62023CC0169
KONKLUŻJONIJIET TAL-AVUKATA ĠENERALI
MEDINA
ippreżentati fis‑6 ta’ Ġunju 2024 (
1
)
Kawża C‑169/23 [Másdi] (
i
)
Nemzeti Adatvédelmi és Információszabadság Hatóság
vs
UC
(Talba għal deċiżjoni preliminari mressqa mill-Kúria (il-Qorti Suprema, l-Ungerija))
“Talba għal deċiżjoni preliminari – Protezzjoni tad-data personali – Regolament (UE) 2016/679 – Ipproċessar tad-data għall-ħruġ ta’ ċertifikat tal-COVID‑19 – Informazzjoni li għandha tiġi pprovduta fejn id-data personali ma tkunx inkisbet mis-suġġett tad-data – Artikolu 14(1) – Derogi mill-obbligu ta’ informazzjoni – Kisba jew żvelar espressament previst mid-dritt tal-Unjoni jew mil-liġi ta’ Stat Membru – Miżuri adatti għall-protezzjoni tal-interessi leġittimi tas-suġġett tad-data – Artikolu 14(5)(c) – Dritt li jitressaq ilment quddiem awtorità superviżorja – Artikolu 77”
I. Introduzzjoni
1.
Wieħed mill-iktar obbligi importanti tal-kontrollur tad-data huwa l-obbligu li tingħata informazzjoni lis-suġġett tad-data. Fil-konklużjonijiet tiegħu fil-kawża Bara, l-Avukat Ġenerali Cruz Villallón b’mod elokwenti jiddikjara li l-obbligu li s-suġġett tad-data jiġi informat “jiggarantixxi t-trasparenza tal-ipproċessar kollu” (
2
). L-obbligu li tingħata informazzjoni huwa dritt fundamentali tas-suġġett tad-data li jirċievi informazzjoni dwar l-ipproċessar tad-data tiegħu. Id-duttrina tosserva (
3
) li d-dritt għall-informazzjoni “juri” l-prinċipju ta’ trasparenza u “jirrappreżenta l-punt fokali” għad-drittijiet l-oħra kollha. Fil-fatt, ħafna rekwiżiti estensivi ta’ informazzjoni jippermettu lis-suġġett tad-data jeżerċita drittijiet importanti oħra rrikonoxxuti mir-Regolament (UE) 2016/679 (
4
).
2.
Din il-kawża qamet fil-kuntest tal-ħruġ ta’ ċertifikati tal-COVID‑19. Hija tistieden lill-Qorti biex, għall-ewwel darba, tinterpreta deroga importanti mill-obbligu tal-kontrollur tad-data li jipprovdi informazzjoni, previst fl-Artikolu 14(5)(c) tal-GDPR. Id-deroga rilevanti ser tiġi analizzata b’rabta mas-setgħat tal-awtorità superviżorja fir-rigward ta’ lment imressaq mis-suġġett tad-data.
II. Il‑kuntest ġuridiku
A.
Id‑dritt tal‑Unjoni Ewropea
3.
L-Artikolu 14 tal-GDPR, intitolat “Informazzjoni li għandha tiġi pprovduta fejn id-data personali ma tkunx inkisbet mis-suġġett tad-data”, jipprovdi, fil-paragrafi 1, 2 u 5 tiegħu:
“1.   Fejn ma tkunx inkisbet data personali mis-suġġett tad-data, il-kontrollur għandu jipprovdi lis-suġġett tad-data l-informazzjoni li ġejja:
(a)
l-identità u d-dettalji ta’ kuntatt tal-kontrollur u, fejn applikabbli, tar-rappreżentant tal-kontrollur;
(b)
id-dettalji ta’ kuntatt tal-uffiċjal tal-protezzjoni tad-data, fejn applikabbli;
(c)
l-għanijiet tal-ipproċessar li għalihom hija maħsuba d-data personali kif ukoll il-bażi legali għall-ipproċessar;
(d)
il-kategoriji ta’ data personali inkwistjoni;
(e)
ir-riċevituri jew il-kategoriji ta’ riċevituri tad-data personali, jekk jeżistu;
(f)
fejn applikabbli, il-fatt li l-kontrollur għandu l-ħsieb li jittrasferixxi data personali lil riċevitur f’pajjiż terz jew organizzazzjoni internazzjonali u l-eżistenza jew l-assenza ta’ deċiżjoni ta’ adegwatezza mill-Kummissjoni […]
2.   Minbarra l-informazzjoni msemmija fil-paragrafu 1, il-kontrollur għandu jipprovdi lis-suġġett tad-data l-informazzjoni li ġejja li tkun meħtieġa biex jiġi żgurat pproċessar ġust u trasparenti fir-rigward tas-suġġett tad-data:
(a)
il-perijodu li matulu d-data personali tkun ser tinħażen, jew jekk dak ma jkunx possibbli, il-kriterji użati biex jiġi ddeterminat dak il-perijodu;
(b)
fejn l-ipproċessar ikun ibbażat fuq il-punt (f) tal-Artikolu 6(1), l-interessi leġittimi segwiti mill-kontrollur jew minn parti terza;
(c)
l-eżistenza tad-dritt li jitlob mingħand il-kontrollur aċċess jew rettifika jew tħassir ta’ data personali jew restrizzjoni tal-ipproċessar rigward is-suġġett tad-data u li joġġezzjona għall-ipproċessar kif ukoll id-dritt għall-portabbiltà tad-data;
(d)
fejn l-ipproċessar ikun ibbażat fuq il-punt (a) tal-Artikolu 6(1) jew il-punt (a) tal-Artikolu 9(2), l-eżistenza tad-dritt li jiġi irtirat il-kunsens fi kwalunkwe ħin, mingħajr ma tiġi affettwata l-legalità tal-ipproċessar abbażi ta’ kunsens qabel l-irtirar tiegħu;
(e)
id-dritt li jitressaq ilment quddiem awtorità superviżorja;
(f)
minn liema sors toriġina d-data personali, u fejn applikabbli jekk oriġinatx minn sorsi aċċessibbli għall-pubbliku;
(g)
l-eżistenza ta’ teħid awtomatizzat ta’ deċiżjonijiet inkluż it-tfassil ta’ profili msemmi fl-Artikolu 22(1) u (4) u għall-inqas f’dawk il-każijiet, l-informazzjoni importanti dwar il-loġika involuta, kif ukoll is-sinifikat u l-konsegwenzi previsti ta’ tali pproċessar għas-suġġett tad-data.
[…]
5.   Il-paragrafi 1 sa 4 ma għandhomx japplikaw meta u sa fejn:
[…]
(c)
il-kisba jew l-iżvelar hu espressament stabbilit mil-liġi tal-Unjoni jew ta’ Stat Membru li għaliha hu soġġett il-kontrollur u li tipprevedi miżuri adatti għall-protezzjoni tal-interessi leġittimi tas-suġġett tad-data;
[…]”
4.
L-Artikolu 32 tal-GDPR, intitolat “Sigurtà tal-ipproċessar”, jistabbilixxi, fil-paragrafu 1:
“Filwaqt li jikkunsidraw l-ogħla livell ta’ żvilupp tekniku, l-ispejjeż tal-implimentazzjoni u in-natura, l-ambitu, il-kuntest, u l-għanijiet tal-ipproċessar kif ukoll ir-riskju ta’ probabbiltà u gravità li jvarjaw għad-drittijiet u l-libertajiet tal-persuni fiżiċi, il-kontrollur u l-proċessur għandhom jimplimentaw miżuri tekniċi u organizzattivi xierqa, biex jiżguraw livell ta’ sigurtà xieraq għar-riskju, inklużi inter alia kif xieraq:
[…]”
5.
L-Artikolu 77 tal-GDPR, intitolat “Dritt li jitressaq ilment quddiem awtorità superviżorja”, jistabbilixxi, fil-paragrafu 1:
“Mingħajr preġudizzju għal kwalunkwe rimedju amministrattiv jew ġudizzjarju ieħor, kull suġġett tad-data għandu d-dritt li jressaq ilment quddiem awtorità superviżorja, b’mod partikolari fl-Istat Membru tar-residenza abitwali tiegħu, il-post tax-xogħol tiegħu jew il-post tal-ksur allegat, jekk is-suġġett tad-data jqis li l-ipproċessar ta’ data personali dwaru jikser dan ir-Regolament.”
B.
Id‑dritt Ungeriż
6.
L-Artikolu 2(1)(a) sa (g) tal-a koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12.) Korm. Rendelet (id-Digriet tal-Gvern 60/2021 tat‑12 ta’ Frar dwar iċ-ċertifikat tal-immunità għall-coronavirus, iktar ’il quddiem id-“Digriet 60/2021”), fil-verżjoni applikabbli għat-tilwima fil-kawża prinċipali, jipprovdi:
“Iċ-ċertifikat tal-immunità għandu jkun fih:
(a)
l-isem tal-persuna kkonċernata;
(b)
in-numru tal-passaport tal-persuna kkonċernata, jekk għandha passaport;
(c)
in-numru u l-identifikatur dokumentarju tad-dokument tal-identità permanenti tal-persuna kkonċernata, jekk għandha dokument ta’ identità permanenti;
(d)
in-numru tas-serje taċ-ċertifikat tal-immunità;
(e)
meta tingħata prova tat-tilqim, id-data tat-tilqim;
(f)
meta tingħata prova tal-irkupru mill-infezzjoni, id-data tal-validità tal-prova;
(g)
kodiċi tal-ħżin tad-data li jinqara ottikament minn apparat tal-kompjuter, iġġenerat bl-użu tad-data elenkata fil-punt (a) sa (f);
[…]”
7.
Skont l-Artikolu 2(6) u (7) tad-Digriet 60/2021, iċ-ċertifikat tal-immunità kellu jinħareġ mill-Budapest Főváros Kormányhivatala (l-Uffiċċju tal-Gvern Metropolitan ta’ Budapest, l-Ungerija; iktar ’il quddiem l-“Uffiċċju ta’ Budapest”) favur il-persuna fiżika intitolata għalih, ex officio jew fuq talba.
8.
L-Artikolu 3(3) tad-Digriet 60/2021 jipprovdi:
“Fil-każijiet previsti fl-Artikolu 2(6)(c) u (d) l-[Uffiċċju ta’ Budapest] jiġbor, permezz ta’ trażmissjoni awtomatizzata ta’ informazzjoni — jekk ikun il-każ permezz tad-dipartimenti rilevanti tal-összerendelési nyilvántartás [(ir-Reġistru tal-organizzazzjoni elettronika tad-data ta’ identifikazzjoni, l-Ungerija)] —
(a)
mill-operatur tal-EESZT [(Elektronikus Egszségügyi Szolgáltatási tér (l-Ispazju tas-Servizz Elettroniku tal-Kura tas-Saħħa)]: in-numru tas-sigurtà soċjali tas-suġġett tad-data, id-data msemmija fl-Artikolu 2(1)(e) u (g) kif ukoll id-data msemmija fil-paragrafu 1;
(b)
mill-korp responsabbli għar-reġistrazzjoni tad-data u l-indirizzi personali: l-isem, l-identifikaturi tad-dokument mill-passaport u d-dokument tal-identità permanenti u l-indirizz tal-persuna kkonċernata.”
III. It‑tilwima fil‑kawża prinċipali u d‑domandi preliminari
9.
UC, persuna fiżika, irċieva mingħand l-Uffiċċju ta’ Budapest ċertifikat tal-immunità li jikkonferma t-tilqim tiegħu kontra l-COVID‑19.
10.
Fit‑30 ta’ April 2021, UC ressaq ilment abbażi tal-Artikolu 77(1) tal-GDPR man-Nemzeti Adatvédelmi és Információszabadság Hatóság (l-Awtorità Nazzjonali għall-Protezzjoni tad-Data u l-Libertà tal-Informazzjoni, l-Ungerija, iktar ’il quddiem l-“awtorità superviżorja Ungeriża”). UC talab lil din l-awtorità tordna lill-Uffiċċju ta’ Budapest iqiegħed l-attivitajiet ta’ pproċessar tiegħu f’konformità mad-dispożizzjonijiet tal-GDPR. Fl-ilment, UC sostna inter alia li l-Uffiċċju ta’ Budapest la kien ħoloq u lanqas ippubblika dikjarazzjoni ta’ privatezza dwar l-ipproċessar tad-data relatata mal-ħruġ taċ-ċertifikati ta’ immunità u li ma kienx hemm biżżejjed informazzjoni dwar l-iskop u l-bażi legali tal-ipproċessar, id-drittijiet disponibbli għas-suġġetti tad-data u l-mod kif dawn id-drittijiet setgħu jiġu eżerċitati.
11.
Fil-proċedura mibdija bħala riżultat tal-ilment, l-Uffiċċju ta’ Budapest sostna li huwa kien jeżerċita l-funzjonijiet tiegħu relatati mal-ħruġ ta’ ċertifikati tal-immunità skont l-Artikolu 2 tad-Digriet 60/2021 u li l-bażi legali għall-ipproċessar kienet l-Artikolu 6(1)(e) tal-GDPR u, fir-rigward tal-ipproċessar ta’ kategoriji speċjali ta’ data personali, l-Artikolu 9(2)(i) tal-GDPR.
12.
Barra minn hekk, l-Uffiċċju ta’ Budapest indika li, skont l-Artikolu 3(2) u (3) tad-Digriet 60/2021, huwa kien ġabar id-data pproċessata permezz tat-trażmissjoni awtomatizzata ta’ informazzjoni mingħand l-operatur tal-Ispazju tas-Servizz Elettroniku tal-Kura tas-Saħħa u mingħand il-korp responsabbli għar-reġistrazzjoni tad-data u tal-indirizzi personali. Huwa ddikjara li, skont l-Artikolu 14(5)(c) tal-GDPR, ma kienx obbligat jipprovdi informazzjoni dwar l-ipproċessar. Madankollu, huwa kien ħoloq dikjarazzjoni ta’ privatezza dwar l-ipproċessar rilevanti u kien ippubblika din id-dikjarazzjoni fuq is-sit tiegħu.
13.
Permezz ta’ deċiżjoni tal‑15 ta’ Novembru 2021, l-awtorità superviżorja Ungeriża ċaħdet l-ilment fuq il-bażi li l-Uffiċċju ta’ Budapest ma kienx obbligat jipprovdi informazzjoni, peress li d-deroga prevista fl-Artikolu 14(5)(c) tal-GDPR kienet applikabbli għall-ipproċessar. B’mod iktar speċifiku, din l-awtorità superviżorja kkunsidrat li d-Digriet 60/2021 kien jikkostitwixxi l-bażi legali għall-ipproċessar u li l-Uffiċċju ta’ Budapest ma kienx kiseb id-data mis-suġġetti tad-data stess. Barra minn hekk, hija indikat li l-Artikolu 3(1) tad-Digriet 60/2021 ordna espressament lill-Uffiċċju ta’ Budapest biex jiġbor id-data. Il-fatt li l-Uffiċċju ta’ Budapest ippubblika informazzjoni dwar l-ipproċessar tad-data fuq is-sit tiegħu, anki jekk ma kellux obbligu legali, ġie kkunsidrat bħala prattika tajba.
14.
L-awtorità superviżjorja Ungeriża eżaminat ex officio l-kwistjoni tal-miżuri adatti biex tipproteġi l-interessi leġittimi tas-suġġett tad-data, kif imsemmi fl-Artikolu 14(5)(c) tal-GDPR, u kkunsidrat li l-Artikoli 2 u 3 kif ukoll l-Artikoli 5 sa 7 tad-Digriet 60/2021 għandhom jiġu ttrattati bħala tali miżuri.
15.
UC ikkontesta d-deċiżjoni tal-awtorità superviżorja Ungeriża quddiem il-Fővárosi Törvényszék (il-Qorti tal-Belt ta’ Budapest, l-Ungerija). Din il-qorti laqgħet ir-rikors, annullat id-deċiżjoni tal-awtorità superviżorja Ungeriża u ordnatilha tmexxi proċedura ġdida.
16.
Fil-motivazzjoni tas-sentenza tagħha, il-Fővárosi Törvényszék (il-Qorti tal-Belt ta’ Budapest) iddikjarat li d-deroga prevista fl-Artikolu 14(5)(c) tal-GDPR ma kinitx applikabbli minħabba li xi data dwar iċ-ċertifikati tal-immunità ma nġabritx minn korp ieħor, iżda ġiet iġġenerata minn dan il-kontrollur. Fost din id-data hemm in-numru tas-serje taċ-ċertifikat tal-immunità, il-perijodu ta’ validità taċ-ċertifikat, il-kodiċi QR inkorporat fiċ-ċertifikat, il-barcode u kodiċijiet alfanumeriċi oħra ġġenerati mill-kontrollur matul il-proċedura tiegħu.
17.
L-awtorità superviżorja Ungeriża ppreżentat appell straordinarju fil-kassazzjoni kontra din is-sentenza finali tal-Fővárosi Törvényszék (il-Qorti tal-Belt ta’ Budapest) quddiem il-Kúria (il-Qorti Suprema, l-Ungerija).
18.
Fir-rigward tal-applikazzjoni tad-deroga prevista fl-Artikolu 14(5)(c) tal-GDPR, il-qorti tar-rinviju tqis li din tista’ tapplika għat-tipi kollha ta’ pproċessar li ma jikkonċernawx data miġbura mingħand is-suġġett tad-data fis-sens tal-Artikolu 13 tal-GDPR, inkluża d-data ġġenerata mill-kontrollur.
19.
Jekk din l-interpretazzjoni tal-Artikolu 14(5)(c) tal-GDPR tiġi segwita, il-qorti tar-rinviju għandha dubji dwar il-kamp ta’ applikazzjoni tas-setgħat korrettivi li l-awtoritajiet superviżorji nazzjonali għandhom fil-kuntest ta’ lment imressaq skont l-Artikolu 77(1) tal-GDPR. B’mod iktar speċifiku, il-qorti tar-rinviju għandha dubji dwar jekk, fil-kuntest ta’ tali lment, l-awtorità superviżorja għandhiex is-setgħa li teżamina l-kwistjoni tal-miżuri adatti previsti mid-dritt nazzjonali sabiex tipproteġi l-interessi leġittimi tas-suġġett tad-data, li l-Artikolu 14(5)(c) tal-GDPR jirreferi għalihom.
20.
Jekk jitqies li l-awtorità superviżorja għandha din is-setgħa, il-qorti tar-rinviju tistaqsi dwar is-sens eżatt tal-kunċett ta’ “miżuri adatti għall-protezzjoni tal-interessi leġittimi tas-suġġett tad-data”. F’dan ir-rigward, hija tinnota li jista’ jiġi kkonstatat li “miżuri adatti” jimplikaw, minn naħa waħda, it-traspożizzjoni fid-dritt nazzjonali tal-materji elenkati fl-Artikolu 14(1)(a) sa (f) tal-GDPR. Min-naħa l-oħra, dawn il-miżuri jistgħu jimplikaw id-dritt li jintalab eżami tas-sigurtà tal-ipproċessar, irregolat mill-Artikolu 32 tal-GDPR. Madankollu, dan il-kunċett ta’ “miżuri adatti” jirriskja li jaffettwa l-leġiżlazzjoni bid-dispożizzjonijiet tekniċi, li jmur kontra r-rekwiżit ta’ intelliġibbiltà u ta’ ċarezza tal-atti leġiżlattivi. Din tista’ tkun ukoll garanzija suffiċjenti jekk il-miżuri dwar is-sigurtà tad-data jiġu osservati, anki jekk ma jkunux ġew trasposti b’mod speċifiku.
21.
F’dawn iċ-ċirkustanzi, il-Kúria (il-Qorti Suprema) iddeċidiet li tissospendi l-proċeduri quddiemha u li tagħmel lill-Qorti tal-Ġustizzja d-domandi preliminari li ġejjin:
“(1)
L-Artikolu 14(5)(c) ta[l-GDPR], flimkien mal-Artikolu 14(1) u mal-premessa 62 tal-GDPR, għandu jiġi interpretat fis-sens li l-eċċezzjoni prevista fl-Artikolu 14(5)(c) ma tagħmilx riferiment għad-data ġġenerata mill-kontrollur fil-kuntest tal-proċess rispettiv tiegħu, iżda biss għad-data li l-kontrollur ikun ġabar speċifikament mingħand persuna oħra?
(2)
Fil-każ li l-Artikolu 14(5)(c) tal-GDPR japplika wkoll għad-data ġġenerata mill-kontrollur fil-kuntest tal-proċess rispettiv tiegħu, id-dritt li jiġi ppreżentat ilment quddiem awtorità superviżorja, stabbilit fl-Artikolu 77(1) tal-GDPR, għandu jiġi interpretat fis-sens li persuna fiżika li tallega nuqqas ta’ twettiq tal-obbligu ta’ informazzjoni tista’, fil-kuntest tal-eżerċizzju tad-dritt tagħha li tippreżenta ilment, titlob li tiġi eżaminata l-kwistjoni dwar jekk, skont l-Artikolu 14(5)(c) tal-GDPR, id-dritt tal-Istat Membru jipprevedix miżuri adatti intiżi sabiex jiġu protetti l-interessi leġittimi tal-persuna kkonċernata?
(3)
Fil-każ ta’ risposta fl-affermattiv għat-tieni domanda, l-Artikolu 14(5)(c) tal-GDPR jista’ jiġi interpretat fis-sens li l-“miżuri adatti” msemmija fl-imsemmija dispożizzjoni jeżiġu li l-leġiżlatur nazzjonali jittrasponi (permezz ta’ dispożizzjoni legali) il-miżuri dwar is-sigurtà tad-data stabbiliti fl-Artikolu 32 tal-GDPR?”
22.
Ġew ippreżentati osservazzjonijiet bil-miktub minn UC, mill-awtorità superviżorja Ungeriża, mill-Gvern Ungeriż kif ukoll mill-Kummissjoni. Il-Qorti tal-Ġustizzja għamlet mistoqsijiet għal tweġiba bil-miktub lill-partijiet u lill-partijiet ikkonċernati skont l-Artikolu 23 tal-Istatut tal-Qorti tal-Ġustizzja tal-Unjoni Ewropea, li għalihom irrispondew UC, il-Gvern Ċek, dak Ungeriż u l-Kummissjoni.
IV. Evalwazzjoni
A.
Osservazzjonijiet preliminari dwar l‑obbligu ta’ informazzjoni u d‑deroga prevista fl‑Artikolu 14(5)(c) tal‑GDPR
23.
L-għoti ta’ informazzjoni lis-suġġetti tad-data huwa element ċentrali tal-prinċipju ta’ trasparenza stabbilit fl-Artikolu 5(1)(a) tal-GDPR. It-trasparenza “tagħti s-setgħa lis-suġġetti tad-data li jżommu kontrolluri u proċessuri responsabbli”, peress li din issaħħaħ il-possibbiltà tagħhom li jikkontrollaw id-data tagħhom (
5
). Fil-fatt, kif tindika s-sentenza fil-kawża Bara et, “dan ir-rekwiżit ta’ informazzjoni tal-persuni kkonċernati mill-ipproċessar tad-data personali tagħhom huwa bil-wisq iktar importanti tant li huwa kundizzjoni neċessarja għall-eżerċizzju minn dawn il-persuni tad-dritt tagħhom ta’ aċċess u ta’ rettifika tad-data pproċessata” (
6
). Id-dispożizzjonijiet ewlenin f’dan ir-rigward huma l-Artikoli 12, 13 u 14 tal-GDPR.
24.
Skont l-Artikolu 12(1) tal-GDPR, il-kontrollur għandu jieħu miżuri adatti biex jipprovdi l-informazzjoni msemmija fl-Artikoli 13 u 14 “f’forma konċiża, trasparenti, intelliġibbli u faċilment aċċessibbli, bl-użu ta’ lingwaġġ ċar u sempliċi”. Ġeneralment, l-informazzjoni tingħata f’politika ta’ privatezza, dikjarazzjoni ta’ privatezza jew stqarrija ta’ privatezza (
7
).
25.
Il-kontenut u l-kamp ta’ applikazzjoni tal-obbligu ta’ informazzjoni huma ddefiniti fl-Artikoli 13 u 14 tal-GDPR. L-Artikolu 13 jirregola l-informazzjoni li għandha tiġi pprovduta meta d-data personali tinġabar mis-suġġett tad-data (ġbir dirett), filwaqt li l-Artikolu 14 jirregola l-informazzjoni li għandha tiġi pprovduta meta d-data personali ma tkunx inġabret mis-suġġett tad-data (ġbir indirett) (
8
). L-informazzjoni li għandha tiġi pprovduta skont dawn iż-żewġ dispożizzjonijiet tikkoinċidi b’mod sinjifikattiv. (
9
)
26.
Sa fejn il-ġbir indirett tad-data huwa kkonċernat, l-Artikolu 14(1) tal-GDPR jinkludi fil-“katalgu ta’ informazzjoni standard” (
10
) l-informazzjoni dwar l-identità tal-kontrollur tad-data, il-finijiet tal-ipproċessar, ir-riċevituri tad-data u t-trasferiment possibbli tad-data lil riċevitur f’pajjiż terz. Fost l-informazzjoni addizzjonali meħtieġa sabiex jiġi żgurat ipproċessar ġust u trasparenti, l-Artikolu 14(2) tal-GDPR jirreferi b’mod espliċitu għall-perijodu taż-żamma tad-data personali, l-interessi leġittimi segwiti mill-kontrollur (
11
) jew l-eżistenza tad-dritt li jintalab aċċess, rettifika jew tħassir mill-kontrollur tad-data personali.
27.
L-obbligu ta’ informazzjoni impost fuq il-kontrollur tad-data fil-każ ta’ ġbir indirett skont l-Artikolu 14 tal-GDPR huwa suġġett għal erba’ derogi, stabbiliti fil-paragrafu 5 tiegħu. Id-deroga rilevanti għall-kawża prinċipali hija dik prevista fl-Artikolu 14(5)(c), li fih “klawżola ta’ ftuħ” (
12
). Il-kontrollur huwa eżentat milli jipprovdi informazzjoni meta u sa fejn “il-kisba jew l-iżvelar hu espressament stabbilit mil-liġi tal-Unjoni jew ta’ Stat Membru li għaliha hu soġġett il-kontrollur” u l-liġi “tipprevedi miżuri adatti għall-protezzjoni tal-interessi leġittimi tas-suġġett tad-data”.
28.
Il-verżjoni tal-lingwa Ingliża tal-Artikolu 14(5)(c) tal-GDPR, kif ukoll verżjonijiet lingwistiċi oħra (
13
), ma tagħmilx riferiment espliċitu għas-suġġett tal-att tal-“kisba jew l-iżvelar”. Diversi verżjonijiet lingwistiċi oħra jirreferu b’mod espliċitu għall-kisba jew l-iżvelar ta’ “data” (
14
). Jidher li l-verżjoni Franċiża biss tirreferi għall-kisba jew l-iżvelar ta’ “informazzjoni” (
15
).
29.
Madankollu, peress li l-verżjonijiet lingwistiċi kollha ta’ att tal-Unjoni għandhom, bħala prinċipju, jingħataw l-istess valur, fil-każ ta’ diverġenza bejn dawn il-verżjonijiet, id-dispożizzjoni inkwistjoni għandha tiġi interpretata skont l-iskop u l-iskema ġenerali tar-regoli li tifforma parti minnha (
16
).
30.
F’dan ir-rigward, huwa ċar mill-istruttura ġenerali tar-regoli li minnhom l-Artikolu 14(5)(c) tal-GDPR jifforma parti li l-kisba jew l-iżvelar jikkonċerna data personali (għall-kuntrarju ta’ informazzjoni). Mit-titolu tal-Artikolu 14 diġà jirriżulta li l-informazzjoni hija “pprovduta” filwaqt li l-att ta’ kisba jikkonċerna d-“data personali”. Din l-interpretazzjoni hija kkorroborata mill-premessa 61, li tirreferi għad-“data personali” miksuba minn sors ieħor, u mill-premessa 62, li tirreferi għar-reġistrazzjoni jew għall-iżvelar ta’ “data personali”. Barra minn hekk, fid-dawl tas-sens wiesa’ tal-kunċett ta’ “pproċessar” fis-sens tal-Artikolu 4(2) tal-GDPR, jiġifieri li kull attività jew sett ta’ attivitajiet imwettqa fuq data personali (
17
), il-“kisba jew l-iżvelar” għandhom jiġi kklassifikati bħala attivitajiet [ta’ pproċessar] li jitwettqu fuq data personali.
31.
Fir-rigward tal-iskop tar-regoli li minnhom l-Artikolu 14(5)(c) jifforma parti, jidher li l-ipoteżi sottostanti tad-deroga applikabbli hija li d-dritt tal-Unjoni jew id-dritt ta’ Stat Membru jissostitwixxi l-obbligu normalment impost fuq il-kontrollur li jipprovdi informazzjoni dwar il-kisba jew l-iżvelar ta’ data (
18
). Skont id-dritt rilevanti, is-suġġetti tad-data diġà jkollhom għarfien suffiċjenti dwar il-kisba jew l-iżvelar tad-data (
19
). Tali dritt li għalih huwa suġġett il-kontrollur tad-data għandu jikkonċerna espressament il-kisba jew l-iżvelar tad-data u l-kisba jew l-iżvelar inkwistjoni għandha tkun obbligatorja għall-kontrollur tad-data (
20
).
32.
Għaldaqstant, mill-kunsiderazzjonijiet preċedenti jirriżulta b’mod ċar li l-għan tad-deroga fil-qasam tal-kisba jew tal-iżvelar jikkonċerna data personali.
33.
Huwa fid-dawl ta’ dawn l-osservazzjonijiet li ser neżamina ulterjorment id-deroga prevista fl-Artikolu 14(5)(c) tal-GDPR fil-kuntest tal-analiżi tad-domandi preliminari.
B.
Fuq l‑ewwel domanda preliminari
34.
Permezz tal-ewwel domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 14(5)(c) tal-GDPR għandux jiġi interpretat fis-sens li d-deroga mill-obbligu ta’ informazzjoni tas-suġġett tad-data imposta fuq il-kontrollur tapplika biss għad-data li l-kontrollur ikun espressament kiseb minn persuna oħra, bl-esklużjoni tad-data ġġenerata mill-kontrollur fil-kuntest tal-proċedura tiegħu stess.
35.
Din il-kwistjoni tirriżulta mill-fatt li, fil-kawża prinċipali, ċerta data li tinsab fiċ-ċertifikati tal-COVID-19 ma nkisbitx minn organizzazzjoni oħra, iżda ġiet iġġenerata mill-uffiċċju ta’ Budapest (
21
).
36.
Huwa għalhekk meħtieġ li jiġi ddeterminat jekk it-terminu “kisba”, previst fl-Artikolu 14(5)(c) tal-GDPR, jeskludix id-data ġġenerata mill-kontrollur.
37.
Sabiex tingħata risposta għal din id-domanda, għandu jitfakkar, preliminarjament, li, għall-interpretazzjoni ta’ dispożizzjoni tad-dritt tal-Unjoni, għandhom jittieħdu inkunsiderazzjoni mhux biss il-formulazzjoni tagħha, iżda wkoll il-kuntest tagħha kif ukoll l-għan imfittex mill-att li minnu hija tagħmel parti (
22
).
38.
Fir-rigward tal-formulazzjoni tal-Artikolu 14(5)(c) tal-GDPR, din id-dispożizzjoni ma tipprevedix limitazzjoni fir-rigward ta’ tip speċifiku ta’ pproċessar jew il-metodu eżatt li bih il-kontrollur tad-data jikseb id-data. Id-data tista’ tinkiseb permezz ta’ proċedura teknika, bħall-produzzjoni tad-data mill-kontrollur.
39.
Il-kunċett wiesa’ tat-terminu “kisba” huwa kkonfermat mill-premessa 62 tal-GDPR. Din il-premessa tuża l-kelma “reġistrazzjoni” tad-data, attività li, kif irrilevat il-qorti tar-rinviju, tirreferi għal sett ikbar ta’ attivitajiet ta’ pproċessar li jistgħu jitwettqu mill-kontrollur tad-data. Għaldaqstant l-Artikolu 14(5)(c) ma jistax jiġi interpretat bħala applikabbli biss fir-rigward tad-data miksuba minn entità oħra u mhux tad-data ġġenerata mill-kontrollur.
40.
Din l-interpretazzjoni tal-Artikolu 14(5)(c) tal-GDPR hija kkonfermata wkoll mill-kuntest li fih tinsab din id-dispożizzjoni kif ukoll mill-għanijiet u l-iskop segwiti minn din id-dispożizzjoni.
41.
F’dan ir-rigward, għandu jiġi rrilevat li d-derogi stabbiliti fl-Artikolu 14(5) huma marbuta mal-paragrafi 1 sa 4 ta’ dan l-istess artikolu. Il-kamp ta’ applikazzjoni ratione materiae tal-Artikolu 14 (li minnu d-deroga rilevanti tifforma parti) huwa ddefinit b’mod negattiv meta mqabbel mal-Artikolu 13. L-Artikolu 13 jirregola l-informazzjoni li għandha tiġi pprovduta meta d-data personali tinġabar mis-suġġett tad-data, filwaqt li l-Artikolu 14 jirregola l-informazzjoni li għandha tiġi pprovduta meta d-data personali ma tkunx inġabret mis-suġġett tad-data. Isegwi mid-dikotomija bejn il-ġbir dirett u dak indirett tad-data li l-każijiet kollha fejn id-data ma tinġabarx mis-suġġett tad-data jaqgħu taħt l-iskop materjali tal-Artikolu 14. Huwa irrilevanti jekk id-data ġietx iġġenerata mill-kontrollur sakemm din ma tinġabarx mis-suġġett tad-data. Il-kamp ta’ applikazzjoni ratione materiae wiesa’ tal-Artikolu 14 huwa kkonfermat ukoll mill-premessa 61, li tirreferi għad-data li “tinkiseb minn sors ieħor”, jiġifieri sors li ma huwiex is-suġġett tad-data.
42.
Barra minn hekk, kif irrilevaw, essenzjalment, il-Kummissjoni u l-awtorità ta’ superviżjoni Ungeriża, ir-regoli stabbiliti fl-Artikoli 13 u 14 tal-GDPR jifformaw sistema globali li tirregola l-għoti ta’ informazzjoni lis-suġġett tad-data fis-sitwazzjonijiet kollha possibbli. Li kieku t-terminu “kisba” li jinsab fl-Artikolu 14(5)(c) tal-GDPR kellu jiġi interpretat bħala li jeskludi d-data ġġenerata mill-kontrollur, din id-dispożizzjoni jkollha kamp ta’ applikazzjoni iktar restrittiv mill-Artikolu 14, li minnu hija tagħmel parti.
43.
Fir-rigward tal-għan speċifiku tad-deroga inkwistjoni, kif tfakkar fl-osservazzjonijiet preliminari ta’ dawn il-konklużjonijiet, l-eżenzjoni tal-kontrollur milli jipprovdi informazzjoni hija bbażata fuq l-ipoteżi li l-liġi tissostitwixxi l-obbligu ta’ informazzjoni li normalment jaqa’ fuq il-kontrollur (
23
). Id-deroga prevista fl-Artikolu 14(5)(c) tagħti lill-Istati Membri marġni ta’ diskrezzjoni sabiex jipprovdu mezz differenti ta’ informazzjoni tas-suġġett tad-data u sabiex jiżguraw ipproċessar ġust u trasparenti fir-rigward tal-informazzjoni pprovduta mill-kontrollur fuq bażi individwali. Ir-rimedju legali differenti għandu dejjem jasal għall-istess riżultat. Il-liġi li tissostitwixxi l-obbligu impost fuq il-kontrolluri li jinformaw għandha tqiegħed lis-suġġett tad-data f’pożizzjoni li jeżerċita kontroll fuq id-data tiegħu u li jeżerċita d-drittijiet tiegħu skont il-GDPR (
24
).
44.
L-interpretazzjoni tal-Artikolu 14(5)(c) bħala li jeskludi mill-kamp ta’ applikazzjoni tiegħu l-produzzjoni tad-data mill-kontrollur jirrestrinġi l-marġni ta’ diskrezzjoni mogħti lill-Istati Membri abbażi ta’ raġuni li ma tidhirx li hija rilevanti għall-protezzjoni tal-interessi leġittimi tas-suġġett tad-data.
45.
Barra minn hekk, interpretazzjoni differenti — li tintroduċi eċċezzjoni għad-deroga fl-Artikolu 14(5)(c) meta d-data tiġi ġġenerata mill-kontrollur tad-data — toħloq ir-riskju li jiżdied saff addizzjonali ta’ kumplessità għas-suġġett tad-data. Is-suġġett tad-data għandu jkun jista’ jkun jaf minn liema sors ser jikseb informazzjoni dwar l-ipproċessar tad-data tiegħu meta tali data ma tinġabarx mis-suġġett tad-data nnifsu. Id-dritt rilevanti għandu jagħmilha prevedibbli għas-suġġett tad-data f’dawn is-sitwazzjonijiet kollha (
25
).
46.
Minn dak li ntqal hawn fuq jirriżulta li l-Artikolu 14(5)(c) tal-GDPR għandu jiġi interpretat fis-sens li d-deroga mill-obbligu ta’ informazzjoni tal-kontrollur tad-data li jipprovdi informazzjoni lis-suġġett tad-data tapplika għad-data kollha li l-kontrollur ma jkunx kiseb mingħand is-suġġett tad-data. F’dan ir-rigward, ma huwiex rilevanti jekk id-data hijiex espressament miksuba mingħand entità oħra jew jekk hijiex iġġenerata mill-kontrollur fil-kuntest tal-proċedura tiegħu stess.
C.
Fuq it‑tieni domanda
47.
Permezz tat-tieni domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 77(1) tal-GDPR għandux jiġi interpretat fis-sens li, fil-kuntest ta’ proċedura ta’ lment, l-awtorità superviżorja għandha s-setgħa li teżamina jekk id-dritt tal-Istat Membru li għalih huwa suġġett il-kontrollur jipprevedix miżuri adatti sabiex jiġu protetti l-interessi leġittimi tas-suġġett tad-data, għall-finijiet tal-applikazzjoni tad-deroga prevista fl-Artikolu 14(5)(c).
48.
F’dan ir-rigward, għandu jitfakkar, l-ewwel, li, skont l-Artikolu 77(1) tal-GDPR, kull suġġett tad-data għandu d-dritt li jressaq lment quddiem awtorità superviżorja jekk huwa jqis li l-ipproċessar ta’ data personali dwaru jikkostitwixxi ksur ta’ dan ir-regolament (
26
).
49.
It-tieni, skont l-Artikolu 55(1) tal-imsemmi regolament, kull awtorità superviżorja għandha tkun kompetenti sabiex twettaq il-kompiti fdati lilha u teżerċita s-setgħat mogħtija lilha f’konformità ma’ dan l-istess regolament fit-territorju tal-Istat Membru tagħha stess (
27
). Barra minn hekk, skont l-Artikolu 57(1)(a) tal-GDPR, l-awtoritajiet superviżorji nazzjonali huma responsabbli għall-monitoraġġ u l-infurzar tal-GDPR.
50.
Id-dispożizzjonijiet imsemmija fiż-żewġ punti ta’ hawn fuq ma jeskludux mill-kompetenza tal-awtoritajiet superviżjorji nazzjonali l-kundizzjonijiet għall-applikazzjoni tad-deroga prevista fl-Artikolu 14(5)(c) tal-GDPR.
51.
Għalhekk, kif sostnew, essenzjalment, il-Gvern Ungeriż u l-Kummissjoni, fil-kuntest ta’ lment imressaq skont l-Artikolu 77(1) tal-GDPR, l-awtoritajiet superviżorji għandhom is-setgħa li jivverifikaw jekk il-kundizzjonijiet kollha stabbiliti fl-Artikolu 14(5)(c) twettqux. Kif jirriżulta mill-ewwel sentenza tal-Artikolu 14(5), id-derogi kollha li huwa jipprevedi japplikaw “meta u sa fejn” il-kundizzjonijiet stabbiliti fiha jkunu ssodisfatti.
52.
F’dan ir-rigward, l-awtoritajiet ta’ superviżjoni għandu jkollhom is-setgħa li jeżaminaw, b’mod iktar speċifiku, l-ewwel, jekk il-liġi tindirizzax direttament lill-kontrollur tad-data u jekk il-kisba jew l-iżvelar hijiex obbligatorja għall-kontrollur (
28
). It-tieni, l-awtoritajiet superviżorji għandhom ikunu jistgħu jeżaminaw jekk il-liġi invokata mill-kontrollur tipprevedix “miżuri adatti għall-protezzjoni tal-interessi leġittimi tas-suġġett tad-data” u jekk il-kontrollur tad-data huwiex f’pożizzjoni li juri li l-kisba jew l-iżvelar ta’ data personali hija konformi ma’ dawn il-miżuri (
29
).
53.
L-awtorità superviżorja Ungeriża ssostni li l-istħarriġ tal-kwistjoni dwar jekk id-dritt nazzjonali jipprevedix miżuri adatti sabiex jiġu protetti l-interessi leġittimi tas-suġġett tad-data tmur lil hinn mill-kompiti u mis-setgħat tagħha skont, rispettivament, l-Artikoli 57 u 58 tal-GDPR. Din l-awtorità tqis li dawn id-dispożizzjonijiet ma jagħtux, lill-awtoritajiet superviżorji, setgħat korrettivi fuq il-liġi nazzjonali u li ma huwiex possibbli li jiġu eżerċitati tali setgħat fir-rigward ta’ kontrollur li jkun illimita ruħu li jirrispetta l-liġi nazzjonali.
54.
F’dan ir-rigward, għandu jiġi enfasizzat li l-eżami minn awtorità superviżorja nazzjonali dwar jekk il-kundizzjonijiet kollha għall-applikazzjoni tad-deroga previsti fl-Artikolu 14(5)(c) ġewx imwettqa ma jirrigwardax, kif irrilevat ġustament il-Kummissjoni, eżami tal-validità tad-dritt nazzjonali. L-awtorità superviżorja għandha teżamina biss jekk il-kontrollur tad-data jistax jinvoka d-deroga fir-rigward ta’ suġġett tad-data partikolari f’sitwazzjoni partikolari.
55.
Għaldaqstant, hija l-awtorità superviżorja nazzjonali li għandha teżamina t-talba ta’ suġġett tad-data intiża sabiex il-kontrollur ma jkunx eżentat milli jipprovdi informazzjoni għar-raġuni li d-dritt rilevanti ma jipprevedix miżuri adatti sabiex jiġu protetti l-interessi leġittimi tas-suġġett tad-data.
56.
Jekk l-awtorità superviżorja nazzjonali tasal għall-konklużjoni li t-talba hija infondata, il-persuna li ressqet it-talba u li tikkontesta din il-konstatazzjoni għandu jkollha, kif jirriżulta mill-Artikolu 78 tal-GDPR, aċċess għar-rimedji ġudizzjarji li jippermettulha tikkontesta tali deċiżjoni quddiem il-qrati nazzjonali.
57.
Jekk l-awtorità superviżorja nazzjonali tqis li t-talba hija fondata u li l-kundizzjonijiet għad-deroga ma humiex issodisfatti, hija għandha s-setgħa, kif sostnew, essenzjalment, il-Gvern Ungeriż u l-Kummissjoni, li tordna lill-kontrollur jaġixxi fuq talba tas-suġġett tad-data. F’dan il-każ, il-kontrollur għandu jipprovdi l-informazzjoni skont l-Artikolu 14(1) sa (4).
58.
Bi tweġiba għall-mistoqsijiet bil-miktub magħmula mill-Qorti tal-Ġustizzja, il-Gvern Ċek sostna li l-eżami tal-adegwatezza tal-miżuri ta’ protezzjoni tal-interessi leġittimi tas-suġġett tad-data ma huwiex possibbli meta d-dritt nazzjonali jipprevedi, b’mod immirat, fid-dawl ta’ sitwazzjoni konkreta, eċċezzjoni għall-obbligu ta’ informazzjoni. Filwaqt li jibbaża ruħu fuq is-sentenza Schrems (
30
), dan il-gvern josserva, essenzjalment, li l-eżami tal-kompatibbiltà ta’ sors tad-dritt ma’ sors ieħor tad-dritt jaqa’ taħt ir-responsabbiltà esklużiva tal-qrati u mhux ta’ awtorità amministrattiva.
59.
F’dan ir-rigward, għandu jitfakkar li waħda mill-kwistjonijiet prinċipali mqajma fil-kawża Schrems kienet tikkonċerna s-setgħat tal-awtoritajiet superviżorji nazzjonali li jeżaminaw it-talba ta’ persuna dwar il-protezzjoni tad-drittijiet u tal-libertajiet tagħha fir-rigward ta’ deċiżjoni tal-Kummissjoni li tikkonstata li pajjiż terz jiżgura livell adegwat ta’ protezzjoni (
31
). Il-Qorti tal-Ġustizzja ddeċidiet, essenzjalment, li meta l-awtoritajiet superviżorji nazzjonali jeżaminaw tali talba, huma ma jistgħux jikkonstataw huma stess l-invalidità ta’ din id-deċiżjoni (
32
). Meta l-awtorità superviżorja nazzjonali tqis li l-oġġezzjonijiet imressqa mill-persuna li tkun ressqet it-talba jkunu fondati, din l-awtorità għandha tkun tista’ timpenja ruħha fi proċedimenti legali (
33
).
60.
Madankollu, is-sentenza fil-kawża Schrems ma tidhirx li hija direttament rilevanti fir-rigward tal-kwistjoni tas-setgħat tal-awtoritajiet superviżorji fir-rigward tal-eżami tad-deroga prevista fl-Artikolu 14(5)(c) tal-GDPR. Għandu jiġi rrilevat qabel kollox li, fil-kuntest ta’ dan l-eżami, l-awtorità superviżorja ma tinterferixxix mal-obbligu legali impost fuq il-kontrollur li jikseb jew jikkomunika d-data personali. Fi kliem ieħor, l-awtorità superviżorja ma tordnax lill-kontrollur sabiex jastjeni milli japplika obbligu legali li jikseb jew jiżvela li l-kontrollur tad-data jibqa’ responsabbli għalih. Kif sostnew, essenzjalment, il-Kummissjoni u l-Gvern Ungeriż, f’tali sitwazzjoni, is-setgħa tal-awtorità superviżorja nazzjonali tikkonsisti fl-ordni lill-kontrollur sabiex jipprovdi l-informazzjoni neċessarja fid-dikjarazzjoni ta’ privatezza tiegħu (
34
) jekk il-kundizzjonijiet tad-deroga rilevanti ma jkunux issodisfatti. Tali digriet, kif ġie rrilevat iktar ’il fuq, ma jippreġudikax il-validità tal-miżura legali li għaliha huwa suġġett il-kontrollur.
61.
Is-setgħa tal-awtorità superviżorja li tordna lill-kontrollur jipprovdi informazzjoni hija mingħajr preġudizzju għas-setgħa ta’ din l-awtorità, jekk hija tqis li l-miżura legali inkwistjoni hija invalida, li timpenja ruħha fi proċedimenti legali previsti għal dan l-għan mid-dritt nazzjonali, skont l-Artikolu 58(5) tal-GDPR.
62.
Fl-aħħar, fuq livell iktar sistematiku, kif sostnew il-partijiet interessati kollha, l-awtorità superviżorja għandu jkollha s-setgħa li tagħti pariri lil-leġiżlatur jew l-eżekuttiv li jemenda l-miżura legali rilevanti jekk iqis li ma tipprevedix miżuri adatti biex tipproteġi l-interessi leġittimi tas-suġġett tad-data. F’dan ir-rigward, għandu jitfakkar li l-awtoritajiet superviżorji huma responsabbli biex jagħtu pariri lill-parlament nazzjonali, kif ukoll lill-gvern u lill-istituzzjonijiet u korpi oħra, skont l-Artikolu 57(1)(c) tal-GDPR. Huma għandu jkollhom ukoll is-setgħat konsultattivi previsti fl-Artikolu 58(3)(b) tal-GDPR.
63.
Minn dak li ntqal iktar ’il fuq jirriżulta li l-Artikolu 77(1) tal-GDPR għandu jiġi interpretat fis-sens li, fil-kuntest ta’ proċedura ta’ lment, l-awtorità superviżorja għandha s-setgħa li teżamina jekk il-kundizzjonijiet kollha previsti fl-Artikolu 14(5)(c) ta’ dan ir-regolament ġew osservati. B’mod partikolari, hija għandha s-setgħa li teżamina jekk il-liġi tal-Istat Membru, li għaliha huwa suġġett il-kontrollur, tipprevedix miżuri adatti biex jiġu protetti l-interessi leġittimi tas-suġġett tad-data.
D.
Fuq it‑tielet domanda
64.
Permezz tat-tielet domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 14(5)(c) tal-GDPR għandux jiġi interpretat fis-sens li l-“miżuri adatti” msemmija f’din id-dispożizzjoni jimponu fuq il-leġiżlatur nazzjonali l-obbligu li jittrasponi l-miżuri dwar is-sigurtà tad-data previsti fl-Artikolu 32 ta’ dan ir-regolament.
65.
F’dan ir-rigward, għandu jitfakkar, minn naħa, li l-applikabbiltà tad-deroga għall-obbligu ta’ informazzjoni skont l-Artikolu 14(5)(c) tal-GDPR jiddependi fuq il-proviżjoni ta’ “miżuri adatti” biex jiġu protetti l-interessi leġittimi tas-suġġett tad-data. Min-naħa l-oħra, mill-Artikolu 32 tal-GDPR jirriżulta li l-kontrollur u l-proċessur għandhom jimplimentaw “miżuri tekniċi u organizzattivi adatti” sabiex jiżguraw is-sigurtà tal-ipproċessar.
66.
Madankollu, kif issostni l-Kummissjoni, l-Artikoli 14 u 32 għandhom kamp ta’ applikazzjoni distinta. Il-kamp ta’ applikazzjoni tal-“miżuri adatti” għandu jiġi eżaminat fil-kuntest tal-Artikolu 14 tal-GDPR. Għalhekk ma huwiex possibbli li tiġi ddeterminata waħda mill-kundizzjonijiet għall-applikazzjoni tad-deroga prevista fl-Artikolu 14(5)(c) permezz tat-traspożizzjoni tal-kunċett ta’ “miżuri tekniċi u organizzattivi adatti” użat f’dispożizzjoni oħra. Barra minn hekk, fil-kuntest tal-Artikolu 32 tal-GDPR, ma jidhirx rilevanti li jsir magħruf jekk huwiex il-kontrollur li jipprovdi informazzjoni jew jekk il-kisba jew il-komunikazzjoni hijiex prevista mil-liġi. Għaldaqstant, is-suġġett tal-eżami mwettaq mill-awtorità superviżorja għandu jkun limitat mill-kamp ta’ applikazzjoni tal-Artikolu 14.
67.
Il-kontenut eżatt tal-“miżuri adatti” ma huwiex speċifikat fl-Artikolu 14(5)(c) tal-GDPR. Huwa wiesgħa biżżejjed biex ikopri kwalunkwe miżura li l-leġiżlatur iqis neċessarja u xierqa. Il-kunċett ta’ “miżuri adatti” għandu jiġi interpretat, kif sostniet essenzjalment il-Kummissjoni, fid-dawl tal-prinċipju ta’ trasparenza stabbilit fl-Artikolu 5(1)(a) tal-GDPR. F’dan ir-rigward, huwa importanti li jittieħed inkunsiderazzjoni l-fatt li d-dritt rilevanti, kif ġie rrilevat fl-osservazzjonijiet preliminari ta’ dawn il-konklużjonijiet (
35
), huwa “sostitut” għall-obbligu ta’ informazzjoni li normalment jaqa’ fuq il-kontrollur. Huwa f’idejn il-leġiżlatur li jiddetermina l-miżuri adatti, pereżempju, skont il-kategorija ta’ data miksuba u l-kuntest li fih isir l-ipproċessar.
68.
Il-Gvern Ċek sostna, fir-risposta għad-domanda magħmula mill-Qorti tal-Ġustizzja, li l-kamp ta’ applikazzjoni tal-miżuri adatti huwa usa’ mil-lista ta’ informazzjoni li tinsab fl-Artikolu 14(1), (2) u (4) tal-GDPR.
69.
Jiena naqbel li n-natura xierqa tal-miżuri ma tistax tiġi evalwata biss permezz ta’ paragun “mekkaniku” mal-obbligi ta’ informazzjoni tal-kontrollur armonizzati mill-GDPR. Jidher li ma jagħmilx sens li tiġi prevista “klawżola ta’ ftuħ” skont l-Artikolu 14(5)(c) (
36
) filwaqt li jiġu imposti eżattament l-istess obbligi mingħajr ma titħalla ebda marġni ta’ diskrezzjoni lil-leġiżlatur. Madankollu, id-dritt rilevanti għandu jiżgura standard ta’ pproċessar li huwa ġust u trasparenti u ekwivalenti għal dak żgurat mill-Artikolu 14(1) sa (4) (
37
). Sabiex is-suġġett tad-data jevalwa kwalunkwe riskju assoċjat mal-kisba tad-data u l-ipproċessar tagħha (
38
), qari sempliċi tad-dispożizzjoni legali rilevanti għandu jagħmilha ċara min jipproċessa d-data, għal liema raġuni u b’liema mod (
39
). Kif indikajt iktar ’il fuq (
40
), il-mezz legali differenti għandu jwassal għall-istess riżultat, li jikkonsisti f’li s-suġġett tad-data jitqiegħed f’pożizzjoni li jeżerċita kontroll fuq id-data tiegħu u li jeżerċita d-drittijiet mogħtija lilu mill-GDPR.
70.
Il-bażi legali speċifika għall-ipproċessar taffettwa wkoll id-determinazzjoni tal-“miżuri adatti” għaċ-ċirkustanzi partikolari tal-ipproċessar. F’dan ir-rigward, għandu jiġi mfakkar li jirriżulta mill-Artikolu 6(1)(c) u (e) tal-GDPR, li l-ipproċessar ikun legali jekk u sa fejn ikun meħtieġ għall-konformità ma’ obbligu legali li għalih huwa suġġett il-kontrollur u meta l-ipproċessar ikun meħtieġ għat-twettiq ta’ kompitu li jsir fl-interess pubbliku. Fir-rigward ta’ dan l-ipproċessar, f’konformità mal-Artikolu 6(2), l-Istati Membri jistgħu jżommu jew jintroduċu dispożizzjonijiet aktar speċifiċi biex jadattaw l-applikazzjoni tar-regoli tal-GDPR fir-rigward tal-ipproċessar billi jiddeterminaw b’mod aktar preċiż rekwiżiti speċifiċi għall-ipproċessar u miżuri oħra biex jiġi żgurat ipproċessar legali u ġust (
41
). Barra minn hekk, skont l-Artikolu 9(2)(i) tal-GDPR, fejn l-ipproċessar ikun meħtieġ għal raġunijiet ta’ interess pubbliku fil-qasam tas-saħħa pubblika, il-liġi tal-Istat Membru (jew tal-Unjoni) għandha tipprevedi miżuri xierqa u speċifiċi biex jiġu ssalvagwardati d-drittijiet u l-libertajiet tas-suġġett tad-data.
71.
Fil-kawża prinċipali, il-kisba tad-data ġiet imposta mid-Digriet 60/2021, li, kif jirriżulta mill-proċess, ġie adottat fuq il-bażi tal-Artikolu 6(1)(c) u (e) u l-Artikolu 9(2)(i) tal-GDPR. Il-Gvern Ungeriż isostni li d-Digriet 60/2021 – apparti l-garanziji ġenerali li japplikaw skont il-qafas ġuridiku adottat sabiex tiġi żgurata l-legalità tal-ipproċessar – jipprovdi garanziji addizzjonali. F’dan ir-rigward, dan il-gvern indika li waħda minn dawn il-garanziji kienet tikkonsisti fil-fatt li s-subappaltaturi indikati minn dan id-digriet huma miżmuma mill-Istat u għandhom josservaw il-qafas leġiżlattiv fir-rigward tas-sigurtà tad-data applikabbli għall-organi tal-Istat u għall-amministrazzjoni lokali. Hija l-qorti tar-rinviju li għandha teżamina dawn l-argumenti u tevalwa jekk id-dritt nazzjonali jipprovdix miżuri xierqa fid-dawl tal-kunsiderazzjonijiet preċedenti.
72.
Fid-dawl ta’ dak li ntqal hawn fuq, jiena tal-fehma li l-Artikolu 14(5)(c) tal-GDPR għandu jiġi interpretat fis-sens li l-“miżuri adatti” msemmija f’din id-dispożizzjoni ma jimponux fuq il-leġiżlatur nazzjonali l-obbligu li jittrasponi l-miżuri dwar is-sigurtà tad-data previsti fl-Artikolu 32 ta’ dan ir-regolament.
V. Konklużjoni
73.
Fid-dawl tal-kunsiderazzjonijiet kollha preċedenti, nipproponi li l-Qorti tal-Ġustizzja tirrispondi kif ġej għad-domandi preliminari magħmula mill-Kúria (il-Qorti Suprema, l-Ungerija):
(1)
L-Artikolu 14(5)(c) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data),
għandu jiġi interpretat fis-sens li d-deroga mill-obbligu tal-kontrollur tad-data li jipprovdi informazzjoni lis-suġġett tad-data tapplika għad-data kollha li l-kontrollur ma jkunx kiseb mingħand is-suġġett tad-data. F’dan ir-rigward, ma huwiex rilevanti jekk id-data hijiex espressament miksuba mingħand entità oħra jew jekk hijiex iġġenerata mill-kontrollur fil-kuntest tal-proċedura tiegħu stess.
(2)
L-Artikolu 77(1) tar-Regolament 2016/679
għandu jiġi interpretat fis-sens li, fil-kuntest ta’ proċedura ta’ lment, l-awtorità superviżorja għandha s-setgħa li teżamina jekk il-kundizzjonijiet kollha previsti fl-Artikolu 14(5)(c) ta’ dan ir-regolament ġewx osservati. B’mod partikolari, hija għandha s-setgħa li teżamina jekk il-liġi tal-Istat Membru, li għaliha huwa soġġett il-kontrollur, tipprevedix miżuri adatti biex jiġu protetti l-interessi leġittimi tas-suġġett tad-data.
3)
L-Artikolu 14(5)(c) tar-Regolament 2016/679
għandu jiġi interpretat fis-sens li l-“miżuri adatti” msemmija f’din id-dispożizzjoni ma jimponux fuq il-leġiżlatur nazzjonali l-obbligu li jittrasponi l-miżuri dwar is-sigurtà tad-data previsti fl-Artikolu 32 ta’ dan ir-regolament.
(
1
)	Lingwa oriġinali: l-Ingliż.
(
i
)	L-isem ta’ din il-kawża huwa fittizju. Dan l-isem ma jikkorrispondi għall-isem reali ta’ ebda waħda mill-partijiet fil-proċedura.
(
2
)	Konklużjonijiet tal-Avukat Ġenerali Cruz Villalón f’Bara et (C‑201/14, EU:C:2015:461, punt 74) (korsiv miżjud minni).
(
3
)	Vrabec, U., H., “Data Subject Rights under the GDPR”, Oxford University Press, Oxford, 2021, p. 64.
(
4
)	Regolament tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1; iktar ’il quddiem il-“GDPR”).
(
5
)	Ara l-Artikolu 29 Grupp ta’ Ħidma dwar il-Protezzjoni tad-Data, Linji gwida dwar it-trasparenza skont ir-Regolament 2016/679, adottati fid‑29 ta’ Novembru 2017, 17/MT WP260 rev.01 (iktar ’il quddiem il-“Linji Gwida dwar it-Trasparenza”), punt 4. Dan il-Grupp ta’ Ħidma imbagħad ġie ssostitwit mill-Bord Ewropew għall-Protezzjoni tad-Data (EDPB). Madankollu, il-Linji Gwida dwar it-Trasparenza għadhom validi. Ara wkoll EDPB, Linji Gwida 03/2020 dwar l-ipproċessar ta’ data dwar is-saħħa għall-finijiet ta’ riċerka xjentifika fil-kuntest tat-tifqigħa tal-COVID‑19, adottati fil‑21 ta’ April 2020, punt 5.1.2.4.
(
6
)	Sentenza tal‑1 ta’ Ottubru 2015, Bara et (C‑201/14, EU:C:2015:638, punt 33), li tiċċita l-konklużjonijiet tal-Avukat Ġenerali Cruz Villalón f’dik il-kawża.
(
7
)	Ara l-Linji Gwida dwar it-Trasparenza, punt 24. Ara wkoll Vrabec, U., H., Data Subject Rights under the GDPR, op. cit. iktar ’il fuq fin-nota ta’ qiegħ il-paġna 3, p. 84.
(
8
)	Ara, Zanfir-Fortuna, G., “Article 14. Information to be provided where personal data have not been obtained from the data subject” f’Kuner, C., Bygrave, L.A. u Docksey, C. (edituri), The EU General Data Protection Regulation (GDPR) – A Commentary, Oxford University Press, Oxford, 2020, p. 435‑448, f’p. 436.
(
9
)	Ibid., p. 444.
(
10
)	Vrabec, U., H., Data Subject Rights under the GDPR, op. cit. iktar ’il fuq fin-nota ta’ qiegħ il-paġna 3, p. 68.
(
11
)	Meta l-ipproċessar ikun ibbażat fuq l-Artikolu 6(1)(f) tal-GDPR.
(
12
)	Bħala dispożizzjoni li tinkludi klawżola ta’ ftuħ, hija tippermetti lill-Istati Membri jipprevedu regoli nazzjonali addizzjonali, iktar stretti jew derogatorji u tħallilhom marġni ta’ diskrezzjoni fir-rigward tal-mod kif id-dispożizzjoni rilevanti tista’ tiġi implimentata (ara, f’dan is-sens, is-sentenza tat‑30 ta’ Marzu 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punt 51). Ara Knyrim, R., “IV. Ausnahme von der Informationspflicht” f’Ehmann, E. u Selmayr, M., Datenschutz Grundverordnung, DS – GVO, Beck, Munich, it-tieni edizzjoni, 2018, Artikolu 14, paragrafi 42 sa 48, f’paragrafu 47.
(
13
)	Jiġifieri l-verżjonijiet bil-Bulgaru, bid-Daniż, bil-Ġermaniż, bil-Grieg, bl-Ispanjol, bit-Taljan, bl-Ingliż, bil-Pollakk, bis-Slovakk u bl-Isvediż.
(
14
)	Dan huwa partikolarment il-każ għall-verżjoni Estonjana (“isikuandmed”), Litwana (“duomenų”), Ungeriża (“adat”), Olandiża (“gegevens”), Portugiża (“dados”), Rumena (“Datelor”) u Finlandiża (“tietojen”).
(
15
)	Fil-letteratura legali bil-lingwa Franċiża huwa osservat li l-verżjoni bil-lingwa Franċiża kellha tindika “data” minflok “informazzjoni”, kif kien il-każ taħt il-predeċessur tal-Artikolu 14(5)(c) tal-GDPR, jiġifieri l-Artikolu 11(2) tad-Direttiva 95/46/KE tal-Parlament Ewropew u tal-Kunsill tal‑24 ta’ Ottubru 1995 dwar il-protezzjoni ta’ individwi fir-rigward ta’ l-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ dik id-data (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 13, Vol. 15, p. 355‑357) (ara Terwangne, C. u Rosier, K., “Section 1. – Droit d’être informée de l’existence de traitements la concernant” f’Le règlement général
sur la protection des données (RGPD/GDPR), Larcier, Brussell, l-ewwel edizzjoni, 2018, p. 409 sa 432, nota ta’ qiegħ il-paġna 132).
(
16
)	Ara, f’dan is-sens, is-sentenza tal‑21 ta’ Marzu 2024, Cobult (C‑76/23, EU:C:2024:253, punt 25 u l-ġurisprudenza ċċitata).
(
17
)	Ara, f’dan is-sens, is-sentenza tal‑5 ta’ Ottubru 2023, Ministerstvo zdravotnictví (Apparat mobbli għall-COVID‑19) (C‑659/22, EU:C:2023:745, punt 27).
(
18
)	Ebner, K., “6. Ausschluss der Informationspflicht”, Weniger ist Mehr? Die Informationspflichten der DS-GVO – Eine kritische Analyse, Nomos, Baden-Baden, 2022, p. 272 sa 298, f’p. 280. Dan l-awtur josserva wkoll (f’p. 281) li l-eżenzjoni tal-kontrollur milli jipprovdi informazzjoni fis-sitwazzjoni prevista fl-Artikolu 14(5)(c) hija mezz biex jiġi evitat ir-riskju ta’ “għeja” jew “tagħbija żejda” bl-informazzjoni; Dix, A., “DSGVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- g) Regelung durch das Recht der Mitgliedstaaten oder der Union (Abs. 5 lit. c)’ f’Simitis, S., Hornung, G., u Spiecker, I., Datenschutzrecht DS-GVO mit BDSG Großkommentar, Beck, München, 2019, paragrafi 27 u 28, f’paragrafu 27, li jirreferu għad-dritt rilevanti bħala “sostitut suffiċjenti” (“hinreichendes Surrogat”) għall-informazzjoni rikjesta pprovduta mill-kontrollur.
(
19
)	Dix, A., op. cit. iktar ’il fuq fin-nota ta’ qiegħ il-paġna 18.
(
20
)	Linji Gwida dwar it-Trasparenza, punt 66. Għalhekk, il-kontrolluri tad-data għandhom ikunu jistgħu juru kif il-liġi inkwistjoni hija applikabbli għalihom u jobbligawhom jew jiksbu jew jiżvelaw id-data personali inkwistjoni.
(
21
)	Ara l-punt 16 ta’ dawn il-konklużjonijiet.
(
22
)	Sentenza tas‑7 ta’ Diċembru 2023, SCHUFA Holding (Rilaxx minn dejn li ma tħallasx lura) (C‑26/22 u C‑64/22, EU:C:2023:958, punt 48 u l-ġurisprudenza ċċitata).
(
23
)	Ara l-punt 31 indikat iktar ’il fuq.
(
24
)	Ara l-punt 23 indikat iktar ’il fuq.
(
25
)	Dix, A., f’Simitis, S., Hornung, G., u Spiecker, I., op. cit. fin-nota ta’ qiegħ il-paġna 18 u Ebner, K., “6. Ausschluss der Informationspflicht”, op. cit. fin-nota ta’ qiegħ il-paġna 18, p. 281.
(
26
)	Sentenza tas‑16 ta’ Jannar 2024, Österreichische Datenschutzbehörde (C‑33/22, EU:C:2024:46, punt 61).
(
27
)	Ibid.
(
28
)	Ara l-Linji Gwida dwar it-Trasparenza, punt 66.
(
29
)	Ibid.
(
30
)	Sentenza tas‑6 ta’ Ottubru 2015, Schrems (C‑362/14, EU:C:2015:650, punt 65).
(
31
)	Skont l-Artikolu 25(6) tad-Direttiva 95/46.
(
32
)	Ara, f’dan ir-rigward, is-sentenza tas‑6 ta’ Ottubru 2015, Schrems (C‑362/14, EU:C:2015:650, punt 62).
(
33
)	Ibid., punt 65.
(
34
)	Dan huwa mingħajr preġudizzju għal kwalunkwe restrizzjonijiet għad-dritt għall-informazzjoni li jista’ jiġi impost mill-Unjoni jew mill-Istat Membru taħt il-kundizzjonijiet stipulati fl-Artikolu 23 tal-GDPR.
(
35
)	Ara l-punt 31 indikat iktar ’il fuq.
(
36
)	Ara l-punt 27 ta’ dawn il-konklużjonijiet.
(
37
)	Ara, f’dan is-sens, Ebner, K., “6. Ausschluss der Informationspflicht”, op. cit. fin-nota ta’ qiegħ il-paġna 18, p. 281, li jirreferi għal livell paragunabbli ta’ protezzjoni (“vergleichbares Schutzniveau”); Mester, B.-A., “DS-GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- 3. Ausdrückliche Regelung (Abs. 5 lit. c)”, f’Taeger, J. u Gabel, D., DSGVO – BDSG – TTDSG, Beck, München, 2022, punt 26; Paal, B. u Hennemann, M., “DS-GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- III. Sonstige Regelung (lit. c)”, f’Paal, B. u Pauly, D., Datenschutz-Grundverordnung Bundesdatenschutzgesetz: DS-GVO BDSG, Beck, München, 2021, punt 42.
(
38
)	Mester, B.-A., f’Taeger, J., u Gabel, D. op. cit. fin-nota ta’ qiegħ il-paġna 37.
(
39
)	Ebner, K., “6. Ausschluss der Informationspflicht”, op. cit. fin-nota ta’ qiegħ il-paġna 18, p. 281.
(
40
)	Punt 43 ta’ dawn il-konklużjonijiet.
(
41
)	Dawn id-dispożizzjonijiet speċifiċi jistgħu jinkludu l-elementi elenkati fl-Artikolu 6(3) tal-GDPR, inter alia: il-kundizzjonijiet ġenerali li jirregolaw il-legalità tal-ipproċessar; it-tipi ta’ data li qed tiġi pproċessata; l-entitajiet li lilhom tista’ tiġi żvelata d-data personali u l-għanijiet li għalihom tista’ tiġi żvelata; il-limitazzjoni tal-iskop; il-perijodi ta’ żamma; u operazzjonijiet u proċeduri ta’ pproċessar, inklużi miżuri biex jiġi żgurat ipproċessar legali u ġust, bħal dawk previsti f’sitwazzjonijiet speċifiċi oħra ta’ pproċessar, kif previst fil-Kapitolu IX tal-GDPR.