Edizzjoni Provviżorja
KONKLUŻJONIJIET TAL‑AVUKAT ĠENERALI
SZPUNAR
ippreżentati fil‑11 ta’ Lulju 2024 (1)
Kawża C‑394/23
Association Mousse
vs
Commission nationale de l’informatique et des libertés (CNIL),
SNCF Connect
(talba għal deċiżjoni preliminari mressqa mill-Conseil d’État (il-Kunsill tal-Istat, Franza))
“Rinviju għal deċiżjoni preliminari – Protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament (UE) 2016/679 – Artikolu 6(1) – Prinċipju tal-legalità tal-ipproċessar – Artikolu 5(1)(c)– Prinċipju tal-minimizzazzjoni tad-data –Titoli – Xiri ta’ servizz ta’ trasport online – Artikolu 21 – Dritt ta’ oppożizzjoni”
I. Daħla
1. Ir-Regolament (UE) 2016/679 (2) (iktar ’il quddiem il-“GDPR”) għandu l-għan li jiżgura livell għoli ta’ protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar tad-data personali tagħhom. Għal dan l-għan, huwa jimponi fuq il-kontrolluri l-obbligu li josservaw għadd ta’ prinċipji meta jipproċessaw id-data personali, fosthom il-prinċipju hekk imsejjaħ ta’ “minimizzazzjoni tad-data” u l-prinċipju tal-legalità tal-ipproċessar.
2. Dawn iż-żewġ prinċipji huma fil-qalba ta’ din il-kawża, li hija dwar tilwima bejn assoċjazzjoni u awtorità superviżorja nazzjonali, dwar l-ipproċessar, minn impriża tat-trasport, tad-data tat-titolu tal-klijenti tagħha bl-għan iddikjarat li tagħmel użu minnha fil-komunikazzjoni kummerċjali tagħhom, u li għalhekk toffri lill-Qorti tal-Ġustizzja l-opportunità li tippreċiża l-portata tagħhom.
II. Il‑kuntest ġuridiku
A. Id‑dritt tal‑Unjoni
3. Il-premessi 4, 10, 39, 40, 44, 47, 69 u 75 tal-GDPR jipprovdu:
“(4) L-ipproċessar tad-data personali għandu jitfassal biex iservi lill-bniedem. Id-dritt għall-protezzjoni tad-data personali mhuwiex dritt assolut; huwa għandu jiġi kkunsidrat b’rabta mal-funzjoni tiegħu fis-soċjetà u jkun ibbilanċjat ma’ drittijiet fundamentali oħrajn, f’konformità mal-prinċipju tal-proporzjonalità. Dan ir-Regolament jirrispetta d-drittijiet fundamentali kollha u josserva l-libertajiet u l-prinċipji rikonoxxuti fil-[Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea (iktar ’il quddiem il-“Karta”)] kif integrata fit-Trattati, b’mod partikolari r-rispett għall-ħajja privata u tal-familja, id-dar u l-komunikazzjonijiet, il-protezzjoni tad-data personali, il-libertà tal-ħsieb, tal-kuxjenza u tar-reliġjon, il-libertà tal-espressjoni u tal-informazzjoni, il-libertà tal-intrapriża, id-dritt għal rimedju effettiv u għal proċess imparzjali u d-diversità kulturali, reliġjuża u lingwistika.
[…]
(10) Sabiex ikun żgurat livell konsistenti u għoli ta’ protezzjoni tal-persuni fiżiċi u sabiex jitneħħew l-ostakoli għaċ-ċirkolazzjoni tad-data personali fl-Unjoni, il-livell ta’ protezzjoni tad-drittijiet u l-libertajiet tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ din id-data għandu jkun ekwivalenti fl-Istati Membri kollha. L-applikazzjoni konsistenti u omoġenea tar-regoli għall-protezzjoni tad-drittijiet u l-libertajiet fundamentali tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali għandha tkun żgurata fl-Unjoni kollha. […]
[…]
(39) […] Id-data personali għandha tkun adegwata, rilevanti u limitata għal dak li huwa neċessarju għall-finijiet li għalihom hija tkun qiegħda tiġi pproċessata. […] Id-data personali għandha tkun ipproċessata biss jekk il-fini tal-ipproċessar ma jkunx jista’ jintlaħaq mod ieħor b'mod raġonevoli. […]
(40) Sabiex l-ipproċessar ikun legali, id-data personali għandha tkun ipproċessata abbażi tal-kunsens tas-suġġett tad-data kkonċernat jew ta’ xi bażi leġittima oħra, stabbilita bil-liġi, jew f’dan ir-Regolament jew f’liġi oħra tal-Unjoni jew ta’ Stat Membru kif imsemmi f’dan ir-Regolament, inkluż […] il-ħtieġa għall-prestazzjoni tal-kuntratt li s-suġġett tad-data ikun parti fih jew li jiġu meħuda passi fuq it-talba tas-suġġett tad-data qabel ma jidħol f’kuntratt.
L-ipproċessar għandu jkun legali fejn ikun meħtieġ fil-kuntest ta’ kuntratt jew tal-intenzjoni ta’ dħul f’kuntratt.
[…]
L-interessi leġittimi ta’ kontrollur inklużi dawk ta’ kontrollur li lilu tista’ tiġi żvelata d-data personali jew ta’ parti terza, jistgħu jipprovdu bażi legali għall-ipproċessar, sakemm l-interessi jew id-drittijiet u l-libertajiet fundamentali tas-suġġett tad-data ma jkunux aktar importanti, b’kont meħud tal-aspettattivi raġonevoli tas-suġġetti tad-data abbażi tar-relazzjoni tagħhom mal-kontrollur. Tali interess leġittimu jista’ jeżisti pereżempju fejn ikun hemm relazzjoni rilevanti u adatta bejn is-suġġett tad-data u l-kontrollur f’sitwazzjonijiet bħal fejn is-suġġett tad-data jkun klijent […] tal-kontrollur. Fi kwalunkwe każ il-preżenza ta’ interess leġittimu tkun teħtieġ valutazzjoni bir-reqqa inkluż dwar jekk is-suġġett tad-data jkunx jista’ raġonevolment jistenna, fil-mument u fil-kuntest tal-ġbir tad-data personali, li l-ipproċessar għal dak il-fini jkun jista’ jsir. […] L-ipproċessar ta’ data personali sal-punt strettament meħtieġ għall-finijiet tal-prevenzjoni u l-monitoraġġ ta’ frodi wkoll jikkostitwixxi interess leġittimu tal-kontrollur tad-data kkonċernat. L-ipproċessar ta’ data personali għal finijiet ta’ kummerċjalizzazzjoni diretta jista’ jitqies li twettaq għal interess leġittimu.
[…]
(69) Fejn id-data personali tista’ tiġi pproċessata legalment minħabba li huwa meħtieġ ipproċessar għat-twettiq ta’ kompitu li jsir fl-interess pubbliku jew fl-eżerċizzju ta’ awtorità uffiċjali mogħtija lill-kontrollur, jew għal raġunijiet ta’ interessi leġittimi ta’ kontrollur jew parti terza, suġġett tad-data għandu, madankollu, jkun intitolat joġġezzjona għall-ipproċessar ta’ kwalunkwe data personali relatata mas-sitwazzjoni partikolari tiegħu. Għandha tkun ir-responsabbiltà tal-kontrollur li juri li l-interess leġittimu konvinċenti tiegħu jegħleb l-interessi jew id-drittijiet u l-libertajiet fundamentali tas-suġġett tad-data.
[…]
(75) Ir-riskji għad-drittijiet u l-libertajiet tal-persuni fiżiċi, bi probabbiltà u gravità li jvarjaw, jistgħu jirriżultaw mill-ipproċessar ta’ data personali li tista’ twassal għal dannu fiżiku, materjali jew mhux materjali, b’mod partikolari fejn l-ipproċessar jista’ jagħti lok għal diskriminazzjoni […]”
4. Skont l-Artikolu 2(1) tiegħu, il-GDPR japplika għall-ipproċessar ta’ data personali, kompletament jew parzjalment awtomatizzat, u għall-ipproċessar għajr b’mezzi awtomatizzati ta’ data personali li tifforma parti minn sistema ta’ arkivjar jew li tkun maħsuba sabiex tifforma parti minn sistema ta’ arkivjar.
5. L-Artikolu 4 tal-GDPR, intitolat “Definizzjonijiet”, jipprovdi:
“Għall-finijiet ta’ dan ir-Regolament:
(1) ‘data personali’ tfisser kwalunkwe informazzjoni relatata ma’ persuna fiżika identifikata jew identifikabbli […]
(2) ‘ipproċessar’ tfisser kwalunkwe attività jew sett ta’ attivitajiet li jitwettqu fuq data personali jew fuq settijiet ta’ data personali, sew jekk b’mezzi awtomatizzati u sew jekk mingħajrhom, bħalma huma l-ġbir, ir-reġistrazzjoni, [...]
[…]
(7) ‘kontrollur’ tfisser persuna fiżika jew ġuridika, awtorità pubblika, aġenzija jew kwalunkwe korp ieħor li, waħdu jew flimkien ma’ oħrajn, jiddetermina l-għanijiet u l-mezzi tal-ipproċessar ta’ data personali; […]
[…]
(11) ‘kunsens’ tas-suġġett tad-data tfisser kwalunkwe indikazzjoni tax-xewqat tas-suġġett tad-data mogħtija b’mod liberu, speċifika, infurmata u mhux ambigwa li permezz tagħha s-suġġett tad-data, permezz ta’ dikjarazzjoni jew permezz ta’ azzjoni affermattiva ċara, juri li jaqbel mal-ipproċessar ta’ data personali relatata miegħu;
[…]”
6. L-Artikolu 5 tal-GDPR, intitolat “Prinċipji relatati mal-ipproċessar ta’ data personali”, jipprovdi:
“1. Id-data personali għandha:
(a) tkun ipproċessata legalment, ġustament u b’mod trasparenti fir-rigward tas-suġġett tad-data (‘legalità, ġustizzja u trasparenza’);
[…]
(c) tkun adegwata, rilevanti, u limitata għal dak li hu meħtieġ b’rabta mal-finijiet li għalihom tkun qed tiġi pproċessata (‘minimizzazzjoni tad-data’);
(d) tkun preċiża u, fejn meħtieġ, tinżamm aġġornata; għandu jsir dak kollu raġonevoli biex ikun żgurat li d-data personali li ma tkunx eżatta, b’kont meħud tal-għanijiet li għalihom tiġi pproċessata, titħassar jew tissewwa mingħajr dewmien (‘preċiżjoni’);
[…]”
7. L-Artikolu 6 tal-GDPR, intitolat “Legalità tal-ipproċessar”, jipprovdi, fil-paragrafu 1 tiegħu:
“L-ipproċessar għandu jkun legali biss jekk u safejn mill-inqas ikun japplika wieħed mill-punti li ġejjin:
(a) is-suġġett tad-data jkun ta l-kunsens għall-ipproċessar ta’ data personali tiegħu għal fini speċifiku wieħed jew aktar;
(b) l-ipproċessar ikun meħtieġ għat-twettiq ta’ kuntratt li għalih is-suġġett tad-data huwa parti jew sabiex jittieħdu passi fuq talba tas-suġġett tad-data qabel ma jidħol f’kuntratt;
(c) l-ipproċessar ikun meħtieġ għall-konformità ma’ obbligu legali li għalih huwa soġġett il-kontrollur;
(d) l-ipproċessar ikun meħtieġ sabiex ikunu protetti l-interessi vitali tas-suġġett tad-data jew ta’ persuna fiżika oħra;
(e) l-ipproċessar ikun meħtieġ għat-twettiq ta’ kompitu li jsir fl-interess pubbliku jew fl-eżerċizzju ta’ awtorità uffiċjali mogħtija lill-kontrollur;
(f) l-ipproċessar ikun meħtieġ għall-finijiet tal-interessi leġittimi segwiti mill-kontrollur jew minn parti terza, għajr meta dawn l-interessi jingħelbu mill-interessi jew id-drittijiet u l-libertajiet fundamentali tas-suġġett tad-data li jeħtieġu l-protezzjoni tad-data personali, b’mod partikolari meta s-suġġett tad-data jkun minorenni.
[…]”
8. L-Artikolu 13 tal-GDPR, intitolat “Informazzjoni li għandha tiġi pprovduta fejn tinġabar data personali mis-suġġett tad-data”, jipprevedi:
“1. Fejn data personali relatata ma’ suġġett tad-data tinġabar mingħand is-suġġett tad-data, il-kontrollur għandu, fil-ħin li tinkiseb id-data personali, jipprovdi l-informazzjoni kollha li ġejja lis-suġġett tad-data:
[…]
(d) fejn l-ipproċessar ikun ibbażat fuq il-punt (f) tal-Artikolu 6(1), l-interessi leġittimi segwiti mill-kontrollur jew minn parti terza;
[…]”
9. L-Artikolu 21 tal-GDPR, intitolat “Dritt ta’ oġġezzjoni”, jipprovdi, fil-paragrafu 1 tiegħu:
“Is-suġġett tad-data għandu d-dritt li joġġezzjona, għal raġunijiet relatati mas-sitwazzjoni partikolari tiegħu, fi kwalunkwe mument għall-ipproċessar ta’ data personali li tikkonċerna lilu li hija bbażata fuq il-punt (e) jew (f) tal-Artikolu 6(1), inkluż it-tfassil ta’ profili abbażi ta’ dawk id-dispożizzjonijiet. Il-kontrollur ma għandux jibqa’ jipproċessa d-data personali sakemm il-kontrollur ma jagħtix raġunijiet leġittimi konvinċenti għall-ipproċessar li jegħlbu l-interessi, id-drittijiet u l-libertajiet tas-suġġett tad-data jew għall-istabbiliment, l-eżerċizzju jew id-difiża ta’ talbiet legali.”
10. L-Artikolu 25 tal-GDPR, intitolat “Protezzjoni ta’ data mid-disinn u b’mod awtomatiku”, jipprevedi, fil-paragrafu 2 tiegħu:
“Il-kontrollur għandu jimplimenta miżuri tekniċi u organizzattivi adatti biex jiżgura li, b’mod awtomatiku, tiġi pproċessata biss data personali li mhijiex meħtieġa għal kull għan speċifiku tal-ipproċessar. Dak l-obbligu japplika għall-ammont ta’ data personali miġbura, il-livell ta’ pproċessar tagħha, il-perijodu tal-ħażna tagħha u l-aċċessibbiltà tagħha. […]”
B. Id‑dritt Franċiż
11. L-Artikolu 8 tal-loi n° 78-17relative à l’informatique, aux fichiers et aux libertés du 6 janvier 1978 (il-Liġi Nru 78-17, tas‑6 ta’ Jannar 1978, dwar l-informatika, il-fajls u l-libertajiet) (3) jipprovdi:
“Il-Commission nationale de l’informatique et des libertés [(CNIL)] (il-Kummissjoni Nazzjonali tal-Informatika u tal-Libertajiet, Franza, iktar ’il quddiem iċ-“CNIL”) hija awtorità amministrattiva indipendenti. Hija l-awtorità superviżorja nazzjonali fis-sens u b’implimentazzjoni [tal-GDPR]. Hija għandha twettaq il-kompiti li ġejjin:
[…]
2° Għandha tiżgura li l-ipproċessar ta’ data personali jitwettaq konformement mad-dispożizzjonijiet ta’ din il-liġi u mad-dispożizzjonijiet l-oħra dwar il-protezzjoni tad-data personali previsti mit-testi leġiżlattivi u regolatorji, mid-dritt tal-Unjoni Ewropea u mill-impenji internazzjonali ta’ Franza.
Għal dan l-għan:
[…]
(d) Għandha tittratta l-ilmenti, il-petizzjonijiet u l-pretensjonijiet ippreżentati minn suġġett tad-data jew minn korp, organizzazzjoni jew assoċjazzjoni, teżamina jew tinvestiga s-suġġett tal-ilment, sa fejn ikun xieraq, u tinforma lill-ilmentatur dwar il-progress u l-eżitu tal-investigazzjoni fi żmien raġonevoli, b’mod partikolari jekk tkun meħtieġa aktar investigazzjoni jew koordinazzjoni ma’ awtorità superviżorja oħra. […]”.
III. Il‑fatti fil‑kawża prinċipali, il‑proċedura quddiem il‑Qorti tal‑Ġustizzja u d‑domandi preliminari
12. SNCF Connect hija kumpanija li tikkummerċjalizza biljetti tat-trasport ferrovjarju bħal biljetti tal-ferrovija, abbonamenti u kards ta’ skontijiet permezz tas-sit web u l-applikazzjonijiet tagħha. Meta jixtru dawn il-biljetti tat-trasport, il-klijenti ta’ din il-kumpannija huma obbligati jindikaw it-titolu tagħhom, billi jimmarkaw il-kelma “Sinjur” jew “Sinjura”.
13. Peress li qieset li l-kundizzjonijiet li taħthom inġabru u ġew irreġistrati t-titoli tal-klijenti waqt ix-xiri ta’ biljetti tat-trasport ma kinux konformi mar-rekwiżiti tal-GDPR, ir-rikorrenti fil-kawża prinċipali, l-assoċjazzjoni Mousse (iktar ’il quddiem “Mousse”), ippreżentat ilment quddiem iċ-CNIL kontra SNCF Connect. Insostenn ta’ dan l-ilment, Mousse sostniet li l-ġbir tad-data kkonċernata ma kienx konformi mal-prinċipju ta’ legalità, stabbilit fl-Artikolu 5(1)(a) ta’ dan ir-regolament, peress li ma kien ibbażat fuq ebda bażi prevista fl-Artikolu 6(1) tal-imsemmi regolament. Barra minn hekk, tali ġbir jikser il-prinċipju ta’ minimizzazzjoni tad-data u l-prinċipju ta’ preċiżjoni, stabbiliti, rispettivament, fl-Artikolu 5(1)(c) u (d) tal-istess regolament, kif ukoll l-obbligi ta’ trasparenza u ta’ informazzjoni li jirriżultaw, b’mod partikolari, mill-Artikolu 13 tiegħu. F’dan il-kuntest, Mousse sostniet li SNCF Connect ma kellhiex tiġbor dik id-data jew li kellha, tal-inqas, toffri lill-klijenti tagħha possibbiltajiet oħra, bħal referenza “newtrali” jew “oħrajn”.
14. Permezz ta’ deċiżjoni tat‑23 ta’ Marzu 2021, iċ-CNIL għalqet il-proċedura ta’ lment li tressaq quddiemha, billi qieset li l-fatti allegati fil-konfront ta’ SNCF Connect ma kinux jikkostitwixxu ksur tal-imsemmija dispożizzjonijiet tal-GDPR. Iċ-CNIL ikkonstatat li l-ipproċessar tad-data kien legali, skont l-Artikolu 6(1)(b) ta’ dan ir-regolament, minħabba li kien neċessarju għat-twettiq tal-kuntratt tal-forniment ta’ servizzi tat-trasport. Barra minn hekk, iċ-CNIL irrilevat li, fir-rigward tal-għanijiet tiegħu, tali pproċessar kien konformi mal-prinċipju tal-minimizzazzjoni tad-data, peress li l-indirizzar tal-klijenti bl-użu tat-titolu tagħhom kien jikkorrispondi għall-użanza fil-qasam tal-komunikazzjonijiet ċivili, kummerċjali u amministrattivi.
15. Fil‑21 ta’ Mejju 2021, Mousse ppreżentat rikors għal annullament kontra d-deċiżjoni tat‑23 ta’ Marzu 2021 taċ-CNIL quddiem il-Conseil d’État (il-Kunsill tal-Istat, Franza). Fir-rikors tagħha, Mousse ssostni b’mod partikolari li l-obbligu li tintgħażel il-kelma “Sinjur” jew “Sinjura” waqt ix-xiri online ma jissodisfax la l-prinċipju ta’ legalità u lanqas il-prinċipju ta’ minimizzazzjoni tad-data, stabbiliti rispettivament fl-Artikolu 5(1)(a) u (c) tal-GDPR, peress li din l-indikazzjoni ma hijiex neċessarja għat-twettiq tal-kuntratt, u lanqas għall-finijiet tal-interessi leġittimi ta’ SNCF Connect. Il-fatt li l-imsemmija indikazzjoni tintuża fil-korrispondenza kummerċjali ma huwiex biżżejjed sabiex jirrendi neċessarju l-ġbir ta’ din id-data. Fl-aħħar nett, tali obbligu jista’ jippreġudika d-dritt ta’ vvjaġġar jekk wieħed ma jikkomunikax it-titolu tiegħu, id-dritt tar-rispett tal-ħajja privata kif ukoll il-libertà li wieħed jiddefinixxi liberament l-espressjoni tal-ġeneru tiegħu. Fir-rigward, b’mod partikolari, taċ-ċittadini ta’ pajjiżi li l-istat ċivili tagħhom jaċċetta l-“ġeneru newtrali”, din l-indikazzjoni ma tikkorrispondix għar-realtà u tista’, għalhekk, tmur kontra l-prinċipju ta’ preċiżjoni, stabbilit fl-Artikolu 5(1)(d) ta’ dan ir-regolament, filwaqt li tippreġudika l-libertà ta’ moviment tagħhom, iggarantita mid-dritt tal-Unjoni.
16. Iċ-CNIL titlob li dan ir-rikors jiġi miċħud u ssostni li l-ipproċessar tad-data dwar it-titoli jista’ wkoll jiġi kklassifikat bħala neċessarju għall-finijiet tal-interessi leġittimi segwiti minn SNCF Connect, fis-sens tal-Artikolu 6(1)(f) tal-GDPR, u li l-persuni kkonċernati jistgħu – skont is-sitwazzjoni partikolari tagħhom – jinvokaw id-dritt ta’ oppożizzjoni ggarantit fl-Artikolu 21 ta’ dan ir-regolament.
17. Il-qorti tar-rinviju tistaqsi, minn naħa, jekk, sabiex tiġi evalwata n-natura adegwata, rilevanti u limitata għal dak li huwa neċessarju tal-ġbir tad-data, u n-neċessità tal-ipproċessar tagħha, jistgħux jittieħdu inkunsiderazzjoni użijiet aċċettati b’mod kurrenti fil-komunikazzjonijiet ċivili, kummerċjali u amministrattivi, b’tali mod li l-ġbir ta’ data relatata mat-titoli tal-klijenti, limitat għall-kliem “Sinjur” jew “Sinjura”, ikun jista’ jiġi kklassifikat bħala “legali u konformi” mal-prinċipju ta’ minimizzazzjoni tad-data. Din il-qorti tistaqsi, min-naħa l-oħra, dwar jekk, sabiex tiġi evalwata n-neċessità tal-ġbir obbligatorju u tal-ipproċessar sussegwenti ta’ data dwar it-titoli tal-klijenti, minkejja li wħud minnhom iqisu li huma ma jaqgħux taħt ebda wieħed miż-żewġ titoli, għandux jittieħed inkunsiderazzjoni l-fatt li dawn il-klijenti jistgħu, wara li jkunu pprovdew din id-data lill-kontrollur sabiex jibbenefikaw mis-servizz propost, jeżerċitaw id-dritt tagħhom ta’ oppożizzjoni għall-użu ta’ tali data, minħabba s-sitwazzjoni partikolari tagħhom, fis-sens tal-Artikolu 21 tal-GDPR.
18. Huwa f’dan il-kuntest li l-Conseil d’État (il-Kunsill tal-Istat) iddeċieda li jissospendi l-proċeduri quddiemu u li jagħmel lill-Qorti tal-Ġustizzja d-domandi preliminari li ġejjin:
“1) Sabiex tiġi evalwata n-natura adegwata, rilevanti u limitata għal dak li huwa neċessarju tal-ġbir ta’ data fis-sens tad-dispożizzjonijiet tal-Artikolu 5(1)(c) [tal-GDPR] u n-neċessità tal-ipproċessar tagħha fis-sens tal-Artikolu 6(1)(b) u (f) [ta’ dan ir-regolament], jistgħu jittieħdu inkunsiderazzjoni użijiet aċċettati b’mod komuni fil-qasam ta’ komunikazzjonijiet ċivili, kummerċjali u amministrattivi, b’tali mod li l-ġbir ta’ data relatata mat-titoli tal-klijenti, limitat għall-kliem “Sinjur” jew “Sinjura”, ikun jista’ jitqies bħala neċessarju, mingħajr ma dan ikun ta’ ostakolu għall-prinċipju ta’ minimizzazzjoni tad-data?
2) Sabiex tiġi evalwata n-neċessità tal-ġbir obbligatorju u tal-ipproċessar ta’ data relatata mat-titoli tal-klijenti, minkejja li ċerti klijenti jqisu li huma ma jaqgħux taħt ebda wieħed miż-żewġ titoli u li l-ġbir ta’ din id-data ma huwiex rilevanti sa fejn huma kkonċernati, huwa neċessarju li jittieħed inkunsiderazzjoni l-fatt li dawn ikunu jistgħu, wara li jkunu pprovdew din id-data lill-kontrollur sabiex jibbenefikaw mis-servizz propost, jeżerċitaw id-dritt tagħhom ta’ oppożizzjoni għall-użu tagħha u għall-ħażna tagħha billi jsostnu s-sitwazzjoni partikolari tagħhom, skont l-Artikolu 21 tal-GDPR?”
19. Mousse, SNCF Connect, il-Gvern Franċiż, u l-Kummissjoni Ewropea ppreżentaw osservazzjonijiet bil-miktub. Dawn l-istess partijiet ipparteċipaw fis-seduta li saret fid‑29 ta’ April 2024.
IV. Analiżi
A. Fuq l‑ewwel domanda preliminari
20. Permezz tal-ewwel domanda preliminari tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 5(1)(c) u l-Artikolu 6(1)(b) u (f) tal-GDPR għandhomx jiġu interpretati fis-sens li l-ipproċessar tad-data personali dwar it-titoli tal-klijenti ta’ impriża tat-trasport għandu jitqies li huwa neċessarju għat-twettiq ta’ kuntratt jew ta’ miżuri prekuntrattwali jew neċessarju għall-finijiet tal-interessi leġittimi segwiti mill-kontrollur jew minn parti terza, meta dan l-ipproċessar ikun intiż li jippermetti komunikazzjoni kummerċjali personalizzata billi jiżgura l-osservanza ta’ użijiet aċċettati b’mod komuni fil-qasam tal-komunikazzjoni kummerċjali.
21. Qabelxejn għandi nagħmel żewġ osservazzjonijiet preliminari f’dan ir-rigward.
22. Minn naħa, nirrileva li l-partijiet jaqblu u li ma hemmx dubju li d-data dwar it-titoli tal-klijenti ta’ impriża tat-trasport tikkostitwixxi data personali, fis-sens tal-Artikolu 4(1) tal-GDPR u li, barra minn hekk, il-ġbir u r-reġistrazzjoni tagħha minn SNCF Connect għandhom jitqiesu bħala pproċessar, fis-sens tal-Artikolu 4(2) ta’ dan ir-regolament, b’tali mod li għandhom jiġu eżaminati fid-dawl tad-dispożizzjonijiet tal-imsemmi regolament.
23. Min-naħa l-oħra, SNCF Connect u l-Gvern Franċiż jiddefendu l-idea li risposta fin-negattiv għall-ewwel domanda preliminari twassal għall-applikazzjoni tal-GDPR f’kuntest li huwa barrani għalih, sa fejn, bl-adozzjoni ta’ dan ir-regolament, il-leġiżlatur ma kellux l-intenzjoni li jirregola l-użijiet fil-qasam tal-komunikazzjoni jew tal-kwistjoni tal-ġeneru. Għalkemm naqbel faċilment, bħall-Avukat Ġenerali Bobek, li r-regoli fil-qasam tal-protezzjoni tal-ħajja privata kultant jistgħu “jintużaw f’ċirkustanzi pjuttost sorprendenti” (4), jidhirli madankollu li din is-sitwazzjoni ma hijiex waħda minnhom. Il-fatt li tikkonċerna d-data tal-identità ċivili u li, b’dan il-mod, huma riflessi b’mod ċar id-dibattiti eżistenti fl-ordinamenti ġuridiċi nazzjonali dwar il-kwistjoni tal-binarità tal-ġeneru ma jistax iwassal sabiex jinħeba l-fatt li, f’dan il-każ, tabilħaqq hemm inkwistjoni l-ipproċessar awtomatiku ta’ data personali tal-klijenti tagħha minn kumpannija tat-trasport, li mhux biss jaqa’ oġġettivament fil-kamp ta’ applikazzjoni tal-GDPR, iżda jikkostitwixxi operazzjoni ta’ pproċessar ta’ data li l-leġiżlatur tal-Unjoni kellu l-għan li jirregola (5).
24. Għalhekk ser nibda l-analiżi tiegħi tal-ewwel domanda preliminari permezz ta’ rimarki ġenerali fir-rigward tal-kundizzjoni marbuta mal-legalità tal-ipproċessar ta’ data, li għaliha huma suġġetti, skont il-GDPR, il-kontrolluri, qabel ma niddetermina jekk, fid-dawl tal-prinċipji stabbiliti, din il-kundizzjoni għandhiex titqies li hija ssodisfatta fir-rigward tal-ipproċessar tad-data dwar it-titoli tal-klijenti ta’ impriża tat-trasport għall-fini tal-komunikazzjoni ma’ dawn il-klijenti bl-użu tal-użijiet aċċettati b’mod komuni fil-qasam tal-komunikazzjoni kummerċjali.
1. Fuq il‑legalità tal‑ipproċessar ta’ data personali
25. L-Artikolu 5 tal-GDPR jistabbilixxi għadd ta’ prinċipji relatati mal-ipproċessar tad-data personali. B’mod partikolari, din id-dispożizzjoni tipprevedi li tali data “għandha tkun ipproċessata legalment” (6) u “għandha tkun adegwata, rilevanti u limitata għal dak li hu meħtieġ b’rabta mal-finijiet li għalihom tkun qed tiġi pproċessata” (7). Fi kliem ieħor, kwalunkwe pproċessar ta’ data għandu josserva, b’mod partikolari, il-prinċipju tal-legalità u l-prinċipju tal-minimizzazzjoni tad-data.
26. L-Artikolu 6 tal-GDPR jispeċifika l-portata tal-prinċipju tal-legalità tal-ipproċessar tad-data. Sa fejn jippermetti limitazzjoni tad-dritt għall-protezzjoni tad-data personali (8), l-Artikolu 6(1) ta’ dan ir-regolament jissodisfa l-kundizzjonijiet stabbiliti fl-Artikolu 52(1) tal-Karta: il-limitazzjoni inkwistjoni hija prevista mil-liġi u tirrispetta l-kontenut essenzjali ta’ dan id-dritt. Barra minn hekk, din il-limitazzjoni hija neċessarja u tissodisfa għan ta’ interess ġenerali rrikonoxxut mill-Unjoni jew għall-ħtiġijiet ta’ protezzjoni tad-drittijiet u tal-libertajiet ta’ oħrajn (9).
27. Il-leġiżlatur ippreveda wkoll sitt raġunijiet li għalihom l-ipproċessar tad-data huwa legali, filwaqt li spjega l-għanijiet ta’ interess ġenerali u d-drittijiet u l-libertajiet li jeħtieġu protezzjoni li jistgħu jiġġustifikaw limitazzjoni għad-dritt għall-protezzjoni tad-data personali. L-Artikolu 6(1) tal-GDPR għalhekk jipprevedi “lista eżawrjenti u limitattiva ta’ każijiet li fihom l-ipproċessar tad-data personali jista’ jitqies bħala legali” (10).
28. L-Artikolu 6(1) tal-GDPR ma jistabbilixxix ġerarkija stretta (11) bejn ir-raġunijiet li għalihom l-ipproċessar ta’ data għandu jitqies li huwa legali. Il-Qorti tal-Ġustizzja għalhekk speċifikat, fil-ġurisprudenza tagħha, ir-relazzjonijiet bejn dawn tal-aħħar.
29. Minn naħa, hija fakkret li, skont l-Artikolu 6(1)(a) tal-GDPR, “l-ipproċessar ta’ data ikun legali biss jekk, u sakemm, is-suġġett tad-data jkun ta l-kunsens tiegħu sabiex id-data tiegħu tiġi pproċessata għal skop speċifiku wieħed jew iktar”. Il-Qorti tal-Ġustizzja żiedet li, “[f]l-assenza ta’ tali kunsens, […] tali pproċessar ikun madankollu ġġustifikat meta dan ikun jissodisfa wieħed mir-rekwiżiti ta’ neċessità msemmija fil-punti (b) sa (f) tal-ewwel subparagrafu tal-Artikolu 6(1) ta’ dan ir-regolament” (12). Barra minn hekk, hija qieset li “[l]-ġustifikazzjonijiet [inkwistjoni], sa fejn dawn jippermettu li pproċessar ta’ data personali mwettaq fl-assenza tal-kunsens tas-suġġett tad-data jsir legali, għandhom ikunu suġġetti għal interpretazzjoni restrittiva” (13). Ir-raġunijiet għall-ipproċessar ta’ data personali previsti fl-Artikolu 6(1) tal-imsemmi Regolament għalhekk huma ekwivalenti u l-ebda waħda ma għandha titqies sussidjarja għal oħra.
30. Min-naħa l-oħra, il-Qorti tal-Ġustizzja speċifikat in-natura mhux kumulattiva tal-ġustifikazzjonijiet previsti fl-Artikolu 6(1) tal-GDPR. Għalhekk indikat li “meta jkun possibbli li jiġi kkonstatat li pproċessar ta’ data personali huwa neċessarju fid-dawl ta’ waħda mill-ġustifikazzjonijiet previsti fil-punti (b) sa (f) tal-ewwel subparagrafu tal-Artikolu 6(1) tal-GDPR, ma hemmx lok li jiġi ddeterminat jekk dan l-ipproċessar jaqax ukoll taħt waħda oħra minn dawn il-ġustifikazzjonijiet” (14). Fi kliem ieħor, kif diġà esponejt (15), l-ipproċessar ta’ data personali jkun legali meta jkun iġġustifikat fuq il-bażi ta’ raġuni waħda, mingħajr ma raġuni waħda titqies sussidjarja għal oħra.
31. Il-prinċipju tal-legalità ddettaljat fl-Artikolu 6(1) tal-GDPR ma jistax madankollu jiġi analizzat b’mod iżolat. Il-Qorti tal-Ġustizzja għalhekk tqis b’mod konsistenti li din il-kundizzjoni “għandha tiġi eżaminata flimkien mal-prinċipju msejjaħ ‘minimizzazzjoni tad-data’ stabbilit fl-Artikolu 5(1)(c) [ta’ dan ir-Regolament]” (16). Dan il-prinċipju huwa, skont il-ġurisprudenza tal-Qorti tal-Ġustizzja u kif diġà indikajt (17), espressjoni tal-prinċipju ta’ proporzjonalità (18) li jirrikjedi, kif sostna l-gvern Franċiż fl-osservazzjonijiet bil-miktub tiegħu, li l-mezzi użati jkunu jistgħu jiksbu l-għan segwit u ma jmorrux lil hinn minn dak li huwa neċessarju biex dan jinkiseb (19).
32. Fi kliem ieħor, il-prinċipju ta’ minimizzazzjoni tad-data jippreżupponi li jiġi vverifikat li d-data pproċessata tkun xierqa sabiex jintlaħaq l-għan intiż mill-ipproċessar tagħha – skont ir-raġunijiet stabbiliti fl-Artikolu 6(1) tal-GDPR – u li d-data tiġi pproċessata biss jekk l-iskop tal-ipproċessar ma jkunx jista’ jintlaħaq b’mod raġonevoli b’mezzi oħra. Il-portata tad-data pproċessata b’dan il-mod, kemm mill-aspett kwantitattiv kif ukoll minn dak sostantiv, ma hijiex iktar estiża minn dak li huwa neċessarju sabiex jintlaħaq dan l-għan (20).
33. F’dan ir-rigward, ser nagħmel kumment addizzjonali. Nirrileva li l-Qorti tal-Ġustizzja interpretat il-prinċipju ta’ minimizzazzjoni tad-data flimkien mal-prinċipju tal-legalità tal-ipproċessar biss f’sitwazzjonijiet fejn l-ipproċessar inkwistjoni kien ibbażat fuq waħda mir-raġunijiet previsti fl-Artikolu 6(1)(b) sa (f) tal-GDPR. Fi kliem ieħor, il-Qorti tal-Ġustizzja ma ppreċiżatx b’mod ċar jekk il-prinċipju ta’ minimizzazzjoni tad-data huwiex applikabbli wkoll meta l-persuna kkonċernata tkun tat il-kunsens tagħha għall-ipproċessar tad-data personali tagħha. Huwa minnu li wieħed jista’ jiddefendi l-idea li, sa fejn il-persuna tagħti l-kunsens tagħha, il-kontrollur jista’ jwettaq l-ipproċessar tad-data kollha, mingħajr ma l-prinċipju ta’ minimizzazzjoni jopponi dan.
34. Madankollu, tali interpretazzjoni ma jidhirlix li hija kompatibbli la mal-għan tal-GDPR li jiġi żgurat livell għoli ta’ protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar tad-data personali tagħhom, u lanqas mat-test tad-dispożizzjonijiet inkwistjoni.
35. Tabilħaqq, nirrileva li l-Artikolu 6(1)(a) tal-GDPR jipprevedi l-legalità tal-ipproċessar sakemm is-suġġett tad-data jkun “ta l-kunsens għall-ipproċessar ta' data personali tiegħu għal fini speċifiku wieħed jew aktar” (21). F’dan ir-rigward, nenfasizza li l-kunsens ifisser “kwalunkwe indikazzjoni tax-xewqat tas-suġġett tad-data mogħtija b'mod liberu, speċifika, infurmata u mhux ambigwa” (22). Fi kliem ieħor, ma jistax ikun kunsens ġenerali għall-ipproċessar tad-data kollha. Barra minn hekk, l-iskop li għalih jingħata l-kunsens għall-ipproċessar tad-data għandu jiġi kkomunikat lis-suġġett tad-data. L-Artikolu 5(1)(c) ta’ dan ir-regolament jipprevedi li d-data pproċessata għandha tkun “adegwata, rilevanti, u limitata għal dak li hu meħtieġ b’rabta mal-finijiet li għalihom tkun qed tiġi pproċessata” (23). F’dawn iċ-ċirkustanzi, il-prinċipju tal-minimizzazzjoni tad-data jidher li japplika anki fil-każ li l-ipproċessar ta’ din id-data jitwettaq bil-kunsens tas-suġġett tad-data u jwassal biex jiġi vverifikat li d-data inkwistjoni hija tabilħaqq limitata għal dak li huwa meħtieġ biex jinkiseb l-għan speċifiku tal-ipproċessar.
36. Huwa fid-dawl ta’ dawn il-kunsiderazzjonijiet li għandu jsir l-eżami tal-ipproċessar tad-data tat-titoli tal-klijenti tagħha minn SNCF Connect fid-dawl tal-Artikolu 6(1)(b) u (f) tal-GDPR, filwaqt li huwa ppreċiżat li l-qorti tar-rinviju tirreferi esklużivament għal dawn iż-żewġ għanijiet tal-ipproċessar.
2. Fuq l‑Artikolu 6(1)(b) tal‑GDPR: il‑ħtieġa tal‑ipproċessar għat‑twettiq ta’ kuntratt li għalih huwa parti s‑suġġett tad‑data jew għat‑twettiq ta’ miżuri prekuntrattwali meħuda fuq talba tas‑suġġett tad‑data
37. L-Artikolu 6(1)(b) tal-GDPR jipprevedi li l-ipproċessar ta’ data personali jkun legali jekk ikun “meħtieġ għat-twettiq ta’ kuntratt li għalih is-suġġett tad-data huwa parti jew sabiex jittieħdu passi fuq talba tas-suġġett tad-data qabel ma jidħol f’kuntratt”.
38. Il-Qorti tal-Ġustizzja ppreċiżat, fis-sentenza Meta Platforms et, il-portata ta’ din id-dispożizzjoni. Hija għalhekk iddeċidiet li “sabiex ipproċessar ta’ data personali jitqies li huwa neċessarju għall-eżekuzzjoni ta’ kuntratt, fis-sens ta’ din id-dispożizzjoni, dan għandu jkun oġġettivament indispensabbli sabiex jitwettaq skop li jagħmel parti integrali mill-provvista kuntrattwali intiża għas-suġġett tad-data. Il-kontrollur għandu għalhekk ikun f’pożizzjoni li juri kif l-għan prinċipali tal-kuntratt ma jkunx jista’ jintlaħaq fl-assenza tal-ipproċessar inkwistjoni” (24).
39. Il-partijiet jaqblu li jiddefinixxu l-għan prinċipali tal-kuntratt bħala l-forniment ta’ biljett tat-trasport u, fl-aħħar mill-aħħar, tat-trasport tal-klijenti bil-ferrovija. Għaldaqstant, għandu jiġi vverifikat, minn naħa, jekk id-data tat-titolu tal-klijent hijiex ipproċessata sabiex jintlaħaq għan li jagħmel parti integrali mis-servizz ta’ trasport u, min-naħa l-oħra, jekk dan l-ipproċessar huwiex oġġettivament indispensabbli sabiex jiġri dan.
a) L‑identifikazzjoni tal‑għan tal‑ipproċessar
40. SNCF Connect u l-Gvern Franċiż isostnu li t-twettiq tal-kuntratt tat-trasport jippreżupponi l-komunikazzjoni mal-klijent, kemm waqt il-prenotazzjoni kif ukoll matul u wara l-vjaġġ inkwistjoni, u jimplika li għandu jkun magħruf it-titolu ta’ dan il-klijent sabiex il-komunikazzjoni ssir b’mod personalizzat mal-klijent u skont l-użanzi tal-komunikazzjoni kummerċjali aċċettati b’mod komuni.
41. SNCF Connect iżżid li, għat-twettiq tal-kuntratt tat-trasport, huwa importanti li jkun magħruf is-sess tas-suġġett tad-data sabiex tkun tista’ tadatta l-forniment tas-servizz f’każijiet partikolari, bħall-għoti ta’ għajnuna lil persuni b’mobbiltà mnaqqsa jew l-aċċess għal vaguni rriżervati għan-nisa fil-ferroviji ta’ billejl. F’dan ir-rigward, nirrileva li tali għan ma huwiex strettament is-suġġett tal-ewwel domanda preliminari kif ifformulata mill-qorti tar-rinviju, li tirreferi espressament għall-użu ta’ użijiet aċċettati b’mod komuni fil-qasam tal-komunikazzjoni kummerċjali. Madankollu, sa fejn il-qorti tar-rinviju tistaqsi b’mod iktar ġenerali lill-Qorti tal-Ġustizzja dwar il-ġbir tad-data dwar it-titoli fid-dawl tal-prinċipji ta’ minimizzazzjoni tad-data u tal-legalità tal-ipproċessar, xorta waħda ser neżamina dan l-argument.
42. Fir-rigward tal-għan tal-komunikazzjoni mal-klijent, jiena tal-fehma li dan għandu jitqies li jagħmel parti integrali mill-kuntratt tat-trasport. Fil-fatt, tali kuntratt jippreżupponi l-provvista ta’ biljett tat-trasport u, għaldaqstant, li jsir kuntatt mal-klijent sabiex dan jintbagħatlu. Barra minn hekk, jidhirli li l-ħtieġa ta’ komunikazzjoni mal-klijent tibqa’ preżenti matul it-trasport sabiex, b’mod partikolari, jiġi evitat kull inċident li jkollu impatt fuq il-vjaġġ tiegħu u wara t-trasport, b’mod partikolari fil-każ ta’ skambji mas-servizz tal-klijent dwar dan il-vjaġġ.
43. F’dan ir-rigward, għandi nippreċiża li l-argument tal-gvern Franċiż li l-għan tal-ipproċessar ma huwiex biss il-komunikazzjoni mal-klijent, iżda iktar preċiżament il-komunikazzjoni mal-klijent skont l-użanzi fil-qasam tal-komunikazzjoni kummerċjali, għandu jiġi miċħud. Minn naħa, għan hekk iddefinit ma jidhirlix li huwa parti integrali mill-forniment ta' servizz tat-trasport: ma hemm l-ebda indikazzjoni li dan ma setax jitwettaq fin-nuqqas ta’ komunikazzjoni skont l-użanzi tal-komunikazzjoni kummerċjali aċċettati b’mod komuni. Min-naħa l-oħra, dan l-argument jirriżulta minn raġunament ċirkulari. L-għan tal-ipproċessar tad-data hekk iddefinit – il-komunikazzjoni skont l-użanzi tal-komunikazzjoni kummerċjali aċċettati b’mod komuni – fil-fatt qiegħed jiġi konfuż mal-mezzi użati sabiex jintlaħaq dan l-għan – l-użu ta’ użijiet aċċettati b’mod komuni fil-qasam tal-komunikazzjoni kummerċjali.
44. Fir-rigward tal-adattament tas-servizz tat-trasport għal każijiet partikolari kif evokat minn SNCF Connect, ukoll jidhirli li huwa diffiċli li jiġi kkontestat li dan jagħmel parti integrali minn dan is-servizz, peress li huwa intiż preċiżament sabiex jiżgura t-twettiq tiegħu.
45. Madankollu, minkejja li l-għanijiet tal-ipproċessar inkwistjoni huma, fil-fehma tiegħi, inerenti għall-forniment ta’ servizz tat-trasport u jistgħu jiġu ammessi skont l-Artikolu 6(1)(b) tal-GDPR, jeħtieġ ukoll li l-ipproċessar tad-data personali jkun indispensabbli għat-twettiq tal-għan invokat, b’tali mod li l-għan prinċipali tal-kuntratt ma jkunx jista’ jintlaħaq mingħajr dan l-ipproċessar u li ma jkunx hemm soluzzjonijiet prattikabbli oħra u inqas intrużivi sabiex jintlaħaq l-istess għan.
46. Issa, jiena tal-fehma li l-ipproċessar tad-data tat-titoli jmur lil hinn minn dak li huwa neċessarju sabiex jippermetti t-twettiq korrett tal-kuntratt.
b) Il‑ħtieġa tal‑ipproċessar sabiex jintlaħqu l‑għanijiet identifikati
47. Fl-ewwel lok, fir-rigward tal-għan tal-komunikazzjoni, it-twettiq korrett tal-kuntratt tat-trasport ma jistax jiddependi fuq l-użu tat-titolu fil-komunikazzjoni tal-kumpannija tat-trasport mal-klijenti tagħha, anki jekk il-kontrollur tad-data jkollu l-intenzjoni li jikkomunika b’mod personalizzat mal-klijenti tiegħu. Fil-fatt, kumpannija tat-trasport tista’ faċilment tikkomunika b’mod personalizzat mal-klijenti tagħha mingħajr ma tuża t-titolu tagħhom.
48. Barra minn hekk, għalkemm SNCF Connect enfasizzat, waqt is-seduta, in-neċessità li tiġi mħarsa l-immaġni tad-ditta bl-użu ta’ formulazzjonijiet aċċettati b’mod kurrenti fil-komunikazzjoni kummerċjali, hemm formulazzjonijiet oħra li juru rispett lejn il-klijent u li ma jiddependux fuq it-titolu, li wkoll jistgħu jippermettu li jintlaħaq dan ir-riżultat.
49. Dan huwa iktar u iktar il-każ peress li, kif issostni Mousse u suġġett għal verifiki mill-qorti tar-rinviju, SNCF Connect ma tirrikorrix sistematikament, fil-prattika, għall-użijiet aċċettati b’mod komuni fil-qasam tal-komunikazzjoni kummerċjali li jimplikaw li huwa magħruf it-titolu tal-klijenti, iżda tuża formulazzjonijiet oħra iktar ġenerali, bħal “Grazzi, il-vjaġġ it-tajjeb” jew “Bonġu”. L-assenza ta’ użu sistematiku tat-titolu tal-klijenti fil-komunikazzjoni ta’ SNCF Connect jidhirli li tindika b’mod ċar mhux biss l-assenza tal-ħtieġa tal-ipproċessar ta’ din id-data għat-twettiq tal-kuntratt inkwistjoni, iżda wkoll, fid-dawl tal-prinċipju ta’ minimizzazzjoni tad-data, l-ipproċessar ta’ data iktar estiża minn dak li huwa neċessarju.
50. Bl-istess mod, nirrileva li, meta ġiet mistoqsija fuq dan il-punt waqt is-seduta, SNCF Connect qablet li t-trażmissjoni deliberata ta’ titolu għajr it-titolu reali tal-persuna kkonċernata fir-realtà ma għandha l-ebda effett fuq il-forniment tas-servizz tat-trasport. F’dawn iċ-ċirkustanzi, għandu jiġi kkonstatat li l-għan prinċipali tal-kuntratt xorta jista’ jintlaħaq fl-assenza tal-ipproċessar tad-data inkwistjoni.
51. Fit-tieni lok, fir-rigward tal-għan ta’ adattament tal-forniment tas-servizz tat-trasport, għal darba oħra, jiena tal-fehma li l-ipproċessar tad-data tat-titoli jmur lil hinn minn dak li huwa neċessarju sabiex dan jitwettaq. Minn naħa, id-data personali rilevanti sabiex tippermetti tali adattament ma jidhirlix li hija d-data tat-titoli, li, fil-fehma tal-gvern Franċiż, ma tikkostitwixxix element tal-istatus ċivili tal-persuni, iżda d-data dwar is-sess tal-klijenti, kif jidher fl-istat ċivili tal-persuni. Min-naħa l-oħra, dan l-istess għan jista’ jintlaħaq permezz tal-ġbir u l-ipproċessar ta’ din id-data mhux għall-ordnijiet kollha tal-biljetti tat-trasport, iżda biss għall-każijiet partikolari li jeħtiegu din id-data, bħall-ordnar ta’ biljett tat-trasport għall-ivvjaġġar f’vagun irriżervat għan-nisa fil-ferroviji ta’ billejl jew talba għall-assistenza għal persuna b’mobbiltà mnaqqsa.
52. F’dawn iċ-ċirkustanzi, jiena tal-fehma li l-Artikolu 6(1)(b) tal-GDPR u l-Artikolu 5(1)(c) tiegħu, għandu jiġi interpretat fis-sens li l-ipproċessar sistematiku tad-data tat-titoli ma jistax jitqies li huwa neċessarju għat-twettiq ta’ kuntratt li għalih is-suġġett tad-data huwa parti jew għat-twettiq ta’ miżuri prekuntrattwali meħuda fuq talba tiegħu, meta dan l-ipproċessar ikun intiż li jippermetti komunikazzjoni kummerċjali personalizzata billi jiżgura l-osservanza tal-użijiet aċċettati b’mod komuni fil-qasam tal-komunikazzjoni kummerċjali jew li jiżgura l-adattament tas-servizz tat-trasport minħabba s-sess tas-suġġett tad-data.
3. Fuq l‑Artikolu 6(1)(f) tal‑GDPR: il‑ħtieġa tal‑ipproċessar għall‑finijiet tal‑interessi leġittimi segwiti mill‑kontrollur jew minn parti terza
53. L-Artikolu 6(1)(f) tal-GDPR jipprevedi li l-ipproċessar ta’ data personali jkun legali jekk dan ikun “meħtieġ għall-finijiet tal-interessi leġittimi segwiti mill-kontrollur jew minn parti terza, għajr meta dawn l-interessi jingħelbu mill-interessi jew id-drittijiet u l-libertajiet fundamentali tas-suġġett tad-data li jeħtieġu l-protezzjoni tad-data personali, b’mod partikolari meta s-suġġett tad-data jkun minorenni”.
54. Huwa stabbilit fil-ġurisprudenza tal-Qorti tal-Ġustizzja li minn din id-dispożizzjoni jirriżulta li għandhom jiġu ssodisfatti tliet kundizzjonijiet kumulattivi sabiex l-ipproċessar tad-data personali jkun legali. L-ewwel nett, il-kontrollur tad-data jew il-parti terza għandu jkollhom interess leġittimu. It-tieni, l-ipproċessar tad-data personali għandu jkun meħtieġ sabiex jintlaħaq l-interess leġittimu. It-tielet, l-interessi jew il-libertajiet u d-drittijiet fundamentali tas-suġġett tad-data mill-protezzjoni tad-data ma jipprevalixxux fuq l-interess leġittimu tal-kontrollur jew ta’ terz (25).
55. Fir-rigward tal-ewwel kundizzjoni relatata mat-tfittxija ta’ interess leġittimu, il-Qorti tal-Ġustizzja enfasizzat, fis-sentenza Meta Platforms et, li “konformement mal-Artikolu 13(1)(d) tal-GDPR, huwa l-kontrollur, fil-mument li fih data personali relatata ma’ suġġett tad-data tinġabar mingħand dan is-suġġett, li għandu jindikalu l-interessi leġittimi mfittxija meta dan l-ipproċessar ikun ibbażat fuq il-punt (f) tal-ewwel subparagrafu tal-Artikolu 6(1) ta’ dan ir-regolament” (26). Il-Qorti għalhekk qieset, fl-istess sentenza, li din l-aħħar dispożizzjoni għandha tiġi interpretata li tfisser li l-ipproċessar ta’ data personali “jista’ jitqies li huwa neċessarju għall-finijiet tal-interessi leġittimi mfittxija mill-kontrollur jew minn terz, fis-sens ta’ din id-dispożizzjoni, biss bil-kundizzjoni li l-imsemmi operatur ikun indika lill-utenti li mingħandhom id-data tkun inġabret interess leġittimu mfittex mill-ipproċessar tagħha” (27).
56. Fi kliem ieħor, is-sanzjoni tan-nuqqas ta’ osservanza tal-obbligu ta’ informazzjoni previst fl-Artikolu 13(1)(d) tal-GDPR hija l-illegalità tal-ipproċessar tad-data personali inkwistjoni.
57. Issa, kif issostni l-Kummissjoni, u suġġetti għall-verifiki mill-qorti tar-rinviju, jidhirli li SNCF Connect ma kkonformatx ma’ dan l-obbligu.
58. Kif tenfasizza l-Kummissjoni, SNCF Connect issemmi, fid-“Dokument ta’ Kunfidenzjalità” tagħha disponibbli fuq is-sit web tagħha, il-bażi legali tal-ipproċessar tad-data tat-titoli bħala “l-interess leġittimu”. Ser nagħmel żewġ rimarki f’dan ir-rigward. Minn naħa, is-sempliċi riferiment għall-interess leġittimu, mingħajr ma jiġi speċifikat preċiżament x’inhu dan l-interess leġittimu, ma jistax jissodisfa l-obbligu ta’ informazzjoni stabbilit fl-Artikolu 13(1)(d) tal-GDPR, li jimponi fuq il-kontrollur l-obbligu li jindika l-interess leġittimu segwit. Min-naħa l-oħra, u fi kwalunkwe każ, ir-riferiment għal interess leġittimu b’mod ġenerali f’“Dokument tal-Kunfidenzjalità”, ċertament disponibbli fuq is-sit web tal-kontrollur, iżda li l-klijent irid ifittxu minn jeddu, lanqas ma huwa konformi mal-Artikolu 13(1)(d) ta’ dan ir-regolament. Fil-fatt, din id-dispożizzjoni timponi li s-suġġett tad-data jiġi informat bl-interess leġittimu mfittex fil-ħin li tinġabar id-data, li jippreżupponi, fil-fehma tiegħi, li tali informazzjoni tinġieb direttament għall-attenzjoni tal-klijent meta dan jipprovdi d-data inkwistjoni li tikkonċernah.
59. Barra minn hekk, mistoqsija waqt is-seduta dwar l-obbligu ta’ informazzjoni, SNCF Connect ma setgħetx tindika li l-interess leġittimu segwit mill-ipproċessar huwa effettivament ikkomunikat lill-klijenti tagħha fil-mument tal-ġbir tad-data tat-titoli.
60. Għaldaqstant, l-ewwel kundizzjoni tal-Artikolu 6(1)(f) tal-GDPR, dwar l-eżistenza ta’ interess leġittimu, interpretata fid-dawl tal-obbligu ta’ komunikazzjoni ta’ dan l-interess previst fl-Artikolu 13(1)(d) ta’ dan ir-regolament, ma hijiex issodisfatta. Għalhekk, l-ipproċessar tad-data tat-titoli f’tali sitwazzjoni ma jistax jitqies li huwa legali fis-sens ta’ din id-dispożizzjoni, mingħajr ma hemm bżonn li jiġi eżaminat jekk iż-żewġ kundizzjonijiet l-oħra previsti fl-Artikolu 6(1)(f) tal-imsemmi regolament humiex issodisfatti.
a) Konklużjoni dwar l‑interpretazzjoni tal‑Artikolu 6(1)(f) tal‑GDPR
61. Minn dak kollu li ntqal iktar ’il fuq, jirriżulta li, fil-fehma tiegħi, l-Artikolu 6(1)(f) tal-GDPR u l-Artikolu 5(1)(c) tiegħu, għandhom jiġu interpretati fis-sens li l-ipproċessar tad-data tat-titoli tal-klijenti ta’ kumpannija tat-trasport ma jistax jitqies li huwa neċessarju għall-finijiet tal-interessi leġittimi segwiti mill-kontrollur jew minn terz, fis-sens ta’ din id-dispożizzjoni, sa fejn din il-kumpannija ma indikatx lill-utenti li mingħandhom id-data nġabret interess leġittimu segwit mill-ipproċessar tagħha.
b) Kummenti addizzjonali
62. Għall-finijiet ta’ kompletezza, u fil-każ li l-Qorti tal-Ġustizzja tasal għall-konklużjoni li l-interess leġittimu inkwistjoni ġie kkomunikat konformement mal-Artikolu 13(1)(d) tal-GDPR, xorta waħda ser inkompli l-analiżi tal-kundizzjonijiet li għandhom jiġu ssodisfatti sabiex l-ipproċessar ta’ data personali jitqies li huwa legali abbażi tal-Artikolu 6(1)(f) ta’ dan ir-regolament.
63. Fir-rigward, fl-ewwel lok, tal-kundizzjoni dwar l-eżistenza ta’ interess leġittimu, SNCF Connect u l-gvern Franċiż isostnu li l-interess leġittimu segwit huwa l-komunikazzjoni mal-klijent.
64. Nirrileva li l-Qorti tal-Ġustizzja ddeċidiet, fir-rigward tal-kunċett ta’ “interess leġittimu”, li, “fl-assenza ta’ definizzjoni ta’ dan il-kunċett mill-GDPR, għandu jiġi enfasizzat […] li firxa wiesgħa ta’ interessi tista’, bħala prinċipju, titqies bħala leġittima” (28).
65. F’dan ir-rigward, infakkar li SNCF Connect hija impriża li toffri għall-bejgħ online biljetti tat-trasport bil-ferrovija. Kif semmejt (29), dan is-servizz jippreżupponi li jsir kuntatt mal-klijent, tal-inqas sabiex jiġi trażmess lilu l-biljett tat-trasport. Għalhekk jidhirli li l-għan tal-komunikazzjoni mal-klijent jista’ jikkostitwixxi interess leġittimu għal din l-impriża, fis-sens tal-Artikolu 6(1)(f) tal-GDPR, b’tali mod li l-ewwel kundizzjoni, dwar l-eżistenza ta’ tali interess leġittimu, għandha, fil-fehma tiegħi, titqies li hija ssodisfatta.
66. Fit-tieni lok, fir-rigward tal-kundizzjoni dwar in-neċessità tal-ipproċessar tad-data personali għat-twettiq tal-interess leġittimu, din ma jidhirlix li hija ssodisfatta. Kif urejt fil-kuntest tal-analiżi tiegħi tal-Artikolu 6(1)(b) tal-GDPR, l-ipproċessar tad-data tat-titoli jmur lil hinn minn dak li huwa neċessarju sabiex jippermetti li jintlaħaq l-għan tal-komunikazzjoni mal-klijent, peress li din il-komunikazzjoni tista’ ssir mingħajr ma jsir użu minn din id-data (30).
67. Fir-rigward, fit-tielet u l-aħħar lok, tal-kundizzjoni li l-interessi jew il-libertajiet u d-drittijiet fundamentali tas-suġġett tad-data ma jipprevalixxux fuq l-interess leġittimu tal-kontrollur jew ta’ terz, nenfasizza li l-Qorti tal-Ġustizzja ddeċidiet li “din timplika bbilanċjar bejn id-drittijiet u l-interessi opposti inkwistjoni li jkun jiddependi, bħala prinċipju, fuq iċ-ċirkustanzi konkreti tal-każ partikolari u li, konsegwentement, hija l-qorti tar-rinviju li għandha twettaq dan l-ibbilanċjar billi tieħu inkunsiderazzjoni dawn iċ-ċirkustanzi speċifiċi” (31). Madankollu, ser nagħmel ċerti rimarki sabiex jiggwidaw lil din tal-aħħar fit-twettiq ta’ din l-evalwazzjoni.
68. Il-Qorti tal-Ġustizzja għalhekk iddeċidiet li, “[f]il-kuntest ta’ dan l-ibbilanċjar tad-drittijiet u tal-interessi opposti inkwistjoni, jiġifieri dawk tal-kontrollur, minn naħa, u dawk tas-suġġett tad-data, min-naħa l-oħra, għandhom jittieħdu inkunsiderazzjoni […] b’mod partikolari, l-aspettattivi raġonevoli tas-suġġett tad-data kif ukoll il-portata tal-ipproċessar inkwistjoni u l-impatt tiegħu fuq dan is-suġġett tad-data” (32).
69. Barra minn hekk, mill-premessa 47 tal-GDPR jirriżulta li “[l]-preżenza ta’ interess leġittimu tkun teħtieġ valutazzjoni bir-reqqa inkluż dwar jekk is-suġġett tad-data jkunx jista’ raġonevolment jistenna, fil-mument u fil-kuntest tal-ġbir tad-data personali, li l-ipproċessar għal dak il-fini jkun jista’ jsir”.
70. F’dan ir-rigward, ma nistax nifhem sa fejn il-klijent ta’ impriża tat-trasport seta’ raġonevolment jistenna li d-data tat-titoli tiegħu ser tiġi pproċessata minnha, bl-għan li tikkomunika fil-kuntest tas-servizz ta’ xiri ta’ biljett tat-trasport.
71. Fi kwalunkwe każ, ma naħsibx li s-sempliċi eżistenza ta’ aspettattivi raġonevoli hija biżżejjed biex jiġi żgurat li l-interess leġittimu tal-kontrollur jipprevalixxi fuq l-interessi jew il-libertajiet u d-drittijiet fundamentali tas-suġġett tad-data. Għalkemm tali element huwa ċertament rilevanti fil-kuntest tal-ibbilanċjar li għandu jitwettaq, min-naħa l-oħra dan ma jistax iwassal sistematikament sabiex jiġi deċiż li l-interess leġittimu tal-kontrollur jipprevali, b’mod partikolari meta l-ipproċessar tad-data personali inkwistjoni jista’ jippreġudika libertà jew dritt fundamentali tas-suġġett tad-data, kif iggarantiti mill-Karta.
72. Kif issostni Mousse, dan jidhirli li huwa l-każ f’din il-kawża. Fil-fatt, din l-assoċjazzjoni ssostni l-eżistenza ta’ riskju ta’ diskriminazzjoni abbażi tal-ġeneru minħabba l-ipproċessar tad-data tar-titoli, b’mod partikolari fir-rigward ta’ persuni transġeneru jew ta’ persuni li għandhom iċ-ċittadinanza ta’ Stat li jirrikonoxxi l-ġeneru newtrali.
73. F’dawn iċ-ċirkustanzi, u suġġett għall-verifiki mill-qorti tar-rinviju, jiena tal-fehma li l-interess leġittimu ta’ komunikazzjoni mal-klijent ma jistax jipprevalixxi fuq l-interessi jew il-libertajiet u d-drittijiet fundamentali tas-suġġett tad-data.
B. Fuq it‑tieni domanda preliminari
74. Permezz tat-tieni domanda preliminari tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 6(1)(f) tal-GDPR għandux jiġi interpretat fis-sens li, għall-finijiet tal-evalwazzjoni tan-neċessità ta’ pproċessar ta’ data personali fis-sens ta’ din id-dispożizzjoni, għandha tittieħed inkunsiderazzjoni l-eżistenza possibbli ta’ dritt ta’ oppożizzjoni tas-suġġett tad-data, skont l-Artikolu 21(1) ta’ dan ir-regolament.
75. L-Artikolu 21(1) tal-GDPR jipprevedi li s-suġġett tad-data għandu d-dritt li joġġezzjona, għal raġunijiet relatati mas-sitwazzjoni partikolari tiegħu, fi kwalunkwe mument għall-ipproċessar ta’ data personali li tikkonċerna lilu li hija bbażata fuq l-Artikolu 6(1)(e) jew (f) ta’ dan ir-regolament, inkluż it-tfassil ta’ profili abbażi ta’ dawk id-dispożizzjonijiet. Il-kontrollur ma għandux jibqa’ jipproċessa d-data personali sakemm il-kontrollur ma jagħtix raġunijiet leġittimi konvinċenti għall-ipproċessar li jegħlbu l-interessi, id-drittijiet u l-libertajiet tas-suġġett tad-data jew għall-istabbiliment, l-eżerċizzju jew id-difiża ta’ talbiet legali.
76. Skont ġurisprudenza stabbilita, għall-interpretazzjoni ta’ dispożizzjoni tad-dritt tal-Unjoni, għandhom jittieħdu inkunsiderazzjoni mhux biss il-kliem tagħha, iżda wkoll il-kuntest tagħha u l-għanijiet segwiti mil-leġiżlazzjoni li minnha tagħmel parti (33).
77. Fir-rigward tal-kliem tal-Artikolu 21(1) tal-GDPR, nirrileva li l-leġiżlatur tal-Unjoni jenfasizza li d-dritt ta’ oppożizzjoni jikkonċerna l-ipproċessar ta’ data personali bbażat, b’mod partikolari, fuq l-Artikolu 6(1)(f) ta’ dan ir-regolament. Fi kliem ieħor, kif isostnu Mousse u l-Kummissjoni, id-dritt ta’ oppożizzjoni jippreżupponi l-eżistenza ta’ pproċessar legali, fuq il-bażi b’mod partikolari tal-interess leġittimu tal-kontrollur. Għaldaqstant, dan id-dritt huwa intiż li jiġi implimentat biss ladarba jseħħ l-ipproċessar legali, sabiex dan jintemm.
78. Dan huwa kkonfermat, fl-opinjoni tiegħi, mit-tieni parti tal-Artikolu 21(1) tal-GDPR, li jipprevedi li, fil-każ ta’ oppożizzjoni skont din id-dispożizzjoni mis-suġġett tad-data, il-kontrollur ma jibqax jipproċessa d-data inkwistjoni (34). Tali kliem jimplika b’mod ċar, fil-fehma tiegħi, li l-ipproċessar tad-data inkwistjoni huwa legali skont il-kundizzjonijiet stabbiliti fl-Artikolu 6(1)(f) ta’ dan ir-Regolament, iżda li din id-data ma tistax tibqa’, ladarba tkun ġiet imressqa l-oppożizzjoni, tkun suġġetta għal tali pproċessar.
79. Fi kliem ieħor, l-Artikolu 21(1) tal-GDPR huwa intiż li japplika biss ladarba tiġi stabbilita l-legalità tal-ipproċessar.
80. Għalhekk, mill-kliem tal-Artikolu 21(1) tal-GDPR jirriżulta li l-eżistenza ta’ dritt ta’ oppożizzjoni bl-ebda mod ma hija rilevanti għall-evalwazzjoni tan-neċessità ta’ tali pproċessar skont l-Artikolu 6(1)(f) ta’ dan ir-regolament, peress li l-implimentazzjoni tal-Artikolu 21(1) tal-imsemmi regolament tippreżupponi li l-kundizzjonijiet tal-Artikolu 6(1)(f) tal-istess regolament ikunu diġà ssodisfatti.
81. Tali interpretazzjoni letterali tal-Artikolu 21(1) tal-GDPR hija barra minn hekk ikkonfermata mill-analiżi tiegħu fid-dawl tal-kuntest u tal-għanijiet ta’ dan ir-regolament.
82. Fir-rigward tal-interpretazzjoni kuntestwali ta’ din id-dispożizzjoni, nirrileva li r-raġunijiet li jistgħu jkunu l-bażi tal-ipproċessar ta’ data personali huma stabbiliti fl-Artikolu 6 tal-GDPR, li jirrigwarda l-prinċipju tal-legalità, fi ħdan il-Kapitolu II ta’ dan ir-regolament dwar il-prinċipji li jirregolaw l-ipproċessar tad-data. L-Artikolu 21 tal-imsemmi regolament, min-naħa tiegħu, jaqa’ taħt il-Kapitolu III, dwar id-drittijiet tas-suġġett tad-data. Barra minn hekk, kif diġà enfasizzajt, ir-raġunijiet stabbiliti fl-Artikolu 6 tal-istess regolament huma, skont ġurisprudenza stabbilita, eżawrjenti (35). F’dawn iċ-ċirkustanzi, iż-żewġ dispożizzjonijiet inkwistjoni jissodisfaw żewġ funzjonijiet differenti u ma jistax jitqies li l-Artikolu 21 tal-GDPR jista’ jittieħed inkunsiderazzjoni fl-eżami tal-legalità tal-ipproċessar, irregolat biss mill-Artikolu 6 ta’ dan ir-regolament.
83. Fir-rigward tal-interpretazzjoni teleoloġika tal-Artikolu 6(1)(f) u tal-Artikolu 21 tal-GDPR, it-teħid inkunsiderazzjoni tal-eżistenza ta’ dritt ta’ oppożizzjoni għall-finijiet tal-evalwazzjoni tal-legalità tal-ipproċessar ta’ data skont l-Artikolu 6 ta’ dan ir-regolament iwassal sabiex tiġi ammessa l-legalità tal-ipproċessar ta’ data minħabba s-sempliċi possibbiltà li l-persuna kkonċernata tkun tista’ sussegwentement topponi dan l-ipproċessar. Dan iwassal għalhekk sabiex jiġu estiżi r-raġunijiet ta’ legalità tal-ipproċessar lil hinn mill-każijiet previsti fl-Artikolu 6 tal-imsemmi regolament u sabiex il-livell ta’ protezzjoni tas-suġġetti tad-data jkun jiddependi mid-diliġenza tagħhom sabiex jopponu l-ipproċessar tad-data personali tagħhom, li mingħajrha dan l-ipproċessar jista’ jitqies legali. Għalhekk jidhirli li tali interpretazzjoni tista’ tippreġudika l-għan li jiġi żgurat livell għoli ta’ protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar tad-data personali tagħhom.
84. Għaldaqstant, jiena tal-fehma li r-risposta għat-tieni domanda preliminari għandha tkun li l-Artikolu 6(1)(f) tal-GDPR għandu jiġi interpretat fis-sens li jipprekludi li, għall-finijiet tal-evalwazzjoni tan-neċessità ta’ pproċessar ta’ data personali fis-sens ta’ din id-dispożizzjoni, tittieħed inkunsiderazzjoni l-eżistenza possibbli ta’ dritt ta’ oppożizzjoni tas-suġġett tad-data, skont l-Artikolu 21(1) ta’ dan ir-regolament.
V. Konklużjoni
85. Fid-dawl tal-kunsiderazzjonijiet kollha preċedenti, nipproponi li tingħata r-risposta li ġejja għad-domandi preliminari magħmula mill-Conseil d’État (il-Kunsill tal-Istat, Franza):
L-Artikolu 6(1)(b) u l-Artikolu 5(1)(c) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data)
għandhom jiġu interpretati fis-sens li:
l-ipproċessar sistematiku tad-data tat-titoli ma jistax jitqies li huwa neċessarju għat-twettiq ta’ kuntratt li għalih is-suġġett tad-data huwa parti jew għat-twettiq ta’ miżuri prekuntrattwali meħuda fuq talba tiegħu, meta dan l-ipproċessar ikun intiż li jippermetti komunikazzjoni kummerċjali personalizzata billi jiżgura l-osservanza tal-użijiet aċċettati b’mod komuni fil-qasam tal-komunikazzjoni kummerċjali jew li jiżgura l-adattament tas-servizz tat-trasport minħabba s-sess tas-suġġett tad-data.
L-Artikolu 6(1)(f) u l-Artikolu 5(1)(c) tar-Regolament 2016/679
għandhom jiġu interpretati fis-sens li:
l-ipproċessar tad-data tat-titoli tal-klijenti ta’ kumpannija tat-trasport ma jistax jitqies li huwa neċessarju għall-finijiet tal-interessi leġittimi segwiti mill-kontrollur jew minn terz, fis-sens tad-dispożizzjoni, sa fejn din il-kumpannija ma indikatx lill-utenti li mingħandhom id-data nġabret interess leġittimu segwit mill-ipproċessar tagħha.
L-Artikolu 6(1)(f) tar-Regolament 2016/679
għandu jiġi interpretat fis-sens li:
jipprekludi li, għall-finijiet tal-evalwazzjoni tan-neċessità ta’ pproċessar ta’ data personali fis-sens ta’ din id-dispożizzjoni, tittieħed inkunsiderazzjoni l-eżistenza possibbli ta’ dritt ta’ oppożizzjoni tas-suġġett tad-data, skont l-Artikolu 21(1) ta’ dan ir-regolament.