Kawża C‑33/22
Österreichische Datenschutzbehörde
vs
WK
(talba għal deċiżjoni preliminari mressqa mill-Verwaltungsgerichtshof (l-Awstrija))
Sentenza tal‑Qorti tal‑Ġustizzja (Awla Manja) tas‑16 ta’ Jannar 2024
“Rinviju għal deċiżjoni preliminari – Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Artikolu 16 TFUE – Regolament (UE) 2016/679 – Artikolu 2(2)(a) – Kamp ta’ applikazzjoni – Esklużjonijiet – Attivitajiet li ma jaqgħux fil-kamp ta’ applikazzjoni tad-dritt tal-Unjoni – Artikolu 4(2) TUE – Attivitajiet relatati mas-sigurtà nazzjonali – Kumitat ta’ inkjesta parlamentari ta’ Stat Membru – Artikolu 23(1)(a) u (h), Artikoli 51 u 55 tar-Regolament (UE) 2016/679 – Kompetenza tal-awtorità ta’ superviżjoni tal-protezzjoni tad-data – Artikolu 77 – Dritt li jitressaq ilment quddiem awtorità ta’ superviżjoni – Effett dirett”
1. Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Kamp ta’ applikazzjoni – Derogi – Ipproċessar ta’ data fil-kuntest ta’ attività li ma taqax taħt id-dritt tal-Unjoni – Attività mwettqa minn kumitat ta’ inkjesta mwaqqaf mill-parlament ta’ Stat Membru fl-eżerċizzju tas-setgħa tiegħu li jissorvelja l-poter eżekuttiv – Esklużjoni – Applikazzjoni tar-Regolament
(L-ewwel sentenza tal-Artikolu 16(2) TFUE; Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, premessa 16 u Artikolu 2(2)(a))
(ara l-punti 37 sa 43, u d-dispożittiv 1)
2. Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Kamp ta’ applikazzjoni – Derogi – Ipproċessar ta’ data fil-kuntest ta’ attività li ma taqax taħt id-dritt tal-Unjoni – Attività intiża sabiex tissalvagwardja s-sigurtà nazzjonali jew li taqa’ taħt din il-kategorija – Kunċett – Attività mwettqa minn kumitat ta’ inkjesta mwaqqaf mill-parlament ta’ Stat Membru fl-eżerċizzju tas-setgħa tiegħu li jissorvelja l-poter eżekuttiv – Inkjesta dwar il-possibbiltà ta’ influwenza politika fuq awtorità tal-pulizija fdata bil-protezzjoni tal-Istat – Esklużjoni
(Artikolu 4(2) TUE; Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, premessa 16 u Artikoli 2(1) u (2)(a) u 23)
(ara l-punti 46, 50 sa 57, u d-dispożittiv 2)
3. Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Awtoritajiet nazzjonali ta’ superviżjoni – Dritt ta’ Stat Membri li jistabbilixxi awtorità ta’ superviżjoni waħda – Kompetenza tal-awtorità ta’ superviżjoni mogħtija mir-Regolament – Limitazzjoni għall-kompetenza li tirriżulta mid-dispożizzjonijiet nazzjonali ta’ natura kostituzzjonali – Inammissibbiltà – Supremazija u effett dirett tad-dritt tal-Unjoni
(Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, premessa 117 u Artikoli 51(1), 55(1) u (3) u 77(1))
(ara l-punti 62 sa 72, u d-dispożittiv 3)
Sunt
Adita b’talba għal deċiżjoni preliminari mill-Verwaltungsgerichtshof (il-Qorti Amministrattiva, l-Awstrija), il-Qorti tal-Ġustizzja, bħala Awla Manja, iddeċidiet li attività ta’ kumitat ta’ inkjesta parlamentari ma tevitax l-applikazzjoni tal-GDPR (1).
Sabiex tiġi eżaminata l-possibbiltà ta’ influwenza politika fuq il-Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (l-Uffiċċju Federali għall-Protezzjoni tal-Kostituzzjoni u għall-Ġlieda Kontra t-Terroriżmu, l-Awstrija) (2), in-Nationalrat (l-Assemblea Nazzjonali, l-Awstrija) waqqfet kumitat ta’ inkjesta (iktar ’il quddiem il-“Kumitat ta’ Inkjesta BVT”). Dan il-kumitat sema’ lil WK bħala xhud. Minkejja t-talba tiegħu għal anonimizzazzjoni, il-minuti tas-smigħ tiegħu, li fihom issemmew kunjomu u ismu b’mod sħiħ, ġew ippubblikati fuq is-sit internet tal-Parlament Österreich (il-Parlament Awstrijak). Filwaqt li sostna li tali żvelar tal-identità tiegħu kien imur kontra l-GDPR u l-leġiżlazzjoni Awstrijaka (3), WK ressaq ilment quddiem l-Österreichische Datenschutzbehörde (l-Awtorità għall-Protezzjoni tad-Data, l-Awstrija) (iktar ’il quddiem id-“Datenschutzbehörde”). Permezz ta’ deċiżjoni tat‑18 ta’ Settembru 2019, id-Datenschutzbehörde ddikjarat li ma kellhiex kompetenza sabiex tiddeċiedi dwar l-ilment, billi spjegat li l-prinċipju ta’ separazzjoni tal-poteri kien jeskludi li hija, bħala korp tal-poter eżekuttiv, tkun tista’ tissorvelja l-Kumitat ta’ Inkjesta BVT, li jaqa’ taħt il-poter leġiżlattiv.
Wara d-deċiżjoni tal-Bundesverwaltungsgericht (il-Qorti Amministrattiva Federali, l-Awstrija), li kienet laqgħet ir-rikors ta’ WK u annullat id-deċiżjoni tad-Datenschutzbehörde, din tal-aħħar adixxiet lill-Qorti Amministrattiva b’rikors għal reviżjoni kontra d-deċiżjoni tal-Qorti Amministrattiva Federali.
F’dan il-kuntest, il-qorti tar-rinviju staqsiet lill-Qorti tal-Ġustizzja jekk l-attivitajiet ta’ kumitat ta’ inkjesta mwaqqaf mill-parlament ta’ Stat Membru jaqgħux fil-kamp ta’ applikazzjoni tal-GDPR u jekk dan ir-regolament japplikax f’sitwazzjoni fejn dawn l-attivitajiet ikunu jikkonċernaw il-protezzjoni tas-sigurtà nazzjonali. Barra minn hekk, hija talbet lill-Qorti tal-Ġustizzja tiddeċiedi dwar jekk il-GDPR jagħtix lil awtorità nazzjonali ta’ superviżjoni, bħad-Datenschutzbehörde, il-kompetenza li tisma’ lmenti dwar ipproċessar ta’ data personali minn kumitat ta’ inkjesta fil-kuntest tal-attivitajiet tiegħu.
Il‑kunsiderazzjonijiet tal‑Qorti tal‑Ġustizzja
Fl-ewwel lok, il-Qorti tal-Ġustizzja fakkret li l-Artikolu 2(2)(a) tal-GDPR, li jipprevedi li dan ir-regolament ma japplikax għall-ipproċessar ta’ data personali mwettaq fil-kuntest ta’ attività li ma taqax fil-kamp ta’ applikazzjoni tad-dritt tal-Unjoni, għandu biss l-għan li jeskludi mill-kamp ta’ applikazzjoni tiegħu l-ipproċessar mill-awtoritajiet tal-Istat fil-kuntest ta’ attività intiża sabiex tissalvagwardja s-sigurtà nazzjonali jew li taqa’ taħt l-istess kategorija. B’hekk, sempliċement għaliex attività tkun speċifika għall-Istat jew għal awtorità pubblika ma huwiex biżżejjed sabiex awtomatikament jitqies li l-GDPR ma japplikax għal tali attività (4).
Din l-interpretazzjoni, li tirriżulta mill-fatt li ma ssirx distinzjoni abbażi tal-identità tal-awtur tal-ipproċessar ikkonċernat, hija kkonfermata mill-punt 7 tal-Artikolu 4 tal-GDPR (5).
Il-Qorti tal-Ġustizzja ppreċiżat li n-natura parlamentari tal-Kumitat ta’ Inkjesta BVT ma timplikax li l-attivitajiet tiegħu huma esklużi mill-kamp ta’ applikazzjoni tal-GDPR. Fil-fatt, l-eċċezzjoni prevista fl-Artikolu 2(2)(a) ta’ dan ir-regolament tirreferi biss għal kategoriji ta’ attivitajiet li, minħabba n-natura tagħhom, ma jaqgħux fil-kamp ta’ applikazzjoni tad-dritt tal-Unjoni u ma tirreferix ukoll għal kategoriji ta’ persuni. Għaldaqstant, il-fatt li l-ipproċessar ta’ data personali jitwettaq minn kumitat ta’ inkjesta mwaqqaf mill-parlament ta’ Stat Membru fl-eżerċizzju tas-setgħa tiegħu ta’ superviżjoni tal-poter eżekuttiv ma jippermettix, bħala tali, li jiġi stabbilit li dan l-ipproċessar ikun twettaq fil-kuntest ta’ attività li ma taqax fil-kamp ta’ applikazzjoni tad-dritt tal-Unjoni.
Fit-tieni lok, il-Qorti tal-Ġustizzja rrilevat li, minkejja li huma l-Istati Membri li għandhom jiddefinixxu l-interessi essenzjali tagħhom ta’ sigurtà u li jadottaw il-miżuri xierqa sabiex jiżguraw dik is-sigurtà (6), is-sempliċi fatt li miżura nazzjonali tkun ittieħdet għall-finijiet tal-protezzjoni tas-sigurtà nazzjonali ma jistax iwassal għall-inapplikabbiltà tad-dritt tal-Unjoni u ma jistax jeżenta lill-Istati Membri mill-osservanza neċessarja ta’ dan id-dritt. Issa, l-eċċezzjoni prevista fl-Artikolu 2(2)(a) tal-GDPR tirreferi biss għal kategoriji ta’ attivitajiet li, minħabba n-natura tagħhom, ma jaqgħux fil-kamp ta’ applikazzjoni tad-dritt tal-Unjoni. F’dan ir-rigward, il-fatt li l-kontrollur tal-ipproċessar huwa awtorità pubblika li l-attività prinċipali tagħha hija li tiżgura s-sigurtà nazzjonali ma huwiex biżżejjed, bħala tali, sabiex jeskludi mill-kamp ta’ applikazzjoni tal-GDPR l-ipproċessar ta’ data personali minn din l-awtorità li hija twettaq fil-kuntest tal-attivitajiet l-oħra tagħha.
F’dan il-każ, is-superviżjoni politika mwettqa mill-Kumitat ta’ Inkjesta BVT ma jidhirx li tikkostitwixxi, bħala tali, attività intiża sabiex tissalvagwardja s-sigurtà nazzjonali jew li taqa’ taħt l-istess kategorija. Għalhekk, bla ħsara għal verifika mill-qorti tar-rinviju, din l-attività ma taqax barra mill-kamp ta’ applikazzjoni tal-GDPR.
B’dan premess, kumitat ta’ inkjesta parlamentari jista’ jkollu aċċess għal data personali li, għal raġunijiet ta’ sigurtà nazzjonali, għandhom igawdu minn protezzjoni speċjali. F’dan ir-rigward, sabiex tiġi ggarantita, b’mod partikolari, is-sigurtà nazzjonali (7), jistgħu jiġu stabbiliti, permezz ta’ miżuri leġiżlattivi, limitazzjonijiet għad-drittijiet u għall-obbligi li jirriżultaw mill-GDPR. B’hekk, jistgħu jiġu ġġustifikati, abbażi ta’ dan, limitazzjonijiet fir-rigward tal-ġbir tad-data personali, tal-informazzjoni tas-suġġetti tad-data u tal-aċċess tagħhom għall-imsemmija data jew anki tal-iżvelar tagħhom, mingħajr il-kunsens tas-suġġetti tad-data, lil suġġetti oħra li ma humiex il-kontrollur, bil-kundizzjoni li dawn il-limitazzjonijiet jirrispettaw l-essenza tal-libertajiet u tad-drittijiet fundamentali tas-suġġetti tad-data u jikkostitwixxu miżura neċessarja u proporzjonata f’soċjetà demokratika.
Il-Qorti tal-Ġustizzja nnotat, madankollu, li mill-informazzjoni li kellha quddiemha ma jirriżultax li l-Kumitat ta’ Inkjesta BVT kienet qiegħda tallega li l-iżvelar tad-data personali tal-persuna kkonċernata kien neċessarju sabiex tiġi ssalvagwardjata s-sigurtà nazzjonali u kien ibbażat fuq miżura leġiżlattiva nazzjonali prevista għal dan il-għan, ħaġa li kienet għadha trid tiġi vverifikata, jekk ikun il-każ, mill-qorti tar-rinviju.
Fit-tielet u fl-aħħar lok, il-Qorti tal-Ġustizzja rrilevat li d-dispożizzjonijiet tal-GDPR dwar il-kompetenza tal-awtoritajiet ta’ superviżjoni nazzjonali u dwar id-dritt ta’ lment (8) ma jeħtiġux l-adozzjoni ta’ miżuri nazzjonali ta’ applikazzjoni u huma suffiċjentement ċari, preċiżi u inkundizzjonati sabiex jipproduċu effett dirett. Dan ifisser li, għalkemm il-GDPR jagħti marġni ta’ diskrezzjoni lill-Istati Membri fir-rigward tan-numru ta’ awtoritajiet ta’ superviżjoni li għandhom jiġu stabbiliti (9), huwa, mill-banda l-oħra, jistabbilixxi l-portata tal-kompetenzi tagħhom sabiex jissorveljaw l-applikazzjoni tal-GDPR. B’hekk, fil-każ fejn Stat Membru jiddeċiedi li jistabbilixxi awtorità ta’ superviżjoni nazzjonali waħda, din tal-aħħar neċessarjament ikollha il-kompetenzi previsti minn dan ir-regolament fl-intier tagħhom. Kwalunkwe interpretazzjoni oħra tqiegħed f’dubju l-effett utli ta’ dawn id-dispożizzjonijiet u tirriskja li ddgħajjef l-effett utli tad-dispożizzjonijiet l-oħra kollha tal-GDPR li jistgħu jkunu s-suġġett ta’ lment.
Fir-rigward tal-fatt li d-dispożizzjonijiet nazzjonali ta’ natura kostituzzjonali jeskludu l-possibbiltà għal awtorità ta’ superviżjoni li tiddependi mill-poter eżekuttiv li tissorvelja l-applikazzjoni tal-GDPR minn korp li jaqa’ taħt il-poter leġiżlattiv, il-Qorti tal-Ġustizzja enfasizzat li huwa preċiżament b’osservanza tal-istruttura kostituzzjonali tal-Istati Membri li l-GDPR jeżiġi biss li dawn tal-aħħar jistabbilixxu tal-inqas awtorità ta’ superviżjoni waħda, filwaqt li toffrilhom il-possibbiltà li jistabbilixxu diversi minn dawn l-awtoritajiet. Dan ir-regolament jagħti, b’hekk, lil kull Stat Membru marġni ta’ diskrezzjoni li tippermettilu jwaqqaf daqstant awtoritajiet ta’ superviżjoni daqskemm jeħtieġu, b’mod partikolari, ir-rekwiżiti relatati mal-istruttura kostituzzjonali tiegħu.
Barra minn hekk, il-fatt li jiġu invokati dispożizzjonijiet tad-dritt nazzjonali minn Stat Membru ma jistax jqiegħed f’perikolu l-unità u l-effettività tad-dritt tal-Unjoni. Fil-fatt, l-effetti tal-prinċipju ta’ supremazija tad-dritt tal-Unjoni jorbtu lill-korpi kollha ta’ Stat Membru, mingħajr, b’mod partikolari, ma d-dispożizzjonijiet interni, inkluż dawk ta’ natura kostituzzjonali, jistgħu jostakolaw dan il-prinċipju (10).
B’hekk, peress li Stat Membru għażel li jistabbilixxi awtorità ta’ superviżjoni waħda, huwa ma jistax jinvoka dispożizzjonijiet tad-dritt nazzjonali, anki jekk ta’ natura kostituzzjonali, sabiex jeżenta mis-superviżjoni ta’ din l-awtorità l-ipproċessar ta’ data personali li jaqa’ fil-kamp ta’ applikazzjoni tal-GDPR.