SENTENZA TAL-QORTI TAL-ĠUSTIZZJA (Ir-Raba’ Awla)

11 ta’ Lulju 2024 ( *1 )

“Rinviju għal deċiżjoni preliminari – Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament (UE) 2016/679 – L-ewwel sentenza tal-Artikolu 12(1) – Trasparenza tal-informazzjoni – Artikolu 13(1)(c) u (e) – Obbligu ta’ informazzjoni tal-kontrollur – Artikolu 80(2) – Rappreżentanza ta’ suġġetti tad-data minn assoċjazzjoni għall-protezzjoni tal-interessi tal-konsumaturi – Azzjoni rappreżentattiva mressqa fl-assenza ta’ mandat u indipendentement minn ksur ta’ drittijiet konkreti ta’ suġġett tad-data – Azzjoni bbażata fuq il-ksur mill-kontrollur tal-obbligu ta’ informazzjoni tiegħu – Kunċett ta’ ‘ksur tad-drittijiet ta’ suġġett tad-data b’riżultat tal-ipproċessar’”

Fil-Kawża C‑757/22,

li għandha bħala suġġett talba għal deċiżjoni preliminari skont l-Artikolu 267 TFUE, imressqa mill-Bundesgerichtshof (il-Qorti Federali tal-Ġustizzja, il-Ġermanja), permezz ta’ deċiżjoni tal‑10 ta’ Novembru 2022, li waslet fil-Qorti tal-Ġustizzja fil‑15 ta’ Diċembru 2022, fil-proċedura

Meta Platforms Ireland Ltd, li kienet Facebook Ireland Ltd,

Bundesverband der Verbraucherzentralen und Verbraucherverbände –Verbraucherzentrale Bundesverband e.V.,

IL-QORTI TAL-ĠUSTIZZJA (Ir-Raba’ Awla),

komposta minn C. Lycourgos, President tal-Awla, O. Spineanu-Matei, J.‑C. Bonichot, S. Rodin u L. S. Rossi (Relatriċi), Imħallfin,

Avukat Ġenerali: J. Richard de la Tour,

Reġistratur: D. Dittert, Kap ta’ Unità,

wara li rat il-proċedura bil-miktub u wara s-seduta tat‑23 ta’ Novembru 2023,

wara li kkunsidrat l-osservazzjonijiet ippreżentati:

–	għal Meta Platforms Ireland Ltd, minn M. Braun, H.-G. Kamann, u V. Wettner, Rechtsanwälte,

–	għal Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V., minn P. Wassermann, Rechtsanwalt,

–	għall-Gvern Ġermaniż, minn J. Möller u P.-L. Krüger, bħala aġenti,

–	għall-Gvern Portugiż, minn P. Barros da Costa, J. Ramos, u C. Vieira Guerra, bħala aġent,

–	għall-Kummissjoni Ewropea, minn A. Bouchagiar, F. Erlbacher u H. Kranenborg, bħala aġenti,

wara li semgħet il-konklużjonijiet tal-Avukat Ġenerali, ippreżentati fis-seduta tal‑25 ta’ Jannar 2024,

tagħti l-preżenti

Sentenza

It-talba għal deċiżjoni preliminari tirrigwarda l-interpretazzjoni tal-Artikolu 80(2) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-“GDPR”), moqri flimkien mal-ewwel sentenza tal-Artikolu 12(1) u l-Artikolu 13(1)(c) u (e) ta’ dan ir-regolament.

Din it-talba għal deċiżjoni preliminari tressqet fil-kuntest ta’ tilwima bejn Meta Platforms Ireland Ltd, li kienet Facebook Ireland Ltd, li s-sede tagħha jinsab fl-Irlanda, u l-Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V. (l-Unjoni Federali taċ-Ċentri u tal-Assoċjazzjonijiet tal-Konsumaturi, il-Ġermanja, iktar ’il quddiem l-“Unjoni Federali”) dwar il-ksur minn Meta Platforms Ireland, tal-leġiżlazzjoni Ġermaniża dwar il-protezzjoni tad-data personali li jikkostitwixxi, fl-istess waqt, prattika kummerċjali żleali, ksur ta’ liġi fil-qasam ta’ protezzjoni tal-konsumaturi u ksur tal-projbizzjoni tal-użu ta’ kundizzjonijiet ġenerali invalidi.

Il‑kuntest ġuridiku

Il‑GDPR

Il-premessi 10, 13, 39, 58, 60 u 142 tal-GDPR jistipulaw:

“(10)

Sabiex ikun żgurat livell konsistenti u għoli ta’ protezzjoni tal-persuni fiżiċi u sabiex jitneħħew l-ostakoli għaċ-ċirkolazzjoni tad-data personali fl-Unjoni [Ewropea], il-livell ta’ protezzjoni tad-drittijiet u l-libertajiet tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ din id-data għandu jkun ekwivalenti fl-Istati Membri kollha. L-applikazzjoni konsistenti u omoġenea tar-regoli għall-protezzjoni tad-drittijiet u l-libertajiet fundamentali tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali għandha tkun żgurata fl-Unjoni kollha. […]

[…]

(13)

Sabiex ikun żgurat livell konsistenti ta’ protezzjoni għall-persuni fiżiċi fl-Unjoni kollha u sabiex ma jkunx hemm diverġenzi li jfixklu l-moviment liberu tad-data personali fis-suq intern, huwa meħtieġ Regolament li jipprovdi ċertezza legali u trasparenza għall-operaturi ekonomiċi, inklużi l-mikrointrapriżi, l-intrapriżi ż-żgħar u dawk ta’ daqs medju, u biex jipprovdi lill-persuni fiżiċi fl-Istati Membri kollha l-istess livell ta’ drittijiet u obbligi infurzabbli bil-liġi u responsabbiltajiet għall-kontrolluri u għall-proċessuri, sabiex ikun żgurat monitoraġġ konsistenti tal-ipproċessar tad-data personali, u sanzjonijiet ekwivalenti fl-Istati Membri kollha kif ukoll kooperazzjoni effettiva bejn l-awtoritajiet ta’ superviżjoni tal-Istati Membri differenti. […]

[…]

(39)

Kwalunkwe pproċessar ta’ data personali għandu jkun legali u ġust. Għandu jkun trasparenti għall-persuni fiżiċi li fir-rigward tagħhom qiegħda tinġabar, tintuża, tiġi kkonsultata jew b’xi mod ieħor ipproċessata data personali u l-punt sa fejn id-data personali qiegħda tiġi pproċessata jew ser tiġi pproċessata. Il-prinċipju tat-trasparenza jeħtieġ li kwalunkwe informazzjoni u komunikazzjoni marbuta mal-ipproċessar ta’ dik id-data personali tkun aċċessibbli faċilment u li tinftiehem faċilment, u li jintuża lingwaġġ ċar u sempliċi. Dak il-prinċipju jikkonċerna, b’mod partikolari, l-informazzjoni tas-suġġetti tad-data dwar l-identità tal-kontrollur u l-finijiet tal-ipproċessar u informazzjoni ulterjuri biex jiġi żgurat ipproċessar ġust u trasparenti fir-rigward tal-persuni fiżiċi kkonċernati u d-dritt tagħhom li jiksbu konferma u komunikazzjoni tad-data personali li tikkonċernahom u li tkun qiegħda tiġi pproċessata. […]

[…]

(58)

Il-prinċipju tat-trasparenza jeħtieġ li kwalunkwe informazzjoni indirizzata lill-pubbliku jew lis-suġġett tad-data tkun konċiża, aċċessibbli faċilment u faċli li tinftiehem, u li jintuża lingwaġġ ċar u sempliċi u, barra minn hekk, fejn meħtieġ, tintuża l-viżwalizzazzjoni. Tali informazzjoni tista’ tingħata f’forma elettronika, pereżempju, meta tiġi indirizzata lill-pubbliku, permezz ta’ sit elettroniku. Dan huwa partikolarment rilevanti f’sitwazzjonijiet fejn il-proliferazzjoni ta’ atturi u l-kumplessità teknoloġika tal-prattika jagħmluha diffiċli għas-suġġett tad-data li jkun jaf u jifhem jekk hijiex, minn min u għal liema għan qed tinġabar data personali dwaru, bħal fil-każ ta’ reklamar online. […]

[…]

(60)

Il-prinċipji ta’ pproċessar ġust u trasparenti jeħtieġu li s-suġġett tad-data jkun informat bl-eżistenza tal-attività tal-ipproċessar u l-għanijiet tagħha. Il-kontrollur għandu jipprovdi lis-suġġett tad-data bi kwalunkwe informazzjoni ulterjuri li tkun meħtieġa biex jiġi żgurat ipproċessar ġust u trasparenti b’kont meħud taċ-ċirkostanzi speċifiċi u l-kuntest li fih tiġi pproċessata d-data personali. […]

[…]

(142)

Fejn is-suġġett tad-data jqis li jkun hemm ksur tad-drittijiet tiegħu skont dan ir-Regolament, hu għandu jkollu d-dritt li jagħti mandat lil korp, organizzazzjoni jew assoċjazzjoni mingħajr skop ta’ qligħ li jkunu kostitwiti skont il-liġi ta’ Stat Membru, ikollhom objettivi statutorji li jkunu fl-interess pubbliku u li jkunu attivi fil-qasam tal-protezzjoni tad-data personali biex iressqu ilment f’ismu quddiem awtorità superviżorja, jeżerċitaw id-dritt għal rimedju ġudizzjarju f’isem suġġetti tad-data jew jeżerċitaw id-dritt li jirċievu kumpens f’isem suġġetti tad-data jekk dan tal-aħħar ikun previst fil-liġi tal-Istat Membru. Stat Membru jista’ jipprovdi li tali korp, organizzazzjoni jew assoċjazzjoni jkollhom id-dritt li jressqu ilment f’dak l-Istat Membru, indipendentement mill-mandat ta’ suġġett tad-data, u d-dritt għal rimedju ġudizzjarju effettiv fejn ikollhom raġunijiet biex iqisu li kien hemm ksur tad-drittijiet tas-suġġett tad-data bħala riżultat tal-ipproċessar ta’ data personali li jikser dan ir-Regolament. Dak il-korp, dik l-organizzazzjoni jew dik l-assoċjazzjoni ma jistgħux jingħataw is-setgħa li jitolbu kumpens f’isem is-suġġett tad-data b’mod indipendenti mill-mandat tas-suġġetti tad-data.”

4	L-Artikolu 1 ta’ dan ir-regolament, intitolat “Suġġett u objettivi”, jipprovdi fil-paragrafu 1 tiegħu: “Dan ir-Regolament jistabbilixxi regoli relatati mal-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar tad-data personali u regoli relatati mal-moviment liberu tad-data personali.”

Skont il-punti 1, 2, 9 u 11 tal-Artikolu 4 tal-imsemmi regolament:

“Għall-finijiet ta’ dan ir-Regolament:

(1)	‘data personali’ tfisser kwalunkwe informazzjoni relatata ma’persuna fiżika identifikata jew identifikabbli (‘suġġett tad-data); […]

(2)

‘ipproċessar’ tfisser kwalunkwe attività jew sett ta’ attivitajiet li jitwettqu fuq data personali jew fuq settijiet ta’ data personali, sew jekk b’mezzi awtomatizzati u sew jekk mingħajrhom, bħalma huma l-ġbir, ir-reġistrazzjoni, l-organizzazzjoni, l-istrutturar, il-ħażna, l-adattament jew il-bidliet, l-irkupru, il-konsultazzjoni, l-użu, l-iżvelar bi trażmissjoni, it-tixrid jew it-tqegħid għad-dispożizzjoni b’xi mezz ieħor, l-allinjament jew it-taħlita, ir-restrizzjoni, it-tħassir jew il-qerda;

[…]

(9)	‘riċevitur [destinatarju]’ tfisser persuna fiżika jew ġuridika, awtorità pubblika, aġenzija jew korp ieħor, li lilha tiġi żvelata d-data personali, irrispettivament milli huwiex parti terza jew le. […]

[…]

(11)

‘kunsens’ tas-suġġett tad-data tfisser kwalunkwe indikazzjoni tax-xewqat tas-suġġett tad-data mogħtija b’mod liberu, speċifika, infurmata u mhux ambigwa li permezz tagħha s-suġġett tad-data, permezz ta’ dikjarazzjoni jew permezz ta’ azzjoni affermattiva ċara, juri li jaqbel mal-ipproċessar ta’ data personali relatata miegħu”.

L-Artikolu 5 tal-imsemmi regolament, intitolat “Prinċipji relatati mal-ipproċessar ta’ data personali”, jipprovdi:

“(1) Id-data personali għandha:

(a)	tkun ipproċessata legalment, ġustament u b’mod trasparenti fir-rigward tas-suġġett tad-data (‘legalità, ġustizzja u trasparenza’);

(b)	tinġabar għal finijiet speċifikati, espliċiti u leġittimi u ma għandhiex tiġi pproċessata ulterjorment b’mod inkompatibbli ma’ dawk il-finijiet; […]

[…]

2. Il-kontrollur għandu jkun responsabbli għall-konformità mal-paragrafu 1 u jkun kapaċi juriha (‘responsabbiltà’).”

L-Artikolu 6(1)(a) tal-GDPR intitolat “Legalità tal-ipproċessar”, jipprevedi:

“L-ipproċessar għandu jkun legali biss jekk u safejn mill-inqas ikun japplika wieħed mill-punti li ġejjin:

(a)	is-suġġett tad-data jkun ta l-kunsens għall-ipproċessar ta’ data personali tiegħu għal fini speċifiku wieħed jew aktar”.

8	Il-Kapitolu III tal-GDPR, li jinkludi l-Artikoli 12 sa 23 tiegħu, huwa intitolat “Drittijiet tas-suġġett tad-data”.

L-Artikolu 12 ta’ dan ir-regolament, intitolat “Informazzjoni, komunikazzjoni u modalitajiet trasparenti għall-eżerċizzju tad-drittijiet tas-suġġett tad-data”, jipprovdi fil-paragrafu 1 tiegħu:

“Il-kontrollur għandu jieħu miżuri adatti biex jipprovdi kwalunkwe informazzjoni msemmija fl-Artikoli 13 u 14 u kwalunkwe komunikazzjoni skont l-Artikoli 15 sa 22 u 34 relatata mal-ipproċessar lis-suġġett tad-data f’forma konċiża, trasparenti, intelliġibbli u faċilment aċċessibbli, bl-użu ta’ lingwaġġ ċar u sempliċi, b’mod partikolari għal kwalunkwe informazzjoni indirizzata speċifikament lil minorenni. L-informazzjoni għandha tiġi pprovduta bil-miktub, jew b’mezzi oħra, inkluż, fejn xieraq, b’mezzi elettroniċi. Meta tintalab mis-suġġett tad-data, l-informazzjoni tista’ tingħata bil-fomm dment li tingħata prova tal-identità tas-suġġett tad-data b’mezzi oħra.”

L-Artikolu 13 tal-imsemmi regolament, intitolat “Informazzjoni li għandha tiġi pprovduta fejn tinġabar data personali mis-suġġett tad-data”, jipprevedi fil-paragrafu 1(c) u (e) tiegħu:

“Fejn data personali relatata ma’ suġġett tad-data tinġabar mingħand is-suġġett tad-data, il-kontrollur għandu, fil-ħin li tinkiseb id-data personali, jipprovdi l-informazzjoni kollha li ġejja lis-suġġett tad-data:

[…]

(c)	l-għanijiet tal-ipproċessar li għalihom hija maħsuba d-data personali kif ukoll il-bażi legali għall-ipproċessar;

[…]

(e)	ir-riċevituri jew il-kategoriji ta’ riċevituri tad-data personali, jekk jeżistu […]”

11	Il-Kapitolu VIII tal-imsemmi regolament, li jinkludi l-Artikoli 77 sa 84, huwa intitolat “Rimedji, responsabbiltà u pieni”.

L-Artikolu 77 tal-GDPR, intitolat “Dritt li jitressaq ilment quddiem awtorità superviżorja”, jipprovdi fil-paragrafu 1 tiegħu:

“Mingħajr preġudizzju għal kwalunkwe rimedju amministrattiv jew ġudizzjarju ieħor, kull suġġett tad-data għandu d-dritt li jressaq ilment quddiem awtorità superviżorja, b’mod partikolari fl-Istat Membru tar-residenza abitwali tiegħu, il-post tax-xogħol tiegħu jew il-post tal-ksur allegat, jekk is-suġġett tad-data jqis li l-ipproċessar ta’ data personali dwaru jikser dan ir-Regolament.”

L-Artikolu 78 tal-GDPR, intitolat “Dritt għal rimedju ġudizzjarju effettiv kontra awtorità superviżorja”, jipprovdi fil-paragrafu 1 tiegħu:

“Mingħajr preġudizzju għal kwalunkwe rimedju amministrattiv jew mhux ġudizzjarju ieħor, kull persuna fiżika jew ġuridika għandu jkollha d-dritt għal rimedju ġudizzjarju effettiv kontra deċiżjoni legalment vinkolanti ta’ awtorità superviżorja li tikkonċernaha.”

L-Artikolu 79 tal-imsemmi regolament, intitolat “Dritt għal rimedju ġudizzjarju effettiv kontra kontrollur jew proċessur”, jipprevedi fil-paragrafu 1 tiegħu:

“Mingħajr preġudizzju għal kwalunkwe rimedju amministrattiv jew mhux ġudizzjarju disponibbli, inkluż id-dritt li jitressaq ilment quddiem awtorità superviżorja skont l-Artikolu 77, kull suġġett tad-data għandu d-dritt għal rimedju ġudizzjarju effettiv fejn jikkunsidra li nkisru d-drittijiet tiegħu taħt dan ir-Regolament b’riżultat tal-ipproċessar tad-data personali tiegħu b’nuqqas ta’ konformità ma’ dan ir-Regolament.”

L-Artikolu 80 tal-GDPR, intitolat “Rappreżentanza ta’ suġġetti tad-data”, huwa fformulat b’dan il-mod:

“1 Is-suġġett tad-data għandu d-dritt li jagħti mandat lil korp, organizzazzjoni jew assoċjazzjoni, li jkunu mingħajr skop ta’ qligħ, li jkunu kkostitwiti kif meħtieġ skont il-liġi ta’ Stat Membru, li l-objettivi statutorji tagħhom ikunu fl-interess pubbliku u li jkunu attivi fil-qasam tal-protezzjoni tad-drittijiet u l-libertajiet ta’ suġġetti tad-data fir-rigward tal-protezzjoni tad-data personali tagħhom biex iressqu l-ilment f’ismu, biex jeżerċitaw id-drittijiet imsemmija fl-Artikoli 77, 78 u 79 f’ismu u biex jeżerċitaw id-dritt li jirċievu kumpens imsemmi fl-Artikolu 82 f’ismu fejn previst mil-liġi tal-Istat Membru.

2. L-Istati Membri jistgħu jipprevedu li kwalunkwe korp, organizzazzjoni jew assoċjazzjoni msemmija fil-paragrafu 1 ta’ dan l-Artikolu, indipendentement minn mandat ta’ suġġett tad-data, jkollhom id-dritt li jressqu, f’dak l-Istat Membru, ilment quddiem l-awtorità superviżorja li hija kompetenti skont l-Artikolu 77 u li jeżerċitaw id-drittijiet imsemmija fl-Artikoli 78 u 79 jekk huma jqisu li jkunu nkisru d-drittijiet ta’ suġġett tad-data taħt dan ir-Regolament b’riżultat tal-ipproċessar.”

L-Artikolu 82 tal-GDPR, intitolat “Dritt għal kumpens u responsabbiltà”, jipprovdi fil-paragrafu 1 tiegħu:

“Kwalunkwe persuna li tkun ġarrbet xi dannu materjali jew mhux materjali b’riżultat ta’ ksur ta’ dan ir-Regolament għandu jkollha d-dritt li tirċievi kumpens mill-kontrollur jew il-proċessur għad-dannu mġarrab.”

L-Artikolu 84 tal-GDPR, intitolat “Pieni”, jipprovdi fil-paragrafu 1 tiegħu:

“L-Istati Membri għandhom jistipulaw ir-regoli dwar il-pieni oħrajn applikabbli għal ksur ta’ dan ir-Regolament b’mod partikolari għal ksur li ma jkunx soġġett għal multi amministrattivi skont l-Artikolu 83, u għandhom jieħdu l-miżuri kollha meħtieġa biex jiżguraw li dawn jiġu implimentati. Tali pieni għandhom ikunu effettivi, proporzjonati u dissważivi.”

Id‑dritt Ġermaniż

Il‑Liġi dwar l‑Azzjonijiet għall‑Ħruġ ta’ Mandat ta’ Inibizzjoni

Skont l-Artikolu 2 tal-Gesetz über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (Unterlassungsklagengesetz – UKlaG) (il-Liġi dwar l-Azzjonijiet għall-Ħruġ ta’ Mandat ta’ Inibizzjoni fir-Rigward ta’ Ksur tad-Dritt tal-Konsum u ta’ Ksur Ieħor), tas‑26 ta’ Novembru 2001 (BGBl. 2001 I, p. 3138), fil-verżjoni applikabbli għat-tilwima fil-kawża prinċipali (iktar ’il quddiem il-“Liġi dwar l-Azzjonijiet għall-Ħruġ ta’ Mandat ta’ Inibizzjoni”):

“1. Kull min jikser, b’mod ieħor minbarra bl-użu jew bir-rakkomandazzjoni ta’ kundizzjonijiet ġenerali, regoli ta’ protezzjoni tal-konsumaturi (liġijiet dwar il-protezzjoni tal-konsumaturi) jista’ jagħti lok għal mandat ta’ inibizzjoni għall-futur u mandat ta’ inibizzjoni immedjat fl-interess tal-protezzjoni tal-konsumaturi […]

(2) Għall-finijiet ta’ din id-dispożizzjoni, il-liġijiet dwar il-protezzjoni tal-konsumatur jfissru, b’mod partikolari:

[…]

11. ir-regoli li jiddefinixxu l-legalità

(a)	tal-ġbir ta’ data personali ta’ konsumatur minn impriża jew

(b)

l-ipproċessar jew l-użu ta’ data personali li nġabret minn imprenditur rigward konsumatur,

meta d-data tinġabar, tiġi pproċessata u tintuża għal finijiet ta’ reklamar, stħarriġ tas-suq jew tal-opinjoni, ta’ operat ta’ aġenzija ta’ informazzjoni, ta’ stabbiliment ta’ profili ta’ personalità u użu, ta’ kull kummerċ ta’ data ieħor jew għal finijiet kummerċjali analogi.”

Il-Bundesgerichtshof (il-Qorti Federali tal-Ġustizzja, il-Ġermanja) tindika li, skont il-punt 1 tal-ewwel sentenza tal-Artikolu 3(1) tal-Liġi dwar l-Azzjonijiet għall-Ħruġ ta’ Mandat ta’ Inibizzjoni, l-organi li għandhom locus standi, fis-sens tal-Artikolu 4 ta’ din il-liġi, jistgħu, minn naħa, skont l-Artikolu 1 tal-imsemmija liġi, jitolbu l-waqfien tal-użu ta’ kundizzjonijiet ġenerali invalidi skont l-Artikolu 307 tal-Bürgerliches Gesetzbuch (il-Kodiċi Ċivili) u, min-naħa l-oħra, jitolbu l-waqfien tal-ksur tal-leġiżlazzjoni fil-qasam tal-protezzjoni tal-konsumaturi fis-sens tal-Artikolu 2(2) tal-istess liġi.

Il‑Liġi kontra l‑Kompetizzjoni Żleali

L-Artikolu 3(1) tal-Gesetz gegen den unlauteren Wettbewerb (il-Liġi Kontra l-Kompetizzjoni Żleali), tat‑3 ta’ Lulju 2004 (BGB1. 2004 I, p. 1414), fil-verżjoni applikabbli għat-tilwima fil-kawża prinċipali (iktar ’il quddiem il-“Liġi Kontra l-Kompetizzjoni Żleali”), jipprevedi:

“Il-prattiki kummerċjali żleali huma illegali.”

L-Artikolu 3a tal-Liġi Kontra l-Kompetizzjoni Żleali huwa fformulat kif ġej:

“Kull min jikser dispożizzjoni legali intiża, b’mod partikolari, sabiex tirregola l-aġir fis-suq fl-interess tal-atturi tiegħu, iwettaq aġir żleali, peress li dan il-ksur jista’ jaffettwa sostanzjalment l-interessi tal-konsumaturi, tal-atturi l-oħra tas-suq u tal-kompetituri.”

L-Artikolu 8 ta’ din il-liġi jipprevedi li:

“1. Kull prattika kummerċjali illeċita skont l-Artikolu 3 jew l-Artikolu 7 tista’ twassal għal ordni ta’ waqfien u, f’każ ta’ riskju ta’ reċidiva, għal mandat ta’ inibizzjoni jew ta’ projbizzjoni. […]

[…]

(3) Il-mandati previsti fil-paragrafu 1 jistgħu jintalbu:

[…]

3.	mill-entitajiet ikkwalifikati li jipproduċu l-prova li huma jinsabu fil-lista tal-entitajiet ikkwalifikati, skont l-Artikolu 4 tal-[Liġi dwar l-Azzjonijiet għall-Ħruġ ta’ Mandat ta’ Inibizzjoni] […]”

Il‑Liġi dwar il‑Mezzi ta’ Komunikazzjoni Elettroniċi

Il-Bundesgerichtshof (il-Qorti Federali tal-Ġustizzja) tindika li l-Artikolu 13(1) tat-Telemediengesetz (il-Liġi dwar il-Mezzi ta’ Komunikazzjoni Elettroniċi), tas‑26 ta’ Frar 2007 (BGBl. 2007 I, p. 179), kien applikabbli sa ma daħal fis-seħħ il-GDPR. B’effett minn dik id-data, din id-dispożizzjoni ġiet issostitwita bl-Artikoli 12 sa 14 ta’ dan ir-regolament.

Skont l-ewwel sentenza tal-Artikolu 13(1) tal-Liġi dwar il-Mezzi ta’ Komunikazzjoni Elettroniċi:

“Sa mill-bidu tal-użu, huwa l-fornitur ta’ servizzi li għandu jinforma lill-utent b’mod li jinftiehem globalment dwar il-metodu, il-portata u l-iskop tal-ġbir u tal-użu ta’ data personali kif ukoll tal-ipproċessar tad-data tiegħu fl-Istati li ma jaqgħux fil-kamp ta’ applikazzjoni tad-Direttiva 95/46/KE tal-Parlament Ewropew u tal-Kunsill tal‑24 ta’ Ottubru 1995 dwar il-protezzjoni ta’ individwi fir-rigward ta’ l-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ dik id-data (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 13, Vol. 15, p. 355) sa fejn huwa jkun għadu ma ġiex informat dwar dan.”

Il‑kawża prinċipali u d‑domanda preliminari

Meta Platforms Ireland, li tiġġestixxi l-offerta tas-servizzi tan-network soċjali online Facebook fl-Unjoni, hija l-kontrollur responsabbli għall-ipproċessar tad-data personali tal-utenti ta’ dan in-network soċjali fl-Unjoni. Facebook Germany GmbH, li għandha s-sede tagħha fil-Ġermanja, tippromwovi taħt l-indirizz tal-internet www.facebook.de l-bejgħ ta’ spazji ta’ reklamar. Il-pjattaforma tal-internet Facebook kienet tinkludi, b’mod partikolari fl-indirizz tal-internet www.facebook.de, spazju msejjaħ “App-Zentrum” (Spazju Applikazzjonijiet) li fih Meta Platforms Ireland kienet tqiegħed għad-dispożizzjoni tal-utenti logħob bla ħlas ipprovdut minn terzi. Meta jikkonsulta dan l-ispazju, l-utent kien jiġi informat li bl-użu ta’ wħud minn dawn l-applikazzjonijiet, kien qiegħed jippermettilhom li jiġbru diversi tipi ta’ data personali u li kien jawtorizzahom jippubblikaw f’ismu parti minn din id-data, bħall-punteġġ tiegħu kif ukoll, għal waħda mil-logħob inkwistjoni, l-istatus tiegħu u r-ritratti tiegħu. Huwa kien jiġi informat ukoll li billi juża l-applikazzjonijiet ikkonċernati, huwa kien jaċċetta l-kundizzjonijiet ġenerali ta’ dawn l-applikazzjonijiet u l-politika tagħhom fil-qasam tal-protezzjoni tad-data.

L-Unjoni Federali, organu li għandu locus standi skont l-Artikolu 4 tal-Liġi dwar l-Azzjonijiet għall-Ħruġ ta’ Mandat ta’ Inibizzjoni, tqis li l-indikazzjonijiet ipprovduti mill-applikazzjonijiet tal-logħob ikkonċernat fl-Ispazju Applikazzjonijiet huma żleali, b’mod partikolari sa fejn huma ma josservawx il-kundizzjonijiet legali dwar il-kisba a ta’ kunsens validu tal-utent skont id-dispożizzjonijiet li jirregolaw il-protezzjoni tad-data personali. Barra minn hekk, l-Unjoni Federali qieset li l-informazzjoni li tgħid li dawn l-applikazzjonijiet kienu awtorizzati jippubblikaw f’isem l-utenti wħud mid-data personali tagħhom kienet tikkostitwixxi kundizzjoni ġenerali li kienet tisfavorixxi lill-utenti indebitament.

F’dan il-kuntest, l-Unjoni Federali ressqet quddiem il-Landgericht Berlin (il-Qorti Reġjonali ta’ Berlin, il-Ġermanja) azzjoni għall-ħruġ ta’ mandat ta’ inibizzjoni bbażata fuq l-Artikolu 3a tal-Liġi Kontra l-Kompetizzjoni Żleali, fuq il-punt 11 tal-ewwel sentenza tal-Artikolu 2(2) tal-Liġi dwar l-Azzjonijiet għall-Ħruġ ta’ Mandat ta’ Inibizzjoni kif ukoll fuq il-Kodiċi Ċivili sabiex fost oħrajn tipprojbixxi lil Meta Platforms Ireland milli tippreżenta fl-Ispazju Applikazzjonijiet applikazzjonijiet ta’ logħob bħalma huma l-applikazzjonijiet ikkonċernati. Din l-azzjoni kienet tressqet indipendentement mill-ksur konkret tad-dritt għall-protezzjoni tad-data ta’ suġġett tad-data u mingħajr mandat minn tali suġġett tad-data.

Il-Landgericht Berlin (il-Qorti Reġjonali ta’ Berlin) laqgħet it-talbiet tal-Unjoni Federali. L-appell ippreżentat minn Meta Platforms Ireland quddiem il-Kammergericht Berlin (il-Qorti Reġjonali Superjuri ta’ Berlin, il-Ġermanja) ġie miċħud. Għaldaqstant, Meta Platforms Ireland ippreżentat rikors għal reviżjoni quddiem il-qorti tar-rinviju kontra d-deċiżjoni ta’ ċaħda adottata mill-qorti tal-appell.

Il-qorti tar-rinviju qieset li l-azzjoni tal-Unjoni Federali kienet fondata sa fejn Meta Platforms Ireland kienet kisret l-Artikolu 3a tal-Liġi Kontra l-Kompetizzjoni Żleali, kif ukoll il-punt 11 tal-ewwel sentenza tal-Artikolu 2(2) tal-Liġi dwar l-Azzjonijiet għall-Ħruġ ta’ Mandat ta’ Inibizzjoni, u kienet użat kundizzjoni ġenerali invalida, fis-sens tal-Artikolu 1 tal-Liġi dwar l-Azzjonijiet għall-Ħruġ ta’ Mandat ta’ Inibizzjoni.

Madankollu, din il-qorti kellha dubji dwar l-ammissibbiltà tal-azzjoni tal-Unjoni Federali. Fil-fatt, hija tqis li ma huwiex eskluż li l-Unjoni Federali, li effettivament kellha locus standi fid-data tal-preżentata tar-rikors tagħha – abbażi tal-Artikolu 8(3) tal-Liġi Kontra l-Kompetizzjoni Żleali u tal-punt 1 tal-ewwel sentenza tal-Artikolu 3(1) tal-Liġi dwar l-Azzjonijiet għall-Ħruġ ta’ Mandat ta’ Inibizzjoni – kienet tilfet din il-kwalità fil-mori tal-kawża, wara d-dħul fis-seħħ tal-GDPR u, b’mod partikolari, tal-Artikolu 80(1) u (2) kif ukoll tal-Artikolu 84(1) tiegħu. Jekk dan kien il-każ, il-qorti tar-rinviju kien messa laqgħet ir-rikors għal reviżjoni ppreżentat minn Meta Platforms Ireland u ċaħdet l-azzjoni għall-ħruġ ta’ mandat ta’ inibizzjoni. tal-Unjoni Federali peress li, skont id-dispożizzjonijiet proċedurali rilevanti tad-dritt Ġermaniż, il-locus standi għandu jippersisti sa tmiem l-aħħar istanza.

31	Għalhekk, permezz ta’ deċiżjoni tat‑28 ta’ Mejju 2020, il-Bundesgerichtshof (il-Qorti Federali tal-Ġustizzja) iddeċidiet li tissospendi l-proċeduri quddiemha u li tagħmel lill-Qorti tal-Ġustizzja domanda preliminari dwar l-interpretazzjoni tal-Artikolu 80(1) u (2) u tal-Artikolu 84(1) tal-GDPR.

Permezz tas-sentenza tagħha tat‑28 ta’ April 2022, Meta Platforms Ireland (C‑319/20, EU:C:2022:322), il-Qorti tal-Ġustizzja kienet tat risposta għal din id-domanda fis-sens li l-Artikolu 80(2) tal-GDPR għandu jiġi interpretat fis-sens li ma jipprekludix leġiżlazzjoni nazzjonali li tippermetti lil assoċjazzjoni għall-protezzjoni tal-interessi tal-konsumaturi tressaq azzjoni legali, fl-assenza ta’ mandat mogħti lilha għal dan il-għan u indipendentement mill-ksur ta’ drittijiet konkreti ta’ suġġetti tad-data, kontra l-allegat awtur ta’ preġudizzju għall-protezzjoni tad-data personali, billi tinvoka il-ksur tal-projbizzjoni ta’ prattiki kummerċjali żleali, ksur ta’ liġi fil-qasam tal-protezzjoni tal-konsumaturi jew ksur tal-projbizzjoni tal-użu ta’ kundizzjonijiet ġenerali invalidi peress li l-ipproċessar ta’ data kkonċernat jista’ jaffettwa d-drittijiet li persuni fiżiċi identifikati jew identifikabbli jisiltu minn dan ir-regolament.

Fid-dawl ta’ din is-sentenza, il-qorti tar-rinviju tqis li l-locus standi ta’ entità fis-sens tal-Artikolu 80(2) tal-GDPR ma huwiex suġġett għall-kundizzjoni li tali entità tipproċedi għall-identifikazzjoni individwali minn qabel tas-suġġett tad-data kkonċernata minn ipproċessar ta’ data preżunt kuntrarju għad-dispożizzjonijiet tal‑GDPR. Il-kunċett ta’ “suġġett tad-data”, fis-sens tal-punt 1 tal-Artikolu 4 ta’ dan ir-regolament, ikopri għalhekk mhux biss “persuna fiżika identifikata”, iżda wkoll “persuna fiżika identifikabbli”, jiġifieri persuna fiżika “li tista’ tiġi identifikata”, direttament jew indirettament, b’riferiment għal identifikatur, bħal, b’mod partikolari, isem, numru ta’ identifikazzjoni, data ta’ lokalizzazzjoni jew identifikatur online. F’dawn iċ-ċirkustanzi, l-indikazzjoni ta’ kategorija jew ta’ grupp ta’ persuni affettwati minn tali pproċessar tista’ tkun ukoll suffiċjenti għall-finijiet tat-tressiq ta’ azzjoni rappreżentattiva. Fil-każ ineżami, l-Unjoni Federali wettqet l-identifikazzjoni ta’ tali grupp jew ta’ tali kategorija.

Madankollu, skont il-qorti tar-rinviju, is-sentenza ċċitata iktar ’il fuq tal-Qorti tal-Ġustizzja ma eżaminatx il-kundizzjoni stabbilita fl-Artikolu 80(2) tal-GDPR, li tipprovdi li, sabiex jiġu eżerċitati r-rimedji ġudizzjarji previsti minn dan ir-regolament, assoċjazzjoni għall-protezzjoni tal-interessi tal-konsumaturi għandha tqis li d-drittijiet ta’ suġġett tad-data previsti fl-imsemmi regolament inkisru “b’riżultat tal-ipproċessar”.

Minn naħa, din il-qorti tqis li minn din is-sentenza ma jirriżultax b’mod ċar jekk ksur tal-obbligu li jirriżulta mill-ewwel sentenza tal-Artikolu 12(1) u mill-Artikolu 13(1)(c) u (e) tal-GDPR, li tiġi kkomunikata lis-suġġett tad-data, b’mod konċiż, trasparenti, li tinftiehem u faċilment aċċessibbli, f’termini ċari u sempliċi, l-informazzjoni dwar l-għan tal-ipproċessar tad-data personali kif ukoll lid-destinatarji ta’ din id-data, jikkostitwixxix ksur “b’riżultat tal-ipproċessar”, u jekk il-kunċett ta’ “ipproċessar”, fis-sens tal-punt 2 tal-Artikolu 4 ta’ dan ir-regolament, jinkludix sitwazzjonijiet li jippreċedu l-ġbir ta’ tali data.

Min-naħa l-oħra, din il-qorti tqis li ma huwiex stabbilit b’mod ċar jekk, f’każ bħal dak inkwistjoni fil-kawża prinċipali, il-ksur tal-obbligu ta’ informazzjoni seħħx “b’riżultat” ta’ pproċessar ta’ data personali, fis-sens tal-Artikolu 80(2) tal-GDPR. F’dan ir-rigward, hija tenfasizza li għalkemm tali formulazzjoni tista’ tagħti x’tifhem li l-entità li tressaq azzjoni rappreżentattiva għandha, sabiex din l-azzjoni tkun ammissibbli, tinvoka l-ksur tad-drittijiet ta’ suġġett tad-data li jirriżulta minn operazzjoni ta’ pproċessar ta’ data personali, fis-sens tal-punt 2 tal-Artikolu 4 ta’ dan ir-regolament, u li għalhekk huwa sussegwenti għal tali operazzjoni, l-għan tal-imsemmi regolament li jiġi żgurat b’mod partikolari livell għoli ta’ protezzjoni tad-data personali jista’ jimmilita favur l-estensjoni tal-locus standi ta’ din l-entità fil-każ ta’ ksur tal-obbligu ta’ informazzjoni, minkejja li dan l-obbligu għandu jiġi ssodisfatt qabel kull operazzjoni ta’ pproċessar ta’ data personali.

F’dawn iċ-ċirkustanzi, il-Bundesgerichtshof (il-Qorti Federali tal-Ġustizzja) iddeċidiet li tissospendi l-proċedura quddiemha u li tagħmel lill-Qorti tal-Ġustizzja d-domanda preliminari li ġejja:

“Ksur [tad-drittijiet ta’ suġġett tad-data] ‘b’riżultat tal-ipproċessar’ fis-sens tal-Artikolu 80(2) [tal-GDPR], huwa invokat meta assoċjazzjoni għall-protezzjoni tal-interessi tal-konsumaturi tibbaża l-azzjoni tagħha fuq il-fatt li d-drittijiet ta’ suġġett tad-data huma miksura għaliex l-obbligi ta’ informazzjoni previsti fl-ewwel sentenza tal-Artikolu 12(1), moqrija flimkien mal-Artikolu 13(1)(c) sa (e) [tal-GDPR] u li jirrigwardaw l-għan tal-ipproċessar tad-data personali ma ġewx osservati?”

Fuq id‑domanda preliminari

Permezz tad-domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 80(2) tal-GDPR għandux jiġi interpretat fis-sens li l-kundizzjoni li entità awtorizzata għandha ssostni, sabiex tkun tista’ tressaq azzjoni rappreżentattiva skont din id-dispożizzjoni, li hija tqis li d-drittijiet ta’ suġġett tad-data minn ipproċessar ta’ data personali previsti f’dan ir-regolament ikunu nkisru “b’riżultat tal-ipproċessar”, fis-sens tal-imsemmija dispożizzjoni, tkun issodisfatta meta tali azzjoni tkun ibbażata fuq il-ksur tal-obbligu impost fuq il-kontrollur skont l-ewwel sentenza tal-Artikolu 12(1) u tal-Artikolu 13(1)(c) u (e), tal-istess regolament, li jikkomunika lis-suġġett tad-data, b’mod konċiż, trasparenti, li jinftiehem u faċilment aċċessibbli, f’termini ċari u sempliċi, l-informazzjoni dwar l-iskop tal-imsemmi pproċessar ta’ data kif ukoll dwar id-destinatarji ta’ tali data, mhux iktar tard mill-ġbir tagħha.

Sabiex tingħata risposta għal din id-domanda, għandu preliminarjament jitfakkar li l-GDPR jirregola, b’mod partikolari, ir-rimedji ġudizzjarji li jippermettu li jiġu protetti d-drittijiet tas-suġġett tad-data meta d-data personali li tikkonċernah tkun is-suġġett ta’ pproċessar allegatament kuntrarju għad-dispożizzjonijiet ta’ dan ir-regolament. Il-protezzjoni ta’ dawn id-drittijiet tista’ għalhekk tintalab jew direttament mis-suġġett tad-data, li għandu d-dritt iressaq huwa stess ilment quddiem awtorità superviżorja ta’ Stat Membru, konformement mal-Artikolu 77 tal-GDPR, jew azzjoni quddiem il-qrati nazzjonali, skont l-Artikoli 78 u 79 ta’ dan ir-regolament, jew minn entità awtorizzata, fil-preżenza jew fl-assenza ta’ mandat għal dan l-għan, skont l-Artikolu 80 tal-imsemmi regolament.

B’mod partikolari, l-Artikolu 80(2) tal-GDPR jagħti l-possibbiltà lill-Istati Membri jipprevedu mekkaniżmu ta’ azzjoni rappreżentattiva kontra l-allegat awtur ta’ preġudizzju għall-protezzjoni tad-data personali, fl-assenza ta’ mandat tas-suġġett tad-data, filwaqt li jistabbilixxi ċertu numru ta’ rekwiżiti fil-livell tal-kamp ta’ applikazzjoni ratione personae u ratione materiae li għandhom jiġu osservati għal dan il-għan (sentenza tat‑28 ta’ April 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, punt 63).

F’dan ir-rigward, għal dak li jikkonċerna, fl-ewwel lok, tal-kamp ta’ applikazzjoni ratione personae ta’ tali mekkaniżmu, il-locus standi huwa rrikonoxxut lil organu, lil organizzazzjoni jew lil assoċjazzjoni li jissodisfaw il-kriterji elenkati fl-Artikolu 80(1) tal-GDPR. B’mod partikolari, hekk kif il-Qorti tal-Ġustizzja kkonstatat diġà, assoċjazzjoni għall-protezzjoni tal-interessi tal-konsumaturi, bħalma hija l-Unjoni Federali, tista’ taqa’ taħt dan il-kunċett sa fejn issegwi l-għan ta’ interess pubbliku li jiġu żgurati d-drittijiet u l-libertajiet tas-suġġetti tad-data fil-kwalità tagħhom ta’ konsumaturi, peress li t-twettiq ta’ tali għan jista’ jkun marbut mal-protezzjoni tad-data personali ta’ dawn tal-aħħar (sentenza tat‑28 ta’ April 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, punti 64 u 65).

Fir-rigward, fit-tieni lok, il-kamp ta’ applikazzjoni ratione materiae tal-imsemmi mekkaniżmu, l-eżerċizzju tal-azzjoni rappreżentattiva prevista fl-Artikolu 80(2) tal-GDPR minn entità li tissodisfa l-kundizzjonijiet imsemmija fil-paragrafu 1 ta’ dan l-istess artikolu, jeħtieġ li din l-entità, indipendentement minn kull mandat mogħti lilha, tqis “li jkunu nkisru d-drittijiet ta’ suġġett tad-data taħt dan ir-Regolament b’riżultat tal-ipproċessar” tad-data personali tiegħu (sentenza tat‑28 ta’ April 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, punt 67).

F’dan ir-rigward, il-Qorti tal-Ġustizzja ċċarat li l-eżerċizzju ta’ azzjoni rappreżentattiva ma huwiex, b’mod partikolari, suġġett għall-eżistenza ta’ “ksur konkret” tad-drittijiet li persuna tislet mir-regoli fil-qasam tal-protezzjoni tad-data personali, b’tali mod li, sabiex jiġi rrikonoxxut il-locus standi lil tali entità, huwa biżżejjed li jiġi sostnut li l-ipproċessar ta’ data kkonċernat jista’ jaffettwa d-drittijiet li persuni fiżiċi identifikati jew identifikabbli jisiltu mill-imsemmi regolament, mingħajr ma jkun neċessarju li jiġi pprovat dannu reali mġarrab mis-suġġett tad-data, f’sitwazzjoni partikolari, permezz tal-ksur tad-drittijiet tiegħu (sentenza tat‑28 ta’ April 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, punti 70 u 72).

Madankollu, hekk kif il-Qorti tal-Ġustizzja, ddeċidiet diġà, it-tressiq ta’ azzjoni rappreżentattiva jippreżupponi li l-entità kkonċernata “tqis” li d-drittijiet ta’ suġġett tad-data previsti fil-GDPR inkisru b’riżultat tal-ipproċessar tad-data personali tiegħu u għalhekk tallega “l-eżistenza ta’ pproċessar ta’ data” li hija tqis li jmur kontra dispożizzjonijiet tal-imsemmi regolament (ara, f’dan is-sens, is-sentenza tat‑28 ta’ April 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, punt 71), peress li tali trattament ma jistax ikun ta’ natura purament ipotetika, hekk kif irrileva l-Avukat Ġenerali fil-punt 48 tal-konklużjonijiet tiegħu.

45	B’mod konkret, hekk kif jirriżulta minn kliem l-Artikolu 80(2) tal-GDPR, it-tressiq ta’ azzjoni rappreżentattiva abbażi ta’ din id-dispożizzjoni jimplika li l-ksur tad-drittijiet li s-suġġett tad-data jislet minn dan ir-regolament iseħħ meta tiġi pproċessata data personali.

Din l-interpretazzjoni hija kkorroborata mit-tqabbil tad-diversi verżjonijiet lingwistiċi tal-Artikolu 80(2) tal-GDPR kif ukoll mill-premessa 142 tiegħu li tistabbilixxi li l-entitajiet li jissodisfaw il-kundizzjonijiet imsemmija fl-Artikolu 80(1) ta’ dan ir-regolament għandu jkollhom raġunijiet sabiex iqisu li d-drittijiet ta’ suġġett tad-data previsti fl-imsemmi regolament ikunu nkisru bħala riżultat ta’ “ipproċessar ta’ data personali li jikser dan [tal-istess] Regolament”.

Wara li ġie ċċarat dan, sabiex tingħata risposta għad-domanda preliminari, għandu jiġi vverifikat ukoll jekk il-ksur tal-obbligu impost fuq il-kontrollur skont l-ewwel sentenza tal-Artikolu 12(1) u l-Artikolu 13(1)(c) u (e) tal-GDPR, li jikkomunika lis-suġġett tad-data, b’mod konċiż, trasparenti, li jinftiehem u faċilment aċċessibbli, f’termini ċari u sempliċi, l-informazzjoni dwar l-iskop ta’ pproċessar tad-data personali kif ukoll dwar id-destinatarji ta’ tali data, mhux iktar tard mill-ġbir ta’ din id-data, jikkostitwixxix ksur tad-drittijiet ta’ dan is-suġġett tad-data “b’riżultat tal-ipproċessar”, fis-sens tal-Artikolu 80(2) tal-GDPR.

Preliminarjament, għandu jitfakkar li l-għan imfittex mill-GDPR, hekk kif jirriżulta mill-Artikolu 1 tiegħu kif ukoll mill-premessa10 tiegħu, jikkonsisti, b’mod partikolari, f’li jiġi ggarantit livell għoli ta’ protezzjoni tal-libertajiet u tad-drittijiet fundamentali tal-persuni fiżiċi, b’mod partikolari tad-dritt tagħhom għall-ħajja privata fir-rigward tal-ipproċessar tad-data personali (ara, f’dan is-sens, is-sentenza tas‑7 ta’ Marzu 2024, IAB Europe, C‑604/22, EU:C:2024:214, punt 53).

Għal dan il-għan, il-Kapitoli II u III ta’ dan ir-regolament jistabbilixxu, rispettivament, il-prinċipji li jirregolaw l-ipproċessar tad-data personali kif ukoll id-drittijiet tas-suġġett tad-data li għandu josserva kull ipproċessar ta’ data personali. B’mod partikolari, bla ħsara għad-derogi previsti fl-Artikolu 23 tal-imsemmi regolament, kull ipproċessar ta’ data personali għandu, minn naħa, ikun konformi mal-prinċipji dwar l-ipproċessar ta’ tali data stabbiliti fl-Artikolu 5 tal-istess regolament u jissodisfa l-kundizzjonijiet ta’ legalità elenkati fl-Artikolu 6 tiegħu u, min-naħa l-oħra, jirrispetta d-drittijiet tas-suġġett tad-data li jinsabu fl-Artikoli 12 sa 22 tal-GDPR (ara, f’dan is-sens, is-sentenzi tas‑6 ta’ Ottubru 2020, La Quadrature du Net et (C‑511/18, C‑512/18 u C‑520/18, EU:C:2020:791, punt 208); tal‑24 ta’ Frar 2022, Valsts ieņēmumu dienests (Ipproċessar ta’ data personali għal finijiet fiskali) (C‑175/20, EU:C:2022:124, punti 50 u 61 kif ukoll il-ġurisprudenza ċċitata).

F’dan ir-rigward, għandu jiġi enfasizzat li, skont l-Artikolu 5(1)(a) tal-GDPR, id-data personali għandha tiġi pproċessata b’mod legali, ġust u trasparenti fir-rigward tas-suġġett tad-data. Barra minn hekk, konformement mal-punt (b) tal-Artikolu 5(1) din id-data għandha tinġabar għal finijiet speċifikati, espliċiti u leġittimi u ma għandhiex tiġi pproċessata ulterjorment b’mod inkompatibbli ma’ dawk il-finijiet.

Fir-rigward tal-interpretazzjoni tal-Artikolu 5(1)(b) tal-GDPR, il-Qorti tal-Ġustizzja ddeċidiet li din id-dispożizzjoni timponi b’mod partikolari li l-għanijiet tal-ipproċessar ikunu indikati b’mod ċar u identifikati, mhux iktar tard minn meta tinġabar id-data personali (sentenza tal‑24 ta’ Frar 2022, Valsts ieņēmumu dienests (Ipproċessar ta’ data personali għal finijiet fiskali), C‑175/20, EU:C:2022:124, punti 64 u 65).

52	Barra minn hekk, konformement mal-Artikolu 5(2) tal-GDPR, huwa l-kontrollur li għandu l-oneru li jipprova li din id-data hija b’mod partikolari miġbura għal skopijiet speċifiċi, espliċiti u leġittimi u li din hija pproċessata b’mod legali, ġust u trasparenti fir-rigward tas-suġġett tad-data.

Għaldaqstant, mill-Artikolu 5 tal-GDPR jirriżulta li pproċessar ta’ data personali għandu b’mod partikolari jissodisfa rekwiżiti konkreti fil-qasam tat-trasparenza fir-rigward tas-suġġett tad-data minn tali pproċessar. Għal dan il-għan, fil-Kapitolu III tiegħu, il-GDPR, minn naħa, jipprevedi obbligi preċiżi għall-kontrollur u, min-naħa l-oħra, jirrikonoxxi sensiela sħiħa ta’ drittijiet lis-suġġett tad-data minn ipproċessar ta’ data personali, li fosthom hemm, b’mod partikolari, id-dritt li tinkiseb mingħand il-kontrollur informazzjoni dwar l-iskopijiet ta’ dan l-ipproċessar u dwar id-destinatarji konkreti li lilhom tkun ġiet jew tkun ser tiġi kkomunikata d-data personali li tikkonċernah (sentenza tat‑22 ta’ Ġunju 2023, Pankki S, C‑579/21, EU:C:2023:501, punt 48).

B’mod partikolari, l-Artikolu 13(1)(c) u (e) tal-GDPR jipprevedi l-obbligu għall-kontrollur li jinforma lis-suġġett tad-data, meta d-data personali tinġabar mingħandu, dwar l-għanijiet tal-ipproċessar li għalihom hija intiża din id-data u dwar il-bażi legali ta’ dan l-ipproċessar, rispettivament, kif ukoll dwar id-destinatarji jew il-kategoriji ta’ destinatarji tal-imsemmija data.

Barra minn hekk, l-Artikolu 12(1) ta’ dan ir-regolament jeżiġi li l-kontrollur jieħu miżuri xierqa sabiex, b’mod partikolari, l-informazzjoni li hija msemmija fil-punt preċedenti u li tiġi pprovduta lis-suġġett tad-data tkun konċiża, trasparenti, li tinftiehem, faċilment aċċessibbli, u fformulata f’termini ċari u sempliċi.

Hekk kif il-Qorti tal-Ġustizzja ddeċidiet, l-Artikolu 12(1) tal-GDPR, li huwa l-espressjoni tal-prinċipju ta’ trasparenza, għandu l-għan li jiggarantixxi li s-suġġett tad-data jkun f’pożizzjoni jifhem b’mod sħiħ l-informazzjoni indirizzata lilu (sentenza tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF, C‑487/21, EU:C:2023:369, punt 38).

L-importanza tal-osservanza ta’ tali obbligu ta’ informazzjoni hija kkonfermata wkoll mill-premessa 60 tal-GDPR, li tistabbilixxi li l-prinċipju ta’ pproċessar ġust u trasparenti jeżiġi li s-suġġett tad-data jiġi informat bl-eżistenza tal-operazzjoni ta’ pproċessar u bl-għanijiet tagħha, filwaqt li jiġi enfasizzat li l-kontrollur għandu jipprovdi kull informazzjoni oħra neċessarja sabiex jiġi żgurat ipproċessar ġust u trasparenti, fid-dawl taċ-ċirkustanzi partikolari u tal-kuntest li fih tiġi pproċessata d-data personali (sentenza tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF, C‑487/21, EU:C:2023:369, punt 36).

Minn dak li ntqal iktar ’il fuq jirriżulta, fl-ewwel lok, li l-obbligu ta’ informazzjoni impost fuq il-kontrollur fir-rigward tas-suġġett tad-data kkonċernat mill-ipproċessar ta’ data personali jikkostitwixxi l-korollarju tad-dritt għal informazzjoni li huwa rrikonoxxut lil dawn il-persuni mill-Artikoli 12 u 13 tal‑GDPR u li għalhekk jagħmel parti mid-drittijiet li l-azzjoni rappreżentattiva prevista fl-Artikolu 80(2) ta’ dan ir-regolament hija intiża li tipproteġi. Barra minn hekk, hekk kif jirriżulta mill-punti 56 u 57 ta’ din is-sentenza, l-osservanza ta’ dan l-obbligu tiggarantixxi, b’mod iktar ġenerali, l-osservanza tal-prinċipji ta’ trasparenza u ta’ lealtà tal-ipproċessar, previsti fl-Artikolu 5(1) tal-imsemmi regolament.

Fit-tieni lok, hekk kif irrileva l-Avukat Ġenerali fil-punt 47 tal-konklużjonijiet tiegħu, il-ksur allegat tad-dritt tas-suġġetti tad-data li jkunu suffiċjentement informati biċ-ċirkustanzi kollha relatati ma’ pproċessar ta’ data personali, b’mod partikolari l-għan tiegħu u d-destinatarju ta’ din id-data, jista’ jostakola l-espressjoni ta’ kunsens “[infurmat]” fis-sens tal-punt 11 tal-Artikolu 4 tal-GDPR, li jista’ jirrendi dan l-ipproċessar illegali, fis-sens tal-Artikolu 5(1) ta’ dan ir-regolament.

Fil-fatt, il-validità tal-kunsens mogħti mis-suġġett tad-data tiddependi, fost l-oħrajn, mill-kwistjoni dwar jekk din il-persuna kisbitx, minn qabel, l-informazzjoni fid-dawl taċ-ċirkustanzi kollha relatati mal-ipproċessar tad-data inkwistjoni li għalihom hija kellha dritt, skont l-Artikoli 12 u 13 tal-GDPR, u li tippermettilha tagħti kunsens b’għarfien sħiħ tal-fatti.

Sa fejn ipproċessar ta’ data personali mwettaq bi ksur tad-dritt ta’ informazzjoni li s-suġġett tad-data jislet mill-Artikoli 12 u 13 tal-GDPR jikser ir-rekwiżiti stabbiliti fl-Artikolu 5 ta’ dan ir-regolament, hemm lok li l-ksur ta’ dan id-dritt għal informazzjoni jitqies bħala ksur tad-drittijiet tas-suġġett tad-data “b’riżultat tal-ipproċessar”, fis-sens tal-Artikolu 80(2) tal-imsemmi regolament.

Minn dan isegwi li d-dritt tas-suġġett tad-data kkonċernat minn ipproċessar ta’ data personali, li jirriżulta mill-ewwel sentenza tal-Artikolu 12(1) u mill-Artikolu 13(1)(c) u (e) tal-GDPR, li jikseb mingħand il-kontrollur, b’mod konċiż, trasparenti, li jinftiehem u faċilment aċċessibbli, f’termini ċari u sempliċi, l-informazzjoni dwar l-għan ta’ tali pproċessar kif ukoll dwar id-destinatarji ta’ tali data, jikkostitwixxi dritt li l-ksur tiegħu jippermetti li jsir użu mill-mekkaniżmu ta’ azzjoni rappreżentattiva previst fl-Artikolu 80(2) ta’ dan ir-regolament.

Din l-interpretazzjoni hija kkonfermata, minn naħa, mill-għan tal-GDPR, imfakkar fil-punt 48 tas-sentenza preżenti, li tiġi żgurata protezzjoni effikaċi tal-libertajiet u tad-drittijiet fundamentali tal-persuni fiżiċi u, b’mod partikolari, livell għoli ta’ protezzjoni tad-dritt ta’ kull persuna għall-ħajja privata fir-rigward tal-ipproċessar tad-data personali li tikkonċernaha.

Min-naħa l-oħra, tali interpretazzjoni hija wkoll konformi mal-funzjoni preventiva tal-azzjoni rappreżentattiva prevista fl-Artikolu 80(2) tal-GDPR immexxija minn assoċjazzjonijiet għall-ħarsien tal-interessi tal-konsumaturi, bħal fil-każ ineżami l-Unjoni Federali (sentenza tat‑28 ta’ April 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, punt 76).

Fid-dawl ta’ dak kollu li ntqal, ir-risposta għad-domanda preliminari għandha tkun li l-Artikolu 80(2) tal-GDPR għandu jiġi interpretat fis-sens li l-kundizzjoni li, sabiex tkun tista’ tressaq azzjoni rappreżentattiva skont din id-dispożizzjoni, entità awtorizzata għandha ssostni li hija tqis li d-drittijiet ta’ suġġett tad-data previsti f’dan ir-regolament inkisru “b’riżultat tal-ipproċessar”, fis-sens tal-imsemmija dispożizzjoni, tkun issodisfatta meta din l-entità ssostni li l-ksur tad-drittijiet ta’ din il-persuna jseħħ mal-ipproċessar ta’ data personali u li dan jirriżulta mill-ksur tal-obbligu impost fuq il-kontrollur skont l-ewwel sentenza tal-Artikolu 12(1) u tal-Artikolu 13(1)(c) u (e), tal-imsemmi regolament, li jikkomunika lis-suġġett tad-data b’dan l-ipproċessar ta’ data, b’mod konċiż, trasparenti, li jinftiehem u faċilment aċċessibbli, f’termini ċari u sempliċi, l-informazzjoni dwar l-għan tal-imsemmi pproċessar tad-data kif ukoll dwar id-destinatarju ta’ tali data, mhux iktar tard mill-ġbir tagħha.

Fuq l‑ispejjeż

Peress li l-proċedura għandha, fir-rigward tal-partijiet fil-kawża prinċipali, in-natura ta’ kwistjoni mqajma quddiem il-qorti tar-rinviju, hija dik il-qorti li tiddeċiedi fuq l-ispejjeż. L-ispejjeż sostnuti għas-sottomissjoni tal-osservazzjonijiet lill-Qorti tal-Ġustizzja, barra dawk tal-imsemmija partijiet, ma jistgħux jitħallsu lura.

Għal dawn il-motivi, Il-Qorti tal-Ġustizzja (Ir-Raba’ Awla) taqta’ u tiddeċiedi:

L-Artikolu 80(2) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data),

għandu jiġi interpretat fis-sens li:

il-kundizzjoni li, sabiex tkun tista’ tressaq azzjoni rappreżentattiva skont din id-dispożizzjoni, entità awtorizzata għandha ssostni li hija tqis li d-drittijiet ta’ suġġett tad-data previsti f’dan ir-regolament inkisru “b’riżultat tal-ipproċessar”, fis-sens tal-imsemmija dispożizzjoni, tkun issodisfatta meta din l-entità ssostni li l-ksur tad-drittijiet ta’ din il-persuna jseħħ mal-ipproċessar ta’ data personali u li dan jirriżulta mill-ksur tal-obbligu impost fuq il-kontrollur skont l-ewwel sentenza tal-Artikolu 12(1) u tal-Artikolu 13(1)(c) u (e), tal-imsemmi regolament, li jikkomunika lis-suġġett tad-data b’dan l-ipproċessar ta’ data, b’mod konċiż, trasparenti, li jinftiehem u faċilment aċċessibbli, f’termini ċari u sempliċi, l-informazzjoni dwar l-għan tal-imsemmi pproċessar tad-data kif ukoll dwar id-destinatarju ta’ tali data, mhux iktar tard mill-ġbir tagħha.

Firem

( *1 ) Lingwa tal-kawża: il-Ġermaniż.