–

għal TR, minn F. Wittmaack, Rechtsanwalt,

–

għal Land Hessen, irrappreżentat minn M. Kottmann u G. Ziegenhorn, Rechtsanwälte,

–

għall-Gvern Awstrijak, minn J. Schmoll u M.‑T. Rappersberger, bħala aġenti,

–

għall-Gvern Portugiż, minn P. Barros da Costa, J. Ramos u C. Vieira Guerra, bħala aġenti,

–

għall-Gvern Rumen, minn L.‑E. Baţagoi u E. Gane, bħala aġenti,

–

għall-Gvern Norveġiż, minn M. S.‑E. Jahr Dahl, L. M. Moen Jünge u M. Munthe Kaas, bħala aġenti,

–

għall-Kummissjoni Ewropea, minn A. Bouchagiar, M. Heller u H. Kranenborg, bħala aġenti,

1

It-talba għal deċiżjoni preliminari tirrigwarda l-interpretazzjoni tal-Artikolu 57(1)(a) u (f), tal-Artikolu 58(2), kif ukoll tal-Artikolu 77(1) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (ir-Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 1, iktar ’il quddiem il-“GDPR”).

2

Din it-talba tressqet fil-kuntest ta’ tilwima bejn TR u Land Hessen (il-Land ta’ Hesse, il-Ġermanja), dwar in-nuqqas tal-Hessischer Beauftragte für Datenschutz und Informationsfreiheit (il-Kummissarju tal-Protezzjoni tad-Data u tal-Libertà tal-Informazzjoni tal-Land ta’ Hesse, il-Ġermanja) (iktar ’il quddiem il-“HBDI”), li jieħu miżuri korrettivi fir-rigward tal-iSparkasse X (il-Bank tat-Tfaddil ta’ X, iktar ’il quddiem il-“Bank tat-tfaddil”).

Il‑kuntest ġuridiku

3

Skont il-premessi 6, 7, 10, 129 u 148 tal-GDPR:

4

L-Artikolu 5 ta’ dan ir-regolament huwa fformulat kif ġej:

5

L-Artikolu 24(1) tal-imsemmi regolament jipprovdi:

6

L-Artikolu 33 tal-istess regolament jipprovdi:

7

L-Artikolu 34(1) tal-GDPR jipprovdi:

8

Il-Kapitolu VI ta’ dan ir-regolament, intitolat “Awtoritajiet superviżorji indipendenti”, jinkludi l-Artikoli 51 sa 59 ta’ dan.

9

L-Artikolu 51(1) tal-imsemmi regolament huwa redatt kif ġej:

10

L-Artikolu 57 tal-GDPR, intitolat “Kompiti”, jipprovdi:

11

L-Artikolu 58 ta’ dan ir-regolament, intitolat “Setgħat”, jipprovdi, fil-paragrafi 1 u 2:

12

L-Artikolu 77 tal-imsemmi regolament huwa fformulat kif ġej:

13

L-Artikolu 83(1) u (2) tal-istess regolament jistabbilixxi:

Il‑kawża prinċipali u d‑domanda preliminari

14

Il-Bank tat-tfaddil huwa stabbiliment muniċipali tad-dritt pubbliku li jwettaq, fost l-oħrajn, tranżazzjonijiet bankarji u kreditizzji. Fil‑15 ta’ Novembru 2019, huwa nnotifika lill-HBDI, konformement mal-Artikolu 33 tal-GPDR, bi ksur ta’ data personali li jikkonsisti fil-fatt li waħda mill-impjegati tiegħu kienet ikkonsultat diversi drabi, mingħajr ma kienet awtorizzata, data personali ta’ TR, wieħed mill-klijenti tiegħu. Il-Bank tat-tfaddil naqas milli jikkomunika lil TR il-ksur tad-data personali tiegħu.

15

Wara li inċidentalment sar jaf bil-fatt li d-data personali tiegħu kienet ġiet ikkonsultata indebitament, TR, fis‑27 ta’ Lulju 2020, ressaq ilment quddiem il-HBDI abbażi tal-Artikolu 77 tal-GDPR. F’dan l-ilment, huwa lmenta dwar il-fatt li l-ksur tad-data personali tiegħu ma kienx ġie kkomunikat lilu, bi ksur tal-Artikolu 34 ta’ dan ir-regolament. Huwa kkritika wkoll it-tul taż-żamma tar-reġistru ta’ aċċess tal-Bank tat-tfaddil, iffissat għal tliet xhur biss, kif ukoll id-drittijiet ta’ konsultazzjoni estiżi li jgawdu minnhom il-membri tal-persunal tiegħu.

16

Wara l-ilment imressaq minn TR, il-HBDI sema’ lill-Bank tat-tfaddil bil-miktub u bil-fomm dwar il-kritika magħmula fil-konfront tiegħu. Matul is-seduta, il-Bank tat-tfaddil indika li huwa kien naqas milli jwettaq komunikazzjoni skont l-Artikolu 34 tal-GDPR peress li l-uffiċjal tal-protezzjoni tad-data tiegħu kien qies li ma kienx hemm riskju għoli għad-drittijiet u għal-libertajiet ta’ TR. Fil-fatt, kienu ttieħdu miżuri dixxiplinari kontra l-impjegata kkonċernata u din kienet ikkonfermat bil-miktub li hija la kienet ikkopjat u lanqas żammet id-data personali, li hija ma kinitx bagħtitha lil terzi u li hija ma kinitx ser tagħmel dan fil-futur. Barra minn hekk, peress li l-HBDI kkritika t-tul qasir wisq taż-żamma tar-reġistri ta’ aċċess, il-Bank tat-tfaddil informatu li din il-kwistjoni kienet ser tiġi eżaminata mill-ġdid.

17

Permezz ta’ deċiżjoni tat‑3 ta’ Settembru 2020, il-HBDI informa lil TR li l-Bank tat-tfaddil ma kienx kiser l-Artikolu 34 tal-GDPR, peress li l-evalwazzjoni tal-Bank tat-tfaddil li skontha l-ksur ta’ data personali mwettaq ma setax joħloq riskju għoli għad-drittijiet u għal-libertajiet tiegħu, fis-sens ta’ dan l-artikolu, ma kinitx manifestament żbaljata. Fil-fatt, anki jekk id-data kienet ġiet ikkonsultata mill-impjegata, ma kien hemm xejn li jindika li din kienet bagħtitha lil terzi jew kienet użatha għad-detriment ta’ TR. Barra minn hekk, il-HBDI indika li kien stieden lill-Bank tat-tfaddil iżomm ir-reġistru ta’ aċċess tiegħu għal perijodu itwal minn tliet xhur. Fl-aħħar nett, fir-rigward tal-kwistjoni tal-aċċess tal-impjegati tal-Bank tat-tfaddil għad-data personali, il-HBDI ċaħad l-ilment imressaq minn TR, filwaqt li enfasizza li drittijiet ta’ aċċess estiżi jistgħu, bħala prinċipju, jingħataw meta tkun teżisti ċ-ċertezza li kull utent jiġi informat bil-kundizzjonijiet li fihom huwa jista’ jaċċedi għad-data. Għalhekk, skont il-HBDI, kontroll sistematiku ta’ kull aċċess ma huwiex neċessarju.

18

TR ippreżenta rikors kontra din id-deċiżjoni quddiem il-Verwaltungsgericht Wiesbaden (il-Qorti Amministrattiva ta’ Wiesbaden, il-Ġermanja), il-qorti tar-rinviju, fejn talabha tordna lill-HBDI jieħu azzjoni kontra l-Bank tat-tfaddil.

19

Insostenn tar-rikors tiegħu, TR isostni li l-HBDI ma ttrattax l-ilment tiegħu kif jeżiġi l-GDPR, jiġifieri billi jittieħdu inkunsiderazzjoni ċ-ċirkustanzi fattwali kollha, u jżid li l-HBDI kellu jimponi multa fuq il-Bank tat-tfaddil fid-dawl tad-diversi istanzi ta’ ksur min-naħa tiegħu tad-dispożizzjonijiet ta’ dan ir-regolament, b’mod partikolari tal-Artikolu 5, tal-Artikolu 12(3), tal-Artikolu 15(1)(c), tal-Artikolu 33(1) u tal-Artikolu 33(3) tiegħu. Fil-fehma ta’ TR, fil-każ li jiġi kkonfermat ksur tal-imsemmi regolament, bħal f’dan il-każ, il-prinċipju ta’ espedjenza ma japplikax, b’tali mod li l-HBDI ma setax jiddeċiedi jaġixxix jew le, iżda, l-iktar l-iktar, seta’ jagħżel il-miżuri li jadotta.

20

F’dan ir-rigward, il-qorti tar-rinviju tistaqsi essenzjalment dwar jekk, fil-każ li jiġi kkonfermat ksur ta’ dispożizzjonijiet dwar il-protezzjoni ta’ data personali, il-GDPR għandux jiġi interpretat fis-sens li l-awtorità superviżorja hija obbligata tadotta miżuri korrettivi skont l-Artikolu 58(2) ta’ dan ir-regolament, bħal multa amministrattiva, jew inkella fis-sens li din l-awtorità għandha setgħa ta’ evalwazzjoni li tawtorizzaha, skont iċ-ċirkustanzi, tastjeni milli tadotta tali miżuri.

21

Il-qorti tar-rinviju tesponi li din l-ewwel interpretazzjoni, li hija dik sostnuta minn TR u minn parti mid-duttrina, hija bbażata fuq il-fatt li l-poteri li għandha l-awtorità superviżorja li tadotta miżuri korrettivi huma intiżi li jirregolarizzaw sitwazzjonijiet konformi meta jkun hemm ksur tad-drittijiet taċ-ċittadini permezz ta’ pproċessar tad-data. L-Artikolu 58(2) tal-GDPR għandu għalhekk jinftiehem bħala sors ta’ obbligu li huwa l-bażi ta’ dritt taċ-ċittadin għal azzjoni tal-awtoritajiet meta impriża jew awtorità tkun ipproċessat illegalment data personali taċ-ċittadin jew tkun kisret drittijiet b’mod ieħor. Fil-każ li jiġi stabbilit ksur tal-protezzjoni tad-data, l-awtorità superviżorja għandha tadotta miżuri korrettivi, u l-unika setgħa diskrezzjonali li jibqgħalha tkun dik li tagħżel liema miżuri previsti hija għandha tadotta.

22

Madankollu, il-qorti tar-rinviju tiddubita mill-fondatezza ta’ din l-interpretazzjoni, li hija tqis estensiva wisq, u pjuttost tagħti lill-awtorità superviżorja marġni ta’ evalwazzjoni li jawtorizzaha, f’ċerti każijiet, tastjeni milli tieħu miżura korrettiva, b’mod partikolari li timponi sanzjoni, fil-każ li jiġi stabbilit ksur. Minkejja li l-awtorità superviżorja għandha, skont l-Artikolu 57(1)(f) tal-GDPR, l-obbligu li twettaq eżami bir-reqqa tal-ilmenti u li teżamina kull każ partikolari, madankollu hija ma hijiex obbligata tadotta miżura korrettiva f’kull sitwazzjoni. B’hekk, hija ma tkunx suġġetta għal tali obbligu meta r-regoli dwar il-protezzjoni tad-data personali jkunu nkisru fil-passat iżda l-kontrollur ikun adotta miżuri li ma jippermettux li jiġi previst li ser ikun hemm repetizzjoni tal-ksur tal-protezzjoni tad-data.

23

F’dawn iċ-ċirkustanzi, il-Verwaltungsgericht Wiesbaden (il-Qorti Amministrattiva ta’ Wiesbaden) iddeċidiet li tissospendi l-proċedura u li tagħmel lill-Qorti tal-Ġustizzja d-domanda preliminari li ġejja:

Fuq l‑ammissibbiltà tat‑talba għal deċiżjoni preliminari

24

Mingħajr ma jikkontesta espressament l-ammissibbiltà tat-talba għal deċiżjoni preliminari, TR jargumenta li risposta għad-domanda magħmula ma hijiex neċessarja sabiex tiġi deċiża t-tilwima fil-kawża prinċipali. Ir-rikors tiegħu huwa intiż biss sabiex il-qorti tar-rinviju tordna lill-HBDI jiddeċiedi dwar il-motivi mqajma fl-ilment li tressaq quddiemu, skont l-Artikolu 57(1)(f) tal-GDPR, u mhux sabiex l-HBDI jiġi kkundannat jagħmel użu mis-setgħat mogħtija lilu mill-Artikolu 58(2) ta’ dan ir-regolament.

25

F’dan ir-rigward, għandu jitfakkar li, fil-kuntest tal-kooperazzjoni bejn il-Qorti tal-Ġustizzja u l-qrati nazzjonali stabbilita fl-Artiklu 267 TFUE, hija biss il-qorti nazzjonali, li quddiemha tkun tressqet il-kawża u li jkollha tassumi r-responsabbiltà tad-deċiżjoni ġudizzjarja li għandha tevalwa, fir-rigward taċ-ċirkustanzi partikolari tal-każ, kemm in-neċessità ta’ deċiżjoni preliminari sabiex tkun f’pożizzjoni li tagħti s-sentenza tagħha kif ukoll ir-rilevanza tad-domandi li hija tagħmel lill-Qorti tal-Ġustizzja. Għaldaqstant, sa fejn id-domandi magħmula jikkonċernaw l-interpretazzjoni tad-dritt tal-Unjoni, il-Qorti tal-Ġustizzja hija, bħala prinċipju, marbuta tagħti deċiżjoni (sentenza tat‑30 ta’ Novembru 2023, Ministero dell’Istruzione u INPS, C‑270/22, EU:C:2023:933, punt 33 kif ukoll il-ġurisprudenza ċċitata).

26

Minn dan isegwi li d-domandi dwar l-interpretazzjoni tad-dritt tal-Unjoni magħmula mill-qorti nazzjonali fil-kuntest leġiżlattiv u fattwali li hija tiddefinixxi taħt ir-responsabbiltà tagħha stess, u li ma huwiex id-dmir tal-Qorti tal-Ġustizzja li tivverifika l-eżattezza tiegħu, igawdu minn preżunzjoni ta’ rilevanza. Il-Qorti tal-Ġustizzja tista’ tiċħad talba għal deċiżjoni preliminari mressqa minn qorti nazzjonali biss meta jidher b’mod manifest li l-interpretazzjoni mitluba tad-dritt tal-Unjoni ma għandha ebda rabta mar-realtà jew mas-suġġett tat-tilwima fil-kawża prinċipali, meta l-problema tkun ta’ natura ipotetika, jew meta l-Qorti tal-Ġustizzja ma jkollhiex il-punti ta’ fatt u ta’ liġi meħtieġa sabiex tagħti risposta utli għad-domandi li jkunu sarulha (sentenza tat‑30 ta’ Novembru 2023, Ministero dell’Istruzione u INPS, C‑270/22, EU:C:2023:933, punt 34 kif ukoll il-ġurisprudenza ċċitata).

27

F’dan il-każ, il-qorti tar-rinviju tenfasizza li TR invoka dritt għall-intervent tal-HBDI u afferma li dan kien obbligat jimponi multa fuq il-Bank tat-tfaddil.

28

Għaldaqstant, ma jidhirx b’mod manifest li l-interpretazzjoni tad-dritt tal-Unjoni mitluba ma għandha ebda rabta mal-fatti jew mas-suġġett tal-kawża prinċipali.

29

Għaldaqstant, it-talba għal deċiżjoni preliminari hija ammissibbli.

Fuq id‑domanda preliminari

30

Sabiex tingħata risposta għal din id-domanda, għandu jitfakkar, preliminarjament, li l-interpretazzjoni ta’ dispożizzjoni tad-dritt tal-Unjoni teħtieġ li jittieħdu inkunsiderazzjoni mhux biss il-kliem tagħha, iżda wkoll il-kuntest tagħha kif ukoll l-għanijiet u l-iskopijiet tal-att li tagħmel parti minnu (sentenza tas‑7 ta’ Diċembru 2023, SCHUFA Holding (Rilaxx ta’ dejn li ma tħallasx lura), C‑26/22 u C‑64/22, EU:C:2023:958, punt 48 kif ukoll il-ġurisprudenza ċċitata).

31

Għandu jitfakkar ukoll li, konformement mal-Artikolu 8(3) tal-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea kif ukoll mal-Artikolu 51(1) u mal-Artikolu 57(1)(a) tal-GDPR, l-awtoritajiet superviżorji nazzjonali huma responsabbli għall-kontroll tal-osservanza tar-regoli tal-Unjoni dwar il-protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali (sentenza tas‑7 ta’ Diċembru 2023, SCHUFA Holding (Rilaxx ta’ dejn li ma tħallasx lura), C‑26/22 u C‑64/22, EU:C:2023:958, punt 55 kif ukoll il-ġurisprudenza ċċitata).

32

B’mod partikolari, skont l-Artikolu 57(1)(f) tal-GDPR, kull awtorità superviżorja hija obbligata, fit-territorju tagħha, li tittratta l-ilmenti li kull suġġett tad-data, konformement mal-Artikolu 77(1) ta’ dan ir-regolament, għandu d-dritt li jressaq meta jqis li pproċessar ta’ data personali li jikkonċernah ikun jikkostitwixxi ksur tal-imsemmi regolament, u li teżamina s-suġġett ta’ dawn l-ilmenti sa fejn ikun meħtieġ. L-awtorità superviżorja għandha tipproċedi bit-trattament ta’ tali lment bid-diliġenza kollha meħtieġa (sentenza tas‑7 ta’ Diċembru 2023, SCHUFA Holding (Rilaxx ta’ dejn li ma tħallasx lura), C‑26/22 u C‑64/22, EU:C:2023:958, punt 56 kif ukoll il-ġurisprudenza ċċitata).

33

Għall-finijiet tat-trattament tal-ilmenti mressqa, l-Artikolu 58(1) tal-GDPR jagħti lil kull awtorità superviżorja setgħat investigattivi sinjifikattivi. Meta tali awtorità tikkonstata, fi tmiem l-investigazzjoni tagħha, ksur tad-dispożizzjonijiet ta’ dan ir-regolament, hija obbligata tirreaġixxi b’mod xieraq sabiex tirrimedja l-insuffiċjenza kkonstatata, fejn kull miżura għandha, kif tippreċiża l-premessa 129 tal-imsemmi regolament, b’mod partikolari tkun xierqa, neċessarja u proporzjonata sabiex tiġi ggarantita l-osservanza tal-imsemmi regolament, fid-dawl taċ-ċirkustanzi tal-każ. Għal dan il-għan, l-Artikolu 58(2) ta’ dan ir-regolament jelenka d-diversi miżuri korrettivi li jistgħu jiġu adottati mill-awtorità superviżorja (ara, f’dan is-sens, is-sentenza tas‑7 ta’ Diċembru 2023, SCHUFA Holding (Rilaxx ta’ dejn li ma tħallasx lura), C‑26/22 u C‑64/22, EU:C:2023:958, punt 57 kif ukoll il-ġurisprudenza ċċitata).

34

Għalhekk, skont l-Artikolu 58(2) tal-GDPR, l-awtorità superviżorja għandha s-setgħa, b’mod partikolari, tfakkar lil kontrollur jew lil uffiċjal li jwettaq l-ipproċessar meta l-operazzjonijiet ta’ pproċessar ikunu implikaw ksur tad-dispożizzjonijiet ta’ dan ir-regolament (punt (b)), li tordna lill-kontrollur jew lill-uffiċjal li jwettaq l-ipproċessar jissodisfa t-talbiet imressqa mis-suġġett tad-data sabiex jeżerċita d-drittijiet tiegħu skont l-imsemmi regolament (punt (c)), jordna lill-kontrollur jew lill-uffiċjal li jwettaq l-ipproċessar jikkonforma l-operazzjonijiet ta’ pproċessar mad-dispożizzjonijiet tal-istess regolament, jekk ikun il-każ, b’mod speċifiku u f’terminu stabbilit (punt (d)), jew inkella timponi multa amministrattiva skont l-Artikolu 83 tal-GDPR, flimkien jew minflok il-miżuri msemmija f’dan l-Artikolu 58(2), skont il-karatteristiċi speċifiċi ta’ kull każ (punt (i)).

35

Għaldaqstant, il-proċedura ta’ lment hija maħsuba bħala mekkaniżmu li jista’ jissalvagwardja b’mod effikaċi d-drittijiet u l-interessi tas-suġġetti tad-data (sentenza tas‑7 ta’ Diċembru 2023, SCHUFA Holding (Rilaxx ta’ dejn li ma tħallasx lura), C‑26/22 u C‑64/22, EU:C:2023:958, punt 58).

36

F’dan il-każ, mit-talba għal deċiżjoni preliminari jirriżulta li l-HBDI eżamina fil-mertu l-ilment li tressaq quddiemu mir-rikorrent fil-kawża prinċipali u informah bl-eżitu tal-investigazzjoni. B’mod iktar speċifiku, il-HBDI kkonferma li kien seħħ ksur tad-data personali ta’ dan tal-aħħar fi ħdan il-Bank tat-tfaddil, li kien jikkonsisti fl-aċċess mhux awtorizzat għalih minn wieħed mill-impjegati tiegħu. Madankollu, fir-rigward tad-drittijiet ta’ konsultazzjoni tal-membri tal-persunal tal-Bank tat-tfaddil, il-HBDI ċaħad l-ilment imressaq mir-rikorrent fil-kawża prinċipali. Barra minn hekk, huwa kkonkluda li ma kienx hemm lok li jintervjeni kontra l-Bank tat-tfaddil skont l-Artikolu 58(2) tal-GDPR.

37

F’dan ir-rigward, għandu jiġi rrilevat li l-GDPR iħalli lill-awtorità superviżorja marġni ta’ evalwazzjoni fir-rigward tal-mod li bih hija għandha tirrimedja l-insuffiċjenza kkonstatata peress li l-Artikolu 58(2) tiegħu jagħti lil din l-awtorità s-setgħa li tadotta diversi miżuri korrettivi. Għalhekk, il-Qorti tal-Ġustizzja diġà ddeċidiet li l-għażla tal-mezz adegwat u neċessarju għandha ssir mill-awtorità superviżorja li għandha tagħmel din l-għażla billi tieħu inkunsiderazzjoni ċ-ċirkustanzi kollha tal-każ konkret u billi taġixxi bid-diliġenza kollha meħtieġa mill-missjoni tagħha li tiżgura l-osservanza sħiħa tal-GDPR (ara, f’dan is-sens, is-sentenza tas‑16 ta’ Lulju 2020, Facebook Ireland u Schrems, C‑311/18, EU:C:2020:559, punt 112).

38

Dan il-marġni ta’ evalwazzjoni huwa madankollu limitat min-neċessità li jiġi ggarantit livell koerenti u għoli ta’ protezzjoni tad-data personali permezz ta’ applikazzjoni rigoruża tar-regoli, kif jirriżulta mill-premessi 7 u 10 tal-GDPR.

39

Fir-rigward, b’mod partikolari, tal-multi amministrattivi msemmija fl-Artikolu 58(2)(i) tal-GDPR, mill-Artikolu 83(2) ta’ dan ir-regolament jirriżulta li dawn huma imposti, skont il-karatteristiċi speċifiċi għal kull każ, flimkien jew minflok miżuri oħra previsti fl-Artikolu 58(2). Barra minn hekk, dan l-Artikolu 83(2) jippreċiża li, sabiex jiġi deċiż jekk hemmx lok li tiġi imposta multa amministrattiva u sabiex jiġi deċiż l-ammont tagħha, l-awtorità superviżorja għandha tieħu debitament inkunsiderazzjoni, f’kull każ inkwistjoni, l-elementi li jinsabu fil-punti (a) sa (k) ta’ din id-dispożizzjoni, bħan-natura, il-gravità u t-tul tal-ksur.

40

Għaldaqstant, is-sistema ta’ sanzjonijiet prevista mil-leġiżlatur tal-Unjoni tippermetti lill-awtoritajiet superviżorji jimponu s-sanzjonijiet l-iktar xierqa u ġġustifikati skont iċ-ċirkustanzi ta’ kull każ (ara, f’dan is-sens, is-sentenza tal‑5 ta’ Diċembru 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punti 75 u 78), billi tittieħed inkunsiderazzjoni, kif tfakkar fil-punti 37 u 38 ta’ din is-sentenza, in-neċessità li tiġi żgurata l-osservanza sħiħa tal-GDPR, kif ukoll li jiġi ggarantit livell koerenti u għoli ta’ protezzjoni tad-data personali permezz ta’ applikazzjoni rigoruża tar-regoli.

41

Għaldaqstant, la mill-Artikolu 58(2) tal-GDPR u lanqas mill-Artikolu 83 tiegħu ma tista’ tiġi dedotta l-eżistenza ta’ obbligu fuq l-awtorità superviżorja li tadotta, fil-każijiet kollha, meta hija tikkonstata ksur ta’ data personali, miżura korrettiva, b’mod partikolari multa amministrattiva, peress li l-obbligu tagħha huwa, f’tali ċirkustanzi, li tirreaġixxi b’mod xieraq sabiex tirrimedja l-insuffiċjenza kkonstatata. F’dawn iċ-ċirkustanzi, kif irrileva l-Avukat Ġenerali fil-punt 81 tal-konklużjonijiet tiegħu, il-lanjant li d-drittijiet tiegħu ġew miksura ma għandux dritt suġġettiv sabiex l-awtorità superviżorja timponi multa amministrattiva fuq il-kontrollur.

42

Għall-kuntrarju, l-awtorità superviżorja hija obbligata tintervjeni meta l-adozzjoni ta’ waħda jew iktar mill-miżuri korrettivi previsti fl-Artikolu 58(2) tal-GDPR, fid-dawl taċ-ċirkustanzi kollha tal-każ konkret, tkun xierqa, neċessarja u proporzjonata sabiex tirrimedja l-insuffiċjenza kkonstatata u tiżgura l-osservanza sħiħa ta’ dan ir-regolament.

43

F’dan ir-rigward, ma huwiex eskluż li, b’mod eċċezzjonali u fid-dawl taċ-ċirkustanzi partikolari tal-każ konkret, l-awtorità superviżorja tista’ tastjeni milli tadotta miżura korrettiva minkejja li jkun ġie kkonstatat ksur ta’ data personali. Dan jista’ jkun il-każ, b’mod partikolari, meta l-ksur ikkonstatat ma jkunx ippersista, pereżempju meta l-kontrollur, li, bħala prinċipju, kien implimenta miżuri tekniċi u organizzattivi xierqa fis-sens tal-Artikolu 24 tal-GDPR, minn meta kellu għarfien ta’ dan il-ksur ikun ħa l-miżuri xierqa u neċessarji sabiex l-imsemmi ksur jintemm u ma jerġax iseħħ, fid-dawl tal-obbligi tiegħu, b’mod partikolari, skont l-Artikolu 5(2) u l-Artikolu 24 ta’ dan ir-regolament.

44

L-interpretazzjoni li tgħid li l-awtorità superviżorja, meta tikkonstata ksur ta’ data personali, ma hijiex obbligata tadotta fil-każijiet kollha miżura korrettiva skont l-Artikolu 58(2) tal-GDPR hija kkorroborata mill-għanijiet rispettivament ta’ dan l-Artikolu 58(2) kif ukoll tal-Artikolu 83 ta’ dan ir-regolament.

45

Fir-rigward tal-għan tal-Artikolu 58(2) tal-GDPR, mill-premessa 129 tiegħu jirriżulta li din id-dispożizzjoni għandha l-għan li tiżgura l-konformità tal-ipproċessar tad-data personali ma’ dan ir-regolament kif ukoll ir-regolarizzazzjoni ta’ sitwazzjonijiet ta’ ksur ta’ dan tal-aħħar sabiex dawn isiru konformi mad-dritt tal-Unjoni, permezz tal-intervent tal-awtoritajiet superviżorji nazzjonali (sentenza tal‑14 ta’ Marzu 2024, Újpesti Polgármesteri Hivatal, C‑46/23, EU:C:2024:239, punt 40).

46

Minn dan isegwi li l-adozzjoni ta’ miżura korrettiva tista’, b’mod eċċezzjonali u fid-dawl taċ-ċirkustanzi partikolari tal-każ konkret, ma tkunx meħtieġa, sakemm is-sitwazzjoni ta’ ksur tal-GDPR tkun diġà ġiet irregolarizzata u sakemm tiġi żgurata l-konformità tal-ipproċessar ta’ data personali ma’ dan ir-regolament mill-kontrollur tagħhom, u li tali astensjoni tal-awtorità superviżorja ma tkunx ta’ natura li tippreġudika r-rekwiżit ta’ applikazzjoni rigoruża tar-regoli, kif imfakkar fil-punt 38 ta’ din is-sentenza.

47

Fir-rigward tal-għan tal-Artikolu 83 tal-GDPR, dwar l-impożizzjoni ta’ multi amministrattivi, dan jikkonsisti, skont il-premessa 148 ta’ dan ir-regolament, fit-tisħiħ tal-applikazzjoni tar-regoli ta’ dan tal-aħħar. Madankollu, din l-istess premessa tistabbilixxi li, fil-każ ta’ ksur minuri tal-imsemmi regolament jew jekk il-multa amministrattiva li tista’ tiġi imposta tkun tikkostitwixxi piż sproporzjonat għal persuna fiżika, jastjenu milli jimponu multa amministrattiva u, minflokha, jagħtu ċanfira (ara, f’dan is-sens, is-sentenza tal‑5 ta’ Diċembru 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punti 76).

48

F’dan il-każ, mit-talba għal deċiżjoni preliminari jirriżulta li l-Bank tat-tfaddil innotifika lill-HBDI, konformement mal-Artikolu 33 tal-GDPR, bil-ksur tad-data personali tar-rikorrent fil-kawża prinċipali, li jirriżulta mill-aċċess mhux awtorizzat għal tali data minn wieħed mill-impjegati tiegħu. Barra minn hekk, hija indikat li kienu ttieħdu miżuri dixxiplinari kontra din l-impjegata u li t-tul taż-żamma tar-reġistru ta’ aċċess kien ser ikun is-suġġett ta’ eżami mill-ġdid. Huwa f’dawn iċ-ċirkustanzi li l-HBDI naqas milli jadotta miżura korrettiva skont l-Artikolu 58(2) tal-GDPR, u b’mod partikolari milli jimponi multa amministrattiva.

49

Peress li d-deċiżjonijiet fuq ilment adottati minn awtorità superviżorja huma suġġetti għal stħarriġ ġudizzjarju sħiħ (sentenza tas‑7 ta’ Diċembru 2023, SCHUFA Holding (Rilaxx ta’ dejn li ma tħallasx lura), C‑26/22 u C‑64/22, EU:C:2023:958, punt 70), hija l-qorti tar-rinviju li għandha tivverifika jekk il-HBDI pproċediex bl-ipproċessar tal-ilment ikkonċernat bid-diliġenza kollha meħtieġa u jekk, meta adotta d-deċiżjoni inkwistjoni fil-kawża prinċipali, il-HBDI osservax il-limiti tal-marġni ta’ evalwazzjoni mogħti lilu mill-Artikolu 58(2) tal-GDPR (ara, b’analoġija, is-sentenza tas‑7 ta’ Diċembru 2023, SCHUFA Holding (Rilaxx ta’ dejn li ma tħallasx lura), C‑26/22 u C‑64/22, EU:C:2023:958, punti 68 u 69 kif ukoll il-ġurisprudenza ċċitata).

50

Fid-dawl tal-kunsiderazzjonijiet kollha preċedenti, ir-risposta għad-domanda magħmula għandha tkun li l-Artikolu 57(1)(a) u (f), l-Artikolu 58(2) u l-Artikolu 77(1) tal-GDPR għandhom jiġu interpretati fis-sens li, fil-każ ta’ konstatazzjoni ta’ ksur ta’ data personali, l-awtorità superviżorja ma tkunx obbligata tadotta miżura korrettiva, b’mod partikolari multa amministrattiva, skont dan l-Artikolu 58(2), meta tali intervent ma jkunx xieraq, neċessarju jew proporzjonat sabiex tiġi rrimedjata l-insuffiċjenza kkonstatata u sabiex tiġi żgurata l-osservanza sħiħa ta’ dan ir-regolament.

Fuq l‑ispejjeż

51

Peress li l-proċedura għandha, fir-rigward tal-partijiet fil-kawża prinċipali, in-natura ta’ kwistjoni mqajma quddiem il-qorti tar-rinviju, hija dik il-qorti li tiddeċiedi fuq l-ispejjeż. L-ispejjeż sostnuti għas-sottomissjoni tal-osservazzjonijiet lill-Qorti tal-Ġustizzja, minbarra dawk tal-imsemmija partijiet, ma jistgħux jitħallsu lura.