CELEX: 62021CJ0077
Rinviju għal deċiżjoni preliminari
Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali
Regolament (UE) 2016/679
Artikolu 5(1)(b) u (e)
Prinċipju tal-‘limitazzjoni tal-iskopijiet’
Prinċipju tal-‘limitazzjoni tal-ħżin’
Ħolqien, minn database eżistenti, ta’ database sabiex isiru testijiet u sabiex jiġu kkoreġuti żbalji
Ipproċessar ulterjuri tad-data
Kompatibbiltà tal-ipproċessar ulterjuri ta’ din id-data mal-iskopijiet tal-ġbir inizjali
Perijodu ta’ ħżin fid-dawl ta’ dawn l-iskopijiet

It-talba għal deċiżjoni preliminari tirrigwarda l-interpretazzjoni tal-Artikolu 5(1)(b) u (e) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (
ĠU 2016, L 119, p. 1
, rettifika fil-
ĠU 2018, L 127, p. 2
).
Din it-talba tressqet fil-kuntest ta’ tilwima bejn, minn naħa, Digi Távközlési és Szolgáltató Kft. (iktar ’il quddiem “Digi”), wieħed mill-fornituri prinċipali ta’ servizzi tal-internet u tat-televiżjoni fl-Ungerija, u, min-naħa l-oħra, in-Nemzeti Adatvédelmi és Információszabadság Hatóság (l-Awtorità Nazzjonali għall-Protezzjoni tad-Data u tal-Libertà tal-Informazzjoni, l-Ungerija, iktar ’il quddiem l-“Awtorità”), dwar ksur ta’ data personali li tinsab f’database ta’ Digi.
Il‑kuntest ġuridiku
Il-premessi 10 u 50 tar-Regolament 2016/679 jistipulaw:
“(10)
Sabiex ikun żgurat livell konsistenti u għoli ta’ protezzjoni tal-persuni fiżiċi u sabiex jitneħħew l-ostakoli għaċ-ċirkolazzjoni tad-data personali fl-Unjoni, il-livell ta’ protezzjoni tad-drittijiet u l-libertajiet tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ din id-data għandu jkun ekwivalenti fl-Istati Membri kollha. L-applikazzjoni konsistenti u omoġenea tar-regoli għall-protezzjoni tad-drittijiet u l-libertajiet fundamentali tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali għandha tkun żgurata fl-Unjoni kollha. […].
[…]
(50)
L-ipproċessar ta’ data personali għal finijiet oħra minbarra dawk li għalihom id-data personali tkun inġabret inizjalment għandu jkun permess biss fejn l-ipproċessar ikun kompatibbli mal-finijiet li għalihom id-data personali tkun inġabret inizjalment. F’tali każ ma tkun meħtieġa l-ebda bażi għajr dik li tkun ippermettiet il-ġbir tad-data personali. […] Sabiex jiġi ddeterminat jekk il-fini tal-ipproċessar ulterjuri jkunx kompatibbli mal-fini li għalih id-data personali tkun inġabret inizjalment, il-kontrollur, wara li jkun issodisfa r-rekwiżiti kollha għal-legalità tal-ipproċessar oriġinali, għandu jieħu kont fost oħrajn ta’ kwalunkwe rabta bejn dawk il-finijiet u l-finijiet tal-ipproċessar ulterjuri intenzjonat, il-kuntest li fih id-data personali tkun inġabret, b’mod partikolari l-aspettattivi raġonevoli tas-suġġetti tad-data abbażi tar-relazzjoni tagħhom mal-kontrollur rigward l-użu ulterjuri tagħha, in-natura tad-data personali, il-konsegwenzi tal-ipproċessar ulterjuri intenzjonat għas-suġġetti tad-data, u l-eżistenza ta’ salvagwardji adatti kemm fl-operazzjoni tal-ipproċessar oriġinali kif ukoll f’dik tal-ipproċessar ulterjuri intenzjonat.
[…]”
L-Artikolu‑4 tar-Regolament 2016/679 intitolat “Definizzjonijiet”, jipprevedi:
“Għall-finijiet ta’ dan ir-Regolament:
[…]
(2)
‘ipproċessar’ tfisser kwalunkwe attività jew sett ta’ attivitajiet li jitwettqu fuq data personali jew fuq settijiet ta’ data personali, sew jekk b’mezzi awtomatizzati u sew jekk mingħajrhom, bħalma huma l-ġbir, ir-reġistrazzjoni, l-organizzazzjoni, l-istrutturar, il-ħażna, l-adattament jew il-bidliet, l-irkupru, il-konsultazzjoni, l-użu, l-iżvelar bi trażmissjoni, it-tixrid jew it-tqegħid għad-dispożizzjoni b’xi mezz ieħor, l-allinjament jew it-taħlita, ir-restrizzjoni, it-tħassir jew il-qerda;
[…]”
Skont l-Artikolu 5 ta’ dan ir-regolament, intitolat “Prinċipji relatati mal-ipproċessar ta’ data personali”:
“1.   Id-data personali għandha:
(a)
tkun ipproċessata legalment, ġustament u b’mod trasparenti fir-rigward tas-suġġett tad-data (‘legalità, ġustizzja u trasparenza’);
(b)
tinġabar għal finijiet speċifikati, espliċiti u leġittimi u ma għandhiex tiġi pproċessata ulterjorment b’mod inkompatibbli ma’ dawk il-finijiet; f’konformità mal-Artikolu 89(1), l-ipproċessar ulterjuri għal finijiet ta’ arkivjar fl-interess pubbliku, għal finijiet ta’ riċerka xjentifika jew storika jew għal finijiet ta’ statistika ma għandux jitqies bħala inkompatibbli mal-finijiet inizjali (‘limitazzjoni tal-fini’);
(c)
tkun adegwata, rilevanti, u limitata għal dak li hu meħtieġ b’rabta mal-finijiet li għalihom tkun qed tiġi pproċessata (‘minimizzazzjoni tad-data’);
(d)
tkun preċiża u, fejn meħtieġ, tinżamm aġġornata; għandu jsir dak kollu raġonevoli biex ikun żgurat li d-data personali li ma tkunx eżatta, b’kont meħud tal-għanijiet li għalihom tiġi pproċessata, titħassar jew tissewwa mingħajr dewmien (‘preċiżjoni’);
(e)
tinżamm f’forma li tippermetti l-identifikazzjoni tas-suġġetti tad-data għal mhux aktar żmien milli jkun meħtieġ għall-finijiet li għalihom id-data personali tkun qed tiġi pproċessata; id-data personali tista’ tinħażen għal perijodi itwal sakemm id-data personali tiġi pproċessata biss għall-finijiet ta’ arkivjar fl-interess pubbliku, għall-finijiet ta’ riċerka xjentifika jew storika jew għall-finijiet ta’ statistika f’konformità mal-Artikolu 89(1) soġġett għall-implimentazzjoni tal-miżuri tekniċi u organizzattivi adatti meħtieġa minn dan ir-Regolament sabiex jiġu protetti d-drittijiet u l-libertajiet tas-suġġett tad-data (‘limitazzjoni tal-ħażna’);
(f)
tiġi pproċessata b’mod li jiżgura sigurtà xierqa tad-data personali, inkluża l-protezzjoni mill-ipproċessar mhux awtorizzat jew illegali u kontra t-telf, il-qerda jew il-ħsara aċċidentali, bl-użu ta’ miżuri tekniċi jew organizzattivi xierqa (‘integrità u kunfidenzjalità’).
2.   Il-kontrollur għandu jkun responsabbli għall-konformità mal-paragrafu 1 u jkun kapaċi juriha (‘responsabbiltà’).”
L-Artikolu 6 tal-imsemmi regolament, intitolat “Legalità tal-ipproċessar”, jipprevedi:
“1.   L-ipproċessar għandu jkun legali biss jekk u safejn mill-inqas ikun japplika wieħed mill-punti li ġejjin:
(a)
is-suġġett tad-data jkun ta l-kunsens għall-ipproċessar ta’ data personali tiegħu għal fini speċifiku wieħed jew aktar;
(b)
l-ipproċessar ikun meħtieġ għat-twettiq ta’ kuntratt li għalih is-suġġett tad-data huwa parti jew sabiex jittieħdu passi fuq talba tas-suġġett tad-data qabel ma jidħol f’kuntratt;
(c)
l-ipproċessar ikun meħtieġ għall-konformità ma’ obbligu legali li għalih huwa soġġett il-kontrollur;
(d)
l-ipproċessar ikun meħtieġ sabiex ikunu protetti l-interessi vitali tas-suġġett tad-data jew ta’ persuna fiżika oħra;
(e)
l-ipproċessar ikun meħtieġ għat-twettiq ta’ kompitu li jsir fl-interess pubbliku jew fl-eżerċizzju ta’ awtorità uffiċjali mogħtija lill-kontrollur;
(f)
l-ipproċessar ikun meħtieġ għall-finijiet tal-interessi leġittimi segwiti mill-kontrollur jew minn parti terza, għajr meta dawn l-interessi jingħelbu mill-interessi jew id-drittijiet u l-libertajiet fundamentali tas-suġġett tad-data li jeħtieġu l-protezzjoni tad-data personali, b’mod partikolari meta s-suġġett tad-data jkun minorenni.
[…]
4.   Fejn l-ipproċessar għal finijiet differenti minn dak li għalih id-data personali tkun inġabret ma jkunx ibbażat fuq il-kunsens tas-suġġett tad-data jew fuq liġi tal-Unjoni jew ta’ Stat Membru li tikkostitwixxi miżura meħtieġa u proporzjonata f’soċjetà demokratika biex tissalvagwardja l-objettivi msemmija fl-Artikolu 23(1), il-kontrollur għandu, sabiex jaċċerta jekk l-ipproċessar għal fini ieħor huwiex kompatibbli mal-fini li għalih tkun inġabret id-data personali inizjalment, jieħu kont, fost l-oħrajn, ta’:
(a)
kwalunkwe rabta bejn il-fini li għalih tkun inġabret id-data personali u l-fini tal-ipproċessar ulterjuri li jkun maħsub;
(b)
il-kuntest li fih inġabret id-data personali, b’mod partikolari fir-rigward tar-relazzjoni bejn is-suġġetti tad-data u l-kontrollur;
(c)
in-natura tad-data personali, b’mod partikolari jekk jiġux ipproċessati kategoriji speċjali ta’ data personali, skont l-Artikolu 9, jew jekk tiġix ipproċessata data personali relatata ma’ kundanni kriminali u reati, skont l-Artikolu 10;
(d)
il-konsegwenzi possibbli għas-suġġetti tad-data tal-ipproċessar ulterjuri maħsub;
(e)
l-eżistenza ta’ salvagwardji xierqa, li jistgħu jinkludu kriptaġġ jew psewdonimizzazzjoni.”
It‑tilwima fil‑kawża prinċipali u d‑domandi preliminari
Digi hija waħda mill-fornituri prinċipali tas-servizzi tal-internet u tat-televiżjoni fl-Ungerija.
Fix-xahar ta’ April 2018, wara ħsara teknika li affettwat il-funzjonament ta’ server, Digi ħolqot database magħrufa bħala “għall-ittestjar” (iktar ’il quddiem id-“database għall-ittestjar”), li fiha hija kkopjat id-data personali ta’ madwar terz mill-klijenti tagħha li huma individwi, li kienet miżmuma f’database oħra, imsejħa “digihu”, li setgħet tiġi llinkjata mas-sit www.digi.hu, li tinkludi d-data aġġornata tal-persuni li kienu nkitbu sabiex jirċievu l-ittra ta’ informazzjoni ta’ Digi, għal finijiet ta’ marketing dirett, kif ukoll id-data ta’ amministratur tas-sistema li tagħti aċċess għall-interfaċċa tas-sit.
Fit‑23 ta’ Settembru 2019, Digi saret taf bil-fatt li “hacker etiku” kellu aċċess għad-data personali miżmuma minn din tal-aħħar rigward madwar 322000 persuna. Dan l-aċċess ġie rrapportat lil Digi minn dan il-“hacker etiku” nnifsu, li kkomunikalha, bħala prova, linja mid-database għall-ittestjar. Digi sewwiet il-ħsara li kienet ippermettiet dan l-aċċess u kkonkludiet ftehim ta’ kunfidenzjalità ma’ din il-persuna, u offrietilha kumpens.
Wara li ħassret id-database għall-ittestjar, Digi nnotifikat il-ksur ta’ data personali lill-Awtorità fil‑25 ta’ Settembru 2019, li sussegwentement fetħet investigazzjoni.
Permezz ta’ deċiżjoni tat‑18 ta’ Mejju 2020, l-Awtorità kkonkludiet b’mod partikolari li Digi kienet kisret l-Artikolu 5(1)(b) u (e) tar-Regolament 2016/679, sa fejn, wara li wettqet it-testijiet neċessarji u sewwiet il-ħsarat, hija ma kinitx ħassret immedjatament id-database għall-ittestjar, b’tali mod li kien inżamm numru kbir ta’ data personali f’din id-database mingħajr ebda skop għal kważi 18-il xahar, ġewwa fajl li seta’ jippermetti l-identifikazzjoni tal-persuni kkonċernati. Konsegwentement, l-Awtorità obbligat lil Digi teżamina d-databases kollha tagħha u imponiet fuqha multa ta’ HUF 100000000 (forint Ungeriż) (madwar EUR 248000).
Digi kkontestat il-legalità ta’ din id-deċiżjoni quddiem il-qorti tar-rinviju.
Din tal-aħħar tirrileva li d-data personali kkopjata minn Digi fid-database għall-ittestjar inġabret għall-finijiet tal-konklużjoni u tal-eżekuzzjoni ta’ kuntratti ta’ abbonament u li l-legalità tal-ġbir inizjali tad-data ma ġietx ikkontestata mill-Awtorità. Madankollu, hija tistaqsi jekk il-kopja, f’database oħra, tad-data miġbura inizjalment kellhiex il-konsegwenza li tbiddel l-għan tal-ġbir inizjali u tal-ipproċessar tagħha. Hija żżid li għandu jiġi stabbilit ukoll jekk il-ħolqien ta’ database għall-ittestjar u t-tkomplija, f’din id-database l-oħra, tal-ipproċessar tad-data tal-klijenti humiex kompatibbli mal-iskopijiet tal-ġbir inizjali. Hija tikkunsidra li l-prinċipju tal-“limitazzjoni tal-iskopijiet”, kif stabbilit fl-Artikolu 5(1)(b) tar-Regolament 2016/679, ma jippermettilhiex li tiddetermina s-sistemi interni li fihom il-kontrollur għandu d-dritt li jipproċessa d-data miġbura b’mod leġittimu u lanqas li jkun jaf jekk dan tal-aħħar jistax jikkopja din id-data f’database għall-ittestjar mingħajr ma jbiddel l-iskop tal-ġbir inizjali ta’ data.
Fil-każ fejn il-ħolqien tad-database għall-ittestjar ikun inkompatibbli mal-iskop tal-ġbir inizjali, il-qorti tar-rinviju tistaqsi wkoll jekk, peress li l-iskop tal-ipproċessar tad-data tal-klijenti f’database oħra ma huwiex il-korrezzjoni ta’ żbalji imma l-konklużjoni ta’ kuntratti, il-perijodu ta’ ħżin neċessarju għandux, skont il-prinċipju tal-“limitazzjoni tal-ħżin” li jinsab fl-Artikolu 5(1)(e) tar-Regolament 2016/679, ikun allinjat mal-perijodu neċessarju għall-korrezzjoni tal-iżbalji jew inkella mal-perijodu neċessarju għall-eżekuzzjoni tal-obbligi kuntrattwali.
F’dawn iċ-ċirkustanzi, il-Fővárosi Törvényszék (il-Qorti tal-Belt ta’ Budapest, l-Ungerija) iddeċidiet li tissospendi l-proċeduri quddiemha u li tagħmel lill-Qorti tal-Ġustizzja d-domandi preliminari li ġejjin:
“1)
Il-kunċett ta’ ‘limitazzjoni tal-iskop’ iddefinit fl-Artikolu 5(1)(b) tar-Regolament […] 2016/679 […], għandu jiġi interpretat fis-sens li huwa wkoll konformi ma’ dan il-kunċett il-fatt li l-persuna responsabbli għall-ipproċessar taħżen b’mod parallel f’bażi tad-data oħra xi data personali li, barra minn hekk, inġabret u nħażnet għal skop speċifiku u leġittimu, jew għall-kuntrarju fis-sens li l-fatt li tinħażen id-data f’bażi tad-data parallela ma għadux kompatibbli mal-iskop leġittimu limitat li għalih id-data inkwistjoni nġabret?
2)
Jekk l-ewwel domanda tingħata risposta fis-sens li l-ħażna parallela ta’ data hija fiha nnifisha inkompatibbli mal-prinċipju ta’ ‘limitazzjoni tal-iskop’, huwa kompatibbli mal-prinċipju ta’ ‘limitazzjoni tal-ħażna’ stabbilit fl-Artikolu 5(1)(e) tar-Regolament [2016/679] il-fatt li l-persuna responsabbli għall-ipproċessar iżżomm b’mod parallel f’bażi tad-data oħra xi data personali li, barra minn hekk, inġabret u nħażnet għal skop leġittimu limitat?”
Fuq id‑domandi preliminari
Fuq l‑ammissibiltà
L-Awtorità kif ukoll il-Gvern Ungeriż esprimew dubji rigward l-ammissibbiltà tad-domandi preliminari, minħabba li d-domandi magħmula ma jikkorrispondux mal-fatti tat-tilwima fil-kawża prinċipali u ma humiex direttament rilevanti għas-soluzzjoni tagħha.
F’dan ir-rigward, fl-ewwel lok, għandu jitfakkar li, skont ġurisprudenza stabbilita tal-Qorti tal-Ġustizzja, hija biss il-qorti nazzjonali li quddiemha titressaq il-kawża u li għandha tassumi r-responsabbiltà tad-deċiżjoni ġudizzjarja li għandha tingħata li għandha tevalwa, fid-dawl taċ-ċirkustanzi partikolari tal-kawża, kemm in-neċessità ta’ deċiżjoni preliminari sabiex tkun f’pożizzjoni li tagħti d-deċiżjoni tagħha, kif ukoll ir-rilevanza tad-domandi li hija tagħmel lill-Qorti tal-Ġustizzja. Għaldaqstant, sa fejn id-domandi magħmula jirrigwardaw l-interpretazzjoni jew il-validità ta’ dispożizzjoni legali tal-Unjoni, il-Qorti tal-Ġustizzja hija, bħala prinċipju, meħtieġa tagħti deċiżjoni. Minn dan isegwi li d-domandi magħmula mill-qrati nazzjonali jgawdu minn preżunzjoni ta’ rilevanza. Il-Qorti tal-Ġustizzja tista’ tirrifjuta li tagħti deċiżjoni dwar domanda preliminari magħmula minn qorti nazzjonali biss jekk ikun jidher li l-interpretazzjoni mitluba ma għandha ebda rabta mar-realtà jew mas-suġġett tat-tilwima fil-kawża prinċipali, jekk il-problema tkun ta’ natura ipotetika jew inkella jekk il-Qorti tal-Ġustizzja ma jkollhiex il-punti ta’ fatt u ta’ liġi meħtieġa sabiex tagħti risposta utli għall-imsemmija domandi (sentenza tas‑16 ta’ Lulju 2020, Facebook Ireland u Schrems,
C‑311/18
,
EU:C:2020:559
, punt
u l-ġurisprudenza ċċitata).
F’dan il-każ, il-qorti tar-rinviju hija adita b’rikors intiż għall-annullament ta’ deċiżjoni li tissanzjona lil Digi, fil-kwalità tagħha ta’ kontrollur, talli kisret il-prinċipju tal-“limitazzjoni tal-iskopijiet” u l-prinċipju tal-“limitazzjoni tal-ħżin”, previsti, rispettivament, fil-punti (b) u (e) tal-Artikolu 5(1) tar-Regolament 2016/679, billi naqset milli tħassar database li tinkludi data personali li tippermetti l-identifikazzjoni tal-persuni kkonċernati. Issa, id-domandi preliminari jirrigwardaw preċiżament l-interpretazzjoni ta’ dawn id-dispożizzjonijiet, b’tali mod li ma jistax jitqies li l-interpretazzjoni mitluba tad-dritt tal-Unjoni ma għandhiex rabta mar-realtà jew mas-suġġett tat-tilwima fil-kawża prinċipali jew hija ta’ natura ipotetika. Barra minn hekk, id-deċiżjoni tar-rinviju tinkludi l-punti ta’ fatt u ta’ liġi suffiċjenti sabiex tingħata risposta utli għad-domandi magħmula mill-qorti tar-rinviju.
Fit-tieni lok, għandu jitfakkar li, fil-kuntest tal-proċedura msemmija fl-Artikolu 267 TFUE, ibbażata fuq separazzjoni ċara tal-funzjonijiet bejn il-qrati nazzjonali u l-Qorti tal-Ġustizzja, hija biss il-qorti nazzjonali li għandha ġurisdizzjoni sabiex tagħti deċiżjonijiet dwar l-interpretazzjoni u l-applikazzjoni tad-dispożizzjonijiet tad-dritt nazzjonali, filwaqt li l-Qorti tal-Ġustizzja hija awtorizzata biss sabiex tiddeċiedi dwar l-interpretazzjoni jew il-validità ta’ test tal-Unjoni, abbażi tal-fatti li huma indikati lilha mill-qorti nazzjonali (sentenza tal‑5 ta’ Mejju 2022, Zagrebačka banka,
C‑567/20
,
EU:C:2022:352
, punt
u l-ġurisprudenza ċċitata).
Għaldaqstant, l-argument dwar l-inammissibbiltà tad-domandi preliminari li l-Awtorità u l-Gvern Ungeriż jibbażaw, essenzjalment, fuq il-fatt li d-domandi preliminari ma jikkorrispondux, fil-fehma tagħhom, mal-fatti tat-tilwima fil-kawża prinċipali, għandu jiġi miċħud.
Minn dan jirriżulta li d-domandi magħmula huma ammissibbli.
Fuq il‑mertu
Fuq l‑ewwel domanda
Permezz tal-ewwel domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 5(1)(b) tar-Regolament 2016/679 għandux jiġi interpretat fis-sens li l-prinċipju tal-“limitazzjoni tal-iskopijiet”, previst f’din id-dispożizzjoni, jipprekludix ir-reġistrazzjoni u l-ħżin mill-kontrollur, f’database maħluqa sabiex isiru testijiet u sabiex jiġu kkorreġuti żbalji, ta’ data personali miġbura preċedentement u maħżuna f’database oħra.
Skont ġurisprudenza stabbilita, l-interpretazzjoni ta’ dispożizzjoni tad-dritt tal-Unjoni teħtieġ li jittieħdu inkunsiderazzjoni mhux biss il-kliem tagħha, iżda wkoll il-kuntest li fih hija tinsab u l-għanijiet u l-iskop tal-att li hija tagħmel parti minnu (sentenza tal‑1 ta’ Awwissu 2022, Hold Alapkezelġ,
C‑352/20
,
EU:C:2022:606
, punt
u l-ġurisprudenza ċċitata).
F’dan ir-rigward, fl-ewwel lok, għandu jiġi rrilevat li l-Artikolu 5(1) tar-Regolament 2016/679 jistabbilixxi l-prinċipji dwar l-ipproċessar tad-data personali, li huma imposti fuq il-kontrollur u li dan tal-aħħar għandu jkun f’pożizzjoni li juri l-osservanza tagħhom, konformement mal-prinċipju ta’ responsabbiltà stabbilit fil-paragrafu 2 ta’ dan l-artikolu.
B’mod partikolari, skont l-Artikolu 5(1)(b) ta’ dan ir-regolament, li jistabbilixxi l-prinċipju tal-“limitazzjoni tal-iskopijiet”, id-data personali għandha, minn naħa, tinġabar għal skopijiet speċifikati, espliċiti u leġittimi u, min-naħa l-oħra, ma għandhiex tiġi pproċessata ulterjorment b’mod inkompatibbli ma’ dawn l-iskopijiet.
Għalhekk, mill-formulazzjoni ta’ din id-dispożizzjoni jirriżulta li din tinkludi żewġ rekwiżiti, waħda relatata mal-finijiet tal-ġbir inizjali tad-data personali u l-oħra li tirrigwarda l-ipproċessar ulterjuri ta’ din id-data.
Fir-rigward, l-ewwel, tar-rekwiżit li d-data personali għandha tinġabar għal finijiet speċifikati, espliċiti u leġittimi, mill-ġurisprudenza tal-Qorti tal-Ġustizzja jirriżulta li dan jimplika, qabelxejn, li l-iskopijiet tal-ipproċessar għandhom jiġu identifikati mhux iktar tard mill-ġbir tad-data personali, sussegwentement, li l-iskopijiet tal-ipproċessar ikunu stabbiliti b’mod ċar u, fl-aħħar nett, li l-iskopijiet tal-imsemmi pproċessar jiggarantixxu, b’mod partikolari, il-legalità tal-ipproċessar ta’ din id-data, fis-sens tal-Artikolu 6(1) tar-Regolament 2016/679 (ara, f’dan is-sens, is-sentenza tal‑24 ta’ Frar 2022, Valsts ieņēmumu dienests (Ipproċessar ta’ data personali għal finijiet ta’ taxxa),
C‑175/20
,
EU:C:2022:124
, punti
sa
).
F’dan il-każ, mill-formulazzjoni tal-ewwel domanda u mill-motivi tad-deċiżjoni tar-rinviju jirriżulta li d-data personali inkwistjoni fil-kawża prinċipali nġabret għal skopijiet speċifikati, espliċiti u leġittimi, filwaqt li l-qorti tar-rinviju ppreċiżat barra minn hekk li l-ġbir ta’ din id-data twettaq għall-finijiet tal-konklużjoni u tal-eżekuzzjoni minn Digi ta’ kuntratti ta’ abbonament mal-klijenti tagħha, skont l-Artikolu 6(1)(b) tar-Regolament 2016/679.
F’dak li jirrigwarda, it-tieni, ir-rekwiżit li d-data personali ma għandhiex tkun is-suġġett ta’ pproċessar ulterjuri li jkun inkompatibbli ma’ dawn l-iskopijiet, għandu jiġi rrilevat, minn naħa, li r-reġistrazzjoni u l-ħżin, mill-kontrollur, f’database ġdida maħluqa, ta’ data personali maħżuna f’database oħra tikkostitwixxi “ipproċessar ulterjuri” ta’ din id-data.
Fil-fatt, il-kunċett ta’ “ipproċessar” huwa ddefinit b’mod wiesa’ fl-Artikolu 4(2) tar-Regolament 2016/679 bħala li jkopri kull operazzjoni jew sett ta’ operazzjonijiet imwettqa jew le permezz ta’ proċessi awtomatizzati u applikati għal data jew għal settijiet ta’ data personali, bħal, b’mod partikolari, il-ġbir, ir-reġistrazzjoni u l-ħżin ta’ din id-data.
Barra minn hekk, konformement mat-tifsira normali tat-terminu “ulterjuri” fil-lingwaġġ ta’ kuljum, kull ipproċessar ta’ data personali li jseħħ wara l-ipproċessar inizjali kkostitwit mill-ġbir inizjali ta’ din id-data jikkostitwixxi pproċessar “ulterjuri” tal-imsemmija data, indipendentement mill-iskop ta’ dan l-ipproċessar ulterjuri.
Min-naħa l-oħra, għandu jiġi osservat li l-Artikolu 5(1)(b) tar-Regolament 2016/679 ma jinkludix indikazzjonijiet dwar il-kundizzjonijiet li fihom ipproċessar ulterjuri ta’ data personali tad-data jista’ jitqies bħala kompatibbli mal-iskopijiet tal-ġbir inizjali ta’ din id-data.
Madankollu, il-kuntest li tagħmel parti minnu din id-dispożizzjoni jipprovdi, fit-tieni lok, kjarifiki utli f’dan ir-rigward.
Fil-fatt, minn qari flimkien tal-Artikolu 5(1)(b), tal-Artikolu 6(1)(a) u tal-Artikolu 6(4) tar-Regolament 2016/679 jirriżulta li l-kwistjoni tal-kompatibbiltà tal-ipproċessar ulterjuri tad-data personali mal-iskopijiet li għalihom din id-data tkun inġabret inizjalment tqum biss fl-ipoteżi fejn l-iskopijiet tal-imsemmi pproċessar ulterjuri ma jkunux identiċi għall-iskopijiet tal-ġbir inizjali.
Barra minn hekk, minn dan l-Artikolu 6(4), moqri fid-dawl tal-premessa 50 tal-imsemmi regolament, jirriżulta li, meta l-ipproċessar għal skop differenti minn dak li għalih id-data tkun inġabret ma jkunx ibbażat fuq il-kunsens tal-persuna kkonċernata jew fuq id-dritt tal-Unjoni jew fuq id-dritt tal-Unjoni jew fuq id-dritt ta’ Stat Membru, hemm lok, sabiex jiġi ddeterminat jekk l-ipproċessar għal skop ieħor huwiex kompatibbli mal-għan li għalih id-data personali tkun inġabret inizjalment, li jittieħdu inkunsiderazzjoni, fost l-oħrajn, l-eżistenza eventwali ta’ rabta bejn l-iskopijiet li għalihom tkun inġabret id-data personali u l-iskopijiet tat-trattament ulterjuri previst; it-tieni, il-kuntest li fih inġabret id-data personali, b’mod partikolari fir-rigward tar-relazzjoni bejn il-persuni kkonċernati u l-kontrollur; it-tielet, in-natura tad-data personali; ir-raba’, il-konsegwenzi possibbli tal-ipproċessar ulterjuri previst għall-persuni kkonċernati, u fl-aħħar nett, il-ħames, l-eżistenza ta’ garanziji xierqa kemm fil-kuntest tal-ipproċessar inizjali kif ukoll tal-ipproċessar ulterjuri previst.
Kif l-Avukat Ġenerali osserva, essenzjalment, fil-punti 28, 59 u 60 tal-konklużjonijiet tiegħu, dawn il-kriterji jirriflettu n-neċessità ta’ rabta konkreta, loġika u suffiċjentement stretta bejn l-iskopijiet tal-ġbir inizjali tad-data personali u l-ipproċessar ulterjuri ta’ din id-data, u jippermettu li jiġi żgurat li dan l-ipproċessar ulterjuri ma jmurx kontra l-aspettattivi leġittimi tal-abbonati fir-rigward tal-użu ulterjuri tad-data tagħhom.
Dawn il-kriterji jippermettu, barra minn hekk, fit-tielet lok, kif enfasizza l-Avukat Ġenerali, essenzjalment, fil-punt 27 tal-konklużjonijiet tiegħu, li jiġi ddelimitat l-użu mill-ġdid ta’ data personali miġbura preċedentement billi jiġi żgurat ekwilibriju bejn, minn naħa, il-ħtieġa ta’ prevedibbiltà u ta’ ċertezza legali dwar l-iskopijiet tal-ipproċessar ta’ data personali miġbura preċedentement u, min-naħa l-oħra, ir-rikonoxximent ta’ ċerta flessibbiltà favur il-kontrollur fil-ġestjoni ta’ din id-data, u jikkontribwixxu għalhekk għat-twettiq tal-għan li jikkonsisti fil-garanzija ta’ livell koerenti u għoli ta’ protezzjoni tal-persuni fiżiċi, kif huwa stabbilit fil-premessa 10 tar-Regolament 2016/679.
Għalhekk, billi tieħu inkunsiderazzjoni l-kriterji msemmija fil-punt 35 ta’ din is-sentenza u fid-dawl taċ-ċirkustanzi kollha li jikkaratterizzaw il-każ ineżami, hija l-qorti nazzjonali li għandha tiddetermina kemm l-iskopijiet tal-ġbir inizjali tad-data personali kif ukoll dawk tal-ipproċessar ulterjuri ta’ din id-data u, fl-ipoteżi fejn l-iskopijiet ta’ dan l-ipproċessar ulterjuri jkunu differenti mill-iskopijiet ta’ dan il-ġbir, li tivverifika li l-ipproċessar ulterjuri tal-imsemmija data jkun kompatibbli mal-iskopijiet tal-imsemmi ġbir inizjali.
Madankollu, il-Qorti tal-Ġustizzja tista’, meta tiddeċiedi fuq rinviju għal deċiżjoni preliminari, tagħti kjarifiki intiżi sabiex jiggwidaw lill-qorti nazzjonali f’din id-determinazzjoni (ara, f’dan is-sens, is-sentenza tas‑7 ta’ April 2022, Fuhrmann‑2,
C‑249/21
,
EU:C:2022:269
, punt
).
F’dan il-każ, l-ewwel nett, kif tfakkar fil-punt 13 ta’ din is-sentenza, mid-deċiżjoni tar-rinviju jirriżulta li d-data personali nġabret inizjalment minn Digi, kontrollur tal-ipproċessar, għall-finijiet tal-konklużjoni u tal-eżekuzzjoni ta’ kuntratti ta’ abbonament mal-klijenti tagħha li huma individwi.
It-tieni, il-partijiet fil-kawża prinċipali ma jaqblux dwar l-iskop speċifiku tar-reġistrazzjoni u tal-ħżin, minn Digi, fid-database għall-ittestjar, tad-data personali inkwistjoni. Fil-fatt, filwaqt li Digi ssostni li l-ħolqien tad-database għall-ittestjar kellu bħala għan speċifiku li jiggarantixxi l-aċċess għad-data tal-abbonati sakemm l-iżbalji jiġu kkoreġuti, b’tali mod li dan l-iskop ikun identiku għall-iskopijiet segwiti mill-ġbir inizjali ta’ din id-data, l-Awtorità ssostni li l-iskop speċifiku tal-ipproċessar ulterjuri kien distint minn dawn l-iskopijiet, peress li dan kien jikkonsisti fit-twettiq ta’ testijiet u fil-korrezzjoni ta’ żbalji.
F’dan ir-rigward, għandu jitfakkar li mill-ġurisprudenza ċċitata fil-punt 19 ta’ din is-sentenza jirriżulta li, fil-kuntest tal-proċedura msemmija fl-Artikolu 267 TFUE, ibbażata fuq separazzjoni ċara tal-funzjonijiet bejn il-qrati nazzjonali u l-Qorti tal-Ġustizzja, hija biss il-qorti nazzjonali li għandha ġurisdizzjoni sabiex tinterpreta u tapplika dispożizzjonijiet tad-dritt nazzjonali, filwaqt li l-Qorti tal-Ġustizzja hija awtorizzata biss sabiex tiddeċiedi dwar l-interpretazzjoni jew il-validità ta’ test tal-Unjoni, abbażi tal-fatti li huma indikati lilha mill-qorti nazzjonali.
Issa, mid-deċiżjoni tar-rinviju jirriżulta li d-database għall-ittestjar inħolqot minn Digi sabiex tkun tista’ twettaq testijiet u tikkoreġi żbalji, b’tali mod li huwa fid-dawl ta’ dawn l-iskopijiet li l-qorti tar-rinviju għandha tevalwa l-kompatibbiltà tal-ipproċessar ulterjuri mal-iskopijiet tal-ġbir inizjali, li jikkonsistu fil-konklużjoni u fl-eżekuzzjoni ta’ kuntratti ta’ abbonament.
It-tielet, fir-rigward ta’ din l-evalwazzjoni, għandu jiġi rrilevat li t-twettiq ta’ testijiet u l-korrezzjoni ta’ żbalji li jaffettwaw id-database tal-abbonati għandhom rabta konkreta mal-eżekuzzjoni tal-kuntratti ta’ abbonament ta’ klijenti li huma individwi, sa fejn tali żbalji jistgħu jkunu dannużi għall-provvista tas-servizz kuntrattwalment previst, u li għalih id-data nġabret inizjalment. Fil-fatt, kif irrileva l-Avukat Ġenerali fil-punt 60 tal-konklużjonijiet tiegħu, tali pproċessar ma jitbiegħedx mill-aspettattivi leġittimi ta’ dawn il-klijenti fir-rigward tal-użu ulterjuri tad-data personali tagħhom. Mill-bqija, mid-deċiżjoni tar-rinviju ma jirriżultax li din id-data kollha jew parti minnha kienet sensittiva jew li l-ipproċessar ulterjuri inkwistjoni tagħha, bħala tali, kellu konsegwenzi dannużi għall-abbonati jew ma kienx akkumpanjat minn garanziji xierqa, u dan għandu, fi kwalunkwe każ, jiġi vverifikat mill-qorti tar-rinviju.
Minn dak kollu li ntqal hawn fuq jirriżulta li r-risposta għall-ewwel domanda għandha tkun li l-Artikolu 5(1)(b) tar-Regolament 2016/679 għandu jiġi interpretat fis-sens li l-prinċipju tal-“limitazzjoni tal-iskopijiet”, previst f’din id-dispożizzjoni, ma jipprekludix ir-reġistrazzjoni u l-ħżin mill-kontrollur, f’database maħluqa għall-finijiet tat-twettiq ta’ testijiet u ta’ korrezzjoni ta’ żbalji, ta’ data personali miġbura preċedentement u maħżuna f’database oħra, meta tali pproċessar ulterjuri jkun kompatibbli mal-iskopijiet speċifiċi li għalihom id-data personali kienet inizjalment inġabret, u dan għandu jiġi stabbilit fid-dawl tal-kriterji msemmija fl-Artikolu 6(4) ta’ dan ir-regolament.
Fuq it‑tieni domanda
Preliminarjament, għandu jiġi rrilevat li t-tieni domanda tal-qorti tar-rinviju, li tirrigwarda l-konformità mal-prinċipju tal-“limitazzjoni tal-ħżin”, li jinsab fl-Artikolu 5(1)(e) tar-Regolament 2016/679, tal-ħżin minn Digi, fid-database għall-ittestjar, ta’ data personali tal-klijenti tiegħu, hija magħmula minn din il-qorti biss fil-każ ta’ risposta fl-affermattiv għall-ewwel domanda kif ifformulata mill-ġdid, jiġifieri fl-ipoteżi li dan il-ħżin ma jkunx kompatibbli mal-prinċipju ta’ “limitazzjoni tal-iskopijiet”, previst fl-Artikolu 5(1)(b) ta’ dan ir-regolament.
Madankollu, minn naħa, kif irrileva l-Avukat Ġenerali fil-punt 24 tal-konklużjonijiet tiegħu, il-prinċipji dwar l-ipproċessar ta’ data personali stabbiliti fl-Artikolu 5 tar-Regolament 2016/679 huma applikabbli b’mod kumulattiv. Għaldaqstant, il-ħżin ta’ data personali għandu josserva mhux biss il-prinċipju ta’ “limitazzjoni tal-iskopijiet” iżda wkoll dak tal-“limitazzjoni tal-ħżin”.
Min-naħa l-oħra, għandu jitfakkar li, kif jirriżulta mill-premessa 10 tar-Regolament 2016/679, dan huwa intiż b’mod partikolari sabiex jiżgura livell għoli ta’ protezzjoni tal-persuni fiżiċi fi ħdan l-Unjoni u, għal dan il-għan, li jiżgura applikazzjoni koerenti u omoġenja tar-regoli ta’ protezzjoni tal-libertajiet u tad-drittijiet fundamentali ta’ dawn il-persuni fir-rigward tal-ipproċessar tad-data personali fl-Unjoni kollha.
Għal dan il-għan, il-Kapitoli II u III ta’ dan ir-regolament jistabbilixxu, rispettivament, il-prinċipji li jirregolaw l-ipproċessar tad-data personali kif ukoll id-drittijiet tal-persuna kkonċernata li għandhom jiġu osservati minn kull ipproċessar ta’ data personali. B’mod partikolari, kull ipproċessar ta’ data personali għandu, minn naħa, ikun konformi mal-prinċipji dwar l-ipproċessar tad-data stabbiliti fl-Artikolu 5 tal-imsemmi regolament u, min-naħa l-oħra, fid-dawl b’mod partikolari tal-prinċipju tal-legalità tal-ipproċessar, previst fil-paragrafu 1(a) ta’ dan l-artikolu, jissodisfa waħda mill-kundizzjonijiet ta’ legalità tal-ipproċessar elenkati fl-Artikolu 6 tal-istess regolament (ara, f’dan is-sens, is-sentenzi tat‑22 ta’ Ġunju 2021, Latvijas Republikas Saeima (Punti ta’ penalità),
C‑439/19
,
EU:C:2021:504
, punt
, u tal‑24 ta’ Frar 2022, Valsts ieņēmumu dienests (Ipproċessar tad-data personali għal finijiet ta’ taxxa),
C‑175/20
,
EU:C:2022:124
, punt
).
Fid-dawl ta’ dawn il-kunsiderazzjonijiet, anki jekk, formalment, il-qorti tar-rinviju għamlet it-tieni domanda biss fil-każ ta’ risposta fl-affermattiv għall-ewwel domanda kif ifformulata mill-ġdid, tali ċirkustanza ma tipprekludix lill-Qorti tal-Ġustizzja milli tipprovdilha l-elementi kollha ta’ interpretazzjoni tad-dritt tal-Unjoni li jistgħu jkunu utli għall-evalwazzjoni tal-kawża li biha hija adita (ara, f’dan is-sens, is-sentenza tas‑17 ta’ Marzu 2022, Daimler,
C‑232/20
,
EU:C:2022:196
, punt
) u, għaldaqstant, milli tirrispondi għal din it-tieni domanda.
F’dawn iċ-ċirkustanzi, għandu jitqies li, permezz ta’ din id-domanda, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 5(1)(e) tar-Regolament 2016/679 għandux jiġi interpretat fis-sens li l-prinċipju tal-“limitazzjoni tal-ħżin”, previst f’din id-dispożizzjoni, jipprekludi l-ħżin mill-kontrollur, f’database maħluqa għall-finijiet tat-twettiq ta’ testijiet u sabiex jiġu kkoreġuti żbalji, ta’ data personali miġbura preċedentement għal skopijiet oħra, għal perijodu li jeċċedi dak li huwa neċessarju għat-twettiq ta’ dawn it-testijiet u għall-korrezjoni ta’ dawn l-iżbalji.
Fl-ewwel lok, għandu jiġi osservat li, skont l-Artikolu 5(1)(e) tar-Regolament 2016/679, id-data għandha tinħażen f’forma li tippermetti l-identifikazzjoni tal-persuni kkonċernati għal perijodu li ma jeċċedix dak li huwa neċessarju għat-twettiq tal-iskopijiet li għalihom id-data personali tiġi pproċessata;
Għalhekk mill-formulazzjoni ta’ dan l-artikolu jirriżulta mingħajr ambigwità li l-prinċipju tal-“limitazzjoni tal-ħżin” jirrikjedi li l-kontrollur ikun f’pożizzjoni li juri, konformement mal-prinċipju ta’ responsabbiltà mfakkar fil-punt 24 ta’ din is-sentenza, li d-data personali tinħażen biss matul il-perijodu neċessarju għat-twettiq tal-għanijiet li għalihom tkun inġabret jew li għalihom tkun ġiet ipproċessata ulterjorment.
Minn dan jirriżulta li anki pproċessar inizjalment legali ta’ data jista’ jsir, biż-żmien, inkompatibbli mar-Regolament 2016/679 meta din id-data ma tkunx għadha neċessarja għat-twettiq ta’ tali skopijiet (is-sentenza tal‑24 ta’ Settembru 2019, GC et (Tneħħija tar-riferiment ta’ data sensittiva)),
C-136/17
,
EU:C:2019:773
, punt
) u li d-data għandha titħassar meta l-imsemmija skopijiet jitwettqu (ara, f’dan is-sens, is-sentenza tas‑7 ta’ Mejju 2009, Rijkeboer,
C‑553/07
,
EU:C:2009:293
, punt
).
Din l-interpretazzjoni hija konformi, fit-tieni lok, mal-kuntest li fih jinsab l-Artikolu 5(1) (e) tar-Regolament 2016/679.
F’dan ir-rigward, fil-punt 49 ta’ din is-sentenza tfakkar li kull ipproċessar ta’ data personali għandu jkun konformi mal-prinċipji dwar l-ipproċessar tad-data msemmija fl-Artikolu 5 tal-imsemmi regolament u għandu jissodisfa waħda mill-kundizzjonijiet dwar il-legalità tal-ipproċessar elenkati fl-Artikolu 6 tal-istess regolament.
Issa, minn naħa, kif jirriżulta mill-Artikolu 6, meta l-persuna kkonċernata ma tkunx tat il-kunsens għall-ipproċessar tad-data personali tagħha għal skop speċifiku wieħed jew iktar, konformement mal-Artikolu 6(1)(a) tar-Regolament 2016/679, l-ipproċessar għandu, kif jirriżulta mill-punti (b) sa (f) tal-imsemmi paragrafu, jissodisfa rekwiżit ta’ neċessità.
Min-naħa l-oħra, tali rekwiżit ta’ neċessità jirriżulta wkoll mill-prinċipju ta’ “minimizzazzjoni tad-data”, previst fl-Artikolu 5(1)(c) ta’ dan ir-regolament, li skontu d-data personali għandha tkun adegwata, rilevanti u limitata għal dak li huwa neċessarju fir-rigward tal-iskopijiet li għalihom hija pproċessata.
Tali interpretazzjoni hija, fit-tielet lok, konformi mal-għan segwit mill-Artikolu 5(1)(e) tar-Regolament 2016/679, li, kif tfakkar fil-punt 48 ta’ din is-sentenza, jikkonsisti b’mod partikolari f’li jiġi żgurat livell għoli ta’ protezzjoni tal-persuni fiżiċi fi ħdan l-Unjoni fir-rigward tal-ipproċessar ta’ data personali.
F’dan il-każ, Digi sostniet li kien bi żball li d-data personali ta’ parti mill-klijenti privati tagħha maħżuna fid-database għall-ittestjar ma tħassritx, wara li saru t-testijiet u l-korrezzjoni tal-iżbalji.
F’dan ir-rigward, huwa biżżejjed li jiġi rrilevat li dan l-argument huwa irrilevanti għall-finijiet tal-evalwazzjoni ta’ jekk data nħażnitx għal perijodu li jeċċedi dak li kien neċessarju għat-twettiq tal-iskopijiet li għalihom ġiet ipproċessata ulterjorment, bi ksur tal-prinċipju tal-“limitazzjoni tal-ħżin”, previst fl-Artikolu 5(1)(e) tar-Regolament 2016/679.
Fid-dawl ta’ dak kollu li ntqal hawn fuq, ir-risposta għat-tieni domanda għandha tkun li l-Artikolu 5(1) (e) tar-Regolament 2016/679 għandu jiġi interpretat fis-sens li l-prinċipju tal-“limitazzjoni tal-ħżin”, previst f’din id-dispożizzjoni, jipprekludi l-ħżin mill-kontrollur, f’database maħluqa għall-finijiet tat-twettiq ta’ testijiet u ta’ korrezzjoni ta’ żbalji, ta’ data personali miġbura preċedentement għal skopijiet oħra, għal perijodu li jeċċedi dak li huwa neċessarju għat-twettiq ta’ dawn it-testijiet u għall-korrezzjoni ta’ dawn l-iżbalji.
Fuq l‑ispejjeż
Peress li l-proċedura għandha, fir-rigward tal-partijiet fil-kawża prinċipali, in-natura ta’ kwistjoni mqajma quddiem il-qorti tar-rinviju, hija din il-qorti li tiddeċiedi fuq l-ispejjeż. L-ispejjeż sostnuti għas-sottomissjoni tal-osservazzjonijiet lill-Qorti tal-Ġustizzja, barra dawk tal-imsemmija partijiet, ma jistgħux jitħallsu lura.

Għal dawn il-motivi, Il-Qorti tal-Ġustizzja (L-Ewwel Awla) taqta’ u tiddeċiedi:

1)
L-Artikolu 5(1)(b) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data)
għandu jiġi interpretat fis-sens li:
il-prinċipju tal-“limitazzjoni tal-iskopijiet”, previst f’din id-dispożizzjoni, ma jipprekludix ir-reġistrazzjoni u l-ħżin mill-kontrollur, f’database maħluqa għall-finijiet tat-twettiq ta’ testijiet u ta’ korrezzjoni ta’ żbalji, ta’ data personali miġbura preċedentement u maħżuna f’database oħra, meta tali pproċessar ulterjuri jkun kompatibbli mal-iskopijiet speċifiċi li għalihom id-data personali kienet inizjalment inġabret, u dan għandu jiġi stabbilit fid-dawl tal-kriterji msemmija fl-Artikolu 6(4) ta’ dan ir-regolament.

2)
L-Artikolu 5(1)(e) tar-Regolament 2016/679
għandu jiġi interpretat fis-sens li:
il-prinċipju tal-“limitazzjoni tal-ħżin”, previst f’din id-dispożizzjoni, jipprekludi l-ħżin mill-kontrollur, f’database maħluqa għall-finijiet tat-twettiq ta’ testijiet u ta’ korrezzjoni ta’ żbalji, ta’ data personali miġbura preċedentement għal skopijiet oħra, għal perijodu li jeċċedi dak li huwa neċessarju għat-twettiq ta’ dawn it-testijiet u għall-korrezzjoni ta’ dawn l-iżbalji.

Firem
(
*1
)	Lingwa tal-kawża: l-Ungeriż.