Edizzjoni Provviżorja
SENTENZA TAL-QORTI TAL-ĠUSTIZZJA (It-Tielet Awla)
11 ta’ Jannar 2024 (*)
“Rinviju għal deċiżjoni preliminari – Approssimazzjoni tal-leġiżlazzjonijiet – Protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ dik id-data (Regolament Ġenerali dwar il-Protezzjoni tad-Data) – Regolament (UE) 2016/679 – Il-punt 7 tal-Artikolu 4 – Kunċett ta’ ‘kontrollur’– Ġurnal Uffiċjali ta’ Stat Membru – Obbligu ta’ pubblikazzjoni kif inhuma tal-atti ta’ kumpanniji mħejjija minn dawn tal-aħħar jew mir-rappreżentanti legali tagħhom – Artikolu 5(2) – Ipproċessar suċċessiv minn diversi persuni jew entitajiet separati ta’ data personali li jinsabu f’tali atti – Determinazzjoni tar-responsabbiltajiet”
Fil-Kawża C‑231/22,
li għandha bħala suġġett talba għal deċiżjoni preliminari skont l-Artikolu 267 TFUE, imressqa mill-cour d’appel de Brussell (il-Qorti tal-Appell, il-Belġju), permezz ta’ deċiżjoni tat‑23 ta’ Frar 2022, li waslet fil-Qorti tal-Ġustizzja fl‑1 ta’ April 2022, fil-proċedura
État belge
vs
Autorité de protection des données,
fil-preżenza ta’:
LM,
IL-QORTI TAL-ĠUSTIZZJA (It-Tielet Awla),
komposta minn K. Jürimäe, Presidenta tal-Awla, N. Piçarra, M. Safjan (Relatur), N. Jääskinen u M. Gavalec, Imħallfin,
Avukat Ġenerali: L. Medina,
Reġistratur: C. Strömholm, Amministratriċi,
wara li rat il-proċedura bil-miktub u wara s-seduta tat‑23 ta’ Marzu 2023,
wara li kkunsidrat l-osservazzjonijiet ippreżentati:
– għall-Autorité de protection des données, minn F. Biebuyck, P. Van Muylder, avocates, u E. Kairis, advocaat,
– għall-Gvern Belġjan, minn P. Cottin, J.-C. Halleux u C. Pochet bħala aġenti, assistiti minn S. Kaisergruber u P. Schaffner, avocats,
– għall-Gvern Ungeriż, minn Zs. Biró -Tóth u M.-Z. Fehér, bħala aġenti,
– għall-Kummissjoni Ewropea, minn A. Bouchagiar, H. Kranenborg u A.-C. Simon, bħala aġenti,
wara li semgħet il-konklużjonijiet tal-Avukat Ġenerali, ippreżentati fis-seduta tat‑8 ta’ Ġunju 2023,
tagħti l-preżenti
Sentenza
1 It-talba għal deċiżjoni preliminari tirrigwarda l-interpretazzjoni tal-punt 7 tal-Artikolu 4(1) u (7) u tal-Artikolu 5(1) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-“GDPR”).
2 Din it-talba tressqet fil-kuntest ta’ tilwima bejn l-l-État belge (l-Istat Belġjan) u l-Autorité de protection des données (l-Awtorità għall-Protezzjoni tad-Data, il-Belġju, iktar ’il quddiem l-“APD”, l-awtorità ta’ superviżjoni stabbilita fil-Belġju skont l-Artikolu 51 tal-GDPR, dwar deċiżjoni li permezz tagħha din l-awtorità ordnat lill-awtorità li tamministra l-Moniteur belge, il-Ġurnal uffiċjali li jiżgura, f’dan l-Istat Membru, il-produzzjoni u t-tixrid ta’ firxa wiesgħa ta’ pubblikazzjonijiet uffiċjali u pubbliċi fuq il-karta u b’mod elettroniku, li jsegwi l-eżerċizzju, minn persuna fiżika, tad-dritt tagħha għat-tħassir li jikkonċerna diversi data personali li tinsab f’att ippubblikat f’dan il-Ġurnal uffiċjali.
Il‑kuntest ġuridiku
Id‑dritt tal‑Unjoni
3 Il-punti 2 u 7 tal-GDPR jipprevedu:
“Għall-finijiet ta’ dan ir-Regolament:
[...]
2) ‘ipproċessar’ tfisser kwalunkwe attività jew sett ta’ attivitajiet li jitwettqu fuq data personali jew fuq settijiet ta' data personali, sew jekk b’mezzi awtomatizzati u sew jekk mingħajrhom, bħalma huma l-ġbir, ir-reġistrazzjoni, l-organizzazzjoni, l-istrutturar, il-ħażna, l-adattament jew il-bidliet, l-irkupru, il-konsultazzjoni, l-użu, l-iżvelar bi trażmissjoni, it-tixrid jew it-tqegħid għad-dispożizzjoni b’xi mezz ieħor, l-allinjament jew it-taħlita, ir-restrizzjoni, it-tħassir jew il-qerda;
[...]
7) ‘kontrollur’ tfisser persuna fiżika jew ġuridika, awtorità pubblika, aġenzija jew kwalunkwe korp ieħor li, waħdu jew flimkien ma’ oħrajn, jiddetermina l-għanijiet u l-mezzi tal-ipproċessar ta’ data personali; fejn l-għanijiet u l-mezzi tal-ipproċessar ikunu ddeterminati mil-liġi tal-Unjoni jew ta’ Stat Membru, il-kontrollur jew il-kriterji speċifiċi għall-ħatra tiegħu jistgħu jiġu determinati mil-liġi tal-Unjoni jew ta’ Stat Membru;
[...]”
4 L-Artikolu 5 tal-GDPR jipprevedi:
“1. Id-data personali għandha:
a) tkun ipproċessata legalment, ġustament u b’mod trasparenti fir-rigward tas-suġġett tad-data (‘legalità, ġustizzja u trasparenza’);
b) tinġabar għal finijiet speċifikati, espliċiti u leġittimi u ma għandhiex tiġi pproċessata ulterjorment b’mod inkompatibbli ma’ dawk il-finijiet; f’konformità mal-Artikolu 89(1), l-ipproċessar ulterjuri għal finijiet ta’ arkivjar fl-interess pubbliku, għal finijiet ta’ riċerka xjentifika jew storika jew għal finijiet ta’ statistika ma għandux jitqies bħala inkompatibbli mal-finijiet inizjali (‘limitazzjoni tal-fini’);
c) tkun adegwata, rilevanti, u limitata għal dak li hu meħtieġ b’rabta mal-finijiet li għalihom tkun qed tiġi pproċessata (‘minimizzazzjoni tad-data’);
d) tkun preċiża u, fejn meħtieġ, tinżamm aġġornata; għandu jsir dak kollu raġonevoli biex ikun żgurat li d-data personali li ma tkunx eżatta, b’kont meħud tal-għanijiet li għalihom tiġi pproċessata, titħassar jew tissewwa mingħajr dewmien (‘preċiżjoni’);
e) tinżamm f’forma li tippermetti l-identifikazzjoni tas-suġġetti tad-data għal mhux aktar żmien milli jkun meħtieġ għall-finijiet li għalihom id-data personali tkun qed tiġi pproċessata; id-data personali tista’ tinħażen għal perijodi itwal sakemm id-data personali tiġi pproċessata biss għall-finijiet ta’ arkivjar fl-interess pubbliku, għall-finijiet ta’ riċerka xjentifika jew storika jew għall-finijiet ta’ statistika f’konformità mal-Artikolu 89(1) soġġett għall-implimentazzjoni tal-miżuri tekniċi u organizzattivi adatti meħtieġa minn dan ir-Regolament sabiex jiġu protetti d-drittijiet u l-libertajiet tas-suġġett tad-data (‘limitazzjoni tal-ħażna’);
f) tiġi pproċessata b’mod li jiżgura sigurtà xierqa tad-data personali, inkluża l-protezzjoni mill-ipproċessar mhux awtorizzat jew illegali u kontra t-telf, il-qerda jew il-ħsara aċċidentali, bl-użu ta’ miżuri tekniċi jew organizzattivi xierqa (‘integrità u kunfidenzjalità’).
2. Il-kontrollur għandu jkun responsabbli għall-konformità mal-paragrafu 1 u jkun kapaċi juriha (‘responsabbiltà’).”
5 L-Artikolu 17 tal-GDPR huwa fformulat kif ġej:
“1. Is-suġġett tad-data għandu d-dritt li jikseb mingħand il-kontrollur it-tħassir ta’ data personali dwaru mingħajr dewmien żejjed u l-kontrollur għandu l-obbligu li jħassar data personali mingħajr dewmien żejjed jekk tkun tapplika waħda minn dawn ir-raġunijiet li ġejjin:
a) id-data personali ma tkunx għadha meħtieġa fir-rigward tal-għanijiet li għalihom tkun inġabret jew ġiet ipproċessata mod ieħor id-data;
b) is-suġġett tad-data jirtira l-kunsens li fuqu huwa bbażat l-ipproċessar skont l-Artikolu 6(1)(a) jew l-Artikolu 9(2)(a) u fejn ma jkun hemm l-ebda raġuni legali għall-ipproċessar;
c) is-suġġett tad-data joġġezzjona għall-ipproċessar skont l-Artikolu 21(1) u ma jkun hemm l-ebda raġuni leġittima prevalenti għall-ipproċessar, jew is-suġġett tad-data joġġezzjona għall-ipproċessar skont l-Artikolu 21(2);
[...]
3. Il-paragrafi 1 u 2 ma għandhomx japplikaw sakemm dak l-ipproċessar jkun meħtieġ:
[...]
b) għal konformità ma’ obbligu legali li jeħtieġ ipproċessar skont il-liġi tal-Unjoni jew ta' Stat Membru li għaliha jkun soġġett il-kontrollur jew għat-twettiq ta' kompitu mwettaq fl-interess pubbliku jew fl-eżerċizzju tal-awtorità uffiċjali mogħtija lill-kontrollur;
[...]
d) għal finijiet ta’ arkivjar fl-interess pubbliku, għal finijiet ta’ riċerka xjentifika jew storika jew għal finijiet ta’ statistika skont l-Artikolu 89(1) sa fejn id-dritt imsemmi fil-paragrafu 1 x’aktarx ikun ser jagħmel impossibbli jew ixekkel serjament il-ksib tal-objettivi ta’ dak l-ipproċessar; [...]
[...]”
6 Skont l-Artikolu 26 tal-GDPR:
“1. Fejn żewġ kontrolluri jew aktar jiddeterminaw flimkien l-għanijiet u l-mezzi tal-ipproċessar, huma għandhom ikunu kontrolluri konġunti. Huma għandhom b’mod trasparenti jistabbilixxu r-responsabbiltajiet rispettivi tagħhom għall-konformità mal-obbligi taħt dan ir-Regolament, b’mod partikolari fir-rigward tal-eżerċizzju tad-drittijiet tas-suġġett tad-data u l-kompiti rispettivi tagħhom biex jipprovdu l-informazzjoni msemmija fl-Artikoli 13 u 14, permezz ta’ arranġament bejniethom ħlief jekk, u sa fejn, ir-responsabbiltajiet rispettivi tal-kontrolluri jkunu stabbiliti bil-liġi tal-Unjoni jew ta’ Stat Membru li għalihom il-kontrolluri jkunu soġġetti. L-arranġament jista’ jaħtar punt ta' kuntatt għas-suġġetti tad-data.
2. L-arranġament imsemmi fil-paragrafu 1 għandu jirrifletti kif xieraq ir-rwoli u relazzjonijiet rispettivi tal-kontrolluri konġunti vis-à-vis is-suġġetti tad-data. L-essenza tal-arranġament għandha ssir disponibbli għas-suġġett tad-data.
3. Irrispettivament mit-termini tal-arranġament imsemmi fil-paragrafu 1, is-suġġett tad-data jista' jeżerċita d-drittijiet tiegħu taħt dan ir-Regolament fir-rigward ta’, u kontra, kull wieħed mill-kontrolluri.”
7 L-Artikolu 51 tal-GDPR jipprevedi b’mod partikolari li l-Istati Membri għandhom jipprevedu awtorità pubblika indipendenti waħda jew iktar inkarigati mis-sorveljanza tal-applikazzjoni ta’ dan ir-regolament.
Id‑dritt Belġjan
Il‑Liġi Programm tal‑24 ta’ Diċembru 2002
8 L-Artikolu 472 tal-Liġi Programm tal‑24 ta’ Diċembru 2002 (Moniteur belge tal‑31 ta’ Diċembru 2002, p. 58686) jipprevedi:
“Il-Moniteur belge huwa pubblikazzjoni uffiċjali ppubblikata mill-amministrazzjoni tal-Moniteur belge, li tiġbor flimkien it-testi kollha sabiex tiġi ordnata l-pubblikazzjoni fil-Moniteur belge.”
9 L-Artikolu 474 ta’ din il-liġi programm jindika:
“Tliet kopji stampati għandhom jiġu ppubblikati fil-Moniteur belge mill-amministrazzjoni tal-Moniteur belge.
[...]
Kopja waħda għandha tiġi maħżuna elettronikament. Ir-Re għandu jiddetermina l-arranġamenti għall-ħażna elettronika [...]”
10 L-Artikolu 475 tal-imsemmija liġi-programm huwa fformulat kif ġej:
“Kwalunkwe tqegħid għad-dispożizzjoni ieħor lill-pubbliku għandu jsir permezz tas-sit tal-amministrazzjoni tal-Moniteur belge.
Il-pubblikazzjonijiet magħmula disponibbli fuq dan is-sit għandhom ikunu riproduzzjonijiet eżatti f’format elettroniku tal-kopji stampati previsti fl-Artikolu 474.”
11 Skont l-Artikolu 475 a tal-istess liġi-programm:
“Kwalunkwe ċittadin jista’ jikseb kopja tad-dokumenti u d-dokumenti ppubblikati fil-Moniteur belge, permezz ta’ linja telefonika mingħajr ħlas għall-għajnuna bil-prezz tal-produzzjoni mingħand il-Moniteur belge. Dan is-servizz huwa responsabbli wkoll sabiex jipprovdi liċ-ċittadini servizz ta’ għajnuna għat-tiftix ta’ dokumenti.”
12 L-Artikolu 475a tal-Liġi-programm tal‑24 ta’ Diċembru 2002 jipprevedi:
“Miżuri oħra ta’ akkumpanjament għandhom jittieħdu permezz ta’ Digriet Reġju deliberat fil-Kunsill tal-Ministri sabiex jiġi żgurat l-iktar tixrid u aċċess wiesa’ possibbli għall-informazzjoni li tinsab fil-Moniteur belge.”
Il‑kawża prinċipali u d‑domandi preliminari
13 Fil-Belġju, persuna fiżika kellha l-maġġoranza tal-ishma ta’ kumpanija privata b’responsabbiltà limitata. Peress li s-soċji ta’ din il-kumpannija ddeċidew li jnaqqsu l-kapital tagħha, l-istatuti ta’ assoċjazzjoni tal-imsemmija kumpannija ġew emendati permezz ta’ deċiżjoni tal-laqgħa ġenerali straordinarja tagħha tat‑23 ta’ Jannar 2019.
14 Skont il-code des sociétés (il-Kodiċi tal-Kumpanniji), fil-verżjoni tiegħu li tirriżulta mil-liġi tas‑7 ta’ Mejju 1999 (Moniteur belge tas‑6 ta’ Awwissu 1999, p. 29440), ġie ppreparat estratt minn din id-deċiżjoni min-nutar ta’ din il-persuna fiżika qabel ma ġie ntbagħat minnu lir-reġistru tal-qorti kompetenti, jiġifieri l-qorti tal-impriża li fil-kompetenza territorjali tagħha din il-kumpannija għandha s-sede tagħha. Skont id-dispożizzjonijiet legali rilevanti, il-qorti kkomunikat dan l-estratt għall-pubblikazzjoni lill-amministrazzjoni tal-Moniteur belge.
15 Fit‑12 ta’ Frar 2019, l-imsemmi estratt ġie ppubblikat kif inhu, jiġifieri mingħajr kontroll tal-kontenut tiegħu, fl-annessi tal-Moniteur belge konformement mad-dispożizzjonijiet legali applikabbli.
16 L-imsemmi estratt kien fih id-deċiżjoni li jitnaqqas il-kapital tal-imsemmija kumpannija, l-ammont tat-tnaqqis ikkonċernat kif ukoll l-ammont ġdid tal-kapital azzjonarju u t-test il-ġdid tal-istatuti ta’ assoċjazzjoni tal-istess kumpannija. Dan jinkludi wkoll silta li fiha huma indikati l-isem taż-żewġ soċji ta’ din tal-aħħar, fosthom dak tal-persuna fiżika msemmija fil-punt 13 ta’ din is-sentenza, l-ammonti li ġew irrimborsati lilhom kif ukoll in-numri ta’ kont bankarju tagħhom (iktar ’il quddiem is-“silta inkwistjoni fil-kawża prinċipali”).
17 Wara li kkonstatat li n-nutar tagħha kien wettaq żball meta fl-estratt imsemmi fil-punt 14 ta’ din is-sentenza inkluda s-silta inkwistjoni fil-kawża prinċipali minkejja li dan ma kienx meħtieġ mil-liġi, din il-persuna fiżika, permezz ta’ dan in-nutar u tal-Uffiċjal għall-Protezzjoni tad-Data ta’ dan tal-aħħar, bdiet passi sabiex tikseb it-tneħħija ta’ din is-silta, konformement mad-dritt tagħha għat-tħassir previst fl-Artikolu 17 tal-GDPR.
18 Is-Servizz Pubbliku Federali tal-Ġustizzja (iktar ’il quddiem l-“SPF Ġustizzja”), li miegħu l-amministrazzjoni tal-Moniteur belge huwa marbut, b’mod partikolari permezz ta’ deċiżjoni tal‑10 ta’ April 2019, irrifjuta li jilqa’ tali talba għal tħassir.
19 Fl‑21 ta’ Jannar 2020, l-imsemmija persuna fiżika ressqet ilment kontra l-SPF Justice quddiem l-APD sabiex jiġi kkonstatat li din it-talba għal tħassir kienet fondata u li l-kundizzjonijiet għall-eżerċizzju tad-dritt għat-tħassir previsti fl-Artikolu 17(1) tal-GDPR kienu ssodisfatti.
20 Permezz ta’ deċiżjoni tat‑23 ta’ Marzu 2021, l-APD bagħtet “twissija” lill-SPF Justice filwaqt li ordnat lil dan tal-aħħar jilqa’ l-imsemmija talba għal tħassir fl-iqsar żmien possibbli, sa mhux iktar tard minn 30 jum mill-komunika ta’ din id-deċiżjoni.
21 Fit‑22 ta’ April 2021, l’État belge (L-Istat Belġjan) mar quddiem il-cour d’appel de Bruxelles (il-Qorti tal-Appell ta’ Brussell, il-Belġju), li hija l-qorti tar-rinviju, sabiex jikseb l-annullament tal-imsemmija deċiżjoni.
22 Din il-qorti tirrileva li l-partijiet ma jaqblux dwar b’liema mod għandu jiġi interpretat, fil-kawża prinċipali, il-kunċett ta’ “kontrollur” li jinsab fil-punt 7 tal-Artikolu 4 tal-GDPR, peress li d-data personali inkluża fis-silta inkwistjoni fil-kawża prinċipali, li l-pubblikazzjoni tagħha ma kinitx meħtieġa mil-liġi, kienet is-suġġett ta’ pproċessar minn diversi kontrolluri “suċċessivi” potenzjali. Dawn huma, l-ewwel nett, in-nutar li rrediġa l-estratt li jinkludi s-silta inkwistjoni fil-kawża prinċipali billi inkluda din id-data bi żball, it-tieni nett, ir-reġistratur tal-qorti fejn dan l-estratt ġie sussegwentement iddepożitat qabel ma ntbagħat lill-Moniteur belge għall-pubblikazzjoni u, it-tielet nett, il-Moniteur belge li, skont id-dispożizzjonijiet legali li jirregolaw l-istatus u l-missjonijiet tiegħu, ippubblikah kif inhu, jiġifieri mingħajr setgħa ta’ stħarriġ u ta’ emenda, wara li rċevieh minn din il-qorti.
23 F’dan il-kuntest, il-qorti tar-rinviju tistaqsi jekk il-Moniteur belge jistax jiġi kklassifikat bħala “kontrollur”, fis-sens tal-punt 7 tal-Artikolu 4 tal-GDPR. Fl-affermattiv u filwaqt li tirrileva li l-partijiet fil-kawża prinċipali ma jinvokawx ir-responsabbiltà konġunta prevista fl-Artikolu 26 tal-GDPR, din il-qorti tixtieq tkun taf ukoll jekk il-Moniteur belge għandux jinżamm unikament responsabbli, skont l-Artikolu 5(2) ta’ dan ir-regolament, għall-osservanza tal-prinċipji stabbiliti fl-Artikolu 5(1) tal-imsemmi regolament, jew jekk din ir-responsabbiltà taqax ukoll kumulattivament fuq l-entitajiet pubbliċi li pproċessaw taw qabel id-data li tinsab fis-silta inkwistjoni fil-kawża prinċipali, jiġifieri n-nutar li rrediġa l-estratt li jinkludi din is-silta u l-qorti tal-impriża li fit-territorju territorjali tagħha l-kumpannija privata b’responsabbiltà limitata kkonċernata għandha s-sede tagħha.
24 F’dawn iċ-ċikustanzi, il-cour d’appel de Bruxelles (il-Qorti tal-Appell ta’ Brussell) iddeċidiet li tissospendi l-proċeduri quddiemha u li tagħmel lill-Qorti tal-Ġustizzja d-domandi preliminari li ġejjin:
“1. Il-punt 7 tal-Artikolu 4 ta[l-GDPR] għandu jiġi interpretat fis-sens li ġurnal uffiċjali ta’ Stat Membru – vestit b’missjoni ta’ servizz pubbliku ta’ pubblikazzjoni u ta’ arkivjar ta’ dokumenti uffiċjali, li, taħt il-leġiżlazzjoni nazzjonali applikabbli, huwa responsabbli li jippubblikaw l-atti u d-dokumenti uffiċjali li l-pubblikazzjoni tagħhom hija ordnata minn korpi pubbliċi terzi, kif jiġu kkomunikati minn dawn l-korpi wara li huma stess ipproċessaw data personali li tinsab f’dawn l-atti u dokumenti, mingħajr ma l-ġurnal uffiċjali ngħata mil-leġiżlatur nazzjonali setgħa diskrezzjonali dwar il-kontenut tad-dokumenti li għandhom jiġu ppubblikati, u dwar l-iskop u l-mezzi tal-pubblikazzjoni – għandu l-istatus ta’ kontrollur tad-data?
2. Jekk l-ewwel domanda tingħata risposta fl-affermattiv, l-Artikolu 5(2) ta[l-GDPR] għandu jiġi interpretat fis-sens li l-ġurnal uffiċjali inkwistjoni għandu jkun l-uniku wieħed responsabbli għall-osservanza tal-obbligi tal-kontrollur tad-data skont kliem din id-dispożizzjoni, bl-esklużjoni ta’ korpi pubbliċi terzi li minn qabel ipproċessaw id-data li tinsab fl-atti u fid-dokumenti uffiċjali li tagħhom huma jitolbu l-pubblikazzjoni minnu, jew dawn l-obbligi huma imposti b’mod kumulattiv fuq kull wieħed mill-kontrolluri tad-data suċċessivi?”
Fuq id‑domandi preliminari
Fuq l‑ewwel domanda
25 Permezz tal-ewwel domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk il-punt 7 tal-Artikolu 4 tal-GDPR għandux jiġi interpretat fis-sens li s-servizz jew l-organu inkarigat mill-Ġurnal uffiċjali ta’ Stat Membru, li huwa obbligat, b’mod partikolari, skont il-leġiżlazzjoni ta’ dan l-Istat, li jippubblika kif inhuma atti u dokumenti uffiċjali ppreparati minn terzi taħt ir-responsabbiltà tagħhom stess b’osservanza tar-regoli applikabbli u sussegwentement iddepożitati quddiem awtorità ġudizzjarja li tindirizzahom għall-pubblikazzjoni, jista’ jiġi kklassifikat bħala “kontrollur” tad-data personali li tinsab f’dawn l-atti u f’dawn id-dokumenti, fis-sens ta’ din id-dispożizzjoni.
26 Preliminarjament, għandu jiġi ppreċiżat li l-kunċett ta’ “kontrollur”, imsemmi fil-punt 7 tal-Artikolu 4 tal-GDPR, jippreżupponi l-eżistenza ta’ “pproċessar” ta’ data personali, fis-sens tal-punt 2 tal-Artikolu 4 ta’ dan ir-regolament. F’dan il-każ, mid-deċiżjoni tar-rinviju jirriżulta li d-data personali li tinsab fis-silta inkwistjoni fil-kawża prinċipali ġiet ipproċessata mill-Moniteur belge. Anki jekk il-qorti tar-rinviju ma tesponix dan l-ipproċessar fid-dettall, mill-osservazzjonijiet bil-miktub konkordanti tal-APD u tal-Gvern Belġjan jirriżulta li din id-data għall-inqas inġabret, ġiet irreġistrata, miżmuma, ikkomunikata billi jintbagħtu permezz u jinxterdu mill-Moniteur belge, peress li tali operazzjonijiet jikkostitwixxu “ipproċessar” fis-sens tal-punt 2 tal-Artikolu 4 tal-imsemmi regolament.
27 Bil-benefiċċju ta’ din il-preċiżazzjoni, għandu jitfakkar li, skont il-punt 7 tal-Artikolu 4 tal-GDPR, il-kunċett ta’ “kontrollur” ikopri l-persuni fiżiċi jew ġuridiċi, l-awtoritajiet pubbliċi, id-dipartimenti jew organi oħra li, waħedhom jew flimkien ma’ oħrajn, jistabbilixxu l-għanijiet u l-mezzi tal-ipproċessar. Din id-dispożizzjoni tipprevedi li, fejn l-għanijiet u l-mezzi ta’ dan l-ipproċessar huma ddeterminati b’mod partikolari mid-dritt ta’ Stat Membru, il-kontrollur jista’ jiġi maħtur jew il-kriterji speċifiċi applikabbli għall-ħatra tiegħu jistgħu jiġu previsti minn dan id-dritt.
28 F’dan ir-rigward, għandu jitfakkar li, skont il-ġurisprudenza tal-Qorti tal-Ġustizzja, din id-dispożizzjoni hija intiża li tiżgura, permezz ta’ definizzjoni wiesgħa tal-kunċett ta’ “kontrollur”, protezzjoni effikaċi u kompleta tas-suġġetti tad-data (ara, f’dan is-sens, is-sentenzi tal‑5 ta’ Diċembru 2023, Nacionalinis visuomenės sveikaros centras, C‑683/21, EU:C:2023:949, punt 29, u tal‑5 ta’ Diċembru 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, punt 40 kif ukoll il-ġurisprudenza ċċitata).
29 Fid-dawl tal-formulazzjoni tal-punt 7 tal-Artikolu 4 tal-GDPR, moqri fid-dawl ta’ dan l-għan, jidher li, sabiex jiġi ddeterminat jekk persuna jew entità għandhiex tiġi kklassifikata bħala “kontrollur”, fis-sens ta’ din id-dispożizzjoni, għandu jiġi eżaminat jekk din il-persuna jew din l-entità tiddeterminax, waħedha jew flimkien ma’ oħrajn, l-għanijiet u l-mezzi tal-ipproċessar jew inkella jekk dawn humiex iddeterminati mid-dritt nazzjonali. Meta tali determinazzjoni titwettaq mid-dritt nazzjonali, għandu għalhekk jiġi vverifikat jekk dan id-dritt jaħtarx il-kontrollur jew jipprevedix il-kriterji speċifiċi applikabbli għall-ħatra tiegħu.
30 F’dan ir-rigward, għandu jiġi ppreċiżat li, fid-dawl tad-definizzjoni wiesgħa tal-kunċett ta’ “kontrollur”, fis-sens tal-punt 7 tal-Artikolu 4 tar-RGPD, id-determinazzjoni tal-għanijiet u tal-mezzi tal-ipproċessar u, jekk ikun il-każ, il-ħatra ta’ dan il-kontrollur mid-dritt nazzjonali setgħu jkunu mhux biss espliċiti, iżda wkoll impliċiti. F’dan l-aħħar każ, huwa madankollu meħtieġ li din id-determinazzjoni tirriżulta b’mod suffiċjentement ċert mir-rwol, mill-kompitu u mill-kompetenzi mogħtija lill-persuna jew lill-entità kkonċernata. Fil-fatt, dan inaqqas il-protezzjoni ta’ dawn il-persuni jekk il-punt 7 tal-Artikolu 4 tal-GDPR jiġi interpretat b’mod restrittiv sabiex ikopri biss il-każijiet li fihom l-għanijiet u l-mezzi ta’ pproċessar ta’ data mwettaq minn persuna, awtorità pubblika, dipartiment jew organu jkunu ddeterminati espressament mid-dritt nazzjonali, minkejja li dawn l-għanijiet u dawn il-mezzi jirriżultaw, essenzjalment, mid-dispożizzjonijiet legali li jirregolaw l-attività tal-entità kkonċernata.
31 F’dan il-każ, l-ewwel nett, il-qorti tar-rinviju tippreċiża li, fil-kawża prinċipali, il-Moniteur belge ma jidhirx li huwa mogħti mid-dritt nazzjonali s-setgħa li jiddetermina l-għanijiet u l-mezzi tal-ipproċessar ta’ data li huwa jwettaq, peress li l-ewwel domanda preliminari saret billi wieħed jitlaq minn din il-premessa. Barra minn hekk, mill-ispjegazzjonijiet konkordanti tal-APD u tal-Gvern Belġjan waqt is-seduta jirriżulta li l-awtorità pubblika li tamministra l-Moniteur belge, jiġifieri l-SPF Justice, lanqas ma tidher li ngħatat tali setgħa mid-dritt nazzjonali.
32 It-tieni nett, mill-atti tal-proċess li għandha l-Qorti tal-Ġustizzja jirriżulta li d-data personali li tinsab fl-atti u fid-dokumenti mibgħuta lill-Moniteur belge għall-pubblikazzjoni hija essenzjalment miġbura, irreġistrata, miżmuma u ppubblikata kif inhu sabiex il-pubbliku jiġi informat uffiċjalment bl-eżistenza ta’ dawn l-atti u ta’ dawn id-dokumenti u sabiex dawn l-atti u dawn id-dokumenti jsiru applikabbli għat-terzi.
33 Barra minn hekk, mill-ispjegazzjonijiet mogħtija mill-qorti tar-rinviju jirriżulta li l-ipproċessar jitwettaq essenzjalment permezz ta’ mezzi awtomatizzati: b’mod partikolari, id-data kkonċernata hija riprodotta fuq kopji stampati fuq il-karta li wieħed minnhom jinżamm elettronikament, il-kopji stampati huma riprodotti f’format elettroniku għas-sit internet tal-Moniteur belge u kopja tista’ tinkiseb permezz ta’ servizz ta’ għajnuna telefonika inkarigat barra minn hekk li jipprovdi liċ-ċittadini servizz ta’ għajnuna għat-tfittxija tad-dokumenti.
34 B’hekk, mill-atti tal-proċess li għandha l-Qorti tal-Ġustizzja jirriżulta li d-dritt Belġjan iddetermina, tal-inqas impliċitament, l-għanijiet u l-mezzi tal-ipproċessar tad-data personali mwettaq mill-Moniteur belge.
35 F’dawn iċ-ċirkustanzi, għandu jiġi rrilevat li l-Moniteur belge jista’ jitqies li huwa, bħala dipartiment jew organu inkarigat li jipproċessa d-data personali li tinsab fil-pubblikazzjonijiet tiegħu konformement mal-għanijiet u mal-mezzi ta’ pproċessar preskritti mil-leġiżlazzjoni Belġjana, il-“kontrollur”, fis-sens tal-punt 7 tal-Artikolu 4 tal-GDPR.
36 Din il-konklużjoni ma hijiex ikkontestata mill-fatt li l-Moniteur belge, bħala suddiviżjoni tal-SPF Justice, ma għandux personalità ġuridika. Fil-fatt, mill-formulazzjoni ċara ta’ din id-dispożizzjoni jirriżulta li kontrollur jista’ mhux biss ikun persuna fiżika jew ġuridika, iżda wkoll awtorità pubblika, dipartiment jew organu, u tali entitajiet ma għandhomx neċessarjament personalità ġuridika skont id-dritt nazzjonali.
37 Bl-istess mod, il-fatt li, skont id-dritt nazzjonali, il-Moniteur belge ma jikkontrollax, qabel il-pubblikazzjoni tagħha f’dan il-Ġurnal uffiċjali, id-data personali li tinsab fl-atti u fid-dokumenti rċevuti mill-imsemmi Ġurnal uffiċjali ma jistax ikollu effett fuq il-punt dwar jekk il-Moniteur belge jistax jiġi kklassifikat bħala kontrollur.
38 Fil-fatt, għalkemm huwa minnu li l-Moniteur belge għandu jippubblika kif inhu d-dokument ikkonċernat, huwa biss jassumi dan il-kompitu u sussegwentement ixerred l-att jew id-dokument ikkonċernat. Minn naħa, il-pubblikazzjoni ta’ tali atti u ta’ tali dokumenti mingħajr possibbiltà ta’ kontroll jew ta’ emenda tal-kontenut tagħhom hija intrinsikament marbuta mal-għanijiet u mal-mezzi tal-ipproċessar iddeterminati mid-dritt nazzjonali, sa fejn ir-rwol ta’ Ġurnal uffiċjali bħall-Moniteur belge huwa limitat sabiex jinforma lill-pubbliku bl-eżistenza ta’ dawn l-atti u ta’ dawn id-dokumenti, kif mibgħuta lil dan il-Ġurnal uffiċjali fil-forma ta’ kopja konformement mad-dritt nazzjonali applikabbli, b’mod li jkunu jistgħu jiġu invokati kontra t-terzi. Min-naħa l-oħra, ikun kuntrarju għall-għan tal-punt 7 tal-Artikolu 4 tal-GDPR, imsemmi fil-punt 28 ta’ din is-sentenza, li minnha jiġi eskluż mill-kunċettt ta’ “kontrollur” il-Ġurnal uffiċjali ta’ Stat Membru għar-raġuni li dan tal-aħħar ma jeżerċitax kontroll fuq id-data personali li tinsab fil-pubblikazzjonijiet tiegħu (ara, b’mod partikolari, is-sentenza tat‑13 ta’ Mejju 2014, Google Spain u Google, C‑131/12, EU:C:2014:317, punt 34).
39 Fid-dawl tal-motivi preċedenti, ir-risposta għall-ewwel domanda għandha tkun li l-punt 7 tal-Artikolu 4 tal-GDPR għandu jiġi interpretat fis-sens li s-servizz jew l-organu inkarigat mill-ġurnal uffiċjali ta’ Stat Membru, li huwa b’mod partikolari obbligat, skont il-leġiżlazzjoni ta’ dan l-Istat, li jippubblika kif inhuma atti u dokumenti uffiċjali ppreparati minn terzi taħt ir-responsabbiltà tagħhom stess b’osservanza tar-regoli applikabbli, u sussegwentement iddepożitati quddiem awtorità ġudizzjarja li tindirizzahom għall-pubblikazzjoni, jista’, minkejja n-nuqqas ta’ personalità ġuridika tiegħu, jiġi kklassifikat bħala “kontrollur” tad-data personali li tinsab f’dawn l-atti u dawn id-dokumenti, meta d-dritt nazzjonali kkonċernat jiddetermina l-għanijiet u l-mezzi tal-ipproċessar tad-data personali mwettaq minn dan il-Ġurnal uffiċjali.
Fuq it‑tieni domanda
40 Permezz tat-tieni domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 5(2) tal-GDPR għandux jiġi interpretat fis-sens li s-servizz jew l-organu responsabbli mill-Ġurnal uffiċjali ta’ Stat Membru, ikklassifikat bħala “kontrollur”, fis-sens tal-punt 7 tal-Artikolu 4 tal-GDPR, għandu jinżamm responsabbli biss għall-osservanza tal-prinċipji msemmija fl-Artikolu 5(1) tal-GDPR jew jekk din l-osservanza hijiex imposta b’mod kumulattiv fuq dan is-servizz jew dan l-organu u fuq l-entitajiet pubbliċi terzi li jkunu pproċessaw minn qabel id-data personali li tinsab fl-atti u d-dokumenti ppubblikati minn dan il-Ġurnal uffiċjali.
41 Qabelxejn, għandu jitfakkar li, skont l-Artikolu 5(2) tal-GDPR, il-kontrollur huwa responsabbli għall-osservanza tal-prinċipji previsti fil-forma ta’ obbligi fil-paragrafu 1 ta’ dan l-artikolu u għandu jkun f’pożizzjoni li juri li dawn il-prinċipji huma osservati.
42 F’dan il-każ, mill-proċess għad-dispożizzjoni tal-Qorti tal-Ġustizzja li l-ipproċessar tad-data personali inkwistjoni fil-kawża prinċipali fdata lill-Moniteur belge mhux biss huwa sussegwenti għall-ipproċessar imwettaq min-nutar u mir-reġistru tal-qorti kompetenti u teknikament differenti mill-ipproċessar imwettaq minn dawk iż-żewġ entitajiet u huwa addizzjonali għalih. Fil-fatt, l-operazzjonijiet imwettqa mill-Moniteur belge huma fdati lilu mil-leġiżlazzjoni nazzjonali u jimplikaw b’mod partikolari t-trasformazzjoni diġitali tad-data li tinsab fl-atti jew fl-estratti ta’ atti sottomessi lilu, il-pubblikazzjoni ta’ dawn tal-aħħar, it-tqegħid għad-dispożizzjoni tagħhom lil pubbliku wiesa’ kif ukoll iż-żamma tagħhom.
43 Għaldaqstant, il-Moniteur belge għandu jitqies li huwa, skont l-Artikolu 5(2) tal-GDPR, responsabbli għall-osservanza tal-prinċipji msemmija fil-paragrafu 1 ta’ dan l-artikolu, fir-rigward tal-ipproċessar li huwa obbligat iwettaq skont id-dritt nazzjonali, u, għaldaqstant, tal-obbligi kollha imposti fuq il-kontrollur mill-GDPR.
44 Sussegwentement, fid-dawl tad-domandi tal-qorti tar-rinviju fir-rigward tal-kwistjoni dwar jekk tali Ġurnal uffiċjali huwiex l-uniku kontrollur responsabbli għal dan l-ipproċessar, għandu jitfakkar li, kif jirriżulta mill-formulazzjoni tal-punt 7 tal-Artikolu 4 tal-GDPR, din id-dispożizzjoni tipprevedi mhux biss li l-għanijiet u l-mezzi ta’ pproċessar ta’ data personali jistgħu jiġu ddeterminati b’mod konġunt minn diversi persuni bħala kontrolluri, iżda wkoll li d-dritt nazzjonali jista’ jiddetermina huwa stess dawn l-għanijiet u dawn il-mezzi u jaħtar il-kontrollur jew jipprevedi l-kriterji speċifiċi applikabbli għall-ħatra tiegħu.
45 B’hekk, fil-kuntest ta’ katina ta’ pproċessar imwettaq minn persuni jew entitajiet differenti u li jirrigwarda l-istess data personali, id-dritt nazzjonali jista’ jiddetermina l-għanijiet u l-mezzi tal-ipproċessar kollu mwettaq suċċessivament minn dawn id-diversi persuni jew entitajiet b’mod li dawn jinżammu konġuntament responsabbli għall-ipproċessar.
46 Barra minn hekk, għandu jitfakkar li l-Artikolu 26(1) tal-GDPR jipprevedi responsabbiltà konġunta meta żewġ kontrolluri jew iktar jiddeterminaw b’mod konġunt l-għanijiet u l-mezzi ta’ pproċessar ta’ data personali. Din id-dispożizzjoni tgħid ukoll li l-kontrolluri konġunti għandhom jiddefinixxu, bi ftehim bejniethom, l-obbligi rispettivi tagħhom bil-għan li jiżguraw l-osservanza tar-rekwiżiti kollha ta’ dan ir-regolament b’mod trasparenti, ħlief jekk, u sa fejn, ir-responsabbiltajiet rispettivi tagħhom huma ddefiniti bid-dritt tal-Unjoni jew bid-dritt tal-Istat Membru li għalih il-kontrolluri jkunu suġġetti.
47 B’hekk, mill-imsemmija dispożizzjoni jirriżulta li l-obbligi rispettivi tal-kontrolluri konġunti ta’ data personali ma jiddependux neċessarjament mill-eżistenza ta’ ftehim bejn id-diversi kontrolluri (ara, f’dan is-sens, is-sentenza tal‑5 ta’ Diċembru 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punti 44 u 45), iżda jistgħu jirriżultaw mid-dritt nazzjonali.
48 Barra minn hekk, il-Qorti tal-Ġustizzja ddeċidiet, minn naħa, li huwa biżżejjed li persuna tinfluwenza, għal għanijiet tagħha stess, l-ipproċessar ta’ data personali u tipparteċipa minħabba f’hekk fid-determinazzjoni tal-għanijiet u tal-mezzi ta’ dan l-ipproċessar sabiex tinżamm flimkien bħala kontrollur u, min-naħa l-oħra, li r-responsabbiltà konġunta ta’ diversi atturi għall-istess ipproċessar ma tippreżupponix li kull wieħed minnhom ikollu aċċess għad-data personali kkonċernata (ara, f’dan is-sens, is-sentenzi tal‑5 ta’ Diċembru 2023, Nacionalinis visuoenės sveitakos centras, C‑683/21, EU:C:2023:949, punti 40 sa 43 kif ukoll il-ġurisprudenza ċċitata).
49 Mill-punti 44 sa 48 ta’ din is-sentenza jirriżulta li, skont id-dispożizzjonijiet magħquda tal-Artikolu 26(1) u tal-punt 7 tal-Artikolu 4 tal-GDPR, ir-responsabbiltà konġunta ta’ diversi atturi ta’ katina ta’ pproċessar li tirrigwarda l-istess data personali tista’ tiġi stabbilita mid-dritt nazzjonali sakemm l-operazzjonijiet differenti ta’ pproċessar ikunu magħqudin b’għanijiet u b’mezzi ddeterminati minn dan id-dritt u sakemm dan jiddefinixxi l-obbligi rispettivi ta’ kull wieħed mill-kontrolluri konġunti.
50 Għandu jiġi ppreċiżat li tali determinazzjoni tal-għanijiet u tal-mezzi li jgħaqqdu d-diversi operazzjonijiet ta’ pproċessar imwettqa minn diversi atturi ta’ katina kif ukoll tal-obbligi rispettivi tagħhom tista’ titwettaq mhux biss b’mod dirett, iżda wkoll b’mod indirett mid-dritt nazzjonali, bil-kundizzjoni, f’dan l-aħħar każ, li din tkun tista’ tiġi dedotta b’mod suffiċjentement espliċitu mid-dispożizzjonijiet legali li jirregolaw il-persuni jew l-entitajiet ikkonċernati kif ukoll l-ipproċessar tad-data personali li huma joperaw fil-kuntest tal-katina ta’ pproċessar imposta minn dan id-dritt.
51 Fl-aħħar nett u għal kull fini utli, għandu jiġi ppreċiżat li, fil-każ li l-qorti tar-rinviju tasal għall-konklużjoni li s-servizz jew l-organu inkarigat mill-Moniteur belge ma huwiex waħdu, iżda flimkien ma’ oħrajn responsabbli għall-osservanza tal-prinċipji msemmija fl-Artikolu 5(1) tal-GDPR fir-rigward tad-data li tinsab fis-silta inkwistjoni fil-kawża prinċipali, tali konklużjoni bl-ebda mod ma tippreġudika l-kwistjoni dwar jekk, fid-dawl b’mod partikolari tal-eċċezzjonijiet imsemmija fl-Artikolu 17(3)(b) u (d) tal-GDPR, għandhiex tintlaqa’ t-talba għal tħassir imressqa mill-persuna fiżika msemmija fil-punt 13 ta’ din is-sentenza.
52 Fid-dawl tal-motivi preċedenti, ir-risposta għat-tieni domanda għandha tkun li l-Artikolu 5(2) tal-GDPR, moqri fl-imkien mal-punt 7 tal-Artikolu 4 u l-Artikolu 26(1) tal-GDPR, għandu jiġi interpretat fis-sens li s-servizz jew l-organu responsabbli mill-Ġurnal uffiċjali ta’ Stat Membru, ikklassifikat bħala “kontrollur”, fis-sens tal-punt 7 tal-Artikolu 4 ta’ dan ir-regolament, huwa unikament responsabbli għall-osservanza tal-prinċipji msemmija fl-Artikolu 5(1) tal-istess regolament, f’dak li jirrigwarda l-operazzjonijiet ta’ pproċessar ta’ data personali li huwa obbligat iwettaq skont id-dritt nazzjonali, sakemm responsabbiltà konġunta ma’ entitajiet oħra fir-rigward ta’ dawn l-operazzjonijiet ma tirriżultax minn dan id-dritt.
Fuq l‑ispejjeż
53 Peress li l-proċedura għandha, fir-rigward tal-partijiet fil-kawża prinċipali, in-natura ta’ kwistjoni mqajma quddiem il-qorti tar-rinviju, hija din il-qorti li tiddeċiedi fuq l-ispejjeż. L-ispejjeż sostnuti għas-sottomissjoni tal-osservazzjonijiet lill-Qorti tal-Ġustizzja, barra dawk tal-imsemmija partijiet, ma jistgħux jitħallsu lura.
Għal dawn il-motivi, Il-Qorti tal-Ġustizzja (It-Tielet Awla) taqta’ u tiddeċiedi:
1) Il-punt 7 tal-Artikolu 4 tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data),
għandu jiġi interpretat fis-sens li:
s-servizz jew l-organu inkarigat mill-Ġurnal uffiċjali ta’ Stat Membru, li huwa b’mod partikolari obbligat, skont il-leġiżlazzjoni ta’ dan l-Istat, li jippubblika kif inhuma atti u dokumenti uffiċjali ppreparati minn terzi taħt ir-responsabbiltà tagħhom stess b’osservanza tar-regoli applikabbli u sussegwentement iddepożitati quddiem awtorità ġudizzjarja li tindirizzahom għall-pubblikazzjoni, jista’, minkejja n-nuqqas ta’ personalità ġuridika tiegħu, jiġi kklassifikat bħala “kontrollur” tad-data personali li tinsab f’dawn l-atti u dawn id-dokumenti, meta d-dritt nazzjonali kkonċernat jiddetermina l-għanijiet u l-mezzi tal-ipproċessar tad-data personali mwettaq minn dan il-ġurnal uffiċjali. is-servizz jew l-organu inkarigat mill-ġurnal uffiċjali ta’ Stat Membru.
2) L-Artikolu 5(2) tar-Regolament 2016/679, moqri flimkien mal-punt 7 tal-Artikolu 4 u l-Artikolu 26(1) tiegħu,
għandu jiġi interpretat fis-sens li:
s-servizz jew l-organu responsabbli mill-ġurnal uffiċjali ta’ Stat Membru, ikklassifikat bħala “kontrollur”, fis-sens tal-punt 7 tal-Artikolu 4 ta’ dan ir-regolament, huwa unikament responsabbli għall-osservanza tal-prinċipji msemmija fl-Artikolu 5(1) tal-istess regolament f’dak li jirrigwarda l-operazzjonijiet ta’ pproċessar ta’ data personali li huwa obbligat iwettaq skont id-dritt nazzjonali, sakemm responsabbiltà konġunta ma’ entitajiet oħra fir-rigward ta’ dawn l-operazzjonijiet ma tirriżultax minn dan id-dritt.
Firem