CURIA - Documents

Home > Search form > List of results > Documents

Start printing

Language of document : ECLI:EU:C:2023:433

Edizzjoni Provviżorja

KONKLUŻJONIJIET TAL-AVUKAT ĠENERALI

CAMPOS SÁNCHEZ-BORDONA

ippreżentati fil-25 ta’ Mejju 2023 (1)

Kawża C‑667/21

Medizinischer Dienst der Krankenversicherung Nordrhein, Körperschaft des öffentlichen Rechts

(talba għal deċiżjoni preliminari mressqa mill-Bundesarbeitsgericht (il‑Qorti Industrijali Federali, il-Ġermanja))

“Proċedura għal deċiżjoni preliminari – Protezzjoni tad-data personali – Data personali relatata mas-saħħa – Evalwazzjoni tal-kapaċità għax-xogħol ta’ impjegat – Servizz ta’ kontroll mediku ta’ fond ta’ assigurazzjoni għall-mard – Ġestjoni tad-data personali b’rabta mas-saħħa tal-impjegati – Dritt għal kumpens għad-danni – Effett tal-livell ta’ gravità tan-nuqqas”

1. Din it-talba għal deċiżjoni preliminari tittratta l-interpretazzjoni tar-Regolament (UE) 2016/679 (2) fir-rigward ta’: a) l-ipproċessar ta’ data personali relatata mas-saħħa; u b) il-kumpens għad-danni mġarrba minħabba ksur (preżunt) tal-GDPR innifsu.

2. Għalkemm il-Qorti tal-Ġustizzja diġà ddeċidiet dwar id-dispożizzjonijiet tar-GDPR (3) imsemmija f’dawn id-domandi, dawk magħmula fil-kuntest ta’ dan ir-rinviju għal deċiżjoni preliminari huma ġodda, bl-eċċezzjoni tar-raba’ waħda (4).

I. Il-kuntest ġuridiku

A. Id-dritt tal-Unjoni. GDPR

3. Għall-kawża preżenti huma rilevanti l-premessi 4, 10, 35, 51 sa 54 u 146 fil-preambolu tal-GDPR.

4. Skont l-Artikolu 9 (“Ipproċessar ta’ kategoriji speċjali ta’ data personali”):

“1. L-ipproċessar ta’ data personali, li jiżvela oriġini razzjali jew etnika, opinjonijiet politiċi, twemmin reliġjuż jew filosofiku, jew sħubija fi trade union, u l-ipproċessar ta’ data ġenetika, data bijometrika sabiex tidentifika b’mod uniku persuna fiżika, data dwar is-saħħa jew data dwar il-ħajja sesswali u l-orjentazzjoni sesswali ta’ persuna fiżika huma projbiti.

2. Il-paragrafu 1 ma għandux japplika jekk japplika wieħed minn dawn li ġejjin:

[…]

b) l-ipproċessar ikun meħtieġ għall-finijiet tat-twettiq tal-obbligi u l-eżerċizzju ta’ drittijiet speċifiċi tal-kontrollur jew tas-suġġett tad-data fil-qasam tal-liġi dwar l-impjiegi u dwar il-protezzjoni soċjali u s-sigurtà soċjali sa fejn dan ikun awtorizzat mil-liġi tal-Unjoni jew mil-liġi ta’ Stat Membru jew minn ftehim kollettiv skont il-liġi ta’ Stat Membru li jipprevedu salvagwardji xierqa għad-drittijiet fundamentali u l-interessi tas-suġġett tad-data;

[…]

h) l-ipproċessar ikun meħtieġ għall-finijiet ta’ mediċina preventiva jew okkupazzjonali, għall-valutazzjoni tal-kapaċità ta’ ħaddiem għax-xogħol, dijanjosi medika, il-forniment ta’ kura tas-saħħa jew soċjali jew it-trattament jew il-ġestjoni ta’ sistemi u servizzi tal-kura tas-saħħa u soċjali abbażi tal-liġi tal-Unjoni jew tal-liġi ta’ Stat Membru jew skont kuntratt ma’ professjonista fil-kura medika u soġġett għall-kondizzjonijiet u s-salvagwardji msemmija fil-paragrafu 3;

[…]

3. Id-data personali msemmija fil-paragrafu 1 tista’ tiġi pproċessata għall-finijiet imsemmija fil-punt (h) tal-paragrafu 2 meta dik id-data tiġi pproċessata minn professjonista jew taħt ir-responsabbiltà tiegħu li jkun soġġett għall-obbligu ta’ segretezza professjonali skont il-liġi tal-Unjoni jew ta’ Stat Membru jew regoli stabbiliti minn korpi kompetenti nazzjonali jew minn persuna oħra li tkun ukoll soġġetta għal obbligu ta’ segretezza skont il-liġi tal-Unjoni jew ta’ Stat Membru jew ir-regoli stabbiliti minn korpi kompetenti nazzjonali.

4. L-Istati Membri jistgħu jżommu jew jintroduċu aktar kondizzjonijiet, inklużi limitazzjonijiet, fir-rigward tal-ipproċessar ta’ data ġenetika, data bijometrika jew data dwar is-saħħa”.

5. L-Artikolu 82 (“Dritt għal kumpens u responsabbiltà”) jistabbilixxi li:

“1. Kwalunkwe persuna li tkun ġarrbet xi dannu materjali jew mhux materjali b’riżultat ta’ ksur ta’ dan ir-Regolament għandu jkollha d-dritt li tirċievi kumpens mill-kontrollur jew il-proċessur għad-dannu mġarrab.

[…]

3. Kontrollur jew proċessur għandu jkun eżentat mir-responsabbiltà taħt il-paragrafu 2 jekk jagħti prova li bl-ebda mod m’huwa responsabbli għall-avveniment li wassal għad-dannu.

[…].”

B. Id-dritt nazzjonali. Sozialgesetzbuch Fünftes Buch (5)

6. Skont l-ewwel sentenza tal-Artikolu 278(1) tiegħu, f’kull Land, għandu jiġi stabbilit servizz mediku (6) tal-fondi ta’ assigurazzjoni għall-mard fil-forma ta’ korp irregolat mid-dritt pubbliku (7). Waħda mill-funzjonijiet tiegħu, mogħtija mil-liġi, hija li jiġu stabbiliti rapporti intiżi sabiex jitneħħew id-dubji dwar l-inkapaċità għax-xogħol tal-persuni assigurati.

7. Skont il-punt 3(b) tal-ewwel sentenza tal-Artikolu 275(1), il-KV huma obbligati, taħt ċerti kundizzjonijiet, li jitolbu lill-MDK korrispondenti, fil-każ ta’ inkapaċità għax-xogħol ta’ persuna assigurata stabbilita permezz ta’ ċertifikat mediku, rapport intiż sabiex ineħħi d-dubji dwar l-inkapaċità għax-xogħol tiegħu.

II. Il-fatti, il-kawża u d-domandi preliminari

8. Mill‑1991, ZQ kien impjegat mill-MDK ta’ Nordrhein-Westfalen (il-Ġermanja) bħala amministratur ta’ sistemi tad-dipartiment tal-informatika u fis-servizz helpdesk.

9. L-MDK jipprepara rapporti dwar in-nuqqas ta’ kapaċità għax-xogħol tal-persuni assigurati tal-KV. Dawn ir-rapporti jinkludu dawk relatati mas-saħħa tal-ħaddiema tal-MDK stess.

10. L-ipproċessar tad-data jsegwi, inter alia, dawn ir-regoli li jinstabu fl-istruzzjoni interna tas-servizz (8):

– Id-“data soċjali” tal-impjegati ma tistax tinġabar jew tinħażen fuq il-post tax-xogħol tagħhom. Barra minn hekk, din id-data, iġġenerata meta l-MDK jitqabbad minn KV jagħmel rapport ta’ espert, ma għandhiex tiġi konfuża mad-data tal-ħaddiema pproċessata fil-kuntest tar-relazzjoni ta’ xogħol jew ta’ servizz.

– It-talbiet għar-rapport dwar il-ħaddiema tal-MDK huma kklassifikati bħala “każijiet speċjali” u huma ġestiti esklużivament minn unità organizzattiva partikolari (9).

– Wara li jitlesta r-rapport dwar impjegat tal-MDK, kemm id-dokumentazzjoni rilevanti kif ukoll ir-rapport, jinħażnu fil-fajl diġitalizzat tal-MDK innifsu. Huwa biss permezz ta’ kodiċi speċjali li tista’ tiġi stabbilita rabta bejn id-dokumenti u l-persuni speċifiċi, permezz ta’ awtorizzazzjoni ta’ aċċess suġġetta għal proċedura teknika.

11. L-impjegati tad-“Dipartiment tal-Informatika” tal-unità organizzattiva “Każijiet speċjali”, jistgħu, wara l-arkivjar tar-rapport, jaċċedu, legalment suġġetti għall-obbligu ta’ segretezza, għar-rapporti stabbiliti skont inkarigu li jikkonċerna l-ħaddiema tal-MDK.

12. Mit‑22 ta’ Novembru 2017, ZQ kien, mingħajr interruzzjoni, marid u inkapaċi għax-xogħol.

13. Mill‑24 ta’ Mejju 2018 (10), ZQ irċieva allowances tal-mard imħallsa mill-KV li huwa assigurat miegħu. Fis‑6 ta’ Ġunju 2018, din tal-aħħar inkarigat lill-MDK tagħmel rapport sabiex jitneħħew id-dubji dwar l-inkapaċità għax-xogħol ta’ ZQ.

14. MDK aċċetta l-inkarigu, li huwa ta lill-unità “Każijiet speċjali”. Fit‑22 ta’ Ġunju 2018, tabib minn dik l-unità, impjegat tal-MDK, ħareġ rapport li kien fih id-dijanjosi ta’ ZQ. Sabiex jippreparah, huwa kellu konverżazzjonijiet bit-telefon mat-tabib tal-familja ta’ ZQ, li mingħandu kiseb l-informazzjoni rilevanti.

15. MDK arkivja r-rapport f’forma diġitali.

16. Permezz tat-tabib tal-familja tiegħu, ZQ sar jaf bit-telefonata tat-tabib tal-MDK.

17. Fl‑1 ta’ Awwissu 2018, ZQ ikkuntattja kollega tax-xogħol mid-dipartiment tal-informatika tal-MDK, li staqsieha jekk kienx ġie arkivjat rapport dwaru. Wara r-riċerka fl-arkiviji, il-kollega tiegħu wieġbet fl-affermattiv. Fuq talba ta’ ZQ, din ħadet xi ritratti tar-rapport u bagħtithomlu.

18. Fil‑15 ta’ Awwissu 2018, ZQ, talab, mingħajr suċċess, lill-MDK il-ħlas ta’ kumpens fl-ammont ta’ EUR 20 000, abbażi tal-Artikolu 82 tal-GDPR.

19. Fis‑17 ta’ Ottubru 2018, ZQ ressaq talba quddiem l-Arbeitsgericht Düsseldorf (il-Qorti Industrijali ta’ Düsseldorf, il-Ġermanja). Barra minn hekk, fil-kuntest ta’ din il-proċedura, huwa talab kumpens għall-ammont ta’ salarji li qatt ma rċieva (11).

20. Waqt li kienet għadha għaddejja l-proċedura ġudizzjarja, MDK temm ir-relazzjoni ta’ xogħol ma’ ZQ.

21. It-talbiet ta’ ZQ ġew miċħuda kemm fl-ewwel istanza kif ukoll fl-appell (12).

22. ZQ appella quddiem il-Bundesarbeitsgericht (il-Qorti Industrijali Federali, il-Ġermanja), li għamlet dawn id-domandi lill-Qorti tal-Ġustizzja:

“1) L-Artikolu 9(2)(h) ta[l-GDPR] għandu jiġi interpretat fis-sens li jipprojbixxi lis-servizz mediku ta’ assigurazzjoni għall-mard milli jipproċessa d-data relatata mas-saħħa ta’ wieħed mill-impjegati tiegħu li fuqha tiddependi l-evalwazzjoni tal-kapaċità għax-xogħol ta’ dan l-impjegat?

2) Fil-każ li l-Qorti tal-Ġustizzja tagħti risposta fin-negattiv għall-ewwel domanda, b’tali mod li jista’ jitqies li hemm deroga mill-projbizzjoni tal-ipproċessar li jikkonċerna d-data relatata mas-saħħa stabbilita fl-Artikolu 9(1) tar-Regolament 2016/679, b’applikazzjoni tal-Artikolu 9(2)(h) tar-Regolament 2016/679, f’każ bħal dak ineżami, apparti l-kundizzjonijiet stabbiliti fl-Artikolu 9(3) tar-Regolament 2016/679, hemm rekwiżiti oħra dwar il-protezzjoni tad-data li għandhom jiġu osservati u, jekk inhu hekk, liema huma dawn ir-rekwiżiti?

3) Fil-każ li l-Qorti tal-Ġustizzja tagħti risposta fin-negattiv għall-ewwel domanda, b’tali mod li jista’ jitqies li hemm deroga mill-projbizzjoni tal-ipproċessar li jikkonċerna d-data relatata mas-saħħa stabbilita fl-Artikolu 9(1) tar-Regolament 2016/679, b’applikazzjoni tal-Artikolu 9(2)(h) tar-Regolament 2016/679, f’każ bħal dak ineżami, il-legalità tal-ipproċessar tad-data relatata mas-saħħa tiddependi wkoll mill-osservanza ta’ minn tal-inqas waħda mill-kundizzjonijiet stabbiliti fl-Artikolu 6(1) tar-Regolament 2016/679?

4) L-Artikolu 82(1) tar-Regolament 2016/679 għandu natura ta’ prevenzjoni speċjali jew ġenerali u għandu jittieħed inkunsiderazzjoni għall-finijiet tal-evalwazzjoni tad-dannu morali li jista’ jiġi kkumpensat u li għandu jiġi kkumpensat, abbażi ta’ din id-dispożizzjoni, mill-kontrollur responsabbli għall-ipproċessar jew mill-proċessur?

5) Il-livell ta’ gravità tan-nuqqas tal-kontrollur responsabbli għall-ipproċessar jew tal-proċessur huwa rilevanti fil-kuntest tal-evalwazzjoni tad-dannu morali li jista’ jiġi kkumpensat abbażi tal-Artikolu 82(1) tar-Regolament 2016/679? B’mod iktar partikolari, assenza ta’ nuqqas jew nuqqas żgħir min-naħa tal-kontrollur responsabbli għall-ipproċessar jew tal-proċessur jistgħu jiġu invokati favur tagħhom?”

III. Il-proċedura quddiem il-Qorti tal-Ġustizzja

23. It-talba għal deċiżjoni preliminari waslet fil-Qorti tal-Ġustizzja fit‑8 ta’ Novembru 2021.

24. Ġew ippreżentati osservazzjonijiet bil-miktub minn ZQ, mill-MDK, mill-Gvern Irlandiż u minn dak Taljan kif ukoll mill-Kummissjoni Ewropea.

25. Iż-żamma ta’ seduta ma tqisitx indispensabbli.

26. Fuq indikazzjoni tal-Qorti tal-Ġustizzja, dawn il-konklużjonijiet ma humiex ser jindirizzaw ir-raba’ domanda preliminari (13).

IV. Analiżi

A. L-ewwel domanda preliminari

27. Il-qorti tar-rinviju tistaqsi jekk l-Artikolu 9(2)(h) tal-GDPR jipprojbixxix lil MDK milli jipproċessa data rigward is-saħħa ta’ wieħed mill-ħaddiema tiegħu stess, meta din hija indispensabbli għall-evalwazzjoni tal-kapaċità tiegħu għax-xogħol. Għaldaqstant, hija tikkontesta l-legalità tal-ipproċessar minħabba l-entità li għamlet dan (14).

28. L-Artikolu 9 tal-GDPR jirregola kategoriji speċjali ta’ data, bħal dik dwar is-saħħa ta’ persuna. Dan jistabbilixxi projbizzjoni ġenerali fuq l-ipproċessar ta’ data “sensittiva” (paragrafu 1) u jelenka b’mod eżawrjenti ċ-ċirkustanzi li fihom il-projbizzjoni ġenerali ma tapplikax (paragrafu 2).

29. B’mod partikolari, il-punt (h) tal-paragrafu 2 tal-Artikolu 9 tal-GDPR jinkludi d-deroga (projbizzjoni ġenerali) għall-ipproċessar ta’ data personali “għall-finijiet ta’ mediċina preventiva jew okkupazzjonali, għall-valutazzjoni tal-kapaċità ta’ ħaddiem għax-xogħol, dijanjosi medika, il-forniment ta’ kura tas-saħħa jew soċjali.”

30. Fl-opinjoni tiegħi, din id-dispożizzjoni toffri kopertura suffiċjenti għall-aġir tal-MDK inkwistjoni (15). Huwa rrilevanti li l-kontrollur ikun kemm il-persuna li timpjega s-suġġett tad-data, sa fejn l-MDK ma jaġixxix bħala persuna li timpjega, iżda bħala servizz mediku ta’ KV li miegħu kien assigurat is-suġġett tad-data (16).

31. Ma nara l-ebda bażi għall-interpretazzjoni tal-Artikolu 9(2)(h) tal-GDPR fis-sens li jipprojbixxi lil servizz mediku milli jipproċessa d-data dwar is-saħħa tal-impjegati tiegħu għall-finijiet imsemmija f’dan il-punt. Il-kriterji ermenewtiċi tas-soltu pjuttost iwasslu għal soluzzjoni kuntrarja (nuqqas ta’ projbizzjoni bħal din).

32. Mill-perspettiva letterali, l-Artikolu 9(2)(h) tal-GDPR ma jagħmel l-ebda esklużjoni f’dan is-sens, u lanqas ma jimponi bħala kundizzjoni għall-ipproċessar li l-kontrollur ikun “parti terza newtrali” (17).

33. Il-fatti leġiżlattivi u l-evoluzzjoni tad-dispożizzjoni la juru projbizzjoni bħal dik imsemmija fl-ewwel domanda preliminari, u lanqas ma juru l-intenzjoni li din għandha tiġi inkluża (18).

34. L-għan tar-regoli tal-GDPR dwar l-ipproċessar tad-data relatata mas-saħħa huwa, kif iddeċidiet il-Qorti tal-Ġustizzja (19), huwa li tingħata protezzjoni msaħħa lill-persuni kkonċernati, fid-dawl tas-sensittività partikolari ta’ din id-data għad-drittijiet fundamentali kkonċernati. Ġiet introdotta l-projbizzjoni ġenerali tal-Artikolu 9(1) tal-GDPR għas-servizz ta’ dan l-għan, li madankollu ma hijiex assoluta (20).

35. F’dan il-qasam, bħal f’oħrajn li jikkonċernaw l-ipproċessar tad-data personali, l-għażla tal-leġiżlatur, ladarba tiġi stabbilita l-projbizzjoni ġenerali, kienet:

– L-introduzzjoni ta’ rekwiżiti, fil-forma ta’ lista ta’ sitwazzjonijiet konkreti, miġbura flimkien (grosso modo) f’dawk fejn is-suġġett tad-data jawtorizza huwa stess l-ipproċessar jew jibbenefika minnu, u dawk li fihom hemm interessi predominanti meta mqabbla ma’ dawk ta’ kull individwu.

– It-twettiq ta’ ċertu tip ta’ pproċessar ta’ prekawzjonijiet speċifiċi, iktar b’saħħithom minn dawk li japplikaw għall-bqija tad-data personali “mhux sensittiva” (21).

– L-għoti ta’ awtorizzazzjoni lill-Istati Membri sabiex jintroduċu kundizzjonijiet addizzjonali, jew limitazzjonijiet, għall-ipproċessar ta’ data personali. Għalhekk, fir-rigward tad-data dwar is-saħħa (l-Artikolu 9(4) tal-GDPR u l-aħħar parti tal-premessa 53) jew dwar id-data tal-ħaddiema fil-qasam tax-xogħol (l-Artikolu 88 tal-GDPR) (22).

36. Issa, fl-astratt, xejn ma jipprekludi li, fost il-prekawzjonijiet speċifiċi li għadni kif għamilt riferiment għalihom, hemm dik li MDK jiġi pprojbit milli jipproċessa data dwar is-saħħa tal-impjegati tiegħu. Madankollu, ma jidhirlix li din l-għażla (li l-leġiżlatur Ewropew ma għażilx) hija indispensabbli sabiex jinżamm l-għan imsemmi iktar ’il fuq.

37. Għalhekk inqis li l-projbizzjoni l-qorti tar-rinviju tistaqsi dwarha lill-qorti tar-rinviju ma hijiex konsegwenza ineżorabbli ta’ interpretazzjoni teleoloġika tal-Artikolu 9(2)(h) tar-RGPD.

38. Lanqas ma nemmen li interpretazzjoni sistematika tad-dispożizzjoni ser twassal għal soluzzjoni oħra, għaliex:

– Jekk jitqies, għal finijiet djalettiċi, li kien korrett li l-Artikolu 9(2)(b) tal-GDPR jinftiehem bħala l-unika bażi li għaliha persuna li timpjega tista’ tipproċessa data dwar is-saħħa tal-impjegati tagħha (23), dan ma jaffettwax il-possibbiltà li l-istess entità, mhux bħala persuna li timpjega, iżda bħala servizz mediku li jirċievi inkarigu mingħand KV, twettaq l-ipproċessar skont eċċezzjoni oħra tal-istess Artikolu 9(2) (24).

– L-Artikolu 9(3) tal-GDPR jistabbilixxi l-kundizzjonijiet applikabbli għall-persuni li jipproċessaw data personali dwar is-saħħa. Il-paragrafu 2(h) tal-Artikolu 9, jirreferi espressament għall-paragrafu 3; minn perspettiva suġġettiva, l-ipproċessar ma huwa suġġett għal ebda kundizzjoni oħra (25).

39. Fil-qosor, nipproponi li tingħata risposta fin-negattiv (jiġifieri li l-projbizzjoni inkwistjoni ma teżistix fil-GDPR) għall-ewwel domanda preliminari, li tippermetti li tiġi indirizzata d-domanda li ġejja.

B. It-tieni domanda preliminari

40. Jekk (kif nissuġġerixxi) ir-risposta għall-ewwel domanda preliminari kienet fin-negattiv, il-qorti tar-rinviju tixtieq tkun taf jekk “f’kawża bħal dik inkwistjoni, minbarra l-kundizzjonijiet previsti fl-Artikolu 9(3) tal-GDPR, [jeżistux] rekwiżiti addizzjonali dwar il-protezzjoni tad-data u, jekk ikun il-każ, liema jkunu”.

41. It-tweġiba, b’mod ġenerali, ma għandhiex toħloq problemi kbar (26). Il-Qorti tal-Ġustizzja rrilevat li kull proċessar ta’ data personali għandu josserva l-prinċipji stabbiliti fl-Artikolu 5 tal-GDPR kif ukoll waħda mill-kundizzjonijiet ta’ legalità stabbiliti fl-Artikolu 6 tiegħu (27).

42. Skont il-qorti tar-rinviju, l-osservanza tal-obbligu ta’ segretezza (Artikolu 9(3) tal-GDPR) ma hijiex biżżejjed sabiex tipproteġi d-data f’ċirkustanzi bħal dawk f’dan il-każ. Hija tipproponi miżuri addizzjonali oħra li, fil-fehma tagħha, huma l-uniċi adattati għal dan l-għan (28).

43. Inqis li, bħala tali, l-Artikolu 9(3) tal-GDPR ma jistax iservi bħala bażi għal dawn il-miżuri addizzjonali. Il-kontenut ċar tiegħu (li jillimita ruħu għal deskrizzjoni fil-qosor ta’ dispożizzjoni li diġà tinsab fid-Direttiva 95/46) (29) ma tipprovdix appoġġ għal proposti bħal dik tal-qorti tar-rinviju.

44. Dawn il-proposti jistgħu, għall-kuntrarju, jaqgħu taħt l-Artikolu 9(4) tal-GDPR. Skont din id-dispożizzjoni, l-Istati Membri jistgħu jimponu “aktar kondizzjonijiet, inklużi limitazzjonijiet, fir-rigward tal-ipproċessar ta’ data […] dwar is-saħħa (30).” Madankollu, mid-deċiżjoni tar-rinviju ma jirriżultax li dan kien il-każ fil-Ġermanja.

45. Madankollu, u għar-raġunijiet li tkellimt fuqhom qabel, l-ipproċessar tad-data personali dwar is-saħħa għandu jkun suġġett, fost prinċipji oħra, għal dak stabbilit fl-Artikolu 5(1)(f) tal-GDPR u għall-obbligi li jirriżultaw minnu, li huma ddettaljati fil-Kapitolu IV tal-GDPR.

46. Barra minn hekk, il-kontrollur (31) għandu jieħu miżuri tekniċi u organizzattivi xierqa biex jiżgura li l-ipproċessar partikolari jkun konformi mal-GDPR. Dan huwa dak li jipprevedi, b’mod ġenerali, l-Artikolu 24(1) tiegħu.

47. B’mod partikolari, l-Artikolu 32(1) tal-GDPR jimponi fuq il-kontrollur l-obbligu li jimplimenta “miżuri tekniċi u organizzattivi xierqa, biex jiżguraw livell ta’ sigurtà xieraq għar-riskju” involut fid-data personali inkwistjoni.

48. Bl-applikazzjoni ta’ dawn ir-regoli għall-kawża inkwistjoni, il-kwalità ta’ persuna li timpjega tal-MDK f’relazzjoni ma’ ZQ timponilu obbligu ta’ kawtela fl-ipproċessar tad-data tiegħu dwar is-saħħa ogħla minn dak normali, peress li r-riskji huma wkoll ogħla (32).

49. Il-MDK ma jinjorax dan il-fatt. Meta, fuq talba ta’ KV li magħha jkun assigurat l-impjegat tagħha, hija twettaq rapport sabiex jitneħħew id-dubji dwar il-kapaċità ta’ xogħol tiegħu, hija timplimenta sett ta’ miżuri ad hoc, tekniċi u organizzattivi, previsti sabiex l-ipproċessar tad-data personali dwar is-saħħa jinġieb f’konformità mal-GDPR (33).

50. L-evalwazzjoni ta’ dawn il-miżuri taqa’ taħt il-kompetenza tal-qorti tar-rinviju, li tista’ tiddeċiedi, fi tmiem l-evalwazzjoni tagħha, li l-miżuri adottati ma kinux suffiċjenti. Iżda dan ma jippermettix li mill-Artikolu 9 tal-GDPR jiġi dedott obbligu għall-MDK li jiċħdu ex officio kull talba għal rapport mediku (dwar l-impjegati tagħhom) mill-KV (34).

C. It-tielet domanda preliminari

51. F’każ ta’ risposta fin-negattiv għall-ewwel domanda preliminari, fit-tielet domanda, il-qorti tar-rinviju tistaqsi jekk l-eċċezzjoni għall-projbizzjoni ta’ pproċessar ta’ data dwar is-saħħa “tiddependi[x], [u]koll mill-osservanza ta’ minn tal-inqas waħda mill-kundizzjonijiet stabbiliti fl-Artikolu 6(1) tal-GDPR.”

52. Sabiex tingħata risposta għal din id-domanda, għandha tiġi analizzata r-relazzjoni bejn l-Artikolu 9(2) tal-GDPR u l-Artikolu 6 tiegħu, dwar il-legalità tal-ipproċessar. Il-ħtieġa li wieħed jimxi ma’ dan l-aħħar artikolu f’kull proċessar ta’ data tinsab fis-sentenzi mogħtija mill-Qorti tal-Ġustizzja, li ċċitajt iktar ’il fuq (35).

53. B’mod partikolari, dik mogħtija fil-Kawża C‑439/19 (36) interpretat l-Artikolu 10 tal-GDPR, dwar kategorija oħra ta’ data personali sensittiva (dik relatata mal-kundanni kriminali u mar-reati) (37), billi ddeċidiet li l-Artikolu 6 tal-GDPR japplika b’mod kumulattiv mal-Artikolu 10.

54. Din l-istess ipoteżi, tista’ tiġi trasposta għad-data personali msemmija fl-Artikolu 9 tal-GDPR?

55. L-istruttura tal-Artikoli 9 u 10 tal-GDPR hija differenti. L-Artikolu 10 jinkludi riferiment espliċitu għall-Artikolu 6(1) tal-GDPR stess, li ma ssirx fl-Artikolu 9.

56. Lanqas il-kontenut tal-Artikolu 9(2) u dak tal-Artikolu 10 tal-GDPR ma huwa komparabbli: l-Artikolu 10 jindika biss restrizzjoni suġġettiva għall-ipproċessar, filwaqt li l-Artikolu 9(2) jistabbilixxi għanijiet (jew ċirkustanzi) li jiġġustifikawh, bħall-Artikolu 6(1).

57. Fil-fatt, il-paralleliżmu bejn l-Artikolu 6(1) u l-Artikolu 9(2) tal-GDPR huwa tali li, fl-ewwel qari, jidher li ċ-ċirkustanzi li dan tal-aħħar jelenka huma speċifikazzjonijiet tal-kundizzjonijiet li jinsabu fl-ewwel artikolu: dawn jagħmluhom iktar preċiżi u fl-istess ħin, iktar severi.

58. L-istorja u l-iżvilupp tal-Artikolu 9 tal-GDPR madankollu jikkontestaw il-fatt li r-relazzjoni bejnu u l-Artikolu 6 hija spjegata f’termini ta’ “liġi speċjali” u ta’ “liġi ġenerali”.

59. Huwa paċifiku li din l-interpretazzjoni kienet effettivament sostnuta mid-delegazzjonijiet ta’ ċerti Stati Membri (38). Madankollu, dokumenti relatati man-negozjar tal-Artikolu 9 ma jsemmux diverġenzi fir-rigward tar-riferiment għall-Artikolu 6 (39), iżda għall-portata tiegħu (fil-paragrafu 1 tiegħu biss, jew anki fl-oħrajn?) (40). Finalment, ir-riferiment tal-Artikolu 9 għall-Artikolu 6 (41) tneħħa u ġie deċiż li jinżamm fil-preambolu paragrafu simili għall-premessa 51 attwali tal-GDPR (42).

60. L-idea ta’ kumulu, jew ta’ komplementarjetà, bejn iż-żewġ dispożizzjonijiet hija kondiviża mill-Bord Ewropew għall-Protezzjoni tad-Data (43) u kienet sostnuta mill-Grupp ta’ Ħidma tal-Artikolu 29 (44) fir-rigward tal-Artikolu 8 tad-Direttiva 95/46 (45). Madankollu, din ma hijiex interpretazzjoni li ma ssibx kontestazzjoni fid-duttrina, jew f’fora rilevanti oħra (46).

61. Meta nqis id-diversi inċiżi tal-Artikolu 9(2) tal-GDPR, naħseb li r-relazzjoni bejn din id-dispożizzjoni u l-Artikolu 6 ma tippermettix, fir-realtà, risposta unika. Fil-fatt:

– Eċċezzjonijiet għall-projbizzjoni tal-ipproċessar bħal dawk previsti fil-punti (a), (c), (g) u (i) (47) tal-Artikolu 9(2) għandhom korrelazzjoni immedjata ma’ bażi legali speċifika tal-Artikolu 6(1) tal-GDPR u jassorbuha.

– Ma jiġrix l-istess meta eċċezzjonijiet oħra elenkati fl-Artikolu 9(2) tal-GDPR, li jeħtieġu ġustifikazzjoni addizzjonali skont l-Artikolu 6(1). Dan huwa l-każ, fl-opinjoni tiegħi, tal-Artikolu 9(2)(h), li huwa s-suġġett ta’ din id-domanda preliminari.

62. Għalhekk inqis li, sabiex l-ipproċessar ta’ data sensittiva awtorizzat mill-Artikolu 9(2)(h) tal-GDPR ikun legali, għandu jiġi mfittex liema waħda mill-kundizzjonijiet stabbiliti fl-Artikolu 6(1) tilleġittimah fuq bażi ta’ każ b’każ.

63. Il-qorti tar-rinviju ma tikkontestax li dan huwa l-każ: anzi, abbażi ta’ din il-premessa, tiffoka fuq iċ-ċaħda li l-ipproċessar magħmul mill-MDK isib ġustifikazzjoni fl-Artikolu 6 (48).

64. Mal-ewwel daqqa t’għajn, ma jidhirlix li teżisti ordni ta’ prijorità bejn il-bażijiet legali li tipprovdi d-dispożizzjoni. Analiżi ulterjuri tista’ tiżvela l-ħtieġa li jiġu introdotti sfumaturi (49). Madankollu, inqis li tali analiżi tmur lil hinn minn dak li huwa neċessarju sabiex tingħata risposta għal dan ir-rinviju għal deċiżjoni preliminari (50).

65. Fil-qosor, ir-risposta għat-tielet domanda preliminari għandha tindika lill-qorti tar-rinviju li l-eċċezzjoni għall-projbizzjoni li tiġi pproċessata data dwar is-saħħa teżiġi li tiġi ssodisfatta, tal-inqas, waħda mill-kundizzjonijiet stabbiliti fl-Artikolu 6(1) tal-GDPR.

D. Il-ħames domanda preliminari

66. Il-qorti tar-rinviju tistaqsi jekk “il-livell ta’ gravità tan-nuqqas tal-kontrollur responsabbli għall-ipproċessar jew tal-proċessur [huwiex] rilevanti fil-kuntest tal-evalwazzjoni tad-dannu morali li jista’ jiġi kkumpensat abbażi tal-Artikolu 82(1) [tal-GDPR]” u, b’mod partikolari, jekk “l-assenza ta’ nuqqas jew nuqqas żgħir min-naħa tal-kontrollur responsabbli għall-ipproċessar jew tal-proċessur [jistgħux] jiġu invokati favur tagħhom.”

67. Id-domanda tassumi li kien hemm ksur tal-GDPR (51), imwettaq mill-kontrollur responsabbli għall-ipproċessar tad-data, u tqum il-kwistjoni dwar jekk il-livell ta’ gravità tan-nuqqas ta’ dan tal-aħħar huwiex importanti sabiex jiġi kkwantifikat il-kumpens għad-dannu li jirriżulta minn dan il-ksur. Skont il-qorti tar-rinviju, ma huwiex ċert jekk l-assenza ta’ nuqqas jew ta’ nuqqas żgħir min-naħa tal-kontrollur, tistax tiġi kklassifikata bħala element li jista’ jiskaġunah.

68. Jekk tittieħed litteralment, id-domanda tiffoka fuq il-kwantifikazzjoni tal-kumpens. L-ispjegazzjonijiet li jakkumpanjawha kienu madankollu joħolqu ċerta konfużjoni, peress li ma kienx jidher b’mod ċar jekk kinux jirreferu għan-nuqqas bħala kundizzjoni għall-imputazzjoni tar-responsabbiltà jew bħala fattur ta’ gradazzjoni tal-ammont tal-kumpens.

69. Mistiedna mill-Qorti tal-Ġustizzja sabiex tiċċara din l-ambigwità, il-qorti tar-rinviju esponiet li d-domanda kienet tirrigwarda dawn iż-żewġ aspetti, mingħajr ma ppreċiżat iktar ir-rabta tagħhom mat-tilwima oriġinali.

70. Fid-dawl ta’ din ir-risposta, nipproponi li tingħata risposta għad-domandi magħmula mill-qorti tar-rinviju wara li (ukoll) ħadet inkunsiderazzjoni dawk imressqa mill-MDK dwar l-eventwali involviment tal-persuna kkonċernata fit-twettiq tad-dannu (52). Il-preżentazzjoni tiegħi ser issir fi tliet stadji:

– Fl-ewwel wieħed, ser nindirizza t-titolu ta’ imputazzjoni tar-responsabbiltà prevista fl-Artikolu 82 tal-GDPR.

– Fit-tieni waħda, ser nanalizza l-impatt li jista’ jkollha l-konsultazzjoni ta’ data personali minn impjegat tal-kontrollur responsabbli għall-ipproċessar (53). Element speċifiku u essenzjali ta’ dan ix-xenarju huwa li dan l-impjegat wettaq it-tiftix fuq talba tal-persuna kkonċernata.

– Fit-tielet wieħed, ser nesprimi ruħi dwar l-effett li l-livell ta’ gravità tan-nuqqas tal-kontrollur responsabbli għall-ipproċessar jista’ jkollu fuq l-evalwazzjoni konkreta tad-dannu morali li jista’ jiġi kkumpensat.

1. Titolu tar-responsabbiltà ċivili fl-Artikolu 82 tal-GDPR

71. Il-qorti tar-rinviju hija tal-fehma li l-Artikolu 82(1) tal-GDPR ma jissuġġettax ir-responsabbiltà ċivili (tal-amministratur (54) tal-ipproċessar) għall-eżistenza jew għall-prova ta’ intenzjoni jew ta’ negliġenza. Iżid li l-paragrafu 3 tal-istess artikolu ma jsostnix soluzzjoni oħra.

72. Nammetti li ma huwiex ċar liema mudell ta’ responsabbiltà ċivili adotta l-GDPR u li diversi interpretazzjonijiet huma, a priori, possibbli (55). L-interpretazzjoni tal-qorti tar-rinviju hija waħda minnhom: fl-opinjoni tiegħi, hija korretta.

73. Il-qari tal-Artikolu 82(1) tal-GDPR fis-sens li jistabbilixxi sistema ta’ responsabbiltà ċivili lil hinn min-nuqqas tal-kontrollur tad-data huwa, fil-fehma tiegħi, konformi mal-formulazzjoni tiegħu, li għandha appoġġ immedjat fix-xogħol preparatorju u, fuq kollox, tiffavorixxi l-għan tar-regola. Hija aċċettabbli fid-dawl ta’ paragrafi oħra tal-artikolu, kif ukoll tas-sistema kkunsidrata fl-intier tagħha.

a) Argument letterali

74. Il-pożizzjoni li tiddefendi l-qorti tar-rinviju hija konformi mal-kontenut tal-Artikolu 82(1) tal-GDPR. Letteralment, id-dritt għal kumpens mill-kontrollur huwa, sempliċement, marbut mad-danni mġarrba minħabba ksur tal-GDPR innifsu.

75. Il-paragrafi l-oħra tal-Artikolu 82 ma jeħtiġux risposta oħra (56). B’mod partikolari, ma nazzardax niddeduċi rekwiżit ta’ nuqqas mill-kelma “imputable (imputabbli)” fl-Artikolu 82(3). It-terminu jidher biss f’xi verżjonijiet lingwistiċi tal-GDPR; oħrajn, għall-kuntrarju, jirrikorru għat-terminu “responsabbli”. Fil-verżjoni Ġermaniża, la l-Artikolu 82 u lanqas il-preambolu ma jinkorporaw it-terminu tekniku proprju għall-imputazzjoni minħabba nuqqas (“Verschulden”) (57).

76. Meta jitqabblu d-diversi dispożizzjonijiet tal-GDPR, huwa enfasizzat li t-terminoloġija użata ma hijiex dejjem univoka, b’tali mod li l-prudenza għandha tkun estrema meta jinsiltu l-konsegwenzi mill-kontenut letterali tagħha. Fil-verżjoni Ingliża, pereżempju, il-kelma “responsible” tintuża f’diversi tifsiriet (58).

77. In-nuqqas ta’ riferimenti għall-intenzjoni jew għan-nuqqas tal-kontrollur fl-Artikolu 82 tal-GDPR jikkuntrasta ma’ dak li ġie aċċennat fl-Artikolu 83 dwar multi amministrattivi: “[m]eta jiġi deċiż jekk għandiex tiġi imposta multa amministrattiva u jiġi deċiż l-ammont tal-multa amministrattiva, f’kull każ individwali”, ser jittieħdu inkunsiderazzjoni l-intenzjoni jew in-negliġenza tal-ksur tal-GDPR (59).

78. Għalkemm id-diverġenza bejn it-testi ddgħajjef il-piż tal-kriterju ermenewtiku letterali, din tikkorrobora tal-inqas l-idea li la l-intenzjoni u lanqas in-nuqqas ma jinsabu fl-Artikolu 82 tar-GDPR u li din l-assenza hija konxja, u ma tistax tiġi attribwita għal nuqqas ta’ attenzjoni min-naħa tal-leġiżlatur.

b) Xogħlijiet preparatorji

79. Id-diskussjoni dwar it-titolu ta’ imputazzjoni tar-responsabbiltà finalment stabbilita fil-GDPR hija oskurata mill-kuntest li fih seħħet fi ħdan il-Kunsill, matul il-każ ta’ diversi membri tal-persunal tal-ipproċessar.

80. Din id-diskussjoni ġiet imħallta ma’ kunsiderazzjonijiet proċedurali, mingħajr ma ġiet spjegata bi strument kunċettwali li jippermetti li ssir distinzjoni bejn il-funzjoni tan-nuqqas bħala titolu ta’ imputazzjoni tar-responsabbiltà, minn naħa, u dik tal-assenza ta’ nuqqas għall-finijiet tal-eżenzjoni minn din l-istess responsabbiltà, fuq il-livell tar-rabta kawżali, min-naħa l-oħra.

81. Madankollu, naħseb li x-xogħol preparatorju jimmilita favur fehim tal-Artikolu 82(1) tal-GDPR li fih ir-responsabbiltà ċivili ma tiddependix mill-ħtija tal-kontrollur.

82. Il-proposta tal-Kummissjoni segwiet id-Direttiva 95/46 u ma semmiet l-ebda negliġenza. F’dokumenti tal-Kunsill, issir allużjoni għall-fatt li r-responsabbiltà prevista hija ddefinita bħala “strict liability (60).”

83. Emenda ssuġġerita fil-Kumitat għal-Libertajiet Ċivili, il-Ġustizzja u l-Intern tal-Parlament kellha l-Artikolu 82(1) (dak iż-żmien 77) b’kontenut li fih ir-responsabbiltà hija marbuta mal-intenzjoni jew man-negliġenza (61). Din ma rnexxietx (62).

84. Fi ħdan il-Kunsill, id-dibattitu dwar l-Artikolu 77 u tal-kriterju ta’ imputazzjoni kien marbut mal-attribuzzjoni u mat-tqassim tar-responsabbiltajiet meta diversi persuni jintervjenu fl-istess operazzjoni ta’ pproċessar. F’dan il-kuntest, il-Presidenza pproponiet li tagħżel bejn żewġ opzjonijiet (63):

– Skont l-ewwel waħda (64), kull kontrollur responsabbli għall-ipproċessar jew tal-proċessur jitqies li huwa legalment responsabbli għad-dannu kollu lis-suġġett tad-data (65), meta jkun kiser l-obbligi tiegħu taħt il-GDPR (66). L-intervent tiegħu fid-dannu, anki jekk żgħir, jippermetti lill-persuna kkonċernata titlob kumpens sħiħ; u f’każ ta’ diversi parteċipanti, mingħand kull wieħed minnhom (67). Madankollu, kulħadd jinħeles jekk juri li ma kien bl-ebda mod responsabbli (“responsible”) għad-dannu (“0 % responsibility”); dan huwa rifless fil-punt 3 tal-Artikolu. Il-mudell huwa deskritt bħala “closer (but certainly not equal to) to the ‘liability follows fault principle’. (68)”

– It-tieni opzjoni wasslet lill-kontrollur tad-data għal obbligu inevitabbli li jikkumpensa lis-suġġett tad-data għad-dannu kollu, f’forma ta’ responsabbiltà assoluta, sa fejn ma kienet prevista ebda eżenzjoni (69). L-ilment tal-persuna kkonċernata kontra l-proċessur huwa possibbli biss b’mod sussidjarju (70). Lanqas ma kienet prevista eżenzjoni għalih.

85. It-test ta’ kompromess ippreżentat mill-Presidenza bil-ħsieb tal-adozzjoni tiegħu bħala approċċ ġenerali (71) jsegwi l-ewwel għażla, filwaqt li jsaħħaħ in-natura eċċezzjonali tal-eżenzjoni u d-diffikultà tal-prova tagħha fir-rigward tal-formulazzjoni tal-Artikolu 77(3): “[…] if it [il-kontrollur responsabbli għall-ipproċessar/il-proċessur tad-data] proves that it is not in any way responsible (…) (72).” Din il-formulazzjoni u l-artikolu li ġie finalment approvat, jikkorrispondu.

86. Fil-qosor, l-analiżi tal-iter leġiżlattiv li wassal għat-test finali tal-GDPR titlob li r-responsabbiltà msemmija fl-Artikolu 82(1) tiegħu ma tkunx marbuta man-nuqqas tal-kontrollur tad-data.

c) Skop

87. Il-GDPR jistabbilixxi sistema mfassla biex tiżgura livell għoli ta’ protezzjoni tal-persuni fiżiċi, filwaqt li jitneħħew l-ostakli għall-moviment tad-data personali (73). F’din is-sistema, l-Artikolu 82 tiegħu għandu għan kumpensatorju ta’ danni, bla ħsara għall-fatt li jservi wkoll, b’mod sekondarju, għad-dissważjoni jew għall-prevenzjoni ta’ aġir li ma jkunx konformi mar-rekwiżiti tagħha (74).

88. Il-garanzija ta’ kumpens hija għan fiha nfisha: dan jirriżulta mill-importanza li l-leġiżlatur jagħtiha u jista’ jiġi dedott mis-sempliċi qari tat-test. Għall-GDPR, li jinkiseb kumpens, meta jkun seħħ dannu, huwa dritt tas-suġġett tad-data; il-kunċett tad-danni għandu jiġi interpretat f’sens wiesa’ u l-kumpens għandu jkun sħiħ u effettiv.

89. Il-kumpens jorbot mal-aspirazzjoni li tiġi msaħħa l-fiduċja taċ-ċittadini fl-ambjent diġitali, għan ta’ ambitu ġenerali stabbilit mill-GDPR fil-premessa 7 tiegħu. Għandu jiġi żgurat li, bħala soluzzjoni ta’ prinċipju, is-suġġett tad-data ma għandux sempliċement isofri danni li jirriżultaw minn ipproċessar illegali tad-data tiegħu, u dan iservi sabiex jinkoraġġixxi tali fiduċja: il-patrimonju tiegħu huwa sigur u, mil-lat proċedurali, l-ilment tiegħu huwa iktar sempliċi.

90. Huwa konsistenti ma’ dan l-approċċ il-fatt li l-Artikolu 82(1) tal-GDPR ma jassoċjax l-obbligu li jiġi kkumpensat in-nuqqas ta’ osservanza ta’ dmir ta’ diliġenza. Tali obbligu huwa attribwit, permezz ta’ deċiżjoni tal-leġiżlatur, lil min jokkupa ċerta pożizzjoni ta’ gwardjan jew ta’ garanti fir-relazzjoni u, preċiżament, fid-dawl ta’ dan il-fatt biss.

91. Għalhekk, jista’ jingħad li, għall-GDPR, dak li huwa rilevanti huwa s-sitwazzjoni tal-vittma li ssofri d-dannu li jirriżulta mill-ksur, meta l-ebda regola ma timponilu l-obbligu li jsostniha.

92. Ma tagħmel l-ebda differenza għall-vittma jekk il-persuna li tkun ikkawżat id-dannu wettqitx xi nuqqas jew le: dak li huwa deċiżiv huwa l-fatt li l-proċessur tad-data jkun ikkawżalha ħsara, materjali jew morali, li tirriżulta mill-ksur tal-GDPR li jkun twettaq minnu.

93. L-għanijiet deskritti jintlaħqu b’mod iktar faċli f’mudell li għandu t-tendenza li d-dannu mġarrab:

– jiġi kkumpensat, fi kwalunkwe każ (ħlief għal raġunijiet ta’ eżenzjoni, li hija l-eċċezzjoni) u

– jagħti lok għal kumpens li l-kisba tiegħu hija (komparattivament) sempliċi, mhux biss għaliex ma hemmx lok li tiġi pprovata l-ħtija tal-kontrollur, iżda għaliex, fl-eżistenza ta’ ksur u ta’ dannu li huma assoċjati miegħu, l-imputazzjoni ma tiddependi minn ebda livell ta’ gravità tal-ksur.

94. Fil-kuntest tal-adattament għar-rivoluzzjoni diġitali (75), din is-soluzzjoni jidhirli li hija koerenti. L-evoluzzjoni teknoloġika titlob li, fl-iktar attivitajiet komuni ta’ pproċessar tad-data online, in-nuqqas ta’ intenzjoni jew negliġenza ma jipprekludix milli jingħata kumpens għal danni li nkella jibqgħu ma jiġux ikkumpensati.

d) Is-sistema

95. L-interpretazzjoni li nipproponi hija iktar konformi mal-istruttura tal-GDPR. Fl-Artikolu 82 tiegħu, dan huwa kkorroborat mill-punt 3: l-eżenzjoni hija possibbli jekk “il-kontrollatur [...] jagħti prova li bl-ebda mod m’huwa responsabbli għall-avveniment li wassal għad-dannu.”

96. Hemmhekk, jiġi enfasizzat il-kliem “bl-ebda mod”, li jagħti x’jifhem li l-mudell ma huwiex ta’ nuqqas (u lanqas ta’ nuqqas żgħir) bil-qlib tal-oneru tal-prova.

97. Li jiġi kkunsidrat li l-kumpens ma jiddependix min-nuqqas tal-kontrollur jagħti lill-Artikolu 82 tifsira proprja fil-Kapitolu VIII u, finalment, fil-GDPR kollu kemm hu.

98. Il-leġiżlatur Ewropew jassumi li l-ipproċessar tad-data personali jista’ jkun sors ta’ riskji. Huwa jimponi fuq il-persunal tal-ipproċessar biex jevalwaw ir-riskji, u jadottaw u jaġġornaw miżuri xierqa biex jipprevjenu u jimminimizzaw dak li jkun ġie identifikat (76).

99. Ġie ddikjarat li mudell ta’ responsabbiltà ċivili bbażat fuq in-nuqqas jippromwovi d-diliġenza u, b’hekk, il-protezzjoni kontra r-riskji, filwaqt li l-mudell alternattiv, li ma jikkunsidrax il-mod kif ġab ruħu l-persunal, jiskoraġġixxi l-prekawzjoni ta’ dan tal-aħħar (peress li, jekk ikun hemm dannu, dan għandu xorta waħda jiġi kkumpensat).

100. Jiena tal-fehma li dan ir-riżultat (77) jista’ jiġi aċċettat fil-GDPR. L-Artikolu 82 jagħmel parti minn struttura normattiva kumplessa, bi strumenti tad-dritt pubbliku u tad-dritt privat sabiex tiġi protetta d-data personali. Fi ħdan din l-istruttura, in-negliġenza (u l-intenzjonalità) huma importanti għall-finijiet ta’ sanzjonijiet amministrattivi. Ma narax il-ħtieġa li dawn ikunu wkoll rilevanti għall-finijiet tar-responsabbiltà ċivili (78), li jkun jippreġudika l-għanijiet tal-Artikolu 82 u li jnaqqas, barra minn hekk, l-attrazzjoni prattika tar-rimedju previst minnu.

2. Effett tal-intervent tal-persuna kkonċernata

101. Il-kwistjonijiet dwar il-ħtieġa ta’ nuqqas min-naħa tal-kontrollur huma marbuta, f’din il-kawża, mal-konsegwenzi li jistgħu jirriżultaw mill-intervent tas-suġġett tad-data (79).

102. Sabiex wieħed jifhem aħjar dan li ġej, għandu jiġi ppreċiżat li ċ-ċirkustanzi tal-kawża ġew deċiżi f’żewġ xenarji:

– Fl-ewwel xenarju, l-ipproċessar tad-data personali ta’ ZQ mill-MDK jikkostitwixxi ksur tal-GDPR (l-Artikoli 9 jew 6 tiegħu). Fih innifsu, il-ksur joħloq dannu (80).

– Fit-tieni wieħed, l-ipproċessar tad-data deskritt ma jikkostitwixxix ksur tal-GDPR jew ma jwassalx għal dannu. Dan tal-aħħar jista’ jseħħ wara l-konsultazzjoni ta’ data minn impjegat partikolari tal-MDK, imħeġġeġ mill-persuna kkonċernata (81).

103. Inqis, fi kwalunkwe każ, li, kif jidher li ssostni l-qorti tar-rinviju (82), sabiex jiġi ddeterminat l-effett (jekk kien hemm) tal-aġir tal-persuna kkonċernata fuq it-twettiq tal-fatt li jikkostitwixxi ksur li kkawża d-dannu, għandu jsir riferiment għall-Artikolu 82(3).

104. Id-dispożizzjoni ma telenkax, lanqas bħala eżempju, raġunijiet speċifiċi għall-eżenzjoni mir-responsabbiltà. Bl-istess mod, lanqas il-premessa 140 ma tagħmel dan (83).

105. Apparentement, il-GDPR jitbiegħed f’dan l-aspett mid-Direttiva 95/46, li l-Artikolu 23(2) tagħha, kien fih regola simili (84) għall-Artikolu 82(3) attwali tal-GDPR: il-premessa 55 tad-Direttiva 95/46 kienet tipproponi, bħala eżempji ta’ kawżi ta’ eżenzjoni, ir-responsabbiltà tal-parti interessata jew forza maġġuri (85), li ma jinstabux fil-GDPR.

106. Mix-xogħol preparatorju tal-GDPR ma jirriżultax, sakemm ma hemmx xi żball min-naħa tiegħi, li kien hemm diskussjoni dwar dawn iż-żewġ eżempji, li kienu jinsabu fil-proposta tal-Kummissjoni (86) u li żamm il-Parlament (87).

107. It-tneħħija tagħhom, u l-introduzzjoni tal-frażi avverbjali “bl-ebda mod”, iseħħu fil-kuntest tad-dibattitu, diġà msemmi, dwar kif għandha tiġi rregolata r-responsabbiltà għal proċessar minn diversi amministraturi jew proċessuri (88).

108. Mid-dokumenti disponibbli (89) jirriżulta li, fl-abbozzar finali, il-kontrollur tad-data jibbenefika mill-eżenzjoni jekk juri li ma huwiex kompletament responsabbli (“responsible”) għad-dannu (“0 % responsibility”). L-istess japplika għall-proċessuri (90).

109. Minn hemm, ma naħsibx li t-tneħħija taż-żewġ eżempji fil-preambolu, b’mod parallel maż-żieda ta’ “bl-ebda mod” f’dan l-istess preambolu u fl-Artikolu 82(3) tal-GDPR, ikollha l-konsegwenza (jew bħala għan) li teskludi l-attività tal-persuna kkonċernata mir-raġunijiet għal eżenzjoni mir-responsabbiltà (91).

110. Jidher, pjuttost, li l-attività tal-persuna kkonċernata tibqa’ ta’ natura li tikkawża, skont il-każ, il-ksur tar-rabta indispensabbli bejn il-“fatt” (l-Artikolu 82(3) tal-GDPR juża din il-frażi) u l-aġir tal-persuna responsabbli. L-enfasi tan-natura ristretta tal-klawżola liberatorja ma tipprekludix li aġir partikolari tal-persuna kkonċernata jagħti lok, fih innifsu, għad-dannu u jiddetermina, konsegwentement, l-eżenzjoni mir-responsabbiltà tal-kontrollur tad-data.

111. L-interpretazzjoni sistematika timmilita favur it-teħid inkunsiderazzjoni, fil-kuntest tar-responsabbiltà għad-danni, tal-intervent tal-persuna kkonċernata fil-produzzjoni tagħhom. Fis-sistema tal-GDPR, l-individwi jipparteċipaw fil-protezzjoni tad-data tagħhom, billi jagħtuhom strumenti li huma stess huma drittijiet għal dan l-għan.

112. Minn perspettiva teleoloġika, nifhem li l-GDPR irid joffri protezzjoni għolja, iżda mhux sal-punt li jobbliga lill-kontrollur jikkumpensa wkoll id-danni li jirriżultaw minn avvenimenti jew minn azzjonijiet imputabbli lis-suġġett tad-data (92).

3. Il-kalkolu tal-kumpens. Impatt tan-nuqqas tal-persuna responsabbli għad-dannu

113. Il-qorti tar-rinviju kkonfermat li l-ħames domanda preliminari tirrigwarda l-punt dwar jekk il-livell ta’ gravità tan-nuqqas tal-kontrollur għandux effett fuq il-kalkolu tal-kumpens. B’mod iktar preċiż, jekk l-assenza ta’ nuqqas jew nuqqas żgħir ta’ dan il-kontrollur jistgħux jittieħdu inkunsiderazzjoni favurih.

114. Huwa minnu li l-Artikolu 82 tal-GDPR ftit li xejn jipprevedi, jew ma jipprevedi assolutament xejn, fir-rigward tal-aspetti ewlenin tal-kumpens li għandhom impatt fuq il-kalkolu tal-ammont tiegħu. Huwa ma jagħtix indikazzjonijiet għall-interpretazzjoni tal-elementi li jiffurmawh (93), il-kriterji sabiex jiġu evalwati (spjegati fi kwantità) dawn l-elementi (94) jew il-fatturi li jistgħu jaffettwaw l-ammont tiegħu (95).

115. Minkejja dan, inqis li l-GDPR jagħti lis-suġġett tad-data dritt għal kumpens li l-ammont tiegħu huwa ddeterminat skont id-dannu effettivament imġarrab. Ladarba tiġi stabbilita ċ-ċifra li tikkumpensa dawn id-danni f’termini oġġettivi, din il-ħsara ma għandhiex tinbidel skont l-iktar jew l-inqas negliġenza tal-kontrollur.

116. Sabiex insostni l-pożizzjoni tiegħi, nirreferi, mutatis mutandis, għal dak li esponejt fir-rigward tal-attribuzzjoni tar-responsabbiltà lill-kontrollur tad-data, indipendentement min-nuqqas tiegħu, fis-sistema tal-Artikolu 82 tal-GDPR. Mill-perspettiva tal-vittma, li l-patrimonju tagħha (materjali u immaterjali) għandu jkun mhux mimsus minn kull dannu wara li dan ikun seħħ, il-kumpens għad dan id-dannu għandu jsir mingħajr ma jkun marbut man-nuqqas tal-kontrollur tad-data, ikun xi jkun il-livell ta’ gravità tiegħu (96).

117. Nemmen li dan japplika wkoll jekk l-Artikolu 82 tal-GDPR (li x-xogħol preparatorju tiegħu ma joffrix ħjiel sabiex tiġi sostnuta pożizzjoni jew oħra) (97) ikun differenti minn strumenti oħra tad-dritt tal-Unjoni, li jiddistingwu espressament jekk l-intervent fil-ksur kienx “konxju” jew le, fl-iffissar tal-ammont li jista’ jiġi kkumpensat abbażi tar-responsabbiltà ċivili (98).

118. Din l-evalwazzjoni hija kkorroborata, fil-fehma tiegħi, minn żewġ argumenti oħra:

L-Artikolu 83 tal-GDPR jieħu inkunsiderazzjoni n-negliġenza (u n-natura intenzjonali) tal-persuna li wettqet il-ksur sabiex jiġi aġġustat l-ammont tal-multa (99). Il-leġiżlatur seta’ jadotta l-istess approċċ għall-kalkolu tar-responsabbiltà ċivili, iżda ma għamilx dan.

– Il-GDPR jinsisti fuq il-fatt li l-kumpens għandu jkun sħiħ u effettiv (100) (il-premessa 146 u l-Artikolu 82(4) fir-rigward ta’ diversi kontrolluri jew proċessuri involuti fl-istess operazzjoni ta’ pproċessar) (101). Il-kwalifikazzjoni “totali” hija espressjoni, fil-fehma tiegħi, kontra t-tnaqqis tal-ammont tal-kumpens billi jittieħed inkunsiderazzjoni l-grad minimu ta’ negliġenza tal-kontrollur (102).

V. Konklużjoni

119. Fid-dawl tal-kunsiderazzjonijiet preċedenti, nipproponi li tingħata risposta lill-Bundesarbeitsgericht (il-Qorti Industrijali Federali, il-Ġermanja) kif ġej:

L-Artikolu 9(2)(h) u (3) u l-Artikolu 82(1) u (3) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data),

għandhom jiġu interpretati fis-sens li:

Ma jipprojbixxux lil servizz mediku ta’ fond ta’ assigurazzjoni għall-mard milli jipproċessa data dwar is-saħħa ta’ ħaddiem ta’ dan is-servizz, meta din tkun indispensabbli għall-evalwazzjoni tal-kapaċità tiegħu għax-xogħol.

Jaċċettaw l-eċċezzjoni mill-projbizzjoni li tiġi pproċessata data personali dwar is-saħħa, meta dan l-ipproċessar ikun neċessarju għall-finijiet ta’ evalwazzjoni tal-kapaċità għax-xogħol tal-ħaddiem, bla ħsara għall-prinċipji tal-Artikolu 5 u ta’ waħda mill-kundizzjonijiet ta’ legalità previsti fl-Artikolu 6 tar-Regolament 2016/679.

Il-livell ta’ gravità tan-nuqqas tal-kontrollur responsabbli għall-ipproċessar jew tal-proċessur ma huwiex rilevanti sabiex tiġi stabbilita r-responsabbiltà ta’ wieħed jew l-ieħor, u lanqas sabiex jiġi kkwantifikat l-ammont tad-danni immaterjali li għandhom jiġu kkumpensati skont l-Artikolu 82(1) tar-Regolament 2016/679.

L-intervent tas-suġġett tad-data fil-fatt li minnu jirriżulta l-obbligu ta’ kumpens jista’ jiddetermina, skont il-każ, l-eżenzjoni mir-responsabbiltà tal-kontrollur responsabbli għall-ipproċessar jew tal-proċessur prevista fl-Artikolu 82(3) tar-Regolament 2016/679.”

1 Lingwa oriġinali: l-Ispanjol.

2 Regolament tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il- moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2; iktar ’il quddiem il-“GDPR”).

3 U dwar l-Artikolu 8 tad-Direttiva 95/46/KEE tal-Parlament Ewropew u tal-Kunsill tal‑24 ta’ Ottubru 1995 dwar il-protezzjoni ta’ individwi fir-rigward ta’ l-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ dik id-data (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 13, Vol. 15, p. 355), predeċessur dirett tal-Artikolu 9 tal-GDPR.

4 Ir-raba’ domanda hija, essenzjalment, identika għall-ewwel domanda fil-kawża C‑300/21, Österreichische Post (Dannu morali li jirriżulta mill-ipproċessar ta’ data personali), li ppreżentajt il-konklużjonijiet tiegħi dwarha fis-6 ta’ Ottubru 2022 (EU:C:2022:756) (iktar ’il quddiem il-“konklużjonijiet tal-Kawża C-300/21”), u ddeċidiet dwarha l-Qorti tal-Ġustizzja fis-sentenza tal-4 ta’ Mejju 2023 (EU:C:2023:370).

5 Il-Ktieb V tal-Kodiċi Soċjali.

6 Medizinischer Dienst der Krankenversicherung (iktar ’il quddiem, l-“MDK”).

7 Krankenversicherung (iktar ’il quddiem il-“KV”).

8 “Memorandum dwar il-protezzjoni tad-data soċjali tal-ħaddiema [tal-MDK] u tal-membri tal-familja tagħhom”, miġbur fil-qosor fid-digriet tar-rinviju, punti 6 et seq.

9 Fis-sistema ta’ pproċessar informatiku ta’ data użata internament mill-MDK, ġiet stabbilita unità organizzattiva virtwali msejħa “Każijiet speċjali”, li għaliha għandhom aċċess biss l-impjegati ta’ din l-unità.

10 Wara t-tmiem (stabbilit mil-liġi) tal-perijodu li matulu l-ħlas tas-salarju jinżamm taħt ir-responsabbiltà tal-MDK.

11 Fl-opinjoni tiegħu, li kieku ma kienx għall-ksur relatat mad-data personali tiegħu, seta’ jerġa’ jibda l-attività tax-xogħol tiegħu minn Diċembru 2018.

12 ArbG Düsseldorf, Urteil vom 22.02.2019 - 4 Ca 6116/18, u LAG Düsseldorf (12. Kammer), Urteil vom 11.03.2020 – 12 Sa 186/19, rispettivament.

13 Fir-rigward tal-kontenut tagħhom, ser nirreferi għas-sentenza tal-4 ta’ Mejju 2023, Österreichische Post (Dannu mhux materjali f’relazzjoni mat-trattament ta’ data personali) (C‑300/21, EU:C:2023:370).

14 Dan li ġej ma jippreġudikax ir-risposta għat-tielet domanda preliminari.

15 Inqis li l-użu ta’ din id-dispożizzjoni huwa ppreferut, iktar milli mill-Artikolu 9(2)(b) tal-GDPR. Ma jidhirx li l-ipproċessar kien meħtieġ (la għall-MDK bħala persuna li timpjega, u lanqas għal ZQ bħala impjegat) biex jissodisfa l-obbligi jew biex jeżerċita drittijiet fil-kuntest tar-relazzjoni ta’ impjieg.

16 Ipproċessar ta’ data sensittiva bħala persuna li timpjega (jiġifieri għal finijiet relatati mar-relazzjoni ta’ xogħol) ikun legali biss jekk ikun jissodisfa l-kundizzjonijiet previsti mill-GDPR sabiex tiġi pproċessata d-data għal skop differenti minn dak li jkun ta lok għall-ġbir tagħha.

17 Punt 22 tad-digriet tar-rinviju. Il-GDPR jimponi, għall-kuntrarju, karatteristiċi oħra, previsti fl-Artikolu 9(3) tiegħu: rigward l-ambitu tiegħu, iktar ’il quddiem, punti 40 et seq.

18 Il-predeċessur tal-Artikolu 9 tal-GDPR jinsab fl-Artikolu 8 tad-Direttiva 95/46. Fil-proposta tal-Kummissjoni (Proposta għal Regolament tal-Parlament Ewropew u tal-Kunsill dwar il-protezzjoni tal-individwi fir-rigward tal-ipproċessar ta’ dejta personali u dwar il-moviment liberu ta’ dik id-dejta (Regolament Ġenerali dwar il-Protezzjoni tad-Data) COM (2012) 11 final tal‑25 ta’ Jannar 2012; iktar ’il quddiem il-“proposta tal-Kummissjoni”, l-ipproċessar tad-data personali dwar is-saħħa kien irregolat mill-Artikolu 81, li kien jistabilixxi ġustifikazzjonijiet u indika li dan għandu jsir skont il-liġi tal-Unjoni jew tal-Istati Membri. Huma dawn tal-aħħar li għandhom jipprovdu għas-salvagwardji neċessarji għas-salvagwardja tad-drittijiet leġittimi tas-suġġett tad-data. Il-kontenut tal-Artikolu 81 ġie inkorporat fl-Artikolu 9(2)(h) u (4), kif indikat fid-dokument Nru 14270/14, il-Presidenza tal-Kunsill fil-Grupp ta’ Ħidma dwar il-Protezzjoni tad-Data tas‑16 ta’ Ottubru 2014.

19 Sentenza tal‑24 ta’ Settembru 2019, GC et (Tneħħija ta’ riferimenti għal data sensittiva) (C‑136/17, EU:C:2019:773, punt 44). “[…] ir-rekwiżiti speċifiċi li huma previsti f’dawn id-dispożizzjonijiet meta mqabbla mal-ipproċessar tal-kategoriji partikolari ta’ data [għandhom] l-għan […] li tiġi żgurata protezzjoni msaħħa fil-konfront ta’ tali pproċessar li, minħabba s-sensittività partikolari ta’ din id-data, ikun jista’ jikkostitwixxi, kif jirriżulta wkoll mill-premessa 33 [tad-Direttiva 95/46] u mill-premessa 51 ta’ dan ir-regolament, interferenza partikolarment serja fid-drittijiet fundamentali għar-rispett tal-ħajja privata u għall-protezzjoni tad-data personali, żgurati mill-Artikoli 7 u 8 tal-Karta.”

20 Id-dritt fundamentali għall-protezzjoni tad-data personali ma jipprevalix b’mod awtomatiku fuq kwalunkwe persuna, anki meta l-kategoriji speċjali tal-Artikolu 9(1) tal-GDPR ikunu qegħdin f’riskju: sentenza tal‑24 ta’ Settembru 2019, GC et (Tneħħija ta’ riferimenti għal data sensittiva) (C‑136/17, EU:C:2019:773, punti 66 sa 68).

21 Artikolu 9(3) tal-GDPR.

22 L-Artikolu 88 tal-GDPR jagħti s-setgħa lill-Istati Membri biex jadottaw regoli “aktar speċifiċi biex tiġi żgurata l-protezzjoni tad-drittijiet u l-libertajiet fir-rigward tal-ipproċessar ta’ data personali ta’ impjegati fil-kuntest tal-impjiegi.” Dwar l-interpretazzjoni tiegħu, nirreferi għas-sentenza tat-30 ta’ Marzu 2023 Hauptpersonalrat der Lehrerinnen und Lehrer (C‑34/21, EU:C:2023:270).

23 Hekk jidher li qiegħda tifhmu l-qorti tar-rinviju. Min-naħa tiegħi, ser nirreferi għan-nota ta’ qiegħ il-paġna 15 iktar ’il fuq.

24 Naqbel mal-Kummissjoni meta ssostni li “t-tieni paragrafu [tal-Artikolu 9 tal-GDPR] ma jipprevedix ġerarkija partikolari jew relazzjoni ta’ dipendenza eventwali bejn l-eċċezzjonijiet, li jeżistu flimkien fuq l-istess livell” (punt 13 tal-osservazzjonijiet bil-miktub tagħha).

25 Ma huwiex meħtieġ, kif kien il-każ fid-Direttiva 95/46, li l-ipproċessar isir “minn professjonista tas-saħħa li jkun suġġett [...] għall-obbligazzjoni tas-sigriet professjonali jew minn persuna oħra li wkoll tkun suġġetta għall-istess obbligazzjoni ta’ segretezza” (enfasi miżjuda). Madankollu, jeħtieġ li jitwettaq minn persuni suġġetti għall-obbligu ta’ segretezza.

26 B’riferiment għal data “partikolarment sensittiva fir-rigward tad-drittijiet u l-libertajiet fundamentali”, il-premessa 51 tal-GDPR tipprovdi li “[m]inbarra r-rekwiżiti speċifiċi għal dan l-ipproċessar, il-prinċipji ġenerali u regoli oħra ta’ dan ir-Regolament għandhom japplikaw, b'mod partikolari fir-rigward tal-kondizzjonijiet għal ipproċessar legali.”

27 Sentenzi tas‑16 ta’ Jannar 2019, Deutsche Post (C‑496/17, EU:C:2019:26, punt 57), u dawk iċċitati fiha. Fir-rigward tad-data sensittiva, dik tal‑24 ta’ Settembru 2019, GC et (Tneħħija ta’ riferiment għal data sensittiva) (C‑136/17, EU:C:2019:773, punt 64); u tat‑22 ta’ Ġunju 2021, Latvijas Republikas Saeima (Punti ta’ penalità) (C‑439/19, EU:C:2021:504, punti 96, 99, 100 u 102).

28 Digriet tar-rinviju, punti 25 sa 27. Hija tirreferi għall-ħolqien ta’ żewġ ċelloli għal “każijiet speċjali” indipendenti u ta’ unitajiet tal-informatika separati meta tkun involuta informazzjoni dwar impjegati fis-servizzi tal-informatika (bħal ZQ). L-għan finali huwa li l-ebda impjegat tal-MDK ma jkun jista’ effettivament ikollu aċċess għad-data dwar is-saħħa ta’ kollega tax-xogħol, u lanqas ma jkun jaf bl-eżistenza ta’ kontroll fuq il-kapaċità tax-xogħol ta’ dan tal-aħħar.

29 Artikolu 8(3). Kif diġà esponejt, iċ-ċirku ta’ persuni awtorizzati li jwettqu l-ipproċessar ġie estiż fil-GDPR.

30 Il-paragrafu 4 jintroduċi fl-Artikolu 9 tal-GDPR fuq proposta mill-Ġermanja: dokument Nru 6834/15, Presidenza tal-Kunsill, tad‑9 ta’ Marzu 2015.

31 Il-qorti tar-rinviju hekk tikklassifika lill-MDK kif ġej (punt 16 tad-digriet tar-rinviju). Għaldaqstant, iktar ’il quddiem, mhux ser insemmi il-kontrollur, sakemm ma jkunx xieraq f’xi punt partikolari. Bħala prinċipju, il-kunsiderazzjonijiet tal-ewwel wieħed ser ikunu estiżi għat-tieni wieħed.

32 Il-qorti tar-rinviju tibża’ b’mod partikolari li l-ħsara għas-sigurtà, jekk isseħħ, tiffavorixxi biss kollegi ta’ ZQ li jkollhom għarfien tal-istat ta’ saħħa tagħhom, u dan jista’ jirriżulta minn spekulazzjonijiet fuq il-produttività tagħhom. Hija żżid li l-informazzjoni dwar is-sempliċi eżistenza ta’ rapport mediku dwar l-inkapaċità għax-xogħol hija informazzjoni sensittiva, filwaqt li tista’ tissuġġerixxi l-possibbiltà ta’ simulazzjoni ta’ din l-inkapaċità (punt 26 tad-digriet tar-rinviju).

33 Ara l-punt 10 iktar ’il fuq.

34 Punt 27 tad-digriet tar-rinviju.

35 Ara in-nota ta’ qiegħ il-paġna 27 iktar ’il fuq. Rigward ir-relazzjoni bejn l-Artikolu 6 l-Artikolu 9 tar-GDPR, ara wkoll il-Kawża C‑252/21, Meta Platforms et (Kundizzjonijiet ġenerali għall-użu ta’ netwerk soċjali). Il-konklużjonijiet tal-Avukat Ġenerali Rantos tal‑20 ta’ Settembru 2022 (C‑252/21, EU:C:2022:704).

36 Sentenza tat‑22 ta’ Ġunju 2021, Latvijas Republikas Saeima (Punti ta’ penalità) (EU:C:2021:504, punti 96, 99, 100 u 102).

37 Il-kontenut tal-Artikolu 10 tal-GDPR kien jinsab fl-Artikolu 8 tad-Direttiva 95/46. Dan tal-aħħar kien jiġbor flimkien il-kategoriji speċjali ta’ data kollha, għalkemm kien jagħmel differenza bejn l-ipproċessar ta’ dik relatata ma’ reati, kundanni kriminali jew miżuri ta’ sigurtà, li kien jittratta fil-paragrafu 5. Is-separazzjoni formali li jagħmel il-GDPR ma hijiex dovuta għal bidla fil-konvinzjoni li d-data personali relatata ma’ kundanni jew reati kriminali hija “sensittiva”.

38 Dokument Nru 17072/4/14 Rev 4, Kunsill fil-Kumitat tar-Rappreżentanti Permanenti tal‑4 ta’ Marzu 2015, nota ta’ qiegħ il-paġna 60.

39 Dwar, bħal fil-verżjoni finali, il-legalità tal-ipproċessar.

40 Dokument Nru 17072/4/14 Rev 4, Kunsill fil-Kumitat tar-Rappreżentanti Permanenti tal‑4 ta’ Marzu 2015 (“Paragraph 1 shall not apply if one of the following applies and Article 6(1) is complied with […]” u n-nota ta’ qiegħ il-paġna 60.

41 Abbażi tad-dokument Nru 6834/15, Presidenza fil-Kunsill, tad‑9 ta’ Marzu 2015.

42 Ċertament, dan ma rnexxilux ineħħi d-dubji tad-delegazzjonijiet kollha. Ara, pereżempju, id-Dokument Nru 7466/15, Presidenza lid-delegazzjonijiet, tas‑26 ta’ Marzu 2015, nota ta’ qiegħ il-paġna 38.

43 Linji Gwida 03/2020 dwar l-ipproċessar tad-data dwar is-saħħa għal finijiet ta’ riċerka xjentifika fil-kuntest ta’ meta faqqa’ l-COVID-19, April 2020, paragrafu 15.

44 “Advice paper on special categories of data”, Ares(2011)444105–20/04/2011, p. 5.

45 Hija wkoll l-opinjoni espressa pubblikament tal-Kummissjoni: Minutes of the second meeting of the Commission expert group on the Regulation (EU) 2016/679 and Directive (EU) 2016/680, konklużi fl‑10 ta’ Ottubru 2016, p. 2; u Minutes of the meeting of the Commission expert group on the Regulation (EU) 2016/679 and Directive (EU) 2016/680, konklużi fl‑20 ta’ Frar 2018, p. 2.

46 Hija ssostni l-opinjoni favur il-kumulu jew il-komplementarjetà, pereżempju T. Petri, “Art. 9”, fi Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 2019, marg. 26, li, madankollu, jirrikonoxxi li ma hijiex unanima. Hija tissuġġerixxi l-oppożizzjoni tal-Manwal tal-leġiżlazzjoni Ewropea dwar il-protezzjoni tad-data tal-Aġenzija tal-Unjoni Ewropea għad-Drittijiet Fundamentali, 2018, punt 4.1.1.

47 Rispettivament, il-kunsens espliċitu tas-suġġett tad-data, l-ipproċessar meħtieġ biex jiġu protetti l-interessi vitali ta’ persuna fiżika jew ġuridika li ma tkunx tista’ tagħti l-kunsens tagħha; l-ipproċessar meħtieġ għal raġunijiet ta’ interess pubbliku.

48 Punti 30 u 31 tad-digriet tar-rinviju.

49 Pereżempju, jekk il-kunsens tas-suġġett tad-data, bħala bażi legali li takkumpanja l-awtorizzazzjoni msemmija fl-Artikolu 9(2)(h), irid ikun il-kunsens espliċitu meħtieġ mill-Artikolu nnifsu, jew l-Artikolu 6(1)(a) ikun biżżejjed.

50 Hija kwistjoni differenti, ta’ portata iktar ristretta, dik dwar jekk, fid-dawl tar-raġunament tal-qorti tar-rinviju fir-rigward tal-Artikolu 6(1), għandhiex tiġi ċċarata t-tifsira tal-kundizzjonijiet li huwa jistabbilixxi, b’mod partikolari dawk li jikkorrispondu għall-punti (ċ) u (e). F’dan is-sens, nirreferi għall-ġurisprudenza tal-Qorti tal-Ġustizzja: fir-rigward tad-dispożizzjonijiet tad-Direttiva 95/46, is-sentenzi tas‑16 ta’ Diċembru 2008, Huber (C‑524/06, EU:C:2008:724), punt 62; u tat‑30 ta’ Mejju 2013, Worten (C‑342/12, EU:C:2013:355), punt 37; fir-rigward tal-GDPR, is-sentenza tal‑1 ta’ Awwissu 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, punti 66 et seq).

51 Il-qorti tar-rinviju turi li hija inklinata tikkonstata ksur tal-Artikoli 9 u 6 tal-GDPR, li jirriżulta mill-ipproċessar imwettaq mill-MDK. Fil-punt 32 tad-digriet tar-rinviju, hija ssostni li l-ksur iwassal, fih innifsu, għal dritt għal kumpens; fil-punt 33, hija tinsisti fuq il-fatt li r-reat awtomatikament jikkostitwixxi dannu (“[i]l-ksur tal-GDPR diġà jikkawża dannu morali li jagħti dritt għal kumpens”). Għar-raġunijiet li esponejt fil-konklużjonijiet tiegħi fil-Kawża C‑300/21, ma naqbilx ma’ din l-opinjoni.

52 Punti 78 sa 80 tal-osservazzjonijiet ta’ MDK. Skont dan, kienet il-persuna kkonċernata nnifisha li, billi ma talbitx il-fajl u ma eżerċitatx fir-rigward ta’ MDK id-dritt ta’ aċċess tagħha, konformement mal-Artikolu 15 tal-GDPR, u billi rrikorriet għas-servizzi ta’ kollega tad-diviżjoni tagħha, billi talbitha tikkonsulta d-data kontenzjuża, ikkawżat hija stess id-dannu lilha nfisha. Fl-istess sens, is-sentenza mogħtija fl-appell LAG Düsseldorf (12. Kammer), Urteil vom 11.03.2020 – 12 Sa 186/19], punt 4.3.4.3.

53 L-impjegat, assenjat fl-istess dipartiment bħall-persuna kkonċernata, aċċeda għad-data lil hinn mis-sitwazzjonijiet li għalihom huwa għandu awtorizzazzjoni, jiġifieri għal finijiet li ma humiex relatati mal-eżekuzzjoni tal-prestazzjoni ta’ xogħol prevista mill-kuntratt tiegħu.

54 Iktar ’il quddiem, ser nuża l-kelma “amministratur” mingħajr distinzjoni bħala sinonimu ta’ “kontrollur.”

55 Lil hinn minn dawk li jsostnu li dan huwa aspett li ma huwiex irregolat, l-opinjonijiet ivarjaw bejn il-partitarji ta’ sistema ta’ responsabbiltà oġġettiva u dawk ta’ responsabbiltà minħabba nuqqas b’bidla tal-oneru tal-prova. Fil-verità, bħal f’sistemi oħra ta’ responsabbiltà (ċivili) settorjali, ma naħsibx li l-GDPR huwa kompletament konformi ma’ wieħed miż-żewġ paradigmi teoretiċi prinċipali, li lanqas id-demarkazzjonijiet tagħhom ma huma wisq preċiżi. Mill-formulazzjoni tiegħu, li l-applikazzjoni tiegħu tiġi inkluża fit-tnejn li huma, bi sfumaturi li, fl-aħħar mill-aħħar, iħawdu l-mudelli: fl-ewwel wieħed, skont l-istandard għoli ta’ diliġenza li għandu jiġi ppruvat sabiex tiġi evitata l-imputazzjoni; fit-tieni, bl-introduzzjoni ta’ dixxerniment ta’ diliġenza/negliġenza fil-każijiet ta’ eżenzjoni, jew waqt il-konstatazzjoni tal-ksur, skont in-natura tar-regola inkwistjoni.

56 Il-punt 2, li jista’ jinqara bħala l-oppost tal-punt 1 sa fejn jirrigwarda r-responsabbiltà min-naħa tal-persuni obbligati, lanqas ma jsemmi l-kundizzjoni ta’ nuqqas.

57 Madankollu, fil-verżjoni Spanjola, it-terminu “imputable” jidher fl-Artikolu 47(2)(f) tal-GDPR li, fir-rigward tal-informazzjoni li għaliha hija suġġetta l-adozzjoni ta’ regoli korporattivi vinkolanti, jirreferi għall-eżenzjoni mir-responsabbiltà fi ħdan gruppi ta’ impriżi stabbiliti ġewwa u barra l-Unjoni. Fil-verżjoni Ġermaniża, intużat perifrażi (“dem betreffenden Mitglied nicht zur Last gelegt werden kann”).

58 Ara l-Artikolu 82(3), l-Artikolu 68(4) jew l-Artikolu 75(6).

59 Artikolu 83(2)(b), u (3). Jiena ddeċidejt dwar l-interpretazzjoni tiegħu fil-konklużjonijiet li ppreżentajt fil-kawża Deutsche Wohnen (C‑807/21, EU:C:2023:360).

60 B’mod partikolari, id-dokument Nru 17831/13, il-Presidenza tal-Kunsill lill-grupp “Protezzjoni tad-data”, tas‑16 ta’ Diċembru 2013, nota ta’ qiegħ il-paġna 542.

61 Emenda Nru 2819, proposta minn S. Ilchev, Draft Report on the proposal for a regulation of the European Parliament and of the Council on the protection of individual with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation), documento PE501.927v04-00, Amendments (9): “Any person who has suffered damage as a result of an unlawful processing operation or of an action incompatible with this Regulation shall have the right to receive compensation from the controller or the processor for the damage suffered unless the controller or processor proves that they are not responsible for the damage either by intent or negligence”. Korsiv miżjud.

62 Ara t-test li jakkumpanja r-Riżoluzzjoni Leġiżlattiva tat-12 ta’ Marzu 2014 dwar il-proposta tal-Kummissjoni (ĠU 2017, C 378, p. 399).

63 Dokument Nru 9083/15, Presidenza għall-membri ĠAI tal-Grupp ta’ Ħidma dwar il-Protezzjoni tad-Data tas27 ta’ Mejju 2015. Id-differenza bejn l-opinjonijiet hija bbażata fuq l-Artikolu 77(3) sa (6) Il-punt 1, li jistabbilixxi l-prinċipju tar-responsabbiltà tal-kontrollur u tal-proċessur, u l-punt 2, li jindika d-demarkazzjoni materjali tar-responsabbiltà tat-tnejn, li jiddefinixxi dak tas-subappaltatur, kienu jikkoinċidu.

64 Loc. cit., punt 5.

65 “[…] each non-compliant controller and/or processor involved in the processing are held liable for the entire amount of the damage.”

66 Jew, fil-każ tal-proċessur, ikun kiser l-istruzzjonijiet tal-kontrollur f’konformità mal-GDPR.

67 Bil-possibbiltà ta’ ripetizzjoni sussegwenti: l-Artikolu 77(6), fl-ewwel għażla.

68 Dokument Nru 9083/15, Presidenza għall-membri ĠAI tal-Grupp ta’ Ħidma dwar il-Protezzjoni tad-Data tas‑27 ta’ Mejju 2015. Responsabbiltà għal nuqqas kienet ġiet ifformulata b’mod miftuħ mid-delegazzjoni tar-Renju Unit. Fid-dawl tal-argumenti tagħhom, saret mistoqsija f’dan is-sens lill-partijiet l-oħra (dokument Nru 7722/15, Presidenza fi grupp “Protezzjoni tad-data”, tat‑13 ta’ April 2015, punti 10 u 11). L-għażla li finalment ġiet proposta tidher li ssegwi l-impenn iddikjarat mid-delegazzjoni Ġermaniża (dokument Nru 8150/1/15 Rev 1 tas‑6 ta’ Mejju 2015), li ddistingwa l-isfera tar-relazzjoni tal-kontrollur/proċessur u ta’ dawk bejniethom, u kienet tappoġġja l-ilment ibbażat fuq frodi jew fuq il-ħtija: “liability follows fault, meaning that a party is only liable if he/she has intentionally or negligently acted contrary to his duties laid down in this Regulation.” Fid-dawl tal-persuna kkonċernata, in-nuqqas ta’ negliġenza jippermetti l-eżenzjoni mir-responsabbiltà

69 Loc. Cit,, punt 6, li jispiċċa: “In other words, the mere fact that an entity was involved in a non-compliant processing operation which caused damage suffices for it to be held liable for the full amount of damages.”

70 Artikolu 77(3), f’din l-għażla. “If a data subject is not able to bring a claim for compensation against the controller […].”

71 Dokument Nru 9565/15, Presidenza fil-Kunsill, tal‑11 ta’ Ġunju 2015.

72 Korsiv miżjud. B’mod parallel ma’ din iż-żieda, l-eżempji ta’ raġunijiet għal eżenzjoni huma mħassra fil-premessa 118: iktar ’il quddiem, punti 104 et seq.

73 Il-premessa 10 tal-GDPR.

74 Qiegħed nirreferi għall-konklużjonijiet tiegħi fil-Kawża C‑300/21. Kif indikajt hemmhekk, il-leġiżlatur jixtieq jinkoraġġixxi l-applikazzjoni privata tar-regoli dwar il-protezzjoni tad-data personali. Għal dan l-għan, il-Kapitolu VIII tal-GDPR għamel strumenti disponibbli għas-suġġett tad-data. Il-kumpens abbażi tar-responsabbiltà ċivili huwa wieħed minnhom, iżda ma għandux funzjonijiet punittivi.

75 Dan kien wieħed mill-argumenti biex tingħeleb id-Direttiva 95/46 fil-proposta tal-Kummissjoni.

76 Il-premessi 77 et seq. tal-GDPR.

77 Dak li għandu jiġi ċċarat huwa: ir-responsabbiltà li ser teżerċita funzjoni preventiva, sa liema għan jiġi eżerċitat. L-interpretazzjoni li nipproponi tippermetti li l-Artikolu 82 tal-GDPR jintrabat mal-prinċipji tal-ipproċessar bħal-limitazzjoni tal-iskop, il-minimizzazzjoni tad-data u l-eżattezza [l-Artikolu 5(1)(b), (c) u (d) tal-GDPR].

78 Fejn in-negliġenza ssir il-kriterju ta’ imputazzjoni;

79 Ara, iktar ’il fuq, in-nota ta’ qiegħ il-paġna 52.

80 Il-pożizzjoni tal-qorti tar-rinviju (ara n-nota ta’ qiegħ il-paġna 51 iktar ’il fuq). Il-parteċipazzjoni tas-suġġett tad-data li jitlob il-konsultazzjoni tad-data tiegħu, hija irrilevanti għall-imputazzjoni tar-responsabbiltà. Min-naħa l-oħra, tista’ tkun rilevanti għall-kwantifikazzjoni tal-kumpens.

81 Il-pożizzjoni tal-MDK u tal-Qorti tal-Appell (ara n-nota ta’ qiegħ il-paġna 52 iktar ’il fuq). Fir-realtà, jista’ jiġi argumentat li, f’dan ix-xenarju, il-komponent tad-“dannu” huwa nieqes: volenti non fit iniuria.

82 Punt 40 tad-digriet tar-rinviju.

83 Għall-kuntrarju ta’ dak li jiġri f’setturi oħra (pereżempju dak tar-responsabbiltà għal prodotti difettużi), l-evalwazzjoni tal-kawżi ta’ eżenzjoni ma tiħux il-forma ta’ elenkar eżawrjenti fil-GDPR.

84 “Il-kontrollur jista’ jkun eżentat minn [din] ir-responsabblità, kollha jew parti minnha, jekk hu jagħti prova li ma kienx responsabbli għall-inċident li ta lok għall-ħsara.”

85 Il-kontrollur “jista’ jkun meħlus minn dan l-obbligu jekk iġib prova li ma kienx responsabbli għal ħsara, partikolarment f’każ li hu jistabilixxi li s-suġġett tad-data kellu ħtija jew f’każ ta’ forza maġġuri.” Korsiv miżjud.

86 Premessa 118 tal-Proposta tal-Kummissjoni.

87 Premessa 118 tat-test li jakkumpanja r-riżoluzzjoni leġiżlattiva tal-Parlament tat‑12 ta’ Marzu 2014 dwar il-proposta tal-Kummissjoni.

88 Punti 84 et seq. iktar ’il fuq. L-eżempji jinsabu fid-dokumenti relatati man-negozjati fi ħdan il-Kunsill, iżda ma għadhomx jinsabu fit-test ta’ kompromess, id-Dokument Nru 9565/15 tal‑11 ta’ Ġunju 2015.

89 Qiegħed nirreferi prinċipalment għad-dokument Nru 9083/15, il-Presidenza għall-membri ĠAI tal-Grupp ta’ Ħidma dwar il-Protezzjoni tad-Data tas‑27 ta’ Mejju 2015.

90 Fid-dawl tal-kuntest (nirrepeti, b’attenzjoni partikolari għall-każ ta’ diversi atturi tal-ipproċessar), huwa leġittimu li jiġi dedott li tali possibbiltà għandha tkun, għall-kontrollur, li jiġi pprovat id-dannu li jirriżulta esklużivament mill-azzjoni tal-proċessur, u vice versa, minnu.

91 Lanqas il-forza maġġuri, li kienet il-kawża l-oħra li ġiet espressament imsemmija fil-premessa 55 tad-Direttiva 95/46 (ara l-punt 105 iktar ’il fuq).

92 Ma nippreġudikax, loġikament, l-ipoteżi tal-intervent ta’ partijiet terzi. F’dan ir-rigward, ara l-konklużjonijiet tal-Avukat Ġenerali Pitruzzella ppreżentati fis-27 ta’ April 2023 fil-Kawża Natsionalna agentsia za prihodite (C‑340/21, EU:C:2023:353).

93 Sabiex jitneħħew id-dubji li kienu jeżistu taħt id-Direttiva 95/46, il-GDPR jippreċiża li dan ikopri d-danni intanġibbli. Il-premessa 146 tirreferi għal “kwalunkwe dannu” u tenfasizza li l-kunċett ta’ “dannu” għandu jiġi interpretat b’mod wiesa’, abbażi tal-ġurisprudenza tal-Qorti tal-Ġustizzja. Il-portata eżatta tal-indikazzjoni għadha diskutibbli.

94 Hija ma tindikax jekk, sabiex jiġi ppreċiżat il-valur tad-dannu f’kull każ, għandux isir użu minn skali, jew jekk għandhomx jiġu ppreferuti ammonti globali, jew jekk għandhomx jintużaw sistemi oħra ta’ kalkoli.

95 Fost dawn il-fatturi jista’, eventwalment, jiġi inkluż: a) dak li ġie ssuġġerit mill-qorti tar-rinviju; b) l-eżistenza tal-ħtija tas-suġġetti tad-data, invokata mill-MDK fil-punt 80 tal-osservazzjonijiet tiegħu; c) oħrajn, bħall-introduzzjoni ta’ limiti massimi kwantitattivi ta’ kumpens, sabiex ma jiġux skoraġġuti b’mod mhux iġġustifikat l-operazzjonijiet ta’ pproċessar tad-data jew l-attivitajiet ekonomiċi li jiddependu minnhom.

96 Iktar ’il fuq, punti 87 et seq.

97 Id-Direttiva 95/46 ma kienet tipprovdi xejn f’dan ir-rigward. Fil-ħidmiet preparatorji tal-GDPR, ma sibtx indikazzjonijiet ta’ diskussjoni dwar dan il-punt.

98 Regolament tal-Kunsill (KE) Nru 2100/94 tas27 ta’ Lulju 1994 dwar drittijiet ta’ varjetajiet ta’ pjanti fil-Komunità (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 3, Vol. 16, p. 390), Artikolu 94(2); jew id-Direttiva 2004/48/KE tal-Parlament Ewropew u tal-Kunsill tad29 ta’ April 2004 fuq l-infurzar tad-drittijiet tal-proprjetà intellettwali (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 17, Vol. 2, p. 32), il-premessa 26 tal-Artikolu 13.

99 L-Artikolu 83(2)(b) u l-premessa 148 tal-GDPR. Huwa f’dan il-kuntest li jittieħed inkunsiderazzjoni l-kriterju ta’ proporzjonalità, mhux biss fir-rigward tal-fatt, iżda wkoll skont il-punt dwar jekk il-multa tirrappreżentax piż sproporzjonat għal persuna fiżika. Il-Gvern Irlandiż, fil-punt 54 tal-osservazzjonijiet tiegħu, jipproponi li jiġi kkunsidrat tali kriterju tar-responsabbiltà ċivili. Għal darba oħra, sabiex jitqies bħala element li jagħmel parti integrali mill-Artikolu 82, l-argument testwali huwa nieqes; la huwa sostnut mix-xogħol preparatorju u lanqas mill-għan tar-regola jew mill-funzjoni tagħha fit-totalità tagħha.

100 Il-kumpens effettiv għandu jkun adatt biex jaqdi l-funzjoni tiegħu ta’ protezzjoni tad-dritt għall-protezzjoni tad-data.

101 It-tnejn huma responsabbli ċivilment fis-sens tal-Artikolu 82(2) u (3) tal-GDPR. Huma jirrispondu indipendentement mill-grad ta’ kontribuzzjoni tagħhom għad-dannu.

102 Ma neskludix li jista’ jkun hemm ċirkustanzi oħra li l-eżistenza tagħhom tiġġustifika tnaqqis fl-ammont: naħseb, pereżempju, f’kunsiderazzjonijiet, f’każijiet partikolari, tad-dritt għal kumpens (u, permezz tiegħu, għall-protezzjoni tad-data), ma’ beni jew drittijiet oħra tal-istess grad. Fil-GDPR, l-aġġettiv sħiħ iservi wkoll biex jiżgura l-kopertura ta’ ċertu tip ta’ dannu (immaterjali); biex jiġi evitat li l-kumpens ikun limitat għal dak li jitfaċċa (dan għandu jinkludi kunċetti oħra, kif enfasizzat il-Qorti tal-Ġustizzja f’oqsma oħra); u biex jiġi żgurat li l-pluralità ta’ persunal ta’ proċessar ma tostakolax l-aċċess għall-kumpens, iżda bil-kontra.