62022CJ0231_RES
Kawża C‑231/22
État belge
vs
Autorité de protection des données
(talba għal deċiżjoni preliminari mressqa mill-Cour d’appel de Bruxelles)
Sentenza tal-Qorti tal-Ġustizzja (It-Tielet Awla) tal‑11 ta’ Jannar 2024
“Rinviju għal deċiżjoni preliminari – Approssimazzjoni tal-leġiżlazzjonijiet – Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u l-moviment liberu ta’ dik id-data (Regolament Ġenerali dwar il-Protezzjoni tad-Data) – Regolament (UE) 2016/679 – Il-punt 7 tal-Artikolu 4 – Kunċett ta’ ‘kontrollur’– Ġurnal uffiċjali ta’ Stat Membru – Obbligu ta’ pubblikazzjoni kif inhuma tal-atti ta’ kumpanniji mħejjija minn dawn tal-aħħar jew mir-rappreżentanti legali tagħhom – Artikolu 5(2) – Ipproċessar suċċessiv, minn diversi persuni jew entitajiet separati, ta’ data personali li tinsab f’tali atti – Determinazzjoni tar-responsabbiltajiet”
Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679. – Kunċett ta’ kontrollur – Ġurnal uffiċjali ta’ Stat Membru li jiżgura l-pubblikazzjoni ta’ atti u dokumenti uffiċjali ppreparati minn terzi u li ma jkollhom l-ebda setgħa ta’ kontroll fuq il-kontenut tagħhom – Inklużjoni – Kundizzjoni – Determinazzjoni tal-iskopijiet u tal-mezzi tal-ipproċessar tad-data personali minn dan il-ġurnal uffiċjali fid-dritt nazzjonali – Modalitajiet – Assenza ta’ effett tan-nuqqas ta’ personalità ġuridika
(Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, il-punt 7 tal-Artikolu 4)
(ara l-punti 35, 28, 34-39 u d-dispożittiv 1)
Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Prinċipji dwar l-ipproċessar – Determinazzjoni tal-kontrolluri tal-osservanza ta’ dawn il-prinċipji fil-każ ta’ pproċessar suċċessiv tal-istess data – Responsabbiltà tal-ġurnal uffiċjali ta’ Stat Membru li jiżgura l-pubblikazzjoni ta’ atti u ta’ dokumenti uffiċjali ppreparati minn terzi u li għandhom il-kwalità ta’ kontrollur – Portata – Responsabbiltà individwali tal-ġurnal uffiċjali – Responsabbiltà konġunta ma’ entitajiet oħra – Kundizzjoni – Determinazzjoni tal-iskopijiet u tal-mezzi li jgħaqqdu d-diversi operazzjonijiet ta’ pproċessar kif ukoll l-obbligi rispettivi tal-kontrolluri konġunti fid-dritt nazzjonali – Modalitajiet
(Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, punt 7 tal-Artikolu 4, Artikolu 5(1) u (2) u Artikolu 26(1)
(ara l-punti 42, 45, 49, 50, 52, u d-dispożittiv 2)
Sunt
Adita b’talba għal deċiżjoni preliminari mill-cour d’appel de Bruxelles (il-Qorti tal-Appell ta’ Brussell, il-Belġju), il-Qorti tal-Ġustizzja ppreċiżat, minn naħa, il-parametri tal-kunċett ta’ “kontrollur” u, min-naħa l-oħra, il-limiti tal-obbligi ta’ kontrollur, meta pproċessar li jirrigwarda l-istess data personali jitwettaq minn entitajiet suċċessivi.
Fit‑12 ta’ Frar 2019, il-Moniteur belge, li jiżgura fil-Belġju l-produzzjoni u t-tixrid ta’ firxa wiesgħa ta’ pubblikazzjonijiet uffiċjali u pubbliċi fuq il-karta u b’mod elettroniku, ippubblika estratt minn deċiżjoni ta’ kumpannija li kienet tirrigwarda tnaqqis fil-kapital tagħha. Dan l-estratt, redatt min-nutar ta’ soċju tal-kumpannija u trażmess lill-qorti kompetenti, li, min-naħa tagħha, ikkomunikatu għall-pubblikazzjoni lill-amministrazzjoni ta’ dan il-ġurnal uffiċjali, kien jinkludi data personali ta’ dan is-soċju.
Wara li kkonstatat li s-silta li fiha kienet tinsab id-data tiegħu kienet ġiet inkluża fl-estratt wara żball imwettaq min-nutar, il-persuna kkonċernata talbet it-tneħħija tagħha abbażi tad-dritt tagħha għat-tħassir (
1
). Madankollu, it-talba tagħha ġiet miċħuda mis-service public fédéral Justice (is-Servizz Pubbliku Federali tal-Ġustizzja, iktar ’il quddiem is-“SPF Justice”), li miegħu kienet marbuta l-amministrazzjoni tal-Moniteur belge . Wara din iċ-ċaħda, din il-persuna ressqet ilment kontra s-SPF Justice quddiem l-Autorité de protection des données (l-Awtorità għall-Protezzjoni tad-Data, il-Belġju, iktar ’il quddiem l-“APD”). Permezz ta’ deċiżjoni tat‑23 ta’ Marzu 2021, l-APD talbet lis-SPF Justice jilqa’ t-talba għal tħassir fl-iqsar żmien possibbli. Għalhekk, l-État belge (l-Istat Belġjan) mar quddiem il-cour d’appel de Bruxelles (il-Qorti tal-Appell ta’ Brussell) sabiex jikseb l-annullament tad-deċiżjoni tal-APD.
F’dan il-kuntest, il-cour d’appel de Bruxelles (il-Qorti tal-Appell ta’ Brussell) staqsiet lill-Qorti tal-Ġustizzja dwar jekk il-Moniteur belge setax jiġi kklassifikat bħala “kontrollur” (
2
) u jekk kellux jinżamm unikament responsabbli għall-osservanza tal-prinċipji relatati mal-ipproċessar tad-data (
3
) jew jekk din ir-responsabbiltà kinitx taqa’ wkoll kumulattivament fuq l-entitajiet li kienu pproċessaw fi stadju preċedenti d-data li kienet tinsab fis-silta kkonċernata.
Il‑kunsiderazzjonijiet tal‑Qorti tal‑Ġustizzja
Fl-ewwel lok, fir-rigward tal-kwistjoni dwar jekk is-servizz jew l-organu inkarigat mill-ġurnal uffiċjali ta’ Stat Membru, bħalma huwa l-Moniteur belge, jistax jiġi kklassifikat bħala “kontrollur” fis-sens tal-GDPR, il-Qorti tal-Ġustizzja ppreċiżat li, fid-dawl tad-definizzjoni wiesgħa ta’ dan il-kunċett, id-determinazzjoni tal-iskopijiet u tal-mezzi tal-ipproċessar kif ukoll, jekk ikun il-każ, il-ħatra tal-kontrollur tad-data mid-dritt nazzjonali jistgħu jkunu mhux biss espliċiti, iżda wkoll impliċiti. F’dan l-aħħar każ, huwa madankollu meħtieġ li din id-determinazzjoni tirriżulta b’mod suffiċjentement ċert mir-rwol, mill-missjoni u mill-attribuzzjonijiet mogħtija lis-servizz jew lill-korp ikkonċernat.
Il-Qorti tal-Ġustizzja kkonstatat li, f’dan il-każ, id-dritt Belġjan kien jiddetermina, tal-inqas impliċitament, l-iskopijiet u l-mezzi tal-ipproċessar tad-data personali mwettaq mill-Moniteur belge. Minn dan kien jirriżulta li dan tal-aħħar seta’ jitqies li huwa l-“kontrollur”.
Il-Qorti tal-Ġustizzja enfasizzat li din il-konklużjoni la kienet ikkontestata miċ-ċirkustanza li l-Moniteur belge ma għandux personalità ġuridika u lanqas mill-fatt li, skont id-dritt nazzjonali, huwa ma jikkontrollax, qabel il-pubblikazzjoni tagħha, id-data personali li tinsab fl-atti u fid-dokumenti li huwa jirċievi.
Għalkemm huwa minnu li dan l-organu kellu jippubblika d-dokument ikkonċernat kif inhu, kien huwa biss li kellu jassumi dan il-kompitu u sussegwentement ixerred l-att jew id-dokument ikkonċernat. Minn naħa, il-pubblikazzjoni ta’ tali atti u ta’ tali dokumenti mingħajr possibbiltà ta’ kontroll jew ta’ modifika tal-kontenut tagħhom kienet intrinsikament marbuta mal-iskopijiet u mal-mezzi tal-ipproċessar iddeterminati mid-dritt nazzjonali. Fil-fatt, ir-rwol ta’ dan il-ġurnal uffiċjali kien limitat li jinforma lill-pubbliku bl-eżistenza ta’ dawn l-atti u ta’ dawn id-dokumenti, kif trażmessi lilu fil-forma ta’ kopja skont id-dritt nazzjonali applikabbli, b’mod li jirrendihom infurzabbli kontra terzi. Min-naħa l-oħra, ikun kuntrarju għall-għan tal-punt 7 tal-Artikolu 4 tal-GDPR li jiġi eskluż mill-kunċett ta’ “kontrollur” il-ġurnal uffiċjali ta’ Stat Membru minħabba li dan tal-aħħar ma jeżerċitax kontroll fuq id-data personali li tinsab fil-pubblikazzjonijiet tiegħu.
Fit-tieni lok, fir-rigward tal-kwistjoni dwar jekk organu, bħalma huwa l-Moniteur belge, għandux jitqies unikament responsabbli għall-osservanza tal-prinċipji relatati mal-ipproċessar tad-data personali msemmija fil-GDPR (
4
), il-Qorti tal-Ġustizzja osservat li l-ipproċessar fdat lil dan l-organu kien kemm wara l-ipproċessar imwettaq min-nutar kif ukoll mir-reġistratur tal-qorti kompetenti u teknikament differenti mill-ipproċessar imwettaq minn dawn iż-żewġ entitajiet sa fejn dan kien jiżdied miegħu. Fil-fatt, l-operazzjonijiet imwettqa mill-imsemmi organu kienu fdati lilu mil-leġiżlazzjoni nazzjonali u kienu jimplikaw b’mod partikolari t-trasformazzjoni diġitali tad-data li tinsab fl-atti jew fl-estratti ta’ atti sottomessi lilu, il-pubblikazzjoni tagħha, it-tqegħid għad-dispożizzjoni tagħha lil pubbliku wiesa’ kif ukoll iż-żamma tagħha. Għaldaqstant, huwa kellu jitqies li kien responsabbli għall-osservanza tal-obbligi kollha imposti fuq il-kontrollur mill-GDPR.
Barra minn hekk, il-Qorti tal-Ġustizzja fakkret li l-punt 7 tal-Artikolu 4 tal-GDPR jipprevedi mhux biss li l-iskopijiet u l-mezzi ta’ pproċessar ta’ data personali jistgħu jiġu ddeterminati konġuntament minn diversi persuni bħala kontrolluri, iżda wkoll li d-dritt nazzjonali jista’ jiddetermina dawn l-iskopijiet u dawn il-mezzi u jaħtar il-kontrollur jew il-kriterji speċifiċi applikabbli għall-ħatra tiegħu. B'hekk, fil-kuntest ta’ katina ta’ pproċessar imwettaq minn persuni jew entitajiet differenti u li jirrigwarda l-istess data personali, id-dritt nazzjonali jista’ jiddetermina l-iskopijiet u l-mezzi tal-ipproċessar kollu mwettaq suċċessivament minn dawn id-diversi persuni jew entitajiet b’mod li dawn jinżammu flimkien bħala kontrolluri responsabbli għall-ipproċessar.
Il-Qorti tal-Ġustizzja enfasizzat li, skont il-GDPR (
5
), ir-responsabbiltà konġunta ta’ diversi atturi ta’ katina ta’ pproċessar li tirrigwarda l-istess data personali tista’ tiġi stabbilita mid-dritt nazzjonali sakemm l-operazzjonijiet differenti ta’ pproċessar ikunu magħqudin bi skopijiet u b’mezzi ddeterminati minn dan id-dritt u sakemm dan jiddefinixxi l-obbligi rispettivi ta’ kull wieħed mill-kontrolluri konġunti. Tali determinazzjoni tal-iskopijiet u tal-mezzi li jgħaqqdu d-diversi operazzjonijiet ta’ pproċessar imwettqa minn diversi atturi ta’ katina kif ukoll tal-obbligi rispettivi tagħhom tista’ titwettaq mhux biss b’mod dirett, iżda wkoll b’mod indirett mid-dritt nazzjonali, bil-kundizzjoni, f’dan l-aħħar każ, li din tkun tista’ tiġi dedotta b’mod suffiċjentement espliċitu mid-dispożizzjonijiet legali li jirregolaw il-persuni jew l-entitajiet ikkonċernati kif ukoll l-ipproċessar tad-data personali li huma jwettqu fil-kuntest tal-katina ta’ pproċessar imposta minn dan id-dritt.
B’hekk, il-Qorti tal-Ġustizzja kkonkludiet li d-dipartiment jew l-organu inkarigat mill-ġurnal uffiċjali ta’ Stat Membru, ikklassifikat bħala “kontrollur”, huwa l-uniku responsabbli għall-osservanza tal-prinċipji msemmija fil-GDPR fir-rigward tal-operazzjonijiet ta’ pproċessar tad-data personali li huwa obbligat iwettaq skont id-dritt nazzjonali, sakemm responsabbiltà konġunta ma’ entitajiet oħra fir-rigward ta’ dawn l-operazzjonijiet ma tirriżultax minn dan id-dritt.
(
1
)	Previst fl-Artikolu 17 tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas-27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-GDPR”).
(
2
)	Fis-sens tal-punt 7 tal-Artikolu 4 tal-GDPR.
(
3
)	Skont l-Artikolu 5(2) tal-GDPR.
(
4
)	Prinċipji previsti fil-forma ta’ obbligi fl-Artikolu 5(1) tal-GDPR.
(
5
)	Skont il-qari flimkien tal-Artikolu 26(1) u tal-punt 7 tal-Artikolu 4 tal-GDPR.