Edizzjoni Provviżorja
KONKLUŻJONIJIET TAL-AVUKAT ĠENERALI
NORKUS
ippreżentati fis‑16 ta’ April 2026 (1)
Kawża C‑205/25
Joachim Lindenberg
vs
Bayerisches Landesamt für Datenschutzaufsicht
(talba għal deċiżjoni preliminari mressqa mill-Bayerisches Verwaltungsgericht Ansbach (il-Qorti Amministrattiva tal-Bavarja ta’ Ansbach, il-Ġermanja))
“Rinviju għal deċiżjoni preliminari – Protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament (UE) 2016/679 – Artikolu 15 – Talba tas-suġġett tad-data għal aċċess għad-data personali tiegħu – Artikolu 77 – Data li tinsab fil-fajl amministrattiv ta’ awtorità superviżorja involuta fi proċedura ta’ lment – Punt (7) tal-Artikolu 4 – Kunċett ta’ ‘kontrollur’ – Artikolu 23 – Restrizzjonijiet għad-dritt ta’ aċċess – Leġiżlazzjoni nazzjonali li teskludi kull aċċess għall-fajl amministrattiv”
I.      Introduzzjoni
1.        Din it-talba għal deċiżjoni preliminari mressqa mill-Bayerisches Verwaltungsgericht Ansbach (il-Qorti Amministrattiva tal-Bavarja ta’ Ansbach, il-Ġermanja) skont l-Artikolu 267 TFUE għandha bħala suġġett l-interpretazzjoni tal-punti 7 u 21 tal-Artikolu 4 kif ukoll tal-Artikoli 15, 23 u 77 tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (2) (iktar ’il quddiem il-“GDPR”).
2.        Din it-talba għal deċiżjoni preliminari ġiet imqajma fil-kuntest ta’ tilwima bejn Joachim Lindenberg, ġurnalist speċjalizzat fil-protezzjoni tad-data, u l-Bayerisches Landesamt für Datenschutzaufsicht (l-Awtorità Superviżorja tal-Protezzjoni tad-Data tal-Bavarja, il-Ġermanja) (iktar ’il quddiem il-“Landesamt”), li tirrigwarda r-rifjut ta’ din l-awtorità li tagħtih, abbażi tal-Artikolu 15 tal-GDPR, aċċess sħiħ għall-fajl tiegħu fil-kuntest ta’ proċedura mibdija wara lment li huwa kien ressaq kontra terz. Il-Landesamt ibbażat ir-rifjut tagħha fuq dispożizzjoni tal-Bavarja li teskludi l-aċċess tal-pubbliku għall-fajls amministrattivi tal-awtoritajiet superviżorji. Wara r-rikors ippreżentat minn J. Lindenberg, din l-awtorità finalment tagħtu aċċess elettroniku għall-fajl, mingħajr madankollu ma rrikonoxxiet l-iżball legali li kkommettiet, filwaqt li r-rikorrent baqa’ jitlob il-konstatazzjoni tal-illegalità tar-rifjut inizjali. Peress li qieset li s-soluzzjoni tat-tilwima tippreżupponi interpretazzjoni tad-dispożizzjonijiet rilevanti tal-GDPR kif ukoll eżami tal-konformità tal-leġiżlazzjoni tal-Bavarja mad-dritt tal-Unjoni, il-qorti tar-rinviju ddeċidiet li tissospendi l-proċeduri quddiemha u li tagħmel lill-Qorti tal-Ġustizzja żewġ domandi preliminari.
3.        Il-Qorti tal-Ġustizzja hija mitluba tiddeċiedi dwar il-kwistjoni jekk awtorità superviżorja fil-qasam tal-protezzjoni tad-data tistax tiġi kklassifikata, fil-kuntest ta’ proċedura ta’ lment imressqa skont l-Artikolu 77 tal-GDPR, bħala “kontrollur” fis-sens tal-punt (7) tal-Artikolu 4 tal-GDPR, u sa fejn dik l-awtorità hija obbligata tikkonforma ruħha mal-obbligi ta’ aċċess previsti fl-Artikolu 15 tal-GDPR. B’mod partikolari, hija mistiedna teżamina jekk id-dritt tal-Unjoni jipprekludix leġiżlazzjoni nazzjonali li teskludi, għas-suġġetti tad-data, kull dritt ta’ aċċess għall-fajl. Din l-evalwazzjoni għandha ssir fid-dawl tal-Artikolu 23 tal-GDPR, li jawtorizza restrizzjonijiet għall-obbligi ta’ aċċess previsti minn dan ir-regolament dment li dawn isiru għal ċerti raġunijiet ta’ interess pubbliku ġenerali, kif ukoll tal-Artikolu 8(2) tal-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea (iktar ’il quddiem il-“Karta”), li jiggarantixxi lil kull persuna d-dritt ta’ aċċess għad-data miġbura li għandha x’taqsam magħha. F’dan ir-rigward, il-Qorti tal-Ġustizzja għandha tibbilanċja, minn naħa, ir-rekwiżit ta’ trasparenza fl-ambitu amministrattiv u, min-naħa l-oħra, in-neċessità li tiġi ggarantita l-effikaċja tal-investigazzjonijiet fil-qasam tal-protezzjoni tad-data.
II.    Il-kuntest ġuridiku
A.      Id-dritt tal-Unjoni
4.        Fil-kuntest ta’ din il-kawża, huma rilevanti l-Artikoli 8 u 52 tal-Karta, l-Artikolu 16 TFUE, kif ukoll il-punti (1), (2), (7) u (9) tal-Artikolu 4, kif ukoll l-Artikoli 5, 15, 23, 51, 57, 58 u 77 tal-GDPR.
B.      Id-dritt Ġermaniż
5.        Skont l-Artikolu 18 tal-Bayerisches Datenschutzgesetz (l-Att tal-Bavarja dwar il-Protezzjoni tad-Data, iktar ’il quddiem il-“BayDSG”), il-Landesamt hija awtorità superviżorja li tissorvelja entitajiet mhux pubbliċi.
6.        L-Artikolu 20 tal-BayDSG jipprevedi:
“(1)      Kull persuna tista’ tindirizza lill-awtoritajiet superviżorji sabiex issostni li d-drittijiet tagħha nkisru waqt l-ipproċessar tad-data personali tagħha. Talba magħmula lill-awtoritajiet superviżorji ma għandiex tkun ta’ detriment għas-suġġett tad-data.
(2)      Ma għandu jkun hemm l-ebda dritt ta’ aċċess jew ta’ konsultazzjoni fir-rigward tar-reġistri u tal-fajls tal-awtoritajiet superviżorji”.
7.        Fl-espożizzjoni tar-ratio legis tal-Artikolu 20(2) tal-BayDSG, ġie indikat li din id-dispożizzjoni hija applikabbli għall-kawża preżenti u teskludi kull dritt ta’ aċċess eżerċitat skont l-Artikolu 15 tal-GDPR, u dan peress li tali dritt qed jiġi invokat fil-konfront tal-Landesamt u fir-rigward tal-fajls u tar-reġistri ta’ din l-awtorità.
III. Il-fatti li wasslu għall-kawża prinċipali, il-proċedura fil-kawża prinċipali u d-domandi preliminari
8.        J. Lindenberg huwa ġurnalist li jżomm blog iddedikat, b’mod partikolari, għall-protezzjoni tad-data. Mill‑2021 ’l hawn, huwa fetaħ diversi proċeduri ta’ lment mal-Landesamt.
9.        Wara li, fit‑13 ta’ Mejju 2022, J. Lindenberg ressaq ilment mal-Landesamt fl-ambitu tal-protezzjoni tad-data, huwa fetaħ proċedura ta’ stħarriġ fil-konfront ta’ terz. Permezz ta’ email tal‑11 ta’ Ottubru 2022, il-Landesamt informat lil J. Lindenberg li kien ikkonstata ksur tal-protezzjoni tad-data mwettaq mill-persuna li kontriha sar l-ilment. Il-Landesamt żiedet li, wara l-iskadenza tat-terminu mogħti sabiex jiġi rrimedjat dan il-ksur, il-persuna li kontriha sar l-ilment kienet ser tiġi ssanzjonata jekk twettaq ksur ieħor. Permezz ta’ email mibgħut fl-istess jum, J. Lindenberg talab il-komunikazzjoni ta’ dettalji addizzjonali dwar il-miżuri meħuda mil-Landesamt. Peress li din tal-aħħar ma laqgħetx din it-talba, J. Lindenberg talab, permezz ta’ email tal‑11 ta’ Ottubru 2022, informazzjoni kompleta skont l-Artikolu 15(1) u (3) tal-GDPR.
10.      Permezz ta’ email u ta’ deċiżjoni meħuda fl‑20 ta’ Ottubru 2022, il-Landesamt ċaħdet it-talba għal aċċess imressqa skont l-Artikolu 15(1) u (3) tal-GDPR. Hija mmotivat din iċ-ċaħda billi indikat li d-dispożizzjoni espressa prevista fl-Artikolu 20(2) tal-BayDSG kienet teskludi kull dritt ta’ aċċess u ta’ konsultazzjoni tal-fajls u tar-reġistri tal-awtoritajiet superviżorji.
11.      J. Lindenberg ippreżenta rikors kontra dik id-deċiżjoni quddiem il-Bayerisches Verwaltungsgericht Ansbach (il-Qorti Amministrattiva tal-Bavarja ta’ Ansbach), fejn talab li l-Landesamt tiġi ordnata tipprovdilu kopja tal-informazzjoni kollha miġbura ġol-fajl tal-proċedura ta’ lment mibdija fit‑13 ta’ Mejju 2022.
12.      Fit‑23 ta’ Frar 2024, il-Landesamt tat aċċess elettroniku għall-fajl tal-proċedura superviżorja li bdiet bl-ilment ta’ J. Lindenberg, mingħajr madankollu ma rrikonoxxiet li kellha obbligu legali li tagħmel dan.
13.      Minn dakinhar ’l hawn, J. Lindenberg jitlob biss li tiġi kkonstatata l-illegalità tad-deċiżjoni tal-Landesamt tal‑20 ta’ Ottubru 2022 li tiċħad it-talba tiegħu għal aċċess.
14.      Il-qorti tar-rinviju tirrileva li, meta min jagħmel l-ilment, bħal J. Lindenberg, jibda proċedura ta’ lment skont l-Artikolu 77 tal-GDPR quddiem awtorità superviżorja tal-protezzjoni tad-data, bħal-Landesamt, din l-awtorità taġixxi fil-konfront tiegħu bħala awtorità superviżorja fis-sens tal-punt (21) tal-Artikolu 4 tal-GDPR. Uħud, fosthom il-Landesamt, iqisu li dan jeskludi l-possibbiltà li l-awtorità superviżorja tal-protezzjoni tad-data tkun, fir-rigward ta’ min jagħmel l-ilment, “kontrollur” fis-sens tal-Artikolu 15, moqri flimkien mal-punt (7) tal-Artikolu 4 tal-GDPR, u li, konsegwentement, huwa immedjatament prekluż kull dritt ta’ aċċess ta’ min jagħmel l-ilment fil-konfront tal-awtorità superviżorja tal-protezzjoni tad-data u li jikkonċerna data personali miksuba minn proċedura ta’ lment.
15.      Min-naħa l-oħra, il-qorti tar-rinviju titlaq mill-prinċipju li awtorità superviżorja tal-protezzjoni tad-data tista’ tkun, fl-istess waqt, kemm awtorità superviżorja fis-sens tal-punt (21) tal-Artikolu 4 tal-GDPR u kontrollur, kif ukoll persuna li kontriha jsir ilment għall-finijiet tal-Artikolu 15, moqri flimkien mal-punt (7) tal-Artikolu 4 tal-GDPR.
16.      Il-qorti tar-rinviju tqis li, jekk dan huwa tabilħaqq il-każ, tqum il-kwistjoni dwar jekk esklużjoni pura u sempliċi tad-dritt ta’ aċċess għall-fajls u għar-reġistri ta’ awtorità superviżorja, bħal dik prevista fl-Artikolu 20(2) tal-BayDSG, tissodisfax il-kriterji kollha li jirregolaw l-eżerċizzju tal-poter, mogħti skont l-Artikolu 23(1) tal-GDPR, li jiġi limitat id-dritt ta’ aċċess.
17.      F’dawn iċ-ċirkustanzi, il-Bayerisches Verwaltungsgericht Ansbach (il-Qorti Amministrattiva tal-Bavarja ta’ Ansbach) iddeċidiet li tissospendi l-proċeduri quddiemha u li tagħmel lill-Qorti tal-Ġustizzja d-domandi preliminari li ġejjin:
“1)      L-Artikolu 15, moqri flimkien mal-Artikolu 4(7) [tal-GDPR], għandu jiġi interpretat fis-sens li awtorità superviżorja fis-sens tal-Artikolu 4(21) ta’ dan ir-regolament, li taġixxi fil-kuntest ta’ proċedura ta’ lment mibdija minn suġġett tad-data skont l-Artikolu 77 ta’ dan ir-regolament, hija fl-istess ħin ‘kontrollur’ fis-sens tal-Artikolu 15, moqri flimkien mal-Artikolu 4(7) ta’ dan ir-regolament, u għalhekk hija obbligata tipprovdi lil dan is-suġġett tad-data aċċess għad-data li tikkonċernah u għall-informazzjoni skont l-Artikolu 15 [tal-GDPR]?
2)      Fil-każ li għall-ewwel domanda tingħata risposta fl-affermattiv: id-dritt tal-Unjoni, b’mod partikolari l-Artikolu 23 [tal-GDPR], għandu jiġi interpretat fis-sens li jipprekludi dispożizzjoni nazzjonali – bħalma huwa l-Artikolu 20(2) tal-[BayDSG], li huwa inkwistjoni fil-kawża prinċipali – li teskludi, b’mod ġenerali, kwalunkwe dritt ta’ aċċess jew ta’ konsultazzjoni fir-rigward tal-fajls u tar-reġistri tal-awtoritajiet superviżorji fis-sens tal-Artikolu 4(21) [tal-GDPR]?”
IV.    Il-proċedura quddiem il-Qorti tal-Ġustizzja
18.      Id-deċiżjoni tar-rinviju tad‑19 ta’ Frar 2025 waslet fir-Reġistru tal-Qorti tal-Ġustizzja fis‑17 ta’ Marzu 2025.
19.      Il-Landesamt, il-Gvern Bulgaru u dak Latvjan, kif ukoll il-Kummissjoni Ewropea, ippreżentaw osservazzjonijiet bil-miktub fit-terminu stabbilit mill-Artikolu 23 tal-Istatut tal-Qorti tal-Ġustizzja tal-Unjoni Ewropea.
20.      Fis-seduta tat‑22 ta’ Jannar 2026, il-mandatarji ad litem ta’ J. Lindenberg, tal-Landesamt, tal-Gvern Bulgaru, kif ukoll tal-Kummissjoni ppreżentaw l-osservazzjonijiet tagħhom.
V.      Analiżi ġuridika
A.      Osservazzjonijiet preliminari
21.      Din il-kawża tqajjem kwistjoni ta’ prinċipju dwar l-istatus ġuridiku tal-awtoritajiet superviżorji fir-rigward tad-drittijiet irrikonoxxuti mill-GDPR u, b’mod partikolari, tad-dritt ta’ aċċess iggarantit mill-Artikolu 15 tiegħu. Għandu jiġi ddeterminat jekk, meta tinvestiga lment imressaq skont l-Artikolu 77 tal-GDPR, awtorità superviżorja tistax tiġi kklassifikata bħala “kontrollur” tad-data pproċessata għall-finijiet tal-proċedura ta’ lment, fis-sens tal-punt (7) tal-Artikolu 4 tal-istess regolament. Din il-klassifikazzjoni hija determinanti, peress li tikkundizzjona l-applikabbiltà tal-obbligi ta’ aċċess infurzabbli kontra l-kontrollur, u tistaqsi b’mod iktar wiesa’ liema bilanċ għandu jintlaħaq bejn il-protezzjoni tad-drittijiet individwali u l-karatteristiċi speċifiċi għall-eżerċizzju tal-kompiti ta’ superviżjoni, li huma bbażati fuq l-indipendenza deċiżjonali, il-kunfidenzjalità tal-investigazzjoni u l-effikaċja tas-setgħat ta’ investigazzjoni.
22.      Fil-każ li l-Qorti tal-Ġustizzja tiddeċiedi li l-awtorità superviżorja tista’ tkun obbligata, bħala prinċipju, li tosserva l-Artikolu 15 tal-GDPR, ser titqajjem it-tieni domanda, ta’ natura normattiva, dwar il-kompatibbiltà mal-qafas ġuridiku tal-Unjoni ta’ esklużjoni ġenerali u assoluta tad-dritt ta’ aċċess għall-fajls amministrattivi. Tali leġiżlazzjoni nazzjonali trid tiġi eżaminata fid-dawl tar-rekwiżiti previsti fl-Artikolu 23 tal-GDPR, li jiddefinixxi b’mod strett ir-restrizzjonijiet li jistgħu jiġu imposti fuq id-drittijiet li r-regolament jiggarantixxi, billi jissuġġetta r-restrizzjonijiet għall-osservanza ta’ numru ta’ kundizzjonijiet kumulattivi li jirregolaw il-bażi legali, in-neċessità, il-proporzjonalità u s-salvagwardja tal-għanijiet ta’ interess ġenerali rrikonoxxuti mill-Unjoni. Din l-analiżi teħtieġ ukoll li jiġu inklużi l-garanziji li jirriżultaw mid-dritt primarju, b’mod partikolari dawk relatati mar-rispett tad-drittijiet fundamentali u mal-effettività tar-rimedji ġudizzjarji.
23.      Għalhekk, l-analiżi legali ser tinqasam f’żewġ stadji suċċessivi. Minn naħa, għandu jiġi ddeterminat jekk u sa fejn awtorità superviżorja tista’ tiġi assimilata ma’ “kontrollur” fil-kuntest ta’ proċedura ta’ lment, b’mod li tkun marbuta bl-obbligi ta’ aċċess stabbiliti fil-GDPR (3). Min-naħa l-oħra, u biss fil-każ ta’ risposta fl-affermattiv, għandu jiġi evalwat jekk esklużjoni ġenerali, li ma tagħmel ebda distinzjoni u li tapplika b’mod preventiv, tad-dritt ta’ aċċess għall-fajls tal-awtoritajiet ta’ superviżjoni hijiex konċiljabbli mas-sistema armonizzata tal-GDPR, fid-dawl tar-rekwiżiti ta’ trasparenza amministrattiva, ta’ protezzjoni tad-data, ta’ indipendenza istituzzjonali u ta’ effikaċja tal-mekkaniżmi superviżorji, li kollha għandhom jiġu bbilanċjati ma’ xulxin mingħajr ma ebda wieħed minnhom jitlef l-essenza tiegħu (4).
B.      Fuq l-ewwel domanda
1.      Fuq il-klassifikazzjoni ta’ awtorità superviżorja bħala “kontrollur” fis-sens tal-punt (7) tal-Artikolu 4 tal-GDPR
24.      Fir-rigward tal-klassifikazzjoni potenzjali ta’ awtorità superviżorja bħala “kontrollur”, li hija s-suġġett tal-ewwel domanda preliminari, għandha titfakkar, preliminarjament, id-definizzjoni legali ta’ dan il-kunċett, kif stabbilita fil-punt (7) tal-Artikolu 4 tal-GDPR. Skont din id-dispożizzjoni, titqies bħala “kontrollur” kull “persuna fiżika jew ġuridika, awtorità pubblika, aġenzija jew korp ieħor li, waħdu jew flimkien ma’ oħrajn, jiddetermina l-għanijiet u l-mezzi tal-ipproċessar ta’ data personali”. F’dan ir-rigward, u skont ġurisprudenza stabbilita tal-Qorti tal-Ġustizzja, għandu jitfakkar li l-imsemmi kunċett irid jiġi interpretat b’mod wiesa’ (5).
25.      Fl-ewwel lok, għandu jiġi kkonstatat li din id-definizzjoni legali tirreferi espressament għall-“[awtorit[ajiet] pubbli[ċi]”. Il-formulazzjoni stess tal-punt (7) tal-Artikolu 4 tal-GDPR għalhekk bl-ebda mod ma teskludi l-possibbiltà li awtorità superviżorja tiġi kklassifikata bħala “kontrollur”. Kif jixhdu diversi premessi li jsemmu espliċitament l-ipproċessar ta’ data personali minn awtoritajiet pubbliċi, il-leġiżlatur tal-Unjoni rrinunzja deliberatament milli joħloq distinzjoni bejn entitajiet privati u entitajiet pubbliċi. Barra minn hekk, il-fatt li awtorità superviżorja hija ddefinita, fil-punt (21) tal-Artikolu 4 tal-GDPR, bħala awtorità pubblika indipendenti stabbilita minn Stat Membru skont l-Artikolu 51, ma jistax, fid-dawl tal-portata wiesgħa u funzjonali li r-regolament jagħti lill-kunċett ta’ “kontrollur” (6), jiġi interpretat bħala li jostakola l-eventwali klassifikazzjoni tagħha bħala tali.
26.      Fit-tieni lok, għandu jiġi rrilevat li, meta tali awtorità superviżorja teżerċita l-kompiti fdati lilha mill-Artikolu 77 tal-GDPR – b’mod partikolari meta tinvestiga lmenti dwar ksur potenzjali tar-regoli ta’ protezzjoni tad-data – issib ruħha f’sitwazzjoni fejn hi stess ikollha tipproċessa data personali. L-awtorità ma tirċevix biss din id-data; hi tistrutturaha, tanalizzaha, iżżommha u tużaha fil-kuntest tal-eżerċizzju awtonomu tagħha tas-setgħat investigattivi u ta’ infurzar mogħtija lilha mir-Regolament. Jidhirli li tali operazzjonijiet jaqgħu fil-kamp ta’ applikazzjoni tal-punt (2) tal-Artikolu 4 tal-GDPR, li jiddefinixxi l-kunċett ta’ “pproċessar” f’sens wiesa’ u indipendentement minn kull kuntest speċifiku, bħala li jkopri l-operazzjonijiet kollha mwettqa fuq data.
27.      Sabiex insostni din l-analiżi, ser nesponi, fl-argumenti li ġejjin, minn naħa, il-karatteristiċi essenzjali tal-proċedura ta’ lment prevista fl-Artikolu 77 tal-GDPR u, min-naħa l-oħra, il-kategoriji ta’ data personali li l-awtoritajiet superviżorji huma mitluba jipproċessaw, b’mod regolari u konkret, f’dan il-kuntest. Din il-preżentazzjoni tippermetti li wieħed jifhem aħjar in-natura u l-portata tal-kompiti eżerċitati mill-awtoritajiet superviżorji meta dawn imexxu tali proċedura.
a)      Il-karatteristiċi essenzjali tal-“proċedura ta’ lment” prevista fl-Artikolu 77 tal-GDPR
28.      Il-proċedura ta’ lment (7) stabbilita fl-Artikolu 77 tal-GDPR tikkostitwixxi mekkaniżmu ċentrali tas-sistema tal-Unjoni intiża li tiżgura l-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar tad-data personali tagħhom. Hija tikkontribwixxi għall-implimentazzjoni prattika tal-prinċipju stabbilit fl-Artikolu 8(3) tal-Karta, li jgħid li l-osservanza tar-regoli dwar il-protezzjoni tad-data għandha tkun suġġetta għall-istħarriġ ta’ awtorità indipendenti. Il-Qorti tal-Ġustizzja enfasizzat ripetutament li dan il-mekkaniżmu ta’ stħarriġ ma huwiex ta’ natura purament formali, iżda huwa intiż li jiżgura l-protezzjoni effettiva u reali tad-drittijiet fundamentali (8).
29.      L-Artikolu 77(1) tal-GDPR jagħti lil kull suġġett tad-data d-dritt li jressaq ilment, mingħajr rekwiżit formali partikolari u mingħajr riskju ta’ spejjeż, b’mod partikolari quddiem l-awtorità superviżorja tal-Istat Membru tar-residenza abitwali tiegħu, tal-post tax-xogħol tiegħu jew tal-post fejn ikun seħħ l-allegat ksur. Peress li dan id-dritt jikkostitwixxi element essenzjali tas-sistema ta’ protezzjoni stabbilita mir-regolament, dan la jista’ jiġi interpretat u lanqas applikat b’mod li jirrendi l-eżerċizzju tiegħu prattikament impossibbli jew eċċessivament diffiċli (9).
30.      Għandu jiġi enfasizzat li t-tressiq ta’ lment ma jagħtix lill-awtorità superviżorja s-sempliċi possibbiltà ġenerali li teżamina l-ilment, iżda jimponi fuqha obbligu konkret li tinvestiga l-fajl b’mod komprensiv, diliġenti u imparzjali. Fil-fatt, mill-ġurisprudenza tal-Qorti tal-Ġustizzja jirriżulta li, konformement mal-Artikolu 57(1)(f) tal-GDPR, kull awtorità superviżorja hija obbligata tittratta l-ilmenti mressqa fit-territorju tagħha, teżamina n-natura tagħhom sa fejn dan ikun neċessarju u tittrattahom bid-diliġenza kollha meħtieġa (10).
31.      Minn dan jirriżulta li awtorità superviżorja ma tistax tastjeni milli tittratta lment għal raġunijiet marbuta esklużivament mal-ekonomija amministrattiva jew ma’ kunsiderazzjonijiet ta’ konvenjenza. Bl-istess mod, ma tistax iddgħajjef l-intervent tagħha billi tieħu r-rwoli ta’ medjatur informali jew ta’ sempliċi faċilitatur. Għall-kuntrarju, hija obbligata teżamina l-ksur allegat fil-fatt u fid-dritt u, jekk ikun il-każ, timplimenta b’mod effettiv is-setgħat korrettivi mogħtija lilha mid-dritt tal-Unjoni (11).
32.      Is-setgħat elenkati fl-Artikolu 58 tal-GDPR għandhom, skont il-ġurisprudenza, jiġu interpretati fid-dawl tal-għan tagħhom, jiġifieri li tiġi żgurata l-effettività sħiħa ta’ dan ir-regolament. Il-Qorti tal-Ġustizzja insistiet fuq l-obbligu tal-awtoritajiet superviżorji li jadottaw, f’każ ta’ ksur ikkonstatat, miżuri korrettivi “xierqa u neċessarji” u li jużaw l-istrumenti kollha għad-dispożizzjoni tagħhom. Peress li n-nuqqas ta’ azzjoni jista’ jikkomprometti l-effett utli tal-imsemmi regolament, dan ir-rekwiżit jinkludi l-azzjoni repressiva (12).
33.      Barra minn hekk, l-Artikolu 77(2) tal-GDPR jirrikjedi li min jagħmel l-ilment jiġi infurmat dwar il-progress u l-eżitu tal-proċedura. Dan l-obbligu jiġi osservat biss jekk ir-risposta mogħtija, l-ewwel nett, tippermetti li jiġi stabbilit li l-ilment ġie effettivament eżaminat fil-fatt u fid-dritt u, it-tieni nett, tinkludi wkoll l-elementi neċessarji għall-eżerċizzju ta’ stħarriġ ġudizzjarju effettiv. Il-proċedura għalhekk ma tistax tiġi limitata għal deċiżjoni purament formali, iżda għandha twassal għal evalwazzjoni ddettaljata taċ-ċirkustanzi tal-każ, li tkun debitament motivata u tkun kapaċi li tiġi eżaminata minn qorti adita skont l-Artikolu 78(1) tal-GDPR. Kull deċiżjoni adottata minn awtorità superviżorja fuq ilment hija, fil-fatt, suġġetta għal stħarriġ ġudizzjarju sħiħ (13).
34.      Evalwata fl-intier tagħha, il-proċedura prevista fl-Artikolu 77 tal-GDPR ma tikkostitwixxix sempliċi att amministrattiv, iżda rimedju awtonomu, stabbilit mid-dritt tal-Unjoni, u li jikkontribwixxi kemm għall-protezzjoni tad-drittijiet individwali kif ukoll għas-salvagwardja oġġettiva tal-ordinament ġuridiku fil-qasam tal-protezzjoni tad-data. Il-Qorti tal-Ġustizzja tirrikonoxxi lill-awtoritajiet superviżorji l-istatus ta’ garanti istituzzjonali ta’ sistema ta’ protezzjoni strutturali tad-drittijiet fundamentali, fejn il-missjoni tagħhom ma hijiex limitata għar-riċezzjoni passiva ta’ lmenti, iżda timplika l-applikazzjoni attiva tar-regoli dwar il-protezzjoni tad-data.
b)      L-“ipproċessar” ta’ data personali mwettaq minn awtorità superviżorja fil-kuntest ta’ proċedura ta’ lment
35.      Wara li ġew mfakkra l-karatteristiċi essenzjali tal-proċedura ta’ lment, issa għandu jiġi analizzat sa fejn l-attività ta’ awtorità superviżorja taqa’ taħt il-kunċett ta’ “pproċessar” fis-sens tal-punt (2) tal-Artikolu 4 tal-GDPR. Dan il-kunċett huwa ddefinit bħala “kwalunkwe attività jew sett ta’ attivitajiet li jitwettqu fuq data personali jew fuq settijiet ta’ data personali, sew jekk b’mezzi awtomatizzati u sew jekk mingħajrhom, bħalma huma l-ġbir, ir-reġistrazzjoni, l-organizzazzjoni, l-istrutturar, il-ħażna, l-adattament jew il-bidliet, l-irkupru, il-konsultazzjoni, l-użu, l-iżvelar bi trażmissjoni, it-tixrid jew it-tqegħid għad-dispożizzjoni b’xi mezz ieħor, l-allinjament jew it-taħlita, ir-restrizzjoni, it-tħassir jew il-qerda”.
36.      F’dan ir-rigward, għandu jiġi enfasizzat li, fil-kuntest ta’ proċedura bbażata fuq l-Artikolu 77 tal-GDPR, awtorità superviżorja ma tillimitax ruħha għar-riċeviment ta’ data. Għall-kuntrarju, hija twettaq sensiela ta’ operazzjonijiet awtonomi u strutturati, li jiġu implimentati sabiex teżerċita d-dmirijiet legali tagħha ta’ eżami, ta’ investigazzjoni u ta’ superviżjoni. Fil-fatt, l-ipproċessar jibda bit-tressiq tal-ilment, li jinkludi data dwar min jagħmel l-ilment u, skont il-każ, dwar il-kontrollur ikkonċernat jew terzi identifikabbli. Din l-informazzjoni – li taqa’ taħt il-kunċett ta’ “data personali” fis-sens tal-punt (1) tal-Artikolu 4 tal-GDPR – tiġi rreġistrata, imdaħħla f’fajl u miżmuma fis-sistemi interni tal-awtorità superviżorja, li diġà jimplika t-twettiq ta’ operazzjonijiet materjali u organizzattivi li jikkostitwixxu “pproċessar” (14).
37.      Kif spjegat f’dawn il-konklużjonijiet, dawn l-operazzjonijiet jagħmlu parti mill-kompiti fdati lill-awtoritajiet superviżorji mill-Artikolu 57(1) tal-GDPR. Fost dawn il-kompiti hemm b’mod partikolari l-eżami tal-ilmenti (punt (f)) kif ukoll l-eżerċizzju ta’ setgħat ta’ investigazzjoni u ta’ teħid ta’ deċiżjonijiet (punt (h)). Fit-twettiq ta’ dawn il-kompiti, l-awtoritajiet jaġixxu b’awtonomija funzjonali u deċiżjonali kif iggarantita mid-dritt tal-Unjoni, awtonomija li tiġi espressa b’mod konkret fil-mod kif jiġu investigati l-ilmenti u jiġu eżerċitati s-setgħat ta’ kontroll li jirriżultaw minn dan id-dritt.
38.      Matul il-proċedura, l-awtorità superviżorja għandha twettaq l-eżami fattwali u legali tal-elementi mressqa quddiemha. Hija għandha tiġbor, torganizza, tanalizza u tevalwa d-data fid-dawl tal-qafas legali applikabbli. Barra minn hekk, operazzjonijiet oħra ta’ pproċessar jitwettqu meta awtorità titlob informazzjoni addizzjonali mill-kontrollur – li kontrih ikun sar ilment u li jkun qiegħed jiġi investigat – jew meta tikkonsulta dokumenti addizzjonali, li huma stess jistgħu jinkludu data personali. Din l-informazzjoni għandha mbagħad tiġi riċevuta, irreġistrata, analizzata u miżmuma mill-awtorità superviżorja. Bl-istess mod, it-tqabbil potenzjali ta’ dawn l-elementi ma’ fajls jew informazzjoni preeżistenti jista’ jitqies bħala operazzjoni ta’ “pproċessar”.
39.      Id-data hekk ipproċessata tintuża għall-finijiet tal-eżerċizzju awtonomu tas-setgħat investigattivi u deċiżjonali tal-awtorità superviżorja (15). Dawn is-setgħat jintużaw sabiex jiġu stabbiliti l-fatti u l-klassifikazzjoni legali tagħhom, sabiex jiġu vvalutati l-miżuri korrettivi possibbli u, fejn xieraq, sabiex jittieħdu deċiżjonijiet vinkolanti jew ordnijiet. Dawn is-setgħat jiġu eżerċitati wkoll meta jsiru komunikazzjonijiet proċedurali indirizzati lill-partijiet, b’mod partikolari meta min jagħmel l-ilment jew il-kontrollur jiġu infurmati dwar l-eżitu tal-proċedura.
40.      Minn dawn l-elementi kollha jirriżulta li l-awtorità superviżorja ma tistax titqies bħala sempliċi “riċevitur” ta’ data fis-sens tal-punt (9) tal-Artikolu 4(9) tal-GDPR. Peress li hija tiddeċiedi b’mod awtonomu dwar il-modalitajiet ta’ ġbir, ta’ analiżi, ta’ organizzazzjoni u ta’ użu ta’ din id-data għall-finijiet tal-eżerċizzju tal-kompiti mogħtija lilha bil-liġi, hija taġixxi bħala operatur li jwettaq “ipproċessar” fis-sens sħiħ tal-punt (2) tal-Artikolu 4 tal-GDPR. Dan l-aspett jeħtieġ analiżi iktar fil-fond fit-taqsima li ġejja.
2.      Fuq il-fakultà tal-awtorità superviżorja li “tiddetermina l-għanijiet u l-mezzi tal-ipproċessar”
41.      Sabiex awtorità superviżorja tkun tista’ tiġi kklassifikata bħala “kontrollur” fis-sens tal-punt (7) tal-Artikolu 4 tal-GDPR, huwa meħtieġ ukoll li tingħata s-setgħa li tiddetermina l-għanijiet u l-mezzi tal-ipproċessar tad-data personali.
42.      Kif ngħad hawn fuq, ir-rwol tal-awtorità superviżorja, fi proċedura ta’ lment ibbażata fuq l-Artikolu 77 tal-GDPR, ma huwiex limitat għas-sempliċi riċezzjoni passiva ta’ informazzjoni. Fil-verità, hija tiddetermina l-għan tal-ipproċessar, peress li tiddeċiedi li d-data ser tintuża għall-eżami ta’ ksur potenzjali tar-regoli dwar il-protezzjoni tad-data, għall-istabbiliment tal-fatti u, jekk ikun il-każ, għall-preparazzjoni u għall-adozzjoni ta’ miżuri ta’ kontroll. Din id-determinazzjoni tal-għan ma tiġix biss stabbilita a priori mil-liġi, iżda teħtieġ ukoll li l-awtorità tieħu deċiżjoni konkreta u awtonoma skont il-partikolaritajiet ta’ kull każ, speċjalment fir-rigward tal-portata tal-istħarriġ li ser twettaq, tal-għan preċiż tal-investigazzjoni u tal-klassifikazzjoni legali tal-ilmenti mressqa minn min jagħmel l-ilment (16).
43.      L-awtorità ta’ superviżjoni tiddeċiedi wkoll, b’mod awtonomu, dwar il-punti essenzjali tal-mezzi tal-ipproċessar. Hija tiddetermina liema data personali tinġabar, f’liema forma tiġi rreġistrata, strutturata u miżmuma, skont liema kriterji jiġu kkostitwiti r-reġistri, organizzati l-arkivji diġitali jew elenkati l-provi, u tiddeċiedi wkoll il-proċessi tekniċi jew organizzattivi użati għall-analiżi, għall-ipproċessar ulterjuri jew għat-tqegħid għad-dispożizzjoni interna tad-data. Bl-istess mod, hija tiddeċiedi jekk għandhiex tindirizza talbiet għal informazzjoni lill-persuna investigata, liema informazzjoni addizzjonali għandha tintalab, skont liema metodi dik l-informazzjoni ser titqabbel ma’ informazzjoni oħra, u għal kemm żmien għandha tinżamm. Din is-setgħa ta’ selezzjoni u ta’ organizzazzjoni teċċedi b’mod manifest is-sempliċi eżekuzzjoni ta’ kompiti aċċessorji jew subordinati.
44.      L-operazzjonijiet ta’ pproċessar effettivament imwettqa jikkonfermaw din l-awtonomija deċiżjonali. L-awtorità tirreġistra lmenti, tiftaħ il-fajls tagħha stess, taħżen u torganizza d-data riċevuta kif ukoll dik li tiġbor, twettaq l-evalwazzjoni fattwali u legali tagħha, titlob dokumenti addizzjonali, tirreġistra l-atti ta’ investigazzjoni u tadotta, abbażi tal-analiżi tagħha stess, deċiżjonijiet proċedurali u sostantivi. L-ipproċessar għalhekk ma jservix biss għall-ġestjoni teknika ta’ fajl amministrattiv, iżda jikkostitwixxi wkoll il-bażi ta’ attività awtonoma ta’ investigazzjoni, ta’ evalwazzjoni u ta’ deċiżjoni, li d-dritt tal-Unjoni jafda f’idejn l-awtorità ta’ superviżjoni biss.
45.      Iċ-ċirkustanza li din l-attività tifforma parti mill-eżerċizzju ta’ missjoni legali ma jfissirx li l-awtorità titneħħielha l-kwalità tagħha ta’ “kontrollur”. Il-Qorti tal-Ġustizzja fakkret diversi drabi li awtoritajiet pubbliċi jistgħu jiġu kklassifikati bħala “kontrolluri” meta jgawdu minn marġni ta’ manuvra fit-teħid ta’ deċiżjonijiet dwar il-modalitajiet konkreti tal-ipproċessar (17). F’dan ir-rigward, għandu jiġi rrilevat li l-Landesamt innifisha rrikonoxxiet, waqt is-seduta, li għandha marġni ta’ evalwazzjoni fid-determinazzjoni tal-kompiti tagħha, inkluż fil-mod li bih tittratta l-ilmenti (18), u li dan il-marġni jikkostitwixxi l-espressjoni tal-awtonomija tagħha.
46.      Il-klassifikazzjoni bħala “proċessur” għandha wkoll tiġi eskluża fejn jirriżulta li ma hemm ebda tip ta’ subordinazzjoni fir-rigward tad-determinazzjoni tal-għanijiet u tal-mezzi, u dan huwa l-każ meta l-awtorità ma taġixxix fuq l-istruzzjonijiet ta’ terz, iżda teżerċita l-prerogattivi tagħha stess. B’mod partikolari, l-awtorità superviżorja bl-ebda mod ma taġixxi f’isem il-kontrollur ikkonċernat mill-ilment, iżda teżerċita setgħa pubblika mogħtija lilha sabiex tiżgura l-osservanza tad-dritt tal-Unjoni.
47.      Għalkemm l-ipproċessar inkwistjoni huwa bbażat, bħala regola ġenerali, fuq l-Artikolu 6(1)(e) tal-GDPR, moqri flimkien mal-Artikolu 57(1)(f) u (h) ta’ dan ir-regolament, l-eżistenza ta’ bażi legali tiżgura biss il-legalità tal-ipproċessar, mingħajr ma teskludi l-kwalità ta’ “kontrollur”. Għall-kuntrarju, il-fatt li l-liġi tafda lill-awtorità bl-eżekuzzjoni ta’ kompiti ta’ superviżjoni jikkonferma li hija stess tipproċessa d-data meta twettaq id-dmirijiet legali tagħha u dan l-ipproċessar isir skont il-modalitajiet li hija stess tiddefinixxi. Għalhekk, bħala “kontrollur”, hija tibqa’, bħala prinċipju, suġġetta għall-obbligi ġenerali tal-GDPR, b’mod partikolari, għall-prinċipji stabbiliti fl-Artikolu 5 u għad-drittijiet tal-persuni elenkati fil-Kapitolu III ta’ dan ir-regolament, sakemm dawn ma jkunux ġew leġittimament ristretti minn dispożizzjoni legali suffiċjentement ċara u proporzjonata, konformement mal-Artikolu 23 tal-GDPR.
48.      L-indipendenza tal-awtoritajiet superviżorji, stabbilita fl-Artikolu 52 tal-GDPR u affermata mill-ġdid fil-premessa 117, tirrikjedi li dawn jiġu kklassifikati bħala “kontrolluri” fir-rigward tal-operazzjonijiet li huma jwettqu, fl-eżerċizzju tad-dmirijiet statutorji tagħhom, fuq data personali. Hija biss id-determinazzjoni awtonoma tal-għanijiet u tal-mezzi tal-ipproċessar ikkonċernati, flimkien mar-responsabbiltà li tirriżulta minn tali determinazzjoni, li tippermettilhom jeżerċitaw, b’indipendenza sħiħa, is-setgħat tagħhom ta’ kontroll u ta’ konformità fuq l-entitajiet li huma jissorveljaw. Li kieku l-awtoritajiet superviżorji kellhom jiġu kkunsidrati, fil-kuntest tat-trattament tal-ilmenti, bħala sempliċi eżekuturi ta’ għanijiet iddefiniti minn terzi, l-awtonomija istituzzjonali tagħhom tiġi kompromessa billi jitpoġġew f’relazzjoni ta’ dipendenza mal-persuni investigati, u dan ikun ifisser li r-rekwiżit ta’ responsabbiltà previst mid-dritt tal-Unjoni jitneħħielu l-essenza tiegħu. Għalhekk, l-awtorità superviżorja nnifisha għandha tassumi responsabbiltà għall-ipproċessar ta’ data personali li hija stess timplimenta matul il-proċedura ta’ lment, u dan peress li d-drittijiet tas-suġġetti tad-data previsti mill-GDPR japplikaw b’mod sħiħ fil-konfront tagħha (19).
49.      Fl-aħħar nett, jekk l-awtorità superviżorja ma tiġix ikklassifikata bħala “kontrollur” fil-kuntest tal-ipproċessar tal-ilmenti, is-suġġett tad-data jitlef parti kbira mill-protezzjoni mogħtija lil element ċentrali tal-ipproċessar tad-data personali tiegħu. Fil-fatt, id-drittijiet tas-suġġetti tad-data previsti fl-Artikoli 12 sa 22 tal-GDPR, b’mod partikolari d-dritt ta’ aċċess imsemmi fl-Artikolu 15, jistgħu jiġu eżerċitati biss kontra l-kontrollur. Fin-nuqqas ta’ din il-klassifikazzjoni, is-suġġett tad-data ma jkunx jista’ jsir jaf liema data l-awtorità tiġbor u tipproċessa fil-kuntest tal-ilment, u lanqas ma jkun jista’ jitlob ir-rettifika, it-tħassir jew ir-restrizzjoni ta’ dik id-data. B’dan il-mod, l-ipproċessar ta’ data mwettaq mill-awtorità jkun jista’ jevita kull rekwiżit ta’ trasparenza u ta’ responsabbiltà, minkejja li din l-awtorità ġiet preċiżament inkarigata sabiex tiggarantixxi l-protezzjoni tad-drittijiet tas-suġġetti tad-data. Għalhekk, assenza ta’ klassifikazzjoni bħala “kontrollur” tkun toħloq lakuna strutturali fil-protezzjoni, billi s-suġġett tad-data jiġi mċaħħad, fir-relazzjoni tiegħu ma’ awtorità superviżorja, mill-garanziji fundamentali previsti mill-GDPR (20).
50.      Minn dan isegwi li awtorità superviżorja, meta tipproċessa lmenti mressqa skont l-Artikolu 77 tal-GDPR, mhux biss tirċievi jew tamministra data speċifika fdata lilha minn terz, iżda tiddeċiedi dwar l-għanijiet u l-mezzi tal-ipproċessar. Hija taġixxi bħala korp awtonomu, li jiġbor, jorganizza, janalizza u juża d-data personali bħala bażi għal deċiżjonijiet li jaqgħu taħt l-eżerċizzju tas-setgħa pubblika tiegħu. Għaldaqstant, hija għandha tiġi kklassifikata bħala “kontrollur” fis-sens tad-definizzjoni wiesgħa stabbilita fil-punt (7) tal-Artikolu 4 tal-GDPR (21).
51.      Għal finijiet ta’ kompletezza, għandu jiġi rrilevat li l-fatt li l-leġiżlatur tal-Unjoni ma pprevediex, b’mod espress, ipoteżi li fiha awtorità superviżorja taġixxi, fil-kuntest ta’ proċedura ta’ lment, bħala “kontrollur” ukoll fis-sens tal-punt (7) tal-Artikolu 4 tal-GDPR, ma jikkostitwixxix argument rilevanti ta’ natura li jipprekludi tali klassifikazzjoni. Għall-kuntrarju, l-element determinanti jinsab fil-kwistjoni dwar jekk din l-awtorità tissodisfax il-kundizzjonijiet materjali previsti mill-imsemmija dispożizzjoni. Issa, kif jirriżulta mill-analiżi preċedenti, dan huwa manifestament il-każ f’din il-kawża.
52.      F’dan il-kuntest, lanqas ma jista’ jintlaqa’ l-argument tal-Landesamt li skontu ċerti dispożizzjonijiet tal-GDPR neċessarjament jippreżupponu distinzjoni stretta bejn l-awtorità superviżorja, minn naħa, u l-“kontrollur” min-naħa l-oħra. Dawn id-dispożizzjonijiet jirrigwardaw biss is-sitwazzjoni ta’ prinċipju prevista mil-leġiżlatur tal-Unjoni, u li fiha dawn iż-żewġ rwoli ma għandhomx jiġu konfużi. Madankollu, dawn l-istess dispożizzjonijiet ma jeskludux li awtorità ta’ superviżjoni tista’, f’ċerti ċirkustanzi – bħal dawk inkwistjoni fil-kawża prinċipali – tissodisfa fl-istess waqt il-kundizzjonijiet meħtieġa sabiex tiġi kklassifikata bħala “kontrollur”.
53.      Sa fejn ċerti dispożizzjonijiet tal-GDPR jipprevedu “kooperazzjoni” jew “konsultazzjoni” bejn il-“kontrollur” u l-awtorità superviżorja, b’mod partikolari l-Artikoli 31 u 36, kwalunkwe kunflitt eventwali li jista’ jirriżulta minn sovrappożizzjoni ta’ dawn ir-rwoli jista’ jiġi solvut permezz ta’ interpretazzjoni teleoloġika ta’ dan ir-regolament. Tali interpretazzjoni timplika li l-proċeduri interni tal-awtorità superviżorja għandhom jiġu organizzati u kkoordinati b’mod li jiġi ggarantit it-twettiq effettiv tal-għanijiet imfittxija mid-dispożizzjonijiet ikkonċernati.
3.      Fuq l-eżistenza ta’ dritt ta’ aċċess ta’ min jagħmel l-ilment abbażi tal-Artikolu 15 tal-GDPR
54.      Kif diġà ġie indikat f’dawn il-konklużjonijiet, il-klassifikazzjoni tal-awtorità superviżorja bħala “kontrollur” iġġib fuqha l-obbligu li tiżgura r-rispett tad-drittijiet irrikonoxxuti lis-suġġetti tad-data taħt il-Kapitolu III tal-GDPR. Fost dawn id-drittijiet hemm, b’mod partikolari, id-dritt ta’ aċċess stabbilit fl-Artikolu 15 ta’ dan ir-regolament.
55.      Fil-kuntest ta’ proċedura mressqa skont l-Artikolu 77 tal-GDPR, min jagħmel l-ilment għandu wkoll, bħala prinċipju, il-kwalità ta’ “suġġett tad-data” fis-sens ta’ dan ir-regolament. F’dan ir-rigward, huwa jista’ jeżiġi li l-awtorità ta’ superviżjoni tikkonfermalu jekk id-data personali li tikkonċernah tkunx qiegħda tiġi pproċessata. Fil-każ ta’ risposta pożittiva, id-dritt ta’ aċċess jinkludi wkoll l-informazzjoni kollha elenkata b’mod eżawrjenti fl-Artikolu 15(1)(a) sa (h) tal-GDPR, fost liema hemm, b’mod partikolari, l-għanijiet tal-ipproċessar, il-kategoriji ta’ data personali involuti, ir-riċevituri jew il-kategoriji ta’ riċevituri, il-perijodu ta’ żamma tad-data kif ukoll l-informazzjoni dwar id-drittijiet li għandu s-suġġett tad-data.
a)      Id-dritt li tinkiseb “kopja” skont l-Artikolu 15(3) tal-GDPR
56.      Id-dritt ta’ aċċess jinvolvi, fost affarijiet oħra, id-dritt tas-suġġett tad-data li jikseb kopja tad-data personali tiegħu skont l-Artikolu 15(3) tal-GDPR. Din id-dispożizzjoni timponi fuq il-kontrollur obbligu li jikkomunika lill-persuna kkonċernata riproduzzjoni tad-data personali tagħha f’forma li tinftiehem, u b’mod li tippermetti l-identifikazzjoni preċiża tal-portata u tal-modalitajiet tal-ipproċessar tagħha. L-għan ta’ dan id-dritt huwa li s-suġġett tad-data jitqiegħed f’pożizzjoni fejn jista’ jivverifika liema data li tikkonċernah qiegħda tiġi pproċessata, li jidentifika s-sors tal-ipproċessar, li jifhem l-għanijiet tal-ipproċessar u li jkun jaf min huma d-destinatarji potenzjali tad-data personali tiegħu (22).
57.      Il-Qorti tal-Ġustizzja ddeċidiet li l-kopja għandha tiġi pprovduta b’mod li jippermetti kontroll effettiv tal-legalità tal-ipproċessar kif ukoll l-eżerċizzju utli tad-drittijiet l-oħra stabbiliti mill-GDPR (23). Il-kelma “kopja” ma tirreferix għal dokument fih innifsu, iżda għad-data personali li tinsab fih; dak li hu importanti huwa li din id-data tiġi kkomunikata b’mod komplet, ċar u xieraq sabiex tiġi fedelment riprodotta t-tifsira tagħha. Sabiex tiġi ggarantita l-effettività ta’ dan id-dritt, tista’ tirriżulta indispensabbli r-riproduzzjoni ta’ estratti ta’ dokumenti – jew ta’ dokumenti sħaħ – jew anki ta’ estratti ta’ databases li jinkludu, fost oħrajn, id-data personali li tkun suġġetta għall-ipproċessar (24).
58.      Madankollu, il-portata ta’ dan id-dritt tibqa’ strettament limitata għat-twettiq tal-funzjoni tiegħu. Id-dritt jestendi biss għad-“data personali” tas-suġġett tad-data u jinkludi kwalunkwe informazzjoni relatata miegħu jew li tippermetti li jiġi identifikat, fis-sens tal-punt (1) tal-Artikolu 4 tal-GDPR. Meta l-kuntest li fih tidher din id-data huwa neċessarju għall-għarfien sħiħ tagħha, l-obbligu ta’ komunikazzjoni jista’ jimplika t-trażmissjoni, fil-limitu meħtieġ sabiex jiġu ssodisfatti r-rekwiżiti ta’ trasparenza, ta’ estratt xieraq jew ta’ preżentazzjoni kuntestwali tad-data. Id-dritt li tinkiseb kopja jikkostitwixxi għalhekk element ċentrali tal-mekkaniżmu ta’ awtodeterminazzjoni tal-informazzjoni stabbilit mill-GDPR, inkwantu jiggarantixxi lis-suġġett tad-data kontroll sostanzjali fuq l-ipproċessar tad-data tiegħu u, fl-istess ħin, jippermettilu jivverifika l-konformità ta’ dak l-ipproċessar mar-rekwiżiti tad-dritt tal-Unjoni.
b)      L-Artikolu 15 tal-GDPR ma jipprevedix “dritt ġenerali ta’ aċċess għall-fajl amministrattiv”
59.      Madankollu, dan id-dritt ta’ aċċess previst fl-Artikolu 15 tal-GDPR, u li huwa speċifiku għas-sistema ta’ protezzjoni tad-data personali, la jista’ jiġi assimilat ma’ dritt ġenerali ta’ aċċess għall-fajl amministrattiv u lanqas ma’ rekwiżit ta’ trasparenza amministrattiva ta’ portata ġenerali. Din id-dispożizzjoni hija intiża esklużivament sabiex tiggarantixxi t-trasparenza fl-ipproċessar sabiex is-suġġett tad-data jkun jista’ jikkontrolla l-legalità tiegħu u jeżerċita b’mod utli d-drittijiet li jirriżultaw minnha, b’mod partikolari d-dritt tiegħu għar-rettifika, id-dritt tiegħu għat-tħassir (“dritt li wieħed jintesa”), id-dritt tiegħu għar-restrizzjoni tal-ipproċessar, kif ukoll id-dritt tiegħu li joġġezzjona għall-ipproċessar (25). Min-naħa l-oħra, din id-dispożizzjoni la tistabbilixxi dritt ġenerali ta’ aċċess għall-informazzjoni miżmuma mill-amministrazzjoni, la dritt ta’ konsultazzjoni fir-rigward ta’ dokumenti interni, u lanqas, a fortiori, dritt għall-iżvelar ta’ informazzjoni li tifforma parti mill-proċess intern ta’ deliberazzjoni jew ta’ deċiżjoni tal-awtorità pubblika. Dan isir evidenti meta wieħed iqabbel d-dritt ta’ aċċess previst fl-Artikolu 15 tal-GDPR ma’ drittijiet oħra ta’ aċċess minquxa kemm fid-dritt tal-Unjoni kif ukoll fid-drittijiet nazzjonali.
60.      L-ewwel nett, l-Artikolu 15 u l-Artikolu 77(2) tal-GDPR isegwu għanijiet differenti u għandhom, għalhekk, jiġu rigorożament distinti wieħed mill-ieħor. L-Artikolu 77(2) jistabbilixxi dritt proċedurali li wieħed jiġi informat dwar il-progress u l-eżitu tat-trattament tal-ilment, iżda ma jagħtix dritt ġenerali, ibbażat fuq il-leġiżlazzjoni dwar il-protezzjoni tad-data, ta’ aċċess għad-data jew għad-dokumenti. Għalhekk, filwaqt li l-Artikolu 15 huwa intiż li jiggarantixxi kontroll sħiħ mill-individwu tad-data personali tiegħu, l-Artikolu 77(2) huwa marbut mar-rekwiżit ta’ trasparenza proċedurali fit-trattament amministrattiv tal-ilmenti. Dawn id-dispożizzjonijiet, awtonomi kemm fl-għan kif ukoll fil-portata tagħhom, la għandhom jiġu konfużi u lanqas ma għandhom jieħdu post xulxin. Dawn id-dispożizzjonijiet jikkostitwixxu sistemi legali separati li jissodisfaw loġika normattiva differenti, għandhom kundizzjonijiet proprji għall-eżerċizzju tagħhom u ma humiex intiżi li jissovrapponu jew li jissostitwixxu lil xulxin.
61.      It-tieni nett, l-Artikolu 15 tal-GDPR jistabbilixxi biss dritt ta’ aċċess għal data personali, u mhux dritt ta’ aċċess għall-fajl amministrattiv jew dritt ta’ konsultazzjoni ta’ dokumenti miżmuma mill-awtorità (26). Il-kamp ta’ applikazzjoni ratione materiae tiegħu huwa limitat għall-komunikazzjoni tad-data personali li tkun qiegħda tiġi pproċessata u la jirrigwarda t-trasparenza amministrattiva u lanqas l-aċċess għall-proċessi deċiżjonali interni. Id-dritt ta’ aċċess għall-fajl amministrattiv jaqa’ għalhekk – ħlief għal ċerti dispożizzjonijiet settorjali tad-dritt tal-Unjoni – taħt il-kompetenza regolatorja tal-Istati Membri, fejn huwa ġeneralment irregolat minn leġiżlazzjonijiet dwar il-proċedura amministrattiva ġenerali, minn sistemi proċedurali speċjali, mil-liġijiet dwar il-libertà tal-informazzjoni u t-trasparenza, jew inkella minn regoli professjonali jew settorjali partikolari (27).
62.      Minn dan jirriżulta li l-Artikolu 15 tal-GDPR ma jistabbilixxi ebda dritt għall-komunikazzjoni jew għall-konsultazzjoni tal-fajl amministrattiv bħala tali. B’mod partikolari, il-kamp ta’ applikazzjoni tad-dritt ta’ aċċess ma jestendix għall-analiżi legali interni, għall-opinjonijiet, għall-annotazzjonijiet, għall-memorandi interni u għad-dokumenti preparatorji, u lanqas ma jestendi, b’mod iktar ġenerali, għall-informazzjoni li tirrigwarda l-proċess ta’ tfassil jew ta’ motivazzjoni interna tad-deċiżjoni amministrattiva. Meta dokument miżmum mill-awtorità jkun fih data personali relatata ma’ min jagħmel l-ilment, l-obbligu ta’ aċċess għandu jkun limitat għall-komunikazzjoni ta’ dik id-data bħala tali, u ma għandux jestendi għall-għoti jew għar-riproduzzjoni sħiħa tad-dokument li fih tinstab dik id-data. Fl-aħħar nett, l-informazzjoni li ma għandha l-ebda rabta mal-identifikazzjoni diretta jew indiretta tas-suġġett tad-data taqa’, min-natura tagħha stess, ’il barra mill-kamp ta’ applikazzjoni ratione materiae tal-Artikolu 15 tal-GDPR.
63.      Barra minn hekk, għandu jitfakkar li d-dritt ta’ aċċess previst fl-Artikolu 15 tal-GDPR jista’ jkun is-suġġett ta’ ċerti restrizzjonijiet skont l-Artikolu 23(1) ta’ dan ir-regolament, dment li l-kundizzjonijiet stabbiliti fih ikunu osservati. Dan l-aspett huwa s-suġġett tat-tieni domanda preliminari, li ser nindirizza fit-taqsima li ġejja.
4.      Konklużjonijiet intermedjarji
64.      Fid-dawl tal-kunsiderazzjonijiet preċedenti, inqis li r-risposta għall-ewwel domanda għandha tkun li l-Artikolu 15, moqri flimkien mal-punt (7) tal-Artikolu 4 tal-GDPR, għandu jiġi interpretat fis-sens li awtorità superviżorja fis-sens tal-punt (21) tal-Artikolu 4 ta’ dan ir-regolament, meta taqdi dmirijietha fil-kuntest ta’ proċedura ta’ lment ibbażata fuq l-Artikolu 77 tal-imsemmi regolament, tkun qiegħda taġixxi wkoll fil-kwalità ta’ “kontrollur” fis-sens ta’ dan l-istess regolament u, għaldaqstant, dik l-awtorità hija obbligata tiggarantixxi lis-suġġett tad-data d-dritt ta’ aċċess previst fl-Artikolu 15 tal-GDPR.
C.      Fuq it-tieni domanda
1.      Ir-restrizzjonijiet għad-dritt ta’ aċċess għad-data personali elenkati fl-Artikolu 23 tal-GDPR
65.      Permezz tat-tieni domanda tagħha, il-qorti tar-rinviju titlob lill-Qorti tal-Ġustizzja tikkjarifika r-relazzjoni li teżisti bejn l-Artikolu 23 tal-GDPR u dispożizzjoni nazzjonali, bħalma hija l-Artikolu 20(2) tal-BayDSG, li teskludi b’mod ġenerali kull dritt ta’ aċċess jew ta’ konsultazzjoni mal-awtorità superviżorja fil-qasam tal-protezzjoni tad-data. Ir-risposta għal din id-domanda teħtieġ analiżi fil-fond kemm tal-istruttura tal-GDPR, bħalma tirriżulta mill-formulazzjoni, mill-għan u mill-premessi rilevanti tiegħu, kif ukoll tal-implimentazzjoni tal-prinċipji stabbiliti mill-Qorti tal-Ġustizzja dwar ir-restrizzjonijiet li jistgħu jiġu imposti fuq id-drittijiet tas-suġġetti tad-data.
66.      L-Artikolu 23 tal-GDPR jipprevedi li miżuri leġiżlattivi tal-Unjoni jew tal-Istati Membri li għalihom huwa suġġett il-kontrollur jistgħu jirrestrinġu, b’mod partikolari, id-dritt ta’ aċċess iggarantit fl-Artikolu 15 ta’ dan ir-regolament, sakemm tali restrizzjoni tirrispetta l-essenza tad-drittijiet u tal-libertajiet fundamentali u tikkostitwixxi, f’soċjetà demokratika, miżura neċessarja u proporzjonata intiża sabiex tiżgura t-twettiq ta’ wieħed mill-għanijiet leġittimi elenkati fil-punti (a) sa (j) ta’ din id-dispożizzjoni. Madankollu, l-Artikolu 23(1) tal-GDPR ma jistax jiġi interpretat bħala li jawtorizza lil-leġiżlatur nazzjonali jissostitwixxi liberament id-dispożizzjonijiet tal-Artikoli 12 sa 22 tal-imsemmi regolament bis-sistema legali tiegħu stess. Din id-dispożizzjoni tistabbilixxi, għall-kuntrarju, katalogu limitat ta’ klawżoli ta’ ftuħ, abbażi ta’ liema l-leġiżlatur nazzjonali jista’, għar-raġunijiet speċifikament elenkati, jadotta restrizzjonijiet għad-drittijiet tas-suġġetti tad-data, kif ukoll għall-obbligi tal-kontrolluri, liema drittijiet u obbligi joħorġu minn dawn l-artikoli (28).
67.      L-Artikolu 23 tal-GDPR jistabbilixxi għalhekk sistema derogatorja għall-oqsma li huwa jsemmi, u li essenzjalment jikkonċernaw l-eżerċizzju ta’ dmirijiet pubbliċi u t-tfittxija ta’ rekwiżiti imperattivi ta’ interess ġenerali, żewġ oqsma li, meta mqabbla ma’ oqsma oħra ta’ attività, jistgħu jiġġustifikaw restrizzjoni tad-drittijiet tas-suġġetti tad-data. F’dan ir-rigward, għandhom jittieħdu inkunsiderazzjoni l-ewwel u t-tieni sentenza tal-premessa 4 tal-GDPR, li jirrikjedu li jsir ibbilanċjar mad-drittijiet fundamentali inkwistjoni u li jiġi żgurat li l-miżuri restrittivi previsti jkunu ġġustifikati, neċessarji u proporzjonati mad-drittijiet u l-interessi konfliġġenti.
68.      Mid-deċiżjoni tar-rinviju jirriżulta li, minkejja li l-espożizzjoni tal-motivi tal-BayDSG issemmi espressament l-Artikolu 23 tal-GDPR bħala bażi legali tal-Artikolu 20(2) tal-BayDSG, din l-istess espożizzjoni ma tirreferi għal ebda wieħed mill-għanijiet elenkati f’din id-dispożizzjoni. Hija sempliċiment tindika li din ir-regola tirrifletti r-rekwiżit speċifiku mnissel mill-għan marbut mal-informazzjoni miksuba fil-kuntest tal-attivitajiet superviżorji fil-qasam tal-protezzjoni tad-data. Madankollu, il-qorti tar-rinviju tirrileva li, skont l-osservazzjonijiet li għamlet il-Landesamt fil-kuntest tal-proċedura fil-kawża prinċipali, din id-dispożizzjoni għandha fir-realtà żewġ għanijiet prinċipali: minn naħa, iż-żamma tal-kunfidenzjalità tad-data personali ta’ terzi u, min-naħa l-oħra, il-garanzija tal-funzjonament tajjeb kif ukoll tal-indipendenza tal-awtorità ta’ superviżjoni.
69.      Konformement mal-prinċipji li jirregolaw il-mekkaniżmu ta’ kooperazzjoni, stabbilit fl-Artikolu 267 TFUE bejn il-qorti tal-Unjoni u l-qrati nazzjonali – u li skonthom l-interpretazzjoni tad-dritt intern taqa’ esklużivament taħt il-ġurisdizzjoni tal-qrati tar-rinviju (29), u l-Qorti tal-Ġustizzja hija marbuta li tibbaża ruħha fuq il-preċiżazzjonijiet li dawn joffru dwar il-kontenut u l-portata ta’ dak id-dritt (30) – ser nieħu dawn il-punti bħala l-bażi tal-analiżi tiegħi.
2.      Kompatibbiltà mal-Artikolu 23 tal-GDPR ta’ esklużjoni ġenerali tad-dritt ta’ aċċess previst fl-Artikolu 15 ta’ dan ir-regolament
70.      Fil-bqija ta’ dawn il-konklużjonijiet, ser niddetermina jekk esklużjoni ġenerali tad-dritt ta’ aċċess previst fl-Artikolu 15 tal-GDPR tistax tkun iġġustifikata fid-dawl tal-għanijiet leġiżlattivi msemmija iktar ’il fuq. Ser nanalizza wkoll il-kwistjoni dwar jekk tali leġiżlazzjoni tissodisfax ir-rekwiżiti addizzjonali li l-Artikolu 23 tal-GDPR jimponi fuq kull restrizzjoni għal dan id-dritt.
a)      L-eżistenza ta’ għan leġittimu
1)      Il-protezzjoni tal-kunfidenzjalità tad-data personali ta’ terzi
71.      Il-protezzjoni tal-kunfidenzjalità tad-data personali ta’ terzi tikkostitwixxi għan leġittimu fis-sens tal-GDPR, ta’ natura tali li jiġġustifika, bħala prinċipju, restrizzjonijiet għad-drittijiet mogħtija lis-suġġetti tad-data. Fuq dan il-punt, għandu jiġi rrilevat li, fir-rigward tad-dritt ta’ aċċess previst fl-Artikolu 15 tal-GDPR, il-premessa 63 ta’ dan ir-regolament tippreċiża li “[dan] id-dritt ma għandux jaffettwa negattivament id-drittijiet jew il-libertajiet ta’ persuni oħrajn”. Għalhekk, kif jirriżulta mill-premessa 4 tal-imsemmi regolament, qiegħed jittieħed inkunsiderazzjoni l-fatt li d-dritt għall-protezzjoni tad-data personali ma huwiex dritt assolut, peress li għandu jiġi evalwat fid-dawl tal-funzjoni tiegħu fis-soċjetà u għandu jiġi bbilanċjat ma’ drittijiet fundamentali oħra (31).
72.      Kif tikkonferma l-premessa 73 ta’ dan ir-regolament, l-Artikolu 23(1)(i) ta’ dan ir-regolament jirreferi espressament għall-protezzjoni tad-“drittijiet u l-libertajiet ta’ persuni oħrajn”. Konsegwentement, meta tkun involuta data personali ta’ aġenti tal-amministrazzjoni jew ta’ persuni privati, il-leġiżlatur nazzjonali jista’ validament jibbaża ruħu fuq il-fatt li l-iżvelar tagħha kapaċi jippreġudika d-drittijiet tal-personalità u li jkun hemm ħtieġa ta’ protezzjoni li trid tiġi bbilanċjata mad-dritt ta’ aċċess ta’ min jagħmel l-ilment.
2)      Il-protezzjoni tal-funzjonament tajjeb u tal-indipendenza tal-awtoritajiet superviżorji
73.      Il-preżervazzjoni tal-funzjonament tajjeb u tal-indipendenza deċiżjonali tal-awtoritajiet superviżorji tikkostitwixxi wkoll għan leġittimu fis-sens tal-Artikolu 23(1) tal-GDPR. Fil-fatt, il-leġiżlatur tal-Unjoni jagħtihom rwol ċentrali fi ħdan is-sistema Ewropea tal-protezzjoni tad-data, kif jixhdu, minn naħa, l-Artikolu 52 ta’ dan ir-regolament, li jiggarantixxi l-indipendenza sħiħa tagħhom, u, min-naħa l-oħra, il-portata tas-setgħat ta’ investigazzjoni u tal-prerogattivi korrettivi tagħhom previsti fl-Artikoli 57 u 58 tal-imsemmi regolament (32). F’dan ir-rigward, il-Qorti tal-Ġustizzja enfasizzat fil-ġurisprudenza tagħha li l-funzjonament tajjeb ta’ dawn l-awtoritajiet għandu jiġi ggarantit, b’mod partikolari, billi jiġi evitat li dan il-funzjonament jiġi mfixkel bit-tressiq ta’ lmenti manifestament infondati jew eċċessivi, fis-sens tal-Artikolu 57(4) tal-GDPR (33).
74.      Għaldaqstant, u fid-dawl tal-Artikolu 23(1)(h) tal-GDPR, li jippermetti li jiġu adottati restrizzjonijiet meta dawn ikunu neċessarji għall-eżerċizzju tad-dmirijiet ta’ “monitoraġġ” u ta’ “spezzjoni” assoċjati mal-eżerċizzju tal-awtorità pubblika, restrizzjoni tad-dritt ta’ aċċess tista’, bħala prinċipju, tiġi ġġustifikata. Barra minn hekk, fid-dawl tal-analoġija li tista’ tinġibed minnu, għandu jittieħed inkunsiderazzjoni wkoll l-għan stabbilit fl-Artikolu 23(1)(f) tal-GDPR li, kif ippreċiżat fil-premessa 73 ta’ dan ir-regolament, huwa intiż li jiggarantixxi l-indipendenza tal-ġudikatura u l-protezzjoni tal-iżvolġiment tal-proċeduri ġudizzjarji. Ċertament, l-awtoritajiet superviżorji ma jaqgħux taħt is-sistema ġudizzjarja; madankollu, bħall-korpi tal-Istat li huma inkarigati bid-dmir li jinfurzaw il-liġi, dawn l-awtoritajiet għandhom rwol essenzjali fl-iskoperta u fis-sanzjoni tal-ksur tad-dritt fil-qasam tal-protezzjoni tad-data personali. Minn dan isegwi li applikazzjoni b’analoġija ta’ din id-dispożizzjoni tista’, fi kwalunkwe każ, tiġi kkunsidrata.
3)      Il-protezzjoni tas-sigurtà pubblika
75.      Għal raġunijiet ta’ kompletezza, għandu jiġi rrilevat li d-deċiżjoni tar-rinviju ssemmi wkoll il-protezzjoni tas-sigurtà pubblika, fis-sens tal-Artikolu 23(1)(c) tal-GDPR, bħala raġuni potenzjali ta’ ġustifikazzjoni, iżda mingħajr ma tipprovdi informazzjoni iktar preċiża. Madankollu, għandha tiġi aċċettata l-evalwazzjoni tal-qorti tar-rinviju u tal-Kummissjoni, li tgħid li tali invokazzjoni ma tidhirx fondata. Fil-fatt, jidher b’mod manifest li tali restrizzjoni ma hijiex rilevanti meta tittieħed fil-kuntest tal-fatti tal-kawża prinċipali kif ippreżentati mill-qorti tar-rinviju. Konsegwentement, dan il-motiv ta’ ġustifikazzjoni ser jitħalla barra mill-analiżi li ġejja.
b)      Ir-rekwiżiti imposti mill-qafas regolatorju tal-GDPR
76.      Minn naħa, għandu jiġi kkonstatat li l-interess marbut mal-kunfidenzjalità tad-data personali ta’ terzi huwa debitament meħud inkunsiderazzjoni minn leġiżlazzjoni nazzjonali bħall-Artikolu 20(2) tal-BayDSG, sa fejn din tipprojbixxi b’mod kategoriku l-komunikazzjoni ta’ tali data. Barra minn hekk, ma huwiex eskluż li l-assenza ta’ kooperazzjoni tal-awtoritajiet superviżorji meta jeżaminaw talbiet għal aċċess tista’ twassal għat-trasferiment, lejn oqsma oħra ta’ attività, tar-riżorsi umani u materjali li jista’, f’ċerti ċirkustanzi, iwassal għal ċertu titjib fl-effikaċja tal-awtoritajiet.
77.      Min-naħa l-oħra, tali ċirkustanzi jqajmu dubji dwar il-konformità tagħhom mal-qafas normattiv stabbilit mil-leġiżlatur tal-Unjoni waqt l-adozzjoni tal-GDPR, u b’mod partikolari mal-istruttura ġenerali ta’ dan ir-regolament, li hija bbażata fuq bilanċ bejn diversi interessi: it-trasparenza fl-ipproċessar tad-data, iż-żamma tal-kunfidenzjalità meta din tkun meħtieġa u l-protezzjoni effettiva ta’ dawn l-interessi mill-awtoritajiet superviżorji. Leġiżlazzjoni nazzjonali li ma tirriflettix b’mod adegwat l-ibbilanċjar ta’ dawn l-interessi ma tistax, għaldaqstant, tissodisfa r-rekwiżiti tal-Artikolu 23(1) tal-GDPR. L-istess raġunament japplika meta jidher li l-istess għanijiet imfittxija jistgħu raġonevolment jintlaħqu bl-adozzjoni ta’ mezzi daqstant effikaċi iżda li jippreġudikaw inqas id-drittijiet fundamentali (34).
78.      F’dan ir-rigward, għandu jitfakkar li l-GDPR stabbilixxa d-dritt ta’ aċċess previst fl-Artikolu 15 tiegħu bħala element essenzjali tal-prinċipju ta’ trasparenza. Din il-klassifikazzjoni tirriżulta b’mod ċar mill-premessa 63 ta’ dan ir-regolament, li tgħid li s-suġġett tad-data għandu jkun jista’ “ikun jaf dwar [l-]ipproċessar””, u dan sabiex tiġi ggarantita l-effettività tad-drittijiet mogħtija lilu mill-imsemmi regolament. Il-Qorti tal-Ġustizzja kkonfermat diversi drabi din l-interpretazzjoni billi rrilevat li d-dritt ta’ aċċess jokkupa post ċentrali fl-istruttura ġenerali tas-sistema stabbilita mill-istess regolament. Dispożizzjoni nazzjonali li ċċaħħad lis-suġġett tad-data minn dan id-dritt b’mod ġenerali u mingħajr ma tagħmel ebda distinzjoni tippreġudika, għalhekk, il-qalba stess tas-sistema ta’ protezzjoni stabbilita mil-leġiżlatur tal-Unjoni.
79.      Għalkemm huwa minnu li l-GDPR jawtorizza, fl-Artikolu 23 tiegħu, restrizzjonijiet għad-drittijiet tas-suġġetti tad-data, inkluż għad-dritt ta’ aċċess, għal raġunijiet ta’ interess pubbliku, fl-istess ħin huwa jeżiġi li tali restrizzjonijiet jistrieħu fuq bażi legali li tippreżenta livell suffiċjenti ta’ preċiżjoni. Din il-bażi legali għandha tiddefinixxi b’mod ċar in-natura, il-portata u l-limiti tar-restrizzjoni kif ukoll is-salvagwardji meħtieġa għall-prevenzjoni tar-riskji ta’ abbuż. F’dan ir-rigward, il-premessa 41 ta’ dan ir-regolament tippreċiża f’dan is-sens li kull restrizzjoni għal dritt iggarantit mill-imsemmi regolament għandha tkun “ċara u preċiża” u “prevedibbli” għas-suġġett tad-data, u li dan tal-aħħar għandu jkun f’pożizzjoni li jidentifika l-portata tar-restrizzjonijiet li jistgħu jsiru għad-drittijiet tiegħu (35). Dispożizzjoni nazzjonali li tipprevedi esklużjoni assoluta tad-dritt ta’ aċċess mingħajr ma tiddetermina l-kamp ta’ applikazzjoni materjali jew personali tagħha, u li lanqas ma tipprevedi miżuri ta’ salvagwardja, ma tistax tissodisfa r-rekwiżiti hekk imposti.
80.      Barra minn hekk, il-premessa 60 tal-GDPR tfakkar li t-trasparenza tikkostitwixxi prinċipju fundamentali tal-ipproċessar ta’ data personali, u dan japplika wkoll għall-attivitajiet tal-awtoritajiet pubbliċi. Filwaqt li ċerta informazzjoni tista’ titneħħa temporanjament mill-komunikazzjonijiet magħmula matul il-proċedura ta’ lment, b’mod partikolari sabiex ma jiġux kompromessi l-prevenzjoni, l-iskoperta jew l-investigazzjoni ta’ reati (36), tali tneħħija għandha tibqa’ strettament neċessarja u proporzjonata, u ma għandhiex twassal sabiex it-trasparenza dovuta lis-suġġett tad-data tiġi kompletament innewtralizzata. Għaldaqstant, dispożizzjoni nazzjonali li teskludi kull forma ta’ aċċess, mingħajr ma tiddistingwi bejn data personali u dokumenti interni, tmur kontra l-istruttura tal-GDPR.
81.      Il-Qorti tal-Ġustizzja ddeċidiet ukoll, fid-dawl tal-Artikolu 52(1) tal-Karta, li r-restrizzjonijiet li jistgħu jsiru għal dritt fundamentali għandhom ikunu konformi mhux biss mal-prinċipji ta’ legalità u ta’ proporzjonalità, iżda wkoll mal-prinċipju li jimponi l-osservanza tal-“kontenut essenzjali” tad-dritt inkwistjoni (37). Il-premessa 4 tal-GDPR tafferma mill-ġdid li l-protezzjoni tad-data personali tikkostitwixxi dritt fundamentali, stabbilit fl-Artikolu 8 tal-Karta, u li dan jista’ jiġi limitat biss jekk jiġi osservat il-prinċipju ta’ proporzjonalità. Madankollu, l-esklużjoni totali tad-dritt ta’ aċċess twassal sabiex iċċaħħad lis-suġġett tad-data mill-kontenut essenzjali ta’ dan id-dritt, billi tipprekludih milli jikkontrolla, anki minimament, l-ipproċessar li għalih jiġi suġġett.
82.      Il-premessa 75 tal-GDPR tenfasizza, b’mod komplementari, li l-assenza jew l-insuffiċjenza ta’ trasparenza jikkostitwixxu, fihom infushom, riskju li jista’ jaffettwa serjament id-drittijiet u l-libertajiet tas-suġġetti tad-data. Leġiżlazzjoni li ċċaħħad kompletament lis-suġġett tad-data mill-possibbiltà li jsir jaf bl-ipproċessar imwettaq fir-rigward tiegħu toħloq is-sitwazzjoni ta’ riskju li l-leġiżlatur kellu preċiżament l-intenzjoni li jipprevjeni.
83.      Għandu jingħad ukoll li l-premessa 129 tal-GDPR tiddefinixxi l-awtoritajiet superviżorji bħala korpi indipendenti, responsabbli għall-infurzar ta’ dan ir-regolament u għall-protezzjoni tad-drittijiet tas-suġġetti tad-data. Madankollu, din il-funzjoni, flimkien mal-post li jokkupaw fil-mekkaniżmu ta’ superviżjoni stabbilit mill-GDPR, ma timplikax li dawn l-awtoritajiet huma eżentati mill-obbligi kollha li jirriżultaw minn dan ir-regolament. Għall-kuntrarju, il-GDPR joħloq qafas legali koerenti li fih l-awtoritajiet superviżorji, fl-eżerċizzju tal-prerogattivi mogħtija lilhom, jibqgħu kompletament suġġetti għar-regoli li huwa jistabbilixxi, b’mod partikolari dawk relatati mad-drittijiet tas-suġġetti tad-data. Dispożizzjoni nazzjonali li teskludi kompletament kwalunkwe komunikazzjoni tad-data li tirrigwarda s-suġġett tad-data tikkomprometti dan il-bilanċ u tagħmel ħsara lir-rekwiżit ta’ responsabbiltà impost fuq l-awtoritajiet superviżorji.
84.      Barra minn hekk, u skont dak mfakkar fil-premessa 10 ta’ dan ir-regolament, esklużjoni assoluta tad-dritt ta’ aċċess tidher li hija inkompatibbli mal-għan imfittex mill-GDPR li jiġi ggarantit livell għoli ta’ protezzjoni tad-data għall-benefiċċju tal-persuni fiżiċi (38). Il-livell ta’ protezzjoni hekk previst jistrieħ b’mod kruċjali fuq it-trasparenza u fuq il-possibbiltà, mogħtija lis-suġġett tad-data, li jikkontrolla l-operazzjonijiet ta’ pproċessar li jikkonċernawh. F’dan ir-rigward, id-dritt ta’ aċċess previst fl-Artikolu 15 tal-imsemmi regolament huwa element indispensabbli, peress li jikkostitwixxi l-bażi għall-eżerċizzju effettiv tad-drittijiet kollha l-oħra tas-suġġetti tad-data (39). L-esklużjoni ta’ dan id-dritt b’mod ġenerali twassal sabiex ċertu pproċessar jaħrab minn kull forma ta’ kontroll individwali u, b’hekk, tikkomprometti l-effettività tal-livell għoli ta’ protezzjoni mixtieq mil-leġiżlatur tal-Unjoni.
85.      Fir-rigward tal-għan intiż li jipproteġi d-drittijiet u l-libertajiet ta’ terzi, invokat f’din il-kawża sabiex jiġġustifika restrizzjoni tad-dritt ta’ aċċess, għandu jitfakkar li l-Qorti tal-Ġustizzja ddeċidiet li f’każ ta’ kunflitt bejn id-dritt ta’ aċċess u d-drittijiet jew il-libertajiet ta’ persuni oħra, l-awtoritajiet għandhom jibbilanċjaw l-interessi inkwistjoni. Mill-premessa 63 tal-GDPR jirriżulta espressament li dan l-ibbilanċjar fl-ebda każ ma jista’ jiġġustifika ċaħda totali tal-aċċess (40). Modalitajiet adattati, bħal ma huma l-komunikazzjoni parzjali, l-oskurament jew l-anonimizzazzjoni tad-data, il-protezzjoni tal-identità tal-persuni li jirrapportaw, it-trattament differenzjat skont il-kategoriji ta’ dokumenti, jew il-komunikazzjoni ta’ informazzjoni strutturata li ma tkunx individwalizzata, jippermettu li jiġu rrikonċiljati l-interessi involuti mingħajr ma jitneħħa kompletament id-dritt ta’ aċċess.
86.      Fir-rigward tan-neċessità, invokata mil-Landesamt, li jiġi żgurat l-eżerċizzju indipendenti u effikaċi tal-kompiti tal-awtoritajiet superviżorji, ma jidhirx kif l-eżerċizzju tad-dritt ta’ aċċess previst fl-Artikolu 15 tal-GDPR ikun ta’ natura li jikkomprometti dan l-għan. Għandha tiġi adottata l-evalwazzjoni tal-qorti tar-rinviju fejn tgħid li l-indipendenza tal-awtoritajiet superviżorji bl-ebda mod ma timplika li l-legalità tal-ipproċessar ta’ data personali li huma jimplimentaw għandha toħroġ ’il barra mill-kontroll tas-suġġett tad-data. Għaldaqstant, għandu jiġi miċħud ir-riskju potenzjali, imressaq mil-Landesamt, li tiġi eżerċitata “influwenza” fuqha jekk jingħata aċċess għall-informazzjoni.
87.      Barra minn hekk, kif ġie espost f’dawn il-konklużjonijiet, l-Artikolu 15 tal-GDPR ma jistabbilixxix dritt ġenerali ta’ aċċess għall-fajl amministrattiv (41), bil-konsegwenza li l-piż amministrattiv li jirriżulta minn dan għandu jibqa’ limitat. Indipendentement minn dan kollu, għandu jiġi rrilevat li dan ir-regolament iqiegħed għad-dispożizzjoni tal-awtoritajiet superviżorji, permezz tal-Artikolu 12(5) tiegħu, strument xieraq sabiex jiġu indirizzati t-talbiet abbużivi jew eċċessivi (42). Huma għandhom ukoll is-setgħa li jadottaw diversi miżuri ta’ ġestjoni, bħal per eżempju, li jastjenu temporanjament milli jipprovdu informazzjoni waqt li tkun għaddejja l-proċedura, li jeskludu ċerti dokumenti interni mill-iżvelar, li jiddistingwu bejn tipi differenti ta’ proċeduri, li jikkomunikaw biss informazzjoni dwar stadji tal-proċedura li diġà ntemmu jew li jistabbilixxu mekkaniżmi organizzattivi li jiżguraw li l-proċessi interni ma jiġux imfixkla minn talbiet għal aċċess. Tali miżuri jippermettu li jiġi żgurat il-funzjonament tajjeb tal-awtoritajiet superviżorji mingħajr ma jiġi kompletament eskluż id-dritt ta’ aċċess previst fl-Artikolu 15 tal-GDPR.
88.      Huwa importanti wkoll li jitfakkar li l-effikaċja tal-awtoritajiet superviżorji tiddependi b’mod determinanti fuq l-għotja ta’ mezzi adegwati, jiġifieri r-riżorsi umani, tekniċi u finanzjarji kif ukoll il-bini u l-infrastruttura meħtieġa għall-eżerċizzju effettiv tal-kompiti u tas-setgħat tagħhom (43). L-Artikolu 52(4) tal-GDPR jirrikjedi b’mod espliċitu li l-Istati Membri jiżguraw tali għotja. Minn din il-perspettiva, il-kwistjoni tal-funzjonalità tal-awtoritajiet superviżorji ma tistax tiġi ridotta biss għan-numru ta’ talbiet għal aċċess li jirċievu abbażi tal-Artikolu 15 tal-GDPR. Għotja insuffiċjenti ta’ riżorsi lill-awtoritajiet bl-ebda mod ma għandha twassal għal livell iktar baxx ta’ protezzjoni tad-data personali.
89.      Mid-deċiżjoni tar-rinviju jirriżulta li l-Artikolu 20(2) tal-BayDSG huwa uniku fl-ordinament ġuridiku Ġermaniż, peress li ebda Land ieħor ma jipprevedi esklużjoni simili tad-dritt ta’ aċċess. In-natura iżolata ta’ norma f’ordinament ġuridiku partikolari tikkostitwixxi indizju serju li restrizzjoni ta’ din il-portata ma għandhiex titqies bħala neċessarja jew proporzjonali fis-sens tal-Artikolu 23(1) tal-GDPR. Peress li l-awtoritajiet superviżorji l-oħra kollha jeżerċitaw il-kompiti tagħhom mingħajr ma jħossu l-bżonn li jirrikorru għal ċaħda ġenerali tad-drittijiet tas-suġġetti tad-data, jidher diffiċli li wieħed isostni li miżura bħal din hija indispensabbli għall-funzjonament tajjeb tal-awtorità jew għall-protezzjoni tad-drittijiet ta’ terzi. Leġiżlazzjoni speċifika għal Land wieħed, li tirrestrinġi b’mod ħafna iktar b’saħħtu d-drittijiet iggarantiti mill-GDPR meta kkumparata ma’ leġiżlazzjonijiet adottati f’partijiet oħra tat-territorju nazzjonali, ma tidhirx li tissodisfa r-rekwiżiti ta’ koerenza, ta’ neċessità u ta’ proporzjonalità li jirriżultaw mid-dritt tal-Unjoni.
90.      Għaldaqstant, għandu jiġi kkonstatat li ż-żewġ għanijiet invokati – il-protezzjoni tad-drittijiet ta’ terzi u l-ħarsien tal-eżekuzzjoni tajba tal-kompiti tal-awtoritajiet superviżorji – jistgħu jintlaħqu bl-użu ta’ miżuri inqas restrittivi, differenzjati u konformi mad-dritt tal-Unjoni, u dan mingħajr ma jitneħħa l-kontenut essenzjali tad-dritt ta’ aċċess, tiġi eliminata t-trasparenza meħtieġa fir-rigward tas-suġġett tad-data u tiġi ostakolata l-possibbiltà li wieħed jistħarreġ il-legalità tal-ipproċessar imwettaq.
91.      Aspett kritiku ieħor jinsab fil-fatt li l-Artikolu 20(2) tal-BayDSG ma jippermettix li jiġi identifikat l-għan imfittex mil-leġiżlatur nazzjonali. Kif jirriżulta mill-indikazzjonijiet ipprovduti mill-qorti tar-rinviju, ix-xogħol preparatorju sempliċiment isemmi l-Artikolu 23 tal-GDPR bħala bażi legali, mingħajr madankollu ma jirreferi għal wieħed mill-għanijiet elenkati f’din id-dispożizzjoni. Issa, dan l-Artikolu 23 jeżiġi, bħala kundizzjoni neċessarja għal stħarriġ effettiv tal-osservanza tal-prinċipji ta’ neċessità u ta’ proporzjonalità, li l-għan tar-restrizzjoni jirriżulta b’mod ċar mid-dispożizzjoni stess.
92.      Dan ir-rekwiżit ta’ ċarezza ma jistax jiġi rrimedjat permezz ta’ ġustifikazzjonijiet imressqa ex post minn parti fil-proċedura għal deċiżjoni preliminari skont l-Artikolu 267 TFUE, speċjalment meta dik il-parti tkun il-persuna li qiegħda tibbenefika mir-restrizzjoni inkwistjoni. Li kieku tiġi aċċettata tali possibbiltà jkun ifisser li r-rieda tal-leġiżlatur, li huwa responsabbli demokratikament, tkun tista’ tiġi ssostitwita b’kostruzzjoni argumentattiva żviluppata f’kuntest kontenzjuż, li jkun inkompatibbli mar-rekwiżiti ta’ prevedibbiltà, ta’ trasparenza regolatorja u ta’ ċertezza legali li jirriżultaw mill-Artikolu 23(1) u (2) tal-GDPR.
93.      F’dawn iċ-ċirkustanzi, għandu jiġi konkluż li esklużjoni ġenerali u indifferenzjata tad-dritt ta’ aċċess, bħal dik prevista fl-Artikolu 20(2) tal-BayDSG, ma hijiex konformi mar-rekwiżiti tal-Artikolu 23 tal-GDPR, u dan peress li ma tinkludi ebda wieħed mill-elementi espressament meħtieġa mill-paragrafu 2 tiegħu, u lanqas ma tosserva l-istruttura u l-għan ta’ dan ir-regolament kif jirriżultaw mill-premessi rilevanti tiegħu. Dispożizzjoni nazzjonali bħal din hija sproporzjonata, insuffiċjentement preċiża u ta’ natura tali li tneħħi l-kontenut essenzjali tad-dritt ta’ aċċess.
3.      Konklużjoni intermedjarja
94.      Għar-raġunijiet esposti iktar ’il fuq, inqis li l-Artikolu 23 tal-GDPR għandu jiġi interpretat fis-sens li jipprekludi leġiżlazzjoni nazzjonali bħall-Artikolu 20(2) tal-BayDSG, sa fejn din teskludi, bħala tali, l-eżistenza ta’ dritt ta’ aċċess ibbażat fuq l-Artikolu 15 ta’ dan ir-regolament, fil-konfront ta’ awtorità superviżorja.
VI.    Konklużjoni
95.      Fid-dawl tal-kunsiderazzjonijiet preċedenti, nipproponi li l-Qorti tal-Ġustizzja tirrispondi kif ġej għad-domandi preliminari magħmula mill-Bayerisches Verwaltungsgericht Ansbach (il-Qorti Amministrattiva tal-Bavarja ta’ Ansbach, il-Ġermanja):
1)      L-Artikolu 15, moqri flimkien mal-punt 7 tal-Artikolu 4 tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data),
għandu jiġi interpretat fis-sens li:
awtorità superviżorja fis-sens tal-punt (21) tal-Artikolu 4 ta’ dan ir-regolament, meta taqdi dmirijietha fil-kuntest ta’ proċedura ta’ lment ibbażata fuq l-Artikolu 77 tal-imsemmi regolament, tkun qiegħda taġixxi wkoll fil-kwalità ta’ “kontrollur” fis-sens tal-istess regolament u, għaldaqstant, dik l-awtorità hija obbligata tiggarantixxi lis-suġġett tad-data d-dritt ta’ aċċess previst fl-Artikolu 15 tal-istess Regolament 2016/679.
2)      L-Artikolu 23 tar-Regolament 2016/679
għandu jiġi interpretat fis-sens li:
jipprekludi dispożizzjoni nazzjonali, bħal dik prevista fl-Artikolu 20(2) tal-Att dwar il-Protezzjoni tad-Data tal-Bavarja, li teskludi, bħala tali, l-eżistenza ta’ dritt ta’ aċċess ibbażat fuq l-Artikolu 15 ta’ dan ir-regolament, fil-konfront tal-awtorità ta’ protezzjoni tad-data tal-Bavarja.
1      Lingwa oriġinali: il-Franċiż.
2      ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2.
3      Ara l-punti 24 et seq ta’ dawn il-konklużjonijiet.
4      Ara l-punti 65 et seq ta’ dawn il-konklużjonijiet.
5      Ara s-sentenza tad‑29 ta’ Lulju 2019, Fashion ID (C‑40/17, EU:C:2019:629, punti 65 u 66).
6      Il-Qorti tal-Ġustizzja ddeċidiet ukoll li persuna fiżika jew ġuridika li, għal finijiet speċifiċi għaliha, teżerċita influwenza fuq l-ipproċessar ta’ data personali u li minħabba f’hekk tipparteċipa fid-determinazzjoni tal-finijiet u tal-mezzi ta’ dan l-ipproċessar tista’ titqies bħala “kontrollur” (ara s-sentenza tal‑10 ta’ Lulju 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551, punt 68) u tad‑29 ta’ Lulju 2019, Fashion ID (C‑40/17, EU:C:2019:629, punt 68)).
7      Il-GDPR ma jiddefinixxix b’mod espliċitu x’inhu “ilment”, iżda l-formulazzjoni tal-Artikolu 77 tagħtina indikazzjoni preliminari ta’ dan. Skont il-Linji Gwida tal-Bord Ewropew għall-Protezzjoni tad-Data (BEPD), ilment jikkorrispondi għal sottomissjoni lil awtorità superviżorja magħmula minn persuna fiżika identifikata – jew minn korp li jissodisfa l-kundizzjonijiet tal-Artikolu 80 – li tqis li l-ipproċessar tad-data personali tagħha jikkostitwixxi ksur tal-GDPR. Il-BEPD jippreċiża li dan il-kunċett ma huwiex limitat għall-ksur tad-drittijiet elenkati fil-Kapitolu III, iżda jkopri b’mod iktar wiesa’ kull ksur tar-regolament li jirriżulta mill-ipproċessar tad-data personali ta’ min jagħmel l-ilment (BEPD, Internal Document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints, adottat fil‑15 ta’ Diċembru 2020, p. 3).
8      Ara s-sentenzi tas‑7 ta’ Diċembru 2023, SCHUFA Holding (Rilaxx ta’ dejn li ma tħallasx lura) (C‑26/22 u C‑64/22, EU:C:2023:958, punt 58), tas‑26 ta’ Settembru 2024, Land Hessen (Obbligu ta’ azzjoni mill-awtorità tal-protezzjoni tad-data) (C‑768/21, EU:C:2024:785, punt 35), u tad‑9 ta’ Jannar 2025, Österreichische Datenschutzbehörde (Talbiet eċċessivi) (C‑416/23, EU:C:2025:3, punt 39).
9      Ara s-sentenza tal-Qorti tal-EFTA tal‑10 ta’ Diċembru 2020, Adpublisher AG vs J & K (Kawżi Magħquda E‑11/19 u E‑12/19, punt 45).
10      Ara s-sentenzi tas‑6 ta’ Ottubru 2015, Schrems (C‑362/14, EU:C:2015:650, punt 63), tas‑16 ta’ Lulju 2020, Facebook Ireland u Schrems (C‑311/18, EU:C:2020:559, punt 107), tas‑7 ta’ Diċembru 2023, SCHUFA Holding (Rilaxx ta’ dejn li ma tħallasx lura) (C‑26/22 u C‑64/22, EU:C:2023:958, punt 56), u tas‑26 ta’ Settembru 2024, Land Hessen (Obbligu ta’ azzjoni mill-awtorità tal-protezzjoni tad-data) (C‑768/21, EU:C:2024:785, punt 32).
11      F’dan il-kuntest, għandhom jitfakkru l-konklużjonijiet tal-Avukat Ġenerali Pikamäe fil-kawżi konġunti SCHUFA Holding (Rilaxx ta’ dejn li ma tħallasx lura) (C‑26/22 u C‑64/22, EU:C:2023:222, punt 42), li fihom enfasizza li l-leġiżlatur tal-Unjoni ma kellux l-intenzjoni li jassimila l-proċedura ta’ lment ma’ sempliċi mekkaniżmu ta’ “petizzjoni”. Għall-kuntrarju, l-għan imfittex kien li jinħoloq mekkaniżmu li jista’ jissalvagwardja b’mod effikaċi d-drittijiet u l-interessi tal-persuni li jressqu l-ilmenti. B’mod partikolari, l-obbligi stabbiliti fl-Artikolu 57(1)(f) tal-GDPR, li ġew imposti fuq l-awtorità superviżorja fil-kuntest tat-trattament ta’ dawn l-ilmenti u li jaqgħu taħt il-prinċipju ta’ “amministrazzjoni tajba”, juru r-rieda tal-leġiżlatur li jagħti lil din il-proċedura n-natura ta’ “rimedju amministrattiv ġenwin”.
12      Ara s-sentenza tas‑26 ta’ Settembru 2024, Land Hessen (Obbligu ta’ azzjoni mill-awtorità tal-protezzjoni tad-data) (C‑768/21, EU:C:2024:785, punt 42).
13      Ara s-sentenzi tas‑7 ta’ Diċembru 2023, SCHUFA Holding (Rilaxx ta’ dejn li ma tħallasx lura) (C‑26/22 u C‑64/22, EU:C:2023:958, punt 70), u tas‑26 ta’ Settembru 2024, Land Hessen (Obbligu ta’ azzjoni mill-awtorità tal-protezzjoni tad-data) (C‑768/21, EU:C:2024:785, punt 49).
14      Ma jeżistux dispożizzjonijiet uniformi fid-dritt tal-Unjoni li jirregolaw it-trattament konkret tal-ilmenti mill-awtoritajiet superviżorji. Għaldaqstant, il-prattika amministrattiva tvarja bejn Stat Membru u ieħor. Madankollu, il-BEPD, permezz ta’ linji gwida u l-iżvilupp ta’ “prattiki tajba”, jagħmel ħiltu sabiex jiżgura ċertu livell ta’ armonizzazzjoni fl-attività ta’ superviżjoni kif ukoll fil-modalitajiet proċedurali użati, speċjalment fir-rigward tal-ammissibbiltà u l-arkivjar tal-ilmenti, l-ikkonstatar ta’ soluzzjonijiet bonarji, eċċ. (ara, f’dan is-sens, BEPD, Internal document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints, ippublikat fil‑15 ta’ Diċembru 2020).
15      Kif irrilevat il-Qorti tal-EFTA fis-sentenza tagħha tal‑10 ta’ Diċembru 2020, Adpublisher AG vs J & K (Kawżi Magħquda E‑11/19 u E‑12/19, punt 60), l-awtorità superviżorja għandha s-setgħa, skont l-Artikolu 57(1)(h) tal-GDPR, li tiftaħ investigazzjonijiet ex officio. Għaldaqstant, fil-kuntest tal-eżami ta’ lment, hija tista’ tiddeċiedi dwar pretensjonijiet oħra jew dwar suġġett ieħor tat-tilwima minbarra dawk invokati mill-awtur tal-ilment. L-effikaċja tal-proċedura tal-ilmenti tirrikjedi li l-awtorità superviżorja ma tkunx limitata, fl-eżerċizzju tas-setgħat investigattivi tagħha, mill-mod li bih min jagħmel l-ilment ikun ifformula il-punti legali rilevanti fl-ilment tiegħu.
16      L-awtoritajiet superviżorji jidhru li jittrattaw l-ilmenti jew fuq il-bażi tad-dispożizzjonijiet tad-dritt nazzjonali jew skont il-marġni ta’ evalwazzjoni tagħhom stess. Jidher ukoll li hemm differenzi fil-mod kif jiġu ttrattati l-ilmenti skont kriterji prammatiċi jew meta tintuża proċedura simplifikata (ara, f’dan ir-rigward, G.González Fuster et, “The right to lodge a data protection complaint: OK, but then what? – An empirical study of current practices under the GDPR”, Access Now, Open Universiteit, 2022, p. 30).
17      Ara s-sentenza tal‑11 ta’ Jannar 2024, État belge (Data pproċessata minn ġurnal uffiċjali) (C‑231/22, EU:C:2024:7, punt 39) u tas‑27 ta’ Frar 2025, Amt der Tiroler Landesregierung (C‑638/23, EU:C:2025:127, punt 49).
18      Fuq talba tal-Qorti tal-Ġustizzja, il-Landesamt esponiet il-prassi amministrattiva tagħha fil-qasam tat-trattament tal-ilmenti. F’dan ir-rigward, hija ppreċiżat li l-awturi tagħhom jistgħu jindirizzaw talbiet, inkluż b’mezzi elettroniċi, lill-membri tal-persunal kompetenti tal-Landesamt u jitolbu aċċess għall-fajl. Minn din l-espożizzjoni jirriżulta b’mod ċar li l-modalitajiet li skonthom il-Landesamt tittratta l-ilmenti, b’mod partikolari fir-rigward tad-data miġbura, tal-miżuri organizzattivi li jadotta u tal-investigazzjonijiet li jwettaq, jaqgħu taħt l-awtonomija mogħtija lilha mill-GDPR fl-eżerċizzju tal-kompiti tagħha.
19      J.‑P. Möhle, “Verantwortlichkeit als integrierendes Konzept im Datenschutzrecht”, Die Öffentliche Verwaltung, 2023, Nru 3, p. 108, jispjega li hija biss il-persuna li effettivament tkun f’pożizzjoni li teżerċita influwenza li tista’ tkun meqjusa bħala marbuta bl-obbligi li jirriżultaw mid-dritt tal-protezzjoni tad-data (bħall-obbligi ta’ informazzjoni, ta’ responsabbiltà jew ta’ kooperazzjoni), jiġifieri dik li tista’ tipprevjeni li jsir ksur tar-regoli ta’ protezzjoni tad-data fil-futur. Fil-fehma tiegħi, ma hemm l-ebda dubju li, fil-kuntest ta’ proċedura ta’ lment, hija biss l-awtorità superviżorja li tista’ tissodisfa din id-definizzjoni.
20      Issa, kif iddeċidiet il-Qorti tal-Ġustizzja, l-għan imfittex mid-definizzjoni wiesgħa tal-kunċett ta’ “kontrollur” huwa preċiżament li tiġi żgurata protezzjoni effikaċi u kompleta tas-suġġetti tad-data (ara s-sentenzi tat‑13 ta’ Mejju 2014, Google Spain u Google (C‑131/12, EU:C:2014:317, punt 34) tad‑29 ta’ Lulju 2019, Fashion ID (C‑40/17, EU:C:2019:629, punt 66) u tal‑5 ta’ Ġunju 2018, Wirtschaftsakademie SchleswigHolstein (C‑210/16, EU:C:2018:388, punt 28)).
21      Ara, f’dan is-sens, J. Kunert, “Vorabentscheidungsersuchen an den EuGH zur Aufsichtsbehörde als Verantwortlicher und zur Rechtmäßigkeit des Art. 20 II BayDSG”, GRUR-Prax, 2025, Nru 9, p. 324.
22      Ara s-sentenza tat‑22 ta’ Ġunju 2023, Pankki S (C‑579/21, EU:C:2023:501, punt 50).
23      Ara s-sentenza tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF (C‑487/21, EU:C:2023:369, punti 33 u 34).
24      Ara s-sentenza tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF (C‑487/21, EU:C:2023:369, punt 41).
25      Ara s-sentenzi tal‑20 ta’ Diċembru 2017, Nowak (C‑434/16, EU:C:2017:994, punt 57), tat‑12 ta’ Jannar 2023, Österreichische Post (Informazzjoni dwar id-destinatarji tad-data personali) (C‑154/21, EU:C:2023:3, punt 38) u tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF (C‑487/21, EU:C:2023:369, punt 35).
26      G. Zanfir-Fortuna, “Article 15. Right of access by the data subject”, f’C. Kuner, L. A. Byform u C. Docksey, (edituri), The EU General Data Protection Regulation (GDPR): A Commentary, Oxford 2020, p. 452, jenfasizzaw li għandha ssir distinzjoni bejn id-dritt ta’ aċċess għad-data personali, stabbilit fl-Artikolu 15 tal-GDPR, u d-dritt ta’ aċċess għall-informazzjoni pubblika. Dawn id-drittijiet huma bbażati fuq għanijiet normattivi differenti: l-ewwel wieħed huwa intiż li jiżgura t-trasparenza favur il-persuna li d-data tagħha tkun inġabret u tkun ġiet pproċessata minn kontrollur (trasparenza inter partes), filwaqt li t-tieni wieħed huwa intiż li jiżgura t-trasparenza, għall-benefiċċju tal-pubbliku, ta’ informazzjoni li hija ta’ valur jew ta’ interess pubbliku (trasparenza erga omnes).
27      N. Gumzej, “DPA powers toward effective and transparent GDPR enforcement: the case of Croatia”, Juridical Tribune – Review of Comparative and International Law, Vol. 13, Nru 2 (2023), p. 210, tirreferi għal-liġijiet fis-seħħ dwar il-libertà ta’ aċċess għall-informazzjoni.
28      F. Schemmer, “Der Auskunftsanspruch der DS-GVO – Umfang des datenschutzrechtlichen Auskunftsanspruchs gem. Art. 15 DS-GVO und Grenzen”, Zeitschrift für das gesamte Informationsrecht, 2024, Nru 5, p. 210.
29      Ara s-sentenzi tas‑6 ta’ Marzu 2007, Placanica et (C‑338/04, C‑359/04 u C‑360/04, EU:C:2007:133, punt 34) u tal‑21 ta’ Ġunju 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491, punt 240).
30      Ara s-sentenzi tal‑25 ta’ Ottubru 2001, Ambulanz Glöckner (C‑475/99, EU:C:2001:577, punt 10) u tal‑14 ta’ Novembru 2024, S. (Bidla tal-kulleġġ ġudikanti) (C‑197/23, EU:C:2024:956, punt 43).
31      Ara s-sentenzi tas‑16 ta’ Lulju 2020, Facebook Ireland u Schrems (C‑311/18, EU:C:2020:559, punt 172), tat‑12 ta’ Jannar 2023, Österreichische Post (Informazzjoni dwar id-destinatarji tad-data personali) (C‑154/21, EU:C:2023:3, punt 47) u tal‑21 ta’ Marzu 2024, Landeshauptstadt Wiesbaden (C‑61/22, EU:C:2024:251, punt 75).
32      A. Giurgiu u T. Larsen “Roles and Powers of National Data Protection Authorities – Moving from Directive 95/46/EC to the GDPR: Stronger and More European DPAs as Guardians of Consistency?”, European Data Protection Law Review, Nru 3 (2016), p. 352, iqisu lill-awtoritajiet superviżorji bħala l-garanti prinċipali tad-drittijiet tal-individwi, u dan minħabba r-rwol ċentrali tagħhom fis-superviżjoni u fl-infurzar tar-regoli dwar il-protezzjoni tad-data previsti mill-GDPR. Huma jenfasizzaw kemm hu importanti li dawn l-awtoritajiet jingħataw riżorsi suffiċjenti, kemm mil-lat ta’ persunal kif ukoll mil-lat ta’ mezzi finanzjarji, sabiex ikunu jistgħu jwettqu l-kompiti tagħhom b’mod effikaċi.
33      Ara s-sentenza tad‑9 ta’ Jannar 2025, Österreichische Datenschutzbehörde (Talbiet eċċessivi) (C‑416/23, EU:C:2025:3, punt 40).
34      Ara s-sentenza tal‑1 ta’ Awwissu 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, punt 85).
35      Ara s-sentenza tal‑24 ta’ Frar 2022, Valsts ieņēmumu dienests (Ipproċessar ta’ data personali għal finijiet fiskali) (C‑175/20, EU:C:2022:124, punt 56).
36      Ara, f’dan ir-rigward, il-BEPD, Guidelines 10/2020 on restrictions under Article 23 GDPR (version 2.1), adottati fit‑13 ta’ Ottubru 2021, punti 65 sa 67 u 82, li jirrakkomandaw restrizzjonijiet temporanji għall-eżerċizzju ta’ ċerti drittijiet tas-suġġetti tad-data sabiex ma jiġux kompromessi l-investigazzjonijiet amministrattivi.
37      Ara s-sentenzi tat‑8 ta’ April 2014, Digital Rights Ireland et (C‑293/12 u C‑594/12, EU:C:2014:238, punt 38), tas‑6 ta’ Ottubru 2015, Schrems (C‑362/14, EU:C:2015:650, punt 94), tas‑16 ta’ Lulju 2020, Facebook Ireland u Schrems (C‑311/18, EU:C:2020:559, punt 174), u tas‑6 ta’ Ottubru 2020, La Quadrature du Net et (C‑511/18, C‑512/18 u C‑520/18, EU:C:2020:791, punt 121).
38      Il-Qorti tal-Ġustizzja, fil-ġurisprudenza stabbilita tagħha, fakkret dan l-għan u enfasizzat li l-protezzjoni tad-data personali hija ggarantita kemm mill-Artikolu 16 TFUE kif ukoll mill-Artikolu 8 tal-Karta, b’tali mod li dan id-dritt ġie fil-fatt stabbilit f’żewġ dispożizzjonijiet tad-dritt primarju tal-Unjoni (ara s-sentenza tat‑12 ta’ Jannar 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2023:2, punt 43).
39      Ara, f’dan is-sens, is-sentenza tat‑22 ta’ Ġunju 2023, Pankki S (C‑579/21, EU:C:2023:501, punt 53 et seq.).
40      Ara s-sentenza tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF (C‑487/21, EU:C:2023:369, punt 44).
41      Ara l-punti 59 et seq. ta’ dawn il-konklużjonijiet.
42      Ara s-sentenza tat‑12 ta’ Jannar 2023, Österreichische Post (Informazzjoni dwar id-destinatarji tad-data personali) (C-154/21, EU:C:2023:3, punt 49). Kif enfasizzat il-Qorti tal-Ġustizzja, huwa l-kontrollur tad-data li għandu juri n-natura manifestament infondata jew eċċessiva ta’ talba għal aċċess fis-sens tal-Artikolu 12(5) tal-GDPR.
43      Ara, f’dan ir-rigward, Aġenzija tal-Unjoni Ewropea għad-Drittijiet Fundamentali (FRA), GDPR in practice – Experiences of Data Protection Authorities, il-Lussemburgu, 11 ta’ Ġunju 2024, p. 21, fejn jingħad li r-riżorsi tal-awtoritajiet superviżorji matul is-snin huma “ġeneralment insuffiċjenti”. Wara li l-Kummissjoni għamlet l-ewwel evalwazzjoni tagħha tal-applikazzjoni tal-GDPR, il-Parlament Ewropew adotta riżoluzzjoni fejn stieden lill-Istati Membri josservaw l-obbligu tagħhom skont l-Artikolu 52(4) tal-GDPR li jipprovdu lill-awtoritajiet superviżorji tagħhom riżorsi suffiċjenti biex ikunu jistgħu jwettqu l-kompiti tagħhom bl-aħjar mod possibbli, u jiżguraw kundizzjonijiet ekwi ta’ infurzar tal-GDPR fuq livell Ewropew.