1

Permezz tal-appell tiegħu, il-Kontrollur Ewropew għall-Protezzjoni tad-Data (KEPD) jitlob l-annullament tas-sentenza tal-Qorti Ġenerali tal-Unjoni Ewropea tas‑26 ta’ April 2023, SRB vs KEPD (T‑557/20, iktar ’il quddiem is-“sentenza appellata”, EU:T:2023:219), li permezz tagħha din annullat id-deċiżjoni rriveduta tal-KEPD, tal‑24 ta’ Novembru 2020, adottata wara t-talba għal eżami mill-ġdid imressqa mill-Bord Uniku ta’ Riżoluzzjoni (SRB) tad-deċiżjoni tal-KEPD tal‑24 ta’ Ġunju 2020 dwar ħames ilmenti mressqa minn diversi persuni li ressqu lment (Kawżi 2019-947, 2019-998, 2019-999, 2019-1000 u 2019-1122) (iktar ’il quddiem id-“deċiżjoni kontenzjuża”).

2

Il-premessi 5, 16, 17 u 35 tar-Regolament (UE) 2018/1725 tal-Parlament Ewropew u tal-Kunsill tat‑23 ta’ Ottubru 2018 dwar il-protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali mill-istituzzjonijiet, korpi, uffiċċji u aġenziji tal-Unjoni u dwar il-moviment liberu ta’ tali data, u li jħassar ir-Regolament (KE) Nru 45/2001 u d-Deċiżjoni Nru 1247/2002/KE (ĠU 2018, L 295, p. 39), huma fformulati kif ġej:

[…]

[…]

3

Il-punti 1, 6, 8 u 13 tal-Artikolu 3 tar-Regolament 2018/1725, intitolat “Definizzjonijiet”, jipprevedu:

“Għall-finijiet ta’ dan ir-Regolament, japplikaw id-definizzjonijiet li ġejjin:

[…]

[…]

[…]

4

L-Artikolu 4 ta’ dan ir-regolament, intitolat “Prinċipji relatati mal-ipproċessar ta’ data personali”, jipprovdi fil-paragrafu 2 tiegħu:

“Il-kontrollur għandu jkun responsabbli għall-konformità mal-paragrafu 1 u jkun kapaċi juriha (‘responsabbiltà’).”

5

L-Artikolu 14 tal-imsemmi regolament, intitolat “Informazzjoni, komunikazzjoni u modalitajiet trasparenti għall-eżerċitar tad-drittijiet tas-suġġett tad-data”, jipprevedi fil-paragrafu 1 tiegħu:

“Il-kontrollur għandu jieħu miżuri adatti biex jipprovdi kwalunkwe informazzjoni msemmija fl-Artikoli 15 u 16 u kwalunkwe komunikazzjoni skont l-Artikoli 17 sa 24 u 35 relatata mal-ipproċessar lis-suġġett tad-data f’forma konċiża, trasparenti, intelliġibbli u faċilment aċċessibbli, bl-użu ta’ lingwaġġ ċar u sempliċi, b’mod partikolari għal kwalunkwe informazzjoni indirizzata speċifikament lil minorenni. L-informazzjoni għandha tiġi pprovduta bil-miktub, jew b’mezzi oħra, inkluż, meta jkun xieraq, b’mezzi elettroniċi. Meta tintalab mis-suġġett tad-data, l-informazzjoni tista’ tingħata bil-fomm dment li tingħata prova tal-identità tas-suġġett tad-data b’mezzi oħra.”

6

L-Artikolu 15 tal-imsemmi regolament, intitolat “Informazzjoni li għandha tiġi pprovduta meta d-data tinġabar mis-suġġett tad-data”, jipprovdi:

“1.   Meta data personali relatata ma’ suġġett tad-data tinġabar mingħand is-suġġett tad-data, il-kontrollur, fil-ħin li tinkiseb id-data personali, għandu jipprovdi l-informazzjoni kollha li ġejja lis-suġġett tad-data:

[…]

[…]

2.   Minbarra l-informazzjoni msemmija fil-paragrafu 1, il-kontrollur, meta tinkiseb id-data personali, għandu jipprovdi linformazzjoni ulterjuri li ġejja, meħtieġa biex jiġi żgurat ipproċessar ġust u trasparenti lis-suġġett tad-data:

[…]

[…]”

7

L-Artikolu 24 tar-Regolament 2018/1725 jiddetermina l-kundizzjonijiet li fihom deċiżjoni individwali tista’ tkun ibbażata fuq ipproċessar awtomatizzat, inkluż it-tfassil ta’ profili.

8

L-Artikolu 26 ta’ dan ir-regolament, intitolat “Responsabbiltà tal-kontrollur”, jipprevedi, fil-paragrafu 1 tiegħu:

“Meta jitqiesu n-natura, l-ambitu, il-kuntest, u l-finijiet tal-ipproċessar kif ukoll ir-riskji ta’ probabbiltà u gravità li jvarjaw għad-drittijiet u l-libertajiet tal-persuni fiżiċi, il-kontrollur għandu jimplimenta miżuri tekniċi u organizzattivi adatti biex jiżgura u jkun jista’ juri li l-ipproċessar isir f’konformità ma’ dan ir-Regolament. Dawk il-miżuri għandhom jiġu rieżaminati u aġġornati meta jkun meħtieġ.”

9

Il-fatti li wasslu għall-kawża huma esposti fil-punti 2 sa 32 tas-sentenza appellata u jistgħu jiġu deskritti fil-qosor kif ġej.

10

Fis‑7 ta’ Ġunju 2017, is-sessjoni eżekuttiva tas-SRB adottat id-Deċiżjoni SRB/EES/2017/08, dwar skema ta’ riżoluzzjoni fir-rigward ta’ Banco Popular Español, SA abbażi tar-Regolament (UE) Nru 806/2014 tal-Parlament Ewropew u tal-Kunsill tal‑15 ta’ Lulju 2014 li jistabbilixxi regoli uniformi u proċedura uniformi għar-riżoluzzjoni tal-istituzzjonijiet ta’ kreditu u ċerti ditti tal-investiment fil-qafas ta’ Mekkaniżmu Uniku ta’ Riżoluzzjoni u Fond Uniku għar-Riżoluzzjoni u li jemenda r-Regolament (UE) Nru 1093/2010 (ĠU 2014, L 225, p. 1) (iktar ’il quddiem ir-“Regolament SRM”).

11

F’din id-deċiżjoni, is-SRB, peress li qies li l-kundizzjonijiet previsti mill-Artikolu 18(1) tar-Regolament SRM kienu ssodisfatti, iddeċieda li jissuġġetta lil Banco Popular Español SA (iktar ’il quddiem “Banco Popular”) għal proċedura ta’ riżoluzzjoni. Għalhekk, is-SRB iddeċieda li jniżżel il-valur u li jikkonverti l-istrumenti kapitali ta’ Banco Popular skont l-Artikolu 21 ta’ dan ir-regolament u li japplika l-istrument ta’ bejgħ ta’ operat skont l-Artikolu 24 tal-imsemmi regolament permezz tat-trasferiment tal-azzjonijiet lil xerrej.

12

Fl-istess jum, il-Kummissjoni Ewropea adottat id-Deċiżjoni tal-Kummissjoni (UE) 2017/1246 tas‑7 ta’ Ġunju 2017 li tapprova l-iskema ta’ riżoluzzjoni għall-Banco Popular Español S.A. (ĠU 2017, L 178, p. 15, rettifika fil-ĠU 2017, L 320, p. 31).

13

Wara r-riżoluzzjoni ta’ Banco Popular, il-kumpannija tal-awditjar u ta’ konsulenza Deloitte ġiet inkarigata mis-SRB għal valutazzjoni tad-differenza fit-trattament, prevista fl-Artikolu 20(16) sa (18) tar-Regolament SRM, imwettqa sabiex jiġi ddeterminat jekk l-azzjonisti u l-kredituri ta’ Banco Popular kinux jibbenefikaw minn trattament aħjar li kieku Banco Popular kien is-suġġett ta’ proċedura normali ta’ insolvenza (iktar ’il quddiem il-“valutazzjoni 3”). Fl‑14 ta’ Ġunju 2018, hija ttrażmettiet din il-valutazzjoni lis-SRB.

14

Fis‑6 ta’ Awwissu 2018, is-SRB ippubblika, fis-sit internet tiegħu, l-opinjoni tat‑2 ta’ Awwissu 2018 dwar id-deċiżjoni preliminari tiegħu dwar in-neċessità li jingħata jew le kumpens għad-danni lill-azzjonisti u lill-kredituri li kienu s-suġġett ta’ miżuri ta’ riżoluzzjoni fir-rigward ta’ Banco Popular Español, SA u t-tnedija tal-proċedura tad-dritt għal smigħ (SRB/EES/2018/132) (iktar ’il quddiem id-“deċiżjoni preliminari”), kif ukoll verżjoni mhux kunfidenzjali tal-valutazzjoni 3. Fis‑7 ta’ Awwissu 2018, komunikazzjoni dwar din l-opinjoni ġiet ippubblikata fil-Ġurnal Uffiċjali tal-Unjoni Ewropea (ĠU 2018, C 227 I, p. 1).

15

Fid-deċiżjoni preliminari, is-SRB indika li, sabiex ikun jista’ jieħu deċiżjoni finali dwar in-neċessità jew le li jingħataw lill-azzjonisti u lill-kredituri affettwati mir-riżoluzzjoni ta’ Banco Popular (iktar ’il quddiem l-“azzjonisti u l-kredituri affettwati”) kumpens għad-danni skont l-Artikolu 76(1)(e) tar-Regolament SRM, huwa talabhom jesprimu l-interess tagħhom li jeżerċitaw id-dritt għal smigħ tagħhom skont l-Artikolu 41(2)(a) tal-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea (iktar ’il quddiem il-“Karta”).

16

Skont l-indikazzjonijiet li jinsabu fid-deċiżjoni preliminari, il-proċedura dwar id-dritt għal smigħ kienet ser tiżvolġi f’żewġ fażijiet.

17

Fl-ewwel fażi (iktar ’il quddiem il-“fażi ta’ reġistrazzjoni”), l-azzjonisti u l-kredituri affettwati kienu mistiedna jesprimu l-interess tagħhom li jeżerċitaw id-dritt għal smigħ tagħhom permezz ta’ formola ta’ reġistrazzjoni online, u dan sal‑14 ta’ Settembru 2018. Matul dan il-fażi, l-azzjonisti u l-kredituri affettwati li xtaqu jeżerċitaw id-dritt għal smigħ tagħhom kellhom jipprovdu lis-SRB id-dokumenti ta’ sostenn li jipprovaw li, fid-data tar-riżoluzzjoni ta’ Banco Popular, huma kienu jżommu strument kapitali wieħed jew iktar ta’ Banco Popular li kienu tniżżlu fil-valur jew ġew ikkonvertiti u ttrasferiti lil Banco Santander SA fil-kuntest tar-riżoluzzjoni. Id-dokumenti ta’ sostenn li kellhom jiġu pprovduti kienu jinkludu dokument tal-identità u prova tal-proprjetà ta’ wieħed minn dawn l-istrumenti kapitali fis‑6 ta’ Ġunju 2017. Sussegwentement, is-SRB kellu jivverifika jekk kull persuna li kienet immanifestat l-interess tagħha kellhiex effettivament l-istatus ta’ azzjonist jew ta’ kreditur affettwat.

18

Fis‑6 ta’ Awwissu 2018, id-data ta’ ftuħ tal-fażi ta’ reġistrazzjoni, is-SRB ippubblika wkoll, fil-paġna internet ta’ reġistrazzjoni fil-proċedura dwar id-dritt għal smigħ u fis-sit internet tiegħu, dikjarazzjoni ta’ kunfidenzjalità dwar l-ipproċessar ta’ data personali fil-kuntest ta’ din il-proċedura (iktar ’il quddiem id-“dikjarazzjoni ta’ kunfidenzjalità”).

19

Fit-tieni fażi (iktar ’il quddiem il-“fażi ta’ konsultazzjoni”), il-persuni li l-istatus tagħhom ta’ azzjonisti u kredituri affettwati kien ġie vverifikat mis-SRB, setgħu jippreżentaw il-kummenti tagħhom dwar id-deċiżjoni preliminari, li magħha kienet annessa l-valutazzjoni 3. Fis‑16 ta’ Ottubru 2018, is-SRB ħabbar, fis-sit internet tiegħu, li, mis‑6 ta’ Novembru 2018, l-azzjonisti u l-kredituri affettwati kienu ser jiġu mistiedna jippreżentaw il-kummenti bil-miktub tagħhom dwar id-deċiżjoni preliminari matul il-fażi ta’ konsultazzjoni.

20

Fis‑6 ta’ Novembru 2018, permezz ta’ posta elettronika, is-SRB bagħat lill-azzjonisti u lill-kredituri affettwati link personali unika li kienet tippermettilhom jaċċedu għal formola fuq l-internet, li kienet tinkludi seba’ mistoqsijiet, bi spazju limitat għal tweġiba, li kienet tippermetti lill-azzjonisti u lill-kredituri affettwati jippreżentaw, qabel is‑26 ta’ Novembru 2018, kummenti dwar id-deċiżjoni preliminari kif ukoll dwar il-verżjoni mhux kunfidenzjali tal-valutazzjoni 3.

21

Is-SRB eżamina l-kummenti rilevanti tal-azzjonisti u tal-kredituri affettwati dwar id-deċiżjoni preliminari. Huwa talab lil Deloitte, fil-kwalità tagħha ta’ evalwatur indipendenti, li tevalwa l-kummenti rilevanti dwar il-valutazzjoni 3, li tipprovdilu dokument li jinkludi l-evalwazzjoni tagħha u li teżamina jekk din il-valutazzjoni kinitx għadha valida fid-dawl ta’ dawn il-kummenti.

22

Id-data miġbura matul il-fażi ta’ reġistrazzjoni, jiġifieri l-provi tal-identità tal-azzjonisti u tal-kredituri affettwati u tal-proprjetà ta’ strumenti kapitali ta’ Banco Popular li tniżżlu fil-valur jew li ġew ikkonvertiti u ttrasferiti, kienet aċċessibbli għal numru limitat ta’ membri tal-persunal tas-SRB, jiġifieri dawk inkarigati mill-ipproċessar ta’ din id-data sabiex tiġi ddeterminata l-eliġibbiltà ta’ dawn l-azzjonisti u l-kredituri għal kumpens għad-danni.

23

Il-membri tal-persunal tas-SRB inkarigati mill-ipproċessar tal-kummenti riċevtui waqt il-fażi ta’ konsultazzjoni ma kellhomx aċċess la għad-data miġbura matul il-fażi ta’ reġistrazzjoni, b’tali mod li dawn il-kummenti kienu separati mill-informazzjoni personali dwar l-azzjonisti u l-kredituri affettwati li kienu ssottomettewhom, u lanqas aċċess għal data jew għal informazzjoni li tippermetti li tinstab l-identità ta’ azzjonisti u kredituri affettwati b’riferiment għall-kodiċi alfanumeriku uniku allokat għal kull kumment sottomess permezz ta’ formola. Il-kodiċi alfanumeriku kien jikkonsisti f’identifikatur uniku universali b’33 ċifra, iġġenerat b’mod każwali fil-mument tar-riċezzjoni tat-tweġibiet għall-formola.

24

Fl-ewwel stadju, is-SRB wettaq filtrazzjoni awtomatika ta’ 23822 kumment, li kull wieħed minnhom kellu kodiċi alfanumeriku uniku, sottomessi minn 2855 parteċipant fil-proċedura. Żewġ algoritmi ppermettew li jiġu identifikati 20101 kumment bħala identiċi. F’dan il-każ, il-kumment sottomess l-ewwel ġie kkunsidrat bħala l-kumment oriġinali, li ġie eżaminat matul il-fażi ta’ analiżi, u l-kummenti identiċi rċevuti sussegwentement ġew identifikati bħala duplikati.

25

Fit-tieni stadju, is-SRB identifika l-kummenti sottomessi li kienu jaqgħu fil-kamp ta’ applikazzjoni tal-proċedura dwar id-dritt għal smigħ sa fejn dawn setgħu jkollhom influwenza fuq id-deċiżjoni preliminari jew fuq il-valutazzjoni 3. Sussegwentement, huwa qasam dawn il-kummenti bejn dawk li kellhom jiġu eżaminati mis-SRB sa fejn kienu jikkonċernaw id-deċiżjoni preliminari u dawk li kellhom jiġu eżaminati minn Deloitte sa fejn kienu jikkonċernaw il-valutazzjoni 3. Fi tmiem din il-fażi, is-SRB identifika 3730 kumment, li huwa kklassifika skont ir-rilevanza tagħhom u t-tema tagħhom.

26

Fit-tielet stadju, il-kummenti dwar id-deċiżjoni preliminari ġew ipproċessati mis-SRB u dawk relatati mal-valutazzjoni 3, jiġifieri 1104 kumment, ġew ittrasferiti lil Deloitte, fis‑17 ta’ Ġunju 2019, permezz ta’ server virtwali ta’ data sigur u li jintuża esklużivament mis-SRB. Dan tal-aħħar tella’ l-fajls li kellhom jiġu kkomunikati lil Deloitte fuq dan is-server u ta aċċess għal dawn il-fajls lil numru limitat u kkontrollat ta’ membri tal-persunal ta’ Deloitte, jiġifieri dawk involuti direttament f’eżami tal-kummenti dwar il-valutazzjoni 3.

27

Il-kummenti ttrasferiti lil Deloitte kienu ġew iffiltrati, ikkategorizzati u aggregati. Meta kienu jikkostitwixxu kopji ta’ kummenti preċedenti, verżjoni waħda biss ġiet trażmessa lil Deloitte, b’tali mod li l-kummenti individwali li kienu ġew irreplikati ma setgħux jiġu distinti fi ħdan l-istess tema u Deloitte ma kellhiex il-possibbiltà li tkun taf jekk kienx ġie fformulat kumment minn parteċipant wieħed jew iktar fil-proċedura dwar id-dritt għal smigħ.

28

Il-kummenti ttrasferiti lil Deloitte kienu jikkonċernaw biss dawk irċevuti matul il-fażi ta’ konsultazzjoni u kienu jirrigwardaw kodiċi alfanumeriku. Madankollu, is-SRB kien l-uniku wieħed li seta’ jorbot, permezz ta’ dan il-kodiċi, il-kummenti mad-data, b’mod partikolari mad-data ta’ identifikazzjoni tal-awturi tal-kummenti, irċevuti matul il-fażi ta’ reġistrazzjoni. Il-kodiċi alfanumeriku kien ġie żviluppat għal finijiet ta’ awditu sabiex ikun jista’ jiġi vverifikat u possibbilment jintwera, fi proċedura ġudizzjarja, li kull kumment kien ġie pproċessat u debitament ikkunsidrat. Deloitte ma kellhiex aċċess għad-database miġbura matul il-fażi ta’ reġistrazzjoni u lanqas matul il-proċedura dwar id-dritt għal smigħ u ma kellhiex aċċess għaliha fid-data li fiha ngħatat is-sentenza appellata.

29

Matul ix-xhur ta’ Ottubru u ta’ Diċembru 2019, azzjonisti u kredituri affettwati li wieġbu għall-formola, ittrażmettew lill-KEPD ħames ilmenti skont ir-Regolament 2018/1725. Permezz ta’ dawn l-ilmenti, huma invokaw ksur tal-Artikolu 15(1)(d) ta’ dan ir-regolament, peress li s-SRB ma kienx informahom li d-data miġbura permezz tat-tweġibiet għall-formola kienet ser tiġi trażmessa lil terzi, jiġifieri Deloitte u Banco Santander, u dan bi ksur tat-termini tad-dikjarazzjoni ta’ kunfidenzjalità.

30

Fi tmiem proċedura li matulha s-SRB ipprovda diversi spjegazzjonijiet fuq talba tal-KEPD u l-persuni li ressqu l-ilmenti pproduċew osservazzjonijiet, il-KEPD adotta, fl‑24 ta’ Ġunju 2020, deċiżjoni dwar ħames ilmenti mressqa minn diversi persuni li ressqu lmenti kontra l-Bord Uniku ta’ Riżoluzzjoni (Kawżi 2019–947, 2019–998, 2019–999, 2019–1000 u 2019–1122) (iktar ’il quddiem id-“deċiżjoni inizjali”). F’din id-deċiżjoni, il-KEPD qies li s-SRB kien kiser l-Artikolu 15 tar-Regolament 2018/1725 sa fejn ma kienx informa lill-persuni li ressqu l-ilmenti, fid-dikjarazzjoni ta’ kunfidenzjalità, bil-possibbiltà li d-data personali tagħhom tiġi kkomunikata lil Deloitte. Konsegwentement, huwa ċanfar is-SRB għal dan il-ksur skont l-Artikolu 58(2)(b) ta’ dan ir-regolament.

31

Fit‑22 ta’ Lulju 2020, is-SRB talab lill-KEPD jeżamina mill-ġdid id-deċiżjoni inizjali skont l-Artikolu 18(1) tad-Deċiżjoni tal-Kontrollur Ewropew għall-Protezzjoni tad-Data tal‑15 ta’ Mejju 2020 li tadotta r-Regoli ta’ Proċedura tal-EDPS (ĠU 2020, L 204, p. 49). B’mod partikolari, is-SRB ipprovda deskrizzjoni ddettaljata tal-proċedura dwar id-dritt għal smigħ u tal-analiżi tal-kummenti sottomessi, matul il-fażi ta’ konsultazzjoni, minn erbgħa mill-persuni identifikati li ressqu l-ilmenti. Huwa sostna li l-informazzjoni trażmessa lil Deloitte ma kinitx tikkostitwixxi data personali fis-sens tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725.

32

Fil‑5 ta’ Awwissu 2020, il-KEPD informa lis-SRB li, fid-dawl tal-elementi ġodda pprovduti, huwa kien iddeċieda li jeżamina mill-ġdid id-deċiżjoni inizjali u li kien ser jadotta deċiżjoni li tissostitwixxiha.

33

Fl‑24 ta’ Novembru 2020, fi tmiem il-proċedura ta’ reviżjoni, li matulha l-persuni li ressqu l-ilmenti ppreżentaw osservazzjonijiet u s-SRB ipprovda informazzjoni addizzjonali fuq it-talba tal-KEPD, dan tal-aħħar adotta d-deċiżjoni kontenzjuża.

34

Permezz ta’ din id-deċiżjoni, il-KEPD irreveda d-deċiżjoni inizjali fit-termini li ġejjin:

35

Permezz ta’ rikors ippreżentat fir-Reġistru tal-Qorti Ġenerali fl‑1 ta’ Settembru 2020, is-SRB ippreżenta rikors intiż, minn naħa waħda, għall-annullament tad-deċiżjoni kontenzjuża u, min-naħa l-oħra, għal dikjarazzjoni ta’ illegalità tad-deċiżjoni inizjali.

36

Insostenn tal-ewwel kap ta’ talbiet, is-SRB qajjem żewġ motivi, li minnhom l-ewwel wieħed huwa bbażat fuq ksur tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725, inkwantu l-informazzjoni trażmessa lil Deloitte ma kinitx tikkostitwixxi data personali u, it-tieni wieħed, fuq il-ksur tad-dritt għal amministrazzjoni tajba, stabbilit fl-Artikolu 41 tal-Karta.

37

Permezz tas-sentenza appellata, il-Qorti Ġenerali ċaħdet minħabba nuqqas ta’ ġurisdizzjoni t-tieni kap tat-talbiet intiż sabiex id-deċiżjoni inizjali tiġi ddikjarata illegali, sa fejn is-SRB ried jikseb sentenza dikjaratorja u mhux l-annullament ta’ att.

38

Min-naħa l-oħra, il-Qorti Ġenerali ddikjarat ammissibbli l-ewwel kap ta’ talbiet. Dwar il-mertu, hija laqgħet l-ewwel motiv tar-rikors u annullat id-deċiżjoni kontenzjuża, mingħajr ma eżaminat it-tieni motiv tar-rikors.

39

Permezz ta’ deċiżjoni tal-President tal-Qorti tal-Ġustizzja tal‑20 ta’ Ottubru 2023, il-Kummissjoni Ewropea ġiet ammessa tintervjeni sabiex issostni s-SRB. Permezz ta’ digriet tal-President tal-Qorti tal-Ġustizzja tad‑29 ta’ Novembru 2023, il-Bord Ewropew għall-Protezzjoni tad-Data ġie ammess jintervjeni sabiex issostni l-konklużjonijiet tal-KEDP.

40

Il-KEPD, appoġġjat mill-Bord Ewropew għall-Protezzjoni tad-Data, jitlob li l-Qorti tal-Ġustizzja jogħġobha:

41

Is-SRB, sostnuta mill-Kummissjoni, titlob li l-Qorti tal-Ġustizzja jogħġobha:

42

Insostenn tal-appell tiegħu, il-KEPD, sostnut mill-Bord Ewropew għall-Protezzjoni tad-Data, iqajjem żewġ aggravji, fejn l-ewwel wieħed huwa bbażat fuq ksur tal-punti 1 u 6 tal-Artikolu 3 tar-Regolament 2018/1725, kif interpretat mill-Qorti tal-Ġustizzja, u t-tieni wieħed fuq ksur tal-Artikolu 4(2) u tal-Artikolu 26(1) ta’ dan ir-regolament.

43

Permezz tal-ewwel aggravju tiegħu, il-KEPD isostni, essenzjalment, li, billi ddeċidiet li huwa kien ikkonkluda b’mod żbaljat, fid-deċiżjoni kontenzjuża, li l-informazzjoni inkwistjoni f’dan il-każ kienet tikkostitwixxi data personali, il-Qorti Ġenerali wettqet żball ta’ liġi fl-interpretazzjoni tal-punti 1 u 6 tal-Artikolu 3 tar-Regolament 2018/1725. Dan l-aggravju huwa maqsum f’żewġ partijiet. L-ewwel parti tikkonċerna l-kundizzjoni, prevista fil-punt 1 tal-Artikolu 3 ta’ dan ir-regolament, li l-informazzjoni “tkun relatata” ma’ persuna fiżika u t-tieni parti tikkonċerna l-kundizzjoni, prevista fl-istess dispożizzjoni, dwar in-natura “identifikabbli” ta’ din il-persuna.

44

Permezz tal-ewwel parti tal-ewwel aggravju, il-KEPD isostni li, kuntrarjament għal dak li ddeċidiet il-Qorti Ġenerali, fil-punti 60 sa 74 tas-sentenza appellata, l-informazzjoni trażmessa lil Deloitte kienet relatata ma’ persuna fiżika, fis-sens tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725.

45

Fl-ewwel lok, il-KEPD isostni li, kuntrarjament għal dak li jirriżulta mill-punt 70 tas-sentenza appellata, l-awtoritajiet tal-protezzjoni tad-data ma jistgħux ikunu obbligati jwettqu, fi kwalunkwe każ, eżami tal-kontenut, tal-iskop jew tal-effett ta’ informazzjoni sabiex jivverifikaw jekk din tikkonċernax persuna fiżika. Skont il-KEPD, tali eżami ma setax, b’mod partikolari, jintalab fir-rigward tal-kummenti trażmessi mis-SRB lil Deloitte, peress li, fil-fehma tiegħu, kien ċar li dawn il-kummenti “huma relatati ma’” persuna fiżika sa fejn kienu jesprimu l-perspettiva personali ta’ ċerti kredituri u azzjonisti ta’ Banco Popular dwar l-eventwali dritt tagħhom għal kumpens għad-danni skont l-Artikolu 76(1)(e) tar-Regolament SRM.

46

Fit-tieni lok, kuntrarjament għall-konstatazzjoni li tinsab fil-punt 71 tas-sentenza appellata, il-KEPD isostni li, sabiex jikkonkludi li teżisti data personali, huwa mhux biss ibbaża ruħu fuq in-natura tal-kummenti trażmessi lil Deloitte, iżda wkoll fuq il-fatt li l-kodiċi alfanumeriku kien ġie trażmess ukoll lil din il-kumpannija.

47

Fit-tielet lok, il-KEPD isostni li s-sentenza appellata hija vvizzjata b’kontradizzjoni sa fejn il-Qorti Ġenerali, minn naħa, irrilevat fil-punt 7 ta’ din is-sentenza li l-għan stess tal-kummenti trażmessi lil Deloitte kien li jippermetti lil persuni fiżiċi speċifiċi, jiġifieri lill-azzjonisti u lill-kredituri affettwati, jeżerċitaw id-dritt tagħhom għal smigħ fid-dawl ta’ eventwali kumpens għad-danni skont l-Artikolu 76(1)(e) tar-Regolament SRM. B’kontradizzjoni ma’ din l-ewwel konstatazzjoni, il-Qorti Ġenerali ddeċidiet, min-naħa l-oħra, fil-punt 73 tal-imsemmija sentenza, li l-KEPD kien ibbaża ruħu fuq preżunzjonijiet li l-kummenti kollha trażmessi lil Deloitte kienu jikkostitwixxu data personali, mingħajr ma wera li dawn kienu jikkonċernaw persuni fiżiċi.

48

Is-SRB, sostnut mill-Kummissjoni, isostni li dan l-argument għandu jiġi miċħud.

49

Fl-ewwel lok, skont il-ġurisprudenza li tirriżulta mis-sentenzi tal‑20 ta’ Diċembru 2017, Nowak (C‑434/16, EU:C:2017:994, punti 34 u 35), u tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF (C‑487/21, EU:C:2023:369, punti 23 u 24), informazzjoni, oġġettiva jew suġġettiva, fil-forma ta’ opinjonijiet jew evalwazzjonijiet, tista’ tikkostitwixxi data personali, bil-kundizzjoni li din “tikkonċerna” lill-persuna inkwistjoni. Barra minn hekk, skont din il-ġurisprudenza, informazzjoni tikkonċerna persuna fiżika identifikata jew identifikabbli meta, minħabba l-kontenut tagħha, l-iskop tagħha jew l-effett tagħha, l-informazzjoni tkun relatata ma’ persuna identifikabbli. Għalhekk, il-Qorti Ġenerali ddeċidiet, ġustament, fil-punti 70 sa 74 tas-sentenza appellata, li l-KEPD injora l-imsemmija ġurisprudenza billi sempliċement indika li l-kummenti trażmessi lil Deloitte kienu jirriflettu l-opinjonijiet jew il-perspettivi tal-azzjonisti u tal-kredituri affettwati u, għalhekk, mingħajr ma eżamina jekk, minħabba l-kontenut, l-iskop jew l-effett tagħhom, dawn il-kummenti kinux marbuta ma’ persuna identifikabbli.

50

Fit-tieni lok, l-allegazzjoni tal-KEPD li n-natura ta’ data personali tal-imsemmija kummenti tirriżulta neċessarjament mill-iskop tagħhom tikkostitwixxi allegazzjoni fattwali ġdida, ippreżentata għall-ewwel darba quddiem il-qorti tal-appell, li hija, minħabba f’hekk, inammissibbli. Fi kwalunkwe każ, din l-allegazzjoni hija ineffettiva sa fejn il-KEPD ma eżaminax dan il-punt fid-deċiżjoni kontenzjuża.

51

Fir-rigward, fit-tielet lok, tal-allegata kontradizzjoni tal-motivi bejn il-punti 7 u 73 tas-sentenza appellata, is-SRB isostni li d-deskrizzjoni li tinsab fil-punt 7 ta’ din is-sentenza ma tinkludi ebda informazzjoni dwar il-kontenut, l-iskop jew l-effett tal-kummenti trażmessi lil Deloitte u, għaldaqstant, ma tikkontradixxix il-konklużjoni stabbilita fil-punt 73 tal-imsemmija sentenza.

52

Preliminarjament, għandu jiġi rrilevat li d-definizzjoni tal-kunċett ta’ “data personali”, stabbilita fil-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725, hija essenzjalment identika għal dik li tinsab fil-punt 1 tal-Artikolu 4 tal-GDPR, li, min-naħa tagħha, għandha portata essenzjalment identika għal dik li kienet tinsab fl-Artikolu 2(a) tad-Direttiva tal-Parlament Ewropew u tal-Kunsill 95/46/KE tal‑24 ta’ Ottubru 1995 dwar il-protezzjoni ta’ individwi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ dik id-data (ĠU Edizzjoni Speċjali bil-Malti, Kapitolu 13, Vol. 15, p. 355). Sabiex tiggarantixxi applikazzjoni uniformi u koerenti tad-dritt tal-Unjoni, għandha tiġi żgurata għalhekk interpretazzjoni identika tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725, tal-punt 1 tal-Artikolu 4 tal-GDPR u tal-Artikolu 2(a) tad-Direttiva 95/46 (ara, f’dan is-sens, is-sentenzi tas‑7 ta’ Marzu 2024, OC vs Il‑Kummissjoni, C‑479/22 P, EU:C:2024:215, punt 43, kif ukoll tas‑7 ta’ Marzu 2024, IAB Europe, C‑604/22, EU:C:2024:214, punt 33 u l-ġurisprudenza ċċitata).

53

Il-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725 jipprovdi li tikkostitwixxi data personali “kwalunkwe informazzjoni relatata ma’ persuna fiżika identifikata jew identifikabbli”.

54

Il-Qorti tal-Ġustizzja ddeċidiet li l-użu tal-espressjoni “kwalunkwe informazzjoni” fid-definizzjoni tal-kunċett ta’ “data personali”, li tinsab f’din id-dispożizzjoni u fil-punt 1 tal-Artikolu 4 tal-GDPR, jirrifletti l-għan tal-leġiżlatur tal-Unjoni li jattribwixxi sens wiesa’ lil dan il-kunċett, li potenzjalment jiġbor fih kull tip ta’ informazzjoni, kemm oġġettiva kif ukoll suġġettiva, fil-forma ta’ opinjonijiet jew evalwazzjonijiet, bil-kundizzjoni li dawn “jikkonċernaw” lill-persuna inkwistjoni (sentenzi tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF, C‑487/21, EU:C:2023:369, punt 23 u l-ġurisprudenza ċċitata; tas‑7 ta’ Marzu 2024, OC vs Il‑Kummissjoni, C‑479/22 P, EU:C:2024:215, punt 45, kif ukoll tal‑4 ta’ Ottubru 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punt 130).

55

Informazzjoni tikkonċerna lil persuna fiżika identifikata jew identifikabbli meta, minħabba l-kontenut, l-iskop jew l-effett tagħha, din tkun relatata ma’ persuna identifikabbli (sentenzi tal‑20 ta’ Diċembru 2017, Nowak, C‑434/16, EU:C:2017:994, punt 35; tas‑7 ta’ Marzu 2024, OC vs Il‑Kummissjoni, C‑479/22 P, EU:C:2024:215, punt 45, u tas‑7 ta’ Marzu 2024, IAB Europe, C‑604/22, EU:C:2024:214, punt 37 u l-ġurisprudenza ċċitata).

56

F’dan il-każ, għalkemm il-Qorti Ġenerali rrilevat, fil-punt 70 tas-sentenza appellata, li l-KEPD la kien eżamina l-kontenut, la l-iskop u lanqas l-effett tal-informazzjoni li tirriżulta mill-kummenti trażmessi lil Deloitte, mill-punti 71 u 72 ta’ din is-sentenza jirriżulta madankollu li l-konstatazzjoni li dawn il-kummenti kienu jirriflettu l-opinjonijiet jew il-perspettivi tas-suġġetti tad-data kienet teħtieġ li l-KEPD ikun eżamina minn qabel il-kontenut tal-imsemmija kummenti. Fuq il-bażi ta’ din il-konstatazzjoni, il-KEPD ikkonkluda li dawn kienu jikkostitwixxu informazzjoni dwar dawn il-persuni. Issa, skont il-ġurisprudenza mfakkra fil-punt 55 ta’ din is-sentenza, eżami li jirrigwarda l-kontenut ta’ informazzjoni ma għandux neċessarjament jiġi kkompletat minn analiżi tal-iskop u tal-effetti ta’ din l-informazzjoni, kif jindika l-użu tal-konġunzjoni “jew” li tgħaqqad id-diversi kriterji msemmija minn din il-ġurisprudenza.

57

Madankollu, fil-punti 73 u 74 tas-sentenza appellata, il-Qorti Ġenerali qieset li l-KEPD ma setax jikklassifika l-informazzjoni li tirriżulta mill-kummenti trażmessi lil Deloitte bħala data personali abbażi biss tal-konstatazzjoni li dawn kienu opinjonijiet jew perspettivi personali, iżda li huwa kellu jeżamina, barra minn hekk, il-kontenut, l-iskop u l-effett tal-opinjonijiet hekk espressi, sabiex jiddetermina jekk dawn kinux marbuta ma’ persuna partikolari.

58

Din l-evalwazzjoni tal-Qorti Ġenerali tinjora n-natura partikolari tal-opinjonijiet jew tal-perspettivi personali li, bħala espressjoni tal-ħsieb ta’ persuna, huma neċessarjament relatati mill-qrib ma’ din tal-aħħar.

59

L-interpretazzjoni adottata fil-punt preċedenti hija kkorroborata mill-ġurisprudenza li tirriżulta mis-sentenza tal‑20 ta’ Diċembru 2017, Nowak (C‑434/16, EU:C:2017:994), li kienet tirrigwarda, fost l-oħrajn, l-annotazzjonijiet ta’ eżaminatur relatati mar-risposti bil-miktub ta’ kandidat għal eżami professjonali. Fil-fatt, fil-punti 42 sa 44 ta’ dik is-sentenza, għalkemm il-Qorti tal-Ġustizzja evalwat il-kontenut, l-iskop u l-effett ta’ dawn l-annotazzjonijiet sabiex tikkonstata li dawn kienu jikkostitwixxu informazzjoni dwar il-kandidat ikkonċernat minnhom, hija, essenzjalment, qieset li l-imsemmija kummenti kienu relatati wkoll mal-eżaminatur li kien l-awtur tagħhom, peress li dawn kienu jesprimu l-opinjoni jew l-evalwazzjoni tiegħu.

60

Minn dan isegwi li l-Qorti Ġenerali wettqet żball ta’ liġi meta ddeċidiet, fil-punti 73 u 74 tas-sentenza appellata, li l-KEPD, sabiex jikkonkludi li l-informazzjoni li tirriżulta mill-kummenti trażmessi lil Deloitte “kienet relatata”, fis-sens tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725, mal-persuni li ppreżentaw dawn il-kummenti, kellu jeżamina l-kontenut, l-iskop jew l-effetti tal-imsemmija kummenti, peress li kien paċifiku li dawn kienu jesprimu l-opinjoni jew il-perspettiva personali tal-awturi tagħhom.

61

Għaldaqstant, mingħajr ma huwa neċessarju li jiġu eżaminati l-argumenti miġbura fil-qosor fil-punti 46 u 47 ta’ din is-sentenza, l-ewwel parti tal-ewwel aggravju għandha tintlaqa’.

62

Permezz tat-tieni parti tal-ewwel aggravju, il-KEPD isostni li, fil-punti 76 sa 106 tas-sentenza appellata, il-Qorti Ġenerali ddeċidiet, b’mod żbaljat, li hija ma setgħetx tqis li l-informazzjoni li tirriżulta mill-kummenti trażmessi lil Deloitte kienet relatata ma’ persuna fiżika “identifikabbli”, fis-sens tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725. Din il-parti hija komposta minn żewġ ilmenti distinti.

63

Qabelxejn, il-KEPD ifakkar li, skont il-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725, il-kontrollur jew “kwalunkwe persuna oħra” għandu jkun f’pożizzjoni li jidentifika suġġett tad-data mill-informazzjoni inkwistjoni. Fl-assenza ta’ indikazzjoni dwar il-persuna li għandha tkun f’pożizzjoni li twettaq din l-identifikazzjoni, ikun biżżejjed li s-suġġett tad-data jkun jista’ jiġi identifikat. Issa, f’dan il-każ, ma huwiex ikkontestat li l-kummenti trażmessi lil Deloitte, li kellu s-SRB, jikkostitwixxu data personali. Barra minn hekk, mill-punt 6 tal-Artikolu 3 ta’ dan ir-regolament, moqri flimkien mal-premessa 16 tiegħu, jirriżulta li data psewdonimizzata tikkostitwixxi data personali, u dan sempliċement minħabba l-eżistenza ta’ informazzjoni addizzjonali li tippermetti li din tiġi attribwita lil persuna speċifika.

64

Skont il-KEPD, il-kunsiderazzjonijiet li jinsabu fil-punti 90 u 91 tas-sentenza appellata ma jiħdux inkunsiderazzjoni b’mod suffiċjenti t-termini ta’ dawn id-dispożizzjonijiet kif ukoll id-distinzjoni bejn anonimizzazzjoni u psewdonimizzazzjoni. F’dan ir-rigward, il-Bord Ewropew għall-Protezzjoni tad-Data jippreċiża li, skont l-interpretazzjoni adottata mill-Qorti Ġenerali, data personali tinbidel fin-natura tagħha meta tiġi trażmessa lil entità esterna għall-kontrollur, li ma jkollhiex informazzjoni addizzjonali li tippermetti li jiġi identifikat is-suġġett tad-data. Din l-interpretazzjoni tippermetti lil tali kontrollur ineħħi indebitament id-data personali mill-kamp ta’ applikazzjoni tad-dritt tal-Unjoni fil-qasam tal-protezzjoni ta’ tali data, u dan anki meta l-ipproċessar mill-entità esterna jesponi lis-suġġetti tad-data għal riskji sinjifikattivi.

65

Sussegwentement, il-KEPD jirrileva li, billi introduċa l-kunċett ta’ psewdonimizzazzjoni, il-leġiżlatur tal-Unjoni kkjarifika li, sabiex tiġi eskluża data personali mill-kamp ta’ applikazzjoni tad-dritt tal-Unjoni fil-qasam tal-protezzjoni ta’ tali data, ma huwiex biżżejjed li din id-data tiġi sseparata mill-informazzjoni addizzjonali li tippermetti li jiġi identifikat is-suġġett tad-data.

66

Fl-aħħar nett, il-KEPD ifakkar li l-kunċett ta’ data personali għandu jiġi interpretat b’mod wiesa’, li huwa, fil-fehma tiegħu, neċessarju sabiex id-dritt fil-qasam tal-protezzjoni tad-data jipproduċi l-effett utli tiegħu. Sa fejn l-interpretazzjoni tal-Qorti Ġenerali tippermetti li d-data psewdonimizzata titqies b’mod żbaljat bħala data anonima, din tkun ta’ natura li tikkomprometti l-livell għoli ta’ protezzjoni mfittex mil-leġiżlatur tal-Unjoni u meħtieġ mill-Karta. Skont il-Bord Ewropew għall-Protezzjoni tad-Data, l-interpretazzjoni adottata mill-Qorti Ġenerali tinkludi wkoll ir-riskju li d-data psewdonimizzata tista’ tiġi pproċessata mingħajr restrizzjoni skont il-GDPR u r-Regolament 2018/1725, inkluż il-kondiviżjoni, il-pubblikazzjoni u t-trasferiment tagħha lejn pajjiżi terzi.

67

Is-SRB, sostnut mill-Kummissjoni, jikkontesta dawn l-argumenti.

68

L-ewwel ilment tat-tieni parti tal-ewwel aggravju huwa, essenzjalment, ibbażat fuq il-kunsiderazzjoni li data psewdonimizzata bħall-kummenti trażmessi lil Deloitte tikkostitwixxi, fi kwalunkwe każ, data personali minħabba s-sempliċi eżistenza ta’ informazzjoni li tippermetti li jiġi identifikat is-suġġett tad-data, mingħajr ma huwa neċessarju li jiġi eżaminat b’mod konkret jekk, minkejja l-psewdonimizzazzjoni, il-persuna li magħha hija relatata din id-data hijiex identifikabbli.

69

F’dan ir-rigward, għandu jitfakkar li, skont il-kliem stess tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725, informazzjoni għandha tkun relatata ma’ persuna fiżika “identifikata jew identifikabbli” sabiex tiġi kklassifikata bħala data personali, fis-sens ta’ din id-dispożizzjoni. Għalhekk, l-applikazzjoni ta’ dan ir-regolament tippreżupponi, bħala prinċipju, eżami dwar in-natura identifikata jew identifikabbli tas-suġġett tad-data mill-informazzjoni inkwistjoni.

70

Din l-interpretazzjoni hija kkorroborata mill-ħames u mis-sitt sentenza tal-premessa 16 tar-Regolament 2018/1725, li jipprovdu li ma taqax taħt id-definizzjoni tal-kunċett ta’ “data personali” l-“informazzjoni anonima, jiġifieri informazzjoni li mhijiex relatata ma’ persuna fiżika identifikata jew identifikabbli”, u lanqas id-“data personali li ssir anonima b’tali mod li s-suġġett tad-data ma jkunx jew ma jkunx għadu identifikabbli” (ara, b’analoġija, is-sentenza tal‑5 ta’ Diċembru 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punt 57).

71

Fir-rigward, b’mod iktar partikolari, tad-data psewdonimizzata, għandu jiġi nnotat, fl-ewwel lok, li din id-data ma tissemmiex fid-definizzjoni legali tal-kunċett ta’ “data personali”, li tinsab fil-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725, iżda li l-karatteristiċi tagħha jirriżultaw mill-punt 6 tal-Artikolu 3 ta’ dan ir-regolament. Din l-aħħar dispożizzjoni tiddefinixxi l-kunċett ta’ “psewdonimizzazzjoni” bħala “l-ipproċessar ta’ data personali b’tali mod li d-data personali ma tkunx tista’ tibqa’ tiġi attribwita għal suġġett tad-data speċifiku mingħajr l-użu ta’ informazzjoni addizzjonali, dment li tali informazzjoni addizzjonali tinżamm separatament u tkun soġġetta għal miżuri tekniċi u organizzattivi biex jiġi żgurat li d-data personali ma tiġix attribwita għal persuna fiżika identifikata jew identifikabbli”.

72

Kif irrileva, essenzjalment, l-Avukat Ġenerali fil-punti 46 u 48 tal-konklużjonijiet tiegħu, il-psewdonimizzazzjoni għalhekk ma tikkostitwixxix element tad-definizzjoni ta’ “data personali”, iżda tirreferi għall-implimentazzjoni ta’ miżuri tekniċi u organizzattivi intiżi li jnaqqsu r-riskju ta’ korrelazzjoni ta’ sett ta’ data mal-identità tas-suġġetti tad-data. Skont il-premessa 17 tal-imsemmi regolament, il-psewdonimizzazzjoni “tista’ [biss] tnaqqas ir-riskji” ta’ tali korrelazzjoni għal dawn il-persuni u, għalhekk, “tgħin lill-kontrolluri u lill-proċessuri jissodisfaw l-obbligi tagħhom tal-protezzjoni tad-data”.

73

Fit-tieni lok, mill-kliem tal-punt 6 tal-Artikolu 3 tar-Regolament 2018/1725 jirriżulta li l-kunċett ta’ “psewdonimizzazzjoni” jippreżupponi l-eżistenza ta’ informazzjoni li tippermetti li jiġi identifikat is-suġġett tad-data. Issa, l-eżistenza stess ta’ tali informazzjoni tipprekludi li data li kienet is-suġġett ta’ psewdonimizzazzjoni tkun tista’, fi kwalunkwe każ, titqies li hija data anonima, eskluża mill-kamp ta’ applikazzjoni ta’ dan ir-regolament.

74

Xorta jibqa’ l-fatt li, fit-tielet lok, ir-rekwiżit ta’ żamma separata tal-informazzjoni ta’ identifikazzjoni kif ukoll ta’ miżuri tekniċi u organizzattivi “biex jiġi żgurat li d-data personali ma tiġix attribwita għal persuna fiżika identifikata jew identifikabbli”, previst fil-punt 6 tal-Artikolu 3 tal-imsemmi regolament, jindika li l-psewdonimizzazzjoni għandha b’mod partikolari l-għan li tevita li s-suġġett tad-data jkun jista’ jiġi identifikat biss permezz tad-data psewdonimizzata.

75

Fil-fatt, sakemm tali miżuri tekniċi u organizzattivi jkunu effettivament implimentati u jkunu ta’ natura li jipprevjenu attribuzzjoni tad-data inkwistjoni lis-suġġett tad-data, b’tali mod li dan ma jkunx jew ma jkunx għadu identifikabbli, il-psewdonimizzazzjoni jista’ jkollha effett fuq in-natura personali ta’ din id-data fis-sens tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725.

76

F’dan ir-rigward, għandu jiġi ppreċiżat li, bħalma huwa normalment il-każ tal-kontrollur li wettaq il-psewdonimizzazzjoni, is-SRB għandu, f’dan il-każ, informazzjoni addizzjonali li tippermetti li l-kummenti trażmessi lil Deloitte jiġu attribwiti lis-suġġett tad-data, b’tali mod li, għalih, dawn il-kummenti jżommu, minkejja l-psewdonimizzazzjoni, in-natura personali tagħhom.

77

Fir-rigward ta’ Deloitte li lilha s-SRB ittrażmetta kummenti psewdonimizzati, il-miżuri tekniċi u organizzattivi msemmija fil-punt 6 tal-Artikolu 3 tar-Regolament 2018/1725 jistgħu, kif isostni essenzjalment is-SRB, ikollhom l-effett li, għal din il-kumpannija, dawn il-kummenti ma jkunux ta’ natura personali. Madankollu, dan jippreżupponi, minn naħa, li Deloitte ma tkunx f’pożizzjoni li tneħħi dawn il-miżuri waqt kull ipproċessar tal-imsemmija kummenti mwettaq taħt il-kontroll tagħha. Min-naħa l-oħra, l-imsemmija miżuri għandhom effettivament ikunu ta’ natura li jipprekludu lil Deloitte milli tattribwixxi dawn l-istess kummenti lis-suġġetti tad-data wkoll permezz tal-użu ta’ mezzi ta’ identifikazzjoni oħra bħal kontroverifika ma’ elementi oħra, b’tali mod li, għal din il-kumpannija, is-suġġett tad-data ma huwiex jew ma għadux identifikabbli.

78

Din l-interpretazzjoni hija kkorroborata mill-premessa 16 tar-Regolament 2018/1725 li, wara li ddikjarat, fl-ewwel sentenza tagħha, li “[i]l-prinċipji ta’ protezzjoni tad-data jenħtieġ li japplikaw għal kwalunkwe informazzjoni dwar persuna fiżika identifikata jew identifikabbli”, tipprovdi, fit-tieni sentenza tagħha, li “[j]enħtieġ li d-data personali li tkun għaddiet minn psewdonimizzazzjoni, li tkun tista’ tiġi attribwita lil persuna fiżika bl-użu ta’ informazzjoni addizzjonali, titqies bħala informazzjoni dwar persuna fiżika identifikabbli”.

79

Fil-fatt, wara dawn l-indikazzjonijiet relatati mad-data personali u mad-data psewdonimizzata, it-tielet sentenza ta’ din il-premessa tippreċiża li, sabiex jiġi determinat jekk persuna fiżika hija identifikabbli, għandhom jittieħdu inkunsiderazzjoni “l-mezzi kollha li raġonevolment x’aktarx” jintużaw mill-kontrollur jew “minn kwalunkwe persuna oħra” sabiex jidentifikaw il-persuna fiżika “direttament jew indirettament”. Barra minn hekk, ir-raba’ sentenza ta’ din il-premessa tipprovdi li, sabiex jiġi stabbilit liema mezzi huma raġonevolment mistennija jintużaw għall-identifikazzjoni ta’ persuna fiżika, jenħtieġ li jittieħdu inkunsiderazzjoni “l-fatturi oġġettivi kollha, bħall-ispejjeż tal-identifikazzjoni u l-ammont ta’ żmien rikjest għall-identifikazzjoni, filwaqt li jitqiesu t-teknoloġija disponibbli fil-mument tal-ipproċessar u l-iżviluppi teknoloġiċi”.

80

Issa, kif irrileva, essenzjalment, l-Avukat Ġenerali fil-punt 51 tal-konklużjonijiet tiegħu, dawn il-preċiżazzjonijiet dwar l-evalwazzjoni tan-natura identifikabbli jew le tas-suġġett tad-data jiġu mċaħħda minn kull effett utli jekk data psewdonimizzata kellha titqies li tikkostitwixxi, fi kwalunkwe każ u għal kull persuna, data personali għall-finijiet tal-applikazzjoni tar-Regolament 2018/1725.

81

F’dan ir-rigward, għandu jitfakkar li, fir-rigward ta’ stqarrija għall-istampa li kienet tinkludi ċertu numru ta’ indikazzjonijiet dwar persuna mingħajr ma tindikaha b’isimha, il-Qorti tal-Ġustizzja ma llimitatx ruħha, fis-sentenza tagħha tas‑7 ta’ Marzu 2024, OC vs Il‑Kummissjoni (C‑479/22 P, EU:C:2024:215, punti 52 sa 64), għall-konstatazzjoni li l-organu tal-Unjoni li ppubblika din l-istqarrija kellu l-informazzjoni kollha li tippermetti li tiġi identifikata din il-persuna, iżda hija eżaminat jekk l-indikazzjonijiet li jinsabu fl-imsemmija stqarrija kinux jippermettu raġonevolment lill-pubbliku kkonċernat jidentifika din il-persuna, b’mod partikolari permezz ta’ kombinazzjoni ta’ dawn l-indikazzjonijiet ma’ informazzjoni disponibbli fuq l-internet.

82

Barra minn hekk, il-Qorti tal-Ġustizzja diġà ddeċidiet li mezz ma jistax raġonevolment jiġi implimentat sabiex jiġi identifikat s-suġġett tad-data meta r-riskju ta’ identifikazzjoni jidher fir-realtà insinjifikattiv, peress li l-identifikazzjoni ta’ dan is-suġġett hija pprojbita mil-liġi jew ma tistax titwettaq fil-prattika, pereżempju minħabba l-fatt li timplika sforz sproporzjonat f’termini ta’ ħin, ta’ spejjeż u ta’ ħaddiema (ara, f’dan is-sens, is-sentenza tas‑7 ta’ Marzu 2024, OC vs Il‑Kummissjoni, C‑479/22 P, EU:C:2024:215, punt 51 u l-ġurisprudenza ċċitata). Din il-ġurisprudenza tikkorrobora l-interpretazzjoni li tgħid li l-eżistenza ta’ informazzjoni addizzjonali li tippermetti li jiġi identifikat is-suġġett tad-data ma timplikax, waħedha, li data psewdonimizzata għandha titqies li tikkostitwixxi, fi kwalunkwe każ u għal kull persuna, data personali għall-finijiet tal-applikazzjoni tar-Regolament 2018/1725.

83

Bl-istess mod, il-Qorti tal-Ġustizzja essenzjalment iddeċidiet, b’mod partikolari fis-sentenzi tad‑19 ta’ Ottubru 2016, Breyer (C‑582/14, EU:C:2016:779, punti 44, 47 u 48), u tas‑7 ta’ Marzu 2024, IAB Europe (C‑604/22, EU:C:2024:214, punti 43 u 48), li data fiha nnifisha impersonali, miġbura u miżmuma mill-kontrollur kienet xorta waħda marbuta ma’ persuna identifikabbli, peress li l-kontrollur kellu mezzi legali sabiex jikseb mingħand ħaddieħor l-informazzjoni addizzjonali li kienet tippermetti li din il-persuna tiġi identifikata. Fil-fatt, f’tali ċirkustanzi, il-fatt li l-informazzjoni li tippermetti li jiġi identifikat is-suġġett tad-data kienet tinsab f’idejn persuni differenti ma kienx ta’ natura li effettivament jipprekludi l-identifikazzjoni tiegħu b’tali mod li ma kienx identifikabbli għall-kontrollur.

84

Fuq kollox, skont il-ġurisprudenza li tirriżulta mis-sentenza tad‑9 ta’ Novembru 2023, Gesamtverband Autoteile-Handel (Aċċess għall-informazzjoni dwar il-vetturi) (C‑319/22, EU:C:2023:837, punti 46 u 49), data li fiha nnifisha hija impersonali tista’ tikseb natura “personali”, meta l-kontrollur iqegħedha għad-dispożizzjoni ta’ persuni oħra li għandhom mezzi li raġonevolment jistgħu jippermettu l-identifikazzjoni tas-suġġett tad-data. B’mod partikolari, minn din l-aħħar sentenza jirriżulta li — fil-kuntest ta’ tali tqegħid għad-dispożizzjoni — l-imsemmija data hija ta’ natura personali kemm għal dawn il-persuni kif ukoll, indirettament, għall-kontrollur.

85

Konsegwentement, fid-dawl tal-ġurisprudenza mfakkra fil-punt preċedenti, il-KEPD żbalja meta argumenta li l-fatt li data psewdonimizzata ma għandhiex, jekk ikun il-każ, natura personali għall-persuni li lilhom il-kontrollur jittrasferixxi data psewdonimizzata, jippermetti li din id-data titneħħa indebitament mill-kamp ta’ applikazzjoni tad-dritt tal-Unjoni fil-qasam tal-protezzjoni tad-data personali. Fil-fatt, skont din il-ġurisprudenza, l-imsemmija ċirkustanza ma taffettwax l-evalwazzjoni tan-natura personali ta’ din l-istess data fil-kuntest b’mod partikolari tal-eventwali trasferiment ulterjuri tagħha lil terzi. Għalhekk, sa fejn ma huwiex eskluż li dawn it-terzi jkunu raġonevolment f’pożizzjoni li jattribwixxu, permezz ta’ mezzi, bħal kontroverifika ma’ data oħra li huma għandhom, id-data psewdonimizzata lis-suġġett tad-data, din għandha titqies li hija identifikabbli kemm fir-rigward ta’ dan it-trasferiment kif ukoll fir-rigward ta’ kull ipproċessar ulterjuri ta’ din id-data mill-imsemmija terzi. F’ċirkostanzi bħal dawn, id-data psewdonimizzata jenħtieġ li titqies bħala personali.

86

Minn dan isegwi li, kuntrarjament għal dak li jsostni l-KEPD, data psewdonimizzata ma għandhiex titqies li tikkostitwixxi, fi kwalunkwe każ u għal kull persuna, data personali għall-finijiet tal-applikazzjoni tar-Regolament 2018/1725, sa fejn il-psewdonimizzazzjoni tista’, skont iċ-ċirkustanzi tal-każ, effettivament tipprekludi lil persuni oħra minbarra l-kontrollur milli jidentifikaw is-suġġett tad-data b’tali mod li, għalihom, dan ma huwiex jew ma għadux identifikabbli.

87

Din l-interpretazzjoni ma hijiex ikkontestata mill-fatt, invokat mill-KEPD, li r-raba’ sentenza tal-premessa 16 tar-Regolament 2018/1725 tirrigwarda l-kontrollur jew “kwalunkwe persuna oħra”. Fil-fatt, mill-kliem stess ta’ din is-sentenza, imfakkra fil-punt 79 ta’ din is-sentenza, jirriżulta li din tirreferi biss għall-persuni li għandhom jew li jistgħu jaċċedu għall-mezzi li raġonevolment jistgħu jintużaw għall-finijiet tal-identifikazzjoni tas-suġġett tad-data. Issa, kif ġie rrilevat fil-punti 75 sa 77 ta’ din is-sentenza, il-psewdonimizzazzjoni tista’, skont iċ-ċirkustanzi tal-każ, effettivament tipprekludi lil persuni oħra minbarra l-kontrollur milli jidentifikaw is-suġġett tad-data b’tali mod li, għalihom, dan ma jkunx jew ma jkunx għadu identifikabbli.

88

Fir-rigward tal-argument tal-KEPD ibbażat fuq l-għan li jiġi żgurat livell għoli ta’ protezzjoni tad-data personali, għalkemm il-kliem tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725 jirrifletti l-għan tal-leġiżlatur tal-Unjoni li jattribwixxi sens wiesa’ lill-kunċett ta’ “data personali”, dan il-kunċett ma huwiex illimitat peress li din id-dispożizzjoni teżiġi b’mod partikolari li s-suġġett tad-data jkun identifikat jew identifikabbli.

89

B’mod partikolari, kif irrileva l-Avukat Ġenerali fil-punt 58 tal-konklużjonijiet tiegħu, ir-Regolament 2018/1725 jinkludi obbligi, bħall-obbligu li tiġi pprovduta informazzjoni lis-suġġett tad-data previst fl-Artikolu 15 ta’ dan ir-regolament, li l-osservanza tagħhom tippreżupponi li jiġi identifikat is-suġġett tad-data. Issa, tali obbligi ma jistgħux jiġu imposti fuq entità li bl-ebda mod ma hija f’pożizzjoni li twettaq din l-identifikazzjoni.

90

Konsegwentement, l-ewwel ilment tat-tieni parti tal-ewwel aggravju għandu jiġi miċħud bħala infondat.

91

Permezz tat-tieni lment tat-tieni parti tal-ewwel aggravju, il-KEPD isostni li l-Qorti Ġenerali marret kontra l-ġurisprudenza li tirriżulta mis-sentenza tad‑19 ta’ Ottubru 2016, Breyer (C‑582/14, EU:C:2016:779).

92

Fl-ewwel lok, il-Qorti Ġenerali kisret in-natura oġġettiva tal-kundizzjoni dwar in-natura “identifikabbli” tas-suġġett tad-data, billi ddeċidiet, fil-punti 97, 99 u 100 tas-sentenza appellata, b’mod partikolari, li l-KEPD kellu jeżamina jekk il-kummenti trażmessi lil Deloitte kinux jikkostitwixxu, mill-perspettiva ta’ din tal-aħħar, data personali. Fil-fatt, skont il-KEPD, mill-punti 47 u 48 tas-sentenza tad‑19 ta’ Ottubru 2016, Breyer (C‑582/14, EU:C:2016:779), jirriżulta li s-sempliċi eżistenza ta’ rimedji legali li jippermettu li jiġi identifikat s-suġġett tad-data hija biżżejjed sabiex jiġi konkluż li dan is-suġġett huwa identifikabbli. Issa, f’dan il-każ, is-SRB kien f’pożizzjoni li jidentifika s-suġġetti tad-data, fatt li l-Qorti Ġenerali ma ħaditx inkunsiderazzjoni b’mod suffiċjenti fil-kuntest tal-applikazzjoni tal-ġurisprudenza li tirriżulta minn din is-sentenza.

93

Fit-tieni lok, il-KEPD isostni li, fl-imsemmija sentenza, in-natura identifikabbli jew le tas-suġġett tad-data ġiet evalwata mill-perspettiva tal-kontrollur, u dan fl-assenza ta’ kwalunkwe relazzjoni bejn dan il-kontrollur u l-entitajiet li għandhom l-informazzjoni addizzjonali li tippermetti li jiġi identifikat dan is-suġġett tad-data. Għall-kuntrarju, f’dan il-każ, Deloitte ma hijiex il-kontrollur tad-data u hija, barra minn hekk, marbuta b’kuntratt mas-SRB. Fid-dawl ta’ dawn id-differenzi, il-KEPD iqis li ma kienx obbligat iwettaq evalwazzjoni sħiħa tal-mezzi li jistgħu raġonevolment jippermettu lil Deloitte tidentifika s-suġġetti tad-data.

94

Fi kwalunkwe każ, fil-każ li huwa kien madankollu obbligat jevalwa jekk Deloitte kinitx f’pożizzjoni li tidentifika l-awturi tal-kummenti li kienu ġew trażmessi lilha, il-KEPD isostni li xejn ma kien jipprekludi lil Deloitte milli twettaq din l-identifikazzjoni.

95

Is-SRB, sostnut mill-Kummissjoni, jikkontesta dawn l-argumenti.

96

Fl-ewwel lok, fil-punti 96, 97 u 100 tas-sentenza appellata, b’mod partikolari, il-Qorti Ġenerali ġustament ibbażat ruħha fuq approċċ li jgħid li n-natura identifikabbli tas-suġġett tad-data għandha tiġi eżaminata fir-rigward ta’ kull persuna u kull kontrollur ikkonċernat li jipproċessa l-informazzjoni rilevanti. Issa, fil-kuntest tal-obbligu ta’ informazzjoni previst fl-Artikolu 15(1)(d) tar-Regolament 2018/1725, dan l-eżami għandu jitqiegħed fil-perspettiva tad-destinatarju tal-informazzjoni inkwistjoni.

97

Fit-tieni lok, is-SRB isostni li l-argument ibbażat fuq l-allegati differenzi li għandha din il-kawża ma’ dik li wasslet għas-sentenza tad‑19 ta’ Ottubru 2016, Breyer (C‑582/14, EU:C:2016:779), huwa inammissibbli. Huwa jqis li dan l-argument jikkontesta l-konstatazzjonijiet fattwali tal-Qorti Ġenerali li jinsabu fil-punti 94 u 95 tas-sentenza appellata li Deloitte ma kellhiex aċċess għall-informazzjoni ta’ identifikazzjoni neċessarja sabiex jiġu identifikati l-persuni li ressqu l-ilmenti.

98

Fil-punti 97 sa 100 tas-sentenza appellata, b’mod partikolari, il-Qorti Ġenerali essenzjalment iddeċidiet li, konformement mal-ġurisprudenza li tirriżulta mis-sentenza tad‑19 ta’ Ottubru 2016, Breyer (C‑582/14, EU:C:2016:779), il-KEPD kellu jeżamina jekk il-kummenti trażmessi lil Deloitte kinux jikkostitwixxu, mill-perspettiva ta’ din tal-aħħar, data personali. Sabiex tasal għal din il-konklużjoni, il-Qorti Ġenerali, b’mod partikolari, irrilevat li l-ksur tal-Artikolu 15(1)(d) tar-Regolament 2018/1725, ikkonstatat fid-deċiżjoni kontenzjuża, kien jikkonċerna t-trasferiment mis-SRB ta’ dawn il-kummenti lil Deloitte u mhux biss iż-żamma ta’ dawn mis-SRB.

99

Preliminarjament, għandu jitfakkar li l-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725 ma jippreċiżax espressament il-perspettiva rilevanti sabiex tiġi evalwata n-natura identifikabbli tas-suġġett tad-data, filwaqt li l-premessa 16 ta’ dan ir-regolament tirrigwarda, mingħajr distinzjoni, il-“kontrollur” jew “kwalunkwe persuna oħra”. Barra minn hekk, hija ġurisprudenza stabbilita li, sabiex data tkun tista’ tiġi kklassifikata bħala “data personali”, ma huwiex meħtieġ li l-informazzjoni kollha li tippermetti li jiġi identifikat is-suġġett tad-data għandha tkun f’idejn persuna waħda biss (ara, f’dan is-sens, is-sentenzi tad‑19 ta’ Ottubru 2016, Breyer, C‑582/14, EU:C:2016:779, punt 43 u tas‑7 ta’ Marzu 2024, OC vs Il‑Kummissjoni, C‑479/22 P, EU:C:2024:215, punt 48).

100

Skont il-ġurisprudenza li tirriżulta b’mod partikolari mis-sentenza tad‑19 ta’ Ottubru 2016, Breyer (C‑582/14, EU:C:2016:779), imfakkra fil-punti 81 sa 84 ta’ din is-sentenza, il-perspettiva rilevanti sabiex tiġi evalwata n-natura identifikabbli tas-suġġett tad-data tiddependi essenzjalment miċ-ċirkustanzi li jikkaratterizzaw l-ipproċessar tad-data f’kull każ partikolari.

101

F’dan il-każ, għandu jitfakkar li, fid-deċiżjoni kontenzjuża, il-KEPD ikkonstata li, billi naqas milli jsemmi lil Deloitte bħala destinatarja potenzjali tal-kummenti fid-dikjarazzjoni ta’ kunfidenzjalità ppreżentata fil-mument tal-ġbir tagħhom, is-SRB kien kiser l-obbligu ta’ informazzjoni tiegħu li jirriżulta mill-Artikolu 15(1)(d) tar-Regolament 2018/1725.

102

L-Artikolu 15(1) ta’ dan ir-regolament jiddetermina l-informazzjoni li l-kontrollur għandu jipprovdi lis-suġġett tad-data, meta tinġabar data personali mingħandu, filwaqt li jispeċifika li din l-informazzjoni għandha tiġi pprovduta lil dan is-suġġett tad-data “fil-ħin li tinkiseb id-data [inkwistjoni]”. Jirriżulta mill-kliem stess ta’ din id-dispożizzjoni li din l-informazzjoni għandha tiġi pprovduta mill-kontrollur immedjatament, jiġifieri fil-mument tal-ġbir ta’ din id-data (ara, b’analoġija, is-sentenza tad‑29 ta’ Lulju 2019, Fashion ID, C‑40/17, EU:C:2019:629, punt 104 u l-ġurisprudenza ċċitata)

103

Fir-rigward, b’mod iktar partikolari tal-informazzjoni dwar l-eventwali destinatarji tad-data personali, imsemmija fl-Artikolu 15(1)(d) tal-imsemmi regolament, din hija informazzjoni, li għandha tiġi pprovduta fost oħrajn, waqt il-ġbir tad-data mingħand is-suġġett tad-data.

104

L-Artikolu 14(1) tar-Regolament 2018/1725 jipprevedi li l-kontrollur għandu jieħu miżuri xierqa sabiex, b’mod partikolari, l-informazzjoni msemmija b’mod partikolari fl-Artikolu 15 ta’ dan ir-regolament tiġi pprovduta lis-suġġett tad-data b’mod konċiż, trasparenti, li jinftiehem, faċilment aċċessibbli u li din l-informazzjoni tkun ifformulata fi kliem ċar u sempliċi, sabiex dan is-suġġett tad-data jkun f’pożizzjoni li jifhem b’mod sħiħ l-informazzjoni indirizzata lilu (ara, b’analoġija, is-sentenzi tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF, C‑487/21, EU:C:2023:369, punt 38, kif ukoll tal‑11 ta’ Lulju 2024, Meta Platforms Ireland (Azzjoni rappreżentattiva), (C‑757/22, EU:C:2024:598, punti 55 u 56).

105

L-importanza tal-osservanza ta’ tali obbligu ta’ informazzjoni hija kkonfermata mill-premessa 35 tar-Regolament 2018/1725, li l-ewwel u t-tieni sentenza tagħha jistipulaw li l-prinċipju ta’ pproċessar ġust u trasparenti jirrikjedi li s-suġġett tad-data jkun informat bl-eżistenza tal-attività tal-ipproċessar u l-finijiet tagħha, filwaqt li jenfasizzaw li l-kontrollur għandu jipprovdi kwalunkwe informazzjoni ulterjuri li tkun meħtieġa biex jiġi żgurat ipproċessar ġust u trasparenti, filwaqt li jitqiesu ċ-ċirkustanzi speċifiċi u l-kuntest li fih tiġi pproċessata d-data personali, kif previst ukoll fl-Artikolu 15(2) ta’ dan ir-regolament (ara, b’analoġija, is-sentenza tal‑11 ta’ Lulju 2024, Meta Platforms Ireland (Azzjoni rappreżentattiva), C‑757/22, EU:C:2024:598, punt 57 u l-ġurisprudenza ċċitata).

106

Għalhekk, meta l-ġbir ta’ tali data mingħand is-suġġett tad-data jkun — bħal, f’dan il-każ, fil-kuntest tal-proċedura dwar id-dritt għal smigħ — ibbażat fuq il-kunsens ta’ dan is-suġġett tad-data, il-validità tal-kunsens mogħti mill-imsemmi suġġett tad-data tiddependi, fost oħrajn, mill-punt dwar jekk huwa kisibx, minn qabel, l-informazzjoni fid-dawl taċ-ċirkustanzi kollha relatati mal-ipproċessar tad-data inkwistjoni li huwa kellu dritt għalihom, skont l-Artikolu 15 tar-Regolament 2018/1725, u li jippermettulu jagħti kunsens b’għarfien sħiħ tal-fatti (ara, b’analoġija, is-sentenza tal‑11 ta’ Lulju 2024, Meta Platforms Ireland (Azzjoni rappreżentattiva), C‑757/22, EU:C:2024:598, punt 60).

107

Barra minn hekk, fir-rigward tal-ipoteżi ta’ obbligu għas-suġġett tad-data li jipprovdi data personali lill-kontrollur, il-premessa 35 ta’ dan ir-regolament tippreċiża, fir-raba’ sentenza tagħha, li huwa importanti li s-suġġett tad-data jkun jaf jekk huwiex obbligat jipprovdi din id-data personali u li jiġi informat bil-konsegwenzi li għalihom jesponi ruħu jekk ma jipprovdihiex, fatt li jikkorrobora l-importanza li għandha l-informazzjoni meħtieġa mill-Artikolu 15 tal-imsemmi regolament, fil-mument stess tal-ġbir tad-data mingħand is-suġġett tad-data.

108

F’dawn iċ-ċirkustanzi, jidher li l-obbligu li s-suġġett tad-data jiġi pprovdut — fil-mument tal-ġbir tad-data personali b’rabta miegħu — l-informazzjoni dwar l-eventwali destinatarji ta’ din id-data għandu b’mod partikolari l-għan li jippermetti lil dan is-suġġett tad-data jiddeċiedi b’għarfien sħiħ tal-fatti jekk huwa jipprovdix jew, għall-kuntrarju, jirrifjutax li jipprovdi d-data personali tiegħu miġbura mingħandu.

109

Għandu jingħad ukoll li, kif essenzjalment sostniet il-Kummissjoni waqt is-seduta, l-informazzjoni dwar id-destinatarji eventwali hija, ċertament, ukoll indispensabbli sabiex is-suġġett tad-data jkun jista’, sussegwentement, jiddefendi d-drittijiet tiegħu kontra dawn id-destinatarji. Madankollu, l-obbligu li tiġi pprovduta din l-informazzjoni fil-mument tal-ġbir tad-data personali jiggarantixxi, b’mod partikolari, li din id-data ma tinġabarx mill-kontrollur kontra r-rieda tas-suġġett tad-data, jew tiġi ttrasferita kontra r-rieda tiegħu lil terzi.

110

Minn dan isegwi li, kif irrileva l-Avukat Ġenerali fil-punt 69 tal-konklużjonijiet tiegħu, l-obbligu ta’ informazzjoni previst fl-Artikolu 15(1)(d) tar-Regolament 2018/1725 jaqa’ taħt ir-relazzjoni ġuridika eżistenti bejn is-suġġett tad-data u l-kontrollur u, minħabba f’hekk, huwa għandu bħala suġġett l-informazzjoni b’rabta ma’ din il-persuna kif ġiet trażmessa lil dan il-kontrollur, u għalhekk qabel kull eventwali trasferiment lil terz.

111

Għaldaqstant, għandu jitqies li, għall-finijiet tal-applikazzjoni tal-obbligu ta’ informazzjoni previst fl-Artikolu 15(1)(d) tar-Regolament 2018/1725, in-natura identifikabbli tas-suġġett tad-data għandha tiġi evalwata fil-mument tal-ġbir tad-data u mill-perspettiva tal-kontrollur.

112

Minn dan jirriżulta li, kif irrileva, essenzjalment, l-Avukat Ġenerali fil-punt 79 tal-konklużjonijiet tiegħu, l-obbligu ta’ informazzjoni impost fuq is-SRB kien japplika f’dan il-każ qabel it-trasferiment tal-kummenti inkwistjoni u indipendentement min-natura personali jew le tagħhom, mill-perspettiva ta’ Deloitte, wara l-psewdonimizzazzjoni eventwali tagħhom.

113

Din l-interpretazzjoni ma hijiex ikkontestata mill-argument tas-SRB ibbażat fuq il-kliem tal-Artikolu 15(1)(d) tar-Regolament 2018/1725, li jirreferi għar-“riċevituri […] tad-data personali”. Fil-fatt, kif jirriżulta mill-punti 102 sa 108 ta’ din is-sentenza, din id-dispożizzjoni tirregola l-obbligu ta’ informazzjoni impost fuq il-kontrollur fil-mument tal-ġbir ta’ tali data. Issa, il-kwistjoni dwar jekk il-kontrollur, f’dan il-mument, osservax l-obbligu tiegħu ta’ informazzjoni ma tistax tiddependi mill-possibbiltajiet ta’ identifikazzjoni tas-suġġett tad-data, li għandu, jekk ikun il-każ, destinatarju eventwali wara trasferiment ulterjuri tad-data inkwistjoni.

114

Kif irrileva, essenzjalment, l-Avukat Ġenerali fil-punt 77 tal-konklużjonijiet tiegħu, l-argument tas-SRB li skontu hemm lok li wieħed ipoġġi ruħu mill-perspettiva tad-destinatarju sabiex jikkontrolla l-osservanza ta’ dan l-obbligu ta’ informazzjoni jkollu l-konsegwenza li jipposponi dan il-kontroll ratione temporis. Sa fejn l-imsemmi kontroll jirrigwarda neċessarjament data personali diġà ttrasferita lid-destinatarju, dan l-argument jinjora wkoll l-għan tal-obbligu ta’ informazzjoni, li huwa intrinsikament marbut mar-relazzjoni bejn il-kontrollur u s-suġġett tad-data.

115

Għaldaqstant, il-Qorti Ġenerali wettqet żball ta’ liġi meta ddeċidiet, fil-punti 97, 98, 100, 101 u 103 sa 105 tas-sentenza appellata, li, sabiex jevalwa jekk is-SRB kienx osserva l-obbligu ta’ informazzjoni tiegħu skont l-Artikolu 15(1)(d) tar-Regolament 2018/1725, il-KEPD kellu jeżamina jekk il-kummenti trażmessi lil Deloitte kinux jikkostitwixxu, mill-perspettiva ta’ din tal-aħħar, data personali.

116

Minn dan isegwi li, mingħajr ma hemm lok li jiġu eżaminati l-argumenti tal-KEPD miġbura fil-qosor fil-punti 93 u 94 ta’ din is-sentenza, it-tieni lment tat-tieni parti tal-ewwel aggravju għandu jintlaqa’.

117

Peress li l-ewwel aggravju tal-appell huwa fondat, fl-ewwel parti tiegħu u fit-tieni lment tat-tieni parti tiegħu, ma hemmx lok li jiġi eżaminat it-tieni aggravju tal-KEPD, ibbażat fuq ksur tal-Artikolu 4(2) u tal-Artikolu 26(1) tar-Regolament 2018/1725.

118

Peress li l-ewwel aggravju tal-appell ġie milqugħ, is-sentenza appellata għandha tiġi annullata.

119

Konformement mat-tieni sentenza tal-ewwel paragrafu tal-Artikolu 61 tal-Istatut tal-Qorti tal-Ġustizzja tal-Unjoni Ewropea, il-Qorti tal-Ġustizzja tista’, fil-każ li tannulla d-deċiżjoni tal-Qorti Ġenerali, taqta’ l-kawża b’mod definittiv meta din tkun fi stat li tiġi deċiża.

120

Fil-każ inkwistjoni, il-kawża hija fi stat li tiġi deċiża f’dak li jikkonċerna l-ewwel motiv tar-rikors, ibbażat fuq allegat ksur mill-KEPD tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725, sa fejn l-informazzjoni trażmessa lil Deloitte ma kinitx tikkostitwixxi data personali. Fil-fatt, fid-dawl tal-kunsiderazzjonijiet li jinsabu fil-punti 58 sa 60 ta’ din is-sentenza, il-KEPD seta’, minn naħa, iqis, mingħajr ma jwettaq żball ta’ liġi, li l-kummenti trażmessi lil Deloitte kienu jikkostitwixxu informazzjoni relatata ma’ persuni fiżiċi, jiġifieri l-awturi ta’ dawn il-kummenti. Min-naħa l-oħra, kif ġie rrilevat fil-punt 111 ta’ din is-sentenza, fil-kuntest tal-applikazzjoni tal-obbligu ta’ informazzjoni previst fl-Artikolu 15(1)(d) ta’ dan ir-regolament, in-natura identifikabbli tas-suġġett tad-data għandha tiġi evalwata mill-perspettiva tal-kontrollur. Issa, ma huwiex ikkontestat bejn il-partijiet li s-SRB kellu, bħala kontrollur, l-informazzjoni kollha neċessarja sabiex jidentifika l-awturi tal-imsemmija kummenti. Mill-kunsiderazzjonijiet preċedenti jirriżulta li l-informazzjoni kontenzjuża tikkostitwixxi, kuntrarjament għal dak li jsostni s-SRB, data personali. Għaldaqstant, l-ewwel motiv tar-rikors għandu jiġi miċħud bħala infondat.

121

Min-naħa l-oħra, il-kawża ma hijiex fi stat li tiġi deċiża fir-rigward tat-tieni motiv tar-rikors, peress li dan il-motiv jimplika evalwazzjonijiet fattwali li ma sarux mill-Qorti Ġenerali.

122

Konsegwentement, hemm lok li l-kawża tintbagħat lura quddiem il-Qorti Ġenerali għall-finijiet tal-eżami tat-tieni motiv.

123

Peress li l-kawża għandha tintbagħat lura quddiem il-Qorti Ġenerali, l-ispejjeż relatati ma’ dan l-appell għandhom jiġu rriżervati.

Għal dawn il-motivi, Il-Qorti tal-Ġustizzja (L-Ewwel Awla) taqta’ u tiddeċiedi: