SENTENZA TAL-QORTI TAL-ĠUSTIZZJA (L-Ewwel Awla)
12 ta’ Jannar 2023 (*)
“Rinviju għal deċiżjoni preliminari – Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament (UE) 2016/679 – Artikolu 15(1)(c) – Dritt ta’ aċċess tas-suġġett tad-data għad-data tiegħu – Informazzjoni dwar ir-riċevituri jew il-kategoriji ta’ riċevituri li lilhom tkun ġiet ikkomunikata jew ser tiġi kkomunikata d-data personali – Limitazzjonijiet”
Fil-Kawża C‑154/21,
li għandha bħala suġġett talba għal deċiżjoni preliminari skont l-Artikolu 267 TFUE, imressqa mill-Oberster Gerichtshof (il-Qorti Suprema, l-Awstrija), permezz ta’ deċiżjoni tat‑18 ta’ Frar 2021, li waslet fil-Qorti tal-Ġustizzja fid‑9 ta’ Marzu 2021, fil-proċedura
RW
vs
Österreichische Post AG,
IL-QORTI TAL-ĠUSTIZZJA (L-Ewwel Awla),
komposta minn A. Arabadjiev, President ta’ Awla, L. Bay Larsen, Viċi President tal-Qorti tal-Ġustizzja, li qiegħed jaġixxi bħala Imħallef tal-Ewwel Awla, P. G. Xuereb, A. Kumin u I. Ziemele (Relatriċi), Imħallfin,
Avukat Ġenerali: G. Pitruzzella,
Reġistratur: A. Calot Escobar,
wara li rat il-proċedura bil-miktub,
wara li kkunsidrat l-osservazzjonijiet ippreżentati:
– għal RW, minn R. Haupt, Rechtsanwalt,
– għal Österreichische Post AG, minn R. Marko, Rechtsanwalt,
– għall-Gvern Awstrijak, minn G. Kunnert, A. Posch u minn J. Schmoll, bħala aġenti,
– għall-Gvern Ċek, minn M. Smolek u J. Vláčil, bħala aġenti,
– għall-Gvern Taljan, minn G. Palmieri, bħala aġent, assistita minn M. Russo, avvocato dello Stato,
– għall-Gvern Latvjan, minn J. Davidoviča, I. Hūna u K. Pommere, bħala aġenti,
– għall-Gvern Rumen, minn L.-E. Baţagoi, E. Gane u A. Wellman, bħala aġenti,
– għall-Gvern Svediż, minn H. Eklinder, J. Lundberg, C. Meyer-Seitz, A. M. Runeskjöld, M. Salborn Hodgson, R. Shahsavan Eriksson, H. Shev u O. Simonsson, bħala aġenti,
– għall-Kummissjoni Ewropea, minn F. Erlbacher u H. Kranenborg, bħala aġenti,
wara li semgħet il-konklużjonijiet tal-Avukat Ġenerali, ippreżentati fis-seduta tad‑9 ta’ Ġunju 2022,
tagħti l-preżenti
Sentenza
1 It-talba għal deċiżjoni preliminari tirrigwarda l-interpretazzjoni tal-Artikolu 15(1)(c) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-“GDPR”).
2 Din it-talba tressqet fil-kuntest ta’ kawża bejn RW u Österreichische Post AG (iktar ’il quddiem l-“Österreichische Post”) dwar talba għal aċċess għal data personali skont l-Artikolu 15(1)(c) tal-GDPR.
Il‑kuntest ġuridiku
3 Il-premessi 4, 9, 10, 39, 63 u 74 tal-GDPR huma redatti kif ġej:
“(4) […] Id-dritt għall-protezzjoni tad-data personali mhuwiex dritt assolut; huwa għandu jiġi kkunsidrat b’rabta mal-funzjoni tiegħu fis-soċjetà u jkun ibbilanċjat ma’ drittijiet fundamentali oħrajn, f’konformità mal-prinċipju tal-proporzjonalità.
[…]
9. L-għanijiet u l-prinċipji tad-[Direttiva tal-Parlament Ewropew u tal-Kunsill 95/46/KE ta’ l‑24 ta’ Ottubru 1995 dwar il-protezzjoni ta’ individwi fir-rigward ta’ l-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ dik id-data (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 13, Vol. 15, p. 355)] jibqgħu sodi, iżda din ma waqqfitx il-frammentazzjoni fl-implimentazzjoni fil-protezzjoni tad-data fl-Unjoni [Ewropea] kollha, in-nuqqas ta’ ċertezza legali jew perċezzjoni pubblika mifruxa li hemm riskji sinifikanti għall-protezzjoni tal-persuni fiżiċi, b’mod partikolari fir-rigward tal-attività online. Id-differenzi fil-livell ta’ protezzjoni tad-drittijiet u l-libertajiet tal-persuni fiżiċi, b’mod partikolari id-dritt għall-protezzjoni tad-data personali, fir-rigward tal-ipproċessar tad-data personali fl-Istati Membri jistgħu jimpedixxu l-fluss liberu tad-data personali fl-Unjoni kollha. Dawk id-differenzi jistgħu jkunu ta’ xkiel għat-twettiq ta’ attivitajiet ekonomiċi fil-livell tal-Unjoni, jgħawwġu l-kompetizzjoni u jxekklu lill-awtoritajiet fit-twettiq tar-responsabbiltajiet tagħhom skont il-liġi tal-Unjoni. Tali differenza fil-livelli ta’ protezzjoni hija dovuta għall-eżistenza ta’ differenzi fl-implimentazzjoni u l-applikazzjoni tad-Direttiva 95/46/KE.
(10) Sabiex ikun żgurat livell konsistenti u għoli ta’ protezzjoni tal-persuni fiżiċi u sabiex jitneħħew l-ostakoli għaċ-ċirkolazzjoni tad-data personali fl-Unjoni, il-livell ta’ protezzjoni tad-drittijiet u l-libertajiet tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ din id-data għandu jkun ekwivalenti fl-Istati Membri kollha. […]
[…]
(39) Kwalunkwe pproċessar ta’ data personali għandu jkun legali u ġust. Għandu jkun trasparenti għall-persuni fiżiċi li fir-rigward tagħhom qiegħda tinġabar, tintuża, tiġi kkonsultata jew b’xi mod ieħor ipproċessata data personali u l-punt sa fejn id-data personali qiegħda tiġi pproċessata jew ser tiġi pproċessata. Il-prinċipju tat-trasparenza jeħtieġ li kwalunkwe informazzjoni u komunikazzjoni marbuta mal-ipproċessar ta’ dik id-data personali tkun aċċessibbli faċilment u li tinftiehem faċilment, u li jintuża lingwaġġ ċar u sempliċi. […]
[…]
(63) Suġġett tad-data għandu jkollu d-dritt ta’ aċċess għal data li tkun inġabret dwaru, u li jeżerċita dak id-dritt faċilment u f’intervalli raġonevoli, sabiex ikun jaf dwar, u jivverifika, il-legalità tal-ipproċessar. […] Kull suġġett tad-data għandu għalhekk ikollu d-dritt li jkun jaf u jikseb komunikazzjoni b’mod partikolari fir-rigward tal-għanijiet li għalihom tkun qiegħda tiġi pproċessata d-data personali, fejn possibbli il-perijodu li għalih id-data personali tiġi pproċessata, ir-riċevituri tad-data personali, il-loġika involuta fi kwalunkwe pproċessar awtomatiku tad-data personali u, għallinqas meta bbażata fuq it-tfassil ta’ profili, il-konsegwenzi ta’ dan l-ipproċessar. […] Dak id-dritt ma għandux jaffettwa negattivament id-drittijiet jew il-libertajiet ta’ persuni oħrajn, inklużi sigrieti tan-negozju jew proprjetà intellettwali u b’mod partikolari d-dritt tal-awtur li jipproteġi s-software. Madankollu, ir-riżultat ta’ dawn il-kunsiderazzjonijiet m’għandux ikun rifjut li tiġi provduta l-informazzjoni kollha lis-suġġett tad-data. […]
[…]
(74) Ir-responsabbiltà tal-kontrollur għal kwalunkwe pproċessar ta’ data personali li jitwettaq mill-kontrollur jew f’isem il-kontrollur għandha tiġi stabbilita. B’mod partikolari, il-kontrollur għandu jkun obbligat jimplimenta miżuri adatti u effettivi u jkun jista’ juri l-konformità tal-attivitajiet ta’ pproċessar ma’ dan ir-Regolament, inkluża l-effettività tal-miżuri. Dawk il-miżuri għandhom jikkunsidraw in-natura, l-ambitu, il-kuntest u l-għanijiet tal-ipproċessar u r-riskju għad-drittijiet u l-libertajiet tal-persuni fiżiċi.”
4 L-Artikolu 1 tal-GDPR, intitolat “Suġġett u objettivi”, jipprovdi, fil-paragrafu 2 tiegħu:
“Dan ir-Regolament jipproteġi d-drittijiet u l-libertajiet fundamentali tal-persuni fiżiċi u b’mod partikolari d-dritt tagħhom għall-protezzjoni ta’ data personali.”
5 L-Artikolu 5 tal-GDPR, intitolat “Prinċipji relatati mal-ipproċessar ta’ data personali”, jipprovdi:
“1. Id-data personali għandha:
(a) tkun ipproċessata legalment, ġustament u b’mod trasparenti fir-rigward tas-suġġett tad-data (‘legalità, ġustizzja u trasparenza’);
[…]
2. Il-kontrollur għandu jkun responsabbli għall-konformità mal-paragrafu 1 u jkun kapaċi juriha (‘responsabbiltà’).”
6 L-Artikolu 12 tal-GDPR, intitolat “Informazzjoni, komunikazzjoni u modalitajiet trasparenti għall-eżerċizzju tad-drittijiet tas-suġġett tad-data”, jipprovdi:
“1. Il-kontrollur għandu jieħu miżuri adatti biex jipprovdi kwalunkwe informazzjoni msemmija fl-Artikoli 13 u 14 u kwalunkwe komunikazzjoni skont l-Artikoli 15 sa 22 u 34 relatata mal-ipproċessar lis-suġġett tad-data f’forma konċiża, trasparenti, intelliġibbli u faċilment aċċessibbli, bl-użu ta’ lingwaġġ ċar u sempliċi, b’mod partikolari għal kwalunkwe informazzjoni indirizzata speċifikament lil minorenni. L-informazzjoni għandha tiġi pprovduta bil-miktub, jew b’mezzi oħra, inkluż, fejn xieraq, b’mezzi elettroniċi. Meta tintalab mis-suġġett tad-data, l-informazzjoni tista’ tingħata bil-fomm dment li tingħata prova tal-identità tas-suġġett tad-data b’mezzi oħra.
2. Il-kontrollur għandu jiffaċilita l-eżerċizzju tad-drittijiet tas-suġġett tad-data skont l-Artikoli 15 sa 22. Fil-każijiet imsemmija fl-Artikolu 11([2]), il-kontrollur ma għandux jirrifjuta li jieħu azzjoni fuq it-talba tas-suġġett tad-data biex jeżerċita d-drittijiet tiegħu skont l-Artikoli 15 sa 22, ħlief jekk il-kontrollur juri li huwa ma jkunx f’pożizzjoni li jidentifika s-suġġett tad-data.
[…]
5. L-informazzjoni pprovduta skont l-Artikoli 13 u 14 u kwalunkwe komunikazzjoni u kwalunkwe azzjoni skont l-Artikoli 15 sa 22 u 34 għandhom jingħataw mingħajr ħlas. Fejn it-talbiet minn suġġett tad-data jkunu manifestament bla bażi jew eċċessivi, b’mod partikolari minħabba n-natura ripetittiva tagħhom, il-kontrollur jista’ jew:
(a) jimponi ħlas raġonevoli waqt li jqis l-ispejjeż amministrattivi talli jipprovdi l-informazzjoni jew il-komunikazzjoni jew talli jieħu l-azzjoni mitluba; jew
(b) jirrifjuta li jieħu azzjoni fuq it-talba.
Il-kontrollur għandu jerfa’ r-responsabbiltà li juri n-natura manifestament mingħajr bażi jew eċċessiva tat-talba.
[…]”
7 L-Artikolu 13 tal-GDPR, intitolat “Informazzjoni li għandha tiġi pprovduta fejn tinġabar data personali mis-suġġett tad-data”, jipprevedi fil-paragrafu 1 tiegħu:
“Fejn data personali relatata ma’ suġġett tad-data tinġabar mingħand is-suġġett tad-data, il-kontrollur għandu, fil-ħin li tinkiseb id-data personali, jipprovdi l-informazzjoni kollha li ġejja lis-suġġett tad-data:
[…]
(e) ir-riċevituri jew il-kategoriji ta’ riċevituri tad-data personali, jekk jeżistu; […]
[…]”
8 L-Artikolu 14 tal-GDPR, intitolat “Informazzjoni li għandha tiġi pprovduta fejn id-data personali ma tkunx inkisbet mis-suġġett tad-data”, jipprevedi fil-paragrafu 1 tiegħu:
“Fejn ma tkunx inkisbet data personali mis-suġġett tad-data, il-kontrollur għandu jipprovdi lis-suġġett tad-data l-informazzjoni li ġejja:
[…]
(e) ir-riċevituri jew il-kategoriji ta’ riċevituri tad-data personali, jekk jeżistu;
[…]”
9 Skont l-Artikolu 15 tal-GDPR, intitolat “Dritt ta’ aċċess mis-suġġett tad-data”:
“1. Is-suġġett tad-data għandu d-dritt li jikseb mingħand il-kontrollur konferma dwar jekk id-data personali li tikkonċerna lilu hijiex qiegħda tiġi proċessata jew le, u, fejn dan ikun il-każ, l-aċċess għad-data personali u l-informazzjoni li ġejja:
(a) il-finijiet tal-ipproċessar;
(b) il-kategoriji ta’ data personali inkwistjoni;
(c) ir-riċevituri jew il-kategoriji ta’ riċevituri li lilhom tkun ġiet żvelata jew ser tiġi żvelata d-data personali, b’mod partikolari riċevituri f’pajjiżi terzi jew organizzazzjonijiet internazzjonali;
(d) fejn possibbli, il-perijodu mbassar li matulu d-data personali tkun ser tinħażen, jew jekk mhux possibbli, il-kriterji użati biex jiġi ddeterminat dak il-perijodu;
(e) l-eżistenza tad-dritt li jitlob mingħand il-kontrollur rettifika jew tħassir tad-data personali jew restrizzjoni tal-ipproċessar tad-data personali rigward is-suġġett tad-data jew li joġġezzjona għal tali pproċessar;
(f) id-dritt li jitressaq ilment quddiem awtorità superviżorja;
(g) fejn id-data personali ma tinġabarx mis-suġġett tad-data, kwalunkwe informazzjoni disponibbli rigward is-sors tagħhom;
(h) l-eżistenza ta’ teħid awtomatizzat ta’ deċiżjonijiet, inkluż it-tfassil ta’ profili, imsemmi fl-Artikolu 22(1) u (4) u, għall-inqas f’dawk il-każijiet, l-informazzjoni importanti dwar il-loġika involuta, kif ukoll is-sinifikat u l-konsegwenzi previsti ta’ tali pproċessar għas-suġġett tad-data.
2. Fejn id-data personali tkun trasferita lil pajjiż terz jew lil organizzazzjoni internazzjonali, is-suġġett tad-data għandu d-dritt li jiġi informat rigward is-salvagwardji adatti skont l-Artikolu 46 rigward it-trasferiment.
3. Il-kontrollur għandu jipprovdi kopja tad-data personali li tkun qiegħda tiġi pproċessata. Għal aktar kopji mitluba mis-suġġett tad-data, il-kontrollur jista’ jimponi tariffa raġonevoli bbażata fuq l-ispejjeż amministrattivi. Fejn is-suġġett tad-data jagħmel it-talba b’mezzi elettroniċi, u sakemm ma jkunx mitlub mod ieħor mis-suġġett tad-data, l-informazzjoni għandha tiġi pprovduta f’forma elettronika użata b’mod komuni.
4. Id-dritt li tinkiseb kopja msemmija fil-paragrafu 3 ma għandux jaffettwa b’mod negattiv id-drittijiet u l-libertajiet ta’ oħrajn.”
10 L-Artikolu 16 tal-GDPR, intitolat “Dritt għar-rettifika”, jipprovdi:
“Is-suġġett tad-data għandu d-dritt li jikseb mingħand il-kontrollur mingħajr dewmien żejjed ir-rettifika ta’ data personali li tikkonċerna lilu li ma tkunx eżatta. B’kont meħud tal-għanijiet tal-ipproċessar, is-suġġett tad-data għandu d-dritt li jikseb il-kompletezza tad-data personali mhux kompluta, inkluż billi jipprovdi dikjarazzjoni supplimentari.”
11 Skont l-Artikolu 17 tal-GDPR, intitolat “Dritt għal tħassir (‘dritt li wieħed jintesa’)”:
“1. Is-suġġett tad-data għandu d-dritt li jikseb mingħand il-kontrollur it-tħassir ta’ data personali dwaru mingħajr dewmien żejjed u l-kontrollur għandu l-obbligu li jħassar data personali mingħajr dewmien żejjed jekk tkun tapplika waħda minn dawn ir-raġunijiet li ġejjin:
(a) id-data personali ma tkunx għadha meħtieġa fir-rigward tal-għanijiet li għalihom tkun inġabret jew ġiet ipproċessata mod ieħor id-data;
(b) is-suġġett tad-data jirtira l-kunsens li fuqu huwa bbażat l-ipproċessar skont l-Artikolu 6(1)(a) jew l-Artikolu 9(2)(a) u fejn ma jkun hemm l-ebda raġuni legali għall-ipproċessar;
(c) is-suġġett tad-data joġġezzjona għall-ipproċessar skont l-Artikolu 21(1) u ma jkun hemm l-ebda raġuni leġittima prevalenti għall-ipproċessar, jew is-suġġett tad-data joġġezzjona għall-ipproċessar skont l-Artikolu 21(2);
(d) id-data personali tkun ġiet ipproċessata illegalment;
(e) id-data personali tkun trid titħassar biex ikun hemm konformità ma’ obbligu legali fil-liġi tal-Unjoni jew ta’ Stat Membru li għalih huwa soġġett il-kontrollur;
(f) id-data personali tkun inġabret fir-rigward tal-offerta ta’ servizzi tas-soċjetà tal-informazzjoni msemmija fl-Artikolu 8(1).
2. Fejn il-kontrollur ikun ippubblika d-data personali u jiġi obbligat skont il-paragrafu 1 li jħassar id-data personali, il-kontrollur, b’kont meħud tat-teknoloġija disponibbli u l-ispiża tal-implimentazzjoni, għandu jieħu passi raġonevoli, inklużi miżuri tekniċi, biex jinforma lill-kontrolluri li jkunu qegħdin jipproċessaw id-data personali, li s-suġġett tad-data talabhom iħassru kwalunkwe konnessjoni għal dik id-data personali, jew koppja jew replika tagħha.
[…]”
12 L-Artikolu 18 tal-GDPR, intitolat “Dritt għal restrizzjoni tal-ipproċessar”, jipprevedi fil-paragrafu 1 tiegħu:
“Is-suġġett tad-data għandu d-dritt li jikseb mingħand il-kontrollur ir-restrizzjoni tal-ipproċessar fejn tkun tapplika waħda minn dawn:
(a) is-suġġett tad-data jikkontesta l-eżattezza tad-data personali, għal perijodu li jippermetti li l-kontrollur jivverifika l-eżattezza tad-data personali;
(b) l-ipproċessar huwa illegali u s-suġġett tad-data jopponi t-tħassir tad-data personali u jitlob minflok ir-restrizzjoni tal-użu tagħha;
(c) il-kontrollur ma jkollux aktar bżonn tad-data personali għall-għanijiet tal-ipproċessar, iżda din tkun meħtieġa mis-suġġett tad-data għall-istabbiliment, l-eżerċizzju jew id-difiża ta’ talbiet legali;
(d) is-suġġett tad-data jkun oġġezzjona għall-ipproċessar skont l-Artikolu 21(1) sakemm jiġi vverifikat jekk il-kriterji leġittimi tal-kontrollur jegħlbux dawk tas-suġġett tad-data.
[…]”
13 L-Artikolu 19 tal-GDPR jipprovdi:
“Il-kontrollur għandu jikkomunika kwalunkwe rettifika jew tħassir ta’ data personali jew restrizzjoni tal-ipproċessar imwettqa f’konformità mal-Artikolu 16, l-Artikolu 17(1) u l-Artikolu 18 lil kull riċevitur li lilu tkun ġiet żvelata d-data personali, għajr jekk dan jirriżulta impossibbli jew ikun jinvolvi sforz sproporzjonat. Il-kontrollur għandu jinforma lis-suġġett tad-data dwar dawk ir-riċevituri jekk is-suġġett tad-data jitlob dan.”
14 Skont l-Artikolu 21 tal-GDPR, intitolat “Dritt ta’ oġġezzjoni”:
“1. Is-suġġett tad-data għandu d-dritt li joġġezzjona, għal raġunijiet relatati mas-sitwazzjoni partikolari tiegħu, fi kwalunkwe mument għall-ipproċessar ta’ data personali li tikkonċerna lilu li hija bbażata fuq il-punt (e) jew (f) tal-Artikolu 6(1), inkluż it-tfassil ta’ profili abbażi ta’ dawk id-dispożizzjonijiet. Il-kontrollur ma għandux jibqa’ jipproċessa d-data personali sakemm il-kontrollur ma jagħtix raġunijiet leġittimi konvinċenti għall-ipproċessar li jegħlbu l-interessi, id-drittijiet u l-libertajiet tas-suġġett tad-data jew għall-istabbiliment, l-eżerċizzju jew id-difiża ta’ talbiet legali.
2. Fejn tiġi pproċessata data personali għal għanijiet diretti ta’ kummerċjalizzazzjoni, is-suġġett tad-data għandu d-dritt li joġġezzjona fi kwalunkwe mument għall-ipproċessar tad-data personali li tikkonċernah għal tali kummerċjalizzazzjoni, li tinkludi t-tfassil tal-profili sa fejn huwa marbut ma’ tali kummerċjalizzazzjoni diretta.
3. Fejn is-suġġett tad-data joġġezzjona għall-ipproċessar għal għanijiet ta’ kummerċjalizzazzjoni diretta, id-data personali ma għandhiex tibqa’ tiġi pproċessata għal tali għanijiet.
4. Mhux aktar tard mill-mument tal-ewwel komunikazzjoni mas-suġġett tad-data, id-dritt imsemmi fil-paragrafi 1 u 2 għandu jinġieb għall-attenzjoni tas-suġġett tad-data b’mod espliċitu u għandu jiġi ppreżentat b’mod ċar u separatament minn kwalunkwe informazzjoni oħra.
5. Fil-kuntest tal-użu ta’ servizzi tas-soċjetà tal-informazzjoni, u minkejja d-[Direttiva 2002/58/KE tal-Parlament Ewropew u tal-Kunsill tat-12 ta’ Lulju 2002 dwar l-ipproċessar tad-data personali u l-protezzjoni tal-privatezza fis-settur tal-komunikazzjoni elettronika (Direttiva dwar il-privatezza u l-komunikazzjoni elettronika) (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 13, Vol. 29, p. 514)], is-suġġett tad-data jista’ jeżerċita d-dritt tiegħu li joġġezzjona b’mezzi awtomatizzati bl-użu ta’ speċifikazzjonijiet tekniċi.
6. Fejn tiġi pproċessata data personali għal finijiet ta’ riċerka xjentifika jew storika jew għal finijiet ta’ statistika skont l-Artikolu 89(1), is-suġġett tad-data, għal raġunijiet marbutin mas-sitwazzjoni partikolari tiegħu, għandu d-dritt li joġġezzjona għall-ipproċessar tad-data personali li tikkonċernah, sakemm l-ipproċessar ma jkunx neċessarju għall-prestazzjoni ta’ kompitu mwettaq għal raġunijiet ta’ interess pubbliku.”
15 L-Artikolu 79 tal-GDPR, intitolat “Dritt għal rimedju ġudizzjarju effettiv kontra kontrollur jew proċessur” jipprovdi fil-paragrafu 1 tiegħu:
“Mingħajr preġudizzju għal kwalunkwe rimedju amministrattiv jew mhux ġudizzjarju disponibbli, inkluż id-dritt li jitressaq ilment quddiem awtorità superviżorja skont l-Artikolu 77, kull suġġett tad-data għandu d-dritt għal rimedju ġudizzjarju effettiv fejn jikkunsidra li nkisru d-drittijiet tiegħu taħt dan ir-Regolament b’riżultat tal-ipproċessar tad-data personali tiegħu b’nuqqas ta’ konformità ma’ dan ir-Regolament.
[…]”
16 L-Artikolu 82 tal-GDPR, intitolat “Dritt għal kumpens u responsabbiltà”, jipprovdi fil-paragrafu 1 tiegħu:
“Kwalunkwe persuna li tkun ġarrbet xi dannu materjali jew mhux materjali b’riżultat ta’ ksur ta’ dan ir-Regolament għandu jkollha d-dritt li tirċievi kumpens mill-kontrollur jew il-proċessur għad-dannu mġarrab.”
Il‑kawża prinċipali u d-domanda preliminari
17 Fil‑15 ta’ Jannar 2019, RW talab lill-Österreichische Post sabiex ikollu aċċess, skont l-Artikolu 15 tal-GDPR, għad-data personali li tikkonċernah li hija maħżuna mill-Österreichische Post jew li din tal-aħħar kienet żammet fil-passat, kif ukoll, fil-każ ta’ żvelar ta’ din id-data lil terzi, għall-identità tar-riċevituri ta’ dan l-iżvelar.
18 Fir-risposta tagħha għal din it-talba, l-Österreichische Post iddikjarat li hija tuża data, sa fejn hija awtorizzata mil-liġi, fil-kuntest tal-attività tagħha ta’ editriċi ta’ direttorji telefoniċi u li hija tipprovdi din id-data personali lil imsieħba kummerċjali għal finijiet ta’ reklamar. Barra minn hekk, hija rreferiet għal sit internet għal iktar informazzjoni u li tikkonċerna finijiet oħra ta’ pproċessar tad-data. Hija ma kkomunikatx lil RW l-identità tar-riċevituri konkreti tad-data.
19 RW ħarrek lill-Österreichische Post quddiem il-qrati Awstrijaċi fejn talab li din tal-aħħar tiġi ordnata tipprovdilu, b’mod partikolari, l-identità tar-riċevitur jew tar-riċevituri tad-data personali tiegħu kkomunikata b’dan il-mod.
20 Matul il-proċedura quddiem il-qorti adita, l-Österreichische Post informat lil RW li d-data personali tiegħu kienet ġiet ipproċessata għal finijiet ta’ reklamar u li din kienet ġiet trażmessa lil klijenti, fosthom impriżi li jirreklamaw li huma attivi fis-settur tal-bejgħ bil-korrispondenza u tal-kummerċ fiżiku, impriżi informatiċi, edituri ta’ indirizzi u assoċjazzjonijiet bħal organizzazzjonijiet tal-karità, organizzazzjonijiet mhux governattivi (NGO) jew partiti politiċi.
21 Il-qrati tal-ewwel istanza u tal-appell ċaħdu t-talba ta’ RW, billi qiesu essenzjalment li, peress li l-Artikolu 15(1)(c) tal-GDPR jagħmel riferiment għar-“riċevituri jew il-kategoriji ta’ riċevituri”, din id-dispożizzjoni tagħti lill-kontrollur il-possibbiltà li sempliċement jiżvela lis-suġġett tad-data l-kategoriji ta’ riċevituri, mingħajr ma jkollu jindika b’mod partikolari r-riċevituri speċifiċi li lilhom ġiet żvelata d-data personali tiegħu.
22 RW ressaq appell għal reviżjoni quddiem l-Oberster Gerichtshof (il-Qorti Suprema, l-Awstrija), il-qorti tar-rinviju.
23 Din il-qorti tistaqsi dwar l-interpretazzjoni tal-Artikolu 15(1)(c) tal-GDPR, sa fejn il-formulazzjoni ta’ din id-dispożizzjoni ma tippermettix li jsir magħruf kjarament jekk din tagħtix lis-suġġett tad-data d-dritt li jkollu aċċess għall-informazzjoni dwar ir-riċevituri konkreti tad-data kkomunikata jew jekk il-kontrollur għandux għażla diskrezzjonali fir-rigward tal-mod li bih huwa għandu l-intenzjoni li jagħti segwitu għal talba għal aċċess għall-informazzjoni dwar ir-riċevituri.
24 Madankollu, l-imsemmija qorti tosserva li r-ratio legis tal-imsemmija dispożizzjoni pjuttost jimmilita favur l-interpretazzjoni li tgħid li huwa s-suġġett tad-data li għandu l-għażla li jitlob informazzjoni dwar il-kategoriji ta’ riċevituri jew dwar ir-riċevituri konkreti tad-data personali tiegħu. Fil-fehma tagħha, kull interpretazzjoni kuntrarja tippreġudika serjament l-effettività tar-rimedji ġudizzjarji li għandu s-suġġett tad-data sabiex jipproteġi d-data tiegħu. Fil-fatt, fil-każ fejn il-persuni responsabbli jkollhom l-għażla li jindikaw lill-persuni kkonċernati r-riċevituri konkreti jew il-kategoriji ta’ riċevituri biss, ikun hemm il-biża’ li, fil-prattika, ebda wieħed minnhom ma jipprovdi l-informazzjoni dwar ir-riċevituri konkreti.
25 Barra minn hekk, kuntrarjament għall-Artikolu 13(1)(e) u għall-Artikolu 14(1)(e) tal-GDPR, li jipprevedu obbligu għall-kontrollur li jipprovdi l-informazzjoni msemmija fihom, l-Artikolu 15(1) ta’ dan ir-regolament jagħmel enfasi fuq il-portata tad-dritt ta’ aċċess tas-suġġett tad-data, li jindika wkoll, skont il-qorti tar-rinviju, li s-suġġett tad-data għandu d-dritt li jagħżel bejn talba għal informazzjoni dwar ir-riċevituri konkreti jew dwar il-kategoriji ta’ riċevituri.
26 Fl-aħħar nett, il-qorti tar-rinviju żżid li d-dritt ta’ aċċess previst fl-Artikolu 15(1) tal-GDPR jirrigwarda mhux biss id-data personali attwalment ipproċessata iżda wkoll id-data kollha pproċessata fil-passat. F’dan ir-rigward, din tippreċiża li l-kunsiderazzjonijiet li jinsabu fis-sentenza tas‑7 ta’ Mejju 2009, Rijkeboer (C‑553/07, EU:C:2009:293), ibbażati fuq l-għan tad-dritt ta’ aċċess stabbilit fid-Direttiva 95/46, jistgħu jiġu trasposti għad-dritt ta’ aċċess imsemmi fl-Artikolu 15 tal-GDPR, u dan iktar u iktar meta mill-premessi 9 u 10 tagħha jista’ jiġi dedott li l-leġiżlatur tal-Unjoni ma riedx inaqqas il-livell ta’ protezzjoni meta mqabbel ma’ din id-direttiva.
27 F’dawn iċ-ċirkustanzi, l-Oberster Gerichtshof (il-Qorti Suprema) iddeċidiet li tissospendi l-proċedura quddiemha u li tagħmel lill-Qorti tal-Ġustizzja d-domanda preliminari li ġejja:
“L-Artikolu 15(1)(c) ta[l-GDPR] għandu jiġi interpretat fis-sens li d-dritt ta’ aċċess huwa limitat għall-informazzjoni dwar kategoriji ta’ riċevituri, jekk ir-riċevituri konkreti ma jkunux għadhom ġew stabbiliti fil-każ ta’ żvelar previst, iżda fejn id-dritt ta’ aċċess għandu imperattivament jestendi għar-riċevituri ta’ dan l-iżvelar, meta d-data tkun diġà ġiet żvelata?”
Fuq id‑domanda preliminari
28 Permezz tad-domanda preliminari tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 15(1)(c) tal-GDPR għandux jiġi interpretat fis-sens li d-dritt ta’ aċċess tas-suġġett tad-data għad-data personali li tikkonċernah, previst minn din id-dispożizzjoni, jimplikax, meta din id-data tkun ġiet ikkomunikata jew ser tiġi kkomunikata lil riċevituri, l-obbligu tal-kontrollur li jipprovdi lil dan is-suġġett l-identità konkreta ta’ dawn ir-riċevituri.
29 Qabel kollox, għandu jitfakkar li minn ġurisprudenza stabbilita jirriżulta li l-interpretazzjoni ta’ dispożizzjoni tad-dritt tal-Unjoni Ewropea teħtieġ li jittieħdu inkunsiderazzjoni mhux biss il-kliem tagħha, iżda wkoll il-kuntest tagħha kif ukoll l-għanijiet u l-finalità mfittxija mill-att li tagħmel parti minnu (sentenza tal‑15 ta’ Marzu 2022, Autorité des marchés financiers, C‑302/20, EU:C:2022:190, punt 63). Barra minn hekk, meta dispożizzjoni tad-dritt tal-Unjoni tkun tista’ tingħata diversi interpretazzjonijiet, jeħtieġ li din tingħata dik li tkun ta’ natura li tissalvagwardja l-effett utli tagħha (sentenza tas‑7 ta’ Marzu 2018, Cristal Union, C‑31/17, EU:C:2018:168, punt 41 u l-ġurisprudenza ċċitata).
30 Fir-rigward, qabel kollox, tal-formulazzjoni tal-Artikolu 15(1)(c) tal-GDPR, għandu jitfakkar li din id-dispożizzjoni tistabbilixxi li s-suġġett tad-data għandu d-dritt li jikseb mingħand il-kontrollur il-konferma li d-data personali li tikkonċernah hija jew ma hijiex ipproċessata u, meta din tkun ipproċessata, l-aċċess għad-data personali kif ukoll l-informazzjoni dwar ir-riċevituri jew il-kategoriji ta’ riċevituri li lilhom tkun ġiet jew ser tiġi kkomunikata din id-data personali.
31 F’dan ir-rigward, għandu jiġi rrilevat li l-kliem “riċevituri” u “kategoriji ta’ riċevituri” li jinsabu f’din id-dispożizzjoni jintużaw suċċessivament, mingħajr ma jkun possibbli li tiġi dedotta ordni ta’ prijorità bejn wieħed u ieħor.
32 Għalhekk, għandu jiġi kkonstatat li l-formulazzjoni tal-Artikolu 15(1)(c) tal-GDPR ma tippermettix li jiġi ddeterminat, b’mod inekwivoku, jekk is-suġġett tad-data għandux id-dritt li jiġi informat, meta d-data personali li tikkonċernah tkun ġiet ikkomunikata jew ser tkun ser tiġi kkomunikata, bl-identità konkreta tar-riċevituri tagħha.
33 Sussegwentement, fir-rigward tal-kuntest tal-Artikolu 15(1)(c) tal-GDPR, għandu jitfakkar, fl-ewwel lok, li l-premessa 63 ta’ dan ir-regolament tipprevedi li s-suġġett tad-data għandu jkollu d-dritt li jkun jaf u li tiġi kkomunikata lilu, b’mod partikolari, l-identità tar-riċevituri ta’ din id-data personali u ma tippreċiżax li dan id-dritt jista’ jiġi limitat biss għall-kategoriji ta’ riċevituri, kif irrileva l-Avukat Ġenerali fil-punt 23 tal-konklużjonijiet tiegħu.
34 Fit-tieni lok, għandu jitfakkar ukoll li, biex jiġi osservat id-dritt ta’ aċċess, kull ipproċessar tad-data personali ta’ persuni fiżiċi għandu josserva l-prinċipji stabbiliti fl-Artikolu 5 tal-GDPR (ara, f’dan is-sens, is-sentenza tas‑16 ta’ Jannar 2019, Deutsche Post, C‑496/17, EU:C:2019:26, punt 57).
35 Issa, fost dawn il-prinċipji hemm il-prinċipju ta’ trasparenza msemmi fl-Artikolu 5(1)(a) tal-GDPR, li jimplika, kif jirriżulta mill-premessa 39 ta’ dan ir-regolament, li s-suġġett tad-data għandu informazzjoni dwar kif id-data personali tiegħu hija pproċessata u li din l-informazzjoni tkun aċċessibbli u tinftiehem faċilment.
36 Fit-tielet lok, għandu jiġi rrilevat, kif enfasizza l-Avukat Ġenerali fil-punt 21 tal-konklużjonijiet tiegħu, li, b’differenza mill-Artikoli 13 u 14 tal-GDPR, li jistabbilixxu obbligu għall-kontrollur li jipprovdi lis-suġġett tad-data l-informazzjoni relatata mal-kategoriji ta’ riċevituri jew mar-riċevituri konkreti tad-data personali li tikkonċernaha meta din tal-aħħar tinġabar jew ma tinġabarx mingħand is-suġġett tad-data, l-Artikolu 15 tal-GDPR jipprevedi dritt ġenwin ta’ aċċess favur is-suġġett tad-data, b’tali mod li din tal-aħħar għandu jkollha l-għażla li tikseb jew l-informazzjoni dwar ir-riċevituri speċifiċi li lilhom ġiet jew ser tiġi kkomunikata d-data msemmija, meta dan ikun possibbli, jew l-informazzjoni dwar il-kategoriji ta’ riċevituri.
37 Fir-raba’ lok, il-Qorti tal-Ġustizzja diġà ddeċidiet li dan id-dritt ta’ aċċess għandu jippermetti lis-suġġett tad-data jivverifika mhux biss li d-data li tikkonċernah tkun korretta, iżda wkoll li din tkun ġiet ipproċessata legalment (ara, b’analoġija, is-sentenzi tas‑17 ta’ Lulju 2014, YS et, C‑141/12 u C‑372/12, EU:C:2014:2081, punt 44, kif ukoll tal‑20 ta’ Diċembru 2017, Nowak, C‑434/16, EU:C:2017:994, punt 57), b’mod partikolari li dawn ġew ikkomunikati lil riċevituri awtorizzati (ara, b’analoġija, is-sentenza tas‑7 ta’ Mejju 2009, Rijkeboer, C‑553/07, EU:C:2009:293, punt 49).
38 B’mod partikolari, dan id-dritt ta’ aċċess huwa neċessarju sabiex is-suġġett tad-data jkun jista’ jeżerċita, jekk ikun il-każ, id-dritt għal rettifika, id-dritt għal tħassir (id-“dritt li wieħed jintesa”) u d-dritt għal restrizzjoni tal-ipproċessar, mogħtija lilu, rispettivament, mill-Artikoli 16, 17 u 18 tal-GDPR. (ara, b’analoġija, is-sentenzi tas‑17 ta’ Lulju 2014, YS et, C‑141/12 u C‑372/12, EU:C:2014:2081, punt 44, kif ukoll tal‑20 ta’ Diċembru 2017, Nowak, C‑434/16, EU:C:2017:994, punt 57), kif ukoll id-dritt ta’ oppożizzjoni tiegħu għall-ipproċessar tad-data personali tiegħu, stabbilit fl-Artikolu 21 tal-GDPR, u d-dritt ta’ rikors tiegħu f’każ ta’ dannu mġarrab, stabbilit fl-Artikoli 79 u 82 tal-GDPR (ara, f’dan is-sens u b’analoġija, is-sentenza tas‑7 ta’ Mejju 2009, Rijkeboer, C‑553/07, EU:C:2009:293, punt 52).
39 B’hekk, sabiex tiżgura l-effett utli tad-drittijiet kollha msemmija fil-punt preċedenti ta’ din is-sentenza, is-suġġett tad-data għandu jkollu, b’mod partikolari, dritt li jiġi informat bl-identità tar-riċevituri konkreti fil-każ li d-data personali tiegħu tkun diġà ġiet ikkomunikata.
40 Tali interpretazzjoni hija kkonfermata, fil-ħames u l-aħħar lok, mill-qari tal-Artikolu 19 tal-GDPR li jipprevedi, fl-ewwel sentenza tiegħu, li l-kontrollur għandu jinnotifika, bħala prinċipju, lil kull riċevitur li lilu ġiet ikkomunikata d-data personali, kull rettifika jew kull tħassir ta’ data personali jew kull limitazzjoni fit-trattament u, fit-tieni sentenza tiegħu, li dan il-kontrollur għandu jipprovdi lis-suġġett tad-data informazzjoni dwar dawn ir-riċevituri jekk dan jagħmel talba f’dan is-sens.
41 Għalhekk, it-tieni sentenza tal-Artikolu 19 tal-GDPR tagħti espressament lis-suġġett tad-data d-dritt li jiġi informat bir-riċevituri konkreti tad-data li jikkonċernawh mill-kontrollur, fil-kuntest tal-obbligu li dan tal-aħħar għandu li jinforma lir-riċevituri kollha dwar l-eżerċizzju tad-drittijiet li dan is-suġġett għandu skont l-Artikolu 16, l-Artikolu 17(1) u l-Artikolu 18 tal-GDPR.
42 Mill-analiżi kuntestwali preċedenti jirriżulta li l-Artikolu 15(1)(c) tal-GDPR jikkostitwixxi waħda mid-dispożizzjonijiet intiżi biex tiġi ggarantita t-trasparenza tal-modalitajiet tal-ipproċessar tad-data personali fir-rigward tas-suġġett tad-data u jippermettilha, kif irrileva l-Avukat Ġenerali fil-punt 33 tal-konklużjonijiet tiegħu, teżerċita l-prerogattivi previsti b’mod partikolari fl-Artikoli 16 sa 19, 21, 79 u 82 tal-GDPR.
43 Għaldaqstant, għandu jitqies li l-informazzjoni pprovduta lis-suġġett tad-data abbażi tad-dritt ta’ aċċess previst fl-Artikolu 15(1)(c) tal-GDPR għandha tkun l-iktar eżatta possibbli. B’mod partikolari, dan id-dritt ta’ aċċess jimplika l-possibbiltà għas-suġġett tad-data li jikseb mingħand il-kontrollur l-informazzjoni dwar ir-riċevituri speċifiċi li lilhom tkun ġiet żvelata jew ser tiġi żvelata d-data jew, alternattivament, li jagħżel li jillimita ruħu li jitlob l-informazzjoni li tikkonċerna l-kategoriji ta’ riċevituri.
44 Fl-aħħar nett, fir-rigward tal-għan tal-GDPR, għandu jiġi rrilevat li dan ir-regolament huwa intiż, b’mod partikolari, kif jirriżulta mill-premessa 10 tiegħu, li jiżgura livell għoli ta’ protezzjoni tal-persuni fiżiċi fi ħdan l-Unjoni (sentenza tas-6 ta’ Ottubru 2020, La Quadrature du Net et, C‑511/18, C‑512/18 u C‑520/18, EU:C:2020:791, punt 207). F’dan ir-rigward, kif irrileva essenzjalment l-Avukat Ġenerali fil-punt 14 tal-konklużjonijiet tiegħu, il-qafas legali ġenerali maħluq mill-GDPR jimplimenta r-rekwiżiti li jirriżultaw mid-dritt fundamentali għall-protezzjoni tad-data personali protett mill-Artikolu 8 tal-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea, b’mod partikolari r-rekwiżiti espressament previsti fil-paragrafu 2 ta’ dan l-artikolu (ara, f’dan is-sens, is-sentenza tad‑9 ta’ Marzu 2017, Manni, C‑398/15, EU:C:2017:197, punt 40).
45 Għaldaqstant, dan l-għan jikkonferma l-interpretazzjoni tal-Artikolu 15(1) tal-GDPR li tinsab fil-punt 43 ta’ din is-sentenza.
46 Għaldaqstant, mill-għan tal-GDPR jirriżulta wkoll li s-suġġett tad-data għandu d-dritt li jikseb mingħand il-kontrollur informazzjoni dwar ir-riċevituri konkreti li lilhom ġiet ikkomunikata jew ser tiġi kkomunikata d-data personali li tikkonċernah.
47 Madankollu, fl-aħħar nett, għandu jiġi enfasizzat li, kif jirriżulta mill-premessa 4 tal-GDPR, id-dritt għall-protezzjoni tad-data personali ma huwiex dritt assolut. Fil-fatt, dan id-dritt għandu jitqies fid-dawl tal-funzjoni tiegħu fis-soċjetà u għandu jiġi bbilanċjat ma’ drittijiet fundamentali oħra, konformement mal-prinċipju ta’ proporzjonalità, kif affermat mill-ġdid il-Qorti tal-Ġustizzja, essenzjalment, fil-punt 172 tas-sentenza tas‑16 ta’ Lulju 2020, Facebook Ireland u Schrems (C‑311/18, EU:C:2020:559).
48 Għaldaqstant, jista’ jiġi aċċettat li, f’ċirkustanzi speċifiċi, ma jkunx possibbli li tiġi pprovduta informazzjoni dwar riċevituri konkreti. Għaldaqstant, id-dritt ta’ aċċess jista’ jkun limitat għall-informazzjoni dwar il-kategoriji ta’ riċevituri jekk ikun impossibbli li tiġi kkomunikata l-identità tar-riċevituri konkreti, b’mod partikolari meta dawn ikunu għadhom ma humiex magħrufa.
49 Barra minn hekk, għandu jitfakkar li, skont l-Artikolu 12(5)(b) tal-GDPR, il-kontrollur jista’, konformement mal-prinċipju ta’ responsabbiltà msemmi fl-Artikolu 5(2) ta’ dan ir-regolament kif ukoll fil-premessa 74 tiegħu, jirrifjuta li jilqa’ t-talbiet tas-suġġett tad-data meta dawn ikunu manifestament infondati jew eċċessivi, filwaqt li jiġi ppreċiżat li huwa dan l-istess kontrollur li għandu juri n-natura manifestament infondata jew eċċessiva tal-imsemmija talbiet.
50 F’dan il-każ, mit-talba għal deċiżjoni preliminari jirriżulta li l-Österreichische Post ċaħdet it-talba mressqa minn RW abbażi tal-Artikolu 15(1) tal-GDPR, intiża biex dan jipprovdilu l-identità tar-riċevituri li lilhom hija kienet ikkomunikata d-data personali li tikkonċernah. Hija l-qorti tar-rinviju li għandha tivverifika jekk, fid-dawl taċ-ċirkustanzi inkwistjoni fil-kawża prinċipali, l-Österreichische Post stabbilixxietx in-natura manifestament infondata jew eċċessiva ta’ din it-talba.
51 Fid-dawl tal-kunsiderazzjonijiet kollha preċedenti, ir-risposta għad-domanda preliminari għandha tkun li l-Artikolu 15(1)(c) tal-GDPR għandu jiġi interpretat fis-sens li d-dritt ta’ aċċess tas-suġġett tad-data għad-data personali li tikkonċernah, previst minn din id-dispożizzjoni, jimplika, meta din id-data tkun ġiet jew ser tiġi kkomunikata lil riċevituri, l-obbligu tal-kontrollur li jipprovdi lil dan is-suġġett l-identità stess ta’ dawn ir-riċevituri, sakemm ma jkunx impossibbli li dawn ir-riċevituri jiġu identifikati jew sakemm l-imsemmi kontrollur ma jurix li t-talbiet għal aċċess tas-suġġett tad-data huma manifestament infondati jew eċċessivi, fis-sens tal-Artikolu 12(5) tal-GDPR, f’liema każ dan jista’ jindika lil dan is-suġġett il-kategoriji tar-riċevituri inkwistjoni biss.
Fuq l‑ispejjeż
52 Peress li l-proċedura għandha, fir-rigward tal-partijiet fil-kawża prinċipali, in-natura ta’ kwistjoni mqajma quddiem il-qorti tar-rinviju, hija din il-qorti li tiddeċiedi fuq l-ispejjeż. L-ispejjeż sostnuti għas-sottomissjoni tal-osservazzjonijiet lill-Qorti tal-Ġustizzja, barra dawk tal-imsemmija partijiet, ma jistgħux jitħallsu lura.
Għal dawn il-motivi, Il-Qorti tal-Ġustizzja (L-Ewwel Awla) taqta’ u tiddeċiedi:
L-Artikolu 15(1)(c) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data),
għandu jiġi interpretat fis-sens li:
d-dritt ta’ aċċess tas-suġġett tad-data għad-data personali li tikkonċernah, previst minn din id-dispożizzjoni, jimplika, meta din id-data tkun ġiet jew ser tiġi kkomunikata lil riċevituri, l-obbligu tal-kontrollur li jipprovdi lil dan is-suġġett l-identità stess ta’ dawn ir-riċevituri, sakemm ma jkunx impossibbli li dawn ir-riċevituri jiġu identifikati jew sakemm l-imsemmi kontrollur ma jurix li t-talbiet għal aċċess tas-suġġett tad-data huma manifestament infondati jew eċċessivi, fis-sens tal-Artikolu 12(5) tar-Regolament 2016/679, f’liema każ dan jista’ jindika lil dan is-suġġett il-kategoriji tar-riċevituri inkwistjoni biss.
Firem