Edizzjoni Provviżorja
SENTENZA TAL-QORTI TAL-ĠUSTIZZJA (L‑Ewwel Awla)
7 ta’ Diċembru 2023 (*)
“Rinviju għal deċiżjoni preliminari – Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament (UE) 2016/679 – Artikolu 22 – Deċiżjoni individwali awtomatizzata – Kumpanniji li jipprovdu informazzjoni kummerċjali – Tfassil awtomatizzat ta’ valur ta’ probabbiltà fir-rigward tal-kapaċità ta’ persuna li tonora impenji ta’ pagament fil-futur (‘scoring’) – Użu ta’ dan il-valur ta’ probabbiltà minn terzi”
Fil-Kawża C‑634/21,
li għandha bħala suġġett talba għal deċiżjoni preliminari skont l-Artikolu 267 TFUE, imressqa mill-Verwaltungsgericht Wiesbaden (il-Qorti Amministrattiva ta’ Wiesbaden, il-Ġermanja), permezz ta’ deċiżjoni tal‑1 ta’ Ottubru 2021, li waslet fil-Qorti tal-Ġustizzja fil‑15 ta’ Ottubru 2021, fil-proċedura
OQ
vs
Land Hessen,
fil-preżenza ta’:
SCHUFA Holding AG,
IL-QORTI TAL-ĠUSTIZZJA (L‑Ewwel Awla),
komposta minn A. Arabadjiev, President tal-Awla, T. von Danwitz, P. G. Xuereb, A. Kumin (Relatur) u I. Ziemele, Imħallfin,
Avukat Ġenerali: P. Pikamäe,
Reġistratur: C. Di Bella, Amministratur,
wara li rat il-proċedura bil-miktub u wara s-seduta tas‑26 ta’ Jannar 2023,
wara li kkunsidrat l-osservazzjonijiet ippreżentati:
– għal OQ, minn U. Schmidt, Rechtsanwalt,
– għal-Land Hessen, minn M. Kottmann u G. Ziegenhorn, Rechtsanwälte,
– għal SCHUFA Holding AG, minn G. Thüsing u U. Wuermeling, Rechtsanwalt,
– għall-Gvern Ġermaniż, minn P.-L. Krüger, bħala aġent,
– għall-Gvern Daniż, minn V. Pasternak Jørgensen, M. Søndahl Wolff u Y. Thyregod Kollberg, bħala aġenti,
– għall-Gvern Portugiż, minn P. Barros da Costa, I. Oliveira, J. Ramos u C. Vieira Guerra, bħala aġenti,
– għall-Gvern Finlandiż, minn M. Pere, bħala aġent,
– għall-Kummissjoni Ewropea, minn A. Bouchagiar, F. Erlbacher u H. Kranenborg, bħala aġenti,
wara li semgħet il-konklużjonijiet tal-Avukat Ġenerali, ippreżentati fis-seduta tas‑16 ta’ Marzu 2023,
tagħti l-preżenti
Sentenza
1 1 It-talba għal deċiżjoni preliminari tirrigwarda l-interpretazzjoni tal-Artikolu 6(1) u tal-Artikolu 22 tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-“GDPR”).
2 Din it-talba tressqet fil-kuntest ta’ tilwima bejn OQ u l-Land Hessen (il-Land ta’ Hessen, il-Ġermanja) rigward ir-rifjut tal-Hessischer Beauftragter für Datenschutz und Informationsfreiheit (il-Kummissarju għall-Protezzjoni tad-Data u għal-Libertà tal-Informazzjoni għal-Land ta’ Hessen, il-Ġermanja) (iktar ’il quddiem il-“HBDI”) li jordna lil SCHUFA Holding AG (iktar ’il quddiem “SCHUFA”) tilqa’ talba mressqa minn OQ intiża għall-aċċess u għat-tħassir ta’ data personali li tikkonċernah.
Il‑kuntest ġuridiku
Id‑dritt tal‑Unjoni
3 Skont il-premessa 71 tal-GDPR:
“Is-suġġett tad-data għandu jkollu d-dritt li ma jkunx soġġett għal deċiżjoni, li tista’ tinkludi miżura, li tevalwa aspetti personali relatati miegħu li hija bbażata unikament fuq ipproċessar awtomatizzat u li tipproduċi effetti legali li jikkonċernaw lilu jew li taffettwah b’mod ugwalment sinifikanti, bħal rifjut awtomatiku ta’ applikazzjoni għal kreditu online jew prattiki ta’ reklutaġġ elettroniku mingħajr l-ebda intervent tal-bniedem. Tali pproċessar jinkludi ‘tfassil ta’ profili’ li jikkonsisti fi kwalunkwe forma ta’ pproċessar awtomatizzat ta’ data personali li tevalwa l-aspetti personali relatati ma’ persuna fiżika, b’mod partikolari biex jiġu analizzati jew imbassrin aspetti li jikkonċernaw il-prestazzjoni fuq ix-xogħol, is-sitwazzjoni ekonomika, is-saħħa, il-preferenzi jew l-interessi personali, l-affidabbiltà jew l-imġiba, il-lokalizzazzjoni jew il-movimenti tas-suġġett tad-data, fejn dan jipproduċi effetti legali li jikkonċernaw lilu jew jaffettwah b’mod ugwalment sinifikanti. Madankollu, it-teħid ta’ deċiżjonijiet ibbażat fuq tali pproċessar, inkluż it-tfassil ta’ profili, għandu jkun permess fejn dan ikun espressament awtorizzat mil-liġi tal-Unjoni jew ta’ Stat Membru li għaliha jkun soġġett il-kontrollur, inkluż għal monitoraġġ ta’ frodi u evażjoni ta’ taxxa u għanijiet preventivi li jsiru f’konformità mar-regolamenti, l-istandards u r-rakkomandazzjonijiet tal-istituzzjonijiet tal-Unjoni [Ewropea] jew il-korpi ta’ sorveljanza nazzjonali u biex jiġu żgurati s-sigurtà u laffidabbiltà ta’ servizz ipprovdut mill-kontrollur, jew meħtieġ biex wieħed jidħol f’kuntratt jew jeżegwixxi kuntratt bejn is-suġġett tad-data u kontrollur, jew meta s-suġġett tad-data jkun ta l-kunsens espliċitu tiegħu. Fi kwalunkwe każ, dan l-ipproċessar għandu jkun soġġett għal salvagwardji adatti, li għandhom jinkludu informazzjoni speċifika dwar is-suġġett tad-data u d-dritt li dan jikseb intervent uman, id-dritt li jesprimi l-fehma tiegħu, id-dritt li jikseb spjegazzjoni tad-deċiżjoni li tkun ittieħdet wara tali valutazzjoni u d-dritt li jikkontesta d-deċiżjoni. Tali miżura m’għandhiex tikkonċerna tfal.
Sabiex jiġi żgurat ipproċessar ġust u trasparenti fir-rigward tas-suġġett tad-data, b’kont meħud taċ-ċirkostanzi speċifiċi u l-kuntest li fih tiġi pproċessata d-data personali, il-kontrollur għandu juża proċeduri matematiċi jew statistiċi adegwati għat-teħid ta’ profili, jimplimenta miżuri tekniċi u organizzattivi adatti biex jiġi żgurat, b’mod partikolari, li fatturi li jirriżultaw f’ineżattezzi fid-data personali jiġu kkoreġuti u jitnaqqas ir-riskju ta’ żbalji, jiżgura d-data personali f’mod li jieħu kont tar-riskji potenzjali involuti għall-interessi u d-drittijiet tas-suġġett tad-data u jipprevjeni, fost oħrajn, effetti diskriminatorji fuq persuni fiżiċi abbażi tar-razza jew oriġini etnika, opinjoni politika, reliġjon jew twemmin, sħubija fi trade union, stat ġenetiku jew tas-saħħa jew orjentazzjoni sesswali, jew ipproċessar li jirriżulta f’miżuri li jkollhom dan l-effett. It-teħid ta’ deċiżjonijiet u t-teħid ta’ profili b’mod awtomatizzat ibbażati fuq kategoriji speċjali ta’ data personali għandhom ikunu permessi biss taħt kondizzjonijiet speċifiċi.”
4 L-Artikolu 4 ta’ dan ir-regolament, intitolat “Definizzjonijiet”, jipprevedi:
“Għall-finijiet ta’ dan ir-Regolament:
[...]
4) ‘tfassil tal-profil’ tfisser kwalunkwe forma ta’ pproċessar awtomatizzat ta’ data personali li jikkonsisti fl-użu ta’ data personali biex jiġu evalwati ċerti aspetti personali relatati ma’ persuna fiżika, b’mod partikolari biex jiġu analizzati jew imbassra aspetti rigward il-prestazzjoni fuq ix-xogħol, is-sitwazzjoni ekonomika, is-saħħa, il-preferenzi personali, l-interessi, l-affidabbiltà, l-imġiba, il-lokalizzazzjoni jew il-movimenti ta’ dik il-persuna fiżika;
[...]”
5 L-Artikolu 5 tal-imsemmi regolament, intitolat “Prinċipji relatati mal-ipproċessar ta’ data personali”, jipprovdi:
1. Id-data personali għandha:
a) tkun ipproċessata legalment, ġustament u b’mod trasparenti fir-rigward tas-suġġett tad-data (‘legalità, ġustizzja u trasparenza’);
b) tinġabar għal finijiet speċifikati, espliċiti u leġittimi u ma għandhiex tiġi pproċessata ulterjorment b’mod inkompatibbli ma’ dawk il-finijiet; [...] (‘limitazzjoni tal-fini’);
c) tkun adegwata, rilevanti, u limitata għal dak li hu meħtieġ b’rabta mal-finijiet li għalihom tkun qed tiġi pproċessata (‘minimizzazzjoni tad-data’);
d) tkun preċiża u, fejn meħtieġ, tinżamm aġġornata; [...] (‘preċiżjoni’);
e) tinżamm f’forma li tippermetti l-identifikazzjoni tas-suġġetti tad-data għal mhux aktar żmien milli jkun meħtieġ għall-finijiet li għalihom id-data personali tkun qed tiġi pproċessata; [...] (‘limitazzjoni tal-ħażna’)
f) tiġi pproċessata b’mod li jiżgura sigurtà xierqa tad-data personali [...] (‘integrità u kunfidenzjalità’);
2. Il-kontrollur għandu jkun responsabbli għall-konformità mal-paragrafu 1 u jkun kapaċi juriha (‘responsabbiltà’).”
6 L-Artikolu 6 tar-GDPR, intitolat “Legalità tal-ipproċessar”, jipprevedi, fil-paragrafi 1 u 3 tiegħu
“1. L-ipproċessar għandu jkun legali biss jekk u safejn mill-inqas ikun japplika wieħed mill-punti li ġejjin:
a) is-suġġett tad-data jkun ta l-kunsens għall-ipproċessar ta’ data personali tiegħu għal fini speċifiku wieħed jew aktar;
b) l-ipproċessar ikun meħtieġ għat-twettiq ta’ kuntratt li għalih is-suġġett tad-data huwa parti jew sabiex jittieħdu passi fuq talba tas-suġġett tad-data qabel ma jidħol f’kuntratt;
c) l-ipproċessar ikun meħtieġ għall-konformità ma’ obbligu legali li għalih huwa soġġett il-kontrollur;
d) l-ipproċessar ikun meħtieġ sabiex ikunu protetti l-interessi vitali tas-suġġett tad-data jew ta’ persuna fiżika oħra;
e) l-ipproċessar ikun meħtieġ għat-twettiq ta’ kompitu li jsir fl-interess pubbliku jew fl-eżerċizzju ta’ awtorità uffiċjali mogħtija lill-kontrollur;
f) l-ipproċessar ikun meħtieġ għall-finijiet tal-interessi leġittimi segwiti mill-kontrollur jew minn parti terza, għajr meta dawn l-interessi jingħelbu mill-interessi jew id-drittijiet u l-libertajiet fundamentali tas-suġġett tad-data li jeħtieġu l-protezzjoni tad-data personali, b’mod partikolari meta s-suġġett tad-data jkun minorenni.
[...]
3. Il-bażi għall-ipproċessar imsemmi fil-punti (c) u (e) tal-paragrafu 1 għandha tkun stipulata minn:
a) il-liġi tal-Unjoni, jew
b) il-liġi tal-Istat Membru li għaliha huwa soġġett il-kontrollur.
Il-fini tal-ipproċessar għandu jkun iddeterminat f’dik il-bażi legali jew, fir-rigward tal-ipproċessar imsemmi fil-punt (e) tal-paragrafu 1, għandu jkun meħtieġ għat-twettiq ta’ kompitu li jsir fl-interess pubbliku jew fl-eżerċizzju tal-atorità uffiċjali mogħtija lill-kontrollur. [...]”
7 L-Artikolu 9 ta’ dan ir-regolament, bit-titolu “Ipproċessar ta’ kategoriji speċjali ta’ data personali”, huwa fformulat kif ġej:
“1. L-ipproċessar ta’ data personali, li jiżvela oriġini razzjali jew etnika, opinjonijiet politiċi, twemmin reliġjuż jew filosofiku, jew sħubija fi trade union, u l-ipproċessar ta’ data ġenetika, data bijometrika sabiex tidentifika b’mod uniku persuna fiżika, data dwar is-saħħa jew data dwar il-ħajja sesswali u l-orjentazzjoni sesswali ta’ persuna fiżika huma projbiti.
2. Il-paragrafu 1 ma għandux japplika jekk japplika wieħed minn dawn li ġejjin:
a) is-suġġett tad-data jkun ta kunsens espliċitu għall-ipproċessar ta’ dik id-data personali għal fini speċifiku wieħed jew aktar, għajr fejn il-liġi tal-Unjoni jew il-liġi ta’ Stat Membru tipprevedi li l-projbizzjoni msemmija fil-paragrafu 1 ma tistax titneħħa mis-suġġett tad-data;
[...]
g) l-ipproċessar ikun meħtieġ għal raġunijiet ta’ interess pubbliku sostanzjali, fuq il-bażi tal-liġi tal-Unjoni jew ta’ Stat Membru, li għandha tkun proporzjonata mal-għan segwit, tirrispetta l-essenza tad-dritt għall-protezzjoni tad-data u tipprevedi miżuri xierqa u speċifiċi sabiex tissalvagwardja d-drittijiet fundamentali u l-interessi tas-suġġett tad-data;
[...]”
8 L-Artikolu 13 tal-imsemmi regolament, intitolat “Informazzjoni li għandha tiġi pprovduta fejn tinġabar data personali mis-suġġett tad-data”, jipprevedi, fil-paragrafu 2 tiegħu:
“Minbarra l-informazzjoni msemmija fil-paragrafu 1, il-kontrollur għandu, meta tinkiseb id-data personali, jipprovdi lis-suġġett tad-data l-informazzjoni ulterjuri li ġejja meħtieġa biex jiġi żgurat ipproċessar ġust u trasparenti:
[...]
f) l-eżistenza ta’ teħid awtomatizzat ta’ deċiżjonijiet inkluż it-tfassil ta’ profili msemmi fl-Artikolu 22(1) u (4) u għallinqas f’dawk il-każijiet, l-informazzjoni importanti dwar il-loġika involuta, kif ukoll is-sinifikat u l-konsegwenzi previsti ta’ tali pproċessar għas-suġġett tad-data.”
9 L-Artikolu 14 tal-GDPR, intitolat “Informazzjoni li għandha tiġi pprovduta fejn id-data personali ma tkunx inkisbet mis-suġġett tad-data”, jipprevedi fil-paragrafu 2 tiegħu:
“Minbarra l-informazzjoni msemmija fil-paragrafu 1, il-kontrollur għandu jipprovdi lis-suġġett tad-data l-informazzjoni li ġejja li tkun meħtieġa biex jiġi żgurat pproċessar ġust u trasparenti fir-rigward tas-suġġett tad-data:
[...]
g) l-eżistenza ta’ teħid awtomatizzat ta’ deċiżjonijiet inkluż it-tfassil ta’ profili msemmi fl-Artikolu 22(1) u (4) u għall-inqas f’dawk il-każijiet, l-informazzjoni importanti dwar il-loġika involuta, kif ukoll is-sinifikat u l-konsegwenzi previsti ta’ tali pproċessar għas-suġġett tad-data.”
10 L-Artikolu 15 ta’ dan ir-regolament, intitolat “Dritt ta’ aċċess mis-suġġett tad-data”, jipprevedi, fil-paragrafu 1 tiegħu:
“Is-suġġett tad-data għandu d-dritt li jikseb mingħand il-kontrollur konferma dwar jekk id-data personali li tikkonċerna lilu hijiex qiegħda tiġi proċessata jew le, u, fejn dan ikun il-każ, l-aċċess għad-data personali u l-informazzjoni li ġejja:
[...]
h) l-eżistenza ta’ teħid awtomatizzat ta’ deċiżjonijiet, inkluż it-tfassil ta’ profili, imsemmi fl-Artikolu 22(1) u (4) u, għall-inqas f’dawk il-każijiet, l-informazzjoni importanti dwar il-loġika involuta, kif ukoll is-sinifikat u l-konsegwenzi previsti ta’ tali pproċessar għas-suġġett tad-data.”
11 L-Artikolu 22 tal-imsemmi regolament, intitolat “Teħid ta’ deċiżjonijiet individwali awtomatizzati, inkluż tfassil ta’ profili”, jipprovdi:
“1. Is-suġġett tad-data għandu d-dritt li ma jkunx soġġett għal deċiżjoni bbażata unikament fuq ipproċessar awtomatizzat, inkluż it-tfassil ta’ profili, li jipproduċi effetti legali li jikkonċernaw lilu jew li bl-istess mod jaffettwa lilu b’mod sinifikanti.
2. Il-paragrafu 1 ma għandux japplika jekk id-deċiżjoni:
a) tkun meħtieġa biex wieħed jidħol f’kuntratt, jew iwettaq kuntratt, bejn is-suġġett tad-data u kontrollur tad-data;
b) tkun awtorizzata mil-liġi tal-Unjoni jew ta’ Stat Membru li għaliha jkun soġġett il-kontrollur u li tistabbilixxi wkoll miżuri adatti għas-salvagwardja tad-drittijiet u l-libertajiet u l-interessi leġittimi tas-suġġett tad-data; jew
c) tkun ibbażata fuq il-kunsens espliċitu tas-suġġett tad-data.
3. F’każijiet imsemmija fil-punt (a) u (c) tal-paragrafu 2, il-kontrollur tad-data għandu jimplimenta miżuri adatti biex jiġu salvagwardati d-drittijiet u l-libertajiet u l-interessi leġittimi tas-suġġett tad-data, mill-inqas id-dritt li jikseb intervent uman min-naħa tal-kontrollur, li jesprimi l-fehma tiegħu u li jikkontesta d-deċiżjoni.
4. Id-deċiżjonijiet imsemmija fil-paragrafu 2 ma għandhomx ikunu bbażati fuq kategoriji speċjali ta’ data personali msemmija fl-Artikolu 9(1), sakemm ma japplikax il-punt (a) jew (g) tal-Artikolu 9(2) u ma jkunux fis-seħħ miżuri biex jiġu salvagwardati d-drittijiet u l-libertajiet u l-interessi leġittimi tas-suġġett tad-data.”
12 L-Artikolu 78 tal-GDPR, intitolat “Dritt għal rimedju ġudizzjarju effettiv kontra awtorità superviżorja ”, jipprovdi, fil-paragrafu 1 tiegħu:
“Mingħajr preġudizzju għal kwalunkwe rimedju amministrattiv jew mhux ġudizzjarju ieħor, kull persuna fiżika jew ġuridika għandu jkollha d-dritt għal rimedju ġudizzjarju effettiv kontra deċiżjoni legalment vinkolanti ta’ awtorità superviżorja li tikkonċernaha.”
Id‑dritt Ġermaniż
13 L-Artikolu 31 tal-Bundesdatenschutzgesetz (il-Liġi Federali dwar il-Protezzjoni tad-Data), tat‑30 ta’ Ġunju 2017 (BGBl. I, p. 2097, iktar ’il quddiem il-“BDSG”), intitolat “Protezzjoni tat-tranżazzjonijiet ekonomiċi f’każ ta’ ‘scoring’ u ta’ informazzjoni dwar is-solvenza”, jinqara kif ġej:
“(1) L-użu ta’ valur ta’ probabbiltà fir-rigward ta’ aġir speċifiku, fil-futur, ta’ persuna fiżika sabiex jiġi deċiż dwar l-istabbiliment, l-eżekuzzjoni jew it-tmiem ta’ relazzjoni kuntrattwali ma’ din il-persuna (scoring) huwa awtorizzat biss meta:
1. ikunu ġew osservati d-dispożizzjonijiet fil-qasam tad-dritt għall-protezzjoni tad-data,
2. ikun jista’ jintwera, abbażi ta’ metodu matematiku u statistiku irrikonoxxut xjentifikament, li d-data użata sabiex jiġi kkalkolat il-valur ta’ probabbiltà huma rilevanti għall-kalkolu marbut mal-probabbiltà tal-aġir speċifiku,
3. il-kalkolu tal-valur ta’ probabbiltà ma jużax esklużivament data marbuta ma’ indirizz u
4. f’każ ta’ użu ta’ data marbuta ma’ indirizz, is-suġġett tad-data ġie informat bl-użu previst ta’ din id-data qabel il-kalkolu tal-valur ta’ probabbiltà; din l-informazzjoni għandha tkun ikkonfermata b’dokument.
(2) L-użu ta’ valur ta’ probabbiltà marbut mas-solvenza u mar-rieda li tħallas ta’ persuna fiżika, stabbilit minn kumpanniji li jipprovdu informazzjoni kummerċjali, huwa awtorizzat, fil-każ li fih tkun inkluża informazzjoni dwar id-djun, biss sa fejn ikunu ssodisfatti l-kundizzjonijiet previsti fil-paragrafu 1 u sa fejn jittieħdu inkunsiderazzjoni biss id-djun li huma marbuta ma’ provvista dovuta li ma ġietx ipprovduta minkejja li din tal-aħħar tkun eżegwibbli u
1. li ġew ikkonstatati minn sentenza li saret definittiva jew iddikjarata provviżorjament eżegwibbli jew li għalihom jeżistu titoli ta’ dejn konformement mal-Artikolu 794 taż-Zivilprozessordnung [(il-Kodiċi ta’ Proċedura Ċivili)],
2. li ġew ikkonstatati konformement mal-Artikolu 178 tal-Insolvenzordnung [(il-Kodiċi tal-Insolvenza)] u li ma ġewx ikkontestati mid-debitur waqt il-laqgħa ta’ verifika tad-djun,
3. li ġew irrikonoxxuti espressament mid-debitur,
4. li fir-rigward tagħhom
a) id-debitur irċieva tal-inqas żewġ intimazzjonijiet bil-miktub wara l-iskadenza tagħhom,
b) l-ewwel intimazzjoni tmur lura tal-inqas erba’ ġimgħat,
c) id-debitur ġie informat minn qabel, iżda l-iktar kmieni waqt l-intimazzjoni, tat-teħid inkunsiderazzjoni eventwali tagħhom minn kumpannija li tipprovdi informazzjoni kummerċjali u
d) id-debitur ma kkontestax id-dejn; jew
5. li r-relazzjoni kuntrattwali sottostanti tagħhom tista’ tiġi xolta mingħajr avviż minn qabel minħabba dewmien fil-ħlas u li għalihom id-debitur ġie informat minn qabel bit-teħid inkunsiderazzjoni eventwali tagħhom minn kumpannija li tipprovdi informazzjoni kummerċjali.
Dan jgħodd bla ħsara għal-legalità tal-ipproċessar, inkluż it-tfassil ta’ valuri ta’ probabbiltà u data rilevanti oħra fil-qasam tas-solvenza, fid-dawl tad-dritt ġenerali tal-protezzjoni tad-data.”
Il‑kawża prinċipali u d‑domandi preliminari
14 SCHUFA hija kumpannija privata rregolata mid-dritt Ġermaniż li tipprovdi lis-sħab kuntrattwali tagħha informazzjoni dwar is-solvenza ta’ terzi, b’mod partikolari ta’ konsumaturi. Għal dan l-għan, hija tistabbilixxi tbassir dwar il-probabbiltà ta’ aġir futur ta’ persuna (“score”), bħar-rimbors ta’ self, minn ċerti karatteristiċi ta’ din il-persuna, abbażi ta’ proċeduri matematiċi u statistiċi. It-tfassil tal-iscores (“scoring”) huwa bbażat fuq l-ipoteżi li huwa possibbli, billi persuna tiġi assenjata ma’ grupp ta’ persuni oħra li jkollhom karatteristiċi paragunabbli u li jkunu aġixxew b’mod partikolari, li jiġi previst aġir simili.
15 Mit-talba għal deċiżjoni preliminari jirriżulta li OQ ġie rrifjutat l-għoti ta’ self minn terz wara li kien is-suġġett ta’ informazzjoni negattiva stabbilita minn SCHUFA u trażmessa lil dan it-terz. OQ talab lil SCHUFA sabiex tipprovdilu informazzjoni dwar id-data personali rreġistrata u biex tħassar dik fostha li allegatament kienet żbaljata.
16 Bi tweġiba għal din it-talba, SCHUFA informat lil OQ dwar il-livell tal-iscore tiegħu u esponiet, b’mod wiesa’, il-modalitajiet ta’ kalkolu tal-iscores. Madankollu, hija rrifjutat, billi invokat is-sigriet professjonali, li tiżvela l-informazzjoni differenti meħuda inkunsiderazzjoni għall-finijiet ta’ dan il-kalkolu kif ukoll il-kunsiderazzjoni tagħha. Fl-aħħar nett, SCHUFA indikat li hija llimitat ruħha li tibgħat informazzjoni lis-sħab kuntrattwali tagħha u li kienu dawn tal-aħħar li kienu ħadu d-deċiżjonijiet kuntrattwali nnifishom.
17 Permezz ta’ lment imressaq fit‑18 ta’ Ottubru 2018, OQ talab lill-HBDI, l-awtorità ta’ superviżjoni kompetenti, jordna lil SCHUFA tilqa’ t-talba tiegħu għal aċċess għall-informazzjoni u għat-tħassir.
18 Permezz ta’ deċiżjoni tat‑3 ta’ Ġunju 2020, il-HBDI ċaħdet din it-talba għal ordni, billi spjegat li ma kienx ġie stabbilit li SCHUFA ma tosservax ir-rekwiżiti stabbiliti fl-Artikolu 31 tal-BDSG li hija għandha fir-rigward tal-attività tagħha.
19 OQ ippreżenta rikors kontra din id-deċiżjoni quddiem il-Verwaltungsgericht Wiesbaden (il-Qorti Amministrattiva ta’ Wiesbaden, il-Ġermanja), il-qorti tar-rinviju, skont l-Artikolu 78(1) tal-GDPR.
20 Skont din il-qorti, għandu jiġi ddeterminat, sabiex tingħata deċiżjoni dwar it-tilwima li biha hija adita, jekk it-tfassil ta’ valur ta’ probabbiltà bħal dak inkwistjoni fil-kawża prinċipali jikkostitwixxix deċiżjoni individwali awtomatizzata, fis-sens tal-Artikolu 22(1) tal-GDPR. Fil-fatt, fl-affermattiv, il-legalità ta’ din l-attività hija suġġetta, konformement mal-Artikolu 22(2)(b) ta’ dan ir-regolament, għall-kundizzjoni li din id-deċiżjoni tkun awtorizzata mid-dritt tal-Unjoni jew mid-dritt tal-Istat Membru li għalih huwa suġġett il-kontrollur tad-data.
21 F’dan ir-rigward, il-qorti tar-rinviju għandha dubji rigward l-argument li l-Artikolu 22(1) tal-GDPR ma huwiex applikabbli għall-attività ta’ kumpanniji bħal SCHUFA. Hija tibbaża d-dubji tagħha, minn perspettiva fattwali, fuq l-importanza ta’ valur ta’ probabbiltà bħal dak inkwistjoni fil-kawża prinċipali għall-prassi deċiżjonali ta’ terzi li lilhom jiġi trażmess dan il-valur ta’ probabbiltà u, minn perspettiva legali, prinċipalment fuq l-għanijiet li għandhom jintlaħqu minn dan l-Artikolu 22(1) u fuq il-garanziji ta’ protezzjoni ġuridika stabbiliti mill-GDPR.
22 B’mod iktar speċifiku, il-qorti tar-rinviju ssostni li huwa l-valur ta’ probabbiltà li normalment jiddetermina jekk u kif it-terz ser jikkuntratta mas-suġġett tad-data. Issa, l-Artikolu 22 tal-GDPR huwa intiż preċiżament sabiex jipproteġi l-persuni kontra r-riskji marbuta mad-deċiżjonijiet purament ibbażati fuq awtomatiżmu.
23 Min-naħa l-oħra, kieku l-Artikolu 22(1) tal-GDPR kellu jiġi interpretat fis-sens li l-kwalità ta’ “deċiżjoni individwali awtomatizzata” tista’ tiġi rrikonoxxuta biss, f’sitwazzjoni bħal dik inkwistjoni fil-kawża prinċipali, għad-deċiżjoni meħuda mit-terzi fir-rigward tas-suġġett tad-data, minn dan tirriżulta lakuna fil-protezzjoni ġuridika. Fil-fatt, minn naħa, kumpannija bħal SCHUFA ma hijiex obbligata li tagħti aċċess għall-informazzjoni addizzjonali li għandu dritt għaliha s-suġġett tad-data skont l-Artikolu 15(1)(h) ta’ dan ir-regolament, peress li din il-kumpannija ma hijiex dik li tadotta “deċiżjoni awtomatizzata”, fis-sens ta’ din id-dispożizzjoni u, konsegwentement, fis-sens tal-Artikolu 22(1) tal-imsemmi regolament. Min-naħa l-oħra, it-terz lil lilu jiġi indirizzat il-valur ta’ probabbiltà ma jistax jipprovdi din l-informazzjoni addizzjonali peress li ma tinsabx fil-pussess tiegħu.
24 Għalhekk, skont il-qorti tar-rinviju, sabiex tiġi evitata tali lakuna fil-protezzjoni ġuridika, huwa neċessarju li t-tfassil ta’ valur ta’ probabbiltà bħal dak inkwistjoni fil-kawża prinċipali jaqa’ taħt il-kamp ta’ applikazzjoni tal-Artikolu 22(1) tal-GDPR.
25 Kieku tali interpretazzjoni kellha tiġi adottata, il-legalità ta’ din l-attività tkun għalhekk suġġetta għall-eżistenza ta’ bażi legali fil-livell tal-Istat Membru kkonċernat, konformement mal-Artikolu 22(2)(b) ta’ dan ir-regolament. Issa, f’dan il-każ, għalkemm huwa minnu li l-Artikolu 31 tal-BDSG jista’ jikkostitwixxi tali bażi legali fil-Ġermanja, jeżistu dubji serji dwar il-kompatibbiltà ta’ din id-dispożizzjoni mal-Artikolu 22 tal-GDPR peress li l-leġiżlatur Ġermaniż jirregola biss l-“użu” ta’ valur ta’ probabbiltà bħal dak inkwistjoni fil-kawża prinċipali, u mhux it-tfassil inkwantu tali ta’ dan il-valur.
26 Min-naħa l-oħra, għalkemm it-tfassil ta’ tali valur ta’ probabbiltà ma jikkostitwixxix deċiżjoni individwali awtomatizzata, fis-sens tal-Artikolu 22 tal-GDPR, il-klawżola ta’ ftuħ li tinsab fil-paragrafu 2(b) ta’ dan l-Artikolu 22 lanqas ma tapplika għal-leġiżlazzjonijiet nazzjonali dwar din l-attività. Fid-dawl tan-natura bħala prinċipju eżawrjenti tal-GDPR u fl-assenza ta’ kompetenza normattiva oħra għal tali leġiżlazzjonijiet nazzjonali, jidher li l-leġiżlatur Ġermaniż, billi jissuġġetta t-tfassil ta’ valuri ta’ probabbiltà għal kundizzjonijiet ta’ legalità sostantivi iktar iddettaljati, jispeċifika l-qasam irregolat billi jmur lil hinn mir-rekwiżiti stabbiliti fl-Artikoli 6 u 22 tal-GDPR, mingħajr ma għandu setgħa ta’ leġiżlazzjoni għal dan il-għan. Li kieku din il-perspettiva kienet korretta, dan ibiddel il-marġni ta’ eżami tal-awtorità nazzjonali ta’ superviżjoni, li mbagħad ikollha tevalwa l-kompatibbiltà tal-attività tal-kumpanniji li jipprovdu informazzjoni kummerċjali fid-dawl tal-Artikolu 6 ta’ dan ir-regolament.
27 F’dawn iċ-ċirkustanzi, il-Verwaltungsgericht Wiesbaden (il-Qorti Amministrattiva ta’ Wiesbaden) iddeċidiet li tissospendi l-proċeduri quddiemha u li tagħmel lill-Qorti tal-Ġustizzja d-domandi preliminari li ġejjin:
“1. L-Artikolu 22(1) [tal-GDPR] għandu jiġi interpretat fis-sens li t-tfassil awtomatizzat ta’ valur ta’ probabbiltà li jikkonċerna l-kapaċità tal-persuna kkonċernata [suġġett tad-data] li tħallas kreditu fil-futur jikkostitwixxi diġà deċiżjoni bbażata esklużivament fuq ipproċessar awtomatizzat – inkluż it-tfassil tal-profil – li tipproduċi effetti legali li jikkonċernaw lill-persuna kkonċernata jew jaffettwawha b’mod sinjifikattiv b’mod simili, meta dan il-valur, stabbilit permezz ta’ data personali tal-persuna kkonċernata jiġi kkomunikat mill-kontrollur lil terz kontrollur u meta dan tal-aħħar jibbaża ruħu b’mod determinanti fuq l-imsemmi valur għad-deċiżjoni tiegħu fuq l-istabbiliment, l-eżekuzzjoni jew it-tmiem ta’ relazzjoni kuntrattwali mal-persuna kkonċernata?
2) Jekk l-ewwel domanda preliminari tingħata risposta fin-negattiv: l-Artikolu 6(1) u l-Artikolu 22 [tal-GDPR] għandhom jiġu interpretati fis-sens li jipprekludu leġiżlazzjoni nazzjonali li skontha l-użu ta’ valur ta’ probabbiltà – f’dan il-każ, valur dwar is-solvenza u r-rieda tal-persuna fiżika li tħallas meta tkun inkluża informazzjoni dwar dejn – fir-rigward ta’ aġir partikolari fil-futur ta’ persuna fiżika għall-finijiet tad-deċiżjoni dwar l-istabbiliment, l-eżekuzzjoni jew it-tmiem ta’ relazzjoni kuntrattwali ma’ din il-persuna (‘scoring’) huwa ammissibbli biss meta jkunu ssodisfatti kundizzjonijiet supplimentari ddeterminati oħra li huma esposti f’iktar dettall fil-motivi ta’ din id-deċiżjoni tar-rinviju?”
Fuq l‑ammissibbiltà tat‑talba għal deċiżjoni preliminari
28 SCHUFA tikkontesta l-ammissibbiltà tat-talba għal deċiżjoni preliminari billi ssostni, fl-ewwel lok, li l-qorti tar-rinviju ma hijiex mitluba tistħarreġ il-kontenut ta’ deċiżjoni dwar ilment, adottata minn awtorità ta’ superviżjoni bħall-HBDI, peress li r-rikors ġudizzjarju kontra tali deċiżjoni, previst fl-Artikolu 78(1) tal-GDPR, iservi biss sabiex jiġi mistħarreġ jekk din l-awtorità osservatx l-obbligi tagħha taħt dan ir-regolament, b’mod partikolari dak li tittratta l-ilmenti, filwaqt li jiġi ppreċiżat li l-imsemmija awtorità għandha setgħa diskrezzjonali sabiex tiddeċiedi jekk u kif hija għandha taġixxi.
29 Fit-tieni lok, SCHUFA ssostni li l-qorti tar-rinviju ma tesponix ir-raġunijiet preċiżi għalfejn id-domandi magħmula huma deċiżivi għas-soluzzjoni tal-kawża prinċipali. Din tal-aħħar għandha bħala suġġett talba għal informazzjoni fuq score konkret u t-tħassir tiegħu. Issa, f’dan il-każ, SCHUFA kienet osservat biżżejjed l-obbligu ta’ informazzjoni tagħha u kienet diġà ħassret l-iscore li huwa s-suġġett tal-proċedura.
30 F’dan ir-rigward, fl-ewwel lok, għandu jitfakkar li, skont ġurisprudenza stabbilita tal-Qorti tal-Ġustizzja, hija biss il-qorti nazzjonali, li quddiemha titressaq il-kawża u li għandha tagħti d-deċiżjoni, li għandha tevalwa, fid-dawl taċ-ċirkustanzi partikolari tal-kawża, kemm il-ħtieġa ta’ deċiżjoni preliminari sabiex tkun f’pożizzjoni li tagħti s-sentenza tagħha kif ukoll ir-rilevanza tad-domandi li hija tagħmel lill-Qorti tal-Ġustizzja. B’konsegwenza, meta d-domandi magħmula jirrigwardaw l-interpretazzjoni ta’ dispożizzjoni legali tal-Unjoni, il-Qorti tal-Ġustizzja, bħala prinċipju, hija marbuta li tagħti deċiżjoni (sentenza tat‑12 ta’ Jannar 2023, DOBELES HES, C‑702/20 u C‑17/21, EU:C:2023:1, punt 46 kif ukoll il-ġurisprudenza ċċitata).
31 Minn dan isegwi li d-domandi dwar id-dritt tal-Unjoni jibbenefikaw minn preżunzjoni ta’ rilevanza. Ir-rifjut tal-Qorti tal-Ġustizzja li tagħti deċiżjoni dwar domanda preliminari magħmula minn qorti nazzjonali huwa possibbli biss jekk ikun jidher b’mod ċar li l-interpretazzjoni ta’ regola tal-Unjoni mitluba ma għandha ebda rabta mar-realtà jew mas-suġġett tat-tilwima fil-kawża prinċipali, meta l-problema tkun ta’ natura ipotetika jew inkella meta l-Qorti tal-Ġustizzja ma jkollhiex il-punti ta’ fatt u ta’ liġi neċessarji sabiex tirrispondi b’mod utli għad-domandi li jkunu sarulha (sentenza tat‑12 ta’ Jannar 2023, DOBELES HES, C‑702/20 u C‑17/21, EU:C:2023:1, punt 47 kif ukoll il-ġurisprudenza ċċitata).
32 Fir-rigward, fl-ewwel lok, tal-motiv ta’ inammissibbiltà bbażat fuq stħarriġ ġudizzjarju allegatament limitat li għalih huma suġġetti d-deċiżjonijiet dwar ilment adottati minn awtorità ta’ superviżjoni, għandu jitfakkar li, konformement mal-Artikolu 78(1) tal-GDPR, bla ħsara għal kwalunkwe rimedju amministrattiv jew ekstraġudizzjarju ieħor, kull persuna fiżika jew ġuridika għandu jkollha d-dritt għal rimedju ġudizzjarju effettiv kontra deċiżjoni legalment vinkolanti ta’ awtorità ta’ superviżjoni li tikkonċernaha.
33 F’dan il-każ, id-deċiżjoni adottata mill-HBDI inkwantu awtorità ta’ superviżjoni tikkostitwixxi deċiżjoni legalment vinkolanti, fis-sens tal-Artikolu 78(1). Fil-fatt, wara li eżaminat il-fondatezza tal-ilment li kien tressaq quddiemha, din l-awtorità ddeċidiet dwaru u kkonstatat li l-ipproċessar tad-data personali kkontestat mir-rikorrenti fil-kawża prinċipali kien leċitu.
34 Fir-rigward tal-portata tal-istħarriġ ġudizzjarju eżerċitat fuq tali deċiżjoni fil-kuntest ta’ rikors ippreżentat skont l-imsemmi Artikolu 78(1), huwa biżżejjed li jiġi rrilevat li deċiżjoni dwar ilment adottata minn awtorità ta’ superviżjoni hija suġġetta għal stħarriġ ġudizzjarju sħiħ (sentenza tas‑7 ta’ Diċembru 2023, SCHUFA Holding (Rilaxx minn dejn li ma tħallasx lura), C‑26/22 u C‑64/22, EU:C:2023: XXX, punt 1 tad-dispożittiv).
35 Għaldaqstant, l-ewwel motiv ta’ inammissibbiltà mqajjem minn SCHUFA għandu jiġi miċħud.
36 Fit-tieni lok, mit-talba għal deċiżjoni preliminari jirriżulta b’mod ċar li l-qorti tar-rinviju tistaqsi dwar il-kriterju ta’ stħarriġ li għandu jiġi adottat fl-evalwazzjoni, fid-dawl tal-GDPR, tal-ipproċessar tad-data personali inkwistjoni fil-kawża prinċipali, peress li dan il-kriterju jiddependi mill-applikabbiltà jew le tal-Artikolu 22(1) ta’ dan ir-regolament.
37 Għaldaqstant, ma jidhirx b’mod manifest li l-interpretazzjoni tal-GDPR mitluba mill-qorti tar-rinviju ma għandha ebda relazzjoni mar-realtà jew mas-suġġett tal-kawża prinċipali u lanqas li l-problema hija ta’ natura ipotetika. Barra minn hekk, il-Qorti tal-Ġustizzja għandha l-punti ta’ fatt u ta’ liġi neċessarji sabiex tirrispondi b’mod utli għad-domandi li jsirulha.
38 Għaldaqstant, it-tieni motiv ta’ inammissibbiltà mqajjem minn SCHUFA għandu wkoll jiġi miċħud.
39 F’dawn iċ-ċirkustanzi, it-talba għal deċiżjoni preliminari hija ammissibbli.
Fuq id‑domandi preliminari
Fuq l‑ewwel domanda
40 Permezz tal-ewwel domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-Artikolu 22(1) tal-GDPR għandux jiġi interpretat fis-sens li jikkostitwixxi “deċiżjoni individwali awtomatizzata”, fis-sens ta’ din id-dispożizzjoni, it-tfassil awtomatizzat, minn kumpannija li tipprovdi informazzjoni kummerċjali, ta’ valur ta’ probabbiltà bbażat fuq data personali dwar suġġett u li jikkonċerna l-kapaċità tagħha li tonora impenji ta’ pagament fil-futur meta jiddependi b’mod determinanti minn dan il-valur ta’ probabbiltà l-fatt li terz, li lilu jiġi kkomunikat l-imsemmi valur ta’ probabbiltà, jistabbilixxi, jeżegwixxi jew itemm relazzjoni kuntrattwali ma’ dan is-suġġett.
41 Sabiex tingħata risposta għal din id-domanda, għandu jitfakkar, l-ewwel nett li l-interpretazzjoni ta’ dispożizzjoni tad-dritt tal-Unjoni teħtieġ li jittieħdu inkunsiderazzjoni mhux biss il-formulazzjoni tagħha, iżda wkoll il-kuntest tagħha kif ukoll l-għanijiet u l-iskop li għandhom jintlaħqu mill-att li tagħmel parti minnu (sentenza tat‑22 ta’ Ġunju 2023, Pankki S, C‑579/21, EU:C:2023:501, punt 38 u l-ġurisprudenza ċċitata).
42 Fir-rigward tal-formulazzjoni tal-Artikolu 22(1) tal-GDPR, din id-dispożizzjoni tipprovdi li s-suġġett tad-data għandu d-dritt li ma jkunx is-suġġett ta’ deċiżjoni bbażata esklużivament fuq ipproċessar awtomatizzat, inkluż it-tfassil tal-profili, li jipproduċi effetti legali li jikkonċernawh jew li jaffettwawh b’mod sinjifikattiv b’mod simili.
43 L-applikabbiltà ta’ din id-dispożizzjoni hija għalhekk suġġetta għal tliet kundizzjonijiet kumulattivi, jiġifieri, l-ewwel nett, li għandha teżisti “deċiżjoni”, it-tieni nett, li din id-deċiżjoni għandha tkun “[ibbażata] unikament fuq ipproċessar awtomatizzat, inkluż it-tfassil ta’ profili”, u, it-tielet nett, li hija għandha tipproduċi “effetti legali [li jikkonċernaw lill-persuna interessata]” jew “bl-istess mod [taffettwa lilha] b’mod sinifikanti”.
44 Fir-rigward, l-ewwel nett, tal-kundizzjoni dwar l-eżistenza ta’ deċiżjoni, għandu jiġi rrilevat li l-kunċett ta’ “deċiżjoni”, fis-sens tal-Artikolu 22(1) tal-GDPR, ma huwiex iddefinit minn dan ir-regolament. Madankollu, mill-formulazzjoni stess ta’ din id-dispożizzjoni jirriżulta li dan il-kunċett jirreferi mhux biss għal atti li jipproduċu effetti legali li jikkonċernaw lill-persuna inkwistjoni iżda wkoll għal atti li jaffettwawha b’mod sinjifikattiv b’mod simili.
45 Il-portata wiesgħa li l-kunċett ta’ “deċiżjoni” għandu hija kkonfermata mill-premessa 71 tal-GDPR, li tipprovdi li deċiżjoni li tinvolvi l-evalwazzjoni ta’ ċerti aspetti personali li jikkonċernaw suġġett, li għandu jkollha d-dritt li ma tkunx suġġetta għaliha, “tista’ tinkludi miżura” li jew jiġu prodotti “effetti legali li jikkonċernaw [lilha]”, jew, “[taffettwaha] b’mod ugwalment sinifikanti”. Skont din il-premessa, huma koperti mit-terminu “deċiżjoni”, bħala eżempji, iċ-ċaħda awtomatika ta’ applikazzjoni għal kreditu online jew prattiki ta’ reklutaġġ online mingħajr ebda intervent tal-bniedem.
46 Peress li l-kunċett ta’ “deċiżjoni” fis-sens tal-Artikolu 22(1) tal-GDPR jista’ għalhekk, kif irrileva l-Avukat Ġenerali fil-punt 38 tal-konklużjonijiet tiegħu, jinkludi diversi atti li jistgħu jaffettwaw lis-suġġett tad-data b’diversi modi, dan il-kunċett huwa wiesa’ biżżejjed sabiex jinkludi r-riżultat tal-kalkolu tas-solvenza ta’ persuna fil-forma ta’ valur ta’ probabbiltà fir-rigward tal-kapaċità ta’ din il-persuna li tonora impenji ta’ pagament fil-futur.
47 Fir-rigward, it-tieni nett, tal-kundizzjoni li d-deċiżjoni, fis-sens ta’ dan l-Artikolu 22(1), għandha tkun “[ibbażata] esklużivament fuq ipproċessar awtomatizzat, inkluż it-tfassil tal-profili”, hekk kif irrileva l-Avukat Ġenerali fil-punt 33 tal-konklużjonijiet tiegħu, huwa paċifiku li attività bħal dik ta’ SCHUFA tissodisfa d-definizzjoni ta’ “tfassil tal-profil” li tinsab fil-punt 4 tal-Artikolu 4 tal-GDPR u għalhekk li din il-kundizzjoni hija ssodisfatta f’dan il-każ, peress li l-formulazzjoni tal-ewwel domanda preliminari tirreferi barra minn hekk espliċitament għat-tfassil awtomatizzat ta’ valur ta’ probabbiltà bbażat fuq data personali relatata ma’ persuna u dwar il-kapaċità tagħha li tonora self fil-futur.
48 It-tielet nett, fir-rigward tal-kundizzjoni li d-deċiżjoni għandha tipproduċi “effetti legali” fir-rigward tal-persuna inkwistjoni jew taffettwaha “bl-istess mod [taffettwa lilha] b’mod sinifikanti”, mill-kontenut stess tal-ewwel domanda preliminari jirriżulta li l-azzjoni tat-terzi li lilu jiġi ttrasferit il-valur ta’ probabbiltà hija ggwidata “b’mod determinanti” minn dan il-valur. Għalhekk, skont il-konstatazzjonijiet fattwali tal-qorti tar-rinviju, fil-każ ta’ talba għal self indirizzata minn konsumatur lil bank, valur ta’ probabbiltà insuffiċjenti jwassal, kważi fil-każijiet kollha, għar-rifjut ta’ dan tal-aħħar li jagħti s-self mitlub.
49 F’dawn iċ-ċirkustanzi, għandu jitqies li t-tielet kundizzjoni li għaliha hija suġġetta l-applikazzjoni tal-Artikolu 22(1) tal-GDPR hija ssodisfatta wkoll, peress li valur ta’ probabbiltà bħal dak inkwistjoni fil-kawża prinċipali jaffettwa, tal-inqas, lis-suġġett tad-data b’mod sinjifikattiv.
50 Minn dan jirriżulta li, f’ċirkustanzi bħal dawk inkwistjoni fil-kawża prinċipali, li fihom il-valur ta’ probabbiltà mfassal minn kumpannija li tipprovdi informazzjoni kummerċjali u li tiġi kkomunikata lil bank għandu rwol determinanti fl-għoti ta’ kreditu, it-tfassil ta’ dan il-valur għandu jiġi kklassifikat fih innifsu bħala deċiżjoni li tipproduċi fir-rigward ta’ suġġett tad-data “effetti legali li jikkonċernaw lilu jew li bl-istess mod [jaffettwaw] lilu b’mod sinifikanti”, fis-sens tal-Artikolu 22(1) tal-GDPR.
51 Din l-interpretazzjoni hija kkorroborata mill-kuntest li l-Artikolu 22(1) tal-GDPR jagħmel parti minnu kif ukoll mill-għanijiet u mill-iskop li għandhom jintlaħqu minn dan ir-regolament.
52 F’dan ir-rigward, għandu jiġi rrilevat li, kif osserva l-Avukat Ġenerali fil-punt 31 ta’ dawn il-konklużjonijiet, l-Artikolu 22(1) tal-GDPR jagħti lis-suġġett tad-data d-“dritt” li ma jkunx is-suġġett ta’ deċiżjoni bbażata esklużivament fuq ipproċessar awtomatizzat, inkluż it-tfassil ta’ profili. Din id-dispożizzjoni tistabbilixxi projbizzjoni ta’ prinċipju li l-ksur tagħha ma jeħtieġx li jiġi invokat b’mod individwali minn tali persuna.
53 Fil-fatt, hekk kif jirriżulta minn qari flimkien tal-Artikolu 22(2) tal-GDPR u tal-premessa 71 ta’ dan ir-regolament, l-adozzjoni ta’ deċiżjoni bbażata esklużivament fuq ipproċessar awtomatizzat hija awtorizzata biss fil-każijiet imsemmija f’dan l-Artikolu 22(2), jiġifieri meta din id-deċiżjoni tkun neċessarja għall-konklużjoni jew għall-eżekuzzjoni ta’ kuntratt bejn is-suġġett tad-data u l-kontrollur tad-data (punt (a)), meta din tkun awtorizzata mid-dritt tal-Unjoni jew mil-liġi tal-Istat Membru li għaliha jkun suġġett il-kontrollur tad-data (punt (b)), jew meta tkun ibbażata fuq il-kunsens espliċitu tas-suġġett tad-data (punt (c)).
54 Barra minn hekk, l-Artikolu 22 tal-GDPR jipprevedi, fil-paragrafu 2(b) tiegħu u fil-paragrafu 3 tiegħu, li għandhom jiġu previsti miżuri adatti għas-salvagwardja tad-drittijiet u tal-libertajiet kif ukoll tal-interessi leġittimi tas-suġġett tad-data. Fil-każijiet imsemmija fl-Artikolu 22(2)(a) u (c) ta’ dan ir-regolament, il-kontrollur tad-data għandu jimplimenta tal-inqas id-dritt tas-suġġett tad-data li jikseb intervent tal-bniedem, li jesprimi l-fehma tiegħu u li jikkontesta d-deċiżjoni.
55 Barra minn hekk, konformement mal-Artikolu 22(4) tal-GDPR, huwa biss f’ċerti każijiet speċifiċi li d-deċiżjonijiet individwali awtomatizzati fis-sens ta’ dan l-Artikolu 22 jistgħu jkunu bbażati fuq il-kategoriji speċjali ta’ data personali msemmija fl-Artikolu 9(1) ta’ dan ir-regolament.
56 Barra minn hekk, fil-każ ta’ teħid ta’ deċiżjoni awtomatizzata, bħal dak imsemmi fl-Artikolu 22(1) tal-GDPR, minn naħa, il-kontrollur tad-data huwa suġġett għal obbligi ta’ informazzjoni addizzjonali skont l-Artikolu 13(2)(f) kif ukoll l-Artikolu 14(2)(g) ta’ dan ir-regolament. Min-naħa l-oħra, is-suġġett tad-data jibbenefika, skont l-Artikolu 15(1)(h) tal-imsemmi regolament, mid-dritt li jinkiseb mill-kontrollur tad-data, b’mod partikolari, “l-informazzjoni importanti dwar il-loġika involuta, kif ukoll is-sinifikat u l-konsegwenzi previsti ta’ tali pproċessar għas-suġġett tad-data”.
57 Dawn ir-rekwiżiti ogħla fir-rigward tal-legalità ta’ teħid ta’ deċiżjoni awtomatizzata kif ukoll l-obbligi ta’ informazzjoni addizzjonali tal-kontrollur tad-data u d-drittijiet ta’ aċċess addizzjonali tas-suġġett tad-data marbuta miegħu huma spjegati mill-iskop li l-Artikolu 22 tal-GDPR ifittex li jilħaq, li jikkonsisti fil-protezzjoni tal-persuni kontra r-riskji partikolari għad-drittijiet u għal-libertajiet tagħhom li jirriżultaw mill-ipproċessar awtomatizzat ta’ data personali, inkluż it-tfassil ta’ profili.
58 Fil-fatt, dan l-ipproċessar jimplika, hekk kif jirriżulta mill-premessa 71 tal-GDPR, l-evalwazzjoni ta’ aspetti personali relatati mal-persuna fiżika kkonċernata minn dan l-ipproċessar, b’mod partikolari sabiex jiġu analizzati jew imbassra aspetti li jikkonċernaw il-prestazzjoni tagħha fuq ix-xogħol, is-sitwazzjoni ekonomika tagħha, is-saħħa tagħha, il-preferenzi jew iċ-ċentri ta’ interess tagħha, l-affidabbiltà tagħha jew l-aġir tagħha, jew il-lokalizzazzjoni u l-movimenti tagħha.
59 Dawn ir-riskji partikolari jistgħu, skont din il-premessa, jaffettwaw l-interessi leġittimi u d-drittijiet tas-suġġett tad-data, b’mod partikolari fid-dawl tal-effetti diskriminatorji potenzjali fir-rigward ta’ persuni fiżiċi, ibbażati fuq l-oriġini razzjali jew etnika, l-opinjonijiet politiċi, ir-reliġjon jew it-twemmin, is-sħubija f’sindakat, l-istatus ġenetiku jew l-istat ta’ saħħa, jew l-orjentazzjoni sesswali. Għalhekk, dejjem skont l-imsemmija premessa, għandhom jiġu previsti salvagwardji xierqa u li jiġi żgurat trattament ġust u trasparenti fir-rigward tas-suġġett tad-data, b’mod partikolari permezz tal-użu ta’ proċeduri matematiċi jew statistiċi adegwati għall-finijiet tat-tfassil ta’ profili u permezz tal-applikazzjoni ta’ miżuri tekniċi u organizzattivi xierqa sabiex jiġi żgurat li r-riskju ta’ żball jitnaqqas kemm jista’ jkun.
60 Issa, l-interpretazzjoni esposta fil-punti 42 sa 50 ta’ din is-sentenza, u b’mod partikolari l-portata wiesgħa tal-kunċett ta’ “deċiżjoni”, fis-sens tal-Artikolu 22(1) tal-GDPR, issaħħaħ il-protezzjoni effettiva prevista minn din id-dispożizzjoni.
61 Min-naħa l-oħra, f’ċirkustanzi bħal dawk inkwistjoni fil-kawża prinċipali, li fihom huma involuti tliet atturi, jeżisti riskju ta’ evitar tal-Artikolu 22 tal-GDPR u, konsegwentement, lakuna fil-protezzjoni ġuridika jekk tiġi adottata interpretazzjoni restrittiva ta’ din id-dispożizzjoni, li tgħid li t-tfassil tal-valur ta’ probabbiltà għandu jitqies biss bħala att preparatorju u huwa biss l-att adottat mit-terz li jista’, jekk ikun il-każ, jiġi kklassifikat bħala “deċiżjoni”, fis-sens tal-Artikolu 22(1) ta’ dan ir-regolament.
62 Fil-fatt, f’din l-ipoteżi, it-tfassil ta’ valur ta’ probabbiltà bħal dak inkwistjoni fil-kawża prinċipali ma jaqax taħt ir-rekwiżiti speċifiċi previsti fl-Artikolu 22(2) sa (4) tal-GDPR, minkejja li din il-proċedura hija bbażata fuq ipproċessar awtomatizzat u tipproduċi effetti li jaffettwaw b’mod sinjifikattiv is-suġġett tad-data sa fejn l-azzjoni tat-terz, li lilu jiġi trażmess dan il-valur ta’ probabbiltà, hija ggwidata b’mod determinanti minnha.
63 Barra minn hekk, kif irrileva l-Avukat Ġenerali fil-punt 48 tal-konklużjonijiet tiegħu, minn naħa, is-suġġett tad-data ma jistax jinvoka, mal-kumpannija li tipprovdi informazzjoni kummerċjali li tfassal il-valur ta’ probabbiltà li jikkonċernah, id-dritt tiegħu ta’ aċċess għall-informazzjoni speċifika msemmija fl-Artikolu 15(1)(h) tal-GDPR, fl-assenza ta’ teħid ta’ deċiżjoni awtomatizzata minn din il-kumpannija. Min-naħa l-oħra, anki jekk jitqies li l-att adottat mit-terz min-naħa tiegħu jaqa’ taħt l-Artikolu 22(1) ta’ dan ir-regolament peress li jissodisfa l-kundizzjonijiet ta’ applikazzjoni ta’ din id-dispożizzjoni, dan it-terz ma jkunx f’pożizzjoni li jipprovdi din l-informazzjoni speċifika peress li ġeneralment ma jkollux pussess tagħha.
64 Il-fatt li t-tfassil ta’ valur ta’ probabbiltà bħal dak inkwistjoni fil-kawża prinċipali huwa kopert mill-Artikolu 22(1) tal-GDPR għandu bħala konsegwenza, hekk kif ġie rrilevat fil-punti 53 sa 55 ta’ din is-sentenza, li huwa pprojbit sakemm waħda mill-eċċezzjonijiet li jinsabu fl-Artikolu 22(2) ta’ dan ir-regolament ma tkunx applikabbli u li r-rekwiżiti speċifiċi previsti fl-Artikolu 22(3) u (4) tal-imsemmi regolament jiġu osservati.
65 Fir-rigward, b’mod iktar speċifiku, tal-Artikolu 22(2)(b) tal-GDPR, li għalih il-qorti tar-rinviju tirreferi, mill-formulazzjoni stess ta’ din id-dispożizzjoni jirriżulta li d-dritt nazzjonali li jawtorizza l-adozzjoni ta’ deċiżjoni individwali awtomatizzata għandu jipprevedi miżuri xierqa għas-salvagwardja tad-drittijiet u tal-libertajiet kif ukoll tal-interessi leġittimi tas-suġġett tad-data.
66 Fid-dawl tal-premessa 71 tal-GDPR, tali miżuri għandhom jinkludu, b’mod partikolari, l-obbligu għall-kontrollur tad-data li juża proċeduri matematiċi jew statistiċi adegwati, li japplika l-miżuri tekniċi u organizzattivi xierqa sabiex jagħmel mezz li r-riskju ta’ żball jitnaqqas sal-minimu u li żbalji jiġu kkorreġuti, kif ukoll li jiżgura d-data personali b’mod li jittieħdu inkunsiderazzjoni riskji involuti għall-interessi u għad-drittijiet tas-suġġett tad-data u li jipprevjeni, fost l-oħrajn, l-effetti diskriminatorji fir-rigward tiegħu. Dawn il-miżuri jinkludu, barra minn hekk, tal-inqas id-dritt tas-suġġett tad-data li jikseb intervent tal-bniedem min-naħa tal-kontrollur tad-data, li jesprimi l-fehma tiegħu u li jikkontesta d-deċiżjoni meħuda fir-rigward tiegħu.
67 Għandu jiġi rrilevat ukoll li, konformement mal-ġurisprudenza stabbilita tal-Qorti tal-Ġustizzja, kull ipproċessar ta’ data personali għandu, minn naħa, ikun konformi mal-prinċipji dwar l-ipproċessar tad-data stabbiliti fl-Artikolu 5 tal-GDPR u, min-naħa l-oħra, fid-dawl b’mod partikolari tal-prinċipju tal-legalità tal-ipproċessar, previst fil-paragrafu 1(a) ta’ dan l-artikolu, jissodisfa waħda mill-kundizzjonijiet ta’ legalità tal-ipproċessar elenkati fl-Artikolu 6 ta’ dan ir-regolament (sentenza tal‑20 ta’ Ottubru 2022, Digi, C‑77/21, EU:C:2022:805, punt 49 u l-ġurisprudenza ċċitata). Il-kontrollur tad-data għandu jkun f’pożizzjoni li juri l-osservanza ta’ dawn il-prinċipji, konformement mal-prinċipju ta’ responsabbiltà stabbilit fl-Artikolu 5(2) tal-imsemmi regolament (ara, f’dan is-sens, is-sentenza tal‑20 ta’ Ottubru 2022, Digi, C‑77/21, EU:C:2022:805, punt 24).
68 Għalhekk, fl-ipoteżi fejn id-dritt ta’ Stat Membru jawtorizza, konformement mal-Artikolu 22(2)(b) tal-GDPR, l-adozzjoni ta’ deċiżjoni bbażata esklużivament fuq ipproċessar awtomatizzat, dan l-ipproċessar għandu josserva mhux biss il-kundizzjonijiet stabbiliti f’din l-aħħar dispożizzjoni u fl-Artikolu 22(4) ta’ dan ir-regolament, iżda wkoll ir-rekwiżiti stabbiliti fl-Artikoli 5 u 6 tal-imsemmi regolament. Għaldaqstant, l-Istati Membri ma jistgħux jadottaw, skont l-Artikolu 22(2)(b) tal-GDPR, leġiżlazzjonijiet li jawtorizzaw it-tfassil ta’ profili bi ksur tar-rekwiżiti stabbiliti minn dawn l-Artikoli 5 u 6, kif interpretati mill-ġurisprudenza tal-Qorti tal-Ġustizzja.
69 Fir-rigward b’mod partikolari tal-kundizzjonijiet ta’ legalità, previsti fl-Artikolu 6(1)(a), (b) u (f) tal-GDPR, li jistgħu japplikaw f’każ bħal dak inkwistjoni fil-kawża prinċipali, l-Istati Membri ma humiex awtorizzati jipprevedu regoli addizzjonali għall-applikazzjoni ta’ dawn il-kundizzjonijiet, peress li tali possibbiltà hija, konformement mal-Artikolu 6(3) ta’ dan ir-regolament, limitata għar-raġunijiet imsemmija fl-Artikolu 6(1)(c) u (e) tal-imsemmi regolament.
70 Barra minn hekk, f’dak li jirrigwarda b’mod iktar partikolari l-Artikolu 6(1)(f) tal-GDPR, l-Istati Membri ma jistgħux, skont l-Artikolu 22(2)(b) ta’ dan ir-regolament, jitbiegħdu mir-rekwiżiti li jirriżultaw mill-ġurisprudenza tal-Qorti tal-Ġustizzja li tirriżulta mis-sentenza tas‑7 ta’ Diċembru 2023, SCHUFA Holding (Rilaxx minn dejn li ma tħallasx lura) (C‑26/22 u C‑64/22, EU:C:2023:XXX), b’mod partikolari, billi jiġi stabbilit b’mod definittiv ir-riżultat tal-kunsiderazzjoni tad-drittijiet u tal-interessi inkwistjoni (ara, f’dan is-sens, is-sentenza tad‑19 ta’ Ottubru 2016, Breyer, C‑582/14, EU:C:2016:779, punt 62).
71 F’dan il-każ, il-qorti tar-rinviju tindika li, huwa l-Artikolu 31 tal-BDSG biss li jista’ jikkostitwixxi bażi legali nazzjonali, fis-sens tal-Artikolu 22(2)(b) tal-GDPR. Madankollu, hija għandha dubji serji dwar il-kompatibbiltà ta’ dan l-Artikolu 31 mad-dritt tal-Unjoni. F’każ li jitqies li din id-dispożizzjoni hija inkompatibbli mad-dritt tal-Unjoni, SCHUFA taġixxi mhux biss mingħajr bażi legali, iżda tikser ipso iure l-projbizzjoni stipulata fl-Artikolu 22(1) tal-GDPR.
72 F’dan ir-rigward, hija l-qorti tar-rinviju li għandha tivverifika jekk l-Artikolu 31 tal-BDSG jistax jiġi kklassifikat bħala bażi legali li tawtorizza, skont l-Artikolu 22(2)(b) tal-GDPR, l-adozzjoni ta’ deċiżjoni bbażata esklużivament fuq ipproċessar awtomatizzat. Jekk din il-qorti kellha tasal għall-konklużjoni li l-imsemmi Artikolu 31 jikkostitwixxi tali bażi legali, hija għandha tivverifika wkoll jekk il-kundizzjonijiet stabbiliti fl-Artikolu 22(2)(b) u (4) tal-GDPR u dawk li jinsabu fl-Artikoli 5 u 6 ta’ dan ir-regolament humiex issodisfatti f’dan il-każ.
73 Fid-dawl tal-kunsiderazzjonijiet preċedenti kollha, ir-risposta għall-ewwel domanda għandha tkun li l-Artikolu 22(1) tal-GDPR għandu jiġi interpretat fis-sens li t-tfassil awtomatizzat, minn kumpannija li tipprovdi informazzjoni kummerċjali, ta’ valur ta’ probabbiltà bbażat fuq data personali dwar persuna u dwar il-kapaċità tagħha li tonora impenji ta’ pagament fil-futur jikkostitwixxi “deċiżjoni individwali awtomatizzata”, fis-sens ta’ din id-dispożizzjoni, meta jiddependi b’mod determinanti minn dan il-valur ta’ probabbiltà l-fatt li terz, li lilu jiġi kkomunikat l-imsemmi valur ta’ probabbiltà, jistabbilixxi, jeżegwixxi jew itemm relazzjoni kuntrattwali ma’ din il-persuna.
Fuq it‑tieni domanda
74 Fid-dawl tar-risposta mogħtija għall-ewwel domanda, ma hemmx lok li tingħata risposta għat-tieni domanda.
Fuq l‑ispejjeż
75 Peress li l-proċedura għandha, fir-rigward tal-partijiet fil-kawża prinċipali, in-natura ta’ kwistjoni mqajma quddiem il-qorti tar-rinviju, hija dik il-qorti li tiddeċiedi fuq l-ispejjeż. L-ispejjeż sostnuti għas-sottomissjoni tal-osservazzjonijiet lill-Qorti tal-Ġustizzja, barra dawk tal-imsemmija partijiet, ma jistgħux jitħallsu lura.
Għal dawn il-motivi, Il-Qorti tal-Ġustizzja (L‑Ewwel Awla) taqta’ u tiddeċiedi:
L-Artikolu 22(1) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data),
għandu jiġi interpretat fis-sens li:
it-tfassil awtomatizzat, minn kumpannija li tipprovdi informazzjoni kummerċjali, ta’ valur ta’ probabbiltà bbażat fuq data personali dwar persuna u dwar il-kapaċità tagħha li tonora impenji ta’ pagament fil-futur jikkostitwixxi “deċiżjoni individwali awtomatizzata”, fis-sens ta’ din id-dispożizzjoni, meta jiddependi b’mod determinanti minn dan il-valur ta’ probabbiltà l-fatt li terz, li lilu jiġi kkomunikat l-imsemmi valur ta’ probabbiltà, jistabbilixxi, jeżegwixxi jew itemm relazzjoni kuntrattwali ma’ din il-persuna.
Firem
* Lingwa tal-kawża: il-Ġermaniż.