Edizzjoni Provviżorja
SENTENZA TAL-QORTI TAL-ĠUSTIZZJA (Is-Sitt Awla)
7 ta’ Marzu 2024 (*)
“Rinviju għal deċiżjoni preliminari – Protezzjoni tad-data personali – Regolament (UE) 2016/679 – Artikoli 2, 4, 6, 10 u 86 – Data miżmuma minn qorti dwar il-kundanni kriminali ta’ persuna fiżika – Żvelar orali ta’ tali data lil kumpannija kummerċjali minħabba kompetizzjoni organizzata minn din il-kumpannija – Kunċett ta’ ‘ipproċessar ta’ data personali’ – Leġiżlazzjoni nazzjonali li tirregola l-aċċess għall-imsemmija data – Rikonċiljazzjoni bejn id-dritt tal-pubbliku għall-aċċess għad-dokumenti uffiċjali u l-protezzjoni tad-data personali”
Fil-Kawża C‑740/22,
li għandha bħala suġġett talba għal deċiżjoni preliminari skont l-Artikolu 267 TFUE, imressqa mill-Itä-Suomen hovioikeus (il-Qorti tal-Appell tal-Finlandja tal-Lvant, il-Finlandja), permezz ta’ deċiżjoni tat‑30 ta’ Novembru 2022, li waslet fil-Qorti tal-Ġustizzja fit‑2 ta’ Diċembru 2022, fil-proċedura
Endemol Shine Finland Oy
IL-QORTI TAL-ĠUSTIZZJA (Is-Sitt Awla),
komposta minn T. von Danwitz (Relatur), President tal-Awla, P. G. Xuereb u I. Ziemele, Imħallfin,
Avukat Ġenerali: T. Ćapeta,
Reġistratur: A. Calot Escobar,
wara li rat il-proċedura bil-miktub,
wara li kkunsidrat l-osservazzjonijiet ippreżentati:
– għall-Gvern Finlandiż, minn A. Laine u M. Pere, bħala aġenti,
– għall-Gvern Portugiż, minn P. Barros da Costa, J. Ramos u C. Vieira Guerra, bħala aġenti,
– għall-Kummissjoni Ewropea, minn A. Bouchagiar, H. Kranenborg u I. Söderlund, bħala aġenti,
wara li rat id-deċiżjoni, meħuda wara li nstemgħet l-Avukata Ġenerali, li l-kawża tinqata’ mingħajr konklużjonijiet,
tagħti l-preżenti
Sentenza
1 It-talba għal deċiżjoni preliminari tirrigwarda l-interpretazzjoni tal-Artikolu 2(1) u tal-punt 2 tal-Artikolu 4 u tal-Artikolu 86 tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-“GDPR”).
2 Din it-talba tressqet fil-kuntest ta’ proċedura dwar ir-rifjut minn qorti nazzjonali li tikkomunika lil Endemol Shine Finland Oy data dwar kundanni kriminali dwar terzi.
Il-kuntest ġuridiku
Id-dritt tal-Unjoni
3 Il-premessi 4, 10, 11, 15, 19 u 154 tal-GDPR huma fformulati kif ġej:
“(4) L-ipproċessar tad-data personali għandu jitfassal biex iservi lill-bniedem. Id-dritt għall-protezzjoni tad-data personali mhuwiex dritt assolut; huwa għandu jiġi kkunsidrat b’rabta mal-funzjoni tiegħu fis-soċjetà u jkun ibbilanċjat ma’ drittijiet fundamentali oħrajn, f’konformità mal-prinċipju tal-proporzjonalità. Dan ir-Regolament jirrispetta d-drittijiet fundamentali kollha u josserva l-libertajiet u l-prinċipji rikonoxxuti fil-[Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea (iktar ’il quddiem il-‘Karta’)] kif integrata fit-Trattati, b’mod partikolari r-rispett għall-ħajja privata u tal-familja, id-dar u l-komunikazzjonijiet, il-protezzjoni tad-data personali, il-libertà tal-ħsieb, tal-kuxjenza u tar-reliġjon, il-libertà tal-espressjoni u tal-informazzjoni, il-libertà tal-intrapriża, id-dritt għal rimedju effettiv u għal proċess imparzjali [...]
[...]
(10) Sabiex ikun żgurat livell konsistenti u għoli ta’ protezzjoni tal-persuni fiżiċi u sabiex jitneħħew l-ostakoli għaċ-ċirkolazzjoni tad-data personali fl-Unjoni [Ewropea], il-livell ta’ protezzjoni tad-drittijiet u l-libertajiet tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ din id-data għandu jkun ekwivalenti fl-Istati Membri kollha. L-applikazzjoni konsistenti u omoġenea tar-regoli għall-protezzjoni tad-drittijiet u l-libertajiet fundamentali tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali għandha tkun żgurata fl-Unjoni kollha. Fir-rigward tal-ipproċessar tad-data personali għall-konformità ma’ obbligu legali, għat-twettiq ta’ kompitu li jsir fl-interess pubbliku jew fl-eżerċizzju ta’ awtorità uffiċjali mogħtija lill-kontrollur, l-Istati Membri għandhom ikunu jistgħu iżommu jew jintroduċu dispożizzjonijiet nazzjonali biex jispeċifikaw aktar l-applikazzjoni tar-regoli ta’ dan ir-Regolament. Flimkien mal-liġi ġenerali u orizzontali dwar il-protezzjoni tad-data għall-implimentazzjoni tad-Direttiva 95/46/KE [tal-Parlament Ewropew u tal-Kunsill 95/46/KE tal-24 ta’ Ottubru 1995 dwar il-protezzjoni ta’ individwi fir-rigward ta’ l-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ dik id-data (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 13, Vol. 15, p. 355)], l-Istati Membri għandhom diversi liġijiet speċifiċi għas-settur f’oqsma li jeħtieġu dispożizzjonijiet aktar speċifiċi. Dan ir-Regolament jipprovdi wkoll marġni ta’ manuvrar għall-Istati Membri biex jispeċifikaw ir-regoli tagħhom, inkluż għall-ipproċessar ta’ kategoriji speċjali ta’ data personali (‘data sensittiva’). Sa dak il-punt, dan ir-Regolament ma jeskludix il-liġijiet tal-Istati Membri li jispeċifikaw iċ-ċirkostanzi għal sitwazzjonijiet speċifiċi ta’ pproċessar, inkluż li jiġu ddeterminati b’mod aktar preċiż il-kondizzjonijiet li taħthom l-ipproċessar ta’ data personali jkun legali.
(11) Il-protezzjoni effettiva tad-data personali fl-Unjoni kollha teħtieġ it-tisħiħ u l-ispeċifikar fid-dettall tad-drittijiet tas-suġġetti tad-data u l-obbligi ta’ dawk li jipproċessaw u jiddeterminaw l-ipproċessar ta’ data personali, kif ukoll ta’ setgħat ekwivalenti għall-monitoraġġ u l-iżgurar tal-konformità mar-regoli għall-protezzjoni tad-data personali u sanzjonijiet ekwivalenti għall-ksur fl-Istati Membri.
[...]
(15) Sabiex il-ħolqien ta’ riskju serju ta’ ċirkomvenzjoni jiġi [pprevenut], il-protezzjoni tal-persuni fiżiċi għandha tkun teknoloġikament newtrali u ma għandhiex tistrieħ fuq it-tekniki użati. Il-protezzjoni tal-persuni fiżiċi għandha tapplika għall-ipproċessar tad-data personali b'mezzi awtomatizzati kif ukoll għall-ipproċessar manwali, jekk id-data personali titqiegħed jew tkun maħsuba biex titqiegħed f’sistema ta’ arkivjar. Il-fajls jew settijiet ta’ fajls, kif ukoll il-qoxra ta’ barra tagħhom, li ma jkunux strutturati skont kriterji speċifiċi, m’għandhomx jaqgħu fil-kamp ta’ applikazzjoni ta’ dan ir-Regolament.
[...]
(19) Il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar tad-data personali minn awtoritajiet kompetenti għall-għanijiet tal-prevenzjoni, investigazzjoni, sejbien jew prosekuzzjoni ta’ reati kriminali jew l-eżekuzzjoni ta’ pieni kriminali, inkluż is-salvagwardja kontra u l-prevenzjoni ta’ theddid għas-sigurtà pubblika u l-moviment liberu ta’ tali data, hija s-suġġett ta’ att legali speċifiku tal-Unjoni. Dan ir-Regolament m’għandux, għalhekk, japplika għall-attivitajiet ta’ pproċessar għal dawk l-għanijiet. Madanakollu, id-data personali pproċessata mill-awtoritajiet pubbliċi skont dan ir-Regolament meta tintuża għal dawk l-għanijiet għandha tkun regolata minn att legali aktar speċifiku tal-Unjoni jiġifieri d-Direttiva (UE) 2016/680 tal-Parlament Ewropew u tal-Kunsill [tas‑27 ta’ April 2016 dwar il-protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali mill-awtoritajiet kompetenti għall-finijiet tal-prevenzjoni, l-investigazzjoni, is-sejbien jew il-prosekuzzjoni ta’ reati kriminali jew l-eżekuzzjoni ta’ pieni kriminali, u dwar il-moviment liberu ta’ tali data, u li tħassar id-Deċiżjoni Qafas tal-Kunsill 2008/977/ĠAI (ĠU 2016 L 119, p. 89 u r-rettifika fil-ĠU 2018 L 127, p. 6)] L-Istati Membri jistgħu jinkarigaw awtoritajiet kompetenti fis-sens tad-Direttiva (UE) 2016/680 b’kompiti li mhumiex neċessarjament imwettqa għall-finijiet tal-prevenzjoni, l-investigazzjoni, is-sejbien jew il-prosekuzzjoni ta’ reati kriminali jew l-eżekuzzjoni ta’ pieni kriminali, inkluż is-salvagwardja kontra u l-prevenzjoni ta’ theddid għas-sigurtà pubblika, sabiex l-ipproċessar tad-data personali għal dawk il-finijiet l-oħra, sa fejn dan huwa fil-kamp ta’ applikazzjoni tal-liġi tal-Unjoni, jaqa’ fil-kamp ta’ applikazzjoni ta’ dan ir-Regolament.
Fir-rigward tal-ipproċessar ta’ data personali minn dawk l-awtoritajiet kompetenti għall-finijiet li jaqgħu fil-kamp ta’ applikazzjoni ta’ dan ir-Regolament, l-Istati Membri għandhom ikunu jistgħu jżommu jew jintroduċu dispożizzjonijiet aktar speċifiċi biex jadattaw l-applikazzjoni tar-regoli ta’ dan ir-Regolament. Tali dispożizzjonijiet jistgħu jiddeterminaw b’mod aktar preċiż rekwiżiti speċifiċi għall-ipproċessar ta’ data personali minn dawk l-awtoritajiet kompetenti għal dawk il-finijiet l-oħra, filwaqt li jittieħed kont tal-istruttura kostituzzjonali, organizzattiva u amministrattiva tal-Istat Membru rispettiv. Meta l-ipproċessar ta’ data personali minn korpi privati jaqa’ fil-kamp ta’ applikazzjoni ta’ dan ir-Regolament, dan ir-Regolament għandu jipprevedi l-possibbiltà li taħt kondizzjonijiet speċifiċi l-Istati Membri jirrestrinġu bil-liġi ċerti obbligi u drittijiet meta tali restrizzjoni tikkostitwixxi miżura meħtieġa u proporzjonata f’soċjetà demokratika biex jiġu ssalvagwardjati interessi importanti speċifiċi inkluż is-sigurtà pubblika u l-prevenzjoni, l-investigazzjoni, is-sejbien jew il-prosekuzzjoni ta’ reati kriminali jew l-eżekuzzjoni ta’ pieni kriminali, inkluż is-salvagwardja kontra u l-prevenzjoni ta’ theddid għas-sigurtà pubblika. Dan hu rilevanti pereżempju fil-qafas tal-ġlieda kontra l-ħasil tal-flus jew l-attivitajiet tal-laboratorji forensiċi.
[...]
(154) Dan ir-Regolament jippermetti li jittieħed kont tal-prinċipju ta’ aċċess pubbliku għal dokumenti uffiċjali fl-applikazzjoni ta’ dan ir-Regolament. L-aċċess pubbliku għal dokumenti uffiċjali jista’ jitqies bħala interess pubbliku. Id-data personali f’dokumenti miżmuma minn awtorità pubblika jew korp pubbliku għandha tkun tista’ tiġi żvelata minn dik l-awtorità jew dan il-korp jekk dan ikun previst mil-liġi tal-Unjoni jew il-liġi tal-Istat Membru li tirregola lil dik l-awtorità pubblika jew dak il-korp pubbliku. Tali liġijiet għandhom jirrikonċiljaw l-aċċess pubbliku għad-dokumenti uffiċjali u l-użu mill-ġdid ta’ informazzjoni tas-settur pubbliku mad-dritt għall-protezzjoni tad-data personali u għalhekk jistgħu jipprevedu r-rikonċiljazzjoni meħtieġa mad-dritt għall-protezzjoni tad-data personali skont dan ir-Regolament. Ir-referenza għall-awtoritajiet u l-korpi pubbliċi għandha f’dak il-kuntest tinkludi l-awtoritajiet kollha jew korpi oħra koperti bil-liġi ta’ Stat Membru dwar l-aċċess pubbliku għal dokumenti. Id-Direttiva 2003/98/KE tal-Parlament Ewropew u tal-Kunsill [tas‑17 ta’ Novembru 2003 dwar l-użu mill-ġdid ta’ informazzjoni tas-settur pubbliku (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 13, Vol. 32, p. 701)] tħalli intatt u bl-ebda mod ma tolqot il-livell ta’ protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali taħt id-dispożizzjonijiet tal-liġi tal-Unjoni u l-liġi tal-Istat Membru, u b’mod partikolari ma tibdilx l-obbligi u d-drittijiet stipulati f’dan ir-Regolament. B’mod partikolari, dik id-Direttiva m’għandhiex tapplika għal dokumenti li għalihom l-aċċess huwa eskluż jew ristrett minħabba r-reġimi ta’ aċċess għal raġunijiet ta’ protezzjoni tad-data personali, u partijiet ta’ dokumenti aċċessibbli permezz ta’ dawk ir-reġimi li fihom data personali li l-użu mill-ġdid tagħha ġie previst mil-liġi bħala inkompatibbli mal-liġi rigward il-protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar tad-data personali.”
4 L-Artikolu 2 tal-GDPR, intitolat “Kamp ta’ applikazzjoni materjali”, jipprovdi:
“1. Dan ir-Regolament japplika għall-ipproċessar ta’ data personali kompletament jew parzjalment b’mezzi awtomatizzati, u għall-ipproċessar għajr b’mezzi awtomatizzati ta’ data personali li tifforma parti minn sistema ta’ arkivjar jew li tkun maħsuba sabiex tifforma parti minn sistema ta’ arkivjar.
2. Dan ir-Regolament ma japplikax għall-ipproċessar ta’ data personali:
(a) matul attività li ma taqax taħt il-kamp ta’ applikazzjoni tal-liġi tal-Unjoni;
(b) mill-Istati Membri meta jkunu qegħdin iwettqu attivitajiet li jaqgħu taħt il-kamp ta’ applikazzjoni tal-Kapitolu 2 tat-Titolu V tat-TUE;
(c) minn persuna fiżika waqt attività purament personali jew fid-dar;
(d) mill-awtoritajiet kompetenti għall-finijiet tal-prevenzjoni, investigazzjoni, sejbien jew prosekuzzjoni ta’ reati kriminali, jew l-eżekuzzjoni ta’ pieni kriminali, inkluż is-salvagwardji kontra u l-prevenzjoni ta’ theddid għas-sigurtà pubblika.
3. Għall-ipproċessar ta’ data personali mill-istituzzjonijiet, korpi, uffiċċji u aġenziji tal-Unjoni, japplika r-Regolament (KE) Nru 45/2001 [tal-Parlament Ewropew u tal-Kunsill tat‑18 ta’ Diċembru 2000 dwar il-protezzjoni tal-individwi fir-rigward tal-ipproċessar ta’ data personali mill-istituzzjonijiet u l-korpi tal-Komunità u dwar il-movement liberu ta’ dik id-data (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 13, Vol. 26, p. 102, rettifika fil-ĠU 2013, L 298, p. 50)]. Ir-Regolament (KE) Nru 45/2001 u atti legali oħrajn tal-Unjoni applikabbli għal tali pproċessar tad-data personali għandhom jiġu adattati għall-prinċipji u r-regoli ta’ dan ir-Regolament skont l-Artikolu 98.
4. Dan ir-Regolament għandu jkun mingħajr preġudizzju għall-applikazzjoni tad-Direttiva 2000/31/KE [tal-Parlament Ewropew u tal-Kunsill tat-8 ta’ Ġunju 2000 dwar ċerti aspetti legali tas-servizzi minn soċjetà ta’ l-informazzjoni, partikolarment il-kummerċ elettroniku, fis-Suq Intern (Direttiva dwar il-kummerċ elettroniku) (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 13, Vol. 25, p. 399)] b’mod partikolari tar-regoli dwar ir-responsabbiltà ta’ fornituri ta’ servizzi intermedjarji fl-Artikoli 12 sa 15 ta’ dik id-Direttiva.”
5 L-Artikolu 4 tal-GDPR, intitolat “Definizzjonijiet”, jipprevedi, fil-punti 1, 2, 6 u 7 tiegħu:
“Għall-finijiet ta’ dan ir-Regolament:
(1) ‘data personali’ tfisser kwalunkwe informazzjoni relatata ma’ persuna fiżika identifikata jew identifikabbli (‘suġġett tad-data’); persuna fiżika identifikabbli hija persuna li tista’ tiġi identifikata, direttament jew indirettament, b’mod partikolari b’referenza għal mezz ta’ identifikazzjoni bħal isem, numru ta’ identifikazzjoni, data ta’ lokalizzazzjoni, identifikatur online jew għal fattur wieħed jew aktar speċifiċi għall-identità fiżika, fiżjoloġika, ġenetika, mentali, ekonomika, kulturali jew soċjali ta’ dik il-persuna fiżika;
(2) ‘ipproċessar’ tfisser kwalunkwe attività jew sett ta’ attivitajiet li jitwettqu fuq data personali jew fuq settijiet ta’ data personali, sew jekk b’mezzi awtomatizzati u sew jekk mingħajrhom, bħalma huma l-ġbir, ir-reġistrazzjoni, l-organizzazzjoni, l-istrutturar, il-ħażna, l-adattament jew il-bidliet, l-irkupru, il-konsultazzjoni, l-użu, l-iżvelar bi trażmissjoni, it-tixrid jew it-tqegħid għad-dispożizzjoni b’xi mezz ieħor, l-allinjament jew it-taħlita, ir-restrizzjoni, it-tħassir jew il-qerda;
[...]
(6) ‘sistema ta’ arkivjar’ tfisser kwalunkwe sett strutturat ta’ data personali li tkun aċċessibbli skont kriterji speċifiċi, sew jekk ċentralizzat, deċentralizzat jew mifrux fuq bażi funzjonali jew ġeografika;
(7) ‘kontrollur’ tfisser persuna fiżika jew ġuridika, awtorità pubblika, aġenzija jew kwalunkwe korp ieħor li, waħdu jew flimkien ma’ oħrajn, jiddetermina l-għanijiet u l-mezzi tal-ipproċessar ta’ data personali; fejn l-għanijiet u l-mezzi tal-ipproċessar ikunu ddeterminati mil-liġi tal-Unjoni jew ta’ Stat Membru, il-kontrollur jew il-kriterji speċifiċi għall-ħatra tiegħu jistgħu jiġu determinati mil-liġi tal-Unjoni jew ta’ Stat Membru”.
6 L-Artikolu 5 ta’ dan ir-regolament, intitolat “Prinċipji relatati mal-ipproċessar ta’ data personali”, huwa fformulat kif ġej:
“1. Id-data personali għandha:
(a) tkun ipproċessata legalment, ġustament u b’mod trasparenti fir-rigward tas-suġġett tad-data (‘legalità, ġustizzja u trasparenza’);
(b) tinġabar għal finijiet speċifikati, espliċiti u leġittimi u ma għandhiex tiġi pproċessata ulterjorment b’mod inkompatibbli ma’ dawk il-finijiet; [...] (‘limitazzjoni tal-fini’);
(c) tkun adegwata, rilevanti, u limitata għal dak li hu meħtieġ b’rabta mal-finijiet li għalihom tkun qed tiġi pproċessata (‘minimizzazzjoni tad-data’);
(d) tkun preċiża u, fejn meħtieġ, tinżamm aġġornata; għandu jsir dak kollu raġonevoli biex ikun żgurat li d-data personali li ma tkunx eżatta, b’kont meħud tal-għanijiet li għalihom tiġi pproċessata, titħassar jew tissewwa mingħajr dewmien (‘preċiżjoni’);
(e) tinżamm f’forma li tippermetti l-identifikazzjoni tas-suġġetti tad-data għal mhux aktar żmien milli jkun meħtieġ għall-finijiet li għalihom id-data personali tkun qed tiġi pproċessata; (‘limitazzjoni tal-ħażna’);
(f) tiġi pproċessata b’mod li jiżgura sigurtà xierqa tad-data personali, inkluża l-protezzjoni mill-ipproċessar mhux awtorizzat jew illegali u kontra t-telf, il-qerda jew il-ħsara aċċidentali, bl-użu ta’ miżuri tekniċi jew organizzattivi xierqa (‘integrità u kunfidenzjalità’).
[...]”
7 L-Artikolu 6 tal-imsemmi regolament, intitolat “Legalità tal-ipproċessar”, jipprevedi, fil-paragrafi 1 sa 3 tiegħu:
“1. L-ipproċessar għandu jkun legali biss jekk u safejn mill-inqas ikun japplika wieħed mill-punti li ġejjin:
(a) is-suġġett tad-data jkun ta l-kunsens għall-ipproċessar ta’ data personali tiegħu għal fini speċifiku wieħed jew aktar;
(b) l-ipproċessar ikun meħtieġ għat-twettiq ta’ kuntratt li għalih is-suġġett tad-data huwa parti jew sabiex jittieħdu passi fuq talba tas-suġġett tad-data qabel ma jidħol f’kuntratt;
(c) l-ipproċessar ikun meħtieġ għall-konformità ma’ obbligu legali li għalih huwa soġġett il-kontrollur;
(d) l-ipproċessar ikun meħtieġ sabiex ikunu protetti l-interessi vitali tas-suġġett tad-data jew ta’ persuna fiżika oħra;
(e) l-ipproċessar ikun meħtieġ għat-twettiq ta’ kompitu li jsir fl-interess pubbliku jew fl-eżerċizzju ta’ awtorità uffiċjali mogħtija lill-kontrollur;
(f) l-ipproċessar ikun meħtieġ għall-finijiet tal-interessi leġittimi segwiti mill-kontrollur jew minn parti terza, għajr meta dawn l-interessi jingħelbu mill-interessi jew id-drittijiet u l-libertajiet fundamentali tas-suġġett tad-data li jeħtieġu l-protezzjoni tad-data personali, b’mod partikolari meta s-suġġett tad-data jkun minorenni.
Il-punt (f) tal-ewwel subparagrafu m’għandux japplika għall-ipproċessar li jitwettaq minn awtoritajiet pubbliċi fit-twettiq tal-kompiti tagħhom.
2. L-Istati Membri jistgħu jżommu jew jintroduċu dispożizzjonijiet aktar speċifiċi biex jadattaw l-applikazzjoni tar-regoli ta’ dan ir-Regolament fir-rigward ta’ pproċessar għal konformità mal-punti (c) u (e) tal-paragrafu 1 billi jiddeterminaw b’mod aktar preċiż rekwiżiti speċifiċi għall-ipproċessar u miżuri oħrajn biex jiġi żgurat ipproċessar legali u ġust inkluż għal sitwazzjonijiet speċifiċi oħrajn ta’ pproċessar kif previst fil-Kapitolu IX.
3. Il-bażi għall-ipproċessar imsemmi fil-punti (c) u (e) tal-paragrafu 1 għandha tkun stipulata minn:
(a) il-liġi tal-Unjoni, jew
(b) il-liġi tal-Istat Membru li għaliha huwa soġġett il-kontrollur.
Il-fini tal-ipproċessar għandu jkun iddeterminat fdik il-bażi legali jew, fir-rigward tal-ipproċessar imsemmi fil-punt (e) tal-paragrafu 1, għandu jkun meħtieġ għat-twettiq ta’ kompitu li jsir fl-interess pubbliku jew fl-eżerċizzju tal-atorità uffiċjali mogħtija lill-kontrollur. Dik il-bażi legali jista’ jkun fiha dispożizzjonijiet speċifiċi biex tiġi adattata l-applikazzjoni ta' regoli ta’ dan ir-Regolament, inklużi l-kondizzjonijiet ġenerali li jirregolaw il-legalità tal-ipproċessar mill-kontrollur; it-tipi ta’ data li huma soġġetti għall-ipproċessar; is-suġġetti tad-data kkonċernati; l-entitajiet li lilhom, jew li għalihom, tista’ tiġi żvelata d-data personali; il-limitazzjoni tal-fini; il-perijodi tal-ħażna u attivitajiet ta’ pproċessar u proċeduri ta’ pproċessar, inklużi miżuri li jiżguraw ipproċessar legali u ġust bħal dawk għal sitwazzjonijiet speċifiċi oħrajn ta’ pproċessar kif previst fil-Kapitolu IX. Il-liġi tal-Unjoni jew il-liġi tal-Istat Membru għandha tissodisfa l-objettiv ta’ interess pubbliku u tkun proporzjonata mal-għan leġittimu mfittex.”
8 L-Artikolu 10 tar-GDPR, intitolat “Ipproċessar ta’ data personali relatata ma’ kundanni kriminali u reati”, jipprovdi:
“L-ipproċessar ta’ data personali relatata ma’ kundanni kriminali u reati jew relatata ma’ miżuri ta’ sigurtà abbażi tal-Artikolu 6(1) għandu jsir biss taħt il-kontroll ta’ awtorità uffiċjali jew meta l-ipproċessar ikun awtorizzat minn liġi tal-Unjoni jew liġi ta’ Stat Membru li tipprevedi salvagwardji xierqa għad-drittijiet u l-libertajiet tas-suġġetti tad-data. Kwalunkwe reġistru komprensiv ta’ kundanni kriminali għandu jinżamm biss taħt il-kontroll ta’ awtorità uffiċjali.”
9 L-Artikolu 23 ta’ dan ir-regolament, intitolat “Restrizzjonijiet”, huwa fformulat kif ġej:
“1. Il-liġi tal-Unjoni jew ta’ Stat Membru li għaliha jkun soġġett il-kontrollur jew il-proċessur tad-data tista’ tirrestrinġi permezz ta’ miżura leġiżlattiva l-kamp ta’ applikazzjoni tal-obbligi u d-drittijiet previsti fl-Artikoli 12 sa 22 u l-Artikolu 34, kif ukoll l-Artikolu 5 sakemm id-dispożizzjonijiet tiegħu jikkorrispondu mad-drittijiet u l-obbligi previsti fl-Artikoli 12 sa 22, meta tali restrizzjoni tirrispetta l-essenza tad-drittijiet u l-libertajiet fundamentali u hija miżura meħtieġa u proporzjonata f’soċjetà demokratika għas-salvagwardja ta’:
[...]
(f) il-protezzjoni tal-indipendenza ġudizzjarja u l-proċedimenti ġudizzjarji;
[...]”
10 L-Artikolu 85 tal-imsemmi regolament, intitolat “Ipproċessar u libertà ta’ espressjoni u ta’ informazzjoni”, jipprevedi, fil-paragrafu 1 tiegħu:
“L-Istati Membri għandhom jirrikonċiljaw skont il-liġi d-dritt għall-protezzjoni ta’ data personali skont dan ir-Regolament mad-dritt għal-libertà ta’ espressjoni u ta’ informazzjoni, inkluż l-ipproċessar għal finijiet ġurnalistiċi u l-finijiet ta’ espressjoni akkademika, artistika jew letterarja.”
11 L-Artikolu 86 tal-GDPR, intitolat “Ipproċessar u aċċess pubbliku għal dokumenti uffiċjali”, jipprovdi:
“Id-data personali f’dokumenti uffiċjali miżmuma minn awtorità pubblika jew korp pubbliku jew korp privat għat-twettiq ta’ kompitu li jitwettaq fl-interess pubbliku tista’ tiġi żvelata mill-awtorità jew il-korp f’konformità mal-liġi tal-Unjoni jew il-liġi tal-Istat Membru li għaliha tkun soġġetta l-awtorità jew il-korp pubbliku sabiex jiġi rikonċiljat l-aċċess pubbliku għal dokumenti uffiċjali mad-dritt għall-protezzjoni ta’ data personali skont dan ir-Regolament.”
Id-dritt Finlandiż
Il-Liġi dwar il-Protezzjoni tad-Data Personali (1050/2018)
12 It-tietosuojalaki (1050/2018) (il-Liġi dwar il-Protezzjoni tad-Data Personali (1050/2018)) tipprovdi, fl-Artikolu 1 tagħha:
“Din il-liġi tippreċiża u tikkompleta l-GDPR u l-implimentazzjoni tiegħu fuq livell nazzjonali.”
13 L-Artikolu 28 ta’ din il-liġi huwa fformulat kif ġej:
“Id-dispożizzjonijiet dwar in-natura pubblika tal-azzjoni tal-awtoritajiet pubbliċi għandhom japplikaw għad-dritt ta’ aċċess għall-forom l-oħra ta’ żvelar ta’ data personali provenjenti minn sistemi ta’ arkivjar dwar persuni u li jinżammu mill-awtoritajiet pubbliċi.”
Il-Liġi dwar in-Natura Pubblika tal-Azzjoni tal-Awtoritajiet Pubbliċi (621/1999)
14 Il-laki viranomaisten toiminnan julkisuudesta (621/1999) (il-Liġi dwar in-Natura Pubblika tal-Azzjoni tal-Awtoritajiet Pubbliċi (621/1999)) tipprevedi, fl-Artikolu 13 tagħha:
“Talba ta’ żvelar ta’ informazzjoni dwar il-kontenut ta’ dokument uffiċjali għandha tkun preċiża biżżejjed biex tippermetti lill-awtorità pubblika tiddetermina d-dokument li fuqu hija bbażata t-talba. Il-persuna li titlob l-informazzjoni għandha tiġi megħjuna, permezz ta’ reġistru u direttorji, biex tidentifika d-dokument li tiegħu tixtieq li jkollha aċċess. Din ma għandhiex obbligu tagħti l-identità tagħha jew li tindika r-raġunijiet għat-talba tagħha, sakemm dan ma jkunx neċessarju għall-finijiet tal-eżerċizzju ta’ setgħa ta’ evalwazzjoni mogħtija lill-awtorità amministrattiva jew sabiex din tiddetermina jekk il-persuna li titlob l-informazzjoni għandhiex id-dritt li jkollha aċċess għall-kontenut tad-dokument inkwistjoni.
Il-persuna li titlob l-informazzjoni, meta titlob l-aċċess għal dokument kunfidenzjali, għal sistema ta’ arkivjar dwar persuni miżmuma minn awtorità pubblika jew għal kull dokument ieħor li l-aċċess għalih jista’ jingħata biss taħt ċerti kundizzjonijiet, għandha, sakemm ma jiġix ipprovdut speċifikament mod ieħor, tindika l-għan tal-użu tal-informazzjoni u kull element ieħor neċessarju sabiex jiġu ddeterminati l-kundizzjonijiet għall-iżvelar ta’ din l-informazzjoni u, jekk ikun il-każ, tindika kif jeħtieġ li tiġi organizzata l-protezzjoni tal-imsemmija informazzjoni.”
15 L-Artikolu 16 ta’ din il-liġi jipprovdi:
“L-aċċess għall-kontenut ta’ dokument miżmum minn awtorità pubblika jingħata oralment jew billi dan id-dokument jitqiegħed għad-dispożizzjoni, fi ħdan l-awtorità pubblika, għal konsultazzjoni, għal ikkuppjar jew għal smigħ, jew ukoll billi tiġi pprovduta kopja jew verżjoni stampata tad-dokument. Jingħata aċċess għall-kontenut pubbliku ta’ dokument konformement mat-talba biss jekk dan ma jostakolax l-attività amministrattiva b’mod sproporzjonat, minħabba numru kbir ta’ dokumenti, diffikultà li jiġi kkopjat dokument jew minħabba raġuni oħra paragunabbli.
[...]
Sakemm ma jiġix ipprovdut speċifikament mod ieħor bil-liġi, data personali li tirriżulta minn sistema ta’ arkivjar dwar persuni miżmuma minn awtorità pubblika tista’ tiġi żvelata taħt forma ta’ kopja, ta’ verżjoni stampata jew taħt forma elettronika meta d-destinatarju jkollu d-dritt, bis-saħħa tar-regoli applikabbli għall-protezzjoni tad-data personali, li jaħżen u li juża din id-data. Madankollu, id-data personali tista’ tiġi żvelata għal finijiet ta’ marketing dirett jew ta’ studju ta’ opinjoni jew ta’ suq biss jekk din tkun speċifikament prevista jew jekk is-suġġett tad-data jagħti l-kunsens tiegħu.
[...]”
Il-Liġi dwar in-Natura Pubblika tal-Proċedura quddiem il-Qrati Ordinarji (370/2007)
16 Skont l-Artikolu 1 tal-laki oikeudenkäynnin julkisuudesta yleisissä tuomioistuimissa (370/2007) (il-Liġi dwar Natura Pubblika tal-Proċedura quddiem il-Qrati Ordinarji (370/2007)):
“Il-proċedura u l-atti proċedurali huma pubbliċi, sakemm ma jiġix ipprovdut mod ieħor minn din il-liġi jew minn liġi oħra”.
Il-Liġi dwar l-Ipproċessar ta’ Data Personali fil-Qasam Kriminali u fil-Kuntest taż-Żamma tas-Sigurtà Nazzjonali (1054/2018)
17 L-Artikolu 1 tal-laki henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä (1054/2018) (il-Liġi dwar l-Ipproċessar ta’ Data Personali fil-Qasam Kriminali u fil-Kuntest taż-Żamma tas-Sigurtà Nazzjonali (1054/2018)) jipprevedi, fl-ewwel paragrafu tiegħu, li din il-liġi tapplika għall-ipproċessar ta’ data personali mwettaq mill-awtoritajiet kompetenti meta jkun inkwistjoni, b’mod partikolari, it-trattament ta’ kawża kriminali quddiem qorti. Bis-saħħa tar-raba’ paragrafu tiegħu, l-imsemmija liġi tapplika biss għal ipproċessar ta’ data personali fis-sens tal-ewwel paragrafu li huwa kompletament jew parzjalment awtomatizzat jew li fil-kuntest tiegħu d-data pproċessata tikkostitwixxi jew hija intiża li tikkostitwixxi sistema ta’ arkivjar jew parti minn tali sistema ta’ arkivjar.
18 Skont it-tieni paragrafu tal-Artikolu 2 ta’ din il-liġi:
“Id-dispożizzjonijiet dwar in-natura pubblika tal-azzjoni tal-awtoritajiet pubbliċi għandhom japplikaw għad-dritt ta’ aċċess għall-forom l-oħra ta’ żvelar ta’ data personali provenjenti minn sistemi ta’ arkivjar dwar persuni, miżmuma mill-awtoritajiet pubbliċi.”
Il-kawża prinċipali u d-domandi preliminari
19 Endemol Shine Finland, ir-rikorrenti fil-kawża prinċipali, talbet oralment lill-Etelä-Savon käräjäoikeus (il-Qorti tal-Ewwel Istanza tas-Savo tan-Nofsinhar, il-Finlandja) informazzjoni dwar kundanni kriminali possibbli fis-seħħ jew diġà skontati dwar persuna fiżika li kienet qed tipparteċipa f’kompetizzjoni organizzata minn din il-kumpannija, sabiex tistabbilixxi l-preċedenti ġudizzjarji ta’ din il-persuna.
20 L-Etelä-Savon käräjäoikeus (il-Qorti tal-Ewwel Istanza tas-Savo tan-Nofsinhar) ċaħdet it-talba tar-rikorrenti fil-kawża prinċipali filwaqt li kkunsidrat li din it-talba kienet tirrigwarda deċiżjonijiet jew informazzjoni pubblika fis-sens tal-liġi dwar in-natura pubblika tal-proċedura quddiem il-qrati ordinarji. Skont din il-qorti, il-motiv invokat mir-rikorrenti fil-kawża prinċipali ma kienx jikkostitwixxi motiv relatat mal-ipproċessar tal-kundanni kriminali jew tar-reati, imsemmi fl-Artikolu 7 tal-Liġi dwar il-Protezzjoni tad-Data Personali. Il-fatt li jsir tiftix fis-sistemi ta’ informazzjoni tal-imsemmija qorti wkoll kien jikkostitwixxi pproċessar ta’ data personali u huwa raġuni għalfejn l-informazzjoni mitluba lanqas ma setgħet tiġi żvelata oralment.
21 Ir-rikorrenti fil-kawża prinċipali appellat minn din is-sentenza quddiem l-Itä-Suomen hovioikeus (il-Qorti tal-Appell tal-Finlandja tal-Lvant, il-Finlandja), li hija l-qorti tar-rinviju, billi sostniet li l-iżvelar orali tal-informazzjoni li qed titlob ma jikkostitwixxix ipproċessar ta’ data personali fis-sens tal-punt 2 tal-Artikolu 4 tal-GDPR.
22 Il-qorti tar-rinviju tistaqsi dwar il-punt jekk l-Artikolu 2(1) u l-punt 2 tal-Artikolu 4 tal-GDPR għandhomx jiġu interpretati fis-sens li l-iżvelar orali ta’ informazzjoni dwar kundanni kriminali potenzjali fis-seħħ jew diġà skontati li għalihom persuna fiżika kienet suġġetta jikkostitwixxi pproċessar ta’ data personali fis-sens ta’ dan ir-regolament. F’dan ir-rigward, din il-qorti tosserva li l-ipproċessar ta’ data personali mwettaq mill-awtoritajiet pubbliċi Finlandiżi huwa rregolat mil-Liġi dwar il-Protezzjoni tad-Data Personali. Madankollu, ir-restrizzjonijiet normalment marbuta mal-ipproċessar ta’ tali data ma humiex applikabbli, minħabba n-natura pubblika tad-data miżmuma minn dawn l-awtoritajiet, iżda wkoll mill-Artikolu 28 ta’ din il-liġi u mit-tieni paragrafu tal-Artikolu 2 tal-Liġi dwar l-Ipproċessar ta’ Data Personali fil-Qasam Kriminali u fil-Kuntest taż-Żamma tas-Sigurtà Nazzjonali (1054/2018).
23 Sabiex issir rikonċiljazzjoni bejn il-protezzjoni ta’ data personali u d-dritt ta’ aċċess tal-pubbliku għall-informazzjoni, l-Artikolu 16 tal-Liġi dwar in-Natura Pubblika tal-Azzjoni tal-Awtoritajiet Pubbliċi (621/1999) jirrestrinġi l-iżvelar ta’ data personali provenjenti minn sistema ta’ arkivjar dwar persuni, miżmuma minn awtorità pubblika, imwettaq taħt forma ta’ kopja, ta’ verżjoni stampata jew taħt forma elettronika. Madankollu, peress li dan l-artikolu ma japplikax għall-iżvelar orali ta’ data personali li tinsab f’sistemi ta’ arkivjar dwar persuni, miżmuma mill-awtoritajiet pubbliċi, huwa meħtieġ li wieħed jistaqsi dwar il-punt kif tali rikonċiljazzjoni tista’ tiġi żgurata u li jitqiesu kunsiderazzjonijiet importanti dwar il-protezzjoni tad-data personali meta tali data li tinsab f’sistemi ta’ arkivjar tal-awtoritajiet pubbliċi dwar persuni tiġi żvelata oralment.
24 F’dawn iċ-ċirkustanzi, l-Itä-Suomen hovioikeus (il-Qorti tal-Appell tal-Finlandja tal-Lvant) iddeċidiet li tissospendi l-proċeduri quddiemha u li tagħmel lill-Qorti tal-Ġustizzja d-domandi preliminari li ġejjin:
“1) Komunikazzjoni orali ta’ data personali tikkostitwixxi pproċessar ta’ data personali fis-sens tal-Artikolu 2(1) u tal-punt 2 tal-Artikolu 4 [tal-[GDPR]?
2) Id-dritt ta’ aċċess tal-pubbliku għad-dokumenti uffiċjali jista’ jiġi kkonċiljat mad-dritt għall-protezzjoni tad-data personali taħt [il-GDPR], bil-mod imsemmi fl-Artikolu 86 ta’ dan ir-regolament, fis-sens li għandha titqiegħed għad-dispożizzjoni mingħajr restrizzjoni informazzjoni li tkun ġejja minn fajl [sistema ta’ arkivjar] ta’ data personali miżmum minn qorti fir-rigward ta’ kundanni kriminali ta’ persuna fiżika jew fir-rigward ta’ reati mwettqa minnha, meta jintalab li din l-informazzjoni tiġi kkomunikata [żvelata] oralment [lill-persuna li titlob l-informazzjoni]?
3) Ir-risposta għat-tieni domanda tiddependi mill-punt dwar jekk [il-persuna li titlob l-informazzjoni hijiex] kumpannija jew individwu?”
Fuq id-domandi preliminari
Fuq l-ewwel domanda
25 Permezz tal-ewwel domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 2(1), u l-punt 2 tal-Artikolu 4 tal-GDPR għandhomx jiġu interpretati fis-sens li l-iżvelar orali ta’ informazzjoni dwar kundanni kriminali potenzjali fis-seħħ jew diġà skontati li għalihom persuna fiżika kienet suġġetta jikkostitwixxi pproċessar ta’ data personali fis-sens tal-punt 2 tal-Artikolu 4 ta’ dan ir-regolament, u, fl-affermattiv, jekk dan l-ipproċessar jaqax taħt il-kamp ta’ applikazzjoni ratione materiae tal-imsemmi regolament, hekk kif iddefinit fl-Artikolu 2(1) tiegħu.
26 Preliminarjament, minn naħa, għandu jitfakkar li, sabiex jiġu interpretati dawn id-dispożizzjonijiet tad-dritt tal-Unjoni, hemm lok li jittieħdu inkunsiderazzjoni mhux biss il-kliem tagħha, iżda wkoll il-kuntest li jinsabu fih u l-għanijiet imfittxija mil-leġiżlazzjoni li minnha tagħmel parti (sentenza tat‑12 ta’ Jannar 2023, Österreichische Post (Informazzjoni dwar id-destinatarji ta’ data personali), C‑154/21, EU:C:2023:3, punt 29).
27 Min-naħa l-oħra, għandu jiġi enfasizzat li ma huwiex ikkontestat, fil-kawża prinċipali, li l-informazzjoni li tagħha r-rikorrenti fil-kawża prinċipali titlob l-iżvelar tikkostitwixxi data personali fis-sens tal-punt 1 tal-Artikolu 4 tal-GDPR.
28 Il-punt 2 tal-Artikolu 4 ta’ dan ir-regolament jiddefinixxi l-kunċett ta’ “pproċessar” bħala “kwalunkwe attività jew sett ta’ attivitajiet li jitwettqu fuq data personali jew fuq settijiet ta’ data personali, sew jekk b’mezzi awtomatizzati u sew jekk mingħajrhom”.
29 Mill-espressjoni “kwalunkwe attività” jirriżulta b’mod partikolari li l-leġiżlatur tal-Unjoni kellu l-intenzjoni jagħti portata wiesgħa lill-kunċett ta’ “pproċessar”, liema fatt huwa kkorroborat bin-natura mhux eżawrjenti, espressa bil-frażi “bħalma huma”, tal-attivitajiet elenkati f’din id-dispożizzjoni (ara, f’dan is-sens, is-sentenzi tal‑24 ta’ Frar 2022, Valsts ieņēmumu dienests (Ipproċessar ta’ data personali għal finijiet fiskali), C‑175/20, EU:C:2022:124, punt 35, u tad‑22 ta’ Ġunju 2023, Pankki S, C‑579/21, EU:C:2023:501, punt 46).
30 Din il-lista tinkludi, fost oħrajn, l-iżvelar bi trażmissjoni, it-tixrid u “it-tqegħid għad-dispożizzjoni b’xi mezz ieħor” fejn dawn l-attivitajiet jistgħu jkunu awtomatizzati jew mhux awtomatizzati. F’dan ir-rigward, il-punt 2 tal-Artikolu 4 tal-GDPR ma jagħmel ebda kundizzjoni fir-rigward tal-forma tal-ipproċessar “mhux awtomatizzat”. Għalhekk il-kunċett ta’ “pproċessar” ikopri l-iżvelar orali.
31 Din l-interpretazzjoni tal-kunċett ta’ “pproċessar” hija ssostanzjata bl-għan tal-GDPR, li għandu l-intenzjoni, b’mod partikolari, kif jirriżulta mill-Artikolu 1 tiegħu u mill-premessi 1 u 10 tiegħu, li jiggarantixxi livell għoli ta’ protezzjoni tal-libertajiet u tad-drittijiet fundamentali tal-persuni fiżiċi, b’mod partikolari, tad-dritt tagħhom għall-ħajja privata fir-rigward tal-ipproċessar tad-data personali, stabbilit fl-Artikolu 8(1) tal-Karta u fl-Artikolu 16(1) TFUE (ara, f’dan is-sens, is-sentenza tal‑4 ta’ Mejju 2023, Bundesrepublik Deutschland (kaxxa tal-ittri elettronika ġudizzjarja), C‑60/22, EU:C:2023:373, punt 64). Fil-fatt, il-possibbiltà li tiġi evitata l-applikazzjoni ta’ dan ir-regolament billi tiġi żvelata data personali b’mod orali minflok bil-miktub hija manifestament inkompatibbli ma’ dan l-għan.
32 F’dawn iċ-ċirkustanzi, il-kunċett ta’ “pproċessar” imsemmi fil-punt 2 tal-Artikolu 4 tal-GDPR ikopri neċessarjament l-iżvelar b’mod orali ta’ data personali.
33 Madankollu, tirriżulta wkoll il-kwistjoni dwar jekk tali pproċessar jaqax taħt il-kamp ta’ applikazzjoni ratione materaie tal-GDPR. L-Artikolu 2 ta’ dan ir-regolament, li jiddetermina dan il-kamp ta’ applikazzjoni, jipprovdi, fil-paragrafu 1 tiegħu, li l-imsemmi regolament għandu japplika għall-ipproċessar “kompletament jew parzjalment b’mezzi awtomatizzati” kif ukoll ipproċessar “għajr b’mezzi awtomatizzati ta’ data personali li tifforma parti minn sistema ta’ arkivjar jew li tkun maħsuba sabiex tifforma parti minn sistema ta’ arkivjar.”
34 F’dan ir-rigward, mill-formulazzjoni ta’ din l-aħħar dispożizzjoni kif ukoll mill-premessa 15 tal-GDPR jirriżulta li dan ir-regolament japplika kemm għall-ipproċessar awtomatizzat ta’ data personali kif ukoll għall-ipproċessar manwali ta’ tali data, sabiex il-protezzjoni li dan ir-regolament jikkonferixxi lill-persuni li d-data tagħhom hija pproċessata ma tiġix tiddependi mit-tekniki użati u sabiex jiġu evitati riskji gravi ta’ evitar ta’ din il-protezzjoni. Madankollu, minn dan jirriżulta wkoll li l-imsemmi regolament japplika għall-ipproċessar manwali ta’ data personali biss fil-każ li d-data pproċessata “titqiegħed jew tkun maħsuba biex titqiegħed f’sistema ta’ arkivjar” (ara, b’analoġija, is-sentenza tal‑10 ta’ Lulju 2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, punt 53).
35 L-iżvelar orali jikkostitwixxi bħala tali pproċessar mhux awtomatizzat, fejn id-data li hija suġġetta għal dan l-ipproċessar għandha għalhekk “titqiegħed” jew “tkun maħsuba biex titqiegħed” f’“sistema ta’ arkivjar” sabiex l-imsemmi pproċessar ikun jaqa’ taħt il-kamp ta’ applikazzjoni ratione materiae tal-GDPR.
36 Fir-rigward tal-kunċett ta’ “sistema ta’ arkivjar”, il-punt 6 tal-Artikolu 4 tal-GDPR jipprovdi li dan ikopri “kwalunkwe sett strutturat ta’ data personali li tkun aċċessibbli skont kriterji speċifiċi, sew jekk ċentralizzat, deċentralizzat jew mifrux fuq bażi funzjonali jew ġeografika”.
37 F’dan ir-rigward, il-Qorti tal-Ġustizzja diġà ddeċidiet li, konformement mal-għan imfakkar fil-punt 34 ta’ din is-sentenza, din id-dispożizzjoni tiddefinixxi b’mod wiesa’ l-kunċett ta’ “sistema ta’ arkivjar”, b’mod partikolari billi tkopri “kull” sett strutturat ta’ data personali. Barra minn hekk, ir-rekwiżit li s-sett ta’ data personali jkollu natura strutturata “skont kriterji speċifiċi” huwa intiż biss li jippermetti li d-data dwar persuna tkun tista’ tinstab faċilment. Bl-eċċezzjoni ta’ dan ir-rekwiżit, il-punt 6 tal-Artikolu 4 tad-Direttiva GDPR la jistabbilixxi l-modalitajiet dwar kif għandha tkun strutturata sistema ta’ arkivjar u lanqas il-forma li din għandu jkollha. B’mod partikolari, la minn din id-dispożizzjoni u lanqas minn xi dispożizzjoni oħra ta’ dan ir-regolament ma jirriżulta li d-data personali inkwistjoni għandha tkun tagħmel parti minn fajls jew minn listi speċifiċi jew inkella minn sistema oħra ta’ riċerka, sabiex ikun jista’ jiġi konkluż li teżisti sistema ta’ arkivjar fis-sens tal-imsemmi regolament (ara, b’analoġija, is-sentenza tal‑10 ta’ Lulju 2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, punti 56 sa 58).
38 F’dan il-każ, mit-talba għal deċiżjoni preliminari jirriżulta li d-data mitluba mir-rikorrenti fil-kawża prinċipali tinsab f’“sistema ta’ arkivjar “ta’ data personali miżmum[a] minn qorti”. B’hekk jidher li d-data tinsab f’sistema ta’ arkivjar fis-sens tal-punt 6 tal-Artikolu 4 tal-GDPR, liema fatt madankollu għandu jiġi vverifikat mill-qorti tar-rinviju, mingħajr ma jkun meħtieġ li jsir magħruf jekk l-imsemmija data tinsabx fil-bażijiet ta’ data elettronika jew ukoll f’fajls jew reġistri fiżiċi.
39 F’dawn iċ-ċirkustanzi, jeħtieġ li r-risposta għall-ewwel domanda tkun li l-Artikolu 2(1) u l-punt 2 tal-Artikolu 4 tal-GDPR għandhom jiġu interpretati fis-sens li l-iżvelar orali ta’ informazzjoni dwar kundanni kriminali potenzjali fis-seħħ jew diġà skontati li għalihom persuna fiżika kienet suġġetta jikkostitwixxi pproċessar ta’ data personali fis-sens tal-punt 2 tal-Artikolu 4 ta’ dan ir-regolament, li jaqa’ taħt il-kamp ta’ applikazzjoni ratione materiae tal-imsemmi regolament peress li din l-informazzjoni hija maħżuna f’sistema ta’ arkivjar jew hija intiża li tagħmel parti minn sistema ta’ arkivjar.
Fuq it-tieni u t-tielet domanda
40 Permezz tat-tieni u t-tielet domanda, li jeħtieġ li jiġu eżaminati flimkien, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk id-dispożizzjonijiet tal-GDPR, b’mod partikolari l-Artikolu 86 tagħha, għandhomx jiġu interpretati fis-sens li jipprekludu li data dwar kundanni kriminali ta’ persuna fiżika li tinsab f’sistema ta’ arkivjar miżmuma minn qorti tista’ tiġi żvelata oralment lil kull persuna għall-finijiet ta’ garanzija ta’ aċċess tal-pubbliku għal dokumenti uffiċjali, mingħajr ma l-persuna li titlob l-iżvelar ikollha tiġġustifika interess speċifiku li tikseb l-imsemmija data, u jekk ir-risposta għal din id-domanda tkunx differenti skont jekk din il-persuna hijiex kumpannija kummerċjali jew individwu.
41 Din id-domanda ssib l-oriġini tagħha fil-leġiżlazzjoni nazzjonali inkwistjoni fil-kawża prinċipali inkwantu ma tirrikjedix l-osservanza tad-dispożizzjonijiet nazzjonali dwar il-protezzjoni tad-data personali meta tali data tiġi żvelata oralment.
42 F’dan ir-rigward, jeħtieġ li jitfakkar li, bis-saħħa tat-tieni paragrafu tal-Artikolu 288 TFUE, ir-Regolament huwa vinkolanti fl-elementi kollha tiegħu u li huwa direttament applikabbli f’kull Stat Membru. B’hekk, minħabba s-sempliċi natura tagħhom u funzjoni tagħhom fis-sistema ta’ sorsi tad-dritt tal-Unjoni, id-dispożizzjonijiet tar-regolamenti għandhom, bħala regola ġenerali, effett immedjat fl-ordinamenti ġuridiċi nazzjonali mingħajr ma jkun neċessarju li l-awtoritajiet nazzjonali jadottaw miżuri ta’ applikazzjoni (sentenzi tas‑16 ta’ Ġunju 2022, Port de Bruxelles u Région de Bruxelles‑Capitale, C‑229/21, EU:C:2022:471, punt 47, kif ukoll tat‑30 ta’ Marzu 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punt 77).
43 B’hekk, qorti nazzjonali għandha l-obbligu li tapplika r-rekwiżiti tal-GDPR fl-intier tagħhom, anki jekk ma teżistix dispożizzjoni speċifika fid-dritt nazzjonali applikabbli li tippermetti li jittieħdu inkunsiderazzjoni l-interessi tal-persuna li d-data personali tagħha huma inkwistjoni (ara, f’dan is-sens, is-sentenza tat‑2 ta’ Marzu 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, punti 44 u 59).
44 Mill-kunsiderazzjonijiet preċedenti jirriżulta li l-komunikazzjoni orali tad-data dwar kundanni kriminali ta’ persuna fiżika tista’ sseħħ biss jekk il-kundizzjonijiet magħmula mill-GDPR jiġu ssodisfatti ladarba din id-data tkun maħżuna jew tkun meħtieġa li tinsab f’sistema ta’ arkivjar.
45 F’dan is-sens, jeħtieġ li jitfakkar li, konformement mal-ġurisprudenza stabbilita tal-Qorti tal-Ġustizzja, kull ipproċessar ta’ data personali għandu, minn naħa, ikun konformi mal-prinċipji dwar l-ipproċessar tad-data stabbiliti fl-Artikolu 5 tal-GDPR u, min-naħa l-oħra, fid-dawl b’mod partikolari tal-prinċipju tal-legalità tal-ipproċessar, previst fil-paragrafu 1(a) ta’ dan l-artikolu, jissodisfa waħda mill-kundizzjonijiet ta’ legalità tal-ipproċessar elenkati fl-Artikolu 6 ta’ dan ir-regolament (ara, f’dan is-sens, is-sentenzi tat‑22 ta’ Ġunju 2021, Latvijas Republikas Saeima (Punti ta’ penalità), C‑439/19, EU:C:2021:504, punt 96, kif ukoll tas‑7 ta’ Diċembru 2023, SCHUFA Holding et (Scoring), C‑634/21, EU:C:2023:957, punt 67).
46 B’mod partikolari, l-ipproċessar tad-data personali inkwistjoni fil-kawża prinċipali, jiġifieri l-komunikazzjoni lill-pubbliku tad-data dwar ir-reati kriminali jista’ jaqa’ taħt l-Artikolu 6(1)(e) tal-GDPR, li bis-saħħa tiegħu, l-ipproċessar ikun legali jekk, u sa fejn, ikun “meħtieġ għat-twettiq ta’ kompitu li jsir fl-interess pubbliku jew fl-eżerċizzju ta’ awtorità uffiċjali mogħtija lill-kontrollur” (ara, f’dan is-sens, is-sentenza tat‑22 ta’ Ġunju 2021, Latvijas Republikas Saeima (Punti ta’ penalità), C‑439/19, EU:C:2021:504, punt 99).
47 Barra minn hekk, b’mod iktar speċifiku fir-rigward tad-data dwar il-kundanni kriminali u r-reati, l-Artikolu 10 tal-GDPR jissuġġetta l-ipproċessar tagħhom għal restrizzjonijiet addizzjonali. Konformement ma’ din id-dispożizzjoni, l-ipproċessar relatat ma’ din id-data “għandu jsir biss taħt il-kontroll ta’ awtorità uffiċjali”, sakemm ma jkunx “awtorizzat minn liġi tal-Unjoni jew liġi ta’ Stat Membru li tipprevedi salvagwardji xierqa għad-drittijiet u l-libertajiet tas-suġġetti tad-data” (ara, f’dan is-sens, is-sentenza tat‑22 ta’ Ġunju 2021, Latvijas Republikas Saeima (Punti ta’ penalità), C‑439/19, EU:C:2021:504, punt 100).
48 Il-Qorti tal-Ġustizzja diġà ddeċidiet li la l-Artikolu 6(1)(e) tal-GDPR u lanqas l-Artikolu 10 ta’ dan ir-regolament ma jipprojbixxu b’mod ġenerali u assolut li awtorità pubblika tkun awtorizzata, jekk mhux imġiegħla, tiżvela data personali lill-persuni li jitolbu dan (ara, f’dan is-sens, is-sentenza tat‑22 ta’ Ġunju 2021, Latvijas Republikas Saeima (Punti ta’ penalità), C‑439/19, EU:C:2021:504, punt 103).
49 B’hekk, il-GDPR ma jipprekludix li data personali tiġi żvelata lill-pubbliku meta dan l-iżvelar ikun neċessarju għall-eżekuzzjoni ta’ funzjoni ta’ interess pubbliku jew li taqa’ taħt l-eżerċizzju tal-awtorità pubblika fis-sens tal-Artikolu 6(1)(e) ta’ dan ir-regolament. Dan japplika wkoll meta d-data inkwistjoni taqa’ taħt l-Artikolu 10 tal-GDPR, sakemm il-leġiżlazzjoni li tawtorizza din il-komunikazzjoni tipprevedi garanziji xierqa għad-drittijiet u għal-libertajiet tas-suġġetti tad-data (ara, f’dan is-sens, is-sentenza tat‑22 ta’ Ġunju 2021, Latvijas Republikas Saeima (Punti ta’ penalità), C‑439/19, EU:C:2021:504, punt 104).
50 F’dan il-każ, mid-deċiżjoni tar-rinviju kif ukoll mill-osservazzjonijiet bil-miktub sottomessi mill-Gvern Finlandiż jirriżulta li l-leġiżlazzjoni nazzjonali dwar in-natura pubblika tal-azzjoni tal-awtoritajiet pubbliċi u dik dwar in-natura pubblika tal-proċedura quddiem il-qrati ordinarji huma intiżi li jeżegwixxu funzjoni ta’ interess pubbliku li tippermetti li jiġi żgurat l-aċċess tal-pubbliku għad-dokumenti uffiċjali.
51 F’dawn iċ-ċirkustanzi, il-qorti tar-rinviju tipprova tistabbilixxi b’mod iktar partikolari jekk l-ipproċessar ta’ data personali inkwistjoni fil-kawża prinċipali jistax jiġi kkunsidrat bħala legali fir-rigward tal-prinċipju ta’ proporzjonalità, b’mod partikolari fir-rigward tal-ibbilanċjar li għandu jsir bejn, minn naħa, id-dritt ta’ aċċess tal-pubbliku għal dokumenti uffiċjali, imsemmi fl-Artikolu 86 tal-GDPR, u, min-naħa l-oħra, id-drittijiet fundamentali għar-rispett tal-ħajja privata u għall-protezzjoni tad-data personali stabbiliti fl-Artikoli 7 u 8 tal-Karta.
52 F’dan l-aħħar rigward, għandu jitfakkar li d-drittijiet fundamentali għar-rispett tal-ħajja privata u għall-protezzjoni tad-data personali ma humiex prerogattivi assoluti, kif tindika l-premessa 4 tal-GDPR, iżda għandhom jittieħdu inkunsiderazzjoni fir-rigward tal-funzjoni tagħhom fis-soċjetà u għandhom jiġu bbilanċjati ma’ drittijiet fundamentali oħra. Għalhekk jistgħu jsiru limitazzjonijiet, sakemm, konformement mal-Artikolu 52(1) tal-Karta, dawn ikunu previsti mil-liġi u josservaw il-kontenut essenzjali tad-drittijiet fundamentali kif ukoll il-prinċipju ta’ proporzjonalità. Bis-saħħa ta’ dan l-aħħar prinċipju, jistgħu jsiru limitazzjonijiet biss jekk dawn ikunu neċessarji u jekk effettivament jissodisfaw għanijiet ta’ interess ġenerali rrikonoxxuti mill-Unjoni jew il-ħtieġa li jiġu protetti drittijiet u libertajiet ta’ ħaddieħor. Dawn għandhom jiġu applikati fil-limiti ta’ dak li huwa strettament neċessarju u l-leġiżlazzjoni li tinvolvi l-indħil għandha tipprevedi regoli ċari u preċiżi li jirregolaw il-portata u l-applikazzjoni tal-miżura inkwistjoni (ara, f’dan is-sens, is-sentenza tat‑22 ta’ Ġunju 2021, Latvijas Republikas Saeima (Punti ta’ penalità), C‑439/19, EU:C:2021:504, punt 105).
53 Sabiex jiġi ddeterminat jekk żvelar lill-pubbliku ta’ data personali dwar kundanni kriminali huwiex neċessarju għall-eżekuzzjoni ta’ funzjoni ta’ interess pubbliku jew li taqa’ taħt l-eżerċizzju tal-awtorità pubblika, fis-sens tal-Artikolu 6(1)(e) tal-GDPR, u jekk il-leġiżlazzjoni li tawtorizza tali komunikazzjoni tipprevedix garanziji xierqa għad-drittijiet u għal-libertajiet tas-suġġetti tad-data, fis-sens tal-Artikolu 10 ta’ dan ir-regolament, għandu jiġi vverifikat b’mod partikolari jekk, fid-dawl tal-gravità tal-indħil fid-drittijiet fundamentali għar-rispett tal-ħajja privata u għall-protezzjoni tad-data personali kkawżat mill-imsemmi żvelar, din tidhirx li hija ġġustifikata u, b’mod partikolari, proporzjonata, għall-finijiet tat-twettiq tal-għanijiet imfittxija (ara, f’dan is-sens, is-sentenza tat‑22 ta’ Ġunju 2021, Latvijas Republikas Saeima (Punti ta’ penalità), C‑439/19, EU:C:2021:504, punt 106).
54 Fir-rigward tal-gravità tal-indħil f’dawn id-drittijiet, il-Qorti tal-Ġustizzja diġà ddeċidiet li l-ipproċessar tad-data dwar il-kundanni kriminali u r-reati jew dwar il-miżuri ta’ sigurtà konnessi jista’, minħabba s-sensittività partikolari ta’ din id-data, jikkostitwixxi ndħul partikolarment gravi fid-drittijiet fundamentali għar-rispett tal-ħajja privata u għall-protezzjoni tad-data personali, iggarantiti mill-Artikoli 7 u 8 tal-Karta. Fil-fatt, peress li tali data tirrigwarda aġir li jwassal għad-diżapprovazzjoni tas-soċjetà, l-għoti ta’ aċċess għal din l-istess data jista’ jistigmatizza lis-suġġett tad-data u b’hekk jikkostitwixxi ndħil serju fil-ħajja privata jew professjonali tagħha (ara, f’dan is-sens, is-sentenza tat‑22 ta’ Ġunju 2021, Latvijas Republikas Saeima (Punti ta’ penalità), C‑439/19, EU:C:2021:504, punti 74, 75 u 112).
55 Għalkemm l-aċċess tal-pubbliku għad-dokumenti uffiċjali, li għalihom tirreferi l-qorti tar-rinviju, jikkostitwixxi, kif jirriżulta mill-premessa 154 tal-GDPR, interess pubbliku li jista’ jilleġittima l-komunikazzjoni ta’ data personali li tinsab f’tali dokumenti, dan l-aċċess għandu madankollu jiġi rrikonċiljat mad-drittijiet fundamentali għar-rispett tal-ħajja privata u għall-protezzjoni tad-data personali, kif wara kollox jirrikjedi espressament l-Artikolu 86 tal-GDPR. Issa, fid-dawl b’mod partikolari tas-sensittività tad-data relatata mal-kundanni kriminali u mal-gravità tal-indħil fid-drittijiet fundamentali għar-rispett tal-ħajja privata u għall-protezzjoni tad-data personali tas-suġġetti tad-data, li joħloq l-iżvelar ta’ din id-data, għandu jitqies li dawn id-drittijiet jipprevalu fuq l-interess tal-pubbliku li jkollu aċċess għad-dokumenti uffiċjali (ara, f’dan is-sens, is-sentenza tat‑22 ta’ Ġunju 2021, Latvijas Republikas Saeima (Punti ta’ penalità), C‑439/19, EU:C:2021:504, punt 120).
56 Għal din l-istess raġuni, id-dritt għal-libertà ta’ informazzjoni msemmi fl-Artikolu 85 tal-GDPR ma jistax jiġi interpretat fis-sens li jiġġustifika l-iżvelar tad-data personali dwar il-kundanni personali lil kull persuna li titlobha (ara, f’dan is-sens, is-sentenza tat‑22 ta’ Ġunju 2021, Latvijas Republikas Saeima (Punti ta’ penalità), C‑439/19, EU:C:2021:504, punt 121).
57 F’dan ir-rigward, ma huwiex wisq importanti li jsir magħruf jekk il-persuna li titlob l-aċċess għad-dokumenti dwar il-kundanni kriminali hijiex kumpannija kummerċjali jew individwu jew jekk l-iżvelar ta’ tali data ssirx bil-miktub jew oralment.
58 Fid-dawl tal-kunsiderazzjonijiet preċedenti, jeħtieġ li r-risposta għat-tieni u t-tielet domanda preliminari tkun li d-dispożizzjonijiet tal-GDPR, b’mod partikolari l-Artikolu 6(1)(e) u l-Artikolu 10 tiegħu għandhom jiġu interpretati fis-sens li jipprekludu li data dwar kundanni kriminali ta’ persuna fiżika li tinsab f’sistema ta’ arkivjar miżmuma minn qorti tista’ tiġi żvelata oralment lil kull persuna għall-finijiet ta’ garanzija ta’ aċċess tal-pubbliku għal dokumenti uffiċjali, mingħajr ma l-persuna li titlob l-iżvelar ikollha tiġġustifika interess speċifiku li tikseb l-imsemmija data, iċ-ċirkustanza jekk din il-persuna tkunx kumpannija kummerċjali jew individwu ma tagħmilx differenza f’dan ir-rigward.
Fuq l-ispejjeż
59 Peress li l-proċedura għandha, fir-rigward tal-partijiet fil-kawża prinċipali, in-natura ta’ kwistjoni mqajma quddiem il-qorti tar-rinviju, hija din il-qorti li tiddeċiedi fuq l-ispejjeż. L-ispejjeż sostnuti għas-sottomissjoni tal-osservazzjonijiet lill-Qorti tal-Ġustizzja, minbarra dawk tal-imsemmija partijiet, ma jistgħux jitħallsu lura.
Għal dawn il-motivi, Il-Qorti tal-Ġustizzja (Is-Sitt Awla) taqta’ u tiddeċiedi:
1) L-Artikolu 2(1) u l-punt 2 tal-Artikolu 4 tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data),
għandhom jiġu interpretati fis-sens li:
l-iżvelar orali ta’ informazzjoni dwar kundanni kriminali potenzjali fis-seħħ jew diġà skontati li għalihom persuna fiżika kienet suġġetta jikkostitwixxi pproċessar ta’ data personali fis-sens tal-punt 2 tal-Artikolu 4 ta’ dan ir-regolament, li jaqa’ taħt il-kamp ta’ applikazzjoni ratione materiae tal-imsemmi regolament peress li din l-informazzjoni hija maħżuna f’sistema ta’ arkivjar jew hija intiża li tagħmel parti minn sistema ta’ arkivjar.
2) Id-dispożizzjonijiet tar-Regolament 2016/679, b’mod partikolari l-Artikolu 6(1)(e) u l-Artikolu 10 tiegħu,
għandhom jiġu interpretati fis-sens li:
jipprekludu li data dwar kundanni kriminali ta’ persuna fiżika li tinsab f’sistema ta’ arkivjar miżmuma minn qorti tista’ tiġi żvelata oralment lil kull persuna għall-finijiet ta’ garanzija ta’ aċċess tal-pubbliku għal dokumenti uffiċjali, mingħajr ma l-persuna li titlob l-iżvelar ikollha tiġġustifika interess speċifiku li tikseb l-imsemmija data, iċ-ċirkustanza jekk din il-persuna tkunx kumpannija kummerċjali jew individwu ma tagħmilx differenza f’dan ir-rigward.
Firem