62021CC0683
TUAIRIM AN ABHCÓIDE GHINEARÁLTA
EMILIOU
arna tabhairt an 4 Bealtaine 2023 (
1
)
Cás C-683/21
Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos
v
Valstybinė duomenų apsaugos inspekcija,
Páirtithe eile:
‘IT sprendimai sėkmei’ UAB,
Lietuvos Respublikos sveikatos apsaugos ministerija
(iarraidh ar réamhrialú ón Vilniaus apygardos administracinis teismas (an Chúirt Réigiúnach Riaracháin, Vilnius, an Liotuáin))
(Tarchur chun réamhrialú – Cosaint sonraí pearsanta – Rialachán (AE) 2016/679 – Airteagal 4(7) – Coincheap an ‘rialaitheora’ – Forbairt feidhmchláir mhóibíligh i gcomhthéacs phaindéim COVID-19 – Cúram an údaráis phoiblí atá i gceannas ar eagrú an nós imeachta chun tairiscintí a lorg le haghaidh an feidhmchlár móibíleach a fháil – Airteagal 4(2) – Coincheap ‘próiseála’ – Úsáid sonraí príobháideacha le linn céim tástála d’fheidhmchlár móibíleach – Airteagal 26(1) – Rialú comhpháirteach – Airteagal 83 – Fíneálacha riaracháin a ghearradh – Coinníollacha – Gá go ndéanfaí an sárú d’aon ghnó nó le faillí – Freagracht an rialaitheora as próiseáil sonraí pearsanta a dhéanann próiseálaí)
I. Réamhrá
1.
I ndomhan ina bhfuil sonraí pearsanta tagtha chun bheith ina mír mhargántaíochta agus gur mianach óir nua-aimsithe é do ghnólachtaí, cad iad na coinníollacha faoinar féidir fíneálacha riaracháin a ghearradh ar rialaitheoirí nó ar phróiseálaithe as sárú ar na rialacha cosanta sonraí atá leagtha amach i Rialachán (AE) 2016/679 (
2
)? Go sonrach, an gá eilimint ‘lochta’ a chomhlíonadh sular féidir leo a bheith faoi réir fíneálacha den sórt sin? Is é sin an bhuncheist a d’ardaigh an Vilniaus apygardos administracinis teismas (An Chúirt Riaracháin Réigiúnach, Vilnius, an Liotuáin) sa chás seo.
2.
An díospóid os comhair na cúirte, a eascraíonn idir an Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos (An tIonad Sláinte Phoiblí Náisiúnta faoin Aireacht Sláinte, an Liotuáin; ‘NVSC’) agus an Valstybinė duomenų apsaugos inspekcija (Cigireacht um Chosaint Sonraí Stáit, an Liotuáin; ‘an Chigireacht’), go bunúsach, leis an ról atá ag NVSC i bhforbairt agus i gcur ar fáil go poiblí feidhmchláir mhóibíligh a bhailigh, i mí Aibreáin agus i mí na Bealtaine 2020, sonraí pearsanta daoine a bhí i dteagmháil le hothair ionfhabhtaithe le COVID-19.
3.
Laistigh den chomhthéacs sin, tugann an cás seo deis don Chúirt soiléireacht bhreise a thabhairt maidir leis na coincheapa ‘rialaitheoir’, ‘rialaitheoirí comhpháirteacha’ agus ‘próiseáil’, a shainítear faoi seach in Airteagal 4(7), Airteagal 26(1) agus Airteagal 4(2) RGCS, agus breithniú a dhéanamh, den chéad uair, an féidir, agus Airteagal 83 den rialachán sin á chur i bhfeidhm, fíneáil riaracháin a ghearradh ar rialaitheoir nach ndearna sárú ar na rialacha atá in RGCS d’aon ghnó nó le faillí. Leis an gceist sin ceanglaítear ar an gCúirt a áirithiú an gceadaítear leis an bhforáil sin fíneálacha a ghearradh in éagmais aon locht, ar bhonn dliteanas docht.
II. An dlí lena mbaineann
A.
Dlí an Aontais Eorpaigh
4.
Luaitear an méid seo a leanas in aithris 148 RGCS:
‘D’fhonn fhorfheidhmiú rialacha an Rialacháin seo a neartú, ba cheart pionóis, lena n-áirítear fíneálacha riaracháin, a fhorchur má dhéantar aon sárú ar an Rialachán sin [...] I gcás mionsáruithe nó más rud é go mbeadh an fhíneáil ar dóigh go bhforchuirfí ina hualach díréireach ar dhuine nádúrtha, féadfar iomardú a eisiúint in ionad fíneála. Mar sin féin, ba cheart aird chuí a thabhairt ar chineál, tromaíocht agus fad an tsáraithe, ar ghné intinniúil an tsáraithe, ar na gníomhaíochtaí atá le déanamh chun an damáiste a fulaingíodh a mhaolú, ar mhéid freagrachta nó ar aon sáruithe ábhartha roimhe sin, ar an mbealach ina bhfuair an t-údarás maoirseachta eolas faoin sárú, ar chomhlíonadh na mbeart a ordaíodh i gcoinne an rialaitheora nó an phróiseálaí, ar chloí le cód iompair agus ar aon ghné ghéaraitheach nó aon ghné mhaolaitheach eile. Ba cheart forchur pionós, lena n-áirítear fíneálacha riaracháin, a bheith faoi réir coimircí iomchuí nós imeachta i gcomhréir le prionsabail ghinearálta dhlí an Aontais agus i gcomhréir leis an gCairt, lena n-áirítear cosaint éifeachtach bhreithiúnach agus próis chuí.’
5.
De bhun aithris 150 den Rialachán sin:
‘Chun pionóis riaracháin a neartú agus a chomhchuibhiú le haghaidh sáruithe ar an Rialachán seo, ba cheart an chumhacht a bheith ag gach údarás maoirseachta fíneálacha riaracháin a ghearradh. Ba cheart a léiriú sa Rialachán seo sáruithe agus an uasteorainn agus na critéir chun na fíneálacha riaracháin a bhaineann leo a shocrú, ar cheart don údarás maoirseachta inniúil iad a chinneadh i ngach cás aonair, agus na himthosca ábhartha uile den staid shonrach á gcur san áireamh, agus aird chuí á tabhairt go háirithe ar chineál, ar thromaíocht agus ar fhad an tsáraithe agus ar a iarmhairtí agus ar na bearta a dhéantar chun a áirithiú go gcomhlíontar faoin Rialachán seo agus chun iarmhairtí an tsáraithe a chosc nó a mhaolú. [...] Le fíneáil riaracháin a ghearradh nó le foláireamh a thabhairt, ní dhéantar difear do chur i bhfeidhm cumhachtaí eile de chuid na n-údarás maoirseachta ná do chur i bhfeidhm pionós eile faoin Rialachán seo.’
6.
Sainmhínítear in Airteagal 4(7) RGCS coincheap an ‘rialaitheora’ mar ‘an duine nádúrtha nó dlítheanach, an t-údarás poiblí, an ghníomhaireacht nó an comhlacht eile a chinneann, ina aonar nó i gcomhpháirt, críocha agus modhanna phróiseáil na sonraí pearsanta [...]’.
7.
Luaitear an méid seo a leanas in Airteagal 26 den Rialachán sin, dar teideal ‘Rialaitheoirí comhpháirteacha’, sa chuid ábhartha:
‘1.   I gcás ina gcinneann dhá rialaitheoir nó níos mó go comhpháirteach críocha agus bealaí na próiseála, beidh siad ina rialaitheoirí comhpháirteacha.
[…]’
8.
Foráiltear le hAirteagal 83 den Rialachán sin, dar teideal ‘Coinníollacha ginearálta maidir le fíneálacha riaracháin a ghearradh’:
‘1.   Áiritheoidh gach údarás maoirseachta, maidir le fíneálacha riaracháin a ghearradh de bhun an Airteagail seo i ndáil le sáruithe ar an Rialachán seo dá dtagraítear i míreanna 4, 5 agus 6 go mbeidh an gearradh sin éifeachtach, comhréireach agus athchomhairleach i ngach cás aonair.
2.   Gearrfar fíneálacha riaracháin, ag brath ar dhálaí gach cáis aonair, de bhreis ar bhearta dá dtagraítear i bpointe (a) go pointe (h) agus i bpointe (j) d’Airteagal 58(2) nó ina n-ionad. Nuair a bheidh cinneadh á dhéanamh an ngearrfar fíneáil riaracháin agus nuair a bheidh cinneadh á dhéanamh maidir le méid na fíneála riaracháin i ngach cás aonair, tabharfar aird chuí ar an méid seo a leanas:
(a)
cineál, tromaíocht agus fad an tsáraithe agus cineál[,] raon feidhme nó cuspóir na próiseála lena mbaineann á gcur san áireamh chomh maith le líon na n-ábhar sonraí do shonraí a ndearnadh difear dóibh agus leibhéal an damáiste a bhain dóibh;
(b)
cineál an tsáraithe a bheith déanta d’aon ghnó nó le faillí;
[…]
(k)
aon imthosca ghéaraitheacha nó mhaolaitheacha eile is infheidhme i leith dálaí an cháis, amhail sochair airgeadais a gnóthaíodh, nó caillteanais a seachnaíodh, go díreach nó go hindíreach, as an sárú.
3.   Más rud é go sáraíonn rialaitheoir nó próiseálaí, d’aon ghnó nó le faillí, maidir leis na hoibríochtaí céanna próiseála, nó maidir le hoibríochtaí nasctha, roinnt forálacha den Rialachán seo, ní rachaidh méid iomlán na fíneála riaracháin thar an méid a shonraítear i leith an tsáraithe is tromchúisí.
[…]’
B.
Dlí na Liotuáine
9.
Sonraítear le hAirteagal 72(2) de Viešųjų pirkimų įstatymas (Dlí um Sholáthar Poiblí):
‘Déanfaidh an t-údarás conarthach nós imeachta idirbheartaithe gan fógra conartha a fhoilsiú sna céimeanna seo a leanas:
(1)
cuireadh i scríbhinn chuig na hoibreoirí eacnamaíocha roghnaithe chun tairiscintí a chur isteach;
(2)
fíorú i dtaobh an bhfuil aon fhoras ann chun oibreoirí eacnamaíocha a eisiamh mar a leagtar síos sna doiciméid soláthair, agus fíorú i dtaobh an gcomhlíonann na hoibreoirí eacnamaíocha na ceanglais cháilíochta a forchuireadh agus, i gcás inarb infheidhme, an gcomhlíonann siad na caighdeáin dearbhaithe cáilíochta agus/nó na caighdeáin bainistíochta comhshaoil is gá;
(3)
caibidlíocht a dhéanamh leis na tairgeoirí i gcomhréir leis an nós imeachta a bhunaítear in Airteagal 66 den dlí seo agus leis an iarraidh orthu tairiscintí deiridh a chur isteach. Ní cheanglófar ar an údarás conarthach a iarraidh go gcuirfear tairiscint deiridh isteach i gcás oibreoir eacnamaíoch amháin atá rannpháirteach sa nós imeachta idirbheartaithe gan fógra roimh ré a fhoilsiú;
(4)
meastóireacht ar na tairiscintí deiridh agus cinneadh an iarrthóra rathúil.’
III. Fíorais, imeachtaí náisiúnta agus na ceisteanna arna dtarchur
10.
D’fhonn freagra a thabhairt ar an staid mar thoradh ar leathadh COVID-19, d’ordaigh Aire Sláinte Phoblacht na Liotuáine (‘an tAire Sláinte’) do Stiúrthóir NVSC, le cinneadh an 24 Márta 2020, forbairt agus fáil feidhmchláir mhóibíligh a eagrú, is é sin KARANTINAS. Dearadh an feidhmchlár móibíleach sin chun sonraí pearsanta daoine aonair a bhí i dteagmháil le hothair ionfhabhtaithe le COVID-19 a bhailiú agus monatóireacht a dhéanamh orthu (
3
).
11.
An 27 Márta 2020, chuir duine a mhaígh gur gníomhaire é a dhéanann ionadaíocht ar NVSC in iúl don chuideachta ‘IT sprendimai sėkmei’ UAB (‘ITSS’) gur roghnaíodh é mar fhorbróir KARANTINAS. Malartaíodh ríomhphoist idir ITSS agus an duine sin agus freisin idir ITSS agus roinnt fostaithe agus Stiúrthóir NVSC, maidir le forbairt an fheidhmchláir mhóibíligh sin. Dréachtaíodh comhaontú rúndachta ag an gcéim sin freisin, inar luadh ITSS agus NVSC araon mar rialaitheoirí.
12.
Ar deireadh, cuireadh an feidhmchlár móibíleach a forbraíodh ar fáil le híoslódáil don phobal ó Google Play Store an 4 Aibreán 2020, agus ó Apple App Store an 6 Aibreán 2020. Luadh ITSS agus NVSC araon arís mar rialaitheoirí sa leagan de KARANTINAS a cuireadh ar fáil don phobal ar fáil le híoslódáil. Ag an am sin, ní raibh an feidhmchlár móibíleach sin ceannaithe fós ag NVSC.
13.
Le cinneadh an 10 Aibreán 2020, d’ordaigh an tAire Sláinte do Stiúrthóir NVSC dul ar aghaidh le KARANTINAS a fháil trí nós imeachta idirbheartaithe gan fógra conartha a fhoilsiú, agus Airteagal 72(2) den Dlí um Sholáthar Poiblí á chur i bhfeidhm.
14.
Cuireadh tús leis an nós imeachta sin ach, tar éis gur theip air an maoiniú riachtanach a fháil, chuir NVSC deireadh leis. Dá bhrí sin, níor cuireadh aon chonradh poiblí ceannaigh i gcrích. Lean KARANTINAS, áfach, de bheith ar fáil le híoslódáil don phobal.
15.
An 15 Bealtaine 2020, d’iarr NVSC ar ITSS gan aon sonraí faoi NVSC a úsáid ná naisc a tharraingt le NVSC san fheidhmchlár móibíleach. An 18 Bealtaine 2020, chuir an Chigireacht tús le himscrúdú a bhain le ITSS agus le NVSC araon as sárú na rialacha a leagtar síos in RGCS. Cuireadh oibríochtaí KARANTINAS ar fionraí ar iarratas ón gCigireacht an 26 Bealtaine 2020. De réir ITSS, chuir 3,802 úsáideoir a gcuid sonraí pearsanta ar fáil tríd an iarratas idir an 4 Aibreán agus an 26 Bealtaine 2020.
16.
Le cinneadh an 24 Feabhra 2021, ghearr an Chigireacht fíneálacha riaracháin ar NVSC agus ar ITSS, ina gcáil mar rialaitheoirí comhpháirteacha, as sáruithe ar Airteagail 5, 13, 24, 32 agus 35 RGCS (
4
).
17.
Rinne NVSC agóid i gcoinne an chinnidh sin roimh an Vilniaus apygardos administracinis teismas (An Chúirt Réigiúnach Riaracháin, Vilnius). Is é an cheist atá ag an gcúirt sin, go bunúsach, ná an gcaithfear coincheap an ‘rialaitheora’, de réir bhrí Airteagal 4(7) RGCS, a léiriú go ginearálta ionas go n-áireofar aon duine nádúrtha nó dlítheanach nó comhlacht amhail NVSC nach forbróir feidhmchláir mhóibíligh é ach, d’fhonn feidhmchlár móibíleach den sórt sin a fháil trí nós imeachta tairisceana, a chinn ‘críocha agus modhanna na próiseála [sonraí pearsanta]’, nó ar cheart an coincheap sin a léiriú ar bhealach níos déine, agus an nós imeachta soláthair phoiblí agus a thoradh á gcur san áireamh.
18.
Go háirithe, ní fheadar an bhfuil an fhíric gur tréigeadh an nós imeachta tairisceana ar deireadh thiar, agus KARANTINAS nach bhfuair NVSC riamh, ábhartha ina leith sin. Ní fheadar chomh maith an bhfuil aon tionchar ag an bhfíric nár thoiligh NVSC go hoifigiúil leis an bhfeidhmchlár móibíleach sin a chur ar fáil don phobal nó nár údaraigh sé é a chur ar fáil don phobal.
19.
Ina theannta sin, fiosraíonn sí an caidreamh idir NVSC agus ITSS. I ndáil leis sin, fiafraíonn sí cad iad na himthosca ina gcaithfí féachaint ar an eintiteas sin agus ar an gcuideachta sin mar ‘rialaitheoirí comhpháirteacha’, de réir bhrí Airteagal 4(7) agus Airteagal 26(1) RGCS. De rogha air sin, mura mbreathnófaí ar NVSC agus ar ITSS mar ‘rialaitheoirí comhpháirteacha’, ach mar ‘rialaitheoir’ agus ‘próiseálaí’ (
5
) (faoi seach) de réir bhrí RGCS, is mian leis a fháil amach cén uair a d’fhéadfadh dliteanas do NVSC a bheith mar thoradh ar ghníomhartha ITSS. Maidir leis sin, ní fheadar an gcaithfear Airteagal 83 RGCS a léiriú mar rud a chiallaíonn gur féidir fíneáil riaracháin a ghearradh ar rialaitheoir amhail NVSC nach ndearna aon sárú ar an Rialachán sin d’aon ghnó nó le faillí.
20.
I bhfianaise na gcúinsí sin, chinn an Vilniaus apygardos administracinis teismas (An Chúirt Réigiúnach Riaracháin, Vilnius) bac a chur ar na himeachtaí agus na ceisteanna seo a leanas a tharchur chuig an gCúirt Bhreithiúnais le haghaidh réamhrialú:
‘(1)
An féidir coincheap an “rialaitheora” atá leagtha amach in Airteagal 4(7) RGCS a léiriú mar choincheap a chiallaíonn go bhfuil duine atá ag pleanáil uirlis bailithe sonraí (feidhmchlár móibíleach) a fháil trí sholáthar poiblí, beag beann ar an bhfíric nach bhfuil conradh soláthair phoiblí tugtha i gcrích agus go bhfuil an táirge cruthaithe (feidhmchlár móibíleach), ar úsáideadh nós imeachta soláthair phoiblí chun é a fháil, nár aistríodh é, an measfar gur rialaitheoir é freisin?
(2)
An féidir coincheap an “rialaitheora” a leagtar amach in Airteagal 4(7) RGCS a léiriú mar choincheap a chiallaíonn go bhfuil údarás conarthach nach bhfuil ceart úinéireachta an táirge TF cruthaithe faighte aige agus nár ghlac seilbh air, ach i gcás ina soláthraíonn an leagan deiridh den fheidhmchlár cruthaithe naisc nó comhéadain leis an eintiteas poiblí sin agus/nó [i gcás] gur shonraigh an beartas rúndachta, nach raibh formheasta ná aitheanta go hoifigiúil ag an eintiteas poiblí i dtrácht, go measfar gur rialaitheoir é an t-eintiteas poiblí féin mar rialaitheoir?
(3)
An féidir coincheap an “rialaitheora” atá leagtha amach in Airteagal 4(7) RGCS a léiriú mar choincheap a chiallaíonn go bhfuil duine nach ndearna aon oibríochtaí próiseála sonraí iarbhír mar a shainmhínítear in Airteagal 4(2) RGCS agus/nó nach bhfuil cead/toiliú soiléir tugtha aige nó aici maidir le feidhmiú na n-oibríochtaí sin le meas mar rialaitheoir freisin? An é gur cruthaíodh an táirge TF a úsáideadh chun sonraí pearsanta a phróiseáil i gcomhréir leis an sannadh a cheap an t-údarás conarthach atá suntasach do léiriú choincheap an “rialaitheora”?
(4)
Má tá cinneadh na n-oibríochtaí próiseála sonraí iarbhír ábhartha do léiriú an choincheapa “rialaitheoir”, an bhfuil an sainmhíniú ar “p[h]róiseáil” sonraí pearsanta faoi Airteagal 4(2) RGCS le léiriú mar a chlúdaíonn cásanna inar úsáideadh cóipeanna de shonraí pearsanta chun córais TF a thástáil sa phróiseas chun feidhmchlár móibíleach a fháil?
(5)
An féidir rialú comhpháirteach ar shonraí de réir Airteagal 4(7) agus Airteagal 26(1) RGCS a léiriú go heisiach mar rialú a bhaineann le gníomhaíochtaí a chomhordaítear d’aon ghnó maidir le cuspóir agus modhanna próiseála sonraí a chinneadh, nó an féidir an coincheap sin a léiriú freisin mar choincheap a chiallaíonn go gclúdaíonn rialú comhpháirteach cásanna nach bhfuil aon “socrú” soiléir ann maidir le cuspóir agus modhanna próiseála sonraí agus/nó gníomhartha comhordaithe idir na heintitis? An bhfuil na cúinsí a bhaineann leis an gcéim i gcruthú na modhanna próiseála sonraí pearsanta (feidhmchlár TF) ag ar próiseáladh sonraí pearsanta agus an cuspóir a chruthú an t-iarratas suntasach ó thaobh an dlí chun léiriú a dhéanamh ar an gcoincheap maidir le rialú comhpháirteach sonraí? An féidir “socrú” idir rialaitheoirí comhpháirteacha a thuiscint go heisiach mar bhunú soiléir agus sainithe téarmaí lena rialaítear rialú comhpháirteach sonraí?
(6)
An bhfuil an fhoráil in Airteagal 83(1) RGCS á rá go bhfuil “fíneálacha riaracháin [...] déanfaidh sé [...] a bheith éifeachtach, comhréireach agus athchomhairleach” a léiriú mar chásanna ina gcumhdaítear cásanna d’fhorchur dliteanais ar an “rialaitheoir” nuair a dhéanann an forbróir, sa phróiseas chun táirge TF a chruthú, gníomhaíochtaí próiseála sonraí pearsanta freisin, agus nuair a dhéanann sé na gníomhaíochtaí míchuí próiseála sonraí pearsanta a dhéanann an próiseálaí i gcónaí mar thoradh go huathoibríoch ar dhliteanas dlíthiúil ar thaobh an phróiseálaí? An bhfuil an fhoráil sin le léiriú mar fhoráil a chlúdaíonn cásanna dliteanais gan locht ar thaobh an rialaitheora?’
21.
Cláraíodh an iarraidh ar réamhrialú, dar dáta an 22 Deireadh Fómhair 2021, sa Chúirt an 12 Samhain 2021. Tá barúlacha i scríbhinn curtha isteach ag NVSC, ag an gCigireacht, ag Rialtas na Liotuáine agus ag an gCoimisiún Eorpach.
22.
Bhí ionadaíocht ag Rialtais na Liotuáine agus na hÍsiltíre, in éineacht leis an gCoimisiún agus leis an gComhairle, ag an éisteacht a bhí ar siúl an 17 Eanáir 2023.
IV. Anailís
23.
Le linn phaindéim COVID-19, cuireadh feidhmchláir mhóibíleacha a ceapadh chun daoine atá ionfhabhtaithe ag an víreas a ‘rianú agus a lorg’ agus/nó iad siúd a bhí i dteagmháil le duine a bhí ionfhabhtaithe leis an víreas ar fáil lena n-íoslódáil ag an bpobal in go leor Ballstát. Forbraíodh na feidhmchláir mhóibíleacha dá leithéid sin in iarracht freagairt d’éigeandáil an cháis, go minic le rannpháirtíocht roinnt eintitis phoiblí agus phríobháideacha (amhail aireachtaí agus eintitis phoiblí eile, chomh maith le cuideachtaí príobháideacha). Ceanglaíodh ar úsáideoirí a gcuid sonraí pearsanta a uaslódáil sna feidhmchláir mhóibíleacha sin, go háirithe sonraí a bhain lena sláinte (
6
).
24.
Baineann na príomhimeachtaí, go beacht, le feidhmchlár móibíleach den sórt sin, is é sin KARANTINAS, a d’fhorbair an chuideachta ITSS (cuideachta phríobháideach) ar thionscnamh NVSC (údarás poiblí) tar éis cinneadh ón Aire Sláinte. Níl sé soiléir ón bhfaisnéis sa cháschomhad, ná ón bhfaisnéis a cuireadh ar fáil ag an éisteacht, cé na heintitis phoiblí eile de chuid na Liotuáine, más ann dóibh, a raibh baint acu le forbairt an fheidhmchláir (
7
). Tá roinnt amhrais ann freisin maidir le cibé ar thoiligh NVSC le KARANTINAS a chur ar fáil don phobal le linn na tréimhse inar tharla próiseáil sonraí pearsanta (Aibreán agus Bealtaine 2020). Sna ceisteanna a cuireadh faoi bhráid na Cúirte, áfach, d’aithin an Vilniaus apygardos administracinis teismas (An Chúirt Réigiúnach Riaracháin, Vilnius) na himthosca seo a leanas a bheith ábhartha.
–
Bhí sé beartaithe ag NVSC KARANTINAS a fháil de bhun Airteagal 72(2) den Dlí um Sholáthar Poiblí, ach níor críochnaíodh an nós imeachta riamh agus níor tharla an éadáil riamh. Dá bhrí sin, níor aistríodh úinéireacht KARANTINAS ó ITSS chuig NVSC.
–
Luadh NVSC mar rialaitheoir i mbeartas rúndachta KARANTINAS, a cuireadh ar fáil don phobal. Cuireadh naisc chuig NVSC san áireamh freisin sa leagan deireanach den fheidhmchlár, rud nár cheadaigh an t-eintiteas sin go hoifigiúil riamh, áfach.
–
Níor phróiseáil NVSC sonraí pearsanta é féin riamh agus níor thoiligh sé go foirmiúil leis na hoibríochtaí próiseála a rinneadh, ach chuir sé treoracha ar fáil maidir le forbairt KARANTINAS agus lean ITSS na treoracha sin.
–
Níor tháinig ITSS agus NVSC ar aon socrú foirmiúil maidir le críocha agus modhanna próiseála sonraí pearsanta a tharla.
25.
Sa chomhthéacs sin, baineann na ceisteanna a cuireadh faoi bhráid na Cúirte le léiriú fhorálacha éagsúla RGCS. Sa chéad trí cheist, chomh maith leis an gcúigiú ceist, iarrtar léiriú ar choincheap an ‘rialaitheora’, de réir bhrí Airteagal 4(7) den Rialachán sin, agus ceanglaítear soiléiriú ar na himthosca inar féidir dhá eintiteas nó níos mó a mheas mar ‘rialaitheoirí comhpháirteacha’, de bhun na forála sin agus Airteagal 26(1) den Rialachán céanna sin. Ar dtús déanfaidh mé anailís ar na ceisteanna sin le chéile (A) sula gcasfaidh mé ar an gceathrú ceist, a bhaineann leis an gcoincheap ‘próiseála’, de réir bhrí Airteagal 4(2) RGCS, agus a chur i bhfeidhm i gcomhthéacs na céime tástála feidhmchláir mhóibíligh (B) (
8
). Ansin, rachaidh mé i ngleic leis an tsaincheist i gcroílár an cháis seo, is é sin an séú ceist, atá de chineál trasnach ós rud é go mbaineann sé leis na coinníollacha faoinar féidir fíneálacha riaracháin a ghearradh ar rialaitheoirí, agus Airteagal 83 RGCS (C) á chur i bhfeidhm.
A.
Maidir leis an gcoincheap ‘rialaitheoir’ agus cásanna rialaithe chomhpháirtigh (Ceisteanna 1 go 3 agus 5)
26.
De réir na chéad trí cheist, déanann an chúirt a rinne an tarchur iontas, go bunúsach, an gá, i bhfianaise na gcúinsí a shonraítear i bpointe 24 thuas, eintiteas amhail NVSC a mheas mar ‘rialaitheoir’, de réir bhrí Airteagal 4(7) RGCS. Ina theannta sin, leis an gcúigiú ceist, lorgaíonn an chúirt a rinne an tarchur soiléiriú i dtaobh an mór, in imthosca den sórt sin, dhá eintiteas amhail NVSC agus ITSS a mheas mar ‘rialaitheoirí comhpháirteacha’, i gcomhréir leis an bhforáil sin agus Airteagal 26(1) den Rialachán sin, cé nár tháinig siad ar aon socrú foirmiúil maidir le críocha agus modhanna na próiseála agus/nó nach cosúil go ndearna siad a ngníomhaíochtaí a chomhordú ar shlí eile.
1. Cad is rialaitheoir ann? (Ceisteanna 1 go 3)
27.
Meabhraím, de bhun Airteagal 4(7) RGCS, go sainmhínítear ‘rialaitheoir’ mar an duine nó an t-eintiteas a chinneann ‘ina aonar nó i gcomhpháirt le daoine eile, críocha agus modhanna próiseála [sonraí pearsanta]’. Go simplí, ní gá do rialaitheoir aon cheann de na sonraí pearsanta féin a phróiseáil, ach ní mór dó ‘cén fáth agus conas’ na n-oibríochtaí próiseála ábhartha a chinneadh (
9
). Mhol an Chúirt, chun an critéar sin a chomhlíonadh, go gcaithfidh duine nó eintiteas‘tionchar [a imirt] ar phróiseáil sonraí pearsanta” (
10
). Mar sin féin, ní gá críocha agus modhanna na próiseála a chinneadh i gcomhréir le treoirlínte nó treoracha i scríbhinn ón rialaitheoir (
11
). Go deimhin, éilíonn Airteagal 4(7) RGCS anailís fhíorasach seachas anailís fhoirmiúil.
28.
I dtaca leis sin, tá sé molta ag an mBord Eorpach um Chosaint Sonraí (EDPB) gur féidir freisin a bheith ina rialaitheoir beag beann ar inniúlacht nó cumhacht shonrach chun sonraí a rialú atá á dtabhairt leis an dlí. Go deimhin, braitheann an cumas chun críocha agus modhanna na próiseála a chinneadh, thar aon ní eile, ar an tionchar a fheidhmítear, ar féidir é a bhaint as imthosca fíorasacha. Dá bhrí sin, measfar gur ‘rialaitheoir’ eintiteas atá in ann críocha agus modhanna na próiseála a chinneadh, is cuma cé acu ar ceapadh go foirmiúil é mar eintiteas den sórt sin (de réir dlí nó i gconradh nó ar shlí eile) (
12
).
29.
Tar éis na soiléirithe sin a dhéanamh, tugaim faoi deara go bhfuil roinnt de na himthosca a ndearna an chúirt a rinne an tarchur cur síos orthu sa chéad trí cheist de chineál foirmiúil amháin; mar shampla, nach bhfuil KARANTINAS faoi úinéireacht dhlíthiúil ag NVCS nó nár críochnaíodh an nós imeachta chun an feidhmchlár móibíleach sin a fháil riamh, nó nár údaraigh NVSC go hoifigiúil scaoileadh an fheidhmchláir don phobal i gcoitinne nó nár cheadaigh sé an leagan deireanach den fheidhmchlár. I mo thuairim, ní féidir le haon cheann de na cúinsí sin, iontu féin agus astu féin, bac a chur ar chinneadh gur ghníomhaigh NVSC cosúil le ‘rialaitheoir’, de réir bhrí Airteagal 4(7) RGCS, i gcomhthéacs na bpríomhimeachtaí. Go deimhin, ní leor iad chun conclúid a bhréagnú go raibh NVSC in ann críocha agus modhanna próiseála sonraí pearsanta a tharla a chinneadh. Ar an gcaoi chéanna, feictear dom gur luadh NVSC mar rialaitheoir i mbeartas rúndachta an leagain de KARANTINAS a cuireadh ar fáil lena íoslódáil don phobal, nó go raibh naisc leis an eintiteas sin san áireamh sa leagan sin den fheidhmchlár soghluaiste, ábhartha ach níl sé dochloíte maidir leis an tionchar a d’fheidhmigh an t-eintiteas sin iarbhír.
30.
Os a choinne sin, is leor, i mo thuairimse, an fhianaise os comhair na cúirte a rinne an tarchur a léiríonn gur chinn NVSC cén cineál sonraí pearsanta ba cheart do KARANTINAS a bhailiú agus cé na hábhair sonraí agus/nó príomhghnéithe eile den phróiseáil chun a shuíomh gur chinn an t-eintiteas sin ‘modh’ na próiseála. Measaim freisin gur leor an fhíric gur cruthaíodh KARANTINAS chun an cuspóir a shainigh NVSC a chomhlíonadh, eadhon freagairt a thabhairt ar phaindéim COVID-19, agus go ndearna ITSS a fheidhmiú a mhodhnú go rialta chun freagairt do na riachtanais arna gcinneadh ag NVSC, i gcomhréir leis na treoracha a chuir an t-eintiteas sin ar fáil, chun a thabhairt i gcrích gur chinn an t-eintiteas sin ‘críocha’ na próiseála sin.
31.
Tar éis é sin a rá, feictear dom, d’fhonn a chinneadh an féidir eintiteas amhail NVSC a mheas mar ‘rialaitheoir’ de réir bhrí Airteagal 4(7) RGCS, ní mór don chúirt a rinne an tarchur a bhunú freisin, d’ainneoin an tionchair a d'fheidhmigh NVSC ag céim forbartha KARANTINAS, glacadh an cinneadh an feidhmchlár móibíleach sin a chur ar fáil don phobal agus, dá bhrí sin, dul i mbun próiseáil sonraí pearsanta le toiliú (sainráite nó intuigthe) an eintitis sin (beag beann ar an bhfíric nár soláthraíodh an toiliú sin go hoifigiúil nó go foirmiúil).
32.
Go deimhin, ós rud é go bhfuil an sainmhíniú ar choincheap an ‘rialaitheora’ in Airteagal 4(7) RGCS soiléir, ní mór go mbainfeadh an tionchar a fheidhmíonn rialaitheoir le próiseáil sonraí pearsanta féin, ní hamháin le haon chéim roimh ré. Ní thagann duine nó eintiteas fisiciúil nó morálta chun bheith ina ‘rialaitheoir’ toisc go dtionscnaíonn sé forbairt feidhmchláir mhóibíligh nó go sainmhíníonn sé paraiméadair an fheidhmchláir sin (nó uirlis bailithe sonraí eile). Ní mór a chuid gníomhaíochtaí a bheith nasctha iarbhír le próiseáil sonraí pearsanta agus, dá bhrí sin, ní mór dó toiliú go sainráite nó go hintuigthe leis an uirlis ábhartha atá á húsáid chun tabhairt faoi phróiseáil den sórt sin.
33.
D’áitigh an Chúirt ar an gceanglas sin ina breithiúnas in Fashion ID (
13
), inar luaigh sí go sainráite go bhfuil dliteanas rialaitheora teoranta d’oibriú nó do shraith oibríochtaí a bhaineann le próiseáil sonraí pearsanta ar chinn sí na críocha agus na modhanna ina leith i ndáiríre (
14
). Mar sin ní mór go mbaineann cinneadh na gcríoch agus na modhanna go díreach leis an oibríocht ábhartha nó leis an tsraith oibríochtaí ábhartha a bhaineann le próiseáil sonraí pearsanta.
34.
I mo thuairim, leanann sé ó na torthaí sin nach féidir eintiteas, amhail NVSC, a chuireann tús le forbairt feidhmchláir mhóibíligh, a mheas mar ‘rialaitheoir’, de réir bhrí Airteagal 4(7) RGCS, ach amháin i gcás ina bhfuil go leor gnéithe de chineál fíorasach, seachas foirmiúil, as ar féidir leis na cúirteanna náisiúnta a chinneadh gur fheidhmigh eintiteas den sórt sin tionchar iarbhír maidir le ‘críocha agus modhanna’ na próiseála sin agus gur thoiligh sé iarbhír an feidhmchlár móibíleach a scaoileadh leis an bpobal agus, dá bhrí sin, le próiseáil na sonraí pearsanta. Faoi réir na bhfíoruithe atá le déanamh ag an gcúirt a rinne an tarchur, creidim go gcomhlíonann NVSC na ceanglais sin.
2. Cathain is féidir dhá eintiteas a mheas mar rialaitheoirí comhpháirteacha? (Ceist 5)
35.
Baineann an cúigiú ceist leis na coinníollacha nach mór a chomhlíonadh chun go measfar gur rialaitheoirí comhpháirteacha iad dhá eintiteas (nó níos mó). Tuigim go lorgaíonn an chúirt a rinne an tarchur soiléireacht maidir le léiriú an choincheapa sin toisc go bhfuil amhras uirthi, sa chás atá i gceist sna príomhimeachtaí, go bhféadfaí féachaint ar NVSC agus ar ITSS mar ‘rialaitheoirí comhpháirteacha’ agus, dá réir sin, go bhféadfadh sé a bheith faoi dhliteanas i gcomhpháirt agus go leithleach as an damáiste a rinneadh (
15
) agus/nó fíneáil chomhpháirteach a ghearradh orthu as sáruithe ar na rialacha cosanta sonraí a rinneadh nuair a cuireadh KARANTINAS ar fáil lena íoslódáil ag an bpobal. Tugaim faoi deara, ina leith sin, mar a thug mé le fios i bpointe 16 thuas, go bhfuarthas an t-eintiteas sin agus an chuideachta sin, go deimhin, freagrach as na sáruithe a rinneadh ina gcáil mar rialaitheoirí comhpháirteacha agus ghearr an Chigireacht fíneáil orthu i bhfeidhmiú Airteagal 83 RGCS.
36.
De bhun Airteagal 26(1) RGCS, tá ‘rialaitheoirí comhpháirteacha’ ann i gcás ina gcinneann dhá rialaitheoir nó níos mó cuspóirí agus modhanna na próiseála go comhpháirteach. Dá bhrí sin, ní mór do gach rialaitheoir comhpháirteach na critéir a liostaítear sa sainmhíniú ar‘rialaitheoir’ dá bhforáiltear in Airteagal 4(7) den Rialachán sin a chomhlíonadh go neamhspleách (
16
). Ina theannta sin, ní mór do na rialaitheoirí comhpháirteacha caidreamh áirithe a bheith acu lena chéile, ós rud é nach mór a dtionchar ar an bpróiseáil a fheidhmiú i gcomhpháirt.
37.
Tá sé curtha in iúl ag an gCúirt nach gá go mbeadh freagracht nó rannpháirtíocht chomhionann ag na daoine nó na heintitis éagsúla lena mbaineann mar gheall ar rialú comhpháirteach a bheith ann. Os a choinne sin, d’fhéadfadh rialaitheoirí comhpháirteacha a bheith páirteach ag céimeanna éagsúla den phróiseáil, ionas nach mór leibhéal freagrachta gach ceann acu a mheasúnú maidir leis na himthosca ábhartha go léir i ngach cás (
17
). Thairis sin, ní cheanglaítear le freagracht chomhpháirteach roinnt eintiteas as an bpróiseáil chéanna rochtain a bheith ag gach duine acu ar na sonraí pearsanta lena mbaineann (
18
). Is é an rud is tábhachtaí, áfach, ná go nglacann siad páirt i gcomhpháirt i gcinneadh ‘c[h]uspóirí agus m[h]odhanna’ na próiseála.
38.
Maidir leis sin, tugaim faoi deara, mar a luaitear i dTreoirlínte 07/2020, gur féidir le rannpháirtíocht chomhpháirteach den sórt sin a bheith ann i bhfoirmeacha éagsúla. D’fhéadfadh sé a bheith mar thoradh ar chinneadh comhchoiteann arna dhéanamh ag dhá eintiteas nó níos mó nó nach mbeidh de thoradh air ach cinntí na n-eintiteas sin a chóineasú. I gcás ina bhfuil cóineasú ann, ní bhaineann sé ach go gcomhlánaíonn na cinntí a chéile agus go bhfuil siad riachtanach chun go ndéanfar an phróiseáil ar bhealach a fhágann go mbeidh tionchar inláimhsithe acu ar chinneadh chuspóirí agus mhodhanna na próiseála – rud a chiallaíonn, go bunúsach, nach bhféadfaí an phróiseáil a dhéanamh gan rannpháirtíocht an dá pháirtí (
19
).
39.
I bhfianaise an mhéid sin, cuireann an chúirt a rinne an tarchur in iúl an amhlaidh nach bhfuil aon socrú foirmiúil déanta ag beirt rialaitheoirí (in casu, NVSC agus ITSS) maidir le críocha agus modhanna na próiseála agus/nó nach cosúil go ndearna siad comhordú ar shlí eile ar a gcuid gníomhartha, rud a fhágann nach féidir iad a mheas mar ‘rialaitheoirí comhpháirteacha’.
40.
Tuigim go n-eascraíonn amhras na cúirte a rinne an tarchur ina leith sin as an bhfíric nach mór do rialaitheoirí comhpháirteacha, ar bhealach trédhearcach, a bhfreagrachtaí faoi seach a chinneadh maidir le comhlíonadh oibleagáidí an rialacháin sin, trí shocrú eatarthu. Ina theannta sin, léirítear in aithris 79 den Rialachán sin go bhfuil gá le ‘leithdháileadh soiléir na bhfreagrachtaí’, lena n-áirítear i gcás ina gcinneann rialaitheoir críocha agus modhanna na próiseála i gcomhpháirt le daoine eile. Mar sin féin, i mo thuairimse, níl feidhm ag na hoibleagáidí agus na ceanglais sin maidir le rialaitheoirí comhpháirteacha ach amháin nuair is féidir iad a mheas mar rialaitheoirí comhpháirteacha. Níl siad mar chuid de na critéir nach mór a chomhlíonadh chun go mbeidh siad cáilithe mar sin.
41.
Mar a luaigh mé i bpointe 36 thuas, braitheann rialú comhpháirteach ar dhá choinníoll oibiachtúla a bheith comhlíonta. Ar an gcéad dul síos, ní mór do gach rialaitheoir comhpháirteach na critéir a liostaítear sa sainmhíniú ar ‘rialaitheoir’ dá bhforáiltear in Airteagal 4(7) den Rialachán sin a chomhlíonadh go neamhspleách. Níl go leor faisnéise sa cháschomhad ónar féidir a chinneadh an gcaithfear féachaint ar ITSS mar ‘rialaitheoir’ de réir bhrí na forála sin sa chás sna príomhimeachtaí. Feictear dom, áfach, i bhfianaise na dtorthaí a rinne mé sa roinn roimhe seo agus faoi réir an fhíoraithe atá le déanamh ag an gcúirt a rinne an tarchur, go gcomhlíonann NVSC ar a laghad –murab ionann agus an t-eintiteas sin agus ITSS araon – na coinníollacha atá le meas mar ‘rialaitheoir’, de réir bhrí na forála sin. Ar an dara dul síos, ní mór tionchar na rialaitheoirí ar an bpróiseáil a fheidhmiú go comhpháirteach (rud a chiallaíonn nach mór é a fheidhmiú i gcomhréir leis na critéir dhlíthiúla agus leis an gcásdlí a mheabhraigh mé i bpointí 37 agus 38 luaite thuas). Maidir leis sin, mhínigh mé gur féidir le rannpháirtíocht chomhpháirteach sa phróiseáil a bheith ann i bhfoirmeacha éagsúla agus nach gá fiú leanúint ar aghaidh ó chinneadh coiteann na bpáirtithe lena mbaineann. Dá réir sin, tá feidhm freisin, i mo thuairimse, ag an gcur chuige substainteach agus feidhmiúil a theastaíonn chun a fháil amach an gcaithfear duine nó eintiteas a mheas mar ‘rialaitheoir’, de réir bhrí Airteagal 4(7) RGCS, maidir le rialú comhpháirteach (
20
).
42.
I bhfianaise na ngnéithe sin, tá mé den tuairim, ar an gcéad dul síos, nach féidir, in éagmais aon chomhaontú nó socrú nó fiú cinneadh coiteann idir dhá rialaitheoir nó níos mó amhail NVSC agus ITSS, ann féin, cinneadh a eisiamh gur ‘rialaitheoirí comhpháirteacha’ iad de réir bhrí Airteagal 4(7) RGCS, arna léamh i gcomhar le hAirteagal 26(1) de. I ndáil leis sin, cuirim leis gur mhol EDPB, cé gur féidir le socruithe conarthacha a bheith úsáideach chun rialú comhpháirteach a mheas, gur cheart iad a sheiceáil i gcónaí i gcoinne imthosca fíorasacha an chaidrimh idir na páirtithe (
21
).
43.
Ar an dara dul síos, feictear dom chomh maith, toisc nach cosúil gur chomhordaigh NVSC agus ITSS, seachas an fhíric nach bhfuil comhaontú, socrú nó cinneadh coiteann bainte amach acu, a gcuid gníomhaíochtaí nó gur chomhoibrigh siad lena chéile ar shlí eile, nach féidir a mheas gur ‘rialaitheoirí comhpháirteacha’ iad. Fiú má tá comhordú nó comhar den sórt sin ann, ní bhaineann sé leis an gceist an bhfuil an caidreamh idir an dá eintiteas sin ar cheann de rialú comhpháirteach nó nach bhfuil. Go deimhin, d’fhéadfadh duine a shamhlú go héasca go bhféadfadh comhar nó comhordú a bheith ann idir dhá eintiteas nó níos mó, gan iad a bheith ina rialaitheoirí comhpháirteacha ar chor ar bith. Mar shampla, d’fhéadfadh dhá rialaitheoir ar leith a bheith ag comhordú a gcuid gníomhartha nó ag comhoibriú lena chéile agus é ar intinn acu sonraí pearsanta a aistriú eatarthu féin. Ní dhéanfadh sé sin, áfach, ‘rialaitheoirí comhpháirteacha’ a dhéanamh díobh de réir bhrí Airteagal 4(7) agus Airteagal 26(1) RGCS (
22
). Is é an rud atá tábhachtach, mar a mhínítear i bpointe 38 thuas, ná nach mbeadh an phróiseáil indéanta gan rannpháirtíocht an dá pháirtí toisc go mbíonn tionchar inláimhsithe ag an dá pháirtí ar chinneadh chríocha agus mhodhanna na próiseála sin.
3. Conclúid maidir le léiriú choincheap an ‘rialaitheora’ agus cásanna rialaithe chomhpháirtigh
44.
I bhfianaise an mhéid sin roimhe seo, feictear dom, ar thaobh amháin, faoi réir na bhfíoruithe atá le déanamh ag an gcúirt a rinne an tarchur, go gcomhlíonann eintiteas amhail NVSC na coinníollacha atá liostaithe in Airteagal 4(7) RGCS atá le meas mar ‘rialaitheoir’. Ar an taobh eile, braitheann cibé acu an féidir NVSC agus ITSS a mheas mar ‘rialaitheoirí comhpháirteacha’, i gcomhréir leis na critéir atá leagtha amach agam sa roinn roimhe seo, nó a cháilíonn mar ‘rialaitheoir’ agus ‘próiseálaí’, faoi seach, ar an gcineál caidrimh atá acu, agus is faoin gcúirt a rinne an tarchur atá sé a mheasúnú.
45.
I ndáil leis sin, cuirim leis go bhfuil cineál an chaidrimh idir NVSC agus ITSS (eadhon, cibé acu is ‘rialaitheoirí comhpháirteacha’ nó, faoi seach, ‘rialaitheoir’ agus ‘próiseálaí’ iad) ábhartha don séú ceist. Mar sin, fillfidh mé ar na torthaí atá déanta agam maidir leis an gcúigiú ceist agus mé ag dul i ngleic leis na saincheisteanna a d’ardaigh an séú ceist.
B.
Maidir leis an gcoincheap ‘próiseála’ (Ceist 4)
46.
Faoin gceathrú ceist, cuireann an chúirt a rinne an tarchur iontas, go bunúsach, an gclúdaíonn an sainmhíniú ar ‘p[h]róiseáil’ dá bhforáiltear in Airteagal 4(2) RGCS cás ina n-úsáidtear sonraí pearsanta le linn céim tástála feidhmchláir mhóibíligh (
23
). Bailím ón iarratas ar réamhrialú gur cuireadh KARANTINAS trí chéim tástála sular cuireadh é ar fáil don phobal lena íoslódáil. Ó mo thuiscint féin, baineann an ceathrú ceist, dá bhrí sin, le cúinsí atá difriúil ón gceann atá i gcroílár na gceisteanna eile a cuireadh faoi bhráid na Cúirte a bhaineann go léir le próiseáil sonraí pearsanta tar éis chéim na tástála, nuair a scaoileadh KARANTINAS leis an bpobal. Go sonrach, is mian leis an gcúirt a rinne an tarchur a fháil amach an gcáilíonn úsáid sonraí pearsanta le linn na céime tástála sin mar ‘p[h]róiseáil’ de réir bhrí Airteagal 4(2) RGCS agus, dá réir sin, d’fhéadfadh dliteanas féideartha a bheith ann do na rialaitheoirí agus/nó do na próiseálaithe lena mbaineann.
47.
Sainmhínítear in Airteagal 4(2) RGCS ‘próiseáil’ mar ‘aon oibríocht nó aon sraith d’oibríochtaí a dhéantar ar shonraí pearsanta nó ar shraitheanna de shonraí pearsanta, trí mhodhanna uathoibrithe nó trí mhodhanna eile [...]’ (
24
).
48.
Tuigim ón bhfoclaíocht sin (go háirithe ó úsáid an fhocail ‘aon’ agus téarmaí cineálacha ar nós ‘oibríocht’ nó ‘sraith oibríochtaí’) go bhfuil brí leathan leis an bhforáil sin, ionas go gclúdófar an oiread cásanna is féidir ina n-úsáidtear sonraí pearsanta. Deimhnítear leis an liosta neamh-uileghabhálach de chásanna den sórt sin, a leagtar síos san fhoráil sin, an léiriú sin, i bhfianaise éagsúlacht na n-oibríochtaí atá san áireamh ann (
25
).
49.
Thairis sin, de bhrí go dtagann sé ón roinn thuas go bhfuil dlúthbhaint ag an sainmhíniú ar ‘rialaitheoir’, de réir bhrí Airteagal 4(7) den Rialachán sin, le críocha próiseála sonraí pearsanta (na cúiseanna a mbailítear sonraí pearsanta ‘cén fáth’), ní hé sin cás maidir leis an sainmhíniú atá leagtha amach in Airteagal 4(2) de. Dá réir sin, ní bhaineann na cúiseanna a ndéantar oibríocht nó sraith oibríochtaí leo, i bprionsabal, leis an gceist i dtaobh an gá ‘próiseáil’ a bheith mar shaintréith díobh, de réir bhrí na forála sin. Leanann sé, i mo thuairimse, cibé an mbailítear sonraí pearsanta d’fhonn na gcóras TF atá leabaithe i bhfeidhmchlár móibíleach a thástáil nó chun críche eile, nach bhfuil aon tionchar aige ar an gceist maidir le cibé an gcáilíonn an oibríocht atá i gceist mar ‘p[h]róiseáil’.
50.
I ndáil leis sin, tugaim faoi deara freisin go liostaítear ‘úsáid’ sonraí pearsanta (gan aon tagairt bhreise agus, dá bhrí sin, beag beann ar chuspóir na húsáide) i measc na n-oibríochtaí nó na sraitheanna oibríochtaí arb ionann iad agus ‘próiseáil’ (
26
). Thairis sin, níl aon eisceacht, maolú ná eisiamh sainráite in Airteagal 4(2) RGCS d’oibríochtaí a bhaineann le húsáid sonraí pearsanta chun córais TF a thástáil. Leanann sé nach gcuireann aon rud cosc ar úsáid sonraí pearsanta d’fhonn tástáil den sórt sin a mheas mar ‘p[h]róiseáil’ de réir bhrí na forála sin; a mhalairt ar fad.
51.
I bhfianaise na ngnéithe sin, measaim go gclúdaíonn an sainmhíniú ar ‘p[h]róiseáil’ dá bhforáiltear in Airteagal 4(2) RGCS cás ina n-úsáidtear sonraí pearsanta le linn na céime tástála feidhmchláir mhóibíligh.
52.
Ní chuireann an chonclúid atá agam ina leith sin isteach ar an bhfíric go bhféadfadh ainm bréige a bheith déanta ar na sonraí pearsanta a chuirtear ar fáil chun na córais TF atá leabaithe i bhfeidhmchlár móibíleach a thástáil (
27
). Is é an t-aon imthoisc nach mbeadh feidhm ag RGCS ina leith ná mura bhfuil san fhaisnéis a chuirtear ar fáil san fheidhmchlár móibíleach ach faisnéis anaithnid ‘nach mbaineann le duine nádúrtha aitheanta nó inaitheanta nó le sonraí pearsanta’ nó sonraí pearsanta ‘atá anaithnid ar bhealach nach bhfuil an t-ábhar sonraí inaitheanta nó nach bhfuil sé inaitheanta a thuilleadh’. Tugaim faoi deara, áfach, i gcás na bpríomhimeachtaí, nach bhfuil na sonraí a úsáideadh do chéim na tástála le feiceáil, ar bhonn na faisnéise a sholáthraítear sa cháschomhad, gur sonraí anaithnidithe den sórt sin a bhí iontu (
28
).
53.
I bhfianaise an mhéid roimhe seo, measaim go gclúdaíonn an sainmhíniú ar ‘phróiseáil’ dá bhforáiltear in Airteagal 4(2) RGCS cás ina n-úsáidtear sonraí pearsanta le linn na céime tástála feidhmchláir mhóibíligh, mura rud é go ndearnadh sonraí den sórt sin anaithnid ar bhealach nach bhfuil an t-ábhar sonraí inaitheanta a thuilleadh. Cibé an mbailítear sonraí pearsanta d’fhonn tástáil a dhéanamh ar na córais TF atá leabaithe i bhfeidhmchlár móibíleach nó ar chuspóir eile, níl aon tionchar ag cuspóir difriúil ar an gceist maidir le cibé an gcáilíonn an oibríocht atá i gceist mar ‘p[h]róiseáil’ (
29
).
54.
Tar éis dom na soiléirithe sin a dhéanamh, casfaidh mé anois ar an gcroí-shaincheist sa chás seo, a bhaineann leis na coinníollacha faoinar féidir fíneáil riaracháin a ghearradh ar rialaitheoir nó ar phróiseálaí, agus Airteagal 83 RGCS á chur i bhfeidhm.
C.
Ar fhíneálacha riaracháin a ghearrtar i gcur i bhfeidhm Airteagal 83 RGCS (Ceist 6)
55.
Sular glacadh le RGCS, fágadh pionóis ar shárú na rialacha cosanta sonraí faoi lánrogha na mBallstát den chuid is mó, de bhun a neamhspleáchais nós imeachta agus feabhais (
30
). Dá bhrí sin, is ‘forbairt’ réasúnta nua i ndlí AE maidir le cosaint sonraí iad fíneálacha riaracháin, a tugadh isteach le hAirteagal 83 den Rialachán sin. Rinne an Mheitheal um Airteagal 29 cur síos orthu mar ‘g[h]né lárnach den chóras nua forfheidhmithe’ (
31
). Cé nach bhfuil an fhoráil sin léirithe ag an gCúirt go fóill, tá sé curtha i bhfeidhm cheana féin ag údaráis mhaoirseachta, uaireanta fíneálacha troma a ghearradh ar rialaitheoirí nó ar phróiseálaithe (
32
).
56.
Soláthraíonn Airteagal 83 RGCS córas smachtbhannaí dhá leibhéal, ag brath ar an gcineál sonrach forála a sáraítear. De bhrí go bhfuil feidhm ag an gcéad leibhéal, a shainmhínítear in Airteagal 83(4) den Rialachán sin, maidir le cásanna ina sáraíonn rialaitheoir nó próiseálaí na hoibleagáidí ginearálta a bhfuil siad faoina réir, chomh maith le hoibleagáidí sonracha áirithe, forchoimeádtar an dara leibhéal, mar a léirítear in Airteagal 83(5) RGCS, i gcás sáruithe níos tromchúisí, amhail sáruithe, inter alia, na bunphrionsabail le haghaidh próiseála, cearta na n-ábhar sonraí, agus na rialacha a bhaineann le haistriú sonraí pearsanta a chur ar fáil d’fhaighteoir i dtríú tír nó in eagraíocht idirnáisiúnta.
57.
Maidir leis an dá shraith, ní mór do na húdaráis náisiúnta inniúla, tar éis dóibh a shuíomh gur sáraíodh foráil ar leith RGCS, dhá mheasúnú a dhéanamh. Ar an gcéad dul síos, ní mór dóibh a chinneadh ar chóir fíneáil a ghearradh agus, ar an dara dul síos, áit ar chinn siad amhlaidh, ní mór dóibh méid na fíneála sin a shocrú. Ní mór na measúnuithe sin a dhéanamh i ngach cás ar leith, i bhfianaise tosca éagsúla atá liostaithe in Airteagal 83(2) RGCS. I measc na bhfachtóirí sin tá ‘cineál an tsáraithe a bheith déanta d’aon ghnó nó le faillí’ (Airteagal 83(2)(b) de).
58.
De réir a séú ceist, ní fheadar an chúirt a rinne an tarchur, go bunúsach, an féidir fíneáil riaracháin a ghearradh ar rialaitheoir nuair nár ghníomhaigh an rialaitheoir d’aon ghnó nó le faillí maidir le sárú ar na rialacha cosanta sonraí agus nuair a rinneadh próiseáil neamhdhleathach sonraí pearsanta, ní ag an rialaitheoir féin, ach ag próiseálaí. Ag filleadh ar na torthaí a rinne mé thuas maidir leis an gcúigiú ceist, feictear dom go gcuirtear an séú ceist sa chás nach bhféadfaí, sna príomhimeachtaí, NVSC agus ITSS a mheas mar ‘rialaitheoirí comhpháirteacha’, de réir bhrí Airteagal 4(7) RGCS, arna léamh i gcomhar le hAirteagal 26(1) den Rialachán sin, agus chaithfí iad a mheas mar ‘rialaitheoir’ agus ‘próiseálaí’, faoi seach. Laistigh den chreat áirithe sin, ba mhaith leis an gcúirt a rinne an tarchur soiléiriú a dhéanamh ar na cúinsí faoina bhféadfar fíneáil a ghearradh ar NVSC, agus Airteagal 83 RGCS á chur i bhfeidhm.
59.
É sin ráite, tugaim faoi deara nach luaitear sa séú ceist ach Airteagal 83(1) RGCS mar an fhoráil ábhartha. Mar sin féin, i mo thuairimse, ceanglaítear leis na saincheisteanna a d’ardaigh an cheist sin go mbreithneofaí Airteagal 83 den Rialachán sin ina iomláine agus, go háirithe, mar a mhínigh mé i bpointe 57 thuas, Airteagal 83(2)(b) de a chur san áireamh, ós rud é go dtagraíonn an fhoráil sin do ‘cineál an tsáraithe a bheith déanta d’aon ghnó nó le faillí’. Dá bhrí sin, breithneoidh mé an séú ceist chun fiosrú a dhéanamh faoi léiriú Airteagal 83 RGCS ina iomláine, ní hamháin Airteagal 83(1) de.
60.
I mo thuairim tá dhá chuid ag baint leis an gceist sin. Ar an gcéad dul síos, ceanglaíonn sé ar an gCúirt a chinneadh an gceadaíonn Airteagal 83 RGCS fíneálacha riaracháin go ginearálta a ghearradh ar rialaitheoirí nó ar phróiseálaithe in éagmais aon mens rea (gné mheabhrach – locht). Go bunúsach, ba mhaith leis an gcúirt a rinne an tarchur a fháil amach an bhféadfaí fíneáil a ghearradh ar NVSC ar an mbonn simplí gur sháraigh sé na hoibleagáidí a forchuireadh uirthi de bhua a bheith ina rialaitheoir (dliteanas dian), nó an bhfuil gá le gné den locht maidir leis an sárú/na sáruithe ábhartha a dhéanamh. Ar an dara dul síos, iarrann sé soiléiriú i dtaobh an amhlaidh nach ndearna an rialaitheoir féin próiseáil neamhdhleathach sonraí pearsanta ach go ndéanann próiseálaí difear ar bhealach ar bith do chumas na n-údarás maoirseachta fíneáil a ghearradh ar an rialaitheoir.
61.
Breithneoidh mé gach ceann den dá ghné sin ar a seal.
1. An chéad ghné; an gá chun locht a shuí
62.
Ceanglaítear le hAirteagal 83 RGCS go mbeidh gach fíneáil riaracháin a ghearrtar as sárú ar na rialacha cosanta sonraí ‘éifeachtach, comhréireach agus athchomhairleach’. Déantar é sin a shoiléiriú le mír 1 den fhoráil sin. Ní luaitear sa mhír sin, áfach, an féidir fíneáil den sórt sin a ghearradh ach amháin má bhunaítear go bhfuil locht ann freisin, is é sin le rá, an bhfuil ‘locht’ ina réamhriachtanas chun aon fhíneáil riaracháin a fhorchur.
63.
Ar an taobh eile, liostaítear i mír 2(b) den fhoráil sin ‘cineál an tsáraithe a bheith déanta d’aon ghnó nó le faillí’ i measc na ngnéithe (
33
) nach mór d’údaráis mhaoirseachta ‘aird chuí’ a thabhairt orthu i ngach cás ar leith. De bhun Airteagal 83(2)(k) den Rialachán sin, ní mór na heilimintí sin a thuiscint mar ‘imthosca ghéaraitheacha nó mhaolaitheacha’ agus ní fachtóirí uileghabhálacha iad.
64.
Laistigh den chomhthéacs sin, tá dhá bhealach ann, dar liom, chun Airteagal 83 RGCS a thuiscint.
65.
Ar thaobh amháin, d'fhéadfaí a mheas, cé nach mór cinneadh fíneáil a fhorchur agus a mhéid a chinneadh ag féachaint go cuí don mhéid lochta atá i gceist (ionas, mar shampla, gur cheart i bprionsabal fíneáil níos airde a fhorchur más rud é go raibh an sárú mar thoradh ar iompar d'aon ghnó agus, os a choinne sin, gur cheart fíneáil níos ísle a bheith mar thoradh ar iompar faillíoch), ní choisceann aon ní fíneáil a ghearradh freisin in éagmais aon lochta, fad is féidir a mheas go bhfuil an próiseálaí nó an rialaitheoir sonraí freagrach as an sárú. Thacófaí leis an léiriú sin le léamh ar Airteagal 83(2)(b) agus (k) á rá, trí chineálacha éagsúla lochta (d’aon ghnó nó le faillí) a lua mar ‘imthosca mhaolaitheacha nó ghéaraitheacha’, d’fhéadfadh na forálacha sin a thabhairt le tuiscint nach réamhriachtanas é an locht sin, go ginearálta, chun fíneáil a ghearradh.
66.
Ar an taobh eile, d’fhéadfaí a mhaíomh freisin, mar a dhéanann an Coimisiún sa chás seo, nach mór faillí an duine nó an eintitis a rinne an sárú ar a bhunú, mar íoscheanglas, sular féidir fíneáil a ghearradh. Bheadh léamh difriúil, níos airí ar Airteagal 83(2)(b) agus (k) RGCS mar thaca leis an gcur chuige sin, eadhon go gceanglaíonn na forálacha sin ar údaráis mhaoirseachta idirdhealú a dhéanamh idir fachtóir maolaitheach (faillí) agus ceann géaraitheach (rún), ach ní léiríonn siad go bhféadfaí fíneáil a ghearradh in éagmais locht iomlán.
67.
Roghnaigh an Coimisiún an léiriú sin go sainráite ina thogra tosaigh as ar eascair glacadh RGCS (
34
), inar mhol sé córas na bhfíneálacha a eagrú mar chóras trí leibhéal. I gcás gach sraithe, mhol an Coimisiún nach bhféadfaí fíneálacha a ghearradh ach ar ‘aon duine a rinne, d’aon ghnó nó le faillí’ (
35
), ceann amháin nó níos mó de na sáruithe líomhnaithe. Dá bhrí sin, shamhlaigh an Coimisiún an locht go soiléir mar réamhriachtanas chun fíneáil den sórt sin a ghearradh (
36
).
68.
Cé gur féidir, i mo thuairimse, an dá chur chuige a chosaint bunaithe ar léiriú téacsúil ar Airteagal 83(2) RGCS, ós rud é go bhfreagraíonn gach ceann acu do thuiscint ar ‘c[h]arachtar intinneach nó faillíoch an tsáraithe’ mar fhachtóir ‘géaraitheach’ nó ‘maolaitheach’, tá mé den tuairim nach léiríonn ach an dara cur chuige i gceart intinn reachtas an Aontais. Tugann roinnt cúiseanna an chonclúid sin dom.
(a) Na cúiseanna go bhfuil gá le locht
69.
Ar an gcéad dul síos, tugaim faoi deara go bhfuil foclaíocht shonrach i roinnt de na fachtóirí atá liostaithe in Airteagal 83(2) RGCS ar féidir a thuiscint nach bhféadfadh fachtóirí den sórt sin a bheith i bhfeidhm i ngach cás, ach i roinnt cásanna amháin. Go háirithe, tosaíonn Airteagal 83(2)(c), (e) agus (k) leis an bhfocal ‘aon’ (‘aon ghníomhaíocht a rinne an rialaitheoir nó an próiseálaí chun an damáiste a mhaolú [...]’; ‘aon sáruithe ábhartha roimhe sin [...]’; ‘aon toisc ghéaraitheach nó mhaolaitheach eile is infheidhme maidir le himthosca an cháis [...]’), rud a thugann le fios, cé nach mór do na húdaráis mhaoirseachta a chur san áireamh i gcónaí an bhfuil aon ghníomhaíocht mhaolaitheach, sárú roimh ré nó fachtóir géaraitheach nó maolaitheach ábhartha eile i gcás ina bhfuil na heilimintí sin i láthair nó cruthaithe, d’fhéadfadh cásanna a bheith ann, i ndáiríre, nach bhfuil na heilimintí céanna ann, agus fós féadfaidh an t-údarás inniúil cosanta sonraí a chinneadh fós fíneáil a fhorchur (nó, os a choinne sin, gan ceann a fhorchur). Ar an gcaoi chéanna, tugaim faoi deara go ndéantar Airteagal 83(2)(i) RGCS a fhoirmliú ar bhealach neamhchórasach freisin, ós rud é go n-éilíonn sé breithniú i dtaobh ar chomhlíon an rialaitheoir nó an próiseálaí na bearta dá dtagraítear in Airteagal 58(2) den Rialachán sin, ach sin amháin ‘i gcás ina bhfuil bearta [den sórt sin] [...] ordaíodh roimhe sin i gcoinne an rialaitheora nó an phróiseálaí’.
70.
Os a choinne sin, luaitear in Airteagal 83(2)(b) ‘cineál an tsáraithe a bheith déanta d’aon ghnó nó le faillí’ (
37
). Mar sin, feictear dom go bhfuil sé mar chuid de na tosca nach mór a bheith i láthair agus, ag labhairt go fíorach, a gcaithfear a bhosca a ‘thiceáil’, i ngach cás, sular féidir fíneáil a ghearradh, cosúil le ‘nádúr, tromchúis agus fad an tsáraithe [...]’ (Airteagal 83(2)(a)), ‘na catagóirí de shonraí pearsanta a ndearna an sárú difear dóibh […]’ (Airteagal 83(2)(g)) agus ‘an bealach ina bhfuair an t-údarás maoirseachta eolas faoin sárú [...]’ (Airteagal 83(2)(h)). Ní mór do na tosca eile sin, dar liomsa, a bheith ‘i láthair’ i ngach cás: mar shampla, d’fhéadfadh difríocht mhór a bheith idir ‘cineál, tromchúis agus fad an tsáraithe’ agus cás amháin go cás eile (agus d’fhéadfaí a mheas, dá réir sin, gur cúis ‘le’ nó mar chúis ‘in aghaidh’ na fíneála a ghearradh). Ach, i ngach cás, beidh an nádúr, tromchúis éigin agus tréimhse éigin den sárú le cur san áireamh. Is é mo thuairim gurb é sin an chéad indicia gur tugadh isteach fíneálacha riaracháin in Airteagal 83 RGCS, ionas nach bhforchuirfear iad ach amháin i gcásanna ina raibh an sárú líomhnaithe d’aon ghnó nó le faillí (
38
).
71.
Ar an dara dul síos, tugaim faoi deara, cé nach luaitear go sainráite in Airteagal 83(2) RGCS nach mór gur tharla an sárú ‘d’aon ghnó nó le faillí’, nach féidir an rud céanna a rá faoi mhír 3 den fhoráil sin, ina bhfuil riail ghinearálta lena gcuirtear bac ar chomhiomlánú fíneálacha riaracháin. Ní luaitear sa mhír sin ach cás inar tharla an sárú nó na sáruithe ábhartha ‘d’aon ghnó nó le faillí’.
72.
Is é mo thuairim go leanann sé go loighciúil nach mór Airteagal 83(2) RGCS a léiriú mar rud a chiallaíonn nach féidir fíneáil a ghearradh ach amháin má tharla an sárú líomhnaithe d’aon ghnó nó le faillí. Go deimhin, dá mbeadh raon feidhme mhíreanna 2 agus 3 d’Airteagal 83 RGCS difriúil, bheadh sé indéanta fíneálacha comhiomlánaithe a ghearradh as sáruithe nach bhfuil chomh tromchúiseach sin (is é sin le rá, iad siúd a rinneadh gan aon locht), ós rud é, cé go bhféadfadh sé go ngearrfaí fíneáil mar thoradh orthu fós i gcur i bhfeidhm an chéad chinn de na forálacha sin (Airteagal 83(2)), nach ngabhfadh an dara ceann iad (Airteagal 83(3)). Ní bheadh an rud céanna indéanta, áfach, i gcás sáruithe a rinneadh le faillí nó d’aon ghnó, ós rud é go mbeadh siad go léir faoi réir na rialach i gcoinne comhiomlánaithe atá in Airteagal 83(3) den Rialachán sin. Is léir go rachadh toradh den sórt sin i gcoinne bhunphrionsabal an chórais pionóis a chuir RGCS i bhfeidhm, is é sin gur cheart, i bprionsabal, go ngearrfaí pionós níos déine ar sháruithe tromchúiseacha ná fíneálacha nach bhfuil chomh tromchúiseach céanna, agus ní an bealach eile timpeall.
73.
Ar an tríú dul síos, tugaim faoi deara go bhféadfadh pionós dian a bheith mar thoradh ar na fíneálacha a ghearrtar i gcur i bhfeidhm Airteagal 83 RGCS. Go deimhin, d’fhéadfadh fíneálacha suas go EUR 10,000,000 nó, i gcás gnóthais, suas le 2 % de láimhdeachas bliantúil iomlán domhanda na bliana airgeadais roimhe sin, cibé acu is airde, a bheith mar thoradh ar an gcéad leibhéal, a chumhdaítear le hAirteagal 83(4) den Rialachán sin. Foráiltear leis an dara sraith d’fhíneálacha suas le EUR 20,000,000 nó, i gcás gnóthais, suas le 4 % de láimhdeachas bliantúil iomlán domhanda na bliana airgeadais roimhe sin (arís, cibé acu is airde).
74.
Dá bharr sin, feictear dom go saothraíonn na fíneálacha a fhorchuirtear i gcur i bhfeidhm Airteagal 83 RGCS cuspóir pionósach, i gcásanna áirithe ar a laghad (
39
), agus go bhfuil leibhéal ard déine ag baint leo sa chaoi is go bhféadfaí a mheas gur de chineál coiriúil iad (
40
) agus, dá bhrí sin, go dtagann siad faoi raon feidhme Airteagal 49 den Chairt um Chearta Bunúsacha an Aontais Eorpaigh (‘an Chairt’) (
41
).
75.
I bhfianaise na n-eilimintí sin agus, go háirithe, chineál coiriúil na bhfíneálacha a fhorchuirtear i gcur i bhfeidhm Airteagal 83 RGCS, d’fhéadfaí cathú a bheith ar dhuine a mhaíomh go mbeadh sé ar neamhréir leis an gceanglas atá i mír 1 den fhoráil sin go mbeadh fíneálacha, i ngach cás, ní hamháin ‘éifeachtach’ agus ‘athchomhairleach, ach ‘comhréireach’ freisin, chun go bhféadfaí fíneálacha den sórt sin a ghearradh in éagmais lochta. I bhfocail eile, bheadh sé díréireach fíneálacha a ghearradh i gcásanna nach bhfuil faillí fiú bunaithe. Is é mo thuairim gur deacair an argóint sin a dhéanamh, áfach, ós rud é go bhfuil cinneadh déanta ag an gCúirt cheana féin nach bhfuil córas pionós nó smachtbhannaí atá bunaithe ar dhliteanas dian, fiú córas de chineál coiriúil, díréireach ann féin leis na cuspóirí atá á saothrú, más córas é sin a spreagann na daoine lena mbaineann chun forálacha rialacháin a chomhlíonadh agus i gcás inar ábhar poiblí é an cuspóir atá á shaothrú a d’fhéadfadh údar a thabhairt le córas den sórt sin a thabhairt isteach (
42
). Thairis sin, chinn an Chúirt Eorpach um Chearta an Duine (ECtHR), i ndáil le hAirteagal 7 den Choinbhinsiún Eorpach um Chearta an Duine (CECD) (a fhreagraíonn d’Airteagal 49 den Chairt) (
43
), cé go n-éilíonn pionós faoin bhforáil sin go ginearálta nasc meabhrach a bheith ann trínar féidir gné dhliteanais a bhrath in iompar an duine a rinne an cion go fisiciúil, nach gcuireann an ceanglas sin bac ar chineálacha áirithe dliteanais oibiachtúil a bheith ann (
44
).
76.
É sin ráite, tuigim ón gcásdlí sin go bhfuil gá le mens rea, mar riail ghinearálta, chun pionós coiriúil a ghearradh, agus gur saghas ‘eisceacht’ ar an riail ghinearálta sin é dliteanas dian, sa mhéid is nach mór údar a bheith leis i bhfianaise na gcuspóirí atá á saothrú leis an Rialachán.
77.
Agus RGCS ina iomláine á chur san áireamh, feictear dom go raibh fíneálacha riaracháin á mbeartú ag reachtas an Aontais mar cheann amháin de na huirlisí a cuireadh ar fáil san ionstraim sin chun comhlíonadh éifeachtach a áirithiú. Go deimhin, ní mór fíneálacha a ghearradh ‘de bhreis, nó in ionad,’ na [m]bearta eile a liostaítear in Airteagal 58(2) den Rialachán sin lena dtugtar raon cumhachtaí ceartaitheacha d’údaráis mhaoirseachta (amhail an chumhacht rabhaidh, iomarduithe nó orduithe a eisiúint) (
45
). Ina theannta sin, i gcásanna nach ngearrtar aon fhíneáil riaracháin i gcur i bhfeidhm Airteagal 83 RGCS, tá an deis ag údaráis mhaoirseachta pionóis eile a fhorchur de bhun Airteagal 84 den Rialachán sin (
46
).
78.
Is léir ó na forálacha sin, agus an Rialachán sin á ghlacadh aige, nach raibh sé i gceist ag reachtas an Aontais do gach sárú ar na rialacha cosanta sonraí a bheith inphionóis le fíneáil riaracháin. Ina ionad sin, bhí sé i gceist foráil a dhéanamh do chóras solúbtha difreáilte pionós agus smachtbhannaí. Deimhnítear é sin le haithris 148 RGCS, lena bhforáiltear gur féidir le húdaráis mhaoirseachta staonadh ó fhíneáil riaracháin a fhorchur, agus ina ionad sin iomardú a eisiúint, i gcás ‘mionsárú nó más rud é gur ualach díréireach ar dhuine nádúrtha an fhíneáil ar dócha go bhforchuirfí í’. Laistigh den chomhthéacs sin, teorainn a chur le cur i bhfeidhm Airteagal 83 RGCS maidir le cásanna ina bhfuil faillí, mar íoscheanglas, bunaithe tá sé, dar liom, ailínithe leis na cuspóirí sin agus le loighic uileghabhálach na bhforálacha éagsúla sin, dá réir ba cheart fíneálacha riaracháin a fhorchur i gcás cineálacha áirithe sáruithe.
79.
Feictear dom freisin, nuair a léirigh reachtas an Aontais gur mian leis dliteanas dian nó dliteanas toimhdithe a thabhairt isteach in RGCS, go ndearna sé amhlaidh trí fhoclaíocht ar leith a úsáid atá as láthair ó Airteagal 83 de. Mar shampla, maidir le dliteanas sibhialta (is é sin, freagracht rialaitheoirí agus próiseálaithe ar ábhair sonraí), a chumhdaítear le hAirteagal 82 RGCS, tá sé ráite ag reachtas an Aontais go bhfuil oibleagáid dhian ar rialaitheoirí agus ar phróiseálaithe an damáiste a dhéanann siad d’ábhair sonraí a chúiteamh mura n-éiríonn leo a chruthú nach bhfuil siad freagrach ar bhealach ar bith as na himeachtaí is cúis leis an damáiste (
47
). I gcodarsnacht leis sin, níl foclaíocht chomhchosúil le hAirteagal 84 RGCS in Airteagal 83 den Rialachán sin. Deimhníonn sé sin, i mo thuairimse, nach raibh sé i gceist ag reachtas an Aontais go dtabharfaí isteach córas fíneálacha bunaithe ar dhliteanas dian nó toimhdithe.
80.
Ar an gceathrú dul síos, agus b’fhéidir níos tábhachtaí fós, measaim, i gcleachtas, go bhfuil an tairseach le haghaidh sárú faillíoch ar RGCS, de réir bhrí Airteagal 83(2)(b) den Rialachán sin, chomh híseal sin, in aon chás, go bhfuil sé deacair cásanna a shamhlú ina mbeidh sé dodhéanta fíneáil a ghearradh ar an gcúis amháin nach sásaítear an ghné sin. Dá bhrí sin, measaim nach gcuireann an fíoras gur cheart cineál d’aon ghnó nó faillí a shuíomh sula bhféadfar fíneáil a ghearradh i bhfeidhmiú Airteagal 83 den Rialachán sin, cuspóir reachtas AE maidir le forghníomhú éifeachtach na rialacha cosanta sonraí atá ann a ráthú i mbaol, ach a mhalairt ar fad.
81.
D’áitigh cuid acu, ina leith sin, gurb ionann an mhainneachtain aon ghníomh a dhéanamh i gcás nach bhfuil ach amhras ar an rialaitheoir nó ar an bpróiseálaí faoi dhlíthiúlacht na próiseála a rinneadh cheana féin agus glacadh d’aon ghnó le RGCS a shárú agus, dá bhrí sin, mórfhaillí (
48
). Ina theannta sin, mhol an Mheitheal um Airteagal 29 gurb ionann sárú faillíoch, ar go leor bealaí, agus sárú ar ‘neamhbheartaithe’, ós rud é, dar leis, d’fhéadfadh sárú den sórt sin a bheith ann nuair nach raibh aon intinn ann a bheith ina chúis leis an sárú, agus nár sháraigh an rialaitheoir nó an próiseálaí a dhualgas cúraim ach amháin (
49
). Go háirithe, tá sé ráite aige go bhféadfadh fiú ‘earráid dhaonna’ (
50
) shimplí a bheith ina léiriú ar fhaillí.
82.
Ritheann dhá chonclúid liom. Ar an gcéad dul síos, is beag idir sárú gan locht go hiomlán neamhbheartaithe agus ceann faillíoch, i ndáiríre. Creidim gurb annamh a bheidh deacracht ag na húdaráis mhaoirseachta gnéithe leordhóthanacha a aimsiú sa chaoi is gur tharla an sárú líomhnaithe le faillí ar a laghad. Maidir leis sin, tugaim faoi deara go bhfuil sé ráite, sa litríocht, ‘mar gheall ar na gníomhartha iomadúla atá anois ann chun feasacht a ardú [...] chun comhlíonadh RGCS a áirithiú […] is deacair a shamhlú [...] sáruithe ar RGCS gan faillí ar a laghad a bheith ann’ (
51
). Aontaím go hiomlán, agus meabhraím go bhfuil sé mar aidhm shonrach ag RGCS a áirithiú go bhfuil rialaitheoirí agus próiseálaithe ar an eolas faoi na rialacha cosanta sonraí, rud a fhágann go bhfuil sé níos deacra fós, i mo thuairimse, a mheas go bhféadfadh sárú tarlú gan aon locht ar chor ar bith (ní faillí fiú) (
52
).
83.
Ar an dara dul síos, is cosúil go bhfuil an toradh sin ag teacht go foirfe le príomhchuspóir RGCS, is é sin leibhéal comhsheasmhach agus ard cosanta a áirithiú do dhaoine nádúrtha laistigh den Aontas Eorpach (
53
). Go deimhin, tá éifeacht dhíspreagthach ag fíneálacha (
54
). A bhuí leis an dreasacht a chruthaíonn siad do rialaitheoirí agus do phróiseálaithe RGCS a chomhlíonadh, rannchuidíonn siad ar an iomlán le cosaint na n-ábhar sonraí a threisiú agus, dá bhrí sin, is príomhghné iad chun urraim dá gcearta a áirithiú (
55
). I mo thuairim, leanann sé, cé nach féidir ‘locht’ a chur ar ceal, ní mór méid an locht is gá chun Airteagal 83 den Rialachán sin a spreagadh a bheith íseal go leor, chun leibhéal iomchuí cosanta a áirithiú d’ábhair sonraí.
84.
Ina theannta sin, ba mhaith liom béim a leagan ar an bhfíoras go ndeimhnítear leis an gcur chuige sin a mholaim don Chúirt a ghlacadh freisin ailíniú an chórais airgeadais a chuirtear i bhfeidhm leis an bhforáil sin leis an gcreat a leagtar amach in Airteagal 23(1) de Rialachán (CE) Uimh. 1/2003 (
56
), i gcás sáruithe ar dhlí na hiomaíochta, nach bhfuil i bhfeidhm ach amháin má shuitear intinn nó faillí. Ós rud é gur spreag an córas airgeadais eile foclaíocht Airteagal 83 RGCS, is le haithris 150 de, ina luaitear ‘i gcás ina bhforchuirtear fíneálacha riaracháin ar ghnóthas, ba cheart a thuiscint gur gnóthas é gnóthas i gcomhréir le hAirteagail 101 agus 102 CFAE chun na gcríoch sin’, agus trí chosúlachtaí eile idir an dá chóras fíneála sin, amhail gur féidir méid na bhfíneálacha a bhunú, i gcás gnóthas, sa dá chóras, ar a láimhdeachas. Tugaim faoi deara freisin go bhfuil roinnt de na tosca a liostaítear in Airteagal 83(2) RGCS ina scáthán orthu siúd atá ábhartha chun méid fíneála i leith sáruithe ar dhlí na hiomaíochta a chinneadh (
57
).
85.
Tar éis dom cur síos a dhéanamh ar na cúiseanna a gcreidim go gcaithfear locht a bhunú sular féidir fíneáil a ghearradh ar rialaitheoir nó ar phróiseálaí agus Airteagal 83(2) RGCS á chur i bhfeidhm, is ormsa atá sé cúpla focal a rá faoin líne réasúnaíochta a chuir an Chomhairle agus Rialtas na Liotuáine chun cinn. De réir na bpáirtithe sin, is faoi na Ballstáit atá sé cinneadh a dhéanamh an bhfuil locht ag teastáil nó nach bhfuil sular féidir fíneáil riaracháin a ghearradh.
86.
Ní aontaím, ar aon chuma, leis an moladh sin.
(b) Cén fáth nach bhfuil aon lamháil tuisceana ag na Ballstáit i dtaobh an bhfuil locht ag teastáil
87.
Is léir dom gurb é ceann de phríomhchuspóirí RGCS agus, go háirithe, Airteagal 83 de, ná leibhéal níos mó comhchuibhithe a bhaint amach ar fud an Aontais Eorpaigh maidir le fíneálacha a ghearradh, go sonrach (
58
). Mar sin, tá mé den tuairim, in ainneoin an mhéid atá ráite ag an gComhairle agus ag Rialtas na Liotuáine, nach raibh sé i gceist ag reachtas an Aontais go mbeadh discréid ag na Ballstáit maidir le cibé an bhfuil locht ag teastáil.
88.
Is fíor go bhféadfaí foráil a dhéanamh sa reachtaíocht náisiúnta do cheanglais bhreise maidir leis an nós imeachta atá le leanúint ag na húdaráis mhaoirseachta agus fíneáil á gearradh acu (i ndáil le hábhair amhail fógra faoin bhfíneáil agus spriocdhátaí chun uiríll a dhéanamh, achomharc, forfheidhmiú agus íocaíocht) (
59
). Tá sé sin soiléir ó Airteagal 83(8) RGCS, ina sonraítear go mbeidh feidhmiú a gcumhachtaí fíneála ag na húdaráis mhaoirseachta ‘faoi réir coimircí nós imeachta iomchuí’, dá bhforáiltear leis an dlí náisiúnta, fad a ráthaítear urraim do dhlí AE (agus go háirithe leis an gceart chun leigheas breithiúnach éifeachtach agus próis chuí a fháil).
89.
Ní féidir leis an lánrogha sin, áfach, síneadh a chur leis na ceanglais shubstainteacha a bhfuil feidhm acu maidir le fíneáil a ghearradh, amhail méid an lochta. I mo thuairim tagann an chonclúid sin go díreach ó roinnt aithrisí den Rialachán sin (
60
), a léiríonn go raibh sé beartaithe ag reachtas AE an córas fíneálacha riaracháin a cuireadh i bhfeidhm le hAirteagal 83 RGCS chun torthaí comhsheasmhacha a bhaint amach ar fud chríoch an Aontais Eorpaigh.
90.
Ar mhaithe le hiomláine, cuirim leis, ós rud é go mbíonn tionchar láidir ag fíneálacha ar iomaíocht idir gnóthais agus go bhfuil iarmhairtí suntasacha acu ar an margadh, go bhfuil sé ríthábhachtach, i mo thuairimse, go gcuirfí Airteagal 83 RGCS i bhfeidhm ar bhealach comhsheasmhach, nó d’fhéadfadh sé rannchuidiú le saobhadh iomaíochta idir gnóthais a thabhairt isteach (
61
).
2. An dara gné; an féidir fíneáil a ghearradh ar rialaitheoir as sárú a rinneadh i gcomhthéacs nach leis féin ach le próiseálaí a rinne an phróiseáil neamhdhleathach?
91.
Faoin dara cuid den séú ceist, ní fheadar an chúirt a rinne an tarchur, go bunúsach, an féidir fíneáil a ghearradh ar rialaitheoir agus Airteagal 83 RGCS á chur i bhfeidhm i gcomhthéacs nach ndearna an rialaitheoir féin próiseáil neamhdhleathach sonraí pearsanta, ach próiseálaí (in casu, ag ITSS).
92.
I mo thuairim caithfear an cheist sin a fhreagairt go dearfach.
93.
I ndáil leis sin, meabhraím, mar a luaigh mé i bpointe 27 thuas, nach gá do rialaitheoir aon cheann de na sonraí pearsanta féin a phróiseáil, fad a chinneann sé ‘cén fáth agus conas’ a bhaineann leis na hoibríochtaí próiseála ábhartha. Tugaim faoi deara freisin go sainmhíníonn Airteagal 4(8) RGCS ‘próiseálaí’ mar ‘d[h]uine nádúrtha nó dlítheanach, údarás poiblí, gníomhaireacht nó comhlacht eile a phróiseálann sonraí pearsanta thar ceann an rialaitheora’ (
62
).
94.
Deimhníonn na sainmhínithe sin, i mo thuairimse, gur féidir, laistigh de chomhthéacs chur i bhfeidhm RGCS, rialaitheoir a chur faoi dhliteanas agus dá bhrí sin, go bhféadfar fíneáil a ghearradh air, agus Airteagal 83 den Rialachán sin á chur i bhfeidhm, i gcás ina ndéantar sonraí pearsanta a phróiseáil go neamhdhleathach, agus nach ndéanann an rialaitheoir féin próiseáil neamhdhleathach, ach próiseálaí. Tá an fhéidearthacht sin fós i bhfeidhm fad is a phróiseálann próiseálaí den sórt sin sonraí pearsanta thar ceann an rialaitheora.
95.
Beidh sé sin amhlaidh fad a ghníomhóidh an próiseálaí laistigh de raon feidhme an tsainordaithe a thugann an rialaitheoir dó agus a phróiseálann sonraí i gcomhréir leis na treoracha dleathacha a fuarthas ón rialaitheoir (
63
). Mar sin féin, má théann an próiseálaí thar raon feidhme an tsainordaithe sin agus má úsáideann sé sonraí a fhaightear mar phróiseálaí chun a chuspóirí féin, agus is léir nach ‘rialaitheoirí comhpháirteacha’ iad na páirtithe de réir bhrí Airteagal 4(7) agus Airteagal 21(6) RGCS, ní féidir fíneáil a ghearradh ar an rialaitheoir, i mo thuairimse, i bhfeidhm Airteagal 83 den Rialachán sin, i ndáil leis an bpróiseáil neamhdhleathach a rinneadh (
64
).
96.
Leanann sé, i gcás amhail an ceann sna príomhimeachtaí, gur féidir fíneáil a ghearradh, agus Airteagal 83 RGCS á chur i bhfeidhm, ar NVSC, cé gur phróiseáil ITSS amháin sonraí pearsanta go neamhdhleathach agus nár ghlac NVSC aon pháirt sa phróiseáil. Tá an fhéidearthacht sin oscailte chomh fada agus is féidir a mheas gur phróiseáil an chuideachta sin sonraí pearsanta thar ceann NVSC, rud nach mbeidh amhlaidh má ghníomhaigh ITSS lasmuigh de threoracha dleathacha NVSC, nó ag teacht salach ar threoracha dleathacha NVSC agus gur úsáid sí sonraí pearsanta chun a críocha féin, agus is léir nár ghníomhaigh NVSC agus ITSS mar rialaitheoirí comhpháirteacha.
V. Conclúid
97.
I bhfianaise an mhéid sin roimhe seo, molaim go bhfreagróidh an Chúirt na ceisteanna a tharchuirtear le haghaidh réamhrialú ón Vilniaus apygardos administracinis teismas (An Chúirt Réigiúnach Riaracháin, Vilnius, an Liotuáin) mar seo a leanas:
(1)
Maidir le hAirteagal 4(7) de Rialachán (AE) 2016/679 ó Pharlaimint na hEorpa agus ón gComhairle an 27 Aibreán 2016 maidir le daoine nádúrtha a chosaint i ndáil le sonraí pearsanta a phróiseáil agus maidir le saorghluaiseacht sonraí den sórt sin, agus lena n-aisghairtear Treoir 95/46/CE (An Rialachán Ginearálta maidir le Cosaint Sonraí)
ní mór a léiriú nach féidir eintiteas a thionscnaíonn forbairt feidhmchláir mhóibíligh a mheas ach mar ‘rialaitheoir’, de réir bhrí na forála sin, i gcás ina bhfuil go leor gnéithe de chineál fíorasach, seachas gnéithe foirmiúla, ann ónar féidir le cúirteanna náisiúnta a chinneadh gur fheidhmigh eintiteas den sórt sin tionchar iarbhír maidir le ‘críocha’ agus ‘modhanna’ na próiseála sin agus gur thoiligh sé iarbhír an feidhmchlár móibíleach a scaoileadh leis an bpobal agus, dá bhrí sin, le próiseáil na sonraí pearsanta.
(2)
Leis an bhforáil sin, arna léamh i gcomhar le hAirteagal 26(1) den Rialachán sin,
a léiriú mar ní a chiallaíonn, chun go measfar gur ‘rialaitheoirí comhpháirteacha’ iad dhá rialaitheoir nó níos mó, nach mór dhá choinníoll a chomhlíonadh: ar an gcéad dul síos, ní mór do gach rialaitheoir comhpháirteach na critéir a liostaítear sa sainmhíniú ar ‘rialaitheoir’ dá bhforáiltear in Airteagal 4(7) den Rialachán sin a chomhlíonadh go neamhspleách, agus, ar an dara dul síos, ní mór tionchar na rialaitheoirí ar ‘c[h]ríocha agus ar mhodhanna’ na próiseála a fheidhmiú go comhpháirteach. Ina theannta sin, in éagmais aon chomhaontú nó fiú comhordú idir na rialaitheoirí, ní féidir, ann féin agus as féin, cinneadh a eisiamh gur ‘rialaitheoirí comhpháirteacha’ iad na rialaitheoirí de réir bhrí na bhforálacha sin.
(3)
Airteagal 4(2) den Rialachán sin:
ní mór léiriú a dhéanamh air mar ní a chiallaíonn go gcumhdaíonn coincheap na ‘próiseála’ cás ina n-úsáidtear sonraí pearsanta le linn na céime tástála feidhmchláir mhóibíligh, mura rud é go ndearnadh sonraí den sórt sin anaithnid ar bhealach nach bhfuil an t-ábhar sonraí inaitheanta a thuilleadh. Cibé an mbailítear sonraí pearsanta d’fhonn tástáil a dhéanamh ar na córais TF atá leabaithe i bhfeidhmchlár móibíleach nó ar chuspóir eile, níl aon tionchar ag cuspóir difriúil ar an gceist maidir le cibé an gcáilíonn an oibríocht atá i gceist mar ‘p[h]róiseáil’.
(4)
Airteagal 83 de Rialachán 2016/679
a léiriú mar ní a chiallaíonn nach féidir fíneáil a ghearradh ach amháin chun smachtbhannaí a ghearradh ar shárú ar na rialacha an Rialacháin a rinneadh ‘d’aon ghnó nó le faillí’. Ina theannta sin, féadfar fíneáil a ghearradh ar rialaitheoir agus an fhoráil sin á cur i bhfeidhm cé go ndéanann próiseálaí an phróiseáil neamhdhleathach. Tá an fhéidearthacht sin ar oscailt fad a shuitear go ngníomhaíonn an próiseálaí thar ceann an rialaitheora. Mar sin féin, má phróiseálann an próiseálaí sonraí pearsanta lasmuigh de threoracha dleathacha an rialaitheora, nó contrártha dóibh, agus má úsáideann sé na sonraí pearsanta a fhaightear chun a chríocha féin, agus más léir nach ‘rialaitheoirí comhpháirteacha’ iad na páirtithe, de réir bhrí Airteagal 4(7) agus Airteagal 21(6) de Rialachán 2016/679, ansin ní féidir fíneáil a ghearradh ar an rialaitheoir, i gcur i bhfeidhm Airteagal 83 den Rialachán sin, i ndáil leis an bpróiseáil neamhdhleathach a rinneadh.
(
1
)	Bunteanga: an Béarla.
(
2
)	Rialachán ó Pharlaimint na hEorpa agus ón gComhairle an 27 Aibreán 2016 maidir le daoine nádúrtha a chosaint i ndáil le sonraí pearsanta a phróiseáil agus maidir le saorghluaiseacht sonraí den sórt sin, agus lena n-aisghairtear Treoir 95/46/CE (Rialachán Ginearálta maidir le Cosaint Sonraí) (IO 2016 L 119, lch. 1) (‘RGCS’).
(
3
)	I measc na sonraí pearsanta a bhailigh KARANTINAS óna úsáideoirí bhí an méid seo a leanas: uimhir aitheantais, comhordanáidí domhanleithid agus domhanfhaid, tír, cathair, bardas, seoladh cónaithe, céadainm, sloinne, uimhir aitheantais phearsanta, uimhir theileafóin, dá mba ghá don duine féin-aonrú, cibé acu ar chláraigh sé/sí, agus mar sin de. Bailíodh na sonraí sin ní hamháin sa Liotuáin ach thar lear freisin.
(
4
)	Tá liosta de na prionsabail ghinearálta in Airteagal 5 RGCS, nach mór do rialaitheoirí a chomhlíonadh nuair a dhéantar sonraí pearsanta a phróiseáil. Liostaítear in Airteagal 13 den Rialachán sin an fhaisnéis nach mór do rialaitheoirí a sholáthar d’ábhair sonraí nuair a bhailítear sonraí pearsanta uathu. Foráiltear le hAirteagal 24 den Rialachán sin go ndéanfaidh rialaitheoirí, inter alia, bearta iomchuí teicniúla agus eagraíochtúla a chur chun feidhme chun a áirithiú (agus go mbeidh siad in ann a léiriú) go ndéanfar an phróiseáil i gcomhréir leis na rialacha cosanta sonraí is infheidhme. Baineann Airteagal 32 RGCS le slándáil na próiseála agus cruthaíonn sé oibleagáidí do rialaitheoirí agus do phróiseálaithe araon ina leith sin, agus baineann Airteagal 35 de leis an oibleagáid atá ar rialaitheoirí measúnuithe tionchair ar chosaint sonraí a dhéanamh sula dtugann siad faoi chineálacha áirithe próiseála.
(
5
)	De bhun Airteagal 29 de RGCS, ‘ní dhéanfaidh an próiseálaí, ná aon duine atá ag gníomhú faoi údarás an rialaitheora nó an phróiseálaí, a bhfuil rochtain aige ar shonraí pearsanta, na sonraí sin a phróiseáil ach amháin ar threoracha ón rialaitheoir, mura gceanglaítear sin le dlí an Aontais nó le dlí Ballstáit’.
(
6
)	Tugaim faoi deara gurb ionann sonraí pearsanta a bhaineann leis an tsláinte agus ‘catagóir speisialta sonraí pearsanta’, a bhfuil a phróiseáil toirmiscthe le hAirteagal 9 de RGCS, ach amháin má tá feidhm ag ceann de na forais a liostaítear i mír 2 den fhoráil sin (mar shampla, go bhfuil gá leis an bpróiseáil ar chúiseanna a bhaineann le leasanna an phobail i réimse na sláinte poiblí (pointe (i)) nó chun críocha leigheas coisctheach nó ceirde (pointe (h))). É sin ráite, tugaim faoi deara nach mbaineann na ceisteanna a tharchuirtear chuig an gCúirt sa chás seo le dlíthiúlacht na próiseála sin, ach leis na coinníollacha faoinar féidir eintiteas amhail NVSC a chur faoi dhliteanas as an bpróiseáil a rinne forbróir feidhmchláir mhóibíligh den sórt sin (in casu, ITSS).
(
7
)	Bunaithe ar an bhfaisnéis a cuireadh ar fáil sa cháschomhad agus ag an éisteacht, níl sé soiléir ar ghlac cathair Vilnius páirt i bhforbairt KARANTINAS.
(
8
)	Mar a mhíneoidh mé i bpointe 46 thíos. tuigim ón iarratas ar réamhrialú gur cuireadh KARANTINAS trí chéim tástála sular chuir an pobal ar fáil é lena íoslódáil. Ó mo thuiscint, baineann an ceathrú ceist, dá bhrí sin, le húsáid sonraí pearsanta a tharla le linn na céime tástála sin, seachas an ceann a úsáideadh níos déanaí nuair a bhí KARANTINAS ar fáil le híoslódáil ag an bpobal.
(
9
)	Féach Rücker, D. agus Kugler, T., New European General Data Protection Regulation: A Practitioner’s Guide, C.H. Beck, Hart agus Nomos, Oxford, 2018, lch. 27. Dar leis na húdair, is é an tréith is tábhachtaí atá ag rialaitheoir ná go gcinnfidh sé torthaí atá ceaptha a bhaint amach, seachas na modhanna nó “conas” na próiseála, ar féidir, ar a laghad ina ngnéithe neamhriachtanacha, a tharmligean chuig próiseálaí gan cumas an rialaitheora a chailleadh.
(
10
)	Féach breithiúnas an 10 Iúil 2018Jehovan todistajat (C-25/17, EU:C:2018:551, mír 68). Bhain an breithiúnas sin le léiriú choincheap an ‘rialaitheora’ mar a shainmhínítear é faoi Airteagal 2(d) de Threoir 95/46/CE ó Pharlaimint na hEorpa agus ón gComhairle an 24 Deireadh Fómhair 1995 maidir le daoine aonair a chosaint i ndáil le sonraí pearsanta a phróiseáil agus maidir le saorghluaiseacht sonraí den sórt sin (IO 1995 L 281, lch. 31). Cé nach bhfuil an Treoir sin i bhfeidhm a thuilleadh agus go bhfuil RGCS curtha ina hionad, tá an léiriú a thug an Chúirt maidir leis an bhforáil sin fós ábhartha i gcomhthéacs chur i bhfeidhm RGCS, ós rud é go bhfuil an sainmhíniú ar an gcoincheap sin fós comhionann sa dá ionstraim, ach amháin i gcás mionathruithe foirmiúla. Dá bhrí sin, déanfaidh mé tagairt ar bhreithiúnais a bhaineann le hionstraim amháin nó leis an ionstraim eile gan idirdhealú a dhéanamh.
(
11
)	Féach breithiúnas an 10 Iúil 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551, mír 67).
(
12
)	Féach ‘Treoirlínte 07/2020 maidir le coincheapa an rialaitheora agus an phróiseálaí in RGCS’ de EDPB, leagan 2.1, a glacadh an 7 Iúil 2021 (‘na Treoirlínte 07/2020’, atá ar fáil i mBéarla ag an seoladh seo a leanas: https://edpb.europa.eu/system/files/2021-07/eppb_guidelines_202007_controllerprocessor_final_en.pdf), lch. 3 agus pointe 21 agus pointe 25 go 27.
(
13
)	Breithiúnas an 29 Iúil 2019 (C-40/17, EU:C:2019:629, mír 85).
(
14
)	Féach, freisin, na Treoirlínte 07/2020, pointe 42.
(
15
)	Féach Airteagal 26(3) de RGCS, ar dá bhun ‘féadfaidh an t-ábhar sonraí a chearta nó a cearta faoi [RGCS] a fheidhmiú i ndáil le gach ceann de na rialaitheoirí agus ina gcoinne’. Féach, freisin, Airteagal 82(4) agus (5) den Rialachán sin.
(
16
)	Féach, ina leith sin, breithiúnas an 29 Iúil 2019, Fashion ID (C-40/17, EU:C:2019:629, mír 67 agus an cásdlí a luadh).
(
17
)	Féach, chuige sin, breithiúnas an 5 Meitheamh 2018, Wirtschaftsakademie Schleswig-Holstein (C-210/16, EU:C:2018:388, mír 43).
(
18
)	Féach breithiúnas an 10 Iúil 2018, Jehovan todistajat (C-25/17, EU:C:2018:551, mír 69 agus an cásdlí dá dtagraítear).
(
19
)	Féach Treoirlínte 07/2020, lch. 3 agus pointí 54 agus 55.
(
20
)	Go deimhin, bheadh sé beagáinín contrártha dá bhféadfaí ceanglais fhoirmiúla a chomhlíonadh chun go mbeadh duine nó eintiteas cáilithe mar ‘rialaitheoir’, ach ní go measfaí gur ‘rialaitheoirí comhpháirteacha’ iad an t-eintiteas céanna agus eintiteas eile.
(
21
)	Féach Treoirlínte 07/2020, pointe 52.
(
22
)	Féach, i ndáil leis sin, Treoirlínte 07/2020, pointe 69.
(
23
)	Tugaim faoi deara, sa cheathrú ceist, go luann an chúirt a rinne an tarchur an úsáid a bhaintear as ‘cóipeanna de shonraí pearsanta’ seachas sonraí pearsanta. Caithfidh mé a admháil ní léir domsa cad is brí leis an gcúirt sin leis an téarma ‘cóipeanna de shonraí pearsanta’, ós rud é gur féidir le sonraí pearsanta a bheith ann i bhfoirm dholáimhsithe, agus go, mar a dhéanann Airteagal 4(1) de RGCS soiléir, sainmhínítear an téarma ‘sonraí pearsanta’, san fhoráil sin, mar ‘aon fhaisnéis a bhaineann le duine nádúrtha aitheanta nó inaitheanta’, (mo bhéim), gan aon cheanglas go ndéanfaí na sonraí pearsanta a ‘chóipeáil’ nó a thrascríobh ar ghléas nó ar mheán áirithe. I mo thuairim, níl an réad fisiciúil (mar shampla, cóipeanna crua) nó, ar an ábhar sin, na comhaid leictreonacha ar a bhfuil na sonraí pearsanta ar fáil ábhartha don cheist i dtaobh an gcáilíonn tacar áirithe oibríochtaí a bhaineann le sonraí pearsanta mar ‘p[h]róiseáil’ de réir bhrí Airteagal 4(2) den Rialachán sin. I mo fhreagra ar an gceathrú ceist, mar sin, déanfaidh mé tagairt do ‘shonraí pearsanta’ seachas do ‘chóipeanna de shonraí pearsanta’.
(
24
)	Mo bhéim.
(
25
)	De bhun Airteagal 4(2) de RGCS, folaíonn ‘próiseáil’ oibríochtaí amhail ‘bailiú, taifeadadh, eagrú, struchtúrú, stóráil, oiriúnú nó athrú, aisghabháil, comhairliúchán, úsáid, nochtadh trí tharchur, scaipeadh nó cur ar fáil ar bhealach eile, ailíniú nó comhcheangal, srianadh, léirscriosadh nó díothú’.
(
26
)	Féach an fonóta roimhe.
(
27
)	Go deimhin, folaíonn ‘sonraí pearsanta’, de réir bhrí Airteagal 4(1) RGCS, a léitear i bhfianaise aithris 26 de, sonraí pearsanta a ndearnadh ainm bréige orthu, ach a d’fhéadfaí a chur i leith duine nádúrtha trí fhaisnéis phearsanta bhreise a úsáid.
(
28
)	San iarratas ar réamhrialú, luann an chúirt a rinne an tarchur go bhféadfadh sonraí “bréige” a bheith i gceist le cuid de na sonraí pearsanta a úsáideadh chun críocha chéim na tástála, ach ní iad go léir. Mar sin féin, ní thugann sé tuilleadh mionsaothraithe ar cad is brí leis an téarma sin. Maidir leis sin, ní mian liom ach a chur in iúl go bhféadfadh faisnéis a bheith incháilithe mar ‘shonraí pearsanta’, de réir bhrí Airteagal 4(1) RGCS, beag beann ar cibé an bhfuil faisnéis fhíor nó bhréagach ann. An rud atá tábhachtach, mar atá ráite agam, ná go mbaineann an fhaisnéis le duine nádúrtha aitheanta nó inaitheanta. Má tá na sonraí déanta suas go hiomlán ionas nach féidir a rá go mbaineann siad le duine aitheanta nó inaitheanta, ansin, i mo thuairimse, ní ‘sonraí pearsanta’ iad agus níl feidhm ag RGCS maidir le próiseáil na sonraí sin. É sin ráite, tá feidhm fós ag an Rialachán sin maidir leis na sonraí ‘neamhbhréige’ eile a bailíodh le linn chéim na tástála.
(
29
)	Ba mhaith liom a mheabhrú gurb ionann úsáid sonraí pearsanta chun críocha tástáil a dhéanamh ar na córais TF atá leabaithe i bhfeidhmchlár móibíleach agus ‘próiseáil’ éagsúil ón gceann a tharlaíonn nuair a chuirtear an feidhmchlár móibíleach céanna ar fáil lena íoslódáil ag an bpobal. Dá bhrí sin, tá gá le measúnú ar leith maidir le cad is ‘rialaitheoir’, ‘próiseálaí’ nó ‘rialaitheoir comhpháirteach’ ann.
(
30
)	Féach Airteagal 24 de Threoir 95/46.
(
31
)	Féach ‘Treoirlínte maidir le fíneálacha riaracháin a chur i bhfeidhm agus a shocrú chun críocha [RGCS]’ d’Airteagal 29 den Mheitheal um Chosaint Sonraí, a glacadh an 3 Deireadh Fómhair 2017, lch. 4. Tháinig an Bord Eorpach um Chosaint Sonraí (EDPB) in ionad na Meithle sin ansin. Mar sin féin, tá a ‘Treoirlínte maidir le cur i bhfeidhm agus socrú fíneálacha riaracháin’ fós bailí.
(
32
)	Féach, mar shampla, an fhíneáil ilmhilliún euro a ghearr Údarás Cosanta Sonraí na Fraince ar Google i mí Eanáir 2019 (https://edpb.europa.eu/news/national-news/2019/cnils-restricted-committee-imposes-financial-penalty-50-million-euros_en).
(
33
)	Go háirithe, in Airteagal 83(2)(b) den Rialachán sin. Tá na heilimintí eile a liostaítear in Airteagal 83(2)(a) go (k) nasctha leis an sárú é féin (mar shampla, cineál, tromchúis agus fad (a) nó na catagóirí sonraí pearsanta a ndírítear orthu (g)) nó chuig an rialaitheoir nó próiseálaí a ndíreofaí an fhíneáil chuige nó chuici (eadhon, a méid freagrachta (d), a n-iompar ex ante, sáruithe ábhartha roimhe sin (e) agus bearta roimhe sin a ordaíodh ina gcoinne (i), agus a n-iompar ex post, lena n-áirítear ar thug siad fógra faoin sárú (h), an ghníomhaíocht a rinne siad chun an damáiste a mhaolú (c) agus a mhéid a chomhoibrigh siad leis an údarás maoirseachta d’fhonn an sárú a leigheas agus na héifeachtaí díobhálacha a d’fhéadfadh a bheith aige a mhaolú (f)). Ina theannta sin, ní mór aird chuí a thabhairt ar ‘aon imthosca géaraitheacha nó maolaitheacha eile is infheidhme i leith dhálaí an cháis, amhail sochair airgeadais a gnóthaíodh, nó caillteanais a seachnaíodh, go díreach nó go hindíreach, as an sárú’ (k).
(
34
)	‘Togra le haghaidh Rialachán ó Pharlaimint na hEorpa agus ón gComhairle maidir le daoine aonair a chosaint i ndáil le sonraí pearsanta a phróiseáil agus maidir le saorghluaiseacht sonraí den sórt sin (an Rialachán Ginearálta maidir le Cosaint Sonraí)’, COM(2012) 11 final (‘togra tosaigh an Choimisiúin chun glacadh le rialachán’).
(
35
)	Féach Airteagal 79(4), (5) agus (6) den Togra tosaigh ón gCoimisiún maidir le glacadh le rialachán. Tugaim faoi deara go raibh cineál an tsáraithe ‘d'aon ghnó nó le faillí’ san áireamh freisin sa liosta fachtóirí atá in Airteagal 79(2) den togra sin, ar gá iad a chur san áireamh chun méid na fíneála a shocrú; mo bhéim.
(
36
)	Athraíodh an fhoclaíocht sin ansin agus ní chuirtear na téarmaí ‘d’aon ghnó nó le faillí’ san áireamh a thuilleadh sna forálacha lena sainítear an dá shraith den chóras airgeadais a chuir an RGCS i bhfeidhm.
(
37
)	Mo bhéim.
(
38
)	Is féidir an tuairim chéanna a dhéanamh freisin má fhéachann duine ar na leaganacha teanga eile d’Airteagal 83(2) RGCS, go háirithe na leaganacha Seicise, Gréigise, Spáinnise, Fraincise agus Iodáilise. Tugaim faoi deara, áfach, sa leagan Iodáilise, go n-úsáidtear an focal ‘an’ (‘le’), seachas ‘ar bith’ (‘eventuali’) maidir le hAirteagal 83(2)(c) den Rialachán sin, a bhaineann leis an ngníomh a rinne an rialaitheoir nó an próiseálaí chun an damáiste a mhaolú.
(
39
)	De réir Airteagal 29 den Mheitheal, is ‘bearta ceartaitheacha’ iad fíneálacha riaracháin a bhféadfadh sé a bheith mar chuspóir acu ‘comhlíonadh na rialacha a athbhunú, nó pionós a ghearradh ar iompar neamhdhleathach (nó an dá rud)’ (mo bhéim) (féach ‘Treoirlínte maidir le fíneálacha riaracháin a chur i bhfeidhm agus a shocrú chun críocha [RGCS]’ de Airteagal 29 den Mheitheal um Chosaint Sonraí, 3 Deireadh Fómhair 2017. lch. 6).
(
40
)	Féach, de réir analaí, breithiúnas an 2 Feabhra 2021, Consob (C-481/19, EU:C:2021:84, mír 43). Meabhraím go bhfuil trí chritéar ábhartha chun a mheas an de chineál coiriúil iad pionóis: is é an chéad chritéar aicmiú dlíthiúil an chiona faoin dlí náisiúnta, is é an dara ceann cineál intreach an chiona, agus is é an tríú ceann déine an phionóis a dhlíonn an duine lena mbaineann a thabhú (féach mír 42 den bhreithiúnas chomh maith le breithiúnas an 5 Meitheamh 2012, Bonda, C-489/10, EU:C:2012:319, mír 37; féach, freisin, ECtHR, 8 Meitheamh 1976, Engel agus páirtithe eile v An Ísiltír, CE:ECHR:1976:0608JUD000510071, § 82). Ní mór gach critéar a chomhlíonadh chun go measfar fíneáil a bheith coiriúil (féach, ina leith sin, Tuairim an Abhcóide Ghinearálta Bot in ThyssenKrupp Nirosta v an Coimisiún (C-352/09 P, EU:C:2010:635, pointe 50 agus an cásdlí a luadh).
(
41
)	Luaitear in Airteagal 49 den Chairt, dar teideal ‘Prionsabail na dlíthiúlachta agus na comhréireachta i dtaca le cionta coiriúla agus pionóis’, i mír 3, “nár cheart déine na bpionós a bheith díréireach leis an gcion coiriúil”.
(
42
)	Féach breithiúnais an 9 Feabhra 2012, Urbán (C-210/10, EU:C:2012:64, mír 48); an 13 Samhain 2014, Reindl (C-443/13, EU:C:2014:2370, mír 42); an 20 Nollaig 2017, Global Starnet (C-322/16, EU:C:2017:985, mír 63); an 22 Márta 2017, Euro-Team and Spirál-Gép (C-497/15 agus C-498/15, EU:C:2017:229, míreanna 53 agus 54). Léiríonn na breithiúnais sin gur cuireadh an cásdlí sin i bhfeidhm ar réimsí éagsúla de dhlí an Aontais.
(
43
)	Féach na ‘Mínithe a bhaineann leis an gCairt um Chearta Bunúsacha’ (IO 2007 C 303, lch. 17). De bhun Airteagal 52(3) den Chairt, ní fhéadfaidh an leibhéal cosanta a dheonaítear le hAirteagal 49 de a bheith níos lú ná an leibhéal a thugtar in Airteagal 7 de CECD.
(
44
)	Féach ECtHR (an Mór-Dhlísheomra), an 28 Meitheamh 2018, GIEM s.r.l. agus páirtithe eile v an Iodáil (CE:ECHR:2018:0628JUD000182806, §§ 242 agus 243).
(
45
)	Féach Airteagal 58(2)(i) agus Airteagal 83(2) RGCS.
(
46
)	De bhun Airteagal 84(1) RGCS, ‘Leagfaidh na Ballstáit síos na rialacha maidir le pionóis eile is infheidhme maidir le sáruithe [...] go háirithe sáruithe nach bhfuil faoi réir fíneálacha riaracháin de bhun Airteagal 83, agus glacfaidh siad na bearta uile is gá chun a áirithiú go gcuirfear chun feidhme iad.’. Mínítear in aithris 152 den Rialachán sin go bhfuil feidhm ag Airteagal 84 i gcás nach ndéanann RGCS ‘pionóis riaracháin a chomhchuibhiú nó nuair is gá i gcásanna eile, mar shampla i gcásanna sáruithe tromchúiseacha.’
(
47
)	Féach, maidir leis sin, Chamberlain, J. agus Reichel, J., ‘The Relationship Between Damages and Administrative Fines in the EU General Data Protection Regulation’, Imleabhar.89, Uimh. 4, Mississippi Law Journal, 2020, lgh. 677 go 679.
(
48
)	Féach Nemitz, P., ‘Fines under the GDPR’ i Leenes, R., van Brakel, R., Gutwirth, S. agus De Hert, P., Data Protection and Privacy: The Internet of Bodies, Hart Publishing, Oxford, 2019, lch. 241.
(
49
)	Os a choinne sin, tá sainmhíniú déanta aige ar choincheap na ‘hintinne’ mar choincheap lena n-áirítear eolas agus toiliú araon i ndáil le saintréithe ciona (féach ‘Treoirlínte maidir le fíneálacha riaracháin a chur i bhfeidhm agus a shocrú chun críocha [RGCS]’ den Mheitheal um Chosaint Sonraí Airteagal 29, a glacadh an 3 Deireadh Fómhair 2017, lch. 11).
(
50
)	Ibid., lch. 12. I measc na gcúinsí eile a luaitear tá mainneachtain na mbeartas atá ann cheana a léamh agus cloí leo, seiceáil a dhéanamh ar shonraí pearsanta i bhfaisnéis a fhoilsítear, nuashonruithe teicniúla a chur i bhfeidhm go tráthúil nó beartais a ghlacadh.
(
51
)	Féach Nemitz, P., ‘Fines under the GDPR’, i Leenes, R., van Brakel, R., Gutwirth, S. agus De Hert, P., Data Protection and Privacy: The Internet of Bodies, Hart Publishing, Oxford, 2019, lch. 240.
(
52
)	Féach aithrisí 122 agus 132 RGCS.
(
53
)	Féach, go háirithe, aithris 1 RGCS, lena meabhraítear, ag tagairt d’Airteagal 8(1) den Chairt agus d’Airteagal 16(1) CFAE, gur ceart bunúsach é sonraí pearsanta a chosaint. Féach, freisin, aithrisí 10, 11 agus 13 RGCS, agus breithiúnas an 24 Meán Fómhair 2019, Google (Territorial scope of de-referencing) (C-507/17, EU:C:2019:772, mír 54).
(
54
)	Féach aithris 148 RGCS.
(
55
)	Féach Chamberlain, J. agus Reichel, J., ‘The Relationship Between Damages and Administrative Fines in the EU General Data Protection Regulation’, Imleabhar 89, Uimh. 4, Mississippi Law Journal, 2020, lch. 685.
(
56
)	Rialachán ón gComhairle an 16 Nollaig 2002 maidir le cur chun feidhme na rialacha iomaíochta a leagtar síos in Airteagail [101 agus 102] CFAE (IO 2003 L 1, lch. 1).
(
57
)	Féach breithiúnas an 8 Nollaig 2011, Chalkor v an Coimisiún (C-386/10 P, EU:C:2011:815, míreanna 56 agus 57 agus an cásdlí a luadh). Maidir leis sin, tugaim faoi deara cé go gcaithfear rún nó faillí a bhunú sula ngearrfar fíneáil as sárú ar rialacha dhlí na hiomaíochta, go bhfuil an ceanglas sin an-íseal i gcleachtas freisin. Go deimhin, chinn an Chúirt go bhfuil an coinníoll sin comhlíonta i gcás nach féidir leis an ngnóthas lena mbaineann a bheith ar an eolas faoi chineál frithiomaíoch a iompair, cibé acu atá nó nach bhfuil sé ar an eolas go bhfuil rialacha an chomórtais á sárú aige (féach breithiúnas an 10 Iúil 2014, Telefónica agus Telefónicade España v an Coimisiún (C-295/12 P, EU:C:2014:2062, mír 156 agus an cásdlí a luadh).
(
58
)	Féach, mar shampla, aithris 9 RGCS, a léiríonn go bhfuil difríochtaí sa leibhéal cosanta do chearta agus saoirsí daoine nádúrtha idir na Ballstáit ‘saorshreabhadh sonraí pearsanta a chosc’ agus ‘ina mbac ar shaothrú gníomhaíochtaí eacnamaíocha ar leibhéal an Aontais”.
(
59
)	Féach aithris 129 (‘níor cheart go gcuirfeadh sé sin bac ar cheanglais bhreise de bhun dhlí nós imeachta an Bhallstáit’ (mo bhéim)), agus aithris 150 RGCS. Féach freisin, maidir leis sin, ‘Treoirlínte maidir le fíneálacha riaracháin a chur i bhfeidhm agus a shocrú chun críocha [RGCS]’ d’Airteagal 29 den Mheitheal um Chosaint Sonraí, a glacadh an 3 Deireadh Fómhair 2017, lch. 6.
(
60
)	Maidir leis sin, tugaim faoi deara go luaitear in aithris 10 RGCS ‘an leibhéal cosanta [...] coibhéiseach sna Ballstáit uile’, agus iarrtar le haithrisí 11, 13 agus 129 den Rialachán sin cumhachtaí coibhéiseacha chun faireachán a dhéanamh ar chomhlíonadh agus smachtbhannaí coibhéiseacha i leith sáruithe sna Ballstáit a áirithiú. Tugtar le fios in aithris 152 den Rialachán sin, dá chuid féin, nach bhfuil ann ach a mhéid nach ndéanann an ionstraim sin pionóis riaracháin a chomhchuibhiú (nó i gcás inar gá thairis sin) gur cheart do na Ballstáit córas a chur chun feidhme lena bhforáiltear do phionóis den sórt sin (féach, freisin, aithris 150 RGCS).
(
61
)	Féach, maidir leis sin, Voss, W.G. agus Bouthinon-Dumas, H., ‘EU General Data Protection Regulation Sanctions in Theory and in Practice’, Imleabhar 37, Santa Clara High Tech, 2020, lch. 44.
(
62
)	Mo bhéim.
(
63
)	De bhun Airteagal 29 RGCS, ‘an próiseálaí ná aon duine atá ag gníomhú faoi údarás an rialaitheora nó an phróiseálaí, agus a bhfuil rochtain aige nó aici ar shonraí pearsanta, ní dhéanfaidh sé nó sí na sonraí sin a phróiseáil ach amháin ar threoracha a fháil chuige sin ón rialaitheoir, mura rud é go n-éilítear sin le dlí an Aontais nó le dlí Ballstáit.’
(
64
)	De bhun Airteagal 28(10) RGCS, measfar gur rialaitheoir é an próiseálaí maidir le próiseáil sonraí den sórt sin. Féach, ina leith sin, Rücker, D. agus Kugler, T., New European General Data Protection Regulation: A Practitioner’s Guide, C.H. Beck, Hart agus Nomos, Oxford, 2018, lch. 30.