SODBA SPLOŠNEGA SODIŠČA (deseti razširjeni senat)
z dne 3. septembra 2025(*)
„ Prenos osebnih podatkov v Združene države – Izvedbeni sklep Komisije o ugotovitvi ustreznosti varstva osebnih podatkov, ki ga zagotavljajo Združene države – Pravica do učinkovitega pravnega sredstva – Pravica do zasebnega in družinskega življenja – Odločitve, ki temeljijo izključno na avtomatizirani obdelavi osebnih podatkov – Varnost obdelave osebnih podatkov “
V zadevi T‑553/23,
Philippe Latombe, stanujoč v Nantesu (Francija), ki ga zastopajo N. Coutrelis, J.‑B. Soufron in T. Lamballe, odvetniki,
tožeča stranka,
proti
Evropski komisiji, ki jo zastopajo D. Calleja Crespo, A. Bouchagiar, H. Kranenborg in C. Ladenburger, agenti,
tožena stranka,
ob intervenciji
Irske, ki jo zastopajo M. Browne, S. Finnegan in A. Joyce, agenti, skupaj s S. Brittainom, barrister, in C. Donnelly, SC,
in
Združenih držav Amerike, ki jih zastopajo B. Walsh, S. Barton in A. Finlay, solicitors, E. Barrington, SC, in D. Hardiman, barrister,
intervenientki,
SPLOŠNO SODIŠČE (deseti razširjeni senat),
v sestavi O. Porchia, predsednica, M. Jaeger (poročevalec), L. Madise, P. Nihoul in S. Verschuur, sodniki,
sodna tajnica: I. Kurme, administratorka,
ob upoštevanju sklepa z dne 12. oktobra 2023, Latombe/Komisija (T‑553/23 R, neobjavljen, EU:T:2023:621),
na podlagi pisnega dela postopka,
na podlagi obravnave z dne 1. aprila 2025
izreka naslednjo
Sodbo
1        Tožeča stranka, Philippe Latombe, s tožbo na podlagi člena 263 PDEU predlaga v bistvu razglasitev ničnosti Izvedbenega sklepa Komisije (EU) 2023/1795 z dne 10. julija 2023 o določitvi ustrezne ravni varstva osebnih podatkov na podlagi Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta, ki jo zagotavlja okvir za varstvo podatkov med EU in ZDA (UL 2023, L 231, str. 118; v nadaljevanju: izpodbijani sklep).
I.      Dejansko stanje
2        Tožeča stranka je francoski državljan, ki trdi, da uporablja različne informacijske platforme, ki zbirajo njegove osebne podatke in jih pošiljajo v Združene države.
3        Kar zadeva prenos osebnih podatkov iz Evropske unije v Združene države, je Sodišče najprej s sodbo z dne 6. oktobra 2015, Schrems (C‑362/14, v nadaljevanju: sodba Schrems I, EU:C:2015:650), razglasilo Odločbo Komisije z dne 26. julija 2000 po Direktivi Evropskega parlamenta in Sveta 95/46/ES o primernosti zaščite, ki jo zagotavljajo načela zasebnosti varnega pristana in s tem povezana najpogosteje zastavljena vprašanja, ki jih je izdalo Ministrstvo za trgovino ZDA (2000/520/ES) (UL, posebna izdaja v slovenščini, poglavje 16, zvezek 1, str. 119) za neveljavno.
4        Sodišče je nato s sodbo z dne 16. julija 2020, Facebook Ireland in Schrems (C‑311/18, v nadaljevanju: sodba Schrems II, EU:C:2020:559), razglasilo neveljavnost Izvedbenega sklepa Komisije (EU) 2016/1250 z dne 12. julija 2016 na podlagi Direktive Evropskega parlamenta in Sveta 95/46/ES o ustreznosti varstva, ki ga zagotavlja zasebnostni ščit EU-ZDA (UL 2016, L 207, str. 1, v nadaljevanju: Sklep o ustreznosti zasebnostnega ščita).
5        Sodišče je v sodbah Schrems I in Schrems II ob obravnavi predloga za sprejetje predhodne odločbe o presoji veljavnosti med drugim odločilo, da v nasprotju s presojo Evropske komisije v sklepih o ustreznosti iz točk 3 in 4 zgoraj sistem varnega pristana in sistem zasebnostnega ščita (v nadaljevanju: zasebnostni ščit), ki urejata prenos osebnih podatkov, ne zagotavljata ravni varstva temeljnih pravic in svoboščin, ki bi bila v bistvu enakovredna ravni varstva, ki jo zagotavlja pravo Unije.
6        Komisija je po sodbi Schrems II začela pogovore z vlado Združenih držav Amerike, da bi se sprejel morebiten nov sklep o ustreznosti varstva, ki bi izpolnjeval zahteve iz člena 45(2) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, in popravek, UL 2018, L 127, str. 2, v nadaljevanju: SUVP), kakor jih razlaga Sodišče.
7        Tako so Združene države Amerike 7. oktobra 2022 sprejele Executive Order 14086 (predsedniška odredba št. 14086, v nadaljevanju: E. O. 14086), ki krepi ukrepe za varstvo zasebnosti in ureja obveščevalne dejavnosti v okviru SIGINT, ki jih izvajajo obveščevalne agencije s sedežem v Združenih državah. Ta odredba je bila dopolnjena z Attorney General Order No. 5517–2022 (uredba pravosodnega ministra št. 5517–2022 (v nadaljevanju: uredba pravosodnega ministra), s katero je bil naslovu 28 Code of Federal Regulations (zakonik o zveznih predpisih, v nadaljevanju: CFR) dodan del 201, ki ureja ustanovitev in delovanje Data Protection Review Court (sodišče za presojo varstva podatkov; v nadaljevanju: DPRC).
8        Komisija je 10. julija 2023 po preučitvi teh regulativnih sprememb v Združenih državah na podlagi člena 45(3) SUVP sprejela izpodbijani sklep, ki vzpostavlja nov čezatlantski okvir za pretok osebnih podatkov med Unijo in Združenimi državami. V členu 1 tega sklepa je navedeno, da Združene države Amerike zagotavljajo ustrezno raven varstva osebnih podatkov, ki se prenašajo iz Unije organizacijam s sedežem v tej državi, ki so navedene v „okviru za varstvo zasebnosti podatkov med EU in ZDA“ (v nadaljevanju: OVP), ki ga vodi in objavlja ministrstvo Združenih držav za trgovino (v nadaljevanju: organizacije OVP).
II.    Predlogi strank
9        Tožeča stranka Splošnemu sodišču predlaga, naj:
–        izpodbijani sklep razglasi za ničen v bistvu v celoti;
–        Komisiji naloži plačilo stroškov.
10      Komisija, ki jo podpirata Irska in Združene države Amerike, Sodišču predlaga, naj:
–        tožbo zavrže kot nedopustno;
–        podredno, zavrne tožbo kot neutemeljeno;
–        tožeči stranki naloži plačilo stroškov.
III. Pravo
A.      Ugovor nedopustnosti
11      Komisija je z ločeno vlogo, ki jo je sodno tajništvo Splošnega sodišča prejelo 1. decembra 2023, vložila ugovor nedopustnosti na podlagi člena 130 Poslovnika Splošnega sodišča.
12      Komisija trdi, da je tožba nedopustna, ker tožeča stranka nima procesnega upravičenja, ker nima pravnega interesa in ker je del izpodbijanega sklepa, katerega razglasitev ničnosti zahteva, neločljiv od preostalega dela tega sklepa.
13      Tožeča stranka izpodbija trditve Komisije in trdi, da je njena tožba dopustna.
14      Spomniti je treba, da lahko sodišče Unije glede na okoliščine posameznega primera presoja, ali učinkovito izvajanje sodne oblasti upravičuje meritorno zavrnitev tožbe, ne da bi bilo treba prej odločati o ugovoru nedopustnosti (glej v tem smislu sodbo z dne 26. februarja 2002, Svet/Boehringer, C‑23/00 P, EU:C:2002:118, točki 51 in 52).
15      Splošno sodišče tako glede na okoliščine te zadeve meni, da je tožba v vsakem primeru in iz razlogov, navedenih v točkah od 16 do 204 spodaj, sicer neutemeljena, vendar je treba v interesu učinkovitega izvajanja sodne oblasti preučiti njeno utemeljenost, ne da bi se prej odločalo o njeni dopustnosti (glej v tem smislu sodbi z dne 10. oktobra 2014, Marchiani/Parlament, T‑479/13, neobjavljena, EU:T:2014:866, točka 23, in z dne 20. decembra 2023, Naturstrom/Komisija, T‑60/21, neobjavljena, EU:T:2023:839, točka 74).
B.      Vsebinska presoja
16      Tožeča stranka v utemeljitev svoje tožbe navaja pet tožbenih razlogov, in sicer:
–        prvič, kršitev členov 3 in 4 Uredbe Sveta št. 1 z dne 15. aprila 1958 o določitvi jezikov, ki se uporabljajo v Evropski gospodarski skupnosti (UL, posebna izdaja v slovenščini, poglavje 1, zvezek 1, str. 3);
–        drugič, kršitev členov 7 in 8 Listine Evropske unije o temeljnih pravicah;
–        tretjič, kršitev člena 47, drugi odstavek, navedene listine in člena 45(2) SUVP;
–        četrtič, kršitev člena 22 SUVP;
–        petič, kršitev člena 32 SUVP v povezavi s členom 45(2) te uredbe.
17      Tožeča stranka je na obravnavi umaknila prvi tožbeni razlog kršitve členov 3 in 4 Uredbe št. 1/1958. Zato je treba preučiti le drugi, tretji, četrti in peti tožbeni razlog.
1.      Uvodne ugotovitve
18      Na prvem mestu,
ugotoviti je treba, da člen 45(1) SUVP določa, da se lahko prenos osebnih podatkov v tretjo državo dovoli na podlagi sklepa, s katerim Komisija ugotovi, da ta tretja država, ozemlje ali eden oziroma več določenih sektorjev v tej tretji državi zagotavljajo ustrezno raven varstva podatkov. Ta določba je v poglavju V navedene uredbe, katerega splošni namen je, kot je navedlo Sodišče, zagotoviti kontinuiteto visoke ravni varstva osebnih podatkov, ki jo zagotavlja pravo Unije na podlagi te uredbe, kadar se osebni podatki prenašajo v tretjo državo (glej v tem smislu sodbo Schrems II, točka 93).
19      Sodišče je pojasnilo, da se v zvezi s tem ne zahteva, da zadevna tretja država zagotavlja enako raven varstva, kot je zagotovljena v pravnem redu Unije, ampak je treba izraz „ustrezna raven varstva“ iz člena 45(1) SUVP razumeti tako, da zahteva, da ta tretja država na podlagi svoje nacionalne zakonodaje ali mednarodnih obveznosti, ki jih je sprejela, dejansko zagotavlja raven varstva svoboščin in temeljnih pravic, ki je v bistvu enakovredna tisti, ki se v Uniji zagotavlja s to uredbo v povezavi z Listino o temeljnih pravicah (glej v tem smislu sodbo Schrems II, točki 94 in 162).
20      Sodišče je tudi razsodilo, da čeprav so sredstva, ki jih tretja država uporablja za zagotovitev ustrezne ravni varstva osebnih podatkov, lahko drugačna od sredstev, uporabljenih znotraj Unije za zagotovitev spoštovanja zahtev, določenih v Direktivi 95/46, razlagani ob upoštevanju Listine o temeljnih pravicah, se morajo ta sredstva vseeno izkazati kot učinkovita za zagotovitev varstva, ki je v bistvenem enakovredno varstvu, zagotovljenemu znotraj Unije (sodba Schrems I, točka 74).
21      Poleg tega je Sodišče menilo, da je ob upoštevanju, prvič, pomembne vloge varstva osebnih podatkov z vidika temeljne pravice do spoštovanja zasebnega življenja ter, drugič, znatnega števila posameznikov, katerih temeljne pravice bi lahko bile kršene zaradi prenosa osebnih podatkov v tretjo državo, ki ne zagotavlja ustrezne ravni varstva, diskrecijska pravica Komisije glede ustreznosti ravni varstva, ki ga zagotavlja tretja država, zmanjšana, tako da mora sodišče Unije izvajati strog nadzor zakonitosti sklepa o ustreznosti (sodba Schrems I, točka 78).
22      Na drugem mestu,
spomniti je treba, da je treba v skladu z ustaljeno sodno prakso zakonitost akta Unije presojati glede na dejanske in pravne elemente, ki so obstajali ob sprejetju tega akta, zato akti, ki so bili sprejeti po sprejetju sklepa, ne morejo vplivati na njegovo veljavnost (glej sodbi z dne 17. oktobra 2019, Alcogroup in Alcodis/Komisija, C‑403/18 P, EU:C:2019:870, točka 45 in navedena sodna praksa, ter z dne 28. januarja 2021, Qualcomm in Qualcomm Europe/Komisija, C‑466/19 P, EU:C:2021:76, točka 82 in navedena sodna praksa). Zato je treba v obravnavanem primeru presoje Komisije glede zakonitosti izpodbijanega sklepa preučiti izključno na podlagi informacij, ki jih je imela na voljo ob teh presojah.
23      V tem okviru je treba tožbene razloge, ki jih navaja tožeča stranka, analizirati tako, da se najprej preuči tretji tožbeni razlog, potem drugi tožbeni razlog, nato četrti tožbeni razlog in nazadnje peti tožbeni razlog.
2.      Tretji tožbeni razlog: kršitev člena 47, drugi odstavek, Listine o temeljnih pravicah in člena 45(2) SUVP
24      S tretjim tožbenim razlogom tožeča stranka trdi, da je Komisija kršila člen 47, drugi odstavek, Listine o temeljnih pravicah in člen 45(2) SUVP, ker je v izpodbijanem sklepu menila, da DPRC zagotavlja ustrezno raven varstva pravice državljanov Unije, da dostopajo do neodvisnega, nepristranskega in z zakonom predhodno ustanovljenega sodišča.
25      Najprej, poudariti je treba, da člen 47, drugi odstavek, Listine o temeljnih pravicah določa:
„Vsakdo ima pravico, da o njegovi zadevi pravično, javno in v razumnem roku odloča neodvisno, nepristransko in z zakonom predhodno ustanovljeno sodišče. Vsakdo ima možnost svetovanja, obrambe in zastopanja.“
26      V skladu s Pojasnili k Listini o temeljnih pravicah (UL 2007, C 303, str. 17) člen 47, drugi odstavek, te listine ustreza členu 6(1) Konvencije o varstvu človekovih pravic in temeljnih svoboščin, podpisane v Rimu 4. novembra 1950 (v nadaljevanju: EKČP). Ta zadnja določba se glasi:
„Vsakdo ima pravico, da o njegovih civilnih pravicah in obveznostih ali o kakršnikoli kazenski obtožbi zoper njega pravično in javno ter v razumnem roku odloča neodvisno in nepristransko z zakonom ustanovljeno sodišče.“
27      V zvezi s tem je treba spomniti, da je treba v skladu s sodno prakso, ker EKČP, dokler Unija ne postane njena pogodbenica, ni pravni instrument, ki bi bil formalno vključen v pravni red Unije, preizkus veljavnosti akta sekundarne zakonodaje opraviti zgolj z vidika temeljnih pravic, ki jih zagotavlja Listina o temeljnih pravicah (sodba z dne 3. septembra 2015, Inuit Tapiriit Kanatami in drugi/Komisija, C‑398/13 P, EU:C:2015:535, točki 45 in 46).
28      Vendar sodna praksa priznava, da so po eni strani v skladu s členom 6(3) PEU temeljne pravice, priznane z EKČP, kot splošna načela del prava Unije ter da po drugi strani iz člena 52(3) Listine o temeljnih pravicah izhaja, da sta vsebina in obseg v njej vsebovanih pravic, ki ustrezajo pravicam, zagotovljenim z EKČP, enaka kot vsebina in obseg pravic, ki ju določa EKČP (glej sodbo z dne 31. maja 2018, Korwin-Mikke/Parlament, T‑770/16, EU:T:2018:320, točka 38 in navedena sodna praksa).
29      Zato je treba v skladu s sodno prakso zaradi doslednosti, in ne da bi to škodilo avtonomiji prava Unije in Sodišča Evropske unije, pravice iz Listine o temeljnih pravicah, ki ustrezajo pravicam, zagotovljenim z EKČP, razlagati tudi ob upoštevanju sodne prakse Evropskega sodišča za človekove pravice (v nadaljevanju: ESČP) (glej v tem smislu sodbi z dne 9. novembra 2023, Staatssecretaris van Justitie en Veiligheid (Pojem resne škode), C‑125/22, EU:C:2023:843, točka 59, in z dne 31. maja 2018, Korwin-Mikke/Parlament, T‑770/16, EU:T:2018:320, točka 38).
30      V skladu s sodno prakso iz tega izhaja, da mora Sodišče na podlagi člena 52(3) Listine o temeljnih pravicah paziti, da se z razlago člena 47, drugi odstavek, navedene listine, ki jo poda, zagotovi raven varstva, s katero ni kršena raven varstva, zagotovljena v členu 6(1) EKČP, kot ga razlaga ESČP (glej sodbo z dne 6. oktobra 2021, W.
Ż. (Senat za izredni nadzor in javne zadeve vrhovnega sodišča – Imenovanje), C‑487/19, EU:C:2021:798, točka 123 in navedena sodna praksa).
31      Prav tako je treba ugotoviti, da člen 45(2) SUVP določa, da Komisija pri ocenjevanju ustreznosti ravni varstva, ki ga zagotavlja tretja država, upošteva zlasti naslednje elemente:
„(a)      […] dejanske in izvršljive pravice ter učinkovito upravno in sodno varstvo posameznikov, na katere se nanašajo osebni podatki, ki se prenašajo;
(b)      obstoj enega ali več učinkovito delujočih neodvisnih nadzornih organov v tretji državi članici ali pristojnih za mednarodno organizacijo, ki so odgovorni za zagotavljanje in izvrševanje predpisov o varstvu podatkov, kar vključuje tudi ustrezna pooblastila za izvrševanje, za pomoč in svetovanje posameznikom, na katere se nanašajo osebni podatki, pri uresničevanju njihovih pravic ter za sodelovanje z nadzornimi organi držav članic“.
32      Glede na te ugotovitve je treba preučiti dva očitka, ki ju je tožeča stranka navedla v utemeljitev tega tožbenega razloga.
a)      Prvi očitek iz tretjega tožbenega razloga, v skladu s katerim DPRC ni neodvisno in nepristransko sodišče
33      S prvim očitkom iz tretjega tožbenega razloga tožeča stranka trdi, da DPRC ni neodvisno in nepristransko sodišče v smislu člena 47, drugi odstavek, Listine o temeljnih pravicah, temveč je parasodni organ, odvisen od izvršilne oblasti.
34      Komisija, ki jo podpirata Irska in Združene države Amerike, izpodbija utemeljitev tožeče stranke.
35      Najprej, poudariti je treba, da je v skladu s sodno prakso zahteva po neodvisnosti sodišč, ki je neločljivo povezana z nalogo sojenja, del bistvene vsebine pravice do učinkovitega sodnega varstva in temeljne pravice do poštenega sojenja, ki ima poglaviten pomen kot garant varstva vseh pravic, ki jih imajo pravni subjekti na podlagi prava Unije, in ohranitve skupnih vrednot držav članic, ki so navedene v členu 2 PEU, zlasti vrednote pravne države (sodba z dne 15. julija 2021, Komisija/Poljska (Disciplinska ureditev za sodnike), C‑791/19, EU:C:2021:596, točka 58 in navedena sodna praksa). V skladu z načelom delitve oblasti, ki opredeljuje delovanje pravne države, mora biti neodvisnost sodišč med drugim zagotovljena v razmerju do zakonodajne in izvršilne oblasti (glej sodbo z dne 18. maja 2021, Asociaţia „Forumul Judecătorilor din România“ in drugi, C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 in C‑397/19, EU:C:2021:393, točka 195 in navedena sodna praksa).
36      V sodni praksi je natančneje navedeno, da ima zahteva po neodvisnosti sodišč dva vidika. Prvi, zunanji vidik zahteva, da zadevni organ svoje funkcije izvaja povsem samostojno, ne da bi bil s komer koli kakor koli hierarhično povezan ali mu podrejen in ne da bi prejemal kakršne koli ukaze ali navodila, ter da je s tem zaščiten pred zunanjimi posegi ali pritiski, ki lahko ogrozijo neodvisnost presoje njegovih članov in vplivajo na njihove odločitve. Drugi, notranji vidik je povezan s pojmom „nepristranskosti“ in se nanaša na to, da je zagotovljena enaka distanca do strank spora in njihovih posamičnih interesov glede predmeta spora. Zadnjenavedeni vidik zahteva spoštovanje objektivnosti in neobstoj kakršnega koli interesa za izid spora, razen stroge uporabe pravnega pravila (glej sodbo z dne 21. decembra 2021, Euro Box Promotion in drugi, C‑357/19, C‑379/19, C‑547/19, C‑811/19 in C‑840/19, EU:C:2021:1034, točka 224 in navedena sodna praksa).
37      Jamstva neodvisnosti in nepristranskosti, ki se zahtevajo na podlagi prava Unije, narekujejo obstoj pravil, ki se nanašajo zlasti na sestavo organa, na imenovanje, trajanje funkcije in razloge za samoizločitev, izločitev in razrešitev njegovih članov
ter na podlagi katerih je mogoče odpraviti vsak legitimen dvom pravnih subjektov o zaščitenosti tega organa pred zunanjimi dejavniki in o njegovi nevtralnosti glede nasprotujočih si interesov (glej sodbo z dne 15. julija 2021, Komisija/Poljska (Disciplinska ureditev za sodnike), C‑791/19, EU:C:2021:596, točka 59 in navedena sodna praksa).
38      Glede na to je treba preučiti tri argumente, ki jih je tožeča stranka navedla v podporo temu očitku.
1)      Prvi argument, v skladu s katerim DPRC ni neodvisno in nepristransko sodišče, ker je njegova naloga preverjati odločitve Civil Liberties Protection Officer of the Director of National Intelligence
39      S prvim argumentom tožeča stranka v bistvu trdi, da DPRC ni neodvisno in nepristransko sodišče, ker je njegova naloga preverjati odločitve Civil Liberties Protection Officer of the Director of National Intelligence (uradnik za varstvo državljanskih svoboščin direktorja nacionalne obveščevalne službe, v nadaljevanju: CLPO, Združene države), ki spada pod urad direktorja nacionalne obveščevalne službe Združenih držav (v nadaljevanju: direktor nacionalne obveščevalne službe).
40      Komisija, ki jo podpirata Irska in Združene države Amerike, izpodbija argument tožeče stranke.
41      Zaradi jasnosti je treba pojasniti, da je treba prvi argument prvega očitka iz tretjega tožbenega razloga razlagati tako, da po mnenju tožeče stranke v bistvu na eni strani pri obravnavi pritožbe v zvezi z osebnimi podatki, ki jo v Uniji vloži posameznik, na katerega se nanašajo osebni podatki in ki želi uveljavljati kršitev prava Združenih držav, ki ureja obveščevalne dejavnosti v okviru SIGINT, ki škodi njegovim interesom na področju varstva zasebnosti in državljanskih svoboščin (v nadaljevanju: pritožba v zvezi z osebnimi podatki), glede CLPO niso določena
zadostna jamstva, ki bi zagotavljala njegovo neodvisnost, ker spada pod urad direktorja nacionalne obveščevalne službe, in na drugi strani, da DPRC ni neodvisno in nepristransko sodišče zaradi nezadostnosti jamstev, ki veljajo za CLPO.
42      Najprej,
poudariti je treba, da preučitev jamstev v zvezi z neodvisnostjo CLPO ni pomembna za presojo, ali je DPRC neodvisno in nepristransko sodišče. DPRC je bilo namreč ustanovljeno kot organ za nadzor, ki je neodvisen od CLPO, pri katerem lahko, kot je razvidno iz uvodne izjave 184 izpodbijanega sklepa, oseba, ki je vložila pritožbo v zvezi z osebnimi podatki, kot tudi vsak organ obveščevalne skupnosti zahteva presojo odločbe CLPO, v E. O. 14086 pa je bilo določenih več jamstev, da bi DPRC lahko neodvisno in nepristransko presojalo odločbe CLPO in jih po potrebi spremenilo.
43      Prvič, iz uvodnih izjav 185 in 186 izpodbijanega sklepa je razvidno, ne da bi to tožeča stranka izpodbijala, da DPRC sestavlja najmanj šest sodnikov, ki jih po posvetovanju s Privacy and Civil Liberties Oversight Board (odbor za nadzor zasebnosti in državljanskih svoboščin, Združene države, v nadaljevanju: PCLOB), Secretary of Commerce (minister za trgovino) in direktorjem nacionalne obveščevalne službe imenuje Attorney General (pravosodni minister, Združene države Amerike, v nadaljevanju: pravosodni minister) za štiriletni mandat z možnostjo ponovnega imenovanja, in sicer po enakih merilih, kot veljajo za zvezne sodnike, ter ob upoštevanju njihovih predhodnih sodniških izkušenj. Tako morajo biti sodniki delavci v pravni stroki, in sicer morajo biti aktivni člani odvetniške zbornice in imeti ustrezno licenco za opravljanje pravniškega poklica, ter morajo imeti ustrezne izkušnje s področja prava varstva zasebnosti in nacionalne varnosti. Poleg tega si mora pravosodni minister prizadevati za zagotovitev, da ima vsaj polovica sodnikov vedno predhodne sodniške izkušnje, vsi sodniki pa morajo imeti varnostna potrdila, da lahko dostopajo do zaupnih podatkov o nacionalni varnosti. Za sodnike pri DPRC so lahko imenovani le posamezniki, ki izpolnjujejo zgoraj navedene kvalifikacije in ki v času svojega imenovanja ali dve leti pred tem niso oziroma niso bili zaposleni v izvršilni veji. Podobno sodniki DPRC v času svojega mandata ne smejo opravljati nobenih uradnih nalog ali biti zaposleni v vladi ZDA.
44      Drugič, iz uvodnih izjav 188 in 189 izpodbijanega sklepa je razvidno, ne da bi tožeča stranka to izpodbijala, da odločbe CLPO v celoti presoja senat treh sodnikov DPRC, ki jim pomaga posebni pravobranilec. Vendar se pri tej presoji DPRC ne opira samo na spis, ki ga zagotovi CLPO, temveč tudi na informacije in vloge, ki jih predložijo pritožnik, posebni pravobranilec, ki pomaga sodnikom, in obveščevalne službe, ter po potrebi na vse dodatne informacije, ki jih je zahtevalo med preučitvijo pritožbe v zvezi z osebnimi podatki. Poleg tega mora pri tej presoji uporabiti upoštevno sodno prakso Supreme Court of the United States (vrhovno sodišče Združenih držav).
45      Tretjič, iz uvodnih izjav 190 in 191 izpodbijanega sklepa je razvidno, ne da bi tožeča stranka to izpodbijala, da ima DPRC pooblastilo spremeniti odločitev, da ni vezano na odločbo CLPO in da lahko v primeru nestrinjanja z njim sprejme lastno odločitev o pritožbi v zvezi z osebnimi podatki. Poleg tega je odločitev, ki jo sprejme DPRC, ne glede na to, kakšna je, zavezujoča in dokončna. Tako so obveščevalne agencije in vlada Združenih držav dolžne ravnati v skladu z njo.
46      Iz navedenega izhaja, da jamstva, ki jih določa E. O. 14086 glede delovanja in pooblastil DPRC, omogočajo neodvisno in nepristransko presojo odločitev, ki jih je sprejel CLPO. Zato trditev tožeče stranke, da nezadostnost jamstev, ki veljajo za CLPO, vpliva na neodvisnost in nepristranskost DPRC, ni utemeljena.
47      V vsakem primeru je treba v zvezi z domnevno nezadostnostjo jamstev, namenjenih zagotavljanju neodvisnosti CLPO, upoštevati naslednje.
48      Kot je razvidno iz uvodnih izjav od 176 do 181 izpodbijanega sklepa, ne da bi tožeča stranka to izpodbijala, je treba poudariti, da je bil z E. O. 14086, kot je bil dopolnjen z uredbo pravosodnega ministra, vzpostavljen poseben mehanizem pravnih sredstev za obravnavo pritožb v zvezi z osebnimi podatki. Tako pritožbo je treba vložiti pri nadzornem organu v državi članici, pristojnem za nadzor nad obdelavo osebnih podatkov, ta pa jo nato posreduje CLPO, če vsebuje elemente, navedene v uvodni izjavi 178 izpodbijanega sklepa, in sicer informacije v zvezi z osebnimi podatki, za katere se utemeljeno domneva, da so bili preneseni v Združene države, v zvezi s sredstvi, s katerimi naj bi bili preneseni, identiteto (če je znana) subjektov vlade Združenih držav, za katere se sklepa, da so vključeni v domnevne kršitve, podlago za domnevo, da je prišlo do kršitve zakonodaje Združenih držav in naravo zahtevanega nadomestila. V tem okviru mora CLPO ugotoviti, ali so obveščevalne agencije kršile zakonodajo Združenih držav, ki se uporablja, in če je tako, jim lahko odredi odpravo kršitev. Odločitev CLPO v zvezi s to pritožbo je zavezujoča.
49      V uvodni izjavi 179 izpodbijanega sklepa Komisija navaja, da je CLPO del urada direktorja nacionalne obveščevalne službe in da mora poleg svoje posebne pristojnosti za obravnavo pritožb v zvezi z osebnimi podatki na splošno zagotoviti, da je varstvo državljanskih svoboščin in zasebnosti ustrezno vključeno v politike in postopke tega urada in obveščevalnih agencij ter da izpolnjujejo veljavne zahteve glede varstva zasebnosti in državljanskih svoboščin. Vendar je treba na eni strani pripomniti, da je, kot je navedeno v tej uvodni izjavi, za zagotovitev neodvisnosti CLPO v E. O. 14086 določeno, da lahko CLPO razreši le omenjeni direktor in iz pomembnega razloga, to je v primeru neustreznega ravnanja, zlorabe položaja, kršitve varnosti, zanemarjanja dolžnosti ali nesposobnosti. Na drugi strani, kot izhaja iz uvodne izjave 180 izpodbijanega sklepa, je obveščevalnim agencijam in direktorju nacionalne obveščevalne službe prepovedano ovirati ali neustrezno vplivati na delo CLPO, ki mora pri obravnavi pritožbe v zvezi z osebnimi podatki uporabljati zakon nepristransko, upoštevati interese nacionalne varnosti in varstvo zasebnosti.
50      V teh okoliščinah je treba ta argument zavrniti.
2)      Drugi argument, v skladu s katerim DPRC ni neodvisno in nepristransko sodišče, ker ga sestavljajo sodniki, ki jih imenuje pravosodni minister po posvetovanju s PCLOB
51      Tožeča stranka s svojim drugim argumentom v bistvu trdi, da DPRC ni neodvisno in nepristransko sodišče, saj ga sestavljajo sodniki, ki jih imenuje pravosodni minister po posvetovanju s PCLOB, ki je organ, odvisen od izvršilne oblasti.
52      Komisija, ki jo podpirata Irska in Združene države Amerike, izpodbija argument tožeče stranke.
53      Na prvem mestu, iz uvodne izjave 110 izpodbijanega sklepa je razvidno, da je PCLOB neodvisna agencija, ustanovljena v okviru izvršilne oblasti. Neodvisnost te agencije je razvidna zlasti iz njene sestave. Sestavljena je namreč iz dvostrankarskega petčlanskega odbora, ki ga imenuje predsednik Združenih držav s soglasjem Senata za fiksen šestletni mandat. Ti člani morajo biti izbrani na podlagi njihovih poklicnih kvalifikacij, dosežkov, javne podobe, strokovnega znanja na področju varstva zasebnosti in državljanskih svoboščin ter izkušenj in ne glede na politično pripadnost. V odboru ne smejo biti več kot trije člani, ki pripadajo isti politični stranki. Posameznik, imenovan za člana PCLOB, v času opravljanja funkcije člana odbora ne sme biti izvoljeni uslužbenec, uradnik ali zaposleni zvezne vlade, razen v svojstvu člana odbora.
54      Iz tega sledi, da je bil PCLOB sicer ustanovljen v okviru izvršilne oblasti, vendar je bil v statutu o ustanovitvi zasnovan kot neodvisna agencija, katere naloga je bila nepristransko nadzorovati delo izvršilne oblasti, med drugim z namenom varstva zasebnosti in državljanskih svoboščin. Tako mora, kot je navedeno v uvodni izjavi 194 izpodbijanega sklepa, ne da bi tožeča stranka to izpodbijala, vsako leto preveriti, ali sta CLPO in DPRC obravnavala prejete zadeve pravočasno, ali sta imela dostop do vseh potrebnih informacij, ali sta upoštevala vse zaščitne ukrepe, določene z E. O. 14086, in ali so obveščevalne agencije upoštevale njune odločitve. Po tem preverjanju mora javno potrditi, da sta CLPO in DPRC spoštovala te zaščitne ukrepe. Poleg tega mora predložiti poročilo predsedniku Združenih držav, pravosodnemu ministru, direktorju nacionalne obveščevalne službe, vodjem obveščevalnih agencij, CLPO in odborom za obveščevalno dejavnost United States Congress (kongres Združenih držav). To poročilo je objavljeno v nezaupni različici. Pravosodni minister, direktor nacionalne obveščevalne službe, CLPO in vodje obveščevalnih agencij so dolžni izvajati vsa priporočila iz navedenega poročila.
55      V teh okoliščinah na podlagi samega dejstva, da je bil PCLOB ustanovljen v okviru izvršilne oblasti, ni mogoče sklepati, da zaradi posvetovanja s PCLOB pred imenovanjem sodnikov DPRC to zadnje ni neodvisno in nepristransko sodišče.
56      Na drugem mestu, pripomniti je treba, da je za zagotovitev neodvisnosti sodnikov DPRC od izvršilne oblasti v E. O. 14086 določeno, da mora pravosodni minister ob njihovem imenovanju spoštovati merila in pogoje, navedene v točki 43 zgoraj. Poleg tega, kot je razvidno iz uvodne izjave 187 izpodbijanega sklepa, lahko sodnike pri DPRC razreši le pravosodni minister in le iz določenih razlogov, in sicer zaradi neustreznega ravnanja, zlorabe položaja, kršitve varnosti, zanemarjanja dolžnosti ali nesposobnosti, ob ustreznem upoštevanju standardov, ki veljajo za zvezne sodnike, določene v pravilniku o ravnanju pri opravljanju sodniške službe in postopkih za ugotovitev nezmožnosti opravljanja sodniške službe.
57      Iz tega izhaja, da pravila o imenovanju in razrešitvi sodnikov DPRC ne morejo postaviti pod vprašaj njegove neodvisnosti in nepristranskosti.
58      Na tretjem mestu,
poudariti je treba, da mora Komisija v skladu s členom 3(1) izpodbijanega sklepa stalno spremljati uporabo pravnega okvira, ki je predmet navedenega sklepa, vključno s pogoji, pod katerimi se izvajajo nadaljnji prenosi osebnih podatkov in uveljavljajo individualne pravice ter pod katerimi imajo javni organi Združenih držav dostop do podatkov, prenesenih na podlagi tega sklepa, da bi ocenila, ali Združene države Amerike še naprej zagotavljajo ustrezno varstvo. Tako Komisija v skladu z odstavkom 5 tega člena, kadar prejme indice, ki kažejo, da ustrezno varstvo ni več zagotovljeno, o tem obvesti pristojne organe Združenih držav in se po potrebi odloči, da začasno zadrži izvajanje izpodbijanega sklepa, ga spremeni ali razveljavi ali pa omeji njegovo področje uporabe. Iz tega sledi, da če se spremeni pravni okvir, ki je v Združenih državah veljal ob sprejetju izpodbijanega sklepa in na podlagi katerega je Komisija v tem sklepu menila, da DPRC zagotavlja pravno varstvo, ki je v bistvu enakovredno tistemu, ki ga zagotavlja pravo Unije, se Komisija po potrebi odloči, da začasno zadrži izvajanje izpodbijanega sklepa, ga spremeni ali razveljavi ali pa omeji njegovo področje uporabe.
59      Glede na vse te premisleke je treba ta argument zavrniti.
3)      Tretji argument, v skladu s katerim DPRC ni neodvisno in nepristransko sodišče, ker uredba pravosodnega ministra ne izključuje možnosti, da se njegovi sodniki nadzorujejo na druge načine, ki niso vsakodnevni nadzor izvršilne oblasti
60      S tretjim argumentom tožeča stranka v bistvu trdi, da DPRC ni neodvisno in nepristransko sodišče, ker uredba pravosodnega ministra ne izključuje možnosti, da se njegovi sodniki nadzorujejo na druge načine, ki niso vsakodnevni nadzor izvršilne oblasti.
61      Komisija, ki jo podpirata Irska in Združene države Amerike, izpodbija argument tožeče stranke.
62      Ugotoviti je treba, da čeprav je iz spisa razvidno, da sodniki DPRC v skladu s členom 201.7(d) uredbe pravosodnega ministra ne smejo biti pod vsakodnevnim nadzorom pravosodnega ministra, je v uvodni izjavi 187 izpodbijanega sklepa navedeno tudi, da se obveščevalne agencije in pravosodni minister v skladu z E. O. 14086 ne smejo vmešavati v delo DPRC ali neustrezno vplivati nanj. Poleg tega je iz spisa razvidno, da E. O. 14086 in uredba pravosodnega ministra omejujeta možnost izvršilne oblasti, da vpliva na delo DPRC, saj določata, da lahko njegove sodnike razreši le pravosodni minister in le iz razlogov, navedenih v točki 56 zgoraj.
63      V tem okviru je treba ta argument in posledično prvi očitek iz tretjega tožbenega razloga v celoti zavrniti.
b)      Drugi očitek iz tretjega tožbenega razloga, v skladu s katerim DPRC ni z zakonom predhodno ustanovljeno sodišče
64      Z drugim očitkom iz tretjega tožbenega razloga tožeča stranka trdi, da DPRC ni bilo predhodno ustanovljeno z zakonom v smislu člena 47, drugi odstavek, Listine o temeljnih pravicah, ker ni bilo ustanovljeno z zakonom, ki ga je sprejel kongres Združenih držav, temveč z aktom izvršilne oblasti, in sicer z odločbo pravosodnega ministra.
65      Komisija, ki jo podpirata Irska in Združene države Amerike, izpodbija utemeljitev tožeče stranke.
66      Na prvem mestu, iz sodne prakse Sodišča, razvite ob upoštevanju sodne prakse ESČP v zvezi s členom 6(1) EKČP (ESČP,
1. december 2020, Guðmundur Andri Ástráðsson proti Islandiji, CE:ECHR:2020:1201JUD002637418, točki 231 in 233), izhaja, da je pravica do z zakonom predhodno ustanovljenega sodišča, čeprav je samostojna pravica, še zelo tesno povezana z jamstvoma neodvisnosti in nepristranskosti v smislu te določbe. Natančneje, čeprav ima vsaka od zahtev iz teh pojmov natančen cilj, pri čemer gre zaradi teh ciljev za ločena jamstva za pošteno sojenje, so te zahteve namenjene spoštovanju istih temeljnih načel vladavine prava in delitve oblasti. Jedro vsake od teh zahtev je nujnost ohranitve zaupanja, ki ga mora sodna oblast vzbujati pri pravnem subjektu, in neodvisnost te oblasti v razmerju do preostalih oblasti (glej sodbi z dne 22. februarja 2022, Openbaar Ministerie (Z zakonom ustanovljeno sodišče v odreditveni državi članici), C‑562/21 PPU in C‑563/21 PPU, EU:C:2022:100, točka 56 in navedena sodna praksa, ter z dne 29. marca 2022, Getin Noble Bank, C‑132/20, EU:C:2022:235, točka 117 in navedena sodna praksa).
67      Sodišče je ob sklicevanju na sodno prakso ESČP (ESČP,
8. julij 2014, Biagioli proti San Marinu, CE:ECHR:2014:0708DEC000816213, točke od 72 do 74; glej tudi ESČP,
2. maj 2019, Pasquini proti San Marinu, CE:ECHR:2019:0502JUD005095616, točki 100 in 101 ter navedena sodna praksa) navedlo, da je namen izraza „z zakonom predhodno ustanovljeno“ preprečiti, da bi bila organizacija sodnega sistema prepuščena prosti presoji izvršne oblasti, in zagotoviti, da je to področje urejeno z zakonom, ki ga je sprejela zakonodajna oblast, v skladu s pravili, ki urejajo izvajanje njene pristojnosti. Ta izraz tako odraža načelo pravne države in se ne nanaša samo na pravno podlago obstoja sodišča, temveč tudi na sestavo sodišča v posamezni zadevi ter na vse druge določbe nacionalnega prava, katerih neupoštevanje pomeni, da eden ali več sodnikov nepravilno sodeluje pri obravnavi zadeve, kar vključuje zlasti določbe glede neodvisnosti in nepristranskosti članov zadevnega sodišča (glej sodbo z dne 29. marca 2022, Getin Noble Bank, C‑132/20, EU:C:2022:235, točka 121 in navedena sodna praksa).
68      V tem okviru je Sodišče razsodilo, da je ugotovitev v zvezi z obstojem kršitve zahteve po z zakonom predhodno ustanovljenem sodišču in posledicami take kršitve predmet celovite presoje številnih elementov, ki – upoštevani skupaj – prispevajo k temu, da pri pravnih subjektih nastanejo legitimni dvomi v zvezi z neodvisnostjo in nepristranskostjo sodnikov (glej sodbo z dne 22. februarja 2022, Openbaar Ministerie (Z zakonom ustanovljeno sodišče v odreditveni državi članici), C‑562/21 PPU in C‑563/21 PPU, EU:C:2022:100, točka 74 in navedena sodna praksa).
69      Tako je Sodišče odločilo, da okoliščina, da v sestavi organa, kot je nacionalni sodni svet, ki je vključen v postopek imenovanja sodnikov, prevladujejo člani, ki jih izbere zakonodajna oblast, sama po sebi ne more povzročiti dvoma o neodvisnosti sodnikov, ki so imenovani na koncu tega postopka, vendar je lahko drugače, če ta okoliščina skupaj z drugimi upoštevnimi elementi in pogoji, v katerih so bile te izbire opravljene, pripelje do nastanka takih dvomov (glej sodbo z dne 22. februarja 2022, Openbaar Ministerie (Z zakonom ustanovljeno sodišče v odreditveni državi članici), C‑562/21 PPU in C‑563/21 PPU, EU:C:2022:100, točka 75 in navedena sodna praksa).
70      Poleg tega je ESČP v sodbi z dne 1. decembra 2020, Guðmundur Andri Ástráðsson proti Islandiji (CE:ECHR:2020:1201JUD002637418, točki 207 in 212), odločilo, da je imenovanje sodnikov s strani izvršilne ali zakonodajne oblasti dopustno, če tako imenovani sodniki pri opravljanju svoje sodniške funkcije niso pod pritiskom ali vplivom.
71      Iz te sodne prakse v bistvu izhaja, da za presojo, ali so izpolnjene zahteve, ki izhajajo iz člena 47, drugi odstavek, Listine o temeljnih pravicah, ni treba presojati zgolj formalne narave pravnega besedila, s katerim je ustanovljeno sodišče in so opredeljena pravila njegovega delovanja, temveč je treba preveriti, ali to pravno besedilo zagotavlja zadostna jamstva za zagotovitev njegove neodvisnosti in nepristranskosti v razmerju do drugih vej oblasti, zlasti izvršilne.
72      Na drugem mestu, spomniti je treba, da se, kot je Sodišče odločilo v sodbah Schrems I in Schrems II, v okviru sklepa o ustreznosti Komisiji ni treba prepričati, da so upoštevne določbe tretje države enake tistim, ki veljajo v Uniji, temveč da so v bistvu enakovredne tistim, ki jih zagotavlja pravo Unije na podlagi SUVP ob upoštevanju Listine o temeljnih pravicah (glej točki 19 in 20 zgoraj). Iz tega izhaja, da mora Splošno sodišče v obravnavanem primeru preveriti utemeljenost ugotovitve o ustreznosti, ki jo je v izpodbijanem sklepu podala Komisija in v skladu s katero določbe prava Združenih držav o ustanovitvi in delovanju DPRC zagotavljajo jamstva, ki so v bistvu enakovredna jamstvom, ki so v pravu Unije določena v členu 47, drugi odstavek, te listine. Taka jamstva so na voljo zlasti, kadar je namen pravnega besedila o ustanovitvi tega sodišča in določitvi pravil njegovega delovanja zagotoviti njegovo neodvisnost in nepristranskost v razmerju do drugih vej oblasti, zlasti izvršilne, čeprav navedeno besedilo s formalnega vidika ni zakon.
73      V obravnavani zadevi je iz uvodne izjave 185 izpodbijanega sklepa, ne da bi tožeča stranka to izpodbijala, razvidno, da je bilo DPRC ustanovljeno z uredbo pravosodnega ministra. Iz tega izhaja, da DPRC ni bilo ustanovljeno z zakonom, ki ga je sprejela zakonodajna oblast, torej kongres Združenih držav, temveč z aktom, ki ga je izdala izvršilna oblast. Pravosodni minister je namreč vodja ministrstva za pravosodje Združenih držav in glavna odgovorna oseba  zvezne vlade Združenih držav za izvrševanje zakonov. Je glavni svetovalec predsednika Združenih držav o vseh pravnih vprašanjih in član njegovega kabineta.
74      V tem okviru je treba preveriti, ali E. O. 14086 in uredba pravosodnega ministra na način, ki je v bistvu enakovreden pravu Unije, določata jamstva za zagotovitev neodvisnosti in nepristranskosti DPRC.
75      V zvezi s tem je treba, prvič, pripomniti, da je iz spisa nesporno razvidno, da:
–        je pravosodni minister uredbo sprejel na podlagi svojega zakonskega pooblastila za izdajo zavezujočih odločb o vprašanjih prava Združenih držav, vključno s tistimi, ki se nanašajo na prenos podatkov iz Unije, ki ga ureja E. O. 14086;
–        je pravosodni minister z ustanovitvijo DPRC nanj prenesel svojo pristojnost, da odloča o zakonitosti obveščevalnih dejavnosti SIGINT, ki jih izpodbija državljan Unije; tako pravosodni minister de iure ni več upravičen izvajati pristojnosti, ki jo je prenesel na DPRC, dokler ta obstaja;
–        kot je navedeno v opombi 366 na strani 63 izpodbijanega sklepa, je vrhovno sodišče Združenih držav priznalo možnost, da pravosodni minister ustanovi neodvisne organe s pooblastilom za odločanje, kot je DPRC; poleg tega je odločilo, da je prenos pooblastila, ki ga pravosodni minister prenese na svojega pooblaščenca, zavezujoč za izvršilno oblast; iz sodne prakse tega sodišča torej izhaja, da je uredba pravosodnega ministra, dokler je v veljavi, zavezujoča za izvršilno oblast in da niti obveščevalne agencije niti vlada Združenih držav ne morejo pregledati ali preklicati njegovih odločitev.
76      Drugič, na eni strani je treba spomniti, da je v izpodbijanem sklepu v bistvu navedeno, da:
–        sodnike DPRC imenuje pravosodni minister na podlagi meril in ob spoštovanju pogojev, omenjenih v točki 43 zgoraj;
–        sodnike DPRC lahko razreši le pravosodni minister, in sicer samo iz razlogov, navedenih v točki 56 zgoraj, in v skladu s standardi, ki veljajo za zvezne sodnike in ki so določeni v pravilniku o ravnanju pri opravljanju sodniške službe ter postopkih za ugotovitev nezmožnosti opravljanja sodniške službe;
–        je odločba, ki jo je sprejelo DPRC, zavezujoča in dokončna. Zaradi tega so izvršilna oblast in obveščevalne agencije dolžne ravnati v skladu z njo;
–        je delo, ki ga opravlja DPRC, predmet nadzora s strani PCLOB v mejah, navedenih v točki 54 zgoraj.
77      Na drugi strani pa, kot izhaja iz uvodnih izjav od 187 do 189 izpodbijanega sklepa, morajo sodniki DPRC pri opravljanju svojih nalog v okviru DPRC upoštevati naslednja procesna jamstva:
–        pritožbo v zvezi z osebnimi podatki morajo obravnavati v senatu treh sodnikov, med katerimi je eden predsedujoči sodnik; za vsako zadevo sestavo senata treh sodnikov po načelu rotacije izbere urad ministrstva za pravosodje za državljanske svoboščine in zasebnost, ki je pristojen za zagotavljanje upravne podpore DPRC, pri čemer zagotovi, da ima vsak senat vsaj enega sodnika s predhodnimi sodniškimi izkušnjami;
–        med obravnavo pritožbe v zvezi z osebnimi podatki jim pomaga posebni pravobranilec, ki ga imenuje pravosodni minister po posvetovanju z ministrom za trgovino, direktorjem nacionalne obveščevalne službe in PCLOB za mandat dveh let z možnostjo ponovnega imenovanja; posebni pravobranilec mora imeti izkušnje s področja prava varstva zasebnosti in nacionalne varnosti, biti izkušen odvetnik, aktiven član odvetniške zbornice; poleg tega dve leti pred svojim imenovanjem posebni pravobranilec ni smel biti zaposlen v izvršilni veji oblasti; posebni pravobranilec ima dostop do vseh informacij, vključno z zaupnimi, in čeprav ne zastopa interesov pritožnika in s pritožnikom ni v odnosu odvetnik-stranka, mora zagotoviti, da so v vsakem primeru zastopani interesi pritožnika in da so sodniki DPRC v celoti obveščeni o vseh pomembnih pravnih in dejanskih vprašanjih;
–        pri sprejemanju odločitve morajo upoštevati preiskovalni spis, informacije in ugotovitve, ki jih predložijo pritožnik, posebni pravobranilec, obveščevalne agencije in CLPO, po potrebi pa tudi dodatne informacije, ki jih CLPO predloži na zahtevo DPRC;
–        odločitev o pritožbi v zvezi z osebnimi podatki morajo sprejeti v pisni obliki in z večino glasov.
78      Tretjič, poudariti je treba, da so bile pomanjkljivosti, ki jih je Sodišče ugotovilo v sodbi Schrems II, odpravljene, kar zadeva neobstoj jamstev v zvezi z razrešitvijo varuha človekovih pravic na področju zasebnostnega ščita s strani izvršilne oblasti in nezavezujočo naravo njegovih odločitev. Iz spisa je razvidno, da E. O. 14086 omejuje primere, v katerih lahko pravosodni minister razreši sodnike DPRC, in določa, da so njegove odločitve zavezujoče.
79      V tem okviru je treba drugi očitek iz tretjega tožbenega razloga zavrniti.
80      Te ugotovitve ni mogoče izpodbijati z dejstvom, da je iz spisa razvidno, da DPRC, čeprav je pooblaščeno za odločanje o pravnih vprašanjih tako kot druga sodišča v pravnem sistemu Združenih držav, ni sodni organ, ustanovljen na podlagi člena III ustave Združenih držav.
81      V sodbi Schrems II je Sodišče namreč odločilo, da lahko učinkovito sodno varstvo zagotavlja ne samo sodišče, ki spada pod sodstvo, temveč tudi kateri koli drug „organ“, ki osebam, katerih podatki se prenesejo v Združene države, zagotavlja jamstva, ki so v bistvu enakovredna tistim, ki se zahtevajo s členom 47 Listine o temeljnih pravicah (Schrems II, točka 197).
82      Ob upoštevanju vseh zgoraj navedenih ugotovitev je treba tretji tožbeni razlog v celoti zavrniti.
3.      Drugi tožbeni razlog: kršitev členov 7 in 8 Listine o temeljnih pravicah
83      Z drugim tožbenim razlogom tožeča stranka trdi, da je Komisija kršila člena 7 in 8 Listine o temeljnih pravicah, ker je v izpodbijanem sklepu ugotovila, da Združene države Amerike zagotavljajo ustrezno raven varstva glede množičnega zbiranja osebnih podatkov s strani obveščevalnih agencij te države.
a)      Predmet drugega tožbenega razloga
84      Pripomniti je treba, da se tožeča stranka na straneh 2 in 23 tožbe ter na strani 4 replike, ko navaja besedilo drugega tožbenega razloga, sklicuje na kršitev členov 7 in 8 Listine o temeljnih pravicah s strani Komisije, ne le v zvezi z množičnim zbiranjem, temveč tudi z obsežnim zbiranjem osebnih podatkov. Vendar se tožeča stranka v razmišljanjih po navedbi tega tožbenega razloga v utemeljitvi osredotoča zgolj na množično zbiranje teh podatkov.
85      Iz opombe 250 na strani 46 izpodbijanega sklepa, iz uvodne izjave 141 tega sklepa, ki se ni izpodbijala, in iz odgovorov strank na vprašanja, postavljena v ukrepu procesnega vodstva in na obravnavi, je razvidno, da:
–        je v Združenih državah Amerike zbiranje obveščevalnih podatkov v okviru SIGINT za namene nacionalne varnosti, tudi v zvezi s podatki, prenesenimi iz Unije, lahko samo v obliki „ciljno usmerjenega zbiranja“; ta izraz v pravu Združenih držav ni opredeljen, vendar se na splošno uporablja za opis zbiranja obveščevalnih podatkov, usmerjenega na določeno osebo, komunikacijski račun ali drug določen cilj, ki ga izvajajo obveščevalne agencije v skladu s Foreign Intelligence Surveillance Act (zakon o nadzoru tujih obveščevalnih podatkov, v nadaljevanju: FISA) in E. O. 14086;
–        se zunaj Združenih držav, tudi kadar se osebni podatki prenašajo iz Unije v organizacije OVP, zbiranje obveščevalnih podatkov v okviru SIGINT za namene nacionalne varnosti prednostno izvaja s ciljno usmerjenim zbiranjem; vendar kadar je to potrebno za izboljšanje potrjene prednostne naloge obveščevalnih služb v smislu člena 2(b)(iii) E. O. 14086, ki je ni mogoče razumno doseči s ciljno usmerjenim zbiranjem, lahko obveščevalne agencije izvajajo „množično zbiranje“ osebnih podatkov; množično zbiranje je v pravu Združenih držav opredeljeno v členu 4(b) E. O. 14086 kot dovoljeno zbiranje velikih količin obveščevalnih podatkov v okviru SIGINT, ki se iz tehničnih ali operativnih razlogov pridobivajo brez uporabe diskriminant, kot so identifikatorji ali izbirni izrazi; množično zbiranje ureja E. O. 14086 in Executive Order 12333, United States Intelligence Activities (predsedniška odredba št. 12333, Obveščevalne dejavnosti Združenih držav), kakor je bila spremenjena z Executive Orders 13284 (2003), 13355 (2004) in 13470 (2008) (predsedniške odredbe št. 13284/2003, 13355/2004 in 13470/2008), za katerega veljajo številni zaščitni ukrepi in omejitve;
–        „obsežno zbiranje“ osebnih podatkov, ki ga Komisija v opombi 250 izpodbijanega sklepa navaja kot splošno in neselektivno zbiranje brez omejitev ali zaščitnih ukrepov, v Združenih državah ni dovoljeno in se ne sme izvajati niti na njihovem ozemlju niti zunaj njega.
86      Iz navedenega izhaja, da je predmet tega tožbenega razloga, ker v Združenih državah Amerike obsežno zbiranje podatkov ni dovoljeno in ker se množično zbiranje podatkov lahko izvaja le zunaj Združenih držav, v obravnavanem primeru omejen na presojo, ali je Komisija kršila člena 7 in 8 Listine o temeljnih pravicah, kar zadeva množično zbiranje osebnih podatkov, ki se prenašajo iz Unije v organizacije OVP, s strani obveščevalnih agencij Združenih držav, pri čemer je izključeno vsakršno zbiranje osebnih podatkov, ki ga na ozemlju Unije po potrebi izvajajo obveščevalne agencije Združenih držav ali držav članic.
b)      Prvi očitek iz drugega tožbenega razloga, da za obveščevalne dejavnosti, ki se izvajajo na podlagi člena 702 FISA, ne veljajo zaščitni ukrepi, predvideni v E. O. 14086
87      S prvim očitkom iz drugega tožbenega razloga tožeča stranka trdi, da je Komisija kršila člena 7 in 8 Listine o temeljnih pravicah, ker je v izpodbijanem sklepu v bistvu menila, da Združene države Amerike zagotavljajo raven varstva, ki je v bistvu enakovredna ravni varstva, ki jo zagotavlja pravo Unije na podlagi SUVP v povezavi s to listino, kljub temu da člen 702 FISA obveščevalnim agencijam Združenih držav omogoča množično zbiranje osebnih podatkov državljanov drugih držav.
88      Komisija, ki jo podpirata Irska in Združene države Amerike, izpodbija utemeljitev tožeče stranke.
89      Poudariti je treba, da člen 702 FISA ne dovoljuje množičnega zbiranja, temveč le ciljno usmerjeno zbiranje osebnih podatkov.
90      Iz tega sledi, da člen 702 FISA, ker se ne nanaša na množično zbiranje osebnih podatkov, v tem primeru ni upošteven.
91      Zato je treba prvi očitek iz drugega tožbenega razloga zavrniti.
c)      Drugi očitek iz drugega tožbenega razloga, v skladu s katerim E. O. 14086 za množično zbiranje osebnih podatkov ne zahteva predhodnega dovoljenja sodnega ali upravnega organa
92      Z drugim očitkom iz drugega tožbenega razloga tožeča stranka trdi, da je Komisija kršila člena 7 in 8 Listine o temeljnih pravicah, ker je v izpodbijanem sklepu menila, da Združene države Amerike zagotavljajo raven varstva, ki je v bistvu enakovredna ravni varstva, ki jo zagotavlja pravo Unije na podlagi SUVP v povezavi s to listino, kljub temu da E. O. 14086 ne določa obveznosti obveščevalnih agencij Združenih držav, da pred  množičnim zbiranjem osebnih podatkov pridobijo predhodno dovoljenje sodnega ali upravnega organa.
93      Komisija, ki jo podpirata Irska in Združene države Amerike, izpodbija utemeljitev tožeče stranke.
94      V obravnavanem primeru je iz spisa razvidno, ne da bi stranke to izpodbijale, da pravo Združenih držav ne določa obveznosti obveščevalnih agencij, da pridobijo predhodno dovoljenje sodnega ali upravnega organa, preden začnejo množično zbirati osebne podatke, ki se prenašajo iz Unije v organizacije OVP.
95      Ugotoviti je treba, ali lahko ta neobstoj predhodnega dovoljenja vpliva na zakonitost izpodbijanega sklepa, ker bi lahko bila zaradi tega postavljena pod vprašaj ugotovitev iz člena 1 tega sklepa, da Združene države Amerike zagotavljajo ustrezno raven varstva osebnih podatkov.
96      Najprej, spomniti je treba, da je treba, kot je Sodišče odločilo v sodbi Schrems II, za presojo zakonitosti sklepa o ustreznosti ugotoviti, ali pravo tretje države zagotavlja raven varstva temeljnih pravic in svoboščin, ki je v bistvu enakovredna tisti, ki je zagotovljena v Uniji na podlagi SUVP ob upoštevanju Listine o temeljnih pravicah (glej točko 19 zgoraj).
97      Glede na to je treba preučiti štiri argumente, ki jih je tožeča stranka navedla v podporo temu očitku.
1)      Prvi argument, ki temelji na sodbi Schrems II
98      Tožeča stranka s svojim prvim argumentom v bistvu trdi, da tako kot v primeru sklepa o ustreznosti v zvezi z zasebnostnim ščitom, ki ga je Sodišče v sodbi Schrems II razglasilo za ničnega med drugim zato, ker ni bilo sodnega nadzora, tudi v obravnavanem primeru množično zbiranje osebnih podatkov, ki ga izvajajo obveščevalne agencije Združenih držav, ni predmet sodnega nadzora in ni urejeno z dovolj jasnimi in natančnimi pravili.
99      Komisija, ki jo podpirata Irska in Združene države Amerike, izpodbija argument tožeče stranke.
100    Pripomniti je treba, da je Sodišče v sodbi Schrems II odločilo, da člena 7 in 8 Listine o temeljnih pravicah prispevata k zahtevani ravni varstva v Uniji, njuno spoštovanje pa mora Komisija ugotoviti, preden sprejme sklep o ustreznosti na podlagi člena 45(1) SUVP. Po mnenju Sodišča namreč vsaka obdelava osebnih podatkov fizične osebe, vključno z njihovim prenosom v tretjo državo v okviru sklepa o ustreznosti, vpliva tako na temeljno pravico te osebe do spoštovanja zasebnega življenja, ki jo zagotavlja člen 7 navedene listine, kot tudi na njeno pravico do varstva osebnih podatkov iz člena 8 te listine (sodba Schrems II, točke od 169 do 171).
101    Vendar je Sodišče pojasnilo, da pravice iz členov 7 in 8 Listine o temeljnih pravicah niso absolutne pravice, temveč jih je treba upoštevati glede na vlogo, ki jo imajo v družbi (sodba Schrems II, točka 172).
102    Tako člen 52(1) Listine o temeljnih pravicah določa, da mora biti kakršno koli omejevanje uresničevanja pravic in svoboščin, ki jih priznavata člena 7 in 8 navedene listine, predpisano z zakonom in mora spoštovati bistveno vsebino teh pravic in svoboščin. Poleg tega so ob upoštevanju načela sorazmernosti omejitve teh pravic in svoboščin dovoljene samo, če so potrebne in če dejansko ustrezajo ciljem splošnega interesa, ki jih priznava Unija, ali če so potrebne zaradi zaščite pravic in svoboščin drugih oseb (sodba Schrems II, točka 174).
103    V tem okviru je Sodišče razsodilo, da možnost, ki jo je predsedniška odredba št. 12333, kakor je bila spremenjena, dala obveščevalnim agencijam Združenih držav, da dostopajo do osebnih podatkov v tranzitu iz Unije, ne da bi bil ta dostop predmet kakršnega koli sodnega nadzora, ni zagotavljala dovolj jasne in natančne omejitve množičnega zbiranja osebnih podatkov, ki so ga izvajale te obveščevalne agencije. Tako je menilo, da navedena predsedniška odredba ni ustrezala minimalnim zahtevam, ki jih pravo Unije povezuje z načelom sorazmernosti, in da programi nadzora, izvedeni na podlagi te odredbe, niso bili omejeni na to, kar je nujno (sodba Schrems II, točki 183 in 184).
104    Pojasniti je treba razlago izraza „kakršen koli sodni nadzor“ iz točke 183 sodbe Schrems II.
105    V zvezi s tem je treba poudariti, da nič v sodbi Schrems II, zlasti v točki 183 te sodbe in v izrazu „kakršen koli sodni nadzor“, ne kaže na to, da bi bilo za množično zbiranje osebnih podatkov nujno potrebno predhodno dovoljenje neodvisnega organa. Nasprotno, iz skupnega branja tega izraza in točk od 186 do 197 te sodbe je razvidno, da mora biti odločba, s katero se dovoli tako zbiranje, podvržena vsaj naknadnemu sodnemu nadzoru.
106    Kot je navedeno v točkah od 24 do 82 zgoraj, v obravnavanem primeru E. O. 14086 in uredba pravosodnega ministra določata, da so obveščevalne dejavnosti v okviru SIGINT, ki jih izvajajo obveščevalne agencije Združenih držav, vključno kadar te agencije množično zbirajo osebne podatke, podvržene naknadnemu sodnemu nadzoru DPRC, katerega odločbe so dokončne in zavezujoče ter zavezujejo tako vlado Združenih držav kot te agencije. Zato v nasprotju s trditvami tožeče stranke ni mogoče šteti, da množično zbiranje osebnih podatkov, ki so ga na podlagi izpodbijanega sklepa izvajale obveščevalne agencije, ne izpolnjuje zahtev, ki v zvezi s tem izhajajo iz sodbe Schrems II.
107    Poleg tega je treba, na prvem mestu, spomniti, da je, kot izhaja iz uvodne izjave 141 izpodbijanega sklepa, ne da bi tožeča stranka to izpodbijala, v E. O. 14086 določeno, da morajo obveščevalne agencije dati prednost ciljno usmerjenemu zbiranju osebnih podatkov. Tako je množično zbiranje dovoljeno le za izboljšanje potrjenih prednostnih nalog obveščevalnih služb, če informacij ni mogoče razumno pridobiti s ciljno usmerjenim zbiranjem. V zvezi s tem je treba pripomniti, da iz uvodne izjave 135 navedenega sklepa izhaja, da so potrjene prednostne naloge obveščevalnih služb določene v posebnem postopku, namenjenem zagotovitvi skladnosti z veljavnimi pravnimi zahtevami, vključno s tistimi, ki so povezane z varstvom zasebnosti in državljanskih svoboščin. Natančneje, prednostne naloge obveščevalnih agencij določi direktor nacionalne obveščevalne službe, odobri pa jih predsednik Združenih držav. Preden direktor predlaga predsedniku Združenih držav prednostne naloge obveščevalnih agencij, mora od CLPO pridobiti oceno za vsako prednostno nalogo. V okviru te ocene mora CLPO ugotoviti, ali zadevna prednostna naloga izboljšuje enega ali več zakonitih ciljev, navedenih v E. O. 14086, ali ni bila zasnovana za zbiranje obveščevalnih podatkov v okviru SIGINT za prepovedan cilj in ali je bila določena po ustreznem upoštevanju varstva zasebnosti in državljanskih svoboščin vseh posameznikov, na katere se nanašajo osebni podatki, ne glede na njihovo državljanstvo ali prebivališče.
108    Na drugem mestu, navesti je treba, da, kot je poudarjeno v uvodnih izjavah od 127 do 131, 134 in 135 izpodbijanega sklepa, ne da bi tožeča stranka to izpodbijala, E. O. 14086 določa temeljne zahteve, ki se uporabljajo za vse obveščevalne dejavnosti v okviru SIGINT, tudi kadar se izvajajo z množičnim zbiranjem osebnih podatkov.
109    Prvič, obveščevalne dejavnosti v okviru SIGINT morajo temeljiti na zakonu ali predsedniškem pooblastilu in biti izvedene v skladu s pravom Združenih držav, vključno z ustavo.
110    Drugič, obveščevalne dejavnosti v okviru SIGINT se lahko izvajajo le po ugotovitvi, da so na podlagi razumne presoje vseh ustreznih dejavnikov potrebne za uresničevanje potrjene prednostne naloge obveščevalnih agencij.
111    Tretjič, obveščevalne dejavnosti v okviru SIGINT je treba izvajati sorazmerno glede na potrjeno prednostno nalogo obveščevalnih agencij, za katero so bile odobrene, da se doseže ustrezno ravnovesje med pomembnostjo uresničevane prednostne naloge obveščevalnih služb ter vplivom na varstvo zasebnosti in državljanskih svoboščin zadevnih posameznikov ne glede na njihovo državljanstvo ali prebivališče.
112    Četrtič, E. O. 14086 našteva splošne cilje, ki se ne smejo uresničevati z obveščevalnimi dejavnostmi v okviru SIGINT. Gre med drugim za cilje, kot so preprečevati kritike, nestrinjanje ali svobodo izražanja zamisli ali političnih mnenj s strani posameznikov ali medijev; prikrajšati ljudi na podlagi njihove narodnosti, rase, spola, spolne identitete, spolne usmerjenosti ali vere ali zagotavljati konkurenčne prednosti podjetjem iz Združenih držav.
113    Na tretjem mestu, iz uvodne izjave 141 izpodbijanega sklepa, ne da bi tožeča stranka to izpodbijala, izhaja, da E. O. 14086 določa posebne zaščitne ukrepe, ki se uporabljajo za množično zbiranje osebnih podatkov.
114    Prvič, E. O. 14086 določa, da je treba uporabiti metode in tehnične ukrepe, da bi se zbrani podatki omejili le na tisto, kar je potrebno za izvrševanje potrjenih prednostnih nalog obveščevalnih služb, hkrati pa zmanjšalo zbiranje neupoštevnih informacij.
115    Drugič, v E. O. 14086 je določeno, da se lahko množično zbiranje osebnih podatkov izvaja le za izpolnjevanje šestih konkretnih ciljev (v nadaljevanju: specifični cilji množičnega zbiranja), in sicer za zaščito pred terorizmom, vohunjenjem, orožjem za množično uničevanje, kibernetskimi grožnjami, grožnjami osebju Združenih držav ali njihovih zaveznic in mednarodnim kriminalom. Določa možnost, da predsednik Združenih držav posodobi navedene specifične cilje, če se pojavijo nove nacionalne varnostne zahteve, kot so nove ali povečane grožnje za nacionalno varnost, za katere bi se po mnenju predsednika lahko uporabilo množično zbiranje osebnih podatkov. Take posodobitve mora načeloma objaviti direktor nacionalne obveščevalne službe, razen če predsednik Združenih držav odloči, da bi že to pomenilo tveganje za nacionalno varnost te države.
116    Nazadnje, E. O. 14086 določa, da lahko vsako poizvedovanje po množično pridobljenih obveščevalnih podatkih v okviru SIGINT poteka le, če je potrebno za izvrševanje prednostnih nalog obveščevalnih služb, v skladu s specifičnimi cilji množičnega zbiranja ter s politikami in postopki, pri katerih se ustrezno upošteva vpliv poizvedb na varstvo zasebnosti in državljanskih svoboščin posameznikov, na katere se nanašajo osebni podatki, ne glede na njihovo državljanstvo ali prebivališče.
117    V teh okoliščinah ni mogoče utemeljeno trditi, da izvajanje množičnega zbiranja ni urejeno dovolj jasno in natančno.
118    Glede na vse te premisleke je treba ta argument zavrniti.
2)      Drugi argument, ki temelji na sodbi z dne 6. oktobra 2020, La Quadrature du Net in drugi (C‑511/18, C‑512/18 in C‑520/18)
119    Z drugim argumentom tožeča stranka, ki se izrecno sklicuje na točko 189 sodbe z dne 6. oktobra 2020, La Quadrature du Net in drugi (C‑511/18, C‑512/18 in C‑520/18, EU:C:2020:791), trdi, da je Sodišče določilo obveznost obveščevalnih agencij, da pred zbiranjem podatkov o povezavi od operaterjev, ki jih imajo, pridobijo predhodno dovoljenje sodnega ali upravnega organa. Po njenem mnenju množično zbiranje osebnih podatkov v tranzitu iz Unije s strani obveščevalnih agencij Združenih držav v obravnavanem primeru ni predmet takega predhodnega dovoljenja.
120    Komisija, ki jo podpirata Irska in Združene države Amerike, izpodbija argument tožeče stranke.
121    Poudariti je treba, da je Sodišče v sodbi z dne 6. oktobra 2020, La Quadrature du Net in drugi (C‑511/18, C‑512/18 in C‑520/18, EU:C:2020:791), med drugim menilo, da je treba člen 15(1) Direktive 2002/58/ES Evropskega parlamenta in Sveta z dne 12. julija 2002 o obdelavi osebnih podatkov in varstvu zasebnosti na področju elektronskih komunikacij (Direktiva o zasebnosti in elektronskih komunikacijah) (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 29, str. 514), kakor je bila spremenjena z Direktivo 2009/136/ES Evropskega parlamenta in Sveta z dne 25. novembra 2009 (UL 2009, L 337, str. 11), v povezavi s členi 7, 8 in 11 ter členom 52(1) Listine o temeljnih pravicah razlagati tako, da ne nasprotuje zakonski ureditvi, s katero je ponudnikom elektronskih komunikacijskih storitev naloženo, da zbirajo podatke o prometu in lokaciji v realnem času, kadar je to zbiranje omejeno na osebe, v zvezi s katerimi obstaja utemeljen razlog za sum, da so vpletene v teroristične dejavnosti, in je predmet predhodnega nadzora sodišča ali neodvisnega upravnega organa (točka 192 navedene sodbe).
122    Iz tega izhaja, da se primer, ki je bil obravnavan v zadevi, v kateri je bila izdana sodba z dne 6. oktobra 2020, La Quadrature du Net in drugi (C‑511/18, C‑512/18 in C‑520/18, EU:C:2020:791), razlikuje od primera, ki se obravnava v tej zadevi. V tem primeru ne gre za presojo, ali je treba zbiranje podatkov o prometu in lokaciji uporabnikov, za katere se sumi, da so tako ali drugače vpleteni v teroristične dejavnosti, s strani ponudnikov elektronskih komunikacijskih storitev podvreči predhodnemu nadzoru sodnega ali upravnega organa, temveč je treba presoditi, ali dejstvo, da pravo Združenih držav obveščevalnim agencijam ne nalaga obveznosti pridobitve predhodnega dovoljenja sodnega ali upravnega organa pred množičnim zbiranjem osebnih podatkov v tranzitu  v to državo, postavlja pod vprašaj utemeljenost ugotovitve o ustreznosti, do katere je Komisija prišla v izpodbijanem sklepu.
123    V teh okoliščinah je treba ugotoviti, da sklicevanje na sodbo z dne 6. oktobra 2020, La Quadrature du Net in drugi (C‑511/18, C‑512/18 in C‑520/18, EU:C:2020:791), ni upoštevno za obravnavano zadevo.
124    Te ugotovitve ni mogoče ovreči ob upoštevanju sodbe z dne 30. aprila 2024, La Quadrature du Net in drugi (Osebni podatki in boj proti ponarejanju) (C‑470/21, EU:C:2024:370), pri čemer sta bili stranki z ukrepom procesnega vodstva v tej zadevi pozvani, da se o njej izrečeta.
125    V zadevi, v kateri je bila izdana sodba z dne 30. aprila 2024, La Quadrature du Net in drugi (Osebni podatki in boj proti ponarejanju) (C‑470/21, EU:C:2024:370), je šlo za vprašanje zakonitosti dostopa nacionalnega javnega organa, pristojnega za varstvo avtorske in sorodnih pravic pred kršitvami teh pravic na internetu, do podatkov, ki jih hranijo ponudniki elektronskih komunikacijskih storitev in ki se nanašajo na istovetnost, ki ustreza IP-naslovom, za namene boja proti ponarejanju. Natančneje, ta dostop je bil utemeljen z namenom identifikacije imetnika IP-naslova, ki je bil uporabljen za dejavnost, s katero so se kršile avtorska ali sorodne pravice, ker je na spletu nezakonito dal na voljo varovana dela, da je drugim osebam omogočil prenos teh del. V teh okoliščinah je Sodišče razsodilo, da:
–        predhodni nadzor sodišča ali neodvisnega upravnega organa ni treba uvesti, če je imel pristojni nacionalni organ dostop do podatkov o istovetnosti osebe, ki ustreza IP-naslovu, zgolj za namen identifikacije zadevnega uporabnika in ne da bi bilo te podatke mogoče povezati z informacijami o opravljenih komunikacijah, saj posega, ki vključujejo tak dostop, ni bilo mogoče opredeliti kot resnega (točki 133 in 134 te sodbe);
–        je bilo treba predhodni nadzor sodišča ali neodvisnega upravnega organa vzpostaviti, preden je pristojni nacionalni organ povezal podatke o istovetnosti osebe, ki ustrezajo IP-naslovu, z datoteko, ki se nanaša na delo, ki je bilo nezakonito dano na voljo na spletu, da bi drugim osebam omogočil njegov prenos, in zadevni osebi poslal dopis, v katerem je navedel, da je storila nezakonito dejanje (glej v tem smislu točko 141 te sodbe).
126    Iz tega izhaja, da se zadeva, v kateri je bila izdana sodba z dne 30. aprila 2024, La Quadrature du Net in drugi (Osebni podatki in boj proti ponarejanju) (C‑470/21, EU:C:2024:370), nanaša na to, da nacionalni organi dostopajo do IP-naslova z namenom boja proti ponarejanju in da se tak cilj razlikuje od množičnega zbiranja osebnih podatkov v tranzitu iz Unije s strani obveščevalnih agencij. Zato z vidika navedene sodbe ni mogoče šteti, da bi bilo za množično zbiranje osebnih podatkov v tranzitu iz Unije s strani obveščevalnih agencij Združenih držav potrebno predhodno dovoljenje.
127    Ta argument je tako treba zavrniti.
3)      Tretji argument, ki temelji na sodbi Evropskega sodišča za človekove pravice z dne 25. maja 2021, Big Brother Watch in drugi proti Združenemu kraljestvu (CE:ECHR:2021:0525JUD005817013)
128    S tretjim argumentom tožeča stranka v bistvu trdi, da je ESČP v sodbi z dne 25. maja 2021, Big Brother Watch in drugi proti Združenemu kraljestvu (CE:ECHR:2021:0525JUD005817013, v nadaljevanju: sodba Big Brother Watch) odločilo, da je treba za prestrezanje osebnih podatkov v velikem obsegu pridobiti predhodno dovoljenje neodvisnega organa od trenutka, ko so opredeljeni cilji in obseg operacije nadzora. Po njenem mnenju množično zbiranje osebnih podatkov v tranzitu iz Unije s strani obveščevalnih agencij Združenih držav v obravnavani zadevi ni predmet takega predhodnega dovoljenja.
129    Komisija, ki jo podpirata Irska in Združene države Amerike, izpodbija argument tožeče stranke.
130    Poudariti je treba, da se je zadeva, v kateri je bila izdana sodba Big Brother Watch, nanašala zlasti na vprašanje, ali je britanska ureditev tajnega nadzora, s katero je bilo obveščevalnim agencijam podeljeno pooblastilo za obsežno prestrezanje elektronskih komunikacij in povezanih podatkov o komunikacijah, torej podatkov o prometu, ki so se nanašali na prestrežene komunikacije, ki so načeloma potekale zunaj Britanskega otočja, združljiva s členom 8 EKČP.
131    Poleg tega, kot izhaja iz sodne prakse, navedene v točki 29 zgoraj, je treba, ker člen 8 EKČP, tako kot člen 7 Listine o temeljnih pravicah, zagotavlja pravico do spoštovanja zasebnega in družinskega življenja, pri razlagi področja uporabe člena 7 te listine upoštevati sodno prakso ESČP v zvezi s členom 8 EKČP. Iz tega sledi, da bi bilo treba, če Splošno sodišče razsodi, da je sodba Big Brother Watch upoštevna za obravnavano zadevo, pri razlagi področja uporabe člena 7 te listine upoštevati premisleke, ki jih je ESČP navedlo v tej sodbi v zvezi z obsegom uporabe člena 8 EKČP.
132    V zvezi s tem je treba spomniti, da je ESČP v sodbi Big Brother Watch odločalo o zakonitosti prestrezanja elektronskih komunikacij in povezanih podatkov o komunikacijah, ki so načeloma potekale zunaj Britanskega otočja, v velikem obsegu s strani britanskih obveščevalnih služb.
133    Vendar, kot so stranke v obravnavani zadevi navedle v svojem odgovoru na ukrep procesnega vodstva in na obravnavi, so navedbe ESČP v sodbi Big Brother Watch v tej zadevi upoštevne, kolikor je mogoče šteti, da prestrezanje osebnih podatkov v velikem obsegu, ki je bilo obravnavano v zadevi, v kateri je bila izdana omenjena sodba, vključuje množično zbiranje, ki je predmet izpodbijanega sklepa.
134    Prvič, poudariti je treba, da medtem ko francoska različica sodbe Big Brother Watch uporablja izraz „interception en masse (prestrezanje v velikem obsegu)“ podatkov, angleška različica uporablja izraz „bulk interception“, ki natančneje ustreza francoskemu pojmu „interception en vrac (množično prestrezanje)“.
135    Drugič, ESČP je v sodbi Big Brother Watch v nasprotju s ciljno usmerjenim prestrezanjem zadevno prestrezanje obveščevalnih podatkov opredelilo kot prestrezanje podatkov, ki ni bilo usmerjeno na določene osebe ter je zato lahko vplivalo na številne osebe in na povezane podatke o komunikacijah ter je zato bilo zelo obsežno, saj je omogočalo zlasti zbiranje informacij v okviru tujih obveščevalnih podatkov in odkrivanje novih groženj znanih ali neznanih akterjev. Poleg tega je navedeno sodišče menilo, da so pristojni organi zaradi namena, povezanega z zaščito nacionalne varnosti, prestrezanje v velikem obsegu na splošno izvajali v tajnosti, kar je pomenilo, da so objavili le malo informacij o delovanju sistema ali pa celo nobene (glej v tem smislu sodbo Big Brother Watch, točka 322).
136    Tretjič, ESČP je v sodbi Big Brother Watch razsodilo, da čeprav vsi sistemi prestrezanja v velikem obsegu ne temeljijo na istem modelu in se načini njihovega izvajanja lahko spreminjajo, ne da bi se vedno upošteval strog kronološki vrstni red, je bilo prestrezanje v velikem obsegu postopen proces, ki je v bistvu potekal v naslednjih štirih fazah (v nadaljevanju: faze prestrezanja):
(a)      prestrezanje v velikem obsegu in začetna hramba elektronskih komunikacij, ki pripadajo številnim osebam, in z njimi povezanih podatkov o komunikacijah;
(b)      uporaba posebnih izbirnikov za zadržane komunikacije in povezane podatke o komunikacijah, da se ugotovi, katere komunikacije bi lahko bile zanimive za obveščevalne službe;
(c)      pregled izbranih komunikacij in povezanih podatkov o komunikacijah s strani analitikov;
(d)      naknadna hramba podatkov in njihova uporaba za vključitev v obveščevalno poročilo, njihovo posredovanje drugim domačim obveščevalnim službam ali posredovanje tujim obveščevalnim službam (glej v tem smislu sodbo Big Brother Watch, točke od 325 do 329).
137    Iz tega izhaja, da je množično zbiranje osebnih podatkov, kakršno je predmet izpodbijanega sklepa, zajeto s prvo od faz prestrezanja, ki jih je ESČP opredelilo v sodbi Big Brother Watch, če gre za zbiranje osebnih podatkov številnih oseb v tranzitu iz Unije zaradi zaščite nacionalne varnosti.
138    V tem okviru je treba posledice sodbe Big Brother Watch uporabiti v okviru presoje zakonitosti sklepa o ustreznosti, sprejetega na podlagi člena 45(3) SUVP, kot je izpodbijani sklep.
139    V zvezi s tem je treba, na prvem mestu, pripomniti, da je ESČP v sodbi Big Brother Watch pojasnilo, da člen 8 EKČP ne prepoveduje uporabe prestrezanja v velikem obsegu za zaščito nacionalne varnosti ali drugih bistvenih nacionalnih interesov pred resnimi zunanjimi grožnjami in da imajo države široko polje proste presoje pri določanju vrste sistema prestrezanja, ki ga potrebujejo (sodba Big Brother Watch, točka 347).
140    Na drugem mestu, ESČP je navedlo, da morajo za prestrezanje osebnih podatkov v velikem obsegu veljati številni zaščitni ukrepi med koncema, ki so skupaj temelj vsakega sistema prestrezanja v velikem obsegu, in sicer:
–        pridobitev dovoljenja neodvisnega organa takoj, ko sta opredeljena predmet in obseg zadevne operacije nadzora (sodba Big Brother Watch, točka 350);
–        vzpostavitev sistema spremljanja in naknadnega neodvisnega sodnega nadzora (glej v tem smislu sodbo Big Brother Watch, točki 336 in 347);
–        določitev pravnih pravil, na podlagi katerih je mogoče v vsaki fazi prestrezanja zagotoviti nujnost in sorazmernost sprejetih ukrepov (glej v tem smislu sodbo Big Brother Watch, točka 350); v zvezi s tem je navedeno sodišče spomnilo, da je poseg v pravice, zagotovljene s členom 8 EKČP, lahko upravičen na podlagi odstavka 2 tega člena le, če je predpisan z zakonom, se z njim uresničuje eden ali več legitimnih ciljev iz tega odstavka in je v demokratični družbi nujen za dosego teh ciljev; na področju tajnega nadzora pa predvidljivost sprejetih ukrepov pomeni, da je nacionalno pravo dovolj jasno, da lahko vsakdo ustrezno razbere okoliščine in pogoje, pod katerimi javna oblast lahko uporabi take ukrepe (sodba Big Brother Watch, točki 332 in 333).
141    Na tretjem mestu, ESČP je menilo, da čeprav se člen 8 EKČP uporablja za vsako fazo prestrezanja, potreba po določitvi zaščitnih ukrepov postaja sorazmerno večja s tem, ko postopek prehaja skozi različne faze, in posledično z vse večjo intenzivnostjo posega v pravico do spoštovanja zasebnega življenja. Tako je po njegovem mnenju prav na koncu postopka, ko se analizirajo informacije, ki se nanašajo na določeno osebo, ali ko analitik preuči vsebino komunikacij, obstoj zaščitnih ukrepov potreben bolj kot kdaj koli (glej v tem smislu sodbo Big Brother Watch, točki 330 in 331).
142    Na četrtem mestu, ESČP je menilo, da ker v praksi v predhodno dovoljenje ni bilo mogoče vključiti vseh izbirnikov, ki jih obveščevalne agencije uporabljajo za filtriranje zbranih komunikacij, je bilo treba področje uporabe tega dovoljenja omejiti tako, da je vključevalo vsaj vrste ali kategorije izbirnikov, ki jih je treba uporabiti (sodba Big Brother Watch, točka 354).
143    V obravnavani zadevi je treba po eni strani spomniti, da, kot je Sodišče odločilo v sodbah Schrems I in Schrems II, se Komisiji v okviru sklepa o ustreznosti ni treba prepričati, da so upoštevne določbe tretje države enake tistim, ki veljajo v Uniji, temveč da so v bistvu enakovredne (glej točki 19 in 20 zgoraj).
144    Po drugi strani pa je treba ugotoviti, da ker je mogoče množično zbiranje osebnih podatkov, ki ga izvajajo obveščevalne agencije Združenih držav in ki se izpodbija v tem sporu, primerjati s prestrezanjem podatkov, ki se izvaja v okviru prve od faz prestrezanja, ki jih je ESČP opredelilo v sodbi Big Brother Watch, je potreba po določitvi zaščitnih ukrepov, ki omejujejo diskrecijsko pravico obveščevalnih agencij, za to konkretno fazo množičnega zbiranja podatkov bolj omejena glede na kontekst, v katerem se izvaja prestrezanje. V obravnavani zadevi gre namreč le za začetno množično prestrezanje osebnih podatkov s strani obveščevalnih agencij, pri čemer so izključene nadaljnje dejavnosti, ki niso predmet te tožbe in ki bi po potrebi lahko obsegale uporabo posebnih izbirnikov, pregled zbranih podatkov in njihovo poznejšo uporabo ali posredovanje.
145    Iz tega izhaja, da predpisati predhodno dovoljenje ni edini zaščitni ukrep, ki mora spremljati prestrezanje osebnih podatkov v velikem obsegu, temveč je eden od elementov, ki skupaj tvorijo temelj vsakega sistema prestrezanja v velikem obsegu. V zvezi s tem je treba spomniti, da veljavno pravo Združenih držav določa pravna pravila, ki dovolj jasno in natančno urejajo izvajanje množičnega zbiranja osebnih podatkov s strani obveščevalnih služb Združenih držav (glej točke od 107 do 116 zgoraj), in posameznikom, ki jih zadeva prenos njihovih podatkov, podeljuje pravico do učinkovitega pravnega sredstva pred DPRC (glej točke od 33 do 63 zgoraj). Poleg tega je v uvodnih izjavah od 162 do 169 izpodbijanega sklepa navedeno, ne da bi tožeča stranka to izpodbijala, da obveščevalne dejavnosti, ki jih izvajajo obveščevalne agencije, nadzoruje PCLOB, ki je bil, kot izhaja iz točke 54 zgoraj, v svojem statutu o ustanovitvi oblikovan kot neodvisna agencija. Prav tako so navedene dejavnosti pod nadzorom, na prvem mestu, višjih uradnikov za pravne zadeve, ki so v vsaki obveščevalni agenciji odgovorni za nadzor in spoštovanje navedenega prava, na drugem mestu, neodvisnega generalnega inšpektorja, ki je za vsako obveščevalno agencijo pristojen za nadzor tujih obveščevalnih dejavnosti, ki jih izvaja zadevna agencija, in na tretjem mestu, Intelligence Oversight Board (odbor za nadzor obveščevalnih podatkov, Združene države), ustanovljen v okviru President’s Intelligence Advisory Board (predsednikov obveščevalni svetovalni odbor, Združene države), ki je odgovoren za nadzor nad spoštovanjem zakona s strani organov Združenih držav, ter na četrtem mestu, posebni odbori kongresa Združenih držav, ki opravljajo nadzorne funkcije v zvezi z vsemi tujimi obveščevalnimi dejavnostmi te države.
146    Glede na te premisleke ni mogoče sklepati, da dejstvo, da ni predpisano predhodno dovoljenje, ki bi se uporabljalo za začetno množično zbiranje osebnih podatkov v tranzitu iz Unije s strani obveščevalnih agencij Združenih držav, zadostuje za ugotovitev, da pravo Združenih držav glede na ugotovitve iz sodbe Big Brother Watch ne zagotavlja zaščitnih ukrepov, ki bi bili v bistvu enakovredni zaščitnim ukrepom, določenim v pravu Unije.
147    Ta argument je zato treba zavrniti.
4)      Četrti argument, ki temelji na mnenju 5/2023 Evropskega nadzornika za varstvo podatkov
148    S četrtim argumentom tožeča stranka navaja, da je Evropski odbor za varstvo podatkov (v nadaljevanju: EOVP) v svojem mnenju 5/2023 z dne 28. februarja 2023 o osnutku izvedbenega sklepa Evropske komisije o ustreznem varstvu osebnih podatkov na podlagi okvira za varstvo zasebnosti podatkov med EU in ZDA (v nadaljevanju: mnenje 5/2023) poudaril pomen tega, da je za množično zbiranje osebnih podatkov potrebno predhodno dovoljenje. Po njenem mnenju v obravnavanem primeru množično zbiranje osebnih podatkov v tranzitu iz Unije, ki ga izvajajo obveščevalne službe Združenih držav, ni predmet predhodnega dovoljenja.
149    Komisija, ki jo podpirata Irska in Združene države Amerike, izpodbija argument tožeče stranke.
150    Pripomniti je treba, da je EOVP izdal mnenje 5/2023 na podlagi člena 70(1)(s) SUVP. V skladu s to določbo lahko EOVP na lastno pobudo ali na zahtevo Komisije predloži mnenje Komisiji v zvezi z oceno ustreznosti ravni varstva v tretji državi.
151    Vendar EOVP, kadar ravna na podlagi člena 70(1) SUVP, izvaja zgolj funkcijo svetovanja s pripravo mnenj, smernic, priporočil in priporočenih najboljših praks, ki nimajo zavezujočih pravnih učinkov (glej v tem smislu sklep predsednika Sodišča z dne 29. novembra 2023, EOVP/EOR, C‑413/23 P, neobjavljen, EU:C:2023:1036, točka 11). Tako to mnenje ne zavezuje Komisije, ki lahko še naprej prosto presoja, ali pravo te države na splošno zagotavlja raven varstva, ki je v bistvu enakovredna tisti, ki jo zagotavlja pravo Unije, kar zadeva množično zbiranje osebnih podatkov. V vsakem primeru je treba ugotoviti, da EOVP v navedenem mnenju ni navedel, da bi dejstvo, da ni bil uveden predhodni nadzor v zvezi z množičnim zbiranjem osebnih podatkov, nujno škodilo pozitivni oceni Komisije o ustreznosti ravni varstva osebnih podatkov, ki jo zagotavlja OVP. Nasprotno, v točki 165 tega mnenja je poudaril, da je ta ocena odvisna od vseh okoliščin zadeve in zlasti od tega, ali so Združene države Amerike uvedle naknadni sodni nadzor in mehanizem pravnih sredstev.
152    V tem okviru na podlagi mnenja 5/2023 ni mogoče šteti, da je za množično zbiranje osebnih podatkov v tranzitu iz Unije, ki ga izvajajo obveščevalne agencije Združenih držav, potrebno predhodno dovoljenje, in da varstvo, ki ga zagotavlja ta država, ni v bistvu enakovredno tistemu, ki ga zagotavlja pravo Unije.
153    Zato je treba ta argument in posledično drugi očitek iz drugega tožbenega razloga v celoti zavrniti.
d)      Tretji očitek iz drugega tožbenega razloga, v skladu s katerim E. O. 14086 daje predsedniku Združenih držav pooblastilo, da dovoli tajno posodobitev specifičnih ciljev množičnega zbiranja podatkov
154    S tretjim očitkom iz drugega tožbenega razloga tožeča stranka trdi, da je Komisija kršila člena 7 in 8 Listine o temeljnih pravicah, ker je v izpodbijanem sklepu menila, da Združene države Amerike zagotavljajo raven varstva, ki je v bistvu enakovredna ravni varstva, ki jo zagotavlja pravo Unije na podlagi SUVP v povezavi z navedeno listino, kljub temu da E. O. 14086 pooblašča predsednika Združenih držav Amerike, da iz razlogov nacionalne varnosti dovoli tajno posodobitev specifičnih ciljev množičnega zbiranja podatkov. Natančneje, meni, da v nasprotju s tem, kar je bilo ugotovljeno v sodbi ESČP z dne 4. decembra 2015, Roman Zakharov proti Rusiji (CE:ECHR:2015:1204JUD004714306, v nadaljevanju: sodba Zakharov), podelitev pooblastila za posodobitev teh specifičnih ciljev navedenemu predsedniku posameznikom, ki jih zadeva prenos osebnih podatkov, ne omogoča, da bi natančno določili pravni okvir, v katerem se ti podatki v Združenih državah obdelujejo.
155    Komisija, ki jo podpirata Irska in Združene države Amerike, izpodbija utemeljitev tožeče stranke.
156    Pripomniti je treba, da je ESČP v sodbi Zakharov odločilo, da je poseg v temeljno pravico do spoštovanja zasebnega in družinskega življenja mogoče upravičiti na podlagi člena 8(2) EKČP le, če je poseg določen z zakonom (sodba Zakharov, točka 227). Po mnenju navedenega sodišča izraz „določen z zakonom“ pomeni, da mora biti sporni ukrep dostopen zadevni osebi in da morajo biti njegovi učinki predvidljivi (sodba Zakharov, točka 228). V zvezi s prestrezanjem komunikacij „predvidljivost“ ne pomeni, da mora biti posameznik sposoben predvideti, kdaj bodo organi verjetno prestregli njegove komunikacije, temveč da morajo omejitve njegove pravice do spoštovanja zasebnega in družinskega življenja v bistvu izhajati iz jasnih pravil (sodba Zakharov, točka 229).
157    Prav tako je treba spomniti, da je v skladu s sodno prakso, navedeno v točki 29 zgoraj, treba, ker člen 8 EKČP, tako kot člen 7 Listine o temeljnih pravicah, zagotavlja pravico do spoštovanja zasebnega in družinskega življenja, pri razlagi – kakor v obravnavani zadevi –
člena 7 te listine upoštevati sodno prakso ESČP v zvezi s členom 8 EKČP, kar torej vključuje sodbo Zakharov.
158    V zvezi s tem je iz člena 2(c)(ii)(C) E. O. 14086 razvidno, da pooblastilo predsedniku Združenih držav, da posodobi seznam specifičnih ciljev množičnega zbiranja, ni neomejeno, ampak je omejeno izključno na primere, ko je posodobitev potrebna zaradi pojava novih nacionalnih varnostnih zahtev, kot so nove ali povečane grožnje nacionalni varnosti, za katere bi se lahko uporabilo množično zbiranje osebnih podatkov. Poleg tega iz te določbe izhaja, kar so na zaslišanju potrdile tudi Združene države Amerike, da predsednikova posodobitev teh specifičnih ciljev ni tajna, temveč jo objavi direktor nacionalne obveščevalne službe, razen če predsednik meni, da taka objava sama po sebi pomeni tveganje za nacionalno varnost njegove države. Poleg tega tudi v tem primeru za množično zbiranje veljajo vsi zaščitni ukrepi in vse omejitve, ki jih določa E. O. 14086, in ga, če posameznik, na katerega se nanašajo osebni podatki, vloži pritožbo v zvezi z osebnimi podatki, nadzira CLPO, po potrebi pa ga presoja DPRC.
159    V tem okviru ni mogoče šteti, da je pooblastilo, podeljeno predsedniku Združenih držav za posodabljanje seznama specifičnih ciljev množičnega zbiranja podatkov, v nasprotju z zahtevami, ki jih je ESČP opredelilo v sodbi Zakharov.
160    Zato je treba tretji očitek iz drugega tožbenega razloga in posledično ta tožbeni razlog v celoti zavrniti.
4.      Četrti tožbeni razlog: kršitev člena 22 SUVP
161    S četrtim tožbenim razlogom tožeča stranka trdi, da je Komisija kršila člen 22 SUVP, ker v izpodbijanem sklepu ni predvidela določbe, s katero bi bila uvedena pravica posameznikov, na katere se nanašajo osebni podatki, da zanje ne veljajo odločitve, ki temeljijo zgolj na avtomatizirani obdelavi, vključno z oblikovanjem profilov, ki imajo pravne učinke v zvezi z njimi ali na podoben način nanje znatno vplivajo (v nadaljevanju: povsem avtomatizirane odločitve).
162    Najprej,
navesti je treba, da člen 22 SUVP določa:
„1.      Posameznik, na katerega se nanašajo osebni podatki, ima pravico, da zanj ne velja odločitev, ki temelji zgolj na avtomatizirani obdelavi, vključno z oblikovanjem profilov, ki ima pravne učinke v zvezi z njim ali na podoben način nanj znatno vpliva.
2.      Odstavek 1 se ne uporablja, če je odločitev:
(a)      nujna za sklenitev ali izvajanje pogodbe med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem podatkov;
(b)      dovoljena v pravu Unije ali pravu države članice, ki velja za upravljavca in določa tudi ustrezne ukrepe za zaščito pravic in svoboščin ter zakonitih interesov posameznika, na katerega se nanašajo osebni podatki, ali
(c)      utemeljena z izrecno privolitvijo posameznika, na katerega se nanašajo osebni podatki.“
163    Prav tako je treba pripomniti, da je izraz „oblikovanje profilov“ iz člena 22(1) SUVP opredeljen v členu 4(4) iste uredbe, in sicer „pomeni vsako obliko avtomatizirane obdelave osebnih podatkov, ki vključuje uporabo osebnih podatkov za ocenjevanje nekaterih osebnih vidikov v zvezi s posameznikom, zlasti za analizo ali predvidevanje uspešnosti pri delu, ekonomskega položaja, zdravja, osebnega okusa, interesov, zanesljivosti, vedenja, lokacije ali gibanja tega posameznika“.
164    Iz tega izhaja, da ima v skladu s členom 22 SUVP vsak posameznik, na katerega se nanašajo osebni podatki, pravico, da zanj ne velja odločitev, ki temelji zgolj na avtomatizirani obdelavi, tudi kadar ta ukrep zajema analizo in predvidevanje nekaterih vidikov njegovega ravnanja.
165    Vendar je iz izpodbijanega sklepa razvidno, da ne obravnava posebej vprašanja povsem avtomatiziranih odločitev.
166    Zato je treba presoditi, ali lahko taka opustitev vpliva na zakonitost izpodbijanega sklepa, kolikor bi lahko postavila pod vprašaj ugotovitev iz člena 1 tega sklepa, da Združene države Amerike zagotavljajo ustrezno raven varstva osebnih podatkov.
167    V tem okviru je treba analizirati tri očitke, ki jih je tožeča stranka navedla v utemeljitev svojega četrtega tožbenega razloga, začenši s prvim in tretjim očitkom, ki ju je treba preučiti skupaj.
a)      Prvi in tretji očitek iz četrtega tožbenega razloga, v skladu s katerima, na eni strani, dejstvo, da povsem avtomatizirane odločitve na splošno sprejemajo upravljavci podatkov, za katere zaradi sedeža v Uniji velja SUVP, ne daje nobenega jamstva za druge primere, in, na drugi strani, da vzpostavitev sektorskih varnostnih ukrepov v pravu Združenih držav v primerih, ko sprejetje povsem avtomatiziranih odločitev ne spada na področje uporabe te uredbe, v obravnavanem primeru ni upoštevna
168    Tožeča stranka s prvim in tretjim očitkom iz četrtega tožbenega razloga trdi, na eni strani, da dejstvo, da povsem avtomatizirane odločitve na splošno sprejemajo upravljavci podatkov, za katere zaradi sedeža v Uniji velja SUVP, ne daje jamstva glede drugih primerov. Na drugi strani, poudarja, da je okoliščina, da pravo Združenih držav zagotavlja sektorske varnostne ukrepe v primeru, da sprejetje takih odločitev ne spada na področje uporabe te uredbe, v obravnavanem primeru ni upoštevna, saj na podlagi te okoliščine ni mogoče sklepati, da je na splošni ravni varstvo, ki ga ta država zagotavlja v zvezi z vsemi povsem avtomatiziranimi odločitvami, enakovredno varstvu, ki ga zagotavlja člen 22 te uredbe.
169    Komisija, ki jo podpirata Irska in Združene države Amerike, izpodbija utemeljitev tožeče stranke.
170    Poudariti je treba, da je v uvodni izjavi 33 izpodbijanega sklepa navedeno, da je treba v primeru prenosa osebnih podatkov iz Unije v Združene države glede sprejetja povsem avtomatiziranih odločitev razlikovati tri primere.
171    Prvič, lahko se zgodi, da povsem avtomatizirane odločitve sprejme upravljavec s sedežem v Uniji, ki je v Uniji zbral osebne podatke posameznikov, na katere se nanašajo osebni podatki. V zvezi s tem je treba pripomniti, da člen 4(7) SUVP opredeljuje upravljavca kot fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov. V tem primeru mora upravljavec, če zanj v skladu s členom 3(1) navedene uredbe velja ta uredba, v zvezi s takimi odločitvami upoštevati zahteve iz člena 22 te uredbe.
172    Drugič, lahko se zgodi, da povsem avtomatizirane odločitve sprejme obdelovalec s sedežem v tretji državi, ki deluje v imenu upravljavca s sedežem v Uniji, ki mu je posredoval osebne podatke, ki jih je zbral v Uniji, ali poznejši obdelovalec, ki deluje v imenu obdelovalca s sedežem v Uniji, ki mu je posredoval podatke, ki jih je zbral v Uniji. V zvezi s tem je treba pojasniti, da člen 4(8) SUVP obdelovalca opredeli kot fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca. V teh okoliščinah, če tuji obdelovalci delujejo v imenu upravljavca ali obdelovalca iz Unije, velja zanje navedena uredba na podlagi člena 3(1) te uredbe. Tako morata upravljavec in obdelovalec v zvezi s takimi odločitvami ravnati v skladu z zahtevami iz člena 22 iste uredbe.
173    Tretjič, lahko se zgodi, da povsem avtomatizirane odločitve sprejme upravljavec ali obdelovalec, ki nima sedeža v Uniji, vendar se obrača na posameznike, na katere se nanašajo osebni podatki in ki so v Uniji, tako da jim ponuja blago ali storitve ali spremlja njihovo vedenje. V takih primerih člen 3(2) SUVP določa, da za tujega upravljavca in obdelovalca velja navedena uredba. Tako morajo biti povsem avtomatizirane odločitve skladne z zahtevami iz člena 22 navedene uredbe.
174    Iz izpodbijanega sklepa izhaja, da so ostali primeri, v katerih povsem avtomatizirane odločitve ne spadajo na področje uporabe člena 22 SUVP, omejeni na tiste, v katerih organizacije OVP zbirajo osebne podatke neposredno v Uniji, ne da bi ponujale blago ali storitve državljanom Unije in ne da bi spremljale njihovo vedenje v smislu člena 3(2) te uredbe.
175    Vendar je iz uvodnih izjav 35 in 36 izpodbijanega sklepa razvidno, ne da bi tožeča stranka to izpodbijala, da pravo Združenih držav v teh okoliščinah zagotavlja sektorske varnostne ukrepe, podobne tistim iz SUVP, na področjih, kot so odobritev kreditov, ponujanje stanovanjskih kreditov, odločitve o zaposlitvi, zaposlovanje, stanovanja in zavarovanje, na katerih je verjetneje, da organizacije OVP sprejemajo povsem avtomatizirane odločitve.
176    Tako na področju potrošniških kreditov Fair Credit Reporting Act (zakon o poštenem kreditnem poročanju) in Equal Credit Opportunity Act (zakon o enakih možnostih pridobitve posojila) vsebujeta zaščitne ukrepe, ki potrošnikom zagotavljajo nekakšno pravico do pojasnila in pravico do izpodbijanja povsem avtomatiziranih odločitev. Ta zakona sta pomembna na najrazličnejših področjih, kot so krediti, zaposlovanje, stanovanja in zavarovanje. Poleg tega naslov VII Civil Rights Act (zakon o državljanskih pravicah) in Fair Housing Act (zakon proti diskriminaciji v zvezi s prodajo in z najemom stanovanj in hiš), posameznikom zagotavljata varstvo v zvezi z modeli, ki se uporabljajo pri povsem avtomatiziranih odločitvah, ki bi lahko povzročili diskriminacijo na podlagi nekaterih značilnosti, in jih podeljujejo pravice do izpodbijanja takih odločitev. Poleg tega v zvezi z informacijami, povezanimi z zdravjem, pravila, ki so jih sprejeli organi Združenih držav pri uporabi Health Insurance Portability and Accountability Act (zakon o prenosljivosti zdravstvenega zavarovanja in odgovornostih pri njem), zahtevajo, da izvajalci zdravstvenih storitev prejmejo informacije, ki jim omogočajo, da posameznike obvestijo o sistemih povsem avtomatiziranih odločitev, ki se uporabljajo v medicinskem sektorju.
177    V tem okviru v nasprotju s trditvami tožeče stranke ni mogoče šteti, da sektorski varnostni ukrepi, ki jih zagotavlja pravo Združenih držav, v obravnavani zadevi niso upoštevni, ker nimajo enakega splošnega področja uporabe kot člen 22 SUVP.
178    V zvezi s tem je treba spomniti, da je Sodišče v sodbah Schrems I in Schrems II razsodilo, da se v zvezi s tem ne zahteva, da zadevna tretja država zagotavlja enako raven varstva, kot je zagotovljena v pravnem redu Unije, ampak je treba izraz „ustrezna raven varstva“ iz člena 45(1) SUVP razumeti tako, da zahteva, da ta tretja država na podlagi svoje nacionalne zakonodaje ali mednarodnih obveznosti, ki jih je sprejela, dejansko zagotavlja raven varstva svoboščin in temeljnih pravic, ki je v bistvu enakovredna tisti, ki se v Uniji zagotavlja s to uredbo v povezavi z Listino o temeljnih pravicah (glej točki 19 in 20).
179    Poleg tega je Sodišče v sodbi Schrems I odločilo, da čeprav so sredstva, ki jih tretja država uporablja za zagotovitev ustrezne ravni varstva osebnih podatkov, lahko drugačna od sredstev, uporabljenih znotraj Unije, se morajo ta sredstva vseeno izkazati kot učinkovita za zagotovitev varstva, ki je v bistvenem enakovredno varstvu, zagotovljenemu znotraj Unije (glej točko 20 zgoraj).
180    Glede na vse te ugotovitve je treba prvi in tretji očitek iz četrtega tožbenega razloga zavrniti.
b)      Drugi očitek iz četrtega tožbenega razloga, v skladu s katerim študija, ki jo je Komisija naročila leta 2018 in ki je pokazala neznatnost primerov, v katerih so organizacije s sedežem v Združenih državah, ki so se pridružile zasebnostnemu ščitu, sprejemale povsem avtomatizirane odločitve, v obravnavani zadevi ni upoštevna
181    Z drugim očitkom iz četrtega tožbenega razloga tožeča stranka trdi, da dejstvo, da je bilo v študiji o povsem avtomatiziranih odločitvah, navedeni v uvodni izjavi 34 izpodbijanega sklepa, ki jo je Komisija naročila leta 2018 in katere rezultati so navedeni v točki 4.1.5 Poročila Komisije z dne 19. decembra 2018 Evropskemu parlamentu in Svetu o drugem letnem pregledu delovanja zasebnostnega ščita (COM(2018) 860 final) (v nadaljevanju: študija iz leta 2018), ugotovljeno, da ni dokazov o obstoju povsem avtomatiziranih odločitev, ki so jih sprejele organizacije s sedežem v Združenih državah, ki so se pridružile zasebnostnemu ščitu, v obravnavani zadevi ni upoštevno. Natančneje, trdi, da se navedena študija sklicuje na sklep o ustreznosti v zvezi z zasebnostnim ščitom, ki ga je Sodišče razveljavilo v sodbi Schrems II, in da ne upošteva sedanjih razmer, za katere je značilen izjemno hiter razvoj povsem avtomatiziranih storitev, ki temeljijo na umetni inteligenci.
182    Komisija, ki jo podpirata Irska in Združene države Amerike, izpodbija utemeljitev tožeče stranke.
183    Iz študije iz leta 2018 je razvidno, da po eni strani takrat ni bilo nobenega podatka, na podlagi katerega bi bilo mogoče šteti, da so podjetja s sedežem v Združenih državah, ki so se pridružila zasebnostnemu ščitu, sprejemala povsem avtomatizirane odločitve, po drugi strani pa so Združene države Amerike sprejele sektorsko zakonodajo na področjih, kot so potrošniški krediti, zaposlovanje, stanovanja, zavarovanje in zdravje, na katerih je bilo verjetneje, da se bodo sprejemale povsem avtomatizirane odločitve.
184    V zvezi s tem je treba, na prvem mestu, pripomniti, da študija iz leta 2018 ni navedena v sklepu o ustreznosti v zvezi z zasebnostnim ščitom in jo je Komisija naročila po začetku veljavnosti tega sklepa. Dejstvo, da je Sodišče v sodbi Schrems II ta sklep razglasilo za neveljaven, zato v obravnavani zadevi ni upoštevno. Poleg tega Sodišče v sodbi Schrems II ni razglasilo neveljavnosti tega sklepa na podlagi informacij, navedenih v tej študiji.
185    Na drugem mestu, res je, da študija iz leta 2018 ni upoštevala dejanskega in pravnega položaja v Združenih državah leta 2023, ko je bil sprejet izpodbijani sklep, temveč položaj leta 2018, ko je bila študija izvedena. Vendar je bila neznatnost primerov, v katerih so organizacije s sedežem v Združenih državah, ki so se pridružile zasebnostnemu ščitu, sprejemale povsem avtomatizirane odločitve, potrjena v Poročilu Komisije Evropskemu parlamentu in Svetu z dne 23. oktobra 2019 o tretjem letnem pregledu delovanja zasebnostnega ščita (COM(2019) 495 final). V tem poročilu je bilo med drugim navedeno, da je število organizacij s sedežem v Združenih državah, ki sodelujejo v zasebnostnem ščitu in sprejemajo povsem avtomatizirane odločitve, omejeno ter da odločitve, ki jih sprejmejo te organizacije, na splošno nimajo pravnih učinkov in ne povzročajo drugih učinkov v razmerju do posameznikov, na katere se nanašajo osebni podatki.
186    Na tretjem mestu, treba je pripomniti, da tožeča stranka v svojih pisanjih ni predložila nobenega dokaza, na podlagi katerega bi bilo mogoče šteti, da so po izvedbi študije iz leta 2018 organizacije s sedežem v Združenih državah sprejemale povsem avtomatizirane odločitve, in ni zadostno pravno pojasnila, zakaj naj bi razvoj umetne inteligence odvzel pomen navedeni študiji.
187    V tem okviru je treba drugi očitek iz četrtega tožbenega razloga in posledično ta tožbeni razlog v celoti zavrniti.
5.      Peti tožbeni razlog: kršitev člena 32 SUVP v povezavi s členom 45(2) iste uredbe
188    S petim tožbenim razlogom tožeča stranka trdi, da je Komisija kršila člen 32 SUVP v povezavi s členom 45(2) iste uredbe, ker je v izpodbijanem sklepu menila, da Združene države Amerike zagotavljajo raven varstva, ki je v bistvu enakovredna ravni, zagotovljeni v Uniji, v zvezi z izvajanjem ustreznih tehničnih in organizacijskih ukrepov s strani upravljavcev in obdelovalcev s sedežem v Združenih državah za zagotovitev varnosti obdelave osebnih podatkov, ki so bili preneseni iz Unije v to državo.
189    V zvezi s tem tožeča stranka, na prvem mestu, trdi, da točka II.4(a) Priloge 1 k izpodbijanemu sklepu določa le, da morajo organizacije OVP sprejeti razumne in ustrezne varnostne ukrepe le, kadar ustvarjajo, vzdržujejo, uporabljajo ali razširjajo osebne podatke. Zato naj ne bi bil potreben noben varnostni ukrep, kadar te organizacije vpogledajo v osebne podatke, ki izvirajo iz Unije. Tožeča stranka trdi, da je vpogled vendarle eno od dejanj, vključenih v pojem „obdelave“ osebnih podatkov iz člena 4(2) SUVP.
190    Na drugem mestu, tožeča stranka trdi, da točka III.6(f) Priloge 1 k izpodbijanemu sklepu določa obveznost organizacij s sedežem v Združenih državah, ki izstopijo iz OVP, da še naprej spoštujejo načela iz tega sklepa, vključno z načeli glede varnosti obdelave, dokler hranijo, uporabljajo ali razkrivajo osebne podatke, prenesene iz Unije v Združene države, vendar ne določa take obveznosti, če te iste organizacije vpogledajo v osebne podatke.
191    Komisija, ki jo podpirata Irska in Združene države Amerike, izpodbija utemeljitev tožeče stranke.
192    Najprej je treba spomniti, da člen 32 SUVP določa naslednje:
„1.      Ob upoštevanju najnovejšega tehnološkega razvoja in stroškov izvajanja ter narave, obsega, okoliščin in namenov obdelave, pa tudi tveganj za pravice in svoboščine posameznikov, ki se razlikujejo po verjetnosti in resnosti, upravljavec in obdelovalec z izvajanjem ustreznih tehničnih in organizacijski[h] ukrepov zagotovita ustrezno raven varnosti glede na tveganje, vključno med drugim z naslednjimi ukrepi, kot je ustrezno:
(a)      psevdonimizacijo in šifriranjem osebnih podatkov;
(b)      zmožnostjo zagotoviti stalno zaupnost, celovitost, dostopnost in odpornost sistemov in storitev za obdelavo;
(c)      zmožnostjo pravočasno povrniti razpoložljivost in dostop do osebnih podatkov v primeru fizičnega ali tehničnega incidenta;
(d)      postopkom rednega testiranja, ocenjevanja in vrednotenja učinkovitosti tehničnih in organizacijskih ukrepov za zagotavljanje varnostni obdelave.
2.      Pri določanju ustrezne ravni varnosti se upoštevajo zlasti tveganja, ki jih pomeni obdelava, zlasti zaradi nenamernega ali nezakonitega uničenja, izgube, spremembe, nepooblaščenega razkritja ali dostopa do osebnih podatkov, ki so poslani, shranjeni ali kako drugače obdelani.“
193    Dalje, izraz „obdelava“ iz člena 32 SUVP je opredeljena v členu 4(2) iste uredbe kot „vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje“.
194    V skladu s sodno prakso, zlasti iz izraza „vsako dejanje“ iz člena 4(2) SUVP, je razvidno, da je zakonodajalec Unije nameraval pojmu „obdelava“ dati širok obseg, kar je potrjeno z izčrpnostjo dejanj, naštetih v navedeni določbi, izraženo z besedno zvezo „kot je“ (glej sodbo z dne 7. marca 2024, Endemol Shine Finland, C‑740/22, EU:C:2024:216, točka 29 in navedena sodna praksa).
195    Nazadnje,
poudariti je treba, da so med dejavniki, ki jih mora Komisija upoštevati, ko v skladu s členom 45(2)(a) SUVP ocenjuje raven varstva, ki jo zagotavlja tretja država, tudi varnostni ukrepi v zvezi z osebnimi podatki, ki jih izvaja ta država.
196    Glede na te okoliščine je treba skupaj preučiti argumenta, ki ju navaja tožeča stranka v podporo temu tožbenemu razlogu.
197    V zvezi s tem je treba spomniti, da je v točki II.4(a) Priloge 1 k izpodbijanemu sklepu navedeno naslednje:
„Organizacije, ki pripravljajo, vzdržujejo, uporabljajo ali razširjajo osebne podatke, morajo sprejeti ustrezne in razumne ukrepe, da jih zavarujejo pred izgubo, zlorabo in nepooblaščenim dostopom, razkritjem, spreminjanjem in uničenjem, ob ustreznem upoštevanju tveganj, vključenih v obdelavo, in narave osebnih podatkov.“
198    Poleg tega je v točki III.6(f) Priloge 1 k izpodbijanemu sklepu navedeno naslednje:
„Organizacija mora pri vseh osebnih podatkih, ki jih prejme iz EU na podlagi [OVP], spoštovati načela. Za osebne podatke, ki jih organizacija prejme v času, ko uživa ugodnosti [OVP], zaveza načelom ni časovno omejena; njena zaveza pomeni, da bo organizacija upoštevala načela, dokler take podatke hrani, uporablja ali razkriva, čeprav bo morda pozneje iz kakršnega koli razloga izstopila iz [OVP].“
199    Iz tega izhaja, da se točki II.4(a) in III.6(f) Priloge 1 k izpodbijanemu sklepu ne nanašata na vse oblike obdelave osebnih podatkov v smislu člena 4(2) SUVP. Nasprotno, na eni strani, prva od teh točk omejuje obveznost organizacij OVP, da sprejmejo varnostne ukrepe, na primere, ko pripravljajo, vzdržujejo, uporabljajo ali razširjajo osebne podatke. Na drugi strani pa druga od teh točk določa, da morajo organizacije, ki izstopijo iz OVP, še naprej uporabljati načela iz izpodbijanega sklepa, dokler shranjujejo, uporabljajo ali razkrivajo osebne podatke, ki se prenašajo iz Unije v Združene države.
200    Prvič, spomniti je treba, da je Sodišče v sodbah Schrems I in Schrems II odločilo, da ni nujno, da tretja država zagotovi enako pravno varstvo, kot ga zagotavlja pravni red Unije (glej točki 19 in 20 zgoraj). Iz tega sledi, da če Komisija v izpodbijanem sklepu meni, da pravo Združenih držav, ki je veljalo v času sprejetja tega sklepa, zagotavlja raven varstva, ki je v bistvu enakovredna ravni, določeni v pravu Unije, ni nujno, da ta sklep vsebuje popolnoma enake izraze, kot jih vsebuje SUVP.
201    Drugič, načela iz točke II.4(a) Priloge 1 k izpodbijanemu sklepu je treba razlagati ob upoštevanju dejavnikov iz uvodne izjave 23 tega sklepa, ki – podobno kot člen 32 SUVP – določa naslednje:
„Osebne podatke je treba obdelovati tudi tako, da je zagotovljena njihova varnost, vključno z varstvom pred nepooblaščeno ali nezakonito obdelavo in pred nenamerno izgubo, uničenjem ali poškodovanjem. Zato bi morali upravljavci in obdelovalci sprejeti ustrezne tehnične ali organizacijske ukrepe za varstvo osebnih podatkov pred morebitnimi grožnjami. Pri ocenjevanju teh ukrepov bi bilo treba upoštevati najnovejše znanstvene dosežke, s tem povezane stroške ter naravo, obseg, kontekst in namen obdelave, pa tudi tveganja za pravice posameznikov.“
202    Tretjič, poudariti je treba, da izrazi „pripravljati“, „vzdrževati“, „uporabljati“ in „razširjati“ v točki II.4(a) Priloge 1 k izpodbijanemu sklepu ter izrazi „shranjevati“, „uporabljati“ in „razkriti“ v točki III.6(f) iste priloge pomenijo konkretne izraza dejanja „obdelave“ osebnih podatkov v smislu člena 32 SUVP in da je njihov namen, tako kot v primeru tega člena, zaobjeti širok razpon postopkov v zvezi z osebnimi podatki.
203    Četrtič, izraz „uporabljati“, ki je naveden tako v točki II.4(a) Priloge 1 k izpodbijanemu sklepu kot tudi v točki III.6(f) iste priloge, je opredeljen kot uporaba nečesa za določen namen. S tega vidika uporaba osebnih podatkov vključuje tudi vpogled vanje, saj je po definiciji za uporabo podatkov najprej treba imeti dostop do njih in torej vpogledati vanje. Iz tega sledi, da argument tožeče stranke, da v izpodbijanem sklepu niso zahtevani nobeni varnostni ukrepi, kadar organizacije OVP vpogledajo v osebne podatke, ki izvirajo iz Unije, ni utemeljen.
204    Glede na vse to je treba peti tožbeni razlog in posledično tožbo v celoti zavrniti.
IV.    Stroški
205    V skladu s členom 134(1) Poslovnika se plačilo stroškov na predlog naloži neuspeli stranki.
206    Ker je Komisija predlagala, naj se tožeči stranki naloži plačilo stroškov, in ker ta s predlogi ni uspela, se ji naloži, naj poleg svojih stroškov nosi tudi stroške Komisije, vključno s stroški postopka za izdajo začasne odredbe.
207    Poleg tega države članice in institucije, ki intervenirajo v postopku, v skladu s členom 138(1) Poslovnika nosijo svoje stroške. Irska zato nosi svoje stroške.
208    Poleg tega lahko Splošno sodišče v skladu s členom 138(3) Poslovnika intervenientu, ki ni eden od subjektov iz odstavkov 1 in 2 tega člena, naloži, da nosi svoje stroške. V obravnavanem primeru je treba odločiti, da Združene države Amerike nosijo svoje stroške.
Iz teh razlogov je
SPLOŠNO SODIŠČE (deseti razširjeni senat)
razsodilo:
1.      Tožba se zavrne.
2.      Philippe Latombe nosi svoje stroške in stroške Evropske komisije, vključno s stroški postopka za izdajo začasne odredbe.
3.      Irska nosi svoje stroške.
4.      Združene države Amerike nosijo svoje stroške.
Porchia
Jaeger
Madise
Nihoul
Verschuur
Razglašeno na javni obravnavi v Luxembourgu, 3. septembra 2025.
Podpisi
*      Jezik postopka: francoščina.