62022CJ0659
SENTENZA TAL-QORTI TAL-ĠUSTIZZJA (It-Tmien Awla)
5 ta’ Ottubru 2023 (
*1
)
“Rinviju għal deċiżjoni preliminari – Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament (UE) 2016/679 – Il-punt 2 tal-Artikolu 4 – Kunċett ta’ ‘ipproċessar’ ta’ data personali – Applikazzjoni għall-apparati mobbli – Verifika tal-validità ta’ ‘Ċertifikati COVID Diġitali tal-UE’ maħruġa bis-saħħa tar-Regolament (UE) 2021/953”
Fil-Kawża C‑659/22,
li għandha bħala suġġett talba għal deċiżjoni preliminari skont l-Artikolu 267 TFUE, imressqa min-Nejvyšší správní soud (il-Qorti Amministrattiva Suprema, ir-Repubblika Ċeka), permezz ta’ deċiżjoni tat‑12 ta’ Ottubru 2022, li waslet fil-Qorti tal-Ġustizzja fl‑20 ta’ Ottubru 2022, fil-proċedura
RK
vs
Ministerstvo zdravotnictví,
IL-QORTI TAL-ĠUSTIZZJA (It-Tmien Awla),
komposta minn M. Safjan, President tal-Awla, N. Piçarra u M. Gavalec (Relatur), Imħallfin,
Avukata Ġenerali: L. Medina,
Reġistratur: A. Calot Escobar,
wara li rat il-proċedura bil-miktub,
wara li kkunsidrat l-osservazzjonijiet ippreżentati:
–
għal RK, minn D. Sudolská, advokátka,
–
għall-Gvern Ċek, minn M. Smolek, O. Serdula u J. Vláčil, bħala aġenti,
–
għall-Gvern tal-Pajjiżi l-Baxxi, minn K. Bulterman u A. Hanje, bħala aġenti,
–
għall-Kummissjoni Ewropea, minn A. Bouchagiar, H. Kranenborg u P. Ondrůšek, bħala aġenti,
wara li rat id-deċiżjoni, meħuda wara li nstemgħet l-Avukata Ġenerali, li l-kawża tinqata’ mingħajr konklużjonijiet,
tagħti l-preżenti
Sentenza
1
It-talba għal deċiżjoni preliminari tirrigwarda l-interpretazzjoni tal-Artikolu 2(1), u tal-punt 2 tal-Artikolu 4 tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-“GDPR”).
2
Din it-talba tressqet fil-kuntest ta’ tilwima bejn RK u l-Ministerstvo zdravotnictví (il-Ministeru għas-Saħħa, ir-Repubblika Ċeka, iktar ’il quddiem il-“Ministeru”) fir-rigward tal-adozzjoni minn dan tal-aħħar ta’ miżura eċċezzjonali li tirregola l-aċċess tal-persuni għal ċerti postijiet u avvenimenti bil-għan tal-protezzjoni tal-popolazzjoni fid-dawl tal-imxija tal-epidemija tal-COVID‑19.
Il‑kuntest ġuridiku
Il‑GDPR
3
Skont il-premessa 1 tal-GDPR, “[i]l-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali hija dritt fundamentali. L-Artikolu 8(1) tal-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea […] u l-Artikolu 16(1) tat-Trattat dwar il-Funzjonament tal-Unjoni Ewropea (TFUE) jipprevedu li kull persuna għandha dritt għall-protezzjoni tad-data personali li tirrigwardaha”.
4
L-Artikolu 2 ta’ dan ir-regolament, intitolat “Kamp ta’ applikazzjoni materjali”, jipprovdi fil-paragrafu 1 tiegħu:
“Dan ir-Regolament japplika għall-ipproċessar ta’ data personali kompletament jew parzjalment b’mezzi awtomatizzati, u għall-ipproċessar għajr b’mezzi awtomatizzati ta’ data personali li tifforma parti minn sistema ta’ arkivjar jew li tkun maħsuba sabiex tifforma parti minn sistema ta’ arkivjar.”
5
Il-paragrafu 2 ta’ dan l-artikolu jelenka erba’ ipoteżijiet li fihom il-GDPR “ma japplikax għall-ipproċessar ta’ data personali”.
6
Skont l-Artikolu 4 tal-imsemmi regolament:
“Għall-finijiet ta’ dan ir-Regolament:
(1)
‘data personali’ tfisser kwalunkwe informazzjoni relatata ma’ persuna fiżika identifikata jew identifikabbli (‘suġġett tad-data’); persuna fiżika identifikabbli hija persuna li tista’ tiġi identifikata, direttament jew indirettament, b’mod partikolari b’referenza għal mezz ta’ identifikazzjoni bħal isem, numru ta’ identifikazzjoni, data ta’ lokalizzazzjoni, identifikatur online jew għal fattur wieħed jew aktar speċifiċi għall-identità fiżika, fiżjoloġika, ġenetika, mentali, ekonomika, kulturali jew soċjali ta’ dik il-persuna fiżika;
(2)
‘ipproċessar’ tfisser kwalunkwe attività jew sett ta’ attivitajiet li jitwettqu fuq data personali jew fuq settijiet ta’ data personali, sew jekk b’mezzi awtomatizzati u sew jekk mingħajrhom, bħalma huma l-ġbir, ir-reġistrazzjoni, l-organizzazzjoni, l-istrutturar, il-ħażna, l-adattament jew il-bidliet, l-irkupru, il-konsultazzjoni, l-użu, l-iżvelar bi trażmissjoni, it-tixrid jew it-tqegħid għad-dispożizzjoni b’xi mezz ieħor, l-allinjament jew it-taħlita, ir-restrizzjoni, it-tħassir jew il-qerda;
[…]”
7
L-Artikoli 5 u 6 ta’ dan l-istess regolament għandhom rispettivament bħala għan il-“[p]rinċipji relatati mal-ipproċessar ta’ data personali” u l-“[l]egalità tal-ipproċessar”.
Ir‑Regolament (UE) 2021/953
8
Il-premessa 48 tar-Regolament (UE) 2021/953 tal-Parlament Ewropew u tal-Kunsill tal‑14 ta’ Ġunju 2021 dwar qafas għall-ħruġ, għall-verifika u għall-aċċettazzjoni ta’ ċertifikati COVID-19 interoperabbli tat-tilqim, tat-testijiet u tal-fejqan (Ċertifikat COVID Diġitali tal-UE) għall-faċilitazzjoni tal-moviment liberu waqt il-pandemija tal-COVID‑19 (ĠU 2021, L 211, p. 1, rettifika fil-ĠU 2022, L 72, p. 7), tiddikjara:
“[Il-GDPR] japplika għall-ipproċessar ta’ data personali mwettaq meta jiġi implimentat dan ir-Regolament. Dan ir-Regolament jistabbilixxi l-bażi ġuridika għall-ipproċessar tad-data personali, fis-sens […] tal-Artikolu 6(1)[(c)] u […] tal-Artikolu 9(2)[(g)] [tal-GDPR], meħtieġa għall-ħruġ u għall-verifika taċ-ċertifikati interoperabbli previsti f’dan ir-Regolament. […] L-Istati Membri jistgħu jipproċessaw data personali għal finijiet oħra, jekk il-bażi ġuridika għall-ipproċessar ta’ tali data għal finijiet oħra, inklużi l-perijodi ta’ żamma relatati, tiġi prevista fil-liġi nazzjonali, li trid tikkonforma mal-liġi tal-Unjoni dwar il-protezzjoni tad-data u l-prinċipji ta’ effikaċja, neċessità u proporzjonalità, u jenħtieġ li jkun fiha dispożizzjonijiet li jidentifikaw b’mod ċar l-ambitu u l-portata tal-ipproċessar, l-għan speċifiku involut, il-kategoriji ta’ entità li jistgħu jivverifikaw iċ-ċertifikat kif ukoll is-salvagwardji rilevanti għall-prevenzjoni tad-diskriminazzjoni u l-abbuż, b’kont meħud tar-riskji għad-drittijiet u l-libertajiet tas-suġġetti tad-data […]”
9
Intitolat “Suġġett”, l-Artikolu 1 ta’ dan ir-regolament jipprovdi:
“Dan ir-Regolament jistipula qafas għall-ħruġ, għall-verifika u għall-aċċettazzjoni ta’ ċertifikati COVID-19 interoperabbli tat-tilqim, tat-testijiet u tal-fejqan (Ċertifikat COVID Diġitali tal-UE) għall-fini tal-faċilitazzjoni tal-eżerċizzju tad-detenturi tad-dritt tagħhom għall-moviment liberu matul il-pandemija tal-COVID-19. Dan ir-Regolament għandu jikkontribwixxi wkoll għall-faċilitazzjoni tat-tneħħija gradwali tar-restrizzjonijiet għall-moviment liberu stabbiliti mill-Istati Membri, f’konformità mal-liġi tal-Unjoni, biex jiġi limitat it-tixrid tas-SARS‑CoV‑2, b’mod ikkoordinat.
Huwa jipprevedi l-bażi ġuridika għall-ipproċessar tad-data personali meħtieġa għall-ħruġ ta’ tali ċertifikati u għall-ipproċessar tal-informazzjoni meħtieġa biex jiġu vverifikati u kkonfermati l-awtentiċità u l-validità ta’ tali ċertifikati f’konformità sħiħa [mal-GDPR].”
10
Intitolat “Ċertifikat COVID Diġitali tal-UE”, l-Artikolu 3 ta’ dan ir-regolament jipprevedi, fil-paragrafu 1 tiegħu, li l-qafas taċ-Ċertifikat COVID Diġitali tal-UE jippermetti l-ħruġ, il-verifika u l-aċċettazzjoni transkonfinali ta’ ċertifikati tat-tilqim, ta’ ċertifikati tat-test, kif ukoll ta’ ċertifikati tal-fejqan. Barra minn hekk, skont il-paragrafu 2 tiegħu:
“[l]-Istati Membri, jew il-korpi maħturin li jaġixxu f’isem l-Istati Membri, għandhom joħorġu ċ-ċertifikati msemmijin fil-paragrafu 1 ta’ dan l-Artikolu f’format diġitali jew stampat, jew it-tnejn li huma. Id-detenturi prospettivi għandu jkollhom id-dritt li jirċievu ċ-ċertifikat fil-format tal-għażla tagħhom. Dawk iċ-ċertifikati għandhom ikunu faċli għall-utent u għandu jkun fihom barcode interoperabbli li tippermetti l-verifika tal-awtentiċità, il-validità u l-integrità tagħhom. Il-barcode għandha tikkonforma mal-ispeċifikazzjonijiet tekniċi stabbiliti skont l-Artikolu 9. L-informazzjoni li tinsab fiċ-ċertifikati għandha tintwera wkoll f’forma li tinqara mill-bniedem u għandha tkun ipprovduta, tal-anqas, bil-lingwa jew bil-lingwi uffiċjali tal-Istat Membru emittenti u bl-Ingliż.”
11
L-Artikolu 5(2)(a), l-Artikolu 6(2)(a), kif ukoll l-Artikolu 7(2)(a) tal-imsemmi regolament jipprevedu, rispettivament, li ċertifikat tat-tilqim, ċertifikat tat-test u ċertifikat tal-fejqan jinkludu l-identità tad-detentur tiegħu.
12
L-Artikolu 10 tal-istess regolament, intitolat “Protezzjoni ta’ data personali”, jipprevedi, fl-ewwel erba’ paragrafi tiegħu:
“1.   [Il-GDPR] għandu japplika għall-ipproċessar tad-data personali mwettqin fl-implimentazzjoni ta’ dan ir-Regolament.
2.   Għall-fini ta’ dan ir-Regolament, id-data personali li tinsab fiċ-ċertifikati maħruġin skont dan ir-Regolament għandha tiġi pproċessata biss għall-fini ta’ aċċess u verifika tal-informazzjoni inkluża fiċ-ċertifikat sabiex jiġi ffaċilitat l-eżerċizzju tad-dritt għall-moviment liberu fl-Unjoni matul il-pandemija tal-COVID-19. Wara t-tmiem tal-perijodu ta’ applikazzjoni ta’ dan ir-Regolament, ma għandu jseħħ l-ebda pproċessar ulterjuri.
3.   Id-data personali inkluża fiċ-ċertifikati msemmijin fl-Artikolu 3(1) għandha tiġi pproċessata mill-awtoritajiet kompetenti tal-Istat Membru ta’ destinazzjoni jew ta’ tranżitu, jew mill-operaturi tas-servizzi transfruntieri tat-trasport tal-passiġġieri meħtieġa mil-liġi nazzjonali biex jimplimentaw ċerti miżuri tas-saħħa pubblika matul il-pandemija tal-COVID‑19, biex jivverifikaw u jikkonfermaw biss l-istat ta’ tilqim, riżultat tat-test jew stat ta’ fejqan tad-detentur. Għal dak il-għan, id-data personali għandha tkun limitata għal dak li huwa strettament meħtieġ. Id-data personali li jinkiseb aċċess għaliha skont dan il-paragrafu ma għandhiex tinżamm.
4.   Id-data personali pproċessata għall-fini tal-ħruġ taċ-ċertifikati msemmijin fl-Artikolu 3(1), inkluż il-ħruġ ta’ ċertifikat ġdid, ma għandhiex tinżamm mill-emittent għal aktar żmien milli jkun strettament meħtieġ għall-fini tagħha u fl-ebda każ għal aktar żmien mill-perijodu li għalih iċ-ċertifikati jistgħu jintużaw biex jiġi eżerċitat id-dritt għall-moviment liberu.”
Il‑kawża prinċipali u d‑domanda preliminari
13
Il-Ministeru, permezz ta’ miżura eċċezzjonali tad‑29 ta’ Diċembru 2021 (iktar ’il quddiem il-“miżura eċċezzjonali”), adottata bil-għan tal-protezzjoni tal-popolazzjoni quddiem żieda tal-imxija tal-pandemija tal-Covid‑19, issuġġettat għal diversi kundizzjonijiet, mit‑3 ta’ Jannar 2022, l-aċċess tal-persuni għal ċerti żoni interni u esterni, kif ukoll il-parteċipazzjoni tagħhom f’avvenimenti tal-massa jew f’attivitajiet oħra. B’hekk kien rikjest b’mod partikolari, l-ewwel, test RT‑PCR ta’ sejbien tal-preżenza tal-virus SARS‑CoV‑2 negattiv li jkun sar inqas minn 72 siegħa qabel għall-persuni ta’ mill-inqas 18‑il sena, għall-persuni li ma setgħux jissuġġettaw lilhom infushom għal tilqima kontra l-Covid‑19 minħabba kontra-indikazzjoni, kif ukoll għall-persuni mingħajr ċiklu ta’ tilqim komplet; it-tieni, l-iskadenza ta’ perijodu ta’ mill-inqas 14‑il jum minn meta jkun sar ċiklu ta’ tilqim komplet b’mediċina approvata jew, it-tielet, il-kontaminazzjoni, ikkonfermata minn laboratorju, bil-Covid‑19, jekk il-perijodu ta’ iżolament ikun intemm u ma jkunux għaddew iktar minn 180 jum mill-ewwel test pożittiv (iktar ’il quddiem il-“kundizzjonijiet imsejħa ta’ ‘assenza ta’ infezzjoni’”).
14
Il-miżura eċċezzjonali tobbliga lill-klijenti (spettaturi, parteċipanti) biex jipproduċu l-prova tal-osservanza ta’ dawn il-kundizzjonijiet u jimponu lill-operaturi (organizzaturi) jivverifikaw l-osservanza tagħhom permezz tal-applikazzjoni għall-apparati mobbli tal-Ministeru msemmija “čTečka”. Jekk il-klijent ma jurix li kien qed josserva l-imsemmija kundizzjonijiet, l-operatur kien ipprojbit milli jipprovdi s-servizz u milli jagħtih aċċess għaż-żona jew għall-avveniment. Skont il-miżura eċċezzjonali, din l-applikazzjoni kienet tiggarantixxi verifika affidabbli tal-awtentiċità u tal-validità tad-dokument li jiċċertifika li jkun ġie ppreżentat li jinkludi l-kodiċi QR.
15
Sabiex tiddeċiedi dwar ir-rikors għal annullament tal-miżura eċċezzjonali ppreżentat minn RK fl‑20 ta’ Jannar 2022, in-Nejvyšší správní soud (il-Qorti Amministrattiva Suprema, ir-Repubblika Ċeka), li hija l-qorti tar-rinviju, tqis li huwa neċessarju li tibda billi teżamina jekk il-verifika tal-kundizzjonijiet imsejħa ta’ “assenza ta’ infezzjoni” permezz tal-applikazzjoni “čTečka” tikkostitwixxix “ipproċessar” b’mezz awtomatizzat ta’ data personali, fis-sens tal-punt 2 tal-Artikolu 4 tal-GDPR, fejn għandu jingħad li hija tqis li l-informazzjoni li tinsab fiċ-Ċertifikati Diġitali tal-UE tikkostitwixxi data personali, fis-sens tal-punt 1 tal-Artikolu 4 ta’ dan ir-regolament. Fl-affermattiv, l-imsemmi regolament japplika konformement mal-Artikolu 2(1) tiegħu.
16
Il-qorti tar-rinviju tispjega li l-applikazzjoni “čTečka” tippermetti li tiġi kkontrollata u vverifikata l-validità taċ-Ċertifikat COVID Diġitali tal-UE maħruġa bis-saħħa tar-Regolament 2021/953. Din l-applikazzjoni tiskannja l-kodiċi QR taċ-ċertifikat bl-apparat tar-ritratti tat-telefon portabbli tal-persuna inkarigata milli twettaq il-verifika. Din il-persuna sussegwentement ikollha deskrizzjoni tat-tagħrif ta’ identifikazzjoni bażika tad-detentur taċ-ċertifikat (isem, kunjom u data tat-twelid) kif ukoll tal-istatus, validu jew invalidu, ta’ dan iċ-ċertifikat. Billi tikklikkja fuq buttuna speċifika tal-applikazzjoni, il-persuna inkarigata milli twettaq il-verifika tista’ taċċedi għall-informazzjoni kollha msemmija f’dan iċ-ċertifikat, bħat-tilqim, it-tip ta’ tilqim, il-manifattur tat-tilqima, in-numru ta’ dożi rċevuti, id-data tat-tilqima, id-data tal-ewwel riżultat pożittiv kif ukoll min ħareġ iċ-ċertifikat. L-applikazzjoni “čTečka” tieħu ħsieb tindika din id-data b’mod temporanju fuq l-iskrin tat-telefon portabbli tal-persuna inkarigata milli twettaq il-verifika, fejn għalhekk l-imsemmija data la tinżamm u lanqas ma tiġi ttrasferita.
17
Din il-qorti tindika li, sabiex tivverifika l-validità ta’ Ċertifikat COVID Diġitali tal-UE, din l-applikazzjoni tniżżel, darba kull 24 siegħa jew fuq talba f’dan is-sens, iċ-ċwievet ta’ aċċess pubbliċi taċ-ċertifikati tal-Istati Membri u r-regoli ta’ validazzjoni tal-Istati Membri permezz tal-interfaċċja tal-Ministeru. Dan il-proċess jista’ jiżvolġi wkoll mingħajr konnessjoni tal-internet. Waqt l-installazzjoni tal-applikazzjoni fuq it-telefon portabbli tal-persuna inkarigata milli twettaq il-verifika, titla’ kitba li jsemmi li “l-applikazzjoni čTečka hija operata konformement mad-dritt tal-Unjoni u mad-dritt tar-Repubblika Ċeka u tiffaċilita l-moviment liberu tal-persuni u l-aċċess għas-servizzi u għall-avvenimenti matul il-pandemija tal-COVID‑19. L-applikazzjoni tipproċessa d-data personali tad-detenturi taċ-Ċertifikati COVID Diġitali tal-Istati Membri tal-Unjoni sabiex din tiġi vverifikata minn persuni inkarigati li jagħmlu dan fuq il-bażi tar-Regolament tal-Unjoni, ta’ miżuri eċċezzjonali tal-[Ministeru] jew fuq bażi volontarja. L-applikazzjoni la żżomm u lanqas ma tittrażmetti d-data personali u dik li tirrigwarda s-saħħa tal-persuni vverifikati. Informazzjoni ddettaljata dwar l-ipproċessar ta’ data personali tista’ tinsab fil-kundizzjonijiet ta’ użu”.
18
Barra minn hekk il-qorti tar-rinviju tirrileva li, bis-saħħa tal-Artikolu 3(2) tar-Regolament 2021/953, ċertifikat maħruġ minn Stat Membru għandu jinkludi barcode interoperabbli li jippermetti li tiġi vverifikata l-awtentiċità, il-validità u l-integrità tiegħu. Hija tindika li l-konverżjoni tad-data personali msemmija fil-punt 16 ta’ din is-sentenza, mill-format li jista’ jinqara minn apparat u format li jista’ jinqara mill-bniedem issir permezz ta’ proċess awtomatizzat, jiġifieri l-applikazzjoni “čTečka” – li jista’ jiddetermina pproċessar ta’ data personali fis-sens tal-punt 2 tal-Artikolu 4 tal-GDPR.
19
Madankollu l-qorti tar-rinviju tiddubita kemm din is-sempliċi operazzjoni ta’ konverżjoni u l-wiri ta’ din id-data fuq telefon portabbli jikkostitwixxu “ipproċessar”, fis-sens ta’ din id-dispożizzjoni, speċjalment peress li dawn iż-żewġ operazzjonijiet la jistgħu jagħtu lok għal użu jew operat abbużiv tad-data personali u lanqas għal interferenza fid-dritt għall-protezzjoni ta’ din id-data ġaladarba l-applikazzjoni ma tittrasferixxix id-data hekk miksuba.
20
Il-qorti tar-rinviju tikkunsidra, barra minn hekk, li l-verifika tal-validità taċ-ċertifikat permezz tal-applikazzjoni “čTečka” tista’ wkoll tikkostitwixxi pproċessar ta’ data personali peress li din l-operazzjoni twassal sabiex tintuża d-data personali li tinsab f’dan iċ-ċertifikat u li tkun relatata mal-persuna vverifikata. Fil-fatt, sabiex tkun tista’ tevalwa jekk iċ-ċertifikat huwiex validu jew le u tiddetermina jekk il-kundizzjonijiet imsejħa bħala ta’ “assenza ta’ infezzjoni” previsti mill-miżura eċċezzjonali ġewx issodisfatti mis-suġġett tad-data, l-applikazzjoni għandha neċessarjament tipparaguna l-informazzjoni dwar is-saħħa ta’ dan is-suġġett tad-data, bħad-data ta’ tilqim, mar-regoli ta’ validazzjoni fis-seħħ f’dak il-mument.
21
Fl-aħħar nett, din il-qorti tqis li l-għaqda tal-proċessi li jseħħu waqt il-verifika taċ-ċertifikati permezz tal-applikazzjoni “čTečka”, jiġifieri l-konverżjoni ta’ data personali permezz tal-kodiċi QR f’format li jista’ jinqara mill-bniedem, il-wiri tagħha fuq telefon portabbli, il-konsultazzjoni tagħha mill-persuna li qed tivverifika u l-evalwazzjoni tal-validità taċ-ċertifikat minn din l-applikazzjoni permezz ta’ paragun tad-data personali dwar is-saħħa mar-regoli ta’ validazzjoni jistgħu jikkostitwixxu pproċessar ta’ data personali. Minkejja li, ikkunsidrati individwalment, dawn l-operazzjonijiet jistgħu ma jikkostitwixxux ipproċessar, fis-sens tal-punt 2 tal-Artikolu 4 tal-GDPR, jekk jitqiegħdu biswit xulxin dawn jistgħu jwasslu sabiex jiġu kklassifikati bħala tali.
22
Minn din il-perspettiva, din il-qorti tosserva li l-Artikolu 10(1) u (3) tar-Regolament 2021/953 jipprevedi espressament li, għall-finijiet tal-eżerċizzju tad-dritt għall-moviment liberu fi ħdan l-Unjoni, il-GDPR japplika għal ipproċessar tad-data personali li tinsab fiċ-Ċertifikati COVID Diġitali tal-UE. Barra minn hekk, skont il-premessa 48 tar-Regolament 2021/953, l-ipproċessar tad-data personali li tinsab fiċ-ċertifikati għandu jkollu sistema legali uniformi.
23
F’dawn iċ-ċirkustanzi, in-Nejvyšší správní soud (il-Qorti Amministrattiva Suprema) iddeċidiet li tissospendi l-proċeduri quddiemha u li tagħmel lill-Qorti tal-Ġustizzja d-domanda preliminari li ġejja:
“Il-verifika tal-validità taċ-ċertifikati COVID-19 interoperabbli tat-tilqim, tat-testijiet u tal-fejqan maħruġa konformement mar-Regolament [2021/953], applikata mir-Repubblika Ċeka għal skopijiet nazzjonali, fl-applikazzjoni nazzjonali “čTečka”, tista’ titqies li hija pproċessar ta’ data personali b’mezzi awtomatizzati fis-sens tal-punt 2 tal-Artikolu 4 [tal-GDPR] fejn għalhekk dan l-aġir jaqa’ taħt il-kamp ta’ applikazzjoni ratione materiae [tal-imsemmi ir-regolament] konformement mal-Artikolu 2(1) ta’ dan ir-regolament?”
Fuq id‑domanda preliminari
24
Permezz tad-domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk il-kunċett ta’ “pproċessar” ta’ data personali, imsemmi fil-punt 2 tal-Artikolu 4 tal-GDPR, għandux jiġi interpretat fis-sens li jinkludi l-verifika, permezz ta’ applikazzjoni għall-apparati mobbli nazzjonali, tal-validità ta’ ċertifikati COVID‑19 interoperabbli tat-tilqim, tat-test jew tal-fejqan maħruġa bis-saħħa tar-Regolament 2021/953 u użati minn Stat Membru għal finijiet nazzjonali.
25
Huwa paċifiku li ħafna mill-informazzjoni li għaliha l-persuna inkarigata milli twettaq il-verifika taċċedi meta twettaq il-verifika tal-validità ta’ Ċertifikat COVID Diġitali tal-UE, hekk kif inhi esposta fil-punt 16 ta’ din is-sentenza, tikkostitwixxi “data personali” fis-sens tal-punt 1 tal-Artikolu 4 tal-GDPR. Fil-fatt minn din id-dispożizzjoni jirriżulta li l-kunċett ta’ “data personali” jirreferi għal “kwalunkwe informazzjoni relatata ma’ persuna fiżika identifikata jew identifikabbli” u li din l-identifikazzjoni tista’ tirriżulta b’mod partikolari mill-użu tal-isem tas-suġġett tad-data.
26
F’dan l-aħħar rigward, jeħtieġ sempliċement li jiġi kkonstatat li l-Artikolu 5(2)(a), l-Artikolu 6(2)(a), kif ukoll l-Artikolu 7(2)(a) tar-Regolament 2021/953 jipprevedu, rispettivament, li ċertifikat tat-tilqim, ċertifikat tat-test u ċertifikat tal-fejqan jinkludu l-identità tad-detentur tiegħu.
27
Għaldaqstant, jeħtieġ li jiġi osservat li l-punt 2 tal-Artikolu 4 tal-GDPR jiddefinixxi l-kunċett ta’ “pproċessar” bħala “kwalunkwe attività jew sett ta’ attivitajiet li jitwettqu fuq data personali jew fuq settijiet ta’ data personali”. F’lista mhux eżawrjenti, introdotta bil-lokuzzjoni “bħalma huma”, din id-dispożizzjoni ssemmi bħala eżempji ta’ pproċessar, il-konsultazzjoni u l-użu ta’ data personali. Mill-formulazzjoni tal-imsemmija dispożizzjoni, b’mod partikolari mill-espressjoni “kull operazzjoni”, jirriżulta li l-leġiżlatur tal-Unjoni kellu l-intenzjoni li jagħti portata wiesgħa lill-kunċett ta’ “pproċessar” (ara, f’dan is-sens, is-sentenza tal‑24 ta’ Frar 2022, Valsts ieņēmumu dienests (Ipproċessar ta’ data personali għal finijiet fiskali), (C‑175/20, EU:C:2022:124, punt 35).
28
Din l-interpretazzjoni wiesgħa tal-kunċetti ta’ “data personali” u ta’ “pproċessar” hija konformi mal-għan li tiġi ggarantita l-effettività tad-dritt fundamentali għall-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali msemmija fil-premessa 1 tal-GDPR, li sservi bħala daħla għall-applikazzjoni ta’ dan ir-regolament.
29
Issa, f’dan il-każ, applikazzjoni għall-apparati mobbli nazzjonali, bħall-applikazzjoni “čTečka”, tiskannja l-kodiċi QR li jinsab fuq iċ-Ċertifikat COVID Diġitali tal-UE sabiex tikkonverti d-data personali li tinsab f’dan il-kodiċi f’format li jkun jista’ jinqara mill-persuna inkarigata mill-verifika tal-validità ta’ dan iċ-ċertifikat. B’hekk, tali applikazzjoni tippermetti lill-persuna inkarigata milli twettaq il-verifika tikkonsulta data personali, wara proċess awtomatizzat, jiġifieri l-iskannjar, u tużaha sabiex tevalwa jekk is-sitwazzjoni tas-suġġett tad-data hijiex konformi mar-regoli ta’ validazzjoni, jiġifieri mar-rekwiżiti sanitarji applikabbli. Ir-riżultat ta’ din l-evalwazzjoni huwa wkoll awtomatizzat peress li tiġi tidher marka ħadra fuq it-telefon portabbli tal-kontrollur hekk kif ir-rekwiżiti sanitarji jiġu osservati, filwaqt li, fil-każ kuntrarju, jiġi jidher salib aħmar.
30
Għaldaqstant għandu jiġi kkunsidrat li l-verifika, permezz tal-applikazzjoni “čTečka”, tal-validità ta’ ċertifikati COVID‑19 interoperabbli tat-tilqim, tat-test u tal-fejqan maħruġa bis-saħħa tar-Regolament 2021/953, jikkostitwixxi “ipproċessar”, fis-sens tal-punt 2 tal-Artikolu 4 tal-GDPR u jaqa’, konformement mal-Artikolu 2(1) ta’ dan ir-regolament, taħt il-kamp ta’ applikazzjoni ratione materiae ta’ dan tal-aħħar.
31
L-interpretazzjoni msemmija fil-punt 30 ta’ din is-sentenza hija kkorroborata bir-Regolament 2021/953 li jipprevedi li l-implimentazzjoni taċ-Ċertifikat COVID Diġitali tal-UE jikkostitwixxi pproċessar, fis-sens tal-punt 2 tal-Artikolu 4 tal-GDPR. It-tieni paragrafu tal-Artikolu 1 tar-Regolament 2021/953 jipprovdi, fil-fatt, li dan ir-regolament “jipprevedi l-bażi ġuridika għall-ipproċessar tad-data personali meħtieġa għall-ħruġ ta’ tali ċertifikati u għall-ipproċessar tal-informazzjoni meħtieġa biex jiġu vverifikati u kkonfermati l-awtentiċità u l-validità ta’ tali ċertifikati f’konformità sħiħa [mal-GDPR]”. Barra minn hekk, mill-premessa 48 tar-Regolament 2021/953 jirriżulta, minn naħa, li l-GDPR japplika għall-ipproċessar ta’ data personali mwettaq mal-implimentazzjoni tar-Regolament 2021/953 u, min-naħa l-oħra, li dan tal-aħħar jistabbilixxi l-bażi legali għall-ipproċessar tad-data personali, fis-sens tal-Artikolu 6(1)(c) u tal-Artikolu 9(2)(g) tal-GDPR neċessarju għall-ħruġ u għall-verifika taċ-ċertifikati interoperabbli previsti mir-Regolament 2021/953. L-Artikolu 10(1) ta’ dan ir-regolament jikkonferma wkoll li l-GDPR japplika għall-ipproċessar ta’ data personali mwettaq fil-kuntest tal-implimentazzjoni tar-Regolament 2021/953.
32
Konsegwentement, hija l-qorti tar-rinviju li għandha tivverifika jekk l-ipproċessar introdott mill-miżura eċċezzjonali huwiex, minn naħa, konformi mal-prinċipji dwar l-ipproċessar tad-data ddikjarati fl-Artikolu 5 tal-GDPR u, min-naħa l-oħra, jissodisfax wieħed mill-prinċipji dwar il-legalità tal-ipproċessar elenkati fl-Artikolu 6 ta’ dan ir-regolament (ara, b’mod partikolari, is-sentenzi tat‑22 ta’ Ġunju 2021, Latvijas Republikas Saeima (Punti ta’ penalità), C‑439/19, EU:C:2021:504, punt 96, u tal‑4 ta’ Mejju 2023, Bundesrepublik Deutschland, C‑60/22, EU:C:2023:373, punt 57).
33
Fid-dawl tal-punti preċedenti, il-kunċett ta’ “pproċessar” ta’ data personali, imsemmi fil-punt 2 tal-Artikolu 4 tal-GDPR, għandu jiġi interpretat fis-sens li jinkludi l-verifika, permezz ta’ applikazzjoni għall-apparati mobbli nazzjonali, tal-validità taċ-ċertifikati COVID‑19 interoperabbli tat-tilqim, tat-test u tal-fejqan maħruġa bis-saħħa tar-Regolament 2021/953 u użati minn Stat Membru għal finijiet nazzjonali.
Fuq l‑ispejjeż
34
Peress li l-proċedura għandha, fir-rigward tal-partijiet fil-kawża prinċipali, in-natura ta’ kwistjoni mqajma quddiem il-qorti tar-rinviju, hija din il-qorti li tiddeċiedi fuq l-ispejjeż. L-ispejjeż sostnuti għas-sottomissjoni tal-osservazzjonijiet lill-Qorti tal-Ġustizzja, minbarra dawk tal-imsemmija partijiet, ma jistgħux jitħallsu lura.
Għal dawn il-motivi, il-Qorti tal-Ġustizzja (It-Tmien Awla) taqta’ u tiddeċiedi:
Il-kunċett ta’ “pproċessar” ta’ data personali, imsemmi fil-punt 2 tal-Artikolu 4 tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data),
għandu jiġi interpretat fis-sens li:
jinkludi l-verifika, permezz ta’ applikazzjoni għall-apparati mobbli nazzjonali, tal-validità taċ-ċertifikati COVID‑19 interoperabbli tat-tilqim, tat-test u tal-fejqan maħruġa bis-saħħa tar-Regolament (UE) 2021/953 tal-Parlament Ewropew u tal-Kunsill tal‑14 ta’ Ġunju 2021 dwar qafas għall-ħruġ, għall-verifika u għall-aċċettazzjoni ta’ ċertifikati COVID-19 interoperabbli tat-tilqim, tat-testijiet u tal-fejqan (Ċertifikat COVID Diġitali tal-UE) għall-faċilitazzjoni tal-moviment liberu waqt il-pandemija tal-COVID-19, u użati minn Stat Membru għal finijiet nazzjonali.
Firem
(
*1
)	Lingwa tal-kawża: iċ-Ċek.