62023TJ0553
UNIONIN YLEISEN TUOMIOISTUIMEN TUOMIO (kymmenes laajennettu jaosto)
3 päivänä syyskuuta 2025 (
*1
)
Henkilötietojen siirtäminen Yhdysvaltoihin – Yhdysvaltojen tarjoaman tietosuojan tason riittävyydestä annettu komission täytäntöönpanopäätös – Oikeus tehokkaisiin oikeussuojakeinoihin – Oikeus yksityis- ja perhe-elämän kunnioittamiseen – Pelkästään henkilötietojen automaattiseen käsittelyyn perustuvat päätökset – Henkilötietojen käsittelyn turvallisuus
Asiassa T‑553/23,
Philippe Latombe, kotipaikka Nantes (Ranska), edustajinaan asianajajat N. Coutrelis, J.-B. Soufron ja T. Lamballe,
kantajana,
vastaan
Euroopan komissio, asiamiehinään D. Calleja Crespo, A. Bouchagiar, H. Kranenborg ja V. Ladenburger,
vastaajana,
jota tukevat
Irlanti, asiamiehinään M. Browne, S. Finnegan ja M. A. Joyce, avustajinaan S. Brittain, barrister, ja V. Donnelly, SC,
ja
Amerikan yhdysvallat, asiamiehinään B. Walsh, S. Barton ja A. Finlay, solicitors, E. Barrington, SC, ja M. D. Hardiman, barrister,
väliintulijoina,
UNIONIN YLEINEN TUOMIOISTUIN (laajennettu kymmenes jaosto),
toimien kokoonpanossa: jaoston puheenjohtaja O. Porchia sekä tuomarit M. Jaeger (esittelevä tuomari), L. Madise, S. Nihoul ja S. Verschuur,
kirjaaja: hallintovirkamies I. Kurme,
ottaen huomioon 12.10.2023 annetun määräyksen Latombe v. komissio (T‑553/23 R, ei julkaistu, EU:T:2023:621),
ottaen huomioon kirjallisessa käsittelyssä esitetyn,
ottaen huomioon 1.4.2025 pidetyssä istunnossa esitetyn,
on antanut seuraavan
tuomion
1
Kantajana oleva Philippe Latombe vaatii SEUT 263 artiklaan perustuvalla kanteellaan Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 nojalla EU:n ja Yhdysvaltojen tietosuojakehyksen tarjoaman tietosuojan tason riittävyydestä 10.7.2023 annetun komission täytäntöönpanopäätöksen (EU) 2023/1795 (EUVL 2023, L 231, s. 118; jäljempänä riidanalainen päätös) kumoamista.
I Asian tausta
2
Kantaja on Ranskan kansalainen, joka väittää, että useilla hänen käyttämillään tietoteknisillä alustoilla kerätään hänen henkilötietojaan ja siirretään ne Yhdysvaltoihin.
3
Siltä osin kuin on kyse henkilötietojen siirtämisestä Euroopan unionista Yhdysvaltoihin, unionin tuomioistuin totesi ensin 6.10.2015 antamassaan tuomiossa Schrems (C‑362/14, EU:C:2015:650; jäljempänä tuomio Schrems I), että Euroopan parlamentin ja neuvoston direktiivin 95/46/EY mukaisesti yksityisyyden suojaa koskevien safe harbor ‑periaatteiden antaman suojan riittävyydestä ja niihin liittyvistä Yhdysvaltojen kauppaministeriön julkaisemista tavallisimmista kysymyksistä 26.7.2000 tehty komission päätös 2000/520/EY (EYVL 2000, L 215, s. 7) on pätemätön.
4
Myöhemmin unionin tuomioistuin totesi 16.7.2020 antamassaan tuomiossa Facebook Ireland ja Schrems (C‑311/18, EU:C:2020:559; jäljempänä tuomio Schrems II), että Euroopan parlamentin ja neuvoston direktiivin 95/46/EY nojalla EU:n ja Yhdysvaltojen välisen Privacy Shield ‑järjestelyn tarjoaman tietosuojan tason riittävyydestä 12.7.2016 annettu komission täytäntöönpanopäätös (EU) 2016/1250 (EUVL 2016, L 207, s. 1; jäljempänä Privacy Shield ‑järjestelyn tietosuojan riittävyyttä koskeva päätös) on pätemätön.
5
Tuomiossa Schrems I ja tuomiossa Schrems II unionin tuomioistuin, jonka käsiteltäväksi oli kummassakin tapauksessa saatettu pätevyyden arviointia koskeva ennakkoratkaisupyyntö, totesi muun muassa, että toisin kuin Euroopan komissio oli arvioinut edellä 3 ja 4 kohdassa mainituissa tietosuojan riittävyyttä koskevissa päätöksissä, safe harbor ‑järjestelyllä ja Privacy Shield ‑järjestelyllä, jotka koskevat henkilötietojen siirtoa, ei taata perusvapauksien ja ‑oikeuksien suojan sellaista tasoa, joka pääosiltaan vastaa unionin oikeudessa taatun suojan tasoa.
6
Tuomion Schrems II antamisen jälkeen komissio aloitti Yhdysvaltojen hallinnon kanssa neuvottelut mahdollisesta uudesta tietosuojan riittävyyttä koskevasta päätöksestä, joka olisi luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1; jäljempänä yleinen tietosuoja-asetus) 45 artiklan 2 kohdan vaatimusten mukainen, sellaisina kuin unionin tuomioistuin on niitä tulkinnut.
7
Amerikan yhdysvallat antoi 7.10.2022 toimeenpanoasetuksen (Executive Order) EO 14086 (jäljempänä toimeenpanoasetus 14086), jolla tehostetaan Yhdysvaltojen tiedusteluelinten toteuttamaan signaalitiedustelutoimintaan sovellettavia yksityisyyden suojaa koskevia toimenpiteitä. Tätä asetusta on täydennetty oikeusministerin asetuksella (Attorney General Order) nro 5517–2022 (jäljempänä oikeusministerin asetus), jolla liittovaltion säännöstön (Code of Federal Regulations) 28 osastoon lisättiin 201 osa, jossa säädetään Data Protection Review Courtin (tietosuojaa käsittelevä muutoksenhakutuomioistuin, Yhdysvallat; jäljempänä DPRC) perustamisesta ja toiminnasta.
8
Tätä Yhdysvaltojen lainsäädännössä tapahtunutta kehitystä tarkasteltuaan komissio antoi 10.7.2023 yleisen tietosuoja-asetuksen 45 artiklan 3 kohdan nojalla riidanalaisen päätöksen, jolla otetaan käyttöön uusi transatlanttinen tietovirtakehys unionin ja Yhdysvaltojen välistä henkilötietojen siirtoa varten. Mainitun päätöksen 1 artiklassa säädetään, että Yhdysvallat varmistaa sellaisten henkilötietojen riittävän suojan tason, joita siirretään unionista sellaisille Yhdysvalloissa sijaitseville organisaatioille, jotka sisältyvät Yhdysvaltojen kauppaministeriön ylläpitämään ja julkisesti saataville asettamaan unionin ja Yhdysvaltojen tietosuojakehyksen (jäljempänä tietosuojakehys) osallistujaluetteloon (jäljempänä tietosuojakehykseen kuuluvat organisaatiot).
II Asianosaisten vaatimukset
9
Kantaja vaatii, että unionin yleinen tuomioistuin
–
kumoaa riidanalaisen päätöksen olennaisin osin kokonaisuudessaan
–
velvoittaa komission korvaamaan oikeudenkäyntikulut.
10
Komissio, jota Irlanti ja Amerikan yhdysvallat tukevat, vaatii, että unionin yleinen tuomioistuin
–
jättää kanteen tutkimatta
–
toissijaisesti hylkää kanteen perusteettomana
–
velvoittaa kantajan korvaamaan oikeudenkäyntikulut.
III Oikeudellinen arviointi
A Oikeudenkäyntiväite
11
Komissio esitti unionin yleisen tuomioistuimen kirjaamoon 1.12.2023 toimittamallaan erillisellä asiakirjalla oikeudenkäyntiväitteen unionin yleisen tuomioistuimen työjärjestyksen 130 artiklan nojalla.
12
Komissio väittää, että kanne on jätettävä tutkimatta, koska kantajalla ei ole asiavaltuutta eikä oikeussuojan tarvetta ja koska sitä riidanalaisen päätöksen osaa, jota kantaja vaatii kumottavaksi, ei voida erottaa päätöksen muista osista.
13
Kantaja kiistää komission väitteet ja väittää, että hänen kanteensa on otettava tutkittavaksi.
14
On muistutettava, että unionin tuomioistuimilla on oikeus arvioida kunkin asian olosuhteiden perusteella, voidaanko kanteen hylkäämistä lausumatta sitä ennen sen tutkittavaksi ottamisesta pitää hyvän oikeudenkäytön perusteella oikeutettuna (ks. vastaavasti tuomio 26.2.2002, neuvosto v. Boehringer, C‑23/00 P, EU:C:2002:118, 51 ja 52 kohta).
15
Käsiteltävän asian olosuhteissa unionin yleinen tuomioistuin katsoo, että koska kanne on joka tapauksessa jäljempänä 16–204 kohdassa esitetyistä syistä perusteeton, hyvän oikeudenhoidon vuoksi kanteen perusteltavuus voidaan tutkia lausumatta ensin sen tutkittavaksi ottamisesta (ks. vastaavasti tuomio 10.10.2014, Marchiani v. parlamentti, T‑479/13, ei julkaistu, EU:T:2014:866, 23 kohta ja tuomio 20.12.2023, Naturstrom v. komissio, T‑60/21, ei julkaistu, EU:T:2023:839, 74 kohta).
B Asiakysymys
16
Kanteensa tueksi kantaja vetoaa viiteen kanneperusteeseen, joista
–
ensimmäinen perustuu Euroopan talousyhteisössä käytettäviä kieliä koskevista järjestelyistä 15.4.1958 annetun neuvoston asetuksen N:o 1/1958 (EYVL 1958, 17, s. 385) 3 ja 4 artiklan rikkomiseen
–
toinen Euroopan unionin perusoikeuskirjan (jäljempänä perusoikeuskirja) 7 ja 8 artiklan rikkomiseen
–
kolmas perusoikeuskirjan 47 artiklan toisen kohdan ja yleisen tietosuoja-asetuksen 45 artiklan 2 kohdan rikkomiseen
–
neljäs yleisen tietosuoja-asetuksen 22 artiklan rikkomiseen
–
viides yleisen tietosuoja-asetuksen 32 artiklan, luettuna yhdessä 45 artiklan 2 kohdan kanssa, rikkomiseen.
17
Istunnossa kantaja ilmoitti luopuvansa asetuksen N:o 1/1958 3 ja 4 artiklan rikkomista koskevasta ensimmäisestä kanneperusteestaan. Näin ollen on tutkittava ainoastaan kantajan toinen, kolmas, neljäs ja viides kanneperuste.
1.
Alustavat huomautukset
18
Ensinnäkin on huomautettava, että yleisen tietosuoja-asetuksen 45 artiklan 1 kohdassa säädetään, että henkilötietojen siirto johonkin kolmanteen maahan voidaan toteuttaa, jos komissio on päättänyt, että kyseinen kolmas maa tai kolmannen maan alue tai yksi tai useampi tietty sektori varmistaa riittävän tietosuojan tason. Tämä säännös sisältyy yleisen tietosuoja-asetuksen V lukuun, jonka säännöksillä pyritään, kuten unionin tuomioistuin on todennut, varmistamaan yleisesti unionin oikeudessa taatun henkilötietojen suojan korkean tason jatkuvuus, kun henkilötietoja siirretään kolmansiin maihin (ks. vastaavasti tuomio Schrems II, 93 kohta).
19
Tältä osin unionin tuomioistuin on täsmentänyt, että ilman, että vaadittaisiin, että asianomainen kolmas maa takaa täysin saman suojan kuin unionin oikeusjärjestyksessä taataan, yleisen tietosuoja-asetuksen 45 artiklan 1 kohdassa käytetty ilmaus ”tietosuojan riittävä taso” on ymmärrettävä siten, että se edellyttää, että tämä kolmas maa tosiasiallisesti takaa maan sisäisen lainsäädäntönsä tai kansainvälisten sitoumustensa johdosta perusvapauksien ja ‑oikeuksien suojan sellaisen tason, joka pääosiltaan vastaa tasoa, joka taataan unionissa tämän asetuksen, luettuna perusoikeuskirjan valossa, nojalla (ks. vastaavasti tuomio Schrems II, 94 ja 162 kohta).
20
Unionin tuomioistuin on myös todennut, että vaikka keinot, joita kyseinen kolmas maa tässä yhteydessä käyttää taatakseen tällaisen suojan tason, voivat poiketa niistä, joita unionissa käytetään direktiivistä 95/46, luettuna perusoikeuskirjan valossa, johtuvien vaatimusten noudattamiseksi, keinojen on käytännössä osoittauduttava tehokkaiksi takaamaan suoja, joka pääosiltaan vastaa unionissa taattua suojaa (tuomio Schrems I, 74 kohta).
21
Lisäksi unionin tuomioistuin on katsonut, että kun otetaan huomioon yhtäältä henkilötietojen suojan tärkeä rooli yksityiselämän kunnioitusta koskevan perusoikeuden kannalta ja toisaalta sellaisten henkilöiden merkittävä määrä, joiden perusoikeudet voivat tulla loukatuiksi siirrettäessä henkilötietoja kolmanteen maahan, joka ei takaa tietosuojan riittävää tasoa, komission harkintavalta kolmannen maan takaaman tietosuojan tason riittävyyden arvioinnissa on pieni, joten unionin tuomioistuinten on valvottava tarkasti tietosuojan riittävyyttä koskevien päätösten lainmukaisuutta (tuomio Schrems I, 78 kohta).
22
Toiseksi on muistutettava, että vakiintuneen oikeuskäytännön mukaan unionin toimen lainmukaisuutta on arvioitava toimen antamisajankohtana olemassa olleiden tosiseikkojen ja oikeudellisten seikkojen perusteella, joten päätöksen antamisen jälkeen toteutetut toimet eivät voi vaikuttaa päätöksen pätevyyteen (ks. tuomio 17.10.2019, Alcogroup ja Alcodis v. komissio, C‑403/18 P, EU:C:2019:870, 45 kohta oikeuskäytäntöviittauksineen ja tuomio 28.1.2021, Qualcomm ja Qualcomm Europe v. komissio, C‑466/19 P, EU:C:2021:76, 82 kohta oikeuskäytäntöviittauksineen). Käsiteltävässä asiassa komission riidanalaisen päätöksen lainmukaisuudesta tekemiä arvioita on tutkittava ainoastaan niiden seikkojen perusteella, jotka olivat komission tiedossa sen arvioidessa asiaa.
23
Kantajan esittämiä kanneperusteita on tarkasteltava tätä taustaa vasten siten, että ensimmäiseksi tutkitaan kolmas kanneperuste, sen jälkeen toinen ja neljäs kanneperuste ja viimeiseksi viides kanneperuste.
2.
Kolmas kanneperuste, joka koskee perusoikeuskirjan 47 artiklan toisen kohdan ja yleisen tietosuoja-asetuksen 45 artiklan 2 kohdan rikkomista
24
Kolmannessa kanneperusteessaan kantaja väittää, että komissio rikkoi perusoikeuskirjan 47 artiklan toista kohtaa ja yleisen tietosuoja-asetuksen 45 artiklan 2 kohtaa, kun se katsoi riidanalaisessa päätöksessä, että DPRC:n tarjoama suojan taso on riittävä siltä osin kuin on kyse unionin kansalaisten oikeudesta saada asiansa käsitellyksi etukäteen laillisesti perustetussa riippumattomassa ja puolueettomassa tuomioistuimessa.
25
Aluksi on todettava, että perusoikeuskirjan 47 artiklan toisessa kohdassa määrätään seuraavaa:
”Jokaisella on oikeus kohtuullisen ajan kuluessa oikeudenmukaiseen ja julkiseen oikeudenkäyntiin riippumattomassa ja puolueettomassa tuomioistuimessa, joka on etukäteen laillisesti perustettu. Jokaisella on oltava mahdollisuus saada neuvoja ja antaa toisen henkilön puolustaa ja edustaa itseään.”
26
Euroopan unionin perusoikeuskirjan selitysten (EUVL 2007, C 303, s. 17) mukaan perusoikeuskirjan 47 artiklan toinen kohta vastaa Roomassa 4.11.1950 allekirjoitetun ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn yleissopimuksen (jäljempänä Euroopan ihmisoikeussopimus) 6 artiklan 1 kappaletta. Jälkimmäisessä määrätään seuraavaa:
”Jokaisella on oikeus kohtuullisen ajan kuluessa oikeudenmukaiseen ja julkiseen oikeudenkäyntiin laillisesti perustetussa riippumattomassa ja puolueettomassa tuomioistuimessa silloin, kun päätetään hänen oikeuksistaan ja velvollisuuksistaan tai häntä vastaan nostetusta rikossyytteestä.”
27
Tältä osin on muistutettava oikeuskäytännöstä ilmenevän, että koska Euroopan ihmisoikeussopimusta ei voida pitää – niin kauan kuin unioni ei ole siihen liittynyt – muodollisesti unionin oikeusjärjestykseen sisältyvänä oikeudellisena välineenä, unionin johdetun oikeuden säädöksen pätevyys on tutkittava ainoastaan perusoikeuskirjassa taattujen perusoikeuksien kannalta (tuomio 3.9.2015, Inuit Tapiriit Kanatami ym. v. komissio, C‑398/13 P, EU:C:2015:535, 45 ja 46 kohta).
28
Oikeuskäytännössä kuitenkin muistutetaan yhtäältä, että SEU 6 artiklan 3 kohdan mukaan Euroopan ihmisoikeussopimuksessa taatut perusoikeudet ovat yleisinä periaatteina osa unionin oikeutta, ja toisaalta, että perusoikeuskirjan 52 artiklan 3 kohdasta ilmenee, että siltä osin kuin perusoikeuskirjan oikeudet vastaavat Euroopan ihmisoikeussopimuksessa taattuja oikeuksia, niiden merkitys ja ulottuvuus ovat samat kuin Euroopan ihmisoikeussopimuksessa (ks. tuomio 31.5.2018, Korwin-Mikke v. parlamentti, T‑770/16, EU:T:2018:320, 38 kohta oikeuskäytäntöviittauksineen).
29
Oikeuskäytännön mukaan niitä perusoikeuskirjaan sisältyviä oikeuksia, jotka vastaavat Euroopan ihmisoikeussopimuksessa taattuja oikeuksia, on siis johdonmukaisuuden vuoksi tulkittava myös Euroopan ihmisoikeustuomioistuimen oikeuskäytännön valossa, sanotun kuitenkaan vaikuttamatta unionin oikeuden ja Euroopan unionin tuomioistuimen riippumattomuuteen (ks. vastaavasti tuomio 9.11.2023, Staatssecretaris van Justitie en Veiligheid (Vakavan haitan käsite), C‑125/22, EU:C:2023:843, 59 kohta ja tuomio 31.5.2018, Korwin-Mikke v. parlamentti, T‑770/16, EU:T:2018:320, 38 kohta).
30
Oikeuskäytännön mukaan tästä seuraa, että unionin tuomioistuimen on huolehdittava siitä, että tulkinta, jonka se omaksuu perusoikeuskirjan 47 artiklan toisesta kohdasta, turvaa suojelulle tason, joka noudattaa Euroopan ihmisoikeussopimuksen 6 artiklan 1 kappaleen, sellaisena kuin Euroopan ihmisoikeustuomioistuin on sitä tulkinnut, tarjoamaa tasoa (ks. tuomio 6.10.2021, W.Ż. (Ylimmän tuomioistuimen ylimääräistä valvontaa ja julkisia asioita käsittelevä jaosto – Nimittäminen), C‑487/19, EU:C:2021:798, 123 kohta oikeuskäytäntöviittauksineen).
31
On myös huomattava, että yleisen tietosuoja-asetuksen 45 artiklan 2 kohdassa säädetään, että arvioidessaan tietosuojan riittävyyttä komissio ottaa huomioon etenkin seuraavat seikat:
”a)
– – rekisteröidyille kuuluvat vaikuttavat ja täytäntöönpanokelpoiset oikeudet ja tehokkaat hallinnolliset ja oikeudelliset muutoksenhakukeinot niitä rekisteröityjä varten, joiden henkilötietoja siirretään;
b)
se, onko kyseisessä kolmannessa maassa tai siinä kolmannessa maassa, jonka alaisuuteen kansainvälinen järjestö kuuluu, vähintään yksi tehokkaasti toimiva riippumaton valvontaviranomainen, joka vastaa tietosuojasääntöjen noudattamisen varmistamisesta ja täytäntöönpanosta, kuten riittävistä valvontavaltuuksista, oikeuksien käyttämistä koskevan avun ja neuvojen tarjoamisesta rekisteröidyille sekä yhteistyön tekemisestä jäsenvaltioiden valvontaviranomaisten kanssa”.
32
Kantajan kolmannen kanneperusteen tueksi esittämät kaksi väitettä on tutkittava näiden seikkojen valossa.
a)
Kolmannen kanneperusteen ensimmäinen väite, jonka mukaan DPRC ei ole riippumaton ja puolueeton tuomioistuin
33
Kolmannen kanneperusteensa ensimmäisessä väitteessä kantaja väittää, että DPRC ei ole perusoikeuskirjan 47 artiklan toisessa kohdassa tarkoitettu riippumaton ja puolueeton tuomioistuin vaan toimeenpanovallasta riippuvainen oikeusturvaelin.
34
Komissio, jota Irlanti ja Amerikan yhdysvallat tukevat, kiistää kantajan väitteet.
35
Aluksi on todettava, että oikeuskäytännön mukaan tuomioistuinten riippumattomuuden vaatimus, joka kuuluu erottamattomasti tuomioistuimen tehtävään, on osa tehokasta oikeussuojaa koskevan oikeuden ja oikeudenmukaista oikeudenkäyntiä koskevan perusoikeuden keskeistä sisältöä, ja viimeksi mainitulla perusoikeudella on ensisijainen merkitys sen takaajana, että suojataan kaikkia niitä oikeuksia, joita yksityisillä on unionin oikeuden nojalla, ja että turvataan ne jäsenvaltioille yhteiset arvot, jotka on vahvistettu SEU 2 artiklassa ja joihin kuuluu muun muassa oikeusvaltiota koskeva arvo (tuomio 15.7.2021, komissio v. Puola (Tuomareiden kurinpitojärjestelmä), C‑791/19, EU:C:2021:596, 58 kohta oikeuskäytäntöviittauksineen). Oikeusvaltion toiminnalle tunnusomaisen vallanjako-opin mukaisesti tuomioistuinten riippumattomuus lainsäädäntö- ja toimeenpanovallasta on lisäksi taattava (ks. tuomio 18.5.2021, Asociaţia Forumul Judecătorilor din România ym., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 ja C‑397/19, EU:C:2021:393, 195 kohta oikeuskäytäntöviittauksineen).
36
Oikeuskäytännössä täsmennetään, että tuomioistuinten riippumattomuuden vaatimus käsittää kuitenkin kaksi osatekijää. Ensimmäinen, ulkoinen osatekijä edellyttää, että asianomainen elin huolehtii tehtävistään itsenäisesti olematta missään hierarkkisessa tai alisteisessa suhteessa mihinkään tahoon ja ottamatta vastaan määräyksiä tai ohjeita miltään taholta, ja se on siis suojattu sellaisilta ulkoisilta toimenpiteiltä tai painostuksilta, jotka voivat vaarantaa sen jäsenten päätöksenteon riippumattomuuden ja vaikuttaa heidän ratkaisuihinsa. Toinen, sisäinen osatekijä liittyy puolestaan puolueettomuuden käsitteeseen ja merkitsee sitä, että tuomioistuin ylläpitää yhtäläistä etäisyyttä oikeusriidan asianosaisiin ja siihen, mitkä ovat heidän intressinsä oikeusriidan kohteeseen. Tämä osatekijä edellyttää objektiivisuuden noudattamista ja sitä, ettei elimellä ole muuta intressiä asian ratkaisun lopputulokseen kuin pelkkä oikeussääntöjen soveltaminen (ks. tuomio 21.12.2021, Euro Box Promotion ym., C‑357/19, C‑379/19, C‑547/19, C‑811/19 ja C‑840/19, EU:C:2021:1034, 224 kohta oikeuskäytäntöviittauksineen).
37
Unionin oikeudessa edellytetyt riippumattomuuden ja puolueettomuuden takeet edellyttävät sellaisten sääntöjen olemassaoloa, jotka koskevat muun muassa elimen kokoonpanoa ja sen jäsenten nimitystä ja toimikauden kestoa sekä perusteita, jotka koskevat elimen jäsenten pidättymistä päätöksenteosta, jääviyttä ja erottamista, ja joiden perusteella yksityisten kaikki perustellut epäilyt siltä osin, onko kyseinen elin täysin ulkopuolisen vaikutusvallan ulottumattomissa, ja siltä osin, onko se neutraali vastakkain oleviin intresseihin nähden, voidaan sivuuttaa (ks. tuomio 15.7.2021, komissio v. Puola (Tuomareiden kurinpitojärjestelmä), C‑791/19, EU:C:2021:596, 59 kohta oikeuskäytäntöviittauksineen).
38
Kantajan ensimmäisen väitteen tueksi esittämät kolme argumenttia on tutkittava tätä taustaa vasten.
1) Ensimmäinen argumentti, jonka mukaan DPRC ei ole riippumaton ja puolueeton tuomioistuin, koska sen tehtävä on Civil Liberties Protection Officer of the Director of National Intelligencen päätösten uudelleentarkastelu
39
Ensimmäisessä argumentissaan kantaja väittää lähinnä, että DPRC ei ole riippumaton ja puolueeton tuomioistuin, koska sen tehtävä on Director of National Intelligencen (kansallisen tiedustelupalvelun johtaja, Yhdysvallat) toimistossa työskentelevän Civil Liberties Protection Officerin (kansalaisvapauksien suojelusta vastaava virkamies, Yhdysvallat; jäljempänä CLPO) päätösten uudelleentarkastelu.
40
Komissio, jota Irlanti ja Amerikan yhdysvallat tukevat, kiistää kantajan argumentin.
41
Selvyyden vuoksi on täsmennettävä, että kolmannen kanneperusteen ensimmäisen väitteen ensimmäistä argumenttia on tulkittava siten, että kantaja katsoo yhtäältä, että tilanteessa, jossa CLPO käsittelee henkilötietoja koskevaa valitusta, jonka unionissa asuva rekisteröity on tehnyt vedotakseen signaalitiedustelutoimintaa koskevan Yhdysvaltojen lainsäädännön sellaiseen rikkomiseen, jolla loukataan hänen yksityisyyteen ja kansalaisvapauksiin liittyviä intressejään (jäljempänä henkilötietoja koskeva valitus), ei anneta riittäviä takeita CLPO:n riippumattomuuden varmistamiseksi, koska CLPO työskentelee kansallisen tiedustelupalvelun johtajan toimistossa, ja toisaalta, että DPRC ei ole riippumaton ja puolueeton tuomioistuin, koska CLPO:hon ei sovelleta riittäviä suojatoimia.
42
Aluksi on todettava, ettei CLPO:n riippumattomuutta koskevien takeiden tarkastelulla ole merkitystä arvioitaessa sitä, onko DPRC riippumaton ja puolueeton tuomioistuin. DPRC on nimittäin perustettu CLPO:n riippumattomaksi valvontaelimeksi, jossa – kuten riidanalaisen päätöksen johdanto-osan 184 perustelukappaleesta ilmenee – henkilötietoja koskevan valituksen tekijä ja jokainen tiedusteluyhteisön toimija voi hakea CLPO:n päätöksen uudelleentarkastelua, ja toimeenpanoasetuksessa 14086 on säädetty useista suojatoimista sen varmistamiseksi, että DPRC voi tarkastella CLPO:n päätöksiä uudelleen ja tapauksen mukaan muuttaa niitä riippumattomasti ja puolueettomasti.
43
Ensinnäkin riidanalaisen päätöksen johdanto-osan 185 ja 186 perustelukappaleesta ilmenee, eikä kantaja ole sitä kiistänyt, että DPRC:hen kuuluu vähintään kuusi tuomaria, jotka Attorney General (oikeusministeri, Yhdysvallat; jäljempänä oikeusministeri) nimittää kuultuaan Privacy and Civil Liberties Oversight Boardia (yksityisyyden suojan ja kansalaisvapauksien valvonnasta vastaava lautakunta, Yhdysvallat; jäljempänä PCLOB), Secretary of Commercea (kauppaministeri, Yhdysvallat) ja kansallisen tiedustelupalvelun johtajaa neljän vuoden toimikaudeksi, joka voidaan uusia, ja joiden nimittämisessä otetaan huomioon samat perusteet, joita sovelletaan nimitettäessä liittovaltion tuomareita, aiempaa tuomioistuinkokemusta painottaen. Tuomareiden on siis oltava oikeusalan ammattilaisia eli asianajajayhdistyksen päteviä aktiivisia jäseniä, joilla on asianmukainen lupa asianajajan ammatin harjoittamiseen, ja heillä on oltava asianmukaista kokemusta yksityisyyttä ja kansallista turvallisuutta koskevasta lainsäädännöstä. Oikeusministerin on myös pyrittävä varmistamaan, että aina vähintään puolella tuomareista on aiempaa tuomioistuinkokemusta ja että kaikista tuomareista on tehty turvallisuusselvitys, jotta he voivat saada pääsyn kansallista turvallisuutta koskeviin turvallisuusluokiteltuihin tietoihin. DPRC:ään voidaan nimittää ainoastaan henkilöitä, jotka täyttävät edellä mainitut pätevyysvaatimukset ja jotka eivät ole toimeenpanovallan työntekijöitä nimittämishetkellä tai olleet sitä kahtena edeltävänä vuotena. Vastaavasti tuomareilla ei saa DPCR:n toimikautensa aikana olla muita virkatehtäviä eivätkä he saa toimia Yhdysvaltojen hallinnossa.
44
Toiseksi riidanalaisen päätöksen johdanto-osan 188 ja 189 perustelukappaleesta ilmenee, eikä kantaja ole sitä kiistänyt, että CLPO:n päätökset käsitellään kokonaisuudessaan uudelleen kolmen tuomarin kokoonpanossa, jota avustaa Special Advocate (erityisasiamies, Yhdysvallat). Uudelleentarkastelussa DPRC ei tukeudu pelkästään CLPO:n toimittamaan asiakirja-aineistoon vaan myös valituksen tekijän, erityisasiamiehen tai tiedusteluelimen toimittamiin tietoihin ja huomautuksiin sekä tarvittaessa lisätietoihin, joita se on pyytänyt henkilötietoja koskevan valituksen tarkastelun aikana. Uudelleentarkastelussa sen on lisäksi sovellettava Supreme Court of the United Statesin (ylin tuomioistuin, Yhdysvallat) asiaa koskevaa oikeuskäytäntöä.
45
Kolmanneksi riidanalaisen päätöksen johdanto-osan 190 ja 191 perustelukappaleesta ilmenee, eikä kantaja ole sitä kiistänyt, että DPRC:llä on toimivalta muuttaa CLPO:n päätöstä, joka ei sido sitä ja että jos se on eri mieltä CLPO:n päätöksestä, se voi antaa oman ratkaisunsa henkilötietoja koskevasta valituksesta. DPRC:n ratkaisu on sitä paitsi sitova ja lopullinen riippumatta siitä, minkä kannan se ottaa. Sekä tiedusteluelinten että Yhdysvaltojen hallinnon on siis noudatettava sitä.
46
Edellä esitetystä seuraa, että toimeenpanoasetuksella 14086 säädetyt DPRC:n toimintaan ja toimivaltaan liittyvät suojatoimet mahdollistavat CLPO:n tekemien päätösten riippumattoman ja puolueettoman uudelleentarkastelun. Kantaja ei siten voi perustellusti väittää, että CLPO:hon sovellettavien suojatoimien riittämättömyys heikentää DPRC:n riippumattomuutta ja puolueettomuutta.
47
CLPO:n riippumattomuuden varmistamiseksi säädettyjen suojatoimien väitetystä riittämättömyydestä on joka tapauksessa todettava seuraavaa.
48
On korostettava, kuten riidanalaisen päätöksen johdanto-osan 176–181 perustelukappaleesta ilmenee, ettei kantaja kiistä sitä, että toimeenpanoasetuksella 14086, jota on täydennetty oikeusministerin asetuksella, otettiin käyttöön erityinen oikeussuojamekanismi henkilötietoja koskevien valitusten käsittelemiseksi. Henkilötietoja koskeva valitus on tehtävä kyseisen jäsenvaltion valvontaviranomaiselle, jolla on toimivalta valvoa henkilötietojen käsittelyä ja joka siirtää valituksen CLPO:lle edellyttäen, että se sisältää riidanalaisen päätöksen johdanto-osan 178 perustelukappaleessa mainitut tiedot, jotka koskevat esimerkiksi henkilötietoja, joiden voidaan kohtuudella olettaa tulleen siirretyiksi Yhdysvaltoihin, keinoja, joilla tietojen siirron uskotaan tapahtuneen, niitä Yhdysvaltojen hallinnon yksiköitä, joiden epäillään osallistuvan väitettyyn rikkomiseen (jos ne ovat tiedossa), perusteita, joiden nojalla väitetään, että Yhdysvaltojen lainsäädäntöä on rikottu, ja haetun oikaisutoimen luonnetta. Tässä yhteydessä CLPO:n on määritettävä, ovatko tiedusteluelimet rikkoneet sovellettavaa Yhdysvaltojen lainsäädäntöä, ja jos näin on, hän voi määrätä ne toteuttamaan korjaavia toimia. Valituksesta annettava CLPO:n päätös on sitova.
49
Riidanalaisen päätöksen johdanto-osan 179 perustelukappaleessa komissio tosin mainitsee, että CLPO työskentelee kansallisen tiedustelupalvelun johtajan toimistossa ja että hänellä on erityinen toimivalta käsitellä henkilötietoja koskevia valituksia, minkä lisäksi hän on yleisemmin vastuussa siitä, että kansalaisvapauksien ja yksityisyyden suojelu sisällytetään asianmukaisesti kyseisen toimiston ja tiedusteluelinten toimintalinjoihin ja menettelyihin ja että nämä noudattavat sovellettavia kansalaisvapauksia ja yksityisyyttä koskevia vaatimuksia. Yhtäältä on kuitenkin huomautettava, että kuten kyseisestä johdanto-osan perustelukappaleesta ilmenee, toimeenpanoasetuksessa 14086 säädetään CLPO:n riippumattomuuden varmistamiseksi, että ainoastaan kansallisen tiedusteluviraston johtaja voi erottaa CLPO:n pätevästä syystä eli virheen, väärinkäytöksen, tietoturvaloukkauksen, velvollisuuksien laiminlyönnin tai toimintakyvyttömyyden vuoksi. Toisaalta, kuten riidanalaisen päätöksen johdanto-osan 180 perustelukappaleesta ilmenee, tiedusteluelimet ja kansallisen tiedustelupalvelun johtaja eivät saa puuttua CPLO:n työhön eivätkä vaikuttaa siihen epäasianmukaisesti, ja CPLO:n on henkilötietoja koskevia valituksia tarkastellessaan sovellettava lainsäädäntöä puolueettomasti ottaen huomioon sekä kansalliset turvallisuusedut että yksityisyyden suojan.
50
Näin ollen ensimmäinen argumentti on hylättävä.
2) Toinen argumentti, jonka mukaan DPRC ei ole riippumaton ja puolueeton tuomioistuin, koska se koostuu tuomareista, jotka oikeusministeri nimittää kuultuaan PCLOB:tä
51
Toisessa argumentissaan kantaja väittää lähinnä, että DPRC ei ole riippumaton ja puolueeton tuomioistuin, koska se koostuu tuomareista, jotka oikeusministeri nimittää kuultuaan PCLOB:tä, joka on toimeenpanovallasta riippuvainen elin.
52
Komissio, jota Irlanti ja Amerikan yhdysvallat tukevat, kiistää kantajan argumentin.
53
Ensinnäkin riidanalaisen päätöksen johdanto-osan 110 perustelukappaleesta ilmenee, että PCLOB on toimeenpanevaan osastoon perustettu riippumaton elin. Sen riippumattomuus ilmenee erityisesti sen kokoonpanosta. Se nimittäin koostuu kaksipuolueisesta, viisijäsenisestä lautakunnasta, jonka Yhdysvaltojen presidentti nimittää kuuden vuoden toimikaudeksi senaatin hyväksynnällä. Nämä jäsenet on valittava heidän ammatillisen pätevyytensä, saavutustensa, julkisen asemansa, kansalaisvapauksien ja yksityisyyden suojan alan asiantuntemuksensa ja kokemuksensa perusteella ottamatta huomioon heidän poliittista suuntautumistaan. PCLOB:ssä voi olla enintään kolme samaan poliittiseen puolueeseen kuuluvaa jäsentä. PCLOB:hen nimitetty henkilö ei voi lautakunnassa toimiessaan olla vaaleilla valittu edustaja, virkamies tai liittovaltion hallinnon työntekijä muutoin kuin lautakunnan jäsenenä.
54
Tästä seuraa, että vaikka PCLOB on perustettu toimeenpanevaan osastoon, se on perustamissääntöjensä mukaan tarkoitettu riippumattomaksi elimeksi, jonka tehtävänä on valvoa puolueettomasti toimeenpanovallan työtä muun muassa yksityisyyden ja kansalaisvapauksien suojelemiseksi. Kuten riidanalaisen päätöksen johdanto-osan 194 perustelukappaleessa mainitaan, eikä kantaja ole sitä kiistänyt, PCLOB:n on arvioitava vuosittain, ovatko CLPO ja DPRC käsitelleet valitukset oikea-aikaisesti, ovatko ne saaneet käyttöönsä kaikki tarvittavat tiedot, onko toimeenpanoasetuksessa 14086 säädetyt suojatoimet otettu asianmukaisesti huomioon ja onko tiedusteluyhteisö noudattanut täysin CLPO:n ja DPRC:n päätöksiä. Arvioinnin jälkeen PCLOB:n on annettava julkinen vahvistus siitä, että CLPO ja DPRC ovat noudattaneet suojatoimia. Lisäksi sen on laadittava arvioinnin tuloksista raportti Yhdysvaltojen presidentille, oikeusministerille, kansallisen tiedusteluviraston johtajalle, tiedusteluelinten johtajille, CLPO:lle ja United States Congressin (Yhdysvaltojen kongressi) tiedusteluvaliokunnille. Raportti julkaistaan turvallisuusluokittelemattomana versiona. Oikeusministerin, kansallisen tiedusteluviraston johtajan, CLPO:n ja tiedusteluelinten johtajien on toteutettava tai muutoin otettava huomioon kaikki tähän raporttiin sisältyvät suositukset.
55
Näin ollen siitä, että PCLOB on perustettu toimeenpanevaan osastoon, ei sinänsä voida päätellä, että koska PCLOB:tä kuullaan ennen DPRC:n tuomareiden nimittämistä, DPRC ei ole riippumaton ja puolueeton tuomioistuin.
56
Toiseksi on huomautettava, että sen varmistamiseksi, että DPRC:n tuomarit ovat riippumattomia toimeenpanovallasta, toimeenpanoasetuksessa 14086 säädetään, että heitä nimittäessään oikeusministerin on noudatettava edellä 43 kohdassa mainittuja perusteita ja edellytyksiä. Lisäksi, kuten riidanalaisen päätöksen johdanto-osan 187 perustelukappaleesta ilmenee, ainoastaan oikeusministeri voi erottaa DPRC:n tuomarin, ja vain pätevästä syystä, eli virheen, väärinkäytöksen, tietoturvaloukkauksen, velvollisuuksien laiminlyönnin tai toimintakyvyttömyyden vuoksi, otettuaan asianmukaisesti huomioon liittovaltion tuomareihin sovellettavat vaatimukset, jotka vahvistetaan oikeudellista menettelyä ja esteellisyyttä koskevissa säännöissä.
57
Tästä seuraa, että DPRC:n tuomareiden nimittämistä ja erottamista koskevat säännöt eivät voi kyseenalaistaa DPRC:n riippumattomuutta ja puolueettomuutta.
58
Kolmanneksi on todettava, että riidanalaisen päätöksen 3 artiklan 1 kohdan mukaan komission on seurattava jatkuvasti tämän päätöksen kohteena olevan oikeudellisen kehyksen soveltamista, mukaan lukien ne edellytykset, joiden mukaisesti henkilötietoja siirretään edelleen, yksilön oikeuksia käytetään ja Yhdysvaltojen viranomaisilla on pääsy tämän päätöksen nojalla siirrettyihin tietoihin, sen arvioimiseksi, takaako Yhdysvallat edelleen tietosuojan riittävän tason. Kyseisen artiklan 5 kohdassa säädetään, että jos komissio saa viitteitä siitä, että tietosuojan taso ei ole enää riittävä, se ilmoittaa asiasta Yhdysvaltojen toimivaltaisille viranomaisille ja päättää tarvittaessa kyseisen päätöksen soveltamisen keskeyttämisestä tai päätöksen muuttamisesta tai kumoamisesta tai sen soveltamisalan rajoittamisesta. Tästä seuraa, että jos Yhdysvalloissa riidanalaisen päätöksen antamisajankohtana voimassa olleessa oikeudellisessa kehyksessä, jonka perusteella komissio totesi kyseisessä päätöksessä, että DPRC antaa oikeussuojan, joka vastaa pääosiltaan unionin oikeudessa taattua suojaa, tapahtuu muutoksia, komissio voi tarvittaessa päättää keskeyttää riidanalaisen päätöksen soveltamisen, muuttaa sitä, kumota sen tai rajoittaa sen soveltamisalaa.
59
Kaikkien näiden seikkojen perusteella toinen argumentti on hylättävä.
3) Kolmas argumentti, jonka mukaan DPRC ei ole riippumaton ja puolueeton tuomioistuin, koska oikeusministerin asetuksessa ei suljeta pois sitä mahdollisuutta, että toimeenpanovalta kohdistaa DPRC:n tuomareihin muunlaista kuin päivittäistä valvontaa
60
Kolmannessa argumentissaan kantaja väittää lähinnä, että DPRC ei ole riippumaton ja puolueeton tuomioistuin, koska oikeusministerin asetuksessa ei suljeta pois sitä mahdollisuutta, että toimeenpanovalta kohdistaa DPRC:n tuomareihin muunlaista kuin päivittäistä valvontaa.
61
Komissio, jota Irlanti ja Amerikan yhdysvallat tukevat, kiistää kantajan argumentin.
62
On huomautettava, että vaikka asiakirja-aineistosta ilmenee, että oikeusministerin asetuksen 201.7 §:n d alakohdan mukaan DPRC:n tuomareita ei pidä asettaa oikeusministerin päivittäiseen valvontaan, riidanalaisen päätöksen johdanto-osan 187 perustelukappaleesta myös ilmenee, että toimeenpanoasetuksen 14086 mukaan tiedusteluelimet ja oikeusministeri eivät saa puuttua DPRC:n työhön eivätkä vaikuttaa siihen epäasianmukaisesti. Lisäksi asiakirja-aineistosta ilmenee, että toimeenpanoasetuksessa 14086 ja oikeusministerin asetuksessa rajoitetaan toimeenpanovallan mahdollisuutta vaikuttaa DPRC:n työhön säätämällä, että ainoastaan oikeusministeri voi erottaa DPRC:n tuomarin ja vain edellä 56 kohdassa mainituista syistä.
63
Tässä tilanteessa kolmas argumentti ja näin ollen kolmannen kanneperusteen ensimmäinen väite on kokonaisuudessaan hylättävä.
b)
Kolmannen kanneperusteen toinen väite, jonka mukaan DPRC ei ole etukäteen laillisesti perustettu tuomioistuin
64
Kolmannen kanneperusteensa toisessa väitteessä kantaja väittää, että DPRC:tä ei ole etukäteen laillisesti perustettu perusoikeuskirjan 47 artiklan toisessa kohdassa tarkoitetussa merkityksessä, koska sitä ei ole perustettu Yhdysvaltojen kongressin antamalla lailla vaan täytäntöönpanotoimella eli oikeusministerin päätöksellä.
65
Komissio, jota Irlanti ja Amerikan yhdysvallat tukevat, kiistää kantajan argumentit.
66
Ensinnäkin Euroopan ihmisoikeussopimuksen 6 artiklan 1 kappaletta koskevan Euroopan ihmisoikeustuomioistuimen oikeuskäytännön (Euroopan ihmisoikeustuomioistuimen tuomio 1.12.2020, Guðmundur Andri Ástráðsson v. Islanti, CE:ECHR:2020:1201JUD002637418, 231 ja 233 kohta) valossa kehitetystä unionin tuomioistuimen oikeuskäytännöstä ilmenee, että vaikka Euroopan ihmisoikeussopimuksen 6 artiklan 1 kappaleessa taattu oikeus ”laillisesti perustettuun tuomioistuimeen” on itsenäinen oikeus, sillä on kuitenkin hyvin läheinen yhteys tässä määräyksessä tarkoitettuihin riippumattomuuden ja puolueettomuuden takeisiin. Vaikka kaikilla kyseisissä määräyksissä vahvistetuilla vaatimuksilla pyritäänkin täsmälliseen tavoitteeseen, mikä tekee niistä oikeudenmukaisen oikeudenkäynnin erityisiä takeita, näillä takeilla pyritään kunnioittamaan oikeusvaltion ja vallanjaon perusperiaatteita. Näiden periaatteiden sanelemien vaatimusten perustana on, että on välttämätöntä säilyttää se luottamus, jota oikeuslaitoksen täytyy herättää yksityisissä, ja tuomiovallan riippumattomuus muista valtiovallan muodoista (ks. tuomio 22.2.2022, Openbaar Ministerie (Laillisesti perustettu tuomioistuin pidätysmääräyksen antaneessa jäsenvaltiossa), C‑562/21 PPU ja C‑563/21 PPU, EU:C:2022:100, 56 kohta oikeuskäytäntöviittauksineen ja tuomio 29.3.2022, Getin Noble Bank, C‑132/20, EU:C:2022:235, 117 kohta oikeuskäytäntöviittauksineen).
67
Unionin tuomioistuin on myös täsmentänyt Euroopan ihmisoikeustuomioistuimen oikeuskäytäntöä (Euroopan ihmisoikeustuomioistuimen tuomio 8.7.2014, Biagioli v. San Marino, CE:ECHR:2014:0708DEC000816213, 72–74 kohta; ks. myös Euroopan ihmisoikeustuomioistuimen tuomio 2.5.2019, Pasquini v. San Marino, CE:ECHR:2019:0502JUD005095616, 100 ja 101 kohta oikeuskäytäntöviittauksineen) tältä osin toistaen, että ilmaisulla ”laillisesti perustettu” pyritään välttämään se, että tuomioistuinjärjestelmän organisaatio jäisi toimeenpanovaltaa käyttävien elinten harkintavaltaan, ja varmistamaan, että tätä alaa säännellään lailla, jonka lainsäätäjä on antanut sen toimivallan käyttöä koskevien sääntöjen mukaisesti. Tämä ilmaisu kuvastaa erityisesti oikeusvaltion periaatetta, eikä sillä tarkoiteta pelkästään tuomioistuimen olemassaolon oikeudellista perustaa vaan myös tuomioistuimen kokoonpanoa kussakin asiassa sekä kaikkia muita kansallisen oikeuden säännöksiä, joiden noudattamatta jättämisestä seuraa se, että jonkin tai joidenkin tuomareiden osallistuminen asian käsittelyyn on sääntöjenvastaista, ja niihin sisältyy erityisesti asianomaisen tuomioistuimen jäsenten riippumattomuutta ja puolueettomuutta koskevia säännöksiä (ks. tuomio 29.3.2022, Getin Noble Bank, C‑132/20, EU:C:2022:235, 121 kohta oikeuskäytäntöviittauksineen).
68
Tässä yhteydessä unionin tuomioistuin on todennut, että toteamus, joka koskee etukäteen laillisesti perustetun tuomioistuimen vaatimuksen noudattamatta jättämistä ja tällaisen loukkaamisen seurauksia, edellyttää sitä, että on arvioitava kokonaisvaltaisesti tiettyjä seikkoja, jotka yhdessä tarkasteltuina herättävät yksityisissä perusteltuja epäilyjä tuomareiden riippumattomuudesta ja puolueettomuudesta (ks. tuomio 22.2.2022, Openbaar Ministerie (Laillisesti perustettu tuomioistuin pidätysmääräyksen antaneessa jäsenvaltiossa), C‑562/21 PPU ja C‑563/21 PPU, EU:C:2022:100, 74 kohta oikeuskäytäntöviittauksineen).
69
Unionin tuomioistuin on siten katsonut, että se seikka, että lainsäädäntövallan käyttäjien valitsemat jäsenet ovat enemmistönä tuomareiden nimittämismenettelyyn osallistuvan kansallisen tuomarineuvoston kaltaisessa elimessä, ei voi yksinään johtaa siihen, että kyseisen menettelyn päätteeksi nimitettyjen tuomareiden riippumattomuutta olisi epäiltävä, mutta tilanne voi kuitenkin olla toinen, jos tämä sama olosuhde yhdessä muiden merkityksellisten seikkojen ja näiden valintojen tekemiseen liittyvien olosuhteiden kanssa johtaa tällaisiin epäilyihin (ks. tuomio 22.2.2022, Openbaar Ministerie (Laillisesti perustettu tuomioistuin pidätysmääräyksen antaneessa jäsenvaltiossa), C‑562/21 PPU ja C‑563/21 PPU, EU:C:2022:100, 75 kohta oikeuskäytäntöviittauksineen).
70
Euroopan ihmisoikeustuomioistuin myös katsoi 1.12.2020 antamassaan tuomiossa Guðmundur Andri Ástráðsson v. Islanti (CE:ECHR:2020:1201JUD002637418, 207 ja 212 kohta), että se, että toimeenpano- tai lainsäädäntövallan käyttäjä nimittää tuomarit, voidaan sallia, kunhan tällä tavoin nimitettyjä tuomareita ei painosteta eikä heihin vaikuteta heidän hoitaessaan lainkäyttötehtäviään.
71
Tästä oikeuskäytännöstä ilmenee lähinnä, että arvioitaessa, ovatko perusoikeuskirjan 47 artiklan toisesta kohdasta johtuvat vaatimukset täyttyneet, ei pidä arvioida ainoastaan kyseisen tuomioistuimen perustamisesta ja sen toimintasäännöistä annetun lainsäädännön muodollista luonnetta, vaan on myös tarkastettava, säädetäänkö kyseisessä lainsäädännössä riittävistä takeista, joilla varmistetaan tuomioistuimen riippumattomuus ja puolueettomuus muihin valtiovallan muotoihin, kuten toimeenpanovaltaan, nähden.
72
Toiseksi on muistutettava, että kuten unionin tuomioistuin totesi tietosuojan riittävyyttä koskevan päätöksen yhteydessä tuomiossa Schrems I ja tuomiossa Schrems II, komission ei tarvitse varmistaa, että asiaankuuluvat kolmannen maan säännökset ovat täysin samanlaiset kuin unionissa voimassa olevat säännökset, vaan sen on ainoastaan varmistettava, että ne pääosiltaan vastaavat unionin oikeudessa yleisen tietosuoja-asetuksen, sellaisena kuin se on luettuna perusoikeuskirjan valossa, nojalla annettuja säännöksiä (ks. edellä 19 ja 20 kohta). Tästä seuraa, että käsiteltävässä asiassa unionin yleisen tuomioistuimen on tarkastettava, onko komission riidanalaisessa päätöksessä tietosuojan riittävyydestä tekemä päätelmä, jonka mukaan DPRC:n perustamista ja toimintaa koskevissa Yhdysvaltojen oikeuden säännöksissä on annettu takeet, jotka pääosiltaan vastaavat unionin oikeudessa perusoikeuskirjan 47 artiklan toisen kohdan nojalla säädettyjä takeita, perusteltu. Tällaiset takeet on annettu, jos DPRC:n perustamisesta ja sen toimintasäännöistä annetun säädöksen tarkoituksena on erityisesti varmistaa sen riippumattomuus ja puolueettomuus muihin valtiovallan muotoihin ja erityisesti toimeenpanovaltaan nähden, ja näin on siitä huolimatta, että kyseinen säädös ei ole muodollisesti laki.
73
Käsiteltävässä asiassa riidanalaisen päätöksen johdanto-osan 185 perustelukappaleesta ilmenee, eikä kantaja ole sitä kiistänyt, että DPRC on perustettu oikeusministerin asetuksella. Tästä seuraa, että DPRC:tä ei ole perustettu lainsäädäntövallan eli Yhdysvaltojen kongressin antamalla lailla vaan toimeenpanovallan toimella. Oikeusministeri on nimittäin Yhdysvaltojen oikeusministeriön johtaja ja päävastuussa lain soveltamisesta Yhdysvaltojen liittohallituksessa. Hän toimii Yhdysvaltojen presidentin pääneuvonantajana kaikissa oikeudellisissa kysymyksissä ja on presidentin kanslian jäsen.
74
Tässä asiayhteydessä on selvitettävä, säädetäänkö toimeenpanoasetuksessa 14086 ja oikeusministerin asetuksessa pääosiltaan samalla tavoin kuin unionin oikeudessa sellaisista suojatoimista, joilla pyritään varmistamaan DPRC:n riippumattomuus ja puolueettomuus.
75
Tältä osin on todettava ensinnäkin asiakirja-aineistosta ilmenevän, eikä sitä ole kiistetty, että
–
oikeusministeri antoi oikeusministerin asetuksen käyttäen toimivaltaansa antaa sitovia päätöksiä Yhdysvaltojen lainsäädäntöön liittyvissä kysymyksissä, myös kysymyksissä, jotka liittyvät toimeenpanoasetuksessa 14086 tarkoitettujen tietojen siirtoon unionista;
–
perustettuaan DPRC:n oikeusministeri siirsi sille toimivallan lausua signaalitiedustelutoiminnan lainmukaisuudesta tilanteessa, jossa unionin kansalainen on riitauttanut tämän toiminnan; oikeusministerillä ei siis ole enää de jure oikeutta käyttää DPRC:lle siirtämäänsä toimivaltaa niin kauan kuin DPRC on olemassa;
–
kuten riidanalaisen päätöksen sivulla 63 olevassa alaviitteessä 366 mainitaan, Supreme Court of the United States on hyväksynyt, että oikeusministeri voi perustaa DPRC:n kaltaisia riippumattomia elimiä, joilla on päätösvaltaa; se on myös katsonut, että toimivallan siirto oikeusministeriltä valtuutetulle elimelle sitoo toimeenpanovaltaa; kyseisen tuomioistuimen oikeuskäytännöstä siis ilmenee, että oikeusministerin asetus sitoo toimeenpanovaltaa niin kauan kuin se on voimassa ja että tiedusteluelimet sen enempää kuin Yhdysvaltain hallintokaan eivät voi tarkastella uudelleen eivätkä kumota DPRC:n päätöksiä.
76
Toiseksi on muistutettava yhtäältä, että riidanalaisesta päätöksestä ilmenee, että
–
oikeusministeri nimittää DPRC:n tuomarit edellä 43 kohdassa mainituin perustein ja edellytyksin;
–
ainoastaan oikeusministeri voi erottaa DPRC:n tuomarit, ja vain edellä 56 kohdassa mainituista syistä ja noudattaen liittovaltion tuomareihin sovellettavia vaatimuksia, jotka on vahvistettu oikeudellista menettelyä ja esteellisyyttä koskevissa säännöissä;
–
DPRC:n antamat ratkaisut ovat sitovia ja lopullisia. Näin ollen sekä toimeenpanovallan että tiedusteluelinten on noudatettava niitä;
–
DPRC:n työtä valvoo PCLOB edellä 54 kohdassa mainituin rajoituksin.
77
Toisaalta, kuten riidanalaisen päätöksen johdanto-osan 187–189 perustelukappaleesta ilmenee, DPRC:n tuomareiden on noudatettava seuraavia menettelyllisiä takeita hoitaessaan tehtäviään kyseisessä elimessä:
–
heidän on käsiteltävä henkilötietoja koskevat valitukset kolmen tuomarin kokoonpanossa, johon kuuluu puheenjohtajana toimiva tuomari; kussakin valitusasiassa oikeusministeriön yksityisyyden ja kansalaisvapauksien suojasta vastaava toimisto (OPCL), joka tarjoaa hallinnollista tukea DPRC:lle, valitsee kolmihenkisen kokoonpanon rotaatioperiaatteella sen varmistamiseksi, että kussakin kokoonpanossa on vähintään yksi tuomari, jolla on aiempaa tuomioistuinkokemusta;
–
henkilötietoja koskevan valituksen käsittelyssä kokoonpanoa avustaa erityisasiamies (Special Advocate), jonka oikeusministeri nimittää kahden vuoden toimikaudeksi, joka voidaan uusia, kuultuaan kauppaministeriä, kansallisen tiedusteluviraston johtajaa ja PCLOB:tä; erityisasiamiehellä on oltava asianmukaista kokemusta yksityisyyttä ja kansallista turvallisuutta koskevasta lainsäädännöstä, hänen on oltava kokenut asianajaja ja asianajajayhdistyksen pätevä aktiivinen jäsen; hän ei saa olla ensimmäisen nimityksensä yhteydessä työskennellyt toimeenpanovallan palveluksessa kahden edellisen vuoden aikana; hänellä on pääsy kaikkiin tietoihin, myös turvallisuusluokiteltuihin tietoihin, ja vaikka erityisasiamies ei edusta valituksen tekijää eikä hänellä ole tähän asianajaja-asiakassuhdetta, hänen tehtävänään on varmistaa, että valituksen tekijän edut ovat edustettuina ja että DPRC:n tuomarit ovat hyvin perillä kaikista merkityksellisistä oikeudellisista seikoista ja tosiseikoista;
–
päätösharkinnassa heidän on otettava huomioon tutkinnan asiakirja-aineisto, valituksen tekijän, erityisasiamiehen, tiedusteluelimen ja CLPO:n toimittamat tiedot ja huomautukset sekä tarvittaessa lisätiedot, jotka CLPO on toimittanut DPRC:n pyynnöstä;
–
heidän on annettava henkilötietoja koskevasta valituksesta kirjallinen ratkaisu äänten enemmistöllä.
78
Kolmanneksi on todettava, että unionin tuomioistuimen tuomiossa Schrems II toteamat puutteet, jotka koskivat sitä, ettei toimeenpanovallan päätökseen erottaa Privacy Shield ‑järjestelyn oikeusasiamies ole liitetty mitään takeita ja etteivät oikeusasiamiehen päätökset ole sitovia, on korjattu. Asiakirja-aineistosta nimittäin ilmenee, että toimeenpanoasetuksella 14086 rajoitetaan tilanteita, joissa oikeusministeri voi erottaa DPRC:n tuomarin, ja säädetään, että oikeusministerin päätökset ovat sitovia.
79
Tässä yhteydessä kolmannen kanneperusteen toinen väite on hylättävä.
80
Tätä päätelmää ei voida kyseenalaistaa sillä, että asiakirja-aineistosta ilmenee, että DPRC ei – kuten tietyt muutkaan Yhdysvaltojen oikeusjärjestelmän tuomioistuimet, jotka ovat toimivaltaisia lausumaan oikeuskysymyksistä – ole Yhdysvaltain perustuslain III §:n nojalla perustettu oikeusviranomainen.
81
Tuomiossa Schrems II unionin tuomioistuin nimittäin katsoi, että tehokkaan oikeussuojan voivat taata paitsi oikeuslaitokseen kuuluvat tuomioistuimet myös muut ”elimet”, jotka antavat henkilöille, joiden tiedot on siirretty Yhdysvaltoihin, takeet, jotka pääosiltaan vastaavat perusoikeuskirjan 47 artiklassa edellytettyjä takeita (tuomio Schrems II, 197 kohta).
82
Edellä esitetyn perusteella kolmas kanneperuste on kokonaisuudessaan hylättävä.
3.
Toinen kanneperuste, joka koskee perusoikeuskirjan 7 ja 8 artiklan rikkomista
83
Toisessa kanneperusteessaan kantaja väittää, että komissio rikkoi perusoikeuskirjan 7 ja 8 artiklaa, kun se katsoi riidanalaisessa päätöksessä, että Amerikan yhdysvallat tarjoaa riittävän tietosuojan siltä osin kuin on kyse sen tiedusteluelinten toteuttamasta henkilötietojen valikoimattomasta keruusta.
a)
Toisen kanneperusteen kohde
84
On huomautettava, että kanteen sivuilla 2 ja 23 ja vastauksen sivulla 4 kantaja viittaa toisen kanneperusteensa otsikon yhteydessä siihen, että komissio rikkoi perusoikeuskirjan 7 ja 8 artiklaa paitsi henkilötietojen valikoimattoman keruun myös henkilötietojen laajamittaisen keruun osalta. Toisen kanneperusteen otsikkoa seuraavissa kohdissa esittämissään perusteluissa kantaja kuitenkin käsittelee pelkästään niiden valikoimatonta keruuta.
85
Riidanalaisen päätöksen sivulla 46 olevasta alaviitteestä 250 ja johdanto-osan 141 perustelukappaleesta ilmenee – mitä ei ole kiistetty –, ja myös osapuolten vastauksista prosessinjohtotoimena ja istunnossa esitettyihin kysymyksiin käy ilmi, että
–
Yhdysvalloissa signaalitiedustelutietojen, myös unionista siirrettyjen tietojen, keruu kansalliseen turvallisuuteen liittyviin tarkoituksiin voidaan toteuttaa vain ”kohdennettuna keruuna”; tätä ilmausta ei ole Yhdysvaltain lainsäädännössä määritelty, mutta sitä käytetään yleisesti kuvaamaan tiettyyn yksittäiseen henkilöön, tiliin tai muuhun yksilöityyn kohteeseen liittyvien tiedustelutietojen keruuta, jota tiedusteluelimet toteuttavat ulkomaantiedustelulain (Foreign Intelligence Surveillance Act, jäljempänä FISA) ja toimeenpanoasetuksen 14086 nojalla;
–
signaalitiedustelutietojen keruu Yhdysvaltojen ulkopuolella kansalliseen turvallisuuteen liittyviin tarkoituksiin on silloinkin, kun henkilötietoja ollaan siirtämässä unionista tietosuojakehykseen kuuluville organisaatioille, ensisijaisesti kohdettua keruuta; silloin, kun jotakin toimeenpanoasetuksen 14086 2 §:n b momentin iii kohdassa tarkoitettua tiedustelutoiminnan validoitua painopistettä varten on tarpeen kerätä henkilötietoja, joita ei kohtuullisesti voida hankkia kohdennetulla keruulla, tiedusteluelimet voivat kerätä ne valikoimattomasti; Yhdysvaltain lainsäädännössä valikoimattomalla keruulla tarkoitetaan toimeenpanoasetuksen 14086 4 §:n b momentin mukaan sellaisen signaalitiedustelutiedon suuren määrän luvallista keruuta, joka teknisistä tai operationaalisista syistä tehdään käyttämättä erottelutekijöitä, esimerkiksi erityisiä tunnisteita tai valintakriteerejä; valikoimattomasta keruusta säädetään toimeenpanoasetuksella 14086 ja Yhdysvaltojen tiedustelutoiminnasta annetulla toimeenpanoasetuksella nro 12333 (Executive Order 12333, United States Intelligence Activities), sellaisena kuin se on muutettuna toimeenpanoasetuksilla nro 13284 (2003), nro 13355 (2004) ja nro 13470 (2008), joissa tällaiselle keruulle asetetaan useita takeita ja rajoituksia;
–
henkilötietojen ”laajamittainen keruu”, jolla komissio viittaa riidanalaisen päätöksen alaviitteessä 250 mainittuun yleisluonteiseen ja summittaiseen keruuseen, johon ei sovelleta mitään rajoituksia tai suojatoimia, ei ole Yhdysvalloissa sallittua, eikä sitä voida toteuttaa Yhdysvaltojen alueella eikä sen ulkopuolella.
86
Edellä esitetystä seuraa, että koska laajamittainen keruu ei ole Yhdysvalloissa sallittua ja koska valikoimaton keruu on mahdollista ainoastaan Yhdysvaltojen ulkopuolella, käsiteltävän kanneperusteen kohde on tässä tapauksessa rajattava koskemaan ainoastaan sen arvioimista, onko perusoikeuskirjan 7 ja 8 artiklaa rikottu siltä osin kuin on kyse Yhdysvaltojen tiedusteluelinten toteuttamasta sellaisten henkilötietojen, jotka ovat siirrettävinä unionista tietosuojakehykseen kuuluville organisaatioille, valikoimattomasta keruusta, minkäänlaista Yhdysvaltojen tai jäsenvaltioiden tiedusteluelinten unionissa suorittamaa henkilötietojen keruuta lukuun ottamatta.
b)
Toisen kanneperusteen ensimmäinen väite, jonka mukaan FISA:n 702 §:n nojalla toteutettavalta tiedustelutoiminnalta ei edellytetä toimeenpanoasetuksessa 14086 säädettyjä suojatoimia
87
Toisen kanneperusteensa ensimmäisessä väitteessä kantaja väittää, että komissio rikkoi perusoikeuskirjan 7 ja 8 artiklaa, kun se katsoi riidanalaisessa päätöksessä lähinnä, että Amerikan yhdysvallat tarjoaa suojan sellaisen tason, joka pääosiltaan vastaa tasoa, joka taataan unionin oikeudessa yleisen tietosuoja-asetuksen, luettuna perusoikeuskirjan valossa, nojalla, vaikka FISA:n 702 §:ssä annetaan Yhdysvaltojen tiedusteluelimille mahdollisuus kerätä valikoimattomasti muiden maiden kansalaisten henkilötietoja.
88
Komissio, jota Irlanti ja Amerikan yhdysvallat tukevat, kiistää kantajan argumentit.
89
On todettava, ettei FISA:n 702 §:ssä sallita henkilötietojen valikoimatonta keruuta vaan ainoastaan niiden kohdennettu keruu.
90
Tästä seuraa, että koska FISA:n 702 § ei koske henkilötietojen valikoimatonta keruuta, sillä ei ole merkitystä käsiteltävässä asiassa.
91
Näin ollen toisen kanneperusteen ensimmäinen väite on hylättävä.
c)
Toisen kanneperusteen toinen väite, jonka mukaan toimeenpanoasetuksessa 14086 ei edellytetä, että henkilötietojen valikoimattomaan keruuseen on oltava oikeus- tai hallintoviranomaisen ennakkolupa
92
Toisen kanneperusteensa toisessa väitteessä kantaja väittää, että komissio rikkoi perusoikeuskirjan 7 ja 8 artiklaa, kun se katsoi riidanalaisessa päätöksessä, että Amerikan yhdysvallat tarjoaa suojan sellaisen tason, joka pääosiltaan vastaa tasoa, joka taataan unionin oikeudessa yleisen tietosuoja-asetuksen, luettuna perusoikeuskirjan valossa, nojalla, vaikka toimeenpanoasetuksessa 14086 ei säädetä Yhdysvaltojen tiedusteluelinten velvollisuudesta hankkia henkilötietojen valikoimattomaan keruuseen oikeus- tai hallintoviranomaisen ennakkolupa.
93
Komissio, jota Irlanti ja Amerikan yhdysvallat tukevat, kiistää kantajan argumentit.
94
Käsiteltävässä asiassa asiakirja-aineistosta ilmenee, eivätkä asianosaiset ole sitä kiistäneet, ettei Yhdysvaltojen lainsäädännössä säädetä Yhdysvaltojen tiedusteluelinten velvollisuudesta hankkia oikeus- tai hallintoviranomaiselta ennakkolupa ennen henkilötietojen, joita ollaan siirtämässä unionista tietosuojakehykseen kuuluville organisaatioille, valikoimattoman keruun aloittamista.
95
On selvitettävä, voiko se, ettei tällaisesta ennakkoluvasta ole säädetty, vaikuttaa riidanalaisen päätöksen lainmukaisuuteen sen vuoksi, että se kyseenalaistaa riidanalaisen päätöksen 1 artiklassa esitetyn päätelmän, jonka mukaan Amerikan yhdysvallat tarjoa tietosuojan riittävän tason.
96
Aluksi on muistutettava, että kuten unionin tuomioistuin totesi tuomiossa Schrems II, sen määrittämiseksi, onko tietosuojan riittävyyttä koskeva päätös lainmukainen, on arvioitava, taataanko kolmannen maan lainsäädännössä perusvapauksien ja ‑oikeuksien suojan sellainen taso, joka pääosiltaan vastaa tasoa, joka taataan unionissa tämän asetuksen, luettuna perusoikeuskirjan valossa, nojalla (ks. edellä 19 kohta).
97
Kantajan nyt käsiteltävän väitteen tueksi esittämät neljä argumenttia on tutkittava tätä taustaa vasten.
1) Ensimmäinen argumentti, joka perustuu tuomioon Schrems II
98
Ensimmäisessä argumentissaan kantaja väittää lähinnä, että kuten sen Privacy Shield ‑järjestelyn tarjoaman tietosuojan riittävyyttä koskevan päätöksen tapauksessa, jonka unionin tuomioistuin kumosi tuomiolla Schrems II muun muassa tuomioistuinvalvonnan puuttumisen vuoksi, Yhdysvaltain tiedusteluelinten nyt käsiteltävässä asiassa toteuttamaa henkilötietojen valikoimatonta keruuta ei ole asetettu tuomioistuinten valvontaan eikä siitä ole annettu riittävän selviä ja täsmällisiä sääntöjä.
99
Komissio, jota Irlanti ja Amerikan yhdysvallat tukevat, kiistää kantajan argumentin.
100
On huomautettava, että tuomiossa Schrems II unionin tuomioistuin katsoi, että perusoikeuskirjan 7 ja 8 artikla liittyvät unionissa vaadittavaan tietosuojan tasoon, jonka noudattaminen komission on todettava ennen kuin se tekee tietosuojan riittävyyttä koskevan päätöksen yleisen tietosuoja-asetuksen 45 artiklan 1 kohdan nojalla. Unionin tuomioistuimen mukaan luonnollisen henkilön henkilötietojen kaikenlainen käsittely, myös niiden siirto kolmanteen maahan tietosuojan riittävyyttä koskevan päätöksen mukaisesti, vaikuttaa sekä tämän henkilön perusoikeuskirjan 7 artiklassa taattuun yksityiselämän kunnioittamista koskevaan perusoikeuteen että hänen perusoikeuskirjan 8 artiklassa taattuun oikeuteensa saada henkilötietojen suojaa (tuomio Schrems II, 169–171 kohta).
101
Unionin tuomioistuin on kuitenkin täsmentänyt, että perusoikeuskirjan 7 ja 8 artiklassa taatut oikeudet eivät ole ehdottomia, vaan ne on suhteutettava siihen tehtävään, joka niillä on yhteiskunnassa (tuomio Schrems II, 172 kohta).
102
Perusoikeuskirjan 52 artiklan 1 kohdan ensimmäisen virkkeen mukaan siinä tunnustettujen oikeuksien ja vapauksien käyttämistä voidaan rajoittaa ainoastaan lailla sekä kyseisten oikeuksien keskeistä sisältöä kunnioittaen. Lisäksi on niin, että suhteellisuusperiaatteen mukaisesti näille oikeuksille ja vapauksille voidaan säätää rajoituksia ainoastaan, jos ne ovat välttämättömiä ja vastaavat tosiasiallisesti unionin tunnustamia yleisen edun mukaisia tavoitteita tai tarvetta suojella muiden henkilöiden oikeuksia ja vapauksia (tuomio Schrems II, 174 kohta).
103
Tässä asiayhteydessä unionin tuomioistuin totesi, että toimeenpanoasetuksella 12333, sellaisena kuin se on muutettuna, Yhdysvaltojen tiedusteluelimille annettu mahdollisuus päästä unionista Yhdysvaltoihin siirrettyihin tietoihin ilman, ilman että tähän pääsyyn kohdistuisi minkäänlaista tuomioistuinvalvontaa, ei rajaa riittävän selvästi ja täsmällisesti tällaisen tiedusteluelinten suorittaman valikoimattoman henkilötietojen keruun ulottuvuutta. Näin ollen unionin tuomioistuin katsoi, ettei mainittu toimeenpanopäätös täytä niitä vähimmäisvaatimuksia, jotka unionin oikeudessa liittyvät suhteellisuusperiaatteeseen, joten ei voida katsoa, että näihin säännöksiin perustuvat tarkkailuohjelmat olisi rajattu vain täysin välttämättömään (tuomio Schrems II, 183 ja 184 kohta).
104
On tarpeen täsmentää, miten tuomion Schrems II 183 kohdassa olevaa ilmausta ”minkäänlaista tuomioistuinvalvontaa” on tulkittava.
105
Tältä osin on todettava, että mikään tuomiossa Schrems II ja erityisesti sen 183 kohdassa ja ilmauksessa ”minkäänlaista tuomioistuinvalvontaa” ei viittaa siihen, että henkilötietojen valikoimattomaan keruuseen on ehdottomasti saatava riippumattoman viranomaisen antama ennakkolupa. Mainittua ilmausta ja kyseisen tuomion 186–197 kohtaa yhdessä luettaessa käy päinvastoin ilmi, että päätökseen, jolla tällaiseen keruuseen on annettu lupa, on kohdistettava vähintään jälkikäteistä tuomioistuinvalvontaa.
106
Kuten edellä 24–82 kohdassa mainittiin, käsiteltävässä asiassa Yhdysvaltojen tiedusteluelinten signaalitiedustelutoiminta on asetettu toimeenpanoasetuksella 14086 ja oikeusministerin asetuksella DPRC:n jälkikäteiseen laillisuusvalvontaan myös tilanteessa, jossa kyseiset elimet keräävät henkilötietoja valikoimattomasti, ja DPRC:n päätökset ovat lopullisia ja sitovia, joten sekä Yhdysvaltojen hallituksen että kyseisten tiedusteluelinten on noudatettava niitä. Toisin kuin kantaja väittää, näin ollen ei voida katsoa, että henkilötietojen valikoimaton keruu, jota Yhdysvaltojen tiedusteluelimet toteuttavat riidanalaisen päätöksen perusteella, ei täytä tuomiossa Schrems II tältä osin asetettuja vaatimuksia.
107
Lisäksi on muistutettava ensinnäkin – kuten riidanalaisen päätöksen johdanto-osan 141 kappaleesta ilmenee, eikä kantaja ole sitä kiistänyt –, että toimeenpanoasetuksessa 14086 säädetään, että tiedusteluelinten on ensisijaisesti kerättävä henkilötietoja kohdennetusti. Valikoimaton keruu on näin ollen sallittua vain, jos validoitua tiedustelun painopistettä tukevia tietoja ei voida kohtuudella saada kohdennetulla keruulla. Tältä osin on huomautettava riidanalaisen päätöksen johdanto-osan 135 kappaleesta ilmenevän, että validoidut tiedustelun painopisteet vahvistetaan erityisessä menettelyssä, jonka tarkoituksena on varmistaa sovellettavien lakisääteisten vaatimusten ja erityisesti yksityisyyden suojaan ja kansalaisvapauksiin liittyvien vaatimusten noudattaminen. Tiedustelun painopisteet laatii kansallisen tiedustelupalvelun johtaja, ja ne toimitetaan Yhdysvaltojen presidentin hyväksyttäväksi. Ennen kuin tiedustelupalvelun johtaja ehdottaa presidentille tiedustelun painopisteitä, hänen on hankittava kullekin painopisteelle CLPO:n arvio. Tässä arviossa CLPO:n on määritettävä, edistääkö kyseinen painopiste yhtä tai useampaa toimeenpanoasetuksessa 14086 lueteltua legitiimiä tavoitetta, onko painopiste sellainen, että sitä ei ole suunniteltu signaalitiedustelutietojen keruuseen kiellettyihin tarkoituksiin, ja onko sitä vahvistettaessa otettu asianmukaisesti huomioon kaikkien rekisteröityjen yksityisyyden suoja ja kansalaisvapaudet heidän kansalaisuudestaan ja asuinpaikastaan riippumatta.
108
Toiseksi on todettav_– kuten riidanalaisen päätöksen johdanto-osan 127–131, 134 ja 135 kappaleessa korostetaan, eikä kantaja ole sitä kiistänyt –, että toimeenpanoasetuksessa 14086 on yleisiä vaatimuksia, jotka koskevat kaikkea signaalitiedustelutoimintaa, myös silloin, kun sitä toteutetaan keräämällä henkilötietoja valikoimattomasti.
109
Ensinnäkin signaalitiedustelutoiminnan on perustuttava lakiin tai presidentin valtuutukseen, ja se on toteutettava Yhdysvaltojen lainsäädännön, erityisesti Yhdysvaltojen perustuslain, mukaisesti.
110
Toiseksi signaalitiedustelutoimintaa voidaan harjoittaa vasta sitten, kun on todettu kaikkien olennaisten seikkojen kohtuullisen arvioinnin perusteella, että toiminta on tarpeen jotakin validoitua tiedustelun painopistettä varten.
111
Kolmanneksi signaalitiedustelutoimintaa on toteutettava vain siinä laajuudessa ja tavalla, joka on oikeassa suhteessa siihen validoituun tiedustelun painopisteeseen, jota varten se on hyväksytty, jotta saavutetaan asianmukainen tasapaino kyseisen tiedustelun painopisteen merkittävyyden ja asianomaisten henkilöiden yksityisyyteen ja kansalaisvapauksiin kohdistuvien vaikutusten välillä heidän kansalaisuudestaan tai asuinpaikastaan riippumatta.
112
Neljänneksi toimeenpanoasetuksessa 14086 luetellaan tiettyjä yleisiä tavoitteita, joita signaalitiedustelutoiminnalla ei saa edistää. Niitä ovat erityisesti pyrkimykset vaikeuttaa yksilöiden tai tiedotusvälineiden esittämää kritiikkiä, eriävien mielipiteiden ilmaisemista, ilmaisunvapautta tai poliittisten mielipiteiden ilmaisemista, saattaa ihmisiä huonompaan asemaan näiden etnisen alkuperän, rodun, sukupuolen, sukupuoli-identiteetin, seksuaalisen suuntautumisen tai uskonnon perusteella taikka antaa kilpailuetu yhdysvaltalaisille yrityksille.
113
Kolmanneksi riidanalaisen päätöksen 141 kappaleesta ilmenee, eikä kantaja ole sitä kiistänyt, että toimeenpanoasetuksessa 14086 säädetään henkilötietojen valikoimattomaan keruuseen sovellettavista erityisistä suojatoimista.
114
Ensinnäkin toimeenpanoasetuksessa 14086 säädetään, että on käytettävä erilaisia menetelmiä ja teknisiä toimenpiteitä kerättävien tietojen rajaamiseksi vain siihen, mikä on tarpeen validoitua tiedustelun painopistettä varten, ja minimoitava merkityksettömien tietojen kerääminen.
115
Lisäksi toimeenpanoasetuksessa 14086 mainitaan, että henkilötietojen valikoimaton keruu on sallittua vain kuuden erityistavoitteen täyttämiseksi (jäljempänä valikoimattoman keruun erityistavoitteet), eli vakoilulta, joukkotuhoaseilta, kyberuhkilta, Yhdysvaltojen tai sen liittolaisten viranomaisiin kohdistuvilta uhkilta ja kansainväliseltä rikollisuudelta suojautumiseksi. Siinä annetaan Yhdysvaltojen presidentille mahdollisuus päivittää erityistavoitteita, jos ilmenee uusia kansalliseen turvallisuuteen liittyviä välttämättömiä tarpeita, kuten kansalliseen turvallisuuteen kohdistuvia uusia tai kasvavia uhkia, joiden osalta presidentti katsoo, että henkilötietojen valikoimatonta keruuta voidaan käyttää. Kansallisen tiedustelupalvelun johtajan on yleensä julkistettava tällaiset päivitykset, ellei presidentti päätä, että julkistaminen vaarantaisi Yhdysvaltojen kansallisen turvallisuuden.
116
Toimeenpanoasetuksessa 14086 säädetään vielä, että kaikenlainen kyselyjen tekeminen valikoimattomasti kerätyistä signaalitiedustelutiedoista on sallittua vain, jos se on tarpeen jotakin tiedustelun validoitua painopistettä varten ja valikoimattoman keruun erityistavoitteiden saavuttamiseksi ja jos siinä noudatetaan sellaisia toimintaperiaatteita ja menettelytapoja, joissa otetaan asianmukaisesti huomioon kyselyjen vaikutus kaikkien henkilöiden yksityisyyteen ja kansalaisvapauksiin riippumatta heidän kansalaisuudestaan tai siitä, missä he asuvat.
117
Näin ollen ei voida pätevästi väittää, että valikoimattoman keruun täytäntöönpanosta ei ole säädetty riittävän selvästi ja täsmällisesti.
118
Edellä esitetyn perusteella tämä argumentti on hylättävä.
2) Toinen argumentti, joka perustuu 6.10.2020 annettuun tuomioon La Quadrature du Net ym. (C‑511/18, C‑512/18 ja C‑520/18)
119
Toisessa argumentissaan kantaja viittaa nimenomaisesti 6.10.2020 annetun tuomion La Quadrature du Net ym. (C‑511/18, C‑512/18 ja C‑520/18, EU:C:2020:791) 189 kohtaan ja väittää, että unionin tuomioistuin on velvoittanut tiedusteluelimet hankkimaan oikeus- tai hallintoviranomaiselta ennakkoluvan ennen yhteystietojen keruuta operaattoreilta, joiden hallussa nämä tiedot ovat. Kantajan mukaan siihen, että Yhdysvaltojen tiedusteluelimet keräävät valikoimattomasti unionin ja Yhdysvaltojen välillä kulkevia henkilötietoja, ei käsiteltävässä tapauksessa edellytetä tällaista ennakkolupaa.
120
Komissio, jota Irlanti ja Amerikan yhdysvallat tukevat, kiistää kantajan argumentin.
121
On todettava, että unionin tuomioistuin katsoi 6.10.2020 annetussa tuomiossa La Quadrature du Net ym. (C‑511/18, C‑512/18 ja C‑520/18, EU:C:2020:791) muun muassa, että henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla 12.7.2002 annetun Euroopan parlamentin ja neuvoston direktiivin 2002/58/EY (sähköisen viestinnän tietosuojadirektiivi) (EUVL 2002, L 201, s. 37), sellaisena kuin se on muutettuna 25.11.2009 annetulla Euroopan parlamentin ja neuvoston direktiivillä 2009/136/EY (EUVL 2009, L 337, s. 11), 15 artiklan 1 kohtaa, luettuna yhdessä 7, 8 ja 11 artiklan ja perusoikeuskirjan 52 artiklan 1 kohdan kanssa, on tulkittava siten, että se ei ole esteenä kansalliselle säännöstölle, jonka mukaan sähköisten viestintäpalvelujen tarjoajien on kerättävä reaaliajassa liikenne- ja paikkatietoja, kun niiden kerääminen on rajattu henkilöihin, joiden osalta on olemassa pätevä syy epäillä, että he osallistuvat tavalla tai toisella terrorismiin, ja kun sitä valvotaan etukäteen joko tuomioistuimessa tai riippumattomassa hallinnollisessa elimessä (tuomion 192 kohta).
122
Tästä seuraa, että 6.11.2020 annetussa tuomiossa La Quadrature du Net ym. (C‑511/18, C‑512/18 ja C‑520/18, EU:C:2020:791) kyseessä ollut tilanne eroaa käsiteltävässä asiassa kyseessä olevasta tilanteesta. Käsiteltävässä tapauksessa kyse ei ole siitä, onko sähköisten viestintäpalvelujen tarjoajien toteuttama liikenne- ja paikkatietojen keruu käyttäjiltä, joiden epäillään osallistuvan tavalla tai toisella terrorismiin, tarpeen asettaa oikeus- tai hallintoviranomaisen etukäteisvalvontaan, vaan siitä, kyseenalaistaako se, ettei Yhdysvaltojen lainsäädännössä säädetä tiedusteluelinten velvollisuudesta hankkia Yhdysvaltoihin siirrettävinä olevien henkilötietojen valikoimattomaan keruuseen oikeus- tai hallintoviranomaisen ennakkolupa, komission riidanalaisessa päätöksessä tietosuojan riittävyydestä tekemän päätelmän paikkansapitävyyden.
123
Näin ollen on katsottava, että viittauksella 6.10.2020 annettuun tuomioon La Quadrature du Net ym. (C‑511/18, C‑512/18 ja C‑520/18, EU:C:2020:791) ei ole merkitystä käsiteltävässä asiassa.
124
Tätä päätelmää ei horjuta 30.4.2024 annetun tuomion La Quadrature du Net ym. (Henkilötiedot ja oikeudenloukkausten torjunta) (C‑470/21, EU:C:2024:370), johon käsiteltävän asian osapuolia pyydettin prosessinjohtotoimena ottamaan kantaa, huomioon ottaminen.
125
Mainitussa 30.4.2024 annetussa tuomiossa La Quadrature du Net ym. (Henkilötiedot ja oikeudenloukkausten torjunta) (C‑470/21, EU:C:2024:370) oli kyse siitä, onko lainmukaista, että kansalliselle viranomaiselle, joka vastaa tekijän‑ ja lähioikeuksien suojaamisesta internetissä tapahtuvilta näiden oikeuksien loukkauksilta, annetaan pääsy sähköisten viestintäpalvelujen tarjoajien säilyttämiin IP‑osoitteita vastaaviin henkilöllisyyttä koskeviin tietoihin oikeudenloukkausten torjumiseksi. Tätä pääsyä perusteltiin erityisesti tavoitteella tunnistaa sellaisten IP‑osoitteiden haltijat, joita on käytetty toimintaan, joka saattaa loukata tekijänoikeuksia tai lähioikeuksia, kun osoitteen haltija on saattanut internetissä laittomasti saataville suojattuja teoksia muiden henkilöiden ladattavaksi. Tässä tilanteessa unionin tuomioistuin katsoi, että tuomioistuimen tai riippumattoman hallinnollisen elimen etukäteisvalvontaa
–
ei tarvitse toteuttaa silloin, kun on kyse toimivaltaisen kansallisen viranomaisen pääsystä IP-osoitetta vastaaviin henkilöllisyyttä koskeviin tietoihin pelkästään asianomaisen käyttäjän tunnistamista varten ilman, että mainittuja tietoja voidaan yhdistää suoritettua viestintää koskeviin tietoihin, koska näiden tietojen tällaisesta käsittelystä aiheutuvaa puuttumista ei lähtökohtaisesti voida pitää vakavana (tuomion 133 ja 134 kohta);
–
tällainen valvonta on toteutettava ennen kuin kansallinen toimivaltainen viranomainen voi yhdistää henkilön henkilöllisyyttä koskevat tiedot, jotka vastaavat IP‑osoitetta, ja siihen teokseen liittyvän tiedoston, joka on lainvastaisesti asetettu ladattavaksi verkossa, ja ennen sellaisen kirjeen lähettämistä, jossa todetaan, että kyseinen henkilö on syyllistynyt lainvastaisiin tekoihin (ks. vastaavasti tuomion 141 kohta).
126
Tästä seuraa, että 30.4.2024 annetulla tuomiolla La Quadrature du Net ym. (Henkilötiedot ja oikeudenloukkausten torjunta) (C‑470/21, EU:C:2024:370) ratkaistu asia koskee kansallisten viranomaisten pääsyä IP-osoitetta vastaaviin tietoihin oikeudenloukkausten estämiseksi ja että siinä on kyse eri asiasta kuin Yhdysvaltojen tiedusteluelinten toteuttamasta unionista siirrettävinä olevien henkilötietojen valikoimattomasta keruusta. Kyseisen tuomion perusteella ei siis voida katsoa, että Yhdysvaltojen tiedusteluelinten toteuttamaan unionista siirrettävinä olevien henkilötietojen valikoimattomaan keruuseen on vaadittava ennakkolupa.
127
Tämä argumentti on näin ollen hylättävä.
3) Kolmas argumentti, joka perustuu 25.5.2021 annettuun Euroopan ihmisoikeustuomioistuimen tuomioon Big Brother Watch ym. v. Yhdistynyt kuningaskunta (CE:ECHR:2021:0525JUD005817013)
128
Kolmannessa argumentissaan kantaja väittää lähinnä, että Euroopan ihmisoikeustuomioistuin katsoi 25.5.2021 annetussa tuomiossa Big Brother Watch ym. v. Yhdistynyt kuningaskunta (CE:ECHR:2021:0525JUD005817013, jäljempänä tuomio Big Brother Watch), että henkilötietojen laajamittaiseen kaappaukseen on vaadittava riippumattoman viranomaisen ennakkolupa heti siitä lähtien, kun kyseisen valvontaoperaation tavoitteet ja laajuus on määritelty. Kantajan mukaan unionista siirrettävinä olevien henkilötietojen valikoimaton keruu, jota Yhdysvaltojen tiedusteluelimet toteuttavat, ei käsiteltävässä tapauksessa edellytä tällaista ennakkolupaa.
129
Komissio, jota Irlanti ja Amerikan yhdysvallat tukevat, kiistää kantajan argumentin.
130
On todettava, että tuomiolla Big Brother Watch ratkaistussa asiassa oli kyse muun muassa sitä, onko Yhdistyneen kuningaskunnan salainen valvontajärjestelmä, jossa tiedusteluelimille annetaan mahdollisuus sähköisen viestinnän ja siihen liittyvien välitystietojen, eli kuunneltuihin viesteihin liittyvien liikennetietojen laajamittaiseen kaappaukseen, jota toteutetaan pääosin Britannian ulkopuolella, yhteensopiva Euroopan ihmisoikeussopimuksen 8 artiklan kanssa.
131
Lisäksi on todettava, kuten edellä 29 kohdassa mainitusta oikeuskäytännöstä ilmenee, että koska Euroopan ihmisoikeussopimuksen 8 artiklassa taataan oikeus nauttia yksityis- ja perhe-elämän kunnioitusta samalla tavoin kuin perusoikeuskirjan 7 artiklassa, Euroopan ihmisoikeussopimuksen 8 artiklaa koskeva Euroopan ihmisoikeustuomioistuimen oikeuskäytäntö on otettava huomioon perusoikeuskirjan 7 artiklaa tulkittaessa. Tästä seuraa, että jos unionin yleinen tuomioistuin katsoo, että tuomio Big Brother Watch on merkityksellinen käsiteltävän asian kannalta, Euroopan ihmisoikeustuomioistuimen kyseisessä tuomiossa Euroopan ihmisoikeussopimuksen 8 artiklan ulottuvuudesta tekemät päätelmät on otettava huomioon perusoikeuskirjan 7 artiklan ulottuvuutta tulkittaessa.
132
Tältä osin on muistutettava, että tuomiossa Big Brother Watch Euroopan ihmisoikeustuomioistuin lausui siitä, onko Britannian tiedustelielinten toteuttama sähköisen viestinnän ja siihen liittyviin välitystietojen laajamittainen kaappaus, joka tapahtuu pääosin Brittannian ulkopuolella, lainmukaista.
133
Kuten käsiteltävän asian osapuolet totesivat prosessinjohtotoimeen antamissaan vastauksissa ja istunnossa, Euroopan ihmisoikeustuomioistuimen tuomiossa Big Brother Watch tekemät päätelmät ovat merkityksellisiä käsiteltävässä asiassa, koska riidanalaisen päätöksen kohteena olevan valikoimattoman keruun voidaan katsoa sisältyvän kyseisellä tuomiolla ratkaistussa asiassa kyseessä olleeseen henkilötietojen laajamittaiseen kaappaukseen.
134
Ensinnäkin on todettava, että tuomion Big Brother Watch ranskankielisessä versiossa käytetään ilmausta ”interception en masse” (laajamittainen kaappaus), kun taas englanninkielisessä versiossa käytetään ilmausta ”bulk interception”, joka tarkalleen ottaen vastaa ranskankielistä käsitettä ”interception en vrac” (valikoimaton kaappaus).
135
Toiseksi on todettava, että päinvastoin kuin tietojen kohdennettu kaappaus, tuomiossa Big Brother Watch kyseessä oleva kaappaus on Euroopan ihmisoikeustuomioistuimen mukaan sellaista, joka ei kohdistu mihinkään tiettyihin henkilöihin ja joka voi siten vaikuttaa suureen määrään henkilöitä ja heihin liittyviä välitystietoja ja ulottua näin ollen erittäin laajalle, koska sen avulla voidaan kerätä tietoja muun muassa ulkomaantiedustelun yhteydessä sekä havaita tunnetuista tai tuntemattomista toimijoista aiheutuvia uusia uhkia. Euroopan ihmisoikeustuomioistuin myös toteaa, että koska laajamittaisen kaappauksen tarkoitus liittyy kansallisen turvallisuuden suojaamiseen, toimivaltaiset viranomaiset tekevät sitä yleensä salaisesti, mikä tarkoittaa, että ne julkaisevat kyseisen järjestelmän toiminnasta tietoja vain vähän tai eivät ollenkaan (ks. vastaavasti tuomio Big Brother Watch, 322 kohta).
136
Kolmanneksi Euroopan ihmisoikeustuomioistuin katsoi tuomiossa Big Brother Watch, että vaikka kaikkia tietojen laajamittaista kaappausta koskevia järjestelmiä ei ole suunniteltu saman mallin mukaan ja vaikka niiden toteutustavat voivat vaihdella eikä niissä välttämättä edetä missään tietyssä aikajärjestyksessä, tietojen laajamittainen kaappaus on asteittainen prosessi, joka sisältää seuraavat neljä vaihetta (jäljempänä tietojen kaappauksen vaiheet):
a)
sähköisen viestinnän ja siihen liittyvien välitystietojen laajamittainen kaappaus ja tallentaminen suurelta määrältä henkilöitä;
b)
tallennettujen viestien ja niihin liittyvien välitystietojen suodattaminen erityisillä valitsimilla sellaisten viestien tunnistamiseksi, joilla voi olla merkitystä tiedustelupalvelulle;
c)
analyytikoiden suorittama valikoitujen viestien ja niihin liittyvien välitystietojen tutkinta;
d)
näiden tietojen myöhempi säilyttäminen ja niiden käyttäminen tiedusteluraporteissa, toimittaminen valtion muille tiedustelupalveluille tai siirtäminen ulkomaisille tiedustelupalveluille (ks. vastaavasti tuomio Big Brother Watch, 325–329 kohta).
137
Tästä seuraa, että riidanalaisessa päätöksessä kyseessä olevan kaltainen toiminta, jossa henkilötietoja kerätään valikoimattomasti, vastaa Euroopan ihmisoikeustuomioistuimen tuomiossa Big Brother Watch määriteltyä tietojen kaappauksen ensimmäistä vaihetta, koska siinä kerätään kansallisen turvallisuuden suojaamiseksi suurelta määrältä henkilöitä henkilötietoja, joita ollaan siirtämässä unionista.
138
Näin ollen tuomiosta Big Brother Watch on syytä tehdä päätelmät siinä yhteydessä, kun arvioidaan riidanalaisen päätöksen kaltaisen, yleisen tietosuoja-asetuksen 45 artiklan 3 kohdan perusteella tehdyn tietosuojan riittävyyttä koskevan päätöksen lainmukaisuutta.
139
Tältä osin on huomautettava ensinnäkin, että Euroopan ihmisoikeustuomioistuin täsmensi tuomiossa Big Brother Watch, ettei Euroopan ihmisoikeussopimuksen 8 artiklassa kielletä turvautumasta tietojen laajamittaiseen kaappaukseen kansallisen turvallisuuden tai muiden keskeisten kansallisten etujen suojaamiseksi vakavilta ulkoisilta uhkilta ja että valtioilla on laaja harkintavalta määrittäessään, minkä tyyppistä tietojen kaappausta koskevaa järjestelmää ne tarvitsevat (tuomio Big Brother Watch, 347 kohta).
140
Toiseksi Euroopan ihmisoikeustuomioistuin totesi, että henkilötietojen laajamittaiselle kaappaukselle on asetettava alusta loppuun asti useita takeita, jotka yhdessä muodostavat kaikkien tietojen laajamittaista kaappausta koskevien järjestelmien perustan ja jotka ovat
–
luvan hakeminen riippumattomalta viranomaiselta heti, kun kyseisen valvontaoperaation kohde ja laajuus on määritelty (tuomio Big Brother Watch, 350 kohta);
–
hallinnon sisäisen valvontajärjestelmän käyttöönotto ja asettaminen riippumattoman tuomioistuimen jälkikäteiseen valvontaan (ks. vastaavasti tuomio Big Brother Watch, 336 ja 347 kohta);
–
sellaisten oikeussääntöjen antaminen, joiden nojalla voidaan varmistaa kussakin tietojen kaappauksen vaiheessa, että toteutetut toimenpiteet ovat tarpeellisia ja oikeasuhteisia (ks. vastaavasti tuomio Big Brother Watch, 350 kohta); tältä osin Euroopan ihmisoikeustuomioistuin muistutti, että Euroopan ihmisoikeussopimuksen 8 artiklassa taattuihin oikeuksiin puuttuminen voidaan oikeuttaa kyseisen artiklan 2 kohdalla vain, kun laki sen sallii, jos sillä pyritään yhteen tai useampaan kyseisessä kohdassa luetelluista päämääristä ja jos näiden päämäärien saavuttaminen on välttämätöntä demokraattisessa yhteiskunnassa; salaisesta valvonnasta se totesi, että toteutettujen toimenpiteiden ennakoitavuus edellyttää, että kansallinen lainsäädäntö on riittävän selkeää, jotta siitä käy asianmukaisesti ilmi, missä olosuhteissa ja millä edellytyksillä julkisen vallan käyttäjällä on oikeus turvautua tällaisiin toimenpiteisiin (tuomio Big Brother Watch, 332 ja 333 kohta).
141
Kolmanneksi Euroopan ihmisoikeustuomioistuin totesi, että vaikka Euroopan ihmisoikeussopimuksen 8 artiklaa sovelletaan kaikkiin tietojen kaappauksen vaiheisiin, tarve suojatoimien asettamiseen kasvaa sitä enemmän, mitä pidemmälle nämä eri vaiheet etenevät ja mitä vakavammaksi yksityisyyden suojan loukkaus muuttuu. Euroopan ihmisoikeustuomioistuimen mukaan suojatoimet ovat tarpeen ennen muuta prosessin loppuvaiheessa, kun analysoidaan yksittäistä henkilöä koskevia tietoja tai kun analyytikot tutkivat viestinnän sisällön (ks. vastaavasti tuomio Big Brother Watch, 330 ja 331 kohta).
142
Neljänneksi Euroopan ihmisoikeustuomioistuin katsoi, että koska ennakkolupaan ei ole käytännössä mahdollista sisällyttää kaikkia tiedusteluelinten kerättyjen viestien suodattamiseen käyttämiä valitsimia, luvan laajuus on rajattava siten, että se sisältää ainakin käytettävien valitsimien tyypit tai luokat (tuomio Big Brother Watch, 354 kohta).
143
Käsiteltävässä asiassa on muistutettava yhtäältä, kuten unionin tuomioistuin totesi tuomiossa Schrems I ja tuomiossa Schrems II, että komission ei tietosuojan riittävyyttä koskevaa päätöstä tehdessään tarvitse varmistaa, että asiaankuuluvat kolmannen maan säännökset ovat täysin samanlaiset kuin unionissa voimassa olevat säännökset, vaan sen on ainoastaan varmistettava_että ne pääosiltaan vastaavat unionissa voimassa olevia säännöksiä (ks. edellä 19 ja 20 kohta).
144
Toisaalta on katsottava, että koska Yhdysvaltojen tiedusteluelinten toteuttama henkilötietojen valikoimaton keruu, joka käsiteltävässä asiassa on riitautettu, voidaan rinnastaa Euroopan ihmisoikeustuomioistuimen tuomiossa Big Brother Watch määrittämässä tietojen kaappauksen ensimmäisessä vaiheessa tehtävään kaappaukseen, tarve säätää suojatoimista, joilla rajoitetaan tiedusteluelinten harkintavaltaa, on vähäisempi tässä nimenomaisessa valikoimattoman keruun vaiheessa, kun otetaan huomioon asiayhteys, jossa tietojen kaappaus tapahtuu. Käsiteltävässä asiassa on nimittäin kyse pelkästään tiedusteluelinten ensi vaiheessa toteuttamasta henkilötietojen valikoimattomasta kaappauksesta mutta ei sen jälkeisistä toiminnoista, jotka eivät ole käsiteltävän kanteen kohteena ja joita ovat tapauksen mukaan erityisten valitsimien käyttö, kerättyjen tietojen seulonta ja tietojen myöhempi käyttö tai välitys.
145
Tästä seuraa, ettei ennakkoluvan edellyttäminen ole suinkaan ainoa henkilötietojen laajamittaiselle kaappaukselle asetettava suojatoimi, vaan yksi niistä palasista, jotka yhdessä muodostavat tietojen laajamittaista kaappausta koskevan järjestelmän perustan. Tältä osin on muistutettava, että voimassa olevassa Yhdysvaltojen lainsäädännössä vahvistetaan oikeussäännöt, joissa on säädetty riittävän selkeästi ja täsmällisesti Yhdysvaltojen tiedusteluelinten toteuttamasta henkilötietojen valikoimattomasta keruusta (ks. edellä 107–116 kohta) ja joissa on annettu niille rekisteröidyille, joiden henkilötietoja siirto koskee, oikeus tehokkaisiin oikeussuojakeinoihin DPRC:ssä (ks. edellä 33–63 kohta). Riidanalaisen päätöksen johdanto-osan 162–169 kappaleessa myös mainitaan, eikä kantaja ole sitä kiistänyt, että tiedusteluelinten harjoittamaa tiedustelutoimintaa valvoo PCLOB, joka perustamissääntöjensä mukaan on perustettu riippumattomaksi elimeksi, kuten edellä 54 kohdasta ilmenee. Lisäksi kyseistä toimintaa valvovat ensinnäkin kussakin tiedusteluelimessä työskentelevät oikeudelliset asiantuntijat ja virkamiehet, jotka vastaavat hallinnon sisäisestä valvonnasta ja lainsäädännön noudattamisesta, toiseksi Inspector General eli kullekin tiedusteluelimelle asetettu riippumaton valvontaviranomainen, jonka vastuulla on muun muassa valvoa kyseisen elimen ulkomaantiedustelutoimintaa, kolmanneksi President’s Intelligence Advisory Boardin (presidentin tiedustelutoimintaa käsittelevän neuvoa-antavan lautakunta, Yhdysvallat) osaksi perustettu Intelligence Oversight Board (tiedustelutoiminnan valvonnasta vastaava lautakunta, Yhdysvallat), joka valvoo, että Yhdysvaltojen viranomaiset noudattavat lakia, ja neljänneksi tietyt Yhdysvaltojen kongressin valiokunnat, joilla on valvontavelvoitteita, jotka liittyvät kaikkeen Yhdysvaltojen harjoittamaan ulkomaantiedusteluun.
146
Edellä esitetyn perusteella ei voida todeta, että se, ettei Yhdysvaltojen lainsäädännössä säädetä ennakkoluvasta, jota sovelletaan Yhdysvaltojen tiedusteluelinten ensi vaiheessa tekemään unionista siirrettävinä olevien henkilötietojen valikoimattomaan keruuseen, on riittävä peruste katsoa, että tuomiossa Big Brother Watch annetut ohjeet huomioon ottaen Yhdysvaltojen lainsäädännössä ei anneta takeita, jotka pääosiltaan vastaavat unionin oikeudessa säädettyjä takeita.
147
Tämä argumentti on näin ollen hylättävä.
4) Neljäs argumentti, joka perustuu Euroopan tietosuojavaltuutetun lausuntoon 5/2023
148
Neljännessä argumentissaan kantaja väittää, että se, että Euroopan tietosuojaneuvosto (jäljempänä EDPB) korosti komission luonnoksesta täytäntöönpanopäätökseksi EU:n ja Yhdysvaltojen tietosuojakehyksen mukaisen henkilötietojen suojan riittävästä tasosta 28.2.2023 antamassaan lausunnossa 5/2023 (jäljempänä lausunto 5/2023), että on tärkeää, että henkilötietojen valikoimattomaan keruuseen vaaditaan ennakkolupa. Kantajan mukaan Yhdysvaltojen tiedusteluelinten toteuttama unionista siirrettävinä olevien henkilötietojen valikoimaton keruu ei käsiteltävässä tapauksessa edellytä ennakkolupaa.
149
Komissio, jota Irlanti ja Amerikan yhdysvallat tukevat, kiistää kantajan argumentin.
150
On huomattava, että EDPB antoi lausunnon 5/2023 yleisen tietosuoja-asetuksen 70 artiklan 1 kohdan s alakohdan nojalla. Kyseisessä säännöksessä säädetään, että EDPB voi joko omasta aloitteestaan tai tarvittaessa komission pyynnöstä antaa komissiolle lausunnon kolmannen maan tietosuojan tason riittävyyden arvioimiseksi.
151
Toimiessaan yleisen tietosuoja-asetuksen 70 artiklan 1 kohdan nojalla EDPB hoitaa ainoastaan neuvoa-antavaa tehtävää laatimalla lausuntoja, ohjeita, suosituksia ja parhaita käytänteitä koskevia suosituksia, joilla ei ole sitovia oikeusvaikutuksia (ks. vastaavasti unionin tuomioistuimen presidentin määräys 29.11.2023, EDPB v. SRB, C‑413/23 P, ei julkaistu, EU:C:2023:1036, 11 kohta). Kyseinen lausunto ei näin ollen sido komissiota, joka voi vapaasti arvioida, tarjotaanko asianomaisen valtion oikeudessa sellainen suojan taso, joka pääosiltaan vastaa unionin oikeudessa taatun suojan tasoa siltä osin kuin on kyse henkilötietojen valikoimattomasta keruusta. Joka tapauksessa on todettava, että kyseisessä lausunnossa EDPB ei suinkaan katsonut, että se, ettei henkilötietojen valikoimatonta keruuta ole asetettu minkäänlaiseen etukäteisvalvontaan, kyseenalaistaa väistämättä sen myönteisen arvion, jonka komissio on antanut tietosuojakehyksen tarjoaman henkilötietojen suojan riittävyydestä. EDPB päinvastoin korosti kyseisen lausunnon 165 kohdassa, että tämä arviointi on riippunut kaikista tapaukseen liittyvistä olosuhteista ja erityisesti Amerikan yhdysvaltojen käyttöön ottamasta jälkikäteisestä tuomioistuinvalvonnasta ja oikeussuojamekanismista.
152
Tässä tilanteessa lausunnon 5/2023 perusteella ei voida katsoa, että Yhdysvaltojen tiedusteluelinten toteuttaman unionista siirrettävinä olevien henkilötietojen valikoimattoman keruun on edellytettävä ennakkolupaa ja että kyseisen valtion tarjoama suoja ei ole sellainen, että se pääosiltaan vastaa unionin oikeudessa taattua suojaa.
153
Tämä argumentti ja siten myös toisen kanneperusteen toinen väite kokonaisuudessaan on näin ollen hylättävä.
d)
Toisen kanneperusteen kolmas väite, jonka mukaan toimeenpanoasetuksella 14086 annetaan Yhdysvaltojen presidentille toimivalta hyväksyä valikoimattomalle keruulle asetettujen erityistavoitteiden salainen päivitys
154
Toisen kanneperusteensa kolmannessa väitteessä kantaja väittää, että komissio rikkoi perusoikeuskirjan 7 ja 8 artiklaa, kun se katsoi riidanalaisessa päätöksessä, että Amerikan yhdysvallat tarjoaa sellaisen suojan tason, joka pääosiltaan vastaa tasoa, joka taataan unionin oikeudessa yleisen tietosuoja-asetuksen, luettuna perusoikeuskirjan valossa, nojalla, vaikka toimeenpanoasetuksella 14086 annetaan Yhdysvaltojen presidentille kansalliseen turvallisuuteen liittyvistä syistä oikeus hyväksyä valikoimattomalle keruulle asetettujen erityistavoitteiden salainen päivitys. Kantaja katsoo erityisesti, että toisin kuin 4.12.2015 annetussa Euroopan ihmisoikeustuomioistuimen tuomiossa Roman Zakharov v. Venäjä (CE:ECHR:2015:1204JUD004714306; jäljempänä tuomio Zakharov) todetaan, se, että Yhdysvaltojen presidentille annetaan toimivalta päivittää näitä erityistavoitteita, tarkoittaa, että henkilöt, joita henkilötietojen siirto koskee, eivät voi täsmällisesti yksilöidä oikeusperustaa, jonka puitteissa heidän tietojaan käsitellään Yhdysvalloissa.
155
Komissio, jota Irlanti ja Amerikan yhdysvallat tukevat, kiistää kantajan argumentit.
156
On huomautettava, että tuomiossa Zakharov Euroopan ihmisoikeustuomioistuin katsoi, että yksityis- ja perhe-elämän kunnioittamista koskevaan perusoikeuteen puuttuminen voidaan oikeuttaa Euroopan ihmisoikeussopimuksen 8 artiklan 2 kappaleen nojalla vain, kun laki sen sallii (tuomio Zakharov, 227 kohta). Euroopan ihmisoikeustuomioistuimen mukaan ilmaus ”kun laki sen sallii” tarkoittaa, että riidanalaisen toimenpiteen on oltava rekisteröidyn saatavilla ja että sen vaikutukset on voitava ennakoida (tuomio Zakharov, 228 kohta). Viestinnän kaappauksen alalla ”ennakoitavuus” ei merkitse sitä, että henkilön on voitava ennakoida, milloin viranomaiset aikovat kuunnella hänen viestintäänsä, vaan sitä, että hänen yksityis- ja perhe-elämän kunnioittamista koskevaan perusoikeuteensa kohdistuvien rajoitusten on perustuttava selkeisiin sääntöihin (tuomio Zakharov, 229 kohta).
157
On myös muistutettava, että edellä 29 kohdassa mainitun oikeuskäytännön mukaan on niin, että koska Euroopan ihmisoikeussopimuksen 8 artiklassa taataan oikeus yksityis- ja perhe-elämän kunnioitukseen samaan tapaan kuin perusoikeuskirjan 7 artiklassa, perusoikeuskirjan 7 artiklaa tulkittaessa on otettava huomioon Euroopan ihmisoikeussopimuksen 8 artiklaa koskeva Euroopan ihmisoikeustuomioistuimen oikeuskäytäntö ja tässä tapauksessa siis myös tuomio Zakharov.
158
Tältä osin toimeenpanoasetuksen 14086 2 §:n c momentin ii kohdan C alakohdasta ilmenee, että Yhdysvaltojen presidentille annettu oikeus päivittää valikoimattomalle keruulle asetettujen erityistavoitteiden luetteloa ei ole suinkaan rajoittamaton, vaan se koskee ainoastaan tilanteita, joissa tämä päivitys on tarpeen, koska on ilmennyt uusia kansalliseen turvallisuuteen liittyviä välttämättömiä tarpeita, kuten kansalliseen turvallisuuteen kohdistuvia uusia tai kohonneita uhkia, joiden osalta voidaan käyttää henkilötietojen valikoimatonta keruuta. Lisäksi kyseisestä säännöksestä ilmenee, ja Amerikan yhdysvallat vahvisti istunnossa, ettei Yhdysvaltojen presidentti päivitä näitä erityistavoitteita salaisesti, vaan kansallisen tiedustelupalvelun johtaja julkistaa ne, ellei presidentti päätä, että julkistaminen vaarantaisi itsessään Yhdysvaltojen kansallisen turvallisuuden. Lisäksi valikoimattomaan keruuseen sovelletaan myös tässä tapauksessa kaikkia toimeenpanoasetuksessa 14086 säädettyjä suojatoimia ja rajoituksia, ja jos rekisteröity tekee henkilötietoja koskevan valituksen, CLPO ratkaisee sen ja DPRC tapauksen mukaan tarkastelee CLPO:n päätöstä uudelleen.
159
Näin ollen ei voida katsoa, että Yhdysvaltojen presidentille annettu oikeus päivittää valikoimattomalle keruulle asetettujen erityistavoitteiden luetteloa on Euroopan ihmisoikeustuomioistuimen tuomiossa Zakharov esitettyjen vaatimusten vastainen.
160
Näin ollen toisen kanneperusteen kolmas väite ja siten toinen kanneperuste kokonaisuudessaan on hylättävä.
4.
Neljäs kanneperuste, joka perustuu yleisen tietosuoja-asetuksen 22 artiklan rikkomiseen
161
Neljännessä kanneperusteessaan kantaja väittää, että komissio rikkoi yleisen tietosuoja-asetuksen 22 artiklaa, koska se riidanalaisessa päätöksessä jätti säätämättä siitä, että rekisteröidyillä on oikeus olla joutumatta automaattisen päätöksenteon kohteeksi eli sellaisen päätöksen kohteeksi, joka perustuu pelkästään automaattiseen käsittelyyn, kuten profilointiin, ja jolla on häntä koskevia oikeusvaikutuksia tai joka vaikuttaa häneen vastaavalla tavalla merkittävästi (jäljempänä täysin automatisoidut päätökset).
162
Aluksi on todettava, että yleisen tietosuoja-asetuksen 22 artiklan sanamuoto on seuraava:
”1.   Rekisteröidyllä on oikeus olla joutumatta sellaisen päätöksen kohteeksi, joka perustuu pelkästään automaattiseen käsittelyyn, kuten profilointiin, ja jolla on häntä koskevia oikeusvaikutuksia tai joka vaikuttaa häneen vastaavalla tavalla merkittävästi.
2.   Edellä olevaa 1 kohtaa ei sovelleta, jos päätös
a)
on välttämätön rekisteröidyn ja rekisterinpitäjän välisen sopimuksen tekemistä tai täytäntöönpanoa varten;
b)
on hyväksytty rekisterinpitäjään sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä, jossa vahvistetaan myös asianmukaiset toimenpiteet rekisteröidyn oikeuksien ja vapauksien sekä oikeutettujen etujen suojaamiseksi; tai
c)
perustuu rekisteröidyn nimenomaiseen suostumukseen.”
163
On myös huomautettava, että yleisen tietosuoja-asetuksen 22 artiklan 1 kohdassa oleva ilmaus ”profilointi” on määritelty saman asetuksen 4 artiklan 4 kohdassa, jonka mukaan sillä tarkoitetaan ”mitä tahansa henkilötietojen automaattista käsittelyä, jossa henkilötietoja käyttämällä arvioidaan luonnollisen henkilön tiettyjä henkilökohtaisia ominaisuuksia, erityisesti analysoidaan tai ennakoidaan piirteitä, jotka liittyvät kyseisen luonnollisen henkilön työsuoritukseen, taloudelliseen tilanteeseen, terveyteen, henkilökohtaisiin mieltymyksiin, kiinnostuksen kohteisiin, luotettavuuteen, käyttäytymiseen, sijaintiin tai liikkeisiin”.
164
Tästä seuraa, että yleisen tietosuoja-asetuksen 22 artiklan mukaan jokaisella rekisteröidyllä on olla joutumatta sellaisen päätöksen kohteeksi, joka perustuu pelkästään henkilötietojen automaattiseen käsittelyyn, silloinkin, kun kyseisessä päätöksessä on kyse hänen käyttäytymisensä tiettyjen piirteiden analysoimisesta ja ennakoimisesta.
165
Riidanalaisesta päätöksestä ilmenee, ettei siinä käsitellä nimenomaisesti kysymystä täysin automatisoiduista päätöksistä.
166
Näin ollen on ratkaistava, voiko tällainen säätämättä jättäminen vaikuttaa riidanalaisen päätöksen lainmukaisuuteen, koska se saattaa kyseenalaistaa kyseisen päätöksen 1 artiklassa tehdyn päätelmän, jonka mukaan Amerikan yhdysvallat tarjoaa henkilötiedoille riittävän suojan.
167
Kantajan neljännen kanneperusteensa tueksi esittämiä kolmea väitettä on tarkasteltava tätä taustaa vasten alkaen ensimmäisestä ja kolmannesta väitteestä, jotka on tutkittava yhdessä.
a)
Neljännen kanneperusteen ensimmäinen ja kolmas väite, joissa väitetään yhtäältä, että se, että täysin automatisoituja päätöksiä tekevät yleensä rekisterinpitäjät, joihin sen vuoksi, että ne ovat sijoittautuneet unioniin, sovelletaan yleistä tietosuoja-asetusta, ei anna mitään takeita muissa tapauksissa, ja toisaalta, että sillä, että Yhdysvaltojen lainsäädännössä säädetään alakohtaisista suojatoimista tapauksissa, joissa täysin automatisoitujen päätösten tekeminen ei kuulu tietosuoja-asetuksen soveltamisalaan, ei ole merkitystä käsiteltävässä asiassa
168
Neljännen kanneperusteensa ensimmäisessä ja kolmannessa väitteessä kantaja väittää yhtäältä, että se, että täysin automatisoituja päätöksiä tekevät yleensä rekisterinpitäjät, joihin sen vuoksi, että ne ovat sijoittautuneet unioniin, sovelletaan yleistä tietosuoja-asetusta, ei anna mitään takeita muissa tapauksissa. Hän väittää toisaalta, että sillä, että Yhdysvaltojen lainsäädännössä säädetään alakohtaisista suojatoimista tapauksissa, joissa täysin automatisoitujen päätösten tekeminen ei kuulu tietosuoja-asetuksen soveltamisalaan, ei ole merkitystä käsiteltävässä asiassa, koska tämän seikan perusteella ei voida päätellä, että yleisesti ottaen suoja, jota Yhdysvallat tarjoaa kaikkien täysin automatisoitujen päätösten osalta, vastaa tietosuoja-asetuksen 22 artiklassa taattua suojaa.
169
Komissio, jota Irlanti ja Amerikan yhdysvallat tukevat, kiistää kantajan argumentit.
170
On todettava, että riidanalaisen päätöksen johdanto-osan 33 kappaleesta ilmenee, että henkilötietojen siirrossa unionista Yhdysvaltoihin on erotettava toisistaan kolme eri tapausta, joissa täysin automatisoituja päätöksiä voidaan tehdä.
171
Ensinnäkin on mahdollista, että täysin automatisoidut päätökset tekee unioniin sijoittautunut rekisterinpitäjä, joka on kerännyt kyseisten rekisteröityjen henkilötiedot unionissa. Tältä osin on huomautettava, että yleisen tietosuoja-asetuksen 4 artiklan 7 kohdan mukaan rekisterinpitäjällä tarkoitetaan luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot. Tässä tapauksessa rekisterinpitäjän on, koska siihen sovelletaan yleistä tietosuoja-asetusta kyseisen asetuksen 3 artiklan 1 kohdan mukaisesti, noudatettava tällaisissa päätöksissä kyseisen asetuksen 22 artiklassa säädettyjä vaatimuksia.
172
Toiseksi on mahdollista, että täysin automatisoidut päätökset tekee joko kolmanteen valtioon sijoittautunut henkilötietojen käsittelijä, joka toimii unionin rekisterinpitäjän puolesta ja jolle tämä rekisterinpitäjä on siirtänyt unionissa keräämänsä tiedot, tai unioniin sijoittautuneen henkilötietojen käsittelijän alihankkija, jolle tämä käsittelijä on siirtänyt unionissa keräämänsä tiedot. Tältä osin on täsmennettävä, että yleisen tietosuoja-asetuksen 4 artiklan 8 kohdan mukaan henkilötietojen käsittelijällä tarkoitetaan luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka käsittelee henkilötietoja rekisterinpitäjän lukuun. Näissä tapauksissa on niin, että koska ulkomaiset henkilötietojen käsittelijät toimivat rekisterinpitäjän tai unioniin sijoittautuneen henkilötietojen käsittelijän puolesta, niihin sovelletaan yleistä tietosuoja-asetusta kyseisen asetuksen 3 artiklan 1 kohdan nojalla. Tällaisissa päätöksissä rekisterinpitäjän ja henkilötietojen käsittelijän on siis noudatettava kyseisen asetuksen 22 artiklassa säädettyjä vaatimuksia.
173
Kolmanneksi on mahdollista, että täysin automatisoidut päätökset tekee rekisterinpitäjä tai henkilötietojen käsittelijä, joka ei ole sijoittautunut unioniin mutta joka on kohdentanut toimiaan unionissa oleviin rekisteröityihin tarjoamalla heille tavaroita tai palveluja tai seuraamalla heidän käyttäytymistään. Yleisen tietosuoja-asetuksen 3 artiklan 2 kohdassa säädetään, että tässä tapauksessa ulkomaiseen rekisterinpitäjään ja henkilötietojen käsittelijään sovelletaan kyseistä asetusta. Kun siis kyse on täysin automatisoiduista päätöksistä, niiden on noudatettava mainitun asetuksen 22 artiklassa säädettyjä vaatimuksia.
174
Näin ollen riidanalaisesta päätöksestä ilmenee, että tapaukset, joissa täysin automatisoidut päätökset eivät kuulu yleisen tietosuoja-asetuksen 22 artiklan soveltamisalaan, ovat toisarvoisia ja rajoittuvat ainoastaan tilanteeseen, jossa tietosuojakehykseen kuuluvat organisaatiot keräävät henkilötietoja suoraan unionissa tarjoamatta kuitenkaan unionin kansalaisille tavaroita ja palveluja ja seuraamatta heidän käyttäytymistään mainitun asetuksen 3 artiklan 2 kohdassa tarkoitetussa merkityksessä.
175
Riidanalaisen päätöksen johdanto-osan 35 ja 36 kappaleesta ilmenee, eikä kantaja ole sitä kiistänyt, että näissä tapauksissa Yhdysvaltojen lainsäädännössä tarjotaan alakohtaisia suojatoimia, jotka ovat samankaltaisia kuin yleisessä tietosuoja-asetuksessa säädetyt suojatoimet, aloilla, joilla yritykset todennäköisimmin tekevät täysin automatisoituja päätöksiä, kuten luotonannon, asuntolainatarjousten, työhönottopäätösten, työllisyyden, asumisen ja vakuutusten alalla.
176
Kulutusluottojen alalla luottokelpoisuusraportointia koskeva laki (Fair Credit Reporting Act) ja luotonsaantimahdollisuuksia koskeva laki (Equal Credit Opportunity Act) sisältävät suojatoimia, jotka antavat kuluttajille oikeuden selitykseen ja oikeuden riitauttaa täysin automatisoidut päätökset. Näitä lakeja sovelletaan monilla eri aloilla, kuten luotonannon, työllisyyden, asumisen ja vakuutusten alalla. Lisäksi kansalaisoikeuslain (Civil Rights Act) VII osastossa ja oikeudenmukaista asumista koskevassa laissa (Fair Housing Act) luonnollisille henkilöille tarjotaan suojaa täysin automatisoiduissa päätöksissä käytettäviltä malleilta, jotka voivat johtaa syrjintään tiettyjen ominaisuuksien perusteella, ja myönnetään heille oikeus riitauttaa tällaiset päätökset. Terveystietojen alalla Yhdysvaltojen viranomaisten sairausvakuutuslain (Health Insurance Portability and Accountability Act) mukaisesti antamissa säännöissä edellytetään, että terveydenhuoltopalvelujen tarjoajat saavat tietoja, joiden avulla ne voivat kertoa henkilöille lääketieteen alalla käytettävistä täysin automatisoiduista päätöksentekojärjestelmistä.
177
Toisin kuin kantaja väittää, tässä tilanteessa ei voida katsoa, että Yhdysvaltojen lainsäädännössä säädetyt alakohtaiset suojatoimet eivät ole merkityksellisiä käsiteltävässä asiassa, koska ne eivät ole samalla tavoin yleisesti sovellettavia kuin yleisen tietosuoja-asetuksen 22 artikla.
178
Tältä osin on muistutettava, että unionin tuomioistuin totesi tuomiossa Schrems I ja tuomiossa Schrems II, että ilman että vaadittaisiin, että asianomainen kolmas maa takaa täysin saman suojan kuin unionin oikeusjärjestyksessä taataan, yleisen tietosuoja-asetuksen 45 artiklan 1 kohdassa oleva ilmaus ”tietosuojan riittävä taso” on ymmärrettävä siten, että se edellyttää, että tämä kolmas maa tosiasiallisesti takaa maan sisäisen lainsäädäntönsä tai kansainvälisten sitoumustensa johdosta perusvapauksien ja ‑oikeuksien suojan sellaisen tason, joka pääosiltaan vastaa tasoa, joka taataan unionissa tämän asetuksen, luettuna perusoikeuskirjan valossa, nojalla (ks. edellä 19 ja 20 kohta).
179
Lisäksi tuomiossa Schrems I unionin tuomioistuin katsoi, että vaikka keinot, joita kyseinen kolmas maa tässä yhteydessä käyttää taatakseen tällaisen suojan tason, voivat poiketa niistä, joita unionissa käytetään, näiden keinojen on käytännössä osoittauduttava tehokkaiksi takaamaan suoja, joka pääosiltaan vastaa unionissa taattua suojaa (ks. edellä 20 kohta).
180
Edellä esitetyn perusteella neljännen kanneperusteen ensimmäinen ja kolmas väite on hylättävä.
b)
Neljännen kanneperusteen toinen väite, jonka mukaan käsiteltävässä asiassa ei ole merkitystä komission vuonna 2018 teettämällä tutkimuksella, joka osoitti, että tapaukset, joissa Yhdysvaltoihin sijoittautuneet Privacy Shield ‑järjestelyyn liittyneet organisaatiot tekevät täysin automatisoituja päätöksiä, ovat toisarvoisia
181
Neljännen kanneperusteensa toisessa väitteessä kantaja väittää, ettei käsiteltävässä asiassa ole merkitystä sillä, että riidanalaisen päätöksen johdanto-osan 34 kappaleessa mainitussa täysin automatisoituja päätöksiä koskevassa tutkimuksessa, jonka komissio teetti vuonna 2018 ja jonka tulokset esitetään EU:n ja Yhdysvaltojen välisen Privacy Shield ‑järjestelyn toiminnan toisesta vuosittaisesta tarkastelusta Euroopan parlamentille ja neuvostolle 19.12.2018 annetun komission kertomuksen (COM(2018) 860 final) (jäljempänä vuoden 2018 tutkimus) 4.1.5 kohdassa, todettiin, ettei ole näyttöä siitä, että Yhdysvaltoihin sijoittautuneet organisaatiot, jotka ovat liittyneet Privacy Shield ‑järjestelyyn, tekisivät täysin automatisoituja päätöksiä. Kantaja väittää erityisesti, että mainittu tutkimus liittyy Privacy Shield ‑järjestelyn tietosuojan riittävyyttä koskevaan päätökseen, jonka unionin tuomioistuin kumosi tuomiossa Schrems II, ja ettei siinä oteta huomioon nykyistä tilannetta, jolle on ominaista täysin automatisoitujen tekoälypohjaisten palvelujen erittäin nopea kehitys.
182
Komissio, jota Irlanti ja Amerikan yhdysvallat tukevat, kiistää kantajan argumentit.
183
Vuoden 2018 tutkimuksesta ilmenee erityisesti, että yhtäältä minkään kyseisenä ajankohtana saatavilla olleiden tietojen perusteella ei voitu katsoa, että Yhdysvaltoihin sijoittautuneet yritykset, jotka olivat liittyneet Privacy Shield ‑järjestelyyn, olivat tehneet täysin automatisoituja päätöksiä, ja että toisaalta Amerikan yhdysvallat oli pannut täytäntöön alakohtaista lainsäädäntöä kulutusluottojen, työllisyyden, asumisen, vakuutusten ja terveyden kaltaisilla aloilla, joilla todennäköisimmin tehdään täysin automatisoituja päätöksiä.
184
Tältä osin on huomautettava ensinnäkin, että Privacy Shield ‑järjestelyn tietosuojan riittävyyttä koskevassa päätöksessä ei viitata vuoden 2018 tutkimukseen ja että komissio tilasi tämän tutkimuksen kyseisen päätöksen voimaantulon jälkeen. Sillä, että unionin tuomioistuin kumosi kyseisen päätöksen tuomiolla Schrems II, ei siten ole merkitystä käsiteltävässä asiassa. Tuomiossa Schrems II unionin tuomioistuin ei myöskään kumonnut kyseistä päätöstä vuoden 2018 tutkimuksessa mainittujen seikkojen perusteella.
185
Toiseksi pitää paikkansa, ettei vuoden 2018 tutkimuksessa otettu huomioon Yhdysvalloissa vuonna 2023 eli riidanalaisen päätöksen antamisajankohtana vallinnutta tosiasiallista ja oikeudellista tilannetta vaan vuonna 2018 eli tutkimuksen tekoajankohtana vallinnut tilanne. Niiden tapausten toisarvoisuus, joissa Yhdysvaltoihin sijoittautuneet organisaatiot, jotka ovat liittyneet Privacy Shield ‑järjestelyyn, olivat tehneet täysin automatisoituja päätöksiä, vahvistettiin kuitenkin EU:n ja Yhdysvaltojen välisen Privacy Shield ‑järjestelyn toiminnan kolmannesta vuosittaisesta tarkastelusta Euroopan parlamentille ja neuvostolle 23.10.2019 annetussa komission kertomuksessa (COM(2019) 495). Kyseisessä kertomuksessa nimittäin todettiin muun muassa, että niiden Privacy Shield ‑järjestelyyn osallistuvien Yhdysvaltoihin sijoittautuneiden organisaatioiden lukumäärä, jotka olivat tehneet täysin automatisoituja päätöksiä, oli vähäinen ja että näiden organisaatioiden tekemillä päätöksillä ei yleensä ollut oikeusvaikutuksia eivätkä ne muutenkaan vaikuttaneet rekisteröityihin.
186
Kolmanneksi on huomautettava, että kantaja ei ole kirjelmissään esittänyt minkäänlaista näyttöä, jonka perusteella voitaisiin katsoa, että vuoden 2018 tutkimuksen jälkeen Yhdysvaltoihin sijoittautuneet organisaatiot ovat tehneet täysin automatisoituja päätöksiä, eikä selittänyt oikeudellisesti riittävällä tavalla, mistä syystä tekoälyn kehitys tekisi kyseisestä tutkimuksesta merkityksettömän.
187
Tässä tilanteessa neljännen kanneperusteen toinen väite ja näin ollen neljäs kanneperuste kokonaisuudessaan on hylättävä.
5.
Viides kanneperuste, joka perustuu yleisen tietosuoja-asetuksen 32 artiklan, luettuna yhdessä 45 artiklan 2 kohdan kanssa, rikkomiseen
188
Viidennessä kanneperusteessaan kantaja väittää, että komissio rikkoi yleisen tietosuoja-asetuksen 32 artiklaa, luettuna yhdessä 45 artiklan 2 kohdan kanssa, kun se katsoi riidanalaisessa päätöksessä, että Amerikan yhdysvallat tarjoaa tietosuojan sellaisen tason, joka pääosiltaan vastaa unionin oikeudessa taattua suojan tasoa siltä osin kuin Yhdysvaltoihin sijoittautuneiden rekisterinpitäjien ja henkilötietojen käsittelijöiden on otettava käyttöön asianmukaiset tekniset ja organisatoriset toimenpiteet, joilla taataan unionista Yhdysvaltoihin siirrettävien henkilötietojen käsittelyn turvallisuus.
189
Tältä osin kantaja väittää ensinnäkin, että riidanalaisen päätöksen liitteessä I olevan II jakson 4 kohdan a alakohdassa ainoastaan säädetään, että tietosuojakehykseen kuuluvien organisaatioiden on toteutettava kohtuullisia ja asianmukaisia toimia yksinomaan silloin, kun ne keräävät, säilyttävät, käyttävät tai levittävät henkilötietoja. Näin ollen mitään turvallisuustoimia ei vaadita silloin, kun nämä organisaatiot tekevät kyselyjä unionista siirrettävinä oleviin henkilötietoihin. Kantaja väittää, että kyselyjen tekeminen sisältyy yleisen tietosuoja-asetuksen 4 artiklan 2 kohdassa olevaan henkilötietojen ”käsittelyn” käsitteeseen kuuluviin toimintoihin.
190
Toiseksi kantaja väittää, että riidanalaisen päätöksen liitteessä I olevan III jakson 6 kohdan f alakohdassa velvoitetaan ne Yhdysvaltoihin sijoittautuneet organisaatiot, jotka vetäytyvät tietosuojakehyksestä, jatkamaan kyseisessä päätöksessä mainittujen periaatteiden, myös käsittelyn turvallisuutta koskevien periaatteiden, noudattamista niin kauan kuin ne säilyttävät, käyttävät tai luovuttavat unionista Yhdysvaltoihin siirrettyjä henkilötietoja, mutta ei aseteta tällaista velvollisuutta silloin, kun nämä samat organisaatiot tekevät kyselyjä henkilötietoihin.
191
Komissio, jota Irlanti ja Amerikan yhdysvallat tukevat, kiistää kantajan argumentit.
192
Aluksi on muistutettava ensinnäkin, että yleisen tietosuoja-asetuksen 32 artiklan sanamuoto on seuraava:
”1.   Ottaen huomioon uusin tekniikka ja toteuttamiskustannukset, käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvat, todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit rekisterinpitäjän ja henkilötietojen käsittelijän on toteutettava riskiä vastaavan turvallisuustason varmistamiseksi asianmukaiset tekniset ja organisatoriset toimenpiteet, kuten
a)
henkilötietojen pseudonymisointi ja salaus
b)
kyky taata käsittelyjärjestelmien ja palveluiden jatkuva luottamuksellisuus, eheys, käytettävyys ja vikasietoisuus;
c)
kyky palauttaa nopeasti tietojen saatavuus ja pääsy tietoihin fyysisen tai teknisen vian sattuessa;
d)
menettely, jolla testataan, tutkitaan ja arvioidaan säännöllisesti teknisten ja organisatoristen toimenpiteiden tehokkuutta tietojenkäsittelyn turvallisuuden varmistamiseksi.
2.   Asianmukaisen turvallisuustason arvioimisessa on kiinnitettävä huomiota erityisesti käsittelyn sisältämiin riskeihin, erityisesti siirrettyjen, tallennettujen tai muutoin käsiteltyjen henkilötietojen vahingossa tapahtuvan tai laittoman tuhoamisen, häviämisen, muuttamisen, luvattoman luovuttamisen tai henkilötietoihin pääsyn vuoksi.”
193
Yleisen tietosuoja-asetuksen 32 artiklassa olevalla ilmauksella ”käsittely” tarkoitetaan sen 4 artiklan 2 kohdan mukaan ”toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista”.
194
Oikeuskäytännön mukaan erityisesti ilmaisusta ”[kaikenlainen] toiminto” [”toute opération” ranskankielisessä versiossa] ilmenee, että unionin lainsäätäjän tarkoituksena on ollut antaa käsittelyn käsitteelle laaja ulottuvuus, mitä tukee se, että kyseisessä säännöksessä mainittujen toimintojen luettelo ei ole tyhjentävä, mikä ilmenee ilmaisusta ”kuten” (ks. tuomio 7.3.2024, Endemol Shine Finland, C‑740/22, EU:C:2024:216, 29 kohta oikeuskäytäntöviittauksineen).
195
Lisäksi on todettava, että niiden seikkojen joukossa, jotka komission on otettava huomioon arvioidessaan kolmannen maan tarjoaman tietosuojan riittävyyttä yleisen tietosuoja-asetuksen 45 artiklan 2 kohdan a alakohdan mukaisesti, mainitaan kyseisen maan käyttöön ottamat henkilötietoja koskevat turvatoimet.
196
Kantajan tämän kanneperusteen tueksi esittämiä kahta argumenttia, jotka tutkitaan yhdessä, on tarkasteltava tätä taustaa vasten.
197
Tältä osin on muistutettava, että riidanalaisen päätöksen liitteessä I olevan II jakson 4 kohdan a alakohdan sanamuoto on seuraava:
”Organisaatioiden, jotka keräävät, säilyttävät, käyttävät tai levittävät henkilötietoja, on toteutettava kohtuullisia ja asianmukaisia toimenpiteitä, joilla henkilötietoja suojataan katoamiselta, väärinkäytöltä, luvattomalta pääsyltä, luovuttamiselta, muuttamiselta tai tuhoamiselta. Organisaation on tällöin otettava asianmukaisesti huomioon tietojenkäsittelyn riskit ja henkilötietojen luonne.”
198
Lisäksi on todettava, että riidanalaisen päätöksen liitteessä I olevan III jakson 6 kohdan f alakohdan sanamuoto on seuraava:
”Organisaation on sovellettava järjestelyn periaatteita kaikkiin henkilötietoihin, jotka organisaatio vastaanottaa EU:sta EU:n ja Yhdysvaltojen tietosuojakehyksen perusteella. Sitoutumista järjestelyn periaatteiden noudattamiseen ei rajoiteta ajallisesti niiden henkilötietojen osalta, jotka organisaatio on vastaanottanut ollessaan oikeutettu EU:n ja Yhdysvaltojen tietosuojakehyksen etuihin. Sitoutuminen merkitsee sitä, että organisaatio soveltaa järjestelyn periaatteita tällaisiin tietoihin niin kauan kuin se tallentaa, käyttää tai luovuttaa tietoja, vaikka se myöhemmin mistä tahansa syystä jättäytyisi EU:n ja Yhdysvaltojen tietosuojakehyksen ulkopuolelle.”
199
Tästä seuraa, että riidanalaisen päätöksen liitteessä I olevan II jakson 4 kohdan a alakohta ja III jakson 6 kohdan f alakohta eivät koske kaikkia yleisen tietosuoja-asetuksen 4 artiklan 2 kohdassa tarkoitetun henkilötietojen käsittelyn muotoja. Päinvastoin, sillä yhtäältä ensin mainitussa säännöksessä rajataan tietosuojakehykseen kuuluvien organisaatioiden velvollisuus toteuttaa turvatoimia ainoastaan tilanteisiin, joissa ne keräävät, säilyttävät, käyttävät tai levittävät henkilötietoja. Toisaalta jälkimmäisessä säännöksessä säädetään, että organisaatioiden, jotka jättäytyvät tietosuojakehyksen ulkopuolelle, on jatkettava riidanalaisessa päätöksessä vahvistettuja periaatteita niin kauan kuin ne tallentavat, käyttävät tai luovuttavat unionista Yhdysvaltoihin siirrettyjä tietoja.
200
Ensinnäkin on muistutettava, että tuomiossa Schrems I ja tuomiossa Schrems II unionin tuomioistuin katsoi, ettei ole tarpeen, että kolmas maa takaa täysin saman suojan kuin unionin oikeusjärjestyksessä taataan (ks. edellä 19 ja 20 kohta). Tästä seuraa, että vaikka komissio katsoi riidanalaisessa päätöksessä, että kyseisen päätöksen antamisajankohtana voimassa olleessa Yhdysvaltojen lainsäädännössä taataan tietosuojan taso, joka pääosiltaan vastaa unionin oikeudessa säädettyä tasoa, kyseisessä päätöksessä käytettävien termien ei tarvitse olla täsmälleen samoja kuin yleisessä tietosuoja-asetuksessa.
201
Toiseksi riidanalaisen päätöksen liitteessä I olevan II jakson 4 kohdan a alakohdassa olevia periaatteita on tulkittava kyseisen päätöksen johdanto-osan 23 kappaleesta ilmenevien seikkojen valossa, ja viimeksi mainitussa todetaan – samaan tapaan kuin yleisen tietosuoja-asetuksen 32 artiklassa – seuraavaa:
”Henkilötietoja olisi myös käsiteltävä tavalla, jolla varmistetaan niiden turvallisuus, mukaan lukien suojaaminen luvattomalta tai laittomalta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta. Tätä varten rekisterinpitäjien ja henkilötietojen käsittelijöiden olisi toteutettava asianmukaisia teknisiä tai organisatorisia toimenpiteitä henkilötietojen suojaamiseksi mahdollisilta uhkilta. Näitä toimenpiteitä arvioitaessa olisi otettava huomioon uusin tekniikka, toimenpiteisiin liittyvät kustannukset sekä käsittelyn luonne, laajuus, konteksti ja tarkoitus sekä yksilöiden oikeuksiin kohdistuvat riskit.”
202
Kolmanneksi on todettava, että riidanalaisen päätöksen liitteessä I olevan II jakson 4 kohdan a alakohdassa käytetyt ilmaukset ”kerätä”, ”säilyttää”, ”käyttää” ja ”levittää” ja III jakson 6 kohdan f alakohdassa käytetyt ilmaukset ”tallentaa”, ”käyttää” ja ”luovuttaa” ovat yleisen tietosuoja-asetuksen 32 artiklassa tarkoitetun henkilötietojen ”käsittelyn” erityisiä ilmauksia, ja että niiden on viimeksi mainitun tapaan tarkoitus kattaa monenlaisia henkilötietoihin kohdistuvia toimia.
203
Neljänneksi sekä riidanalaisen päätöksen liitteessä I olevan II jakson 4 kohdan a alakohtaan että siinä olevan III jakson 6 kohdan f alakohtaan sisältyvällä ilmauksella ”käyttää” tarkoitetaan jonkin hyödyntämistä määrättyyn tarkoitukseen tai käyttöön. Näin ollen henkilötietojen käyttöön sisältyy myös niihin tehtävä kysely, sillä jotta tietoja voitaisiin käyttää, niihin on ensin saatava pääsy ja näin myös tehtävä kyselyjä. Tästä seuraa, että kantajan väite, jonka mukaan riidanalaisessa päätöksessä ei edellytetä minkäänlaisia turvatoimia tilanteessa, jossa tietosuojakehykseen kuuluvat organisaatiot tekevät kyselyjä unionista peräisin oleviin henkilötietoihin, on perusteeton.
204
Eedellä esitetyn perusteella viides kanneperuste ja näin ollen kanne kokonaisuudessaan on hylättävä.
IV Oikeudenkäyntikulut
205
Unionin yleisen tuomioistuimen työjärjestyksen 134 artiklan 1 kohdan mukaan asianosainen, joka häviää asian, velvoitetaan korvaamaan oikeudenkäyntikulut, jos vastapuoli on sitä vaatinut.
206
Koska komissio on vaatinut, että kantaja velvoitetaan korvaamaan oikeudenkäyntikulut, ja kantaja on hävinnyt asian, hän vastaa omista oikeudenkäyntikuluistaan, ja hänet velvoitetaan korvaamaan komission oikeudenkäyntikulut, välitoimimenettelyssä aiheutuneet kulut mukaan luettuina.
207
Työjärjestyksen 138 artiklan 1 kohdan mukaan jäsenvaltiot ja toimielimet, jotka ovat asiassa väliintulijoina, vastaavat omista oikeudenkäyntikuluistaan. Näin ollen Irlanti on velvoitettava vastaamaan omista oikeudenkäyntikuluistaan.
208
Työjärjestyksen 138 artiklan 3 kohdan mukaan unionin yleinen tuomioistuin voi lisäksi määrätä, että muu kuin kyseisen 138 artiklan 1 ja 2 kohdassa tarkoitettu väliintulija vastaa omista oikeudenkäyntikuluistaan. Käsiteltävässä asiassa on määrättävä, että Amerikan yhdysvallat vastaa omista oikeudenkäyntikuluistaan.
Näillä perusteilla
UNIONIN YLEINEN TUOMIOISTUIN (laajennettu kymmenes jaosto)
on ratkaissut asian seuraavasti:
1)
Kanne hylätään.
2)
Philippe Latombe vastaa omista oikeudenkäyntikuluistaan, ja hänet velvoitetaan korvaamaan Euroopan komissiolle aiheutuneet oikeudenkäyntikulut, välitoimimenettelyssä aiheutuneet kulut mukaan luettuina.
3)
Irlanti vastaa omista oikeudenkäyntikuluistaan.
4)
Amerikan yhdysvallat vastaa omista oikeudenkäyntikuluistaan.
Porchia
Jaeger
Madise
Nihoul
Verschuur
Julistettiin Luxemburgissa 3 päivänä syyskuuta 2025.
Allekirjoitukset
(
*1
)	Oikeudenkäyntikieli: ranska.