Edizzjoni Provviżorja
SENTENZA TAL-QORTI TAL-ĠUSTIZZJA (Ir‑Raba’ Awla)
7 ta’ Marzu 2024 (*)
“Rinviju għal deċiżjoni preliminari – Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament (UE) 2016/679 – Organizzazzjoni settorjali normattiva li toffri lill-membri tagħha regoli dwar l-ipproċessar tal-kunsens tal-utenti – Il-punt 1 tal-Artikolu 4 – Kunċett ta’ ‘data personali’ – Sekwenza ta’ ittri u karattri li jiġbru, b’mod strutturat u li jinqara minn magna, il-preferenzi ta’ utent tal-internet dwar il-kunsens ta’ dan l-utent fir-rigward tal-ipproċessar tad-data personali tiegħu – Il-punt 7 tal-Artikolu 4 – Kunċett ta’ ‘kontrollur tad-data’ – Artikolu 26(1) – Kunċett ta’ ‘kontrolluri konġunti tad-data’ – Organizzazzjoni li ma għandhiex, hija stess, aċċess għad-data personali pproċessata mill-membri tagħha – Responsabbiltà tal-organizzazzjoni li testendi għall-ipproċessar ulterjuri ta’ data minn terzi”
Fil-Kawża C‑604/22,
li għandha bħala suġġett talba għal deċiżjoni preliminari skont l-Artikolu 267 TFUE, imressqa mill-hof van beroep te Brussel (il-Qorti tal-Appell ta’ Brussell, il-Belġju), permezz ta’ deċiżjoni tas‑7 ta’ Settembru 2022, li waslet fil-Qorti tal-Ġustizzja fid‑19 ta’ Settembru 2022, fil-proċedura
IAB Europe
vs
Gegevensbeschermingsautoriteit,
fil-preżenza ta’:
Jef Ausloos,
Pierre Dewitte,
Johnny Ryan,
Fundacja Panoptykon,
Stichting Bits of Freedom,
Ligue des Droits Humains VZW,
IL-QORTI TAL-ĠUSTIZZJA (Ir‑Raba’ Awla),
komposta minn C. Lycourgos, President tal-Awla, O. Spineanu-Matei, J.‑C. Bonichot, S. Rodin u L. S. Rossi (Relatriċi), Imħallfin,
Avukat Ġenerali: T. Ćapeta,
Reġistratur: A. Lamote, Amministratriċi,
wara li rat il-proċedura bil-miktub u wara s-seduta tal‑21 ta’ Settembru 2023,
wara li rat l-osservazzjonijiet ippreżentati:
– għal IAB Europe, minn P. Craddock, avocat, u K. Van Quathem, advocaat,
– għall-Gegevensbeschermingsautoriteit, minn E. Cloots, J. Roets u T. Roes, advocaten,
– għal Jef Ausloos, Pierre Dewitte, Johnny Ryan, il-Fundacja Panoptykon, Stichting Bits of Freedom u Ligue des Droits Humains VZW, minn F. Debusseré u R. Roex, advocaten,
– għall-Gvern Awstrijak, minn J. Schmoll u C. Gabauer, bħala aġenti,
– għall-Kummissjoni Ewropea, minn A. Bouchagiar u H. Kranenborg, bħala aġenti,
wara li rat id-deċiżjoni, meħuda wara li nstemgħet l-Avukata Ġenerali, li l-kawża tinqata’ mingħajr konklużjonijiet,
tagħti l-preżenti
Sentenza
1 It-talba għal deċiżjoni preliminari tirrigwarda l-interpretazzjoni tal-punti 1 u 7 tal-Artikolu 4, kif ukoll tal-Artikolu 24(1) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2), moqrija flimkien mal-Artikoli 7 u 8 tal-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea (iktar ’il quddiem il-“Karta”).
2 Din it-talba tressqet fil-kuntest ta’ tilwima bejn IAB Europe u l-Gegevensbeschermingsautoriteit (l-Awtorità għall-Protezzjoni tad-Data, il-Belġju) (iktar ’il quddiem l-“APD”) dwar deċiżjoni tal-Awla ta’ Ġurisdizzjoni Kontenzjuża tal-APD adottata kontra IAB Europe dwar l-allegat ksur ta’ diversi dispożizzjonijiet tal-GDPR.
Il‑kuntest ġuridiku
Id‑dritt tal‑Unjoni
3 Il-premessi 1, 10, 26 u 30 tal-GDPR huma fformulati kif ġej:
“(1) Il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali hija dritt fundamentali. L-Artikolu 8(1) tal-[Karta] u l-Artikolu 16(1) [TFUE] jipprevedu li kull persuna għandha dritt għall-protezzjoni tad-data personali li tirrigwardaha.
[…]
(10) Sabiex ikun żgurat livell konsistenti u għoli ta’ protezzjoni tal-persuni fiżiċi u sabiex jitneħħew l-ostakoli għaċ-ċirkolazzjoni tad-data personali fl-Unjoni [Ewropea], il-livell ta’ protezzjoni tad-drittijiet u l-libertajiet tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ din id-data għandu jkun ekwivalenti fl-Istati Membri kollha. L-applikazzjoni konsistenti u omoġenea tar-regoli għall-protezzjoni tad-drittijiet u l-libertajiet fundamentali tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali għandha tkun żgurata fl-Unjoni kollha. […]
[…]
(26) Il-prinċipji ta’ protezzjoni tad-data għandhom japplikaw għal kwalunkwe informazzjoni dwar persuna fiżika identifikata jew identifikabbli. Id-data personali li tkun għaddiet minn psewdonimizzazzjoni, li tista’ tiġi attribwita lil persuna fiżika bl-użu ta’ informazzjoni addizzjonali, għandha titqies bħala informazzjoni dwar persuna fiżika identifikabbli. Sabiex jiġi ddeterminat jekk persuna fiżika hijiex identifikabbli, għandhom jitqiesu l-mezzi kollha li raġonevolment x’aktarx ikunu jintużaw, bħas-singolarizzazzjoni, mill-kontrollur jew minn kwalunkwe persuna oħra sabiex persuna fiżika tiġi identifikata direttament jew indirettament. Sabiex jiġi aċċertat liema mezzi huma raġonevolment mistennija jintużaw għall-identifikazzjoni tal-persuna fiżika, għandu jittieħed kont tal-fatturi oġġettivi kollha, bħall-ispejjeż tal-identifikazzjoni u l-ammont ta’ żmien meħtieġ għall-identifikazzjoni, b’kont meħud tat-teknoloġija disponibbli fil-mument tal-ipproċessar u tal-iżviluppi teknoloġiċi. Il-prinċipji tal-protezzjoni tad-data m’għandhomx għalhekk japplikaw għall-informazzjoni anonima, jiġifieri informazzjoni li mhijiex marbuta ma’ persuna fiżika identifikat jew identifikabbli jew għal data personali li ssir anonima b’tali mod li s-suġġett tad-data ma jkunx jew ma jkunx għadu identifikabbli. Għaldaqstant, dan ir-Regolament ma jikkonċernax l-ipproċessar ta’ tali informazzjoni anonima, inkluż għal finijiet ta’ statistika jew ta’ riċerka.
[…]
(30) Il-persuni fiżiċi jistgħu jiġu assoċjati ma’ identifikaturi online ipprovduti mill-apparat, l-applikazzjonijiet, l-għodod u l-protokolli tagħhom, bħal indirizzi tal-protokoll tal-internet, identifikaturi tal-cookies jew identifikaturi oħrajn bħal tags tal-identifikazzjoni bil-frekwenza tar-radju. Dan jista’ jħalli traċċi li, b’mod partikolari flimkien ma’ identifikaturi uniċi u informazzjoni oħra li jirċievu s-servers, jistgħu jintużaw sabiex joħolqu profili tal-persuni fiżiċi u jidentifikawhom.”
4 L-Artikolu 1 tal-GDPR, intitolat “Suġġett u objettivi”, jiddisponi, fil-paragrafu 2 tiegħu:
“Dan ir-Regolament jipproteġi d-drittijiet u l-libertajiet fundamentali tal-persuni fiżiċi u b’mod partikolari d-dritt tagħhom għall-protezzjoni ta’ data personali.”
5 L-Artikolu 4 tal-imsemmi regolament jipprevedi li:
“Għall-finijiet ta’ dan ir-Regolament:
(1) ‘data personali’ tfisser kwalunkwe informazzjoni relatata ma’ persuna fiżika identifikata jew identifikabbli (‘suġġett tad-data’); persuna fiżika identifikabbli hija persuna li tista’ tiġi identifikata, direttament jew indirettament, b’mod partikolari b’referenza għal mezz ta’ identifikazzjoni bħal isem, numru ta’ identifikazzjoni, data ta’ lokalizzazzjoni, identifikatur online jew għal fattur wieħed jew aktar speċifiċi għall-identità fiżika, fiżjoloġika, ġenetika, mentali, ekonomika, kulturali jew soċjali ta’ dik il-persuna fiżika;
(2) ‘ipproċessar’ tfisser kwalunkwe attività jew sett ta’ attivitajiet li jitwettqu fuq data personali jew fuq settijiet ta’ data personali, sew jekk b’mezzi awtomatizzati u sew jekk mingħajrhom, bħalma huma l-ġbir, ir-reġistrazzjoni, l-organizzazzjoni, l-istrutturar, il-ħażna, l-adattament jew il-bidliet, l-irkupru, il-konsultazzjoni, l-użu, l-iżvelar bi trażmissjoni, it-tixrid jew it-tqegħid għad-dispożizzjoni b’xi mezz ieħor, l-allinjament jew it-taħlita, ir-restrizzjoni, it-tħassir jew il-qerda;
[…]
(7) ‘kontrollur’ tfisser persuna fiżika jew ġuridika, awtorità pubblika, aġenzija jew kwalunkwe korp ieħor li, waħdu jew flimkien ma’ oħrajn, jiddetermina l-għanijiet u l-mezzi tal-ipproċessar ta’ data personali; fejn l-għanijiet u l-mezzi tal-ipproċessar ikunu ddeterminati mil-liġi tal-Unjoni jew ta’ Stat Membru, il-kontrollur jew il-kriterji speċifiċi għall-ħatra tiegħu jistgħu jiġu determinati mil-liġi tal-Unjoni jew ta’ Stat Membru;
[…]
‘kunsens’ tas-suġġett tad-data tfisser kwalunkwe indikazzjoni tax-xewqat tas-suġġett tad-data mogħtija b’mod liberu, speċifika, infurmata u mhux ambigwa li permezz tagħha s-suġġett tad-data, permezz ta’ dikjarazzjoni jew permezz ta’ azzjoni affermattiva ċara, juri li jaqbel mal-ipproċessar ta’ data personali relatata miegħu;
[…]”
6 L-Artikolu 6 tal-GDPR, intitolat “Legalità tal-ipproċessar”, huwa fformulat kif ġej:
“1. L-ipproċessar għandu jkun legali biss jekk u safejn mill-inqas ikun japplika wieħed mill-punti li ġejjin:
(a) is-suġġett tad-data jkun ta l-kunsens għall-ipproċessar ta’ data personali tiegħu għal fini speċifiku wieħed jew aktar;
[…]
(f) l-ipproċessar ikun meħtieġ għall-finijiet tal-interessi leġittimi segwiti mill-kontrollur jew minn parti terza, għajr meta dawn l-interessi jingħelbu mill-interessi jew id-drittijiet u l-libertajiet fundamentali tas-suġġett tad-data li jeħtieġu l-protezzjoni tad-data personali, b’mod partikolari meta s-suġġett tad-data jkun minorenni.
Il-punt (f) tal-ewwel subparagrafu m’għandux japplika għall-ipproċessar li jitwettaq minn awtoritajiet pubbliċi fit-twettiq tal-kompiti tagħhom.
[…]”
7 L-Artikolu 24 ta’ dan ir-regolament, intitolat “Responsabbiltà tal-kontrollur”, jiddisponi, fil-paragrafu 1 tiegħu:
“B’kont meħud tan-natura, l-ambitu, il-kuntest, u l-għanijiet tal-ipproċessar kif ukoll ir-riskji ta’ probabbiltà u gravità li jvarjaw għad-drittijiet u l-libertajiet tal-persuni fiżiċi, il-kontrollur għandu jimplimenta miżuri tekniċi u organizzattivi adatti biex jiżgura u jkun jista’ juri li l-ipproċessar isir f’konformità ma’ dan ir-Regolament. Dawk il-miżuri għandhom jiġu rieżaminati u aġġornati fejn meħtieġ.”
8 L-Artikolu 26 tal-imsemmi regolament, intitolat “Kontrolluri konġunti”, jistabbilixxi, fil-paragrafu 1 tiegħu:
“Fejn żewġ kontrolluri jew aktar jiddeterminaw flimkien l-għanijiet u l-mezzi tal-ipproċessar, huma għandhom ikunu kontrolluri konġunti. […].”
9 Il-Kapitolu VI tal-GDPR, relatat mal-“Awtoritajiet superviżorji indipendenti”, jinkludi l-Artikoli 51 sa 59 ta’ dan ir-regolament.
10 L-Artikolu 51 ta’ dan ir-regolament, intitolat “Awtorità superviżorja”, jipprevedi, fil-paragrafi 1 u 2 tiegħu:
“1. Kull Stat Membru għandu jipprovdi li awtorità pubblika indipendenti waħda jew aktar ikunu responsabbli għall-monitoraġġ tal-applikazzjoni ta’ dan ir-Regolament, sabiex jiġu protetti d-drittijiet u l-libertajiet fundamentali ta’ persuni fiżiċi b’rabta mal-ipproċessar u biex jiġi ffaċilitat il-fluss liberu ta’ data personali fl-Unjoni […]
2. Kull awtorità superviżorja għandha tikkontribwixxi għall-applikazzjoni konsistenti ta’ dan ir-Regolament madwar l-Unjoni. Għal dak il-għan, l-awtoritajiet superviżorji għandhom jikkooperaw ma’ xulxin u mal-Kummissjoni [Ewropea] f’konformità mal-Kapitolu VII.”
11 Skont l-Artikolu 55(1) u (2) tal-GDPR, intitolat “Kompetenza”:
“1. Kull awtorità superviżorja għandha tkun kompetenti biex twettaq il-kompiti assenjati lilha u l-eżerċizzju tas-setgħat ikkonferiti lilha f’konformità ma’ dan ir-Regolament fit-territorju tal-Istat Membru tagħha stess.
2. Fejn l-ipproċessar titwettaq minn awtoritajiet pubbliċi jew korpi privati li jaġixxu abbażi tal-punt (c) jew (e) tal-Artikolu 6(1), għandha tkun kompetenti l-awtorità superviżorja tal-Istat Membru kkonċernat. F’tali każijiet ma japplikax l-Artikolu 56.”
12 L-Artikolu 56 ta’ dan ir-regolament, intitolat “Kompetenza tal-awtorità superviżorja ewlenija”, jistabbilixxi, fil-paragrafu 1 tiegħu:
“Mingħajr preġudizzju għall-Artikolu 55, l-awtorità superviżorja tal-istabbiliment ewlieni jew tal-istabbiliment uniku tal-kontrollur jew il-proċessur għandha tkun kompetenti biex taġixxi bħala l-awtorità superviżorja ewlenija għall-ipproċessar transkonfinali li jsir minn dak il-kontrollur jew proċessur f’konformità mal-proċedura prevista fl-Artikolu 60.”
13 L-Artikolu 57 tal-imsemmi regolament, intitolat “Kompiti”, jiddisponi, fil-paragrafu 1 tiegħu:
“Mingħajr preġudizzju għal kompiti oħra stabbiliti f’dan ir-Regolament, kull awtorità superviżorja għandha fit-territorju tagħha:
(a) timmonitorja u tinforza l-applikazzjoni ta’ dan ir-Regolament;
[…]
(g) tikkoopera ma’, inkluż bil-kondiviżjoni ta’ informazzjoni, u tipprovdi assistenza reċiproka lil, awtoritajiet superviżorji oħra bil-ħsieb li tiġi żgurata l-konsistenza tal-applikazzjoni u l-infurzar ta’ dan ir-Regolament;
[…]”
14 It-Taqsima 1, intitolata “Kooperazzjoni”, tal-Kapitolu VII tal-istess regolament, intitolat “Kooperazzjoni u konsistenza”, tinkludi l-Artikoli 60 sa 62 ta’ dan ir-regolament. L-Artikolu 60, dwar il-“Kooperazzjoni bejn l-awtorità superviżorja ewlenija u l-awtoritajiet superviżorji kkonċernati oħra”, jipprevedi, fil-paragrafu 1 tiegħu:
“L-awtorità superviżorja ewlenija għandha tikkoopera mal-awtoritajiet superviżorji kkonċernati l-oħra f’konformità ma’ dan l-Artikolu fi sforz biex jintlaħaq kunsens. L-awtorità superviżorja ewlenija u l-awtoritajiet superviżorji kkonċernati għandhom jiskambjaw l-informazzjoni rilevanti kollha bejniethom.”
15 L-Artikolu 61 tal-GDPR, intitolat “Assistenza reċiproka”, jistabbilixxi, fil-paragrafu 1 tiegħu:
“L-awtoritajiet superviżorji għandhom jipprovdu lil xulxin b’informazzjoni rilevanti u assistenza reċiproka sabiex jimplimentaw u japplikaw dan ir-Regolament b’mod konsistenti, u għandhom jistabbilixxu miżuri għal kooperazzjoni effettiva ma’ xulxin. L-assistenza reċiproka għandha tkopri, b’mod partikolari, talbiet ta’ informazzjoni u miżuri superviżorji, bħal talbiet biex jitwettqu awtorizzazzjonijiet u konsultazzjonijiet minn qabel, ispezzjonijiet u investigazzjonijiet.”
16 L-Artikolu 62 ta’ dan ir-regolament, intitolat “Operazzjonijiet konġunti ta’ awtoritajiet superviżorji”, jipprevedi, fil-paragrafi 1 u 2 tiegħu:
“1. L-awtoritajiet superviżorji għandhom, fejn xieraq, iwettqu operazzjonijiet konġunti inklużi investigazzjonijiet konġunti u miżuri ta’ infurzar konġunti li fihom ikunu involuti membri jew persunal tal-awtoritajiet superviżorji ta’ Stati Membri oħra.
2. Fejn il-kontrollur jew il-proċessur ikollu stabbilimenti f’diversi Stati Membri jew fejn għadd sinifikanti ta’ suġġetti tad-data f’aktar minn Stat Membru wieħed x’aktarx li jkun affettwat b’mod sostanzjali minn operazzjonijiet ta’ pproċessar, awtorità superviżorja minn kull wieħed minn dawk l-Istati Membri għandu jkollha d-dritt li tipparteċipa fl-operazzjonijiet konġunti. […]”
17 It-Taqsima 2, intitolat “Konsistenza”, tal-Kapitolu VII tal-imsemmi regolament tinkludi l-Artikoli 63 sa 67 ta’ dan ir-regolament. L-Artikolu 63, intitolat “Mekkaniżmu ta’ konsistenza”, huwa fformulat kif ġej:
“Sabiex jikkontribwixxu għall-applikazzjoni konsistenti ta’ dan ir-Regolament fl-Unjoni kollha, l-awtoritajiet superviżorji għandhom jikkooperaw ma’ xulxin u, fejn rilevanti, mal-Kummissjoni, permezz tal-mekkaniżmu ta’ konsistenza kif stabbilit f’din it-Taqsima.”
Id‑dritt Belġjan
18 Il-wet tot oprichting van de Gegevensbeschermingsautoriteit (il-Liġi li Tistabbilixxi l-Awtorità għall-Protezzjoni tad-Data), tat‑3 ta’ Diċembru 2017 (Belgisch Staatsblad, tal‑10 ta’ Jannar 2018, p. 989, iktar ’il quddiem il-“LTA”), tiddisponi fid-disa’ subparagrafu tal-Artikolu 100(1) tagħha:
“L-Awla ta’ Ġurisdizzjoni Kontenzjuża għandha s-setgħa li:
[…]
9° tordna li l-ipproċessar jinġieb f’konformità”.
19 L-Artikolu 101 tal-LTA jipprevedi:
“L-Awla ta’ Ġurisdizzjoni Kontenzjuża tista’ tiddeċiedi li timponi multa amministrattiva fuq il-partijiet imfittxija skont il-prinċipji ġenerali msemmija fl-Artikolu 83 [tal-GDPR].”
Il‑kawża prinċipali u d‑domandi preliminari
20 IAB Europe hija assoċjazzjoni mingħajr skop ta’ lukru stabbilita fil-Belġju li tirrappreżenta lill-kumpaniji tas-settur tal-industrija tar-reklamar u tal-kummerċjalizzazzjoni diġitali fil-livell Ewropew. Il-membri ta’ IAB Europe huma kemm impriżi ta’ dan is-settur, bħal edituri, impriżi tal-kummerċ elettroniku u tal-kummerċjalizzazzjoni, intermedjarji, kif ukoll assoċjazzjonijiet nazzjonali, fosthom l-IAB nazzjonali, li, min-naħa tagħhom, għandhom fost il-membri tagħhom l-impriżi tal-imsemmi settur. Fost il-membri ta’ IAB Europe hemm b’mod partikolari impriżi li jiġġeneraw dħul sinjifikattiv permezz tal-bejgħ ta’ spazji ta’ reklamar fuq siti internet jew applikazzjonijiet.
21 IAB Europe żviluppat it-Transparency & Consent Framework (qafas ta’ trasparenza u ta’ kunsens) (iktar ’il quddiem it-“TCF”), li huwa qafas ta’ regoli kompost minn direttivi, minn istruzzjonijiet, minn speċifikazzjonijiet tekniċi, minn protokolli u minn obbligi kuntrattwali li jippermettu kemm lill-fornitur ta’ sit internet jew ta’ applikazzjoni kif ukoll lil sensara tad-data jew ukoll lil pjattaformi ta’ reklamar jipproċessaw legalment id-data personali ta’ utent ta’ sit internet jew ta’ applikazzjoni.
22 B’mod partikolari, it-TCF għandu l-għan li jippromwovi l-osservanza tal-GDPR meta dawn l-operaturi jagħmlu użu mill-protokoll OpenRTB, jiġifieri wieħed mill-protokolli l-iktar użati għar-Real Time bidding, li hija sistema ta’ bejgħ bl-irkant online instantanju u awtomatizzat ta’ profili tal-utenti għall-finijiet tal-bejgħ u tax-xiri ta’ spazji ta’ reklamar fuq l-internet (iktar ’il quddiem ir-“RTB”). Fid-dawl ta’ ċerti prattiki implimentati minn membri ta’ IAB Europe fil-kuntest ta’ din is-sistema ta’ skambju massiv ta’ data personali dwar il-profili ta’ utenti, it-TCF ġie ppreżentat minn IAB Europe bħala soluzzjoni li tista’ tirrendi konformi mal-GDPR l-imsemmija sistema ta’ bejgħ bl-irkant.
23 B’mod partikolari, kif jirriżulta mill-proċess ippreżentat lill-Qorti tal-Ġustizzja, minn perspettiva teknika, meta utent jikkonsulta sit internet jew applikazzjoni li tinkludi spazju ta’ reklamar, l-impriżi ta’ teknoloġija ta’ reklamar, u b’mod partikolari sensara tad-data u ta’ pjattaformi ta’ reklamar, li jirrappreżentaw eluf ta’ persuni li jirreklamaw, jistgħu jagħmlu offerti f’ħin reali, f’daqqa, sabiex jiksbu dan l-ispazju ta’ reklamar permezz ta’ sistema ta’ rkant awtomatizzat li tuża algoritmi, sabiex juru reklamar immirat adattat speċifikament għall-profil ta’ tali utent fuq l-imsemmi spazju.
24 Madankollu, qabel ma jintwerew tali reklamar immirat, għandu jinġabar il-kunsens minn qabel tal-imsemmi utent. Għalhekk, meta dan jikkonsulta sit internet jew applikazzjoni għall-ewwel darba, pjattaforma ta’ ġestjoni tal-kunsens imsejħa “Consent Management Platform” (iktar ’il quddiem iċ-“CMP”) tidher f’tieqa pop-up li tippermetti lil dan l-utent, minn naħa, li jagħti l-kunsens tiegħu lill-fornitur tas-sit internet jew tal-applikazzjoni bl-għan tal-ġbir u tal-ipproċessar tad-data personali tiegħu għal finijiet iddefiniti minn qabel, bħalma huma b’mod partikolari l-kummerċjalizzazzjoni jew ir-reklamar, jew bl-għan tal-kondiviżjoni ta’ din id-data ma’ ċerti fornituri, u, min-naħa l-oħra, li jopponu għal tipi differenti ta’ pproċessar ta’ data jew għall-qsim tagħha, ibbażati fuq l-interessi leġittimi mitluba minn fornituri, fis-sens tal-Artikolu 6(1)(f) tal-GDPR. Din id-data personali tikkonċerna b’mod partikolari l-post fejn jinsab l-utent, l-età tiegħu, l-istorja tar-riċerki tiegħu u x-xiri reċenti tiegħu.
25 F’dan il-kuntest, it-TCF jipprovdi qafas għall-ipproċessar ta’ data personali fuq skala kbira u jiffaċilita r-reġistrazzjoni tal-preferenzi tal-utenti permezz taċ-CMP. Dawn il-preferenzi huma sussegwentement ikkodifikati u maħżuna f’sekwenza komposta minn taħlita ta’ ittri u karattri msejħa minn IAB Europe bl-isem Transparency and Consent String (iktar ’il quddiem it-“TC String”), li hija kondiviża ma’ sensara ta’ data personali u pjattaformi ta’ reklamar li jipparteċipaw fil-protokoll OpenRTB, sabiex dawn ikunu jafu dak li l-utent ta għalih il-kunsens tiegħu jew ikun oppona. Iċ-CMP tqiegħed ukoll cookie (euconsent‑v2) fuq l-apparat tal-utent. Meta jittieħdu flimkien, it-TC String u l-cookie euconsent‑v2 jistgħu jkunu marbuta mal-indirizz IP ta’ dak l-utent.
26 It-TCF għalhekk għandu rwol fil-funzjonament tal-protokoll OpenRTB peress li jippermetti t-traskrizzjoni tal-preferenzi tal-utent sabiex dawn jiġu kkomunikati lil bejjiegħa potenzjali u sabiex jintlaħqu għanijiet differenti ta’ pproċessar, inkluża l-proposta ta’ reklamar imfassal apposta. B’mod partikolari, it-TCF għandu l-għan li jiżgura li s-sensara tad-data personali u l-pjattaformi ta’ reklamar, permezz tat-TC String, jikkonformaw mal-GDPR.
27 Mill‑2019, l-APD irċeviet diversi lmenti kontra IAB Europe, kemm mill-Belġju kif ukoll minn pajjiżi terzi, dwar il-konformità tat-TCF mal-GDPR. Wara li eżaminat dawn l-ilmenti, l-APD, bħala awtorità superviżorja ewlenija, fis-sens tal-Artikolu 56(1) tal-GDPR, attivat il-mekkaniżmu ta’ kooperazzjoni u ta’ koerenza, konformement mal-Artikoli 60 sa 63 ta’ dan ir-regolament, sabiex tasal għal deċiżjoni konġunta approvata b’mod konġunt mill‑21 awtorità superviżorja nazzjonali kollha involuti fil-kuntest ta’ dan il-mekkaniżmu. Għalhekk, l-Awla ta’ Ġurisdizzjoni Kontenzjuża tal-APD, permezz tad-deċiżjoni tagħha tat‑2 ta’ Frar 2022 (iktar ’il quddiem id-“deċiżjoni tat‑2 ta’ Frar 2022”), iddeċidiet li IAB Europe kienet taġixxi bħala kontrollur tad-data personali f’dak li jirrigwarda r-reġistrazzjoni tas-sinjal ta’ kunsens, ta’ oġġezzjonijiet u ta’ preferenzi tal-utenti individwali permezz ta’ TC String, li, skont l-Awla ta’ Ġurisdizzjoni Kontenzjuża tal-APD, hija assoċjata ma’ utent identifikabbli. Barra minn hekk, f’din id-deċiżjoni, l-Awla ta’ Ġurisdizzjoni Kontenzjuża tal-APD ordnat lil IAB Europe, konformement mas-subparagrafu 9 tal-Artikolu 100(1) tal-LTA, tikkonforma mad-dispożizzjonijiet tal-GDPR l-ipproċessar tad-data personali mwettaq fil-kuntest tat-TCF u imponitilha diversi miżuri korrettivi kif ukoll multa amministrattiva.
28 IAB Europe ppreżentat rikors kontra l-imsemmija deċiżjoni quddiem il-hof van beroep te Brussel (il-Qorti tal-Appell ta’ Brussell, il-Belġju), li hija l-qorti tar-rinviju. IAB Europe titlob lil din il-qorti tannulla d-deċiżjoni tat‑2 ta’ Frar 2022. Hija tikkontesta, fost affarijiet oħra, il-fatt li titqies li aġixxiet bħala kontrollur tad-data. Hija ssostni wkoll li, sa fejn tikkonstata li t-TC String hija data personali, fis-sens tal-punt 1 tal-Artikolu 4 tal-GDPR, din id-deċiżjoni ma hijiex suffiċjentement ikkwalifikata u motivata u, fi kwalunkwe każ, li hija żbaljata. B’mod partikolari, IAB Europe tenfasizza li l-parteċipanti l-oħra tat-TCF biss jistgħu jgħaqqdu t-TC String ma’ indirizz IP sabiex jittrasformawh f’data personali, li t-TC String ma huwiex speċifiku għal utent u li hija stess ma għandhiex il-possibbiltà li taċċedi għad-data li tiġi pproċessata f’dan il-kuntest mill-membri tagħha.
29 L-APD, sostnuta fil-kuntest tal-proċedura nazzjonali minn Jef Ausloos, Pierre Dewitte, Johnny Ryan, il-Fundacja Panoptykon, Stichting Bits of Freedom u Ligue des Droits Humains VZW, issostni b’mod partikolari li t-TC Strings fil-fatt jikkostitwixxi data personali, sa fejn iċ-CMP jistgħu jorbtu lill-TC Strings mal-indirizzi IP, barra minn hekk, il-parteċipanti fit-TCF jistgħu wkoll jidentifikaw l-utenti abbażi ta’ data oħra, li IAB Europe għandha aċċess għall-informazzjoni sabiex tagħmel dan, u li din l-identifikazzjoni tal-utent hija preċiżament l-għan tat-TC String, li huwa intiż li jiffaċilita l-bejgħ tar-reklamar immirat. Barra minn hekk, l-APD issostni, fost l-oħrajn, li l-fatt li IAB Europe għandha titqies bħala kontrollur tad-data fis-sens tal-GDPR jirriżulta mir-rwol determinanti tagħha fl-ipproċessar tat-TC Strings. L-APD iżżid li din l-organizzazzjoni tiddetermina, rispettivament, l-għanijiet u l-mezzi tal-ipproċessar, il-mod kif it-TC Strings huma ġġenerati, immodifikati u moqrija, kif u fejn il-cookies neċessarji huma maħżuna, min jirċievi d-data personali u fuq il-bażi ta’ liema kriterji t-termini għaż-żamma tat-TC Strings jistgħu jiġu stabbiliti.
30 Il-qorti tar-rinviju għandha dubji dwar jekk TC String, flimkien ma’ indirizz IP jew le, jikkostitwixxix data personali u, jekk dan huwa l-każ, jekk IAB Europe għandhiex tiġi kklassifikata bħala kontrollur tad-data personali fil-kuntest tat-TCF, b’mod partikolari fir-rigward tal-ipproċessar tat-TC String. F’dan ir-rigward, din il-qorti tindika li, għalkemm huwa minnu li d-deċiżjoni tat‑2 ta’ Frar 2022 tirrifletti l-pożizzjoni komuni adottata b’mod konġunt mid-diversi awtoritajiet ta’ superviżjoni nazzjonali involuti f’dan il-każ, il-Qorti tal-Ġustizzja madankollu kien għad ma kellhiex l-okkażjoni li tiddeċiedi dwar din it-teknoloġija intrużiva ġdida li tikkostitwixxi t-TC String.
31 F’dawn iċ-ċirkustanzi, il-hof van beroep te Brussel (il-Qorti tal-Appell ta’ Brussell) iddeċidiet li tissospendi l-proċeduri quddiemha u li tagħmel lill-Qorti tal-Ġustizzja d-domandi preliminari li ġejjin:
“1) (a) Il-punt 1 tal-Artikolu 4 [tal-GDPR], moqri flimkien mal-Artikoli 7 u 8 tal-[Karta], għandu jiġi interpretat fis-sens li sekwenza ta’ karattri li taqbad il-preferenzi ta’ utent tal-internet b’mod strutturat u li jistgħu jinqraw permezz ta’ magna, b’rabta mal-ipproċessar tad-data personali tiegħu, tikkostitwixxi data personali fis-sens tad-dispożizzjoni ċċitata iktar ’il fuq fir-rigward (1) ta’ organizzazzjoni settorjali li tqiegħed għad-dispożizzjoni tal-membri tagħha standard li permezz tiegħu hija tistabbilixxi fir-rigward tagħhom b’liema mod prattiku u tekniku din is-sekwenza ta’ karattri għandha tiġi ġġenerata, maħżuna u/jew imxerrda, u (2) ta’ partijiet li kienu implimentaw dan l-istandard fis-siti internet tagħhom jew fl-apps tagħhom u għalhekk għandhom aċċess għal din is-sekwenza ta’ karattri?
(b) Jagħmel differenza f’dan ir-rigward li l-implimentazzjoni tal-istandard timplika li din is-sekwenza ta’ karattri hija disponibbli flimkien ma’ indirizz IP?
(c) Ir-risposta għall-punti (a) u (b) [tal-ewwel domanda] twassal għal konklużjoni differenti jekk din l-organizzazzjoni settorjali ta’ standardizzazzjoni ma jkollhiex hija stess id-dritt li taċċedi għad-data personali pproċessata mill-membri tagħha fil-kuntest ta’ dan l-istandard?
2) (a) Il-punt 7 tal-Artikolu 4 u l-Artikolu 24(1) [tal-GDPR], moqrija flimkien mal-Artikolu 7 u 8 tal-Karta għandhom jiġu interpretati fis-sens li organizzazzjoni settorjali ta’ standardizzazzjoni għandha tiġi kklassifikata bħala responsabbli mill-ipproċessar, meta hija tipproponi lill-membri tagħha standard għall-ġestjoni tal-kunsens li jinkludi mhux biss qafas tekniku vinkolanti, iżda wkoll regoli li jippreċiżaw b’mod iddettaljat kif din id-data ta’ kunsens, li tikkostitwixxi data personali, għandha tiġi maħżuna u mxerrda?
(b) Ir-risposta għad-domanda (a) [tat-tieni domanda] twassal għal konklużjoni differenti jekk din l-organizzazzjoni settorjali ma jkollhiex hija stess id-dritt li taċċedi għad-data personali pproċessata mill-membri tagħha fil-kuntest ta’ dan l-istandard?
(c) Jekk l-organizzazzjoni settorjali ta’ standardizzazzjoni [għandha] tiġi indikata bħala responsabbli jew responsabbli b’mod konġunt mill-ipproċessar tal-preferenzi tal-utenti tal-internet, din ir-responsabbiltà (konġunta) tal-organizzazzjoni settorjali ta’ standardizzazzjoni testendi wkoll awtomatikament għall-ipproċessar sussegwenti minn terzi li jkunu rċevew il-preferenzi tal-utenti tal-internet, bħar-reklamar immirat online mill-pubblikaturi u mill-bejjiegħa?”
Fuq l‑ewwel domanda
32 Permezz tal-ewwel domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk il-punt 1 tal-Artikolu 4 tal-GDPR għandux jiġi interpretat fis-sens li sekwenza komposta minn taħlita ta’ ittri u ta’ karattri, bħat-TC String, li jinkludu l-preferenzi ta’ utent tal-internet jew ta’ applikazzjoni dwar il-kunsens ta’ dan l-utent għall-ipproċessar tad-data personali li tikkonċernah minn fornituri ta’ siti internet jew ta’ applikazzjonijiet kif ukoll minn sensara ta’ tali data u minn pjattaformi ta’ reklamar, tikkostitwixxi data personali fis-sens ta’ din id-dispożizzjoni, meta organizzazzjoni settorjali tkun stabbilixxiet il-qafas ta’ regoli li jipprovdu li din is-sekwenza għandha tiġi ġġenerata, maħżuna jew imxandra u l-membri ta’ tali organizzazzjoni jkunu implimentaw tali regoli u għalhekk ikollhom aċċess għall-imsemmija sekwenza. Din il-qorti tixtieq tkun taf ukoll jekk, għall-finijiet tar-risposta għal din id-domanda, huwiex importanti, fl-ewwel lok, li l-imsemmija sekwenza tkun assoċjata ma’ identifikatur, bħal b’mod partikolari l-indirizz IP tal-apparat tal-imsemmi utent, li jippermetti li jiġi identifikat is-suġġett tad-data, u, fit-tieni lok, li tali organizzazzjoni settorjali għandha d-dritt ta’ aċċess dirett għad-data personali li hija pproċessata mill-membri tagħha fil-kuntest tar-regoli li hija stabbilixxiet.
33 Preliminarjament, għandu jitfakkar li, peress li l-GDPR ħassar u ssostitwixxa d-Direttiva 95/46/KE tal-Parlament Ewropew u tal-Kunsill tal‑24 ta’ Ottubru 1995 dwar il-protezzjoni ta’ individwi fir-rigward ta’ l-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ dik id-data (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 13, Vol. 15, p. 355) u li d-dispożizzjonijiet rilevanti ta’ dan ir-regolament għandhom portata essenzjalment identika għal dik tad-dispożizzjonijiet rilevanti ta’ din id-direttiva, il-ġurisprudenza tal-Qorti tal-Ġustizzja dwar l-imsemmija direttiva hija applikabbli wkoll, bħala prinċipju, fir-rigward tal-imsemmi regolament (sentenza tas‑17 ta’ Ġunju 2021, M.I.C.M., C‑597/19, EU:C:2021:492, punt 107).
34 Għandu jitfakkar ukoll li, skont ġurisprudenza stabbilita, l-interpretazzjoni ta’ dispożizzjoni tad-dritt tal-Unjoni teħtieġ li jittieħdu inkunsiderazzjoni mhux biss il-kliem tagħha, iżda wkoll il-kuntest li taqa’ taħtu kif ukoll l-għanijiet u l-finijiet imfittxija mill-att li tagħmel parti minnu (sentenza tat‑22 ta’ Ġunju 2023, Pankki S, C‑579/21, EU:C:2023:501, punt 38 u l-ġurisprudenza ċċitata).
35 F’dan ir-rigward, għandu jiġi rrilevat li l-punt 1 tal-Artikolu 4 tal-GDPR jindika li tikkostitwixxi data personali “kwalunkwe informazzjoni relatata ma’ persuna fiżika identifikata jew identifikabbli” u jippreċiża li “persuna fiżika identifikabbli hija persuna li tista’ tiġi identifikata, direttament jew indirettament, b’mod partikolari b’referenza għal mezz ta’ identifikazzjoni bħal isem, numru ta’ identifikazzjoni, data ta’ lokalizzazzjoni, identifikatur online jew għal fattur wieħed jew aktar speċifiċi għall-identità fiżika, fiżjoloġika, ġenetika, mentali, ekonomika, kulturali jew soċjali ta’ dik il-persuna fiżika”.
36 L-użu tal-espressjoni “kwalunkwe informazzjoni” fil-kuntest tad-definizzjoni tal-kunċett ta’ “data personali”, li tinsab f’din id-dispożizzjoni, jirrifletti l-għan tal-leġiżlatur tal-Unjoni li jattribwixxi sens wiesa’ lil dan il-kunċett, li potenzjalment jiġbor fih kull tip ta’ informazzjoni, kemm oġġettiva kif ukoll suġġettiva, fil-forma ta’ opinjonijiet jew evalwazzjonijiet, bil-kundizzjoni li dawn “jikkonċernaw” lill-persuna inkwistjoni (sentenza tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF, C‑487/21, EU:C:2023:369, punt 23).
37 F’dan ir-rigward, il-Qorti tal-Ġustizzja ddeċidiet li informazzjoni tikkonċerna persuna fiżika identifikata jew identifikabbli meta, minħabba l-kontenut, l-għan jew l-effett tagħha, din tkun relatata ma’ persuna identifikabbli (sentenza tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF, C‑487/21, EU:C:2023:369, punt 24 kif ukoll il-ġurisprudenza ċċitata).
38 Fir-rigward tan-natura “identifikabbli” ta’ persuna, mill-formulazzjoni tal-punt 1 tal-GDPR jirriżulta li persuna identifikabbli hija persuna li tista’ tiġi identifikata mhux biss direttament iżda wkoll indirettament.
39 Kif diġà ddeċidiet il-Qorti tal-Ġustizzja, l-użu mil-leġiżlatur tal-Unjoni tat-terminu “indirettament” donnu jindika li, sabiex informazzjoni tiġi kklassifikata bħala data personali, ma huwiex neċessarju li din l-informazzjoni tippermetti, waħedha, li jiġi identifikat is-suġġett tad-data (ara, b’analoġija, is-sentenza tad‑19 ta’ Ottubru 2016, Breyer, C‑582/14, EU:C:2016:779, punt 41). Għall-kuntrarju, mill-punt 5 tal-Artikolu 4 tal-GDPR, moqri flimkien mal-premessa 26 ta’ dan ir-regolament, jirriżulta li d-data personali li tista’ tiġi attribwita lil persuna fiżika permezz ta’ informazzjoni supplimentari għandha titqies li hija informazzjoni dwar persuna fiżika identifikabbli (sentenza tal‑5 ta’ Diċembru 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punt 58).
40 Barra minn hekk, din il-premessa 26 tippreċiża li, sabiex jiġi ddeterminat jekk persuna hijiex “identifikabbli”, għandhom jittieħdu inkunsiderazzjoni “l-mezzi kollha li raġonevolment x’aktarx ikunu jintużaw, bħas-singolarizzazzjoni, mill-kontrollur jew minn kwalunkwe persuna oħra sabiex persuna fiżika tiġi identifikata direttament jew indirettament.” Din il-formulazzjoni tissuġġerixxi li, sabiex data tkun tista’ tiġi kklassifikata bħala “data personali”, fis-sens tal-punt 1 tal-Artikolu 4 ta’ dan ir-regolament, ma huwiex meħtieġ li l-informazzjoni kollha li tippermetti li jiġi identifikat is-suġġett tad-data tkun f’idejn persuna waħda biss (ara, b’analoġija, is-sentenza tad‑19 ta’ Ottubru 2016, Breyer, C‑582/14, EU:C:2016:779, punt 43).
41 Minn dan jirriżulta li l-kunċett ta’ “data personali” ma jkoprix biss id-data miġbura u miżmuma mill-kontrollur tad-data, iżda tinkludi wkoll l-informazzjoni kollha li tirriżulta minn ipproċessar ta’ data personali li tikkonċerna persuna identifikata jew identifikabbli (sentenza tat‑22 ta’ Ġunju 2023, Pankki S, C‑579/21, EU:C:2023:501, punt 45).
42 F’dan il-każ, għandu jiġi rrilevat li sekwenza komposta minn taħlita ta’ ittri u ta’ karattri, bħat-TC String, tinkludi l-preferenzi ta’ utent tal-internet jew ta’ applikazzjoni dwar il-kunsens ta’ dan l-utent għall-ipproċessar minn terzi ta’ data personali li tikkonċernah jew relatata mal-oppożizzjoni eventwali tiegħu għal ipproċessar ta’ tali data bbażata fuq allegat interess leġittimu, skont l-Artikolu 6(1)(f) tal-GDPR.
43 Issa, anki jekk TC String ma kienx fiha fiha nnifisha elementi li jippermettu l-identifikazzjoni diretta tas-suġġett tad-data, xorta jibqa’ l-fatt, fl-ewwel lok, li hija tinkludi l-preferenzi individwali ta’ utent speċifiku fir-rigward tal-kunsens tiegħu għall-ipproċessar tad-data personali li tikkonċernah, peress li din hija informazzjoni “relatata ma’ persuna fiżika”, fis-sens tal-punt 1 tal-Artikolu 4 tal-GDPR.
44 Fit-tieni lok, huwa wkoll stabbilit li, meta l-informazzjoni li tinsab f’TC String tkun assoċjata ma’ identifikatur, bħal b’mod partikolari l-indirizz IP tal-apparat ta’ tali utent, hija tista’ tippermetti li jinħoloq profil tal-imsemmi utent u li tiġi identifikata effettivament il-persuna speċifikament ikkonċernata minn tali informazzjoni.
45 Sa fejn il-fatt li sekwenza komposta minn taħlita ta’ ittri u ta’ karattri, bħat-TC String, tiġi assoċjata ma’ data addizzjonali, b’mod partikolari fl-indirizz IP tal-apparat ta’ utent jew ma’ identifikaturi oħra, jippermetti li jiġi identifikat dan l-utent, hemm lok li jiġi kkunsidrat li t-TC String fih informazzjoni dwar utent identifikabbli u jikkostitwixxi għalhekk data personali, fis-sens tal-Artikolu 4(1) tal-GDPR, li hija kkorroborata mill-premessa 30 tal-GDPR, li ssemmi espressament tali każ.
46 Din l-interpretazzjoni ma tistax tiġi kkontestata mis-sempliċi fatt li IAB Europe ma tistax tgħaqqad hija stess it-TC String mal-indirizz IP tal-apparat ta’ utent u ma għandhiex il-possibbiltà li taċċedi direttament għad-data pproċessata mill-membri tagħha fil-kuntest tat-TCF.
47 Fil-fatt, kif jirriżulta mill-ġurisprudenza mfakkra fil-punt 40 ta’ din is-sentenza, tali ċirkustanza ma tipprekludix li TC String jiġi kklassifikat bħala “data personali”, fis-sens tal-punt 1 tal-Artikolu 4 tal-GDPR.
48 Mill-bqija, mill-proċess għad-dispożizzjoni tal-Qorti tal-Ġustizzja, u b’mod partikolari mid-deċiżjoni tat‑2 ta’ Frar 2022, jirriżulta li l-membri ta’ IAB Europe huma obbligati jikkomunikawlha, fuq talba tagħha, l-informazzjoni kollha li tippermettilha tidentifika l-utenti li d-data tagħhom hija s-suġġett ta’ TC String.
49 Għalhekk jidher, bla ħsara għall-verifiki li għandha twettaq il-qorti tar-rinviju f’dan ir-rigward, li IAB Europe għandha, konformement ma’ dak li tistabbilixxi l-premessa 26 tal-GDPR, mezzi raġonevoli li jippermettulha tidentifika persuna fiżika partikolari minn TC String, permezz tal-informazzjoni li l-membri tagħha u organizzazzjonijiet oħra li jipparteċipaw fit-TCF huma obbligati jipprovdulha.
50 Mill-kunsiderazzjonijiet preċedenti jirriżulta li TC String jikkostitwixxi data personali, fis-sens tal-punt 1 tal-Artikolu 4 tal-GDPR. F’dan ir-rigward, huwa irrilevanti l-fatt li, mingħajr kontribuzzjoni esterna li hija għandha d-dritt li teżiġi, tali organizzazzjoni settorjali la tkun tista’ taċċedi għad-data li hija pproċessata mill-membri tagħha fil-kuntest tar-regoli li hija stabbilixxiet u lanqas ma tkun tista’ tgħaqqad lit-TC String ma’ identifikaturi oħra, bħal b’mod partikolari l-indirizz IP tal-apparat ta’ utent.
51 Fid-dawl tal-kunsiderazzjonijiet preċedenti, ir-risposta għall-ewwel domanda għandha tkun li l-punt 1 tal-Artikolu 4 tal-GDPR għandu jiġi interpretat fis-sens li sekwenza komposta minn taħlita ta’ ittri u ta’ karattri, bħat-TC String, li jinkludu l-preferenzi ta’ utent tal-internet jew ta’ applikazzjoni dwar il-kunsens ta’ dan l-utent għall-ipproċessar tad-data personali li tikkonċernah minn fornituri ta’ siti internet jew ta’ applikazzjonijiet kif ukoll minn sensara ta’ tali data u minn pjattaformi ta’ reklamar, tikkostitwixxi data personali fis-sens ta’ din id-dispożizzjoni, sa fejn din tista’, b’mezzi raġonevoli, tiġi assoċjata ma’ identifikatur, bħal b’mod partikolari l-indirizz IP tal-apparat tal-imsemmi utent, hija tippermetti li jiġi identifikat is-suġġett tad-data. F’tali ċirkustanzi, il-fatt li mingħajr kontribuzzjoni esterna organizzazzjoni settorjali li żżomm din is-sekwenza la tista’ taċċedi għad-data li hija pproċessata mill-membri tagħha fil-kuntest tar-regoli li hija stabbilixxiet u lanqas ma tista’ tgħaqqad l-imsemmija sekwenza ma’ elementi oħra ma jipprekludix li l-istess sekwenza tikkostitwixxi data personali fis-sens tal-imsemmija dispożizzjoni.
Fuq it‑tieni domanda
52 Permezz tat-tieni domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk il-punt 7 tal-Artikolu 4 tal-GDPR għandux jiġi interpretat fis-sens li:
– minn naħa, organizzazzjoni settorjali, sa fejn tipproponi lill-membri tagħha qafas ta’ regoli li hija stabbilixxiet dwar il-kunsens fil-qasam tal-ipproċessar ta’ data personali, li jinkludi mhux biss regoli tekniċi vinkolanti iżda wkoll regoli li jispeċifikaw b’mod iddettaljat il-modalitajiet ta’ ħażna u ta’ tixrid ta’ data personali dwar dan il-kunsens, għandha tiġi kklassifikata bħala “kontrollur tad-data”, fis-sens ta’ din id-dispożizzjoni u jekk, għall-finijiet tar-risposta għal din id-domanda, huwa importanti li tali organizzazzjoni settorjali jkollha hija stess aċċess dirett għad-data personali pproċessata mill-membri tagħha fil-kuntest tal-imsemmija regoli;
– min-naħa l-oħra, l-eventwali responsabbiltà konġunta tal-imsemmija organizzazzjoni settorjali testendix awtomatikament għall-ipproċessar ulterjuri ta’ data personali mwettaq minn terzi, bħall-fornituri ta’ siti internet jew ta’ applikazzjonijiet, fir-rigward tal-preferenzi tal-utenti għall-finijiet tar-reklamar immirat online.
53 Preliminarjament, għandu jitfakkar li l-għan imfittex mill-GDPR, kif jirriżulta mill-Artikolu 1 tiegħu kif ukoll mill-premessi 1 u 10 tiegħu, jikkonsisti, b’mod partikolari, f’li jiġi ggarantit livell għoli ta’ protezzjoni tal-libertajiet u tad-drittijiet fundamentali tal-persuni fiżiċi, b’mod partikolari tad-dritt tagħhom għall-ħajja privata fir-rigward tal-ipproċessar tad-data personali, stabbilit fl-Artikolu 8(1) tal-Karta u fl-Artikolu 16(1) TFUE (sentenza tal‑4 ta’ Mejju 2023, Bundesrepublik Deutschland (Indirizz tal-posta elettronika ta’ qorti), C‑60/22, EU:C:2023:373, punt 64).
54 Konformement ma’ dan l-għan, il-punt 7 tal-Artikolu 4 ta’ dan ir-regolament jiddefinixxi b’mod wiesa’ l-kunċett ta’ “kontrollur tad-data” sabiex ifisser il-persuna fiżika jew ġuridika, l-awtorità pubblika, id-dipartimenti jew kwalunkwe organu ieħor liem waħdu jew flimkien ma’ oħrajn, jiddetermina l-finijiet u l-mezzi tal-ipproċessar ta’ data personali.
55 Fil-fatt, hekk kif il-Qorti tal-Ġustizzja diġà ddeċidiet, l-għan ta’ din id-dispożizzjoni huwa li tiżgura, permezz ta’ definizzjoni wiesgħa tal-kunċett ta’ “kontrollur tad-data”, protezzjoni effikaċi u kompleta tas-suġġetti tad-data (ara, b’analoġija, s-sentenza tal‑5 ta’ Ġunju 2018, Wirtschaftsakademie Schleswig-Holstein, C‑210/16, EU:C:2018:388, punt 28).
56 Barra minn hekk, peress li, hekk kif jipprevedi espressament il-punt 7 tal-Artikolu 4 tal-GDPR, il-kunċett ta’ “kontrollur tad-data” jirrigwarda l-organu li, “waħdu jew flimkien ma’ oħrajn” jiddetermina l-finijiet u l-mezzi tal-ipproċessar ta’ data ta’ natura personali, dan il-kunċett ma jirreferix neċessarjament għal organu wieħed u jista’ jkopri numru ta’ atturi li huma involuti f’dan l-ipproċessar, fejn kull wieħed minnhom ikun għalhekk suġġett għad-dispożizzjonijiet applikabbli fir-rigward tal-protezzjoni tad-data (ara, b’analoġija, is-sentenzi tal‑5 ta’ Ġunju 2018, Wirtschaftsakademie Schleswig-Holstein, C‑210/16, EU:C:2018:388, punt 29, u tal‑10 ta’ Lulju 2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, punt 65).
57 Il-Qorti tal-Ġustizzja qieset ukoll li persuna fiżika jew ġuridika li jkollha effett, għal finijiet speċifiċi għaliha, fuq l-ipproċessar ta’ data ta’ natura personali u li minħabba f’hekk tipparteċipa għad-determinazzjoni tal-finijiet u tal-mezzi ta’ dan l-ipproċessar tista’ titqies bħala kontrollur tad-data fis-sens tal-punt 7 tal-Artikolu 4 tal-GDPR (ara, b’analoġija, is-sentenza tal‑10 ta’ Lulju 2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, punt 68). Għalhekk, konformement mal-Artikolu 26(1) tal-GDPR, jeżistu “kontrolluri konġunti tad-data” meta żewġ kontrolluri jew iktar tad-data jiddeterminaw b’mod konġunt il-finijiet u l-mezzi tal-ipproċessar (sentenza tal‑5 ta’ Diċembru 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punt 40).
58 F’dan ir-rigward, għalkemm kull kontrollur konġunt tad-data għandu jissodisfa b’mod indipendenti d-definizzjoni ta’ “kontrollur tad-data” li tinsab fil-punt 7 tal-Artikolu 4 tal-GDPR, l-eżistenza ta’ responsabbiltà konġunta ma timplikax neċessarjament responsabbiltà ekwivalenti, għall-istess ipproċessar ta’ data personali, tad-diversi atturi. Għall-kuntrarju, dawn l-atturi jistgħu jkunu involuti fi stadji differenti ta’ dan l-ipproċessar u bi gradi differenti, b’tali mod li l-livell ta’ responsabbiltà ta’ kull wieħed minnhom għandu jiġi evalwat billi jittieħdu inkunsiderazzjoni ċ-ċirkustanzi kollha rilevanti tal-każ. Barra minn hekk, ir-responsabbiltà konġunta ta’ diversi atturi għall-istess ipproċessar, skont din id-dispożizzjoni, ma teħtieġx li kull wieħed minnhom ikollu aċċess għad-data personali kkonċernata (ara, f’dan is-sens, is-sentenza tal‑10 ta’ Lulju 2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, punti 66 u 69 kif ukoll il-ġurisprudenza ċċitata).
59 Il-parteċipazzjoni fid-determinazzjoni tal-finijiet u tal-mezzi tal-ipproċessar tista’ tieħu forom differenti, peress li din il-parteċipazzjoni tista’ tirriżulta kemm minn deċiżjoni komuni meħuda minn żewġ entitajiet jew iktar kif ukoll minn deċiżjonijiet konverġenti ta’ tali entitajiet. Issa, f’dan l-aħħar każ, l-imsemmija deċiżjonijiet għandhom jikkompletaw ruħhom, b’tali mod li kull waħda minnhom ikollha effett konkret fuq id-determinazzjoni tal-finijiet u tal-mezzi tal-ipproċessar. B’kuntrast ma’ dan, ma jistax jiġi rikjest li jeżisti ftehim formali bejn dawn il-kontrolluri tad-data fir-rigward tal-għanijiet u tal-mezzi tal-ipproċessar (sentenza tal‑5 ta’ Diċembru 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punti 43 u 44).
60 Fid-dawl tal-kunsiderazzjonijiet preċedenti, għandu jiġi kkunsidrat li l-ewwel parti tat-tieni domanda magħmula hija intiża sabiex jiġi ddeterminat jekk organizzazzjoni settorjali, bħal IAB Europe, tistax titqies bħala kontrollur konġunt tad-data, fis-sens tal-punt 7 tal-Artikolu 4 u tal-Artikolu 26(1) tal-GDPR.
61 Għal dan l-għan, għandu għalhekk jiġi evalwat jekk, fid-dawl taċ-ċirkustanzi partikolari tal-każ inkwistjoni, hija taffettwax, għall-finijiet tiegħu stess, l-ipproċessar ta’ data personali, bħat-TC String, u tiddeterminax, flimkien ma’ oħrajn, il-finijiet u l-mezzi ta’ tali pproċessar.
62 Fir-rigward, fl-ewwel lok, tal-iskopijiet ta’ tali pproċessar ta’ data personali, bla ħsara għall-verifiki li għandha twettaq il-qorti tar-rinviju, mill-proċess għad-dispożizzjoni tal-Qorti tal-Ġustizzja jirriżulta li, kif tfakkar fil-punti 21 u 22 ta’ din is-sentenza, it-TCF stabbilit minn IAB Europe jikkostitwixxi qafas ta’ regoli intiżi li jiżguraw il-konformità mal-GDPR tal-ipproċessar ta’ data personali ta’ utent ta’ sit internet jew ta’ applikazzjoni mwettqa minn ċerti operaturi li jipparteċipaw fil-bejgħ bl-irkant online ta’ spazji ta’ reklamar.
63 F’dawn iċ-ċirkustanzi, it-TCF hija intiża, essenzjalment, sabiex tiffavorixxi u tippermetti l-bejgħ u x-xiri ta’ spazji ta’ reklamar fuq l-internet mill-imsemmija operaturi.
64 Għaldaqstant, jista’ jitqies, bla ħsara għall-verifiki li għandha twettaq il-qorti tar-rinviju, li IAB Europe tinfluwenza, għal finijiet speċifiċi għaliha, l-operazzjonijiet ta’ pproċessar ta’ data personali inkwistjoni fil-kawża prinċipali u tiddetermina, minħabba f’hekk, b’mod konġunt mal-membri tagħha, l-għanijiet ta’ tali operazzjonijiet.
65 Fit-tieni lok, fir-rigward tal-mezzi użati għall-finijiet ta’ tali pproċessar ta’ data personali, mill-proċess għad-dispożizzjoni tal-Qorti tal-Ġustizzja jirriżulta, bla ħsara għall-verifiki li għandha twettaq il-qorti tar-rinviju, li t-TCF jikkostitwixxi qafas ta’ regoli li l-membri ta’ IAB Europe huma mistennija jaċċettaw sabiex jaderixxu ma’ din l-assoċjazzjoni. B’mod partikolari, kif ġie kkonfermat minn IAB Europe waqt is-seduta quddiem il-Qorti tal-Ġustizzja, għalkemm wieħed mill-membri tagħha ma jikkonformax mar-regoli tat-TCF, IAB Europe tista’ tadotta fir-rigward ta’ dan il-membru deċiżjoni ta’ nuqqas ta’ konformità u ta’ sospensjoni li tista’ twassal għall-esklużjoni tal-imsemmi membru tat-TCF u, għaldaqstant, sabiex tipprekludih milli jinvoka l-garanzija ta’ konformità mal-GDPR li hija intiża li tiġi pprovduta minn dan il-mekkaniżmu għall-ipproċessar ta’ data personali li huwa jwettaq permezz tat-TC Strings.
66 Barra minn hekk, u minn perspettiva prattika, kif issemma fil-punt 21 ta’ din is-sentenza, it-TCF stabbilit minn IAB Europe jinkludi speċifikazzjonijiet tekniċi dwar it-trattament tat-TC String. B’mod partikolari, jidher li dawn l-ispeċifikazzjonijiet jiddeskrivu b’mod preċiż il-mod kif iċ-CMP huma meħtieġa jiġbru l-preferenzi tal-utenti relatati mal-ipproċessar tad-data personali li tikkonċernahom kif ukoll il-mod kif dawn il-preferenzi għandhom jiġu pproċessati sabiex jiġi ġġenerat TC String. Barra minn hekk, regoli preċiżi huma wkoll stabbiliti f’dak li jirrigwarda l-kontenut tat-TC String kif ukoll il-ħażna u l-qsim tagħha.
67 Mid-deċiżjoni tat‑2 ta’ Frar 2022 jirriżulta b’mod partikolari li IAB Europe tippreskrivi, fil-kuntest ta’ dawn ir-regoli, b’mod partikolari l-mod standardizzat li bih il-partijiet differenti involuti fit-TCF jistgħu jikkonsultaw il-preferenzi, l-oġġezzjonijiet u l-kunsens tal-utenti li jinsabu fit-TC Strings.
68 F’dawn iċ-ċirkustanzi, u bla ħsara għall-verifiki li għandha twettaq il-qorti tar-rinviju, għandu jitqies li organizzazzjoni settorjali bħal IAB Europe tinfluwenza, għal finijiet speċifiċi għaliha, l-operazzjonijiet ta’ pproċessar ta’ data personali inkwistjoni fil-kawża prinċipali u tiddetermina, minħabba f’hekk, flimkien mal-membri tagħha, il-mezzi li wasslu għal tali operazzjonijiet. Minn dan isegwi li hija għandha titqies bħala “kontrollur konġunt tad‑data”, fis-sens tal-punt 7 tal-Artikolu 4 u tal-Artikolu 26(1) tal-GDPR, konformement mal-ġurisprudenza mfakkra fil-punt 57 ta’ din is-sentenza.
69 Il-fatt invokat mill-qorti tar-rinviju li tali organizzazzjoni settorjali ma għandhiex hija stess direttament aċċess għat-TC Strings u għaldaqstant għad-data personali pproċessata fil-kuntest tal-imsemmija regoli mill-membri tagħha, li magħhom hija tiddetermina b’mod konġunt il-finijiet u l-mezzi tal-ipproċessar ta’ din id-data, ma jipprekludix, konformement mal-ġurisprudenza mfakkra fil-punt 58 ta’ din is-sentenza, li hija tista’ tiġi kklassifikata bħala “kontrollur tad-data”, fis-sens ta’ dawn id-dispożizzjonijiet.
70 Barra minn hekk, b’risposta għad-dubji espressi minn din il-qorti, għandu jiġi eskluż li r-responsabbiltà konġunta eventwali ta’ din l-organizzazzjoni settorjali testendi awtomatikament għall-ipproċessar sussegwenti ta’ data personali mwettaq minn terzi, bħall-fornituri ta’ siti internet jew ta’ applikazzjonijiet, fir-rigward tal-preferenzi tal-utenti għall-finijiet tar-reklamar immirat online.
71 F’dan ir-rigward, għandu jiġi osservat, minn naħa, li l-punt 2 tal-Artikolu 4 tal-GDPR jiddefinixxi l-“ipproċessar ta’ data personali” bħala “kwalunkwe attività jew sett ta’ attivitajiet li jitwettqu fuq data personali jew fuq settijiet ta’ data personali, sew jekk b’mezzi awtomatizzati u sew jekk mingħajrhom, bħalma huma l-ġbir, ir-reġistrazzjoni, l-organizzazzjoni, l-istrutturar, il-ħażna, l-adattament jew il-bidliet, l-irkupru, il-konsultazzjoni, l-użu, l-iżvelar bi trażmissjoni, it-tixrid jew it-tqegħid għad-dispożizzjoni b’xi mezz ieħor, l-allinjament jew it-taħlita, ir-restrizzjoni, it-tħassir jew il-qerda”.
72 Minn din id-definizzjoni jirriżulta li pproċessar ta’ data personali jista’ jkun ikkostitwit minn operazzjoni waħda jew iktar, fejn kull waħda minnhom tkun marbuta ma’ stadju differenti ta’ dan l-ipproċessar.
73 Min-naħa l-oħra, kif diġà ddeċidiet il-Qorti tal-Ġustizzja, mill-punt 7 tal-Artikolu 4 u mill-Artikolu 26(1) tal-GDPR jirriżulta li persuna fiżika jew ġuridika tista’ titqies bħala kontrollur konġunt tal-operazzjonijiet ta’ pproċessar tad-data personali biss jekk tiddetermina b’mod konġunt il-finijiet u l-mezzi tagħha. Konsegwentement, u bla ħsara għal eventwali responsabbiltà ċivili prevista mid-dritt nazzjonali f’dan ir-rigward, tali persuna fiżika jew ġuridika ma tistax titqies bħala kontrollur tad-data, fis-sens tal-imsemmija dispożizzjonijiet, tal-operazzjonijiet preċedenti jew sussegwenti tas-sekwenza ta’ pproċessar li fir-rigward tagħhom hija la tiddetermina l-finijiet u lanqas il-mezzi (ara, b’analoġija, is-sentenza tad‑29 ta’ Lulju 2019, Fashion ID, C‑40/17, EU:C:2019:629, punt 74).
74 F’dan il-każ, għandha ssir distinzjoni bejn, minn naħa, l-ipproċessar ta’ data personali mwettaq mill-membri ta’ IAB Europe, jiġifieri l-fornituri ta’ siti internet jew ta’ applikazzjonijiet kif ukoll is-sensara tad-data jew inkella l-pjattaformi ta’ reklamar, waqt ir-reġistrazzjoni f’TC String tal-preferenzi fil-qasam tal-kunsens tal-utenti kkonċernati skont il-qafas ta’ regoli stabbilit fit-TCF u, min-naħa l-oħra, l-ipproċessar ulterjuri ta’ data personali mwettaq minn dawn l-operaturi kif ukoll minn terzi abbażi ta’ dawn il-preferenzi, bħat-trażmissjoni ta’ din id-data lil terzi jew l-offerta ta’ reklamar personalizzat lil dawn l-utenti.
75 Fil-fatt, dan l-ipproċessar ulterjuri, bla ħsara għall-verifiki li għandha twettaq il-qorti tar-rinviju, ma jidhirx li jimplika l-parteċipazzjoni ta’ IAB Europe b’tali mod li għandha tiġi eskluża responsabbiltà awtomatika ta’ tali organizzazzjoni, flimkien mal-imsemmija operaturi kif ukoll ma’ terzi, fir-rigward tal-ipproċessar tad-data personali mwettaq abbażi tad-data relatata mal-preferenzi tal-utenti kkonċernati li tinsab f’TC String.
76 Għalhekk, organizzazzjoni settorjali, bħal IAB Europe, tista’ titqies li hija responsabbli għal tali pproċessar sussegwenti biss meta jiġi stabbilit li din eżerċitat influwenza fuq id-determinazzjoni tal-għanijiet u tal-modalitajiet ta’ dawn tal-aħħar, fatt li għandu jiġi vverifikat mill-qorti tar-rinviju fid-dawl taċ-ċirkustanzi rilevanti kollha tal-kawża prinċipali.
77 Fid-dawl tal-kunsiderazzjonijiet kollha preċedenti, ir-risposta għat-tieni domanda għandha tkun li l-punt 7 tal-Artikolu 4 u l-Artikolu 26(1) tal-GDPR għandhom jiġu interpretati fis-sens li:
– minn naħa, organizzazzjoni settorjali, sa fejn tipproponi lill-membri tagħha qafas ta’ regoli li hija stabbilixxiet dwar il-kunsens fil-qasam tal-ipproċessar ta’ data personali, li jinkludi mhux biss regoli tekniċi vinkolanti iżda wkoll regoli li jispeċifikaw b’mod iddettaljat il-modalitajiet ta’ ħażna u ta’ tixrid tad-data personali dwar dan il-kunsens, għandha tiġi kklassifikata bħala “kontrollur konġunt tad-data”, fis-sens ta’ dawn id-dispożizzjonijiet jekk, fid-dawl taċ-ċirkustanzi partikolari tal-każ inkwistjoni, hija tinfluwenza, għal finijiet speċifiċi għaliha, l-ipproċessar ta’ data personali kkonċernata u tiddetermina, minħabba f’hekk, flimkien mal-membri tagħha, il-finijiet u l-mezzi ta’ tali pproċessar. Il-fatt li tali organizzazzjoni settorjali ma għandhiex hija stess aċċess dirett għad-data personali pproċessata mill-membri tagħha fil-kuntest tal-imsemmija regoli ma jipprekludix li hija tista’ tippreżenta l-kwalità ta’ kontrollur konġunt tad-data, fis-sens tal-imsemmija dispożizzjonijiet;
– min-naħa l-oħra, ir-responsabbiltà konġunta tal-imsemmija organizzazzjoni settorjali ma testendix awtomatikament għall-ipproċessar sussegwenti ta’ data personali mwettaq minn terzi, bħall-fornituri ta’ siti internet jew ta’ applikazzjonijiet, fir-rigward tal-preferenzi tal-utenti għall-finijiet tar-reklamar immirat online.
Fuq l‑ispejjeż
78 Peress li l-proċedura għandha, fir-rigward tal-partijiet fil-kawża prinċipali, in-natura ta’ kwistjoni mqajma quddiem il-qorti tar-rinviju, hija din il-qorti li tiddeċiedi fuq l-ispejjeż. L-ispejjeż sostnuti għas-sottomissjoni tal-osservazzjonijiet lill-Qorti tal-Ġustizzja, barra dawk tal-imsemmija partijiet, ma jistgħux jitħallsu lura.
Għal dawn il-motivi, Il-Qorti tal-Ġustizzja (Ir‑Raba’ Awla) taqta’ u tiddeċiedi:
1) Il-punt 1 tal-Artikolu 4 tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data),
għandu jiġi interpretat fis-sens li:
sekwenza komposta minn taħlita ta’ ittri u ta’ karattri, bħat-TC String (Transparency and Consent String), li jinkludu l-preferenzi ta’ utent tal-internet jew ta’ applikazzjoni dwar il-kunsens ta’ dan l-utent għall-ipproċessar tad-data personali li tikkonċernah minn fornituri ta’ siti internet jew ta’ applikazzjonijiet kif ukoll minn sensara ta’ tali data u minn pjattaformi ta’ reklamar, tikkostitwixxi data personali fis-sens ta’ din id-dispożizzjoni, sa fejn din tista’, b’mezzi raġonevoli, tiġi assoċjata ma’ identifikatur, bħal b’mod partikolari l-indirizz IP tal-apparat tal-imsemmi utent, hija tippermetti li jiġi identifikat is-suġġett tad-data. F’tali ċirkustanzi, il-fatt li mingħajr kontribuzzjoni esterna organizzazzjoni settorjali li żżomm din is-sekwenza la tista’ taċċedi għad-data li hija pproċessata mill-membri tagħha fil-kuntest tar-regoli li hija stabbilixxiet u lanqas ma tista’tgħaqqad l-imsemmija sekwenza ma’ elementi oħra ma jipprekludix li l-istess sekwenza tikkostitwixxi data personali fis-sens tal-imsemmija dispożizzjoni.
2) Il-punt 7 tal-Artikolu 4 u l-Artikolu 26(1) tar-Regolament 2016/679
għandhom jiġu interpretati fis-sens li:
– minn naħa, organizzazzjoni settorjali, sa fejn tipproponi lill-membri tagħha qafas ta’ regoli li hija stabbilixxiet dwar il-kunsens fil-qasam tal-ipproċessar ta’ data personali, li jinkludi mhux biss regoli tekniċi vinkolanti iżda wkoll regoli li jispeċifikaw b’mod iddettaljat il-modalitajiet ta’ ħażna u ta’ tixrid tad-data personali dwar dan il-kunsens, għandha tiġi kklassifikata bħala “kontrollur konġunt tad-data”, fis-sens ta’ dawn id-dispożizzjonijiet jekk, fid-dawl taċ-ċirkustanzi partikolari tal-każ inkwistjoni, hija tinfluwenza, għal finijiet speċifiċi għaliha, l-ipproċessar ta’ data personali kkonċernata u tiddetermina, minħabba f’hekk, flimkien mal-membri tagħha, il-finijiet u l-mezzi ta’ tali pproċessar. Il-fatt li tali organizzazzjoni settorjali ma għandhiex hija stess aċċess dirett għad-data personali pproċessata mill-membri tagħha fil-kuntest tal-imsemmija regoli ma jipprekludix li hija tista’ tippreżenta l-kwalità ta’ kontrollur konġunt tad-data, fis-sens tal-imsemmija dispożizzjonijiet;
– min-naħa l-oħra, ir-responsabbiltà konġunta tal-imsemmija organizzazzjoni settorjali ma testendix awtomatikament għall-ipproċessar sussegwenti ta’ data personali mwettaq minn terzi, bħall-fornituri ta’ siti internet jew ta’ applikazzjonijiet, fir-rigward tal-preferenzi tal-utenti għall-finijiet tar-reklamar immirat online.
Firem