SENTENZA TAL-QORTI ĠENERALI (It-Tmien Awla Estiża)
26 ta’ April 2023 (*)
“Protezzjoni tad-data personali – Proċedura ta’ kumpens għad-danni tal-azzjonisti u tal-kredituri wara r-riżoluzzjoni ta’ istituzzjoni bankarja – Deċiżjoni tal-KEPD li tikkonstata l-ksur mis-SRB tal-obbligi tiegħu fir-rigward tal-ipproċessar ta’ data personali – Artikolu 15(1)(d) tar-Regolament (UE) 2018/1725 – Kunċett ta’ ‘data personali’ – Punt 1 tal-Artikolu 3 tar-Regolament 2018/1725 – Dritt ta’ aċċess għall-fajl”
Fil-Kawża T‑557/20,
Il-Bord Uniku ta’ Riżoluzzjoni (SRB), irrappreżentat minn H. Ehlers, M. Fernandez Ruperez, A. Lapresta Bienz, bħala aġenti, assistiti minn H.‑G. Kamann, M. Braun, F. Louis, u L. Hesse, avukati,
rikorrent,
vs
Il-Kontrollur Ewropew għall-Protezzjoni tad-Data (KEPD), irrappreżentat minn P. Candellier, X. Lareo u T. Zerdick, bħala aġenti,
konvenut,
IL-QORTI ĠENERALI (It-Tmien Awla Estiża),
komposta minn A. Kornezov, President, G. De Baere (Relatur), D. Petrlík, K. Kecsmár u S. Kingston, Imħallfin,
Reġistratur: I. Kurme, Amministratriċi,
wara li rat il-fażi bil-miktub tal-proċedura,
wara s-seduta tal‑1 ta’ Diċembru 2022,
tagħti l-preżenti
Sentenza
1 Permezz tar-rikors tiegħu bbażat fuq l-Artikolu 263 TFUE, il-Bord Uniku ta’ Riżoluzzjoni (SRB) jitlob, minn naħa, l-annullament tad-deċiżjoni rriveduta tal-Kontrollur Ewropew għall-Protezzjoni tad-Data (KEPD) tal‑24 ta’ Novembru 2020 adottata wara t-talba għal eżami mill-ġdid imressqa mis‑SRB tad-deċiżjoni tal-KEPD tal‑24 ta’ Ġunju 2020 dwar ħames ilmenti mressqa minn diversi persuni (Każijiet 2019–947, 2019–998, 2019–999, 2019–1000 u 2019–1122) (iktar ’il quddiem id-“deċiżjoni rriveduta”) u, min-naħa l-oħra, id-dikjarazzjoni ta’ illegalità tad-deċiżjoni tal-KEPD tal‑24 ta’ Ġunju 2020 (iktar ’il quddiem id-“deċiżjoni inizjali”).
Il‑fatti li wasslu għall‑kawża
2 Fis‑7 ta’ Ġunju 2017, is-sessjoni eżekuttiva tas-SRB adottat id-Deċiżjoni SRB/EES/2017/08, dwar skema ta’ riżoluzzjoni fir-rigward ta’ Banco Popular Español, SA (iktar ’il quddiem l-“iskema ta’ riżoluzzjoni”), abbażi tar-Regolament (UE) Nru 806/2014 tal-Parlament Ewropew u tal-Kunsill tal‑15 ta’ Lulju 2014 li jistabbilixxi regoli uniformi u proċedura uniformi għar-riżoluzzjoni tal-istituzzjonijiet ta’ kreditu u ċerti ditti tal-investiment fil-qafas ta’ Mekkaniżmu Uniku ta’ Riżoluzzjoni u Fond Uniku għar-Riżoluzzjoni u li jemenda r-Regolament (UE) Nru 1093/2010 (ĠU 2014, L 225, p. 1).
3 Fl-istess jum, il-Kummissjoni Ewropea adottat id-Deċiżjoni (UE) 2017/1246, li tapprova l-iskema ta’ riżoluzzjoni (ĠU 2017, L 178, p. 15).
4 Fl-iskema ta’ riżoluzzjoni, is-SRB, peress li qies li l-kundizzjonijiet previsti mill-Artikolu 18(1) tar-Regolament Nru 806/2014 kienu ssodisfatti, iddeċieda li jissuġġetta lil Banco Popular Español (iktar ’il quddiem “Banco Popular”) għal proċedura ta’ riżoluzzjoni. Is-SRB iddeċieda li jniżżel il-valur u li jikkonverti l-istrumenti kapitali ta’ Banco Popular skont l-Artikolu 21 tar-Regolament Nru 806/2014 u li japplika l-istrumenti ta’ bejgħ ta’ operat skont l-Artikolu 24 tar-Regolament Nru 806/2014 permezz tat-trasferiment tal-azzjonijiet lil xerrej.
5 Wara r-riżoluzzjoni ta’ Banco Popular, Deloitte ttrażmettiet lis-SRB, fl‑14 ta’ Ġunju 2018, il-valutazzjoni tad-differenza fit-trattament, prevista fl-Artikolu 20(16) sa (18) tar-Regolament Nru 806/2014, imwettqa sabiex jiġi ddeterminat jekk l-azzjonisti u l-kredituri kinux jibbenefikaw minn trattament aħjar li kieku Banco Popular kien is-suġġett ta’ proċedura normali ta’ insolvenza (iktar ’il quddiem il-“valutazzjoni 3”).
6 Fis‑6 ta’ Awwissu 2018, is-SRB ippubblika, fis-sit internet tiegħu, l-opinjoni tiegħu tat‑2 ta’ Awwissu 2018 dwar id-deċiżjoni preliminari tiegħu dwar in-neċessità li jingħata jew le kumpens għad-danni lill-azzjonisti u lill-kredituri li kienu s-suġġett ta’ azzjonijiet ta’ riżoluzzjoni fir-rigward ta’ Banco Popular u t-tnedija tal-proċedura tad-dritt għal smigħ (SRB/EES/2018/132) (iktar ’il quddiem id-“deċiżjoni preliminari”), kif ukoll verżjoni mhux kunfidenzjali tal-valutazzjoni 3. Fis‑7 ta’ Awwissu 2018, komunikazzjoni dwar l-opinjoni tas-SRB ġiet ippubblikata fil-Ġurnal Uffiċjali tal-Unjoni Ewropea (ĠU 2018, C 277 I, p. 1).
7 Fid-deċiżjoni preliminari, is-SRB indika li, sabiex ikun jista’ jieħu deċiżjoni finali dwar in-neċessità jew le li jingħataw lill-azzjonisti u lill-kredituri affettwati mir-riżoluzzjoni ta’ Banco Popular kumpens għad-danni skont l-Artikolu 76(1)(e) tar-Regolament Nru 806/2014, huwa talabhom jesprimu l-interess tagħhom li jeżerċitaw id-dritt għal smigħ tagħhom skont l-Artikolu 41(2)(a) tal-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea.
Fuq il‑proċedura dwar id‑dritt għal smigħ
8 Fid-deċiżjoni preliminari, is-SRB indika li l-proċedura dwar id-dritt għal smigħ kienet ser tiżvolġi f’żewġ fażijiet. Fl-ewwel fażi (iktar ’il quddiem il-“fażi ta’ reġistrazzjoni”), l-azzjonisti u l-kredituri affettwati kienu mistiedna jesprimu l-interess tagħhom li jeżerċitaw id-dritt għal smigħ tagħhom permezz ta’ formola ta’ reġistrazzjoni online, sal‑14 ta’ Settembru 2018. Sussegwentement, is-SRB kellu jivverifika jekk kull parti li kienet immanifestat l-interess tagħha kellhiex effettivament l-istatus ta’ azzjonist jew ta’ kreditur affettwat. Fit-tieni fażi (iktar ’il quddiem il-“fażi ta’ konsultazzjoni”), l-azzjonisti u l-kredituri affettwati li l-istatus tagħhom kien ġie vverifikat mis-SRB setgħu jippreżentaw il-kummenti tagħhom dwar id-deċiżjoni preliminari, li magħha kienet annessa l-valutazzjoni 3.
9 Matul il-fażi ta’ reġistrazzjoni, l-azzjonisti u l-kredituri affettwati li xtaqu jeżerċitaw id-dritt għal smigħ tagħhom kellhom jipprovdu lis-SRB id-dokumenti ta’ sostenn li jipprovaw li, fid-data tar-riżoluzzjoni, huma kienu jżommu strument kapitali wieħed jew iktar ta’ Banco Popular li kienu tniżżlu fil-valur jew ġew ikkonvertiti u ttrasferiti lil Banco Santander, SA fil-kuntest tar-riżoluzzjoni. Id-dokumenti ta’ sostenn li kellhom jiġu pprovduti kienu jinkludu dokument tal-identità u prova tal-proprjetà ta’ wieħed minn dawn l-istrumenti kapitali fis‑6 ta’ Ġunju 2017.
10 Fis‑6 ta’ Awwissu 2018, id-data ta’ ftuħ tal-fażi ta’ reġistrazzjoni, is-SRB ippubblika wkoll, fil-paġna internet ta’ reġistrazzjoni fil-proċedura dwar id-dritt għal smigħ u fis-sit internet tiegħu, dikjarazzjoni ta’ kunfidenzjalità dwar l-ipproċessar ta’ data personali fil-kuntest tal-proċedura dwar id-dritt għal smigħ (iktar ’il quddiem id-“dikjarazzjoni ta’ kunfidenzjalità”).
11 Fis‑16 ta’ Ottubru 2018, is-SRB ħabbar, fis-sit internet tiegħu, li, mis‑6 ta’ Novembru 2018, l-azzjonisti u l-kredituri eliġibbli kienu ser jiġu mistiedna jippreżentaw il-kummenti bil-miktub tagħhom dwar id-deċiżjoni preliminari matul il-fażi ta’ konsultazzjoni.
12 Fis‑6 ta’ Novembru 2018, permezz ta’ posta elettronika, is-SRB bagħat lill-azzjonisti u lill-kredituri eliġibbli link personali unika li kienet tippermettilhom jaċċedu għal formola fuq l-internet (iktar ’il quddiem il-“formola”). Il-formola kienet tinkludi seba’ mistoqsijiet, bi spazju għal tweġiba limitat, li kienet tippermetti lill-azzjonisti u lill-kredituri affettwati jippreżentaw, qabel is‑26 ta’ Novembru 2018, kummenti dwar id-deċiżjoni preliminari kif ukoll dwar il-verżjoni mhux kunfidenzjali tal-valutazzjoni 3.
13 Is-SRB eżamina l-kummenti rilevanti tal-azzjonisti u tal-kredituri affettwati dwar id-deċiżjoni preliminari. Huwa talab lil Deloitte, fil-kwalità tagħha ta’ evalwatur indipendenti, li tevalwa l-kummenti rilevanti dwar il-valutazzjoni 3, li tipprovdilu dokument li jinkludi l-evalwazzjoni tagħha u li teżamina jekk il-valutazzjoni 3 kinitx għadha valida fid-dawl ta’ dawn il-kummenti.
Fuq l‑ipproċessar ta’ data miġbura mis‑SRB fil‑kuntest tal‑proċedura dwar id‑dritt għal smigħ
14 Id-data miġbura matul il-fażi ta’ reġistrazzjoni, jiġifieri l-provi tal-identità tal-parteċipanti u tal-proprjetà ta’ strumenti kapitali ta’ Banco Popular li tniżżlu fil-valur jew li ġew ikkonvertiti u ttrasferiti, kienet aċċessibbli għal numru limitat ta’ membri tal-persunal tas-SRB inkarigati mill-ipproċessar ta’ din id-data sabiex tiġi ddeterminata l-eliġibbiltà tal-parteċipanti.
15 Din id-data ma kinitx viżibbli mill-membri tal-persunal tas-SRB inkarigati mill-ipproċessar tal-kummenti riċevuti matul il-fażi ta’ konsultazzjoni, li matulha dawn irċevew biss kummenti identifikati b’riferiment għal kodiċi alfanumeriku attribwit lil kull kumment ippreżentat permezz tal-formola. Il-kodiċi alfanumeriku kien jikkonsisti f’identifikatur uniku universali b’33 ċifra, iġġenerat b’mod każwali fil-mument tar-riċezzjoni tat-tweġibiet għall-formola.
16 Fl-ewwel stadju, is-SRB wettaq filtrazzjoni awtomatika ta’ 23 822 kumment, li kull wieħed minnhom kellu kodiċi alfanumeriku uniku, ippreżentati minn 2 855 parteċipant fil-proċedura. Żewġ algoritmi ppermettew li jiġu identifikati 20 101 kumment bħala identiċi. Il-kumment ippreżentat l-ewwel ġie kkunsidrat bħala l-kumment oriġinali, li ġie eżaminat matul il-fażi ta’ analiżi, u l-kummenti identiċi rċevuti sussegwentement ġew identifikati bħala duplikati.
17 Fit-tieni stadju, il-fażi ta’ analiżi, is-SRB eżamina l-kummenti bl-għan li tiġi żgurata koerenza fl-evalwazzjoni tar-rilevanza tagħhom u tal-kategorizzazzjoni jew tal-ġbir f’daqqa tagħhom f’temi ddefiniti. Għalhekk, is-SRB identifika l-kummenti simili, iżda mhux identiċi, li kienu bbażati fuq l-istess sorsi disponibbli fuq l-internet.
18 Il-persunal tas-SRB inkarigat mill-analiżi tal-kummenti la kellu aċċess għad-data miġbura matul il-fażi ta’ reġistrazzjoni, b’tali mod li dawn il-kummenti kienu separati mill-informazzjoni personali dwar il-persuni li kienu ppreżentawhom, u lanqas aċċess għal data jew għal informazzjoni li tippermetti li tinstab l-identità ta’ parteċipant b’riferiment għall-kodiċi alfanumeriku uniku allokat għal kull kumment.
19 Matul din il-fażi ta’ analiżi, is-SRB qabbel il-kummenti ppreżentati kollha u kklassifikahom skont il-mistoqsija tal-formola li kienu wieġbu għaliha. Sussegwentement, il-kummenti ġew evalwati skont ir-rilevanza tagħhom u maqsuma bejn, minn naħa, dawk li jaqgħu fil-kamp ta’ applikazzjoni tal-proċedura dwar id-dritt għal smigħ sa fejn setgħu jkollhom influwenza fuq id-deċiżjoni preliminari jew fuq il-valutazzjoni 3 u, min-naħa l-oħra, dawk li ma kinux jaqgħu taħtu sa fejn kienu jikkonċernaw aspetti oħra tar-riżoluzzjoni ta’ Banco Popular.
20 Kumment li jaqa’ fil-kamp ta’ applikazzjoni tal-proċedura kien sussegwentement assenjat lil waħda mill-ħmistax-il tema predefiniti mis-SRB. Skont it-tema li kienu jaqgħu taħtha, il-kummenti ġew maqsuma bejn dawk li kellhom jiġu eżaminati mis-SRB sa fejn kienu jikkonċernaw id-deċiżjoni preliminari u dawk li kellhom jiġu eżaminati minn Deloitte sa fejn kienu jikkonċernaw il-valutazzjoni 3. Is-SRB ma għamilx distinzjoni, fost il-kummenti li kellhom jiġu eżaminati, bejn dawk li kienu ġew ippreżentati darba waħda u dawk li kienu duplikati.
21 Fi tmiem il-fażi ta’ analiżi, is-SRB identifika 3 730 kumment ikklassifikati skont ir-rilevanza tagħhom u t-tema tagħhom.
22 Fit-tielet stadju, il-fażi ta’ eżami, il-kummenti dwar id-deċiżjoni preliminari ġew ittrattati mis-SRB u dawk relatati mal-valutazzjoni 3, jiġifieri 1 104 kumment, ġew ittrasferiti lil Deloitte, fis‑17 ta’ Ġunju 2019, permezz ta’ server virtwali ta’ data sigur u li jintuża esklużivament mis-SRB. Is-SRB tella’ l-fajls li kellhom jiġu kkomunikati lil Deloitte fuq is-server virtwali u ta aċċess għal dawn il-fajls lil numru limitat u kkontrollat ta’ membri tal-persunal ta’ Deloitte involuti direttament f’dan il-proġett.
23 Il-kummenti ttrasferiti lil Deloitte kienu ġew iffiltrati, ikkategorizzati u aggregati. Meta kienu jikkostitwixxu kopji ta’ kummenti preċedenti, verżjoni waħda biss ġiet trażmessa lil Deloitte, b’tali mod li l-kummenti individwali li kienu ġew irreplikati ma setgħux jiġu distinti fi ħdan l-istess tema u Deloitte ma kellhiex il-possibbiltà li tkun taf jekk kienx ġie fformulat kumment minn parteċipant wieħed jew iktar fil-proċedura.
24 Il-kummenti ttrasferiti lil Deloitte kienu jikkonċernaw biss dawk irċevuti matul il-fażi ta’ konsultazzjoni u kienu jirrigwardaw kodiċi alfanumeriku. Permezz ta’ dan il-kodiċi, is-SRB kien l-uniku li seta’ jgħaqqad il-kummenti mad-data rċevuta matul il-fażi ta’ reġistrazzjoni. Il-kodiċi alfanumeriku kien ġie żviluppat għal finijiet ta’ awditu sabiex ikun jista’ jiġi vverifikat u possibbilment jintwera a posteriori li kull kumment kien ġie pproċessat u debitament ikkunsidrat. Deloitte ma kellhiex u għad ma għandhiex aċċess għad-database miġbura fil-fażi ta’ reġistrazzjoni.
Fuq il‑proċedura quddiem il‑KEPD
25 Fid‑19, fis‑26 u fit‑28 ta’ Ottubru kif ukoll fil‑5 ta’ Diċembru 2019, azzjonisti u kredituri affettwati li wieġbu għall-formola ttrażmettew lill-KEPD ħames ilmenti (Każijiet 2019–947, 2019–998, 2019–999, 2019–1000 u 2019–1122) (iktar ’il quddiem il-“ħames ilmenti”) skont ir-Regolament (UE) 2018/1725 tal-Parlament Ewropew u tal-Kunsill tat‑23 ta’ Ottubru 2018 dwar il-protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali mill-istituzzjonijiet, korpi, uffiċċji u aġenziji tal-Unjoni u dwar il-moviment liberu ta’ tali data, u li jħassar ir-Regolament (KE) Nru 45/2001 u d-Deċiżjoni 1247/2002/KE (ĠU 2018, L 295, p. 39).
26 L-awturi tal-ħames ilmenti (iktar ’il quddiem il-“persuni li ressqu l-ilmenti”) invokaw il-fatt li s-SRB ma kienx informahom li d-data miġbura permezz tat-tweġibiet għall-formola kienet ser tiġi trażmessa lil terzi, jiġifieri Deloitte u Banco Santander, bi ksur tat-termini tad-dikjarazzjoni ta’ kunfidenzjalità. Huma allegaw li s-SRB kien, minħabba dan il-fatt, kiser l-Artikolu 15(1)(d) tar-Regolament 2018/1725, li jipprovdi li, “[m]eta data personali relatata ma’ suġġett tad-data tinġabar mingħand is-suġġett tad-data, il-kontrollur, fil-ħin li tinkiseb id-data personali, għandu jipprovdi l-informazzjoni […] lis-suġġett tad-data [li tikkonċerna] ir-riċevituri jew il-kategoriji ta’ riċevituri tad-data personali, jekk jeżistu”.
27 Fit‑12 ta’ Diċembru 2019, il-KEPD informa lis-SRB li kien irċieva l-ħames ilmenti u talbu jippreżenta osservazzjonijiet.
28 Fl‑24 ta’ Ġunju 2020, fi tmiem proċedura li matulha s-SRB ipprovda diversi spjegazzjonijiet għat-talba tal-KEPD u l-persuni li ressqu l-ilmenti pproduċew osservazzjonijiet, il-KEPD adotta d-deċiżjoni inizjali. Il-KEPD qies li s-SRB kien kiser l-Artikolu 15 tar-Regolament 2018/1725 sa fejn ma kienx informa lill-persuni li ressqu l-ilmenti, fid-dikjarazzjoni ta’ kunfidenzjalità, bil-possibbiltà li d-data personali tagħhom tiġi kkomunikata lil Deloitte. Konsegwentement, huwa ċanfar is-SRB għal dan il-ksur skont l-Artikolu 58(2)(b) tar-Regolament 2018/1725.
29 Fit‑22 ta’ Lulju 2020, is-SRB talab lill-KEPD jeżamina mill-ġdid id-deċiżjoni inizjali skont l-Artikolu 18(1) tad-Deċiżjoni tal-KEPD tal‑15 ta’ Mejju 2020 li tadotta r-Regoli ta’ Proċedura tal-EDPS [KEPD] (ĠU 2020, L 204, p. 49). B’mod partikolari, is-SRB ipprovda deskrizzjoni ddettaljata tal-proċedura dwar id-dritt għal smigħ u tal-analiżi tal-kummenti ppreżentati, matul il-fażi ta’ konsultazzjoni, minn erbgħa mill-persuni li ressqu l-ilmenti identifikati. Huwa sostna li l-informazzjoni trażmessa lil Deloitte ma kinitx tikkostitwixxi data personali fis-sens tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725.
30 Fil‑5 ta’ Awwissu 2020, il-KEPD informa lis-SRB li, fid-dawl tal-elementi ġodda pprovduti, huwa kien iddeċieda li jeżamina mill-ġdid id-deċiżjoni inizjali u li kien ser jadotta deċiżjoni li tissostitwixxiha.
31 Fl‑24 ta’ Novembru 2020, fi tmiem il-proċedura ta’ reviżjoni, li matulha l-persuni li ressqu l-ilmenti ppreżentaw osservazzjonijiet u s-SRB ipprovda informazzjoni addizzjonali fuq it-talba tal-KEPD, dan tal-aħħar adotta d-deċiżjoni rriveduta.
32 Il-KEPD iddeċieda li jirrevedi d-deċiżjoni inizjali kif ġej:
“1. Il-KEPD iqis li d-data li s-SRB ikkondivida ma’ Deloitte kienet data psewdonimizzata, kemm minħabba li l-kummenti tal-fażi [ta’ konsultazzjoni] kienu data personali kif ukoll minħabba li s-SRB ikkondivida l-kodiċi alfanumeriku li jippermetti l-konnessjoni tat-tweġibiet riċevuti matul il-fażi [ta’ reġistrazzjoni] ma’ dawk tal-fażi [ta’ konsultazzjoni], minkejja li d-data pprovduta mill-parteċipanti għall-identifikazzjoni tagħhom matul il-fażi [ta’ reġistrazzjoni] ma kinitx ġiet ikkomunikata lil Deloitte.
2. Il-KEPD iqis li Deloitte kienet destinatarja ta’ data personali tal-persuni li ressqu l-ilmenti fis-sens tal-punt 13 tal-Artikolu 3 tar-Regolament 2018/1725. Il-fatt li Deloitte ma ssemmietx fid-dikjarazzjoni ta’ kunfidenzjalità tas-SRB bħala destinatarja potenzjali tad-data personali miġbura u pproċessata mis-SRB, fil-kwalità tiegħu ta’ kontrollur tal-ipproċessar fil-kuntest tal-proċedura dwar id-dritt għal smigħ, jikkostitwixxi ksur tal-obbligu ta’ informazzjoni previst fl-Artikolu 15(1)(d) [tar-Regolament 2018/1725].
3. Fid-dawl tal-miżuri tekniċi u organizzattivi kollha stabbiliti mis-SRB biex jittaffew ir-riskji għad-dritt tal-persuni għall-protezzjoni tad-data fil-kuntest tal-proċedura dwar id-dritt għal smigħ, il-KEPD jiddeċiedi li ma jeżerċitax is-setgħa tiegħu li jadotta miżuri korrettivi prevista fl-Artikolu 58(2) [tar-Regolament 2018/1725].
4. Madankollu, il-KEPD jirrakkomanda lis-SRB jiżgura ruħu li d-dikjarazzjonijiet ta’ kunfidenzjalità tiegħu fi proċeduri futuri dwar id-dritt għal smigħ ikopru l-ipproċessar ta’ data personali kemm matul il-fażi ta’ reġistrazzjoni kif ukoll matul il-fażi ta’ konsultazzjoni u li jinkludu d-destinatarji potenzjali kollha tal-informazzjoni miġbura, sabiex ikun hemm osservanza sħiħa mal-obbligu li s-suġġetti tad-data jiġu infurmati konformement mal-Artikolu 15 [tar-Regolament 2018/1725].”
It‑talbiet tal‑partijiet
33 Is-SRB jitlob, wara adattament tat-talbiet tiegħu, li l-Qorti Ġenerali jogħġobha:
– tannulla d-deċiżjoni rriveduta;
– tiddikjara d-deċiżjoni inizjali bħala illegali;
– tikkundanna lill-KEPD għall-ispejjeż.
34 Il-KEPD jitlob li l-Qorti Ġenerali jogħġobha:
– tiċħad ir-rikors;
– tikkundanna lis-SRB għall-ispejjeż.
Id‑dritt
Fuq it‑tieni kap tat‑talbiet, intiż sabiex il‑Qorti Ġenerali “tiddikjara d‑deċiżjoni inizjali bħala illegali”
35 F’dan il-każ, huwa paċifiku bejn il-partijiet li d-deċiżjoni rriveduta ħassret u ssostitwixxiet id-deċiżjoni inizjali.
36 Il-KEPD isostni li, minħabba f’hekk, il-kap tat-talbiet li jirrigwarda d-deċiżjoni inizjali huwa inammissibbli.
37 Is-SRB isostni li huwa jżomm interess li jiġu kkonstatati l-irregolaritajiet proċedurali li wasslu għall-adozzjoni tad-deċiżjoni inizjali, jiġifieri l-ksur tad-drittijiet tad-difiża tiegħu u tad-dritt tiegħu ta’ aċċess għall-fajl, sabiex dawn ma jirriproduċux ruħhom fi proċeduri futuri. Huwa ppreċiża, fit-tweġiba tiegħu għal miżura ta’ organizzazzjoni tal-proċedura, li, permezz tat-tieni kap tat-talbiet tiegħu, huwa ma kienx qiegħed jitlob l-annullament tad-deċiżjoni inizjali, peress li din kienet tħassret u ġiet issostitwita bid-deċiżjoni rriveduta b’effett ex tunc, iżda li tiġi ddikjarata illegali.
38 Għaldaqstant, għandu jitqies li, permezz tat-tieni kap tat-talbiet tiegħu, is-SRB ifittex li jikseb sentenza dikjaratorja u mhux l-annullament ta’ att.
39 Issa, għandu jitfakkar li minn ġurisprudenza stabbilita jirriżulta li l-Qorti Ġenerali ma għandhiex ġurisdizzjoni, fil-kuntest tal-istħarriġ tal-legalità bbażat fuq l-Artikolu 263 TFUE, sabiex tagħti sentenzi dikjaratorji (ara s-sentenzi tal‑4 ta’ Frar 2009, Omya vs Il‑Kummissjoni, T‑145/06, EU:T:2009:27, punt 23 u l-ġurisprudenza ċċitata, u tat‑13 ta’ Settembru 2018, DenizBank vs Il‑Kunsill, T‑798/14, EU:T:2018:546, punt 135 u l-ġurisprudenza ċċitata).
40 Isegwi li t-tieni kap tat-talbiet tas-SRB, intiż sabiex il-Qorti Ġenerali “tiddikjara d-deċiżjoni inizjali bħala illegali”, għandu jiġi miċħud minħabba n-nuqqas ta’ ġurisdizzjoni tal-Qorti Ġenerali sabiex tieħu konjizzjoni tiegħu.
Fuq l‑ammissibbiltà tal‑ewwel kap tat‑talbiet, intiż għall‑annullament tad‑deċiżjoni rriveduta
41 L-ammissibbiltà tar-rikors taqa’ taħt l-eċċezzjonijiet ta’ inammissibbiltà ta’ ordni pubbliku, li jistgħu, f’kull mument, jiġu rrilevati ex officio mill-qorti tal-Unjoni Ewropea (ara s-sentenza tas‑16 ta’ Marzu 2022, MEKH u FGSZ vs ACER, T‑684/19 u T‑704/19, EU:T:2022:138, punt 29 u l-ġurisprudenza ċċitata; ara wkoll, f’dan is-sens, is-sentenza tal‑24 ta’ Marzu 1993, CIRFS et vs Il‑Kummissjoni, C‑313/90, EU:C:1993:111, punt 23). Fil-kuntest ta’ miżura ta’ organizzazzjoni tal-proċedura, il-Qorti Ġenerali għamlet mistoqsijiet lill-partijiet, b’mod partikolari, dwar il-kwistjoni jekk id-deċiżjoni rriveduta kinitx tikkostitwixxi att li jista’ jiġi kkontestat skont l-Artikolu 263 TFUE.
42 Bi tweġiba għal din il-mistoqsija, il-KEPD jindika li l-fatt li d-deċiżjoni rriveduta tinkludi l-pożizzjoni finali tiegħu u konstatazzjoni ta’ ksur ma huwiex biżżejjed sabiex din tikkostitwixxi att li jista’ jiġi kkontestat. Huwa neċessarju li din il-pożizzjoni twassal għal bidla fis-sitwazzjoni legali tas-SRB. Peress li l-KEPD ma għamilx użu, fid-deċiżjoni rriveduta, mis-setgħat korrettivi tiegħu previsti fl-Artikolu 58 tar-Regolament 2018/1725, din tista’ titqies bħala li ma tipproduċix effetti legali għall-finijiet tal-istħarriġ ġudizzjarju skont l-Artikolu 263 TFUE.
43 Fit-tweġiba tiegħu għal din l-istess mistoqsija, is-SRB isostni li d-deċiżjoni rriveduta tipproduċi effetti legali li jistgħu jaffettwaw l-interessi tiegħu.
44 Mill-ġurisprudenza jirriżulta li, skont ir-raba’ paragrafu tal-Artikolu 263 TFUE, jistgħu jiġu kkontestati minn persuna fiżika jew ġuridika unikament l-atti li jipproduċu effetti legali obbligatorji ta’ natura li jaffettwaw l-interessi tagħha, billi jibdlu b’mod sinjifikattiv is-sitwazzjoni legali tagħha. Għalhekk, fil-prinċipju jikkostitwixxu atti li jistgħu jiġu kkontestati l-miżuri li jistabbilixxu b’mod definittiv il-pożizzjoni ta’ istituzzjoni, ta’ korp jew ta’ organu tal-Unjoni fi tmiem proċedura amministrattiva u li jkunu intiżi biex jipproduċu effetti legali obbligatorji ta’ natura li jaffettwaw l-interessi tar-rikorrent, minbarra miżuri intermedjarji li l-għan tagħhom huwa li jippreparaw id-deċiżjoni finali, u li ma għandhomx tali effetti (ara s-sentenzi tal‑25 ta’ Ġunju 2020, CSUE vs KF, C‑14/19 P, EU:C:2020:492, punti 69 u 70 u l-ġurisprudenza ċċitata, u tas‑6 ta’ Mejju 2021, ABLV Bank et vs BĊE, C‑551/19 P u C‑552/19 P, EU:C:2021:369, punt 39 u l-ġurisprudenza ċċitata).
45 Sabiex jiġi ddeterminat jekk l-att ikkontestat jipproduċix tali effetti, għandu jsir riferiment għas-sustanza ta’ dan l-att u għandhom jiġu evalwati dawn l-effetti fid-dawl ta’ kriterji oġġettivi, bħall-kontenut tal-imsemmi att, billi jittieħdu inkunsiderazzjoni, skont il-każ, il-kuntest tal-adozzjoni ta’ dan tal-aħħar kif ukoll is-setgħat tal-istituzzjoni, tal-korp jew tal-organu tal-Unjoni li huwa l-awtur tiegħu. (ara s-sentenzi tat‑22 ta’ April 2021, thyssenkrupp Electrical Steel u thyssenkrupp Electrical Steel Ugo vs Il‑Kummissjoni, C‑572/18 P, EU:C:2021:317, punt 48 u l-ġurisprudenza ċċitata; tas‑6 ta’ Mejju 2021, ABLV Bank et vs BĊE, C‑551/19 P u C‑552/19 P, EU:C:2021:369, punt 41 u l-ġurisprudenza ċċitata, u tas‑6 ta’ Ottubru 2021, Tognoli et vs Il‑Parlament, C‑431/20 P, EU:C:2021:807, punt 34 u l-ġurisprudenza ċċitata).
46 Fl-ewwel lok, għandu jitfakkar li d-deċiżjoni rriveduta ġiet adottata mill-KEPD wara talba tas-SRB għal reviżjoni tad-deċiżjoni inizjali. Id-deċiżjoni rriveduta, adottata wara proċedura amministrattiva kontradittorja, tħassar u tissostitwixxi d-deċiżjoni inizjali u tikkostitwixxi deċiżjoni li tistabbilixxi b’mod definittiv il-pożizzjoni tal-KEPD fir-rigward tal-ħames ilmenti.
47 Issa, l-Artikolu 64(2) tar-Regolament 2018/1725, dwar id-dritt għal rimedju ġudizzjarju effettiv, jipprevedi li d-deċiżjonijiet tal-KEPD jistgħu jkunu s-suġġett ta’ rikors quddiem il-Qorti tal-Ġustizzja tal-Unjoni Ewropea.
48 B’mod partikolari, l-Artikolu 18 tar-Regoli tal-Proċedura tal-KEPD, li abbażi tiegħu ġiet adottata d-deċiżjoni rriveduta, jipprovdi b’mod partikolari fil-paragrafu 3 tiegħu:
“Meta, wara talba għal reviżjoni tad-deċiżjoni tiegħu dwar ilment, il-KEPD jagħti deċiżjoni rriveduta ġdida, huwa għandu jinforma lill-persuna li ressqet l-ilment u lill-istituzzjoni kkonċernata li huma jistgħu jikkontestaw din id-deċiżjoni l-ġdida quddiem il-Qorti tal-Ġustizzja tal-Unjoni Ewropea konformement mal-Artikolu 263 [TFUE].”
49 F’dan ir-rigward, fl-ittra ta’ akkumpanjament tad-deċiżjoni rriveduta mibgħuta lis-SRB, huwa indikat dan li ġej:
“Jekk jogħġbok innota li din id-deċiżjoni tannulla u tissostitwixxi d-deċiżjoni adottata fl‑24 ta’ Ġunju 2020. Inti tista’ tippreżenta rikors għal annullament kontra din id-deċiżjoni quddiem il-Qorti tal-Ġustizzja tal-Unjoni Ewropea, f’terminu ta’ xahrejn mill-adozzjoni ta’ din id-deċiżjoni u skont il-kundizzjonijiet previsti fl-Artikolu 263 [TFUE]”
50 Fit-tieni lok, fir-rigward tas-sustanza tad-deċiżjoni rriveduta, għandu jitfakkar, minn naħa, li l-KEPD ikkonkluda li s-SRB kien wettaq ksur tal-obbligu ta’ informazzjoni previst fl-Artikolu 15(1)(d) tar-Regolament 2018/1725 u, min-naħa l-oħra, li rrakkomandalu, essenzjalment, li jiżgura ruħu, fid-dikjarazzjonijiet ta’ kunfidenzjalità futuri tiegħu, li ma jirriproduċix tali ksur.
51 Minn naħa, għandu jiġi rrilevat li, skont l-Artikolu 65 tar-Regolament 2018/1725, tali ksur jista’ jagħti lok għar-responsabbiltà tas-SRB, bħala responsabbli mill-ipproċessar tad-data kkonċernata, bla ħsara għall-osservanza tal-kundizzjonijiet l-oħra previsti mit-Trattati.
52 Min-naħa l-oħra, skont l-Artikolu 66(1) tar-Regolament 2018/1725, il-KEPD, sabiex jiddeċiedi jekk hemmx lok li tiġi imposta multa amministrattiva fuq istituzzjoni jew fuq korp tal-Unjoni u sabiex jiddeċiedi dwar l-ammont ta’ din il-multa, jieħu inkunsiderazzjoni, b’mod partikolari, kull ksur simili mwettaq preċedentement minn din l-istituzzjoni jew minn dan il-korp. Għalhekk, jekk is-SRB ma kellux isegwi r-rakkomandazzjoni tal-KEPD li fil-futur jemenda d-dikjarazzjonijiet ta’ kunfidenzjalità tiegħu fil-proċeduri dwar id-dritt għal smigħ, ikun jista’ jiġi kkonstatat ksur simili tal-Artikolu 15(1)(d) tar-Regolament 2018/1725 mis-SRB u jwassal għall-impożizzjoni ta’ multa.
53 Isegwi li l-konstatazzjoni, fid-deċiżjoni rriveduta, tal-ksur mis-SRB tal-Artikolu 15(1)(d) tar-Regolament 2018/1725 tipproduċi effetti legali obbligatorji, minkejja li l-KEPD indika li huwa kien qiegħed jirrinunzja milli jeżerċita s-setgħa tiegħu li jadotta miżuri korrettivi prevista fl-Artikolu 58(2) tar-Regolament 2018/1725.
54 Fid-dawl ta’ dak li ntqal iktar ’il fuq, id-deċiżjoni rriveduta hija att tal-Unjoni ta’ natura li jaffettwa l-interessi tad-destinatarju tiegħu, billi tbiddel b’mod sinjifikattiv is-sitwazzjoni legali tiegħu. Għaldaqstant hija tikkostitwixxi att li jista’ jiġi kkontestat fis-sens tal-Artikolu 263 TFUE.
55 Għaldaqstant, hemm lok li jiġi kkunsidrat li l-ewwel kap tat-talbiet intiż għall-annullament tad-deċiżjoni rriveduta huwa ammissibbli.
Fuq il‑mertu
56 Insostenn tar-rikors tiegħu, is-SRB iqajjem żewġ motivi. L-ewwel motiv huwa bbażat fuq ksur tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725 sa fejn l-informazzjoni trażmessa lil Deloitte ma kinitx tikkostitwixxi data personali. It-tieni motiv huwa bbażat fuq il-ksur tad-dritt għal amministrazzjoni tajba stabbilit fl-Artikolu 41 tal-Karta tad-Drittijiet Fundamentali.
57 Permezz tal-ewwel motiv, is-SRB isostni li l-KEPD kiser il-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725 meta qies, fid-deċiżjoni rriveduta, li l-informazzjoni trażmessa lil Deloitte kienet tikkostitwixxi data personali tal-persuni li ressqu l-ilmenti.
58 Il-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725 jiddefinixxi d-data personali bħala “tfisser kwalunkwe informazzjoni relatata ma’ persuna fiżika identifikata jew identifikabbli [u indikata bħala] persuna fiżika identifikabbli hija persuna li tista’ tiġi identifikata, direttament jew indirettament, b’mod partikolari b’referenza għal mezz ta’ identifikazzjoni bħal isem, numru ta’ identifikazzjoni, data ta’ lokalizzazzjoni, identifikatur online jew għal fattur wieħed jew aktar speċifiċi għall-identità fiżika, fiżjoloġika, ġenetika, mentali, ekonomika, kulturali jew soċjali ta’ dik il-persuna fiżika”.
59 Minn din id-definizzjoni jirriżulta li informazzjoni tikkostitwixxi data personali, b’mod partikolari, jekk jiġu ssodisfatti żewġ kundizzjonijiet kumulattivi, jiġifieri, minn naħa, li din l-informazzjoni “tkun relatata” ma’ persuna fiżika u, min-naħa l-oħra, li din il-persuna tkun “identifikata jew identifikabbli”.
Fuq il-kundizzjoni prevista fil-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725 li l-informazzjoni “tkun relatata” ma’ persuna fiżika
60 Is-SRB isostni li l-kummenti rċevuti matul il-fażi ta’ konsultazzjoni u kkomunikati lil Deloitte ma kinux jirrigwardaw persuni speċifiċi fis-sens tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725. Huwa jqis li r-raġunament segwit fis-sentenza tal‑20 ta’ Diċembru 2017, Nowak (C‑434/16, EU:C:2017:994), ma japplikax għall-kummenti tal-persuni li ressqu l-ilmenti. Huwa jsostni li l-informazzjoni li tinsab fil-kummenti tal-persuni li ressqu l-ilmenti kienet informazzjoni fattwali u legali indipendenti mill-persuni jew mill-kwalitajiet personali tal-persuni li ressqu l-ilmenti u mhux relatata mal-ħajja privata tagħhom. Huwa jqis li l-għan tal-proċedura dwar id-dritt għal smigħ kien li jiġu evalwati argumenti ta’ fatt u ta’ liġi dwar id-deċiżjoni preliminari u l-valutazzjoni 3 minn numru kbir ta’ partijiet ikkonċernati, li l-personalità u l-identità tagħhom ma kinux rilevanti sabiex jiġu evalwati l-kummenti tagħhom.
61 Il-KEPD isostni li l-kontenut tal-kummenti tal-azzjonisti u tal-kredituri affettwati huwa informazzjoni li “tikkonċernahom”, peress li t-tweġibiet tagħhom kienu jinkludu u jirriflettu l-fehmiet personali tagħhom, anki jekk kienu bbażati fuq informazzjoni aċċessibbli għall-pubbliku. It-tweġibiet għall-formola tal-persuni li ressqu l-ilmenti u tal-parteċipanti l-oħra jikkostitwixxu data personali, indipendentement mill-kwistjoni dwar jekk din hijiex l-espressjoni ta’ fehma oriġinali jew ta’ fehma kondiviża ma’ oħrajn u indipendentement mill-kwistjoni dwar jekk is-SRB iqishiex bħala informazzjoni indipendenti mid-drittijiet speċifiċi tal-azzjonisti u tal-kredituri affettwati fil-qasam tar-rispett tal-ħajja privata.
62 Il-KEPD iqis ukoll li l-kummenti jikkostitwixxu data personali minħabba l-effett tagħhom. L-evalwazzjoni magħmula fuq dawn il-kummenti, intiża sabiex tiġi vverifikata l-validità tal-valutazzjoni 3 u l-legalità tad-deċiżjoni preliminari, seta’ jkollha effett fuq l-interessi u fuq id-drittijiet tal-parteċipanti fil-qasam tal-kumpens finanzjarju. Fl-aħħar nett, għandu jiġi enfasizzat li l-iskop tal-ġbir tal-kummenti kien li jingħataw drittijiet proċedurali lil kull parti, sabiex jinġabru fehmiet individwali.
63 Fid-deċiżjoni rriveduta, il-KEPD indika li t-tweġibiet riċevuti matul il-fażi ta’ konsultazzjoni kienu jikkostitwixxu data personali tal-persuni li ressqu l-ilmenti, sa fejn dawn kienu jinkludu l-fehma personali tagħhom u għalhekk kienu jikkostitwixxu informazzjoni li tikkonċernahom, anki jekk kienu bbażati fuq informazzjoni aċċessibbli għall-pubbliku sabiex jesprimu l-fehma tagħhom. Huwa qies li l-fatt li l-persuni li ressqu l-ilmenti kienu esprimew fehmiet li jixxiebhu, iżda mhux identiċi, għal dawk ta’ parteċipanti oħra ma kienx ifisser li t-tweġibiet tagħhom ma kinux jirriflettu l-opinjoni tagħhom stess. Għalhekk, il-KEPD ikkunsidra li t-tweġibiet ipprovduti fil-kampijiet ta’ test liberu mill-persuni li ressqu l-ilmenti u mill-parteċipanti l-oħra kellhom kollha jitqiesu bħala data personali, kemm jekk l-espressjoni ta’ fehma oriġinali u unika jew ta’ fehma kondiviża ma’ oħrajn jew ispirata jew meħuda minn informazzjoni aċċessibbli għall-pubbliku. Huwa żied li din il-konklużjoni ma kinitx ikkontestata mis-sentenza tal‑20 ta’ Diċembru 2017, Nowak (C‑434/16, EU:C:2017:994), li fiha l-Qorti tal-Ġustizzja ma kinitx għamlet distinzjoni bejn it-tweġibiet kompletament imfassla mill-persuni li taw tweġibiet u r-risposti bbażati fuq sorsi oħra ta’ għarfien.
64 Għandu jiġi eżaminat jekk il-KEPD setax ġustament iqis li l-informazzjoni trażmessa lil Deloitte “kienet relatata” ma’ persuna fiżika fis-sens tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725.
65 Preliminarjament, għandu jiġi kkonstatat li, fid-deċiżjoni rriveduta, il-KEPD ikklassifika bħala data personali l-kummenti kollha magħmula mill-azzjonisti u mill-kredituri affettwati fil-kuntest tal-fażi ta’ konsultazzjoni u ma llimitax l-evalwazzjoni tiegħu unikament għall-informazzjoni trażmessa lil Deloitte.
66 Issa, sa fejn il-ksur tal-Artikolu 15(1)(d) tar-Regolament 2018/1725 ikkonstatat fid-deċiżjoni rriveduta kien jikkonċerna biss il-fatt li s-SRB ma semmiex, fid-dikjarazzjoni ta’ kunfidenzjalità, li Deloitte kienet id-destinatarja potenzjali ta’ ċerta data, għandu sempliċement jiġi eżaminat jekk l-informazzjoni trażmessa lil Deloitte kinitx data personali fis-sens tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725.
67 F’dan ir-rigward, il-punt 13 tal-Artikolu 3 tar-Regolament 2018/1725 jiddefinixxi d-“destinatarju” bħala li “tfisser persuna fiżika jew ġuridika, awtorità pubblika, aġenzija jew korp ieħor, li lilha tiġi żvelata d-data personali, irrispettivament milli tkunx parti terza jew le”.
68 Skont il-ġurisprudenza, l-użu tal-espressjoni “kwalunkwe informazzjoni” fil-kuntest tad-definizzjoni tal-kunċett ta’ “data personali” li jinsab fil-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725 jirrifletti l-għan tal-leġiżlatur tal-Unjoni li jagħti sens wiesa’ lil dan il-kunċett, li ma huwiex limitat għal informazzjoni sensittiva jew ta’ natura privata, iżda jinkorpora potenzjalment kull tip ta’ informazzjoni, kemm oġġettiva kif ukoll suġġettiva, fil-forma ta’ opinjonijiet jew ta’ evalwazzjonijiet, bil-kundizzjoni li din “tikkonċerna” lill-persuna inkwistjoni (ara, b’analoġija, is-sentenza tal‑20 ta’ Diċembru 2017, Nowak, C‑434/16, EU:C:2017:994, punt 34).
69 Fir-rigward ta’ din l-aħħar kundizzjoni, il-Qorti tal-Ġustizzja ddeċidiet li din kienet issodisfatta meta, minħabba l-kontenut tagħha, l-iskop tagħha jew l-effett tagħha, l-informazzjoni kienet marbuta ma’ persuna partikolari (sentenza tal‑20 ta’ Diċembru 2017, Nowak, C‑434/16, EU:C:2017:994, punt 35).
70 Issa, fid-deċiżjoni rriveduta, il-KEPD la eżamina l-kontenut, la l-iskop u lanqas l-effett tal-informazzjoni trażmessa lil Deloitte.
71 Fil-fatt, huwa sempliċement indika li l-kummenti prodotti mill-persuni li ressqu l-ilmenti matul il-fażi ta’ konsultazzjoni kienu jirriflettu l-opinjonijiet tagħhom jew il-fehmiet tagħhom u kkonkluda, fuq din il-bażi biss, li dawn kienu jikkostitwixxu informazzjoni li tikkonċernahom, li kien biżżejjed sabiex jiġu kklassifikati bħala data personali.
72 Waqt is-seduta, il-KEPD ikkonferma li, fil-fehma tiegħu, kwalunkwe opinjoni personali kienet tikkostitwixxi data personali. Dan ammetta wkoll li ma eżaminax il-kontenut tal-kummenti prodotti mill-persuni li ressqu l-ilmenti matul il-fażi ta’ konsultazzjoni.
73 Ċertament, ma jistax jiġi eskluż li fehmiet personali jew opinjonijiet jikkostitwixxu data personali. Madankollu, mill-punti 34 u 35 tas-sentenza tal‑20 ta’ Diċembru 2017, Nowak (C‑434/16, EU:C:2017:994), iċċitati fil-punti 68 u 69 iktar ’il fuq, jirriżulta li tali konklużjoni ma tistax tkun ibbażata fuq preżunzjoni bħal dik deskritta fil-punti 71 u 72 iktar ’il fuq, iżda għandha tkun ibbażata fuq l-eżami intiż sabiex jiġi stabbilit jekk, bil-kontenut tagħha, bl-iskop tagħha jew bl-effett tagħha, fehma hijiex marbuta ma’ persuna partikolari.
74 Isegwi li, fin-nuqqas li jsir tali eżami, il-KEPD ma setax jikkonkludi li l-informazzjoni trażmessa lil Deloitte kienet tikkostitwixxi informazzjoni “relatata” ma’ persuna fiżika fis-sens tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725.
75 Sussegwentement, il-Qorti Ġenerali ser teżamina l-evalwazzjoni tal-KEPD dwar il-kwistjoni jekk l-informazzjoni trażmessa lil Deloitte kinitx relatata ma’ persuna fiżika “identifikata jew identifikabbli”.
Fuq il‑kundizzjoni prevista fil‑punt 1 tal‑Artikolu 3 tar‑Regolament 2018/1725 li l‑informazzjoni tirrigwarda persuna fiżika “identifikata jew identifikabbli”
76 Is-SRB isostni li, kuntrarjament għal dak li qies il-KEPD, il-komunikazzjoni tal-kodiċi alfanumeriku lil Deloitte ma wasslitx għal “psewdonimizzazzjoni” tad-data. Din baqgħet anonima, peress li s-SRB ma qasamx ma’ Deloitte l-informazzjoni li kienet tippermetti li jiġu identifikati mill-ġdid l-awturi tal-kummenti.
77 Is-SRB isostni li d-data tiġi anonimizzata għal terzi, anki jekk l-informazzjoni li tippermetti l-identifikazzjoni mill-ġdid ma tiġix eliminata b’mod irrevokabbli u tinżamm mis-subappaltatur inizjali, peress li l-format li fih id-data tiġi kkomunikata lil din it-terzi ma jippermettix iktar l-identifikazzjoni tal-awtur tal-osservazzjonijiet jew ma jagħmilhiex raġonevolment probabbli. Is-SRB isostni li, kuntrarjament għal dak li qies il-KEPD fid-deċiżjoni rriveduta, ir-Regolament 2018/1725 u l-ġurisprudenza tal-Qorti tal-Ġustizzja jeżiġu evalwazzjoni tar-riskju ta’ identifikazzjoni mill-ġdid.
78 B’mod iktar partikolari, is-SRB jallega li l-kundizzjonijiet stabbiliti mill-ġurisprudenza tal-Qorti tal-Ġustizzja dwar l-eżistenza ta’ riskju ta’ identifikazzjoni mill-ġdid meta l-informazzjoni kollha li tista’ tippermetti l-identifikazzjoni ma tkunx miżmuma minn persuna waħda, iżda minn diversi partijiet, ma jkunux issodisfatti f’dan il-każ. Minn naħa, il-kodiċi alfanumeriku mogħti lill-kummenti individwali ma jippermettix lil Deloitte tidentifika mill-ġdid il-persuni li jkunu ppreżentaw kummenti. L-informazzjoni addizzjonali msemmija fil-punt 6 tal-Artikolu 3 tar-Regolament 2018/1725 hija kkostitwita mid-database li tippermetti d-dekodifikazzjoni li għaliha s-SRB biss għandu aċċess. Min-naħa l-oħra, fir-rigward tal-kriterju ta’ probabbiltà raġonevoli ta’ taħlita ta’ informazzjoni, Deloitte ma kellhiex u għad ma għandhiex mezzi legali sabiex taċċedi għall-informazzjoni addizzjonali u ta’ identifikazzjoni.
79 Il-KEPD isostni li l-fatt li Deloitte ma kellhiex aċċess għall-informazzjoni miżmuma mis-SRB li tippermetti l-identifikazzjoni mill-ġdid ma jfissirx li d-data “psewdonimizzata” trażmessa lil Deloitte tkun saret data anonima. Ma huwiex neċessarju li jiġi stabbilit jekk l-awturi tal-informazzjoni trażmessa lil Deloitte kinux identifikabbli mill-ġdid minn din tal-aħħar jew jekk din l-identifikazzjoni mill-ġdid kinitx raġonevolment probabbli. Data “psewdonimizzata” tibqa’ hekk anki meta tiġi trażmessa lil terzi li ma jkollhiex informazzjoni addizzjonali.
80 Il-KEPD isostni li l-użu tat-terminu “indirettament” fil-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725 ifisser li, sabiex informazzjoni tiġi kklassifikata bħala data personali, ma huwiex neċessarju li din waħedha tippermetti li tiġi identifikata l-persuna kkonċernata. Barra minn hekk, fir-rigward tal-mezzi li raġonevolment jistgħu jintużaw kemm mill-kontrollur kif ukoll minn kull persuna oħra, ma huwiex meħtieġ li l-informazzjoni kollha li tippermetti li tiġi identifikata l-persuna kkonċernata għandha tkun tinsab f’idejn persuna waħda.
81 Fid-deċiżjoni rriveduta, il-KEPD qies li l-informazzjoni trażmessa lil Deloitte kienet data “psewdonimizzata”. F’dan ir-rigward, huwa indika li d-differenza bejn id-data “psewdonimizzata” u d-data anonima kienet fil-fatt li, fil-każ ta’ data anonima, ma kienx hemm “informazzjoni addizzjonali” li setgħet tintuża sabiex id-data tiġi attribwita lil persuna konċernata speċifika, filwaqt li fil-każ ta’ data “psewdonimizzata”, tali informazzjoni addizzjonali kienet teżisti. Għalhekk, sabiex jiġi evalwat jekk id-data kinitx anonimizzata jew “psewdonimizzata”, kellu jiġi eżaminat jekk kinitx teżisti “informazzjoni addizzjonali” li setgħet tintuża biex id-data tiġi attribwita lil persuni kkonċernati speċifiċi.
82 Il-KEPD rrileva li s-SRB kien ittrażmetta lil Deloitte mhux biss ċerti kummenti tal-azzjonisti u tal-kredituri affettwati, iżda wkoll il-kodiċi alfanumeriku korrispondenti, u li Deloitte ma kellhiex aċċess għat-tweġibiet mogħtija matul il-fażi ta’ reġistrazzjoni. Huwa indika li, kif kien spjega s-SRB, “kien impossibbli għal Deloitte li titraċċa l-identità ta’ kull parti li tuża dan il-kodiċi billi tirreferi għad-data konkreta pprovduta mill-partijiet eliġibbli fil-kuntest tal-fażi ta’ reġistrazzjoni (li dejjem inżammet mis-SRB)”. Il-KEPD madankollu qies li d-data pprovduta matul il-fażi ta’ reġistrazzjoni mal-identifikatur uniku, jiġifieri l-kodiċi alfanumeriku attribwit lil kull parteċipant eliġibbli, kienet tikkostitwixxi eżempju perfett ta’ “informazzjoni addizzjonali” fis-sens tal-punt 6 tal-Artikolu 3 tar-Regolament 2018/1725, peress li din setgħet tintuża mis-SRB sabiex jattribwixxi d-data lil persuna kkonċernata speċifika.
83 Il-KEPD spjega li r-Regolament 2018/1725 ma kienx jagħmel distinzjoni bejn dawk li kienu jżommu d-data “psewdonimizzata” u dawk li kienu jżommu informazzjoni addizzjonali u li l-fatt li dawn kienu entitajiet differenti ma jagħmilx id-data “psewdonimizzata” waħda anonima. Huwa żied li l-fatt li Deloitte ma kinitx, waħedha, f’pożizzjoni li tattribwixxi l-kummenti għad-data rċevuta matul il-fażi ta’ reġistrazzjoni ma kienx jeskludi li d-data li huwa kien irċieva kienet “psewdonimizzata”. Fil-fehma tal-KEPD, id-data li s-SRB kien qasam ma’ Deloitte kienet data “psewdonimizzata”, kemm minħabba li l-kummenti rċevuti matul il-fażi ta’ konsultazzjoni kienu data personali kif ukoll minħabba li s-SRB kien jikkondividi l-kodiċi alfanumeriku li kien jippermetti l-konnessjoni tat-tweġibiet mogħtija matul il-fażi ta’ reġistrazzjoni ma’ dawk mogħtija matul il-fażi ta’ konsultazzjoni, minkejja li d-data pprovduta mill-parteċipanti sabiex jidentifikaw ruħhom matul il-fażi ta’ reġistrazzjoni ma kinitx ġiet ikkomunikata lil Deloitte. Minn dan ikkonkluda li l-informazzjoni trażmessa lil Deloitte kienet data “psewdonimizzata” u, għaldaqstant, data personali fis-sens tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725.
84 Preliminarjament, għandu jiġi rrilevat li, fid-dawl tal-mekkaniżmi stabbiliti mis-SRB dwar l-ipproċessar tad-data miġbura fil-kuntest tal-proċedura dwar id-dritt għal smigħ, deskritti fil-punti 14 sa 24 iktar ’il fuq, l-informazzjoni trażmessa lil Deloitte ma kinitx tikkonċerna persuni “identifikati”.
85 Għaldaqstant, għandu jiġi eżaminat jekk il-KEPD setax ġustament iqis li l-informazzjoni trażmessa lil Deloitte kienet relatata ma’ persuna fiżika “identifikabbli” fis-sens tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725.
86 Skont din id-dispożizzjoni, hija meqjusa “persuna fiżika identifikabbli” persuna fiżika li tista’ tiġi identifikata, direttament jew indirettament.
87 Il-premessa 16 tar-Regolament 2018/1725 tipprevedi dan li ġej:
“[…] Jenħtieġ li d-data personali li tkun għaddiet minn psewdonimizzazzjoni, li tkun tista’ tiġi attribwita lil persuna fiżika bl-użu ta’ informazzjoni addizzjonali, titqies bħala informazzjoni dwar persuna fiżika identifikabbli. Sabiex jiġi ddeterminat jekk persuna fiżika tkunx identifikabbli, jenħtieġ li jitqiesu l-mezzi kollha li raġonevolment x’aktarx ikunu jistgħu jintużaw, bħas-singolarizzazzjoni, mill-kontrollur jew minn kwalunkwe persuna oħra, sabiex persuna fiżika tiġi identifikata direttament jew indirettament. Sabiex jiġi aċċertat liema mezzi huma raġonevolment mistennija jintużaw għall-identifikazzjoni tal-persuna fiżika, jenħtieġ li jitqiesu l-fatturi oġġettivi kollha, bħall-ispejjeż tal-identifikazzjoni u l-ammont ta’ żmien rikjest għall-identifikazzjoni, filwaqt li jitqiesu t-teknoloġija disponibbli fil-mument tal-ipproċessar u l-iżviluppi teknoloġiċi […]”
88 Għandu jiġi rrilevat li, fis-sentenza tad‑19 ta’ Ottubru 2016, Breyer (C‑582/14, EU:C:2016:779), il-Qorti tal-Ġustizzja interpretat il-kunċett ta’ “data personali” fis-sens tal-Artikolu 2(a) tad-Direttiva 95/46/KE tal-Parlament Ewropew u tal-Kunsill tal‑24 ta’ Ottubru 1995 dwar il-protezzjoni ta’ individwi fir-rigward ta’ l-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ dik id-data (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 13, Vol. 15, p. 355), bħala li jinkludi dispożizzjoni ekwivalenti għall-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725.
89 Din il-kawża qajmet il-kwistjoni dwar jekk indirizz ta’ protokoll tal-internet (iktar ’il quddiem l-“indirizz IP”) dinamiku kienx jikkostitwixxi data personali fir-rigward tal-fornitur ta’ servizzi ta’ media online li kien irreġistrah. Il-Qorti tal-Ġustizzja qieset li kellu jiġi vverifikat jekk dan l-indirizz IP setax jiġi kklassifikat bħala informazzjoni relatata ma’ “persuna fiżika identifikabbli”, filwaqt li jittieħed inkunsiderazzjoni, minn naħa, il-fatt li dan ma kienx joffri, waħdu, lil dan il-fornitur il-possibbiltà li jidentifika l-utent li kien ikkonsulta s-sit internet u, min-naħa l-oħra, il-fatt li l-informazzjoni addizzjonali neċessarja li, flimkien ma’ dan l-indirizz IP, kienet tippermetti li jiġi identifikat l-imsemmi utent, kienet miżmuma mill-fornitur tal-aċċess għall-internet.
90 Sa fejn il-premessa 16 tar-Regolament 2018/1725 tirreferi għall-mezzi li jistgħu raġonevolment jiġu implimentati kemm mill-kontrollur kif ukoll minn “persuna oħra”, il-formulazzjoni tagħha tissuġġerixxi li, sabiex data tkun tista’ tiġi kklassifikata bħala “data personali” fis-sens tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725, ma huwiex meħtieġ li l-informazzjoni kollha li tippermetti li tiġi identifikata l-persuna kkonċernata għandha tkun f’idejn persuna waħda (ara, b’analoġija, is-sentenza tad‑19 ta’ Ottubru 2016, Breyer, C‑582/14, EU:C:2016:779, punt 43).
91 Madankollu, il-Qorti tal-Ġustizzja żiedet li l-fatt li l-informazzjoni addizzjonali neċessarja sabiex jiġi identifikat l-utent ta’ sit internet ma kinitx miżmuma mill-fornitur ta’ servizzi ta’ media online, iżda mill-fornitur ta’ aċċess għall-internet ta’ dan l-utent, għalhekk ma kienx jidher ta’ natura li jeskludi li l-indirizzi IP dinamiċi rreġistrati mill-fornituri tas-servizzi tal-media online kienu jikkostitwixxu, għal dan tal-aħħar, data personali (sentenza tad‑19 ta’ Ottubru 2016, Breyer, C‑582/14, EU:C:2016:779, punt 44).
92 Il-Qorti tal-Ġustizzja madankollu qieset li kellu jiġi ddeterminat jekk il-possibbiltà li indirizz IP dinamiku jingħaqad mal-imsemmija informazzjoni addizzjonali miżmuma minn dan il-fornitur tal-aċċess għall-internet kinitx tikkostitwixxi mezz li jista’ raġonevolment jiġi implimentat sabiex tiġi identifikata l-persuna kkonċernata (sentenza tad‑19 ta’ Ottubru 2016, Breyer, C‑582/14, EU:C:2016:779, punt 45).
93 Il-Qorti tal-Ġustizzja indikat li dan ma kienx ikun il-każ li kieku l-identifikazzjoni tal-persuna kkonċernata kienet ġiet ipprojbita mil-liġi jew ma setgħetx titwettaq fil-prattika, pereżempju minħabba l-fatt li implikat sforz sproporzjonat f’termini ta’ ħin, ta’ spejjeż u ta’ riżorsi umani, b’tali mod li r-riskju ta’ identifikazzjoni fir-realtà kien deher bħala insinjifikattiv (sentenza tad‑19 ta’ Ottubru 2016, Breyer, C‑582/14, EU:C:2016:779, punt 46).
94 F’dan il-każ, ma huwiex ikkontestat, minn naħa, li l-kodiċi alfanumeriku li jinsab fuq l-informazzjoni trażmessa lil Deloitte ma kienx jippermetti waħdu li jiġu identifikati l-awturi tal-kummenti u, min-naħa l-oħra, li Deloitte ma kellhiex aċċess għad-data ta’ identifikazzjoni rċevuta matul il-fażi ta’ reġistrazzjoni li tippermetti li l-parteċipanti jiġu konnessi mal-kummenti tagħhom permezz tal-kodiċi alfanumeriku.
95 Fid-deċiżjoni rriveduta u kkonfermata waqt is-seduta l-KEPD indika li l-informazzjoni addizzjonali neċessarja sabiex jiġu identifikati l-awturi tal-kummenti kienet tikkonsisti fil-kodiċi alfanumeriku u fid-database ta’ identifikazzjoni.
96 Ċertament, kif isostni l-KEPD, fid-dawl tal-punt 43 tas-sentenza tad‑19 ta’ Ottubru 2016, Breyer (C‑582/14, EU:C:2016:779), iċċitat fil-punt 90 iktar ’il fuq, il-fatt li l-informazzjoni addizzjonali neċessarja sabiex jiġu identifikati l-awturi tal-kummenti rċevuti matul il-fażi ta’ konsultazzjoni ma kinitx miżmuma minn Deloitte, iżda mis-SRB, ma jidhirx li huwa ta’ natura li jeskludi a priori li l-informazzjoni trażmessa lil Deloitte kienet tikkostitwixxi, għaliha, data personali.
97 Madankollu, mis-sentenza tad‑19 ta’ Ottubru 2016, Breyer (C‑582/14, EU:C:2016:779), jirriżulta wkoll li, sabiex jiġi ddeterminat jekk l-informazzjoni trażmessa lil Deloitte kinitx tikkostitwixxi data personali, din il-kwistjoni għandha titħares mill-perspettiva ta’ din tal-aħħar sabiex jiġi ddeterminat jekk l-informazzjoni li ġiet trażmessa lilha kinitx relatata ma’ “persuni identifikabbli”.
98 Fil-fatt, għandu jitfakkar, l-ewwel, li l-ksur tal-Artikolu 15(1)(d) tar-Regolament 2018/1725 ikkonstatat mill-KEPD fid-deċiżjoni rriveduta kien jikkonċerna t-trasferiment mis-SRB ta’ ċerti kummenti lil Deloitte u mhux iż-żamma biss mis-SRB tagħhom.
99 It-tieni, minn naħa, is-sitwazzjoni ta’ Deloitte tista’ tiġi pparagunata ma’ dik tal-fornitur ta’ servizzi ta’ media online msemmija fis-sentenza tad‑19 ta’ Ottubru 2016, Breyer (C-582/14, EU:C:2016:779), peress li hija kienet iżżomm informazzjoni, jiġifieri l-kummenti dwar il-valutazzjoni 3, li ma kinitx tikkostitwixxi informazzjoni relatata ma’ “persuna fiżika identifikata”, sa fejn il-kodiċi alfanumeriku li jinsab fuq kull tweġiba ma kienx jippermetti li tiġi żvelata direttament l-identità tal-persuna fiżika li tkun imliet il-formola. Min-naħa l-oħra, is-sitwazzjoni tas-SRB tista’ tiġi pparagunata ma’ dik tal-fornitur ta’ aċċess għall-internet f’din il-kawża, sa fejn huwa paċifiku li huwa kien l-uniku li kien iżomm l-informazzjoni addizzjonali li tippermetti l-identifikazzjoni tal-azzjonisti u tal-kredituri affettwati li kienu wieġbu għall-formola, jiġifieri l-kodiċi alfanumeriku u d-database ta’ identifikazzjoni.
100 Għaldaqstant, skont il-punt 44 tas-sentenza tad‑19 ta’ Ottubru 2016, Breyer (C‑582/14, EU:C:2016:779), iċċitata fil-punt 91 iktar’ il fuq, huwa l-KEPD li għandu jeżamina jekk il-kummenti trażmessi lil Deloitte kinux jikkostitwixxu, fir-rigward tagħha, data personali.
101 Għalhekk, il-KEPD huwa żbaljat meta jsostni li ma kienx neċessarju li jiġi eżaminat jekk l-awturi tal-informazzjoni trażmessa lil Deloitte kinux identifikabbli mill-ġdid minn din tal-aħħar jew jekk din l-identifikazzjoni mill-ġdid kinitx raġonevolment possibbli.
102 Għandu jiġi kkonstatat li, fid-deċiżjoni rriveduta, il-KEPD ikkunsidra li l-fatt li s-SRB kien iżomm l-informazzjoni addizzjonali li tippermetti li jiġu identifikati mill-ġdid l-awturi tal-kummenti kien suffiċjenti sabiex jiġi konkluż li l-informazzjoni trażmessa lil Deloitte kienet data personali, filwaqt li huwa rrikonoxxut li d-data ta’ identifikazzjoni rċevuta matul il-fażi ta’ reġistrazzjoni ma kinitx ġiet ikkomunikata lil Deloitte.
103 Għalhekk, mid-deċiżjoni rriveduta jirriżulta li l-KEPD sempliċement eżamina l-possibbiltà li jiġu identifikati mill-ġdid l-awturi tal-kummenti mill-perspettiva tas-SRB u mhux ta’ Deloitte.
104 Issa, mill-punt 45 tas-sentenza tad‑19 ta’ Ottubru 2016, Breyer (C‑582/14, EU:C:2016:779), iċċitata fil-punt 92 iktar ’il fuq, jirriżulta li kien il-KEPD li kellu jiddetermina jekk il-possibbiltà li l-informazzjoni li kienet ġiet trażmessa lil Deloitte tingħaqad mal-informazzjoni addizzjonali miżmuma mis-SRB kinitx tikkostitwixxi mezz li jista’ raġonevolment jiġi implimentat minn Deloitte sabiex jiġu identifikati l-awturi tal-kummenti.
105 Għaldaqstant, peress li l-KEPD ma eżaminax jekk Deloitte kellhiex mezzi legali u possibbli fil-prattika li jippermettulha taċċedi għall-informazzjoni addizzjonali neċessarja għall-identifikazzjoni mill-ġdid tal-awturi tal-kummenti, il-KEPD ma setax jikkonkludi li l-informazzjoni trażmessa lil Deloitte kienet tikkostitwixxi informazzjoni relatata ma’ “persuna fiżika identifikabbli” fis-sens tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725.
106 Minn dak kollu li ntqal jirriżulta li hemm lok li l-ewwel motiv jintlaqa’ u, għaldaqstant, li d-deċiżjoni rriveduta tiġi annullata mingħajr ma huwa neċessarju li jiġi eżaminat it-tieni motiv.
Fuq l‑ispejjeż
107 Skont l-Artikolu 134(1) tar-Regoli tal-Proċedura tal-Qorti Ġenerali, il-parti li titlef il-kawża għandha tiġi kkundannata għall-ispejjeż, jekk dawn ikunu ntalbu.
108 Peress li l-KEPD tilef il-parti l-kbira tat-talbiet tiegħu, hemm lok li jiġi kkundannat għall-ispejjeż, kif mitlub mis-SRB.
Għal dawn il-motivi,
IL-QORTI ĠENERALI (It-Tmien Awla Estiża)
taqta’ u tiddeċiedi:
1) Id-deċiżjoni rriveduta tal-Kontrollur Ewropew għall-Protezzjoni tad-Data (KEPD) tal‑24 ta’ Novembru 2020 adottata wara t-talba għal eżami mill-ġdid imressqa mill-Bord Uniku ta’ Riżoluzzjoni (SRB) tad-deċiżjoni tal-KEPD tal‑24 ta’ Ġunju 2020 dwar ħames ilmenti mressqa minn diversi persuni (Każijiet 2019‑947, 2019‑998, 2019‑999, 2019‑1000 u 2019‑1122) hija annullata.
2) Il-kumplament tar-rikors huwa miċħud.
3) Il-KEPD huwa kkundannat għall-ispejjeż.
Mogħtija f’Qorti bil-miftuħ fil-Lussemburgu, fis‑26 ta’ April 2023.
Firem