I.

Introduzzjoni

1.

Permezz tal-appell tiegħu, il-Kontrollur Ewropew għall‑Protezzjoni tad-Data (iktar ’il quddiem il-“KEPD”) jitlob l‑annullament tas-sentenza tal-Qorti Ġenerali tal-Unjoni Ewropea tas‑26 ta’ April 2023, SRB vs KEPD (T‑557/20, iktar ’il quddiem is-“sentenza appellata”, EU:T:2023:219), li permezz tagħha l-Qorti Ġenerali annullat id-deċiżjoni emendata tal-KEPD tal‑24 ta’ Novembru 2020 (iktar ’il quddiem id-“deċiżjoni kontenzjuża”), dwar ħames ilmenti mressqa minn azzjonisti u kredituri affettwati mir-riżoluzzjoni bankarja tal-Banco Popular Español SA (iktar ’il quddiem “Banco Popular”) li jilmentaw li ma ġewx informati bit-trasferiment tad-data personali tagħhom.

2.

Din il-kawża tagħti lill-Qorti tal-Ġustizzja l-opportunità li tispjega, fil-kuntest ta’ data psewdonimizzata, il-kunċett ta’ “data personali” u l-obbligi li jirriżultaw minnu sabiex ikun hemm konformità mal-obbligi ta’ pproċessar ġust u trasparenti ta’ data.

II.

Il-kuntest ġuridiku

3.

Id-dispożizzjonijiet prinċipali tar-Regolament (UE) 2018/1725  ( 2 ) rilevanti fil-kuntest ta’ dan l-appell huma s-segwenti.

4.

Il-premessi 16 u 17 ta’ dan ir-regolament jaqraw kif ġej:

5.

L-Artikolu 3 tal-imsemmi regolament, intitolat “Definizzjonijiet”, jipprevedi fil-punti 1 u 6 tiegħu:

6.

L-Artikolu 4 tal-istess regolament, intitolat “Prinċipji relatati mal‑ipproċessar ta’ data personali”, jipprovdi, fil-paragrafu 1(a) tiegħu u fil-paragrafu 2 tiegħu:

7.

L-Artikolu 15 tar-Regolament 2018/1725, intitolat “Informazzjoni li għandha tiġi pprovduta meta d-data tinġabar mis-suġġett tad-data”, fil‑paragrafu 1(d) tiegħu jipprevedi:

III.

Il-fatti li wasslu għall-kawża

8.

Fis‑7 ta’ Ġunju 2017, il-Bord Uniku ta’ Riżoluzzjoni (iktar ’il quddiem “is-SRB”) adotta skema ta’ riżoluzzjoni fir-rigward tal-Banco Popular abbażi tar-Regolament (UE) Nru 806/2014 tal-Parlament Ewropew u tal-Kunsill tal‑15 ta’ Lulju 2014 li jistabbilixxi regoli uniformi u proċedura uniformi għar-riżoluzzjoni tal-istituzzjonijiet ta’ kreditu u ċerti ditti tal-investiment fil-qafas ta’ Mekkaniżmu Uniku ta’ Riżoluzzjoni u Fond Uniku għar-Riżoluzzjoni u li jemenda r-Regolament (UE) Nru 1093/2010  ( 3 ), approvata fl-istess jum permezz tad-Deċiżjoni tal‑Kummissjoni Ewropea  ( 4 ), li fil-prattika jfisser li l-istrumenti ta’ kapital tal-bank ġew imnaqqsa jew ikkonvertiti u mibjugħa permezz ta’ trasferiment ta’ azzjonijiet.

9.

B’konformità mal-Artikolu 20(16) sa (18) tar-Regolament Nru 806/2014, is-SRB talab lil Deloitte, bħala “persuna indipendenti”  ( 5 ), twettaq valwazzjoni tad-differenza fit-trattament sabiex jiġi stabbilit jekk l-azzjonisti u l-kredituri, affettwati b’dan il-mod mill-azzjoni ta’ riżoluzzjoni, kinux jibbenefikaw minn trattament aħjar li kieku dan l-istabbiliment kien suġġett għal proċedura normali ta’ insolvenza.

10.

Fl‑14 ta’ Ġunju 2018, Deloitte bagħtet din il-valwazzjoni tad‑differenza fit-trattament (iktar ’il quddiem il-“valwazzjoni 3”) lis‑SRB. Permezz ta’ deċiżjoni preliminari, is-SRB indika li, sabiex ikun jista’ jadotta deċiżjoni finali dwar il-ħtieġa jekk għandux jingħata jew le, lill-azzjonisti u lill-kredituri affettwati bir-riżoluzzjoni tal‑Banco Popular, kumpens skont l-Artikolu 76(1)(e) tar-Regolament Nru 806/2014, huwa beda l-proċedura relatata mad-dritt għal smigħ, li tinkludi l-ewwel fażi ta’ reġistrazzjoni, sabiex tiġi vverifikata l-eliġibbiltà tal‑partijiet li juru l-interess tagħhom, u t-tieni parti ta’ konsultazzjoni, li fil-qafas tagħha l-azzjonisti u l-kredituri affettwati ssottomettew il‑kummenti tagħhom fuq id-deċiżjoni preliminari tas-SRB, li magħha kien hemm annessa l-valwazzjoni 3.

11.

Id-data miġbura waqt il-fażi ta’ reġistrazzjoni, jiġifieri l-provi tal‑identità tal-parteċipanti u tal-proprjetà tal-istrumenti ta’ kapital ta’ Banco Popular, imnaqqsa jew ikkonvertiti u ttrasferiti, kienet aċċessibbli għal numru limitat ta’ membri tal-persunal tas-SRB inkarigati mill-ipproċessar ta’ din id-data sabiex jistabbilixxu l-eliġibbiltà tal‑parteċipanti. Din id-data ma kinitx aċċessibbli għall-membri tal‑persunal tas-SRB inkarigati mill-ipproċessar tal-kummenti riċevuti waqt il-fażi tal-konsultazzjoni, li matulha dawn irċevew biss kummenti identifikati permezz ta’ riferiment għal kodiċi alfanumeriku  ( 6 ) mogħti lil kull kumment sottomess permezz ta’ formola.

12.

Wara l-aggregazzjoni, il-filtrazzjoni awtomatika u l‑kategorizzazzjoni tal-kummenti, is-SRB bagħat lil Deloitte  ( 7 ) l‑kummenti relatati mal-valwazzjoni 3 hekk kif ġew iffiltrati, ikkategorizzati u aggregati. Il-kummenti mibgħuta lil Deloitte kienu jirrigwardaw biss dawk riċevuti matul il-fażi ta’ konsultazzjoni u kellhom kodiċi alfanumeriku, żviluppat għal finijiet ta’ awditjar sabiex is-SRB ikun jista’ jivverifika u eventwalment juri a posteriori li kull kumment kien ġie pproċessat u debitament meħud inkunsiderazzjoni. Permezz ta’ dan il-kodiċi, is-SRB kien l-uniku entità li seta’ jirrelata l-kummenti mad-data riċevuta waqt il-fażi ta’ reġistrazzjoni. Deloitte ma kellhiex u għad ma għandhiex aċċess għad-database miġbura waqt il-fażi ta’ reġistrazzjoni.

13.

Xi azzjonisti u kredituri affettwati (iktar ’il quddiem il-“persuni li ressqu l-ilmenti”) bagħtu, skont ir-Regolament 2018/1725, ħames ilmenti lill-KEPD minħabba li d-dikjarazzjoni ta’ kunfidenzjalità li tirrigwarda l‑ipproċessar tad-data personali ppubblikata mis-SRB ma kinitx tirreferi għall-fatt li d-data miġbura permezz tal-formola kienet ser tintbagħat lil Deloitte. Huma allegaw ksur, mis-SRB, tal-obbligu tiegħu ta’ informazzjoni relatat mal-ipproċessar tad-data personali skont dan ir‑regolament, previst fl-Artikolu 15(1)(d) tal-imsemmi regolament.

14.

Il-KEPD adotta d-deċiżjoni inizjali tal‑24 ta’ Ġunju 2020, annullata wara talba għal eżami mill-ġdid tas-SRB u ssostitwita, fl‑24 ta’ Novembru 2020, permezz tad-deċiżjoni kontenzjuża, li taqra kif ġej:

IV.

Is-sentenza appellata

15.

Permezz ta’ rikors ippreżentat fir-Reġistru tal-Qorti Ġenerali fl‑1 ta’ Settembru 2020 u permezz ta’ nota ta’ adattament ippreżentata fid‑29 ta’ Jannar 2021, is-SRB ippreżenta rikors, minn naħa waħda, għall-annullament tad-deċiżjoni kontenzjuża u, min-naħa l-oħra, għal dikjarazzjoni ta’ illegalità tad‑deċiżjoni inizjali tal-KEPD tal‑24 ta’ Ġunju 2020.

16.

Is-SRB qajjem żewġ motivi insostenn tal-ewwel kap ta’ talbiet  ( 8 ). L-ewwel motiv kien ibbażat fuq il-ksur tal-punt 1 tal-Artikolu 3 tar‑Regolament 2018/1725, inkwantu l-informazzjoni mibgħuta lil Deloitte ma kinitx tikkostitwixxi data personali u, it-tieni motiv, fuq il‑ksur tad-dritt għal amministrazzjoni tajba, stabbilit fl-Artikolu 41 tal‑Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea.

17.

Permezz tas-sentenza appellata, il-Qorti Ġenerali ddikjarat ammissibbli dan il-kap ta’ talbiet. Dwar il-mertu, hija laqgħet l-ewwel motiv tar-rikors u annullat id-deċiżjoni kontenzjuża, mingħajr ma eżaminat it-tieni motiv.

18.

Dwar l-ewwel motiv, il-Qorti Ġenerali qieset, l-ewwel nett, li l‑KEPD kien ikkunsidra li l-informazzjoni mibgħuta lil Deloitte “kienet relatata” ma’ persuna fiżika fis-sens tal-punt 1 tal-Artikolu 3 tar‑Regolament 2018/1725 billi bbaża ruħu fuq preżunzjoni, mingħajr ma eżamina la l-kontenut, la l-iskop, u lanqas l-effett tal-informazzjoni mibgħuta lil Deloitte  ( 9 ), bi ksur tas-sentenza Nowak  ( 10 ).

19.

It-tieni nett, fir-rigward tal-kundizzjoni prevista fil-punt 1 tal‑Artikolu 3 tar-Regolament 2018/1725 li l-informazzjoni għandha tirrelata ma’ persuna fiżika “identifikata jew identifikabbli”, il-Qorti Ġenerali qieset li, f’dan il-każ, kellu jkun l-KEPD li jeżamina jekk il‑kummenti mibgħuta lil Deloitte kinux jikkostitwixxu, fir-rigward tagħha, data personali. Skont is-sentenza appellata, il-KEPD illimita ruħu li jeżamina l-possibbiltà li jidentifika mill-ġdid l-awturi tal-kummenti mill‑perspettiva tas-SRB u mhux ta’ Deloitte. Għalhekk, peress li l‑KEPD naqas li jaċċerta jekk Deloitte kellhiex mezzi legali u konkreti fil-prattika li jippermettulha taċċedi għall-informazzjoni addizzjonali neċessarja sabiex jiġu identifikati mill-ġdid l-awturi tal‑kummenti, il-KEPD ma setax jikkonkludi li l-informazzjoni mibgħuta lil Deloitte kienet tikkostitwixxi informazzjoni li tirrelata ma’ “persuna fiżika identifikabbli” fis-sens tal-punt 1 tal-Artikolu 3 tar‑Regolament 2018/1725  ( 11 ).

V.

Il-proċedura quddiem il-Qorti tal-Ġustizzja u t-talbiet tal-partijiet

20.

Permezz ta’ att ippreżentat fir-Reġistru tal-Qorti tal-Ġustizzja fil‑5 ta’ Lulju 2023, il-KEPD ippreżenta appell kontra s-sentenza appellata. Permezz ta’ digriet tal-President tal-Qorti tal-Ġustizzja tad‑29 ta’ Novembru 2023  ( 12 ), il-Bord Ewropew għall-Protezzjoni tad-Data ġie awtorizzat jintervjeni insostenn tat-talbiet tal-KEPD u, permezz ta’ deċiżjoni tal‑20 ta’ Ottubru 2023, il-Kummissjoni Ewropea ġiet awtorizzata tintervjeni insostenn tas-SRB.

21.

Il-KEPD jitlob li l-Qorti tal-Ġustizzja jogħġobha:

–

tannulla s-sentenza appellata;

–

tagħti deċiżjoni definittiva dwar it-tilwima;

–

tikkundanna lis-SRB għall-ispejjeż tal-proċedura ta’ appell u tal‑proċedura quddiem il-Qorti Ġenerali.

22.

Il-Bord Ewropew għall-Protezzjoni tad-Data, insostenn tal-KEPD, jitlob li l-Qorti tal-Ġustizzja jogħġobha:

–

tannulla s-sentenza appellata;

–

tagħti deċiżjoni definittiva dwar it-tilwima billi tikkonferma d‑deċiżjoni kontenzjuża.

23.

Is-SRB jitlob li l-Qorti tal-Ġustizzja jogħġobha:

–

tiċħad l-appell;

–

sussidjarjament, tannulla d-deċiżjoni kontenzjuża;

–

sussidjarjament, tibgħat lura l-kawża quddiem il-Qorti Ġenerali, u

–

tikkundanna lill-KEPD għall-ispejjeż tal-proċedura ta’ appell u tal‑proċedura quddiem il-Qorti Ġenerali.

24.

Il-Kummissjoni Ewropea, insostenn tas-SRB, titlob li l-Qorti tal-Ġustizzja jogħġobha:

–

tiċħad l-appell;

–

tikkundanna lill-KEPD għall-ispejjeż.

VI.

Fuq l-appell

25.

Insostenn tal-appell tiegħu, il-KEPD, sostnut mill-Bord Ewropew għall-Protezzjoni tad-Data, jinvoka żewġ aggravji. L-ewwel wieħed huwa intiż sabiex jikkontesta l-interpretazzjoni mogħtija mill-Qorti Ġenerali dwar il-kunċett ta’ “data personali” fis-sens tal-Artikolu 3(1) u (6) tar‑Regolament 2018/1725, kif interpretat mill-ġurisprudenza tal-Qorti tal-Ġustizzja. It-tieni aggravju huwa bbażat fuq il-ksur tal-prinċipju ta’ responsabbiltà stipulat fl-Artikolu 4(2) u fl-Artikolu 26(1) ta’ dan ir-regolament.

A.

Fuq l-ewwel aggravju

26.

L-ewwel aggravju huwa maqsum f’żewġ partijiet. L-ewwel parti tikkonċerna l-kundizzjoni li l-informazzjoni kontenzjuża għandha “tkun relatata” ma’ persuna fiżika u t-tieni kundizzjoni li din il-persuna għandha tkun “identifikata jew identifikabbli”.

1.

Fuq l-ewwel aggravju, relatat mal‑kwistjoni dwar jekk l‑informazzjoni “hijiex relatata” ma’ persuna fiżika

a)

L-argumenti tal-partijiet

27.

Il-KEPD, sostnut mill-Bord Ewropew għall-Protezzjoni tad-Data, isostni li l-Qorti Ġenerali wettqet żball inkwantu ddeċidiet li l‑KEPD kien ibbaża ruħu fuq preżunzjoni li tikkonċerna l‑interpretazzjoni tal-kundizzjoni li l-informazzjoni mibgħuta lil Deloitte kienet relatata ma’ persuna fiżika, fis-sens tal-punt 1 tal-Artikolu 3 tar‑Regolament 2018/1725. Fl-opinjoni tiegħu, fiċ-ċirkustanzi ta’ dan il‑każ, ma kienx meħtieġ eżami iktar iddettaljat min-naħa tiegħu.

28.

Is-SRB isostni, min-naħa tiegħu, li kif iddeċidiet il-Qorti Ġenerali, il-KEPD sempliċement indika li l-kummenti kontenzjużi, prodotti mill-persuni li ressqu l-ilmenti waqt il-fażi ta’ konsultazzjoni tal-proċedura relatata mad-dritt għal smigħ, kienu jirriflettu l-opinjonijiet jew il-perspettivi tagħhom filwaqt li huwa kellu jeżamina jekk l-informazzjoni mibgħuta lil Deloitte kinitx marbuta ma’ persuna partikolari minħabba l-kontenut, l-iskop jew l-effett tagħha, kif tirrikjedi s-sentenza Nowak.

b)

Evalwazzjoni

29.

Hemm lok li jitfakkar li l-Qorti tal-Ġustizzja repetutament iddeċidiet li l-użu tal-espressjoni “kwalunkwe informazzjoni” fid‑definizzjoni tal-kunċett ta’ “data personali”, jirrifletti l-għan tal‑leġiżlatur tal-Unjoni li jagħti sens wiesa’ lil dan il-kunċett, li jinkludi potenzjalment kull tip ta’ informazzjoni  ( 13 ), kemm oġġettiva kif ukoll suġġettiva, fil-forma ta’ parir jew ta’ evalwazzjonijiet, bil-kundizzjoni madankollu li din “tirrigwarda” l-persuna inkwistjoni.

30.

F’dan ir-rigward, informazzjoni tikkonċerna persuna fiżika identifikata jew identifikabbli meta, minħabba l-kontenut tagħha, l-iskop tagħha jew l-effett tagħha, l-informazzjoni tkun “marbuta” ma’ persuna partikolari  ( 14 ).

31.

Fir-rigward tal-opinjonijiet jew tal-evalwazzjonijiet, bħall‑kummenti tal-persuni li ressqu l-ilmenti inkwistjoni fil-kawża, jidhirli li huwa rilevanti li ssir distinzjoni sabiex jiġi eżaminat jekk l-imsemmija opinjonijiet jew evalwazzjonijiet humiex “relatati” ma’ persuna jew persuni msemmija fit-test tal-opinjoni jew tal-evalwazzjoni, jew jekk, bħal f’dan il-każ, għandux jiġi stabbilit jekk humiex relatati mal-awtur tagħhom. Fl‑ewwel każ, sabiex jiġi konkluż li teżisti informazzjoni relatata mal‑persuna li hija s-suġġett tal-evalwazzjoni, hemm lok li jiġi analizzat jekk il-kontenut, l-iskop jew l-effett tal-evalwazzjoni jikkonċernawx din il-persuna. Mill-banda l-oħra, fit-tieni każ, sabiex jiġi stabbilit jekk l‑evalwazzjoni hijiex relatata mal-persuna li tkun ħarġitha, jidhirli li jista’ jiġi preżunt li dan huwa l-każ u li opinjoni jew evalwazzjoni hija neċessarjament relatata mal-awtur tagħha.

32.

B’hekk, is-sentenza Nowak kienet tirrigwarda każ fejn essenzjalment ġiet evalwata l-informazzjoni li kienet tinsab f’kopja ta’ eżami. Għalhekk kien hemm żewġ suġġetti tad-data: il-kandidat u l‑eżaminatur. Huwa veru li l-Qorti tal-Ġustizzja eżaminat il-kontenut, l-iskop u l-effett tat-tweġibiet tal-kandidat sabiex minnhom tiddeduċi li kienu jikkonċernawh. Minkejja dan, fir-rigward b’mod iktar partikolari tal-kummenti tal-eżaminatur, li kienu jirriflettu l-opinjoni tiegħu jew l‑evalwazzjoni tiegħu  ( 15 ), minkejja li l-Qorti tal-Ġustizzja eżaminat il‑kontenut, l-iskop u l-effett tal-informazzjoni li kienet tinsab fil-kopja sabiex tikkonkludi li dawn l-evalwazzjonijiet kienu relatati mal-kandidat, hija ma wettqitx tali eżami sabiex tikkunsidra li dawn kienu jikkostitwixxu informazzjoni li tikkonċerna lill-eżaminatur li kien l‑awtur tagħhom  ( 16 ). Fl-opinjoni tiegħi, ma jistax għalhekk jiġi totalment eskluż li tista’ tiġi applikata preżunzjoni (sempliċi) meta ssir evalwazzjoni dwar jekk opinjoni jew evalwazzjoni jew, bħal f’dan il-każ, kumment, humiex “relatati” mal‑awtur tiegħu.

33.

Minn dan nikkonkludi li, fin-nuqqas ta’ prova għall-kuntrarju, il‑kummenti inkwistjoni f’dan il-każ, peress li jirriżultaw minn persuni li ressqu l-ilmenti u li juru l-“loġika u r-raġunament tagħhom”, biex b’hekk jirriflettu l-espressjoni tal‑“opinjoni suġġettiva” tagħhom, kienu neċessarjament “jikkonċernaw” lill-imsemmija persuni li ressqu l-ilmenti, irrispettivament mill-iskop jew mill-effett tal‑kummenti tagħhom.

34.

Fi kwalunkwe każ, anki fl-assenza ta’ tali preżunzjoni f’dan il-każ, jiena tal-opinjoni li l-kummenti inkwistjoni huma “relatati” mal-persuni li ressqu l-ilmenti minħabba l-kontenut, l-iskop u l-effett tagħhom.

35.

F’dan ir-rigward, is-SRB isostni li l-argumenti bbażati fuq l-iskop u fuq il-kuntest tal-kummenti inkwistjoni huma ineffettivi minħabba li ma ġewx eżaminati fid-deċiżjoni kontenzjuża, inammissibbli għaliex jinkludu allegazzjoni fattwali ġdida u, fi kwalunkwe każ, żbaljati.

36.

Dan l-argument ma jikkonvinċinix. Fil-fatt, kemm l-eżami mwettaq mill-KEPD fid-deċiżjoni kontenzjuża kif ukoll l-evalwazzjoni tal-Qorti Ġenerali jaqgħu f’kuntest ġuridiku li ġie kkunsidrat u li jsemmi b’mod ċar l-iskop u l-effett tal-kummenti inkwistjoni, prodotti fil-qafas tal-proċedura relatata mad-dritt għal smigħ. Dawn l-argumenti dwar l-iskop u l-effett tal-kummenti inkwistjoni huma għalhekk effettivi u ammissibbli.

37.

Barra minn hekk, fuq il-mertu, mill-kuntest ġuridiku applikabbli jirriżulta li l-iskop tal-proċedura relatata mad-dritt għal smigħ, li fil‑kuntest tagħha ġew prodotti l-kummenti inkwistjoni, kien sabiex jippermetti lill-azzjonisti u lill-kredituri affettwati jikkontribwixxu għall‑proċedura, b’mod partikolari sabiex is-SRB jkollu għad‑dispożizzjoni tiegħu l-informazzjoni neċessarja kollha sabiex jieħu deċiżjoni finali dwar il-ħtieġa jew le li jingħata kumpens lill-azzjonisti u lill-kredituri, affettwati bir-riżoluzzjoni tal-Banco Popular, bl-applikazzjoni tal-prinċipju li ebda kreditur ma jista’ jiġi ttrattat agħar milli f’każ ta’ stralċ skont proċedura normali ta’ insolvenza  ( 17 ). Barra minn hekk, dawn il-kummenti, la darba ġew meħuda inkunsiderazzjoni mis-SRB, seta’ jkollhom effett fuq l-interessi u fuq id‑drittijiet tal-persuni li ressqu l-ilmenti fir-rigward ta’ kumpens finanzjarju.

38.

Minn dan nikkonkludi li l-kummenti inkwistjoni huma relatati mas-suġġetti tad-data f’dan il-każ, inkluż minħabba l-iskop tagħhom u l-effett tagħhom.

39.

Inżid li, huwa veru, li l-kummenti inkwistjoni, kif ittrasferiti lil Deloitte, kienu ġew “iffiltrati, ikkategorizzati u aggregati”, b’tali mod li, kif jirriżulta mill-fatti stabbiliti mill-Qorti Ġenerali  ( 18 ), il-kummenti individwali ma setgħux jiġu distinti fi ħdan l-istess tema: madankollu, jista’ jiġi ammess li, anki jekk aggregati, dawn il-kummenti kollettivi, jirriflettu, fil-kontenut tagħhom, perspettivi personali li jirrigwardaw il‑valwazzjoni 3. Effettivament, huma jikkostitwixxu ġabra ta’ opinjonijiet li, bħala tali, jikkostitwixxu informazzjoni li hija relatata mal‑persuni li esprimewhom. Il-filtrazzjoni tagħhom, il-kategorizzazzjoni tagħhom u l‑aggregazzjoni tagħhom ma jibdlux din il-konstatazzjoni, inkella jkun biżżejjed, sabiex tiġi skartata l-kundizzjoni ta’ informazzjoni “relatata” ma’ persuna fiżika, li jiġu aggregati diversi perspettivi. Il-fatt li ma tistax issir distinzjoni, fi ħdan din il-ġabra ta’ kummenti, bejn l-opinjonijiet individwali differenti jidhirli li jaqa’ iktar taħt it-tieni kundizzjoni kumulattiva, relatata mal-identifikabbiltà tas-suġġetti tad-data, eżaminata fil-qafas tat-tieni parti ta’ dan l-aggravju, milli minn dik li tirrikjedi li l-kumment ikun “marbut” ma’ persuna fiżika.

40.

F’dawn iċ-ċirkustanzi, jiena tal-opinjoni li l-evalwazzjoni tal‑Qorti Ġenerali tista’ titqies bħala vvizzjata bi żball ta’ liġi f’dan ir-rigward, inkwantu kkunsidrat li l-KEPD ma kienx issodisfa l‑eżami mitlub mis-sentenza Nowak sabiex jiġi konkluż li l-kummenti inkwistjoni kienu “relatati” ma’ persuni fiżiċi, fis-sens tal-punt 1 tal‑Artikolu 3 tar-Regolament 2018/1725.

41.

Jekk il-Qorti tal-Ġustizzja tiddeċiedi li tiċħad din l-ewwel parti u tiddeċiedi li l-kummenti psewdonimizzati inkwistjoni ma kinux relatati mal-awturi tagħhom, l-eżami tat-tieni parti tal-aggravju jsir superfluwu, inkwantu, skont il-punt 1 tal-Artikolu 3 tar‑Regolament 2018/1725, din hija kundizzjoni neċessarja għall‑eżistenza ta’ data personali, kumulattiva ma’ dik tal‑identifikabbiltà tas-suġġetti tad-data, eżaminata iktar ’il quddiem.

2.

Fuq it-tieni parti, relatata mal-kundizzjoni tal-identifikabbiltà tas-suġġetti tad-data

42.

Il-KEPD u l-Bord Ewropew għall-Protezzjoni tad-Data jsostnu, essenzjalment, li l-Qorti Ġenerali wettqet żewġ żbalji, l-ewwel wieħed li jirrigwarda l-kunċett ta’ “psewdonimizzazzjoni” u t-tieni wieħed li jirrigwarda l-interpretazzjoni tas-sentenza Breyer  ( 19 ), li s-SRB u l-Kummissjoni jikkontestaw.

a)

Fuq l-ewwel ilment, ibbażat fuq l-iżball li jirrigwarda l-effetti tal-psewdonimizzazzjoni

43.

Dan l-ilment juri l-eżistenza ta’ żewġ approċċi differenti ferm tal‑portata tal-kamp ta’ applikazzjoni tar-regoli tal-protezzjoni tad-data. Għandha tiġi inkluża awtomatikament id-data psewdonimizzata sempliċement sabiex is-suġġetti tad-data jibqgħu identifikabbli, tkun xi tkun l-aċċessibbiltà għad-data addizzjonali ta’ identifikazzjoni, jew għandu jiġi kkunsidrat li, wara l-proċess ta’ psewdonimizzazzjoni, id-data li tkunx personali ħlief għal persuni li jistgħu raġonevolment jidentifikaw lis-suġġetti tad-data?

1)

L-argumenti tal-partijiet

44.

Il-KEPD u l-Bord Ewropew għall-Protezzjoni tad-Data jsostnu essenzjalment li d-data psewdonimizzata tibqa’ data personali minħabba l-unika raġuni li s-suġġetti tad-data jibqgħu identifikabbli peress li l‑informazzjoni li tippermetti li jiġu identifikati tkompli teżisti. L-approċċ tal-Qorti Ġenerali huwa żbaljat inkwantu jippermetti li d-data psewdonimizzata titqies bħala data anonimizzata fir-rigward tar-riċevitur, u dan huwa riskju għall-protezzjoni tas-suġġetti tad-data u jġib miegħu konfużjoni bejn il-psewdonimizzazzjoni u l‑anonimizzazzjoni. Tali approċċ, kuntrarju għat-test u għall-għan tar‑Regolament 2018/1725, jippermetti lill-persuna responsabbli għall-ipproċessar tneħħi b’mod skorrett id-data personali mill-kamp ta’ applikazzjoni tad-dritt tal-Unjoni fil-qasam tal‑protezzjoni ta’ tali data.

45.

Is-SRB u l-Kummissjoni jsostnu, min-naħa tagħhom, li d-data psewdonimizzata tibqa’ data personali għall-persuna responsabbli għall-ipproċessar li psewdonimizzatha iżda li, għar-riċevituri, hemm lok li tiġi eżaminata n‑natura identifikabbli tas-suġġetti tad-data. Barra minn hekk, anki jekk il-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725 ma jispeċifikax min għandu jkun f’pożizzjoni li jidentifika s-suġġett tad-data, fid‑dawl tal-premessa 16 u fil-kuntest tal-Artikolu 15(1)(d) ta’ dan ir-regolament, inkwistjoni hawnhekk, hija l-perspettiva tar-riċevitur li tkun dik importanti. Skont dawn l-artikoli, jekk dan ir-riċevitur ma jirċevix data personali, is-suġġetti tad-data ma għandhomx interess li jiġu infurmati dwar it‑trasferiment ta’ data għaliex id-drittijiet tagħhom ma humiex affettwati.

2)

Evalwazzjoni

46.

Qabelxejn, huwa utli li jitfakkar li l-psewdonimizzazzjoni hija pproċessar applikat għad-data personali sabiex, konformement mal-premessa 17 tar‑Regolament 2018/1725, “tnaqqas ir-riskji” ta’ korrelazzjoni ta’ sett ta’ data mal-identità ta’ suġġett tad-data u “tgħin lill-kontrolluri u lill-proċessuri jissodisfaw l-obbligi tagħhom tal-protezzjoni tad-data.”

47.

Il-punt 6 tal-Artikolu 3 tar-Regolament 2018/1725 jiddefinixxi għalhekk il‑psewdonimizzazzjoni bħala “l-ipproċessar ta’ data personali b’tali mod li d-data personali ma tkunx tista’ tibqa’ tiġi attribwita għal suġġett tad‑data speċifiku mingħajr l-użu ta’ informazzjoni addizzjonali, dment li tali informazzjoni addizzjonali tinżamm separatament u tkun soġġetta għal miżuri tekniċi u organizzattivi biex jiġi żgurat li d-data personali ma tiġix attribwita għal persuna fiżika identifikata jew identifikabbli”  ( 20 ).

48.

Il-psewdonimizzazzjoni għalhekk ma hijiex element tad‑definizzjoni ta’ data personali, li hija ddefinita min-naħa tagħha, fil‑punt 1 tal-Artikolu 3 tar-Regolament 2018/1725, fir-rigward tal‑kunċett ta’ “identifikabbiltà” tas-suġġett tad-data. Barra minn hekk, kif il-Kummissjoni indikat fin-nota ta’ intervent tagħha, ir-regolament jiddefinixxi l-kunċett ta’ “psewdonimizzazzjoni”, u jirreferi għall-proċess ta’ implimentazzjoni ta’ miżura ta’ salvagwardja jew miżura teknika u organizzazzjonali, iżda mhux il-kunċett ta’ “data psewdonimizzata”.

49.

Din l-interpretazzjoni hija kkonfermata mill-qari flimkien tal‑punt 6 tal-Artikolu 3 u tal-premessa 16 tal-imsemmi regolament, li l‑ewwel sentenza tagħha tfakkar li “il-prinċipji ta’ protezzjoni tad-data jenħtieġ li japplikaw għal kwalunkwe informazzjoni dwar persuna fiżika identifikata jew identifikabbli.”

50.

Barra minn hekk, il-premessa 16 tar-Regolament 2018/1725 jeħtieġ li tiġi analizzata iktar fid-dettall  ( 21 ). Fil-fatt, it-tieni sentenza tagħha tistipula li “jenħtieġ li d-data personali li tkun għaddiet minn psewdonimizzazzjoni, li tkun tista’ tiġi attribwita lil persuna fiżika bl-użu ta’ informazzjoni addizzjonali, titqies bħala informazzjoni dwar persuna fiżika identifikabbli”. Isegwu sussegwentement it-tielet u r-raba’ sentenza li jispeċifikaw il-kontenut ta’ dan ir-rekwiżit ta’ identifikabbiltà.

51.

Mill-kliem ta’ dawn id-dispożizzjonijiet, jiena niddeduċi li l‑psewdonimizzazzjoni tħalli miftuħa l-possibbiltà li s-suġġetti tad-data ma jkunux identifikabbli, inkella l-formulazzjoni ta’ din il-premessa 16 ma jkollhiex skop. Inżid li l-aħħar sentenzi tal-imsemmija premessa li jikkonċernaw l‑anonimizzazzjoni jikkonfermaw din l-interpretazzjoni: huma jeskludu d-data anonimizzata (jew li saret anonima) mill-kamp ta’ applikazzjoni tar-Regolament 2018/1725  ( 22 ), iżda ma jeskludux minnha d-data psewdonimizzata ħlief jekk is-suġġetti tad-data ma jkunux identifikabbli. F’każ li jkun impossibbli li l-imsemmija suġġetti jiġu identifikati, dawn għalhekk ikunu legalment meqjusa bħala protetti biżżejjed mill-proċess ta’ psewdonimizzazzjoni, minkejja li d-data addizzjonali ta’ identifikazzjoni ma tkunx tħassret kompletament.

52.

Fi kliem ieħor, ma hijiex kwistjoni li titnaqqas awtomatikament id-data psewdonimizzata mill-kamp ta’ appplikazzjoni ta’ dan ir‑regolament  ( 23 ). Madankollu, fid-dawl tal-premessa 16 ta’ dan tal-aħħar, ma jistax jiġi eskluż li jista’ jiġi evitat li tali data, taħt ċerti kundizzjonijiet, taqa’ taħt il-kunċett ta’ “data personali”.

53.

Kuntrarjament għal dak li jsostni l-KEPD, tali approċċ ma jidhirx li huwa kuntrarju għall-għan li jiġi ggarantit livell għoli ta’ protezzjoni tad-data personali, b’mod partikolari fid-dawl tar-rekwiżiti ta’ identifikabbiltà imposti mid-dispożizzjonijiet applikabbli, minn naħa waħda, u fid-dawl tal-interpretazzjoni tagħhom mill-ġurisprudenza, min-naħa l-oħra.

54.

L-ewwel nett, il-premessa 16 tar‑Regolament 2018/1725 tirreferi għall-identifikabbiltà tal-persuna responsabbli għall-ipproċessar “jew minn kwalunkwe persuna oħra”: dan il-kunċett wiesa’, għalkemm mhux bla limitu  ( 24 ), jaqa’ f’approċċ li jipproteġi d-data personali.

55.

Bl-istess mod, din il-premessa 16 tipprevedi li hemm lok li jiġu kkunsidrati l-mezzi li jistgħu raġonevolment jintużaw sabiex jidentifikaw, direttament jew indirettament, persuna fiżika billi jiġu kkunsidrati l‑fatturi oġġettivi kollha, bħall-ispejjeż tal-identifikazzjoni u l-ammont ta’ żmien meħtieġ għall-identifikazzjoni, filwaqt li jitqiesu t-teknoloġiji disponibbli fil-mument tal-ipproċessar u l-iżviluppi tagħhom, li tikkostitwixxi definizzjoni wiesgħa u li tipproteġi d-data personali.

56.

It-tieni nett, l-interpretazzjoni mill-ġurisprudenza ta’ dan il‑kunċett ta’ “identifikabbiltà”, ibbażat fuq ir-riskju ta’ identifikazzjoni mill-ġdid tas-suġġetti tad-data, tippermetti wkoll applikazzjoni wiesgħa tal‑kunċett ta’ “data personali”. B’hekk, il-Qorti tal-Ġustizzja kklassifikat b’mod sistematiku bħala “data personali”, id-data li, minkejja li sseparata mid-data ta’ identifikazzjoni f’idejn xi ħadd ieħor, setgħet, fil-kuntest inkwistjoni, iġġib magħha riskju li s-suġġetti tad-data jiġu identifikati mill-ġdid  ( 25 ).

57.

Għalhekk, huwa biss jekk ir-riskju huwa ineżistenti jew insinjifikattiv  ( 26 ) li data tista’ legalment tevita li tiġi kklassifikata bħala “data personali”.

58.

L-argumenti tal-KEPD u tal-Bord Ewropew għall-Protezzjoni tad‑Data li jirrigwardaw il-perikoli li jirriżultaw minn interpretazzjoni ristretta wisq ta’ data personali ma jikkonvinċunix. Fil-fatt, il-fatt li r‑regoli li jirriżultaw mir-Regolament 2018/1725 ma japplikawx għad‑data relatata ma’ persuni mhux identifikabbli ma jipprekludix, jekk ikun il-każ, ir-responsabbiltà legali tal-entitajiet li jkunu fl-oriġini ta’ aġir kundannabbli, pereżempju f’każ ta’ żvelar ta’ data li jirriżulta f’dannu. Min-naħa l-oħra, jidhirli sproporzjonat li jiġu imposti fuq entità, li ma tistax b’mod raġonevoli tidentifika s-suġġetti tad-data, obbligi li jirriżultaw mir-Regolament 2018/1725  ( 27 ), obbligi li din l-entità ma tistax, ipotetikament, tosserva jew li jobbligawha speċifikament li tipprova tidentifika s-suġġetti tad-data.

59.

Fid-dawl ta’ dawn il-kunsiderazzjonijiet, jekk tiġi analizzata t-tilwima fir-rigward tad-data kif ittrasferita lil Deloitte, jiena tal‑opinjoni li, kuntrarjament għal dak li jsostni l-KEPD, għandu jiġi stabbilit jekk l-ipproċessar ta’ psewdonimizzazzjoni tad-data inkwistjoni kienx b’saħħtu biżżejjed sabiex jiġi konkluż li l-persuni li ressqu l-ilmenti, awturi tal‑informazzjoni mibgħuta lil Deloitte, ma kinux raġonevolment identifikabbli. Fi kliem ieħor, f’dan il-kuntest, jekk Deloitte kellha mezzi raġonevoli sabiex tidentifika lill-imsemmija persuni li ressqu l-ilmenti, dan jista’ jitqies bħala pproċessar ta’ data personali.

60.

L-ewwel ilment imqajjem mill-KEPD għandu għalhekk, fl‑opinjoni tiegħi, jiġi miċħud.

b)

Fuq it-tieni ilment, ibbażat fuq l-iżball fil-paragun magħmul mas-sentenza Breyer

1)

L-argumenti tal-partijiet

61.

Skont il-KEPD, sostnut mill-Bord Ewropew għall-Protezzjoni tad‑Data, id-data psewdonimizzata inkwistjoni hija data personali għas‑SRB u, għalhekk, l-obbligu ta’ informazzjoni fir-rigward tas-suġġetti tad-data, li tirrigwarda ir-riċevitur, kien impost fuq is‑SRB. Huwa jsostni, essenzjalment, li l-Qorti Ġenerali interpretat b’mod żbaljat is-sentenza Breyer li kienet tirrigwarda sitwazzjoni fattwali differenti.

62.

Skont is-SRB, sostnuta mill-Kummissjoni, mill-banda l-oħra, il‑paragun mas-sentenza Breyer huwa rilevanti u jwassal sabiex jiġi deċiż li l-obbligu ta’ informazzjoni japplika biss jekk id-data ttrasferita hija data personali mill-perspettiva tar-riċevitur, hawnhekk Deloitte, u dan, kif iddeċidiet b’mod korrett il-Qorti Ġenerali, ma ġiex ipprovat f’dan il‑każ.

2)

Evalwazzjoni

63.

Jiena tal-opinjoni li, l-obbligu ta’ informazzjoni, previst mill‑Artikolu 15(1)(d) tar-Regolament 2018/1725, u l-paralleliżmu mas‑sentenza Breyer iwasslu, f’dan il-każ, għal soluzzjoni differenti minn dik tal-Qorti Ġenerali, kif ser nuri fil-qafas tal-analiżi ta’ dan l‑ilment.

64.

L-Artikolu 4(1)(a) tar-Regolament 2018/1725 jirrikjedi pproċessar ta’ data b’mod legali, ġust u trasparenti fir-rigward tas-suġġett tad-data.

65.

B’mod partikolari, l-Artikolu 15(1)(d) ta’ dan ir-regolament jipprovdi li, meta data personali relatata ma’ suġġett tad-data tinġabar mingħand dan is-suġġett, il-persuna responsabbli għall-ipproċessar għandha tinforma lis-suġġetti tad-data, “fil-ħin li tinkiseb id-data personali”, bir-riċevituri eventwali ta’ din id-data. B’hekk jidher li din l-informazzjoni għandha tingħata mill-persuna responsabbli għall-ipproċessar immedjatament, jiġifieri fil-mument tal-ġbir tad‑data  ( 28 ).

66.

L-importanza tal-osservanza ta’ tali obbligu ta’ informazzjoni hija kkonfermata wkoll fil-premessa 35 tar-Regolament 2018/1725, li tistipula li l-prinċipju ta’ pproċessar ġust u trasparenti jirrikjedi li s-suġġett tad-data jkun informat bl-eżistenza tal-attività tal‑ipproċessar u l-finijiet tagħha, filwaqt li huwa enfasizzat li l-persuna responsabbli għall-ipproċessar għandha tipprovdi kwalunkwe informazzjoni ulterjuri li tkun meħtieġa biex jiġi żgurat ipproċessar ġust u trasparenti, filwaqt li jitqiesu ċ‑ċirkustanzi speċifiċi u l-kuntest li fih tiġi pproċessata d-data personali  ( 29 ).

67.

Tali obbligu ta’ informazzjoni huwa iktar u iktar importanti peress li l-validità tal-kunsens mogħti mis-suġġett tad-data tiddependi, fost l-oħrajn, minn jekk din il-persuna kinitx kisbet, minn qabel, l‑informazzjoni li għaliha kellha dritt fid-dawl taċ-ċirkustanzi kollha tal‑ipproċessar tad-data inkwistjoni, skont l-Artikoli 14 u 15 tar‑Regolament 2018/1725, u li tippermettilha tagħti kunsens b’għarfien sħiħ tal-kwistjoni  ( 30 ).

68.

Inżid li l-unika eċċezzjoni għal dan l-obbligu ta’ informazzjoni, prevista fl-Artikolu 15(4) tar-Regolament 2018/1725, tirrigwarda l-ipoteżi li fiha s-suġġett tad-data diġà jkollu l-informazzjoni inkwistjoni.

69.

F’dan il-każ, jiena niddeduċi li, dan l-obbligu ta’ informazzjoni jaqa’ fil-qafas tar-relazzjoni legali li teżisti bejn is-suġġetti tad-data, hawnhekk il-persuni li ressqu l-ilmenti, minn naħa waħda, u s-SRB bħala persuna responsabbli għall-ipproċessar, min‑naħa l-oħra, u mhux fil-qafas tar-relazzjoni bejn is-SRB u r-riċevitur, jiġifieri Deloitte. L-obbligu ta’ informazzjoni għandu għalhekk bħala suġġett id-data bħal dik miżmuma mis-SRB qabel it-trasferiment lil Deloitte. Issa, ma huwiex ikkontestat li din hija data personali, peress li s-SRB iżomm il-kummenti u l-bażi ta’ identifikazzjoni tal-persuni li għamluhom.

70.

Tali approċċ tal-“perspettiva rilevanti”  ( 31 ) iwassalni għalhekk għal soluzzjoni differenti minn dik tal-Qorti Ġenerali, anki jekk isir il-paragun mas-sentenza Breyer.

71.

Infakkar li, fil-kawża li minnha oriġinat it-talba għad-deċiżjoni preliminari magħmula f’din is-sentenza, P. Breyer ried jipprojbixxi lill‑persuna responsabbli għall-ipproċessar (ir-Repubblika Federali tal-Ġermanja) milli żżomm l‑indirizz IP dinamiku tiegħu. L-informazzjoni addizzjonali li kienet tippermetti l-identifikazzjoni tiegħu permezz tal-indirizz IP marbut mal‑kompjuter tiegħu ma kinitx f’idejn il-persuna responsabbli għall-ipproċessar, iżda f’idejn il‑fornitur tal-aċċess għall-internet. Il-kwistjoni kienet għalhekk jekk l‑indirizz IP dinamiku miżmum mill-persuna responsabbli għall-ipproċessar setax jiġi kklassifikat bħala “data personali” u, għaldaqstant, fil-qafas tar-relazzjoni legali bejn P. Breyer u l-imsemmija persuna responsabbli għall-ipproċessar, jiskattaw obbligi f’termini ta’ żamma fuq dan tal-aħħar, minkejja li l-elementi ta’ identifikazzjoni ta’ P. Breyer kienu f’idejn persuna oħra u mhux f’idejn il-persuna responsabbli għall-ipproċessar. Essenzjalment, ġie deċiż li l-persuna responsabbli għall-ipproċessar, minkejja li ma kellhiex l-informazzjoni addizzjonali ta’ identifikazzjoni, setgħet b’mod raġonevoli jkollha aċċess għaliha u l-indirizz IP dinamiku għalhekk ġie kklassifikat bħala “data personali”.

72.

F’dan il-każ, kif imfakkar preċedentement  ( 32 ), l-obbligu ta’ informazzjoni jaqa’ fil-kuntest tar-relazzjoni bejn is-suġġetti tad-data (il-persuni li ressqu l-ilmenti) u l-persuna responsabbli għall-ipproċessar (is-SRB): huwa meta d-data inkwistjoni tinġabar mis-SRB u, f’dak li jirrigwarda b’mod partikolari l‑informazzjoni dwar ir-riċevitur, mhux iktar tard minn meta jkun magħruf, li jidħol l-obbligu ta’ informazzjoni. Meta jseħħ dan il-mument, id-data inkwistjoni hija data personali f’idejn is-SRB, li jżomm data addizzjonali ta’ identifikazzjoni. Fid-dawl tal-obbligu ta’ informazzjoni inkwistjoni u fid-dawl tal-mument li fih jidħol fis-seħħ, id-data inkwistjoni kienet tikkostitwixxi għalhekk data personali, irrispettivament minn jekk kinitx identifikabbli minn Deloitte, li ma hijiex involuta la fir-relazzjoni legali bejn il-persuni li ressqu l-ilmenti u s-SRB, l-unika waħda rilevanti, u lanqas b’dan l-obbligu ta’ informazzjoni li jaqa’ fuq is-SRB.

73.

Huwa għalhekk li l-paralleliżmu mas-sentenza Breyer jidhirli li għandu jitqiegħed f’perspettiva f’dan il-każ.

74.

Minn dan isegwi li l-obbligu ta’ informazzjoni kien jaqa’ fuq is‑SRB bħala l-persuna responsabbli għall-ipproċessar u minħabba r-relazzjoni tiegħu mal-persuni li ressqu l-ilmenti, li mingħandhom huwa ġabar id-data inkwistjoni, u dan irrispettivament min-natura personali jew le tad-data kif ittrasferita f’idejn Deloitte.

75.

L-argument tas-SRB, repetut waqt is-seduta, li l-perspettiva tar‑riċevitur hija rilevanti għaliex għandu jiġi vverifikat jekk huwiex “riċevitur ta’ data personali” jew le, għandu, f’din il-loġika, jiġi miċħud.

76.

F’dan ir-rigward, huwa veru li t-test tal-Artikolu 15(1)(d) tar‑Regolament 2018/1725 li jsemmi lir-“riċevituri […] tad-data personali”, jista’ jagħti lok għal konfużjoni. Madankollu, l-effett utili ta’ din id-dispożizzjoni jimponi li l-informazzjoni tintbagħat lis-suġġetti tad-data kemm jista’ jkun malajr u qabel l-imsemmi trasferiment ta’ data  ( 33 ). F’dan il-każ, anki jekk is-SRB ma kellux, waqt il-ġbir inizjali tal‑kummenti, l-intenzjoni li jitlob il-parir ta’ Deloitte dwar jekk dawn il‑kummenti kinux jibdlu l-valwazzjoni 3, mid-deċiżjoni kontenzjuża quddiem il-Qorti Ġenerali jirriżulta li Deloitte assistiet lis-SRB fil-qafas tal-proċedura tad-dritt għal smigħ  ( 34 ). Barra minn hekk, l-intenzjoni tas‑SRB li jikkomunika d-data psewdonimizzata lil Deloitte tista’ titqies bħala li eżistiet mhux wara l-mument li fih huwa ddeċieda li jipproċessa l-kummenti inkwistjoni sabiex speċifikament jippsewdonimizzahom  ( 35 ), mingħajr ebda ġustifikazzjoni għall‑psewdonimizzazzjoni.

77.

Jiena għalhekk tal-opinjoni li l-fatt li tiġi kkontrollata l-osservanza tal‑obbligu ta’ informazzjoni fil-mument li fih id-data ġiet ittrasferita mis-SRB lil Deloitte, billi tiġi adottata l-perspettiva ta’ riċevitur sabiex id-data inkwistjoni tiġi kklassifikata bħala personali jew le, iwassal sabiex dan il-kontroll jieħu iktar fit-tul. Dan il-kontroll ikun, b’konsegwenza, pospost b’mod żbaljat peress li jsir fuq id-data diġà mibgħuta lir-riċevitur, minkejja li s-suġġett tal-obbligu ta’ informazzjoni jirrigwarda r-relazzjoni bejn is-SRB u l-persuni li ressqu l-ilmenti u huwa intiż sabiex jippermetti l-kunsens informat ta’ dawn tal-aħħar qabel it-trasferiment.

78.

Barra minn hekk, fir-rigward tal-kunsens tal-persuni li ressqu l-ilmenti, il‑parteċipazzjoni tagħhom fil-proċedura ta’ dritt għal smigħ tista’ ċertament tiġi interpretata bħala kunsens impliċitu li tinqasam data personali mal-persuna responsabbli għall-ipproċessar sabiex il-kummenti tagħhom jittieħdu inkunsiderazzjoni. Madankollu, fl-opinjoni tiegħi, dan ma jistax ikun biżżejjed sabiex jikkostitwixxi kunsens informat fid-dawl tal‑psewdonimizzazzjoni tad-data u tat-trasferiment tagħha lil Deloitte mingħajr informazzjoni minn qabel f’dan ir-rigward min-naħa tas‑SRB  ( 36 ).

79.

Minn dan jirriżulta li, fl-opinjoni tiegħi, l-obbligu ta’ informazzjoni fuq is-SRB kien japplika f’dan il-każ qabel it-trasferiment tad-data inkwistjoni u irrispettivament min-natura personali jew le tad‑data f’idejn Deloitte.

80.

Għalhekk, il-fatt li l-psewdonimizzazzjoni jkunx b’saħħtu u effikaċi biżżejjed jew le, b’tali mod li jista’ jitqies li d-data f’idejn Deloitte tikkostitwixxi data personali jew le, ma jidhirlix li finalment huwa effettiv fir-rigward tal-obbligu ta’ informazzjoni fuq is‑SRB.

81.

Konsegwentament, l-obbligu ta’ informazzjoni li jaqa’ fuq is-SRB bħala persuna responsabbli għall-ipproċessar għandu jiġi osservat f’dan il-każ u s-sentenza appellata għandha, għal din ir-raġuni, tiġi annullata minħabba żball ta’ liġi.

82.

Peress li l-perspettiva tar-riċevitur tad-data inkwistjoni ma hijiex rilevanti fir-rigward tal-obbligu ta’ informazzjoni previst mill‑Artikolu 15(1)(d) tar-Regolament 2018/1725, l-argumenti tal‑partijiet li jirrigwardaw il-possibbiltà għal Deloitte li tidentifika, permezz ta’ mezzi legali u konkreti fil-prattika, is-suġġetti tal-kawża, jirriżultaw li huma ineffettivi u għalhekk ma hemmx lok li jiġu eżaminati.

83.

Minkejja li l-Qorti tal-Ġustizzja ma kinitx ta’ din l-opinjoni, nirrileva b’mod sussidjarju li l-KEPD jikkontesta, f’dan ir-rigward, il‑konstatazzjoni tal-Qorti Ġenerali li Deloitte ma għandhiex aċċess għad‑data ta’ identifikazzjoni. Huwa jibbaża ruħha b’mod partikolari fuq ir-relazzjoni kuntrattwali ta’ subappalt li teżisti bejn is-SRB u Deloitte. Is-SRB u l-Kummissjoni jsostnu li, b’dan il-mod, il-KEPD iqajjem allegazzjonijiet fattwali ġodda li huma inammissibbli fl-istadju tal-appell. Din hija l-opinjoni tiegħi. Fil-fatt, l-eżistenza ta’ relazzjoni kuntrattwali bejn is-SRB u Deloitte, li turi l-possibbiltà għal Deloitte li titlob lis-SRB l‑identifikazzjoni tal-persuni li ressqu l-ilmenti, tikkostitwixxi argument ġdid, li fuqu l‑Qorti Ġenerali, barra minn hekk, qatt ma ddeċidiet. Minn dan isegwi li dan l-argument għandu, jekk ikun il-każ, jiġi miċħud bħala inammissibbli skont it-tieni sentenza tal-Artikolu 170(1) tar-Regoli tal-Proċedura tal‑Qorti tal-Ġustizzja li l-appell ma jistax ibiddel is-suġġett tat-tilwima quddiem il-Qorti Ġenerali  ( 37 ).

B.

Fuq it-tieni aggravju, eżaminat sussidjarjament

84.

Permezz tat-tieni aggravju tiegħu, ibbażat fuq il-ksur tal-prinċipju ta’ responsabbiltà stabbilit fl-Artikolu 4(2) u fl-Artikolu 26(1) tar‑Regolament 2018/1725, il-KEPD, sostnut mill-Bord Ewropew għall‑Protezzjoni tad-Data, isostni li l-Qorti Ġenerali ddeċidiet b’mod żbaljat li huwa kellu juri li l-informazzjoni mibgħuta lil Deloitte kienet tikkostitwixxi data personali, bi ksur tal-prinċipju ta’ responsabbiltà tas‑SRB.

85.

Fid-dawl tal-kunsiderazzjonijiet preċedenti u b’mod partikolari tal-punti 81 u 82 hawn fuq, inqis li ma hemmx lok li jiġi eżaminat dan it‑tieni aggravju.

86.

Għalhekk ser insemmih biss fil-qosor, sussidjarjament.

87.

Fuq l-ammissibbiltà, ikkontestata mis-SRB, ta’ dan l-aggravju mhux imqajjem quddiem il-Qorti Ġenerali, infakkar li rikorrent jista’ jippreżenta appell billi jinvoka aggravji li jirriżultaw mis-sentenza appellata nnifisha u li jkunu intiżi li jikkritikaw, fid-dritt, il-fondatezza tagħha  ( 38 ). Jidhirli li dan huwa l-każ ta’ dan l-aggravju, li għalhekk huwa ammissibbli.

88.

Dwar il-mertu, għandu jitfakkar li l-Qorti Ġenerali ddeċidiet li, fin-nuqqas li l-KEPD li jsaqsi jekk Deloitte kellhiex mezzi legali u konkreti fil-prattika li jippermettulha li jkollha aċċess għall‑informazzjoni addizzjonali neċessarja għall-identifikazzjoni mill-ġdid tal-persuni li ressqu l-ilmenti, il-KEPD seta’ jikkonkludi biss li l-informazzjoni mibgħuta lil Deloitte kienet tikkostitwixxi informazzjoni li tirrelata ma’ “persuna fiżika identifikabbli” fis-sens tal-punt 1 tal-Artikolu 3 tar‑Regolament 2018/1725.

89.

Il-KEPD, sostnut mill-Bord Ewropew għall-Protezzjoni tad-Data, isostni, essenzjalment, li l-Qorti Ġenerali kellha tivverifika jekk is-SRB, responsabbli għall-ipproċessar, kienx ipprova li huwa kien anonimizza d-data kontenzjuża fir‑rigward ta’ Deloitte.

90.

Is-SRB jikkontesta dan l-argument billi jsostni li l-prinċipju ta’ responsabbiltà japplika biss fil-preżenza ta’ data personali u li, f’dan il‑każ, id-data f’idejn Deloitte kienet ġiet anonimizzata.

91.

Min-naħa tagħha, il-Kummissjoni, issostni, fl-ewwel lok, li l‑KEPD għandu oneru tal-prova raġonevoli sabiex jipprova, abbażi ta’ provi disponibbli, l-eżistenza ta’ data personali. Fit-tieni lok, hija l-persuna responsabbli għall-ipproċessar li għandha tikkonfuta din il-konklużjoni billi tippreżenta elementi addizzjonali.

92.

Infakkar li, skont l-Artikolu 4(1)(a) tar-Regolament 2018/1725, id-data personali għandha tiġi pproċessata legalment, ġustament u b’mod trasparenti fid-dawl tas-suġġett tad-data. L-Artikolu 4(2) ta’ dan ir-regolament jistipula li “[i]l-kontrollur għandu jkun responsabbli għall‑konformità mal-paragrafu 1 u jkun kapaċi juriha”. Għalhekk mill‑prinċipju ta’ responsabbiltà, stipulat fl-Artikolu 4(2) u spjegat fl‑Artikolu 26(1) tal-imsemmi regolament jirriżulta li l-persuna responsabbli għall-ipproċessar għandha tkun f’pożizzjoni li turi li tosserva l-prinċipji relatati mal‑ipproċessar tad-data personali stipulati fil-paragrafu 1 tal-Artikolu 4  ( 39 ).

93.

Sa fejn il-persuna responsabbli għall-ipproċessar tipproduċi provi suffiċjenti f’dan is-sens, tista’ titqies bħala li ssodisfat l-oneru tal-prova li għandha  ( 40 ).

94.

F’dan il-każ, jidhirli li s-SRB invoka diversi elementi fattwali (b’mod partikolari l-proċessi ta’ filtrazzjoni, ta’ kategorizzazzjoni, ta’ aggregazzjoni ta’ kummenti, deskritti fid-deċiżjoni kontenzjuża u fis-sentenza appellata) sabiex jipprova, konformement mal-prinċipju ta’ responsabbiltà li huwa għandu, li l-identifikazzjoni minn Deloitte tas-suġġetti tad-data kienet impossibbli.

95.

Quddiem il-Qorti Ġenerali, il-KEPD oppona, f’dan ir-rigward, pożizzjoni ta’ prinċipju li tikkonsisti f’li tittieħed il-perspettiva tas-SRB u mhux ta’ Deloitte u, b’hekk, li jiġu kklassifikati bħala “data personali” l‑kummenti mibgħuta lil Deloitte.

96.

Jekk jiġi aċċettat, għall-finijiet tal-eżami sussidjarju ta’ dan l‑aggravju, li l-perspettiva ta’ Deloitte kienet rilevanti f’dan il-każ  ( 41 ), jista’ jitqies, kif iddeċidiet il-Qorti Ġenerali, li kien il-KEPD li kellu juri  ( 42 ) għal liema raġuni, legali jew teknika, il-proċess ta’ psewdonimizzazzjoni implimentat mis-SRB f’dan il-każ ma kienx suffiċjenti u kellu jwassal sabiex jiġi kkunsidrat li Deloitte pproċessat data personali.

97.

Għalhekk jiena tal-opinjoni li, f’dan il-każ, hemm lok li s-sentenza appellata tiġi kkonfermata fir-rigward ta’ dan it-tieni aggravju.

VII.

Fuq ir-rikors quddiem il-Qorti Ġenerali

98.

Skont l-ewwel sentenza tal-Artikolu 61 tal-Istatut tal-Qorti tal‑Ġustizzja tal-Unjoni Ewropea, meta l-appell huwa fondat, il-Qorti tal‑Ġustizzja tannulla d-deċiżjoni tal-Qorti Ġenerali. Hija għalhekk tista’ jew tiddeċiedi definittivament il-kawża hija stess, meta din tkun fi stat li tiġi deċiża, jew tibgħat lura l-kawża quddiem il-Qorti Ġenerali biex din tiddeċidiha.

99.

L-ewwel motiv imqajjem mis-SRB kontra d-deċiżjoni kontenzjuża quddiem il-Qorti Ġenerali huwa bbażat fuq ksur tal-punt 1 tal-Artikolu 3 tar-Regolament 2018/1725. Mill-punti 63 sa 82 ta’ dawn il-konklużjonijiet jirriżulta li, peress li s-SRB naqas milli jwettaq l-obbligu ta’ informazzjoni tiegħu taħt l-Artikolu 15(1)(d) tar-Regolament 2018/1725, id-deċiżjoni kontenzjuża għandha, fl-opinjoni tiegħi, tiġi kkonfermata.

100.

Min-naħa l-oħra, it-tieni motiv, ibbażat fuq il-ksur mill-KEPD tad‑dritt għal amministrazzjoni tajba fil-qafas tal-proċedura li wasslet għall-adozzjoni tad-deċiżjoni kontenzjuża, ma jidhirlix li huwa fi stat li jiġi deċiż.

101.

Fil-fatt, is-SRB isostni b’mod partikolari li, fil-qafas tal-proċedura amministrattiva qabel l-adozzjoni tad-deċiżjoni kontenzjuża, il-KEPD kiser id-dritt tiegħu ta’ aċċess għal fajl, id-dritt għal smigħ tiegħu, u l‑prinċipju ta’ opportunitajiet ugwali għall-partijiet, billi ġie rrifjutat lilu l-aċċess għall-fajl, minn naħa waħda, u billi ma ġewx ikkomunikati lilu l‑osservazzjonijiet tal-persuni li ressqu l-ilmenti jew il-kontenut tagħhom, min-naħa l‑oħra.

102.

Issa, il-Qorti Ġenerali kkunsidrat li, peress li l-ewwel motiv tar‑rikors ġie milqugħ, ma kienx hemm lok sabiex jiġi eżaminat it-tieni motiv imqajjem quddiemha. Konsegwentament, dan il-motiv, li jinvolvi b’mod partikolari evalwazzjonijiet fattwali, ma huwiex fi stat li jiġi deċiż. Għalhekk jidhirli li l-kawża għandha tintbagħat lura quddiem il-Qorti Ġenerali sabiex hija tiddeċiedi f’dan ir-rigward, u l-ispejjeż jibqgħu rriżervati.

VIII.

Konklużjoni

103.

Fid-dawl tal-kunsiderazzjonijiet preċedenti, nipproponi li l-Qorti tal-Ġustizzja tiddeċiedi bil-mod segwenti:

–

tannulla s-sentenza tal-Qorti Ġenerali tal-Unjoni Ewropea tas‑26 ta’ April 2023, SRB vs KEPD (T‑557/20, EU:T:2023:219);

–

tibgħat lura l-kawża quddiem il-Qorti Ġenerali sabiex tiddeċiedi fuq it-tieni motiv imqajjem quddiemha;

–

tirriżerva l-ispejjeż.