62023TJ0553
BENDROJO TEISMO (dešimtoji išplėstinė kolegija) SPRENDIMAS
2025 m. rugsėjo 3 d. (
*1
)
„Asmens duomenų perdavimas į Jungtines Amerikos Valstijas – Komisijos įgyvendinimo sprendimas dėl Jungtinių Amerikos Valstijų užtikrinamo tinkamo asmens duomenų apsaugos lygio – Teisė į veiksmingą teisinę gynybą – Teisė į privatų ir šeimos gyvenimą – Sprendimai, grindžiami vien automatizuotu asmens duomenų tvarkymu – Asmens duomenų tvarkymo saugumas“
Byloje T‑553/23
Philippe Latombe, gyvenantis Nante (Prancūzija), atstovaujamas avocats N. Coutrelis, J.-B. Soufron ir T. Lamballe,
ieškovas,
prieš
Europos Komisiją, atstovaujamą D. Calleja Crespo, A. Bouchagiar, H. Kranenborg ir C. Ladenburger,
atsakovę,
palaikomą
Airijos, atstovaujamos M. Browne, S. Finnegan ir A. Joyce, padedamų barrister S. Brittain ir SC C. Donnelly,
ir
Jungtinių Amerikos Valstijų, atstovaujamų solicitors B. Walsh, S. Barton ir A. Finlay, SC E. Barrington ir barrister D. Hardiman,
įstojusių į bylą šalių,
BENDRASIS TEISMAS (dešimtoji išplėstinė kolegija),
kurį sudaro kolegijos pirmininkė O. Porchia, teisėjai M. Jaeger (pranešėjas), L. Madise, P. Nihoul ir S. Verschuur,
posėdžio sekretorė I. Kurme, administratorė,
atsižvelgęs į 2023 m. spalio 12 d. Nutartį Latombe / Komisija (T‑553/23 R, nepaskelbta Rink., EU:T:2023:621),
atsižvelgęs į rašytinę proceso dalį,
įvykus 2025 m. balandžio 1 d. posėdžiui,
priima šį
Sprendimą
1
SESV 263 straipsniu grindžiamu ieškiniu ieškovas Philippe Latombe iš esmės prašo panaikinti 2023 m. liepos 10 d. Komisijos įgyvendinimo sprendimą (ES) 2023/1795, priimtą pagal Europos Parlamento ir Tarybos reglamentą (ES) 2016/679 dėl tinkamo asmens duomenų apsaugos lygio pagal ES ir JAV duomenų privatumo sistemą (OL L 231, 2023, p. 118; toliau – ginčijamas sprendimas).
I. Bylos aplinkybės
2
Ieškovas yra Prancūzijos pilietis, teigiantis, kad naudojasi įvairiomis IT platformomis, renkančiomis jo asmens duomenis ir perduodančiomis juos į Jungtines Amerikos Valstijas.
3
Dėl asmens duomenų perdavimo iš Europos Sąjungos į Jungtines Amerikos Valstijas pažymėtina, kad iš pradžių 2015 m. spalio 6 d. Sprendimu Schrems (C‑362/14, EU:C:2015:650; toliau – Sprendimas Schrems I) Teisingumo Teismas pripažino negaliojančiu 2000 m. liepos 26 d. Komisijos sprendimą 2000/520/EB dėl Europos Parlamento ir Tarybos direktyvos 95/46/EB dėl „saugaus uosto“ privatumo principų teikiamos apsaugos pakankamumo ir su tuo susijusių JAV komercijos departamento pateiktų „Dažnai užduodamų klausimų“ (OL L 215, 2000, p. 7; 2004 m. specialusis leidimas lietuvių k., 16 sk., 1 t., p. 119).
4
Vėliau 2020 m. liepos 16 d. Sprendimu Facebook Ireland ir Schrems (C‑311/18, toliau – Sprendimas Schrems II, EU:C:2020:559) Teisingumo Teismas pripažino negaliojančiu 2016 m. liepos 12 d. Komisijos įgyvendinimo sprendimą (ES) 2016/1250 dėl ES ir JAV „privatumo skydo“ užtikrinamos apsaugos tinkamumo pagal Europos Parlamento ir Tarybos direktyvą 95/46/EB (OL L 207, 2016, p. 1; toliau – sprendimas dėl privatumo skydo užtikrinamos apsaugos tinkamumo).
5
Sprendimuose Schrems I ir Schrems II Teisingumo Teismas, nagrinėdamas prašymą priimti prejudicinį sprendimą dėl galiojimo įvertinimo, be kita ko, nusprendė, kad, priešingai, nei šio sprendimo 3 ir 4 punktuose nurodytuose sprendimuose dėl tinkamumo įvertino Europos Komisija, asmens duomenų perdavimą reglamentuojanti „saugaus uosto“ sistema ir duomenų apsaugos skydo sistema (toliau – apsaugos skydas) neužtikrina pagrindinių teisių ir laisvių apsaugos lygio, iš esmės lygiaverčio garantuojamam Sąjungos teisės.
6
Po Sprendimo Schrems II Komisija pradėjo derybas su Jungtinių Amerikos Valstijų vyriausybe siekdama priimti galimą naują sprendimą dėl tinkamumo, kuris atitiktų 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46 (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016, p. 1, toliau – BDAR) 45 straipsnio 2 dalies reikalavimus, kaip juos išaiškino Teisingumo Teismas.
7
Taigi 2022 m. spalio 7 d. Jungtinės Amerikos Valstijos priėmė Executive Order 14086 (Prezidento dekretas Nr. 14086, toliau – E. O. 14086), kuriuo sugriežtinamos privataus gyvenimo apsaugos priemonės, kuriomis reglamentuojama Jungtinėse Amerikos Valstijose įsteigtų žvalgybos agentūrų vykdoma signalų žvalgybos veikla. Šis dekretas buvo papildytas Attorney General Order No 5517–2022 (generalinio prokuroro reglamentas Nr. 5517–2022, toliau – AG reglamentas), kuriuo į Code of Federal Regulations (CFR, Federalinių taisyklių kodeksas) 28 antraštinę dalį įtraukta 201 dalis, reglamentuojanti Data Protection Review Court (teismas, atsakingas už duomenų apsaugos priežiūrą, toliau – DPRC) įsteigimą ir veikimą.
8
Išnagrinėjusi šiuos reglamentavimo pokyčius Jungtinėse Amerikos Valstijose, 2023 m. liepos 10 d. Komisija, remdamasi BDAR 45 straipsnio 3 dalimi, priėmė ginčijamą sprendimą, kuriuo nustatoma nauja transatlantinė asmens duomenų srautų tarp Sąjungos ir JAV reglamentavimo sistema. To sprendimo 1 straipsnyje pripažįstama, kad Jungtinės Amerikos Valstijos užtikrina tinkamą asmens duomenų, perduodamų iš Sąjungos Jungtinėse Amerikos Valstijose esančioms organizacijoms, įtrauktoms į „ES ir JAV duomenų privatumo sistemos“ (toliau – DPS) sąrašą, kurį tvarko ir viešai skelbia JAV Prekybos departamentas (toliau – DPS organizacijos), apsaugos lygį;
II. Šalių reikalavimai
9
Ieškovas Bendrojo Teismo prašo:
–
panaikinti iš esmės visą ginčijamą sprendimą;
–
priteisti iš Komisijos bylinėjimosi išlaidas.
10
Komisija, palaikoma Airijos ir Jungtinių Amerikos Valstijų, Bendrojo Teismo prašo:
–
atmesti ieškinį kaip nepriimtiną,
–
nepatenkinus pirmojo reikalavimo, atmesti ieškinį kaip nepagrįstą;
–
priteisti iš ieškovo bylinėjimosi išlaidas.
III. Dėl teisės
A. Dėl nepriimtinumu grindžiamo prieštaravimo
11
Atskiru dokumentu (jį Bendrojo Teismo kanceliarija gavo 2023 m. gruodžio 1 d.) Komisija, remdamasi Bendrojo Teismo procedūros reglamento 130 straipsniu, pateikė nepriimtinumu grindžiamą prieštaravimą.
12
Komisija tvirtina, kad ieškinys nepriimtinas, nes ieškovas neturi teisės pareikšti ieškinio, neturi suinteresuotumo pareikšti ieškinį ir kad ginčijamo sprendimo dalis, kurią jis prašo panaikinti, negali būti atskirta nuo likusios jo dalies.
13
Ieškovas ginčija Komisijos argumentus ir teigia, kad jo ieškinys yra priimtinas.
14
Reikia priminti, kad Sąjungos teismas, atsižvelgdamas į kiekvienos bylos aplinkybes, turi teisę įvertinti, ar dėl gero teisingumo vykdymo pateisinama ieškinį atmesti iš esmės, prieš tai nepriėmus sprendimo dėl jo priimtinumo (šiuo klausimu žr. 2002 m. vasario 26 d. Sprendimo Taryba / Boehringer, C‑23/00 P, EU:C:2002:118, 51 ir 52 punktus).
15
Taigi, atsižvelgdamas į šios bylos aplinkybes, Bendrasis Teismas konstatuoja, kad ieškinys bet kuriuo atveju ir dėl šio sprendimo 16–204 punktuose išdėstytų motyvų yra nepagrįstas, todėl, siekiant gero teisingumo vykdymo, reikia išnagrinėti jo pagrįstumą, prieš tai nepriėmus sprendimo dėl jo priimtinumo (šiuo klausimu žr. 2014 m. spalio 10 d. Sprendimo Marchiani / Parlamentas, T‑479/13, nepaskelbtas Rink., EU:T:2014:866, 23 punktą ir 2023 m. gruodžio 20 d. Sprendimo Naturstrom / Komisija, T‑60/21, nepaskelbtas Rink., EU:T:2023:839, 74 punktą).
B. Dėl esmės
16
Ieškovas ieškinyje nurodo penkis pagrindus, grindžiamus:
–
pirma, 1958 m. balandžio 15 d. Tarybos reglamento Nr. 1/1958, nustatančio Europos ekonominėje bendrijoje vartojamas kalbas (OL 17, 1958, p. 385; 2004 m. specialusis leidimas lietuvių k., 1 sk., 1 t., p. 3), 3 ir 4 straipsnių pažeidimu;
–
antra, Europos Sąjungos pagrindinių teisių chartijos 7 ir 8 straipsnių pažeidimu;
–
trečia, Chartijos 47 straipsnio antros pastraipos ir BDAR 45 straipsnio 2 dalies pažeidimu;
–
ketvirta, BDAR 22 straipsnio pažeidimu;
–
penkta, BDAR 32 straipsnio, siejamo su to paties reglamento 45 straipsnio 2 dalimi, pažeidimu.
17
Per teismo posėdį ieškovas atsisakė pirmojo pagrindo, grindžiamo Reglamento Nr. 1/1958 3 ir 4 straipsnių pažeidimu. Taigi reikia išnagrinėti tik ieškinio antrąjį–penktąjį pagrindus.
1.
Įvadinės pastabos
18
Pirma, reikia pažymėti, kad BDAR 45 straipsnio 1 dalyje numatyta, jog perduoti asmens duomenis į trečiąją valstybę galima, jeigu Komisija nusprendė, kad ta trečioji valstybė, teritorija arba vienas ar daugiau nurodytų sektorių toje trečiojoje valstybėje užtikrina tinkamo lygio apsaugą. Ši nuostata įtraukta į minėto reglamento V skyrių, kuriuo, kaip nurodė Teisingumo Teismas, bendrai siekiama užtikrinti aukšto asmens duomenų apsaugos lygio, kuris pagal šį reglamentą užtikrinamas Sąjungos teisės, tęstinumą, kai šie duomenys perduodami į trečiąją valstybę (šiuo klausimu žr. Sprendimo Schrems II 93 punktą).
19
Šiuo klausimu Teisingumo Teismas patikslino, jog nereikalaujant, kad atitinkama trečioji valstybė užtikrintų tokį patį apsaugos lygį, koks garantuojamas Sąjungos teisinėje sistemoje, BDAR 45 straipsnio 1 dalyje vartojamas žodžių junginys „tinkamo lygio apsauga“ turi būti suprantamas kaip reikalavimas, kad ši trečioji valstybė savo nacionalinės teisės aktais arba tarptautiniais įsipareigojimais iš tikrųjų užtikrintų pagrindinių laisvių ir teisių apsaugos lygį, kuris būtų iš esmės lygiavertis tam, kuris garantuojamas Sąjungoje minėtu reglamentu, siejamu su Pagrindinių teisių chartija (šiuo klausimu žr. Sprendimo Schrems II 94 ir 162 punktus).
20
Teisingumo Teismas taip pat nusprendė, kad nors priemonės, kurių trečioji valstybė ėmėsi, kad užtikrintų tinkamą asmens duomenų apsaugos lygį, gali skirtis nuo priemonių, kurios taikomos Sąjungoje siekiant užtikrinti iš Direktyvos 95/46, siejamos su Pagrindinių teisių chartija, kylančių reikalavimų laikymąsi, praktiškai šios priemonės turi būti veiksmingos, kad būtų užtikrinta tokia apsauga, kuri yra iš esmės lygiavertė garantuojamai Sąjungoje (Sprendimo Schrems I 74 punktas).
21
Be to, Teisingumo Teismas nusprendė, kad, atsižvelgiant, viena vertus, į asmens duomenų apsaugos svarbą pagrindinei teisei į privataus gyvenimo gerbimą ir, kita vertus, į didelį asmenų, kurių pagrindinės teisės gali būti pažeistos perdavus asmens duomenis į tinkamo apsaugos lygio neužtikrinančią trečiąją valstybę, skaičių, Komisijos turima diskrecija dėl trečiosios valstybės užtikrinamo apsaugos lygio tinkamumo yra nedidelė, todėl Sąjungos teismas turi taikyti griežtą sprendimo dėl tinkamumo teisėtumo kontrolę (Sprendimo Schrems I 78 punktas).
22
Antra, reikia priminti, kad pagal suformuotą jurisprudenciją Sąjungos teisės akto teisėtumas turi būti vertinamas atsižvelgiant į to akto priėmimo momentu buvusias faktines ir teisines aplinkybes, tad po sprendimo priėmimo priimti teisės aktai neturi įtakos jo galiojimui (žr. 2019 m. spalio 17 d. Sprendimo Alcogroup ir Alcodis / Komisija, C‑403/18 P, EU:C:2019:870, 45 punktą ir jame nurodytą jurisprudenciją ir 2021 m. sausio 28 d. Sprendimo Qualcomm ir Qualcomm Europe / Komisija, C‑466/19 P, EU:C:2021:76, 82 punktą ir jame nurodytą jurisprudenciją). Todėl šiuo atveju Komisijos atlikti ginčijamo sprendimo teisėtumo vertinimai turi būti nagrinėjami atsižvelgiant tik į tuos įrodymus, kuriuos ji turėjo atlikdama šiuos vertinimus.
23
Būtent atsižvelgiant į šias aplinkybes reikia išnagrinėti ieškovo nurodytus pagrindus: pirmiausia išnagrinėti trečiąjį pagrindą, paskui – antrąjį pagrindą, tada – ketvirtąjį, ir galiausiai penktąjį pagrindą.
2.
Dėl trečiojo pagrindo, grindžiamo Pagrindinių teisių chartijos 47 straipsnio antros pastraipos ir BDAR 45 straipsnio 2 dalies pažeidimu
24
Trečiajame pagrinde ieškovas teigia, kad Komisija pažeidė Pagrindinių teisių chartijos 47 straipsnio antrą pastraipą ir BDAR 45 straipsnio 2 dalį, nes ginčijamame sprendime pripažino, kad DPRC užtikrina tinkamą apsaugos lygį, kiek tai susiję su Sąjungos piliečių teise kreiptis į pagal įstatymą įsteigtą nepriklausomą ir nešališką teismą.
25
Pirmiausia reikia pažymėti, kad Pagrindinių teisių chartijos 47 straipsnio antra pastraipa suformuluota taip:
„Kiekvienas asmuo turi teisę, kad jo bylą per kiek įmanoma trumpesnį laiką viešai ir teisingai išnagrinėtų pagal įstatymą įsteigtas nepriklausomas ir nešališkas teismas. Kiekvienas asmuo turi turėti galimybę gauti teisinę pagalbą, būti ginamas ir atstovaujamas.“
26
Su Chartija susijusiuose išaiškinimuose (OL C 303, 2007, p. 17) nurodyta, kad Chartijos 47 straipsnio antra pastraipa atitinka 1950 m. lapkričio 4 d. Romoje pasirašytos Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvencijos (toliau – EŽTK) 6 straipsnio 1 dalį. Pastaroji nuostata suformuluota taip:
„Kai yra sprendžiamas tam tikro asmens civilinio pobūdžio teisių ir pareigų ar jam pareikšto kokio nors baudžiamojo kaltinimo klausimas, toks asmuo turi teisę, kad bylą per kuo trumpiausią laiką viešai ir teisingai išnagrinėtų pagal įstatymą įsteigtas nepriklausomas ir nešališkas teismas.“
27
Šiuo klausimu reikia priminti, kad pagal jurisprudenciją, kadangi EŽTK, kol prie jos Sąjunga neprisijungė, nėra į Sąjungos teisės sistemą formaliai integruotas teisės aktas, antrinės teisės akto galiojimas turi būti nagrinėjamas atsižvelgiant tik į Pagrindinių teisių chartijoje užtikrinamas pagrindines teises (2015 m. rugsėjo 3 d. Sprendimo Inuit Tapiriit Kanatami ir kt. / Komisija, C‑398/13 P, EU:C:2015:535, 45 ir 46 punktai).
28
Vis dėlto jurisprudencijoje pripažįstama, kad, pirma, pagal ESS 6 straipsnio 3 dalį EŽTK pripažintos pagrindinės teisės yra Sąjungos teisės bendrieji principai ir kad, antra, iš Chartijos 52 straipsnio 3 dalies matyti, jog Chartijoje įtvirtintų teisių, atitinkančių EŽTK garantuojamas teises, esmė ir taikymo sritis yra tokios pat kaip EŽTK įtvirtintų teisių (žr. 2018 m. gegužės 31 d. Sprendimo Korwin‑Mikke / Parlamentas, T‑770/16, EU:T:2018:320, 38 punktą ir jame nurodytą jurisprudenciją).
29
Taigi, remiantis jurisprudencija, siekiant nuoseklumo ir nepažeidžiant Sąjungos teisės ir Europos Sąjungos Teisingumo Teismo autonomijos, Pagrindinių teisių chartijoje įtvirtintos teisės, atitinkančios EŽTK garantuojamas teises, taip pat turi būti aiškinamos atsižvelgiant į Europos Žmogaus Teisių Teismo (toliau – EŽTT) jurisprudenciją (šiuo klausimu žr. 2023 m. lapkričio 9 d. Sprendimo Staatssecretaris van Justitie en Veiligheid (Didelės žalos sąvoka), C‑125/22, EU:C:2023:843, 59 punktą ir 2018 m. gegužės 31 d. Sprendimo Korwin-Mikke / Parlamentas, T‑770/16, EU:T:2018:320, 38 punktą).
30
Remiantis jurisprudencija darytina išvada, kad pagal Pagrindinių teisių chartijos 52 straipsnio 3 dalį Teisingumo Teismas turi užtikrinti, kad jo pateiktu Chartijos 47 straipsnio antros pastraipos išaiškinimu būtų garantuojamas toks apsaugos lygis, kuris atitiktų pagal EŽTK 6 straipsnio 1 dalį, kaip ją aiškina EŽTT, suteikiamą apsaugos lygį (žr. 2021 m. spalio 6 d. Sprendimo W. Ż. (Aukščiausiojo Teismo išimtinės kontrolės ir viešųjų reikalų kolegija – Skyrimas), C‑487/19, EU:C:2021:798, 123 punktą ir jame nurodytą jurisprudenciją).
31
Taip pat reikia pažymėti, jog BDAR 45 straipsnio 2 dalyje numatyta, kad vertindama trečiosios šalies užtikrinamo apsaugos lygio tinkamumą Komisija visų pirma atsižvelgia į šiuos aspektus:
„a)
<…> veiksmingas ir vykdytinas duomenų subjektų teises ir veiksmingas administracines bei teismines duomenų subjektų, kurių asmens duomenys yra perduodami, teisių gynimo priemones;
b)
tai, ar yra ir ar veiksmingai veikia viena ar kelios nepriklausomos priežiūros institucijos trečiojoje šalyje arba kurioms yra pavaldi tarptautinė organizacija ir kurių atsakomybė yra užtikrinti, kad būtų laikomasi duomenų apsaugos taisyklių ir jos būtų vykdomos, įskaitant tinkamus vykdymo įgaliojimus padėti duomenų subjektams naudotis savo teisėmis ir patarti, kaip tai daryti, ir bendradarbiauti su valstybių narių priežiūros institucijomis“.
32
Atsižvelgiant būtent į šias aplinkybes reikia išnagrinėti du priekaištus, kuriuos ieškovas pateikė grįsdamas šį pagrindą.
a)
Dėl trečiojo pagrindo pirmo priekaišto, kad DPRC nėra nepriklausomas ir nešališkas teismas
33
Pateikdamas ieškinio trečiojo pagrindo pirmą priekaištą ieškovas teigia, kad DPRC nėra nepriklausomas ir nešališkas teismas, kaip tai suprantama pagal Pagrindinių teisių chartijos 47 straipsnio antrą pastraipą, ir kad tai yra pusiau teisminė institucija, priklausanti nuo vykdomosios valdžios.
34
Komisija, palaikoma Airijos ir Jungtinių Amerikos Valstijų, ginčija tokį ieškovo argumentą.
35
Pirmiausia reikia pažymėti, kad pagal jurisprudenciją teismų nepriklausomumo reikalavimas, kuris neatsiejamas nuo teismo paskirties, yra pagrindinės teisės į veiksmingą teisminę gynybą ir teisingą bylos nagrinėjimą esmė, o ši teisė ypač svarbi, nes yra visų teisių, kurias teisės subjektai turi pagal Sąjungos teisę, apsaugos ir valstybių narių bendrų vertybių, nurodytų ESS 2 straipsnyje, tarp jų teisinės valstybės vertybės, išsaugojimo garantas (2021 m. liepos 15 d. Sprendimo Komisija / Lenkija (Teisėjų drausmės tvarka), C‑791/19, EU:C:2021:596, 58 punktas ir jame nurodyta jurisprudencija). Pagal valdžių padalijimo principą, kuris būdingas teisinės valstybės veikimui, turi būti užtikrinamas teismų nepriklausomumas nuo įstatymų leidžiamosios ir vykdomosios valdžių (žr. 2021 m. gegužės 18 d. Sprendimo Asociația Forumul Judecătorilor din România ir kt., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 ir C‑397/19, EU:C:2021:393, 195 punktą ir jame nurodytą jurisprudenciją).
36
Jurisprudencijoje nurodyta, kad teismų nepriklausomumo reikalavimas apima du aspektus. Pagal pirmąjį, išorinį, aspektą reikalaujama, kad atitinkama institucija savo funkcijas vykdytų visiškai autonomiškai, jos nesaistytų jokie hierarchijos ar pavaldumo ryšiai, ji negautų jokių nurodymų ar įpareigojimų, taigi būtų apsaugota nuo išorinio poveikio ar spaudimo, kurie gali kelti grėsmę jos narių nepriklausomam sprendimų priėmimui ir turėti įtakos jų sprendimams. Antrasis, vidinis, aspektas susijęs su nešališkumo sąvoka ir reikalauja vienodai atsiriboti nuo bylos šalių ir jų atitinkamų interesų, susijusių su nagrinėjamos bylos dalyku. Pagal šį aspektą reikalaujama objektyvumo ir kad nebūtų jokio suinteresuotumo bylos baigtimi, išskyrus siekį, kad ginčas būtų išspręstas griežtai laikantis teisės normų (žr. 2021 m. gruodžio 21 d. Sprendimo euro Box Promotion ir kt., C‑357/19, C‑379/19, C‑547/19, C‑811/19 ir C‑840/19, EU:C:2021:1034, 224 punktą ir jame nurodytą jurisprudenciją).
37
Norint užtikrinti pagal Sąjungos teisę reikalaujamas nepriklausomumo ir nešališkumo garantijas, būtina, kad būtų taisyklės, be kita ko, dėl teismo sudėties, jo narių skyrimo, įgaliojimų trukmės ir nusišalinimo, nušalinimo ir atšaukimo priežasčių, kad teisės subjektams nekiltų jokių pagrįstų abejonių dėl to, ar teismui nedaro įtakos išorės veiksniai, ir dėl jo neutralumo, kai susikerta interesai (žr. 2021 m. liepos 15 d. Sprendimo Komisija / Lenkija (Teisėjų drausmės tvarka), C‑791/19, EU:C:2021:596, 59 punktą ir jame nurodytą jurisprudenciją).
38
Atsižvelgiant į tai, reikia išnagrinėti tris ieškovo argumentus, kuriais jis grindžia šį priekaištą.
1) Dėl pirmojo argumento, kad DPRC nėra nepriklausomas ir nešališkas teismas, nes jo užduotis – peržiūrėti „Civil Liberties Protection Officer of the Director of National Intelligence“ sprendimus
39
Pateikdamas pirmąjį argumentą ieškovas iš esmės teigia, kad DPRC nėra nepriklausomas ir nešališkas teismas, nes jo užduotis – peržiūrėti Civil Liberties Protection Officer of the Director of National Intelligence (Nacionalinės žvalgybos direktoriaus tarnybos pilietinių laisvių apsaugos pareigūnas, toliau – CLPO, Jungtinės Amerikos Valstijos), veikiančio prie Jungtinių Amerikos Valstijų nacionalinės žvalgybos direktoriaus biuro (toliau – nacionalinės žvalgybos direktorius), sprendimus.
40
Komisija, palaikoma Airijos ir Jungtinių Amerikos Valstijų, nesutinka su tokiu ieškovo argumentu.
41
Aiškumo dėlei reikia patikslinti, kad ieškinio trečiojo pagrindo pirmojo priekaišto pirmasis argumentas turi būti suprantamas taip, kad iš esmės, kaip teigia ieškovas, pirma, nagrinėjant skundą dėl asmens duomenų, kurį Sąjungoje pateikė duomenų subjektas, norintis remtis Jungtinių Valstijų teisės, reglamentuojančios signalų žvalgybos veiklą, pažeidimu, kenkiančiu jo interesams privataus gyvenimo ir pilietinių laisvių apsaugos srityje (toliau – skundas dėl asmens duomenų), CLPO neturi pakankamai garantijų, kad būtų užtikrintas jo nepriklausomumas, nes jis pavaldus Nacionalinės žvalgybos direktoriaus biurui, ir, antra, DPRC nėra nepriklausomas ir nešališkas teismas, nes CLPO taikomos garantijos yra nepakankamos.
42
Pirmiausia reikia pažymėti, kad su CLPO nepriklausomumu susijusių garantijų nagrinėjimas neturi reikšmės vertinant, ar DPRC yra nepriklausomas ir nešališkas teismas. DPRC buvo įsteigtas kaip nuo CLPO nepriklausomas priežiūros organas, kuriam, kaip matyti iš ginčijamo sprendimo 184 konstatuojamosios dalies, skundą dėl asmens duomenų pateikęs asmuo ir kiekvienas žvalgybos bendruomenės subjektas gali teikti prašymą peržiūrėti CLPO sprendimą, o E. O. 14086 buvo numatytos įvairios garantijos, kad DPRC galėtų peržiūrėti CLPO sprendimus ir prireikus juos nepriklausomai ir nešališkai pakeisti.
43
Pirma, iš ginčijamo sprendimo 185 ir 186 konstatuojamųjų dalių, ieškovui to neginčijant, matyti, kad DPRC sudaro ne mažiau kaip šeši teisėjai, kuriuos skiria Attorney General (generalinis prokuroras, Jungtinės Amerikos Valstijos, toliau – generalinis prokuroras), pasikonsultavęs su Privacy and Civil Liberties Oversight Board (Privatumo ir piliečių laisvių priežiūros valdyba, Jungtinės Amerikos Valstijos, toliau – PCLOB), Secretary of Commerce (JAV prekybos sekretorius) ir Nacionalinės žvalgybos direktoriumi, ketverių metų kadencijai, kuri gali būti pratęsta, taikant tuos pačius kriterijus, kurie taikomi federaliniams teisėjams, ir atsižvelgiant į jų ankstesnę teisminio darbo patirtį. Taigi teisėjai turi būti praktikuojantys teisininkai, t. y. aktyvūs advokatūros nariai, turintys tinkamą licenciją verstis teisės praktika, ir jie turi turėti pakankamai patirties privatumo ir nacionalinio saugumo teisės srityje. Be to, generalinis prokuroras turi stengtis užtikrinti, kad bent pusė teisėjų turėtų teisminio darbo patirties, ir visi teisėjai turi turėti patikimumo pažymėjimą, kad galėtų susipažinti su įslaptinta nacionalinio saugumo informacija. Į DPRC gali būti paskirti tik tie asmenys, kurie paskyrimo metu atitinka pirma nurodytus kvalifikacijos reikalavimus ir paskyrimo metu nėra arba per pastaruosius dvejus metus nebuvo įdarbinti vykdomojoje valdžioje. Be to, kadencijos laikotarpiu DPRC teisėjai negali eiti jokių oficialių pareigų ar dirbti darbo Jungtinių Amerikos Valstijų vyriausybėje.
44
Antra, iš ginčijamo sprendimo 188 ir 189 konstatuojamųjų dalių matyti, ir ieškovas to neginčija, kad CLPO sprendimus visiškai peržiūri DPRC trijų teisėjų kolegija, o jai padeda specialusis advokatas. Atlikdamas minėtą peržiūrą DPRC remiasi ne vien CLPO pateikta bylos medžiaga, bet ir skundo pateikėjo, teisėjams padedančio specialiojo advokato ir žvalgybos agentūrų pateikta informacija ir pastabomis, taip pat prireikus papildoma informacija, kurios jis prašė nagrinėdamas skundą dėl asmens duomenų. Be to, atlikdamas šią peržiūrą DPRC turi taikyti reikšmingą Supreme Court of the United States (Jungtinių Amerikos Valstijų Aukščiausiasis Teismas) jurisprudenciją.
45
Trečia, iš ginčijamo sprendimo 190 ir 191 konstatuojamųjų dalių matyti, ir ieškovas to neginčija, kad DPRC turi teisę pakeisti CLPO sprendimą, jis nėra saistomas CLPO sprendimo ir, nesutikęs su šiuo pareigūnu, gali priimti savo sprendimą dėl skundo, susijusio su asmens duomenimis. Be to, neatsižvelgiant į DPRC priimtą sprendimą, toks sprendimas yra privalomas ir galutinis. Taigi tiek žvalgybos agentūros, tiek Jungtinių Amerikos Valstijų vyriausybė privalo jo laikytis.
46
Iš to, kas išdėstyta, matyti, kad E. O. 14086 numatytos garantijos, susijusios su DPRC veikimu ir įgaliojimais, leidžia nepriklausomai ir nešališkai peržiūrėti CLPO priimtus sprendimus. Taigi ieškovas nepagrįstai teigia, kad CLPO taikomų garantijų nepakankamumas daro poveikį DPRC nepriklausomumui ir nešališkumui.
47
Bet kuriuo atveju, kalbant apie tariamą CLPO nepriklausomumui užtikrinti skirtų garantijų nepakankamumą, reikia pažymėti tai, kas nurodyta toliau.
48
Pabrėžtina, kad, kaip matyti iš ginčijamo sprendimo 176–181 punktų, ir ieškovas to neginčija, kad E. O. 14086, papildytu AG reglamentu, buvo nustatytas specialus apskundimo mechanizmas, skirtas nagrinėti skundus dėl asmens duomenų. Toks skundas turi būti pateiktas priežiūros institucijai, kiekvienoje valstybėje narėje atsakingai už asmens duomenų tvarkymo priežiūrą, o ji perduoda šį skundą CLPO, jeigu jame pateikta ginčijamo sprendimo 178 punkte nurodyta informacija, t. y. informacija apie asmens duomenis, kurie, kaip pagrįstai manoma, buvo perduoti į Jungtines Amerikos Valstijas, priemonės, kuriomis galima laikyti, kad jie buvo perduoti, Jungtinių Amerikos Valstijų valdžios subjektai, kurie, kaip manoma, dalyvavo vykdant įtariamą pažeidimą, jeigu ji žinoma, įtariamo Jungtinių Amerikos Valstijų teisės pažeidimo pagrindas bei prašomos teisių gynimo priemonės pobūdis. Šiomis aplinkybėmis CLPO turi nustatyti, ar žvalgybos agentūros pažeidė taikytiną Jungtinių Amerikos Valstijų teisę, ir, jei taip, gali nurodyti įgyvendinti taisomąsias priemones. CLPO sprendimas dėl minėto skundo yra privalomas.
49
Tiesa, ginčijamo sprendimo 179 konstatuojamojoje dalyje Komisija nurodo, kad CLPO priklauso Nacionalinės žvalgybos direktoriaus biurui ir kad, be specialios jurisdikcijos nagrinėti skundą dėl asmens duomenų, apskritai jis privalo užtikrinti, kad pilietinių laisvių ir privataus gyvenimo apsauga būtų tinkamai integruota į šio biuro ir žvalgybos agentūrų politiką ir procedūras ir kad jos laikytųsi reikalavimų, taikomų privataus gyvenimo ir pilietinių laisvių apsaugos srityje. Vis dėlto, viena vertus, reikia pažymėti, kad, kaip nurodyta toje konstatuojamojoje dalyje, siekiant užtikrinti CLPO nepriklausomumą, E. O. 14086 numatyta, kad CLPO gali atleisti tik Nacionalinės žvalgybos direktorius ir tik dėl svarios priežasties, t. y. netinkamo elgesio, piktnaudžiavimo, saugumo pažeidimo, pareigų nevykdymo ar negalėjimo eiti pareigas. Kita vertus, kaip matyti iš ginčijamo sprendimo 180 konstatuojamosios dalies, žvalgybos agentūroms ir nacionalinės žvalgybos direktoriui draudžiama trukdyti CLPO darbui arba daryti jam neteisėtą įtaką, nes CLPO, nagrinėdamas skundą dėl asmens duomenų, turi taikyti įstatymą nešališkai, atsižvelgdama tiek į nacionalinio saugumo, tiek į privataus gyvenimo apsaugos interesus.
50
Tokiomis aplinkybėmis šį argumentą reikia atmesti.
2) Dėl antrojo argumento, kad DPRC nėra nepriklausomas ir nešališkas teismas, nes jį sudaro teisėjai, paskirti generalinio prokuroro, pasikonsultavus su PCLOB
51
Pateikdamas antrąjį argumentą ieškovas iš esmės teigia, kad DPRC nėra nepriklausomas ir nešališkas teismas, nes jį sudaro teisėjai, kuriuos skiria generalinis prokuroras, pasikonsultavęs su PCLOB, kuri yra nuo vykdomosios valdžios priklausanti institucija.
52
Komisija, palaikoma Airijos ir Jungtinių Amerikos Valstijų, nesutinka su tokiu ieškovo argumentu.
53
Pirma, iš ginčijamo sprendimo 110 konstatuojamosios dalies matyti, kad PCLOB yra nepriklausoma vykdomosios valdžios agentūra. Šios agentūros nepriklausomumą visų pirma lemia jos sudėtis. Ją sudaro dvipartinė penkių narių valdyba, Senatui pritarus Prezidento skiriama nustatytai šešerių metų kadencijai. Šie nariai turi būti atrenkami atsižvelgiant į jų profesinę kvalifikaciją, pasiekimus, reikšmę visuomenėje, kompetenciją privatumo ir pilietinių laisvių apsaugos srityje ir patirtį, neatsižvelgiant į jų politinę priklausomybę. PCLOB gali sudaryti ne daugiau kaip trys tai pačiai politinei partijai priklausantys nariai. PCLOB nariu paskirtas asmuo per savo kadenciją negali būti išrinktas atstovas, federalinės vyriausybės pareigūnas ar darbuotojas, ir gali eiti tik PCLOB nario pareigas.
54
Darytina išvada, kad nors PCLOB buvo įsteigta kaip vykdomosios valdžios dalis, pagal steigimo sutartį ji buvo sukurta kaip nepriklausoma agentūra, kurios užduotis – nešališkai prižiūrėti vykdomosios valdžios atliekamą darbą siekiant, be kita ko, apsaugoti privatų gyvenimą ir pilietines laisves. Taigi, kaip nurodyta ginčijamo sprendimo 194 konstatuojamojoje dalyje ir ieškovas to neginčija, PCLOB turi kasmet patikrinti, ar CLPO ir DPRC gautas bylas išnagrinėjo per nustatytą terminą, ar jie turėjo galimybę susipažinti su visa būtina informacija, ar atsižvelgė į visas E. O. 14086 numatytas garantijas ir ar žvalgybos agentūros laikėsi jų sprendimų. Po šio patikrinimo jis turi viešai patvirtinti, kad CLPO ir DPRC laikėsi šių garantijų. Be to, jis turi pateikti ataskaitą JAV prezidentui, generaliniam prokurorui, Nacionalinės žvalgybos direktoriui, žvalgybos agentūrų vadovams, CLPO ir United States Congress (JAV Kongresas) žvalgybos komitetams. Viešai skelbiama neįslaptinta ataskaitos versija. Generalinis prokuroras, Nacionalinės žvalgybos direktorius, CLPO ir žvalgybos agentūrų vadovai turi įgyvendinti visas toje ataskaitoje pateiktas rekomendacijas.
55
Šiomis aplinkybėmis tai, kad PCLOB buvo įsteigta kaip vykdomosios valdžios dalis, savaime neleidžia daryti išvados, kad dėl konsultavimosi su ja prieš skiriant DPRC teisėjus DPRC nėra nepriklausomas ir nešališkas teismas.
56
Antra, reikia pažymėti, jog, siekiant užtikrinti, kad DPRC teisėjai būtų nepriklausomi nuo vykdomosios valdžios, E. O. 14086 numatyta, kad skirdamas juos, generalinis prokuroras turi paisyti šio sprendimo 43 punkte nurodytų kriterijų ir sąlygų. Be to, kaip matyti iš ginčijamo sprendimo 187 konstatuojamosios dalies, DPRC teisėjus gali atleisti tik generalinis prokuroras ir tik dėl pagrįstos priežasties, t. y. dėl netinkamo elgesio, piktnaudžiavimo, saugumo pažeidimo, pareigų nevykdymo ar neveiksnumo, prieš tai tinkamai atsižvelgęs į federaliniams teisėjams taikomas normas, nustatytas taisyklėse dėl teisėjų etikos ir teisėjo negalėjimo eiti pareigas procedūros.
57
Darytina išvada, kad DPRC teisėjų skyrimo ir atleidimo iš pareigų taisyklės negali paneigti jo nepriklausomumo ir nešališkumo.
58
Trečia, reikia pažymėti, kad pagal ginčijamo sprendimo 3 straipsnio 1 dalį Komisija turi nuolat stebėti, kaip taikoma teisinė sistema, kuri yra minėto sprendimo dalykas, be kita ko, sąlygas, kuriomis toliau perduodami asmens duomenys, naudojamasi asmens teisėmis ir įgyvendinamos asmenų teisės, o Jungtinių Amerikos Valstijų valdžios institucijoms suteikiama galimybė susipažinti su duomenimis, kurie buvo perduoti pagal ginčijamą sprendimą, siekiant įvertinti, ar Jungtinės Amerikos Valstijos ir toliau užtikrina tinkamą apsaugos lygį. Taigi pagal minėto straipsnio 5 dalį, jeigu Komisija nustato požymių, kad tinkamas apsaugos lygis nebeužtikrinamas, ji apie tai informuoja Jungtinių Amerikos Valstijų valdžios institucijas ir prireikus priima sprendimą laikinai sustabdyti šio sprendimo galiojimą, iš dalies jį pakeisti ar panaikinti arba apriboti jo taikymo sritį. Vadinasi, jei pasikeičia ginčijamo sprendimo priėmimo metu Jungtinėse Amerikos Valstijose galiojusios teisės nuostatos, dėl kurių Komisija nusprendė, kad DPRC suteikė teisinę apsaugą, iš esmės lygiavertę Sąjungos teisėje užtikrinamai apsaugai, Komisija prireikus nusprendžia sustabdyti, iš dalies pakeisti ar panaikinti ginčijamą sprendimą arba apriboti jo taikymo sritį.
59
Atsižvelgiant į visa, kas išdėstyta, šį argumentą reikia atmesti.
3) Dėl trečiojo argumento, kad DPRC nėra nepriklausomas ir nešališkas teismas, nes AG reglamente neatmetama galimybė, kad šio teismo teisėjams gali būti taikoma kitokia nei kasdienė vykdomosios valdžios priežiūra
60
Trečiuoju argumentu ieškovas iš esmės teigia, kad DPRC nėra nepriklausomas ir nešališkas teismas, nes pagal AG reglamentą neatmetama galimybė, kad vykdomoji valdžia vykdo ne kasdienę jo teisėjų priežiūrą.
61
Komisija, palaikoma Airijos ir Jungtinių Amerikos Valstijų, nesutinka su tokiu ieškovo argumentu.
62
Reikia pažymėti, kad nors iš bylos medžiagos matyti, jog pagal AG reglamento 201.7 straipsnio d punktą DPRC teisėjams neturi būti taikoma kasdienė generalinio prokuroro priežiūra, ginčijamo sprendimo 187 konstatuojamojoje dalyje taip pat nurodyta, kad pagal E. O. 14086 žvalgybos agentūroms ir generaliniam prokurorui draudžiama kištis į DPRC darbą arba daryti jam nederamą įtaką. Be to, iš bylos medžiagos matyti, kad E. O. 14086 ir AG reglamentu ribojama vykdomosios valdžios galimybė daryti įtaką DPRC darbui, nes nustatyta, kad jo teisėjus gali atleisti tik generalinis prokuroras ir tik dėl šio sprendimo 56 punkte nurodytų priežasčių.
63
Šiomis aplinkybėmis reikia atmesti šį argumentą, taigi ir visą trečiojo pagrindo pirmą priekaištą.
b)
Dėl trečiojo pagrindo antro priekaišto, kad DPRC nėra pagal įstatymą įsteigtas teismas
64
Trečiojo pagrindo antrame priekaište ieškovas teigia, kad DPRC nebuvo įsteigtas pagal įstatymą, kaip tai suprantama pagal Pagrindinių teisių chartijos 47 straipsnio antrą pastraipą, nes jis buvo įsteigtas ne JAV Kongreso priimtu įstatymu, o vykdomosios valdžios aktu, t. y. generalinio prokuroro sprendimu.
65
Komisija, palaikoma Airijos ir Jungtinių Amerikos Valstijų, ginčija tokį ieškovo argumentą.
66
Pirma, iš Teisingumo Teismo jurisprudencijos, suformuotos atsižvelgiant į EŽTT jurisprudenciją dėl EŽTK 6 straipsnio 1 dalies (2020 m. gruodžio 1 d. EŽTT sprendimo Guðmundur Andri Ástráðsson prieš Islandiją, CE:ECHR:2020:1201JUD002637418, 231 ir 233 punktai), matyti, kad nors teisė į pagal įstatymą įsteigtą teismą yra savarankiška, ji labai glaudžiai susijusi su toje pačioje nuostatoje įtvirtintomis nepriklausomumo ir nešališkumo garantijomis. Konkrečiau kalbant, nors kiekvienu iš minėtose nuostatose įtvirtintų reikalavimų siekiama konkretaus tikslo, dėl kurio jos pripažįstamos specifinėmis teisingo bylos nagrinėjimo garantijomis, šiomis garantijomis siekiama laikytis tų pačių pagrindinių principų – teisės viršenybės ir valdžių atskyrimo. Kiekvienas iš šių reikalavimų grindžiamas imperatyvu išsaugoti visuomenės pasitikėjimą teismų valdžia ir šios valdžios nepriklausomumą nuo kitų valdžių (žr. 2022 m. vasario 22 d. Sprendimo Openbaar Ministerie (Išduodančiojoje valstybėje narėje pagal įstatymą įsteigtas teismas), C‑562/21 PPU ir C‑563/21 PPU, EU:C:2022:100, 56 punktą ir jame nurodytą jurisprudenciją ir 2022 m. kovo 29 d. Sprendimo Getin Noble Bank, C‑132/20, EU:C:2022:235, 117 punktą ir jame nurodytą jurisprudenciją).
67
Be to, Teisingumo Teismas, atkartodamas EŽTT jurisprudenciją (2014 m. liepos 8 d. EŽTT sprendimo Biagioli prieš San Marino, CE:ECHR:2014:0708DEC000816213, 72–74 punktai; taip pat žr. 2019 m. gegužės 2 d. EŽTT sprendimo Pasquini prieš San Marino, CE:ECHR:2019:0502JUD005095616, 100 ir 101 punktus ir juose nurodytą jurisprudenciją), patikslino, kad žodžių junginiu „pagal įstatymą įsteigtas“ siekiama išvengti, kad teismų sistemos organizavimas būtų paliktas vykdomosios valdžios diskrecijai, ir užtikrinti, kad šis klausimas būtų reglamentuojamas įstatymo, kurį įstatymų leidžiamoji valdžia priima laikydamasi jos kompetencijos įgyvendinimą reglamentuojančių taisyklių. Taigi šis žodžių junginys pirmiausia atspindi teisinės valstybės principą ir susijęs ne tik su paties teismo steigimo teisiniu pagrindu, bet ir su kiekvieną bylą nagrinėjančio teismo sudėtimi ir bet kuria kita vidaus teisės nuostata, kurios nesilaikant vieno ar kelių teisėjų dalyvavimas nagrinėjant bylą tampa neteisėtas; tokios nuostatos pirmiausia susijusios su atitinkamo teismo narių nepriklausomumu ir nešališkumu (žr. 2022 m. kovo 29 d. Sprendimo Getin Noble Bank, C‑132/20, EU:C:2022:235, 121 punktą ir jame nurodytą jurisprudenciją).
68
Šiomis aplinkybėmis Teisingumo Teismas yra nusprendęs, kad konstatuojant, jog buvo pažeistas pagal įstatymą įsteigto teismo reikalavimas, ir tokio pažeidimo pasekmes, turi būti įvertinta daug aplinkybių, dėl kurių visumos bylos šalims kyla pagrįstų abejonių dėl teisėjų nepriklausomumo ir nešališkumo (žr. 2022 m. vasario 22 d. Sprendimo Openbaar Ministerie (Išduodančiojoje valstybėje narėje pagal įstatymą įsteigtas teismas), C‑562/21 PPU ir C‑563/21 PPU, EU:C:2022:100, 74 punktą ir jame nurodytą jurisprudenciją).
69
Taigi Teisingumo Teismas nusprendė, kad vien aplinkybė, jog tokią instituciją, kaip Nacionalinė teisėjų taryba, kuri dalyvauja teisėjų skyrimo procese, daugiausia sudaro įstatymų leidžiamosios valdžios pasirinkti nariai, negali sukelti abejonių dėl pasibaigus šiai procedūrai paskirtų teisėjų nepriklausomumo, tačiau kitaip galėtų būti tuo atveju, kai ši aplinkybė kartu su kitomis svarbiomis aplinkybėmis ir sąlygomis, kuriomis šie sprendimai buvo priimti, keltų tokių abejonių (žr. 2022 m. vasario 22 d. Sprendimo Openbaar Ministerie (Išduodančiojoje valstybėje narėje pagal įstatymą įsteigtas teismas), C‑562/21 PPU ir C‑563/21 PPU, EU:C:2022:100, 75 punktą ir jame nurodytą jurisprudenciją).
70
Be to, 2020 m. gruodžio 1 d. Sprendime Guðmundur Andri Ástráðsson prieš Islandiją (CE:ECHR:2020:1201JUD002637418, 207 ir 212 punktai) EŽTT nusprendė, kad vykdomoji valdžia arba teisės aktų leidėjas gali skirti teisėjus su sąlyga, kad taip paskirtiems teisėjams, jiems vykdant savo, kaip teisėjų, pareigas, nebus daroma jokio spaudimo ar įtakos.
71
Iš tokios jurisprudencijos matyti, kad, siekiant įvertinti, ar įvykdyti iš Pagrindinių teisių chartijos 47 straipsnio antros pastraipos kylantys reikalavimai, reikia įvertinti ne tik teisės akto, kuriuo įsteigiamas teismas ir nustatomos jo veiklos taisyklės, formalų pobūdį, bet ir tai, ar šiame teisės akte numatytos pakankamos garantijos, kuriomis siekiama užtikrinti jo nepriklausomumą ir nešališkumą kitų valdžios institucijų, visų pirma vykdomosios valdžios, atžvilgiu.
72
Antra, reikia priminti, kad, kaip Teisingumo Teismas konstatavo sprendimuose Schrems I ir Schrems II, priimdama sprendimą dėl tinkamumo Komisija neprivalo įsitikinti, kad atitinkamos trečiosios valstybės nuostatos yra tapačios Sąjungoje galiojančioms nuostatoms, o turi patikrinti, ar jos yra iš esmės lygiavertės toms, kurios užtikrinamos Sąjungos teisėje pagal BDAR, siejamą su Pagrindinių teisių chartija (žr. šio sprendimo 19 ir 20 punktus). Vadinasi, nagrinėjamu atveju Bendrasis Teismas turi patikrinti, ar pagrįsta ginčijamame sprendime Komisijos padaryta išvada dėl tinkamumo, pagal kurią JAV teisės nuostatos, susijusios su DPRC įsteigimu ir veikimu, suteikia garantijas, iš esmės lygiavertes numatytoms Sąjungos teisėje, t. y. Pagrindinių teisių chartijos 47 straipsnio antroje pastraipoje. Tokios garantijos visų pirma suteikiamos, kai teisės aktu, kuriuo įsteigiamas šis teismas ir nustatomos jo veiklos taisyklės, siekiama užtikrinti jo nepriklausomumą ir nešališkumą kitų valdžios institucijų, visų pirma vykdomosios valdžios, atžvilgiu, nepaisant to, kad minėtas teisės aktas formaliai nėra įstatymas.
73
Nagrinėjamu atveju iš ginčijamo sprendimo 185 konstatuojamosios dalies matyti, ir ieškovas to neginčija, kad DPRC buvo įsteigtas AG reglamentu. Tai reiškia, kad DPRC nebuvo įsteigtas įstatymų leidžiamosios valdžios, t. y. JAV Kongreso priimtu įstatymu, ir kad jis buvo įsteigtas vykdomosios valdžios priimtu aktu. Generalinis prokuroras yra JAV teisingumo departamento vadovas ir pagrindinis asmuo, atsakingas už įstatymų taikymą JAV federalinėje vyriausybėje. Jis yra pagrindinis JAV prezidento patarėjas visais teisės klausimais ir yra jo kabineto narys.
74
Šiomis aplinkybėmis reikia patikrinti, ar E. O. 14086 ir AG reglamente numatytos garantijos, skirtos užtikrinti DPRC nešališkumą ir nepriklausomumą, yra iš esmės lygiavertės numatytoms Sąjungos teisėje.
75
Šiuo klausimu, pirma, reikia pažymėti, kad iš bylos medžiagos matyti, ir tai nebuvo ginčijama, kad:
–
generalinis prokuroras priėmė AG reglamentą remdamasis jam pagal įstatymą suteiktais įgaliojimais priimti privalomus sprendimus JAV teisės klausimais, įskaitant klausimus, susijusius su duomenų perdavimu iš Sąjungos, reglamentuojamus E. O. 14086;
–
įsteigdamas DPRC, generalinis prokuroras jam perdavė įgaliojimus priimti sprendimus dėl Sąjungos piliečio ginčijamos signalų žvalgybos veiklos teisėtumo, taigi generalinis prokuroras de jure nebeturi teisės naudotis įgaliojimais, kuriuos perdavė DPRC, kol šis egzistuoja;
–
kaip nurodyta ginčijamo sprendimo 63 puslapyje esančioje 366 išnašoje, JAV Aukščiausiasis Teismas pripažino generalinio prokuroro galimybę įsteigti nepriklausomus organus, turinčius sprendimų priėmimo įgaliojimus, kaip antai DPRC; be to, tas teismas nusprendė, kad generalinio prokuroro įgaliojimų perdavimas jo įgaliotiniui yra privalomas vykdomajai valdžiai; taigi iš minėto teismo jurisprudencijos matyti, kad tol, kol galioja AG reglamentas, jis yra privalomas vykdomajai valdžiai ir kad nei žvalgybos agentūros, nei JAV vyriausybė negali peržiūrėti ar atšaukti jo sprendimų.
76
Antra, reikia priminti, jog iš esmės iš ginčijamo sprendimo aišku, kad:
–
DPRC teisėjus skiria generalinis prokuroras, remdamasis kriterijais ir laikydamasis šios išvados 43 punkte nurodytų sąlygų;
–
DPRC teisėjus gali atleisti tik generalinis prokuroras ir tik dėl šio sprendimo 56 punkte nurodytų priežasčių, deramai atsižvelgdamas į federaliniams teisėjams taikomus standartus, nustatytus teisėjų etiką ir teisėjų neveiksnumo procedūrą reglamentuojančiose taisyklėse;
–
DPRC priimtas sprendimas yra privalomas ir galutinis. Taigi tiek vykdomoji valdžia, tiek žvalgybos agentūros privalo jų laikytis;
–
PCLOB prižiūri DPRC atliktą darbą, neperžengdama šio sprendimo 54 punkte nurodytų ribų.
77
Antra, kaip matyti iš ginčijamo sprendimo 187–189 konstatuojamųjų dalių, DPRC teisėjai, eidami savo pareigas DPRC, turi laikytis šių procedūrinių garantijų:
–
skundus dėl asmens duomenų turi nagrinėti trijų teisėjų, įskaitant pirmininkaujantį teisėją, kolegija; kiekvienoje byloje trijų teisėjų kolegijos sudėtį savo ruožtu parenka Teisingumo ministerijos Pilietinių laisvių ir privataus gyvenimo tarnyba, atsakinga už administracinės pagalbos teikimą DPRC, užtikrinant, kad kiekvienoje kolegijoje būtų bent vienas teisėjas, turintis ankstesnės teisminio darbo patirties;
–
nagrinėjant skundą dėl asmens duomenų jiems padeda specialusis advokatas, kurį dvejų metų kadencijai, kuri gali būti pratęsta, skiria generalinis prokuroras, pasikonsultavęs su valstybės prekybos sekretoriumi, nacionalinės žvalgybos direktoriumi ir PCLOB; specialusis advokatas turi turėti atitinkamos patirties privataus gyvenimo teisės ir nacionalinio saugumo srityje, jis turi būti patyręs advokatas ir praktikuojantis advokatūros narys; be to, skyrimo metu jis pastaruosius dvejus metus negali būti buvęs vykdomosios valdžios institucijos darbuotojas; specialusis advokatas turi turėti galimybę susipažinti su visa informacija, įskaitant įslaptintą informaciją, ir, nors ir negina skundo pateikėjo interesų ir nepalaiko su juo ryšių kaip su klientu, jis turi užtikrinti, kad kiekvienu atveju būtų atstovaujama skundo pateikėjo interesams, o DPRC teisėjai būtų gerai informuoti visais svarbiais teisės ir fakto klausimais;
–
kad galėtų priimti sprendimą, jie turi atsižvelgti į tyrimo medžiagą, skundo pateikėjo, specialiojo advokato, žvalgybos agentūrų ir CLPO pateiktą informaciją ir pastabas, taip pat prireikus DPRC prašymu CLPO pateiktą papildomą informaciją;
–
sprendimą dėl skundo, susijusio su asmens duomenimis, jie turi priimti raštu ir balsų dauguma.
78
Trečia, reikia pažymėti, kad Sprendime Schrems II Teisingumo Teismo nurodyti trūkumai, susiję su garantijų, kad vykdomoji valdžia atleis iš pareigų „privatumo skydo“ ombudsmeną, nebuvimu ir jo sprendimų neprivalomumu, buvo pašalinti. Iš bylos medžiagos matyti, kad E. O. 14086 ribojami atvejai, kai generalinis prokuroras gali atleisti DPRC teisėjus, ir numatyta, kad jo sprendimai yra privalomi.
79
Šiomis aplinkybėmis reikia atmesti trečiojo pagrindo antrą priekaištą.
80
Šios išvados negali paneigti tai, kad iš bylos medžiagos matyti, jog DPRC, kaip ir kiti JAV teisinės sistemos teismai, nors ir turi teisę spręsti teisinius klausimus, nėra pagal Jungtinių Amerikos Valstijų Konstitucijos III straipsnį įsteigta teisminė institucija.
81
Sprendime Schrems II Teisingumo Teismas konstatavo, kad veiksmingą teisminę gynybą gali užtikrinti ne tik teismų sistemai priklausantis teismas, bet ir bet kuri kita „institucija“, suteikianti asmenims, kurių duomenys perduodami į Jungtines Amerikos Valstijas, garantijas, iš esmės lygiavertes toms, kurių reikalaujama pagal Pagrindinių teisių chartijos 47 straipsnį (Sprendimo Schrems II 197 punktas).
82
Atsižvelgiant į visa, kas išdėstyta, reikia atmesti visą trečiąjį pagrindą.
3.
Dėl ieškinio antrojo pagrindo, grindžiamo Pagrindinių teisių chartijos 7 ir 8 straipsnių pažeidimu
83
Antrajame pagrinde ieškovas tvirtina, kad Komisija pažeidė Pagrindinių teisių chartijos 7 ir 8 straipsnius, nes ginčijamame sprendime nustatė, kad Jungtinės Amerikos Valstijos užtikrina tinkamą apsaugos lygį, kiek tai susiję su šios šalies žvalgybos tarnybų atliekamu asmens duomenų rinkimu be atrankos.
a)
Dėl antrojo pagrindo dalyko
84
Reikia pažymėti, kad ieškinio 2 ir 23 puslapiuose ir dubliko 4 puslapyje, formuluodamas antrąjį pagrindą, ieškovas remiasi tuo, kad Komisija pažeidė Pagrindinių teisių chartijos 7 ir 8 straipsnius, kiek tai susiję ne tik su duomenų rinkimu be atrankos, bet ir su masiniu asmens duomenų rinkimu. Vis dėlto po minėto pagrindo pavadinimu dėstydamas argumentus ieškovas daugiausia dėmesio skiria tik šių duomenų rinkimui be atrankos.
85
Iš ginčijamo sprendimo 46 puslapyje esančios 250 išnašos, to sprendimo 141 konstatuojamosios dalies, kuri nebuvo ginčijama, ir šalių atsakymų į klausimus, pateiktus taikant proceso organizavimo priemonę ir per teismo posėdį, matyti, kad:
–
Jungtinėse Amerikos Valstijose signalų žvalgybos informacija nacionalinio saugumo tikslais, įskaitant iš ES perduodamus duomenis, gali būti renkama tik „tikslinio rinkimo“ būdu; ši sąvoka nėra apibrėžta JAV teisėje, bet paprastai vartojama siekiant apibūdinti informacijos rinkimą apie konkretų asmenį, ryšių paskyrą ar kitą nustatytą subjektą, kurio informaciją norima rinkti, ir šią veiklą vykdo žvalgybos agentūros pagal Foreign Intelligence Surveillance Act (Užsienio žvalgybos informacijos sekimo įstatymas, toliau – FISA) bei E. O. 14086;
–
už Jungtinių Amerikos Valstijų ribų, įskaitant atvejus, kai asmens duomenys iš Sąjungos tranzitu perduodami DPS organizacijoms, signalų žvalgybos duomenys nacionalinio saugumo tikslais pirmiausia renkami tikslinio duomenų rinkimo būdu; o jeigu būtina įgyvendinti patvirtintą žvalgybos prioritetą, kaip tai suprantama pagal E. O. 14086 2 dalies b punkto iii papunktį, kai informacijos neįmanoma pagrįstai gauti tikslingai renkant duomenis, žvalgybos agentūros gali rinkti asmens duomenis „be atrankos“; duomenų rinkimas be atrankos Jungtinių Amerikos Valstijų teisėje apibrėžiamas E. O. 14086 4 straipsnio b punkte kaip didelio kiekio signalų žvalgybos duomenų, kurie dėl techninių ar operatyvinių priežasčių gaunami nenaudojant atskyrimo priemonių (pvz., netaikant konkrečių identifikatorių ar atrankos sąlygų), rinkimas; duomenų rinkimas be atrankos reglamentuojamas E. O. 14086 irExecutive Order 12333, United States Intelligence Activities (Prezidento dekretas Nr. 12333 dėl JAV žvalgybos veiklos), iš dalies pakeisto Executive Orders 13284 (2003), 13355 (2004) ir 13470 (2008) (Prezidento dekretai Nr. 13284/2003, Nr. 13355/2004 ir Nr. 13470/2008), kuriuose tokiam rinkimui numatytos papildomos garantijos ir apribojimai;
–
„masinis“ asmens duomenų rinkimas, kurį Komisija ginčijamo sprendimo 250 išnašoje apibūdina kaip bendrą ir nediferencijuotą duomenų rinkimą be apribojimų ir garantijų, Jungtinėse Amerikos Valstijose nėra leidžiamas ir negali būti vykdomas nei jos teritorijoje, nei už jos ribų.
86
Iš to, kas išdėstyta, matyti: kadangi Jungtinėse Amerikos Valstijose masinis duomenų rinkimas nėra leidžiamas, o duomenų rinkimas be atrankos gali būti vykdomas tik ne Jungtinėse Amerikos Valstijose, šiuo atveju šio pagrindo dalykas apsiriboja vertinimu, ar Komisija pažeidė Pagrindinių teisių chartijos 7 ir 8 straipsnius, kiek tai susiję su Jungtinių Amerikos Valstijų žvalgybos agentūros vykdomu asmens duomenų, perduodamų iš Sąjungos DPS organizacijoms, rinkimu be atrankos, išskyrus visus asmens duomenis, kuriuos Sąjungos teritorijoje renka JAV arba valstybių narių žvalgybos agentūros.
b)
Dėl antrojo pagrindo pirmojo priekaišto, kad pagal FISA 702 straipsnį vykdomai žvalgybos veiklai netaikomos E. O. 14086 numatytos garantijos
87
Pateikdamas antrojo pagrindo pirmąjį priekaištą ieškovas teigia, kad Komisija pažeidė Pagrindinių teisių chartijos 7 ir 8 straipsnius, nes ginčijamame sprendime iš esmės konstatavo, kad Jungtinės Amerikos Valstijos užtikrina apsaugos lygį, iš esmės lygiavertį tam, kuris užtikrinamas Sąjungos teisėje pagal BDAR, siejamą su minėta Chartija, nepaisant to, kad pagal FISA 702 straipsnį Jungtinių Amerikos Valstijų žvalgybos agentūroms suteikiama galimybė be jokios atrankos rinkti kitų šalių piliečių asmens duomenis.
88
Komisija, palaikoma Airijos ir Jungtinių Amerikos Valstijų, ginčija šį ieškovo argumentą.
89
Reikia pažymėti, kad pagal FISA 702 straipsnį duomenų neleidžiama rinkti be atrankos, juos leidžiama rinkti tik tikslingai.
90
Darytina išvada, kad FISA 702 straipsnis nesusijęs su asmens duomenų rinkimu be atrankos, todėl šiuo atveju jis neturi reikšmės.
91
Taigi antrojo pagrindo pirmą priekaištą reikia atmesti.
c)
Dėl antrojo pagrindo antro priekaišto, kad pagal E. O. 14086 nenumatyta, kad asmens duomenų rinkimui be atrankos reikalingas išankstinis teismo ar administracinės institucijos leidimas
92
Pateikdamas antrojo pagrindo pirmą priekaištą ieškovas teigia, kad Komisija pažeidė Pagrindinių teisių chartijos 7 ir 8 straipsnius, nes ginčijamame sprendime iš esmės nusprendė, kad Jungtinės Amerikos Valstijos užtikrina tokį apsaugos lygį, kuris yra iš esmės lygiavertis užtikrinamam Sąjungos teisėje pagal BDAR, siejamą su minėta Chartija, nepaisant to, kad pagal E. O. 14086 Jungtinių Amerikos Valstijų žvalgybos agentūros, prieš rinkdamos asmens duomenis be jokios atrankos, neįpareigojamos gauti išankstinio teismo ar administracinės institucijos leidimo.
93
Komisija, palaikoma Airijos ir Jungtinių Amerikos Valstijų, ginčija šį ieškovo argumentą.
94
Nagrinėjamu atveju iš bylos medžiagos matyti, ir šalys to neginčija, kad Jungtinių Amerikos Valstijų teisėje nenustatyta žvalgybos agentūrų pareiga gauti išankstinį teismo ar administracinės institucijos leidimą prieš be atrankos renkant asmens duomenis, perduodamus iš Sąjungos į DPS organizacijas.
95
Reikia nustatyti, ar šis išankstinio leidimo nebuvimas gali turėti įtakos ginčijamo sprendimo teisėtumui, nes jis gali paneigti minėto sprendimo 1 straipsnyje padarytą išvadą, kad Jungtinės Amerikos Valstijos užtikrina tinkamą asmens duomenų apsaugos lygį.
96
Pirmiausia reikia priminti, kad, kaip Teisingumo Teismas nurodė Sprendime Schrems II, siekiant įvertinti sprendimo dėl tinkamumo teisėtumą, būtina įvertinti, ar trečiosios valstybės teisėje užtikrinamas toks pagrindinių laisvių ir teisių apsaugos lygis, kuris yra iš esmės lygiavertis užtikrinamam Sąjungoje pagal BDAR, siejamą su Pagrindinių teisių chartija (žr. šio sprendimo 19 punktą).
97
Būtent šiomis aplinkybėmis reikia išnagrinėti keturis argumentus, kuriuos ieškovas pateikė grįsdamas šį priekaištą.
1) Dėl pirmojo argumento, grindžiamo Sprendimu Schrems II
98
Pateikdamas pirmąjį argumentą ieškovas iš esmės teigia, kad, kaip buvo dėl sprendimo dėl tinkamumo, susijusio su „privatumo skydu“, kurį Teisingumo Teismas panaikino Sprendimu Schrems II dėl to, kad, be kita ko, nebuvo taikoma teisminė kontrolė, be atrankos vykdomam duomenų rinkimui, kurį nagrinėjamu atveju atlieka Jungtinių Amerikos Valstijų žvalgybos agentūros, teisminė priežiūra netaikoma ir jam netaikomos pakankamai aiškios ir tikslios taisyklės.
99
Komisija, palaikoma Airijos ir Jungtinių Amerikos Valstijų, nesutinka su tokiu ieškovo argumentu.
100
Pažymėtina, jog Sprendime Schrems II Teisingumo Teismas konstatavo, kad Pagrindinių teisių chartijos 7 ir 8 straipsniai yra svarbūs Sąjungoje užtikrinant reikalaujamą apsaugos lygį, kurio laikymąsi Komisija turėjo konstatuoti prieš priimdama sprendimą dėl tinkamumo pagal BDAR 45 straipsnio 1 dalį. Teisingumo Teismo teigimu, bet koks fizinio asmens duomenų tvarkymas, įskaitant jų perdavimą į trečiąją valstybę priimant sprendimą dėl tinkamumo, daro poveikį tiek šio asmens pagrindinei teisei į privataus gyvenimo gerbimą, garantuojamai minėtos Chartijos 7 straipsnyje, tiek šios chartijos 8 straipsnyje įtvirtintai jo teisei į asmens duomenų apsaugą (Sprendimo Schrems II 169–171 punktai).
101
Vis dėlto Teisingumo Teismas patikslino, kad Pagrindinių teisių chartijos 7 ir 8 straipsniuose įtvirtintos teisės nėra absoliučios ir turi būti vertinamos atsižvelgiant į jų funkciją visuomenėje (Sprendimo Schrems II 172 punktas).
102
Pagal Pagrindinių teisių chartijos 52 straipsnio 1 dalį bet koks šios Chartijos 7 ir 8 straipsniuose pripažintų teisių ir laisvių įgyvendinimo apribojimas turi būti numatytas įstatymo ir nekeisti šių teisių ir laisvių esmės. Be to, remiantis proporcingumo principu, šių teisių ir laisvių apribojimai galimi tik tuo atveju, kai jie būtini ir tikrai atitinka Sąjungos pripažintus bendrojo intereso tikslus arba reikalingi kitų teisėms ir laisvėms apsaugoti (Sprendimo Schrems II 174 punktas).
103
Šiomis aplinkybėmis Teisingumo Teismas nusprendė, kad iš dalies pakeistame Prezidento dekrete Nr. 12333 Jungtinių Amerikos Valstijų žvalgybos agentūroms suteikta galimybė susipažinti su iš Sąjungos perduodamais asmens duomenimis, šiai galimybei susipažinti netaikant jokios teisminės kontrolės, neleido pakankamai aiškiai ir tiksliai apibrėžti žvalgybos agentūrų atliekamo asmens duomenų rinkimo be atrankos apimties. Taigi jis nusprendė, kad minėtas Prezidento dekretas neatitinka minimalių Sąjungos teisėje nustatytų proporcingumo principo reikalavimų ir kad remiantis šiuo dekretu vykdomos stebėjimo programos neapsiriboja tuo, kas griežtai būtina (Sprendimo Schrems II 183 ir 184 punktai).
104
Reikia patikslinti, kaip reikia aiškinti Sprendimo Schrems II 183 punkte vartojamą žodžių junginį „jokios teismų kontrolės“.
105
Šiuo klausimu reikia pažymėti, kad Sprendimas Schrems II, visų pirma jo 183 punktas, ir jame pavartotas žodžių junginys „jokios teismų kontrolės“ neleidžia manyti, kad asmens duomenims rinkti be atrankos būtinai turi būti gautas išankstinis nepriklausomos institucijos leidimas. Atvirkščiai, iš kartu aiškinamų minėto žodžių junginio ir ginčijamo sprendimo 186–197 punktų matyti, kad sprendimo leisti tokį duomenų rinkimą teisminė kontrolė turi būti atliekama bent a posteriori.
106
Nagrinėjamu atveju, kaip nurodyta šio sprendimo 24–82 punktuose, pagal E. O. 14086 ir AG reglamentą Jungtinių Amerikos Valstijų žvalgybos agentūrų vykdomai signalų žvalgybos veiklai, įskaitant atvejus, kai šios agentūros renka asmens duomenis be atrankos, taikoma DPRC, kurio sprendimai yra galutiniai, privalomi ir saisto tiek JAV vyriausybę, tiek minėtas agentūras, atliekama teisminė kontrolė. Taigi, priešingai, nei teigia ieškovas, negalima teigti, kad asmens duomenų rinkimas be atrankos, kurį žvalgybos agentūros atliko remdamosi ginčijamu sprendimu, neatitiko iš Sprendimo Schrems II šiuo aspektu kylančių reikalavimų.
107
Be to, pirma, reikia pažymėti, kad, kaip matyti iš ginčijamo sprendimo 141 konstatuojamosios dalies, ir ieškovas to neginčija, E. O. 14086 nurodyta, kad žvalgybos agentūros turi teikti pirmenybę tiksliniam asmens duomenų rinkimui. Taigi rinkti duomenis be atrankos leidžiama tik tuo atveju, jei informacijos, būtinos patvirtinam žvalgybos prioritetui įgyvendinti, pagrįstai negalima gauti duomenis renkant tikslingai. Šiuo klausimu reikia pažymėti, kad iš minėto sprendimo 135 konstatuojamosios dalies matyti, jog patvirtinti žvalgybos prioritetai nustatomi vykdant specialų procesą, kuriuo siekiama užtikrinti, kad būtų laikomasi taikomų teisinių reikalavimų, be kita ko, susijusių su privačiu gyvenimu ir pilietinėmis laisvėmis. Kalbant konkrečiau, žvalgybos prioritetus nustato Nacionalinės žvalgybos direktorius ir juos turi patvirtinti JAV prezidentas. Tačiau prieš siūlydamas Jungtinių Amerikos Valstijų prezidentui žvalgybos prioritetus minėtas direktorius dėl kiekvieno prioriteto turi gauti CLPO vertinimą. Atlikdamas šį vertinimą CLPO turi nustatyti, ar nagrinėjamas prioritetas padeda siekti vieno ar kelių teisėtų tikslų, išvardytų E. O. 14086, ar jis nebuvo skirtas signalų žvalgybos duomenų rinkimui draudžiamais tikslais ir ar jis buvo nustatytas tinkamai atsižvelgus į aspektus, susijusius su visų duomenų subjektų privačiu gyvenimu ir pilietinėmis laisvėmis, neatsižvelgiant į jų pilietybę ir gyvenamąją vietą.
108
Antra, reikia pažymėti, kad, kaip pabrėžta ginčijamo sprendimo 127–131, 134 ir 135 konstatuojamosiose dalyse, ir ieškovas to neginčija, E. O. 14086 nustatyti pagrindiniai reikalavimai, taikomi visai signalų žvalgybos veiklai, įskaitant atvejus, kai ji vykdoma renkant asmens duomenis be jokios atrankos.
109
Pirma, signalų žvalgybos veikla turi būti grindžiama įstatymu arba prezidento leidimu ir turi būti vykdoma laikantis Jungtinių Amerikos Valstijų teisės, įskaitant jų Konstituciją.
110
Antra, signalų žvalgybos veikla gali būti vykdoma tik po to, kai, remiantis pagrįstu visų svarbių veiksnių vertinimu, nustatoma, kad ji būtina siekiant toliau taikyti patvirtintą žvalgybos prioritetą.
111
Trečia, signalų žvalgybos veikla turi būti vykdoma proporcingai patvirtintam žvalgybos prioritetui, dėl kurio ją leista vykdyti, kad būtų užtikrinta tinkama pusiausvyra tarp žvalgybos srityje siekiamo prioriteto svarbos ir poveikio duomenų subjekto privačiam gyvenimui bei pilietinėms laisvėms, neatsižvelgiant į jo pilietybę ir gyvenamąją vietą.
112
Ketvirta, E. O. 14086 išvardyti bendrieji tikslai, kurių negalima siekti vykdant signalų žvalgybos veiklą. Be kita ko, tai yra tikslas sudaryti sunkesnes sąlygas asmenims ar žiniasklaidai kritikuoti, prieštarauti arba laisvai reikšti politines idėjas ar pažiūras, sudaryti nepalankias sąlygas asmenims dėl jų etninės kilmės, rasės, lyties, lytinės tapatybės, seksualinės orientacijos ar religijos arba suteikti konkurencinį pranašumą JAV įsteigtoms įmonėms.
113
Trečia, iš ginčijamo sprendimo 141 konstatuojamosios dalies matyti, ir ieškovas to neginčija, kad E. O. 14086 nustatytos specialios apsaugos priemonės, taikomos asmens duomenų rinkimui be atrankos.
114
Pirmiausia E. O. 14086 numatyta, kad turi būti taikomi metodai ir techninės priemonės, kad duomenų būtų renkama ne daugiau, nei būtina patvirtintam žvalgybos prioritetui įgyvendinti, ir kad būtų renkama kuo mažiau nesusijusios informacijos.
115
Be to, E. O. 14086 nurodyta, kad asmens duomenys gali būti renkami be atrankos tik siekiant šešių konkrečių tikslų (toliau – konkretūs duomenų rinkimo be atrankos tikslai), t. y. apsaugos nuo terorizmo, šnipinėjimo, masinio naikinimo ginklų, kibernetinių grėsmių, grėsmių JAV darbuotojams ar jų sąjungininkams ir tarptautinio nusikalstamumo. Jame numatyta galimybė JAV Prezidentui atnaujinti minėtus konkrečius tikslus, jei atsirastų naujų nacionalinio saugumo reikalavimų, pavyzdžiui, kiltų naujų grėsmių ar padidėtų grėsmė nacionaliniam saugumui, dėl kurių, jo nuomone, būtų galima rinkti asmens duomenis be atrankos. Šiuos atnaujinimus iš esmės turi skelbti nacionalinės žvalgybos direktorius, nebent JAV Prezidentas mano, kad tai savaime keltų pavojų šios šalies nacionaliniam saugumui.
116
Galiausiai E. O. 14086 numatyta, kad bet kokia užklausa dėl be atrankos gaunamų signalų žvalgybos duomenų gali būti pateikiama tik jei tai būtina siekiant patvirtinto žvalgybos prioriteto, siekiant konkrečių duomenų rinkimo be atrankos tikslų ir laikantis politikos bei procedūrų, kuriomis tinkamai atsižvelgiama į užklausų poveikį visų atitinkamų asmenų privatumui ir pilietinėms laisvėms, neatsižvelgiant į jų pilietybę ar gyvenamąją vietą.
117
Šiomis aplinkybėmis negalima pagrįstai teigti, kad duomenų rinkimo be atrankos įgyvendinimas nėra pakankamai aiškiai ir tiksliai apibrėžtas.
118
Atsižvelgiant į visa, kas išdėstyta, šį argumentą reikia atmesti.
2) Dėl antrojo argumento, grindžiamo 2020 m. spalio 6 d. Sprendimu „La Quadrature du Net ir kt.“ (C‑511/18, C‑512/18 ir C‑520/18)
119
Pateikdamas antrąjį argumentą ieškovas, aiškiai remdamasis 2020 m. spalio 6 d. Sprendimo La Quadrature du Net ir kt. (C‑511/18, C‑512/18 ir C‑520/18, EU:C:2020:791) 189 punktu, teigia, kad Teisingumo Teismas nustatė pareigą žvalgybos agentūroms prieš renkant prisijungimo duomenis iš juos turinčių operatorių gauti išankstinį teisminės ar administracinės institucijos leidimą. Jo teigimu, Jungtinių Amerikos Valstijų žvalgybos agentūrų vykdomam asmens duomenų, perduodamų iš Sąjungos, rinkimui be atrankos šiuo atveju tokio išankstinio leidimo nereikalaujama.
120
Komisija, palaikoma Airijos ir Jungtinių Amerikos Valstijų, nesutinka su šiuo ieškovo argumentu.
121
Reikia pažymėti, kad 2020 m. spalio 6 d. Sprendime La Quadrature du Net ir kt. (C‑511/18, C‑512/18 ir C‑520/18, EU:C:2020:791) Teisingumo Teismas, be kita ko, konstatavo, kad 2002 m. liepos 12 d. Europos Parlamento ir Tarybos direktyvos 2002/58/EB dėl asmens duomenų tvarkymo ir privatumo apsaugos elektroninių ryšių sektoriuje (Direktyva dėl privatumo ir elektroninių ryšių) (OL L 201, 2002, p. 37; 2004 m. specialusis leidimas lietuvių k., 13 sk., 29 t., p. 514), iš dalies pakeistos 2009 m. lapkričio 25 d. Europos Parlamento ir Tarybos direktyva 2009/136/EB (OL L 337, 2009, p. 11), siejama su Pagrindinių teisių chartijos 7, 8, 11 straipsniais ir 52 straipsnio 1 dalimi, 15 straipsnio 1 dalis turi būti aiškinama taip, kad pagal ją nedraudžiamos nacionalinės teisės nuostatos, kuriomis elektroninių ryšių paslaugų teikėjai įpareigojami rinkti srauto ir vietos nustatymo duomenis realiuoju laiku, jeigu šis duomenų rinkimas taikomas tik asmenims, dėl kurių yra pagrįsta priežastis įtarti, kad jie vienaip ar kitaip susiję su terorizmo veikla, ir jeigu tokiam duomenų rinkimui taikoma išankstinė teismo arba nepriklausomos administracinės institucijos kontrolė (minėto sprendimo 192 punktas).
122
Tai reiškia, kad byloje, kurioje priimtas 2020 m. spalio 6 d. Sprendimas La Quadrature du Net ir kt. (C‑511/18, C‑512/18 ir C‑520/18, EU:C:2020:791), nagrinėtas atvejis skiriasi nuo šioje byloje nagrinėjamo atvejo. Šioje byloje nagrinėjamu atveju reikia įvertinti ne tai, ar elektroninių ryšių paslaugų teikėjų vykdomam srauto ir vietos nustatymo duomenų rinkimui tų naudotojų, kurie, kaip įtariama, vienaip ar kitaip dalyvauja terorizmo veikloje, reikia taikyti išankstinę teisminės ar administracinės institucijos kontrolę, o tai, ar aplinkybė, kad Jungtinių Amerikos Valstijų teisėje žvalgybos agentūroms nenumatyta pareigos prieš be atrankos renkant į šią šalį perduodamus asmens duomenis gauti išankstinį teismo ar administracinės institucijos leidimą, paneigia ginčijamame sprendime Komisijos padarytos išvados dėl tinkamumo pagrįstumą.
123
Šiomis aplinkybėmis reikia konstatuoti, kad nuoroda į 2020 m. spalio 6 d. Sprendimą La Quadrature du Net ir kt. (C‑511/18, C‑512/18 ir C‑520/18, EU:C:2020:791) neturi reikšmės šiai bylai.
124
Šios išvados negali paneigti atsižvelgimas į 2024 m. balandžio 30 d. Sprendimą La Quadrature du Net ir kt. (Asmens duomenys ir kova su intelektinės nuosavybės pažeidimais) (C‑470/21, EU:C:2024:370), dėl kurio taikant proceso organizavimo priemonę šios bylos šalių buvo paprašyta pareikšti savo nuomonę.
125
Byloje, kurioje priimtas 2024 m. balandžio 30 d. Sprendimas La Quadrature du Net ir kt. (Asmens duomenys ir kova su intelektinės nuosavybės pažeidimais) (C‑470/21, EU:C:2024:370), buvo nagrinėjamas nacionalinės valdžios institucijos, atsakingos už autorių teisių ir gretutinių teisių apsaugą nuo internete padarytų šių teisių pažeidimų, prieigos prie civilinės tapatybės duomenų, atitinkančių elektroninių ryšių paslaugų teikėjų saugomus IP adresus siekiant kovoti su klastojimu, teisėtumas. Kalbant konkrečiau, ši prieiga buvo pateisinama tikslu nustatyti IP adreso turėtoją, kuris vykdė autorių teises ar gretutines teises pažeidžiančią veiklą, nes jis neteisėtai padarė prieinamus internete saugomus kūrinius, kad juos parsisiųstų kiti asmenys. Šiomis aplinkybėmis Teisingumo Teismas nusprendė, kad teismo arba nepriklausomos administracinės institucijos atliekamos išankstinės kontrolės reikalavimas:
–
neturėjo būti taikomas, kai kompetentinga nacionalinė institucija turėjo prieigą prie IP adresą atitinkančių asmens civilinės tapatybės duomenų vien tam, kad nustatytų atitinkamo naudotojo tapatybę, ir šie duomenys negalėjo būti susieti su informacija, susijusia su pranešimais, nes suvaržymas, atsiradęs dėl tokios prieigos, negalėjo būti laikomas dideliu (minėto sprendimo 133 ir 134 punktai),
–
turėjo būti taikomas prieš kompetentingai nacionalinei institucijai susiejant asmens civilinės tapatybės duomenis, atitinkančius IP adresą, su rinkmena, susijusia su kūriniu, kuris neteisėtai padarytas prieinamas internete, kad jį parsisiųstų kiti asmenys, ir prieš išsiunčiant atitinkamam asmeniui raštą, kuriame konstatuojama, kad jis atliko neteisėtus veiksmus (šiuo klausimu žr. to sprendimo 141 punktą).
126
Darytina išvada, kad byla, kurioje priimtas 2024 m. balandžio 30 d. Sprendimas La Quadrature du Net ir kt. (Asmens duomenys ir kova su intelektinės nuosavybės pažeidimais) (C‑470/21, EU:C:2024:370), susijusi su nacionalinės valdžios institucijų prieiga prie IP adreso siekiant kovoti su klastojimu ir kad šis dalykas skiriasi nuo žvalgybos agentūrų atliekamo asmens duomenų, perduodamų iš Sąjungos, rinkimo be atrankos. Todėl, atsižvelgiant į minėtą sprendimą, negalima teigti, kad Jungtinių Amerikos Valstijų žvalgybos agentūrų vykdomam asmens duomenų, perduodamų iš Sąjungos, rinkimui be atrankos turi būti gautas išankstinis leidimas.
127
Taigi šį argumentą reikia atmesti.
3) Dėl trečiojo argumento, grindžiamo 2021 m. gegužės 25 d. EŽTT sprendimu „Big Brother Watch ir kt. prieš Jungtinę Karalystę“ (CE:ECHR:2021:0525JUD005817013)
128
Pateikdamas trečiąjį argumentą ieškovas iš esmės teigia, kad 2021 m. gegužės 25 d. Sprendime Big Brother Watch ir kt. prieš Jungtinę Karalystę (CE:ECHR:2021:0525JUD005817013, toliau – Sprendimas Big Brother Watch) EŽTT pripažino, kad masinio asmens duomenų perėmimo veiklai turi būti taikomas išankstinio nepriklausomos institucijos leidimo reikalavimas nuo to momento, kai nustatomi sekimo operacijos tikslai ir apimtis. Ieškovo teigimu, šiuo atveju Jungtinių Amerikos Valstijų žvalgybos agentūrų vykdomam asmens duomenų, perduodamų iš Sąjungos, rinkimui be atrankos toks išankstinio leidimo reikalavimas netaikomas.
129
Komisija, palaikoma Airijos ir Jungtinių Amerikos Valstijų, nesutinka su šiuo ieškovo argumentu.
130
Reikia pažymėti, kad byla, kurioje priimtas Sprendimas Big Brother Watch, be kita ko, buvo susijusi su Jungtinės Karalystės slapto sekimo tvarkos, pagal kurią žvalgybos agentūroms buvo suteikta galimybė masiškai perimti elektroninius pranešimus ir su jais susijusius ryšių duomenis, t. y. srauto duomenis, susijusius su perimtais pranešimais, kurie iš esmės buvo siunčiami už Jungtinės Karalystės salų ribų, suderinamumu su EŽTK 8 straipsniu.
131
Be to, kaip matyti iš šio sprendimo 29 punkte nurodytos jurisprudencijos, kadangi EŽTK 8 straipsnyje, kaip ir Pagrindinių teisių chartijos 7 straipsnyje, įtvirtinta teisė į privataus ir šeimos gyvenimo gerbimą, aiškinant Chartijos 7 straipsnio taikymo sritį reikia atsižvelgti į EŽTT jurisprudenciją dėl EŽTK 8 straipsnio. Vadinasi, jeigu Bendrasis Teismas nuspręstų, kad Sprendimas Big Brother Watch yra reikšmingas šiai bylai, aiškinant Chartijos 7 straipsnio taikymo sritį reikėtų atsižvelgti į tame sprendime pateiktus EŽTT argumentus dėl EŽTK 8 straipsnio taikymo srities.
132
Šiuo klausimu reikia priminti, kad Sprendime Big Brother Watch EŽTT vertino Jungtinės Karalystės žvalgybos tarnybų vykdomo masinio elektroninių ryšių ir su jais susijusių ryšių duomenų perėmimo, kuris iš esmės buvo vykdomas už Jungtinės Karalystės salų ribų, teisėtumą.
133
Kaip reaguodamos į proceso organizavimo priemonę ir per teismo posėdį pažymėjo šios bylos šalys, Sprendime Big Brother Watch pateikti EŽTT argumentai yra reikšmingi šioje byloje, nes minėtoje byloje nagrinėtas masinis asmens duomenų perėmimas gali būti laikomas apimančiu duomenų rinkimą be atrankos, kuris yra ginčijamo sprendimo dalykas.
134
Pirma, reikia pažymėti, kad Sprendimo Big Brother Watch versijoje prancūzų kalba vartojamas žodžių junginys „interception en masse“, o versijoje anglų kalba vartojamas žodžių junginys „bulk interception“, kuris tiksliau atitinka prancūzų k. sąvoką „interception en vrac“.
135
Antra, priešingai tiksliniam informacijos perėmimui, Sprendime Big Brother Watch nagrinėtą informacijos perėmimą EŽTT apibrėžė kaip informacijos perėmimą, kuris nebuvo susijęs su konkrečiais asmenimis, todėl galėjo paveikti daug asmenų ir su jais susijusių ryšių duomenų, taigi jo apimtis buvo labai plati, nes jis leido, be kita ko, surinkti informaciją užsienio žvalgybos tikslais ir nustatyti naujas grėsmes, kurias kelia žinomi ar nežinomi subjektai. Be to, minėto teismo teigimu, atsižvelgiant į tikslą, susijusį su nacionalinio saugumo užtikrinimu, kompetentingos institucijos masinį duomenų perėmimą paprastai vykdė slapta, o tai reiškia, kad jos viešai skelbė tik nedaug informacijos arba visiškai neskelbė jokios informacijos apie sistemos veikimą (šiuo klausimu žr. Sprendimo Big Brother Watch 322 punktą).
136
Trečia, Sprendime Big Brother Watch EŽTT konstatavo, kad nors ne visos masinio duomenų perėmimo sistemos buvo sukurtos pagal tą patį modelį ir jų įgyvendinimo būdai galėjo keistis ne visada laikantis griežtos chronologinės tvarkos, masinis perėmimas yra laipsniškas procesas, kuris iš esmės vyksta toliau nurodytais keturiais etapais (toliau – perėmimo etapai):
a)
masinis daugeliui asmenų priklausančių elektroninių ryšių ir susijusių ryšių duomenų perėmimas ir pirminis saugojimas;
b)
specialių selektorių taikymas perimtiems pranešimams ir susijusiems ryšių duomenims, siekiant nustatyti pranešimus, kurie gali būti svarbūs žvalgybos tarnyboms;
c)
analitikų atliekama atrinktų pranešimų ir susijusių ryšių duomenų peržiūra;
d)
tolesnis duomenų saugojimas ir jų naudojimas siekiant juos įtraukti į žvalgybos ataskaitą, perduoti juos kitoms šalies žvalgybos tarnyboms arba užsienio žvalgybos tarnyboms (šiuo klausimu žr. Sprendimo Big Brother Watch 325–329 punktus).
137
Darytina išvada, kad asmens duomenų rinkimas be atrankos, kaip antai tas, dėl kurio priimtas ginčijamas sprendimas, patenka į pirmąjį iš perėmimo etapų, kurį EŽTT nustatė Sprendime Big Brother Watch, nes juo siekiama nacionalinio saugumo užtikrinimo tikslais rinkti daugelio asmenų iš Sąjungos perduodamus asmens duomenis.
138
Šiomis aplinkybėmis vertinant pagal BDAR 45 straipsnio 3 dalį priimto sprendimo dėl tinkamumo, kaip antai ginčijamo sprendimo, teisėtumą reikia atsižvelgti į Sprendimą Big Brother Watch.
139
Šiuo klausimu, pirma, reikia pažymėti, jog Sprendime Big Brother Watch EŽTT patikslino, kad pagal EŽTK 8 straipsnį nedraudžiama taikyti masinio perėmimo siekiant apsaugoti nacionalinį saugumą ar kitus esminius nacionalinius interesus nuo didelių išorės grėsmių ir kad valstybės turi plačią diskreciją nustatyti, kokio pobūdžio perėmimo tvarkos joms reikia (Sprendimo Big Brother Watch 347 punktas).
140
Antra, EŽTT nurodė, kad masiniam asmens duomenų perėmimui turi būti taikomos kelios ištisinės apsaugos priemonės, kurios, vertinamos kartu, yra bet kokios masinio perėmimo sistemos kertinis akmuo, t. y.:
–
nepriklausomos institucijos leidimo gavimas nuo tada, kai apibrėžiamas atitinkamos stebėjimo operacijos tikslas ir apimtis (Sprendimo Big Brother Watch 350 punktas);
–
a posteriori taikomos nepriklausomos teisminės priežiūros ir kontrolės sistemos nustatymas (šiuo klausimu žr. Sprendimo Big Brother Watch 336 ir 347 punktus);
–
teisės normų, kurios leistų kiekvienu perėmimo etapu užtikrinti taikomų priemonių būtinumą ir proporcingumą, nustatymas (šiuo klausimu žr. Sprendimo Big Brother Watch 350 punktą); šiuo klausimu EŽTT priminė, kad EŽTK 8 straipsnyje garantuojamų teisių suvaržymas gali būti pateisinamas pagal šio straipsnio 2 dalį, tik jeigu jis numatytas įstatymo, juo siekiama vieno ar kelių šioje dalyje išvardytų teisėtų tikslų ir jis yra būtinas demokratinėje visuomenėje šiems tikslams pasiekti; kalbant apie slaptą sekimą, nustatytų priemonių nuspėjamumas reiškia, kad vidaus teisė yra pakankamai aiški, kad visiems būtų tinkamai nurodyta, kokiomis aplinkybėmis ir sąlygomis viešosios valdžios institucijos turėjo teisę taikyti tokias priemones (Sprendimo Big Brother Watch 332 ir 333 punktai).
141
Trečia, EŽTT nurodė, kad nors EŽTK 8 straipsnis taikomas kiekvienam perėmimo etapui, poreikis numatyti garantijas didėja laipsniškai, kai vyksta šie skirtingi etapai, o teisės į privataus gyvenimo gerbimą pažeidimas sunkėja. Taigi, EŽTT teigimu, būtent proceso pabaigoje, kai su konkrečiu asmeniu susijusi informacija analizuojama arba pranešimų turinį nagrinėja analitikas, garantijų buvimas būtinas labiau nei bet kada iki tol (šiuo klausimu žr. Sprendimo Big Brother Watch 330 ir 331 punktus).
142
Ketvirta, EŽTT nusprendė, kad, atsižvelgiant į tai, jog praktiškai neįmanoma įtraukti visų selektorių, kuriuos žvalgybos agentūros naudoja pagal išankstinį leidimą surinktiems pranešimams filtruoti, šio leidimo apimtis turi būti apribota, kad apimtų bent jau naudotinų selektorių rūšis ar kategorijas (Sprendimo Big Brother Watch 354 punktas).
143
Nagrinėjamu atveju reikia priminti, kad, kaip Teisingumo Teismas pripažino sprendimuose Schrems I ir Schrems II, Komisija, priimdama sprendimą dėl tinkamumo, turi įsitikinti ne tuo, kad atitinkamos trečiosios šalies nuostatos yra tapačios Sąjungoje galiojančioms nuostatoms, o tuo, kad jos yra iš esmės lygiavertės (žr. šio sprendimo 19 ir 20 punktus).
144
Taip pat reikia konstatuoti: kadangi šioje byloje ginčijamas Jungtinių Amerikos Valstijų žvalgybos agentūrų be atrankos vykdomas asmens duomenų rinkimas gali būti prilygintas duomenų perėmimui, vykdomam per pirmąjį iš perėmimo etapų, EŽTT nurodytų Sprendime Big Brother Watch, poreikis šiuo konkrečiu duomenų rinkimo be atrankos etapu numatyti žvalgybos agentūrų diskreciją ribojančias garantijas yra mažesnis, atsižvelgiant į vykdomo perėmimo kontekstą. Šioje byloje kalbama tik apie žvalgybos agentūrų atliekamą pirminį asmens duomenų perėmimą be atrankos, o ne apie vėlesnę veiklą, kuri nėra šio ieškinio dalykas ir kuri prireikus gali apimti konkrečių selektorių taikymą, surinktų duomenų nagrinėjimą ir jų naudojimą ar vėlesnį perdavimą.
145
Darytina išvada, kad išankstinio leidimo numatymas nėra vienintelė garantija, kuri turi būti taikoma vykdant masinį asmens duomenų perėmimą, bet yra vienas iš aspektų, kurie visi kartu yra bet kokios masinio perėmimo tvarkos kertinis akmuo. Šiuo klausimu reikia priminti, kad galiojančioje Jungtinių Amerikos Valstijų teisėje numatytos teisės normos, kuriomis pakankamai aiškiai ir tiksliai reglamentuotas Jungtinių Amerikos Valstijų žvalgybų agentūrų vykdomas asmens duomenų rinkimas be atrankos (žr. šio sprendimo 107–116 punktus) ir asmenims, kurių duomenys perduodami, suteikiama teisė pasinaudoti veiksminga teismine teisių gynimo priemone DPRC (žr. šio sprendimo 33–63 punktus). Be to, ginčijamo sprendimo 162–169 konstatuojamosiose dalyse nurodyta, ir ieškovas to neginčija, kad žvalgybos agentūrų vykdomą žvalgybos veiklą kontroliuoja PCLOB, kuri, kaip matyti iš šio sprendimo 54 punkto, buvo sukurta kaip nepriklausoma agentūra. Be to, minėtą veiklą prižiūri, pirma, teisės pareigūnai ir priežiūros bei atitikties pareigūnai, kurie kiekvienoje žvalgybos agentūroje yra atsakingi už šios teisės stebėjimą ir laikymąsi, antra, nepriklausomas generalinis inspektorius, kiekvienoje žvalgybos agentūroje atsakingas už atitinkamos agentūros vykdomos užsienio žvalgybos veiklos kontrolę, ir, trečia, JAV Žvalgybos priežiūros valdyba (Intelligence Oversight Board), įeinanti į Prezidento žvalgybos patariamąją tarybą (President’s Intelligence Advisory Board, Jungtinės Amerikos Valstijos) ir privalanti prižiūrėti, kaip JAV valdžios institucijos laikosi teisės aktų, ir, ketvirta, Jungtinių Amerikos Valstijų Kongrese įsteigti specialieji komitetai, kurie prižiūri visą šios šalies užsienio žvalgybos veiklą.
146
Atsižvelgiant į tai, kas išdėstyta, negalima daryti išvados, jog tos aplinkybės, kad nenumatyta išankstinio leidimo, kuris būtų taikomas Jungtinių Amerikos Valstijų žvalgybos agentūrų vykdomam pirminiam iš Sąjungos perduodamų asmens duomenų rinkimui be atrankos, pakanka, kad būtų galima teigti, jog Jungtinių Amerikos Valstijų teisėje, atsižvelgiant į Sprendime Big Brother Watch padarytas išvadas, nesuteikiamos garantijos, kurios būtų iš esmės lygiavertės Sąjungos teisėje numatytoms garantijoms.
147
Taigi šį argumentą reikia atmesti.
4) Dėl ketvirtojo argumento, grindžiamo Europos duomenų apsaugos priežiūros pareigūno nuomone 5/2023
148
Pateikdamas ketvirtąjį argumentą ieškovas nurodo, kad 2023 m. vasario 28 d. Nuomonėje 5/2023 dėl Europos Komisijos įgyvendinimo sprendimo dėl tinkamos asmens duomenų apsaugos pagal ES ir JAV duomenų privatumo sistemą projekto (toliau – Nuomonė 5/2023) Europos duomenų apsaugos valdyba pabrėžė, kad be atrankos vykdomam asmens duomenų rinkimui svarbu nustatyti išankstinio leidimo reikalavimą. Ieškovo teigimu, Jungtinių Amerikos Valstijų žvalgybos agentūrų vykdomam asmens duomenų, perduodamų iš Sąjungos, rinkimui be atrankos neduotas joks išankstinis leidimas.
149
Komisija, palaikoma Airijos ir Jungtinių Amerikos Valstijų, nesutinka su tokiu ieškovo argumentu.
150
Pažymėtina, kad EDAPP nuomonę 5/2023 priėmė remdamasis BDAR 70 straipsnio 1 dalies s punktu. Šioje nuostatoje numatyta, kad EDAPP savo iniciatyva arba Komisijos prašymu gali Komisijai pateikti nuomonę dėl trečiosios valstybės užtikrinamo apsaugos lygio tinkamumo įvertinimo.
151
Kai EDAPP veikia pagal BDAR 70 straipsnio 1 dalį, jis atlieka tik konsultacinę funkciją rengdamas nuomones, gaires, rekomendacijas ir gerosios praktikos rekomendacijas, kurios nėra teisiškai privalomos (šiuo klausimu žr. 2023 m. lapkričio 29 d. Teisingumo Teismo pirmininko nutarties EDAPP / BPV, C‑413/23 P, nepaskelbta Rink., EU:C:2023:1036, 11 punktą). Taigi ši nuomonė nesaisto Komisijos, kuri gali laisvai įvertinti, ar atitinkamos šalies teisėje numatytas apsaugos lygis apskritai yra iš esmės lygiavertis tam, kuris užtikrinamas pagal Sąjungos teisę, kiek tai susiję su asmens duomenų rinkimu be atrankos. Bet kuriuo atveju reikia konstatuoti, kad minėtoje nuomonėje EDAPP nenurodė, jog išankstinės kontrolės, susijusios su asmens duomenų rinkimu be atrankos, netaikymas neišvengiamai pakenktų teigiamam Komisijos vertinimui dėl DPS užtikrinamo asmens duomenų apsaugos lygio tinkamumo. Atvirkščiai, tos pačios nuomonės 165 punkte jis pažymėjo, kad šis vertinimas priklauso nuo visų konkretaus atvejo aplinkybių ir, be kita ko, nuo to, ar Jungtinės Amerikos Valstijos yra nustačiusios a posteriori atliekamą teisminę kontrolę ir teisių gynimo mechanizmą.
152
Šiomis aplinkybėmis Nuomonė 5/2023 neleidžia manyti, kad Jungtinių Amerikos Valstijų žvalgybos agentūrų vykdomam iš Sąjungos perduodamų asmens duomenų rinkimui turi būti gautas išankstinis leidimas ir kad šios šalies teikiama apsauga iš esmės nėra lygiavertė Sąjungos teisėje užtikrinamai apsaugai.
153
Taigi reikia atmesti šį argumentą ir visą antrojo pagrindo antrą priekaištą.
d)
Dėl antrojo pagrindo trečio priekaišto, kad E. O. 14086 Jungtinių Amerikos Valstijų Prezidentui suteikiami įgaliojimai leisti slaptai atnaujinti konkrečius duomenų rinkimo be atrankos tikslus
154
Pateikdamas ieškinio antrojo pagrindo trečią priekaištą ieškovas teigia, kad Komisija pažeidė Pagrindinių teisių chartijos 7 ir 8 straipsnius, kai ginčijamame sprendime konstatavo, kad Jungtinės Amerikos Valstijos užtikrina tokį apsaugos lygį, kuris yra iš esmės lygiavertis užtikrinamam pagal Sąjungos teisę, siejamą su minėta Chartija, nepaisant to, kad E. O. 14086 dėl nacionalinio saugumo priežasčių Jungtinių Amerikos Valstijų prezidentui suteikia galimybę leisti slaptai atnaujinti konkrečius be atrankos vykdomo duomenų rinkimo tikslus. Konkrečiau kalbant, ieškovas mano, kad, priešingai, nei buvo nuspręsta 2015 m. gruodžio 4 d. EŽTT sprendime Roman Zakharov prieš Rusiją (CE:ECHR:2015:1204JUD004714306, toliau – Sprendimas Zakharov), įgaliojimų atnaujinti šiuos konkrečius tikslus suteikimas JAV Prezidentui neleidžia asmenims, kurių duomenys perduodami, tiksliai nustatyti teisinio pagrindo, kuriuo remiantis šie duomenys tvarkomi Jungtinėse Amerikos Valstijose.
155
Komisija, palaikoma Airijos ir Jungtinių Amerikos Valstijų, ginčija šį ieškovo argumentą.
156
Pažymėtina, jog Sprendime Zakharov EŽTT pripažino, kad pagrindinės teisės į privataus ir šeimos gyvenimo gerbimą ribojimas gali būti pateisinamas pagal EŽTK 8 straipsnio 2 dalį, tik jeigu jis numatytas įstatymo (Sprendimo Zakharov 227 punktas). Minėto teismo teigimu, žodžių junginys „numatytas įstatymo“ reiškia, kad ginčijama priemonė turi būti prieinama atitinkamam asmeniui ir kad ji turi būti nuspėjama, kalbant apie jos poveikį (Sprendimo Zakharov 228 punktas). Pranešimų perėmimo srityje „numatomumas“ reiškia ne tai, kad asmuo turi galėti numatyti, kada valdžios institucijos gali perimti jo pranešimus, o tai, kad iš esmės jo teisės į privataus ir šeimos gyvenimo gerbimą apribojimai turi būti nustatyti aiškiose taisyklėse (Sprendimo Zakharov 229 punktas).
157
Taip pat reikia priminti, kad pagal šio sprendimo 29 punkte nurodytą jurisprudenciją, kadangi EŽTK 8 straipsnyje, kaip ir Pagrindinių teisių chartijos 7 straipsnyje, įtvirtinta teisė į privataus ir šeimos gyvenimo gerbimą, aiškinant Chartijos 7 straipsnį, kaip šiuo atveju, reikia atsižvelgti į EŽTT jurisprudenciją dėl EŽTK 8 straipsnio, vadinasi, ir į Sprendimą Zakharov.
158
Šiuo klausimu iš E. O. 14086 2 skirsnio c dalies ii punkto C papunkčio matyti, kad Jungtinių Amerikos Valstijų prezidentui suteikta galimybė atnaujinti konkrečių tikslų, dėl kurių duomenys gali būti renkami be atrankos, sąrašą nėra neribota; jis ją turi tik tais atvejais, kai toks atnaujinimas būtinas, atsiradus naujų nacionalinio saugumo imperatyvų, pavyzdžiui, naujų grėsmių ar padidėjusių grėsmių nacionaliniam saugumui, dėl kurių asmens duomenys galėtų būti imami rinkti be atrankos. Be to, iš šios nuostatos matyti, ir Jungtinės Amerikos Valstijos per teismo posėdį tą patvirtino, kad Jungtinių Amerikos Valstijų Prezidento atliekamas minėtų konkrečių tikslų atnaujinimas nėra slaptas ir apie jį paskelbia Nacionalinės žvalgybos direktorius, nebent Prezidentas mano, kad toks paskelbimas savaime kelia pavojų jo šalies nacionaliniam saugumui. Be to, net ir tokiu atveju be atrankos vykdomam duomenų rinkimui taikomos visos E. O. 14086 numatytos garantijos ir apribojimai, o jeigu duomenų subjektas pateikia skundą dėl asmens duomenų, priežiūrą vykdo CLPO ir prireikus sprendimą peržiūri DPRC.
159
Šiomis aplinkybėmis negalima teigti, kad Jungtinių Amerikos Valstijų Prezidentui suteikta galimybė atnaujinti duomenų rinkimo be atrankos konkrečių tikslų sąrašą prieštarauja reikalavimams, kuriuos EŽTT nustatė Sprendime Zakharov.
160
Taigi reikia atmesti antrojo pagrindo trečią priekaištą, vadinasi, ir visą šį pagrindą.
4.
Dėl ketvirtojo pagrindo, grindžiamo BDAR 22 straipsnio pažeidimu
161
Ketvirtajame pagrinde ieškovas teigia, kad Komisija pažeidė BDAR 22 straipsnį, nes ginčijamame sprendime nenumatė nuostatos, kurioje būtų įtvirtinta duomenų subjektų teisė į tai, kad jiems nebūtų taikomi tik automatizuotu asmens duomenų tvarkymu, įskaitant profiliavimą, grindžiami sprendimai, dėl kurių jiems kyla teisinių pasekmių arba kurie jiems daro didelį poveikį (toliau – visiškai automatizuoti sprendimai).
162
Pirmiausia reikia pažymėti, kad BDAR 22 straipsnis suformuluotas taip:
„1.   Duomenų subjektas turi teisę, kad jam nebūtų taikomas tik automatizuotu duomenų tvarkymu, įskaitant profiliavimą, grindžiamas sprendimas, dėl kurio jam kyla teisinės pasekmės arba kuris jam panašiu būdu daro didelį poveikį.
2.   1 dalis netaikoma, jeigu sprendimas:
a)
yra būtinas siekiant sudaryti arba vykdyti sutartį tarp duomenų subjekto ir duomenų valdytojo;
b)
yra leidžiamas Sąjungos arba valstybės narės teisėje, [kuri] taikom[a] duomenų valdytojui ir [kuria] taip pat nustatomos tinkamos priemonės duomenų subjekto teisėms bei laisvėms ir teisėtiems interesams apsaugoti; arba
c)
yra pagrįstas aiškiu duomenų subjekto sutikimu.“
163
Taip pat reikia pažymėti, kad BDAR 22 straipsnio 1 dalyje vartojamas terminas „profiliavimas“ minėto reglamento 4 straipsnio 4 punkte apibrėžiamas kaip „bet kokios formos automatizuotas asmens duomenų tvarkymas, kai asmens duomenys naudojami siekiant įvertinti tam tikrus su fiziniu asmeniu susijusius asmeninius aspektus, visų pirma siekiant išanalizuoti ar numatyti aspektus, susijusius su to fizinio asmens darbo rezultatais, ekonomine situacija, sveikatos būkle, asmeniniais pomėgiais, interesais, patikimumu, elgesiu, buvimo vieta arba judėjimu“.
164
Darytina išvada, kad pagal BDAR 22 straipsnį kiekvienas duomenų subjektas turi teisę į tai, kad jam nebūtų taikomas tik automatizuotu asmens duomenų tvarkymu grindžiamas sprendimas, įskaitant atvejus, kai šia priemone siekiama išanalizuoti ir numatyti tam tikrus jo elgesio aspektus.
165
Iš ginčijamo sprendimo matyti, kad jame konkrečiai nenagrinėjamas klausimas, susijęs su visiškai automatizuotais sprendimais.
166
Taigi reikia nuspręsti, ar toks neišnagrinėjimas gali turėti įtakos ginčijamo sprendimo teisėtumui, nes tai galėtų paneigti minėto sprendimo 1 straipsnyje padarytą išvadą, kad Jungtinės Amerikos Valstijos užtikrina tinkamą asmens duomenų apsaugos lygį.
167
Būtent šiomis aplinkybėmis reikia išnagrinėti tris priekaištus, kuriuos ieškovas pateikė grįsdamas ketvirtąjį pagrindą, pradedant nuo pirmojo ir trečiojo priekaištų, kuriuos reikia nagrinėti kartu.
a)
Dėl ketvirtojo pagrindo pirmo ir trečio priekaištų, pagal kuriuos, pirma, tai, kad visiškai automatizuotus sprendimus paprastai priima Sąjungoje įsteigti duomenų valdytojai, kuriems taikomas BDAR, nesuteikia garantijos kitais atvejais ir, antra, šiuo atveju neturi reikšmės tai, kad pagal Jungtinių Amerikos Valstijų teisę nustatyta atskiriems sektoriams taikoma apsauga tais atvejais, kai visiškai automatizuotų sprendimų priėmimas nepatenka į šio reglamento taikymo sritį
168
Pateikdamas ketvirtojo pagrindo pirmą ir trečią priekaištus ieškovas teigia, pirma, kad tai, jog visiškai automatizuotus sprendimus paprastai priima Sąjungoje įsteigti duomenų valdytojai, kuriems taikomas BDAR, nesuteikia garantijų dėl kitų atvejų. Antra, jis pažymi, kad aplinkybė, jog pagal Jungtinių Amerikos Valstijų teisę suteikiama apsauga atskiriems sektoriams tuo atveju, kai tokių sprendimų priėmimas nepatenka į minėto reglamento taikymo sritį, šiuo atveju neturi reikšmės, nes ši aplinkybė neleidžia daryti išvados, kad apskritai šios valstybės teikiama apsauga, susijusi su visais visiškai automatizuotais sprendimais, yra lygiavertė apsaugai, užtikrinamai pagal šio reglamento 22 straipsnį.
169
Komisija, palaikoma Airijos ir Jungtinių Amerikos Valstijų, ginčija tokį ieškovo argumentą.
170
Reikia pažymėti, jog iš ginčijamo sprendimo 33 konstatuojamosios dalies matyti, kad, kai asmens duomenys perduodami iš Sąjungos į Jungtines Amerikos Valstijas, reikia išskirti tris visiškai automatizuotų sprendimų priėmimo atvejus.
171
Pirma, visiškai automatizuotus sprendimus gali priimti Sąjungoje įsteigtas duomenų valdytojas, kuris Sąjungoje surinko duomenų subjektų asmens duomenis. Šiuo klausimu pažymėtina, kad BDAR 4 straipsnio 7 punkte duomenų valdytojas apibrėžiamas kaip fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuris vienas ar drauge su kitais nustato asmens duomenų tvarkymo tikslus ir priemones. Tokiu atveju, kadangi pagal minėto reglamento 3 straipsnio 1 dalį duomenų valdytojui taikomas tas pats reglamentas, jis turi laikytis jo 22 straipsnyje numatytų reikalavimų, kiek tai susiję su tokiais sprendimais.
172
Antra, visiškai automatizuotus sprendimus gali priimti arba trečiojoje valstybėje įsteigtas duomenų tvarkytojas, veikiantis Sąjungoje įsteigto duomenų valdytojo, perdavusio jam Sąjungoje surinktus asmens duomenis, vardu, arba paskesnis duomenų tvarkytojas, veikiantis Sąjungoje įsteigto duomenų tvarkytojo, perdavusio jam Sąjungoje surinktus duomenis, vardu. BDAR 4 straipsnio 8 punkte duomenų tvarkytojas apibrėžiamas kaip „fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuri duomenų valdytojo vardu tvarko asmens duomenis“. Tokiais atvejais, jeigu užsienio duomenų tvarkytojai veikia Sąjungos duomenų valdytojo arba duomenų tvarkytojo vardu, jiems pagal BDAR 3 straipsnio 1 dalį taikomas šis reglamentas. Taigi, kiek tai susiję su tokiais sprendimais, duomenų valdytojas ir duomenų tvarkytojas turi laikytis to paties reglamento 22 straipsnyje numatytų reikalavimų.
173
Trečia, visiškai automatizuotus sprendimus gali priimti duomenų valdytojas arba duomenų tvarkytojas, kurie nėra įsteigti Sąjungoje, bet valdo ar tvarko Sąjungoje esančių duomenų subjektų duomenis, siūlydami jiems prekes ar paslaugas arba stebėdami jų elgesį. Vis dėlto tokiu atveju BDAR 3 straipsnio 2 dalyje numatyta, kad duomenų valdytojui ir užsienio duomenų tvarkytojui taikomas šis reglamentas. Taigi, kiek tai susiję su visiškai automatizuotais sprendimais, jie turi atitikti minėto reglamento 22 straipsnyje numatytus reikalavimus.
174
Tai reiškia, jog iš ginčijamo sprendimo matyti, kad atvejai, kai visiškai automatizuoti sprendimai nepatenka į BDAR 22 straipsnio taikymo sritį, yra likutiniai ir pasitaiko tik kai DPS organizacijos tiesiogiai Sąjungoje renka asmens duomenis, tačiau Sąjungos piliečiams nesiūlo prekių ar paslaugų ir nestebi jų elgesio, kaip tai suprantama pagal minėto reglamento 3 straipsnio 2 dalį.
175
Iš ginčijamo sprendimo 35 ir 36 konstatuojamųjų dalių matyti, ir ieškovas to neginčija, kad tokiais atvejais Jungtinių Amerikos Valstijų teisėje numatytos atskiriems sektoriams taikomos apsaugos priemonės, panašios į numatytąsias BDAR, tokiose srityse kaip kreditų teikimas, nekilnojamojo turto paskolų pasiūlymai, sprendimai dėl įdarbinimo, užimtumas, būstas ir draudimas, kur labiau tikėtina, kad DPS organizacijos priims visiškai automatizuotus sprendimus.
176
Vartojimo kreditų srityje Fair Credit Reporting Act (Sąžiningos informacijos apie kreditą įstatymas) ir Equal Credit Opportunity Act (Lygių galimybių, susijusių su kreditu, įstatymas) numatytos garantijos, kuriomis vartotojams suteikiama tam tikra teisė į paaiškinimą ir teisė ginčyti visiškai automatizuotus sprendimus. Šie įstatymai taikomi daugeliui sričių, pavyzdžiui, kreditų, užimtumo, būsto ir draudimo. Be to, Civil Rights Act (Pilietinių teisių įstatymas) VII antraštinėje dalyje ir Fair Housing Act (Deramo būsto įstatymas) fiziniai asmenys saugomi nuo modelių, naudojamų visiškai automatizuotuose sprendimuose, kurie gali lemti diskriminaciją dėl tam tikrų savybių, ir jiems suteikiama teisė ginčyti tokius sprendimus. Be to, kalbant apie informaciją apie sveikatą, pažymėtina, kad JAV valdžios institucijų pagal Health Insurance Portability and Accountability Act (Įstatymas dėl perkeliamumo ir atsakomybės sveikatos draudimo srityje) priimtas taisykles reikalaujama, kad medicinos paslaugų teikėjai gautų informaciją, kuria naudodamiesi galėtų informuoti asmenis apie medicinos sektoriuje naudojamas visiškai automatizuotas sprendimų priėmimo sistemas.
177
Šiomis aplinkybėmis, priešingai, nei teigia ieškovas, negalima teigti, kad Jungtinių Amerikos Valstijų teisėje numatytos atskiriems sektoriams taikomos apsaugos priemonės nagrinėjamu atveju neturi reikšmės, nes jos nėra tokios pat visuotinai taikomos kaip BDAR 22 straipsnis.
178
Šiuo klausimu reikia priminti, kad sprendimuose Schrems I ir Schrems II Teisingumo Teismas pripažino, jog nereikalaujant, kad atitinkama trečioji valstybė užtikrintų tokį patį apsaugos lygį, koks garantuojamas Sąjungos teisinėje sistemoje, BDAR 45 straipsnio 1 dalyje vartojamas žodžių junginys „tinkamo lygio apsauga“ turi būti suprantamas kaip reikalaujantis, kad ši trečioji valstybė savo nacionalinės teisės aktais arba tarptautiniais įsipareigojimais iš tikrųjų užtikrintų pagrindinių laisvių ir teisių apsaugos lygį, kuris būtų iš esmės lygiavertis garantuojamam Sąjungoje minėtu reglamentu, siejamu su Pagrindinių teisių chartija (žr. šio sprendimo 19 ir 20 punktus).
179
Be to, Sprendime Schrems I Teisingumo Teismas konstatavo, kad nors priemonės, kurių trečioji valstybė ėmėsi, kad užtikrintų tinkamą asmens duomenų apsaugos lygį, gali skirtis nuo taikomų Sąjungoje, šios priemonės turi būti praktiškai veiksmingos, kad būtų užtikrinta tokia apsauga, kuri yra iš esmės lygiavertė užtikrinamai Sąjungoje (žr. šio sprendimo 20 punktą).
180
Atsižvelgiant į visa, kas išdėstyta, ketvirtojo pagrindo pirmą ir trečią priekaištus reikia atmesti.
b)
Dėl ketvirtojo pagrindo antrojo priekaišto, kad 2018 m. Komisijos užsakytas tyrimas, iš kurio matyti, kad atvejai, kai Jungtinėse Amerikos Valstijose įsteigtos organizacijos, prisijungusios prie „privatumo skydo“, priėmė visiškai automatizuotus sprendimus, yra likutiniai, nagrinėjamu atveju neturi reikšmės
181
Pateikdamas ieškinio ketvirtojo pagrindo antrąjį priekaištą ieškovas teigia, jog tai, kad ginčijamo sprendimo 34 konstatuojamojoje dalyje nurodytame tyrime dėl visiškai automatizuotų sprendimų, kurį Komisija užsakė 2018 m. ir kurio rezultatai pateikti 2018 m. gruodžio 19 d. Komisijos ataskaitos Europos Parlamentui ir Tarybai COM(2018) 860 final dėl antrosios metinės ES ir JAV privatumo skydo veikimo peržiūros 4.1.5 punkte (toliau – 2018 m. tyrimas), padaryta išvada, jog nėra įrodymų, kad prie „privatumo skydo“ sistemos prisijungusios Jungtinėse Amerikos Valstijose įsteigtos organizacijos priėmė visiškai automatizuotus sprendimus, neturi reikšmės. Konkrečiau kalbant, jis teigia, kad minėtame tyrime remiamasi sprendimu dėl tinkamumo, susijusiu su „privatumo skydo“ sistema, kurį Teisingumo Teismas panaikino Sprendime Schrems II, ir kad jame neatsižvelgiama į dabartinę situaciją, kuriai būdingas itin greitas dirbtiniu intelektu grindžiamų visiškai automatizuotų paslaugų plėtojimas.
182
Komisija, palaikoma Airijos ir Jungtinių Amerikos Valstijų, ginčija tokį ieškovo argumentą.
183
Be kita ko, iš 2018 m. tyrimo matyti, kad, pirma, tuo metu nebuvo jokių duomenų, leidžiančių manyti, kad prie „privatumo skydo“ prisijungusios Jungtinėse Amerikos Valstijose įsteigtos įmonės buvo priėmusios visiškai automatizuotus sprendimus, ir, antra, Jungtinės Amerikos Valstijos įgyvendino atskiriems sektoriams skirtus teisės aktus tokiose srityse kaip vartojimo kreditai, užimtumas, būstas, draudimas ir sveikata, kuriose buvo labiau tikėtina, kad bus priimti visiškai automatizuoti sprendimai.
184
Šiuo klausimu, pirma, reikia pažymėti, kad 2018 m. tyrimas neminimas sprendime dėl tinkamumo, kiek jis susijęs su „privatumo skydo“ sistema, ir Komisija jį užsakė jau įsigaliojus minėtam sprendimui. Vadinasi, tai, kad tą sprendimą Teisingumo Teismas panaikino Sprendime Schrems II, šioje byloje neturi reikšmės. Be to, Sprendime Schrems II Teisingumo Teismas nepanaikino minėto sprendimo remdamasis minėtame tyrime pateikta informacija.
185
Antra, tiesa, kad 2018 m. tyrime atsižvelgta į faktinę ir teisinę padėtį Jungtinėse Amerikos Valstijose, buvusią 2018 m., kai šis tyrimas buvo atliekamas, o ne į 2023 m. padėtį, kai buvo priimtas ginčijamas sprendimas. Vis dėlto atvejų, kai prie „privatumo skydo“ prisijungusios JAV organizacijos priėmė visiškai automatizuotus sprendimus, likutinis pobūdis buvo patvirtintas 2019 m. spalio 23 d. Komisijos ataskaitoje Europos Parlamentui ir Tarybai dėl trečiosios metinės ES ir JAV privatumo skydo peržiūros (COM(2019) 495 final). Toje ataskaitoje, be kita ko, buvo nurodyta, kad „privatumo skydo“ sistemoje dalyvaujančių organizacijų, kurios priėmė visiškai automatizuotus sprendimus, buvo nedaug ir kad šių organizacijų priimti sprendimai paprastai nesukėlė teisinių pasekmių ir neturėjo jokio kito poveikio duomenų subjektams.
186
Trečia, reikia pažymėti, kad savo procesiniuose dokumentuose ieškovas nepateikė jokių įrodymų, leidžiančių manyti, kad po 2018 m. tyrimo Jungtinėse Amerikos Valstijose įsteigtos organizacijos priėmė visiškai automatizuotus sprendimus, ir pakankamai teisiškai nepaaiškino, kodėl dėl dirbtinio intelekto raidos minėtas tyrimas neteko reikšmės.
187
Šiomis aplinkybėmis reikia atmesti ketvirtojo pagrindo antrą priekaištą, taigi ir visą šį pagrindą.
5.
Dėl penktojo pagrindo, grindžiamo BDAR 32 straipsnio, siejamo su to paties reglamento 45 straipsnio 2 dalimi, pažeidimu
188
Penktajame pagrinde ieškovas teigia, kad Komisija pažeidė BDAR 32 straipsnį, siejamą su to paties reglamento 45 straipsnio 2 dalimi, nes ginčijamame sprendime konstatavo, kad Jungtinės Amerikos Valstijos užtikrina tokį apsaugos lygį, kuris yra iš esmės lygiavertis užtikrinamam Sąjungoje, kai Jungtinėse Amerikos Valstijose įsteigti duomenų valdytojai ir duomenų tvarkytojai taiko tinkamas technines ir organizacines priemones, kuriomis siekiama užtikrinti iš Sąjungos į šią šalį perduodamų asmens duomenų tvarkymo saugumą.
189
Šiuo klausimu, pirma, ieškovas teigia, jog ginčijamo sprendimo 1 priedo II dalies 4 punkto a papunktyje numatyta tik tai, kad DPS organizacijos turi imtis pagrįstų ir tinkamų saugumo priemonių tik tais atvejais, kai jos kuria, laiko, naudoja ar platina asmens duomenis. Taigi, kai šios organizacijos susipažįsta su iš Sąjungos gautais asmens duomenimis, nereikalaujama jokių saugumo priemonių. Ieškovas teigia, kad susipažinimas su duomenimis vis dėlto yra viena iš operacijų, kurias pagal BDAR 4 straipsnio 2 dalį apima sąvoka asmens „duomenų tvarkymas“.
190
Antra, ieškovas teigia, kad ginčijamo sprendimo I priedo III dalies 6 punkto f papunktyje numatyta pareiga iš DPS pasitraukiančioms Jungtinėse Amerikos Valstijose įsteigtoms organizacijoms toliau laikytis tame sprendime nustatytų principų, įskaitant susijusius su duomenų tvarkymo saugumu, tol, kol jos saugo, naudoja ar atskleidžia iš Sąjungos į Jungtines Amerikos Valstijas perduotus asmens duomenis, tačiau tokios pareigos nenumatyta, kai tos pačios organizacijos susipažįsta su asmens duomenimis.
191
Komisija, palaikoma Airijos ir Jungtinių Amerikos Valstijų, ginčija tokį ieškovo argumentą.
192
Pirmiausia reikia priminti, kad BDAR 32 straipsnis suformuluotas taip:
„1.   Atsižvelgdamas į techninių galimybių išsivystymo lygį, įgyvendinimo sąnaudas bei duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, taip pat duomenų tvarkymo keliamus įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms, duomenų valdytojas ir duomenų tvarkytojas įgyvendina tinkamas technines ir organizacines priemones, kad būtų užtikrintas pavojų atitinkančio lygio saugumas, įskaitant, inter alia, jei reikia:
a)
pseudonimų suteikimą asmens duomenims ir jų šifravimą;
b)
gebėjimą užtikrinti nuolatinį duomenų tvarkymo sistemų ir paslaugų konfidencialumą, vientisumą, prieinamumą ir atsparumą;
c)
gebėjimą laiku atkurti sąlygas ir galimybes naudotis asmens duomenimis fizinio ar techninio incidento atveju;
d)
reguliarų techninių ir organizacinių priemonių, kuriomis užtikrinamas duomenų tvarkymo saugumas, tikrinimo, vertinimo ir veiksmingumo vertinimo procesą.
2.   Nustatant tinkamo lygio saugumą visų pirma atsižvelgiama į pavojus, kurie kyla dėl duomenų tvarkymo, visų pirma dėl netyčinio arba neteisėto persiųstų, saugomų ar kitaip tvarkomų duomenų sunaikinimo, praradimo, pakeitimo, atskleidimo be leidimo ar neteisėtos prieigos prie jų.“
193
Be to, BDAR 32 straipsnyje nurodytas „duomenų tvarkymas“ apibrėžiamas jo 4 straipsnio 2 punkte kaip „bet kokia automatizuotomis arba neautomatizuotomis priemonėmis su asmens duomenimis ar asmens duomenų rinkiniais atliekama operacija ar operacijų seka, kaip antai rinkimas, įrašymas, rūšiavimas, sisteminimas, saugojimas, adaptavimas ar keitimas, išgava, susipažinimas, naudojimas, atskleidimas persiunčiant, platinant ar kitu būdu sudarant galimybę jais naudotis, taip pat sugretinimas ar sujungimas su kitais duomenimis, apribojimas, ištrynimas arba sunaikinimas“.
194
Pagal jurisprudenciją, be kita ko, iš BDAR 4 straipsnio 2 dalyje vartojamo žodžių junginio „bet kokia <…> operacija“ matyti, kad Sąjungos teisės aktų leidėjas ketino sąvokai „duomenų tvarkymas“ suteikti plačią reikšmę, ir tą patvirtina aplinkybė, kad minėtoje nuostatoje pateikiamas ne baigtinis operacijų sąrašas, nes vartojamas žodžių junginys „kaip antai“ (žr. 2024 m. kovo 7 d. Sprendimo Endemol Shine Finland, C‑740/22, EU:C:2024:216, 29 punktą ir jame nurodytą jurisprudenciją).
195
Galiausiai reikia pažymėti, kad tarp veiksnių, į kuriuos Komisija turi atsižvelgti, pagal BDAR 45 straipsnio 2 dalies a punktą vertindama trečiosios valstybės užtikrinamą apsaugos lygį, yra tos valstybės įgyvendintos asmens duomenų saugumo priemonės.
196
Būtent šiomis aplinkybėmis reikia kartu išnagrinėti du argumentus, kuriuos ieškovas pateikė grįsdamas šį pagrindą.
197
Šiuo klausimu reikia priminti, kad ginčijamo sprendimo 1 priedo II dalies 4 punkto a papunktis suformuluotas taip:
„Organizacijos, kurios kuria, laiko, naudoja ar platina asmeninę informaciją, deramai atsižvelgdamos į su asmens duomenų tvarkymu susijusią riziką ir tokių duomenų pobūdį, privalo imtis pagrįstų ir tinkamų priemonių duomenims apsaugoti, kad jie nebūtų prarasti, netinkamai naudojami, su jais nebūtų be leidimo susipažįstama, jie nebūtų be leidimo atskleidžiami, keičiami ar sunaikinami.“
198
Be to, ginčijamo sprendimo 1 priedo III dalies 6 punkto f papunktis suformuluotas taip:
„Organizacija privalo visus asmens duomenis, pagal ES ir JAV DPS gautus iš ES, tvarkyti pagal Principus. Įsipareigojimas laikytis Principų dėl asmens duomenų, gautų per laikotarpį, kurį organizacija naudojosi ES ir JAV DPS teikiamais privalumais, galioja neterminuotai; toks įsipareigojimas reiškia, kad organizacija tokiems duomenims ir toliau taikys Principus tol, kol saugo, naudoja ar atskleidžia tokius duomenis, net jei dėl bet kurios priežasties pasitraukia iš ES ir JAV DPS.“
199
Darytina išvada, kad ginčijamo sprendimo 1 priedo II dalies 4 punkto a papunktis ir III dalies 6 punkto f papunktis nesusiję su bet kokiu asmens duomenų tvarkymu, kaip tai suprantama pagal BDAR 4 straipsnio 2 punktą. Atvirkščiai, pirma, pirmajame iš minėtų punktų DPS organizacijų pareiga imtis saugumo priemonių nustatoma tik tais atvejais, kai jos sukuria, tvarko, naudoja ar platina asmens duomenis. Antra, antrajame iš minėtų punktų numatyta, kad iš DPS pasitraukusios organizacijos turi toliau taikyti ginčijamame sprendime nustatytus principus tol, kol saugo, naudoja arba atskleidžia iš Sąjungos į Jungtines Amerikos Valstijas perduotus asmens duomenis.
200
Pirma, reikia priminti, kad sprendimuose Schrems I ir Schrems II Teisingumo Teismas konstatavo, jog nebūtina, kad trečioji valstybė užtikrintų tokią pačią teisinę apsaugą, kokia garantuojama Sąjungos teisės sistemoje (žr. šio sprendimo 19 ir 20 punktus). Darytina išvada, kad nors ginčijamame sprendime Komisija laikosi pozicijos, kad šio sprendimo priėmimo metu galiojusia JAV teise užtikrinamas apsaugos lygis yra iš esmės lygiavertis numatytam Sąjungos teisėje, nebūtina, kad tame sprendime būtų vartojamos tiksliai tos pačios sąvokos kaip BDAR.
201
Antra, ginčijamo sprendimo 1 priedo II dalies 4 punkto a papunktyje įtvirtinti principai turi būti aiškinami atsižvelgiant į tai, kas nurodyta to sprendimo 23 konstatuojamojoje dalyje, kurioje, panašiai kaip BDAR 32 straipsnyje, numatyta:
„Asmens duomenys taip pat turėtų būti tvarkomi taip, kad būtų užtikrintas jų saugumas, įskaitant apsaugą nuo neleidžiamo ar neteisėto tvarkymo ir netyčinio praradimo, sunaikinimo ar sugadinimo. Todėl duomenų valdytojai ir duomenų tvarkytojai turėtų imtis tinkamų techninių ar organizacinių priemonių, kad apsaugotų asmens duomenis nuo galimų grėsmių. Šios priemonės turėtų būti vertinamos atsižvelgiant į techninių galimybių išsivystymo lygį, susijusias sąnaudas ir duomenų tvarkymo pobūdį, aprėptį, aplinkybes ir tikslus, taip pat į asmenų teisėms kylančius pavojus.“
202
Trečia, reikia pažymėti, kad ginčijamo sprendimo 1 priedo II dalies 4 punkto a papunktyje vartojami žodžiai „kurti“, „laikyti“, „naudoti“ ir „platinti“, taip pat to paties priedo III dalies 6 punkto f papunktyje vartojami žodžiai „saugoti“, „naudoti“ ir „atskleisti“ yra operacijos, kurią sudaro asmens duomenų „tvarkymas“, kaip tai suprantama pagal BDAR 32 straipsnį, konkrečios apraiškos ir kad, kaip ir šiuo straipsniu, jais siekiama apimti platų spektrą operacijų, susijusių su asmens duomenimis.
203
Ketvirta, ginčijamo sprendimo 1 priedo II dalies 4 punkto a papunktyje ir to paties priedo III dalies 6 punkto f papunktyje vartojamas žodis „naudoti“ apibrėžiamas kaip ko nors pasitelkimas konkrečiam tikslui ar konkrečiai paskirčiai. Atsižvelgiant į tai, asmens duomenų naudojimas apima susipažinimą su jais, nes iš esmės tam, kad būtų galima pasitelkti duomenis, prieš tai reikia gauti prieigą prie jų, taigi su jais susipažinti. Tai reiškia, kad ieškovo argumentas, jog ginčijamame sprendime nereikalaujama jokios saugumo priemonės, kai DPS organizacijos susipažįsta su iš Sąjungos gautais asmens duomenimis, yra nepagrįstas.
204
Atsižvelgiant į visa, kas išdėstyta, reikia atmesti penktąjį pagrindą, vadinasi, ir visą ieškinį.
IV. Dėl bylinėjimosi išlaidų
205
Pagal Procedūros reglamento 134 straipsnio 1 dalį iš pralaimėjusios šalies priteisiamos bylinėjimosi išlaidos, jei laimėjusi šalis to reikalavo.
206
Kadangi Komisija reikalavo priteisti iš ieškovo bylinėjimosi išlaidas ir jis pralaimėjo bylą, ieškovas turi padengti savo ir Komisijos patirtas bylinėjimosi išlaidas, įskaitant išlaidas, patirtas vykstant laikinųjų apsaugos priemonių procedūrai.
207
Be to, pagal Procedūros reglamento 138 straipsnio 1 dalį įstojusios į bylą valstybės narės ir institucijos padengia savo bylinėjimosi išlaidas. Taigi Airija padengia savo bylinėjimosi išlaidas.
208
Be to, pagal Procedūros reglamento 138 straipsnio 3 dalį Bendrasis Teismas taip pat gali nuspręsti, kad įstojusi į bylą šalis, kuri nenurodyta šio straipsnio 1 ir 2 dalyse, padengia savo bylinėjimosi išlaidas. Šiuo atveju reikia nuspręsti, kad Jungtinės Amerikos Valstijos padengia savo bylinėjimosi išlaidas.
Remdamasis šiais motyvais,
BENDRASIS TEISMAS (dešimtoji išplėstinė kolegija)
nusprendžia:
1.
atmesti ieškinį.
2.
Philippe Latombe padengia savo ir Europos Komisijos patirtas bylinėjimosi išlaidas, įskaitant išlaidas, patirtas vykstant laikinųjų apsaugos priemonių procedūrai.
3.
Airija padengia savo bylinėjimosi išlaidas.
4.
Jungtinės Amerikos Valstijos padengia savo bylinėjimosi išlaidas.
Porchia
Jaeger
Madise
Nihoul
Verschuur
Paskelbta 2025 m. rugsėjo 3 d. viešame teismo posėdyje Liuksemburge.
Parašai.
(
*1
)	Proceso kalba: prancūzų.