtieġ li għalhekk jiġi nnotat li setgħat immirati (interċettazzjoni mmirata (269), kisba tad-data ta’ komunikazzjoni (270), żamma tad-data ta’ komunikazzjoni (271) u interferenza ta’ tagħmir immirat (272)) huma disponibbli għall-aġenziji tas-sigurtà nazzjonali u għal ċerti awtoritajiet tal-infurzar tal-liġi (273) filwaqt li servizzi tal-intelligence biss jistgħu jagħmlu użu minn setgħat tal-massa (jiġifieri interċettazzjoni tal-massa (274), kisba tad-data ta’ komunikazzjoni tal-massa (275), interferenza tat-tagħmir tal-massa (276) u settijiet ta’ data personali tal-massa (277)).

(181)

Fid-deċiżjoni dwar liema setgħa ta’ investigazzjoni jenħtieġ li tintuża, l-aġenzija tal-intelligence trid tikkonforma mad-“dmirijiet ġenerali fir-rigward tal-privatezza” elenkati fit-Taqsima 2(2)(a) tal-IPA 2016, li jinkludu test tan-neċessità u tal-proporzjonalità. B’mod aktar speċifiku, skont din id-dispożizzjoni, awtorità pubblika li jkollha l-intenzjoni li tuża setgħa investigattiva jeħtiġilha tikkunsidra (i) jekk dak li qed jintalab li jinkiseb mill-mandat, mill-awtorizzazzjoni jew mill-avviż jistax jinkiseb b’mod raġonevoli b’mezzi oħrajn anqas intrużivi; (ii) jekk il-livell ta’ protezzjoni li għandu jiġi applikat fir-rigward ta’ kwalunkwe kisba ta’ informazzjoni permezz tal-mandat, tal-awtorizzazzjoni jew tal-avviż huwiex ogħla minħabba s-sensittività partikolari ta’ dik l-informazzjoni; (iii) l-interess pubbliku fl-integrità u fis-sigurtà tas-sistemi tat-telekomunikazzjoni u tas-servizzi postali, u (iv) kwalunkwe aspett ieħor tal-interess pubbliku fil-protezzjoni tal-privatezza (278).

(182)

Il-mod kif dawn il-kriterji jenħtieġ li jiġu applikati – u l-mod kif il-konformità tagħhom tiġi vvalutata bħala parti mill-awtorizzazzjoni tal-użu ta’ tali setgħat mis-Secretary of State u mill-Kummissarji Ġudizzjarji indipendenti – huwa speċifikat aktar fil-Kodiċijiet ta’ Prattika rilevanti. B’mod partikolari, l-użu ta’ kwalunkwe waħda minn dawn is-setgħat investigattivi dejjem irid ikun “proporzjonat ma’ dak li qed jintalab li jinkiseb [li] jinvolvi l-ibbilanċjar tas-serjetà tal-intrużjoni fil-privatezza (u kunsiderazzjonijiet oħrajn stabbiliti fit-taqsima 2(2)) kontra l-ħtieġa għall-attività f’termini investigattivi, operazzjonali jew ta’ kapaċità”. Dan ifisser b’mod partikolari li “jenħtieġ li joffri prospett realistiku li jġib il-benefiċċju mistenni u jenħtieġ li ma jkunx sproporzjonat jew arbitrarju” u “jenħtieġ li l-ebda interferenza mal-privatezza ma titqies proporzjonata jekk l-informazzjoni li titfittex tkun tista’ tinkiseb raġonevolment b’mezzi oħrajn anqas intrużivi” (279). B’mod aktar speċifiku, il-konformità mal-prinċipju tal-proporzjonalità trid tiġi vvalutata fir-rigward tal-kriterji li ġejjin: “(i) il-livell tal-interferenza proposta mal-privatezza kontra dak li qed jitfittex li jinkiseb; (ii) kif u għaliex il-metodi li għandhom jiġu adottati se jikkawżaw l-anqas interferenza possibbli lill-persuna u lil oħrajn; (iii) jekk l-attività hijiex użu xieraq tal-Att u mod raġonevoli, wara li jitqiesu l-alternattivi raġonevoli kollha, li jinkiseb dak li qed jitfittex li jinkiseb; (iv) liema metodi oħrajn, kif xieraq, jew ma ġewx implimentati jew tħaddmux iżda li huma vvalutati bħala insuffiċjenti sabiex jintlaħqu l-objettivi operazzjonali mingħajr l-użu tas-setgħa investigattiva proposta” (280).

(183)

Fil-prattika, kif spjegat mill-awtoritajiet tar-Renju Unit, dan jiżgura li, l-ewwel nett, aġenzija tal-intelligence tistabbilixxi l-objettiv operazzjonali (b’hekk tiddelimita l-ġbir, eż. fini tal-ġlieda kontra t-terroriżmu internazzjonali f’żona ġeografika speċifika) u, it-tieni, fuq il-bażi ta’ dak l-objettiv operazzjonali, ikollha tikkunsidra liema għażla teknika (eż. Interċettazzjoni mmirata jew tal-massa, interferenza tat-tagħmir, kisba tad-data ta’ komunikazzjoni) tkun l-aktar proporzjonata (jiġifieri l-anqas intrużiva għall-privatezza, ara t-Taqsima 2(2) tal-IPA) għal dak li qed jitfittex li jinkiseb u, għalhekk, tista’ tiġi awtorizzata skont waħda mill-bażijiet statutorji disponibbli.

(184)

Ta’ min jinnota li din id-dipendenza fuq l-istandards tan-neċessità u tal-proporzjonalità ġiet osservata u ntlaqgħet ukoll mir-Rapporteur Speċjali tan-NU dwar id-Dritt għall-Privatezza, Joseph Cannataci, li ddikjara, fir-rigward tas-sistema stabbilita mill-IPA 2016, li “l-proċeduri fis-seħħ kemm fi ħdan is-servizzi tal-intelligence kif ukoll fi ħdan l-aġenziji tal-infurzar tal-liġi jidhru li jeħtieġu b’mod sistematiku l-kunsiderazzjoni tan-neċessità u tal-proporzjonalità ta’ miżura jew ta’ operazzjoni ta’ sorveljanza qabel ma tiġi rrakkomandata għall-awtorizzazzjoni kif ukoll ir-rieżami tagħha fuq l-istess bażi” (281). Huwa osserva wkoll li fil-laqgħa tiegħu mar-rappreżentanti tal-aġenziji tal-infurzar tal-liġi u tas-sigurtà nazzjonali “huwa rċieva opinjoni kunsenswali li d-dritt għall-privatezza jeħtieġ li jkun kunsiderazzjoni primarja għal kwalunkwe deċiżjoni dwar miżuri ta’ sorveljanza. Ilkoll fehmu u apprezzaw in-neċessità u l-proporzjonalità bħala l-prinċipji kardinali li għandhom jitqiesu”.

(185)

Il-kriterji speċifiċi għall-ħruġ tal-mandati differenti, kif ukoll il-limitazzjonijiet u s-salvagwardji stabbiliti mill-IPA 2016 rigward kull setgħa investigattiva huma spjegati f’dettall fil-premessi (186) sa (243).

(186)

Hemm tliet tipi ta’ mandati għal interċettazzjoni mmirata: il-mandat ta’ interċettazzjoni mmirata (282), il-mandat ta’ eżami mmirat u mandat ta’ assistenza reċiproka (283). Il-kundizzjonijiet biex jinkisbu tali mandati kif ukoll is-salvagwardji rilevanti huma stabbiliti fil-Kapitolu 1 tal-Parti 2 tal-IPA 2016.

(187)

Mandat ta’ interċettazzjoni mmirata jawtorizza l-interċettazzjoni tal-komunikazzjonijiet deskritti fil-mandat matul it-trażmissjoni tagħhom u l-kisba ta’ data oħra rilevanti għal dawk il-komunikazzjonijiet (284), inkluża data sekondarja (285). Mandat ta’ eżaminazzjoni mmirata jawtorizza lil persuna twettaq l-għażla għall-eżaminazzjoni ta’ kontenut interċettat miksub permezz ta’ mandat ta’ interċettazzjoni tal-massa (286).

(188)

Kwalunkwe mandat skont il-Parti 2 tal-IPA 2016 jista’ jinħareġ mis-Secretary of State (287) u jiġi approvat minn Kummissarju Ġudizzjarju (288). Fil-każijiet kollha, id-durata ta’ kwalunkwe tip ta’ mandat immirat hija limitata għal 6 xhur (289) u japplikaw regoli speċifiċi dwar il-modifika (290) u t-tiġdid tiegħu (291).

(189)

Qabel ma joħroġ il-mandat, is-Secretary of State jeħtieġlu jwettaq valutazzjoni tan-neċessità u tal-proporzjonalità (292). B’mod speċifiku, għal mandat ta’ interċettazzjoni mmirata u għal mandat ta’ eżaminazzjoni mmirata, jenħtieġ li s-Secretary of State jivverifika jekk il-miżura tkunx meħtieġa għal waħda mir-raġunijiet li ġejjin: l-interess tas-sigurtà nazzjonali; il-prevenzjoni jew is-sejba ta’ reat serju; jew l-interessi tal-benesseri ekonomiku tar-Renju Unit (293) sa fejn dawk l-interessi jkunu rilevanti wkoll għall-interessi tas-sigurtà nazzjonali (294). Min-naħa l-oħra, mandat ta’ assistenza reċiproka (ara l-premessa (139) above) jista’ jinħareġ biss jekk is-Secretary of State jqis li jkunu jeżistu ċirkustanzi ekwivalenti għal dawk li fihom huwa joħroġ mandat għall-fini tal-prevenzjoni u tas-sejbien ta’ reati serji (295).

(190)

Barra minn hekk, jenħtieġ li s-Secretary of State jivvaluta jekk il-miżura tkunx proporzjonata għal dak li qed jitfittex li jinkiseb (296). Il-valutazzjoni dwar il-proporzjonalità tal-miżuri mitluba trid tqis id-dmirijiet ġenerali fir-rigward tal-privatezza stabbiliti fit-Taqsima 2(2) tal-IPA 2016, b’mod partikolari l-ħtieġa li jiġi vvalutat jekk dak li qed jitfittex li jinkiseb mill-mandat, mill-awtorizzazzjoni jew mill-avviż jistax jinkiseb raġonevolment b’mezzi anqas intrużivi u jekk il-livell ta’ protezzjoni li għandu jiġi applikat fir-rigward ta’ kwalunkwe kisba ta’ informazzjoni permezz tal-mandat, ikunx ogħla minħabba s-sensittività partikolari ta’ dik l-informazzjoni (ara l-premessa (181) above).

(191)

Għal dan l-għan, is-Secretary of State jkollu jqis l-elementi kollha tal-applikazzjoni pprovduti mill-awtorità li tissottometti t-talba, b’mod partikolari dawk relatati mal-persuni li jkunu se jiġu interċettati u r-rilevanza tal-miżura għall-investigazzjoni. Dawn l-elementi huma spjegati fil-Code of Practice on Interception of Communications u jridu jkunu deskritti f’ċertu livell ta’ speċifiċità (297). Barra minn hekk, it-Taqsima 17 tal-IPA 2016 teħtieġ li kwalunkwe mandat maħruġ skont il-Kapitolu 2 tiegħu jrid isemmi jew jiddeskrivi l-persuna speċifika jew grupp ta’ persuni, organizzazzjoni jew bini li għandu jiġi interċettat (il-“mira”). Fil-każ ta’ mandat ta’ interċettazzjoni mmirata jew ta’ mandat ta’ eżaminazzjoni mmirata, dawn jistgħu jkunu relatati wkoll ma’ grupp ta’ persuni, ma’ aktar minn persuna jew organizzazzjoni waħda, jew ma’ aktar minn sett wieħed ta’ bini (imsejjaħ ukoll “mandat tematiku”) (298). F’dawn il-każijiet, jenħtieġ li l-mandat jiddeskrivi l-iskop jew l-attività komuni kondiviża mill-grupp ta’ persuni jew mill-operazzjoni/mill-investigazzjonijiet u l-isem jew jiddeskrivi kemm jista’ jkun minn fost dawk il-persuni/l-organizzazzjonijiet jew is-sett ta’ bini fejn ikun raġonevolment prattikabbli (299). Fl-aħħar nett, il-mandati kollha maħruġa skont il-Parti 2 tal-IPA 2016 iridu jispeċifikaw l-indirizzi, in-numri, l-apparat, il-fatturi, jew it-taħlita ta’ fatturi li jkunu se jintużaw sabiex jiġu identifikati l-komunikazzjonijiet (300). F’dan ir-rigward, il-Code of Practice on Interception of Communications jispeċifika li, fil-każ ta’ mandat ta’ interċettazzjoni mmirata u ta’ mandat ta’ eżaminazzjoni mmirata, “il-mandat irid jispeċifika (jew jiddeskrivi) il-fatturi jew it-taħlita ta’ fatturi li jkunu se jintużaw għall-identifikazzjoni tal-komunikazzjonijiet. Meta l-komunikazzjonijiet jiġu identifikati b’referenza għal numru tat-telefown (pereżempju), in-numru jrid ikun speċifikat billi jiġi pprovdut fl-intier tiegħu. Iżda fejn jintużaw seletturi tal-internet kumplessi ħafna jew li jinbidlu kontinwament sabiex jiġu identifikati l-komunikazzjonijiet, jenħtieġ li dawk is-seletturi jiġu deskritti sa fejn ikun possibbli” (301).

(192)

Salvagwardja importanti f’dan il-kuntest hija li l-valutazzjoni mwettqa mis-Secretary of State sabiex joħroġ mandat trid tiġi approvata minn Kummissarju Ġudizzjarju indipendenti (302) li jivverifika b’mod partikolari jekk id-deċiżjoni li jinħareġ il-mandat tikkonformax mal-prinċipji tan-neċessità u tal-proporzjonalità (303) (dwar l-istatus u r-rwol tal-Kummissarji Ġudizzjarji, ara l-premessi (251) sa (256) below). L-IPA 2016 jiċċara wkoll li, meta jwettaq kontroll bħal dan, il-Kummissarju Ġudizzjarju jeħtieġlu japplika l-istess prinċipji li jiġu applikati minn qorti wara talba għal stħarriġ ġudizzjarju (304). Dan jiżgura li, f’kull każ, u qabel ma jseħħ l-aċċess għad-data, il-konformità mal-prinċipju tan-neċessità u tal-proporzjonalità tiġi vverifikata b’mod sistematiku minn korp indipendenti.

(193)

L-IPA 2016 jipprevedi ftit eċċezzjonijiet speċifiċi u dojoq biex jitwettqu interċettazzjonijiet immirati mingħajr mandat. Il-każijiet limitati huma dettaljati fil-liġi (305) u, ħlief għal dak ibbażat fuq il-“kunsens” tal-ispeditur/riċevitur, dawn jitwettqu minn persuni (korpi privati jew pubbliċi) differenti mill-aġenziji tas-sigurtà nazzjonali. Barra minn hekk, dan it-tip ta’ interċettazzjonijiet jitwettqu għal skopijiet differenti minn ġbir ta’ “intelligence” (306) u għal xi wħud minnhom huwa improbabbli ħafna li l-ġbir jista’ jseħħ fil-kuntest ta’ xenarju ta’ “trasferiment” (pereżempju fil-każ ta’ interċettazzjoni mwettqa fi sptar psikjatriku jew fil-ħabs). Meta titqies in-natura tal-korp li għalih japplikaw dawn il-każijiet speċifiċi (differenti mill-aġenziji tas-sigurtà nazzjonali), se japplikaw is-salvagwardji kollha pprovduti mill-Parti 2 tal-APD 2018 u l-GDPR tar-Renju Unit, inkluż is-sorveljanza tal-ICO u l-mekkaniżmi ta’ rimedju disponibbli. Barra minn hekk, minbarra s-salvagwardji pprovduti mid-DPA 2018, f’ċerti każijiet, l-IPA tal-2016 jipprevedi wkoll is-sorveljanza ex post tal-IPCO (307).

(194)

Meta titwettaq l-interċettazzjoni, limitazzjonijiet u salvagwardji addizzjonali huma applikabbli fid-dawl tal-istatus speċifiku tal-persuna/i interċettata/i (308). Pereżempju, l-interċettazzjoni ta’ oġġetti soġġetti għal privileġġ legali hija awtorizzata biss fil-preżenza ta’ ċirkustanzi eċċezzjonali u konvinċenti, il-persuna li toħroġ il-mandat jeħtiġilha tqis l-interess pubbliku fil-kunfidenzjalità ta’ oġġetti soġġetti għal privileġġ legali u li jkun hemm fis-seħħ rekwiżiti speċifiċi għall-immaniġġjar, għaż-żamma u għall-iżvelar ta’ materjal bħal dan (309).

(195)

Barra minn hekk, l-IPA 2016 jipprovdi salvagwardji speċifiċi relatati mas-sigurtà, maż-żamma u mal-iżvelar li s-Secretary of State jenħtieġ li jqis qabel ma joħroġ mandat immirat (310). B’mod partikolari, it-Taqsima 53(5) tal-IPA 2016 teħtieġ li kull kopja magħmula minn kwalunkwe wieħed minn dawk il-materjali miġbura skont il-mandat trid tinħażen b’mod sikur u tinqered hekk kif ma jkun għad hemm l-ebda raġuni rilevanti għaż-żamma tagħha, filwaqt li t-Taqsima 53(2) tal-IPA 2016 tirrikjedi li n-numru ta’ persuni li lilhom jiġi żvelat il-materjal u l-punt sa fejn jiġi żvelat, jitqiegħed għad-dispożizzjoni jew ikkupjat kwalunkwe materjal ikun limitat għall-minimu li jkun neċessarju għall-finijiet statutorji.

(196)

Fl-aħħar nett, meta l-materjal li jkun ġie interċettat jew b’mandat ta’ interċettazzjoni mmirata jew b’mandat ta’ assistenza reċiproka jkun se jingħadda lil pajjiż terz (“żvelar barra l-pajjiż”), l-IPA 2016 jipprovdi li s-Secretary of State jeħtieġlu jiżgura li jkun hemm arranġamenti xierqa fis-seħħ sabiex jiġi żgurat li jkunu jeżistu salvagwardji simili dwar is-sigurtà, iż-żamma u l-iżvelar f’dak il-pajjiż terz (311). Barra minn hekk, it-Taqsima 109(2) tad-DPA 2018 tipprevedi li s-servizzi ta’ intelligence jistgħu jittrasferixxu data personali barra mit-territorju tar-Renju Unit biss jekk it-trasferiment ikun miżura neċessarja u proporzjonata mwettqa għall-finijiet tal-funzjonijiet statutorji tal-kontrollur jew għal finijiet oħra previsti fit-Taqsima 2(2)(a) tal-Att dwar is-Servizzi ta’ Sigurtà 1989 jew it-Taqsimiet 2(2)(a) u 4(2)(a) tal-Att dwar is-Servizzi tal-Intelligence 1994 (312). Huwa importanti li dawn ir-rekwiżiti japplikaw ukoll f’każijiet fejn tiġi invokata l-eżenzjoni tas-sigurtà nazzjonali skont it-Taqsima 110 tad-DPA 2018, peress li t-Taqsima 110 tad-DPA 2018 ma telenkax it-Taqsima 109 tad-DPA 2018 bħala waħda mid-dispożizzjonijiet li jistgħu ma jiġux applikati jekk tkun meħtieġa eżenzjoni minn ċerti dispożizzjonijiet għall-fini tas-salvagwardja tas-sigurtà nazzjonali.

(197)

L-IPA 2016 jippermetti li Secretary of State jitlob lill-operaturi tat-telekomunikazzjoni jżommu data ta’ komunikazzjoni għall-fini ta’ aċċess immirat minn firxa ta’ awtoritajiet pubbliċi, inklużi aġenziji tal-infurzar tal-liġi u tal-intelligence. Il-Parti 4 tal-IPA 2016 tipprovdi għaż-żamma tad-data ta’ komunikazzjoni, filwaqt li l-Parti 3 tipprovdi għall-kisba mmirata tad-data ta’ komunikazzjoni (TCD). Il-Parti 3 u l-Parti 4 tal-IPA 2016 jistabbilixxu wkoll limitazzjonijiet speċifiċi dwar l-użu ta’ dawn is-setgħat u jipprovdu salvagwardji speċifiċi.

(198)

It-terminu “data tal-komunikazzjoni” jkopri l-“min”, il-“meta”, il-“fejn” u l-“kif” ta’ komunikazzjoni, iżda mhux il-kontenut, jiġifieri dak li ntqal jew inkiteb. Hekk kif huma differenti mill-interċettazzjoni, il-kisba u ż-żamma tad-data ta’ komunikazzjoni ma għandhomx l-għan li jiksbu l-kontenut tal-komunikazzjoni, iżda għandhom l-għan li jiksbu informazzjoni bħall-abbonat għal servizz tat-telefown jew kont dettaljat. Din tista’ tinkludi ż-żmien u d-durata tal-komunikazzjoni, in-numru jew l-indirizz tal-posta elettronika tal-oriġinatur u tar-riċevitur u kultant il-lokalizzazzjoni tal-apparati li minnhom tkun saret it-telekomunikazzjoni (313).

(199)

Jenħtieġ li jiġi nnotat li ż-żamma u l-kisba tad-data ta’ komunikazzjoni normalment mhux se jikkonċernaw data personali tas-suġġetti tad-data tal-UE ttrasferita skont din id-Deċiżjoni lejn ir-Renju Unit. L-obbligu li tinżamm jew tiġi żvelata d-data ta’ komunikazzjonijiet skont il-Partijiet 3 u 4 tal-IPA 2016 ikopri data li tinġabar mill-operaturi tat-telekomunikazzjoni fir-Renju Unit direttament mill-utenti ta’ servizz ta’ telekomunikazzjoni (314). Dan it-tip ta’ pproċessar “li jħares lejn il-klijent” tipikament ma jinvolvix trasferiment fuq il-bażi ta’ din id-Deċiżjoni, jiġifieri trasferiment minn kontrollur/minn proċessur fl-UE lil kontrollur/lil proċessur fir-Renju Unit.

(200)

Madankollu, għall-finijiet ta’ kompletezza, il-kundizzjonijiet u s-salvagwardji li jirregolaw dawn ir-reġimi ta’ kisba u ta’ żamma huma analizzzati fil-premessi li ġejjin.

(201)

Bħala premessa, għandu jiġi nnutat li ż-żamma u l-akkwist immirat ta’ data ta’ komunikazzjoni huma disponibbli kemm għall-aġenziji tas-sigurtà nazzjonali kif ukoll għal ċerti awtoritajiet tal-infurzar tal-liġi (315). Il-kundizzjonijiet li jeħtieġu ż-żamma u/jew l-akkwist ta’ data ta’ komunikazzjoni jistgħu jvarjaw skont ir-raġuni għat-talba tal-miżura, jiġifieri għan ta’ sigurtà nazzjonali jew ta’ infurzar tal-liġi.

(202)

B’mod partikolari, filwaqt li r-reġim il-ġdid introduċa r-rekwiżit ġenerali ta’ awtorizzazzjoni ex ante minn korp indipendenti li se japplika fil-każijiet kollha meta tinżamm u/jew tinkiseb data ta’ komunikazzjoni (jew għal infurzar tal-liġi jew għal skop ta’ sigurtà nazzjonali), wara s-sentenza Tele2/Watson tal-Qorti Ewropea tal-Ġustizzja (316), ġew introdotti salvagwardji speċifiċi meta l-miżura tintalab għal skopijiet ta’ infurzar tal-liġi. B’mod partikolari, meta ż-żamma jew il-kisba ta’ data ta’ komunikazzjoni tintalab għal fini ta’ infurzar tal-liġi, l-awtorizzazzjoni ex ante għandha dejjem tingħata mill-Kummissarju tas-Setgħa Investigattiva. Dan mhux dejjem ikun il-każ meta l-miżura tintalab għal skop ta’ sigurtà nazzjonali, peress li, kif deskritt hawn taħt, f’ċerti każijiet tali tip ta’ miżuri jistgħu jiġu awtorizzati minn “individwu li jawtorizza” differenti. Barra minn hekk, ir-reġim il-ġdid żied għal “reati serji” l-livell limitu li għalih jistgħu jiġu permessi ż-żamma u l-akkwist ta’ data ta’ komunikazzjoni (317).

(203)

Skont il-Parti 3 tal-IPA 2016, l-awtoritajiet pubbliċi rilevanti huma awtorizzati jiksbu data ta’ komunikazzjonijiet mingħand operatur tat-telekomunikazzjoni jew mingħand kwalunkwe persuna li kapaċi tikseb u tiżvela tali data. L-awtorizzazzjoni ma tistax tippermetti l-interċettazzjoni tal-kontenut tal-komunikazzjonijiet (318) u ssir bla effett wara perjodu ta’ xahar (319) bil-possibbiltà li tiġġedded soġġetta għal awtorizzazzjoni addizzjonali (320). Il-kisba ta’ data ta’ komunikazzjoni teħtieġ awtorizzazzjoni mill-Kummissarju tas-Setgħat Investigattivi (IPC) (321) (dwar l-istatus u s-setgħat tal-IPC ara l-premessi (250)sa (251) below). Dan huwa dejjem il-każ meta l-akkwist ta’ data ta’ komunikazzjoni jintalab minn awtorità rilevanti tal-infurzar tal-liġi. Madankollu, skont it-Taqsima 61 tal-IPA 2016, meta d-data tinkiseb għall-interessi tas-sigurtà nazzjonali jew tal-benessri ekonomiku tar-Renju Unit dment li tkun rilevanti għas-sigurtà nazzjonali, jew fejn issir talba minn membru ta’ aġenzija tal-intelligence skont it-Taqsima 61(7)(b) (322), il-kisba tista’ tiġi awtorizzata b’mod alternattiv (323) mill-IPC jew minn uffiċjal anzjan maħtur (324). L-uffiċjal maħtur irid ikun indipendenti mill-investigazzjoni jew l-operazzjoni kkonċernata u jkollu għarfien operazzjonali dwar il-prinċipji u l-leġiżlazzjoni tad-drittijiet tal-bniedem, speċifikament dawk tan-neċessità u tal-proporzjonalità (325). Id-deċiżjoni meħuda mill-uffiċjal maħtur se tkun soġġetta għas-sorveljanza ex post imwettqa mill-IPC (ara l-premessa (254) below għal aktar dettalji dwar il-funzjonijiet ta’ sorveljanza ex post tal-IPC).

(204)

L-awtorizzazzjoni għall-kisba tad-data ta’ komunikazzjoni hija bbażata fuq valutazzjoni tan-neċessità u tal-proporzjonalità tal-miżura. B’mod aktar speċifiku, in-neċessità tal-miżura hija vvalutata fid-dawl tar-raġunijiet elenkati fil-leġiżlazzjoni (326). Meta titqies in-natura mmirata ta’ din il-miżura, din trid tkun neċessarja wkoll għal investigazzjoni jew għal operazzjoni speċifika (327). Aktar rekwiżiti dwar il-valutazzjoni tan-neċessità tal-miżuri huma stabbiliti fil-Code of Practice on Communications Data (328). B’mod partikolari, dan il-Kodiċi jipprovdi li t-talba sottomessa mill-awtorità rikjedenti jenħtieġ li tidentifika tliet elementi minimi sabiex tiġġustifika l-ħtieġa ta’ tali talba: (i) l-avveniment li qed jiġi investigat bħal delitt jew lokalizzazzjoni ta’ persuna nieqsa vulnerabbli; (ii) il-persuna li qed tfittex id-data tagħha, bħal persuna suspettata, xhud jew nieqsa, u kif dawn inhi marbuta mal-avveniment; u (iii) id-data ta’ komunikazzjonijiet imfittxija, bħal numru tat-telefown jew indirizz IP, u kif din id-data hija relatata mal-persuna u mal-avveniment (329).

(205)

Barra minn hekk, il-kisba tad-data ta’ komunikazzjoni trid tkun proporzjonata għal dak li jkun qed jitfittex li jinkiseb (330). Il-Code of Practice on Communications Data jiċċara li, fit-twettiq ta’ tali valutazzjoni, jenħtieġ li l-individwu li jawtorizza jwettaq eżerċizzju ta’ bbilanċjar bejn “il-firxa tal-interferenza mad-drittijiet u mal-libertajiet ta’ individwu kontra benefiċċju speċifiku għall-investigazzjoni jew għall-operazzjoni li qed titwettaq minn awtorità pubblika rilevanti fl-interess pubbliku” u li fid-dawl tal-kunsiderazzjonijiet kollha ta’ każ partikolari, “interferenza mad-drittijiet ta’ individwu xorta tista’ ma tkunx iġġustifikata minħabba li l-impatt negattiv fuq id-drittijiet ta’ individwu ieħor jew ta’ grupp ta’ individwi jkun sever wisq”. Barra minn hekk, sabiex tiġi vvalutata b’mod speċifiku l-proporzjonalità tal-miżura, il-Kodiċi jelenka numru ta’ elementi li jenħtieġ li jiġu inklużi fit-talba sottomessa mill-awtorità rikjedenti (331). Barra minn hekk, trid tingħata kunsiderazzjoni partikolari lit-tip ta’ data ta’ komunikazzjonijiet (data ta’ “entità” jew ta’ “avvenimenti” (332)) li għandha tinkiseb, u trid tingħata preferenza lill-użu ta’ kategorija ta’ data anqas intrużiva (333). Il-Code of Practice on Communications Data fih ukoll struzzjonijiet speċifiċi għal awtorizzazzjonijiet li jinvolvu d-data ta’ komunikazzjonijiet ta’ persuni fi professjonijiet partikolari (bħal tobba, avukati, ġurnalisti, membri parlamentari, jew membri tal-kleru) (334) li huma soġġetti għal salvagwardji addizzjonali (335).

(206)

Il-Parti 4 tal-IPA 2016 tistabbilixxi r-regoli dwar iż-żamma ta’ data ta’ komunikazzjonijiet, u b’mod partikolari l-kriterji li jippermettu lis-Secretary of State joħroġ avviż ta’ żamma (336). Is-salvagwardji introdotti mill-IPA huma l-istess meta d-data tinżamm għal skop ta’ infurzar tal-liġi jew fl-interess tas-sigurtà nazzjonali.

(207)

Il-ħruġ ta’ dawn l-avviżi ta’ żamma għandu l-għan li jiżgura li l-operaturi tat-telekomunikazzjoni jżommu, għal perjodu massimu ta’ 12-il xahar, id-data ta’ komunikazzjonijiet rilevanti li kieku titħassar ladarba ma tibqax meħtieġa għall-fini tan-negozju (337). Id-data miżmuma għandha tibqa’ disponibbli għall-perjodu meħtieġ jekk sussegwentement ikun neċessarju li awtorità pubblika takkwistaha skont awtorizzazzjoni għal akkwist immirat tad-data ta’ komunikazzjoni pprovduta mill-Parti 3 tal-IPA 2016 u deskritta fil-premessi (203) sa (205).

(208)

L-eżerċizzju tas-setgħa li tintalab iż-żamma ta’ ċerta data huwa soġġett għal għadd ta’ limitazzjonijiet u salvagwardji. Is-Secretary of State jista’ joħroġ avviż ta’ żamma lil operatur wieħed jew aktar (338) biss meta jqis li r-rekwiżit li tinżamm id-data jkun meħtieġ għal wieħed mill-finijiet statutorji (339) u jkun proporzjonat għal dak li jkun qed jitfittex li jinkiseb (340). Kif iċċarat mill-IPA 2016 stess (341), qabel ma joħroġ avviż ta’ żamma, is-Secretary of State jeħtieġlu jqis: il-benefiċċji probabbli tal-avviż (342); deskrizzjoni tas-servizzi ta’ telekomunikazzjoni; l-adegwatezza tal-limitazzjoni tad-data li għandha tinżamm b’referenza għal-lokalizzazzjoni, jew deskrizzjonijiet ta’ persuni li lilhom jiġu forniti s-servizzi ta’ telekomunikazzjoni (343); in-numru probabbli ta’ utenti (jekk magħruf) ta’ kwalunkwe servizz ta’ telekomunikazzjoni li miegħu jkun relatat l-avviż (344); il-fattibbiltà teknika tal-konformità mal-avviż; l-ispiża probabbli tal-konformità mal-avviż, u kwalunkwe effett ieħor tal-avviż fuq l-operatur tat-telekomunikazzjoni (jew deskrizzjoni tal-operaturi) li miegħu jkun relatat (345). Kif spjegat aktar fid-dettall fil-Kapitolu 17 tal-Code of Practice on Communications Data, l-avviżi kollha ta’ żamma jeħtieġ li jispeċifikaw kull tip ta’ data li jeħtieġ li jinżamm u kif dak it-tip ta’ data jissodisfa t-testijiet meħtieġa għaż-żamma.

(209)

Fil-każijiet kollha (kemm għal skopijiet ta’ sigurtà nazzjonali kif ukoll ta’ infurzar tal-liġi) id-deċiżjoni tas-Segretarju tal-Istat li joħroġ l-avviż ta’ żamma trid tiġi approvata minn Kummissarju Ġudizzjarju indipendenti taħt l-hekk imsejħa “proċedura double-lock”, li għandu jirrevedi b’mod partikolari jekk l-avviż biex tinżamm id-data ta’ komunikazzjoni rilevanti huwiex meħtieġ u proporzjonat għal wieħed jew aktar mill-għanijiet statutorji (346).

(210)

L-interferenza tat-tagħmir hija sett ta’ tekniki użati sabiex tinkiseb varjetà ta’ data minn tagħmir (347), li jinkludi kompjuters, tablets u smart phones kif ukoll kejbils, wajers u apparati tal-ħżin (348). L-interferenza tat-tagħmir tippermetti li jinkiseb kemm il-kontenut ta’ komunikazzjonijiet kif ukoll data tat-tagħmir (349).

(211)

F’konformità mat-Taqsima 13(1) tal-IPA 2016, l-użu ta’ interferenza tat-tagħmir minn servizz tal-intelligence jeħtieġ awtorizzazzjoni permezz ta’ mandat taħt il-proċedura “double-lock” stabbilita mill-IPA 2016, dment li jkun hemm “konnessjoni mal-Gżejjer Brittaniċi” (350). Skont l-ispjegazzjonijiet ipprovduti mill-awtoritajiet tar-Renju Unit, f’sitwazzjonijiet li fihom id-data tiġi ttrasferita mill-Unjoni Ewropea lir-Renju Unit fi ħdan il-kamp ta’ applikazzjoni ta’ din id-Deċiżjoni, dejjem ikun hemm “konnessjoni mal-Gżejjer Brittaniċi” u, għalhekk, kwalunkwe interferenza tat-tagħmir li tkopri tali data tkun soġġetta għar-rekwiżit obbligatorju ta’ mandat tat-Taqsima 13(1) tal-IPA 2016 (351).

(212)

Ir-regoli dwar il-mandati ta’ interferenza mmirata tat-tagħmir huma stabbiliti fil-Parti 5 tal-IPA 2016. B’mod simili għall-interċettazzjoni mmirata, l-interferenza immirata tat-tagħmir trid tkun relatata ma’ “mira” speċifika, li trid tkun stabbilita fil-mandat (352). Id-dettalji dwar kif trid tiġi identifikata “mira” jiddependu mill-kwistjoni u mit-tip ta’ tagħmir li miegħu trid issir interferenza. B’mod partikolari, it-Taqsima 115(3) tal-IPA tispeċifika l-elementi li jenħtieġ li jkunu inklużi fil-mandat (eż. isem il-persuna jew l-organizzazzjoni, deskrizzjoni tal-post) skont, pereżempju, jekk l-interferenza tikkonċernax tagħmir li jappartjeni, jintuża għal jew ikun fil-pussess ta’ persuna jew ta’ organizzazzjoni partikolari jew ta’ grupp ta’ persuni, ikun f’post speċifiku eċċ. (353). Il-finijiet li għalihom jistgħu jinħarġu mandati ta’ interferenza mmirata tat-tagħmir jiddependu mill-awtorità pubblika li tapplika għalihom (354).

(213)

B’mod simili għall-interċettazzjoni mmirata, l-awtorità emittenti jeħtieġ li tikkunsidra jekk il-miżura tkunx neċessarja sabiex jinkiseb fini speċifiku u jekk tkunx proporzjonata għal dak li jitfittex li jinkiseb (355). Barra minn hekk, jenħtieġ li tqis ukoll jekk jeżistux salvagwardji fir-rigward tas-sigurtà, taż-żamma u tal-iżvelarkif ukoll fir-rigward tal-“iżvelar barra l-pajjiż” (356) (ara l-premessa (196)).

(214)

Il-mandat irid jiġi approvat minn Kummissarju Ġudizzjarju, ħlief f’każijiet ta’ urġenza (357). Fil-każ tal-aħħar, Kummissarju Ġudizzjarju jrid jiġi informat li nħareġ mandat u jeħtieġlu japprovah fi żmien tlett ijiem ta’ xogħol. F’każ li l-Kummissarju Ġudizzjarju jirrifjuta li japprovaha, il-mandat ma jibqax ikollu effett u ma jistax jiġġedded (358). Barra minn hekk, il-Kummissarju Ġudizzjarju għandu s-setgħa li jitlob li kwalunkwe data li tkun inkisbet taħt il-mandat titħassar (359). Il-fatt li nħareġ mandat b’mod urġenti ma għandux impatt fuq is-sorveljanza ex post (ara l-premessi (244) sa (255)) u lanqas fuq il-possibbiltajiet għall-individwi li jfittxu rimedju (ara l-premessi (260) sa (270)). L-individwi jistgħu jilmentaw mal-ICO jew jagħmlu talba dwar kwalunkwe mġiba allegata quddiem it-Tribunal tas-Setgħat Investigattivi bil-mod tas-soltu. Fil-każijiet kollha, it-test applikat mill-Kummissarju Ġudizzjarju meta jiddeċiedi jekk għandux japprova mandat huwa t-test tan-neċessità u tal-proporzjonalità kif applikabbli għat-talbiet għal interċettazzjoni mmirata (360) (ara l-premessa (192) above).

(215)

Finalment, salvagwardji speċifiċi applikabbli għall-interċettazzjoni mmirata japplikaw ukoll għall-interferenza tat-tagħmir fir-rigward tad-durata, tat-tiġdid, u tal-modifika tal-mandat kif ukoll għall-interċettazzjoni ta’ Membri tal-Parlament, ta’ oġġetti soġġetti għal privileġġ legali u ta’ materjal ġurnalistiku (ara aktar dettalji fil-premessa (193)).

(216)

Is-setgħat tal-massa huma rregolati fil-Parti 6 tal-IPA 2016. Barra minn hekk, il-Kodiċijiet ta’ prattika jipprovdu għal aktar dettalji dwar l-użu ta’ setgħat tal-massa. Filwaqt li fid-dritt tar-Renju Unit ma hemm l-ebda definizzjoni ta’ “setgħa tal-massa”, fil-kuntest tal-IPA 2016, din ġiet deskritta bħala l-ġbir u ż-żamma ta’ kwantitajiet kbar ta’ data miksuba mill-Gvern permezz ta’ diversi mezzi (jiġifieri s-setgħat ta’ interċettazzjoni tal-massa, ta’ kisba tal-massa, ta’ interferenza tat-tagħmir tal-massa u ta’ settijiet ta’ data personali tal-massa) u li sussegwentement tkun tista’ tiġi aċċessata mill-awtoritajiet. Din id-deskrizzjoni hija ċċarata billi titqabbel ma’ dak li ma hijiex “setgħa tal-massa”: din ma tikkorrispondix għall-hekk imsejħa “sorveljanza tal-massa” mingħajr limitazzjonijiet jew salvagwardji. Għall-kuntrarju, kif spjegat hawn taħt, tinkorpora limitazzjonijiet u salvagwardji mfassla sabiex jiżguraw li l-aċċess għad-data ma jingħatax fuq bażi indiskriminata jew mhux iġġustifikata (361). B’mod partikolari, is-setgħat tal-massa jistgħu jintużaw biss jekk tiġi stabbilita rabta bejn il-miżura teknika li aġenzija nazzjonali tal-intelligence jkollha l-ħsieb li tuża u l-objettiv operazzjonali li għalih tintalab tali miżura.

(217)

Barra minn hekk, is-setgħat tal-massa huma disponibbli għall-aġenziji tal-intelligence biss u dejjem ikunu soġġetti għal mandat maħruġ mis-Secretary of State u approvati minn Kummissarju Ġudizzjarju. Fl-għażla tal-mezzi sabiex tinġabar l-intelligence, irid jiġi kkunsidrat jekk l-objettiv inkwistjoni jistax jitfittex b’“mezzi anqas intrużivi” (362). Dan l-approċċ isegwi mill-qafas tal-leġiżlazzjoni li huwa mibni fuq il-prinċipju tal-proporzjonalità u, għalhekk, jagħti prijorità lill-ġbir tal-massa.

(218)

Ir-reġim għall-interċettazzjoni tal-massa huwa pprovdut fil-Kapitolu 1 tal-Parti 6 tal-IPA 2016 filwaqt li l-Kapitolu 3 tal-istess Parti jirregola l-interferenza tat-tagħmir tal-massa. Dawn ir-reġimi huma sostanzjalment l-istess, u għalhekk il-kundizzjonijiet u s-salvagwardji addizzjonali applikabbli għal dawk il-mandati jiġu analizzati flimkien.

(219)

Mandat ta’ interċettazzjoni tal-massa huwa limitat għall-interċettazzjoni ta’ komunikazzjonijiet matul it-trażmissjoni tagħhom mibgħuta jew riċevuti minn individwi li jkunu barra mill-Gżejjer Brittaniċi (363), l-hekk imsejħa “komunikazzjonijiet relatati ma’ barra l-pajjiż” (364), kif ukoll data rilevanti oħra u l-għażla sussegwenti għall-eżaminazzjoni tal-materjal interċettat (365). Mandat ta’ interferenza ta’ tagħmir tal-massa (366) jawtorizza lid-destinatarju sabiex jiżgura interferenza ma’ kwalunkwe tagħmir bl-għan li jikseb komunikazzjonijiet relatati ma’ barra l-pajjiż (inkluża kwalunkwe ħaġa li tinkludi diskors, mużika, ħsejjes, immaġnijiet viżwali jew data ta’ kwalunkwe deskrizzjoni), data tat-tagħmir (data li tippermetti jew tiffaċilita l-funzjonament ta’ servizz postali; sistema tat-telekomunikazzjoni; servizz ta’ telekomunikazzjoni) jew kwalunkwe informazzjoni oħra (367).

(220)

Is-Secretary of State jista’ joħroġ mandat kbir biss wara talba magħmula minn kap ta’ servizz tal-intelligence (368). Mandat li jawtorizza interċettazzjoni tal-massa jew interferenza tat-tagħmir tal-massa jrid jinħareġ biss jekk ikun meħtieġ għall-interess tas-sigurtà nazzjonali u għal fini ieħor ta’ prevenzjoni jew ta’ sejbien ta’ delitt gravi, jew fl-interess tal-benessri ekonomiku tar-Renju Unit meta jkun rilevanti għas-sigurtà nazzjonali (369). Barra minn hekk, it-Taqsima 142(7) tal-IPA 2016 tirrikjedi li mandat ta’ interċettazzjoni tal-massa jrid jiġi speċifikat f’aktar dettall milli sempliċi referenza għall-“interessi tas-sigurtà nazzjonali”, għall-“benessri ekonomiku tar-Renju Unit” u għall-“prevenzjoni u ġlieda kontra l-kriminalità serja” iżda trid tkun stabbilita rabta bejn il-miżura mfittxija u fini operazzjonali wieħed jew aktar li jrid ikun inkluż fil-mandat.

(221)

L-għażla tal-fini operazzjonali hija riżultat ta’ proċess b’diversi saffi. It-Taqsima 142(4) tipprovdi li l-finijiet operazzjonali speċifikati fil-mandat iridu jiġu speċifikati f’lista miżmuma mill-kapijiet tas-servizzi tal-intelligence, bħala finijiet li huma jqisu bħala finijiet operazzjonali li għalihom il-kontenut interċettat jew id-data sekondarja miksuba taħt mandati ta’ interċettazzjoni tal-massa jistgħu jintgħażlu għal eżaminazzjoni. Il-lista ta’ finijiet operazzjonali trid tiġi approvata mis-Secretary of State. Is-Secretary of State jista’ jagħti din l-approvazzjoni biss jekk ikun sodisfatt li l-fini operazzjonali jkun speċifikat f’livell akbar ta’ dettall mir-raġunijiet ġenerali għall-awtorizzazzjoni tal-mandat (sigurtà nazzjonali jew sigurtà nazzjonali u benessri ekonomiku jew prevenzjoni ta’ delitt gravi) (370). Fi tmiem kull perjodu rilevanti ta’ tliet xhur, is-Secretary of State jeħtieġlu jagħti kopja tal-lista ta’ finijiet operazzjonali lill-ISC Parlamentari. Fl-aħħar nett, il-Prim Ministru jeħtieġlu jirrieżamina l-lista ta’ finijiet operazzjonali tal-anqas darba fis-sena (371). Kif ġie nnotat mill-High Court, “dawn ma għandhomx jitwarrbu bħala salvagwardji insinifikanti, peress li flimkien jibnu sett kumpless ta’ modi ta’ responsabbiltà, li jinvolvu lill-Parlament kif ukoll lill-membri tal-gvern fl-ogħla livell” (372).

(222)

Tali finijiet operazzjonali jillimitaw ukoll il-kamp ta’ applikazzjoni tal-għażla tal-materjal ta’ interċettazzjoni għall-istadju tal-eżaminazzjoni. L-għażla għall-eżaminazzjoni ta’ kwalunkwe materjal miġbur skont il-mandat tal-massa trid tkun iġġustifikata fid-dawl tal-fini(jiet) operazzjonali. Kif spjegat mill-awtoritajiet tar-Renju Unit, dan ifisser li l-arranġamenti prattiċi dwar l-eżaminazzjoni jridu jiġu vvalutati mis-Secretary of State diġà sa mill-istadju tal-mandat, filwaqt li jiġu pprovduti biżżejjed dettalji sabiex jiġu ssodisfati d-dmirijiet statutorji skont it-taqsimiet 152 u 193 tal-IPA 2016 (373). Id-dettalji mogħtija lis-Secretary of State fir-rigward ta’ dawk l-arranġamenti jeħtieġ li jinkludu, pereżempju, informazzjoni (jekk applikabbli) dwar kif l-arranġamenti ta’ filtrazzjoni jistgħu jvarjaw matul iż-żmien li matulu mandat ikollu effett (374). Għal aktar dettalji dwar il-proċess u s-salvagwardji applikati għall-fażijiet ta’ filtrazzjoni u ta’ eżaminazzjoni, ara l-premessa (229) below.

(223)

Setgħa tal-massa tista’ tiġi awtorizzata biss jekk tkun proporzjonata għal dak li jkun qed jitfittex li jinkiseb (375). Kif speċifikat fil-Code of Practice on Interception, kwalunkwe valutazzjoni tal-proporzjonalità tinvolvi “l-ibbilanċjar tas-serjetà tal-intrużjoni fil-privatezza (u ta’ kunsiderazzjonijiet oħrajn stabbiliti fit-taqsima 2(2)) kontra l-ħtieġa għall-attività f’termini investigattivi, operazzjonali jew ta’ kapaċità. Jenħtieġ li l-imġiba awtorizzata toffri prospett realistiku li ġġib il-benefiċċju mistenni u ma għandhiex tkun sproporzjonata jew arbitrarja” (376). Kif diġà ntqal, dan ifisser li fil-prattika t-test tal-proporzjonalità jkun bbażat fuq test tal-bilanċ bejn dak li qed jitfittex li jinkiseb (“fini(jiet) operazzjonali”) u l-għażliet tekniċi disponibbli (eż. interċettazzjoni mmirata jew tal-massa, interferenza tat-tagħmir, kisba tad-data ta’ komunikazzjoni), bl-għoti ta’ preferenza lill-mezzi l-anqas intrużivi (ara l-premessi (181) u (182) above). Meta aktar minn miżura waħda tkun xierqa għall-objettiv, trid tingħata preferenza lill-mezzi anqas intrużivi.

(224)

Salvagwardja addizzjonali dwar il-valutazzjoni tal-proporzjonalità tal-miżura mitluba hija żgurata mill-fatt li s-Secretary of State jeħtieġlu jirċievi l-informazzjoni rilevanti meħtieġa sabiex iwettaq il-valutazzjoni tiegħu kif xieraq. B’mod partikolari, il-Code of Practice on Interception u l-Code of Practice on Equipment Interference jirrikjedu li t-talba ppreżentata mill-awtorità rilevanti jenħtieġ li ssemmi l-isfond tat-talba, id-deskrizzjoni tal-komunikazzjonijiet li għandhom jiġu interċettati u l-operaturi tat-telekomunikazzjoni meħtieġa li jassistu, id-deskrizzjoni tal-imġiba li għandha tiġi awtorizzata, il-finijiet operazzjonali, u spjegazzjoni dwar għaliex l-imġiba tkun neċessarja u proporzjonata (377).

(225)

Finalment huwa importanti li jingħad li d-deċiżjoni tas-Secretary of State li joħroġ il-mandat trid tiġi approvata minn Kummissarju Ġudizzjarju indipendenti li jivvaluta l-evalwazzjoni tan-neċessità u tal-proporzjonalità tal-miżura proposta, billi juża l-istess prinċipji li jintużaw minn qorti f’talba għal stħarriġ ġudizzjarju (378). Aktar speċifikament, il-Kummissarju Ġudizzjarju jirrieżamina l-konklużjonijiet tas-Secretary of State dwar jekk il-mandat ikunx neċessarju u jekk l-imġiba tkunx proporzjonata fid-dawl tal-prinċipji stabbiliti fit-Taqsima 2(2) tal-IPA 2016 (dmirijiet ġenerali fir-rigward tal-privatezza). Il-Kummissarju Ġudizzjarju jirrevedi wkoll il-konklużjonijiet tas-Secretary of State dwar jekk kull wieħed mill-finijiet operazzjonali speċifikati fil-mandat ikunx fini li għalih l-għażla tkun, jew tista’ tkun, neċessarja. Jekk il-Kummissarju Ġudizzjarju jirrifjuta li japprova d-deċiżjoni li joħroġ mandat, is-Secretary of State jista’ jew: (i) jaċċetta d-deċiżjoni u, għalhekk, ma joħroġx il-mandat; jew (ii) jirreferi l-kwistjoni lill-Kummissarju għas-Setgħat Investigattivi għal deċiżjoni (sakemm il-Kummissarju għas-Setgħat Investigattivi ma jkunx ħa d-deċiżjoni oriġinali) (379).

(226)

L-IPA 2016 introduċa aktar limiti fuq id-durata, fuq it-tiġdid u fuq il-modifika ta’ mandat tal-massa. Il-mandat irid ikollu durata massima ta’ sitt xhur u kwalunkwe deċiżjoni sabiex jiġġedded jew jiġi mmodifikat (ħlief modifiki minuri) il-mandat trid tiġi approvata wkoll minn Kummissarju Ġudizzjarju (380). Il-Code of Practice on Interception u l-Code of Practice on Equipment Interference speċifikaw li tibdil fil-finijiet operazzjonali tal-mandat jitqies bħala modifika kbira tal-mandat (381).

(227)

B’mod simili għal dak li huwa pprovdut għall-interċettazzjoni mmirata, il-Parti 6 tal-IPA 2016 tipprovdi li s-Secretary of State jeħtieġlu jiżgura li jkun hemm fis-seħħ arranġamenti sabiex jiġu pprovduti salvagwardji dwar iż-żamma u l-iżvelar ta’ materjal miksub taħt il-mandat (382) ., kif ukoll għall-iżvelar barra l-pajjiż (383). B’mod partikolari, it-Taqsimiet 150(5) u 191(5) tal-IPA 2016 jeħtieġu li kull kopja magħmula minn kwalunkwe wieħed minn dawk il-materjali miġbura skont il-mandat trid tinħażen b’mod sikur u tinqered hekk kif ma jkun għad hemm l-ebda raġuni rilevanti għaż-żamma tagħha, filwaqt li t-Taqsimiet 150(2) u 191(2) jirrikjedu li n-numru ta’ persuni li lilhom jiġi żvelat il-materjal u l-punt sa fejn jiġi żvelat, jitqiegħed għad-dispożizzjoni jew ikkupjat kwalunkwe materjal ikun limitat għall-minimu li jkun neċessarju għall-finijiet statutorji (384).

(228)

Fl-aħħar nett, meta l-materjal li jkun ġie interċettat jew permezz ta’ interċettazzjoni tal-massa jew permezz ta’ interferenza tat-tagħmir tal-massa jkun se jingħadda lil pajjiż terz (“żvelar barra l-pajjiż”), l-IPA 2016 jipprovdi li s-Secretary of State jeħtieġlu jiżgura li jkun hemm arranġamenti xierqa fis-seħħ sabiex jiġi żgurat li jkunu jeżistu salvagwardji simili dwar is-sigurtà, iż-żamma u l-iżvelar f’dak il-pajjiż terz (385). Barra minn hekk, it-Taqsima 109 tad-DPA 2018 tistabbilixxi rekwiżiti speċifiċi għal trasferimenti internazzjonali ta’ data personali minn servizzi ta’ intelligence lil pajjiżi terzi jew organizzazzjonijiet internazzjonali, u ma tippermettix li data tiġi ttrasferita lejn pajjiż jew territorju barra mir-Renju Unit jew lil organizzazzjoni internazzjonali, sakemm it-trasferiment ma jkunx meħtieġ u proporzjonat għall-fini tal-funzjonijiet statutorji tal-kontrollur jew għal finijiet oħra previsti fit-Taqsima 2(2)(a) tal-Att dwar is-Servizzi ta’ Sigurtà 1989 jew it-Taqsimiet 2(2)(a) u 4(2)(a) tal-Att dwar is-Servizzi tal-Intelligence 1994 (386). Huwa importanti li dawn ir-rekwiżiti japplikaw ukoll f’każijiet fejn tiġi invokata l-eżenzjoni tas-sigurtà nazzjonali skont it-Taqsima 110 tad-DPA 2018, peress li t-Taqsima 110 tad-DPA 2018 ma telenkax it-Taqsima 109 tad-DPA 2018 bħala waħda mid-dispożizzjonijiet li jistgħu ma jiġux applikati jekk tkun meħtieġa eżenzjoni minn ċerti dispożizzjonijiet għall-fini tas-salvagwardja tas-sigurtà nazzjonali.

(229)

Ladarba l-mandat ikun ġie approvat u d-data tkun inġabret bil-massa, id-data tkun soġġetta għal għażla qabel ma tiġi eżaminata. Il-fażi tal-għażla u tal-eżaminazzjoni tiġi soġġetta għal test tal-proporzjonalità ulterjuri mwettaq mill-analist li jiddefinixxi, fuq il-bażi tal-finijiet operazzjonali inklużi fil-mandat (u l-arranġamenti ta’ filtrazzjoni potenzjalment eżistenti), il-kriterji għall-għażla. Kif previst mit-Taqsimiet 152 u 193 tal-IPA, meta joħroġ il-mandat, is-Secretary of State jeħtieġlu jiżgura li jkunu fis-seħħ arranġamenti li jiggarantixxu li l-għażla tal-materjal issir biss għall-finijiet operazzjonali speċifikati u li tkun meħtieġa u proporzjonata fiċ-ċirkustanzi kollha. F’dan ir-rigward, l-awtoritajiet tar-Renju Unit iċċaraw li l-materjal interċettat bil-massa jintgħażel, l-ewwel nett, permezz ta’ filtrazzjoni awtomatizzata bl-għan li tiġi skartata data li x’aktarx ma tkunx ta’ interess għas-sigurtà nazzjonali. Il-filtri jvarjaw minn żmien għal żmien (hekk kif jinbidlu l-mudelli, it-tipi u l-protokolli tat-traffiku tal-internet) u jiddependu mit-teknoloġija u mill-kuntest operazzjonali. Wara din il-fażi, id-data tista’ tintgħażel għall-eżaminazzjoni biss jekk tkun rilevanti għall-finijiet operazzjonali speċifikati fil-mandat (387). Is-salvagwardji pprovduti mill-IPA 2016 għall-eżami tal-materjal miġbur japplikaw għal kwalunkwe tip ta’ data (kemm il-kontenut interċettat kif ukoll id-data sekondarja) (388). It-Taqsimiet 152 u 193 tal-IPA 2016 jipprevedu wkoll projbizzjoni ġenerali li jintgħażel materjal ta’ eżaminazzjoni li jirreferi għal konverżazzjonijiet mibgħuta minn jew maħsuba għal individwi li jinsabu fil-Gżejjer Brittaniċi. Jekk l-awtoritajiet ikunu jixtiequ jeżaminaw materjal bħal dan, ikollhom jissottomettu talba għal mandat ta’ eżaminazzjoni mmirata skont il-Parti 2 u l-Parti 4 tal-IPA 2016, maħruġ mis-Secretary of State u approvat minn Kummissarju Ġudizzjarju (389). Jekk persuna tagħżel kontenut interċettat apposta għall-eżaminazzjoni bi ksur tar-rekwiżiti stabbiliti fil-leġiżlazzjonijiet (390), hija tkun qed twettaq reat kriminali (391).

(230)

Il-valutazzjoni mwettqa mill-analist dwar l-għażla tal-materjal hija soġġetta għal sorveljanza ex post mill-IPC li jevalwa l-konformità mas-salvagwardji speċifiċi stabbiliti fl-IPA 2016 għall-fażi ta’ eżaminazzjoni (392) (ara wkoll il-premessa (229)). L-IPC jeħtieġlu jżomm taħt rieżami (inkluż permezz ta’ awditjar, spezzjoni u investigazzjoni) l-eżerċizzju mill-awtoritajiet pubbliċi tas-setgħat investigattivi msemmija fl-IPA 2016 (393). F’dan ir-rigward, il-Code of Practice on Interception u l-Code of Practice on Equipment Interference jiċċaraw li r-rekords iridu jinżammu mill-aġenzija għall-finijiet ta’ eżaminazzjoni u ta’ awditi sussegwenti, u dawn ir-rekords iridu jiddeskrivu għaliex l-aċċess għall-materjal minn persuni awtorizzati jkun neċessarju u proporzjonat u l-finijiet operazzjonali applikabbli (394). Pereżempju, fir-Rapport annwali tal-2018, l-Investigatory Powers Commissioner Office (IPCO) (395) ikkonkluda li l-ġustifikazzjonijiet miżmuma fir-rekords mill-analist għall-eżaminazzjoni ta’ ċertu materjal miġbur bil-massa kienu jissodisfaw l-istandard meħtieġ tal-proporzjonalità, billi pprovdew biżżejjed dettalji dwar ir-raġunijiet għad-“domandi” tagħhom fir-rigward tal-fini li għandu jinkiseb (396). Fir-rapport tiegħu tal-2019, l-IPCO, fir-rigward tas-setgħat tal-massa, iddikjara b’mod ċar l-intenzjoni tiegħu li jkompli l-ispezzjonijiet tal-interċettazzjonijiet tal-massa, inkluż eżami dettaljat tas-seletturi u l-kriterji tat-tiftix (397). Huwa se jkompli wkoll jiskrutinizza bir-reqqa, fuq bażi ta’ każ b’każ, l-għażla ta’ miżuri ta’ sorveljanza (immirati v. tal-massa) kemm waqt il-konsiderazzjoni tiegħu ta’ applikazzjonijiet għall-mandati taħt is-serratura doppja kif ukoll waqt l-ispezzjonijiet (398). Dan il-monitoraġġ ulterjuri se jitqies kif xieraq fil-kuntest tal-monitoraġġ mill-Kummissjoni ta’ din id-Deċiżjoni msemmija fil-premessi (281)-(284).

(231)

Il-Kapitolu 2 tal-Parti 6 tal-IPA 2016 jirregola l-mandati ta’ kisba tal-massa li jawtorizzaw lid-destinatarju sabiex jitlob lil operatur tat-telekomunikazzjoni jiżvela jew jikseb kwalunkwe data ta’ komunikazzjonijiet fil-pussess tal-operatur. Dawn il-mandati jawtorizzaw ukoll lill-awtorità rikjedenti sabiex tagħżel id-data għall-fażi ulterjuri tal-eżaminazzjoni. Hekk kif inhu l-każ għaż-żamma u għall-kisba mmirati tad-data ta’ komunikazzjonijiet (ara l-premessa (199)), anki l-kisba tad-data ta’ komunikazzjonijiet tal-massa normalment ma tkunx tikkonċerna data personali ta’ suġġetti tad-data tal-UE ttrasferita skont din id-Deċiżjoni lir-Renju Unit. L-obbligu li tiġi żvelata d-data ta’ komunikazzjonijiet skont il-Kapitolu 2 tal-Parti 6 tal-IPA 2016 ikopri data li tinġabar mill-operaturi tat-telekomunikazzjoni fir-Renju Unit direttament mill-utenti ta’ servizz ta’ telekomunikazzjoni (399). Dan it-tip ta’ pproċessar “li jħares lejn il-klijent” tipikament ma jinvolvix trasferiment fuq il-bażi ta’ din id-Deċiżjoni, jiġifieri trasferiment minn kontrollur/minn proċessur fl-UE lil kontrollur/lil proċessur fir-Renju Unit.

(232)

Madankollu, għall-fini ta’ kompletezza, il-kundizzjonijiet u s-salvagwardji li jirregolaw il-kisba tad-data ta’ komunikazzjonijiet tal-massa huma deskritti hawn taħt.

(233)

L-IPA 2016 jissostitwixxi l-leġiżlazzjoni li tikkonċerna l-kisba tad-data ta’ komunikazzjonijiet tal-massa li kienet is-suġġett tas-sentenza tal-QĠUE fil-kawża Privacy International. Il-leġiżlazzjoni inkwistjoni f’dak il-każ ġiet irrevokata u r-reġim il-ġdid jipprevedi kundizzjonijiet u għal salvagwardji speċifiċi li fihom tista’ tiġi awtorizzata tali miżura.

(234)

B’mod partikolari, b’mod differenti mir-reġim preċedenti li bih is-Secretary of State kellu diskrezzjoni sħiħa fl-awtorizzazzjoni tal-miżura (400), l-IPA 2016 jirrikjedi li s-Secretary of State joħroġ mandat biss jekk il-miżura tkun neċessarja u proporzjonata. Fil-prattika dan ifisser li jenħtieġ li jkun hemm rabta bejn l-aċċess għad-data u l-għan imfittex (401). B’mod aktar speċifiku, is-Secretary of State jkollu jivvaluta l-eżistenza ta’ rabta bejn il-miżura mitluba u “fini operazzjonali” wieħed jew aktar indikat fil-mandat (ara l-premessa (219)) fir-rigward tal-valutazzjoni tal-proporzjonalità, il-Kodiċi ta’ Prattika rilevanti jispeċifika li “s-Secretary of State jeħtieġlu jqis jekk dak li qed jintalab jinkiseb mill-mandat jistax jinkiseb b’mod raġonevoli b’mezzi oħrajn anqas intrużivi (it-Taqsima 2(2)(a) tal-Att). Pereżempju, il-kisba tal-informazzjoni meħtieġa permezz ta’ setgħa anqas intrużiva bħall-kisba mmirata tad-data ta’ komunikazzjonijiet” (402).

(235)

Sabiex iwettaq tali valutazzjoni, is-Secretary of State jibbaża fuq informazzjoni li l-kapijiet tal-intelligence (403) huma meħtieġa jissottomettu fit-talba tagħhom, bħar-raġunijiet għaliex il-miżura tkun meqjusa neċessarja għal waħda mir-raġunijiet statutorji u r-raġunijiet għaliex dak li qed jitfittex li jinkiseb ma jistax jinkiseb b’mod raġonevoli b’mezzi oħrajn anqas intrużivi (404). Barra minn hekk, il-finijiet operazzjonali jillimitaw il-kamp ta’ applikazzjoni li għalih id-data miksuba permezz tal-mandat tista’ tintgħażel għall-eżaminazzjoni (405). Kif speċifikat fil-Kodiċi ta’ Prattika rilevanti, il-finijiet operazzjonali jridu jiddeskrivu rekwiżit ċar u jinkludu biżżejjed dettall sabiex jissodisfaw lis-Secretary of State li d-data miksuba tista’ tintgħażel biss għal eżaminazzjoni għal raġunijiet speċifiċi (406). Fil-fatt, qabel ma jawtorizza l-mandat, is-Secretary of State jkollu jiżgura li jkunu fis-seħħ arranġamenti speċifiċi li jiżguraw li dak il-materjal meqjus neċessarju għall-eżaminazzjoni għal fini operazzjonali u għal fini statutorju biss jintgħażel għall-eżaminazzjoni u jenħtieġ li jkun proporzjonat u neċessarju fiċ-ċirkustanzi kollha. Dan ir-rekwiżit speċifiku, rifless fit-Taqsimiet 158 u 172 (407) tal-IPA 2016, rigward il-valutazzjoni minn qabel tan-neċessità u tal-proporzjonalità tal-kriterji użati għall-finijiet tal-għażla jirrappreżenta novità importanti oħra tar-reġim introdott mill-IPA 2016 meta mqabbel mar-reġim li kien fis-seħħ qabel.

(236)

L-IPA 2016 introduċa wkoll l-obbligu għas-Secretary of State, sabiex jiżgura li, qabel ma joħroġ il-mandat għall-kisba tad-data ta’ komunikazzjonijiet tal-massa, ikun hemm fis-seħħ limitazzjonijiet speċifiċi dwar is-sigurtà, iż-żamma u l-iżvelar tad-data personali miġbura (408). Fil-każ ta’ żvelar barra l-pajjiż, is-salvagwardji, deskritti fil-premessa (227), għall-interċettazzjoni tal-massa u għall-interferenza tat-tagħmir tal-massa japplikaw anki f’dan il-kuntest (409). Limiti oħrajn huma stabbiliti fil-leġiżlazzjoni dwar id-durata (410), it-tiġdid (411) u l-modifika tal-mandati tal-massa (412).

(237)

Huwa importanti li, bħal fil-każ tas-setgħat tal-massa l-oħrajn, qabel ma joħroġ il-mandat, is-Secretary of State jeħtieġ li jikseb l-approvazzjoni minn Kummissarju Ġudizzjarju (413). Din hija karatteristika importanti tar-reġim stabbilit mill-IPA 2016.

(238)

L-IPC iwettaq sorveljanza ex post fuq il-proċedura ta’ eżaminazzjoni fuq il-materjal (data ta’ komunikazzjonijiet) tal-massa miksub (ara l-premessa (254) below). F’dak ir-rigward, l-IPA 2016 introduċa r-rekwiżit li l-analist tal-intelligence li jwettaq l-eżaminazzjoni, irid jirreġistra, qabel ma jagħżel id-data għall-eżaminazzjoni, ir-raġuni għaliex l-eżaminazzjoni proposta tkun neċessarja u proporzjonata għal fini operazzjonali speċifikat (414). Fl-IPCO Annual Report 2019, fir-rigward tal-prattika tal-GCHQ u tal-MI5 instab li “r-rwol kritiku tad-data ta’ komunikazzjonijiet tal-massa (BCD) għall-medda ta’ attivitajiet imwettqa fil-GCHQ kien artikolat sew fil-każijiet li spezzjonajna. Aħna qisna n-natura tad-data mitluba u r-rekwiżiti tal-intelligence ddikjarati u konna sodisfatti li d-dokumentazzjoni wriet li l-approċċ tagħhom kien neċessarju u proporzjonat” (415). Il-ġustifikazzjonijiet irrekordjati tal-MI5 kienu ta’ standard tajjeb u kienu jissodisfaw il-prinċipji tan-neċessità u tal-proporzjonalità” (416).

(239)

Il-mandati ta’ Sett ta’ Data Personali tal-Massa (BPD) (417) jawtorizzaw lill-aġenziji tal-intelligence sabiex iżommu u jeżaminaw settijiet ta’ data li jkun fihom data personali relatata ma’ numru ta’ individwi. Skont l-ispjegazzjonijiet ipprovduti mill-awtoritajiet tar-Renju Unit, l-analiżi ta’ dawn is-settijiet ta’ data tista’ tkun “l-uniku mod sabiex il-UKIC jagħmel progress fl-investigazzjonijiet u jidentifika terroristi minn spunt ta’ intelligence limitat ħafna, jew meta l-komunikazzjonijiet tagħhom ikunu nħbew apposta” (418). Hemm żewġ tipi ta’ mandati: “mandati tal-BPD ta’ klassi” (419) li jikkonċernaw ċerta kategorija ta’ settijiet ta’ data, jiġifieri settijiet ta’ data li jkunu simili fil-kontenut tagħhom u fl-użu propost u li jqajmu kunsiderazzjonijiet simili dwar, pereżempju, il-grad ta’ intrużjoni u ta’ sensittività u l-proporzjonalità tal-użu tad-data, sabiex b’hekk is-Secretary of State jkun jista’ jqis in-neċessità u l-proporzjonalità tal-kisba tad-data kollha fi ħdan il-klassi rilevanti f’daqqa. Pereżempju, mandat tal-BPD ta’ klassi jista’ jkopri settijiet ta’ data tal-ivvjaġġar li jkunu relatati ma’ rotot simili (420). Minflok, “mandati tal-BPD speċifiċi” (421) jikkonċernaw sett ta’ data speċifiku wieħed, bħal sett ta’ data ta’ tip ta’ informazzjoni ġdid jew mhux tas-soltu li ma jaqax taħt mandat eżistenti tal-BPD ta’ klassi, jew sett ta’ data li jikkonċerna tipi speċifiċi ta’ data personali (422) u għalhekk jeħtieġ salvagwardji addizzjonali (423). Id-dispożizzjonijiet tal-IPA 2016 relatati mal-BPDs jippermettu li dawn is-settijiet ta’ data jiġu eżaminati u jinżammu biss fejn ikun neċessarju u proporzjonat li jsir dan (424), u f’konformità mal-obbligi ġenerali relatati mal-privatezza (425).

(240)

Is-setgħa li jinħareġ mandat tal-BPD hija soġġetta għall-proċedura ta’ “double-lock”: il-valutazzjoni tan-neċessità u tal-proporzjonalità tal-miżura titwettaq l-ewwel mis-Secretary of State u mbagħad mill-Kummissarju Ġudizzjarju (426). Is-Secretary of State huwa meħtieġ jikkunsidra n-natura u l-kamp ta’ applikazzjoni tat-tip ta’ mandat li jitfittex, il-kategorija tad-data kkonċernata u n-numru ta’ settijiet ta’ data personali tal-massa individwali li x’aktarx jaqgħu taħt it-tip speċifiku tal-mandat (427). Barra minn hekk, kif speċifikat fil-Code of Practice on Intelligence Services’ Retention and Use of Bulk Personal Datasets, għandhom jinżammu rekords dettaljati u dawn huma soġġetti għal awditu mill-IPC (428). Iż-żamma u l-eżaminazzjoni tal-BPD barra mil-limiti tal-IPA 2016 huma reat kriminali (429).

(241)

Data personali pproċessata skont il-Parti 4 tad-DPA 2018 ma għandhiex tiġi pproċessata b’mod li ma jkunx kompatibbli mal-fini li għalih tkun inġabret (430). Id-DPA 2018 jipprovdi li l-kontrollur jista’ jipproċessa d-data għal fini ieħor, differenti minn dak li għalih tkun inġabret id-data, meta dan ikun kompatibbli ma’ dak oriġinali u dment li l-kontrollur ikun awtorizzat bil-liġi li jipproċessa d-data u li dak l-ipproċessar ikun neċessarju u proporzjonat (431). Barra minn hekk, is-Security Service Act 1989 u l-Intelligence Services Act 1994 jispeċifikaw li l-kapijiet tal-aġenziji tal-intelligence għandhom id-dmir li jiżguraw li ma tinkiseb jew ma tiġi żvelata l-ebda informazzjoni ħlief sa fejn ikun meħtieġ għat-twettiq xieraq tal-funzjonijiet tal-aġenzija jew għall-finijiet limitati u speċifiċi l-oħrajn elenkati fid-dispożizzjonijiet rilevanti (432).

(242)

Barra minn hekk, it-Taqsima 109 tad-DPA 2018 tistabbilixxi rekwiżiti speċifiċi għat-trasferimenti internazzjonali ta’ data personali mis-servizzi tal-intelligence lil pajjiżi terzi jew lil organizzazzjonijiet internazzjonali. Skont din id-dispożizzjoni, data personali ma tistax tiġi ttrasferita lejn pajjiż jew lejn territorju barra mir-Renju Unit jew lil organizzazzjoni internazzjonali, sakemm it-trasferiment ma jkunx neċessarju u proporzjonat għall-fini tal-funzjonijiet statutorji tal-kontrollur jew għal finijiet oħrajn previsti fit-Taqsima 2(2)(a) tas-Security Service Act 1989 jew fit-Taqsimiet 2(2)(a) u 4(2)(a) tal-Intelligence Services Act 1994 (433). Huwa importanti li dawn ir-rekwiżiti japplikaw ukoll f’każijiet fejn tiġi invokata l-eżenzjoni tas-sigurtà nazzjonali skont it-Taqsima 110 tad-DPA 2018, peress li t-Taqsima 110 tad-DPA 2018 ma telenkax it-Taqsima 109 tad-DPA 2018 bħala waħda mid-dispożizzjonijiet li jistgħu ma jiġux applikati jekk tkun meħtieġa eżenzjoni minn ċerti dispożizzjonijiet għall-fini tas-salvagwardja tas-sigurtà nazzjonali.

(243)

Barra minn hekk, kif enfasizzat mill-ICO fil-gwida tagħha dwar l-ipproċessar tas-servizzi ta’ intelligence, minbarra s-salvagwardji pprovduti mill-Parti 4 tad-DPA 2018, aġenzija tal-intelligence, meta tikkondividi d-data ma’ korp tal-intelligence ta’ pajjiż terz, hija wkoll soġġetta għal salvagwardji pprovduti minn miżuri leġiżlattivi oħra li japplikaw għalihom biex jiġi żgurat li d-data personali tinkiseb, tiġi kondiviża u ttrattata b’mod legali u responsabbli (434). Pereżempju, l-IPA 2016 jistabbilixxi salvagwardji ulterjuri fir-rigward tat-trasferimenti lejn pajjiż terz ta’ materjal miġbur permezz ta’ interċettazzjoni mmirata (435), interferenza tat-tagħmir immirata (436), interċettazzjoni tal-massa (437), kisba tad-data ta’ komunikazzjonijiet tal-massa (438) u interferenza tat-tagħmir tal-massa (439) (l-hekk imsejħa “żvelar barra l-pajjiż”). B’mod partikolari, l-awtorità li toħroġ il-mandat jeħtiġilha tiżgura li jkun hemm arranġamenti fis-seħħ sabiex jiġi żgurat li l-pajjiż terz li jirċievi d-data jillimita n-numru ta’ persuni li jaraw il-materjal, u l-firxa tal-iżvelar u n-numru ta’ kopji magħmula minn kwalunkwe materjal sal-minimu meħtieġ għall-finijiet awtorizzati stabbiliti fl-IPA 2016 (440).

(244)

L-aċċess tal-gvern għal finijiet ta’ sigurtà nazzjonali huwa ssorveljat minn numru ta’ korpi differenti. Il-Kummissarju tal-Informazzjoni jissorvelja l-ipproċessar ta’ data personali fid-dawl tad-DPA 2018 (għal aktar informazzjoni dwar l-indipendenza, ir-rwol tal-ħatra u s-setgħat tal-Kummissarju, ara l-premessi (85) sa (98)), filwaqt li l-IPC jipprovdi sorveljanza indipendenti u ġudizzjarja dwar l-użu tas-setgħat investigattivi skont l-IPA 2016. L-IPC jissorvelja l-użu tas-setgħat investigattivi tal-IPA 2016 kemm mill-awtoritajiet tal-infurzar tal-liġi kif ukoll mill-awtoritajiet tas-sigurtà nazzjonali. Is-sorveljanza politika hija ggarantita mill-Intelligence Service Committee tal-Parlament.

(245)

L-ipproċessar ta’ data personali mwettaq mis-servizzi tal-intelligence skont il-Parti 4 tad-DPA 2018 huwa ssorveljat mill-Kummissarju tal-Informazzjoni (441).

(246)

Il-funzjonijiet ġenerali tal-Kummissarju tal-Informazzjoni fir-rigward tal-ipproċessar ta’ data personali mis-servizzi tal-intelligence skont il-Parti 4 tad-DPA 2018 huma stabbiliti fl-Iskeda 13 tad-DPA 2018. Il-kompiti jinkludu l-monitoraġġ u l-infurzar tal-Parti 4 tad-DPA 2018, il-promozzjoni tas-sensibilizzazzjoni tal-pubbliku, l-għoti ta’ pariri lill-Parlament, lill-gvern u lil istituzzjonijiet oħrajn dwar miżuri leġiżlattivi u amministrattivi, il-promozzjoni tas-sensibilizzazzjoni tal-kontrolluri u tal-proċessuri dwar l-obbligi tagħhom, l-għoti ta’ informazzjoni lil suġġett tad-data dwar l-eżerċizzju tad-drittijiet tas-suġġett tad-data, it-twettiq ta’ investigazzjonijiet, eċċ.

(247)

Il-Kummissarju, bħal fil-Parti 3 tad-DPA 2018, għandu s-setgħat li jinnotifika lill-kontrolluri dwar ksur allegat u li joħroġ twissijiet li pproċessar x’aktarx jikser ir-regoli, u li joħroġ ċanfiriet meta jiġi kkonfermat il-ksur. Jista’ joħroġ ukoll avviżi ta’ infurzar u ta’ penali għall-ksur ta’ ċerti dispożizzjonijiet tal-att (442). Madankollu, b’mod differenti minn kif jiġri għal partijiet oħra tad-DPA 2018, il-Kummissarju ma jistax jagħti avviż ta’ valutazzjoni lil korp tas-sigurtà nazzjonali (443).

(248)

Barra minn hekk, it-Taqsima 110 tad-DPA 2018 tipprovdi eċċezzjoni għall-użu ta’ ċerti setgħat tal-Kummissarju meta dan ikun meħtieġ għall-finijiet tas-salvagwardja tas-sigurtà nazzjonali. Dawn jinkludu s-setgħa tal-Kummissarju li joħroġ (kwalunkwe tip ta’) avviżi skont id-DPA (avviżi ta’ informazzjoni, ta’ valutazzjoni, ta’ infurzar u ta’ penali), is-setgħa li jagħmel spezzjonijiet f’konformità mal-obbligi internazzjonali, is-setgħat ta’ dħul u ta’ spezzjoni, u r-regoli dwar ir-reati (444). Kif spjegat fil-premessa (126), dawn l-eċċezzjonijiet japplikaw biss jekk ikunu meħtieġa u proporzjonati u fuq bażi ta’ każ b’każ.

(249)

L-ICO u s-servizzi tal-intelligence tar-Renju Unit iffirmaw Memorandum ta’ Qbil (445) li jistabbilixxi qafas għall-kooperazzjoni f’numru ta’ oqsma, inklużi notifiki ta’ ksur tad-data u l-immaniġġjar tal-ilmenti tas-suġġetti tad-data. B’mod partikolari, dan jipprovdi li malli jirċievi lment, l-ICO jivvaluta li l-applikazzjoni ta’ kwalunkwe eżenzjoni tas-sigurtà nazzjonali saritx kif xieraq. It-tweġibiet għad-domandi magħmula mill-ICO fil-kuntest tal-eżaminazzjoni tal-ilmenti individwali jridu jingħataw fi żmien 20 jum ta’ xogħol mill-aġenzija tal-intelligence kkonċernata, bl-użu tal-kanali siguri xierqa jekk tkun involuta informazzjoni klassifikata. Minn April 2018 sal-lum, l-ICO rċieva 21 ilment mingħand individwi dwar is-servizzi tal-intelligence. Kull ilment ġie vvalutat u r-riżultat ġie kkomunikat lis-suġġett tad-data (446).

(250)

Skont il-Parti 8 tal-IPA 2016, is-sorveljanza fuq l-użu tas-setgħat investigattivi tiġi eżerċitata mill-Investigatory Powers Commissioner (IPC). L-IPC huwa assistit minn Kummissarji Ġudizzjarji oħrajn, li kollettivament jissejħu Kummissarji Ġudizzjarji (447). L-IPA 2016 jistabbilixxi l-garanziji li jipproteġu l-indipendenza tal-Kummissarji Ġudizzjarji. Il-Kummissarji ġudizzjarji huma meħtieġa li jkollhom, jew li jkollhom, kariga ġudizzjarja għolja (jiġifieri jridu jkunu jew kienu membri tal-qrati l-aktar anzjani) (448) u, bħal kwalunkwe membru tal-ġudikatura, huma jgawdu minn status indipendenti mill-gvern (449). Skont it-Taqsima 227 tal-IPA 2016, huwa l-Prim Ministru li jaħtar lill-IPC u lill-Kummissarji Ġudizzjarji daqskemm iqis meħtieġ. Il-Kummissarji kollha, kemm jekk huma membri attwali kif ukoll jekk kienu membri tal-ġudikatura, jistgħu jinħatru biss fuq il-bażi ta’ rakkomandazzjoni konġunta mit-tliet Kummissarji Ewlenin għall-Ingilterra u Wales, l-Iskozja u l-Irlanda ta’ Fuq u l-Lord Chancellor (450). Is-Secretary of State jeħtieġlu jipprovdi lill-IPC b’persunal, b’akkomodazzjoni, b’tagħmir u b’faċilitajiet u b’servizzi oħrajn (451). Il-mandat tal-Kummissarji huwa ta’ tliet snin u jistgħu jerġgħu jinħatru (452). Bħala garanzija ulterjuri tal-indipendenza tagħhom, il-Kummissarji Ġudizzjarji jistgħu jitneħħew mill-kariga biss soġġetti għal kundizzjonijiet stretti li jimponu limitu għoli: jew mill-Prim Ministru fiċ-ċirkustanzi speċifiċi elenkati b’mod eżawrjenti fit-Taqsima 228(5) tal-IPA 2016 (bħal falliment jew priġunerija), jew jekk riżoluzzjoni li tapprova t-tneħħija tkun għaddiet minn kull House of Parliament (453).

(251)

L-IPC u l-Kummissarji Ġudizzjarji huma appoġġati fir-rwoli tagħhom mill-Investigatory Powers Commissioner’s Office (IPCO). Il-persunal tal-IPCO jinkludi tim ta’ spetturi, esperti legali u tekniċi interni, u Bord Konsultattiv dwar it-Teknoloġija sabiex jipprovdi pariri minn esperti. Kif inhu l-każ għall-Kummissarji Ġudizzjarji individwali, l-indipendenza tal-IPCO hija protetta. L-IPCO huwa “arm’s-length body” tal-Home Office, jiġifieri jirċievi finanzjament mill-Home Office, iżda jwettaq il-funzjonijiet tiegħu b’mod indipendenti (454).

(252)

Il-funzjonijiet ewlenin tal-Kummissarji Ġudizzjarji huma stabbiliti fit-Taqsima 229 tal-IPA 2016 (455). B’mod partikolari, il-Kummissarji Ġudizzjarji għandhom setgħa estensiva ta’ approvazzjoni minn qabel, li hija parti mis-salvagwardji introdotti fil-qafas legali tar-Renju Unit bl-IPA 2016. Il-mandati fir-rigward tal-interċettazzjoni mmirata, tal-interferenza tat-tagħmir, tas-settijiet ta’ data personali tal-massa, tal-kisba tad-data ta’ komunikazzjonijiet tal-massa kif ukoll l-avviżi taż-żamma għad-data ta’ komunikazzjonijiet ilkoll iridu jiġu approvati mill-Kummissarji Ġudizzjarji (456). L-IPC dejjem jeħtieġlu jawtorizza minn qabel ukoll il-kisba tad-data ta’ komunikazzjonijiet għall-finijiet ta’ infurzar tal-liġi (457). Jekk Kummissarju jirrifjuta li japprova mandat, is-Secretary of State jista’ jappella mal-Investigatory Powers Commissioner, li d-deċiżjoni tiegħu tkun finali.

(253)

Ir-Rapporteur Speċjali tan-NU dwar id-Dritt għall-Privatezza laqa’ bis-sħiħ l-istabbiliment tal-Kummissarji Ġudizzjarji permezz tal-IPA 2016, peress li “t-talbiet l-aktar sensittivi jew intrużivi sabiex titwettaq is-sorveljanza jeħtieġ li jiġu awtorizzati kemm minn ministru tal-kabinett kif ukoll mill-Investigatory Powers Commissioner’s Office”. B’mod partikolari, huwa enfasizza li “dan l-element ta’ stħarriġ ġudizzjarju [permezz tar-rwol tal-IPC] megħjun minn tim b’aktar riżorsi ta’ spetturi b’esperjenza u ta’ esperti fit-teknoloġija huwa waħda mill-aktar salvagwardji ġodda sinifikanti introdotti mill-IPA”, li ssostitwiet sistema preċedentement frammentata ta’ awtoritajiet ta’ sorveljanza u tikkomplementa r-rwol tal-Intelligence and Security Committee of Parliament u tal-Investigatory Powers Tribunal” (458).

(254)

Barra minn hekk, l-IPC għandha s-setgħat li twettaq sorveljanza ex post, inkluż permezz ta’ awditjar, spezzjoni u investigazzjoni, tal-użu tas-setgħat investigattivi skont l-IPA tal-2016 (459) u xi setgħat u funzjonijiet oħra previsti fil-leġiżlazzjoni rilevanti (460). Ir-riżultati ta’ tali sorveljanza ex post huma inklużi fir-rapport li l-IPC jeħtieġlu jħejji kull sena u jippreżenta lill-Prim Ministru (461) u li jrid jiġi ppubblikat u ppreżentat quddiem il-Parlament (462). Ir-rapport fih statistika u informazzjoni rilevanti dwar l-użu tas-setgħat investigattivi mill-aġenziji tal-intelligence u mill-awtoritajiet tal-infurzar tal-liġi kif ukoll l-użu tas-salvagwardji fir-rigward ta’ punti soġġetti għal privileġġ legali, ta’ materjal ġurnalistiku kunfidenzjali u ta’ sorsi ta’ informazzjoni ġurnalistika, ta’ informazzjoni dwar l-arranġamenti meħudin u tal-finijiet operazzjonali użati fil-kuntest ta’ mandati tal-massa. Fl-aħħar nett, fir-Rapport Annwali tal-IPCO, huwa speċifikat f’liema qasam ingħataw rakkomandazzjonijiet lill-awtoritajiet pubbliċi u kif dawn ġew indirizzati (463).

(255)

Skont it-Taqsima 231 tal-IPA 2016, jekk l-IPC isir jaf b’xi żball rilevanti li jkun sar mill-awtoritajiet pubbliċi fl-użu tas-setgħat investigattivi tagħhom, huwa jeħtieġlu jinforma lill-persuna kkonċernata meta jqis li l-iżball ikun serju u li jkun fl-interess pubbliku li l-persuna tiġi infurmata (464). B’mod partikolari, it-Taqsima 231 tal-IPA 2016 tispeċifika li, meta jinforma lil persuna dwar żball, l-IPC jeħtieġlu jipprovdi informazzjoni dwar kwalunkwe dritt li huwa jippreżenta talba quddiem l-Investigatory Powers Tribunal, u jipprovdi tali dettalji li l-Kummissarju jqis meħtieġa għall-eżerċizzju ta’ dawk id-drittijiet u jkun hemm interess pubbliku fl-iżvelar (465).

(256)

Is-sorveljanza parlamentari mill-Intelligence and Security Committee (ISC) għandha l-bażi statutorja tagħha fil-Justice and Security Act 2013 (JSA 2013) (466). L-Att jistabbilixxi l-ISC bħala kumitat tal-Parlament tar-Renju Unit. Mill-2013, l-ISC ingħata setgħat akbar inkluża s-sorveljanza ta’ attivitajiet operazzjonali tas-servizzi tas-sigurtà. Skont it-Taqsima 2 tal-JSA 2013, l-ISC għandu l-kompitu li jissorvelja n-nefqa, l-amministrazzjoni, il-politika u l-operazzjonijiet tal-aġenziji tas-sigurtà nazzjonali. Il-JSA 2013 jispeċifika li l-ISC jista’ jwettaq investigazzjonijiet dwar kwistjonijiet operazzjonali meta dawn ma jkunux relatati ma’ operazzjonijiet kontinwi (467). Il-Memorandum ta’ Qbil miftiehem bejn il-Prim Ministru u l-ISC (468) jispeċifika fid-dettall l-elementi li għandhom jitqiesu meta jiġi kkunsidrat jekk attività tkunx parti minn xi operazzjoni li tkun għaddejja (469). L-ISC jista’ jintalab ukoll jinvestiga operazzjonijiet li għadhom għaddejjin mill-Prim Ministru u jista’ jirrieżamina l-informazzjoni pprovduta b’mod volontarju mill-aġenziji.

(257)

Skont l-Iskeda 1 tal-JSA 2013, l-ISC jista’ jitlob lill-kapijiet ta’ kwalunkwe wieħed mit-tliet servizzi tal-intelligence sabiex jiżvelaw kwalunkwe informazzjoni. L-aġenzija jeħtiġilha tagħmel din l-informazzjoni disponibbli, sakemm is-Secretary of State ma jimponix il-veto tiegħu (470). Skont l-ispjegazzjonijiet ipprovduti mill-awtoritajiet tar-Renju Unit, fil-prattika ftit li xejn hemm informazzjoni li ma tiġix ipprovduta lill-ISC (471).

(258)

L-ISC jikkonsisti f’membri li jappartjenu għal waħda mill-Kmamar tal-Parlament u maħtura mill-Prim Ministru wara li jikkonsulta lill-kap tal-oppożizzjoni (472). L-ISC huwa meħtieġ jagħmel rapport annwali lill-Parlament dwar l-eżekuzzjoni tal-funzjonijiet tagħha u rapporti oħra li huwa jqis xierqa (473). Barra minn hekk, l-ISC huwa intitolat li kull tliet xhur jirċievi l-lista ta’ finijiet operazzjonali li tintuża sabiex jiġi eżaminat il-materjal tal-massa miksub (474). Kopji tal-investigazzjonijiet, tal-ispezzjonijiet jew tal-awditi tal-Investigatory Power Commissioner huma kondiviżi mal-ISC mill-Prim Ministru meta l-kwistjoni tar-rapporti tkun rilevanti għall-kompetenzi statutorji tal-Kumitat (475). Finalment, il-Kumitat jista’ jitlob lill-IPC iwettaq investigazzjoni u l-Kummissarju jeħtieġlu jinforma lill-ISC dwar id-deċiżjoni dwar jekk għandhiex issir tali investigazzjoni (476).

(259)

L-ISC ipprovda wkoll input dwar l-abbozz tal-IPA 2016, li rriżulta f’numru ta’ emendi li issa huma riflessi fl-IPA 2016 (477). B’mod partikolari, l-ISC irrakkomanda t-tisħiħ tal-protezzjonijiet tal-privatezza bl-introduzzjoni ta’ sett ta’ protezzjonijiet tal-privatezza li japplikaw fil-firxa sħiħa ta’ setgħat investigattivi (478). Huwa ssuġġerixxa wkoll tibdiliet fil-kapaċitajiet proposti li jikkonċernaw l-Interferenza tat-Tagħmir, il-BPD u d-Data ta’ Komunikazzjonijiet, u talab emendi speċifiċi oħrajn sabiex jissaħħu l-limitazzjonijiet u s-salvagwardji għall-użu tas-setgħat investigattivi (479).

(260)

Fil-qasam tal-aċċess mill-gvern għal finijiet tas-sigurtà nazzjonali, is-suġġetti tad-data jrid ikollhom il-possibbiltà li jieħdu azzjoni legali quddiem qorti indipendenti u imparzjali sabiex ikollhom aċċess għad-data personali tagħhom, jew sabiex jiksbu r-rettifika jew it-tħassir tat-tali data (480). B’mod partikolari, korp ġudizzjarju bħal dan jeħtieġlu jkollu s-setgħa li jadotta deċiżjonijiet vinkolanti dwar is-servizz tal-intelligence (481). Fir-Renju Unit, kif spjegat fil-premessi (261) sa (271), numru ta’ mezzi ta’ rimedju ġudizzjarju jipprovdu lis-suġġetti tad-data bil-possibbiltà li jfittxu u jiksbu tali rimedji legali.

(261)

Skont it-Taqsima 165 tad-DPA 2018, suġġett tad-data għandu d-dritt li jippreżenta lment lill-Kummissarju tal-Informazzjoni jekk is-suġġett tad-data jqis li, b’rabta mad-data personali relatata miegħu, ikun seħħ ksur tal-Parti 4 tad-DPA 2018. Il-Kummissarju tal-Informazzjoni għandu s-setgħa li jivvaluta l-konformità tal-kontrollur u tal-proċessur mad-DPA 2018, u jeħtieġhom jieħdu l-passi meħtieġa. Barra minn hekk, skont il-Parti 4 tad-DPA 2018, l-individwi huma intitolati jitolbu lill-High Court (jew lill-Court of Session fl-Iskozja) għal ordni li teħtieġ li l-kontrollur jikkonforma mad-drittijiet ta’ aċċess għad-data (482), ta’ oġġezzjonar għall-ipproċessar (483) u ta’ rettifika jew ta’ tħassir (484).

(262)

L-individwi huma intitolati wkoll li jfittxu kumpens għal dannu mġarrab minħabba ksur ta’ rekwiżit tal-Parti 4 tad-DPA 2018 mill-kontrollur jew minn proċessur (485). Id-dannu jinkludi kemm telf finanzjarju kif ukoll dannu li ma jinvolvux telf finanzjarju, bħal tbatija (486).

(263)

L-individwi jistgħu jiksbu rimedju għal ksur tal-IPA 2016 quddiem l-Investigatory Powers Tribunal.

(264)

L-Investigatory Powers Tribunal huwa stabbilit bl-RIPA 2000 u huwa indipendenti mill-eżekuttiv (487). F’konformità mat-Taqsima 65 tal-RIPA 2000, il-membri ta’ dak it-Tribunal jinħatru mill-Maestà Tagħha għal perjodu ta’ ħames snin. Membru ta’ dak it-Tribunal jista’ jitneħħa mill-kariga mill-Maestà Tagħha fuq Indirizz (488) miż-żewġ Houses of Parliament (489).

(265)

Skont it-Taqsima 65 tal-RIPA 2000, it-Tribunal huwa l-korp ġudizzjarju xieraq għal kwalunkwe lment minn persuna affettwata ħażin minn imġiba skont l-IPA 2016, l-RIPA 2000 jew kwalunkwe kondotta tas-servizzi tal-intelligence (490).

(266)

Sabiex jiftaħ kawża quddiem l-Investigatory Powers Tribunal (“rekwiżit ta’ locus standi”), skont it-Taqsima 65 tal-RIPA 2000, individwu jrid jemmen (491) li l-imġiba ta’ servizz tal-intelligence tkun saret fir-rigward tiegħu, ta’ kwalunkwe proprjetà tiegħu, ta’ kwalunkwe komunikazzjoni mibgħuta minnu jew lilu, jew maħsuba għalih, jew tal-użu tiegħu ta’ kwalunkwe servizz postali, servizz ta’ telekomunikazzjoni jew sistema ta’ telekomunikazzjoni” (492). Barra minn hekk, l-ilmentatur huwa meħtieġ jemmen li l-imġiba tkun saret f’“ċirkustanzi kontestabbli” (493) jew “li jkunu saru minn jew f’isem is-servizzi tal-intelligence (494). Peress li, b’mod partikolari, dan l-istandard ta’ “twemmin” ġie interpretat b’mod pjuttost wiesa’ (495), il-ftuħ ta’ kawża quddiem dak it-Tribunal huwa soġġett għal rekwiżiti sempliċi ta’ locus standi.

(267)

Meta l-Investigatory Powers Tribunal jikkunsidra lment li jkun sarlu, huwa d-dmir tat-Tribunal li jinvestiga jekk il-persuni li kontrihom issir xi allegazzjoni fl-ilment kinux involuti b’rabta mal-ilmentatur kif ukoll li jinvestiga l-awtorità li allegatament kienet involuta fil-ksur u jekk l-allegata mġiba seħħitx jew le (496). Meta dak it-Tribunal jisma’ kwalunkwe proċediment, huwa jrid japplika l-istess prinċipji sabiex jagħmel id-determinazzjoni tiegħu f’dawk il-proċedimenti kif ikunu applikati minn qorti f’talba għal stħarriġ ġudizzjarju (497). Barra minn hekk, id-destinatarji tal-mandati jew tal-avviżi skont l-IPA 2016, u kull persuna oħra li jkollha kariga skont il-Kuruna, impjegata mill-forzi tal-pulizija jew mill-Police Investigations and Review Commissioner għandhom id-dmir li jiżvelaw jew jipprovdu lil dak it-Tribunal id-dokumenti u l-informazzjoni kollha bħal dawn li t-Tribunal jista’ jkun jeħtieġ bl-għan li jkun jista’ jeżerċita l-ġurisdizzjoni tiegħu (498).

(268)

L-Investigatory Powers Tribunal jeħtieġlu jinnotifika lill-ilmentatur jekk saritx determinazzjoni favurih jew le (499). Skont it-Taqsima 67(6) u (7) tal-RIPA 2000, it-Tribunal għandu s-setgħa li joħroġ ordnijiet interim u li jipprovdi kwalunkwe tali għoti ta’ kumpens jew ordni oħra kif iqis li jkun xieraq. Din tista’ tinkludi ordni li tannulla jew tħassar kwalunkwe mandat jew awtorizzazzjoni u ordni li teħtieġ il-qerda ta’ kwalunkwe rekord ta’ informazzjoni miksub fl-eżerċizzju ta’ kwalunkwe setgħa mogħtija permezz ta’ mandat, permezz ta’ awtorizzazzjoni jew permezz ta’ avviż, jew miżmuma b’xi mod ieħor minn kwalunkwe awtorità pubblika fir-rigward ta’ kwalunkwe persuna (500). Skont it-Taqsima 67A tal-RIPA 2000, determinazzjoni tat-Tribunal tista’ tiġi appellata, soġġetta għall-awtorizzazzjoni mogħtija mit-Tribunal jew mill-qorti tal-appell rilevanti.

(269)

Fl-aħħar nett, ta’ min jinnota li r-rwol tat-Tribunal tas-Setgħat Investigattivi ġie diskuss fil-kuntest ta’ azzjonijiet legali quddiem il-Qorti Ewropea tad-Drittijiet tal-Bniedem f’diversi okkażjonijiet, b’mod partikolari fil-kawża ta’ Kennedy v. Ir-Renju Unit (501) u aktar reċenti fil-kawża Big Brother Watch u oħrajn v. Ir-Renju Unit (502), fejn il-Qorti ddikjarat li l-“IPT offriet rimedju ġudizzjarju robust lil kull min issuspetta li l-komunikazzjonijiet tiegħu jew tagħha kienu ġew interċettati mis-servizzi tal-intelligence” (503).

(270)

Kif spjegat fil-premessi (109) sa (111), mezzi ta’ rimedju skont il-Human Rights Act 1998 u quddiem il-Qorti Ewropea tad-Drittijiet tal-Bniedem (504) huma disponibbli wkoll fil-qasam tas-sigurtà nazzjonali. It-Taqsima 65(2) tal-RIPA 2000 tipprovdi lill-Investigatory Powers Tribunal b’ġurisdizzjoni esklussiva għat-talbiet kollha skont il-Human Rights Act fir-rigward tal-aġenziji tal-intelligence (505). Dan ifisser, kif ġie nnutat mill-High Court, “jekk kienx hemm ksur tal-HRA skont il-fatti ta’ każ partikolari hija xi ħaġa li fil-prinċipju tista’ titqajjem u tiġi aġġudikata minn tribunal indipendenti li jista’ jkollu aċċess għall-materjal rilevanti kollu, inkluż materjal sigriet. […] F’dan il-kuntest, inqisu wkoll li t-Tribunal innifsu issa huwa soġġett għall-possibbiltà ta’ appell quddiem qorti tal-appell xierqa (fl-Ingilterra u f’Wales, din tkun il-Court of Appeal); u li s-Supreme Court riċentement iddeċidiet li t-Tribunal fil-prinċipju jista’ jkun soġġett għal stħarriġ ġudizzjarju: ara R (Privacy International) vs Investigatory Powers Tribunal [2019] UKSC 22; [2019] 2 WLR 1219” (506).

(271)

Minn dan ta’ hawn fuq isegwi li meta l-awtoritajiet tal-infurzar tal-liġi jew tas-sigurtà nazzjonali tar-Renju Unit jaċċessaw data personali li taqa’ fil-kamp ta’ applikazzjoni ta’ din id-Deċiżjoni, dan l-aċċess ikun irregolat b’liġijiet li jistabbilixxu l-kundizzjonijiet li fihom jista’ jseħħ l-aċċess u jiżguraw li l-aċċess u l-użu ulterjuri tad-data jkunu limitati għal dak li jkun neċessarju u proporzjonat għall-objettiv segwit ta’ infurzar tal-liġi jew tas-sigurtà nazzjonali. Barra minn hekk, fil-biċċa l-kbira tal-każijiet dan l-aċċess ikun soġġett għal awtorizzazzjoni minn qabel minn korp ġudizzjarju, permezz tal-approvazzjoni ta’ mandat jew ta’ ordni ta’ produzzjoni, u fi kwalunkwe każ għal sorveljanza indipendenti. Ladarba d-data tkun ġiet aċċessata mill-awtoritajiet pubbliċi, l-ipproċessar tagħha, inklużi kondiviżjoni u trasferiment ulterjuri, huwa soġġett għal salvagwardji speċifiċi tal-protezzjoni tad-data skont il-Parti 3 tad-DPA 2018, li jirriflettu dawk ipprovduti mid-Direttiva (UE) 2016/680, għall-ipproċessar mill-awtoritajiet tal-infurzar tal-liġi u l-Parti 4 tad-DPA 2018 għall-ipproċessar mill-aġenziji tal-intelligence. Fl-aħħar nett, f’dan il-qasam is-suġġetti tad-data jgawdu drittijiet effettivi ta’ rimedju amministrattiv u ġudizzjarju, inkluż li jiksbu aċċess għad-data tagħhom jew ir-rettifika jew it-tħassir ta’ tali data.

(272)

Minħabba l-importanza ta’ tali kundizzjonijiet, limitazzjonijiet u salvagwardji għall-finijiet ta’ din id-Deċiżjoni, il-Kummissjoni se tissorvelja mill-qrib l-applikazzjoni u l-interpretazzjoni tar-regoli tar-Renju Unit li jiddefinixxu l-aċċess tal-gvern għad-data. Dan se jinkludi żviluppi leġiżlattivi, regolatorji u ġurisprudenzjali rilevanti, kif ukoll attivitajiet tal-ICO u awtoritajiet oħra ta’ sorveljanza f’dan il-qasam. Se tingħata wkoll attenzjoni mill-qrib lill-eżekuzzjoni mir-Renju Unit tas-sentenzi rilevanti tal-Qorti Ewropea tad-Drittijiet tal-Bniedem, inklużi miżuri identifikati fil- “pjanijiet ta’ azzjoni” u fir-“rapporti ta’ azzjoni” ppreżentati lill-Kumitat tal-Ministri fil-kuntest tas-superviżjoni tal-konformità mas-sentenzi tal-Qorti.

(273)

Il-Kummissjoni tqis li l-GDPR tar-Renju Unit u d-DPA 2018 jiżguraw livell ta’ protezzjoni għad-data personali ttrasferita mill-Unjoni Ewropea li huwa essenzjalment ekwivalenti għal dak iggarantit bir-Regolament (UE) 2016/679.

(274)

Barra minn hekk, il-Kummissjoni tqis li, b’mod kumplessiv, il-mekkaniżmi ta’ sorveljanza u l-mezzi ta’ rimedju fid-dritt tar-Renju Unit jippermettu li l-ksur jiġi identifikat u ssanzjonat fil-prattika u joffru rimedji legali lis-suġġett tad-data sabiex jikseb aċċess għad-data personali relatata miegħu u, eventwalment, ir-rettifika jew it-tħassir tat-tali data.

(275)

Fl-aħħar nett, fuq il-bażi tal-informazzjoni disponibbli dwar l-ordinament ġuridiku tar-Renju Unit, il-Kummissjoni tqis li kwalunkwe interferenza mad-drittijiet fundamentali tal-individwi li d-data personali tagħhom tiġi ttrasferita mill-Unjoni Ewropea lir-Renju Unit mill-awtoritajiet pubbliċi tar-Renju Unit għall-finijiet ta’ interess pubbliku, b’mod partikolari għall-finijiet ta’ infurzar tal-liġi u tas-sigurtà nazzjonali, se tkun limitata għal dik li hija strettament meħtieġa sabiex jintlaħaq l-objettiv leġittimu inkwistjoni, u li teżisti protezzjoni legali effettiva kontra tali interferenza.

(276)

Għalhekk, fid-dawl tas-sejbiet ta’ din id-Deċiżjoni, jenħtieġ li jiġi deċiż li r-Renju Unit jiżgura livell adegwat ta’ protezzjoni skont it-tifsira tal-Artikolu 45 tar-Regolament (UE) 2016/679, interpretat fid-dawl tal-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea.

(277)

Din il-konklużjoni hija bbażata kemm fuq ir-reġim domestiku rilevanti tar-Renju Unit kif ukoll fuq l-impenji internazzjonali tiegħu, b’mod partikolari fuq l-aderenza għall-Konvenzjoni Ewropea tad-Drittijiet tal-Bniedem u fuq is-sottomissjoni għall-ġurisdizzjoni tal-Qorti Ewropea tad-Drittijiet tal-Bniedem. Għalhekk, l-aderenza kontinwa għat-tali obbligi internazzjonali hija element partikolarment importanti tal-valutazzjoni li fuqha hija bbażata din id-Deċiżjoni.

(278)

L-Istati Membri u l-organi tagħhom huma meħtieġa jieħdu l-miżuri meħtieġa sabiex jikkonformaw mal-atti tal-istituzzjonijiet tal-Unjoni, peress li dawn tal-aħħar huma preżunti li huma legali u, għalhekk, jipproduċu effetti legali sakemm jiskadu, jiġu rtirati, annullati f’rikors għal annullament jew iddikjarati invalidi wara rinviju għal deċiżjoni preliminari jew għal eċċezzjoni ta’ illeġittimità.

(279)

Konsegwentement, deċiżjoni ta’ adegwatezza tal-Kummissjoni adottata skont l-Artikolu 45(3) tar-Regolament (UE) 2016/679 hija vinkolanti fuq l-organi kollha tal-Istati Membri li lilhom hija indirizzata, inklużi l-awtoritajiet superviżorji indipendenti tagħhom. B’mod partikolari, matul il-perjodu ta’ applikazzjoni ta’ din id-Deċiżjoni, it-trasferimenti minn kontrollur jew minn proċessur fl-Unjoni Ewropea lil kontrolluri jew lil proċessuri fir-Renju Unit jistgħu jseħħu mingħajr il-ħtieġa li tinkiseb xi awtorizzazzjoni ulterjuri.

(280)

Jenħtieġ li jitfakkar li, skont l-Artikolu 58(5) tar-Regolament (UE) 2016/679, u kif spjegat mill-Qorti tal-Ġustizzja fis-sentenza Schrems (507), meta awtorità nazzjonali għall-protezzjoni tad-data tiddubita, inkluż wara lment, mill-kompatibbiltà ta’ deċiżjoni ta’ adegwatezza tal-Kummissjoni mad-drittijiet fundamentali tal-individwu għall-privatezza u għall-protezzjoni tad-data, id-dritt nazzjonali jrid jipprovdiha rimedju legali sabiex tippreżenta dawk l-oġġezzjonijiet quddiem qorti nazzjonali, li tista’ tkun meħtieġa tagħmel rinviju għal deċiżjoni preliminari lill-Qorti tal-Ġustizzja (508).

(281)

Skont l-Artikolu 45(4) tar-Regolament (UE) 2016/679, il-Kummissjoni għandha timmonitorja, fuq bażi kontinwa, l-iżviluppi rilevanti fir-Renju Unit wara l-adozzjoni ta’ din id-Deċiżjoni sabiex tivvaluta jekk jibqax jiżgura livell ta’ protezzjoni essenzjalment ekwivalenti. Dan il-monitoraġġ huwa partikolarment importanti f’dan il-każ, peress li r-Renju Unit se jkun qed jamministra, japplika u jeżegwixxi reġim ġdid ta’ protezzjoni tad-data li ma huwiex se jibqa’ soġġett għad-dritt tal-Unjoni Ewropea u li jista’ jkun li jevolvi. F’dak ir-rigward, se tingħata attenzjoni speċjali għall-applikazzjoni fil-prattika tar-regoli tar-Renju Unit dwar it-trasferimenti ta’ data personali lil pajjiżi terzi, u l-impatt li jista’ jkollha fuq il-livell ta’ protezzjoni mogħti lil data trasferita skont din id-Deċiżjoni; għall-effettività tal-eżerċizzju tad-drittijiet individwali, inkluż kwalunkwe żvilupp rilevanti fil-liġi u l-prattika li jikkonċernaw l-eċċezzjonijiet għal jew ir-restrizzjonijiet ta’ tali drittijiet (b’mod partikolari dik relatata maż-żamma ta’ kontroll effettiv tal-immigrazzjoni); kif ukoll konformità mal-limitazzjonijiet u s-salvagwardji fir-rigward tal-aċċess tal-gvern. Fost elementi oħra, l-iżviluppi tal-ġurisprudenza u s-sorveljanza mill-ICO u korpi indipendenti oħra se jinformaw il-monitoraġġ tal-Kummissjoni.

(282)

Biex jiffaċilitaw dan il-monitoraġġ, l-awtoritajiet tar-Renju Unit jenħtieġ li jinfurmaw minnufih lill-Kummissjoni dwar kwalunkwe bidla materjali fl-ordni ġuridiku tar-Renju Unit li jkollha impatt fuq il-qafas legali li huwa l-oġġett ta’ din id-Deċiżjoni, kif ukoll kwalunkwe evoluzzjoni fil-prattiki relatati mal-ipproċessar tad-data personali vvalutata f’din id-Deċiżjoni, kemm fir-rigward tal-ipproċessar ta’ data personali mill-kontrolluri u l-proċessuri skont il-GDPR tar-Renju Unit kif ukoll il-limitazzjonijiet u s-salvagwardji applikabbli għall-aċċess għad-data personali mill-awtoritajiet pubbliċi. Dan għandu jinkludi żviluppi rigward l-elementi msemmija fil-premessa (281).

(283)

Barra minn hekk, sabiex il-Kummissjoni tkun tista’ twettaq il-funzjoni ta’ monitoraġġ tagħha b’mod effettiv, jenħtieġ li l-Istati Membri jinformaw lill-Kummissjoni dwar kwalunkwe azzjoni rilevanti meħuda mill-awtoritajiet nazzjonali tal-protezzjoni tad-data, b’mod partikolari fir-rigward ta’ domandi jew ta’ lmenti minn suġġetti tad-data tal-UE dwar it-trasferiment ta’ data personali mill-Unjoni lil kontrolluri jew lil proċessuri fir-Renju Unit. Jenħtieġ li l-Kummissjoni tiġi informata wkoll dwar kwalunkwe indikazzjoni li l-azzjonijiet tal-awtoritajiet pubbliċi tar-Renju Unit responsabbli għall-prevenzjoni, għall-investigazzjoni, għas-sejbien jew għall-prosekuzzjoni ta’ reati kriminali, jew għas-sigurtà nazzjonali, inkluż kwalunkwe korp ta’ sorveljanza, ma jiżgurawx il-livell meħtieġ ta’ protezzjoni.

(284)

Fejn l-informazzjoni disponibbli, b’mod partikolari l-informazzjoni li tirriżulta mill-monitoraġġ ta’ din id-Deċiżjoni jew ipprovduta mill-awtoritajiet tar-Renju Unit jew tal-Istati Membri, turi li l-livell ta’ protezzjoni mogħti mir-Renju Unit jista’ ma jibqax adegwat, jenħtieġ li l-Kummissjoni tinforma minnufih lill-awtoritajiet kompetenti tar-Renju Unit dwar dan u titlob li jittieħdu miżuri xierqa f’perjodu ta’ żmien speċifikat, li ma jistax jaqbeż it-tliet xhur. Fejn meħtieġ, dan il-perjodu jista’ jiġi estiż għal perjodu speċifiku ta’ żmien, filwaqt li titqies in-natura tal-kwistjoni kkonċernata u/jew tal-miżuri li jridu jittieħdu. Pereżempju, tali proċedura tiġi attivata f’każijiet fejn trasferimenti ulterjuri, inkluż abbażi ta’ regolamenti ta’ adegwatezza ġodda adottati mis-Segretarju tal-Istat jew ftehimiet internazzjonali konklużi mir-Renju Unit, ma jibqgħux jitwettqu taħt salvagwardji li jiżguraw il-kontinwità tal-protezzjoni skont it-tifsira tal-Artikolu 44 tar-Regolament (UE) 2016/679.

(285)

Jekk, mal-iskadenza ta’ dak il-perjodu ta’ żmien speċifikat, l-awtoritajiet kompetenti tar-Renju Unit jonqsu milli jieħdu dawk il-miżuri jew inkella juru b’mod sodisfaċenti li din id-Deċiżjoni tkun għadha bbażata fuq livell adegwat ta’ protezzjoni, il-Kummissjoni tibda l-proċedura msemmija fl-Artikolu 93(2) tar-Regolament (UE) 2016/679 bl-għan li tissospendi jew tħassar din id-Deċiżjoni parzjalment jew kompletament.

(286)

Inkella, il-Kummissjoni tibda din il-proċedura bl-għan li temenda d-Deċiżjoni, b’mod partikolari billi tissoġġetta t-trasferimenti tad-data għal kundizzjonijiet addizzjonali jew billi tillimita l-kamp ta’ applikazzjoni tal-konstatazzjoni tal-adegwatezza biss għat-trasferimenti tad-data li għalihom jibqa’ żgurat livell adegwat ta’ protezzjoni.

(287)

Għal raġunijiet imperattivi ta’ urġenza debitament iġġustifikati, il-Kummissjoni tuża l-possibbiltà li tadotta, f’konformità mal-proċedura msemmija fl-Artikolu 93(3) tar-Regolament (UE) 2016/679, atti ta’ implimentazzjoni applikabbli immedjatament li jissospendu, jirrevokaw jew jemendaw id-Deċiżjoni.

(288)

Il-Kummissjoni jeħtiġilha tqis li, hekk kif jintemm il-perjodu ta’ tranżizzjoni previst mill-Ftehim dwar il-Ħruġ u malli ma tibqax tapplika d-dispożizzjoni interim skont l-Artikolu 782 tal-Ftehim dwar il-Kummerċ u l-Kooperazzjoni bejn l-UE u r-Renju Unit, ir-Renju Unit se jamministra, japplika u jinforza reġim ġdid ta’ protezzjoni tad-data meta mqabbel ma’ dak li kien fis-seħħ meta kien marbut bid-dritt tal-UE. Dan jista’ jinvolvi b’mod partikolari emendi jew tibdiliet fil-qafas tal-protezzjoni tad-data vvalutat f’din id-Deċiżjoni, kif ukoll żviluppi rilevanti oħrajn.

(289)

Għalhekk, huwa xieraq li jiġi previst li din id-Deċiżjoni se tapplika għal perjodu ta’ erba’ snin mid-dħul fis-seħħ tagħha.

(290)

Meta b’mod partikolari l-informazzjoni li tirriżulta mill-monitoraġġ ta’ din id-Deċiżjoni tiżvela li l-konstatazzjonijiet relatati mal-adegwatezza tal-livell ta’ protezzjoni żgurat fir-Renju Unit għadhom fattwalment u legalment iġġustifikati, jenħtieġ li l-Kummissjoni, sa mhux aktar tard minn sitt xhur qabel ma din id-Deċiżjoni ma tibqax tapplika, tibda l-proċedura sabiex temenda din id-Deċiżjoni billi testendi l-kamp ta’ applikazzjoni temporali tagħha, fil-prinċipju, għal perjodu addizzjonali ta’ erba’ snin. Kwalunkwe att ta’ implimentazzjoni bħal dan li jemenda din id-Deċiżjoni għandu jiġi adottat f’konformità mal-proċedura msemmija fl-Artikolu 93(2) tar-Regolament (UE) 2016/679.

(291)

Il-Bord Ewropew għall-Protezzjoni tad-Data ppubblika l-opinjoni tiegħu (509), li ġiet ikkunsidrata fit-tħejjija ta’ din id-Deċiżjoni.

(292)

Il-miżuri previsti f’din id-Deċiżjoni huma f’konformità mal-opinjoni tal-Kumitat stabbilit skont l-Artikolu 93 tar-Regolament (UE) 2016/679,

(1)

Id-Direttiva (UE) 2016/680 tistabbilixxi r-regoli għat-trasferiment ta’ data personali mill-awtoritajiet kompetenti fl-Unjoni lil pajjiżi terzi u lil organizzazzjonijiet internazzjonali sa fejn tali trasferimenti jaqgħu fil-kamp ta’ applikazzjoni tagħha. Ir-regoli dwar it-trasferimenti internazzjonali tad-data mill-awtoritajiet kompetenti huma stabbiliti fil-Kapitolu V tad-Direttiva (UE) 2016/680, b’mod aktar speċifiku fl-Artikoli 35 sa 40. Filwaqt li l-fluss ta’ data personali lejn u minn pajjiżi barra l-Unjoni Ewropea huwa essenzjali għal kooperazzjoni effiċjenti fl-infurzar tal-liġi, irid jiġi ggarantit li l-livell ta’ protezzjoni mogħti lil data personali fl-Unjoni Ewropea ma jiġix imxekkel minn trasferimenti bħal dawn (2).

(2)

Skont l-Artikolu 36(3) tad-Direttiva (UE) 2016/680, il-Kummissjoni tista’ tiddeċiedi, permezz ta’ att ta’ implimentazzjoni, li pajjiż terz, territorju jew settur speċifikat wieħed jew aktar f’pajjiż terz jew f’organizzazzjoni internazzjonali jiżgura livell adegwat ta’ protezzjoni. Skont din il-kundizzjoni, it-trasferimenti ta’ data personali lejn pajjiż terz jistgħu jsiru mingħajr il-ħtieġa li tinkiseb awtorizzazzjoni ulterjuri (ħlief meta Stat Membru ieħor li minnu tkun inkisbet id-data jkollu jagħti l-awtorizzazzjoni tiegħu għat-trasferiment), kif previst fl-Artikolu 35(1) u fil-premessa 66 tad-Direttiva (UE) 2016/680.

(3)

Kif speċifikat fl-Artikolu 36(2) tad-Direttiva (UE) 2016/680, l-adozzjoni ta’ deċiżjoni ta’ adegwatezza trid tkun ibbażata fuq analiżi komprensiva tal-ordni ġuridiku tal-pajjiż terz. Fil-valutazzjoni tagħha, il-Kummissjoni trid tiddetermina jekk il-pajjiż terz inkwistjoni jiggarantix livell ta’ protezzjoni “essenzjalment ekwivalenti” għal dak żgurat fl-Unjoni Ewropea (il-premessa 67 tad-Direttiva (UE) 2016/680). L-istandard li fid-dawl tiegħu tiġi vvalutata l-“ekwivalenza essenzjali” huwa dak stabbilit mil-leġiżlazzjoni tal-UE, b’mod partikolari d-Direttiva (UE) 2016/680, kif ukoll mill-ġurisprudenza tal-Qorti tal-Ġustizzja tal-Unjoni Ewropea (3). F’dan ir-rigward, anki r-referenzjal tal-adegwatezza tal-Bord Ewropew għall-Protezzjoni tad-Data huwa ta’ importanza (4).

(4)

Kif iċċarat mill-Qorti tal-Ġustizzja tal-Unjoni Ewropea, dan ma jeħtieġx li jinstab livell identiku ta’ protezzjoni (5). B’mod partikolari, il-mezzi li għalihom il-pajjiż terz inkwistjoni jkollu rikors għall-protezzjoni ta’ data personali jistgħu jvarjaw minn dawk imħaddma fl-Unjoni Ewropea, dment li juru bil-provi, fil-prattika, li jkunu effettivi fl-iżgurar ta’ livell adegwat ta’ protezzjoni (6). Għalhekk, l-istandard tal-adegwatezza ma jeħtieġx replikazzjoni minn punt għal punt tar-regoli tal-Unjoni. Minflok, il-prova hija jekk, permezz tas-sustanza tad-drittijiet tal-privatezza u l-implimentazzjoni, is-superviżjoni u l-infurzar effettivi tagħhom, is-sistema barranija kollha kemm hi tipprovdix il-livell ta’ protezzjoni meħtieġ (7).

(5)

Il-Kummissjoni analizzat bir-reqqa l-liġi u l-prattika rilevanti tar-Renju Unit (UK). Fuq il-bażi tas-sejbiet tagħha, stabbiliti hawn taħt, il-Kummissjoni tikkonkludi li r-Renju Unit jiżgura livell adegwat ta’ protezzjoni għad-data personali ttrasferita mill-awtoritajiet kompetenti fl-Unjoni, li jaqgħu fil-kamp ta’ applikazzjoni tad-Direttiva (UE) 2016/680, lill-awtoritajiet kompetenti fir-Renju Unit li jaqgħu fil-kamp ta’ applikazzjoni tal-Parti 3 tad-Data Protection Act 2018 (DPA 2018) (8).

(6)

Din id-Deċiżjoni għandha l-effett li tali trasferimenti jistgħu jsiru mingħajr il-ħtieġa li tinkiseb xi awtorizzazzjoni oħra għal perjodu ta’ erba’ snin, soġġetta għal tiġdid possibbli, u mingħajr preġudizzju għall-kundizzjonijiet stabbiliti fl-Artikolu 35 tad-Direttiva (UE) 2016/680.

(7)

Ir-Renju Unit huwa demokrazija parlamentari. Għandu Parlament sovran, li huwa suprem għall-istituzzjonijiet l-oħrajn kollha tal-gvern, eżekuttiv meħud mill-Parlament u responsabbli quddiemu u ġudikatura indipendenti. L-Eżekuttiv jieħu l-awtorità tiegħu mill-kapaċità tiegħu li jikseb il-fiduċja tal-House of Commons eletta u huwa responsabbli quddiem iż-żewġ Houses of Parliament (House of Commons u House of Lords) li huma responsabbli għall-iskrutinju tal-Gvern u għad-dibattitu u għall-promulgazzjoni tal-liġijiet. Il-Parlament tar-Renju Unit ta responsabbiltà b’devoluzzjoni lill-Parlament Skoċċiż, lill-Parlament ta’ Wales (Senedd Cymru), u lill-Assemblea tal-Irlanda ta’ Fuq għal-leġiżlazzjoni dwar ċerti kwistjonijiet domestiċi fl-Iskozja, f’Wales u fl-Irlanda ta’ Fuq. Filwaqt li l-protezzjoni tad-data hija kwistjoni riżervata għall-Parlament tar-Renju Unit, jiġifieri tapplika l-istess leġiżlazzjoni madwar il-pajjiż kollu, oqsma oħrajn ta’ politika rilevanti għal din id-Deċiżjoni huma devoluti. Pereżempju, is-sistemi tal-ġustizzja kriminali, inkluża l-pulizija (l-attivitajiet imwettqa mill-forzi tal-pulizija) tal-Iskozja u tal-Irlanda ta’ Fuq huma devoluti lill-Parlament Skoċċiż u lill-Assemblea tal-Irlanda ta’ Fuq rispettivament (9).

(8)

Filwaqt li r-Renju Unit ma għandux kostituzzjoni kkodifikata fis-sens ta’ dokument kostituttiv stabbilit, maż-żmien twaqqfu l-prinċipji kostituzzjonali tiegħu, meħudin b’mod partikolari mill-ġurisprudenza u mill-konvenzjoni. Ġie rikonoxxut il-valur kostituzzjonali ta’ ċerti statuti, bħall-Magna Carta, il-Bill of Rights 1689 u l-Human Rights Act 1998. Id-drittijiet fundamentali tal-individwi ġew żviluppati, bħala parti mill-kostituzzjoni, permezz tad-dritt komuni, permezz tal-istatuti, u permezz tat-trattati internazzjonali, b’mod partikolari l-Konvenzjoni Ewropea dwar id-Drittijiet tal-Bniedem (KEDB), li r-Renju Unit irratifika fl-1951. Fl-1987, ir-Renju Unit irratifika wkoll il-Konvenzjoni tal-Kunsill tal-Ewropa għall-Protezzjoni ta’ Individwi fir-rigward tal-Ipproċessar Awtomatiku ta’ Data Personali (il-Konvenzjoni 108) (10).

(9)

Il-Human Rights Act tal-1998 jinkorpora d-drittijiet li jinsabu fil-KEDB fid-dritt tar-Renju Unit. L-Att jagħti lil kwalunkwe individwu d-drittijiet u l-libertajiet fundamentali previsti fl-Artikoli 2 sa 12 u 14 tal-KEDB u fl-Artikoli 1 sa 3 tal-Ewwel Protokoll tiegħu u fl-Artikolu 1 tat-Tlettax-il Protokoll tiegħu, kif moqri mal-Artikoli 16 sa 18 tal-KEDB. Dan jinkludi d-dritt għar-rispett għall-ħajja privata u għall-ħajja tal-familja, li min-naħa tiegħu jinkludi d-dritt għall-protezzjoni tad-data, u d-dritt ta’ proċess ġust (11). B’mod partikolari, f’konformità mal-Artikolu 8 tal-KEDB, awtorità pubblika tista’ tinterferixxi biss mad-dritt għall-privatezza f’konformità mal-liġi, fejn meħtieġ f’soċjetà demokratika fl-interessi tas-sigurtà nazzjonali, tas-sikurezza pubblika jew tal-benesseri ekonomiku tal-pajjiż, għall-prevenzjoni ta’ disturb jew ta’ kriminalità, għall-protezzjoni tas-saħħa jew tal-morali, jew għall-protezzjoni tad-drittijiet u tal-libertajiet ta’ ħaddieħor.

(10)

F’konformità mal-Human Rights Act tal-1998, kwalunkwe azzjoni tal-awtoritajiet pubbliċi trid tkun kompatibbli ma’ dritt iggarantit skont il-KEDB (12). Barra minn hekk, il-leġiżlazzjoni primarja u subordinata trid tinqara u tingħata effett b’mod li jkun kompatibbli ma’ dawk id-drittijiet (13). Sa fejn individwu jqis li d-drittijiet tiegħu, li jinkludu d-drittijiet għall-privatezza u għall-protezzjoni tad-data, inkisru mill-awtoritajiet pubbliċi, huwa jista’ jikseb rimedju quddiem il-qrati tar-Renju Unit skont il-Human Rights Act tal-1998 u, eventwalment, wara li jkun ipprova r-rimedji nazzjonali kollha, huwa jista’ jikseb rimedju quddiem il-Qorti Ewropea tad-Drittijiet tal-Bniedem għal ksur tad-drittijiet iggarantiti skont il-KEDB.

(11)

Ir-Renju Unit ħareġ mill-Unjoni fil-31 ta’ Jannar 2020. Fuq il-bażi tal-Ftehim dwar il-ħruġ tar-Renju Unit tal-Gran Brittanja u l-Irlanda ta’ Fuq mill-Unjoni Ewropea u mill-Komunità Ewropea tal-Enerġija Atomika (14), id-dritt tal-Unjoni kompla japplika fir-Renju Unit matul il-perjodu ta’ tranżizzjoni sal-31 ta’ Diċembru 2020. Qabel il-ħruġ u matul il-perjodu ta’ tranżizzjoni, il-qafas leġiżlattiv dwar il-protezzjoni ta’ data personali fir-Renju Unit li jirregola l-ipproċessar ta’ data personali mill-awtoritajiet kompetenti għall-finijiet ta’ prevenzjoni, ta’ investigazzjoni, ta’ detezzjoni jew ta’ prosekuzzjoni ta’ reati kriminali jew ta’ eżekuzzjoni ta’ pieni kriminali, inkluża s-salvagwardja kontra u l-prevenzjoni ta’ theddidiet għas-sigurtà pubblika, kien jikkonsisti fil-partijiet rilevanti tad-Data Protection Act tal-2018), li ttrasponew id-Direttiva (UE) 2016/680.

(12)

Sabiex iħejji għall-ħruġ mill-UE, il-Gvern tar-Renju Unit ippromulga l-European Union (Withdrawal) Act 2018 (EUWA) (15), li inkorpora l-leġiżlazzjoni tal-Unjoni direttament applikabbli fid-dritt tar-Renju Unit u stabbilixxa li l-hekk imsejħa “leġiżlazzjoni domestika dderivata mill-UE” jibqa’ jkollha effett wara t-tmiem tal-perjodu ta’ tranżizzjoni. Il-Parti 3 tad-DPA 2018 (16) li tittrasponi d-Direttiva (UE) 2016/680 tikkostitwixxi “leġiżlazzjoni domestika dderivata mill-UE” skont l-EUWA. Skont l-EUWA, il-“leġiżlazzjoni domestika dderivata mill-UE” mhux modifikata trid tiġi interpretata mill-qrati tar-Renju Unit f’konformità mal-ġurisprudenza rilevanti tal-Qorti tal-Ġustizzja tal-Unjoni Ewropea (il-Qorti tal-Ġustizzja) u mal-prinċipji ġenerali tad-dritt tal-Unjoni hekk kif kellhom effett immedjatament qabel it-tmiem tal-perjodu ta’ tranżizzjoni (imsejħa “ġurisprudenza tal-UE miżmuma” u “prinċipji ġenerali miżmuma tad-dritt tal-UE” rispettivament) (17).

(13)

Skont l-EUWA, il-Ministri tar-Renju Unit għandhom is-setgħa li jintroduċu leġiżlazzjoni sekondarja, permezz ta’ strumenti statutorji, sabiex jintroduċu l-modifiki meħtieġa għad-dritt tal-UE miżmum li jirriżultaw mill-ħruġ tar-Renju Unit mill-Unjoni. The Data Protection, Privacy and Electronic Communications (Amendments eċċ.) (EU Exit) Regulations 2019 (DPPEC Regulations) (18) eżerċitaw din is-setgħa. Dawn jemendaw il-leġiżlazzjoni tar-Renju Unit dwar il-protezzjoni tad-data, li tinkludi d-DPA 2018, sabiex din taqdi l-kuntest domestiku (19).

(14)

Konsegwentement, l-istandards legali dwar l-ipproċessar ta’ data personali mill-awtoritajiet kompetenti għall-finijiet tal-prevenzjoni, tal-investigazzjoni, tad-detezzjoni jew tal-prosekuzzjoni ta’ reati kriminali jew tal-eżekuzzjoni ta’ pieni kriminali, inklużi s-salvagwardja kontra u l-prevenzjoni ta’ theddidiet għas-sigurtà pubblika fir-Renju Unit wara l-perjodu ta’ tranżizzjoni skont il-Ftehim dwar il-Ħruġ se jkomplu jiġu stabbiliti fil-partijiet rilevanti tad-DPA 2018, iżda kif emendati bir-Regolamenti dwar id-DPPEC, b’mod partikolari fil-Parti 3 ta’ dak l-Att. Ir-Regolament Ġenerali dwar il-Protezzjoni tad-Data tar-Renju Unit (UK GDPR) ma japplikax għal dan it-tip ta’ pproċessar.

(15)

Il-Parti 3 tad-DPA 2018 tipprovdi r-regoli għall-ipproċessar ta’ data personali għal finijiet ta’ infurzar tad-dritt penali, inklużi l-prinċipji tal-protezzjoni tad-data, ir-raġunijiet legali għall-ipproċessar (legalità), id-drittijiet tas-suġġetti tad-data, l-obbligi tal-awtoritajiet kompetenti bħala kontrolluri u r-restrizzjonijiet fuq trasferimenti ulterjuri. Fl-istess ħin, ir-regoli applikabbli dwar is-sorveljanza, l-infurzar u r-rimedju applikabbli għas-settur tal-infurzar tal-liġi huma pprovduti fil-Partijiet 5 u 6 tad-DPA 2018.

(16)

Barra minn hekk, fid-dawl tar-rwol rilevanti li għandhom il-forzi tal-pulizija fis-settur tal-infurzar tal-liġi, jenħtieġ li jkunu kkunsidrati r-regoli li jirregolaw l-attivitajiet tal-pulizija. Peress li l-attivitajiet tal-pulizija huma kwistjoni devoluta, biċċiet differenti ta’ leġiżlazzjoni li però spiss ikunu simili fir-rigward tal-kontenut tagħhom huma applikabbli għall-pulizija (a) fl-Ingilterra u f’Wales, (b) fl-Iskozja, u (c) fl-Irlanda ta’ Fuq (20). Barra minn hekk, diversi tipi ta’ dokumenti ta’ gwida jipprovdu kjarifiki addizzjonali dwar kif jenħtieġ li jintużaw is-setgħat tal-pulizija. Hemm tliet forom ewlenin ta’ gwida għall-pulizija: 1) gwida statutorja maħruġa skont il-leġiżlazzjoni, bħall-Code of Ethics (21) u l-Code of Practice on the Management of Police Information (MoPI Code of Practice) (22) maħruġa skont il-Police Act 1996 (23) jew il-kodiċijiet PACE (24) maħruġa skont il-Police and Criminal Evidence Act (25), 2) Authorised Professional Practice on the Management of Police Information (APP Guidance on the Management of Police Information) (26), maħruġa mill-College of Policing u 3) gwida operazzjonali (ippubblikata mill-pulizija stess). In-National Police Chiefs Council (korp ta’ koordinazzjoni għall-forzi tal-pulizija tar-Renju Unit kollha) jippubblika gwida operazzjonali li l-forzi tal-pulizija kollha approvaw u li, għalhekk, tapplika fuq livell nazzjonali (27). L-għan ta’ din il-gwida huwa li tiġi żgurata l-konsistenza bejn il-forzi fil-mod kif tiġi ġestita l-informazzjoni (28).

(17)

L-MoPI Code of Practice nħareġ mis-Segretarju tal-Istat fl-2005, billi uża s-setgħat previsti fit-Taqsima 39 A tal-Police Act 1996 (29). Kwalunkwe kodiċi ta’ prattika maħruġ skont il-Police Act irid ikollu l-approvazzjoni tas-Segretarju tal-Istat u jkun soġġett għal konsultazzjoni man-National Crime Agency qabel ma jitressaq quddiem il-Parlament. It-Taqsima 39 A (7) tal-Police Act tirrikjedi li l-pulizija tqis kif xieraq il-kodiċijiet maħruġa skont l-Att u, għalhekk, il-pulizija hija mistennija tikkonforma miegħu (30). Barra minn hekk, gwida mhux statutorja (bħall-APP Guidance on the Management of Police Information) dejjem trid tkun konsistenti mal-MoPI Code of Practice li huwa ġerarkikament fuqha (31). Fi kwalunkwe każ, filwaqt li jista’ jkun hemm ċerti sitwazzjonijiet operazzjonali li fihom l-uffiċjali tal-pulizija jkollhom bżonn jiddevjaw minn din il-gwida, xorta jkunu meħtieġa jikkonformaw mar-rekwiżiti tal-Parti 3 tad-DPA 2018 (32).

(18)

Gwida ulterjuri dwar il-leġiżlazzjoni dwar il-protezzjoni tad-data tar-Renju Unit għall-ipproċessar fis-settur tal-infurzar tal-liġi hija pprovduta mill-Kummissarju tal-Informazzjoni (“Kummissarju tal-Informazzjoni” jew “ICO”) (33) (għal aktar dettalji dwar l-ICO, ara l-premessi (93) sa (109)). Għalkemm ma hijiex legalment vinkolanti, f’kawża tal-qorti, il-qrati jkunu marbuta li jqisu kwalunkwe ksur tal-gwida, peress li din għandha piż interpretattiv u turi kif il-leġiżlazzjoni dwar il-protezzjoni tad-data tiġi interpretata u infurzata mill-Kummissarju fil-prattika (34).

(19)

Finalment, kif imsemmi fil-premessi (8) sa (10), l-aġenziji tal-infurzar tal-liġi tar-Renju Unit jeħtiġilhom jiżguraw konformità mal-KEDB u mal-Konvenzjoni 108.

(20)

Għalhekk, fl-istruttura u fil-komponenti ewlenin tiegħu, il-qafas legali li jirregola l-ipproċessar tad-data mill-awtoritajiet tal-infurzar tad-dritt penali tar-Renju Unit huwa simili ħafna għal dak li japplika fl-UE. Dan jinkludi l-fatt li tali qafas ma jiddependix biss fuq l-obbligi stabbiliti fid-dritt domestiku, li ssawwar mid-dritt tal-UE, iżda wkoll fuq l-obbligi stabbiliti fid-dritt internazzjonali, b’mod partikolari permezz tal-aderenza mir-Renju Unit mal-KEDB u mal-Konvenzjoni 108, kif ukoll permezz tas-sottomissjoni tiegħu għall-ġurisdizzjoni tal-Qorti Ewropea tad-Drittijiet tal-Bniedem. Dawn l-obbligi li jirriżultaw minn strumenti internazzjonali legalment vinkolanti, b’mod partikolari fir-rigward tal-protezzjoni ta’ data personali, huma għalhekk element importanti partikolari tal-qafas legali vvalutat f’din id-Deċiżjoni.

(21)

Il-kamp ta’ applikazzjoni materjali tal-Parti 3 tad-DPA 2018 jikkoinċidi mal-kamp ta’ applikazzjoni tad-Direttiva 2016/680 kif speċifikat fl-Artikolu 2(2) tagħha. Il-Parti 3 tapplika għall-ipproċessar minn awtorità kompetenti ta’ data personali kompletament jew parzjalment permezz ta’ mezzi awtomatizzati u għall-ipproċessar minn awtorità kompetenti b’mod differenti li ma jinvolvix mezzi awtomatizzati ta’ data personali li tifforma parti minn sistema ta’ arkivjar jew li hija maħsuba sabiex tifforma parti minn sistema ta’ arkivjar.

(22)

Barra minn hekk, sabiex jaqa’ taħt il-kamp ta’ applikazzjoni ta’ dik il-Parti 3, il-kontrollur jeħtieġlu jkun “awtorità kompetenti” u l-ipproċessar irid jitwettaq għal “fini ta’ infurzar tal-liġi”. Għaldaqstant, ir-reġim tal-protezzjoni tad-data li huwa vvalutat f’din id-Deċiżjoni japplika għall-attivitajiet kollha talinfurzar tal-liġi ta’dawn l-awtoritajiet kompetenti.

(23)

Il-kunċett ta’ “awtorità kompetenti” huwa ddefinit fit-Taqsima 30 tad-DPA bħala persuna elenkata fl-Iskeda 7 għad-DPA 2018 kif ukoll kwalunkwe persuna oħra sal-punt li l-persuna jkollha funzjonijiet statutorji għal kwalunkwe wieħed mill-finijiet ta’ infurzar tal-liġi. L-awtoritajiet kompetenti elenkati fl-Iskeda 7 jinkludu mhux biss il-forzi tal-pulizija, iżda wkoll id-dipartimenti governattivi ministerjali kollha tar-Renju Unit kif ukoll awtoritajiet oħrajn b’funzjonijiet investigattivi (eż. il-Commissioner for Her Majesty’s Revenue and Customs, il-Welsh Revenue Authority, il-Competition and Markets Authority jew il-Her Majesty’s Land Register jew in-National Crime Agency), l-aġenziji tal-prosekuzzjoni, aġenziji oħrajn tal-ġustizzja kriminali u detenturi jew organizzazzjonijiet oħrajn li jwettqu attivitajiet ta’ infurzar tal-liġi (35). Il-Parti 3 tad-DPA 2018 tapplika wkoll għall-qrati u għat-tribunali meta jeżerċitaw il-funzjonijiet ġudizzjarji tagħhom, ħlief għall-parti relatata mad-drittijiet tas-suġġett tad-data u mas-sorveljanza tal-ICO (36). Il-lista tal-awtoritajiet kompetenti pprovduta mill-Iskeda 7 ma hijiex definittiva u tista’ tiġi aġġornata mis-Segretarju tal-Istat b’Regolamenti li jqisu l-bidliet fl-organizzazzjoni tal-uffiċċji pubbliċi (37).

(24)

L-ipproċessar inkwistjoni jrid ikun ukoll għal “fini ta’ infurzar tal-liġi”, iddefinit bħala l-prevenzjoni, l-investigazzjoni, id-detezzjoni jew il-prosekuzzjoni ta’ reati kriminali jew l-eżekuzzjoni ta’ pieni kriminali, inkluża s-salvagwardja kontra u l-prevenzjoni ta’ theddidiet għas-sigurtà pubblika (38). L-ipproċessar minn awtorità kompetenti ma huwiex irregolat bil-Parti 3 tad-DPA 2018 fejn ma jseħħx għal finijiet ta’ infurzar tal-liġi. Dan se jkun il-każ, pereżempju, meta l-Competition and Markets Authority tinvestiga każijiet li ma jkunux kriminalizzati (eż. fużjonijiet bejn kumpaniji). F’dak il-każ, ikunu japplikaw il-GDPR tar-Renju Unit, flimkien mal-Parti 2 tad-DPA 2018, peress li l-ipproċessar ta’ data personali mill-awtoritajiet kompetenti jitwettaq għal finijiet oħrajn li ma jkunux finijiet ta’ infurzar tal-liġi. Sabiex jiġi ddeterminat liema reġim ta’ protezzjoni tad-data japplika (Parti 3 jew Parti 2 tad-DPA 2018) għall-ipproċessar ta’ data personali inkwistjoni, l-awtorità kompetenti, jiġifieri l-kontrollur, jeħtiġilha tikkunsidra jekk l-“fini primarju” ta’ tali pproċessar ikunx wieħed mill-finijiet ta’ infurzar tal-liġi skont id-DPA 2018.

(25)

Fir-rigward tal-kamp ta’ applikazzjoni territorjali tal-Parti 3 tad-DPA 2018, it-Taqsima 207(2) tipprovdi li d-DPA japplika għall-ipproċessar ta’ data personali fil-kuntest tal-attivitajiet ta’ persuna li jkollha stabbiliment fit-territorju kollu tar-Renju Unit. Dan jinkludi l-awtoritajiet pubbliċi tat-territorji tal-Ingilterra, ta’ Wales, tal-Iskozja u tal-Irlanda ta’ Fuq li jaqgħu taħt il-kamp ta’ applikazzjoni materjali tal-Parti 3 tad-DPA 2018 (39).

(26)

Il-kunċetti ewlenin ta’ data personali u ta’ pproċessar huma ddefiniti fit-Taqsima 3 tad-DPA 2018 u japplikaw fid-DPA kollu. Id-definizzjonijiet isegwu mill-qrib id-definizzjonijiet korrispondenti stabbiliti fl-Artikolu 3 tad-Direttiva 2016/680. Skont id-DPA 2018, data personali tfisser kwalunkwe informazzjoni relatata ma’ individwu ħaj identifikat jew identifikabbli (40). Skont it-Taqsima 3(3) tad-DPA 2018, individwu jkun identifikabbli jekk ikun jista’ jiġi identifikat direttament jew indirettament mill-informazzjoni, inkluż b’referenza għal isem jew għal identifikatur jew b’referenza għal fattur wieħed jew aktar speċifiċi għall-identità fiżika, fiżjoloġika, ġenetika, mentali, ekonomika, kulturali jew soċjali tal-persuna. Il-kunċett ta’ “pproċessar” huwa ddefinit bħala operazzjoni jew sett ta’ operazzjonijiet li jitwettqu fuq informazzjoni, jew fuq settijiet ta’ informazzjoni, bħal (a) ġbir, reġistrazzjoni, organizzazzjoni, strutturar jew ħżin; (b) adattament jew alterazzjoni; (c) sejbien, konsultazzjoni jew użu; (d) żvelar permezz ta’ trażmissjoni, disseminazzjoni jew tqegħid għad-dispożizzjoni b’xi mod ieħor; (e) allinjament jew kombinazzjoni; jew (f) restrizzjoni, tħassir jew qerda. Barra minn hekk, l-Att jiddefinixxi “pproċessar sensittiv” bħala “(a) l-ipproċessar ta’ data personali li tiżvela oriġini razzjali jew etnika, opinjonijiet politiċi, twemmin reliġjuż jew filosofiku jew sħubija fi trade union; (b) l-ipproċessar ta’ data ġenetika, jew ta’ data bijometrika, għall-fini ta’ identifikazzjoni unika ta’ individwu; (c) l-ipproċessar ta’ data dwar is-saħħa; (d) l-ipproċessar ta’ data li tikkonċerna l-ħajja sesswali jew l-orjentazzjoni sesswali ta’ individwu” (41). F’dan ir-rigward, it-Taqsima 205 tad-DPA 2018 tipprovdi d-definizzjoni ta’ “data bijometrika” (42), ta’ “data li tikkonċerna s-saħħa” (43) u ta’ “data ġenetika” (44).

(27)

It-Taqsima 32 tad-DPA 2018 tiċċara d-definizzjonijiet ta’ “kontrollur” u ta’ “proċessur” fil-kuntest tal-ipproċessar ta’ data personali għal finijiet ta’ infurzar tal-liġi billi ssegwi mill-qrib id-definizzjonijiet ekwivalenti fid-Direttiva 2016/680. Il-kontrollur tfisser l-awtorità kompetenti, li tiddetermina l-finijiet u l-mezzi tal-ipproċessar ta’ data personali. Meta l-ipproċessar ikun meħtieġ bil-liġi, il-kontrollur ikun l-awtorità kompetenti li fuqha tali obbligu jkun impost minn dik il-liġi. Proċessur huwa ddefinit bħala kwalunkwe persuna li tipproċessa data personali f’isem il-kontrollur (minbarra persuna li tkun impjegata tal-kontrollur).

(28)

Skont it-Taqsima 35 tad-DPA 2018, l-ipproċessar ta’ data personali jrid ikun legali u ġust, b’mod simili għall-Artikolu 4(1)(a) tad-Direttiva (UE) 2016/680. F’konformità mat-Taqsima 35(2) tad-DPA 2018, l-ipproċessar ta’ data personali għal kwalunkwe wieħed mill-finijiet tal-infurzar tal-liġi jkun legali biss jekk ikun ibbażat fuq il-liġi u jew is-suġġett tad-data jkun ta l-kunsens tiegħu għall-ipproċessar għal dak il-fini, jew l-ipproċessar ikun meħtieġ għat-twettiq ta’ kompitu mwettaq għal dak il-fini minn awtorità kompetenti.

(29)

B’mod simili għall-Artikolu 8 tad-Direttiva (UE) 2016/680, sabiex tiġi żgurata l-legalità ta’ pproċessar li jaqa’ taħt il-Parti 3 tad-DPA 2018, tali pproċessar irid ikun “ibbażat fuq il-liġi”. Ipproċessar “legali” tfisser awtorizzat minn statut, minn dritt komuni jew minn prerogattivi rjali (45).

(30)

Is-setgħat tal-awtoritajiet kompetenti huma ġeneralment irregolati bi statuti, li jfisser li l-funzjonijiet u s-setgħat tagħhom huma stabbiliti b’mod ċar fil-leġiżlazzjonijiet adottati mill-Parlament (46). F’ċerti każijiet, il-pulizija kif ukoll awtoritajiet kompetenti oħrajn elenkati taħt l-Iskeda 7 tad-DPA 2018 jistgħu jibbażaw fuq liġi komuni sabiex jipproċessaw id-data (47). Id-dritt komuni nbena permezz ta’ preċedenti stabbiliti b’deċiżjonijiet tal-qrati. Id-dritt komuni huwa rilevanti fil-kuntest tas-setgħat disponibbli għall-pulizija li tislet minn dan is-sors tad-dritt id-dmir ewlieni tagħha li tipproteġi lill-pubbliku billi ssib u tipprevjeni l-kriminalità (48). Madankollu, il-forzi tal-pulizija għandhom is-setgħat tad-dritt komuni leġiżlattivi (49) sabiex jeżegwixxu tali dmir. Meta l-pulizija jkollha setgħa statutorja, din tieħu post kwalunkwe setgħa tad-dritt komuni (50).

(31)

Il-firxa tas-setgħat u tal-obbligi tal-uffiċjali tal-pulizija skont id-dritt komuni ġiet rikonoxxuta mill-qrati sabiex tinkludi “l-passi kollha li jidhrulhom meħtieġa sabiex iżommu l-paċi, jipprevjenu l-kriminalità jew jipproteġu l-proprjetà minn dannu kriminali” (51). Is-setgħat skont id-dritt komuni ma humiex setgħat mhux kwalifikati. Dawn huma soġġetti għal firxa ta’ limitazzjonijiet, li jinkludu limiti stabbiliti mill-qrati (52) u mil-leġiżlazzjoni, b’mod partikolari l-Human Rights Act 1998 u l-Equality Act 2010 (53). Barra minn hekk, għall-awtoritajiet kompetenti li jipproċessaw id-data skont il-Parti 3 tad-DPA 2018, dan jinkludi l-eżerċitar ta’ setgħat skont id-dritt komuni b’mod konsistenti mar-rekwiżiti stabbiliti fid-DPA 2018 (54). Barra minn hekk, deċiżjoni sabiex jitwettaq kwalunkwe tip ta’ pproċessar tad-data trid tikkunsidra r-rekwiżiti tal-gwida applikabbli, bħall-MoPI Code of Practice kif ukoll gwida speċifika għal wieħed mill-pajjiżi tar-Renju Unit (55). Inħarġu diversi dokumenti ta’ gwida mill-gvern u mill-pulizija operazzjonali sabiex jiġi żgurat li l-uffiċjali tal-pulizija jeżerċitaw is-setgħat ta’ pproċessar tagħhom fil-limiti stabbiliti mid-dritt komuni jew mill-istatut rilevanti (56).

(32)

Il-prerogattivi rjali jirrappreżentaw komponent ieħor tal-“liġi” u jirreferu għal ċerti setgħat vestiti fil-Kuruna u eżerċitabbli mill-eżekuttiv li ma humiex ibbażati fuq statut, iżda li jidderivaw mis-sovranità tal-monarkija (57). Ftit li xejn hemm eżempji ta’ setgħat prerogattivi li huma rilevanti fil-kuntest tal-infurzar tal-liġi. Dawn jinkludu, pereżempju, il-qafas ta’ assistenza legali reċiproka li jippermetti l-kondiviżjoni tad-data minn Segretarju ta’ Stat ma’ pajjiżi terzi għall-finijiet ta’ infurzar tal-liġi u s-setgħa li tiġi kondiviża d-data b’dan il-mod mhux dejjem tkun stabbilita fl-istatut (58). Il-prerogattivi rjali huma marbutin bil-prinċipji tad-dritt komuni (59) u huma subordinati għal statut, u għalhekk huma soġġetti għal-limiti previsti mill-Human Rights Act 1998 u mid-DPA 2018 (60).

(33)

B’mod simili għall-Artikolu 8 tad-Direttiva (UE) 2016/680, ir-reġim tar-Renju Unit jeħtieġ li, sabiex iżommu konformità mal-prinċipju tal-legalità, l-awtoritajiet kompetenti jenħtieġ li jiżguraw li, meta l-ipproċessar ikun ibbażat fuq il-liġi, irid ikun “neċessarju” wkoll li l-kompitu jitwettaq għall-finijiet ta’ infurzar tal-liġi. F’dan ir-rigward, l-ICO jagħti gwida li tiċċara li “jrid ikun mod immirat u proporzjonat sabiex jintlaħaq l-għan. Il-bażi legali ma tapplikax jekk wieħed ikun jista’ jilħaq l-għan b’mod raġonevoli b’xi mezz ieħor anqas intrużiv. Ma huwiex biżżejjed li wieħed jargumenta li l-ipproċessar ikun meħtieġ minħabba li jkun għażel li jopera n-negozju tiegħu b’ċertu mod. Il-kwistjoni hija jekk l-ipproċessar ikunx meħtieġ għall-fini ddikjarat” (61).

(34)

Kif imsemmi fil-premessa (28), it-Taqsima 35(2) tad-DPA 2018 tipprovdi għall-possibbiltà li tiġi pproċessata data personali fuq il-bażi tal-“kunsens” tal-individwu.

(35)

Madankollu, il-kunsens ma jidhirx li huwa bażi ġuridika rilevanti għall-operazzjonijiet ta’ pproċessar li jaqgħu fil-kamp ta’ applikazzjoni ta’ din id-deċiżjoni. Fil-fatt, l-operazzjonijiet ta’ pproċessar koperti minn din id-deċiżjoni dejjem jikkonċernaw data li ġiet ittrasferita skont id-Direttiva (UE) 2016/680 minn awtorità kompetenti ta’ Stat Membru lil awtorità kompetenti tar-Renju Unit. Għalhekk, tipikament dawn ma jinvolvux it-tip ta’ interazzjoni diretta (ġbir) bejn awtorità pubblika u suġġetti tad-data li jistgħu jkunu bbażati fuq kunsens skont it-Taqsima 35(2)(a) tad-DPA 2018.

(36)

Filwaqt li, għalhekk, id-dipendenza fuq il-kunsens ma titqiesx rilevanti għall-valutazzjoni mwettqa skont din id-Deċiżjoni, ta’ min jinnota li, għal raġunijiet ta’ kompletezza, f’kuntest ta’ infurzar tal-liġi, l-ipproċessar qatt ma jkun ibbażat biss fuq il-kunsens peress li awtorità kompetenti dejjem jeħtiġilha jkollha setgħa sottostanti li tippermettilha tipproċessa d-data (62). B’mod aktar speċifiku, u b’mod simili għal dak li huwa permess skont id-Direttiva (UE) 2016/680 (63) dan ifisser li l-kunsens iservi bħala kundizzjoni addizzjonali sabiex jippermetti ċerti operazzjonijiet ta’ pproċessar limitati u speċifiċi li, kieku, ma jkunux jistgħu jitwettqu, pereżempju l-ġbir u l-ipproċessar ta’ kampjun tad-DNA ta’ individwu li ma jkunx persuna suspettata. F’dan il-każ, l-ipproċessar ma jsirx jekk il-kunsens ma jingħatax jew jiġi rtirat (64).

(37)

F’każijiet li jeħtieġu l-kunsens tal-individwu, tali kunsens irid ikun mingħajr ambigwità u jinvolvi azzjoni affermattiva ċara (65). Il-forzi tal-pulizija huma meħtieġa jkollhom stqarrija ta’ privatezza li tinkludi, fost l-oħrajn, l-informazzjoni meħtieġa relatata mal-użu validu tal-kunsens. Barra minn hekk, uħud minnhom jippubblikaw materjal addizzjonali dwar kif jikkonformaw mal-leġiżlazzjoni dwar il-protezzjoni tad-data, inkluż kif u meta jużaw il-kunsens bħala bażi ġuridika (66).

(38)

Jenħtieġ li jkunu jeżistu salvagwardji speċifiċi fejn ikunu qed jiġu pproċessati “kategoriji speċjali” ta’ data. F’dan ir-rigward, b’mod simili għal dak previst mill-Artikolu 10 tad-Direttiva (UE) 2016/680, il-Parti 3 tad-DPA 2018 tipprovdi salvagwardji aktar b’saħħithom għall-hekk imsejjaħ “ipproċessar sensittiv” (67).

(39)

Skont it-Taqsima 35(3) tad-DPA 1998, id-data sensittiva tista’ tiġi pproċessata mill-awtoritajiet kompetenti għall-finijiet ta’ infurzar tal-liġi biss f’żewġ każijiet: (1) is-suġġett tad-data jkun ta l-kunsens tiegħu għall-ipproċessar għall-fini ta’ infurzar tal-liġi u fiż-żmien meta jitwettaq l-ipproċessar, il-kontrollur ikollu dokument ta’ politika xieraq fis-seħħ (68); jew (2) l-ipproċessar ikun strettament meħtieġ għall-fini ta’ infurzar tal-liġi, l-ipproċessar jissodisfa tal-anqas waħda mill-kundizzjonijiet fl-Iskeda 8 tad-DPA 2018, u fil-mument li fih jitwettaq l-ipproċessar, il-kontrollur ikollu dokument ta’ politika xieraq fis-seħħ (69).

(40)

Fir-rigward tal-ewwel każ u kif spjegat fil-premessa (38), id-dipendenza fuq il-kunsens ma titqiesx rilevanti fit-tip ta’ sitwazzjoni ta’ trasferiment soġġetta għal din id-Deċiżjoni. (70)

(41)

Meta l-ipproċessar ta’ data sensittiva ma jiddependix fuq il-kunsens, dan jista’ jitwettaq bl-użu ta’ waħda mill-kundizzjonijiet elenkati fl-Iskeda 8 tad-DPA 2018. Dawn il-kundizzjonijiet huma relatati mal-ipproċessar meħtieġ għal finijiet statutorji; l-amministrazzjoni tal-ġustizzja; il-protezzjoni tal-interessi vitali tas-suġġett tad-data jew ta’ xi individwu ieħor; is-salvagwardar tat-tfal u tal-individwi f’riskju; it-talbiet legali; l-atti ġudizzjarji; il-prevenzjoni ta’ frodi; l-arkivjar; meta d-data personali tkun magħmula pubblika manifestament mis-suġġett tad-data. Minbarra l-każ meta d-data tkun magħmula pubblika manifestament, il-kundizzjonijiet kollha pprovduti mill-Iskeda 8 huma soġġetti għal test ta’ “neċessità stretta”. Kif iċċarat mill-ICO, “strettament neċessarju f’dan il-kuntest tfisser li l-ipproċessar irid ikun relatat ma’ ħtieġa soċjali urġenti, u li dan ma jkunx jista’ jinkiseb b’mod raġonevoli permezz ta’ mezzi anqas intrużivi” (71). Barra minn hekk, uħud mill-kundizzjonijiet huma soġġetti għal restrizzjonijiet addizzjonali. Pereżempju, sabiex wieħed jibbaża fuq il-kundizzjoni ta’ “finijiet statutorji” u l-“kundizzjoni ta’ salvagwardja” (l-Iskeda 8, il-paragrafu 1 u l-paragrafu 4), hemm test ta’ interess pubbliku sostanzjali addizzjonali li għandu jiġi ssodisfat. Barra minn hekk, fir-rigward tal-kundizzjonijiet rigward is-salvagwardja tat-tfal (l-Iskeda 8, il-paragrafu 4), is-suġġett tad-data jeħtieġlu jkun ukoll ta’ età speċifika u meqjus f’riskju. Barra minn hekk, il-kontrollur jista’ japplika biss il-kundizzjoni prevista fil-paragrafu 4 tal-Iskeda 8 f’każ ta’ ċirkostanzi speċifiċi (72). Bl-istess mod, hemm restrizzjonijiet għall-kundizzjonijiet tal-“atti ġudizzjarji” u tal-“prevenzjoni ta’ frodi” (l-Iskeda 8, il-paragrafi 7 u 8 rispettivament). It-tnejn huma applikabbli biss għal kontrolluri speċifiċi. Fil-każ ta’ atti ġudizzjarji, qorti jew awtorità ġudizzjarja oħra biss tista’ tuża tali kundizzjoni, u fil-każ ta’ prevenzjoni tal-frodi, il-kontrolluri li huma organizzazzjonijiet kontra l-frodi biss jistgħu jiddependu fuq din il-kundizzjoni.

(42)

Finalment, meta l-ipproċessar jiddependi fuq waħda mill-kundizzjonijiet elenkati fl-Iskeda 8 u skont it-Taqsima 42 tad-DPA 2018 rispettivament, irid ikun hemm fis-seħħ “dokument ta’ politika xieraq” – li jispjega l-proċeduri tal-kontrollur sabiex tiġi żgurata l-konformità mal-prinċipji tal-protezzjoni tad-data u mal-politiki tal-kontrollur fir-rigward taż-żamma u tat-tħassir ta’ data personali – u japplikaw l-obbligi ta’ rekord miżjuda.

(43)

Id-data personali jenħtieġ li tiġi pproċessata għal fini speċifiku u sussegwentement tintuża biss sakemm dan ma jkunx inkompatibbli mal-iskop tal-ipproċessar. Dan il-prinċipju ta’ protezzjoni tad-data huwa ggarantit bit-Taqsima 36 tad-DPA 2018. Din id-dispożizzjoni, b’mod simili għall-Artikolu 4(1)(b) tad-Direttiva (UE) 2016/680, tirrikjedi li (a) il-fini ta’ infurzar tal-liġi li għalih tinġabar data personali fi kwalunkwe okkażjoni jrid ikun speċifikat, espliċitu u leġittimu, u (b) id-data personali miġbura b’dan il-mod ma tistax tiġi pproċessata b’mod li ma jkunx kompatibbli mal-fini li għalih inġabret.

(44)

Meta l-awtoritajiet kompetenti jipproċessaw data għal fini ta’ infurzar tal-liġi, dan jista’ jinkludi finijiet ta’ arkivjar, ta’ riċerka xjentifika jew storika u ta’ statistika (73). F’dawn il-każijiet, id-DPA 2018 jiċċara wkoll li l-arkivjar (jew l-ipproċessar għal finijiet ta’ riċerka xjentifika jew storika u ta’ statistika) ma jkunx permess meta jitwettaq fir-rigward ta’ deċiżjonijiet magħmula fir-rigward ta’ suġġett tad-data partikolari jew jekk aktarx li dan jikkawżalu ħsara jew tbatija sostanzjali (74).

(45)

Id-data trid tkun akkurata u, fejn meħtieġ, tinżamm aġġornata. Trid tkun ukoll adegwata, rilevanti u mhux eċċessiva fir-rigward tal-finijiet li għalihom tiġi pproċessata. B’mod simili għall-Artikolu 4(1)(c), (d) u (e) tad-Direttiva (UE) 2016/680, dawn il-prinċipji huma żgurati fit-Taqsimiet 37 u 38 tad-DPA 2018. Irid jittieħed kull pass raġonevoli sabiex jiġi żgurat li d-data personali li ma tkunx preċiża (75) titħassar jew tiġi rrettifikata mingħajr dewmien (76), filwaqt li jitqies il-fini ta’ infurzar tal-liġi li għalih tiġi pproċessata (77), u sabiex jiġi żgurat li d-data personali li ma tkunx preċiża, kompleta jew li ma tkunx għadha aġġornata ma tiġix trażmessa jew ma titqiegħedx għad-dispożizzjoni ta’ xi wieħed mill-finijiet ta’ infurzar tal-liġi (78).

(46)

Barra minn hekk, b’mod simili għall-Artikolu 7 tad-Direttiva (UE) 2016/680, ir-reġim tal-protezzjoni tad-data tar-Renju Unit jispeċifika li d-data personali bbażata fuq il-fatti trid, sa fejn possibbli, tkun distinta minn data personali bbażata fuq valutazzjonijiet personali (79). Fejn ikun rilevanti u sa fejn ikun possibbli, trid issir distinzjoni ċara bejn data personali relatata ma’ kategoriji differenti ta’ suġġetti tad-data, bħal persuni suspettati, persuni kkundannati għal reat kriminali, vittmi ta’ reat kriminali u xhieda (80).

(47)

Skont l-Artikolu 5 tad-Direttiva (UE) 2016/680, jenħtieġ li, fil-prinċipju, id-data tinżamm għal mhux aktar milli jkun meħtieġ għall-finijiet li għalihom tiġi pproċessata d-data personali. Skont it-Taqsima 39 tad-DPA 2018 u b’mod simili l-Artikolu 5 ta’ dik id-Direttiva, huwa pprojbit li tinżamm data personali pproċessata għal kwalunkwe wieħed mill-finijiet ta’ infurzar tal-liġi għal aktar żmien milli jkun meħtieġ fir-rigward tal-fini li għalih tiġi pproċessata. Ir-reġim legali tar-Renju Unit jeħtieġ li jiġu stabbiliti limiti ta’ żmien xierqa għar-rieżami perjodiku tal-ħtieġa għall-ħżin kontinwu ta’ data personali għal kwalunkwe wieħed mill-finijiet ta’ infurzar tal-liġi. Regoli ulterjuri dwar prattiki relatati maż-żamma ta’ data personali u l-limiti ta’ żmien applikabbli ġew stabbiliti fil-leġiżlazzjoni u fil-gwida rilevanti li jirregolaw is-setgħat u l-funzjonament tal-pulizija. Pereżempju, fl-Ingilterra u f’Wales, il-MoPI Code of Practice tal-College of Policing, flimkien mal-APP Guidance on the Management of Police Information, jipprovdu qafas sabiex jiġi żgurat proċess konsistenti ta’ żamma, ta’ rieżami u ta’ tneħħija bbażat fuq ir-riskju għall-ġestjoni tal-informazzjoni operazzjonali dwar l-attivitajiet tal-pulizija (81). Dan il-qafas jistabbilixxi aspettattivi ċari fis-servizz dwar kif jenħtieġ li tinħoloq, tiġi kondiviża, tintuża u tiġi ġestita l-informazzjoni fi ħdan u bejn il-forzi individwali tal-pulizija u aġenziji oħrajn (82). Il-pulizija hija mistennija tikkonforma mal-Kodiċi ta’ Prattika u l-konformità tiġi vverifikata mill-Her Majesty’s Inspectorate of Constabulary and Fire & Rescue Services (83).

(48)

Il-Police Service of Northern Ireland (PSNI) ma huwiex meħtieġ bil-liġi li jsegwi l-MoPI Code of Practice. Madankollu, il-qafas tal-MoPI adottat fl-2011 huwa ssupplimentat minn Manwal tal-PSNI (84), li jistabbilixxi politiki u proċeduri dwar il-mod li bih il-MoPI Code of Practice jiġi applikat fl-Irlanda ta’ Fuq.

(49)

Fl-Iskozja, il-forzi tal-Pulizija jiddependu fuq ir-Record Retention Standard Operating Procedure (SOP) (85) li tappoġġa l-Politika ta’ Ġestjoni tar-Rekords tal-Police Service of Scotland (86). L-SOP jistabbilixxi regoli speċifiċi ta’ żamma għar-rekords miżmuma mill-Police Scotland.

(50)

Minbarra r-rekwiżit prevalenti għar-rieżami tar-rekords li japplika fir -Renju Unit kollu, aktar dettalji huma pprovduti f’regoli lokalizzati. Bħala ftit eżempji, fir-rigward tal-Ingilterra u ta’ Wales, il-Police and Criminal Evidence Act, kif emendat bil-Protection of Freedom Act 2012 (PoFA), jagħmel provvediment għaż-żamma tal-marki tas-swaba’ u tal-profili tad-DNA kif ukoll reġim speċifiku għall-individwi li ma ġewx ikkundannati (87). Il-PoFA ħoloq ukoll il-pożizzjoni tal-Commissioner for the Retention and Use of Biometric Material (“il-Kummissarju tal-Bijometrija”) (88). Ir-regoli speċifiċi dwar l-immaġnijiet ta’ kustodja huma stabbiliti fit-2017 Custody Image Review (89). Fir-rigward tal-Iskozja, il-Criminal Procedure (Scotland) Act 1995 jipprovdi r-regoli għall-kisba u għaż-żamma ta’ marki tas-swaba’ u ta’ kampjuni bijoloġiċi (90). Bħal fil-każ tal-Ingilterra u ta’ Wales, il-leġiżlazzjoni tirregola ż-żamma ta’ data bijometrika f’każijiet differenti (91).

(51)

Id-data personali trid tiġi pproċessata b’mod li jiżgura s-sigurtà tagħha, inkluża l-protezzjoni kontra pproċessar mhux awtorizzat jew illegali u kontra telf aċċidentali, qerda jew ħsara. Għal dak l-għan, l-awtoritajiet pubbliċi għandhom jieħdu miżuri tekniċi jew organizzazzjonali xierqa sabiex jipproteġu d-data personali minn theddidiet possibbli. Dawn il-miżuri jridu jiġu vvalutati billi jitqiesu l-ogħla livell ta’ żvilupp tekniku u l-kostijiet relatati.

(52)

Dawn il-prinċipji huma riflessi fit-Taqsima 40 tad-DPA 2018 li skont din, b’mod simili għall-Artikolu 4(1)(f) tad-Direttiva (UE) 2016/680, id-data personali pproċessata għal kwalunkwe wieħed mill-finijiet ta’ infurzar tal-liġi trid tiġi pproċessata b’mod li jiżgura sigurtà xierqa tad-data personali, bl-użu ta’ miżuri tekniċi jew organizzazzjonali xierqa. Dan jinkludi l-protezzjoni tad-data kontra pproċessar mhux awtorizzat jew illegali u kontra telf aċċidentali, qerda jew ħsara (92). It-Taqsima 66 tad-DPA 2018 tispeċifika wkoll li kull kontrollur u kull proċessur jeħtiġilhom jimplimentaw miżuri tekniċi u organizzazzjonali xierqa sabiex jiżguraw livell ta’ sigurtà xieraq għar-riskji li jirriżultaw mill-ipproċessar ta’ data personali. Skont in-noti ta’ spjegazzjoni, il-kontrollur jeħtieġlu jevalwa r-riskji u jimplimenta miżuri ta’ sigurtà xierqa fuq il-bażi ta’ din l-evalwazzjoni, pereżempju, kriptaġġ jew livelli speċifiċi ta’ approvazzjoni tas-sigurtà għall-persunal li jipproċessa d-data (93). L-evalwazzjoni trid tqis ukoll, pereżempju, in-natura tad-data pproċessata u kwalunkwe fattur jew ċirkostanza rilevanti oħra li jistgħu jaffettwaw is-sigurtà tal-ipproċessar.

(53)

Ir-reġim li jirregola l-konformità mal-prinċipji tas-sigurtà tad-data huwa simili ħafna għal dak stabbilit mill-Artikoli 29 sa 31 tad-Direttiva (UE) 2016/680. B’mod partikolari, fil-każ ta’ ksur ta’ data personali fir-rigward ta’ data personali li għaliha jkun responsabbli l-kontrollur, skont it-Taqsima 67(1) tad-DPA 2018, il-kontrollur, mingħajr dewmien żejjed, u fejn ikun fattibbli fi żmien 72 siegħa wara li jsir jaf bil-ksur, jeħtieġlu jinnotifika l-ksur ta’ data personali lill-Kummissarju tal-Informazzjoni (94). L-obbligu ta’ notifika ma japplikax meta l-ksur ta’ data personali x’aktarx li ma jkunx se jirriżulta f’riskju għad-drittijiet u għal-libertajiet tal-individwi (95). Il-kontrollur jeħtieġlu jiddokumenta l-fatti relatati ma’ kwalunkwe ksur ta’ data personali, mal-effetti tiegħu u mal-azzjoni ta’ rimedju meħuda b’mod li jippermetti lill-Kummissarju tal-Informazzjoni jivverifika l-konformità mad-DPA (96). Jekk proċessur isir jaf bi ksur tas-sigurtà, dan jeħtieġlu jinnotifika lill-kontrollur mingħajr dewmien żejjed (97).

(54)

Skont it-Taqsima 68(1) tad-DPA 2018, jekk ksur ta’ data personali x’aktarx joħloq riskju għoli għad-drittijiet u għal-libertajiet tal-individwi, il-kontrollur jeħtieġlu jinforma lis-suġġett tad-data dwar il-ksur mingħajr dewmien żejjed (98). L-avviż irid jinkludi l-istess informazzjoni bħan-notifika lill-Kummissarju tal-Informazzjoni deskritta fil-premessa (53). Dan l-obbligu ma japplikax jekk il-kontrollur ikun implimenta miżuri ta’ protezzjoni tekniċi u organizzazzjonali xierqa, li ġew applikati għad-data personali affettwata mill-ksur. Lanqas ma japplika jekk il-kontrollur ikun ħa miżuri sussegwenti, li jiżguraw li r-riskju għoli għad-drittijiet u għal-libertajiet tas-suġġetti tad-data ma jibqax probabbli li jimmaterjalizza. Fl-aħħar nett, il-kontrollur ma huwiex meħtieġ jinnotifika lis-suġġett tad-data jekk dan ikun jinvolvi sforz sproporzjonat (99). F’dak il-każ, l-informazzjoni trid tkun disponibbli għas-suġġett tad-data b’mod ieħor ugwalment effettiv, pereżempju, permezz ta’ komunikazzjoni pubblika (100). Jekk il-kontrollur ma jkunx informa lis-suġġett tad-data dwar il-ksur, l-Kummissarju tal-Informazzjoni, wara li jkun ġie nnotifikat skont it-Taqsima 67 tad-DPA u wara li jqis il-probabbiltà tal-ksur li jirriżulta f’ riskju għoli, jista’ jesiġi li l-kontrollur jinnotifika lis-suġġett tad-data dwar il-ksur (101).

(55)

Is-suġġetti tad-data jeħtiġilhom jiġu informati dwar il-karatteristiċi ewlenin tal-ipproċessar ta’ data personali tagħhom. Dan il-prinċipju tal-protezzjoni tad-data huwa rifless fit-Taqsima 44 tad-DPA 2018 li, b’mod simili għall-Artikolu 13 tad-Direttiva (UE) 2016/680, tipprevedi li l-kontrollur għandu dmir ġenerali li jagħmel disponibbli informazzjoni lis-suġġetti tad-data dwar l-ipproċessar ta’ data personali tagħhom (sew jekk billi jagħmel l-informazzjoni ġeneralment disponibbli għall-pubbliku jew b’xi mod ieħor) (102). L-informazzjoni li hija meħtieġa ssir disponibbli tinkludi (a) l-identità u d-dettalji ta’ kuntatt tal-kontrollur; (b) fejn applikabbli, id-dettalji ta’ kuntatt tal-uffiċjal tal-protezzjoni tad-data; (c) l-għanijiet li għalihom il-kontrollur jipproċessa data personali; (d) l-eżistenza tad-drittijiet tas-suġġetti tad-data li jitolbu mingħand il-kontrollur aċċess għad-data personali, rettifika tad-data personali, u tħassir tad-data personali jew ir-restrizzjoni tal-ipproċessar tagħha; u (e) l-eżistenza tad-dritt li jitressaq ilment quddiem il-Kummissarju tal-Informazzjoni u d-dettalji ta’ kuntatt tal-Kummissarju (103).

(56)

Il-kontrollur jeħtieġlu wkoll, f’każijiet speċifiċi sabiex jippermetti l-eżerċizzju tad-drittijiet ta’ suġġett tad-data skont id-DPA 2018 (pereżempju meta d-data personali li tkun qed tiġi pproċessata tkun inġabret mingħajr l-għarfien tas-suġġett tad-data), jagħti lis-suġġett tad-data informazzjoni dwar (a) il-bażi ġuridika għall-ipproċessar; (b) informazzjoni dwar il-perjodu li għalih se tinħażen id-data personali jew, fejn dan ma jkunx possibbli, dwar il-kriterji użati sabiex jiġi ddeterminat dak il-perjodu; (c) fejn applikabbli, informazzjoni dwar il-kategoriji ta’ riċevituri tad-data personali (inklużi riċevituri f’pajjiżi terzi jew organizzazzjonijiet internazzjonali); (d) tali informazzjoni ulterjuri kif meħtieġ sabiex tippermetti l-eżerċizzju tad-drittijiet tas-suġġett tad-data skont il-Parti 3 tad-DPA 2018 (104).

(57)

Is-suġġetti tad-data jeħtiġilhom jingħataw numru ta’ drittijiet eżekwibbli. Il-Kapitolu 3 tal-Parti 3 tad-DPA 2018 jipprovdi lill-individwi bid-drittijiet ta’ aċċess, ta’ rettifika u ta’ tħassir u ta’ restrizzjoni (105), li huma komparabbli ma’ dawk ipprovduti fil-Kapitolu 3 tad-Direttiva (UE) 2016/680.

(58)

Id-dritt ta’ aċċess huwa stabbilit fit-Taqsima 45 tad-DPA 2018. L-ewwel, individwu jkun intitolat li jikseb konferma mill-kontrollur dwar jekk id-data personali tiegħu hijiex qed tiġi pproċessata jew le (106). It-tieni, meta tkun qed tiġi pproċessata d-data personali, is-suġġett tad-data jkollu dritt li jaċċessa dik id-data u jirċievi l-informazzjoni li ġejja dwar l-ipproċessar: (a) il-finijiet u l-bażijiet ġuridiċi tal-ipproċessar; (b) il-kategoriji tad-data kkonċernati; (c) ir-riċevitur li lilu ġiet żvelata d-data; (d) il-perjodu li għalih għandha tinħażen id-data personali; (e) l-eżistenza tad-dritt tas-suġġett tad-data għar-rettifika u għat-tħassir ta’ data personali; (f) id-dritt li jitressaq ilment; u (g) kwalunkwe informazzjoni dwar l-oriġini tad-data personali kkonċernata (107).

(59)

Skont it-Taqsima 46 tad-DPA 2018, is-suġġett tad-data għandu d-dritt li jitlob lill-kontrollur jirrettifika data personali mhux akkurata relatata miegħu. Il-kontrollur jeħtieġlu jirrettifika (jew fejn id-data ma tkunx akkurata minħabba li ma tkunx kompluta, jikkompleta) id-data mingħajr dewmien żejjed. Jekk id-data personali trid tinżamm għall-finijiet ta’ evidenza, il-kontrollur (minflok ma jirrettifika d-data personali) jeħtieġlu jirrestrinġi l-ipproċessar tagħha (108).

(60)

It-Taqsima 47 tad-DPA 2018 tipprovdi lill-individwi bi dritt għat-tħassir u għar-restrizzjoni tal-ipproċessar. Il-kontrollur jeħtieġlu (109) jħassar id-data personali mingħajr dewmien żejjed meta l-ipproċessar tad-data personali jkun jikser kwalunkwe wieħed mill-prinċipji tal-protezzjoni tad-data, ir-raġunijiet legali tal-ipproċessar, jew is-salvagwardji relatati mal-arkivjar u mal-ipproċessar sensittiv. Il-kontrollur jeħtieġlu wkoll iħassar id-data jekk ikollu obbligu legali li jagħmel dan. Jekk id-data personali trid tinżamm għall-finijiet ta’ evidenza, il-kontrollur (minflok ma jħassar id-data personali) jeħtieġlu jirrestrinġi l-ipproċessar tagħha (110). Il-kontrollur jeħtieġlu jirrestrinġi l-ipproċessar ta’ data personali jekk suġġett tad-data jikkontesta l-akkuratezza tad-data personali, iżda ma jkunx possibbli li jiġi aċċertat jekk din hijiex preċiża jew le (111).

(61)

Meta suġġett tad-data jitlob ir-rettifika jew it-tħassir ta’ data personali jew ir-restrizzjoni tal-ipproċessar tagħha, il-kontrollur jeħtieġlu jinforma lis-suġġett tad-data bil-miktub jekk tkunx ingħatat it-talba, u jekk tkun ġiet irrifjutata, jinforma lis-suġġett tad-data bir-raġunijiet għar-rifjut u bil-mezzi ta’ rimedju disponibbli (id-dritt tas-suġġett tad-data li jagħmel talba lill-Kummissarju tal-Informazzjoni sabiex jinvestiga jekk ir-restrizzjoni ġietx applikata legalment, id-dritt li jippreżenta lment lill-Kummissarju tal-Informazzjoni, u d-dritt li japplika għal ordni ta’ konformità quddiem qorti) (112).

(62)

Meta l-kontrollur jirrettifika d-data personali riċevuta minn awtorità kompetenti oħra, dan jeħtieġlu jinnotifika lill-awtorità l-oħra (113). Meta l-kontrollur jirrettifika, iħassar jew jirrestrinġi l-ipproċessar ta’ data personali li tkun ġiet żvelata mill-kontrollur, il-kontrollur jeħtieġlu jinnotifika lir-riċevituri, u r-riċevituri bl-istess mod jeħtiġilhom jirrettifikaw, iħassru jew jirrestrinġu l-ipproċessar tad-data personali (sa fejn iżommu r-responsabbiltà għaliha) (114).

(63)

Barra minn hekk, is-suġġett tad-data għandu d-dritt li jiġi informat mingħajr dewmien żejjed mill-kontrollur dwar ksur ta’ data personali meta dan x’aktarx jirriżulta f’riskju għoli għad-drittijiet u għal-libertajiet tal-individwi (115).

(64)

Fir-rigward ta’ dawk id-drittijiet kollha tas-suġġett tad-data u b’mod simili għal dak li huwa pprovdut skont l-Artikolu 12 tad-Direttiva (UE) 2016/680, il-kontrollur għandu obbligu li jiżgura li kwalunkwe informazzjoni tiġi pprovduta lis-suġġett tad-data f’forma konċiża, li tinftiehem u faċilment aċċessibbli (116) u, fejn possibbli, din jenħtieġ li tiġi pprovduta fl-istess forma bħat-talba (117). Il-kontrollur jeħtieġlu jikkonforma ma’ talba tas-suġġett tad-data mingħajr dewmien żejjed jew fi kwalunkwe każ qabel, fil-prinċipju, it-tmiem ta’ perjodu ta’ xahar mit-talba (118). Meta l-kontrollur ikollu dubji raġonevoli dwar l-identità ta’ individwu, huwa jista’ jitlob informazzjoni addizzjonali u jdewwem it-trattament tat-talba sakemm tiġi aċċertata l-identità. Il-kontrollur jista’ jitlob tariffa raġonevoli jew jirrifjuta milli jaġixxi meta jqis li t-talba tkun manifestament infondata (119). L-ICO pprovda gwida dwar meta talba titqies li tkun manifestament infondata jew eċċessiva u meta tista’ tintalab tariffa (120).

(65)

Barra minn hekk, skont it-Taqsima 53(4) tad-DPA 2018, is-Segretarju tal-Istat jista’, permezz ta’ regolamenti, jispeċifika l-ammont massimu ta’ tariffa.

(66)

Awtorità kompetenti tista’, f’ċerti ċirkostanzi, tirrestrinġi ċerti drittijiet tas-suġġett tad-data: id-dritt ta’ aċċess (121), li s-suġġett jiġi informat (122), li jkun jaf dwar ksur ta’ data personali (123), u li jiġi informat dwar ir-raġuni għar-rifjut ta’ talba ta’ rettifika jew ta’ tħassir (124). B’mod simili għar-reġim li jinsab fil-Kapitolu III tad-Direttiva (UE) 2016/680, l-awtorità kompetenti tista’ tapplika biss ir-restrizzjoni meta, b’kunsiderazzjoni tad-drittijiet fundamentali u tal-interessi leġittimi tas-suġġett tad-data, din tkun meħtieġa u proporzjonata sabiex: (a) jiġi evitat xkiel għal inkjesta, għal investigazzjoni jew għal proċedura uffiċjali jew legali; (b) jiġi evitat l-ippreġudikar tal-prevenzjoni, tad-detezzjoni, tal-investigazzjoni jew tal-prosekuzzjoni ta’ reati kriminali jew tal-eżekuzzjoni ta’ pieni kriminali; (c) tiġi protetta s-sigurtà pubblika; (d) tiġi protetta s-sigurtà nazzjonali; (e) jiġu protetti d-drittijiet u l-libertajiet ta’ oħrajn.

(67)

L-ICO pprovda gwida dwar l-applikazzjoni ta’ dawk ir-restrizzjonijiet. Skont din il-gwida, il-kontrolluri jeħtiġilhom iwettqu analiżi każ b’każ sabiex jibbilanċjaw id-drittijiet tal-individwu mal-ħsara li jikkawża l-iżvelar. B’mod partikolari, jeħtieġ li jiġġustifikaw kwalunkwe restrizzjoni applikata kif meħtieġ u b’mod proporzjonat u jistgħu jillimitaw biss dak li jiġi pprovdut jekk dan ikun ta’ ħsara għall-finijiet imsemmija hawn fuq (125).

(68)

Hemm ukoll numru ta’ biċċiet oħra ta’ gwida maħruġa mill-awtoritajiet kompetenti li jipprovdu informazzjoni dettaljata dwar l-aspetti kollha tal-leġiżlazzjoni dwar il-protezzjoni tad-data, inkluż dwar l-applikazzjoni tar-restrizzjonijiet tad-drittijiet tas-suġġetti tad-data (126). Pereżempju, fir-rigward tat-Taqsima 45(4), id-Data Protection Manual tan-National Police Chiefs Counsel jiddikjara: “Huwa importanti li wieħed jinnota li r-restrizzjonijiet jistgħu jiġu applikati biss sa fejn ikunu meħtieġa u jistgħu jiġu applikati biss għal sakemm ikunu meħtieġa. Konsegwentement, applikazzjoni ġenerali tar-restrizzjoni għad-data personali kollha ta’ applikant jew l-applikazzjoni permanenti tar-restrizzjoni ma humiex permessi. Dwar dan l-aħħar punt, ta’ spiss ikun il-każ li data personali miġbura mingħajr l-għarfien tas-suġġett tad-data li jkun suspettat f’investigazzjoni jeħtieġ li tiġi protetta inizjalment mill-iżvelar lilu, sabiex jiġi evitat preġudizzju tal-investigazzjoni filwaqt li l-investigazzjoni tkun qed tipproċedi, iżda f’data aktar tard ma jkun hemm l-ebda ħsara fl-iżvelar jekk id-data personali tkun ġiet żvelata lill-individwu matul l-interrogazzjoni. Il-forzi tal-pulizija jeħtiġilhom jadottaw proċessi li jiżguraw li l-applikazzjoni ta’ dawn ir-restrizzjonijiet tkun biss sal-punt meħtieġ u tkun biss għad-durata meħtieġa” (127). Din il-gwida tipprovdi wkoll eżempji ta’ meta kull waħda mir-restrizzjonijiet x’aktarx tkun involuta (128).

(69)

Barra minn hekk, fir-rigward tal-possibbiltà li jiġi ristrett kwalunkwe wieħed mid-drittijiet imsemmija hawn fuq għall-protezzjoni tas-“sigurtà nazzjonali”, kontrollur jista’ japplika għal ċertifikat iffirmat minn Ministru tal-Kabinett jew mill-Avukat Ġenerali (anki fl-Iskozja ) li jiċċertifika li restrizzjoni ta’ dawn id-drittijiet tkun miżura neċessarja u proporzjonata għall-protezzjoni tas-sigurtà nazzjonali (129). Il-gvern tar-Renju Unit ħareġ gwida dwar iċ-ċertifikati tas-sigurtà nazzjonaliskont id-DPA 2018 li tenfasizza b’mod partikolari li kwalunkwe limitazzjoni għad-drittijiet tas-suġġetti tad-data għas-salvagwardja tas-sigurtà nazzjonali trid tkun proporzjonata u meħtieġa (130) (għal aktar dettalji dwar iċ-ċertifikati tas-sigurtà nazzjonali, ara l-premessi (131) sa (134)).

(70)

Barra minn hekk, fejn tapplika restrizzjoni għad-dritt ta’ suġġett tad-data, l-awtorità kompetenti jeħtiġilha tinforma lis-suġġett tad-data mingħajr dewmien żejjed li d-drittijiet tiegħu ġew ristretti, bir-raġunijiet għar-restrizzjoni, u bil-mezzi ta’ rimedju disponibbli, ħlief jekk dik l-informazzjoni tkun tista’ ddgħajjef ir-raġuni għall-applikazzjoni tar-restrizzjoni (131). Bħala salvagwardja ulterjuri kontra l-użu ħażin tar-restrizzjonijiet, il-kontrollur jeħtieġlu jirreġistra r-raġunijiet għar-restrizzjoni tal-informazzjoni u jagħmel ir-rekord disponibbli għall-Kummissarju tal-Informazzjoni jekk jintalab (132).

(71)

Jekk il-kontrollur jirrifjuta milli jipprovdi informazzjoni addizzjonali dwar it-trasparenza, jew aċċess, jew jirrifjuta talba għal rettifika, għal tħassir jew għal restrizzjoni tal-ipproċessar, l-individwu jista’ jitlob lill-Kummissarju tal-Informazzjoni jinvestiga jekk il-kontrollur jkunx uża r-restrizzjoni b’mod legali (133). L-individwu kkonċernat jista’ wkoll jagħmel ilment lill-Kummissarju tal-Informazzjoni jew jagħmel talba quddiem qorti sabiex tordna lill-kontrollur jikkonforma mar-rikjesta (134).

(72)

It-Taqsimiet 49 u 50 tad-DPA 2018 ikopru rispettivament id-drittijiet relatati mat-teħid awtomatizzat ta’ deċiżjonijiet u mas-salvagwardji li għandhom jiġu applikati (135). B’mod simili għall-Artikolu 11 tad-Direttiva (UE) 2016/680, il-kontrollur jista’ jieħu biss deċiżjoni sinifikanti bbażata biss fuq l-ipproċessar awtomatizzat ta’ data personali jekk ikun meħtieġ jew awtorizzat bil-liġi (136). Deċiżjoni tkun sinifikanti jekk tipproduċi effett legali negattiv rigward is-suġġett tad-data jew taffettwa b’mod sinifikanti lis-suġġett tad-data (137).

(73)

Meta l-kontrollur ikun meħtieġ jew awtorizzat bil-liġi jieħu deċiżjoni sinifikanti, it-Taqsima 50 tad-DPA 2018 tistabbilixxi s-salvagwardji li se japplikaw għal tali deċiżjoni (li hija ddefinita bħala “deċiżjoni sinifikanti kwalifikanti”). Il-kontrollur jeħtieġlu, malajr kemm jista’ jkun raġonevolment prattikabbli, jinnotifika lis-suġġett tad-data li tkun ittieħdet tali deċiżjoni. Imbagħad, fi żmien xahar, is-suġġett tad-data jkun jista’ jitlob lill-kontrollur jikkunsidra mill-ġdid id-deċiżjoni jew jieħu deċiżjoni ġdida li ma tkunx ibbażata biss fuq ipproċessar awtomatizzat. Il-kontrollur jeħtieġlu jikkunsidra t-talba u jinforma lis-suġġett tad-data dwar l-eżitu ta’ dik il-kunsiderazzjoni. Id-DPA 2018 jagħti lis-Segretarju tal-Istat is-setgħa li jadotta regolamenti għal salvagwardji addizzjonali (138). S’issa għadhom ma ġewx adottati regolamenti bħal dawn.

(74)

Il-livell ta’ protezzjoni mogħti lil data personali ttrasferita minn awtorità tal-infurzar tal-liġi ta’ Stat Membru lil awtorità tal-infurzar tal-liġi tar-Renju Unit ma jistax jiġi mfixkel mit-trasferiment ulterjuri ta’ tali data lil riċevituri f’pajjiż terz. Tali “trasferimenti ulterjuri”, li mill-perspettiva awtorità tal-infurzar tal-liġi tar-Renju Unit jikkostitwixxu trasferimenti internazzjonali mir-Renju Unit, jenħtieġ li jkunu permessi biss meta r-riċevitur ulterjuri barra mir-Renju Unit ikun huwa stess soġġett għal regoli li jiżguraw livell simili ta’ protezzjoni għal dak iggarantit fl-ordinament ġuridiku tar-Renju Unit.

(75)

Ir-reġim tar-Renju Unit dwar it-trasferimenti internazzjonali huwa rregolat bil-Kapitolu 5 tal-Parti 3 tad-DPA 2018 (139) u jirrifletti l-approċċ meħud fil-Kapitolu V tad-Direttiva (UE) 2016/680. B’mod partikolari, sabiex tittrasferixxi data personali lil pajjiż terz, awtorità kompetenti jeħtiġilha tissodisfa tliet kundizzjonijiet: (a) it-trasferiment irid ikun meħtieġ għal skop ta’ infurzar tal-liġi; (b) it-trasferiment irid ikun ibbażat fuq: (i) regolament ta’ adegwatezza fir-rigward tal-pajjiż terz, (ii) jekk ma jkunx ibbażat fuq regolament ta’ adegwatezza, fuq l-eżistenza ta’ salvagwardji xierqa, jew (iii) jekk ma jkunx ibbażat fuq deċiżjoni ta’ adegwatezza jew fuq salvagwardji xierqa, dan irid ikun ibbażat fuq ċirkostanzi speċjali; u (c) ir-riċevitur tat-trasferiment jeħtieġlu jkun: (i) awtorità rilevanti (jiġifieri l-ekwivalenti ta’ awtorità kompetenti) fil-pajjiż terz; (ii) “organizzazzjoni internazzjonali rilevanti” eż. korp internazzjonali li jwettaq funzjonijiet li jikkorrispondu għal kwalunkwe wieħed mill-finijiet tal-infurzar tal-liġi; jew (iii) persuna li ma hijiex awtorità rilevanti, iżda biss meta t-trasferiment ikun strettament meħtieġ għat-twettiq ta’ wieħed mill-finijiet tal-infurzar tal-liġi; ma jkunx hemm drittijiet u libertajiet fundamentali tas-suġġett tad-data kkonċernat li jipprevalu fuq l-interess pubbliku li jeħtieġ it-trasferiment; trasferiment tad-data personali lil awtorità rilevanti fil-pajjiż terz ikun ineffettiv jew mhux xieraq; u r-riċevitur jiġi informat bil-finijiet li għalihom tista’ tiġi pproċessata d-data (140).