62023TJ0070_RES
Kawżi magħquda T‑70/23, T‑84/23 u T‑111/23
(pubblikazzjoni ta’ estratti)
Data Protection Commission
vs
Il-Bord Ewropew għall-Protezzjoni tad-Data
Sentenza tal-Qorti Ġenerali tad‑29 ta’ Jannar 2025
“Protezzjoni tad-data personali – Artikolu 65(1)(a) tar-Regolament (UE) 2016/679 – Deċiżjoni vinkolanti li tagħti struzzjonijiet lil awtorità superviżorja ewlenija sabiex testendi l-kamp tal-investigazzjoni u tfassal abbozz ta’ deċiżjoni addizzjonali – Kompetenza tal-Bord Ewropew għall-Protezzjoni tad-Data”
Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Kompetenza tal-Bord Ewropew għall-Protezzjoni tad-Data (EDPB) – Portata – Deċiżjoni vinkolanti li tagħti struzzjonijiet lil awtorità superviżorja ewlenija sabiex testendi l-kamp ta’ investigazzjoni u tfassal abbozz ta’ deċiżjoni addizzjonali – Inklużjoni
(Artikolu 39 TUE; Artikolu 16(1) u (2), Artikolu 101 u Artikolu 102 TFUE; Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea, Artikolu 8(1) u (3); Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, premessi 126, 136 u 141, il-punt 24 tal-Artikolu 4, l-Artikolu 57(1)(a) u (f), l-Artikolu 58(2), l-Artikolu 60, l-Artikolu 65(1)(a), (2), (3) u (6), u l-Artikolu 66)
(ara l-punti 35, 36, 38 sa 40, 43 sa 45, 49 sa 54, 56 sa 59, 62, 63, 68 sa 75, u 77 sa 82)
Sunt
B’awla estiża bħala l-kulleġġ ġudikanti, il-Qorti Ġenerali ċaħdet ir-rikorsi tad-Data Protection Commission, l-awtorità superviżorja Irlandiża fil-qasam tal-protezzjoni tad-data personali, intiżi għall-annullament parzjali tad-deċiżjonijiet vinkolanti tal-Bord Ewropew għall-Protezzjoni tad-Data (iktar ’il quddiem l-“EDPB”). Fis-sentenza tagħha, hija tat deċiżjoni, għall-ewwel darba, dwar il-kompetenza tal-EDPB li jobbliga lil awtorità superviżorja nazzjonali testendi l-analiżi tagħha ta’ każ u, jekk ikun il-każ, l-investigazzjoni tagħha.
Wara skambji mal-awtoritajiet superviżorji kkonċernati l-oħra, id-Data Protection Commission, bħala awtorità superviżorja ewlenija, kienet ikkonstatat li ma kienx hemm kunsens fir-rigward tal-oġġezzjonijiet għall-abbozzi ta’ deċiżjoni tagħha dwar l-ipproċessar transkonfinali ta’ data marbut mal-użu tan-network soċjali Facebook, tan-network soċjali Instagram u tas-servizz ta’ messaġġerija WhatsApp. Konsegwentement, hija adixxiet l-EDPB permezz tal-mekkaniżmu ta’ kontroll tal-koerenza (
1
).
Wara l-eżami tat-tliet fajls, l-EDPB, peress li qies li l-parti l-kbira tal-oġġezzjonijiet għall-abbozzi ta’ deċiżjoni kienu rilevanti u motivati, iddeċieda li jieħu pożizzjoni dwar il-kwistjonijiet imqajma minnhom.
Għaldaqstant, fil‑5 ta’ Diċembru 2022, huwa adotta deċiżjonijiet vinkolanti li kienu ordnaw lid-Data Protection Commission twettaq investigazzjonijiet ġodda dwar l-ipproċessar ta’ data marbut mal-użu tat-tliet applikazzjonijiet imsemmija iktar ’il fuq u, fuq din il-bażi, tfassal abbozzi ta’ deċiżjoni addizzjonali.
Għalhekk, id-Data Protection Commission ikkontestat il-kompetenza tal-EDPB li jimponilha tali miżuri permezz ta’ deċiżjonijiet vinkolanti.
Il-kunsiderazzjonijiet tal-Qorti Ġenerali
Fl-ewwel lok, il-Qorti Ġenerali ppreċiżat il-portata tal-kompetenza tal-EDPB (
2
) billi bbażat ruħha fuq analiżi letterali, kuntestwali u teleoloġika tal-GDPR.
F’dan il-kuntest, qabelxejn, hija rrilevat li, skont interpretazzjoni letterali tad-dispożizzjonijiet rilevanti tal-GDPR (
3
), l-EDPB għandu l-kompetenza li jadotta dispożizzjonijiet, bħalma kienu d-dispożizzjonijiet ikkontestati, li jagħtu struzzjonijiet lill-awtorità superviżorja ewlenija twettaq investigazzjoni ġdida dwar ċerti aspetti tal-fajls ikkonċernati u tadotta sussegwentement abbozzi ta’ deċiżjoni ġodda. Peress li d-deċiżjoni vinkolanti tal-EDPB għandha tikkonċerna l-kwistjonijiet kollha li jkunu s-suġġett ta’ oġġezzjonijiet rilevanti u motivati, id-dispożizzjonijiet rilevanti tal-GDPR ma jipprekludux li, meta l-EDPB japprova oġġezzjoni rilevanti u motivata dwar assenza jew insuffiċjenza ta’ analiżi, fl-abbozz ta’ deċiżjoni, ta’ aspett li jipprekludi li jsir magħruf jekk hemmx ksur ta’ dan ir-regolament, din id-deċiżjoni tkun tinkludi ordni lill-awtorità superviżorja ewlenija sabiex tagħmel tajjeb għal dan in-nuqqas ta’ analiżi u, jekk dan ikun neċessarju fid-dawl tal-fajl fil-pussess tal-EDPB, tapprofondixxi jew testendi għal dan l-għan l-investigazzjoni mwettqa sa dak il-punt. Fil-fatt, jekk jidher li l-fajl ikun insuffiċjenti sabiex titwettaq b’mod sħiħ l-analiżi meħtieġa, dan għandu jwassal sabiex l-EDPB ikun jista’ jobbliga lill-awtorità superviżorja ewlenija twettaq analiżi addizzjonali.
Sussegwentement, il-Qorti Ġenerali qieset, skont l-interpretazzjoni kuntestwali tad-dispożizzjonijiet rilevanti tal-GDPR, li l-kuntest ġenerali tal-obbligu ta’ kooperazzjoni bejn l-awtoritajiet superviżorji kkonċernati b’każ, stabbilit fil-GDPR, jikkonferma l-kompetenza tal-EDPB li jadotta l-miżuri kkontestati.
Dwar dan il-punt, hija indikat li l-proċedura ta’ kooperazzjoni bejn l-awtoritajiet superviżorji kkonċernati b’każ (
4
), li tista’ tinvolvi l-bidu tal-mekkaniżmu ta’ kontroll tal-koerenza żgurat mill-EDPB, ma hijiex proċedura “f’direzzjoni unika” li fiha l-istadji dejjem iseħħu fl-ordni tad-dispożizzjonijiet li jippreveduhom, mingħajr il-possibbiltà ta’ ritorn lejn stadju preċedenti jew ta’ żamma temporanja fl-istess stadju.
Barra minn hekk, hija nnotat li l-analiżi tal-kundizzjonijiet li fihom jitwettaq ipproċessar ta’ data personali u tal-konformità tiegħu mal-GDPR ma għandhiex tkun limitata għal dak li jkun enfasizzat fl-ilment ta’ lanjant. B’mod partikolari, il-fatt li jiġu żgurati b’mod sħiħ il-kompiti tal-awtoritajiet superviżorji previsti fil-GDPR li jiżguraw l-osservanza tiegħu u li jittrattaw l-ilmenti sa fejn ikun neċessarju (
5
) jimplika li għandu jinżamm kamp ta’ analiżi xieraq tal-fajl fid-dawl tal-ilment li jkun ta lok għalih, iżda wkoll fid-dawl ta’ elementi oħra li jistgħu jikkompletawh. L-oġġezzjoni rilevanti u motivata, skont id-definizzjoni tagħha, tirrigwarda aspetti li l-analiżi tagħhom taqa’ effettivament taħt iż-żewġ kompiti msemmija iktar ’il fuq. Konsegwentement, il-fatt li oġġezzjoni rilevanti u motivata tkun tikkonċerna l-kamp tal-analiżi u, jekk ikun il-każ, il-kamp tal-investigazzjoni u li l-EDPB jagħti segwitu għaliha bl-ebda mod ma jikkomprometti dawn il-kompiti.
Fl-aħħar nett, il-Qorti Ġenerali enfasizzat li l-eżami tal-għanijiet tal-GDPR jikkonferma wkoll l-interpretazzjoni letterali tad-dispożizzjonijiet rilevanti tal-GDPR.
F’dan ir-rigward, hija fakkret b’mod partikolari li l-mekkaniżmu ta’ kooperazzjoni bejn l-awtoritajiet superviżorji kkonċernati b’każ jilħaq il-limiti tiegħu meta dawn l-awtoritajiet ma jaslux għal kunsens. Hija f’din is-sitwazzjoni li l-kwistjoni mhux kunsenswali jkollha tiġi sottomessa mill-awtorità superviżorja ewlenija għall-mekkaniżmu ta’ kontroll ta’ koerenza, li jwassal għal deċiżjoni vinkolanti tal-EDPB. Fil-każ ta’ ftuħ mill-ġdid ta’ investigazzjoni, l-awtorità kompetenti għandha tadotta deċiżjoni finali dwar l-aspetti sostantivi analizzati u deċiżi wara deċiżjoni vinkolanti tal-EDPB fit-terminu previst mill-GDPR. Dan ma jipprekludihx milli jwettaq investigazzjoni addizzjonali u milli janalizza l-aspetti tal-każ li jkunu għadhom ma ġewx eżaminati.
Fit-tieni lok, il-Qorti Ġenerali qieset li l-kundizzjonijiet għall-attribuzzjoni ta’ kompetenza lil korp tal-Unjoni ma jipprekludux l-interpretazzjoni fis-sens li l-EDPB ikollu s-setgħa li jobbliga awtorità superviżorja ewlenija testendi l-analiżi tagħha u, skont il-każ, l-investigazzjoni tagħha. Fil-fatt, l-eżerċizzju ta’ tali setgħa huwa rregolat minn diversi kriterji u kundizzjonijiet li jiddelimitaw il-kamp ta’ azzjoni tegħu. Għalhekk, din is-setgħa, minn naħa, tiġi implimentata biss fil-każ ta’ insuffiċjenza identifikata sew tal-analiżi tal-awtorità superviżorja ewlenija fl-ipproċessar tal-każ, li jista’ jkollha konsegwenzi sinjifikattivi, kif jirriżulta mid-definizzjoni tal-oġġezzjoni rilevanti u motivata, u, min-naħa l-oħra, tirriżulta mill-evalwazzjoni kollettiva tal-awtoritajiet superviżorji li jifformaw l-EDPB.
Barra minn hekk, il-Qorti Ġenerali ppreċiżat li l-eżerċizzju tal-imsemmija setgħa huwa suġġett għal stħarriġ ġudizzjarju. B’mod iktar konkret, fil-limitu tal-motivi li jiġu invokati quddiemha, il-qorti tal-Unjoni tkun f’pożizzjoni li tivverifika l-legalità fil-mertu tad-dispożizzjonijiet ikkontestati skont iċ-ċirkustanzi tal-każ. B’mod partikolari, hija tista’, fl-ewwel lok, tivverifika jekk l-EDPB, bl-adozzjoni ta’ dispożizzjonijiet ta’ din in-natura, ikunx effettivament ta segwitu għal oġġezzjoni rilevanti u motivata ta’ awtorità superviżorja. Fit-tieni lok, hija tista’ tivverifika l-legalità tas-sustanza stess ta’ tali dispożizzjonijiet li jagħtu istruzzjonijiet lill-awtoritajiet superviżorji.
F’dan il-kuntest, il-Qorti Ġenerali żiedet li deċiżjoni vinkolanti tal-EDPB li tobbliga lil awtorità superviżorja ewlenija testendi l-analiżi u l-investigazzjoni tagħha ma tqiegħedx f’dubju l-kapaċità tagħha li tipprijoritizza t-twettiq tad-diversi funzjonijiet tagħha bħala awtorità indipendenti, kompitu li l-istħarriġ tiegħu jaqa’ taħt il-qorti nazzjonali biss. Tali deċiżjoni lanqas ma tqiegħed f’dubju, b’mod iktar ġenerali, l-indipendenza tagħha (
6
).
(
1
)	Konformement mal-Artikolu 60(4) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-“GDPR”).
(
2
)	Skont l-Artikolu 65(1)(a) tal-GDPR.
(
3
)	Artikolu 65(1)(a) tal-GDPR, moqri flimkien mal-punt 24 tal-Artikolu 4, mal-Artikolu 65(6) u mal-premessi 126 u 136 ta’ dan ir-regolament.
(
4
)	Prevista fl-Artikolu 60 tal-GDPR.
(
5
)	Artikolu 57(1)(a) u (f) tal-GDPR.
(
6
)	Stabbilita fl-Artikolu 39 TUE, fl-Artikolu 16(2) TFUE u fl-Artikolu 8(3) tal-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea.