Il-Liġijiet ta' Malta dwar il-Privatezza tad-Data: Gwida għall-Kap. 586 u l-GDPR (2026)

Il-privatezza tad-data f'Malta hija rregolata mir-Regolament Ġenerali dwar il-Protezzjoni tad-Data tal-UE (GDPR), li ilu japplika direttament mill-25 ta' Mejju 2018, flimkien mal-Att dwar il-Protezzjoni tad-Data (Kapitolu 586 tal-Liġijiet ta' Malta), fis-seħħ mit-28 ta' Mejju 2018. Il-Kummissarju għall-Informazzjoni u l-Protezzjoni tad-Data (IDPC) jinforza ż-żewġ strumenti u jittratta l-ksur skont il-Kap. 586 u l-GDPR.

Tweġiba Malajra: X'Jirregola l-Privatezza tad-Data f'Malta?

Malta tapplika direttament ir-Regolament Ġenerali dwar il-Protezzjoni tad-Data tal-UE (GDPR), issupplimentat bl-Att dwar il-Protezzjoni tad-Data (Kapitolu 586 tal-Liġijiet ta' Malta, fis-seħħ mit-28 ta' Mejju 2018) u 14-il att ta' leġiżlazzjoni sussidjarja. Il-Kummissarju għall-Informazzjoni u l-Protezzjoni tad-Data (IDPC) jinforza l-konformità u, mill-2024, jaġixxi wkoll bħala awtorità għad-drittijiet fundamentali skont l-Att tal-UE dwar l-AI, sa fejn tikkonċerna l-protezzjoni tad-data personali.

Il-Bażi Kostituzzjonali u Legali

Il-qafas ta' Malta dwar il-protezzjoni tad-data jislet il-leġittimità tiegħu minn diversi saffi ta' liġi kostituzzjonali u internazzjonali.

Il-Kostituzzjoni ta' Malta (1964) tmiss il-privatezza fi tliet dispożizzjonijiet. L-Artikolu 32(c) jiddikjara li kull persuna f'Malta għandha dritt għar-rispett tal-ħajja privata u tal-familja tagħha, suġġett għal-limitazzjonijiet stabbiliti fil-bqija tal-Kapitolu IV. L-Artikolu 38, bl-intestatura Protezzjoni tal-privatezza tad-dar jew ta' proprjetà oħra, jipprovdi li l-ebda persuna ma għandha tkun suġġetta għat-tfittxija tal-persuna jew tal-proprjetà tagħha jew għad-dħul ta' oħrajn fil-post tagħha, ħlief bil-kunsens, bħala dixxiplina tal-ġenituri, jew taħt liġi raġonevolment meħtieġa għal wieħed mill-interessi pubbliċi elenkati.

L-Artikolu 41 huwa l-artikolu dwar il-libertà tal-espressjoni. Il-ħelsien minn interferenza fil-korrispondenza huwa waħda mill-fergħat tal-Artikolu 41(1), flimkien mal-libertà li wieħed ikollu opinjonijiet u li jirċievi u jikkomunika ideat u informazzjoni. Il-klawżola ta' limitazzjoni tiegħu fl-Artikolu 41(2) tapplika test ta' dak li huwa raġonevolment meħtieġ fl-interessi tad-difiża, tas-sigurtà pubblika, tal-ordni pubbliku, tal-moralità jew id-diċenza pubblika, jew tas-saħħa pubblika, u mhux il-formula tal-KEDB ta' neċessità f'soċjetà demokratika.

L-European Convention Act, Kapitolu 319 tal-Liġijiet ta' Malta, tagħti effett dirett fid-dritt domestiku Malti lill-Konvenzjoni Ewropea dwar id-Drittijiet tal-Bniedem (KEDB). L-Artikolu 8 tal-KEDB, li jipproteġi d-dritt għar-rispett tal-ħajja privata u tal-familja, tad-dar, u tal-korrispondenza, huwa għalhekk direttament infurzabbli quddiem il-qrati Maltin mingħajr il-bżonn li wieħed jistrieħ biss fuq id-dispożizzjonijiet kostituzzjonali.

Malta rratifikat il-Konvenzjoni tal-Kunsill tal-Ewropa għall-Protezzjoni tal-Individwi fir-rigward tal-Ipproċessar Awtomatiku ta' Data Personali (Konvenzjoni 108) f'Frar 2003, 15-il sena qabel l-armonizzazzjoni tal-GDPR tal-UE. Din ir-ratifika ffurmat parti mill-istruttura legali li appoġġat il-leġiżlazzjoni suċċessiva ta' Malta dwar il-protezzjoni tad-data.

Fil-livell tal-UE, il-GDPR (Regolament (UE) 2016/679) japplika bħala liġi tal-UE direttament applikabbli f'Malta. B'differenza minn direttiva, il-GDPR ma jeħtieġx traspożizzjoni: jidħol fis-seħħ fl-intier tiegħu mingħajr leġiżlazzjoni ta' implimentazzjoni nazzjonali. Il-Kap. 586 jissupplimenta l-GDPR f'oqsma fejn ir-Regolament jippermetti jew jeħtieġ espressament regoli nazzjonali.

L-Att dwar il-Protezzjoni tad-Data (Kapitolu 586)

L-Istruttura u l-Kamp ta' Applikazzjoni

L-Att dwar il-Protezzjoni tad-Data, Kapitolu 586 tal-Liġijiet ta' Malta (Att XX tal-2018), daħal fis-seħħ fit-28 ta' Mejju 2018, tlett ijiem wara li l-GDPR sar applikabbli fil-25 ta' Mejju 2018. Dan l-Att issostitwixxa l-Att dwar il-Protezzjoni tad-Data tal-2001 (Kap. 440) u huwa allinjat mal-istruttura tal-GDPR.

Il-Kap. 586 għandu tmien Partijiet: Preliminari (artikoli 1 sa 3); Applikabbiltà (artikolu 4); Restrizzjonijiet, Konsultazzjoni u Awtorizzazzjoni Minn Qabel (artikoli 5 sa 9, li jkopru r-restrizzjonijiet skont l-Artikolu 23 tal-GDPR, id-derogi għar-riċerka u l-arkivjar, l-awtorizzazzjoni minn qabel, l-ipproċessar ta' dokumenti tal-identità u tan-numru tal-identità nazzjonali, u l-eżenzjoni għal-libertà tal-espressjoni); Trasferimenti Transkonfinali ta' Data (artikolu 10); il-Kummissarju għall-Informazzjoni u l-Protezzjoni tad-Data (artikoli 11 sa 19); Multi Amministrattivi u Penali (artikoli 20 sa 23); Appelli lit-Tribunal ta' Appell dwar l-Informazzjoni u l-Protezzjoni tad-Data (artikoli 24 sa 31); u Dispożizzjonijiet Ġenerali (artikoli 32 sa 34).

L-Att japplika għall-ipproċessar ta' data personali b'mezzi awtomatizzati u għal ipproċessar li jifforma parti minn sistema ta' klassifikazzjoni, kemm fis-settur privat kif ukoll f'dak pubbliku. L-Artikolu 4(1)(d) espressament jeskludi l-ipproċessar minn awtoritajiet kompetenti għall-prevenzjoni, l-investigazzjoni, is-sejba jew il-prosekuzzjoni ta' reati kriminali jew għall-eżekuzzjoni ta' penali kriminali. Id-Direttiva tal-UE dwar l-Infurzar tal-Liġi (Direttiva (UE) 2016/680) hija trasposta separatament, bis-S.L. 586.08, magħmula taħt is-setgħa ddelegata fit-tieni proviso tal-artikolu 4(1). Il-Kap. 586 ma fih l-ebda dispożizzjoni dwar is-servizzi tal-intelligence jew tas-sigurtà.

L-eta tal-kunsens diġitali lanqas mhi stabbilita fl-Att. L-Artikolu 33(g) huwa setgħa għall-Ministru li jippreskrivi eta aktar baxxa mis-sittax imma mhux inqas mit-tlettax, u dik is-setgħa ġiet eżerċitata bis-S.L. 586.11.

Il-Leġiżlazzjoni Sussidjarja

Malta daħħlet fis-seħħ 14-il att ta' leġiżlazzjoni sussidjarja skont il-Kap. 586. L-inventarju sħiħ minn Settembru 2026:

Il-Bażijiet Legali għall-Ipproċessar

Malta ssegwi s-sitt bażijiet legali għall-ipproċessar stabbiliti fl-Artikolu 6 tal-GDPR: il-kunsens tas-suġġett tad-data; l-eżekuzzjoni ta' kuntratt li għalih is-suġġett tad-data huwa parti; il-konformità ma' obbligu legali; il-protezzjoni ta' interessi vitali; it-twettiq ta' kompitu mwettaq fl-interess pubbliku jew fl-eżerċizzju ta' awtorità uffiċjali; u l-interessi leġittimi segwiti mill-kontrollur jew minn parti terza, suġġetti għal test ta' bbilanċjar kontra d-drittijiet fundamentali tas-suġġett tad-data.

Għal kategoriji speċjali ta' data (data dwar is-saħħa, data bijometrika, data li tiżvela l-oriġini razzjali jew etnika, data ġenetika, twemmin reliġjuż, u sħubija f'trade unions, fost oħrajn), l-ipproċessar huwa permess biss skont il-kundizzjonijiet tal-Artikolu 9 tal-GDPR. Il-Kap. 586 iżid dispożizzjonijiet nazzjonali li jispeċifikaw kif dawk il-kundizzjonijiet japplikaw f'Malta, b'mod partikolari fil-kuntest tal-impjieg, is-sigurtà soċjali, u s-saħħa pubblika.

Id-Data tat-Tfal

Il-Leġiżlazzjoni Sussidjarja 586.11 (S.L. 586.11) tistabbilixxi l-eta tal-kunsens diġitali f'Malta għal 13-il sena. Skont l-Artikolu 8 tal-GDPR, l-Istati Membri jistgħu jistabbilixxu l-limitu bejn it-13 u s-16-il sena; Malta adottat l-aktar eta baxxa permessa. Dan ifisser li organizzazzjonijiet li joffru servizzi tas-soċjetà tal-informazzjoni lil tfal ta' 13-il sena jew aktar jistgħu jistrieħu fuq il-kunsens tat-tifel jew tifla stess għall-ipproċessar tad-data. Għal tfal taħt it-13-il sena, huwa meħtieġ il-kunsens jew l-awtorizzazzjoni tal-persuna li għandha r-responsabbiltà tal-ġenituri, u l-kontrolluri jridu jagħmlu sforzi raġonevoli biex jivverifikawh.

Konsiderazzjoni separata tapplika għall-formazzjoni ta' kuntratt: skont il-liġi ċivili Maltija, l-eta tal-kapaċità kuntrattwali hija 18-il sena. Organizzazzjonijiet li jipproċessaw data ta' utenti ta' bejn it-13 u s-17-il sena skont ir-regoli ta' kunsens tas-S.L. 586.11 għandhom jieħdu parir legali dwar jekk il-ftehim ta' servizz sottostanti huwiex infurzabbli minħabba din id-diskrepanza.

Il-Kummissarju għall-Informazzjoni u l-Protezzjoni tad-Data (IDPC)

Ir-Rwol u l-Indipendenza

L-IDPC huwa l-awtorità superviżorja indipendenti ta' Malta għall-protezzjoni tad-data skont il-Kap. 586. Il-Kummissarju għandu personalità ġuridika distinta u jopera b'indipendenza sħiħa. L-Artikolu 12(1) tal-Kap. 586 jipprojbixxi espressament lill-IDPC milli jfittex jew jaċċetta struzzjonijiet minn kwalunkwe persuna jew entità, inklużi ministeri tal-gvern.

Il-Kummissarju jinħatar mill-Prim Ministru li jaġixxi fuq il-parir tal-Kabinett tal-Ministri, wara konsultazzjoni mal-Kap tal-Oppożizzjoni, skont l-Artikolu 11(1) tal-Kap. 586 kif emendat bl-Att XII tal-2021. It-terminu huwa ta' ħames snin u jista' jiġġedded (Artikolu 14(1)). Dr Reno Borg ilu jokkupa l-kariga mit-22 ta' April 2026, meta ħa l-ġurament tal-ħatra għal terminu ta' ħames snin wara li skada t-terminu tal-predeċessur tiegħu.

Il-maġġoranza ta' żewġ terzi fil-Kamra tad-Deputati hija salvagwardja għat-tneħħija, mhux pass fil-ħatra. Skont l-Artikolu 14(2), il-Kummissarju jista' jitneħħa biss mill-Prim Ministru fuq indirizz tal-Kamra appoġġat mill-voti ta' mhux inqas minn żewġ terzi tal-membri kollha tagħha, u biss għar-raġuni ta' inkapaċità ppruvata li jaqdi d-dmirijiet tal-kariga jew ta' mġiba ħażina ppruvata.

Is-Setgħat u l-Funzjonijiet

L-IDPC jeżerċita l-firxa sħiħa ta' setgħat investigattivi, korrettivi, u konsultattivi mogħtija mill-Artikoli 57 u 58 tal-GDPR. Is-setgħat investigattivi jinkludu d-dritt li jinkiseb aċċess għal bini, sistemi ta' pproċessar, u kwalunkwe data personali li tkun qed tiġi pproċessata. Is-setgħat korrettivi jinkludu li jordna lill-kontrolluri u lill-proċessuri jikkonformaw ma' talbiet ta' suġġetti tad-data, li jimponi projbizzjonijiet temporanji jew permanenti fuq l-ipproċessar, li jordna r-rettifika, ir-restrizzjoni, jew it-tħassir tad-data, u li jimponi multi amministrattivi. Il-Kummissarju jista' wkoll jibda proċeduri ġudizzjarji ċivili għal ksur jew ksur imminenti tal-Kap. 586 jew tal-GDPR.

Ir-Rekord tal-Infurzar: 2020-2026

L-IDPC ta' Malta adotta approċċ attiv u dejjem aktar assertiv lejn l-infurzar. Data ewlenija dwar l-infurzar:

Multi amministrattivi imposti:

• EUR 250,000 (2022): deċiżjoni dwar ksur ta' data personali fir-reġistru tal-IDPC, għal ksur tal-Artikoli 32(1) u 32(2) wara li kontrollur naqas milli jimplimenta miżuri tekniċi u organizzattivi xierqa. Din hija l-akbar multa amministrattiva fir-reġistru ppubblikat.
• EUR 65,000: C-Planet IT Solutions Limited (2022): ksur ta' data personali rreġistrat fir-reġistru bħala ksur tal-Artikoli 5(1)(f), 6(1), 9(1), 9(2), 14, 32(1), 33(1) u 34(1), li involva data personali u data ta' kategorija speċjali. Hija t-tieni l-akbar multa fir-reġistru.
• EUR 20,000 (tliet ksur li jammontaw għal total ta' EUR 20,000: EUR 12,500, EUR 5,000, EUR 2,500): Deċiżjoni Nru 0476_001 (2025): ksur tal-Artikoli 5(1)(a) (legalità), 6(1) (bażi legali), 14 (trasparenza), 16 (rettifika), u 37(1)(c) (nuqqas ta' ħatra ta' DPO).
• EUR 15,000: Deċiżjoni Nru 4794_001 (2024): żewġ telefonati ta' marketing dirett mhux mitluba li saru wara li l-kontrollur kien ħassar id-data personali tal-ilmentatriċi u mblokka n-numri tagħha, bi ksur tal-Artikoli 21(2) u 5(2).
• EUR 5,000 (2020): ksur ta' data personali li involva l-iżvelar mhux awtorizzat ta' data kunfidenzjali ta' ilmentatur lil klijent estern, bi ksur tal-Artikoli 5(1)(f) u 32(1)(b). Ir-reġistru tal-IDPC ma jsemmix l-ismijiet tal-kontrolluri, u għalhekk l-ebda kontrollur mhu attribwit hawnhekk.

Punti prinċipali tal-infurzar tal-2024:

• L-IDPC irċieva total ta' 883 ilment fl-2024, żieda meta mqabbla mas-snin ta' qabel.
• L-Artikolu 6(1) (legalità tal-ipproċessar) kien id-dispożizzjoni tal-GDPR l-aktar ta' spiss miksura.
• Ġew investigati 112-il każ relatat mas-CCTV, li rriżultaw f'ordnijiet biex jitneħħew kameras li jaqbdu spazji pubbliċi jew proprjetajiet ta' partijiet terzi.
• Diversi deċiżjonijiet dwar talbiet ta' aċċess sabu li l-kontrolluri ma jistgħux jiċħdu talbiet fuq is-suppożizzjoni li huma motivati minn litigazzjoni, fin-nuqqas ta' raġunijiet statutorji speċifiċi għal restrizzjoni.

Infurzar Ikkoordinat (CEF 2024): L-IDPC ħa sehem fl-Azzjoni ta' Infurzar Ikkoordinat tal-2024 dwar id-Dritt ta' Aċċess, ikkoordinata mill-EDPB. L-IDPC stħarreġ 100 organizzazzjoni tas-settur privat fis-setturi tas-saħħa, l-assigurazzjoni, il-finanzi, il-bejgħ bl-imnut, it-telekomunikazzjoni, u l-manifattura. Is-sejba ġenerali kienet pożittiva: sitt snin wara l-GDPR, il-kontrolluri wrew livell għoli ta' konformità mat-talbiet ta' aċċess, għalkemm ġew innutati ċaħdiet mhux xierqa okkażjonali u limitazzjonijiet ta' riżorsi.

Id-Drittijiet tas-Suġġetti tad-Data skont il-Liġi Maltija

L-individwi f'Malta għandhom id-drittijiet tas-suġġett tad-data li jinsabu fl-Artikoli 15 sa 22 tal-GDPR, li japplikaw direttament mingħajr traspożizzjoni nazzjonali. Il-liġi nazzjonali tista' tirrestrinġihom, u fil-fatt tirrestrinġihom, f'sitwazzjonijiet definiti, u għalhekk kontrollur Malti jista' legalment jirrifjuta talba fuq waħda mir-raġunijiet ta' hawn taħt. Iċċekkja jekk waħda minnhom tapplikax qabel ma tassumi li rifjut huwa illegali.

Riċerka, statistika u arkivjar. L-Artikolu 6(1) tal-Kap. 586 jippermetti lill-kontrolluri u lill-proċessuri jidderogaw mill-Artikoli 15, 16, 18 u 21 għar-riċerka xjentifika jew storika u għall-istatistika uffiċjali, u l-Artikolu 6(2) iżid l-Artikoli 19 u 20 għall-arkivjar fl-interess pubbliku. It-tnejn jeħtieġu li l-eżerċizzju tad-dritt jagħmel l-iskop impossibbli jew ifixklu serjament, u t-tnejn huma suġġetti għal salvagwardji skont l-Artikolu 6(4), inkluża l-psewdonimizzazzjoni.

Ġurnaliżmu u espressjoni. L-Artikolu 9 tal-Kap. 586 jeżenta l-ipproċessar għal skopijiet ġurnalistiċi u għal espressjoni akkademika, artistika jew letterarja minn lista wiesgħa ta' dispożizzjonijiet skont l-Artikolu 85(2) tal-GDPR, inklużi l-Artikoli 13, 14, 15(1) sa (3), 17(1) u (2), 18(1)(a), (b) u (d), 20(1) u (2), u 21(1).

Restrizzjonijiet skont l-Artikolu 23. L-Artikolu 5 tal-Kap. 586 jippermetti lill-Ministru jirrestrinġi l-obbligi tal-kontrolluri u tal-proċessuri skont l-Artikolu 23 tal-GDPR. Dik is-setgħa ġiet eżerċitata bis-S.L. 586.09, li telenka raġunijiet inklużi s-sigurtà nazzjonali, is-sigurtà pubblika, l-investigazzjoni u l-prosekuzzjoni ta' reati kriminali, u l-amministrazzjoni tat-taxxa.

Id-dritt ta' aċċess (Artikolu 15): Is-suġġetti tad-data jistgħu jiksbu konferma tal-ipproċessar, aċċess għad-data tagħhom, u informazzjoni dwar l-iskop, il-kategoriji, ir-riċevituri, il-perjodu ta' żamma, u l-oriġini tad-data. Il-konformità mat-talbiet ta' aċċess kienet id-dritt l-aktar ikkontestat quddiem l-IDPC.

Id-dritt għal rettifika u tħassir (Artikoli 16-17): Is-suġġetti tad-data jistgħu jitolbu l-korrezzjoni ta' data mhux preċiża u t-tħassir ta' data li ma tibqax meħtieġa, fejn il-kunsens jiġi rtirat, fejn l-ipproċessar ma kellu l-ebda bażi legali, jew fejn obbligu legali jeħtieġ it-tħassir.

Id-dritt għar-restrizzjoni tal-ipproċessar (Artikolu 18): Is-suġġetti tad-data jistgħu jitolbu li kontrollur jirrestrinġi l-ipproċessar filwaqt li tkun ikkontestata l-eżattezza, filwaqt li tkun pendenti oġġezzjoni, jew fejn l-ipproċessar ikun illegali imma s-suġġett tad-data jitlob restrizzjoni minflok tħassir.

Id-dritt għall-portabbiltà tad-data (Artikolu 20): Fejn l-ipproċessar ikun ibbażat fuq kunsens jew kuntratt u jitwettaq b'mezzi awtomatizzati, is-suġġetti tad-data jistgħu jirċievu d-data tagħhom f'format strutturat, użat komunement, u li jinqara mill-magna, u jittrażmettuha lil kontrollur ieħor.

Id-dritt għall-oġġezzjoni (Artikolu 21): Is-suġġetti tad-data jistgħu joġġezzjonaw fi kwalunkwe ħin għall-ipproċessar għal skopijiet ta' marketing dirett. Huma jistgħu wkoll joġġezzjonaw għall-ipproċessar ibbażat fuq interess leġittimu jew raġunijiet ta' interess pubbliku, f'liema każ il-kontrollur irid juri raġunijiet leġittimi konvinċenti biex jegħleb l-oġġezzjoni.

Id-dritt li ma tkunx suġġett għal teħid ta' deċiżjonijiet awtomatizzat (Artikolu 22): Is-suġġetti tad-data għandhom id-dritt li ma jkunux suġġetti għal deċiżjoni bbażata biss fuq ipproċessar awtomatizzat, inkluż il-profiling, li tipproduċi effetti legali jew simili sinifikanti. Japplikaw eċċezzjonijiet fejn id-deċiżjoni tkun meħtieġa għal kuntratt, awtorizzata mil-liġi, jew ibbażata fuq kunsens espliċitu.

Trasferimenti Transfruntieri ta' Data

Il-Qafas Ġenerali

Bħala Stat Membru tal-UE, Malta ssegwi l-Kapitolu V tal-GDPR għat-trasferimenti internazzjonali ta' data. Data personali tista' tiġi ttrasferita barra miż-ŻEE biss fejn tapplika waħda minn dawn li ġejjin: deċiżjoni ta' adegwatezza adottata mill-Kummissjoni Ewropea (Artikolu 45); salvagwardji xierqa bħal klawżoli kuntrattwali standard (SCCs), regoli korporattivi vinkolanti (BCRs), jew kodiċi ta' kondotta approvat (Artikolu 46); jew deroga speċifika għal sitwazzjonijiet bħall-kunsens, l-eżekuzzjoni ta' kuntratt, jew interessi leġittimi konvinċenti (Artikolu 49).

Id-deċiżjoni ta' adegwatezza tal-2023 tal-Kummissjoni Ewropea għall-EU-US Data Privacy Framework fetħet mekkaniżmu ġdid ta' trasferiment għall-flussi ta' data lejn organizzazzjonijiet Amerikani ċertifikati. Il-kontrolluri u l-proċessuri ta' Malta jistgħu jistriehu fuq din id-deċiżjoni bl-istess mod li jistrieħu fuq kwalunkwe determinazzjoni oħra ta' adegwatezza.

Il-Leġiżlazzjoni Sussidjarja Unika ta' Malta

S.L. 586.12, ir-Regolamenti dwar l-Infurzar tad-Drittijiet tas-Suġġetti tad-Data fir-rigward ta' Trasferimenti ta' Data Personali lejn Pajjiż Terz jew Organizzazzjoni Internazzjonali, tagħti lis-suġġetti tad-data drittijiet direttament infurzabbli quddiem il-qrati Maltin meta d-data personali tagħhom tiġi ttrasferita internazzjonalment. Din il-leġiżlazzjoni tindirizza lakuna li teżisti f'xi ġurisdizzjonijiet oħra tal-UE fejn l-infurzabbiltà tas-salvagwardji ta' trasferiment minn benefiċjarji individwali ta' parti terza (b'differenza mill-partijiet kontraenti) tista' tkun legalment inċerta skont il-liġi nazzjonali tal-kuntratti.

L-Artikolu 10 tal-Kap. 586 jagħti lill-Ministru setgħa separata. Fin-nuqqas ta' deċiżjoni ta' adegwatezza skont l-Artikolu 45(3) tal-GDPR, huwa jista', wara konsultazzjoni mal-Kummissarju, jistabbilixxi limiti permezz ta' regolamenti fuq it-trasferiment ta' kategoriji speċifiċi ta' data personali lejn pajjiż terz jew organizzazzjoni internazzjonali għal raġunijiet importanti ta' interess pubbliku. Is-S.L. 586.12 innifisha ma tagħti l-ebda setgħa ta' dan it-tip.

Il-Penali u s-Sanzjonijiet

Multi Amministrattivi

L-istruttura ta' multi b'żewġ livelli tal-GDPR tapplika f'Malta għall-kontrolluri u l-proċessuri tas-settur privat:

• L-ewwel livell (inqas serju): Sa EUR 10 miljun jew 2% tad-dħul mill-bejgħ dinji annwali, skont liema jkun l-ogħla. Japplika għal ksur bħan-nuqqas li jinżammu rekords tal-attivitajiet ta' pproċessar (Artikolu 30), in-nuqqas li jiġi notifikat ksur ta' data lill-awtorità superviżorja (Artikolu 33), u n-nuqqas li jinħatar DPO meta meħtieġ (Artikolu 37).
• It-tieni livell (aktar serju): Sa EUR 20 miljun jew 4% tad-dħul mill-bejgħ dinji annwali, skont liema jkun l-ogħla. Japplika għal ksur tal-prinċipji bażiċi għall-ipproċessar (Artikolu 5), il-kundizzjonijiet għall-kunsens (Artikolu 7), id-drittijiet tas-suġġetti tad-data (Artikoli 15-22), u r-regoli dwar trasferimenti internazzjonali (Artikoli 44-49).

Il-limiti għall-korpi pubbliċi skont il-Kap. 586: Għal kontrolluri li huma awtoritajiet pubbliċi jew korpi pubbliċi, il-Kap. 586 jistabbilixxi massimi nazzjonali separati ta' multi:

• Sa EUR 25,000 għal kull ksur tal-Artikolu 83(4), flimkien ma' EUR 25 kuljum għal ksur li jitkompla.
• Sa EUR 50,000 għal kull ksur tal-Artikolu 83(5) jew 83(6) tal-GDPR, flimkien ma' EUR 50 kuljum għal ksur li jitkompla.

Iż-żewġ ċifri huma massimi assoluti skont l-Artikolu 21 tal-Kap. 586. L-Att ma fih l-ebda dispożizzjoni li tippermetti li xi wieħed mil-limiti jiġi rduppjat, u l-livell ta' EUR 50,000 huwa fih innifsu l-livell aktar serju.

Reati Kriminali

L-Artikolu 22 huwa l-unika dispożizzjoni dwar reati fil-Kap. 586, u joħloq żewġ reati: l-għoti konxju ta' informazzjoni falza lill-Kummissarju meta din tintalab taħt is-setgħat investigattivi tiegħu skont l-Artikolu 58 tal-GDPR, u n-nuqqas ta' konformità ma' kwalunkwe talba legali magħmula skont investigazzjoni tal-Kummissarju.

Kull wieħed miż-żewġ reati jġorr multa (multa) ta' mhux inqas minn EUR 1,250 u mhux aktar minn EUR 50,000, jew priġunerija ta' sitt xhur, jew it-tnejn. Il-proċeduri jistgħu jinbdew biss wara li l-Kummissarju jagħti informazzjoni lil uffiċjal tal-Pulizija Eżekuttiva.

Il-Kap. 586 ma fih l-ebda reat separat ta' żvelar mhux awtorizzat ta' data personali. Dak kien karatteristika tal-Kap. 440 imħassar.

Sitwazzjonijiet Speċjali ta' Pproċessar

Il-Kuntest tal-Impjieg

Malta daħħlet fis-seħħ dispożizzjonijiet speċifiċi li jirregolaw l-ipproċessar ta' data personali tal-impjegati. Min iħaddem irid ikollu bażi legali għall-ipproċessar tad-data tal-impjegati u jrid jinforma lill-impjegati dwar in-natura u l-firxa ta' kwalunkwe monitoraġġ. L-IDPC ħareġ linji gwida dwar is-CCTV fuq il-post tax-xogħol, il-monitoraġġ tal-email, u t-traċċar bil-GPS ta' vetturi tal-kumpanija, filwaqt li japplika t-testijiet ta' neċessità u proporzjonalità meħtieġa mill-Artikolu 5(1)(c) tal-GDPR.

Data dwar is-Saħħa

Id-data dwar is-saħħa hija kategorija speċjali skont l-Artikolu 9 tal-GDPR, suġġetta għal protezzjoni msaħħa. S.L. 586.10 tirregola speċifikament l-ipproċessar ta' data dwar is-saħħa għal skopijiet ta' assigurazzjoni. Il-fornituri tal-kura tas-saħħa jridu jimplimentaw salvagwardji xierqa u jistgħu jipproċessaw data dwar is-saħħa biss meta jkun meħtieġ għal trattament mediku, skopijiet ta' saħħa pubblika, jew raġunijiet oħra speċifikati fl-Artikolu 9.

Il-Ġurnaliżmu u l-Espressjoni Akkademika

Il-Kap. 586 jinkludi eżenzjonijiet għall-ipproċessar ta' data personali għal skopijiet ġurnalistiċi u għal espressjoni akkademika, artistika, jew letterarja, kif meħtieġ mill-Artikolu 85 tal-GDPR. Dawn l-eżenzjonijiet jibbilanċjaw id-dritt għall-protezzjoni tad-data kontra l-libertà ta' espressjoni u informazzjoni.

Malta bħala Ċentru tal-iGaming u tas-Servizzi Finanzjarji

Is-Settur tal-iGaming

Malta hija l-ġurisdizzjoni ewlenija tal-UE għall-iGaming, u tospita mijiet ta' operaturi tal-logħob online liċenzjati mill-Malta Gaming Authority (MGA). Din il-konċentrazzjoni għamlet lill-IDPC waħda mill-aktar Awtoritajiet Superviżorji Ewlenin okkupati fl-UE għal ilmenti transfruntieri dwar il-protezzjoni tad-data li jinvolvu kumpaniji tal-logħob.

Il-każistika aktar milli rduppjat f'sena. Fl-2024 l-IDPC irċieva 256 każ transfruntier taħt is-sistema One Stop Shop (OSS), li minnhom 244 (95%) involvew operaturi tal-logħob bl-istabbiliment prinċipali tagħhom f'Malta, u aġixxa bħala Awtorità Superviżorja Ewlenija f'252 minnhom. Fl-2025 ittratta 535 każ OSS u kien Awtorità Superviżorja Ewlenija f'517, b'450 mill-każijiet OSS jikkonċernaw id-dritt ta' aċċess. Ir-rapport annwali tal-2025 ma jippubblikax tqassim settorjali tal-każistika tal-OSS.

Ix-xejriet komuni tal-ilmenti fis-settur tal-logħob jinkludu: nuqqas ta' konformità mat-talbiet ta' aċċess tas-suġġett skont l-Artikolu 15; żamma eċċessiva ta' data ta' plejers lil hinn mill-perjodu meħtieġ għar-relazzjoni tal-logħob; u trasparenza insuffiċjenti dwar il-qsim ta' data ma' partijiet terzi tar-reklamar u tal-analytics.

F'Mejju 2018 l-MGA ippubblikat dokument ta' gwida dwar il-konformità mal-GDPR għal-liċenzjati tagħha, imħejji wara proċess ta' konsultazzjoni mal-IDPC. Huwa gwida tal-MGA aktar milli strument konġunt tal-IDPC, l-MGA tiddeskrivih bħala dokument ħaj, u huwa espress li jsir mingħajr preġudizzju għal kwalunkwe deċiżjoni li jista' jieħu l-Kummissarju. Il-gwida tindirizza l-bażijiet legali għall-ipproċessar ta' data tal-plejers, perjodi ta' żamma allinjati mal-kundizzjonijiet tal-liċenzjar tal-MGA, il-ġestjoni tad-data għall-verifika tal-eta, u d-data dwar il-logħob responsabbli.

Is-Servizzi Finanzjarji

Is-settur tas-servizzi finanzjarji ta' Malta, regolat mill-Malta Financial Services Authority (MFSA), jipproċessa volumi sinifikanti ta' data personali u ta' tranżazzjonijiet. L-intersezzjoni bejn il-GDPR u l-obbligi ta' żamma speċifiċi għas-settur (inklużi dawk skont il-MiFID II u d-direttivi kontra l-Ħasil tal-Flus) teħtieġ li l-istituzzjonijiet finanzjarji jikkalibraw bir-reqqa l-iskedi ta' żamma tagħhom.

Id-Direttiva NIS2, trasposta bil-Leġiżlazzjoni Sussidjarja 460.41 (L.N. 71 tal-2025, fis-seħħ mit-23 ta' Jannar 2026 u diġà emendata bl-L.N. 89 tal-2026), iżżid obbligi ta' ċibersigurtà għal entitajiet essenzjali u importanti fis-settur tas-servizzi finanzjarji. L-obbligi jinkludu miżuri ta' ġestjoni tar-riskju, rappurtar ta' inċidenti lill-awtoritajiet kompetenti, u valutazzjonijiet tas-sigurtà tal-katina ta' provvista. Kemm in-notifika ta' ksur tal-GDPR (72 siegħa lill-IDPC) kif ukoll l-obbligi ta' rappurtar ta' inċidenti tan-NIS2 jistgħu jiġu skattati mill-istess inċident ta' ċibersigurtà, u dan jeħtieġ proċeduri ta' rispons ikkoordinati.

Ir-Regolamentazzjoni tal-AI u r-Rwol Dejjem Jikber tal-IDPC

L-Att tal-UE dwar l-AI f'Malta

L-Att tal-UE dwar l-AI (Regolament (UE) 2024/1689), li daħal fis-seħħ fl-1 ta' Awwissu 2024, japplika direttament f'Malta. Malta implimentat deżinjazzjonijiet nazzjonali permezz ta' żewġ avviżi legali komplementari fl-2025:

L-Avviż Legali 226 tal-2025 jaħtar lill-Malta Digital Innovation Authority (MDIA) bħala l-Awtorità ta' Sorveljanza tas-Suq (MSA) prinċipali ta' Malta għas-sistemi tal-AI, kif ukoll bħala l-Awtorità Notifikanti għall-korpi ta' valutazzjoni tal-konformità u l-operatur tas-sandbox regolatorju tal-AI ta' Malta. L-MDIA taġixxi bħala l-MSA predefinita għall-kategoriji kollha ta' sistemi tal-AI li ma jkunux allokati speċifikament lil awtorità oħra.

L-Avviż Legali 227 tal-2025, imdaħħal fis-seħħ bħala l-Leġiżlazzjoni Sussidjarja 586.14, taħtar lill-IDPC bħala l-MSA għall-kategoriji speċifiċi ta' AI ta' riskju għoli skont l-Anness III tal-Att tal-UE dwar l-AI li huma relatati ma' użi sensittivi għad-data u intensivi fid-drittijiet fundamentali:

• Sistemi bijometriċi ta' riskju għoli użati għall-infurzar tal-liġi, il-ġestjoni tal-fruntieri, u l-ġustizzja u d-demokrazija: identifikazzjoni bijometrika mill-bogħod (bl-esklużjoni tal-verifika wieħed ma' wieħed li persuna hija min tgħid li hi), kategorizzazzjoni bijometrika skont attributi sensittivi jew protetti, u rikonoxximent tal-emozzjonijiet
• Sistemi li jevalwaw u jikklassifikaw sejħiet ta' emerġenza, jew li jibagħtu u jipprijoritizzaw servizzi ta' rispons tal-ewwel għajnuna, inkluż it-triage ta' pazjenti fis-saħħa ta' emerġenza
• Sistemi tal-infurzar tal-liġi: valutazzjoni tar-riskju ta' vittimizzazzjoni, poligrafi u għodod simili, evalwazzjoni tal-affidabbiltà tal-provi, valutazzjoni tar-riskju ta' reċidiva, u profiling matul is-sejba, l-investigazzjoni jew il-prosekuzzjoni
• Sistemi tal-migrazzjoni, l-ażil u l-kontroll tal-fruntieri: poligrafi, valutazzjoni tar-riskju ta' persuni li jidħlu f'Malta, assistenza fl-applikazzjonijiet għall-ażil, għall-viża u għar-residenza, u sejba jew identifikazzjoni ta' persuni fiżiċi minbarra l-verifika tad-dokumenti tal-ivvjaġġar
• L-amministrazzjoni tal-ġustizzja u l-proċessi demokratiċi: sistemi li jassistu awtorità ġudizzjarja fir-riċerka u l-interpretazzjoni tal-fatti u tal-liġi, u sistemi maħsuba biex jinfluwenzaw ir-riżultat ta' elezzjoni jew referendum jew l-imġiba tal-votazzjoni

Ir-regolament 4 tas-S.L. 586.14 huwa lista separata. Jagħti lill-IDPC il-kompiti u s-setgħat tal-Att dwar l-AI fuq erba' prattiki projbiti, li mhumiex deżinjazzjonijiet ta' riskju għoli: valutazzjoni tar-riskju kriminali bbażata biss fuq il-profiling jew fuq karatteristiċi tal-personalità, ġbir mhux immirat ta' immaġini tal-uċuħ biex jinħolqu jew jitkabbru bażijiet ta' data ta' rikonoxximent tal-wiċċ, kategorizzazzjoni bijometrika biex jiġu dedotti r-razza, l-opinjonijiet politiċi, is-sħubija f'trade union, it-twemmin reliġjuż jew filosofiku, il-ħajja sesswali jew l-orjentazzjoni sesswali, u identifikazzjoni bijometrika mill-bogħod f'ħin reali fi spazji aċċessibbli għall-pubbliku għall-infurzar tal-liġi barra minn tliet objettivi dojoq. Skont ir-regolament 6, kwalunkwe użu permess f'ħin reali jeħtieġ awtorizzazzjoni minn qabel mingħand Maġistrat, b'perjodu ta' 24 siegħa biex tintalab f'urġenza ġġustifikata.

Meta l-obbligi jibdew japplikaw tassew

Il-makkinarju nazzjonali wasal f'żewġ stadji, u d-deżinjazzjonijiet ġew l-ewwel. Ir-regolamenti 3 u 4 tas-S.L. 586.14, li jagħmlu lill-Kummissarju l-awtorità ta' sorveljanza tas-suq għall-kategoriji tal-Anness III elenkati hawn fuq u jagħtuh kompiti u setgħat fuq il-prattiki projbiti, ilhom fis-seħħ mill-10 ta' Ottubru 2025. Hekk ukoll ir-regolamenti 3 u 7 tal-L.N. 226 tal-2025, li jaħtru lill-MDIA bħala awtorità ta' sorveljanza tas-suq, punt uniku ta' kuntatt u Awtorità Notifikanti.

Id-dispożizzjonijiet li fadal daħlu fis-seħħ fit-2 ta' Awwissu 2026: ir-regolamenti 5 sa 7 u 9 sa 12 tas-S.L. 586.14, u r-regolamenti 4, 5, 6, 8, 9 u 10 tal-L.N. 226. Dik hija wkoll id-data ġenerali ta' applikazzjoni tal-Att tal-UE dwar l-AI skont l-Artikolu 113.

Id-dmirijiet sostantivi ta' riskju għoli jinsabu fuq skeda aktar tard. Ir-Regolament (UE) 2026/1744, id-Digital Omnibus on AI, daħal fis-seħħ fis-27 ta' Lulju 2026 u kiteb mill-ġdid l-Artikolu 113 tal-Att dwar l-AI. Il-Kapitolu III, Taqsimiet 1, 2 u 3, li jġorru r-rekwiżiti tal-Artikoli 8 sa 15 u l-obbligi tal-fornituri u tal-utenti tal-Artikoli 16 sa 27, inkluża l-valutazzjoni tal-impatt fuq id-drittijiet fundamentali tal-Artikolu 27, issa japplikaw mit-2 ta' Diċembru 2027 għas-sistemi ta' riskju għoli tal-Anness III li jissorvelja l-IDPC, u mit-2 ta' Awwissu 2028 għas-sistemi ta' riskju għoli tal-Anness I inkorporati fi prodotti.

Ir-regoli ta' trasparenza tal-Artikolu 50 ma ġewx posposti. Japplikaw mit-2 ta' Awwissu 2026, bħalma japplikaw il-Kapitolu III Taqsima 5 dwar l-istandards, il-valutazzjoni tal-konformità u r-reġistrazzjoni, u l-Artikolu 101.

L-IDPC bħala Awtorità għad-Drittijiet Fundamentali

Fit-3 ta' Novembru 2024 il-Gvern identifika lill-IDPC bħala awtorità għad-drittijiet fundamentali għall-finijiet tal-Artikolu 77 tal-Att dwar l-AI, sa fejn tikkonċerna l-protezzjoni tad-data personali. Dik id-deżinjazzjoni tqiegħdet fuq bażi statutorja bir-regolament 5 tas-S.L. 586.14, li daħal fis-seħħ fit-2 ta' Awwissu 2026 u espressament iżomm ir-rwol separat ta' sorveljanza tas-suq fir-regolamenti 3 u 4.

L-Artikolu 77 huwa setgħa ta' sorveljanza, mhux servizz ta' għajnuna. Jippermetti lil awtorità deżinjata titlob u taċċessa informazzjoni jew dokumentazzjoni maħluqa jew miżmuma taħt l-Att dwar l-AI mingħand l-awtorità ta' sorveljanza tas-suq rilevanti, u, fejn dik id-dokumentazzjoni ma tkunx biżżejjed, tagħmel talba motivata biex l-awtorità ta' sorveljanza tas-suq torganizza testijiet tas-sistema. Utent li jkun qed iħejji valutazzjoni tal-impatt fuq id-drittijiet fundamentali jinnotifika r-riżultati lill-awtorità ta' sorveljanza tas-suq skont l-Artikolu 27(3), u mhux lill-awtorità għad-drittijiet fundamentali.

L-Att tal-UE dwar id-Data

S.L. 586.13 (L.N. 223 tal-2025, fis-seħħ mill-10 ta' Ottubru 2025) timplimenta l-Att tal-UE dwar id-Data (Regolament (UE) 2023/2854) f'Malta. Ir-regolament 3 jaħtar lill-IDPC bħala awtorità kompetenti skont l-Artikolu 37(3) tal-Att dwar id-Data biss sa fejn tikkonċerna l-protezzjoni tad-data personali, u jillimita l-kompiti u s-setgħat tiegħu għall-ipproċessar ta' data personali. Ir-regolament 5 jippermettilu jimponi multi skont l-Artikolu 83 tal-GDPR, sal-limitu tal-Artikolu 83(5), għal ksur tal-Kapitoli II, III u V tal-Att dwar id-Data. Ma jagħmlux il-koordinatur nazzjonali tad-data ta' Malta.

L-Att dwar id-Data jirregola l-aċċess ġust għad-data ġġenerata minn apparat konness u servizzi relatati, u l-użu tagħha. Ilu japplika mit-12 ta' Settembru 2025. L-obbligu ta' aċċess mid-disinn tal-Artikolu 3(1) tiegħu japplika biss għal prodotti konnessi, u għas-servizzi relatati magħhom, imqiegħda fis-suq wara t-12 ta' Settembru 2026. Il-Kapitolu IV dwar termini kuntrattwali inġusti jilħaq kuntratti konklużi fit-12 ta' Settembru 2025 jew qabel mit-12 ta' Settembru 2027, fejn dawk il-kuntratti jkunu ta' żmien indefinit jew ikunu se jiskadu mill-inqas għaxar snin mill-11 ta' Jannar 2024.

Rekwiżiti ta' Konformità għall-Organizzazzjonijiet

L-Uffiċjal għall-Protezzjoni tad-Data

Organizzazzjonijiet li huma awtoritajiet pubbliċi, li jwettqu monitoraġġ sistematiku fuq skala kbira ta' individwi, jew li jipproċessaw kategoriji speċjali ta' data fuq skala kbira jridu jaħtru DPO. Kif jeħtieġ l-Artikolu 37(7) tal-GDPR f'kull Stat Membru, id-dettalji ta' DPO maħtur iridu jiġu ppubblikati u kkomunikati lill-awtorità superviżorja. F'Malta dan ifisser li tintbagħat email lill-IDPC bl-isem tal-kontrollur tad-data, l-isem tad-DPO, indirizz postali, indirizz elettroniku, numru ta' kuntatt, in-natura tan-negozju, u d-data tal-ħatra. L-IDPC jirreġistra dawk id-dettalji ta' kuntatt għall-finijiet tal-Artikolu 37(7) u la japprova u lanqas jappoġġa l-ħatra. Ħatra volontarja għandha tiġi notifikata bl-istess mod.

Rekords tal-Attivitajiet ta' Pproċessar

Il-kontrolluri u l-proċessuri jridu jżommu rekords tal-attivitajiet ta' pproċessar skont l-Artikolu 30 tal-GDPR u jagħmluhom disponibbli lill-IDPC meta jintalbu. Ir-reġim ta' notifika ta' qabel il-GDPR skont il-Kap. 440 tħassar; ma hemm l-ebda obbligu li tiġi notifikata l-IDPC bl-attivitajiet ta' pproċessar qabel ma jinbdew, ħlief fejn tkun meħtieġa konsultazzjoni ta' DPIA.

Valutazzjonijiet tal-Impatt fuq il-Protezzjoni tad-Data

Fejn l-ipproċessar x'aktarx jirriżulta f'riskju għoli għad-drittijiet u l-libertajiet tal-individwi, il-kontrolluri jridu jwettqu Valutazzjoni tal-Impatt fuq il-Protezzjoni tad-Data (DPIA) qabel ma jibdew l-ipproċessar. L-IDPC tippubblika lista ta' operazzjonijiet ta' pproċessar li għalihom DPIA hija obbligatorja f'Malta. Fejn DPIA tikxef riskju għoli residwu li ma jistax jitnaqqas, il-kontrollur irid jikkonsulta lill-IDPC qabel l-ipproċessar skont l-Artikolu 36 tal-GDPR.

Notifika ta' Ksur

Il-kontrolluri jridu jinnotifikaw lill-IDPC b'ksur ta' data personali fi żmien 72 siegħa minn meta jsiru jafu bih, sakemm il-ksur ma jkunx x'aktarx jirriżulta f'riskju għad-drittijiet u l-libertajiet tal-individwi. Fejn ksur x'aktarx jirriżulta f'riskju għoli, il-kontrollur irid jinnotifika wkoll lis-suġġetti tad-data affettwati mingħajr dewmien żejjed. L-IDPC irċieva 114-il rapport ta' ksur ta' data personali fl-2025, bis-settur finanzjarju l-aktar affettwat u ċ-ċiberattakki bħala l-kawża prinċipali, żieda mill-105 rapporti fl-2024, li minnhom 61 kienu ċiberattakki bħal phishing u ransomware.

Żviluppi Reċenti tal-IDPC (2024-2026)

Punti Prinċipali tar-Rapport Annwali tal-2025

L-IDPC ippubblika r-Rapport Annwali u r-Rendikonti Finanzjarji tal-2025 fid-19 ta' Awwissu 2026, taħt il-Kummissarju Dr Reno Borg. Dan irreġistra:

• 701 ilment riċevut.
• 182 ilment ammissibbli, li minnhom 75% spiċċaw f'sejba ta' ksur.
• 535 każ One Stop Shop ipproċessat, inklużi 517 li fihom l-IDPC aġixxa bħala Awtorità Superviżorja Ewlenija.
• 450 każ One Stop Shop dwar id-dritt ta' aċċess.
• 114-il ksur ta' data personali irrappurtat, bis-settur finanzjarju l-aktar affettwat u ċ-ċiberattakki bħala l-kawża prinċipali.
• 667 talba għal-Libertà tal-Informazzjoni riċevuta minn awtoritajiet pubbliċi, flimkien ma' 52 applikazzjoni ttrattata direttament mill-IDPC.

Punti Prinċipali tar-Rapport Annwali tal-2024 (sena preċedenti)

Ir-Rapport Annwali tal-2024, ippubblikat fl-2025, irreġistra l-attività li ġejja:

• 883 ilment riċevut b'kollox.
• 7 investigazzjonijiet ex officio mibdija.
• 256 każ One Stop Shop ipproċessat, li minnhom 244 involvew operaturi tal-logħob.
• 105 ksur ta' data irrappurtat, inklużi 61 ċiberattakk.
• L-Artikolu 6(1) (legalità tal-ipproċessar) kien id-dispożizzjoni l-aktar ta' spiss miksura.
• 112-il każ ta' CCTV investigat; l-IDPC saħqet fuq in-neċessità u l-proporzjonalità meta l-kameras jaqbdu spazji pubbliċi.

Deċiżjonijiet Reċenti ta' Infurzar

Fl-2025 l-IDPC impona tliet multi amministrattivi f'deċiżjoni waħda, 0476_001, kontra fornitur tal-kura tas-saħħa: EUR 12,500 għal ksur tal-Artikoli 5(1)(a), 6(1) u 14, EUR 5,000 għall-Artikolu 16, u EUR 2,500 għan-nuqqas li jinħatar DPO skont l-Artikolu 37(1)(c). Id-deċiżjoni ġarrbet ukoll ċanfira u ordnijiet biex id-data tiġi rettifikata u jinħatar DPO.

Id-Deċiżjoni 4794_001, maħruġa fl-2024, imponiet multa ta' EUR 15,000 għal żewġ telefonati ta' marketing dirett mhux mitluba, bi ksur tal-Artikoli 21(2) u 5(2).

Fl-2026 l-IDPC immulta kumpanija tal-assigurazzjoni EUR 1,000 f'żewġ multi amministrattivi (deċiżjoni 0583_001) talli ħalliet lil parti terza tkompli tagħmel marketing lil ilmentatur bi ksur ta' deċiżjoni preċedenti tal-IDPC, flimkien ma' ċanfira u ordnijiet korrettivi.

Il-maġġoranza tad-deċiżjonijiet bejn l-2024 u l-2026 irriżultaw f'ċanfir u ordnijiet korrettivi minflok multi, konsistenti mal-prattika tal-IDPC li tirriżerva penali finanzjarji għal każijiet aggravati li jinvolvu ksur ripetut, data ta' kategorija speċjali, jew nuqqas intenzjonat ta' konformità.

Deżinjazzjonijiet skont l-Att dwar l-AI (2024-2025)

L-IDPC ġie deżinjat bħala Awtorità għad-Drittijiet Fundamentali skont l-Att tal-UE dwar l-AI b'effett mit-3 ta' Novembru 2024, u bħala Awtorità ta' Sorveljanza tas-Suq għal kategoriji speċifiċi ta' AI ta' riskju għoli skont l-Anness III taħt is-S.L. 586.14. Dik id-deżinjazzjoni tinsab fir-regolamenti 3 u 4, li ilhom fis-seħħ mill-10 ta' Ottubru 2025; ir-regolamenti 5 sa 7 u 9 sa 12 tal-istess strument daħlu fis-seħħ fit-2 ta' Awwissu 2026. L-obbligi sostantivi ta' riskju għoli tal-Anness III li dawk is-setgħat se jintużaw biex jissorveljaw japplikaw mit-2 ta' Diċembru 2027, wara r-Regolament (UE) 2026/1744.

L-Att tal-UE dwar id-Data u n-NIS2

Is-S.L. 586.13 (l-Att dwar id-Data) daħlet fis-seħħ fl-10 ta' Ottubru 2025 u s-S.L. 460.41 (in-NIS2) fit-23 ta' Jannar 2026, u b'hekk kabbru l-portafoll tal-IDPC u ħolqu obbligi li jaqsmu ma' xulxin għal organizzazzjonijiet fis-servizzi finanzjarji, is-saħħa, u l-infrastruttura kritika.

Konformità għan-Negozji: Kunsiderazzjonijiet Prattiċi

Organizzazzjonijiet li jipproċessaw data personali f'Malta jibbenefikaw mil-librerija ta' linji gwida aċċessibbli tal-IDPC, li tinkludi formoli mudell għan-notifika ta' ksur, siġar ta' deċiżjoni għad-DPIA, u linji gwida speċifiċi għas-settur tal-logħob u l-impjieg.

Għal organizzazzjonijiet ġodda f'Malta, dawn li ġejjin huma l-passi ta' konformità bl-ogħla prijorità:

1. Immappja l-flussi tad-data u identifika jekk il-kamp ta' applikazzjoni extra-territorjali tal-GDPR (Artikolu 3) japplikax għall-ipproċessar tiegħek tad-data ta' residenti ta' Malta.
2. Awdita l-bażijiet legali għal kull attività ta' pproċessar, b'mod partikolari għall-marketing dirett, il-monitoraġġ tal-impjegati, u l-kondiviżjoni ta' data ma' korpi tal-liċenzjar tal-MGA.
3. Irreġistra d-DPO tiegħek mal-IDPC jekk il-ħatra tkun obbligatorja.
4. Irrevedi l-ġestjoni tad-data tat-tfal bil-limitu korrett tal-eta ta' 13-il sena skont is-S.L. 586.11.
5. Implimenta mekkaniżmi ta' trasferiment transfruntier għal kwalunkwe data mibgħuta barra miż-ŻEE; ikkunsidra s-S.L. 586.12 meta tivvaluta l-infurzabbiltà tas-salvagwardji ta' trasferiment.
6. Ħejji għall-Att tal-UE dwar l-AI jekk qed tiżvolġi jew tuża sistemi tal-AI ta' riskju għoli, b'attenzjoni partikolari lejn ir-rwol tal-IDPC bħala MSA għall-AI bijometrika u dik relatata mal-infurzar tal-liġi.
7. Ikkoordina l-proċeduri ta' rispons għal ksur tan-NIS2 u tal-GDPR għal organizzazzjonijiet fis-servizzi finanzjarji, is-saħħa, jew l-infrastruttura kritika.

Għal operaturi tal-logħob speċifikament: ir-rwol tal-IDPC bħala Awtorità Superviżorja Ewlenija għall-obbligi tiegħek dwar id-data tal-plejers madwar l-UE kollha jfisser li l-engaġġ mal-IDPC huwa fil-prattika engaġġ mar-regolatur ewlieni tiegħek tal-protezzjoni tad-data fl-UE. Il-volum u x-xejra tal-każistika (244 każ OSS tal-logħob fl-2024, u 450 mill-535 każ OSS fl-2025 dwar id-dritt ta' aċċess) jindikaw li l-ġestjoni tat-talbiet ta' aċċess tal-plejers u l-prattiki ta' żamma tad-data huma miri prinċipali tal-infurzar.

Dan l-artiklu jippreżenta informazzjoni legali ġenerali dwar il-qafas ta' Malta dwar il-protezzjoni tad-data minn Settembru 2026. Ma jikkostitwixxix parir legali. Il-liġi dwar il-protezzjoni tad-data hija suġġetta għal bidla kontinwa, inkluż permezz ta' linji gwida tal-EDPB, deċiżjonijiet ta' infurzar tal-IDPC, u l-iżvilupp leġiżlattiv tal-UE. L-organizzazzjonijiet għandhom jikkonsultaw avukat liċenzjat f'Malta jew professjonist kwalifikat fil-protezzjoni tad-data għal parir dwar is-sitwazzjoni speċifika tagħhom.

Frequently Asked Questions

Malta għandha l-liġi tagħha stess dwar il-protezzjoni tad-data, separata mill-GDPR?

Iva. Malta daħħlet fis-seħħ l-Att dwar il-Protezzjoni tad-Data (Kap. 586) fit-28 ta' Mejju 2018 biex tissupplimenta l-GDPR tal-UE, li japplika direttament bħala liġi tal-UE. Il-Kap. 586 ikopri oqsma fejn l-implimentazzjoni nazzjonali hija meħtieġa jew permessa: it-twaqqif tal-IDPC bħala l-awtorità superviżorja, l-istabbiliment tal-eta tal-kunsens diġitali tat-tfal għal 13-il sena skont is-S.L. 586.11, il-ħolqien ta' reati kriminali, l-għoti ta' eżenzjonijiet għall-ġurnaliżmu u l-espressjoni akkademika, u d-dħul fis-seħħ ta' leġiżlazzjoni sussidjarja speċifika għas-settur. Il-Kap. 586 ma jerġax jistabbilixxi d-dispożizzjonijiet tal-GDPR imma jimla l-lakuni li l-GDPR iħalli għal-liġi nazzjonali.

F'liema eta jistgħu t-tfal f'Malta jagħtu l-kunsens biex tiġi pproċessata d-data personali tagħhom?

Malta stabbilixxiet l-eta tal-kunsens diġitali għal 13-il sena skont il-Leġiżlazzjoni Sussidjarja 586.11. It-tfal ta' 13-il sena jew aktar jistgħu jagħtu l-kunsens tagħhom stess għall-ipproċessar tad-data għal servizzi tas-soċjetà tal-informazzjoni. Għal tfal taħt it-13-il sena, huwa meħtieġ il-kunsens jew l-awtorizzazzjoni tal-persuna li għandha r-responsabbiltà tal-ġenituri, u l-kontrolluri jridu jagħmlu sforzi raġonevoli biex jivverifikaw dan. Innota li l-liġi ċivili Maltija tistabbilixxi l-kapaċità kuntrattwali għat-18-il sena, u dan joħloq diskrepanza fit-termini tas-servizz li l-organizzazzjonijiet għandhom jirrevedu ma' konsulent legali.

X'inhi l-akbar multa li l-IDPC jista' jimponi għal ksur tal-protezzjoni tad-data?

Għal kontrolluri u proċessuri tas-settur privat, japplikaw il-massimi standard tal-GDPR: sa EUR 20 miljun jew 4% tad-dħul mill-bejgħ dinji annwali għal ksur serju (skont liema jkun l-ogħla). Għall-awtoritajiet u l-korpi pubbliċi, il-Kap. 586 jistabbilixxi limiti nazzjonali separati: sa EUR 25,000 għal kull ksur tal-Artikolu 83(4) (flimkien ma' EUR 25/kuljum) u sa EUR 50,000 għal kull ksur tal-Artikolu 83(5) jew 83(6) (flimkien ma' EUR 50/kuljum). Fil-prattika, l-akbar multa amministrattiva fir-reġistru ppubblikat tad-deċiżjonijiet tal-IDPC hija ta' EUR 250,000, imposta fl-2022 għal ksur tal-Artikoli 32(1) u 32(2) wara ksur ta' data personali. Il-multa ta' EUR 65,000 kontra C-Planet IT Solutions Limited, ukoll mill-2022 u rrappurtata b'mod wiesa', hija t-tieni l-akbar.

Tista' d-data personali tiġi ttrasferita minn Malta lejn pajjiżi barra mill-UE?

Iva, suġġett għar-rekwiżiti tal-Kapitolu V tal-GDPR. It-trasferimenti jeħtieġu deċiżjoni ta' adegwatezza mill-Kummissjoni Ewropea (inkluż l-EU-US Data Privacy Framework tal-2023 għal riċevituri Amerikani ċertifikati), salvagwardji xierqa bħal klawżoli kuntrattwali standard jew regoli korporattivi vinkolanti, jew deroga speċifika skont l-Artikolu 49. Is-S.L. 586.12 ta' Malta tagħti lis-suġġetti tad-data drittijiet direttament infurzabbli quddiem il-qrati Maltin b'rabta ma' dawn it-trasferimenti, u b'hekk tindirizza lakuna fl-infurzabbiltà fil-liġi Maltija tal-kuntratti li taffettwa lis-suġġetti tad-data bħala benefiċjarji ta' parti terza.

Kif tirregola Malta l-intelliġenza artifiċjali skont l-Att tal-UE dwar l-AI?

Malta deżinjat żewġ awtoritajiet nazzjonali skont l-Att tal-UE dwar l-AI. L-Avviż Legali 226 tal-2025 jaħtar lill-Malta Digital Innovation Authority (MDIA) bħala l-Awtorità ta' Sorveljanza tas-Suq prinċipali għall-biċċa l-kbira tas-sistemi tal-AI. L-Avviż Legali 227 tal-2025 (S.L. 586.14) jaħtar separatament lill-IDPC bħala l-MSA għal sistemi tal-AI ta' riskju għoli skont l-Anness III li jinvolvu l-bijometrija, il-valutazzjoni tar-riskju kriminali, l-infurzar tal-liġi, il-migrazzjoni, il-kontroll tal-fruntieri, u l-proċessi demokratiċi. L-IDPC ġie identifikat ukoll bħala awtorità għad-drittijiet fundamentali b'effett mit-3 ta' Novembru 2024, sa fejn tikkonċerna l-protezzjoni tad-data personali. Id-dispożizzjonijiet ta' deżinjazzjoni taż-żewġ avviżi legali ilhom fis-seħħ mill-10 ta' Ottubru 2025, u d-dispożizzjonijiet li fadal tagħhom daħlu fis-seħħ fit-2 ta' Awwissu 2026, id-data ġenerali ta' applikazzjoni tal-Att dwar l-AI, imma r-Regolament (UE) 2026/1744, id-Digital Omnibus on AI, ċaqlaq l-obbligi sostantivi ta' riskju għoli tal-Anness III għat-2 ta' Diċembru 2027 u dawk tal-Anness I għat-2 ta' Awwissu 2028.

Għaliex Malta hija partikolarment importanti għall-konformità mal-protezzjoni tad-data tal-UE fis-settur tal-iGaming?

Malta hija l-ġurisdizzjoni prinċipali tal-UE għal-liċenzjar tal-iGaming permezz tal-Malta Gaming Authority (MGA). Peress li l-GDPR jassenja r-responsabbiltà lill-awtorità superviżorja tal-Istat Membru fejn kumpanija għandha l-istabbiliment prinċipali tagħha fl-UE, l-IDPC jaqdi r-rwol ta' Awtorità Superviżorja Ewlenija għall-maġġoranza l-kbira tal-ilmenti tal-GDPR madwar l-UE kollha kontra operaturi tal-logħob online. Fl-2025, l-IDPC ittratta 535 każ transfruntier One Stop Shop u aġixxa bħala Awtorità Superviżorja Ewlenija f'517 minnhom, żieda mit-256 każ OSS fl-2024, li minnhom 244 involvew operaturi tal-logħob. Il-miri komuni tal-infurzar jinkludu l-konformità mat-talbiet ta' aċċess tas-suġġett tal-plejers, il-prattiki ta' żamma tad-data, u l-obbligi ta' trasparenza.

X'inhi l-bażi kostituzzjonali għall-protezzjoni tad-data f'Malta?

Id-drittijiet għall-protezzjoni tad-data f'Malta joriġinaw minn tliet sorsi kostituzzjonali u internazzjonali. L-Artikolu 32(c) tal-Kostituzzjoni ta' Malta (1964) jiddikjara d-dritt għar-rispett tal-ħajja privata u tal-familja, l-Artikolu 38 jipproteġi l-privatezza tad-dar u ta' proprjetà oħra kontra t-tfittxija u d-dħul, u l-Artikolu 41, l-artikolu dwar il-libertà tal-espressjoni, jinkludi l-ħelsien minn interferenza fil-korrispondenza. L-European Convention Act (Kapitolu 319) tagħti effett dirett fil-qrati Maltin lill-Artikolu 8 tal-KEDB (id-dritt għall-ħajja privata). Malta rratifikat ukoll il-Konvenzjoni 108 tal-Kunsill tal-Ewropa dwar l-ipproċessar awtomatiku ta' data personali f'Frar 2003. Dawn il-pedamenti jsostnu l-Kap. 586 u l-applikazzjoni ta' Malta tal-GDPR.

X'inhi s-S.L. 586.12 u għaliex hija importanti?

Il-Leġiżlazzjoni Sussidjarja 586.12, ir-Regolamenti dwar l-Infurzar tad-Drittijiet tas-Suġġetti tad-Data fir-rigward ta' Trasferimenti ta' Data Personali lejn Pajjiż Terz jew Organizzazzjoni Internazzjonali, tagħti lis-suġġetti tad-data drittijiet direttament infurzabbli quddiem il-qrati Maltin meta d-data personali tagħhom tiġi ttrasferita internazzjonalment. Stati Membri oħra tal-UE jistrieħu fuq il-liġi ġenerali tal-kuntratti għall-infurzar minn benefiċjarji ta' parti terza tas-salvagwardji ta' trasferiment (bħall-klawżoli kuntrattwali standard), imma dan jista' joħloq inċertezza dwar l-infurzabbiltà. S.L. 586.12 issolvi din l-inċertezza f'Malta billi toħloq dritt ta' azzjoni statutorju speċifiku.

Malta teħtieġ li d-DPOs jiġu reġistrati mal-IDPC?

Id-dettalji jridu jiġu kkomunikati lill-IDPC, imma dak huwa rekwiżit tal-GDPR aktar milli żieda Maltija. L-Artikolu 37(7) jobbliga lil kull kontrollur jew proċessur jippubblika d-dettalji ta' kuntatt tad-DPO u jikkomunikahom lill-awtorità superviżorja. L-IDPC jitlob l-isem tal-kontrollur tad-data, l-isem tad-DPO, indirizz postali, indirizz elettroniku, numru ta' kuntatt, in-natura tan-negozju, u d-data tal-ħatra, mibgħuta lill-kaxxa postali tad-DPO tiegħu. Jirreġistra d-dettalji għall-finijiet tal-Artikolu 37(7) mingħajr ma japprova jew jappoġġa l-ħatra, u jħeġġeġ li l-ħatriet volontarji jiġu notifikati wkoll. Id-dmir sottostanti li jinħatar DPO ġej mill-Artikolu 37(1) tal-GDPR u jkopri awtoritajiet pubbliċi, operazzjonijiet ta' monitoraġġ sistematiku fuq skala kbira, u pproċessar fuq skala kbira ta' kategoriji speċjali ta' data.