–

għal RK, minn D. Sudolská, advokátka,

–

għall-Gvern Ċek, minn M. Smolek, O. Serdula u J. Vláčil, bħala aġenti,

–

għall-Gvern tal-Pajjiżi l-Baxxi, minn K. Bulterman u A. Hanje, bħala aġenti,

–

għall-Kummissjoni Ewropea, minn A. Bouchagiar, H. Kranenborg u P. Ondrůšek, bħala aġenti,

1

It-talba għal deċiżjoni preliminari tirrigwarda l-interpretazzjoni tal-Artikolu 2(1), u tal-punt 2 tal-Artikolu 4 tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-“GDPR”).

2

Din it-talba tressqet fil-kuntest ta’ tilwima bejn RK u l-Ministerstvo zdravotnictví (il-Ministeru għas-Saħħa, ir-Repubblika Ċeka, iktar ’il quddiem il-“Ministeru”) fir-rigward tal-adozzjoni minn dan tal-aħħar ta’ miżura eċċezzjonali li tirregola l-aċċess tal-persuni għal ċerti postijiet u avvenimenti bil-għan tal-protezzjoni tal-popolazzjoni fid-dawl tal-imxija tal-epidemija tal-COVID‑19.

3

Skont il-premessa 1 tal-GDPR, “[i]l-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali hija dritt fundamentali. L-Artikolu 8(1) tal-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea […] u l-Artikolu 16(1) tat-Trattat dwar il-Funzjonament tal-Unjoni Ewropea (TFUE) jipprevedu li kull persuna għandha dritt għall-protezzjoni tad-data personali li tirrigwardaha”.

4

L-Artikolu 2 ta’ dan ir-regolament, intitolat “Kamp ta’ applikazzjoni materjali”, jipprovdi fil-paragrafu 1 tiegħu:

“Dan ir-Regolament japplika għall-ipproċessar ta’ data personali kompletament jew parzjalment b’mezzi awtomatizzati, u għall-ipproċessar għajr b’mezzi awtomatizzati ta’ data personali li tifforma parti minn sistema ta’ arkivjar jew li tkun maħsuba sabiex tifforma parti minn sistema ta’ arkivjar.”

5

Il-paragrafu 2 ta’ dan l-artikolu jelenka erba’ ipoteżijiet li fihom il-GDPR “ma japplikax għall-ipproċessar ta’ data personali”.

6

Skont l-Artikolu 4 tal-imsemmi regolament:

“Għall-finijiet ta’ dan ir-Regolament:

[…]”

7

L-Artikoli 5 u 6 ta’ dan l-istess regolament għandhom rispettivament bħala għan il-“[p]rinċipji relatati mal-ipproċessar ta’ data personali” u l-“[l]egalità tal-ipproċessar”.

8

Il-premessa 48 tar-Regolament (UE) 2021/953 tal-Parlament Ewropew u tal-Kunsill tal‑14 ta’ Ġunju 2021 dwar qafas għall-ħruġ, għall-verifika u għall-aċċettazzjoni ta’ ċertifikati COVID-19 interoperabbli tat-tilqim, tat-testijiet u tal-fejqan (Ċertifikat COVID Diġitali tal-UE) għall-faċilitazzjoni tal-moviment liberu waqt il-pandemija tal-COVID‑19 (ĠU 2021, L 211, p. 1, rettifika fil-ĠU 2022, L 72, p. 7), tiddikjara:

“[Il-GDPR] japplika għall-ipproċessar ta’ data personali mwettaq meta jiġi implimentat dan ir-Regolament. Dan ir-Regolament jistabbilixxi l-bażi ġuridika għall-ipproċessar tad-data personali, fis-sens […] tal-Artikolu 6(1)[(c)] u […] tal-Artikolu 9(2)[(g)] [tal-GDPR], meħtieġa għall-ħruġ u għall-verifika taċ-ċertifikati interoperabbli previsti f’dan ir-Regolament. […] L-Istati Membri jistgħu jipproċessaw data personali għal finijiet oħra, jekk il-bażi ġuridika għall-ipproċessar ta’ tali data għal finijiet oħra, inklużi l-perijodi ta’ żamma relatati, tiġi prevista fil-liġi nazzjonali, li trid tikkonforma mal-liġi tal-Unjoni dwar il-protezzjoni tad-data u l-prinċipji ta’ effikaċja, neċessità u proporzjonalità, u jenħtieġ li jkun fiha dispożizzjonijiet li jidentifikaw b’mod ċar l-ambitu u l-portata tal-ipproċessar, l-għan speċifiku involut, il-kategoriji ta’ entità li jistgħu jivverifikaw iċ-ċertifikat kif ukoll is-salvagwardji rilevanti għall-prevenzjoni tad-diskriminazzjoni u l-abbuż, b’kont meħud tar-riskji għad-drittijiet u l-libertajiet tas-suġġetti tad-data […]”

9

Intitolat “Suġġett”, l-Artikolu 1 ta’ dan ir-regolament jipprovdi:

“Dan ir-Regolament jistipula qafas għall-ħruġ, għall-verifika u għall-aċċettazzjoni ta’ ċertifikati COVID-19 interoperabbli tat-tilqim, tat-testijiet u tal-fejqan (Ċertifikat COVID Diġitali tal-UE) għall-fini tal-faċilitazzjoni tal-eżerċizzju tad-detenturi tad-dritt tagħhom għall-moviment liberu matul il-pandemija tal-COVID-19. Dan ir-Regolament għandu jikkontribwixxi wkoll għall-faċilitazzjoni tat-tneħħija gradwali tar-restrizzjonijiet għall-moviment liberu stabbiliti mill-Istati Membri, f’konformità mal-liġi tal-Unjoni, biex jiġi limitat it-tixrid tas-SARS‑CoV‑2, b’mod ikkoordinat.

Huwa jipprevedi l-bażi ġuridika għall-ipproċessar tad-data personali meħtieġa għall-ħruġ ta’ tali ċertifikati u għall-ipproċessar tal-informazzjoni meħtieġa biex jiġu vverifikati u kkonfermati l-awtentiċità u l-validità ta’ tali ċertifikati f’konformità sħiħa [mal-GDPR].”

10

Intitolat “Ċertifikat COVID Diġitali tal-UE”, l-Artikolu 3 ta’ dan ir-regolament jipprevedi, fil-paragrafu 1 tiegħu, li l-qafas taċ-Ċertifikat COVID Diġitali tal-UE jippermetti l-ħruġ, il-verifika u l-aċċettazzjoni transkonfinali ta’ ċertifikati tat-tilqim, ta’ ċertifikati tat-test, kif ukoll ta’ ċertifikati tal-fejqan. Barra minn hekk, skont il-paragrafu 2 tiegħu:

“[l]-Istati Membri, jew il-korpi maħturin li jaġixxu f’isem l-Istati Membri, għandhom joħorġu ċ-ċertifikati msemmijin fil-paragrafu 1 ta’ dan l-Artikolu f’format diġitali jew stampat, jew it-tnejn li huma. Id-detenturi prospettivi għandu jkollhom id-dritt li jirċievu ċ-ċertifikat fil-format tal-għażla tagħhom. Dawk iċ-ċertifikati għandhom ikunu faċli għall-utent u għandu jkun fihom barcode interoperabbli li tippermetti l-verifika tal-awtentiċità, il-validità u l-integrità tagħhom. Il-barcode għandha tikkonforma mal-ispeċifikazzjonijiet tekniċi stabbiliti skont l-Artikolu 9. L-informazzjoni li tinsab fiċ-ċertifikati għandha tintwera wkoll f’forma li tinqara mill-bniedem u għandha tkun ipprovduta, tal-anqas, bil-lingwa jew bil-lingwi uffiċjali tal-Istat Membru emittenti u bl-Ingliż.”

11

L-Artikolu 5(2)(a), l-Artikolu 6(2)(a), kif ukoll l-Artikolu 7(2)(a) tal-imsemmi regolament jipprevedu, rispettivament, li ċertifikat tat-tilqim, ċertifikat tat-test u ċertifikat tal-fejqan jinkludu l-identità tad-detentur tiegħu.

12

L-Artikolu 10 tal-istess regolament, intitolat “Protezzjoni ta’ data personali”, jipprevedi, fl-ewwel erba’ paragrafi tiegħu:

“1.   [Il-GDPR] għandu japplika għall-ipproċessar tad-data personali mwettqin fl-implimentazzjoni ta’ dan ir-Regolament.

2.   Għall-fini ta’ dan ir-Regolament, id-data personali li tinsab fiċ-ċertifikati maħruġin skont dan ir-Regolament għandha tiġi pproċessata biss għall-fini ta’ aċċess u verifika tal-informazzjoni inkluża fiċ-ċertifikat sabiex jiġi ffaċilitat l-eżerċizzju tad-dritt għall-moviment liberu fl-Unjoni matul il-pandemija tal-COVID-19. Wara t-tmiem tal-perijodu ta’ applikazzjoni ta’ dan ir-Regolament, ma għandu jseħħ l-ebda pproċessar ulterjuri.

3.   Id-data personali inkluża fiċ-ċertifikati msemmijin fl-Artikolu 3(1) għandha tiġi pproċessata mill-awtoritajiet kompetenti tal-Istat Membru ta’ destinazzjoni jew ta’ tranżitu, jew mill-operaturi tas-servizzi transfruntieri tat-trasport tal-passiġġieri meħtieġa mil-liġi nazzjonali biex jimplimentaw ċerti miżuri tas-saħħa pubblika matul il-pandemija tal-COVID‑19, biex jivverifikaw u jikkonfermaw biss l-istat ta’ tilqim, riżultat tat-test jew stat ta’ fejqan tad-detentur. Għal dak il-għan, id-data personali għandha tkun limitata għal dak li huwa strettament meħtieġ. Id-data personali li jinkiseb aċċess għaliha skont dan il-paragrafu ma għandhiex tinżamm.

4.   Id-data personali pproċessata għall-fini tal-ħruġ taċ-ċertifikati msemmijin fl-Artikolu 3(1), inkluż il-ħruġ ta’ ċertifikat ġdid, ma għandhiex tinżamm mill-emittent għal aktar żmien milli jkun strettament meħtieġ għall-fini tagħha u fl-ebda każ għal aktar żmien mill-perijodu li għalih iċ-ċertifikati jistgħu jintużaw biex jiġi eżerċitat id-dritt għall-moviment liberu.”

13

Il-Ministeru, permezz ta’ miżura eċċezzjonali tad‑29 ta’ Diċembru 2021 (iktar ’il quddiem il-“miżura eċċezzjonali”), adottata bil-għan tal-protezzjoni tal-popolazzjoni quddiem żieda tal-imxija tal-pandemija tal-Covid‑19, issuġġettat għal diversi kundizzjonijiet, mit‑3 ta’ Jannar 2022, l-aċċess tal-persuni għal ċerti żoni interni u esterni, kif ukoll il-parteċipazzjoni tagħhom f’avvenimenti tal-massa jew f’attivitajiet oħra. B’hekk kien rikjest b’mod partikolari, l-ewwel, test RT‑PCR ta’ sejbien tal-preżenza tal-virus SARS‑CoV‑2 negattiv li jkun sar inqas minn 72 siegħa qabel għall-persuni ta’ mill-inqas 18‑il sena, għall-persuni li ma setgħux jissuġġettaw lilhom infushom għal tilqima kontra l-Covid‑19 minħabba kontra-indikazzjoni, kif ukoll għall-persuni mingħajr ċiklu ta’ tilqim komplet; it-tieni, l-iskadenza ta’ perijodu ta’ mill-inqas 14‑il jum minn meta jkun sar ċiklu ta’ tilqim komplet b’mediċina approvata jew, it-tielet, il-kontaminazzjoni, ikkonfermata minn laboratorju, bil-Covid‑19, jekk il-perijodu ta’ iżolament ikun intemm u ma jkunux għaddew iktar minn 180 jum mill-ewwel test pożittiv (iktar ’il quddiem il-“kundizzjonijiet imsejħa ta’ ‘assenza ta’ infezzjoni’”).

14

Il-miżura eċċezzjonali tobbliga lill-klijenti (spettaturi, parteċipanti) biex jipproduċu l-prova tal-osservanza ta’ dawn il-kundizzjonijiet u jimponu lill-operaturi (organizzaturi) jivverifikaw l-osservanza tagħhom permezz tal-applikazzjoni għall-apparati mobbli tal-Ministeru msemmija “čTečka”. Jekk il-klijent ma jurix li kien qed josserva l-imsemmija kundizzjonijiet, l-operatur kien ipprojbit milli jipprovdi s-servizz u milli jagħtih aċċess għaż-żona jew għall-avveniment. Skont il-miżura eċċezzjonali, din l-applikazzjoni kienet tiggarantixxi verifika affidabbli tal-awtentiċità u tal-validità tad-dokument li jiċċertifika li jkun ġie ppreżentat li jinkludi l-kodiċi QR.

15

Sabiex tiddeċiedi dwar ir-rikors għal annullament tal-miżura eċċezzjonali ppreżentat minn RK fl‑20 ta’ Jannar 2022, in-Nejvyšší správní soud (il-Qorti Amministrattiva Suprema, ir-Repubblika Ċeka), li hija l-qorti tar-rinviju, tqis li huwa neċessarju li tibda billi teżamina jekk il-verifika tal-kundizzjonijiet imsejħa ta’ “assenza ta’ infezzjoni” permezz tal-applikazzjoni “čTečka” tikkostitwixxix “ipproċessar” b’mezz awtomatizzat ta’ data personali, fis-sens tal-punt 2 tal-Artikolu 4 tal-GDPR, fejn għandu jingħad li hija tqis li l-informazzjoni li tinsab fiċ-Ċertifikati Diġitali tal-UE tikkostitwixxi data personali, fis-sens tal-punt 1 tal-Artikolu 4 ta’ dan ir-regolament. Fl-affermattiv, l-imsemmi regolament japplika konformement mal-Artikolu 2(1) tiegħu.

16

Il-qorti tar-rinviju tispjega li l-applikazzjoni “čTečka” tippermetti li tiġi kkontrollata u vverifikata l-validità taċ-Ċertifikat COVID Diġitali tal-UE maħruġa bis-saħħa tar-Regolament 2021/953. Din l-applikazzjoni tiskannja l-kodiċi QR taċ-ċertifikat bl-apparat tar-ritratti tat-telefon portabbli tal-persuna inkarigata milli twettaq il-verifika. Din il-persuna sussegwentement ikollha deskrizzjoni tat-tagħrif ta’ identifikazzjoni bażika tad-detentur taċ-ċertifikat (isem, kunjom u data tat-twelid) kif ukoll tal-istatus, validu jew invalidu, ta’ dan iċ-ċertifikat. Billi tikklikkja fuq buttuna speċifika tal-applikazzjoni, il-persuna inkarigata milli twettaq il-verifika tista’ taċċedi għall-informazzjoni kollha msemmija f’dan iċ-ċertifikat, bħat-tilqim, it-tip ta’ tilqim, il-manifattur tat-tilqima, in-numru ta’ dożi rċevuti, id-data tat-tilqima, id-data tal-ewwel riżultat pożittiv kif ukoll min ħareġ iċ-ċertifikat. L-applikazzjoni “čTečka” tieħu ħsieb tindika din id-data b’mod temporanju fuq l-iskrin tat-telefon portabbli tal-persuna inkarigata milli twettaq il-verifika, fejn għalhekk l-imsemmija data la tinżamm u lanqas ma tiġi ttrasferita.

17

Din il-qorti tindika li, sabiex tivverifika l-validità ta’ Ċertifikat COVID Diġitali tal-UE, din l-applikazzjoni tniżżel, darba kull 24 siegħa jew fuq talba f’dan is-sens, iċ-ċwievet ta’ aċċess pubbliċi taċ-ċertifikati tal-Istati Membri u r-regoli ta’ validazzjoni tal-Istati Membri permezz tal-interfaċċja tal-Ministeru. Dan il-proċess jista’ jiżvolġi wkoll mingħajr konnessjoni tal-internet. Waqt l-installazzjoni tal-applikazzjoni fuq it-telefon portabbli tal-persuna inkarigata milli twettaq il-verifika, titla’ kitba li jsemmi li “l-applikazzjoni čTečka hija operata konformement mad-dritt tal-Unjoni u mad-dritt tar-Repubblika Ċeka u tiffaċilita l-moviment liberu tal-persuni u l-aċċess għas-servizzi u għall-avvenimenti matul il-pandemija tal-COVID‑19. L-applikazzjoni tipproċessa d-data personali tad-detenturi taċ-Ċertifikati COVID Diġitali tal-Istati Membri tal-Unjoni sabiex din tiġi vverifikata minn persuni inkarigati li jagħmlu dan fuq il-bażi tar-Regolament tal-Unjoni, ta’ miżuri eċċezzjonali tal-[Ministeru] jew fuq bażi volontarja. L-applikazzjoni la żżomm u lanqas ma tittrażmetti d-data personali u dik li tirrigwarda s-saħħa tal-persuni vverifikati. Informazzjoni ddettaljata dwar l-ipproċessar ta’ data personali tista’ tinsab fil-kundizzjonijiet ta’ użu”.

18

Barra minn hekk il-qorti tar-rinviju tirrileva li, bis-saħħa tal-Artikolu 3(2) tar-Regolament 2021/953, ċertifikat maħruġ minn Stat Membru għandu jinkludi barcode interoperabbli li jippermetti li tiġi vverifikata l-awtentiċità, il-validità u l-integrità tiegħu. Hija tindika li l-konverżjoni tad-data personali msemmija fil-punt 16 ta’ din is-sentenza, mill-format li jista’ jinqara minn apparat u format li jista’ jinqara mill-bniedem issir permezz ta’ proċess awtomatizzat, jiġifieri l-applikazzjoni “čTečka” – li jista’ jiddetermina pproċessar ta’ data personali fis-sens tal-punt 2 tal-Artikolu 4 tal-GDPR.

19

Madankollu l-qorti tar-rinviju tiddubita kemm din is-sempliċi operazzjoni ta’ konverżjoni u l-wiri ta’ din id-data fuq telefon portabbli jikkostitwixxu “ipproċessar”, fis-sens ta’ din id-dispożizzjoni, speċjalment peress li dawn iż-żewġ operazzjonijiet la jistgħu jagħtu lok għal użu jew operat abbużiv tad-data personali u lanqas għal interferenza fid-dritt għall-protezzjoni ta’ din id-data ġaladarba l-applikazzjoni ma tittrasferixxix id-data hekk miksuba.

20

Il-qorti tar-rinviju tikkunsidra, barra minn hekk, li l-verifika tal-validità taċ-ċertifikat permezz tal-applikazzjoni “čTečka” tista’ wkoll tikkostitwixxi pproċessar ta’ data personali peress li din l-operazzjoni twassal sabiex tintuża d-data personali li tinsab f’dan iċ-ċertifikat u li tkun relatata mal-persuna vverifikata. Fil-fatt, sabiex tkun tista’ tevalwa jekk iċ-ċertifikat huwiex validu jew le u tiddetermina jekk il-kundizzjonijiet imsejħa bħala ta’ “assenza ta’ infezzjoni” previsti mill-miżura eċċezzjonali ġewx issodisfatti mis-suġġett tad-data, l-applikazzjoni għandha neċessarjament tipparaguna l-informazzjoni dwar is-saħħa ta’ dan is-suġġett tad-data, bħad-data ta’ tilqim, mar-regoli ta’ validazzjoni fis-seħħ f’dak il-mument.

21

Fl-aħħar nett, din il-qorti tqis li l-għaqda tal-proċessi li jseħħu waqt il-verifika taċ-ċertifikati permezz tal-applikazzjoni “čTečka”, jiġifieri l-konverżjoni ta’ data personali permezz tal-kodiċi QR f’format li jista’ jinqara mill-bniedem, il-wiri tagħha fuq telefon portabbli, il-konsultazzjoni tagħha mill-persuna li qed tivverifika u l-evalwazzjoni tal-validità taċ-ċertifikat minn din l-applikazzjoni permezz ta’ paragun tad-data personali dwar is-saħħa mar-regoli ta’ validazzjoni jistgħu jikkostitwixxu pproċessar ta’ data personali. Minkejja li, ikkunsidrati individwalment, dawn l-operazzjonijiet jistgħu ma jikkostitwixxux ipproċessar, fis-sens tal-punt 2 tal-Artikolu 4 tal-GDPR, jekk jitqiegħdu biswit xulxin dawn jistgħu jwasslu sabiex jiġu kklassifikati bħala tali.

22

Minn din il-perspettiva, din il-qorti tosserva li l-Artikolu 10(1) u (3) tar-Regolament 2021/953 jipprevedi espressament li, għall-finijiet tal-eżerċizzju tad-dritt għall-moviment liberu fi ħdan l-Unjoni, il-GDPR japplika għal ipproċessar tad-data personali li tinsab fiċ-Ċertifikati COVID Diġitali tal-UE. Barra minn hekk, skont il-premessa 48 tar-Regolament 2021/953, l-ipproċessar tad-data personali li tinsab fiċ-ċertifikati għandu jkollu sistema legali uniformi.

23

F’dawn iċ-ċirkustanzi, in-Nejvyšší správní soud (il-Qorti Amministrattiva Suprema) iddeċidiet li tissospendi l-proċeduri quddiemha u li tagħmel lill-Qorti tal-Ġustizzja d-domanda preliminari li ġejja:

“Il-verifika tal-validità taċ-ċertifikati COVID-19 interoperabbli tat-tilqim, tat-testijiet u tal-fejqan maħruġa konformement mar-Regolament [2021/953], applikata mir-Repubblika Ċeka għal skopijiet nazzjonali, fl-applikazzjoni nazzjonali “čTečka”, tista’ titqies li hija pproċessar ta’ data personali b’mezzi awtomatizzati fis-sens tal-punt 2 tal-Artikolu 4 [tal-GDPR] fejn għalhekk dan l-aġir jaqa’ taħt il-kamp ta’ applikazzjoni ratione materiae [tal-imsemmi ir-regolament] konformement mal-Artikolu 2(1) ta’ dan ir-regolament?”

24

Permezz tad-domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk il-kunċett ta’ “pproċessar” ta’ data personali, imsemmi fil-punt 2 tal-Artikolu 4 tal-GDPR, għandux jiġi interpretat fis-sens li jinkludi l-verifika, permezz ta’ applikazzjoni għall-apparati mobbli nazzjonali, tal-validità ta’ ċertifikati COVID‑19 interoperabbli tat-tilqim, tat-test jew tal-fejqan maħruġa bis-saħħa tar-Regolament 2021/953 u użati minn Stat Membru għal finijiet nazzjonali.

25

Huwa paċifiku li ħafna mill-informazzjoni li għaliha l-persuna inkarigata milli twettaq il-verifika taċċedi meta twettaq il-verifika tal-validità ta’ Ċertifikat COVID Diġitali tal-UE, hekk kif inhi esposta fil-punt 16 ta’ din is-sentenza, tikkostitwixxi “data personali” fis-sens tal-punt 1 tal-Artikolu 4 tal-GDPR. Fil-fatt minn din id-dispożizzjoni jirriżulta li l-kunċett ta’ “data personali” jirreferi għal “kwalunkwe informazzjoni relatata ma’ persuna fiżika identifikata jew identifikabbli” u li din l-identifikazzjoni tista’ tirriżulta b’mod partikolari mill-użu tal-isem tas-suġġett tad-data.

26

F’dan l-aħħar rigward, jeħtieġ sempliċement li jiġi kkonstatat li l-Artikolu 5(2)(a), l-Artikolu 6(2)(a), kif ukoll l-Artikolu 7(2)(a) tar-Regolament 2021/953 jipprevedu, rispettivament, li ċertifikat tat-tilqim, ċertifikat tat-test u ċertifikat tal-fejqan jinkludu l-identità tad-detentur tiegħu.

27

Għaldaqstant, jeħtieġ li jiġi osservat li l-punt 2 tal-Artikolu 4 tal-GDPR jiddefinixxi l-kunċett ta’ “pproċessar” bħala “kwalunkwe attività jew sett ta’ attivitajiet li jitwettqu fuq data personali jew fuq settijiet ta’ data personali”. F’lista mhux eżawrjenti, introdotta bil-lokuzzjoni “bħalma huma”, din id-dispożizzjoni ssemmi bħala eżempji ta’ pproċessar, il-konsultazzjoni u l-użu ta’ data personali. Mill-formulazzjoni tal-imsemmija dispożizzjoni, b’mod partikolari mill-espressjoni “kull operazzjoni”, jirriżulta li l-leġiżlatur tal-Unjoni kellu l-intenzjoni li jagħti portata wiesgħa lill-kunċett ta’ “pproċessar” (ara, f’dan is-sens, is-sentenza tal‑24 ta’ Frar 2022, Valsts ieņēmumu dienests (Ipproċessar ta’ data personali għal finijiet fiskali), (C‑175/20, EU:C:2022:124, punt 35).

28

Din l-interpretazzjoni wiesgħa tal-kunċetti ta’ “data personali” u ta’ “pproċessar” hija konformi mal-għan li tiġi ggarantita l-effettività tad-dritt fundamentali għall-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali msemmija fil-premessa 1 tal-GDPR, li sservi bħala daħla għall-applikazzjoni ta’ dan ir-regolament.

29

Issa, f’dan il-każ, applikazzjoni għall-apparati mobbli nazzjonali, bħall-applikazzjoni “čTečka”, tiskannja l-kodiċi QR li jinsab fuq iċ-Ċertifikat COVID Diġitali tal-UE sabiex tikkonverti d-data personali li tinsab f’dan il-kodiċi f’format li jkun jista’ jinqara mill-persuna inkarigata mill-verifika tal-validità ta’ dan iċ-ċertifikat. B’hekk, tali applikazzjoni tippermetti lill-persuna inkarigata milli twettaq il-verifika tikkonsulta data personali, wara proċess awtomatizzat, jiġifieri l-iskannjar, u tużaha sabiex tevalwa jekk is-sitwazzjoni tas-suġġett tad-data hijiex konformi mar-regoli ta’ validazzjoni, jiġifieri mar-rekwiżiti sanitarji applikabbli. Ir-riżultat ta’ din l-evalwazzjoni huwa wkoll awtomatizzat peress li tiġi tidher marka ħadra fuq it-telefon portabbli tal-kontrollur hekk kif ir-rekwiżiti sanitarji jiġu osservati, filwaqt li, fil-każ kuntrarju, jiġi jidher salib aħmar.

30

Għaldaqstant għandu jiġi kkunsidrat li l-verifika, permezz tal-applikazzjoni “čTečka”, tal-validità ta’ ċertifikati COVID‑19 interoperabbli tat-tilqim, tat-test u tal-fejqan maħruġa bis-saħħa tar-Regolament 2021/953, jikkostitwixxi “ipproċessar”, fis-sens tal-punt 2 tal-Artikolu 4 tal-GDPR u jaqa’, konformement mal-Artikolu 2(1) ta’ dan ir-regolament, taħt il-kamp ta’ applikazzjoni ratione materiae ta’ dan tal-aħħar.

31

L-interpretazzjoni msemmija fil-punt 30 ta’ din is-sentenza hija kkorroborata bir-Regolament 2021/953 li jipprevedi li l-implimentazzjoni taċ-Ċertifikat COVID Diġitali tal-UE jikkostitwixxi pproċessar, fis-sens tal-punt 2 tal-Artikolu 4 tal-GDPR. It-tieni paragrafu tal-Artikolu 1 tar-Regolament 2021/953 jipprovdi, fil-fatt, li dan ir-regolament “jipprevedi l-bażi ġuridika għall-ipproċessar tad-data personali meħtieġa għall-ħruġ ta’ tali ċertifikati u għall-ipproċessar tal-informazzjoni meħtieġa biex jiġu vverifikati u kkonfermati l-awtentiċità u l-validità ta’ tali ċertifikati f’konformità sħiħa [mal-GDPR]”. Barra minn hekk, mill-premessa 48 tar-Regolament 2021/953 jirriżulta, minn naħa, li l-GDPR japplika għall-ipproċessar ta’ data personali mwettaq mal-implimentazzjoni tar-Regolament 2021/953 u, min-naħa l-oħra, li dan tal-aħħar jistabbilixxi l-bażi legali għall-ipproċessar tad-data personali, fis-sens tal-Artikolu 6(1)(c) u tal-Artikolu 9(2)(g) tal-GDPR neċessarju għall-ħruġ u għall-verifika taċ-ċertifikati interoperabbli previsti mir-Regolament 2021/953. L-Artikolu 10(1) ta’ dan ir-regolament jikkonferma wkoll li l-GDPR japplika għall-ipproċessar ta’ data personali mwettaq fil-kuntest tal-implimentazzjoni tar-Regolament 2021/953.

32

Konsegwentement, hija l-qorti tar-rinviju li għandha tivverifika jekk l-ipproċessar introdott mill-miżura eċċezzjonali huwiex, minn naħa, konformi mal-prinċipji dwar l-ipproċessar tad-data ddikjarati fl-Artikolu 5 tal-GDPR u, min-naħa l-oħra, jissodisfax wieħed mill-prinċipji dwar il-legalità tal-ipproċessar elenkati fl-Artikolu 6 ta’ dan ir-regolament (ara, b’mod partikolari, is-sentenzi tat‑22 ta’ Ġunju 2021, Latvijas Republikas Saeima (Punti ta’ penalità), C‑439/19, EU:C:2021:504, punt 96, u tal‑4 ta’ Mejju 2023, Bundesrepublik Deutschland, C‑60/22, EU:C:2023:373, punt 57).

33

Fid-dawl tal-punti preċedenti, il-kunċett ta’ “pproċessar” ta’ data personali, imsemmi fil-punt 2 tal-Artikolu 4 tal-GDPR, għandu jiġi interpretat fis-sens li jinkludi l-verifika, permezz ta’ applikazzjoni għall-apparati mobbli nazzjonali, tal-validità taċ-ċertifikati COVID‑19 interoperabbli tat-tilqim, tat-test u tal-fejqan maħruġa bis-saħħa tar-Regolament 2021/953 u użati minn Stat Membru għal finijiet nazzjonali.

34

Peress li l-proċedura għandha, fir-rigward tal-partijiet fil-kawża prinċipali, in-natura ta’ kwistjoni mqajma quddiem il-qorti tar-rinviju, hija din il-qorti li tiddeċiedi fuq l-ispejjeż. L-ispejjeż sostnuti għas-sottomissjoni tal-osservazzjonijiet lill-Qorti tal-Ġustizzja, minbarra dawk tal-imsemmija partijiet, ma jistgħux jitħallsu lura.

Għal dawn il-motivi, il-Qorti tal-Ġustizzja (It-Tmien Awla) taqta’ u tiddeċiedi:

Il-kunċett ta’ “pproċessar” ta’ data personali, imsemmi fil-punt 2 tal-Artikolu 4 tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data),

għandu jiġi interpretat fis-sens li:

jinkludi l-verifika, permezz ta’ applikazzjoni għall-apparati mobbli nazzjonali, tal-validità taċ-ċertifikati COVID‑19 interoperabbli tat-tilqim, tat-test u tal-fejqan maħruġa bis-saħħa tar-Regolament (UE) 2021/953 tal-Parlament Ewropew u tal-Kunsill tal‑14 ta’ Ġunju 2021 dwar qafas għall-ħruġ, għall-verifika u għall-aċċettazzjoni ta’ ċertifikati COVID-19 interoperabbli tat-tilqim, tat-testijiet u tal-fejqan (Ċertifikat COVID Diġitali tal-UE) għall-faċilitazzjoni tal-moviment liberu waqt il-pandemija tal-COVID-19, u użati minn Stat Membru għal finijiet nazzjonali.