Edizzjoni Provviżorja
KONKLUŻJONIJIET TAL‑AVUKAT ĠENERALI
RICHARD DE LA TOUR
ippreżentati fil‑25 ta’ Jannar 2024 (1)
Kawża C‑757/22
Meta Platforms Ireland Limited
vs
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V.
(talba għal deċiżjoni preliminari mressqa mill-Bundesgerichtshof (il-Qorti Federali tal-Ġustizzja, il-Ġermanja))
“Rinviju għal deċiżjoni preliminari – Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament (UE) 2016/679 – L-ewwel sentenza tal‑Artikolu 12(1) – Trasparenza ta’ informazzjoni – Artikolu 13(1)(c) u (e) – Obbligu ta’ informazzjoni tal-kontrollur – Artikolu 80(2) – Rappreżentanza ta’ suġġetti tad-data minn assoċjazzjoni għall-protezzjoni tal-interessi tal-konsumaturi – Azzjoni rappreżentattiva mressqa fl-assenza ta’ mandat u indipendentement mill-ksur ta’ drittijiet konkreti ta’ suġġett tad-data – Azzjoni bbażata fuq il-ksur tal-obbligu ta’ informazzjoni mill-kontrollur – Kunċett ta’ ‘ksur tad-drittijiet ta’ suġġett tad-data ‘b’riżultat tal-ipproċessar’”
I. Il‑fatti li wasslu għall‑kawża, il‑fatti tal‑kawża prinċipali u domanda preliminari ġdida
1. F’din il-kawża, il-Bundesgerichtshof (il-Qorti Federali tal‑Ġustizzja, il-Ġermanja) tagħmel għal darba oħra domanda preliminari dwar l-interpretazzjoni tal-Artikolu 80(2) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (2).
2. Skont din id-dispożizzjoni, l-Istati Membri jistgħu jipprevedu li kwalunkwe korp, organizzazzjoni jew assoċjazzjoni, indipendentement minn mandat mogħti minn suġġett tad-data, ikollhom fl-Istat Membru inkwistjoni, id-dritt li jressqu lment quddiem l-awtorità superviżorja, skont l-Artikolu 77 ta’ dan ir-regolament, u li jeżerċitaw id-drittijiet imsemmija fl-Artikoli 78 u 79 tiegħu jekk huma jqisu li hemm ksur tad-drittijiet ta’ suġġett tad-data previsti fl-imsemmi regolament b’riżultat tal-ipproċessar tad-data personali.
3. It-talba għal deċiżjoni preliminari tressqet fil-kuntest ta’ tilwima bejn Meta Platforms Ireland Limited, li qabel kienet Facebook Ireland Limited, li s-sede tagħha jinsab fl-Irlanda, u l-Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V. (l-Unjoni Federali taċ-Ċentri u tal-Assoċjazzjonijiet tal-Konsumaturi, il-Ġermanja) (iktar ’il quddiem l-“Unjoni Federali”) fir-rigward tal-ksur allegat, minn Meta Platforms Ireland, tal-leġiżlazzjoni Ġermaniża dwar il-protezzjoni tad-data personali li jikkostitwixxi, fl-istess ħin, prattika kummerċjali żleali, ksur ta’ liġi fil-qasam ta’ protezzjoni tal-konsumaturi u ksur tal-projbizzjoni tal-użu ta’ kundizzjonijiet ġenerali invalidi.
4. Din hija l-istess tilwima bħal dik li wasslet għall-kawża li tat lok għas-sentenza tat‑28 ta’ April 2022, Meta Platforms Ireland (3), li l-fatti tagħha jistgħu jinġabru fil-qosor kif ġej (4).
5. Meta Platforms Ireland, li tiġġestixxi l-offerta tas-servizzi tan-network soċjali online Facebook fl-Unjoni Ewropea, hija l-kontrollur responsabbli għall-ipproċessar tad-data personali tal-utenti ta’ dan in-network soċjali fl-Unjoni. Facebook Germany GmbH, li għandha s-sede tagħha fil-Ġermanja, tippromwovi taħt l-indirizz www.facebook.de l-bejgħ ta’ spazji ta’ reklamar. Il-pjattaforma tal-internet Facebook tinkludi, b’mod partikolari fl-indirizz tal-internet www.facebook.de, spazju msejjaħ “App-Zentrum” (Spazju Applikazzjonijiet) li fih Meta Platforms Ireland tqiegħed għad-dispożizzjoni tal-utenti tagħha logħob bla ħlas ipprovdut minn terzi. Meta jikkonsulta l-Ispazju Applikazzjonijiet ta’ xi wħud minn dan il-logħob, l-utent jara l-indikazzjoni li tgħid li l-użu tal-applikazzjoni kkonċernata jippermetti lill-kumpannija tal-logħob tikseb ċertu numru ta’ data personali u jawtorizzaha tagħmel pubblikazzjonijiet f’isem dan l-utent, bħall-punteġġ tiegħu u informazzjoni oħra. Il-konsegwenza ta’ dan l-użu hija li l-utent jaċċetta l-kundizzjonijiet ġenerali tal-applikazzjoni u l-politika tagħha fil-qasam tal-protezzjoni tad-data. Barra minn hekk, fil-każ ta’ logħba partikolari, huwa indikat li l-applikazzjoni hija awtorizzata tippubblika l-istatus, ir-ritratti u informazzjoni oħra f’isem l-istess utent.
6. L-Unjoni Federali, organu li għandu locus standi skont l-Artikolu 4 tal-Gesetz über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (Unterlassungsklagengesetz – UKlaG) (il-Liġi dwar l-Azzjonijiet għall-Ħruġ ta’ Mandat ta’ Inibizzjoni fir-rigward ta’ Ksur tad-Dritt tal-Konsumaturi u Ksur Ieħor) tas‑26 ta’ Novembru 2001 (5), tqis li l-indikazzjonijiet ipprovduti mil-logħob ikkonċernat fl-Ispazju Applikazzjonijiet huma żleali, b’mod partikolari mill-perspettiva tan-nuqqas ta’ osservanza tal-kundizzjonijiet legali li japplikaw għall-kisba ta’ kunsens validu tal-utent skont id-dispożizzjonijiet li jirregolaw il-protezzjoni tad-data. Barra minn hekk, hija tqis li l-indikazzjoni li l-applikazzjoni hija awtorizzata tippubblika f’isem l-utent ċerta informazzjoni personali tiegħu tikkostitwixxi kundizzjoni ġenerali li tisfavorixxi indebitament lill-utent.
7. F’dan il-kuntest, l-Unjoni Federali ressqet quddiem il-Landgericht Berlin (il-Qorti Reġjonali ta’ Berlin, il-Ġermanja) azzjoni għall-ħruġ ta’ mandat ta’ inibizzjoni kontra Meta Platforms Ireland ibbażata fuq l-Artikolu 3a tal-Gesetz gegen den unlauteren Wettbewerb (il-Liġi Kontra l-Kompetizzjoni Żleali) tat‑3 ta’ Lulju 2004 (6), fuq il-punt 11 tal-ewwel sentenza tal-Artikolu 2(2) tal-Liġi dwar l-Azzjonijiet għall-Ħruġ ta’ Mandat ta’ Inibizzjoni kif ukoll fuq il-Bürgerliches Gesetzbuch (il-Kodiċi Ċivili). Din l-azzjoni kienet tressqet indipendentement mill-ksur konkret tad-dritt għall-protezzjoni tad-data ta’ suġġett tad-data u mingħajr mandat minn tali suġġett tad-data.
8. Il-Landgericht Berlin (il-Qorti Reġjonali ta’ Berlin) ikkundannat lil Meta Platforms Ireland skont it-talbiet tal-Unjoni Federali. L-appell ippreżentat minn Meta Platforms Ireland quddiem il-Kammergericht Berlin (il-Qorti Reġjonali Superjuri ta’ Berlin, il-Ġermanja) ġie miċħud. Għalhekk, Meta Platforms Ireland ippreżentat rikors għal reviżjoni quddiem il-qorti tar-rinviju kontra d-deċiżjoni ta’ ċaħda adottata mill-qorti tal-appell.
9. Fil-kuntest ta’ dan ir-rikors, il-qorti tar-rinviju qieset li l-azzjoni tal-Unjoni Federali kienet fondata, sa fejn Meta Platforms Ireland kienet kisret l-Artikolu 3a tal-Liġi Kontra l-Kompetizzjoni Żleali, kif ukoll il-punt 11 tal-ewwel sentenza tal-Artikolu 2(2) tal-Liġi dwar l-Azzjonijiet għall-Ħruġ ta’ Mandat ta’ Inibizzjoni, u kienet użat kundizzjoni ġenerali invalida, fis-sens tal-Artikolu 1 tal-Liġi dwar l-Azzjonijiet għall-Ħruġ ta’ Mandat ta’ Inibizzjoni.
10. Madankollu, din il-qorti kellha dubji dwar l-ammissibbiltà tal-azzjoni tal-Unjoni Federali. Hija staqsiet, b’mod partikolari, jekk il-locus standi tal-Unjoni Federali setax jirriżulta mill-Artikolu 80(2) tal-GDPR. Kien għalhekk li għamlet lill-Qorti tal-Ġustizzja domanda preliminari sabiex tikseb interpretazzjoni ta’ din id-dispożizzjoni.
11. B’risposta għal din id-domanda, il-Qorti tal-Ġustizzja ddeċidiet, fis-sentenza tagħha Meta Platforms Ireland, li l-Artikolu 80(2) tal-GDPR għandu jiġi interpretat fis-sens li ma jipprekludix leġiżlazzjoni nazzjonali li tippermetti lil assoċjazzjoni għall-protezzjoni tal-interessi tal-konsumaturi tressaq azzjoni legali, fl-assenza ta’ mandat mogħti lilha għal dan il-għan u indipendentement mill-ksur ta’ drittijiet konkreti ta’ suġġetti tad-data, kontra l-allegat awtur ta’ preġudizzju għall-protezzjoni tad-data personali, billi tinvoka l-ksur tal-projbizzjoni ta’ prattiki kummerċjali żleali, ksur ta’ liġi fil-qasam tal-protezzjoni tal-konsumaturi jew ksur tal-projbizzjoni tal-użu ta’ kundizzjonijiet ġenerali invalidi f’sitwazzjoni fejn l-ipproċessar ta’ data kkonċernat jista’ jaffettwa d-drittijiet li persuni fiżiċi identifikati jew identifikabbli jisiltu minn dan ir-regolament (7).
12. Għalhekk, il-Qorti tal-Ġustizzja ppreċiżat il-kamp ta’ applikazzjoni sostantiv tal-mekkaniżmu ta’ azzjoni rappreżentattiva kontra l-allegat awtur ta’ preġudizzju għall-protezzjoni ta’ data personali, previst fl-Artikolu 80(2) tal-GDPR.
13. B’mod partikolari, il-Qorti tal-Ġustizzja ddeċidiet li, għall-finijiet tat-tressiq ta’ tali azzjoni rappreżentattiva, entità li tissodisfa l-kundizzjonijiet imsemmija fl-Artikolu 80(1) tal-GDPR ma tistax tkun meħtieġa tidentifika b’mod individwali u minn qabel is-suġġett tad-data li jkun speċifikament ikkonċernat minn ipproċessar ta’ data li allegatament huwa kuntrarju għad-dispożizzjonijiet ta’ dan ir-regolament (8). Għalhekk, l-indikazzjoni ta’ kategorija jew ta’ grupp ta’ persuni affettwati minn tali pproċessar tista’ tkun ukoll suffiċjenti għall-finijiet tat-tressiq ta’ tali azzjoni rappreżentattiva (9).
14. Il-Qorti tal-Ġustizzja ddeċidiet ukoll li, skont l-Artikolu 80(2) tal-GDPR, l-eżerċizzju ta’ azzjoni rappreżentattiva lanqas ma huwa suġġett għall-eżistenza ta’ ksur konkret tad-drittijiet li persuna tislet mir-regoli fil-qasam tal-protezzjoni tad-data (10). Fil-fatt, skont il-Qorti tal-Ġustizzja, it-tressiq ta’ azzjoni rappreżentattiva jeħtieġ biss li l-entità kkonċernata “tqis” li d-drittijiet ta’ suġġett tad-data previsti f’dan ir-regolament inkisru b’riżultat tal-ipproċessar tad-data personali tiegħu u għalhekk tallega l-eżistenza ta’ pproċessar ta’ data li jmur kontra dispożizzjonijiet tal-imsemmi regolament (11). Minn dan isegwi li, sabiex jiġi rrikonoxxut il-locus standi ta’ tali entità, skont l-Artikolu 80(2) tal-GDPR, huwa biżżejjed li jiġi sostnut li l-ipproċessar tad-data kkonċernat jista’ jaffettwa d-drittijiet li persuni fiżiċi identifikati jew identifikabbli jisiltu minn dan ir-regolament, mingħajr ma huwa meħtieġ li jiġi pprovat dannu reali mġarrab mis-suġġett tad-data, f’sitwazzjoni partikolari, minħabba l-ksur tad-drittijiet tiegħu (12).
15. Għalhekk, minkejja li l-qorti tar-rinviju diġà kisbet mill-Qorti tal-Ġustizzja indikazzjonijiet sabiex tkun tista’ tiddetermina jekk l-azzjoni għall-ħruġ ta’ mandat ta’ inibizzjoni li tressqet mill-Unjoni Federali tistax titqies ammissibbli fir-rigward tal-kundizzjonijiet previsti fl-Artikolu 80(2) tal-GDPR, hija tqis li għad għandu jitqajjem dubju dwar l-interpretazzjoni li għandha tingħata din id-dispożizzjoni. Fil-fatt, din il-qorti tenfasizza li l-locus standi tal-Unjoni Federali tiddependi mill-kwistjoni dwar jekk, fis-sens tal-imsemmija dispożizzjoni, din l-entità tinvokax fir-rikors tagħha li d-drittijiet ta’ suġġett tad-data skont dan ir-regolament inkisru “b’riżultat tal-ipproċessar”.
16. Skont il-qorti tar-rinviju, ma huwiex ċar jekk dan ir-rekwiżit dwar il-kamp ta’ applikazzjoni sostantiv tal-Artikolu 80(2) tal-GDPR huwiex issodisfatt fiċ-ċirkustanzi ta’ dan il-każ.
17. Fil-fatt, din il-qorti tindika li l-Unjoni Federali tinvoka, insostenn tal-azzjoni tagħha, il-ksur tal-obbligu ta’ informazzjoni previst fl-ewwel sentenza tal-Artikolu 12(1) tal-GDPR, moqri flimkien mal-Artikolu 13(1)(c) u (e) ta’ dan ir-regolament, għal dak li jirrigwarda l-għan tal-ipproċessar tad-data u d-destinatarju tad-data personali. Skont l-imsemmija qorti, għandu jiġi ddeterminat jekk l-Unjoni Federali tistax, għalhekk, titqies li tinvoka l-ksur ta’ drittijiet “b’riżultat tal-ipproċessar”, fis-sens tal-Artikolu 80(2) tal-imsemmi regolament.
18. B’mod iktar preċiż, il-qorti tar-rinviju tqis, minn naħa, li tibqa’ inċertezza dwar jekk, f’dan il-każ, il-ksur tal-obbligu ta’ informazzjoni li jirriżulta mill-ewwel sentenza tal-Artikolu 12(1) u mill-Artikolu 13(1)(c) u (e) tal-GDPR jaqax fil-kunċett ta’ “pproċessar”, fis-sens tal-punt 2 tal-Artikolu 4 tiegħu u jekk dan il-kunċett jinkludix ukoll sitwazzjonijiet li seħħew qabel il-bidu tal-ġbir tad-data personali (13).
19. Min-naħa l-oħra, din il-qorti tqis li ma huwiex stabbilit b’mod ċar jekk, f’każ bħal dak inkwistjoni fil-kawża prinċipali, il-ksur tal-obbligu ta’ informazzjoni seħħx “b’riżultat” ta’ pproċessar ta’ data personali, fis-sens tal-Artikolu 80(2) tal-GDPR. L-imsemmija qorti tenfasizza, f’dan ir-rigward, li l-formulazzjoni “b’riżultat” tista’ tagħti x’jifhem li l-entità li tressaq azzjoni rappreżentattiva għandha, sabiex din l-azzjoni tkun ammissibbli, tinvoka l-ksur tad-drittijiet ta’ suġġett tad-data skont dan ir-regolament li jirriżulta minn attività ta’ pproċessar ta’ data, fis-sens tal-punt 2 tal-Artikolu 4 tal-imsemmi regolament, u li għalhekk seħħ wara tali attività (14).
20. F’dawn iċ-ċirkustanzi, il-Bundesgerichtshof (il-Qorti Federali tal-Ġustizzja) iddeċidiet li mill-ġdid tissospendi l-proċedura u tagħmel lill-Qorti tal-Ġustizzja d-domanda preliminari li ġejja:
“Ksur [tad-drittijiet ta’ suġġett tad-data] ‘b’riżultat tal-ipproċessar’ fis-sens tal-Artikolu 80(2) [tal-GDPR], huwa invokat meta assoċjazzjoni għall-protezzjoni tal-interessi tal-konsumaturi tibbaża l-azzjoni tagħha fuq il-fatt li d-drittijiet ta’ persuna kkonċernata huma miksura għaliex l-obbligi ta’ informazzjoni previsti fl-ewwel sentenza tal-Artikolu 12(1), moqrija flimkien mal-Artikolu 13(1)(c) sa [u] (e) [tal-GDPR] u li jirrigwardaw l-għan tal-ipproċessar tad-data personali ma ġewx osservati?”
21. Osservazzjonijiet bil-miktub ġew ippreżentati minn Meta Platforms Ireland, l-Unjoni Federali, il-Gvern Ġermaniż u dak Portugiż kif ukoll il-Kummissjoni Ewropea.
22. Inżammet seduta għas-sottomissjonijiet orali fit‑23 ta’ Novembru 2023, fil-preżenza ta’ Meta Platforms Ireland, tal-Gvern Ġermaniż u tal-Kummissjoni.
II. Analiżi
23. Kif indikajt preċedentement, il-qorti tar-rinviju għandha dubji dwar jekk, fiċ-ċirkustanzi ta’ dan il-każ, l-azzjoni rappreżentattiva li tressqet mill-Unjoni Federali tissodisfax il-kundizzjoni stabbilita fl-Artikolu 80(2) tal-GDPR, li jipprovdi li l-entità li tressaq tali azzjoni tqis li d-drittijiet ta’ suġġett tad-data previsti f’dan ir-regolament inkisru “b’riżultat tal-ipproċessar” ta’ data personali.
24. Sabiex jinftiehem aħjar il-kuntest li fih din il-qorti titlob lill-Qorti tal-Ġustizzja preċiżazzjonijiet addizzjonali dwar il-kamp ta’ applikazzjoni sostantiv ta’ din id-dispożizzjoni, għandu jitfakkar li, insostenn tal-azzjoni tagħha, l-Unjoni Federali tinvoka l-ksur ta’ obbligu ta’ informazzjoni impost fuq Meta Platforms Ireland dwar l-għan u l-portata tal-kunsens tal-utent għall-ipproċessar tad-data personali tiegħu. B’mod iktar preċiż, is-suġġett tat-tilwima huwa l-preżentazzjoni ta’ logħob fl-Ispazju Applikazzjonijiet li jinsab fil-pjattaforma tal-internet ta’ Meta Platforms Ireland u l-indikazzjoni li kull applikazzjoni hija awtorizzata tippubblika ċerta informazzjoni personali tal-utent f’ismu. L-Unjoni Federali ressqet din l-azzjoni indipendentement mill-ksur ta’ drittijiet konkreti ta’ suġġett tad-data u mingħajr mandat minn tali suġġett tad-data, li huwa konformi mal-imsemmija dispożizzjoni, kif ammettiet il-Qorti tal-Ġustizzja fis-sentenza tagħha Meta Platforms Ireland (15).
25. L-opinjonijiet differenti dwar id-domanda intiża sabiex jiġi ddeterminat jekk l-Unjoni Federali għandhiex locus standi skont l-Artikolu 80(2) tal-GDPR issa jiffokaw fuq il-konstatazzjoni magħmula mill-qorti tar-rinviju, li l-azzjoni rappreżentattiva mressqa minn din l-entità ma tirrigwardax il-punt dwar jekk Meta Platforms Ireland kisritx id-drittijiet għall-protezzjoni tad-data ta’ utent fil-mument li fih dan jagħfas il-buttuna “Ilgħab immedjatament” jew “Ilgħab logħob” fl-Ispazju Applikazzjonijiet u b’hekk jibda eventwalment ipproċessar tad-data personali tiegħu. Barra minn hekk, huwa stabbilit li l-kwistjoni dwar jekk l-attivitajiet awtomatizzati marbuta mad-data personali ta’ utent li jseħħu wara l-attivazzjoni ta’ tali buttuna jiksrux id-drittijiet għall-protezzjoni tad-data ta’ dan tal-aħħar lanqas ma hija s-suġġett tal-azzjoni mressqa mill-Unjoni Federali.
26. Fil-qosor, it-tilwima ddur madwar il-kwistjoni dwar jekk huwiex suffiċjenti, sabiex tali assoċjazzjoni jkollha locus standi skont l-Artikolu 80(2) tal-GDPR, li hija tinvoka l-ksur ta’ obbligu ta’ informazzjoni mingħajr ma tikkritika, fih innifsu, l-ipproċessar tad-data li jirriżulta mill-attività li wieħed jagħfas il-buttuna “Ilgħab immedjatament” jew “Ilgħab logħob”, minkejja li din id-dispożizzjoni teħtieġ il-ksur ta’ drittijiet ta’ suġġett tad-data “b’riżultat tal-ipproċessar”.
27. Huwa għalhekk li l-mistoqsijiet tal-qorti tar-rinviju jikkonċentraw fuq żewġ elementi, jiġifieri, minn naħa, l-estensjoni tal-kunċett ta’ “pproċessar”, u min-naħa l-oħra, it-tifsira tal-frażi “b’riżultat tal-ipproċessar” li tinsab fl-imsemmija dispożizzjoni.
28. Għalhekk, din il-qorti tistaqsi jekk l-obbligu ta’ komunikazzjoni lis-suġġett tad-data, permezz ta’ forma preċiża, trasparenti, li tinftiehem u faċilment aċċessibbli, b’lingwaġġ ċar u sempliċi, tal-informazzjoni dwar l-għan tal-ipproċessar tad-data personali u d-destinatarju tagħha, li jirriżulta mill-ewwel sentenza tal-Artikolu 12(1) u mill-Artikolu 13(1)(c) u (e) tal-GDPR, jaqax taħt il-kunċett ta’ “pproċessar”, fis-sens tal-punt 2 tal-Artikolu 4 ta’ dan ir-regolament.
29. Skont il-punt 2 tal-Artikolu 4 tal-imsemmi regolament, l-“ipproċessar” huwa ddefinit bħala “kwalunkwe attività jew sett ta’ attivitajiet li jitwettqu fuq data personali jew fuq settijiet ta’ data personali, sew jekk b’mezzi awtomatizzati u sew jekk mingħajrhom, bħalma huma l-ġbir, ir-reġistrazzjoni, l-organizzazzjoni, l-istrutturar, il-ħażna, l-adattament jew il-bidliet, l-irkupru, il-konsultazzjoni, l-użu, l-iżvelar bi trażmissjoni, it-tixrid jew it-tqegħid għad-dispożizzjoni b’xi mezz ieħor, l-allinjament jew it-taħlita, ir-restrizzjoni, it-tħassir jew il-qerda”.
30. Mill-formulazzjoni ta’ din id-dispożizzjoni jirriżulta, b’mod partikolari mill-espressjoni “kwalunkwe attività”, li l-leġiżlatur tal-Unjoni ried jagħti portata wiesgħa lill-kunċett ta’ “pproċessar”. Din l-interpretazzjoni hija kkorroborata min-natura mhux eżawrjenti, espressa bil-lokuzzjoni “bħalma huma”, tal-attivitajiet imsemmija fl-imsemmija dispożizzjoni (16). Skont il-Qorti tal-Ġustizzja, dan huwa konformi mal-għan li tiġi ggarantita l-effettività tad-dritt fundamentali għall-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali msemmija fil-premessa 1 tal-GDPR, li sservi bħala daħla għall-applikazzjoni ta’ dan ir-regolament (17).
31. Insostenn tat-teżi li l-obbligu ta’ informazzjoni li jirriżulta mill-ewwel sentenza tal-Artikolu 12(1) u mill-Artikolu 13(1)(c) u (e) tal-GDPR jista’ jaqa’ taħt il-kunċett ta’ “pproċessar”, fis-sens tal-punt 2 tal-Artikolu 4 ta’ dan ir-regolament, il-qorti tar-rinviju ssemmi dak li l-Qorti tal-Ġustizzja ddeċidiet fis-sentenza tagħha tal‑24 ta’ Frar 2022, Valsts ieņēmumu dienests (Ipproċessar ta’ data personali għal finijiet fiskali) (18).
32. Fil-kawża li tat lok għal dik is-sentenza, il-Valsts ieņēmumu dienests (l-Amministrazzjoni Fiskali, il-Latvja) talbet lill-operatur ekonomiku kkonċernat li jistabbilixxi mill-ġdid l-aċċess mid-dipartimenti ta’ din l-amministrazzjoni għan-numri tax-xażi tal-vetturi li huma s-suġġett ta’ reklam ippubblikat fuq il-portal tal-internet tiegħu kif ukoll għan-numri tat-telefon tal-bejjiegħa u li jipprovdilha informazzjoni dwar ir-riklami ppubblikati fuq dan il-portal.
33. Huwa f’dan il-kuntest li l-Qorti tal-Ġustizzja qieset li tali talba, li permezz tagħha l-amministrazzjoni fiskali ta’ Stat Membru titlob min-naħa ta’ operatur ekonomiku l-komunikazzjoni u t-tqegħid għad-dispożizzjoni ta’ data personali li dan tal-aħħar għandu jipprovdi u jqiegħed għad-dispożizzjoni tagħha skont il-leġiżlazzjoni nazzjonali ta’ dan l-Istat Membru, tibda proċess ta’ “ġbir” ta’ din id-data, fis-sens tal-punt 2 tal-Artikolu 4 tal-GDPR (19). Minn dan il-qorti tar-rinviju tiddeduċi li l-kunċett ta’ “pproċessar” fis-sens ta’ din id-dispożizzjoni, ikopri l-attivitajiet li “jibdew” biss ġbir ta’ data personali u għalhekk attivitajiet li jinsabu fil-bidu ta’ attività li l-leġiżlatur tal-Unjoni kkunsidra espressament bħala eżempju ta’ pproċessar, billi għamlet approssimazzjoni mas-sitwazzjoni inkwistjoni fil-kawża prinċipali.
34. Madankollu, inqis li din is-sitwazzjoni hija kompletament distinta minn dik li tat lok għas-sentenza tal‑24 ta’ Frar 2022, Valsts ieņēmumu dienests (Ipproċessar ta’ data personali għal finijiet fiskali) (20). Fil-fatt, dan il-każ ma jinvolvix li attività li tippermetti l-bidu ta’ pproċessar tintrabat ma’ proċess ta’ pproċessar, iżda pjuttost l-identifikazzjoni tar-rabta bejn obbligu ta’ informazzjoni, bħal dak li jirriżulta mill-ewwel sentenza tal-Artikolu 12(1) u mill-Artikolu 13(1)(c) u (e) tal-GDPR, u pproċessar partikolari.
35. F’dan ir-rigward, nikkunsidra li, tkun kemm tkun wiesgħa, il-portata tal-kunċett ta’ “pproċessar”, fis-sens tal-punt 2 tal-Artikolu 4 tal-GDPR ma tistax testendi għal tali obbligu ta’ informazzjoni. Fil-fatt, dan l-obbligu ma jinvolvi ebda azzjoni diretta jew indiretta fuq id-data personali. L-imsemmi obbligu jikkostitwixxi, pjuttost, kundizzjoni ta’ liċeità tal-ipproċessar ta’ din id-data.
36. Għandu jiġi enfasizzat li l-Artikolu 12 ta’ dan ir-regolament jistabbilixxi obbligi ġenerali imposti fuq il-kontrollur għal dak li jirrigwarda t-trasparenza tal-informazzjoni u tal-komunikazzjonijiet, kif ukoll il-modalitajiet tal-eżerċizzju ta’ drittijiet tas-suġġett tad-data.
37. B’mod partikolari, l-ewwel sentenza tal-Artikolu 12(1) tal-imsemmi regolament tipprevedi li “[i]l-kontrollur għandu jieħu miżuri adatti biex jipprovdi kwalunkwe informazzjoni msemmija fl-Artikoli 13 u 14 u kwalunkwe komunikazzjoni skont l-Artikoli 15 sa 22 u 34 relatata mal-ipproċessar lis-suġġett tad-data f’forma konċiża, trasparenti, intelliġibbli u faċilment aċċessibbli, bl-użu ta’ lingwaġġ ċar u sempliċi, b’mod partikolari għal kwalunkwe informazzjoni indirizzata speċifikament lil minorenni”.
38. L-Artikolu 13 tal-GDPR, intitolat “Informazzjoni li għandha tiġi pprovduta fejn tinġabar data personali mis-suġġett tad-data”, jipprovdi, fil-paragrafu 1(c) u (e) tiegħu:
“Fejn data personali relatata ma’ suġġett tad-data tinġabar mingħand is-suġġett tad-data, il-kontrollur għandu, fil-ħin li tinkiseb id-data personali, jipprovdi l-informazzjoni kollha li ġejja lis-suġġett tad-data:
[…]
(c) l-għanijiet tal-ipproċessar li għalihom hija maħsuba d-data personali kif ukoll il-bażi legali għall-ipproċessar;
[…]
(e) ir-riċevituri jew il-kategoriji ta’ riċevituri tad-data personali, jekk jeżistu; [...]”
39. Għandu jitfakkar li l-ewwel subparagrafu tal-Artikolu 6(1) tal-GDPR jipprevedi lista eżawrjenti u limitattiva tal-każijiet li fihom ipproċessar ta’ data personali jista’ jitqies legali. Għalhekk, sabiex ikun jista’ jitqies leġittimu, ipproċessar għandu jaqa’ taħt wieħed mill-każijiet previsti f’din id-dispożizzjoni (21).
40. Skont il-punt (a) tal-ewwel subparagrafu tal-Artikolu 6(1) ta’ dan ir-regolament, l-ipproċessar ta’ data personali hija legali jekk, u sakemm, is-suġġett tad-data jkun ta l-kunsens tiegħu sabiex isir dan għal skop speċifiku wieħed jew iktar (22).
41. Fl-assenza ta’ tali kunsens, jew meta dan il-kunsens ma jkunx ingħata b’mod liberu, speċifiku, informat u inekwivoku, fis-sens tal-punt 11 tal-Artikolu 4 tal-GDPR, u meta l-ipproċessar inkwistjoni ma jkunx jissodisfa wieħed mir-rekwiżiti ta’ neċessità msemmija fil-punti (b) sa (f) tal-ewwel subparagrafu tal-Artikolu 6(1) ta’ dan ir-regolament, tali pproċessar ikun ta’ natura illegali (23).
42. Fir-rigward tar-rekwiżit li jirriżulta mill-punt 11 tal-Artikolu 4 tal-GDPR li jipprovdi li l-kunsens għandu jkun “informat”, dan jimplika, skont l-Artikolu 13 ta’ dan ir-regolament, moqri fid-dawl tal-premessa 42 tiegħu, li l-kontrollur jipprovdi lis-suġġett tad-data informazzjoni dwar iċ-ċirkustanzi kollha marbuta mal-ipproċessar tad-data, permezz ta’ forma li tinftiehem u faċilment aċċessibbli kif ukoll ifformulata fi kliem ċar u sempliċi, peress li din il-persuna għandha tkun taf b’mod partikolari t-tip ta’ data li ser tiġi pproċessata, l-identità tal-kontrollur, it-tul u l-modalitajiet ta’ dan l-ipproċessar kif ukoll l-għanijiet li huwa jrid jilħaq. Tali informazzjoni għandha tippermetti lill-imsemmija persuna tiddetermina faċilment il-konsegwenzi tal-kunsens li hija tista’ tagħti u tiżgura li tali kunsens jingħata b’għarfien sħiħ tal-fatti (24).
43. Issa, nosserva li, kif tindika l-qorti tar-rinviju (25), l-Unjoni Federali tikkontesta l-preżentazzjoni tal-indikazzjonijiet ipprovduti taħt il-buttuna “Ilgħab immedjatament” tal-Ispazju Applikazzjonijiet għar-raġuni li dawn huma żleali, b’mod partikolari mill-perspettiva tan-nuqqas ta’ osservanza tal-kundizzjonijiet legali li japplikaw għall-kisba ta’ kunsens validu tal-utent skont id-dispożizzjonijiet li jirregolaw il-protezzjoni tad-data personali.
44. Fi kliem ieħor, il-bażi tal-azzjoni mressqa mill-Unjoni Federali hija li, fid-dawl tal-preżentazzjoni mhux kompluta tal-Ispazju Applikazzjonijiet invokata minn din l-entità, suġġett tad-data jista’ jagħfas fuq il-buttuna “Ilgħab immedjatament” mingħajr ma jkollu l-informazzjoni neċessarja li tippermettilu jiddetermina faċilment il-konsegwenzi tal-kunsens li huwa jista’ jagħti għall-ipproċessar tad-data personali tiegħu wara l-attivazzjoni ta’ din il-buttuna u mingħajr garanzija li dan il-kunsens jingħata b’għarfien sħiħ tal-fatti.
45. F’dawn iċ-ċirkustanzi, jiena tal-opinjoni li l-Unjoni Federali tinvoka fil-kuntest tal-azzjoni tagħha, b’konformità ma’ dak previst fl-Artikolu 80(2) tal-GDPR, li “nkisru d-drittijiet ta’ suġġett tad-data taħt dan ir-Regolament b’riżultat tal-ipproċessar”.
46. Fil-fatt, minn naħa, kemm l-Artikolu 12 kif ukoll l-Artikolu 13 tal-GDPR jagħmlu parti mill-Kapitolu III ta’ dan ir-regolament, intitolat “Drittijiet tas-suġġett tad-data”. Fid-dawl tal-obbligu ta’ informazzjoni impost fuq il-kontrollur skont dawn l-artikoli, id-drittijiet li jirriżultaw minnhom għas-suġġetti tad-data jagħmlu parti minn dak li l-azzjoni rappreżentattiva prevista fl-Artikolu 80(2) tal-imsemmi regolament hija intiża li tipproteġi.
47. Min-naħa l-oħra, il-ksur allegat tad-dritt tas-suġġetti tad-data li jkunu suffiċjentement informati biċ-ċirkustanzi kollha marbuta mal-ipproċessar tad-data personali, b’mod partikolari l-għan tiegħu u d-destinatarju ta’ din id-data, jista’ jostakola l-espressjoni ta’ kunsens “informat”, fis-sens tal-punt 11 tal-Artikolu 4 tal-GDPR, li jista’ jirrendi dan l-ipproċessar illegali.
48. Għalhekk, huwa suffiċjenti, għall-finijiet tal-eżerċizzju ta’ azzjoni rappreżentattiva skont l-Artikolu 80(2) ta’ dan ir-regolament, li entità tinvoka l-ksur tal-obbligu ta’ informazzjoni impost fuq il-kontrollur, filwaqt li tippreċiża l-ipproċessar ikkonċernat, li f’dan il-każ huwa dak li jseħħ meta suġġett tad-data jagħfas il-buttuna “Ilgħab immedjatament”. Dan għandu jkun ipproċessar ta’ data li jista’ jaffettwa d-drittijiet li l-persuni fiżiċi identifikati jew identifikabbli jisiltu mill-imsemmi regolament (26), li jimplika li dan l-ipproċessar għandu jeżisti u għalhekk ma għandux ikollu natura purament ipotetika.
49. Barra minn hekk, fil-fehma tiegħi, huwa irrilevanti li din l-entità tinvoka l-ksur ta’ obbligu li jippreċedi l-ipproċessar ta’ data personali. Dan huwa l-każ tal-obbligu ta’ informazzjoni li għandu jiġi implimentat mhux iktar tard mill-mument tal-ġbir tad-data, b’konformità ma’ dak previst mill-Artikolu 13(1) tal-GDPR.
50. Għalhekk, il-frażi “b’riżultat tal-ipproċessar” imsemmija fl-Artikolu 80(2) ta’ dan ir-regolament bl-ebda mod ma tfisser li d-dritt li tiegħu l-azzjoni prevista f’dan l-artikolu hija intiża li tikkonstata l-ksur, għandu neċessarjament jirrigwarda stadju sussegwenti għal attività li tikkostitwixxi “pproċessar” fis-sens tal-punt 2 tal-Artikolu 4 tal-imsemmi regolament. Fi kliem ieħor, f’din il-frażi ma għandu jinqara ebda rekwiżit ta’ sekwenza kronoloġika li timplika li l-ksur tad-drittijiet tas-suġġett tad-data previsti fil-GDPR għandu jseħħ waqt waħda mill-fażijiet sussegwenti għal tali pproċessar.
51. Pjuttost, huwa importanti li teżisti rabta bejn ir-rispett tad-drittijiet inkwistjoni u l-ipproċessar ikkonċernat. Dan huwa l-każ meta l-ksur ta’ dawn id-drittijiet ikollu l-konsegwenza li jirrendi dan l-ipproċessar illegali. L-illegalità tal-ipproċessar tirriżulta mill-ksur tal-obbligu ta’ informazzjoni. Dawn it-tnejn huma indissoċjabbli.
52. Minn dan isegwi li r-rekwiżit li entità tista’ tressaq azzjoni rappreżentattiva skont l-Artikolu 80(2) tal-GDPR jekk hija tqis li d-drittijiet tas-suġġetti tad-data previsti f’dan ir-regolament inkisru “b’riżultat tal-ipproċessar” ma jeħtieġx, fil-fehma tiegħi, li din l-entità tinvoka l-ksur ta’ tali dritt li jirriżulta minn attività ta’ pproċessar ta’ data, fis-sens tal-punt 2 tal-Artikolu 4 ta’ dan ir-regolament, u li għalhekk huwa sussegwenti għal tali attività, Huwa suffiċjenti li hija turi l-eżistenza ta’ rabta bejn ipproċessar ta’ data personali u l-ksur ta’ drittijiet protetti mill-GDPR.
53. Għalhekk, f’dan il-każ huwa irrilevanti li l-Unjoni Federali tinvoka l-ksur ta’ obbligu ta’ informazzjoni indipendentement mill-fatt li suġġett tad-data jagħfas jew le fuq il-buttuna “Ilgħab immedjatament” fl-Ispazju Applikazzjonijiet, peress li tali obbligu, sa fejn jista’ jaffettwa l-kundizzjonijiet ta’ liċeità tal-ipproċessar li jirriżulta mill-attivazzjoni ta’ din il-buttuna, jippreżenta mingħajr ebda kontestazzjoni rabta ma’ dan l-ipproċessar.
54. Din l-interpretazzjoni hija konformi mhux biss mal-funzjoni preventiva tal-azzjoni rappreżentattiva prevista fl-Artikolu 80(2) tal-GDPR (27), iżda wkoll, sa fejn hija tikkontribwixxi sabiex issaħħaħ id-drittijiet tas-suġġetti tad-data (28), mal-għan ta’ dan ir-regolament, li jirriżulta mill-premessa 10 tiegħu, li jikkonsisti f’li jiġi ggarantit fi ħdan l-Unjoni livell għoli ta’ protezzjoni tal-libertajiet u tad-drittijiet fundamentali tal-persuni fiżiċi fir-rigward tal-ipproċessar tad-data personali (29).
55. Inżid ngħid li fil-fehma tiegħi, ikun inkoerenti li tiġi sostnuta interpretazzjoni restrittiva tal-kamp ta’ applikazzjoni sostantiv tal-Artikolu 80(2) tal-imsemmi regolament, peress li l-Artikolu 79(1) tal-GDPR jipprevedi, fi kliem simili, id-dritt ta’ kull suġġett tad-data għal rimedju ġudizzjarju effettiv u li ma teżisti ebda raġuni sabiex jiġu esklużi mill-kamp ta’ applikazzjoni sostantiv ta’ tali rimedju d-drittijiet li jirriżultaw mill-obbligu ta’ informazzjoni previst fl-ewwel sentenza tal-Artikolu 12(1) ta’ dan ir-regolament, moqri flimkien mal-Artikolu 13(1)(c) u (e) tal-imsemmi regolament.
56. Għaldaqstant, inqis li l-Artikolu 80(2) tal-GDPR għandu jiġi interpretat fis-sens li l-kundizzjoni li entità awtorizzata, sabiex tkun tista’ tressaq azzjoni rappreżentattiva skont din id-dispożizzjoni, għandha tinvoka li hija tqis li d-drittijiet ta’ suġġett tad-data previsti f’dan ir-regolament inkisru b’riżultat tal-ipproċessar, tippreżupponi li din l-entità tallega l-eżistenza ta’ pproċessar ta’ data personali kif ukoll rabta bejn il-ksur ta’ dawn id-drittijiet u dan l-ipproċessar. Tali kundizzjoni tkun issodisfatta meta din l-azzjoni tkun ibbażata, b’rabta ma’ pproċessar ta’ data personali, fuq il-ksur mill-kontrollur tal-obbligu ta’ informazzjoni previst fl-ewwel sentenza tal-Artikolu 12(1) tal-imsemmi regolament, moqri flimkien mal-Artikolu 13(1)(c) u (e) tal-istess regolament, sa fejn dan il-ksur jista’ jirrendi dan l-ipproċessar illegali.
III. Konklużjoni
57. Fid-dawl tal-kunsiderazzjonijiet kollha preċedenti, nipproponi r-risposta li ġejja għad-domanda preliminari magħmula mill-Bundesgerichtshof (il-Qorti Federali tal-Ġustizzja, il-Ġermanja):
L-Artikolu 80(2) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data),
għandu jiġi interpretat fis-sens li:
il-kundizzjoni li entità awtorizzata, sabiex tkun tista’ tressaq azzjoni rappreżentattiva skont din id-dispożizzjoni, għandha tinvoka li hija tqis li d-drittijiet ta’ suġġett tad-data previsti f’dan ir-regolament inkisru b’riżultat tal-ipproċessar, tippreżupponi li din l-entità tallega l-eżistenza ta’ pproċessar ta’ data personali kif ukoll rabta bejn il-ksur ta’ dawn id-drittijiet u dan l-ipproċessar. Tali kundizzjoni tkun issodisfatta meta din l-azzjoni tkun ibbażata, b’rabta ma’ pproċessar ta’ data personali, fuq il-ksur mill-kontrollur tal-obbligu ta’ informazzjoni previst fl-ewwel sentenza tal-Artikolu 12(1) tal-imsemmi regolament, moqri flimkien mal-Artikolu 13(1)(c) u (e) tal-istess regolament, sa fejn dan il-ksur jista’ jirrendi dan l-ipproċessar illegali.