Talba għal deċiżjoni preliminari mressqa mill-Vilniaus apygardos administracinis teismas (il-Litwanja) fit-12 ta’ Novembru 2021 – Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos vs Valstybinė duomenų apsaugos inspekcija
(Kawża C-683/21)
Lingwa tal-kawża: il-Litwan
Qorti tar-rinviju
Vilniaus apygardos administracinis teismas
Partijiet fil-kawża prinċipali
Rikorrent: Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos
Konvenut: Valstybinė duomenų apsaugos inspekcija
Domandi preliminari
Il-kunċett ta’ “kontrollur” stabbilit fl-Artikolu 4(7) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas-27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (iktar ’il quddiem il-“GDPR”) 1 jista’ jiġi interpretat fis-sens li jfisser li persuna li għandha l-intenzjoni li takkwista għodda għall-ġbir ta’ data (applikazzjoni tal-mowbajl) permezz ta’ għoti ta’ kuntratt pubbliku għandha xorta waħda titqies bħala kontrollur minkejja l-fatt li l-kuntratt pubbliku ma ġiex konkluż u li l-prodott maħluq (applikazzjoni tal-mowbajl), li għall-akkwist tiegħu intużat proċedura għall-għoti ta’ kuntratt pubbliku, ma ġiex ittrasferit?
Il-kunċett ta’ “kontrollur” stabbilit fl-Artikolu 4(7) tal-GDPR jista’ jiġi interpretat fis-sens li jfisser li awtorità kontraenti li ma kisbitx id-dritt tal-proprjetà tal-prodott informatiku maħluq, u li għadha ma daħlitx fil-pussess tiegħu, iżda meta l-verżjoni finali tal-applikazzjoni maħluqa tipprovdi links jew interfaces lejn din l-entità pubblika u/jew il-polza ta’ kunfidenzjalità, li ma kinitx approvata jew irrikonoxxuta uffiċjalment mill-entità pubblika inkwistjoni, li kienet tispeċifika lil din l-entità pubblika stess bħala l-kontrollur, għandha wkoll titqies bħala kontrollur?
Il-kunċett ta’ “kontrollur” stabbilit fl-Artikolu 4(7) tal-GDPR jista’ jiġi interpretat fis-sens li jfisser li persuna li ma wettqet ebda operazzjonijiet ta’ pproċessar ta’ data kif iddefinit fil-punt 2 tal-Artikolu 4 tal-GDPR u/jew ma tatx permess/kunsens ċar għat-twettiq ta’ tali operazzjonijiet għandha wkoll titqies bħala kontrollur? Il-fatt li l-prodott informatiku użat għall-ipproċessar ta’ data personali nħoloq skont l-inkarigu fformulat mill-awtorità kontraenti huwa sinifikanti għall-interpretazzjoni tal-kunċett ta’ “kontrollur”?
Jekk id-determinazzjoni ta’ operazzjonijiet ta’ pproċessar ta’ data effettivi hija rilevanti għall-interpretazzjoni tal-kunċett ta’ “kontrollur”, id-definizzjoni ta’ “pproċessar” ta’ data personali skont il-punt 2 tal-Artikolu 4 tal-GDPR għandha tiġi interpretata fis-sens li tkopri wkoll sitwazzjonijiet fejn kopji ta’ data personali ntużaw għall-ittestjar ta’ sistemi informatiċi fil-proċess tal-akkwist tal-applikazzjoni tal-mowbajl?
Kontroll flimkien ma’ oħrajn ta’ data skont l-Artikolu 4(7) u l-Artikolu 26(1) tal-GDPR jista’ jiġi interpretat esklużivament fis-sens li jinvolvi azzjonijiet ikkoordinati deliberatament fir-rigward tad-determinazzjoni tal-għan u tal-mezz tal-ipproċessar tad-data, jew jista’ dak il-kunċett jiġi interpretat ukoll fis-sens li jfisser li kontroll flimkien ma’ oħrajn ikopri wkoll sitwazzjonijiet fejn ma hemmx “arranġament” ċar fir-rigward tal-għan u tal-mezz ta’ pproċessar tad-data u/jew azzjonijiet ma humiex ikkoordinati bejn l-entitajiet? Iċ-ċirkustanza fir-rigward tal-istadju fil-ħolqien tal-mezz ta’ pproċessar ta’ data personali (applikazzjoni informatika) li fiha ġiet ipproċessata data personali u l-għan tal-ħolqien tal-applikazzjoni huma legalment sinnifikanti għall-interpretazzjoni tal-kunċett ta’ kontroll ta’ data flimkien ma’ oħrajn? Jista’ arranġament bejn kontrolluri konġunti jinftiehem esklużivament bħala stabbiliment ċar u ddefinit ta’ termini li jirregolaw il-kontroll ta’ data flimkien ma’ oħrajn?
Id-dispożizzjoni fl-Artikolu 83(1) tal-GDPR li tgħid li “multi amministrattivi […] għandha tkun effettiva, proporzjonata u dissważiva” għandha tiġi interpretata fis-sens li tkopri wkoll każijiet ta’ impożizzjoni ta’ responsabbiltà fuq il-“kontrollur” meta, fil-proċess tal-ħolqien ta’ prodott informatiku, l-iżviluppatur iwettaq ukoll azzjonijiet ta’ pproċessar ta’ data personali, u l-azzjonijiet illegali ta’ pproċessar ta’ data personali mwettqa mill-proċessur dejjem jagħtu awtomatikament lok għar-responsabbiltà legali min-naħa tal-kontrollur? Dik id-dispożizzjoni għandha tiġi interpretata fis-sens li tkopri wkoll każijiet ta’ responsabbiltà mingħajr ħtija min-naħa tal-kontrollur?
____________
1 ĠU 2016 L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2.