REGOLAMENT TA’ IMPLIMENTAZZJONI TAL-KUMMISSJONI (UE) 2021/1772

tat-28 ta’ Ġunju 2021

skont ir-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill dwar il-protezzjoni adegwata ta’ data personali mir-Renju Unit

(notifikata bid-dokument C(2021)4800)

(Test b’rilevanza għaż-ŻEE)

IL-KUMMISSJONI EWROPEA,

Wara li kkunsidrat it-Trattat dwar il-Funzjonament tal-Unjoni Ewropea,

Wara li kkunsidrat ir-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas-27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (1), u b’mod partikolari l-Artikolu 45(3) tiegħu,

Billi:

1. INTRODUZZJONI

(1) Ir-Regolament (UE) 2016/679 jistabbilixxi r-regoli għat-trasferiment ta’ data personali minn kontrolluri jew minn proċessuri fl-Unjoni Ewropea għal pajjiżi terzi u għal organizzazzjonijiet internazzjonali sa fejn it-tali trasferimenti jaqgħu fil-kamp ta’ applikazzjoni tiegħu. Ir-regoli dwar it-trasferimenti internazzjonali tad-data huma stabbiliti fil-Kapitolu V ta’ dak ir-Regolament, jiġifieri fl-Artikoli 44 sa 50. Filwaqt li l-fluss ta’ data personali lejn u minn pajjiżi barra l-Unjoni Ewropea huwa essenzjali għall-espansjoni tal-kooperazzjoni internazzjonali u tal-kummerċ transfruntier, il-livell ta’ protezzjoni mogħti lid-data personali fl-Unjoni Ewropea ma jistax jiġi mminat minn trasferimenti lejn pajjiżi terzi (2).

(2) Skont l-Artikolu 45(3) tar-Regolament (UE) 2016/679, il-Kummissjoni tista’ tiddeċiedi, permezz ta’ att ta’ implimentazzjoni, li pajjiż terz, territorju jew settur speċifikat wieħed jew aktar f’pajjiż terz jew f’organizzazzjoni internazzjonali jiżgura livell adegwat ta’ protezzjoni. Skont din il-kundizzjoni, it-trasferimenti ta’ data personali lejn pajjiż terz jistgħu jsiru mingħajr il-ħtieġa li tinkiseb xi awtorizzazzjoni ulterjuri, kif previst fl-Artikolu 45(1) u fil-premessa 103 ta’ dak ir-Regolament.

(3) Kif speċifikat fl-Artikolu 45(2) tar-Regolament (UE) 2016/679, l-adozzjoni ta’ deċiżjoni ta’ adegwatezza trid tkun ibbażata fuq analiżi komprensiva tal-ordinament ġuridiku tal-pajjiż terz, li tkopri kemm ir-regoli applikabbli għall-importaturi tad-data kif ukoll il-limitazzjonijiet u s-salvagwardji fir-rigward tal-aċċess għal data personali mill-awtoritajiet pubbliċi. Fil-valutazzjoni tagħha, il-Kummissjoni trid tiddetermina jekk il-pajjiż terz inkwistjoni jiggarantixxix livell ta’ protezzjoni “essenzjalment ekwivalenti” għal dak żgurat fl-Unjoni Ewropea (il-premessa 104 tar-Regolament (UE) 2016/679). L-istandard li fid-dawl tiegħu tiġi vvalutata l-“ekwivalenza essenzjali” huwa dak stabbilit mil-leġiżlazzjoni tal-Unjoni Ewropea, b’mod partikolari r-Regolament (UE) 2016/679, kif ukoll mill-ġurisprudenza tal-Qorti tal-Ġustizzja tal-Unjoni Ewropea (3). Ir-referenzjali dwar l-adegwatezza tal-Bord Ewropew għall-Protezzjoni tad-Data (EDPB) huwa wkoll ta’ sinifikat f’dan ir-rigward (4).

(4) Kif iċċarat mill-Qorti tal-Ġustizzja tal-Unjoni Ewropea, dan ma jeħtieġx li jinstab livell identiku ta’ protezzjoni (5). B’mod partikolari, il-mezzi li għalihom il-pajjiż terz inkwistjoni jkollu rikors għall-protezzjoni ta’ data personali jistgħu jvarjaw minn dawk imħaddma fl-Unjoni Ewropea, dment li juru bil-provi, fil-prattika, li jkunu effettivi fl-iżgurar ta’ livell adegwat ta’ protezzjoni (6). Għalhekk, l-istandard tal-adegwatezza ma jeħtieġx replikazzjoni minn punt għal punt tar-regoli tal-Unjoni. Minflok, it-test jinsab f’jekk, permezz tas-sustanza tad-drittijiet tal-protezzjoni tad-data u l-implimentazzjoni, is-superviżjoni u l-infurzar effettivi tagħhom, is-sistema barranija kollha kemm hi tipprovdix il-livell ta’ protezzjoni mitlub (7).

(5) Il-Kummissjoni analizzat bir-reqqa l-liġi u l-prattika tar-Renju Unit. Fuq il-bażi tas-sejbiet żviluppati fil-premessi (8) sa (270), il-Kummissjoni tikkonkludi li r-Renju Unit jiżgura livell adegwat ta’ protezzjoni għad-data personali ttrasferita fi ħdan il-kamp ta’ applikazzjoni tar-Regolament (UE) 2016/679 mill-Unjoni Ewropea għar-Renju Unit.

(6) Din il-konklużjoni ma tikkonċernax id-data personali trasferita għall-finijiet tal-kontroll tal-immigrazzjoni tar-Renju Unit jew li b’xi mod ieħor taqa’ fil-kamp ta’ applikazzjoni tal-eżenzjoni minn ċerti drittijiet tas-suġġetti tad-data għall-finijiet taż-żamma ta’ kontroll effettiv tal-immigrazzjoni (l-“eżenzjoni tal-immigrazzjoni”) skont il-paragrafu 4(1) tal-Iskeda 2 tal-Att tar-Renju Unit dwar il-Protezzjoni tad-Data. Il-validità u l-interpretazzjoni tal-eżenzjoni tal-immigrazzjoni skont il-liġi tar-Renju Unit mhumiex solvuti wara deċiżjoni tal-Qorti tal-Appell tal-Ingilterra u Wales tas-26 ta’ Mejju 2021. Filwaqt li tirrikonoxxi li d-drittijiet tas-suġġett tad-data jistgħu, fil-prinċipju, jiġu ristretti għal skopijiet ta’ kontroll tal-immigrazzjoni bħala “aspett importanti tal-interess pubbliku”, il-Qorti tal-Appell sabet li l-eżenzjoni tal-immigrazzjoni hija, fil-forma attwali tagħha, inkompatibbli mal-liġi tar-Renju Unit, peress li l-miżura leġiżlattiva ma għandhiex dispożizzjonijiet speċifiċi li jistabbilixxu s-salvagwardji elenkati fl-Artikolu 23(2) tar-Regolament Ġenerali tar-Renju Unit dwar il-Protezzjoni tad-Data (GDPR tar-Renju Unit ) (8). F’dawn il-kundizzjonijiet, it-trasferimenti ta’ data personali mill-Unjoni lejn ir-Renju Unit li għalihom tista’ tiġi applikata l-eżenzjoni tal-immigrazzjoni jenħtieġ li jiġu esklużi mill-kamp ta’ applikazzjoni ta’ din id-Deċiżjoni (9). Ladarba l-inkompatibbiltà mal-liġi tar-Renju Unit tiġi rimedjata, l-eżenzjoni tal-immigrazzjoni jenħtieġ li tiġi vvalutata mill-ġdid, kif ukoll il-ħtieġa li tinżamm il-limitazzjoni tal-kamp ta’ applikazzjoni ta’ din id-Deċiżjoni.

(7) Din id-Deċiżjoni jenħtieġ li ma taffettwax l-applikazzjoni diretta tar-Regolament (UE) 2016/679 għal organizzazzjonijiet stabbiliti fir-Renju Unit fejn il-kundizzjonijiet rigward il-kamp ta’ applikazzjoni territorjali ta’ dak ir-Regolament, stabbiliti fl-Artikolu 3 tiegħu, huma ssodisfati.

2. REGOLI LI JAPPLIKAW GĦALL-IPPROĊESSAR TA’ DATA PERSONALI

2.1. Il-qafas kostituzzjonali

(8) Ir-Renju Unit huwa demokrazija Parlamentari li għandha sovran kostituzzjonali bħala Kap ta’ Stat. Għandu Parlament sovran, li huwa suprem għall-istituzzjonijiet l-oħrajn kollha tal-gvern, Eżekuttiv meħud mill-Parlament u responsabbli quddiemu u ġudikatura indipendenti. L-Eżekuttiv jieħu l-awtorità tiegħu mill-kapaċità tiegħu li jikseb il-fiduċja tal-House of Commons eletta u huwa responsabbli quddiem kemm iż-żewġ Houses of Parliament li huma responsabbli għall-iskrutinju tal-Gvern u għad-dibattitu u għall-promulgazzjoni tal-liġijiet.

(9) Il-Parlament tar-Renju Unit iddevolva r-responsabbiltà lill-Parlament Skoċċiż, lill-Parlament ta’ Wales (Senedd Cymru), u lill-Assemblea tal-Irlanda ta’ Fuq biex jilleġiżlaw dwar kwistjonijiet domestiċi fl-Iskozja, Wales u l-Irlanda ta’ Fuq li l-Parlament tar-Renju Unit ma rriżervax għalih innifsu. Filwaqt li l-protezzjoni tad-data hija kwistjoni riżervata, jiġifieri tapplika l-istess leġiżlazzjoni madwar il-pajjiż kollu, oqsma oħrajn ta’ politika rilevanti għal din id-Deċiżjoni huma devoluti. Pereżempju, is-sistemi tal-ġustizzja kriminali, inklużi l-attivitajiet tal-pulizija, tal-Iskozja u tal-Irlanda ta’ Fuq huma devoluti lill-Parlament Skoċċiż u lill-Assemblea tal-Irlanda ta’ Fuq, rispettivament. Ir-Renju Unit ma għandux kostituzzjoni kkodifikata fis-sens ta’ dokument kostituttiv inkorporat. Maż-żmien tfaċċaw prinċipji kostituzzjonali, meħuda b’mod partikolari mill-ġurisprudenza u mill-konvenzjoni. Il-valur kostituzzjonali ta’ ċerti statuti, bħal Magna Carta, l-Abbozz ta’ Liġi tad-Drittijiet 1689 u l-Att dwar id-Drittijiet tal-Bniedem tal-1998 ġie rikonoxxut mill-qrati. Id-drittijiet fundamentali tal-individwi ġew żviluppati, bħala parti mill-kostituzzjoni, permezz tad-dritt komuni, permezz ta’ dawk l-istatuti, u permezz tat-trattati internazzjonali, b’mod partikolari l-Konvenzjoni Ewropea dwar id-Drittijiet tal-Bniedem li r-Renju Unit irratifika fl-1951. Fl-1987, ir-Renju Unit irratifika wkoll il-Konvenzjoni tal-Kunsill tal-Ewropa għall-Protezzjoni ta’ Individwi fir-rigward tal-Ipproċessar Awtomatiku ta’ Data Personali (Konvenzjoni 108) (10).

(10) Il-Human Rights Act 1998 jinkorpora d-drittijiet li jinsabu fil-Konvenzjoni Ewropea dwar id-Drittijiet tal-Bniedem fid-dritt tar-Renju Unit. Il-Human Rights Act jagħti lil kwalunkwe individwu d-drittijiet u l-libertajiet fundamentali previsti fl-Artikoli 2 sa 12 u 14 tal-Konvenzjoni Ewropea dwar id-Drittijiet tal-Bniedem, fl-Artikoli 1, 2 u 3 tal-Ewwel Protokoll tiegħu u fl-Artikolu 1 tat-Tlettax-il Protokoll tiegħu, kif moqri flimkien mal-Artikoli 16, 17 u 18 ta’ dik il-Konvenzjoni. Dan jinkludi d-dritt għar-rispett għall-ħajja privata u għall-ħajja tal-familja (u d-dritt għall-protezzjoni tad-data bħala parti minn dak id-dritt) u d-dritt ta’ proċess ġust (11). B’mod partikolari, skont l-Artikolu 8 ta’ dik il-Konvenzjoni, awtorità pubblika tista’ tinterferixxi biss mad-dritt għall-privatezza f’konformità mal-liġi, fejn meħtieġ f’soċjetà demokratika fl-interessi tas-sigurtà nazzjonali, tas-sikurezza pubblika jew tal-benesseri ekonomiku tal-pajjiż, għall-prevenzjoni ta’ disturb jew ta’ delitt, għall-protezzjoni tas-saħħa jew tal-morali, jew għall-protezzjoni tad-drittijiet u tal-libertajiet ta’ oħrajn.

(11) F’konformità mal-Human Rights Act tal-1998, kwalunkwe azzjoni tal-awtoritajiet pubbliċi trid tkun kompatibbli ma’ Dritt tal-Konvenzjoni (12). Barra minn hekk, il-leġiżlazzjoni primarja u subordinata trid tinqara u tingħata effett b’mod li jkun kompatibbli mad-drittijiet tal-Konvenzjoni (13).

2.2. Il-qafas tal-protezzjoni tad-data tar-Renju Unit

(12) Ir-Renju Unit ħareġ mill-Unjoni Ewropea fil-31 ta’ Jannar 2020. Fuq il-bażi tal-Ftehim dwar il-ħruġ tar-Renju Unit tal-Gran Brittanja u l-Irlanda ta’ Fuq mill-Unjoni Ewropea u mill-Komunità Ewropea tal-Enerġija Atomika (14), id-dritt tal-Unjoni kompla japplika fir-Renju Unit matul il-perjodu ta’ tranżizzjoni sal-31 ta’ Diċembru 2020. Qabel il-ħruġ u matul il-perjodu ta’ tranżizzjoni, il-qafas leġiżlattiv dwar il-protezzjoni ta’ data personali fir-Renju Unit kien jikkonsisti fil-leġiżlazzjoni rilevanti tal-UE (b’mod partikolari r-Regolament (UE) 2016/679 u d-Direttiva (UE) 2016/680 tal-Parlament Ewropew u tal-Kunsill (15)) u fil-leġiżlazzjoni nazzjonali, b’mod partikolari d-Data Protection Act 2018 (DPA 2018) (16) li pprovda regoli nazzjonali, fejn permess mir-Regolament (UE) 2016/679, li jispeċifikaw u jirrestrinġu l-applikazzjoni tar-regoli tar-Regolament (UE) 2016/679 u tad-Direttiva trasposta (UE) 2016/680.

(13) Bi tħejjija għall-ħruġ mill-Unjoni Ewropea, il-Gvern tar-Renju Unit ippromulga l-European Union (Withdrawal) Act 2018 (17), li jinkorpora l-leġiżlazzjoni tal-Unjoni applikabbli direttament fil-liġi tar-Renju Unit (18). Dan l-hekk imsejjaħ “dritt tal-UE miżmum” jinkludi r-Regolament (UE) 2016/679 fl-intier tiegħu (inklużi l-premessi tiegħu) (19). F’konformità ma’ dak l-att, id-dritt tal-UE miżmum mhux modifikat irid jiġi interpretat mill-qrati tar-Renju Unit f’konformità mal-ġurisprudenza rilevanti tal-Qorti tal-Ġustizzja tal-Unjoni Ewropea u mal-prinċipji ġenerali tad-dritt tal-Unjoni billi jkollhom effett immedjatament qabel it-tmiem tal-perjodu ta’ tranżizzjoni (imsejħa “ġurisprudenza tal-UE miżmuma” u “prinċipji ġenerali miżmuma tad-dritt tal-UE” rispettivament) (20).

(14) Skont il-European Union (Withdrawal) Act 2018, il-ministri tar-Renju Unit għandhom is-setgħa li jintroduċu leġiżlazzjoni sekondarja, permezz ta’ strumenti statutorji, sabiex jagħmlu l-modifiki meħtieġa sabiex iżommu d-dritt tal-Unjoni Ewropea b’mod konsegwenzjali għall-ħruġ tar-Renju Unit mill-Unjoni Ewropea. Huma eżerċitaw dik is-setgħa billi adottaw ir-Regolamenti tal-2019 dwar il-Protezzjoni tad-Data, il-Privatezza u l-Komunikazzjonijiet Elettroniċi (Emendi eċċ.) (ir-Regolamenti DPPEC) (21). Ir-Regolamenti DPPEC jemendaw ir-Regolament (UE) 2016/679 kif introdott fil-liġi tar-Renju Unit permezz tal-European Union (Withdrawal) Act 2018, id-DPA tal-2018, u leġiżlazzjoni oħra dwar il-protezzjoni tad-data biex tkun adattata għall-kuntest domestiku (22).

(15) Konsegwentement, il-qafas legali dwar il-protezzjoni ta’ data personali fir-Renju Unit wara t-tmiem tal-perjodu ta’ tranżizzjoni jikkonsisti f’dawn li ġejjin: — Il-GDPR tar-Renju Unit, kif inkorporat fil-liġi tar-Renju Unit skont il-European Union (Withdrawal) Act 2018 u emendat bir-Regolamenti DPPEC (23), u — id-DPA 2018 (24), kif emendat bir-Regolamenti dwar id-DPPEC.

(16) Peress li l-GDPR tar-Renju Unit huwa bbażat fuq leġiżlazzjoni tal-UE, ir-regoli dwar il-protezzjoni tad-data fir-Renju Unit f’ħafna aspetti jirriflettu mill-qrib ir-regoli korrispondenti applikabbli fl-Unjoni Ewropea.

(17) Minbarra s-setgħat mogħtija lis-Segretarju tal-Istat mill-European Union (Withdrawal) Act 2018, diversi dispożizzjonijiet tad-DPA 2018 jagħtu setgħat lis-Segretarju tal-Istat sabiex jadotta leġiżlazzjoni sekondarja bl-għan li jemenda ċerti dispożizzjonijiet tal-Att jew jipprovdi regoli supplimentari u addizzjonali (25). S’issa, is-Segretarju tal-Istat eżerċita biss is-setgħa skont it-Taqsima 137 tad-DPA 2018 sabiex jadotta d-Data Protection (Charges and Information) (Amendment) Regulations 2019, li jistabbilixxu ċ-ċirkustanzi li fihom il-kontrolluri tad-data jkunu meħtieġa jħallsu tariffa annwali lill-awtorità indipendenti tar-Renju Unit tal-protezzjoni tad-data, il-Kummissarju tal-Informazzjoni.

(18) Fl-aħħar nett, gwida ulterjuri fuq il-leġiżlazzjoni dwar il-protezzjoni tad-data tar-Renju Unit hija pprovduta fil-kodiċijiet ta’ prattika u fi gwida oħra adottati mill-Kummissarju tal-Informazzjoni. Għalkemm ma hijiex legalment vinkolanti, din il-gwida ġġorr piż interpretattiv u turi kif tapplika l-leġiżlazzjoni dwar il-protezzjoni tad-data u kif tiġi infurzata mill-Kummissarju fil-prattika. B’mod partikolari, it-Taqsimiet 121 sa 125 tad-DPA 2018 jirrikjedu li l-Kummissarju jħejji kodiċijiet ta’ prattika dwar il-kondiviżjoni tad-data, il-kummerċjalizzazzjoni diretta, id-disinn xieraq skont l-età u l-protezzjoni tad-data u l-ġurnaliżmu.

(19) Fl-istruttura u fil-komponenti ewlenin tiegħu, il-qafas legali tar-Renju Unit li japplika għad-data ttrasferita skont din id-Deċiżjoni huwa għalhekk simili ħafna għal dak li japplika fl-Unjoni Ewropea. Dan jinkludi l-fatt li tali qafas ma jiddependix biss fuq l-obbligi stabbiliti fid-dritt domestiku, li ssawwar mid-dritt tal-UE, iżda wkoll fuq l-obbligi stabbiliti fid-dritt internazzjonali, b’mod partikolari permezz tal-aderenza mir-Renju Unit mal-KEDB u mal-Konvenzjoni 108, kif ukoll permezz tas-sottomissjoni tiegħu għall-ġurisdizzjoni tal-Qorti Ewropea tad-Drittijiet tal-Bniedem. Dawn l-obbligi li jirriżultaw minn strumenti internazzjonali legalment vinkolanti, b’mod partikolari fir-rigward tal-protezzjoni ta’ data personali, huma għalhekk element importanti partikolari tal-qafas legali vvalutat f’din id-Deċiżjoni.

2.3. Kamp ta’ applikazzjoni materjali u territorjali

(20) B’mod simili għar-Regolament (UE) 2016/679, il-GDPR tar-Renju Unit japplika għall-ipproċessar ta’ data personali kompletament jew parzjalment b’mezzi awtomatizzati, jew għal ipproċessar ieħor, jekk id-data personali tifforma parti minn sistema ta’ arkivjar (26). Id-definizzjonijiet ta’ “data personali”, ta’ “suġġett tad-data” u ta’ “pproċessar” tal-GDPR tar-Renju Unit huma identiċi għal dawk tar-Regolament (UE) 2016/679 (27). Barra minn hekk, il-GDPR tar-Renju Unit japplika għall-ipproċessar ta’ data personali manwali mhux strutturata (28) miżmuma minn ċerti awtoritajiet pubbliċi tar-Renju Unit (29), għalkemm il-prinċipji u d-drittijiet tal-GDPR tar-Renju Unit li ma humiex rilevanti għal tali data personali huma diżapplikati mit-Taqsimiet 24 u 25 tad-DPA 2018. B’mod simili għal dak li huwa pprovdut skont ir-Regolament (UE) 2016/679, il-GDPR tar-Renju Unit ma japplikax għall-ipproċessar ta’ data personali minn individwu matul attività purament personali jew domestika (30).

(21) Il-GDPR tar-Renju Unit jestendi l-kamp ta’ applikazzjoni tiegħu wkoll għall-ipproċessar matul attività li, immedjatament qabel ma jintemm il-perjodu ta’ tranżizzjoni, kien jaqa’ barra mill-kamp ta’ applikazzjoni tad-dritt tal-Unjoni Ewropea (eż. sigurtà nazzjonali) (31), jew kien fi ħdan il-kamp ta’ applikazzjoni tal-Kapitolu 2 tat-Titolu 5 tat-Trattat dwar l-Unjoni Ewropea (attivitajiet tal-Politika Estera u ta’ Sigurtà Komuni) (32). Bħal fis-sistema tal-Unjoni Ewropea, il-GDPR tar-Renju Unit ma japplikax għall-ipproċessar ta’ data personali minn awtorità kompetenti għall-finijiet tal-prevenzjoni, tal-investigazzjoni, tas-sejbien jew tal-prosekuzzjoni ta’ reati kriminali jew tal-eżekuzzjoni ta’ pieni kriminali, inklużi s-salvagwardja kontra theddidiet għas-sigurtà pubblika u l-prevenzjoni tagħhom (l-hekk imsejħa “finijiet ta’ infurzar tal-liġi”) – minflok, tali pproċessar huwa rregolat bil-Parti 3 tad-DPA 2018, kif inhu l-każ għad-Direttiva (UE) 2016/680 skont id-dritt tal-Unjoni Ewropea – jew l-ipproċessar ta’ data personali mis-servizzi tal-intelligence (is-Security Service, is-Secret Intelligence Service u l-Government Communications Headquarters) li huwa kopert bil-Parti 4 tad-DPA 2018 (33).

(22) Il-kamp ta’ applikazzjoni territorjali tal-GDPR tar-Renju Unit huwa deskritt fl-Artikolu 3 tal-GDPR tar-Renju Unit (34) jinkludi l-ipproċessar ta’ data personali (irrispettivament minn fejn isseħħ) fil-kuntest tal-attivitajiet ta’ stabbiliment ta’ kontrollur jew ta’ proċessur fir-Renju Unit kif ukoll għall-ipproċessar ta’ data personali ta’ suġġetti tad-data li jinsabu fir-Renju Unit, fejn l-attivitajiet ta’ pproċessar ikunu relatati mal-offerta ta’ oġġetti jew ta’ servizzi lil tali suġġetti tad-data jew mal-monitoraġġ tal-imġiba tagħhom (35). Dan jirrifletti l-approċċ meħud fl-Artikolu 3 tar-Regolament (UE) 2016/679.

2.4. Definizzjonijiet ta’ data personali u ta’ kunċetti ta’ kontrollur u ta’ proċessur

(23) Id-definizzjonijiet ta’ data personali, ta’ pproċessar, ta’ kontrollur, ta’ proċessur, kif ukoll id-definizzjoni ta’ psewdonimizzazzjoni, stabbiliti fir-Regolament (UE) 2016/679, inżammu mingħajr modifika materjali fil-GDPR tar-Renju Unit (36). Barra minn hekk, kategoriji speċjali ta’ data huma ddefiniti fl-Artikolu 9(1) tal-GDPR tar-Renju Unit bl-istess mod bħal dak bħal fir-Regolament (UE) 2016/679 (“li [jiżvelaw] oriġini razzjali jew etnika, opinjonijiet politiċi, twemmin reliġjuż jew filosofiku, jew sħubija fi trade union, u l-ipproċessar ta’ data ġenetika, data bijometrika sabiex tidentifika b’mod uniku persuna fiżika, data dwar is-saħħa jew data dwar il-ħajja sesswali u l-orjentazzjoni sesswali ta’ persuna fiżika”). It-Taqsima 205 tad-DPA 2018 tipprovdi d-definizzjoni ta’ “data bijometrika” (37), ta’ “data li tikkonċerna s-saħħa” (38) u ta’ “data ġenetika” (39).

2.5. Salvagwardji, drittijiet u obbligi

2.5.1. Legalità u ġustizzja tal-ipproċessar

(24) Jenħtieġ li d-data personali tiġi pproċessata b’mod legali u ġust.

(25) Il-prinċipji tal-legalità, tal-ġustizzja u tat-trasparenza u r-raġunijiet għall-ipproċessar legali huma ggarantiti fid-dritt tar-Renju Unit permezz tal-Artikoli 5(1)(a) u 6(1) tal-GDPR tar-Renju Unit, li huma identiċi għad-dispożizzjonijiet rispettivi fir-Regolament (UE) 2016/679 (40). It-Taqsima 8 tad-DPA 2018 tikkomplementa l-Artikolu 6(1)(e) billi tipprovdi li l-ipproċessar ta’ data personali skont l-Artikolu 6(1)(e) tal-GDPR tar-Renju Unit (meħtieġ għall-eżekuzzjoni ta’ kompitu mwettaq fl-interess pubbliku, jew fl-eżerċizzju tal-awtorità uffiċjali tal-kontrollur), tinkludi l-ipproċessar ta’ data personali li jkun meħtieġ għall-amministrazzjoni tal-ġustizzja, l-eżerċizzju ta’ funzjoni ta’ kwalunkwe Kamra tal-Parlament, l-eżerċizzju ta’ funzjoni mogħtija lil persuna permezz ta’ promulgazzjoni jew stat tad-dritt, l-eżerċizzju ta’ funzjoni tal-Kuruna, ta’ Ministru tal-Kuruna jew ta’ dipartiment tal-gvern, jew attività li tappoġġa jew tippromwovi l-involviment demokratiku.

(26) Fir-rigward tal-kunsens (waħda mir-raġunijiet għall-ipproċessar legali), il-GDPR tar-Renju Unit iżomm ukoll il-kundizzjonijiet previsti fl-Artikolu 7 tar-Regolament (UE) 2016/679 mhux modifikati, jiġifieri l-kontrollur jeħtieġlu jkun jista’ juri li s-suġġett tad-data jkun ta l-kunsens tiegħu, trid tiġi ppreżentata talba bil-miktub għal kunsens bl-użu ta’ lingwaġġ ċar u sempliċi, is-suġġett tad-data jeħtieġlu jkollu d-dritt li jirtira l-kunsens fi kwalunkwe ħin, u meta jiġi vvalutat jekk il-kunsens ingħatax b’mod liberu, jenħtieġ li jitqies jekk l-eżekuzzjoni ta’ kuntratt tkunx kundizzjonali fuq il-kunsens għall-ipproċessar ta’ data personali li ma jkunx meħtieġ għall-eżekuzzjoni ta’ dak il-kuntratt. Barra minn hekk, skont l-Artikolu 8 tal-GDPR tar-Renju Unit, fil-kuntest tal-provvista ta’ servizzi tas-soċjetà tal-informazzjoni, il-kunsens tal-minorenni jkun legali biss meta l-minorenni jkollu tal-anqas 13-il sena. Dan jaqa’ fil-grupp ta’ età stabbilit fl-Artikolu 8 tar-Regolament (UE) 2016/679.

2.5.2. Ipproċessar ta’ kategoriji speċjali ta’ data personali

(27) Jenħtieġ li jkunu jeżistu salvagwardji speċifiċi fejn ikunu qed jiġu pproċessati “kategoriji speċjali” ta’ data.

(28) Il-GDPR tar-Renju Unit u d-DPA 2018 fihom regoli speċifiċi fir-rigward tal-ipproċessar ta’ kategoriji speċjali ta’ data personali, li huma ddefiniti fl-Artikolu 9(1) tal-GDPR tar-Renju Unit bl-istess mod bħal fir-Regolament (UE) 2016/679 (ara l-premessa (23) above). Skont l-Artikolu 9 tal-GDPR tar-Renju Unit, l-ipproċessar ta’ kategoriji speċjali ta’ data huwa fil-prinċipju pprojbit, sakemm ma tkunx tapplika eċċezzjoni speċifika.

(29) Dawn l-eċċezzjonijiet (elenkati fl-Artikolu 9(2) u (3) tal-GDPR tar-Renju Unit) ma jagħmlu l-ebda tibdil fis-sustanza għal dawk fl-Artikolu 9(2) u (3) tar-Regolament (UE) 2016/679. Sakemm is-suġġett tad-data ma jkunx ta l-kunsens espliċitu tiegħu għall-ipproċessar ta’ dik id-data personali, l-ipproċessar ta’ kategoriji speċjali ta’ data personali huwa permess biss f’ċirkustanzi speċifiċi u limitati. Fil-biċċa l-kbira tal-każijiet, l-ipproċessar ta’ data sensittiva jrid ikun meħtieġ għal skop speċifiku ddefinit fid-dispożizzjoni rilevanti (ara l-Artikolu 9(2)(b), (c), (f), (g), (h), (i) u (j)).

(30) Barra minn hekk, fejn eċċezzjoni skont l-Artikolu 9(2) tal-GDPR tar-Renju Unit tkun teħtieġ awtorizzazzjoni bil-liġi jew tirreferi għall-interess pubbliku, it-Taqsima 10 tad-DPA 2018 flimkien mal-Iskeda 1 tad-DPA 2018 jispeċifikaw aktar il-kundizzjonijiet li jridu jiġu ssodisfati sabiex jitħaddmu l-eċċezzjonijiet. Pereżempju, fil-każ tal-ipproċessar ta’ data sensittiva għall-protezzjoni tas-“saħħa pubblika” (l-Artikolu 9(2)(i) tal-GDPR tar-Renju Unit), il-paragrafu 3(b) tal-Parti 1 tal-Iskeda 1 jirrikjedi li, minbarra t-test tan-neċessità, tali pproċessar jitwettaq “minn jew taħt ir-responsabbiltà ta’ professjonist tas-saħħa” jew “minn persuna oħra li tkun marbuta b’obbligu ta’ kunfidenzjalità taħt promulgazzjoni jew stat tad-dritt”, inkluż taħt id-dmir stabbilit sew ta’ kunfidenzjalità tad-dritt komuni.

(31) Meta data sensittiva tiġi pproċessata għal raġunijiet ta’ interess pubbliku sostanzjali (l-Artikolu 9(2)(g) tal-GDPR tar-Renju Unit), il-Parti 2 tal-Iskeda 1 tad-DPA 2018 tipprovdi lista eżawrjenti ta’ finijiet li jistgħu jitqiesu bħala ta’ interess pubbliku sostanzjali, u, għal kull wieħed minn dawn l-għanijiet, tistabbilixxi kundizzjonijiet addizzjonali speċifiċi. Pereżempju, il-promozzjoni tad-diversità razzjali u etnika fil-livelli superjuri tal-organizzazzjonijiet hija rikonoxxuta bħala interess pubbliku sostanzjali. L-ipproċessar ta’ data sensittiva għal dan il-fini speċifiku huwa soġġett għal rekwiżiti dettaljati, inkluż li l-ipproċessar jitwettaq bħala parti minn proċess ta’ identifikazzjoni ta’ individwi xierqa sabiex iżommu karigi superjuri, ikun meħtieġ sabiex tiġi promossa d-diversità razzjali u etnika u ma jkollux probabbiltà li jikkawża dannu sostanzjali jew tbatija sostanzjali lis-suġġett tad-data.

(32) It-Taqsima 11(1) tad-DPA 2018 tistabbilixxi l-kundizzjonijiet sabiex id-data personali tiġi pproċessata fiċ-ċirkustanzi deskritti fl-Artikolu 9(3) tal-GDPR tar-Renju Unit relatati mal-obbligu ta’ segretezza. Dan jinkludi ċirkustanzi li fihom jitwettaq minn jew taħt ir-responsabbiltà ta’ professjonist tas-saħħa jew ta’ professjonist ta’ ħidma soċjali, jew minn persuna oħra li fiċ-ċirkustanzi jkollha obbligu ta’ kunfidenzjalità skont promulgazzjoni jew stat tad-dritt.

(33) Barra minn hekk, ħafna mill-eċċezzjonijiet elenkati fl-Artikolu 9(2) tal-GDPR tar-Renju Unit jeħtieġu salvagwardji xierqa u speċifiċi sabiex jintużaw. Skont in-natura tal-ipproċessar u l-livell ta’ riskju għad-drittijiet u għal-libertajiet tas-suġġetti tad-data, il-kundizzjonijiet għall-ipproċessar previsti fl-Iskeda 1 tad-DPA 2018 jistabbilixxu salvagwardji differenti. Min-naħa tagħha, l-Iskeda 1 tistabbilixxi l-kundizzjonijiet għal kull sitwazzjoni ta’ pproċessar.

(34) F’xi każijiet, id-DPA 2018 jirregola u jillimita t-tip ta’ data sensittiva li tista’ tiġi pproċessata għal bażi ġuridika partikolari li għandha tiġi rrispettata. Pereżempju, il-paragrafu 8 tal-Iskeda 1 jawtorizza l-ipproċessar ta’ data sensittiva għall-fini tal-promozzjoni tal-ugwaljanza tal-opportunità jew tat-trattament. Din il-kundizzjoni ta’ pproċessar tista’ tintuża biss jekk id-data tiżvela oriġini razzjali jew etnika, twemmin reliġjuż jew filosofiku, orjentazzjoni sesswali, jew jekk tkun data dwar is-saħħa.

(35) F’xi każijiet, id-DPA 2018 jillimita t-tip ta’ kontrollur li jista’ juża l-kundizzjoni tal-ipproċessar. Pereżempju, il-paragrafu 23 tal-Iskeda 1 jipprovdi għall-ipproċessar ta’ data sensittiva fir-rigward tat-tweġibiet tar-rappreżentanti eletti għall-pubbliku. Din il-kundizzjoni ta’ pproċessar tista’ tintuża biss jekk il-kontrollur ikun ir-rappreżentant elett jew ikun qed jaġixxi taħt l-awtorità tiegħu.

(36) F’xi każijiet oħrajn, id-DPA 2018 jistabbilixxi limiti fuq il-kategoriji tas-suġġett tad-data sabiex tintuża l-kundizzjoni ta’ pproċessar. Pereżempju, il-paragrafu 21 tal-Iskeda 1 jirregola l-ipproċessar ta’ data sensittiva għal skemi ta’ pensjoni okkupazzjonali. Din il-kundizzjoni tista’ tintuża biss jekk is-suġġett tad-data inkwistjoni jkun wieħed mill-aħwa, ġenitur, nannu/nanna, jew bużnannu/bużnanna tal-membru tal-iskema.

(37) Barra minn hekk, meta jibbaża fuq l-eċċezzjonijiet fl-Artikolu 9(2) tal-GDPR tar-Renju Unit li huma speċifikati ulterjorment fit-Taqsima 10 tad-DPA 2018 flimkien mal-Iskeda 1 tad-DPA 2018, il-kontrollur fil-biċċa l-kbira tal-każijiet huwa meħtieġ jabbozza “Dokument ta’ Politika Xieraq”. Jeħtieġlu jiddeskrivi l-proċeduri tal-kontrollur sabiex jiżgura konformità mal-prinċipji fl-Artikolu 5 tal-GDPR tar-Renju Unit. Irid jistabbilixxi wkoll politiki għaż-żamma u għat-tħassir, b’indikazzjoni tal-perjodu ta’ ħżin probabbli. Il-kontrolluri jeħtiġilhom jirrieżaminaw u jaġġornaw dan id-dokument kif xieraq. Il-kontrollur jeħtieġlu jżomm id-dokument ta’ politika għal sitt xhur wara li jintemm l-ipproċessar u jeħtieġlu jagħmlu disponibbli għall-Kummissarju tal-Informazzjoni fuq talba (41).

(38) Skont il-paragrafu 41 tal-Iskeda 1 tad-DPA 2018, id-Dokument ta’ Politika dejjem irid ikun akkumpanjat minn rekord miżjud tal-ipproċessar. Dan ir-rekord irid isegwi l-impenji inklużi fid-Dokument ta’ Politika, jiġifieri jekk id-data tkunx qed titħassar jew tkunx miżmuma f’konformità mal-politiki. Jekk il-politiki ma jkunux ġew segwiti, il-log irid iżomm rekord tar-raġunijiet. Ir-rekord irid jiddeskrivi wkoll kif l-ipproċessar jissodisfa l-Artikolu 6 tal-GDPR tar-Renju Unit (legalità tal-ipproċessar) u l-kundizzjoni speċifika fl-Iskeda 1 tad-DPA 2018 li tħaddmet.

(39) Fl-aħħar nett, bħar-Regolament (UE) 2016/679, il-GDPR tar-Renju Unit jipprovdi wkoll salvagwardji ġenerali għal ċerti operazzjonijiet ta’ pproċessar ta’ kategoriji speċjali ta’ data. L-Artikolu 35 tal-GDPR tar-Renju Unit jirrikjedi valutazzjoni tal-impatt fuq il-protezzjoni tad-data jekk kategoriji speċjali ta’ data jiġu pproċessati fuq skala kbira. Skont l-Artikolu 37 tal-GDPR tar-Renju Unit, kontrollur jew proċessur jeħtieġlu jaħtar uffiċjal tal-protezzjoni tad-data fejn l-attivitajiet ewlenin tiegħu jikkonsistu fl-ipproċessar ta’ kategoriji speċjali ta’ data fuq skala kbira.

(40) Fir-rigward tad-data personali relatata ma’ kundanni u ma’ reati kriminali, l-Artikolu 10 tal-GDPR tar-Renju Unit huwa identiku għall-Artikolu 10 tar-Regolament (UE) 2016/679. Dan jippermetti l-ipproċessar ta’ data personali relatata ma’ kundanni u ma’ reati kriminali biss taħt il-kontroll tal-awtorità uffiċjali jew meta l-ipproċessar ikun awtorizzat bid-dritt domestiku li jipprovdi għal salvagwardji xierqa għad-drittijiet u għal-libertajiet tas-suġġetti tad-data.

(41) Meta l-ipproċessar ta’ data relatata ma’ kundanni u ma’ reati kriminali ma jitwettaqx taħt il-kontroll tal-awtorità uffiċjali, it-Taqsima 10(5) tad-DPA 2018 tipprovdi li tali pproċessar jista’ jsir biss għall-finijiet speċifiċi/ fis-sitwazzjonijiet speċifiċi stabbiliti fil-Partijiet 1, 2 u 3 tal-Iskeda 1 tad-DPA 2018 u huwa soġġett għar-rekwiżiti speċifiċi li huma stabbiliti għal kull wieħed minn dawn il-finijiet/is-sitwazzjonijiet. Pereżempju, id-data dwar kundanni kriminali tista’ tiġi pproċessata minn korpi mingħajr skop ta’ qligħ jekk l-ipproċessar jitwettaq (a) matul l-attivitajiet leġittimi tiegħu b’salvagwardji xierqa minn fondazzjoni, minn assoċjazzjoni jew minn korp ieħor mingħajr skop ta’ qligħ b’għan politiku, filosofiku, reliġjuż jew tat-trade union, u (b) bil-kundizzjoni li (i) l-ipproċessar ikun relatat biss mal-membri jew mal-eks membri tal-korp jew ma’ persuni li għandhom kuntatt regolari miegħu b’rabta mal-finijiet tiegħu, u (ii) id-data personali ma tiġix żvelata barra minn dak il-korp mingħajr il-kunsens tas-suġġetti tad-data.

(42) Barra minn hekk, il-Parti 3 tal-Iskeda 1 tad-DPA 2018 tistabbilixxi ċirkustanzi oħrajn li fihom tista’ tintuża data dwar kundanni kriminali li jikkorrispondu għar-raġunijiet legali għall-ipproċessar ta’ data sensittiva fl-Artikolu 9(2) tar-Regolament (UE) 2016/679 u fil-GDPR tar-Renju Unit (eż. il-kunsens tas-suġġett tad-data, interessi vitali ta’ individwu jekk is-suġġett tad-data ma jkunx jista’ jagħti kunsens legalment jew fiżikament, jekk id-data tkun diġà saret pubblika b’mod ċar mis-suġġett tad-data, jekk l-ipproċessar ikun meħtieġ għall-istabbiliment, għall-eżerċizzju jew għad-difiża ta’ talba legali eċċ.).

2.5.3 Limitazzjoni tal-iskop, preċiżjoni, minimizzazzjoni tad-data, limitazzjoni tal-ħżin u sigurtà tad-data

(43) Jenħtieġ li d-data personali tiġi pproċessata għal fini speċifiku u sussegwentement tintuża biss dment li l-użu ma jkunx inkompatibbli mal-fini tal-ipproċessar.

(44) Dan il-prinċipju huwa previst fl-Artikolu 5(1)(b) tar-Regolament (UE) 2016/679 u nżamm mingħajr tibdiliet fl-Artikolu 5(1)(b) tal-GDPR tar-Renju Unit. Il-kundizzjonijiet dwar l-ipproċessar kompatibbli ulterjuri skont l-Artikolu 6(4) tar-Regolament (UE) 2016/679 inżammu wkoll mingħajr ebda modifika materjali fl-Artikolu 6(4)(a) - (e) tal-GDPR tar-Renju Unit.

(45) Barra minn hekk, jenħtieġ li d-data tkun preċiża u, fejn meħtieġ, tinżamm aġġornata. Jenħtieġ li tkun ukoll adegwata, rilevanti u mhux eċċessiva fir-rigward tal-finijiet li għalihom tiġi pproċessata, u fil-prinċipju tinżamm għal mhux aktar milli jkun meħtieġ għall-finijiet li għalihom tiġi pproċessata d-data personali.

(46) Dawn il-prinċipji tal-minimizzazzjoni, tal-preċiżjoni u tal-limitazzjoni tal-ħżin tad-data huma stabbiliti fl-Artikolu 5(1)(c) sa (e) tar-Regolament (UE) 2016/679 u huma miżmuma mingħajr modifika fl-Artikolu 5(1)(c) sa (e) fil-GDPR tar-Renju Unit.

(47) Jenħtieġ li d-data personali tiġi pproċessata b’mod li jiżgura s-sigurtà tagħha, inkluża l-protezzjoni kontra pproċessar mhux awtorizzat jew illegali u kontra telf aċċidentali, qerda jew ħsara. Għal dak l-għan, jenħtieġ li l-operaturi tan-negozji jieħdu miżuri tekniċi jew organizzazzjonali xierqa sabiex jipproteġu d-data personali minn theddidiet possibbli. Jenħtieġ li dawn il-miżuri jiġu vvalutati billi jitqiesu l-ogħla livell ta’ żvilupp tekniku u l-kostijiet relatati.

(48) Is-sigurtà tad-data hija mnaqqxa fid-dritt tar-Renju Unit permezz tal-prinċipju tal-integrità u tal-kunfidenzjalità fl-Artikolu 5(1)(f) tal-GDPR tar-Renju Unit u fl-Artikolu 32 tal-GDPR tar-Renju Unit dwar is-sigurtà tal-ipproċessar. Dawk id-dispożizzjonijiet huma identiċi għad-dispożizzjonijiet rispettivi tar-Regolament (UE) 2016/679. Barra minn hekk, taħt l-istess kundizzjonijiet bħal dawk stabbiliti fl-Artikoli 33 u 34 tar-Regolament (UE) 2016/679, il-GDPR tar-Renju Unit jeħtieġ in-notifika ta’ ksur ta’ data personali lill-awtorità superviżorja (Artikolu 33 tal-GDPR tar-Renju Unit) u l-komunikazzjoni ta’ ksur ta’ data personali lis-suġġett tad-data (Artikolu 34 tal-GDPR tar-Renju Unit).

2.5.4 Trasparenza

(49) Jenħtieġ li s-suġġetti tad-data jiġu informati dwar il-karatteristiċi ewlenin tal-ipproċessar ta’ data personali tagħhom.

(50) Dan huwa żgurat bl-Artikoli 13 u 14 tal-GDPR tar-Renju Unit, li, flimkien ma’ prinċipju ġenerali tat-trasparenza, jipprovdu regoli dwar l-informazzjoni li għandha tiġi pprovduta lis-suġġett tad-data (42). Il-GDPR tar-Renju Unit ma jintroduċi l-ebda modifika materjali għal dawn ir-regoli meta mqabbel mal-Artikoli korrispondenti tar-Regolament (UE) 2016/679. Madankollu, bħal fir-Regolament (UE) 2016/679, ir-rekwiżiti ta’ trasparenza ta’ dawk l-Artikoli huma soġġetti għal diversi eċċezzjonijiet stabbiliti fid-DPA 2018 (ara l-premessi (55) sa (72)).

2.5.5 Drittijiet individwali

(51) Jenħtieġ li s-suġġetti tad-data jkollhom ċerti drittijiet li jistgħu jiġu infurzati kontra l-kontrollur jew il-proċessur, b’mod partikolari d-dritt ta’ aċċess għad-data, id-dritt ta’ oġġezzjoni għall-ipproċessar u d-dritt li d-data tiġi rrettifikata u titħassar. Fl-istess ħin, tali drittijiet jistgħu jkunu soġġetti għal restrizzjonijiet, sa fejn dawn ir-restrizzjonijiet ikunu meħtieġa u proporzjonati sabiex jissalvagwardjaw is-sigurtà pubblika jew objettivi importanti oħrajn ta’ interess pubbliku ġenerali.

2.5.5.1 Id-drittijiet sostantivi

(52) Il-GDPR tar-Renju Unit jagħti lill-individwi l-istess drittijiet infurzabbli bħar-Regolament (UE) 2016/679. Id-dispożizzjonijiet li jipprovdu d-drittijiet tal-individwi nżammu fil-GDPR tar-Renju Unit mingħajr tibdil materjali.

(53) Id-drittijiet jinkludu d-dritt ta’ aċċess mis-suġġett tad-data (Artikolu 15 tal-GDPR tar-Renju Unit), id-dritt ta’ rettifika (Artikolu 16 tal-GDPR tar-Renju Unit), id-dritt għal tħassir (Artikolu 17 tal-GDPR tar-Renju Unit), id-dritt għar-restrizzjoni tal-ipproċessar (Artikolu 18 tal-GDPR tar-Renju Unit), obbligu ta’ notifika dwar ir-rettifika jew it-tħassir ta’ data personali jew ir-restrizzjoni tal-ipproċessar (Artikolu 19 tal-GDPR tar-Renju Unit), id-dritt għall-portabbiltà tad-data (Artikolu 20 tal-GDPR tar-Renju Unit), u d-dritt ta’ oġġezzjoni (Artikolu 21 tal-GDPR tar-Renju Unit) (43). Dan tal-aħħar jinkludi wkoll id-dritt ta’ suġġett tad-data li joġġezzjona għall-ipproċessar ta’ data personali għall-fini ta’ kummerċjalizzazzjoni diretta prevista fil-paragrafi 2 u 3 tal-Artikolu 21 tar-Regolament (UE) 2016/679. Barra minn hekk, skont it-Taqsima 122 tad-DPA 2018, il-Kummissarju tal-Informazzjoni jeħtieġlu jħejji Kodiċi ta’ Prattika fir-rigward tat-twettiq tal-kummerċjalizzazzjoni diretta f’konformità mar-rekwiżiti tal-leġiżlazzjoni dwar il-protezzjoni tad-data (u l-Privacy and Electronic Communications (EC Directive) Regulations 2003) u ma’ tali gwida oħra sabiex jippromwovi prattika tajba fil-kummerċjalizzazzjoni diretta li l-Kummissarju jqis xierqa. Bħalissa l-Uffiċċju tal-Kummissarju tal-Informazzjoni qed jiżviluppa l-kodiċi tal-kummerċjalizzazzjoni diretta (44).

(54) Id-dritt tas-suġġett tad-data li ma jkunx soġġett għal deċiżjoni bbażata biss fuq ipproċessar awtomatizzat li jipproduċi effetti legali dwarhom, jew li b’mod simili jaffettwahom b’mod sinifikanti, kif previst fl-Artikolu 22 tal-GDPR, inżamm ukoll fil-GDPR tar- Renju Unit mingħajr tibdil sostanzjali. Madankollu, żdied paragrafu 3A ġdid bħala riferiment għall-fatt li t-Taqsima 14 tad-DPA 2018 tistabbilixxi salvagwardji għad-drittijiet, għal-libertajiet u għall-interessi leġittimi tas-suġġetti tad-data meta l-ipproċessar jitwettaq skont l-Artikolu 22(2)(b) tal-GDPR tar-Renju Unit. Dan japplika biss meta l-bażi għal tali deċiżjoni tkun awtorizzazzjoni jew rekwiżit skont id-dritt tar-Renju Unit, u ma japplikax meta d-deċiżjoni tkun meħtieġa skont kuntratt jew tkun saret bil-kunsens espliċitu tas-suġġett tad-data. Meta tapplika t-Taqsima 14 tad-DPA 2018, il-kontrollur jeħtieġlu, malli jkun raġonevolment prattikabbli, jinnotifika lis-suġġett tad-data bil-miktub li tkun ittieħdet deċiżjoni bbażata biss fuq ipproċessar awtomatizzat. Is-suġġett tad-data għandu dritt li jitlob li l-kontrollur - fi żmien xahar minn meta jirċievi l-avviż - jew jerġa’ jikkunsidra d-deċiżjoni, jew inkella jieħu deċiżjoni ġdida li ma tkunx ibbażata biss fuq ipproċessar awtomatizzat. Is-Segretarju tal-Istat għandu s-setgħa li jadotta aktar salvagwardji fir-rigward tat-teħid awtomatizzat ta’ deċiżjonijiet. Din is-setgħa għadha ma ġietx eżerċitata.

2.5.5.2 Restrizzjonijiet għad-drittijiet individwali u dispożizzjonijiet oħrajn

(55) Id-DPA 2018 jistabbilixxi diversi restrizzjonijiet għad-drittijiet individwali, li jidħlu fil-qafas tal-Artikolu 23 tal-GDPR tar-Renju Unit. Ma ġiet introdotta l-ebda restrizzjoni f’dan il-qafas dwar id-dritt ta’ oġġezzjoni għall-kummerċjalizzazzjoni diretta kif previst fl-Artikolu 21(2) u (3) tal-GDPR tar-Renju Unit jew għad-dritt li wieħed ma jkunx soġġett għal teħid awtomatizzat ta’ deċiżjonijiet kif previst fl-Artikolu 22 tal-GDPR tar-Renju Unit.

(56) Ir-restrizzjonijiet huma spjegati f’dettall fl-Iskedi 2-4 tad-DPA 2018. L-awtoritajiet tar-Renju Unit spjegaw li huma ggwidati minn żewġ prinċipji: il-prinċipju tal-ispeċifiċità (bit-teħid ta’ approċċ granulari, hekk kif ir-restrizzjonijiet ġenerali jinqasmu f’diversi dispożizzjonijiet aktar speċifiċi) u l-prinċipju tal-kondizzjonalità (kull dispożizzjoni hija kkomplementata minn salvagwardji fil-forma ta’ limitazzjonijiet jew ta’ kundizzjonijiet għall-prevenzjoni tal-abbuż) (45).

(57) Ir-restrizzjonijiet deskritti fl-Artikolu 23(1) tal-GDPR tar-Renju Unit huma mfassla sabiex jiżguraw li japplikaw biss f’ċirkustanzi speċifikati fejn meħtieġ f’soċjetà demokratika u b’mod proporzjonat għall-għan leġittimu li jfittxu li jilħqu. Barra minn hekk, f’konformità mal-ġurisprudenza stabbilita dwar l-interpretazzjoni tar-restrizzjonijiet, eżenzjoni mir-reġim ta’ protezzjoni tad-data tista’tiġi applikata biss fi kwalunkwe każ partikolari jekk tkun meħtieġa u proporzjonata li ssir (46). It-test tan-neċessità kien meħtieġ li jkun “wieħed strett, li jirrikjedi li kwalunkwe interferenza mad-drittijiet tas-suġġett tkun proporzjonata mal-gravità tat-theddida għall-interess pubbliku. Għalhekk, l-eżerċizzju jinvolvi analiżi klassika tal-proporzjonalità (47).”

(58) L-għanijiet imfittxija minn dawn ir-restrizzjonijiet jikkorrispondi għal dawk elenkati fl-Artikolu 23 tar-Regolament (UE) 2016/679, ħlief għar-restrizzjonijiet għas-sigurtà nazzjonali u għad-difiża li, minflok, huma rregolati bit-Taqsima 26 tad-DPA 2018, iżda huma soġġetti għall-istess rekwiżiti ta’ neċessità u ta’ proporzjonalità (ara l-premessi (63) sa (66)).

(59) Uħud mir-restrizzjonijiet, pereżempju dawk relatati mal-prevenzjoni jew mas-sejbien ta’ delitt, mal-arrest jew mal-prosekuzzjoni ta’ trażgressuri, u mal-valutazzjoni jew il-ġbir tat-taxxi jew tad-dazju (48) jippermettu restrizzjonijiet għad-drittijiet individwali u l-obbligi ta’ trasparenza kollha (esklużi d-drittijiet skont l-Artikolu 21(2) u l-Artikolu 22). Il-kamp ta’ applikazzjoni ta’ restrizzjonijiet oħrajn huwa limitat għall-obbligi ta’ trasparenza u għad-drittijiet ta’ aċċess, bħar-restrizzjonijiet relatati mal-privileġġ professjonali legali (49), mad-dritt għal-libertà minn rekwiżit li tiġi pprovduta informazzjoni li twassal għall-awtoinkriminazzjoni (50), u mal-finanzi korporattivi, b’mod partikolari l-prevenzjoni ta’ negozjar permezz ta’ abbuż minn informazzjoni privileġġata (51). Ftit mir-restrizzjonijiet jippermettu restrizzjoni għall-obbligu tal-kontrollur li jikkomunika ksur tad-data lil suġġett tad-data u l-prinċipji tal-limitazzjoni tal-iskop, u tal-legalità, tal-ġustizzja u tat-trasparenza tal-ipproċessar (52).

(60) Uħud mir-restrizzjonijiet japplikaw awtomatikament “bis-sħiħ” għal ċertu tip ta’ pproċessar ta’ data personali (pereżempju, l-applikazzjoni tal-obbligi ta’ trasparenza u tad-drittijiet individwali hija eskluża meta d-data personali tiġi pproċessata għall-finijiet tal-valutazzjoni tal-adegwatezza ta’ persuna għal uffiċċju ġudizzjarju jew id-data personali tiġi pproċessata minn qorti, minn tribunal, jew minn individwu, li jaġixxu f’kapaċità ġudizzjarja).

(61) Madankollu, fil-maġġoranza tal-każijiet, il-paragrafu rilevanti fl-Iskeda 2 għad-DPA 2018 jispeċifika li r-restrizzjoni tapplika biss meta (u sa fejn) l-applikazzjoni tad-dispożizzjonijiet “x’aktarx tippreġudika” l-għan leġittimu segwit minn dik ir-restrizzjoni: pereżempju, id-dispożizzjonijiet elenkati tal-GDPR tar-Renju Unit ma japplikawx għal data personali pproċessata għall-prevenzjoni jew għas-sejbien ta’ delitt, għall-arrest jew għall-prosekuzzjoni ta’ trasgressuri, jew għall-valutazzjoni jew għall-ġbir ta’ taxxa jew ta’ dazju “sa fejn l-applikazzjoni ta’ dawk id-dispożizzjonijiet ikollha probabbiltà li tippreġudika” kwalunkwe waħda minn dawn il-kwistjonijiet (53).

(62) L-istandard ta’ “jkollha probabbiltà li tippreġudika” ġie interpretat b’mod konsistenti mill-qrati tar-Renju Unit li jfisser “probabbiltà sinifikanti ħafna u importanti ta’ preġudizzju għall-interessi pubbliċi identifikati” (54). Restrizzjoni soġġetta għat-test tal-preġudizzju tista’ għalhekk tiġi invokata biss jekk u sal-punt li jkun hemm ċans sinifikanti u sinifikanti ħafna li l-għoti ta’ ċertu dritt jippreġudika l-interess pubbliku inkwistjoni. Il-kontrollur huwa responsabbli biex jivvaluta fuq bażi ta’ każ b’każ jekk dawn il-kundizzjonijiet humiex issodisfati (55).

(63) Minbarra r-restrizzjonijiet li jinsabu fl-Iskeda 2 tad-DPA 2018, it-Taqsima 26 tad-DPA 2018 tipprovdi eżenzjoni li tista’ tiġi applikata għal ċerti dispożizzjonijiet tal-GDPR tar-Renju Unit u tad-DPA 2018 jekk dik l-eżenzjoni tkun meħtieġa għall-fini ta’ salvagwardja tas-sigurtà nazzjonali jew għal finijiet tad-difiża. Din l-eżenzjoni tapplika għall-prinċipji tal-protezzjoni tad-data (ħlief il-prinċipju tal-legalità), għall-obbligi ta’ trasparenza, għad-drittijiet tas-suġġett tad-data, għall-obbligu ta’ notifika ta’ ksur tad-data, għar-regoli dwar trasferimenti internazzjonali, għal uħud mid-dmirijiet u mis-setgħat tal-Kummissarju tal-Informazzjoni, u għar-regoli dwar rimedji, obbligazzjonijiet u penali, ħlief għad-dispożizzjoni dwar il-kundizzjonijiet ġenerali għall-impożizzjoni ta’ multi amministrattivi stabbilita fl-Artikolu 83 tal-GDPR tar-Renju Unit u għad-dispożizzjoni dwar il-penali fl-Artikolu 84 tal-GDPR tar-Renju Unit. Barra minn hekk, it-Taqsima 28 tad-DPA 2018 timmodifika l-applikazzjoni tal-Artikolu 9(1) sabiex tippermetti l-ipproċessar ta’ kategoriji speċjali ta’ data fl-Artikolu 9(1) tal-GDPR tar-Renju Unit sal-punt li l-ipproċessar isir għas-salvagwardja tas-sigurtà nazzjonali jew għal finijiet tad-difiża, u b’salvagwardji xierqa għad-drittijiet u għal-libertajiet tas-suġġetti tad-data (56).

(64) L-eżenzjoni tista’ tiġi applikata biss sal-punt li tkun meħtieġa għas-salvagwardja tas-sigurtà nazzjonali jew tad-difiża. Hekk kif inhu wkoll il-każ għall-eżenzjonijiet l-oħrajn previsti mid-DPA 2018, hija trid tiġi kkunsidrata u invokata mill-kontrollur fuq bażi ta’ każ b’każ. Barra minn hekk, kwalunkwe applikazzjoni tal-eżenzjoni trid tkun konformi mal-istandards dwar id-drittijiet tal-bniedem (imsejsa fuq il-Human Rights Act 1998), li skont dawn kwalunkwe interferenza mad-drittijiet tal-privatezza jenħtieġ li tkun neċessarja u proporzjonata f’soċjetà demokratika (57).

(65) Din l-interpretazzjoni tal-eżenzjoni hija kkonfermata mill-ICO li ħareġ gwida dettaljata dwar l-applikazzjoni tal-eżenzjoni tas-sigurtà u d-difiża nazzjonali, filwaqt li jagħmilha ċara li din għandha tiġi kkunsidrata u applikata mill-kontrollur fuq bażi ta’ każ b’każ (58). B’mod partikolari, il-gwida tenfasizza li “[d]in mhijiex eżenzjoni ġenerali” u li, sabiex tiġi invokata, “mhuwiex biżżejjed li d-data tiġi pproċessata għal finijiet ta’ sigurtà nazzjonali”. Min-naħa l-oħra, il-kontrollur li jibbaża fuqu jrid “juri li hemm possibbiltà reali ta’ effett negattiv fuq is-sigurtà nazzjonali” u, fejn meħtieġ, il-kontrollur huwa mistenni li “jipprovdi [lill-ICO] b’evidenza dwar għaliex [huwa] uża din l-eżenzjoni”. Il-gwida fiha lista ta’ kontroll u sensiela ta’ eżempji biex jiġu ċċarati aktar il-kundizzjonijiet li taħthom tista’ tiġi invokata din l-eżenzjoni.

(66) Għalhekk, il-fatt li d-data tiġi pproċessata għal finijiet tas-sigurtà nazzjonali jew tad-difiża ma huwiex biżżejjed waħdu sabiex tiġi applikata l-eżenzjoni. Kontrollur jeħtieġlu jqis il-konsegwenzi attwali għas-sigurtà nazzjonali jekk ikollu jikkonforma mad-dispożizzjoni partikolari dwar il-protezzjoni tad-data. L-eżenzjoni tista’ tiġi applikata biss għal dawk id-dispożizzjonijiet speċifiċi li ġew identifikati bħala dawk li joħolqu r-riskju u trid tiġi applikata b’mod kemm jista’ jkun restrittiv (59).

(67) Dan l-approċċ ġie kkonfermat mit-Tribunal tal-Informazzjoni (60). Fil-każ ta’ Baker vs Secretary of State for the Home Department (“Baker v Secretary of State”), huwa ddetermina li kien illegali li tiġi applikata l-eżenzjoni tas-sigurtà nazzjonali bħala eżenzjoni ġenerali għat-talbiet ta’ aċċess riċevuti mis-servizzi tal-intelligence. Minflok, l-eżenzjoni kellha tiġi applikata fuq bażi ta’ każ b’każ, billi tingħata ħarsa lejn kull talba dwar il-mertu tagħha u fid-dawl tad-dritt tal-individwi li jirrispettaw il-ħajja privata tagħhom (61).

2.5.6 Restrizzjonijiet għal data personali pproċessata għal finijiet ġurnalistiċi, artistiċi, akkademiċi u letterarji kif ukoll għal arkivjar u għal riċerka

(68) L-Artikolu 85(2) tal-GDPR tar-Renju Unit jippermetti li jiġi pprovdut sabiex data personali pproċessata għal finijiet ġurnalistiċi, artistiċi, akkademiċi u letterarji tkun eżentata minn diversi dispożizzjonijiet tal-GDPR tar-Renju Unit. Il-Parti 5 tal-Iskeda 2 tad-DPA 2018 tistabbilixxi l-eżenzjonijiet għall-ipproċessar għal dawn il-finijiet. Tipprovdi għal eżenzjonijiet mill-prinċipji tal-protezzjoni tad-data (ħlief il-prinċipju tal-integrità u tal-kunfidenzjalità), mir-raġunijiet legali għall-ipproċessar (inkl. kategoriji speċjali ta’ data u data dwar kundanni kriminali eċċ.), mill-kundizzjonijiet għall-kunsens, mill-obbligi ta’ trasparenza, mid-drittijiet tas-suġġetti tad-data, mill-obbligu ta’ notifika ta’ ksur tad-data, u mir-rekwiżit li l-Kummissarju tal-Informazzjoni jiġi kkonsultat qabel ipproċessar ta’ riskju għoli, u mir-regoli dwar it-trasferimenti internazzjonali (62). F’dan ir-rigward, il-GDPR tar-Renju Unit ma jitbegħedx b’mod sostantiv mir-Regolament (UE) 2016/679, li fl-Artikolu 85 tiegħu wkoll jipprovdi għall-possibbiltà li l-ipproċessar li jsir għal finijiet ġurnalistiċi jew għall-finijiet ta’ espressjoni akkademika, artistika jew letterarja jiġi eżentat minn numru ta’ rekwiżiti tar-Regolament (UE) 2016/679. Id-dispożizzjonijiet tad-DPA 2018, b’mod partikolari l-Iskeda 2, il-Parti 5, huma kompatibbli mal-GDPR tar-Renju Unit.

(69) L-eżerċizzju ta’ bbilanċjar ewlieni li għandu jitwettaq skont l-Artikolu 85 tal-GDPR tar-Renju Unit huwa relatat ma’ jekk eżenzjoni għar-regoli dwar il-protezzjoni tad-data msemmija fil-premessa (68) tkunx “neċessarja għar-rikonċiljazzjoni tad-dritt għall-protezzjoni ta’ data personali mal-libertà tal-espressjoni u tal-informazzjoni” (63). Skont il-paragrafi 26(2) u (3) tal-Iskeda 2 tad-DPA 2018, ir-Renju Unit japplika test ta’ “twemmin raġonevoli” sabiex jintlaħaq dan il-bilanċ. Sabiex eżenzjoni tkun iġġustifikata, il-kontrollur jeħtieġlu raġonevolment jemmen (i) li l-pubblikazzjoni tkun fl-interess pubbliku; u (ii) li l-applikazzjoni tad-dispożizzjoni tal-GDPR rilevanti tkun inkompatibbli ma’ finijiet ġurnalistiċi, akkademiċi, artistiċi jew letterarji. Kif ikkonfermat mill-ġurisprudenza (64), it-test ta’ “twemmin raġonevoli” għandu kemm komponent soġġettiv kif ukoll objettiv: ma huwiex biżżejjed li l-kontrollur juri li huwa stess kien jemmen li l-konformità kienet inkompatibbli. It-twemmin tiegħu jrid ikun raġonevoli, jiġifieri jista’ jitwemmen minn persuna raġonevoli li tkun taf il-fatti rilevanti. Għalhekk, il-kontrollur jeħtieġlu jeżerċita d-diliġenza dovuta meta jifforma t-twemmin tiegħu sabiex ikun jista’ juri r-raġonevolezza. Skont l-ispjegazzjonijiet ipprovduti mill-awtoritajiet tar-Renju Unit, it-test ta’ “twemmin raġonevoli” jrid jitwettaq fuq bażi ta’ eżenzjoni b’eżenzjoni (65). Jekk il-kundizzjonijiet jiġu ssodisfati, l-eżenzjoni titqies neċessarja u proporzjonata skont id-dritt tar-Renju Unit.

(70) Skont it-Taqsima 124 tad-DPA 2018, l-ICO għandu jħejji Kodiċi ta’ Prattika dwar il-Protezzjoni tad-Data u l-Ġurnaliżmu. Il-ħidma fuq dan il-Kodiċi għadha għaddejja. Inħarġet gwida dwar il-kwistjoni skont id-Data Protection Act 1998 li tenfasizza b’mod partikolari li, sabiex tiġi invokata din l-eżenzjoni, ma huwiex biżżejjed li sempliċiment jiġi ddikjarat li l-konformità tkun inkonvenjent għall-attivitajiet tal-ġurnalisti, iżda jrid ikun hemm argument ċar li d-dispożizzjoni inkwistjoni tippreżenta ostakolu għall-ġurnaliżmu responsabbli (66). Gwida dwar l-applikazzjoni tat-test tal-interess pubbliku u l-ibbilanċjar tal-interess pubbliku kontra l-interess ta’ individwu fil-privatezza ġiet ippubblikata wkoll mir-regolatur tat-telekomunikazzjoni tar-Renju Unit OFCOM u mill-BBC fil-linji gwida editorjali tagħha (67). Il-linji gwida jipprovdu b’mod partikolari eżempji ta’ informazzjoni li tista’ titqies fl-interess pubbliku, u jispjegaw il-ħtieġa li jkun jista’ jintwera li l-interess pubbliku jipprevali fuq id-drittijiet tal-privatezza fiċ-ċirkustanzi partikolari tal-każ.

(71) B’mod simili għal dak li huwa pprovdut fl-Artikolu 89 tal-GDPR, data personali pproċessata għal finijiet ta’ arkivjar fl-interess pubbliku, għal finijiet ta’ riċerka xjentifika jew storika jew għal finijiet statistiċi tista’ tiġi eżentata wkoll minn numru ta’ dispożizzjonijiet elenkati tal-GDPR tar-Renju Unit (68). Fir-rigward tar-riċerka u l-istatistika, huma possibbli eżenzjonijiet għad-dispożizzjonijiet tal-GDPR tar-Renju Unit relatati mal-konferma tal-ipproċessar u l-aċċess għad-data u s-salvagwardji għat-trasferimenti ta’ pajjiżi terzi; id-dritt ta’ rettifika; ir-restrizzjoni tal-ipproċessar u l-oġġezzjoni għall-ipproċessar. Fir-rigward tal-arkivjar fl-interess pubbliku, l-eżenzjonijiet huma possibbli wkoll għall-obbligu ta’ notifika rigward ir-rettifika jew it-tħassir ta’ data personali jew għar-restrizzjoni tal-ipproċessar u għad-dritt għall-portabbiltà tad-data.

(72) Skont il-paragrafi 27(1) u 28(1) tal-Iskeda 2 tad-DPA 2018, l-eżenzjonijiet mid-dispożizzjonijiet elenkati tal-GDPR tar-Renju Unit huma possibbli fejn l-applikazzjoni tad-dispożizzjonijiet “tipprevjeni jew ixxekkel serjament il-kisba” tal-finijiet inkwistjoni (69).

(73) Minħabba r-rilevanza tagħhom għal eżerċizzju effettiv tad-drittijiet individwali, kwalunkwe żvilupp rilevanti rigward l-interpretazzjoni u l-applikazzjoni fil-prattika tal-eżenzjonijiet imsemmija hawn fuq (flimkien ma’ dak relatat maż-żamma ta’ kontroll effettiv tal-immigrazzjoni, kif spjegat fil-premessa (6)), inkluż kwalunkwe żvilupp ulterjuri tal-ġurisprudenza u tal-azzjonijiet ta’ gwida u infurzar tal-ICO, se jitqies kif xieraq fil-kuntest tal-monitoraġġ kontinwu ta’ din id-Deċiżjoni (70).

2.5.7 Restrizzjonijiet fuq trasferimenti ulterjuri

(74) Il-livell ta’ protezzjoni mogħti lil data personali ttrasferita mill-Unjoni Ewropea lil kontrolluri jew lil proċessuri fir-Renju Unit ma jistax jiġi mfixkel mit-trasferiment ulterjuri ta’ tali data lil riċevituri f’pajjiż terz. Tali “trasferimenti ulterjuri”, li mill-perspettiva tal-kontrollur jew tal-proċessur tar-Renju Unit jikkostitwixxu trasferimenti internazzjonali mir-Renju Unit, jenħtieġ li jkunu permessi biss meta r-riċevitur ulterjuri barra mir-Renju Unit ikun huwa stess soġġett għal regoli li jiżguraw livell simili ta’ protezzjoni għal dak iggarantit fl-ordinament ġuridiku tar-Renju Unit. Għal din ir-raġuni, l-applikazzjoni tar-regoli tal-GDPR tar-Renju Unit u tad-DPA 2018 dwar it-trasferimenti internazzjonali ta’ data personali hija fattur importanti sabiex tiġi żgurata l-kontinwità tal-protezzjoni fil-każ ta’ data personali ttrasferita mill-Unjoni Ewropea lir-Renju Unit skont din id-Deċiżjoni.

(75) Ir-reġim dwar it-trasferimenti internazzjonali ta’ data personali mir-Renju Unit huwa stabbilit fl-Artikoli 44-49 tal-GDPR tar-Renju Unit, issupplimentat mid-DPA 2018, u fis-sustanza huwa identiku għar-regoli stabbiliti fil-Kapitolu V tar-Regolament (UE) 2016/679 (71). It-trasferimenti ta’ data personali lil pajjiż terz jew lil organizzazzjoni internazzjonali jistgħu jsiru biss fuq il-bażi ta’ regolamenti ta’ adegwatezza (ekwivalenti tar-Renju Unit għal deċiżjoni ta’ adegwatezza skont ir-Regolament (UE) 2016/679), jew, fin-nuqqas ta’ regolamenti ta’ adegwatezza, fejn il-kontrollur jew il-proċessur ikun ipprovda salvagwardji xierqa f’konformità mal-Artikolu 46 tal-GDPR tar-Renju Unit. Fin-nuqqas ta’ regolamenti ta’ adegwatezza jew ta’ salvagwardji xierqa, trasferiment jista’ jsir biss fuq il-bażi tad-derogi stabbiliti fl-Artikolu 49 tal-GDPR tar-Renju Unit.

(76) Ir-regolamenti ta’ adegwatezza magħmula mis-Segretarju tal-Istat jistgħu jistipulaw li pajjiż terz (jew territorju jew settur f’pajjiż terz), organizzazzjoni internazzjonali, jew deskrizzjoni (72) ta’ tali pajjiż, territorju, settur, jew organizzazzjoni tiżgura livell adegwat ta’ protezzjoni ta’ data personali. Meta jivvaluta l-adegwatezza tal-livell ta’ protezzjoni, is-Segretarju tal-Istat jeħtieġlu jqis l-istess elementi eżatt li l-Kummissjoni hija meħtieġa tivvaluta skont l-Artikolu 45(2)(a)-(c) tar-Regolament (UE) 2016/679, interpretat flimkien mal-premessa 104 tar-Regolament (UE) 2016/679 u mal-ġurisprudenza tal-UE miżmuma. Dan ifisser li, meta jiġi vvalutat il-livell adegwat ta’ protezzjoni ta’ pajjiż terz, l-istandard rilevanti se jkun jekk dak il-pajjiż terz inkwistjoni jiggarantixxix livell ta’ protezzjoni “essenzjalment ekwivalenti” għal dak iggarantit fir-Renju Unit.

(77) Fir-rigward tal-proċedura, ir-regolamenti ta’ adegwatezza huma soġġetti għar-rekwiżiti proċedurali “ġenerali” previsti fit-Taqsima 182 tad-DPA 2018. Skont din il-proċedura, is-Segretarju tal-Istat jeħtieġlu jikkonsulta lill-Kummissarju tal-Informazzjoni meta jipproponi li jiġu adottati regolamenti ta’ adegwatezza tar-Renju Unit (73). Ladarba jiġu adottati mis-Segretarju tal-Istat, dawk ir-regolamenti jitressqu quddiem il-Parlament u jiġu soġġetti għall-proċedura ta’ “riżoluzzjoni negattiva” li skont din iż-żewġ Kmamar tal-Parlament jistgħu jiskrutinizzaw ir-regolamenti u jkollhom il-kapaċità li jgħaddu mozzjoni li tannulla r-regolamenti fi ħdan perjodu ta’ 40 jum (74).

(78) Skont it-Taqsima 17B(1) tad-DPA 2018, ir-regolamenti ta’ adegwatezza jridu jiġu rrieżaminati f’intervalli ta’ mhux aktar minn erba’ snin u s-Segretarju tal-Istat, fuq bażi kontinwa, jeħtieġlu jimmonitorja l-iżviluppi f’pajjiżi terzi u f’organizzazzjonijiet internazzjonali li jistgħu jaffettwaw id-deċiżjonijiet li jfassal regolamenti ta’ adegwatezza, jew li jħassar jew jirrevoka tali regolamenti. Meta s-Segretarju tal-Istat isir jaf li pajjiż jew organizzazzjoni speċifikata ma tibqax tiżgura livell adegwat ta’ protezzjoni ta’ data personali, huwa jeħtieġlu, sa fejn ikun meħtieġ, jemenda jew jirrevoka r-regolamenti u jidħol f’konsultazzjonijiet mal-pajjiż terz jew mal-organizzazzjoni internazzjonali kkonċernata sabiex tirrimedja n-nuqqas ta’ livell adegwat ta’ protezzjoni. Dawn l-aspetti proċedurali jirriflettu wkoll ir-rekwiżiti korrispondenti tar-Regolament (UE) 2016/679.

(79) Fin-nuqqas ta’ regolamenti ta’ adegwatezza, jistgħu jsiru trasferimenti internazzjonali fejn il-kontrollur jew il-proċessur ikun ipprovda salvagwardji xierqa f’konformità mal-Artikolu 46 tal-GDPR tar-Renju Unit. Dawn is-salvagwardji huma simili għal dawk tal-Artikolu 46 tar-Regolament (UE) 2016/679. Dawn jinkludu strumenti legalment vinkolanti u eżekwibbli bejn l-awtoritajiet jew il-korpi pubbliċi, regoli korporattivi vinkolanti (75), klawżoli standard dwar il-protezzjoni tad-data, kodiċijiet ta’ kondotta approvati, mekkaniżmi ta’ ċertifikazzjoni approvati, u bl-awtorizzazzjoni mill-Kummissarju tal-Informazzjoni, klawżoli kuntrattwali bejn il-kontrolluri (jew il-proċessuri) jew arranġamenti amministrattivi bejn l-awtoritajiet pubbliċi. Madankollu, ir-regoli ġew immodifikati, minn perspettiva proċedurali, sabiex jaħdmu fi ħdan il-qafas tar-Renju Unit, b’mod partikolari l-klawżoli standard dwar il-protezzjoni tad-data jistgħu jiġu adottati mis-Segretarju tal-Istat (it-Taqsima 17C) jew mill-Kummissarju tal-Informazzjoni (it-Taqsima 119A) f’konformità mad-DPA 2018.

(80) Fin-nuqqas ta’ deċiżjoni ta’ adegwatezza jew ta’ salvagwardji xierqa, trasferiment jista’ jsir biss fuq il-bażi tad-derogi stabbiliti fl-Artikolu 49 tal-GDPR tar-Renju Unit (76). Il-GDPR tar-Renju Unit ma jintroduċi l-ebda tibdil materjali għad-derogi, meta mqabbel mar-regoli korrispondenti tar-Regolament (UE) 2016/679. Skont il-GDPR tar-Renju Unit, bħal skont ir-Regolament (UE) 2016/679, ċerti derogi jistgħu jiġu invokati biss jekk it-trasferiment ikun okkażjonali (77). Barra minn hekk, l-ICO, fil-gwida tiegħu dwar it-trasferimenti internazzjonali, jiċċara li: “Jenħtieġ li tuża dawn biss bħala “eċċezzjonijiet” veri mir-regola ġenerali li jenħtieġ li ma tagħmilx trasferiment ristrett sakemm ma jkunx kopert minn deċiżjoni ta’ adegwatezza jew ikun hemm salvagwardji xierqa fis-seħħ” (78). Fir-rigward ta’ trasferimenti li huma neċessarji għal raġunijiet importanti ta’ interess pubbliku (Artikolu 49(1)(d)), is-Segretarju tal-Istat jista’ jagħmel regolamenti sabiex jispeċifika ċ-ċirkustanzi li fihom trasferiment ta’ data personali lejn pajjiż terz jew lejn organizzazzjoni internazzjonali ma jkunx neċessarju għal raġunijiet importanti ta’ interess pubbliku. Barra minn hekk, is-Segretarju tal-Istat jista’ permezz ta’ regolamenti jirrestrinġi t-trasferiment ta’ kategorija ta’ data personali lil pajjiż terz jew lil organizzazzjoni internazzjonali meta t-trasferiment ma jkunx jista’ jsir fuq il-bażi ta’ regolamenti ta’ adegwatezza, u s-Segretarju tal-Istat iqis li r-restrizzjoni tkun neċessarja għal raġunijiet importanti ta’ interess pubbliku. S’issa għadhom ma ġewx adottati regolamenti bħal dawn.

(81) Dan il-qafas għat-trasferimenti internazzjonali sar applikabbli fi tmiem il-perjodu ta’ tranżizzjoni (79). Madankollu, il-paragrafu 4 tal-Iskeda 21 tad-DPA 2018 (introdott mir-Regolamenti dwar id-DPPEC) jipprovdi li sa mit-tmiem tal-perjodu ta’ tranżizzjoni, ċerti trasferimenti ta’ data personali jiġu ttrattati daqslikieku huma bbażati fuq regolamenti ta’ adegwatezza. Dawn it-trasferimenti jinkludu trasferimenti lejn Stat taż-ŻEE, it-territorju ta’ Ġibiltà, istituzzjoni, korp, uffiċċju jew aġenzija tal-Unjoni stabbiliti minn, jew fuq il-bażi tat-Trattat tal-UE, u pajjiżi terzi li kienu s-suġġett ta’ deċiżjoni ta’ adegwatezza tal-UE fi tmiem il-perjodu ta’ tranżizzjoni. Konsegwentement, it-trasferimenti lejn dawn il-pajjiżi jistgħu jkomplu bħal qabel ma r-Renju Unit ħareġ mill-UE. Wara tmiem il-perjodu ta’ tranżizzjoni, is-Segretarju tal-Istat jeħtieġlu jwettaq rieżami ta’ dawn is-sejbiet ta’ adegwatezza fuq perjodu ta’ erba’ snin, jiġifieri sal-aħħar ta’ Diċembru 2024. Skont l-ispjegazzjoni pprovduta mill-awtoritajiet tar-Renju Unit, għalkemm is-Segretarju tal-Istat jeħtieġ li jwettaq tali rieżami sal-aħħar ta’ Diċembru 2024, id-dispożizzjonijiet tranżizzjonali ma jinkludux dispożizzjoni “sunset” u d-dispożizzjonijiet tranżizzjonali rilevanti mhux se jieqfu awtomatikament milli jkollhom effett jekk rieżami ma jkunx tlesta sal-aħħar ta’ Diċembru 2024.

(82) Fl-aħħar nett, fir-rigward tal-evoluzzjoni futura tar-reġim ta’ trasferimenti internazzjonali tar-Renju Unit – permezz tal-adozzjoni ta’ regolamenti ġodda dwar l-adegwatezza, il-konklużjoni ta’ ftehimiet internazzjonali jew l-iżvilupp ta’ mekkaniżmi oħra ta’ trasferiment – il-Kummissjoni se tissorvelja mill-qrib is-sitwazzjoni, tivvaluta jekk il-mekkaniżmi differenti ta’ trasferiment jintużawx b’mod li jiżgura l-kontinwità tal-protezzjoni, u, jekk ikun meħtieġ, tieħu miżuri xierqa biex tindirizza l-effetti negattivi possibbli għal tali kontinwità (ara l-premessi (278) sa (287)). Peress li l-UE u r-Renju Unit jikkondividu regoli simili dwar it-trasferimenti internazzjonali, huwa mistenni li d-diverġenza problematika tista’ tiġi evitata wkoll permezz tal-kooperazzjoni, l-iskambju ta’ informazzjoni u l-kondiviżjoni tal-esperjenza, inkluż bejn l-ICO u l-EDPB.

2.5.8 Responsabbiltà

(83) Skont il-prinċipju tar-responsabbiltà, l-entitajiet li jipproċessaw id-data huma meħtieġa jistabbilixxu miżuri tekniċi u organizzazzjonali xierqa sabiex jikkonformaw b’mod effettiv mal-obbligi tagħhom dwar il-protezzjoni tad-data u jkunu jistgħu juru tali konformità, b’mod partikolari lill-awtorità superviżorja kompetenti.

(84) Il-prinċipju tar-responsabbiltà previst fir-Regolament (UE) 2016/679 inżamm fl-Artikolu 5(2) tal-GDPR tar-Renju Unit mingħajr tibdil materjali u l-istess japplika għall-Artikolu 24 dwar ir-responsabbiltà tal-kontrollur, għall-Artikolu 25 dwar il-protezzjoni tad-data mid-disinn u b’mod awtomatiku u għall-Artikolu 30 dwar ir-rekords tal-attivitajiet ta’ pproċessar. Inżammu wkoll l-Artikoli 35 u 36 dwar il-valutazzjoni tal-impatt fuq il-protezzjoni tad-data u l-konsultazzjoni minn qabel tal-awtorità superviżorja. L-Artikoli 37-39 tar-Regolament (UE) 2016/679 dwar il-ħatra u l-kompiti tal-uffiċjali tal-protezzjoni tad-data nżammu fil-GDPR tar-Renju Unit mingħajr tibdil materjali. Barra minn hekk, id-dispożizzjonijiet tal-Artikoli 40 u 42 tar-Regolament (UE) 2016/679 dwar il-kodiċijiet ta’ kondotta u ċ-ċertifikazzjoni nżammu fil-GDPR tar-Renju Unit (80).

2.6 Sorveljanza u infurzar

2.6.1 Sorveljanza Indipendenti

(85) Sabiex jiġi żgurat li livell adegwat ta’ protezzjoni tad-data jkun iggarantit fil-prattika, jenħtieġ li tkun fis-seħħ awtorità superviżorja indipendenti inkarigata bis-setgħat li timmonitorja u tinforza l-konformità mar-regoli dwar il-protezzjoni tad-data. Jenħtieġ li din l-awtorità taġixxi b’indipendenza u b’imparzjalità sħiħa fit-twettiq tad-dmirijiet tagħha u fl-eżerċizzju tas-setgħat tagħha.

(86) Fir-Renju Unit, is-sorveljanza u l-infurzar tal-konformità mal-GDPR tar-Renju Unit u mad-DPA 2018 jitwettqu mill-Kummissarju tal-Informazzjoni. Il-Kummissarju tal-Informazzjoni huwa “Corporation Sole”: entità ġuridika separata kostitwita f’persuna unika. Il-Kummissarju tal-Informazzjoni huwa appoġġat f’ħidmietu minn uffiċċju. Fil-31 ta’ Marzu 2020, l-Uffiċċju tal-Kummissarju tal-Informazzjoni kellu 768 membru tal-persunal permanenti (81). Id-dipartiment sponsor tal-Kummissarju tal-Informazzjoni huwa d-Department for Digital, Culture, Media and Sport (82).

(87) L-indipendenza tal-Kummissarju hija stabbilita b’mod espliċitu fl-Artikolu 52 tal-GDPR tar-Renju Unit li ma jagħmel l-ebda tibdil sostantiv għall-Artikolu 52(1)-(3) tal-GDPR. Il-Kummissarju jeħtieġlu jaġixxi b’indipendenza sħiħa fit-twettiq tal-kompiti tiegħu u fl-eżerċitar tas-setgħat tiegħu f’konformità mal-GDPR tar-Renju Unit, jibqa’ ħieles minn influwenza esterna, kemm jekk diretta kif ukoll indiretta, fir-rigward ta’ dawk il-kompiti u s-setgħat, u la jfittex u lanqas ma jieħu struzzjonijiet mingħand xi ħadd. Il-Kummissarju jeħtieġlu jżomm ukoll lura minn kwalunkwe azzjoni inkompatibbli mad-dmirijiet tiegħu u ma għandux, waqt li jżomm il-kariga, jinvolvi ruħu f’xi okkupazzjoni inkompatibbli, kemm jekk bi ħlas kif ukoll jekk le.

(88) Il-kundizzjonijiet għall-ħatra u għat-tneħħija tal-Kummissarju tal-Informazzjoni huma stabbiliti fl-Iskeda 12 tad-DPA 2018. Il-Kummissarju tal-Informazzjoni jinħatar mill-Maestà Tagħha fuq rakkomandazzjoni mill-Gvern wara kompetizzjoni ġusta u miftuħa. Il-kandidat jeħtieġlu jkollu l-kwalifiki, il-ħiliet u l-kompetenza xierqa. F’konformità mal-Governance Code on Public Appointments (83), lista ta’ kandidati magħżula ssir minn bord ta’ valutazzjoni konsultattiv. Qabel ma s-Segretarju tal-Istat fid-Department for Digital, Culture, Media and Sport jiffinalizza d-deċiżjoni tiegħu, il-Kumitat Magħżul rilevanti tal-Parlament jeħtieġlu jwettaq skrutinju ta’ qabel il-ħatra. Il-pożizzjoni tal-Kumitat tiġi ppubblikata (84).

(89) Il-Kummissarju tal-Informazzjoni jżomm il-kariga għal perjodu ta’ mhux aktar minn seba’ snin. Persuna ma tistax tinħatar bħala l-Kummissarju tal-Informazzjoni għal aktar minn darba. Il-Kummissarju tal-Informazzjoni jista’ jitneħħa mill-kariga mill-Maestà Tagħha wara Indirizz miż-żewġ Kmamar tal-Parlament (85). L-ebda talba għat-tneħħija tal-Kummissarju tal-Informazzjoni ma tista’ tiġi ppreżentata lil xi waħda mill-Kmamar tal-Parlament sakemm Ministru ma jkunx ippreżenta rapport li jiddikjara li huwa jkun aċċerta li l-Kummissarju tal-Informazzjoni jkun ħati ta’ mġiba ħażina serja u/jew li l-Kummissarju ma jibqax jissodisfa l-kundizzjonijiet meħtieġa għall-eżekuzzjoni tal-funzjonijiet ta’ Kummissarju (86).

(90) Il-finanzjament tal-Kummissarju tal-Informazzjoni jiġi minn tliet sorsi: (i) l-imposti tal-protezzjoni tad-data mħallsa mill-kontrolluri li huma stabbiliti minn regolamenti tas-Segretarju tal-Istat (87) (id-Data Protection (Charges and Information) Regulations 2018), u jammontaw għal 85 % - 90 % tal-baġit annwali tal-Uffiċċju (88); (ii) għotja f’għajnuna mħallsa mill-Gvern lill-Kummissarju tal-Informazzjoni. Għotja f’għajnuna tintuża prinċipalment sabiex tiffinanzja l-kostijiet operatorji tal-Kummissarju tal-Informazzjoni fir-rigward ta’ kompiti relatati mal-protezzjoni tad-data (89); u (iii) tariffi mitluba għal servizzi (90). Bħalissa, ma tintalab l-ebda tariffa bħal din.

(91) Il-funzjonijiet ġenerali tal-Kummissarju tal-Informazzjoni fir-rigward tal-ipproċessar ta’ data personali li japplika għalihom il-GDPR tar-Renju Unit, huma stabbiliti fl-Artikolu 57 tal-GDPR tar-Renju Unit, u jirriflettu mill-qrib ir-regoli korrispondenti tar-Regolament (UE) 2016/679. Il-funzjonijiet tiegħu jinkludu l-monitoraġġ u l-infurzar tal-GDPR tar-Renju Unit, il-promozzjoni tas-sensibilizzazzjoni tal-pubbliku, it-trattament tal-ilmenti ppreżentati mis-suġġetti tad-data, it-twettiq ta’ investigazzjonijiet eċċ.. Barra minn hekk, it-Taqsima 115 tad-DPA 2018 tistabbilixxi funzjonijiet ġenerali oħrajn tal-Kummissarju, li jinkludu dmir ta’ għoti ta’ pariri lill-Parlament, lill-gvern u lil istituzzjonijiet u lil korpi oħrajn dwar miżuri leġiżlattivi u amministrattivi relatati mal-protezzjoni tad-drittijiet u tal-libertajiet tal-individwi fir-rigward tal-ipproċessar ta’ data personali, u s-setgħa li jinħarġu, fuq inizjattiva proprja tal-Kummissarju jew fuq talba, opinjonijiet lill-Parlament, lill-gvern jew lil istituzzjonijiet u lil korpi oħrajn kif ukoll lill-pubbliku dwar kwalunkwe kwistjoni relatata mal-protezzjoni ta’ data personali. Sabiex iżomm l-indipendenza tal-ġudikatura, il-Kummissarju tal-Informazzjoni ma huwiex awtorizzat jeżerċita l-funzjonijiet tiegħu fir-rigward tal-ipproċessar ta’ data personali minn individwu li jaġixxi f’kapaċità ġudizzjarja, jew minn qorti jew minn tribunal li jaġixxi fil-kapaċità ġudizzjarja tiegħu. Madankollu, is-sorveljanza fuq il-ġudikatura hija żgurata minn korpi speċjalizzati (ara l-premessi (99) sa (103).

2.6.2 Infurzar, li jinkludi sanzjonijiet

(92) Is-setgħat tal-Kummissarju tal-Informazzjoni huma stabbiliti fl-Artikolu 58 tal-GDPR tar-Renju Unit, li ma jintroduċi l-ebda tibdil materjali fl-artikolu korrispondenti tar-Regolament (UE) 2016/679. Id-DPA 2018 jistabbilixxi regoli supplimentari dwar kif dawn is-setgħat jistgħu jiġu eżerċitati. B’mod partikolari, il-Kummissarju għandu s-setgħat li: (a) jordna lill-kontrollur u lill-proċessur (u f’ċerti ċirkustanzi lil kwalunkwe persuna oħra) sabiex jipprovdu l-informazzjoni meħtieġa billi jagħti avviż ta’ informazzjoni (“avviż ta’ informazzjoni”) (91); (b) iwettaq investigazzjonijiet u awditi billi jagħti avviż ta’ valutazzjoni, li jista’ jirrikjedi li l-kontrollur jew il-proċessur jippermetti lill-Kummissarju jidħol f’bini speċifikat, jispezzjona jew jeżamina dokumenti jew tagħmir, jintervista persuni li jipproċessaw data personali f’isem il-kontrollur, eċċ. (“avviż ta’ valutazzjoni”) (92); (c) jikseb aċċess b’mod ieħor għad-dokumenti, eċċ. tal-kontrolluri u tal-proċessuri u aċċess għall-bini tagħhom f’konformità mat-Taqsima 154 tad-DPA 2018 (“setgħat ta’ dħul u ta’ spezzjoni”); (d) jeżerċita setgħat korrettivi inkluż permezz ta’ twissijiet u ta’ ċanfiriet jew jagħti ordnijiet permezz ta’ avviż ta’ infurzar, li jirrikjedi li l-kontrolluri/il-proċessuri jieħdu jew joqogħdu lura milli jieħdu passi speċifikati, inkluż li l-kontrollur jew il-proċessur jiġi ordnat jagħmel kwalunkwe ħaġa speċifikata fl-Artikolu 58(2)(c)-(g) u (j) tal-GDPR tar-Renju Unit (“avviż ta’ infurzar”) (93); (e) u joħroġ multi amministrattivi fil-forma ta’ avviż ta’ penali (“avviż ta’ penali”) (94). Dan tal-aħħar jista’ jinħareġ ukoll f’każ li awtorità pubblika tkun naqset milli tikkonforma mad-dispożizzjonijiet tal-GDPR tar-Renju Unit (95).

(93) Il-Politika ta’ Azzjoni Regolatorja tal-ICO tistabbilixxi ċ-ċirkustanzi li fihom huwa joħroġ avviż ta’ informazzjoni, ta’ valutazzjoni, ta’ infurzar jew ta’ penali (96). Avviż ta’ infurzar mogħti bi tweġiba għal nuqqas minn kontrollur jew minn proċessur jista’ jimponi biss ir-rekwiżiti li l-Kummissarju jqis xierqa għall-fini ta’ rimedju tan-nuqqas. L-avviżi ta’ infurzar u ta’ penali jistgħu jinħarġu lil kontrollur jew lil proċessur fir-rigward ta’ ksur tal-Kapitolu II tal-GDPR tar-Renju Unit (prinċipji ta’ pproċessar), tal-Artikoli 12 -22 (drittijiet tas-suġġett tad-data), tal-Artikoli 25-39 (obbligi tal-kontrolluri u tal-proċessuri) u tal-Artikoli 44-49 (trasferimenti internazzjonali) tal-GDPR tar-Renju Unit. Jista’ jingħata wkoll avviż ta’ infurzar meta kontrollur ikun naqas milli jikkonforma mar-rekwiżit li jħallas tariffa fir-regolamenti magħmula skont it-Taqsima 137 tad-DPA 2018. Barra minn hekk, korp ta’ monitoraġġ skont l-Artikolu 41 jew fornitur taċ-ċertifikazzjoni jista’ jingħata avviż ta’ infurzar jekk jonqos milli jikkonforma mal-obbligi tiegħu skont il-GDPR tar-Renju Unit. Jista’ jingħata wkoll avviż ta’ penali lil persuna li ma tkunx ikkonformat ma’ avviż ta’ informazzjoni, ma’ avviż ta’ valutazzjoni jew ma’ avviż ta’ infurzar.

(94) L-avviż ta’ penali jirrikjedi li l-persuna tħallas lill-Kummissarju tal-Informazzjoni ammont speċifikat fl-avviż. Fid-determinazzjoni ta’ jekk jingħatax avviż ta’ penali lil persuna u fid-determinazzjoni tal-ammont tal-penali, il-Kummissarju tal-Informazzjoni jeħtieġlu jqis il-kwistjonijiet elenkati fl-Artikolu 83(1) u (2) tal-GDPR tar-Renju Unit, li huma identiċi għar-regoli korrispondenti tar-Regolament (UE) 2016/679 (97). Skont l-Artikolu 83(4) u (5), l-ammonti massimi tal-multi amministrattivi f’każ ta’ nuqqas ta’ konformità mal-obbligi msemmija f’dawk id-dispożizzjonijiet huma £8 700 000 jew £17 500 000 rispettivament. Fil-każ ta’ impriża, il-Kummissarju tal-Informazzjoni jista’ jimponi wkoll multi bħala perċentwal tal-fatturat annwali globali, jekk ikun ogħla. Bħal fid-dispożizzjonijiet ekwivalenti tar-Regolament (UE) 2016/679, dawn l-ammonti huma stabbiliti għal 2 % u għal 4 % fl-Artikoli 83(4) u (5) rispettivament. F’każ ta’ nuqqas ta’ konformità ma’ avviż ta’ informazzjoni, ma’ avviż ta’ valutazzjoni jew ma’ avviż ta’ infurzar, l-ammont massimu tal-penali li jista’ jiġi impost minn avviż ta’ penali huwa l-ogħla bejn £17 500 000 jew, fil-każ ta’ impriża, 4 % tal-fatturat annwali globali.

(95) Il-GDPR tar-Renju Unit flimkien mad-DPA 2018 saħħew ukoll setgħat oħrajn tal-Kummissarju tal-Informazzjoni. Pereżempju, il-Kummissarju issa jista’ jwettaq verifiki obbligatorji fir-rigward tal-kontrolluri u tal-proċessuri kollha permezz tal-użu ta’ avviżi ta’ valutazzjoni, filwaqt li skont il-leġiżlazzjoni preċedenti, id-Data Protection Act 1998, il-Kummissarju kellu din is-setgħa biss fir-rigward tal-gvern ċentrali u tal-organizzazzjonijiet tas-saħħa, oħrajn li għandhom jaqblu ma’ verifika.

(96) Sa mill-introduzzjoni tar-Regolament (UE) 2016/679, l-ICO jittratta madwar 40 000 ilment fis-sena minn suġġetti tad-data (98) u, barra minn hekk, iwettaq madwar 2000 investigazzjoni ex officio (99). Il-maġġoranza tal-ilmenti huma relatati mad-drittijiet ta’ aċċess għad-data u mal-iżvelar tagħha. Wara l-investigazzjonijiet tiegħu, il-Kummissarju qed jieħu miżuri ta’ infurzar f’firxa wiesgħa ta’ setturi. B’mod aktar speċifiku, skont l-aħħar rapport annwali tal-Kummissarju tal-Informazzjoni (2019-2020) (100), il-Kummissarju ħareġ 54 avviż ta’ informazzjoni, tmien avviżi ta’ valutazzjoni, seba' avviżi ta’ infurzar, erba' twissijiet, tmien prosekuzzjonijiet u 15-il multa matul il-perjodu ta’ rapportar (101).

(97) Dan jinkludi diversi penali monetarji sinifikanti imposti skont ir-Regolament (UE) 2016/679 u d-DPA 2018. B’mod partikolari, f’Ottubru 2020, il-Kummissarju tal-Informazzjoni mmulta lil kumpanija linja tal-ajru Brittanika £ 20 miljun għal ksur ta’ data li affettwa aktar minn 400 000 klijent. Fl-aħħar ta’ Ottubru 2020, katina internazzjonali tal-lukandi ġiet immultata £ 18,4 miljun talli naqset milli żżomm id-data personali ta’ miljuni ta’ klijenti sigura u, f’Novembru 2020, fornitur tas-servizzi Brittaniku li jbigħ online biljetti tal-avvenimenti ġie mmultat £ 1,25 miljun talli naqas milli jipproteġi d-dettalji tal-ħlas tal-klijenti (102).

(98) Minbarra s-setgħat ta’ infurzar tal-Kummissarju tal-Informazzjoni deskritti fil-premessa (92), ċerti tipi ta’ ksur tal-leġiżlazzjoni dwar il-protezzjoni tad-data jikkostitwixxu reati u, għalhekk, jistgħu jkunu soġġetti għal sanzjonijiet kriminali (it-Taqsima 196 tad-DPA 2018). Dan japplika, pereżempju, għall-kisba jew għall-iżvelar b’mod konxju jew imprudenti ta’ data personali mingħajr il-kunsens tal-kontrollur, għall-iżvelar ta’ data personali lil persuna oħra mingħajr il-kunsens tal-kontrollur (103), għall-identifikazzjoni mill-ġdid ta’ informazzjoni li tkun data personali deidentifikata mingħajr il-kunsens tal-kontrollur responsabbli għad-deidentifikazzjoni tad-data personali (104), għall-ostruzzjoni b’mod intenzjonali tas-setgħa tal-Kummissarju li jeżerċita s-setgħat tiegħu fir-rigward tal-ispezzjoni ta’ data personali f’konformità mal-obbligi internazzjonali (105), għal dikjarazzjonijiet foloz bi tweġiba għal avviż ta’ informazzjoni, jew għall-qerda ta’ informazzjoni b’rabta mal-avviżi ta’ informazzjoni u ta’ valutazzjoni (106).

2.6.3 Sorveljanza fuq il-ġudikatura

(99) Is-sorveljanza tal-ipproċessar ta’ data personali mill-qrati u mill-ġudikatura hija maqsuma f’żewġ livelli. Meta detentur ta’ uffiċċju ġudizzjarju jew qorti ma tkunx qed taġixxi f’kapaċità ġudizzjarja, is-sorveljanza tiġi pprovduta mill-ICO. Meta l-kontrollur ikun qed jopera f’kapaċità ġudizzjarja, l-ICO ma jistax jeżerċita l-funzjonijiet ta’ sorveljanza tiegħu (107) u s-sorveljanza titwettaq minn korpi speċjali. Dan jirrifletti l-approċċ meħud fir-Regolament (UE) 2016/679 (l-Artikolu 55(3)).

(100) B’mod partikolari, fit-tieni xenarju, għall-qrati tal-Ingilterra u ta’ Wales u għat-tribunali tal-Prim’Istanza u Superjuri tal-Ingilterra u ta’ Wales, tali sorveljanza tiġi pprovduta mill-Judicial Data Protection Panel (108). Barra minn hekk, il-Lord Chief Justice u s-Senior President of Tribunals ħarġu Avviż dwar il-Privatezza (109) li jistabbilixxi kif il-qrati fl-Ingilterra u f’Wales jipproċessaw data personali għal funzjoni ġudizzjarja. Inħareġ avviż simili mill-ġudikaturi tal-Irlanda ta’ Fuq (110) u tal-Iskozja (111).

(101) Barra minn hekk, fl-Irlanda ta’ Fuq, il-Lord Chief Justice of Northern Ireland ħatar imħallef tal-High Court bħala Data Supervisory Judge (DSJ) (112). Huwa ħareġ ukoll gwida għall-Ġudikatura tal-Irlanda ta’ Fuq dwar x’għandu jsir fil-każ ta’ telf jew ta’ telf potenzjali ta’ data u l-proċess sabiex tiġi indirizzata kwalunkwe kwistjoni li tirriżulta minn dan (113).

(102) Fl-Iskozja, il-Lord President ħatar Data Supervisory Judge sabiex jinvestiga kwalunkwe lment fuq il-bażi tal-protezzjoni tad-data. Dan huwa stabbilit skont ir-regoli dwar l-ilmenti ġudizzjarji li jirriflettu dawk stabbiliti għall-Ingilterra u għal Wales (114).

(103) Fl-aħħar nett, fis-Supreme Court, wieħed mis-Supreme Court Justices huwa nnominat sabiex jissorvelja l-protezzjoni tad-data.

2.6.4 Rimedju

(104) Sabiex jiġu żgurati l-protezzjoni adegwata u b’mod partikolari l-infurzar tad-drittijiet individwali, is-suġġett tad-data jenħtieġ li jingħata rimedju amministrattiv u ġudizzjarju effettiv, inkluż indennizz.

(105) L-ewwel, suġġett tad-data għandu d-dritt li jippreżenta lment lill-Kummissarju tal-Informazzjoni, jekk is-suġġett tad-data jqis li, b’rabta mad-data personali relatata miegħu, ikun seħħ ksur tal-GDPR tar-Renju Unit (115). Il-GDPR tar-Renju Unit iżomm ir-regoli fl-Artikolu 77 tar-Regolament (UE) 2016/679 dwar dak id-dritt mingħajr modifika materjali. L-istess japplika għall-Artikolu 57(1)(f) u (2) li jistabbilixxi l-kompiti tal-Kummissarju fir-rigward tat-trattament tal-ilmenti. Kif deskritt fil-premessi (92) sa (98) above, il-Kummissarju tal-Informazzjoni għandu s-setgħa li jivvaluta l-konformità tal-kontrollur u tal-proċessur mal-GDPR tar-Renju Unit u mad-DPA 2018, jeħtieġu jieħu jew iżomm lura milli jieħu l-passi meħtieġa f’każ ta’ nuqqas ta’ konformità u jimponi multi.

(106) It-tieni, il-GDPR tar-Renju Unit u d-DPA 2018 jipprovdu d-dritt għal rimedju kontra l-Kummissarju tal-Informazzjoni. Skont l-Artikolu 78(1) tal-GDPR tar-Renju Unit, individwu għandu dritt għal rimedju ġudizzjarju effettiv kontra deċiżjoni legalment vinkolanti tal-Kummissarju li tikkonċernah. Fil-kuntest tal-istħarriġ ġudizzjarju, l-imħallef jeżamina d-deċiżjoni li tiġi kkontestata fit-talba, u jqis jekk il-Kummissarju tal-Informazzjoni aġixxiex b’mod legali. Barra minn hekk, skont l-Artikolu 78(2) tal-GDPR tar-Renju Unit, jekk il-Kummissarju jonqos milli jittratta b’mod xieraq ilment magħmul mis-suġġett tad-data, (116) l-ilmentatur ikollu aċċess għal rimedju ġudizzjarju. Dan jista’ jitlob lil Tribunal tal-Prim’Istanza jordna lill-Kummissarju jieħu l-passi xierqa sabiex iwieġeb għall-ilment, jew sabiex jinforma lill-ilmentatur dwar il-progress fl-ilment (117). Barra minn hekk, kwalunkwe persuna li tiġi nnotifikata wieħed mill-avviżi msemmija hawn fuq (avviż ta’ informazzjoni, ta’ valutazzjoni, ta’ infurzar jew ta’ penali) mill-Kummissarju tista’ tappella quddiem Tribunal tal-Prim’Istanza (118). Jekk it-Tribunal iqis li d-deċiżjoni tal-Kummissarju ma hijiex konformi mal-liġi jew li l-Kummissarju tal-Informazzjoni missu eżerċita d-diskrezzjoni tiegħu b’mod differenti, it-Tribunal jeħtieġlu jippermetti l-appell, jew jissostitwixxi avviż jew deċiżjoni oħra li l-Kummissarju tal-Informazzjoni seta’ ta jew għamel.

(107) It-tielet, l-individwi jistgħu jiksbu rimedju ġudizzjarju kontra kontrolluri u proċessuri direttament quddiem il-qrati skont l-Artikolu 79 tal-GDPR tar-Renju Unit u t-Taqsima 167 tad-DPA 2018. Jekk, fuq applikazzjoni minn suġġett tad-data, qorti tkun sodisfatta li seħħ ksur tad-drittijiet tas-suġġett tad-data skont il-leġiżlazzjoni dwar il-protezzjoni tad-data, il-qorti tista’ tordna lill-kontrollur fir-rigward tal-ipproċessar, jew lil proċessur li jaġixxi f’isem dak il-kontrollur, sabiex jieħu passi speċifikati fl-ordni jew li jżomm lura milli jieħu passi speċifikati fl-ordni.

(108) Barra minn hekk, skont l-Artikolu 82 tal-GDPR tar-Renju Unit u t-Taqsima 168 tad-DPA 2018, kwalunkwe persuna li ġġarrab danni materjali jew mhux materjali bħala riżultat ta’ ksur tal-GDPR tar-Renju Unit għandha d-dritt li tirċievi kumpens mingħand il-kontrollur jew il-proċessur għad-dannu mġarrab. Ir-regoli dwar il-kumpens u r-responsabbiltà fl-Artikolu 82(1) – (5) tal-GDPR tar-Renju Unit huma identiċi għar-regoli korrispondenti fir-Regolament (UE) 2016/679. Skont it-Taqsima 168 tad-DPA 2018, danni mhux materjali jinkludu t-tbatija wkoll. Skont l-Artikolu 80 tal-GDPR tar-Renju Unit is-suġġett tad-data għandu wkoll dritt li jagħti mandat lil korp jew lil organizzazzjoni rappreżentattiva sabiex tippreżenta l-ilment lill-Kummissarju f’ismu (skont l-Artikolu 77 tal-GDPR tar-Renju Unit) u li teżerċita d-drittijiet imsemmija fl-Artikoli 78 (dritt għal rimedju ġudizzjarju effettiv kontra l-Kummissarju), 79 (dritt għal rimedju ġudizzjarju effettiv kontra kontrollur jew proċessur) u 82 (dritt għal kumpens u responsabbiltà) tal-GDPR tar-Renju Unit f’ismu.

(109) Ir-raba’, u minbarra l-mezzi għar-rimedju deskritti hawn fuq, kwalunkwe persuna li tqis li d-drittijiet tagħha, li jinkludu d-drittijiet għall-privatezza u għall-protezzjoni tad-data, inkisru minn awtoritajiet pubbliċi, tista’ tikseb rimedju quddiem il-qrati tar-Renju Unit skont il-Human Rights Act 1998 (119). Individwu li jiddikjara li awtorità pubblika aġixxiet (jew tipproponi li taġixxi) b’mod li ma jkunx kompatibbli ma’ dritt tal-Konvenzjoni, u konsegwentement illegali skont it-Taqsima 6(1) tal-Human Rights Act 1998, jista’ jiftaħ proċedimenti kontra l-awtorità quddiem il-qorti jew it-tribunal xieraq, jew jibbaża fuq id-drittijiet ikkonċernati fi kwalunkwe proċediment legali, meta jkun vittma tal-att illegali.

(110) Jekk il-qorti ssib li xi att ta’ awtorità pubblika jkun illegali, hija tista’ tagħti tali kumpens jew rimedju, jew tagħmel tali ordni, fis-setgħat tagħha kif tqis li jkun ġust u xieraq (120). Il-qorti tista’ tiddikjara wkoll li dispożizzjoni ta’ leġiżlazzjoni primarja tkun inkompatibbli ma’ dritt tal-Konvenzjoni.

(111) Fl-aħħar nett, wara li jeżawrixxi r-rimedji nazzjonali, individwu jista’ jikseb rimedju quddiem il-Qorti Ewropea tad-Drittijiet tal-Bniedem għal ksur tad-drittijiet iggarantiti mill-Konvenzjoni Ewropea dwar id-Drittijiet tal-Bniedem.

3. AĊĊESS U UŻU TA’ DATA PERSONALI TTRASFERITA MILL-UNJONI EWROPEA MINN AWTORITAJIET PUBBLIĊI FIR-RENJU UNIT

(112) Il-Kummissjoni vvalutat ukoll il-qafas legali tar-Renju Unit għall-ġbir u għall-użu sussegwenti ta’ data personali ttrasferita lil operaturi tan-negozju fir-Renju Unit minn awtoritajiet pubbliċi tar-Renju Unit fl-interess pubbliku, b’mod partikolari għal finijiet ta’ infurzar tad-dritt penali u tas-sigurtà nazzjonali (minn hawn ’il quddiem imsejħa “aċċess tal-gvern”). Fil-valutazzjoni ta’ jekk il-kundizzjonijiet li fihm l-aċċess tal-gvern għad-data ttrasferita lir-Renju Unit skont din id-Deċiżjoni jissodisfax it-test ta’ “ekwivalenza essenzjali” skont l-Artikolu 45(1) tar-Regolament (UE) 2016/679, kif interpretat mill-Qorti tal-Ġustizzja tal-Unjoni Ewropea fid-dawl tal-Karta tad-Drittijiet Fundamentali, il-Kummissjoni qieset b’mod partikolari l-kriterji li ġejjin.

(113) L-ewwel nett, kwalunkwe limitazzjoni għad-dritt għall-protezzjoni ta’ data personali trid tkun prevista fil-liġi u l-bażi ġuridika li tippermetti l-interferenza ma’ tali dritt trid tiddefinixxi hija stess il-kamp ta’ applikazzjoni tal-limitazzjoni fuq l-eżerċizzju tad-dritt ikkonċernat (121).

(114) It-tieni, sabiex jiġi ssodisfat ir-rekwiżit tal-proporzjonalità, li skont dan id-derogi mill-protezzjoni ta’ data personali u l-limitazzjonijiet għaliha jridu japplikaw biss sa fejn ikunu strettament meħtieġa f’soċjetà demokratika sabiex jintlaħqu objettivi speċifiċi ta’ interess ġenerali ekwivalenti għal dawk rikonoxxuti mill-Unjoni, il-leġiżlazzjoni tal-pajjiż terz inkwistjoni li tippermetti l-interferenza trid tistabbilixxi regoli ċari u preċiżi li jirregolaw il-kamp ta’ applikazzjoni u l-applikazzjoni tal-miżuri inkwistjoni u timponi salvagwardji minimi sabiex il-persuni li d-data tagħhom tkun ġiet ittrasferita jkollhom biżżejjed garanziji sabiex jipproteġu b’mod effettiv id-data personali tagħhom kontra r-riskju ta’ abbuż (122). B’mod partikolari, il-leġiżlazzjoni trid tindika f’liema ċirkustanzi u f’liema kundizzjonijiet tista’ tiġi adottata miżura li tipprovdi għall-ipproċessar ta’ tali data (123) kif ukoll soġġetta għall-issodisfar ta’ tali rekwiżiti għal sorveljanza indipendenti (124).

(115) It-tielet, dik il-leġiżlazzjoni trid tkun legalment vinkolanti skont id-dritt domestiku u dawn ir-rekwiżiti legali ma jistgħux ikunu vinkolanti biss fuq l-awtoritajiet, iżda għandhom ukoll ikunu eżekwibbli quddiem il-qrati kontra l-awtoritajiet tal-pajjiż terz inkwistjoni (125). B’mod partikolari, is-suġġetti tad-data jrid ikollhom il-possibbiltà li jieħdu azzjoni legali quddiem qorti indipendenti u imparzjali sabiex ikollhom aċċess għad-data personali tagħhom, jew sabiex jiksbu r-rettifika jew it-tħassir tat-tali data (126).

3.1 Qafas legali ġenerali

(116) Bħala eżerċizzju ta’ setgħa minn awtorità pubblika, l-aċċess tal-gvern fir-Renju Unit irid jitwettaq b’rispett sħiħ tal-liġi. Ir-Renju Unit irratifika l-Konvenzjoni Ewropea dwar id-Drittijiet tal-Bniedem (ara l-premessa (9)) u l-awtoritajiet pubbliċi kollha fir-Renju Unit huma meħtieġa jaġixxu f’konformità mal-Konvenzjoni (127). L-Artikolu 8 tal-Konvenzjoni jipprovdi li kwalunkwe interferenza mal-privatezza trid tkun f’konformità mal-liġi, fl-interessi ta’ wieħed mill-għanijiet stabbiliti fl-Artikolu 8(2), u b’mod proporzjonat fid-dawl ta’ dak l-għan. L-Artikolu 8 jeħtieġ ukoll li l-interferenza tkun "prevedibbli", jiġifieri jkun hemm bażi ċara, aċċessibbli fil-liġi, u li l-liġi jkun fiha salvagwardji xierqa għall-prevenzjoni tal-abbuż.

(117) Barra minn hekk, fil-ġurisprudenza tagħha, il-Qorti Ewropea tad-Drittijiet tal-Bniedem speċifikat li jenħtieġ li kwalunkwe interferenza mad-dritt għall-privatezza u għall-protezzjoni tad-data tkun soġġetta għal sistema ta’ sorveljanza effettiva, indipendenti u imparzjali li trid tiġi stabbilita jew minn imħallef jew minn korp indipendenti ieħor (128) (eż. awtorità amministrattiva jew korp parlamentari).

(118) Barra minn hekk, l-individwi jeħtiġilhom jiġu pprovduti b’rimedju effettiv, u l-Qorti Ewropea tad-Drittijiet tal-Bniedem iċċarat li r-rimedju jrid jiġi offrut minn korp indipendenti u imparzjali li jkun adotta r-regoli ta’ proċedura tiegħu stess, li jikkonsisti minn membri li jeħtieġ li jkollhom jew kellhom kariga ġudizzjarja għolja jew ikunu avukati tal-esperjenza, u li ma jista’ jkun hemm l-ebda oneru tal-evidenza li għandu jingħeleb sabiex tiġi ppreżentata talba quddiemu. Fit-twettiq tal-eżami tiegħu tal-ilmenti minn individwi, il-korp indipendenti u imparzjali jenħtieġ li jkollu aċċess għall-informazzjoni rilevanti kollha, inklużi materjali magħluqa. Fl-aħħar nett, jenħtieġ li jkollu s-setgħat li jirrimedja n-nuqqas ta’ konformità (129).

(119) Ir-Renju Unit irratifika wkoll il-Konvenzjoni tal-Kunsill tal-Ewropa għall-Protezzjoni ta’ Individwi fir-rigward tal-Ipproċessar Awtomatiku ta’ Data Personali (Konvenzjoni 108), u ffirma l-Protokoll li jemenda l-Konvenzjoni għall-Protezzjoni ta’ Individwi fir-rigward tal-Ipproċessar Awtomatiku ta’ Data Personali (magħruf bħala l-Konvenzjoni 108+) fl-2018 (130). L-Artikolu 9 tal-Konvenzjoni 108 jipprovdi li derogi mill-prinċipji ġenerali tal-protezzjoni tad-data (Artikolu 5 Kwalità tad-data), ir-regoli li jirregolaw kategoriji speċjali ta’ data (Artikolu 6 Kategoriji speċjali ta’ data) u d-drittijiet tas-suġġett tad-data (Artikolu 8 Salvagwardji addizzjonali għas-suġġett tad-data) ikunu permissibbli biss meta tali deroga tkun prevista mid-dritt tal-Parti u tikkostitwixxi miżura neċessarja f’soċjetà demokratika fl-interessi tal-protezzjoni tas-sigurtà tal-Istat, tas-sigurtà pubblika, tal-interessi monetarji tal-Istat jew tas-soppressjoni ta’ reati kriminali, jew għall-protezzjoni tas-suġġett tad-data jew tad-drittijiet u tal-libertajiet ta’ oħrajn (131).

(120) Għalhekk, permezz tas-sħubija tal-Kunsill tal-Ewropa, l-aderenza għall-Konvenzjoni Ewropea dwar id-Drittijiet tal-Bniedem u s-sottomissjoni għall-ġurisdizzjoni tal-Qorti Ewropea tad-Drittijiet tal-Bniedem, ir-Renju Unit huwa soġġett għal numru ta’ obbligi, imnaqqxa fid-dritt internazzjonali, li jinkwadraw is-sistema tiegħu ta’ aċċess tal-gvern fuq il-bażi ta’ prinċipji, ta’ salvagwardji u ta’ drittijiet individwali simili għal dawk iggarantiti skont id-dritt tal-UE u applikabbli għall-Istati Membri. Għalhekk, kif enfasizzat fil-premessa (19), aderenza kontinwa għal tali strumenti hija element partikolarment importanti tal-valutazzjoni li fuqha hija bbażata din id-Deċiżjoni.

(121) Barra minn hekk, salvagwardji u drittijiet speċifiċi tal-protezzjoni tad-data huma ggarantiti mid-DPA 2018 meta d-data tiġi pproċessata mill-awtoritajiet pubbliċi, inkluż mill-korpi tal-infurzar tal-liġi u tas-sigurtà nazzjonali.

(122) B’mod partikolari, ir-reġim għall-ipproċessar ta’ data personali fil-kuntest tal-infurzar tad-dritt penali huwa stabbilit fil-Parti 3 tad-DPA 2018, li ġiet ippromulgata sabiex tittrasponi d-Direttiva (UE) 2016/680. Il-Parti 3 tad-DPA 2018 tapplika għall-ipproċessar ta’ data personali minn awtoritajiet kompetenti għall-finijiet tal-prevenzjoni, tal-investigazzjoni, tas-sejbien jew tal-prosekuzzjoni ta’ reati kriminali jew tal-eżekuzzjoni ta’ pieni kriminali, inklużi s-salvagwardja kontra u l-prevenzjoni ta’ theddidiet għas-sigurtà pubblika (132).

(123) Il-kunċett ta’ “awtorità kompetenti” huwa definit fit-Taqsima 30 tad-DPA bħala persuna elenkata fl-Iskeda 7 tad-DPA 2018 kif ukoll kwalunkwe persuna oħra sal-punt li l-persuna għandha funzjonijiet statutorji għal kwalunkwe wieħed mill-iskopijiet tal-infurzar tal-liġi (133). Kif spjegat hawn taħt (ara l-premessa (139)), ċerti awtoritajiet kompetenti (pereżempju n-National Crime Agency) jistgħu jużaw, taħt ċerti kundizzjonijiet, is-setgħat ipprovduti mill-Investigatory Power Act 2016 (IPA 2016). F’dan il-każ, is-salvagwardji pprovduti mill-IPA 2016 se japplikaw flimkien ma’ dawk ipprovduti mill-Parti 3 tad-DPA 2018. Is-servizzi tal-intelligence (is-Servizz tal-Intelligence Sigriet, is-Servizz tas-Sigurtà u l-Kwartieri Ġenerali tal-Komunikazzjonijiet tal-Gvern) mhumiex “awtoritajiet kompetenti” (134) li jaqgħu taħt il-Parti 3 tad-DPA 2018 u, għalhekk, ir-regoli pprovduti fiha ma japplikaw għall-ebda waħda mill-attivitajiet tagħhom. Parti speċifika tad-DPA 2018 (Parti 4) hija ddedikata għall-ipproċessar ta’ data personali mis-servizzi ta’ intelligence (għal aktar dettalji ara l-premessa (125)).

(124) B’mod simili għad-Direttiva (UE) 2016/680, il-Parti 3 tad-DPA 2018 tistabbilixxi l-prinċipji tal-legalità u tal-ġustizzja (135), tal-limitazzjoni tal-fini (136), tal-minimizzazzjoni tad-data (137), tal-preċiżjoni (138), tal-limitazzjoni tal-ħżin (139) u tas-sigurtà (140). Il-leġiżlazzjoni timponi obbligi speċifiċi ta’ trasparenza (141) u tipprovdi lill-individwi bi dritt ta’ aċċess (142), ta’ rettifika u ta’ tħassir (143) u bid-dritt li ma jkunux soġġetti għal teħid awtomatizzat ta’ deċiżjonijiet (144). L-awtoritajiet kompetenti huma meħtieġa wkoll jimplimentaw il-protezzjoni tad-data mid-disinn u b’mod awtomatiku, iżommu rekords tal-attivitajiet ta’ pproċessar, u, għal ċerti operazzjonijiet ta’ pproċessar, iwettqu valutazzjonijiet tal-impatt fuq il-protezzjoni tad-data u jikkonsultaw minn qabel lill-Kummissarju tal-Informazzjoni (145). Skont it-Taqsima 56 tad-DPA 2018, dawn huma meħtieġa juru l-konformità. Barra minn hekk, huma meħtieġa jistabbilixxu miżuri xierqa sabiex jiżguraw is-sigurtà tal-ipproċessar (146) u huma soġġetti għal obbligi speċifiċi f’każ ta’ ksur ta’ data, inkluża n-notifika ta’ tali ksur lill-Kummissarju tal-Informazzjoni u lis-suġġetti tad-data (147). Kif inhu l-każ fid-Direttiva (UE) 2016/680, hemm ukoll rekwiżit għal kontrollur (sakemm ma jkunx qorti jew awtorità ġudizzjarja oħra li taġixxi f’kapaċità ġudizzjarja) li jaħtar uffiċjal tal-protezzjoni tad-data (UPD) (148) li jassisti lill-kontrollur fil-konformità mal-obbligi tiegħu kif ukoll fil-monitoraġġ ta’ dik il-konformità (149). Barra minn hekk, il-leġiżlazzjoni timponi rekwiżiti speċifiċi għat-trasferimenti internazzjonali ta’ data personali għall-finijiet ta’ infurzar tal-liġi lil pajjiżi terzi jew lil organizzazzjonijiet internazzjonali sabiex tiġi żgurata l-kontinwità tal-protezzjoni (150). Fl-istess data bħal din id-Deċiżjoni, il-Kummissjoni adottat deċiżjoni ta’ adegwatezza fuq il-bażi tal-Artikolu 36(3) tad-Direttiva (UE) 2016/680, li sabet li r-reġim ta’ protezzjoni tad-data applikabbli għall-ipproċessar mill-awtoritajiet tal-infurzar tad-dritt penali tar-Renju Unit jiżgura livell ta’ protezzjoni essenzjalment ekwivalenti għal dak iggarantit mid-Direttiva (UE) 2016/680.

(125) Il-Parti 4 tad-DPA 2018 tapplika għall-ipproċessar kollu mis-servizzi tal-intelligence jew f’isimhom. B’mod partikolari, tistabbilixxi l-prinċipji ewlenin tal-protezzjoni tad-data (legalità, ġustizzja u trasparenza (151); limitazzjoni tal-iskop (152); minimizzazzjoni tad-data (153); preċiżjoni (154); limitazzjoni (155) u sigurtà (156) tal-ħżin), timponi kundizzjonijiet fuq l-ipproċessar ta’ kategoriji speċjali ta’ data (157), tipprovdi għal drittijiet tas-suġġett tad-data (158), teħtieġ protezzjoni tad-data mid-disinn (159) u tirregola t-trasferimenti internazzjonali ta’ data personali (160). L-ICO reċentement ħarġet gwida dettaljata dwar l-ipproċessar mill-aġenziji tal-intelligence skont il-Parti 4 tad-DPA 2018 (161).

(126) Fl-istess ħin, it-Taqsima 110 tad-DPA 2018 tipprovdi għal eżenzjoni minn dispożizzjonijiet speċifikati fil-Parti 4 tad-DPA 2018 (162) meta tali eżenzjoni tkun meħtieġa għas-salvagwardja tas-sigurtà nazzjonali. Din l-eżenzjoni tista’ tiġi invokata fuq il-bażi ta’ analiżi każ b’każ (163). Kif spjegat mill-awtoritajiet tar-Renju Unit u kkonfermat mill-ġurisprudenza, “kontrollur jeħtieġlu jqis il-konsegwenzi attwali għas-sigurtà jew għad-difiża nazzjonali li kieku jkollu jikkonforma mad-dispożizzjoni partikolari dwar il-protezzjoni tad-data, u jekk ikunx jista’ jikkonforma b’mod raġonevoli mar-regola tas-soltu mingħajr ma jaffettwa s-sigurtà jew id-difiża nazzjonali” (164). Jekk l-eżenzjoni ntużatx kif xieraq jew le huwa soġġett għas-sorveljanza tal-ICO (165).

(127) Barra minn hekk, fir-rigward tal-possibbiltà li tiġi ristretta għall-protezzjoni tas-“sigurtà nazzjonali”, l-applikazzjoni ta’ dawn id-dispożizzjonijiet speċifikati hawn fuq, skont it-Taqsima 111 tad-DPA 2018, kontrollur jista’ japplika għal ċertifikat iffirmat minn Ministru tal-Kabinett jew mill-Avukat Ġenerali li jiċċertifika li restrizzjoni ta’ dawn id-drittijiet hija miżura neċessarja u proporzjonata għall-protezzjoni tas-sigurtà nazzjonali (166).

(128) Il-gvern tar-Renju Unit ħareġ gwida sabiex jassisti lill-kontrolluri meta jikkunsidraw jekk japplikawx għal ċertifikat tas-sigurtà nazzjonali skont id-DPA 2018, li tenfasizza b’mod partikolari li kwalunkwe limitazzjoni għad-drittijiet tas-suġġetti tad-data għas-salvagwardja tas-sigurtà nazzjonali trid tkun proporzjonata u meħtieġa (167). Iċ-ċertifikati tas-sigurtà nazzjonali kollha jridu jiġu ppubblikati fuq is-sit web tal-ICO (168).

(129) Iċ-ċertifikat jenħtieġ li jkun għal durata fissa ta’ mhux aktar minn ħames snin, b’tali mod li jiġi rrieżaminat regolarment mill-Eżekuttiv (169). Ċertifikat għandu jidentifika d-data personali jew kategoriji ta’ data personali soġġetti għall-eżenzjoni kif ukoll id-dispożizzjonijiet tad-DPA 2018 li għalihom tapplika l-eżenzjoni (170).

(130) Huwa importanti li wieħed jinnota li ċ-ċertifikati ta’ sigurtà nazzjonali ma jipprevedux raġuni addizzjonali għar-restrizzjoni tad-drittijiet tal-protezzjoni tad-data għal raġunijiet ta’ sigurtà nazzjonali. Fi kliem ieħor, il-kontrollur jew il-proċessur jista’ jibbaża biss fuq ċertifikat meta jkun ikkonkluda li jkun meħtieġ li wieħed jibbaża fuq l-eżenzjoni tas-sigurtà nazzjonali li, kif spjegat aktar ’il fuq, trid tiġi applikata fuq bażi ta’ każ b’każ (171). Anki jekk ċertifikat tas-sigurtà nazzjonali jkun japplika għall-kwistjoni inkwistjoni, l-ICO jista’ jinvestiga jekk id-dipendenza fuq l-eżenzjoni mis-sigurtà nazzjonali kinitx iġġustifikata f’każ speċifiku (172).

(131) Kwalunkwe persuna affettwata direttament mill-ħruġ taċ-ċertifikat tista’ tappella quddiem l-Upper Tribunal (173) kontra ċ-ċertifikat (174) jew, meta ċ-ċertifikat jidentifika data permezz ta’ deskrizzjoni ġenerali, tikkontesta l-applikazzjoni taċ-ċertifikat għal data speċifika (175). It-tribunal jistħarreġ id-deċiżjoni li jinħareġ ċertifikat u jiddeċiedi jekk kienx hemm motivazzjonijiet raġonevoli għall-ħruġ taċ-ċertifikat (176). Jista’ jikkunsidra firxa wiesgħa ta’ kwistjonijiet, inklużi n-neċessità, il-proporzjonalità u l-legalità, filwaqt li jqis l-impatt fuq id-drittijiet tas-suġġetti tad-data u jibbilanċja l-ħtieġa li tiġi ssalvagwardjata s-sigurtà nazzjonali. B’riżultat ta’ dan, it-tribunal jista’ jiddetermina li ċ-ċertifikat ma japplikax għal data personali speċifika li hija s-suġġett tal-appell (177).

(132) Sett differenti ta’ restrizzjonijiet possibbli jikkonċerna dawk li japplikaw, taħt l-Iskeda 11 tad-DPA 2018, għal ċerti dispożizzjonijiet tal-Parti 4 tad-DPA 2018 (178) sabiex jissalvagwardjaw objettivi importanti oħrajn ta’ interess pubbliku ġenerali jew interessi protetti bħal, pereżempju, il-privileġġ parlamentari, il-privileġġ professjonali legali, it-tmexxija ta’ proċedimenti ġudizzjarji jew l-effettività tal-kombattiment tal-forzi armati (179). L-applikazzjoni ta’ dawn id-dispożizzjonijiet hija jew eżentata għal ċerti kategoriji ta’ informazzjoni (“fuq il-bażi tal-klassi”), jew eżentata fejn l-applikazzjoni ta’ dawn id-dispożizzjonijiet x’aktarx li tippreġudika l-interess protett (“fuq il-bażi tal-preġudizzju”) (180). L-eżenzjonijiet ibbażati fuq il-preġudizzju jistgħu jiġu invokati biss sa fejn l-applikazzjoni tad-dispożizzjoni dwar il-protezzjoni tad-data elenkata x’aktarx li tippreġudika l-interess speċifiku inkwistjoni. Għalhekk, l-użu ta’ eżenzjoni dejjem irid ikun iġġustifikat billi ssir referenza għall-preġudizzju rilevanti li x’aktarx iseħħ fil-każ individwali. L-eżenzjonijiet fuq il-bażi tal-klassi jistgħu jiġu invokati biss fir-rigward tal-kategorija speċifika u ddefinita b’mod ristrett ta’ informazzjoni li għaliha tingħata l-eżenzjoni. Dawn huma simili fl-iskop u fl-effett għal diversi eċċezzjonijiet għall-GDPR tar-Renju Unit (taħt l-Iskeda 2 tad-DPA 2018) li, min-naħa tagħhom, jirriflettu dawk previsti fl-Artikolu 23 tal-GDPR.

(133) Minn dan ta’ hawn fuq isegwi li l-limitazzjonijiet u l-kundizzjonijiet huma fis-seħħ skont id-dispożizzjonijiet legali applikabbli tar-Renju Unit, kif interpretati wkoll mill-qrati u mill-Information Commission, sabiex jiġi żgurat li dawn l-eżenzjonijiet u r-restrizzjonijiet jibqgħu fil-limiti ta’ dak li jkun meħtieġ u proporzjonat sabiex tiġi protetta s-sigurtà nazzjonali.

3.2 Aċċess u użu mill-awtoritajiet pubbliċi tar-Renju Unit għall-finijiet ta’ infurzar tad-dritt penali

(134) Id-dritt tar-Renju Unit jimponi numru ta’ limitazzjonijiet fuq l-aċċess u fuq l-użu ta’ data personali għall-finijiet ta’ infurzar tad-dritt penali, u jipprovdi mekkaniżmi ta’ sorveljanza u ta’ rimedju f’dan il-qasam li huma konformi mar-rekwiżiti msemmija fil-premessi (113) sa (115) ta’ din id-deċiżjoni. Il-kundizzjonijiet li fihom jista’ jseħħ dan l-aċċess u s-salvagwardji applikabbli għall-użu ta’ dawn is-setgħat huma vvalutati fid-dettall fit-taqsimiet li ġejjin.

3.2.1 Bażijiet ġuridiċi u limitazzjonijiet/salvagwardji applikabbli

(135) Skont il-prinċipju tal-legalità ggarantit skont it-Taqsima 35 tad-DPA 2018, l-ipproċessar ta’ data personali għal kwalunkwe wieħed mill-finijiet tal-infurzar tal-liġi jkun legali biss jekk ik