Edizzjoni Provviżorja
SENTENZA TAL-QORTI TAL-ĠUSTIZZJA (It-Tielet Awla)
14 ta’ Diċembru 2023 (*)
“Rinviju għal deċiżjoni preliminari – Protezzjoni tad-data personali – Regolament (UE) 2016/679 – Artikolu 82 – Dritt għal kumpens u responsabbiltà – Kunċett ta’ ‘dannu morali’ – Pubblikazzjoni online tal-aġenda tal-laqgħa ta’ kunsill muniċipali li tinkludi data personali – Pubblikazzjoni mingħajr il-kunsens tas-suġġetti tad-data – Talba ta’ dawn is-suġġetti intiża għall-kumpens tad-dannu morali”
Fil-Kawża C‑456/22,
li għandha bħala suġġett talba għal deċiżjoni preliminari skont l-Artikolu 267 TFUE, imressqa mil-Landgericht Ravensburg (il-Qorti Reġjonali ta’ Ravensburg, il-Ġermanja), permezz ta’ deċiżjoni tat‑30 ta’ Ġunju 2022, li waslet fil-Qorti tal-Ġustizzja fit‑8 ta’ Lulju 2022, fil-proċedura
VX,
AT
vs
Gemeinde Ummendorf
IL-QORTI TAL-ĠUSTIZZJA (It-Tielet Awla),
komposta minn K. Jürimäe, Presidenta tal-Awla, N. Piçarra, M. Safjan, N. Jääskinen (Relatur) u M. Gavalec, Imħallfin,
Avukat Ġenerali: N. Emiliou,
Reġistratur: A. Calot Escobar,
wara li rat il-proċedura bil-miktub,
wara li kkunsidrat l-osservazzjonijiet ippreżentati:
– għal AT u VX, minn O. Leuze, Rechtsanwalt,
– għall-Gemeinde Ummendorf, minn A. Staudacher, Rechtsanwalt,
– għall-Irlanda, minn M. Browne, A. Joyce u M. Tierney, bħala aġenti, assistiti minn D. Fennelly, BL,
– għall-Kummissjoni Ewropea, minn A. Bouchagiar, M. Heller u H. Kranenborg, bħala aġenti,
wara li rat id-deċiżjoni, meħuda wara li nstema’ l-Avukat Ġenerali, li l-kawża tinqata’ mingħajr konklużjonijiet,
tagħti l-preżenti
Sentenza
1 It-talba għal deċiżjoni preliminari tirrigwarda l-interpretazzjoni tal-Artikolu 82(1) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-“GDPR”).
2 Din it-talba tressqet fil-kuntest ta’ tilwima bejn, minn naħa, żewġ persuni fiżiċi, AT u VX, u, min-naħa l-oħra, il-Gemeinde Ummendorf (il-Komun ta’ Ummendorf, il-Ġermanja), dwar l-għoti ta’ danni, skont l-Artikolu 82(1) tal-GDPR, bħala kumpens għat-tbatija mġarrba (pretium doloris) li huma jsostnu li ġarrbu minħabba l-iżvelar, mingħajr il-kunsens tagħhom, tad-data personali tagħhom fuq is-sit internet ta’ dan il-komun.
Il‑kuntest ġuridiku
3 L-ewwel, it-tielet u s-sitt sentenza tal-premessa 146 tal-GDPR huma fformulati kif ġej:
“Il-kontrollur jew il-proċessur għandu jikkumpensa għal kwalunkwe dannu li tista’ ssofri persuna b’riżultat ta’ pproċessar li jikser dan ir-Regolament. [...] Il-kunċett ta’ dannu għandu jiġi interpretat b’mod wiesa’ fid-dawl tal-każistika tal-Qorti tal-Ġustizzja [tal-Unjoni Ewropea] b’mod li jissodisfa b’mod sħiħ l-objettivi ta’ dan ir-Regolament. [...] Is-suġġetti tad-data għandhom jirċievu kumpens sħiħ u effettiv għad-dannu li jkunu ġarrbu. [...]”
4 L-Artikolu 5 ta’ dan ir-regolament, intitolat “Prinċipji relatati mal-ipproċessar ta’ data personali”, jipprovdi, fil-punt (a) tal-paragrafu 1 tiegħu:
“Id-data personali għandha:
(a) tkun ipproċessata legalment, ġustament u b’mod trasparenti fir-rigward tas-suġġett tad-data (‘legalità, ġustizzja u trasparenza)”.
5 L-Artikolu 82 tal-imsemmi regolament, intitolat “Dritt għal kumpens u responsabbiltà”, jipprevedi, fil-paragrafu 1 tiegħu:
“Kwalunkwe persuna li tkun ġarrbet xi dannu materjali jew mhux materjali b’riżultat ta’ ksur ta’ dan ir-Regolament għandu jkollha d-dritt li tirċievi kumpens mill-kontrollur jew il-proċessur għad-dannu mġarrab.”
It‑tilwima fil‑kawża prinċipali u d‑domanda preliminari
6 Fid‑19 ta’ Ġunju 2020, il-Komun ta’ Ummendorf, mingħajr il-kunsens tar-rikorrenti fil-kawża prinċipali, ippubblika fuq l-internet l-aġenda ta’ laqgħa tal-kunsill muniċipali, li fiha kienu msemmija diversi drabi l-ismijiet tagħhom, kif ukoll sentenza mogħtija fl‑10 ta’ Marzu 2020 mill-Verwaltungsgericht Sigmaringen (il-Qorti Amministrattiva ta’ Sigmaringen, il-Ġermanja), li kienet issemmi wkoll il-kunjomijiet u l-ismijiet tagħhom kif ukoll l-indirizz tad-dar tagħhom. Dawn id-dokumenti kienu aċċessibbli fuq il-paġna ewlenija tas-sit internet ta’ dan il-komun sat‑22 ta’ Ġunju 2020.
7 Peress li qiesu li din il-pubblikazzjoni kienet tikser il-GDPR u li l-Komun ta’ Ummendorf kien aġixxa intenzjonalment peress li l-ismijiet tal-partijiet l-oħra fil-proċedura li kienet wasslet għall-imsemmija sentenza kienu tħassru, ir-rikorrenti fil-kawża prinċipali talbu lill-komun jikkumpensa d-dannu morali li huma sostnew li ġarrbu, fis-sens tal-Artikolu 82(1) ta’ dan ir-regolament. Huma jqisu li l-iżvelar illegali ta’ data personali ta’ individwu jikkostitwixxi “dannu”, fis-sens ta’ din id-dispożizzjoni, mingħajr ma jkun jista’ jiġi invokat “livell de minimis”, li jkun imur kontra l-istruttura tal-GDPR u l-effett dissważiv tal-imsemmija dispożizzjoni.
8 Il-Komun ta’ Ummendorf iqis, għall-kuntrarju, li l-kumpens għal “dannu morali”, fis-sens tal-Artikolu 82(1) tal-GDPR, jeħtieġ li jintwera dannu tanġibbli u preġudizzju oġġettivament konċepibbli għal interessi personali.
9 Adita fl-appell bit-tilwima bejn il-partijiet fil-kawża prinċipali, il-Landgericht Ravensburg (il-Qorti Reġjonali ta’ Ravensburg, il-Ġermanja), li hija l-qorti tar-rinviju, tqis li, bil-pubblikazzjoni fuq l-internet ta’ data personali tar-rikorrenti fil-kawża prinċipali, il-Komun ta’ Ummendorf kiser l-Artikolu 5(1)(a) tal-GDPR. Madankollu, hija għandha dubju dwar jekk din il-pubblikazzjoni kkawżatx lill-imsemmija rikorrenti dannu morali, fis-sens tal-Artikolu 82(1) ta’ dan ir-regolament, b’tali mod li huma għandhom dritt għall-ħlas ta’ kumpens għat-tbatija mġarrba.
10 B’mod partikolari, il-qorti tar-rinviju tqis li s-sempliċi telf ta’ kontroll fuq data personali tar-rikorrenti fil-kawża prinċipali ma huwiex biżżejjed sabiex jiġi kkaratterizzat dannu morali, fis-sens tal-Artikolu 82(1) tal-GDPR. Hija tikkunsidra li, sabiex tiġi ammessa l-eżistenza ta’ dannu morali, għandu jinqabeż “livell de minimis” u li dan ma jkunx il-każ meta s-suġġetti tad-data jkunu tilfu l-kontroll fuq id-data tagħhom għal perijodu qasir ta’ żmien biss, mingħajr ma dan ikun ikkawżalhom dannu tanġibbli u mingħajr ma jkun intwera preġudizzju oġġettivament konċepibbli għall-interessi personali tagħhom.
11 F’dawn iċ-ċirkustanzi, il-Landgericht Ravensburg (il-Qorti Reġjonali ta’ Ravensburg) iddeċidiet li tissospendi l-proċedura quddiemha u li tagħmel lill-Qorti tal-Ġustizzja d-domanda preliminari li ġejja:
“Il-kunċett ta’ dannu mhux materjali previst fl-Artikolu 82(1) [tal-GDPR] għandu jiġi interpretat fis-sens li r-rikonoxximent ta’ ta’ dannu mhux materjali jeħtieġ żvantaġġ sinjifikattiv u preġudizzju li jista’ jiġi kkonstatat b’mod oġġettiv ta’ interessi personali jew għal dan il-għan huwa biżżejjed li s-suġġett tad-data jitlef, anki għal żmien qasir, kontroll fuq id-data personali tiegħu minħabba l-pubblikazzjoni ta’ data personali fuq l-internet għal perijodu ta’ ftit jiem, li ma twassal għal ebda konsegwenza sinjifikattiva jew żvantaġġjuża għas-suġġett tad-data?”
Fuq id‑domanda preliminari
12 Permezz tad-domanda tagħha, il-qorti tar-rinviju qiegħda essenzjalment tistaqsi jekk l-Artikolu 82(1) tal-GDPR għandux jiġi interpretat fis-sens li jipprekludi leġiżlazzjoni nazzjonali jew prassi nazzjonali li jistabbilixxu “livell de minimis” sabiex jiġi kkaratterizzat dannu morali kkawżat minn ksur ta’ dan ir-regolament.
13 F’dan ir-rigward, għandu jitfakkar li din id-dispożizzjoni tipprevedi li “[k]walunkwe persuna li tkun ġarrbet xi dannu materjali jew mhux materjali b’riżultat ta’ ksur ta’ dan ir-Regolament għandu jkollha d-dritt li tirċievi kumpens mill-kontrollur jew il-proċessur għad-dannu mġarrab”.
14 Kif enfasizzat il-Qorti tal-Ġustizzja, mill-formulazzjoni tal-Artikolu 82(1) tal-GDPR jirriżulta li l-eżistenza ta’ “dannu” li persuna tkun “ġarrbet” tikkostitwixxi waħda mill-kundizzjonijiet tad-dritt għal kumpens previst f’din id-dispożizzjoni, bħalma huma wkoll l-eżistenza ta’ ksur ta’ dan ir-regolament u ta’ rabta kawżali bejn dan id-dannu u dan il-ksur, tliet kundizzjonijiet dawn li huma kumulattivi (sentenzi tal‑4 ta’ Mejju 2023, Österreichische Post (Dannu morali marbut mal-ipproċessar ta’ data personali), C‑300/21, EU:C:2023:370, punt 32, u tal-lum, Natsionalna agentsia za prihodite, C‑340/21, punt 77). Minn dan isegwi li dawn it-tliet kundizzjonijiet huma neċessarji u suffiċjenti sabiex wieħed ikollu dritt għal kumpens, fis-sens tal-imsemmija dispożizzjoni.
15 Fid-dawl tal-assenza ta’ kwalunkwe riferiment fl-Artikolu 82(1) tal-GDPR għad-dritt intern tal-Istati Membri, il-kunċett ta’ “dannu morali”, fis-sens ta’ din id-dispożizzjoni, għandu jingħata definizzjoni awtonoma u uniformi, speċifika għad-dritt tal-Unjoni (ara, f’dan is-sens, is-sentenza tal‑4 ta’ Mejju 2023, Österreichische Post (Dannu morali marbut mal-ipproċessar ta’ data personali), C‑300/21, EU:C:2023:370, punti 34 u 44).
16 F’din il-perspettiva, filwaqt li bbażat ruħha fuq kunsiderazzjonijiet ta’ natura kemm litterali, kemm sistemika kif ukoll teleoloġika, il-Qorti tal-Ġustizzja interpretat l-Artikolu 82(1) tal-GDPR fis-sens li jipprekludi regola jew prassi nazzjonali li jissuġġettaw il-kumpens għal “dannu morali”, fis-sens ta’ din id-dispożizzjoni, għall-kundizzjoni li d-dannu mġarrab mis-suġġett tad-data jkun laħaq ċertu livell ta’ gravità (sentenzi tal‑4 ta’ Mejju 2023, Österreichische Post (Dannu morali marbut mal-ipproċessar ta’ data personali), C‑300/21, EU:C:2023:370, punt 51, u tal-lum, Natsionalna agentsia za prihodite, C‑340/21, punt 78).
17 Għalhekk, ma jistax jitqies li, mat-tliet kundizzjonijiet stabbiliti fil-punt 14 ta’ din is-sentenza, jistgħu jiżdiedu kundizzjonijiet oħra għall-istabbiliment tar-responsabbiltà prevista fl-Artikolu 82(1) tal-GDPR, bħalma huma n-natura tanġibbli tad-dannu jew in-natura oġġettiva tal-ksur.
18 Minn dan isegwi li l-Artikolu 82(1) tal-GDPR ma jeżiġix li, wara ksur ikkonfermat tad-dispożizzjonijiet ta’ dan ir-regolament, id-“dannu morali” allegat mis-suġġett tad-data għandu jilħaq “livell de minimis” sabiex dan id-dannu jkun jista’ jiġi kkumpensat.
19 Din l-interpretazzjoni hija kkorroborata mit-tielet sentenza tal-premessa 146 tal-GDPR li tiddikjara li “[i]l-kunċett ta’ dannu għandu jiġi interpretat b’mod wiesa’ fid-dawl tal-każistika tal-Qorti tal-Ġustizzja b’mod li jissodisfa b’mod sħiħ l-objettivi ta’ dan ir-Regolament”. Issa, din l-interpretazzjoni wiesgħa tal-kunċett ta’ “dannu”, mixtieqa mil-leġiżlatur tal-Unjoni, tkun kontradetta jekk l-imsemmi kunċett ikun limitat biss għad-danni ta’ ċerta gravità, b’mod partikolari fir-rigward tat-tul tal-perijodu li matulu l-konsegwenzi negattivi tal-ksur tal-imsemmi regolament ikunu ġġarrbu mis-suġġetti tad-data (ara, f’dan is-sens, is-sentenzi tal‑4 ta’ Mejju 2023, Österreichische Post (Dannu morali marbut mal-ipproċessar ta’ data personali), C‑300/21, EU:C:2023:370, punt 46, u tal-lum, Natsionalna agentsia za prihodite, C‑340/21, punt 81).
20 Barra minn hekk, tali interpretazzjoni hija konformi ma’ wieħed mill-għanijiet tal-GDPR, jiġifieri mal-għan li jiġi żgurat livell konsistenti u għoli ta’ protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali fi ħdan l-Unjoni. Fil-fatt, jekk il-kumpens ta’ dannu morali jkun suġġett għal ċertu livell ta’ gravità, dan jista’ jippreġudika l-koerenza tas-sistema stabbilita permezz ta’ dan ir-regolament peress li l-gradwazzjoni ta’ tali livell, li fuqu tiddependi l-possibbiltà jew le li jinkiseb l-imsemmi kumpens, tista’ tvarja skont l-evalwazzjoni tal-qrati aditi (ara, f’dan is-sens, is-sentenza tal‑4 ta’ Mejju 2023, Österreichische Post (Dannu morali marbut mal-ipproċessar ta’ data personali) (C‑300/21, EU:C:2023:370, punti 48 u 49).
21 Suġġett tad-data kkonċernat minn ksur tal-GDPR li pproduċa konsegwenzi negattivi fil-konfront tiegħu huwa madankollu obbligat juri li dawn il-konsegwenzi jikkostitwixxu dannu morali, fis-sens tal-Artikolu 82 ta’ dan ir-regolament (ara, f’dan is-sens, is-sentenzi tal‑4 ta’ Mejju 2023, Österreichische Post (Dannu morali marbut mal-ipproċessar ta’ data personali), C‑300/21, EU:C:2023:370, punt 50, u tal-lum, Natsionalna agentsia za prihodite, C‑340/21, punt 84). Fil-fatt, is-sempliċi ksur tad-dispożizzjonijiet ta’ dan ir-regolament ma huwiex biżżejjed sabiex jagħti dritt għal kumpens (sentenza tal‑4 ta’ Mejju 2023, Österreichische Post (Dannu morali marbut mal-ipproċessar ta’ data personali), C‑300/21, EU:C:2023:370, punt 42).
22 F’dawn iċ-ċirkustanzi, għalkemm xejn ma jipprekludi li l-pubblikazzjoni fuq l-internet ta’ data personali u t-telf konsekuttiv ta’ kontroll fuqha għal perijodu qasir ta’ żmien jistgħu jikkawżaw lis-suġġetti tad-data “dannu morali”, fis-sens tal-Artikolu 82(1) tal-GDPR, li jagħti dritt għal kumpens, dawn is-suġġetti tad-data xorta waħda għandhom juru li huma effettivament ġarrbu tali dannu, anki jekk minimu.
23 Fid-dawl tar-raġunijiet preċedenti, ir-risposta li għandha tingħata għad-domanda magħmula hija li l-Artikolu 82(1) tal-GDPR għandu jiġi interpretat fis-sens li jipprekludi leġiżlazzjoni nazzjonali jew prassi nazzjonali li jistabbilixxu “livell de minimis” sabiex jiġi kkaratterizzat dannu morali kkawżat minn ksur ta’ dan ir-regolament. Is-suġġett tad-data huwa obbligat juri li l-konsegwenzi ta’ dan il-ksur li huwa jallega li ġarrab jikkostitwixxu dannu li huwa differenti mis-sempliċi ksur tad-dispożizzjonijiet tal-imsemmi regolament.
Fuq l‑ispejjeż
24 Peress li l-proċedura għandha, fir-rigward tal-partijiet fil-kawża prinċipali, in-natura ta’ kwistjoni mqajma quddiem il-qorti tar-rinviju, hija dik il-qorti li għandha tiddeċiedi fuq l-ispejjeż. L-ispejjeż sostnuti għas-sottomissjoni tal-osservazzjonijiet lill-Qorti tal-Ġustizzja, barra dawk tal-imsemmija partijiet, ma jistgħux jitħallsu lura.
Għal dawn il-motivi, Il-Qorti tal-Ġustizzja (It-Tielet Awla) taqta’ u tiddeċiedi:
L-Artikolu 82(1) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data),
għandu jiġi interpretat fis-sens li:
jipprekludi leġiżlazzjoni nazzjonali jew prassi nazzjonali li jistabbilixxu “livell de minimis” sabiex jiġi kkaratterizzat dannu morali kkawżat minn ksur ta’ dan ir-regolament. Is-suġġett tad-data huwa obbligat juri li l-konsegwenzi ta’ dan il-ksur li huwa jallega li ġarrab jikkostitwixxu dannu li huwa differenti mis-sempliċi ksur tad-dispożizzjonijiet tal-imsemmi regolament.
Firem