–

għal CK, minn C. Wirthensohn, Rechtsanwalt,

–

għal Dun & Bradstreet Austria GmbH, minn D. Cooper, solicitor, A.‑S. Oberschelp de Meneses, avocate, K. Van Quathem u B. Van Vooren, advocaten,

–

għall-Gvern Spanjol, minn A. Ballesteros Panizo, bħala aġent,

–

għall-Gvern tal-Pajjiżi l-Baxxi, minn M. K. Bulterman u C. S. Schillemans, bħala aġenti,

–

għall-Gvern Pollakk, minn B. Majczyna, bħala aġent,

–

għall-Kummissjoni Ewropea, minn A. Bouchagiar, F. Erlbacher u H. Kranenborg, bħala aġenti,

1

It-talba għal deċiżjoni preliminari tirrigwarda l-interpretazzjoni, minn naħa, tal-Artikolu 15(1)(h) u tal-Artikolu 22 tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-“GDPR”), u min-naħa l-oħra, tal-punt 1 tal-Artikolu 2 tad-Direttiva (UE) 2016/943 tal-Parlament Ewropew u tal-Kunsill tat‑8 ta’ Ġunju 2016 dwar il-protezzjoni ta’ konoxxenza u ta’ informazzjoni kummerċjali kunfidenzjali (sigrieti kummerċjali) kontra l-ksib, l-użu u l-iżvelar illegali tagħhom (ĠU 2016, L 157, p. 1).

2

Din it-talba tressqet fil-kuntest ta’ tilwima bejn CK u l-Magistrat der Stadt Wien (l-Amministrazzjoni Muniċipali tal-Belt ta’ Vjenna, l-Awstrija) dwar l-eżekuzzjoni forzata ta’ deċiżjoni ġudizzjarja li tordna lil Bisnode Austria GmbH, li saret Dun & Bradstreet Austria GmbH (iktar ’il quddiem “D & B”), impriża speċjalizzata fil-provvista ta’ evalwazzjonijiet ta’ kreditu, tipprovdi lil CK informazzjoni importanti dwar il-loġika involuta fi tfassil ta’ profili li jirrigwarda d-data personali tagħha.

3

Il-premessi 4, 11, 58, 63 u 71 tal-GDPR jipprovdu:

[…]

[…]

[…]

[…]

4

Il-punt 4 tal-Artikolu 4 ta’ dan ir-regolament, bit-titolu “Definizzjonijiet”, jipprevedi:

“Għall-finijiet ta’ dan ir-Regolament:

[…]

‘tfassil tal-profil’ tfisser kwalunkwe forma ta’ pproċessar awtomatizzat ta’ data personali li jikkonsisti fl-użu ta’ data personali biex jiġu evalwati ċerti aspetti personali relatati ma’ persuna fiżika, b’mod partikolari biex jiġu analizzati jew imbassra aspetti rigward il-prestazzjoni fuq ix-xogħol, is-sitwazzjoni ekonomika, is-saħħa, il-preferenzi personali, l-interessi, l-affidabbiltà, l-imġiba, il-lokalizzazzjoni jew il-movimenti ta’ dik il-persuna fiżika”.

5

L-Artikolu 12 tal-imsemmi regolament, bit-titolu “Informazzjoni, komunikazzjoni u modalitajiet trasparenti għall-eżerċizzju tad-drittijiet tas-suġġett tad-data”, jipprovdi fil-paragrafu 1 tiegħu:

“Il-kontrollur għandu jieħu miżuri adatti biex jipprovdi kwalunkwe informazzjoni msemmija fl-Artikoli 13 u 14 u kwalunkwe komunikazzjoni skont l-Artikoli 15 sa 22 u 34 relatata mal-ipproċessar lis-suġġett tad-data f’forma konċiża, trasparenti, intelliġibbli u faċilment aċċessibbli, bl-użu ta’ lingwaġġ ċar u sempliċi, b’mod partikolari għal kwalunkwe informazzjoni indirizzata speċifikament lil minorenni. […]”

6

L-Artikolu 13 tal-istess regolament, li jirrigwarda l-informazzjoni li għandha tiġi pprovduta meta data personali tinġabar mingħand is-suġġett tad-data, u l-Artikolu 14 tiegħu, li jirrigwarda l-informazzjoni li għandha tiġi pprovduta meta d-data personali ma tkunx inġabret mingħand is-suġġett tad-data, jipprevedu rispettivament fil-paragrafu 2(f) u (2)(g) tagħhom li l-kontrollur għandu l-obbligu jipprovdi lis-suġġett tad-data, sabiex jiġi ggarantit ipproċessar ġust u trasparenti fil-konfront tiegħu, b’mod partikolari, l-informazzjoni dwar “l-eżistenza ta’ teħid awtomatizzat ta’ deċiżjonijiet inkluż it-tfassil ta’ profili msemmi fl-Artikolu 22(1) u (4) u għall-inqas f’dawk il-każijiet, l-informazzjoni importanti dwar il-loġika involuta, kif ukoll is-sinifikat u l-konsegwenzi previsti ta’ tali pproċessar għas-suġġett tad-data”.

7

L-Artikolu 15 tal-GDPR, bit-titolu “Dritt ta’ aċċess mis-suġġett tad-data”, huwa fformulat kif ġej:

“1.   Is-suġġett tad-data għandu d-dritt li jikseb mingħand il-kontrollur konferma dwar jekk id-data personali li tikkonċerna lilu hijiex qiegħda tiġi proċessata jew le, u, fejn dan ikun il-każ, l-aċċess għad-data personali u l-informazzjoni li ġejja:

[…]

[…]

3.   Il-kontrollur għandu jipprovdi kopja tad-data personali li tkun qiegħda tiġi pproċessata. Għal aktar kopji mitluba mis-suġġett tad-data, il-kontrollur jista’ jimponi tariffa raġonevoli bbażata fuq l-ispejjeż amministrattivi. Fejn is-suġġett tad-data jagħmel it-talba b’mezzi elettroniċi, u sakemm ma jkunx mitlub mod ieħor mis-suġġett tad-data, l-informazzjoni għandha tiġi pprovduta f’forma elettronika użata b’mod komuni.

4.   Id-dritt li tinkiseb kopja msemmija fil-paragrafu 3 ma għandux jaffettwa b’mod negattiv id-drittijiet u l-libertajiet ta’ oħrajn.”

8

L-Artikolu 22 ta’ dan ir-regolament, bit-titolu “Teħid ta’ deċiżjonijiet individwali awtomatizzati, inkluż tfassil ta’ profil”, jipprovdi:

“1.   Is-suġġett tad-data għandu d-dritt li ma jkunx soġġett għal deċiżjoni bbażata unikament fuq ipproċessar awtomatizzat, inkluż it-tfassil ta’ profili, li jipproduċi effetti legali li jikkonċernaw lilu jew li bl-istess mod jaffettwa lilu b’mod sinifikanti.

2.   Il-paragrafu 1 ma għandux japplika jekk id-deċiżjoni:

3.   F’każijiet imsemmija fil-punt (a) u (c) tal-paragrafu 2, il-kontrollur tad-data għandu jimplimenta miżuri adatti biex jiġu salvagwardati d-drittijiet u l-libertajiet u l-interessi leġittimi tas-suġġett tad-data, mill-inqas id-dritt li jikseb intervent uman min-naħa tal-kontrollur, li jesprimi l-fehma tiegħu u li jikkontesta d-deċiżjoni.

4.   Id-deċiżjonijiet imsemmija fil-paragrafu 2 ma għandhomx ikunu bbażati fuq kategoriji speċjali ta’ data personali msemmija fl-Artikolu 9(1), sakemm ma japplikax il-punt (a) jew (g) tal-Artikolu 9(2) u ma jkunux fis-seħħ miżuri biex jiġu salvagwardati d-drittijiet u l-libertajiet u l-interessi leġittimi tas-suġġett tad-data.”

9

Skont l-Artikolu 23 tal-imsemmi regolament, bit-titolu “Restrizzjonijiet”:

“1.   Il-liġi tal-Unjoni jew ta’ Stat Membru li għaliha jkun soġġett il-kontrollur jew il-proċessur tad-data tista’ tirrestrinġi permezz ta’ miżura leġiżlattiva l-kamp ta’ applikazzjoni tal-obbligi u d-drittijiet previsti fl-Artikoli 12 sa 22 u l-Artikolu 34, kif ukoll l-Artikolu 5 sakemm id-dispożizzjonijiet tiegħu jikkorrispondu mad-drittijiet u l-obbligi previsti fl-Artikoli 12 sa 22, meta tali restrizzjoni tirrispetta l-essenza tad-drittijiet u l-libertajiet fundamentali u hija miżura meħtieġa u proporzjonata f’soċjetà demokratika għas-salvagwardja ta’:

[…]

(i) il-protezzjoni tas-suġġett tad-data jew id-drittijiet u l-libertajiet ta’ persuni oħrajn;

[…]

2.   B’mod partikolari, kull miżura leġiżlattiva msemmija fil-paragrafu 1 għandu jkun fiha dispożizzjonijiet speċifiċi tal-inqas, fejn rilevanti, dwar:

10

L-Artikolu 54 tal-istess regolament, bit-titolu “Regoli dwar l-istabbiliment tal-awtorità superviżorja”, jipprovdi, fil-paragrafu 2 tiegħu:

“Il-membru jew il-membri u l-persunal ta’ kull awtorità superviżorja għandhom, f’konformità mal-liġi tal-Unjoni jew ta’ Stat Membru, ikunu soġġetti għal dmir ta’ segretezza professjonali kemm matul kif ukoll wara l-mandat tagħhom, fir-rigward ta’ kwalunkwe informazzjoni kunfidenzjali li jkunu saru jafu biha matul it-twettiq tal-kompiti tagħhom jew l-eżerċizzju tas-setgħat tagħhom. Matul il-mandat tagħhom, dak id-dmir ta’ segretezza professjonali għandu japplika b’mod partikolari għar-rappurtar minn persuni fiżiċi ta’ ksur ta’ dan ir-Regolament.”

11

L-Artikolu 58 tal-GDPR, bit-titolu “Setgħat”, jipprevedi, fil-punt (e) tal-paragrafu 1 tiegħu:

“Kull awtorità superviżorja għandu jkollha s-setgħat kollha investigattivi li ġejjin:

12

Il-premessa 35 tad-Direttiva 2016/943 tipprovdi:

“[…] din id-Direttiva m’għandhiex taffettwa d-drittijiet u l-obbligi stipulati fid-[Direttiva tal-Parlament Ewropew u tal-Kunsill 95/46/KE tal‑24 ta’ Ottubru, 1995 dwar il-protezzjoni ta’ individwi fir-rigward ta’ l-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ dik id-data (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 13, Vol. 15, p. 355), b’mod partikolari d-drittijiet tad-data soġġetta għall-aċċess tad-data personali tiegħu jew tagħha li tkun qed tiġi pproċessata u biex tinkiseb ir-rettifika, it-tħassir jew l-imblokk tad-data fejn din ma tkunx kompluta jew mhux preċiża […]”.

13

Il-punt 1 tal-Artikolu 2 ta’ din id-direttiva jipprevedi:

“Għall-finijiet ta’ din id-Direttiva, għandhom japplikaw id-definizzjonijiet li ġejjin:

14

L-Artikolu 9 tal-imsemmija direttiva, bit-titolu “Preservazzjoni tal-kunfidenzjalità tas-sigrieti kummerċjali matul il-kors tal-proċedimenti legali”, jipprovdi:

“1.   L-Istati Membri għandhom jiżguraw li l-partijiet, l-avukati jew rappreżentanti oħra tagħhom, l-uffiċjali tal-qorti, xhieda, esperti u kull persuna oħra li tkun qed tipparteċipa fi proċedimenti legali dwar il-ksib, l-użu jew l-iżvelar illegali ta’ sigriet kummerċjali, jew min għandu aċċess għal dokumenti li jiffurmaw parti minn dawk il-proċedimenti legali, ma jitħallew jużaw jew jiżvelaw l-ebda sigriet kummerċjali jew allegat sigriet kummerċjali li l-awtoritajiet ġudizzjarji kompetenti jkunu, b’rispons għal applikazzjoni motivata kif dovut minn parti interessata, identifikaw bħala kunfidenzjali u li jkunu saru konxji minnha bħala riżultat ta’ tali parteċipazzjoni jew aċċess. F’dak ir-rigward, l-Istati Membri jistgħu jippermettu wkoll li l-awtoritajiet ġudizzjarji kompetenti jaġixxu fuq inizjattiva tagħhom stess.

L-obbligu msemmi fl-ewwel subparagrafu għandu jibqa’ fis-seħħ wara li jintemmu l-proċedimenti legali. Madankollu, tali obbligu m’għandux jibqa’ jeżisti fi kwalunkwe waħda miċ-ċirkostanzi li ġejjin:

2.   L-Istati Membri għandhom jiżguraw ukoll li l-awtoritajiet ġudizzjarji kompetenti jistgħu, fuq applikazzjoni debitament raġunata minn parti, jieħdu miżuri speċifiċi meħtieġa biex jippreservaw il-kunfidenzjalità ta’ kwalunkwe sigriet kummerċjali jew allegat sigriet kummerċjali użat jew imsemmi matul proċedimenti legali li jirrigwardaw il-ksib, l-użu jew l-iżvelar illegali ta’ sigriet kummerċjali. L-Istati Membri jistgħu jippermettu wkoll li l-awtoritajiet ġudizzjarji kompetenti jieħdu tali miżuri fuq inizjattiva tagħhom stess.

Il-miżuri msemmija fl-ewwel subparagrafu għandhom mill-inqas jinkludu l-possibbiltà:

In-numru ta’ persuni msemmija fil-punti (a) u (b) tat-tieni subparagrafu m’għandux ikun akbar minn dak li huwa meħtieġ sabiex tiġi żgurata l-konformità mad-dritt tal-partijiet fil-proċedimenti legali għal rimedju effettiv u għal proċess imparzjali u għandu jinkludi, tal-inqas, persuna fiżika waħda minn kull parti u l-avukati rispettivi jew rappreżentanti oħra ta’ dawk il-partijiet fil-proċedimenti legali.

3.   Meta jiddeċiedu dwar il-miżuri msemmija fil-paragrafu 2 u jivvalutaw il-proporzjonalità tagħhom, l-awtoritajiet ġudizzjarji kompetenti għandhom iqisu l-ħtieġa li jiġi żgurat id-dritt għal rimedju effettiv u għal proċess imparzjali, l-interessi leġittimi tal-partijiet u, fejn xieraq, ta’ partijiet terzi, u kwalunkwe ħsara potenzjali għal waħda mill-partijiet, u, fejn xieraq, għal partijiet terzi, li jirriżultaw mill-għoti jew ir-rifjut ta’ tali miżuri.

4.   Kwalunkwe pproċessar ta’ data personali skont il-paragrafi 1, 2 jew 3 għandu jitwettaq f’konformità mad-[Direttiva 95/46].”

15

L-Artikolu 4(6) tad-Datenschutzgesetz (il-Liġi dwar il-Protezzjoni tad-Data), tas‑17 ta’ Awwissu 1999 (BGBl. I, 165/1999), fil-verżjoni tagħha applikabbli għat-tilwima fil-kawża prinċipali (iktar ’il quddiem id-“DSG”), jeskludi, bħala prinċipju, l-aċċess tas-suġġett tad-data għad-data personali tiegħu, previst fl-Artikolu 15 tal-GDPR, meta dan l-aċċess ikun jippreġudika sigriet kummerċjali jew industrijali tal-kontrollur jew ta’ terz.

16

Operatur ta’ telefonija mobbli rrifjuta li jikkonkludi ma’ CK jew li jestendi fir-rigward tagħha kuntratt ta’ telefonija mobbli, li kien jinvolvi l-ħlas fix-xahar ta’ somma ta’ EUR 10, għar-raġuni li, skont evalwazzjoni awtomatizzata tal-kreditu tagħha, imwettqa minn D & B, hija ma kellhiex solvenza finanzjarja suffiċjenti.

17

CK ressqet talba quddiem l-awtorità Awstrijaka għall-protezzjoni tad-data, li ordnat lil D & B tikkomunika lil CK informazzjoni importanti dwar il-loġika involuta fit-teħid awtomatizzat ta’ deċiżjoni bbażata fuq id-data personali relatata ma’ CK.

18

D & B ippreżentat rikors kontra d-deċiżjoni ta’ din l-awtorità quddiem il-Bundesverwaltungsgericht (il-Qorti Amministrattiva Federali, l-Awstrija), fejn sostniet, essenzjalment, li, minħabba sigriet kummerċjali protett, hija ma kellhiex l-obbligu tikkomunika lil CK informazzjoni addizzjonali għal dik li kienet diġà ġiet ipprovduta lilha.

19

Permezz ta’ deċiżjoni tat‑23 ta’ Ottubru 2019 (iktar ’il quddiem id-“deċiżjoni tat‑23 ta’ Ottubru 2019”), dik il-qorti kkonstatat li D & B kienet kisret l-Artikolu 15(1)(h) tal-GDPR, billi ma pprovdietx lil CK informazzjoni importanti dwar il-loġika involuta fit-teħid awtomatizzat ta’ deċiżjoni bbażata fuq id-data personali ta’ CK, jew, tal-inqas, billi ma mmotivatx b’mod suffiċjenti l-impossibbiltà li hija sabet ruħha fiha sabiex tipprovdi din l-informazzjoni.

20

B’mod partikolari, f’din id-deċiżjoni, il-Bundesverwaltungsgericht (il-Qorti Amministrattiva Federali) irrilevat li D & B ma kinitx ipprovdiet lil CK bi spjegazzjonijiet suffiċjenti li jippermettulha tifhem kif kienet ġiet stabbilita, fir-rigward tagħha, il-pronjożi dwar il-probabbiltà tal-aġir futur tagħha (“score”), li din l-impriża kkomunikatilha bil-preċiżazzjoni li, sabiex jinkiseb dan l-“iscore”, ċerta data soċjodemografika ta’ CK kienet ġiet “aggregata b’mod ekwivalenti”.

21

Id-deċiżjoni tat‑23 ta’ Ottubru 2019 saret definittiva u hija eżekuttiva bis-saħħa tad-dritt Awstrijak. Madankollu, it-talba għall-eżekuzzjoni forzata ta’ din id-deċiżjoni, imressqa minn CK quddiem l-amministrazzjoni muniċipali tal-belt ta’ Vjenna, li hija l-awtorità ta’ eżekuzzjoni, ġiet miċħuda minħabba li D & B issodisfat b’mod suffiċjenti l-obbligu tagħha ta’ informazzjoni, minkejja li din il-kumpannija ma pprovdiet ebda informazzjoni addizzjonali wara l-adozzjoni ta’ din l-istess deċiżjoni.

22

CK ippreżentat rikors kontra d-deċiżjoni tal-amministrazzjoni muniċipali tal-belt ta’ Vjenna quddiem il-Verwaltungsgericht Wien (il-Qorti Amministrattiva ta’ Vjenna, l-Awstrija), li hija l-qorti tar-rinviju, bil-għan tal-eżekuzzjoni forzata tad-deċiżjoni tat‑23 ta’ Ottubru 2019.

23

Il-qorti tar-rinviju tqis li, skont id-dritt Awstrijak, hija għandha l-obbligu teżegwixxi din l-aħħar deċiżjoni, fatt li jimplika li jiġu ddeterminati l-atti konkreti li D & B għandha l-obbligu twettaq skont din id-deċiżjoni.

24

Peress li qieset li din id-determinazzjoni tista’ titwettaq biss minn espert li jkollu l-kompetenzi meħtieġa, il-qorti tar-rinviju ħatret espert li qies li D & B għandha l-obbligu tipprovdi, sabiex tissodisfa l-obbligi tagħha fir-rigward ta’ CK, l-informazzjoni minima li ġejja:

25

Sabiex jiġi żgurat li, wara l-komunikazzjoni tagħha, l-eżattezza ta’ din l-informazzjoni minima tkun tista’ tiġi vverifikata minn CK, D & B kellha tipprovdi wkoll lista li tistabbilixxi l- “iscores” ta’ persuni (“scoring”) għall-perijodu li jkopri s-sitt xhur preċedenti u s-sitt xhur sussegwenti għall-istabbiliment tal-“iscore ” ta’ CK, u li nkisbu abbażi tal-istess regola ta’ kalkolu.

26

Skont il-qorti tar-rinviju, hija biss il-komunikazzjoni tal-informazzjoni minima identifikata mill-imsemmi espert li tkun tippermetti li tiġi vverifikata l-koerenza u l-eżattezza tal-informazzjoni pprovduta minn kontrollur skont l-Artikolu 15(1)(h) tal-GDPR.

27

F’dan il-każ, diversi indizji juru b’mod ċar li l-informazzjoni pprovduta minn D & B tmur kontra l-fatti. Fil-fatt, filwaqt li l-informazzjoni kkomunikata lil CK, fostha b’mod partikolari l-“iscore” miksub, kienet turi solvenza tajba ħafna tagħha, it-tfassil ta’ profili reali kien wassal sabiex jitqies li hija ma kinitx solventi, inkluż fir-rigward tal-ħlas tas-somma ta’ EUR 10 fix-xahar abbażi ta’ kuntratt ta’ telefonija mobbli.

28

Il-qorti tar-rinviju tqis li tqum għalhekk il-kwistjoni dwar jekk l-Artikolu 15(1)(h) tal-GDPR jiggarantixxix lis-suġġett tad-data li huwa jkun jista’ jivverifika l-eżattezza tal-informazzjoni kkomunikata mill-kontrollur.

29

Fil-każ li l-Artikolu 15(1)(h) tal-GDPR ma jkunx jiggarantixxi din il-verifika, id-dritt ta’ aċċess għad-data personali tas-suġġett tad-data u għal informazzjoni oħra previst fih ikun jitlef kull portata u jsir inutli, peress li kull kontrollur ikun jista’ f’dan il-każ jipprovdi informazzjoni żbaljata.

30

Tqum ukoll il-kwistjoni dwar jekk u, jekk ikun il-każ, sa fejn l-eċċezzjoni bbażata fuq l-eżistenza ta’ sigriet kummerċjali hijiex ta’ natura li tirrestrinġi dan id-dritt ta’ aċċess iggarantit mid-dispożizzjonijiet magħquda tal-Artikolu 15(1)(h) u tal-Artikolu 22 tal-GDPR.

31

Fid-dawl tar-regoli previsti fl-Artikolu 9 tad-Direttiva 2016/943, għandu jiġi evalwat jekk huwiex possibbli li tiġi kkomunikata biss lill-awtorità jew lill-qorti adita l-informazzjoni kklassifikata bħala “sigriet kummerċjali”, fis-sens tal-punt 1 tal-Artikolu 2 ta’ din id-direttiva, sabiex din l-awtorità jew dik il-qorti tivverifika b’mod awtonomu jekk hemmx lok li jitqies li effettivament jeżisti tali sigriet kummerċjali u jekk din l-informazzjoni pprovduta mill-kontrollur, fis-sens tal-Artikolu 15(1) tal-GDPR, hijiex konformi mar-realtà tas-sitwazzjoni inkwistjoni.

32

Fl-aħħar nett, għandu jiġi eżaminat jekk dispożizzjoni bħall-Artikolu 4(6) tad-DSG, li teskludi, bħala prinċipju, id-dritt ta’ aċċess tas-suġġett tad-data, previst fl-Artikolu 15 tal-GDPR, meta dan l-aċċess ikun jikkomprometti sigriet kummerċjali jew ta’ impriża tal-kontrollur jew ta’ terz, tistax titqies li hija konformi mad-dispożizzjonijiet magħquda tal-Artikolu 15(1) u tal-Artikolu 22(3) tal-GDPR.

33

F’dawn iċ-ċirkustanzi, il-Verwaltungsgericht Wien (il-Qorti Amministrattiva ta’ Vjenna) iddeċidiet li tissospendi l-proċedura u tagħmel lill-Qorti tal-Ġustizzja d-domandi preliminari li ġejjin:

34

Permezz ta’ deċiżjoni tat‑8 ta’ Diċembru 2022, il-President tal-Qorti tal-Ġustizzja ssospenda din il-proċedura fl-istennija tad-deċiżjoni li ttemm l-istanza fil-Kawża C‑634/21, SCHUFA Holding et (Scoring).

35

Konformement mad-deċiżjoni tal-President tal-Qorti tal-Ġustizzja tat‑13 ta’ Diċembru 2023, ir-Reġistru tal-Qorti tal-Ġustizzja kkomunika lill-qorti tar-rinviju s-sentenza tas‑7 ta’ Diċembru 2023, SCHUFA Holding et (Scoring) (C‑634/21, EU:C:2023:957), filwaqt li stedinha tindikalu jekk, fid-dawl ta’ dik is-sentenza, hija xtaqitx iżżomm it-talba tagħha għal deċiżjoni preliminari.

36

Permezz ta’ ittra li waslet fir-Reġistru tal-Qorti tal-Ġustizzja fid‑29 ta’ Jannar 2024, dik il-qorti indikat li hija kienet qiegħda żżomm it-talba tagħha għal deċiżjoni preliminari, peress li s-sentenza tas‑7 ta’ Diċembru 2023, SCHUFA Holding et (Scoring) (C‑634/21, EU:C:2023:957), ma kinitx tippermetti li tingħata risposta għad-domandi li hija għamlet f’din il-kawża.

37

Għaldaqstant, permezz ta’ deċiżjoni tal‑14 ta’ Frar 2023, il-President tal-Qorti tal-Ġustizzja ordna t-tkomplija tal-proċedura f’din il-kawża.

38

Permezz tal-ewwel u tat-tieni domanda kif ukoll permezz tal-punt (a) tat-tielet domanda, li għandhom jiġu eżaminati flimkien, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 15(1)(h) tal-GDPR għandux jiġi interpretat fis-sens li, fil-każ ta’ teħid awtomatizzat ta’ deċiżjoni, inkluż it-tfassil ta’ profili, fis-sens tal-Artikolu 22(1) ta’ dan ir-regolament, is-suġġett tad-data jista’ jeżiġi mingħand il-kontrollur, bħala “informazzjoni importanti dwar il-loġika involuta”, spjegazzjoni eżawrjenti tal-proċedura u tal-prinċipji konkretament applikati sabiex tintuża, b’mod awtomatizzat, id-data personali relatata ma’ dan is-suġġett tad-data bil-għan li jinkiseb minnha riżultat speċifiku, bħal profil ta’ solvenza.

39

Skont ġurisprudenza stabbilita tal-Qorti tal-Ġustizzja, fl-interpretazzjoni ta’ dispożizzjoni tad-dritt tal-Unjoni, għandhom jittieħdu inkunsiderazzjoni mhux biss il-kliem tagħha, iżda wkoll il-kuntest tagħha, u l-għanijiet segwiti mil-leġiżlazzjoni li din tkun tagħmel parti minnha (sentenza tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF, C‑487/21, EU:C:2023:369, punt 19 kif ukoll il-ġurisprudenza ċċitata).

40

F’dak li jirrigwarda, qabel kollox, il-formulazzjoni tal-Artikolu 15(1)(h) tal-GDPR, għandu jiġi rrilevat, minn naħa, li t-tifsiriet tal-kunċett ta’ “informazzjoni importanti”, fis-sens ta’ din id-dispożizzjoni, huma differenti fid-diversi verżjonijiet lingwistiċi tagħha, fejn uħud minnhom jagħtu preferenza, bħall-verżjoni Franċiża, għall-funzjonalità (“nuttige” bl-Olandiż, “úteis” bil-Portugiż) jew għar-rilevanza (“pertinente” bir-Rumen) tal-informazzjoni li għandha tiġi pprovduta, filwaqt li oħrajn jinsistu iktar fuq l-importanza tagħha (“significativa” bl-Ispanjol u “istotne” bil-Pollakk). Fl-aħħar nett, kemm fil-verżjoni Ġermaniża kif ukoll fil-verżjoni Ingliża tal-imsemmija dispożizzjoni, il-kelma użata (rispettivament, “aussagekräftig” u “meaningful”) tista’ tinftiehem kemm bħala li tirreferi għall-komprensibbiltà tajba tal-imsemmija informazzjoni kif ukoll bħala li tirreferi għal ċerta kwalità tagħha.

41

Issa, id-diversità ta’ tifsiriet adottati fid-diversi verżjonijiet lingwistiċi għandha tinftiehem fis-sens ta’ komplementarjetà tat-tifsiriet esposti fil-punt preċedenti, li għandhom jittieħdu inkunsiderazzjoni fl-interpretazzjoni tal-kunċett ta’ “informazzjoni importanti dwar il-loġika involuta”, fis-sens tal-Artikolu 15(1)(h) tal-GDPR, hekk kif irrileva l-Avukat Ġenerali, essenzjalment, fil-punt 65 tal-konklużjonijiet tiegħu.

42

Min-naħa l-oħra, fid-dawl tal-formulazzjoni ġenerali tiegħu, ir-riferiment, f’din id-dispożizzjoni, għal-“loġika involuta” f’teħid awtomatizzat ta’ deċiżjoni, li tikkostitwixxi s-suġġett tal-imsemmija “informazzjoni importanti”, jista’ jkopri firxa wiesgħa ta’ “loġika” ta’ użu ta’ data personali u ta’ data oħra bil-għan li jinkiseb, b’mod awtomatizzat, riżultat speċifiku. Din l-interpretazzjoni hija kkorroborata minn ċerti verżjonijiet lingwistiċi tal-imsemmija dispożizzjoni li jużaw kliem li jirrigwarda, b’mod komplementari, aspetti differenti tat-tifsira komuni tal-kunċett ta’ “loġika”. B’hekk, pereżempju, fil-verżjoni Ċeka u dik Pollakka, isir riferiment, rispettivament, għall-kelma “postupu” u għall-kelma “zasady”, li jistgħu jiġu tradotti bħala “proċedura” u “prinċipji”.

43

Għaldaqstant, għandu jitqies li l-formulazzjoni tal-Artikolu 15(1)(h) tal-GDPR tkopri kull informazzjoni rilevanti relatata mal-proċedura u mal-prinċipji ta’ użu, b’mod awtomatizzat, ta’ data personali bil-għan li jinkiseb minnha riżultat speċifiku.

44

Fir-rigward, sussegwentement, tal-kuntest li taħtu jaqa’ l-kunċett ta’ “informazzjoni importanti dwar il-loġika involuta”, li jinsab fl-Artikolu 15(1)(h) tal-GDPR, għandu jiġi enfasizzat, fl-ewwel lok, li din l-informazzjoni hija biss parti minn dik koperta mid-dritt ta’ aċċess previst f’dan l-artikolu, peress li dan jirrigwarda wkoll l-informazzjoni relatata mal-importanza u mal-konsegwenzi previsti tal-ipproċessar inkwistjoni għas-suġġett tad-data.

45

Għalkemm din l-aħħar informazzjoni, li, skont il-Linji Gwida dwar it-teħid ta’ deċiżjonijiet individwali awtomatizzati [teħid awtomatizzat ta’ deċiżjonijiet individwali] u t-tfassil ta’ profili għall-finijiet tar-Regolament (UE) 2016/679, adottati fit‑3 ta’ Ottubru 2017 mill-grupp ta’ ħidma stabbilit bl-Artikolu 29 tad-Direttiva 95/46, fil-verżjoni rriveduta tagħhom u adottata fis‑6 ta’ Frar 2018, sabiex tkun utli u komprensibbli, għandha tkun akkumpanjata minn “eżempji reali u tanġibbli”, ma hijiex is-suġġett tad-domandi magħmula mill-qorti tar-rinviju, din xorta waħda għandha tittieħed inkunsiderazzjoni bħala element tal-kuntest li taħtu jaqa’ l-kunċett ta’ “informazzjoni importanti dwar il-loġika involuta”.

46

Fit-tieni lok, fid-dawl tal-fatt li l-kunċett ta’ “informazzjoni importanti dwar il-loġika involuta” jinsab ukoll fl-Artikolu 13(2)(f) u fl-Artikolu 14(2)(g) tal-GDPR, il-Qorti tal-Ġustizzja diġà kkonstatat li, fil-każ ta’ teħid awtomatizzat ta’ deċiżjoni, fis-sens tal-Artikolu 22(1) ta’ dan ir-regolament, id-dritt ta’ aċċess għal tali informazzjoni stabbilit fl-Artikolu 15(1)(h) tiegħu jifforma assjem mal-obbligi ta’ informazzjoni addizzjonali imposti fuq il-kontrollur skont dan l-Artikolu 13(2)(f) u dan l-Artikolu 14(2)(g) tal-GDPR. (ara, f’dan is-sens, is-sentenza tas‑7 ta’ Diċembru 2023, SCHUFA Holding et (Scoring), C‑634/21, EU:C:2023:957, punt 56).

47

Fit-tielet lok, hekk kif indika, essenzjalment, l-Avukat Ġenerali fil-punti 58 sa 60 tal-konklużjonijiet tiegħu, għandha tittieħed inkunsiderazzjoni, fil-kuntest tal-interpretazzjoni kuntestwali tad-drittijiet ta’ aċċess previsti fil-każ ta’ teħid awtomatizzat ta’ deċiżjoni, il-ġurisprudenza tal-Qorti tal-Ġustizzja dwar ir-rekwiżiti li l-kontrollur tad-data għandu josserva skont l-Artikolu 15(3) tal-GDPR.

48

Għalhekk, għandu jittieħed inkunsiderazzjoni b’mod partikolari l-fatt li r-rekwiżit ta’ trasparenza tal-informazzjoni kkomunikata, previst fl-Artikolu 12(1) tal-GDPR, japplika għad-data u għall-informazzjoni kollha msemmija fl-imsemmi Artikolu 15, inkluż għal dik id-data u għal dik l-informazzjoni li tkun marbuta mat-teħid awtomatizzat ta’ deċiżjoni.

49

Bil-għan li jiġi żgurat li s-suġġett tad-data jitqiegħed f’pożizzjoni li jkun jifhem b’mod sħiħ l-informazzjoni pprovduta lilu mill-kontrollur, l-imsemmi Artikolu 12(1) jobbliga lil dan tal-aħħar jieħu miżuri xierqa b’mod partikolari sabiex jipprovdi lis-suġġett tad-data din id-data u din l-informazzjoni b’mod konċiż, trasparenti, komprensibbli u faċilment aċċessibbli, bl-użu ta’ lingwaġġ ċar u sempliċi (ara, f’dan is-sens, is-sentenza tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF (C‑487/21, EU:C:2023:369, punt 38).

50

L-eżami tal-kuntest li taħtu jaqa’ l-Artikolu 15(1)(h) tal-GDPR jikkorrobora għalhekk l-interpretazzjoni li tirriżulta mill-analiżi tal-kliem ta’ din id-dispożizzjoni, li skontha l-“informazzjoni importanti dwar il-loġika involuta” f’teħid ta’ deċiżjoni awtomatizzata, fis-sens ta’ din id-dispożizzjoni, tirrigwarda kull informazzjoni rilevanti dwar il-proċedura u l-prinċipji ta’ użu ta’ data personali sabiex jinkiseb, b’mod awtomatizzat, riżultat speċifiku, fejn l-obbligu ta’ trasparenza jeżiġi barra minn hekk li din l-informazzjoni tkun ipprovduta b’mod konċiż, trasparenti, komprensibbli u faċilment aċċessibbli.

51

Fl-aħħar nett, fir-rigward tal-għanijiet tal-GDPR, għandu jitfakkar li l-għan ta’ dan ir-regolament jikkonsisti, b’mod partikolari, f’li jiġi ggarantit livell għoli ta’ protezzjoni tal-libertajiet u tad-drittijiet fundamentali tal-persuni fiżiċi, b’mod partikolari tad-dritt tagħhom għall-protezzjoni tad-data personali, stabbilit fl-Artikolu 16 TFUE u ggarantit bħala dritt fundamentali fl-Artikolu 8 tal-Karta, li jikkompleta d-dritt għall-ħajja privata ggarantit fl-Artikolu 7 tagħha (ara, f’dan is-sens, is-sentenza tal‑4 ta’ Ottubru 2024, Schrems (Kommunikazzjoni tad-data lill-pubbliku ġenerali),C‑446/21, EU:C:2024:834, punt 45 u l-ġurisprudenza ċċitata).

52

Għalhekk, hekk kif tippreċiża barra minn hekk il-premessa 11 tiegħu, il-GDPR huwa intiż li jsaħħaħ u li jippreċiża d-drittijiet tas-suġġetti tad-data (sentenza tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF, C‑487/21, EU:C:2023:369, punt 33 kif ukoll il-ġurisprudenza ċċitata).

53

Fir-rigward, b’mod iktar partikolari, tad-dritt ta’ aċċess previst fl-Artikolu 15 tal-GDPR, mill-ġurisprudenza tal-Qorti tal-Ġustizzja jirriżulta li dan id-dritt għandu jippermetti lis-suġġett tad-data jiżgura ruħu li d-data personali li tkun tikkonċernah tkun eżatta u li din tiġi pproċessata b’mod legali (sentenzi tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF, C‑487/21, EU:C:2023:369, punt 34, kif ukoll tas‑26 ta’ Ottubru 2023, FT (Kopji tal-fajl mediku),C‑307/22, EU:C:2023:811, punt 73).

54

Dan id-dritt ta’ aċċess huwa neċessarju sabiex jippermetti lis-suġġett tad-data jeżerċita, jekk ikun il-każ, id-dritt tiegħu għar-rettifika, id-dritt tiegħu għat-tħassir (“dritt li wieħed jintesa”) u d-dritt tiegħu għal-limitazzjoni tal-ipproċessar, li huma rrikonoxxuti lilu, rispettivament, mill-Artikoli 16, 17 u 18 tal-GDPR, id-dritt tiegħu li joġġezzjona għall-ipproċessar tad-data personali tiegħu, previst fl-Artikolu 21 tal-GDPR, kif ukoll id-dritt tiegħu għal azzjoni legali u d-dritt tiegħu għal kumpens, previsti rispettivament fl-Artikoli 79 u 82 tal-GDPR (ara, f’dan is-sens, is-sentenza tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF (C‑487/21, EU:C:2023:369, punt 35).

55

B’mod partikolari, fil-kuntest speċifiku tal-adozzjoni ta’ deċiżjoni bbażata esklużivament fuq ipproċessar awtomatizzat, l-għan prinċipali tad-dritt tas-suġġett tad-data li jikseb l-informazzjoni prevista fl-Artikolu 15(1)(h) tal-GDPR jikkonsisti f’li huwa jkun jista’ jeżerċita b’mod effikaċi d-drittijiet mogħtija lilu mill-Artikolu 22(3) ta’ dan ir-regolament, jiġifieri dak li jesprimi l-opinjoni tiegħu dwar din id-deċiżjoni u dak li jikkontestaha.

56

Fil-fatt, jekk il-persuni affettwati minn deċiżjoni awtomatizzata, inkluż it-tfassil ta’ profili, ma jkunux f’pożizzjoni li jifhmu r-raġunijiet li jkunu wasslu għal din id-deċiżjoni qabel ma jesprimu l-opinjoni tagħhom jew jikkontestawha, dawn id-drittijiet ma jkunux jistgħu, għaldaqstant, jissodisfaw b’mod sħiħ l-għan tagħhom li jipproteġu lil dawn il-persuni kontra r-riskji speċifiċi għad-drittijiet u għal-libertajiet tagħhom li l-ipproċessar awtomatizzat tad-data personali tagħhom jippreżenta (ara, f’dan is-sens, is-sentenza tas‑7 ta’ Diċembru 2023, SCHUFA Holding et (Scoring), C‑634/21, EU:C:2023:957, punt 57).

57

F’dan ir-rigward, mill-premessa 71 tal-GDPR jirriżulta li, meta s-suġġett tad-data jkun is-suġġett ta’ deċiżjoni li tkun meħuda biss abbażi ta’ pproċessar awtomatizzat u li tkun taffettwah b’mod sinjifikattiv, dan is-suġġett tad-data għandu jkollu d-dritt jikseb spjegazzjoni dwar din id-deċiżjoni. Hekk kif irrileva l-Avukat Ġenerali fil-punt 67 tal-konklużjonijiet tiegħu, għandu għalhekk jitqies li l-Artikolu 15(1)(h) tal-GDPR joffri lis-suġġett tad-data dritt reali għall-ispjegazzjoni dwar il-funzjonament tal-mekkaniżmu li fuqu jkun ibbażat teħid awtomatizzat ta’ deċiżjoni li dan is-suġġett tad-data kien suġġett għalih u dwar ir-riżultat li din id-deċiżjoni tkun waslet għalih.

58

Mill-eżami tal-għanijiet tal-GDPR u, b’mod partikolari, minn dawk tal-Artikolu 15(1)(h) tiegħu jirriżulta li d-dritt li tinkiseb “informazzjoni importanti dwar il-loġika involuta” f’teħid awtomatizzat ta’ deċiżjoni, fis-sens ta’ din id-dispożizzjoni, għandu jinftiehem bħala dritt għall-ispjegazzjoni tal-proċedura u tal-prinċipji applikati b’mod konkret sabiex tintuża, b’mod awtomatizzat, id-data personali tas-suġġett tad-data bil-għan li jinkiseb riżultat speċifiku, bħal profil ta’ solvenza. Sabiex is-suġġett tad-data jkun jista’ jeżerċita b’mod effikaċi d-drittijiet mogħtija lilu mill-GDPR u, b’mod partikolari, mill-Artikolu 22(3) tiegħu, din l-ispjegazzjoni għandha tkun ipprovduta, permezz ta’ informazzjoni rilevanti u b’mod konċiż, trasparenti, komprensibbli u faċilment aċċessibbli.

59

La s-sempliċi komunikazzjoni ta’ formola matematika kumplessa, bħal algoritmu, u lanqas id-deskrizzjoni ddettaljata tal-istadji kollha ta’ teħid awtomatizzat ta’ deċiżjoni ma jistgħu jissodisfaw dawn ir-rekwiżiti, sa fejn ebda waħda minn dawn il-modalitajiet ma tikkostitwixxi spjegazzjoni suffiċjentement konċiża u komprensibbli.

60

Fil-fatt, hekk kif jirriżulta mill-paġna 28 tal-Linji Gwida dwar it-teħid ta’ deċiżjonijiet individwali awtomatizzati [teħid awtomatizzat ta’ deċiżjonijiet individwali] u t-tfassil ta’ profili għall-finijiet tar-Regolament (UE) 2016/679, imsemmija fil-punt 45 ta’ din is-sentenza, minn naħa, il-kontrollur għandu jsib mezzi sempliċi sabiex jinforma lis-suġġett tad-data bir-raġuni għad-deċiżjoni awtomatizzata jew bil-kriterji li fuqhom din tkun ibbażata. Min-naħa l-oħra, il-GDPR jeżiġi li l-imsemmi kontrollur jipprovdi informazzjoni importanti dwar il-loġika involuta f’din id-deċiżjoni, “iżda mhux neċessarjament spjegazzjoni kumplessa tal-algoritmi użati jew l-iżvelar tal-algoritmu sħiħ”.

61

Għalhekk, l-“informazzjoni importanti dwar il-loġika involuta” f’teħid awtomatizzat ta’ deċiżjoni, fis-sens tal-Artikolu 15(1)(h) tal-GDPR, għandha tiddeskrivi l-proċedura u l-prinċipji konkretament applikati b’tali mod li s-suġġett tad-data jkun jista’ jifhem liema mid-data personali tiegħu ntużat b’liema mod waqt it-teħid awtomatizzat ta’ deċiżjoni inkwistjoni, mingħajr ma l-kumplessità tal-operazzjonijiet li għandhom jitwettqu fil-kuntest ta’ teħid awtomatizzat ta’ deċiżjoni tkun tista’ teħles lill-kontrollur mid-dmir tiegħu ta’ spjegazzjoni.

62

Fir-rigward speċifikament ta’ tfassil ta’ profili bħal dak inkwistjoni fil-kawża prinċipali, il-qorti tar-rinviju tista’, b’mod partikolari, tqis bħala suffiċjentement trasparenti u komprensibbli l-fatt li s-suġġett tad-data jkun informat dwar sa fejn varjazzjoni fil-livell tad-data personali meħuda inkunsiderazzjoni kienet wasslet għal riżultat differenti.

63

Madankollu, għandu jiġi ppreċiżat ukoll li, fir-rigward tal-punt dwar jekk l-informazzjoni pprovduta għandhiex tippermetti lis-suġġett tad-data jivverifika l-eżattezza tad-data personali li tkun tikkonċernah li fuqha jkun ibbażat it-teħid awtomatizzat ta’ deċiżjoni, id-dritt ta’ aċċess għall-imsemmija data ma jaqax taħt l-Artikolu 15(1)(h) tal-GDPR, iżda taħt is-sentenza introduttiva tal-istess paragrafu li tiggarantixxi lis-suġġett tad-data jkun jista’ jiżgura ruħu mill-eżattezza ta’ din id-data, hekk kif jirriżulta mill-ġurisprudenza ċċitata fil-punt 53 ta’ din is-sentenza.

64

Fl-aħħar nett, fir-rigward tal-affermazzjoni tal-qorti tar-rinviju li l-informazzjoni pprovduta minn D & B lil CK, taħt l-Artikolu 15(1) (h) tal-GDPR, tmur kontra l-fatti, peress li t-tfassil ta’ profili “reali” wassal sabiex jitqies li hija ma kinitx solventi filwaqt li l-imsemmija informazzjoni kienet tissuġġerixxi l-kuntrarju, għandu jiġi rrilevat li, jekk, skont dik il-qorti, in-nuqqas ta’ konformità hekk ikkonstatat jirriżulta mill-assenza ta’ komunikazzjoni minn D & B lil CK tat-tfassil ta’ profil imwettaq fil-konfront tagħha f’isem l-impriża tat-telefonija mobbli li, fuq din il-bażi, irrifjutat li tikkonkludi jew li ġġedded kuntratt magħha, dan għandu jiġi rrimedjat permezz tad-dritt ta’ aċċess għall-profil ta’ solvenza li ġie stabbilit b’dan il-mod. F’dan ir-rigward, mill-ġurisprudenza tal-Qorti tal-Ġustizzja jirriżulta li d-data personali ġġenerata mill-kontrollur stess taqa’ taħt l-Artikolu 14 tal-GDPR (ara, f’dan is-sens, is-sentenza tat‑28 ta’ Novembru 2024, Másdi,C‑169/23, EU:C:2024:988, punt 48).

65

Għall-kuntrarju, spjegazzjoni tad-differenzi li jkunu jeżistu bejn ir-riżultat ta’ tali tfassil ta’ profili “reali”, jekk dan jitqies li jkun stabbilit, u r-riżultat ikkomunikat minn D & B lil CK u miksub, skont din il-kumpannija, permezz ta’ “aggregazzjoni ekwivalenti” tad-data relatata ma’ CK taqa’ tabilħaqq taħt “informazzjoni importanti dwar il-loġika involuta” fit-tfassil ta’ profili hekk imwettaq. Konformement ma’ dak li ġie rrilevat fil-punt 58 ta’ din is-sentenza, D & B għandha għalhekk l-obbligu tispjega b’mod konċiż, trasparenti, komprensibbli u faċilment aċċessibbli l-proċedura u l-prinċipji li b’applikazzjoni tagħhom inkiseb ir-riżultat tat-tfassil ta’ profili “reali”.

66

Mill-kunsiderazzjonijiet kollha preċedenti jirriżulta li r-risposta għall-ewwel u għat-tieni domanda kif ukoll għall-punt (a) tat-tielet domanda għandha tkun li l-Artikolu 15(1)(h) tal-GDPR għandu jiġi interpretat fis-sens li, fil-każ ta’ teħid awtomatizzat ta’ deċiżjoni, inkluż it-tfassil ta’ profili, fis-sens tal-Artikolu 22(1) ta’ dan ir-regolament, is-suġġett tad-data jista’ jeżiġi mingħand il-kontrollur, bħala “informazzjoni importanti dwar il-loġika involuta”, li dan jispjegalu, permezz ta’ informazzjoni rilevanti u b’mod konċiż, trasparenti, komprensibbli u faċilment aċċessibbli, il-proċedura u l-prinċipji konkretament applikati sabiex tintuża, b’mod awtomatizzat, id-data personali relatata ma’ dan is-suġġett tad-data sabiex jinkiseb minnha riżultat speċifiku, bħal profil ta’ solvenza.

67

Permezz tal-punti (b) u (c) tat-tielet domanda, tal-punti (a) u (b) tar-raba’ domanda, kif ukoll permezz tal-ħames u tas-sitt domanda, li għandhom jiġu eżaminati flimkien, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 15(1)(h) tal-GDPR għandux jiġi interpretat fis-sens li, fil-każ li l-kontrollur ikun iqis li l-informazzjoni li għandha tiġi pprovduta lis-suġġett tad-data konformement ma’ din id-dispożizzjoni tkun tinkludi data ta’ terz protetta minn dan ir-regolament jew sigrieti kummerċjali, fis-sens tal-punt 1 tal-Artikolu 2 tad-Direttiva 2016/943, dan il-kontrollur ikollu l-obbligu jikkomunika din l-informazzjoni allegatament protetta lill-awtorità superviżorja jew lill-qorti kompetenti, li għandhom jibbilanċjaw id-drittijiet u l-interessi inkwistjoni sabiex tiġi ddeterminata l-portata tad-dritt ta’ aċċess tas-suġġett tad-data previst fl-Artikolu 15 tal-GDPR.

68

F’dan ir-rigward, għandu jitfakkar li, skont il-premessa 4 tal-GDPR, id-dritt għall-protezzjoni tad-data personali ma huwiex dritt assolut u għandu jiġi bbilanċjat ma’ drittijiet fundamentali oħra, konformement mal-prinċipju ta’ proporzjonalità. Għalhekk, il-GDPR jirrispetta d-drittijiet fundamentali kollha u josserva l-libertajiet u l-prinċipji rrikonoxxuti mill-Karta, li huma stabbiliti fit-Trattati (sentenza tas‑26 ta’ Ottubru 2023, FT (Kopji tal-fajl mediku),C‑307/22, EU:C:2023:811, punt 59 u l-ġurisprudenza ċċitata).

69

Barra minn hekk, il-premessa 63 ta’ dan ir-regolament tistabbilixxi li d-dritt ta’ kull suġġett tad-data li jaċċedi għad-data personali li tkun inġabret fir-rigward tiegħu ma għandux jippreġudika d-drittijiet jew il-libertajiet ta’ persuni oħra, inklużi is-sigrieti kummerċjali jew il-proprjetà intellettwali, b’mod partikolari d-drittijiet tal-awtur li jipproteġu s-software.

70

Madankollu, dawn il-kunsiderazzjonijiet ma għandhomx iwasslu għal rifjut ta’ kull komunikazzjoni ta’ informazzjoni lis-suġġett tad-data. Għaldaqstant, l-Artikolu 23(1)(i) ta’ dan ir-regolament jipprevedi, essenzjalment, li limitazzjoni tal-portata tal-obbligi u tad-drittijiet previsti b’mod partikolari fl-Artikolu 15 tiegħu tkun possibbli biss jekk tali limitazzjoni tkun tosserva l-essenza tal-libertajiet u tad-drittijiet fundamentali u tkun tikkostitwixxi miżura neċessarja u proporzjonata f’soċjetà demokratika sabiex tiġi ggarantita l-protezzjoni tad-drittijiet u tal-libertajiet ta’ persuni oħra.

71

Fir-rigward tad-dritt relatat li tinkiseb kopja, stabbilit fl-Artikolu 15(4) tal-GDPR, il-Qorti tal-Ġustizzja diġà rrilevat li l-applikazzjoni tiegħu ma għandhiex tippreġudika d-drittijiet u l-libertajiet ta’ persuni oħra, inkluż is-sigriet kummerċjali jew il-proprjetà intellettwali, b’mod partikolari d-drittijiet tal-awtur li jipproteġu s-software (ara, f’dan is-sens, is-sentenza tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF (C‑487/21, EU:C:2023:369, punt 43).

72

F’dan il-kuntest, il-Qorti tal-Ġustizzja rrilevat li, fil-każ ta’ kunflitt bejn, min-naħa, l-eżerċizzju ta’ dritt ta’ aċċess sħiħ u komplet għad-data personali u, min-naħa l-oħra, id-drittijiet jew il-libertajiet ta’ persuni oħra, għandu jinstab bilanċ bejn id-drittijiet u l-libertajiet inkwistjoni. Sa fejn ikun possibbli, għandhom jintgħażlu modalitajiet ta’ komunikazzjoni tad-data personali li ma jkunux jippreġudikaw id-drittijiet jew il-libertajiet ta’ persuni oħra, filwaqt li jittieħed inkunsiderazzjoni l-fatt li r-riżultat ta’ dawn il-kunsiderazzjonijiet “m’għandux ikun rifjut li tiġi provduta l-informazzjoni kollha lis-suġġett tad-data”, hekk kif jirriżulta mill-premessa 63 tal-GDPR (sentenza tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF, C‑487/21, EU:C:2023:369, punt 44).

73

Fir-rigward tal-punt dwar kif id-dritt ta’ aċċess stabbilit fl-Artikolu 15(1)(h) tal-GDPR jista’ jiġi implimentat b’mod li jiġu rrispettati d-drittijiet u osservati l-libertajiet ta’ persuni oħra, għandu jitfakkar li, skont il-ġurisprudenza, qorti nazzjonali tista’ tqis li data personali tal-partijiet jew ta’ terzi għandha tiġi kkomunikata lilha sabiex hija tkun tista’ tibbilanċja, b’għarfien sħiħ tal-fatti u fl-osservanza tal-prinċipju ta’ proporzjonalità, l-interessi inkwistjoni. Din l-evalwazzjoni tista’, jekk ikun il-każ, twassalha tawtorizza l-iżvelar sħiħ jew parzjali lill-parti l-oħra tad-data personali li għaldaqstant tkun ġiet ikkomunikata lilha jekk hija tkun tqis li tali żvelar ma jkunx imur lil hinn minn dak li jkun neċessarju għall-finijiet li tiġi ggarantita t-tgawdija effettiva tad-drittijiet li l-partijiet fil-kawża jisiltu mill-Artikolu 47 tal-Karta (sentenza tat‑2 ta’ Marzu 2023, Norra Stockholm Bygg,C‑268/21, EU:C:2023:145, punt 58).

74

Hekk kif irrileva l-Avukat Ġenerali fil-punt 94 tal-konklużjonijiet tiegħu, din il-ġurisprudenza hija kompletament trasponibbli għall-każ li fih l-informazzjoni li jkollha tiġi pprovduta lis-suġġett tad-data abbażi tad-dritt ta’ aċċess iggarantit mill-Artikolu 15(1)(h) tal-GDPR tkun tista’ twassal għal ksur tad-drittijiet u tal-libertajiet ta’ persuni oħra, b’mod partikolari sa fejn din tkun tinkludi data personali ta’ terzi protetta mill-imsemmi regolament jew minn sigriet kummerċjali, fis-sens tal-punt 1 tal-Artikolu 2 tad-Direttiva 2016/943. F’dan il-każ ukoll, l-imsemmija informazzjoni għandha tiġi kkomunikata lill-awtorità superviżorja jew lill-qorti kompetenti, li għandhom jibbilanċjaw id-drittijiet u l-interessi inkwistjoni sabiex tiġi ddeterminata l-portata tad-dritt ta’ aċċess tas-suġġett tad-data għad-data personali li tkun tikkonċernah.

75

Fir-rigward tan-neċessità ta’ tali determinazzjoni każ b’każ, l-Artikolu 15(1)(h) tal-GDPR jopponi b’mod partikolari l-applikazzjoni ta’ dispożizzjoni bħall-Artikolu 4(6) tad-DSG li tkun teskludi, bħala prinċipju, id-dritt ta’ aċċess tas-suġġett tad-data, previst fl-Artikolu 15 tal-GDPR, meta dan l-aċċess ikun jikkomprometti sigriet kummerċjali jew ta’ impriża tal-kontrollur jew ta’ terz. F’dan ir-rigward, għandu jitfakkar li Stat Membru ma jistax jippreskrivi b’mod definittiv ir-riżultat ta’ bbilanċjar każ b’każ tad-drittijiet u tal-interessi inkwistjoni impost mid-dritt tal-Unjoni. (ara, f’dan is-sens, is-sentenza tas‑7 ta’ Diċembru 2023, SCHUFA Holding et (Scoring), C‑634/21, EU:C:2023:957, punt 70 kif ukoll il-ġurisprudenza ċċitata).

76

Fid-dawl tal-kunsiderazzjonijiet preċedenti kollha, ir-risposta għall-punti (b) u (c) tat-tielet domanda, għall-punti (a) u (b) tar-raba’ domanda, kif ukoll għall-ħames u għas-sitt domanda għandha tkun li l-Artikolu 15(1)(h) tal-GDPR għandu jiġi interpretat fis-sens li, fil-każ li l-kontrollur ikun iqis li l-informazzjoni li għandha tiġi pprovduta lis-suġġett tad-data konformement ma’ din id-dispożizzjoni tkun tinkludi data ta’ terz protetta minn dan ir-regolament jew sigrieti kummerċjali, fis-sens tal-punt 1 tal-Artikolu 2 tad-Direttiva 2016/943, dan il-kontrollur ikollu l-obbligu jikkomunika din l-informazzjoni allegatament protetta lill-awtorità superviżorja jew lill-qorti kompetenti, li għandhom jibbilanċjaw id-drittijiet u l-interessi inkwistjoni sabiex tiġi ddeterminata l-portata tad-dritt ta’ aċċess tas-suġġett tad-data previst fl-Artikolu 15 tal-GDPR.

77

Peress li l-proċedura għandha, fir-rigward tal-partijiet fil-kawża prinċipali, in-natura ta’ kwistjoni mqajma quddiem il-qorti tar-rinviju, hija dik il-qorti li tiddeċiedi fuq l-ispejjeż. L-ispejjeż sostnuti għas-sottomissjoni tal-osservazzjonijiet lill-Qorti tal-Ġustizzja, barra dawk tal-imsemmija partijiet, ma jistgħux jitħallsu lura.

Għal dawn il-motivi, Il-Qorti tal-Ġustizzja (L‑Ewwel Awla) taqta’ u tiddeċiedi: