62023TJ0553
PRESUDA OPĆEG SUDA (deseto prošireno vijeće)
3. rujna 2025. (
*1
)
„Prijenos osobnih podataka u Sjedinjene Američke Države – Provedbena odluka Komisije kojom se utvrđuje primjerenost razine zaštite osobnih podataka koju osiguravaju Sjedinjene Američke Države – Pravo na djelotvoran pravni lijek – Pravo na privatan i obiteljski život – Odluke koje se temelje isključivo na automatiziranoj obradi osobnih podataka – Sigurnost obrade osobnih podataka”
U predmetu T‑553/23,
Philippe Latombe, sa stalnom adresom u Nantesu (Francuska), kojeg zastupaju N. Coutrelis, J.-B. Soufron i T. Lamballe, odvjetnici,
tužitelj,
protiv
Europske komisije, koju zastupaju D. Calleja Crespo, A. Bouchagiar, H. Kranenborg i C. Ladenburger, u svojstvu agenata,
tuženika,
koju podupiru
Irska, koju zastupaju M. Browne, S. Finnegan i A. Joyce, u svojstvu agenata, uz asistenciju S. Brittaina, barrister, i C. Donnelly, SC,
i
Sjedinjene Američke Države, koje zastupaju B. Walsh, S. Barton i A. Finlay, solicitors, E. Barrington, SC, i D. Hardiman, barrister,
intervenijenti,
OPĆI SUD (deseto prošireno vijeće),
u sastavu: O. Porchia, predsjednica, M. Jaeger (izvjestitelj), L. Madise, P. Nihoul i S. Verschuur, suci,
tajnik: I. Kurme, administratorica,
uzimajući u obzir rješenje od 12. listopada 2023., Latombe/Komisija (T‑553/23 R, neobjavljeno, EU:T:2023:621),
uzimajući u obzir pisani dio postupka,
nakon rasprave održane 1. travnja 2025.,
donosi sljedeću
Presudu
1
Tužbom na temelju članka 263. UFEU‑a, tužitelj, Philippe Latombe, u biti traži poništenje Provedbene odluke Komisije (EU) 2023/1795 od 10. srpnja 2023. u skladu s Uredbom (EU) 2016/679 Europskog parlamenta i Vijeća o primjerenoj razini zaštite osobnih podataka u skladu s okvirom EU‑a i SAD‑a za privatnost podataka (SL 2023., L 231, str. 118., u daljnjem tekstu: pobijana odluka).
I. Okolnosti spora
2
Tužitelj je francuski državljanin koji tvrdi da se koristi različitim informatičkim platformama koje prikupljaju osobne podatke i prenose ih u Sjedinjene Američke Države.
3
Kad je riječ o prijenosu osobnih podataka iz Europske unije u Sjedinjene Američke Države, kao prvo, Sud je u presudi od 6. listopada 2015., Schrems (C‑362/14, u daljnjem tekstu: presuda Schrems I, EU:C:2015:650), proglasio nevaljanom Odluku Komisije 2000/520/EZ od 26. srpnja 2000. sukladno s Direktivom 95/46/EZ Europskog parlamenta i Vijeća o primjerenosti zaštite koju pružaju načela privatnosti „sigurne luke” i uz njih vezana često postavljana pitanja koje je izdalo Ministarstvo trgovine SAD‑a (SL 2000., L 215, str. 7.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 16., svezak 3., str. 9.).
4
Kao drugo, Sud je u presudi od 16. srpnja 2020., Facebook Ireland i Schrems (C‑311/18, u daljnjem tekstu: presuda Schrems II, EU:C:2020:559), proglasio nevaljanom Provedbenu odluku Komisije (EU) 2016/1250 od 12. srpnja 2016. o primjerenosti zaštite u okviru europsko‑američkog sustava zaštite privatnosti u skladu s Direktivom 95/46/EZ (SL 2016., L 207, str. 1., u daljnjem tekstu: odluka o primjerenosti sustava zaštite privatnosti).
5
U presudama Schrems I i Schrems II Sud, koji je odlučivao o zahtjevu za prethodnu odluku koji se odnosio na ocjenu valjanosti, osobito je smatrao da se, suprotno ocjeni Europske komisije u odlukama o primjerenosti navedenima u točkama 3. i 4. ove presude, sustavom sigurne luke i sustavom zaštite privatnosti podataka (u daljnjem tekstu: sustav zaštite privatnosti), kojima se uređuje prijenos osobnih podataka, ne jamči razina zaštite temeljnih sloboda i prava koja je bitno ekvivalentna onoj koja se jamči pravom Unije.
6
Nakon što je donesena presuda u predmetu Schrems II, Komisija je započela pregovore s vladom Sjedinjenih Američkih Država kako bi se donijela nova odluka o primjerenosti koja bi ispunjavala zahtjeve iz članka 45. stavka 2. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. te ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35., u daljnjem tekstu: OUZP), kako ih tumači Sud.
7
Tako su Sjedinjene Američke Države 7. listopada 2022. donijele Executive Order 14086 (Izvršni nalog br. 14086) kojim se jačaju mjere za zaštitu privatnosti kojima se uređuju aktivnosti elektroničkog izviđanja koje provode obavještajne agencije sa sjedištem u Sjedinjenim Američkim Državama. Taj je nalog dopunio Attorney General (glavni državni odvjetnik, Sjedinjene Američke Države) donošenjem Ordera No. 5517–2022 (Uredba glavnog državnog odvjetnika br. 5517–2022, u daljnjem tekstu: Uredba glavnog državnog odvjetnika), kojim je u glavu 28. Codea of Federal Regulations (Zakonik saveznih propisa, CFR) dodan dio 201., kojim se uređuje osnivanje i funkcioniranje Data Protection Review Courta (Žalbeni sud za zaštitu podataka, u daljnjem tekstu: DPRC).
8
Komisija je 10. srpnja 2023., nakon ispitivanja tih regulatornih promjena u Sjedinjenim Američkim Državama, na temelju članka 45. stavka 3. OUZP‑a donijela pobijanu odluku kojom se uspostavlja novi okvir za transatlantski protok osobnih podataka između Unije i Sjedinjenih Američkih Država. U članku 1. navedene odluke navodi se da Sjedinjene Američke Države osiguravaju primjerenu razinu zaštite osobnih podataka koji se prenose iz Unije organizacijama sa sjedištem u toj zemlji koje se nalaze na popisu organizacija uključenih u „okvir EU‑a i SAD‑a za privatnost podataka”, koji vodi i objavljuje američko Ministarstvo trgovine (u daljnjem tekstu: organizacije uključene u okvir EU‑a i SAD‑a za privatnost podataka).
II. Zahtjevi stranaka
9
Tužitelj od Općeg suda zahtijeva da:
–
poništi pobijanu odluku u biti u cijelosti;
–
naloži Komisiji snošenje troškova.
10
Komisija, koju podupiru Irska i Sjedinjene Američke Države, od Općeg suda zahtijeva da:
–
odbaci tužbi kao nedopuštenu;
–
podredno, odbije tužbu kao neosnovanu;
–
naloži tužitelju snošenje troškova.
III. Pravo
A. Prigovor nedopuštenosti
11
Zasebnim aktom podnesenim tajništvu Općeg suda 1. prosinca 2023. Komisija je istaknula prigovor nedopuštenosti na temelju članka 130. Poslovnika Općeg suda.
12
Komisija tvrdi da je tužba nedopuštena jer tužitelj nema aktivnu procesnu legitimaciju i nema pravni interes te jer je dio pobijane odluke čije poništenje traži neodvojiv od ostatka te odluke.
13
Tužitelj osporava Komisijine argumente i tvrdi da je tužba dopuštena.
14
Valja podsjetiti na to da je sud Unije ovlašten procijeniti, u skladu s okolnostima svakog slučaja, opravdava li dobro sudovanje to da se tužba odbije kao neosnovana bez prethodnog odlučivanja o njezinoj dopuštenosti (vidjeti u tom smislu presudu od 26. veljače 2002., Vijeće/Boehringer, C‑23/00 P, EU:C:2002:118, t. 51. i 52.).
15
Stoga, uzimajući u obzir okolnosti ovog predmeta, Opći sud smatra da, s obzirom na to da je tužba u svakom slučaju i zbog razloga navedenih u točkama 16. do 204. u nastavku neosnovana, radi dobrog sudovanja valja ispitati njezinu osnovanost bez prethodnog odlučivanja o njezinoj dopuštenosti (vidjeti u tom smislu presude od 10. listopada 2014., Marchiani/Parlament, T‑479/13, neobjavljenu, EU:T:2014:866, t. 23. i od 20. prosinca 2023., Naturstrom/Komisija, T‑60/21, neobjavljenu, EU:T:2023:839, t. 74.).
B. Meritum
16
U potporu tužbi tužitelj ističe pet tužbenih razloga, koji se temelje:
–
prvi, na povredi članaka 3. i 4. Uredbe Vijeća br. 1/1958 od 15. travnja 1958. o određivanju jezika koji se koriste u Europskoj ekonomskoj zajednici (SL 1958., 17, str. 385.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 1., svezak 3., str. 3.);
–
drugi, na povredi članaka 7. i 8. Povelje Europske unije o temeljnim pravima;
–
treći, na povredi članka 47. drugog stavka navedene Povelje i članka 45. stavka 2. OUZP‑a;
–
četvrti, na povredi članka 22. OUZP‑a;
–
peti, na povredi članka 32. OUZP‑a, u vezi s člankom 45. stavkom 2. te uredbe.
17
Tužitelj je na raspravi odustao od prvog tužbenog razloga koji se odnosi na povredu članaka 3. i 4. Uredbe br. 1/1958. Stoga valja ispitati samo drugi, treći, četvrti i peti tužbeni razlog.
1.
Uvodne napomene
18
Na prvom mjestu, valja navesti da se člankom 45. stavkom 1.OUZP‑a predviđa da se prijenos osobnih podataka trećoj zemlji može odobriti Komisijinom odlukom prema kojoj ta treća zemlja, područje, ili jedan ili više određenih sektora unutar te treće zemlje osiguravaju primjerenu razinu zaštite. Ta je odredba uključena u poglavlje V. navedene uredbe koje se, kao što je to naveo Sud, općenito odnosi na osiguravanje kontinuirano visoke razine zaštite osobnih podataka, zajamčene pravom Unije na temelju te uredbe, kad se ti podaci prenose u treću zemlju (vidjeti u tom smislu presudu Schrems II, t. 93.).
19
U tom je pogledu Sud pojasnio da izraz „primjerena razina zaštite” iz članka 45. stavka 1. OUZP‑a treba tumačiti na način da od treće zemlje o kojoj je riječ zahtijeva da na temelju svojeg domaćeg zakonodavstva ili međunarodnih obveza djelotvorno osigura razinu zaštite temeljnih sloboda i prava koja je bitno ekvivalentna onoj koja se jamči u okviru Unije na temelju navedene uredbe, tumačene u vezi s Poveljom o temeljnim pravima, a da se pritom od te treće zemlje ne zahtijeva razina zaštite koja je istovjetna onoj koja se jamči u pravnom poretku Unije (vidjeti u tom smislu presudu Schrems II, t. 94. i 162.).
20
Sud je također odlučio da, čak i ako se pravna sredstva kojima se koristi treća zemlja za osiguranje primjerene razine zaštite osobnih podataka mogu razlikovati od onih koja se provode u Uniji kao jamstvo poštovanja zahtjeva koji proizlaze iz Direktive 95/46, tumačene u vezi s Poveljom o temeljnim pravima, ta se sredstva ipak moraju u praksi pokazati djelotvornima za osiguranje bitno ekvivalentne zaštite poput one koja se jamči u okviru Unije (presuda Schrems I, t. 74.).
21
Usto, Sud je smatrao da, s obzirom na, s jedne strane, važnu ulogu koju ima zaštita osobnih podataka u odnosu na temeljno pravo na poštovanje privatnog života i, s druge strane, značajan broj osoba čija se temeljna prava mogu povrijediti u slučaju prijenosa osobnih podataka u treću zemlju koja ne osigurava primjerenu razinu zaštite, ovlast Komisijine procjene primjerene razine zaštite koju osigurava treća zemlja smanjena je pa je potrebno da sud Unije provede strog nadzor zakonitosti odluke o primjerenosti (presuda Schrems I, t. 78.).
22
Na drugom mjestu, valja podsjetiti na to da se, prema ustaljenoj sudskoj praksi, zakonitost akta Unije mora ocijeniti u skladu s činjeničnim i pravnim elementima koji su postojali na dan kada je taj akt donesen, tako da akti koji su doneseni nakon donošenja odluke ne mogu utjecati na njezinu valjanost (vidjeti presude od 17. listopada 2019., Alcogroup i Alcodis/Komisija, C‑403/18 P, EU:C:2019:870, t. 45. i navedenu sudsku praksu i od 28. siječnja 2021., Qualcomm i Qualcomm Europe/Komisija, C‑466/19 P, EU:C:2021:76, t. 82. i navedenu sudsku praksu). Stoga u ovom slučaju ocjene koje je Komisija provela u pogledu zakonitosti pobijane odluke treba ispitati samo s obzirom na elemente kojima je raspolagala u trenutku kad je provela te ocjene.
23
Upravo u tom kontekstu valja analizirati tužbene razloge koje je istaknuo tužitelj i pritom najprije ispitati treći tužbeni razlog, zatim drugi tužbeni razlog, potom četvrti tužbeni razlog i naposljetku peti tužbeni razlog.
2.
Treći tužbeni razlog, koji se temelji na povredi članka 47. drugog stavka Povelje o temeljnim pravima i članka 45. stavka 2. OUZP‑a
24
Tužitelj u trećem tužbenom razlogu tvrdi da je Komisija povrijedila članak 47. drugi stavak Povelje o temeljnim pravima i članak 45. stavak 2. OUZP‑a jer je u pobijanoj odluci smatrala da DPRC pruža primjerenu razinu zaštite kad je riječ o pravu građana Unije na pristup zakonom prethodno ustanovljenom neovisnom i nepristranom sudu.
25
Najprije valja istaknuti da tekst članka 47. drugog stavka Povelje o temeljnim pravima glasi kako slijedi:
„Svatko ima pravo da zakonom prethodno ustanovljeni neovisni i nepristrani sud pravično, javno i u razumnom roku ispita njegov slučaj. Svatko ima mogućnost biti savjetovan, branjen i zastupan.”
26
U skladu s Objašnjenjima koja se odnose na Povelju o temeljnim pravima (SL 2007., C 303, str. 17.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 1., svezak 7., str. 120.), članak 47. drugi stavak navedene Povelje odgovara članku 6. stavku 1. Europske konvencije za zaštitu ljudskih prava i temeljnih sloboda, potpisane u Rimu 4. studenoga 1950. (u daljnjem tekstu: EKLJP). Tekst potonje odredbe glasi kako slijedi:
„Radi utvrđivanja svojih prava i obveza građanske naravi ili u slučaju podizanja optužnice za kazneno djelo protiv njega svatko ima pravo da zakonom ustanovljeni neovisni i nepristrani sud pravično, javno i u razumnom roku ispita njegov slučaj.”
27
U tom pogledu, valja podsjetiti na to da, prema sudskoj praksi, s obzirom na to da EKLJP nije pravni instrument koji formalno predstavlja dio pravnog poretka Unije, a zato što mu Unija nije pristupila, valjanost akta sekundarnog prava treba ispitati samo s obzirom na temeljna prava zajamčena Poveljom o temeljnim pravima (presuda od 3. rujna 2015., Inuit Tapiriit Kanatami i dr./Komisija, C‑398/13 P, EU:C:2015:535, t. 45. i 46.).
28
Međutim, u sudskoj se praksi priznaje da, s jedne strane, na temelju članka 6. stavka 3. UEU‑a temeljna prava priznata EKLJP‑om čine opća načela prava Unije te da, s druge strane, iz članka 52. stavka 3. Povelje o temeljnim pravima proizlazi da prava koja su sadržana u njoj i odgovaraju pravima zajamčenima EKLJP‑om imaju jednako značenje i opseg kao što su oni koje im daje EKLJP (vidjeti presudu od 31. svibnja 2018., Korwin‑Mikke/Parlament, T‑770/16, EU:T:2018:320, t. 38. i navedenu sudsku praksu).
29
Slijedom toga, prema sudskoj praksi, radi dosljednosti i na način da to ne ugrožava autonomiju prava Unije i Suda Europske unije, prava sadržana u Povelji o temeljnim pravima koja odgovaraju pravima zajamčenima EKLJP‑om također treba tumačiti s obzirom na sudsku praksu Europskoga suda za ljudska prava (u daljnjem tekstu: ESLJP) (vidjeti u tom smislu presude od 9. studenoga 2023., Staatssecretaris van Justitie en Veiligheid (Pojam ozbiljne nepravde), C‑125/22, EU:C:2023:843, t. 59. i od 31. svibnja 2018., Korwin‑Mikke/Parlament, T‑770/16, EU:T:2018:320, t. 38.).
30
Iz toga slijedi, prema sudskoj praksi, da Sud mora osigurati, na temelju članka 52. stavka 3. Povelje o temeljnim pravima, da njegovo tumačenje članka 47. drugog stavka navedene Povelje osigurava razinu zaštite koja ne povređuje onu zajamčenu člankom 6. stavkom 1. EKLJP‑a, kako ga tumači ESLJP (vidjeti presudu od 6. listopada 2021., W. Ż. (Vijeće za izvanrednu kontrolu i javne poslove pri Vrhovnom sudu – Imenovanje), C‑487/19, EU:C:2021:798, t. 123. i navedenu sudsku praksu).
31
Valja navesti i da se člankom 45. stavkom 2. OUZP‑a predviđa da, prilikom procjene primjerenosti razine zaštite koju osigurava treća zemlja, Komisija osobito uzima u obzir sljedeće elemente:
„(a)
[…] postojanje djelotvornih i provedivih prava ispitanika te učinkovite upravne i sudske zaštite ispitanika čiji se osobni podaci prenose;
(b)
postojanje i djelotvorno funkcioniranje jednog neovisnog nadzornog tijela ili više njih u trećoj zemlji, ili tijela kojem podliježe međunarodna organizacija, s odgovornošću osiguravanja i provođenja poštovanja pravila o zaštiti podataka, što uključuje primjerene provedbene ovlasti za pomoć ispitanicima i savjetovanje ispitanika u ostvarivanju njihovih prava te za suradnju s nadzornim tijelima država članica.”
32
Upravo s obzirom na te elemente valja ispitati dva prigovora koja je tužitelj istaknuo u potporu ovom tužbenom razlogu.
a)
Prvi prigovor iz trećeg tužbenog razloga, prema kojem DPRC nije neovisan i nepristran sud
33
Tužitelj u prvom prigovoru iz trećeg tužbenog razloga tvrdi da DPRC nije neovisan i nepristran sud u smislu članka 47. drugog stavka Povelje o temeljnim pravima, nego izvansudsko tijelo koje ovisi o izvršnoj vlasti.
34
Komisija, koju podupiru Irska i Sjedinjene Američke Države, osporava tužiteljevu argumentaciju.
35
Najprije valja istaknuti da, prema sudskoj praksi, zahtjev neovisnosti sudova, koji je svojstven zadaći suđenja, proizlazi iz bitnog sadržaja prava na djelotvornu sudsku zaštitu i temeljnog prava na pošteno suđenje, koje je od ključne važnosti kao jamstvo zaštite svih prava koja osobe izvode iz prava Unije i očuvanja zajedničkih vrijednosti država članica navedenih u članku 2. UEU‑a, osobito vrijednosti vladavine prava (presuda od 15. srpnja 2021., Komisija/Poljska (Sustav stegovnih mjera za suce), C‑791/19, EU:C:2021:596, t. 58. i navedena sudska praksa). U skladu s načelom diobe vlasti, koje obilježava funkcioniranje vladavine prava, neovisnost sudova mora osobito biti zajamčena u odnosu na zakonodavnu i izvršnu vlast (vidjeti presudu od 18. svibnja 2021., AsociaţiaForumul Judecătorilor din România i dr., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 i C‑397/19, EU:C:2021:393, t. 195. i navedenu sudsku praksu).
36
U sudskoj se praksi pojašnjava da se zahtjev neovisnosti sudova može promatrati iz dvaju kutova. Prvi, vanjski kut gledanja, znači da predmetno tijelo svoje funkcije izvršava posve samostalno a da se pritom ni u kojem pogledu ne nalazi u hijerarhijskom ili podređenom odnosu i da ne prima naloge ili upute ikoje vrste te da je tako zaštićeno od vanjskih utjecaja ili pritisaka koji mogu ugroziti neovisnu prosudbu njegovih članova i utjecati na njihove odluke. Drugi, unutarnji kut gledanja, dovodi se u vezu s pojmom „neovisnost” i ima za cilj osiguranje jednakog odmaka od stranaka spora i njihovih pripadajućih interesa u odnosu na predmet spora. Taj kut gledanja zahtijeva poštovanje objektivnosti i nepostojanje svakog interesa u rješavanju spora osim stroge primjene pravnog pravila (vidjeti presudu od 21. prosinca 2021., Euro Box Promotion i dr., C‑357/19, C‑379/19, C‑547/19, C‑811/19 i C‑840/19, EU:C:2021:1034, t. 224. i navedenu sudsku praksu).
37
Jamstva neovisnosti i nepristranosti koja se zahtijevaju na temelju prava Unije pretpostavljaju postojanje pravila, osobito u pogledu sastava tijela, imenovanja, trajanja funkcije kao i razloga za nesudjelovanje u odlučivanju, izuzeće i opoziv njegovih članova, koja omogućuju da se kod osoba otkloni svaka legitimna sumnja u pogledu nemogućnosti utjecaja vanjskih čimbenika na to tijelo i njegove neutralnosti u odnosu na međusobno suprotstavljene interese (vidjeti presudu od 15. srpnja 2021., Komisija/Poljska (Sustav stegovnih mjera za suce), C‑791/19, EU:C:2021:596, t. 59. i navedenu sudsku praksu).
38
Upravo u tom kontekstu valja ispitati tri argumenta koja je tužitelj istaknuo u potporu ovom prigovoru.
1) Prvi argument, prema kojem DPRC nije neovisan i nepristran sud jer je njegova zadaća preispitivanje odluka službenika za zaštitu građanskih sloboda ureda direktora Nacionalne obavještajne službe
39
Tužitelj prvim argumentom u biti tvrdi da DPRC nije neovisan i nepristran sud jer je njegova zadaća preispitivanje odluka Civil Liberties Protection Officera of the Director of National Intelligence (Službenik za zaštitu građanskih sloboda ureda direktora Nacionalne obavještajne službe, Sjedinjene Američke Države, u daljnjem tekstu: službenik za zaštitu građanskih sloboda), koji je dio Officea of the Director of National Intelligence (Ured direktora Nacionalne obavještajne službe, Sjedinjene Američke Države, u daljnjem tekstu: direktor za nacionalna obavještajna pitanja).
40
Komisija, koju podupiru Irska i Sjedinjene Američke Države, osporava tužiteljev argument.
41
Radi jasnoće valja pojasniti da prvi argument prvog prigovora iz trećeg tužbenog razloga treba tumačiti na način da u biti, prema tužiteljevu mišljenju, s jedne strane, prilikom rješavanja pritužbe koja se odnosi na osobne podatke i koju je podnio ispitanik u Uniji koji želi istaknuti povredu prava Sjedinjenih Američkih Država kojim se uređuju aktivnosti elektroničkog izviđanja kojom se ugrožavaju njegovi interesi u području zaštite privatnosti i građanskih sloboda (u daljnjem tekstu: pritužba koja se odnosi na osobne podatke), službenik za zaštitu građanskih sloboda nema dostatna jamstva kojima se nastoji osigurati njegova neovisnost zbog toga što je dio Ureda direktora Nacionalne obavještajne službe i da, s druge strane, DPRC nije neovisan i nepristran sud zbog nedostatnosti jamstava koja se primjenjuju na službenika za zaštitu građanskih sloboda.
42
Najprije valja istaknuti da ispitivanje jamstava koja se odnose na neovisnost službenika za zaštitu građanskih sloboda nije relevantno za ocjenu je li DPRC neovisan i nepristran sud. Naime, DPRC je osnovan kao neovisno nadzorno tijelo službenika za zaštitu građanskih sloboda kojem, kao što to proizlazi iz uvodne izjave 184. pobijane odluke, podnositelj pritužbe koja se odnosi na osobne podatke, kao i svi subjekti obavještajne zajednice mogu podnijeti zahtjev za preispitivanje odluke službenika za zaštitu građanskih sloboda te je u Izvršnom nalogu br. 14086 predviđeno više jamstava kako bi se te odluke mogle preispitati i kako bi ih DPRC mogao, po potrebi, neovisno i nepristrano izmijeniti.
43
Kao prvo, iz uvodnih izjava 185. i 186. pobijane odluke proizlazi, a da to tužitelj ne osporava, da se DPRC sastoji od najmanje šest sudaca koje na četverogodišnji mandat s mogućnošću produljenja imenuje glavni državni odvjetnik, nakon dogovora s Privacy and Civil Liberties Oversight Boardom (Odbor za nadzor privatnosti i građanskih sloboda, Sjedinjene Američke Države, u daljnjem tekstu: PCLOB), Secretaryjem of Commerce (ministar trgovine, Sjedinjene Američke Države) i direktorom za nacionalna obavještajna pitanja, pri čemu se uzimaju u obzir isti kriteriji kao što su oni koji se primjenjuju na savezne suce, kao i prethodno sudačko iskustvo. Suci stoga moraju ujedno biti pravni stručnjaci, odnosno aktivni članovi koji ispunjavaju sve obveze u komori i propisno su licencirani za obavljanje odvjetničke službe, te moraju imati odgovarajuće iskustvo u području prava na zaštitu privatnosti i nacionalne sigurnosti. Usto, glavni državni odvjetnik nastoji osigurati da u svakom trenutku najmanje polovina sudaca ima prethodno sudačko iskustvo, a svi suci moraju proći sigurnosnu provjeru kako bi mogli pristupiti klasificiranim informacijama u području nacionalne sigurnosti. Samo pojedinci koji ispunjavaju prethodno navedene uvjete i nisu zaposleni u izvršnoj vlasti u trenutku imenovanja ili u prethodne dvije godine mogu se imenovati u DPRC. Isto tako, suci DPRC‑a tijekom svojeg mandata ne smiju preuzimati nikakve službene dužnosti ili se zaposliti u američkoj vladi.
44
Kao drugo, iz uvodnih izjava 188. i 189. pobijane odluke proizlazi, a da to tužitelj ne osporava, da odluke službenika za zaštitu građanskih sloboda u cijelosti preispituje sudsko vijeće sastavljeno od tri suca DPRC‑a kojima u radu pomaže posebni odvjetnik. Međutim, DPRC se tijekom navedenog preispitivanja ne oslanja samo na evidenciju službenika za zaštitu građanskih sloboda, nego i na informacije i podneske podnositelja pritužbe, specijalnog odvjetnika koji pomaže sucima tog odbora u radu i obavještajne agencije kao i, po potrebi, na dodatne informacije koje je zatražio tijekom ispitivanja pritužbe koja se odnosi na osobne podatke. Usto, tijekom tog preispitivanja treba primijeniti relevantnu sudsku praksu Supreme Courta of the United States (Vrhovni sud Sjedinjenih Američkih Država).
45
Kao treće, iz uvodnih izjava 190. i 191. pobijane odluke proizlazi, a da to tužitelj ne osporava, da DPRC ima ovlast izmjene, da nije obvezan odlukom službenika za zaštitu građanskih sloboda i da u slučaju neslaganja s tim službenikom može donijeti vlastitu odluku o pritužbi koja se odnosi na osobne podatke. Nadalje, neovisno o tome kakvu odluku donese DPRC, ta je odluka obvezujuća i pravomoćna. Stoga su obavještajne agencije i vlada Sjedinjenih Američkih Država dužne postupiti u skladu s tom odlukom.
46
Iz prethodno navedenog proizlazi da jamstva predviđena Izvršnim nalogom br. 14086 u pogledu funkcioniranja i ovlasti DPRC‑a omogućuju neovisno i nepristrano preispitivanje odluka koje donosi službenik za zaštitu građanskih sloboda. Tužitelj stoga neosnovano tvrdi da nedostatnost jamstava koja se primjenjuju na službenika za zaštitu građanskih sloboda utječe na neovisnost i nepristranost DPRC‑a.
47
U svakom slučaju, kad je riječ o navodnoj nedostatnosti jamstava kojima se nastoji osigurati neovisnost službenika za zaštitu građanskih sloboda, valja napomenuti sljedeće.
48
Valja istaknuti, kao što to proizlazi iz uvodnih izjava 176. do 181. pobijane odluke, a da to tužitelj ne osporava, da je Izvršnim nalogom br. 14086, koji je dopunjen Uredbom glavnog državnog odvjetnika, uspostavljen poseban mehanizam pravne zaštite za rješavanje pritužbe koja se odnosi na osobne podatke. Tu pritužbu treba podnijeti nadzornom tijelu zaduženom, u svakoj državi članici, za nadzor obrade osobnih podataka, koje ju zatim prosljeđuje službeniku za zaštitu građanskih sloboda, pod uvjetom da ona sadržava elemente navedene u točki 178. pobijane odluke, odnosno informacije o osobnim podacima za koje se opravdano vjeruje da su preneseni u Sjedinjene Američke Države, vjerojatnom sredstvu njihova prijenosa, nazivima tijela vlade Sjedinjenih Američkih Država za koja se vjeruje da su sudjelovala u navodnoj povredi, ako je poznato, osnovi na temelju koje se tvrdi da je došlo do navodne povrede prava Sjedinjenih Američkih Država i prirodi tražene pravne zaštite. U tom kontekstu službenik za zaštitu građanskih sloboda treba utvrditi jesu li obavještajne agencije povrijedile primjenjivo pravo Sjedinjenih Američkih Država i, ako jesu, može im naložiti da provedu korektivne mjere. Odluka službenika za zaštitu građanskih sloboda koja se odnosi na navedenu pritužbu je obvezujuća.
49
Točno je da Komisija u uvodnoj izjavi 179. pobijane odluke navodi da je službenik za zaštitu građanskih sloboda dio Ureda direktora Nacionalne obavještajne službe i da je on, osim što ima posebnu nadležnost za ispitivanje pritužbe koja se odnosi na osobne podatke, općenitije odgovoran za ispravno uvrštavanje pitanja zaštite građanskih sloboda i privatnosti u politike i postupke navedenog ureda i obavještajnih agencija te za nadzor njihove usklađenosti s primjenjivim zahtjevima zaštite privatnosti i građanskih sloboda. Međutim, s jedne strane, valja napomenuti da se, kao što se to navodi u toj uvodnoj izjavi, kako bi se osigurala neovisnost službenika za zaštitu građanskih sloboda, Izvršnim nalogom br. 14086 predviđa da tog službenika može razriješiti samo navedeni direktor i zbog opravdanih razloga, odnosno u slučaju povrede dužnosti, zlouporabe položaja, povrede sigurnosti, zanemarivanja dužnosti ili nesposobnosti za rad. S druge strane, kao što to proizlazi iz uvodne izjave 180. pobijane odluke, obavještajnim agencijama i direktoru za nacionalna obavještajna pitanja zabranjeno je sprečavati rad službenika za zaštitu građanskih sloboda i neprimjereno utjecati na rad tog službenika koji tijekom ispitivanja pritužbe koja se odnosi na osobne podatke treba pravo primjenjivati nepristrano, pri čemu istodobno treba uzeti u obzir interese nacionalne sigurnosti i zaštitu privatnosti.
50
U tim okolnostima ovaj argument treba odbiti.
2) Drugi argument, prema kojem DPRC nije neovisan i nepristran sud jer se sastoji od sudaca koje imenuje glavni državni odvjetnik nakon dogovora s PCLOB‑om
51
Tužitelj drugim argumentom u biti tvrdi da DPRC nije neovisan i nepristran sud jer se sastoji od sudaca koje imenuje glavni državni odvjetnik nakon dogovora s PCLOB‑om, koji je tijelo ovisno o izvršnoj vlasti.
52
Komisija, koju podupiru Irska i Sjedinjene Američke Države, osporava tužiteljev argument.
53
Na prvom mjestu, iz uvodne izjave 110. pobijane odluke proizlazi da je PCLOB neovisna agencija koja je osnovana u okviru izvršne vlasti. Neovisnost te agencije osobito proizlazi iz njezina sastava. Naime, sastoji se od dvostranačkog peteročlanog odbora koji imenuje predsjednik Sjedinjenih Američkih Država na fiksni šestogodišnji mandat uz odobrenje Senata. Navedeni članovi moraju se birati na temelju njihovih stručnih kvalifikacija, postignuća, javnog statusa, stručnosti u području zaštite privatnosti i građanskih sloboda te iskustva, ne uzimajući u obzir političku pripadnost. Više od tri člana ne smiju pripadati istoj političkoj stranci. Pojedinac koji je imenovan članom PCLOB‑a ne smije tijekom svojeg mandata biti izabrani dužnosnik, službenik ni zaposlenik savezne vlade, osim u svojstvu člana PCLOB‑a.
54
Iz toga slijedi da, iako je PCLOB osnovan u okviru izvršne vlasti, u skladu sa zakonom na temelju kojeg je osnovan osmišljen je kao neovisna agencija čija zadaća uključuje nepristran nadzor rada izvršne vlasti radi zaštite, među ostalim, privatnosti i građanskih sloboda. Stoga, kao što se to navodi u uvodnoj izjavi 194. pobijane odluke, a da to tužitelj ne osporava, PCLOB svake godine treba nadzirati jesu li službenik za zaštitu građanskih sloboda i DPRC pravodobno riješili predmete koji su im upućeni, jesu li dobili pristup svim nužnim informacijama, jesu li uzeli u obzir sva jamstva predviđena Izvršnim nalogom br. 14086 i jesu li obavještajne agencije postupile u skladu s njihovim odlukama. Nakon te provjere, PCLOB izdaje javnu potvrdu da su službenik za zaštitu građanskih sloboda i DPRC poštovali ta jamstva. Usto, treba izraditi izvješće za predsjednika Sjedinjenih Američkih Država, glavnog državnog odvjetnika, direktora za nacionalna obavještajna pitanja, ravnatelje obavještajnih agencija, službenika za zaštitu građanskih sloboda i kongresne odbore Sjedinjenih Američkih Država za obavještajna pitanja (Kongres Sjedinjenih Američkih Država). To se izvješće objavljuje u neklasificiranoj inačici. Glavni državni odvjetnik, direktor za nacionalna obavještajna pitanja, službenik za zaštitu građanskih sloboda i ravnatelji obavještajnih agencija moraju provesti sve preporuke iz navedenog izvješća.
55
U tim se okolnostima na temelju same činjenice da je PCLOB osnovan u okviru izvršne vlasti ne može zaključiti da, zbog dogovora prije imenovanja sudaca DPRC‑a, taj odbor nije neovisan i nepristran sud.
56
Na drugom mjestu, valja navesti da se, kako bi se osiguralo da su suci DPRC‑a neovisni o izvršnoj vlasti, Izvršnim nalogom br. 14086 predviđa da glavni državni odvjetnik prilikom njihova imenovanja treba poštovati kriterije i uvjete navedene u točki 43. ove presude. Nadalje, kao što to proizlazi iz uvodne izjave 187. pobijane odluke, suce DPRC‑a može razriješiti samo glavni državni odvjetnik, i to samo zbog opravdanih razloga, odnosno zbog povrede dužnosti, zlouporabe položaja, povrede sigurnosti, zanemarivanja dužnosti ili nesposobnosti za rad, nakon što propisno uzme u obzir standarde primjenjive na savezne suce utvrđene u Pravilima za postupke utvrđivanja povrede dužnosti i nesposobnosti za rad sudaca.
57
Iz toga slijedi da se pravilima koja se odnose na imenovanje i razrješenje sudaca DPRC‑a ne može dovesti u pitanje njegova neovisnost i nepristranost.
58
Na trećem mjestu, valja istaknuti da je Komisija, u skladu s člankom 3. stavkom 1. pobijane odluke, dužna neprekidno pratiti primjenu pravnog okvira koji je predmet navedene odluke, uključujući uvjete pod kojima se odvijaju daljnji prijenosi osobnih podataka, ostvaruju prava pojedinaca i javna tijela Sjedinjenih Američkih Država imaju pristup podacima koji se prenose na temelju te odluke, kako bi ocijenila osiguravaju li Sjedinjene Američke Države i dalje primjerenu razinu zaštite. Stoga, u skladu sa stavkom 5. navedenog članka, ako Komisija ima naznake za to da primjerena razina zaštite više nije osigurana, o tome obavješćuje tijela Sjedinjenih Američkih Država i, ako je potrebno, može odlučiti suspendirati, izmijeniti ili staviti izvan snage pobijanu odluku ili ograničiti njezino područje primjene. Iz toga slijedi da, ako se promijeni pravni okvir koji je bio na snazi u Sjedinjenim Američkim Državama u trenutku donošenja pobijane odluke i zbog kojeg je Komisija u toj odluci smatrala da DPRC osigurava pravnu zaštitu koja je bitno ekvivalentna onoj koja se jamči pravom Unije, Komisija može odlučiti, ako je potrebno, suspendirati, izmijeniti ili staviti izvan snage pobijanu odluku ili ograničiti njezino područje primjene.
59
S obzirom na sva ta razmatranja, ovaj argument valja odbiti.
3) Treći argument, prema kojem DPRC nije neovisan i nepristran sud jer se Uredbom glavnog državnog odvjetnika ne isključuje mogućnost da se suce tog odbora nadzire na druge načine različite od svakodnevnog nadzora izvršne vlasti
60
Tužitelj trećim argumentom u biti tvrdi da DPRC nije neovisan i nepristran sud jer se Uredbom glavnog državnog odvjetnika ne isključuje mogućnost da se suce tog odbora nadzire na druge načine različite od svakodnevnog nadzora izvršne vlasti.
61
Komisija, koju podupiru Irska i Sjedinjene Američke Države, osporava tužiteljev argument.
62
Valja navesti da, iako iz spisa proizlazi da glavni državni odvjetnik u skladu s člankom 201.7. točkom (d) Uredbe glavnog državnog odvjetnika nad sucima DPRC‑a ne treba provoditi svakodnevni nadzor, u uvodnoj izjavi 187. pobijane odluke navodi se i da na temelju Izvršnog naloga br. 14086 obavještajne agencije i glavni državni odvjetnik ne smiju sprečavati rad DPRC‑a niti neprimjereno utjecati na njegov rad. Usto, iz spisa proizlazi da se Izvršnim nalogom br. 14086 i Uredbom glavnog državnog odvjetnika ograničava mogućnost izvršne vlasti da utječe na rad DPRC‑a time što se utvrđuje da suce može razriješiti samo glavni državni odvjetnik, i to samo iz razloga navedenih u točki 56. ove presude.
63
U tom kontekstu valja odbiti ovaj argument i stoga prvi prigovor iz trećeg tužbenog razloga u cijelosti.
b)
Drugi prigovor iz trećeg tužbenog razloga, prema kojem DPRC nije zakonom prethodno ustanovljeni sud
64
Tužitelj u drugom prigovoru iz trećeg tužbenog razloga tvrdi da DPRC nije zakonom prethodno ustanovljeni sud u smislu članka 47. drugog stavka Povelje o temeljnim pravima jer nije osnovan na temelju zakona koji je donio Kongres Sjedinjenih Američkih Država, nego na temelju izvršnog akta, odnosno odluke glavnog državnog odvjetnika.
65
Komisija, koju podupiru Irska i Sjedinjene Američke Države, osporava tužiteljevu argumentaciju.
66
Na prvom mjestu, iz sudske prakse Suda, razvijene s obzirom na sudsku praksu ESLJP‑a koja se odnosi na članak 6. stavak 1. EKLJP‑a (presuda ESLJP‑a od 1. prosinca 2020., Guðmundur Andri Ástráðsson protiv Islanda, CE:ECHR:2020:1201JUD002637418, t. 231. i 233.), proizlazi da, iako je pravo na zakonom prethodno ustanovljeni sud samostalno pravo, potonje je pravo svejedno vrlo usko vezano s jamstvima neovisnosti i nepristranosti iz te odredbe. Konkretnije, iako je svakim od zahtjeva koji su propisani tim pojmovima zadan konkretan cilj koji od njih stvara posebna jamstva na pravičan postupak, namijenjeni su poštovanju istih temeljnih načela koja su vladavina prava i dioba vlasti. U osnovi svakog od tih zahtjeva stoga se nalazi nužnost da se očuva povjerenje koje pojedinac mora imati u sudbenu vlast i neovisnost te vlasti u odnosu na druge vlasti (vidjeti presude od 22. veljače 2022., Openbaar Ministerie (Zakonom ustanovljen sud u državi članici izdavanja naloga), C‑562/21 PPU i C‑563/21 PPU, EU:C:2022:100, t. 56. i navedenu sudsku praksu i od 29. ožujka 2022., Getin Noble Bank, C‑132/20, EU:C:2022:235, t. 117. i navedenu sudsku praksu).
67
Sud je također pojasnio, pri čemu je uputio na sudsku praksu ESLJP‑a (presuda ESLJP‑a od 8. srpnja 2014., Biagioli protiv San Marina, CE:ECHR:2014:0708DEC000816213, t. 72. do 74.; vidjeti i presudu ESLJP‑a od 2. svibnja 2019., Pasquini protiv San Marina, CE:ECHR:2019:0502JUD005095616, t. 100. i 101. i navedenu sudsku praksu), da izraz „zakonom prethodno ustanovljeni” ima za cilj izbjeći da organizacija pravosudnog sustava bude prepuštena diskreciji izvršne vlasti i osigurati da to područje bude uređeno zakonom koji je donijela zakonodavna vlast na način koji je u skladu s pravilima kojima se uređuje izvršavanje njezine nadležnosti. Taj izraz tako odražava načelo vladavine prava i ne odnosi se samo na pravnu osnovu samog postojanja suda, nego i na sastav suda u svakom predmetu kao i na bilo koju drugu odredbu nacionalnog prava čije nepoštovanje dovodi do nezakonitog sudjelovanja jednog ili više sudaca u razmatranju predmeta, što osobito uključuje odredbe o neovisnosti i nepristranosti članova odnosnog suda (vidjeti presudu od 29. ožujka 2022., Getin Noble Bank, C‑132/20, EU:C:2022:235, t. 121. i navedenu sudsku praksu).
68
U tom je kontekstu Sud odlučio da je utvrđenje o postojanju povrede zahtjeva zakonom prethodno ustanovljenog suda i o posljedicama takve povrede podvrgnuto sveobuhvatnoj ocjeni određenog broja elemenata koji, razmatrani zajedno, pridonose tome da kod pojedinaca stvaraju legitimne sumnje u pogledu neovisnosti i nepristranosti sudaca (vidjeti presudu od 22. veljače 2022., Openbaar Ministerie (Zakonom ustanovljen sud u državi članici izdavanja naloga), C‑562/21 PPU i C‑563/21 PPU, EU:C:2022:100, t. 74. i navedenu sudsku praksu).
69
Slijedom toga, Sud je smatrao da okolnost prema kojoj je tijelo, poput Državnog sudbenog vijeća, uključeno u postupak imenovanja sudaca sastavljeno pretežito od članova koje je izabrala zakonodavna vlast, ne može sama po sebi dovesti u sumnju neovisnost sudaca imenovanih na kraju navedenog postupka, ali da ipak može drukčije važiti kada ta okolnost, zajedno s drugim relevantnim elementima i okolnostima u kojima je taj izbor proveden, dovede do nastanka takvih sumnji (vidjeti presudu od 22. veljače 2022., Openbaar Ministerie (Zakonom ustanovljen sud u državi članici izdavanja naloga), C‑562/21 PPU i C‑563/21 PPU, EU:C:2022:100, t. 75. i navedenu sudsku praksu).
70
Osim toga, ESLJP je u presudi od 1. prosinca 2020., Guðmundur Andri Ástráðsson protiv Islanda (CE:ECHR:2020:1201JUD002637418, t. 207. i 212.) smatrao da je imenovanje sudaca koje provodi izvršna vlast ili zakonodavac dopušteno, pod uvjetom da su tako imenovani suci slobodni od bilo kakvog pritiska ili utjecaja kada obavljaju svoju sudsku ulogu.
71
Iz te sudske prakse u biti proizlazi da, kako bi se ocijenilo jesu li ispunjeni zahtjevi koji proizlaze iz članka 47. drugog stavka Povelje o temeljnim pravima, nije potrebno ocijeniti samo formalnost pravnog teksta kojim se osniva sud i utvrđuju pravila o njegovu djelovanju, nego valja provjeriti predviđaju li se tim pravnim tekstom dovoljne zaštitne mjere kojima se nastoji osigurati njegova neovisnost i nepristranost u odnosu na druge vlasti, osobito izvršnu vlast.
72
Na drugom mjestu, valja podsjetiti na to da, kao što je to Sud odlučio u presudama Schrems I i Schrems II, u okviru odluke o primjerenosti Komisija nije dužna utvrditi da su relevantne odredbe treće zemlje istovjetne onima koje su na snazi u Uniji, nego da su bitno ekvivalentne onima koje se jamče pravom Unije na temelju OUZP‑a, tumačenog u vezi s Poveljom o temeljnim pravima (vidjeti točke 19. i 20. ove presude). Iz toga slijedi da je u ovom slučaju Opći sud dužan provjeriti osnovanost Komisijina utvrđenja primjerenosti u pobijanoj odluci, prema kojem se odredbama prava Sjedinjenih Američkih Država u pogledu osnivanja i djelovanja DPRC‑a pružaju zaštitne mjere koje su bitno ekvivalentne onima predviđenima pravom Unije u članku 47. drugom stavku navedene Povelje. Takve zaštitne mjere pružaju se, među ostalim, kad je cilj pravnog teksta kojim se osniva taj sud i utvrđuju pravila o njegovu djelovanju osigurati njegovu neovisnost i nepristranost u odnosu na druge vlasti, osobito u odnosu na izvršnu vlast, i to unatoč tomu što navedeni tekst formalno nije zakon.
73
U ovom slučaju, iz uvodne izjave 185. pobijane odluke proizlazi, a da tužitelj to ne osporava, da je DPRC osnovan Uredbom glavnog državnog odvjetnika. Iz toga proizlazi da DPRC nije osnovan zakonom koji je donijela zakonodavna vlast, odnosno Kongres Sjedinjenih Američkih Država, nego aktom izvršne vlasti. Naime, glavni državni odvjetnik voditelj je Odjela za pravosuđe Sjedinjenih Američkih Država i glavna je odgovorna osoba za primjenu zakona u saveznoj vladi Sjedinjenih Američkih Država. Glavni je savjetnik predsjednika Sjedinjenih Američkih Država za sva pravna pitanja i dio je njegova kabineta.
74
U tom kontekstu valja provjeriti predviđaju li se Izvršnim nalogom br. 14086 i Uredbom glavnog državnog odvjetnika, na način koji je bitno ekvivalentan pravu Unije, zaštitne mjere kojima se nastoji osigurati neovisnost i nepristranost DPRC‑a.
75
Kao prvo, u tom pogledu valja navesti da iz spisa proizlazi, a da se to ne osporava, sljedeće:
–
glavni državni odvjetnik donio je Uredbu glavnog državnog odvjetnika na temelju svoje statutarne ovlasti za izdavanje obvezujućih odluka o pitanjima prava Sjedinjenih Američkih Država, uključujući pitanja o prijenosu podataka iz Unije koji se uređuju Izvršnim nalogom br. 14086;
–
osnivanjem DPRC‑a glavni državni odvjetnik delegirao mu je ovlast odlučivanja o zakonitosti aktivnosti elektroničkog izviđanja koje osporava građanin Unije; stoga glavni državni odvjetnik više nije ovlašten de jure izvršavati ovlast koju je delegirao DPRC‑u sve dok taj sud postoji;
–
kao što je to navedeno u bilješci 366. koja se nalazi na stranici 63. pobijane odluke, Vrhovni sud Sjedinjenih Američkih Država potvrdio je da glavni državni odvjetnik može osnivati neovisna tijela s ovlastima za donošenje odluka, kao što je DPRC; usto, smatrao je da je delegiranje ovlasti glavnog državnog odvjetnika njegovu opunomoćeniku obvezujuće za izvršnu vlast; tako iz sudske prakse navedenog suda proizlazi da je, sve dok je Uredba glavnog državnog odvjetnika na snazi, izvršna vlast njome obvezana te da ni obavještajne agencije ni vlada Sjedinjenih Američkih Država ne mogu preispitati ili opozvati njegove odluke.
76
Kao drugo, s jedne strane, valja podsjetiti na to da iz pobijane odluke u biti proizlazi da:
–
suce DPRC‑a imenuje glavni državni odvjetnik na temelju kriterija i u skladu s uvjetima navedenima u točki 43. ove presude;
–
suce DPRC‑a može razriješiti samo glavni državni odvjetnik, i to samo zbog razloga navedenih u točki 56. ove presude te uz poštovanje standarda primjenjivih na savezne suce utvrđenih u Pravilima za postupke utvrđivanja povrede dužnosti i nesposobnosti za rad sudaca;
–
odluka koju donosi DPRC obvezujuća je i pravomoćna. Stoga su izvršna vlast i obavještajne agencije dužne postupati u skladu s time;
–
rad koji obavlja DPRC nadzire PCLOB, u granicama navedenima u točki 54. ove presude.
77
S druge strane, kao što to proizlazi iz uvodnih izjava 187. do 189. pobijane odluke, suci DPRC‑a prilikom obavljanja svojih dužnosti u okviru tog suda moraju poštovati sljedeća postupovna jamstva:
–
pritužbe u pogledu osobnih podataka treba ispitati sudsko vijeće sastavljeno od tri suca, uključujući predsjedavajućeg suca; za svaki predmet, sastav sudskog vijeća od tri suca naizmjence odabire Ured za privatnost i građanske slobode pri Ministarstvu pravosuđa, koji pruža administrativnu podršku DPRC‑u i osigurava da u svakom sudskom vijeću bude najmanje jedan sudac s prethodnim sudačkim iskustvom;
–
prilikom ispitivanja pritužbe u pogledu osobnih podataka, pomaže im posebni odvjetnik kojeg glavni državni odvjetnik imenuje u dogovoru s ministrom trgovine, direktorom za nacionalna obavještajna pitanja i PCLOB‑om na dva mandata s mogućnošću produljenja; posebni odvjetnik mora imati odgovarajuće iskustvo u području prava na privatnost i nacionalne sigurnosti te biti iskusni pravni stručnjak i aktivni član koji ispunjava sve obveze u komori; osim toga, u trenutku imenovanja ne smije biti zaposlen u izvršnoj vlasti u prethodne dvije godine; posebni odvjetnik ima pristup svim informacijama, uključujući klasificirane podatke te, iako ne postupa u ime podnositelja pritužbe niti mu je podnositelj pritužbe klijent, u svakom je predmetu odgovoran za zastupanje interesa podnositelja pritužbe i informiranje sudaca DPRC‑a o svim relevantnim pravnim i činjeničnim pitanjima;
–
kako bi donijeli odluku, trebaju uzeti u obzir evidenciju o istrazi, informacije i podneske podnositelja pritužbe, posebnog odvjetnika, obavještajnih agencija i službenika za zaštitu građanskih sloboda te, po potrebi, dodatne informacije koje je službenik za zaštitu građanskih sloboda prenio na zahtjev DPRC‑a;
–
odluku o pritužbi u pogledu osobnih podataka trebaju donijeti u pisanom obliku i većinom glasova.
78
Kao treće, valja istaknuti da su otklonjeni nedostaci koje je Sud istaknuo u presudi Schrems II u pogledu nepostojanja zaštitnih mjera koje se odnose na razrješenje pravobranitelja za sustav zaštite privatnosti koje provodi izvršna vlast i neobvezujuću prirodu njegovih odluka. Naime, iz spisa proizlazi da se Izvršnim nalogom br. 14086 ograničavaju slučajevi u kojima glavni državni odvjetnik može razriješiti suce DPRC‑a te da se njime predviđa da su odluke tog suda obvezujuće.
79
U tim okolnostima valja odbiti drugi prigovor iz trećeg tužbenog razloga.
80
Taj se zaključak ne može dovesti u pitanje činjenicom da iz spisa proizlazi da DPRC, kao i drugi sudovi u pravnom sustavu Sjedinjenih Američkih Država, iako je ovlašten odlučivati o pravnim pitanjima, nije pravosudno tijelo osnovano na temelju članka III. Ustava Sjedinjenih Američkih Država.
81
Naime, Sud je u presudi Schrems II smatrao da djelotvornu sudsku zaštitu može osigurati ne samo sud koji pripada pravosudnom poretku, nego i svako drugo „tijelo” koje osobama čiji se podaci prenose u Sjedinjene Američke Države pruža zaštitne mjere bitno ekvivalentne onima koje se zahtijevaju člankom 47. Povelje o temeljnim pravima (presuda Schrems II, t. 197.).
82
S obzirom na sva prethodno navedena razmatranja, treći tužbeni razlog valja odbiti u cijelosti.
3.
Drugi tužbeni razlog, koji se temelji na povredi članaka 7. i 8. Povelje o temeljnim pravima
83
Drugim tužbenim razlogom tužitelj tvrdi da je Komisija povrijedila članke 7. i 8. Povelje o temeljnim pravima jer je u pobijanoj odluci smatrala da Sjedinjene Američke Države osiguravaju primjerenu razinu zaštite u pogledu skupnog prikupljanja osobnih podataka koje provode obavještajne agencije te zemlje.
a)
Predmet drugog tužbenog razloga
84
Valja navesti da se tužitelj na stranicama 2. i 23. tužbe te na stranici 4. replike, prilikom navođenja teksta drugog tužbenog razloga, poziva na Komisijinu povredu članaka 7. i 8. Povelje o temeljnim pravima ne samo u pogledu skupnog prikupljanja, nego i u pogledu masovnog prikupljanja osobnih podataka. Međutim, u razmatranjima koja slijede nakon iznošenja teksta navedenog tužbenog razloga, tužitelj se u svojoj argumentaciji usredotočuje samo na skupno prikupljanje tih podataka.
85
Iz bilješke br. 250 koja se nalazi na stranici 46. pobijane odluke, iz uvodne izjave 141. navedene odluke, što se ne osporava, te iz odgovora koje su stranke dale na pitanja postavljena u okviru mjere upravljanja postupkom i na raspravi proizlazi da:
–
u Sjedinjenim Američkim Državama, prikupljanje podataka elektroničkim izviđanjem u svrhu nacionalne sigurnosti, uključujući u pogledu podataka prenesenih iz Unije, može se izvršiti samo u obliku „ciljanog prikupljanja”; taj izraz nije definiran u pravu Sjedinjenih Američkih Država, ali se općenito upotrebljava za opisivanje prikupljanja podataka koji se odnose na konkretnu osobu, komunikacijski račun ili neku drugu utvrđenu ciljanu osobu ili ciljani predmet koje provode obavještajne agencije na temelju Foreign Intelligence Surveillance Acta (Zakon o nadzoru stranih obavještajnih aktivnosti) i Izvršnog naloga br. 14086.
–
izvan Sjedinjenih Američkih Država, uključujući kad se osobni podaci prenose iz Unije organizacijama uključenima u okvir EU‑a i SAD‑a za privatnost podataka, prikupljanje podataka elektroničkim izviđanjem u svrhu nacionalne sigurnosti prije svega se provodi ciljanim prikupljanjem; međutim, ako je potrebno ostvariti potvrđeni obavještajni prioritet, u smislu odjeljka 2. točke (b) podtočke iii. Izvršnog naloga br. 14086, koji se zbog opravdanih razloga ne može dobiti ciljanim prikupljanjem, obavještajne agencije mogu provesti „skupno prikupljanje” osobnih podataka; skupno prikupljanje se u pravu Sjedinjenih Američkih Država, u odjeljku 4. točki (b) Izvršnog naloga br. 14086, definira kao ovlašteno prikupljanje velike količine podataka elektroničkim izviđanjem koji su iz tehničkih ili operativnih razloga prikupljeni bez primjene razlikovnih čimbenika, primjerice bez uporabe posebnih identifikatora ili čimbenika za odabir; skupno prikupljanje podataka uređuje se Izvršnim nalogom br. 14086 i Executive Orderom 12333, United States Intelligence Activities (Izvršni nalog br. 12333 o obavještajnim aktivnostima Sjedinjenih Američkih Država), kako je izmijenjen Executive Orderom 13284 (2003) (Izvršni nalog br. 13284 iz 2003.), Executive Orderom 13355 (2004) (Izvršni nalog br. 13355 iz 2004.) i Executive Orderom 13470 (2008) (Izvršni nalog br. 13470 iz 2008.), u skladu s kojima se na njega primjenjuje više zaštitnih mjera i ograničenja;
–
„masovno prikupljanje” osobnih podataka na koje Komisija upućuje u bilješci br. 250 pobijane odluke kao prikupljanje koje se provodi na generaliziran i neselektivan način bez ograničenja i zaštitnih mjera nije dopušteno u Sjedinjenim Američkim Državama te se ne može provesti ni na njihovu državnom području ni izvan njega.
86
Iz prethodno navedenog proizlazi da je, s obzirom na to da masovno prikupljanje podataka nije dopušteno u Sjedinjenim Američkim Državama i da se skupno prikupljanje podataka može provesti samo izvan Sjedinjenih Američkih Država, predmet ovog tužbenog razloga u ovom slučaju ograničen na ocjenu postojanja Komisijine povrede članaka 7. i 8. Povelje o temeljnim pravima u pogledu skupnog prikupljanja osobnih podataka prenesenih iz Unije organizacijama uključenima u okvir EU‑a i SAD‑a za privatnost podataka koje su provele obavještajne agencije Sjedinjenih Američkih Država, pri čemu je isključeno svako prikupljanje osobnih podataka koje su obavještajne agencije Sjedinjenih Američkih Država ili države članice po potrebi provele na području Unije.
b)
Prvi prigovor iz drugog tužbenog razloga, prema kojem se na obavještajne aktivnosti provedene na temelju članka 702. Zakona o nadzoru stranih obavještajnih aktivnosti ne primjenjuju zaštitne mjere predviđene Izvršnim nalogom br. 14086
87
Prvim prigovorom iz drugog tužbenog razloga tužitelj tvrdi da je Komisija povrijedila članke 7. i 8. Povelje o temeljnim pravima jer je u pobijanoj odluci u biti smatrala da Sjedinjene Američke Države pružaju razinu zaštite koja je bitno ekvivalentna onoj koja se jamči pravom Unije na temelju OUZP‑a, tumačenog u vezi s navedenom Poveljom, unatoč tomu što se člankom 702. Zakona o nadzoru stranih obavještajnih aktivnosti obavještajnim agencijama Sjedinjenih Američkih Država omogućuje da skupno prikupe osobne podatke državljana drugih zemalja.
88
Komisija, koju podupiru Irska i Sjedinjene Američke Države, osporava tužiteljevu argumentaciju.
89
Valja istaknuti da se člankom 702. Zakona o nadzoru stranih obavještajnih aktivnosti ne dopušta skupno prikupljanje, nego samo ciljano prikupljanje osobnih podataka.
90
Iz toga slijedi da, s obzirom na to da se članak 702. Zakona o nadzoru stranih obavještajnih aktivnosti ne odnosi na skupno prikupljanje osobnih podataka, taj članak nije relevantan u ovom slučaju.
91
Stoga valja odbiti prvi prigovor iz drugog tužbenog razloga.
c)
Drugi prigovor iz drugog tužbenog razloga, prema kojem se u Izvršnom nalogu br. 14086 skupno prikupljanje osobnih podataka ne uvjetuje prethodnim odobrenjem pravosudnog ili upravnog tijela
92
Drugim prigovorom iz drugog tužbenog razloga tužitelj tvrdi da je Komisija povrijedila članke 7. i 8. Povelje o temeljnim pravima jer je u pobijanoj odluci smatrala da Sjedinjene Američke Države pružaju razinu zaštite koja je bitno ekvivalentna onoj koja se jamči pravom Unije na temelju OUZP‑a, tumačenog u vezi s navedenom Poveljom, unatoč tomu što se Izvršnim nalogom br. 14086 ne utvrđuje obveza obavještajnih agencija Sjedinjenih Američkih Država da prije skupnog prikupljanja osobnih podataka ishode prethodno odobrenje pravosudnog ili upravnog tijela.
93
Komisija, koju podupiru Irska i Sjedinjene Američke Države, osporava tužiteljevu argumentaciju.
94
U ovom slučaju iz spisa proizlazi, a da stranke to ne osporavaju, da se u pravu Sjedinjenih Američkih Država ne utvrđuje obveza obavještajnih agencija da ishode prethodno odobrenje pravosudnog ili upravnog tijela prije nego što provedu skupno prikupljanje osobnih podataka prenesenih iz Unije organizacijama uključenima u okvir EU‑a i SAD‑a za privatnost podataka.
95
Valja utvrditi može li taj nedostatak prethodnog odobrenja utjecati na zakonitost pobijane odluke, s obzirom na to da bi se njime mogao dovesti u pitanje zaključak iz članka 1. navedene odluke, prema kojem Sjedinjene Američke Države pružaju primjerenu razinu zaštite osobnih podataka.
96
Najprije valja podsjetiti na to da je, kao što je to Sud odlučio u presudi Schrems II, kako bi se ocijenila zakonitost odluke o primjerenosti, potrebno ocijeniti osigurava li se pravom treće zemlje razina zaštite temeljnih sloboda i prava koja je bitno ekvivalentna onoj koja se jamči u okviru Unije na temelju OUZP‑a, tumačenog u vezi s Poveljom o temeljnim pravima (vidjeti točku 19. ove presude).
97
Upravo u tom kontekstu valja ispitati četiri argumenta koja je tužitelj istaknuo u potporu ovom prigovoru.
1) Prvi argument, koji se temelji na presudi Schrems II
98
Svojim prvim argumentom tužitelj u biti tvrdi da, kao što je to bio slučaj s odlukom o primjerenosti sustava zaštite privatnosti koju je Sud poništio u presudi Schrems II, među ostalim, zbog neuspostave sudskog nadzora, skupno prikupljanje osobnih podataka koje u ovom slučaju provode obavještajne agencije Sjedinjenih Američkih Država ne podliježe sudskom nadzoru i nije uređeno dovoljno jasnim i preciznim pravilima.
99
Komisija, koju podupiru Irska i Sjedinjene Američke Države, osporava tužiteljev argument.
100
Valja navesti da je Sud u presudi Schrems II odlučio da članci 7. i 8. Povelje o temeljnim pravima doprinose razini zaštite koja se zahtijeva u Uniji, a čije poštovanje Komisija mora utvrditi prije nego što donese odluku o primjerenosti na temelju članka 45. stavka 1. OUZP‑a. Naime, prema mišljenju Suda, svaka obrada osobnih podataka fizičke osobe, uključujući njihov prijenos trećoj zemlji u okviru odluke o primjerenosti, utječe na temeljno pravo te osobe na poštovanje njezina privatnog života, zajamčeno člankom 7. navedene Povelje, kao i na njezino pravo na zaštitu osobnih podataka, navedeno u članku 8. te Povelje (presuda Schrems II, t. 169. do 171.).
101
Međutim, Sud je pojasnio da prava priznata člancima 7. i 8. Povelje o temeljnim pravima nisu apsolutna prava, nego ih treba uzeti u obzir s obzirom na njihovu funkciju u društvu (presuda Schrems II, t. 172.).
102
Stoga, u skladu s člankom 52. stavkom 1. Povelje o temeljnim pravima, svako ograničenje pri ostvarivanju prava i sloboda priznatih člancima 7. i 8. navedene Povelje mora biti predviđeno zakonom i mora poštovati bit tih prava i sloboda. Usto, u skladu s načelom proporcionalnosti, ograničenja tih prava i sloboda moguća su samo ako su potrebna i ako zaista odgovaraju ciljevima u općem interesu koje priznaje Unija ili potrebi zaštite prava i sloboda drugih osoba (presuda Schrems II, t. 174.).
103
Sud je u tom kontekstu odlučio da se na temelju mogućnosti koja je Izvršnim nalogom br. 12333, kako je izmijenjen, dana obavještajnim agencijama Sjedinjenih Američkih Država da pristupaju osobnim podacima koji se prenose iz Unije, a da se nad tim pristupom ne provodi nikakav sudski nadzor, ne može na dovoljno jasan i precizan način odrediti doseg skupnog prikupljanja osobnih podataka koje su provele obavještajne agencije. Tako je smatrao da navedeni izvršni nalog ne odgovara minimalnim zahtjevima koji su u pravu Unije povezani s načelom proporcionalnosti i da nadzorni programi koji se provode na temelju tog naloga nisu ograničeni na ono što je strogo nužno (presuda Schrems II, t. 183. i 184.).
104
Valja pojasniti tumačenje koje treba dati izrazu „nikakav sudski nadzor” iz točke 183. presude Schrems II.
105
U tom pogledu valja istaknuti da nijedan element iz presude Schrems II, osobito iz točke 183. navedene presude i izraza „nikakav sudski nadzor”, ne upućuje na to da skupno prikupljanje osobnih podataka obvezno treba prethodno odobriti neovisno tijelo. Naprotiv, iz zajedničkog tumačenja navedenog izraza i točaka 186. do 197. te presude proizlazi da se nad odlukom o odobrenju takvog prikupljanja treba barem provesti sudski nadzor a posteriori.
106
U ovom se slučaju, kao što se to navodi u točkama 24. do 82. ove presude, u skladu s Izvršnim nalogom br. 14086 i Uredbom glavnog državnog odvjetnika nad aktivnostima elektroničkog izviđanja koje provode obavještajne agencije Sjedinjenih Američkih Država, uključujući kad te agencije skupno prikupljaju osobne podatke, provodi sudski nadzor a posteriori DPRC‑a, čije su odluke konačne i obvezujuće za vladu Sjedinjenih Američkih Država i za navedene agencije. Stoga se, suprotno onomu što tvrdi tužitelj, ne može smatrati da skupno prikupljanje osobnih podataka koje obavještajne agencije provode na temelju pobijane odluke ne ispunjava zahtjeve koji u tom pogledu proizlaze iz presude Schrems II.
107
Usto, na prvom mjestu, valja podsjetiti na to da se, kao što to proizlazi iz uvodne izjave 141. pobijane odluke a da tužitelj to ne osporava, u Izvršnom nalogu br. 14086 utvrđuje da obavještajne agencije trebaju dati prednost ciljanom prikupljanju osobnih podataka. Stoga je skupno prikupljanje dopušteno samo za ostvarenje potvrđenog obavještajnog prioriteta koji se zbog opravdanih razloga ne može dobiti ciljanim prikupljanjem. U tom pogledu valja navesti da iz uvodne izjave 135. navedene odluke proizlazi da se potvrđeni obavještajni prioriteti utvrđuju posebnim postupkom kako bi bili usklađeni s primjenjivim pravnim zahtjevima, uključujući zahtjeve u pogledu privatnosti i građanskih sloboda. Točnije, obavještajne prioritete sastavlja direktor za nacionalna obavještajna pitanja i podnosi ih na odobrenje predsjedniku Sjedinjenih Američkih Država. Međutim, prije nego što predsjedniku Sjedinjenih Američkih Država predloži obavještajne prioritete, navedeni direktor treba za svaki prioritet pribaviti procjenu službenika za zaštitu građanskih sloboda. Službenik za zaštitu građanskih sloboda u okviru te procjene treba odrediti ostvaruje li se prioritetom o kojem je riječ jedan ili više legitimnih ciljeva navedenih u Izvršnom nalogu br. 14086, je li osmišljen za prikupljanje podataka elektroničkim izviđanjem u zabranjene svrhe i je li utvrđen nakon što su se u odgovarajućoj mjeri uzeli u obzir aspekti povezani s privatnošću i građanskim slobodama svih ispitanika, neovisno o njihovu državljanstvu i boravištu.
108
Na drugom mjestu, valja istaknuti da se, kao što se to naglašava u uvodnim izjavama 127. do 131., 134. i 135. pobijane odluke a da tužitelj to ne osporava, u Izvršnom nalogu br. 14086 utvrđuju glavni zahtjevi za sve aktivnosti elektroničkog izviđanja, uključujući kad se one provode skupnim prikupljanjem osobnih podataka.
109
Kao prvo, aktivnosti elektroničkog izviđanja moraju se provoditi na temelju zakona ili predsjedničkog odobrenja te u skladu s pravom Sjedinjenih Američkih Država, uključujući Ustav.
110
Kao drugo, aktivnosti elektroničkog izviđanja mogu se provoditi tek nakon što se, na temelju razumne procjene svih relevantnih čimbenika, utvrdi da su nužne za ostvarenje potvrđenog obavještajnog prioriteta.
111
Kao treće, aktivnosti elektroničkog izviđanja trebaju se provoditi na način koji je proporcionalan potvrđenom obavještajnom prioritetu za čije su ostvarenje odobrene kako bi se postigla dobra ravnoteža između važnosti predviđenog obavještajnog prioriteta te utjecaja na privatnost i građanske slobode pojedinaca u vezi s kojima se provode aktivnosti, neovisno o njihovu državljanstvu ili boravištu.
112
Kao četvrto, u Izvršnom nalogu br. 14086 navode se opći ciljevi koji se ne mogu ostvariti aktivnostima elektroničkog izviđanja. Osobito je riječ o ciljevima suzbijanja kritike, neslaganja ili slobodnog izražavanja ideja ili političkih stajališta pojedinaca ili medija, stavljanja u nepovoljniji položaj osoba na temelju njihova etničkog podrijetla, rase, roda, rodnog identiteta, spolne orijentacije odnosno vjere ili osiguravanja konkurentske prednosti poduzećima sa sjedištem u Sjedinjenim Američkim Državama.
113
Na trećem mjestu, iz uvodne izjave 141. pobijane odluke proizlazi, a da tužitelj to ne osporava, da se u Izvršnom nalogu br. 14086 utvrđuju posebne zaštitne mjere koje se primjenjuju na skupno prikupljanje osobnih podataka.
114
Najprije, Izvršnim nalogom br. 14086 predviđa se da se moraju provesti metode i tehničke mjere za ograničavanje prikupljanja samo na one podatke koji su nužni za ostvarenje potvrđenog obavještajnog prioriteta i na što manju količinu nerelevantnih informacija.
115
Nadalje, u Izvršnom nalogu br. 14086 navodi se da se skupno prikupljanje osobnih podataka može provoditi samo kako bi se ostvarilo šest konkretnih ciljeva (u daljnjem tekstu: konkretni ciljevi skupnog prikupljanja), a to su zaštita od terorizma, špijunaže, oružja za masovno uništenje, kibernetičkih prijetnji, prijetnji državnim službenicima Sjedinjenih Američkih Država ili saveznicima te države i od transnacionalnog kriminaliteta. Njime se predviđa da predsjednik Sjedinjenih Američkih Država može ažurirati navedene konkretne ciljeve ako se pojave nove potrebe u području nacionalne sigurnosti, kao što su nove ili povećane prijetnje nacionalnoj sigurnosti u pogledu kojih se, prema njegovu mišljenju, može upotrijebiti skupno prikupljanje osobnih podataka. Ta ažuriranja direktor za nacionalna obavještajna pitanja u načelu mora objaviti, osim ako predsjednik Sjedinjenih Američkih Država utvrdi da bi to stvorilo rizik za nacionalnu sigurnost te zemlje.
116
Naposljetku, Izvršnim nalogom br. 14086 predviđa se da se podaci skupno prikupljeni elektroničkim izviđanjem mogu pretraživati samo ako je to nužno za ostvarenje potvrđenog obavještajnog prioriteta, ako se time nastoje ostvariti konkretni ciljevi skupnog prikupljanja i ako je u skladu s politikama i postupcima kojima se u odgovarajućoj mjeri uzima u obzir utjecaj pretraživanja tih podataka na privatnost i građanske slobode svih ispitanika, neovisno o njihovu državljanstvu ili boravištu.
117
U tim se okolnostima ne može valjano tvrditi da provedba skupnog prikupljanja nije uređena na dovoljno jasan i precizan način.
118
S obzirom na sva ta razmatranja, ovaj argument valja odbiti.
2) Drugi argument, koji se temelji na presudi od 6. listopada 2020., La Quadrature du Net i dr. (C‑511/18, C‑512/18 i C‑520/18)
119
Tužitelj drugim argumentom tvrdi, pri čemu izričito upućuje na točku 189. presude od 6. listopada 2020., La Quadrature du Net i dr. (C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791), da je Sud utvrdio da su obavještajne agencije dužne ishoditi prethodno odobrenje pravosudnog ili upravnog tijela prije prikupljanja podataka o vezi od operatora koji ih posjeduju. Prema njegovu mišljenju, skupno prikupljanje osobnih podataka koji se prenose iz Unije, koje provode obavještajne agencije Sjedinjenih Američkih Država, u ovom slučaju nije trebalo prethodno odobriti.
120
Komisija, koju podupiru Irska i Sjedinjene Američke Države, osporava tužiteljev argument.
121
Valja istaknuti da je Sud u presudi od 6. listopada 2020., La Quadrature du Net i dr. (C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791), osobito smatrao da članak 15. stavak 1. Direktive 2002/58/EZ Europskog parlamenta i Vijeća od 12. srpnja 2002. o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama) (SL 2002., L 201, str. 37.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 52., str. 111.), kako je izmijenjena Direktivom 2009/136/EZ Europskog parlamenta i Vijeća od 25. studenoga 2009. (SL 2009., L 337, str. 11.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 52., str. 224. i ispravci SL 2017., L 162, str. 56. i SL 2018., L 74, str. 11.), u vezi s člancima 7., 8. i 11. kao i člankom 52. stavkom 1. Povelje o temeljnim pravima, treba tumačiti na način da mu se ne protivi nacionalni propis koji nalaže pružateljima elektroničkih komunikacijskih usluga da se koriste prikupljanjem u stvarnom vremenu podataka o prometu i lokaciji kada je ono ograničeno na osobe u odnosu na koje postoji valjan razlog za sumnju da su uključene u terorističke aktivnosti i kada se nad njim provodi prethodan nadzor suda ili neovisnog upravnog tijela (točka 192. navedene presude).
122
Iz toga slijedi da se situacija o kojoj je riječ u predmetu u kojem je donesena presuda od 6. listopada 2020., La Quadrature du Net i dr. (C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791), razlikuje od one o kojoj je riječ u ovom slučaju. U ovom slučaju nije riječ o ocjeni treba li pravosudno ili upravno tijelo provesti prethodan nadzor prikupljanja podataka, koje provode pružatelji elektroničkih komunikacijskih usluga, o prometu i lokaciji korisnika za koje se sumnja da su na bilo koji način uključeni u terorističke aktivnosti, nego o ocjeni dovodi li činjenica da se pravom Sjedinjenih Američkih Država ne predviđa obveza obavještajnih agencija da prije skupnog prikupljanja osobnih podataka koji se prenose u tu zemlju ishode prethodno odobrenje pravosudnog ili upravnog tijela u pitanje osnovanost Komisijina utvrđenja primjerenosti u pobijanoj odluci.
123
U tim okolnostima valja zaključiti da upućivanje na presudu od 6. listopada 2020., La Quadrature du Net i dr. (C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791) nije relevantno u ovom slučaju.
124
Takav zaključak ne može se dovesti u pitanje uzimanjem u obzir presude od 30. travnja 2024., La Quadrature du Net i dr. (Osobni podaci i borba protiv povreda) (C‑470/21, EU:C:2024:370), o kojoj su se stranke u ovom predmetu trebale očitovati u okviru mjere upravljanja postupkom.
125
U predmetu u kojem je donesena presuda od 30. travnja 2024., La Quadrature du Net i dr. (Osobni podaci i borba protiv povreda) (C‑470/21, EU:C:2024:370) bila je riječ o zakonitosti pristupa nacionalnog javnog tijela zaduženog za zaštitu autorskih i srodnih prava od povreda tih prava počinjenih na internetu, podacima o građanskom identitetu koji odgovaraju IP adresama koje su zadržali pružatelji elektroničkih komunikacijskih usluga u svrhu borbe protiv povreda. Konkretnije, taj se pristup opravdao ciljem identifikacije nositelja IP adrese koji je sudjelovao u aktivnosti kojom se povređuju autorska i srodna prava, s obzirom na to da je on na internetu nezakonito stavio na raspolaganje zaštićena djela kako bi ih druge osobe preuzele. Sud je u tim okolnostima odlučio da prethodni nadzor suda ili neovisnog upravnog tijela:
–
ne treba provesti ako je nacionalno nadležno tijelo imalo pristup podacima o građanskom identitetu osobe koji odgovaraju određenoj IP adresi samo u svrhu identifikacije korisnika o kojem je riječ, pri čemu se ti podaci ne mogu povezati s informacijama o obavljenim komunikacijama jer se zadiranje koje podrazumijeva takav pristup ne može kvalificirati kao ozbiljno (točke 133. i 134. navedene presude);
–
treba provesti prije nego što nacionalno nadležno tijelo poveže podatke o građanskom identitetu osobe koji odgovaraju određenoj IP adresi i datoteku o djelu koje je nezakonito stavljeno na raspolaganje na internetu kako bi ga preuzele druge osobe i prije nego što osobi o kojoj je riječ pošalje dopis kojim se utvrđuje da je ta osoba postupala na nezakonit način (vidjeti u tom smislu točku 141. te presude).
126
Iz toga slijedi da se predmet u kojem je donesena presuda od 30. travnja 2024., La Quadrature du Net i dr. (Osobni podaci i borba protiv povreda) (C‑470/21, EU:C:2024:370) odnosi na pristup nacionalnih tijela određenoj IP adresi u svrhu borbe protiv povreda i da se to razlikuje od skupnog prikupljanja osobnih podataka koji se prenose iz Unije, koje provode obavještajne agencije. Stoga se, s obzirom na navedenu presudu, ne može smatrati da skupno prikupljanje osobnih podataka koji se prenose iz Unije, koje provode obavještajne agencije Sjedinjenih Američkih Država, treba prethodno odobriti.
127
Stoga ovaj argument treba odbiti.
3) Treći argument, koji se temelji na presudi ESLJP‑a od 25. svibnja 2021., Big Brother Watch i drugi protiv Ujedinjene Kraljevine (CE:ECHR:2021:0525JUD005817013)
128
Tužitelj trećim argumentom u biti tvrdi da je ESLJP u presudi od 25. svibnja 2021., Big Brother Watch i drugi protiv Ujedinjene Kraljevine (CE:ECHR:2021:0525JUD005817013, u daljnjem tekstu: presuda Big Brother Watch), smatrao da aktivnosti masovnog presretanja osobnih podataka treba prethodno odobriti neovisno tijelo nakon što se utvrde ciljevi i opseg postupka nadzora. On navodi da skupno prikupljanje osobnih podataka koji se prenose iz Unije, koje provode obavještajne agencije Sjedinjenih Američkih Država, u ovom slučaju ne podliježe prethodnom odobrenju.
129
Komisija, koju podupiru Irska i Sjedinjene Američke Države, osporava tužiteljev argument.
130
Valja istaknuti da se predmet u kojem je donesena presuda Big Brother Watch odnosio, među ostalim, na usklađenost, s obzirom na članak 8. EKLJP‑a, britanskog tajnog nadzornog sustava koji je obavještajnim agencijama omogućivao da masovno presreću elektroničke komunikacije i povezane podatke o komunikaciji, odnosno podatke o prometu koji su se odnosili na presretnute komunikacije, koje su se u načelu odvijale izvan Britanskih otoka.
131
Usto, kao što to proizlazi iz sudske prakse navedene u točki 29. ove presude, s obzirom na to da se člankom 8. EKLJP‑a propisuje pravo na poštovanje privatnog i obiteljskog života na istoj osnovi kao i člankom 7. Povelje o temeljnim pravima, za potrebe tumačenja dosega članka 7. navedene Povelje treba uzeti u obzir sudsku praksu ESLJP‑a koja se odnosi na članak 8. EKLJP‑a. Iz toga slijedi da, ako Opći sud odluči da je presuda Big Brother Watch relevantna u ovom slučaju, razmatranja koja je ESLJP u toj presudi naveo u pogledu dosega članka 8. EKLJP‑a treba uzeti u obzir prilikom tumačenja dosega članka 7. te Povelje.
132
U tom pogledu valja podsjetiti na to da je ESLJP u presudi Big Brother Watch odlučio o zakonitosti masovnog presretanja koje su britanske obavještajne službe provodile nad elektroničkim komunikacijama i povezanim podacima o komunikaciji koje su se u načelu odvijale izvan Britanskih otoka.
133
Naime, kao što su to stranke u ovom predmetu istaknule u odgovoru na mjeru upravljanja postupkom i na raspravi, razmatranja koja je ESLJP naveo u presudi Big Brother Watch relevantna su u ovom slučaju jer se može smatrati da je masovno presretanje osobnih podataka o kojem je bila riječ u predmetu u kojem je donesena navedena presuda uključivalo skupno prikupljanje na koje se odnosi pobijana odluka.
134
Kao prvo, valja istaknuti da se, iako se u verziji presude Big Brother Watch na francuskom jeziku upotrebljava izraz „interception en masse” (masovno presretanje) podataka, u verziji na engleskom jeziku upotrebljava izraz „bulk interception”, koje točnije odgovara francuskom pojmu „interception en vrac” (skupno presretanje).
135
Kao drugo, za razliku od ciljanog presretanja, ESLJP je presretanje podataka o kojima je bila riječ u presudi Big Brother Watch definirao kao presretanje koje se ne odnosi na određene osobe i stoga može utjecati na velik broj osoba i povezanih podataka o komunikaciji, a time i imati vrlo velik doseg jer omogućuje, među ostalim, prikupljanje stranih obavještajnih informacija i otkrivanje novih prijetnji koje dolaze od poznatih ili nepoznatih dionika. Usto, prema mišljenju navedenog suda, nadležna tijela su masovno presretanje, zbog toga što mu je svrha povezana sa zaštitom nacionalne sigurnosti, općenito provodila u tajnosti, što je značilo da su objavljivala samo vrlo malo informacija o funkcioniranju sustava ili da ih uopće nisu objavljivala (vidjeti u tom smislu presudu Big Brother Watch, t. 322.).
136
Kao treće, ESLJP je u presudi Big Brother Watch smatrao da je, iako se nisu svi sustavi masovnog presretanja temeljili na istom modelu te su se načini njihove provedbe mogli mijenjati a da ne poštuju uvijek strogi kronološki redoslijed, masovno presretanje bilo postupni proces koji se u biti odvijao u sljedeće četiri faze (u daljnjem tekstu: faze presretanja):
(a)
masovno presretanje i početno zadržavanje elektroničkih komunikacija koje pripadaju velikom broju osoba i povezanih podataka o komunikaciji;
(b)
primjena konkretnih selektora na zadržane komunikacije i povezane podatke o komunikaciji kako bi se utvrdile komunikacije koje bi mogle biti od interesa obavještajnim službama;
(c)
ispitivanje odabranih komunikacija i povezanih podataka o komunikaciji koje provode analitičari;
(d)
naknadno zadržavanje podataka i njihova upotreba kako bi ih se uključilo u obavještajno izvješće, dostavilo drugim obavještajnim službama u zemlji ili prenijelo stranim obavještajnim službama (vidjeti u tom smislu presudu Big Brother Watch, t. 325. do 329.).
137
Iz toga slijedi da je postupak skupnog prikupljanja osobnih podataka, kao što je onaj o kojem je riječ u pobijanoj odluci, obuhvaćen prvom fazom presretanja koju je ESLJP utvrdio u presudi Big Brother Watch jer se njime radi zaštite nacionalne sigurnosti prikupljaju osobni podaci velikog broja osoba koji se prenose iz Unije.
138
U tom kontekstu valja primijeniti učinke presude Big Brother Watch u okviru ocjene zakonitosti odluke o primjerenosti donesene na temelju članka 45. stavka 3. OUZP‑a, kao što je pobijana odluka.
139
U tom pogledu, na prvom mjestu, valja navesti da je ESLJP u presudi Big Brother Watch pojasnio da se člankom 8. EKLJP‑a ne zabranjuje upotreba masovnog presretanja radi zaštite nacionalne sigurnosti ili drugih bitnih nacionalnih interesa od ozbiljnih vanjskih prijetnji i da države raspolažu širokom marginom prosudbe prilikom određivanja vrste sustava presretanja koji im je potreban (presuda Big Brother Watch, t. 347.).
140
Na drugom mjestu, ESLJP je naveo da masovno presretanje osobnih podataka treba biti uređeno cjelovitim zaštitnim mjerama koje zajedno čine kamen temeljac svakog sustava masovnog presretanja, a to su:
–
ishođenje odobrenja neovisnog tijela čim se utvrde predmet i opseg postupka nadzora o kojem je riječ (presuda Big Brother Watch, t. 350.);
–
uspostava sustava nadzora i neovisnog sudskog nadzora a posteriori (vidjeti u tom smislu presudu Big Brother Watch, t. 336. i 347.);
–
predviđanje pravnih pravila na temelju kojih se za svaku fazu presretanja mogu osigurati nužnost i proporcionalnost poduzetih mjera (vidjeti u tom smislu presudu Big Brother Watch, t. 350.); navedeni sud u tom je pogledu podsjetio na to da se zadiranje u prava zajamčena člankom 8. EKLJP‑a može opravdati s obzirom na stavak 2. tog članka samo ako je predviđeno zakonom, ako se odnosi na jedan ili više legitimnih ciljeva navedenih u tom stavku i ako je u demokratskom društvu nužno za ostvarenje tih ciljeva; međutim, u području tajnog nadzora, predvidljivost donesenih mjera podrazumijeva da je nacionalno pravo dovoljno jasno kako bi svi u dovoljnoj mjeri bili upoznati s time u kojim okolnostima i pod kojim uvjetima javna vlast ima ovlast koristiti se takvim mjerama (presuda Big Brother Watch, t. 332. i 333.).
141
Na trećem mjestu, ESLJP je tvrdio da se, iako se članak 8. EKLJP‑a primjenjuje na sve faze presretanja, potreba predviđanja zaštitnih mjera povećava kako postupak postupno napreduje kroz te različite faze i kako posljedično ozbiljnost povrede prava na poštovanje privatnog života postaje sve veća. Stoga je, prema njegovu mišljenju, postojanje zaštitnih mjera više nego ikad potrebno na kraju postupka, kad se informacije o konkretnoj osobi analiziraju i kad analitičar ispituje sadržaj komunikacija (vidjeti u tom smislu presudu Big Brother Watch, t. 330. i 331.).
142
Na četvrtom mjestu, ESLJP je smatrao da, s obzirom na to da u praksi nije izvedivo prethodnim odobrenjem obuhvatiti sve selektore koje obavještajne agencije upotrebljavaju za filtriranje prikupljenih komunikacija, doseg tog odobrenja treba ograničiti kako bi se obuhvatile barem vrste ili kategorije selektora koje treba upotrijebiti (presuda Big Brother Watch, t. 354.).
143
U ovom slučaju, s jedne strane, valja podsjetiti na to da, kao što je to Sud odlučio u presudama Schrems I i Schrems II, Komisija u okviru odluke o primjerenosti nije dužna utvrditi da su relevantne odredbe treće zemlje istovjetne onima koje su na snazi u Uniji, nego da su bitno ekvivalentne (vidjeti točke 19. i 20. ove presude).
144
S druge strane, valja smatrati da je, s obzirom na to da se skupno prikupljanje osobnih podataka koje provode obavještajne agencije Sjedinjenih Američkih Država, a koje se osporava u okviru ovog spora, može poistovjetiti s presretanjem podataka koje se provodi u okviru prve faze presretanja koju je ESLJP utvrdio u presudi Big Brother Watch, potreba predviđanja, za tu konkretnu fazu skupnog prikupljanja, zaštitnih mjera kojima se ograničava diskrecijska ovlast obavještajnih agencija manja s obzirom na kontekst u kojem se presretanje provodi. Naime, u ovom je slučaju riječ isključivo o početnom skupnom presretanju osobnih podataka koje provode obavještajne agencije, isključujući naknadne aktivnosti, koje nisu predmet ovog postupka i koje bi, po potrebi, mogle uključivati primjenu konkretnih selektora prilikom ispitivanja prikupljenih podataka te njihove upotrebe ili daljnje komunikacije.
145
Iz toga slijedi da predviđanje prethodnog odobrenja nije jedina zaštitna mjera koja treba okruživati masovno presretanje osobnih podataka, nego je jedan od elemenata koji zajedno čine kamen temeljac svakog sustava masovnog presretanja. U tom pogledu valja podsjetiti na to da se pravom Sjedinjenih Američkih Država koje je snazi predviđaju pravna pravila kojima se na dovoljno jasan i precizan način uređuje skupno prikupljanje osobnih podataka koje provode obavještajne agencije Sjedinjenih Američkih Država (vidjeti točke 107. do 116. ove presude) te se njime osobama na koje se odnosi prijenos njihovih podataka dodjeljuje pravo na djelotvornu sudsku zaštitu pred DPRC‑om (vidjeti točke 33. do 63. ove presude). Usto, u uvodnim izjavama 162. do 169. pobijane odluke navodi se, a da tužitelj to ne osporava, da obavještajne aktivnosti koje provode obavještajne agencije nadzire PCLOB koji je, kao što to proizlazi iz točke 54. ove presude, osnovan na temelju zakona kao neovisna agencija. Isto tako, navedene aktivnosti u okviru svake obavještajne agencije nadziru, kao prvo, viši službenici za pravna pitanja, nadzor i usklađenost s navedenim pravom, kao drugo, neovisni glavni inspektor koji je, u odnosu na svaku obavještajnu agenciju, odgovoran za nadzor stranih obavještajnih aktivnosti agencije o kojoj je riječ, kao treće, Intelligence Oversight Board (Odbor za nadzor obavještajnih aktivnosti, Sjedinjene Američke Države), koji je osnovan u okviru President’s Intelligence Advisory Boarda (Predsjednički savjetodavni odbor za obavještajne aktivnosti, Sjedinjene Američke Države) i dužan nadzirati poštuju li tijela Sjedinjenih Američkih Država zakone te, kao četvrto, pojedini odbori osnovani u okviru Kongresa Sjedinjenih Američkih Država koji izvršavaju nadzorne funkcije za sve strane obavještajne aktivnosti te zemlje.
146
S obzirom na ta razmatranja, ne može se zaključiti da je činjenica da za početno skupno prikupljanje osobnih podataka koji se prenose iz Unije, koje provode obavještajne agencije Sjedinjenih Američkih Država, nije predviđeno prethodno odobrenje dovoljna da se smatra da se pravom Sjedinjenih Američkih Država, s obzirom na zaključke izvedene iz presude Big Brother Watch, ne pružaju zaštitne mjere koje su bitno ekvivalentne onima predviđenima pravom Unije.
147
Stoga ovaj argument treba odbiti.
4) Četvrti argument, koji se temelji na mišljenju 5/2023 Europskog nadzornika za zaštitu podataka
148
Tužitelj četvrtim argumentom tvrdi da je Europski odbor za zaštitu podataka (u daljnjem tekstu: EDPB) u svojem mišljenju 5/2023 od 28. veljače 2023. o Nacrtu provedbene odluke Komisije o primjerenosti zaštite osobnih podataka na temelju okvira EU‑a i SAD‑a za privatnost podataka (u daljnjem tekstu: mišljenje 5/2023) naglasio važnost toga da se za skupno prikupljanje osobnih podataka ishodi prethodno odobrenje. On navodi da skupno prikupljanje osobnih podataka koji se prenose iz Unije, koje provode obavještajne agencije Sjedinjenih Američkih Država, u ovom slučaju ne podliježe prethodnom odobrenju.
149
Komisija, koju podupiru Irska i Sjedinjene Američke Države, osporava tužiteljev argument.
150
Valja navesti da je mišljenje 5/2023 donio EDPB na temelju članka 70. stavka 1. točke (s) OUZP‑a. Tom se odredbom predviđa da EDPB na vlastitu inicijativu ili na zahtjev Komisije može Komisiji dati mišljenje o procjeni primjerenosti razine zaštite koja postoji u trećoj zemlji.
151
Naime, kad djeluje na temelju članka 70. stavka 1. OUZP‑a, EDPB izvršava samo savjetodavnu funkciju izdavanjem mišljenja, smjernica, preporuka i primjera najbolje prakse koji nemaju obvezujuće pravne učinke (vidjeti u tom smislu rješenje predsjednika Suda od 29. studenoga 2023., EDPB/SRB, C‑413/23 P, neobjavljeno, EU:C:2023:1036, t. 11.). Stoga to mišljenje ne obvezuje Komisiju, koja i dalje može sama ocijeniti pruža li se pravom te zemlje općenito razina zaštite koja je bitno ekvivalentna onoj koja se jamči pravom Unije kad je riječ o skupnom prikupljanju osobnih podataka. U svakom slučaju, valja utvrditi da EDPB u navedenom mišljenju nije naveo da se neuspostavom prethodnog nadzora u pogledu skupnog prikupljanja osobnih podataka nužno nanosi šteta Komisijinoj pozitivnoj ocjeni u pogledu primjerenosti razine zaštite osobnih podataka koju nudi okvir EU‑a i SAD‑a za privatnost podataka. Naprotiv, u točki 165. tog mišljenja istaknuo je da ta ocjena ovisi o svim okolnostima slučaja i osobito o uspostavi sudskog nadzora a posteriori i mehanizma pravne zaštite u Sjedinjenim Američkim Državama.
152
U tom se kontekstu na temelju mišljenja 5/2023 ne može smatrati da skupno prikupljanje osobnih podataka koji se prenose iz Unije, koje provode obavještajne agencije Sjedinjenih Američkih Država, treba prethodno odobriti i da zaštita koju nudi ta zemlja nije bitno ekvivalentna onoj koja se jamči pravom Unije.
153
Stoga treba odbiti ovaj argument i, prema tome, drugi prigovor iz drugog tužbenog razloga u cijelosti.
d)
Treći prigovor iz drugog tužbenog razloga, prema kojem se Izvršnim nalogom br. 14086 predsjedniku Sjedinjenih Američkih Država dodjeljuje ovlast za odobrenje tajnog ažuriranja konkretnih ciljeva skupnog prikupljanja
154
Tužitelj trećim prigovorom iz drugog tužbenog razloga tvrdi da je Komisija povrijedila članke 7. i 8. Povelje o temeljnim pravima time što je u pobijanoj odluci smatrala da Sjedinjene Američke Države pružaju razinu zaštite koja je bitno ekvivalentna onoj koja se jamči pravom Unije na temelju OUZP‑a, u vezi s navedenom Poveljom, unatoč tomu što se Izvršnim nalogom br. 14086 predsjedniku Sjedinjenih Američkih Država iz razloga nacionalne sigurnosti omogućuje da odobri tajno ažuriranje konkretnih ciljeva skupnog prikupljanja. Konkretnije, smatra da, suprotno onomu što je odlučeno u presudi ESLJP‑a od 4. prosinca 2015., Roman Zakharov protiv Rusije (CE:ECHR:2015:1204JUD004714306, u daljnjem tekstu: presuda Zakharov), dodjela ovlasti navedenom predsjedniku za ažuriranje tih konkretnih ciljeva ne omogućuje osobama na koje se odnosi prijenos osobnih podataka da precizno utvrde pravni okvir u kojem se oni obrađuju u Sjedinjenim Američkim Državama.
155
Komisija, koju podupiru Irska i Sjedinjene Američke Države, osporava tužiteljevu argumentaciju.
156
Valja navesti da je ESLJP u presudi Zakharov smatrao da se zadiranje u temeljno pravo na poštovanje privatnog i obiteljskog života može opravdati člankom 8. stavkom 2. EKLJP‑a samo ako je predviđeno zakonom (presuda Zakharov, t. 227.). Naime, prema mišljenju navedenog suda, izraz „predviđeno zakonom” znači da sporna mjera treba biti dostupna ispitaniku i da njezini učinci trebaju biti predvidljivi (presuda Zakharov, t. 228.). Kad je riječ o presretanju komunikacija, „predvidljivost” ne znači da pojedinac treba moći predvidjeti kada tijela mogu presresti njegove komunikacije, nego da ograničenja njegova prava na poštovanje privatnog i obiteljskog života u biti trebaju proizlaziti iz jasnih pravila (presuda Zakharov, t. 229.).
157
Valja podsjetiti i na to da, prema sudskoj praksi navedenoj u točki 29. ove presude, s obzirom na to da se člankom 8. EKLJP‑a propisuje pravo na poštovanje privatnog i obiteljskog života na istoj osnovi kao i člankom 7. Povelje o temeljnim pravima, za potrebe tumačenja, kao u ovom slučaju, članka 7. navedene Povelje treba uzeti u obzir sudsku praksu ESLJP‑a koja se odnosi na članak 8. EKLJP‑a, uključujući dakle presudu Zakharov.
158
U tom pogledu iz odjeljka 2. točke (c)(ii)(C) Izvršnog naloga br. 14086 proizlazi da mogućnost predsjednika Sjedinjenih Američkih Država da ažurira popis konkretnih ciljeva skupnog prikupljanja nije neograničena, nego ograničena samo na slučajeve u kojima je to ažuriranje nužno zbog pojave novih potreba u području nacionalne sigurnosti, kao što su nove ili povećane prijetnje nacionalnoj sigurnosti u pogledu kojih se može upotrijebiti skupno prikupljanje osobnih podataka. Usto, iz te odredbe proizlazi, što su i Sjedinjene Američke Države potvrdile na raspravi, da ažuriranje navedenih konkretnih ciljeva, koje provodi navedeni predsjednik, nije tajno, nego ga objavljuje direktor za nacionalna obavještajna pitanja, osim ako taj predsjednik smatra da to objavljivanje samo po sebi stvara rizik za nacionalnu sigurnost njegove zemlje. Usto, čak se i u tom slučaju na skupno prikupljanje primjenjuju sve zaštitne mjere i sva ograničenja predviđena Izvršnim nalogom br. 14086 te ga, ako ispitanik podnese pritužbu u pogledu osobnih podataka, nadzire službenik za zaštitu građanskih sloboda i, po potrebi, preispituje DPRC.
159
U tom se kontekstu ne može smatrati da je mogućnost predsjednika Sjedinjenih Američkih Država da ažurira popis konkretnih ciljeva skupnog prikupljanja protivna zahtjevima koje je ESLJP utvrdio u presudi Zakharov.
160
Stoga treba odbiti treći prigovor iz drugog tužbenog razloga i, prema tome, navedeni tužbeni razlog u cijelosti.
4.
Četvrti tužbeni razlog, koji se temelji na povredi članka 22. OUZP‑a
161
Tužitelj četvrtim tužbenim razlogom tvrdi da je Komisija povrijedila članak 22. OUZP‑a jer u pobijanoj odluci nije predvidjela odredbu kojom se utvrđuje pravo ispitanika da se na njih ne odnose odluke koje se isključivo temelje na automatiziranoj obradi osobnih podataka, uključujući izradu profila, koja proizvodi pravne učinke koji se na njih odnose ili značajno na njih utječu (u daljnjem tekstu: automatizirane odluke).
162
Najprije valja istaknuti da tekst članka 22. OUZP‑a glasi kako slijedi:
„1.   Ispitanik ima pravo da se na njega ne odnosi odluka koja se temelji isključivo na automatiziranoj obradi, uključujući izradu profila, koja proizvodi pravne učinke koji se na njega odnose ili na sličan način značajno na njega utječu.
2.   Stavak 1. ne primjenjuje se ako je odluka:
(a)
potrebna za sklapanje ili izvršenje ugovora između ispitanika i voditelja obrade podataka;
(b)
dopuštena pravom Unije ili pravom države članice kojem podliježe voditelj obrade te koje također propisuje odgovarajuće mjere zaštite prava i sloboda te legitimnih interesa ispitanika; ili
(c)
temeljena na izričitoj privoli ispitanika.”
163
Valja navesti i da je izraz „izrada profila”, naveden u članku 22. stavku 1. OUZP‑a, definiran u članku 4. točki 4. te uredbe kao „svaki oblik automatizirane obrade osobnih podataka koji se sastoji od uporabe osobnih podataka za ocjenu određenih osobnih aspekata povezanih s pojedincem, posebno za analizu ili predviđanje aspekata u vezi s radnim učinkom, ekonomskim stanjem, zdravljem, osobnim sklonostima, interesima, pouzdanošću, ponašanjem, lokacijom ili kretanjem tog pojedinca”.
164
Iz toga slijedi da, u skladu s člankom 22. OUZP‑a, svaki ispitanik ima pravo da se na njega ne odnosi odluka koja se temelji isključivo na automatiziranoj obradi osobnih podataka, uključujući kad ta mjera podrazumijeva analizu i predviđanje određenih aspekata njegova ponašanja.
165
Međutim, iz pobijane odluke proizlazi da se ona ne odnosi konkretno na pitanje povezano s automatiziranim odlukama.
166
Stoga valja odlučiti može li takav propust utjecati na zakonitost pobijane odluke, s obzirom na to da bi se njime mogao dovesti u pitanje zaključak iz članka 1. navedene odluke, prema kojem Sjedinjene Američke Države pružaju primjerenu razinu zaštite osobnih podataka.
167
Upravo u tom kontekstu valja analizirati tri prigovora koja je tužitelj istaknuo u potporu četvrtom tužbenom razlogu, pri čemu treba početi s prvim i trećim prigovorom koje valja ispitati zajedno.
a)
Prvi i treći prigovor iz četvrtog tužbenog razloga, prema kojima, s jedne strane, činjenica da automatizirane odluke obično donose voditelji obrade na koje se, s obzirom na to da imaju poslovni nastan u Uniji, primjenjuje OUZP ne pruža jamstva kad je riječ o drugim slučajevima i, s druge strane, utvrđivanje sektorskih zaštita na temelju prava Sjedinjenih Američkih Država u slučajevima u kojima donošenje automatiziranih odluka nije obuhvaćeno područjem primjene navedene uredbe nije relevantno u ovom slučaju
168
Prvim i trećim prigovorom iz četvrtog tužbenog razloga tužitelj tvrdi, s jedne strane, da činjenica da automatizirane odluke obično donose voditelji obrade na koje se, s obzirom na to da imaju poslovni nastan u Uniji, primjenjuje OUZP ne pruža jamstva kad je riječ o drugim slučajevima. S druge strane, ističe da okolnost prema kojoj pravo Sjedinjenih Američkih Država pruža sektorske zaštite u slučajevima u kojima donošenje takvih odluka nije obuhvaćeno područjem primjene navedene uredbe nije relevantna u ovom slučaju jer se na temelju te okolnosti ne može zaključiti da je općenito zaštita koju ta zemlja pruža u pogledu svih automatiziranih odluka ekvivalentna onoj koja se jamči člankom 22. te uredbe.
169
Komisija, koju podupiru Irska i Sjedinjene Američke Države, osporava tužiteljevu argumentaciju.
170
Valja istaknuti da iz uvodne izjave 33. pobijane odluke proizlazi da, u slučaju prijenosa osobnih podataka iz Unije u Sjedinjene Američke Države, valja razlikovati tri slučaja kad je riječ o donošenju automatiziranih odluka.
171
Kao prvo, automatizirane odluke može donositi voditelj obrade s poslovnim nastanom u Uniji koji je u Uniji prikupio osobne podatke ispitanikâ. U tom pogledu valja navesti da se u članku 4. točki 7. OUZP‑a voditelj obrade definira kao fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka. U tom slučaju, s obzirom na to da se, u skladu s člankom 3. stavkom 1. navedene uredbe, na voditelja obrade primjenjuje ista uredba, valja poštovati zahtjeve predviđene člankom 22. te uredbe kad je riječ o takvim odlukama.
172
Kao drugo, automatizirane odluke može donositi izvršitelj obrade s poslovnim nastanom u trećoj zemlji, koji djeluje u ime voditelja obrade s poslovnim nastanom u Uniji koji mu je prenio osobne podatke koje je prikupio u Uniji, ili podizvršitelj obrade, koji djeluje u ime izvršitelja obrade s poslovnim nastanom u Uniji koji mu je prenio podatke koje je prikupio u Uniji. U tom pogledu valja pojasniti da se u članku 4. točki 8. OUZP‑a izvršitelj obrade definira kao fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje obrađuje osobne podatke u ime voditelja obrade. U tim se slučajevima na strane izvršitelje obrade, s obzirom na to da djeluju u ime voditelja obrade ili izvršitelja obrade iz Unije, primjenjuje navedena uredba na temelju članka 3. stavka 1. te uredbe. Stoga, kad je riječ o takvim odlukama, voditelj obrade i izvršitelj obrade trebaju poštovati zahtjeve predviđene člankom 22. te uredbe.
173
Kao treće, automatizirane odluke može donositi voditelj obrade ili izvršitelj obrade koji nema poslovni nastan u Uniji, ali koji se obraća ispitanicima koji se nalaze u Uniji time što im nudi robu ili usluge ili time što prati njihovo ponašanje. Međutim, u tom se slučaju člankom 3. stavkom 2. OUZP‑a predviđa da se na voditelja obrade i stranog izvršitelja obrade primjenjuje navedena uredba. Stoga, kad je riječ o automatiziranim odlukama, oni trebaju poštovati zahtjeve predviđene člankom 22. navedene uredbe.
174
Iz toga slijedi da iz pobijane odluke proizlazi da su slučajevi u kojima automatizirane odluke nisu obuhvaćene područjem primjene članka 22. OUZP‑a preostali slučajevi te su ograničeni na slučajeve u kojima organizacije uključene u okvir EU‑a i SAD‑a za privatnost podataka izravno u Uniji prikupljaju osobne podatke, ali građanima Unije ipak ne nude robu ili usluge niti prate njihovo ponašanje u smislu članka 3. stavka 2. navedene uredbe.
175
Naime, iz uvodnih izjava 35. i 36. pobijane odluke proizlazi, a da tužitelj to ne osporava, da pravo Unije u tim slučajevima pruža sektorske zaštite slične onima koje su u OUZP‑u predviđene u područjima kao što su odobravanje kredita, ponude hipotekarnih kredita, zapošljavanje, stanovanje i osiguranje, u kojima je vjerojatnije da organizacije uključene u okvir EU‑a i SAD‑a za privatnost podataka donose automatizirane odluke.
176
Tako su, kad je riječ o potrošačkim kreditima, Fair Credit Reporting Actom (Zakon o poštenom izvješćivanju o kreditnoj sposobnosti) i Equal Credit Opportunity Actom (Zakon o jednakim mogućnostima za dobivanje kredita) predviđene zaštitne mjere koje potrošačima omogućuju neki oblik prava na objašnjenje i prava na osporavanje automatiziranih odluka. Ti se zakoni primjenjuju u nizu područja, kao što su kreditiranje, zapošljavanje, stanovanje i osiguranje. Usto, glavom VII. Civil Rights Acta (Zakon o građanskim pravima) i Fair Housing Actom (Zakon protiv diskriminacije pri prodaji ili iznajmljivanju stambenog prostora) štiti se pojedince od modela koji se upotrebljavaju u automatiziranim odlukama i koji bi mogli dovesti do diskriminacije na temelju određenih značajki te se pojedincima dodjeljuju prava na osporavanje takvih odluka. Nadalje, kad je riječ o informacijama o zdravlju, pravilima koja su tijela Sjedinjenih Američkih Država donijela na temelju Health Insurance Portability and Accountability Acta (Zakon o prenosivosti i odgovornosti u zdravstvenom osiguranju) zahtijeva se da pružatelji zdravstvenih usluga dobiju informacije koje im omogućuju da pojedince informiraju o sustavima za donošenje automatiziranih odluka koji se upotrebljavaju u medicinskom sektoru.
177
U tom se kontekstu, suprotno onomu što tvrdi tužitelj, ne može smatrati da sektorske zaštite predviđene pravom Sjedinjenih Američkih Država nisu relevantne u ovom slučaju s obzirom na to da nemaju isti opći doseg kao članak 22. OUZP‑a.
178
U tom pogledu valja podsjetiti na to da je Sud u presudama Schrems I i Schrems II odlučio da izraz „primjerena razina zaštite” iz članka 45. stavka 1. OUZP‑a treba tumačiti na način da od treće zemlje o kojoj je riječ zahtijeva da na temelju svojeg domaćeg zakonodavstva ili međunarodnih obveza djelotvorno osigura razinu zaštite temeljnih sloboda i prava koja je bitno ekvivalentna onoj koja se jamči u okviru Unije na temelju navedene uredbe, tumačene u vezi s Poveljom o temeljnim pravima, a da se pritom od te treće zemlje ne zahtijeva razina zaštite koja je istovjetna onoj koja se jamči u pravnom poretku Unije (vidjeti točke 19. i 20. ove presude).
179
Usto, Sud je u presudi Schrems I smatrao da, čak i ako se pravna sredstva kojima se koristi treća zemlja za osiguranje primjerene razine zaštite osobnih podataka mogu razlikovati od onih koja se provode u Uniji, ta se sredstva ipak moraju u praksi pokazati djelotvornima za osiguranje bitno ekvivalentne zaštite poput one koja se jamči u okviru Unije (vidjeti točku 20. ove presude).
180
S obzirom na sva ta razmatranja, prvi i treći prigovor iz četvrtog tužbenog razloga valja odbiti.
b)
Drugi prigovor iz četvrtog tužbenog razloga, prema kojem studija koju je Komisija naručila 2018., koja je dokazala da su slučajevi u kojima su organizacije s poslovnim nastanom u Sjedinjenim Američkim Državama koje su pristupile sustavu zaštite privatnosti donosile automatizirane odluke preostali slučajevi, nije relevantna u ovom slučaju
181
Tužitelj drugim prigovorom iz četvrtog tužbenog razloga tvrdi da činjenica da se u studiji o automatiziranim odlukama, navedenoj u uvodnoj izjavi 34. pobijane odluke, koju je Komisija naručila 2018. i čiji su rezultati navedeni u točki 4.1.5. Izvješća Komisije Europskom parlamentu i Vijeću od 19. prosinca 2018. o drugom godišnjem preispitivanju funkcioniranja europsko‑američkog sustava zaštite privatnosti (COM(2018) 860 final) (u daljnjem tekstu: studija iz 2018.), zaključilo da ne postoje dokazi o postojanju automatiziranih odluka koje donose organizacije s poslovnim nastanom u Sjedinjenim Američkim Državama koje su pristupile sustavu zaštite privatnosti, nije relevantna u ovom slučaju. Konkretnije, tvrdi da se navedena studija odnosi na odluku o primjerenosti sustava zaštite privatnosti koju je Sud poništio u presudi Schrems II i da se u njoj ne uzima u obzir trenutačna situacija, koju obilježava iznimno brz razvoj automatiziranih usluga koje se temelje na umjetnoj inteligenciji.
182
Komisija, koju podupiru Irska i Sjedinjene Američke Države, osporava tužiteljevu argumentaciju.
183
Iz studije iz 2018. osobito proizlazi da se, s jedne strane, na temelju nijednog podatka tada nije moglo smatrati da su poduzetnici s poslovnim nastanom u Sjedinjenim Američkim Državama koji su pristupili sustavu zaštite privatnosti donosili automatizirane odluke i da su, s druge strane, Sjedinjene Američke Države provele sektorsko zakonodavstvo u područjima kao što su potrošačko kreditiranje, zapošljavanje, stanovanje, osiguranje i zdravstveno osiguranje, u kojima je bilo vjerojatnije da su se donosile automatizirane odluke.
184
U tom pogledu, na prvom mjestu, valja navesti da se studija iz 2018. ne navodi u odluci o primjerenosti sustava zaštite privatnosti i da ju je Komisija naručila nakon stupanja na snagu navedene odluke. Činjenica da je Sud tu odluku poništio u presudi Schrems II stoga nije relevantna u ovom slučaju. Usto, Sud u presudi Schrems II nije poništio navedenu odluku na temelju elemenata navedenih u navedenoj studiji.
185
Na drugom mjestu, točno je da se u studiji iz 2018. nije uzela u obzir činjenična i pravna situacija u Sjedinjenim Američkim Državama 2023., na dan donošenja pobijane odluke, nego situacija koja je postojala 2018., kada se ta studija provodila. Međutim, u Izvješću Komisije Europskom parlamentu i Vijeću od 23. listopada 2019. o trećem godišnjem preispitivanju europsko‑američkog sustava zaštite privatnosti (COM(2019) 495 final) potvrđeno je da su slučajevi u kojima su organizacije s poslovnim nastanom u Sjedinjenim Američkim Državama koje su pristupile sustavu zaštite privatnosti i donosile automatizirane odluke preostali slučajevi. Naime, u tom se izvješću osobito navodi da je broj organizacija s poslovnim nastanom u Sjedinjenim Američkim Državama koje su sudjelovale u sustavu zaštite privatnosti i donosile automatizirane odluke ograničen i da odluke koje su te organizacije donosile općenito nisu imale pravne učinke niti proizvodile druge učinke u odnosu na ispitanike.
186
Na trećem mjestu, valja navesti da tužitelj u svojim pismenima nije pružio nijedan dokaz na temelju kojeg bi se moglo smatrati da su, nakon provedbe studije iz 2018., organizacije s poslovnim nastanom u Sjedinjenim Američkim Državama donosile automatizirane odluke niti je u dovoljnoj mjeri objasnio razlog zbog kojeg bi se razvojem umjetne inteligencije navedenoj studiji oduzela relevantnost.
187
U tom kontekstu valja odbiti drugi prigovor iz četvrtog tužbenog razloga, a stoga i navedeni tužbeni razlog u cijelosti.
5.
Peti tužbeni razlog, koji se temelji na povredi članka 32. OUZP‑a, u vezi s člankom 45. stavkom 2. te uredbe
188
Tužitelj petim tužbenim razlogom tvrdi da je Komisija povrijedila članak 32. OUZP‑a, u vezi s člankom 45. stavkom 2. te uredbe, jer je u pobijanoj odluci smatrala da Sjedinjene Američke Države pružaju razinu zaštite koja je bitno ekvivalentna onoj koja se jamči u Uniji u pogledu odgovarajućih tehničkih i organizacijskih mjera koje voditelji obrade i izvršitelji obrade s poslovnim nastanom u Sjedinjenim Američkim Državama primjenjuju kako bi zajamčili zaštitu obrade osobnih podataka koji se iz Unije prenose u tu zemlju.
189
U tom pogledu, na prvom mjestu, tužitelj tvrdi da se u točki II.4. podtočki (a) Priloga 1. pobijanoj odluci samo predviđa da organizacije uključene u okvir EU‑a i SAD‑a za privatnost podataka trebaju poduzeti razumne i odgovarajuće mjere zaštite samo kad stvaraju, održavaju, upotrebljavaju ili šire osobne informacije. Stoga se nijedna mjera zaštite ne zahtijeva kad te organizacije obavljaju uvid u osobne podatke koji dolaze iz Unije. Tužitelj tvrdi da je obavljanje uvida ipak dio postupaka obuhvaćenih pojmom „obrada” osobnih podataka iz članka 4. točke 2. OUZP‑a.
190
Na drugom mjestu, tužitelj tvrdi da se točkom III.6. podtočkom (f) Priloga 1. pobijanoj odluci predviđa obveza organizacija s poslovnim nastanom u Sjedinjenim Američkim Državama koje napuštaju okvir EU‑a i SAD‑a za privatnost podataka da nastave poštovati načela iz te odluke, uključujući ona koja se odnose na sigurnost obrade, tako dugo dok pohranjuju, upotrebljavaju ili otkrivaju osobne podatke prenesene iz Unije u Sjedinjene Američke Države, ali se takva obveza ne predviđa kad te organizacije obavljaju uvid u osobne podatke.
191
Komisija, koju podupiru Irska i Sjedinjene Američke Države, osporava tužiteljevu argumentaciju.
192
Uvodno najprije valja podsjetiti na to da tekst članka 32. OUZP‑a glasi kako slijedi:
„1.   Uzimajući u obzir najnovija dostignuća, troškove provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizik različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, voditelj obrade i izvršitelj obrade provode odgovarajuće tehničke i organizacijske mjere kako bi osigurali odgovarajuću razinu sigurnosti s obzirom na rizik, uključujući prema potrebi:
(a)
pseudonimizaciju i enkripciju osobnih podataka;
(b)
sposobnost osiguravanja trajne povjerljivosti, cjelovitosti, dostupnosti i otpornosti sustava i usluga obrade;
(c)
sposobnost pravodobne ponovne uspostave dostupnosti osobnih podataka i pristupa njima u slučaju fizičkog ili tehničkog incidenta;
(d)
proces za redovno testiranje, ocjenjivanje i procjenjivanje učinkovitosti tehničkih i organizacijskih mjera za osiguravanje sigurnosti obrade.
2.   Prilikom procjene odgovarajuće razine sigurnosti u obzir se posebno uzimaju rizici koje predstavlja obrada, posebno rizici od slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja osobnih podataka ili neovlaštenog pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani.”
193
Nadalje, izraz „obrada”, koji se navodi u članku 32. OUZP‑a, definiran je u članku 4. točki 2. te uredbe kao „svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje”.
194
Prema sudskoj praksi, iz izraza „svaki postupak”, koji je naveden u članku 4. točki 2. OUZP‑a, osobito proizlazi da je zakonodavac Unije namjeravao dati široko značenje pojmu „obrada”, što je potkrijepljeno neiscrpnošću – na koju upućuje izraz „kao što su” – postupaka nabrojenih u navedenoj odredbi (vidjeti presudu od 7. ožujka 2024., Endemol Shine Finland, C‑740/22, EU:C:2024:216, t. 29. i navedenu sudsku praksu).
195
Naposljetku, valja istaknuti da se, među elementima koje Komisija treba uzeti u obzir kad na temelju članka 45. stavka 2. točke (a) OUZP‑a procjenjuje razinu zaštite koju pruža neka treća zemlja, nalaze mjere zaštite u pogledu osobnih podataka koje provodi ta zemlja.
196
Upravo u tom kontekstu valja zajedno ispitati dva argumenta koja je tužitelj istaknuo u potporu ovom tužbenom razlogu.
197
U tom pogledu valja podsjetiti na to da tekst točke II.4. podtočke (a) Priloga 1. pobijanoj odluci glasi kako slijedi:
„Organizacije koje stvaraju, održavaju, upotrebljavaju ili šire osobne informacije moraju poduzeti razumne i odgovarajuće mjere kako bi ih zaštitile od gubitka, zlouporabe i neovlaštenog pristupa, otkrivanja, izmjene i uništenja, uzimajući u obzir rizike povezane s obradom i prirodu osobnih podataka.”
198
Usto, tekst točke III.6. podtočke (f) Priloga 1. pobijanoj odluci glasi kako slijedi:
„Organizacija mora primjenjivati Načela pri obradi svih osobnih podataka koje primi od EU‑a u skladu s okvirom EU‑a i SAD‑a za privatnost podataka. Preuzeta obveza pridržavanja Načela nije vremenski ograničena u odnosu na osobne podatke zaprimljene u razdoblju u kojem se na organizaciju primjenjuje okvir EU‑a i SAD‑a za privatnost podataka, nego ta obveza znači da će organizacija nastaviti primjenjivati Načela na takve podatke sve dok ih pohranjuje, upotrebljava ili otkriva, čak i ako poslije iz bilo kojeg razloga napusti okvir EU‑a i SAD‑a za privatnost podataka.”
199
Iz toga slijedi da se točka II.4. podtočka (a) i točka III.6. podtočka (f) Priloga 1. pobijanoj odluci ne odnose na sve oblike obrade osobnih podataka u smislu članka 4. točke 2. OUZP‑a. Naprotiv, s jedne strane, prva od navedenih točaka ograničava obvezu organizacija uključenih u okvir EU‑a i SAD‑a za privatnost podataka da donose mjere zaštite samo na slučajeve u kojima stvaraju, održavaju, upotrebljavaju ili šire osobne podatke. S druge strane, drugom od navedenih točaka predviđa se da organizacije koje napuštaju okvir EU‑a i SAD‑a za privatnost podataka trebaju nastaviti primjenjivati načela navedena u pobijanoj odluci sve dok pohranjuju, upotrebljavaju ili otkrivaju osobne podatke prenesene iz Unije u Sjedinjene Američke Države.
200
Međutim, kao prvo, valja podsjetiti na to da je Sud u presudama Schrems I i Schrems II smatrao da treća zemlja ne treba osigurati sudsku zaštitu koja je jednaka onoj koja se jamči u pravnom poretku Unije (vidjeti točke 19. i 20. ove presude). Iz toga slijedi da, iako Komisija u pobijanoj odluci smatra da se pravom Sjedinjenih Američkih Država koje je bilo na snazi u trenutku donošenja te odluke jamčila razina zaštite koja je bitno ekvivalentna onoj predviđenoj pravom Unije, navedena odluka ne mora nužno sadržavati točno iste izraze kao što su oni navedeni u OUZP‑u.
201
Kao drugo, načela navedena u točki II.4. podtočki (a) Priloga 1. pobijanoj odluci treba tumačiti s obzirom na elemente navedene u uvodnoj izjavi 23. navedene odluke, kojom se, slično kao i člankom 32. OUZP‑a, predviđa sljedeće:
„Osobni podaci trebali bi se obrađivati tako da se jamči njihova sigurnost, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja. U tu bi svrhu voditelji i izvršitelji obrade trebali poduzeti odgovarajuće tehničke ili organizacijske mjere za zaštitu osobnih podataka od mogućih prijetnji. Te bi mjere trebalo procijeniti uzimajući u obzir najnovija dostignuća, povezane troškove te prirodu, opseg, kontekst i svrhe obrade, kao i rizike za prava pojedinaca.”
202
Kao treće, valja istaknuti da izrazi „stvarati”, „održavati”, „upotrebljavati” i „širiti” navedeni u točki II.4. podtočki (a) Priloga 1. pobijanoj odluci, kao i izrazi „pohranjivati”, „upotrebljavati” i „otkrivati” navedeni u točki III.6. podtočki (f) tog priloga predstavljaju konkretne oblike postupka „obrade” osobnih podataka u smislu članka 32. OUZP‑a i da se, na istoj osnovi kao i tim člankom, njima nastoji obuhvatiti širok raspon postupaka koji se odnose na osobne podatke.
203
Kao četvrto, izraz „upotrebljavati”, naveden u točki II.4. podtočki (a) Priloga 1. pobijanoj odluci i u točki III.6. podtočki (f) tog priloga, definira se kao čin upotrebe nečega za određenu svrhu ili namjenu. U tom smislu upotreba osobnih podataka uključuje obavljanje uvida u njih jer je, po definiciji, kako bi se moglo upotrijebiti podatke, prethodno potrebno imati pristup podacima i stoga obaviti uvid u njih. Iz toga proizlazi da nije osnovan tužiteljev argument prema kojem se u pobijanoj odluci ne zahtijeva nijedna mjera zaštite kad organizacije uključene u okvir EU‑a i SAD‑a za privatnost podataka obavljaju uvid u osobne podatke koji dolaze iz Unije.
204
S obzirom na sve te elemente, valja odbiti peti tužbeni razlog i stoga tužbu u cijelosti.
IV. Troškovi
205
U skladu s člankom 134. stavkom 1. Poslovnika, stranka koja ne uspije u postupku dužna je, na zahtjev protivne stranke, snositi troškove.
206
Budući da je Komisija zahtijevala da se tužitelju naloži snošenje troškova i da on nije uspio u postupku, valja mu naložiti da, osim vlastitih troškova, snosi Komisijine troškove, uključujući troškove nastale u okviru postupka privremene pravne zaštite.
207
Osim toga, na temelju članka 138. stavka 1. Poslovnika, države članice i institucije koje interveniraju u postupak snose vlastite troškove. Stoga će Irska snositi vlastite troškove.
208
Usto, u skladu s člankom 138. stavkom 3. Poslovnika, Opći sud može odlučiti da će intervenijent koji nije jedan od onih navedenih u stavcima 1. i 2. tog članka snositi vlastite troškove. U ovom slučaju valja odlučiti da će Sjedinjene Američke Države snositi vlastite troškove.
Slijedom navedenog,
OPĆI SUD (deseto prošireno vijeće)
proglašava i presuđuje:
1.
Tužba se odbija.
2.
Philippe Latombe snosit će vlastite troškove i troškove Europske komisije, uključujući troškove nastale u okviru postupka privremene pravne zaštite.
3.
Irska će snositi vlastite troškove.
4.
Sjedinjene Američke Države snosit će vlastite troškove.
Porchia
Jaeger
Madise
Nihoul
Verschuur
Objavljeno na javnoj raspravi u Luxembourgu 3. rujna 2025.
Potpisi
(
*1
)	Jezik postupka: francuski