KONKLUŻJONIJIET TAL-AVUKAT ĠENERALI

SAUGMANDSGAARD ØE

ippreżentati fid‑19 ta’ Diċembru 2019 ( 1 )

Kawża C‑311/18

Data Protection Commissioner

vs

Facebook Ireland Limited,

Maximillian Schrems,

fil-preżenza ta’:

The United States of America,

Electronic Privacy Information Centre,

BSA Business Software Alliance, Inc.,

Digitaleurope

(talba għal deċiżjoni preliminari mressqa mill-High Court (il-Qorti Għolja, l-Irlanda))

“Rinviju għal deċiżjoni preliminari – Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament (UE) 2016/679 – Artikolu 2(2) – Kamp ta’ applikazzjoni – Trasferiment ta’ data personali għal skopijiet kummerċjali lejn l-Istati Uniti – Ipproċessar tad-data ttrasferita mill-awtoritajiet pubbliċi tal-Istati Uniti, għal skopijiet ta’ sigurtà nazzjonali – Artikolu 45 – Evalwazzjoni tal-adegwatezza tal-livell ta’ protezzjoni żgurat f’pajjiż terz – Artikolu 46 – Salvagwardji xierqa offruti mill-kontrollur tad-data – Klawżoli standard ta’ protezzjoni – Artikolu 58(2) – Setgħat tal-awtoritajiet nazzjonali ta’ kontroll – Deċiżjoni 2010/87/UE – Validità – Deciżjoni (UE) 2016/1250 – ‘Ħarsien tal-Privatezza UE‑U.S.’ – Validità – Artikoli 7, 8 u 47 tal-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea”

Werrej

I. Introduzzjoni II. Il-kuntest ġuridiku A. Id-Direttiva 95/46/KE B. Il-GDPR C. Id-Deċiżjoni 2010/87 D. Id-Deċiżjoni “Ħarsien tal-privatezza” III. Il-kawża prinċipali, id-domandi preliminari u l-proċedimenti quddiem il-Qorti tal-Ġustizzja IV. Analiżi A. Kunsiderazzjonijiet preliminari B. Fuq l-ammissibbiltà tar-rinviju għal deċiżjoni preliminari 1. Fuq l-applikabbiltà ratione temporis tad-Direttiva 95/46 2. Fuq in-natura provviżorja tad-dubji espressi mid-DPC 3. Fuq l-inċertezzi dwar id-definizzjoni tal-kuntest fattwali C. Fuq l-applikabbiltà tad-dritt tal-Unjoni għat-trasferimenti għal skopijiet kummerċjali ta’ data personali lejn Stat terz li jista’ jipproċessaha għal skopijiet ta’ sigurtà nazzjonali (l-ewwel domanda) D. Fuq il-livell ta’ protezzjoni meħtieġ għal trasferiment ibbażat fuq klawżoli kuntrattwali standard (l-ewwel parti tas-sitt domanda) E. Fuq il-validità tad-Deċiżjoni 2010/87 fid-dawl tal-Artikoli 7, 8 u 47 tal-Karta (is-seba’, it-tmien u l-ħdax‑il domanda) 1. Fuq l-obbligi tal-kontrolluri 2. Fuq l-obbligi li għandhom l-awtoritajiet superviżorji F. Fuq l-assenza tal-ħtieġa li tingħata risposta għad-domandi preliminari l-oħrajn u li tiġi eżaminata l-validità tad-Deċiżjoni “Ħarsien tal-privatezza” 1. Fuq l-assenza ta’ ħtieġa tar-risposti tal-Qorti tal-Ġustizzja fir-rigward tas-suġġett tal-kawża prinċipali 2. Fuq ir-raġunijiet għalfejn il-Qorti tal-Ġustizzja ma għandhiex teżamina s-suġġett tal-proċedura pendenti quddiem id-DPC G. Osservazzjonijiet sussidjarji dwar l-effetti u l-validità tad-Deċiżjoni “Ħarsien tal-privatezza” 1. Fuq l-impatt tad-Deċiżjoni “Ħarsien tal-privatezza” fil-kuntest tat-trattament minn awtorità superviżorja ta’ lment dwar il-legalità ta’ trasferiment ibbażat fuq salvagwardji kuntrattwali 2. Fuq il-validità tad-Deċiżjoni “Ħarsien tal-privatezza” a) Preċiżazzjonijiet dwar il-kontenut tal-eżami tal-validità ta’ deċiżjoni ta’ adegwatezza 1) Fuq it-termini tal-paragun li jippermettu l-evalwazzjoni tal-“ekwivalenza sostanzjali” tal-livell ta’ protezzjoni 2) Fuq il-ħtieġa li jiġi żgurat livell adegwat ta’ protezzjoni waqt il-fażi tat-tranżitu tad-data 3) Fuq it-teħid inkunsiderazzjoni tal-konstatazzjonijiet fattwali magħmula mill-Kummissjoni u mill-qorti tar-rinviju dwar id-dritt tal-Istati Uniti 4) Fuq il-portata tal-istandard tal-“ekwivalenza sostanzjali” b) Fuq il-validità tad-Deċiżjoni “Ħarsien tal-privatezza” fid-dawl tad-drittijiet għar-rispett tal-privatezza u għall-protezzjoni tad-data personali 1) Fuq l-eżistenza ta’ interferenza 2) Fuq in-natura “prevista mil-liġi” tal-interferenzi 3) Fuq l-assenza ta’ ksur tal-kontenut essenzjali tad-drittijiet fundamentali 4) Fuq it-tiftixa ta’ għan leġittimu 5) Fuq in-neċessità u l-proporzjonalità tal-interferenzi c) Fuq il-validità tad-Deċiżjoni “Ħarsien tal-privatezza” fid-dawl tad-dritt għal rimedju effettiv 1) Fuq l-effettività tar-rimedji ġudizzjarji previsti mid-dritt tal-Istati Uniti 2) Fuq l-impatt tal-mekkaniżmu tal-Ombudsman fuq il-livell ta’ protezzjoni tad-dritt għar-rimedju effettiv V. Konklużjoni

I. Introduzzjoni

1. Fin-nuqqas ta’ salvagwardji komuni fil-qasam tal-protezzjoni tad-data personali fuq livell dinji, il-flussi transkonfinali ta’ din id-data jkunu akkumpanjati minn riskju ta’ waqfien fil-kontinwità tal-livell ta’ protezzjoni żgurat fi ħdan l-Unjoni Ewropea. Sabiex jiffaċilita dawn il-flussi filwaqt li jillimita dan ir-riskju, il-leġiżlatur tal-Unjoni stabbilixxa tliet mekkaniżmi li taħthom id-data personali tista’ tiġi ttrasferita mill-Unjoni lejn Stat terz.

2. Fl-ewwel lok, tali trasferiment jista’ jsir abbażi ta’ deċiżjoni li permezz tagħha l-Kummissjoni Ewropea tikkonstata li l-Istat terz inkwistjoni jiżgura “livell adegwat ta’ protezzjoni” tad-data li tiġi ttrasferita lejh ( 2 ). Fit-tieni lok, fl-assenza ta’ tali deċiżjoni, it-trasferiment jiġi awtorizzat meta jkun kopert minn “salvagwardji xierqa” ( 3 ). Dawn is-salvagwardji jistgħu jieħdu l-forma ta’ kuntratt bejn l-esportatur u l-importatur tad-data li jinkludi klawżoli standard ta’ protezzjoni adottati mill-Kummissjoni. Il-GDPR jipprevedi, fit-tielet lok, ċerti derogi, ibbażati b’mod partikolari fuq il-kunsens tal-persuna kkonċernata, li jippermettu t-trasferiment lejn pajjiż terz anki fin-nuqqas ta’ deċiżjoni ta’ adegwatezza jew ta’ salvagwardji xierqa ( 4 ).

3. It-talba għal deċiżjoni preliminari mressqa mill-High Court (il-Qorti Għolja, l-Irlanda) tirrigwarda t-tieni wieħed minn dawn il-mekkaniżmi. Din tirrigwarda, b’mod iktar preċiż, il-validità tad-Deċiżjoni 2010/87/UE ( 5 ), li permezz tagħha l-Kummissjoni stabbilixxiet klawżoli kuntrattwali standard għal ċerti kategoriji ta’ trasferimenti, fid-dawl tal-Artikoli 7, 8 u 47 tal-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea (iktar ’il quddiem il-“Karta”).

4. Din it-talba tressqet fil-kuntest ta’ tilwima bejn, minn naħa, id-Data Protection Commissioner (il-Kummissarju għall-Protezzjoni tad-Data, l-Irlanda, iktar ’il quddiem, id-“DPC”) u, min-naħa l-oħra, Facebook Ireland Ltd u Maximillian Schrems. Dan tal-aħħar ressaq, mad-DPC, ilment dwar it-trasferiment ta’ data personali li tikkonċernah minn Facebook Ireland lil Facebook Inc., il-kumpannija omm tagħha stabbilita fl-Istati Uniti tal-Amerika (iktar ’il quddiem, l-“Istati Uniti”). Id-DPC iqis li l-ipproċessar ta’ dan l-ilment jiddependi mill-kwistjoni dwar jekk id-Deċiżjoni 2010/87 hijiex valida. F’dan il-kuntest, huwa adixxa lill-qorti tar-rinviju billi talabha tistaqsi lill-Qorti tal-Ġustizzja dwar dan.

5. Niddikjara mill-ewwel li, fil-fehma tiegħi, l-eżami tad-domandi preliminari ma żvela l-ebda fattur li jista’ jaffettwa l-validità tad-Deċiżjoni 2010/87.

6. Barra minn hekk, il-qorti tar-rinviju qajmet ċerti dubji dwar, essenzjalment, l-adegwatezza tal-livell ta’ protezzjoni żgurat mill-Istati Uniti fid-dawl tal-interferenzi li l-attivitajiet tal-awtoritajiet tal-intelligence Amerikani joħolqu fl-eżerċizzju tad-drittijiet fundamentali tal-persuni li d-data tagħhom tiġi ttrasferita lejn dan il-pajjiż terz. Dawn id-dubji indirettament jikkontestaw l-evalwazzjonijiet li għamlet il-Kummissjoni dwar dan is-suġġett fid-Deċiżjoni ta’ Implimentazzjoni (UE) 2016/1250 ( 6 ). Għalkemm ir-riżoluzzjoni tat-tilwima fil-kawża prinċipali ma tirrikjedix li l-Qorti tal-Ġustizzja tiddeċiedi din il-kwistjoni u jien nissuġġerilha għalhekk li toqgħod lura milli tagħmel dan, ser nindika sussidjarjament ir-raġunijiet li jwassluni biex niddubita dwar il-validità ta’ din id-deċiżjoni.

7. L-analiżi kollha tiegħi ser tkun iggwidata mit-tfittxija għal bilanċ bejn, minn naħa, il-ħtieġa li jintwera “grad ta’ pragmatiżmu raġonevoli li jippermetti interazzjoni mal-bqija tad-dinja” ( 7 ) u, min-naħa l-oħra, dik li jiġu affermati l-valuri fundamentali rrikonoxxuti fl-ordinamenti ġuridiċi tal-Unjoni u tal-Istati Membri tagħha, b’mod partikolari mill-Karta.

II. Il-kuntest ġuridiku

A. Id-Direttiva 95/46/KE

8. L-Artikolu 3(2) tad-Direttiva 95/46/KE dwar il-protezzjoni ta’ individwi fir-rigward ta’ l-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ dik id-data ( 8 ) kien jipprovdi: “Din id-Direttiva m’għandhiex tapplika għall-ipproċessar ta’ data personali: – fil-kors ta’ attività li ma tkunx skond il-finijiet ta’ liġi tal-Komunità, bħalma huma dawk provduti fit-Titoli V u VI tat-Trattat dwar l-Unjoni Ewropea, u fi kwalunkwe każ għal operazzjonijiet ta’ ipproċessar dwar sigurtà pubblika, difiża, sigurtà ta’ l-Istat (magħdud il-ġid ekonomiku ta’ l-Istat meta l-operazzjoni ta’ l-ipproċessar tkun dwar materji ta’ sigurtà ta’ l-Istat) u l-attivitajiet ta’ l-Istat fl-oqsma tal-liġi kriminali, – […]”

9. L-Artikolu 13(1) ta’ din id-direttiva kien ifformulat kif ġej: “Stati Membri jistgħu jadottaw miżuri leġislattivi biex jirrestrinġu l-finijiet ta’ l-obbligazzjonijiet u d-drittijiet provduti fl-Artikoli 6(1), 10, 11 (1), 12 u 21 meta dawn ir-restrizzjonijiet jikkostitwixxu miżuri meħtieġa li jagħtu protezzjoni lil: (a) sigurtà nazzjonali; (b) difiża; (ċ) sigurtà pubblika; (d) prevenzjoni, investigazzjoni, sejbien u prosekuzzjoni ta’ offiżi kriminali jew il-ksur ta’ etika ta’ professjonijiet regolati; (e) interess ekonomiku jew finanzjarju ta’ importanza għal Stat Membru jew għall-[Unjoni], magħduda affarijiet monetarji, fiskali [baġitarji] jew ta’ l-estmi [fiskali]; (f) [funzjoni ta’] monitoraġġ, spezzjoni jew funzjoni regolatorja marbuta, ukoll jekk kultant, ma’ l-eżerċizzju ta’ awtorità uffiċjali fil-każi msemmija f’ (ċ), (d) u (e); (g) il-protezzjoni tas-suġġett tad-data jew tad-drittijiet u l-libertajiet ta’ l-oħrajn.”

10. L-Artikolu 25 tal-imsemmija direttiva kien jgħid: “1. L-Istati Membri għandhom jipprovdu li t-trasferiment lil pajjiż terz ta’ data personali li tkun qed tiġi pproċessata jew li tkun maħsuba li tiġi pproċessata wara trasferiment jista’ jsir biss jekk, bla ħsara għal konformità mad-dispożizzjonijiet nazzjonali adottati skond id-dispożizzjonijiet l-oħra ta’ din id-Direttiva, il-pajjiż terz jassigura livell adekwat ta’ protezzjoni. 2. Jekk il-livell ta’ protezzjoni mogħti minn pajjiż terz ikunx adekwat għandu jiġi eżaminat fid-dawl taċ-ċirkostanzi kollha li jkollhom x’jaqsmu ma’ operazzjoni ta’ trasferiment ta’ data jew sett ta’ operazzjonijiet ta’ trasferiment ta’ data; għandu jittieħed kont partikolarment tan-natura tad-data, l-għan u t-tul ta’ żmien ta’ l-operazzjoni jew operazzjonijiet proposti ta’ l-ipproċessar, il-pajjiż ta’ oriġini u l-pajjiż tad-destinazzjoni finali, ir-regoli tal-liġi, kemm ġenerali kif ukoll settorjali, fis-seħħ fil-pajjiż terz in kwistjoni u r-regoli professjonali u l-miżuri ta’ sigurtà li jitħarsu f’dak il-pajjiż. […] 6. Il-Kummissjoni tista’ tikkonkludi, skond il-proċedura msemmija fl-Artikolu 31(2), li pajjiż terz ikun qed jassigura livell adekwat ta’ protezzjoni skond it-tifsira tal-paragrafu 2 ta’ dan l-Artikolu, permezz tal-liġi domestika tiegħu jew ta’ l-impenji internazzjonali li jkun daħal għalihom, partikolarment meta jintemmu n-negozjati msemmija fil-paragrafu 5, għall-protezzjoni tal-ħajja privata u tal-libertajiet u d-drittijiet bażiċi ta’ l-individwu. Stati Membri għandhom jieħdu l-miżuri meħtieġa biex ikunu konformi mad-deċiżjoni tal-Kummissjoni.”

11. L-Artikolu 26(2) u (4) tal-istess direttiva kien jipprovdi: “2. Bla ħsara għall-paragrafu 1, Stat Membru jista’ jawtorizza trasferiment jew sett ta’ trasferimenti ta’ data personali lil pajjiż terz li ma jassigurax livell adekwat ta’ protezzjoni skond it-tifsira ta’ l-Artikolu 25(2), meta l-kontrollur jipprovdi ħarsien biżżejjed għall-protezzjoni tal-ħajja privata u tad-drittijiet u l-libertajiet fundamentali ta’ l-individwu u għall-eżerċizzju tad-drittijiet relattivi; ħarsien bħal dak jista’ partikolarment jirriżulta minn klawsoli kontrattwali xierqa. […] 4. Meta l-Kummissjoni tiddeċiedi […] li ċerti klawsoli kontrattwali standard joffru protezzjoni biżżejjed kif mitluba skond il-paragrafu 2, Stati Membri għandhom jieħdu l-miżuri meħtieġa biex ikunu konformi mad-deċiżjoni tal-Kummissjoni.”

12. L-Artikolu 28(3) tad-Direttiva 95/46 kien ifformulat kif ġej: “Kull awtorità għandha jkollha partikolarment: […] – setgħat effettivi ta’ intervent, bħalma hu, per eżempju, dak li tagħti opinjonijiet qabel ma jsiru operazzjonijiet ta’ ipproċessar, skond l-Artikolu 20, u li tassigura li dawn l-opinjonijiet ikollhom pubblikazzjoni sewwa, li tordna l-imblokk, tħassir jew distruzzjoni ta’ data, li ma tħallix għal xi żmien jew għal dejjem milli jsir ipproċessar, li twissi jew twiddeb lill-kontrollur, jew li tirreferi l-kwistjoni lill-parlamenti nazzjonali jew istituzzjonijiet pubbliċi oħra, – […]”

B. Il-GDPR

13. Skont l-Artikolu 94(1) tiegħu, il-GDPR ħassar id-Direttiva 95/46 b’effett mill‑25 ta’ Mejju 2018, data li fiha dan ir-regolament beda japplika konformement mal-Artikolu 99(2) tiegħu.

14. L-Artikolu 2(2) tal-imsemmi regolament jipprevedi: “Dan ir-Regolament ma japplikax għall-ipproċessar ta’ data personali: (a) matul attività li ma taqax taħt il-kamp ta’ applikazzjoni tal-liġi tal-Unjoni; b) mill-Istati Membri meta jkunu qegħdin iwettqu attivitajiet li jaqgħu taħt il-kamp ta’ applikazzjoni tal-Kapitolu 2 tat-Titolu V tat-TUE; […] (d) mill-awtoritajiet kompetenti għall-finijiet tal-prevenzjoni, investigazzjoni, sejbien jew prosekuzzjoni ta’ reati kriminali, jew l-eżekuzzjoni ta’ pieni kriminali, inkluż is-salvagwardji kontra u l-prevenzjoni ta’ theddid għas-sigurtà pubblika.”

15. Il-punt 2 tal-Artikolu 4 tal-istess regolament jiddefinixxi l-“ipproċessar” bħala “kwalunkwe attività jew sett ta’ attivitajiet li jitwettqu fuq data personali jew fuq settijiet ta’ data personali, sew jekk b’mezzi awtomatizzati u sew jekk mingħajrhom, bħalma huma l-ġbir, ir-reġistrazzjoni, l-organizzazzjoni, l-istrutturar, il-ħażna, l-adattament jew il-bidliet, l-irkupru, il-konsultazzjoni, l-użu, l-iżvelar bi trażmissjoni, it-tixrid jew it-tqegħid għad-dispożizzjoni b’xi mezz ieħor, l-allinjament jew it-taħlita, ir-restrizzjoni, it-tħassir jew il-qerda”.

16. L-Artikolu 23 tal-GDPR jipprevedi: “1. Il-liġi tal-Unjoni jew ta’ Stat Membru li għaliha jkun soġġett il-kontrollur jew il-proċessur tad-data tista’ tirrestrinġi permezz ta’ miżura leġiżlattiva l-kamp ta’ applikazzjoni tal-obbligi u d-drittijiet previsti fl-Artikoli 12 sa 22 u l-Artikolu 34, kif ukoll l-Artikolu 5 sakemm id-dispożizzjonijiet tiegħu jikkorrispondu mad-drittijiet u l-obbligi previsti fl-Artikoli 12 sa 22, meta tali restrizzjoni tirrispetta l-essenza tad-drittijiet u l-libertajiet fundamentali u hija miżura meħtieġa u proporzjonata f’soċjetà demokratika għas-salvagwardja ta’: (a) is-sigurtà nazzjonali; (b) id-difiża; (c) is-sigurtà pubblika; (d) il-prevenzjoni, l-investigazzjoni, is-sejbien jew il-prosekuzzjoni ta’ reati kriminali jew l-eżekuzzjoni ta’ pieni kriminali, inkluż is-salvagwardji kontra u l-prevenzjoni ta’ theddidiet għas-sigurtà pubblika; (e) objettivi importanti oħrajn ta’ interess pubbliku ġenerali tal-Unjoni jew ta’ Stat Membru, b’mod partikolari interess ekonomiku jew finanzjarju importanti tal-Unjoni jew ta’ Stat Membru, […]; […] 2. B’mod partikolari, kull miżura leġiżlattiva msemmija fil-paragrafu 1 għandu jkun fiha dispożizzjonijiet speċifiċi tal-inqas, fejn rilevanti, dwar: (a) il-finijiet tal-ipproċessar jew il-kategoriji tal-ipproċessar; (b) il-kategoriji ta’ data personali; (c) l-ambitu tar-restrizzjonijiet introdotti; (d) is-salvagwardji għall-prevenzjoni tal-abbuż jew tal-aċċess jew it-trasferiment illegali; (e) l-ispeċifikazzjoni tal-kontrollur jew il-kategoriji tal-kontrolluri; (f) il-perijodi ta’ ħażna u s-salvagwardji applikabbli b’kont meħud tan-natura, l-ambitu u l-finijiet tal-ipproċessar jew il-kategoriji tal-ipproċessar; (g) ir-riskji għad-drittijiet u l-libertajiet tas-suġġetti tad-data; u (h) id-dritt tas-suġġetti tad-data li jkunu infurmati dwar ir-restrizzjoni, sakemm dak ma jistax jippreġudika l-finijiet tar-restrizzjoni.”

17. L-Artikolu 44 ta’ dan ir-regolament, intitolat “Prinċipju ġenerali għal trasferimenti”, jgħid: “Kwalunkwe trasferiment ta’ data personali li tkun qed tiġi pproċessata jew hija maħsuba li tiġi pproċessata wara trasferiment lejn pajjiż terz jew lejn organizzazzjoni internazzjonali għandu jseħħ biss jekk, soġġett għad-dispożizzjonijiet l-oħra ta’ dan ir-Regolament, il-kontrollur u l-proċessur ikunu f’konformità mal-kondizzjonijiet stipulati f’dan il-Kapitolu, inkluż għal trasferimenti ulterjuri ta’ data personali mill-pajjiż terz jew minn organizzazzjoni internazzjonali lejn pajjiż terz ieħor jew lejn organizzazzjoni internazzjonali oħra. Id-dispożizzjonijiet kollha f’dan il-Kapitolu għandhom jiġu applikati sabiex jiġi żgurat li ma għandux jiddgħajjef il-livell ta’ protezzjoni tal-persuni fiżiċi ggarantit minn dan ir-Regolament.”

18. Skont l-Artikolu 45 tal-imsemmi regolament, intitolat “Trasferimenti abbażi ta’ deċiżjoni ta’ adegwatezza”: “1. Trasferiment ta’ data personali lejn pajjiż terz jew organizzazzjoni internazzjonali jista’ jseħħ fejn il-Kummissjoni tiddeċiedi li l-pajjiż terz, jew territorju jew settur speċifikat wieħed jew aktar f’dak il-pajjiż terz, jew l-organizzazzjoni internazzjonali inkwistjoni tiżgura livell adegwat ta’ protezzjoni. Tali trasferiment ma għandu jkun jeħtieġ ebda awtorizzazzjoni speċifika. 2. Meta tivvaluta l-adegwatezza tal-livell ta’ protezzjoni, il-Kummissjoni għandha tieħu kont, b’mod partikolari, tal-elementi li ġejjin: (a) l-istat tad-dritt, ir-rispett lejn id-drittijiet tal-bniedem u d-drittijiet fundamentali, il-leġiżlazzjoni rilevanti, kemm ġenerali kif ukoll settorjali, inkluż dwar is-sigurtà pubblika, id-difiża, is-sigurtà nazzjonali u l-liġi kriminali u l-aċċess tal-awtoritajiet pubbliċi għad-data personali, kif ukoll l-implimentazzjoni ta’ tali leġiżlazzjoni, ir-regoli tal-protezzjoni tad-data, ir-regoli professjonali u l-miżuri ta’ sigurtà, inklużi regoli għat-trasferiment ulterjuri ta’ data personali lejn pajjiż terz ieħor jew organizzazzjoni internazzjonali oħra li jkun hemm konformità magħhom f’dak il-pajjiż jew l-organizzazzjoni internazzjonali, preċedenti ta’ ġurisprudenza, kif ukoll drittijiet tas-suġġett tad-data effettivi u infurzabbli u rimedju amministrattiv u ġudizzjarju effettiv għas-suġġetti tad-data li tkun qed tiġi ttrasferita d-data personali tagħhom; (b) l-eżistenza u l-funzjonament effettiv ta’ awtorità superviżorja indipendenti waħda jew aktar fil-pajjiż terz jew li għalihom tkun soġġetta organizzazzjoni internazzjonali, bir-responsabbiltà għall-iżgurar u l-infurzar tal-konformità mar-regoli dwar il-protezzjoni tad-data, inklużi setgħat ta’ nfurzar adegwati għall-assistenza u l-għoti ta’ pariri lis-suġġetti tad-data fl-eżerċizzju tad-drittijiet tagħhom u għall-kooperazzjoni mal-awtoritajiet superviżorji tal-Istati Membri; u (c) l-impenji internazzjonali li l-pajjiż terz jew l-organizzazzjoni internazzjonali kkonċernata tkun daħlet għalihom, jew obbligi oħrajn li jirriżultaw minn konvenzjonijiet jew strumenti legalment vinkolanti kif ukoll mis-sehem tagħha f’sistemi multilaterali jew reġjonali, b’mod partikolari b’rabta mal-protezzjoni ta’ data personali. 3. Il-Kummissjoni, wara li tivvaluta l-adegwatezza tal-livell ta’ protezzjoni, tista’ tiddeċiedi, permezz ta’ att ta’ implimentazzjoni, li pajjiż terz, jew territorju jew settur speċifikat wieħed jew aktar f’pajjiż terz, jew organizzazzjoni internazzjonali jiżguraw livell adegwat ta’ protezzjoni fis-sens tal-paragrafu 2 ta’ dan l-Artikolu. L-att ta’ implimentazzjoni għandu jipprevedi mekkaniżmu għal rieżami perjodiku, mill-inqas kull erba’ snin, li għandu jieħu kont tal-iżviluppi rilevanti kollha fil-pajjiż terz jew l-organizzazzjoni internazzjonali. […] 4. Il-Kummissjoni għandha timmonitorja fuq bażi kontinwa l-iżviluppi f’pajjiżi terzi u organizzazzjonijiet internazzjonali li jistgħu jaffettwaw il-funzjonament tad-deċiżjonijiet adottati skont il-paragrafu 3 ta’ dan l-Artikolu u d-deċiżjonijiet adottati abbażi tal-Artikolu 25(6) tad-[Direttiva 95/46]. 5. Il-Kummissjoni għandha tiddeċiedi, fejn l-informazzjoni disponibbli tiżvela dan, b’mod partikolari wara r-rieżami msemmi fil-paragrafu 3 ta’ dan l-Artikolu, li pajjiż terz, jew territorju jew settur speċifikat f’pajjiż terz, jew organizzazzjoni internazzjonali ma għadux jew ma għadhiex tiżgura livell adegwat ta’ protezzjoni fis-sens tal-paragrafu 2 ta’ dan l-Artikolu, sa fejn ikun meħtieġ, għandha tħassar, temenda jew tissospendi d-deċiżjoni msemmija fil-paragrafu 3 ta’ dan l-Artikolu, permezz ta’ atti ta’ implimentazzjoni mingħajr effett retroattiv. […] 6. Il-Kummissjoni għandha tidħol f’konsultazzjonijiet mal-pajjiż terz jew l-organizzazzjoni internazzjonali bil-ħsieb li tirrimedja s-sitwazzjoni li twassal għad-deċiżjoni meħuda skont il-paragrafu 5. […] 9. Id-deċiżjonijiet adottati mill-Kummissjoni abbażi tal-Artikolu 25(6) tad-Direttiva 95/46/KE għandhom jibqgħu fis-seħħ sakemm jiġu emendati, sostitwiti jew imħassra minn Deċiżjoni tal-Kummissjoni adottata f’konformità mal-paragrafu 3 jew 5 ta’ dan l-Artikolu.”

19. L-Artikolu 46 tal-istess regolament, intitolat “Trasferimenti soġġetti għal salvagwardji xierqa”, huwa fformulat kif ġej: “1. Fin-nuqqas ta’ deċiżjoni skont l-Artikolu 45(3), kontrollur jew proċessur jista’ jittrasferixxi data personali lejn pajjiż terz jew organizzazzjoni internazzjonali biss jekk il-kontrollur jew il-proċessur ikun ipprovda salvagwardji xierqa, u bil-kondizzjoni li jkunu disponibbli drittijiet infurzabbli tas-suġġett tad-data u rimedji legali effettivi għas-suġġetti tad-data. 2. Is-salvagwardji xierqa msemmija fil-paragrafu 1 jistgħu jkunu previsti, mingħajr ma jkun jinħtieġ ebda awtorizzazzjoni speċifika minn awtorità superviżorja, permezz ta’: […] (c) klawżoli standard ta’ protezzjoni tad-data adottati mill-Kummissjoni f’konformità mal-proċedura ta’ eżami msemmija fl-Artikolu 93(2); […] 5. L-awtorizzazzjonijiet minn Stat Membru jew awtorità superviżorja abbażi tal-Artikolu 26(2) tad-Direttiva 95/46/KE għandhom jibqgħu validi sakemm jiġu emendati, sostitwiti jew imħassra, jekk meħtieġ, minn dik l-awtorità superviżorja. Id-deċiżjonijiet adottati mill-Kummissjoni abbażi tal-Artikolu 26(4) tad-Direttiva 95/46/KE għandhom jibqgħu fis-seħħ sakemm jiġu emendati, sostitwiti jew imħassra, jekk meħtieġ, minn Deċiżjoni tal-Kummissjoni adottata f’konformità mal-paragrafu 2 ta’ dan l-Artikolu.”

20. Skont l-Artikolu 58(2), (4) u (5) tal-GDPR: “2. “Kull awtorità superviżorja għandu jkollha s-setgħat kollha korrettivi li ġejjin: (a) li toħroġ twissijiet lil kontrollur jew proċessur li l-operazzjonijiet ta’ pproċessar maħsuba x’aktarx jiksru dispożizzjonijiet ta’ dan ir-Regolament; (b) li ċċanfar kontrollur jew proċessur fejn l-operazzjonijiet ta’ pproċessar ikunu kisru dispożizzjonijiet ta’ dan ir-Regolament; (c) li tordna lill-kontrollur jew il-proċessur jikkonforma mat-talbiet tas-suġġett tad-data li jeżerċita d-drittijiet tiegħu skont dan ir-Regolament; (d) li tordna lill-kontrollur jew il-proċessur jagħmel operazzjonijiet ta’ pproċessar konformi mad-dispożizzjonijiet ta’ dan ir-Regolament, fejn xieraq, b’mod speċifiku u f’perijodu ta’ żmien speċifiku; (e) li tordna lill-kontrollur jikkomunika ksur ta’ data personali lis-suġġett tad-data; (f) li timponi limitazzjoni temporanja jew definittiva inkluża projbizzjoni fuq l-ipproċessar; […] (i) li timponi multa amministrattiva skont l-Artikolu 83, flimkien ma’, jew minflok il-miżuri msemmija f’dan il-paragrafu, skont iċ-ċirkostanzi ta’ kull każ individwali; (j) li tordna s-sospensjoni ta’ flussi ta’ data lejn riċevitur f’pajjiż terz jew lejn organizzazzjoni internazzjonali. […] 4. L-eżerċizzju tas-setgħat ikkonferiti lill-awtorità superviżorja skont dan l-Artikolu għandu jkun soġġett għal salvagwardji xierqa, inklużi r-rimedju ġudizzjarju effettiv u l-proċess ġust, stabbiliti fil-liġi tal-Unjoni u l-liġijiet tal-Istati Membri f’konformità mal-Karta. 5. Kull Stat Membru għandu jipprevedi bil-liġi li l-awtorità superviżorja tiegħu għandu jkollha s-setgħa li tiġbed l-attenzjoni tal-awtoritajiet ġudizzjarji għal ksur ta’ dan ir-Regolament u, fejn xieraq, tibda jew timpenja ruħha b’mod ieħor fi proċedimenti legali, sabiex tinforza d-dispożizzjonijiet ta’ dan ir-Regolament.”

C. Id-Deċiżjoni 2010/87

21. L-Artikolu 26(4) tad-Direttiva 95/46 ta lok għall-adozzjoni mill-Kummissjoni ta’ tliet deċiżjonijiet li permezz tagħhom hija kkonstatat li l-klawżoli kuntrattwali standard stabbiliti fihom joffru salvagwardji suffiċjenti għall-protezzjoni tal-privatezza u tal-libertajiet u d-drittijiet fundamentali tal-individwi, kif ukoll għall-eżerċizzju tad-drittijiet korrispondenti (iktar ’il quddiem id-“Deċiżjonijiet KKS”) ( 9 ).

22. Fost dawn hemm id-Deċiżjoni 2010/87, li l-Artikolu 1 tagħha jipprovdi li “[i]l-klawżoli kuntrattwali standard stabbiliti fl-Anness huma kkunsidrati bħala li joffru salvagwardji adegwati fir-rigward tal-protezzjoni tal-privatezza u d-drittijiet u l-libertajiet fondamentali tal-individwi u fir-rigward tal-eżerċizzju tad-drittijiet korrispondenti kif mitlub mill-Artikolu 26(2) tad-[Direttiva 95/46]”.

23. Skont l-Artikolu 3 ta’ din id-deċiżjoni: “Għall-finijiet ta’ din id-Deċiżjoni, għandhom japplikaw id-definizzjonijiet li ġejjin: […] (c) ‘esportatur tad-data’ tfisser il-kontrollur li jitrasferixxi d-data personali; (d) ‘importatur tad-data’ tfisser il-proċessur stabbilit f’pajjiż terz li jaqbel li jirċievi data personali mingħand l-esportatur tad-data li hija maħsuba għall-ipproċessar f’isem l-esportatur tad-data wara t-trasferiment skont l-istruzzjonijiet tiegħu u skont din id-Deċiżjoni u li m’huwiex soġġett għal sistema ta’ pajjiż terzi li tiżgura protezzjoni adegwata skont it-tifsira tal-Artikolu 25(1) tad-Direttiva 95/46/KE; […] (f) ‘liġi applikabbli dwar il-protezzjoni tad-dejta’ tfisser il-leġiżlazzjoni li tipproteġi d-drittijiet u l-libertajiet fundamentali ta’ individwi u, b’mod partikolari, id-dritt tagħhom għall-privatezza fir-rigward tal-ipproċessar tad-dejta personali applikabbli għal kontrollur tad-dejta fl-Istat Membru fejn l-esportatur tad-dejta huwa stabbilit; […]”

24. Fil-verżjoni inizjali tiegħu, l-Artikolu 4 tal-imsemmija deċiżjoni kien jipprevedi, fil-paragrafu 1 tiegħu: “Mingħajr preġudizzju għall-poteri tagħhom biex jieħdu azzjoni sabiex jiżguraw konformità mad-dispożizzjonijiet nazzjonali adottati skont il-Kapitoli II, III, V u VI tad-Direttiva 95/46/KE, l-awtoritajiet kompetenti fl-Istati Membri jistgħu jeżerċitaw il-poteri eżistenti tagħhom biex jipprojbixxu jew jissospendu ċ-ċirkolazzjoni tad-dejta lil pajjiżi terzi sabiex jipproteġu lill-individwi fir-rigward tal-ipproċessar tad-dejta personali tagħhom f’każijiet fejn: (a) huwa stabbilit li l-liġi li l-importatur tad-dejta jew is-sottoproċessur huma soġġetti għaliha timponi fuqhom rekwiżiti li jidderogaw mil-liġi applikabbli dwar il-protezzjoni tad-dejta li jmorru lil hinn mir-restrizzjonijiet meħtieġa f’soċjetà demokratika kif stabbilit mill-Artikolu 13 tad-[Direttiva 95/46] fejn dawk ir-restrizzjonijiet aktarx ikollhom effett negattiv sostanzjali fuq il-garanziji mogħtijin mil-liġi dwar il-protezzjoni tad-dejta applikabbli u l-klawżoli kuntrattwali standard; (b) awtorità kompetenti tkun stabbiliet li l-importatur tad-dejta jew sottoproċessur ma jkunx irrispetta l-klawżoli kuntrattwali standard fl-Anness; jew (c) ikun hemm probabbiltà sostanzjali li l-klawżoli kuntrattwali standard fl-Anness mhumiex qegħdin jiġu mħarsa jew mhumiex sejrin jiġu mħarsa u l-issoktar tat-trasferiment jista’ joħloq riskju imminenti ta’ dannu gravi lis-suġġetti tad-dejta.”

25. Fil-verżjoni attwali tiegħu, kif tirriżulta mill-emenda tad-Deċiżjoni 2010/87 permezz tad-Deċiżjoni ta’ Implimentazzjoni (UE) 2016/2297 ( 10 ), l-Artikolu 4 tad-Deċiżjoni 2010/87 jistabbilixxi li “[k]ull meta l-awtoritajiet kompetenti tal-Istati Membri jeżerċitaw is-setgħat tagħhom skont l-Artikolu 28(3) tad-[Direttiva 95/46] li jwasslu għas-sospensjoni jew il-projbizzjoni definittiva ta’flussi ta’ dejta lejn pajjiżi terzi sabiex jipproteġu individwi fir-rigward tal-ipproċessar tad-dejta personali tagħhom, l-Istati Membri kkonċernati għandhom, mingħajr dewmien, jgħarrfu lill-Kummissjoni li għandha tgħaddi l-informazzjoni lill-Istati Membri l-oħra.”

26. L-Anness għad-Deċiżjoni 2010/87 jinkludi sensiela ta’ klawżoli kuntrattwali standard. B’mod partikolari, il-Klawżola 3 li tinsab f’dan l-Anness, intitolata “Il-klawżola tal-parti terza benefiċjarja”, tipprovdi: “1. Is-suġġett tad-dejta jista’ jinforza kontra l-esportatur tad-dejta din il-Klawżola, Klawżola 4(b) sa (i), Klawżola 5(a) sa (e), u (g) sa (j),Klawżola 6(1) u (2), Klawżola 7, Klawżola 8(2), u Klawżoli 9 sa 12 bħala parti terza benefiċjarja. 2. Is-suġġett tad-dejta jista’ jinforza kontra l-esportatur tad-dejta din il-Klawżola, Klawżola 5(a) sa (e), u (g) sa (j), Klawżola 6, Klawżola 7, Klawżola 8(2), u Klawżoli 9 sa 12, f’każijiet fejn l-esportatur tad-dejta jkun fattwalment għeb jew ma jkunx għadu jeżisti legalment sakemm ma jkunx hemm entità suċċessur li tkun ħadet fuqha l-obbligi legali kollha tal-esportatur tad-dejta bil-kuntratt jew permezz tal-operat tal-liġi, u bħala riżultat ta’ dan tieħu fuqha d-drittijiet u l-obbligi tal-esportatur tad-dejta, f’liema każ is-suġġett tad-dejta jkun jista’ jinfurzahom kontra entità bħal din. […]”

27. Il-Klawżola 4 stabbilita fl-imsemmi Anness, intitolata “Obbligi tal-esportatur tad-dejta”, tipprovdi: “L-esportatur tad-dejta jaqbel u jiggarantixxi: (a) li l-ipproċessar, inkluż it-trasferiment innifsu, tad-dejta personali kien u se jibqa’ jitwettaq b’konformità mad-dispożizzjonijiet relevanti tal-liġi applikabbli dwar il-protezzjoni tad-dejta (u, fejn applikabbli, ġie nnotifikat lill-awtoritajiet relevanti tal-Istati Membri fejn ikun stabbilit l-esportatur tad-dejta) u ma jiksirx id-dispożizzjonijiet relevanti tal-Istat. (b) li hu ta struzzjonijiet u matul il-perjodu kollu tas-servizzi tal-ipproċessar tad-dejta se jagħti struzzjonijiet lill-importatur tad-dejta biex jipproċessa d-dejta personali trasferita biss f’isem l-esportatur tad-dejta u b’konformità mal-liġi applikabbli dwar il-protezzjoni tad-dejta u mal-Klawżoli; (c) li l-importatur tad-dejta għandu jipprovdi garanziji suffiċjenti fir-rigward tal-miżuri tekniċi u organizzattivi ta’ sigurtà speċifikati f’Appendiċi 2 ma’ dan il-kuntratt; (d) li wara l-valutazzjoni tal-liġi applikabbli dwar il-protezzjoni tad-dejta, il-miżuri ta’ sigurtà jkunu xierqa biex jipproteġu d-dejta personali kontra distruzzjoni aċċidentali jew kontra l-liġi jew telfien aċċidentali, tibdil, żvelar jew aċċess mhux awtorizzat, b’mod partikolari meta l-ipproċessar jinvolvi t-trażmissjoni tad-dejta fuq network, u kontra kull forma oħra ta’ pproċessar kontra l-liġi, u li dawn il-miżuri jiżguraw livell xieraq ta’ sigurtà għar-riskji ppreżentati mill-ipproċessar u n-natura tad-dejta li qed tiġi protetta b’kunsiderazzjoni għall-istat avvanzat u l-ispiża tal-implimentazzjoni tagħhom; (e) li hu jiżgura konformità mal-miżuri ta’ sigurtà; (f) li, jekk it-trasferiment jinvolvi kategoriji speċjali ta’ dejta, is-suġġett tad-dejta jkun ġie infurmat jew ikun se jiġi infurmat qabel, jew mill-aktar fis possibbli wara t-trasferiment li d-dejta tiegħu tista’ tiġi trażmessa lejn pajjiż terz u l-protezzjoni adegwata skont it-tifsira tad-[Direttiva 95/46] mhix provduta; (g) li jibgħat kwalunkwe notifika li tasal mill-importatur tad-dejta jew kwalunkwe sottoproċessur skont Klawżola 5(b) u Klawżola 8(3) lill-awtorità ta’ superviżjoni tal-protezzjoni tad-dejta jekk l-esportatur tad-dejta jiddeċiedi li jkompli bit-trasferiment jew li jneħħi s-sospensjoni. (h) li jagħmel disponibbli lis-suġġetti tad-dejta, fuq talba tagħhom kopja tal-Kawżoli, bl-eċċezzjoni tal-Appendiċi 2, kif ukoll deskrizzjoni fil-qosor tal-miżuri ta’ sigurtà, kif ukoll kopja ta’ kull kuntratt għas-servizzi ta’ sottoproċessar li għandu jsir skont il-Klawżoli, sakemm il-Klawżoli jew il-kuntratt ikun fihom informazzjoni kummerċjali, u f’dan il-każ tkun tista’ tneħħi informazzjoni kummerċjali bħal dan; (i) li, fil-każ ta’ sottoproċessar, l-attività ta’ pproċessar titwettaq b’konformità ma’ Klawżola 11 minn sottoproċessur fejn ikun provdut tal-anqas l-istess livell ta’ protezzjoni għad-dejta personali u d-drittijiet tas-suġġett tad-dejta bħala l-importatur tad-dejta taħt il-Klawżoli; kif ukoll (j) li hu jiżgura l-konformità ma’ Klawżola 4(a) sa (i).”

28. Il-Klawżola 5 prevista fl-imsemmi Anness, intitolata “Obbligi tal-importatur tad-dejta (2)”, tgħid: “L-importatur tad-dejta jaqbel u jiggarantixxi: (a) li jipproċessa d-dejta personali biss f’isem l-esportatur tad-dejta u b’konformità mal-istruzzjonijiet tiegħu u mal-Klawżoli; jekk hu ma jistax jipprovdi tali konformità, tkun liema raġuni tkun, hu jaqbel li jinforma fil-pront lill-esportatur tad-dejta bl-inkapaċità tiegħu li jikkonforma, f’liema każ l-esportatur tad-dejta jkun intitolat li jissospendi t-trasferiment tad-dejta u/jew jittermina l-kuntratt; (b) li m’għandu l-ebda raġuni għaliex jaħseb li l-leġiżlazzjoni applikabbli għalih twaqqfu milli jissodisfa l-istruzzjonijiet li jaslulu mill-esportatur tad-dejta u l-obbligi tiegħu skont il-kuntratt u li fil-każ ta’ tibdil fil-leġiżlazzjoni li hu mistenni li jkollha effetti negattivi sostanzjali fuq il-garanziji u l-obbligi pprovduta mill-Klawżoli, hu jinnotifika fil-pront lill-esportatur tad-dejta bit-tibdil hekk kif isir jaf, f’liema każ l-esportatur tad-dejta jkun intitolat li jissospendi t-trasferiment tad-dejta u/jew jittermina il-kuntratt; (c) li hu jkun implimenta l-miżuri tekniċi u organizzattivi ta’ sigurtà speċifikati f’Appendiċi 2 qabel ma jipproċessa d-dejta personali trasferita; (d) li hu jinnotifika fil-pront lill-esportatur tad-dejta dwar: (i) kwalunkwe talba li torbot legalment għall-iżvelar tad-dejta personali mill-awtorità tal-infurzar tal-liġi sakemm ma jkunx ipprojbit b’mod ieħor, bħal projbizzjoni taħt liġi kriminali biex jippriżerva l-kunfidenzjalità tal-investigazzjoni dwar l-infurzar tal-liġi; (ii) kwalunkwe aċċess aċċidentali jew mhux awtorizzat; (iii) kwalunkwe talba li tasal direttament mis-suġġetti tad-dejta mingħajr ma jwieġeb għal dik it-talba, sakemm ma jkunx awtorizzat mod ieħor biex jagħmel hekk; (e) li jitratta kif suppost u fil-pront il-mistoqsijiet kollha mill-esportatur tad-dejta relatati mal-ipproċessar tad-dejta personali suġġetta għat-trasferiment u li jimxi mal-pariri tal-awtorità tas-superviżjoni fir-rigward tal-ipproċessar tad-dejta trasferita; (f) li fuq it-talba tal-esportatur tad-dejta jissottometti l-faċilitajiet tiegħu għall-ipproċessar tad-dejta għall-verifika tal-attivitajiet ta’ pproċessar koperti mill-Klawżoli li għandhom jitwettqu mill-esportatur tad-dejta jew korp ta’ spezzjoni magħmul minn membri indipendenti u li għandhom il-kwalifiki professjonali meħtieġa marbuta bid-dover tal-kunfidenzjalità, magħżula mill-esportatur tad-dejta, fejn applikabbli, bi qbil mal-awtorità tas-superviżjoni; […]”

29. Skont in-nota ta’ qiegħ il-paġna 2, li għaliha jirreferi t-titolu tal-Klawżola 5 li tinsab fl-Anness għad-Deċiżjoni 2010/87: “Rekwiżiti mandatarji tal-liġi nazzjonali applikabbli għall-importatur tad-dejta li ma jmorrux lil hinn minn dak li hu meħtieġ f’soċjetà demokratika fuq il-bażi ta’ wieħed mill-interessi elenkati fl-Artikolu 13(1) tad-Direttiva [95/46], jiġifieri, jekk huma jikkostitwixxu miżura meħtieġa biex jissalvagwardjaw id-difiża tas-sigurtà nazzjonali, sigurtà pubblika, il-prevenzjoni, investigazzjoni, individwar u prosekuzzjoni ta’ reati kriminali jew ta’ ksur ta’ etika għall-professjonijiet irregolati, interess importanti ekonomiku u finanzjarju għall-Istat jew il-protezzjoni tas-suġġett tad-dejta jew id-drittijiet u l-libertajiet- tal-oħrajn, mhumiex f’kontradizzjoni mal-klawżoli kuntrattwali standard. Xi eżempji ta’ tali rekwiżiti mandatorji li ma jmorrux lil hinn minn dak li hu meħtieġ f’soċjetà demokratika huma, fost l-oħrajn, sanzjonijiet rikonoxxuti internazzjonalment, rekwiżiti ta’ rrappurtar tat-taxxa jew rekwiżiti ta’ rrappurtar ta’ ħasil tal-flus.”

30. Il-Klawżola 6 li tinsab f’dan l-Anness, intitolata “Responsabbiltà”, hija fformulata kif ġej: “1. Il-partijiet jaqblu li kwalunkwe suġġett tad-dejta, li sofra dannu bħala riżultat ta’ kwalunkwe ksur tad-dispożizzjonijiet imsemmijin fil-Klawżola 3 jew Klawżola 11 minn kwalunkwe parti jew sottoproċessur huwa intitolat li jirċievi kumpens mill-esportatur tad-dejta għad-dannu soffert. 2. Jekk suġġett tad-dejta ma jkunx jista’ jagħmel talba għall-kumpens skont il-paragrafu 1 kontra l-esportatur tad-dejta minħabba ksur min-naħa tal-importatur tad-dejta jew is-sottoproċessur tiegħu, jew kwalunkwe mill-obbligi tagħhom imsemmijin fi Klawżoli 3 jew fil-Klawżola 11 minħabba li l-esportatur tad-dejta jkun fattwalment għeb jew ma jkunx għadu jeżisti legalment jew ikun sar insolventi, l-importatur tad-dejta jaqbel li s-suġġett tad-dejta jista’ jiftaħ pretensjoni kontra l-importatur tad-dejta daqslikieku kien l-esportatur tad-dejta, sakemm ma jkunx hemm entità suċċessur li tkun ħadet fuqha l-obbligi legali kollha tal-esportatur tad-dejta bil-kuntratt jew permezz ta’ operat tal-liġi, f’liema każ is-suġġett tad-dejta jista’ jinforza d-drittijiet tiegħu kontra entità bħal din. […]”

31. Il-Klawżola 7 stabbilita fl-imsemmi Anness, intitolata “Medjazzjoni u ġuriżdizzjoni”, tipprovdi: “1. L-importatur tad-dejta jaqbel li jekk is-suġġett tad-dejta jinvoka kontrieh id-drittijiet tal-parti terza benefiċjarja u/jew pretensjonijiet għal kumpens minħabba ħsarat taħt il-Klawżoli, l-importatur tad-dejta jaċċetta d-deċiżjoni tas-suġġett tad-dejta: (a) li jirreferi t-tilwima għal medjazzjoni, permezz ta’ persuna indipendenti jew, fejn applikabbli, permezz ta’ awtorità ta’ superviżjoni; (b) li jirreferi t-tilwima lill-qrati fl-Istat Membru li fih ikun stabbilit l-esportatur tad-dejta. 2. Il-partijiet jaqblu li l-għażla magħmula mis-suġġett tad-dejta ma tippreġudikax id-drittijiet sostantivi u proċedurali tiegħu li jfittex rimedji skont dispożizzjonijiet oħrajn tal-liġi nazzjonali jew internazzjonali.”

32. Il-Klawżola 9 li tinsab fl-istess Anness, intitolata “Liġi Regolatorja”, tipprevedi li l-klawżoli kuntrattwali standard għandhom ikunu rregolati mid-dritt tal-Istat Membru fejn l-esportatur tad-data huwa stabbilit.

D. Id-Deċiżjoni “Ħarsien tal-privatezza”

33. L-Artikolu 25(6) tad-Direttiva 95/46 serva bħala bażi għall-adozzjoni mill-Kummissjoni ta’ żewġ deċiżjonijiet suċċessivi li permezz tagħhom hija kkonstatat li l-Istati Uniti jiżguraw livell adegwat ta’ protezzjoni tad-data personali ttrasferita lejn impriżi stabbiliti fl-Istati Uniti li ddikjaraw li jaderixxu, permezz ta’ proċedura ta’ awtoċertifikazzjoni, mal-prinċipji stipulati f’dawk id-deċiżjonijiet.

34. Fl-ewwel lok, il-Kummissjoni adottat id-Deċiżjoni 2000/520/KE dwar l-adegwatezza tal-protezzjoni pprovduta mill-prinċipji tal-privatezza ta’ port salv u li tirrigwarda mistoqsijiet li jsiru ta’ spiss maħruġa mid-Dipartiment tal-Kummerċ tal-USA ( 11 ). Fis-sentenza tas‑6 ta’ Ottubru 2015, Schrems ( 12 ), il-Qorti tal-Ġustizzja ddikjarat din id-deċiżjoni bħala invalida.

35. Fit-tieni lok, wara dik is-sentenza, il-Kummissjoni adottat id-Deċiżjoni “Ħarsien tal-privatezza”.

36. L-Artikolu 1 ta’ din id-deċiżjoni jipprovdi: “1. Għall-finijiet tal-Artikolu 25(2) tad-[Direttiva 95/46], l-Istati Uniti jiżguraw livell adegwat ta’ protezzjoni għad-dejta personali ttrasferita mill-Unjoni lil organizzazzjonijiet fl-Istati Uniti permezz tal-Ħarsien tal-Privatezza UE-U.S. 2. Il-Ħarsien tal-Privatezza UE-U.S. huwa kkostitwit mill-Prinċipji maħruġa mid-Dipartiment tal-Kummerċ tal-Istati Uniti fis-7 ta’ Lulju 2016 kif stabbilit fl-Anness II u d-dikjarazzjonijiet u l-impenji uffiċjali li jinsabu fid-dokumenti elenkati fl-Annessi I, III sa VI. 3. Għall-finijiet tal-paragrafu 1, id-dejta personali hija ttrasferita taħt il-Ħarsien tal-Privatezza UE-U.S. meta tiġi ttrasferita mill-Unjoni lil organizzazzjonijiet fl-Istati Uniti li huma inklużi fil-“Lista tal-Ħarsien tal-Privatezza”, miżmuma u magħmula disponibbli għall-pubbliku mid-Dipartiment tal-Kummerċ tal-Istati Uniti, f’konformità mat-Taqsimiet I u III tal-Prinċipji stabbiliti fl-Anness II.”

37. L-Anness IIIA għal din id-deċiżjoni, intitolat “Mekkaniżmu tal-Ombudsman tal-Ħarsien tal-Privatezza UE-U.S. dwar l-intelligence ta’ sinjali”, mehmuża ma’ ittra ta’ John Kerry, li dak iż-żmien kien Secretary of State (Segretarju tal-Istat, l-Istati Uniti), iddatata s-7 ta’ Lulju 2016, jinkludi memorandum li jiddeskrivi mekkaniżmu ġdid ta’ Ombudsman quddiem “Koordinatur Għoli għad-Diplomazija Internazzjonali fit-Teknoloġija tal-Informazzjoni” (iktar ’il quddiem l-“Ombudsman”) maħtur mis-Segretarju tal-Istat.

38. Skont dan il-memorandum, dan il-mekkaniżmu ġie stabbilit “biex jiffaċilita l-ipproċessar ta’ talbiet dwar l-aċċess tas-sigurtà nazzjonali għal dejta trażmessa mill-UE lejn l-Istati Uniti skont il-Ħarsien tal-Privatezza, klawżoli kuntrattwali xierqa (SCCs), regoli korporattivi vinkolanti (BCRs), ‘Derogi’, jew ‘Derogi Futuri Possibbli’, permezz ta’ possibbiltajiet stabbiliti skont il-liġijiet u l-politika applikabbli tal-Istati Uniti, u r-risposta għal dawk it-talbiet”.

III. Il-kawża prinċipali, id-domandi preliminari u l-proċedimenti quddiem il-Qorti tal-Ġustizzja

39. M. Schrems, ċittadin Awstrijak residenti fl-Awstrija, huwa utent tan-netwerk soċjali Facebook. L-utenti kollha ta’ dan in-netwerk soċjali residenti fit-territorju tal-Unjoni jridu jikkonkludu, meta jirreġistraw, kuntratt ma’ Facebook Ireland, sussidjarja ta’ Facebook Inc., li hija stabbilita fl-Istati Uniti. Id-data personali kollha ta’ dawn l-utenti, jew parti minnha, hija ttrasferita lejn servers li huma proprjetà ta’ Facebook Inc., u li jinsabu fit-territorju tal-Istati Uniti, fejn tiġi pproċessata.

40. Fil‑25 ta’ Ġunju 2013, M. Schrems ressaq ilment quddiem id-DPC li fih essenzjalment talbu biex jipprojbixxi lil Facebook Ireland milli tittrasferixxi d-data personali tiegħu lejn l-Istati Uniti. Fl-ilment huwa sostna li d-dritt u l-prattiki fis-seħħ f’dan l-Istat terz ma kinux jiżguraw protezzjoni suffiċjenti tad-data personali miżmuma fit-territorju tiegħu kontra l-indħil mill-attivitajiet ta’ sorveljanza mwettqa mill-awtoritajiet pubbliċi. F’dan ir-rigward M. Schrems irrefera għar-rivelazzjonijiet magħmula minn Edward Snowden dwar l-attivitajiet tas-servizzi tal-intelligence tal-Istati Uniti u, b’mod partikolari, dawk tan-National Security Agency (NSA) (l-Aġenzija tas-Sigurtà Nazzjonali, l-Istati Uniti).

41. Dan l-ilment ġie miċħud għar-raġuni, b’mod partikolari, li kwalunkwe kwistjoni dwar l-adegwatezza tal-protezzjoni żgurata fl-Istati Uniti kellha tiġi deċiża skont id-Deċiżjoni “Port Salv”. F’din id-deċiżjoni, il-Kummissjoni kienet ikkonstatat li dan il-pajjiż terz kien joffri livell adegwat ta’ protezzjoni tad-data personali ttrasferita lejn impriżi li jinsabu fit-territorju tiegħu u li jaderixxi mal-prinċipji stabbiliti fl-imsemmija deċiżjoni.

42. M. Schrems ippreżenta rikors kontra d-deċiżjoni ta’ ċaħda tal-ilment tiegħu quddiem il-High Court (il-Qorti Għolja). Dik il-qorti qieset li, għalkemm M. Schrems ma kkontestax formalment il-validità tad-Deċiżjoni “Port Salv”, l-ilment tiegħu, fil-verità, kien jiddenunzja l-legalità tal-iskema istitwita minn din id-deċiżjoni. F’dawn iċ-ċirkustanzi, l-imsemmija qorti għamlet domandi lill-Qorti tal-Ġustizzja sabiex, essenzjalment, tistaqsi jekk l-awtoritajiet tal-Istati Membri responsabbli mill-protezzjoni tad-data (iktar ’il quddiem l-“awtoritajiet superviżorji”), meta jaslilhom ilment dwar il-protezzjoni tad-drittijiet u l-libertajiet ta’ persuna fir-rigward tal-ipproċessar ta’ data personali dwarha li ġiet ittrasferita lejn Stat terz, humiex marbuta bil-konstatazzjonijiet dwar l-adegwatezza tal-livell ta’ protezzjoni offrut minn dak l-Istat terz magħmula mill-Kummissjoni taħt l-Artikolu 25(6) tad-Direttiva 95/46, minkejja li l-lanjant jikkontesta dawn il-konstatazzjonijiet.

43. Wara li ddeċidiet, fil-punti 51 u 52 tas-sentenza Schrems, li deċiżjoni ta’ adegwatezza torbot lill-awtoritajiet superviżorji sakemm din ma tkunx ġiet iddikjarata invalida, il-Qorti tal-Ġustizzja ddikjarat dan li ġej fil-punti 63 u 65 ta’ dik is-sentenza: “63. […] [M]eta persuna, li d-data personali tagħha ġiet jew tista’ tiġi ttrasferita lejn pajjiż terz li kien is-suġġett ta’ deċiżjoni tal-Kummissjoni abbażi tal-Artikolu 25(6) tad-Direttiva 95/46, tressaq quddiem awtorità nazzjonali ta’ superviżjoni talba dwar il-protezzjoni tad-drittijiet u tal-libertajiet tagħha fir-rigward tal-ipproċessar ta’ din id-data personali u tikkontesta, fil-kuntest tal-imsemmija talba […] il-kompatibbiltà tad-deċiżjoni inkwistjoni mal-protezzjoni tal-ħajja privata u tal-libertajiet u tad-drittijiet fundamentali tal-persuni, din l-awtorità għandha teżamina l-imsemmija talba bid-diliġenza kollha meħtieġa. […] 65. Fil-każ […] fejn l-imsemmija awtorità tqis li l-ilmenti [ta’ dik il-persuna] huma fondati, din l-istess awtorità għandu jkollha, skont it-tielet inċiż tal-ewwel subparagrafu tal-Artikolu 28(3) tad-Direttiva 95/46, moqri b’mod partikolari fid-dawl tal-Artikolu 8(3) tal-Karta, locus standi in judicio. F’dan ir-rigward, huwa l-leġiżlatur nazzjonali li għandu jipprevedi rimedji sabiex l-awtorità nazzjonali ta’ superviżjoni kkonċernata tkun tista’ tinvoka l-ilmenti li hija tqis fondati quddiem il-qrati nazzjonali sabiex dawn ikunu jistgħu jressqu, fil-każ li jkollhom l-istess dubji bħal dawk ta’ din l-awtorità dwar il-validità tad-deċiżjoni tal-Kummissjoni, talba għal deċiżjoni preliminari għall-finijiet tal-eżami tal-validità tal-imsemmija deċiżjoni.”

44. Il-Qorti tal-Ġustizzja eżaminat ukoll, fl-imsemmija sentenza, il-validità tad-Deċiżjoni “Port Salv” fid-dawl tar-rekwiżiti li jirriżultaw mid-Direttiva 95/46, moqrija fid-dawl tal-Karta. Fi tmiem dan l-eżami, hija ddikjarat din id-deċiżjoni invalida ( 13 ).

45. Wara s-sentenza Schrems, il-qorti tar-rinviju annullat id-deċiżjoni li permezz tagħha d-DPC kien ċaħad l-ilment ta’ M. Schrems u reġgħet irreferietu lid-DPC għal eżami. Dan tal-aħħar fetaħ investigazzjoni u stieden lil M. Schrems jifformula l-ilment tiegħu mill-ġdid minħabba l-invalidazzjoni tad-Deċiżjoni “Port Salv”.

46. Għal dan l-għan, M. Schrems talab lil Facebook Ireland tidentifika l-bażijiet legali li fuqhom huma bbażati t-trasferimenti mill-Unjoni lejn l-Istati Uniti tad-data personali tal-utenti tan-netwerk soċjali Facebook. Facebook Ireland, mingħajr ma identifikat il-bażijiet legali kollha li hija tibbaża ruħha fuqhom, irreferiet għal ftehim ta’ trasferiment u ta’ pproċessar ta’ data (data transfer processing agreement) konkluż bejnha u Facebook Inc., applikabbli mill‑20 ta’ Novembru 2015, u invokat id-Deċiżjoni 2010/87.

47. Fl-ilment ifformulat mill-ġdid tiegħu, M. Schrems jargumenta, minn naħa, li l-klawżoli li jinsabu f’dan il-ftehim ma humiex konformi mal-klawżoli kuntrattwali standard li jinsabu fl-Anness għad-Deċiżjoni 2010/87. Min-naħa l-oħra, M. Schrems jallega li dawn il-klawżoli kuntrattwali standard, fi kwalunkwe każ, ma jistgħux jikkostitwixxu l-bażi tat-trasferiment tad-data personali tiegħu lejn l-Istati Uniti. Dan minħabba l-fatt li d-dritt Amerikan jimponi fuq Facebook Inc. li tagħmel id-data personali tal-utenti disponibbli għal awtoritajiet Amerikani, bħan-NSA u l-Federal Bureau of Investigation (FBI) (l-Uffiċċju Federali tal-Investigazzjoni, l-Istati Uniti), bħala parti mill-programmi ta’ sorveljanza li jxekklu l-eżerċizzju tad-drittijiet iggarantiti mill-Artikoli 7, 8 u 47 tal-Karta. M. Schrems jallega li l-ebda rimedju ġudizzjarju ma jippermetti lill-persuni kkonċernati li jinvokaw id-drittijiet tagħhom għar-rispett tal-privatezza u għall-protezzjoni tad-data personali. F’dawn iċ-ċirkustanzi, M. Schrems jitlob lid-DPC jissospendi dan it-trasferiment skont l-Artikolu 4 tad-Deċiżjoni 2010/87.

48. Facebook Ireland irrikonoxxiet, fil-kuntest tal-investigazzjoni tad-DPC, li hija għadha tittrasferixxi d-data personali tal-utenti tan-netwerk soċjali Facebook residenti fl-Unjoni lejn l-Istati Uniti u li, għal dan l-għan, hija tibbaża ruħha fil-parti l-kbira fuq il-klawżoli kuntrattwali standard li jinsabu fl-Anness għad-Deċiżjoni 2010/87.

49. L-għan tal-investigazzjoni tad-DPC kien li jiġi ddeterminat, minn naħa, jekk l-Istati Uniti jiżgurawx protezzjoni adegwata tad-data personali taċ-ċittadini tal-Unjoni u, min-naħa l-oħra, jekk le, jekk id-Deċiżjonijiet KKS jipprovdux salvagwardji suffiċjenti f’dak li jirrigwarda l-protezzjoni tal-libertajiet u tad-drittijiet fundamentali ta’ dawn tal-aħħar.

50. F’dan ir-rigward, f’abbozz ta’ deċiżjoni (draft decision), id-DPC ikkunsidra provviżorjament li d-dritt Amerikan ma joffrix rimedji ġudizzjarji effettivi fis-sens tal-Artikolu 47 tal-Karta liċ-ċittadini tal-Unjoni li d-data tagħhom tiġi ttrasferita lejn l-Istati Uniti, fejn din tista’ tiġi pproċessata mill-aġenziji Amerikani għal skopijiet ta’ sigurtà nazzjonali b’mod li ma huwiex kompatibbli mal-Artikoli 7 u 8 tal-Karta. Is-salvagwardji previsti mill-klawżoli li jinsabu fl-Anness għad-Deċiżjonijiet KKS ma jirrimedjawx dan in-nuqqas, peress li ma jorbtux lill-awtoritajiet jew lill-aġenziji tal-Istati Uniti u joffru biss lill-persuni kkonċernati drittijiet kuntrattwali kontra l-esportatur u/jew l-importatur tad-data.

51. F’dawn iċ-ċirkustanzi, id-DPC qies li ma setax jiddeċiedi dwar l-ilment ta’ M. Schrems qabel ma l-Qorti tal-Ġustizzja teżamina l-validità tad-Deċiżjonijiet KKS. Konformement ma’ dak li jipprevedi l-punt 65 tas-sentenza Schrems, id-DPC, għalhekk, fetaħ proċedimenti quddiem il-qorti tar-rinviju intiżi biex din tal-aħħar tressaq talba għal deċiżjoni preliminari dwar il-validità ta’ dawn id-deċiżjonijiet quddiem il-Qorti tal-Ġustizzja, fil-każ li jkollha l-istess dubji tad-DPC.

52. Il-Gvern tal-Istati Uniti, l-Electronic Privacy Information Centre (EPIC), il-Business Software Alliance (BSA) u Digitaleurope ġew awtorizzati jintervjenu quddiem il-qorti tar-rinviju.

53. Sabiex tiddetermina jekk tikkondividix id-dubji espressi mid-DPC dwar il-validità tad-Deċiżjonijiet KKS, il-High Court (il-Qorti Għolja) laqgħet il-provi prodotti mill-partijiet fil-kawża u semgħet l-argumenti ppreżentati minnhom kif ukoll mill-intervenjenti. B’mod partikolari, id-dispożizzjonijiet tad-dritt tal-Istati Uniti kienu s-suġġett tal-provi prodotti minn esperti. Fid-dritt Irlandiż, id-dritt barrani huwa meqjus bħala punt ta’ fatt li għandu jiġi stabbilit mill-provi bħal kwalunkwe fatt ieħor. Abbażi ta’ dawn il-provi, il-qorti tar-rinviju evalwat id-dispożizzjonijiet tad-dritt tal-Istati Uniti li jawtorizzaw is-sorveljanza mill-awtoritajiet u l-aġenziji governattivi, il-funzjonament taż-żewġ programmi ta’ sorveljanza rrikonoxxuti pubblikament (“PRISM” u “Upstream”), id-diversi rimedji disponibbli għall-individwi li d-drittijiet tagħhom ikunu ġew miksura minn miżuri ta’ sorveljanza, kif ukoll is-salvagwardji sistemiċi u l-mekkaniżmi ta’ superviżjoni. Dik il-qorti rreġistrat ir-riżultati ta’ din l-evalwazzjoni f’sentenza tat‑3 ta’ Ottubru 2017, annessa għad-digriet tar-rinviju tagħha (iktar ’il quddiem is-“sentenza tal-High Court (il-Qorti Għolja) tat‑3 ta’ Ottubru 2017”).

54. F’dik is-sentenza, il-qorti tar-rinviju rreferiet, fost il-bażijiet legali li jawtorizzaw l-interċettazzjoni ta’ komunikazzjonijiet barranin mis-servizzi tal-intelligence Amerikani, għall-Artikolu 702 tal-Foreign Intelligence Surveillance Act (FISA) (il-Liġi dwar is-Sorveljanza fil-qasam tal-Intelligence Barranija) u għall-Executive Order 12333 (l-Ordni Eżekuttiva Nru 12333, iktar ’il quddiem l-“EO 12333”).

55. Skont il-konstatazzjonijiet magħmula fl-imsemmija sentenza, l-Artikolu 702 tal-FISA jippermetti lill-Attorney General (l-Avukat Ġenerali, l-Istati Uniti) u lid-Director of National Intelligence (DNI) (id-Direttur tal-Intelligence Nazzjonali, l-Istati Uniti) jawtorizzaw b’mod konġunt, għal perijodu ta’ sena, bl-għan li jiksbu informazzjoni ta’ intelligence barranija, is-sorveljanza ta’ persuni li ma humiex ċittadini Amerikani u li ma humiex residenti permanenti fl-Istati Uniti (imsejħa “persuni mhux Amerikani”) meta jkun raġonevoli li wieħed jaħseb li jinsabu barra mit-territorju tal-Istati Uniti ( 14 ). Skont il-FISA, il-kunċett ta’ “intelligence barranija” jirreferi għall-informazzjoni dwar il-kapaċità tal-Gvern li jipproteġi lilu nnifsu mill-attakki tal-barranin, it-terroriżmu, il-proliferazzjoni tal-armi ta’ qerda tal-massa kif ukoll il-kondotta tal-affarijiet barranin tal-Istati Uniti ( 15 ).

56. Dawn l-awtorizzazzjonijiet annwali, kif ukoll il-proċeduri li jirregolaw l-immirar fuq il-persuni li jridu jiġu ssorveljati u l-ipproċessar (“minimisation”) tal-informazzjoni miġbura ( 16 ), iridu jiġu approvati mill-Foreign Intelligence Surveillance Court (FISC) (il-Qorti tas-Sorveljanza tal-Intelligence Barranija, l-Istati Uniti). Filwaqt li s-sorveljanza “tradizzjonali” imwettqa abbażi ta’ dispożizzjonijiet oħrajn tal-FISA teħtieġ li tiġi stabbilita “kawża probabbli” biex il-persuni ssorveljati jiġu ssuspettati li jappartjenu għal xi potenza barranija jew li huma l-aġenti tagħha, l-attivitajiet ta’ sorveljanza mwettqa taħt l-Artikolu 702 tal-FISA la huma suġġetti għall-istabbiliment ta’ tali “kawża probabbli” u lanqas għall-approvazzjoni mill-FISC tal-immirar ta’ persuni speċifiċi. Barra minn hekk, dejjem skont il-konstatazzjonijiet tal-qorti tar-rinviju, il-proċeduri ta’ minimizzazzjoni ma japplikawx għall-persuni mhux Amerikani li jinsabu barra mill-Istati Uniti.

57. Fil-prattika, ladarba tingħata l-awtorizzazzjoni mill-FISC, in-NSA tibgħat lil fornituri tas-servizzi ta’ komunikazzjonijiet elettroniċi stabbiliti fl-Istati Uniti direttivi li jinkludu kriterji ta’ riċerka, imsejħa “seletturi”, assoċjati ma’ persuni fil-mira (bħal numri tat-telefon jew indirizzi elettroniċi). Dawn il-fornituri mbagħad huma obbligati jibagħtu d-data korrispondenti għas-seletturi lin-NSA u jridu jżommu sigrieti d-direttivi mibgħuta lilhom. Huma jistgħu jressqu talba quddiem il-FISC sabiex din temenda jew twarrab direttiva tan-NSA. Id-deċiżjoni tal-FISC tista’ tiġi appellata quddiem il-Foreign Intelligence Surveillance Court of Review (FISCR) (il-Qorti ta’ Rieżami tas-Sorveljanza tal-Intelligence Barranija, l-Istati Uniti).

58. Il-High Court (il-Qorti Għolja) ikkonstatat li l-Artikolu 702 tal-FISA jservi bħala bażi legali għall-programmi PRISM u Upstream.

59. Bħala parti mill-programm PRISM, il-fornituri tas-servizz ta’ komunikazzjonijiet elettroniċi huma obbligati jissottomettu lin-NSA il-komunikazzjonijiet kollha “li ġejjin minn” jew “huma diretti lejn” is-selettur indikat minn din tal-aħħar. Parti minn dawn il-komunikazzjonijiet tintbagħat lill-FBI u lis-Central Intelligence Agency (CIA) (l-Aġenzija Ċentrali tal-Intelligence, l-Istati Uniti). Fl‑2015, 94386 persuna allegatament kienu ssorveljati u, fl‑2011, il-Gvern tal-Istati Uniti kiseb iktar minn 250 miljun komunikazzjoni taħt dan il-programm.

60. Il-programm Upstream huwa bbażat fuq l-appoġġ obbligatorju tal-impriżi li jużaw id-“dorsali”, jiġifieri n-netwerk ta’ kejbils, switches u routers, li fuqhom jgħaddu t-telefonati u l-komunikazzjonijiet bl-internet. Dawn l-impriżi huma obbligati jippermettu lin-NSA tikkopja u tiskrinja l-flussi tat-traffiku tal-internet sabiex tikseb komunikazzjonijiet “li ġejjin minn”, “huma diretti lejn” jew “li jirrigwardaw” selettur imsemmi f’direttiva ta’ din l-aġenzija. Il-komunikazzjonijiet “li jirrigwardaw” selettur jindikaw dawk li jirreferu għal dak is-selettur, mingħajr ma l-persuna mhux Amerikana assoċjata ma’ dak is-selettur neċessarjament tipparteċipa fihom. Għalkemm jirriżulta minn opinjoni tal-FISC tas‑26 ta’ April 2017 li, minn dakinhar, il-Gvern Amerikan ma għadux jiġbor u jikseb komunikazzjonijiet “li jirrigwardaw” selettur, din l-opinjoni ma tindikax li n-NSA waqfet tikkopja u tiskrinja l-flussi ta’ komunikazzjonijiet li jgħaddu mis-sistema ta’ sorveljanza tagħha. Il-programm Upstream jidher li jinvolvi għalhekk l-aċċess min-NSA kemm għall-metadata kif ukoll għall-kontenut tal-komunikazzjonijiet. Mill‑2011 ’l hawn, jidher li n-NSA ġabret madwar 26.5 miljun komunikazzjoni fis-sena bħala parti mill-programm Upstream, li madankollu jirrappreżenta biss parti żgħira mill-komunikazzjonijiet li jiġu skrinjati taħt dan il-programm.

61. Barra minn hekk, skont il-konstatazzjonijiet tal-High Court (il-Qorti Għolja), l-EO 12333 tawtorizza s-sorveljanza ta’ komunikazzjonijiet elettroniċi barra mit-territorju tal-Istati Uniti billi tippermetti l-aċċess, għal skopijiet ta’ intelligence barranija, għal data jew “fi tranżitu” lejn dak it-territorju, jew “li qiegħda tittranżita” minn dak it-territorju mingħajr ma hija intiża li tiġi pproċessata hemmhekk, kif ukoll il-ġbir u ż-żamma ta’ dik id-data. L-EO 12333 tiddefinixxi l-kunċett ta’ “intelligence barranija” bħala li jinkludi l-informazzjoni dwar il-kapaċitajiet, l-intenzjonijiet jew l-attivitajiet ta’ gvernijiet barranin, ta’ organizzazzjonijiet barranin jew ta’ persuni barranin ( 17 ).

62. L-EO 12333 tawtorizza lin-NSA taċċessa l-kejbils sottomarini li jinsabu fil-qiegħ tal-Oċean Atlantiku u li permezz tagħhom id-data tiġi ttrasferita mill-Unjoni lejn l-Istati Uniti, qabel ma dik id-data tasal l-Istati Uniti u għalhekk qabel ma tkun suġġetta għad-dispożizzjonijiet tal-FISA. Madankollu, ma teżisti l-ebda prova dwar xi programm implimentat taħt dik l-ordni eżekuttiva.

63. Għalkemm l-EO 12333 tipprevedi limiti dwar il-ġbir, iż-żamma u t-tixrid tal-informazzjoni, dawn il-limiti ma japplikawx għall-persuni mhux Amerikani. Dawn tal-aħħar jibbenefikaw biss mis-salvagwardji stipulati mill-Presidential Policy Directive 28 (id-Direttiva Strateġika Presidenzjali Nru 28, iktar ’il quddiem il-“PPD 28”), li tapplika għall-attivitajiet kollha ta’ ġbir u ta’ użu ta’ informazzjoni ta’ intelligence barranija ta’ oriġini elettromanjetika. Il-PPD 28 tiddikjara li r-rispett tal-privatezza huwa parti integrali tal-kunsiderazzjonijiet li għandhom jitqiesu waqt l-ippjanar ta’ dawn l-attivitajiet, li l-ġbir għandu jsir biss bl-iskop li tinkiseb informazzjoni ta’ intelligence barranija kif ukoll ta’ kontrospjunaġġ, u li dawn l-attivitajiet għandhom ikunu “kemm jista’ jkun immirati”.

64. Skont il-qorti tar-rinviju, l-attivitajiet tan-NSA ibbażati fuq l-EO 12333, li tista’ tiġi emendata jew irrevokata f’kull ħin mill-President tal-Istati Uniti, ma humiex irregolati mil-liġi, u ma humiex suġġetti għas-superviżjoni ġudizzjarja jew għal rimedji ġudizzjarji.

65. Abbażi ta’ dawn il-konstatazzjonijiet, dik il-qorti tikkunsidra li l-Istati Uniti jipproċessaw data personali fi kwantitajiet kbar u b’mod indiskriminat, li jista’ jesponi lill-persuni kkonċernati għal riskju ta’ ksur tad-drittijiet li għandhom taħt l-Artikoli 7 u 8 tal-Karta.

66. Barra minn hekk, l-imsemmija qorti tindika li ċ-ċittadini tal-Unjoni ma għandhomx aċċess għall-istess rimedji ġudizzjarji kontra l-ipproċessar illegali tad-data personali tagħhom mill-awtoritajiet Amerikani bħaċ-ċittadini Amerikani. Ir-raba’ emenda tal-Kostituzzjoni tal-Istati Uniti, li tikkostitwixxi l-iktar protezzjoni importanti kontra s-sorveljanza illegali, ma hijiex applikabbli għaċ-ċittadini tal-Unjoni li ma għandhomx konnessjoni volontarja sinjifikattiva mal-Istati Uniti. Għalkemm dawn tal-aħħar għandhom madankollu ċerti rimedji oħrajn, dawn jaffaċċjaw ostakoli kbar.

67. B’mod partikolari, l-Artikolu III tal-Kostituzzjoni tal-Istati Uniti jissuġġetta kwalunkwe rikors quddiem il-qrati federali għall-istabbiliment mill-persuna kkonċernata tal-locus standi tagħha (standing). Il-locus standi jissupponi, b’mod partikolari, li din il-persuna turi li ġarrbet ħsara reali li tkun, minn naħa, konkreta u personali u, min-naħa l-oħra, attwali jew imminenti. Waqt li tirreferi, fost l-oħrajn, għas-sentenza tas-Supreme Court of the United States (il-Qorti Suprema tal-Istati Uniti), Clapper vs Amnesty International US ( 18 ), il-qorti tar-rinviju tikkunsidra li, fil-prattika, huwa eċċessivament diffiċli li din il-kundizzjoni tiġi ssodisfatta, fid-dawl, b’mod partikolari, tal-assenza ta’ kwalunkwe obbligu li l-persuni kkonċernati jiġu informati dwar il-miżuri ta’ sorveljanza meħuda fil-konfront tagħhom ( 19 ). Parti mir-rimedji disponibbli għaċ-ċittadini tal-Unjoni hija, barra minn hekk, suġġetta għall-osservanza ta’ kundizzjonijiet restrittivi oħrajn, bħall-ħtieġa li jiġi stabbilit dannu pekunjarju. L-immunità sovrana mogħtija lill-aġenziji tal-intelligence u l-klassifikazzjoni tal-informazzjoni kkonċernata jostakolaw ukoll l-eżerċizzju ta’ ċerti rimedji ġudizzjarji ( 20 ).

68. Il-High Court (il-Qorti Għolja) issemmi, barra minn hekk, diversi mekkaniżmi ta’ stħarriġ u ta’ superviżjoni tal-attivitajiet tal-aġenziji tal-intelligence.

69. Fosthom hemm, minn naħa, il-mekkaniżmu ta’ ċertifikazzjoni annwali mill-FISC tal-programmi bbażati fuq l-Artikolu 702 tal-FISA, li fih, madankollu, il-FISC ma tapprovax is-seletturi individwali. Barra minn hekk, ma hemm l-ebda stħarriġ ġudizzjarju minn qabel fuq il-ġbir tal-informazzjoni ta’ intelligence barranija taħt l-EO 12333.

70. Min-naħa l-oħra, il-qorti tar-rinviju tirreferi għal diversi mekkaniżmi ta’ superviżjoni ekstraġudizzjarja tal-attivitajiet ta’ intelligence. Hija ssemmi, b’mod partikolari, ir-rwol tal-Inspectors General (l-Ispetturi Ġenerali, l-Istati Uniti) li huma inkarigati mis-superviżjoni tal-attivitajiet ta’ sorveljanza fi ħdan kull aġenzija tal-intelligence. Barra minn hekk, il-Privacy and Civil Liberties Oversight Board (PCLOB) (il-Kunsill ta’ Sorveljanza tal-Privatezza u tal-Libertajiet Ċivili, l-Istati Uniti), aġenzija indipendenti fi ħdan is-setgħa eżekuttiva, jirċievi r-rapporti minn persuni maħtura f’kull aġenzija bħala uffiċjali tal-libertajiet ċivili jew tal-privatezza (civil liberties or privacy officers). Il-PCLOB iħejji rapporti b’mod regolari indirizzati lill-kumitati parlamentari u lill-President. L-aġenziji kkonċernati jridu jirrapportaw l-inċidenti dwar in-nuqqas ta’ osservanza tar-regoli u tal-proċeduri li jirregolaw il-ġbir tal-intelligence barranija, b’mod partikolari, lid-DNI. Dawn l-inċidenti jiġu rrapportati wkoll lill-FISC. Il-Kungress tal-Istati Uniti, permezz tal-kumitati tal-intelligence tal-Kamra u tas-Senat, ukoll għandu r-responsabbiltà li jikkontrolla l-attivitajiet ta’ intelligence barranija.

71. Madankollu, il-High Court (il-Qorti Għolja) tenfasizza d-differenza fundamentali bejn, minn naħa, ir-regoli intiżi biex jiżguraw li d-data tinkiseb b’mod legali u li, meta tinkiseb, ma jsirx użu abbużiv minnha, u min-naħa l-oħra, ir-rimedji disponibbli meta dawn ir-regoli jiġu miksura. Il-protezzjoni tad-drittijiet fundamentali tal-persuni kkonċernati tkun żgurata biss jekk rimedji ġudizzjarji effettivi jippermettulhom jinvokaw id-drittijiet tagħhom fil-każ ta’ nuqqas ta’ osservanza tal-imsemmija regoli.

72. F’dawn iċ-ċirkustanzi, il-qorti tar-rinviju tikkunsidra li l-argumenti mressqa mid-DPC, li r-restrizzjonijiet li jimponi d-dritt Amerikan fuq id-dritt għal azzjoni legali tal-persuni li d-data tagħhom tiġi ttrasferita mill-Unjoni ma josservawx il-kontenut essenzjali tad-dritt issalvagwardjat fl-Artikolu 47 tal-Karta u, fi kwalunkwe każ, jikkostitwixxu interferenza sproporzjonata fl-eżerċizzju ta’ dan id-dritt, huma fondati.

73. Skont il-High Court (il-Qorti Għolja), l-introduzzjoni mill-Gvern tal-Istati Uniti tal-mekkaniżmu tal-Ombudsman deskritt fid-Deċiżjoni “Ħarsien tal-privatezza” ma taffettwax din l-evalwazzjoni. Wara li enfasizzat li dan il-mekkaniżmu huwa aċċessibbli għaċ-ċittadini tal-Unjoni li raġonevolment iqisu li d-data tagħhom ġiet ittrasferita konformement mad-Deċiżjonijiet KKS ( 21 ), dik il-qorti osservat li l-Ombudsman ma huwiex qorti li tissodisfa r-rekwiżiti tal-Artikolu 47 tal-Karta u, b’mod partikolari, ma huwiex indipendenti mis-setgħa eżekuttiva ( 22 ). L-imsemmija qorti tiddubita wkoll kemm l-intervent tal-Ombudsman, li d-deċiżjonijiet tiegħu ma jistgħux ikunu suġġetti għal rimedju ġudizzjarju, jirrappreżenta rimedju effettiv. Fil-fatt, dan l-intervent ma jippermettix lill-persuni li d-data personali tagħhom tkun inġabret, ġiet ipproċessata jew kondiviża b’mod illegali, li jiksbu kumpens jew ordni biex jitwaqqfu l-atti illegali, sakemm l-Ombudsman la jikkonferma u lanqas jiċħad li rikorrent kien is-suġġett ta’ miżura ta’ sorveljanza elettronika.

74. Wara li spjegat it-tħassib tagħha dwar l-ekwivalenza sostantiva bejn is-salvagwardji previsti mid-dritt Amerikan u r-rekwiżiti li jirriżultaw mill-Artikoli 7, 8 u 47 tal-Karta, il-qorti tar-rinviju esprimiet dubji dwar jekk il-klawżoli kuntrattwali standard previsti fid-Deċiżjonijiet KKS, li, min-natura tagħhom, ma jorbtux lill-awtoritajiet Amerikani, jistgħux madankollu jiżguraw il-protezzjoni tad-drittijiet fundamentali tal-persuni kkonċernati. Dik il-qorti kkonkludiet minn dan li hija taqsam l-istess dubji tad-DPC dwar il-validità ta’ dawn id-deċiżjonijiet.

75. F’dan ir-rigward, il-qorti tar-rinviju tikkunsidra, b’mod partikolari, li l-Artikolu 28(3) tad-Direttiva 95/46, li għalih jirreferi l-Artikolu 4 tad-Deċiżjoni 2010/87, sa fejn dan jirrikonoxxi l-poter tal-awtoritajiet superviżorji li jissospendu jew jipprojbixxu t-trasferimenti bbażati fuq il-klawżoli kuntrattwali standard previsti f’din id-deċiżjoni, ma huwiex suffiċjenti biex ineħħi dawn id-dubji. Minbarra li, fil-fehma tagħha, dan il-poter huwa biss ta’ natura diskrezzjonali, il-qorti tar-rinviju tiddubita, fid-dawl tal-premessa 11 tad-Deċiżjoni 2010/87, kemm jista’ jiġi eżerċitat meta n-nuqqasijiet ikkonstatati ma jirrigwardawx każ partikolari u eċċezzjonali, iżda huma ġenerali u sistemiċi ( 23 ). Hija tikkunsidra wkoll li r-riskju li deċiżjonijiet diverġenti jingħataw f’diversi Stati Membri jista’ jipprekludi li r-rikonoxximent ta’ tali nuqqasijiet jiġi fdat lill-awtoritajiet ta’ sorveljanza.

76. F’dawn iċ-ċirkustanzi, il-High Court (il-Qorti Għolja) iddeċidiet, permezz ta’ deċiżjoni tal‑4 ta’ Mejju 2018 ( 24 ) li waslet fil-Qorti tal-Ġustizzja fid‑9 ta’ Mejju 2018, li tissospendi l-proċeduri quddiemha u li tagħmel id-domandi preliminari li ġejjin lill-Qorti tal-Ġustizzja: “1) F’ċirkustanzi li fihom data personali hija ttrasferita minn kumpannija privata ta’ Stat Membru tal-[Unjoni] lil kumpannija privata f’pajjiż terz għal skop kummerċjali skont id-[Deċiżjoni 2010/87] u tista’ tiġi pproċessata sussegwentement fil-pajjiż terz mill-awtoritajiet tiegħu għal skopijiet ta’ sigurtà nazzjonali iżda wkoll għal skopijiet ta’ infurzar tal-liġi u tat-twettiq tal-affarijiet barranin tal-pajjiż terz, id-dritt tal-Unjoni, inkluża l-Karta, japplika għat-trasferiment tad-data minkejja d-dispożizzjonijiet tal-Artikolu 4(2) TUE fir-rigward tas-sigurtà nazzjonali u d-dispożizzjonijiet tal-ewwel inċiż tal-Artikolu 3(2) tad-[Direttiva 95/46] fir-rigward tas-sigurtà pubblika, tad-difiża u tas-sigurtà tal-Istat? 2) a) Sabiex jiġi ddeterminat jekk hemmx ksur tad-drittijiet ta’ individwu permezz tat-trasferiment ta’ data mill-Unjoni lejn pajjiż terz skont id-Deċiżjoni [2010/87] fejn din tista’ tiġi pproċessata sussegwentement għal skopijiet ta’ sigurtà nazzjonali, l-istrument ta’ paragun rilevanti għall-finijiet tad-Direttiva [95/46] huwa: i) il-Karta, it-TUE, it-TFUE, id-Direttiva [95/46], il- [Konvenzjoni Ewropea għall-Protezzjoni tad-Drittijiet tal-Bniedem u tal-Libertajiet Fundamentali, iffirmata f’Ruma fl‑4 ta’ Novembru 1950 (iktar ’il quddiem il-‘KEDB’)] (jew xi dispożizzjoni oħra tad-dritt tal-[Unjoni]); jew ii) il-liġijiet nazzjonali ta’ Stat Membru wieħed jew iktar? b) Jekk l-istrument ta’ paragun rilevanti huwa l-(b), il-prattiki fil-kuntest tas-sigurtà nazzjonali fi Stat Membru wieħed jew iktar għandhom ukoll jiġu inklużi fl-istrument ta’ paragun? 3) Sabiex jiġi evalwat jekk pajjiż terz jiżgurax il-livell ta’ protezzjoni meħtieġ mid-dritt tal-Unjoni fir-rigward ta’ data personali ttrasferita lejn dak il-pajjiż għall-finijiet tal-Artikolu 26 tad-Direttiva [95/46], il-livell ta’ protezzjoni fil-pajjiż terz għandu jiġi evalwat b’riferiment: a) għar-regoli applikabbli fil-pajjiż terz li jirriżultaw mil-liġi nazzjonali jew mill-impenji internazzjonali tiegħu, u għall-prattika maħsuba sabiex tiġi żgurata l-osservanza ta’ dawn ir-regoli, li għandhom jinkludu r-regoli professjonali u l-miżuri ta’ sigurtà osservati fil-pajjiż terz; jew b) għar-regoli msemmija f’(a) flimkien mal-prattiki amministrattivi, regolamentari u ta’ konformità u l-garanziji ta’ politika, il-proċeduri, il-protokolli, il-mekkaniżmi ta’ sorveljanza u r-rimedji extra-ġudizzjarji kif jinsabu fil-pajjiż terz? 4) Fid-dawl tal-fatti kkonstatati mill-High Court [(il-Qorti Għolja, l-Irlanda)] fir-rigward tad-dritt tal-Istati Uniti, it-trasferiment ta’ data personali mill-Unjoni lejn l-Istati Uniti skont id-Deċiżjoni [2010/87] jikser id-drittijiet tal-individwi taħt l-Artikoli 7 u/jew 8 tal-Karta? 5) Fid-dawl tal-fatti kkonstatati mill-High Court [(il-Qorti Għolja)] fir-rigward tad-dritt tal-Istati Uniti, jekk data personali hija ttrasferita mill-Unjoni lejn l-Istati Uniti skont id-Deċiżjoni [2010/87]: a) il-livell ta’ protezzjoni mogħti mill-Istati Uniti josserva l-kontenut essenzjali tad-dritt ta’ individwu għal azzjoni ġudizzjarja għal ksur tad-drittijiet tiegħu għall-kunfidenzjalità tad-data ggarantit mill-Artikolu 47 tal-Karta? Fil-każ ta’ risposta fl-affermattiv għal (a): b) il-limitazzjonijiet imposti mid-dritt tal-Istati Uniti fuq id-dritt ta’ individwu għal azzjoni ġudizzjarja fil-kuntest tas-sigurtà nazzjonali tal-Istati Uniti huma proporzjonati fi ħdan it-tifsira tal-Artikolu 52 tal-Karta u ma jeċċedux dak li huwa neċessarju f’soċjetà demokratika għal skopijiet ta’ sigurtà nazzjonali? 6) a) Liema huwa l-livell ta’ protezzjoni meħtieġ li jingħata lil data personali ttrasferita lejn pajjiż terz skont klawżoli kuntrattwali standard adottati skont deċiżjoni tal-Kummissjoni taħt l-Artikolu 26(4) [ta’ dik id-direttiva] fid-dawl tad-dispożizzjonijiet tad-Direttiva [95/46] u b’mod partikolari tal-Artikoli 25 u 26 [tagħha] moqrija fid-dawl tal-Karta? b) Liema huma l-aspetti li għandhom jittieħdu inkunsiderazzjoni fl-evalwazzjoni dwar jekk il-livell ta’ protezzjoni mogħti lil data ttrasferita lejn pajjiż terz skont id-Deċiżjoni [2010/87] jissodisfax ir-rekwiżiti tad-Direttiva [95/46] u tal-Karta? 7) Il-fatt li l-klawżoli kuntrattwali standard japplikaw bejn l-esportatur tad-data u l-importatur tad-data u ma jorbtux lill-awtoritajiet nazzjonali ta’ pajjiż terz li jistgħu jeħtieġu lill-importatur tad-data jipprovdi lis-servizzi ta’ sigurtà tiegħu, għal ipproċessar sussegwenti, id-data personali ttrasferita skont il-klawżoli stipulati fid-Deċiżjoni [2010/87], jipprekludi l-klawżoli milli joffru garanziji adegwati kif previsti fl-Artikolu 26(2) tad-Direttiva [95/46]? 8) Jekk importatur tad-data ta’ pajjiż terz huwa suġġett għal liġijiet ta’ sorveljanza li, fl-opinjoni ta’ [awtorità ta’ sorveljanza] jiksru l-klawżoli tal-Anness mad-Deċiżjoni KKS jew l-Artikoli 25 u 26 tad-Direttiva [95/46] u/jew il-Karta, [awtorità ta’ sorveljanza] hija meħtieġa tuża s-setgħat ta’ infurzar tagħha skont l-Artikolu 28(3) tad-Direttiva [95/46] sabiex tissospendi t-tixrid ta’ data, jew l-eżerċizzju ta’ dawn is-setgħat huwa limitat għal każijiet eċċezzjonali biss, fid-dawl tal-premessa 11 tad-Direttiva [Deċiżjoni 2010/87], jew ukoll [awtorità ta’ sorveljanza] tista’ tuża d-diskrezzjoni tagħha sabiex ma tissospendix it-tixrid ta’ data? 9) a) Għall-finijiet tal-Artikolu 25(6) tad-Direttiva [95/46], id-Deċiżjoni [“Ħarsien tal-Privatezza”] tikkostitwixxi konstatazzjoni ta’ applikazzjoni ġenerali li torbot lill-[awtoritajiet ta’ sorveljanza] u lill-qrati tal-Istati Membri, li skontha l-Istati Uniti tiżgura livell adegwat ta’ protezzjoni fi ħdan it-tifsria tal-Artikolu 25(2) tad-Direttiva [95/46] minħabba d-dritt nazzjonali tagħha jew minħabba l-impenji internazzjonali li hija daħlet għalihom? b) Jekk dan ma huwiex il-każ, x’rilevanza, jekk ikun il-każ, għandha d-Deċiżjoni [“Ħarsien tal-Privatezza”] għall-evalwazzjoni tal-adegwatezza tal-garanziji pprovduti lil data ttrasferita lejn l-Istati Uniti li hija ttrasferita skont id-Deċiżjoni [2010/87]? 10) Fid-dawl tal-konstatazzjonijiet tal-High Court [(il-Qorti Għolja)] fir-rigward tad-dritt tal-Istati Uniti, il-ħolqien tal-Ombudsman għall-Ħarsien tal-Privatezza skont l-Anness A għall-Anness III tad-Deċiżjoni [“Ħarsien tal-Privatezza”], meta meħud flimkien mas-sistema eżistenti fl-Istati Uniti, jiżgura li l-Istati Uniti tipprovdi azzjoni kompatibbli mal-Artikolu 47 tal-Karta lill-persuni li d-data personali tagħhom hija ttrasferita lejn l-Istati Uniti skont id-Deċiżjoni [2010/87]? 11) Id-Deċiżjoni [2010/87] tikser l-Artikoli 7, 8 u/jew 47 tal-Karta?”

77. Id-DPC, Facebook Ireland, M. Schrems, il-Gvern tal-Istati Uniti, l-EPIC, il-BSA, Digitaleurope, l-Irlanda, il-Gvern Belġjan, dak Ċek, dak Ġermaniż, dak Olandiż, dak Awstrijak, dak Pollakk, dak Portugiż u dak tar-Renju Unit, il-Parlament Ewropew u l-Kummissjoni ppreżentaw osservazzjonijiet bil-miktub lill-Qorti tal-Ġustizzja. Id-DPC, Facebook Ireland, M. Schrems, il-Gvern tal-Istati Uniti, l-EPIC, il-BSA, Digitaleurope, l-Irlanda, il-Gvern Ġermaniż, dak Franċiż, dak Olandiż, dak Awstrijak u dak tar-Renju Unit, il-Parlament, il-Kummissjoni u l-Kumitat Ewropew għall-Protezzjoni tad-Data (European Data Protection Board, EDPB) kienu rrappreżentati waqt is-sottomissjonijiet orali tad‑9 ta’ Lulju 2019.

IV. Analiżi

A. Kunsiderazzjonijiet preliminari

78. Wara l-invalidazzjoni tad-Deċiżjoni “Port Salv” mill-Qorti tal-Ġustizzja fis-sentenza Schrems, it-trasferimenti tad-data personali lejn l-Istati Uniti tkomplew abbażi ta’ bażijiet legali oħrajn. B’mod partikolari, il-kumpanniji esportaturi tad-data setgħu jirrikorru għal kuntratti mal-importaturi tad-data li jinkorporaw klawżoli standard imfassla mill-Kummissjoni. Dawn il-klawżoli jservu wkoll bħala bażi legali għat-trasferimenti lejn għadd kbir ta’ pajjiżi terzi oħrajn li għalihom il-Kummissjoni ma adottatx deċiżjoni ta’ adegwatezza ( 25 ). Id-Deċiżjoni “Ħarsien tal-privatezza” issa tippermetti lill-impriżi li jkunu awtoċċertifikaw l-adeżjoni tagħhom mal-prinċipji stipulati fiha li jittrasferixxu data personali lejn l-Istati Uniti mingħajr formalitajiet oħrajn.

79. Kif tindika espressament id-deċiżjoni tar-rinviju u kif enfasizzaw il-BSA, Digitaleurope, l-Irlanda, il-Gvern Awstrijak u dak Franċiż, il-Parlament kif ukoll il-Kummissjoni, il-kawża prinċipali, pendenti quddiem il-High Court (il-Qorti Għolja), għandha l-għan uniku li tiddetermina jekk id-deċiżjoni li permezz tagħha l-Kummissjoni stabbilixxiet il-klawżoli kuntrattwali standard invokati insostenn tat-trasferimenti msemmija fl-ilment ta’ M. Schrems, jiġifieri d-Deċiżjoni 2010/87 ( 26 ), hijiex valida.

80. Din il-kawża għandha l-oriġini tagħha fi lment li permezz tiegħu d-DPC talab lill-qorti tar-rinviju sabiex tirreferi domanda preliminari lill-Qorti tal-Ġustizzja dwar il-validità tad-Deċiżjoni 2010/87. Skont dik il-qorti, il-kawża prinċipali tirrigwarda, għalhekk, l-eżerċizzju tar-rimedju li l-Qorti tal-Ġustizzja ordnat li għandu jiġi stabbilit mill-Istati Membri fil-punt 65 tas-sentenza Schrems.

81. Ta’ min ifakkar li l-Qorti tal-Ġustizzja ddeċidiet, fil-punt 63 ta’ dik is-sentenza, li awtorità superviżorja għandha teżamina t-talba, li permezz tagħha persuna, li d-data personali tagħha ġiet jew tista’ tiġi ttrasferita lejn pajjiż terz li kien is-suġġett ta’ deċiżjoni dwar l-adegwatezza, tikkontesta l-kompatibbiltà ta’ din id-deċiżjoni mad-drittijiet fundamentali stabbiliti fil-Karta, bid-diliġenza kollha meħtieġa. Skont il-punt 65 tal-imsemmija sentenza, fil-każ fejn din l-awtorità tqis li l-ilmenti magħmula huma fondati, hija għandu jkollha, skont it-tielet inċiż tal-ewwel subparagrafu tal-Artikolu 28(3) tad-Direttiva 95/46 (li għalih jikkorrispondi l-Artikolu 58(5) tal-GDPR), moqri fid-dawl tal-Artikolu 8(3) tal-Karta, locus standi in judicio. F’dan ir-rigward, il-leġiżlatur nazzjonali għandu jistabbilixxi rimedji ġudizzjarji li jippermettulu jressaq dawn l-ilmenti quddiem il-qrati nazzjonali sabiex dawn tal-aħħar jipproċedu, jekk jikkondividu l-istess dubji tal-imsemmija awtorità, għal rinviju għal deċiżjoni preliminari dwar il-validità tad-deċiżjoni inkwistjoni.

82. Bħall-qorti tar-rinviju, inqis li dawn il-konklużjonijiet japplikaw b’analoġija meta, fl-okkażjoni tal-ipproċessar ta’ lment imressaq quddiemha, awtorità superviżorja jkollha dubji dwar il-validità mhux ta’ deċiżjoni ta’ adegwatezza, iżda ta’ deċiżjoni, bħad-Deċiżjoni 2010/87, li tistabbilixxi klawżoli kuntrattwali standard għat-trasferiment ta’ data personali lejn pajjiżi terzi. Kuntrarjament għal dak li argumenta l-Gvern Ġermaniż, ma huwiex rilevanti li dawn id-dubji jikkorrispondu ma’ lmenti li l-lanjant ikun ġab għall-attenzjoni tagħha jew li din l-awtorità tikkontesta fuq inizjattiva tagħha stess il-validità tad-deċiżjoni inkwistjoni. Fil-fatt, ir-rekwiżiti li joħorġu mill-Artikolu 58(5) tal-GDPR u mill-Artikolu 8(3) tal-Karta, li l-motivazzjoni tal-Qorti tal-Ġustizzja hija bbażata fuqhom, għandhom japplikaw tkun xi tkun il-bażi legali tat-trasferiment imsemmi fl-ilment imressaq quddiem l-awtorità superviżorja u r-raġunijiet li wasslu lil din l-awtorità sabiex tiddubita l-validità tad-deċiżjoni kkonċernata fil-kuntest tal-ipproċessar ta’ dan l-ilment.

83. Madankollu, għalkemm id-DPC talab lill-qorti tar-rinviju tistaqsi lill-Qorti tal-Ġustizzja dwar il-validità tad-Deċiżjoni 2010/87, dan huwa minħabba li jqis li hija meħtieġa kjarifika mill-Qorti tal-Ġustizzja dwar dan is-suġġett biex jindirizza l-ilment li permezz tiegħu M. Schrems jitolbu jeżerċita l-poter, li kien mogħti lilu skont it-tieni inċiż tal-Artikolu 28(3) tad-Direttiva 95/46, u issa mogħti lilu mill-Artikolu 58(2)(f) tal-GDPR, li jissospendi t-trasferiment tad-data personali dwaru minn Facebook Ireland lejn Facebook Inc.

84. Għalhekk, filwaqt li t-tilwima fil-kawża prinċipali tirrigwarda biss il-validità in abstracto tad-Deċiżjoni 2010/87, il-proċedimenti sottostanti pendenti quddiem id-DPC kienu relatati mal-eżerċizzju minn dan tal-aħħar tal-poter tiegħu li jadotta miżuri korrettivi f’każ speċifiku. Jien nipproponi lill-Qorti tal-Ġustizzja li tillimita ruħha li teżamina d-domandi magħmula sa fejn huwa meħtieġ sabiex tiddeċiedi dwar il-validità tad-Deċiżjoni 2010/87, peress li eżami bħal dan ikun biżżejjed biex il-qorti tar-rinviju tkun f’pożizzjoni li ssolvi l-kawża pendenti quddiemha ( 27 ).

85. Qabel ma tiġi evalwata l-validità ta’ dik id-deċiżjoni, jeħtieġ li jitwarrbu ċerti oġġezzjonijiet imqajma fir-rigward tal-ammissibbiltà tat-talba għal deċiżjoni preliminari.

B. Fuq l-ammissibbiltà tar-rinviju għal deċiżjoni preliminari

86. L-ammissibbiltà tat-talba għal deċiżjoni preliminari ġiet ikkontestata għal diversi raġunijiet essenzjalment relatati man-nuqqas ta’ applikabbiltà ratione temporis tad-Direttiva 95/46 imsemmija fid-domandi preliminari (Taqsima 1), mal-fatt li l-proċedimenti quddiem id-DPC ma waslux fi stadju avvanzat biżżejjed li jiġġustifika l-utilità tagħhom (Taqsima 2) u mas-sussistenza ta’ inċertezzi dwar il-qafas fattwali deskritt mill-qorti tar-rinviju (Taqsima 3).

87. Ser inwieġeb għal dawn l-eċċezzjonijiet ta’ inammissibbiltà billi nżomm f’moħħi l-preżunzjoni ta’ rilevanza li għandhom id-domandi magħmula lill-Qorti tal-Ġustizzja taħt l-Artikolu 267 TFUE. Skont ġurisprudenza stabbilita, il-Qorti tal-Ġustizzja tista’ tirrifjuta li tiddeċiedi dwar talba għal deċiżjoni preliminari biss jekk ikun jidher b’mod ċar li l-interpretazzjoni mitluba tad-dritt tal-Unjoni ma jkollha ebda relazzjoni mar-realtà jew mas-suġġett tal-kawża prinċipali, meta l-problema tkun ta’ natura ipotetika jew inkella meta l-Qorti tal-Ġustizzja ma jkollhiex għad-dispożizzjoni tagħha l-punti ta’ fatt u ta’ liġi meħtieġa biex tkun tista’ twieġeb b’mod utli għad-domandi li jkunu sarulha ( 28 ).

1. Fuq l-applikabbiltà ratione temporis tad-Direttiva 95/46

88. Facebook Ireland teċċepixxi l-inammissibbiltà tad-domandi preliminari minħabba li jirreferu għad-Direttiva 95/46, meta din id-direttiva ġiet irrevokata u ssostitwita mill-GDPR b’effett mill‑25 ta’ Mejju 2018 ( 29 ).

89. Jien naqbel mal-opinjoni li l-validità tad-Deċiżjoni 2010/87 għandha tiġi eżaminata fid-dawl tad-dispożizzjonijiet tal-GDPR.

90. Skont l-Artikolu 94(2) ta’ dan ir-regolament, “[i]r-referenzi għad-Direttiva mħassra għandhom jinftiehmu bħala referenzi [għall-imsemmi regolament]”. Minn dan jirriżulta, jidhirli, li d-Deċiżjoni 2010/87, sa fejn issemmi bħala bażi legali l-Artikolu 26(4) tad-Direttiva 95/46, għandha tinftiehem bħala li tirreferi għall-Artikolu 46(2)(c) tal-GDPR li essenzjalment jirriproduċi l-kontenut tiegħu ( 30 ). Għaldaqstant, id-deċiżjonijiet ta’ implimentazzjoni adottati mill-Kummissjoni skont l-Artikolu 26(4) tad-Direttiva 95/46, qabel id-dħul fis-seħħ tal-GDPR, għandhom jiġu interpretati fid-dawl ta’ dan ir-regolament. Huwa wkoll skont l-imsemmi regolament li għandha tiġi evalwata l-validità tagħhom, jekk ikun il-każ.

91. Din il-konklużjoni ma hijiex ikkontestata mill-ġurisprudenza li tipprovdi li l-legalità ta’ att tal-Unjoni għandha tiġi evalwata skont il-punti ta’ fatt u ta’ liġi eżistenti fid-data meta jkun ġie adottat l-att. Din il-ġurisprudenza tirrigwarda, fil-fatt, l-eżami tal-validità ta’ att tal-Unjoni fid-dawl taċ-ċirkustanzi fattwali rilevanti fil-mument tal-adozzjoni tiegħu ( 31 ) jew tar-regoli proċedurali li jirregolaw l-adozzjoni tiegħu ( 32 ). Min-naħa l-oħra, il-Qorti tal-Ġustizzja eżaminat repetutament il-validità ta’ atti ta’ dritt idderivat skont standards sostantivi ta’ livell ogħla li daħlu fis-seħħ wara l-adozzjoni ta’ dawn l-atti ( 33 ).

92. Madankollu, l-indikazzjoni, fil-formulazzjoni tad-domandi preliminari, ta’ att li ma għadux applikabbli ratione temporis, għalkemm tiġġustifika r-riformulazzjoni ta’ dawn id-domandi, ma tistax twassal għall-inammissibbiltà tagħhom ( 34 ). Kif sostnew id-DPC u M. Schrems, ir-referenzi għad-Direttiva 95/46 fil-formulazzjoni tad-domandi preliminari jistgħu, barra minn hekk, jiġu spjegati fid-dawl tal-iskeda proċedurali ta’ din il-kawża, peress li dawn id-domandi ġew irreiferiti lill-Qorti tal-Ġustizzja qabel id-dħul fis-seħħ tal-GDPR.

93. Fi kwalunkwe każ, id-dispożizzjonijiet tal-GDPR li ser jiġu ttrattati għall-analiżi tad-domandi preliminari – jiġifieri, b’mod partikolari, l-Artikoli 45, 46 u 58 tiegħu – jirriproduċu essenzjalment, filwaqt li jiżviluppawh u b’xi differenzi żgħar, il-kontenut tal-Artikoli 25, 26 u 28 tad-Direttiva 95/46. Fir-rigward tal-aspetti rilevanti tagħhom għall-finijiet tad-deċiżjoni dwar il-validità tad-Deċiżjoni 2010/87, ma nara l-ebda raġuni għalfejn dawn id-dispożizzjonijiet tal-GDPR għandhom jiġu attribwiti portata distinta minn dik tad-dispożizzjonijiet korrispondenti tad-Direttiva 95/46 ( 35 ).

2. Fuq in-natura provviżorja tad-dubji espressi mid-DPC

94. Skont il-Gvern Ġermaniż, it-talba għal deċiżjoni preliminari hija inammissibbli għar-raġuni li l-proċedura ta’ appell imsemmija fil-punt 65 tas-sentenza Schrems tassumi li l-awtorità superviżorja diġà fformat opinjoni finali dwar il-fondatezza tal-ilmenti mressqa mir-rikorrent kontra l-validità tad-deċiżjoni inkwistjoni. Dan ma huwiex il-każ f’din il-kawża sa fejn id-DPC esprima d-dubji tiegħu dwar il-validità tad-Deċiżjoni 2010/87, li barra minn hekk M. Schrems ma jikkontestax, f’abbozz ta’ deċiżjoni mogħtija provviżorjament mingħajr ħsara għall-preżentata eventwali ta’ osservazzjonijiet addizzjonali minn Facebook Ireland u M. Schrems.

95. Fil-fehma tiegħi, in-natura provviżorja tad-dubji espressi mid-DPC ma għandhiex impatt fuq l-ammissibbiltà tar-rinviju għal deċiżjoni preliminari. Fil-fatt, il-kriterji ta’ ammissibbiltà ta’ domanda preliminari għandhom ikunu evalwati fir-rigward tas-suġġett tal-kawża kif iddefinit mill-qorti tar-rinviju ( 36 ). Issa, huwa stabbilit li dan jirrigwarda l-validità tad-Deċiżjoni 2010/87. Skont id-deċiżjoni tar-rinviju u tas-sentenza annessa magħha, dik il-qorti qieset li d-dubji espressi mid-DPC, irrispettivament minn jekk dawn kinux provviżorji jew finali, huma fondati u għalhekk staqsiet lill-Qorti tal-Ġustizzja dwar il-validità ta’ din id-deċiżjoni. F’dawn iċ-ċirkustanzi, il-kjarifika tal-Qorti tal-Ġustizzja dwar dan is-suġġett hija mingħajr ebda dubju rilevanti sabiex tkun tista’ tirriżolvi l-kawża adita biha.

3. Fuq l-inċertezzi dwar id-definizzjoni tal-kuntest fattwali

96. Il-Gvern tar-Renju Unit jallega li l-kuntest fattwali deskritt mill-qorti tar-rinviju fih diversi nuqqasijiet li jikkompromettu l-ammissibbiltà tad-domandi preliminari. Dik il-qorti ma ċċaratx jekk id-data personali dwar M. Schrems effettivament ġietx ittrasferita lejn l-Istati Uniti u lanqas, jekk iva, jekk inġabritx mill-awtoritajiet Amerikani. Il-bażi legali ta’ dawn it-trasferimenti eventwali lanqas ma ġiet identifikata b’ċertezza, peress li d-deċiżjoni tar-rinviju ssemmi biss li d-data tal-utenti Ewropej tan-netwerk soċjali Facebook hija ttrasferita “fil-parti l-kbira” abbażi tal-klawżoli kuntrattwali standard previsti mid-Deċiżjoni 2010/87. Ma ġiex stabbilit, fi kwalunkwe każ, li l-kuntratt bejn Facebook Ireland u Facebook Inc., invokat insostenn tat-trasferiment kontenzjuż, jinkorpora eżattament dawn il-klawżoli. Il-Gvern Ġermaniż jikkontesta wkoll l-ammissibbiltà tar-rinviju għal deċiżjoni preliminari għar-raġuni li l-qorti tar-rinviju ma eżaminatx jekk M. Schrems indubbjament tax il-kunsens tiegħu għat-trasferimenti inkwistjoni, f’liema każ dawn kienu jkunu bbażati b’mod validu fuq l-Artikolu 26(1) tad-Direttiva 95/46 (li l-Artikolu 49(1)(a) tal-GDPR jirriproduċi essenzjalment il-kontenut tiegħu).

97. Dawn l-argumenti ma jippreġudikaw bl-ebda mod ir-rilevanza tar-rinviju għal deċiżjoni preliminari fir-rigward tas-suġġett tal-kawża prinċipali. Billi din il-kawża għandha s-sors tagħha fl-eżerċizzju mid-DPC tar-rimedju ġudizzjarju previst fil-punt 65 tas-sentenza Schrems, l-għan stess tagħha jikkonsisti fil-kisba mill-qorti nazzjonali ta’ rinviju preliminari dwar il-validità tad-Deċiżjoni 2010/87. Il-Gvern Ġermaniż u dak tar-Renju Unit jikkontestaw, fir-realtà, il-ħtieġa tad-domandi preliminari mhux biex jiġi ddeterminat jekk din id-deċiżjoni hijiex valida, iżda sabiex id-DPC ikun jista’ jieħu deċiżjoni in concreto dwar l-ilment ta’ M. Schrems.

98. Fi kwalunkwe każ, anki mill-perspettiva ta’ dawn il-proċedimenti li fuqhom hija bbażata l-kawża prinċipali, id-domandi preliminari li jirrigwardaw il-validità tad-Deċiżjoni 2010/87 ma jidhirlix li huma irrilevanti. Fil-fatt, il-qorti tar-rinviju stabbilixxiet li Facebook Ireland kompliet tittrasferixxi d-data tal-utenti tagħha lejn l-Istati Uniti wara l-invalidazzjoni tad-Deċiżjoni “Port salv” u li dawn it-trasferimenti huma bbażati, tal-inqas parzjalment, fuq din id-deċiżjoni. Barra minn hekk, għalkemm jista’ jkun ta’ vantaġġ li l-fatti rilevanti kollha jkunu stabbiliti qabel ma teżerċita l-ġurisdizzjoni tagħha taħt l-Artikolu 267 TFUE, hija l-qorti tar-rinviju biss li għandha tevalwa f’liema stadju tal-proċedimenti għandha bżonn deċiżjoni preliminari mill-Qorti tal-Ġustizzja ( 37 ).

99. Fid-dawl tal-kunsiderazzjonijiet preċedenti, inqis li t-talba għal deċiżjoni preliminari hija ammissibbli.

C. Fuq l-applikabbiltà tad-dritt tal-Unjoni għat-trasferimenti għal skopijiet kummerċjali ta’ data personali lejn Stat terz li jista’ jipproċessaha għal skopijiet ta’ sigurtà nazzjonali (l-ewwel domanda)

100. Permezz tal-ewwel domanda tagħha, il-qorti tar-rinviju tistaqsi jekk id-dritt tal-Unjoni japplikax għal trasferiment ta’ data personali minn kumpannija li tinsab fi Stat Membru lejn kumpannija stabbilita f’pajjiż terz magħmula għal raġunijiet kummerċjali meta, wara li jkun beda t-trasferiment, id-data tista’ tiġi pproċessata mill-awtoritajiet pubbliċi ta’ dan il-pajjiż terz għal skopijiet li jinkludu l-protezzjoni tas-sigurtà nazzjonali.

101. Il-problema ta’ din id-domanda għar-riżoluzzjoni tal-kawża prinċipali tinsab fil-fatt li, kieku tali trasferiment kellu jaqa’ ’l barra mill-kamp ta’ applikazzjoni tad-dritt tal-Unjoni, l-oġġezzjonijiet kollha mqajma fir-rigward tal-validità tad-Deċiżjoni 2010/87 f’din il-kawża jsiru infondati.

102. Kif osservat il-qorti tar-rinviju, l-ipproċessar ta’ data personali li għandu bħala għan is-sigurtà nazzjonali kien eskluż mill-kamp ta’ applikazzjoni tad-Direttiva 95/46 taħt l-Artikolu 3(2) ta’ din id-direttiva. L-Artikolu 2(2) tal-GDPR issa jispeċifika li r-regolament ma japplikax, b’mod partikolari, għall-ipproċessar ta’ data fil-kuntest ta’ attività li ma taqax fil-kamp ta’ applikazzjoni tad-dritt tal-Unjoni jew mill-awtoritajiet kompetenti għal finijiet ta’ protezzjoni tas-sigurtà pubblika. Dawn id-dispożizzjonijiet jirriflettu r-riżerva ta’ kompetenza li l-Artikolu 4(2) TUE jirrikonoxxi lill-Istati Membri fil-qasam tal-protezzjoni tas-sigurtà nazzjonali.

103. Id-DPC, M. Schrems, l-Irlanda, il-Gvern Ġermaniż, dak Awstrijak, dak Belġjan, dak Ċek, dak Olandiż, dak Pollakk u dak Portugiż kif ukoll il-Parlament u l-Kummissjoni jargumentaw li trasferimenti bħal dawk imsemmija fl-ilment ta’ M. Schrems ma humiex koperti minn dawn id-dispożizzjonijiet u, għaldaqstant, jaqgħu fil-kamp ta’ applikazzjoni tad-dritt tal-Unjoni. Facebook Ireland tiddefendi t-teżi opposta. Jien naqbel mal-opinjoni ta’ dawk tal-ewwel.

104. F’dan ir-rigward, huwa importanti li jiġi enfasizzat li t-trasferiment ta’ data personali minn Stat Membru lejn pajjiż terz jikkostitwixxi, bħala tali, “ipproċessar” skont it-tifsira tal-punt (2) tal-Artikolu 4 tal-GDPR, magħmul fit-territorju ta’ Stat Membru ( 38 ). L-ewwel domanda preliminari għandha, preċiżament, l-għan li tiddetermina jekk id-dritt tal-Unjoni japplikax għall-ipproċessar ikkostitwit mit-trasferiment innifsu. Din id-domanda ma tirrigwardax l-applikabbiltà tad-dritt tal-Unjoni għall-ipproċessar eventwali sussegwenti, mill-awtoritajiet Amerikani għal skopijiet ta’ sigurtà nazzjonali, tad-data ttrasferita lejn l-Istati Uniti, li ma taqax fil-kamp ta’ applikazzjoni territorjali tal-GDPR ( 39 ).

105. F’din il-perspettiva, hija biss l-attività li fil-kuntest tagħha jsir dan it-trasferiment li għandha tittieħed inkunsiderazzjoni biex jiġi ddeterminat jekk id-dritt tal-Unjoni japplikax għat-trasferiment tad-data inkwistjoni, mingħajr ma jitqies l-iskop tal-ipproċessar eventwali sussegwenti li d-data ttrasferita tista’ tkun suġġetta għalih mill-awtoritajiet pubbliċi tal-pajjiż terz ta’ destinazzjoni ( 40 ).

106. Madankollu, mid-deċiżjoni tar-rinviju jirriżulta li t-trasferiment imsemmi fl-ilment ta’ M. Schrems huwa parti minn attività kummerċjali. Barra minn hekk, dan it-trasferiment ma sarx bl-iskop li jippermetti l-ipproċessar sussegwenti tad-data inkwistjoni mill-awtoritajiet Amerikani għal skopijiet ta’ sigurtà nazzjonali.

107. Barra minn hekk, l-approċċ propost minn Facebook Ireland iċaħħad mill-effettività lid-dispożizzjonijiet tal-GDPR dwar it-trasferimenti lejn pajjiżi terzi, ladarba qatt ma jista’ jiġi eskluż li data ttrasferita fil-kuntest ta’ attività kummerċjali tiġi pproċessata għal skopijiet ta’ sigurtà nazzjonali wara t-trasferiment.

108. L-interpretazzjoni li qiegħed nissuġġerixxi jiena hija kkonfermata fil-kliem tal-Artikolu 45(2)(a) tal-GDPR. Din id-dispożizzjoni tindika li, meta tadotta deċiżjoni ta’ adegwatezza, il-Kummissjoni għandha tieħu inkunsiderazzjoni, b’mod partikolari, il-leġiżlazzjoni tal-pajjiż terz inkwistjoni dwar is-sigurtà nazzjonali. Minn dan jista’ jiġi dedott li l-possibbiltà li d-data tiġi pproċessata, mill-awtoritajiet tal-pajjiż terz ta’ destinazzjoni, għal skopijiet ta’ protezzjoni tas-sigurtà nazzjonali ma tirrendix id-dritt tal-Unjoni inapplikabbli għall-ipproċessar ikkostitwit mit-trasferiment tad-data lejn dan il-pajjiż terz.

109. Ir-raġunament u l-konklużjonijiet adottati mill-Qorti tal-Ġustizzja fis-sentenza Schrems huma bbażati wkoll fuq din il-premessa. B’mod partikolari, fiha l-Qorti tal-Ġustizzja eżaminat il-validità tad-Deċiżjoni “Port Salv”, sa fejn din kienet tirrigwarda trasferimenti ta’ data personali lejn l-Istati Uniti fejn setgħet tinġabar u tiġi pproċessata għal skopijiet ta’ protezzjoni tas-sigurtà nazzjonali, fir-rigward tal-Artikolu 25(6) tad-Direttiva 95/46, moqri fid-dawl tal-Karta ( 41 ).

110. Fid-dawl ta’ dawn il-kunsiderazzjonijiet, inqis li d-dritt tal-Unjoni japplika għal trasferiment ta’ data personali minn Stat Membru lejn pajjiż terz meta dan it-trasferiment ikun parti minn attività kummerċjali, irrispettivament minn jekk id-data ttrasferita tistax tkun suġġetta għal ipproċessar mill-awtoritajiet pubbliċi ta’ dan il-pajjiż terz għal skopijiet ta’ protezzjoni tas-sigurtà nazzjonali tiegħu.

D. Fuq il-livell ta’ protezzjoni meħtieġ għal trasferiment ibbażat fuq klawżoli kuntrattwali standard (l-ewwel parti tas-sitt domanda)

111. Skont l-ewwel parti tas-sitt domanda, il-qorti tar-rinviju tistaqsi liema huwa l-livell ta’ protezzjoni tad-drittijiet fundamentali tal-persuni kkonċernati li għandu jiġi żgurat sabiex data personali tkun tista’ tiġi ttrasferita lejn pajjiż terz skont klawżoli kuntrattwali standard previsti fid-Deċiżjoni 2010/87.

112. Dik il-qorti tenfasizza li, fis-sentenza Schrems, il-Qorti tal-Ġustizzja interpretat l-Artikolu 25(6) tad-Direttiva 95/46 (li l-kontenut tagħha huwa essenzjalment irrepetut fl-Artikolu 45(3) tal-GDPR), peress li kien jipprovdi li l-Kummissjoni tista’ tadotta deċiżjoni ta’ adegwatezza biss wara li tkun żgurat li l-pajjiż terz inkwistjoni jiggarantixxi livell ta’ protezzjoni adegwat, bħala li jassumi li din tal-aħħar tistabbilixxi li dan il-pajjiż jiżgura livell ta’ protezzjoni tal-libertajiet u tad-drittijiet fundamentali sostanzjalment ekwivalenti għal dak żgurat fl-Unjoni taħt din id-direttiva, moqrija fid-dawl tal-Karta ( 42 ).

113. F’dan il-kuntest, l-ewwel parti tas-sitt domanda preliminari tistieden lill-Qorti tal-Ġustizzja tiddetermina jekk l-applikazzjoni ta’ “klawżoli kontrattwali standard” adottati mill-Kummissjoni skont l-Artikolu 26(4) tad-Direttiva 95/46, li jikkorrispondu mal-“klawżoli standard ta’ protezzjoni” issa msemmija fl-Artikolu 46(2)(c) tal-GDPR, għandhiex tippermetti li jintlaħaq livell ta’ protezzjoni korrispondenti għall-istess standard ta’ “ekwivalenza sostanzjali”.

114. F’dan ir-rigward, l-Artikolu 46(1) tal-GDPR jipprovdi li l-kontrollur jista’ biss, fl-assenza ta’ deċiżjoni ta’ adegwatezza, jittrasferixxi data personali lejn pajjiż terz jekk “ikun ipprovda salvagwardji xierqa, u bil-kondizzjoni li jkunu disponibbli drittijiet infurzabbli tas-suġġett tad-data u rimedji legali effettivi għas-suġġetti tad-data” (enfasi miżjuda minni) ( 43 ). Skont l-Artikolu 46(2)(c) tal-GDPR, dawk is-salvagwardji jistgħu jkunu previsti b’mod partikolari permezz ta’ klawżoli standard ta’ protezzjoni mfassla mill-Kummissjoni.

115. Bħad-DPC, M. Schrems u l-Irlanda, jien inqis li s-“salvagwardji xierqa” ipprovduti mill-kontrollur li għalihom jirreferi l-Artikolu 46(1) tal-GDPR għandhom jiżguraw li d-drittijiet tal-persuni li d-data tagħhom tiġi ttrasferita jibbenefikaw, bħal fil-każ ta’ trasferiment ibbażat fuq deċiżjoni ta’ adegwatezza, minn livell ta’ protezzjoni sostanzjalment ekwivalenti għal dak li jirriżulta mill-GDPR, moqri fid-dawl tal-Karta.

116. Din il-konklużjoni tirriżulta mill-għan ta’ din id-dispożizzjoni u mill-istrument li minnu tagħmel parti.

117. L-Artikoli 45 u 46 tal-GDPR għandhom l-għan li jiżguraw il-kontinwità tal-livell għoli ta’ protezzjoni tad-data personali żgurat minn dan ir-regolament meta din tiġi ttrasferita barra mill-Unjoni. Fil-fatt, l-Artikolu 44 tal-GDPR, intitolat “Prinċipju ġenerali għal trasferimenti”, jiftaħ il-Kapitolu V dwar it-trasferimenti lejn pajjiżi terzi billi jiddikjara li d-dispożizzjonijiet kollha ta’ dan il-kapitolu għandhom jiġu applikati b’mod li l-livell ta’ protezzjoni żgurat mill-GDPR ma jkunx imdgħajjef fil-każ ta’ trasferiment lejn Stat terz ( 44 ). Din ir-regola għandha l-għan li tevita li l-istandards ta’ protezzjoni li jirriżultaw mid-dritt tal-Unjoni jiġu evitati meta tiġi ttrasferita data personali lejn pajjiż terz sabiex tiġi pproċessata hemmhekk ( 45 ). Fid-dawl ta’ dan l-għan, huwa irrilevanti li t-trasferiment ikun ibbażat fuq deċiżjoni ta’ adegwatezza jew fuq salvagwardji offruti mill-kontrollur, b’mod partikolari permezz ta’ klawżoli kuntrattwali. Ir-rekwiżiti ta’ protezzjoni tad-drittijiet fundamentali ggarantiti mill-Karta ma humiex distinti skont il-bażi legali li fuqha huwa bbażat trasferiment speċifiku ( 46 ).

118. Min-naħa l-oħra, il-mod li bih għandha tinżamm il-kontinwità tal-livell għoli ta’ protezzjoni jvarja skont il-bażi legali tat-trasferiment.

119. Minn naħa, deċiżjoni ta’ adegwatezza għandha l-għan li tikkonstata li l-pajjiż terz inkwistjoni jiżgura huwa stess livell ta’ protezzjoni sostanzjalment ekwivalenti għal dak li għandu jintlaħaq fi ħdan l-Unjoni. L-adozzjoni ta’ deċiżjoni ta’ adegwatezza tassumi li l-Kummissjoni tevalwa minn qabel, għal pajjiż terz speċifiku, il-livell ta’ protezzjoni ggarantit mid-dritt u l-prattiki ta’ dan il-pajjiż terz fid-dawl tal-fatturi stipulati fl-Artikolu 45(3) tal-GDPR. Data personali tista’ mbagħad tiġi ttrasferita lejn l-imsemmi pajjiż terz mingħajr ma l-kontrollur ikollu għalfejn jikseb awtorizzazzjoni speċifika.

120. Min-naħa l-oħra, kif spjegat iktar fid-dettall fit-taqsima li ġejja, is-salvagwardji xierqa offruti mill-kontrollur huma intiżi li jiżguraw livell għoli ta’ protezzjoni fl-ipoteżi ta’ nuqqas ta’ salvagwardji suffiċjenti disponibbli fil-pajjiż terz ta’ destinazzjoni. Għaldaqstant, għalkemm l-Artikolu 46(1) tal-GDPR jippermetti li data personali tiġi ttrasferita lejn Stati terzi li ma jiżgurawx livell adegwat ta’ protezzjoni, din id-dispożizzjoni tawtorizza tali trasferimenti biss meta jiġu pprovduti salvagwardji xierqa b’mezzi oħrajn. Il-klawżoli kuntrattwali standard adottati mill-Kummissjoni jirrappreżentaw, f’dan ir-rigward, mekkaniżmu ġenerali applikabbli għat-trasferimenti jkunu xi jkunu l-pajjiż terz ta’ destinazzjoni u l-livell ta’ protezzjoni pprovdut hemmhekk.

E. Fuq il-validità tad-Deċiżjoni 2010/87 fid-dawl tal-Artikoli 7, 8 u 47 tal-Karta (is-seba’, it-tmien u l-ħdax‑il domanda)

121. Permezz tas-seba’ domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk id-Deċiżjoni 2010/87 hijiex invalida minħabba l-fatt li ma torbotx lill-awtoritajiet tal-Istati terzi li lejhom tiġi ttrasferita data taħt il-klawżoli kuntrattwali standard previsti fl-anness għal din id-deċiżjoni u, b’mod partikolari, li din ma tipprekludihomx milli jeżiġu mill-importatur li dan ipoġġi din id-data għad-dispożizzjoni tagħhom. Għaldaqstant, din id-domanda tikkontesta l-possibbiltà stess li jiġi żgurat livell adegwat ta’ protezzjoni ta’ tali data permezz ta’ mekkaniżmi esklużivament kuntrattwali. Il-ħdax‑il domanda tirrigwarda b’mod iktar ġenerali l-validità tad-Deċiżjoni 2010/87 fid-dawl tal-Artikoli 7, 8 u 47 tal-Karta.

122. It-tmien domanda tistieden lill-Qorti tal-Ġustizzja tiddetermina jekk awtorità superviżorja għandhiex tuża s-setgħat li jagħtiha l-Artikolu 58(2)(f) u (j) tal-GDPR sabiex tissospendi trasferiment lejn pajjiż terz ibbażat fuq il-klawżoli kuntrattwali standard previsti mid-Deċiżjoni 2010/87 meta hija tqis li l-importatur tad-data hemmhekk huwa suġġett għal obbligi li jipprekluduh milli jonora dawn il-klawżoli u li għandhom l-effett li ma tistax tiġi żgurata protezzjoni xierqa tad-data ttrasferita. Sa fejn ir-risposta għal din id-domanda taffettwa, fil-fehma tiegħi, il-validità tad-Deċiżjoni 2010/87 ( 47 ), jien ser nindirizzaha flimkien mas-seba’ u mal-ħdax‑il domanda.

123. Il-formulazzjoni tal-Artikolu 46(1) tal-GDPR, minħabba li tipprevedi li, “[f]in-nuqqas ta’ deċiżjoni skont l-Artikolu 45(3), kontrollur jew proċessur jista’ jittrasferixxi data personali lejn pajjiż terz […] biss jekk il-kontrollur jew il-proċessur ikun ipprovda salvagwardji xierqa […]” (enfasi miżjuda minni), tenfasizza l-loġika wara l-mekkaniżmi k