62023TJ0553
РЕШЕНИЕ НА ОБЩИЯ СЪД (десети разширен състав)
3 септември 2025 година (
*1
)
„Предаване на лични данни към Съединените щати — Решение за изпълнение на Комисията относно адекватното ниво на защита на личните данни, осигурено в Съединените щати — Право на ефективни правни средства за защита — Право на личен и семеен живот — Решения, които се основават единствено на автоматизираното обработване на лични данни — Сигурност на обработването на лични данни“
По дело T‑553/23,
Philippe Latombe, с местожителство в Нант (Франция), представляван от N. Coutrelis, J.‑B. Soufron и T. Lamballe, avocats,
жалбоподател,
срещу
Европейска комисия, представлявана от D. Calleja Crespo, A. Bouchagiar, H. Kranenborg и C. Ladenburger,
ответник,
подпомагана от
Ирландия, представлявана от M. Browne, S. Finnegan и A. Joyce, подпомагани от S. Brittain, barrister, и от C. Donnelly, SC,
и от
Съединени американски щати, представлявани от B. Walsh, S. Barton и A. Finlay, solicitors, E. Barrington, SC, и D. Hardiman, barrister,
встъпили страни,
ОБЩИЯТ СЪД (десети разширен състав),
състоящ се от O. Porchia, председател, M. Jaeger (докладчик), L. Madise, P. Nihoul и S. Verschuur, съдии,
секретар: I. Kurme, администратор,
предвид определение от 12 октомври 2023 г., Latombe/Комисия (T‑553/23 R, непубликувано, EU:T:2023:621),
предвид изложеното в писмената фаза на производството,
предвид изложеното в съдебното заседание от 1 април 2025 г.,
постанови настоящото
Решение
1
С жалбата си на основание член 263 ДФЕС жалбоподателят, г‑н Philippe Latombe, иска по същество отмяна на Решение за изпълнение (ЕС) 2023/1795 на Комисията от 10 юли 2023 година съгласно Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета относно адекватното ниво на защита на личните данни в Рамката за защита на личните данни в отношенията между ЕС и САЩ (ОВ L 231, 2023 г., стр. 118, наричано по-нататък „обжалваното решение“).
I. Обстоятелствата по спора
2
Жалбоподателят е френски гражданин, който твърди, че използва различни компютърни платформи, които събират личните му данни и ги предават на Съединените щати.
3
Що се отнася до предаването на лични данни от Европейския съюз към Съединените щати, първо, с решение от 6 октомври 2015 г., Schrems (C‑362/14, наричано по-нататък „решение Schrems I, EU:C:2015:650), Съдът обявява за невалидно Решение 2000/520/ЕО на Комисията от 26 юли 2000 година съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно адекватността на защитата, гарантирана от принципите за „сфера на неприкосновеност на личния живот“ и свързаните с това често задавани въпроси, публикувани от Департамента по търговия на САЩ (ОВ L 215, стр. 7; Специално издание на български език, 2007 г., глава 16, том 1, стр. 64).
4
Второ, с решение от 16 юли 2020 г., Facebook Ireland и Schrems (C‑311/18, наричано по-нататък „решение Schrems II“, EU:C:2020:559), Съдът обявява за невалидно Решение за изпълнение (ЕС) 2016/1250 на Комисията от 12 юли 2016 година съгласно Директива 95/46 относно адекватността на защитата, осигурявана от Щита за личните данни в отношенията между ЕС и САЩ (ОВ L 207, 2016 г., стр. 1, наричано по-нататък „решението относно адекватното ниво на защита, стоящо в основата на Щита за личните данни“).
5
В решения Schrems I и Schrems II Съдът, сезиран с преюдициално запитване за преценка на валидността, постановява по-специално, че противно на преценката на Европейската комисия в решенията относно адекватното ниво на защита, посочени в точки 3 и 4 по‑горе, схемата за сфера на неприкосновеност на личния живот и системата за Щита за личните данни (наричана по-нататък „Щита за личните данни“), които уреждат предаването на лични данни, не гарантират ниво на защита на основните права и свободи, което по същество е равностойно на гарантираното от правото на Съюза.
6
След решение Schrems II Комисията започва преговори с правителството на Съединените щати с оглед на евентуално ново решение относно адекватното ниво на защита, което да отговаря на изискванията на член 45, параграф 2 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46 (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, и поправка ОВ L 127, 2018 г., стр. 2, наричан по-нататък „ОРЗД“), както са тълкувани от Съда.
7
Съответно, на 7 октомври 2022 г. Съединените американски щати приемат Executive Order 14086 (Президентски указ № 14086, наричан по-нататък „Указ 14086“), с който се засилват мерките за защита на правото на неприкосновеност на личния живот, приложими при дейностите по радиоелектронно разузнаване на разузнавателните агенции в Съединените щати. Този указ е допълнен от Attorney General Order No. 5517–2022 (Наредба на министъра на правосъдието № 5517–2022, наричана по-нататък „Наредбата на МП“), с която към дял 28 от Code of Federal Regulations (CFR, Кодекс на федералните разпоредби), се добавя част 201, която урежда учредяването и функционирането на Data Protection Review Court (Апелативен съд в областта на защитата на личните данни, наричан по-нататък „DPRC“).
8
На 10 юли 2023 г. след направения анализ на това нормативно развитие в Съединените щати, на основание член 45, параграф 3 от ОРЗД Комисията приема обжалваното решение, с което се въвежда новата рамка за трансатлантически потоци от лични данни между Съюза и Съединените щати. В член 1 от това решение се посочва, че Съединените американски щати осигуряват адекватно ниво на защита на личните данни, предавани от Съюза на организации в тази държава, които са включени в списъка към „Рамката за защита на личните данни между ЕС и САЩ“ (наричана по-нататък „РЗЛД“), който се поддържа и се предоставя за публичен достъп от Министерството на търговията (наричани по-нататък „организациите от РЗЛД“).
II. Искания на страните
9
Жалбоподателят иска от Общия съд:
–
да отмени обжалваното решение по същество, в неговата цялост,
–
да осъди Комисията да заплати съдебните разноски.
10
Комисията, подкрепяна от Ирландия и от Съединените американски щати, иска от Общия съд:
–
да отхвърли жалбата като недопустима,
–
при условията на евентуалност да отхвърли жалбата като неоснователна,
–
да осъди жалбоподателя да заплати съдебните разноски.
III. От правна страна
А. По възражението за недопустимост
11
С отделна молба, подадена в секретариата на Общия съд на 1 декември 2023 г., Комисията повдига възражение за недопустимост на основание член 130 от Процедурния правилник на Общия съд.
12
Комисията твърди, че жалбата е недопустима, тъй като жалбоподателят няма процесуална легитимация, няма правен интерес, а частта на обжалваното решение, чиято отмяна иска, е неотделима от останалата част на това решение.
13
Жалбоподателят оспорва доводите на Комисията и поддържа, че жалбата му е допустима.
14
Следва да се припомни, че съдилищата на Съюза имат право да преценяват според обстоятелствата във всеки конкретен случай дали доброто правораздаване оправдава отхвърлянето на жалбата по същество, без предварително произнасяне по нейната допустимост (вж. в този смисъл решение от 26 февруари 2002 г., Съвет/Boehringer, C‑23/00 P, EU:C:2002:118, т. 51 и 52).
15
Така с оглед на обстоятелствата по случая Общият съд счита, че тъй като при всички положения и по изложените в точки 16—204 по-долу съображения жалбата е лишена от основание, за целите на доброто правораздаване следва да разгледа основателността на жалбата, без да се произнася предварително по допустимостта ѝ (вж. в този смисъл решения от 10 октомври 2014 г., Marchiani/Парламент, T‑479/13, непубликувано, EU:T:2014:866, т. 23, и от 20 декември 2023 г., Naturstrom/Комисия, T‑60/21, непубликувано, EU:T:2023:839, т. 74).
Б. По същество
16
В подкрепа на жалбата си жалбоподателят изтъква пет основания:
–
първо, нарушение на членове 3 и 4 от Регламент № 1/1958 на Съвета от 15 април 1958 година за определяне на езиковия режим на Европейската икономическа общност (ОВ 17, 1958 г., стр. 385/58; Специално издание на български език, 2007 г., глава 1, том 1, стр. 3),
–
второ, нарушение на членове 7 и 8 от Хартата на основните права на Европейския съюз,
–
трето, нарушение на член 47, втора алинея от посочената харта и на член 45, параграф 2 от ОРЗД,
–
четвърто, нарушение на член 22 от ОРЗД, и
–
пето, нарушение на член 32 от ОРЗД във връзка с член 45, параграф 2 от същия регламент.
17
В съдебното заседание жалбоподателят прави отказ от първото основание, което се отнася до нарушение на членове 3 и 4 от Регламент № 1/1958. Ето защо трябва да се разгледат само основания 2—5.
1.
Предварителни бележки
18
На първо място, следва да се отбележи, че член 45, параграф 1 от ОРЗД предвижда, че предаване на лични данни на трета държава може да се разреши с прието от Комисията решение, съгласно което тази трета държава, територия или един или повече конкретни нейни сектори осигуряват адекватно ниво на защита. Тази разпоредба е включена в глава V от посочения регламент, която, както посочва Съдът, като цяло има за цел да осигури непрекъснатостта на високото ниво на защита на личните данни, което е гарантирано от правото на Съюза по силата на този регламент, когато те са предавани на трета държава (вж. в този смисъл решение Schrems II, т. 93).
19
В това отношение Съдът уточнява, че без да се изисква съответната трета държава да гарантира ниво на защита, което е идентично на гарантираното в правния ред на Съюза, изразът „адекватно ниво на защита“ в член 45, параграф 1 от ОРЗД трябва да се разбира в смисъл, че от тази трета държава се изисква действително да гарантира, по силата на вътрешното си законодателство или на международните си ангажименти, ниво на защита на основните права и свободи, което по същество е равностойно на гарантираното в Съюза по силата на посочения регламент, разглеждан в светлината на Хартата на основните свободи (вж. в този смисъл решение Schrems II, т. 94 и 162).
20
Съдът също така постановява, че макар да е възможно средствата, до които третата държава прибягва в това отношение, за да гарантира адекватно ниво на защита на личните данни, да са различни от прилаганите вътре в Съюза, за да се гарантира спазването на изискванията, произтичащи от Директива 95/46, разглеждана във връзка с Хартата на основните права, все пак е необходимо на практика тези средства да се окажат ефективни с цел да се осигури защита, която по същество е равностойна на гарантираната в Съюза (решение Schrems I, т. 74).
21
Освен това Съдът приема, че като се имат предвид, от една страна, важната роля на защитата на личните данни с оглед на основното право на зачитане на личния живот, и от друга страна, значителният брой лица, чиито основни права е възможно да бъдат нарушени при предаване на лични данни към трета държава, която не гарантира адекватно ниво на защита, правото на Комисията на преценка относно адекватното ниво на защита, гарантирано от трета държава, се оказва ограничено, поради което съдът на Съюза трябва да извърши стриктна проверка на законосъобразността на решението относно адекватното ниво на защита (решение Schrems I, т. 78).
22
На второ място, следва да се припомни, че съгласно постоянната съдебна практика законосъобразността на акта на Съюза трябва да се преценява въз основа на фактическите и правните обстоятелства, които са съществували към датата на приемането му, така че действия, извършени след приемането на определено решение, не могат да имат отражение върху валидността на това решение (вж. решения от 17 октомври 2019 г., Alcogroup и Alcodis/Комисия, C‑403/18 P, EU:C:2019:870, т. 45 и цитираната съдебна практика, и от 28 януари 2021 г., Qualcomm и Qualcomm Europe/Комисия, C‑466/19 P, EU:C:2021:76, т. 82 и цитираната съдебна практика). Ето защо в настоящия случай изводите на Комисията относно законосъобразността на обжалваното решение трябва да се преценяват само с оглед на данните, с които тя е разполагала към момента, в който ги е направила.
23
Именно в този контекст следва да се разгледат изтъкнатите от жалбоподателя основания, като се започне най-напред с анализ на третото основание, след това на второто основание, по-нататък на четвъртото основание, и накрая, на петото основание.
2.
По третото основание: нарушение на член 47, втора алинея от Хартата на основните права и на член 45, параграф 2 от ОРЗД
24
С третото основание жалбоподателят поддържа, че Комисията е нарушила член 47, втора алинея от Хартата на основните права и член 45, параграф 2 от ОРЗД, тъй като е приела в обжалваното решение, че DPRC осигурява адекватно ниво на защита по отношение на правото на гражданите на Съюза на достъп до независим и безпристрастен съд, предварително създаден със закон.
25
В самото начало следва да се отбележи, че член 47, втора алинея от Хартата на основните права има следната редакция:
„Всеки има право неговото дело да бъде гледано справедливо и публично в разумен срок от независим и безпристрастен съд, предварително създаден със закон. Всеки има възможността да бъде съветван, защитаван и представляван“.
26
Съгласно Разясненията относно Хартата на основните права (ОВ C 303, 2007 г., стр. 17) член 47, втора алинея от Хартата съответства на член 6, параграф 1 от Европейската конвенция за защита на правата на човека и основните свободи, подписана в Рим на 4 ноември 1950 г. (наричана по-нататък „ЕКПЧ“). Тази разпоредба има следния текст:
„Всяко лице при определянето на неговите граждански права и задължения или при наличието на каквото и да е наказателно обвинение срещу него има право на справедливо и публично гледане на неговото дело в разумен срок от независим и безпристрастен съд, създаден в съответствие със закона“.
27
В това отношение следва да се припомни, че съгласно съдебната практика, при положение че, докато Съюзът не се присъедини към ЕКПЧ, тя не представлява юридически акт, формално интегриран в правния ред на Съюза, проверката за валидност на акт от вторичното право на Съюза трябва да се извършва единствено от гледна точка на основните права, гарантирани с Хартата на основните права (решение от 3 септември 2015 г., Inuit Tapiriit Kanatami и др./Комисия, C‑398/13 P, EU:C:2015:535, т. 45 и 46).
28
Все пак в съдебната практика се признава, от една страна, че по силата на член 6, параграф 3 ДЕС признатите в ЕКПЧ основни права са част от правото на Съюза като общи принципи, и от друга страна, че съгласно член 52, параграф 3 от Хартата на основните права съдържащите се в нея права, съответстващи на права, гарантирани от ЕКПЧ, имат същия смисъл и обхват като дадените им в ЕКПЧ (вж. решение от 31 май 2018 г., Korwin‑Mikke/Парламент, T‑770/16, EU:T:2018:320, т. 38 и цитираната съдебна практика).
29
Поради това съгласно съдебната практика от съображение за последователност и без това да засяга автономността на правото на Съюза и на Съда на Европейския съюз, правата, съдържащи се в Хартата на основните права, които съответстват на правата, гарантирани от ЕКПЧ, трябва също да се тълкуват в светлината на съдебната практика на Европейския съд по правата на човека („ЕСПЧ“) (вж. в този смисъл решения от 9 ноември 2023 г., Staatssecretaris van Justitie en Veiligheid (Понятие за тежки посегателства), C‑125/22, EU:C:2023:843, т. 59, и от 31 май 2018 г., Korwin-Mikke/Парламент, T‑770/16, EU:T:2018:320, т. 38).
30
Съгласно съдебната практика Съдът трябва да гарантира, в съответствие с член 52, параграф 3 от Хартата на основните права, че даденото от него тълкуване на член 47, втора алинея от Хартата осигурява равнище на защита, което съответства на гарантираното от член 6, параграф 1 от ЕКПЧ, както е тълкуван от ЕСПЧ (вж. решение от 6 октомври 2021 г., W.Ż. (Колегия за извънреден контрол и публични въпроси на Върховния съд — Назначаване), C‑487/19, EU:C:2021:798, т. 123 и цитираната съдебна практика).
31
Следва също да се отбележи, че в член 45, параграф 2 от ОРЗД се предвижда, че при оценяване на адекватността на нивото на защита в дадена трета държава Комисията отчита по-специално следните елементи:
„a)
[…] действителните и приложими права на субектите на данни и ефективната административна и съдебна защита за субектите на данни, чиито лични данни се предават;
б)
наличието и ефективното функциониране на един или повече независими надзорни органи във въпросната трета държава или на които се подчинява дадена международна организация, отговорни за осигуряване и прилагане на правилата за защита на данните, включително адекватни правомощия за прилагане, за подпомагане и консултиране на субектите на данни при упражняването на техните права и осъществяване на сътрудничество с надзорните органи на държавите членки“.
32
С оглед на тези обстоятелства следва да се разгледат двете оплаквания, изтъкнати от жалбоподателя в подкрепа на настоящото основание.
а)
По първото оплакване от третото основание, че DPRC не представлява независим и безпристрастен съд
33
С първото оплакване от третото основание жалбоподателят поддържа, че DPRC не представлява независим и безпристрастен съд по смисъла на член 47, втора алинея от Хартата на основните права, а квазисъдебен орган, който е зависим от изпълнителната власт.
34
Комисията, подкрепяна от Ирландия и от Съединените американски щати, оспорва довода на жалбоподателя.
35
Най-напред трябва да се отбележи, че съгласно съдебната практика изискването за независимост на юрисдикциите, присъщо за правосъдната дейност, спада към същественото съдържание на основното право на ефективна съдебна защита и на справедлив съдебен процес, което има кардинално значение като гарант за защитата на всички права, които правните субекти черпят от правото на Съюза, и за опазването на общите ценности на държавите членки, прогласени в член 2 ДЕС, по-конкретно на ценността правова държава (решение от 15 юли 2021 г., Комисия/Полша (Дисциплинарен режим на съдиите), C‑791/19, EU:C:2021:596, т. 58 и цитираната съдебна практика). В съответствие с принципа на разделение на властите, характерен за функционирането на всяка правова държава, трябва да се гарантира независимостта на съдилищата по-специално спрямо законодателната и изпълнителната власт (вж. решение от 18 май 2021 г., Asociaţia Forumul Judecătorilor din România и др., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 и C‑397/19, EU:C:2021:393, т. 195 и цитираната съдебна практика).
36
В съдебната практика се уточнява, че изискването за независимост на съдилищата има два аспекта. Първият аспект, който е външен, изисква съответният орган да упражнява функциите си напълно самостоятелно, без да е йерархично обвързан или да е подчинен на когото и да било и без да получава нареждания или инструкции от където и да било, като по този начин е защитен от външна намеса или натиск, които могат да накърнят независимостта на преценката на членовете му и да повлияят на техните решения. Вторият аспект, който е вътрешен, е свързан с понятието за безпристрастност и визира еднаквата отдалеченост от страните по спора и от съответните им интереси с оглед на предмета на спора. Този аспект изисква запазването на обективност и липсата на всякакъв интерес от изхода на спора извън строгото прилагане на правната норма (вж. решение от 21 декември 2021 г., Euro Box Promotion и др., C‑357/19, C‑379/19, C‑547/19, C‑811/19 и C‑840/19, EU:C:2021:1034, т. 224 и цитираната съдебна практика).
37
Изискваните от правото на Съюза гаранции за независимост и безпристрастност налагат наличието на правила — по-конкретно за състава на органа, за назначаването, срока на упражняване на функциите, както и основанията за самоотвод, отвод и освобождаване от длъжност на членовете му — които позволяват да се отстрани всяко оправдано съмнение у правните субекти в неподатливостта на този орган на влиянието на външни фактори и в неутралността му по отношение на противопоставящите се интереси (вж. решение от 15 юли 2021 г., Комисия/Полша (Дисциплинарен режим на съдиите), C‑791/19, EU:C:2021:596, т. 59 и цитираната съдебна практика).
38
Именно в този контекст следва да се разгледат трите довода, изтъкнати от жалбоподателя в подкрепа на настоящото оплакване.
1) По първия довод, че DPRC не представлява независим и безпристрастен съд, тъй като неговата функция се изразява в преразглеждане на решенията на Civil Liberties Protection Officer of the Director of National Intelligence
39
С първия си довод жалбоподателят твърди по същество, че DPRC не представлява независим и безпристрастен съд, тъй като неговата функция се изразява в преразглеждане на решенията на Civil Liberties Protection Officer of the Director of National Intelligence (служител по въпросите на гражданските свободи към Службата на директора на Националното разузнаване, наричан по-нататък „CLPO“, Съединени щати) към Службата на директора на Националното разузнаване на Съединените щати (наричан по-нататък „директор на Националното разузнаване“).
40
Комисията, подкрепяна от Ирландия и от Съединените американски щати, оспорва довода на жалбоподателя.
41
От съображения за яснота трябва да се направи уточнението, че първият довод от първото оплакване на третото основание трябва да се тълкува в смисъл, че по същество според жалбоподателя, от една страна, при разглеждането на жалба относно лични данни, подадена в Съюза от субект на данни, който възнамерява да се позове на нарушение на законодателството на Съединените щати, с което се уреждат дейностите по радиоелектронно разузнаване, коeто засяга неблагоприятно интересите му във връзка с неприкосновеността на личния живот и гражданските свободи (наричана по-нататък „жалба относно лични данни“), за CLPO не са предвидени достатъчно гаранции, които имат за цел да гарантират неговата независимост, тъй като е част от Службата на директора на Националното разузнаване, и от друга страна, че DPRC не представлява независим и безпристрастен съд поради липсата на достатъчно гаранции, приложими за CLPO.
42
Най-напред следва да се отбележи, че анализът на гаранциите за независимостта на CLPO е ирелевантен за преценката дали DPRC представлява независим и безпристрастен съд. Всъщност DPRC е учреден като независим надзорен орган на CLPO, пред който — както следва от съображение 184 от обжалваното решение — подалото жалба относно лични данни лице, както и всяка структура на разузнавателната общност, може да поиска преразглеждане на решението на CLPO, а в УКАЗ 14086 се предвиждат редица гаранции, за да могат решенията на CLPO да бъдат преразгледани и евентуално изменени независимо и безпристрастно от DPRC.
43
Първо, видно от съображения 185 и 186 от обжалваното решение, без жалбоподателят да го оспорва, DPRC се състои от най-малко шестима съдии, назначени от Attorney General (министър на правосъдието, Съединени щати, наричан по-нататък „министърът на правосъдието“) след консултации с Privacy and Civil Liberties Oversight Board (Надзорен съвет по въпросите на неприкосновеността на личния живот и гражданските свободи, Съединени щати, наричан по-нататък „PCLOB“), Secretary of Commerce (министър на търговията, Съединени щати) и директора на Националното разузнаване за срок от четири години с възможност за подновяване на мандата, като се прилагат същите критерии като тези за съдии от федералната съдебна власт и като се отдава значение на всеки предишен правораздавателен опит. Съответно съдиите трябва да са практикуващи юристи, а именно активни членове на адвокатската колегия с добра репутация и надлежно лицензирани да практикуват право и трябва да имат подходящ опит в областта на правото на неприкосновеност на личния живот и националната сигурност. Освен това министърът на правосъдието трябва да се стреми да гарантира, че поне половината от съдиите имат предишен правораздавателен опит, а всички съдии трябва да са получили разрешение за достъп и да могат да имат достъп до класифицирана информация във връзка с националната сигурност. За членове на DPRC могат да бъдат назначавани само лица, които отговарят на посочените изисквания и които не са служители на изпълнителната власт към момента на назначаването им или през предходните две години. Също така по време на мандата си в DPRC съдиите от DPRC не могат да имат никакви официални задължения или да заемат официална длъжност в правителството на Съединените щати.
44
Второ, видно от съображения 188 и 189 от обжалваното решение, без жалбоподателят да го оспорва, решенията на CLPO се преразглеждат цялостно от състав от трима съдии от DPRC, които се подпомагат от специален адвокат. При преразглеждането обаче DPRC не се основава единствено на материалите в преписката, предоставени от CLPO, но и на информация и документи, предоставени от жалбоподателя, специалния адвокат, който подпомага съдиите, или разузнавателните агенции, както и евентуално на допълнителна информация, поискана по време на разглеждане на жалба относно лични данни. Освен това при такова преразглеждане DPRC трябва да прилага релевантната практика на Supreme Court of the United States (Върховен съд на Съединените щати).
45
Трето, видно от съображения 190 и 191 от обжалваното решение, без жалбоподателят да го оспорва, DPRC разполага с правомощие за изменение, не е обвързан с решението на CLPO и когато не е съгласен с последния, може да приеме свое собствено решение във връзка с жалба относно лични данни. Освен това, независимо от позицията, която DPRC ще заеме, това решение е задължително и окончателно. Ето защо както разузнавателните агенции, така и правителството на Съединените щати са длъжни да го спазват.
46
От гореизложеното следва, че предвидените в Указ 14086 гаранции по отношение на функционирането и правомощията на DPRC предвиждат възможност да се преразглеждат независимо и безпристрастно решенията, взети от CLPO. Следователно жалбоподателят няма основание да твърди, че недостатъчните гаранции, които се прилагат за CLPO, засягат независимостта и безпристрастността на DPRC.
47
Във всеки случай, що се отнася до твърдяната недостатъчност на гаранциите за осигуряване на независимостта на CLPO, трябва да се посочи следното.
48
Следва да се отбележи, че видно от съображения 176—181 от обжалваното решение, без жалбоподателят да го оспорва, с Указ 14086, допълнен с Наредбата на МП, се въвежда специфичен механизъм за правна защита за разглеждане на жалба относно лични данни. Жалбата трябва да бъде подадена до надзорния орган във всяка държава членка, компетентен за надзора на обработването на лични данни, който след това я представя на CLPO, при условие че жалбата съдържа данните, посочени в точка 178 от обжалваното решение, а именно информация относно личните данни, за които има разумно основание да се смята, че са били предадени на Съединените щати, средствата, чрез които се смята, че личните данни са били предадени, идентификация на държавните органи на Съединените щати, за които се смята, че са замесени в предполагаемото нарушение, ако са известни, основанието, на което се твърди, че е извършено нарушение на правото на Съединените щати и естеството на исканото обезщетение. В този контекст CLPO трябва да прецени дали разузнавателните агенции са нарушили приложимото право на Съединените щати, и ако е така, да им разпореди да приемат коригиращи мерки. Решението на CLPO по жалбата е задължително.
49
Наистина в съображение 179 от обжалваното решение Комисията посочва, че CLPO е част от Службата на директора на Националното разузнаване, и че освен специалните правомощия за разглеждане на жалба относно лични данни, носи по-общото задължение да гарантира, че защитата на гражданските свободи и на неприкосновеността на личния живот ще бъде включена по подходящ начин в политиките и процедурите на тази служба и на разузнавателните агенции и че те спазват приложимите изисквания във връзка с гражданските свободи и неприкосновеността на личния живот. От една страна обаче, следва да се отбележи, че както е посочено в това съображение, за да се гарантира независимостта на CLPO, в Указ 14086 се предвижда, че CLPO може да бъде освободен от длъжност от директора и само по основателна причина, а именно в случай на неправомерно поведение, злоупотреба, нарушаване на сигурността, пренебрегване на задълженията или неспособност. От друга страна, както е видно от съображение 180 от обжалваното решение, на разузнавателните агенции и на директора на Националното разузнаване е забранено да възпрепятстват или да оказват неправомерно влияние върху работата на CLPO, който при разглеждането на жалба относно лични данни, трябва да прилага закона безпристрастно, като взема предвид както интересите, свързани с националната сигурност, така и мерките за защита на неприкосновеността на личния живот.
50
При тези условия настоящият довод трябва да се отхвърли.
2) По втория довод, че DPRC не представлява независим и безпристрастен съд, тъй като се състои от съдии, назначени от министъра на правосъдието след консултация с PCLOB
51
С втория си довод жалбоподателят твърди по същество, че DPRC не представлява независим и безпристрастен съд, тъй като се състои от съдии, назначени от министъра на правосъдието след консултация с PCLOB, който е орган, зависим от изпълнителната власт.
52
Комисията, подкрепяна от Ирландия и от Съединените американски щати, оспорва довода на жалбоподателя.
53
На първо място, видно от съображение 110 от обжалваното решение, PCLOB е независима структура в рамките на изпълнителната власт. Независимостта на тази структура е видна по-специално от нейния състав. Всъщност в петчленния ѝ състав влизат членове, назначени от президента на Съединените щати за фиксиран шестгодишен мандат с одобрението на Сената. Членовете трябва да бъдат избирани въз основа на тяхната професионална квалификация, постижения, позиция в обществото, експертни познания в областта на гражданските свободи и неприкосновеността на личния живот и експертен опит, без оглед на политическата им принадлежност. Не може да има повече от трима членове на PCLOB, които принадлежат към една и съща политическа партия. Лице, назначено за член на PCLOB, не може да бъде длъжностно лице на избираема длъжност, служител или наето лице във федералното правителство, освен в качеството си на член на PCLOB, докато изпълнява функциите си в него.
54
От това следва, че макар PCLOB да е учреден в рамките на изпълнителната власт, съгласно учредителния му акт той е създаден като независима структура, която да упражнява безпристрастно надзор над дейността на изпълнителната власт с оглед по-специално на защитата на неприкосновеността на личния живот и гражданските свободи. Както е посочено в съображение 194 от обжалваното решение, без жалбоподателят да го оспорва, PCLOB трябва ежегодно да следи дали CLPO и DPRC са разгледали постъпилите жалби своевременно, дали са получавали достъп до цялата необходима информация, дали са взели предвид всички гаранции, предвидени в Указ 14086 и дали разузнавателните агенции са се съобразили с направените от тях констатации. След тази проверка PCLOB трябва публично да сертифицира, че CLPO и DPRC са спазили тези гаранции. Освен това PCLOB трябва да представи доклад на президента на Съединените щати, министъра на правосъдието, директора на Националното разузнаване, ръководителите на разузнавателните агенции, CLPO и комисиите по разузнаване на United States Congress (Конгрес на Съединените щати). Докладът се публикува в некласифициран вариант. Министърът на правосъдието, директорът на Националното разузнаване, CLPO и ръководителите на разузнавателните агенции са длъжни да изпълняват всички препоръки, включени в този доклад.
55
При това положение фактът, че PCLOB е учреден в рамките на изпълнителната власт, сам по себе си не позволява да се заключи, че поради направените консултации преди назначаването на съдиите на DPRC същият не представлява независим и безпристрастен съд.
56
На второ място, следва да се отбележи, че за да се гарантира, че съдиите от DPRC са независими от изпълнителната власт, в Указ 14086 се предвижда, че при назначаването им министърът на правосъдието трябва да се придържа към критериите и условията, посочени в точка 43 по-горе. Освен това, както е видно от съображение 187 от обжалваното решение, съдиите от DPRC могат да бъдат освобождавани от длъжност само от министъра на правосъдието и само по основателна причина, а именно неправомерно поведение, злоупотреба, нарушаване на сигурността, пренебрегване на служебните задължения или неспособност, след като надлежно се вземат предвид стандартите, приложими за федералните съдии, установени в правилата за поведението на съдиите и за производството за отнемане на юридическа правоспособност.
57
От това следва, че правилата за назначаване и освобождаване от длъжност на съдиите от DPRC не могат да поставят под въпрос неговата независимост и безпристрастност.
58
На трето място, следва да се отбележи, че съгласно член 3, параграф 1 от обжалваното решение Комисията е длъжна да осигури постоянно наблюдение на прилагането на правната уредба, която е предмет на това решение, включително условията, при които се извършва последващото предаване на лични данни, условията, при които се упражняват индивидуалните права и при които публичните органи на Съединените щати имат достъп до данните, предадени въз основа на решението, с цел да прецени дали Съединените американски щати продължават да осигуряват адекватно ниво на защита. Така съгласно параграф 5 от този член, ако Комисията открие признаци, че вече не се осигурява адекватно ниво на защита, тя информира органите на Съединените щати за това, и ако е необходимо, тя може да реши да спре прилагането на обжалваното решение, да го измени или да го отмени, или да ограничи приложното му поле. От това следва, че ако настъпят изменения в правната уредба, действаща в Съединените щати към датата на приемане на обжалваното решение, с оглед на която Комисията е приела в него, че DPRC осигурява правна защита, по същество равностойна на гарантираната от правото на Съюза, Комисията може, ако е необходимо, да реши да спре прилагането на обжалваното решение, да го измени или да го отмени, или да ограничи приложното му поле.
59
С оглед на всички изложени съображения настоящият довод трябва да се отхвърли.
3) По третия довод, че DPRC не представлява независим и безпристрастен съд, тъй като Наредбата на МП не изключва възможността съдиите да подлежат на други форми на надзор, различни от ежедневния надзор от страна на изпълнителната власт
60
С третия си довод жалбоподателят твърди по същество, че DPRC не представлява независим и безпристрастен съд, тъй като Наредбата на МП не изключва възможността съдиите да подлежат на други форми на надзор, различни от ежедневния надзор от страна на изпълнителната власт.
61
Комисията, подкрепяна от Ирландия и от Съединените американски щати, оспорва довода на жалбоподателя.
62
Следва да се отбележи, че макар от преписката да става ясно, че съгласно член 201.7, буква d) от Наредбата на МП съдиите от DPRC не трябва да подлежат на ежедневен надзор от министъра на правосъдието, в съображение 187 от обжалваното решение се посочва също, че съгласно Указ 14086 разузнавателните агенции и министърът на правосъдието не трябва да се намесват или да оказват неправомерно влияние върху работата на DPRC. Освен това от преписката се установява, че Указ 14086 и Наредбата на МП ограничават възможността на изпълнителната власт да оказва влияние върху работата на DPRC, като предвиждат, че съдиите могат да бъдат освобождавани от длъжност само от министъра на правосъдието и само на основанията, посочени в точка 56 по-горе.
63
В този контекст следва да се отхвърли настоящият довод, а следователно и първото оплакване от третото основание в неговата цялост.
б)
По второто оплакване от третото основание, че DPRC не е предварително създаден със закон съд
64
С второто оплакване от третото основание жалбоподателят твърди, че DPRC не е предварително създаден със закон по смисъла на член 47, втора алинея от Хартата на основните права, тъй като не е създаден със закон, приет от Конгреса на Съединените щати, а с акт на изпълнителната власт, а именно с решение на министъра на правосъдието.
65
Комисията, подкрепяна от Ирландия и от Съединените американски щати, оспорва довода на жалбоподателя.
66
На първо място, от практиката на Съда, развита в светлината на тази на ЕСПЧ относно член 6, параграф 1 от ЕКПЧ (ЕСПЧ, решение от 1 декември 2020 г., Guðmundur Andri Ástráðsson с/у Исландия, CE:ECHR:2020:1201JUD002637418, § 231 и 233), следва, че макар правото на съд, създаден със закон, да е самостоятелно право, то все пак е много тясно свързано с гаранциите за независимост и безпристрастност, предвидени от тази разпоредба. По-специално, макар всяко едно от изискванията, наложени с посочените понятия, да преследва конкретна цел, което ги превръща в специфични гаранции за справедлив съдебен процес, общото между тях е, че зачитат същите основни принципи като върховенството на правото и разделението на властите. Така в основата на всяко от тези изисквания е необходимостта от запазване на доверието, което съдебната власт трябва да вдъхва на правните субекти, и независимостта на тази власт от другите власти (вж. решения от 22 февруари 2022 г., Openbaar Ministerie (Съд, създаден със закон в издаващата държава членка), C‑562/21 PPU и C‑563/21 PPU, EU:C:2022:100, т. 56 и цитираната съдебна практика, и от 29 март 2022 г., Getin Noble Bank, C‑132/20, EU:C:2022:235, т. 117 и цитираната съдебна практика).
67
Съдът уточнява също, възпроизвеждайки практиката на ЕСПЧ (ЕСПЧ, решение от 8 юли 2014 г., Biagioli с/у Сан Марино, CE:ECHR:2014:0708DEC000816213, § 72—74; вж. също ЕСПЧ, решение от 2 май 2019 г., Pasquini с/у Сан Марино, CE:ECHR:2019:0502JUD005095616, § 100 и 101 и цитираната съдебна практика), че целта на израза „предварително създаден със закон“ е да не се позволи организацията на съдебната система да бъде оставена на свободната преценка на изпълнителната власт, и за да бъде тази материя уредена с приет от законодателната власт закон по начин, отговарящ на нормите, регулиращи упражняването на нейната компетентност. Следователно този израз отразява принципа на правовата държава и се отнася не само до правната основа за самото съществуване на съда, но и до заседаващия по всяко дело състав, както и всяка друга разпоредба от вътрешното право, чието незачитане води до нередовност на участието на един или повече съдии при разглеждането на делото, включително по‑специално разпоредбите относно независимостта и безпристрастността на членовете на съответната юрисдикция (вж. решение от 29 март 2022 г., Getin Noble Bank, C‑132/20, EU:C:2022:235, т. 121 и цитираната съдебна практика).
68
В този контекст Съдът приема, че констатацията относно наличието на нарушение на изискването за предварително създаден със закон съд и относно последиците от такова нарушение изисква обща преценка на определен брой данни, които, взети заедно, допринасят за пораждането на основателни съмнения у правните субекти в независимостта и безпристрастността на съдиите (вж. решение от 22 февруари 2022 г., Openbaar Ministerie (Съд, създаден със закон в издаващата държава членка), C‑562/21 PPU и C‑563/21 PPU, EU:C:2022:100, т. 74 и цитираната съдебна практика).
69
Така Съдът приема, че обстоятелството, че в преобладаващата си част орган като Националния съдебен съвет, който взема участие в процеса по определяне на съдиите, се състои от членове, избрани от законодателната власт, само по себе си не може да породи съмнение в независимостта на съдиите, назначени в резултат на тази процедура, случаят обаче може да е различен, когато това обстоятелство в комбинация с други релевантни обстоятелства и с условията, при които се извършва този избор, може да породи такива съмнения (вж. решение от 22 февруари 2022 г., Openbaar Ministerie (Съд, създаден със закон в издаващата държава членка), C‑562/21 PPU и C‑563/21 PPU, EU:C:2022:100, т. 75 и цитираната съдебна практика).
70
Освен това в решение от 1 декември 2020 г., Guðmundur Andri Ástráðsson с/у Исландия (CE:ECHR:2020:1201JUD002637418, § 207 и 212), ЕСПЧ приема, че назначаването на съдии от изпълнителната или законодателната власт е допустимо, ако така назначените съдии са предпазени от натиск или влияние при упражняването на правораздавателната им функция.
71
От тази съдебна практика по същество следва, че за да се прецени дали са изпълнени изискванията, произтичащи от член 47, втора алинея от Хартата на основните права, не трябва да се прави преценка само на формалното естество на правния акт, с който се учредява съд и се определят правилата за неговото функциониране, а следва да се провери дали този правен акт предвижда достатъчно гаранции, за да се осигури неговата независимост и безпристрастност по отношение на другите власти, по-специално по отношение на изпълнителната власт.
72
На второ място, следва да се припомни, че както постановява Съдът в решения Schrems I и Schrems II в контекста на решение относно адекватното ниво на защита Комисията не е длъжна да се увери, че релевантните разпоредби на третата държава са идентични на тези, които са в сила в Съюза, а че по същество са равностойни на гарантираните от правото на Съюза по силата на ОРЗД, разглеждан във връзка с Хартата на основните права (вж. т. 19 и 20 по-горе). От това следва, че в случая Общият съд е длъжен да провери основателността на констатацията за адекватност, направена от Комисията в обжалваното решение, съгласно която разпоредбите на правото на Съединените щати относно учредяването и функционирането на DPRC предоставят гаранции, които по същество са равностойни на предвидените от правото на Съюза в член 47, втора алинея от Хартата. Такива гаранции са налице по-специално, когато правният акт, с който се учредява този съд и се определят правилата за неговото функциониране, има за цел да се гарантират неговата независимост и безпристрастност по отношение на другите власти, по-специално по отношение на изпълнителната власт, въпреки че от формална гледна точка този акт не представлява закон.
73
В случая, видно от съображение 185 от обжалваното решение, без жалбоподателят да го оспорва, DPRC е учреден с Наредбата на МП. От това следва, че DPRC не е създаден със закон, приет от законодателната власт, а именно от Конгреса на Съединените щати, а с акт на изпълнителната власт. Всъщност министърът на правосъдието е също така ръководител на Министерството на правосъдието на Съединените щати и отговаря за прилагането на закона във федералното правителство на Съединените щати. Той е главният съветник на президента на Съединените щати по всички правни въпроси и е част от неговия кабинет.
74
В този контекст следва да се провери дали Указ 14086 и Наредбата на МП предвиждат гаранции, чиято цел е да се осигурят независимост и безпристрастност на DPRC по начин, който по съществено е равностоен на правото на Съюза.
75
В това отношение, първо, следва да се отбележи, че от преписката е видно, без това да се оспорва, че:
–
министърът на правосъдието е приел Наредбата на МП въз основа на законовото си правомощие да издава задължителни решения по правни въпроси на Съединените щати, включително такива, свързани с предаването на данни от Съюза, които са уредени с Указ 14086,
–
с учредяването на DPRC министърът на правосъдието делегира на DPRC правомощие да се произнася по законосъобразността на дейностите по радиоелектронно разузнаване, оспорвани от гражданин на Съюза; така министърът на правосъдието de jure вече не може да упражнява делегираното на DPRC правомощие, докато последният продължава да функционира,
–
както е посочено в бележка под линия 366 на страница 63 от обжалваното решение, Върховният съд на Съединените щати е признал възможността министърът на правосъдието да учредява независими органи с правомощия за вземане на решения, като DPRC; освен това Върховният съд е приел, че решението, с което министърът на правосъдието делегира правомощия на своя пълномощник е задължително за изпълнителната власт; така от практиката на посочения съд следва, че докато Наредбата на МП е в сила изпълнителната власт е обвързана с нея и нито разузнавателните агенции, нито правителството на Съединените щати могат да преразглеждат или отменят решенията му.
76
Второ, от една страна, следва да се припомни, че видно по същество от обжалваното решение:
–
съдии от DPRC се назначават от министъра на правосъдието въз основа на критериите и в съответствие с условията, посочени в точка 43 по-горе,
–
съдии от DPRC могат да бъдат освобождавани от длъжност само от министъра на правосъдието и само на основанията, посочени в точка 56 по-горе и при спазване на стандартите, приложими за федералните съдии, установени в Правилата за поведението на съдиите и за производството за отнемане на юридическа правоспособност,
–
решенията на DPRC са задължителни и окончателни. При това положение както изпълнителната власт, така и разузнавателните агенции са длъжни да ги изпълняват,
–
дейността на DPRC е обект на надзор от страна на PCLOB в границите, посочени в точка 54 по-горе.
77
От друга страна, както е видно от съображения 187—189 от обжалваното решение, съдиите от DPRC трябва да спазват при изпълнение на функциите си в рамките на този съд следните процесуални гаранции:
–
трябва да разглеждат жалба относно лични данни в състав от трима съдии, включително председателстващ съдия; за всяко дело Службата за неприкосновеността на личния живот и гражданските свободи към Министерството на правосъдието, която отговаря за предоставянето на административна подкрепа на DPRC, избира тричленен състав на ротационен принцип, като се стреми да гарантира, че във всеки състав има поне един съдия с предишен правораздавателен опит,
–
при разглеждането на жалба относно лични данни съдиите се подпомагат от специален адвокат, който се назначава от министъра на правосъдието, след консултация с министъра на търговията, директора на Националното разузнаване и PCLOB, за двегодишен мандат, който може да бъде подновен; специалните адвокати трябва да имат подходящ експертен опит в областта на правото на неприкосновеност на личния живот и националната сигурност, да са опитни адвокати, активни членове на адвокатската колегия с добра репутация; освен това към момента на назначаване те не трябва да са били служители на изпълнителната власт през предходните две години; специалните адвокати имат достъп до цялата информация, включително класифицирана информация, и въпреки че специалният адвокат не действа като представител на жалбоподателя и не е във взаимоотношения на адвокат и клиент с него, той трябва да гарантира, че по всеки случай интересите на жалбоподателя се представляват и съдиите на DPRC са добре информирани за всички релевантни правни и фактически въпроси,
–
за да се произнесат с решение, те трябва да вземат предвид протокола от разследването, всякаква информация и документи, предоставени от жалбоподателя, специалния адвокат, разузнавателните агенции и CLPO, както и евентуално допълнителната информация, предадена от CLPO по искане на DPRC,
–
те трябва да вземат решение по жалба относно лични данни писмено и с мнозинство.
78
Трето, следва да се отбележи, че са отстранени нередностите, установени от Съда в решение Schrems II, що се отнася до липсата на гаранции относно освобождаването от длъжност на омбудсмана към Щита за личните данни от изпълнителната власт и задължителния характер на неговите решения. Всъщност от преписката се установява, че Указ 14086 ограничава случаите, в които министърът на правосъдието може да отстранява от длъжност съдии от DPRC и предвижда, че решенията му са задължителни.
79
В този контекст следва да се отхвърли второто оплакване от третото основание.
80
Този извод не може да бъде поставен под въпрос от факта, че видно от преписката, по подобие на други съдилища от правната система на Съединените щати, макар да е компетентен да се произнася по правни въпроси, DPRC не представлява съдебен орган, създаден по силата на член III от Конституцията на Съединените щати.
81
В решение Schrems II Съдът всъщност приема, че ефективна съдебна защита може да бъде осигурена не само от съд, който принадлежи към съдебната система, но и от друг „орган“, който предоставя на лицата, чиито данни са предадени на Съединените щати, гаранции, които по същество са равностойни на изискваните от член 47 от Хартата на основните права (решение Schrems II, т. 197).
82
С оглед на всички изложени съображения третото основание трябва да се отхвърли изцяло.
3.
По второто основание: нарушение на членове 7 и 8 от Хартата на основните права
83
С второто основание жалбоподателят твърди, че Комисията е нарушила членове 7 и 8 от Хартата на основните права, тъй като е приела в обжалваното решение, че Съединените американски щати осигуряват адекватно ниво на защита по отношение на събирането на масиви от лични данни от разузнавателните агенции на тази държава.
а)
По предмета на второто основание
84
Следва да се отбележи, че на страници 2 от 23 от жалбата, както и на страница 4 от писмената реплика, когато формулира второто основание, жалбоподателят се позовава на нарушение от Комисията на членове 7 и 8 от Хартата на основните права не само по отношение на събирането на масиви от данни, а и по отношение на широкообхватното събиране на лични данни. По-нататък обаче във формулировката на посоченото основание жалбоподателят съсредоточава доводите си само върху събирането на масиви от тези данни.
85
Видно от бележка под линия 250 на страница 46 от обжалваното решение, от съображение 141 от същото, без това да се оспорва, както и от отговорите, дадени от страните на въпросите, поставени в рамките на процесуално-организационно действие и в съдебното заседание:
–
в Съединените щати събирането на радиоелектронни разузнавателни данни за целите на националната сигурност, включително данни, предадени от Съюза, може да бъде само под формата на „целенасочено събиране“; този израз не е дефиниран в правото на Съединените щати, но като цяло се използва, за да се опише събирането на разузнавателни данни за конкретно лице, профил в съобщително средство или друг определен обект на разследване, което се извършва от разузнавателните агенции съгласно Foreign Intelligence Surveillance Act (Закон за упражняване на надзор върху външното разузнаване, наричан по-нататък „FISA“) и Указ 14086,
–
извън Съединените щати, включително когато лични данни се предават от Съюза на организации, сертифицирани съгласно РЗЛД, събирането на радиоелектронни разузнавателни данни за целите на националната сигурност се осъществява приоритетно чрез целенасочено събиране; или когато е необходимо за постигане на напредък по обоснован приоритет на разузнаването по смисъла на раздел 2, буква b), подточка iii) от Указ 14086, което от логична гледна точка не може да се постигне с целенасочено събиране, разузнавателните агенции могат да извършват „събиране на масиви“ от лични данни; събирането на масиви от данни е дефинирано в правото на Съединените щати в раздел 4, буква b) от ЕО 14086 като разрешено събиране на големи количества данни от радиоелектронно разузнаване, което поради технически или оперативни съображения се извършва без използване на разграничителни критерии, например без използване на конкретни идентификатори или критерии за избор; събирането на масиви от данни е уредено в Указ 14086 и в Executive Order 12333, United States Intelligence Activities (Президентски указ № 12333 относно разузнавателни дейности на Съединените щати), изменен с Executive Orders 13284 (2003), 13355 (2004) и 13470 (2008) (Президентски укази №№ 13284/2003, 13355/2004 и 13470/2008), в които се предвиждат редица гаранции и ограничения,
–
„широкообхватното събиране“ на лични данни, на което Комисията се позовава в бележка под линия 250 от обжалваното решение и което счита за събиране на данни на обща и безразборна основа без ограничения и гаранции, не е разрешено в Съединените щати и не може да се извършва на тяхна територия или извън нея.
86
От гореизложеното следва, че тъй като широкообхватното събиране на данни не е разрешено в Съединените щати, а събирането на масиви от данни може да се извършва само извън Съединените щати, предметът на разглежданото тук основание се ограничава само до преценката дали е налице допуснато от страна на Комисията нарушение на членове 7 и 8 от Хартата на основните права по отношение на събирането на масиви от лични данни от разузнавателните агенции на Съединените щати, предавани от Съюза към организациите от РЗЛД, с изключение на събирането на лични данни, извършвано евентуално на територията на Съюза от разузнавателните агенции на Съединените щати или на държавите членки.
б)
По първото оплакване от второто основание, че за разузнавателните дейности съгласно член 702 от FISA не се прилагат гаранциите, предвидени в УКАЗ 14086
87
С първото оплакване от второто основание жалбоподателят твърди, че Комисията е нарушила членове 7 и 8 от Хартата на основните права, тъй като в обжалваното решение е приела по същество, че Съединените американски щати осигуряват ниво на защита, което по същество е равностойно на гарантираното от правото на Съюза по силата на ОРЗД, разглеждан във връзка с Хартата, макар член 702 от FISA да признава възможността разузнавателните агенции на Съединените щати да събират масиви от лични данни на граждани от други държави.
88
Комисията, подкрепяна от Ирландия и от Съединените американски щати, оспорва довода на жалбоподателя.
89
Следва да се отбележи, че член 702 от FISA не допуска събирането на масиви от данни, а само целенасочено събиране на лични данни.
90
От това следва, че тъй като член 702 от FISA не се отнася до събирането на масиви от лични данни, този член е неприложим в случая.
91
Съответно следва да се отхвърли първото оплакване от второто основание.
в)
По второто оплакване от второто основание, че Указ 14086 предвижда, че за събирането на масиви от лични данни не се предвижда предварително разрешение от съдебен или административен орган
92
С второто оплакване от второто основание жалбоподателят твърди, че Комисията е нарушила членове 7 и 8 от Хартата на основните права, тъй като е приела в обжалваното решение, че Съединените американски щати осигуряват ниво на защита, което по същество е равностойно на гарантираното от правото на Съюза по силата на ОРЗД, разглеждан във връзка с Хартата, макар УКАЗ 14086 да не установява задължение за разузнавателните агенции на Съединените щати да получат предварително разрешение от съдебен или административен орган преди събирането на масиви от лични данни.
93
Комисията, подкрепяна от Ирландия и от Съединените американски щати, оспорва довода на жалбоподателя.
94
В случая от преписката е видно — и това не се оспорва от страните — че правото на Съединените щати не установява задължение за разузнавателните агенции да получат предварително разрешение от съдебен или административен орган преди началото на събиране на масиви от лични данни, предавани от Съюза към организациите от РЗЛД.
95
Следва да се установи дали тази липса на предварително разрешение може да засегне законосъобразността на обжалваното решение, доколкото тя би могла да постави под въпрос извода в член 1 от посоченото решение, че Съединените американски щати осигуряват адекватно ниво на защита на личните данни.
96
Най-напред следва да се припомни, както Съдът приема в решение Schrems II, че за да се оцени законосъобразността на решение относно адекватното ниво на защита, е необходимо да се прецени дали правото на третата държава осигурява ниво на защита на основните права и свободи, което по същество е равностойно на гарантираното в Съюза по силата на ОРЗД, разглеждан във връзка с Хартата на основните права (вж. т. 19 по-горе).
97
В този контекст следва да се разгледат четирите довода, изтъкнати от жалбоподателя в подкрепа на настоящото оплакване.
1) По първия довод, основан на решение Schrems II
98
С първия довод жалбоподателят твърди по същество, че така както в случая с решението относно адекватното ниво на защита, стоящо в основата на Щита за личните данни, което Съдът е отменил с решение Schrems II, по-специално поради това, че не е въведен съдебен контрол, събирането на масиви от лични данни, което в случая се извършва от разузнавателните агенции на Съединените щати, не е предмет на съдебен надзор и не се регламентира от достатъчно ясни и точни правила.
99
Комисията, подкрепяна от Ирландия и от Съединените американски щати, оспорва довода на жалбоподателя.
100
Следва да се отбележи, че в решение Schrems II Съдът приема, че членове 7 и 8 от Хартата на основните права са част от нивото на защита, изисквана в рамките на Съюза, чието спазване трябва да бъде констатирано от Комисията, преди тя да приеме решение относно адекватното ниво на защита съгласно член 45, параграф 1 от ОРЗД. Всъщност според Съда всяко обработване на лични данни на физическо лице, включително предаването им на трета държава, в рамките на решение относно адекватното ниво на защита, засяга както основното право на това лице на зачитане на неговия личен живот, гарантирано в член 7 от Хартата, така и правото му на защита на неговите лични данни, съдържащо се в член 8 от Хартата (решение Schrems II, т. 169—171).
101
Съдът обаче пояснява, че правата, признати в членове 7 и 8 от Хартата на основните права, не са абсолютни, а трябва да се разглеждат във връзка с тяхната социална функция (решение Schrems II, т. 172).
102
Така съгласно член 52, параграф 1 от Хартата на основните права всяко ограничаване на упражняването на правата и свободите, признати в членове 7 и 8 от Хартата, трябва да бъде предвидено в закон и да зачита основното съдържание на същите права и свободи. Нещо повече, при спазване на принципа на пропорционалност ограничения на тези права и свободи могат да бъдат налагани само ако са необходими и ако действително отговарят на признати от Съюза цели от общ интерес или на необходимостта да се защитят правата и свободите на други хора (решение Schrems II, т. 174).
103
В този контекст Съдът постановява, че признатата в Президентски указ № 12333, изменен, възможност на разузнавателните агенции на Съединените щати да получат достъп до лични данни, пренасяни от Съюза, без този достъп да подлежи на какъвто и да било съдебен контрол, не позволява да се очертае достатъчно ясно и точно обхватът на събирането на масиви от лични данни от разузнавателните агенции. Ето защо Съдът приема, че този президентски указ не съответства на минималните изисквания, свързани в правото на Съюза с принципа на пропорционалност и че програмите за наблюдение, извършвани въз основа на този указ, не са ограничени до строго необходимото (решение Schrems II, т. 183 и 184).
104
Следва да се уточни как трябва да се тълкува изразът „какъвто и да било съдебен контрол“, съдържащ се в точка 183 от решение Schrems II.
105
В това отношение следва да се отбележи, че нищо в решение Schrems II, и по-специално в точка 183 от него, нито в израза „какъвто и да било съдебен контрол“, не подсказва, че събирането на масиви от лични данни трябва задължително да бъде предмет на предварително разрешение, издадено от независим орган. Напротив, от съвместния прочит на посочения израз и на точки 186—197 от това решение следва, че решение за разрешаване на подобно събиране трябва най-малко да подлежи на последващ съдебен контрол.
106
В случая, както бе посочено в точки 24—82 по-горе, Указ 14086 и Наредбата на МП предвиждат прилагане на изискването дейностите по радиоелектронно разузнаване, провеждани от разузнавателните агенции на Съединените щати, включително когато тези агенции събират масиви от лични данни, да подлежат на последващ съдебен контрол от DPRC, чиито решения са окончателни и задължителни и са обвързващи както за правителството на Съединените щати, така и за тези агенции. Следователно, противно на твърденията на жалбоподателя, не може да се приеме, че събирането на масиви от лични данни от разузнавателните агенции в съответствие с обжалваното решение не отговаря на изискванията, произтичащи от решение Schrems II в това отношение.
107
Нещо повече, първо, следва да се припомни, че видно от съображение 141 от обжалваното решение, без жалбоподателят да го оспорва, в Указ 14086 се предвижда, че разузнавателните агенции следва да дават приоритет на целенасоченото събиране на лични данни. Следователно събирането на масиви от данни е допустимо само за постигане на обоснован приоритет по отношение на разузнаването, който не може да се постигне разумно с целенасочено събиране на данни. В това отношение следва да се отбележи, че видно от съображение 135 от посоченото решение, утвърдените разузнавателни приоритети се определят чрез специален процес, целящ да гарантира спазването на приложимите правни изисквания, включително тези, свързани с неприкосновеността на личния живот и гражданските свободи. По‑конкретно, приоритетите в областта на разузнаването се разработват от директора на Националното разузнаване и се представят на президента на Съединените щати за одобрение. Преди да предложи на президента на Съединените щати приоритети в областта на разузнаването обаче, директорът трябва да получи оценка от CLPO за всеки приоритет. В рамките на тази оценка CLPO трябва да определи дали съответният приоритет служи за постигане на една или повече законни цели, посочени в Указ 14086, дали не е разработен с цел събиране на информация чрез радиоелектронно разузнаване за забранена цел и дали е определен, след като надлежно са взети предвид правото на неприкосновеност на личния живот и гражданските свободи на всички субекти на данни, независимо от тяхното гражданство или местопребиваването им.
108
На второ място, следва да се отбележи, че както се подчертава в съображения 127—131, 134 и 135 от обжалваното решение, без жалбоподателят да го оспорва, с Указ 14086 се установяват основни изисквания, които се прилагат за всички дейности по радиоелектронно разузнаване, включително когато тези дейности се извършват чрез събиране на масиви от лични данни.
109
Първо, дейностите по радиоелектронно разузнаване трябва да се основават на закон или разрешение от президента и да се предприемат в съответствие с правото на Съединените щати, и по‑специално в съответствие с Конституцията.
110
Второ, дейностите по радиоелектронно разузнаване може да се извършват само след преценка, че въз основа на разумна оценка на всички съответни фактори дейностите са необходими за постигане на обоснован приоритет по отношение на разузнаването.
111
Трето, дейностите по радиоелектронно разузнаване трябва да се извършват пропорционално на обоснования приоритет в разузнаването, за който са били разрешени, за да се постигне подходящ баланс между важността на преследвания приоритет по отношение на разузнаването и въздействието върху неприкосновеността на личния живот и гражданските свободи на съответните лица, независимо от тяхното гражданство или местопребиваването им.
112
Четвърто, в Указ 14086 са изброени общите цели, които не трябва да се преследват чрез дейности по радиоелектронно разузнаване. Това са по-специално цели за потискане или затрудняване на критиката или несъгласието или свободното изразяване на идеи или политически мнения от отделни лица или пресата; поставяне в неблагоприятно положение на лица на основата на техния етнически или расов произход, пол, полова идентичност, сексуална ориентация или религия, или предоставяне на конкурентно предимство на предприятия от Съединените щати.
113
На трето място, видно от съображение 141 от обжалваното решение, без жалбоподателят да го оспорва, Указ 14086 установява специфични гаранции, които се прилагат за събирането на масиви от лични данни.
114
Най-напред, в Указ 14086 се предвижда, че трябва да се прилагат методи и технически мерки, за да се ограничи събирането на данни само до това, което е необходимо за постигане на обоснован приоритет в областта на разузнаването, като същевременно се сведе до минимум събирането на несъществена информация.
115
По-нататък, в Указ 14086 се посочва, че събирането на масиви от лични данни може да се извършва само за шест конкретни цели (наричани по-нататък „конкретните цели на събирането на масиви от данни“), а именно защита срещу тероризъм, шпионаж, оръжия за масово унищожение, киберзаплахи, заплахи срещу служители на Съединените щати или техни съюзници и транснационална престъпност. В него се предвижда възможността президентът на Съединените щати да актуализира посочените конкретни цели, в случай че се появят нови изисквания за националната сигурност, като например нови заплахи или повишени заплахи за националната сигурност, за които президентът счита, че може да се използва събирането на масиви от лични данни. Такива актуализации по принцип трябва да бъдат оповестени публично от директора на Националното разузнаване, освен ако президентът на Съединените щати не прецени, че това би представлявало риск за националната сигурност на държавата.
116
Накрая, в Указ 14086 се предвижда, че всеки първичен анализ на получени масиви от събрани данни от радиоелектронно разузнаване може да се извършва само когато това е необходимо за постигане на обоснован приоритет по отношение на разузнаването, в изпълнение на конкретните цели на събирането на масиви от данни и в съответствие с политики и процедури, които отчитат по подходящ начин въздействието на запитванията върху неприкосновеността на личния живот и гражданските свободи на всички субекти на данни, независимо от тяхното гражданство или местопребиваването им.
117
При тези обстоятелства не може основателно да се поддържа, че прилагането на събиране на масиви от данни не е регламентирано достатъчно ясно и точно.
118
С оглед на всички изложени съображения настоящият довод трябва да се отхвърли.
2) По втория довод, основан на решение от 6 октомври 2020 г., La Quadrature du Net и др. (C‑511/18, C‑512/18 и C‑520/18)
119
С втория довод жалбоподателят се позовава изрично на точка 189 от решение от 6 октомври 2020 г., La Quadrature du Net и др. (C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791), и твърди, че Съдът установява задължение на разузнавателните агенции да получат предварително разрешение от съдебен или административен орган преди началото на събирането на данни за свързване от операторите, които ги съхраняват. Според него събирането на масиви от разузнавателните агенции на Съединените щати на пренасяни от Съюза лични данни в случая не било предмет на такова предварително разрешение.
120
Комисията, подкрепяна от Ирландия и от Съединените американски щати, оспорва довода на жалбоподателя.
121
Следва да се отбележи, че в решение от 6 октомври 2020 г., La Quadrature du Net и др. (C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791), Съдът приема по-конкретно, че член 15, параграф 1 от Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 година относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации) (ОВ L 201, 2002 г., стр. 37; Специално издание на български език, 2007 г., глава 13, том 36, стр. 63), изменена с Директива 2009/136/ЕО на Европейския парламент и на Съвета от 25 ноември 2009 г., във връзка с членове 7, 8 и 11 и член 52, параграф 1 от Хартата на основните права на Европейския съюз, трябва да се тълкува в смисъл, че допуска национална правна уредба, която задължава доставчиците на електронни съобщителни услуги да събират в реално време данни за трафик и данни за местонахождение, когато това събиране се ограничава до лицата, за които съществува основателна причина да се подозира, че участват в терористични дейности, и подлежи на предварителен контрол, осъществяван от юрисдикция или от независима административна структура (т. 192 от посоченото решение).
122
От това следва, че случаят по делото, по което е постановено решение от 6 октомври 2020 г., La Quadrature du Net и др. (C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791), се различава от разглеждания. В настоящия случай не става въпрос да се прецени, че нуждата от събирането от страна на доставчици на електронни съобщителни услуги на данни за трафика и местонахождението на ползватели, за които има подозрения, че по един или друг начин са участвали в терористични дейности, да подлежи на предварителен контрол от съдебен или административен орган, а да се прецени дали обстоятелството, че правото на Съединените щати не предвижда задължение за разузнавателните агенции да получат предварително разрешение от съдебен или административен орган преди събиране на масиви от лични данни, пренасяни към тази държава, поставя под въпрос обосноваността на констатацията за адекватност, направена от Комисията в обжалваното решение.
123
При тези обстоятелства следва да се приеме, че позоваването на решение от 6 октомври 2020 г., La Quadrature du Net и др. (C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791), не е релевантно в случая.
124
Този извод не може да се постави под съмнение от обстоятелството, че е взето предвид решение от 30 април 2024 г., La Quadrature du Net и др. (Лични данни и борба срещу фалшифицирането) (C‑470/21, EU:C:2024:370), по което в рамките на процесуално‑организационно действие страните по настоящото дело са приканени да изразят становище.
125
По делото, по което е постановено решение от 30 април 2024 г., La Quadrature du Net и др. (Лични данни и борба срещу фалшифицирането) (C‑470/21, EU:C:2024:370) е разглеждана законосъобразността на достъпа от национален публичен орган, на който е възложена закрилата на авторските и сродните им права срещу извършените в интернет нарушения на тези права, до запазени от доставчиците на електронни съобщителни услуги данни за самоличността, съответстващи на IP адреси, за целите на борбата с фалшифицирането. По-конкретно, този достъп се обосновава с оглед на целта да се идентифицира притежателят на IP адрес, който извършва дейност, нарушаваща авторските или сродните им права, при положение че той неправомерно е предоставил на разположение в интернет защитени произведения с цел изтеглянето им от други лица. При тези обстоятелства Съдът постановява, че предварителен контрол от юрисдикция или от независима административна структура:
–
не трябва да се извърши, когато компетентният национален орган има достъп до данните за самоличността, съответстващи на IP адрес, единствено с цел установяване на самоличността на съответния ползвател и без тези данни да могат да се свържат с информация за осъществените комуникации, тъй като намесата, до която води такъв достъп, не може да се квалифицира като тежка (т. 133 и 134 от посоченото решение),
–
трябва да се извърши, преди компетентният национален орган да свърже данните за самоличността на лице, съответстващи на IP адрес, с файла за произведението, предоставено на разположение в интернет с оглед на изтеглянето му от други лица, и да изпрати на съответното лице уведомително писмо, с което се установява, че това лице е извършило деяние, представляващо нарушение (вж. в този смисъл т. 141 от това решение).
126
От това следва, че делото, по което е постановено решение от 30 април 2024 г., La Quadrature du Net и др. (Лични данни и борба срещу фалшифицирането) (C‑470/21, EU:C:2024:370), се отнася до достъп на национални органи до IP адрес за целите на борбата с фалшифициране и че такава цел се различава от събирането от разузнавателни агенции на масиви от лични данни, пренасяни от Съюза. Ето защо с оглед на това решение не може да се приеме, че е необходимо предварително разрешение за събирането от разузнавателните служби на Съединените щати на масиви от лични данни, пренасяни от Съюза.
127
Ето защо настоящият довод следва да се отхвърли.
3) По третия довод, основан на решение на ЕСПЧ от 25 май 2021 г., Big Brother Watch и др. с/у Обединено кралство (CE:ECHR:2021:0525JUD005817013)
128
С третия довод жалбоподателят твърди по същество, че в решение на ЕСПЧ от 25 май 2021 г., Big Brother Watch и др. с/у Обединено кралство (CE:ECHR:2021:0525JUD005817013, наричано по-нататък „решение Big Brother Watch“), ЕСПЧ приема, че мерките за масирано прихващане на лични данни трябва да подлежат на предварително разрешение от независим орган от момента на определяне на целите и обхвата на операцията по наблюдение. Според него събирането на масиви от пренасяни от Съюза лични данни от разузнавателни агенции на Съединените щати в случая не е предмет на такова предварително разрешение.
129
Комисията, подкрепяна от Ирландия и от Съединените американски щати, оспорва довода на жалбоподателя.
130
Следва да се отбележи, че делото, по което е постановено решение Big Brother Watch, се отнася по-специално до целесъобразността с оглед на член 8 от ЕКПЧ на британска система за тайно наблюдение, която предоставя на разузнавателните агенции възможност масирано да прихващат електронни съобщения и свързаните с тях данни от съобщения, т.е. данни за трафик, които се отнасят към прихванати съобщения и които по принцип са извършени извън Британските острови.
131
Освен това, видно от съдебната практика, посочена в точка 29 по‑горе, доколкото член 8 от ЕКПЧ закрепва по подобие на член 7 от Хартата на основните права правото на зачитане на личния и семейния живот, практиката на ЕСПЧ относно член 8 от ЕКПЧ трябва да бъде взета предвид при тълкуването на обхвата на член 7 от Хартата. Следователно, ако Общият съд приеме, че решение Big Brother Watch е релевантно за настоящото дело, съображенията на ЕСПЧ в това решение по отношение на обхвата на член 8 от ЕКПЧ трябва да бъдат взети предвид за тълкуването на обхвата на член 7 от Хартата.
132
В това отношение следва да се припомни, че в решение Big Brother Watch ЕСПЧ се произнася по законосъобразността на масираното прихващане от британските разузнавателни служби на електронни съобщения и на свързаните с тях данни за съобщенията, които по принцип са извършени извън Британските острови.
133
Както обаче отбелязват страните по настоящото дело в отговора си на процесуално-организационното действие и в съдебното заседание, съображенията, изложени от ЕСПЧ в решение Big Brother Watch, са релевантни за настоящото дело, тъй като може да се приеме, че масираното прихващане на лични данни, разглеждано по делото, довело до постановяване на посоченото решение, включва събирането на масиви от данни, което е предмет на обжалваното решение.
134
Първо, следва да се отбележи, че докато в текста на френски език на решение Big Brother Watch се използва изразът „interception en masse“ на данни, в текста на английски език е използван изразът „bulk interception“, който по-точно съответства на понятието на френски език „interception en vrac“.
135
Второ, за разлика от целевото прихващане, според ЕСПЧ прихващането на информация, разглеждано в решение Big Brother Watch, означава прихващане, което не се отнася до определени лица и следователно може да засегне голям брой лица и свързани с тях данни за съобщения и по този начин да има много широк обхват, тъй като това прихващане позволява по-специално да се събира външноразузнавателна информация и да се разкриват нови заплахи от известни или неизвестни извършители. Освен това според посочения съд с оглед на целта, свързана със защитата на националната сигурност, масираното прихващане по принцип се извършва тайно от компетентните органи, което означава, че тези органи оповестяват публично само малко информация за функционирането на системата или изобщо не разкриват такава (вж. в този смисъл решение Big Brother Watch, т. 322).
136
Трето, в решение Big Brother Watch ЕСПЧ приема, че макар не всички системи за масирано прихващане да са създадени по един и същ модел и условията за тяхното прилагане да може да се променят, без винаги да се спазва строга хронологична последователност, масираното прихващане е постепенен процес, който по същество протича в следните четири етапа (наричани по‑нататък „етапи на прихващането“):
a)
масирано прихващане и първоначално запазване на електронните съобщения на голям брой лица и свързаните с тях данни за съобщенията,
б)
прилагане на конкретни критерии за подбор към прихванатите съобщения и към свързаните с тях данни за съобщенията с цел идентифициране на съобщенията, които могат да представляват интерес за разузнавателните служби,
в)
преглед от анализатори на подбрани съобщения и свързаните с тях данни за съобщенията,
г)
последващо запазване на данните и използването им за целите на включването им в разузнавателен доклад, предоставянето им на други разузнавателни служби в страната или предаването им на чуждестранни разузнавателни служби (вж. в този смисъл решение Big Brother Watch, т. 325—329).
137
От това следва, че операция за събиране на масиви от лични данни, предмет на обжалваното решение, попада в обхвата на първия от етапите на прихващане, посочени от ЕСПЧ в решение Big Brother Watch, тъй като се състои в събиране на пренасяни от Съюза лични данни на голям брой лица за целите на защитата на националната сигурност.
138
В този контекст следва да се изведат последиците от решение Big Brother Watch за преценката на законосъобразността на решение относно адекватното ниво на защита, прието на основание член 45, параграф 3 от ОРЗД, каквото е обжалваното решение.
139
В това отношение, на първо място, следва да се отбележи, че в решение Big Brother Watch ЕСПЧ уточнява, че член 8 от ЕКПЧ не съдържа забрана да се прилага масирано прихващане, извършвано с цел защита на националната сигурност, или на други съществени национални интереси срещу сериозни външни заплахи и че държавите разполагат с широко право на преценка да определят вида на необходимата им система за прихващане (решение Big Brother Watch, т. 347).
140
На второ място, ЕСПЧ посочва, че масираното прихващане на лични данни трябва да се ограничи чрез всеобхватни гаранции, които, взети заедно, са крайъгълният камък на всяка система за масирано прихващане, а именно:
–
получаване на разрешение от независим орган още при определяне на целта и обхвата на въпросната операция по наблюдение (решение Big Brother Watch, т. 350),
–
създаване на система за надзор и установяване на независим последващ съдебен контрол (вж. в този смисъл решение Big Brother Watch, т. 336 и 347),
–
предвиждане на правни норми, които позволяват да се гарантира за всеки от етапите на прихващането необходимостта и пропорционалността на вземаните мерки (вж. в този смисъл решение Big Brother Watch, т. 350); в това отношение ЕСПЧ припомня, че намеса в правата, гарантирани с член 8 от ЕКПЧ, може да бъде обоснована с оглед на параграф 2 от същия член само ако е предвидена в закон, преследва една или няколко законни цели, изброени в този параграф, и е необходима в едно демократично общество за постигането на тези цели; в областта на тайното наблюдение обаче предвидимостта на приетите мерки предполага вътрешното право да е достатъчно ясно формулирано, за да даде на гражданите адекватно указание за условията и обстоятелствата, при които властите имат право да прибягват до такива мерки (решение Big Brother Watch, т. 332 и 333).
141
На трето място, ЕСПЧ установява, че макар член 8 от ЕКПЧ да се прилага на всеки от етапите на прихващането, необходимостта да се предвидят гаранции се увеличава постепенно, доколкото процесът преминава през различните етапи и следователно интензитетът на засягането на правото на зачитане на личния и семейния живот се оказва по-значителен. Така според ЕСПЧ в края на процеса, когато информацията относно конкретно лице е анализирана или съдържанието на съобщенията е прегледано от анализатор, наличието на гаранции е най-необходимо (вж. в този смисъл решение Big Brother Watch, т. 330 и 331).
142
На четвърто място, ЕСПЧ приема, че доколкото на практика не е възможно в обхвата на предварителното разрешение да се включват всички критерии за подбор, използвани от разузнавателните агенции за филтриране на събраните съобщения, обхватът на разрешението трябва да бъде ограничен, така че да включва най-малко видовете или категориите критерии за подбор, които следва да се използват (решение Big Brother Watch, т. 354).
143
В случая, от една страна, следва да се припомни, че — както постановява Съдът в решения Schrems I и Schrems II — в рамките на решение относно адекватното ниво на защита Комисията не е длъжна да се увери, че релевантните разпоредби на третата държава са идентични на тези, които са в сила в Съюза, а че по същество са равностойни (вж. т. 19 и 20 по-горе).
144
От друга страна, трябва да се приеме, че тъй като събирането на масиви от лични данни, извършвано от разузнавателните агенции на Съединените щати, което се оспорва в рамките на настоящия спор, може да се приравни на прихващане на данни, извършвано в рамките на първия от етапите на прихващане, посочени от ЕСПЧ в решение Big Brother Watch, необходимостта да се предвидят за този конкретен етап от събирането на масиви от данни гаранции за ограничаване на правото на преценка на разузнавателните агенции, е по-ограничена, предвид контекста, в който се извършва прихващането. Всъщност в настоящия случай става въпрос само за първоначалното масирано прихващане на лични данни от разузнавателните агенции, с изключение на последващите действия, които не са предмет на тази жалба и които евентуално може да се състоят в прилагането на конкретни критерии за подбор, преглед на събраните данни и използването им или последващото им съобщаване.
145
Следователно обстоятелството, че предвиждането на предварително разрешение не е единствената гаранция, която трябва да ограничава масираното прихващане на лични данни, а е един от елементите, които, взети заедно, са крайъгълният камък на всяка система за масирано прихващане. В това отношение следва да се припомни, че действащото право на Съединените щати предвижда правни норми, които уреждат достатъчно ясно и точно събирането на масиви от лични данни от разузнавателните агенции на Съединените щати (вж. т. 107—116 по-горе) и предоставя на лицата, засегнати от предаването на техните данни, право на ефективна съдебна защита пред DPRC (вж. т. 33—63 по-горе). Освен това в съображения 162—169 от обжалваното решение се посочва, без жалбоподателят да го оспорва, че PCLOB, който, както е видно от точка 54 по-горе, съгласно учредителния му акт е създаден като независима структура, упражнява контрол върху разузнавателните дейности на разузнавателните агенции. Също така тези дейности подлежат на контрол, на първо място, от страна на правната служба и служителите по надзора, които в рамките на всяка разузнавателна агенция отговарят за надзора и спазването на правото, на второ място — от независим главен инспектор, който за всяка разузнавателна агенция отговаря за контрола върху външноразузнавателните дейности на съответната агенция, и на трето място — от Intelligence Oversight Board (Надзорен съвет по въпросите на разузнаването, Съединени щати), създаден в рамките на President’s Intelligence Advisory Board (Консултативен съвет по въпросите на разузнаването към президента, Съединени щати), който отговаря за надзора по спазването на правото от органите на Съединените щати, както и на четвърто място — от специални комисии, създадени в рамките на Конгреса на Съединените щати, които упражняват надзорни функции по отношение на всички дейности на държавата в областта на външното разузнаване.
146
С оглед на тези съображения не може да се приеме констатацията, че липсата на предварително разрешение, което да се прилага за първоначалното събиране на масиви от пренасяни от Съюза лични данни от разузнавателните агенции на Съединените щати, е достатъчна, за да се приеме, че в светлината на изводите от решение Big Brother Watch правото на Съединените щати не осигурява гаранции, които по същество са равностойни на предвидените от правото на Съюза.
147
Ето защо настоящият довод следва да се отхвърли.
4) По четвъртия довод, основан на Становище 5/2023 на Европейския надзорен орган по защита на данните
148
С четвъртия довод жалбоподателят твърди, че в Становище 5/2023 от 28 февруари 2023 г. относно проекта на решение за изпълнение на Европейската комисия относно адекватното ниво на защита на личните данни в Рамката за защита на личните данни в отношенията между ЕС и САЩ (наричано по-нататък „Становище 5/2023“) Европейският надзорен орган по защита на данните (наричан по-нататък „ЕНОЗД“) подчертава, че е важно събирането на масиви от лични данни да подлежи на предварително разрешение. Според жалбоподателя събирането на масиви от пренасяни от Съюза лични данни от разузнавателните агенции на Съединените щати в случая не е предмет на предварително разрешение.
149
Комисията, подкрепяна от Ирландия и от Съединените американски щати, оспорва довода на жалбоподателя.
150
Следва да се отбележи, че Становище 5/2023 е прието от ЕНОЗД на основание член 70, параграф 1, буква т) от ОРЗД. Тази разпоредба предвижда, че по своя собствена инициатива или по искане на Комисията, ЕНОЗД може да ѝ предостави становище за оценка на адекватността на нивото на защита на данните в трета държава.
151
Когато действа в съответствие с член 70, параграф 1 от ОРЗД, ЕНОЗД изпълнява само консултативни задачи, които се изразяват в издаването на становища, насоки, препоръки и „най-добри практики“, които не пораждат задължителни правни последици (вж. в този смисъл Определение на председателя на Съда от 29 ноември 2023 г., ЕНОЗД/ЕСП, C‑413/23 P, непубликувано, EU:C:2023:1036, т. 11). Следователно това становище не обвързва Комисията, която е свободна да прецени дали като цяло правото на тази държава осигурява ниво на защита, което по същество е равностойно на гарантираното от правото на Съюза, що се отнася до събирането на масиви от лични данни. При всички положения следва да се констатира, че в това становище ЕНОЗД не посочва, че липсата на предварителен контрол по отношение на събирането на масиви от лични данни непременно засяга положителната оценка от страна на Комисията на адекватното ниво на защита на личните данни, осигурено с РЗЛД. Напротив, в точка 165 от същото становище ЕНОЗД отбелязва, че тази оценка зависи от всички конкретни обстоятелства, и по‑специално от въвеждането от Съединените американски щати на последващ съдебен контрол и механизъм за правна защита.
152
В този контекст Становище 5/2023 не позволява да се приеме, че за събирането на масиви от пренасяни от Съюза лични данни от разузнавателни агенции на Съединените щати е необходимо предварително разрешение и че защитата, осигурявана от тази държава, не е по същество равностойна на защитата, гарантирана от правото на Съюза.
153
Ето защо следва да се отхвърли настоящият довод, а следователно и второто оплакване от второто основание в неговата цялост.
г)
По третото оплакване от второто основание, че Указ 14086 предоставя на президента на Съединените щати правомощие да разрешава тайно актуализиране на конкретните цели на събирането на масиви от данни
154
С третото оплакване от второто основание жалбоподателят твърди, че Комисията е нарушила членове 7 и 8 от Хартата на основните права, като е приела в обжалваното решение, че Съединените американски щати осигуряват ниво на защита, което по същество е равностойно на гарантираното от правото на Съюза по силата на ОРЗД, разглеждан във връзка с Хартата, макар Указ 14086 да предоставя на президента на Съединените щати по съображения, свързани с националната сигурност, възможност да разрешава тайно актуализиране на конкретните цели на събирането на масиви от данни. По-специално жалбоподателят счита, че противно на приетото в решение на ЕСПЧ от 4 декември 2015 г., Roman Zakharov с/у Русия (CE:ECHR:2015:1204JUD004714306, наричано по-нататък „решение Zakharov“), предоставянето на президента на Съединените щати на правомощие да актуализира тези конкретни цели не позволява на засегнатите от предаване на лични данни лица да идентифицират с точност правния режим, в съответствие с който тези данни се обработват в Съединените щати.
155
Комисията, подкрепяна от Ирландия и от Съединените американски щати, оспорва довода на жалбоподателя.
156
Следва да се отбележи, че в решение Zakharov ЕСПЧ приема, че намеса в основното право на зачитане на личния и семейния живот може да се обоснове от гледна точка на член 8, параграф 2 от ЕКПЧ само ако е предвидена в закон (решение Zakharov, т. 227). Според ЕСПЧ обаче изразът „предвидена в закон“ означава, че спорната мярка следва да бъде достъпна за съответното лице и предвидима по отношение на своите последици (решение Zakharov, т. 228). В областта на действията по прихващане на съобщения „предвидимостта“ не означава, че дадено лице трябва да е в състояние да предвиди кога е възможно органите да прихванат съобщенията му, а по същество че ограниченията на правото му на зачитане на личния и семейния живот трябва да произтичат от ясни правила (решение Zakharov, т. 229).
157
Трябва също да се припомни, че съгласно цитираната в точка 29 по-горе съдебна практика, доколкото член 8 от ЕКПЧ закрепва по подобие на член 7 от Хартата на основните права правото на зачитане на личния и семейния живот, практиката на ЕСПЧ относно член 8 от ЕКПЧ, която следователно обхваща и решение Zakharov, трябва да бъде взета предвид при тълкуването, както в случая, на член 7 от Хартата.
158
В това отношение от раздел 2, буква c), подточка ii), буква C) от Указ 14086 е видно, че предоставеното на президента на Съединените щати правомощие да актуализира списъка с конкретни цели на събирането на масиви от данни не е неограничено, а се отнася само до ситуации, при които необходимостта от това актуализиране се налага от появата на нови изисквания за националната сигурност, като например нови заплахи или повишени заплахи за националната сигурност, за които може да бъде използвано събирането на масиви от лични данни. Освен това от тази разпоредба следва, а и Съединените американски щати потвърждават в съдебното заседание, че актуализирането от президента на посочените конкретни цели не е тайно, а се публикува от директора на Националното разузнаване, освен ако президентът не прецени, че само по себе си публикуването представлява риск за националната сигурност на държавата. Нещо повече, дори и в този случай събирането на масиви от данни подлежи на всички гаранции и ограничения, предвидени в Указ 14086, а ако субект на данни подаде жалба относно лични данни, това събиране подлежи на надзор от страна на CLPO и евентуално на преразглеждане от DPRC.
159
В този контекст не може да се приеме, че предоставеното на президента на Съединените щати правомощие за актуализиране на списъка с конкретните цели на събирането на масиви от данни е несъвместимо с изискванията, определени от ЕСПЧ в решение Zakharov.
160
Ето защо следва да се отхвърли третото оплакване от второто основание, а следователно и основанието в неговата цялост.
4.
По четвъртото основание: нарушение на член 22 от ОРЗД
161
С четвъртото основание жалбоподателят твърди, че Комисията е нарушила член 22 от ОРЗД, тъй като в обжалваното решение тя не е предвидила разпоредба, която да установява право на засегнатите лица да не бъдат обект на решения, основаващи се единствено на автоматизирано обработване на лични данни, включително профилиране, които пораждат правни последици за тях или ги засягат в значителна степен (наричани по-нататък „напълно автоматизирани решения“).
162
Най-напред трябва да се отбележи, че член 22 от ОРЗД има следната редакция:
„1.   Субектът на данните има право да не бъде обект на решение, основаващо се единствено на автоматизирано обработване, включващо профилиране, което поражда правни последствия за субекта на данните или по подобен начин го засяга в значителна степен.
2.   Параграф 1 не се прилага, ако решението:
a)
е необходимо за сключването или изпълнението на договор между субект на данни и администратор;
б)
е разрешено от правото на Съюза или правото на държава членка, което се прилага спрямо администратора, и в което се предвиждат също подходящи мерки за защита на правата и свободите, и легитимните интереси на субекта на данните; или
в)
се основава на изричното съгласие на субекта на данни“.
163
Следва да се отбележи също, че понятието „профилиране“, съдържащо се в член 22, параграф 1 от ОРЗД, е дефинирано в член 4, параграф 4 от същия регламент като „всяка форма на автоматизирано обработване на лични данни, изразяващо се в използването на лични данни за оценяване на определени лични аспекти, свързани с физическо лице, и по-конкретно за анализиране или прогнозиране на аспекти, отнасящи се до изпълнението на професионалните задължения на това физическо лице, неговото икономическо състояние, здраве, лични предпочитания, интереси, надеждност, поведение, местоположение или движение“.
164
От това следва, че съгласно член 22 от ОРЗД всеки субект на данни има право да не бъде обект на решение, основаващо се единствено на автоматизирано обработване на лични данни, включително когато тази мярка се състои в анализиране или предвиждане на някои аспекти от неговото поведение.
165
От обжалваното решение обаче е видно, че то не третира конкретно въпроса за напълно автоматизираните решения.
166
Следователно трябва да се прецени дали подобен пропуск може да засегне законосъобразността на обжалваното решение, доколкото може да постави под съмнение извода в член 1 от посоченото решение, че Съединените американски щати осигуряват адекватно ниво на защита на личните данни.
167
Именно в този контекст следва да се анализират трите оплаквания на жалбоподателя в подкрепа на четвъртото основание, като се започне с първото и третото оплакване, които следва да се разгледат заедно.
а)
По първото и третото оплакване от четвъртото основание, че от една страна, фактът, че напълно автоматизирани решения обикновено се вземат от администратори в Съюза, които подлежат на ОРЗД, не предвижда гаранции по отношение на останалите случаи, а от друга страна, че въведената в правото на Съединените щати секторна защита в случаите, в които вземането на напълно автоматизирани решения не попада в приложното поле на посочения регламент, е без значение за разглежданото дело
168
С първото и третото оплакване от четвъртото основание жалбоподателят твърди, от една страна, че фактът, че напълно автоматизираните решения обикновено се вземат от администратори, установени в Съюза, които са подчинени на ОРЗД, не предоставя гаранции по отношение на останалите случаи. От друга страна, жалбоподателят твърди, че възможността правото на Съединените щати да осигурява секторна защита, когато вземането на такива решения не попада в приложното поле на посочения регламент, е без значение за разглежданото дело, доколкото това обстоятелство не позволява да се направи извод, че по принцип защитата, която тази държава осигурява по отношение на всички напълно автоматизирани решения, е равностойна на защитата, гарантирана с член 22 от този регламент.
169
Комисията, подкрепяна от Ирландия и от Съединените американски щати, оспорва довода на жалбоподателя.
170
Следва да се отбележи, че видно от съображение 33 от обжалваното решение, при предаване на лични данни от Съюза към Съединените щати трябва да се разграничават три хипотези, в които се вземат напълно автоматизирани решения.
171
Първо, напълно автоматизирани решения могат да се вземат от установен в Съюза администратор, който е събрал в Съюза личните данни на субекти на данни. В това отношение следва да се отбележи, че член 4, точка 7 от ОРЗД определя „администратор“ като физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни. В тази хипотеза, доколкото съгласно член 3, параграф 1 от посочения регламент администраторът е подчинен на същия регламент, той трябва да спазва изискванията, предвидени в член 22 от този регламент, що се отнася до такива решения.
172
Второ, напълно автоматизирани решения могат да се вземат или от обработващ лични данни, установен в трета държава, действащ от името на администратор в Съюза, който му е предал лични данни, събрани в Съюза, или от подизпълнител, действащ от името на обработващ лични данни, установен в Съюза, който му е предал данни, събрани в Съюза. В това отношение следва да се отбележи, че член 4, параграф 8 от ОРЗД определя „обработващ лични данни“ като физическо или юридическо лице, публичен орган, агенция или друга структура, която обработва лични данни от името на администратора. В тези хипотези, доколкото чуждестранните обработващи лични данни действат от името на администратор или обработващ лични данни от Съюза, са подчинени на посочения регламент съгласно член 3, параграф 1 от него. Така, що се отнася до такива решения, администраторът и обработващият лични данни трябва да отговарят на изискванията, предвидени в член 22 от същия регламент.
173
Трето, напълно автоматизирани решения могат да се вземат от администратор или обработващ лични данни извън Съюза, чиято дейност по обработването на данни е свързана с предлагането на стоки или услуги на субекти на данни, които се намират в Съюза, или за наблюдение на тяхното поведение. В тази хипотеза обаче член 3, параграф 2 от ОРЗД предвижда, че чуждестранният администратор и чуждестранният обработващ лични данни са подчинени на посочения регламент. Така, що се отнася до напълно автоматизираните решения, те трябва да отговарят на изискванията, предвидени в член 22 от посочения регламент.
174
При това положение от обжалваното решение е видно, че хипотезите, при които напълно автоматизирани решения не попадат в приложното поле на член 22 от ОРЗД, са несъществени и се ограничават до случаи, в които организации от РЗЛД пряко събират в Съюза лични данни, без обаче да предлагат на гражданите на Съюза стоки или услуги и без да наблюдават тяхното поведение по смисъла на член 3, параграф 2 от посочения регламент.
175
От съображения 35 и 36 от обжалваното решение обаче следва, без жалбоподателят да го оспорва, че в тези случаи правото на Съединените щати осигурява секторна защита, подобна на тази, предвидена в ОРЗД в области като предоставяне на заеми, оферти за ипотечни кредити, в сферата на заетостта, жилищното настаняване и застраховане, в които е най-вероятно организациите от РЗЛД, да вземат напълно автоматизирани решения.
176
Така в сферата на потребителските заеми във Fair Credit Reporting Act (Закон за оповестяване на обективна информация за кредити) и в Equal Credit Opportunity Act (Закон за равните възможности за кредитиране) присъстват гаранции, които предоставят на потребителите някаква форма на право на обяснение и право на оспорване на напълно автоматизирани решения. Тези закони се отнасят до широк кръг области, включително кредитиране, заетост, жилищно настаняване и застраховане. Освен това дял VII от Civil Rights Act (Закон за гражданските права) и Fair Housing Act (Закон за справедливото жилищно настаняване) предоставят на физическите лица защита по отношение на модели, използвани в напълно автоматизираните решения, които биха могли да доведат до дискриминация въз основа на определени характеристики, и предоставят на лицата право да оспорват такива решения. Освен това, по отношение на информацията за здравословното състояние съгласно правилата, приети от органите на Съединените щати в съответствие с Health Insurance Portability and Accountability Act (Закон за преносимост и отчетност при здравното застраховане), доставчиците на медицински услуги трябва да получават информация, която им позволява да информират лицата за автоматизираните системи за вземане на решения, използвани в медицинския сектор.
177
В този контекст, противно на твърденията на жалбоподателя, не може да се приеме, че секторната защита, предвидена в правото на Съединените щати, е без значение за разглежданото дело, тъй като тя няма същия широк обхват като член 22 от ОРЗД.
178
В това отношение следва да се припомни, че в решения Schrems I и Schrems II Съдът постановява, че без да се изисква съответната трета държава да гарантира ниво на защита, което е идентично на гарантираното в правния ред на Съюза, изразът „адекватно ниво на защита“ в член 45, параграф 1 от ОРЗД трябва да се разбира в смисъл, че от тази трета държава се изисква действително да гарантира, по силата на вътрешното си законодателство или на международните си ангажименти, ниво на защита на основните права и свободи, което по същество е равностойно на гарантираното в Съюза по силата на посочения регламент, разглеждан в светлината на Хартата на основните права (вж. т. 19 и 20 по-горе).
179
Нещо повече, в решение Schrems I Съдът приема, че макар да е възможно средствата, до които третата държава прибягва, за да гарантира адекватно ниво на защита на личните данни, да са различни от прилаганите вътре в Съюза, все пак е необходимо на практика тези средства да се окажат ефективни с цел да се осигури защита, която по същество е равностойна на гарантираната в Съюза (вж. т. 20 по-горе).
180
С оглед на всички изложени съображения първото и третото оплакване от четвъртото основание трябва да се отхвърлят.
б)
По второто оплакване от четвъртото основание, че проучването, възложено през 2018 г. от Комисията, което доказва несъществения характер на случаите, при които организациите — участници в Щита за личните данни в Съединените щати, са взели напълно автоматизирани решения, е без значение за разглежданото дело
181
С второто оплакване от четвъртото основание жалбоподателят твърди, че е без значение за разглежданото дело фактът, че в проучването относно напълно автоматизираните решения, цитирано в съображение 34 от обжалваното решение, което Комисията е възложила през 2018 г. и резултатите от което се съдържат в точка 4.1.5 от Доклада COM(2018) 860 final на Комисията до Европейския парламент и Съвета от 19 декември 2018 г. по втория годишен преглед на функционирането на Щита за личните данни (наричано по-нататък „проучването от 2018 г.“), се заключава, че няма доказателства за наличие на напълно автоматизирани решения, взети от организации — участници в Щита за личните данни в Съединените щати. Жалбоподателят изтъква по-специално, че посоченото проучване се отнася до решението относно адекватното ниво на защита, стоящо в основата на Щита за личните данни, което е отменено от Съда в решение Schrems II, и че в него не се отчита текущата ситуация, която се характеризира с изключително бързо развитие на напълно автоматизирани услуги, използващи изкуствен интелект.
182
Комисията, подкрепяна от Ирландия и от Съединените американски щати, оспорва довода на жалбоподателя.
183
От проучването от 2018 г. по-специално става ясно, от една страна, че по онова време не е имало данни, които да сочат, че установените в Съединените щати дружества — участници в Щита за личните данни, са взели напълно автоматизирани решения, а от друга страна, че Съединените американски щати са приложили секторно законодателство в области като потребителски заеми, в сферата на заетостта, жилищното настаняване, застраховането и здравеопазването, в които е най-вероятно да се вземат напълно автоматизирани решения.
184
В това отношение, на първо място, следва да се отбележи, че проучването от 2018 г. не е посочено в решението относно адекватното ниво на защита, стоящо в основата на Щита за личните данни, а Комисията го е възложила след влизането в сила на посоченото решение. Следователно фактът, че това решение е отменено от Съда в решение Schrems II, е без значение за настоящия случай. Освен това в решение Schrems II Съдът не отменя посоченото решение въз основа на данните, посочени в проучването.
185
На второ място, несъмнено в проучването от 2018 г. не е взета предвид фактическата и правна обстановка в Съединените щати през 2023 г. към датата на приемане на обжалваното решение, а тази през 2018 г., когато проучването е било проведено. Несъществеността на случаите, в които организации — участници в Щита за личните данни в Съединените щати, са взели напълно автоматизирани решения се потвърждава обаче от Доклад COM(2019) 495 final на Комисията до Европейския парламент и Съвета от 23 октомври 2019 година по третия годишен преглед на функционирането на Щита за личните данни. Всъщност в този доклад по-специално се посочва, че броят на участващите в Щита за личните данни организации в Съединените щати, които са взели напълно автоматизирани решения, е ограничен, а решенията, взети от тези организации, обикновено не произвеждат правно действие и не пораждат други последици за субектите на данни.
186
На трето място, следва да се отбележи, че в писмените си изявления жалбоподателят не е представил никакво доказателство, позволяващо да се приеме, че след провеждане на проучването от 2018 г. организации в Съединените щати са взели напълно автоматизирани решения и не е обяснил надлежно защо развитието в областта на изкуствения интелект би направило неотносимо това проучване.
187
В този контекст следва да се отхвърли второто оплакване от четвъртото основание, а следователно и посоченото основание в неговата цялост.
5.
По петото основание: нарушение на член 32 от ОРЗД във връзка с член 45, параграф 2 от същия регламент
188
С петото основание жалбоподателят твърди, че Комисията е нарушила член 32 от ОРЗД във връзка с член 45, параграф 2 от същия регламент, тъй като е приела в обжалваното решение, че Съединените американски щати осигуряват ниво на защита, което по същество е равностойно на гарантираното в Съюза по отношение на прилагането от администратори и обработващи лични данни в Съединените щати на подходящи технически и организационни мерки, които да гарантират сигурността на обработването на лични данни, предавани от Съюза към тази държава.
189
В това отношение, на първо място, жалбоподателят твърди, че раздел II, точка 4, буква a) от приложение 1 към обжалваното решение само предвижда, че организациите от РЗЛД трябва да прилагат разумни и подходящи мерки за сигурност само когато създават, поддържат, използват или разпространяват лична информация. Съответно никаква мярка за сигурност не се изисква, когато тези организации използват лични данни, получени от Съюза. Жалбоподателят твърди, че консултацията е част от операциите, включени в понятието „обработване“ на лични данни в член 4, параграф 2 от ОРЗД.
190
На второ място, жалбоподателят твърди, че раздел III, точка 6, буква е) от приложение 1 към обжалваното решение предвижда задължение за организациите в Съединените щати, които напускат РЗЛД, да продължават да спазват съдържащите се в това решение принципи, включително тези относно сигурността на обработването, докато съхраняват, използват или разкриват лични данни, предавани от Съюза към Съединените щати, но не предвижда такова задължение, когато същите организации използват лични данни.
191
Комисията, подкрепяна от Ирландия и от Съединените американски щати, оспорва довода на жалбоподателя.
192
Преди всичко трябва да се припомни, че член 32 от ОРЗД гласи следното:
„1.   Като се имат предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът и обработващият лични данни прилагат подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност, включително, inter alia, когато е целесъобразно:
a)
псевдонимизация и криптиране на личните данни;
б)
способност за гарантиране на постоянна поверителност, цялостност, наличност и устойчивост на системите и услугите за обработване;
в)
способност за своевременно възстановяване на наличността и достъпа до личните данни в случай на физически или технически инцидент;
г)
процес на редовно изпитване, преценяване и оценка на ефективността на техническите и организационните мерки с оглед да се гарантира сигурността на обработването.
2.   При оценката на подходящото ниво на сигурност се вземат предвид по-специално рисковете, които са свързани с обработването, по-специално от случайно или неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до прехвърлени, съхранявани или обработени по друг начин лични данни“.
193
По-нататък, понятието „обработване“, което се съдържа в член 32 от ОРЗД, е дефинирано в член 4, параграф 2 от същия регламент като „всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване“.
194
Съгласно съдебната практика по-специално от израза „всяка операция“ в член 4, параграф 2 от ОРЗД следва, че законодателят на Съюза е искал да придаде широк обхват на понятието „обработване“, което се потвърждава от неизчерпателния характер на изброените в тази разпоредба операции, изразен с думата „като“ (вж. решение от 7 март 2024 г., Endemol Shine Finland, C‑740/22, EU:C:2024:216, т. 29 и цитираната съдебна практика).
195
Накрая, следва да се отбележи, че сред елементите, които Комисията трябва да вземе предвид, когато оценява нивото на защита от дадена трета държава съгласно член 45, параграф 2, буква a) от ОРЗД, са мерките за сигурност относно личните данни, които се прилагат в тази държава.
196
Именно в този контекст следва да се разгледат заедно двата довода, изтъкнати от жалбоподателя в подкрепа на настоящото основание.
197
В това отношение следва да се припомни, че раздел II, точка 4, буква a) от приложение 1 към обжалваното решение гласи следното:
„Организациите, които създават, поддържат, използват или разпространяват лична информация, трябва да вземат обосновани и подходящи мерки, за да предотвратят загубата, злоупотребата, непозволения достъп, разкриването, изменението и унищожаването на тази информация, като надлежно вземат под внимание рисковете, свързани с обработването, и характера на личните данни“.
198
Освен това текстът на раздел III, точка 6, буква е) от приложение 1 към обжалваното решение е следният:
„Всяка организация трябва да прилага Принципите за всички лични данни, които получава от ЕС съгласно [РЗЛД]. Задължението за спазване на Принципите не е ограничено във времето по отношение на личните данни, получени през периода, когато организацията се ползва от предимствата на [РЗЛД]; това задължение означава, че тя ще продължи да прилага Принципите за тези данни, докато ги съхранява, използва или разкрива, дори ако по някаква причина впоследствие напусне [РЗЛД]“.
199
От това следва, че раздел II, точка 4, буква a) и раздел III, точка 6, буква е) от приложение 1 към обжалваното решение не се отнасят до всяка форма на обработване на лични данни по смисъла на член 4, параграф 2 от ОРЗД. Напротив, от една страна, първият от посочените раздели ограничава задължението на организациите от РЗЛД, да приемат мерки за сигурност само в случаите, когато тези организации създават, поддържат, използват или разпространяват лични данни. От друга страна, вторият от посочените раздели предвижда, че организациите, които напуснат РЗЛД, трябва да продължат да прилагат принципите, съдържащи се в обжалваното решение, докато съхраняват, използват или разкриват лични данни, предавани от Съюза към Съединените щати.
200
Първо, следва обаче да се припомни, че в решения Schrems I и Schrems II Съдът приема, че не е необходимо третата държава да осигурява правна защита, която е идентична на гарантираната в правния ред на Съюза (вж. т. 19 и 20 по-горе). От това следва, че макар в обжалваното решение Комисията да счита, че правото на Съединените щати, в сила към момента на приемане на това решение, осигурява ниво на защита, което по същество е равностойно на гарантираното в правото на Съюза, не е необходимо посоченото решение да съдържа абсолютно същия текст като този в ОРЗД.
201
Второ, принципите, съдържащи се в раздел II, точка 4, буква a) от приложение 1 към обжалваното решение, трябва да се тълкуват с оглед на елементите от съображение 23 от посоченото решение, което аналогично на член 32 от ОРЗД, предвижда следното:
„Личните данни следва също така да се обработват по начин, който гарантира тяхната сигурност, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане. За тази цел администраторите и обработващите лични данни следва да предприемат подходящи технически или организационни мерки за защита на личните данни от възможни заплахи. Тези мерки следва да се оценяват, като се вземат предвид достиженията на техническия прогрес, съответните разходи и естеството, обхватът, контекстът и целите на обработването, както и рисковете за правата на физическите лица“.
202
Трето, следва да се отбележи, че понятията „създаване“, „поддържане“, „използване“ и „разпространяване“ в раздел II, точка 4, буква а) от приложение 1 към обжалваното решение, както и понятията „съхраняване“, „използване“ и „разкриване“ в раздел III, точка 6, буква е) от същото приложение, представляват конкретни прояви на операцията по „обработване“ на лични данни по смисъла на член 32 от ОРЗД, и че също като посочения член те имат за цел да обхванат широк набор от операции, включващи лични данни.
203
Четвърто, терминът „използване“, който се съдържа както в раздел II, точка 4, буква а) от приложение 1 към обжалваното решение, така и в раздел III, точка 6, буква е) от същото приложение, може да се определи като използване на нещо като средство за постигане на конкретна цел или употреба. От тази гледна точка използването на лични данни включва тяхното консултиране, тъй като по дефиниция за използването на данни е необходимо предварително да се получи достъп до тях, а след това да се използват. От това следва, че не е основателен доводът на жалбоподателя, че в обжалваното решение не се изискват никакви мерки за сигурност, когато организации от РЗЛД използват лични данни, получавани от Съюза.
204
С оглед на всички тези обстоятелства следва да се отхвърли петото основание, а следователно и жалбата в нейната цялост.
IV. По съдебните разноски
205
Съгласно член 134, параграф 1 от Процедурния правилник загубилата делото страна се осъжда да заплати съдебните разноски, ако е направено такова искане.
206
След като Комисията е направила искане за осъждане на жалбоподателя и последният е загубил делото, жалбоподателят следва да бъде осъден да понесе, наред с направените от него съдебни разноски, и съдебните разноски, направени от Комисията, включително в обезпечителното производство.
207
Съгласно член 138, параграф 1 от Процедурния правилник държавите членки и институциите, встъпили по делото, понасят направените от тях съдебни разноски. Следователно Ирландия понася направените от нея съдебни разноски.
208
Съгласно член 138, параграф 3 от Процедурния правилник Общият съд може да разпореди встъпила страна, различна от посочените в параграфи 1 и 2 от този член, да понесе направените от нея разноски. В случая следва да се реши, че Съединените американски щати понасят направените от тях съдебни разноски.
По изложените съображения
ОБЩИЯТ СЪД (десети разширен състав)
реши:
1)
Отхвърля жалбата.
2)
Г‑н Philippe Latombe понася направените от него съдебни разноски, както и тези на Европейската комисия, включително направените в обезпечителното производство.
3)
Ирландия понася направените от нея съдебни разноски.
4)
Съединените американски щати понасят направените от тях съдебни разноски.
Porchia
Jaeger
Madise
Nihoul
Verschuur
Обявено в открито съдебно заседание в Люксембург на 3 септември 2025 година.
Подписи
(
*1
)	Език на производството: френски.