KONKLUŻJONIJIET TAL-AVUKAT ĠENERALI

BOT

ippreżentati fl-24 ta’ Ottubru 2017 (1)

Kawża C-210/16

Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

vs

Wirtschaftsakademie Schleswig-Holstein GmbH,

fil-preżenza ta’

Facebook Ireland Ltd,

Vertreter des Bundesinteresses beim Bundesverwaltungsgericht

[talba għal deċiżjoni preliminari mressqa mill-Bundesverwaltungsgericht (qorti amministrattiva federali, il‑Ġermanja)]

“Rinviju għal deċiżjoni preliminari – Direttiva 95/46/KE – Artikoli 2, 4 u 28 – Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ dik id-data – Ordni intiża għal diżattivazzjoni ta’ paġna tal-fans fuq in-netwerk soċjali Facebook – Kunċett ta’ ‘kontrollur’ – Responsabbiltà tal-amministratur ta’ paġna tal-fans – Responsabbiltà konġunta – Dritt nazzjonali applikabbli – Portata tas-setgħat ta’ intervent tal-awtoritajiet ta’ superviżjoni”

1.        It-talba għal deċiżjoni preliminari preżenti tirrigwarda l-interpretazzjoni tal-Artikoli 2(d), 4(1), 17(2) u 28(3) u (6) tad-Direttiva 95/46/KE tal-Parlament Ewropew u tal-Kunsill, tal-24 ta’ Ottubru 1995, dwar il-protezzjoni ta’ individwi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ dik id-data (2), hekk kif emendata bir-Regolament (KE) Nru 1882/2003 tal-Parlament Ewropew u tal-Kunsill, tad-29 ta’ Settembru 2003 (3).

2.        Din it-talba ġiet imressqa fil-kuntest ta’ kawża bejn Wirtschaftsakademie Schleswig-Holstein GmbH, kumpannija rregolata mid-dritt privat, speċjalizzata fil-qasam tal-edukazzjoni (iktar ’il quddiem “Wirtschaftsakademie”), u l-Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein, awtorità reġjonali tal-protezzjoni tad-data ta’ Schleswig-Holstein (iktar ’il quddiem l-“ULD”) dwar il-legalità ta’ ordni maħruġa minn din tal-aħħar kontra Wirtschaftsakademie fejn ġiet mitluba tiddiżattiva “paġna tal-fans” (Fanpage) ospitata fuq is-sit ta’ Facebook Ireland Ltd (iktar ’il quddiem “Facebook Ireland”).

3.        Din l-ordni ġiet immotivata mill-allegat ksur tad-dispożizzjonijiet tad-dritt Ġermaniż li jittrasponu lid-Direttiva 95/46, b’mod partikolari minħabba l-fatt li dawk li jaċċessaw paġna tal-fans ma jiġux avżati li l-informazzjoni ta’ natura personali tagħhom tkun is-suġġett ta’ ġabra min-netwerk soċjali Facebook (iktar ’il quddiem “Facebook”) permezz ta’ cookies iddepożitati fuq il-hard disk tagħhom, fejn din il-ġabra titwettaq sabiex jiġu stabbiliti statistiċi ta’ udjenza li jintbagħtu għand l-amministratur ta’ din il-paġna u li tippermetti t-tixrid minn Facebook ta’ reklamar immirat.

4.        L-isfond ta’ din il-kawża huwa kkostitwit mill-fenomenu ta’ “webtracking”, li jikkonsisti fl-osservazzjoni u fl-analiżi tal-aġir tal-utenti tal-internet għal finijiet kummerċjali u ta’ marketing. Dan il-webtracking jippermetti b’mod partikolari li jiġu identifikati l-interessi prinċipali tal-utenti tal-internet, permezz tal-osservazzjoni tal-aġir ta’ navigazzjoni tagħhom. Għaldaqstant aħna nitkellmu fuq “webtracking tal-aġir”. Ġeneralment, dan tal-aħħar iseħħ permezz tal-użu tal-cookies.

5.        Dawn il-cookies huma fajls xhieda li jiġu rreġistrati fuq il-kompjuter tal-utent tal-internet meta huwa jikkonsulta sit internet.

6.        Il-webtracking normalment jintuża bil-għan ta’ ottimizzazzjoni u sabiex jiġi kkonfigurat b’mod iktar effettiv sit internet. Huwa jippermetti wkoll lil min jirreklama sabiex jindirizza b’mod immirat lill-oqsma differenti tal-pubbliku.

7.        Skont id-definizzjoni li ta l-grupp ta’ ħidma “Artikolu 29” dwar il-protezzjoni tad-data (4) fl-Opinjoni 2/2010, tat-22 ta’ Ġunju 2010, iddedikata lir-reklamar ibbażat fuq l-aġir online (5), “[i]r-reklamar ibbażat fuq l-aġir huwa forma ta’ reklamar li huwa bbażat fuq l-osservazzjoni tal-aġir tal-individwi maż-żmien. Huwa intiż sabiex jistudja l-karatteristiċi ta’ dan l-aġir permezz tal-azzjonijiet tagħhom (żjarat suċċessivi lejn siti internet, interazzjonijiet, kliem prinċipali, produzzjoni ta’ kontenut online eċċ.), sabiex jistabbilixxi profil speċifiku u jipproponi lill-persuni kkonċernati xi reklamar adattat għall-interessi prinċipali b’hekk dedotti” (6). Sabiex jinkiseb dan ir-riżultat, l-informazzjoni li ġejja mill-browser u mit-tagħmir terminali tal-individwu għandha tinġabar u imbagħad tintuża. It-teknika prinċipali ta’ rrintraċċar li tippermetti li jiġu segwiti l-utenti fuq l-internet hija bbażata fuq “cookie plotters” (7). B’hekk, “ir-reklamar ibbażat fuq l-aġir juża informazzjoni miġbura mill-aġir tan-navigazzjoni ta’ utenti tal-internet bħall-paġni aċċessati jew ir-riċerki mwettqa, sabiex jintgħażlu r-reklami li ser jiġu ppreżentati lilu” (8).

8.        Ir-rintraċċar tal-aġir ta’ navigazzjoni jippermetti wkoll sabiex jiġu pprovduti l-operaturi ta’ siti internet bi statistiċi ta’ udjenza dwar il-persuni li jikkonsultaw lil dawn is-siti.

9.        Il-ġabra u l-użu tad-data ta’ natura personali bl-iskop li jiġu stabbiliti statistiċi ta’ udjenza u sabiex jinxtered reklamar immirat għandhom jissodisfaw xi kundizzjonijiet sabiex jikkonformaw mar-regoli tal-protezzjoni tad-data ta’ natura personali stabbiliti mid-Direttiva 95/46. B’mod partikolari, dan l-ipproċessar ma jistax iseħħ mingħajr ma tingħata informazzjoni u mingħajr il-kunsens preċedenti tal-persuni kkonċernati.

10.      L-eżami ta’ din il-konformità tissupponi madankollu li jiġu riżolti minn qabel diversi kwistjonijiet li jirrigwardaw lid-definizzjoni ta’ dak li jikkostitwixxi kontrollur, tad-determinazzjoni tad-dritt nazzjonali applikabbli, u tal-awtorità kompetenti sabiex teżerċita s-setgħat ta’ intervent tagħha.

11.      Il-kwistjoni li tirrigwarda l-identifikazzjoni tal-kontrollur issir partikolarment diffiċli f’sitwazzjoni fejn operatur ekonomiku jiddeċiedi sabiex ma jinstallax fuq is-sit internet tiegħu, l-għodod neċessarji għall-istabbiliment ta’ statistiċi ta’ udjenza u għat-tixrid ta’ reklamar immirat, iżda li juża netwerk soċjali bħalma huwa Facebook billi jiftaħ paġna tal-fans sabiex jibbenefika minn għodod simili.

12.      Il-kwistjonijiet relatati mad-determinazzjoni tad-dritt nazzjonali applikabbli u tal-awtorità kompetenti sabiex teżerċita s-setgħat ta’ intervent tagħha isiru diffiċli wkoll meta l-ipproċessar tad-data ta’ natura personali inkwistjoni twassal għall-intervent ta’ diversi organi li jinsabu kemm barra l-Unjoni Ewropea u kemm ġo fiha.

13.      Fi żmien meta l-awtoritajiet ta’ superviżjoni ta’ diversi Stati Membri ddeċidew, waqt dawn l-aħħar xhur, sabiex jimponu multi fuq Facebook minħabba l-ksur ta’ regoli dwar l-protezzjoni tad-data tal-utenti tiegħu (9), il-kawża taħt eżami ser tippermetti lill-Qorti tal-Ġustizzja sabiex tippreċiża l-firxa tas-setgħat ta’ intervent li tiddisponi minnhom awtorità ta’ superviżjoni bħalma hija l-ULD fir-rigward tal-ipproċessar ta’ data ta’ natura personali li jimplika l-parteċipazzjoni ta’ diversi atturi.

14.      Sabiex jinftiehmu sew il-kwistjonijiet legali tal-kawża preżenti, għandu qabel kollox jiġi deskritt il-kuntest fattwali tal-kawża prinċipali.

I.      Il-fatti tal-kawża prinċipali u d-domandi preliminari

15.      Wirtschaftsakademie toffri servizzi ta’ taħriġ permezz ta’ paġna tal-fans ospitata fuq is-sit tan-netwerk soċjali Facebook.

16.      Il-paġni tal-fans huma kontijiet tal-utenti li jistgħu jiġu kkonfigurati fuq Facebook, b’mod partikolari minn individwi jew minn impriżi. Sabiex jagħmlu dan, l-amministratur tal-paġna tal-fans ikollu jirreġistra ruħu ma’ Facebook u jkun jista’ b’hekk juża pjattaforma li tinħoloq minn dan tal-aħħar sabiex jippreżenta ruħu lill-utenti ta’ din in-netwerk soċjali u jippubblikaw komunikazzjonijiet ta’ kull tip, fid-dawl, b’mod partikolari, li jiżviluppa attività kummerċjali.

17.      L-amministraturi tal-paġni tal-fans jistgħu jiksbu l-istatistiċi ta’ udjenza permezz tal-għodda “Facebook Insights” li titqiegħed għad-dispożizzjoni tagħhom minn Facebook mingħajr ħlas, taħt il-kuntest ta’ kundizzjonijiet tal-użu li ma jistgħux jinbidlu. Dawn l-istatistiċi jinħadmu minn Facebook u huma ppersonalizzati mill-amministratur ta’ paġna tal-fans permezz ta’ diversi kriterji li jista’ jagħżel, bħall-età jew is-sess. L-imsemmija statistiċi jipprovdu b’hekk xi informazzjoni anonima fuq il-karatteristiċi tal-użanzi tal-persuni li kkonsultaw il-paġna tal-fans, li jippermettu b’hekk lill-amministraturi ta’ dawn il-paġni sabiex jimmiraw aħjar il-komunikazzjoni tagħhom.

18.      Sabiex jiġu stabbiliti tali statistiċi ta’ udjenza, mill-inqas cookie li fiha numru ta’ identifikazzjoni uniku, li jibqa attiv għal sentejn, jinħażen minn Facebook fuq il-hard disk tal-persuna li kkonsultat il-paġna tal-fans. In-numru ta’ identifikazzjoni, li jista’ jiġi konness mad-data ta’ konnessjoni tal-utenti rreġistrati fuq Facebook, jinġabar u jiġi pproċessat fil-mument li jinfetħu l-paġni Facebook.

19.      B’deċiżjoni tat-3 ta’ Novembru 2011, l-ULD ordnat lil Wirtschaftsakademie, konformement mal-ewwel sentenza tal-Artikolu 38(5) tal-Bundesdatenschutzgesetz (liġi federali dwar il-protezzjoni tad-data, iktar ’il quddiem il-“BDSG”) (10), sabiex tiddiżattiva l-paġna tal-fans li hija ħolqot fuq Facebook fuq l-indirizz www.facebook.com/wirtschaftsakademie, taħt piena ta’ pagamenti ta’ penalità fil-każ ta’ nuqqas ta’ eżekuzzjoni fit-terminu previst, minħabba l-fatt li la Wirtschaftsakademie u lanqas Facebook ma informaw lil min jaċċessa lill-paġna tal-fans li din tal-aħħar kienet qed tiġbor data ta’ natura personali permezz ta’ cookies u li wara kienet qed tipproċessa lil din id-data. Wirtschaftsakademie ppreżentat ilment kontra din id-deċiżjoni fejn sostniet, essenzjalment, li ma kinitx responsabbli, fir-rigward tad-dritt għall-protezzjoni tad-data applikabbli, la għall-ipproċessar imwettaq minn Facebook, u lanqas għall-cookies installati minn dan tal-aħħar.

20.      B’deċiżjoni tas-16 ta’ Diċembru 2011, l-ULD ċaħdet dan l-ilment billi kkunsidrat li r-responsabbiltà ta’ Wirtschaftsakademie bħala fornitur ta’ servizzi, kienet ġiet stabbilita bl-applikazzjoni tal-punt 4 tal-Artikolu 3(3) u tal-Artikolu 12(1) tat-Telemediengesetz (iktar ’il quddiem il-“liġi dwar il-mezzi ta’ komunikazzjoni elettroniċi”) (11). Billi ħolqot paġna tal-fans, Wirtschaftsakademie tagħmel ukoll kontribuzzjoni attiva u volontarja lejn il-ġabra ta’ data ta’ natura personali minn Facebook, li hija ser tapprofitta minnha permezz tal-istatistiċi tal-utenti li jitqegħdu għad-dispożizzjoni tagħha minn dan in-netwerk soċjali.

21.      Għaldaqstant, Wirtschaftsakademie ressqet rikors kontra din id-deċiżjoni quddiem il-Verwaltungsgericht (qorti amministrattiva, il-Ġermanja) billi qieset li t-tranżazzjonijiet tal-ipproċessar tad-data minn Facebook ma jistgħux jiġu attribwiti lilha u li hija lanqas ma qabbdet lil Facebook, fis-sens tal-Artikolu 11 tal-BDSG (12), sabiex iwettaq l-ipproċessar tad-data li hija tikkontrolla jew li hija setgħat tinfluwenza. Wirtschaftsakademie tikkunsidra li l-ULD ipproċediet kontriha inġustament u li kellha tipproċedi direttament kontra Facebook.

22.      Permezz ta’ sentenza tad-9 ta’ Ottubru 2013, il-Verwaltungsgericht (qorti amministrattiva) annullat lid-deċiżjoni kkontestata billi qieset, essenzjalment, li l-amministratur ta’ paġna tal-fans fuq Facebook ma huwiex “organu responsabbli”, fis-sens tal-Artikolu 3(7) tal-BDSG (13) u li għaldaqstant, Wirtschaftsakademie ma tistax tkun id-destinatarja ta’ miżura meħuda abbażi tal-Artikolu 38(5) tal-BDSG.

23.      L-Oberverwaltungsgericht (qorti amministrattiva superjuri, il-Ġermanja) ċaħdet sussegwentement l-appell tal-ULD minn din is-sentenza bħala infondat billi kkunsidrat, essenzjalment, li l-projbizzjoni ta’ proċessar tad-data kkonstata fid-deċiżjoni kkontestata kienet illegali, sa fejn it-tieni sentenza tal-Artikolu 38(5) tal-BDSG tipprevedi proċess progressiv, fejn l-ewwel fażi tippermetti biss li jiġu adottati xi miżuri intiżi sabiex jirrimedjaw ksur ikkonstatat waqt l-ipproċessar tad-data. Projbizzjoni immedjata tal-ipproċessar tad-data ma tistax tkun prevedibbli ħlief jekk proċedura ta’ pproċessar tad-data hija illegali kollha kemm hi u li hija biss s-sospensjoni ta’ din il-proċedura li tippermetti rimedju. Issa, skont l-Oberverwaltungsgericht (qorti amministrattiva superjuri), dan ma huwiex il-każ fil-kawża preżenti, peress li Facebook kellu tassew il-possibbiltà sabiex itemm il-ksur allegat mill-ULD.

24.      L-ordni hija illegali wkoll minħabba l-fatt li r-rikorrenti ma kinitx organu responsabbli fis-sens tal-Artikolu 3(7) tal-BDSG, fir-rigward tad-data miġbura minn Facebook fl-okkażjoni tal-amministrazzjoni ta’ paġna tal-fans, u li ordni abbażi tal-Artikolu 38(5) tal-BDSG ma tistax tingħata ħlief kontra tali organu. Fil-kawża preżenti huwa biss Facebook li jiddeċiedi l-iskop u l-mezzi għall-ġabra u għall-ipproċessar tad-data ta’ natura personali li jintuża mill-funzjoni “Facebook Insights”. Ir-rikorrenti, minn naħa tagħha tirċievi biss informazzjoni dwar statistika li ssir anonima.

25.      L-Artikolu 38(5) tal-BDSG ma jawtorizzax ordnijiet kontra partijiet terzi. Ir-responsabbiltà msejħa “indiretta” (“Störerhaftung”) fuq l-internet, żviluppata mill-ġurisprudenza tal-qrati ċivili, ma hijiex trasponibbli lejn il-prerogattivi ta’ awtorità pubblika. Minkejja li l-Artikolu 38(5) tal-BDSG ma jsemmix espliċitament lid-destinatarju tal-ordni ta’ projbizzjoni, mill-istruttura, l-għan u l-ispirtu tal-leġiżlazzjoni, kif ukoll miċ-ċirkustanzi li fihom ġiet fis-seħħ jirriżulta li d-destinatarju jista’ jkun biss l-organu responsabbli.

26.      Permezz ta’ rikors għal reviżjoni, imressaq quddiem il-Bundesverwaltungsgericht (qorti amministrattiva federali, il‑Ġermanja), l-ULD sostniet, fost oħrajn, ksur tal-Artikolu 38(5) tal-BDSG u tinvoka diversi żbalji proċedurali mwettqa mill-qorti tal-appell. Hija tikkunsidra li l-ksur imwettaq minn Wirtschaftsakademie huwa marbut mal-fatt li hija assenjat fornitur inapproprjat, peress li ma jirrispettax lid-dritt applikabbli għall-protezzjoni tad-data – f’dan il-każ Facebook Ireland – għall-ħolqien, iż-żamma u l-manteniment ta’ sit internet. L-ordni ta’ diżattivazzjoni hija intiża b’hekk sabiex tirrimedja dan il-ksur imwettaq minn Wirtschaftsakademie sa fejn tipprojbixxi li din tkompli tuża l-infrastruttura ta’ Facebook bħala bażi teknika tas-sit internet tagħha.

27.      Il-qorti tar-rinviju tikkunsidra li, fir-rigward tal-ġabra u l-ipproċessar tad-data ta’ persuni li jikkonsultaw il-paġna tal-fans mill-intervenjenti fil-kawża prinċipali, jiġifieri Facebook Ireland, Wirtschaftsakademie ma hijiex “l-organu li jiġbor, jipproċessa jew juża d-data ta’ natura personali għan-nom tiegħu jew permezz ta’ ħaddieħor permezz ta’ proċessur”, fis-sens tal-Artikolu 3(7) tal-BDSG, jew il-“aġenzija jew korp ieħor li, waħdu jew flimkien ma’ oħrajn jiddetermina l-finijiet u l-mezzi ta’ l-ipproċessar ta’ data personali”, fis-sens tad-Direttiva 95/46. Ċertament, permezz tad-deċiżjoni tagħha sabiex toħloq paġna tal-fans fuq pjattaforma operata mill-intervenjenti fil-kawża prinċipali jew mill-kumpannija omm tagħha, Wirtschaftsakademie toffri oġġettivament lill-intervenjenti fil-kawża prinċipali l-possibbiltà li tinstalla cookies meta tinfetaħ din il-paġna tal-fans u li tiġbor id-data permezz ta’ dan. Madankollu, din id-deċiżjoni ma tippermettix lil Wirtschaftsakademie sabiex tinfluwenza, tiggwida, tifforma jew ukoll li tikkontrolla lin-natura jew il-firxa tal-ipproċessar tad-data tal-utenti tal-paġna tal-fans tagħha mill-intervenjenti fil-kawża prinċipali. Il-kundizzjonijiet tal-użu tal-paġna tal-fans lanqas ma jagħtu lil Wirtschaftsakademie xi drittijiet ta’ intervent jew ta’ kontroll. Il-kundizzjonijiet tal-użu stabbiliti b’mod unilaterali mill-intervenjenti fil-kawża prinċipali ma jkunux ir-riżultat ta’ proċess ta’ negozjati u lanqas ma jagħtu d-dritt lil Wirtschaftsakademie sabiex tipprojbixxi lill-intervenjenti fil-kawża prinċipali sabiex tiġbor u tipproċessa d-data tal-utenti tal-paġna tal-fans.

28.      Il-qorti tar-rinviju tammetti li d-definizzjoni legali ta’ “kontrollur”, stabbilita fl-Artikolu 2(d) tad-Direttiva 95/46 għandha tiġi, bħala prinċipju, interpretata b’mod estensiv, fl-interess ta’ protezzjoni effikaċi tad-dritt għal ħajja privata. Madankollu, Wirtschaftsakademie ma tissodisfax lil din id-definizzjoni sa fejn din ma għandha l-ebda influwenza fid-dritt jew fil-fatt fuq il-modalitajiet ta’ trattament tad-data ta’ natura personali li jitwettqu mill-intervenjenti fil-kawża prinċipali taħt ir-responsabbiltà tagħha u b’indipendenza kompleta. F’dan ir-rigward, ma huwiex biżżejjed il-fatt li Wirtschaftsakademie tista’ oġġettivament tapprofitta mill-funzjoni “Facebook Insights” operata mill-intervenjenti fil-kawża prinċipali, minħabba l-fatt li d-data li ssir anonima tintbagħat lilha fid-dawl tal-użu tal-paġna tal-fans tagħha.

29.      Skont il-qorti tar-rinviju, Wirtschaftsakademie lanqas ma tista’ tiġi kkunsidrata bħala kontrollur permezz ta’ proċessur, fis-sens tal-Artikolu 11 tal-BDSG u tal-Artikoli 2(e) u 17(2) u 3 tad-Direttiva 95/46.

30.      Din il-qorti tikkunsidra li hija neċessarja kjarifikazzjoni li tikkonċerna l-punt sabiex isir magħruf jekk, u taħt liema kundizzjonijiet, is-setgħat ta’ kontroll u ta’ intervent tal-awtoritajiet ta’ sorveljanza fir-rigward tal-protezzjoni tad-data jistgħu jiġu eżerċitati biss kontra l-“kontrollur” fis-sens tal-Artikolu 2(d) tad-Direttiva 95/46 jew jekk huwiex possibbli sabiex jinżamm responsabbli organu li ma huwiex il-kontrollur tad-data, skont id-definizzjoni li tirriżulta minn din l-istess dispożizzjoni, abbażi tal-għażla mwettqa minn dan l-organu sabiex jirrikorri għal Facebook għall-offerta ta’ informazzjoni tiegħu.

31.      F’din l-ipoteżi tal-aħħar, il-qorti tar-rinviju tistaqsi jekk tali responsabbiltà tistax tiġi bbażata fuq applikazzjoni b’analoġija tal-obbligi ta’ għażla u ta’ kontroll li jirriżultaw mill-Artikolu 17(2) tad-Direttiva 95/46 fil-kuntest ta’ pproċessar tad-data permezz ta’ proċessur.

32.      Sabiex tkun f’pożizzjoni li tiddeċiedi fuq il-legalità tal-ordni kkonstata fil-kawża preżenti, il-qorti tar-rinviju tqis li huwa neċessarju wkoll li tikkjarifika ċerti punti fuq il-kompetenza tal-awtoritajiet ta’ sorveljanza u tal-firxa tas-setgħat ta’ intervent tagħhom.

33.      B’mod partikolari, il-qorti tar-rinviju tistaqsi fuq it-tqassim tal-kompetenzi bejn l-awtoritajiet ta’ sorveljanza fil-każ fejn kumpannija omm, bħal Facebook Inc., tiddisponi minn diversi stabbilimenti fit-territorju tal-Unjoni u li l-missjonijiet attribwiti lil dawn l-istabbilimenti fi ħdan il-grupp huma differenti.

34.      F’dan ir-rigward, il-qorti tar-rinviju tfakkar li, il-Qorti tal-Ġustizzja ddeċidiet, fis-sentenza tagħha tat-13 ta’ Mejju 2014, Google Spain u Google (14), li, “l-Artikolu 4(1)(a) tad-Direttiva 95/46 għandu jiġi interpretat fis-sens li pproċessar ta’ data personali jitwettaq fil-kuntest tal-attivitajiet ta’ stabbiliment tal-kontrollur ta’ dan l-ipproċessar fit-territorju ta’ Stat Membru, fis-sens ta’ din id-dispożizzjoni, meta l-operatur ta’ mutur ta’ tfittxija joħloq fi Stat Membru fergħa jew sussidjarja maħsuba sabiex tiżgura l-promozzjoni u l-bejgħ tal-ispazji ta’ reklamar proposti minn dan il-mutur u li l-attività tagħha tkun orjentata lejn ir-residenti ta’ dan l-Istat Membru” (15). Il-qorti tar-rinviju tistaqsi jekk din il-konnessjoni ma’ stabbiliment bħalma hija Facebook Germany GmbH, li hija, skont l-informazzjoni li hemm fid-deċiżjoni tar-rinviju, responsabbli għall-promozzjoni u għall-bejgħ ta’ spazji ta’ reklamar u ta’ attivitajiet ta’ marketing oħra intiżi għar-residenti tal-Ġermanja, hijiex trasponibbli, għall-finijiet tal-applikabbiltà tad-Direttiva 95/46 u għad-determinazzjoni tal-awtorità ta’ superviżjoni kompetenti, lejn sitwazzjoni li fiha sussidjarja stabbilita fi Stat Membru ieħor (f’dan il-każ l-Irlanda), tintervjeni bħala “kontrollur”, fuq it-territorju tal-Unjoni kollu.

35.      Fir-rigward tad-destinatarji ta’ miżura meħuda bl-applikazzjoni tal-Artikolu 28(3) tad-Direttiva 95/46, il-qorti tar-rinviju tirrileva li l-miżura ta’ ordni meħuda kontra Wirtschaftsakademie tista’ taqa’ taħt żball ta’ evalwazzjoni, u konsegwentement tkun illegali jekk il-ksur allegat mill-ULD tad-dritt ta’ protezzjoni tad-data applikabbli jistgħu jiġu rrimedjati permezz ta’ miżura diretta direttament kontra s-sussidjarja Facebook Germany li hija stabbilita fil-Ġermanja.

36.      Il-qorti tar-rinviju tinnota wkoll li l-ULD tikkunsidra li hija ma hijiex marbuta mill-konstatazzjonijiet u l-evalwazzjonijiet tad-Data Protection Commissioner (iktar ’il quddiem l-“awtorità ta’ superviżjoni fil-qasam tal-protezzjoni tad-data”, l-Irlanda), li, skont l-informazzjoni pprovduta minn Wirtschaftsakademie u mill-intervenjenti fil-kawża prinċipali ma kinitx ikkontestat l-ipproċessar tad-data ta’ natura personali inkwistjoni fil-kawża prinċipali. Din il-qorti tixtieq għaldaqstant issir taf, minn naħa, jekk tali evalwazzjoni awtonoma mill-ULD hijiex ammessa u jekk, min-naħa l-oħra, it-tieni sentenza tal-Artikolu 28(6) tad-Direttiva 95/46 timponix fuq l-ULD li titlob lill-awtorità ta’ superviżjoni fil-qasam tal-protezzjoni tad-data, fid-dawl tad-diverġenza fl-evalwazzjoni bejn dawn iż-żewġt awtoritajiet ta’ superviżjoni dwar il-konformità tal-ipproċessar tad-data inkwistjoni fil-kawża prinċipali mar-regoli stabbiliti mid-Direttiva 95/46, sabiex teżerċita s-setgħat tagħha kontra Facebook Ireland.

37.      F’dawn iċ-ċirkustanzi, il-Bundesverwaltungsgericht (qorti amministrattiva federali) iddeċidiet li tissospendi l-proċeduri u tagħmel id-domandi preliminari segwenti lill-Qorti tal-Ġustizzja:

“1)      L-Artikolu 2(d) tad-Direttiva 95/46/KE għandu jiġi interpretat fis-sens li huwa jirregola b’mod definittiv u eżawrjenti r-responsabbiltà fil-każ ta’ ksur tal-protezzjoni tad-data, jew tista’ wkoll, fil-kuntest tal-‘miżuri xierqa’ msemmija fl-Artikolu 24 [ta’ din id-direttiva] u tas-‘setgħat effettivi ta’ intervent’ imsemmija fit-tieni inċiż tal-Artikolu 28(3) [tal-imsemmija direttiva], fil-preżenza ta’ fornituri ta’ informazzjoni mifruxa fuq numru ta’ stadji, titqies ir-responsabbiltà ta’ organu li ma huwiex dak responsabbli għall-ipproċessar tad-data [‘kontrollur’] fis-sens tal-Artikolu 2(d) [ta’ din id-direttiva] meta jagħżel amministratur għall-offerta tiegħu ta’ informazzjoni?

2)      A contrario, mill-obbligu tal-Istati Membri taħt l-Artikolu 17(2) tad-Direttiva 95/46/KE jirriżulta li għandu jintalab, fl-ipproċessar tad-data b’subappalt, li l-persuna responsabbli għall-ipproċessar ‘[tagħżel] proċessur li jagħti garanziji suffiċjenti dwar miżuri tekniċi ta’ sigurtà u miżuri organizzattivi li jirregolaw l-ipproċessar li jkollu jsir’, li ma jkun jeżisti, fil-kuntest ta’ użi oħra li ma jimplikaw l-ebda pproċċesar ta’ data b’subappalt fis-sens tal-Artikolu 2(e) [ta’ din id-direttiva], l-ebda obbligu li ssir għażla rigoruża, u li dan lanqas ma jista’ jiġi stabbilit abbażi tad-dritt nazzjonali?

3)      Meta kumpannija omm stabbilita barra mill-Unjoni Ewropea jkollha stabbilimenti li huma ġuridikament indipendenti (sussidjarji) f’diversi Stati Membri, l-awtorità ta’ superviżjoni ta’ Stat Membru (f’dan il-każ, il-Ġermanja) hija wkoll awtorizzata, skont l-Artikolu 4 u l-Artikolu 28(6) tad-Direttiva 95/46/KE, li teżerċita s-setgħat fdati lilha skont l-Artikolu 28(3) [ta’ din id-direttiva] fil-konfront tal-istabbiliment li jinsab fit-territorju tagħha, jekk dan l-istabbiliment jipprovdi biss il-promozzjoni u l-bejgħ ta’ spazji ta’ reklamar kif ukoll miżuri oħra ta’ marketing intiżi għall-abitanti ta’ dan l-Istat Membru, filwaqt li l-istabbiliment indipendenti (sussidjarja) stabbilit fi Stat Membru ieħor (f’dan il-każ, l-Irlanda), skont it-tqassim tal-missjonijiet fi ħdan il-grupp, għandu r-responsabbiltà esklużiva għall-ġbir u għall-ipproċessar tad-data personali fit-territorju kollu tal-Unjoni Ewropea u għaldaqstant ukoll fl-Istat Membru l-ieħor (f’dan il-każ, il-Ġermanja), jekk id-deċiżjoni rigward l-ipproċessar tad-data fil-fatt tittieħed mill-kumpannija omm?

4)      L-Artikolu 4(1) u l-Artikolu 28(3) tad-Direttiva 95/46/KE għandhom jiġu interpretati fis-sens li, meta l-persuna responsabbli għall-ipproċessar ikollha stabbiliment fit-territorju ta’ Stat Membru (f’dan il-każ, l-Irlanda), u meta jeżisti stabbiliment ieħor li huwa ġuridikament indipendenti fit-territorju ta’ Stat Membru ieħor (f’dan il-każ, il-Ġermanja), li huwa inkarigat, fost l-oħrajn, bil-bejgħ ta’ spazji ta’ reklamar, u li l-attività tiegħu hija intiża għall-abitanti ta’ dan l-Istat, l-awtorità ta’ superviżjoni kompetenti f’dan l-Istat Membru l-ieħor (f’dan il-każ, il-Ġermanja) tista’ tadotta miżuri u ordnijiet sabiex timplementa d-dritt applikabbli għall-protezzjoni tad-data, inkluż fil-konfront tal-istabbiliment l-ieħor li ma huwiex responsabbli għall-ipproċessar tad-data skont it-tqassim tal-missjonijiet u r-responsabbiltajiet fi ħdan il-grupp (f’dan il-każ, il-Ġermanja), jew il-miżuri u l-ordnijiet għandhom jiġu adottati, f’dan il-każ, biss mill-awtorità ta’ superviżjoni tal-Istat Membru (f’dan il-każ, l-Irlanda) fit-territorju li fih l-organu responsabbli fi ħdan il-grupp għandu s-sede tiegħu?

5)      L-Artikolu 4(1)(a) u l-Artikolu 28(3) u (6) tad-Direttiva 95/46/KE għandhom jiġu interpretati fis-sens li, meta l-awtorità ta’ superviżjoni ta’ Stat Membru (f’dan il-każ, il-Ġermanja) tieħu azzjoni kontra persuna jew organu li jeżerċitaw l-attivitajiet tagħhom fit-territorju tal-imsemmi Stat Membru skont l-Artikolu 28(3) [ta’ din id-direttiva] minħabba l-għażla mhux rigoruża ta’ terz involut fil-proċess tal-ipproċessar tad-data (f’dan il-każ, Facebook), peress li dan it-terz kiser id-dritt applikabbli għall-protezzjoni tad-data, l-awtorità ta’ superviżjoni intervenjenti (f’dan il-każ, il-Ġermanja) hija marbuta bl-evalwazzjoni rigward id-dritt applikabbli għall-protezzjoni tad-data magħmula mill-awtorità ta’ superviżjoni tal-Istat Membru l-ieħor, li fih it-terz responsabbli għall-ipproċessar tad-data għandu l-istabbiliment tiegħu (f’dan il-każ, l-Irlanda), b’tali mod li hija ma hijiex awtorizzata li twettaq evalwazzjoni ġuridika diverġenti, jew l-awtorità ta’ superviżjoni intervenjenti (f’dan il-każ, il-Ġermanja) tista’ teżamina b’mod awtonomu l-legalità tal-ipproċessar tad-data mwettaq mit-terz stabbilit fi Stat Membru ieħor (f’dan il-każ, l-Irlanda) b’mod inċidentali?

6)      Fil-każ li l-awtorità ta’ superviżjoni intervenjenti (f’dan il-każ, il-Ġermanja) hija awtorizzata twettaq superviżjoni awtonoma: it-tieni sentenza tal-Artikolu 28(6) tad-Direttiva 95/46/KE għandha tiġi interpretata fis-sens li din l-awtorità ta’ superviżjoni tista’ teżerċita s-setgħat effettivi ta’ intervent fdati lilha skont l-Artikolu 28(3) [ta’ din id-direttiva] fil-konfront ta’ persuna jew ta’ organu li huma stabbiliti fit-territorju tagħha għall-parti tagħhom tar-responsabbiltà fil-ksur tal-protezzjoni tad-data mwettaq mit-terz stabbilit fi Stat Membru ieħor biss jekk hija tkun talbet minn qabel lill-awtorità ta’ superviżjoni ta’ dan l-Istat Membru l-ieħor (f’dan il-każ, l-Irlanda) sabiex teżerċita s-setgħat tagħha?”

II.    L-analiżi tiegħi

38.      Għandu jiġi ppreċiżat li d-domandi preliminari magħmula mill-qorti tar-rinviju ma jirrigwardawx il-punt dwar jekk l-ipproċessar ta’ data ta’ natura personali li fuqu huma bbażati l-akkużi fformulati mill-ULD, jiġifieri l-ġabra u l-użu tad-data ta’ persuni li jokkonsultaw xi paġni tal-fans mingħajr ma dawn il-persuni ġew mgħarrfa b’dan minn qabel, huwiex kuntrarju jew le għar-regoli stabbiliti mid-Direttiva 95/46.

39.      Skont l-ispjegazzjonijiet ipprovduti mill-qorti tar-rinviju, il-legalità tal-ordni suġġetta għall-evalwazzjoni tagħha tiddependi fuq l-elementi li ġejjin. Mill-perspettiva tagħha, għandu, qabel kollox, jiġi ddeterminat jekk l-ULD kinitx fondata sabiex teżerċita s-setgħat ta’ intervent tagħha kontra persuna li ma għandhiex il-kwalità ta’ kontrollur fis-sens tal-Artikolu 2(d) tad-Direttiva 95/46. Wara, il-qorti tar-rinviju tikkunsidra li l-legalità tal-ordni tiddependi wkoll fuq il-punti sabiex isir magħruf jekk l-ULD kellhiex locus standi fir-rigward tal-ipproċessar tad-data ta’ natura personali inkwistjoni fil-kawża prinċipali, jekk il-fatt li ma indirizzatx l-ordni tagħha lil Facebook Germany pjuttost milli lil Wirtschaftsakademie ma jikkostitwixxix żball ta’ evalwazzjoni, u fl-aħħar, jekk l-ULD wettqitx żball ta’ evalwazzjoni ieħor billi ordnat lil Wirtschaftsakademie sabiex tagħlaq il-paġna tal-fans tagħha filwaqt li kellha titlob preċedentement lill-awtorità ta’ superviżjoni fil-qasam tal-protezzjoni tad-data sabiex teżerċita s-setgħat tagħha kontra Facebook Ireland.

A.      Fuq l-ewwel u t-tieni domanda preliminari

40.      Permezz tal-ewwel u t-tieni domanda preliminari, li għandhom jiġu eżaminati flimkien, il-qorti tar-rinviju tistaqsi, essenzjalment, sabiex il-Qorti tal-Ġustizzja tiddikjara jekk l-Artikolu 17(2), l-Artikolu 24 u t-tieni inċiż tal-Artikolu 28(3) tad-Direttiva 95/46 għandhomx jiġu interpretati fis-sens li jippermettu lill-awtoritajiet ta’ sorveljanza sabiex jeżerċitaw is-setgħat ta’ intervent tagħhom kontra organu li ma jistax jiġi kkunsidrat bħala “kontrollur”, fis-sens tal-Artikolu 2(d) ta’ din l-istess direttiva, iżda li jista’, minkejja kollox, jinżamm responsabbli fil-każ ta’ ksur tar-regoli li jirrigwardaw il-protezzjoni ta’ informazzjoni ta’ natura personali minħabba l-għażla mwettqa minn dan l-organu li rrikorra għal netwerk soċjali bħalma huwa Facebook sabiex ixerred l-offerta ta’ informazzjoni tiegħu.

41.      Dawn id-domandi huma bbażati fuq il-premessa li tipprovdi li Wirtschaftsakademie ma tikkostitwixxix “kontrollur”, fis-sens tal-Artikolu 2(d) tad-Direttiva 95/46. Dan huwa għaliex din il-qorti tixtieq issir taf jekk miżura ta’ ordni bħal dik inkwistjoni fil-kawża prinċipali tistax tiġi diretta kontra persuna li ma tissodisfax il-kriterji stabbiliti minn din id-dispożizzjoni.

42.      Madankollu, nikkunsidra li din il-premessa hija żbaljata. Fil-fatt, Wirtschaftsakademie għandha, fl-opinjoni tiegħi, tiġi kkunsidrata bħala responsabbli konġuntament fil-fażi ta’ pproċessar li jikkonsisti fil-ġabra ta’ data ta’ natura personali minn Facebook.

43.      Għandna nifhmu bħala “kontrollur” fis-sens tal-Artikolu 2(d) tad-Direttiva 95/46 “persuna naturali jew ġuridika, awtorità pubblika, aġenzija jew korp ieħor li waħdu jew flimkien ma’ oħrajn jiddetermina l-finijiet u l-mezzi ta’ l-ipproċessar ta’ data personali” (16).

44.      Il-kontrollur igawdi rwol fundamentali fil-kuntest tas-sistema implementata mid-Direttiva 95/46 u l-identifikazzjoni tiegħu hija għaldaqstant essenzjali. Fil-fatt, din id-direttiva tipprevedi li l-kontrollur huwa responsabbli għal ċertu numru ta’ obbligi intiżi sabiex jiżguraw il-protezzjoni tad-data ta’ natura personali (17). Dan ir-rwol fundamentali ġie enfasizzat mill-Qorti tal-Ġustizzja fis-sentenza tagħha tat-13 ta’ Mejju 2014, Google Spain u Google (18). Fil-fatt, din iddeċidiet li l-kontrollur għandu jiżgura, fil-kuntest tal-kompetenzi u tal-possibbiltajiet li huwa għandu, li l-ipproċessar tad-data inkwistjoni tissodisfa r-rekwiżiti tad-Direttiva 95/46 sabiex il-garanziji previsti minnha jkunu jistgħu jiżviluppaw l-effett komplet tagħhom u li protezzjoni effikaċi u kompleta tal-persuni kkonċernati, b’mod partikolari li d-dritt tagħhom għal rispett tal-ħajja privata jkun jista’ jitwettaq effettivament (19).

45.      Mill-ġurisprudenza tal-Qorti tal-Ġustizzja jirriżulta wkoll li dan il-kunċett għandu jiġi ddefinit b’mod wiesa sabiex tiġi żgurata protezzjoni effikaċi u kompleta tal-persuni kkonċernati (20).

46.      Il-kontrollur tad-data ta’ natura personali huwa l-persuna li tiddeċiedi għaliex u kif ser tkun ipproċessata din id-data. Bħalma jindika l-grupp ta’ ħidma “Artikolu 29”, “[i]l-kunċett ta’ kontrollur huwa kunċett funzjonali, fis-sens li huwa maħsub biex jalloka r-responsabbiltajiet fejn tinsab l-influwenza fattwali, u b’hekk huwa bbażat fuq analiżi fattwali iktar milli fuq waħda formali” (21).

47.      Bħala d-disinjaturi ta’ dan l-ipproċessar, huma tassew, fl-opinjoni tiegħi, Facebook Inc. u, fir-rigward tal-Unjoni, Facebook Ireland, li ddeterminaw l-għanijiet u l-modalitajiet prinċipali tiegħu.

48.      B’mod iktar preċiż, Facebook Inc. żviluppat il-mudell ekonomiku ġenerali li wassal sabiex il-ġabra ta’ data ta’ natura personali waqt il-konsultazzjoni tal-paġni tal-fans u wara l-użu ta’ din id-data ppermetta minn naħa, it-tixrid ta’ reklamar ippersonalizzat u, min-naħa l-oħra, it-tfassil ta’ statistiċi ta’ udjenza intiżi għall-amministraturi ta’ dawn il-paġni.

49.      Barra minn hekk, mid-dokumenti tal-fajl jirriżulta li Facebook Ireland hija deskritta minn Facebook Inc. bħala responsabbli għall-ipproċessar tad-data ta’ natura personali fi ħdan l-Unjoni. Skont l-ispjegazzjonijiet ipprovduti minn Facebook Ireland, il-modalitajiet ta’ funzjonament tan-netwerk soċjali jistgħu jiġu suġġetti għal ċerti adattamenti fl-Unjoni (22).

50.      Barra minn hekk, għalkemm huwa kostanti li persuna li tirresjedi fuq it-territorju tal-Unjoni u li tixtieq tuża Facebook hija marbuta sabiex tikkonkludi, waqt l-iskrizzjoni tagħha, kuntratt ma’ Facebook Ireland, għandu jiġi rrilevat li, fl-istess ħin, id-data ta’ natura personali tal-utenti ta’ Facebook li jirresjedi fl-Unjoni huma, kompletament jew parzjalment, ittrasferiti permezz ta’ servers proprjetà ta’ Facebook Inc., li jinsabu fit-territorju tal-Istati Uniti, fejn ikunu is-suġġett ta’ pproċessar (23).

51.      B’teħid inkunsiderazzjoni tal-implikazzjoni ta’ Facebook Inc. u, fir-rigward b’mod iktar partikolari tal-Unjoni, ta’ Facebook Ireland fid-determinazzjoni tal-finijiet u tal-mezzi ta’ pproċessar tad-data ta’ natura personali inkwistjoni fil-kawża prinċipali, dawn iż-żewġt entitajiet għandhom, fid-dawl tal-elementi li niddisponi minnhom, jiġu kkunsidrati bħala responsabbli konġuntament għal dan l-ipproċessar. F’dan ir-rigward, hemm lok li jiġi rrilevat li l-Artikolu 2(d) tad-Direttiva 95/46 jipprevedi espliċitament il-possibbiltà ta’ tali responsabbiltà konġunta. Bħalma tindika il-qorti tar-rinviju stess, hija din stess, fl-aħħar lok, li għandha tikkjarifika l-istrutturi deċiżivi u tal-ipproċessar tad-data interni tal-grupp Facebook sabiex tiddetermina liema huwa l-istabbiliment jew liema huma l-istabbilimenti responsabbli għall-ipproċessar fis-sens tal-Artikolu 2(d) tad-Direttiva 95/46 (24).

52.      Fl-opinjoni tiegħi, mar-responsabbiltà konġunta ta’ Facebook Inc. u ta’ Facebook Ireland, għandha tiżdied, f’dak li jikkonċerna l-fażi ta’ pproċessar li tikkostitwixxi l-ġabra tad-data ta’ natura personali minn Facebook (25), dik tal-amministratur ta’ paġna tal-fans bħalma hija Wirtschaftsakademie.

53.      Ċertament, amministratur ta’ paġna tal-fans huwa, qabel kollox, utent ta’ Facebook, mingħand min jitlob sabiex jibbenefika mill-għodod tiegħu u japprofitta b’hekk minn viżibbiltà aħjar. Madankollu, din il-konstatazzjoni ma hijiex ta’ natura li teskludi li huwa jista’ wkoll jiġi kkunsidrat bħala responsabbli għall-fażi tal-ipproċessar tad-data ta’ natura personali li hija s-suġġett fil-kawża prinċipali, jiġifieri l-ġabra ta’ tali data minn Facebook.

54.      Fir-rigward tal-punt sabiex isir magħruf jekk l-amministratur ta’ paġna tal-fans “jiddetermina” il-finijiet u l-mezzi tal-ipproċessar, għandu jiġi vverifikat jekk l-amministratur jeżerċitax influwenza ta’ dritt jew fattwali fuq dawn il-finijiet u dawn il-mezzi. Dan l-element ta’ definizzjoni jippermetti li jiġi kkunsidrat li l-kontrollur ma huwiex dak li jwettaq l-ipproċessar tad-data ta’ natura personali iżda dak li jiddetermina l-mezzi u l-finijiet.

55.      Billi jirrikorri lejn Facebook sabiex ixerred l-offerta ta’ informazzjoni tiegħu, l-amministratur ta’ paġna tal-fans jaderixxi mal-prinċipju tal-implementazzjoni ta’ pproċessar ta’ data ta’ natura personali ta’ min jaċċessa l-paġna għall-finijiet ta’ tfassil ta’ statistiċi ta’ udjenza (26). Minkejja li ma huwiex ikkunsidrat bħala d-disinjatur tal-għodda “Facebook Insights”, dan l-amministratur, peress li jużah, jieħu sehem fid-determinazzjoni tal-finijiet u tal-modalitajiet tal-ipproċessar tad-data ta’ natura personali ta’ min jaċċessa l-paġna tiegħu.

56.      Effettivament, minn naħa, dan l-ipproċessar ma jistax iseħħ mingħajr id-deċiżjoni preċedenti tal-amministratur ta’ paġna tal-fans sabiex joħloqha u jagħmel użu minnha fuq in-netwerk soċjali Facebook. Billi tagħmel possibbli l-ipproċessar tad-data ta’ natura personali tal-utenti ta’ paġna tal-fans, l-amministratur ta’ din il-paġna jaderixxi għas-sistema implementata minn Facebook. B’hekk, huwa jikseb viżibbiltà aħjar fuq il-profil tal-utenti ta’ din il-paġna tal-fans u jippermetti, fl-istess ħin, lil Facebook sabiex jimmira aħjar ir-reklamar imxerred fis-sistema ta’ dan in-netwerk soċjali. Billi jaċċetta l-mezzi u l-finijiet tal-ipproċessar ta’ data ta’ natura personali, hekk kif iddefiniti minn qabel minn Facebook, l-amministratur ta’ paġna tal-fans għandu b’hekk jiġi kkunsidrat bħala li jipparteċipa fid-determinazzjoni tagħha. Barra minn hekk, bħalma kull amministratur ta’ paġna tal-fans jeżerċita b’hekk influwenza determinanti fuq l-attivazzjoni tal-ipproċessar tad-data ta’ natura personali tal-persuni li jikkonsultaw lil din il-paġna, huwa jiddisponi wkoll mis-setgħa li jtemm dan l-ipproċessar billi jagħlaq il-paġna tal-fans tiegħu.

57.      Min-naħa l-oħra, minkejja li l-finijiet u l-mezzi tal-għodda “Facebook Insights” huma bħala tali ddefiniti b’mod ġenerali minn Facebook Inc. flimkien ma’ Facebook Ireland, l-amministratur ta’ paġna tal-fans għandu l-possibbiltà li jinfluwenza l-implementazzjoni konkreta ta’ din l-għodda billi jiddefinixxi l-kriterji li minnhom jiġu stabbiliti l-istatistiċi ta’ udjenza. Meta Facebook jistieden lil amministratur ta’ paġna tal-fans sabiex joħloq jew jemenda l-udjenza tal-paġna tiegħu, huwa jindika li ser jagħmel mill-aħjar sabiex juri lil din il-paġna lill-persuni li jgħoddu l-iktar għaliha. L-amministratur ta’ paġna jista’, permezz ta’ filtri, jiddefinixxi udjenza ppersonalizzata, li tippermettilu mhux biss jirfina lill-grupp ta’ persuni li lejhom l-informazzjoni tal-offerta kummerċjali tiegħu ser tintbagħat, iżda fuq kollox li jiddeskrivi l-kategoriji tal-persuni li ser ikunu s-suġġett ta’ ġabra tad-data ta’ natura personali tagħhom minn Facebook. B’hekk, billi jiddetermina l-udjenza li jixtieq jolqot, l-amministratur ta’ paġna tal-fans jidentifika fl-istess ħin liema pubbliku mmirat jista’ jkun is-suġġett ta’ ġabra u sussegwentement ta’ użu tad-data ta’ natura personali tiegħu minn Facebook. Barra milli jkun l-element ta’ attivazzjoni ta’ pproċessar ta’ tali data meta joħloq paġna tal-fans, l-amministratur ta’ din il-paġna għandu b’hekk rwol ewlieni fl-implementazzjoni ta’ dan l-ipproċessar minn Facebook. Huwa jieħu sehem, minħabba dan, fid-determinazzjoni tal-mezzi u tal-finijiet tal-imsemmi pproċessar billi jeżerċita fuqu influwenza fattwali.

58.      Minn dak li ntqal qabel niddeduċi li, fiċ-ċirkustanzi bħal dawk tal-kawża prinċipali, amministratur ta’ paġna tal-fans ta’ netwerk soċjali bħal Facebook għandu jiġi kkunsidrat bħala responsabbli għall-fażi tal-ipproċessar tad-data ta’ natura personali li tikkonsisti fil-ġabra minn dan in-netwerk soċjali ta’ data li tirrigwarda lill-persuni li jikkonsultaw lil din il-paġna.

59.      Din il-konklużjoni tissaħħaħ permezz tal-konstatazzjoni li tipprovdi li l-amministratur ta’ paġna tal-fans bħal Wirtschaftsakademie, minn naħa, u l-fornituri ta’ servizzi bħalma huma Facebook Inc. u Facebook Ireland, min-naħa l-oħra, isegwu t-tnejn li huma finijiet marbuta flimkien b’mod strett. Wirtschaftsakademie trid tikseb statistiċi ta’ udjenza għall-finijiet ta’ amministrazzjoni tal-promozzjoni tal-attività tagħha u sabiex tiksibhom l-ipproċessar ta’ data ta’ natura personali huwa neċessarju. L-istess ipproċessar jippermetti wkoll lil Facebook sabiex jimmira r-reklamar li jifrex permezz tan-netwerk tiegħu.

60.      Għaldaqstant, għandha tiġi miċħuda interpretazzjoni li tkun ibbażata esklużivament fuq il-klawżoli u l-kundizzjonijiet tal-kuntratt konkluż bejn Wirtschaftsakademie u Facebook Ireland. Effettivament, it-tqassim tad-dmirijiet indikati kuntrattwalment jistgħu jipprovdu biss indikazzjoni tar-rwol reali bejn il-partijiet tal-kuntratt fl-implementazzjoni tal-ipproċessar tad-data ta’ natura personali. B’mod ieħor, dawn il-partijiet ikunu jistgħu jattribwixxu b’mod artifiċjali r-responsabbiltà għall-ipproċessar fuq waħda minnhom. Dan ikun iktar minnu f’sitwazzjoni fejn il-kundizzjonijiet ġenerali huma ppreparati minn qabel min-netwerk soċjali u ma jistgħux jiġu nnegozjati. Għaldaqstant, ma jistax jiġi kkunsidrat li min jista’ biss jaderixxi jew jirrifjuta l-kuntratt ma jistax ikun kontrollur. Mill-mument li fih din l-istess parti kontraenti kkonkludiet il-ftehim liberament, tista’ dejjem tkun kontrollur fid-dawl tal-influwenza konkreta tagħha fuq il-mezzi u l-finijiet ta’ dan l-ipproċessar.

61.      B’hekk, il-fatt li l-kuntratt u l-kundizzjonijiet ġenerali huma ppreparati minn fornitur ta’ servizzi u li l-operatur li qed juża s-servizzi offerti ma għandhux aċċess għad-data ma jeskludix li jista’ jiġi kkunsidrat bħala kontrollur, peress li aċċetta liberament il-klawżoli kuntrattwali, u li minħabba f’dan il-fatt wieħed jassumi responsabbiltà totali f’dak li jikkonċerna lil dawn tal-aħħar (27). Bħall-grupp ta’ ħidma “Artikolu 29”, għandu jiġi rrikonoxxut ukoll li żbilanċ eventwali tas-saħħa ta’ negozjar bejn il-fornitur u min jieħu s-servizz ma jostakolax il-possibbiltà li dan tal-aħħar jiġi kklassifikat bħala “kontrollur” (28).

62.      Barra minn hekk, sabiex persuna tista’ tiġi kkunsidrata bħala kontrollur, fis-sens tal-Artikolu 2(d) tad-Direttiva 95/46, ma huwiex neċessarju li din il-persuna tiddisponi minn setgħa ta’ kontroll sħiħ fuq l-aspetti kollha tal-ipproċessar. Bħalma indika ġustament il-Gvern Belġjan waqt is-seduta, tali kontroll jeżisti inqas u inqas fil-prattika. Iktar u iktar, l-ipproċessar għandu natura kumplessa, fis-sens li jirrigwarda pproċessar varju distint li jimplika diversi partijiet li jeżerċitaw huma stess gradi differenti ta’ kontroll. Konsegwentement, l-interpretazzjoni li tenfasizza l-eżistenza ta’ setgħa ta’ kontroll kompleta fuq l-aspetti kollha tal-ipproċessar hija suxxettibbli li tirriżulta f’diversi lakuni serji fir-rigward tal-protezzjoni tad-data ta’ natura personali.

63.      Il-fatti li wasslu għas-sentenza tat-13 ta’ Mejju 2014, Google Spain u Google (29), jikkostitwixxu eżempju ta’ dan. Effettivament, f’din il-kawża, kien hemm il-kwistjoni ta’ sitwazzjoni li timplika xi fornituri ta’ informazzjoni f’kaskata, li fiha, il-partijiet differenti eżerċitaw kull wieħed minnhom influwenza distinta fuq it-trattament. F’din il-kawża, il-Qorti tal-Ġustizzja rrifjutat li tinterpreta b’mod restrittiv il-kunċett ta’ “kontrollur”. Hija kkunsidrat li l-operatur ta’ mutur ta’ tfittxija “bħala l-persuna li tiddetermina l-finijiet u l-mezzi ta’ […] l-attività [tiegħu], għandu jiżgura, fil-kuntest tar-responsabbiltajiet tiegħu, tal-kompetenzi tiegħu u tal-possibbiltajiet tiegħu, li din l-attività tissodisfa r-rekwiżiti tad-Direttiva 95/46” (30). Barra minn hekk, il-Qorti tal-Ġustizzja evokat il-possibbiltà tar-responsabbiltà konġunta tal-operatur tal-mutur ta’ tfittxija u tal-edituri tas-siti internet (31).

64.      Bħall-Gvern Belġjan, inqis li l-interpretazzjoni wiesgħa tal-kunċett ta’ “kontrollur”, fis-sens tal-Artikolu 2(d) tad-Direttiva 95/46, li fl-opinjoni tiegħi għandha tipprevali fil-kuntest ta’ din il-kawża, hija ta’ natura li tevita kull abbuż. Effettivament, kieku dan ma kienx il-każ, kien ikun biżżejjed għal impriża sabiex tirrikorri għas-servizzi ta’ terzi sabiex teħles mill-obbligi tagħha fil-qasam tal-protezzjoni tad-data ta’ natura personali. Fi kliem ieħor, fl-opinjoni tiegħi, ma għandhiex issir distinzjoni bejn impriża li tarma lis-sit internet tagħha b’għodod analogi għal dawk proposti minn Facebook u dik li taderixxi man-netwerk soċjali Facebook sabiex tapprofitta mill-għodod offerti minn dan tal-aħħar. B’hekk, għandu jiġi żgurat li l-operaturi ekonomiċi li jużaw is-servizz ta’ hosting tas-sit internet tagħhom lanqas ma jkunu jistgħu jevitaw ir-responsabbiltà tagħhom billi jissuġġettaw ruħhom għall-kundizzjonijiet ġenerali ta’ fornitur ta’ servizzi. Barra minn hekk, kif indika dan l-istess Gvern waqt is-seduta, ma huwiex irraġonevoli li jiġi mistenni li l-impriżi jkunu diliġenti fil-mument li fih jagħżlu lill-fornitur tas-servizzi tagħhom.

65.      Għaldaqstant, fl-opinjoni tiegħi, il-fatt li amministratur ta’ paġna tal-fans juża l-pjattaforma offerta minn Facebook u jibbenefika mis-servizzi marbuta miegħu ma jeżentahx mill-obbligi tiegħu fil-qasam tal-protezzjoni ta’ data ta’ natura personali. F’dan ir-rigward, nosserva li, kieku Wirtschaftsakademie kienet fetħet sit internet barra minn Facebook billi timplementa għodda analoga għal “Facebook Insights” sabiex tistabbilixxi l-istatistiċi ta’ udjenza, kienet tkun ikkunsidrata bħala l-kontrollur li huwa neċessarju fid-dawl li jiġu stabbiliti tali statistiċi. Fl-opinjoni tiegħi, tali operatur ekonomiku ma għandux jiġi eżentat milli jirrispetta lir-regoli tal-protezzjoni tad-data ta’ natura personali stabbiliti mid-Direttiva 95/46 minħabba s-sempliċi fatt li juża l-pjattaforma tan-netwerk soċjali Facebook sabiex jippromwovi l-attivitajiet tiegħu. Kif tindika ġustament il-qorti tar-rinviju stess, fornitur ta’ informazzjoni ma għandux ikun jista’ jeżenta ruħu, permezz tal-għażla ta’ fornitur ta’ infrastruttura partikolari, mill-obbligi li jimponi fuqu d-dritt applikabbli għall-protezzjoni tad-data fir-rigward tal-utenti tal-offerta ta’ informazzjoni tiegħu, u li kien ikollu jissodisfa kieku kien sempliċi fornitur ta’ kontenut (32). Interpretazzjoni kuntrarja toħloq ir-riskju ta’ evażjoni tar-regoli li jirrigwardaw lill-protezzjoni tad-data ta’ natura personali.

66.      Fl-opinjoni tiegħi, ukoll, ma għandhiex tinħoloq distinzjoni artifiċjali bejn is-sitwazzjoni fil-kawża preżenti u dik inkwistjoni fil-kuntest tal-Kawża C‑40/17, Fashion ID (33).

67.      Din il-kawża tal-aħħar tikkonċerna lis-sitwazzjoni li fiha, amministratur ta’ sit internet jinserixxi fuq is-sit tiegħu dak li ser insejħu “modulu soċjali” (f’dan il-każ, il-buttuna “jogħġobni” ta’ Facebook) ta’ fornitur estern (jiġifieri Facebook), li wassal għal trażmissjoni ta’ data ta’ natura personali mill-kompjuter tal-utent tas-sit web lejn il-fornitur estern.

68.      Fil-kuntest tat-tilwima li tat lok għal din il-kawża, assoċjazzjoni għall-protezzjoni tal-konsumaturi akkużat lill-kumpannija Fashion ID li, billi inserixxiet fis-sit internet tagħha, il-modulu “jogħġobni”, ipprovdut min-netwerk soċjali Facebook, ippermettiet lil dan tal-aħħar sabiex ikollu aċċess għad-data ta’ natura personali tal-utenti ta’ dan is-sit, mingħajr il-kunsens tagħhom, u bi ksur tal-obbligi ta’ informazzjoni previsti mid-dispożizzjonijiet dwar il-protezzjoni tad-data ta’ natura personali. Tirriżulta għaldaqstant il-problema sabiex isir magħruf jekk, peress li Fashion ID tippermetti lil Facebook sabiex ikollu aċċess għad-data ta’ natura personali tal-utenti tas-sit internet tagħha din il-kumpannija tistax jew le tiġi kklassifikata bħala “kontrollur” fis-sens tal-Artikolu 2(d) tad-Direttiva 95/46.

69.      F’dan ir-rigward, ma nistax nidentifika d-differenza fundamentali bejn is-sitwazzjoni ta’ amministratur ta’ paġna tal-fans u dik tal-operatur ta’ sit internet li jinkludi l-kodiċi ta’ fornitur ta’ servizzi ta’ webtracking fis-sit internet tiegħu, u jippermetti b’hekk, mingħajr ma jkun jaf l-utent, it-trażmissjoni ta’ cookies u l-ġabra ta’ data għall-benefiċċju tal-fornitur tas-servizzi ta’ webtracking.

70.      Il-plugins soċjali jippermettu lill-operaturi tas-siti internet sabiex jużaw ċerti servizzi ta’ netwerks soċjali fuq is-siti tagħhom stess sabiex iżidu l-viżibbiltà ta’ dawn tal-aħħar, billi pereżempju jżidu fis-sit tagħhom il-buttuna “jogħġobni” ta’ Facebook. Bħall-amministraturi tal-paġni tal-fans, l-operaturi tas-siti internet li jżidu l-plugins soċjali jistgħu jibbenefikaw mis-servizz “Facebook Insights” sabiex jiksbu informazzjoni ta’ statistika preċiża fuq l-utenti tas-sit tagħhom.

71.      Bħalma jiġri fil-każ ta’ konsultazzjoni ta’ paġna tal-fans, il-konsultazzjoni ta’ sit internet li fih plugin soċjali jattiva t-trażmissjoni ta’ data ta’ natura personali lejn il-fornitur ikkonċernat.

72.      Fl-opinjoni tiegħi, f’tali kuntest, u bħall-amministratur ta’ paġna tal-fans, amministratur ta’ sit internet li fih plugin soċjali, fil-każ fejn jeżerċita influwenza fattwali fuq il-fażi tal-ipproċessar li tirrigwarda t-trażmissjoni ta’ data ta’ natura personali lejn Facebook, għandu jiġi kklassifikat bħala “kontrollur” fis-sens tal-Artikolu 2(d) tad-Direttiva 95/46 (34).

73.      Inżid li, bħalma jindika ġustament il-Gvern Belġjan, il-konstatazzjoni li tipprovdi li Wirtschaftsakademie aġixxiet bħala kontrollur konġunt tal-ipproċessar meta ddeċidiet li tirrikorri għas-servizzi ta’ Facebook għall-offerta ta’ informazzjoni tagħha, ma tnaqqasx mill-obbligi imposti fuq Facebook Inc. u fuq Facebook Ireland fin-natura tagħhom ta’ kontrolluri tal-ipproċessar. Effettivament, huwa ċar li ż-żewġt entitajiet jeżerċitaw influwenza determinanti fuq il-finijiet u l-mezzi tal-ipproċessar tad-data ta’ natura personali li jseħħu fil-kuntest ta’ konsultazzjoni ta’ paġna tal-fans li jużawhom it-tnejn għall-finijiet u għall-interessi tagħhom stess.

74.      Madankollu, ir-rikonoxximent ta’ responsabbiltà konġunta tal-amministraturi ta’ paġni tal-fans fil-fażi tal-ipproċessar li tikkonsisti fil-ġabra ta’ data ta’ natura personali minn Facebook tikkontribwixxi sabiex tiżgura protezzjoni iktar kompleta tad-drittijiet li jiddisponu l-persuni li jikkonsultaw dawn it-tipi ta’ paġni. Barra min hekk, il-fatt li jiġu assoċjati b’mod attiv l-amministraturi tal-paġni tal-fans mar-rispett tar-regoli tal-protezzjoni tad-data ta’ natura personali billi jiġu deskritti bħala kontrolluri tal-ipproċessar huwa ta’ natura, minħabba effett indott, li jħeġġeġ lill-pjattaforma tan-netwerk soċjali innifisha sabiex tikkonforma ruħha ma’ tali regoli.

75.      Għandu jiġi ppreċiżat ukoll li l-eżistenza ta’ responsabbiltà konġunta ma tfissirx responsabbiltà fuq l-istess livell. Bil-kontra l-kontrolluri tal-ipproċessar differenti jistgħu jiġu implikati fl-ipproċessar ta’ data ta’ natura personali fi fażijiet differenti u fi gradi differenti (35).

76.      Skont il-grupp ta’ ħidma “Artikolu 29”, “[i]l-possibbiltà ta’ responsabbiltà pluralista tieħu inkunsiderazzjoni numru qed jikber ta’ sitwazzjonijiet li fihom il-partijiet differenti jaġixxu bħala kontrolluri. L-evalwazzjoni ta’ din il-koresponsabbiltà għandha tiġi kkalkolata fuq dik ta’ responsabbiltà “unika”, billi jiġi adottat approċċ konkret u prattiku, sabiex jiġi stabbilit jekk il-finijiet u l-elementi essenzjali tal-mezzi jiġu ddeterminati minn iktar minn parti waħda. Il-parteċipazzjoni tal-partijiet fid-determinazzjoni tal-finijiet u tal-mezzi tal-ipproċessar fil-kuntest ta’ koresponsabbiltà jista’ jkollha diversi forom u ma tkunx neċessarjament mqassma b’mod ugwali” (36). Fil-fatt, “meta jkun hemm pluralità ta’ operaturi huma jistgħu jkollhom relazzjoni stretta ħafna (billi jaqsmu, pereżempju, it-totalità tal-finijiet u tal-mezzi ta’ operazzjoni ta’ proċessar) jew bil-kontra, iktar distanti (billi ma jaqsmu xejn ħlief il-finijiet u l-mezzi, jew parti minn dawn). Għaldaqstant, firxa wiesgħa ta’ tipoloġiji tal-koresponsabbiltà għandha tiġi eżaminata, u l-konsegwenzi legali tagħhom evalwati, b’ċerta flessibbiltà sabiex tittieħed inkunsiderazzjoni l-kumplessità li qed tiżdied tar-realtà attwali tal-ipproċessar tad-data” (37).

77.      Fl-opinjoni tiegħi, jirriżulta minn dak li ntqal qabel, li l-amministratur ta’ paġna tal-fans fuq in-netwerk soċjali Facebook għandu jiġi kkunsidrat bħala li huwa, flimkien ma’ Facebook Inc. u Facebook Ireland, kontrollur tad-data ta’ natura personali li sseħħ fid-dawl tal-istabbiliment ta’ statistiċi ta’ udjenza dwar din il-paġna.

B.      Fuq it-tielet u r-raba’ domanda preliminari

78.      Permezz tat-tielet u r-raba’ domanda preliminari, li fl-opinjoni tiegħi għandhom jiġu eżaminati flimkien, il-qorti tar-rinviju tixtieq tikseb mingħand il-Qorti tal-Ġustizzja xi preċiżazzjonijiet fir-rigward tal-interpretazzjoni tal-Artikolu 4(1)(a) u tal-Artikolu 28(1), (3) u (6) tad-Direttiva 95/46 f’sitwazzjoni fejn kumpannija omm stabbilita barra mill-Unjoni, bħalma hija Facebook Inc., tipprovdi servizzi li jirrigwardaw netwerk soċjali fuq it-territorju tal-Unjoni, permezz ta’ diversi stabbilimenti. Fost dawn l-istabbilimenti, wieħed huwa maħtur mill-kumpannija omm bħala li huwa l-kontrollur tad-data ta’ natura personali fuq it-territorju tal-Unjoni (Facebook Ireland) u l-ieħor jiżgura l-promozzjoni u l-bejgħ ta’ spazji ta’ reklamar kif ukoll l-attivitajiet ta’ marketing intiżi għar-residenti tal-Ġermanja (Facebook Germany). F’din il-konfigurazzjoni, il-qorti tar-rinviju tixtieq issir taf, minn naħa, jekk l-awtorità ta’ superviżjoni Ġermaniża tistax teżerċita s-setgħat ta’ intervent intiżi sabiex l-ipproċessar tad-data ta’ natura personali kontenzjuż jiġi interrott u, min-naħa l-oħra, kontra liema stabbiliment jistgħu jiġu eżerċitati tali setgħat.

79.      Bħala risposta għad-dubji mlissna mill-ULD u mill-Gvern Taljan fuq l-ammissibbiltà tat-tielet u tar-raba’ domanda preliminari, nirrileva li l-Bundesverwaltungsgericht (qorti amministrattiva federali) tispjega fid-deċiżjoni tar-rinviju li teħtieġ xi kjarifikazzjonijiet fuq dawn il-punti sabiex tkun tista’ tiddeċiedi fuq il-legalità tal-ordni inkwistjoni fil-kawża prinċipali. B’mod partikolari, din il-qorti tqis li l-miżura ta’ ordni meħuda kontra Wirtschaftsakademie tista’ tkun żball ta’ evalwazzjoni u, konsegwentement, tkun illegali jekk il-ksur allegat mill-ULD kontra d-dritt tal-protezzjoni tad-data applikabbli, setgħa ġie rrimedjat minn miżura diretta kontra s-sussidjarja Facebook Germany li hija stabbilita fil-Ġermanja (38). Din ir-riflessjoni tal-qorti tar-rinviju tippermetti, fl-opinjoni tiegħi, li jkun hemm konoxxenza xierqa tar-raġunijiet għaliex hija għamlet it-tielet u r-raba’ domanda preliminari lill-Qorti tal-Ġustizzja. Fir-rigward tal-preżunzjoni ta’ rilevanza li hija marbuta mat-talbiet għal rinviju preliminari (39), nipproponi konsegwentement lill-Qorti tal-Ġustizzja sabiex tirrispondi għal dawn id-domandi.

80.      Skont l-Artikolu 4 tad-Direttiva 95/46, intitolat “Il-Liġi nazzjonali applikabbli”:

“1.      Kull Stat Membru għandu japplika d-dispożizzjonijiet nazzjonali li hu jadotta skond din id-Direttiva għall-ipproċessar ta’ data personali meta:

a)      l-ipproċessar isir fil-kuntest ta’ l-attivitajiet ta’ stabbiliment tal-kontrollur fit-territorju ta’ l-Istat Membru; meta l-istess kontrollur ikun stabbilit fit-territorju ta’ diversi Stati Membri, hu għandu jieħu l-miżuri meħtieġa biex jassigura li kull wieħed minn dawk l-istabbilimenti jkunu konformi ta’ l-obbligazzjonijiet meħtieġa mill-liġi nazzjonali li tkun tapplika

[…]”

81.      Fl-Opinjoni 8/2010 tiegħu tas-16 ta’ Diċembru 2010, fuq id-dritt applikabbli (40), il-grupp ta’ ħidma “Artikolu 29” jevoka l-applikazzjoni tal-Artikolu 4(1)(a) tad-Direttiva 95/46 fis-sitwazzjoni li ġejja: “Pjattaforma ta’ netwerk soċjali li għandha s-sede tagħha f’pajjiż terz u stabbiliment fi Stat Membru. L-istabbiliment jiddefinixxi u japplika l-politika li tirrigwarda l-ipproċessar tad-data ta’ natura personali li tikkonċerna lir-residenti tal-UE. In-netwerk soċjali jimmira b’mod attiv lir-residenti tal-Istati Membri kollha tal-[Unjoni], li jirrapreżentaw parti importanti tal-klijenti tiegħu u tad-dħul tiegħu. Huwa jinstalla wkoll xi cookies fuq il-kompjuters tal-utenti fl-[Unjoni]. F’dan il-każ, konformement mal-Artikolu 4(1)(a), [tad-Direttiva 95/46,] id-dritt aplikabbli tal-protezzjoni tad-data huwa dak tal-Istat Membru tal-[Unjoni] fuq it-territorju li fih hija stabbilita l-impriża. Ma tantx huwa importanti l-fatt li n-netwerk soċjali jirrikorrix jew le għal mezzi li jinsabu fit-territorju ta’ Stati Membri oħra, peress li l-ipproċessar kollu jitwettaq fil-kuntest tal-attivitajiet ta’ stabbiliment uniku u li d-direttiva teskludi l-applikazzjoni kumulattiva tal-punti (a) u (c) tal-Artikolu 4(1) [ta’ din id-direttiva]” (41). Il-grupp ta’ ħidma “Artikolu 29” jippreċiża wkoll li, “bl-applikazzjoni tal-Artikolu 28(6), [tal-imsemmija direttiva], l-awtorità ta’ superviżjoni tal-Istat Membru fit-territorju li fih in-netwerk soċjali huwa stabbilit hija marbuta sabiex tikkoopera mal-awtoritajiet ta’ sorveljanza l-oħra, pereżempju sabiex jittrattaw it-talbiet jew l-ilmenti li jirriżultaw mir-residenti tal-Istati Membri l-oħra tal-[Unjoni]” (42).

82.      L-eżempju espost fil-punt preċedenti, ma joħloq l-ebda diffikultà f’dak li jikkonċerna d-determinazzjoni tad-dritt nazzjonali applikabbli. Fil-fatt, f’dan il-każ, fejn il-kumpannija omm ma tiddisponix minn iktar minn stabbiliment wieħed fi ħdan l-Unjoni, huwa d-dritt tal-Istat Membru li fih dan l-istabbiliment jinsab li japplika għall-ipproċessar tad-data ta’ natura personali inkwistjoni.

83.      Is-sitwazzjoni ssir iktar kumplessa meta, bħalma huwa l-każ fil-kuntest tal-kawża preżenti, kumpannija stabbilita fi Stat terz, bħalma hija Facebook Inc., topera l-attivitajiet tagħha fi ħdan l-Unjoni, minn naħa, permezz ta’ stabbiliment li jinħatar minn din il-kumpannija bħala li għandu r-responsabbiltà esklużiva għall-ġabra u għall-ipproċessar tad-data ta’ natura personali fi ħdan il-grupp Facebook fuq it-territorju kollu tal-Unjoni (Facebook Ireland) u, min-naħa l-oħra, permezz ta’ stabbilimenti oħra, fejn wieħed jinsab fil-Ġermanja (Facebook Germany) u huwa responsabbli, skont l-indikazzjonijiet li jidhru fid-deċiżjoni tar-rinviju, għall-promozzjoni u għall-bejgħ tal-ispazju ta’ reklamar u għall-attivitajiet ta’ marketing l-oħra intiżi għar-residenti ta’ dan l-Istat Membru (43).

84.      F’tali sitwazzjoni, l-awtorità ta’ superviżjoni Ġermaniża hija kompetenti sabiex teżerċita s-setgħat ta’ intervent tagħha intiżi sabiex ittemm l-ipproċessar tad-data ta’ natura personali li għalih Facebook Inc. u Facebook Ireland huma responsabbli konġuntament?

85.      Sabiex tingħata risposta għal din id-domanda, għandu jiġi ddeterminat jekk l-awtorità ta’ superviżjoni Ġermaniża hijiex fondata tapplika d-dritt nazzjonali tagħha fuq tali proċessar.

86.      F’dan ir-rigward, mill-Artikolu 4(1)(a) tad-Direttiva 95/46 jirriżulta li proċessar ta’ data mwettaq fil-kuntest tal-attivitajiet ta’ stabbiliment huwa rregolat mid-dritt tal-Istat Membru li fih jinsab dan l-istabbiliment.

87.      Il-Qorti tal-Ġustizzja diġà ddeċidiet li, fid-dawl tal-għan segwit minn din id-direttiva, li tiżgura protezzjoni effikaċi u kompleta tal-libertajiet u tad-drittijiet fundamentali tal-persuni fiżiċi, b’mod partikolari tad-dritt għall-ħajja privata, fir-rigward tal-ipproċessar ta’ data personali, l-espressjoni “fil-kuntest ta’ l-attivitajiet ta’ stabbiliment” f’din id-direttiva, ma għandhiex tingħata interpretazzjoni ristrettiva (44).

88.      L-applikabbiltà ta’ liġi ta’ traspożizzjoni ta’ Stat Membru fuq proċessar ta’ data ta’ natura personali tissupponi li jiġu ssodisfatti żewġ kundizzjonijiet. L-ewwel nett, il-kontrollur ta’ dan l-ipproċessar għandu jkollu “stabbiliment” f’dan l-Istat Membru. It-tieni nett, dan l-ipproċessar għandu jseħħ “fil-kuntest ta’ l-attivitajiet” ta’ dan l-istabbiliment.

89.      Fl-ewwel lok, fir-rigward tal-kunċett ta’ “stabbiliment” fis-sens tal-Artikolu 4(1)(a) tad-Direttiva 95/46, il-Qorti tal-Ġustizzja diġà ppreċiżat, billi interpretat b’mod wiesa u flessibbli lil dan il-kunċett, li dan jestendi għal kull attività reali u effettiva, anki minima, eżerċitata permezz ta’ arranġament stabbli (45), u jeskludi b’hekk kull approċċ formalistiku (46).

90.      Taħt din il-perspettiva, għandu jiġi evalwat kemm il-grad ta’ stabbiltà tal-arranġament u kemm ir-realtà tal-eżerċizzju tal-attivitajiet fl-Istat Membru inkwistjoni (47), billi tittieħed inkunsiderazzjoni n-natura speċifika tal-attivitajiet ekonomiċi u tal-provvista ta’ servizzi inkwistjoni (48). F’dan ir-rigward, ma huwiex ikkontestat li Facebook Germany, li s-sede tagħha tinsab f’Hamburg (il-Ġermanja), hija involuta fl-eżerċizzju effettiv u reali ta’ attività permezz ta’ arranġament stabbli fil-Ġermanja. Għaldaqstant, hija tikkostitwixxi “stabbiliment” fis-sens tal-Artikolu 4(1)(a) tad-Direttiva 95/46.

91.      Fit-tieni lok, fir-rigward tal-punt sabiex isir magħruf jekk l-ipproċessar tad-data ta’ natura personali kkonċernat jitwettaqx “fil-kuntest ta’ l-attivitajiet” ta’ dan l-istabbiliment, fis-sens tal-Artikolu 4(1)(a) tad-Direttiva 95/46, il-Qorti tal-Ġustizzja fakkret diġà li din id-dispożizzjoni tirrikjedi li l-ipproċessar ta’ data ta’ natura personali inkwistjoni għandu jitwettaq mhux “minn” l-istabbiliment ikkonċernat innifsu, iżda biss li dan isir “fil-kuntest tal-attivitajiet” tiegħu (49).

92.      Hekk kif jirriżulta mill-Opinjoni 8/2010 tal-grupp ta’ ħidma “Artikolu 29” fuq id-dritt applikabbli, “il-kunċett ta’ ‘kuntest tal-attivitajiet’, u mhux il-lokalizzazzjoni tad-data, huwa fattur determinanti għad-definizzjoni tad-dritt applikabbli. Dan il-kunċett jissupponi li d-dritt applikabbli ma huwiex dak tal-Istat Membru li fih huwa stabbilit il-kontrollur, iżda dak tal-Istat li fih l-istabbiliment tal-kontrollur jipparteċipa f’xi attivitajiet [marbuta mal-ipproċessar ta’ natura personali jew li jimplikaw dan l-ipproċessar]. F’dan il-kuntest, il-grad ta’ parteċipazzjoni tal-istabbiliment jew tal-istabbilimenti fl-attivitajiet li fil-kuntest tagħhom id-data ta’ natura personali tiġi pproċessata jgawdi importanza kbira. Barra minn hekk, għandha tittieħed inkunsiderazzjoni n-natura tal-attivitajiet tal-istabbilimenti, kif ukoll in-neċessità li tiġi żgurata protezzjoni effettiva tad-drittijiet tal-persuni. Hemm lok li jiġi adottat approċċ funzjonali sabiex jiġu analizzati dawn il-kriterji: huma iktar l-aġir tal-partijiet u l-interazzjoni tagħhom milli l-evalwazzjoni teoretika tagħhom tal-liġi applikabbli li huma determinanti” (50).

93.      Fis-sentenza tat-13 ta’ Mejju 2014, Google Spain u Google (51), il-Qorti tal-Ġustizzja kellha tivverifika r-rispett ta’ din il-kundizzjoni. Hawn hija żammet interpretazzjoni wiesgħa billi kkunsidrat li l-ipproċessar tad-data ta’ natura personali li jitwettaq għall-bżonnijiet ta’ mutur ta’ tfittxija bħalma huwa Google Search, li huwa operat minn impriża li għandha s-sede tagħha fi Stat terz iżda li tiddisponi minn stabbiliment fi Stat Membru, jitwettaq “fil-kuntest ta’ l-attivitajiet” ta’ dan l-istabbiliment jekk dan huwa intiż sabiex jiżgura, f’dan l-Istat Membru, il-promozzjoni u l-bejgħ ta’ spazji ta’ reklamar proposti mill-mutur ta’ tfittxija, li jservu sabiex jagħmlu profittabbli s-servizz offrut mill-imsemmi mutur (52). Fil-fatt, il-Qorti tal-Ġustizzja tirrileva li, “f’tali ċirkustanzi, l-attivitajiet tal-operatur tal-mutur ta’ tfittxija u dawk tal-istabbiliment tiegħu li jkun jinsab fl-Istat Membru kkonċernat ikunu marbuta b’mod inseparabbli peress li l-attivitajiet marbuta mal-ispazji ta’ reklamar jikkostitwixxu l-mezz sabiex il-mutur ta’ tfittxija inkwistjoni jkun ekonomikament profittabbli u peress li, fl-istess ħin, dan il-mutur huwa l-mezz li permezz tiegħu jistgħu jitwettqu dawn l-attivitajiet” (53). Il-Qorti tal-Ġustizzja żiedet, insostenn tas-soluzzjoni tagħha, li peress li l-wirja ta’ data ta’ natura personali fuq paġna ta’ riżultati ta’ tfittxija “jintwerew, fuq l-istess paġna, flimkien ma’ reklamar marbut mal-kliem ta’ tfittxija, għandu jiġi kkonstatat li l-ipproċessar ta’ data personali inkwistjoni jsir fil-kuntest tal-attività ta’ reklamar u kummerċjali tal-istabbiliment tal-kontrollur tal-ipproċessar fit-territorju ta’ Stat Membru, f’dan il-każ fit-territorju Spanjol” (54).

94.      Issa, skont l-indikazzjonijiet li hemm fid-deċiżjoni tar-rinviju, Facebook Germany hija responsabbli għall-promozzjoni u għall-bejgħ ta’ spazji ta’ reklamar u ta’ attivitajiet ta’ marketing oħra intiżi għar-residenti tal-Ġermanja. Fil-każ fejn l-ipproċessar tad-data ta’ natura personali li huwa inkwistjoni fil-kawża prinċipali, li jikkonsisti fil-ġabra ta’ tali data permezz ta’ cookies installati fuq il-kompjuters ta’ min jaċċessa l-paġni tal-fans, għandu bħala għan sabiex jippermetti lil Facebook sabiex jimmira aħjar ir-reklamar li huwa jxandar, tali pproċessar għandu jiġi kkunsidrat bħala li jseħħ fil-kuntest tal-attivitajiet li twettaq Facebook Germany fil-Ġermanja. F’dan ir-rigward, b’teħid inkunsiderazzjoni tal-fatt li netwerk soċjali bħal Facebook jiġġenera l-parti l-kbira tad-dħul tiegħu permezz tar-reklamar li jixxandar fuq il-paġni internet li l-utenti joħolqu u li jaċċessaw (55), hemm lok li jiġi kkunsidrat li l-attivitajiet tar-responsabbli konġunti għall-ipproċessar, li huma Facebook Inc. u Facebook Ireland huma marbuta b’mod permanenti ma’ dawk ta’ stabbiliment bħalma hija Facebook Germany. Barra minn hekk, wara l-ipproċessar ta’ data ta’ natura personali permessa permezz tal-istallazzjoni ta’ cookie fuq il-kompjuter ta’ persuna li taċċessa paġna li tappartjeni għall-isem tad-dominju Facebook.com, il-konsultazzjoni ta’ paġna Facebook tirriżulta fil-wirja, fuq l-istess paġna internet, ta’ reklami rrelatati mal-interessi ta’ din il-persuna. Minn dan hemm lok li jiġi dedott li l-ipproċessar ta’ data ta’ natura personali inkwistjoni jitwettaq fil-kuntest tal-attività ta’ reklamar u kummerċjali tal-istabbiliment tal-kontrollur fuq it-territorju ta’ Stat Membru, f’dan il-każ it-territorju Ġermaniż.

95.      Il-fatt li l-grupp Facebook, b’differenza ta’ dak li kien il-każ fil-kuntest tal-kawża li tat lok għas-sentenza tat-13 ta’ Mejju 2014, Google Spain u Google (56), jiddisponi minn sede Ewropea, f’dan il-każ fl-Irlanda, ma jipprekludix li l-interpretazzjoni tal-Artikolu 4(1)(a) tad-Direttiva 95/46 li l-Qorti tal-Ġustizzja żammet f’din is-sentenza tiġi trasposta fil-kuntest tal-kawża preżenti. Fl-imsemmija sentenza, il-Qorti tal-Ġustizzja esprimiet ir-rieda li tevita li l-ipproċessar ta’ data ta’ natura personali jiġi eskluż mill-obbligi u mill-garanziji previsti minn din id-direttiva. Fil-kuntest tal-proċedura preżenti ġie sostnut li l-problema marbuta ma’ tali evażjoni ma jirriżultax, peress li kontrollur huwa stabbilit fi Stat Membru, f’dan il-każ l-Irlanda. Għaldaqstant, skont din il-loġika, l-Artikolu 4(1)(a) ta’ din id-direttiva għandu jiġi interpretat bħala li jimponi fuq dan il-kontrollur li ma jiħux inkunsiderazzjoni għajr leġiżlazzjoni nazzjonali waħda u li ma jiddependix fuq iktar minn awtorità ta’ superviżjoni unika, jiġifieri l-leġiżlazzjoni u l-awtorità Irlandiżi.

96.      Madankollu, tali interpretazzjoni hija kuntrarja għat-termini tal-Artikolu 4(1)(a) tad-Direttiva 95/46 kif ukoll għall-oriġini ta’ din id-dispożizzjoni. Fil-fatt, kif irrileva ġustament il-Gvern Belġjan waqt is-seduta, din id-direttiva ma tistabilixxi la l-mekkaniżmu ta’ punt wieħed ta’ servizz u lanqas il-prinċipju tal-pajjiż ta’ oriġini (57). F’dan ir-rigward, ma għandhiex issir konfużjoni mal-għan politiku mfittex mill-Kummissjoni Ewropea fil-proposta tagħha għal direttiva u s-soluzzjoni li fl-aħħar mill-aħħar ġiet approvata mill-Kunsill tal-Unjoni Ewropea. F’din id-direttiva, il-leġiżlatur għamel l-għażla li ma jagħtix prijorità lill-applikazzjoni tad-dritt nazzjonali tal-Istat Membru li fih jinsab l-istabbiliment prinċipali tal-kontrollur. Ir-riżultat tad-Direttiva 95/46 jirrifletti r-rieda tal-Istati Membri li jżommu l-kompetenza tagħhom għall-eżekuzzjoni nazzjonali. Billi ma żammx il-prinċipju tal-pajjiż ta’ oriġini, il-leġiżlatur tal-Unjoni ppermetta lil kull Stat Membru sabiex japplika l-leġiżlazzjoni tiegħu u b’hekk għamel possibbli l-kumulu tal-leġiżlazzjonijiet nazzjonali applikabbli (58).

97.      Permezz tal-Artikolu 4(1)(a) ta’ din id-direttiva, il-leġiżlatur tal-Unjoni għażel li jippermetti b’mod deliberat, fil-każ tal-preżenza ta’ diversi stabbilimenti ta’ kontrollur fi ħdan l-Unjoni, li diversi leġiżlazzjonijiet nazzjonali dwar il-protezzjoni tad-data ta’ natura personali jistgħu japplikaw għall-ipproċessar ta’ data ta’ natura personali tar-residenti tal-Istati Membri kkonċernati sabiex jiżguraw protezzjoni tad-drittijiet effettiva fi ħdan dawn l-Istati Membri.

98.      Dan huwa kkonfermat mill-premessa 19 tad-Direttiva 95/46 li tippreċiża li “meta kontrollur wieħed ikun stabbilit fit-territorju ta’ diversi Stati Membri, partikolarment permezz ta’ sussidjarji, huwa għandu jassigura, sabiex ma jkunux skartati regoli nazzjonali, li kull stabbiliment jissodisfa l-obbligazzjonijiet tal-liġi nazzjonali li jkunu japplikaw għall-attivitajiet tiegħu”.

99.      Għaldaqstant, niddeduċi li l-Artikolu 4(1)(a) tad-Direttiva 95/46, fejn it-tieni sentenza tippreċiża, fl-istess linja ta’ dak li tindika l-premessa 19 ta’ din id-direttiva, li meta l-istess kontrollur ikun stabbilit fit-territorju ta’ diversi Stati Membri, hu għandu jieħu l-miżuri meħtieġa biex jiżgura li kull wieħed minn dawk l-istabbilimenti jkunu konformi mal-obbligazzjonijiet meħtieġa mill-liġi nazzjonali li tkun tapplika, li l-istruttura tal-grupp li hija kkaratterizzata mill-preżenza ta’ stabbilimenti ta’ kontrollur f’diversi Stat Membri ma għandhiex jkollha bħala effett li tippermetti lil dan tal-aħħar sabiex jevadi lid-dritt tal-Istat Membru li fil-ġurisdizzjoni tiegħu kull wieħed minn dawn l-istabbilimenti huwa stabbilit.

100. Inżid li l-interpretazzjoni li tiffavorixxi l-applikazzjoni esklużiva tad-dritt tal-Istat Membru li fih tinsab is-sede Ewropea ta’ grupp internazzjonali ma tistax’ fl-opinjoni tiegħi, tiġi difiża minn mindu ngħatat is-sentenza tat-28 ta’ Lulju 2016, Verein für Konsumenteninformation (59). F’din is-sentenza, il-Qorti tal-Ġustizzja ddeċidiet li l-ipproċessar tad-data ta’ natura personali mwettqa minn impriża ta’ kummerċ elettroniku hija rregolata mid-dritt tal-Istat Membru li lejh l-imsemmija impriża tindirizza l-attivitajiet tagħha, jekk jirriżulta li din l-impriża tipproċedi għall-ipproċessar tad-data inkwistjoni fil-kuntest tal-attivitajiet ta’ stabbiliment li jinsab barra minn dan l-Istat Membru. Il-Qorti tal-Ġustizzja ddeċidiet f’dan is-sens minkejja li Amazon, bħal Facebook, hija impriża li tiddisponi mhux biss minn sede Ewropea fi Stat Membru iżda għandha wkoll preżenza fiżika f’diversi Stati Membri. F’tali każ wkoll, għandu jiġi eżaminat jekk l-ipproċessar tad-data jaqax taħt il-kuntest tal-attivitajiet ta’ stabbiliment fi Stat Membru li ma huwiex dak fejn tinsab is-sede Ewropea tal-kontrollur.

101. Hekk kif jirrileva l-Gvern Belġjan, għaldaqstant huwa perfettament possibbli li stabbiliment li ma huwiex dak tas-sede Ewropea jibqa’ rilevanti għall-applikazzjoni tal-Artikolu 4(1)(a) tad-Direttiva 95/46.

102. Fil-kuntest tas-sistema implementata minn din id-direttiva, il-post li fih jitwettaq l-ipproċessar, l-istess bħal post li fih il-kontrollur stabbilixxa s-sede tiegħu fl-Unjoni, għaldaqstant ma humiex determinanti, fil-każ tal-preżenza ta’ diversi stabbilimenti ta’ dan il-kontrollur fi ħdan l-Unjoni, sabiex jiġi identifikat id-dritt nazzjonali applikabbli għall-ipproċessar tad-data u sabiex awtorità ta’ superviżjoni tingħata l-kompetenza sabiex teżerċita s-setgħat ta’ intervent tagħha.

103. Fl-opinjoni tiegħi, il-Qorti tal-Ġustizzja ma għandhiex tantiċipa s-sistema li ser ikun stabbilit mir-regolament ġenerali dwar il-protezzjoni tad-data (60), li ser ikun applikabbli mill-25 ta’ Mejju 2018. Fil-kuntest ta’ din is-sistema, jiġi stabbilit mekkaniżmu ta’ punt ta’ servizz uniku. Dan ifisser li kontrollur li jwettaq l-ipproċessar transkonfinali, bħal Facebook, mhux ser jiddisponi minn iktar minn awtorità ta’ superviżjoni waħda, bħala interlokutur, jiġifieri l-awtorità ta’ superviżjoni kap, li tkun dik tal-post fejn jinsab l-istabbiliment prinċipali tal-kontrollur. Madankollu, din is-sistema kif ukoll il-mekkaniżmu soffistikat ta’ kooperazzjoni li tistabbilixxi għadhom ma humiex applikabbli.

104. Ċertament, fil-każ fejn Facebook għażel li jistabbilixxi s-sede prinċipali tiegħu fl-Unjoni fl-Irlanda, l-awtorità ta’ superviżjoni ta’ dan l-Istat Membru tista’ tilgħab rwol importanti sabiex tivverifika jekk Facebook irrispettax ir-regoli stabbiliti mid-Direttiva 95/46. Madankollu, bħalma tirrikonoxxi din l-awtorità stess, dan ma jfissirx li hija tiddisponi, fil-kuntest tas-sistema attwali bbażat fuq din id-direttiva, minn kompetenza esklużiva li tikkonċerna l-attivitajiet ta’ Facebook fi ħdan l-Unjoni (61).

105. Dawn l-elementi kollha jwassluni sabiex nikkunsidra, bħall-Gvern Belġjan, il-Gvern Olandiż, u l-ULD, li l-interpretazzjoni li l-Qorti tal-Ġustizzja żammet tal-Artikolu 4(1)(a) tad-Direttiva 95/46 fis-sentenza tagħha tat-13 ta’ Mejju 2014, Google Spain u Google (62) hija applikabbli wkoll f’sitwazzjoni, bħal dik inkwistjoni fil-kawża prinċipali, fejn kontrollur huwa stabbilit fi Stat Membru tal-Unjoni u jiddisponi minn diversi stabbilimenti fi ħdan l-Unjoni.

106. B’hekk, fuq il-bażi tal-indikazzjonijiet ipprovduti mill-qorti tar-rinviju fir-rigward tan-natura tal-attivitajiet imwettqa minn Facebook Germany, hemm lok li jiġi kkunsidrat li l-ipproċessar tad-data ta’ natura personali kontenzjuż jitwettaq fil-kuntest tal-attivitajiet ta’ dan l-istabbiliment, u li l-Artikolu 4(1)(a) tad-Direttiva 95/46 jippermetti, f’sitwazzjoni bħal dik inkwistjoni fil-kawża prinċipali, l-applikazzjoni tad-dritt Ġermaniż dwar il-protezzjoni tad-data ta’ natura personali (63).

107. Għaldaqstant, l-awtorità ta’ superviżjoni hija kompetenti sabiex tapplika d-dritt nazzjonali tagħha fuq l-ipproċessar ta’ data ta’ natura personali inkwistjoni fil-kawża prinċipali.

108. Mill-Artikolu 28(1) ta’ din id-direttiva jirriżulta li kull awtorità ta’ superviżjoni implementata minn Stat Membru tiżgura r-rispett, fuq it-territorju ta’ dan l-Istat Membru, tad-dispożizzjonijiet adottati mill-Istati Membri bl-applikazzjoni ta’ din id-direttiva.

109. Abbażi tal-Artikolu 28(3) tad-Direttiva 95/46, dawn l-awtoritajiet ta’ sorveljanza jiddisponu b’mod partikolari minn setgħat ta’ investigazzjoni, bħalma hija s-setgħa li jiġbru l-informazzjoni kollha neċessarja għat-twettiq tal-missjoni ta’ sorveljanza tagħhom u tas-setgħat effettivi ta’ intervent, bħal dawk li jordnaw l-imblokk, it-tħassir jew id-distruzzjoni ta’ data, li ma tħallix għal xi żmien jew għal dejjem milli jsir ipproċessar, li twissi jew twiddeb lill-kontrollur. Dawn is-setgħat ta’ intervent jistgħu jinkludu wkoll dawk li jissanzjonaw lill-kontrollur tad-data billi jimponu multa (64).

110. Minn naħa tiegħu, l-Artikolu 28(6) tad-Direttiva 95/46 huwa fformulat kif ġej:

“Kull awtorità ta’ superviżjoni hija kompetenti, tkun liema tkun il-liġi nazzjonali li tkun applika għall-ipproċessar in kwistjoni, li teżerċita, fit-territorju ta’ l-Istat Membru tagħha nfisha, is-setgħat mogħtija lilha skond il-paragrafu 3. Kull awtorità tista’ tintalab li teżerċita s-setgħat tagħha minn awtorità ta’ Stat Membru ieħor.

L-awtoritajiet ta’ superviżjoni għandhom jikkooperaw ma xulxin f’dak li jkun meħtieġ biex iwettqu dmirijiethom, partikolarment billi jaqsmu flimkien kull informazzjoni utli.”

111. Fid-dawl tal-fatt li d-dritt tal-Istat Membru li hija taqa’ taħtu huwa applikabbli għall-ipproċessar tad-data ta’ natura personali inkwistjoni fil-kawża prinċipali, l-awtorità ta’ superviżjoni Ġermaniża hija f’pożizzjoni sabiex teżerċita t-totalità tas-setgħat ta’ intervent tagħha, sabiex tiżgura li d-dritt Ġermaniż jiġi applikat u rrispettat minn Facebook fit-territorju Ġermaniż. Tali konklużjoni tirriżulta mis-sentenza tal-1 ta’ Ottubru 2015, Weltimmo (65), li ppermettiet li tiġi ppreċiżata l-portata tal-Artikolu 28(1), (3) u (6) tad-Direttiva 95/46.

112. Il-kwistjoni prinċipali ta’ din il-kawża kienet dik li tiġi ddeterminata l-kompetenza tal-awtorità ta’ superviżjoni Ungeriża sabiex timponi multa fuq fornitur ta’ servizzi impost fi Stat Membru ieħor, jiġifieri l-Islovakkja. Id-determinazzjoni ta’ din il-kompetenza kellha qabel kollox tipi eżaminata sabiex isir magħruf jekk, bl-applikazzjoni tal-kriterju stabbilit mill-Artikolu 4(1)(a) tad-Direttiva 95/46, id-dritt Ungeriż kienx applikabbli jew le.

113. Fl-ewwel parti tar-risposta tagħha, il-Qorti tal-Ġustizzja pprovdiet lill-qorti tar-rinviju b’ċertu numru ta’ indikazzjonijiet li ppermettew lil din tal-aħħar sabiex tistabbilixxi l-eżistenza ta’ stabbiliment ta’ kontrollur fl-Ungerija. Barra minn hekk, hija tikkunsidra li dan l-ipproċessar twettaq fil-kuntest tal-attivitajiet ta’ dan l-istabbiliment u li l-Artikolu 4(1)(a) tad-Direttiva 95/46 jippermetti, f’sitwazzjoni bħal dik inkwistjoni f’din il-kawża, l-applikazzjoni tad-dritt Ungeriż dwar il-protezzjoni tad-data ta’ natura personali.

114. Din l-ewwel parti tar-risposta tal-Qorti tal-Ġustizzja kienet għaldaqstant ta’ natura li tikkonferma l-kompetenza tal-awtorità ta’ superviżjoni Ungeriża sabiex timponi, bl-applikazzjoni tad-dritt Ungeriż, multa fuq il-fornitur ta’ servizzi stabbilit fi Stat Membru ieħor, f’dan il-każ Weltimmo.

115. Fi kliem ieħor, mill-mument li fih, bl-applikazzjoni tal-kriterju li jidher fl-Artikolu 4(1)(a) tad-Direttiva 95/46, id-dritt Ungeriż jista’ jiġi rrikonoxxut bħala li huwa d-dritt nazzjonali applikabbli, l-awtorità ta’ superviżjoni Ungeriża tiddisponi mill-kompetenza sabiex tiżgura r-rispett ta’ dan id-dritt fil-każ ta’ preġudizzju kontrih minn kontrollur, minkejja li dan tal-aħħar ikun irreġistrat fl-Islovakkja. Permezz ta’ din id-dispożizzjoni tad-Direttiva 95/46, setgħa jiġi kkunsidrat li Weltimmo, minkejja li kienet irreġistrata fl-Islovakkja, kienet stabbilita wkoll fl-Ungerija. Il-preżenza fl-Ungerija ta’ stabbiliment ta’ kontrollur li jeżerċita xi attivitajiet fil-kuntest li fih jitwettaq dan l-ipproċessar jikkostitwixxi b’hekk il-punt ta’ referenza neċessarju għar-rikonoxximent tal-applikabbiltà tad-dritt Ungeriż u, minn naħa tagħha, tal-kompetenza tal-awtorità ta’ superviżjoni Ungeriża sabiex tiżgura r-rispett ta’ dan id-dritt fuq it-territorju Ungeriż.

116. It-tieni parti tar-risposta tal-Qorti tal-Ġustizzja, li fiha din wasslet sabiex tenfasizza l-prinċipju tal-applikazzjoni territorjali ta’ kull awtorità ta’ superviżjoni, ġiet iddikjarata sussidjarjament biss, jiġifieri, “fil-każ li l-awtorità ta’ superviżjoni Ungeriża tqis li Weltimmo għandha, mhux fl-Ungerija, iżda fi Stat Membru ieħor, stabbiliment, fis-sens tal-Artikolu 4(1)(a) tad-Direttiva 95/46, li jeżerċita attivitajiet li fil-kuntest tagħhom isir l-ipproċessar ta’ data personali” (66). Għaldaqstant, tirrigwarda r-risposta għall-kwistjoni sabiex isir magħruf jekk “fil-każ li l-awtorità ta’ superviżjoni Ungeriża tasal għall-konklużjoni li d-dritt applikabbli għall-ipproċessar tad-data personali ma huwiex id-dritt Ungeriż, iżda d-dritt ta’ Stat Membru ieħor, l-Artikolu 28(1), (3) u (6) tad-Direttiva 95/46 għandux jiġi interpretat fis-sens li din l-awtorità tista’ teżerċita biss is-setgħat previsti fl-Artikolu 28(3) ta’ din id-direttiva, skont id-dritt ta’ dan l-Istat Membru l-ieħor, u ma tistax timponi sanzjonijiet” (67).

117. Fit-tieni parti tar-risposta tagħha, il-Qorti tal-Ġustizzja ppreċiżat konsegwentement, il-firxa kemm materjali u kemm territorjali tas-setgħat li awtorità ta’ superviżjoni tista’ teżerċita f’sitwazzjoni partikolari, jiġifieri dik li fiha d-dritt ta’ Stat Membru li taħtu taqa’ din l-awtorità ta’ superviżjoni ma huwiex applikabbli.

118. F’tali każ, il-Qorti tal-Ġustizzja kkunsidrat li “is-setgħat ta’ din l-awtorità mhux neċessarjament jinkludu dawk kollha mogħtija lilha skont id-dritt tal-Istat Membru li taħtu hija taqa’” (68). Għaldaqstant, “meta awtorità ta’ superviżjoni tirċievi lment, skont l-Artikolu 28(4) tad-Direttiva 95/46, din l-awtorità tista’ teżerċita s-setgħat investigattivi tagħha irrispettivament mid-dritt applikabbli u anki qabel ma tkun taf liema huwa d-dritt nazzjonali applikabbli għall-ipproċessar inkwistjoni. Madankollu, jekk hija tasal għall-konklużjoni li d-dritt ta’ Stat Membru ieħor huwa applikabbli, hija ma tistax timponi sanzjonijiet barra mit-territorju tal-Istat Membru li taħtu hija taqa’. F’tali sitwazzjoni, hija għandha, sabiex jiġi eżegwit l-obbligu ta’ kooperazzjoni, previst fl-Artikolu 28(6) ta’ din id-direttiva, titlob lill-awtorità ta’ superviżjoni ta’ dan l-Istat Membru l-ieħor tikkonstata ksur eventwali ta’ dan id-dritt u timponi sanzjonijiet jekk dan id-dritt jippermetti dan, billi tibbaża ruħha, jekk ikun meħtieġ, fuq l-informazzjoni li hija tkun ittrażmettitilha” (69).

119. Mis-sentenza tal-1 ta’ Ottubru 2015, Weltimmo (70) nieħu t-tagħlim li ġej għall-kawża preżenti.

120. B’differenza mill-ipoteżi li fuqha l-Qorti tal-Ġustizzja bbażat ir-raġunament tagħha fuq is-setgħat tal-awtoritajiet ta’ superviżjoni fit-tieni parti tas-sentenza tal-1 ta’ Ottubru 2015, Weltimmo (71), il-kawża li qed niddiskutu tikkorrispondi għal soluzzjoni, analoga għal dik li tikkorrispondi għall-ewwel parti ta’ din is-sentenza, li fiha, bħalma indikajt preċedentement, id-dritt nazzjonali applikabbli huwa tassew dak tal-Istat Membru li taħtu taqa’ l-awtorità ta’ superviżjoni li teżerċita s-setgħat ta’ intervent tagħha, u dan minħabba l-preżenza fuq it-territorju ta’ dan l-Istat Membru ta’ stabbiliment ta’ kontrollur fejn l-attività hija marbuta b’mod permanenti ma’ dan l-ipproċessar. Il-preżenza fil-Ġermanja ta’ dan l-istabbiliment tikkostitwixxi l-punt ta’ referenza neċessarju għall-applikazzjoni tad-dritt Ġermaniż għall-ipproċessar tad-data ta’ natura personali kontenzjuż.

121. Ladarba din il-kundizzjoni preċedenti tiġi ssodisfatta, l-awtorità ta’ superviżjoni Ġermaniża għandha tiġi rrikonoxxuta bħala kompetenti sabiex tiżgura r-rispett fuq it-territorju Ġermaniż tar-regoli dwar il-protezzjoni tad-data ta’ natura personali billi timplementa t-totalità tas-setgħat li hija tiddisponi minnhom abbażi tad-dispożizzjonijiet Ġermaniżi li jittrasponu lill-Artikolu 28(3) tad-Direttiva 95/46. Tali setgħat jistgħu jinkludu ordni ta’ projbizzjoni temporanja jew definittiva tal-ipproċessar.

122. Fir-rigward tal-punt sabiex isir magħruf liema entità għandha tkun id-destinatarja ta’ tali miżura, żewġ miżuri jidhru prevedibbli.

123. L-ewwel soluzzjoni tikkonsisti fil-kunsiderazzjoni, abbażi ta’ qari strett tal-kamp ta’ applikazzjoni territorjali tas-setgħat ta’ intervent li jiddisponu minnhom l-awtoritajiet ta’ superviżjoni, li dawn jistgħu biss jeżerċitaw is-setgħat tagħhom kontra l-istabbiliment tal-kontrollur li jinsab fuq it-territorju tal-Istat Membru li huma jaqgħu taħtu. Jekk, bħalma huwa l-każ fil-kuntest tal-kawża preżenti, dan l-istabbiliment, f’dan il-każ Facebook Germany, ma huwiex il-kontrollur u għaldaqstant ma jistax isegwi huwa nnifsu talba tal-awtorità ta’ superviżjoni intiża sabiex jintemm ipproċessar ta’ data, ikollu jittrażmetti din it-talba lill-kontrollur sabiex dan tal-aħħar ikun jista’ jeżegwixxiha.

124. Bil-kontra, it-tieni soluzzjoni tikkonsisti li jiġi kkunsidrat li, peress li l-kontrollur huwa l-uniku li jista’ jeżerċita influwenza determinanti fuq l-ipproċessar tad-data inkwistjoni, huwa dan li għandu jiġi indirizzat direttament b’miżura li tordna l-waqfien ta’ tali pproċessar.

125. Fl-opinjoni tiegħi, din it-tieni soluzzjoni għandha tingħata prijorità fil-każ fejn hija koerenti mar-rwol fundamentali li l-kontrollur jokkupa fil-kuntest tas-sistema implementata mid-Direttiva 95/46 (72). Tali soluzzjoni, billi tevita l-obbligu li wieħed jgħaddi mill-intermedjarju li jikkostitwixxi l-istabbiliment li jeżerċita l-attivitajiet fil-kuntest li fihom jitwettaq l-ipproċessar, hija ta’ natura li tiżgura applikazzjoni immedjata u effettiva tar-regoli nazzjonali dwar il-protezzjoni tad-data ta’ natura personali. Barra minn hekk, l-awtorità ta’ superviżjoni li tindirizza direttament lil kontrollur li ma huwiex stabbilit fit-territorju tal-Istat Membru li hija taqa’ taħtu, bħal Facebook Inc. jew Facebook Ireland, b’miżura li tordna l-waqfien ta’ pproċessar ta’ data, tibqa’ fil-limiti tal-kompetenza tagħha, li tikkonsisti fl-assigurazzjoni li dan it-trattament ikun konformi mad-dritt ta’ dan l-Istat fuq it-territorju tiegħu. F’dan ir-rigward, ma tantx huwa importanti li l-kontrollur jew il-kontrolluri tal-ipproċessar ikunux stabbiliti fi Stat Membru ieħor jew ukoll fi Stat terz.

126. Jien nippreċiża wkoll, b’rabta mal-proposta tiegħi għal risposta għall-ewwel u għat-tieni domanda preliminari, li, fid-dawl tal-għan intiż li tiġi żgurata l-iktar protezzjoni possibbli tad-drittijiet disponibbli għall-persuni li jikkonsultaw il-paġni tal-fans, il-possibbiltà għall-ULD li teżerċita s-setgħat tagħha ta’ intervent kontra Facebook Inc. u Facebook Ireland ma jeskludix, fil-fehma tiegħi, it-teħid ta’ miżuri fir-rigward ta’ Wirtschaftsakademie u għalhekk ma jistax, bħala tali jaffettwa l-legalità ta’ dawn tal-aħħar (73).

127. Mill-iżviluppi preċedenti jirriżulta li l-Artikolu 4(1)(a) tad-Direttiva 95/46 għandu jiġi interpretat fis-sens li pproċessar ta’ data ta’ natura personali bħal dak inkwistjoni fil-kawża prinċipali, jitwettaq fil-kuntest tal-attivitajiet ta’ stabbiliment tal-kontrollur ta’ dan l-ipproċessar fit-territorju ta’ Stat Membru, fis-sens ta’ din id-dispożizzjoni, meta impriża li topera netwerk soċjali toħloq f’dan l-Istat Membru sussidjarja maħsuba sabiex tiżgura l-promozzjoni u l-bejgħ tal-ispazji ta’ reklamar proposti minn din l-impriża u li l-attività tagħha tkun orjentata lejn ir-residenti ta’ dan l-Istat Membru.

128. Barra minn hekk, f’sitwazzjoni bħal dik inkwistjoni fil-kawża prinċipali, fejn id-dritt nazzjonali applikabbli għall-ipproċessar tad-data ta’ natura personali kkonċernata hija dik tal-Istat Membru li jaqa’ taħt awtorità ta’ superviżjoni, l-Artikolu 28(1), (3), u (6) tad-Direttiva 95/46 għandu jiġi interpretat fis-sens li l-awtorità ta’ superviżjoni tista’ teżerċita s-setgħat effettivi kollha ta’ intervent li hija għandha konformement mal-Artikolu 28(3) ta’ din id-direttiva, fir-rigward tal-kontrollur, inkluż meta dan il-kontrollur ikun stabbilit fi Stat Membru ieħor jew ukoll Stat terz.

C.      Fuq il-ħames u s-sitt domanda preliminari

129. Permezz tal-ħames u s-sitt domanda preliminari, li għandhom fl-opinjoni tiegħi jiġu eżaminati flimkien, il-qorti tar-rinviju tistaqsi, essenzjalment, lill-Qorti tal-Ġustizzja sabiex tiddikjara jekk l-Artikolu 28(1), (3) u (6) tad-Direttiva 95/46 għandux jiġi interpretat fis-sens li, f’sitwazzjoni bħal dik inkwistjoni fil-kawża prinċipali, l-awtorità ta’ superviżjoni li taqa’ taħt l-Istat Membru li fih jinsab l-istabbiliment tal-kontrollur (Facebook Germany) tistax teżerċita s-setgħat ta’ intervent tagħha b’mod awtonomu u mingħajr ma tkun marbuta li titlob minn qabel lill-awtorità ta’ superviżjoni tal-Istat Membru li fih jinsab il-kontrollur (Facebook Ireland) sabiex teżerċita s-setgħat tagħha.

130. Fid-deċiżjoni tar-rinviju tagħha, il-Bundesverwaltungsgericht (qorti amministrattiva federali) tispjega r-rabta bejn dawn iż-żewġ domandi preliminari u l-kontroll tal-legalità tal-ordni li hija għandha twettaq fil-kuntest tal-kawża prinċipali. Din il-qorti tindika b’hekk, essenzjalment, li d-deċiżjoni ta’ ordni kontra Wirtschaftsakademie tista’ tiġi kkunsidrata bħala li taqa’ taħt żball ta’ evalwazzjoni tal-ULD jekk l-Artikolu 28(6) tad-Direttiva 95/46 għandu jiġi interpretat fis-sens li jipprevedi, f’ċirkustanzi bħal dawk tal-kawża prinċipali, obbligu għal awtorità ta’ superviżjoni bħalma hija l-ULD li titlob lill-awtorità ta’ superviżjoni ta’ Stat Membru ieħor, f’dan il-każ l-awtorità ta’ superviżjoni fil-qasam tal-protezzjoni tad-data, sabiex teżerċita s-setgħat tagħha fil-każ ta’ diverġenza ta’ evalwazzjoni bejn dawn iż-żewġt awtoritajiet fir-rigward tal-konformità tal-ipproċessar tad-data mwettqa minn Facebook Ireland mar-regoli stabbiliti mid-Direttiva 95/46.

131. Hekk kif iddeċidiet il-Qorti tal-Ġustizzja fis-sentenza tagħha tal-1 ta’ Ottubru 2015, Weltimmo (74), fil-każ fejn id-dritt applikabbli għall-ipproċessar tad-data ta’ natura personali kkonċernat ma huwiex dak tal-Istat Membru li taħtu taqa’ l-awtorità ta’ superviżjoni li tixtieq teżerċita s-setgħat ta’ intervent tagħha iżda dak ta’ Stat Membru ieħor, l-Artikolu 28(1), (3) u (6) tad-Direttiva 95/46 għandu jiġi interpretat fis-sens li din l-awtorità ma tistax timponi sanzjonijiet fuq il-bażi tad-dritt ta’ dan l-Istat Membru fuq il-kontrollur li ma huwiex stabbilit fit-territorju tal-Istat Membru li hija taqa’ taħtu, iżda jkollha, bl-applikazzjoni tal-Artikolu 28(6), ta’ din id-direttiva, titlob lill-awtorità ta’ superviżjoni li taqa’ taħt l-Istat Membru fejn id-dritt huwa applikabbli sabiex tintervjeni (75).

132. F’tali sitwazzjoni, l-awtorità ta’ superviżjoni tal-ewwel Stat Membru titlef il-kompetenza tagħha sabiex teżerċita s-setgħa ta’ sanzjoni tagħha fir-rigward ta’ kontrollur li huwa stabbilit fi Stat Membru ieħor. Hija għandha, sabiex jiġi eżegwit l-obbligu ta’ kooperazzjoni, previst fl-Artikolu 28(6) ta’ din id-direttiva, titlob lill-awtorità ta’ superviżjoni ta’ dan l-Istat Membru l-ieħor tikkonstata ksur eventwali tad-dritt ta’ dan l-Istat u timponi sanzjonijiet jekk dan id-dritt jippermetti dan, billi tibbaża ruħha, jekk ikun meħtieġ, fuq l-informazzjoni li hija tkun ittrażmettitilha (76).

133. Bħalma indikajt preċedentement, is-sitwazzjoni inkwistjoni fil-kawża preżenti hija differenti peress li d-dritt applikabbli huwa tassew dak tal-Istat Membru li taħtu taqa’ l-awtorità ta’ superviżjoni li tixtieq teżerċita s-setgħat ta’ intervent tagħha. F’din is-sitwazzjoni, l-Artikolu 28(6) tad-Direttiva 95/46 għandu jiġi interpretat fis-sens li ma jimponix fuq din l-awtorità ta’ superviżjoni li titlob lill-awtorità ta’ superviżjoni rilevanti tal-Istat Membru li fih il-kontrollur huwa stabbilit sabiex jeżerċita s-setgħat ta’ intervent tiegħu kontra dan tal-aħħar.

134. Inżid li, b’konformità ma’ dak li tipprevedi t-tieni sentenza tal-Artikolu 28(1) tad-Direttiva 95/46, l-awtorità ta’ superviżjoni li hija kompetenti sabiex teżerċita s-setgħat ta’ intervent tagħha fir-rigward ta’ kontrollur stabbilit fi Stat Membru li ma huwiex dak li taqa’ taħtu, hija teżerċita b’kull indipendenza l-missjonijiet fdati lilha.

135. Hekk kif jirriżulta mill-iżviluppi preċedenti, id-Direttiva 95/46 ma tipprevedix la l-prinċipju ta’ pajjiż ta’ oriġini u lanqas mekkaniżmu ta’ punt ta’ servizz uniku bħalma jidhru fir-Regolament 2016/679. Kontrollur li jiddisponi minn stabbilimenti f’diversi Stati Membri huwa konsegwentement, kompletament suġġett għall-kontroll ta’ diversi awtoritajiet ta’ sorveljanza meta d-dritt tal-Istat Membri li taħthom jaqaw dawn l-awtoritajiet huwa applikabbli. Għalkemm il-konsultazzjoni u l-kooperazzjoni bejn l-awtoritajiet ta’ sorveljanza huma mixtieqa, madankollu, xejn ma jobbliga lil awtorità ta’ superviżjoni li l-kompetenza tagħha hija rrikonoxxuta sabiex tqabbel il-pożizzjoni tagħha ma’ dik miżmuma minn awtorità ta’ superviżjoni oħra.

136. Minn dak li ntqal preċedentement, niddeduċi li l-Artikolu 28(1), (3) u (6) tad-Direttiva 95/46 għandu jiġi interpretat fis-sens li, f’ċirkustanzi bħal dawk inkwistjoni fil-kawża prinċipali, l-awtorità ta’ superviżjoni li taqa’ taħt Stat Membru li fih jinsab l-istabbiliment tal-kontrollur tista’ teżerċita s-setgħat ta’ intervent tagħha kontra dan il-kontrollur b’mod awtonomu u mingħajr ma tkun obbligata li titlob minn qabel lill-awtorità ta’ superviżjoni tal-Istat Membru li fih jinsab l-imsemmi kontrollur sabiex teżerċita s-setgħat tagħha.

III. Konklużjoni

137. Fid-dawl tal-kunsiderazzjonijiet esposti iktar ’il fuq, jien nipproponi li r-risposti tal-Qorti tal-Ġustizzja għad-domandi preliminari magħmula mill-Bundesverwaltungsgericht (qorti amministrattiva federali, il‑Ġermanja) għandhom ikunu s-segwenti:

1)      L-Artikolu 2(d) tad-Direttiva 95/46 tal-Parlament Ewropew u tal-Kunsill, tal-24 ta’ Ottubru 1995, dwar il-protezzjoni ta’ individwi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ dik id-data, hekk kif emendata bir-Regolament (KE) Nru 1882/2003 tal-Parlament Ewropew u tal-Kunsill, tad-29 ta’ Settembru 2003 għandu jiġi interpretat fis-sens li jikkostitwixxi kontrollur, fis-sens ta’ din id-dispożizzjoni, l-amministratur ta’ paġna tal-fans ta’ netwerk soċjali bħalma huwa Facebook, f’dak li jikkonċerna l-fażi tal-ipproċessar tad-data ta’ natura personali li tikkonsisti fil-ġabra min-netwerk soċjali ta’ data dwar il-persuni li jikkonsultaw din il-paġna fid-dawl li jiġu stabbiliti statistiċi ta’ udjenza dwar l-imsemmija paġna.

2)      L-Artikolu 4(1)(a) tad-Direttiva 95/46, kif emendata bir-Regolament Nru 1882/2003, għandu jiġi interpretat fis-sens li l-ipproċessar ta’ data ta’ natura personali bħal dak inkwistjoni fil-kawża prinċipali jitwettaq fil-kuntest tal-attivitajiet ta’ stabbiliment tal-kontrollur ta’ dan l-ipproċessar fit-territorju ta’ Stat Membru, fis-sens ta’ din id-dispożizzjoni, meta l-impriża li topera netwerk soċjali toħloq f’dan l-Istat Membru, sussidjarja intiża sabiex tiżgura l-promozzjoni u l-bejgħ tal-ispazji ta’ reklamar proposti minn din l-impriża u fejn l-attività tipprevedi lir-residenti ta’ dan l-Istat Membru.

3)      F’sitwazzjoni bħal dik inkwistjoni fil-kawża prinċipali fejn id-dritt nazzjonali applikabbli għall-ipproċessar tad-data ta’ natura personali kkonċernata huwa dak tal-Istat Membru li taħtu taqa’ l-awtorità ta’ superviżjoni, l-Artikolu 28(1), (3) u 6 tad-Direttiva 95/46, kif emendata bir-Regolament Nru 1882/2003, għandu jiġi interpretat fis-sens li din l-awtorità ta’ superviżjoni tista’ teżerċita s-setgħat effettivi ta’ intervent kollha li ngħatawlha konformement mal-Artikolu 28(3) ta’ din id-direttiva fir-rigward ta’ kontrollur, inkluż meta dan il-kontrollur huwa stabbilit fi Stat Membru ieħor jew anki Stat terz.

4)      L-Artikolu 28(1), (3) u (6) tad-Direttiva 95/46, kif emendata bir-Regolament Nru 1882/2003, għandu jiġi interpretat fis-sens li, f’ċirkustanzi bħal dawk inkwistjoni fil-kawża prinċipali, l-awtorità ta’ superviżjoni li taqa’ taħt l-Istat Membru li fih jinsab l-istabbiliment tal-kontrollur tista’ teżerċita s-setgħat ta’ intervent tagħha kontra dan il-kontrollur b’mod awtonomu u mingħajr ma tkun obbligata li titlob minn qabel lill-awtorità ta’ superviżjoni tal-Istat Membru li fih jinsab l-imsemmi kontrollur sabiex teżerċita s-setgħat tagħha.

1      Lingwa oriġinali: il-Franċiż.

2      ĠU Edizzjoni Speċjali bil-Malti: Kapitolu 13, Vol. 15, p. 355.

3      ĠU Edizzjoni Speċjali bil-Malti: Kapitolu 1, Vol. 4 p. 447, iktar ’il quddiem, id-“Direttiva 95/46”.

4      Iktar ’il quddiem il-“grupp ta’ ħidma ‘Artikolu 29’”.

5      Iktar ’il quddiem l-“Opinjoni 2/2010”.

6      Opinjoni 2/2010, p. 5.

7      Opinjoni 2/2010, p. 7. Skont l-ispjegazzjonjijiet ipprovduti mill-grupp ta’ ħidma “Artikolu 29”, f’din l-opinjoni, “[d]in it-teknika tiffunzjona normalment kif ġej: il-fornitur tan-netwerk ta’ reklami jiddisponi ġeneralment minn cookie plotter fuq it-tagħmir terminali tal-persuna kkonċernata […] l-ewwel darba li taċċessa sit li fih avviż tal-istess netwerk. Il-cookie hija kombinazzjoni alfanumerika qasira maħżuna (u wara rkuprata) fuq it-tagħmir terminali tal-persuna kkonċernata minn fornitur ta’ netwerk […]. Fil-kuntest tar-reklamar ibbażat fuq l-aġir, il-cookie tippermetti lil dan tal-aħħar sabiex jirrikonoxxi lil min diġà aċċessa preċedentement lil dan is-sit internet. Dan l-aċċess repetut jippermetti lill-fornitur tan-netwerk sabiex ifassal profil ta’ min jaċċessa lis-sit, li ser jintuża sabiex jintbagħat reklamar personalizzat”.

8      Opinjoni 1/2010 tal-grupp ta’ ħidma “Artikolu 29”, tas-16 ta’ Frar 2010, dwar il-kunċetti ta’ “kontrollur” u ta’ “proċessur”, iktar ’il quddiem l-“Opinjoni 1/2010”, p. 25.

9      B’hekk, l-Agencia española de protección de datos (aġenzija Spanjola tal-protezzjoni tad-data) iddikjarat, fil-11 ta’ Settembru 2017, li imponiet multa ta’ EUR 1.2 miljun fuq Facebook Inc. Preċedentement, il-Commission nationale de l’informatique et des libertés (kummissjoni nazzjonali tal-informatika u l-libertajiet, CNIL, Franza) iddeċidiet, permezz ta’ deliberazzjoni tas-27 ta’ April 2017, li tiddikjara kontra l-kumpanniji Facebook Inc. u Facebook Ireland, responsabbli konġuntament, sanzjoni pekunjarja ta’ ammont ta’ EUR 150 000.

10      L-Artikolu 38(5) tal-BDSG jiddisponi:

      “Sabiex jiġi żgurat ir-rispett tal-liġi preżenti u tad-dispożizzjonijiet l-oħra li jirrigwardaw il-protezzjoni tad-data, l-awtorità ta’ sorveljanza tista’ tordna miżuri intiżi sabiex jirremedjaw il-ksur ikkonstatat fil-ġabra, l-ipproċessar jew l-użu tad-data ta’ natura personali jew għal xi nuqqasijiet tekniċi jew organizzattivi. Fil-każ ta’ ksur jew ta’ nuqqasijiet gravi, b’mod partikolari meta dawn jirrappreżentaw riskju partikolari ta’ preġudizzju għad-dritt għall-ħajja privata, hija tista’ tipprojbixxi l-ġabra, l-ipproċessar jew l-użu, permezz ta’ rikors għal ċerti proċeduri, fejn ksur jew nuqqasijiet ma jiġux irrimedjati fi żmien xieraq, bi ksur tal-ordni msemmi fl-ewwel sentenza u minkejja l-applikazzjoni ta’ pagamenti ta’ penalità. Hija tista’ titlob it-tkeċċija tal-aġent ta’ protezzjoni tad-data jekk ma jkollux il-perizja u l-affidabbiltà neċessarji sabiex iwettaq id-dmirijiet tiegħu.”

11      L-Artikolu 12 tal-liġi dwar il-mezzi ta’ komunikazzjoni elettroniċi huwa fformulat kif ġej:

“(1)      Il-fornitur tas-servizzi ma jistax jiġbor u juża data ta’ natura personali bl-iskop li titqiegħed għad-dispożizzjoni tal-mezzi ta’ komunikazzjoni elettroniċi ħlief jekk il-liġi preżenti jew strument legali ieħor li jipprevedi b’mod espliċitu lill-mezzi ta’ komunikazzjoni elettroniċi jawtorizzah jew jekk l-utent ta l-kunsens tiegħu.

[…]

(3)      Sakemm ma jkunx previst mod ieħor, il-leġiżlazzjoni fis-seħħ li tirregola l-protezzjoni tad-data ta’ natura personali għandha tiġi applikata anki jekk id-data ma kinitx is-suġġett ta’ proċessar awtomatizzat.”

12      Din id-dispożizzjoni tirrigwarda l-ipproċessar ta’ data ta’ natura personali permezz ta’ proċessur.

13      Abbażi ta’ din id-dispożizzjoni “organu responsabbli għandu jfisser kull persuna jew kull organu li jiġbru, jipproċessaw jew jużaw data ta’ natura personali għan-nom tiegħu jew permezz ta’ persuna oħra permezz ta’ proċessur.”

14      C‑131/12, EU:C:2014:317.

15      Punt 60 ta’ din is-sentenza.

16      Skont id-definizzjonijiet indikati fl-Opinjoni 1/2010, it-terminu “finijiet” jiddeskrivi “ir-riżultat mistenni li qiegħed jitfittex jew li jiggwida l-azzjonijiet previsti” u l-kelma “mezz”, “il-mod sabiex jintlaħaq riżultat jew sabiex tasal għal skop” (p. 13).

17      B’hekk, pereżempju, konformement mal-Artikolu 6(2) ta’ din id-direttiva, huwa l-kontrollur li għandu jiżgura l-osservanza tal-prinċipji li jirrigwardaw il-kwalità tad-data li huma elenkati fl-Artikolu 6(1) tal-imsemmija direttiva. Abbażi tal-Artikoli 10 u 11 tad-Direttiva 95/46, il-kontrollur huwa obbligat sabiex jagħti informazzjoni fir-rigward tal-persuni kkonċernati bl-ipproċessar ta’ data ta’ natura personali. Bl-applikazzjoni tal-Artikolu 12 ta’ din id-direttiva, id-dritt ta’ aċċess tal-persuni kkonċernati għad-data huwa eżerċitat mill-kontrollur. L-istess japplika għad-dritt ta’ oppożizzjoni previst fl-Artikolu 14 tal-istess direttiva. Abbażi tal-Artikolu 23(1) tad-Direttiva 95/46, l-Istati Membri għandhom jipprevedu li “persuna li tkun sofriet ħsara minħabba operazzjoni ta’ ipproċessar illegali jew att li ma jkunx jaqbel mad-dispożizzjonijiet nazzjonali adottati skond din id-direttiva, għandha tkun intitolata li tirċievi kumpens mill-kontrollur għal ħsara li tkun sofriet”. Fl-aħħar, is-setgħat ta’ intervent effettivi tal-awtoritajiet ta’ sorveljanza, hekk kif inhuma previsti fl-Artikolu 28(3) ta’ din id-direttiva, huma eżerċitati fir-rigward tal-kontrolluri.

18      C‑131/12, EU:C:2014:317.

19      Ara, f’dan is-sens, is-sentenza tat-13 ta’ Mejju 2014, Google Spain u Google (C‑131/12, EU:C:2014:317, punti 38 u 83).

20      Ara, b’mod partikolari, is-sentenza tat-13 ta’ Mejju 2014, Google Spain u Google (C‑131/12, EU:C:2014:317, punt 34).

21      Opinjoni 1/2010, p. 10.

22      Facebook Ireland spjegat b’hekk li hija tintroduċi b’mod regolari xi funzjonijiet li huma esklużivament għad-dispożizzjoni tal-persuni kkonċernati fl-Unjoni u li jiġu adattati għal dawn il-persuni. F’xi każijiet oħra, Facebook Ireland tagħżel li ma toffrix fl-Unjoni xi prodotti li huma disponibbli fl-Istati Uniti offerti minn Facebook Inc.

23      Ara s-sentenza tas-6 ta’ Ottubru 2015, Schrems (C‑362/14, EU:C:2015:650, punt 27).

24      Ara d-deċiżjoni tar-rinviju, punt 39.

25      Li huwa importanti fil-kuntest tal-kawża preżenti ma huwiex id-determinazzjoni tal-finijiet u tal-mezzi tal-ipproċessar li jseħħu wara t-trażmissjoni lejn Facebook tad-data tal-persuni li jikkonsultaw paġna tal-fans. Għandna niffokaw fuq il-fażi ta’ pproċessar li hija inkwistjoni hawn, jiġifieri dik tal-ġabra tad-data tal-persuni li jikkonsultaw paġna tal-fans mingħajr ma dawn ikunu ġew informati u mingħajr li l-kunsens tagħhom ikun debitament miksub.

26      Mill-kundizzjonijiet tal-użu ta’ Facebook jirriżulta li l-istatistiċi ta’ udjenza jippermettu lill-amministratur ta’ paġna ta’ fans sabiex jikkonsulta l-informazzjoni fuq l-udjenza fil-mira tiegħu, sabiex ikun jista’ joħloq kontenut iktar rilevanti għalihom. L-istatistiċi ta’ udjenza jipprovdu lill-amministratur ta’ paġna tal-fans bid-data demografika li tikkonċerna lill-udjenza fil-mira tiegħu, b’mod partikolari t-tendenzi fir-rigward tal-età, tas-sess, tas-sitwazzjoni ta’ mħabba tagħhom u tal-professjoni, tal-informazzjoni fuq l-istil tal-ħajja tagħhom u tal-interessi prinċipali tal-udjenza fil-mira tiegħu, b’mod partikolari fuq l-aġir tagħhom fir-rigward tax-xiri online, il-kategoriji ta’ prodotti jew ta’ servizzi li jinterressawhom l-iktar, kif ukoll tad-data ġeografika li tippermetti lill-amministratur tal-paġna tal-fans sabiex isir jaf fejn għandu jwettaq il-promozzjonijiet speċjali u jorganizza xi avvenimenti.

27      Ara, f’dan is-sens, l-Opinjoni 1/2010, p. 28.

28      Ibidem, p. 28: “is-saħħa kuntrattwali dgħajfa ta’ kontrollur żgħir fil-konfront ta’ fornituri importanti ta’ servizzi ma għandhiex isservi bħala ġustifikazzjoni sabiex jaċċeta klawżoli u kundizzjonijiet kuntrattwali kuntrarji għal-leġiżlazzjoni dwar il-protezzjoni tad-data”.

29      C‑131/12, EU:C:2014:317.

30      Sentenza tat-13 ta’ Mejju 2014, Google Spain u Google (C‑131/12, EU:C:2014:317, punt 38 kif ukoll, f’dan is-sens, punt 83).

31      Sentenza tat-13 ta’ Mejju 2014, Google Spain u Google (C‑131/12, EU:C:2014:317, punt 40).

32      Ara d-deċiżjoni tar-rinviju, punt 35.

33      Kawża li għadha pendenti quddiem il-Qorti tal-Ġustizzja.

34      Hekk kif tirrileva l-awtorità Svizzera tal-protezzjoni tad-data: “[m]inkejja li r-reġistrazzjoni u l-analiżi attwali tad-data tkun fil-parti l-kbira tal-każijiet effettwata b’kull diskrezzjoni mill-fornitur tas-servizzi ta’ webtracking, l-operatur tas-sit internet huwa responsabbli wkoll. Huwa jżid effettivament il-kodiċi tal-fornitur tas-servizzi ta’ webtracking fis-sit internet tiegħu u jippermetti b’hekk, mingħajr l-għarfien tal-utent, it-trażmissjoni tad-data, l-installazzjoni ta’ cookies u l-ġabra ta’ data għall-benefiċċju tal-fornitur tas-servizzi ta’ webtracking”. Ara “Explications concernant le webtracking” tal-Préposé fédéral à la protection des données et à la transparence (uffiċjal federali għall-protezzjoni tad-data u għat-trasparenza) (PFPDT), disponibbli fuq is-sit internet li ġej: https://www.edoeb.admin.ch/datenschutz/00683/01103/01104/index.html?lang=fr

35      Ara f’dan is-sens, l-Opinjoni 1/2010, p. 24.

36      Opinjoni 1/2010, p. 35.

37      Opinjoni 1/2010, p. 20 u 21.

38      Ara d-deċiżjoni tar-rinviju, punt 40.

39      Ara, b’mod partikolari, is-sentenza tal-31 ta’ Jannar 2017, Lounani (C‑573/14, EU:C:2017:71, punt 56 u l-ġurisprudenza ċċitata).

40      Iktar ’il quddiem l-“Opinjoni 8/2010”.

41      Paġna 31 ta’ din l-opinjoni.

42      Paġna 32 ta’ din l-opinjoni.

43      L-istruttura adottata mill-gruppi bħal Google u Facebook sabiex jiżviluppaw l-attivitajiet tagħhom madwar id-dinja tagħmel id-determinazzjoni tad-dritt nazzjonali applikabbli kumplessa, kif ukoll l-identifikazzjoni tal-istabbiliment li kontrih l-individwi leżi u l-awtoritajiet ta’ sorveljanza jkunu jistgħu jaġixxu. Ara, fuq dawn il-kwistjonijiet Svantesson D., “Enforcing Privacy Across Different Jurisdictions”, Enforcing Privacy: Regulatory, Legal and Technological Approaches, Springer, Berlin, 2016, p. 195 sa 222, b’mod partikolari p. 216 sa 218.

44      Ara, b’mod partikolari, is-sentenza tal-1 ta’ Ottubru 2015, Weltimmo (C‑230/14, EU:C:2015:639, punt 25 u l-ġurisprudenza ċċitata).

45      Ara, b’mod partikolari, is-sentenza tat-28 ta’ Lulju 2016, Verein für Konsumenteninformation (C‑191/15, EU:C:2016:612, punt 75 u l-ġurisprudenza ċċitata).

46      Ara s-sentenza tal-1 ta’ Ottubru 2015, Weltimmo (C‑230/14, EU:C:2015:639, punt 29).

47      Ara, b’mod partikolari, is-sentenza tat-28 ta’ Lulju 2016, Verein für Konsumenteninformation (C‑191/15, EU:C:2016:612, punt 77 u l-ġurisprudenza ċċitata).

48      Ara s-sentenza tal-1 ta’ Ottubru 2015, Weltimmo (C‑230/14, EU:C:2015:639, punt 29).

49      Ara, b’mod partikolari, is-sentenza tat-28 ta’ Lulju 2016, Verein für Konsumenteninformation (C‑191/15, EU:C:2016:612, punt 78 u l-ġurisprudenza ċċitata).

50      Paġna 33 tal-Opinjoni 8/2010. Ara wkoll, f’dan is-sens, p. 15 ta’ din l-opinjoni.

51      C‑131/12, EU:C:2014:317.

52      Punt 55 ta’ din is-sentenza.

53      Punt 56 ta’ din is-sentenza.

54      Punt 57 ta’ din l-isess sentenza.

55      Ara, f’dan is-sens, Opinjoni 5/2009, tat-12 ta’ Ġunju 2009, fuq il-netwerks soċjali online tal-grupp ta’ ħidma “Artikolu 29”, p. 5.

56      C‑131/12, EU:C:2014:317.

57      Ara b’mod partikolari, “Update of Opinion 8/2010 on applicable law in light of the CJEU judgment in Google Spain”, tal-grupp ta’ ħidma “Artikolu 29”, tas-16 ta’ Diċembru 2015, p. 6 u 7.

58      Ara, fis-sens tal-applikazzjoni potenzjali tal-pluralità tad-drittijiet nazzjonali, l-Opinjoni 8/2010: “ir-riferiment għal stabbiliment ‘wieħed’ ifisser li l-preżenza ta’ stabbiliment ta’ kontrollur fuq it-territorju ta’ Stat Membru jwassal għall-applikabbiltà tad-dritt ta’ dan l-Istat, u li l-preżenza ta’ stabbilimenti oħra ta’ dan l-istess kontrollur fuq it-territorju tal-Istat Membri jista’ jwassal għall-applikabbiltà tad-dritt ta’ dawn l-Istati” (p. 33).

59      C‑191/15, EU:C:2016:612.

60      Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill, tas-27 ta’ April 2016, dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (ĠU 2016, L 119, p. 1).

61      Ara, f’dan ir-rigward, Hawkes B., “The Irish DPA and Its Approach to Data Protection”, Enforcing Privacy: Regulatory, Legal and Technological Approaches, Springer, Berlin, 2016, p. 441 sa454, b’mod partikolari p. 450, nota ta’ qiegħ il-paġna 11. L-awtur jindika b’hekk li “[t]he degree to which, under existing EU law, other European DPAs can assert jurisdiction over entities such as Facebook-Ireland is not entirely clear, linked as it is to interpretations of Article 4 of Directive 95/46/EC, notably the phrase ‘the processing is carried out in the context of the activities of an establishment of the controller on the territory of the Member State’. The DPC, in its audit report, stated that: ‘it ha(d) jurisdiction over the personal data processing activities of [Facebook-Ireland] based on it being established in Ireland’ but that this ‘should not however be interpreted as asserted sole jurisdiction over the activities of Facebook in the EU’”.

62      C‑131/12, EU:C:2014:317.

63      Ara, skont loġika simili, Common Statement by the Contact Group of the Data Protection Authorities of The Netherlands, France, Spain, Hamburg and Belgium, 16 May 2017, fejn dawn l-awtoritajiet jiddikjaraw: “[…] the DPAs united in the Contact Group conclude that their respective national data protection law applies to the processing of personal data of users and non-users by the Facebook Group in their respective countries and that each DPA has competence. Following case law from the European Court of Justice […], the DPAs note that the Facebook Group has offices in multiple countries in the EU. These offices aim to promote and increase the sales of targeted advertising aimed at national users and non-users of the service. For its revenues, the Facebook Group almost completely depends on the sale of advertising space, and personal data must necessarily be processed for the type of targeted advertising services offered by the Facebook Group. Therefore, the activities of these offices are ‘inextricably linked’ to the data processing by the Facebook Group, and all the investigated national offices are relevant establishments under Article 4(1)a of the European Data Protection Directive 95/46/EC.”

64      Ara s-sentenza tal-1 ta’ Ottubru 2015, Weltimmo (C‑230/14, EU:C:2015:639, punt 49).

65      C‑230/14, EU:C:2015:639.

66      Ara s-sentenza tal-1 ta’ Ottubru 2015, Weltimmo (C‑230/14, EU:C:2015:639, punt 42).

67      Ara s-sentenza tal-1 ta’ Ottubru 2015, Weltimmo (C‑230/14, EU:C:2015:639, punt 43).

68      Ara s-sentenza tal-1 ta’ Ottubru 2015, Weltimmo (C‑230/14, EU:C:2015:639, punt 55).

69      Ara s-sentenza tal-1 ta’ Ottubru 2015, Weltimmo (C‑230/14, EU:C:2015:639, punt 57).

70      C‑230/14, EU:C:2015:639.

71      C‑230/14, EU:C:2015:639.

72      Ara, f’dan ir-rigward, il-punt 44 ta’ dawn il-konklużjonijiet.

73      Ara, ukoll, il-punti 73 sa 77 ta’ dawn il-konklużjonijiet.

74      C‑230/14, EU:C:2015:639.

75      Sentenza tal-1 ta’ Ottubru 2015, Weltimmo (C‑230/14, EU:C:2015:639, punt 60).

76      Sentenza tal-1 ta’ Ottubru 2015, Weltimmo (C‑230/14, EU:C:2015:639, punt 57).