62021CJ0807_RES
Kawża C‑807/21
Deutsche Wohnen SE
vs
Staatsanwaltschaft Berlin
(talba għal deċiżjoni preliminari, imressqa mill-Kammergericht Berlin)
Sentenza tal-Qorti tal-Ġustizzja (Awla Manja) tal-5 ta’ Diċembru 2023
“Rinviju għal deċiżjoni preliminari – Protezzjoni tad-data personali – Regolament (UE) 2016/679 – Punt 7 tal-Artikolu 4 – Kunċett ta’ ‘kontrollur’ – Artikolu 58(2) – Setgħat tal-awtoritajiet superviżorji li jimponu miżuri korrettivi – Artikolu 83 – Impożizzjoni ta’ multi amministrattivi fuq persuna ġuridika – Kundizzjonijiet – Marġni ta’ manuvra tal-Istati Membri – Rekwiżit tan-natura intenzjonali jew negliġenti tal-ksur”
Protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Impożizzjoni ta’ multi amministrattivi – Kundizzjonijiet – Assenza ta’ marġni ta’ manuvra tal-Istati Membri sabiex jipprevedu l-kundizzjonijiet sostantivi relatati mal-impożizzjoni ta’ multa amministrattiva fuq kontrollur – Rilevanza tal-kunċett ta’ impriża fis-sens tal-Artikoli 101 u 102 TFUE llimitat għall-kalkolu tal-multa – Leġiżlazzjoni nazzjonali li tissuġġetta l-possibbiltà li tiġi imposta multa fuq persuna ġuridika fil-kwalità tagħha ta’ kontrollur għall-kundizzjoni ta’ imputazzjoni minn qabel tal-ksur inkwistjoni fuq persuna fiżika identifikata – Inammissibbiltà
(Artikoli 101, 102, it-tieni subparagrafu tal-Artikolu 288 TFUE; Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, premessi 10, 11, 74, 129 u 150 u l-punt 7 tal-Artikolu 4, Artikolu 58(2) u (4), u Artikolu 83)
(ara l-punti 38, 43 sa 60, u d-dispożittiv 1)
Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Kunċett ta’ kontrollur – Persuna ġuridika – Inklużjoni – Kundizzjoni – Parteċipazzjoni effettiva fid-determinazzjoni tal-għanijiet u tal-motivi tal-ipproċessar
(Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, il-punt 7 tal-Artikolu 4)
(ara l-punti 39 sa 42)
Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Impożizzjoni ta’ multi amministrattivi – Kundizzjonijiet – Assenza ta’ marġni ta’ manuvra tal-Istati Membri sabiex jipprevedu l-kundizzjonijiet sostantivi relatati mal-impożizzjoni ta’ multa amministrattiva fuq kontrollur – Rekwiżit ta’ ksur imwettaq mill-kontrollur b’mod intenzjonali jew b’negliġenza
(Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, premessi 9, 13 u 148 u Artikoli 58(2) u 83)
(ara l-punti 65 sa 78, 86, u d-dispożittiv 2)
Sunt
Deutsche Wohnen SE (iktar ’il quddiem “DW”) hija kumpannija immobiljari li għandha indirettament, permezz ta’ holdings f’kumpanniji differenti, diversi unitajiet kummerċjali u ta’ akkomodazzjoni. Hija tipproċessa, fil-kuntest tal-attivitajiet kummerċjali tagħha, data personali tal-kerrejja ta’ dawn l-unitajiet.
Wara żewġ kontrolli mwettqa fl-2017 u fl-2019, il-Berliner Beauftragte für den Datenschutz (l-Awtorità Superviżorja ta’ Berlin, il-Ġermanja) ikkonstatat serje ta’ ksur tal-GDPR (
1
) imwettqa minn DW. Permezz ta’ deċiżjoni tat-30 ta’ Ottubru 2019, din l-awtorità superviżorja, abbażi ta’ dan, imponiet fuqha multi amministrattivi.
DW ippreżentat rikors kontra din id-deċiżjoni quddiem il-Landgericht Berlin (il-Qorti Reġjonali ta’ Berlin, il-Ġermanja), li għalqet il-proċedura mingħajr segwitu. Din il-qorti rrilevat li, skont il-liġi Ġermaniża (
2
), ksur amministrattiv jista’ jiġi kkonstatat biss fil-konfront ta’ persuna fiżika u mhux fil-konfront ta’ persuna ġuridika. Barra minn hekk, fil-każ ta’ responsabbiltà ta’ persuna ġuridika, huma biss l-atti tal-membri tal-korpi tagħha jew tar-rappreżentanti tagħha li jistgħu jiġu imputati lilha. L-iStaatsanwaltschaft Berlin (l-Uffiċċju tal-Prosekutur ta’ Berlin, il-Ġermanja) ippreżenta rikors kontra din id-deċiżjoni quddiem il-Kammergericht Berlin (il-Qorti Reġjonali Superjuri ta’ Berlin, il-Ġermanja). F’dan il-kuntest, din il-qorti ressqet talba għal deċiżjoni preliminari quddiem il-Qorti tal-Ġustizzja dwar l-interpretazzjoni tal-GDPR (
3
).
Fis-sentenza tagħha, il-Qorti tal-Ġustizzja, bl-Awla Manja bħala l-kulleġġ ġudikanti, tat deċiżjoni dwar il-kundizzjonijiet għall-impożizzjoni ta’ multi amministrattivi skont il-GDPR. Fl-ewwel lok, hija eżaminat il-kwistjoni dwar jekk l-Istati Membri jistgħux jissuġġettaw l-impożizzjoni ta’ multa amministrattiva fuq persuna ġuridika għall-kundizzjoni li l-ksur ta’ dan ir-regolament jiġi imputat minn qabel lil persuna fiżika identifikata. Fit-tieni lok, hija indirizzat il-kwistjoni dwar jekk il-ksur issanzjonat tad-dispożizzjonijiet tal-GDPR għandux jitwettaq intenzjonalment jew b’negliġenza (
4
).
Il-kunsiderazzjonijiet tal-Qorti tal-Ġustizzja
Fir-rigward tal-impożizzjoni ta’ multa amministrattiva skont il-GDPR fuq persuna ġuridika, il-Qorti tal-Ġustizzja rrilevat, qabelxejn, li l-prinċipji, il-projbizzjonijiet u l-obbligi previsti mill-GDPR huma indirizzati, b’mod partikolari, lill-“kontrolluri”, li r-responsabbiltà tagħhom testendi għal kull ipproċessar ta’ data personali li jwettqu huma stess jew li jitwettaq f’isimhom. Hija din ir-responsabbiltà li tikkostitwixxi, fil-każ ta’ ksur tad-dispożizzjonijiet tal-GDPR, il-bażi għall-impożizzjoni ta’ multa amministrattiva fuq il-kontrollur skont l-Artikolu 83 ta’ dan ir-regolament. Madankollu, il-leġiżlatur tal-Unjoni, għall-finijiet tad-determinazzjoni ta’ tali responsabbiltà, ma għamilx distinzjoni bejn il-persuni fiżiċi u l-persuni ġuridiċi, peress li din ir-responsabbiltà hija suġġetta biss għall-kundizzjoni li dawn, waħedhom jew flimkien ma’ oħrajn, jiddeterminaw il-finijiet u l-mezzi tal-ipproċessar ta’ data personali (
5
). Għaldaqstant, bħala prinċipju, kull persuna li tissodisfa din il-kundizzjoni hija b’mod partikolari responsabbli għal kull ksur tal-GDPR, imwettaq minnha stess jew f’isimha. Dan jimplika, minn naħa, li l-persuni ġuridiċi huma responsabbli mhux biss għall-ksur imwettaq mir-rappreżentanti, mid-diretturi jew mill-amministraturi tagħhom, iżda wkoll minn kull persuna oħra li taġixxi fil-kuntest tal-attività kummerċjali ta’ dawn il-persuni ġuridiċi u f’isimhom. Min-naħa l-oħra, il-multi amministrattivi previsti mill-GDPR fil-każ ta’ tali ksur għandhom ikunu jistgħu jiġu imposti direttament fuq persuni ġuridiċi meta dawn ikunu jistgħu jiġu kklassifikati bħala kontrolluri.
Sussegwentement, il-Qorti tal-Ġustizzja osservat li ebda dispożizzjoni tal-GDPR ma tippermetti li jitqies li l-impożizzjoni ta’ multa amministrattiva fuq persuna ġuridika bħala kontrollur hija suġġetta għall-konstatazzjoni minn qabel li dan il-ksur ikun twettaq minn persuna fiżika identifikata. Barra minn hekk, il-leġiżlatur tal-Unjoni ma ħalliex lill-Istati Membri marġni ta’ diskrezzjoni f’dan ir-rigward. Il-fatt li l-GDPR jagħtihom il-possibbiltà li jipprevedu rekwiżiti dwar il-proċedura li jkollha tiġi segwita mill-awtoritajiet superviżorji sabiex tiġi imposta multa amministrattiva (
6
) bl-ebda mod ma jfisser li huma wkoll awtorizzati jipprevedu kundizzjonijiet sostantivi addizzjonali għal dawk stabbiliti mill-GDPR.
F’dan il-kuntest, il-Qorti tal-Ġustizzja ppreċiżat li jekk l-Istati Membri jkunu jistgħu jeżiġu, b’mod unilaterali u bħala kundizzjoni neċessarja għall-impożizzjoni ta’ multa amministrattiva skont l-Artikolu 83 tal-GDPR fuq kontrollur li huwa persuna ġuridika, li l-ksur inkwistjoni jiġi imputat jew ikun imputabbli, minn qabel, lil persuna fiżika identifikata, dan ikun imur kontra dan l-għan tal-GDPR. Barra minn hekk, tali rekwiżit addizzjonali jirriskja, fl-aħħar mill-aħħar, li jdgħajjef l-effettività u l-effett dissważiv tal-multi amministrattivi imposti fuq persuni ġuridiċi bħala kontrolluri.
Fl-aħħar nett, il-Qorti tal-Ġustizzja enfasizzat li l-kunċett ta’ “impriża”, fis-sens tal-Artikoli 101 u 102 TFUE (
7
), ma għandux effett fuq il-punt dwar jekk u f’liema kundizzjonijiet tista’ tiġi imposta multa amministrattiva skont il-GDPR fuq kontrollur li jkun persuna ġuridika u huwa rilevanti biss għad-determinazzjoni tal-ammont ta’ tali multa.
Għalhekk, il-Qorti tal-Ġustizzja kkonkludiet li l-GDPR (
8
) jipprekludi leġiżlazzjoni nazzjonali li bis-saħħa tagħha multa amministrattiva tista’ tiġi imposta fuq persuna ġuridika fil-kwalità tagħha ta’ kontrollur għal ksur ta’ dan ir-regolament (
9
) biss sa fejn dan il-ksur ikun ġie imputat qabel lil persuna fiżika identifikata.
Fir-rigward tal-kwistjoni dwar jekk l-Istati Membri jistgħux jipprevedu l-impożizzjoni ta’ multa amministrattiva anki meta l-ksur issanzjonat ma jkunx twettaq intenzjonalment jew b’negliġenza, il-Qorti tal-Ġustizzja fakkret, qabel kollox, li l-kundizzjonijiet sostantivi li awtorità ta’ superviżjoni għandha tosserva meta hija timponi tali multa fuq kontrollur jaqgħu biss taħt id-dritt tal-Unjoni u li l-Istati Membri ma għandhom ebda marġni ta’ manuvra f’dan ir-rigward.
F’dak li jikkonċerna dawn il-kundizzjonijiet, il-Qorti tal-Ġustizzja osservat li, fost l-elementi elenkati fil-GDPR li abbażi tagħhom l-awtorità superviżorja għandha timponi tali multa, hemm “il-karattru intenzjonali jew negliġenti tal-ksur” (
10
). Għall-kuntrarju, ebda wieħed minn dawn l-elementi ma jsemmi xi possibbiltà li tiġi stabbilita r-responsabbiltà tal-kontrollur fl-assenza ta’ aġir żbaljat min-naħa tiegħu. Għalhekk, huwa biss il-ksur tad-dispożizzjonijiet tal-GDPR imwettaq mill-kontrollur intenzjonalment jew b’negliġenza li jista’ jwassal għall-impożizzjoni ta’ multa amministrattiva fuq dan tal-aħħar skont l-Artikolu 83 ta’ dan ir-regolament.
Il-Qorti tal-Ġustizzja żiedet li din l-interpretazzjoni hija kkorroborata mill-istruttura ġenerali u mill-għan tal-GDPR. F’dan il-kuntest, hija ppreċiżat li l-eżistenza ta’ sistema ta’ sanzjonijiet skont il-GDPR li tippermetti li tiġi imposta, meta ċ-ċirkustanzi speċifiċi ta’ kull każ jiġġustifikaw dan, multa amministrattiva toħloq, għall-kontrolluri u għall-proċessuri, inċentiv sabiex jikkonformaw ruħhom ma’ dan ir-regolament u li, permezz tal-effett dissważiv tagħhom, il-multi amministrattivi jikkontribwixxu għat-tisħiħ tal-protezzjoni tas-suġġetti tad-data. Madankollu, il-leġiżlatur tal-Unjoni ma qiesx li kien neċessarju li jipprevedi l-impożizzjoni ta’ multi amministrattivi fl-assenza ta’ ħtija. Fid-dawl tal-fatt li l-GDPR għandu livell ta’ protezzjoni kemm ekwivalenti kif ukoll omoġenju u li, għal dan l-għan, għandu jiġi applikat b’mod koerenti fl-Unjoni kollha, ikun kuntrarju għal dan l-għan li l-Istati Membri jkunu jistgħu jipprevedu tali sistema għall-impożizzjoni ta’ multa.
Konsegwentement, il-Qorti tal-Ġustizzja kkonstatat li, skont l-Artikolu 83 tal-GDPR, multa amministrattiva tista’ tiġi imposta biss jekk jiġi stabbilit li l-kontrollur, li huwa kemm persuna ġuridika kif ukoll impriża, ikun wettaq, intenzjonalment jew b’negliġenza, ksur tar-regoli li jinsabu f’dan ir-regolament.
(
1
)	Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas-27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-“GDPR”).
(
2
)	Gesetz über Ordnungswidrigkeiten (il-Liġi dwar il-Ksur Amministrattiv), tal-24 ta’ Mejju 1968 (BGBl. I, p. 481), fil-verżjoni tal-komunikazzjoni tad-19 ta’ Frar 1987 (BGBl. I, p. 602), kif emendata bil-Liġi tad-19 ta’ Ġunju 2020, (BGBl. I, p. 1350).
(
3
)	Artikolu 58(2) u Artikolu 83 tal-GDPR.
(
4
)	Dwar dan l-aspett, ara wkoll is-sentenza Nacionalinis visuomenės sveikatos centras (C‑683/21), mogħtija fl-istess jum.
(
5
)	Skont il-punt 7 tal-Artikolu 4 tal-GDPR.
(
6
)	Kif jirriżulta mill-Artikolu 58(4) u mill-Artikolu 83(8) tal-GDPR, moqrija fid-dawl tal-premessa 129 tiegħu.
(
7
)	Li għaliha jsir riferiment fil-premessa 150 tal-GDPR.
(
8
)	Artikolu 58(2)(i) u Artikolu 83(1) sa (6)(a) tal-GDPR.
(
9
)	Imsemmija fl-Artikolu 83(4) sa (6) tal-GDPR.
(
10
)	Artikolu 83(2)(b) tal-GDPR.