SENTENZA TAL-QORTI TAL-ĠUSTIZZJA (It‑Tielet Awla)

28 ta’ Novembru 2024 ( *1 )

“Rinviju għal deċiżjoni preliminari – Protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u moviment liberu ta’ din id-data – Regolament (UE) 2016/679 – Data pproċessata matul it-tħejjija ta’ ċertifikat COVID‑19 – Data li ma nġabritx mingħand is-suġġett tad-data – Informazzjoni li għandha tiġi pprovduta – Eċċezzjoni għall-obbligu ta’ informazzjoni – Artikolu 14(5)(c) – Data ġġenerata mill-kontrollur fil-kuntest tal-proċess tiegħu stess – Dritt ta’ tressiq ta’ lment – Kompetenza tal-awtorità superviżorja – Artikolu 77(1) – Miżuri xierqa intiżi li jipproteġu l-interessi leġittimi tas-suġġett tad-data previsti mid-dritt tal-Istat Membru li għalih ikun suġġett il-kontrollur – Miżuri dwar is-sigurtà tal-ipproċessar tad-data – Artikolu 32”

Fil-Kawża C‑169/23 [Másdi] ( i ),

li għandha bħala suġġett talba għal deċiżjoni preliminari skont l-Artikolu 267 TFUE, imressqa mill-Kúria (il-Qorti Suprema, l-Ungerija), permezz ta’ deċiżjoni tat‑8 ta’ Frar 2023, li waslet fil-Qorti tal-Ġustizzja fis‑17 ta’ Marzu 2023, fil-proċedura

Nemzeti Adatvédelmi és Információszabadság Hatóság

UC,

IL-QORTI TAL-ĠUSTIZZJA (It‑Tielet Awla),

komposta minn K. Jürimäe, Presidenta tat-Tieni Awla, li qegħda taġixxi bħala Presidenta tat-Tielet Awla, K. Lenaerts, President tal-Qorti tal-Ġustizzja, li qiegħed jaġixxi bħala Mħallef tat-Tielet Awla, N. Jääskinen, M. Gavalec (Relatur) u N. Piçarra, Imħallfin,

Avukat Ġenerali: L. Medina,

Reġistratur: A. Calot Escobar,

wara li rat il-proċedura bil-miktub,

wara li kkunsidrat l-osservazzjonijiet ippreżentati:

–	għan-Nemzeti Adatvédelmi és Információszabadság Hatóság, minn G. J. Dudás, ügyvéd,

–	għal UC, minn D. Karsai u V. Łuszcz, ügyvédek,

–	għall-Gvern Ungeriż, minn Zs. Biró‑Tóth u M. Z. Fehér, bħala aġenti,

–	għall-Gvern Ċek, minn L. Březinová, M. Smolek u J. Vláčil, bħala aġenti,

–	għall-Kummissjoni Ewropea, minn A. Bouchagiar, C. Kovács u H. Kranenborg, bħala aġenti,

wara li semgħet il-konklużjonijiet tal-Avukata Ġenerali, ippreżentati fis-seduta tas‑6 ta’ Ġunju 2024,

tagħti l-preżenti

Sentenza

It-talba għal deċiżjoni preliminari tirrigwarda l-interpretazzjoni tal-Artikolu 14(1) u (5)(c), tal-Artikolu 32 kif ukoll tal-Artikolu 77(1) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-“GDPR”).

Din it-talba tressqet fil-kuntest ta’ tilwima bejn, minn naħa, in-Nemzeti Adatvédelmi és Információszabadság Hatóság (l-Awtorità Nazzjonali għall-Protezzjoni tad-Data u l-Libertà tal-Informazzjoni, l-Ungerija) (iktar ’il quddiem l-“awtorità nazzjonali) u, min-naħa l-oħra, UC dwar l-eżistenza ta’ obbligu ta’ informazzjoni fir-rigward tal-ipproċessar ta’ data personali impost fuq il-Budapest Fġváros Kormányhivatala (l-Uffiċċju tal-Gvern Metropolitan ta’ Budapest, l-Ungerija) (iktar ’il quddiem l-“awtorità tal-ħruġ”), responsabbli għall-ħruġ ta’ ċertifikati tal-immunità lill-persuni mlaqqma kontra l-COVID‑19 jew li qabdithom din il-marda.

Il‑kuntest ġuridiku

Id‑dritt tal‑Unjoni

Il‑GDPR

Skont il-premessi 1, 10 u 61 sa 63 tal-GDPR:

“1.

Il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali hija dritt fundamentali. L-Artikolu 8(1) tal-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea […] u l-Artikolu 16(1) [TFUE] jipprevedu li kull persuna għandha dritt għall-protezzjoni tad-data personali li tirrigwardaha.

[…]

10.

Sabiex ikun żgurat livell konsistenti u għoli ta’ protezzjoni tal-persuni fiżiċi u sabiex jitneħħew l-ostakoli għaċ-ċirkolazzjoni tad-data personali fl-Unjoni [Ewropea], il-livell ta’ protezzjoni tad-drittijiet u l-libertajiet tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ din id-data għandu jkun ekwivalenti fl-Istati Membri kollha. L-applikazzjoni konsistenti u omoġenea tar-regoli għall-protezzjoni tad-drittijiet u l-libertajiet fundamentali tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali għandha tkun żgurata fl-Unjoni kollha. Fir-rigward tal-ipproċessar tad-data personali għall-konformità ma’ obbligu legali, għat-twettiq ta’ kompitu li jsir fl-interess pubbliku jew fl-eżerċizzju ta’ awtorità uffiċjali mogħtija lill-kontrollur, l-Istati Membri għandhom ikunu jistgħu iżommu jew jintroduċu dispożizzjonijiet nazzjonali biex jispeċifikaw aktar l-applikazzjoni tar-regoli ta’ dan ir-Regolament. […]

[…]

61.

L-informazzjoni fir-rigward tal-ipproċessar ta’ data personali relatata mas-suġġett tad-data għandha tingħatalu meta tinġabar mis-suġġett tad-data, jew, fejn id-data personali tinkiseb minn sors ieħor, f’perijodu ta’ żmien raġonevoli, skont iċ-ċirkostanzi tal-każ. Fejn id-data personali tista’ tkun żvelata b’mod leġittimu lil riċevitur ieħor, is-suġġett tad-data għandu jkun informat meta d-data personali tkun żvelata għall-ewwel darba lir-riċevitur. Fejn il-kontrollur jkollu l-intenzjoni li jipproċessa d-data personali għal fini differenti minn dak li għalih tkun inġabret, il-kontrollur għandu jipprovdi lis-suġġett tad-data, qabel dak l-ipproċessar ulterjuri, b’informazzjoni dwar dak il-fini l-ieħor u informazzjoni meħtieġa oħra. Fejn il-oriġini tad-data personali ma setgħetx tingħata lis-suġġett tad-data peress li jkunu intużaw diversi sorsi, għandha tingħata informazzjoni ġenerali.

62.

Madankollu, mhuwiex meħtieġ li l-obbligu li tiġi provduta informazzjoni jiġi impost fejn is-suġġett tad-data diġà jkollu l-informazzjoni, fejn ir-reġistrazzjoni jew l-iżvelar tad-data personali tkun espressament stabbilita bil-liġi, jew fejn l-għoti tal-informazzjoni lis-suġġett tad-data tirriżulta impossibbli jew tinvolvi sforz sproporzjonat. […]

63.	Suġġett tad-data għandu jkollu d-dritt ta’ aċċess għal data li tkun inġabret dwaru, u li jeżerċita dak id-dritt faċilment u f’intervalli raġonevoli, sabiex ikun jaf dwar, u jivverifika, il-legalità tal-ipproċessar. […]”

4	L-Artikolu 1 ta’ dan ir-regolament, bit-titolu “Suġġett u objettivi”, jipprovdi fil-paragrafu 2 tiegħu: “Dan ir-Regolament jipproteġi d-drittijiet u l-libertajiet fundamentali tal-persuni fiżiċi u b’mod partikolari d-dritt tagħhom għall-protezzjoni ta’ data personali.”

L-Artikolu 4 tal-imsemmi regolament, bit-titolu “Definizzjonijiet”, jistabbilixxi:

“Għall-finijiet ta’ dan ir-Regolament:

(1)	‘data personali’ tfisser kwalunkwe informazzjoni relatata ma’ persuna fiżika identifikata jew identifikabbli (‘suġġett tad-data’); […]

(2)

‘ipproċessar’ tfisser kwalunkwe attività jew sett ta’ attivitajiet li jitwettqu fuq data personali jew fuq settijiet ta’ data personali, sew jekk b’mezzi awtomatizzati u sew jekk mingħajrhom, bħalma huma l-ġbir, ir-reġistrazzjoni, l-organizzazzjoni, l-istrutturar, il-ħażna, l-adattament jew il-bidliet, l-irkupru, il-konsultazzjoni, l-użu, l-iżvelar bi trażmissjoni, it-tixrid jew it-tqegħid għad-dispożizzjoni b’xi mezz ieħor, l-allinjament jew it-taħlita, ir-restrizzjoni, it-tħassir jew il-qerda;

[…]

(7)

‘kontrollur’ tfisser persuna fiżika jew ġuridika, awtorità pubblika, aġenzija jew kwalunkwe korp ieħor li, waħdu jew flimkien ma’ oħrajn, jiddetermina l-għanijiet u l-mezzi tal-ipproċessar ta’ data personali; fejn l-għanijiet u l-mezzi tal-ipproċessar ikunu ddeterminati mil-liġi tal-Unjoni jew ta’ Stat Membru, il-kontrollur jew il-kriterji speċifiċi għall-ħatra tiegħu jistgħu jiġu determinati mil-liġi tal-Unjoni jew ta’ Stat Membru;

[…]”

L-Artikolu 6 tal-GDPR, bit-titolu “Legalità tal-ipproċessar”, jipprevedi, fil-paragrafu 1 tiegħu:

“L-ipproċessar għandu jkun legali biss jekk u safejn mill-inqas ikun japplika wieħed mill-punti li ġejjin:

[…]

(c)	l-ipproċessar ikun meħtieġ għall-konformità ma’ obbligu legali li għalih huwa soġġett il-kontrollur;

[…]

(e)	l-ipproċessar ikun meħtieġ għat-twettiq ta’ kompitu li jsir fl-interess pubbliku jew fl-eżerċizzju ta’ awtorità uffiċjali mogħtija lill-kontrollur;

[…]”

L-Artikolu 9 ta’ dan ir-regolament, bit-titolu “Ipproċessar ta’ kategoriji speċjali ta’ data personali”, jipprovdi, fil-paragrafi 1 u 2 tiegħu:

“1. L-ipproċessar ta’ data personali, li jiżvela oriġini razzjali jew etnika, opinjonijiet politiċi, twemmin reliġjuż jew filosofiku, jew sħubija fi trade union, u l-ipproċessar ta’ data ġenetika, data bijometrika sabiex tidentifika b’mod uniku persuna fiżika, data dwar is-saħħa jew data dwar il-ħajja sesswali u l-orjentazzjoni sesswali ta’ persuna fiżika huma projbiti.

2. Il-paragrafu 1 ma għandux japplika jekk japplika wieħed minn dawn li ġejjin:

[…]

(i)

l-ipproċessar ikun meħtieġ għal raġunijiet ta’ interess pubbliku fil-qasam tas-saħħa pubblika, bħall-protezzjoni kontra theddid transkonfinali serju għas-saħħa jew biex jiġu żgurati standards għoljin ta’ kwalità u sikurezza tal-kura tas-saħħa u ta’ prodotti mediċinali jew apparat mediku, fuq il-bażi tal-liġi tal-Unjoni, jew tal-liġi ta’ Stat Membru li tipprevedi miżuri adatti u speċifiċi sabiex jiġu protetti d-drittijiet u l-libertajiet tas-suġġett tad-data, b’mod partikulari s-segretezza professjonali;

[…]”

8	Il-Kapitolu III tal-GDPR, bit-titolu “Drittijiet tas-suġġett tad-data”, jinkludi diversi taqsimiet, fosthom it-Taqsima 2 tiegħu, bit-titolu “Informazzjoni u aċċess għad-data personali”.

Din it-Taqsima 2 tinkludi l-Artikolu 13, dwar l-“Informazzjoni li għandha tiġi pprovduta fejn tinġabar data personali mis-suġġett tad-data”, l-Artikolu 14, dwar l-“Informazzjoni li għandha tiġi pprovduta fejn id-data personali ma tkunx inkisbet mis-suġġett tad-data” u l-Artikolu 15, dwar id-“Dritt ta’ aċċess mis-suġġett tad-data”, tal-GDPR.

Skont l-Artikolu 14 ta’ dan ir-regolament:

“1. Fejn ma tkunx inkisbet data personali mis-suġġett tad-data, il-kontrollur għandu jipprovdi lis-suġġett tad-data l-informazzjoni li ġejja:

(a)	l-identità u d-dettalji ta’ kuntatt tal-kontrollur u, fejn applikabbli, tar-rappreżentant tal-kontrollur;

(b)	id-dettalji ta’ kuntatt tal-uffiċjal tal-protezzjoni tad-data, fejn applikabbli;

(c)	l-għanijiet tal-ipproċessar li għalihom hija maħsuba d-data personali kif ukoll il-bażi legali għall-ipproċessar;

(d)	l-kategoriji ta’ data personali inkwistjoni;

(e)	ir-riċevituri jew il-kategoriji ta’ riċevituri tad-data personali, jekk jeżistu;

(f)	fejn applikabbli, il-fatt li l-kontrollur għandu l-ħsieb li jittrasferixxi data personali lil riċevitur f’pajjiż terz jew organizzazzjoni internazzjonali […]

2. Minbarra l-informazzjoni msemmija fil-paragrafu 1, il-kontrollur għandu jipprovdi lis-suġġett tad-data l-informazzjoni li ġejja li tkun meħtieġa biex jiġi żgurat pproċessar ġust u trasparenti fir-rigward tas-suġġett tad-data:

(a)	il-perijodu li matulu d-data personali tkun ser tinħażen, jew jekk dak ma jkunx possibbli, il-kriterji użati biex jiġi ddeterminat dak il-perijodu;

(b)	fejn l-ipproċessar ikun ibbażat fuq il-punt (f) tal-Artikolu 6(1), l-interessi leġittimi segwiti mill-kontrollur jew minn parti terza;

(c)	l-eżistenza tad-dritt li jitlob mingħand il-kontrollur aċċess jew rettifika jew tħassir ta’ data personali jew restrizzjoni tal-ipproċessar rigward is-suġġett tad-data u li joġġezzjona għall-ipproċessar kif ukoll id-dritt għall-portabbiltà tad-data;

(d)	fejn l-ipproċessar ikun ibbażat fuq il-punt (a) tal-Artikolu 6(1) jew il-punt (a) tal-Artikolu 9(2), l-eżistenza tad-dritt li jiġi irtirat il-kunsens fi kwalunkwe ħin, mingħajr ma tiġi affettwata l-legalità tal-ipproċessar abbażi ta’ kunsens qabel l-irtirar tiegħu;

(e)	id-dritt li jitressaq ilment quddiem awtorità superviżorja;

(f)	minn liema sors toriġina d-data personali, u fejn applikabbli jekk oriġinatx minn sorsi aċċessibbli għall-pubbliku;

(g)	l-eżistenza ta’ teħid awtomatizzat ta’ deċiżjonijiet […]

[…]

4. Fejn il-kontrollur ikollu l-intenzjoni li jipproċessa d-data personali ulterjorment għal fini differenti minn dak li għalih tkun inkisbet id-data personali, il-kontrollur għandu jipprovdi lis-suġġett tad-data, qabel dak l-ipproċessar ulterjuri, b’informazzjoni dwar dak il-fini l-ieħor u bi kwalunkwe informazzjoni ulterjuri rilevanti kif imsemmi fil-paragrafu 2.

5. Il-paragrafi 1 sa 4 ma għandhomx japplikaw meta u sa fejn:

(a)	is-suġġett tad-data diġà għandu l-informazzjoni;

(b)

il-provvista ta’ tali informazzjoni tkun impossibbli li sseħħ jew tkun teħtieġ sforz sproporzjonat; b’mod partikolari għall-ipproċessar għal finijiet ta’ arkivjar fl-interess pubbliku, għal finijiet ta’ riċerka xjentifika jew storika jew għal finijiet ta’ statistika soġġett għall-kundizzjonijiet u s-salvagwardji msemmija fl-Artikolu 89(1) jew sa fejn l-obbligu msemmi fil-paragrafu 1 ta’ dan l-Artikolu jkun ser jagħmilha impossibbli jew ixekkel serjament il-kisba tal-objettivi ta’ dak l-ipproċessar. F’tali każijiet il-kontrollur għandu jieħu l-miżuri xierqa biex jipproteġi d-drittijiet u l-libertajiet u l-interessi leġittimi tas-suġġett tad-data, inkluż li jagħmel l-informazzjoni disponibbli għall-pubbliku;

(c)	il-kisba jew l-iżvelar hu espressament stabbilit mil-liġi tal-Unjoni jew ta’ Stat Membru li għaliha hu soġġett il-kontrollur u li tipprevedi miżuri adatti għall-protezzjoni tal-interessi leġittimi tas-suġġett tad-data; jew

(d)	fejn id-data personali jkollha tibqa’ kunfidenzjali suġġett għall-obbligu tas-segretezza professjonali regolata mil-liġi tal-Unjoni jew ta’ Stat Membru, inkluż l-obbligu statutorju ta’ segretezza.”

L-Artikolu 32 tal-imsemmi regolament, bit-titolu “Sigurtà tal-ipproċessar”, huwa fformulat kif ġej:

“1. Filwaqt li jikkunsidraw l-ogħla livell ta’ żvilupp tekniku, l-ispejjeż tal-implimentazzjoni u in-natura, l-ambitu, il-kuntest, u l-għanijiet tal-ipproċessar kif ukoll ir-riskju ta’ probabbiltà u gravità li jvarjaw għad-drittijiet u l-libertajiet tal-persuni fiżiċi, il-kontrollur u l-proċessur għandhom jimplimentaw miżuri tekniċi u organizzattivi xierqa, biex jiżguraw livell ta’ sigurtà xieraq għar-riskju, inklużi inter alia kif xieraq:

(a)	il-psewdonimizzazzjoni u l-kriptaġġ tad-data personali;

(b)	il-kapaċità li jiġu żgurati l-kunfidenzjalità, l-integrità, id-disponibbiltà u r-reżiljenza kontinwi tas-sistemi u s-servizzi ta’ pproċessar;

(c)	il-kapaċità li jiġu restawrati d-disponibbiltà u l-aċċess għad-data personali fil-pront fil-każ ta’ inċident fiżiku jew tekniku;

(d)	proċess sabiex tiġi ttestjata, ivvalutata u evalwata l-effettività tal-miżuri tekniċi u organizzattivi li jiżguraw is-sigurtà tal-ipproċessar.

2. Fl-evalwazzjoni tal-livell xieraq ta’ sigurtà ser jitqiesu b’mod partikolari r-riskji li jippreżenta l-ipproċessar, partikolarment minn qerda, telf, bidla, żvelar mhux awtorizzat ta’, jew aċċess għal data personali trażmessa, maħżuna jew ipproċessata mod ieħor, li jkun aċċidentali jew illegali.

3. L-osservanza ta’ kodiċi ta’ kondotta approvat kif imsemmi fl-Artikolu 40 jew mekkaniżmu ta’ ċertifikazzjoni approvat kif imsemmi fl-Artikolu 42 jistgħu jintużaw bħala element li bih tintwera konformità mar-rekwiżiti stipulati fil-paragrafu 1 ta’ dan l-Artikolu.

4. Il-kontrollur u l-proċessur għandhom jieħdu passi biex jiżguraw li kwalunkwe persuna fiżika li taġixxi taħt l-awtorità tal-kontrollur jew tal-proċessur li jkollhom aċċess għal data personali ma jipproċessawhiex ħlief fuq istruzzjonijiet mingħand il-kontrollur, sakemm ma jkunux meħtieġa jagħmlu dan taħt il-liġi tal-Unjoni jew ta’ Stat Membru.”

L-Artikolu 55 tal-istess regolament, bit-titolu “Kompetenza”, jipprovdi, fil-paragrafu 1 tiegħu:

“Kull awtorità superviżorja għandha tkun kompetenti biex twettaq il-kompiti assenjati lilha u l-eżerċizzju tas-setgħat ikkonferiti lilha f’konformità ma’ dan ir-Regolament fit-territorju tal-Istat Membru tagħha stess.”

L-Artikolu 57 tal-GDPR, bit-titolu “Kompiti”, jipprevedi, fil-paragrafu 1 tiegħu:

“Mingħajr preġudizzju għal kompiti oħra stabbiliti f’dan ir-Regolament, kull awtorità superviżorja għandha fit-territorju tagħha:

(a)	timmonitorja u tinforza l-applikazzjoni ta’ dan ir-Regolament;

[…]

(c)	tagħti pariri, f’konformità mal-liġi tal-Istat Membru, lill-parlament nazzjonali, lill-gvern, u lil istituzzjonijiet u korpi oħra dwar miżuri leġiżlattivi u amministrattivi marbuta mal-protezzjoni tad-drittijiet u l-libertajiet ta’ persuni fiżiċi fir-rigward tal-ipproċessar;

[…]”

L-Artikolu 58 ta’ dan ir-regolament, bit-titolu “Setgħat”, jipprovdi fil-paragrafu 3 tiegħu:

“Kull awtorità superviżorja għandu jkollha s-setgħat kollha konsultattivi u ta’ awtorizzazzjoni li ġejjin:

[…]

(b)	li tagħti, fuq l-inizjattiva tagħha stess jew fuq talba, opinjonijiet lill-parlament nazzjonali, il-gvern tal-Istat Membru jew, f’konformità mal-liġi tal-Istat Membru, lil istituzzjonijiet u korpi oħra kif ukoll lill-pubbliku dwar kwalunkwe kwistjoni marbuta mal-protezzjoni tad-data personali;

[…]”

L-Artikolu 77 tal-imsemmi regolament, bit-titolu “Dritt li jitressaq ilment quddiem awtorità superviżorja”, jipprevedi, fil-paragrafu 1 tiegħu:

“Mingħajr preġudizzju għal kwalunkwe rimedju amministrattiv jew ġudizzjarju ieħor, kull suġġett tad-data għandu d-dritt li jressaq ilment quddiem awtorità superviżorja, b’mod partikolari fl-Istat Membru tar-residenza abitwali tiegħu, il-post tax-xogħol tiegħu jew il-post tal-ksur allegat, jekk is-suġġett tad-data jqis li l-ipproċessar ta’ data personali dwaru jikser dan ir-Regolament.”

L-Artikolu 78 tal-GDPR, bit-titolu “Dritt għal rimedju ġudizzjarju effettiv kontra awtorità superviżorja” huwa fformulat kif ġej:

“1. Mingħajr preġudizzju għal kwalunkwe rimedju amministrattiv jew mhux ġudizzjarju ieħor, kull persuna fiżika jew ġuridika għandu jkollha d-dritt għal rimedju ġudizzjarju effettiv kontra deċiżjoni legalment vinkolanti ta’ awtorità superviżorja li tikkonċernaha.

2. Mingħajr preġudizzju għal kwalunkwe rimedju amministrattiv jew mhux ġudizzjarju ieħor, kull suġġett tad-data għandu d-dritt għal rimedju ġudizzjarju effettiv fejn l-awtorità superviżorja li hija kompetenti skont l-Artikoli 55 u 56 ma titrattax ilment jew ma tinformax lis-suġġett tad-data fi żmien tliet xhur dwar il-progress jew l-eżitu tal-ilment skont l-Artikolu 77.

3. Il-proċedimenti kontra awtorità superviżorja għandhom jitressqu quddiem il-qrati tal-Istat Membru fejn tkun stabbilita l-awtorità superviżorja.

4. Fejn jitressqu proċedimenti kontra deċiżjoni ta’ awtorità superviżorja li kienet preċeduta minn opinjoni jew deċiżjoni tal-Bord fil-mekkaniżmu ta’ konsistenza, l-awtorità superviżorja għandha tibgħat dik l-opinjoni jew id-deċiżjoni lill-qorti.”

Ir‑Regolament (UE) 2021/953

L-Artikolu 10 tar-Regolament (UE) 2021/953 tal-Parlament Ewropew u tal-Kunsill tal‑14 ta’ Ġunju 2021 dwar qafas għall-ħruġ, għall-verifika u għall-aċċettazzjoni ta’ ċertifikati COVID‑19 interoperabbli tat-tilqim, tat-testijiet u tal-fejqan (Ċertifikat COVID Diġitali tal-UE) għall-faċilitazzjoni tal-moviment liberu waqt il-pandemija tal-COVID‑19 (ĠU 2021, L 211, p. 1, rettifika fil-ĠU 2022, L 72, p. 7), kien jipprevedi fil-paragrafu 1 tiegħu:

“I[l-GDPR] għandu japplika għall-ipproċessar tad-data personali mwettqin fl-implimentazzjoni ta’ dan ir-Regolament.”

Id‑dritt Ungeriż

Skont l-Artikolu 2(1) tal-a koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12.) Korm. rendelet (id-Digriet tal-Gvern 60/2021 (II.12.), dwar iċ-ċertifikat tal-immunità għall-coronavirus), tat‑12 ta’ Frar 2021, fil-verżjoni tiegħu applikabbli għat-tilwima fil-kawża prinċipali (iktar ’il quddiem id-“Digriet 60/2021”):

“Iċ-ċertifikat tal-immunità għandu jkun fih:

(a)	l-isem tal-persuna kkonċernata;

(b)	in-numru tal-passaport tal-persuna kkonċernata, jekk għandha passaport;

(c)	in-numru u l-identifikatur dokumentarju tad-dokument tal-identità permanenti tal-persuna kkonċernata, jekk għandha dokument ta’ identità permanenti;

(d)	in-numru tas-serje taċ-ċertifikat tal-immunità;

(e)	meta tingħata prova tat-tilqim, id-data tat-tilqim;

(f)	meta tingħata prova tal-irkupru mill-infezzjoni, id-data tal-validità tal-prova;

(g)	kodiċi tal-ħżin tad-data li jinqara ottikament minn apparat tal-kompjuter, iġġenerat bl-użu tad-data elenkata fil-punt (a) sa (f);

(h)

l-indikazzjonijiet segwenti:

(ha)	‘Dan id-dokument huwa validu fuq preżentazzjoni ta’ karta tal-identità jew ta’ passaport’

(hb)	‘mhux trasferibbli’

(hc)	‘id-drittijiet marbuta mad-dokument jistgħu jiġu vverifikati fuq is-sit internet koronavirus.gov.hu’.”

19	Konformement mal-Artikolu 2(6) u (7) tad-Digriet 60/2021, iċ-ċertifikat tal-immunità għandu jinħareġ, lil kull persuna fiżika intitolata tirċevih, mill-awtorità tal-ħruġ jew ex officio, jew fuq talba.

L-Artikolu 3(3) ta’ dan id-digriet jipprovdi:

“Fil-każijiet previsti fl-Artikolu 2(6)(c) u (d) l-awtorità tal-ħruġ għandha tiġbor, permezz ta’ trażmissjoni awtomatizzata ta’ informazzjoni – jekk ikun il-każ permezz tad-dipartimenti rilevanti tal-összerendelési nyilvántartás [(ir-Reġistru tal-organizzazzjoni elettronika tad-data ta’ identifikazzjoni, l-Ungerija)] –

(a)	mill-operatur tal-EESZT [(Elektronikus Egszségügyi Szolgáltatási tér (l-Ispazju tas-Servizz Elettroniku tal-Kura tas-Saħħa)]: in-numru tas-sigurtà soċjali tas-suġġett tad-data, id-data msemmija fl-Artikolu 2(1)(e) u (g) kif ukoll id-data msemmija fil-paragrafu 1;

(b)	Mill-korp responsabbli għar-reġistrazzjoni tad-data u l-indirizzi personali: l-isem, l-identifikaturi tad-dokument mill-passaport u d-dokument tal-identità permanenti u l-indirizz tal-persuna kkonċernata.”

Il‑kawża prinċipali u d‑domandi preliminari

21	UC, persuna fiżika, inħariġlu mill-awtorità tal-ħruġ ċertifikat tal-immunità li jattesta t-tilqima tiegħu kontra l-COVID‑19, b’applikazzjoni tad-Digriet 60/2021.

Fit‑30 ta’ April 2021, UC beda proċedura amministrattiva relatata mal-ipproċessar tad-data personali li tikkonċernah, billi ressaq, quddiem l-awtorità nazzjonali, ilment abbażi tal-Artikolu 77(1) tal-GDPR, sabiex l-awtorità tal-ħruġ tiġi ordnata tikkonforma l-operazzjonijiet ta’ pproċessar tagħha mad-dispożizzjonijiet tal-GDPR. Fl-ilment tiegħu, huwa, b’mod partikolari jilmenta li l-awtorità tal-ħruġ la kienet irrediġiet u lanqas kienet ippubblikat dikjarazzjoni relatata mal-protezzjoni tad-data personali relatata mal-ħruġ taċ-ċertifikati tal-immunità u jsostni li ma kienx hemm informazzjoni dwar l-iskop u l-bażi legali tal-ipproċessar ta’ din id-data u lanqas dwar id-drittijiet tas-suġġett tad-data u l-mod li bih dawn jistgħu jiġu eżerċitati.

Fil-kuntest tal-proċedura mibdija abbażi ta’ dan l-ilment, l-awtorità tal-ħruġ iddikjarat li hija kienet qegħda twettaq il-kompiti tagħha marbuta mal-ħruġ taċ-ċertifikat tal-immunità abbażi tal-Artikolu 2 tad-Digriet 60/2021, filwaqt li l-ipproċessar tad-data personali għandu bħala bażi legali l-Artikolu 6(1)(e) tal-GDPR u l-Artikolu 9(2)(i) ta’ dan ir-regolament, għal dak li jirrigwarda l-ipproċessar tad-data personali li taqa’ taħt kategoriji partikolari.

Barra minn hekk, l-awtorità tal-ħruġ indikat li hija kienet tikseb id-data personali li hija kienet tipproċessa mingħand organu ieħor, konformement mad-dispożizzjonijiet tad-Digriet 60/2021. Abbażi ta’ dan, hija affermat li, skont l-Artikolu 14(5)(c) tal-GDPR, hija ma kellhiex l-obbligu li tipprovdi informazzjoni dwar l-ipproċessar ta’ din id-data. Madankollu, hija rrediġiet u ppubblikat fis-sit internet tagħha d-dikjarazzjoni ta’ protezzjoni tad-data personali mitluba.

Permezz ta’ deċiżjoni tal‑15 ta’ Novembru 2021, l-awtorità nazzjonali ċaħdet it-talba ta’ UC u kkonkludiet li ma kienx hemm obbligu ta’ informazzjoni minn naħa tal-awtorità tal-ħruġ, minħabba li l-ipproċessar ta’ data personali kkonċernat kien jaqa’ taħt l-eċċezzjoni prevista fl-Artikolu 14(5)(c) tal-GDPR.

B’mod partikolari, din l-awtorità qieset li d-Digriet 60/2021 kien jikkostitwixxi l-bażi legali tal-ipproċessar u li dan kien jimponi espressament fuq l-awtorità tal-ħruġ l-obbligu li tiġbor id-data inkwistjoni. Skont l-imsemmija awtorità nazzjonali, il-pubblikazzjoni tal-informazzjoni dwar l-ipproċessar tad-data personali mill-awtorità tal-ħruġ, fuq is-sit internet tagħha, kienet tikkostitwixxi prattika tajba u mhux obbligu legali.

Barra minn hekk, l-awtorità nazzjonali eżaminat ex officio jekk kinux jeżistu miżuri xierqa intiżi li jipproteġu l-interessi leġittimi tas-suġġett tad-data, fis-sens tat-tieni parti tas-sentenza tal-Artikolu 14(5)(c) tal-GDPR, u qieset li kellhom jitqiesu bħala tali d-dispożizzjonijiet tal-Artikoli 2, 3 u 5 sa7 tad-Digriet 60/2021.

28	UC ippreżenta rikors amministrattiv kontra din id-deċiżjoni quddiem il-Fġvárosi Törvényszék (il-Qorti tal-Belt ta’ Budapest, l-Ungerija), li annullat l-imsemmija deċiżjoni u ordnat lil din l-awtorità tibda proċedura ġdida.

Fis-sentenza tagħha, dik il-qorti qieset li l-eċċezzjoni prevista fl-Artikolu 14(5)(c) tal-GDPR ma kinitx applikabbli, peress li ċerta data personali prodotta b’rabta maċ-ċertifikati tal-immunità ma kinitx inkisbet mill-kontrollur mingħand organu ieħor, iżda kienet iġġenerata minn dan il-kontrollur stess, fil-kuntest tal-eżerċizzju tal-kompiti tiegħu. Dan kien il-każ, skont l-imsemmija qorti, f’dak li jirrigwarda n-numru tas-serje taċ-ċertifikat tal-immunità, id-data ta’ skadenza taċ-ċertifikat maħruġ lil persuna li qabditha l-marda, il-kodiċi QR li jidher fuq id-dokument, il-barcode u kodiċijiet alfanumeriċi oħra li jinsabu fl-ittra ta’ ħruġ taċ-ċertifikat kif ukoll f’dak li jirrigwarda d-data personali ġġenerata mill-proċess ta’ ġestjoni tal-fajls tal-kontrollur. Fil-fehma tal-istess qorti, kienet biss id-data personali miksuba mingħand organu ieħor li setgħet taqa’ taħt l-eċċezzjoni prevista fl-Artikolu 14(5)(c) tal-GDPR.

30	L-awtorità nazzjonali adixxiet lill-Kúria (il-Qorti Suprema, l-Ungerija), li hija l-qorti tar-rinviju, b’rikors straordinarju kontra din is-sentenza.

31	Huwa f’dan il-kuntest li dik il-qorti tistaqsi, qabelxejn, dwar jekk l-eċċezzjoni prevista fl-Artikolu 14(5)(c) tal-GDPR tistax tapplika għall-ipproċessar kollu ta’ data personali bl-esklużjoni ta’ dak li jirrigwarda data personali miġbura mingħand is-suġġett tad-data.

Fl-affermattiv, l-imsemmija qorti tistaqsi jekk, fil-kuntest ta’ proċedura ta’ tressiq ta’ lment taħt l-Artikolu 77(1) tal-GDPR, l-awtorità superviżorja hijiex kompetenti sabiex tivverifika, bil-għan li tiddeċiedi dwar l-applikabbiltà ta’ din l-eċċezzjoni, jekk id-dritt nazzjonali tal-kontrollur jipprevedix miżuri xierqa sabiex jiġu protetti l-interessi leġittimi tas-suġġett tad-data.

33	Fl-affermattiv, il-qorti tar-rinviju tixtieq tkun taf, fl-aħħar nett, jekk din il-verifika tirrigwardax ukoll in-natura xierqa tal-miżuri li l-kontrollur għandu l-obbligu li jimplimenta, skont l-Artikolu 32 tal-GDPR, sabiex tiġi ggarantita s-sigurtà tal-ipproċessar ta’ data personali.

F’dawn iċ-ċirkustanzi, il-Kúria (il-Qorti Suprema) iddeċidiet li tissospendi l-proċeduri quddiemha u li tagħmel lill-Qorti tal-Ġustizzja d-domandi preliminari li ġejjin:

“(1)

L-Artikolu 14(5)(c) ta[l-GDPR], flimkien mal-Artikolu 14(1) u mal-premessa 62 tal-GDPR, għandu jiġi interpretat fis-sens li l-eċċezzjoni prevista fl-Artikolu 14(5)(c) ma tagħmilx riferiment għad-data ġġenerata mill-kontrollur fil-kuntest tal-proċess rispettiv tiegħu, iżda biss għad-data li l-kontrollur ikun ġabar speċifikament mingħand persuna oħra?

(2)

Fil-każ li l-Artikolu 14(5)(c) tal-GDPR japplika wkoll għad-data ġġenerata mill-kontrollur fil-kuntest tal-proċess rispettiv tiegħu, id-dritt li jiġi ppreżentat ilment quddiem awtorità superviżorja, stabbilit fl-Artikolu 77(1) tal-GDPR, għandu jiġi interpretat fis-sens li persuna fiżika li tallega nuqqas ta’ twettiq tal-obbligu ta’ informazzjoni tista’, fil-kuntest tal-eżerċizzju tad-dritt tagħha li tippreżenta ilment, titlob li tiġi eżaminata l-kwistjoni dwar jekk, skont l-Artikolu 14(5)(c) tal-GDPR, id-dritt tal-Istat Membru jipprevedix miżuri adatti intiżi sabiex jiġu protetti l-interessi leġittimi tal-persuna kkonċernata [suġġett tad-data]?

(3)

Fil-każ ta’ risposta fl-affermattiv għat-tieni domanda, l-Artikolu 14(5)(c) tal-GDPR jista’ jiġi interpretat fis-sens li l-’miżuri adatti’ msemmija fl-imsemmija dispożizzjoni jeżiġu li l-leġiżlatur nazzjonali jittrasponi (permezz ta’ dispożizzjoni legali) il-miżuri dwar is-sigurtà tad-data stabbiliti fl-Artikolu 32 tal-GDPR?”

Fis‑16 ta’ Jannar 2024, il-Qorti tal-Ġustizzja stiednet lill-partijiet u lill-persuni kkonċernati msemmija fl-Artikolu 23 tal-Istatut tal-Qorti tal-Ġustizzja tal-Unjoni Ewropea jwieġbu għal ċerti mistoqsijiet bil-miktub, b’applikazzjoni tal-Artikolu 61 tar-Regoli tal-Proċedura tal-Qorti tal-Ġustizzja. Ir-rikorrenti u l-konvenut fil-kawża prinċipali, il-Gvern Ungeriż u Ċek kif ukoll il-Kummissjoni Ewropea wieġbu għal dawn il-mistoqsijiet.

Fuq id‑domandi preliminari

Fuq l‑ewwel domanda

Permezz tal-ewwel domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 14(5)(c) tal-GDPR għandux jiġi interpretat fis-sens li l-eċċezzjoni għall-obbligu ta’ informazzjoni lis-suġġett tad-data mill-kontrollur, prevista f’din id-dispożizzjoni, tirrigwarda biss id-data personali li l-kontrollur ikun ġabar mingħand persuna li ma tkunx is-suġġett tad-data jew jekk din tirrigwardax ukoll id-data personali li dan il-kontrollur ikun iġġenera huwa stess, fil-kuntest tal-eżerċizzju tal-kompiti tiegħu.

37	L-Artikolu 14(1), (2) u (4) ta’ dan ir-regolament jiddetermina l-informazzjoni li l-kontrollur għandu l-obbligu li jipprovdi lis-suġġett tad-data, fis-sens tal-Artikolu 4(1) tal-imsemmi regolament, meta d-data personali ma tkunx inġabret mingħand dan is-suġġett.

L-Artikolu 14(5) tal-istess regolament isemmi eċċezzjonijiet għal dan l-obbligu. Fost dawn l-eċċezzjonijiet, l-Artikolu 14(5)(c) jipprevedi li l-imsemmi obbligu ma għandux japplika meta u sa fejn il-kisba jew l-iżvelar tal-informazzjoni jkunu espressament previsti mid-dritt tal-Unjoni jew mid-dritt tal-Istat Membru li għalih ikun suġġett il-kontrollur u li jipprevedi miżuri xierqa intiżi għall-protezzjoni tal-interessi leġittimi tas-suġġett tad-data.

Sabiex jiġi ddeterminat jekk din l-eċċezzjoni tkoprix id-data personali ġġenerata mill-kontrollur stess, fil-kuntest tal-eżerċizzju tal-kompiti tiegħu, minn data miksuba mingħand persuna li ma tkunx is-suġġett tad-data, hemm lok, b’applikazzjoni ta’ ġurisprudenza stabbilita, li jittieħdu inkunsiderazzjoni mhux biss il-kliem tad-dispożizzjoni li tipprevediha, iżda wkoll il-kuntest ta’ din id-dispożizzjoni u l-għanijiet imfittxija mil-leġiżlazzjoni li din tifforma parti minnha. (ara, f’dan is-sens, is-sentenza tat‑12 ta’ Jannar 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2023:2, punt 32 u l-ġurisprudenza ċċitata).

40	Fl-ewwel lok, għandu jiġi ddeterminat, fid-dawl tal-formulazzjoni tal-Artikolu 14(5)(c) tal-GDPR, is-suġġett tal-“kisba jew l-iżvelar” previst f’din id-dispożizzjoni.

Fil-fatt, teżisti, l-ewwel nett, diverġenza bejn id-diversi verżjonijiet lingwistiċi tal-imsemmija dispożizzjoni. Il-verżjoni fil-lingwa Franċiża tal-istess dispożizzjoni tirreferi għall-kisba jew għall-iżvelar tal-“informazzjoni”, filwaqt li, qabel kollox, il-verżjonijiet fil-lingwa Ungeriża (“adat”), Estonjana (“isikuandmed”), Kroata (“podataka”), (Litwana (“duomenų”), Olandiża (“gegevens”), Portugiża (“dados”), Rumena (“datelor”) kif ukoll Svediża (“uppgifter”) jirreferu għall-kisba jew għall-iżvelar tad-“data”, sussegwentement, il-verżjoni fil-lingwa Finlandiża tinkludi kelma (“tietojen”) li tista’ tkopri kemm “data” kif ukoll “informazzjoni” u, fl-aħħar nett, il-verżjonijiet bil-lingwa Bulgara, Spanjola, biċ-Ċek, Daniża, Ġermaniża, Griega, Ingliża, Taljana, Latvjana, Maltija, Pollakka, Slovakka u Slovena ma jsemmux is-suġġett tal-kisba jew tal-iżvelar.

Issa, konformement ma’ ġurisprudenza wkoll stabbilita, il-formulazzjoni użata f’waħda mill-verżjonijiet lingwistiċi ta’ dispożizzjoni tad-dritt tal-Unjoni ma tistax isservi bħala bażi unika għall-interpretazzjoni ta’ din id-dispożizzjoni jew tingħata prijorità fuq il-verżjonijiet lingwistiċi l-oħra. Id-dispożizzjonijiet tad-dritt tal-Unjoni għandhom, fil-fatt, jiġu interpretati u applikati b’mod uniformi, fid-dawl tal-verżjonijiet stabbiliti fil-lingwi kollha tal-Unjoni. Fil-każ ta’ disparitajiet bejn id-diversi verżjonijiet lingwistiċi ta’ test tad-dritt tal-Unjoni, id-dispożizzjoni inkwistjoni għandha tiġi interpretata fid-dawl tal-istruttura ġenerali u tal-iskop tal-leġiżlazzjoni li din tkun tifforma parti minnha (sentenza tal‑21 ta’ Marzu 2024, Cobult, C‑76/23, EU:C:2024:253, punt 25 u l-ġurisprudenza ċċitata).

Fir-rigward tal-istruttura ġenerali tal-GDPR, l-Artikolu 14(5) ta’ dan ir-regolament għandu jinqara fid-dawl tal-premessi 61 u 62 tiegħu, li jirreferu, minn naħa, għad-“data personali […] [miksuba] u d-data personali […] żvelata” kif ukoll għar-“reġistrazzjoni jew l-iżvelar tad-data personali […] espressament stabbilit[i] bil-liġi,” u, min-naħa l-oħra, għall-informazzjoni […] [pprovduta]” jew “[li għandha tiġi pprovduta]”. L-interpretazzjoni li tgħid li “il-kisba jew l-iżvelar”, fis-sens tal-Artikolu 14(5)(c) tal-GDPR jirrigwardaw data personali hija barra minn hekk ikkonfermata mill-portata wiesgħa tal-kunċett ta’ “ipproċessar”, fis-sens tal-punt 2 tal-Artikolu 4 tal-GDPR, li jkopri kull operazzjoni applikata għal data personali (ara, f’dan is-sens, is-sentenza tal‑5 ta’ Ottubru 2023, Ministerstvo zdravotnictví (Applikazzjoni għall-apparati mobbli Covid‑19) (C‑659/22, EU:C:2023:745, punt 27).

Fir-rigward tal-iskop tal-leġiżlazzjoni li minnha jagħmel parti l-Artikolu 14(5)(c) tal-GDPR, huwa biżżejjed li jiġi osservat, hekk kif għamlet l-Avukata Ġenerali fil-punt 31 tal-konklużjonijiet tagħha, li r-ratio legis ta’ din l-eċċezzjoni jinsab fil-fatt li l-obbligu ta’ informazzjoni lis-suġġett tad-data impost mill-Artikolu 14(1), (2) u (4) ta’ dan ir-regolament ma jkunx iġġustifikat meta dispożizzjoni oħra tad-dritt tal-Unjoni jew tad-dritt ta’ Stat Membru tkun timponi, b’mod suffiċjentement komplet u vinkolanti, fuq il-kontrollur li dan jipprovdi, lil dan is-suġġett tad-data, informazzjoni dwar il-kisba jew l-iżvelar tad-data personali. Fil-fatt, fl-ipoteżi li taqa’ taħt dan l-Artikolu 14(5)(c), is-suġġetti tad-data għandhom ikollhom għarfien suffiċjenti tal-modalitajiet u tal-iskopijiet tal-kisba jew tal-iżvelar ta’ din id-data.

45	Konsegwentement, għandu jitqies, fid-dawl tal-formulazzjoni tal-Artikolu 14(5)(c) tal-GDPR fil-verżjonijiet lingwistiċi kollha tiegħu, li din id-dispożizzjoni għandha tinftiehem bħala li tirreferi għall-kisba jew għall-iżvelar tad-data personali.

It-tieni nett, għandu jiġi kkonstatat li l-formulazzjoni tal-Artikolu 14(5)(c) tal-GDPR ma tillimitax l-eċċezzjoni li dan jipprevedi biss għad-data personali miksuba mill-kontrollur mingħand persuna li ma tkunx is-suġġett tad-data, u lanqas ma teskludi d-data li tkun ġiet iġġenerata mill-kontrollur stess, fil-kuntest tal-eżerċizzju tal-kompiti tiegħu, minn tali data.

Minn dan isegwi li d-data personali li kienet is-suġġett ta’ “kisba”, fis-sens tal-imsemmija dispożizzjoni, mill-kontrollur hija dik kollha li dan tal-aħħar jiġbor mingħand persuna li ma tkunx is-suġġett tad-data u dik li huwa stess ikun iġġenera, fil-kuntest tal-eżerċizzju tal-kompiti tiegħu, minn data miksuba mingħand persuna li ma tkunx is-suġġett tad-data.

Fit-tieni lok, għandu jiġi osservat li l-kamp ta’ applikazzjoni ratione materiae tal-Artikolu 14 tal-GDPR huwa ddefinit b’mod negattiv meta mqabbel mal-Artikolu 13 ta’ dan ir-regolament. Hekk kif jirriżulta mit-titoli stess ta’ dawn id-dispożizzjonijiet, dan l-Artikolu 13 jirrigwarda l-informazzjoni li għandha tiġi pprovduta meta data personali tinġabar mingħand is-suġġett tad-data, filwaqt li dan l-Artikolu 14 jirrigwarda l-informazzjoni li għandha tiġi pprovduta meta d-data personali ma tkunx inġabret mingħand is-suġġett tad-data. Fid-dawl ta’ din id-dikotomija, il-każijiet kollha li fihom id-data ma tkunx inġabret mingħand is-suġġett tad-data jaqgħu taħt il-kamp ta’ applikazzjoni ratione materiae tal-Artikolu 14.

Għaldaqstant, mill-interpretazzjoni magħquda tal-Artikoli 13 u 14 tal-GDPR jirriżulta li kemm id-data personali miksuba mill-kontrollur mingħand persuna li ma tkunx is-suġġett tad-data kif ukoll id-data ġġenerata mill-kontrollur stess, li, min-natura tagħha stess, lanqas ma tkun inkisbet mingħand is-suġġett tad-data, jaqgħu taħt il-kamp ta’ applikazzjoni ta’ dan l-Artikolu 14. Minn dan jirriżulta li l-eċċezzjoni stabbilita fl-imsemmi Artikolu 14(5)(c) tkopri dawn iż-żewġ kategoriji ta’ data.

Fit-tielet lok, l-Artikolu 14(5)(c) tal-GDPR għandu jiġi interpretat f’sens konformi mal-għan imfittex minn dan ir-regolament, li jikkonsisti b’mod partikolari, hekk kif jirriżulta mill-Artikolu 1 tiegħu, moqri fid-dawl tal-premessi 1 u 10 tiegħu, f’li jiġi ggarantit livell għoli ta’ protezzjoni tal-libertajiet u tad-drittijiet fundamentali tal-persuni fiżiċi, b’mod partikolari tad-dritt tagħhom għall-ħajja privata f’dak li jirrigwarda l-ipproċessar tad-data personali, stabbilit fl-Artikolu 8(1) tal-Karta tad-Drittijiet Fundamentali u fl-Artikolu 16(1) TFUE. (ara, f’dan is-sens, is-sentenza tas‑7 ta’ Marzu 2024, IAB Europe, C‑604/22, EU:C:2024:214, punt 53 u l-ġurisprudenza ċċitata).

51	F’dan ir-rigward, mill-premessa 63 tal-GDPR jirriżulta li l-leġiżlatur tal-Unjoni ried li suġġett tad-data, fis-sens ta’ dan ir-regolament, ikollu d-dritt ta’ aċċess għad-data personali miġbura fir-rigward tiegħu sabiex isir jaf bl-ipproċessar li jsir minnha u sabiex jivverifika l-legalità tiegħu.

Għalhekk, il-kontrollur jista’ jiġi eżentat mill-obbligu ta’ informazzjoni tiegħu li huwa normalment ikollu fil-konfront ta’ suġġett tad-data bil-kundizzjoni li dan is-suġġett tad-data jkun f’pożizzjoni li jeżerċita kontroll fuq id-data personali tiegħu u li jeżerċita d-drittijiet li jagħtih il-GDPR.

Konformement mal-għan imfittex minn dan ir-regolament, l-eċċezzjoni għall-obbligu ta’ informazzjoni lis-suġġett tad-data, prevista fl-Artikolu 14(5)(c) tal-GDPR, teħtieġ, minn naħa, li l-kisba jew l-iżvelar tad-data personali mill-kontrollur jkunu espressament previsti mid-dritt tal-Unjoni jew mid-dritt tal-Istat Membru li għalih ikun suġġett dan il-kontrollur. Min-naħa l-oħra, dan id-dritt għandu jipprevedi miżuri xierqa intiżi li jipproteġu l-interessi leġittimi tas-suġġett tad-data.

Minn dan jirriżulta li, sabiex tkun kompletament konformi mal-għan imfittex mill-GDPR, l-applikazzjoni tal-Artikolu 14(5)(c) ta’ dan ir-regolament hija suġġetta għall-osservanza skrupluża tal-kundizzjonijiet li din id-dispożizzjoni tipprevedi, jiġifieri, b’mod partikolari, għall-eżistenza ta’ livell ta’ protezzjoni tas-suġġett tad-data li jkun tal-inqas ekwivalenti għal dak iggarantit mill-Artikolu 14(1) sa (4) tal-imsemmi regolament.

Fid-dawl tar-raġunijiet preċedenti, ir-risposta għall-ewwel domanda għandha tkun li l-Artikolu 14(5)(c) tal-GDPR għandu jiġi interpretat fis-sens li l-eċċezzjoni għall-obbligu ta’ informazzjoni lis-suġġett tad-data mill-kontrollur, prevista f’din id-dispożizzjoni, tirrigwarda mingħajr distinzjoni d-data personali kollha li l-kontrollur ma jkunx ġabar direttament mingħand is-suġġett tad-data, kemm jekk din id-data tkun inkisbet mill-kontrollur mingħand persuna li ma tkunx is-suġġett tad-data kif ukoll jekk din tkun ġiet iġġenerata mill-kontrollur stess, fil-kuntest tal-eżerċizzju tal-kompiti tiegħu.

Fuq it‑tieni u t‑tielet domanda

Permezz tat-tieni u tat-tielet domanda tagħha, li għandhom jiġu eżaminati flimkien, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 14(5)(c) u l-Artikolu 77(1) tal-GDPR għandhomx jiġu interpretati fis-sens li, fil-kuntest ta’ proċedura ta’ tressiq ta’ lment, l-awtorità superviżorja hija kompetenti sabiex tivverifika jekk id-dritt tal-Istat Membru li għalih ikun suġġett il-kontrollur jipprevedix miżuri xierqa sabiex jiġu protetti l-interessi leġittimi tas-suġġett tad-data, għall-finijiet tal-applikazzjoni tal-eċċezzjoni prevista f’dan l-Artikolu 14(5)(c), u, fl-affermattiv, jekk din il-verifika tirrigwardax ukoll in-natura xierqa tal-miżuri li l-kontrollur għandu l-obbligu li jimplimenta, skont l-Artikolu 32 ta’ dan ir-regolament, sabiex tiġi ggarantita s-sigurtà tal-ipproċessar ta’ data personali.

Fl-ewwel lok, għandu jitfakkar li, skont l-Artikolu 77(1) tal-GDPR, bla ħsara għal kull rikors amministrattiv jew ġudizzjarju ieħor, kull suġġett tad-data għandu d-dritt iressaq lment quddiem awtorità superviżorja jekk huwa jkun iqis li l-ipproċessar ta’ data personali li tkun tirrigwardah ikun jikkostitwixxi ksur ta’ dan ir-regolament.

F’dak li jirrigwarda l-kompetenza tal-awtoritajiet superviżorji, l-Artikolu 55(1) tal-imsemmi regolament jipprevedi li kull awtorità superviżorja hija kompetenti, fit-territorju tal-Istat Membru li taħtu hija tkun taqa’, sabiex teżerċita l-kompiti u s-setgħat mogħtija lilha bis-saħħa tal-istess regolament.

59	Fir-rigward ta’ dawn il-kompiti, l-Artikolu 57(1)(a) tal-GDPR jipprovdi li kull awtorità superviżorja għandha tikkontrolla, fit-territorju tagħha, l-applikazzjoni ta’ dan ir-regolament u għandha tinforza l-osservanza tiegħu.

60	Il-GDPR ma jinkludi ebda dispożizzjoni ta’ natura li teskludi ċerti aspetti tal-applikazzjoni tal-eċċezzjoni prevista fl-Artikolu 14(5)(c) ta’ dan ir-regolament mill-kompetenza ta’ dawn l-awtoritajiet superviżorji.

Taħt din id-dispożizzjoni, il-kontrollur huwa eżentat milli jipprovdi lis-suġġett tad-data l-informazzjoni msemmija fl-Artikolu 14(1), (2) u (4) tal-GDPR meta, u sa fejn, minn naħa, il-kisba jew l-iżvelar tad-data personali jkunu espressament previsti mid-dritt tal-Unjoni jew mid-dritt tal-Istat Membru li għalih ikun suġġett il-kontrollur u, min-naħa l-oħra, dan id-dritt ikun jipprevedi miżuri xierqa intiżi għall-protezzjoni tal-interessi leġittimi tas-suġġett tad-data.

62	Għaldaqstant, ilment taħt l-Artikolu 77(1) tal-GDPR jista’ jkun ibbażat fuq ksur tal-obbligu ta’ informazzjoni mill-kontrollur, ibbażat fuq in-nuqqas ta’ osservanza tal-kundizzjonijiet għall-applikazzjoni tal-eċċezzjoni prevista fl-Artikolu 14(5)(c) ta’ dan ir-regolament.

63	Fir-rigward tal-ewwel kundizzjoni, imfakkra fil-punt 61 ta’ din is-sentenza, l-awtorità superviżorja li quddiemha jitressaq tali lment jista’ jkollha tivverifika jekk id-dritt tal-Unjoni jew id-dritt nazzjonali jipprevedix li l-kontrollur għandu jikseb jew jiżvela data personali.

Fir-rigward tat-tieni kundizzjoni, għandu jiġi kkonstatat, hekk kif għamlet l-Avukata Ġenerali fil-punti 67 u 69 tal-konklużjonijiet tagħha, li l-portata tal-espressjoni “miżuri intiżi li jipproteġu l-interessi leġittimi tas-suġġett tad-data” ma hijiex ippreċiżata fil-GDPR. Madankollu, id-dispożizzjonijiet tad-dritt tal-Unjoni jew tad-dritt tal-Istat Membru li jkunu jipprevedu tali miżuri u li għalihom ikun suġġett il-kontrollur għandhom jiggarantixxu, hekk kif irrilevat fil-punt 54 ta’ din is-sentenza, livell ta’ protezzjoni tas-suġġett tad-data fir-rigward tal-ipproċessar tad-data personali tiegħu li jkun tal-inqas ekwivalenti għal dak previst fl-Artikolu 14(1) sa (4) ta’ dan ir-regolament. Għalhekk, dawn id-dispożizzjonijiet għandhom ikunu ta’ natura li jqiegħdu lis-suġġett tad-data f’pożizzjoni li jeżerċita kontroll fuq id-data personali tiegħu u li jeżerċita d-drittijiet mogħtija lilu mill-GDPR.

65	Għal dan l-għan, huwa importanti b’mod partikolari li l-imsemmija dispożizzjonijiet ikunu jindikaw, b’mod ċar u prevedibbli, is-sors li minnu s-suġġett tad-data jikseb informazzjoni dwar l-ipproċessar tad-data personali li tkun tikkonċernah.

Fil-kuntest tat-trażmissjoni tad-data personali bejn organi ta’ Stat Membru u fil-kuntest tal-ġenerazzjoni ta’ tali data minn kontrollur abbażi ta’ data miġbura mingħand persuna li ma tkunx is-suġġett tad-data, għandu jiġi rrilevat, li, fil-każ ta’ lment minn dan tal-aħħar, hija l-awtorità superviżorja li għandha tivverifika, b’mod partikolari, jekk id-dritt nazzjonali jew id-dritt tal-Unjoni rilevanti jiddefinixxix bi preċiżjoni suffiċjenti it-tipi differenti ta’ data personali li għandha tinkiseb jew li għandha tiġi żvelata, kif ukoll id-data personali li l-kontrollur ikollu jiġġenera fil-kuntest tal-eżerċizzju tal-kompiti tiegħu u jekk dan id-dritt jipprevedix b’liema mod is-suġġett tad-data għandu effettivament aċċess għall-informazzjoni msemmija fl-Artikolu 14(1), (2) u (4) tal-GDPR.

Hekk kif tenfasizza l-Kummissjoni fl-osservazzjonijiet bil-miktub tagħha, il-verifika, minn awtorità superviżorja, tal-kwistjoni dwar jekk il-kundizzjonijiet kollha għall-applikazzjoni tal-eċċezzjoni prevista fl-Artikolu 14(5)(c) tal-GDPR humiex issodisfatti ma taqax madankollu taħt eżami tal-validità tad-dispożizzjonijiet rilevanti tad-dritt nazzjonali. Din l-awtorità tiddeċiedi biss dwar jekk, f’każ partikolari, il-kontrollur għandux dritt jew le jinvoka l-eċċezzjoni prevista f’din id-dispożizzjoni fir-rigward tas-suġġett tad-data.

Fir-rigward tal-eżitu ta’ tali verifika, għandu jitfakkar li, skont l-Artikolu 78 ta’ dan ir-regolament, meta, f’każ partikolari, l-awtorità superviżorja tiddeċiedi li l-ilment tas-suġġett tad-data ma huwiex fondat, dan tal-aħħar għandu jkollu, fl-Istat Membru tiegħu, dritt għal rimedju ġudizzjarju effettiv kontra din id-deċiżjoni ta’ ċaħda.

Għall-kuntrarju, meta din l-awtorità tkun tqis li l-ilment huwa fondat u li l-kundizzjonijiet għall-applikazzjoni tal-eċċezzjoni prevista fl-Artikolu 14(5)(c) tal-imsemmi regolament ma humiex issodisfatti, hija għandha tordna lill-kontrollur jipprovdi l-informazzjoni, konformement mal-Artikolu 14(1), (2) u (4) tal-istess regolament, lis-suġġett tad-data.

Fit-tieni lok, fir-rigward tal-kwistjoni dwar jekk din il-verifika għandhiex tirrigwarda wkoll in-natura xierqa, fid-dawl tal-Artikolu 32 tal-GDPR, tal-miżuri li l-kontrollur għandu l-obbligu jimplimenta sabiex jiżgura s-sigurtà tal-ipproċessar, għandu jiġi enfasizzat li l-Artikolu 14(5)(c) ta’ dan ir-regolament jistabbilixxi eċċezzjoni biss għall-obbligu ta’ informazzjoni previst fl-Artikolu 14(1), (2) u (4) tal-imsemmi regolament, mingħajr ma jipprevedi deroga mill-obbligi li jinsabu f’dispożizzjonijiet oħra tal-istess regolament, fosthom l-Artikolu 32 tiegħu.

Dan l-Artikolu 32 jobbliga lill-kontrollur u lill-proċessur eventwali tiegħu jimplimentaw il-miżuri tekniċi u organizzattivi xierqa sabiex jiġi ggarantit livell ta’ sigurtà tal-ipproċessar tad-data personali li jkun adegwat. In-natura xierqa ta’ tali miżuri għandha tiġi evalwata b’mod konkret, billi jittieħdu inkunsiderazzjoni r-riskji marbuta mal-ipproċessar ikkonċernat u billi jiġi evalwat jekk in-natura, il-kontenut u l-implimentazzjoni ta’ dawn il-miżuri humiex adattati għal dawn ir-riskji (ara, f’dan is-sens, is-sentenzi tal‑14 ta’ Diċembru 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punti 42, 46 u 47, kif ukoll tal‑25 ta’ Jannar 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, punti 37 u 38).

Fid-dawl tal-kliem rispettiv ta’ dawn iż-żewġ dispożizzjonijiet, għandu jiġi rrilevat li l-obbligi stabbiliti fl-Artikolu 32 tal-GDPR, li għandhom jiġu osservati fi kwalunkwe każ u indipendentement mill-eżistenza jew le ta’ obbligu ta’ informazzjoni skont l-Artikolu 14 ta’ dan ir-regolament, huma ta’ natura u ta’ portata differenti meta mqabbla mal-obbligu ta’ informazzjoni previst f’dan l-Artikolu 14.

Għalhekk, fil-każ ta’ lment taħt l-Artikolu 77(1) tal-GDPR, minħabba li l-kontrollur ikun invoka, b’mod żbaljat, l-eċċezzjoni prevista fl-Artikolu 14(5)(c) ta’ dan ir-regolament, is-suġġett tal-verifiki li għandhom jitwettqu mill-awtorità superviżorja huwa limitat mill-kamp ta’ applikazzjoni tal-Artikolu 14 tal-imsemmi regolament biss, peress li l-osservanza tal-Artikolu 32 tiegħu ma tagħmilx parti minn dawn il-verifiki.

Fid-dawl tar-raġunijiet preċedenti, ir-risposta għat-tieni u għat-tielet domanda għandha tkun li l-Artikolu 14(5)(c) u l-Artikolu 77(1) tal-GDPR għandhom jiġu interpretati fis-sens li, fil-kuntest ta’ proċedura ta’ tressiq ta’ lment, l-awtorità superviżorja hija kompetenti sabiex tivverifika jekk id-dritt tal-Istat Membru li għalih ikun suġġett il-kontrollur jipprevedix miżuri xierqa sabiex jiġu protetti l-interessi leġittimi tas-suġġett tad-data, għall-finijiet tal-applikazzjoni tal-eċċezzjoni prevista f’dan l-Artikolu 14(5)(c). Madankollu, din il-verifika ma tirrigwardax in-natura xierqa tal-miżuri li l-kontrollur għandu l-obbligu jimplimenta, skont l-Artikolu 32 ta’ dan ir-regolament, sabiex tiġi ggarantita s-sigurtà tal-ipproċessar ta’ data personali.

Fuq l‑ispejjeż

Peress li l-proċedura għandha, fir-rigward tal-partijiet fil-kawża prinċipali, in-natura ta’ kwistjoni mqajma quddiem il-qorti tar-rinviju, hija dik il-qorti li tiddeċiedi fuq l-ispejjeż. L-ispejjeż sostnuti għas-sottomissjoni tal-osservazzjonijiet lill-Qorti tal-Ġustizzja, barra dawk tal-imsemmija partijiet, ma jistgħux jitħallsu lura.

Għal dawn il-motivi, Il-Qorti tal-Ġustizzja (It‑Tielet Awla) taqta’ u tiddeċiedi:

L-Artikolu 14(5)(c) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data),

għandu jiġi interpretat fis-sens li:

l-eċċezzjoni għall-obbligu ta’ informazzjoni lis-suġġett tad-data mill-kontrollur, prevista f’din id-dispożizzjoni, tirrigwarda mingħajr distinzjoni d-data personali kollha li l-kontrollur ma jkunx ġabar direttament mingħand is-suġġett tad-data, kemm jekk din id-data tkun inkisbet mill-kontrollur mingħand persuna li ma tkunx is-suġġett tad-data kif ukoll jekk din tkun ġiet iġġenerata mill-kontrollur stess, fil-kuntest tal-eżerċizzju tal-kompiti tiegħu.

L-Artikolu 14(5)(c) u l-Artikolu 77(1) tar-Regolament 2016/679

għandhom jiġu interpretati fis-sens li:

fil-kuntest ta’ proċedura ta’ tressiq ta’ lment, l-awtorità superviżorja hija kompetenti sabiex tivverifika jekk id-dritt tal-Istat Membru li għalih ikun suġġett il-kontrollur jipprevedix miżuri xierqa sabiex jiġu protetti l-interessi leġittimi tas-suġġett tad-data, għall-finijiet tal-applikazzjoni tal-eċċezzjoni prevista f’dan l-Artikolu 14(5)(c). Madankollu, din il-verifika ma tirrigwardax in-natura xierqa tal-miżuri li l-kontrollur għandu l-obbligu jimplimenta, skont l-Artikolu 32 ta’ dan ir-regolament, sabiex tiġi ggarantita s-sigurtà tal-ipproċessar ta’ data personali.

Firem

( *1 ) Lingwa tal-kawża: l-Ungeriż.

( i ) L-isem ta’ din il-kawża huwa fittizju. Dan l-isem ma jikkorrispondi għall-isem reali ta’ ebda waħda mill-partijiet fil-proċedura.