62023CC0413
KONKLUŻJONIJIET TAL-AVUKAT ĠENERALI
SPIELMANN
ippreżentati fis‑6 ta’ Frar 2025 (
1
)
Kawża C‑413/23 P
Il‑Kontrollur Ewropew għall‑Protezzjoni tad-Data (KEPD)
vs
Il‑Bord Uniku ta’ Riżoluzzjoni (SRB)
“Appell – Ipproċessar ta’ data personali – Proċedura ta’ kumpens għad‑danni tal-kredituri u tal-azzjonisti wara r-riżoluzzjoni ta’ istituzzjoni bankarja – Obbligu ta’ informazzjoni – Artikolu 15(1)(d) tar-Regolament (UE) 2018/1725 – Assenza ta’ informazzjoni tal-imsemmija kredituri u azzjonisti fir-rigward tar-riċevitur tad-data personali – Deċiżjoni tal-Kontrollur Ewropew għall-Protezzjoni tad-Data li tikkonstata l-ksur tar-Regolament 2018/1725 relatat mal-ipproċessar tad-data personali psewdonimizzata”
I. Introduzzjoni
1.
Permezz tal-appell tiegħu, il-Kontrollur Ewropew għall‑Protezzjoni tad-Data (iktar ’il quddiem il-“KEPD”) jitlob l‑annullament tas-sentenza tal-Qorti Ġenerali tal-Unjoni Ewropea tas‑26 ta’ April 2023, SRB vs KEPD (T‑557/20, iktar ’il quddiem is-sentenza appellata, EU:T:2023:219), li permezz tagħha l-Qorti Ġenerali annullat id-deċiżjoni emendata tal-KEPD tal‑24 ta’ Novembru 2020 (iktar ’il quddiem id-“deċiżjoni kontenzjuża”), dwar ħames ilmenti mressqa minn azzjonisti u kredituri affettwati mir-riżoluzzjoni bankarja tal-Banco Popular Español SA (iktar ’il quddiem “Banco Popular”) li jilmentaw li ma ġewx informati bit-trasferiment tad-data personali tagħhom.
2.
Din il-kawża tagħti lill-Qorti tal-Ġustizzja l-opportunità li tispjega, fil-kuntest ta’ data psewdonimizzata, il-kunċett ta’ “data personali” u l-obbligi li jirriżultaw minnu sabiex ikun hemm konformità mal-obbligi ta’ pproċessar ġust u trasparenti ta’ data.
II. Il-kuntest ġuridiku
3.
Id-dispożizzjonijiet prinċipali tar-Regolament (UE) 2018/1725 (
2
) rilevanti fil-kuntest ta’ dan l-appell huma s-segwenti.
4.
Il-premessi 16 u 17 ta’ dan ir-regolament jaqraw kif ġej:
“(16)
Il-prinċipji ta’ protezzjoni tad-data jenħtieġ li japplikaw għal kwalunkwe informazzjoni dwar persuna fiżika identifikata jew identifikabbli. Jenħtieġ li d-data personali li tkun għaddiet minn psewdonimizzazzjoni, li tkun tista’ tiġi attribwita lil persuna fiżika bl-użu ta’ informazzjoni addizzjonali, titqies bħala informazzjoni dwar persuna fiżika identifikabbli. Sabiex jiġi ddeterminat jekk persuna fiżika tkunx identifikabbli, jenħtieġ li jitqiesu l-mezzi kollha li raġonevolment x’aktarx ikunu jistgħu jintużaw, bħas-singolarizzazzjoni, mill-kontrollur jew minn kwalunkwe persuna oħra, sabiex persuna fiżika tiġi identifikata direttament jew indirettament. Sabiex jiġi aċċertat liema mezzi huma raġonevolment mistennija jintużaw għall-identifikazzjoni tal-persuna fiżika, jenħtieġ li jitqiesu l-fatturi oġġettivi kollha, bħall-ispejjeż tal‑identifikazzjoni u l-ammont ta’ żmien rikjest għall-identifikazzjoni, filwaqt li jitqiesu t-teknoloġija disponibbli fil-mument tal-ipproċessar u l-iżviluppi teknoloġiċi. Jenħtieġ li l-prinċipji tal-protezzjoni tad-data ma japplikawx għalhekk għall-informazzjoni anonima, jiġifieri informazzjoni li mhijiex relatata ma’ persuna fiżika identifikata jew identifikabbli jew għal data personali li ssir anonima b’tali mod li s‑suġġett tad-data ma jkunx jew ma jkunx għadu identifikabbli. Għaldaqstant, dan ir-Regolament ma jikkonċernax l-ipproċessar ta’ tali informazzjoni anonima, inkluż għal finijiet ta’ statistika jew ta’ riċerka.
(17)
L-applikazzjoni ta’ psewdonimizzazzjoni ta’ data personali tista’ tnaqqas ir-riskji għas-suġġetti tad-data kkonċernati u tgħin lill-kontrolluri u lill-proċessuri jissodisfaw l-obbligi tagħhom tal-protezzjoni tad-data. L-introduzzjoni espliċita tal-‘psewdonimizzazzjoni’ f’dan ir‑Regolament mhijiex intiża li tipprekludi kwalunkwe miżura oħra tal-protezzjoni tad-data.”
5.
L-Artikolu 3 tal-imsemmi regolament, intitolat “Definizzjonijiet”, jipprevedi fil-punti 1 u 6 tiegħu:
“Għall-finijiet ta’ dan ir-Regolament, japplikaw id-definizzjonijiet li ġejjin:
1)
‘data personali’ tfisser kwalunkwe informazzjoni relatata ma’ persuna fiżika identifikata jew identifikabbli (‘suġġett tad-data’); persuna fiżika identifikabbli hija persuna li tista’ tiġi identifikata, direttament jew indirettament, b’mod partikolari b’referenza għal mezz ta’ identifikazzjoni bħal isem, numru ta’ identifikazzjoni, data ta’ lokalizzazzjoni, identifikatur online jew għal fattur wieħed jew aktar speċifiċi għall-identità fiżika, fiżjoloġika, ġenetika, mentali, ekonomika, kulturali jew soċjali ta’ dik il-persuna fiżika;
[…]
6)
‘psewdonimizzazzjoni’ tfisser l-ipproċessar ta’ data personali b’tali mod li d-data personali ma tkunx tista’ tibqa’ tiġi attribwita għal suġġett tad-data speċifiku mingħajr l-użu ta’ informazzjoni addizzjonali, dment li tali informazzjoni addizzjonali tinżamm separatament u tkun soġġetta għal miżuri tekniċi u organizzattivi biex jiġi żgurat li d-data personali ma tiġix attribwita għal persuna fiżika identifikata jew identifikabbli”.
6.
L-Artikolu 4 tal-istess regolament, intitolat “Prinċipji relatati mal‑ipproċessar ta’ data personali”, jipprovdi, fil-paragrafu 1(a) tiegħu u fil-paragrafu 2 tiegħu:
“1.   Id-data personali għandha:
a)
tkun ipproċessata legalment, ġustament u b’mod trasparenti fir‑rigward tas-suġġett tad-data (‘legalità, ġustizzja u trasparenza’);
[…]
2.   Il-kontrollur għandu jkun responsabbli għall-konformità mal‑paragrafu 1 u jkun kapaċi juriha (‘responsabbiltà’).”
7.
L-Artikolu 15 tar-Regolament 2018/1725, intitolat “Informazzjoni li għandha tiġi pprovduta meta d-data tinġabar mis-suġġett tad-data”, fil‑paragrafu 1(d) tiegħu jipprevedi:
“Meta data personali relatata ma’ suġġett tad-data tinġabar mingħand is‑suġġett tad-data, il-kontrollur, fil-ħin li tinkiseb id-data personali, għandu jipprovdi l-informazzjoni kollha li ġejja lis-suġġett tad-data:
[…]
d)
ir-riċevituri jew il-kategoriji ta’ riċevituri tad-data personali, jekk jeżistu;
[…]”.
III. Il-fatti li wasslu għall-kawża
8.
Fis‑7 ta’ Ġunju 2017, il-Bord Uniku ta’ Riżoluzzjoni (iktar ’il quddiem “is-SRB”) adotta skema ta’ riżoluzzjoni fir-rigward tal-Banco Popular abbażi tar-Regolament (UE) Nru 806/2014 tal-Parlament Ewropew u tal-Kunsill tal‑15 ta’ Lulju 2014 li jistabbilixxi regoli uniformi u proċedura uniformi għar-riżoluzzjoni tal-istituzzjonijiet ta’ kreditu u ċerti ditti tal-investiment fil-qafas ta’ Mekkaniżmu Uniku ta’ Riżoluzzjoni u Fond Uniku għar-Riżoluzzjoni u li jemenda r-Regolament (UE) Nru 1093/2010 (
3
), approvata fl-istess jum permezz tad-Deċiżjoni tal‑Kummissjoni Ewropea (
4
), li fil-prattika jfisser li l-istrumenti ta’ kapital tal-bank ġew imnaqqsa jew ikkonvertiti u mibjugħa permezz ta’ trasferiment ta’ azzjonijiet.
9.
B’konformità mal-Artikolu 20(16) sa (18) tar-Regolament Nru 806/2014, is-SRB talab lil Deloitte, bħala “persuna indipendenti” (
5
), twettaq valwazzjoni tad-differenza fit-trattament sabiex jiġi stabbilit jekk l-azzjonisti u l-kredituri, affettwati b’dan il-mod mill-azzjoni ta’ riżoluzzjoni, kinux jibbenefikaw minn trattament aħjar li kieku dan l-istabbiliment kien suġġett għal proċedura normali ta’ insolvenza.
10.
Fl‑14 ta’ Ġunju 2018, Deloitte bagħtet din il-valwazzjoni tad‑differenza fit-trattament (iktar ’il quddiem il-“valwazzjoni 3”) lis‑SRB. Permezz ta’ deċiżjoni preliminari, is-SRB indika li, sabiex ikun jista’ jadotta deċiżjoni finali dwar il-ħtieġa jekk għandux jingħata jew le, lill-azzjonisti u lill-kredituri affettwati bir-riżoluzzjoni tal‑Banco Popular, kumpens skont l-Artikolu 76(1)(e) tar-Regolament Nru 806/2014, huwa beda l-proċedura relatata mad-dritt għal smigħ, li tinkludi l-ewwel fażi ta’ reġistrazzjoni, sabiex tiġi vverifikata l-eliġibbiltà tal‑partijiet li juru l-interess tagħhom, u t-tieni parti ta’ konsultazzjoni, li fil-qafas tagħha l-azzjonisti u l-kredituri affettwati ssottomettew il‑kummenti tagħhom fuq id-deċiżjoni preliminari tas-SRB, li magħha kien hemm annessa l-valwazzjoni 3.
11.
Id-data miġbura waqt il-fażi ta’ reġistrazzjoni, jiġifieri l-provi tal‑identità tal-parteċipanti u tal-proprjetà tal-istrumenti ta’ kapital ta’ Banco Popular, imnaqqsa jew ikkonvertiti u ttrasferiti, kienet aċċessibbli għal numru limitat ta’ membri tal-persunal tas-SRB inkarigati mill-ipproċessar ta’ din id-data sabiex jistabbilixxu l-eliġibbiltà tal‑parteċipanti. Din id-data ma kinitx aċċessibbli għall-membri tal‑persunal tas-SRB inkarigati mill-ipproċessar tal-kummenti riċevuti waqt il-fażi tal-konsultazzjoni, li matulha dawn irċevew biss kummenti identifikati permezz ta’ riferiment għal kodiċi alfanumeriku (
6
) mogħti lil kull kumment sottomess permezz ta’ formola.
12.
Wara l-aggregazzjoni, il-filtrazzjoni awtomatika u l‑kategorizzazzjoni tal-kummenti, is-SRB bagħat lil Deloitte (
7
) l‑kummenti relatati mal-valwazzjoni 3 hekk kif ġew iffiltrati, ikkategorizzati u aggregati. Il-kummenti mibgħuta lil Deloitte kienu jirrigwardaw biss dawk riċevuti matul il-fażi ta’ konsultazzjoni u kellhom kodiċi alfanumeriku, żviluppat għal finijiet ta’ awditjar sabiex is-SRB ikun jista’ jivverifika u eventwalment juri a posteriori li kull kumment kien ġie pproċessat u debitament meħud inkunsiderazzjoni. Permezz ta’ dan il-kodiċi, is-SRB kien l-uniku entità li seta’ jirrelata l-kummenti mad-data riċevuta waqt il-fażi ta’ reġistrazzjoni. Deloitte ma kellhiex u għad ma għandhiex aċċess għad-database miġbura waqt il-fażi ta’ reġistrazzjoni.
13.
Xi azzjonisti u kredituri affettwati (iktar ’il quddiem il-“persuni li ressqu l-ilmenti”) bagħtu, skont ir-Regolament 2018/1725, ħames ilmenti lill-KEPD minħabba li d-dikjarazzjoni ta’ kunfidenzjalità li tirrigwarda l‑ipproċessar tad-data personali ppubblikata mis-SRB ma kinitx tirreferi għall-fatt li d-data miġbura permezz tal-formola kienet ser tintbagħat lil Deloitte. Huma allegaw ksur, mis-SRB, tal-obbligu tiegħu ta’ informazzjoni relatat mal-ipproċessar tad-data personali skont dan ir‑regolament, previst fl-Artikolu 15(1)(d) tal-imsemmi regolament.
14.
Il-KEPD adotta d-deċiżjoni inizjali tal‑24 ta’ Ġunju 2020, annullata wara talba għal eżami mill-ġdid tas-SRB u ssostitwita, fl‑24 ta’ Novembru 2020, permezz tad-deċiżjoni kontenzjuża, li taqra kif ġej:
“1.
Il-KEPD iqis li d-data li s-SRB ikkondivida ma’ Deloitte kienet data psewdonimizzata, kemm minħabba li l-kummenti tal-fażi [ta’ konsultazzjoni] kienu data personali kif ukoll minħabba li s-SRB ikkondivida l-kodiċi alfanumeriku li jippermetti l-konnessjoni tat‑tweġibiet riċevuti matul il-fażi [ta’ reġistrazzjoni] ma’ dawk tal-fażi [ta’ konsultazzjoni], minkejja li d-data pprovduta mill-parteċipanti għall‑identifikazzjoni tagħhom matul il-fażi [ta’ reġistrazzjoni] ma kinitx ġiet ikkomunikata lil Deloitte.
2.
Il-KEPD iqis li Deloitte kienet destinatarja ta’ data personali tal‑persuni li ressqu l-ilmenti fis-sens tal-punt 13 tal-Artikolu 3 tar‑Regolament 2018/1725. Il-fatt li Deloitte ma ssemmietx fid‑dikjarazzjoni ta’ kunfidenzjalità tas-SRB bħala destinatarja potenzjali tad-data personali miġbura u pproċessata mis-SRB, fil-kwalità tiegħu ta’ kontrollur tal-ipproċessar fil-kuntest tal-proċedura dwar id-dritt għal smigħ, jikkostitwixxi ksur tal-obbligu ta’ informazzjoni previst fl‑Artikolu 15(1)(d) [tar-Regolament 2018/1725].
3.
Fid-dawl tal-miżuri tekniċi u organizzattivi kollha stabbiliti mis-SRB biex jittaffew ir-riskji għad-dritt tal-persuni għall-protezzjoni tad-data fil‑kuntest tal-proċedura dwar id-dritt għal smigħ, il-KEPD jiddeċiedi li ma jeżerċitax is-setgħa tiegħu li jadotta miżuri korrettivi prevista fl‑Artikolu 58(2) [tar-Regolament 2018/1725].
4.
Madankollu, il-KEPD jirrakkomanda lis-SRB jiżgura ruħu li d‑dikjarazzjonijiet ta’ kunfidenzjalità tiegħu fi proċeduri futuri dwar id‑dritt għal smigħ ikopru l-ipproċessar ta’ data personali kemm matul il‑fażi ta’ reġistrazzjoni kif ukoll matul il-fażi ta’ konsultazzjoni u li jinkludu d-destinatarji potenzjali kollha tal-informazzjoni miġbura, sabiex ikun hemm osservanza sħiħa mal-obbligu li s-suġġetti tad-data jiġu infurmati konformement mal-Artikolu 15 [tar‑Regolament 2018/1725]”.
IV. Is-sentenza appellata
15.
Permezz ta’ rikors ippreżentat fir-Reġistru tal-Qorti Ġenerali fl‑1 ta’ Settembru 2020 u permezz ta’ nota ta’ adattament ippreżentata fid‑29 ta’ Jannar 2021, is-SRB ippreżenta rikors, minn naħa waħda, għall-annullament tad-deċiżjoni kontenzjuża u, min-naħa l-oħra, għal dikjarazzjoni ta’ illegalità tad‑deċiżjoni inizjali tal-KEPD tal‑24 ta’ Ġunju 2020.
16.
Is-SRB qajjem żewġ motivi insostenn tal-ewwel kap ta’ talbiet (
8
). L-ewwel motiv kien ibbażat fuq il-ksur tal-punt 1 tal-Artikolu 3 tar‑Regolament 2018/1725, inkwantu l-informazzjoni mibgħuta lil Deloitte ma kinitx tikkostitwixxi data personali u, it-tieni motiv, fuq il‑ksur tad-dritt għal amministrazzjoni tajba, stabbilit fl-Artikolu 41 tal‑Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea.
17.
Permezz tas-sentenza appellata, il-Qorti Ġenerali ddikjarat ammissibbli dan il-kap ta’ talbiet. Dwar il-mertu, hija laqgħet l-ewwel motiv tar-rikors u annullat id-deċiżjoni kontenzjuża, mingħajr ma eżaminat it-tieni motiv.
18.
Dwar l-ewwel motiv, il-Qorti Ġenerali qieset, l-ewwel nett, li l‑KEPD kien ikkunsidra li l-informazzjoni mibgħuta lil Deloitte “kienet relatata” ma’ persuna fiżika fis-sens tal-punt 1 tal-Artikolu 3 tar‑Regolament 2018/1725 billi bbaża ruħu fuq preżunzjoni, mingħajr ma eżamina la l-kontenut, la l-iskop, u lanqas l-effett tal-informazzjoni mibgħuta lil Deloitte (
9
), bi ksur tas-sentenza Nowak (
10
).
19.
It-tieni nett, fir-rigward tal-kundizzjoni prevista fil-punt 1 tal‑Artikolu 3 tar-Regolament 2018/1725 li l-informazzjoni għandha tirrelata ma’ persuna fiżika “identifikata jew identifikabbli”, il-Qorti Ġenerali qieset li, f’dan il-każ, kellu jkun l-KEPD li jeżamina jekk il‑kummenti mibgħuta lil Deloitte kinux jikkostitwixxu, fir-rigward tagħha, data personali. Skont is-sentenza appellata, il-KEPD illimita ruħu li jeżamina l-possibbiltà li jidentifika mill-ġdid l-awturi tal-kummenti mill‑perspettiva tas-SRB u mhux ta’ Deloitte. Għalhekk, peress li l‑KEPD naqas li jaċċerta jekk Deloitte kellhiex mezzi legali u konkreti fil-prattika li jippermettulha taċċedi għall-informazzjoni addizzjonali neċessarja sabiex jiġu identifikati mill-ġdid l-awturi tal‑kummenti, il-KEPD ma setax jikkonkludi li l-informazzjoni mibgħuta lil Deloitte kienet tikkostitwixxi informazzjoni li tirrelata ma’ “persuna fiżika identifikabbli” fis-sens tal-punt 1 tal-Artikolu 3 tar‑Regolament 2018/1725 (
11
).
V. Il-proċedura quddiem il-Qorti tal-Ġustizzja u t-talbiet tal-partijiet
20.
Permezz ta’ att ippreżentat fir-Reġistru tal-Qorti tal-Ġustizzja fil‑5 ta’ Lulju 2023, il-KEPD ippreżenta appell kontra s-sentenza appellata. Permezz ta’ digriet tal-President tal-Qorti tal-Ġustizzja tad‑29 ta’ Novembru 2023 (
12
), il-Bord Ewropew għall-Protezzjoni tad-Data ġie awtorizzat jintervjeni insostenn tat-talbiet tal-KEPD u, permezz ta’ deċiżjoni tal‑20 ta’ Ottubru 2023, il-Kummissjoni Ewropea ġiet awtorizzata tintervjeni insostenn tas-SRB.
21.
Il-KEPD jitlob li l-Qorti tal-Ġustizzja jogħġobha:
–
tannulla s-sentenza appellata;
–
tagħti deċiżjoni definittiva dwar it-tilwima;
–
tikkundanna lis-SRB għall-ispejjeż tal-proċedura ta’ appell u tal‑proċedura quddiem il-Qorti Ġenerali.
22.
Il-Bord Ewropew għall-Protezzjoni tad-Data, insostenn tal-KEPD, jitlob li l-Qorti tal-Ġustizzja jogħġobha:
–
tannulla s-sentenza appellata;
–
tagħti deċiżjoni definittiva dwar it-tilwima billi tikkonferma d‑deċiżjoni kontenzjuża.
23.
Is-SRB jitlob li l-Qorti tal-Ġustizzja jogħġobha:
–
tiċħad l-appell;
–
sussidjarjament, tannulla d-deċiżjoni kontenzjuża;
–
sussidjarjament, tibgħat lura l-kawża quddiem il-Qorti Ġenerali, u
–
tikkundanna lill-KEPD għall-ispejjeż tal-proċedura ta’ appell u tal‑proċedura quddiem il-Qorti Ġenerali.
24.
Il-Kummissjoni Ewropea, insostenn tas-SRB, titlob li l-Qorti tal-Ġustizzja jogħġobha:
–
tiċħad l-appell;
–
tikkundanna lill-KEPD għall-ispejjeż.
VI. Fuq l-appell
25.
Insostenn tal-appell tiegħu, il-KEPD, sostnut mill-Bord Ewropew għall-Protezzjoni tad-Data, jinvoka żewġ aggravji. L-ewwel wieħed huwa intiż sabiex jikkontesta l-interpretazzjoni mogħtija mill-Qorti Ġenerali dwar il-kunċett ta’ “data personali” fis-sens tal-Artikolu 3(1) u (6) tar‑Regolament 2018/1725, kif interpretat mill-ġurisprudenza tal-Qorti tal-Ġustizzja. It-tieni aggravju huwa bbażat fuq il-ksur tal-prinċipju ta’ responsabbiltà stipulat fl-Artikolu 4(2) u fl-Artikolu 26(1) ta’ dan ir-regolament.
A. Fuq l-ewwel aggravju
26.
L-ewwel aggravju huwa maqsum f’żewġ partijiet. L-ewwel parti tikkonċerna l-kundizzjoni li l-informazzjoni kontenzjuża għandha “tkun relatata” ma’ persuna fiżika u t-tieni kundizzjoni li din il-persuna għandha tkun “identifikata jew identifikabbli”.
1.
Fuq l-ewwel aggravju, relatat mal‑kwistjoni dwar jekk l‑informazzjoni “hijiex relatata” ma’ persuna fiżika
a)
L-argumenti tal-partijiet
27.
Il-KEPD, sostnut mill-Bord Ewropew għall-Protezzjoni tad-Data, isostni li l-Qorti Ġenerali wettqet żball inkwantu ddeċidiet li l‑KEPD kien ibbaża ruħu fuq preżunzjoni li tikkonċerna l‑interpretazzjoni tal-kundizzjoni li l-informazzjoni mibgħuta lil Deloitte kienet relatata ma’ persuna fiżika, fis-sens tal-punt 1 tal-Artikolu 3 tar‑Regolament 2018/1725. Fl-opinjoni tiegħu, fiċ-ċirkustanzi ta’ dan il‑każ, ma kienx meħtieġ eżami iktar iddettaljat min-naħa tiegħu.
28.
Is-SRB isostni, min-naħa tiegħu, li kif iddeċidiet il-Qorti Ġenerali, il-KEPD sempliċement indika li l-kummenti kontenzjużi, prodotti mill-persuni li ressqu l-ilmenti waqt il-fażi ta’ konsultazzjoni tal-proċedura relatata mad-dritt għal smigħ, kienu jirriflettu l-opinjonijiet jew il-perspettivi tagħhom filwaqt li huwa kellu jeżamina jekk l-informazzjoni mibgħuta lil Deloitte kinitx marbuta ma’ persuna partikolari minħabba l-kontenut, l-iskop jew l-effett tagħha, kif tirrikjedi s-sentenza Nowak.
b)
Evalwazzjoni
29.
Hemm lok li jitfakkar li l-Qorti tal-Ġustizzja repetutament iddeċidiet li l-użu tal-espressjoni “kwalunkwe informazzjoni” fid‑definizzjoni tal-kunċett ta’ “data personali”, jirrifletti l-għan tal‑leġiżlatur tal-Unjoni li jagħti sens wiesa’ lil dan il-kunċett, li jinkludi potenzjalment kull tip ta’ informazzjoni (
13
), kemm oġġettiva kif ukoll suġġettiva, fil-forma ta’ parir jew ta’ evalwazzjonijiet, bil-kundizzjoni madankollu li din “tirrigwarda” l-persuna inkwistjoni.
30.
F’dan ir-rigward, informazzjoni tikkonċerna persuna fiżika identifikata jew identifikabbli meta, minħabba l-kontenut tagħha, l-iskop tagħha jew l-effett tagħha, l-informazzjoni tkun “marbuta” ma’ persuna partikolari (
14
).
31.
Fir-rigward tal-opinjonijiet jew tal-evalwazzjonijiet, bħall‑kummenti tal-persuni li ressqu l-ilmenti inkwistjoni fil-kawża, jidhirli li huwa rilevanti li ssir distinzjoni sabiex jiġi eżaminat jekk l-imsemmija opinjonijiet jew evalwazzjonijiet humiex “relatati” ma’ persuna jew persuni msemmija fit-test tal-opinjoni jew tal-evalwazzjoni, jew jekk, bħal f’dan il-każ, għandux jiġi stabbilit jekk humiex relatati mal-awtur tagħhom. Fl‑ewwel każ, sabiex jiġi konkluż li teżisti informazzjoni relatata mal‑persuna li hija s-suġġett tal-evalwazzjoni, hemm lok li jiġi analizzat jekk il-kontenut, l-iskop jew l-effett tal-evalwazzjoni jikkonċernawx din il-persuna. Mill-banda l-oħra, fit-tieni każ, sabiex jiġi stabbilit jekk l‑evalwazzjoni hijiex relatata mal-persuna li tkun ħarġitha, jidhirli li jista’ jiġi preżunt li dan huwa l-każ u li opinjoni jew evalwazzjoni hija neċessarjament relatata mal-awtur tagħha.
32.
B’hekk, is-sentenza Nowak kienet tirrigwarda każ fejn essenzjalment ġiet evalwata l-informazzjoni li kienet tinsab f’kopja ta’ eżami. Għalhekk kien hemm żewġ suġġetti tad-data: il-kandidat u l‑eżaminatur. Huwa veru li l-Qorti tal-Ġustizzja eżaminat il-kontenut, l-iskop u l-effett tat-tweġibiet tal-kandidat sabiex minnhom tiddeduċi li kienu jikkonċernawh. Minkejja dan, fir-rigward b’mod iktar partikolari tal-kummenti tal-eżaminatur, li kienu jirriflettu l-opinjoni tiegħu jew l‑evalwazzjoni tiegħu (
15
), minkejja li l-Qorti tal-Ġustizzja eżaminat il‑kontenut, l-iskop u l-effett tal-informazzjoni li kienet tinsab fil-kopja sabiex tikkonkludi li dawn l-evalwazzjonijiet kienu relatati mal-kandidat, hija ma wettqitx tali eżami sabiex tikkunsidra li dawn kienu jikkostitwixxu informazzjoni li tikkonċerna lill-eżaminatur li kien l‑awtur tagħhom (
16
). Fl-opinjoni tiegħi, ma jistax għalhekk jiġi totalment eskluż li tista’ tiġi applikata preżunzjoni (sempliċi) meta ssir evalwazzjoni dwar jekk opinjoni jew evalwazzjoni jew, bħal f’dan il-każ, kumment, humiex “relatati” mal‑awtur tiegħu.
33.
Minn dan nikkonkludi li, fin-nuqqas ta’ prova għall-kuntrarju, il‑kummenti inkwistjoni f’dan il-każ, peress li jirriżultaw minn persuni li ressqu l-ilmenti u li juru l-“loġika u r-raġunament tagħhom”, biex b’hekk jirriflettu l-espressjoni tal‑“opinjoni suġġettiva” tagħhom, kienu neċessarjament “jikkonċernaw” lill-imsemmija persuni li ressqu l-ilmenti, irrispettivament mill-iskop jew mill-effett tal‑kummenti tagħhom.
34.
Fi kwalunkwe każ, anki fl-assenza ta’ tali preżunzjoni f’dan il-każ, jiena tal-opinjoni li l-kummenti inkwistjoni huma “relatati” mal-persuni li ressqu l-ilmenti minħabba l-kontenut, l-iskop u l-effett tagħhom.
35.
F’dan ir-rigward, is-SRB isostni li l-argumenti bbażati fuq l-iskop u fuq il-kuntest tal-kummenti inkwistjoni huma ineffettivi minħabba li ma ġewx eżaminati fid-deċiżjoni kontenzjuża, inammissibbli għaliex jinkludu allegazzjoni fattwali ġdida u, fi kwalunkwe każ, żbaljati.
36.
Dan l-argument ma jikkonvinċinix. Fil-fatt, kemm l-eżami mwettaq mill-KEPD fid-deċiżjoni kontenzjuża kif ukoll l-evalwazzjoni tal-Qorti Ġenerali jaqgħu f’kuntest ġuridiku li ġie kkunsidrat u li jsemmi b’mod ċar l-iskop u l-effett tal-kummenti inkwistjoni, prodotti fil-qafas tal-proċedura relatata mad-dritt għal smigħ. Dawn l-argumenti dwar l-iskop u l-effett tal-kummenti inkwistjoni huma għalhekk effettivi u ammissibbli.
37.
Barra minn hekk, fuq il-mertu, mill-kuntest ġuridiku applikabbli jirriżulta li l-iskop tal-proċedura relatata mad-dritt għal smigħ, li fil‑kuntest tagħha ġew prodotti l-kummenti inkwistjoni, kien sabiex jippermetti lill-azzjonisti u lill-kredituri affettwati jikkontribwixxu għall‑proċedura, b’mod partikolari sabiex is-SRB jkollu għad‑dispożizzjoni tiegħu l-informazzjoni neċessarja kollha sabiex jieħu deċiżjoni finali dwar il-ħtieġa jew le li jingħata kumpens lill-azzjonisti u lill-kredituri, affettwati bir-riżoluzzjoni tal-Banco Popular, bl-applikazzjoni tal-prinċipju li ebda kreditur ma jista’ jiġi ttrattat agħar milli f’każ ta’ stralċ skont proċedura normali ta’ insolvenza (
17
). Barra minn hekk, dawn il-kummenti, la darba ġew meħuda inkunsiderazzjoni mis-SRB, seta’ jkollhom effett fuq l-interessi u fuq id‑drittijiet tal-persuni li ressqu l-ilmenti fir-rigward ta’ kumpens finanzjarju.
38.
Minn dan nikkonkludi li l-kummenti inkwistjoni huma relatati mas-suġġetti tad-data f’dan il-każ, inkluż minħabba l-iskop tagħhom u l-effett tagħhom.
39.
Inżid li, huwa veru, li l-kummenti inkwistjoni, kif ittrasferiti lil Deloitte, kienu ġew “iffiltrati, ikkategorizzati u aggregati”, b’tali mod li, kif jirriżulta mill-fatti stabbiliti mill-Qorti Ġenerali (
18
), il-kummenti individwali ma setgħux jiġu distinti fi ħdan l-istess tema: madankollu, jista’ jiġi ammess li, anki jekk aggregati, dawn il-kummenti kollettivi, jirriflettu, fil-kontenut tagħhom, perspettivi personali li jirrigwardaw il‑valwazzjoni 3. Effettivament, huma jikkostitwixxu ġabra ta’ opinjonijiet li, bħala tali, jikkostitwixxu informazzjoni li hija relatata mal‑persuni li esprimewhom. Il-filtrazzjoni tagħhom, il-kategorizzazzjoni tagħhom u l‑aggregazzjoni tagħhom ma jibdlux din il-konstatazzjoni, inkella jkun biżżejjed, sabiex tiġi skartata l-kundizzjoni ta’ informazzjoni “relatata” ma’ persuna fiżika, li jiġu aggregati diversi perspettivi. Il-fatt li ma tistax issir distinzjoni, fi ħdan din il-ġabra ta’ kummenti, bejn l-opinjonijiet individwali differenti jidhirli li jaqa’ iktar taħt it-tieni kundizzjoni kumulattiva, relatata mal-identifikabbiltà tas-suġġetti tad-data, eżaminata fil-qafas tat-tieni parti ta’ dan l-aggravju, milli minn dik li tirrikjedi li l-kumment ikun “marbut” ma’ persuna fiżika.
40.
F’dawn iċ-ċirkustanzi, jiena tal-opinjoni li l-evalwazzjoni tal‑Qorti Ġenerali tista’ titqies bħala vvizzjata bi żball ta’ liġi f’dan ir-rigward, inkwantu kkunsidrat li l-KEPD ma kienx issodisfa l‑eżami mitlub mis-sentenza Nowak sabiex jiġi konkluż li l-kummenti inkwistjoni kienu “relatati” ma’ persuni fiżiċi, fis-sens tal-punt 1 tal‑Artikolu 3 tar-Regolament 2018/1725.
41.
Jekk il-Qorti tal-Ġustizzja tiddeċiedi li tiċħad din l-ewwel parti u tiddeċiedi li l-kummenti psewdonimizzati inkwistjoni ma kinux relatati mal-awturi tagħhom, l-eżami tat-tieni parti tal-aggravju jsir superfluwu, inkwantu, skont il-punt 1 tal-Artikolu 3 tar‑Regolament 2018/1725, din hija kundizzjoni neċessarja għall‑eżistenza ta’ data personali, kumulattiva ma’ dik tal‑identifikabbiltà tas-suġġetti tad-data, eżaminata iktar ’il quddiem.
2.
Fuq it-tieni parti, relatata mal-kundizzjoni tal-identifikabbiltà tas-suġġetti tad-data
42.
Il-KEPD u l-Bord Ewropew għall-Protezzjoni tad-Data jsostnu, essenzjalment, li l-Qorti Ġenerali wettqet żewġ żbalji, l-ewwel wieħed li jirrigwarda l-kunċett ta’ “psewdonimizzazzjoni” u t-tieni wieħed li jirrigwarda l-interpretazzjoni tas-sentenza Breyer (
19
), li s-SRB u l-Kummissjoni jikkontestaw.
a)
Fuq l-ewwel ilment, ibbażat fuq l-iżball li jirrigwarda l-effetti tal-psewdonimizzazzjoni
43.
Dan l-ilment juri l-eżistenza ta’ żewġ approċċi differenti ferm tal‑portata tal-kamp ta’ applikazzjoni tar-regoli tal-protezzjoni tad-data. Għandha tiġi inkluża awtomatikament id-data psewdonimizzata sempliċement sabiex is-suġġetti tad-data jibqgħu identifikabbli, tkun xi tkun l-aċċessibbiltà għad-data addizzjonali ta’ identifikazzjoni, jew għandu jiġi kkunsidrat li, wara l-proċess ta’ psewdonimizzazzjoni, id-data li tkunx personali ħlief għal persuni li jistgħu raġonevolment jidentifikaw lis-suġġetti tad-data?
1) L-argumenti tal-partijiet
44.
Il-KEPD u l-Bord Ewropew għall-Protezzjoni tad-Data jsostnu essenzjalment li d-data psewdonimizzata tibqa’ data personali minħabba l-unika raġuni li s-suġġetti tad-data jibqgħu identifikabbli peress li l‑informazzjoni li tippermetti li jiġu identifikati tkompli teżisti. L-approċċ tal-Qorti Ġenerali huwa żbaljat inkwantu jippermetti li d-data psewdonimizzata titqies bħala data anonimizzata fir-rigward tar-riċevitur, u dan huwa riskju għall-protezzjoni tas-suġġetti tad-data u jġib miegħu konfużjoni bejn il-psewdonimizzazzjoni u l‑anonimizzazzjoni. Tali approċċ, kuntrarju għat-test u għall-għan tar‑Regolament 2018/1725, jippermetti lill-persuna responsabbli għall-ipproċessar tneħħi b’mod skorrett id-data personali mill-kamp ta’ applikazzjoni tad-dritt tal-Unjoni fil-qasam tal‑protezzjoni ta’ tali data.
45.
Is-SRB u l-Kummissjoni jsostnu, min-naħa tagħhom, li d-data psewdonimizzata tibqa’ data personali għall-persuna responsabbli għall-ipproċessar li psewdonimizzatha iżda li, għar-riċevituri, hemm lok li tiġi eżaminata n‑natura identifikabbli tas-suġġetti tad-data. Barra minn hekk, anki jekk il-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725 ma jispeċifikax min għandu jkun f’pożizzjoni li jidentifika s-suġġett tad-data, fid‑dawl tal-premessa 16 u fil-kuntest tal-Artikolu 15(1)(d) ta’ dan ir-regolament, inkwistjoni hawnhekk, hija l-perspettiva tar-riċevitur li tkun dik importanti. Skont dawn l-artikoli, jekk dan ir-riċevitur ma jirċevix data personali, is-suġġetti tad-data ma għandhomx interess li jiġu infurmati dwar it‑trasferiment ta’ data għaliex id-drittijiet tagħhom ma humiex affettwati.
2) Evalwazzjoni
46.
Qabelxejn, huwa utli li jitfakkar li l-psewdonimizzazzjoni hija pproċessar applikat għad-data personali sabiex, konformement mal-premessa 17 tar‑Regolament 2018/1725, “tnaqqas ir-riskji” ta’ korrelazzjoni ta’ sett ta’ data mal-identità ta’ suġġett tad-data u “tgħin lill-kontrolluri u lill-proċessuri jissodisfaw l-obbligi tagħhom tal-protezzjoni tad-data.”
47.
Il-punt 6 tal-Artikolu 3 tar-Regolament 2018/1725 jiddefinixxi għalhekk il‑psewdonimizzazzjoni bħala “l-ipproċessar ta’ data personali b’tali mod li d-data personali ma tkunx tista’ tibqa’ tiġi attribwita għal suġġett tad‑data speċifiku mingħajr l-użu ta’ informazzjoni addizzjonali, dment li tali informazzjoni addizzjonali tinżamm separatament u tkun soġġetta għal miżuri tekniċi u organizzattivi biex jiġi żgurat li d-data personali ma tiġix attribwita għal persuna fiżika identifikata jew identifikabbli” (
20
).
48.
Il-psewdonimizzazzjoni għalhekk ma hijiex element tad‑definizzjoni ta’ data personali, li hija ddefinita min-naħa tagħha, fil‑punt 1 tal-Artikolu 3 tar-Regolament 2018/1725, fir-rigward tal‑kunċett ta’ “identifikabbiltà” tas-suġġett tad-data. Barra minn hekk, kif il-Kummissjoni indikat fin-nota ta’ intervent tagħha, ir-regolament jiddefinixxi l-kunċett ta’ “psewdonimizzazzjoni”, u jirreferi għall-proċess ta’ implimentazzjoni ta’ miżura ta’ salvagwardja jew miżura teknika u organizzazzjonali, iżda mhux il-kunċett ta’ “data psewdonimizzata”.
49.
Din l-interpretazzjoni hija kkonfermata mill-qari flimkien tal‑punt 6 tal-Artikolu 3 u tal-premessa 16 tal-imsemmi regolament, li l‑ewwel sentenza tagħha tfakkar li “il-prinċipji ta’ protezzjoni tad-data jenħtieġ li japplikaw għal kwalunkwe informazzjoni dwar persuna fiżika identifikata jew identifikabbli.”
50.
Barra minn hekk, il-premessa 16 tar-Regolament 2018/1725 jeħtieġ li tiġi analizzata iktar fid-dettall (
21
). Fil-fatt, it-tieni sentenza tagħha tistipula li “jenħtieġ li d-data personali li tkun għaddiet minn psewdonimizzazzjoni, li tkun tista’ tiġi attribwita lil persuna fiżika bl-użu ta’ informazzjoni addizzjonali, titqies bħala informazzjoni dwar persuna fiżika identifikabbli”. Isegwu sussegwentement it-tielet u r-raba’ sentenza li jispeċifikaw il-kontenut ta’ dan ir-rekwiżit ta’ identifikabbiltà.
51.
Mill-kliem ta’ dawn id-dispożizzjonijiet, jiena niddeduċi li l‑psewdonimizzazzjoni tħalli miftuħa l-possibbiltà li s-suġġetti tad-data ma jkunux identifikabbli, inkella l-formulazzjoni ta’ din il-premessa 16 ma jkollhiex skop. Inżid li l-aħħar sentenzi tal-imsemmija premessa li jikkonċernaw l‑anonimizzazzjoni jikkonfermaw din l-interpretazzjoni: huma jeskludu d-data anonimizzata (jew li saret anonima) mill-kamp ta’ applikazzjoni tar-Regolament 2018/1725 (
22
), iżda ma jeskludux minnha d-data psewdonimizzata ħlief jekk is-suġġetti tad-data ma jkunux identifikabbli. F’każ li jkun impossibbli li l-imsemmija suġġetti jiġu identifikati, dawn għalhekk ikunu legalment meqjusa bħala protetti biżżejjed mill-proċess ta’ psewdonimizzazzjoni, minkejja li d-data addizzjonali ta’ identifikazzjoni ma tkunx tħassret kompletament.
52.
Fi kliem ieħor, ma hijiex kwistjoni li titnaqqas awtomatikament id-data psewdonimizzata mill-kamp ta’ appplikazzjoni ta’ dan ir‑regolament (
23
). Madankollu, fid-dawl tal-premessa 16 ta’ dan tal-aħħar, ma jistax jiġi eskluż li jista’ jiġi evitat li tali data, taħt ċerti kundizzjonijiet, taqa’ taħt il-kunċett ta’ “data personali”.
53.
Kuntrarjament għal dak li jsostni l-KEPD, tali approċċ ma jidhirx li huwa kuntrarju għall-għan li jiġi ggarantit livell għoli ta’ protezzjoni tad-data personali, b’mod partikolari fid-dawl tar-rekwiżiti ta’ identifikabbiltà imposti mid-dispożizzjonijiet applikabbli, minn naħa waħda, u fid-dawl tal-interpretazzjoni tagħhom mill-ġurisprudenza, min-naħa l-oħra.
54.
L-ewwel nett, il-premessa 16 tar‑Regolament 2018/1725 tirreferi għall-identifikabbiltà tal-persuna responsabbli għall-ipproċessar “jew minn kwalunkwe persuna oħra”: dan il-kunċett wiesa’, għalkemm mhux bla limitu (
24
), jaqa’ f’approċċ li jipproteġi d-data personali.
55.
Bl-istess mod, din il-premessa 16 tipprevedi li hemm lok li jiġu kkunsidrati l-mezzi li jistgħu raġonevolment jintużaw sabiex jidentifikaw, direttament jew indirettament, persuna fiżika billi jiġu kkunsidrati l‑fatturi oġġettivi kollha, bħall-ispejjeż tal-identifikazzjoni u l-ammont ta’ żmien meħtieġ għall-identifikazzjoni, filwaqt li jitqiesu t-teknoloġiji disponibbli fil-mument tal-ipproċessar u l-iżviluppi tagħhom, li tikkostitwixxi definizzjoni wiesgħa u li tipproteġi d-data personali.
56.
It-tieni nett, l-interpretazzjoni mill-ġurisprudenza ta’ dan il‑kunċett ta’ “identifikabbiltà”, ibbażat fuq ir-riskju ta’ identifikazzjoni mill-ġdid tas-suġġetti tad-data, tippermetti wkoll applikazzjoni wiesgħa tal‑kunċett ta’ “data personali”. B’hekk, il-Qorti tal-Ġustizzja kklassifikat b’mod sistematiku bħala “data personali”, id-data li, minkejja li sseparata mid-data ta’ identifikazzjoni f’idejn xi ħadd ieħor, setgħet, fil-kuntest inkwistjoni, iġġib magħha riskju li s-suġġetti tad-data jiġu identifikati mill-ġdid (
25
).
57.
Għalhekk, huwa biss jekk ir-riskju huwa ineżistenti jew insinjifikattiv (
26
) li data tista’ legalment tevita li tiġi kklassifikata bħala “data personali”.
58.
L-argumenti tal-KEPD u tal-Bord Ewropew għall-Protezzjoni tad‑Data li jirrigwardaw il-perikoli li jirriżultaw minn interpretazzjoni ristretta wisq ta’ data personali ma jikkonvinċunix. Fil-fatt, il-fatt li r‑regoli li jirriżultaw mir-Regolament 2018/1725 ma japplikawx għad‑data relatata ma’ persuni mhux identifikabbli ma jipprekludix, jekk ikun il-każ, ir-responsabbiltà legali tal-entitajiet li jkunu fl-oriġini ta’ aġir kundannabbli, pereżempju f’każ ta’ żvelar ta’ data li jirriżulta f’dannu. Min-naħa l-oħra, jidhirli sproporzjonat li jiġu imposti fuq entità, li ma tistax b’mod raġonevoli tidentifika s-suġġetti tad-data, obbligi li jirriżultaw mir-Regolament 2018/1725 (
27
), obbligi li din l-entità ma tistax, ipotetikament, tosserva jew li jobbligawha speċifikament li tipprova tidentifika s-suġġetti tad-data.
59.
Fid-dawl ta’ dawn il-kunsiderazzjonijiet, jekk tiġi analizzata t-tilwima fir-rigward tad-data kif ittrasferita lil Deloitte, jiena tal‑opinjoni li, kuntrarjament għal dak li jsostni l-KEPD, għandu jiġi stabbilit jekk l-ipproċessar ta’ psewdonimizzazzjoni tad-data inkwistjoni kienx b’saħħtu biżżejjed sabiex jiġi konkluż li l-persuni li ressqu l-ilmenti, awturi tal‑informazzjoni mibgħuta lil Deloitte, ma kinux raġonevolment identifikabbli. Fi kliem ieħor, f’dan il-kuntest, jekk Deloitte kellha mezzi raġonevoli sabiex tidentifika lill-imsemmija persuni li ressqu l-ilmenti, dan jista’ jitqies bħala pproċessar ta’ data personali.
60.
L-ewwel ilment imqajjem mill-KEPD għandu għalhekk, fl‑opinjoni tiegħi, jiġi miċħud.
b)
Fuq it-tieni ilment, ibbażat fuq l-iżball fil-paragun magħmul mas-sentenza Breyer
1) L-argumenti tal-partijiet
61.
Skont il-KEPD, sostnut mill-Bord Ewropew għall-Protezzjoni tad‑Data, id-data psewdonimizzata inkwistjoni hija data personali għas‑SRB u, għalhekk, l-obbligu ta’ informazzjoni fir-rigward tas-suġġetti tad-data, li tirrigwarda ir-riċevitur, kien impost fuq is‑SRB. Huwa jsostni, essenzjalment, li l-Qorti Ġenerali interpretat b’mod żbaljat is-sentenza Breyer li kienet tirrigwarda sitwazzjoni fattwali differenti.
62.
Skont is-SRB, sostnuta mill-Kummissjoni, mill-banda l-oħra, il‑paragun mas-sentenza Breyer huwa rilevanti u jwassal sabiex jiġi deċiż li l-obbligu ta’ informazzjoni japplika biss jekk id-data ttrasferita hija data personali mill-perspettiva tar-riċevitur, hawnhekk Deloitte, u dan, kif iddeċidiet b’mod korrett il-Qorti Ġenerali, ma ġiex ipprovat f’dan il‑każ.
2) Evalwazzjoni
63.
Jiena tal-opinjoni li, l-obbligu ta’ informazzjoni, previst mill‑Artikolu 15(1)(d) tar-Regolament 2018/1725, u l-paralleliżmu mas‑sentenza Breyer iwasslu, f’dan il-każ, għal soluzzjoni differenti minn dik tal-Qorti Ġenerali, kif ser nuri fil-qafas tal-analiżi ta’ dan l‑ilment.
64.
L-Artikolu 4(1)(a) tar-Regolament 2018/1725 jirrikjedi pproċessar ta’ data b’mod legali, ġust u trasparenti fir-rigward tas-suġġett tad-data.
65.
B’mod partikolari, l-Artikolu 15(1)(d) ta’ dan ir-regolament jipprovdi li, meta data personali relatata ma’ suġġett tad-data tinġabar mingħand dan is-suġġett, il-persuna responsabbli għall-ipproċessar għandha tinforma lis-suġġetti tad-data, “fil-ħin li tinkiseb id-data personali”, bir-riċevituri eventwali ta’ din id-data. B’hekk jidher li din l-informazzjoni għandha tingħata mill-persuna responsabbli għall-ipproċessar immedjatament, jiġifieri fil-mument tal-ġbir tad‑data (
28
).
66.
L-importanza tal-osservanza ta’ tali obbligu ta’ informazzjoni hija kkonfermata wkoll fil-premessa 35 tar-Regolament 2018/1725, li tistipula li l-prinċipju ta’ pproċessar ġust u trasparenti jirrikjedi li s-suġġett tad-data jkun informat bl-eżistenza tal-attività tal‑ipproċessar u l-finijiet tagħha, filwaqt li huwa enfasizzat li l-persuna responsabbli għall-ipproċessar għandha tipprovdi kwalunkwe informazzjoni ulterjuri li tkun meħtieġa biex jiġi żgurat ipproċessar ġust u trasparenti, filwaqt li jitqiesu ċ‑ċirkustanzi speċifiċi u l-kuntest li fih tiġi pproċessata d-data personali (
29
).
67.
Tali obbligu ta’ informazzjoni huwa iktar u iktar importanti peress li l-validità tal-kunsens mogħti mis-suġġett tad-data tiddependi, fost l-oħrajn, minn jekk din il-persuna kinitx kisbet, minn qabel, l‑informazzjoni li għaliha kellha dritt fid-dawl taċ-ċirkustanzi kollha tal‑ipproċessar tad-data inkwistjoni, skont l-Artikoli 14 u 15 tar‑Regolament 2018/1725, u li tippermettilha tagħti kunsens b’għarfien sħiħ tal-kwistjoni (
30
).
68.
Inżid li l-unika eċċezzjoni għal dan l-obbligu ta’ informazzjoni, prevista fl-Artikolu 15(4) tar-Regolament 2018/1725, tirrigwarda l-ipoteżi li fiha s-suġġett tad-data diġà jkollu l-informazzjoni inkwistjoni.
69.
F’dan il-każ, jiena niddeduċi li, dan l-obbligu ta’ informazzjoni jaqa’ fil-qafas tar-relazzjoni legali li teżisti bejn is-suġġetti tad-data, hawnhekk il-persuni li ressqu l-ilmenti, minn naħa waħda, u s-SRB bħala persuna responsabbli għall-ipproċessar, min‑naħa l-oħra, u mhux fil-qafas tar-relazzjoni bejn is-SRB u r-riċevitur, jiġifieri Deloitte. L-obbligu ta’ informazzjoni għandu għalhekk bħala suġġett id-data bħal dik miżmuma mis-SRB qabel it-trasferiment lil Deloitte. Issa, ma huwiex ikkontestat li din hija data personali, peress li s-SRB iżomm il-kummenti u l-bażi ta’ identifikazzjoni tal-persuni li għamluhom.
70.
Tali approċċ tal-“perspettiva rilevanti” (
31
) iwassalni għalhekk għal soluzzjoni differenti minn dik tal-Qorti Ġenerali, anki jekk isir il-paragun mas-sentenza Breyer.
71.
Infakkar li, fil-kawża li minnha oriġinat it-talba għad-deċiżjoni preliminari magħmula f’din is-sentenza, P. Breyer ried jipprojbixxi lill‑persuna responsabbli għall-ipproċessar (ir-Repubblika Federali tal-Ġermanja) milli żżomm l‑indirizz IP dinamiku tiegħu. L-informazzjoni addizzjonali li kienet tippermetti l-identifikazzjoni tiegħu permezz tal-indirizz IP marbut mal‑kompjuter tiegħu ma kinitx f’idejn il-persuna responsabbli għall-ipproċessar, iżda f’idejn il‑fornitur tal-aċċess għall-internet. Il-kwistjoni kienet għalhekk jekk l‑indirizz IP dinamiku miżmum mill-persuna responsabbli għall-ipproċessar setax jiġi kklassifikat bħala “data personali” u, għaldaqstant, fil-qafas tar-relazzjoni legali bejn P. Breyer u l-imsemmija persuna responsabbli għall-ipproċessar, jiskattaw obbligi f’termini ta’ żamma fuq dan tal-aħħar, minkejja li l-elementi ta’ identifikazzjoni ta’ P. Breyer kienu f’idejn persuna oħra u mhux f’idejn il-persuna responsabbli għall-ipproċessar. Essenzjalment, ġie deċiż li l-persuna responsabbli għall-ipproċessar, minkejja li ma kellhiex l-informazzjoni addizzjonali ta’ identifikazzjoni, setgħet b’mod raġonevoli jkollha aċċess għaliha u l-indirizz IP dinamiku għalhekk ġie kklassifikat bħala “data personali”.
72.
F’dan il-każ, kif imfakkar preċedentement (
32
), l-obbligu ta’ informazzjoni jaqa’ fil-kuntest tar-relazzjoni bejn is-suġġetti tad-data (il-persuni li ressqu l-ilmenti) u l-persuna responsabbli għall-ipproċessar (is-SRB): huwa meta d-data inkwistjoni tinġabar mis-SRB u, f’dak li jirrigwarda b’mod partikolari l‑informazzjoni dwar ir-riċevitur, mhux iktar tard minn meta jkun magħruf, li jidħol l-obbligu ta’ informazzjoni. Meta jseħħ dan il-mument, id-data inkwistjoni hija data personali f’idejn is-SRB, li jżomm data addizzjonali ta’ identifikazzjoni. Fid-dawl tal-obbligu ta’ informazzjoni inkwistjoni u fid-dawl tal-mument li fih jidħol fis-seħħ, id-data inkwistjoni kienet tikkostitwixxi għalhekk data personali, irrispettivament minn jekk kinitx identifikabbli minn Deloitte, li ma hijiex involuta la fir-relazzjoni legali bejn il-persuni li ressqu l-ilmenti u s-SRB, l-unika waħda rilevanti, u lanqas b’dan l-obbligu ta’ informazzjoni li jaqa’ fuq is-SRB.
73.
Huwa għalhekk li l-paralleliżmu mas-sentenza Breyer jidhirli li għandu jitqiegħed f’perspettiva f’dan il-każ.
74.
Minn dan isegwi li l-obbligu ta’ informazzjoni kien jaqa’ fuq is‑SRB bħala l-persuna responsabbli għall-ipproċessar u minħabba r-relazzjoni tiegħu mal-persuni li ressqu l-ilmenti, li mingħandhom huwa ġabar id-data inkwistjoni, u dan irrispettivament min-natura personali jew le tad-data kif ittrasferita f’idejn Deloitte.
75.
L-argument tas-SRB, repetut waqt is-seduta, li l-perspettiva tar‑riċevitur hija rilevanti għaliex għandu jiġi vverifikat jekk huwiex “riċevitur ta’ data personali” jew le, għandu, f’din il-loġika, jiġi miċħud.
76.
F’dan ir-rigward, huwa veru li t-test tal-Artikolu 15(1)(d) tar‑Regolament 2018/1725 li jsemmi lir-“riċevituri […] tad-data personali”, jista’ jagħti lok għal konfużjoni. Madankollu, l-effett utili ta’ din id-dispożizzjoni jimponi li l-informazzjoni tintbagħat lis-suġġetti tad-data kemm jista’ jkun malajr u qabel l-imsemmi trasferiment ta’ data (
33
). F’dan il-każ, anki jekk is-SRB ma kellux, waqt il-ġbir inizjali tal‑kummenti, l-intenzjoni li jitlob il-parir ta’ Deloitte dwar jekk dawn il‑kummenti kinux jibdlu l-valwazzjoni 3, mid-deċiżjoni kontenzjuża quddiem il-Qorti Ġenerali jirriżulta li Deloitte assistiet lis-SRB fil-qafas tal-proċedura tad-dritt għal smigħ (
34
). Barra minn hekk, l-intenzjoni tas‑SRB li jikkomunika d-data psewdonimizzata lil Deloitte tista’ titqies bħala li eżistiet mhux wara l-mument li fih huwa ddeċieda li jipproċessa l-kummenti inkwistjoni sabiex speċifikament jippsewdonimizzahom (
35
), mingħajr ebda ġustifikazzjoni għall‑psewdonimizzazzjoni.
77.
Jiena għalhekk tal-opinjoni li l-fatt li tiġi kkontrollata l-osservanza tal‑obbligu ta’ informazzjoni fil-mument li fih id-data ġiet ittrasferita mis-SRB lil Deloitte, billi tiġi adottata l-perspettiva ta’ riċevitur sabiex id-data inkwistjoni tiġi kklassifikata bħala personali jew le, iwassal sabiex dan il-kontroll jieħu iktar fit-tul. Dan il-kontroll ikun, b’konsegwenza, pospost b’mod żbaljat peress li jsir fuq id-data diġà mibgħuta lir-riċevitur, minkejja li s-suġġett tal-obbligu ta’ informazzjoni jirrigwarda r-relazzjoni bejn is-SRB u l-persuni li ressqu l-ilmenti u huwa intiż sabiex jippermetti l-kunsens informat ta’ dawn tal-aħħar qabel it-trasferiment.
78.
Barra minn hekk, fir-rigward tal-kunsens tal-persuni li ressqu l-ilmenti, il‑parteċipazzjoni tagħhom fil-proċedura ta’ dritt għal smigħ tista’ ċertament tiġi interpretata bħala kunsens impliċitu li tinqasam data personali mal-persuna responsabbli għall-ipproċessar sabiex il-kummenti tagħhom jittieħdu inkunsiderazzjoni. Madankollu, fl-opinjoni tiegħi, dan ma jistax ikun biżżejjed sabiex jikkostitwixxi kunsens informat fid-dawl tal‑psewdonimizzazzjoni tad-data u tat-trasferiment tagħha lil Deloitte mingħajr informazzjoni minn qabel f’dan ir-rigward min-naħa tas‑SRB (
36
).
79.
Minn dan jirriżulta li, fl-opinjoni tiegħi, l-obbligu ta’ informazzjoni fuq is-SRB kien japplika f’dan il-każ qabel it-trasferiment tad-data inkwistjoni u irrispettivament min-natura personali jew le tad‑data f’idejn Deloitte.
80.
Għalhekk, il-fatt li l-psewdonimizzazzjoni jkunx b’saħħtu u effikaċi biżżejjed jew le, b’tali mod li jista’ jitqies li d-data f’idejn Deloitte tikkostitwixxi data personali jew le, ma jidhirlix li finalment huwa effettiv fir-rigward tal-obbligu ta’ informazzjoni fuq is‑SRB.
81.
Konsegwentament, l-obbligu ta’ informazzjoni li jaqa’ fuq is-SRB bħala persuna responsabbli għall-ipproċessar għandu jiġi osservat f’dan il-każ u s-sentenza appellata għandha, għal din ir-raġuni, tiġi annullata minħabba żball ta’ liġi.
82.
Peress li l-perspettiva tar-riċevitur tad-data inkwistjoni ma hijiex rilevanti fir-rigward tal-obbligu ta’ informazzjoni previst mill‑Artikolu 15(1)(d) tar-Regolament 2018/1725, l-argumenti tal‑partijiet li jirrigwardaw il-possibbiltà għal Deloitte li tidentifika, permezz ta’ mezzi legali u konkreti fil-prattika, is-suġġetti tal-kawża, jirriżultaw li huma ineffettivi u għalhekk ma hemmx lok li jiġu eżaminati.
83.
Minkejja li l-Qorti tal-Ġustizzja ma kinitx ta’ din l-opinjoni, nirrileva b’mod sussidjarju li l-KEPD jikkontesta, f’dan ir-rigward, il‑konstatazzjoni tal-Qorti Ġenerali li Deloitte ma għandhiex aċċess għad‑data ta’ identifikazzjoni. Huwa jibbaża ruħha b’mod partikolari fuq ir-relazzjoni kuntrattwali ta’ subappalt li teżisti bejn is-SRB u Deloitte. Is-SRB u l-Kummissjoni jsostnu li, b’dan il-mod, il-KEPD iqajjem allegazzjonijiet fattwali ġodda li huma inammissibbli fl-istadju tal-appell. Din hija l-opinjoni tiegħi. Fil-fatt, l-eżistenza ta’ relazzjoni kuntrattwali bejn is-SRB u Deloitte, li turi l-possibbiltà għal Deloitte li titlob lis-SRB l‑identifikazzjoni tal-persuni li ressqu l-ilmenti, tikkostitwixxi argument ġdid, li fuqu l‑Qorti Ġenerali, barra minn hekk, qatt ma ddeċidiet. Minn dan isegwi li dan l-argument għandu, jekk ikun il-każ, jiġi miċħud bħala inammissibbli skont it-tieni sentenza tal-Artikolu 170(1) tar-Regoli tal-Proċedura tal‑Qorti tal-Ġustizzja li l-appell ma jistax ibiddel is-suġġett tat-tilwima quddiem il-Qorti Ġenerali (
37
).
B. Fuq it-tieni aggravju, eżaminat sussidjarjament
84.
Permezz tat-tieni aggravju tiegħu, ibbażat fuq il-ksur tal-prinċipju ta’ responsabbiltà stabbilit fl-Artikolu 4(2) u fl-Artikolu 26(1) tar‑Regolament 2018/1725, il-KEPD, sostnut mill-Bord Ewropew għall‑Protezzjoni tad-Data, isostni li l-Qorti Ġenerali ddeċidiet b’mod żbaljat li huwa kellu juri li l-informazzjoni mibgħuta lil Deloitte kienet tikkostitwixxi data personali, bi ksur tal-prinċipju ta’ responsabbiltà tas‑SRB.
85.
Fid-dawl tal-kunsiderazzjonijiet preċedenti u b’mod partikolari tal-punti 81 u 82 hawn fuq, inqis li ma hemmx lok li jiġi eżaminat dan it‑tieni aggravju.
86.
Għalhekk ser insemmih biss fil-qosor, sussidjarjament.
87.
Fuq l-ammissibbiltà, ikkontestata mis-SRB, ta’ dan l-aggravju mhux imqajjem quddiem il-Qorti Ġenerali, infakkar li rikorrent jista’ jippreżenta appell billi jinvoka aggravji li jirriżultaw mis-sentenza appellata nnifisha u li jkunu intiżi li jikkritikaw, fid-dritt, il-fondatezza tagħha (
38
). Jidhirli li dan huwa l-każ ta’ dan l-aggravju, li għalhekk huwa ammissibbli.
88.
Dwar il-mertu, għandu jitfakkar li l-Qorti Ġenerali ddeċidiet li, fin-nuqqas li l-KEPD li jsaqsi jekk Deloitte kellhiex mezzi legali u konkreti fil-prattika li jippermettulha li jkollha aċċess għall‑informazzjoni addizzjonali neċessarja għall-identifikazzjoni mill-ġdid tal-persuni li ressqu l-ilmenti, il-KEPD seta’ jikkonkludi biss li l-informazzjoni mibgħuta lil Deloitte kienet tikkostitwixxi informazzjoni li tirrelata ma’ “persuna fiżika identifikabbli” fis-sens tal-punt 1 tal-Artikolu 3 tar‑Regolament 2018/1725.
89.
Il-KEPD, sostnut mill-Bord Ewropew għall-Protezzjoni tad-Data, isostni, essenzjalment, li l-Qorti Ġenerali kellha tivverifika jekk is-SRB, responsabbli għall-ipproċessar, kienx ipprova li huwa kien anonimizza d-data kontenzjuża fir‑rigward ta’ Deloitte.
90.
Is-SRB jikkontesta dan l-argument billi jsostni li l-prinċipju ta’ responsabbiltà japplika biss fil-preżenza ta’ data personali u li, f’dan il‑każ, id-data f’idejn Deloitte kienet ġiet anonimizzata.
91.
Min-naħa tagħha, il-Kummissjoni, issostni, fl-ewwel lok, li l‑KEPD għandu oneru tal-prova raġonevoli sabiex jipprova, abbażi ta’ provi disponibbli, l-eżistenza ta’ data personali. Fit-tieni lok, hija l-persuna responsabbli għall-ipproċessar li għandha tikkonfuta din il-konklużjoni billi tippreżenta elementi addizzjonali.
92.
Infakkar li, skont l-Artikolu 4(1)(a) tar-Regolament 2018/1725, id-data personali għandha tiġi pproċessata legalment, ġustament u b’mod trasparenti fid-dawl tas-suġġett tad-data. L-Artikolu 4(2) ta’ dan ir-regolament jistipula li “[i]l-kontrollur għandu jkun responsabbli għall‑konformità mal-paragrafu 1 u jkun kapaċi juriha”. Għalhekk mill‑prinċipju ta’ responsabbiltà, stipulat fl-Artikolu 4(2) u spjegat fl‑Artikolu 26(1) tal-imsemmi regolament jirriżulta li l-persuna responsabbli għall-ipproċessar għandha tkun f’pożizzjoni li turi li tosserva l-prinċipji relatati mal‑ipproċessar tad-data personali stipulati fil-paragrafu 1 tal-Artikolu 4 (
39
).
93.
Sa fejn il-persuna responsabbli għall-ipproċessar tipproduċi provi suffiċjenti f’dan is-sens, tista’ titqies bħala li ssodisfat l-oneru tal-prova li għandha (
40
).
94.
F’dan il-każ, jidhirli li s-SRB invoka diversi elementi fattwali (b’mod partikolari l-proċessi ta’ filtrazzjoni, ta’ kategorizzazzjoni, ta’ aggregazzjoni ta’ kummenti, deskritti fid-deċiżjoni kontenzjuża u fis-sentenza appellata) sabiex jipprova, konformement mal-prinċipju ta’ responsabbiltà li huwa għandu, li l-identifikazzjoni minn Deloitte tas-suġġetti tad-data kienet impossibbli.
95.
Quddiem il-Qorti Ġenerali, il-KEPD oppona, f’dan ir-rigward, pożizzjoni ta’ prinċipju li tikkonsisti f’li tittieħed il-perspettiva tas-SRB u mhux ta’ Deloitte u, b’hekk, li jiġu kklassifikati bħala “data personali” l‑kummenti mibgħuta lil Deloitte.
96.
Jekk jiġi aċċettat, għall-finijiet tal-eżami sussidjarju ta’ dan l‑aggravju, li l-perspettiva ta’ Deloitte kienet rilevanti f’dan il-każ (
41
), jista’ jitqies, kif iddeċidiet il-Qorti Ġenerali, li kien il-KEPD li kellu juri (
42
) għal liema raġuni, legali jew teknika, il-proċess ta’ psewdonimizzazzjoni implimentat mis-SRB f’dan il-każ ma kienx suffiċjenti u kellu jwassal sabiex jiġi kkunsidrat li Deloitte pproċessat data personali.
97.
Għalhekk jiena tal-opinjoni li, f’dan il-każ, hemm lok li s-sentenza appellata tiġi kkonfermata fir-rigward ta’ dan it-tieni aggravju.
VII. Fuq ir-rikors quddiem il-Qorti Ġenerali
98.
Skont l-ewwel sentenza tal-Artikolu 61 tal-Istatut tal-Qorti tal‑Ġustizzja tal-Unjoni Ewropea, meta l-appell huwa fondat, il-Qorti tal‑Ġustizzja tannulla d-deċiżjoni tal-Qorti Ġenerali. Hija għalhekk tista’ jew tiddeċiedi definittivament il-kawża hija stess, meta din tkun fi stat li tiġi deċiża, jew tibgħat lura l-kawża quddiem il-Qorti Ġenerali biex din tiddeċidiha.
99.
L-ewwel motiv imqajjem mis-SRB kontra d-deċiżjoni kontenzjuża quddiem il-Qorti Ġenerali huwa bbażat fuq ksur tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725. Mill-punti 63 sa 82 ta’ dawn il-konklużjonijiet jirriżulta li, peress li s-SRB naqas milli jwettaq l-obbligu ta’ informazzjoni tiegħu taħt l-Artikolu 15(1)(d) tar-Regolament 2018/1725, id-deċiżjoni kontenzjuża għandha, fl-opinjoni tiegħi, tiġi kkonfermata.
100.
Min-naħa l-oħra, it-tieni motiv, ibbażat fuq il-ksur mill-KEPD tad‑dritt għal amministrazzjoni tajba fil-qafas tal-proċedura li wasslet għall-adozzjoni tad-deċiżjoni kontenzjuża, ma jidhirlix li huwa fi stat li jiġi deċiż.
101.
Fil-fatt, is-SRB isostni b’mod partikolari li, fil-qafas tal-proċedura amministrattiva qabel l-adozzjoni tad-deċiżjoni kontenzjuża, il-KEPD kiser id-dritt tiegħu ta’ aċċess għal fajl, id-dritt għal smigħ tiegħu, u l‑prinċipju ta’ opportunitajiet ugwali għall-partijiet, billi ġie rrifjutat lilu l-aċċess għall-fajl, minn naħa waħda, u billi ma ġewx ikkomunikati lilu l‑osservazzjonijiet tal-persuni li ressqu l-ilmenti jew il-kontenut tagħhom, min-naħa l‑oħra.
102.
Issa, il-Qorti Ġenerali kkunsidrat li, peress li l-ewwel motiv tar‑rikors ġie milqugħ, ma kienx hemm lok sabiex jiġi eżaminat it-tieni motiv imqajjem quddiemha. Konsegwentament, dan il-motiv, li jinvolvi b’mod partikolari evalwazzjonijiet fattwali, ma huwiex fi stat li jiġi deċiż. Għalhekk jidhirli li l-kawża għandha tintbagħat lura quddiem il-Qorti Ġenerali sabiex hija tiddeċiedi f’dan ir-rigward, u l-ispejjeż jibqgħu rriżervati.
VIII. Konklużjoni
103.
Fid-dawl tal-kunsiderazzjonijiet preċedenti, nipproponi li l-Qorti tal-Ġustizzja tiddeċiedi bil-mod segwenti:
–
tannulla s-sentenza tal-Qorti Ġenerali tal-Unjoni Ewropea tas‑26 ta’ April 2023, SRB vs KEPD (T‑557/20, EU:T:2023:219);
–
tibgħat lura l-kawża quddiem il-Qorti Ġenerali sabiex tiddeċiedi fuq it-tieni motiv imqajjem quddiemha;
–
tirriżerva l-ispejjeż.
(
1
)	Lingwa oriġinali: il‑Franċiż.
(
2
)	Regolament tat‑23 ta’ Ottubru 2018 dwar il-protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali mill-istituzzjonijiet, korpi, uffiċċji u aġenziji tal-Unjoni u dwar il‑moviment liberu ta’ tali data, u li jħassar ir-Regolament (KE) Nru 45/2001 u d‑Deċiżjoni Nru 1247/2002/KE (ĠU 2018, L 295, p. 39).
(
3
)	ĠU 2014, L 225, p. 1.
(
4
)	Deċiżjoni tal-Kummissjoni (UE) 2017/1246 tas‑7 ta’ Ġunju 2017 li tapprova l‑iskema ta’ riżoluzzjoni għall-Banco Popular Español SA (ĠU 2017, L 178, p. 15, rettifika fil-ĠU 2017, L 320, p. 31.
(
5
)	L-Artikolu 20(1) tar-Regolament Nru 806/2014 jistipula li din il-persuna hija “indipendenti minn kwalunkwe awtorità pubblika, inkluż il-Bord u l-awtorità nazzjonali ta’ riżoluzzjoni, u mill-entità konċernata”. L-Artikolu 20(16) ta’ dan ir-regolament jirreferi għall-Artikolu 20(1) f’dak li jirrigwarda dan il-kunċett ta’ “persuna indipendenti”.
(
6
)	Dan kien identifikatur uniku universali b’33 ċifra, iġġenerat b’mod każwali.
(
7
)	Mid-deċiżjoni tal-KEPD kontenzjuża jirriżulta li Deloitte assistiet lis-SRB bħala persuna indipendenti fil-proċess deċiżjonali tiegħu. Minn din id-deċiżjoni jirriżulta wkoll li, fit‑18 ta’ Marzu 2020, is-SRB iddeċieda li l‑ebda kumpens ma kien dovut lill-azzjonisti u lill-kredituri affettwati u indika li din id‑deċiżjoni kienet ibbażata fuq l-evalwazzjoni wara r-riżoluzzjoni magħmula minn Deloitte kif ukoll fuq l-analiżi tal-kummenti riċevuti fil-qafas tal-proċedura tad-dritt għal smigħ.
(
8
)	It-tieni kap ta’ talbiet kien intiż sabiex id-deċiżjoni inizjali tiġi ddikjarata illegali. Permezz tas-sentenza appellata, il-Qorti Ġenerali ċaħdet dan it-tieni kap ta’ talbiet minħabba nuqqas ta’ ġurisdizzjoni, peress li s-SRB ried, b’dan il-mod, jikseb sentenza dikjaratorja u mhux l-annullament ta’ att.
(
9
)	Ara l-punti 64, 73 u 74 tas-sentenza appellata.
(
10
)	Sentenza tal‑20 ta’ Diċembru 2017 (C‑434/16, iktar ’il quddiem is‑sentenza Nowak, EU:C:2017:994). F’dawn il-konklużjonijiet, ser jiġu ċċitati, b’analoġija, is‑sentenzi li japplikaw id-Direttiva 95/46/KE tal-Parlament Ewropew u tal-Kunsill tal‑24 ta’ Ottubru 1995 dwar il-protezzjoni ta’ individwi fir-rigward ta’ l-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ dik id-data (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 13, Vol. 15, p. 355) u r-Regolament (UE) 2016/679 tal‑Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal‑persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il‑Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, iktar ’il quddiem il-“GDPR”). Fil‑fatt, hekk kif jirriżulta mill-premessi 4 u 5 tar-Regolament 2018/1725 kif ukoll mill‑Artikolu 2(3) u mill-Artikolu 98 tal-GDPR, il-leġiżlatur tal-Unjoni ried jistabbilixxi sistema ta’ protezzjoni tad-data personali mill-istituzzjonijiet, mill-korpi u mill-organi tal-Unjoni li hija ekwivalenti għal dik tal-GDPR sabiex tiġi żgurata protezzjoni uniformi u koerenti tal-persuni fiżiċi fir-rigward tal-ipproċessar tad-data personali tagħhom fi ħdan l-Unjoni (ara s-sentenza tas‑7 ta’ Marzu 2024, OC vs Il‑Kummissjoni, C‑479/22 P, EU:C:2024:215, punt 43).
(
11
)	Ara l-punti 100, 103 u 105 tas-sentenza appellata.
(
12
)	C‑413/23 P, EU:C:2023:1036.
(
13
)	Ara b’mod partikolari l-lista, mhux eżawrjenti, fil-punt 36 tal-konklużjonijiet tal‑Avukat Ġenerali Pitruzzella fil-kawża Österreichische Datenschutzbehörde u CRIF (C‑487/21, EU:C:2022:1000).
(
14
)	Ara s-sentenza Nowak, punti 34 u 35. Ara, barra minn hekk, is-sentenzi tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF (C‑487/21, EU:C:2023:369, punti 23 u 24); tat‑22 ta’ Ġunju 2023, Pankki S (C‑579/21, EU:C:2023:501, punti 42 u 43); tas‑7 ta’ Marzu 2024, OC vs Il‑Kummissjoni (C‑479/22 P, EU:C:2024:215, punt 45), u tas‑7 ta’ Marzu 2024, IAB Europe (C‑604/22, EU:C:2024:214, punti 36 u 37).
(
15
)	Sentenza Nowak, punt 43.
(
16
)	Sentenza Nowak, punt 44 in fine.
(
17
)	Ara f’dan is-sens il-punti 5 sa 7 tas-sentenza appellata u l-punt 9 ta’ dawn il‑konklużjonijiet.
(
18
)	Ara l-punt 23 tas-sentenza appellata.
(
19
)	Sentenza tad‑19 ta’ Ottubru 2016, Breyer (C‑582/14, iktar ’il quddiem is-sentenza Breyer, EU:C:2016:779).
(
20
)	Ara wkoll f’dan ir-rigward l-opinjoni relatata mal-kunċett ta’ data personali (grupp ta’ xogħol “Artikolu 29”, Opinjoni 4/2007, 20 ta’ Ġunju 2007, WP 136) u dik li tindirizza espressament it-tekniki ta’ anonimizzazzjoni u psewdonimizzazzjoni (grupp ta’ xogħol “Artikolu 29”, Opinjoni 05/2014, 10 ta’ April 2014, WP 216). Dan il-proċess ta’ psewdonimizzazzjoni huwa għalhekk partikolarment importanti fil-kuntest tar‑riċerka u tal-istatistika.
(
21
)	Minkejja li ma għandhomx valur legali vinkolanti u ma jistgħux ikunu l-bażi ta’ interpretazzjoni li tmur kontra l-għanijiet li għandhom jintlaħqu mir‑Regolament 2018/1725, il-Qorti tal-Ġustizzja spiss ispirat ruħha minn premessi sabiex tinterpreta d-dispożizzjonijiet ta’ att ġuridiku tal-Unjoni (ara, b’mod partikolari, il-konklużjonijiet tal-Avukat Ġenerali Szpunar fil-kawża Planet49, C‑673/17, EU:C:2019:246, punt 71, u tal-Avukata Ġenerali Kokott fil-kawża Il‑Kummissjoni vs CK Telecoms UK Investments, C‑376/20 P, EU:C:2022:817).
(
22
)	Qabelxejn, fuq il-livell strettament tekniku, l-anonimizzazzjoni ma teskludix il‑possibbiltajiet ta’ identifikazzjoni mill-ġdid, u għalhekk il-persuni responsabbli għall-ipproċessar li jimplimentaw tekniki ta’ anonimizzazzjoni għandhom janalizzaw b’mod regolari r-riskju involut ta’ identifikazzjoni mill-ġdid billi jevalwaw il-gravità u l-probabbiltà ta’ dan ir-riskju każ b’każ (ara, f’dan ir-rigward, Tambou O., Manuel de droit européen de la protection des données à caractère personnel, Bruylant, 2020, punt 68 u r-riferimenti ċċitati f’dan ir-rigward, b’mod partikolari fin-nota ta’ qiegħ il-paġna Nru 162).
(
23
)	Minkejja li l-intenzjoni inizjali tal-introduzzjoni tal-kunċett ta’ psewdonimizzazzjoni fil-GDPR kienet li tingħata flessibbiltà sabiex jittaffew l-obbligi fil-qasam tal‑protezzjoni tad-data (ara f’dan ir-rigward Kuner, C., Bygave, L. A., Docksey, C., “Background and Evolution of the EU General Data Protection Regulation (GDPR)”, f’Kuner, C., Bygrave, L. A., Docksey, C., u Drechsler, L. (edizzjonijiet), The EU General Data Protection Regulation (GDPR). A Commentary, Oxford University Press, Oxford, 2020, p. 1 sa 47), din l-intenzjoni ma ġietx segwita mill-Kunsill fil-premessa 26 tar‑GDPR, li r-redazzjoni tagħha ġiet irrepetuta fil-premessa 16 tar‑Regolament 2018/1725.
(
24
)	Kif indika l-Avukat Ġenerali Campos Sánchez-Bordona fil-punti 64 sa 67 tal‑konklużjonijiet tiegħu fil-kawża Breyer (C‑582/14, EU:C:2016:339), “[q]att ma jista’ jiġi eskluż b’ċertezza assoluta, li ma jkunx hemm terz li jkollu data addizzjonali li tista’ tiġi kkombinata ma’ dik l-informazzjoni u, konsegwentement, li tista’ tikxef l-identità ta’ persuna. […] Nemmen, madankollu, li dan it-tħassib – li huwa leġittimu ħafna – ma jistax iwassal sabiex jiġu injorati t-termini tar-rieda tal‑leġiżlatur u li l-interpretazzjoni sistematika tal-premessa [16 tar‑Regolament 2018/1725] qed titnaqqas għall-‘mezzi li raġonevolment aktax jintużaw’minn ċerti terzi”.
(
25
)	Pereżempju, fis-sentenza Breyer, indirizz IP dinamiku f’idejn fornitur ta’ servizzi ta’ media online, minkejja li sseparat minn data ta’ identifikazzjoni miżmuma mill‑fornitur tal-aċċess għall-internet, huwa kklassifikat bħala “data personali”, peress li l-fornitur ta’ servizzi ta’ media online kellu mezzi li jistgħu raġonevolment jiġu implimentati sabiex jiġi identifikat is-suġġett tad-data minn dan l-indirizz IP. Bl-istess mod, is-sentenza tad‑9 ta’ Novembru 2023, Gesamtverband Autoteile‑Handel (Aċċess għall-informazzjoni dwar il-vetturi) (C‑319/22, EU:C:2023:837), kienet tinvolvi l-VIN ta’ vettura, iddefinit bħala l-kodiċi alfanumeriku mogħti lil vettura mill-manifattur sabiex tiġi żgurata l-identifikazzjoni xierqa ta’ kull vettura. Għalkemm fih innifsu ma huwiex ta’ natura personali, dan il‑VIN jikseb din in-natura fir-rigward ta’ kull min raġonevolment ikollu mezzi li jippermettu li jassoċjah ma’ persuna speċifika (punt 46) u b’hekk jorbtu ma’ persuna fiżika identifikata jew identifikabbli (punt 49). Bl-istess mod, stqarrija għall-istampa tal-Uffiċċju Ewropew ta’ Kontra l-Frodi (OLAF), li jkun fiha identifikaturi li jippermettu li tiġi identifikata r-rikorrenti, jew abbażi ta’ sempliċi qari oġġettiv ta’ din l-istqarrija, jew bl-għajnuna ta’ mezzi “li raġonevolment x’aktarx ikunu jistgħu jintużaw” minn wieħed mill-qarrejja tagħha, tikkostitwixxi data personali (sentenza tas‑7 ta’ Marzu 2024, OC vs Il‑Kummissjoni, C‑479/22 P, EU:C:2024:215). Bl-istess mod, fis-sentenza tas‑7 ta’ Marzu 2024, IAB Europe (C‑604/22, EU:C:2024:214), l-assoċjazzjoni IAB, li tirrappreżenta impriżi tas-settur tal-industrija tar-reklamar u tal-kummerċjalizzazzjoni diġitali, stabbilixxiet qafas għar-reġistrazzjoni tal-preferenzi tal-utenti ta’ siti internet, ikkodifikati permezz ta’ “TC String” (taħlita ta’ ittri u ta’ karattri). Din it-TC String ġiet meqjusa bħala data personali peress li, meta assoċjata ma’ identifikatur, kienet tippermetti li jiġi identifikat l-utent tal-internet ikkonċernat, inkluż għal IAB, li ma kinitx iżżomm elementi ta’ identifikazzjoni, iżda li setgħet b’mod indirett ikollha aċċess għalihom permezz ta’ mezzi raġonevoli (punti 48 sa 50 tas-sentenza).
(
26
)	Mill-punt 46 tas-sentenza Breyer jirriżulta dan ikun il-każ jekk l-identifikazzjoni tas-suġġett tad-data tkun ipprojbita mil-liġi jew ma setgħetx titwettaq fil‑prattika, pereżempju minħabba l-fatt li timplika sforz enormi f’termini ta’ ħin, ta’ spejjeż u ta’ riżorsi umani.
(
27
)	Nistgħu nsemmu, pereżempju, l-obbligi li jirriżultaw mid-dritt ta’ rettifika ta’ data personali previst fl-Artikolu 18 tar-Regolament 2018/1725.
(
28
)	Ara, b’analoġija, is-sentenza tad‑29 ta’ Lulju 2019, Fashion ID (C‑40/17, EU:C:2019:629, punt 104 u l-ġurisprudenza ċċitata). Ara, ukoll, il-konklużjonijiet tal-Avukat Ġenerali Szpunar fil-kawża Association Mousse (C‑394/23, EU:C:2024:610, punt 58).
(
29
)	Ara, b’analoġija, is-sentenzi tal‑1 ta’ Ottubru 2015, Bara et (C‑201/14, EU:C:2015:638, punt 34); tal‑1 ta’ Ottubru 2019, Planet49 (C‑673/17, EU:C:2019:801, punt 77), u tal‑11 ta’ Lulju 2024, Meta Platforms Ireland (Azzjoni rappreżentattiva) (C‑757/22, EU:C:2024:598, punt 57). Barra minn hekk, il‑premessa 36 tar‑Regolament 2018/1725 tispjega li “[m]eta d-data personali tkun tista’ tiġi żvelata b’mod leġittimu lil riċevitur ieħor, jenħtieġ li s-suġġett tad-data jkun informat meta d-data personali tkun żvelata għall-ewwel darba lir-riċevitur”. Fi kliem ieħor, jekk jidħol element ġdid, dan għandu jinġieb għal konoxxenza tas-suġġetti tad-data qabel dan l-“ipproċessar ulterjuri” (ara, f’dan is-sens u b’analoġija, is-sentenza tas‑27 ta’ April 2022, Roos et vs Il‑Parlament, T‑710/21, T‑722/21 u T‑723/21, EU:T:2022:262, punt 171).
(
30
)	Ara, b’analoġija, is-sentenza tal‑11 ta’ Lulju 2024, Meta Platforms Ireland (Azzjoni rappreżentattiva) (C‑757/22, EU:C:2024:598, punt 60) u l-punt 47 tal‑konklużjonijiet tal-Avukat Ġenerali Richard de la Tour fl-istess kawża (EU:C:2024:88). Ara wkoll l-Artikolu 14(1) tar-Regolament 2018/1725, li “[i]l‑kontrollur għandu jieħu miżuri adatti biex jipprovdi kwalunkwe informazzjoni msemmija fl-Artikoli 15 u 16 […] relatata mal-ipproċessar lis-suġġett tad-data f’forma konċiża, trasparenti, intelliġibbli u faċilment aċċessibbli, bl-użu ta’ lingwaġġ ċar u sempliċi.”
(
31
)	Għalkemm jista’ jiġi kkonstatat li dan l-approċċ ma ġiex indirizzat b’dan il-mod, fis-sottomissjonijiet bil-miktub, nirrileva li, minbarra li ssemma waqt is-seduta quddiem il-Qorti tal-Ġustizzja, dan l-approċċ jaqa’ fil-qafas ta’ din it-tilwima peress li huwa intiż sabiex tiġi stabbilita l-perspettiva rilevanti fir-rigward tal-obbligu ta’ informazzjoni inkwistjoni f’dan il-każ. F’dan il-kuntest, għalkemm għandha tingħata deċiżjoni biss fuq it-talbiet tal-partijiet, li huma responsabbli għad-delimitazzjoni tal-portata tat-tilwima, il-qorti ma tistax tkun marbuta biss mill-argumenti mqajma minnhom insostenn tat-talbiet tagħhom, għax altrimenti jkollha, jekk ikun il-każ, tibbaża d-deċiżjoni tagħha fuq kunsiderazzjonijiet ġuridiċi żbaljati (ara s-sentenza tal‑21 ta’ Settembru 2010, Suède et vs API u Il‑Kummissjoni, C‑514/07 P, C‑528/07 P u C‑532/07 P, EU:C:2010:541, punt 65 u l-ġurisprudenza ċċitata).
(
32
)	Ara l-punt 69 ta’ dawn il-konklużjonijiet.
(
33
)	Dwar in-natura tal-informazzjoni minn qabel sabiex tippermetti kunsens informat, ara s-sentenza tal‑11 ta’ Lulju 2024, Meta Platforms Ireland (Azzjoni rappreżentattiva) (C‑757/22, EU:C:2024:598, punt 60).
(
34
)	Ara n-nota ta’ qiegħ il-paġna 7 li tinsab fil-punt 12 ta’ dawn il-konklużjonijiet.
(
35
)	Ara l-punti 13 et seq. tas-sentenza appellata. Ara wkoll it-tweġibiet tas-SRB għall‑mistoqsijiet matul is-seduta.
(
36
)	Dwar in-natura konċiża, trasparenti, intelliġibbli u faċilment aċċessibbli, u l-formulazzjoni bl-użu ta’ lingwaġġ ċar u sempliċi, ara l-Artikolu 14(1) tar‑Regolament 2018/1725. Ara wkoll il-grupp ta’ xogħol “Artikolu 29” Linji Gwida dwar it-trasparenza fis-sens tar-Regolament (UE) 2016/679 11 ta’ April 2018, WP 260, rev. 01, punt 30: “Jekk il-bidla tal-informazzjoni tibdel fundamentalment in-natura tal-ipproċessar (pereżempju, it-twessigħ tal‑kategoriji ta’ riċevituri jew l-introduzzjoni ta’ trasferimenti lejn pajjiż terz) jew hija bidla li tista’ ma tkunx fundamentali għall-operazzjoni ta’ pproċessar, iżda li tista’ tkun fundamentali għas-suġġett tad-data u jkollha effett fuq dan tal-aħħar, l-informazzjoni għandha tingħata lis-suġġett tad-data ħafna qabel ma sseħħ il‑bidla u l-metodu użat sabiex is-suġġett tad-data jiġi informat għandu jkun espliċitu u effikaċi. L-għan huwa li jiġi żgurat li s-suġġett tad-data ma ‘jitlifx’ il-bidla u jingħata perijodu ta’ żmien raġonevoli sabiex ikun jista’ a) jevalwa n-natura u l-effett tal-bidla, u b) jeżerċita d-drittijiet tiegħu skont il-GDPR b’rabta mal-bidla (pereżempju, jirtira l-kunsens tiegħu jew jopponi l-ipproċessar).” [traduzzjoni mhux uffiċjali]
(
37
)	Ara, b’mod partikolari, is-sentenza tad‑29 ta’ Frar 2024, Euranimi vs Il‑Kummissjoni (C‑95/23 P, mhux ippubblikata, EU:C:2024:177, punt 53).
(
38
)	Ara s-sentenza tal‑25 ta’ Jannar 2022, Il‑Kummissjoni vs European Food et (C‑638/19 P, EU:C:2022:50, punt 77, u l-ġurisprudenza ċċitata).
(
39
)	Ara b’mod partikolari, f’dan is-sens, is-sentenza tal‑4 ta’ Mejju 2023, Bundesrepublik Deutschland (Indirizz tal-posta elettronika ta’ qorti) (C‑60/22, EU:C:2023:373, punt 53 u l-ġurisprudenza ċċitata). Ara wkoll, fuq l-oneru tal-prova tal-kunsens għall-ipproċessar tad-data fuq il-persuna responsabbli għall-imsemmi pproċessar, is‑sentenza tal‑11 ta’ Novembru 2020, Orange Romania (C‑61/19, EU:C:2020:901, punt 52).
(
40
)	Ara, b’analoġija, fil-qafas ta’ azzjoni għal kumpens ibbażata fuq ir-GDPR, is-sentenza tal‑25 ta’ Jannar 2024, MediaMarktSaturn (C‑687/21, EU:C:2024:72, punti 43 sa 45): il-persuna responsabbli għall-ipproċessar inkwistjoni għandha l-oneru li tipprova n-natura xierqa tal-miżuri ta’ sigurtà li hija implimentat u l-qorti adita għandha tieħu inkunsiderazzjoni l-provi kollha li l-persuna responsabbli għall-ipproċessar ipprovdiet sabiex turi n-natura xierqa tal-miżuri tekniċi u organizzattivi li hija adottat sabiex tikkonforma ruħha mal-obbligi tagħha. Iżda l-fatt li xi impjegati tal-persuna responsabbli għall-ipproċessar bagħtu bi żball lil terz mhux awtorizzat dokument li kien fih data personali ma huwiex suffiċjenti, waħdu, sabiex jitqies li l-miżuri tekniċi u organizzattivi implimentati mill-persuna responsabbli għall-ipproċessar inkwistjoni ma kinux “xierqa”.
(
41
)	Ara l-punti 59 u 60 ta’ dawn il-konklużjonijiet.
(
42
)	Ara, f’dan ir-rigward, il-paragun magħmul mill-Kummissjoni mad-dritt tal-għajnuna mill-Istat fis-sentenza tat‑12 ta’ Ottubru 2023, Larko vs Il‑Kummissjoni (C‑445/22 P, mhux ippubblikata, EU:C:2023:773, punt 29); bl-istess mod li l-klassifikazzjoni ta’ miżura partikolari bħala għajnuna mill-Istat hija rekwiżit minn qabel sabiex din il-miżura taqa’ fil‑kompetenza tal-Kummissjoni sabiex tiġi żgurata l-implimentazzjoni tal‑Artikoli 107 u 108 TFUE, hawnhekk il-klassifikazzjoni ta’ “data personali” hija l‑kundizzjoni minn qabel sabiex japplika r-Regolament 2018/1725 u sabiex il-KEPD ikollu kompetenza (ara l-Artikolu 52(3) ta’ dan ir-regolament.