62023CJ0492
SENTENZA TAL-QORTI TAL-ĠUSTIZZJA (Awla Manja)
tat‑2 ta’ Diċembru 2025 (
*1
)
“Rinviju għal deċiżjoni preliminari – Protezzjoni tad-data personali – Regolament (UE) 2016/679 – Punt 7 tal-Artikolu 4 – Kunċett ta’ ‘kontrollur’ – Responsabbiltà tal-operatur ta’ suq online għall-pubblikazzjoni ta’ data personali li tinsab f’reklami mqiegħda fis-suq online tiegħu minn utenti li jirreklamaw – Artikolu 5(2) – Prinċipju ta’ responsabbiltà – Artikolu 26 – Responsabbiltà konġunta ma’ dawn l-utenti li jirreklamaw – Artikolu 9(1) u (2)(a) – Reklami li jinkludu data sensittiva – Legalità tal-ipproċessar – Kunsens – Artikoli 24, 25 u 32 – Obbligi tal-kontrollur – Identifikazzjoni minn qabel tar-reklami li jinkludu tali data – Verifika minn qabel tal-identità tal-utent li jirreklama – Rifjut tal-pubblikazzjoni ta’ reklami illegali – Miżuri ta’ sigurtà li jistgħu jipprekludu l-ikkopjar tar-reklami u l-pubblikazzjoni tagħhom fuq siti tal-internet oħra – Kummerċ elettroniku – Direttiva 2000/31/KE – Artikoli 12 sa 15 – Possibbiltà li tali operatur jinvoka, fir-rigward ta’ ksur ta’ dawn l-obbligi, l-eżenzjoni mir-responsabbiltà ta’ intermedjarju li jipprovdi servizzi tas-soċjetà tal-informazzjoni”
Fil-Kawża C‑492/23,
li għandha bħala suġġett talba għal deċiżjoni preliminari abbażi tal-Artikolu 267 TFUE, imressqa mill-Curtea de Apel Cluj (il-Qorti tal-Appell ta’ Cluj, ir-Rumanija), permezz ta’ deċiżjoni tal‑15 ta’ Ġunju 2023, li waslet fil-Qorti tal-Ġustizzja fit‑3 ta’ Awwissu 2023, fil-proċedura
X
vs
Russmedia Digital SRL,
Inform Media Press SRL
IL-QORTI TAL-ĠUSTIZZJA (Awla Manja),
komposta minn K. Lenaerts, President, T. von Danwitz, Viċi President, F. Biltgen, K. Jürimäe (Relatriċi), C. Lycourgos, I. Jarukaitis, M. L. Arastey Sahún, I. Ziemele, J. Passer, Presidenti ta’ Awla, S. Rodin, E. Regan, N. Jääskinen u D. Gratsias, Imħallfin,
Avukat Ġenerali: M. Szpunar,
Reġistratur: R. Șereș, Amministratriċi
wara li rat il-proċedura bil-miktub u wara s-seduta tat‑2 ta’ Lulju 2024,
wara li kkunsidrat l-osservazzjonijiet ippreżentati:
–
għal X, minn I. Kis, avocată,
–
għall-Gvern Rumen, minn E. Gane, L. Ghiţă u R. I. Haţieganu, bħala aġenti,
–
għall-Kummissjoni Ewropea, minn L. Armati, H. Kranenborg u P.-J. Loewenthal u L. Nicolae, bħala aġenti,
wara li semgħet il-konklużjonijiet tal-Avukat Ġenerali, ippreżentati waqt is-seduta tas‑6 ta’ Frar 2025,
tagħti l-preżenti
Sentenza
1
It-talba għal deċiżjoni preliminari tirrigwarda l-interpretazzjoni kemm tal-Artikoli 12 sa 15 tad-Direttiva 2000/31/KE tal-Parlament Ewropew u tal-Kunsill tat‑8 ta’ Ġunju 2000 dwar ċerti aspetti legali tas-servizzi minn soċjetà ta’ l-informazzjoni, partikolarment il-kummerċ elettroniku, fis-Suq Intern (Direttiva dwar il-kummerċ elettroniku) (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 13, Vol. 25, p. 399), kif ukoll tal-Artikolu 2(4), tal-punti 7 u 11 tal-Artikolu 4, tal-Artikolu 5(1)(b) u (f), tal-Artikolu 6(1)(a) u tal-Artikoli 7, 24 u 25 tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-“GDPR”).
2
Din it-talba tressqet fil-kuntest ta’ tilwima bejn persuna fiżika, X, u Russmedia Digital SRL u Inform Media Press SRL (iktar ’il quddiem, ikkunsidrati flimkien, “Russmedia”) kemm fir-rigward ta’ azzjoni għal kumpens tad-danni morali mġarrba mir-rikorrenti fil-kawża prinċipali minħabba l-ipproċessar illegali tad-data tagħha kif ukoll fir-rigward tal-ksur tad-dritt tagħha għall-immaġni, għall-unur u għall-ħajja privata.
Il-kuntest ġuridiku
Id-dritt tal-Unjoni
Id-Direttiva 2000/31
3
Skont il-premessi 14, 42, 46 u 52 tad-Direttiva 2000/31:
“(14)
Il-protezzjoni ta’ individ[w]i fir-rigward ta’ l-ipproċessar ta’ data personali hija regolata biss mid-Direttiva 95/46/KE tal-Parlament Ewropew u tal-Kunsill ta’ l-24 ta’ Ottubru 1995 dwar il-protezzjoni ta’ individwi fir-rigward ta’ l-ipproċessar ta’ data personali u tal-moviment liberu ta’ dik id-data [(ĠU Edizzjoni Speċjali bil-Malti. Kapitolu 13, Vol. 15, p. 355)] u d-Direttiva 97/66/KE tal-Parlament Ewropew u l-Kunsill tal-15 ta’ Diċembru 1997 li tirrigwarda l-ipproċessar ta’ data personali u l-protezzjoni tal-privatezza fis-settur tat-telekomunikazzjoni [(ĠU 1998, L 24, p. 1)] li huma kompletament applikabbli għal servizz minn soċjetà ta’ l-informazzjoni; […] l-implimentazzjoni u l-applikazzjoni ta’ din id-Direttiva għandu jsir b’konformità sħiħa mal-prinċipji li jirrigwardaw il-protezzjoni ta’ data personali, partikolarment f’dak li jirrigwarda komunikazzjoni kummerċjali mhijiex mitluba u r-responsabbilità ta’ intermedjarji; din id-Direttiva ma tistax twaqqaf l-użu anonimu f’networks miftuħa bħal fl-Internet.
[…]
(42)
L-eżenzjonijiet mir-responsabbilità stabbilita f’din id-Direttiva jkopru biss każi meta l-attività ta’ dak li jipprovdi servizz għas-soċjetà ta’ l-informazzjoni tkun limitata għall-proċess tekniku ta’ operat u tagħti aċċess għal qafas ta’ komunikazzjoni li fuqu informazzjoni disponibbli minn partijiet terzi tkun trasmessa jew temporanjament maħżuna, bl-iskop biss li tagħmel it-trasmissjoni aktar effiċjenti; din l-attività hija sempliċement teknika, awtomatika u passiva fin-natura, li timplika li dak li jipprovdi servizz għas-soċjetà ta’ l-informazzjoni la jkollu tagħrif u lanqas kontroll fuq l-informazzjoni li tkun trasmessa jew maħżuna.
[…]
(46)
Sabiex jibbenefika mill-limitazzjoni ta’ responsabbilità, dak li jipprovdi servizz għas-soċjetà ta’ l-informazzjoni, li jikkonsisti fil-ħażna ta’ informazzjoni, malli jakkwista’ t-tagħrif attwali jew isir konxju ta’ l-attivitajiet illegali għandu jaġixxi mingħajr dewmien biex ineħħi jew iwaqqaf l-aċċess għall-informazzjoni kkonċernata; it-tneħħija jew it-twaqqif ta’ aċċess għandu jseħħ fl-osservanza tal-prinċipji ta’ libertà ta’ l-espressjoni u tal-proċeduri stabbiliti għal dan l-iskop f’livell nazzjonali; din id-Direttiva ma taffettwax il-possibilità ta’ Stati Membri milli jistabbilixxu ħtiġijiet speċifiċi li għandhom ikunu mwettqa mingħajr dewmien qabel it-tneħħija jew it-twaqqif ta’ l-informazzjoni.
[…]
(52)
[…] ħsara li tista’ tinħoloq b’konnessjoni ma’ servizz minn soċjetà ta’ l-informazzjoni hi karatterizzata kemm mill-ħeffa kif ukoll mill-medda ġeografika tagħha; b’dan il-għan il-karattru speċifiku u l-ħtieġa li tkun assigurata li l-awtoritajiet nazzjonali ma jipperikolawx il-fiduċja reċiproka li huma għandhom ikollhom f’xulxin, din id-Direttiva titlob lill-Istati Membri biex jassiguraw li azzjonijiet xierqa mill-qrati jkunu disponibbli; […]”
4
L-Artikolu 1 tad-Direttiva 2000/31, bit-titolu “Għan u qasam ta’ applikazzjoni”, jipprovdi:
“1.   Din id-Direttiva tfittex li tikkontribwixxi għal funzjonament sewwa tas-suq intern billi tassigura l-moviment liberu bejn l-Istati Membri ta’ servizz minn soċjetà ta’ l-informazzjoni.
[…]
5.   Din id-Direttiva m’għandhiex tapplika fil-:
[…]
(b) kwistjonijiet li jirrigwardaw servizzi minn soċjetà ta’ l-informazzjoni koperti bid-Direttivi [95/46] u [97/66];
[…]”
5
It-Taqsima 4 tal-Kapitolu II tad-Direttiva 2000/31, intitolata “Responsabbilità ta’ intermedjarji li jipprovdu servizz”, kienet tinkludi, fil-verżjoni tagħha applikabbli għat-tilwima fil-kawża prinċipali, l-Artikoli 12 sa 15 ta’ din id-direttiva. L-Artikoli 12 u 13 tagħha kienu jirrigwardaw, konformement mat-titoli rispettivi tagħhom, il-“[m]ere conduit [is-sempliċi trasport]” u l-forma ta’ ħażna msejjħa “Caching”.
6
L-Artikolu 14 tal-imsemmija direttiva, bit-titolu “Hosting”, kien jipprevedi:
“1.   Meta servizz għas-soċjetà ta’ l-informazzjoni jkun provdut li jikkonsisti fiż-żamma ta’ informazzjoni ipprovduta minn dak li jirċievi s-servizz, Stati Membri għandhom jassiguraw li dak li jipprovdi s-servizz ma jkunx responsabbli għall-informazzjoni miżmuma fuq it-talba ta’ dak li jirċievi s-servizz, bil-kundizzjoni li:
(a)
dak li jipprovdi attwalment ma jkollux tagħrif ta’ attività jew informazzjoni illegali u, fir-rigward ta’ ħsarat, ma jkunx konxju tal-fatti jew taċ-ċirkostanzi li minnhom l-attività jew l-informazzjoni illegali tkun apparenti;
jew
(b)
dak li jipprovdi, malli jakkwista t-tagħrif jew meta jsir konxju, jaġixxi mingħajr dewmien biex ineħħi jew iwaqqaf l-aċċess għall-informazzjoni.
2.   Il-paragrafu 1 m’għandux ikun applikabbli meta dak li jirċievi s-servizz ikun jaġixxi permezz ta’ l-awtorità jew tal-kontroll ta’ dak li jipprovdi.
3.   Dan l-Artikolu m’għandux jaffettwa l-possibiltà għal qorti jew awtorità amministrattiva, bi qbil mas-sistemi leġali ta’ Stati Membri, tal-ħtieġa li dak li jipprovdi s-servizz jittermina jew iwaqqaf ksur, l-anqas ma taffettwa l-possibiltà għal Stati Membri li jistabbilixxu proċeduri li jirregolaw it-tneħħija jew it-twaqqif ta’ aċċess għall-informazzjoni.”
7
L-Artikolu 15 tal-istess direttiva, intitolat “L-ebda obbligu ġenerali li jsir monitoraġġ”, kien jipprevedi, fil-paragrafi (1) u (2) tiegħu:
“1.   L-Istati Membri m’għandhomx jimponu obbligu ġenerali fuq dawk li jipprovdu, meta jipprovdu s-servizzi koperti mill-Artikoli 12, 13 u 14, li jagħmlu monitoraġġ ta’ l-informazzjoni li huma jittrasmettu jew iżommu, l-anqas obbligu ġenerali biex ikunu mfittxija fatti jew ċirkostanzi li jindikaw attività illegali.
2.   L-Istati Membri jistgħu jistabbilixxu obbligi għal dawk li jipprovdu servizzi minn soċjetà ta’ l-informazzjoni, li malajr kemm jista’ jkun jinfurmaw lill-awtoritajiet kompetenti pubbliċi dwar l-allegati attivitajiet illegali jew informazzjoni provduta minn dawk li jirċievu s-servizz tagħhom, jew obbligi li jikkomunikaw lill-awtoritajiet kompetenti, fuq talba tagħhom stess, informazzjoni li tiffaċilita l-identifikazzjoni ta’ dawk li jirċievu s-servizz tagħhom li magħhom ikollhom ftehim għaż-żamma.”
Il-GDPR
8
Skont il-premessi 4, 10, 39, 51, 74, 75, 78 u 85 tal-GDPR:
“(4)
L-ipproċessar tad-data personali għandu jitfassal biex iservi lill-bniedem. Id-dritt għall-protezzjoni tad-data personali mhuwiex dritt assolut; huwa għandu jiġi kkunsidrat b’rabta mal-funzjoni tiegħu fis-soċjetà u jkun ibbilanċjat ma’ drittijiet fundamentali oħrajn, f’konformità mal-prinċipju tal-proporzjonalità. Dan ir-Regolament jirrispetta d-drittijiet fundamentali kollha u josserva l-libertajiet u l-prinċipji rikonoxxuti fil-[Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea] kif integrata fit-Trattati, b’mod partikolari r-rispett għall-ħajja privata u tal-familja, id-dar u l-komunikazzjonijiet, il-protezzjoni tad-data personali, il-libertà tal-ħsieb, tal-kuxjenza u tar-reliġjon, il-libertà tal-espressjoni u tal-informazzjoni, il-libertà tal-intrapriża, id-dritt għal rimedju effettiv u għal proċess imparzjali u d-diversità kulturali, reliġjuża u lingwistika.
[…]
(10)
Sabiex ikun żgurat livell konsistenti u għoli ta’ protezzjoni tal-persuni fiżiċi u sabiex jitneħħew l-ostakoli għaċ-ċirkolazzjoni tad-data personali fl-Unjoni[Ewropea], il-livell ta’ protezzjoni tad-drittijiet u l-libertajiet tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ din id-data għandu jkun ekwivalenti fl-Istati Membri kollha. L-applikazzjoni konsistenti u omoġenea tar-regoli għall-protezzjoni tad-drittijiet u l-libertajiet fundamentali tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali għandha tkun żgurata fl-Unjoni kollha. […]
[…]
(39)
Kwalunkwe pproċessar ta’ data personali għandu jkun legali u ġust. Għandu jkun trasparenti għall-persuni fiżiċi li fir-rigward tagħhom qiegħda tinġabar, tintuża, tiġi kkonsultata jew b’xi mod ieħor ipproċessata data personali u l-punt sa fejn id-data personali qiegħda tiġi pproċessata jew ser tiġi pproċessata. Il-prinċipju tat-trasparenza jeħtieġ li kwalunkwe informazzjoni u komunikazzjoni marbuta mal-ipproċessar ta’ dik id-data personali tkun aċċessibbli faċilment u li tinftiehem faċilment, u li jintuża lingwaġġ ċar u sempliċi. Dak il-prinċipju jikkonċerna, b’mod partikolari, l-informazzjoni tas-suġġetti tad-data dwar l-identità tal-kontrollur u l-finijiet tal-ipproċessar u informazzjoni ulterjuri biex jiġi żgurat ipproċessar ġust u trasparenti fir-rigward tal-persuni fiżiċi kkonċernati u d-dritt tagħhom li jiksbu konferma u komunikazzjoni tad-data personali li tikkonċernahom u li tkun qiegħda tiġi pproċessata. […]
[…]
(51)
Data personali, li min-natura tagħha, tkun partikolarment sensittiva fir-rigward tad-drittijiet u l-libertajiet fundamentali jistħoqqilha protezzjoni speċifika billi l-kuntest tal-ipproċessar tagħha jista’ joħloq riskji sinifikanti għad-drittijiet u l-libertajiet fundamentali. […] Tali data personali ma għandhiex tiġi pproċessata, għajr jekk l-ipproċessar ikun permess f’każijiet speċifiċi stabbiliti f’dan ir-Regolament […] Minbarra r-rekwiżiti speċifiċi għal dan l-ipproċessar, il-prinċipji ġenerali u regoli oħra ta’ dan ir-Regolament għandhom japplikaw, b’mod partikolari fir-rigward tal-kondizzjonijiet għal ipproċessar legali. Id-derogi mill-projbizzjoni ġenerali għall-ipproċessar ta’ tali kategoriji speċjali ta’ data personali għandhom jiġu previsti b’mod espliċitu, fost oħrajn fejn is-suġġett tad-data jagħti l-kunsens espliċitu tiegħu jew tagħha jew fir-rigward ta’ ħtiġijiet speċifiċi b’mod partikolari fejn l-ipproċessar isir waqt attivitajiet leġittimi minn ċerti assoċjazzjonijiet jew fondazzjonijiet li l-għan tagħhom huwa li jippermettu l-eżerċizzju ta’ libertajiet fundamentali.
[…]
(74)
Ir-responsabbiltà tal-kontrollur għal kwalunkwe pproċessar ta’ data personali li jitwettaq mill-kontrollur jew f’isem il-kontrollur għandha tiġi stabbilita. B’mod partikolari, il-kontrollur għandu jkun obbligat jimplimenta miżuri adatti u effettivi u jkun jista’ juri l-konformità tal-attivitajiet ta’ pproċessar ma’ dan ir-Regolament, inkluża l-effettività tal-miżuri. Dawk il-miżuri għandhom jikkunsidraw in-natura, l-ambitu, il-kuntest u l-għanijiet tal-ipproċessar u r-riskju għad-drittijiet u l-libertajiet tal-persuni fiżiċi.
(75)
Ir-riskji għad-drittijiet u l-libertajiet tal-persuni fiżiċi, bi probabbiltà u gravità li jvarjaw, jistgħu jirriżultaw mill-ipproċessar ta’ data personali li tista’ twassal għal dannu fiżiku, materjali jew mhux materjali, b’mod partikolari fejn l-ipproċessar jista’ jagħti lok għal […] serq ta’ identità jew frodi, […] dannu għar-reputazzjoni […] fejn is-suġġetti tad-data jistgħu jiġu mċaħħda mid-drittijiet u l-libertajiet tagħhom jew impediti milli jeżerċitaw kontroll fuq id-data personali tagħhom; […]
[…]
(78)
Il-protezzjoni tad-drittijiet u l-libertajiet tal-persuni fiżiċi fir-rigward tal-ipproċessar tad-data personali titlob li jittieħdu miżuri tekniċi u organizzattivi adatti biex jiġi żgurat li r-rekwiżiti tar-Regolament jiġu sodisfatti. Sabiex ikun jista’ juri konformità ma’ dan ir-Regolament, il-kontrollur għandu jadotta politiki interni u jimplimenta miżuri, li b’mod partikolari jissodisfaw il-prinċipji tal-protezzjoni tad-data mid-disinn u l-protezzjoni tad-data b’mod awtomatiku. […]
[…]
(85)
Il-vjolazzjoni ta’ data personali tista’, jekk ma tiġix indirizzata b’mod adegwat u fil-ħin, tirriżulta f’dannu fiżiku, materjali jew mhux materjali lill-persuni fiżiċi bħat-telf ta’ kontroll tad-data personali tagħhom jew limitazzjoni tad-drittijiet tagħhom, diskriminazzjoni, serq tal-identità jew frodi, […] dannu għar-reputazzjoni […]”
9
L-Artikolu 1 ta’ dan ir-regolament, bit-titolu “Suġġett u objettivi”, jipprovdi fil-paragrafu (2) tiegħu:
“Dan ir-Regolament jipproteġi d-drittijiet u l-libertajiet fundamentali tal-persuni fiżiċi u b’mod partikolari d-dritt tagħhom għall-protezzjoni ta’ data personali.”
10
L-Artikolu 2 tal-imsemmi regolament, bit-titolu “Kamp ta’ applikazzjoni materjali [ratione materiae]”, jipprevedi, fil-paragrafu (4) tiegħu:
“Dan ir-Regolament għandu jkun mingħajr preġudizzju għall-applikazzjoni tad-Direttiva [2000/31], b’mod partikolari tar-regoli dwar ir-responsabbiltà ta’ fornituri ta’ servizzi intermedjarji [intermedjarji li jipprovdu servizzi] fl-Artikoli 12 sa 15 ta’ dik id-Direttiva.”
11
L-Artikolu 4 tal-istess regolament, bit-titolu “Definizzjonijiet”, huwa fformulat kif ġej:
“Għall-finijiet ta’ dan ir-Regolament:
(1)
‘data personali’ tfisser kwalunkwe informazzjoni relatata ma’ persuna fiżika identifikata jew identifikabbli (‘suġġett tad-data’); persuna fiżika identifikabbli hija persuna li tista’ tiġi identifikata, direttament jew indirettament, b’mod partikolari b’referenza għal mezz ta’ identifikazzjoni bħal isem, numru ta’ identifikazzjoni, data ta’ lokalizzazzjoni, identifikatur online jew għal fattur wieħed jew aktar speċifiċi għall-identità fiżika, fiżjoloġika, ġenetika, mentali, ekonomika, kulturali jew soċjali ta’ dik il-persuna fiżika;
(2)
‘ipproċessar’ tfisser kwalunkwe attività jew sett ta’ attivitajiet li jitwettqu fuq data personali jew fuq settijiet ta’ data personali, sew jekk b’mezzi awtomatizzati u sew jekk mingħajrhom, bħalma huma l-ġbir, ir-reġistrazzjoni, l-organizzazzjoni, l-istrutturar, il-ħażna, l-adattament jew il-bidliet, l-irkupru, il-konsultazzjoni, l-użu, l-iżvelar bi trażmissjoni, it-tixrid jew it-tqegħid għad-dispożizzjoni b’xi mezz ieħor, l-allinjament jew it-taħlita, ir-restrizzjoni, it-tħassir jew il-qerda;
[…]
(7)
‘kontrollur’ tfisser persuna fiżika jew ġuridika, awtorità pubblika, aġenzija jew kwalunkwe korp ieħor li, waħdu jew flimkien ma’ oħrajn, jiddetermina l-għanijiet u l-mezzi tal-ipproċessar ta’ data personali; fejn l-għanijiet u l-mezzi tal-ipproċessar ikunu ddeterminati mil-liġi tal-Unjoni jew ta’ Stat Membru, il-kontrollur jew il-kriterji speċifiċi għall-ħatra tiegħu jistgħu jiġu determinati mil-liġi tal-Unjoni jew ta’ Stat Membru;
[…]
(11)
‘kunsens’ tas-suġġett tad-data tfisser kwalunkwe indikazzjoni tax-xewqat tas-suġġett tad-data mogħtija b’mod liberu, speċifika, infurmata u mhux ambigwa li permezz tagħha s-suġġett tad-data, permezz ta’ dikjarazzjoni jew permezz ta’ azzjoni affermattiva ċara, juri li jaqbel mal-ipproċessar ta’ data personali relatata miegħu;
[…]”
12
Il-Kapitolu II tal-GDPR, bit-titolu “Prinċipji”, jinkludi b’mod partikolari l-Artikoli 5 sa 9 tiegħu.
13
L-Artikolu 5 ta’ dan ir-regolament, intitolat “Prinċipji relatati mal-ipproċessar ta’ data personali”, jipprovdi:
“1.   Id-data personali għandha:
(a)
tkun ipproċessata legalment, ġustament u b’mod trasparenti fir-rigward tas-suġġett tad-data (‘legalità, ġustizzja u trasparenza’);
(b)
tinġabar għal finijiet speċifikati, espliċiti u leġittimi u ma għandhiex tiġi pproċessata ulterjorment b’mod inkompatibbli ma’ dawk il-finijiet […] (‘limitazzjoni tal-fini’);
[…]
(d)
tkun preċiża u, fejn meħtieġ, tinżamm aġġornata; għandu jsir dak kollu raġonevoli biex ikun żgurat li d-data personali li ma tkunx eżatta, b’kont meħud tal-għanijiet li għalihom tiġi pproċessata, titħassar jew tissewwa mingħajr dewmien (‘preċiżjoni’);
[…]
(f)
tiġi pproċessata b’mod li jiżgura sigurtà xierqa tad-data personali, inkluża l-protezzjoni mill-ipproċessar mhux awtorizzat jew illegali u kontra t-telf, il-qerda jew il-ħsara aċċidentali, bl-użu ta’ miżuri tekniċi jew organizzattivi xierqa (‘integrità u kunfidenzjalità’);
2.   Il-kontrollur għandu jkun responsabbli għall-konformità mal-paragrafu 1 u jkun kapaċi juriha (‘responsabbiltà’).”
14
L-Artikolu 6 tal-imsemmi regolament, bit-titolu “Legalità tal-ipproċessar”, jistabbilixxi, fl-ewwel subparagrafu tal-paragrafu (1) tiegħu:
“L-ipproċessar għandu jkun legali biss jekk u safejn mill-inqas ikun japplika wieħed mill-punti li ġejjin:
(a)
is-suġġett tad-data jkun ta l-kunsens għall-ipproċessar ta’ data personali tiegħu għal fini speċifiku wieħed jew aktar;
(b)
l-ipproċessar ikun meħtieġ għat-twettiq ta’ kuntratt li għalih is-suġġett tad-data huwa parti jew sabiex jittieħdu passi fuq talba tas-suġġett tad-data qabel ma jidħol f’kuntratt;
(c)
l-ipproċessar ikun meħtieġ għall-konformità ma’ obbligu legali li għalih huwa soġġett il-kontrollur;
(d)
l-ipproċessar ikun meħtieġ sabiex ikunu protetti l-interessi vitali tas-suġġett tad-data jew ta’ persuna fiżika oħra;
(e)
l-ipproċessar ikun meħtieġ għat-twettiq ta’ kompitu li jsir fl-interess pubbliku jew fl-eżerċizzju ta’ awtorità uffiċjali mogħtija lill-kontrollur;
(f)
l-ipproċessar ikun meħtieġ għall-finijiet tal-interessi leġittimi segwiti mill-kontrollur jew minn parti terza, għajr meta dawn l-interessi jingħelbu mill-interessi jew id-drittijiet u l-libertajiet fundamentali tas-suġġett tad-data li jeħtieġu l-protezzjoni tad-data personali, b’mod partikolari meta s-suġġett tad-data jkun minorenni.”
15
L-Artikolu 7 tal-istess regolament, bit-titolu “Kondizzjonijiet għal kunsens”, jipprovdi, fil-paragrafu (1) tiegħu:
“Fejn l-ipproċessar ikun ibbażat fuq il-kunsens, il-kontrollur għandu jkun jista’ juri li s-suġġett tad-data ta kunsens għall-ipproċessar tad-data personali tiegħu.”
16
L-Artikolu 9 tal-GDPR, bit-titolu “Ipproċessar ta’ kategoriji speċjali ta’ data personali”, jipprovdi:
“1.   L-ipproċessar ta’ data personali, li jiżvela oriġini razzjali jew etnika, opinjonijiet politiċi, twemmin reliġjuż jew filosofiku, jew sħubija fi trade union, u l-ipproċessar ta’ data ġenetika, data bijometrika sabiex tidentifika b’mod uniku persuna fiżika, data dwar is-saħħa jew data dwar il-ħajja sesswali u l-orjentazzjoni sesswali ta’ persuna fiżika huma projbiti.
2.   Il-paragrafu 1 ma għandux japplika jekk japplika wieħed minn dawn li ġejjin:
(a)
is-suġġett tad-data jkun ta kunsens espliċitu għall-ipproċessar ta’ dik id-data personali għal fini speċifiku wieħed jew aktar, għajr fejn il-liġi tal-Unjoni jew il-liġi ta’ Stat Membru tipprevedi li l-projbizzjoni msemmija fil-paragrafu 1 ma tistax titneħħa mis-suġġett tad-data;
[…]”
17
L-Artikolu 13 ta’ dan ir-regolament, bit-titolu “Informazzjoni li għandha tiġi pprovduta fejn tinġabar data personali mis-suġġett tad-data”, jipprevedi fil-paragrafu (1)(a) tiegħu:
“Fejn data personali relatata ma’ suġġett tad-data tinġabar mingħand is-suġġett tad-data, il-kontrollur għandu, fil-ħin li tinkiseb id-data personali, jipprovdi l-informazzjoni kollha li ġejja lis-suġġett tad-data:
(a)
l-identità u d-dettalji ta’ kuntatt tal-kontrollur u, fejn applikabbli, tar-rappreżentant tal-kontrollur”.
18
L-Artikolu 14 tal-imsemmi regolament, bit-titolu “Informazzjoni li għandha tiġi pprovduta fejn tinġabar data personali mis-suġġett tad-data”, jipprevedi fil-paragrafu (1)(a) tiegħu:
“Fejn ma tkunx inkisbet data personali mis-suġġett tad-data, il-kontrollur għandu jipprovdi lis-suġġett tad-data l-informazzjoni li ġejja:
(a)
l-identità u d-dettalji ta’ kuntatt tal-kontrollur u, fejn applikabbli, tar-rappreżentant tal-kontrollur”.
19
Il-Kapitolu III tal-istess regolament, bit-titolu “Drittijiet tas-suġġett tad-data”, jinkludi l-Artikolu 17 li min-naħa tiegħu għandu t-titolu “Dritt għal tħassir (‘dritt li wieħed jintesa’)”, jipprevedi, fil-paragrafi 1 u 2 tiegħu:
“1.   Is-suġġett tad-data għandu d-dritt li jikseb mingħand il-kontrollur it-tħassir ta’ data personali dwaru mingħajr dewmien żejjed u l-kontrollur għandu l-obbligu li jħassar data personali mingħajr dewmien żejjed jekk tkun tapplika waħda minn dawn ir-raġunijiet li ġejjin:
[…]
(d) id-data personali tkun ġiet ipproċessata illegalment;
[…]
2.   Fejn il-kontrollur ikun ippubblika d-data personali u jiġi obbligat skont il-paragrafu 1 li jħassar id-data personali, il-kontrollur, b’kont meħud tat-teknoloġija disponibbli u l-ispiża tal-implimentazzjoni, għandu jieħu passi raġonevoli, inklużi miżuri tekniċi, biex jinforma lill-kontrolluri li jkunu qegħdin jipproċessaw id-data personali, li s-suġġett tad-data talabhom iħassru kwalunkwe konnessjoni għal dik id-data personali, jew koppja jew replika tagħha.”
20
Il-Kapitolu IV tal-GDPR, bit-titolu “Kontrollur u proċessur”, jinkludi, fit-Taqsima 1 tiegħu, li min-naħa tagħha għandha t-titolu “Obbligi ġenerali”, b’mod partikolari, l-Artikoli 24 sa 26 ta’ dan ir-regolament.
21
L-Artikolu 24 ta’ dan ir-regolament, intitolat “Responsabbiltà tal-kontrollur”, jipprevedi, fil-paragrafu 1 tiegħu:
“B’kont meħud tan-natura, l-ambitu, il-kuntest, u l-għanijiet tal-ipproċessar kif ukoll ir-riskji ta’ probabbiltà u gravità li jvarjaw għad-drittijiet u l-libertajiet tal-persuni fiżiċi, il-kontrollur għandu jimplimenta miżuri tekniċi u organizzattivi adatti biex jiżgura u jkun jista’ juri li l-ipproċessar isir f’konformità ma’ dan ir-Regolament. Dawk il-miżuri għandhom jiġu rieżaminati u aġġornati fejn meħtieġ.”
22
L-Artikolu 25 tal-imsemmi regolament, bit-titolu “Protezzjoni ta’ data mid-disinn u b’mod awtomatiku”, jipprevedi, fil-paragrafi (1) u (2) tiegħu:
“1.   Wara li jikkunsidra l-ogħla livell ta’ żvilupp tekniku, l-ispejjeż tal-implimentazzjoni u n-natura, l-ambitu, il-kuntest u l-finijiet tal-ipproċessar kif ukoll ir-riskji ta’ probabbiltà u gravità li jvarjaw għad-drittijiet u l-libertajiet tal-persuni fiżiċi kkawżati mill-ipproċessar, il-kontrollur għandu, kemm fiż-żmien tad-determinazzjoni tal-mezzi għall-ipproċessar kif ukoll fiż-żmien tal-ipproċessar innifsu, jimplimenta miżuri tekniċi u organizzattivi xierqa, bħall-psewdonimizzazzjoni, li huma maħsuba biex jimplimentaw il-prinċipji tal-protezzjoni tad-data, bħalma hija l-minimizzazzjoni tad-data, b’mod effettiv u biex jintegraw is-salvagwardji meħtieġa fl-ipproċessar sabiex jissodisfa r-rekwiżiti ta’ dan ir-Regolament u jipproteġi d-drittijiet tas-suġġetti tad-data.
2.   Il-kontrollur għandu jimplimenta miżuri tekniċi u organizzattivi adatti biex jiżgura li, b’mod awtomatiku, tiġi pproċessata biss data personali li mhijiex meħtieġa għal kull għan speċifiku tal-ipproċessar. Dak l-obbligu japplika għall-ammont ta’ data personali miġbura, il-livell ta’ pproċessar tagħha, il-perijodu tal-ħażna tagħha u l-aċċessibbiltà tagħha. B’mod partikolari, tali mekkaniżmi għandhom jiżguraw li b’mod awtomatiku d-data personali ma ssirx aċċessibbli mingħajr l-intervent tal-individwu għal numru indefinit ta’ persuni fiżiċi.”
23
L-Artikolu 26 tal-istess regolament, bit-titolu “Kontrolluri konġunti”, jipprovdi, fil-paragrafu (1) tiegħu:
“Fejn żewġ kontrolluri jew aktar jiddeterminaw flimkien l-għanijiet u l-mezzi tal-ipproċessar, huma għandhom ikunu kontrolluri konġunti. Huma għandhom b’mod trasparenti jistabbilixxu r-responsabbiltajiet rispettivi tagħhom għall-konformità mal-obbligi taħt dan ir-Regolament, b’mod partikolari fir-rigward tal-eżerċizzju tad-drittijiet tas-suġġett tad-data u l-kompiti rispettivi tagħhom biex jipprovdu l-informazzjoni msemmija fl-Artikoli 13 u 14, permezz ta’ arranġament bejniethom ħlief jekk, u sa fejn, ir-responsabbiltajiet rispettivi tal-kontrolluri jkunu stabbiliti bil-liġi tal-Unjoni jew ta’ Stat Membru li għalihom il-kontrolluri jkunu soġġetti. L-arranġament jista’ jaħtar punt ta’ kuntatt għas-suġġetti tad-data.”
24
Skont il-kliem tal-Artikolu 32 tal-GDPR, bit-titolu “Sigurtà tal-ipproċessar”:
“1.   Filwaqt li jikkunsidraw l-ogħla livell ta’ żvilupp tekniku, l-ispejjeż tal-implimentazzjoni u in-natura, l-ambitu, il-kuntest, u l-għanijiet tal-ipproċessar kif ukoll ir-riskju ta’ probabbiltà u gravità li jvarjaw għad-drittijiet u l-libertajiet tal-persuni fiżiċi, il-kontrollur u l-proċessur għandhom jimplimentaw miżuri tekniċi u organizzattivi xierqa, biex jiżguraw livell ta’ sigurtà xieraq għar-riskju, inklużi inter alia kif xieraq:
(a)
il-psewdonimizzazzjoni u l-kriptaġġ tad-data personali;
(b)
il-kapaċità li jiġu żgurati l-kunfidenzjalità, l-integrità, id-disponibbiltà u r-reżiljenza kontinwi tas-sistemi u s-servizzi ta’ pproċessar;
(c)
il-kapaċità li jiġu restawrati d-disponibbiltà u l-aċċess għad-data personali fil-pront fil-każ ta’ inċident fiżiku jew tekniku;
(d)
proċess sabiex tiġi ttestjata, ivvalutata u evalwata l-effettività tal-miżuri tekniċi u organizzattivi li jiżguraw is-sigurtà tal-ipproċessar.
2.   Fl-evalwazzjoni tal-livell xieraq ta’ sigurtà ser jitqiesu b’mod partikolari r-riskji li jippreżenta l-ipproċessar, partikolarment minn qerda, telf, bidla, żvelar mhux awtorizzat ta’, jew aċċess għal data personali trażmessa, maħżuna jew ipproċessata mod ieħor, li jkun aċċidentali jew illegali.
3.   L-osservanza ta’ kodiċi ta’ kondotta approvat kif imsemmi fl-Artikolu 40 jew mekkaniżmu ta’ ċertifikazzjoni approvat kif imsemmi fl-Artikolu 42 jistgħu jintużaw bħala element li bih tintwera konformità mar-rekwiżiti stipulati fil-paragrafu 1 ta’ dan l-Artikolu.
4.   Il-kontrollur u l-proċessur għandhom jieħdu passi biex jiżguraw li kwalunkwe persuna fiżika li taġixxi taħt l-awtorità tal-kontrollur jew tal-proċessur li jkollhom aċċess għal data personali ma jipproċessawhiex ħlief fuq istruzzjonijiet mingħand il-kontrollur, sakemm ma jkunux meħtieġa jagħmlu dan taħt il-liġi tal-Unjoni jew ta’ Stat Membru.”
25
L-Artikolu 82 ta’ dan ir-regolament, bit-titolu “Dritt għal kumpens u responsabbiltà”, jipprovdi, fil-paragrafi (1) u (3) tiegħu:
“1.   Kwalunkwe persuna li tkun ġarrbet xi dannu materjali jew mhux materjali b’riżultat ta’ ksur ta’ dan ir-Regolament għandu jkollha d-dritt li tirċievi kumpens mill-kontrollur jew il-proċessur għad-dannu mġarrab.
2.   Kwalunkwe kontrollur involut fl-ipproċessar għandu jkunu responsabbli għad-dannu kkawżat mill-ipproċessar li jikser dan ir-Regolament. Proċessur għandu jkun responsabbli għad-dannu kkawżat mill-ipproċessar f’każ biss fejn ma jkunx ikkonforma mal-obbligi ta’ dan ir-Regolament diretti b’mod speċifiku lejn il-proċessuri jew fejn ikun aġixxa lil hinn minn jew kontra istruzzjonijiet legali tal-kontrollur.
3.   Kontrollur jew proċessur għandu jkun eżentat mir-responsabbiltà taħt il-paragrafu 2 jekk jagħti prova li bl-ebda mod m’huwa responsabbli għall-avveniment li wassal għad-dannu.”
26
L-Artikolu 94 tal-istess regolament jipprovdi:
“1.   Id-Direttiva [95/46] titħassar b’effett mill‑25 ta’ Mejju 2018.
2.   Ir-referenzi għad-Direttiva mħassra għandhom jinftiehmu bħala referenzi għal dan ir-Regolament. […]”
Id‑dritt Rumen
27
L-Artikolu 11 tal-Legea nr. 365/2002 privind comerțul electronic (il-Liġi Nru 365/2002 dwar il-Kummerċ Elettroniku), tas‑7 ta’ Ġunju 2002 (Monitorul Oficial al României, Parti I, Nru 483 tal‑5 ta’ Lulju 2002), kif emendata bil-Legea nr. 121/2006 pentru modificarea și completarea Legii nr 365/2002 privind comerțul electronic (il-Liġi Nru 121/2006 li temenda u tissupplimenta l-Liġi Nru 365/2002 dwar il-kummerċ elettroniku), tal‑4 ta’ Mejju 2006 (Monitorul Oficial al României, Parti I, Nru 403 tal‑10 ta’ Mejju 2006) (iktar ’il quddiem il-“Liġi Nru 365/2002”), jipprevedi:
“1.   Il-fornituri ta’ servizzi huma suġġetti għad-dispożizzjonijiet legali fil-qasam tar-responsabbiltà ċivili, kriminali u għal reat amministrattiv, sakemm din il-liġi ma tipprovdix mod ieħor.
2.   Il-fornituri ta’ servizzi huma responsabbli għall-informazzjoni pprovduta minnhom stess jew f’isimhom.
3.   Il-fornituri ta’ servizzi ma għandhomx ikunu responsabbli għall-informazzjoni trażmessa, maħżuna jew li għaliha huma jagħtu aċċess skont il-kundizzjonijiet stabbiliti fl-Artikoli 12 sa 15.”
28
L-Artikolu 14 tal-Liġi Nru 365/2002, bit-titolu “Żamma permanenti tal-informazzjoni, hosting”, jipprovdi
“1.   Meta servizz tas-soċjetà tal-informazzjoni jikkonsisti fil-ħażna ta’ informazzjoni pprovduta mir-riċevitur ta’ dan is-servizz, il-fornitur tal-imsemmi servizz ma għandux ikun responsabbli għall-informazzjoni maħżuna fuq it-talba ta’ riċevitur jekk xi waħda mill-kundizzjonijiet li ġejjin tkun issodisfatta:
(a)
il-fornitur tas-servizzi ma jkunx konxju tal-illegalità tal-attività jew tal-informazzjoni maħżuna u, fir-rigward ta’ talba għad-danni, ma jkunx konxju tal-fatti jew taċ-ċirkustanzi li minnhom jirriżulta li l-attività jew l-informazzjoni inkwistjoni tista’ tippreġudika d-drittijiet ta’ terz;
(b)
jekk ikun konxju tal-illegalità tal-attività jew tal-informazzjoni kkonċernata jew tal-fatti jew taċ-ċirkustanzi li minnhom jirriżulta li l-attività jew l-informazzjoni inkwistjoni tista’ tikser id-drittijiet ta’ terz, il-fornitur tas-servizzi għandu jaġixxi mingħajr dewmien sabiex iħassarha jew iwaqqaf l-aċċess għaliha.
2.   Id-dispożizzjonijiet tal-paragrafu 1 ma għandhomx japplikaw meta r-riċevitur jaġixxi taħt l-awtorità jew taħt il-kontroll tal-fornitur tas-servizzi
3.   Id-dispożizzjonijiet ta’ dan l-artikolu la għandhom jaffettwaw il-possibilità li awtorità ġudizzjarja jew amministrattiva teżiġi li l-fornitur tas-servizzi jwaqqaf il-ksur tad-data jew jipprevjeni tali ksur, u lanqas il-possibbiltà li jiġu stabbiliti proċeduri tal-gvern intiżi li jillimitaw jew li jinterrompu l-aċċess għall-informazzjoni”
29
In-Normele metodologice pentru aplicarea Legii nr. 365/2002 privind comerţul electronic (il-Modalitajiet ta’ Applikazzjoni tal-Liġi Nru 365/2002 dwar il-Kummerċ Elettroniku), approvati permezz tal-Hotărârea Guvernului nr. 1.308 privind aprobarea Normelor metodologice pentru aplicarea Legii nr. 365/2002 privind comerţul electronic (id-Deċiżjoni tal-Gvern Nru 1.308 li tapprova l-Modalitajiet ta’ Applikazzjoni tal-Liġi Nru 365/2002 dwar il-Kummerċ Elettroniku) tal‑20 ta’ Novembru 2002 (Monitorul Oficial al României, Parti I Nru 877 tal‑5 ta’ Diċembru 2002), jipprevedu, fl-Artikolu 11(1):
“Il-fornituri ta’ servizzi tas-soċjetà tal-informazzjoni li jfornu s-servizzi msemmija fl-Artikoli 12 sa 15 tal-[Liġi Nru 365/2002] la huma obbligati li jikkontrollaw l-informazzjoni li jitrażmettu jew li jaħżnu u lanqas ma huma obbligati li jfittxu b’mod attiv data relatata ma’ attivitajiet jew informazzjoni apparentement illegali fil-qasam tas-servizzi tas-soċjetà tal-informazzjoni li huma jipprovdu.”
Il-kawża prinċipali u d-domandi preliminari
30
Russmedia Digital SRL, kumpannija rregolata mid-dritt Rumen, hija s-sid tas-sit tal-internet www.publi24.ro, suq online li fih jistgħu jiġu ppubblikati, mingħajr ħlas jew bi ħlas, reklami li jikkonċernaw, b’mod partikolari, il-bejgħ ta’ oġġetti jew il-provvista ta’ servizzi fir-Rumanija.
31
Ir-rikorrenti fil-kawża prinċipali ssostni li fl‑1 ta’ Awwissu 2018, terz mhux identifikat ippubblika fuq dan is-sit internet reklam li l-kontenut tiegħu ma kienx veritier u kien ta’ preġudizzju sa fejn kien ipinġiha bħala li toffri servizzi sesswali. Ir-reklam kien jinkludi b’mod partikolari ritratti tar-rikorrenti fil-kawża prinċipali, użati mingħajr il-kunsens tagħha, kif ukoll in-numru tat-telefon tagħha. Dan ir-riklam ġie sussegwentement riprodott mingħajr bidliet fuq siti oħra tal-internet b’kontenut pubbliċitarju, fejn tqiegħed online, b’indikazzjoni tas-sors ta’ oriġini. Wara li ġiet ikkuntattjata mir-rikorrenti fil-kawża prinċipali, Russmedia Digital neħħiet l-imsemmi reklam mis-sit tal-internet tagħha f’inqas minn siegħa wara li rċeviet it-talba. Madankollu, l-istess reklam baqa’ disponibbli fuq siti oħra tal-internet li rriproduċewh.
32
Peress li qieset li r-reklam inkwistjoni fil-kawża prinċipali kien jikser kemm id-drittijiet tagħha għall-immaġni, għall-unur u għar-reputazzjoni, kif ukoll għall-ħajja privata, kif ukoll ir-regoli dwar l-ipproċessar tad-data personali, ir-rikorrenti fil-kawża prinċipali ppreżentat rikors kontra Russmedia quddiem il-Judecătoria Cluj-Napoca (il-Qorti tal-Ewwel Istanza ta’ Cluj-Napoca, ir-Rumanija). Dik il-qorti kkundannat lil Russmedia tħallas lir-rikorrenti kumpens fl-ammont ta’ EUR 7000 għad-danni morali kkawżati kemm mill-preġudizzju għad-dritt għall-immaġni, għall-unur u għar-reputazzjoni kif ukoll mill-ksur tad-dritt għar-rispett tal-ħajja privata u mill-ipproċessar illegali tad-data personali tagħha.
33
Russmedia appellat minn din is-sentenza. It-Tribunalul Specializat Cluj (il-Qorti Speċjalizzata ta’ Cluj, ir-Rumanija) laqgħet dan l-appell, billi ddeċidiet li r-rikors tar-rikorrenti fil-kawża prinċipali ma kienx fondat, minħabba li r-reklam inkwistjoni fil-kawża prinċipali ma kienx ġej minn Russmedia li kienet tipprovdi biss servizz ta’ hosting ta’ dan ir-reklam, mingħajr l-involviment attiv ta’ Russmedia fir-rigward tal-kontenut tiegħu. Għaldaqstant, l-eżenzjoni mir-responsabbiltà, previst fl-Artikolu 14(1)(b) tal-Liġi Nru 365/2002, hija applikabbli għal Russmedia. Fir-rigward tal-ipproċessar tad-data personali, dik il-qorti qieset li fornitur ta’ servizzi tas-soċjetà tal-informazzjoni la kien obbligat li jikkontrolla l-informazzjoni li huwa jittrasmetti, u lanqas li jfittex b’mod attiv data dwar attivitajiet jew informazzjoni apparentement illegali. F’dan ir-rigward, hija ddeċidiet li Russmedia ma setgħetx tiġi kkritikata li ma ħaditx miżuri sabiex tipprekludi x-xandir online tar-reklam malafamanti inkwistjoni fil-kawża prinċipali, peress li hija kienet mingħajr dewmien neħħiet dan ir-riklam fuq talba tar-rikorrenti fil-kawża prinċipali.
34
Din tal-aħħar ippreżentat appell minn dik is-sentenza quddiem il-Curtea de Apel Cluj (il-Qorti tal-Appell ta’ Cluj), sa fejn qieset li t-Tribunalul Specializat Cluj (il-Qorti Speċjalizzata ta’ Cluj) kienet ibbażat ruħha fuq interpretazzjoni żbaljata tal-Liġi Nru 365/2002. Ir-rikorrenti fil-kawża prinċipali ssostni b’mod partikolari li, peress li din il-liġi ma hijiex liġi speċjali meta mqabbla mal-GDPR, dik il-qorti kellha teżamina l-applikabbiltà ta’ dan ir-regolament f’dan il-każ. Barra minn hekk, Russmedia ma tillimitax ruħha li tipprovdi lill-klijenti tagħha mezz tekniku speċifiku ta’ aċċess għas-server ta’ hosting. Hija għandha wkoll rwol ta’ ġestjoni, billi tintervjeni fil-livell tal-kontenut, bl-għan ta’ ġestjoni tajba tal-informazzjoni. Din il-kumpannija, inkwantu operatur tas-sit internet inkwistjoni fil-kawża prinċipali, taħżen u tipproċessa l-kontenut tal-informazzjoni. Il-ħażna tad-data kif ukoll it-tqegħid għad-dispożizzjoni tagħha għall-pubbliku f’ċerta forma jimplikaw analiżi tad-data u tal-informazzjoni li tinsab fir-reklami. Dawn l-elementi juru involviment dirett ta’ Russmedia fil-ġestjoni u fix-xandir tal-kontenut tar-reklami. Konsegwentement, id-dispożizzjonijiet tal-Artikolu 14 tal-Liġi Nru 365/2002 ma humiex applikabbli.
35
Barra minn hekk, ir-rikorrenti fil-kawża prinċipali ssostni li l-eżenzjoni mir-responsabbiltà ta’ tali fornitur ma tapplikax jekk ir-responsabbiltà tiġi stabbilita abbażi ta’ atti regolatorji oħra, bħal-GDPR. Russmedia ppubblikat id-data personali tar-rikorrenti fil-kawża prinċipali mingħajr il-kunsens tagħha u tippermetti, bil-funzjonament tas-sit tal-internet tagħha, li kull min ikun irid jimposta kwalunkwe tip ta’ reklam, b’mod partikolari reklami li ma jiggarantixxux is-sigurtà tad-data personali, u dan jagħmilha impossibbli li d-data ppubblikata online tiġi mħassra definittivament.
36
Min-naħa tagħha, Russmedia ssostni li s-soluzzjoni adottata mit-Tribunalul Specializat Cluj (il-Qorti Speċjalizzata ta’ Cluj) hija korretta. Ir-rikorrenti fil-kawża prinċipali ma wrietx b’liema mod il-GDPR jikkostitwixxi regola speċjali li tipprekludi l-applikazzjoni tad-dispożizzjonijiet rilevanti tal-Liġi Nru 365/2002.
37
Il-Curtea de Apel Cluj (il-Qorti tal-Appell ta’ Cluj), li hija l-qorti tar-rinviju u li f’dan il-każ qiegħda tiddeċiedi bħala qorti tal-appell li d-deċiżjoni tagħha hija definittiva, tqis li huwa neċessarju li jiġu ddeterminati, b’mod partikolari, il-limiti tal-eżenzjoni mir-responsabbiltà ta’ fornitur ta’ servizzi tas-soċjetà tal-informazzjoni, bħal Russmedia, skont id-Direttiva 2000/31.
38
Filwaqt li tirreferi għall-ġurisprudenza rilevanti tal-Qorti tal-Ġustizzja, il-qorti tar-rinviju tikkonstata li, għalkemm, konformement ma’ din il-ġurisprudenza, l-operaturi ta’ swieq online ma humiex obbligati li jwettqu verifika minn qabel tal-informazzjoni jew tar-reklami impostati mill-utenti li jirreklamaw, xorta jibqa’ l-fatt li l-eżenzjoni mir-responsabbiltà ta’ dawn l-operaturi hija suġġetta għal kundizzjonijiet. Għalhekk, konformement mas-sentenza tat‑12 ta’ Lulju 2011, L’Oréal et (C‑324/09, EU:C:2011:474), operatur ta’ servizzi online ma jistax jinvoka l-eżenzjoni mir-responsabbiltà, prevista fl-Artikolu 14(1) tad-Direttiva 2000/31 jekk issir konxja minn fatti jew minn ċirkustanzi li abbażi tagħhom operatur ekonomiku diliġenti kellu jikkonstata l-illegalità tal-offerti għall-bejgħ inkwistjoni u, fl-ipoteżi ta’ tali konjizzjoni, ma aġixxiex fil-pront konformement mal-Artikolu 14(1)(b) ta’ din id-direttiva. Bl-istess mod, mis-sentenza tal‑11 ta’ Settembru 2014, Papasavvas (C‑291/13, EU:C:2014:2209), jirriżulta li l-limitazzjonijiet tar-responsabbiltà ċivili stipulati fl-Artikoli 12 sa 14 tad-Direttiva 2000/31 ma jirrigwardawx il-każijiet ta’ kumpannija li għandha sit tal-internet li fuqu tiġi ppubblikata l-verżjoni elettronika ta’ gazzetta, kemm-il darba din il-kumpannija, li r-remunerazzjoni tagħha toriġina mir-reklami kummerċjali mxandra fuq dan is-sit tal-internet, jkollha konjizzjoni tal-informazzjoni ppubblikata u teżerċita kontroll fuqha.
39
Il-qorti tar-rinviju tenfasizza, madankollu, li l-imsemmija ġurisprudenza tagħmel riferiment biss għal offerti impostati fuq sit tal-internet li n-natura illegali tagħhom tirriżulta minn analiżi tal-fatti u taċ-ċirkustanzi li jkunu ġew espressament ikkomunikati lill-kontrollur wara l-pubblikazzjoni tar-reklam inkwistjoni. Għalhekk, il-Qorti tal-Ġustizzja għadu ma kellhiex l-okkażjoni li teżamina sitwazzjoni, bħal dik fil-kawża prinċipali, fejn il-kontenut tar-reklam ippubblikat kien manifestament illegali u ta’ preġudizzju kbir għas-suġġett tad-data.
40
Il-qorti tar-rinviju għandha dubji, f’dan il-kuntest, dwar in-neċessità li pjattaforma tirċievi notifika sabiex tkun suġġetta għall-obbligu li tħassar kontenut manifestament illegali u li jikkawża preġudizzji serji. F’dan il-każ, ir-reklam inkwistjoni fil-kawża prinċipali ġie ppubblikat mingħajr verifika tal-identità tal-utent li jirreklama u manifestament mingħajr ma nkiseb il-kunsens tar-rikorrenti fil-kawża prinċipali.
41
Barra minn hekk, għalkemm ir-reklam fil-kawża prinċipali tħassar mis-sit tal-internet li minnu oriġina wara komunikazzjoni mir-rikorrenti fil-kawża prinċipali, il-kontenut ta’ dan ir-reklam, inklużi d-dettalji ta’ kuntatt u r-ritratti tagħha, ġie riprodott integralment fuq diversi siti oħra tal-internet, b’indikazzjoni tas-sors ta’ oriġini. Id-dannu mġarrab mir-rikorrenti fil-kawża prinċipali għalhekk sar permanenti u għadu jseħħ attwalment. F’dan ir-rigward il-qorti tar-rinviju tenfasizza li s-servizzi sesswali allegatament proposti jistgħu jiġu assoċjati ma’ reati serji, punibbli mill-Codul penal (il-Kodiċi Kriminali), bħall-isfruttament tal-prostituzzjoni u t-traffikar tal-bnedmin.
42
Il-Qorti tar-rinviju tippreċiża li, konformement mal-kundizzjonijiet ġenerali ta’ użu tas-suq online operat minn Russmedia, mingħajr ma tinvoka dritt ta’ proprjetà fuq il-kontenut tar-reklami ppubblikati, din il-kumpannija madankollu tirriżerva d-dritt li tuża dan il-kontenut, inkluż li tikkopjah, li tiddistribwixxih, li tittrasmettih, li tippubblikah, li tirripproduċih, li temendah, li tittraduċih, li tittrasferixxih lil imsieħba u li tħassru fi kwalunkwe ħin, anki mingħajr ebda raġuni valida għal dan l-għan.
43
F’dawn iċ-ċirkustanzi, il-Curtea de Apel Cluj (il-Qorti tal-Appell ta’ Cluj) iddeċidiet li tissospendi l-proċeduri u li tagħmel lill-Qorti tal-Ġustizzja d-domandi preliminari li ġejjin:
“1)
L-Artikoli 12 sa 14 tad-[Direttiva 2000/31] japplikaw ukoll għal fornitur ta’ servizzi ta’ [soċjetà tal-]informazzjoni tal-hosting li jipprovdi lill-utenti sit li fuqu jistgħu jiġu ppubblikati reklami mingħajr ħlas jew bi ħlas, li jafferma li r-rwol tiegħu fil-pubblikazzjoni tar-reklami tal-utenti huwa purament tekniku (il-provvista tal-pjattaforma), iżda li, fit-termini u fil-kundizzjonijiet tal-użu tas-sit, jindika li, għalkemm ma jippretendix li għandu [jeżiġix] dritt għall-proprjetà fuq il-kontenut ipprovdut jew ipprovdut għal pubblikazzjoni, imniżżel jew mibgħut, madankollu huwa jżomm id-dritt li juża l-kontenut, inkluż li jikkopjah, li jqassmu, li jittrażmettih, li jippubblikah, li jirriproduċih, li jimmodifikah, li jittraduċih, li jittrasferih lil imsieħba u li jħassru fi kwalunkwe ħin, mingħajr lanqas ma jkun jeħtieġ raġuni sabiex jagħmel dan?
2.
L-Artikolu 2(4), il-punti 7 u 11 tal-Artikolu 4, l-Artikolu 5(1)(f), l-Artikolu 6(1)(a) u l-Artikoli 7, 24 u 25 ta[l-GDPR] kif ukoll l-Artikolu 15 tad-Direttiva 2000/31 għandhom jiġu interpretati fis-sens li tali fornitur ta’ servizzi ta’ [soċjetà tal-]informazzjoni tal-hosting, li huwa responsabbli għall-ipproċessar ta’ data personali, huwa obbligat li jivverifika, qabel ma jippubblika reklam, jekk il-persuna li tipprovdi l-materjal għar-reklam u d-detentur tad-data personali msemmija fir-reklam humiex l-istess persuna?
3.
L-Artikolu 2(4), il-punti 7 u 11 tal-Artikolu 4, l-Artikolu 5(1)(f), l-Artikolu 6(1)(a) u l-Artikoli 7, 24 u 25 [tal-GDPR] kif ukoll l-Artikolu 15 tad-Direttiva 2000/31 għandhom jiġu interpretati fis-sens li tali fornitur ta’ servizzi ta’ [soċjetà tal-]informazzjoni tal-hosting, li huwa responsabbli għall-ipproċessar ta’ data personali, huwa obbligat li l-ewwel jivverifika l-kontenut tar-reklami mibgħuta mill-utenti sabiex ineħħi dawk li jistgħu jkunu ta’ natura illegali jew li jistgħu jippreġudikaw il-ħajja privata u tal-familja ta’ persuna?
4.
L-Artikolu 5(1)(b) u (f) u l-Artikoli 24 u 25 [tal-GDPR] kif ukoll l-Artikolu 15 tad-Direttiva 2000/31 għandhom jiġu interpretati fis-sens li tali fornitur ta’ servizzi ta’ [soċjetà tal-]informazzjoni tal-hosting, li huwa responsabbli għall-ipproċessar ta’ data personali, huwa obbligat li jimplimenta miżuri ta’ sigurtà ta’ natura li jipprevjenu jew jillimitaw l-ikkopjar u d-distribuzzjoni mill-ġdid tal-kontenut tar-reklami ppubblikati permezz tal-pjattaforma tiegħu?”
Fuq id-domandi preliminari
44
Skont ġurisprudenza stabbilita, fil-kuntest tal-kooperazzjoni bejn il-qrati nazzjonali u l-Qorti tal-Ġustizzja stabbilita fl-Artikolu 267 TFUE, din tal-aħħar għandha tagħti lill-qorti nazzjonali risposta utli li tippermettilha tiddeċiedi t-tilwima li tkun tressqet quddiemha. Minn din il-perspettiva, il-Qorti tal-Ġustizzja għandha, jekk ikun il-każ, tifformula mill-ġdid id-domandi li jkunu sarulha. F’dan ir-rigward, hija għandha tislet mill-elementi kollha pprovduti mill-qorti nazzjonali, u b’mod partikolari mill-motivazzjoni tad-deċiżjoni tar-rinviju, l-elementi tad-dritt tal-Unjoni li jeħtieġu interpretazzjoni fid-dawl tas-suġġett tat-tilwima (ara, f’dan is-sens, is-sentenzi tad‑29 ta’ Novembru 1978, Redmond, 83/78, EU:C:1978:214, punt 26; tat‑28 ta’ Novembru 2000_Roquette Frères, C‑88/99, EU:C:2000:652, punt 18, u tat‑30 ta’ April 2024, M. N. (EncroChat), C‑670/22, EU:C:2024:372, punt 78).
45
Id-domandi tal-qorti tar-rinviju huma intiżi, kumulattivament, sabiex jiġi ddeterminat, minn naħa, jekk l-operatur ta’ suq online, bħal Russmedia, li jippermetti lill-utenti tiegħu jimpostaw, bla ħlas jew bi ħlas, anonimament reklami fis-suq online tiegħu, kisirx l-obbligi imposti fuqu mill-GDPR meta reklam ippubblikat fis-suq online tiegħu jkun fih data personali, partikolarment sensittiva, bi ksur ta’ dan ir-regolament, u, min-naħa l-oħra, jekk l-Artikoli 12 sa 15 tad-Direttiva 2000/31 li jirrigwardaw ir-responsabbiltà ta’ intermedjarji li jipprovdu servizzi humiex applikabbli għal tali operatur.
46
Sabiex tingħata risposta utli għal dawn id-domandi, għandhom jiġu eżaminati, l-ewwel, it-tieni sar-raba’ domanda, li huma intiżi għad-determinazzjoni ta’ liema huma l-obbligi imposti, skont il-GDPR, fuq l-operatur ta’ suq online f’sitwazzjoni bħal dik inkwistjoni fil-kawża prinċipali, billi dawn id-domandi jiġu fformulati mill-ġdid b’tali mod li dawn jirrigwardaw biss l-interpretazzjoni ta’ dan ir-regolament. Wara dan ser tiġi eżaminata l-kwistjoni ta’ jekk tali operatur jistax jinvoka l-Artikoli 12 sa 15 tad-Direttiva 2000/31, li hija, essenzjalment, is-suġġett tal-ewwel domanda.
Fuq it-tieni sar-raba’ domanda, dwar l-interpretazzjoni tal-GDPR
Osservazzjonijiet preliminari
47
Preliminarjament, għandu jiġi osservat, fl-ewwel lok, li mit-talba għal deċiżjoni preliminari jirriżulta li r-reklam inkwistjoni kien jippreżenta lir-rikorrenti fil-kawża prinċipali bħala li toffri servizzi sesswali u li dan ir-reklam kien jinkludi, b’mod partikolari, kemm ritratti tagħha, użati mingħajr il-kunsens tagħha, kif ukoll in-numru tat-telefon tagħha.
48
Issa, huwa paċifiku li tali informazzjoni tikkostitwixxi data personali, fis-sens tal-punt 1 tal-Artikolu 4 tal-GDPR, li jiddefinixxi bħala tali “kwalunkwe informazzjoni relatata ma’ persuna fiżika identifikata jew identifikabbli”, fejn huwa speċifikat li “persuna fiżika identifikabbli hija persuna li tista’ tiġi identifikata, direttament jew indirettament, b’mod partikolari b’referenza għal mezz ta’ identifikazzjoni bħal isem, numru ta’ identifikazzjoni, data ta’ lokalizzazzjoni, identifikatur online jew għal fattur wieħed jew aktar speċifiċi għall-identità fiżika, fiżjoloġika, ġenetika, mentali, ekonomika, kulturali jew soċjali ta’ dik il-persuna fiżika”
49
Fil-fatt, skont ġurisprudenza stabbilita, l-użu tal-espressjoni “kwalunkwe informazzjoni” fil-kuntest tad-definizzjoni tal-kunċett ta’ “data personali”, li tinsab fil-punt 1 tal-Artikolu 4 tal-GDPR, jirrifletti l-għan tal-leġiżlatur tal-Unjoni li jattribwixxi sens wiesa’ lil dan il-kunċett, li potenzjalment jiġbor fih kull tip ta’ informazzjoni, kemm oġġettiva kif ukoll suġġettiva, fil-forma ta’ opinjonijiet jew evalwazzjonijiet, bil-kundizzjoni li dawn “jikkonċernaw” lill-persuna inkwistjoni. Informazzjoni tkun tirrigwarda persuna fiżika identifikata jew identifikabbli meta, minħabba l-kontenut tagħha, l-għan tagħha u l-effett tagħha, din tkun marbuta ma persuna identifikabbli (sentenza tat‑3 ta’ April 2025, Ministerstvo zdravotnictví (Data dwar ir-rappreżentant ta’ persuna ġuridika), C‑710/23, EU:C:2025:231, punt 21 u l-ġurisprudenza ċċitata).
50
Barra minn hekk, fost din id-data personali, l-Artikolu 9(1) tal-GDPR jipprevedi sistema ta’ protezzjoni speċjali għal kategoriji speċifiċi ta’ data, kategorija li tinkludi, fost l-oħrajn, id-data dwar il-ħajja sesswali jew l-orjentazzjoni sesswali ta’ persuna fiżika.
51
Il-Qorti tal-Ġustizzja tippreċiża li l-iskop tal-Artikolu 9(1) ta’ dan ir-regolament jikkonsisti f’li tiġi żgurata protezzjoni msaħħa fil-konfront ta’ pproċessar li, minħabba s-sensittività partikolari tad-data li tkun is-suġġett tiegħu, ikun jista’ jikkostitwixxi interferenza partikolarment serja fid-drittijiet fundamentali għar-rispett tal-ħajja privata u għall-protezzjoni tad-data personali, iggarantiti fl-Artikoli 7 u 8 tal-Karta (sentenza tal‑21 ta’ Diċembru 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punt 41 u l-ġurisprudenza ċċitata).
52
Issa, tali protezzjoni msaħħa titlob neċessarjament definizzjoni wiesgħa ta’ tali “data sensittiva” Għalhekk, il-Qorti tal-Ġustizzja ddeċidiet li l-Artikolu 9(1) tal-GDPR japplika għal ipproċessar li ma jirrigwardax biss id-data intrinsikament sensittiva koperta minn din id-dispożizzjoni, iżda wkoll data li tiżvela indirettament, fi tmiem proċess intellettwali ta’ deduzzjoni jew ta’ approssimazzjoni, informazzjoni ta’ din in-natura (sentenza tal‑5 ta’ Ġunju 2023, Il-Kummissjoni vs Il-Polonja (Indipendenza u ħajja privata tal-Imħallfin), C‑204/21, EU:C:2023:442, punt 344 kif ukoll il-ġurisprudenza ċċitata).
53
Fil-kuntest ta’ din id-definizzjoni wiesgħa, il-fatt li d-data dwar il-ħajja sesswali jew l-orjentazzjoni sesswali ta’ persuna fiżika ma tkunx veritiera u tkun ta’ preġudizzju ma jistax ikun ta’ natura li jwassal sabiex tali data titlef il-klassifikazzjoni tagħha bħala “data sensittiva”, fis-sens tal-Artikolu 9(1) tal-GDPR.
54
Fit-tieni lok, għandu jiġi kkonstatat li l-ipproċessar inkwistjoni fil-kawża prinċipali jikkonsisti fil-pubblikazzjoni ta’ dan ir-reklam u, għaldaqstant, ta’ din id-data fuq is-suq online ta’ Russmedia. Fil-fatt, l-operazzjoni li tikkonsisti fl-inklużjoni, fuq paġna tal-internet, tad-data personali tikkostitwixxi pproċessar, fis-sens tal-punt 2 tal-Artikolu 4 tal-GDPR (sentenza tal‑1 ta’ Awwissu 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punt 65 u l-ġurisprudenza ċċitata).
55
Fit-tielet lok, għandu jiġi osservat li t-tieni u r-raba’ domanda jagħmlu riferiment għall-fatt li l-operatur tas-suq online inkwistjoni fil-kawża prinċipali huwa responsabbli għall-ipproċessar tad-data personali. Issa, jidher li d-data personali, li l-pubblikazzjoni tagħha hija s-suġġett tal-kawża prinċipali, iddaħħlet fir-reklam inkwistjoni minn utent anonimu li jirreklama, mingħajr l-eżerċizzju, min naħa ta’ dan l-operatur, ta’ influwenza konkreta fuq il-kontenut ta’ dan ir-reklam u mingħajr ma l-istess operatur ma kien konxju min-natura mhux veritiera u ta’ preġudizzju ta’ dan ir-reklam. F’dawn iċ-ċirkostanzi, għandhom jiġu ċċarati l-kunċetti ta’ “kontrollur” u ta’ “kontrolluri konġunti”, fis-sens, rispettivament, tal-punt 7 tal-Artikolu 4 tal-GDPR u tal-Artikolu 26 tiegħu.
56
Il-punt 7 tal-Artikolu 4 tal-GDPR jiddefinixxi b’mod wiesa’ l-kunċett ta’ “kontrollur” bħala l-persuna fiżika jew ġuridika, l-awtorità pubblika, l-aġenzija jew kwalunkwe korp ieħor li waħdu jew flimkien ma’ oħrajn “jiddetermina l-għanijiet u l-mezzi tal-ipproċessar ta’ data personali”.
57
L-għan ta’ din id-definizzjoni wiesgħa jikkonsisti, b’mod konformi ma’ dak tal-GDPR, f’li tiġi żgurata protezzjoni effikaċi tal-libertajiet u tad-drittijiet fundamentali tal-persuni fiżiċi kif ukoll livell għoli ta’ protezzjoni tad-dritt ta’ kull persuna għall-protezzjoni tad-data personali li tikkonċernaha (sentenza tal‑5 ta’ Diċembru 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punt 29 u l-ġurisprudenza ċċitata).
58
Għalhekk, kull persuna fiżika jew ġuridika li tinfluwenza, għal finijiet partikolari għaliha, l-ipproċessar ta’ tali data u tipparteċipa minħabba f’hekk fid-determinazzjoni tal-finijiet u tal-mezzi ta’ dan l-ipproċessar tista’ titqies bħala kontrollur (sentenza tal‑5 ta’ Diċembru 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punt 30 u l-ġurisprudenza ċċitata).
59
Barra minn hekk, peress li, hekk kif jipprovdi espliċitament il-punt 7 tal-Artikolu 4 tal-GDPR, il-kunċett ta’ “kontrollur” jirrigwarda l-organu li, “waħdu jew flimkien ma’ oħrajn” jiddetermina l-għanijiet u l-mezzi tal-ipproċessar ta’ data personali, dan il-kunċett ma jirreferix neċessarjament għal organu wieħed u jista’ jkopri diversi atturi li huma involuti f’dan l-ipproċessar, fejn kull wieħed minnhom ikun għalhekk suġġett għad-dispożizzjonijiet applikabbli fil-qasam tal-protezzjoni tad-data (ara, f’dan is-sens, is-sentenza tad‑29 ta’ Lulju 2019, Fashion ID, C‑40/17, EU:C:2019:629, punt 67 u l-ġurisprudenza ċċitata).
60
L-Artikolu 26 tal-GDPR, li jifforma parti mill-kuntest tad-definizzjoni ta’ “kontrollur”, li tinsab fil-punt 7 tal-Artikolu 4 ta’ dan ir-regolament, jipprevedi, essenzjalment, li fejn żewġ kontrolluri jew iktar jiddeterminaw flimkien l-għanijiet u l-mezzi tal-ipproċessar, dawn għandhom jiġu kklassifikati bħala “kontrolluri konġunti” ta’ dan l-ipproċessar.
61
Tali responsabbiltà konġunta ma teħtieġx neċessarjament l-eżistenza ta’ deċiżjonijiet komuni dwar id-determinazzjoni tal-għanijiet u tal-mezzi tal-ipproċessar tad-data personali kkonċernata. Fil-fatt, il-Qorti tal-Ġustizzja ddeċidiet li l-parteċipazzjoni fid-determinazzjoni ta’ dawn il-finijiet u ta’ dawn il-mezzi tista’ tieħu diversi forom, peress li din il-parteċipazzjoni tista’ tirriżulta kemm minn deċiżjoni komuni meħuda minn żewġ entitajiet jew iktar kif ukoll minn deċiżjonijiet konverġenti li jikkompletaw lil xulxin b’tali mod li kull waħda minnhom ikollha effett konkret fuq id-determinazzjoni tal-imsemmija finijiet u tal-imsemmija mezzi (ara, f’dan is-sens, is-sentenza tal‑5 ta’ Diċembru 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punt 43).
62
F’dan ir-rigward, ir-responsabbiltà konġunta ta’ diversi atturi għall-istess ipproċessar, skont il-punt 7 tal-Artikolu 4 tal-GDPR, ma teħtieġx li kull wieħed minnhom ikollu aċċess għad-data personali kkonċernata (sentenzi tad‑29 ta’ Lulju 2019, Fashion ID, C‑40/17, EU:C:2019:629, punt 69 u l-ġurisprudenza ċċitata, kif ukoll tal‑5 ta’ Diċembru 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punt 42).
63
F’din l-istess perspettiva, il-Qorti tal-Ġustizzja ppreċiżat li l-eżistenza ta’ responsabbiltà konġunta ma ssarrafx neċessarjament għal responsabbiltà ekwivalenti, għall-istess ipproċessar ta’ data personali, tad-diversi atturi. Għall-kuntrarju, dawn l-atturi jistgħu jkunu involuti f’diversi stadji ta’ dan l-ipproċessar u f’diversi gradi, b’tali mod li l-livell ta’ responsabbiltà ta’ kull wieħed minnhom għandu jiġi evalwat billi jittieħdu inkunsiderazzjoni ċ-ċirkustanzi kollha rilevanti tal-każ inkwistjoni (ara, f’dan is-sens, is-sentenzi tal‑10 ta’ Lulju 2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, punt 66 u l-ġurisprudenza ċċitata, kif ukoll tal‑5 ta’ Diċembru 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punt 42).
64
F’dan il-każ, huwa paċifiku li l-utent li jirreklama, li mposta r-reklam mhux veritier u ta’ preġudizzju li jinkludi d-data personali tar-rikorrenti fil-kawża prinċipali fuq is-suq online operat minn Russmedia, għandu jitqies bħala li ddetermina, prinċipalment, l-għanijiet u l-mezzi tal-ipproċessar ta’ din id-data u għalhekk huwa kopert mill-kunċett ta’ “kontrollur”, fis-sens tal-punt 7 tal-Artikolu 4 tal-GDPR.
65
Madankollu, huwa stabbilit li dan ir-reklam ġie ppubblikat fuq l-internet u għalhekk sar aċċessibbli għall-utenti tal-internet biss grazzi għas-suq online operat minn Russmedia.
66
Issa, għalkemm mill-ġurisprudenza ċċitata fil-punt 58 ta’ din is-sentenza jirriżulta li persuna tista’ tiġi kklassifikata bħala “kontrollur” ta’ data personali biss jekk hija tinfluwenza dan l-ipproċessar għal finijiet partikolari għaliha, madankollu, għandu jiġi kkonstatat li dan jista’ jkun b’mod partikolari l-każ meta operatur ta’ suq online jippubblika d-data personali kkonċernata għal finijiet kummerċjali jew pubbliċitarji li jmorru lil hinn mis-sempliċi provvista ta’ servizzi li huwa jipprovdi lill-utent li jirreklama.
67
F’dan il-każ, mid-deċiżjoni tar-rinviju jirriżulta li Russmedia tippubblika reklami fuq is-suq online tagħha għal finijiet kummerċjali partikolari għaliha. F’dan ir-rigward, il-kundizzjonijiet ġenerali għall-użu ta’ dan is-suq jagħtu libertà kbira lil Russmedia sabiex tuża l-informazzjoni ppubblikata fuq l-imsemmi suq. B’mod partikolari, Russmedia tirriżerva għaliha, skont l-indikazzjonijiet tal-qorti tar-Rinviju, id-dritt li tuża l-kontenut ippubblikat, li tiddistribwixxih, li tittrasmettih, li tirriproduċih, li temendah, li tittraduċih, li tittrasferixxih lil imsieħba u li tħassru fi kwalunkwe ħin u mingħajr ma jkun hemm bżonn ta’ “raġuni valida” sabiex tagħmel dan. Għalhekk, Russmedia ma tippubblikax id-data personali li tinsab fir-reklami biss f’isem jew mhux unikament f’isem l-utenti li jirreklamaw, iżda tipproċessa u tista’ tivvalorizza din id-data għal finijiet pubbliċitarji u kummerċjali partikolari għaliha.
68
Għalhekk hemm lok li jitqies li Russmedia kellha influwenza, għal finijiet partikolari għaliha, fuq il-pubblikazzjoni fuq l-internet tad-data personali tar-rikorrenti fil-kawża prinċipali, u għal din ir-raġuni pparteċipat fid-determinazzjoni tal-għanijiet ta’ din il-pubblikazzjoni u għalhekk fl-ipproċessar tagħha.
69
Din il-konstatazzjoni ma hijiex ikkontestata mill-fatt li Russmedia manifestament ma pparteċipatx fid-determinazzjoni tal-għan mhux veritier u ta’ preġudizzju intiż mill-utent li jirreklama permezz tal-pubblikazzjoni tar-reklam inkwistjoni fil-kawża prinċipali. Fil-fatt, Russmedia pparteċipat fid-determinazzjoni tal-għan tal-ipproċessar li kien jikkonsisti f’li d-data personali li kienet tinsab fir-reklam titqiegħed għad-dispożizzjoni tal-utenti tal-internet sabiex tivvalorizza din il-pubblikazzjoni. Barra minn hekk, billi ppermettiet li r-reklami jitqiegħdu b’mod anonimu fis-suq online tagħha, Russmedia ffaċilitat il-pubblikazzjoni ta’ tali data mingħajr il-kunsens tas-suġġett tad-data.
70
Barra minn hekk, billi qiegħdet għad-dispożizzjoni tal-utent li jirreklama s-suq online tagħha li serva għall-pubblikazzjoni tar-reklam inkwistjoni fil-kawża prinċipali, Russmedia pparteċipat fid-determinazzjoni tal-mezzi ta’ din il-pubblikazzjoni.
71
Fil-fatt, il-Qorti tal-Ġustizzja diġà ddeċidiet, essenzjalment, li tipparteċipa fid-determinazzjoni tal-mezzi ta’ pproċessar, il-persuna fiżika jew ġuridika li tinfluwenza b’mod determinanti l-ġbir u t-trażmissjoni ta’ data personali, jew inkella dik li tinfluwenza, permezz tal-azzjoni tagħha fir-rigward tal-parametraġġ, skont l-għanijiet tagħha ta’ ġestjoni jew ta’ promozzjoni tal-attivitajiet tagħha, l-ipproċessar ta’ tali data (ara, f’dan is-sens, is-sentenzi tal‑5 ta’ Ġunju 2018, Wirtschaftsakademie Schleswig-Holstein, C‑210/16, EU:C:2018:388, punt 36, u tad‑29 ta’ Lulju 2019, Fashion ID, C‑40/17, EU:C:2019:629, punt 78). L-istess japplika, f’dak li jirrigwarda mutur ta’ tfittxija, meta l-attività tagħha jkollha rwol deċiżiv fix-xandir globali ta’ data personali sa fejn din l-attività tagħmel din id-data aċċessibbli pubblikament online b’mod organizzat u aggregat (ara, f’dan is-sens, is-sentenza tat‑8 ta’ Diċembru 2022, Google (Tneħħija ta’ referenza għal informazzjoni allegatament falza), C‑460/20, EU:C:2022:962, punt 50 u l-ġurisprudenza ċċitata).
72
Għaldaqstant, għandu jiġi kkonstatat li, meta l-operatur ta’ suq online bħal Russmedia jistabbilixxi l-parametri ta’ xandir tar-reklami li jistgħu jinkludu data personali skont id-destinatarji kkonċernati, meta jiddetermina l-preżentazzjoni, it-tul ta’ dan ix-xandir jew l-intestaturi li jistrutturaw l-informazzjoni ppubblikata jew inkella meta jorganizza l-klassifikazzjoni li għandha tiddetermina l-modalitajiet ta’ tali xandir, huwa jipparteċipa fid-determinazzjoni tal-mezzi essenzjali tal-pubblikazzjoni tad-data personali kkonċernata, u b’hekk jinfluwenza b’mod deċiżiv ix-xandir globali ta’ din tal-aħħar.
73
F’dan ir-rigward, il-kontenut tal-kundizzjonijiet ġenerali għall-użu tas-suq online inkwistjoni jista’ jipprovdi indizji li juru li l-operatur ta’ dan is-suq jinfluwenza b’mod determinanti l-ipproċessar ta’ data personali inkwistjoni u b’hekk jiddetermina l-mezzi ta’ dan l-ipproċessar. Dan donnu jgħodd ukoll għall-kundizzjonijiet ġenerali ta’ użu tas-suq online ta’ Russmedia, li fihom din il-kumpannija tirriżerva d-dritt, b’mod partikolari, li tiddistribwixxi, li tittrasmetti, li tippubblika, li tħassar jew ukoll li tirriproduċi l-informazzjoni li tinsab fir-reklami, inkluża d-data personali li tinsab fihom.
74
Fi kwalunkwe każ, l-operatur ta’ suq online ma jistax jevita r-responsabbiltà tiegħu, bħala kontrollur ta’ data personali, minħabba li ma kienx huwa li ddetermina l-kontenut tar-reklam inkwistjoni ppubblikat f’dan is-suq. Fil-fatt, jekk tali operatur jiġi eskluż mid-definizzjoni wiesgħa tal-kunċett ta’ “kontrollur” biss għal din ir-raġuni dan ma jkunx imur biss kontra l-formulazzjoni ċara iżda wkoll kontra l-għan tal-punt 7 tal-Artikolu 4 tal-GDPR, li huwa dak li tiġi żgurata, permezz ta’ din id-definizzjoni wiesgħa, protezzjoni effikaċi u sħiħa tal-persuni kkonċernati.
75
Għaldaqstant, għandu jiġi kkonstatat li l-qorti tar-rinviju kienet iġġustifikata meta bbażat it-tieni u r-raba’ domanda tagħha fuq il-premessa li, f’sitwazzjoni bħal dik inkwistjoni fil-kawża prinċipali, l-operatur tas-suq online huwa responsabbli għall-ipproċessar tad-data personali li tinsab f’reklam ippubblikat fuq dan is-suq online, fis-sens tal-punt 7 tal-Artikolu 4 tal-GDPR.
76
Huwa fid-dawl tal-osservazzjonijiet preliminari kollha esposti iktar ’il fuq li hemm lok li tingħata risposta għal dawn id-domandi.
Fuq it-tieni u t-tielet domanda
77
Permezz tat-tieni u tat-tielet domanda tagħha, li għandhom jiġu eżaminati flimkien, il-qorti tar-rinviju essenzjalment tistaqsi jekk kemm l-Artikolu 5(2) kif ukoll l-Artikoli 24 sa 26 tal-GDPR għandhomx jiġu interpretati fis-sens li l-operatur ta’ suq online, inkwantu kontrollur responsabbli, fis-sens tal-punt 7 tal-Artikolu 4 tal-GDPR, għall-ipproċessar tad-data personali li tinsab f’reklami ppubblikati fis-suq online tiegħu, huwiex obbligat, qabel il-pubblikazzjoni tar-reklami, li jidentifika dawk li jinkludu data sensittiva, fis-sens tal-Artikolu 9(1) tal-GDPR, li jivverifika jekk l-utent li jirreklama li jkun qiegħed jimposta tali reklam huwiex il-persuna li d-data sensittiva tagħha tkun tinsab f’dan ir-reklam u, jekk dan ma huwiex il-każ, li jirrifjuta l-pubblikazzjoni tiegħu fl-assenza ta’ kunsens espliċitu min-naħa tas-suġġett tad-data, sa fejn tali pubblikazzjoni tista’ twassal għal ksur serju tad-drittijiet ta’ din il-persuna għar-rispett tal-ħajja privata u għall-protezzjoni tad-data personali tagħha, iggarantiti fl-Artikoli 7 u 8 tal-Karta.
78
Skont l-Artikolu 1(2) tal-GDPR, moqri fid-dawl tal-premessi 4 u 10 tiegħu, dan ir-regolament għandu b’mod partikolari l-għan li jiggarantixxu livell għoli ta’ protezzjoni tal-libertajiet u tad-drittijiet fundamentali tal-persuni fiżiċi fir-rigward tal-ipproċessar tad-data personali, peress li dan id-dritt huwa rrikonoxxut ukoll fl-Artikolu 8 tal-Karta u huwa marbut mill-qrib mad-dritt għar-rispett tal-ħajja privata, stabbilit fl-Artikolu 7 tagħha (ara, f’dan is-sens, is-sentenza tal‑1 ta’ Awwissu 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punt 61 u l-ġurisprudenza ċċitata).
79
Għal dan il-għan, l-ewwel nett, il-Kapitoli II tal-GDPR jistipula l-prinċipji li jirregolaw l-ipproċessar tad-data personali li l-kontrollur għandu josserva. B’mod partikolari, kull ipproċessar ta’ data personali għandu jkun konformi mal-prinċipji relatati mal-ipproċessar tad-data u mal-kundizzjonijiet ta’ legalità tal-ipproċessar elenkati fl-Artikoli 5 u 6 ta’ dan ir-regolament (ara, f’dan is-sens, is-sentenza tal‑1 ta’ Awwissu 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punt 62 u l-ġurisprudenza ċċitata).
80
Konformement mal-Artikolu 5(1)(a) tal-GDPR, id-data personali għandha tiġi pproċessata legalment, ġustament u b’mod trasparenti fir-rigward tas-suġġett tad-data. L-Artikolu 5(1)(d) ta’ dan ir-regolament ikompli jżid li d-data personali pproċessata għandha tkun eżatta u, jekk meħtieġ, aġġornata. Għalhekk, għandhom jittieħdu l-miżuri kollha raġonevoli biex id-data personali li ma tkunx preċiża, fid-dawl tal-għanijiet li għalihom tiġi pproċessata, titħassar jew tiġi rrettifikata mingħajr dewmien. L-Artikolu 5(1)(f) tal-imsemmi regolament jipprovdi li d-data personali għandha tiġi trattata b’mod li tiġi ggarantita s-sigurtà xierqa ta’ din id-data, inkluża l-protezzjoni kontra proċessar mhux awtorizzat jew illegali.
81
F’dak li jirrigwarda l-kundizzjonijiet ta’ legalità tal-ipproċessar, hekk kif iddeċidiet il-Qorti tal-Ġustizzja, l-ewwel subparagrafu tal-Artikolu 6(1) tal-GDPR jipprevedi lista eżawrjenti u limitattiva tal-każijiet li fihom ipproċessar ta’ data personali jista’ jitqies bħala li huwa legali. Ipproċessar għandu għalhekk jaqa’ taħt wieħed mill-każijiet previsti f’din id-dispożizzjoni (ara, f’dan is-sens, is-sentenza tad‑9 ta’ Jannar 2025, Mousse, C‑394/23, EU:C:2025:2, punt 25 u l-ġurisprudenza ċċitata).
82
B’mod partikolari, skont il-punt (a) tal-ewwel subparagrafu tal-Artikolu 6(1) tal-GDPR, l-ipproċessar ta’ data personali jkun legali jekk, u sakemm, is-suġġett tad-data jkun ta l-kunsens tiegħu għal dan l-ipproċessar għal għan jew għal diversi għanijiet speċifiċi. L-Artikolu 7(1) ta’ dan ir-regolament jippreċiża li, f’dawn il-każijiet, il-kontrollur għandu jkun f’pożizzjoni li juri li s-suġġett tad-data ta l-kunsens tiegħu għall-ipproċessar tad-data personali li tikkonċernah. Fl-assenza ta’ tali kunsens, jew meta dan il-kunsens ma jkunx ingħata b’mod liberu, speċifiku, informat u inekwivoku, fis-sens tal-punt 11 tal-Artikolu 4 tal-imsemmi regolament, tali pproċessar jista’ jkun madankollu ġġustifikat meta dan ikun jissodisfa wieħed mir-rekwiżiti ta’ neċessità msemmija fil-punti (b) sa (f) tal-ewwel subparagrafu tal-Artikolu 6(1) tal-istess regolament (sentenza tad‑9 ta’ Jannar 2025, Mousse, C‑394/23, EU:C:2025:2, punt 26 u l-ġurisprudenza ċċitata).
83
Ma dawn il-prinċipji u ma dawn il-kundizzjonijiet jiżdiedu rekwiżiti speċifiċi għad-data sensittiva kif iddefinita fl-Artikolu 9(1) tal-GDPR u li l-ipproċessar tagħha huwa, bħala prinċipju, ipprojbit (ara, f’dan is-sens, is-sentenza tal‑21 ta’ Diċembru 2023, Krankenversicherung Nordrhein (C‑667/21, EU:C:2023:1022, punt 73).
84
Jista’ jkun hemm deroga minn din il-projbizzjoni biss jekk waħda mill-eċċezzjonijiet previsti fl-Artikolu 9(2)(a) sa (j) ta’ dan ir-regolament ikunu ssodisfatti. Fost dawn l-eċċezzjonijiet, li għandhom jiġu interpretati b’mod strett, l-Artikolu 9(2)(a) tal-imsemmi regolament jipprevedi li l-projbizzjoni ta’ pproċessar ta’ data sensittiva ma tapplikax jekk is-suġġett tad-data ta l-kunsens espliċitu tiegħu għall-ipproċessar tad-data personali sensittiva tiegħu għal għan jew għal diversi għanijiet speċifiċi, ħlief meta d-dritt tal-Unjoni jew id-dritt tal-Istat Membru jipprevedi li din il-projbizzjoni ma tistax titneħħa mis-suġġett tad-data.
85
It-tieni nett, il-Kapitolu IV tal-GDPR jispeċifika l-portata tal-obbligi imposti fuq il-kontrollur ta’ data personali, b’applikazzjoni tal-prinċipju ta’ responsabbiltà stipulat fl-Artikolu 5(2) tal-GDPR.
86
Skont din id-dispożizzjoni, il-kontrollur huwa responsabbli għall-osservanza tal-paragrafu (1) ta’ dan l-artikolu u għandu jkun f’pożizzjoni li juri li huwa jirrispetta kull wieħed mill-prinċipji stipulati f’dan il-paragrafu (1), u għalhekk l-oneru ta’ produzzjoni ta’ tali prova jaqa’ fuqu (sentenza tal‑4 ta’ Mejju 2023, Bundesrepublik Deutschland (Indirizz tal-posta elettronika ta’ qorti), C‑60/22, EU:C:2023:373, punt 53 u l-ġurisprudenza ċċitata).
87
Dan il-prinċipju ta’ responsabbiltà huwa kkonkretizzat, b’mod partikolari, fl-Artikolu 24 tal-GDPR (ara, f’dan is-sens, is-sentenza tal‑25 ta’ Jannar 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, punt 43 u l-ġurisprudenza ċċitata). Dan jeżiġi li, b’kont meħud tan-natura, tal-ambitu, tal-kuntest, u tal-għanijiet tal-ipproċessar kif ukoll tar-riskji ta’ probabbiltà u ta’ gravità li jvarjaw għad-drittijiet u l-libertajiet tal-persuni fiżiċi, il-kontrollur għandu jimplimenta miżuri tekniċi u organizzattivi xierqa biex jiżgura u jkun jista’ juri li l-imsemmi pproċessar sar f’konformità ma’ dan ir-regolament.
88
Għalhekk, l-Artikolu 5(2) u l-Artikolu 24 tal-GDPR jimponu obbligi ġenerali ta’ responsabbiltà u ta’ konformità fuq il-kontrollur ta’ data personali. Dawn jeżiġu li dan il-kontrollur jadotta miżuri xierqa intiżi sabiex jipprevjenu l-ksur li jista’ jkun hemm tar-regoli previsti mill-GDPR sabiex jiġi żgurat id-dritt għall-protezzjoni tad-data (ara, f’dan is-sens, is-sentenza tas‑27 ta’ Ottubru 2022, Proximus (Direttorju pubbliku elettroniku), C‑129/21, EU:C:2022:833, punt 81).
89
Minn din il-perspettiva, l-Artikolu 25(1) tal-GDPR jimponi fuq il-kontrollur l-obbligu li jimplimenta, kemm fil-mument tad-determinazzjoni tal-mezzi tal-ipproċessar kif ukoll fil-mument tal-ipproċessar innifsu, miżuri tekniċi u organizzattivi xierqa li huma intiżi sabiex jimplimentaw il-prinċipji relatati mal-protezzjoni tad-data b’mod effettiv u sabiex l-ipproċessar ikun akkumpanjat bil-garanziji neċessarji sabiex ir-rekwiżiti ta’ dan ir-regolament jiġu ssodisfatti u sabiex id-drittijiet tas-suġġett tad-data jiġu protetti. Barra minn hekk, dan l-Artikolu 25(2), dwar il-protezzjoni awtomatika tad-data, jipprevedi b’mod partikolari li l-miżuri tekniċi u organizzattivi xierqa li għandhom jiġu implimentati mill-kontrollur għal dan il-għan, jiggarantixxu li, awtomatikament, id-data personali ma ssirx aċċessibbli għal numru indeterminat ta’ persuni fiżiċi mingħajr l-intervent tal-persuna fiżika kkonċernata.
90
Meta d-data personali li tkun qiegħda tiġi pproċessata tkun data sensittiva, fis-sens tal-Artikolu 9(1) tal-GDPR, il-kontrollur għandu b’mod partikolari, sabiex jiddetermina liema huma l-miżuri xierqa, fis-sens tal-Artikoli 24 u 25 ta’ dan ir-regolament, jieħu inkunsiderazzjoni l-fatt li ksur tal-prinċipji stipulati fil-Kapitolu II tal-imsemmi regolament f’dak li jirrigwarda l-ipproċessar ta’ tali data jista’ jikkostitwixxi interferenza partikolarment serja fid-drittijiet fundamentali għar-rispett tal-ħajja privata u għall-protezzjoni tad-data personali ggarantiti fl-Artikoli 7 u 8 tal-Karta.
91
Huwa fid-dawl ta’ dawn il-preċiżazzjonijiet kollha li għandhom jiġu eżaminati t-tieni u t-tielet domanda, kif ifformulati mill-ġdid fil-punt 77 ta’ din is-sentenza.
92
F’dak li jirrigwarda, fl-ewwel lok, il-kwistjoni dwar jekk l-operatur ta’ suq online għandux jidentifika r-reklami li jinkludu data sensittiva, fis-sens tal-Artikolu 9(1) tal-GDPR, qabel ma jippubblikahom, hemm lok li jitfakkar li, hekk kif jirriżulta mill-punti 64 u 75 ta’ din is-sentenza, dan l-operatur u l-utent li jirreklama li imposta tali reklam fuq dan is-suq online għandhom jitqiesu bħala kontrolluri konġunti, fis-sens tal-Artikolu 26 ta’ dan ir-regolament, meta r-reklam inkwistjoni jiġi ppubblikat fuqu.
93
Minn dan isegwi li kemm dan l-operatur kif ukoll dan l-utent li jirreklama huma obbligati li jiżguraw l-osservanza tal-obbligi li jirriżultaw kemm mill-Artikolu 5(2) kif ukoll mill-Artikoli 24 u 25 tal-GDPR. B’mod partikolari, dawn għandhom ikunu f’pożizzjoni li juru li d-data personali li tinsab fir-riklam inkwistjoni ġiet ippubblikata b’mod legali, jiġifieri li s-suġġett tad-data ta’ l-kunsens tiegħu għal tali pubblikazzjoni, sakemm ma jkunux jistgħu jinvokaw kundizzjoni oħra prevista fl-Artikolu 6(1) tal-GDPR. Meta d-data personali inkwistjoni tkun data sensittiva, fis-sens tal-Artikolu 9(1) tal-GDPR, il-kunsens għal tali pubblikazzjoni għandu jkun, hekk kif jirriżulta mill-punt 84 ta’ din is-sentenza, espliċitu. Bl-istess mod, skont il-prinċipju ta’ preċiżjoni stipulat fl-Artikolu 5(1)(d) tal-GDPR, il-kontrolluri għandhom ikunu f’pożizzjoni li juru li d-data personali inkwistjoni hija preċiża.
94
Sabiex jiġi ddeterminat liema huma speċifikament il-miżuri tekniċi u organizzattivi xierqa li l-operatur ta’ suq online, inkwantu kontrollur konġunt għall-ipproċessar ta’ data personali, huwa obbligat li jimplimenta, b’applikazzjoni tal-Artikoli 24 u 25 tal-GDPR, sabiex jiżgura ruħu li jkun f’pożizzjoni li juri li l-pubblikazzjoni ta’ data sensittiva li tinsab f’reklam ser titwettaq b’mod konformi ma dan ir-regolament, għandu jiġi osservat li minn dawn id-dispożizzjonijiet jirriżulta li n-natura xierqa ta’ tali miżuri għandha tiġi evalwata b’mod konkret, billi jittieħdu inkunsiderazzjoni kemm in-natura, il-portata, il-kuntest u l-għanijiet tal-ipproċessar inkwistjoni, kif ukoll il-grad ta’ probabbiltà u ta’ serjetà tar-riskji għad-drittijiet u għal-libertajiet irrikonoxxuti lis-suġġett tad-data (ara, f’dan is-sens, is-sentenza tal‑21 ta’ Diċembru 2023, Krankenversicherung Nordrhein (C‑667/21, EU:C:2023:1022, punt 96).
95
F’dan ir-rigward, għandu jiġi osservat li l-pubblikazzjoni ta’ data personali f’suq online tinvolvi riskji sinjifikattivi għad-drittijiet u għal-libertajiet tas-suġġett tad-data, peress li din tagħmel din id-data bħala prinċipju aċċessibbli għal kull utent tal-internet. Barra minn hekk, ladarba tiġi ppubblikata f’suq online, l-imsemmija data tista’ tiġi kkopjata u riprodotta fuq siti tal-internet oħra, b’tali mod li jista’ jkun diffiċli, jekk mhux impossibbli, li s-suġġett tad-data jikseb it-tħassir effettiv tagħha mill-internet.
96
Ir-riskji marbuta ma tali pubblikazzjoni huma iktar u iktar serji meta inkwistjoni jkun hemm data sensittiva, fis-sens tal-Artikolu 9(1) tal-GDPR. Hekk kif tiddikjara espliċitament il-premessa 51 tal-GDPR, id-data personali li min-natura tagħha hija partikolarment sensittiva mill-perspettiva tal-libertajiet u tad-drittijiet fundamentali jistħoqqilha protezzjoni speċifika, peress li l-kuntest li fih tiġi pproċessata jista’ joħloq riskji sinjifikattivi għal dawn il-libertajiet u dawn id-drittijiet (ara, f’dan is-sens, is-sentenza tal‑4 ta’ Ottubru 2024, Lindenapotheke (C‑21/23, EU:C:2024:846, punt 75). L-ipproċessar ta’ tali data jista’, hekk kif huwa indikat fil-punt 90 ta’ din is-sentenza, jikkostitwixxi interferenza partikolarment serja fid-drittijiet fundamentali għar-rispett tal-ħajja privata u għall-protezzjoni tad-data personali ggarantiti fl-Artikoli 7 u 8 tal-Karta. Barra minn hekk, il-grad ta’ probabbiltà ta’ ksur ta’ dawn id-drittijiet permezz tal-pubblikazzjoni ta’ reklam li jkun fih data sensittiva huwa għoli ħafna meta l-utent li jirreklama ma jkunx huwa stess is-suġġett tad-data u meta s-suq online jippermetti li tali reklami jiġi impostat b’mod anonimu.
97
Għaldaqstant, sa fejn l-operatur ta’ suq online, bħal dak inkwistjoni fil-kawża prinċipali, ikun jaf jew għandu jkun jaf li, b’mod ġenerali, reklami li jinkludu data sensittiva, fis-sens tal-Artikolu 9(1) tal-GDPR, jistgħu jiġu ppubblikati minn utenti li jirreklamaw fuq is-suq online tiegħu, dan l-operatur, inkwantu kontrollur ta’ dan l-ipproċessar, għandu l-obbligu, sa mit-tfassil tas-servizz tiegħu, li jimplimenta l-miżuri tekniċi u organizzattivi xierqa sabiex jidentifika tali reklami qabel il-pubblikazzjoni tagħhom u b’dan il-mod ikun f’pożizzjoni li jivverifika jekk id-data sensittiva inkluża fihom hijiex ippubblikata fl-osservanza tal-prinċipji stipulati fil-Kapitolu II ta’ dan ir-regolament. Fil-fatt, hekk kif jirrizulta b’mod partikolari mill-Artikolu 25(1) tal-imsemmi regolament, huwa għandu l-obbligu li jimplimenta tali miżuri mhux biss fil-mument tal-ipproċessar, iżda diġà fil-mument tad-determinazzjoni tal-mezzi ta’ proċessar u għalhekk saħansitra qabel il-pubblikazzjoni ta’ data sensittiva fuq is-suq online tiegħu bi ksur ta’ dawn il-prinċipji, sa fejn dan l-obbligu huwa preċiżament intiż sabiex jipprevjeni tali ksur.
98
F’dak li jirrigwarda, fit-tieni lok, il-kwistjoni ta’ jekk l-operatur ta’ suq online, inkwantu kontrollur responsabbli għall-ipproċessar ta’ data sensittiva li tinsab fir-reklami ppubblikati fuq is-sit tal-internet tiegħu, b’mod konġunt mal-utent li jirreklama, għandux jivverifika l-identità ta’ dan l-utent li jirreklama qabel il-pubblikazzjoni, għandu jitfakkar li minn qari flimkien tal-Artikolu 9(1) u (2)(a) tal-GDPR jirriżulta li l-pubblikazzjoni ta’ tali data hija pprojbita, sakemm is-suġġett tad-data ma jkun ta l-kunsens espliċitu tiegħu sabiex id-data inkwistjoni tiġi ppubblikata fuq dan is-suq online jew sakemm ma tkunx issodisfatta waħda mill-eċċezzjonijiet l-oħra previsti fl-Artikolu 9(2)(b) sa (j) tal-istess regolament, li ma jidhirx li kien il-każ f’din il-kawża.
99
Għal dan il-għan, għalkemm il-fatt li suġġett tad-data jimposta reklam li jinkludi data sensittiva tiegħu fuq suq online jista’ jikkostitwixxi kunsens espliċitu, fis-sens tal-Artikolu 9(2)(a) tal-GDPR, ma jkunx hemm tali kunsens meta dan ir-reklam jiġi impostat minn terz, dejjem sakemm dan it-terz ma jkunx jista’ juri li s-suġġett tad-data ta l-kunsens espliċitu tiegħu sabiex l-imsemmi reklam jiġi ppubblikat fuq is-suq online inkwistjoni. Għaldaqstant, sabiex ikun jista’ jkun żgur, u sabiex ikun jista’ juri li r-rekwiżiti previsti fl-Artikolu 9(2)(a) tal-GDPR huma rrispettati, l-operatur ta’ dan is-suq huwa obbligat li jivverifika, qabel il-pubblikazzjoni ta’ tali reklam, jekk l-utent li jirreklama li qed jimposta dan ir-reklam huwiex il-persuna li d-data sensittiva tagħha tinsab f’dan ir-reklam, u dan jippreżupponi l-ġbir tal-identità ta’ dan l-utent li jirreklama.
100
Barra minn hekk, mill-Artikolu 13(1)(a) u mill-Artikolu 14(1)(a) tal-GDPR jirriżulta li l-kontrolluri responsabbli għall-ipproċessar ta’ data personali għandhom, f’kull każ, jipprovdu l-identità u d-dettalji ta’ kuntatt tagħhom lis-suġġett tad-data.
101
Fl-aħħar nett, għandu jiġi osservat li l-Artikolu 26 tal-GDPR jimponi l-obbligu, fuq il-kontrolluri konġunti responsabbli għall-istess ipproċessar ta’ data personali, li jiddefinixxu b’mod trasparenti l-obbligi rispettivi tagħhom sabiex tiġi żgurata l-osservanza tar-rekwiżiti previsti minn dan ir-regolament. Issa, tali obbligu jkun impossibbli jekk wieħed mill-kontrolluri ta’ dan l-ipproċessar ikun jista’ jibqa’ anonimu fil-konfront tal-ieħor.
102
Għalhekk, mill-kunsiderazzjonijiet esposti iktar ’il fuq jirriżulta li l-operatur ta’ suq online, inkwantu responsabbli, flimkien mal-utent li jirreklama, għall-pubblikazzjoni tad-data sensittiva li tinsab f’reklam ippubblikat fuq is-suq online tiegħu, għandu l-obbligu li jiġbor l-identità ta’ dan l-utent li jirreklama u li jivverifika jekk dan huwiex il-persuna li d-data sensittiva tagħha tinsab f’dan ir-reklam.
103
F’dan ir-rigward, hekk kif osserva, essenzjalment, l-Avukat Ġenerali fil-punt 132 tal-konklużjonijiet tiegħu, mill-premessa 75 tal-GDPR jirriżulta li, b’mod partikolari fil-każ ta’ użurpazzjoni tal-identità, l-ipproċessar tad-data personali jista’ jkun jinvolvi riskji għad-drittijiet u għal-libertajiet tal-persuni kkonċernati li jistgħu, minħabba f’dan, ikunu preklużi milli jeżerċitaw kontroll fuq id-data personali tagħhom. Fil-fatt, b’mod ġenerali, identità tiġi użurpata bl-għan li jitwettqu azzjonijiet frawdolenti, għad-detriment tas-suġġett tad-data jew ta’ terzi.
104
F’dawn iċ-ċirkostanzi u fid-dawl tal-kunsiderazzjonijiet esposti fil-punti 95 u 96 ta’ din is-sentenza, sabiex ikun f’pożizzjoni li jiżgura u li juri li d-data sensittiva li tinsab f’reklam hija pproċessata konformement mar-rekwiżiti tal-GDPR, l-operatur ta’ suq online għandu jipprevedi, b’applikazzjoni tal-Artikoli 24 u 25 ta’ dan ir-regolament, miżuri tekniċi u organizzattivi xierqa li ma jippermettulux biss li jiġbor iżda anki li jivverifika l-identità tal-utent li jirreklama qabel il-pubblikazzjoni ta’ dawn ir-reklami, u dan b’mod partikolari sabiex ikun jista’ jiddetermina jekk dan huwiex il-persuna li d-data sensittiva tagħha tinsab fl-imsemmija reklami. Tali miżuri għandhom b’mod partikolari jippermettu, hekk kif osserva l-Avukat Ġenerali fil-punt 134 tal-konklużjonijiet tiegħu, il-limitazzjoni tar-riskju ta’ pproċessar illegali tad-data personali tas-suġġetti tad-data u li jiġi miġġieled l-użu irresponsabbli ta’ tali suq online, billi jiġi limitat is-sentiment ta’ impunità u billi l-utenti li jirreklamaw jiġu mħeġġa, b’dan il-mod, jikkonformaw ruħhom mar-rekwiżiti tal-GDPR meta jippubblikaw reklami li jinkludu data personali.
105
Fl-aħħar, f’dak li jirrigwarda, fit-tielet lok, il-kwistjoni ta’ jekk l-operatur ta’ suq online għandux jirrifjuta l-pubblikazzjoni ta’ reklam li jinkludi data sensittiva meta jirriżulta – wara tali verifika tal-identità tal-utent li jirreklama li imposta dan ir-reklam – li dan l-utent ma huwiex il-persuna li d-data sensittiva tagħha tinsab fl-imsemmi reklam, għandu jiġi kkonstatat li mill-punti 98 u 99 ta’ din is-sentenza jirriżulta li, f’tali każ, ma jistax jiġi eskluż li tali pubblikazzjoni tkun bi ksur tal-projbizzjoni ta’ pproċessar ta’ tali data, prevista fl-Artikolu 9(1) tal-GDPR. Għaldaqstant, sakemm dan l-utent li jirreklama ma jkunx jista’ juri b’mod suffiċjenti fid-dritt li s-suġġett tad-data ta l-kunsens espliċitu tiegħu sabiex id-data inkwistjoni tiġi ppubblikata fuq dan is-suq online, fis-sens tal-Artikolu 9(2)(a) tal-GDPR jew li hija ssodisfatta waħda mill-eċċezzjonijiet l-oħra previsti fl-Artikolu 9(2)(b) sa (j) tal-istess regolament, l-operatur ta’ dan is-suq online għandu jirrifjuta li jippubblika r-reklam inkwistjoni, u huwa għandu jiżgura dan billi jimplimenta miżuri tekniċi u organizzattivi xierqa.
106
Fid-dawl tal-motivi kollha esposti iktar ’il fuq, ir-risposta li għandha tingħata għat-tieni u għat-tielet domanda għandha tkun li kemm l-Artikolu 5(2) kif ukoll l-Artikoli 24 sa 26 tal-GDPR għandhom jiġu interpretati fis-sens li l-operatur ta’ suq online, inkwantu kontrollur responsabbli, fis-sens tal-punt 7 tal-Artikolu 4 tal-GDPR, għall-ipproċessar tad-data personali li tinsab f’reklami ppubblikati fuq s-suq online tiegħu, huwa obbligat, qabel il-pubblikazzjoni tar-reklami u permezz ta’ miżuri tekniċi u organizzattivi xierqa,
–
li jidentifika r-reklami li jinkludu data sensittiva. Fis-sens tal-Artikolu 9(1) tal-GDPR,
–
li jivverifika jekk l-utent li jirreklama li jkun qiegħed jimposta tali reklam huwiex il-persuna li d-data sensittiva tagħha tkun tinsab f’dan ir-reklam u, jekk dan ma huwiex il-każ,
–
li jirrifjuta l-pubblikazzjoni tiegħu, sakemm l-utent li jirreklama ma jurix li s-suġġett tad-data ta l-kunsens espliċitu tiegħu sabiex id-data inkwistjoni tiġi ppubblikata fuq dan is-suq online, fis-sens tal-Artikolu 9(2)(a), jew meta tkun issodisfatta waħda mill-eċċezzjonijiet l-oħra previsti fl-imsemmi Artikolu 9(2)(b) sa (j).
Fuq ir-raba’ domanda
107
Ir-raba’ domanda tirrigwarda, essenzjalment, il-kwistjoni dwar jekk operatur ta’ suq online, inkwantu kontrollur, huwiex obbligat jimplimenta miżuri ta’ sigurtà ta’ natura li jipprekludu jew li jillimitaw l-ikkopjar u d-distribuzzjoni mill-ġdid tar-reklami li jinkludu data sensittiva li ġew ippubblikati fis-suq online tiegħu.
108
F’dan il-każ, mit-talba għal deċiżjoni preliminari jirriżulta li, minn naħa, ir-reklam mhux veritier u ta’ preġudizzju inkwistjoni fil-kawża prinċipali ġie riprodott fuq siti oħra tal-internet b’kontenut pubbliċitarju, li ppubblikawh b’indikazzjoni tas-sors oriġinali u li, min-naħa l-oħra, fil-kundizzjonijiet ġenerali ta’ użu tas-suq online tagħha, Russmedia tirriżerva b’mod partikolari d-dritt li tittrasmetti l-kontenut tar-reklami ppubblikati fuqu u li tittrasferixxihom lil imsieħba. F’dan ir-rigward, il-qorti tar-rinviju ma tispeċifikax jekk Russmedia ttrasferixxietx dawn ir-reklami volontarjament lejn dawn is-siti l-oħra tal-internet u jekk hija, minn tal-inqas, ippermettietx, permezz ta’ kuntratti, dawn il-pubblikazzjonijiet, jew inkella jekk, bil-kontra ta’ dan, l-imsemmija pubblikazzjonijiet jirriżultaw minn kopji tar-reklam oriġinali mhux awtorizzati minn Russmedia.
109
Jekk l-ewwel parti ta’ din l-alternattiva tkun dik li effettivament seħħet, din it-trażmissjoni tikkostitwixxi pproċessar ġdid ta’ data personali li għalih Russmedia hija l-kontrollur, fis-sens tal-punt 7 tal-Artikolu 4 tal-GDPR. Dan l-ipproċessar għandu jiġi distint mill-pubblikazzjoni mill-utent li jirreklama tar-reklam mhux veritier u ta’ preġudizzju inkwistjoni fil-kawża prinċipali fuq is-suq online tagħha.
110
Fil-fatt, għandha ssir distinzjoni bejn id-diversi każijiet ta’ pproċessar ta’ data personali li jagħmlu parti mill-istess katina ta’ operazzjonijiet sabiex tittieħed inkunsiderazzjoni n-neċessità li jiġi evalwat individwalment, għal kull persuna li tista’ tiġi kklassifikata bħala kontrollur ta’ data personali, il-livell ta’ responsabbiltà li tista’ tiġi imputata lilha. Dan huwa dovut għall-fatt li, sabiex tkun tista’ titqies bħala kontrollur konġunt, persuna fiżika jew ġuridika għandha tissodisfa b’mod indipendenti d-definizzjoni ta’ “kontrollur” mogħtija fil-punt 7 tal-Artikolu 4 tal-GDPR (sentenza tal‑5 ta’ Diċembru 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punt 41 u l-ġurisprudenza ċċitata).
111
Minn dan isegwi li, jekk trażmissjoni sussegwenti ta’ data personali titwettaq fil-kuntest ta’ kuntratti ta’ xandir bejn l-operatur tas-suq online, li fuqu kienet ġiet inizjalment ippubblikata d-data personali inkwistjoni, u operaturi ta’ siti oħra tal-internet, dan l-ewwel operatur huwa, bħala prinċipju, l-uniku kontrollur responsabbli għall-ipproċessar li jirriżulta minn din it-trażmissjoni. Fi kwalunkwe każ, kull kontrollur huwa obbligat, waħdu jew b’mod konġunt, jikkonforma ruħu mal-obbligi kollha li jirriżultaw mill-GDPR.
112
Wara li saru dawn il-preċiżazzjonijiet, ir-raba’ domanda għandha tinftiehem fis-sens li tirreferi għall-każ fejn Russmedia ma ttrasferixxietx lejn siti oħra tal-internet b’kontenut pubbliċitarju r-reklam mhux veritier u ta’ preġudizzju inkwistjoni fil-kawża prinċipali u għalhekk ma awtorizzatx dawn il-pubblikazzjonijiet sussegwenti.
113
Barra minn hekk, għandu jiġi osservat ukoll li din id-domanda tirrigwarda, essenzjalment, il-portata tal-obbligu ta’ sigurtà li għandu jiġi osservat minn kontrollur ta’ data personali. Issa, l-għan tal-Artikolu 32 tal-GDPR huwa speċifikament is-sigurtà tal-ipproċessar. Dan jikkonkretizza u jippreċiża aspett speċifiku tar-rekwiżiti stipulati fl-Artikolu 24 ta’ dan ir-regolament, li jiddefinixxi b’mod ġenerali, flimkien mal-Artikolu 5(2) tal-imsemmi regolament, ir-responsabbiltà tal-kontrollur.
114
F’dawn iċ-ċirkostanzi, għandu jitqies li, permezz tar-raba’ domanda tagħha l-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 32 tal-GDPR għandux jiġi interpretat fis-sens li l-operatur ta’ suq online, inkwantu kontrollur responsabbli, fis-sens tal-punt 7 tal-Artikolu 4 ta’ dan ir-regolament, għall-ipproċessar tad-data personali li tinsab f’reklami ppubblikati fuq is-suq online tiegħu, huwiex obbligat li jimplimenta miżuri ta’ sigurtà li jistgħu jipprekludu li reklami ppubblikati fuq l-imsemmi suq u li jinkludu data sensittiva, fis-sens tal-Artikolu 9(1) tal-imsemmi regolament, jiġu kkopjati u ppubblikati illegalment fuq siti oħra tal-internet.
115
L-Artikolu 32(1) tal-GDPR jipprevedi li, filwaqt li jikkunsidraw l-ogħla livell ta’ żvilupp tekniku, l-ispejjeż tal-implimentazzjoni u n-natura, l-ambitu, il-kuntest, u l-għanijiet tal-ipproċessar kif ukoll ir-riskju ta’ probabbiltà u gravità li jvarjaw għad-drittijiet u l-libertajiet tal-persuni fiżiċi, il-kontrollur u l-proċessur għandhom jimplimentaw miżuri tekniċi u organizzattivi xierqa, biex jiżguraw livell ta’ sigurtà xieraq għar-riskju.
116
L-Artikolu 32(2) ta’ dan ir-regolament jipprevedi li, fl-evalwazzjoni tal-livell ta’ sigurtà xieraq, għandhom jittieħdu inkunsiderazzjoni b’mod partikolari r-riskji li jippreżenta l-ipproċessar, li jirriżultaw b’mod partikolari mill-qerda, mit-telf, mill-bidla, mill-iżvelar mhux awtorizzat ta’ data personali, jew mill-aċċess mhux awtorizzat għal tali data, li jkun aċċidentali jew illegali.
117
Il-Qorti tal-Ġustizzja ddeċidiet li r-riferiment, li jinsab fl-Artikolu 32(1) u (2) tal-GDPR, għal “livell ta’ sigurtà adatt għar-riskju” u għal “livell xieraq ta’ sigurtà” juri li dan ir-regolament jistabbilixxi sistema ta’ ġestjoni tar-riskji u li bl-ebda mod ma jallega li jelimina r-riskji ta’ ksur tad-data personali (sentenza tal‑14 ta’ Diċembru 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punt 29).
118
Għalhekk, mill-kliem tal-Artikolu 32 tal-GDPR, moqri flimkien mal-Artikolu 24 ta’ dan ir-regolament, jirriżulta li dan l-Artikolu 32 sempliċement jimponu fuq il-kontrollur l-obbligu li jadotta miżuri tekniċi u organizzattivi intiżi biex jiġi evitat, sa fejn ikun possibbli, kull ksur ta’ data personali. In-natura xierqa ta’ tali miżuri għandha tiġi evalwata b’mod konkret, billi jiġi eżaminat jekk dawn il-miżuri ġewx implimentati minn dan il-kontrollur b’teħid inkunsiderazzjoni tad-diversi kriterji previsti f’dawn l-Artikoli u tal-bżonnijiet ta’ protezzjoni tad-data speċifikament inerenti għall-ipproċessar ikkonċernat kif ukoll għar-riskji kkawżati minn dan tal-aħħar (ara, f’dan is-sens, is-sentenza tal‑14 ta’ Diċembru 2023, Natsionalna agentsia za prihodite (C‑340/21, EU:C:2023:986, punt 30).
119
F’dan ir-rigward, sabiex jiġi ddeterminat ir-riskju konkret li l-ipproċessar inkwistjoni jinvolvi, għandha tittieħed inkunsiderazzjoni l-eventwali natura sensittiva tad-data personali pproċessata. Fil-fatt, hekk kif huwa mfakkar fil-punti 51 u 90 ta’ din is-sentenza, il-protezzjoni msaħħa, prevista fl-Artikolu 9(1) tal-GDPR għal ċerti kategoriji ta’ data, minħabba s-sensittività partikolari tagħha, hija dovuta għall fatt li l-ipproċessar ta’ tali data jista’ jikkostitwixxi interferenza partikolarment serja fid-drittijiet fundamentali għar-rispett tal-ħajja privata u għall-protezzjoni tad-data personali, iggarantiti fl-Artikoli 7 u 8 tal-Karta (ara, f’dan is-sens, is-sentenza tal‑21 ta’ Diċembru 2023, Krankenversicherung Nordrhein (C‑667/21, EU:C:2023:1022, punt 41 u l-ġurisprudenza ċċitata).
120
Dan espost, ladarba reklam li jinkludi data personali jkun online u ladarba dan ikun, għalhekk, diġà aċċessibbli globalment, it-tixrid ta’ din id-data jinvolvi, b’mod partikolari, ir-riskju ta’ telf ta’ kontroll tad-data personali inkwistjoni li, ladarba jseħħ, iġib fix-xejn l-effett utli tad-drittijiet u tal-garanziji previsti mill-GDPR favur is-suġġett tad-data, li fosthom hemm, b’mod prominenti, id-dritt għat-tħassir previst fl-Artikolu 17 ta’ dan ir-regolament.
121
Barra minn dan, meta data sensittiva tkun is-suġġett ta’ pubblikazzjoni online, il-kontrollur huwa obbligat, abbażi tal-Artikolu 32 tal-GDPR, li jadotta l-miżuri tekniċi u organizzattivi kollha sabiex jiżgura livell ta’ sigurtà li jista’ jipprevjeni effikaċement li jkun hemm telf ta’ kontroll ta’ din id-data.
122
F’dan ir-rigward, il-kontrollur għandu jipprevedi b’mod partikolari l-miżuri tekniċi kollha disponibbli fl-istat tal-għarfien tekniku li jistgħu jimblokkaw l-ikkopjar u r-riproduzzjoni tal-kontenut online.
123
Madankollu, għandu jiġi ppreċiżat li l-Artikoli 24 u 32 tal-GDPR ma jistgħux jinftiehmu fis-sens li tixrid illegali ta’ data personali inizjalment ippubblikata online huwa biżżejjed sabiex jiġi konkluż li l-miżuri adottati mill-kontrollur ikkonċernat ma kinux xierqa, fis-sens ta’ dawn id-dispożizzjonijiet, mingħajr ma jippermettu lil dan tal-aħħar li jipproduċi l-prova kuntrarja (sentenza tal‑14 ta’ Diċembru 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punt 31).
124
F’dan il-każ, mid-deċiżjoni tar-rinviju jirriżulta li, minkejja t-tħassir tar-reklam mhux veritier u ta’ preġudizzju inkwistjoni fil-kawża prinċipali minn fuq is-suq online ta’ Russmedia, dan ir-reklam baqa’ aċċessibbli online fuq siti oħra tal-internet mingħajr il-possibbiltà, milli jidher, li r-rikorrenti fil-kawża prinċipali tikseb it-tħassir tiegħu.
125
Issa, jidher li dan it-telf ta’ kontroll joriġina mill-pubblikazzjoni inizjali illegali tar-reklam mhux veritier u ta’ preġudizzju inkwistjoni fil-kawża prinċipali, bi ksur tar-rekwiżiti previsti mill-GDPR. F’kull każ, Russmedia kienet obbligata li timplimenta miżuri tekniċi u organizzattivi xierqa sabiex tiggarantixxi livell ta’ sigurtà xieraq għar-riskju skont l-Artikolu 32 tal-GDPR u li timblokka, sa fejn possibbli, kull ikkopjar ta’ dan ir-reklam. Hija l-qorti tar-rinviju li għandha tivverifika jekk dan kienx il‑każ.
126
Fid-dawl tal-motivi kollha esposti iktar ’il fuq, ir-risposta li għandha tingħata għar-raba’ domanda għandha tkun li l-Artikolu 32 tal-GDPR għandu jiġi interpretat fis-sens li l-operatur ta’ suq online, inkwantu kontrollur responsabbli, fis-sens tal-punt 7 tal-Artikolu 4 ta’ dan ir-regolament, għall-ipproċessar tad-data personali li tinsab f’reklami ppubblikati fuq is-suq online tiegħu, huwa obbligat li jimplimenta miżuri ta’ sigurtà tekniċi u organizzattivi xierqa sabiex jipprekludi li reklami ppubblikati fuq l-imsemmi suq u li jinkludu data sensittiva, fis-sens tal-Artikolu 9(1) tal-imsemmi regolament, jiġu kkopjati u ppubblikati illegalment fuq siti oħra tal-internet.
Fuq l-ewwel domanda, dwar l-interpretazzjoni tad-Direttiva 2000/31
127
Hekk kif ġie osservat fil-punti 45 u 46 ta’ din is-sentenza, il-qorti tar-rinviju tistaqsi wkoll jekk l-operatur ta’ suq online, inkwantu kontrollur responsabbli, fis-sens tal-punt 7 tal-Artikolu 4 tal-GDPR, għall-ipproċessar tad-data personali li tinsab f’reklami ppubblikati fuq is-suq online tiegħu, jistax jinvoka, fir-rigward ta’ ksur tal-obbligi li jirriżultaw kemm mill-Artikolu 5(2) kif ukoll mill-Artikoli 24 sa 26 u 32 ta’ dan ir-regolament u kkonstatati fil-punti 106 u 126 ta’ din is-sentenza, l-Artikoli 12 sa 15 tad-Direttiva 2000/31, dwar ir-responsabbiltà tal-intermedjarji li jipprovdu servizzi.
128
Għalhekk tqum il-kwistjoni dwar l-artikolazzjoni ta’ dawn iż-żewġ strumenti tad-dritt tal-Unjoni. B’mod partikolari, għandu jiġi ddeterminat jekk l-Artikoli 12 sa 15 tad-Direttiva 2000/31 jistgħux jinterferixxu mas-sistema ta’ responsabbiltà prevista fil-GDPR.
129
F’dan ir-rigward, għandu jiġi osservat, minn naħa, li l-Artikolu 1(5)(b) tad-Direttiva 2000/31 jippreċiża li din id-direttiva ma hijiex applikabbli għal kwistjonijiet relatati mas-servizzi tas-soċjetà tal-informazzjoni koperti mid-Direttivi 95/46 u 97/66.
130
Il-Qorti tal-Ġustizzja interpretat din id-dispożizzjoni fis-sens li l-kwistjonijiet marbuta mal-protezzjoni tal-kunfidenzjalità tal‑komunikazzjonijiet u tad-data personali għandhom jiġu evalwati fid‑dawl tal-GDPR u tad-Direttiva 2002/58/KE tal-Parlament Ewropew u tal-Kunsill tat‑12 ta’ Lulju 2002 dwar l-ipproċessar tad-data personali u l-protezzjoni tal-privatezza fis-settur tal-komunikazzjoni elettronika (Direttiva dwar il-privatezza u l-komunikazzjoni elettronika) (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 13, Vol. 29, p. 514), peress li dawn issostitwixxew rispettivament id-Direttiva 95/46 u d‑Direttiva 97/66, filwaqt li għandu jiġi ppreċiżat li l-protezzjoni li d‑Direttiva 2000/31 hija intiża li tiżgura ma tistax, fi kwalunkwe każ, tippreġudika r-rekwiżiti li jirriżultaw mill-GDPR u mid-Direttiva 2002/58 (sentenza tas‑6 ta’ Ottubru 2020, La Quadrature du Net et, C‑511/18, C‑512/18 u C‑520/18, EU:C:2020:791, punt 200 kif ukoll il-ġurisprudenza ċċitata).
131
Minn dan jirriżulta, b’mod partikolari, li l-eventwali benefiċċju tal-eżenzjoni prevista fl-Artikolu 14(1) tad-Direttiva 2000/31, li operatur ta’ suq online jista jinvoka fir-rigward tal-informazzjoni hhostjata fuq is-sit tal-internet tiegħu, ma jistax jinterferixxi mas-sistema tal-GDPR li tapplika għal tali operatur l-istess bħalma tapplika għal kull operatur ieħor li jaqa’ taħt il-kamp ta’ applikazzjoni ta’ dan ir-regolament.
132
L-istess jgħodd għall-Artikolu 15 tad-Direttiva 2000/31, li jipprevedi li l-Istati membri ma jistgħux jimponu fuq il-fornituri, għall-provvista tas-servizzi msemmija b’mod partikolari fl-Artikolu 14 tal-imsemmija direttiva, obbligu ġenerali li jsir monitoraġġ. Barra minn hekk, l-obbligu impost fuq operatur ta’ suq online li jikkonforma ruħu mar-rekwiżiti li jirriżultaw mill-GDPR ma jistax, fi kwalunkwe każ, jiġi kklassifikat bħala tali obbligu ġenerali li jsir monitoraġġ.
133
Minn-naħa l-oħra, l-Artikolu 2(4) tal-GDPR jipprevedi li dan ir-regolament japplika bla ħsara għad-Direttiva 2000/31, u b’mod partikolari għall-Artikoli 12 sa 15 tagħha, dwar ir-responsabbiltà tal-intermedjarji li jipprovdu servizzi.
134
Dan l-Artikolu 2(4) għandu jinftiehem fis-sens li l-fatt li operatur ikun suġġett għall-obbligi previsti mill-GDPR ma jeskludix awtomatikament li dan l-operatur ikun jista’ jinvoka l-Artikoli 12 sa 15 tad-Direttiva 2000/31 fir-rigward ta’ kwistjonijiet oħra għajr dawk relatati mal-protezzjoni tad-data personali.
135
Għalhekk, minn qari flimkien tal-Artikolu 1(5)(b) tad-Direttiva 2000/31 u tal-Artikolu 2(4) tal-GDPR jirriżulta li d-dispożizzjonijiet ta’ din id-direttiva, b’mod partikolari l-Artikoli 12 sa 15 tagħha, ma għandhomx jinterferixxu mas-sistema ta’ dan ir-regolament.
136
Għall-motivi kollha esposti iktar ’il fuq, ir-risposta li għandha tingħata għall-ewwel domanda għandha tkun li, l-Artikolu 1(5)(b) tad-Direttiva 2000/31 u l-Artikolu 2(4) tal-GDPR għandhom jiġu interpretati fis-sens li l-operatur ta’ suq online, inkwantu kontrollur responsabbli, fis-sens tal-punt 7 tal-Artikolu 4 tal-GDPR, għall-ipproċessar tad-data personali li tinsab f’reklami ppubblikati fuq is-suq online tiegħu, ma jistax jinvoka, fir-rigward ta’ ksur tal-obbligi li jirriżultaw kemm mill-Artikolu 5(2) kif ukoll mill-Artikoli 24 sa 26 u 32 ta’ dan ir-regolament, l-Artikoli 12 sa 15 ta’ din id-direttiva, dwar ir-responsabbiltà tal-intermedjarji li jipprovdu servizzi.
Fuq l-ispejjeż
137
Peress li l-proċedura għandha, fir-rigward tal-partijiet fil-kawża prinċipali, in-natura ta’ kwistjoni mqajma quddiem il-qorti tar-rinviju, hija dik il-qorti li għandha tiddeċiedi fuq l-ispejjeż. L-ispejjeż sostnuti għas-sottomissjoni tal-osservazzjonijiet lill-Qorti tal-Ġustizzja, barra dawk tal-imsemmija partijiet, ma jistgħux jitħallsu lura.
Għal dawn il-motivi, Il-Qorti tal-Ġustizzja (Awla Manja) taqta’ u tiddeċiedi:
1)
Kemm l-Artikolu 5(2) kif ukoll l-Artikoli 24 sa 26 tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas-27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data)
għandhom jiġu interpretati fis-sens li:
l-operatur ta’ suq online, inkwantu kontrollur responsabbli, fis-sens tal-punt 7 tal-Artikolu 4 ta’ dan ir-regolament, għall-ipproċessar tad-data personali li tinsab f’reklami ppubblikati fis-suq online tiegħu, huwa obbligat, qabel il-pubblikazzjoni tar-reklami u permezz ta’ miżuri tekniċi u organizzattivi xierqa
–
li jidentifika r-reklami li jinkludu data sensittiva, fis-sens tal-Artikolu 9(1) tal-imsemmi regolament.
–
li jivverifika jekk l-utent li jirreklama li jkun qiegħed jimposta tali reklam huwiex il-persuna li d-data sensittiva tagħha tkun tinsab f’dan ir-reklam u, jekk dan ma huwiex il-każ,
–
li jirrifjuta l-pubblikazzjoni tiegħu, sakemm l-utent li jirreklama ma jurix li s-suġġett tad-data ta l-kunsens espliċitu tiegħu sabiex id-data inkwistjoni tiġi ppubblikata fuq dan is-suq online, fis-sens tal-Artikolu 9(2)(a), jew meta tkun issodisfatta waħda mill-eċċezzjonijiet l-oħra previsti fl-imsemmi Artikolu 9(2)(b) sa (j).
2)
L-Artikolu 32 tar-Regolament 2016/679
għandu jiġi interpretat fis-sens li:
l-operatur ta’ suq online, inkwantu kontrollur responsabbli, fis-sens tal-punt 7 tal-Artikolu 4 ta’ dan ir-regolament, għall-ipproċessar tad-data personali li tinsab f’reklami ppubblikati fuq is-suq online tiegħu, huwa obbligat li jimplimenta miżuri ta’ sigurtà tekniċi u organizzattivi xierqa sabiex jipprekludi li reklami ppubblikati fuq l-imsemmi suq u li jinkludu data sensittiva, fis-sens tal-Artikolu 9(1) tal-imsemmi regolament, jiġu kkopjati u ppubblikati illegalment fuq siti oħra tal-internet
3)
l-Artikolu 1(5)(b) tad-Direttiva 2000/31/KE tal-Parlament Ewropew u tal-Kunsill tat‑8 ta’ Ġunju 2000 dwar ċerti aspetti legali tas-servizzi minn soċjetà ta’ l-informazzjoni, partikolarment il-kummerċ elettroniku, fis-Suq Intern (Direttiva dwar il-kummerċ elettroniku), u l-Artikolu 2(4) tar-Regolament 2016/679,
għandhom jiġu interpretati fis-sens li:
l-operatur ta’ suq online, inkwantu kontrollur responsabbli, fis-sens tal-punt 7 tal-Artikolu 4 tar-Regolament 2016/679, għall-ipproċessar tad-data personali li tinsab f’reklami ppubblikati fuq is-suq online tiegħu, ma jistax jinvoka, fir-rigward ta’ ksur tal-obbligi li jirriżultaw kemm mill-Artikolu 5(2) kif ukoll mill-Artikoli 24 sa 26 u 32 ta’ dan ir-regolament, l-Artikoli 12 sa 15 ta’ din id-direttiva, dwar ir-responsabbiltà tal-intermedjarji li jipprovdu servizzi.
Firem
(
*1
)	Lingwa tal-kawża: ir-Rumen.