CELEX: 62014CJ0362
Ennakkoratkaisupyyntö
Henkilötiedot
Yksilöiden suojelu henkilötietojen käsittelyssä
Euroopan unionin perusoikeuskirja
7, 8 ja 47 artikla
Direktiivi 95/46/EY
25 ja 28 artikla
Henkilötietojen siirto kolmansiin maihin
Päätös 2000/520/EY
Henkilötietojen siirto Yhdysvaltoihin
Tietosuojan riittämätön taso
Pätevyys
Luonnollisen henkilön, jonka tiedot on siirretty Euroopan unionista Yhdysvaltoihin, tekemä kantelu
Kansallisten valvontaviranomaisten toimivalta

Ennakkoratkaisupyyntö koskee yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (
EYVL L 281, s. 31
), sellaisena kuin se on muutettuna 29.9.2003 annetulla Euroopan parlamentin ja neuvoston asetuksella (EY) N:o 1882/2003 (
EUVL L 284, s. 1
; jäljempänä direktiivi 95/46), 25 artiklan 6 kohdan ja 28 artiklan tulkintaa Euroopan unionin perusoikeuskirjan (jäljempänä perusoikeuskirja) 7, 8 ja 47 artiklan kannalta ja, pääasiallisesti, direktiivin 95/46 mukaisesti yksityisyyden suojaa koskevien safe harbor ‑periaatteiden antaman suojan riittävyydestä ja niihin liittyvistä Yhdysvaltojen kauppaministeriön julkaisemista tavallisimmista kysymyksistä 26.7.2000 tehdyn komission päätöksen 2000/520/EY (
EYVL L 215, s. 7
) pätevyyttä.
Tämä pyyntö on esitetty asiassa, jossa ovat vastakkain Maximillian Schrems ja Data Protection Commissioner (jäljempänä tietosuojavaltuutettu) ja joka koskee sitä, että viimeksi mainittu on kieltäytynyt tutkimasta kantelua, jonka Schrems on tehnyt sen takia, että Facebook Ireland Ltd (jäljempänä Facebook Ireland) siirtää Yhdysvaltoihin käyttäjiensä henkilötietoja ja säilyttää niitä kyseisessä maassa sijaitsevilla palvelimilla.
Asiaa koskevat oikeussäännöt
Direktiivi 95/46
Direktiivin 95/46 johdanto-osan 2, 10, 56, 57, 60, 62 ja 63 perustelukappaleessa todetaan seuraavaa:
”(2)
tietojenkäsittelyjärjestelmät on tehty palvelemaan ihmistä; järjestelmiä käytettäessä on kunnioitettava yksilöiden perusoikeuksia ja ‑vapauksia heidän kansalaisuudestaan tai asuinpaikastaan riippumatta, erityisesti oikeutta yksityisyyteen, ja osallistuttava – – yksilöiden hyvinvoinnin lisäämiseen,
– –
(10)
henkilötietojen käsittelyä koskevien kansallisten lainsäädäntöjen tavoitteena on taata perusoikeuksien ja ‑vapauksien kunnioittaminen, erityisesti yksityisyyttä koskevan oikeuden kunnioittaminen, joka tunnustetaan myös ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn [Roomassa 4.11.1950 allekirjoitetun] Euroopan yleissopimuksen 8 artiklassa ja yhteisön oikeuden yleisissä periaatteissa; tämän vuoksi lainsäädäntöjen lähentäminen ei saa johtaa lainsäädännöllä turvattavan tietosuojan heikentymiseen, vaan sillä on päinvastoin varmistettava tietosuojan korkea taso yhteisössä,
– –
(56)
henkilötietojen kansainvälinen siirto on tarpeen kansainvälisen kaupan kehittämiseksi; yhteisössä tällä direktiivillä taattava yksilöiden tietosuoja ei estä henkilötietojen siirtoa kolmansiin maihin, jotka voivat turvata tietosuojan riittävän tason; tietosuojan tason kolmannessa maassa on säilyttävä riittävänä kaikissa siirtoa tai siirtojen sarjaa koskevissa olosuhteissa,
(57)
toisaalta, jos tietosuojan taso kolmannessa maassa ei ole riittävä, henkilötietojen siirto kyseiseen maahan on kiellettävä,
– –
(60)
joka tapauksessa siirrot kolmansiin maihin voidaan suorittaa vain noudattaen jäsenvaltioiden tämän direktiivin ja erityisesti sen 8 artiklan mukaisesti toteuttamia toimenpiteitä,
– –
(62)
jäsenvaltioissa itsenäisesti toimivien valvontaviranomaisten perustaminen on keskeinen tekijä yksilöiden suojelussa henkilötietojen käsittelyssä,
(63)
kyseisillä viranomaisilla on oltava tarvittavat keinot tehtäviensä suorittamiseksi, olivatpa kyseessä tutkinta- tai toimintavaltuudet, erityisesti silloin, kun viranomaisille esitetään [kanteluja], tai kelpoisuus olla asianosaisena oikeudenkäynnissä; – –”
Direktiivin 95/46 1, 2, 25, 26, 28 ja 31 artiklassa säädetään seuraavaa:
”1 artikla
Direktiivin tavoite
1.   Tämän direktiivin mukaisesti jäsenvaltioiden on henkilötietojen käsittelyssä turvattava yksilöille heidän perusoikeutensa ja ‑vapautensa ja erityisesti heidän oikeutensa yksityisyyteen.
– –
2 artikla
Määritelmät
Tässä direktiivissä tarkoitetaan
a)
’henkilötiedoilla’ kaikenlaisia tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä (’rekisteröity’) koskevia tietoja; tunnistettavissa olevana pidetään henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa, erityisesti henkilönumeron taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella,
b)
’henkilötietojen käsittelyllä’ (’käsittely’) kaikenlaisia sellaisia toimintoja tai toimintojen kokonaisuuksia, joita kohdistetaan henkilötietoihin joko automaattisen tietojenkäsittelyn avulla tai manuaalisesti, kuten tietojen kerääminen, tallentaminen, järjestäminen, säilyttäminen, muokkaaminen tai muuttaminen, tiedon haku, kysely, käyttö, luovuttaminen siirtämällä, levittämällä tai asettamalla muutoin saataville, yhteensovittaminen tai yhdistäminen sekä suojaaminen, poistaminen tai tuhoaminen,
– –
d)
’rekisterinpitäjällä’ luonnollista tai oikeushenkilöä, julkista viranomaista, virastoa tai muuta toimielintä, joka, yksin tai yhdessä toisten kanssa, määrittelee henkilötietojen käsittelyn tarkoituksen ja keinot; jos käsittelyn tarkoitus ja keinot määritellään kansallisilla tai yhteisön laeilla tai asetuksilla, rekisterinpitäjä tai erityiset perusteet rekisterinpitäjän nimeämiseksi voidaan vahvistaa kansallisten tai yhteisön säännösten mukaisesti,
– –
25 artikla
Periaatteet
1.   Jäsenvaltioiden on säädettävä siitä, että käsiteltävien tai siirron jälkeen käsiteltäviksi tarkoitettujen henkilötietojen siirto kolmanteen maahan voidaan suorittaa ainoastaan, jos kyseisessä kolmannessa maassa taataan tietosuojan riittävä taso, jollei tämän direktiivin muiden säännösten mukaisesti säädetyistä kansallisista säännöksistä muuta johdu.
2.   Kolmannessa maassa taattavan tietosuojan tason riittävyyttä on arvioitava kaikkien tiettyyn siirtoon tai siirtojen ryhmään liittyvien olosuhteiden osalta; erityisesti on otettava huomioon tietojen luonne, suunnitellun käsittelyn tai suunniteltujen käsittelyjen tarkoitus ja kestoaika, alkuperämaa ja lopullinen kohde, kyseisessä kolmannessa maassa voimassa olevat yleiset tai alakohtaiset oikeussäännöt sekä ammattisäännöt ja tässä maassa noudatettavat turvatoimet.
3.   Jäsenvaltioiden ja komission on informoitava toisiaan, jos ne arvioivat, että tietyssä kolmannessa maassa ei taata tietosuojan riittävää tasoa 2 kohdan tarkoittamassa merkityksessä.
4.   Jos komissio 31 artiklan 2 kohdassa vahvistetun menettelyn mukaisesti toteaa, että tietyssä kolmannessa maassa ei taata tietosuojan riittävää tasoa tämän artiklan 2 kohdassa tarkoitetussa merkityksessä, jäsenvaltioiden on toteutettava tarvittavat toimenpiteet kyseiseen kolmanteen maahan kohdistuvien samanluonteisten siirtojen estämiseksi.
5.   Komissio aloittaa sopivalla hetkellä neuvottelut 4 kohdan mukaisesti tehdystä toteamuksesta aiheutuneen tilanteen korjaamiseksi.
6.   Komissio voi 31 artiklan 2 kohdassa vahvistetun menettelyn mukaisesti todeta, että tietyssä kolmannessa maassa taataan tietosuojan riittävä taso tämän artiklan 2 kohdan tarkoittamassa merkityksessä, mikä johtuu kyseisen maan sisäisestä lainsäädännöstä tai kansainvälisistä sitoumuksista, jotka on tehty erityisesti 5 kohdassa tarkoitettujen neuvottelujen yhteydessä henkilöiden yksityiselämän ja perusoikeuksien ja ‑vapauksien turvaamiseksi.
Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet noudattaakseen komission päätöstä.
26 artikla
Poikkeukset
1.   Poiketen siitä, mitä 25 artiklassa säädetään, ja jollei erityisissä tapauksissa sovellettavasta kansallisesta lainsäädännöstä muuta johdu, jäsenvaltioiden on säädettävä siitä, että henkilötietojen siirto tai siirtojen sarja sellaiseen kolmanteen maahan, jossa ei taata 25 artiklan 2 kohdassa tarkoitettua tietosuojan riittävää tasoa, voidaan suorittaa sillä edellytyksellä, että
a)
rekisteröity on yksiselitteisesti antanut suostumuksensa suunniteltuun siirtoon
tai
b)
siirto on tarpeen rekisteröidyn ja rekisterinpitäjän välisen sopimuksen täytäntöön panemiseksi tai sopimusta edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä
tai
c)
siirto on tarpeen rekisterinpitäjän ja sivullisen välisen sopimuksen tekemiseksi tai täytäntöön panemiseksi rekisteröidyn edun mukaisesti
tai
d)
siirto on tarpeen tai lain vaatima tärkeän yleisen edun turvaamiseksi tai oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi
tai
e)
siirto on tarpeen rekisteröidyn elintärkeän edun suojaamiseksi
tai
f)
siirto tehdään julkisesta rekisteristä, joka on lakien ja asetusten säännösten mukaisesti yleisön käytettävissä tai kenen tahansa sellaisen henkilön käytettävissä, joka voi esittää tiedonsaannille perustellun syyn, siltä osin kuin rekisterin käytettävissä olemisen lailliset edellytykset täyttyvät kussakin yksittäisessä tapauksessa.
2.   Jäsenvaltio voi hyväksyä henkilötietojen siirron tai siirtojen sarjan sellaiseen kolmanteen maahan, jossa ei taata 25 artiklan 2 kohdassa tarkoitettua tietosuojan riittävää tasoa, jos rekisterinpitäjä antaa riittävät takeet henkilöiden yksityisyyden suojasta ja perusoikeuksien ja ‑vapauksien suojasta sekä vastaavien oikeuksien soveltamisesta, sanotun kuitenkaan rajoittamatta 1 kohdan soveltamista; nämä takeet voivat erityisesti johtua soveltuvista sopimuslausekkeista.
3.   Kunkin jäsenvaltion on ilmoitettava komissiolle ja muille jäsenvaltioille 2 kohdan mukaisista hyväksymisistään.
Jos toinen jäsenvaltio tai komissio ilmaisee asianmukaisesti perustellun vastalauseensa henkilöiden yksityisyyteen ja perusoikeuksiin ja ‑vapauksiin viitaten, komission on toteutettava asianmukaiset toimenpiteet 31 artiklan 2 kohdassa mainitun menettelyn mukaisesti.
Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet noudattaakseen komission päätöstä.
– –
28 artikla
Valvontaviranomainen
1.   Kunkin jäsenvaltion on säädettävä siitä, että jäsenvaltioiden tämän direktiivin mukaisesti toteuttamien toimenpiteiden soveltamista sen alueella valvoo yksi tai useampi julkinen viranomainen.
Näiden viranomaisten on hoidettava tehtäviään itsenäisesti.
2.   Kunkin jäsenvaltion on säädettävä siitä, että valvontaviranomaisia kuullaan henkilöiden oikeuksien ja vapauksien suojaamista henkilötietojen käsittelyssä koskevia lainsäädännöllisiä ja hallinnollisia toimenpiteitä suunniteltaessa.
3.   Kullakin valvontaviranomaisella on erityisesti oltava:
—
tutkintavaltuudet, kuten valtuudet saada käsiteltäviä tietoja ja kerätä kaikki valvontatehtävänsä suorittamiseksi tarvittavat tiedot,
—
tehokkaat toimintavaltuudet, kuten esimerkiksi valtuudet 20 artiklan mukaisesti antaa lausuntoja ennen käsittelyn toteuttamista ja varmistaa näiden lausuntojen asianmukainen julkistaminen taikka valtuudet määrätä tietojen suojaamisesta, poistamisesta tai tuhoamisesta tai kieltää käsittely väliaikaisesti tai lopullisesti taikka valtuudet antaa rekisterinpitäjälle huomautus tai varoitus taikka valtuudet saattaa asioita käsiteltäväksi kansalliselle parlamentille tai muille poliittisille elimille,
—
valtuudet olla asianosaisena oikeudenkäynnissä, jos tämän direktiivin mukaisesti toteutettuja kansallisia toimenpiteitä rikotaan, tai valtuudet saattaa nämä rikkomukset lainkäyttöviranomaisten tietoon.
Valvontaviranomaisen päätöksi[in], jotka antavat aihetta [muutoksenhakuun], voi [hakea muutosta] tuomioistuim[ilta].
4.   Kuka tahansa henkilö tai häntä edustava yhdistys voi esittää valvontaviranomaiselle oikeuksiensa ja vapauksiensa suojelua henkilötietojen käsittelyn osalta koskevan vaateen. Rekisteröidylle ilmoitetaan vaateen seurauksista.
Kuka tahansa henkilö voi erityisesti esittää valvontaviranomaiselle vaateen käsittelyn laillisuuden tarkastamisesta sovellettaessa tämän direktiivin 13 artiklan mukaisesti toteutettuja kansallisia toimenpiteitä. Joka tapauksessa henkilölle on ilmoitettava, että tarkastus on suoritettu.
– –
6.   Riippumatta kyseessä olevaan käsittelyyn sovellettavasta kansallisesta oikeudesta valvontaviranomainen on toimivaltainen käyttämään jäsenvaltionsa alueella valtuuksia, jotka sille kuuluvat 3 kohdan mukaisesti. Toisen jäsenvaltion viranomainen voi pyytää valvontaviranomaista käyttämään valtuuksiaan.
– –
31 artikla
– –
2.   Jos tähän artiklaan viitataan, sovelletaan [menettelystä komissiolle siirrettyä täytäntöönpanovaltaa käytettäessä 28.6.1999 tehdyn neuvoston] päätöksen 1999/468/EY [(
EYVL L 184, s. 23
)] 4 ja 7 artiklassa säädettyä menettelyä ottaen huomioon mainitun päätöksen 8 artiklan säännökset.
– –”
Päätös 2000/520
Komissio teki päätöksen 2000/520 direktiivin 95/46 25 artiklan 6 kohdan nojalla.
Päätöksen johdanto-osan toisessa, viidennessä ja kahdeksannessa perustelukappaleessa todetaan seuraavaa:
”(2)
Komissio voi todeta, että kolmas maa turvaa tietosuojan riittävän tason. Henkilötietojen siirtäminen jäsenvaltioista voidaan tässä tapauksessa sallia ilman lisätakeita.
– –
(5)
Tämän päätöksen mukainen riittävä suojan taso tietojen siirrolle yhteisöstä Yhdysvaltoihin pitäisi saada, jos organisaatiot noudattavat jäsenvaltioista Yhdysvaltoihin siirrettävien henkilötietojen suojan osalta yksityisyyden suojaa koskevia safe harbor ‑periaatteita, jäljempänä ’periaatteet’, ja tavallisimpien kysymysten ‑ohjetta periaatteiden täytäntöönpanemiseksi, jäljempänä ’FAQ’, jotka Yhdysvaltain hallitus on laatinut 21 päivänä heinäkuuta 2000. Organisaatioiden on lisäksi julkistettava yksityisyyden suojaa koskeva toimintalinjansa ja kuuluttava Federal Trade Commission Act ‑lain, jossa kielletään kauppaa koskevat tai kauppaan vaikuttavat sopimattomat tai harhaanjohtavat toimet tai käytännöt, 5 [§:n] nojalla Federal Trade Commissionin (FTC) tai muun, FAQ:iden mukaisesti sovellettavien periaatteiden noudattamisesta vastaavan lakisääteisen elimen toimivallan piiriin.
– –
(8)
Avoimuuden saavuttamiseksi ja sen varmistamiseksi, että jäsenvaltioiden toimivaltaiset viranomaiset kykenevät turvaamaan yksityishenkilöiden suojan henkilötietoja käsiteltäessä, tässä päätöksessä on tarpeen määritellä poikkeukselliset olot, joissa tiettyjen tiedonsiirtojen keskeyttäminen olisi oikeutettua siitä huolimatta, että tietosuojan taso on todettu riittäväksi.”
Päätöksen 2000/520 1–4 artiklassa säädetään seuraavaa:
”1 artikla
1.   Direktiivin 95/46/EY 25 artiklan 2 kohdan soveltamiseksi ja kaikkien direktiivin soveltamisalaan kuuluvien toimintojen osalta yksityisyyden suojaa koskevien, tämän päätöksen liitteenä I olevien safe harbor ‑periaatteiden, jäljempänä ’periaatteet’, joita sovelletaan Yhdysvaltojen kauppaministeriön 21 päivänä heinäkuuta 2000 julkaisemien ja tämän päätöksen liitteenä II olevien tavallisimpien kysymysten (Frequently Asked Questions, FAQ), jäljempänä ’FAQ’, tarjoaman ohjauksen mukaisesti, katsotaan varmistavan yhteisöstä Yhdysvaltoihin sijoittautuneille organisaatioille siirrettyjen henkilötietojen riittävän suojelun tason, ottaen huomioon seuraavat Yhdysvaltain kauppaministeriön julkaisemat asiakirjat:
a)
periaatteiden noudattamista käsittelevä katsaus (esitetään liitteessä III);
b)
muistio yksityisyyden loukkausten aiheuttamista vahingoista ja Yhdysvaltain lainsäädännön mukaiset täsmälliset valtuudet (esitetään liitteessä IV);
c)
Federal Trade Commissionin kirje (esitetään liitteessä V);
d)
Yhdysvaltain liikenneministeriön kirjelomake (esitetään liitteessä VI).
2.   Jokaisen tietojen siirron on täytettävä seuraavat edellytykset:
a)
tiedot vastaanottava organisaatio on yksiselitteisesti ja julkisesti ilmoittanut sitoutuvansa noudattamaan FAQ:iden mukaisesti sovellettuja periaatteita; ja
b)
organisaatio kuuluu sellaisen tämän päätöksen liitteessä VII luetellun Yhdysvaltojen valtiollisen elimen lakisääteisen toimivallan piiriin, jolla on valtuudet tutkia [kanteluja] ja määrätä korvauksia sopimattomista tai harhaanjohtavista käytännöistä sekä tarjota oikeuskeinoja yksityisille heidän asuinmaastaan tai kansallisuudestaan riippumatta, jos FAQ:iden mukaisesti sovellettavia periaatteita ei noudateta.
3.   Edellä 2 kohdassa mainittujen edellytysten katsotaan kunkin organisaation, joka on ilmoittanut noudattavansa FAQ:iden mukaisesti sovellettavia periaatteita, osalta täyttyvän siitä päivästä alkaen, jona organisaatio antaa Yhdysvaltojen kauppaministeriölle (tai sen nimeämälle) tiedoksi edellä 2 kohdan a alakohdassa tarkoitetun julkisesti ilmoitetun sitoumuksensa ja edellä 2 kohdan b alakohdassa tarkoitetun valtiollisen elimen nimen.
2 artikla
Tämä päätös koskee ainoastaan Yhdysvalloissa FAQ:iden mukaisesti sovellettavien periaatteiden tietosuojan riittävyyttä siinä tarkoituksessa, että direktiivin 95/46/EY 25 artiklan 1 kohdan vaatimukset täytettäisiin, eikä sillä ole vaikutusta direktiivin muiden, henkilötietojen käsittelyä jäsenvaltioissa koskevien säännösten, myöskään 4 artiklan, soveltamiseen.
3 artikla
1.   Rajoittamatta jäsenvaltioiden toimivaltaisten viranomaisten valtuuksia toteuttaa toimenpiteitä direktiivin 95/46/EY muiden säännösten kuin 25 artiklan noudattamiseksi annettujen kansallisten säännösten noudattamisen varmistamiseksi, jäsenvaltioiden toimivaltaiset viranomaiset voivat käyttää nykyisiä toimivaltuuksiaan keskeyttää organisaatiolle, joka on ilmoittanut noudattavansa FAQ:iden mukaisesti sovellettavia periaatteita, suunnatut tietovirrat yksityishenkilöiden suojelemiseksi heitä koskevien henkilötietojen käsittelemisen osalta tapauksissa, joissa:
a)
tämän päätöksen liitteessä VII tarkoitettu Yhdysvaltojen valtiollinen elin tai tämän päätöksen liitteessä I esitetyn täytäntöönpanoperiaatteen a luetelmakohdassa tarkoitettu riippumaton [muutoksenhaku]menettelyjärjestely on todennut, että organisaatio loukkaa FAQ:iden mukaisesti sovellettavia periaatteita; tai
b)
on huomattavan todennäköistä, että periaatteita loukataan; on kohtuullinen syy uskoa, että asianomainen täytäntöönpano-organisaatio ei ole ryhtynyt tai ryhdy riittäviin ja ajankohtaisiin toimenpiteisiin kyseessä olevan tapauksen ratkaisemiseksi; tietojen siirron jatkaminen aiheuttaisi välittömän vakavan haitan vaaran rekisteröidyille; ja jäsenvaltion toimivaltaiset viranomaiset ovat olosuhteisiin nähden kohtuullisessa määrin pyrkineet antamaan organisaatiolle ilmoituksen ja tilaisuuden vastata siihen.
Keskeytystoimenpide lakkaa heti, kun FAQ:iden mukaisesti sovellettavien periaatteiden noudattaminen on varmistunut ja asianomaisille toimivaltaisille viranomaisille yhteisössä on siitä ilmoitettu.
2.   Jäsenvaltiot ilmoittavat viipymättä komissiolle 1 kohdan nojalla toteutetuista toimenpiteistä.
3.   Jäsenvaltiot ja komissio tiedottavat toisilleen myös tapauksista, joissa periaatteiden noudattamisesta Yhdysvalloissa vastuussa olevien elinten toiminta ei varmista FAQ:iden mukaisesti sovellettavien periaatteiden noudattamista.
4.   Jos 1, 2 ja 3 kohdan mukaisesti saadut tiedot osoittavat, että jokin FAQ:iden mukaisesti sovellettavien periaatteiden noudattamisesta Yhdysvalloissa vastuussa oleva elin ei tosiasiallisesti täytä tehtäväänsä, komissio tiedottaa asiasta Yhdysvaltojen kauppaministeriölle ja esittää tarvittaessa direktiivin 95/46/EY 31 artiklassa säädetyn menettelyn mukaisesti luonnoksen toimenpiteistä, joiden tarkoituksena on kumota tämä päätös tai lykätä sen soveltamista tai rajoittaa sen soveltamisalaa.
4 artikla
1.   Tätä päätöstä voidaan muuttaa milloin tahansa täytäntöönpanosta saatujen kokemusten perusteella ja/tai jos Yhdysvaltojen lainsäädäntö antaa periaatteita ja FAQ:ita paremman suojan. Komissio arvioi tämän päätöksen täytäntöönpanon käytettävissä olevien tietojen perusteella kolme vuotta sen jälkeen, kun se on annettu tiedoksi jäsenvaltioille, ja toimittaa kaikki tärkeät huomiot direktiivin 95/46/EY 31 artiklalla perustetulle komitealle, myös kaiken aineiston, joka voi vaikuttaa tämän päätöksen 1 artiklan säännösten arviointiin direktiivin 95/46/EY 25 artiklassa tarkoitetun riittävän suojan osalta ja kaikki osoitukset siitä, että tätä päätöstä pannaan täytäntöön syrjivästi.
2.   Komissio esittää tarvittaessa luonnoksen toimenpiteistä [direktiivin 95/46] 31 artiklassa säädetyn menettelyn mukaisesti.”
Päätöksen 2000/520 liitteessä I todetaan seuraavaa:
”Yhdysvaltojen kauppaministeriön 21 päivänä heinäkuuta 2000 antamat safe harbor ‑periaatteet
– –
Yhdysvaltojen kauppaministeriö – – on laatinut tämän asiakirjan ja tietosuojaperiaatteisiin liittyvät tavallisimmat kysymykset (Frequently Asked Questions, FAQ) osana lakisääteisiä valtuuksiansa tukea, edistää ja kehittää kansainvälistä kauppaa. Periaatteet on laadittu yhdessä elinkeinoelämän ja kuluttajien edustajien kanssa Yhdysvaltojen ja Euroopan unionin välisen kaupankäynnin helpottamiseksi. Ne on tarkoitettu käytettäviksi yksinomaan yhdysvaltalaisissa yrityksissä, jotka saavat henkilötietoja Euroopan unionista ja jotka käyttävät periaatteiden noudattamista keinona safe harbor ‑järjestelmään osallistumiselle asetettujen kelpoisuusvaatimusten täyttämiseksi ja sen luoman tietosuojan riittävyyden olettamuksen saavuttamiseksi. Koska periaatteet on laadittu nimenomaan tätä tarkoitusta varten, niiden käyttö muissa yhteyksissä saattaa olla epäasianmukaista. – –
Organisaatiot päättävät täysin vapaaehtoisesti, haluavatko ne liittyä safe harbor ‑järjestelmään, ja ne voidaan hyväksyä järjestelmään eri tavoin. – –
Näiden periaatteiden noudattamista voidaan rajoittaa a) siinä määrin kuin se on tarpeen kansallisen turvallisuuden, yleisen edun ja lainsäädännön vaatimusten vuoksi, b) lainsäädännöllä, [asetuksilla] tai oikeuskäytännöllä, joilla syntyy [kyseisten periaatteiden kanssa] ristiriitaisia velvoitteita tai joilla selkeästi annetaan lupa tiettyyn toimintaan, sillä edellytyksellä, että aina tällaista lupaa käyttäessään organisaatio voi osoittaa, että periaatteiden noudattamatta jättäminen rajoittuu siihen, mikä on tarpeen tällaisen lupaan liittyvän oikeutetun ja ensisijaisen tavoitteen täyttämiseksi, c) jos direktiivissä tai jäsenvaltion lainsäädännössä sallitaan poikkeuksia ja jos tällaisia poikkeuksia sovelletaan vastaavissa yhteyksissä. Yksityisyyden suojan kohentamista koskevan tavoitteen mukaisesti organisaatioiden tulisi pyrkiä toteuttamaan nämä periaatteet täysimittaisesti ja avoimesti ja osoittamaan yksityisyyden suojaa koskevassa politiikassaan, missä kohdin edellä b kohdassa sallittuja periaatteiden poikkeuksia sovelletaan säännönmukaisesti. Jos vaihtoehto on sallittu periaatteiden ja/tai Yhdysvaltojen lainsäädännön nojalla, organisaatioiden odotetaan samasta syystä noudattavan tiukempaa suojaa, kun tämä on mahdollista.
– –”
Päätöksen 2000/520 liitteessä II todetaan seuraavaa:
”Tavallisimmat kysymykset (FAQ:t)
– –
FAQ 6 – Oma varmennus
[K]:
Miten organisaatio voi käyttää omaa varmennusta todistaakseen, että se noudattaa safe harbor ‑periaatteita
?
[V]:
Safe harbor ‑järjestelmän edut taataan siitä päivästä lähtien, kun organisaatio itse, jäljempänä esitettävien ohjeiden mukaisesti, ilmoittaa kauppaministeriölle (Department of Commerce) tai sen tähän tarkoitukseen nimeämälle edustajalle noudattavansa periaatteita.
Todistaakseen itse kelpoisuutensa osallistua safe harbor ‑järjestelmään organisaatiot voivat toimittaa kauppaministeriölle tai sen nimeämälle edustajalle järjestelmään liittyvää organisaatiota edustavan toimihenkilön allekirjoittaman kirjeen, joka sisältää vähintään seuraavat tiedot:
1)
organisaation nimi, postiosoite, sähköpostiosoite, puhelin- ja faksinumerot;
2)
kuvaus organisaation toiminnoista, jotka liittyvät EU:sta saataviin henkilötietoihin;
3)
kuvaus tällaisia henkilötietoja koskevasta organisaation yksityisyyspolitiikasta, myös seuraavat tiedot: a) missä sitä koskevaa tietoa on yleisön saatavilla; b) sen tosiasiallinen täytäntöönpanopäivä; c) yhteystoimisto [kantelujen] käsittelyä, tiedonsaantipyyntöjä ja muiden safe harbor ‑järjestelmään liittyvien kysymysten käsittelyä varten; d) erityinen lakisääteinen elin, joka on toimivaltainen käsittelemään kaikki mahdollisesti harhauttavia tai vilpillisiä käytäntöjä ja yksityisyyden suojaa koskevien lakien tai asetusten rikkomisia koskevat organisaatioon kohdistetut vaatimukset (ja joka mainitaan periaatteiden liitteessä); e) kaikkien niiden yksityisyyttä suojaavien ohjelmien nimet, joihin organisaatio on liittynyt; f) todentamismenetelmä (esim. sisäinen tai sivullisen suorittama todentaminen); ja g) riippumaton [muutoksenhaku]menettely, joka on käytettävissä ratkaisemattomien [kantelujen] tutkimiseksi.
Jos organisaatio haluaa, että sen safe harbor ‑edut kattavat henkilöstöä koskevat tiedot, joita siirretään EU:sta käytettäväksi työsuhteen yhteydessä, se voi saada tällaisen kattavuuden siellä, missä on erityinen lakisääteinen elin, joka on toimivaltainen käsittelemään henkilöstöä koskevien tietojen suojaa koskevat organisaatioon kohdistetut vaatimukset ja joka mainitaan periaatteiden liitteessä. – –
Kauppaministeriö (tai sen nimeämä edustaja) pitää luetteloa kaikista organisaatioista, jotka ovat toimittaneet tällaisia kirjeitä, jolloin varmistetaan safe harbor ‑etujen käytettävyys. Se myös päivittää luettelon vuosittain toimitettavien kirjeiden ja FAQ 11:n mukaisesti saatujen ilmoitusten perusteella. – –
– –
FAQ 11 – Riitojen ratkaisu ja järjestelmän täytäntöönpano
[K]:
Miten täytäntöönpanoperiaatteeseen kuuluva riitojen ratkaisu toteutetaan ja miten toimitaan, jos organisaatio jatkuvasti rikkoo periaatteita
?
[V]:
Täytäntöönpanoperiaatteessa ilmaistaan safe harbor ‑järjestelmän täytäntöönpanon edellytykset. Todentamista koskevassa FAQ 7:ssä käsitellään periaatteen b kohdassa esitettyjen edellytysten täyttämistä. Tässä FAQ 11:ssä käsitellään periaatteen a ja c kohtia, joissa edellytetään riippumat[tomia] [muutoksenhaku]menettely[j]ä. Nämä menettelyt voivat olla erilaisia, mutta niiden on oltava täytäntöönpanoperiaatteen edellytysten mukaisia. Organisaatiot täyttävät edellytykset: 1) noudattamalla yksityisen sektorin laatimaa yksityisyydensuojaohjelmaa, jonka sääntöihin sisältyvät safe harbor ‑periaatteet ja johon kuuluu tehokkaita ja täytäntöönpanoperiaatteessa kuvatun kaltaisia täytäntöönpanovälineitä, 2) noudattamalla yksittäisiä [kanteluja] käsittelevien ja riitoja ratkaisevien valvontaviranomaisten ohjeita tai 3) sitoutumalla yhteistyöhön Euroopan yhteisön alueella toimivien tietosuojaviranomaisten tai niiden valtuutettujen edustajien kanssa. Tämä luettelo on esimerkinomainen eikä se ole kattava. Yksityisellä sektorilla voidaan laatia muita menettelyjä täytäntöönpanon varmistamiseksi, kunhan tällaiset järjestelmät täyttävät täytäntöönpanoperiaatteessa ja tavallisimmissa kysymyksissä (FAQ:issa) esitetyt edellytykset. On huomattava, että täytäntöönpanoperiaatteessa esitetyt edellytykset ovat lisäys niihin edellytyksiin, jotka on esitetty periaatteiden kolmannessa johdantokappaleessa ja joiden mukaan itsesääntelytoimien on oltava [täytäntöönpano]kelpoisia sopimattomat ja harhaanjohtavat toimet kieltävän Federal Trade Commission Act ‑lain 5 [§:n] tai muun vastaavan säädöksen nojalla.
[Muutoksenhaku]menettely:
Kuluttajia olisi rohkaistava tekemään valitus kyseiselle organisaatiolle ennen turvautumista riippumattomaan [muutoksenhaku]menettelyyn. – –
– –
FTC:n toiminta:
FTC on sitoutunut asettamaan tarkastelussaan ensisijalle tapaukset, jotka on sille toimittanut yksityisyydensuojan itsesääntelystä vastaava organisaatio, kuten BBBOnline tai TRUSTe tai EU:n jäsenvaltio, joka katsoo, että safe harbor ‑periaatteita ei ole noudatettu. FTC tutkii tällöin, onko toiminnassa rikottu FTC:tä koskevan säädöksen (FTC Act) 5 [§:ää], jossa kielletään sopimattomat ja harhaanjohtavat toimet ja käytännöt kaupan alalla. – –
– –”
Päätöksen 2000/520 liitteessä IV todetaan seuraavaa:
”Yksityisyyden suoja ja vahingonkorvaukset, lakisääteiset luvat sekä yritysfuusiot ja yritysostot Yhdysvaltojen oikeusjärjestelmässä
Tämä selvitys on laadittu vastauksena Euroopan komission esittämään selvityspyyntöön, joka koskee seuraaviin osa-alueisiin sovellettavaa Yhdysvaltojen lainsäädäntöä: a) yksityisyyden loukkauksien perusteella vaadittavat vahingonkorvaukset, b) Yhdysvaltojen lakien mukaiset ’nimenomaiset luvat’, jotka koskevat henkilötietojen käyttöä safe harbor ‑periaatteista poikkeavalla tavalla ja c) yritysfuusioiden ja yritysostojen vaikutukset velvollisuuksiin, joiden noudattamiseen on sitouduttu safe harbor ‑periaatteiden mukaisesti.
– –
B. Nimenomainen lakisääteinen lupa
Safe harbor ‑periaatteisiin sisältyy poikkeus silloin, [kun] lainsäädännöstä, hallituksen asetuksista tai oikeuskäytännöstä johtuu ’[kyseisten periaatteiden kanssa] ristiriitaisia velvoitteita tai niissä selkeästi annetaan lupa tiettyyn toimintaan[,] sillä edellytyksellä, että tällaista lupaa käyttäessään organisaatio voi osoittaa, että periaatteiden noudattamatta jättäminen rajoittuu siihen, mikä on tarpeen tällaisen lupaan liittyvän oikeutetun ja ensisijaisen tavoitteen täyttämiseksi’. On selvää, että jos Yhdysvaltojen lainsäädäntö asettaa yhdysvaltalaiselle organisaatiolle safe harbor ‑periaatteiden kanssa ristiriitaisen velvoitteen, organisaation on noudatettava lakia riippumatta siitä, kuuluuko se safe harbor ‑järjestelmään vai ei. Nimenomaisten lupien osalta voidaan todeta, että vaikka safe harbor ‑periaatteiden tarkoituksena on tasoittaa yksityisyyden suojassa Yhdysvaltojen ja Euroopan välillä esiintyviä eroja[,] Yhdysvaltojen on kunnioitettava vaaleilla valittujen lainsäätäjien valtaoikeuksia. Safe harbor ‑periaatteiden ehdottomasta noudattamisesta tehtävällä rajatulla poikkeuksella pyritään ottamaan huomioon molempien osapuolten perustellut edut.
Poikkeus rajoittuu tapauksiin, joissa on olemassa nimenomainen lupa. Tämän vuoksi vähimmäisvaatimuksena on, että kyseisessä laissa, asetuksessa tai tuomioistuimen päätöksessä safe harbor ‑organisaatioiden nimenomaisesti sallitaan toimia tietyllä tavalla. Poikkeusta ei siis sovelleta, jos laissa ei ole kyseistä mainintaa. Lisäksi poikkeusta sovellettaisiin vain silloin, kun nimenomainen lupa on ristiriidassa safe harbor ‑periaatteiden noudattamisen kanssa. Tässäkin tapauksessa poikkeus ’rajoittuu siihen, mikä on tarpeen tällaisen lupaan liittyvän oikeutetun ja ensisijaisen tavoitteen täyttämiseksi’. Esimerkiksi tapauksessa, jossa laki sallii yrityksen antaa henkilötietoja valtion viranomaisille, poikkeusta ei sovellettaisi. Sen sijaan tapauksessa, jossa laki antaa yritykselle erityisluvan henkilötietojen antamiseen valtion viranomaisille ilman rekisteröidyn suostumusta, on kysymyksessä ’nimenomainen lupa’ toimia safe harbor ‑periaatteiden vastaisella tavalla. Poikkeuksen piiriin kuuluisivat myös sellaiset tapaukset, joissa erikseen myönnetään poikkeus ilmoitusvelvollisuudesta ja velvollisuudesta hankkia rekisteröidyn suostumus (koska tämä vastaa tapausta, jossa annetaan erityislupa tietojen antamiseen ilman ilmoitusta ja rekisteröidyltä hankittua suostumusta). Esimerkiksi laki, joka antaa lääkäreille luvan ilmoittaa potilaidensa potilastiedot terveysviranomaisille ilman potilailta etukäteen hankittua suostumusta, saattaisi muodostaa poikkeuksen ilmoitus- ja valintaperiaatteista. Lupa ei kuitenkaan antaisi lääkärille oikeutta ilmoittaa samoja potilastietoja terveyspalveluja tuottaville organisaatioille tai kaupallisille lääketutkimuslaboratorioille, jotka eivät lain mukaan kuulu luvan käyttötarkoituksiin eivätkä näin myöskään poikkeuksen soveltamisalaan. Lakisääteiset valtuudet voivat olla yksittäisiä lupia, jotka oikeuttavat käsittelemään henkilötietoja tietyllä tavalla, mutta kuten jäljempänä esitetyistä esimerkeistä käy ilmi, kyseessä on yleensä poikkeus soveltamisalaltaan laajempaan lakiin, jossa säädetään henkilötietojen keruusta, käytöstä ja julkistamisesta.
– –”
Tiedonanto COM(2013) 846 final
Komissio antoi 27.11.2013 Euroopan parlamentille ja neuvostolle tiedonannon, jonka otsikko on ”Luottamuksen palauttaminen EU:n ja Yhdysvaltojen väliseen tietojen siirtoon” (COM(2013) 846 final, jäljempänä tiedonanto COM(2013) 846 final). Tiedonannon liitteenä oli samoin 27.11.2013 päivätty kertomus, joka sisältää Euroopan unionin ja Yhdysvaltojen tietosuojaa käsittelevän tilapäisen työryhmän EU- yhteispuheenjohtajien päätelmät (”Report on the Findings by the EU Co-chairs of the ad hoc EU-US Working Group on Data Protection”). Kertomus oli laadittu, kuten sen 1 kohdassa todetaan, yhteistyössä Yhdysvaltojen kanssa sen paljastuksen seurauksena, jonka mukaan tässä maassa on useita tarkkailuohjelmia, joihin sisältyy henkilötietojen laajamittaista keruuta ja käsittelyä. Kertomukseen sisältyy muun muassa yksityiskohtainen tarkastelu Yhdysvaltojen oikeusjärjestyksestä siltä osin kuin kyse on erityisesti oikeusperustoista, joissa annetaan lupa tarkkailuohjelmille sekä Yhdysvaltojen viranomaisten toteuttamalle henkilötietojen keruulle ja käsittelylle.
Komissio on todennut tiedonannon COM(2013) 846 final 1 kohdassa, että ”kauppaan liittyvistä tiedonsiirtokysymyksistä säädetään päätöksessä [2000/520]” ja että ”tämä päätös muodostaa oikeusperustan siirrettäessä henkilötietoja EU:sta safe harbor ‑periaatteita noudattaville yhdysvaltalaisyrityksille”. Samassa 1 kohdassa komissio on lisäksi korostanut henkilötietojen siirron koko ajan kasvavaa merkitystä, joka liittyy muun muassa digitaalitalouden kehitykseen; tämä kehitys nimittäin on ”johtanut siihen, että laadultaan ja luonteeltaan erilaisten tietojenkäsittelytoimien määrä on kasvanut voimakkaasti”.
Tiedonannon 2 kohdassa komissio on huomauttanut, että ”samalla ovat – – lisääntyneet epäilykset siitä, minkä tasoisen suojan [unionin] kansalaisten henkilötiedot saavat, kun ne siirretään Yhdysvaltoihin safe harbor ‑järjestelmän mukaisesti” ja että ”järjestelmän vapaaehtoisuus ja ilmoitusluonteisuus on johtanut siihen, että sen avoimuuteen ja noudattamisen valvontaan on alettu kiinnittää yhä enemmän huomiota”.
Komissio on lisäksi todennut samassa 2 kohdassa, että ”Yhdysvaltojen viranomaiset voivat saada käyttöönsä Yhdysvaltoihin safe harbor ‑järjestelmän mukaisesti lähetetyt [unionin] kansalaisten henkilötiedot ja käsitellä niitä edelleen tavalla, joka on ristiriidassa tietojen keruuseen [unionissa] alun perin johtaneiden perusteiden ja niiden tarkoitusten kanssa, joita varten tiedot siirrettiin Yhdysvaltoihin” ja että ”suurin osa niistä yhdysvaltalaisista internet-yrityksistä, joihin [tarkkailuohjelmat] näyttäisivät suoremmin liittyvän, ovat mukana safe harbor ‑järjestelmässä”.
Tiedonannon COM(2013) 846 final 3.2 kohdassa komissio on huomauttanut päätöksen 2000/520 toteuttamiseen liittyvistä heikkouksista. Se on todennut yhtäältä, että jotkin safe harbor ‑järjestelmässä mukana olevat yhdysvaltalaisyritykset eivät noudata päätöksen 2000/520 1 artiklan 1 kohdassa tarkoitettuja periaatteita (jäljempänä safe harbor ‑periaatteet) ja että tämän päätöksen yhteydessä on ”pyrittävä toisaalta korjaamaan avoimuuteen ja noudattamisen valvontaan liittyvät rakenteelliset puutteet ja toisaalta tekemään parannuksia itse safe harbor ‑periaatteisiin ja kansallisen turvallisuuden perusteella sallittavia poikkeuksia koskevaan järjestelyyn”. Toisaalta komissio on huomauttanut, että ”safe harbor ‑järjestelmää voidaan käyttää [unionin] kansalaisten henkilötietojen siirtämiseen [unionista] Yhdysvaltoihin myös silloin, kun Yhdysvaltojen tiedusteluviranomaiset velvoittavat yritykset luovuttamaan tietoja tiedustelutietojen keruuohjelmien puitteissa”.
Komissio on päätellyt samassa 3.2 kohdassa, että ”kun otetaan huomioon safe harbor ‑järjestelmässä havaitut heikkoudet, on selvää, että sen soveltamista ei voida jatkaa nykyiseen tapaan[;] safe harbor ‑päätöksen kumoaminen vaikuttaisi kuitenkin haitallisesti järjestelmään liittyneiden [unionin] ja Yhdysvaltojen yritysten etuihin”. Lopuksi komissio on todennut edelleen kyseisessä 3.2 kohdassa, että se ”aloittaa viipymättä Yhdysvaltojen viranomaisten kanssa keskustelut todetuista puutteista”.
Tiedonanto COM(2013) 847 final
Komissio antoi samana päivänä 27.11.2013 tiedonannon Euroopan parlamentille ja neuvostolle safe harbor ‑järjestelmän toiminnasta EU:n kansalaisten ja EU:hun sijoittautuneiden yritysten näkökulmasta (COM(2013) 847 final, jäljempänä tiedonanto COM(2013) 847 final). Tämän tiedonannon 1 kohdan mukaan tiedonanto perustuu muun muassa Euroopan unionin ja Yhdysvaltojen ad hoc ‑tietosuojatyöryhmässä saatuihin tietoihin ja se on jatkoa komission kahdelle arviointikertomukselle, joista ensimmäinen julkaistiin vuonna 2002 ja toinen vuonna 2004.
Tiedonannon 1 kohdassa täsmennetään, että päätöksen 2000/520 toiminta ”perustuu siihen osallistuvien yritysten sitoumuksiin ja omiin varmennuksiin” ja että kyseiseen ”järjestelmään liittyminen on vapaaehtoista, mutta säännöt sitovat yrityksiä, jotka ovat ilmoittaneet noudattavansa niitä”.
Tiedonannon COM(2013) 847 final 2.2 kohdasta ilmenee lisäksi, että safe harbor ‑järjestelmässä oli 26.9.2013 mukana 3246 yritystä lukuisilta talouden ja palvelujen aloilta. Nämä yritykset tarjosivat lähinnä palveluja unionin sisämarkkinoilla, erityisesti internetin alalla, ja osa niistä oli unionin yrityksiä, joilla oli tytäryhtiöitä Yhdysvalloissa. Jotkin näistä yrityksistä käsittelivät Euroopassa asuvien työntekijöidensä henkilötietoja, joita siirrettiin Yhdysvaltoihin henkilöstöhallintosyistä.
Komissio on korostanut samassa 2.2 kohdassa, että ”jos avoimuudessa tai täytäntöönpanossa ilmenee puutteita Yhdysvalloissa, vastuu siirtyy Euroopan tietosuojaviranomaisille ja safe harbor ‑järjestelmää hyödyntäville yrityksille”.
Tiedonannosta COM(2013) 847 final, erityisesti sen 3–5 ja 8 kohdasta, ilmenee, että käytännössä merkittävä osa safe harbor ‑järjestelmässä mukana olleista yrityksistä ei noudattanut tai ei täysin noudattanut safe harbor ‑periaatteita.
Lisäksi tiedonannon 7 kohdassa komissio on todennut, että ”kaikki yritykset, jotka osallistuvat PRISM-ohjelmaan [laajamittainen tiedustelutietojen keruuohjelma] ja jotka sallivat Yhdysvaltojen viranomaisten pääsyn Yhdysvalloissa tallennettuihin ja käsiteltyihin tietoihin, näyttävät kuuluvan safe harbor ‑järjestelmään” ja että ”näin safe harbor ‑järjestelmästä on tullut yksi väylistä, joiden kautta Yhdysvaltojen tiedusteluviranomaiset pääsevät keräämään alun perin [unionissa] käsiteltyjä henkilötietoja”. Tässä yhteydessä komissio on todennut kyseisen tiedonannon 7.1 kohdassa, että ”Yhdysvaltojen lainsäädäntö sisältää useita oikeusperustoja, jotka sallivat Yhdysvaltoihin sijoittautuneiden yritysten tallentamien tai muulla tavoin käsittelemien henkilötietojen laajamittaisen keräämisen ja käsittelemisen,” ja että ”koska ohjelmat ovat niin laajamittaisia, Yhdysvaltojen viranomaiset saattavat kerätä ja käsitellä safe harbor ‑järjestelmän mukaisesti siirrettyjä tietoja laajemmin kuin on ehdottoman välttämätöntä ja kohtuullista kansallisen turvallisuuden suojelemiseksi, mikä olisi vastoin [päätöksessä 2000/520] säädettyä poikkeusta”.
Tiedonannon COM(2013) 847 final 7.2 kohdassa, jonka otsikko on ”Rajoitukset ja [muutoksenhaku]keinot”, komissio on korostanut, että ”Yhdysvaltojen lainsäädännön mukaiset suojakeinot ovat enimmäkseen vain Yhdysvaltojen kansalaisten ja Yhdysvalloissa laillisesti asuvien käytettävissä” ja että ”[unionin] tai Yhdysvaltojen rekisteröidyillä ei myöskään ole mahdollisuutta saada itseään koskevia tietoja tai saada [niitä] oikaistuksi tai poistetuksi, eivätkä he voi [hakea] hallinto- tai oikeusteitse [muutosta] Yhdysvaltojen [tarkkailu]ohjelmien puitteissa tapahtuva[an] henkilötietojensa [keruuseen ja] edelleenkäsittely[yn]”.
Tiedonannon COM(2013) 847 final 8 kohdan mukaan safe harbor ‑järjestelmässä oli mukana ”Googlen, Facebookin, Microsoftin, Applen ja Yahoon kaltais[ia] verkkoyhtiöi[tä]”, joilla on ”Euroopassa satoja miljoonia asiakkaita” ja jotka siirtävät henkilötietoja käsiteltäviksi Yhdysvaltoihin.
Komissio on esittänyt samassa 8 kohdassa päätelmänään, että ”koska tiedustelupalvelut ovat keränneet laajamittaisesti safe harbor ‑järjestelmään kuuluvien yritysten Yhdysvaltoihin siirtämiä tietoja, on – – syytä pohtia vakavasti, toteutuvatko eurooppalaisten tietosuojaoikeudet senkin jälkeen, kun heidän tietonsa on siirretty Yhdysvaltoihin”.
Pääasia ja ennakkoratkaisukysymykset
Maximillian Schrems, joka on Itävallan kansalainen ja asuu Itävallassa, on ollut Facebook-verkkoyhteisöpalvelun (jäljempänä Facebook) käyttäjä vuodesta 2008.
Kukin unionin alueella asuva henkilö, joka haluaa käyttää Facebookia, joutuu siihen liittyessään tekemään sopimuksen Facebook Irelandin kanssa; tämä on Facebook Inc:n, jonka kotipaikka on Yhdysvalloissa, tytäryhtiö. Unionin alueella asuvien Facebookin käyttäjien henkilötiedot siirretään kokonaan tai osittain käsiteltäviksi Facebook Inc:lle kuuluville palvelimille, jotka sijaitsevat Yhdysvaltojen alueella.
Schrems teki 25.6.2013 tietosuojavaltuutetulle kantelun, jossa hän pääasiallisesti vaati tätä käyttämään lakisääteistä toimivaltaansa ja kieltämään Facebook Irelandia siirtämästä hänen henkilötietojaan Yhdysvaltoihin. Hänen mielestään tässä maassa voimassa olevat oikeussäännöt ja käytännöt eivät takaa Yhdysvaltojen alueella säilytetyille henkilötiedoille riittävää suojaa viranomaisten siellä harjoittamalta tarkkailutoiminnalta. Schrems viittaa tässä yhteydessä paljastuksiin, jotka Edward Snowden on tehnyt Yhdysvaltojen tiedustelupalvelujen, erityisesti National Security Agencyn (jäljempänä NSA), toiminnasta.
Tietosuojavaltuutettu ei katsonut olevansa velvollinen tutkimaan Schremsin kantelussaan esittämiä seikkoja, joten se hylkäsi kantelun perusteettomana. Tietosuojavaltuutetun mukaan nimittäin siitä, että NSA olisi päässyt asianomaisen henkilötietoihin, ei ole näyttöä. Tietosuojavaltuutettu totesi lisäksi, ettei Schremsin kantelussaan esittämiä väitteitä voida pitää tehokkaina, koska kaikki kysymykset henkilötietojen suojan riittävyydestä Yhdysvalloissa on ratkaistava päätöksen 2000/520 mukaisesti ja tässä päätöksessä komissio on todennut Yhdysvaltojen takaavan tietosuojan riittävän tason.
Schrems nosti pääasiassa kyseessä olevasta päätöksestä kanteen High Courtissa. Pääasian asianosaisten esittämän näytön tutkittuaan tämä tuomioistuin on todennut, että unionista Yhdysvaltoihin siirrettyjen henkilötietojen sähköinen tarkkailu ja kaappaus vastaavat yleisen edun mukaisia tarpeellisia ja välttämättömiä tavoitteita. Kyseinen tuomioistuin katsoo kuitenkin lisäksi Snowdenin tekemien paljastusten osoittaneen, että NSA ja muut liittovaltion elimet ovat ”ylittäneet hyväksyttävyyden rajat merkittävällä tavalla”.
Saman tuomioistuimen mukaan unionin kansalaisilla ei ole mitään tehokasta oikeutta tulla kuulluiksi. Tiedustelupalvelujen toimintaa valvotaan salaisessa menettelyssä, joka ei ole kontradiktorinen. Kun henkilötiedot on siirretty Yhdysvaltoihin, NSA ja muut liittovaltion elimet, kuten Federal Bureau of Investigation (FBI), voivat päästä niihin harjoittamansa laajamittaisen erottelemattoman tarkkailun ja tietokaappauksen yhteydessä.
High Court toteaa, että Irlannin oikeudessa kielletään henkilötietojen siirto maan alueen ulkopuolelle paitsi tapauksissa, joissa kyseessä oleva kolmas maa takaa yksityiselämän sekä perusoikeuksien ja ‑vapauksien suojan riittävän tason. Irlannin perustuslaissa taattujen yksityiselämän kunnioittamista ja kotirauhaa koskevien oikeuksien tärkeys edellyttää, että kaikki puuttuminen näihin oikeuksiin on oikeasuhteista ja laissa säädettyjen vaatimusten mukaista.
High Courtin mukaan massiivinen ja erottelematon pääsy henkilötietoihin on selvästi vastoin suhteellisuusperiaatetta ja Irlannin perustuslaissa suojattuja perusarvoja. Jotta sähköisen viestinnän kaappausta voitaisiin pitää kyseisen perustuslain mukaisena, olisi osoitettava, että kaappaus on kohdennettua, että tiettyjen henkilöiden tai henkilöryhmien tarkkailu on objektiivisesti perusteltua kansallisen turvallisuuden tai rikollisuuden torjunnan kannalta ja että on olemassa riittävät ja todennettavissa olevat takeet. Näin ollen High Court katsoo, että jos pääasia olisi ratkaistava yksinomaan Irlannin oikeuden perusteella, olisi todettava, että – kun otetaan huomioon, että siitä, takaako Yhdysvallat henkilötietojen suojan riittävän tason, on olemassa vakava epäilys – tietosuojavaltuutetun olisi pitänyt tutkia Schremsin kantelussaan esittämät seikat ja että se on virheellisesti hylännyt kantelun.
High Court katsoo kuitenkin, että tämä asia koskee perusoikeuskirjan 51 artiklassa tarkoitettua unionin oikeuden soveltamista, joten pääasiassa kyseessä olevan päätöksen laillisuutta on arvioitava unionin oikeuden kannalta. Kyseisen tuomioistuimen mukaan päätös 2000/520 ei täytä vaatimuksia, jotka johtuvat sekä perusoikeuskirjan 7 ja 8 artiklasta että unionin tuomioistuimen tuomiossa Digital Rights Ireland ym. (
C-293/12 ja C-594/12
,
EU:C:2014:238
) esittämistä periaatteista. Yksityiselämän kunnioitusta koskeva oikeus, joka taataan perusoikeuskirjan 7 artiklassa ja jäsenvaltioiden perinteille yhteisissä keskeisissä arvoissa, jäisi täysin merkityksettömäksi, jos valtion viranomaisten sallittaisiin päästä sähköiseen viestintään sattumanvaraisesti ja yleisesti ilman mitään sellaisia objektiivisia perusteluja, jotka perustuisivat kansallista turvallisuutta tai rikollisuuden ehkäisemistä koskeviin asianomaiseen henkilöön erikseen liittyviin syihin, ja ilman tällaisiin käytäntöihin liittyviä riittäviä ja todennettavissa olevia takeita.
High Court toteaa lisäksi, että Schrems riitauttaa kanteessaan itse asiassa päätöksellä 2000/520 perustetun ja pääasiassa kyseessä olevan päätöksen taustalla olevan safe harbor ‑järjestelmän laillisuuden. On siis niin, että vaikkei Schrems ole muodollisesti riitauttanut direktiivin 95/46 eikä päätöksen 2000/520 pätevyyttä, kyseisen tuomioistuimen mukaan on kysyttävä, oliko tietosuojavaltuutettu mainitun direktiivin 25 artiklan 6 kohdan nojalla velvollinen noudattamaan komission kyseisessä päätöksessä tekemää toteamusta, jonka mukaan Yhdysvallat takaa tietosuojan riittävän tason, vai oliko tietosuojavaltuutetulla perusoikeuskirjan 8 artiklan nojalla oikeus tarvittaessa sivuuttaa kyseinen toteamus.
Tässä tilanteessa High Court on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:
”1)
Kun itsenäinen tietosuojavaltuutettu, jonka lakisääteisenä tehtävänä on soveltaa tietosuojalainsäädäntöä ja valvoa sen noudattamista, käsittelee sille tehtyä kantelua henkilötietojen siirrosta kolmanteen maahan (tässä tapauksessa Yhdysvaltoihin), jonka lainsäädäntö ja käytäntö eivät kantelijan mukaan sisällä riittävää suojaa rekisteröidylle, onko tietosuojavaltuutetun ehdottomasti noudatettava yhteisön päätöksessä 2000/520 tekemää päinvastaista toteamusta, kun perusoikeuskirjan 7, 8 ja 47 artikla otetaan huomioon eikä sanottu rajoita direktiivin 95/46 25 artiklan 6 kohdan säännösten soveltamista?
2)
Jos näin ei ole, onko tietosuojavaltuutetulla päinvastoin mahdollisuus ja/tai velvollisuus tehdä asiasta oma tutkimuksensa sen valossa, miten tosiseikat ovat kehittyneet komission päätöksen julkaisemisen jälkeen?”
Ennakkoratkaisukysymysten tarkastelu
Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee ennakkoratkaisukysymyksillään, jotka on tutkittava yhdessä, pääasiallisesti, onko – ja jos on, missä määrin – direktiivin 95/46 25 artiklan 6 kohtaa, luettuna perusoikeuskirjan 7, 8 ja 47 artiklan valossa, tulkittava siten, että kyseiseen säännökseen perustuva päätöksen 2000/520 kaltainen päätös, jolla komissio toteaa kolmannen maan takaavan tietosuojan riittävän tason, on esteenä sille, että direktiivin 28 artiklassa tarkoitettu jäsenvaltion valvontaviranomainen voi tutkia vaatimuksen, jonka henkilö on esittänyt oikeuksiensa ja vapauksiensa suojasta jäsenvaltiosta kyseiseen kolmanteen maahan siirrettyjen henkilötietojensa käsittelyssä, kun henkilön mukaan kyseisessä maassa voimassa olevat oikeussäännöt ja käytännöt eivät takaa tietosuojan riittävää tasoa.
Direktiivin 95/46 28 artiklassa tarkoitettu kansallisten valvontaviranomaisten toimivalta, kun kyse on direktiivin 25 artiklan 6 kohtaan perustuvasta komission päätöksestä
Aluksi on muistutettava, että niitä direktiivin 95/46 säännöksiä, joilla säännellään henkilötietojen käsittelyä, joka saattaa loukata perusvapauksia ja varsinkin oikeutta yksityisyyteen, on välttämättä tulkittava perusoikeuskirjassa taattujen perusoikeuksien valossa (ks. tuomio Österreichischer Rundfunk ym.,
C‑465/00, C‑138/01 ja C‑139/01
,
EU:C:2003:294
,
kohta; tuomio Google Spain ja Google,
C‑131/12
,
EU:C:2014:317
,
kohta ja tuomio Ryneš,
C‑212/13
,
EU:C:2014:2428
,
kohta).
Direktiivin 95/46 1 artiklasta sekä johdanto-osan toisesta ja kymmenennestä perustelukappaleesta ilmenee, että direktiivillä on tarkoitus turvata paitsi tehokas ja kattava suoja yksilöiden perusvapauksille ja ‑oikeuksille, muun muassa perusoikeudelle yksityiselämän kunnioitukseen henkilötietojen käsittelyssä, myös näiden perusvapauksien ja ‑oikeuksien korkeatasoinen suoja. Sekä yksityiselämän kunnioitusta koskevan perusoikeuden, joka taataan perusoikeuskirjan 7 artiklassa, että henkilötietojen suojaa koskevan perusoikeuden, joka taataan perusoikeuskirjan 8 artiklassa, tärkeyttä korostetaan lisäksi unionin tuomioistuimen oikeuskäytännössä (ks. tuomio Rijkeboer,
C‑553/07
,
EU:C:2009:293
,
kohta; tuomio Digital Rights Ireland ym.,
C‑293/12 ja C‑594/12
,
EU:C:2014:238
,
kohta ja tuomio Google Spain ja Google,
C‑131/12
,
EU:C:2014:317
,
,
ja
kohta oikeuskäytäntöviittauksineen).
Toimivallasta, joka kansallisilla valvontaviranomaisilla on henkilötietojen siirroissa kolmansiin maihin, on todettava, että direktiivin 95/46 28 artiklan 1 kohdassa jäsenvaltiot velvoitetaan perustamaan yksi tai useampi viranomainen, jonka tehtävänä on valvoa täysin itsenäisesti yksilöiden suojelua henkilötietojen käsittelyssä koskevien unionin sääntöjen noudattamista. Tällainen vaatimus perustuu myös unionin primaarioikeuteen, muun muassa perusoikeuskirjan 8 artiklan 3 kohtaan ja SEUT 16 artiklan 2 kohtaan (ks. vastaavasti tuomio komissio v. Itävalta,
C-614/10
,
EU:C:2012:631
,
kohta ja tuomio komissio v. Unkari,
C-288/12
,
EU:C:2014:237
,
kohta).
Kansallisten valvontaviranomaisten itsenäisyyden takaamisella pyritään varmistamaan yksilöiden suojelua henkilötietojen käsittelyssä koskevien säännösten ja määräysten noudattamisen valvonnan tehokkuus ja luotettavuus, ja sitä on tulkittava tämän tavoitteen valossa. Se on otettu käyttöön niille henkilöille ja elimille, joita kyseisten viranomaisten päätökset koskevat, annettavan suojan vahvistamiseksi. Itsenäisten valvontaviranomaisten perustaminen jäsenvaltioissa on siis, kuten direktiivin 95/46 johdanto-osan 62 perustelukappaleessa todetaan, keskeinen tekijä yksilöiden suojelussa henkilötietojen käsittelyssä (ks. tuomio komissio v. Saksa,
C-518/07
,
EU:C:2010:125
,
kohta ja tuomio komissio v. Unkari,
C‑288/12
,
EU:C:2014:237
,
kohta oikeuskäytäntöviittauksineen).
Tämän suojelun varmistamiseksi kansallisten valvontaviranomaisten on muun muassa huolehdittava siitä, että yhtäältä yksityiselämää koskevan perusoikeuden kunnioituksen ja toisaalta henkilötietojen vapaata liikkuvuutta edellyttävien intressien välillä saavutetaan oikea tasapaino (ks. vastaavasti tuomio komissio v. Saksa,
C‑518/07
,
EU:C:2010:125
,
kohta ja tuomio komissio v. Unkari,
C‑288/12
,
EU:C:2014:237
,
kohta).
Tätä varten kyseisillä viranomaisilla on laaja valikoima toimivaltuuksia, ja näitä valtuuksia, jotka luetellaan – muttei tyhjentävästi – direktiivin 95/46 28 artiklan 3 kohdassa, on pidettävä tarvittavina keinoina kyseisten viranomaisten tehtävien suorittamiseksi, kuten direktiivin johdanto-osan 63 perustelukappaleessa korostetaan. Niinpä näillä viranomaisilla on muun muassa tutkintavaltuudet, kuten valtuudet kerätä kaikki valvontatehtävänsä suorittamiseksi tarvittavat tiedot, tehokkaat toimintavaltuudet, kuten valtuudet kieltää tietojen käsittely väliaikaisesti tai lopullisesti, tai valtuudet olla asianosaisena oikeudenkäynnissä.
Direktiivin 95/46 28 artiklan 1 ja 6 kohdasta tosin ilmenee, että kansallisten valvontaviranomaisten toimivalta koskee jäsenvaltion, johon nämä viranomaiset kuuluvat, alueella toteutettuja henkilötietojen käsittelyjä, joten niillä ei ole mainitun 28 artiklan nojalla toimivaltaa siltä osin kuin kyse on kolmannen maan alueella toteutetuista henkilötietojen käsittelyistä.
On kuitenkin niin, että toimenpiteessä, jolla henkilötietoja siirretään jäsenvaltiosta kolmanteen maahan, on sellaisenaan kyse direktiivin 95/46 2 artiklan b alakohdassa tarkoitetusta henkilötietojen käsittelystä (ks. vastaavasti tuomio parlamentti v. neuvosto ja komissio,
C‑317/04 ja C‑318/04
,
EU:C:2006:346
,
kohta) jäsenvaltion alueella. Mainitussa säännöksessä nimittäin määritellään ”henkilötietojen käsittely” siten, että sillä tarkoitetaan ”kaikenlaisia sellaisia toimintoja tai toimintojen kokonaisuuksia, joita kohdistetaan henkilötietoihin joko automaattisen tietojenkäsittelyn avulla tai manuaalisesti”, ja siinä mainitaan esimerkkinä ”luovuttaminen siirtämällä, levittämällä tai asettamalla muutoin saataville”.
Direktiivin 95/46 johdanto-osan 60 perustelukappaleessa täsmennetään, että henkilötietoja voidaan siirtää kolmansiin maihin vain noudattaen jäsenvaltioiden tämän direktiivin mukaisesti toteuttamia toimenpiteitä. Tässä yhteydessä on huomattava, että direktiivin IV luvussa, johon direktiivin 25 ja 26 artikla sisältyvät, on perustettu järjestelmä, jonka tarkoituksena on turvata se, että jäsenvaltiot kykenevät valvomaan henkilötietojen siirtoja kolmansiin maihin. Tämä järjestelmä täydentää saman direktiivin II luvussa, jossa säädetään henkilötietojen käsittelyn laillisuutta koskevista yleisistä säännöistä, perustettua yleistä järjestelmää (ks. vastaavasti tuomio Lindqvist,
C‑101/01
,
EU:C:2003:596
,
kohta).
Kansallisilla valvontaviranomaisilla on perusoikeuskirjan 8 artiklan 3 kohdan ja direktiivin 95/46 28 artiklan mukaisesti tehtävänä valvoa yksilöiden suojaa henkilötietojen käsittelyssä koskevien unionin sääntöjen noudattamista, joten kukin niistä on toimivaltainen selvittämään, onko henkilötietojen siirto kolmanteen maahan jäsenvaltiosta, johon kyseinen viranomainen kuuluu, direktiivissä 95/46 säädettyjen vaatimusten mukaista.
Vaikka direktiivin 95/46 johdanto-osan 56 perustelukappaleessa myönnetään, että henkilötietojen siirrot jäsenvaltioista kolmansiin maihin ovat tarpeen kansainvälisen kaupan kehittämiseksi, sen 25 artiklan 1 kohdassa asetetaan lähtökohdaksi se, että tällaiset siirrot ovat sallittuja ainoastaan, jos kyseisissä kolmansissa maissa taataan tietosuojan riittävä taso.
Lisäksi direktiivin johdanto-osan 57 perustelukappaleessa täsmennetään, että henkilötietojen siirrot kolmansiin maihin, joissa ei taata tietosuojan riittävää tasoa, on kiellettävä.
Jotta henkilötietojen siirtoja kolmansiin maihin voidaan valvoa näille tiedoille kussakin näistä maista annetun tietosuojan tason mukaan, direktiivin 95/46 25 artiklassa jäsenvaltioille ja komissiolle asetetaan joukko velvollisuuksia. Mainitusta artiklasta ilmenee muun muassa, että toteamus, jonka mukaan kolmas maa takaa tietosuojan riittävän tason tai ei takaa sitä, voi olla joko jäsenvaltioiden tai komission tekemä, kuten julkisasiamies on todennut ratkaisuehdotuksensa 86 kohdassa.
Komissio voi tehdä direktiivin 95/46 25 artiklan 6 kohdan nojalla päätöksen, jossa se toteaa, että kolmas maa takaa tietosuojan riittävän tason. Tällaisen päätöksen adressaatteina ovat mainitun säännöksen toisen alakohdan mukaisesti jäsenvaltiot, joiden on toteutettava tarvittavat toimenpiteet noudattaakseen kyseistä päätöstä. Päätös sitoo SEUT 288 artiklan neljännen kohdan nojalla kaikkia jäsenvaltioita, joille se on osoitettu, ja velvoittaa siten kaikkia niiden elimiä (ks. vastaavasti tuomio Albako Margarinefabrik,
249/85
,
EU:C:1987:245
,
kohta ja tuomio Mediaset,
C‑69/13
,
EU:C:2014:71
,
kohta) siltä osin kuin sen vaikutuksesta henkilötietoja on sallittua siirtää jäsenvaltioista kyseisen päätöksen kohteena olevaan kolmanteen maahan.
Niin kauan kuin unionin tuomioistuin ei ole todennut komission päätöstä pätemättömäksi, jäsenvaltiot ja niiden elimet, joihin niiden itsenäiset valvontaviranomaiset kuuluvat, eivät siis voi toteuttaa kyseisen päätöksen vastaisia toimenpiteitä, kuten toimia, joilla olisi tarkoitus todeta sitovasti, ettei päätöksen kohteena oleva kolmas maa takaa tietosuojan riittävää tasoa. Unionin toimielinten toimia nimittäin koskee pääsääntöisesti lainmukaisuusolettama, ja niillä on näin ollen oikeusvaikutuksia niin kauan kuin niitä ei ole peruutettu, kumottu kumoamiskanteen johdosta tai todettu pätemättömiksi ennakkoratkaisupyynnön tai lainvastaisuusväitteen seurauksena (tuomio komissio v. Kreikka,
C-475/01
,
EU:C:2004:585
,
kohta oikeuskäytäntöviittauksineen).
Päätöksen 2000/520 kaltainen direktiivin 95/46 25 artiklan 6 kohtaan perustuva komission päätös ei kuitenkaan voi estää henkilöitä, joiden henkilötiedot on siirretty tai voitaisiin siirtää kolmanteen maahan, saattamasta kansallisten valvontaviranomaisten käsiteltäväksi direktiivin 28 artiklan 4 kohdassa tarkoitettua vaatimusta oikeuksiensa ja vapauksiensa suojelusta henkilötietojen käsittelyssä. Tällainen päätös ei myöskään voi – kuten julkisasiamies on todennut erityisesti ratkaisuehdotuksensa 61, 93 ja 116 kohdassa – tehdä tyhjäksi eikä heikentää toimivaltaa, joka kansallisille valvontaviranomaisille nimenomaisesti annetaan perusoikeuskirjan 8 artiklan 3 kohdassa ja mainitun direktiivin 28 artiklassa.
Perusoikeuskirjan 8 artiklan 3 kohdassa ja direktiivin 95/46 28 artiklassa ei suljeta kansallisten valvontaviranomaisten toimivallan alasta pois valvontaa, joka koskee henkilötietojen siirtoja direktiivin 25 artiklan 6 kohtaan perustuvan komission päätöksen kohteena oleviin kolmansiin maihin.
Erityisesti on huomattava, että direktiivin 95/46 28 artiklan 4 kohdan ensimmäisessä alakohdassa, jonka mukaan ”kuka tahansa henkilö” voi esittää kansallisille valvontaviranomaisille ”oikeuksiensa ja vapauksiensa suojelua henkilötietojen käsittelyn osalta koskevan vaateen”, ei säädetä tässä yhteydessä minkäänlaisesta poikkeuksesta sellaisen tilanteen varalta, jossa komissio olisi tehnyt kyseisen direktiivin 25 artiklan 6 kohtaan perustuvan päätöksen.
Olisi lisäksi direktiivillä 95/46 perustetun järjestelmän sekä direktiivin 25 ja 28 artiklan tarkoituksen vastaista, että direktiivin 25 artiklan 6 kohtaan perustuvan komission päätöksen vaikutuksesta kansallinen valvontaviranomainen olisi estynyt tutkimasta henkilön vaatimusta oikeuksiensa ja vapauksiensa suojelusta sellaisten henkilötietojensa käsittelyssä, jotka on siirretty tai voitaisiin siirtää jäsenvaltiosta kyseisen päätöksen kohteena olevaan kolmanteen maahan.
Direktiivin 95/46 28 artiklaa sovelletaan päinvastoin jo sen luonteenkin perusteella kaikkeen henkilötietojen käsittelyyn. Niinpä silloinkin, kun komissio on tehnyt direktiivin 25 artiklan 6 kohtaan perustuvan päätöksen, kansallisten valvontaviranomaisten, joiden käsiteltäväksi henkilö on saattanut vaatimuksen oikeuksiensa ja vapauksiensa suojelusta henkilötietojensa käsittelyssä, on voitava tutkia täysin itsenäisesti, noudatetaanko näiden tietojen siirrossa kyseisessä direktiivissä säädettyjä vaatimuksia.
Jos näin ei olisi, henkilöiltä, joiden henkilötiedot on siirretty tai voitaisiin siirtää asianomaiseen kolmanteen maahan, vietäisiin perusoikeuskirjan 8 artiklan 1 ja 3 kohdassa taattu oikeus saattaa kansallisten valvontaviranomaisten käsiteltäväksi vaatimus perusoikeuksiensa suojaamisesta (ks. analogisesti tuomio Digital Rights Ireland ym.,
C‑293/12 ja C‑594/12
,
EU:C:2014:238
,
kohta).
Direktiivin 95/46 28 artiklan 4 kohdassa tarkoitettu vaatimus, jolla henkilö, jonka henkilötiedot on siirretty tai voitaisiin siirtää kolmanteen maahan, vetoaa – kuten pääasiassa – siihen, ettei kyseisen maan oikeudessa ja käytännöissä taata tietosuojan riittävää tasoa huolimatta siitä, mitä komissio on todennut direktiivin 25 artiklan 6 kohtaan perustuvassa päätöksessä, on ymmärrettävä siten, että se koskee pääasiallisesti kyseisen päätöksen yhteensoveltuvuutta henkilöiden yksityiselämän sekä perusvapauksien ja ‑oikeuksien suojan kanssa.
Tässä yhteydessä on muistutettava unionin tuomioistuimen vakiintuneesta oikeuskäytännöstä, jonka mukaan unioni on oikeusunioni, jossa kaikki sen toimielinten toimet ovat sellaisen valvonnan alaisia, jonka kohteena on niiden yhteensoveltuvuus etenkin perussopimusten, yleisten oikeusperiaatteiden ja perusoikeuksien kanssa (ks. vastaavasti tuomio komissio ym. v. Kadi,
C‑584/10 P, C‑593/10 P ja C‑595/10 P
,
EU:C:2013:518
,
kohta; tuomio Inuit Tapiriit Kanatami ym. v. parlamentti ja neuvosto,
C‑583/11 P
,
EU:C:2013:625
,
kohta ja tuomio Telefónica v. komissio,
C‑274/12 P
,
EU:C:2013:852
,
kohta). Direktiivin 95/46 25 artiklan 6 kohtaan perustuvat komission päätökset eivät siis voi välttyä tällaiselta valvonnalta.
On kuitenkin niin, että vain unionin tuomioistuimella on toimivalta todeta unionin toimen, kuten direktiivin 95/46 25 artiklan 6 kohtaan perustuvan komission päätöksen, pätemättömyys, koska tämän toimivallan yksinomaisuuden tarkoituksena on taata oikeusvarmuus varmistamalla, että unionin oikeutta sovelletaan yhtenäisesti (ks. tuomio Melki ja Abdeli,
C‑188/10 ja C‑189/10
,
EU:C:2010:363
,
kohta ja tuomio CIVAD,
C‑533/10
,
EU:C:2012:347
,
kohta).
Vaikka kansallisilla tuomioistuimilla tosin onkin oikeus tutkia direktiivin 95/46 25 artiklan 6 kohtaan perustuvan komission päätöksen kaltaisen unionin toimen pätevyys, niillä ei ole toimivaltaa itse todeta tällaista toimea pätemättömäksi (ks. vastaavasti tuomio Foto-Frost,
314/85
,
EU:C:1987:452
,
–
kohta ja tuomio IATA ja ELFAA,
C‑344/04
,
EU:C:2006:10
,
kohta). A fortiori on katsottava, että tutkiessaan direktiivin 28 artiklan 4 kohdassa tarkoitetun vaatimuksen, joka koskee direktiivin 25 artiklan 6 kohtaan perustuvan komission päätöksen yhteensoveltuvuutta henkilöiden yksityiselämän sekä perusvapauksien ja ‑oikeuksien suojan kanssa, kansallisilla valvontaviranomaisilla ei ole oikeutta itse todeta tällaisen päätöksen pätemättömyyttä.
Näiden näkökohtien perusteella on niin, että kun henkilö, jonka henkilötiedot on siirretty tai voitaisiin siirtää direktiivin 95/46 25 artiklan 6 kohtaan perustuvan komission päätöksen kohteena olevaan kolmanteen maahan, saattaa kansallisen valvontaviranomaisen käsiteltäväksi vaatimuksen oikeuksiensa ja vapauksiensa suojelusta näiden tietojen käsittelyssä ja riitauttaa tällaisen vaatimuksen yhteydessä, kuten pääasiassa, kyseisen päätöksen yhteensoveltuvuuden henkilöiden yksityiselämän sekä perusvapauksien ja ‑oikeuksien suojan kanssa, mainitun viranomaisen asiana on tutkia kyseinen vaatimus kaikkea asianmukaista huolellisuutta noudattaen.
Mikäli kyseinen viranomainen päätyy katsomaan, että tällaisen vaatimuksen tueksi esitetyt seikat ovat perusteettomia, ja tästä syystä hylkää vaatimuksen, henkilöllä, joka kyseisen vaatimuksen on esittänyt, on oltava – kuten ilmenee direktiivin 95/46 28 artiklan 3 kohdan toisesta alakohdasta, luettuna perusoikeuskirjan 47 artiklan valossa – mahdollisuus käyttää tuomioistuimissa oikeussuojakeinoja, joiden avulla hän voi riitauttaa kyseisen itselleen vastaisen päätöksen kansallisissa tuomioistuimissa. Tämän tuomion 61 ja 62 kohdassa mainitun oikeuskäytännön perusteella näiden tuomioistuinten on lykättävä asian käsittelyä ja pyydettävä unionin tuomioistuimelta pätevyyden arviointia ennakkoratkaisumenettelyssä, kun ne katsovat, että yksi tai useampi asianosaisten esittämistä tai mahdollisesti viran puolesta tutkittavista pätemättömyysperusteista on perusteltu (ks. vastaavasti tuomio T & L Sugars ja Sidul Açúcares v. komissio,
C‑456/13 P
,
EU:C:2015:284
,
kohta oikeuskäytäntöviittauksineen).
Päinvastaisessa tapauksessa, jossa kyseinen viranomainen pitää henkilön, joka on saattanut sen käsiteltäväksi vaatimuksen oikeuksiensa ja vapauksiensa suojelusta henkilötietojensa käsittelyssä, esittämiä perusteita perusteltuina, on niin, että saman viranomaisen on direktiivin 95/46 28 artiklan 3 kohdan ensimmäisen alakohdan kolmannen luetelmakohdan, luettuna erityisesti perusoikeuskirjan 8 artiklan 3 kohdan valossa, mukaisesti voitava olla asianosaisena oikeudenkäynnissä. Tässä yhteydessä kansallisen lainsäätäjän asiana on säätää oikeussuojakeinoista, joiden avulla asianomainen kansallinen valvontaviranomainen voi esittää perusteltuina pitämänsä perusteet kansallisissa tuomioistuimissa, jotta nämä voisivat, mikäli ne kyseisen viranomaisen tavoin epäilevät komission päätöksen pätevyyttä, pyytää ennakkoratkaisua päätöksen pätevyyden tutkimiseksi.
Esitettyihin kysymyksiin on vastattava edellä esitetyn perusteella, että direktiivin 95/46 25 artiklan 6 kohtaa, luettuna perusoikeuskirjan 7, 8 ja 47 artiklan valossa, on tulkittava siten, että kyseiseen säännökseen perustuva päätöksen 2000/520 kaltainen päätös, jolla komissio toteaa kolmannen maan takaavan tietosuojan riittävän tason, ei ole esteenä sille, että direktiivin 28 artiklassa tarkoitettu jäsenvaltion valvontaviranomainen tutkii vaatimuksen, jonka henkilö on esittänyt oikeuksiensa ja vapauksiensa suojasta jäsenvaltiosta kyseiseen kolmanteen maahan siirrettyjen henkilötietojensa käsittelyssä, kun henkilön mukaan kyseisessä maassa voimassa olevat oikeussäännöt ja käytännöt eivät takaa tietosuojan riittävää tasoa.
Päätöksen 2000/520 pätevyys
Kuten ennakkoratkaisua pyytäneen tuomioistuimen esittämistä ennakkoratkaisukysymyksiä koskevista selityksistä ilmenee, Schrems vetoaa pääasiassa siihen, ettei Yhdysvaltojen oikeussäännöissä ja käytännöissä taata direktiivin 95/46 25 artiklassa tarkoitettua tietosuojan riittävää tasoa. Kuten julkisasiamies on todennut ratkaisuehdotuksensa 123 ja 124 kohdassa, Schrems epäilee päätöksen 2000/520 pätevyyttä, mistä kansallinen tuomioistuin näyttää sitä paitsi olevan pääosin samaa mieltä. Tämän tuomion 60–63 kohdassa tehtyjen toteamusten perusteella ja kattavan vastauksen antamiseksi kyseiselle tuomioistuimelle on siis tutkittava, onko mainittu päätös direktiivistä, luettuna perusoikeuskirjan valossa, johtuvien vaatimusten mukainen.
Direktiivin 95/46 25 artiklan 6 kohdasta johtuvat vaatimukset
Kuten tämän tuomion 48 ja 49 kohdassa jo on todettu, direktiivin 95/46 25 artiklan 1 kohdassa kielletään henkilötietojen siirrot kolmanteen maahan, joka ei takaa tietosuojan riittävää tasoa.
Direktiivin 25 artiklan 6 kohdan ensimmäisessä alakohdassa säädetään kuitenkin tällaisten siirtojen valvontaa varten, että komissio ”voi – – todeta, että tietyssä kolmannessa maassa taataan tietosuojan riittävä taso tämän artiklan 2 kohdan tarkoittamassa merkityksessä, mikä johtuu kyseisen maan sisäisestä lainsäädännöstä tai kansainvälisistä sitoumuksista – – henkilöiden yksityiselämän ja perusoikeuksien ja ‑vapauksien turvaamiseksi”.
Direktiivin 95/46 25 artiklan 2 kohta tai muu direktiivin säännös ei tosin sisällä tietosuojan riittävän tason käsitteen määritelmää. Erityisesti on huomattava, että direktiivin 25 artiklan 2 kohdassa tyydytään toteamaan, että kolmannessa maassa taattavan tietosuojan tason riittävyyttä ”on arvioitava kaikkien tiettyyn siirtoon tai siirtojen ryhmään liittyvien olosuhteiden osalta”, ja siinä luetellaan – muttei tyhjentävästi – tällaisen arvioinnin yhteydessä huomioon otettavat olosuhteet.
On kuitenkin todettava yhtäältä, että direktiivin 95/46 25 artiklan 6 kohdassa vaaditaan, kuten tämän säännöksen sanamuodostakin jo ilmenee, että kolmannessa maassa ”taataan” tietosuojan riittävä taso maan sisäisen lainsäädännön tai kansainvälisten sitoumusten johdosta. Toisaalta saman säännöksen mukaan kolmannen maan takaaman suojan riittävyyttä on arvioitava ”henkilöiden yksityiselämän ja perusoikeuksien ja ‑vapauksien turvaamiseksi”.
Niinpä direktiivin 95/46 25 artiklan 6 kohdassa on kyse perusoikeuskirjan 8 artiklan 1 kohdassa tarkoitetun nimenomaisen henkilötietojen suojaa koskevan velvollisuuden toteuttamisesta ja sen tavoitteena on varmistaa, kuten julkisasiamies on todennut ratkaisuehdotuksensa 139 kohdassa, kyseisen suojan korkean tason jatkuvuus siirrettäessä henkilötietoja kolmanteen maahan.
Direktiivin 95/46 25 artiklan 6 kohtaan sisältyvä ilmaus ”riittävä” merkitsee tosin sitä, ettei kolmatta maata voida vaatia takaamaan tietosuojan tasoa, joka olisi täysin sama kuin unionin oikeusjärjestyksessä taattu taso. Kuten julkisasiamies on todennut ratkaisuehdotuksensa 141 kohdassa, ilmaisu ”tietosuojan riittävä taso” on kuitenkin ymmärrettävä siten, että sillä tarkoitetaan vaatimusta, että kolmas maa tosiasiallisesti takaa maan sisäisen lainsäädäntönsä tai kansainvälisten sitoumustensa johdosta perusvapauksien ja ‑oikeuksien suojan sellaisen tason, joka pääosiltaan vastaa tasoa, joka taataan unionissa direktiivin 95/46, luettuna perusoikeuskirjan valossa, nojalla. On nimittäin niin, että jollei tällaista vaatimusta asetettaisi, tämän tuomion edellisessä kohdassa mainittu tavoite jäisi huomiotta. Lisäksi direktiivillä 95/46, luettuna perusoikeuskirjan valossa, taattua suojan korkeaa tasoa voitaisiin helposti kiertää siirtämällä henkilötietoja unionista kolmansiin maihin käsiteltäviksi näissä maissa.
Direktiivin 95/46 25 artiklan 6 kohdan nimenomaisesta sanamuodosta ilmenee, että tietosuojan riittävä taso on taattava komission päätöksen kohteena olevan kolmannen maan oikeusjärjestyksessä. Vaikka keinot, joita kyseinen kolmas maa tässä yhteydessä käyttää taatakseen tällaisen suojan tason, voivat poiketa niistä, joita unionissa käytetään direktiivistä, luettuna perusoikeuskirjan valossa, johtuvien vaatimusten noudattamiseksi, keinojen on käytännössä osoittauduttava tehokkaiksi takaamaan suoja, joka pääosiltaan vastaa unionissa taattua suojaa.
Komissio on siis kolmannen maan tarjoamaa tietosuojan tasoa tutkiessaan velvollinen arvioimaan tämän maan sisäisen lainsäädännön tai kansainvälisten sitoumusten johdosta tässä maassa sovellettavien sääntöjen sisältöä ja näiden sääntöjen noudattamisen varmistamiseen tarkoitettua käytäntöä, koska komission on direktiivin 95/46 25 artiklan 2 kohdan mukaisesti otettava huomioon kaikki olosuhteet, jotka liittyvät henkilötietojen siirtoon kolmanteen maahan.
Samoin on niin, että koska kolmannen maan takaama tietosuojan taso voi muuttua, komission asiana on direktiivin 95/46 25 artiklan 6 kohtaan perustuvan päätöksen tekemisen jälkeen tarkastaa säännöllisin väliajoin, onko kyseessä olevan kolmannen maan takaamasta tietosuojan riittävästä tasosta tehty toteamus edelleen perusteltu tosiasiallisesti ja oikeudellisesti. Tällainen tarkastus on joka tapauksessa tehtävä silloin, kun asiasta herää epäilyksiä.
Kuten julkisasiamies on huomauttanut ratkaisuehdotuksensa 134 ja 135 kohdassa, direktiivin 95/46 25 artiklan 6 kohtaan perustuvan komission päätöksen pätevyyden tutkimisessa on lisäksi otettava huomioon päätöksen tekemisen jälkeiset olosuhteet.
Tässä yhteydessä on todettava, että kun otetaan huomioon yhtäältä henkilötietojen suojan tärkeä rooli yksityiselämän kunnioitusta koskevan perusoikeuden kannalta ja toisaalta sellaisten henkilöiden merkittävä määrä, joiden perusoikeudet voivat tulla loukatuiksi siirrettäessä henkilötietoja kolmanteen maahan, joka ei takaa tietosuojan riittävää tasoa, komission harkintavalta kolmannen maan takaaman tietosuojan tason riittävyyden arvioinnissa on pieni, joten direktiivin 95/46 25 artiklasta, luettuna perusoikeuskirjan valossa, johtuvien vaatimusten valvonnan on oltava tarkkaa (ks. analogisesti tuomio Digital Rights Ireland ym.,
C‑293/12 ja C‑594/12
,
EU:C:2014:238
,
ja
kohta).
Päätöksen 2000/520 1 artikla
Komissio on katsonut päätöksen 2000/520 1 artiklan 1 kohdassa, että päätöksen liitteessä I tarkoitetut periaatteet, joita sovelletaan päätöksen liitteessä II olevien tavallisimpien kysymysten (FAQ) tarjoaman ohjauksen mukaisesti, varmistavat unionista Yhdysvaltoihin sijoittautuneille organisaatioille siirrettyjen henkilötietojen riittävän suojelun tason. Mainitusta säännöksestä ilmenee, että niin kyseiset periaatteet kuin mainitut tavallisimmat kysymyksetkin ovat Yhdysvaltojen kauppaministeriön julkaisemia.
Ilmoitus siitä, että organisaatio alkaa noudattaa safe harbor ‑periaatteita, tehdään oma varmennus ‑järjestelmän perusteella, kuten päätöksen 1 artiklan 2 ja 3 kohdasta, luettuna yhdessä päätöksen liitteessä II olevan FAQ 6:n kanssa, ilmenee.
Vaikka se, että kolmas maa käyttää oma varmennus ‑järjestelmää, ei sinällään olekaan vastoin direktiivin 95/46 25 artiklan 6 kohdassa säädettyä vaatimusta, jonka mukaan asianomaisen kolmannen maan on taattava tietosuojan riittävä taso kyseisen maan ”sisäisen lainsäädännön tai kansainvälisten sitoumusten” johdosta, tällaisen järjestelmän luotettavuus kyseisen vaatimuksen kannalta perustuu pääasiallisesti sellaisten tehokkaiden havaitsemis- ja valvontamekanismien käyttöönottoon, joiden avulla voidaan käytännössä yksilöidä ja sanktioida mahdollisia perusoikeuksien – muun muassa yksityiselämän kunnioitusta koskevan oikeuden ja henkilötietojen suojaa koskevan oikeuden – suojan takaamiseksi annettujen sääntöjen rikkomisia.
Nyt käsiteltävässä asiassa on huomattava, että safe harbor ‑periaatteet on päätöksen 2000/520 liitteessä I olevan toisen kohdan mukaan ”tarkoitettu käytettäviksi yksinomaan yhdysvaltalaisissa yrityksissä, jotka saavat henkilötietoja Euroopan unionista ja jotka käyttävät periaatteiden noudattamista keinona safe harbor ‑järjestelmään osallistumiselle asetettujen kelpoisuusvaatimusten täyttämiseksi ja sen luoman tietosuojan riittävyyden olettamuksen saavuttamiseksi”. Periaatteita sovelletaan siis vain oman varmennuksensa antaneisiin henkilötietoja unionista saaviin yhdysvaltalaisiin organisaatioihin, mutta vaatimuksena ei ole, että Yhdysvaltain viranomaiset noudattaisivat kyseisiä periaatteita.
Lisäksi päätöksen 2000/520 2 artiklan mukaan tämä päätös ”koskee ainoastaan Yhdysvalloissa FAQ:iden mukaisesti sovellettavien [safe harbor] ‑periaatteiden [nojalla annettavan] tietosuojan riittävyyttä siinä tarkoituksessa, että direktiivin [95/46] 25 artiklan 1 kohdan vaatimukset täytettäisiin”, mutta siihen ei sisälly riittäviä toteamuksia toimenpiteistä, joilla Yhdysvallat takaa sisäisen lainsäädäntönsä tai kansainvälisten sitoumustensa johdosta direktiivin 25 artiklan 6 kohdassa tarkoitetun tietosuojan riittävän tason.
Tähän on lisättävä, että päätöksen 2000/520 liitteessä I olevan neljännen kohdan mukaan kyseisten periaatteiden sovellettavuutta voidaan rajoittaa muun muassa ”siinä määrin kuin se on tarpeen kansallisen turvallisuuden, yleisen edun ja lainsäädännön vaatimusten vuoksi” sekä ”lainsäädännöllä, [asetuksilla] tai oikeuskäytännöllä, joilla syntyy [kyseisten periaatteiden kanssa] ristiriitaisia velvoitteita tai joilla selkeästi annetaan lupa tiettyyn toimintaan, sillä edellytyksellä, että aina tällaista lupaa käyttäessään organisaatio voi osoittaa, että periaatteiden noudattamatta jättäminen rajoittuu siihen, mikä on tarpeen tällaisen lupaan liittyvän oikeutetun ja ensisijaisen tavoitteen täyttämiseksi”.
Tässä yhteydessä päätöksen 2000/520 liitteessä IV olevassa B kohdassa korostetaan safe harbor ‑periaatteiden sovellettavuuden rajoituksista, että ”on selvää, että jos Yhdysvaltojen lainsäädäntö asettaa yhdysvaltalaiselle organisaatiolle safe harbor ‑periaatteiden kanssa ristiriitaisen velvoitteen, organisaation on noudatettava lakia riippumatta siitä, kuuluuko se safe harbor ‑järjestelmään vai ei”.
Niinpä päätöksessä 2000/520 vahvistetaan ”kansallisen turvallisuuden, yleisen edun ja lainsäädännön vaatimusten” ensisijaisuus safe harbor- periaatteisiin nähden, ensisijaisuus, jonka nojalla yhdysvaltalaisorganisaatiot, jotka ovat antaneet oman varmennuksensa ja jotka saavat henkilötietoja unionista, ovat velvollisia syrjäyttämään mainitut periaatteet rajoituksetta silloin, kun nämä ovat ristiriidassa ja osoittautuvat siis yhteensoveltumattomiksi kyseisten vaatimusten kanssa.
Kun päätöksen 2000/520 liitteessä I olevaan neljänteen kohtaan sisältyvän poikkeuksen yleinen luonne otetaan huomioon, päätös mahdollistaa siten Yhdysvaltojen kansallisen turvallisuuden ja yleisen edun tai sisäisen lainsäädännön vaatimuksiin perustuvan puuttumisen niiden henkilöiden perusoikeuksiin, joiden henkilötiedot siirretään tai voitaisiin siirtää unionista Yhdysvaltoihin. Tässä yhteydessä on todettava, että sen osoittamisessa, että kyse on puuttumisesta yksityiselämän kunnioitusta koskevaan perusoikeuteen, ei ole merkitystä sillä, ovatko kyseessä olevat yksityiselämään liittyvät tiedot arkaluonteisia vai eivät tai onko asianomaisille mahdollisesti aiheutunut haittaa tästä puuttumisesta (tuomio Digital Rights Ireland ym.,
C‑293/12 ja C‑594/12
,
EU:C:2014:238
,
kohta oikeuskäytäntöviittauksineen).
Päätös 2000/520 ei myöskään sisällä mitään toteamusta siitä, että Yhdysvalloissa olisi valtiollisia sääntöjä, joilla olisi tarkoitus rajoittaa mahdollista puuttumista henkilöiden, joiden tietoja siirretään unionista Yhdysvaltoihin, perusoikeuksiin, puuttumista, joka olisi kyseisen maan valtiollisille elimille sallittua niiden pyrkiessä kansallisen turvallisuuden kaltaisiin legitiimeihin tavoitteisiin.
Tähän on lisättävä se, ettei päätöksessä 2000/520 mainita, että tällaista puuttumista vastaan on olemassa tehokasta oikeussuojaa. Kuten julkisasiamies on todennut ratkaisuehdotuksensa 204–206 kohdassa, yksityisen välitysmenettelyn mekanismit ja menettelyt liittovaltion kauppakomissiossa (Federal Trade Commission), jonka toimivalta – joka kuvataan muun muassa kyseisen päätöksen liitteessä II olevassa FAQ 11:ssa – rajoittuu kaupallisiin riitoihin, koskevat sitä, noudattavatko yhdysvaltalaisyritykset safe harbor ‑periaatteita, eikä niitä voida panna täytäntöön sellaisten riitojen yhteydessä, jotka koskevat sitä, onko valtiolähtöisistä toimenpiteistä johtuva puuttuminen perusoikeuksiin laillista.
Lisäksi edellä esitetty päätöksen 2000/520 tarkastelu saa tukea arvioinnista, jonka komissio itsekin on tehnyt kyseisen päätöksen toteuttamisesta johtuvasta tilanteesta. Kyseinen toimielin nimittäin on todennut erityisesti tiedonannon COM(2013) 846 final 2 ja 3.2 kohdassa ja tiedonannon COM(2013) 847 final 7.1, 7.2 ja 8 kohdassa, joista ensin mainittujen sisältö esitetään tämän tuomion 13–16 kohdassa ja jälkimmäisten puolestaan tämän tuomion 22, 23 ja 25 kohdassa, että Yhdysvaltain viranomaisilla on mahdollisuus päästä jäsenvaltioista Yhdysvaltoihin siirrettyihin henkilötietoihin ja käsitellä niitä muun muassa niiden siirron tarkoitusten vastaisella tavalla ja laajemmin kuin on ehdottomasti tarpeen ja oikeasuhteista kansallisen turvallisuuden suojelemisen kannalta. Komissio on todennut samoin, ettei asianomaisilla henkilöillä ole mahdollisuutta hakea hallinto- tai oikeusteitse oikeussuojaa, jonka avulla he muun muassa voisivat saada tutustua itseään koskeviin tietoihin ja saada ne tarvittaessa oikaistuiksi tai poistetuiksi.
Siltä osin kuin kyse on unionissa taatusta perusvapauksien ja ‑oikeuksien suojan tasosta, unionin säännöstössä, jolla puututaan perusoikeuskirjan 7 ja 8 artiklassa taattuihin perusoikeuksiin, on unionin tuomioistuimen vakiintuneen oikeuskäytännön mukaan säädettävä selvistä ja täsmällisistä toimenpiteen laajuutta ja soveltamista koskevista säännöistä, joissa asetetaan vähimmäisvaatimukset, jotta henkilöillä, joiden henkilötiedot ovat kyseessä, on riittävät takeet, joiden avulla heidän tietonsa voidaan tehokkaasti suojata väärinkäytön vaaroilta sekä kaikenlaiselta näiden tietojen laittomalta saannilta ja käytöltä. Tarve tällaisista takeista on tärkeä varsinkin silloin, kun henkilötietoja käsitellään automaattisesti ja on olemassa huomattava vaara laittomasta pääsystä näihin tietoihin (tuomio Digital Rights Ireland ym.,
C‑293/12 ja C‑594/12
,
EU:C:2014:238
,
ja
kohta oikeuskäytäntöviittauksineen).
Lisäksi ja varsinkin on huomattava, että yksityiselämän kunnioitusta koskevan perusoikeuden suoja unionin tasolla edellyttää, että henkilötietojen suojaa koskevat poikkeukset ja rajoitukset toteutetaan sen rajoissa, mikä on ehdottomasti tarpeen (tuomio Digital Rights Ireland ym.,
C‑293/12 ja C‑594/12
,
EU:C:2014:238
,
kohta oikeuskäytäntöviittauksineen).
Siihen, mikä on ehdottomasti tarpeen, ei siis rajoitu säännöstö, jossa sallitaan yleisesti kaikkien henkilöiden, joiden henkilötiedot on siirretty unionista Yhdysvaltoihin, kaikkien henkilötietojen säilyttäminen tekemättä mitään erottelua, rajoitusta tai poikkeusta tavoiteltavan päämäärän mukaan ja säätämättä objektiivisesta perusteesta, jolla voitaisiin rajoittaa viranomaisten pääsyä tietoihin ja rajata niiden myöhempi käyttö tarkoituksiin, jotka ovat täsmällisiä, täysin rajallisia ja omiaan oikeuttamaan puuttumisen, jota niin henkilötietoihin pääsy kuin niiden käyttökin merkitsevät (ks. vastaavasti yleisesti saatavilla olevien sähköisten viestintäpalvelujen tai yleisten viestintäverkkojen yhteydessä tuotettavien tai käsiteltävien tietojen säilyttämisestä ja direktiivin 2002/58/EY muuttamisesta 15.3.2006 annetun Euroopan parlamentin ja neuvoston direktiivin 2006/24/EY (
EUVL L 105, s. 54
) osalta tuomio Digital Rights Ireland ym.,
C‑293/12 ja C‑594/12
,
EU:C:2014:238
,
–
kohta).
Säännöstöstä, jonka nojalla viranomaiset pääsevät yleisesti sähköisen viestinnän sisältöön, on erityisesti katsottava, että sillä loukataan yksityiselämän kunnioitusta koskevan perusoikeuden, sellaisena kuin se taataan perusoikeuskirjan 7 artiklassa, keskeistä sisältöä (ks. vastaavasti tuomio Digital Rights Ireland ym.,
C‑293/12 ja C‑594/12
,
EU:C:2014:238
,
kohta).
Myöskään säännöstö, jossa yksityisille ei anneta mitään mahdollisuutta käyttää oikeussuojakeinoja, jotta he saisivat tutustua henkilötietoihinsa tai voisivat saada tällaiset tiedot oikaistuiksi tai poistetuiksi, ei ole tehokasta oikeussuojaa koskevan perusoikeuden, sellaisena kuin se vahvistetaan perusoikeuskirjan 47 artiklassa, keskeisen sisällön mukainen. Perusoikeuskirjan 47 artiklan ensimmäisessä kohdassa nimittäin edellytetään, että jokaisella, jonka unionin oikeudessa taattuja oikeuksia ja vapauksia on loukattu, on oltava tässä artiklassa määrättyjen edellytysten mukaisesti käytettävissään tehokkaat oikeussuojakeinot tuomioistuimessa. Tässä yhteydessä on huomattava, että unionin oikeuden määräysten ja säännösten noudattamisen varmistamiseen tarkoitetun tehokkaan tuomioistuinvalvonnan itse olemassaolo kuuluu erottamattomana osana oikeusvaltioon (ks. vastaavasti tuomio Les Verts v. parlamentti,
294/83
,
EU:C:1986:166
,
kohta; tuomio Johnston,
222/84
,
EU:C:1986:206
,
ja
kohta; tuomio Heylens ym.,
222/86
,
EU:C:1987:442
,
kohta ja tuomio UGT-Rioja ym.,
C-428/06–C-434/06
,
EU:C:2008:488
,
kohta).
Kuten erityisesti tämän tuomion 71, 73 ja 74 kohdassa on todettu, komissio voi tehdä direktiivin 95/46 25 artiklan 6 kohtaan perustuvan päätöksen sillä edellytyksellä, että se toteaa asianmukaisin perusteluin, että asianomainen kolmas maa tosiasiallisesti takaa sisäisen lainsäädäntönsä tai kansainvälisten sitoumustensa johdosta perusoikeuksien suojan sellaisen tason, joka pääosiltaan vastaa unionin oikeusjärjestyksessä taattua tasoa, sellaisena kuin tämä taso ilmenee erityisesti tämän tuomion edellisistä kohdista.
On huomattava, ettei komissio ole todennut päätöksessä 2000/520, että Yhdysvallat tosiasiallisesti takaa tietosuojan riittävän tason sisäisen lainsäädäntönsä tai kansainvälisten sitoumustensa johdosta.
Niinpä on katsottava tarvitsematta tutkia safe harbor ‑periaatteiden sisältöä, että mainitun päätöksen 1 artiklassa jätetään huomiotta vaatimukset, joista säädetään direktiivin 95/46 25 artiklan 6 kohdassa, luettuna perusoikeuskirjan valossa, joten kyseinen 1 artikla on pätemätön.
Päätöksen 2000/520 3 artikla
Tämän tuomion 53, 57 ja 63 kohdassa esitetystä ilmenee, että kun otetaan huomioon direktiivin 95/46 28 artikla, luettuna erityisesti perusoikeuskirjan 8 artiklan valossa, kansallisten valvontaviranomaisten on voitava tutkia täysin itsenäisesti vaatimus, jonka henkilö on esittänyt oikeuksiensa ja vapauksiensa suojasta henkilötietojensa käsittelyssä. Näin on erityisesti silloin, kun tällaisen vaatimuksen yhteydessä henkilö nostaa esiin kysymyksiä direktiivin 25 artiklan 6 kohtaan perustuvan komission päätöksen yhteensoveltuvuudesta henkilöiden yksityiselämän sekä perusvapauksien ja ‑oikeuksien suojan kanssa.
Päätöksen 2000/520 3 artiklan 1 kohdan ensimmäisessä alakohdassa on kuitenkin erityisiä säännöksiä toimivallasta, joka kansallisilla valvontaviranomaisilla on suhteessa toteamukseen, jonka komissio on tehnyt direktiivin 95/46 25 artiklassa tarkoitetusta tietosuojan riittävästä tasosta.
Niinpä mainitun säännöksen mukaan kyseiset viranomaiset voivat – ”[ilman että rajoitetaan niiden] valtuuksia toteuttaa toimenpiteitä direktiivin [95/46] muiden säännösten kuin 25 artiklan noudattamiseksi annettujen kansallisten säännösten noudattamisen varmistamiseksi” – ”keskeyttää organisaatiolle, joka on ilmoittanut noudattavansa [päätöksen 2000/520] mukaisesti sovellettavia periaatteita, suunnatut tietovirrat” sellaisin rajoittavin edellytyksin, jotka merkitsevät korkeaa kynnystä kyseisten viranomaisten toimille. Kyseisessä säännöksessä ei rajoiteta mainittujen viranomaisten toimivaltaa toteuttaa toimenpiteitä direktiivin soveltamiseksi annettujen kansallisten säännösten noudattamisen varmistamiseksi, mutta siinä suljetaan sitä vastoin pois kyseisten viranomaisten mahdollisuus toteuttaa toimenpiteitä saman direktiivin 25 artiklan noudattamisen varmistamiseksi.
Päätöksen 2000/520 3 artiklan 1 kohdan ensimmäinen alakohta on siis ymmärrettävä siten, että se estää kansallisia valvontaviranomaisia käyttämästä valtuuksia, jotka niillä on direktiivin 95/46 28 artiklan nojalla, kun henkilö esittää tähän säännökseen perustuvan vaatimuksen yhteydessä seikkoja, jotka voivat kyseenalaistaa komission päätöksen, jossa on kyseisen direktiivin 25 artiklan 6 kohdan nojalla todettu kolmannen maan takaavan tietosuojan riittävän tason, yhteensoveltuvuuden henkilöiden yksityiselämän sekä perusvapauksien ja ‑oikeuksien suojan kanssa.
Unionin lainsäätäjän komissiolle direktiivin 95/46 25 artiklan 6 kohdassa antama täytäntöönpanovalta ei merkitse komissiolle toimivaltaa rajoittaa tämän tuomion edellisessä kohdassa tarkoitettuja kansallisten valvontaviranomaisten valtuuksia.
Niinpä on todettava, että päätöksen 2000/520 3 artiklalla komissio on ylittänyt toimivallan, joka sille annetaan direktiivin 95/46 25 artiklan 6 kohdassa, luettuna perusoikeuskirjan valossa, joten kyseinen 3 artikla on pätemätön.
Koska päätöksen 2000/520 1 ja 3 artiklaa ei voida erottaa päätöksen 2 ja 4 artiklasta eikä päätöksen liitteistä, niiden pätemättömyys vaikuttaa koko päätöksen pätevyyteen.
Kaiken edellä esitetyn perusteella on katsottava, että päätös 2000/520 on pätemätön.
Oikeudenkäyntikulut
Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.

Näillä perusteilla unionin tuomioistuin (suuri jaosto) on ratkaissut asian seuraavasti:

1)
Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY, sellaisena kuin se on muutettuna 29.9.2003 annetulla Euroopan parlamentin ja neuvoston asetuksella (EY) N:o 1882/2003, 25 artiklan 6 kohtaa, luettuna Euroopan unionin perusoikeuskirjan 7, 8 ja 47 artiklan valossa, on tulkittava siten, että kyseiseen säännökseen perustuva direktiivin 95/46 mukaisesti yksityisyyden suojaa koskevien safe harbor ‑periaatteiden antaman suojan riittävyydestä ja niihin liittyvistä Yhdysvaltojen kauppaministeriön julkaisemista tavallisimmista kysymyksistä 26.7.2000 tehdyn komission päätöksen 2000/520/EY kaltainen päätös, jolla Euroopan komissio toteaa kolmannen maan takaavan tietosuojan riittävän tason, ei ole esteenä sille, että direktiivin, sellaisena kuin se on muutettuna, 28 artiklassa tarkoitettu jäsenvaltion valvontaviranomainen tutkii vaatimuksen, jonka henkilö on esittänyt oikeuksiensa ja vapauksiensa suojasta jäsenvaltiosta kyseiseen kolmanteen maahan siirrettyjen henkilötietojensa käsittelyssä, kun henkilön mukaan kyseisessä maassa voimassa olevat oikeussäännöt ja käytännöt eivät takaa tietosuojan riittävää tasoa.

2)
Päätös 2000/520 on pätemätön.

Allekirjoitukset
(
*
)   Oikeudenkäyntikieli: englanti.