idpc
INFORMATION AND DATA
PROTECTION COMMISSION
# Kummissarju għall-Informazzjoni u l-Protezzjoni tad-Data
CDP/COMP/429/2023
vs
# L-ILMENT
1. Fis-17 ta’ Marzu 2023, is-Sinjura [REDACTED] (l-“ilmentatriċi” jew is-“suġġett tad-data”), intavolat ilment mal-Kummissarju għall-Informazzjoni u l-Protezzjoni tad-Data (il-“Kummissarju”) ai termini tal-artikolu 77(1) tar- Regolament Ġenerali dwar il-Protezzjoni tad-Data¹ (ir-“Regolament”), tallega li [REDACTED] ħa ritratti tal-ilmentatriċi u ta’ individwi oħra, inklużi minorenni, waqt li kienu fir-residenza tagħha, u sussegwentement annetta dawn ir-ritratti ma’ affidavit li eventwalment ġie ppreżentat lit-Tribunal ta’ Reviżjoni tal-Ambjent u l-Ippjanar.
# L-INVESTIGAZZJONI
Is-Sottomissjonijiet tal-[REDACTED]
2. Skont l-artikolu 58(1)(a) tar-Regolament, il-Kummissarju pprovda lil [REDACTED] kopja tal-ilment, inkluża d-dokumentazzjoni meħmuża miegħu, u talbu jressaq is-sottomissjonijiet tiegħu sabiex jiddefendi lilu nnifsu mill-allegazzjonijiet imqajma mill-ilmentatriċi. Permezz ta’ ittra elettronika datata l-25 ta’ Mejju 2023, [REDACTED] ppreżenta s-sottomissjonijiet tiegħu. Kopja tas-sottomissjonijiet ġew ipprovduti lill-ilmentatriċi, u għalhekk l-argumenti prinċipali tal-każ se jiġu stabbiliti hawn taħt:
¹ Regolament Ġenerali dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE.
Pàgna 1 minn 8
idpc
INFORMATION AND DATA
PROTECTION COMMISSIONER
a. illi “[t]he photographs submitted as attachments to my affidavit to the EPRT were taken by me, or by my wife, and they are of our daughter. She is the figure sitting or standing in the foreground of the photo. These were photos taken during my day to day activities, of my daughter at our home. I am informed that according to Article 2(2)(c) of the GDPR, the processing of personal data by a natural person in the course of a purely personal or household activity and thus with no connection to a professional or commercial activity is exempt. This is, first and foremost, the case here because the photos were photos taken as part of our personal/household activities. We took the photos when taking photos of our children at home”;
b. illi “[a]ccording to the GDPR, it is held that it is allowable to process personal data where necessary for the establishment, exercise, or defence of legal claims, whether in court proceedings or in an administrative or out-of-court procedure. This is what is happening here, whereby I am presently involved in an ongoing claim before the EPRT involving the complainant as the other party. […] I have filed the affidavit in question in order to substantiate my legal claim before the EPRT and together with the affidavit have annexed the two photographs forming the subject of the complaint. This is intended to better illustrate the situation to the EPRT and to highlight the problem which constitutes the merits of the appeal. The documentation was sent by email only to the persons directly involved in the legal claim, and therefore to the Tribunal Secretary, the Planning Authority representative who is involved in the said appeal, and the lawyer and architect who respectively represent the complainant. It is noted that the acts of the EPRT proceedings, while being tribunal proceedings, are not easily accessible by the public since one would need to visit the premises of the EPRT, know about the case file and ask to access and view the case file in order to be able to get to a point whereby one could have the possibility of accessing the photos”;
c. illi “[w]hat is also very relevant is that even though the photos are being used to substantiate my legal claim, since they were photos taken by me/my wife at our home on our phones, the photos themselves are not of a very good quality and the persons appearing in the background of the photographs cannot be identified at all. The images are so grainy that one cannot identify who amongst them is the minor (as is alleged by the complainant). There is no further data in the images that could identify the persons
Páğna 2 minn 8
idpc
INFORMATION AND DATA
PROTECTION COMMISSIONER
appearing in the background. Since they cannot be identified, their privacy is not being infringed”.
# Is-Sottomissjonijiet tal-ilmentatriċi
3. F’konformità mal-proċedura tal-Uffiċċju tal-Kummissarju, fit-30 ta’ Mejju 2023, il-Kummissarju pprovda lill-ilmentatriċi bl-opportunità li tirribatti l-argumenti magħmulin mill-Av. [REDACTED]. Fl-istess ġurnata, is-suġġett tad-data ssottomettiet l-argumenti tagħha, u għall-fini ta’ din it-taqsima u peress li kopja ta’ dawn is-sottomissjonijiet ngħatat lilha, l-argumenti ewlenin li għamlet se jiġu elenkati hawn taħt:
a. illi r-ritratti msemmija jesponu xbihat ta' persuni li huma facilment identifikabbli, fosthom hemm anke minuri ta erbatax-il (14) sena;
b. illi dawn ir-ritratti jikkostitwixxu "information relating to an identified or identifiable natural person" u ghalhekk jikkwalifikaw bhala data personali;
c. illi b'dawn ir-ritratti, skattat '... operation or set of operations which is performed upon personal data, ... such as collection, recording, ... storage', cioe' 'processing of personal data';
d. illi jirrizulta li dawn ir-ritratti joholqu l-objettivi ta' artikolu 1 u premessa 10 tad-Directive 95/46. L-ilmentatrici kompliet billi rreferiet ghall-artikolu 7 tal-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea; u
e. illi l-espożizzjoni ta' l-imsemmija ritratti qieghda tnaqqar id-dritt ta' privatezza kif sanciti fl-imsemmi fil-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea.
# Is-Sottomissjonijiet finali tal- [REDACTED]
4. Skont il-proċedura ta’ dan l-Uffiċċju, il-Kummissarju talab lil- [REDACTED] sabiex jirribatti l-argumenti li għamlet l-ilmentatriċi. Fit-13 ta’ Ġunju 2023, ressaq l-argumenti ewlenin li ġejjin:
a. illi ir-ritratti ħadhom [REDACTED] jew il-mara tiegħu u dawn r-ritratti huma primarjament tat-tifla tagħhom fid-dar tagħhom. Ir-Regolament huwa ċar dwar dan il-punt, u ċioè illi
Paġna 3 minn 8
idpc.
INFORMATION AND DATA
PROTECTION COMMISSIONER
r-Regolament ma japplikax għall-ipproċessar ta' data personali minn persuna fiżika matul attività purament personali jew fid-dar u għalhekk mingħajr ebda rabta ma' attività professjonali jew kummerċjali;
b. illi r-ritratti ma ntuzawx b'mod kummercjali izda ntuzaw ghall-istabbiliment, l-ezercizzju jew id-difiza ta' talbiet legali bhala parti mill-appell li qieghed prezentement jinstema' quddiem it-Tribunal ta' Revizjoni tal-Ambjent u l-Ippjanar. Kemm l- u l-mara tieghu, kif ukoll l-ilmentatrici jiffurmaw parti minn dan l-appell quddiem t-Tribunal ta' Revizjoni tal-Ambjent u l-Ippjanar. L- issostni li ma kien hemm l-ebda pubblikazzjoni tar-ritratti, u l-membri tal-pubbliku ma jistghux jaccessaw ir-ritratti facilment peress li huma parti mill-fajl tat-Tribunal. Ghaldaqstant, dan huwa uzu proporzjonat u mhux uzu eccessiv tar-ritratti in kwistjoni;
c. illi t-tehid ta' dawn ir-ritratti u l-uzu taghhom, kemm meta kien ghal attività purament personali, kif ukoll issa li jifformaw parti minn affidavit li huwa parti processwali ta' proceduri legali u gudizzjarji quddiem t-Tribunal ta' Revizjoni tal-Ambjent u l-Ippjanar, huma uzi permissibbli mir-Regolament minghajr ebda vjolazzjoni tad-drittijiet tal-persuna identifikabbli fir-ritratt; u
d. illi ghandu jigi pprecizat illi l-ilmentatrici m'hiex identifikabbli fir-ritratti pprezentati mal-affidavit in kwistjoni, u ghalhekk l- jargumenta illi ma jistax jifhem kif qieghed isir daqshekk emfasi mill-ilmentatrici li ir-ritratti "jesponu xbihat ta' persuna/i li huma facilment identifikabbli" meta r-ritratti huma tant pixellated u sfukati illi ma tingharaf l-ebda persuna.
# ANALIŻI LEGALI U DEĊIŻJONI
# Kunsiderazzjonijiet Ġenerali
5. Illi l-Kummissarju eżamina s-sottomissjonijiet magħmula miż-żewġ partijiet. Eżamina wkoll ir-ritratti pprovduti flimkien mal-affidavit lit-Tribunal ta' Reviżjoni tal-Ambjent u l-Ippjanar li fihom tidher l-ilmentatrici u individwi oħra, inklużi minorenni, waqt li kienu fir-residenza tagħha, sabiex jiddetermina jekk din il-pubblikazzjoni tikkostitwixxix ipproċessar ta' data personali, kif definit fl-ambitu tar-Regolament.
Paġna 4 minn 8
idpc
INFORMATION AND DATA
PROTECTION COMMISSION
6. Il-Kummissarju kkunsidra l-artikolu 4(1) tar-Regolament li jiddefinixxi "data personali" bhala "kwalunkwe informazzjoni relatata ma' persuna fizika identifikata jew identifikabbli ("suggett tad-data"); persuna fizika identifikabbli hija persuna li tista' tiigi identifikata, direttament jew indirettament, b'mod partikolari b'referenza ghal mezz ta' identifikazzjoni bhal isem, numru ta' identifikazzjoni, data ta' lokalizzazzjoni, identifikatur online jew ghal fattur wiehed jew aktar specifici ghall-identita fizika, fizjologika, genetika, mentali, ekonomika, kulturali jew socjali ta' dik il-persuna fizika" [emfasi gie mizjud]. Wara li ezamina bir-reqqa r-ritratti in kwistjoni, il-Kummissarju stabbilixxa li l-individwi li jidhru fir-ritratti jistghu jiu rikonoxxuti u allura identifikabbli.
7. F'dan ir-rigward, il-Kummissarju nnota li f'wiehed mir-ritratti hemm minorenni. Fil-fatt, il-premessa 75 tar-Regolament tikklassifika t-tfal bhala "persuni fizici vulnerabbl" u sussegwentement, il-premessa 38 tipprovdi li "l-minorenni jixirqilhom protezzjoni specifica fir-rigward tad-data personali taghhom, minhabba li dawn jistghu jkunu inqas konxji tar-riskji, il-konsegwenzi u s-salvagwardji u d-drittijiet taghhom fir-rigward tal-ipproessar ta' data personali".
# Artikolu 2(2)(c) tar-Regolament – L-eżenzjoni domestika
8. Illi fir-rigward tar-ritratti li huma s-suggett ta' dan l-ilment, l- invoka l-eenzjoni domestika, li hija stabbilita fl-artikolu 2(2)(c) tar-Regolament, u li tistipula li l-provvedimenti tar-Regolament ma japplikawx ghall-ipproessar ta' data personali "minn persuna fizika waqt attività purament personali jew fid-dar".
9. Illi dwar dan il-punt, il-Kummissarju ha konjizzjoni tal-gurisprudenza tal-Qorti tal-Gustizzja tal-Unjoni Ewropea (QEG) li tinterpreta l-eenzjoni domestika bl-izjed mod strett. Intant, il-Bord Ewropew ghall-Protezzjoni tad-Data pprovda li "din id-dispozzizzjoni - l-hekk imsejha eenzjoni domestika - fil-kuntest tas-sorveljanza bil-video trid tiigi interpretata b'mod strett"2.
10. Illi ghaldaqstant, fis-sentenza Jehovan todistajat, il-QEG intalbet tikkunsidra jekk il-gbir talismijiet u l-indirizzi ta' residenti minn membr tax-xhieda tal-Gehova fil-Finlandja, u sussegwentement it-tixrid ta' dik id-data ma' membr ohra fuq il-komunita onlajn, jistghux
² Linji Gwida 3/2019 dwar l-ipproċessar ta’ data personali permezz ta’ apparat video, Verżjoni 2.0, adottata fid-29 ta’ Jannar 2020, para. 12.
Paġna 5 minn 8
idpc
INFORMATION AND DATA
PROTECTION COMMISSIONER
jitqiesu li jaqghu taħt l-eżenzjoni domestika. Il-Qorti ddeċidiet li “t-tieni inċiż tal-Artikolu 3(2) tad-Direttiva 95/46 għandu jiġi interpretat fis-sens li jkopri biss l-attivitajiet li jaqghu fil-kuntest tal-ħajja privata jew tal-familja tal-individwi. F’dan id-dawl, attività ma tistax titqies li hija esklużivament personali jew domestika, fis-sens ta’ din id-dispożizzjoni, meta l-għan tagħha jkun li tagħmel data personali aċċessibbli għal numru indefinit ta’ persuni, jew inkella meta din l-attività testendi, anki jekk parzjalment, għad-dominju pubbliku, u, għalhekk, tkun indirizzata ‘l barra mill-isfera privata ta’ min jipproċessa d-data”.³
11. Illi l-Kummissarju analizza wkoll id-deċiżjoni meħuda mill-Qorti Amministrattiva Provinċjali f’Varsavja, fejn intqal li “[w]hile it is undisputed that recital 18 in the Preamble to the GPDR refers to online activities, including the use of social networks, as exempted, the Court is of the view that this should not be interpreted as an example of an absolute exemption, applicable in all situations and to any non-commercial activity of the user on the internet, but should be limited to those situations in which the processing of data, in particular its disclosure via the internet, does not take place for the benefit of an unlimited public”⁴ [enfasi ġiet miżjuda].
12. Illi l-Kummissarju rrefera għas-sottomissjonijiet tal-kontrollur, datati l-25 ta’ Mejju 2023, speċifikament li “[i]t is noted that the acts of the EPRT proceedings, while being tribunal proceedings, are not easily accessible by the public since one would need to visit the premises of the EPRT, know about the case file and ask to access and view the case file in order to be able to get to a point whereby one could have the possibility of accessing the photos”. F’dan ir-rigward, il-Kummissarju rrikonoxxa u enfasizza li filwaqt li l-proċeduri tat-Tribunal ta’ Reviżjoni tal-Ambjent u l-Ippjanar ma humiex aċċessibbli online, individwi li mhumiex involuti direttament fl-appell u l-pubbliku ġenerali, xorta jistgħu jaraw il-fajls kull meta jkunu jixtiequ. Għaldaqstant, id-data personali tal-ilmentatriċi u tal-minuri, huma aċċessibbli għal numru indefinit ta’ persuni. Fl-isfond tal-każistika tal-QEĠ, il-Kummissarju jiddetermina li l-eżenzjoni domestika ma tapplikax għall-każ odjern, u għaldaqstant, il-kontrollur qiegħed jaġixxi fil-kapaċità ta’ kontrollur (minn hawn ‘il quddiem tissejjah il-“kontrollur”) għall-fini tal-artikolu 4(7) tar-Regolament.
13. Għaldaqstant il-Kummissarju jisħaq illi malli l- u cioè’ il-kontrollur, uża tali ritratti għall-skop li ma kienx dak ta’ natura purament personali jew privata, iżda għall-skop li jmur lil
³ Kawża C-25/17, Tietosuojavaltuutettu vs Jehovan todistajat – uskonnollinen yhdyskunta tal-10 ta’ Lulju 2018, para. 42.
⁴ Qorti Amministrattiva Provinċjali f’Varsavja, II SA / Wa 338/21 tad-19 ta’ Novembru 2021.
Paġna 6 minn 8
idpc
INFORMATION AND DATA
PROTECTION COMMISSIONER
hinn minn dan, fl-ilment odjern sabiex jagħmel il-każ tiegħu quddiem it-Tribunal ta' Reviżjoni tal-Ambjent u l-Ippjanar, l-eżenzjoni domestika taħt ir-Regolament ma tibqax tapplika u r-regoli kollha dwar il-protezzjoni tad-data personali stipulati taħt l-istess Regolament japplikaw fl-intier tagħhom.
14. Illi fin-nuqqas tal-applikabbilità tal-eżenzjoni domestika, il-kontrollur ghandu jizgura li kull operazzjoni ta' pprocessar tad-data jkolha bazi legali. F'dan ir-rigward, l-artikolu 6(1) tar-Regolament jipprovdi ghal ghadd ta' bazijiet legali, filwaqt li l-artikolu 5 tar-Regolament jqis ukoll il-principji ewlenin l-ohra ghall-ipprocessar ta' data personali.
15. Bhala missier, il-kontrollur gharaf bir-rağun li l-protezzjoni tad-drittijiet u l-libertajiet fundamentali tat-tifla tieghu ghandhom jigu irrispettati, tant kemm hu hekk, illi wiccha fir-ritratt in kwistjoni gie mghotti. Filwaqt li l-Kummissarju jirrikonoxxi li dan l-agir huwa wiehed gust u xieraq, ma jistax jirrikoncilja ir-rağuni il-ghaliex il-kontrollur ma agjixxiex bl-istess mod fil-konfront tal-persuni l-ohra li kienu qed jidhru fir-ritratt. Finalment, huwa ampjament car illi li kieku wicc it-terzi persuni gie mghotti, il-kontrollur kien xorta jilhaq l-ghan tieghu u dan l-ilment ma kienx ikollu ghalfejn isir.
Fid-dawl ta' dak li ntqal u wara li l-Kummissarju ha in konsiderazzjoni il-fatti stabbiliti matul il-kors tal-investigazzjoni, jiddeċiedi li tali attività ta' pproċessar ma taqax taħt l-eżenzjoni stipulata fl-artikolu 2(2)(c) tar-Regolament, u għalhekk id-dispożizzjonijiet tar-Regolament japplikaw fl-intier tagħhom. Konsegwentement, l- [REDACTED] fil-kapaċità tiegħu ta' kontrollur kiser l-artikolu 6(1) tar-Regolament meta ipproċessa data personali mingħajr l-ebda bażi legali għall-ipproċessar.
Għaldaqstant, il-kontrollur qiegħed jiġi notifikat b'ċanfira skont l-artikolu 58(2)(b) tar-Regolament.
Ian Dęguara
Kummissarju għall-Informazzjoni u l-Protezzjoni tad-Data
Today, the 25th of July, 2023
Pàgna 7 minn 8
idpc.
INFORMATION AND DATA
PROTECTION COMMISSIONER
# **Id-Dritt ta' Appell**
Ai termini tal-artikolu 26(1) tal-Att dwar il-Protezzjoni u l-Privatezza tad-*Data* (Kap. 586 tal-Ligijiet ta' Malta), “*[p]ersuna li lilha tkun giet indirizzata deċiżjoni legali vinkolanti tal-Kummissarju, ikollha l-jedd li tappella bil-miktub lit-Tribunal fi żmien għoxrin jum minn meta tiġi notifikata bl-imsemmija deċiżjoni kif previst fl-artikolu 23*”.
Appell lit-Tribunal tal-Appelli dwar l-Informazzjoni u l-Protezzjoni tad-*Data* għandu jsir bil-miktub u jiġi indirizzat lil:
Is-Segretarja,
158, Triq il-Merkanti,
Valletta
Pàgna 8 minn 8