62022CC0231
KONKLUŻJONIJIET TAL-AVUKATA ĠENERALI
MEDINA
ippreżentati fit-8 ta’ Ġunju 2023 (
1
)
Kawża C‑231/22
État belge
vs
Autorité de protection des données,
partijiet magħquda:
LM
(talba għal deċiżjoni preliminari mressqa mill-cour d’appel de Bruxelles (il-Qorti tal-Appell, Brussell, il-Belġju))
“Rinviju għal deċiżjoni preliminari – Regolament (UE) 2016/679 – Artikolu 4(7) u 4(8) – Ipproċessar ta’ data personali – Kunċetti ta’ ‘kontrollur’ u ta’ ‘proċessur’ – Determinazzjoni tal-għan u tal-mezzi tal-ipproċessar tad-data – Obbligu ta’ ħatra mid-dritt nazzjonali – Ġurnal uffiċjali – Pubblikazzjoni ta’ att tal-liġi tal-kumpanniji ppreparat minn nutar – Talba għal irtirar – Marġni ta’ diskrezzjoni – Immutabbiltà – Artikolu 5(2) – Kontrolluri suċċessivi – Obbligi separati ta’ entitajiet separati”
1.
L-Acta Diurna kienu avviżi uffiċjali Rumani ta’ kuljum imnaqqxa fil-ġebel jew fil-metall u murija f’postijiet pubbliċi bħall-Forum ta’ Ruma. Fl-era diġitali, il-kwistjoni li jistgħu jaffaċċjaw l-awtoritajiet nazzjonali hija jekk id-data ppubblikata mill-ġurnal uffiċjali ta’ pajjiż partikolari hijiex ukoll minquxa fil-ġebel, metaforikament, jew jekk tistax titħassar jew tiġi modifikata.
2.
L-oriġini tal-kawża prinċipali tinsab fil-pubblikazzjoni ta’ data mill-Ġurnal Uffiċjali Belġjan, il-Moniteur belge, li jippubblika dokumenti uffiċjali f’format stampat u elettronikament.
3.
Il-kawża prinċipali hija bejn l-État belge (l-Istat Belġjan) u l-Autorité de protection des données (l-Awtorità għall-Protezzjoni tad-Data, il-Belġju; iktar ’il quddiem “l-APD”). Wara li nnota li silta minn deċiżjoni ta’ kumpannija li kienet awtentikata minn nutar u li kien fiha, minbarra d-data meħtieġa mil-liġi Belġjana, data personali ta’ persuna fiżika ġiet ippubblikata bi żball, l-Uffiċjal għall-Protezzjoni tad-Data (“UPD”) tan-nutar talab lill-Moniteur belge jħassar din id-data. Madankollu, is-Service Public Fédéral Justice (is-Servizz Pubbliku Federali tal-Ġustizzja; iktar ’il quddiem is-”SPF Ġustizzja”), li hija l-awtorità ta’ ġestjoni tal-Moniteur belge, irrifjutat din it-talba.
4.
F’dan l-isfond, id-domandi magħmula mill-cour d’appel de Bruxelles (il-Qorti tal-Appell, Brussell, il-Belġju) fit-talba għal deċiżjoni preliminari tagħha, għandhom portata pjuttost limitata. Il-qorti tar-rinviju tistaqsi, essenzjalment, jekk il-Moniteur belge jew l-SPF Ġustizzja għandhomx jitqiesu bħala “kontrollur” fis-sens tal-Artikolu 4(7) tar-Regolament (UE) 2016/679 (iktar ’il quddiem il-”GDPR”) (
2
) Jekk ir-risposta għal din id-domanda tkun fl-affermattiv, il-qorti tar-rinviju tistaqsi wkoll dwar il-limiti tal-obbligi ta’ kontrollur meta l-ipproċessar isir minn entitajiet konsekuttivi.
I. Il-kuntest ġuridiku
A.
Id-dritt tal-Unjoni Ewropea
5.
Fil-Kapitolu I tal-GDPR, intitolat “Dispożizzjonijiet ġenerali”, l-Artikolu 4 tiegħu jiddefinixxi, b’mod partikolari, it-termini li ġejjin: “data personali”, “ipproċessar”, “kontrollur”, u “proċessur”.
6.
L-Artikoli 5, 6, 17 u 26 tal-GDPR huma rilevanti wkoll għal din il-kawża.
B.
Id-dritt nazzjonali
1. Il-Kodiċi tal-Kumpanniji
7.
L-Artikolu 67(1) u (2) tal-Loi du 7 mai 1999 contenant le Code des sociétés (
3
) (il-Liġi tas-7 ta’ Mejju 1999 dwar il-Kodiċi tal-Kumpanniji; iktar ’il quddiem il-”Kodiċi tal-Kumpanniji” kien jipprovdi:
“(1)   Il-kopja ċertifikata ta’ strumenti awtentiċi, id-duplikati jew oriġinali ta’ dokumenti taħt firma privata u estratti, sew jekk f’format elettroniku jew le, li l-preżentazzjoni jew il-pubblikazzjoni tagħhom huma meħtieġa mill-artikoli li ġejjin għandhom jiġu ddepożitati fir-reġistru tal-qorti tal-impriża li l-kumpannija jkollha l-uffiċċju reġistrat tagħha fil-ġurisdizzjoni tagħha.
[…]
(2)   Id-dokumenti ppreżentati għandhom jinżammu fil-fajl miżmum f’dan ir-reġistru għal kull kumpannija u l-kumpanniji inkwistjoni għandhom jiddaħħlu fir-reġistru tal-persuni ġuridiċi, ir-reġistru tal-Banque-Carrefour des Entreprises [il-Korp ċentrali għar-reġistrazzjoni tal-impriżi].”
8.
L-Artikolu 71 tal-kodiċi kien jipprovdi:
“L-estratt mid-dokumenti tal-kumpannija għandu jiġi ffirmat għal strumenti awtentiċi, minn nutara, u għal dokumenti taħt firma privata, mis-soċji kollha in solidum jew minn wieħed minnhom, fdat għal dan il-għan mill-oħrajn b’mandat speċjali.”
9.
L-Artikolu 73 ta’ dan il-kodiċi kien jipprovdi:
“Il-pubblikazzjoni għandha ssir fl-Annessi tal-Moniteur belge fi żmien 15-il jum mid-depożitu u, fin-nuqqas ta’ dan, l-uffiċjali li lilhom tista’ tiġi attribwita l-ommissjoni jew id-dewmien għandhom ikunu responsabbli għad-danni.
[…]”
10.
Skont l-Artikolu 74(1) ta’ dan il-kodiċi:
“Dawn li ġejjin għandhom jiġu ddepożitati u ppubblikati skont l-Artikoli preċedenti:
(1) atti li jemendaw id-dispożizzjonijiet, li dan il-Kodiċi jeħtieġ li jiġu ppubblikati;”
2. Id-Digriet Reġju tat-30 ta’ Jannar 2001
11.
L-Artikolu 1 tal-Arrêté royal du 30 janvier 2001 portant exécution du Code des sociétés (id-Digriet Reġju tat-30 ta’ Jannar 2001 li jimplimenta l-Kodiċi tal-Kumpanniji) (
4
) ipprovda:
“[…] L-iskrivani tal-qorti fil-qrati [tal-kumpanniji] għandhom jirċievu d-depożitu tad-dokumenti kollha, l-estratti mid-dokumenti, il-minuti u d-dokumenti li l-iżvelar tagħhom huwa ordnat mill-Kodiċi tal-Kumpanniji.”
12.
L-Artikolu 11 ta’ dan id-digriet reġju kien jipprovdi:
“(1)   Id-dokumenti, l-estratti mid-dokumenti u d-dokumenti li l-pubblikazzjoni tagħhom hija meħtieġa fl-Annessi tal-Moniteur belge għandhom, suġġetti għal sottomissjoni elettronika, jiġu ppreżentati fir-Reġistru flimkien ma’ kopja. […]
(2)   Id-dokumenti stampati sottomessi kollha għandhom jissodisfaw il-kundizzjonijiet li ġejjin:
[…]
6°
ikunu ffirmati, kif xieraq, min-nutar jew mill-persuni awtorizzati sabiex jirrappreżentaw lill-persuna ġuridika fir-rigward ta’ partijiet terzi, filwaqt li jiddikjaraw l-ismijiet u l-kapaċità tal-firmatarji;
[…]
(3)   Il-kopji tad-dokumenti, tal-estratti mid-dokumenti u tad-dokumenti msemmija fl-Artikoli 67, 68 u 74 […] tal-Kodiċi tal-Kumpanniji […] intiżi għall-Moniteur belge għandhom jiġu ppreżentati mingħajr korrezzjoni jew redazzjoni. […]
[…]”
13.
L-Artikolu 14(1) tad-digriet reġju jgħid kif ġej:
“Ir-Reġistratur għandu jibgħat lill-amministrazzjoni tal-Moniteur belge, mhux iktar tard mit-tieni jum tax-xogħol wara dak li fih ikun ġie ppreżentat, kopji tad-dokumenti, estratti mid-dokumenti u d-dokumenti […] li jkun irċieva u li għandhom jiġu ppubblikati fl-Annessi tal-Moniteur belge.
[…]”
14.
L-Artikolu 16 ta’ dan id-digriet reġju kien jipprovdi:
“Fejn il-pubblikazzjoni hija meħtieġa, din għandha ssir permezz tal-annessi tal-Moniteur belge fit-termini stabbiliti mil-liġi.”
3. Il-Liġi Programm I tal-24 ta’ Diċembru 2002
15.
L-Artikolu 472 tal-Loi-programme du 24 décembre 2002 (il-Liġi Programm tal-24 ta’ Diċembru 2002) (
5
) jipprovdi:
“Il-Moniteur belge huwa pubblikazzjoni uffiċjali ppubblikata mill-amministrazzjoni tal-Moniteur belge, li tiġbor flimkien it-testi kollha sabiex tiġi ordnata l-pubblikazzjoni fil-Moniteur belge.”
16.
L-Artikolu 474 ta’ din il-liġi programm jipprovdi:
“Tliet kopji stampati għandhom jiġu ppubblikati fil-Moniteur belge mill-amministrazzjoni tal-Moniteur belge.
[…]
Kopja waħda għandha tiġi maħżuna elettronikament. Ir-Re għandu jiddetermina l-arranġamenti għall-ħażna elettronika […]”
17.
L-Artikolu 475 tal-istess liġi programm huwa redatt kif ġej:
“Kwalunkwe tqegħid għad-dispożizzjoni ieħor lill-pubbliku għandu jsir permezz tas-sit tal-amministrazzjoni tal-Moniteur belge.
Il-pubblikazzjonijiet magħmula disponibbli fuq dan is-sit għandhom ikunu riproduzzjonijiet eżatti f’format elettroniku tal-kopji stampati previsti fl-Artikolu 474.”
18.
Skont l-Artikolu 475a tal-Liġi Programm tal-24 ta’ Diċembru 2002:
“Kwalunkwe ċittadin jista’ jikseb kopja tad-dokumenti u d-dokumenti ppubblikati fil-Moniteur belge permezz ta’ linja telefonika mingħajr ħlas għall-għajnuna bil-prezz tal-produzzjoni mingħand il-Moniteur belge. Dan is-servizz huwa responsabbli wkoll sabiex jipprovdi liċ-ċittadini servizz ta’ għajnuna għat-tiftix ta’ dokumenti.”
19.
L-Artikolu 475b ta’ din il-liġi programm jipprovdi:
“Miżuri oħra ta’ akkumpanjament għandhom jittieħdu permezz ta’ Digriet Reġju deliberat fil-Kunsill tal-Ministri sabiex jiġi żgurat l-iktar tixrid u aċċess wiesa’ possibbli għall-informazzjoni li tinsab fil-Moniteur belge.”
II. Il-fatti, il-proċeduri u d-domandi għal deċiżjoni preliminari magħmula
20.
LM huwa azzjonist maġġoritarju ta’ Bureau LM, kumpannija privata Belġjana b’responsabbiltà limitata.
21.
Fit-23 ta’ Jannar 2019, il-kumpannija żammet laqgħa ġenerali li matulha din iddeċidiet li tnaqqas il-kapital tagħha, u emendat l-istatut ta’ assoċjazzjoni tagħha f’dan is-sens.
22.
Skont ir-regoli legali li jirregolaw l-iżvelar, nutar ipprepara test parzjali. Fit-12 ta’ Frar 2019, in-nutar ippreżentah fir-Reġistru tat-tribunal de l’entreprise néerlandophone de Bruxelles (il-Qorti tal-Kumpanniji ta’ Brussell bil-lingwa Olandiża, il-Belġju) għall-finijiet tal-pubblikazzjoni uffiċjali tiegħu fil-Moniteur belge.
23.
Fit-22 ta’ Frar 2019, dan it-test parzjali ġie ppubblikat fl-annessi tal-Moniteur belge. B’mod partikolari, kien fih id-deċiżjoni li jitnaqqas il-kapital tal-kumpannija, l-ammont inizjali tal-kapital, l-ammont tat-tnaqqis, l-ammont ġdid tal-kapital azzjonarju u t-test il-ġdid tal-istatut ta’ assoċjazzjoni. Minbarra l-informazzjoni ppubblikata skont rekwiżit legali, it-test parzjali inkwistjoni kien fih l-ismijiet taż-żewġ soċji tal-kumpannija inkwistjoni, l-ammonti li kienu tħallsu lura lilhom u n-numri tal-kontijiet bankarji tagħhom (iktar ’il quddiem “is-silta inkwistjoni”), li l-pubblikazzjoni tagħhom ma kinitx meħtieġa mil-liġi.
24.
Wara li kkonstata li n-nutar kien wettaq żbalja meta inkluda s-silta inkwistjoni fit-test parzjali ppubblikat, l-UPD tan-nutar, b’referenza għall-Artikolu 17 tal-GDPR, talab lill-SPF Ġustizzja tħassar is-silta inkwistjoni u tippubblika t-test parzjali mill-ġdid, din id-darba mingħajr dik is-silta.
25.
Fl-10 ta’ April 2019, l-SPF Ġustizzja rrifjutat li tilqa’ din it-talba (
6
) u offriet li tippubblika test parzjali ġdid, redatt mis-silta inkwistjoni, filwaqt li ħalliet il-pubblikazzjoni oriġinali tat-22 ta’ Frar 2019 intatta.
26.
Fil-21 ta’ Jannar 2020, LM, wieħed miż-żewġ imsieħba tal-kumpannija kkonċernata, ressaq ilment mal-APD kontra l-Moniteur belge (l-SPF Ġustizzja), fejn allega ksur tal-Artikolu 5 (b’mod partikolari l-prinċipju ta’ minimizzazzjoni tad-data), l-Artikolu 6 (l-ipproċessar ta’ data personali) u l-Artikolu 17 (id-dritt għal tħassir) tal-GDPR.
27.
Permezz ta’ deċiżjoni tat-23 ta’ Marzu 2021, l-APD laqgħet l-ilment u, essenzjalment, ordnat it-tħassir tas-silta inkwistjoni.
28.
Fit-22 ta’ April 2021, l-Istat Belġjan ippreżenta appell kontra din id-deċiżjoni quddiem il-cour d’appel de Bruxelles (il-Qorti tal-Appell, Brussell), il-qorti tar-rinviju, fejn talab l-annullament ta’ dik id-deċiżjoni. LM intervjena fit-tilwima.
29.
Il-qorti tar-rinviju tirrileva li l-partijiet ma jaqblux dwar kif għandu jiġi interpretat il-kunċett ta’ “kontrollur” fl-Artikolu 4(7) tal-GDPR. Hija tinnota li, wara li rċieva t-test parzjali mit-tribunal de l’entreprise néerlandophone de Bruxelles (il-Qorti tal-Kumpanniji ta’ Brussell bil-lingwa Olandiża, il-Belġju), il-Moniteur belge, skont id-dispożizzjonijiet legali li jirregolaw l-istatus u l-missjonijiet tiegħu, ippubblika dan it-test kif kien, jiġifieri mingħajr ebda setgħa ta’ reviżjoni jew ta’ emenda. B’mod partikolari, il-qorti tar-rinviju tistaqsi jekk hijiex kull waħda mill-entitajiet suċċessivi potenzjali, jew waħda minnhom biss, li għandha tiġi kklassifikata bħala “kontrollur” fis-sens ta’ dan l-artikolu u, għalhekk, taħt l-Artikolu 5(2) tal-GDPR, responsabbli għall-konformità mal-prinċipji stabbiliti fl-Artikolu 5(1) ta’ dan ir-regolament.
30.
F’dan ir-rigward, din il-qorti tistaqsi jekk tali kunċett ta’ responsabbiltà suċċessiva jew sussegwenti huwiex minqux f’dan ir-regolament. Jekk jitqies li l-Moniteur belge huwa r-riċevitur tad-data fis-sens tal-Artikolu 4(9) tal-GDPR, dik il-qorti tistaqsi jekk, min-naħa tiegħu, dan il-ġurnal aġixxiex bħala l-kontrollur “sussegwenti” tal-ipproċessar. Madankollu, dan ma jidhirx li huwa l-każ peress li, skont il-liġi Belġjana applikabbli, il-Moniteur belge ma huwiex f’pożizzjoni li jiddefinixxi l-mezzi u l-għanijiet tal-ipproċessar tiegħu stess fis-sens tal-Artikolu 4(7) tal-GDPR.
31.
Huwa f’dan l-isfond li l-cour d’appel de Bruxelles (il-Qorti tal-Appell, Brussell) għamlet id-domandi li ġejjin lill-Qorti tal-Ġustizzja:
“(1)
Il-punt 7 tal-Artikolu 4 tal-[GDPR] għandu jiġi interpretat fis-sens li ġurnal uffiċjali ta’ Stat Membru - vestit b’missjoni ta’ servizz pubbliku ta’ pubblikazzjoni u ta’ arkivjar ta’ dokumenti uffiċjali, li, taħt il-leġiżlazzjoni nazzjonali applikabbli, huwa responsabbli li jippubblikaw l-atti u d-dokumenti uffiċjali li l-pubblikazzjoni tagħhom hija ordnata minn korpi pubbliċi terzi, kif jiġu kkomunikati minn dawn l-korpi wara li huma stess ipproċessaw data personali li tinsab f’dawn l-atti u dokumenti, mingħajr ma l-ġurnal uffiċjali ngħata mil-leġiżlatur nazzjonali setgħa diskrezzjonali dwar il-kontenut tad-dokumenti li għandhom jiġu ppubblikati, u dwar l-iskop u l-mezzi tal-pubblikazzjoni - għandu l-istatus ta’ kontrollur tad-data?
(2)
Jekk l-ewwel domanda tingħata risposta fl-affermattiv, l-Artikolu 5(2) tal-[GDPR] għandu jiġi interpretat fis-sens li l-ġurnal uffiċjali inkwistjoni għandu jkun l-uniku wieħed responsabbli għall-osservanza tal-obbligi tal-kontrollur tad-data skont kliem din id-dispożizzjoni, bl-esklużjoni ta’ korpi pubbliċi terzi li minn qabel ipproċessaw id-data li tinsab fl-atti u fid-dokumenti uffiċjali li tagħhom huma jitolbu l-pubblikazzjoni minnu, jew dawn l-obbligi huma imposti b’mod kumulattiv fuq kull wieħed mill-kontrolluri tad-data suċċessivi?”
32.
L-APD, il-Gvern Belġjan, il-Gvern Ungeriż u l-Kummissjoni Ewropea ppreżentaw osservazzjonijiet bil-miktub.
33.
Fis-seduta tat-23 ta’ Marzu 2023, l-APD, il-Gvern Belġjan u l-Kummissjoni dehru quddiem il-Qorti tal-Ġustizzja.
III. Evalwazzjoni
A.
L-ewwel domanda magħmula
34.
Permezz tal-ewwel domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 4(7) tal-GDPR għandux jiġi interpretat fis-sens li ġurnal uffiċjali ta’ Stat Membru għandu l-istatus ta’ kontrollur tad-data. Mill-bidu, għandi nagħmel żewġ osservazzjonijiet li jirrigwardaw il-formulazzjoni ta’ din id-domanda.
35.
L-ewwel, mid-deċiżjoni tal-qorti tar-rinviju huwa evidenti li l-Kodiċi tal-Kumpanniji jipprovdi li l-kumpanniji għandhom l-obbligu legali li jippubblikaw diversi dokumenti u deċiżjonijiet fl-annessi tal-Moniteur belge. Din il-qorti tinnota wkoll li l-Moniteur belge jaqa’ taħt l-SPF Ġustizzja, mingħajr ma spjegat dan il-punt f’iktar dettall. Peress li d-diviżjoni tal-kompetenzi tal-awtoritajiet nazzjonali fi Stat Membru hija kwistjoni ta’ liġi nazzjonali, f’dawn il-konklużjonijiet ser nirreferi biss għall-Moniteur belge.
36.
It-tieni, għandi ninnota li, fid-domanda tagħha, il-qorti tar-rinviju ddaħħal silta bejn żewġ singijiet qosra li tidher li hija spjegazzjoni tas-setgħat mogħtija lill-Moniteur belge mil-leġiżlatur Belġjan.
37.
Konsegwentement, din id-domanda tista’ tiġi rriformulata fis-sens li tistaqsi, essenzjalment, jekk ġurnal uffiċjali ta’ Stat Membru, bħall-Moniteur belge, li, taħt il-leġiżlazzjoni nazzjonali applikabbli, huwa vestit bil-missjoni li jippubblika u jarkivja dokumenti uffiċjali, jistax jitqies bħala kontrollur, fis-sens tal-Artikolu 4(7) tal-GDPR, f’ċirkustanzi fejn il-pubblikazzjoni ta’ dawn id-dokumenti, kif inhuma, tkun ordnata minn entitajiet terzi, fejn dawn l-entitajiet huma stess ipproċessaw id-data personali li tinsab f’dawn id-dokumenti, u fejn dan il-ġurnal uffiċjali ma jgawdi minn ebda diskrezzjoni fuq il-kontenut tad-dokumenti li għandhom jiġu ppubblikati jew l-għan u l-mezzi ta’ din il-pubblikazzjoni.
38.
Sabiex nirrispondi din id-domanda, għandi ninnota, mill-bidu, li t-terminu “kontrollur” huwa definit mill-Artikolu 4(7) tal-GDPR bħala “persuna fiżika jew ġuridika, awtorità pubblika, aġenzija jew kwalunkwe korp ieħor li, waħdu jew flimkien ma’ oħrajn, jiddetermina l-għanijiet u l-mezzi tal-ipproċessar ta’ data personali; fejn l-għanijiet u l-mezzi tal-ipproċessar ikunu ddeterminati mil-liġi tal-Unjoni jew ta’ Stat Membru, il-kontrollur jew il-kriterji speċifiċi għall-ħatra tiegħu jistgħu jiġu determinati mil-liġi tal-Unjoni jew ta’ Stat Membru”. Minn din id-dispożizzjoni jirriżulta ċar, meta tinqara flimkien mal-Artikolu 5(1) tal-GDPR, li tistabbilixxi l-prinċipji relatati mal-ipproċessar tad-data personali, li kull stadju tal-ipproċessar tad-data jeħtieġ li jkun hemm kontrollur (
7
). Għalhekk, meta tiġi pproċessata data personali, dejjem għandu jkun hemm kontrollur li jkun l-attur ewlieni fl-operazzjonalizzazzjoni tal-liġi tal-protezzjoni tad-data (
8
), li jagħmilha importanti li jiġi identifikat min hu dan il-kontrollur f’kull stadju tal-ipproċessar (
9
). Il-kunċett ta’ “kontrollur” jinkludi fih kemm persuni fiżiċi u ġuridiċi, kif ukoll awtoritajiet pubbliċi, aġenziji jew korpi oħra. Madankollu, huwa ċar li l-klassifikazzjoni tat-tip ta’ entità ma tagħti lok għal ebda diffikultà f’dan il-każ.
39.
Qabel ngħaddu għall-qofol tad-domanda, jiġifieri d-determinazzjoni tal-kunċett ta’ “kontrollur” fis-sens tal-Artikolu 4(7) tal-GDPR, naħseb li huwa importanti li jiġi ċċarat jekk l-operazzjonijiet inkwistjoni f’din il-kawża jikkostitwixxux “ipproċessar” ta’ “data personali” fis-sens tal-Artikolu 4(2) u (1) tal-GDPR rispettivament.
1. “Ipproċessar” ta’ “data personali”‘
40.
L-ewwel, għandu jitfakkar li “data personali”, fis-sens tal-Artikolu 4(1) tal-GDPR, tfisser “kwalunkwe informazzjoni relatata ma’ persuna fiżika identifikata jew identifikabbli”, filwaqt li huwa mifhum li, skont il-ġurisprudenza, din id-definizzjoni hija applikabbli meta, minħabba l-kontenut, l-għan jew l-effett tagħha, l-informazzjoni inkwistjoni tkun relatata ma’ persuna partikolari (
10
). F’din il-kawża, ma huwiex ikkontestat mill-partijiet li d-data inkluża fis-silta inkwistjoni, bħall-ismijiet taż-żewġ imsieħba tal-kumpannija u n-numri tal-kontijiet bankarji tagħhom, tikkostitwixxi data personali. Fil-fehma tiegħi, l-ammonti li tħallsu lura lil dawk l-imsieħba ma humiex neċessarjament data personali fihom infushom. Madankollu, meta jiġu kkombinati mal-ismijiet tal-persuni li rċevewhom, dawn l-ammonti għandhom effettivament jitqiesu bħala data personali.
41.
It-tieni, skont l-Artikolu 4(2) tal-GDPR, il-kunċett ta’ “ipproċessar” huwa definit bħala “kwalunkwe attività jew sett ta’ attivitajiet li jitwettqu fuq data personali jew fuq settijiet ta’ data personali, sew jekk b’mezzi awtomatizzati u sew jekk mingħajrhom”. bħal, inter alia, “konsultazzjoni, użu, żvelar bi trażmissjoni, tixrid jew it-tqegħid għad-dispożizzjoni b’xi mezz ieħor” ta’ data personali. Dawn id-definizzjonijiet jirriflettu l-fatt li l-leġiżlatur tal-UE fittex li jassenja portata wiesgħa lil dawn iż-żewġ kunċetti (
11
).
42.
Pereżempju, fis-sentenza tagħha Google Spain, il-Qorti tal-Ġustizzja ddeċidiet li l-attività ta’ magna tat-tiftix li tikkonsisti fis-sejba ta’ informazzjoni ppubblikata jew imqiegħda fuq l-internet minn partijiet terzi, li tindiċjaha awtomatikament, li taħżinha temporanjament u, finalment, li tagħmilha disponibbli għall-utenti tal-internet skont ordni ta’ preferenza partikolari għandha tiġi kklassifikata bħala “ipproċessar ta’ data personali” fis-sens tal-Artikolu 2(b) tad-Direttiva 95/46/KE (
12
) – li jikkorrispondi, essenzjalment, għall-Artikolu 4(2) tal-GDPR – meta din l-informazzjoni jkun fiha “data personali” (
13
). Barra minn hekk, fis-sentenza Fashion ID (
14
), il-Qorti tal-Ġustizzja ddeċidiet li l-ipproċessar ta’ data personali jista’ jikkonsisti f’operazzjoni waħda jew f’numru ta’ operazzjonijiet, li kull waħda minnhom tirrigwarda lil wieħed mill-istadji differenti li jista’ jinvolvi l-ipproċessar ta’ data personali.
43.
Fil-fehma tiegħi, f’dan il-każ, seħħew tliet istanzi suċċessivi ta’ pproċessar ta’ data personali. L-ewwel ipproċessar jikkonċerna lin-nutar, li abbozza d-dokument li kellu jiġi ppubblikat fil-Moniteur belge (u, għalhekk, għamel l-iżball li inkluda d-data personali inkwistjoni) u ppreżentah quddiem ir-Reġistru tal-Qorti tal-Kumpanniji. It-tieni pproċessar jikkonċerna lil dak ir-Reġistru, li żied dan id-dokument mal-fajl tal-kumpannija u bagħtu għall-pubblikazzjoni lill-Moniteur belge. It-tielet trattament kien jinvolvi lil Moniteur belge, li mhux biss ittrasforma d-dokument stampat f’dokument elettroniku, iżda wkoll ġabru, irreġistrah, ħażnu, żvelah u xerrdu. Fil-fehma tiegħi, ma hemm l-ebda dubju li t-tliet istamzi kollha u, b’mod partikolari, l-operazzjonijiet imwettqa mill-Moniteur belge jikkostitwixxu “ipproċessar”, fis-sens tal-Artikolu 4(2) tal-GDPR.
44.
Madankollu, il-fatt li l-ipproċessar sar f’dawn it-tliet istanzi ma jfissirx neċessarjament li l-Moniteur belge aġixxa bħala kontrollur tad-data. Dan għaliex il-GDPR jagħmel distinzjoni, stabbilita fl-Artikolu 4(7) u (8) tal-GDPR, bejn, minn naħa, kontrolluri tad-data u, min-naħa l-oħra, proċessuri tad-data. Filwaqt li l-kontrollur jiddefinixxi l-għan u l-mezzi tal-ipproċessar (
15
), il-proċessur jipproċessa data personali f’isem il-kontrollur (
16
). Għalhekk, filwaqt li huwa ċar li t-tliet istanzi jikkostitwixxu “ipproċessar”, fis-sens tal-Artikolu 4(2) tal-GDPR, din il-konstatazzjoni ma tiddeterminax jekk il-Moniteur belge – jew entità oħra involuta f’din il-katina ta’ tliet passi – għandux l-istatus ta’ kontrollur f’din il-kawża.
2. Determinazzjoni tal-għanijiet u tal-mezzi tal-ipproċessar tad-data personali
45.
Jekk il-Moniteur belge aġixxiex bħala “kontrollur” jew le, fil-fehma tiegħi, jammonta għall-eżaminazzjoni ta’ jekk “jiddeterminax l-għanijiet u l-mezzi tal-ipproċessar ta’ data personali”, fis-sens tal-Artikolu 4(7) tal-GDPR.
46.
Mill-bidu, għandi nfakkar li, skont il-ġurisprudenza rilevanti tal-Qorti tal-Ġustizzja, il-kunċett ta’ “kontrollur” għandu jiġi ddefinit b’mod wiesa’. Fil-fatt, il-Qorti tal-Ġustizzja preċedentement iddeċidiet li l-għan tal-Artikolu 4(7) tal-GDPR huwa li, permezz ta’ definizzjoni wiesgħa tal-kunċett ta’ “kontrollur”, jiżgura protezzjoni effettiva u kompleta tas-suġġetti tad-data (
17
). Barra minn hekk, il-kunċetti ta’ kontrollur u proċessur huma kunċetti funzjonali: għandhom l-għan li jallokaw ir-responsabbiltajiet skont ir-rwoli attwali tal-partijiet (
18
). Fi kliem ieħor, “il-kontrollur tad-data ta’ natura personali huwa l-persuna li tiddeċiedi għaliex u kif ser tkun ipproċessata din id-data” (
19
). Għalhekk, id-determinazzjoni tar-responsabbiltajiet tal-kontrollur hija “bbażata fuq analiżi fattwali pjuttost milli formali” (
20
).
47.
It-tieni, billi jispeċifika “waħdu jew flimkien ma’ oħrajn”, l-Artikolu 4(7) tal-GDPR jirrikonoxxi li “l-għanijiet u l-mezzi” tal-ipproċessar tad-data jistgħu jiġu ddeterminati minn iktar minn entità waħda. Madankollu, il-punt sa fejn żewġ atturi jew iktar jeżerċitaw kontroll flimkien ma’ oħrajn jista’ jieħu forom differenti (
21
), li ser jiġu diskussi fl-analiżi tiegħi tat-tieni domanda.
48.
It-tielet, għandi ninnota li, permezz tal-adozzjoni tad-Digriet Reġju tal-25 ta’ Ġunju 2020, ir-Renju tal-Belġju jaħtar lill-SPF Ġustizzja bħala l-kontrollur fis-sens tal-Artikolu 4(7) tal-GDPR (
22
). Madankollu, l-avvenimenti fil-kawża prinċipali seħħew qabel id-dħul fis-seħħ ta’ dan id-digriet. Għalhekk, ma huwiex applikabbli ratione temporis għal din il-kawża. Minn dan jirriżulta li l-Qorti tal-Ġustizzja għandha teżamina l-allokazzjoni tal-kompetenzi u r-responsabbiltajiet bejn l-entitajiet nazzjonali qabel id-dħul fis-seħħ ta’ dan id-digriet.
49.
Issa li għamilt dawn l-osservazzjonijiet preliminari, ser neżamina l-kundizzjonijiet stabbiliti fl-Artikolu 4(7) tal-GDPR, jiġifieri liema mill-entitajiet inkwistjoni “jiddeterminaw l-għanijiet u l-mezzi tal-ipproċessar” tad-data personali inkwistjoni.
a) Ħatra impliċita tal-kontrollur mid-dritt nazzjonali
50.
Il-kontroll jista’ jkun ibbażat fuq il-liġi rilevanti jew jista’ jirriżulta minn analiżi tal-elementi fattwali jew taċ-ċirkustanzi tal-każ (
23
). L-Artikolu 4(7) tal-GDPR jipprovdi li, fejn l-għanijiet u l-mezzi ta’ dan l-ipproċessar huma ddeterminati b’mod partikolari mil-liġi ta’ Stat Membru, il-kontrollur jista’ jiġi maħtur jew il-kriterji speċifiċi applikabbli għall-ħatra tiegħu jistgħu jiġu pprovduti minn din il-liġi. Minn dan isegwi li meta entità tkun ġiet identifikata speċifikament minn liġi bħala kontrollur, din il-ħatra hija determinanti (
24
). Madankollu, f’din il-kawża, ma hemm l-ebda dispożizzjoni speċifika li taħtar espliċitament kontrollur tad-data.
51.
Huwa possibbli wkoll li l-liġi, għalkemm b’mod impliċitu, tinnomina lil entità bħala l-kontrollur (
25
). Pereżempju, meta l-leġiżlazzjoni nazzjonali timponi obbligu fuq l-entità inkwistjoni sabiex iżżomm jew tipprovdi ċerta data, tali entità tkun titqies bħala kontrollur fir-rigward tal-ipproċessar li huwa meħtieġ sabiex tikkonforma ma’ dak l-obbligu. Tali ħatra impliċita mil-leġiżlazzjoni nazzjonali sseħħ meta jirriżulta mir-rwol, mill-missjonijiet u mis-setgħat mogħtija lil din l-awtorità li hija tiddetermina l-għanijiet u l-mezzi tal-ipproċessar inkwistjoni. Fis-sentenza Manni, il-Qorti tal-Ġustizzja bbażat ruħha fuq l-evalwazzjoni tal-fatti, billi sostniet li “meta tniżżel u żżomm l-informazzjoni msemmija fir-reġistru u meta tikkomunika din, jekk ikun il-każ, fuq talba lil terzi”, l-awtorità legalment responsabbli għaż-żamma ta’ reġistru tal-kumpanniji twettaq “ipproċessar ta’ data personali” li hija l-”kontrollur” tagħha, kif definit fl-Artikolu 2(b) u (d) tad-Direttiva 95/46 (
26
).
52.
F’din il-kawża, għalkemm il-leġiżlazzjoni nazzjonali ma ħatritx espliċitament lil kontrollur tad-data, hija tipprovdi li l-kumpanniji għandhom l-obbligu legali li jippubblikaw ċerti dokumenti fil-Moniteur belge (
27
). Għalhekk, ħolqot obbligu legali li tiġi pproċessata d-data, li għandha tiġi ġestita minn kontrollur. Il-leġiżlatur nazzjonali fassal skema li permezz tagħha hemm tliet entitajiet li jipproċessaw id-data suċċessivament; madankollu l-partijiet ma jaqblux dwar liema minn dawn it-tliet entitajiet hija fil-fatt il-kontrollur (
28
). Għalhekk, is-setgħat speċifiċi assenjati lil dawk l-entitajiet għandhom jiġu stabbiliti sabiex jiġi ddeterminat lil liema minnhom il-leġiżlatur ħatar impliċitament bħala kontrollur għat-tielet stadju tal-ipproċessar, jiġifieri, l-operazzjonijiet imwettqa mill-Moniteur belge.
b) Protezzjoni effikaċi u kompleta tas-suġġetti tad-data
53.
L-Artikolu 4(7) tal-GDPR, bl-użu tal-verb “jiddetermina”, jeħtieġ li kontrollur jeżerċita influwenza fuq l-ipproċessar permezz ta’ eżerċizzju ta’ setgħa deċiżjonali (
29
). Pereżempju, fil-kawża Facebook “Like” plugin (
30
), il-kwistjoni kienet jekk Fashion ID, bejjiegħ bl-imnut tal-ħwejjeġ online, li inkorpora fis-sit tiegħu l-plugin soċjali “Like” min-netwerk soċjali Facebook, iddeterminax jew le flimkien ma’ Facebook il-mezzi tal-ġbir u l-iżvelar permezz tat-trażmissjoni tad-data personali tal-persuni li jaċċedu għas-sit ta’ Fashion ID. F’dik il-kawża, il-Qorti tal-Ġustizzja espliċitament iddikjarat li permezz tal-inkorporazzjoni ta’ dan il-plugin soċjali fis-sit tiegħu, Fashion ID jeżerċita influwenza deċiżiva fuq il-ġbir u t-trażmissjoni tad-data personali tal-persuni li jaċċedu għas-sit fuq il-fornitur ta’ din il-plugin, Facebook Ireland, li kieku ma kinitx isseħħ mingħajr din il-plugin (
31
). Minn dan isegwi li l-fatt li jkun hemm influwenza deċiżiva fuq l-ipproċessar ta’ data personali jimplika li l-entità li teżerċita din l-influwenza hija kontrollur. Madankollu, il-fatt li ma jkunx hemm influwenza deċiżiva ma huwiex biżżejjed sabiex jiġi eskluż il-fatt li entità xorta tista’ tgawdi l-istatus ta’ kontrollur.
54.
Minħabba l-modi li bihom l-informazzjoni hija prodotta u mqassma elettronikament, it-tixrid ta’ data fuq l-internet iżid b’mod esponenzjali r-riskji ta’ ksur tad-drittijiet fundamentali għar-rispett tal-ħajja privata u l-protezzjoni tad-data personali (
32
). Konxja ferm dwar dan ir-riskju, il-Qorti tal-Ġustizzja adottat definizzjoni wiesgħa tal-kunċett ta’ “kontrollur” (
33
) sabiex il-GDPR jiggarantixxi l-protezzjoni effettiva u kompleta tas-suġġetti tad-data, b’mod partikolari d-dritt tagħhom għall-privatezza (
34
). Għal dan il-għan, fis-sentenza Google Spain, il-Qorti tal-Ġustizzja ddeċidiet li dan mhux biss imur kontra l-kliem ċar tal-Artikolu 2(d) tad-Direttiva 95/46, li jikkorrispondi, essenzjalment, għall-Artikolu 4(7) tal-GDPR, iżda jmur ukoll kontra l-għan tiegħu li jeskludi lill-operatur ta’ magna tat-tiftix minn din id-definizzjoni għar-raġuni li ma jeżerċitax kontroll fuq id-data personali ppubblikata fuq il-paġni tal-internet ta’ partijiet terzi (
35
). Permezz tal-adozzjoni ta’ definizzjoni daqshekk wiesgħa, huwa ċar li l-Qorti tal-Ġustizzja għażlet interpretazzjoni teoloġika ta’ din id-dispożizzjoni: id-definizzjoni ta’ “kontrollur” għandha tiggarantixxi l-protezzjoni effettiva u kompleta tas-suġġetti tad-data. Barra minn hekk, għandi nfakkar li tali interpretazzjoni tista’ tiġi rinfurzata biss mill-GDPR, li ġie adottat fuq il-bażi tal-Artikolu 16(1) TFUE li jagħti s-setgħa lil-leġiżlatur tal-UE sabiex jissalvagwardja d-dritt fundamentali għall-protezzjoni tad-data personali, previst fl-Artikolu 8(1) tal-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea (iktar ’il quddiem il-”Karta”) (
36
).
55.
F’din il-kawża, huwa ċar li l-leġiżlatur nazzjonali fassal skema bi tliet istanzi differenti ta’ pproċessar: katina li tibda min-nutar li jabbozza u jiffirma d-dokumenti kkonċernati, segwit mir-Reġistru tal-Qorti tal-Kumpanniji li jżid id-dokument fil-fajl tal-kumpannija u jaħżen id-dokument, u tispiċċa bil-Moniteur belge jittrasforma dawk id-dokumenti f’dokumenti diġitali u jippubblikahom. Filwaqt li huwa minnu li l-Moniteur belge għandu jippubblika d-dokument ikkonċernat kif inhu, jibqa’ l-fatt li, għall-finijiet tal-pubblikazzjoni tiegħu, la huwa n-nutar u lanqas ir-Reġistru tal-Qorti tal-Kumpanniji li jittrasformah f’dokument elettroniku; huwa l-Moniteur belge waħdu li jagħmel dan u mbagħad ixerred id-dokument ikkonċernat fuq l-internet.
56.
B’mod partikolari, għandi nfakkar li, bl-adozzjoni tal-Artikoli 474 sa 475b tal-Liġi Programm tal-24 ta’ Diċembru 2002, il-leġiżlatur nazzjonali ta ċerti setgħat lill-Moniteur belge. Minn dawn id-dispożizzjonijiet jirriżulta li l-Moniteur belge mhux biss jippubblika l-verżjoni stampata tad-dokumenti kkonċernati, iżda jagħmilhom disponibbli wkoll permezz tas-sit f’format elettroniku tiegħu, jaħżinhom elettronikament, jagħmilhom disponibbli għaċ-ċittadini billi jipprovdi linja għall-għajnuna u servizz ta’ għajnuna għat-tiftix tad-dokumenti u, finalment, jiżgura l-iktar tixrid u aċċess wiesa’ possibbli għall-informazzjoni li tinsab fil-Moniteur belge. Għalhekk, fil-fehma tiegħi, minn dawn id-dispożizzjonijiet jirriżulta li l-leġiżlatur nazzjonali, billi ta lill-Moniteur belge setgħat fir-rigward tat-trasformazzjoni diġitali, il-pubblikazzjoni, it-tixrid u l-ħażna tad-dokumenti inkwistjoni, ta lil dan il-ġurnal setgħat li jaqgħu taħt il-kunċett ta’ “kontrollur” fis-sens tal-Artikolu 4(7) tal-GDPR (
37
).
57.
Meta jwettaq l-operazzjonijiet imsemmija iktar ’il fuq fdati lilu mil-leġiżlatur, jiġifieri t-trasformazzjoni diġitali, il-pubblikazzjoni u t-tixrid, il-Moniteur belge iżid b’mod esponenzjali r-riskju ta’ ksur tad-drittijiet fundamentali tal-persuna kkonċernata (meta mqabbel mas-sempliċi pubblikazzjoni tad-dokument fil-verżjoni stampata tiegħu). Huwa l-ipproċessar ta’ dak il-ġurnal uffiċjali li fil-fatt jhedded il-protezzjoni effettiva u kompleta tas-suġġett tad-data inkwistjoni. Konsegwentement, ma narax alternattiva oħra ħlief li nqis li, minħabba l-għan li tiġi ggarantita l-protezzjoni effettiva u kompleta tas-suġġetti tad-data u minħabba l-ħsara potenzjali li t-trasformazzjoni u t-tixrid diġitali jistgħu jikkawżaw lil dawn is-suġġetti, il-Moniteur belge ma jistax jiġi eskluż mid-definizzjoni ta’ “kontrollur” tad-data fis-sens tal-Artikolu 4(7) tal-GDPR.
58.
Finalment, fir-rigward tal-applikabbiltà tal-ġurisprudenza dwar magni tat-tiftix privati għal entitajiet pubbliċi, bħall-Moniteur belge, għandu jiġi rrilevat li, f’sentenza reċenti, il-Qorti tal-Ġustizzja applikat din il-ġurisprudenza sabiex tikkonferma li l-uffiċċju tal-prosekutur pubbliku għandu jitqies bħala “kontrollur” (
38
). Fil-fehma tiegħi, ir-raġunament wara tali applikazzjoni huwa sostnut mill-interpretazzjoni wiesgħa tal-kunċett ta’ “kontrollur”, fis-sens tal-Artikolu 4(7) tal-GDPR, sabiex tiġi żgurata protezzjoni effettiva u kompleta tad-drittijiet u tal-libertajiet fundamentali. tas-suġġetti tad-data minquxa fil-liġi primarja (
39
), irrispettivament minn jekk il-kontrollur huwiex entità pubblika jew privata (
40
). Sabiex tiġi żgurata protezzjoni effettiva u kompleta bħal din, il-prinċipji tal-protezzjoni tad-data imposti fuq il-magni tat-tiftix privati huma rilevanti kemm għal entitajiet privati kif ukoll għal dawk pubbliċi li t-tnejn huma suġġetti għall-istess prinċipji ġenerali relatati mad-data u mal-obbligi taħt il-GDPR, li jikkostitwixxu espressjoni konkreta tal-liġi primarja.
c) Jekk entità oħra hijiex kontrollur tad-data jew le
59.
Waqt is-seduta, il-Gvern Belġjan sostna li n-nutar għandu jitqies bħala kontrollur tad-data peress li huwa jiddetermina l-mezzi u l-għanijiet tal-ipproċessar tad-data.
60.
Fil-fehma tiegħi, kieku n-nutar kellu jitqies bħala l-uniku kontrollur, dan ikun ifisser li fil-prattika ħadd ma jkun il-kontrollur tat-tielet stadju tal-ipproċessar, jiġifieri l-operazzjonijiet imwettqa mill-Moniteur belge, peress li l-leġiżlatur ma tax is-setgħa lin-nutar - kif muri mill-fatti ta’ din il-kawża - sabiex jinfluwenza b’mod deċiżiv dan it-tielet stadju ta’ pproċessar. Madankollu, it-tliet entitajiet inkwistjoni jistgħu jkunu involuti f’istanzi differenti u fi gradi differenti f’dan l-ipproċessar ta’ data personali, bir-riżultat li kull waħda minnhom tista’ titqies bħala kontrollur, għalkemm b’portata u livell ta’ responsabbiltà differenti li jirriżultaw mill-kontroll (
41
). Barra minn hekk, infakkar li, kif iddikjarat mill-Kummissjoni waqt is-seduta, il-liġi tista’, teoretikament, taħtar lill-Moniteur belge bħala l-proċessur, sakemm il-leġiżlazzjoni nazzjonali tkun imponiet obbligu fuq diversi entitajiet ta’ abbozzar, ta’ ħażna u ta’ tixrid diġitali tad-dokument inkwistjoni. Madankollu, sabiex il-Moniteur belge jikkwalifika bħala proċessur, għandhom jiġu ssodisfatti l-kundizzjonijiet speċifikati fl-Artikolu 28 tal-GDPR, li b’mod ċar ma huwiex il-każ fiċ-ċirkustanzi kif ippreżentati lill-Qorti tal-Ġustizzja, peress li kull entità kkonċernata hija responsabbli għall-parti tal-ipproċessar tagħha stess (
42
). Għalhekk, il-Moniteur belge ma jistax jitqies bħala proċessur fis-sens ta’ din id-dispożizzjoni.
61.
Barra minn hekk, il-Gvern Belġjan sostna li l-leġiżlatur nazzjonali stess jaġixxi huwa stess bħala kontrollur jew jiddefinixxi lil entità responsabbli mill-kontroll, filwaqt li l-Moniteur belge kien qiegħed jeżerċita biss is-setgħat mogħtija lilu. Skont dan il-gvern, il-ġurisprudenza dwar magni tat-tiftix privati ma tistax tapplika għal entitajiet pubbliċi, peress li l-Moniteur belge, bħala awtorità pubblika mwaqqfa mil-leġiżlatur, ma jistax jiddetermina l-missjoni u l-kompiti tiegħu waħdu.
62.
Kif diġà rrilevajt (
43
), f’din il-kawża l-leġiżlatur nazzjonali ħatar impliċitament lill-Moniteur belge bħala kontrollur tad-data billi tah is-setgħa li jwettaq ċertu numru ta’ missjonijiet speċifiċi.
63.
Fi kwalunkwe każ, jiena tal-fehma li, kieku l-Qorti tal-Ġustizzja kellha tqis li l-leġiżlatur nazzjonali għandu l-istatus ta’ kontrollur kull meta jeżerċita s-setgħa tiegħu li jiddetermina l-għanijiet u l-mezzi ta’ operazzjoni ta’ pproċessar partikolari, tali approċċ jirriżulta fil-fatt li l-persuni fiżiċi ma jibqgħux jingħataw protezzjoni effettiva, b’tali mod li l-kunċett ta’ kontrollur ikun imċaħħad mill-effettività. Fil-fatt, il-protezzjoni effettiva tas-suġġetti tad-data ma tistax tiġi żgurata jekk ir-responsabbiltajiet numerużi tal-kontrollur jitwettqu, fir-rigward ta’ kull ipproċessar ta’ data personali stabbilit mil-leġiżlazzjoni ta’ Stat Membru, mil-leġiżlatur innifsu. Għalhekk, fil-fehma tiegħi, meta awtorità pubblika tkun ingħatat is-setgħa li tipproċessa data personali, ma huwiex il-leġiżlatur li jkun il-kontrollur, iżda l-awtorità li twettaq il-missjonijiet pubbliċi li hija l-entità li tikkontrolla l-għanijiet u l-mezzi ta’ dan l-ipproċessar (
44
). F’din il-kawża, miċ-ċirkustanzi jirriżulta b’mod ċar li l-ipproċessar inkwistjoni, kif spjegat fil-punt 43 ta’ dawn il-konklużjonijiet, iseħħ bħala implimentazzjoni ta’ leġiżlazzjoni nazzjonali, li teskludi l-ipoteżi li l-leġiżlatur innifsu - meta jgħaddi l-liġijiet - huwa l-kontrollur tal-ipproċessar tad-data personali.
d) In-nuqqas ta’ diskrezzjoni
64.
F’din il-kawża, mil-leġiżlazzjoni nazzjonali ppreżentata lill-Qorti tal-Ġustizzja jidher li l-Moniteur belge ma għandu ebda setgħa deċiżjonali dwar it-testi li huwa obbligat li jippubblika (
45
). Fil-fatt, kif enfasizzat mill-Gvern Belġjan fis-sottomissjonijiet bil-miktub tiegħu u fis-seduta, il-Moniteur belge kellu 15-il jum (
46
) sabiex jippubblika d-dokument, li għandu jkun kopja eżatta ta’ dak abbozzat min-nutar. F’każ ta’ ommissjoni jew ta’ dewmien, l-impjegat taċ-ċivil tal-Moniteur belge jinsab fir-riskju li jiġi mfittex għad-danni (
47
). Biex tiġi evitata din iċ-ċirkustanza, din l-awtorità ma tivverifikax jekk l-informazzjoni li hija meħtieġa tippubblika hijiex kompleta, valida jew preċiża. Għalhekk, kif sostna l-Gvern Belġjan, jidher li l-Moniteur belge ma għandux is-setgħa li jeżamina l-kontenut ta’ dawn id-dokumenti, inkluża d-data personali li jista’ jkun fihom.
65.
Madankollu, peress li l-leġiżlatur innifsu, meta jgħaddi l-liġijiet, ma jaġixxix bħala kontrollur, u peress li l-ebda entità oħra ma għandha xi influwenza fuq id-determinazzjoni tal-għanijiet u tal-mezzi tal-ipproċessar inkwistjoni - jiġifieri t-trasformazzjoni diġitali u it-tixrid diġitali tad-dokumenti inkwistjoni -, sabiex tiġi evitata lakuna fil-ħatra, il-Moniteur belge għandu jiġi maħtur bħala kontrollur. In-nutar u r-Reġistru tal-Qorti tal-Kumpanniji sempliċement ma għandhomx is-setgħa li jintervjenu f’dan l-istadju. F’dawn iċ-ċirkustanzi, in-nuqqas ta’ setgħa diskrezzjonali min-naħa tal-Moniteur belge ma tistax isservi bħala esklużjoni marbuta mal-protezzjoni effettiva tas-suġġetti tad-data. Għaldaqstant għandu jiġi kkonstatat li l-Moniteur belge huwa kontrollur fis-sens tal-Artikolu 4(7) tal-GDPR, għalkemm maħtur impliċitament, għall-ipproċessar ta’ data personali meta jippubblika dokumenti, kif meħtieġ mil-leġiżlazzjoni nazzjonali.
e) It-tħassir tad-data personali
66.
Mill-fatti ta’ din il-kawża jirriżulta li l-UPD tan-nutar talab lill-SPF Ġustizzja (f’isem il-Moniteur belge) tħassar - tneħħi mill-internet - is-silta inkwistjoni u tippubblika t-test parzjali mingħajr din is-silta. L-SPF Ġustizzja rrifjutat li tilqa’ din it-talba u offriet li tippubblika test parzjali ġdid. F’dawn iċ-ċirkustanzi, jidher li n-nutar ikkonċernat ma għandu ebda setgħa li jordna l-emendar jew l-irtirar tas-silta inkwistjoni. Madankollu, għandi nenfasizza li l-ebda entità oħra ma tidher li għandha din is-setgħa lanqas.
67.
Il-Gvern Belġjan isostni li kienet l-intenzjoni tal-leġiżlatur nazzjonali li d-dokumenti ppubblikati fil-Moniteur belge jinżammu immutabbli maż-żmien għal għanijiet ta’ arkivjar u li l-verżjoni elettronika tal-pubblikazzjonijiet tibqa’ tkun kopja eżatta tal-verżjoni stampata f’kull ħin, li jipprekludi kull emenda retroattiva. Dan il-gvern iżid li, sabiex jikkoreġi dokument ta’ persuna ġuridika ppubblikata fil-Moniteur belge, in-nutar għandu jippreżenta dokument ta’ emenda fir-Reġistru tal-Qorti tal-Kumpanniji, li mbagħad għandu jitlob lill-amministrazzjoni tal-Moniteur belge sabiex jippubblika dan l-att ta’ emenda. Min-naħa l-oħra, ma huwiex possibbli, taħt id-dritt Belġjan, li l-att oriġinali jitħassar għal kollox mingħajr ma jiġi miksur il-prinċipju tal-immutabbiltà tal-Moniteur belge.
68.
Fil-fehma tiegħi, ir-rifjut tal-awtorità pubblika li tħassar is-silta li fiha d-data personali inkwistjoni u li tippubblika d-dokument inkwistjoni mingħajr din is-silta għandu l-effett li jżomm din id-data disponibbli għall-pubbliku. Fil-fehma tiegħi, dan ifisser li din l-awtorità, filwaqt li tapplika l-liġijiet nazzjonali, taġixxi bħala “kontrollur” fis-sens tal-Artikolu 4(7) tal-GDPR, peress li, billi ma tirtirax is-silta inkwistjoni u żżommha pubblika, tiddetermina l-għanijiet u l-mezzi tal-ipproċessar tad-data personali. Jekk il-Moniteur belge ma jiġix irrikonoxxut bħala kontrollur, jidher li l-ebda awtorità ma jkollha dan l-istatus (
48
).
69.
Fil-fehma tiegħi, l-istatus ta’ “kontrollur” ma jistax jiddependi mill-fatt li awtorità bħall-Moniteur belge ma tistax, bis-saħħa tad-dritt nazzjonali, tikkonforma ma’ talba għat-tħassir ta’ data. Għalhekk, meta jkun hemm lakuna fil-leġiżlazzjoni nazzjonali, huma l-awtoritajiet nazzjonali u, f’dan l-istadju, il-qorti nazzjonali li għandhom jaħtru, bl-applikazzjoni tal-GDPR, lill-entità li għandha tikkonforma mal-obbligi li jirriżultaw minn dak ir-regolament. F’dan il-każ, peress li d-data qiegħda tiġi pproċessata, din għadha disponibbli pubblikament, iżda d-dritt nazzjonali ma ħatarx lil awtorità responsabbli bħala kontrollur għal din il-parti tal-ipproċessar.
70.
F’xenarju bħal dan, peress li l-leġiżlatur nazzjonali ħalla lakuna billi ma ħatarx lil kontrollur, il-Qorti tal-Ġustizzja għandha tindika li hija l-qorti tar-rinviju li għandha taħtar, abbażi taċ-ċirkustanzi kif deskritti lill-Qorti tal-Ġustizzja, il-Moniteur belge (jew l-SPF Ġustizzja, skont l-evalwazzjoni ta’ dik il-qorti) bħala kontrollur. Tali interpretazzjoni biss tkun konsistenti, fil-fehma tiegħi, mal-għan tal-Artikolu 4(7) tal-GDPR li jiżgura, permezz ta’ definizzjoni wiesgħa tal-kunċett ta’ “kontrollur”, protezzjoni effettiva u kompleta tas-suġġetti tad-data (
49
). Dan jevita wkoll lakuni u jipprevjeni l-evitar possibbli tar-regoli tal-GDPR.
71.
Fir-rigward tal-argumenti prattiċi li jirriżultaw mill-prinċipju tal-immutabbiltà tal-informazzjoni mxerrda mill-Moniteur belge, huwa l-leġiżlatur nazzjonali, fid-dawl tal-obbligi li jirriżultaw, inter alia, mill-Artikoli 5 u 17 tal-GDPR, li għandu jippromulga qafas leġiżlattiv, li jieħu inkunsiderazzjoni l-protezzjoni tas-suġġetti tad-data u dak il-prinċipju. Peress li l-pubblikazzjoni tad-data personali żżid ir-riskju ta’ ħsara lis-suġġetti tad-data b’mod esponenzjali, hemm bżonn li jiġu pprovduti soluzzjonijiet innovattivi mid-dritt nazzjonali (
50
).
72.
Bħala konklużjoni, f’din il-kawża, nissuġġerixxi li l-Qorti tal-Ġustizzja tqis li l-Moniteur belge qiegħed jaġixxi bħala “kontrollur” fis-sens tal-Artikolu 4(7) tal-GDPR meta jiddeċiedi li jirrifjuta li jirtira s-silta inkwistjoni mid-dominju pubbliku, jiġifieri meta jżomm din is-silta disponibbli pubblikament.
3. Konklużjoni interim
73.
F’dan il-każ, il-leġiżlazzjoni nazzjonali ħolqot obbligu li jinħatar kontrollur tad-data sabiex ikun hemm konformità mal-obbligi li jirriżultaw mill-GDPR. L-ewwel, fir-rigward tat-trasformazzjoni diġitali, il-pubblikazzjoni u t-tixrid tad-data inkwistjoni, il-Moniteur belge għandu jiġi identifikat bħala “kontrollur” tad-data fis-sens tal-Artikolu 4(7) tal-GDPR, għall-għanijiet li jiġu żgurati d-drittijiet fundamentali tal-persuna kkonċernata. It-tieni, fir-rigward tan-nuqqas ta’ rtirar tad-data inkwistjoni, hemm lakuna fil-leġiżlazzjoni nazzjonali, peress li l-ebda waħda mill-entitajiet ikkonċernati ma hija awtorizzata tirtira din id-data. F’każ bħal dan, hija l-qorti nazzjonali, li tapplika l-GDPR sabiex tiżgura l-protezzjoni tad-drittijiet fundamentali tal-persuni kkonċernati, li għandha taħtar lil kontrollur, li, f’dan il-każ, jidher li huwa l-Moniteur belge.
74.
Konsegwentement, nipproponi li r-risposta għall-ewwel domanda għandha tkun li l-Artikolu 4(7) tal-GDPR għandu jiġi interpretat fis-sens li ġurnal uffiċjali ta’ Stat Membru, bħall-Moniteur belge, li huwa vestit, taħt il-leġiżlazzjoni nazzjonali applikabbli, bil-missjoni tal-pubblikazzjoni u l-arkivjar ta’ dokumenti uffiċjali, għall-għanijiet li tiġi żgurata protezzjoni effettiva u kompleta tas-suġġetti tad-data, jista’ jitqies bħala kontrollur fis-sens tal-Artikolu 4(7) tal-GDPR f’ċirkustanzi fejn il-pubblikazzjoni ta’ dawk id-dokumenti, kif inhuma, hija ordnata minn entitajiet terzi, peress li l-leġiżlatur nazzjonali ta lil dan il-ġurnal is-setgħa li jiddetermina l-mezzi tat-trasformazzjoni diġitali, tal-pubblikazzjoni, tat-tixrid u tal-ħażna tad-dokumenti inkwistjoni u stabbilixxa għanijiet wiesgħa ta’ pubblikazzjoni u ta’ tixrid. Madankollu, fir-rigward tan-nuqqas tal-ħatra tal-kontrollur fir-rigward tal-irtirar jew tat-tħassir ta’ data u peress li d-data inkwistjoni għadha disponibbli għall-pubbliku, hija l-qorti nazzjonali li għandha taħtar l-entità li għandha tikkonforma mal-obbligi li jirriżultaw mill-GDPR.
75.
Huwa biss fil-każ li l-Qorti tal-Ġustizzja tadotta din ir-risposta għall-ewwel domanda, li għandha tirrispondi għat-tieni domanda, jiġifieri jekk il-Moniteur belge jew l-awtorità li tmexxih għandux ikun l-uniku wieħed responsabbli għall-osservanza tal-obbligi tal-kontrollur tad-data skont il-GDPR.
B.
It-tieni domanda magħmula
76.
Permezz tat-tieni domanda tagħha, il-qorti tar-rinviju essenzjalment tistaqsi jekk l-Artikolu 5(2) tal-GDPR għandux jiġi interpretat fis-sens li huwa biss il-ġurnal uffiċjali inkwistjoni li jeħtieġ li josserva r-responsabbiltajiet tal-kontrollur tad-data taħt din id-dispożizzjoni, bl-esklużjoni ta’ entitajiet terzi li preċedentement ipproċessaw id-data li tinsab fid-dokumenti uffiċjali li jkunu qiegħdin jitolbu l-pubblikazzjoni tagħhom, jew jekk dawk ir-responsabbiltajiet humiex imposti b’mod kumulattiv fuq kull wieħed mill-kontrolluri tad-data suċċessivi.
77.
Skont l-Artikolu 5(2) tal-GDPR, il-kontrollur huwa responsabbli għall-osservanza tal-prinċipji stabbiliti fil-paragrafu 1 ta’ dan l-artikolu, bħall-prinċipju tal-minimizzazzjoni tad-data u l-preċiżjoni (
51
), u għandu jkun kapaċi juri li dawn il-prinċipji ġew imħarsa. Peress li persuna fiżika tfittex li tikseb it-tħassir tad-data personali li fir-rigward tagħha l-leġiżlazzjoni nazzjonali ma teħtieġ ebda pubblikazzjoni, il-qorti tar-rinviju tispjega li hija għandha tiddeċiedi jekk il-Moniteur belge, jew l-awtorità li tmexxih, għandhomx ikunu l-uniċi responsabbli għall-osservanza tal-prinċipji tal-minimizzazzjoni tad-data u l-preċiżjoni jew jekk iż-żewġ entitajiet l-oħra humiex responsabbli wkoll għal dawk il-prinċipji.
78.
B’mod partikolari, il-qorti tar-rinviju, filwaqt li tosserva li l-partijiet fil-kawża prinċipali ma jibbażawx ruħhom fuq l-eżistenza ta’ kontrolluri konġunti kif previst fl-Artikolu 26 tal-GDPR, tistaqsi jekk huwiex kull wieħed mill-kontrolluri suċċessivi potenzjali jew wieħed minnhom biss li għandu jiġi kklassifikat bħala “kontrollur” fis-sens tal-Artikolu 4(7) ta’ dan ir-regolament u, għalhekk, jinżamm responsabbli, skont l-Artikolu 5(2) ta’ dan ir-regolament, għall-osservanza tal-prinċipji msemmija iktar ’il fuq.
1. Operazzjonijiet li jseħħu wara xulxin
79.
Kif diġà rrilevajt (
52
), id-data personali inkwistjoni li tinsab fis-silta kkonċernata li ġiet ippubblikata fil-Moniteur belge ġiet ipproċessata minn diversi entitajiet wara xulxin, jiġifieri min-nutar li abbozza l-estratt, mir-Reġistru tat-tribunal de l’entreprise néerlandophone de Bruxelles (il-Qorti tal-Kumpanniji ta’ Brussell bil-lingwa Olandiża) li żiedha mal-fajl tal-kumpannija u, finalment, mill-Moniteur belge li ppubblikaha eżatt kif kienet.
80.
Fir-rigward ta’ din il-katina ta’ avvenimenti, għandu jiġi osservat li l-ipproċessar tad-data personali inkwistjoni fdata lill-Moniteur belge mhux biss huwa sussegwenti għall-ipproċessar imwettaq min-nutar u mir-Reġistru tal-Qorti tal-Kumpanniji, iżda huwa teknikament differenti mill-ipproċessar imwettaq minn dawk iż-żewġ entitajiet u huwa addizzjonali għalih. Huwa importanti li jiġi rrilevat li, sa fejn l-operazzjonijiet imwettqa mill-Moniteur belge jinvolvu b’mod partikolari t-trasformazzjoni diġitali tad-data li tinsab f’siltiet ta’ dokumenti ppreżentati lilu, il-pubblikazzjoni, it-tqegħid għad-dispożizzjoni tal-pubbliku b’mod mifrux u l-ħażna ta’ din id-data, l-operazzjonijiet legalment fdati lill-Moniteur belge għandhom - meta mqabbla mal-ipproċessar li sar preċedentement miż-żewġ entitajiet l-oħra - effett u riskju sinifikanti u addizzjonali għad-drittijiet fundamentali għar-rispett tal-ħajja privata u l-protezzjoni tad-data personali (
53
).
81.
Għalhekk, huwa l-Moniteur belge li għandu jikkonforma mal-obbligi kollha imposti fuq il-kontrollur mill-GDPR fir-rigward tal-operazzjonijiet ta’ pproċessar imposti fuqu mid-dritt nazzjonali.
2. Esklużjoni ta’ responsabbiltà konġunta
82.
L-Artikolu 4(7) tal-GDPR jirrikonoxxi li “l-għanijiet u l-mezzi tal-ipproċessar” jistgħu jiġu determinati minn iktar minn attur wieħed. Dan jippreċiża li l-kunċett ta’ “kontrollur” jirreferi għall-korp li, “waħdu jew flimkien ma’ oħrajn”, jiddetermina l-għanijiet u l-mezzi tal-ipproċessar. Din is-sitwazzjoni hija prevista fl-Artikolu 26 tal-GDPR, fejn diversi entitajiet differenti jistgħu jaġixxu bħala kontrolluri fl-istess ipproċessar, u kull waħda minnhom tkun soġġetta għad-dispożizzjonijiet applikabbli dwar il-protezzjoni tad-data (
54
).
83.
Għandi nfakkar li l-Artikolu 26(1) tal-GDPR jipprovdi li meta żewġ kontrolluri jew iktar jiddeterminaw flimkien l-għanijiet u l-mezzi tal-ipproċessar, huma kontrolluri konġunti. L-istess paragrafu jżid li l-kontrolluri konġunti għandhom jiddefinixxu r-responsabbiltajiet rispettivi tagħhom bil-għan li jiżguraw il-konformità mar-rekwiżiti kollha tal-GDPR b’mod trasparenti, ħlief jekk, u sa fejn, ir-responsabbiltajiet rispettivi tagħhom huma ddefiniti, inter alia, bil-liġi tal-Istat Membru li għalih il-kontrolluri jkunu soġġetti. Għalhekk, ir-responsabbiltà konġunta ta’ diversi kontrolluri ma tiddependix neċessarjament mill-eżistenza ta’ ftehim bejn il-kontrolluri differenti jew saħansitra mill-intenzjoni tagħhom, iżda tista’ tirriżulta mid-dritt nazzjonali sakemm il-ħatra ta’ diversi kontrolluri u l-obbligi rispettivi ta’ kull wieħed minn dawn il-kontrolluri fid-dawl tar-rekwiżiti tal-GDPR tista’ tiġi dedotta minn dik il-liġi.
84.
Madankollu, il-fatt li diversi atturi huma involuti fl-istess katina ta’ pproċessar ma jfissirx li neċessarjament jaġixxu bħala kontrolluri konġunti (
55
). Barra minn hekk, il-Qorti tal-Ġustizzja ddeċidiet li persuna fiżika jew ġuridika ma tistax titqies bħala responsabbli għal operazzjonijiet preċedenti jew sussegwenti fil-katina tal-ipproċessar li għalihom hija la tiddetermina l-għanijiet u lanqas il-mezzi (
56
). B’hekk, ma jidhirx, f’dan il-każ, li d-dritt nazzjonali ħatar lil kontrolluri konġunti, peress li n-nutar ma għandu ebda kontroll fuq l-operazzjonijiet imwettqa mill-Moniteur belge.
85.
Għalhekk, jiena tal-fehma li, f’dan il-każ, ir-responsabbiltà konġunta tat-tliet entitajiet ma hijiex stabbilita mid-dritt nazzjonali u lanqas ma tista’ tiġi aċċertata mill-fatti, kif ippreżentati mill-qorti tar-rinviju. Fir-rigward tal-fatti fil-kawża prinċipali, għandi b’mod partikolari nfakkar li t-tliet entitajiet fil-katina ma humiex suġġetti għall-istess mezzi ta’ pproċessar, peress li l-Moniteur belge jwettaq it-trasformazzjoni diġitali, il-pubblikazzjoni u t-tixrid tad-dokumenti inkwistjoni. Barra minn hekk, fid-dawl tal-fatti fil-kawża prinċipali, il-persuna fiżika kkonċernata li tfittex li tagħmel użu mid-dritt tagħha għat-tħassir skont l-Artikolu 17 tal-GDPR, ikollha teżerċita d-drittijiet tagħha taħt il-GDPR fir-rigward u kontra kull wieħed mill-kontrolluri konġunti. Minn din il-perspettiva, kull wieħed mill-atturi, għalhekk, ikun separatament responsabbli għall-konformità mal-prinċipji msemmija fl-Artikolu 5(1) tal-GDPR (
57
).
86.
Minn dan isegwi, fil-fehma tiegħi, li ma tista’ tiġi stabbilita ebda responsabbiltà “kumulattiva” tad-diversi kontrolluri taħt l-Artikolu 5(2) tal-GDPR. Tabilħaqq, kull wieħed mill-atturi involuti fil-katina tal-ipproċessar jista’ jkun responsabbli individwalment biss għall-konformità mal-prinċipji msemmija fl-Artikolu 5(1) ta’ dak ir-regolament fir-rigward tal-operazzjonijiet tal-ipproċessar li jkun wettaq skont l-għanijiet u l-mezzi tal-ipproċessar tad-data. F’dan il-każ, peress li d-data ġiet ippubblikata b’mod żbaljat mhux min-nutar iżda mill-Moniteur belge, jidhirli li din l-awtorità, minkejja l-fatt li ma inkludietx id-data fis-silta inkwistjoni hija stess, għandha titqies ukoll bħala individwalment responsabbli għall-konformità mal-prinċipji msemmija fl-Artikolu 5(1) tal-GDPR.
87.
Finalment, nixtieq infakkar li hija l-qorti tar-rinviju li għandha tivverifika l-kompatibbiltà tad-dritt nazzjonali li jipprovdi għall-possibbiltà ta’ rettifika, iżda mhux ta’ tħassir, tad-data ppubblikata fil-Moniteur belge mal-GDPR. Tabilħaqq, il-leġiżlazzjoni nazzjonali ma tidhirx li tippermetti lill-Moniteur belge jħassar retroattivament data diġà ppubblikata (inkluż f’forma elettronika). F’dan il-kuntest, huwa minnu li d-drittijiet ta’ rettifika u ta’ tħassir, previsti fl-Artikoli 16 u 17 tal-GDPR, rispettivament, jistgħu, kif iddikjarat fl-Artikolu 23 tal-GDPR, jiġu ristretti taħt id-dritt nazzjonali. Madankollu, tali restrizzjoni għandha, skont l-Artikolu 52(1) tal-Karta, tiġi imposta mil-liġi, tirrispetta l-essenza tad-drittijiet fundamentali tal-persuni fiżiċi u tosserva l-prinċipju ta’ proporzjonalità (
58
).
3. Konklużjoni interim
88.
Għalhekk nipproponi li r-risposta għat-tieni domanda għandha tkun li l-Artikolu 5(2) tal-GDPR għandu jiġi interpretat fis-sens li l-ġurnal uffiċjali inkwistjoni huwa obbligat li josserva r-responsabbiltajiet tal-kontrollur tad-data taħt din id-dispożizzjoni għall-operazzjonijiet li wettaq. L-ipproċessar inkwistjoni ma jagħtix lok għal kontroll konġunt u l-Moniteur belge għandu responsabbiltà unika fir-rigward tal-operazzjonijiet ta’ pproċessar imposti fuqu mid-dritt nazzjonali.
IV. Konklużjoni
89.
Fid-dawl tal-kunsiderazzjonijiet preċedenti, nipproponi li l-Qorti tal-Ġustizzja tirrispondi għad-domanda preliminari magħmula mill-cour d’appel de Bruxelles (il-Qorti tal-Appell, Brussell, il-Belġju) kif ġej:
L-Artikolu 4(7) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas-27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data),
għandu jiġi interpretat fis-sens li ġurnal uffiċjali ta’ Stat Membru, bħall-Moniteur belge, li huwa vestit, taħt il-leġiżlazzjoni nazzjonali applikabbli, bil-missjoni ta’ pubblikazzjoni u ta’ arkivjar ta’ dokumenti uffiċjali, għall-għanijiet li jiżgura protezzjoni effettiva u kompleta tas-suġġetti tad-data, jista’ jitqies bħala kontrollur, fis-sens tal-Artikolu 4(7) tar-Regolament 2016/679, fiċ-ċirkustanzi fejn il-pubblikazzjoni ta’ dawn id-dokumenti tkun ordnata minn entitajiet terzi, kif inhuma, peress li l-leġiżlatur nazzjonali ta lil dan il-ġurnal setgħat li permezz tagħhom jiddetermina l-mezzi tat-trasformazzjoni diġitali, tal-pubblikazzjoni, tat-tixrid u tal-ħażna tad-dokumenti inkwistjoni u stabbilixxa għanijiet ta’ pubblikazzjoni u ta’ tixrid wiesgħa. Madankollu, fir-rigward tan-nuqqas ta’ ħatra tal-kontrollur fir-rigward tal-irtirar jew tat-tħassir ta’ data, peress li d-data inkwistjoni għadha disponibbli għall-pubbliku, hija l-qorti nazzjonali li għandha taħtar l-entità li għandha tikkonforma mal-obbligi li jirriżultaw mir-Regolament 2016/679.
L-Artikolu 5(2) tar-Regolament 2016/679 għandu jiġi interpretat fis-sens li l-ġurnal uffiċjali inkwistjoni huwa obbligat li josserva r-responsabbiltajiet tal-kontrollur tad-data taħt din id-dispożizzjoni għall-operazzjonijiet li jkun wettaq. L-ipproċessar inkwistjoni ma jagħtix lok għal kontroll konġunt u l-Moniteur belge għandu responsabbiltà unika fir-rigward tal-operazzjonijiet ta’ pproċessar imposti fuqu mid-dritt nazzjonali.
(
1
)	Lingwa oriġinali: l-Ingliż.
(
2
)	Regolament tal-Parlament Ewropew u tal-Kunsill tas-27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2).
(
3
)	Moniteur belge, 6 ta’ Awwissu 1999, p. 29440.
(
4
)	Moniteur belge, 6 ta’ Frar 2001, p. 3008.
(
5
)	Moniteur belge, 31 ta’ Diċembru 2022, p. 58686.
(
6
)	Dan invoka l-eċċezzjoni pprovduta fl-Artikolu 17(3) u l-Artikolu 86 tal-GDPR.
(
7
)	Skont l-Artikolu 4(2) tal-GDPR, “ipproċessar” tfisser “kwalunkwe attività jew sett ta’ attivitajiet li jitwettqu fuq data personali jew fuq settijiet ta’ data personali, sew jekk b’mezzi awtomatizzati u sew jekk mingħajrhom, bħalma huma l-ġbir, ir-reġistrazzjoni, l-organizzazzjoni, l-istrutturar, il-ħażna, l-adattament jew il-bidliet, l-irkupru, il-konsultazzjoni, l-użu, l-iżvelar bi trażmissjoni, it-tixrid jew it-tqegħid għad-dispożizzjoni b’xi mezz ieħor, l-allinjament jew it-taħlita, ir-restrizzjoni, it-tħassir jew il-qerda”.
(
8
)	Ara s-sentenza tat-13 ta’ Mejju 2014, Google Spain u Google (C‑131/12, EU:C:2014:317; iktar ’il quddiem is-”sentenza f’Google Spain”), u Lynskey, O., “Control over Personal Data in a Digital Age: Google Spain v AEPD and Mario Costeja Gonzalez”, The Modern Law Review, Vol. 78, Nru 3, 2015, p. 522 sa 534.
(
9
)	Ara l-Konklużjonijiet tal-Avukata Ġenerali Ćapeta fis-sentenza Norra Stockholm Bygg (C‑268/21, EU:C:2022:755, punt 17). Ara wkoll is-sentenza tal-10 ta’ Lulju 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551, punt 68), u Bygrave, L.A. u Tosoni, L., “Article 4(7). Controller” f’Kuner, C., Bygrave, L.A., Docksey, C. and Drechsler, L. u Tosoni, L. (eds), The EU General Data Protection Regulation (GDPR): A Commentary, Oxford University Press, Oxford, 2021, p. 146 sa 150.
(
10
)	Ara, għal dan il-għan, is-sentenza tal-20 ta’ Diċembru 2017, Nowak, C‑434/16, EU:C:2017:994, punt 35.
(
11
)	Ibid, punt 34, u s-sentenza tal-24 ta’ Frar 2022, Valsts ieņēmumu dienests (Ipproċessar tad-data personali għal finijiet fiskali) (C‑175/20, EU:C:2022:124, punt 35).
(
12
)	Direttiva tal-Parlament Ewropew u tal-Kunsill 95/46/KE tal-24 ta’ Ottubru 1995 dwar il-protezzjoni ta’ individwi fir-rigward ta’ l-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ dik id-data (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 13, Vol. 15, p. 355).
(
13
)	Sentenza f’Google Spain, punt 41. Ara wkoll is-sentenza tat-8 ta’ Diċembru 2022, Google (Tneħħija ta’ referenza għal informazzjoni allegatament falza) (C‑460/20, EU:C:2022:962, punt 49).
(
14
)	Sentenza tad-29 ta’ Lulju 2019, (C‑40/17, EU:C:2019:629, punt 72).
(
15
)	Artikolu 4(7) tal-GDPR.
(
16
)	Artikolu 4(8) tal-GDPR. Pereżempju, fir-rigward tar-responsabbiltà ta’ magna tat-tiftix, il-Qorti tal-Ġustizzja ddikjarat li l-ipproċessar ta’ data personali mwettaq fil-kuntest tal-attività ta’ magna tat-tiftix jista’ jiġi distint minn u jingħadd ma’ dak imwettaq mill-edituri ta’ siti internet, li jikkonsisti fit-tqegħid ta’ din id-data fuq paġna tal-internet, filwaqt li enfasizzat li l-operatur ta’ magna tat-tiftix huwa l-persuna li tiddetermina l-għanijiet u l-mezzi tal-attività mwettqa minn din il-magna tat-tiftix (sentenza tat-8 ta’ Diċembru 2022, Google (Tneħħija ta’ referenza għal informazzjoni allegatament falza)C‑460/20, EU:C:2022:962, punt 44).
(
17
)	Ara, għal dan il-għan, is-sentenza Google Spain, punt 34, u s-sentenza tal-5 ta’ Ġunju 2018, Wirtschaftsakademie Schleswig-Holstein (C‑210/16, EU:C:2018:388, punt 28).
(
18
)	Ara l-Linji Gwida 07/2020 dwar il-kunċetti ta’ kontrollur u ta’ proċessur fil-GDPR, EDPB, punt 12.
(
19
)	Konklużjonijiet tal-Avukat Ġenerali Bot fis-sentenza Wirtschaftsakademie Schleswig-Holstein (C‑210/16, EU:C:2017:796, punt 46).
(
20
)	Opinjoni 1/2010 dwar il-kunċetti ta’ “kontrollur” u ta’ “proċessur”, WP 169, p. 11. tal-Grupp ta’ Ħidma dwar il-Protezzjoni tad-Data tal-Artikolu 29, li huwa korp konsultattiv stabbilit permezz tal-Artikolu 29 tad-Direttiva 95/46, li issa huwa sostitwit bil-Bord Ewropew għall-Protezzjoni tad-Data (iktar ’il quddiem l-“EDPB”), stabbilit skont l-Artikolu 68 tal-GDPR.
(
21
)	Van Alsenoy, B., “Chapter 4. Allocation of Responsibility” in Data Protection Law in the EU: Roles, Responsibilities and Liability, l-ewwel edizzjoni, Brussell, Intersentia, 2019, p. 43 sa 53.
(
22
)	Ara l-Artikolu 2 tad-Digriet Reġju tal-25 ta’ Ġunju 2020 li jistabbilixxi l-mudell għall-pubblikazzjoni fil-Moniteur belge li hemm referenza għaliha fl-Artikolu 1250 tal-Kodiċi Ġudizzjarju. Għandi nirrimarka li fil-kapaċità ta’ kontrollur tad-data fis-sens tal-Artikolu 4(7) tal-GDPR, l-SPF Ġustizzja ma għandux biss jiżgura l-”ġestjoni operattiva tal-pubblikazzjoni u jipprovdi mezzi tekniċi għall-ipproċessar”, iżda għandu wkoll jikkonforma mal-obbligi stabbiliti f’dan ir-regolament fir-rigward tal-ipproċessar (ara l-Artikoli 5 u 6 tal-GDPR).
(
23
)	Il-Linji Gwida 07/2020 dwar il-kunċetti ta’ kontrollur u ta’ proċessur fil-GDPR, EDPB, punt 20.
(
24
)	Ibid.
(
25
)	Madankollu, l-obbligu, stabbilit fl-Artikolu 4(7) tal-GDPR, flimkien mal-Artikolu 5(1)(b) tiegħu, li l-għanijiet għandhom ikunu determinati u espliċiti jeħtieġ mill-inqas li kull determinazzjoni indiretta tal-għanijiet tal-ipproċessar tkun evidenti mid-dispożizzjonijiet legali sottostanti l-attività tal-awtorità kkonċernata.
(
26
)	Ara s-sentenza tad-9 ta’ Marzu 2017, Manni (C‑398/15, EU:C:2017:197, punt 35).
(
27
)	Ara l-Artikoli 71 u 73 tal-Kodiċi tal-Kumpanniji.
(
28
)	Waqt is-seduta, il-Gvern Belġjan saħaq li l-liġi kienet impliċitament ħatret lin-nutar bħala l-kontrollur, filwaqt li l-APD sostniet li hija kienet tat din il-kapaċità lill-Moniteur belge.
(
29
)	Sentenza tal-10 ta’ Lulju 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551, punt 68).
(
30
)	Sentenza tad-29 ta’ Lulju 2019, Fashion ID (C‑40/17, EU:C:2019:629).
(
31
)	Ibid, punti 78 u 79.
(
32
)	Kif indikat mill-Avukat Ġenerali Pitruzzella fil-konklużjonijiet tiegħu fis-sentenza Google (Tneħħija ta’ referenza għal informazzjoni allegatament falza) (C‑460/20, EU:C:2022:271), punt 15), minħabba dan l-aspett, il-Qorti tal-Ġustizzja, fis-sentenza Google Spain, speċifikat li l-ipproċessar ta’ data personali mwettaq fil-kuntest tal-attività ta’ magna tat-tiftix huwa differenti minn u jingħadd ma’ dak imwettaq mill-edituri ta’ siti tal-internet, li jikkonsisti fit-tqegħid ta’ din id-data fuq paġna tal-internet.
(
33
)	Sentenza tad-29 ta’ Lulju 2019, Fashion ID (C‑40/17, EU:C:2019:629, punt 70).
(
34
)	Ara, għal dan il-għan, is-sentenza tal-24 ta’ Settembru 2019, GC et (Tneħħija ta’ referenza għal data sensittiva), (C‑136/17, EU:C:2019:773, punt 37).
(
35
)	Is-sentenza f’Google Spain, punt 34.
(
36
)	Ara l-premessa 1 tal-GDPR.
(
37
)	Ara l-punt 68 iktar ’il quddiem.
(
38
)	Sentenza tat-8 ta’ Diċembru 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Skopijiet tal-ipproċessar ta’ data personali – Investigazzjoni kriminali), (C‑180/21, EU:C:2022:967, punt 80).
(
39
)	Ara l-punt 54 iktar ’il fuq.
(
40
)	Ara l-premessi 1 u 4 u l-Artikolu 1(2) tal-GDPR.
(
41
)	Ara, għal dan il-għan, is-sentenza tal-10 ta’ Lulju 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551, punt 66).
(
42
)	Skont l-Artikolu 28 u 29 tal-GDPR, l-ipproċessar minn proċessur għandu jkun irregolat minn kuntratt jew minn att legali taħt id-dritt tal-Unjoni jew tal-Istat Membru li jorbot lill-proċessur fir-rigward tal-kontrollur u li jispeċifika l-ipproċessar. Il-leġiżlatur nazzjonali kellu jistabbilixxi regoli dwar l-ipproċessar sabiex il-Moniteur belge jikkwalifika bħala proċessur.
(
43
)	Ara l-punti 55 sa 57 ta’ dawn il-konklużjonijiet.
(
44
)	Barra minn hekk, l-argument imressaq mill-Gvern Belġjan jikkontradixxi l-argument tiegħu stess imressaq waqt is-seduta, fejn sostna li l-Moniteur belge ma jinfurzax il-liġi, iżda pjuttost jimplimenta t-talba tan-nutar.
(
45
)	Artikoli 474 sa 476 tal-Liġi Programm tal-24 ta’ Diċembru 2002.
(
46
)	Dan sar għaxart-ijiem taħt ir-regoli l-ġodda.
(
47
)	Ara l-Artikoli 73 u 76 tal-Kodiċi tal-Kumpanniji.
(
48
)	Il-kwistjoni li tqum hawnhekk hija jekk il-leġiżlatur Belġjan illimitax is-setgħat tal-kontrollur b’mod li jmur kontra l-GDPR. Jista’ jiġi argumentat li tali limitazzjoni hija problematika fid-dawl mhux biss tal-Artikolu 17 tal-GDPR iżda wkoll fir-rigward tal-Artikolu 16(1) TFUE u l-Artikolu 8(1) tal-Karta, u tista’ potenzjalment iddgħajjef l-effett utli tal-protezzjoni mogħtija mill-GDPR. Madankollu, filwaqt li l-qorti tar-rinviju ser ikollha teżamina dawk il-kwistjonijiet, peress li t-talba tas-suġġett tad-data hija bbażata fuq l-Artikolu 17 tal-GDPR, huwa ċar li ma jaqgħux fil-portata ta’ din it-talba għal deċiżjoni preliminari magħmula minn dik il-qorti.
(
49
)	Ara l-punt 54 iktar ’il fuq.
(
50
)	Waqt is-seduta, il-Kummissjoni spjegat li, pereżempju, Il-Ġurnal Uffiċjali tal-Unjoni Ewropea jista’ jiġi emendat u li tali soluzzjonijiet jeżistu.
(
51
)	Ara l-Artikolu 5(1)(c) u (d) tal-GDPR.
(
52
)	Ara l-punt 55 iktar ’il fuq.
(
53
)	Kif indikat mill-Avukat Ġenerali Pitruzzella fil-konklużjonijiet tiegħu fis-sentenza Google (Tneħħija ta’ referenza għal informazzjoni allegatament falza) (C‑460/20, EU:C:2022:271), punt 15), minħabba dan l-aspett, il-Qorti tal-Ġustizzja, fis-sentenza Google Spain, speċifikat li l-ipproċessar ta’ data personali mwettaq fil-kuntest tal-attività ta’ magna tat-tiftix huwa differenti minn u jingħadd ma’ dak imwettaq mill-edituri ta’ siti tal-internet, li jikkonsisti fit-tqegħid ta’ din id-data fuq paġna tal-internet.
(
54
)	Sentenza tad-29 ta’ Lulju 2019, Fashion ID (C‑40/17, EU:C:2019:629, punt 67). Ara wkoll il-Linji Gwida 07/2020 dwar il-kunċetti ta’ kontrollur u ta’ proċessur fil-GDPR, iċċitati iktar ’il fuq, EDPB punt 29.
(
55
)	Ara l-Linji Gwida 07/2020 dwar il-kunċetti ta’ kontrollur u ta’ proċessur fil-GDPR, EDPB, punt 67. Kif iddikjarat mill-Kummissjoni, mhux it-tipi kollha ta’ sħubiji, kooperazzjonijiet jew kollaborazzjonijiet jimplikaw li l-entitajiet huma kontrolluri konġunti, peress li din il-kapaċità teħtieġ analiżi fuq bażi ta’ każ b’każ ta’ kull trattament u r-rwol preċiż li jkollha kull entità f’kull trattament. Jiena nargumenta li għandha tiġi prevista responsabbiltà konġunta meta żewġ entitajiet ikunu qiegħdin iwettqu operazzjonijiet ta’ pproċessar li ma jistgħux jiġu distinti bħala stadji separati ta’ pproċessar.
(
56
)	Ara, għal dan il-għan, is-sentenza tad-29 ta’ Lulju 2019, Fashion ID (C‑40/17, EU:C:2019:629, punt 74).
(
57
)	Pereżempju, ir-Reġistru tal-Qorti tal-Kumpanniji biss għandu l-kapaċità li jdaħħal is-silta inkwistjoni fil-fajl tal-kumpannija.
(
58
)	Ara, għal dan il-għan, is-sentenza tas-16 ta’ Lulju 2020, Facebook Ireland u Schrems, C‑311/18, EU:C:2020:559, punti 172 sa 176.