CELEX: 62014CJ0362
Προδικαστική παραπομπή
Δεδομένα προσωπικού χαρακτήρα
Προστασία φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων αυτών
Χάρτης των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης
Άρθρα 7, 8 και 47
Οδηγία 95/46/ΕΚ
Άρθρα 25 και 28
Διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τρίτες χώρες
Απόφαση 2000/520/ΕΚ
Διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τις Ηνωμένες Πολιτείες
Μη ικανοποιητικό επίπεδο προστασίας
Κύρος
Καταγγελία φυσικού προσώπου του οποίου τα δεδομένα διαβιβάστηκαν από την Ευρωπαϊκή Ένωση προς τις Ηνωμένες Πολιτείες
Εξουσίες των εθνικών αρχών ελέγχου

που έχει εκδοθεί από την Επιτροπή βάσει του άρθρου 25, παράγραφος 6, της οδηγίας 95/46, όπως η απόφαση 2000/520, δεν μπορεί, όμως, να εμποδίσει τα πρόσωπα των οποίων τα δεδομένα προσωπικού χαρακτήρα έχουν διαβιβαστεί ή θα μπορούσαν να διαβιβαστούν προς τρίτη χώρα να υποβάλουν αίτηση προς τις εθνικές αρχές ελέγχου, υπό την έννοια του άρθρου 28, παράγραφος 4, της εν λόγω οδηγίας, σχετικά με την προστασία των δικαιωμάτων και των ελευθεριών τους έναντι της επεξεργασίας των δεδομένων αυτών. Επιπλέον, όπως επισήμανε ο γενικός εισαγγελέας ιδίως στις σκέψεις 61, 93 και 116 των προτάσεών του, μια τέτοια απόφαση δεν μπορεί ούτε να εξαλείψει ούτε να περιορίσει τις εξουσίες που αναγνωρίζονται ρητά στις εθνικές αρχές ελέγχου από το άρθρο 8, παράγραφος 3, του Χάρτη και από το άρθρο 28 της ανωτέρω οδηγίας.
Ούτε το άρθρο 8, παράγραφος 3, του Χάρτη ούτε το άρθρο 28 της οδηγίας 95/46 εξαιρούν από το πεδίο των αρμοδιοτήτων των εθνικών αρχών ελέγχου τον έλεγχο της διαβιβάσεως δεδομένων προσωπικού χαρακτήρα προς τις τρίτες χώρες για τις οποίες έχει εκδοθεί απόφαση της Επιτροπής βάσει του άρθρου 25, παράγραφος 6, της ανωτέρω οδηγίας.
Ειδικότερα, το άρθρο 28, παράγραφος 4, πρώτο εδάφιο, της οδηγίας 95/46, το οποίο ορίζει ότι «κάθε πρόσωπο […] μπορεί να υποβάλει […] αίτηση σχετικά με την προστασία των δικαιωμάτων και ελευθεριών του έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα» στις εθνικές αρχές ελέγχου, δεν προβλέπει καμία εξαίρεση για την περίπτωση που έχει εκδοθεί απόφαση της Επιτροπής βάσει του άρθρου 25, παράγραφος 6, της οδηγίας αυτής.
Εξάλλου, θα ήταν αντίθετο προς το σύστημα που θεσπίζει η οδηγία 95/46 καθώς και προς τον σκοπό των άρθρων 25 και 28 της οδηγίας απόφαση που εκδίδει η Επιτροπή δυνάμει του άρθρου 25, παράγραφος 6, της ανωτέρω οδηγίας να έχει ως αποτέλεσμα τον αποκλεισμό της δυνατότητας εθνικής αρχής ελέγχου να εξετάσει την αίτηση προσώπου σχετικά με την προστασία των δικαιωμάτων και ελευθεριών του έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα που το αφορούν, τα οποία διαβιβάστηκαν ή θα μπορούσαν να διαβιβαστούν από κράτος μέλος προς τρίτη χώρα για την οποία έχει εκδοθεί η σχετική απόφαση.
Αντιθέτως, το άρθρο 28 της οδηγίας 95/46 εφαρμόζεται, ως εκ της φύσεώς του, σε κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα. Έτσι, ακόμη και όταν έχει εκδοθεί απόφαση της Επιτροπής βάσει του άρθρου 25, παράγραφος 6, της εν λόγω οδηγίας, οι εθνικές αρχές ελέγχου στις οποίες έχει υποβληθεί αίτηση σχετικά με την προστασία των δικαιωμάτων και των ελευθεριών προσώπου έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα που το αφορούν, πρέπει να μπορούν να εξετάσουν αμερόληπτα αν η διαβίβαση των δεδομένων αυτών πληροί τους όρους της ανωτέρω οδηγίας.
Σε διαφορετική περίπτωση, τα πρόσωπα των οποίων τα δεδομένα προσωπικού χαρακτήρα διαβιβάστηκαν ή θα μπορούσαν να διαβιβαστούν προς τη σχετική τρίτη χώρα θα έχαναν το δικαίωμα να υποβάλουν στις εθνικές αρχές ελέγχου αίτηση για την προστασία των θεμελιωδών τους δικαιωμάτων, δικαίωμα το οποίο κατοχυρώνεται με το άρθρο 8, παράγραφοι 1 και 3, του Χάρτη (βλ., κατ’ αναλογίαν, απόφαση Digital Rights Ireland κ.λπ.,
C‑293/12 και C‑594/12
,
EU:C:2014:238
, σκέψη
).
Όταν κάποιο πρόσωπο του οποίου τα δεδομένα προσωπικού χαρακτήρα έχουν διαβιβαστεί ή θα μπορούσαν να διαβιβαστούν προς τρίτη χώρα υποβάλλει αίτηση, υπό την έννοια του άρθρου 28, παράγραφος 4, της οδηγίας 95/46, με την οποία υποστηρίζει, όπως στην υπόθεση της κύριας δίκης, ότι η νομοθεσία και η πρακτική στη χώρα αυτή, παρά τη διαφορετική διαπίστωση της Επιτροπής σε απόφαση την οποία έχει εκδώσει βάσει του άρθρου 25, παράγραφος 6, της οδηγίας αυτής, δεν παρέχουν ικανοποιητικό επίπεδο προστασίας, τότε πρέπει να θεωρηθεί ότι η αίτηση αυτή αφορά, κατ’ ουσίαν, το συμβατό της αποφάσεως αυτής με την προστασία της ιδιωτικής ζωής και των θεμελιωδών δικαιωμάτων και ελευθεριών των προσώπων.
Υπενθυμίζεται, συναφώς η πάγια νομολογία του Δικαστηρίου κατά την οποία η Ένωση είναι μια Ένωση δικαίου, στην οποία κάθε πράξη των οργάνων υπόκειται σε έλεγχο συμφωνίας, μεταξύ άλλων, με τις Συνθήκες, καθώς και με τα θεμελιώδη δικαιώματα (βλ., υπ’ αυτή την έννοια, αποφάσεις Επιτροπή κ.λπ. κατά Kadi,
C‑584/10 P, C‑593/10 P και C‑595/10 P
,
EU:C:2013:518
, σκέψη
· Inuit Tapiriit Kanatami κ.λπ. κατά Κοινοβουλίου και Συμβουλίου,
C‑583/11 P
,
EU:C:2013:625
, σκέψη
, καθώς και Telefónica κατά Επιτροπής,
C‑274/12 P
,
EU:C:2013:852
, σκέψη
). Επομένως, οι αποφάσεις που εκδίδει η Επιτροπή βάσει του άρθρου 25, παράγραφος 6, της οδηγίας 95/46 δεν εκφεύγουν του ελέγχου αυτού.
Πέραν τούτου, το Δικαστήριο είναι το μόνο αρμόδιο να διαπιστώσει την ακυρότητα πράξεως της Ένωσης, όπως της αποφάσεως που εκδίδει η Επιτροπή βάσει του άρθρου 25, παράγραφος 6, της οδηγίας 95/46, ο δε αποκλειστικός χαρακτήρας της αρμοδιότητας αυτής αποσκοπεί στη διασφάλιση της ομοιόμορφης εφαρμογής του δικαίου της Ένωσης ώστε να υπάρχει ασφάλεια δικαίου (βλ., αποφάσεις Melki και Abdeli,
C‑188/10 και C‑189/10
,
EU:C:2010:363
, σκέψη
, καθώς και CIVAD,
C‑533/10
,
EU:C:2012:347
, σκέψη
).
Τα εθνικά δικαστήρια μπορούν, βεβαίως, να εξετάσουν το κύρος πράξεως της Ένωσης, όπως της αποφάσεως που εκδίδει η Επιτροπή βάσει του άρθρου 25, παράγραφος 6, της οδηγίας 95/46, όμως δεν είναι αρμόδια να διαπιστώνουν την ακυρότητα της πράξεως αυτής (βλ., υπ’ αυτή την έννοια, αποφάσεις Foto‑Frost,
314/85
,
EU:C:1987:452
, σκέψεις
έως
, και IATA και ELFAA,
C‑344/04
,
EU:C:2006:10
, σκέψη
). A fortiori, κατά την εξέταση αιτήσεως, υπό την έννοια του άρθρου 28, παράγραφος 4, της εν λόγω οδηγίας, σχετικά με τη συμφωνία αποφάσεως που εξέδωσε η Επιτροπή βάσει του άρθρου 25, παράγραφος 6, της ανωτέρω οδηγίας, με την προστασία της ιδιωτικής ζωής και των θεμελιωδών δικαιωμάτων και ελευθεριών των προσώπων, οι εθνικές αρχές ελέγχου δεν δικαιούνται να προβούν οι ίδιες στη διαπίστωση της ακυρότητας της εν λόγω αποφάσεως.
Κατόπιν των προεκτεθέντων, όταν πρόσωπο του οποίου τα δεδομένα προσωπικού χαρακτήρα διαβιβάστηκαν ή θα μπορούσαν να διαβιβαστούν προς τρίτη χώρα για την οποία έχει εκδοθεί απόφαση της Επιτροπής βάσει του άρθρου 25, παράγραφος 6, της οδηγίας 95/46 υποβάλλει σε εθνική αρχή ελέγχου αίτηση σχετικά με την προστασία των δικαιωμάτων και των ελευθεριών του έναντι της επεξεργασίας των δεδομένων αυτών και στην αίτηση αυτή αμφισβητεί, όπως στην υπόθεση της κύριας δίκης, το συμβατό της αποφάσεως αυτής με την προστασία της ιδιωτικής ζωής, τότε η εθνική αρχή οφείλει να εξετάζει την ανωτέρω αίτηση με τη δέουσα επιμέλεια.
Σε περίπτωση που η εν λόγω αρχή καταλήξει στο συμπέρασμα ότι είναι αβάσιμα τα στοιχεία που προβλήθηκαν προς στήριξη της αιτήσεως και απορρίψει για τον λόγο αυτό την αίτηση, τότε το πρόσωπο που την υπέβαλε πρέπει, όπως προκύπτει από το άρθρο 28, παράγραφος 3, δεύτερο εδάφιο, της οδηγίας 95/46 υπό το πρίσμα του άρθρου 47 του Χάρτη, να έχει τη δυνατότητα να προσβάλει την απόφαση αυτή προσφεύγοντας ενώπιον των εθνικών δικαστικών αρχών. Βάσει της νομολογίας που αναφέρθηκε στις σκέψεις 61 και 62 της παρούσας αποφάσεως, το εθνικό δικαστήριο οφείλει να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο προδικαστικό ερώτημα περί εκτιμήσεως του κύρους, όταν κρίνει ότι είναι βάσιμος ένας ή περισσότεροι λόγοι ακυρότητας που προβλήθηκαν από τα μέρη ή και ενδεχομένως εξετάστηκαν αυτεπαγγέλτως (βλ., υπ’ αυτή την έννοια, απόφαση T & L Sugars και Sidul Açúcares κατά Επιτροπής,
C‑456/13 P
,
EU:C:2015:284
, σκέψη
και εκεί παρατιθέμενη νομολογία).
Στην αντίθετη περίπτωση, κατά την οποία η αρχή ελέγχου κρίνει βάσιμες τις αιτιάσεις που προέβαλε το πρόσωπο που υπέβαλε ενώπιόν της αίτηση σχετικά με την προστασία των δικαιωμάτων και των ελευθεριών του έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που το αφορούν, η εν λόγω αρχή, σύμφωνα με το άρθρο 28, παράγραφος 3, πρώτο εδάφιο, τρίτη περίπτωση, της οδηγίας 95/46 υπό το πρίσμα του άρθρου 8, παράγραφος 3, του Χάρτη, πρέπει να έχει τη δυνατότητα να προσφύγει σε δικαστήριο. Ως προς το ζήτημα αυτό απόκειται στο εθνικό νομοθέτη να προβλέψει μέσα παροχής ενδίκου προστασίας παρέχοντα τη δυνατότητα στην οικεία εθνική αρχή ελέγχου να προβάλει τις αιτιάσεις που κρίνει βάσιμες ενώπιον των εθνικών δικαστηρίων, ώστε αυτά, αν συμφωνούν ότι υπάρχουν αμφιβολίες ως προς το κύρος της αποφάσεως της Επιτροπής, να υποβάλουν προδικαστικό ερώτημα προς έλεγχο του κύρους της συγκεκριμένης αποφάσεως.
Λαμβανομένων υπόψη των ανωτέρω, στα ερωτήματα που υποβλήθηκαν πρέπει να δοθεί η απάντηση ότι το άρθρο 25, παράγραφος 6, της οδηγίας 95/46 υπό το πρίσμα των άρθρων 7, 8 και 47 του Χάρτη, έχει την έννοια ότι απόφαση που εκδίδεται βάσει της διατάξεως αυτής, όπως η απόφαση 2000/520, με την οποία η Επιτροπή αποφαίνεται ότι τρίτη χώρα εξασφαλίζει ικανοποιητικό επίπεδο προστασίας, δεν εμποδίζει την αρχή ελέγχου κράτους μέλους, υπό την έννοια του άρθρου 28 της οδηγίας αυτής, να εξετάσει αίτηση προσώπου σχετικά με την προστασία των δικαιωμάτων και των ελευθεριών του έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που το αφορούν, τα οποία έχουν διαβιβαστεί από κράτος μέλος προς την εν λόγω τρίτη χώρα, όταν το πρόσωπο αυτό υποστηρίζει ότι η νομοθεσία και η πρακτική στην χώρα αυτή δεν εξασφαλίζουν ικανοποιητικό επίπεδο προστασίας.
Επί του κύρους της αποφάσεως 2000/520
Όπως προκύπτει από τις διευκρινίσεις του αιτούντος δικαστηρίου σχετικά με τα υποβληθέντα ερωτήματα, ο M. Schrems προβάλλει στο πλαίσιο της κύριας δίκης ότι η νομοθεσία και η πρακτική των Ηνωμένων Πολιτειών δεν εξασφαλίζουν ικανοποιητικό επίπεδο προστασίας υπό την έννοια του άρθρου 25 της οδηγίας 95/46. Όπως επισήμανε ο γενικός εισαγγελέας στα σημεία 123 και 124 των προτάσεών του, ο M. Schrems εκφράζει αμφιβολίες σχετικά με το κύρος της αποφάσεως 2000/520, τις οποίες φαίνεται ότι συμμερίζεται κατά βάση και το αιτούν δικαστήριο. Υπό τις συνθήκες αυτές, βάσει όσων διαπιστώθηκαν στις σκέψεις 60 έως 63 της παρούσας αποφάσεως και προκειμένου να δοθεί πλήρης απάντηση προς το αιτούν δικαστήριο, πρέπει να εξεταστεί αν η απόφαση αυτή είναι σύμφωνη προς τις απαιτήσεις που απορρέουν από την εν λόγω οδηγία υπό το πρίσμα του Χάρτη.
Επί των απαιτήσεων που απορρέουν από το άρθρο 25, παράγραφος 6, της οδηγίας 95/46
Όπως επισημάνθηκε ήδη στις σκέψεις 48 και 49 της παρούσας αποφάσεως, το άρθρο 25, παράγραφος 1, της οδηγίας 95/46 απαγορεύει τη διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τρίτη χώρα η οποία δεν εξασφαλίζει αποτελεσματικό επίπεδο προστασίας.
Για τον έλεγχο, όμως, των διαβιβάσεων αυτών, το άρθρο 25, παράγραφος 6, πρώτο εδάφιο, της οδηγίας αυτής προβλέπει ότι η Επιτροπή «μπορεί να αποφανθεί […] ότι μια τρίτη χώρα εξασφαλίζει ικανοποιητικό επίπεδο προστασίας κατά την έννοια της παραγράφου 2 [του εν άρθρου αυτού], λόγω της εσωτερικής της νομοθεσίας ή των διεθνών δεσμεύσεων που έχει αναλάβει […], ώστε να εξασφαλίζει την προστασία της ιδιωτικής ζωής και των θεμελιωδών ελευθεριών και δικαιωμάτων των προσώπων».
Ούτε το άρθρο 25, παράγραφος 2, της οδηγίας 95/46 ούτε άλλη διάταξη της οδηγίας αυτής περιλαμβάνουν, βέβαια, ορισμό της έννοιας του «ικανοποιητικού επιπέδου προστασίας». Συγκεκριμένα, το άρθρο 25, παράγραφος 2, της οδηγίας αυτής αναφέρει απλώς ότι η επάρκεια της προστασίας που παρέχεται από τρίτη χώρα «σταθμίζεται λαμβανομένων υπόψη όλων των περιστάσεων που επηρεάζουν μια διαβίβαση ή κατηγορία διαβιβάσεων δεδομένων» και προβαίνει σε ενδεικτική απαρίθμηση καταστάσεων που πρέπει να ληφθούν υπόψη κατά τη σχετική αξιολόγηση.
Ωστόσο, αφενός, όπως προκύπτει από το γράμμα του άρθρου 25, παράγραφος 6, της οδηγίας 95/46, η διάταξη αυτή απαιτεί η τρίτη χώρα να «εξασφαλίζει» ικανοποιητικό επίπεδο προστασίας λόγω της εσωτερικής της νομοθεσίας ή των διεθνών δεσμεύσεων που έχει αναλάβει. Αφετέρου, κατά την ίδια διάταξη, η επάρκεια της προστασίας που εξασφαλίζεται από την τρίτη χώρα κρίνεται βάσει «της προστασίας της ιδιωτικής ζωής και των θεμελιωδών ελευθεριών και δικαιωμάτων των προσώπων».
Έτσι, το άρθρο 25, παράγραφος 6, της οδηγίας 95/46 εφαρμόζει τη ρητή υποχρέωση προστασίας των δεδομένων προσωπικού χαρακτήρα που θεσπίζεται στο άρθρο 8, παράγραφος 1, του Χάρτη και σκοπεί, όπως επισήμανε ο γενικός εισαγγελέας στο σημείο 139 των προτάσεών του, να διασφαλίσει τη συνέχεια της προστασίας υψηλού επιπέδου που παρέχει η οδηγία αυτή σε περίπτωση διαβιβάσεως δεδομένων προσωπικού χαρακτήρα προς τρίτη χώρα.
Η λέξη «ικανοποιητικό» που χρησιμοποιείται στο άρθρο 25, παράγραφος 6, της οδηγίας 95/46 συνεπάγεται, βέβαια, ότι δεν μπορεί να απαιτηθεί η τρίτη χώρα να εξασφαλίζει το ίδιο ακριβώς επίπεδο προστασίας με αυτό που παρέχει η έννομη τάξη της Ένωσης. Όπως, όμως, επισήμανε ο γενικός εισαγγελέας στο σημείο 141 των προτάσεών του, η έκφραση «ικανοποιητικό επίπεδο προστασίας» πρέπει να ερμηνευθεί υπό την έννοια ότι απαιτεί η τρίτη αυτή χώρα να διασφαλίζει, λόγω της εσωτερικής της νομοθεσίας ή των διεθνών δεσμεύσεων που έχει αναλάβει, επίπεδο προστασίας των θεμελιωδών δικαιωμάτων και ελευθεριών ουσιαστικά ισοδύναμο με αυτό που εξασφαλίζεται εντός της Ένωσης βάσει της οδηγίας 95/46 υπό το πρίσμα του Χάρτη. Συγκεκριμένα, η απουσία μιας τέτοιας απαιτήσεως θα είχε ως αποτέλεσμα να αγνοηθεί ο σκοπός που αναφέρεται στην προηγούμενη σκέψη της παρούσας αποφάσεως. Εξάλλου, το υψηλό επίπεδο προστασίας που εγγυάται η οδηγία 95/46 υπό το πρίσμα του Χάρτη θα μπορούσε εύκολα να παρακαμφθεί μέσω διαβιβάσεως δεδομένων προσωπικού χαρακτήρα προς τρίτες χώρες με σκοπό την επεξεργασία τους στις χώρες αυτές.
Από το γράμμα του άρθρου 25, παράγραφος 6, της οδηγίας 95/46 προκύπτει ότι η έννομη τάξη της τρίτης χώρας για την οποία εκδίδεται η απόφαση της Επιτροπής πρέπει να εξασφαλίζει ικανοποιητικό επίπεδο προστασίας. Ακόμη και αν τα μέσα που χρησιμοποιεί η χώρα αυτή για να εξασφαλίσει αυτό το επίπεδο προστασίας μπορούν να διαφέρουν από αυτά που εφαρμόζονται εντός της Ένωσης για να διασφαλιστεί η τήρηση των απαιτήσεων που απορρέουν από την εν λόγω οδηγία υπό το πρίσμα του Χάρτη, τα μέσα αυτά πρέπει, πάντως να αποδεικνύονται στην πράξη αποτελεσματικά ώστε να εξασφαλίζουν προστασία ουσιαστικά ισοδύναμη με αυτή που παρέχεται εντός της Ένωσης.
Υπό τις συνθήκες αυτές, η Επιτροπή, όταν εξετάζει το επίπεδο προστασίας που παρέχει η τρίτη χώρα, οφείλει να λαμβάνει υπόψη το περιεχόμενο των κανόνων που εφαρμόζονται στη χώρα αυτή βάσει της εσωτερικής νομοθεσίας ή των διεθνών δεσμεύσεων που έχει αναλάβει η συγκεκριμένη χώρα, καθώς και την πρακτική σχετικά με την εξασφάλιση της τηρήσεως των κανόνων αυτών, δεδομένου ότι οφείλει, σύμφωνα με το άρθρο 25, παράγραφος 2, της οδηγίας 95/46, να λάβει υπόψη όλες τις περιστάσεις που σχετίζονται με τη διαβίβαση δεδομένων προσωπικού χαρακτήρα προς την τρίτη χώρα.
Ομοίως, όσον αφορά το γεγονός ότι το επίπεδο προστασίας που εξασφαλίζει η τρίτη χώρα ενδέχεται να μεταβληθεί, στην Επιτροπή απόκειται, μετά την έκδοση αποφάσεως βάσει του άρθρου 25, παράγραφος 6, της οδηγίας 95/46, να ελέγχει ανά τακτά χρονικά διαστήματα αν η διαπίστωση σχετικά με το ικανοποιητικό επίπεδο προστασίας που εξασφαλίζει η τρίτη αυτή χώρα παραμένει δικαιολογημένη από πραγματικής και νομικής απόψεως. Η επαλήθευση αυτή είναι, σε κάθε περίπτωση, επιβεβλημένη όταν υφίστανται ενδείξεις που προκαλούν αμφιβολίες ως προς ζήτημα αυτό.
Εξάλλου, όπως επισήμανε ο γενικός εισαγγελέας στις σκέψεις 134 και 135 των προτάσεών του, κατά την εξέταση του κύρους αποφάσεως που εξέδωσε η Επιτροπή βάσει του άρθρου 25, παράγραφος 6, της οδηγίας 95/46, πρέπει να ληφθούν επίσης υπόψη περιστάσεις μεταγενέστερες της εκδόσεως της εν λόγω αποφάσεως.
Ως προς το ζήτημα αυτό διαπιστώνεται ότι λαμβανομένων υπόψη, αφενός, της σημασίας που έχει η προστασία των δεδομένων προσωπικού χαρακτήρα υπό το πρίσμα του θεμελιώδους δικαιώματος του σεβασμού της ιδιωτικής ζωής και, αφετέρου, του μεγάλου αριθμού προσώπων των οποίων τα θεμελιώδη δικαιώματα ενδέχεται να προσβληθούν σε περίπτωση διαβιβάσεως δεδομένων προσωπικού χαρακτήρα προς τρίτη χώρα η οποία δεν εξασφαλίζει ικανοποιητικό επίπεδο προστασίας, η εξουσία εκτιμήσεως της Επιτροπής ως προς την επάρκεια του επιπέδου προστασίας που εξασφαλίζει η τρίτη αυτή χώρα είναι περιορισμένη, οπότε επιβάλλεται η διενέργεια ενός αυστηρού ελέγχου των απαιτήσεων που απορρέουν από το άρθρο 25 της οδηγίας 95/46 υπό το φως του Χάρτη (βλ., κατ’ αναλογίαν, απόφαση Digital Rights Ireland κ.λπ.,
C‑293/12 και C‑594/12
,
EU:C:2014:238
, σκέψεις
και
).
Επί του άρθρου 1 της αποφάσεως 2000/520
Η Επιτροπή στο άρθρο 1, παράγραφος 1, της αποφάσεως 2000/520 έκρινε ότι οι αρχές που παρατίθενται στο παράρτημα Ι της αποφάσεως αυτής, οι οποίες εφαρμόζονται σύμφωνα με την καθοδήγηση που παρέχουν οι συχνές ερωτήσεις [ΣΕ] που περιλαμβάνονται στο παράρτημα ΙΙ της αποφάσεως αυτής, εξασφαλίζουν ικανοποιητικό επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα που διαβιβάζονται από την Ένωση σε οργανισμούς εγκατεστημένους στις Ηνωμένες Πολιτείες. Από τη διάταξη αυτή προκύπτει ότι τόσο οι αρχές αυτές όσοι και οι ΣΕ εκδόθηκαν από το αμερικανικό Υπουργείο Εμπορίου.
Η προσχώρηση ενός οργανισμού στις αρχές ασφαλούς λιμένα πραγματοποιείται βάσει συστήματος αυτοπιστοποιήσεως, όπως προκύπτει από το άρθρο 1, παράγραφοι 2 και 3, της ανωτέρω αποφάσεως, σε συνδυασμό με τη ΣΕ 6 του παραρτήματος ΙΙ της ίδιας αποφάσεως.
Αν και η χρήση συστήματος αυτοπιστοποιήσεως από τρίτη χώρα δεν είναι αφεαυτής αντίθετη στην απαίτηση που θεσπίζει το άρθρο 25, παράγραφος 6, της οδηγίας 95/46, κατά την οποία η τρίτη χώρα πρέπει να εξασφαλίζει αποτελεσματικό επίπεδο προστασίας «λόγω της εσωτερικής της νομοθεσίας ή των διεθνών δεσμεύσεων που έχει αναλάβει» η εν λόγω χώρα, η αξιοπιστία του συστήματος αυτού ως προς την ανωτέρω απαίτηση εξαρτάται, κατ’ ουσίαν, από την πρόβλεψη αποτελεσματικών μηχανισμών ανιχνεύσεως και ελέγχου που επιτρέπουν να εντοπίζονται και να τιμωρούνται στην πράξη τυχόν παραβάσεις των κανόνων για την προστασία των θεμελιωδών δικαιωμάτων, ιδίως του δικαιώματος σεβασμού της ιδιωτικής ζωής και του δικαιώματος προστασίας των δικαιωμάτων προσωπικού χαρακτήρα.
Εν προκειμένω, οι αρχές του ασφαλούς λιμένα, βάσει του παραρτήματος Ι, δεύτερο εδάφιο, της αποφάσεως 2000/520 «προορίζονται αποκλειστικά για χρήση από αμερικανικούς οργανισμούς που λαμβάνουν δεδομένα προσωπικού χαρακτήρα από την Ευρωπαϊκή Ένωση, προκειμένου οι οργανισμοί αυτοί να πληρούν τις προϋποθέσεις του “ασφαλούς λιμένα” και να επωφελούνται από το τεκμήριο “επάρκειας” που παρέχει η ένταξη σ’ αυτόν». Επομένως, οι αρχές αυτές εφαρμόζονται αποκλειστικά από τους αμερικανικούς οργανισμούς που έχουν αυτοπιστοποιηθεί και οι οποίοι λαμβάνουν δεδομένα προσωπικού χαρακτήρα από την Ένωση, χωρίς να επιβάλλεται στις αμερικανικές δημόσιες αρχές η υποχρέωση σεβασμού των εν λόγω κανόνων.
Εξάλλου, κατά το άρθρο 2 της αποφάσεως 2000/520, η απόφαση αυτή «αφορά μόνο την επάρκεια της προστασίας που παρέχεται στις Ηνωμένες Πολιτείες σύμφωνα με τις αρχές ασφαλούς λιμένα, όπως αυτές εφαρμόζονται σύμφωνα με τις συχνές ερωτήσεις, σε σχέση με την τήρηση των απαιτήσεων του άρθρου 25 παράγραφος 1 της οδηγίας [95/46]», χωρίς να περιλαμβάνει όμως τις απαραίτητες διαπιστώσεις σχετικά με τα μέτρα με τα οποία οι Ηνωμένες Πολιτείες της Αμερικής εξασφαλίζουν ικανοποιητικό επίπεδο προστασίας, υπό την έννοια του άρθρου 25, παράγραφος 6, της οδηγίας αυτής, λόγω της εσωτερικής τους νομοθεσίας ή των διεθνών τους δεσμεύσεων.
Επιπλέον, κατά το παράρτημα Ι, τέταρτο εδάφιο, της αποφάσεως 2000/520, η εφαρμογή των αρχών αυτών μπορεί να περιοριστεί, μεταξύ άλλων, «στο μέτρο που είναι αναγκαίο για να πληρούνται απαιτήσεις εθνικής ασφάλειας, δημόσιου συμφέροντος και εφαρμογής του νόμου [των Ηνωμένων Πολιτειών]» καθώς και «από νομοθετικές, κυβερνητικές ή νομολογιακές διατάξεις οι οποίες δημιουργούν αντιφατικές υποχρεώσεις ή ρητή έγκριση, υπό τον όρο ότι, κατά την άσκηση οποιασδήποτε παρόμοιας έγκρισης, ο οργανισμός μπορεί να αποδείξει ότι η μη συμμόρφωσή του με τις αρχές περιορίζεται στο μέτρο που είναι αναγκαίο για να πληρούνται τα υπερισχύοντα νόμιμα συμφέροντα τα οποία εξυπηρετεί η εν λόγω έγκριση».
Ως προς το ζήτημα αυτό, όσον αφορά τους περιορισμούς που ισχύουν για την εφαρμογή των αρχών του ασφαλούς λιμένα, η απόφαση 2000/520, στο παράρτημα IV, τίτλος B, υπογραμμίζει ότι «[σ]αφώς στην περίπτωση που το αμερικανικό δίκαιο επιβάλλει μια αντικρουόμενη υποχρέωση, οι οργανισμοί των ΗΠΑ, είτε συμμορφώνονται με τις αρχές ασφαλούς λιμένα είτε όχι, πρέπει να εφαρμόσουν το δίκαιο».
Έτσι, η απόφαση 2000/520 καθιερώνει την υπεροχή των «απαιτήσεων εθνικής ασφάλειας, δημόσιου συμφέροντος και εφαρμογής του δικαίου [των ΗΠΑ]» έναντι των αρχών του ασφαλούς λιμένα, και βάσει αυτής της υπεροχής οι αυτοπιστοποιημένοι αμερικανικοί οργανισμοί που λαμβάνουν δεδομένα προσωπικού χαρακτήρα από την Ένωση οφείλουν να αποκλίνουν, χωρίς περιορισμό, από τις αρχές του ασφαλούς λιμένα όταν οι αρχές αυτές συγκρούονται με τις ανωτέρω απαιτήσεις και καθίστανται ασύμβατες με αυτές.
Λόγω του γενικού χαρακτήρα της παρεκκλίσεως που προβλέπεται στο παράρτημα Ι, τέταρτο εδάφιο, της αποφάσεως 2000/520, καθίστανται πιθανές ενέργειες θίγουσες τα θεμελιώδη δικαιώματα των προσώπων των οποίων τα δεδομένα προσωπικού χαρακτήρα έχουν διαβιβαστεί ή θα μπορούσαν να διαβιβαστούν από την Ένωση στις Ηνωμένες Πολιτείες, στηριζόμενες στις απαιτήσεις εθνικής ασφάλειας, δημοσίου συμφέροντος ή εφαρμογής της νομοθεσίας των Ηνωμένων Πολιτειών. Ως προς το ζήτημα αυτό, προκειμένου να στοιχειοθετηθεί προσβολή του θεμελιώδους δικαιώματος σεβασμού της ιδιωτικής ζωής, ελάχιστη σημασία έχει αν οι σχετικές πληροφορίες για την ιδιωτική ζωή είναι ή όχι ευαίσθητου χαρακτήρα ή αν οι ενδιαφερόμενοι υπέστησαν ή όχι ενδεχομένως δυσμενείς συνέπειες λόγω της επεμβάσεως αυτής (απόφαση Digital Rights Ireland κ.λπ.,
C‑293/12 και C‑594/12
,
EU:C:2014:238
, σκέψη
και εκεί παρατιθέμενη νομολογία).
Επιπλέον, η απόφαση 2000/520 δεν περιλαμβάνει καμία διαπίστωση σχετικά με την ύπαρξη στις Ηνωμένες Πολιτείες κρατικών κανόνων για τον περιορισμό τυχόν επεμβάσεων στα θεμελιώδη δικαιώματα των προσώπων των οποίων τα δεδομένα διαβιβάζονται από την Ένωση στις Ηνωμένες Πολιτείες, επεμβάσεις στις οποίες επιτρέπεται να προβαίνουν κρατικοί φορείς των Ηνωμένων Πολιτικών, όταν υπηρετούν νόμιμους σκοπούς όπως η εθνική ασφάλεια.
Επίσης, η απόφαση 2000/520 δεν αναφέρεται στην ύπαρξη αποτελεσματικής δικαστικής προστασίας κατά τέτοιων επεμβάσεων. Όπως επισήμανε ο γενικός εισαγγελέας στα σημεία 204 έως 206 των προτάσεών του, οι μηχανισμοί ιδιωτικής διαιτησίας και οι διαδικασίες ενώπιον της ομοσπονδιακής επιτροπής εμπορίου, οι αρμοδιότητες των οποίων περιγράφονται στη ΣΕ 11 και παρατίθενται στο παράρτημα ΙΙ της αποφάσεως αυτής, αφορούν μόνο τις διαφορές εμπορικού χαρακτήρα σχετικά με την τήρηση των αρχών του ασφαλούς λιμένα εκ μέρους των αμερικανικών επιχειρήσεων και δεν μπορούν να εφαρμοστούν στο πλαίσιο διαφορών σχετικά με επεμβάσεις στα ανθρώπινα δικαιώματα λόγω κρατικών μέτρων.
Εξάλλου, η προηγηθείσα ανάλυση της αποφάσεως 2000/520 ενισχύεται από την εκτίμηση που έκανε η ίδια η Επιτροπή σχετικά με την κατάσταση που προκύπτει από την εφαρμογή της αποφάσεως αυτής. Πράγματι, στα σημεία 2 και 3.2 της ανακοινώσεως COM(2013) 846 τελικό συγκεκριμένα καθώς και στα σημεία 7.1, 7.2 και 8 της ανακοινώσεως COM(2013) 847 τελικό, το περιεχόμενο των οποίων παρατέθηκε στις σκέψεις 13 έως 16 και 22, 23 και 25 της παρούσας αποφάσεως, η Επιτροπή διαπίστωσε ότι οι αμερικανικές αρχές μπορούσαν να έχουν πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται από τα κράτη μέλη προς τις Ηνωμένες Πολιτείες και να τα επεξεργαστούν κατά τρόπο ασυμβίβαστο με τον σκοπό για τον οποίο διαβιβάστηκαν, καθ’ υπέρβαση των ορίων του απολύτως αναγκαίου και του αναλογικού για την προστασία της εθνικής ασφάλειας. Ομοίως, η Επιτροπή διαπίστωσε ότι για τους ενδιαφερομένους δεν υπάρχει η δυνατότητα μέσω της διοικητικής ή της δικαστικής οδού να έχουν πρόσβαση στα δεδομένα που τους αφορούν, και εφόσον χρειαστεί να εξασφαλίσουν την τροποποίηση ή τη διαγραφή τους.
Όσον αφορά το επίπεδο προστασίας των θεμελιωδών δικαιωμάτων και ελευθεριών που προστατεύεται εντός της Ένωσης, κατά την πάγια νομολογία του Δικαστηρίου, ρύθμιση που συνεπάγεται επέμβαση στα θεμελιώδη δικαιώματα που προστατεύονται από τα άρθρα 7 και 8 του Χάρτη πρέπει να προβλέπει σαφείς και ακριβείς κανόνες που να διέπουν την έκταση και την εφαρμογή του οικείου μέτρου και να επιβάλλουν έναν ελάχιστο αριθμό απαιτήσεων ούτως ώστε τα πρόσωπα των οποίων τα δεδομένα διατηρούνται να έχουν επαρκείς εγγυήσεις ότι προστατεύονται αποτελεσματικά τα δεδομένα τους από κινδύνους καταχρήσεως, καθώς και από οποιαδήποτε αθέμιτη πρόσβαση και οποιαδήποτε αθέμιτη χρήση των δεδομένων αυτών. Η ανάγκη να παρέχονται τέτοιες εγγυήσεις είναι κατά μείζονα λόγο σημαντική όταν τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε αυτόματη επεξεργασία και υπάρχει σημαντικός κίνδυνος παράνομης προσβάσεως σε αυτά (απόφαση Digital Rights Ireland κ.λπ.,
C‑293/12 και C‑594/12
,
EU:C:2014:238
, σκέψεις
και
και εκεί παρατιθέμενη νομολογία).
Εξάλλου και ιδίως, η προστασία του θεμελιώδους δικαιώματος του σεβασμού της ιδιωτικής ζωής στο επίπεδο της Ένωσης επιτάσσει οι παρεκκλίσεις από την προστασία των δεδομένων προσωπικού χαρακτήρα και οι περιορισμοί της να μην υπερβαίνουν τα όρια του απολύτως αναγκαίου (απόφαση Digital Rights Ireland κ.λπ.,
C‑293/12 και C‑594/12
,
EU:C:2014:238
, σκέψη
και εκεί παρατιθέμενη νομολογία).
Έτσι, δεν περιορίζεται στα όρια του απολύτως αναγκαίου μια ρύθμιση που επιτρέπει κατά γενικευμένο τρόπο τη διατήρηση του συνόλου των δεδομένων προσωπικού χαρακτήρα όλων των προσώπων των οποίων τα δεδομένα διαβιβάστηκαν από την Ένωση στις Ηνωμένες Πολιτείες, χωρίς καμία διαφοροποίηση, περιορισμό ή εξαίρεση σε σχέση με τον επιδιωκόμενο σκοπό και χωρίς να προβλέπεται αντικειμενικό κριτήριο που θα μπορούσε να οριοθετήσει την πρόσβαση των δημόσιων αρχών στα δεδομένα και τη μεταγενέστερη χρήση τους για συγκεκριμένους σκοπούς, αυστηρά περιορισμένους, που μπορούν να δικαιολογήσουν την προσβολή που συνεπάγεται τόσο η πρόσβαση όσο και η χρήση των δεδομένων αυτών [βλ., υπ’ αυτή την έννοια, όσον αφορά την οδηγία 2006/24/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 15ης Μαρτίου 2006, για τη διατήρηση δεδομένων που παράγονται ή υποβάλλονται σε επεξεργασία σε συνάρτηση με την παροχή διαθεσίμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών ή δημοσίων δικτύων επικοινωνιών και για την τροποποίηση της οδηγίας 2002/58/ΕΚ (
ΕΕ L 105, σ. 54
), απόφαση Digital Rights Ireland κ.λπ.,
C‑293/12 και C‑594/12
,
EU:C:2014:238
, σκέψεις
έως
].
Ειδικότερα, ρύθμιση που επιτρέπει στις δημόσιες αρχές την πρόσβαση κατά γενικευμένο τρόπο στο περιεχόμενο των ηλεκτρονικών επικοινωνιών πρέπει να θεωρηθεί ότι προσβάλλει το ουσιαστικό περιεχόμενο του θεμελιώδους δικαιώματος του σεβασμού της ιδιωτικής ζωής, όπως αυτό κατοχυρώνεται από το άρθρο 7 του Χάρτη (βλ., υπ’ αυτή την έννοια, απόφαση Digital Rights Ireland κ.λπ.,
C‑293/12 και C‑594/12
,
EU:C:2014:238
, σκέψη
).
Ομοίως, ρύθμιση που δεν προβλέπει ένδικα βοηθήματα προκειμένου ο ενδιαφερόμενος να έχει πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που τον αφορούν ή να επιτύχει την τροποποίηση ή την κατάργηση τέτοιων δεδομένων δεν σέβεται το ουσιαστικό περιεχόμενο του θεμελιώδους δικαιώματος αποτελεσματικής δικαστικής προστασίας, όπως αυτό κατοχυρώνεται στο άρθρο 47 του Χάρτη. Συγκεκριμένα, το άρθρο 47, πρώτο εδάφιο, του Χάρτη ορίζει ότι, σε περιπτώσεις προσβολής των δικαιωμάτων και των ελευθεριών που διασφαλίζονται από το δίκαιο της Ένωσης, ο ενδιαφερόμενος πρέπει να έχει, στην πράξη, τη δυνατότητα να προσφύγει στη δικαιοσύνη σύμφωνα με τις προϋποθέσεις που προβλέπει το συγκεκριμένο άρθρο. Η ύπαρξη αποτελεσματικού δικαστικού ελέγχου για την προστασία της τηρήσεως των διατάξεων της Ένωσης είναι αναπόσπαστα συνδεδεμένη με την ύπαρξη κράτους δικαίου (βλ., υπ’ αυτή την έννοια, αποφάσεις Les Verts κατά Κοινοβουλίου,
294/83
,
EU:C:1986:166
, σκέψη
· Johnston,
222/84
,
EU:C:1986:206
, σκέψεις
και
· Heylens κ.λπ.,
222/86
,
EU:C:1987:442
, σκέψη
, καθώς και UGT-Rioja κ.λπ.,
C‑428/06 έως C‑434/06
,
EU:C:2008:488
, σκέψη
).
Όπως διαπιστώθηκε στις σκέψεις 71, 73 και 74 της παρούσας αποφάσεως, η έκδοση αποφάσεως της Επιτροπής βάσει του άρθρου 25, παράγραφος 6, της οδηγίας 95/46 απαιτεί να διαπιστωθεί, επαρκώς αιτιολογημένα, από την Επιτροπή ότι η οικεία τρίτη χώρα εξασφαλίζει αποτελεσματικά, με την εσωτερική της νομοθεσία ή με τις διεθνείς δεσμεύσεις που έχει αναλάβει, επίπεδο προστασίας των θεμελιωδών δικαιωμάτων ουσιαστικά ισοδύναμο με αυτό που εξασφαλίζεται από την έννομη τάξη της Ένωσης, όπως προκύπτει ιδίως από τις προηγούμενες σκέψεις της παρούσας αποφάσεως.
Επισημαίνεται, όμως, ότι η Επιτροπή στην απόφαση 2000/520 δεν ανέφερε ότι οι Ηνωμένες Πολιτείες της Αμερικής «εξασφαλίζουν» πραγματικά ικανοποιητικό επίπεδο προστασίας με την εσωτερική τους νομοθεσία ή με τις διεθνείς δεσμεύσεις που έχουν αναλάβει.
Επομένως, χωρίς να χρειάζεται να εξεταστούν οι αρχές του ασφαλούς λιμένα ως προς το περιεχόμενό τους, επιβάλλεται η διαπίστωση ότι το άρθρο 1 της αποφάσεως αυτής δεν σέβεται τις απαιτήσεις του άρθρου 25, παράγραφος 6, της οδηγίας 95/46 υπό το πρίσμα του Χάρτη και είναι, ως εκ τούτου, άκυρο.
Επί του άρθρου 3 της οδηγίας 2000/520
Από τις αιτιολογικές σκέψεις που εκτέθηκαν στις σκέψεις 53, 57 και 63 της παρούσας αποφάσεως προκύπτει ότι, βάσει του άρθρου 28 της οδηγίας 95/46 υπό το φως ιδίως του άρθρου 8 του Χάρτη, οι εθνικές αρχές έλεγχου πρέπει να μπορούν να εξετάσουν αμερόληπτα κάθε αίτηση σχετικά με την προστασία των δικαιωμάτων και των ελευθεριών προσώπου έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα που το αφορούν. Το ίδιο ισχύει ιδίως όταν στην εν λόγω αίτηση το πρόσωπο αυτό προβάλλει ζητήματα σχετικά με τη συμφωνία αποφάσεως που εξέδωσε η Επιτροπή βάσει του άρθρου 25, παράγραφος 6, της ανωτέρω οδηγίας με την προστασία της ιδιωτικής ζωής και των θεμελιωδών δικαιωμάτων και ελευθεριών των προσώπων.
Το άρθρο 3, παράγραφος 1, πρώτο εδάφιο, της αποφάσεως 2000/520 προβλέπει, όμως, ειδική ρύθμιση σχετικά με τις εξουσίες που διαθέτουν οι εθνικές αρχές ελέγχου σε σχέση με διαπίστωση που έχει πραγματοποιήσει η Επιτροπή ως προς το ικανοποιητικό επίπεδο προστασίας υπό την έννοια του άρθρου 25 της οδηγίας 95/46.
Έτσι, κατά τη διάταξη αυτή, οι εθνικές αρχές μπορούν «[μ]ε την επιφύλαξη των εξουσιών τους να αναλαμβάνουν δράση προκειμένου να εξασφαλίζουν την τήρηση των εθνικών διατάξεων που εκδίδονται σύμφωνα με διατάξεις διαφορετικές από το άρθρο 25 της οδηγίας [95/46], […] να αναστέλλουν τη ροή δεδομένων προς οργανισμό που έχει δηλώσει ότι προσχωρεί στις αρχές [της αποφάσεως 2000/520]», υπό περιοριστικές προϋποθέσεις εξασφαλίζουσες υψηλό επίπεδο παρεμβάσεως. Καίτοι η διάταξη αυτή δεν θίγει την εξουσία των εν λόγω αρχών να λαμβάνουν μέτρα για την εξασφάλιση της τηρήσεως των εθνικών διατάξεων που εκδίδονται κατ’ εφαρμογήν της ανωτέρω οδηγίας, εντούτοις αποκλείει τη δυνατότητα των αρχών αυτών να λαμβάνουν μέτρα για την εξασφάλιση της τηρήσεως του άρθρου 25 της ίδιας οδηγίας.
Το άρθρο 3, παράγραφος 1, πρώτο εδάφιο, της αποφάσεως 2000/520 έχει, επομένως, την έννοια ότι στερεί από τις εθνικές αρχές ελέγχου τις εξουσίες που αντλούν από το άρθρο 28 της οδηγίας 95/46, σε περίπτωση που κάποιο πρόσωπο προβάλλει, στο πλαίσιο υποβολής αιτήσεως δυνάμει της εν λόγω διατάξεως, στοιχεία δυνάμενα να κλονίσουν τη συμβατότητα με την προστασία της ιδιωτικής ζωής και των θεμελιωδών δικαιωμάτων και ελευθεριών των προσώπων αποφάσεως με την οποία η Επιτροπή έχει διαπιστώσει, βάσει του άρθρου 25, παράγραφος 6, της οδηγίας αυτής, ότι τρίτη χώρα εξασφαλίζει ικανοποιητικό επίπεδο προστασίας.
Η εκτελεστική αρμοδιότητα που απονέμει ο νομοθέτης της Ένωσης στην Επιτροπή στο άρθρο 25, παράγραφος 6, της οδηγίας 95/46 δεν της απονέμει, όμως, την εξουσία να περιορίσει τις αρμοδιότητες των εθνικών αρχών ελέγχου που αναφέρονται στην προηγούμενη σκέψη της παρούσας αποφάσεως.
Υπό τις συνθήκες αυτές, πρέπει να κριθεί ότι η Επιτροπή, θεσπίζοντας το άρθρο 3 της αποφάσεως 2000/520, υπερέβη τις αρμοδιότητές που της απένειμε το άρθρο 25, παράγραφος 6, της οδηγίας 95/46 υπό το πρίσμα του Χάρτη και ως εκ τούτου το άρθρο αυτό είναι ανίσχυρο.
Δεδομένου ότι τα άρθρα 1 και 3 της αποφάσεως 2000/520 συνδέονται άρρηκτα με τα άρθρα 2 και 4 καθώς και τα παραρτήματα αυτής, το ανίσχυρο των άρθρων 1 και 3 έχει ως αποτέλεσμα να επηρεάζει το κύρος της αποφάσεως αυτής στο σύνολό της.
Λαμβανομένων υπόψη του συνόλου των ανωτέρω σκέψεων, πρέπει να κριθεί ότι η απόφαση 2000/520 είναι ανίσχυρη.
Επί των δικαστικών εξόδων
Δεδομένου ότι η παρούσα διαδικασία έχει ως προς τους διαδίκους της κύριας δίκης τον χαρακτήρα παρεμπίπτοντος που ανέκυψε ενώπιον του εθνικού δικαστηρίου, σ’ αυτό εναπόκειται να αποφανθεί επί των δικαστικών εξόδων. Τα έξοδα στα οποία υποβλήθηκαν όσοι υπέβαλαν παρατηρήσεις στο Δικαστήριο, πλην των ως άνω διαδίκων, δεν αποδίδονται.

Για τους λόγους αυτούς, το Δικαστήριο (τμήμα μείζονος συνθέσεως) αποφαίνεται:

1)
Το άρθρο 25, παράγραφος 6, της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων, όπως τροποποιήθηκε με τον κανονισμό (ΕΚ) 1882/2003 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 29ης Σεπτεμβρίου 2003, υπό το πρίσμα των άρθρων 7, 8 και 47 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, έχει την έννοια ότι απόφαση που εκδίδεται βάσει της διατάξεως αυτής, όπως η απόφαση 2000/520/ΕΚ της Επιτροπής, της 26ης Ιουλίου 2000, βάσει της οδηγίας 95/46, σχετικά με την επάρκεια της προστασίας που παρέχεται από τις αρχές ασφαλούς λιμένα για την προστασία της ιδιωτικής ζωής και τις συναφείς συχνές ερωτήσεις που εκδίδονται από το Υπουργείο Εμπορίου των ΗΠΑ, με την οποία η Ευρωπαϊκή Επιτροπή αποφαίνεται ότι τρίτη χώρα εξασφαλίζει ικανοποιητικό επίπεδο προστασίας, δεν εμποδίζει την αρχή ελέγχου κράτους μέλους, υπό την έννοια του άρθρου 28 της οδηγίας αυτής, όπως έχει τροποποιηθεί, να εξετάσει αίτηση προσώπου σχετικά με την προστασία των δικαιωμάτων και των ελευθεριών του έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που το αφορούν, τα οποία έχουν διαβιβαστεί από κράτος μέλος προς την εν λόγω τρίτη χώρα, όταν το πρόσωπο αυτό υποστηρίζει ότι η νομοθεσία και η πρακτική στην χώρα αυτή δεν εξασφαλίζουν ικανοποιητικό επίπεδο προστασίας.

2)
Η απόφαση 2000/520 είναι ανίσχυρη.

(υπογραφές)
(
*
)   Γλώσσα διαδικασίας: η αγγλική.