C-638/23 Amt der Tiroler Landesregierung

SENTENZA TAL-QORTI TAL-ĠUSTIZZJA (It-Tmien Awla)

27 ta’ Frar 2025 ( *1 )

“Rinviju għal deċiżjoni preliminari – Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament (UE) 2016/679 – Punt 7 tal-Artikolu 4 – Kunċett ta’ ‘kontrollur’ – Ħatra diretta tal-kontrollur skont id-dritt nazzjonali – Entità amministrattiva awżiljarja fis-servizz ta’ gvern reġjonali – Assenza ta’ personalità ġuridika – Assenza ta’ kapaċità ġuridika proprja – Determinazzjoni tal-iskopijiet u tal-mezzi tal-ipproċessar”

Fil-Kawża C‑638/23,

li għandha bħala suġġett talba għal deċiżjoni preliminari skont l-Artikolu 267 TFUE, imressqa mill-Verwaltungsgerichtshof (il-Qorti Amministrattiva, l-Awstrija), permezz ta’ deċiżjoni tat‑23 ta’ Awwissu 2023, li waslet fil-Qorti tal-Ġustizzja fl‑24 ta’ Ottubru 2023, fil-proċedura

Amt der Tiroler Landesregierung

Datenschutzbehörde,

fil-preżenza ta’:

Bundesministerin für Justiz,

CW,

IL-QORTI TAL-ĠUSTIZZJA (It-Tmien Awla),

komposta minn N. Jääskinen, President tad-Disa’ Awla, li qiegħed jaġixxi bħala President tat-Tmien Awla, M. Gavalec (Relatur) u N. Piçarra, Imħallfin,

Avukat Ġenerali: M. Campos Sánchez-Bordona,

Reġistratur: A. Calot Escobar,

wara li rat il-proċedura bil-miktub,

wara li kkunsidrat l-osservazzjonijiet ippreżentati:

–	għad-Datenschutzbehörde, minn M. Schmidl u E. Wagner, bħala aġenti,

–	għall-Bundesministerin für Justiz, minn E. Riedl, bħala aġent,

–	għall-Gvern Awstrijak, minn A. Posch, J. Schmoll u C. Gabauer, bħala aġenti,

–	għall-Kummissjoni Ewropea, minn A. Bouchagiar u M. Heller, bħala aġenti,

wara li rat id-deċiżjoni meħuda, wara li nstema’ l-Avukat Ġenerali, li taqta’ l-kawża mingħajr konklużjonijiet,

tagħti l-preżenti

Sentenza

It-talba għal deċiżjoni preliminari tirrigwarda l-interpretazzjoni tal-pun 7 tal-Artikolu 4 tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-“GDPR”).

Din it-talba tressqet fil-kuntest ta’ tilwima bejn l-Amt der Tiroler Landesregierung (l-Uffiċċju tal-Gvern tal-Land ta’ Tirol, l-Awstrija) (iktar ’il quddiem l-“Uffiċċju”) u d-Datenschutzbehörde (l-Awtorità għall-Protezzjoni tad-Data, l-Awstrija) dwar ipproċessar allegatament illegali tad-data personali ta’ persuna fiżika mill-Uffiċċju.

Il-kuntest ġuridiku

Id-dritt tal-Unjoni

Il-GDPR

Il-premessi 1, 7, 10, 26 u 74 tal-GDPR huma fformulati kif ġej:

“(1)

Il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali hija dritt fundamentali. L-Artikolu 8(1) tal-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea […] u l-Artikolu 16(1) [TFUE] jipprevedu li kull persuna għandha dritt għall-protezzjoni tad-data personali li tirrigwardaha.

[…]

(7)	[…] Il-persuni fiżiċi għandu jkollhom il-kontroll tad-data personali tagħhom. Għandha tissaħħaħ iċ-ċertezza legali u prattika għall-persuni fiżiċi, l-operaturi ekonomiċi u l-awtoritajiet pubbliċi.

[…]

(10)

Sabiex ikun żgurat livell konsistenti u għoli ta’ protezzjoni tal-persuni fiżiċi u sabiex jitneħħew l-ostakoli għaċ-ċirkolazzjoni tad-data personali fl-Unjoni [Ewropea], il-livell ta’ protezzjoni tad-drittijiet u l-libertajiet tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ din id-data għandu jkun ekwivalenti fl-Istati Membri kollha. L-applikazzjoni konsistenti u omoġenea tar-regoli għall-protezzjoni tad-drittijiet u l-libertajiet fundamentali tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali għandha tkun żgurata fl-Unjoni kollha. […]

[…]

(45)

Fejn l-ipproċessar jitwettaq f’konformità ma’ obbligu legali li għalih ikun soġġett il-kontrollur jew fejn l-ipproċessar ikun meħtieġ għat-twettiq ta’ kompitu li jsir fl-interess pubbliku jew fl-eżerċizzju ta’ awtorità uffiċjali, l-ipproċessar għandu jkollu bażi fil-liġi tal-Unjoni jew ta’ Stat Membru. Dan ir-Regolament ma jirrikjedix liġi speċifika għal kull ipproċessar individwali. Tista’ tkun biżżejjed liġi li sservi ta’ bażi għal diversi operazzjonijiet ta’ pproċessar ibbażata fuq obbligu legali li huwa soġġett għalih il-kontrollur jew fejn l-ipproċessar huwa meħtieġ għat-twettiq ta’ kompitu li jsir fl-interess pubbliku jew fl-eżerċizzju ta’ awtorità uffiċjali. Għandha tkun ukoll il-liġi tal-Unjoni jew ta’ Stat Membru li tiddetermina l-fini tal-ipproċessar. Barra minn hekk, dik il-liġi tista’ tispeċifika l-kondizzjonijiet ġenerali ta’ dan ir-Regolament li jirregola l-legalità tal-ipproċessar ta’ data personali, tistabbilixxi l-ispeċifikazzjonijiet biex jiġu ddeterminati l-kontrollur, it-tip ta’ data soġġetta għall-ipproċessar, is-suġġetti tad-data kkonċernati, l-entitajiet li lilhom tista’ tiġi żvelata d-data personali, il-limitazzjonijiet tal-fini, il-perijodu tal-ħażna u miżuri oħra li jiżguraw ipproċessar legali u ġust. Għandha wkoll tkun il-liġi tal-Unjoni jew il-liġi nazzjonali li tistabbilixxi jekk il-kontrollur li jwettaq il-kompitu fl-interess pubbliku jew fl-eżerċizzju ta’ awtorità uffiċjali għandux ikun awtorità pubblika jew xi persuna fiżika jew ġuridika oħra regolata bil-liġi pubblika, jew, fejn ikun fl-interess pubbliku li jsir hekk, inkluż għal skopijiet ta’ saħħa bħas-saħħa pubblika u l-protezzjoni soċjali u l-ġestjoni tas-servizzi tal-kura tas-saħħa, bil-liġi privata, bħal assoċjazzjoni professjonali.

[…]

(74)

Ir-responsabbiltà tal-kontrollur għal kwalunkwe pproċessar ta’ data personali li jitwettaq mill-kontrollur jew f’isem il-kontrollur għandha tiġi stabbilita. B’mod partikolari, il-kontrollur għandu jkun obbligat jimplimenta miżuri adatti u effettivi u jkun jista’ juri l-konformità tal-attivitajiet ta’ pproċessar ma’ dan ir-Regolament, inkluża l-effettività tal-miżuri. Dawk il-miżuri għandhom jikkunsidraw in-natura, l-ambitu, il-kuntest u l-għanijiet tal-ipproċessar u r-riskju għad-drittijiet u l-libertajiet tal-persuni fiżiċi.”

4	L-Artikolu 1 ta’ dan ir-regolament, intitolat “Suġġett u objettivi”, jipprevedi fil-paragrafu 2 tiegħu: “Dan ir-Regolament jipproteġi d-drittijiet u l-libertajiet fundamentali tal-persuni fiżiċi u b’mod partikolari d-dritt tagħhom għall-protezzjoni ta’ data personali.”

L-Artikolu 4 tal-imsemmi regolament, intitolat “Definizzjonijiet”, huwa fformulat kif ġej:

“Għall-finijiet ta’ dan ir-Regolament:

[…]

(2)

‘ipproċessar’ tfisser kwalunkwe attività jew sett ta’ attivitajiet li jitwettqu fuq data personali jew fuq settijiet ta’ data personali, sew jekk b’mezzi awtomatizzati u sew jekk mingħajrhom, bħalma huma l-ġbir, ir-reġistrazzjoni, l-organizzazzjoni, l-istrutturar, il-ħażna, l-adattament jew il-bidliet, l-irkupru, il-konsultazzjoni, l-użu, l-iżvelar bi trażmissjoni, it-tixrid jew it-tqegħid għad-dispożizzjoni b’xi mezz ieħor, l-allinjament jew it-taħlita, ir-restrizzjoni, it-tħassir jew il-qerda;

[…]

(7)

‘kontrollur’ tfisser persuna fiżika jew ġuridika, awtorità pubblika, aġenzija jew kwalunkwe korp ieħor li, waħdu jew flimkien ma’ oħrajn, jiddetermina l-għanijiet u l-mezzi tal-ipproċessar ta’ data personali; fejn l-għanijiet u l-mezzi tal-ipproċessar ikunu ddeterminati mil-liġi tal-Unjoni jew ta’ Stat Membru, il-kontrollur jew il-kriterji speċifiċi għall-ħatra tiegħu jistgħu jiġu determinati mil-liġi tal-Unjoni jew ta’ Stat Membru;

[…]”

Skont l-Artikolu 5 tal-imsemmi regolament, intitolat “Prinċipji relatati mal-ipproċessar ta’ data personali”:

“(1) Id-data personali għandha:

(a)	tkun ipproċessata legalment, ġustament u b’mod trasparenti fir-rigward tas-suġġett tad-data (‘legalità, ġustizzja u trasparenza’);

(b)

tinġabar għal finijiet speċifikati, espliċiti u leġittimi u ma għandhiex tiġi pproċessata ulterjorment b’mod inkompatibbli ma’ dawk il-finijiet; f’konformità mal-Artikolu 89(1), l-ipproċessar ulterjuri għal finijiet ta’ arkivjar fl-interess pubbliku, għal finijiet ta’ riċerka xjentifika jew storika jew għal finijiet ta’ statistika ma għandux jitqies bħala inkompatibbli mal-finijiet inizjali (‘limitazzjoni tal-fini’);

(c)	tkun adegwata, rilevanti, u limitata għal dak li hu meħtieġ b’rabta mal-finijiet li għalihom tkun qed tiġi pproċessata (‘minimizzazzjoni tad-data’);

(d)	tkun preċiża u, fejn meħtieġ, tinżamm aġġornata; għandu jsir dak kollu raġonevoli biex ikun żgurat li d-data personali li ma tkunx eżatta, b’kont meħud tal-għanijiet li għalihom tiġi pproċessata, titħassar jew tissewwa mingħajr dewmien (‘preċiżjoni’);

(e)

tinżamm f’forma li tippermetti l-identifikazzjoni tas-suġġetti tad-data għal mhux aktar żmien milli jkun meħtieġ għall-finijiet li għalihom id-data personali tkun qed tiġi pproċessata; id-data personali tista’ tinħażen għal perijodi itwal sakemm id-data personali tiġi pproċessata biss għall-finijiet ta’ arkivjar fl-interess pubbliku, għall-finijiet ta’ riċerka xjentifika jew storika jew għall-finijiet ta’ statistika f’konformità mal-Artikolu 89(1) soġġett għall-implimentazzjoni tal-miżuri tekniċi u organizzattivi adatti meħtieġa minn dan ir-Regolament sabiex jiġu protetti d-drittijiet u l-libertajiet tas-suġġett tad-data (“limitazzjoni tal-ħażna”);

f)	tiġi pproċessata b’mod li jiżgura sigurtà xierqa tad-data personali, inkluża l-protezzjoni mill-ipproċessar mhux awtorizzat jew illegali u kontra t-telf, il-qerda jew il-ħsara aċċidentali, bl-użu ta’ miżuri tekniċi jew organizzattivi xierqa (‘integrità u kunfidenzjalità’).

(2) Il-kontrollur għandu jkun responsabbli għall-konformità mal-paragrafu 1 u jkun kapaċi juriha (‘responsabbiltà’).”

L-Artikolu 6 tar-GDPR, intitolat “Legalità tal-ipproċessar”, jipprevedi, fil-paragrafi 1 u 3 tiegħu

“(1) L-ipproċessar għandu jkun legali biss jekk u safejn mill-inqas ikun japplika wieħed mill-punti li ġejjin:

[…]

(c)	l-ipproċessar ikun meħtieġ għall-konformità ma’ obbligu legali li għalih huwa soġġett il-kontrollur;

[…]

(e)	l-ipproċessar ikun meħtieġ għat-twettiq ta’ kompitu li jsir fl-interess pubbliku jew fl-eżerċizzju ta’ awtorità uffiċjali mogħtija lill-kontrollur;

[…]

(3) Il-bażi għall-ipproċessar imsemmi fil-punti (c) u (e) tal-paragrafu 1 għandha tkun stipulata minn:

(a)	il-liġi tal-Unjoni, jew

(b)	il-liġi tal-Istat Membru li għaliha huwa soġġett il-kontrollur.

Il-fini tal-ipproċessar għandu jkun iddeterminat fdik il-bażi legali jew, fir-rigward tal-ipproċessar imsemmi fil-punt (e) tal-paragrafu 1, għandu jkun meħtieġ għat-twettiq ta’ kompitu li jsir fl-interess pubbliku jew fl-eżerċizzju tal-atorità uffiċjali mogħtija lill-kontrollur. Dik il-bażi legali jista’ jkun fiha dispożizzjonijiet speċifiċi biex tiġi adattata l-applikazzjoni ta’ regoli ta’ dan ir-Regolament, inklużi l-kondizzjonijiet ġenerali li jirregolaw il-legalità tal-ipproċessar mill-kontrollur; it-tipi ta’ data li huma soġġetti għall-ipproċessar; is-suġġetti tad-data kkonċernati; l-entitajiet li lilhom, jew li għalihom, tista’ tiġi żvelata d-data personali; il-limitazzjoni tal-fini; il-perijodi tal-ħażna u attivitajiet ta’ pproċessar u proċeduri ta’ pproċessar, inklużi miżuri li jiżguraw ipproċessar legali u ġust bħal dawk għal sitwazzjonijiet speċifiċi oħrajn ta’ pproċessar kif previst fil-Kapitolu IX. […]”

Id-dritt Awstrijak

Ir-Regolament tal-Land ta’ Tirol tal-1989

L-Artikolu 56 tal-Landesverfassungsgesetz über die Verfassung des Landes Tirol (Tiroler Landesordnung 1989) (il-Liġi Reġjonali dwar il-Kostituzzjoni tal-Land ta’ Tirol (ir-Regolament tal-Land ta’ Tirol tal‑1989)), tal‑21 ta’ Settembru 1988, fil-verżjoni tagħha applikabbli għat-tilwima fil-kawża prinċipali (iktar ’il quddiem ir- “Regolament tal-Land ta’ Tirol tal‑1989”), intitolat “Landeshauptmann (il-Gvernatur tal-Land, l-Awstrija, iktar ’il quddiem il-‘Gvernatur’)”, jipprevedi, fil-paragrafu 1 tiegħu:

“Il-[Gvernatur] jirrappreżenta lil-Land ta’ Tirol.”

L-Artikolu 58 tar-Regolament tal-Land ta’ Tirol tal‑1989, intitolat “[Uffiċċju]”, jipprevedi, fil-paragrafu 1 tiegħu:

“Il-[Gvernatur], il-Gvern tal-Land u l-membri tiegħu għandhom jirrikorru għall-[Uffiċċju] sabiex jiġġestixxu l-każjiet tagħhom. Il-[Gvernatur] għandu jkun il-President tal-[Uffiċċju].”

It-TDSG

L-Artikolu 2 tat-Tiroler Datenverarbeitungsgesetz (il-Liġi dwar l-Ipproċessar ta’ Data tal-Land ta’ Tirol, iktar ’il quddiem it-“TDVG”), jipprevedi:

“1. Huwa kkunsidrat bħala kontrollur fis-sens tal-punt 7 tal-Artikolu 4 tar-[RĠPD]:

a)	il- [Uffiċċju];

[…]

3. Meta jitwettaq jew jiġi ordnat ipproċessar ta’ data mil-Land tat- Tirol, l-[Uffiċċju] għandu dejjem jitqies bħala l-kontrollur ta’ tali pproċessar sa fejn

(a)	ma hemmx responsabbiltà konġunta fis-sens tal-paragrafu 1(b) jew (c), u

(b)	ma hemmx ipproċessar fdat fis-sens tal-Artikolu 5.”

Il-kawża prinċipali u d-domanda preliminari

Fil-kuntest ta’ miżuri intiżi għall-ġlieda kontra l-pandemija tal-COVID-19, l-Uffiċċju, entità amministrattiva awżiljarja għas-servizz tal-Gvernatur u tal-Gvern tal-Land ta’ Tirol, bagħat “ittra ta’ tfakkira ta’ tilqim” lill-persuni adulti kollha residenti fil-Land ta’ Tirol li kienu għadhom ma tlaqqmux kontra dan il-virus. Sabiex jidentifika d-destinatarji ta’ dawn l-ittri, l-Uffiċċju qabbad lil żewġ impriżi privati li wettqu kontroverifika tad-data li tinsab fir-reġistru ċentrali tat-tilqim kif ukoll fir-reġistru tal-pazjenti, li kienu jirreferu għall-indirizz ta’ residenza tagħhom.

Fil‑21 ta’ Diċembru 2021, CW, wieħed minn dawn id-destinatarji, mar quddiem l-Awtorità tal-Protezzjoni tad-Data b’ilment kontra l-Uffiċċju dwar ipproċessar illegali tad-data personali tiegħu. Quddiem din l-awtorità, l-Uffiċċju indika li kellu l-kwalità ta’ “kontrollur” u li kien fl-oriġini tal-ittra mibgħuta lil CW.

Permezz ta’ deċiżjoni tat‑22 ta’ Awwissu 2022, l-imsemmija awtorità kkonstatat li l-Uffiċċju kien kiser id-dritt ta’ CW għall-protezzjoni tad-data personali tiegħu, sa fejn, sabiex jibgħatlu “ittra ta’ tfakkira ta’ tilqim”, l-Uffiċċju kien ikkonsulta d-data tal-persuna kkonċernata li tinsab fir-reġistru tat-tilqim, filwaqt li ma kellux dritt ta’ aċċess għal dan ir-reġistru u lanqas għar-reġistru tal-pazjenti. L-ipproċessar tad-data personali ta’ CW kien għaldaqstant illegali.

L-Uffiċċju ippreżenta rikors kontra din id-deċiżjoni quddiem il-Bundesverwaltungsgericht (il-Qorti Amministrattiva Federali, l-Awstrija). Din tal-aħħar iddeċidiet li, abbażi tad-dritt nazzjonali applikabbli, l-Uffiċċju kellu l-kwalità ta’ kontrollur, iżda ma kellux dritt ta’ konsultazzjoni tar-reġistru tat-tilqim sabiex jibgħat ittra ta’ tfakkira bħal dik indirizzata lil CW. Peress li din il-qorti ċaħdet ir-rikors tal-Uffiċċju, dan tal-aħħar ippreżenta rikors għal reviżjoni kontra din is-sentenza quddiem il-Verwaltungsgerichtshof (il-Qorti Amministrattiva, l-Awstrija), li hija l-qorti tar-rinviju.

15	Din il-qorti tqis li, sabiex tkun tista’ tiddeċiedi fil-kawża li hija adita biha, għandu jiġi ddeterminat jekk l-Uffiċċju, fil-kuntest ta’ din il-kawża, għandux il-kwalità ta’ “kontrollur”, fis-sens tal-punt 7 tal-Artikolu 4 tal-GDPR.

F’dan ir-rigward, il-qorti tar-rinviju tenfasizza l-fatt li l-Uffiċċju sempliċement ippreżenta lill-Gvernatur proposta ta’ “ittra ta’ tfakkira ta’ tilqim”, proposta li huwa approva fil-kwalità tiegħu ta’ President tal-Uffiċċju u ta’ rappreżentant tal-Land ta’ Tirol, konformement, rispettivament, mal-Artikolu 58 mal-Artikolu 56(1) tar-Regolament tal-Land ta’ Tirol tal‑1989. L-Uffiċċju għalhekk sempliċement informa lill-Gvernatur, minn naħa, liema huwa l-għan tal-ipproċessar tad-data personali previst, jiġifieri żieda tar-rata ta’ tilqim, u, min-naħa l-oħra, il-mezzi li jiġu implimentati abbażi ta’ dan l-ipproċessar, jiġifieri li tintbagħat tali “ittra ta’ tfakkira ta’ tilqim” bl-użu tad-data tar-reġistru ċentrali tat-tilqim u tar-reġistru tal-pazjenti.

Skont il-qorti tar-rinviju, fid-dawl ta’ din l-approvazzjoni mill-gvernatur, huwa biss dan tal-aħħar li ddeċieda kemm dwar l-iskop kif ukoll dwar il-mezzi ta’ pproċessar tad-data personali, b’tali mod li l-Uffiċċju ma jistax ikollu l-kwalità ta’ “kontrollur”, fis-sens tal-ewwel sentenza tal-punt 7 tal-Artikolu 4 tal-GDPR.

18	Madankollu, din il-qorti tistaqsi jekk l-Uffiċċju setax validament jiġi maħtur bħala tali minn dispożizzjoni tad-dritt nazzjonali, jiġifieri l-Artikolu 2(1) (a) tat-TDVG.

Fil-fatt, l-Uffiċċju ma huwiex persuna ġuridika jew awtorità responsabbli għall-ipproċessar ta’ data personali li tat lok sabiex tintbagħat “ittra ta’ tfakkira ta’ tilqim” lil CW. L-Uffiċċju intervjena biss f’dan l-ipproċessar bħala entità amministrattiva awżiljarja fis-servizz ta’ awtorità pubblika. Ma għandux personalità ġuridika u kapaċità ġuridika proprja. Għaldaqstant, għandu jiġi ddeterminat jekk l-Uffiċċju jistax, f’dawn iċ-ċirkustanzi, jitqies bħala “aġenzija jew kwalunkwe korp ieħor”, fis-sens tal-ewwel sentenza tal-punt 7 tal-Artikolu 4 tal-GDPR, li jista’ jinħatar bħala kontrollur skont id-dritt nazzjonali, konformement mat-tieni sentenza tal-punt 7 tal-Artikolu 4 ta’ dan ir-regolament.

Barra minn hekk, l-imsemmija qorti tfakkar li, konformement mat-tieni sentenza tal-punt 7 tal-Artikolu 4 tal-GDPR, kontrollur jista’ jinħatar direttament biss sakemm l-iskopijiet u l-mezzi tal-ipproċessar tad-data personali kkonċernata jkunu ddeterminati mid-dritt nazzjonali. Issa, għalkemm l-Artikolu 2(1)(a) tat-TDVG jaħtar lill-Uffiċċju bħala kontrollur, huwa madankollu la jindika b’mod konkret liema tipi ta’ pproċessar ta’ data personali jista’ jwettaq l-Uffiċċju, la l-iskopijiet li dan l-ipproċessar għandu jfittex, u lanqas il-mezzi li l-Uffiċċju jista’ jimplimenta għal dan l-għan.

Il-qorti tar-rinviju żżid li mill-Artikolu 6(1)(c) u (e) tal-GDPR jirriżulta li pproċessar tad-data personali huwa legali u jekk huwa meħtieġ għall-konformità ma’ obbligu legali li għalih il-kontrollur huwa soġġett jew jekk meħtieġ għat-twettiq ta’ kompitu mwettaq fl-interess pubbliku jew fl-eżerċizzju ta’ awtorità uffiċjali mogħtija lill-kontrollur. Minn dawn il-kundizzjonijiet għal-legalità u mill-għan imfittex mill-punt 7 tal-Artikolu 4 tal-GDPR li tiġi żgurata protezzjoni effikaċi u estiża tas-suġġetti tad-data jirriżulta li l-Istati Membri jistgħu jaħtru bħala kontrollur biss persuna jew entità li tkun f’pożizzjoni li tiddetermina l-iskopijiet kif ukoll il-mezzi tal-ipproċessar ta’ data personali jew, tal-inqas, li tipparteċipa f’din id-determinazzjoni.

F’dawn iċ-ċirkustanzi, il-Verwaltungsgerichtshof (il-Qorti Amministrattiva) iddeċidiet li tissospendi l-proċeduri quddiemha u tagħmel lill-Qorti tal-Ġustizzja d-domanda preliminari li ġejja:

“L-Artikolu 4(7) [tal-GDPR] għandu jiġi interpretat fis-sens li jipprekludi l-applikazzjoni ta’ dispożizzjoni tad-dritt nazzjonali (bħal f’dan il-każ l-Artikolu 2(1) tat-[TDVG]) li tipprovdi għal kontrollur speċifiku fis-sens tat-tieni parti tal-frażi fil-punt 7 tal-Artikolu 4 tar-Regolament (UE) 2016/679, iżda:

–	li huwa sempliċi uffiċċju (bħal f’dan il-każ [l-Uffiċċju] li, għalkemm stabbilit bil-liġi, ma huwiex persuna fiżika jew ġuridika u, f’dan il-każ, lanqas awtorità, iżda jaġixxi biss bħala strument awżiljarju tagħha u ma għandu l-ebda kapaċità ġuridika (parzjali) tiegħu stess;

–	li l-għażla tiegħu ssir mingħajr referenza għall-ipproċessar speċifiku ta’ data personali u għalhekk l-ebda skop u mezz ta’ pproċessar speċifiku ta’ data personali ma huma ddeterminati mid-dritt tal-Istat Membru;

–	li fil-każ inkwistjoni, ma ddeċidiex, la waħdu u lanqas flimkien ma’ oħrajn, dwar l-iskop u l-mezzi tal-ipproċessar tad-data personali inkwistjoni?”

Fuq id-domanda preliminari

Permezz tad-domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk il-punt 7 tal-Artikolu 4 tal-GDPR għandux jiġi interpretat fis-sens li jipprekludi leġiżlazzjoni nazzjonali li taħtar, bħala kontrollur, entità amministrattiva awżiljarja li ma għandhiex personalità ġuridika kif ukoll kapaċità ġuridika proprja, mingħajr ma tispeċifika, b’mod konkret, l-operazzjonijiet speċifiċi ta’ pproċessar ta’ data personali li għaliha hija responsabbli din l-entità u lanqas l-għan ta’ dawn l-operazzjonijiet. Din il-qorti tixtieq tkun taf ukoll jekk il-punt 7 tal-Artikolu 4 tal-GDPR għandux jiġi interpretat fis-sens li entità maħtura mid-dritt nazzjonali bħala kontrollur, konformement ma’ din id-dispożizzjoni, għandha effettivament tiddeċiedi dwar l-iskopijiet u l-mezzi tal-ipproċessar tad-data personali sabiex tkun obbligata twieġeb, bħala kontrollur, għat-talbiet li jsirulha mis-suġġetti tad-data abbażi tad-drittijiet li huma jisiltu mill-GDPR.

Preliminarjament, għandu jitfakkar li, skont il-punt 7 tal-Artikolu 4 tal-GDPR, il-kunċett ta’ “kontrollur” ikopri l-persuni fiżiċi jew ġuridiċi, l-awtoritajiet pubbliċi, id-dipartimenti jew korpi oħra li, waħedhom jew flimkien ma’ oħrajn, jistabbilixxu l-iskopijiet u l-mezzi tal-ipproċessar. Din id-dispożizzjoni tipprevedi li, fejn l-iskopijiet u l-mezzi ta’ dan l-ipproċessar huma ddeterminati b’mod partikolari mid-dritt ta’ Stat Membru, il-kontrollur jista’ jinħatar jew il-kriterji speċifiċi applikabbli għall-ħatra tiegħu jistgħu jiġu previsti minn dan id-dritt.

Minn ġurisprudenza tal-Qorti tal-Ġustizzja jirriżulta li l-imsemmija dispożizzjoni hija intiża, permezz ta’ definizzjoni wiesgħa tal-kunċett ta’ “kontrollur”, li tiżgura protezzjoni effikaċi u kompleta tas-suġġetti tad-data (ara, f’dan is-sens, is-sentenzi tal‑5 ta’ Diċembru 2023, Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:949, punt 29 u tal‑5 ta’ Diċembru 2023, Deutsche Wohnen,C‑807/21, EU:C:2023:950, punt 40).

L-għan imfittex mill-GDPR, kif jirriżulta kemm mill-Artikolu 1 tiegħu kif ukoll mill-premessi 1 u 10 tiegħu, huwa, b’mod partikolari, dak li jiġi ggarantit livell għoli ta’ protezzjoni tal-libertajiet u tad-drittijiet fundamentali tal-persuni fiżiċi, b’mod partikolari tad-dritt tagħhom għall-ħajja privata fir-rigward tal-ipproċessar tad-data personali, sanċit fl-Artikolu 8(1) tal-Karta u fl-Artikolu 16(1) TFUE (sentenza tas‑7 ta’ Marzu 2024, IAB Europe,C‑604/22, EU:C:2024:214, punt 53 u l-ġurisprudenza ċċitata).

Fid-dawl tal-formulazzjoni tal-punt 7 tal-Artikolu 4 tal-GDPR, moqri fid-dawl ta’ dan l-għan, sabiex jiġi ddeterminat jekk persuna jew entità għandhiex tiġi kklassifikata bħala “kontrollur”, fis-sens ta’ din id-dispożizzjoni, għandu jiġi eżaminat jekk din il-persuna jew din l-entità tiddeterminax, waħedha jew flimkien ma’ oħrajn, l-iskopijiet u l-mezzi tal-ipproċessar jew inkella jekk dawn humiex iddeterminati mid-dritt nazzjonali. Meta tali determinazzjoni titwettaq mid-dritt nazzjonali, għandu għalhekk jiġi vverifikat jekk dan id-dritt jaħtarx il-kontrollur jew jipprevedix il-kriterji speċifiċi applikabbli għall-ħatra tiegħu (sentenza tal‑11 ta’ Jannar 2024, État belge (Data pproċessata minn ġurnal uffiċjali),C‑231/22, EU:C:2024:7, punt 29).

Fid-dawl tad-definizzjoni wiesgħa tal-kunċett ta’ “kontrollur”, fis-sens tal-punt 7 tal-Artikolu 4 tar-RGPD, id-determinazzjoni tal-iskopijiet u tal-mezzi tal-ipproċessar u, jekk ikun il-każ, il-ħatra ta’ dan il-kontrollur mid-dritt nazzjonali setgħu jkunu mhux biss espliċiti, iżda wkoll impliċiti. F’dan l-aħħar każ, huwa madankollu meħtieġ li din id-determinazzjoni tirriżulta b’mod suffiċjentement ċert mir-rwol, mill-kompitu u mill-kompetenzi mogħtija lill-persuna jew lill-entità kkonċernata (sentenza tal‑11 ta’ Jannar 2024, État belge (Data pproċessata minn ġurnal uffiċjali),C‑231/22, EU:C:2024:7, punt 30).

Huwa fid-dawl ta’ dawn il-kunsiderazzjonijiet preliminari li għandha tiġi eżaminata d-domanda preliminari. Għal dan l-għan, għandu, l-ewwel, jiġi ddeterminat sa fejn il-leġiżlatur nazzjonali jista’ validament jaħtar entità amministrattiva awżiljarja fis-servizz tal-awtoritajiet pubbliċi bħala kontrollur, fis-sens tat-tieni sentenza tal-punt 7 tal-Artikolu 4 tal-GDPR, meta din l-entità ma jkollhiex personalità ġuridika u kapaċità ġuridika proprja.

F’dan ir-rigward, għandu jiġi rrilevat, minn naħa, li l-Qorti tal-Ġustizzja diġà ddeċidiet li, mill-formulazzjoni ċara tal-punt 7 tal-Artikolu 4 tar-RGPD jirriżulta li kontrollur jista’ mhux biss ikun persuna fiżika jew ġuridika, iżda wkoll awtorità pubblika, dipartiment jew korp, u tali entitajiet ma għandhomx neċessarjament personalità ġuridika skont id-dritt nazzjonali (ara, f’dan is-sens, is-sentenza tal‑11 ta’ Jannar 2024, État belge (Data pproċessata minn ġurnal uffiċjali,C‑231/22, EU:C:2024:7, punt 36).

31	B’hekk, ma jistax jiġi eskluż li entità tista’ tiġi kklassifikata bħala “kontrollur”, fis-sens ta’ din id-dispożizzjoni, anki jekk din ma jkollhiex personalità ġuridika.

Min-naħa l-oħra, fir-rigward tal-punt dwar jekk il-klassifikazzjoni ta’ entità bħala “kontrollur” teħtieġx l-eżistenza ta’ kapaċità ġuridika proprja ta’ din l-entità, jew jekk huwiex biżżejjed għal dan l-għan li l-entità kkonċernata jkollha ċerta kapaċità ta’ deċiżjoni u ta’ azzjoni fil-kuntest tal-protezzjoni tad-data personali, għandu jitfakkar li mill-premessa 74 tal-GDPR jirriżulta li l-leġiżlatur tal-Unjoni ried li r-responsabbiltà li jaqa’ fuq il-kontrollur tkun identika irrispettivament mill-pproċessar ta’ data personali li huwa jwettaq, kemm jekk huwa stess jew permezz ta’ terz, iżda f’isimha. Dan il-leġiżlatur ried ukoll jiżgura li l-kontrollur jkun obbligat jimplimenta miżuri adatti u effettivi u jkun jista’ juri l-konformità tal-attivitajiet ta’ pproċessar ma’ dan ir-regolament, inkluża l-effettività tal-miżuri. Dawk il-miżuri għandhom jikkunsidraw in-natura, l-ambitu, il-kuntest u l-iskopijiet tal-ipproċessar u r-riskju għad-drittijiet u l-libertajiet tal-persuni fiżiċi.

Huwa f’dan ir-rigward li l-Artikolu 5(2) tal-GDPR jistabbilixxi prinċipju ta’ responsabbiltà, li abbażi tiegħu l-kontrollur huwa responsabbli għall-osservanza tal-prinċipji relatati mal-ipproċessar tad-data personali stabbiliti fil-paragrafu 1 ta’ dan l-artikolu, u jipprevedi li l-imsemmi kontrollur għandu jkun f’pożizzjoni li juri li dawn il-prinċipji huma osservati.

Fid-dawl tal-obbligi legali li għalihom huwa b’hekk suġġett il-kontrollur imsemmi fil-punt 7 tal-Artikolu 4 tal-GDPR, dan għandu, skont il-modalitajiet previsti mil-leġiżlazzjoni tal-Istat Membru li jaqa’ taħtu, ikun f’pożizzjoni li jissodisfa, fil-fatt u fid-dritt, dawn l-obbligi, mingħajr ma jkun rilevanti f’dan ir-rigward il-fatt li din l-entità għandhiex jew le il-personalità ġuridika u kapaċità ġuridika proprja.

F’dan il-każ, hija l-qorti tar-rinviju li għandha tivverifika jekk l-Uffiċċju huwiex awtorizzat mid-dritt Awstrijak sabiex jassumi r-responsabbiltajiet u l-obbligi li l-GDPR jimponi fuq il-kontrollur, fid-dawl b’mod partikolari tal-fatt, mhux ikkontestat quddiem il-qrati nazzjonali li ġew aditi bit-tilwima fil-kawża prinċipali, li l-Uffiċċju jista’ jippreżenta rikors kontra d-deċiżjoni tal-Awtorità għall-Protezzjoni tad-Data, bħalma jista’ jkun is-suġġett ta’ lment quddiem din l-awtorità. Il-qorti tar-rinviju tista’ tieħu inkunsiderazzjoni wkoll il-fatt li l-Uffiċċju qabbad lil żewġ impriżi privati sabiex jipproċessaw data personali li tinsab fir-reġistru ċentrali tat-tilqim u f’dak tal-pazjenti residenti fil-Land ta’ Tirol.

It-tieni, il-qorti tar-rinviju tistaqsi jekk leġiżlatur nazzjonali jistax jaħtar entità bħala kontrollur, skont it-tieni sentenza tal-punt 7 tal-Artikolu 4 tar-RĠPD, mingħajr ma jispeċifika, b’mod konkret, la l-ipproċessar ta’ data personali li din l-entità jista’ jkollha twettaq, la l-iskop tiegħu u lanqas il-mezzi preċiżi li hija tista’ timplimenta għall-finijiet ta’ dan l-ipproċessar.

Kif tfakkar fil-punt 28 ta’ din is-sentenza, meta d-dritt nazzjonali jaħtar entità bħala kontrollur, id-determinazzjoni tal-iskopijiet u tal-mezzi tal-ipproċessar minn dan id-dritt tista’ tkun impliċita, bil-kundizzjoni li din id-determinazzjoni tirriżulta b’mod suffiċjentement ċert mir-rwol, mill-kompitu u mill-kompetenzi mogħtija lil din l-entità. Din il-kundizzjoni hija ssodisfatta jekk dawn l-iskopijiet u motivi jirriżultaw, essenzjalment, mid-dispożizzjonijiet tad-dritt nazzjonali li jirregolaw l-attività tal-imsemmija entità.

Il-ħatra diretta, mil-leġiżlatur nazzjonali, ta’ entità bħala kontrollur tikkontribwixxi għall-għan ta’ ċertezza legali mfittex mill-GDPR, kif jidher mill-premessa 7 tiegħu, billi tippermetti lill-persuni fiżiċi li d-data personali tagħhom hija suġġetta għal ipproċessar jidentifikaw faċilment l-entità inkarigata li tiżgura r-rispett tad-drittijiet mogħtija lilhom minn dan ir-regolament.

Il-validità ta’ tali ħatra hija madankollu suġġetta għall-kundizzjoni li l-leġiżlazzjoni nazzjonali tiddetermina l-portata tal-ipproċessar tad-data personali li għaliha din l-entità hija maħtura responsabbli, mingħajr madankollu ma jkun neċessarju li dan il-leġiżlatur ikun elenka, b’mod eżawrjenti, l-operazzjonijiet kollha ta’ pproċessar li għalihom l-imsemmija entità hija hekk maħtura. Kif tiddikjara l-premessa 45 ta’ dan ir-regolament “[t]ista’ tkun biżżejjed liġi li sservi ta’ bażi għal diversi operazzjonijiet ta’ pproċessar ibbażata fuq obbligu legali li huwa soġġett għalih il-kontrollur jew fejn l-ipproċessar huwa meħtieġ għat-twettiq ta’ kompitu li jsir fl-interess pubbliku jew fl-eżerċizzju ta’ awtorità uffiċjali.”

Minn dan isegwi li leġiżlazzjoni nazzjonali li taħtar entità bħala kontrollur mingħajr ma telenka espressament l-operazzjonijiet speċifiċi kollha ta’ pproċessar ta’ data personali li hija responsabbli għaliha u lanqas l-iskop ta’ dawn l-operazzjonijiet ta’ pproċessar hija kompatibbli mal-punt 7 tal-Artikolu 4 tal-GDPR, sakemm din il-leġiżlazzjoni tiddetermina, espliċitament jew tal-inqas impliċitament, il-portata tal-ipproċessar tad-data personali li għaliha din l-entità hija maħtura responsabbli.

F’dan il-każ, hija l-qorti tar-rinviju li għandha tivverifika, minn naħa, l-ipproċessar ta’ data personali li l-Uffiċċju wettaq għall-iskopijiet tal-preparazzjoni u sabiex jintbagħtu “ittri ta’ tfakkira ta’ tilqim” inkwistjoni fil-kawża prinċipali huwiex kompatibbli mal-iskopijiet li għandhom jissodisfaw l-operazzjonijiet ta’ pproċessar ta’ data personali li l-Uffiċċju nħatar bħala l-kontrollur responsabbli għaliha, kif dawn l-iskopijiet jirriżultaw, tal-inqas impliċitament, mid-dispożizzjonijiet kollha tad-dritt nazzjonali li jirregolaw l-attività tiegħu u, min-naħa l-oħra, il-mezzi li huwa jista’ jimplimenta għal dan l-għan. Is-sempliċi fatt li dawn id-dispożizzjonijiet nazzjonali ma jippreċiżawx, jekk ikun il-każ, b’mod konkret, l-operazzjonijiet ta’ pproċessar li l-Uffiċċju huwa awtorizzat iwettaq, ma jistax jeskludi l-klassifikazzjoni ta’ entità bħall-Uffiċċju bħala kontrollur fis-sens tal-punt 7 tal-Artikolu 4 tal-GDPR.

It-tielet, il-qorti tar-rinviju tistaqsi jekk entità maħtura mil-leġiżlazzjoni nazzjonali bħala kontrollur, skont it-tieni sentenza tal-punt 7 tal-Artikolu 4 tar-RĠPD, għandhiex ukoll tiddeċiedi hija stess, jew ma’ awtoritajiet kompetenti oħra, dwar l-iskopijiet u l-mezzi tal-ipproċessar tad-data personali li hija maħtura responsabbli għaliha, sabiex tkun obbligata twieġeb, f’din il-kapaċità, għat-talbiet li jsirulha mis-suġġetti tad-data abbażi tad-drittijiet li huma jisiltu mir-RĠPD.

F’dan ir-rigward, huwa biżżejjed jiġi osservat sabiex jiġi stabbilit jekk entità tistax titqies bħala kontrollur, fis-sens tal-punt 7 tal-Artikolu 4 tal-GDPR, għandu jiġi eżaminat jekk din l-entità effettivament influwenzatx, għall-iskopijiet tagħha stess, id-determinazzjoni tal-iskopijiet u tal-mezzi ta’ dan l-ipproċessar (ara, f’dan is-sens, is-sentenza tal‑5 ta’ Diċembru 2023, Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:949, punti 30 u 31).

Min-naħa l-oħra, sabiex tiġi stabbilita l-kwalità ta’ kontrollur ta’ entità, fis-sens tat-tieni sentenza tal-punt 7 tal-Artikolu 4 tal-GDPR, kif jirriżulta mill-formulazzjoni ċara ta’ din id-dispożizzjoni, ma huwiex neċessarju li din l-entità teżerċita influwenza fuq id-determinazzjoni tal-iskopijiet tal-mezzi ta’ dan l-ipproċessar.

Tali entità, maħtura mid-dritt nazzjonali bħala kontrollur, ma għandhiex għalhekk tiddeċiedi hija stess dwar l-iskopijiet u l-mezzi tal-ipproċessar tad-data personali sabiex ikollha twieġeb, bħala kontrollur, għat-talbiet li s-suġġetti tad-data jressqulha abbażi tad-drittijiet li huma jisiltu mir-RĠPD.

F’dan ir-rigward, il-Qorti tal-Ġustizzja diġà ddeċidiet li l-validità ta’ ħatra diretta ma hijiex affettwata mill-fatt li, skont id-dritt nazzjonali, l-entità maħtura bħala kontrollur ma teżerċita ebda kontroll fuq id-data personali li hija għandha tipproċessa (ara, f’dan is-sens, is-sentenza tal‑11 ta’ Jannar 2024, État belge (Data pproċessata minn ġurnal uffiċjali,C‑231/22, EU:C:2024:7, punti 37 u 38).

Tali interpretazzjoni hija konformi mal-għan ta’ ċertezza legali mfittex mill-GDPR. Kif enfasizzat il-Kummissjoni Ewropea fl-osservazzjonijiet bil-miktub tagħha, dan l-għan ikun kompromess jekk, sabiex ikun jista’ jitqies li din il-ħatra saret b’mod validu mil-leġiżlatur nazzjonali, is-suġġetti tad-data jkollhom jivverifikaw li l-entità maħtura bħala kontrollur tad-data personali tagħhom għandha s-setgħa li tiddetermina hija stess l-iskopijiet u l-mezzi ta’ tali pproċessar.

Għandu jingħad ukoll li l-fatt li ma huwiex neċessarju li entità maħtura mid-dritt nazzjonali bħala kontrollur tkun awtorizzata wkoll li tiddeċiedi hija stess l-iskopijiet u l-mezzi tal-ipproċessar tad-data personali sabiex ikollha twieġeb, bħala kontrollur, għat-talbiet li s-suġġetti tad-data jressqulha abbażi tad-drittijiet li huma jisiltu mill-GDPR, ma jċaħħadx madankollu lil dawn il-persuni mill-possibbiltà li jindirizzaw dawn it-talbiet lil entità oħra li huma jqisu bħala responsabbli jew jew responsabbli b’mod konġunt għall-ipproċessar tad-data personali tagħhom minħabba l-influwenza li din l-entità l-oħra eżerċitat fuq id-determinazzjoni tal-iskopijiet u tal-mezzi tal-ipproċessar inkwistjoni.

Fid-dawl tal-motivi preċedenti, ir-risposta għad-domanda magħmula għandha tkun li l-punt 7 tal-Artikolu 4 tal-GDPR għandu jiġi interpretat fis-sens li ma jipprekludix leġiżlazzjoni nazzjonali li taħtar, bħala kontrollur, entità amministrattiva awżiljarja li ma għandhiex personalità ġuridika kif ukoll kapaċità ġuridika proprja, mingħajr ma tippreċiża, b’mod konkret, l-operazzjonijiet speċifiċi ta’ pproċessar ta’ data personali li għaliha hija responsabbli din l-entità u lanqas l-iskop ta’ dawn l-operazzjonijiet sa fejn, minn naħa, tali entità tkun kapaċi tissodisfa, konformement ma’ din il-leġiżlazzjoni nazzjonali, l-obbligi imposti fuq kontrollur lejn is-suġġetti tad-data fil-qasam tal-protezzjoni tad-data personali u, min-naħa l-oħra, li l-imsemmija leġiżlazzjoni nazzjonali tiddetermina, espliċitament jew tal-inqas impliċitament, il-portata tal-ipproċessar tad-data personali li għaliha hija responsabbli din l-entità.

Fuq l-ispejjeż

Peress li l-proċedura għandha, fir-rigward tal-partijiet fil-kawża prinċipali, in-natura ta; kwistjoni mqajma quddiem il-qorti tar-rinviju, hija din il-qorti li tiddeċiedi fuq l-ispejjeż. L-ispejjeż sostnuti għas-sottomissjoni tal-osservazzjonijiet lill-Qorti tal-Ġustizzja, barra dawk tal-imsemmija partijiet, ma jistgħux jitħallsu lura.

Għal dawn il-motivi, Il-Qorti tal-Ġustizzja (It-Tmien Awla) taqta’ u tiddeċiedi:

Il-punt 7 tal-Artikolu 4 tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data)

għandu jiġi interpretat fis-sens li:

ma jipprekludix leġiżlazzjoni nazzjonali li taħtar, bħala kontrollur, entità amministrattiva awżiljarja li ma għandhiex personalità ġuridika kif ukoll kapaċità ġuridika proprja, mingħajr ma tippreċiża, b’mod konkret, l-operazzjonijiet speċifiċi ta’ pproċessar ta’ data personali li għaliha hija responsabbli din l-entità u lanqas l-iskop ta’ dawn l-operazzjonijiet sa fejn, minn naħa, tali entità tkun kapaċi tissodisfa, konformement ma’ din il-leġiżlazzjoni nazzjonali, l-obbligi imposti fuq kontrollur lejn is-suġġetti tad-data fil-qasam tal-protezzjoni tad-data personali u, min-naħa l-oħra, li l-imsemmija leġiżlazzjoni nazzjonali tiddetermina, espliċitament jew tal-inqas impliċitament, il-portata tal-ipproċessar tad-data personali li għaliha hija responsabbli din l-entità.

Firem

( *1 ) Lingwa tal-kawża: il-Ġermaniż.

Eureka qed iżżid links…