Edizzjoni Provviżorja
SENTENZA TAL‑QORTI TAL‑ĠUSTIZZJA (It‑Tielet Awla)
20 ta’ Ġunju 2024 (*)
“Rinviju għal deċiżjoni preliminari – Protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar tad-data personali – Regolament (UE) 2016/679 – Artikolu 82(1) – Dritt għal kumpens għad-dannu kkawżat minn ipproċessar ta’ data mwettaq bi ksur ta’ dan ir-regolament – Kunċett ta’ ‘dannu morali’ – Impatt tal-gravità tad-dannu mġarrab – Valutazzjoni tal-ammont tal-kumpens – Talba għal kumpens għal danni morali bbażati fuq biża’ – Valutazzjoni tal-ammont tal-kumpens – Inapplikabbiltà tal-kriterji previsti għall-multi amministrattivi fl-Artikolu 83 – Funzjoni dissważiva – Valutazzjoni fil-każ ta’ ksur simultanju tal-imsemmi regolament u tad-dritt nazzjonali”
Fil-Kawża C‑590/22,
li għandha bħala suġġett talba għal deċiżjoni preliminari skont l-Artikolu 267 TFUE, imressqa mill-Amtsgericht Wesel (il-Qorti Distrettwali ta’ Wesel, il-Ġermanja), permezz ta’ deċiżjoni tal‑5 ta’ Awwissu 2022, li waslet fil-Qorti tal-Ġustizzja fid‑9 ta’ Settembru 2022, fil-proċedura
AT,
BT
vs
PS GbR,
VG,
MB,
DH,
WB,
GS,
IL‑QORTI TAL‑ĠUSTIZZJA (It‑Tielet Awla),
komposta minn K. Jürimäe, Presidenta tal-Awla, K. Lenaerts, President tal-Qorti tal-Ġustizzja, li qiegħed jaġixxi bħala Imħallef tat-Tielet Awla, N. Piçarra, N. Jääskinen (Relatur) u M. Gavalec, Imħallfin,
Avukat Ġenerali: M. Campos Sánchez‑Bordona,
Reġistratur: A. Calot Escobar,
wara li rat il-proċedura bil-miktub,
wara li kkunsidrat l-osservazzjonijiet ippreżentati:
– għall-Irlanda, minn M. Browne, Chief State Solicitor, A. Joyce u M. Tierney, bħala aġenti, assistiti minn D. Fennelly, BL,
– għall-Kummissjoni Ewropea, minn A. Bouchagiar, M. Heller u H. Kranenborg, bħala aġenti,
wara li rat id-deċiżjoni meħuda, wara li nstema’ l-Avukat Ġenerali, li l-kawża tinqata’ mingħajr konklużjonijiet,
tagħti l-preżenti
Sentenza
1 It-talba għal deċiżjoni preliminari tirrigwarda l-interpretazzjoni tal-Artikolu 82(1) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-“GDPR”).
2 Din it-talba tressqet fil-kuntest ta’ tilwima bejn, rispettivament, AT u BT, li huma r-rikorrenti fil-kawża prinċipali, u PS GbR, kumpannija ta’ konsulenza fiskali, kif ukoll VG, MB, DH, WB u GS, is-soċji ta’ PS, dwar id-dritt tar-rikorrenti fil-kawża prinċipali għall-għoti ta’ kumpens, taħt l-Artikolu 82(1) tal-GDPR, għas-sofferenzi li huma jsostnu li sofrew minħabba l-fatt li d-dikjarazzjoni fiskali tagħhom, li kien fiha data personali, ġiet żvelata lil terzi mingħajr il-kunsens tagħhom wara żball min-naħa ta’ PS.
Il‑kuntest ġuridiku
3 Il-premessi 85, 146 u 148 tal-GDPR huma fformulati kif ġej:
“(85) Il-vjolazzjoni ta’ data personali tista’, jekk ma tiġix indirizzata b’mod adegwat u fil-ħin, tirriżulta f’dannu fiżiku, materjali jew mhux materjali lill-persuni fiżiċi bħat-telf ta’ kontroll tad-data personali tagħhom jew limitazzjoni tad-drittijiet tagħhom, diskriminazzjoni, serq tal-identità jew frodi, telf finanzjarju, it-treġġigħ lura mhux awtorizzat tal-psewdonimizzazzjoni, dannu għar-reputazzjoni, telf ta’ kunfidenzjalità tad-data personali protetta mis-segretezza professjonali jew kwalunkwe żvantaġġ ekonomiku jew soċjali ieħor għall-persuna fiżika kkonċernata. [...]
[...]
(146) Il-kontrollur jew il-proċessur għandu jikkumpensa għal kwalunkwe dannu li tista’ ssofri persuna b’riżultat ta’ pproċessar li jikser dan ir-Regolament. Il-kontrollur jew il-proċessur għandu jiġi eżentat mir-responsabbiltà jekk iġib provi li huwa mhuwiex responsabbli bl-ebda mod għad-dannu. Il-kunċett ta’ dannu għandu jiġi interpretat b’mod wiesa’ fid-dawl tal-każistika tal-Qorti tal-Ġustizzja b’mod li jissodisfa b’mod sħiħ l-objettivi ta’ dan ir-Regolament. Dan huwa mingħajr preġudizzju għal kwalunkwe talba għal kumpens għal danni li tirriżulta minn ksur ta’ regoli oħra fil-liġi tal-Unjoni jew ta’ Stat Membru. L-ipproċessar li jikser dan ir-Regolament jinkludi wkoll l-ipproċessar li ma jkunx f’konformità mal-atti delegati u ta’ implimentazzjoni adottati f’konformità ma’ dan ir-Regolament u l-liġi tal-Istat Membru li jispeċifikaw ir-regoli ta’ dan ir-Regolament. Is-suġġetti tad-data għandhom jirċievu kumpens sħiħ u effettiv għad-dannu li jkunu ġarrbu. [...]
[...]
(148) Sabiex jissaħħaħ l-infurzar tar-regoli ta’ dan ir-Regolament, għandhom jiġu imposti pieni inklużi multi amministrattivi għal kwalunkwe ksur ta’ dan ir-Regolament [...] Madankollu, għandha tingħata l-kunsiderazzjoni dovuta għan-natura, is-serjetà u d-dewmien tal-ksur, il-karattru intenzjonali tal-ksur, l-azzjonijiet meħuda biex itaffu d-danni sofruti, il-grad ta’ responsabbiltà jew kwalunkwe ksur preċedenti rilevanti, il-mod li bih il-ksur sar magħruf mill-awtorità superviżorja, il-konformità ma’ miżuri ordnati kontra l-kontrollur jew il-proċessur, l-aderenza għal kodiċi ta’ kondotta u kwalunkwe fattur aggravanti jew mitiganti ieħor. [...]”
4 L-Artikolu 4 ta’ dan ir-regolament, intitolat “Definizzjonijiet”, jipprevedi:
“Għall-finijiet ta’ dan ir-Regolament:
(1) ‘data personali’ tfisser kwalunkwe informazzjoni relatata ma’ persuna fiżika identifikata jew identifikabbli (‘suġġett tad-data’); [...]
[...]
(7) ‘kontrollur’ tfisser persuna fiżika jew ġuridika, awtorità pubblika, aġenzija jew kwalunkwe korp ieħor li, waħdu jew flimkien ma’ oħrajn, jiddetermina l-għanijiet u l-mezzi tal-ipproċessar ta’ data personali; [...]
[...]
(10) ‘parti terza’ tfisser persuna fiżika jew ġuridika, awtorità pubblika, aġenzija jew korp għajr is-suġġett tad-data, il-kontrollur, il-proċessur u l-persuni li, taħt l-awtorità diretta tal-kontrollur jew tal-proċessur, ikunu awtorizzati li jipproċessaw id-data personali;
[...]
(12) ‘ksur ta’ data personali” tfisser ksur tas-sigurtà li jwassal għal qerda aċċidentali jew illegali, telf, bidliet, żvelar mhux awtorizzat ta’, jew aċċess għal, data personali trażmessa, maħżuna jew ipproċessata b’xi mod ieħor;
[...]”
5 Skont l-Artikolu 79(1) tal-imsemmi regolament:
“Mingħajr preġudizzju għal kwalunkwe rimedju amministrattiv jew mhux ġudizzjarju disponibbli, inkluż id-dritt li jitressaq ilment quddiem awtorità superviżorja skont l-Artikolu 77, kull suġġett tad-data għandu d-dritt għal rimedju ġudizzjarju effettiv fejn jikkunsidra li nkisru d-drittijiet tiegħu taħt dan ir-Regolament b’riżultat tal-ipproċessar tad-data personali tiegħu b’nuqqas ta’ konformità ma’ dan ir-Regolament.”
6 L-Artikolu 82 ta’ dan tal-aħħar, intitolat “Dritt għal kumpens u responsabbiltà”, jipprovdi, fil-paragrafi 1 sa 3 tiegħu:
“1. Kwalunkwe persuna li tkun ġarrbet xi dannu materjali jew mhux materjali b’riżultat ta’ ksur ta’ dan ir-Regolament għandu jkollha d-dritt li tirċievi kumpens mill-kontrollur jew il-proċessur għad-dannu mġarrab.
2. Kwalunkwe kontrollur involut fl-ipproċessar għandu jkunu responsabbli għad-dannu kkawżat mill-ipproċessar li jikser dan ir-Regolament. [...]
3. Kontrollur jew proċessur għandu jkun eżentat mir-responsabbiltà taħt il-paragrafu 2 jekk jagħti prova li bl-ebda mod m’huwa responsabbli għall-avveniment li wassal għad-dannu.”
7 L-Artikolu 83 tal-istess regolament, intitolat “Kondizzjonijiet ġenerali biex jiġu imposti multi amministrattivi”, jipprovdi, fil-paragrafi 2, 3 u 5 tiegħu:
“2. [...] Meta jiġi deċiż jekk għandiex tiġi imposta multa amministrattiva u jiġi deċiż l-ammont tal-multa amministrattiva, f’kull każ individwali, għandha tingħata konsiderazzjoni dovuta lil dawn li ġejjin:
(a) in-natura, il-gravità u d-dewmien tal-ksur b’kont meħud tan-natura, l-ambitu jew il-fini tal-ipproċessar ikkonċernat kif ukoll l-għadd ta’ suġġetti tad-data affettwati u l-livell ta’ dannu mġarrab minnhom;
(b) il-karattru intenzjonali jew negliġenti tal-ksur;
[...]
(k) kwalunkwe fattur aggravanti jew mitiganti applikabbli għaċ-ċirkostanzi tal-każ, bħal benefiċċji finanzjarji miksuba, jew telfiet evitati, direttament jew indirettament, mill-ksur.
3. Jekk kontrollur jew proċessur, intenzjonalment jew b’negliġenza, għall-istess operazzjonijiet ta’ pproċessar jew għal dawk b’rabta ma’ xulxin, jikser diversi dispożizzjonijiet ta’ dan ir-Regolament, l-ammont totali tal-multa amministrattiva ma għandux jaqbeż l-ammont speċifikat għall-ksur l-aktar gravi.
[...]
5. Il-ksur tad-dispożizzjonijiet li ġejjin għandu, f’konformità mal-paragrafu 2a, ikun soġġett għal multi amministrattivi sa EUR 20 000 000, jew fil-każ ta’ impriża, sa 4 % tal-fatturat annwali dinji totali tas-sena finanzjarja preċedenti, skont liema jkun l-ogħla:
(a) il-prinċipji bażiċi għall-ipproċessar, inklużi l-kondizzjonijiet għal kunsens, skont l-Artikoli 5, 6, 7 u 9;
(b) id-drittijiet tas-suġġetti tad-data skont l-Artikoli 12 sa 22;
[...]”
Il‑kawża prinċipali u d‑domandi preliminari
8 Ir-rikorrenti fil-kawża prinċipali, AT u BT, huma klijenti ta’ PS, ditta ta’ konsulenza fiskali. Huma informaw lil din id-ditta ta’ konsulenza bil-bdil tal-indirizz postali tagħhom, liema bdil ġie rreġistrat fis-sistema informatika ta’ PS li tipproċessa d-data. L-indirizz il-ġdid tar-rikorrenti fil-kawża prinċipali sussegwentement intuża minn PS sabiex jintbagħtu numru ta’ ittri.
9 Fix-xahar ta’ Lulju 2020, ir-rikorrenti fil-kawża prinċipali talbu lil PS tfassal id-dikjarazzjoni fiskali tagħhom għas-sena 2019. Peress li ma rċevew ebda risposta, huma kkuntattjaw lil PS li informathom li din id-dikjarazzjoni fiskali kienet intbagħtitilhom permezz ta’ ittra fid‑29 ta’ Settembru 2020, mingħajr ma speċifikaw l-indirizz li fih kienet intbagħtet din l-ittra.
10 L-okkupanti l-ġodda tal-indirizz l-antik tagħhom informawhom li kien wasal envelop indirizzat lil isimhom f’dan l-indirizz u li kienu fetħuh bi żball. Wieħed minn dawn l-okkupanti l-ġodda indika li, wara li nduna li l-ittra inkwistjoni ma kinitx indirizzata lilu, huwa qiegħed mill-ġdid fl-envelop id-dokumenti li kien sab fiha. Huwa mbagħad għaddih lil xi qraba li jgħixu viċin l-indirizz l-antik tar-rikorrenti fil-kawża prinċipali sabiex dawn tal-aħħar ikunu jistgħu jgħaddu jiġbruh.
11 Meta r-rikorrenti fil-kawża prinċipali għaddew jiġbru l-envelop ikkonċernat, indunaw li kien fih biss kopja tad-dikjarazzjoni fiskali u ittra ta’ akkumpanjament. Madankollu, huma jassumu li dan l-envelop kien fih ukoll il-verżjoni oriġinali ta’ din id-dikjarazzjoni fiskali, liema verżjoni kienet tinkludi data personali, fosthom l-ismijiet u d-dati tat-twelid tagħhom kif ukoll dawk ta’ wliedhom, in-numri ta’ identifikazzjoni fiskali tagħhom, id-dettalji bankarji tagħhom, jew anki informazzjoni dwar is-sħubija tagħhom f’komunità reliġjuża, dwar id-diżabbiltà ta’ membru tal-familja tagħhom, dwar il-professjonijiet tagħhom u dwar il-postijiet tax-xogħol tagħhom, jew dwar spejjeż varji li daħlu fihom ir-rikorrenti fil-kawża prinċipali.
12 F’dan ir-rigward, il-qorti tar-rinviju tippreċiża li la kien possibbli li jiġi stabbilit liema dokumenti kienu inizjalment fl-imsemmi envelop u lanqas li jiġi ddeterminat sa fejn l-okkupanti l-ġodda tal-indirizz l-antik tar-rikorrenti fil-kawża prinċipali kienu jafu jew ma kinux jafu bil-kontenut tal-istess envelop. Hija tindika wkoll li l-ittra inkwistjoni ntbagħtet f’indirizz żbaljat għaliex PS kienet użat data minn database li fiha kien għad hemm l-indirizz l-antik tar-rikorrenti fil-kawża prinċipali.
13 F’dan il-kuntest, ir-rikorrenti fil-kawża prinċipali adixxew lill-Amtsgericht Wesel (il-Qorti Distrettwali ta’ Wesel, il-Ġermanja), li hija l-qorti tar-rinviju, b’rikors intiż li jikseb, abbażi tal-Artikolu 82(1) tal-GDPR, il-kumpens għad-dannu morali li huma jsostnu li ġarrbu minħabba li d-data personali tagħhom ġiet żvelata lil terzi u li huma jistmaw fl-ammont ta’ EUR 15 000.
14 Il-qorti tar-rinviju tistaqsi, fl-ewwel lok, jekk, fil-każ li jiġi invokat dannu morali, jistax dritt għal kumpens taħt l-Artikolu 82 tal-GDPR ikun ibbażat biss fuq il-ksur tad-dispożizzjonijiet ta’ dan ir-regolament u dan billi, fid-dritt Ġermaniż, huwa biss fil-każ fejn ikun ġie stabbilit dannu serju, li jmur lil hinn mis-sempliċi ksur ta’ dispożizzjoni legali, li jista’ jiġi rrikonoxxut id-dritt għal kumpens pekunjarju u dan kemm‑il darba dan id-dannu ma jkunx jista’ jiġi kkumpensat b’xi mod ieħor.
15 Fit-tieni lok, din il-qorti tistaqsi dwar jekk il-biża’ li d-data personali taqa’ f’idejn persuni mhux awtorizzati tistax, waħedha, tikkostitwixxi dannu morali li jista’ jagħti lok għad-dritt għal kumpens pekunjarju taħt l-Artikolu 82 tal-GDPR.
16 Fit-tielet lok, l-imsemmija qorti tirrileva li l-Artikolu 83 tal-GDPR jistabbilixxi kriterji li jippermettu li jiġi ddeterminat b’mod uniformi l-ammont tal-multi amministrattivi imposti fil-każ ta’ ksur ta’ dan ir-regolament. Issa, dan l-artikolu ma fih ebda ekwivalenti fir-rigward tal-kumpens pekunjarju għad-dannu morali. Hija tistaqsi għalhekk jekk dawn il-kriterji jistgħux jiġu trasposti għall-qasam tal-kumpens pekunjarju għad-dannu morali dovut taħt l-Artikolu 82 tal-GDPR.
17 Fir-raba’ lok, il-qorti tar-rinviju tfakkar li l-premessa 146 tal-GDPR tiddikjara li l-kunċett ta’ “dannu” għandu jiġi interpretat b’mod wiesa’ sabiex jiġi żgurat kumpens sħiħ u effettiv għad-dannu mġarrab. Madankollu, hija tistaqsi jekk ir-riferiment għal kumpens “effettiv” jfissirx li l-kumpens li għandu jingħata għal dannu morali għandu jiġi evalwat b’mod li jservi ta’ deterrent. Jekk ikun il-każ, il-kontrolluri tad-data jistgħu jiġu mħajra ma josservawx l-obbligi previsti fil-GDPR fil-każ fejn jirriżulta li l-ispiża ta’ osservanza stretta ta’ dan ir-regolament tkun ogħla mill-ammonti tad-danni li huma jistgħu jintalbu jħallsu fil-każ ta’ ksur tal-imsemmi regolament.
18 Fil-ħames u fl-aħħar lok, il-qorti tar-rinviju tistaqsi dwar jekk il-ksur simultanju ta’ dispożizzjonijiet tal-GDPR u ta’ dispożizzjonijiet tad-dritt Ġermaniż, bħal dawk li jimponu obbligi ta’ kunfidenzjalità fuq ċerti professjonisti, għandux jittieħed inkunsiderazzjoni għall-finijiet tal-evalwazzjoni tal-kumpens dovut għad-dannu morali taħt l-Artikolu 82 tal-GDPR. Hija tgħid li għandha dubji f’dan ir-rigward peress li d-dispożizzjonijiet rilevanti tad-dritt Ġermaniż inkwistjoni f’dan il-każ kienu diġà fis-seħħ fil-waqt li fih ġie adottat il-GDPR u għalhekk ma jistgħux jitqiesu li huma atti ddelegati jew atti ta’ implimentazzjoni adottati konformement ma’ dan ir-regolament, fis-sens tal-premessa 146 tiegħu.
19 F’dawn iċ-ċirkustanzi, l-Amtsgericht Hagen (il-Qorti Distrettwali ta’ Wesel) iddeċidiet li tissospendi l-proċeduri quddiemha u li tagħmel lill-Qorti tal-Ġustizzja d-domandi preliminari li ġejjin:
“(1) Huwa suffiċjenti sabiex ikun fondat dritt għal kumpens skont l-Artikolu 82(1) [tal-GDPR], li jkun hemm ksur ta’ dispożizzjoni [ta’ dan ir-regolament] li tipproteġi l-persuna li tinvoka tali dritt, jew din il-persuna għandha tkun ġarrbet dannu minbarra l-ksur fih innifsu tad-dispożizzjoni inkwistjoni?
(2) Id-dritt tal-Unjoni jirrikjedi, sabiex dritt għal kumpens ta’ dannu morali jkun fondat skont l-Artikolu 82(1) [tal-GDPR], il-preżenza ta’ dannu sinjifikattiv?
(3) B’mod partikolari, huwa biżżejjed, sabiex dritt għal kumpens ta’ dannu morali jkun fondat skont l-Artikolu 82(1) [tal-GDPR], li l-persuna li tinvoka tali dritt tibża’ li, bħala konsegwenza tal-ksur tad-dispożizzjonijiet [tal-GDPR], id-data personali tagħha taqa’ f’idejn terzi, mingħajr ma din il-konsegwenza tiġi stabbilita pożittivament?
(4) Huwa konformi mad-dritt tal-Unjoni li l-qorti nazzjonali, waqt il-kalkolu tal-ammont tad-dannu morali skont l-Artikolu 82(1) [tal-GDPR], tirreferi b’analoġija għall-kriterji tat-tieni sentenza tal-Artikolu 83(2) [tal-GDPR], li skont il-kliem stess ta’ din id-dispożizzjoni, japplikaw biss għall-multi amministrattivi?
(5) L-ammont tad-dritt għal kumpens ta’ dannu morali li jingħata skont l-Artikolu 82(1) [tal-GDPR], għandu jiġi kkalkolat ukoll b’mod li jipproduċi effett dissważiv, jew anki li jipprekludi l-‘kummerċjalizzazzjoni’ (aċċettazzjoni kkalkolata tal-multi amministrattivi/ħlas ta’ danni) tal-ksur?
(6) Huwa konformi mad-dritt tal-Unjoni li jittieħed inkunsiderazzjoni fil-kalkolu tal-ammont tal-kumpens ta’ dannu morali skont l-Artikolu 82(1) [tal-GDPR], il-ksur simultanju tad-dispożizzjonijiet tad-dritt nazzjonali li għandhom bħala għan il-protezzjoni tad-data personali, iżda li la huma atti ddelegati jew eżekuttivi adottati konformement ma’ dan ir-regolament u lanqas dispożizzjonijiet tad-dritt ta’ Stat Membru li jippreċiżaw ir-regoli ta’ dan l-istess regolament?”
Fuq id‑domandi preliminari
Fuq l‑ewwel u t‑tieni domanda
20 Permezz tal-ewwel u tat-tieni domanda tagħha, li għandhom jiġu eżaminati flimkien, il-qorti tar-rinviju qiegħda essenzjalment tistaqsi jekk l-Artikolu 82(1) tal-GDPR għandux jiġi interpretat fis-sens li ksur ta’ dan ir-regolament huwa biżżejjed, waħdu, sabiex jingħata dritt għal kumpens taħt din id-dispożizzjoni, jew jekk is-suġġett tad-data għandux jistabbilixxi wkoll l-eżistenza ta’ dannu, li jilħaq ċertu livell ta’ gravità, ikkawżat minn dan il-ksur.
21 L-Artikolu 82(1) tal-GDPR jipprovdi li “[k]walunkwe persuna li tkun ġarrbet xi dannu materjali jew mhux materjali b’riżultat ta’ ksur ta’ dan ir-Regolament għandu jkollha d-dritt li tirċievi kumpens mill-kontrollur jew il-proċessur għad-dannu mġarrab”.
22 Il-Qorti tal-Ġustizzja diġà kkonstatat li mill-kliem ta’ din id-dispożizzjoni jirriżulta b’mod ċar li l-eżistenza ta’ “dannu”, materjali jew morali, jew ta’ “dannu” li jkun ġie “mġarrab”, tikkostitwixxi waħda mill-kundizzjonijiet għad-dritt għal kumpens previst f’dan l-Artikolu 82(1), bħall-eżistenza ta’ ksur tal-imsemmi regolament u ta’ rabta kawżali bejn dan id-dannu u dan il-ksur, liema tliet kundizzjonijiet huma kumulattivi (ara, f’dan is-sens, is-sentenzi tal‑4 ta’ Mejju 2023, Österreichische Post (Dannu morali marbut mal-ipproċessar ta’ data personali), C‑300/21, EU:C:2023:370, punt 32, u tal‑11 ta’ April 2024, juris, C‑741/21, EU:C:2024:288, punt 34).
23 Għaldaqstant, ma jistax jitqies li kull “ksur” tad-dispożizzjonijiet tal-GDPR jagħti, waħdu, l-imsemmi dritt għal kumpens lis-suġġett tad-data, kif iddefinit fil-punt 1 tal-Artikolu 4 ta’ dan ir-regolament. Barra minn hekk, ir-riferiment distint għal “dannu” u għal “ksur” fl-Artikolu 82(1) tal-imsemmi regolament, ikun superfluwu li kieku l-leġiżlatur tal-Unjoni qies li ksur tad-dispożizzjonijiet tal-istess regolament jista’ jkun biżżejjed, waħdu u fi kwalunkwe każ, sabiex jingħata dritt għal kumpens (sentenza tal‑4 ta’ Mejju 2023, Österreichische Post (Dannu morali marbut mal-ipproċessar ta’ data personali), C‑300/21, EU:C:2023:370, punti 33 u 34).
24 Dan ifisser li l-Artikolu 82(1) tal-GDPR għandu jiġi interpretat fis-sens li s-sempliċi ksur tad-dispożizzjonijiet ta’ dan ir-regolament ma huwiex biżżejjed sabiex jingħata dritt għal kumpens (sentenza tal‑4 ta’ Mejju 2023, Österreichische Post (Dannu morali marbut mal-ipproċessar ta’ data personali), C‑300/21, EU:C:2023:370, punt 42).
25 Is-suġġett tad-data li jitlob kumpens għal dannu morali abbażi ta’ din id-dispożizzjoni huwa effettivament obbligat jistabbilixxi mhux biss il-ksur ta’ dispożizzjonijiet ta’ dan ir-regolament, iżda wkoll li dan il-ksur ikun ikkawżalu tali dannu (ara, f’dan is-sens, is-sentenzi tal‑4 ta’ Mejju 2023, Österreichische Post (Dannu morali marbut mal-ipproċessar ta’ data personali), C‑300/21, EU:C:2023:370, punti 42 u 50, kif ukoll tal‑11 ta’ April 2024, juris, C‑741/21, EU:C:2024:288, punt 35).
26 Fir-rigward ta’ din il-kundizzjoni tal-aħħar, l-Artikolu 82(1) tal-GDPR jipprekludi regola jew prassi nazzjonali li tissuġġetta il-kumpens għal dannu morali, fis-sens ta’ din id-dispożizzjoni, għall-kundizzjoni li d-dannu mġarrab mis-suġġett tad-data jkun laħaq ċertu livell ta’ gravità (sentenzi tal‑4 ta’ Mejju 2023, Österreichische Post (Dannu morali marbut mal-ipproċessar ta’ data personali), C‑300/21, EU:C:2023:370, punt 51, u tal‑11 ta’ April 2024, juris, C‑741/21, EU:C:2024:288, punt 36).
27 Xorta jibqa’ l-fatt li s-suġġett tad-data għandu l-obbligu, skont l-Artikolu 82(1) ta’ dan ir-regolament, li jipprova li huwa effettivament ġarrab dannu materjali jew morali (ara, f’dan is-sens, is-sentenza tal‑11 ta’ April 2024, juris, C‑741/21, EU:C:2024:288, punt 39).
28 Fid-dawl tar-raġunijiet premessi, ir-risposta li għandha tingħata għall-ewwel u għat-tieni domanda hija li l-Artikolu 82(1) tal-GDPR għandu jiġi interpretat fis-sens li ksur ta’ dan ir-regolament ma huwiex biżżejjed, waħdu, sabiex jingħata dritt għal kumpens taħt din id-dispożizzjoni. Is-suġġett tad-data għandu wkoll jistabbilixxi l-eżistenza ta’ dannu kkawżat minn dan il-ksur, mingħajr, madankollu, ma dan id-dannu jkollu jilħaq ċertu livell ta’ gravità.
Fuq it‑tielet domanda
29 Permezz tat-tielet domanda tagħha, il-qorti tar-rinviju qiegħda essenzjalment tistaqsi jekk l-Artikolu 82(1) tal-GDPR għandux jiġi interpretat fis-sens li l-biża’ ta’ persuna li d-data personali tagħha tkun ġiet żvelata, minħabba ksur ta’ dan ir-regolament, lil terzi mingħajr ma jkun jista’ jiġi stabbilit li dan kien effettivament il-każ, huwa biżżejjed sabiex jingħata dritt għal kumpens għad-dannu morali.
30 Mid-deċiżjoni tar-rinviju jirriżulta li r-rikorrenti fil-kawża prinċipali jixtiequ jiksbu, abbażi tal-GDPR, il-kumpens għal dannu morali, minħabba li tilfu kontroll fuq id-data personali tagħhom li ġiet ipproċessata, mingħajr ma jistgħu jistabbilixxu l-entità tal-konoxxenza ta’ terzi fir-rigward tal-imsemmija data.
31 F’dan ir-rigward, fl-assenza ta’ kwalunkwe riferiment, fl-Artikolu 82(1) tal-GDPR, għad-dritt intern tal-Istati Membri, il-kunċett ta’ “dannu morali”, fis-sens ta’ din id-dispożizzjoni, għandu jingħata interpretazzjoni awtonoma u uniformi, speċifika għad-dritt tal-Unjoni (ara, f’dan is-sens, is-sentenzi tal‑4 ta’ Mejju 2023, Österreichische Post (Dannu morali marbut mal-ipproċessar ta’ data personali), C‑300/21, EU:C:2023:370, punti 30 u 44, kif ukoll tal‑25 ta’ Jannar 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, punt 64).
32 Il-Qorti tal-Ġustizzja ddeċidiet li jirriżulta mhux biss mill-kliem tal-Artikolu 82(1) tal-GDPR, moqri fid-dawl tal-premessi 85 u 146 ta’ dan ir-regolament, li jħeġġu li l-kunċett ta’ “dannu morali”, fis-sens ta’ din l-ewwel dispożizzjoni, jiġi interpretat b’mod wiesa’, iżda wkoll mill-għan li jiġi żgurat livell għoli ta’ protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar tad-data personali, li huwa previst fl-imsemmi regolament, li l-biża’ tal-possibbiltà ta’ użu abbużiv tad-data personali tiegħu minn terzi li suġġett tad-data jkollu minħabba ksur tal-istess regolament tista’, waħedha, tikkostitwixxi “dannu morali”, fis-sens ta’ dan l-Artikolu 82(1) (ara, f’dan is-sens, is-sentenzi tal‑14 ta’ Diċembru 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punti 79 sa 86, kif ukoll tal‑25 ta’ Jannar 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, punt 65).
33 It-telf ta’ kontroll fuq data personali, anki għal perijodu qasir ta’ żmien, jista’ jikkostitwixxi “dannu morali”, fis-sens tal-Artikolu 82(1) tal-GDPR, liema artikolu jagħti dritt għal kumpens, bil-kundizzjoni li l-imsemmi suġġett tad-data juri li effettivament ikun ġarrab tali dannu, anki jekk minimu, u dan filwaqt li jitfakkar li s-sempliċi ksur tad-dispożizzjonijiet ta’ dan ir-regolament ma huwiex biżżejjed sabiex jingħata dritt għal kumpens abbażi ta’ dan (ara, f’dan is-sens, is-sentenzi tal‑25 ta’ Jannar 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:288, punt 66, u tal‑11 ta’ April 2024, juris, C‑741/21, EU:C:2024:288, punt 42).
34 Is-suġġett tad-data li jqis li d-data personali tiegħu ġiet ipproċessata bi ksur tad-dispożizzjonijiet rilevanti tal-GDPR u jitlob kumpens abbażi tal-Artikolu 82(1) ta’ dan ir-regolament għandu għalhekk jipprova li huwa effettivament ġarrab dannu materjali jew morali.
35 B’hekk, is-sempliċi allegazzjoni ta’ biża’, mingħajr ma tintwera xi konsegwenza negattiva, ma tistax tagħti lok għal kumpens taħt din id-dispożizzjoni.
36 Fid-dawl tar-raġunijiet premessi, ir-risposta għat-tielet domanda għandha tkun li l-Artikolu 82(1) tal-GDPR għandu jiġi interpretat fis-sens li l-biża’ ta’ suġġett tad-data li d-data personali tiegħu tkun ġiet żvelata, minħabba ksur ta’ dan ir-regolament, lil terzi mingħajr ma jkun jista’ jiġi stabbilit li dan kien effettivament il-każ hija biżżejjed sabiex jingħata dritt għal kumpens kemm‑il darba din il-biża’, bil-konsegwenzi negattivi tagħha, tkun ġiet debitament ipprovata.
Fuq ir‑raba’ u l‑ħames domanda
37 Permezz tar-raba’ u tal-ħames domanda tagħha, li għandhom jiġu eżaminati flimkien, il-qorti tar-rinviju qiegħda essenzjalment tistaqsi, jekk l-Artikolu 82(1) tal-GDPR għandux jiġi interpretat fis-sens li, sabiex jiġi ddeterminat l-ammont tad-danni dovuti bħala kumpens għal dannu abbażi ta’ din id-dispożizzjoni, hemm lok, minn naħa, li jiġu applikati mutatis mutandis il-kriterji għall-iffissar tal-ammont tal-multi amministrattivi previsti fl-Artikolu 83 ta’ dan ir-regolament u, min-naħa l-oħra, li dan id-dritt għal kumpens jingħata funzjoni dissważiva.
38 Fl-ewwel lok, fir-rigward tal-possibbiltà li jittieħdu inkunsiderazzjoni l-kriterji stabbiliti fl-Artikolu 83 tal-GDPR sabiex jiġi evalwat l-ammont tal-kumpens dovut taħt l-Artikolu 82 tiegħu, huwa stabbilit li dawn iż-żewġ dispożizzjonijiet għandhom għanijiet differenti. Fil-fatt, filwaqt li l-Artikolu 83 ta’ dan ir-regolament jiddetermina l-“[k]ondizzjonijiet ġenerali biex jiġu imposti multi amministrattivi”, l-Artikolu 82 tal-imsemmi regolament jirregola d-“[d]ritt għal kumpens u [r-]responsabbiltà”.
39 Minn dan jirriżulta li l-kriterji stabbiliti fl-Artikolu 83 tal-GDPR sabiex jiġi ddeterminat l-ammont tal-multi amministrattivi, li jissemmew ukoll fil-premessa 148 ta’ dan ir-regolament, ma jistgħux jintużaw sabiex jiġi evalwat l-ammont tad-danni taħt l-Artikolu 82 tiegħu (sentenza tal‑11 ta’ April 2024, juris, C‑741/21, EU:C:2024:288, punt 57).
40 Il-GDPR ma fih ebda dispożizzjoni li l-għan tagħha huwa li tiddefinixxi r-regoli dwar l-evalwazzjoni tad-danni li suġġett tad-data, fis-sens tal-punt 1 tal-Artikolu 4 ta’ dan ir-regolament, jista’ jitlob, skont l-Artikolu 82 tiegħu, f’sitwazzjoni fejn ksur tal-imsemmi regolament ikun ikkawżalu dannu. Għaldaqstant, fin-nuqqas ta’ regoli tad-dritt tal-Unjoni fil-qasam, huwa l-ordinament ġuridiku ta’ kull Stat Membru li għandu jistabbilixxi r-regoli li jirregolaw l-azzjonijiet intiżi li jiżguraw is-salvagwardja tad-drittijiet li l-partijiet fil-kawża jgawdu taħt dan l-Artikolu 82 u, b’mod partikolari, il-kriterji li jippermettu li tiġi ddeterminata l-entità tal-kumpens dovut f’dan il-kuntest, bla ħsara għall-osservanza tal-prinċipji ta’ ekwivalenza u ta’ effettività (sentenzi tal‑4 ta’ Mejju 2023, Österreichische Post (Dannu morali marbut mal-ipproċessar ta’ data), C‑300/21, EU:C:2023:370, punt 54, u tal‑11 ta’ April 2024, juris, C‑741/21, EU:C:2024:288, punt 58).
41 Fit-tieni lok, id-dritt għal kumpens previst fl-Artikolu 82(1) tal-GDPR la jissodisfa funzjoni dissważiva u lanqas funzjoni punittiva. Dan ifisser li l-gravità tal-ksur ta’ dan ir-regolament li jkun ikkawża l-allegat dannu materjali jew morali ma tistax tinfluwenza l-ammont tal-kumpens mogħti taħt din id-dispożizzjoni u li dan l-ammont ma jistax imur lil hinn mill-kumpens sħiħ ta’ dan id-dannu (ara, f’dan is-sens, is-sentenzi tal‑21 ta’ Diċembru 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punt 86 u tal‑11 ta’ April 2024, juris, C‑741/21, EU:C:2024:288, punt 60).
42 Fid-dawl tal-funzjoni kumpensatorja tad-dritt għal kumpens previst fl-Artikolu 82 tal-GDPR, kif iddikjarat fis-sitt sentenza tal-premessa 146 ta’ dan ir-regolament, kumpens pekunjarju abbażi ta’ din id-dispożizzjoni għandu jitqies li huwa “komplet u effettiv” kemm‑il darba jippermetti li jiġi kkumpensat b’mod sħiħ id-dannu effettivament imġarrab minħabba l-ksur tal-imsemmi regolament, mingħajr ma jkun hemm bżonn li, għall-finijiet ta’ tali kumpens sħiħ, ikun meħtieġ il-ħlas ta’ danni punittivi (ara, f’dan is-sens, is-sentenzi tal‑4 ta’ Mejju 2023, Österreichische Post (Dannu morali marbut mal-ipproċessar ta’ data personali), C‑300/21, EU:C:2023:370, punt 57 u 58, kif ukoll tal‑11 ta’ April 2024, juris, C‑741/21, EU:C:2024:288, punt 61).
43 B’hekk, fid-dawl tad-differenzi fil-kliem u fl-għanijiet bejn l-Artikolu 82 tal-GDPR, moqri fid-dawl tal-premessa 146 tiegħu, u l-Artikolu 83 tal-imsemmi regolament, moqri fid-dawl tal-premessa 148 tiegħu, ma jistax jitqies li l-kriterji ta’ evalwazzjoni stabbiliti speċifikament f’dan l-Artikolu 83 japplikaw mutatis mutandis fil-kuntest ta’ dan l-Artikolu 82, minkejja l-fatt li r-rimedji legali previsti f’dawn iż-żewġ dispożizzjonijiet jikkomplementaw lil xulxin sabiex tiġi żgurata l-osservanza tal-istess regolament (sentenza tal‑11 ta’ April 2024, juris, C‑741/21, EU:C:2024:288, punt 62).
44 Fid-dawl tar-raġunijiet premessi, ir-risposta għar-raba’ u għall-ħames domanda għandha tkun li l-Artikolu 82(1) tal-GDPR għandu jiġi interpretat fis-sens li, sabiex jiġi ddeterminat l-ammont tad-danni dovuti bħala kumpens għal dannu abbażi ta’ din id-dispożizzjoni, la hemm lok, minn naħa, li jiġu applikati mutatis mutandis il-kriterji għall-iffissar tal-ammont tal-multi amministrattivi previsti fl-Artikolu 83 ta’ dan ir-regolament u lanqas, min-naħa l-oħra, li d-dritt għal kumpens jingħata funzjoni dissważiva.
Fuq is‑sitt domanda
45 Permezz tas-sitt domanda tagħha, il-qorti tar-rinviju qiegħda essenzjalment tistaqsi jekk l-Artikolu 82(1) tal-GDPR għandux jiġi interpretat fis-sens li, sabiex jiġi ddeterminat l-ammont tad-danni dovuti bħala kumpens għal dannu abbażi ta’ din id-dispożizzjoni, għandu jittieħed inkunsiderazzjoni ksur simultanju ta’ dispożizzjonijiet nazzjonali li jirrigwardaw il-protezzjoni tad-data personali, iżda li l-għan tagħhom ma jkunx li jippreċiżaw ir-regoli ta’ dan ir-regolament.
46 Din id-domanda saret fid-dawl tal-fatt li r-rikorrenti fil-kawża prinċipali jqisu li l-ksur ta’ dispożizzjonijiet tal-GDPR ikkombinat mal-ksur tal-leġiżlazzjoni Ġermaniża applikabbli għall-konsulenti fiskali, liema leġiżlazzjoni ġiet adottata qabel id-dħul fis-seħħ ta’ dan ir-regolament u għalhekk ma hijiex intiża li tippreċiża r-regoli tiegħu, għandu jwassal għal żieda fid-danni mitluba minnhom taħt l-Artikolu 82(1) tal-GDPR bħala kumpens għad-dannu morali li huma jallegaw li ġarrbu.
47 F’dan ir-rigward, huwa minnu li mill-ħames sentenza tal-premessa 146 tal-GDPR essenzjalment jirriżulta li pproċessar ta’ data personali bi ksur ta’ dan ir-regolament “jinkludi wkoll l-ipproċessar li ma jkunx f’konformità mal-atti delegati u ta’ implimentazzjoni adottati f’konformità ma’ dan ir-Regolament u l-liġi tal-Istat Membru li jispeċifikaw ir-regoli ta’ dan ir-Regolament”.
48 Madankollu, il-fatt li tali pproċessar ta’ data sar ukoll bi ksur tad-dispożizzjonijiet tad-dritt nazzjonali li jirrigwardaw il-protezzjoni tad-data personali iżda li l-għan tagħhom ma huwiex li jippreċiżaw ir-regoli ta’ dan ir-regolament ma jikkostitwixxix fattur rilevanti għall-finijiet tal-evalwazzjoni tal-kumpens mogħti abbażi tal-Artikolu 82(1) tal-GDPR. Fil-fatt, il-ksur ta’ tali dispożizzjonijiet nazzjonali ma huwiex kopert mill-Artikolu 82(1) ta’ dan ir-regolament, moqri flimkien mal-premessa 146 tiegħu.
49 Dan huwa mingħajr preġudizzju għall-fatt li, kemm‑il darba d-dritt nazzjonali jippermettilha tagħmel dan, il-qorti nazzjonali tista’ tagħti lis-suġġett tad-data kumpens ikbar mill-kumpens sħiħ u effettiv previst fl-Artikolu 82(1) tal-GDPR fil-każ fejn, fid-dawl tal-fatt li d-dannu jkun ġie kkawżat ukoll mill-ksur ta’ dispożizzjonijiet tad-dritt nazzjonali bħal dawk imsemmija fil-punt ta’ qabel, dan il-kumpens tal-aħħar ma jkunx jitqies li huwa suffiċjenti jew xieraq.
50 Fid-dawl tar-raġunijiet premessi, ir-risposta għas-sitt domanda għandha tkun li l-Artikolu 82(1) tal-GDPR għandu jiġi interpretat fis-sens li, sabiex jiġi ddeterminat l-ammont tad-danni dovuti bħala kumpens għal dannu abbażi ta’ din id-dispożizzjoni, ma hemmx lok li jittieħed inkunsiderazzjoni ksur simultanju ta’ dispożizzjonijiet nazzjonali li jirrigwardaw il-protezzjoni tad-data personali, iżda li l-għan tagħhom ma jkunx li jippreċiżaw ir-regoli ta’ dan ir-regolament.
Fuq l-ispejjeż
51 Peress li l-proċedura għandha, fir-rigward tal-partijiet fil-kawża prinċipali, in-natura ta’ kwistjoni mqajma quddiem il-qorti tar-rinviju, hija dik il-qorti li għandha tiddeċiedi fuq l-ispejjeż. L-ispejjeż sostnuti għas-sottomissjoni tal-osservazzjonijiet lill-Qorti tal-Ġustizzja, barra dawk tal-imsemmija partijiet, ma jistgħux jitħallsu lura.
Għal dawn il-motivi, Il-Qorti tal-Ġustizzja (It-Tielet Awla) taqta’ u tiddeċiedi:
1) L-Artikolu 82(1) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data),
għandu jiġi interpretat fis-sens li:
ksur ta’ dan ir-regolament ma huwiex biżżejjed, waħdu, sabiex jingħata dritt għal kumpens taħt din id-dispożizzjoni. Is-suġġett tad-data għandu jistabbilixxi wkoll l-eżistenza ta’ dannu kkawżat minn dan il-ksur, mingħajr, madankollu, ma dan id-dannu jkollu jilħaq ċertu livell ta’ gravità.
2) L-Artikolu 82(1) tar-Regolament 2016/679
għandu jiġi interpretat fis-sens li:
il-biża’ ta’ suġġett tad-data li d-data personali tiegħu tkun ġiet żvelata, minħabba ksur ta’ dan ir-regolament, lil terzi mingħajr ma jkun jista’ jiġi stabbilit li dan kien effettivament il-każ hija biżżejjed sabiex jingħata dritt għal kumpens kemm‑il darba din il-biża’, bil-konsegwenzi negattivi tagħha, tkun ġiet debitament ipprovata.
3) L-Artikolu 82(1) tar-Regolament 2016/679
għandu jiġi interpretat fis-sens li:
sabiex jiġi ddeterminat l-ammont tad-danni dovuti bħala kumpens għal dannu abbażi ta’ din id-dispożizzjoni, la hemm lok, minn naħa, li jiġu applikati mutatis mutandis il-kriterji għall-iffissar tal-ammont tal-multi amministrattivi previsti fl-Artikolu 83 ta’ dan ir-regolament u lanqas, min-naħa l-oħra, li dan id-dritt għal kumpens jingħata funzjoni dissważiva.
4) L-Artikolu 82(1) tar-Regolament 2016/679
għandu jiġi interpretat fis-sens li:
sabiex jiġi ddeterminat l-ammont tad-danni dovuti bħala kumpens għal dannu abbażi ta’ din id-dispożizzjoni, ma hemmx lok li jittieħed inkunsiderazzjoni ksur simultanju ta’ dispożizzjonijiet nazzjonali li jirrigwardaw il-protezzjoni tad-data personali, iżda li l-għan tagħhom ma jkunx li jippreċiżaw ir-regoli ta’ dan ir-regolament.
Firem