ROZSUDOK VŠEOBECNÉHO SÚDU (desiata rozšírená komora)
z 3. septembra 2025(*)
„ Prenos osobných údajov do Spojených štátov – Vykonávacie rozhodnutie Komisie, ktorým sa konštatuje primeranosť úrovne ochrany osobných údajov, ktorú zaručujú Spojené štáty – Právo na účinný prostriedok nápravy – Právo na súkromný a rodinný život – Rozhodnutia založené výlučne na automatizovanom spracúvaní osobných údajov – Bezpečnosť spracúvania osobných údajov “
Vo veci T‑553/23,
Philippe Latombe,
bydliskom v Nantes (Francúzsko), v zastúpení: N. Coutrelis, J.‑B. Soufron a T. Lamballe, advokáti,
žalobca,
proti
Európskej komisii, v zastúpení: D. Calleja Crespo, A. Bouchagiar, H. Kranenborg a C. Ladenburger, splnomocnení zástupcovia,
žalovanej,
ktorú v konaní podporuje:
Írsko, v zastúpení: M. Browne, S. Finnegan a A. Joyce, splnomocnení zástupcovia, za právnej pomoci S. Brittain, barrister, a C. Donnelly, SC,
a
Spojené štáty americké, v zastúpení: B. Walsh, S. Barton a A. Finlay, solicitors, E. Barrington, SC, a D. Hardiman, barrister,
vedľajší účastníci konania,
VŠEOBECNÝ SÚD (desiata rozšírená komora),
v zložení: predsedníčka komory O. Porchia, sudcovia M. Jaeger (spravodajca), L. Madise, P. Nihoul a S. Verschuur,
tajomník: I. Kurme, referentka,
so zreteľom na uznesenie z 12. októbra 2023, Latombe/Komisia (T‑553/23 R, neuverejnené, EU:T:2023:621),
so zreteľom na písomnú časť konania,
po pojednávaní z 1. apríla 2025,
vyhlásil tento
Rozsudok
1        Žalobca, pán Philippe Latombe, sa svojím návrhom podľa článku 263 ZFEÚ v podstate domáha zrušenia vykonávacieho rozhodnutia Komisie (EÚ) 2023/1795 z 10. júla 2023 podľa nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 o primeranej úrovni ochrany osobných údajov na základe rámca pre ochranu osobných údajov medzi EÚ a USA (Ú. v. EÚ L 231, 2023, s. 118, ďalej len „napadnuté rozhodnutie“).
I.      Okolnosti predchádzajúce sporu
2        Žalobca je francúzsky občan, ktorý tvrdí, že používa rôzne IT platformy, ktoré získavajú jeho osobné údaje a prenášajú ich do Spojených štátov.
3        Pokiaľ ide o prenos osobných údajov z Európskej únie do Spojených štátov amerických, Súdny dvor v prvom rade rozsudkom zo 6. októbra 2015, Schrems (C‑362/14, ďalej len „rozsudok Schrems I“, EU:C:2015:650), vo vzťahu k rozhodnutiu Komisie 2000/520/ES z 26. júla 2000, v súlade so smernicou Európskeho parlamentu a Rady 95/46/ES o primeranosti ochrany poskytovanej zásadami „bezpečného prístavu“ a súvisiacimi často kladenými otázkami vydanými Ministerstvom obchodu USA (Ú. v. ES L 215, 2000, s. 7; Mim. vyd. 16/001, s. 119), konštatoval, že toto rozhodnutie je neplatné.
4        V druhom rade rozsudkom zo 16. júla 2020, Facebook Ireland a Schrems (C‑311/18, ďalej len „rozsudok Schrems II“, EU:C:2020:559), Súdny dvor vyhlásil za neplatné vykonávacie rozhodnutie Komisie (EÚ) 2016/1250 z 12. júla 2016 podľa smernice Európskeho parlamentu a Rady 95/46/ES o primeranosti ochrany poskytovanej štítom na ochranu osobných údajov medzi EÚ a USA (Ú. v. EÚ L 207, 2016, s. 1, ďalej len „rozhodnutie o primeranosti, pokiaľ ide o štít na ochranu osobných údajov“).
5        V rozsudkoch Schrems I a Schrems II Súdny dvor, na ktorý bol podaný návrh na začatie prejudiciálneho konania týkajúci sa posúdenia platnosti, okrem iného konštatoval, že v rozpore s posúdením Európskej komisie vyplývajúcim z rozhodnutí o primeranosti, uvedených v bodoch 3 a 4 vyššie, systém bezpečného prístavu a systém štítu na ochranu osobných údajov (ďalej len „štít na ochranu osobných údajov“), ktorými sa riadi prenos osobných údajov, nezaručujú takú úroveň ochrany slobôd a základných práv, ktorá je v podstate rovnocenná úrovni ochrany zaručenej právom Únie.
6        V nadväznosti na rozsudok Schrems II začala Komisia rokovania s vládou Spojených štátov s cieľom prijať prípadné nové rozhodnutie o primeranosti, ktoré by spĺňalo požiadavky článku 45 ods. 2 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46 (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „GDPR“), ako ich vyložil Súdny dvor.
7        Spojené štáty americké 7. októbra 2022 prijali Executive Order 14086 (prezidentský dekrét č. 14086, ďalej len „E.O. 14086“), ktorým sa posilňujú opatrenia na ochranu súkromného života, upravujúce činnosti signálového spravodajstva vykonávané spravodajskými agentúrami so sídlom v Spojených štátoch. Tento dekrét bol zmenený na základe Attorney General Order No. 5517 – 2022 (nariadenie generálneho prokurátora č. 5517 – 2022, ďalej len „nariadenie AG“), ktorým sa do hlavy 28 Code of Federal Regulations [Kódex federálnych nariadení (CFR)], ktorým sa upravuje zriadenie a fungovanie Data Protection Review Court (Súd pre dohľad nad ochranou údajov, ďalej len „DPRC“), doplnila časť 201.
8        Dňa 10. júla 2023 Komisia po preskúmaní tohto regulačného vývoja v Spojených štátoch prijala na základe článku 45 ods. 3 GDPR napadnuté rozhodnutie, ktorým sa zavádza nový transatlantický rámec tokov osobných údajov medzi Úniou a Spojenými štátmi. V článku 1 uvedeného rozhodnutia sa uvádza, že Spojené štáty americké zabezpečujú primeranú úroveň ochrany osobných údajov prenášaných z Únie organizáciám v tejto krajine, ktoré sú zapísané v zozname organizácií zapojených do „rámca pre ochranu osobných údajov“ medzi Úniou a Spojenými štátmi (ďalej len „ROOÚ“), ktorý vedie a zverejňuje ministerstvo obchodu USA (ďalej len „organizácie ROOÚ“).
II.    Návrhy účastníkov konania
9        Žalobca navrhuje, aby Všeobecný súd:
–        zrušil napadnuté rozhodnutie v podstate v celom rozsahu,
–        uložil Komisii povinnosť nahradiť trovy konania.
10      Komisia, ktorú v konaní podporujú Írsko a Spojené štáty americké, navrhuje, aby Všeobecný súd:
–        zamietol žalobu ako neprípustnú,
–        subsidiárne zamietol žalobu ako nedôvodnú,
–        uložil žalobcovi povinnosť nahradiť trovy konania.
III. Právne posúdenie
A.      O námietke neprípustnosti
11      Samostatným podaním doručeným do kancelárie Všeobecného súdu 1. decembra 2023 podala Komisia námietku neprípustnosti na základe článku 130 Rokovacieho poriadku Všeobecného súdu.
12      Komisia tvrdí, že žaloba je neprípustná, a to z dôvodu, že žalobca nemá aktívnu legitimáciu, nemá záujem na konaní a že časť napadnutého rozhodnutia, ktorej zrušenie navrhuje, je neoddeliteľná od zvyšku tohto rozhodnutia.
13      Žalobca spochybňuje tvrdenia Komisie a tvrdí, že jeho žaloba je prípustná.
14      Treba pripomenúť, že súd Únie je oprávnený podľa okolností každej konkrétnej veci posúdiť, či riadny výkon spravodlivosti odôvodňuje zamietnutie žaloby vo veci samej bez predchádzajúceho rozhodnutia o jej prípustnosti (pozri v tomto zmysle rozsudok z 26. februára 2002, Rada/Boehringer, C‑23/00 P, EU:C:2002:118, body 51 a 52).
15      Vzhľadom na okolnosti prejednávanej veci teda Všeobecný súd usudzuje, že keďže je žaloba v každom prípade z dôvodov uvedených v bodoch 16 až 204 nižšie nedôvodná, je v záujme riadneho výkonu spravodlivosti opodstatnené preskúmať jej dôvodnosť bez predchádzajúceho rozhodnutia o jej prípustnosti (pozri v tomto zmysle rozsudky z 10. októbra 2014, Marchiani/Parlament, T‑479/13, neuverejnený, EU:T:2014:866, bod 23, a z 20. decembra 2023, Naturstrom/Komisia, T‑60/21, neuverejnený, EU:T:2023:839, bod 74).
B.      O veci samej
16      Žalobca na podporu svojej žaloby uvádza päť žalobných dôvodov, z ktorých:
–        prvý je založený na porušení článkov 3 a 4 nariadenia Rady č. 1/1958 z 15. apríla 1958 o používaní jazykov v Európskom hospodárskom spoločenstve (Ú. v. ES 17, 1958, s. 385; Mim. vyd. 01/001, s. 3),
–        druhý je založený na porušení článkov 7 a 8 Charty základných práv Európskej únie,
–        tretí je založený na porušení článku 47 druhého odseku Charty a článku 45 ods. 2 GDPR,
–        štvrtý je založený na porušení článku 22 GDPR,
–        piaty je založený na porušení článku 32 GDPR v spojení s článkom 45 ods. 2 tohto nariadenia.
17      Na pojednávaní žalobca vzal späť svoj prvý žalobný dôvod týkajúci sa porušenia článkov 3 a 4 nariadenia č. 1/1958. Je tak potrebné preskúmať len jeho druhý až piaty žalobný dôvod.
1.      Úvodné poznámky
18      V prvom rade treba poznamenať, že článok 45 ods. 1 nariadenia GDPR stanovuje, že prenos osobných údajov do tretej krajiny môže byť povolený na základe rozhodnutia Komisie, podľa ktorého táto tretia krajina, územie alebo jeden či viaceré určené sektory v tejto tretej krajine zabezpečujú primeranú úroveň ochrany. Toto ustanovenie je zahrnuté v kapitole V uvedeného nariadenia, ktorej cieľom, ako uviedol Súdny dvor, je vo všeobecnosti zabezpečiť kontinuitu vysokej úrovne ochrany osobných údajov, ktorú zaručuje právo Únie podľa tohto nariadenia, keď sa tieto údaje prenášajú do tretej krajiny (pozri v tomto zmysle rozsudok Schrems II, bod 93).
19      Súdny dvor uviedol, že v tejto súvislosti sa síce nepožaduje, aby dotknutá tretia krajina zaručila rovnakú úroveň ochrany, ako je úroveň ochrany zaručená v právnom poriadku Únie, no výraz „primeraná úroveň ochrany“, ktorý je uvedený v článku 45 ods. 1 GDPR, treba chápať tak, že vyžaduje, aby táto tretia krajina skutočne zabezpečila na základe jej vnútroštátneho práva alebo medzinárodných dohôd úroveň ochrany slobôd a základných práv, ktorá je v podstate rovnocenná úrovni ochrany zaručenej v rámci Únie podľa uvedeného nariadenia v spojení s Chartou základných práv (pozri v tomto zmysle rozsudok Schrems II, body 94 a 162).
20      Súdny dvor tiež rozhodol, že aj keď prostriedky, ktoré v tomto ohľade použije táto tretia krajina na zabezpečenie primeranej úrovne ochrany osobných údajov, môžu byť rozdielne od tých, ktoré sa zaviedli v rámci Únie s cieľom zabezpečiť dodržanie požiadaviek vyplývajúcich zo smernice 95/46 v spojení s Chartou, tieto prostriedky musia byť v praxi efektívne s cieľom zaručiť ochranu, ktorá je v podstate rovnocenná úrovni zaručenej v rámci Únie (rozsudok Schrems I, bod 74).
21      Okrem toho Súdny dvor konštatoval, že vzhľadom na dôležitú úlohu, ktorú na jednej strane zohráva ochrana osobných údajov so zreteľom na základné právo rešpektovania súkromného života a na druhej strane významné množstvo osôb, ktorých základné práva môžu byť porušené v prípade prenosu osobných údajov do tretej krajiny, ktorá nezaisťuje primeranú úroveň ochrany, je voľná úvaha Komisie, pokiaľ ide o úroveň ochrany zaistenú treťou krajinou, obmedzená, a je teda potrebné pristúpiť k prísnemu preskúmaniu zákonnosti rozhodnutia o primeranosti (rozsudok Schrems I, bod 78).
22      V druhom rade treba pripomenúť, že podľa ustálenej judikatúry sa zákonnosť aktu Únie musí posudzovať podľa skutkových a právnych okolností existujúcich v čase prijatia tohto aktu, a teda akty prijaté po prijatí rozhodnutia nemôžu mať vplyv na jeho platnosť (pozri rozsudky zo 17. októbra 2019, Alcogroup a Alcodis/Komisia, C‑403/18 P, EU:C:2019:870, bod 45 a citovanú judikatúru, a z 28. januára 2021, Qualcomm a Qualcomm Europe/Komisia, C‑466/19 P, EU:C:2021:76, bod 82 a citovanú judikatúru). Preto v prejednávanej veci posúdenia Komisie týkajúce sa zákonnosti napadnutého rozhodnutia musia byť preskúmané len na základe skutočností, ktorými Komisia disponovala v čase, keď tieto posúdenia vykonala.
23      Práve v tomto kontexte treba analyzovať žalobné dôvody uvádzané žalobcom, a to tak, že sa najprv preskúma tretí žalobný dôvod, potom druhý žalobný dôvod, následne štvrtý žalobný dôvod a napokon piaty žalobný dôvod.
2.      O treťom žalobnom dôvode založenom na porušení článku 47 druhého odseku Charty základných práv a článku 45 ods. 2 GDPR
24      Vo svojom treťom žalobnom dôvode žalobca tvrdí, že Komisia porušila článok 47 druhý odsek Charty základných práv a článok 45 ods. 2 GDPR, keď v napadnutom rozhodnutí konštatovala, že DPRC poskytuje primeranú úroveň ochrany, pokiaľ ide o právo občanov Únie na prístup k nezávislému a nestrannému súdu zriadenému zákonom.
25      Na úvod treba uviesť, že článok 47 druhý odsek Charty základných práv znie:
„Každý má právo na to, aby jeho záležitosť bola spravodlivo, verejne a v primeranej lehote prejednaná nezávislým a nestranným súdom zriadeným zákonom. Každý musí mať možnosť poradiť sa, obhajovať sa a nechať sa zastupovať.“
26      Podľa vysvetliviek k Charte základných práv (Ú. v. EÚ C 303, 2007, s. 17) článok 47 druhý odsek Charty zodpovedá článku 6 ods. 1 Európskeho dohovoru o ochrane ľudských práv a základných slobôd podpísaného 4. novembra 1950 v Ríme (ďalej len „EDĽP“). Uvedené ustanovenie EDĽP znie:
„Každý má právo na to, aby jeho vec bola spravodlivo, verejne a v primeranej lehote prejednaná nezávislým a nestranným súdom zriadeným zákonom, ktorý rozhodne o jeho občianskych právach alebo záväzkoch alebo o akomkoľvek trestnom čine, z ktorého je obvinený.“
27      V tejto súvislosti treba pripomenúť, že podľa judikatúry vzhľadom na to, že EDĽP – kým k nemu Únia nepristúpila – nepredstavuje právny nástroj formálne začlenený do právneho poriadku Únie, platnosť aktu sekundárneho práva sa musí preskúmať výlučne s ohľadom na základné práva zaručené Chartou základných práv (rozsudok z 3. septembra 2015, Inuit Tapiriit Kanatami a i./Komisia, C‑398/13 P, EU:C:2015:535, body 45 a 46).
28      Judikatúra však uznáva, že jednak podľa článku 6 ods. 3 ZEÚ základné práva zaručené EDĽP predstavujú súčasť práva Únie ako všeobecné zásady a jednak z článku 52 ods. 3 Charty základných práv vyplýva, že práva obsiahnuté v Charte, ktoré zodpovedajú právam zaručeným v EDĽP, majú rovnaký zmysel a rozsah, ako je zmysel a rozsah práv ustanovených v EDĽP (pozri rozsudok z 31. mája 2018, Korwin‑Mikke/Parlament, T‑770/16, EU:T:2018:320, bod 38 a citovanú judikatúru).
29      V dôsledku uvedeného sa podľa judikatúry v záujme koherentnosti a bez toho, aby tým bola narušená autonómia práva Únie a Súdneho dvora Európskej únie, musia práva obsiahnuté v Charte základných práv, ktoré zodpovedajú právam zaručeným EDĽP, vykladať aj z hľadiska judikatúry Európskeho súdu pre ľudské práva (ďalej len „ESĽP“) [pozri v tomto zmysle rozsudky z 9. novembra 2023, Staatssecretaris van Justitie en Veiligheid (Pojem „vážne bezprávie“), C‑125/22, EU:C:2023:843, bod 59, a z 31. mája 2018, Korwin‑Mikke/Parlament, T‑770/16, EU:T:2018:320, bod 38].
30      Z uvedeného podľa judikatúry vyplýva, že Súdny dvor musí na základe článku 52 ods. 3 Charty základných práv dbať na to, aby ním poskytovaný výklad článku 47 druhého odseku Charty zabezpečil takú úroveň ochrany, ktorá neporušuje úroveň zaručenú článkom 6 ods. 1 EDĽP, tak ako ho vykladá ESĽP [pozri rozsudok zo 6. októbra 2021, W. Ż. (Senát Najvyššieho súdu pre mimoriadne preskúmanie a veci verejné – Vymenovanie), C‑487/19, EU:C:2021:798, bod 123 a citovanú judikatúru].
31      Treba tiež poznamenať, že v článku 45 ods. 2 GDPR sa uvádza, že Komisia pri posudzovaní primeranosti úrovne ochrany poskytovanej treťou krajinou zohľadňuje najmä tieto skutočnosti:
„a)      … účinné a vymáhateľné práva dotknutej osoby a účinné správne a súdne prostriedky nápravy pre dotknuté osoby, ktorých osobné údaje sa prenášajú;
b)      existencia a účinné pôsobenie jedného či viacerých nezávislých dozorných orgánov v predmetnej tretej krajine, alebo ktorému podlieha medzinárodná organizácia, so zodpovednosťou za zabezpečenie a presadzovanie dodržiavania pravidiel ochrany údajov vrátane primeraných právomocí pre presadzovanie práva, za poskytovanie pomoci a poradenstva dotknutým osobám pri výkone ich práv a za spoluprácu s dozornými orgánmi členských štátov“.
32      Práve s ohľadom na tieto skutočnosti treba preskúmať obe výhrady, ktoré uvádza žalobca na podporu tohto žalobného dôvodu.
a)      O prvej výhrade tretieho žalobného dôvodu, podľa ktorej DPRC nie je nezávislým a nestranným súdom
33      Žalobca v rámci prvej výhrady svojho tretieho žalobného dôvodu tvrdí, že DPRC nie je nezávislým a nestranným súdom v zmysle článku 47 druhého odseku Charty základných práv, ale že je kvázi‑súdnym orgánom, ktorý je podriadený výkonnej moci.
34      Komisia, ktorú v konaní podporujú Írsko a Spojené štáty americké, namieta proti argumentácii žalobcu.
35      Na úvod treba uviesť, že podľa judikatúry požiadavka nezávislosti súdov, ktorá je neoddeliteľne spojená s poslaním súdnictva, vychádza z podstaty práva na účinnú súdnu ochranu a základného práva na spravodlivý proces, ktoré má zásadný význam ako záruka ochrany všetkých práv, ktoré osobám podliehajúcim súdnej právomoci vyplývajú z práva Únie, a ako záruka zachovania spoločných hodnôt členských štátov uvedených v článku 2 ZEÚ, najmä hodnoty právneho štátu [rozsudok z 15. júla 2021, Komisia/Poľsko (Disciplinárny režim sudcov), C‑791/19, EU:C:2021:596, bod 58 a citovaná judikatúra]. V súlade so zásadou deľby moci, ktorou sa vyznačuje fungovanie právneho štátu, musí byť zaručená najmä nezávislosť súdov vo vzťahu k zákonodarnej a výkonnej moci (pozri rozsudok z 18. mája 2021, Asociația „Forumul Judecătorilor din România“ a i., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 a C‑397/19, EU:C:2021:393, bod 195 a citovanú judikatúru).
36      Judikatúra spresňuje, že požiadavka nezávislosti súdov má dva aspekty. Prvé, vonkajšie hľadisko vyžaduje, aby dotknutý orgán vykonával svoje úlohy samostatne, nikomu hierarchicky nepodliehal, ani nebol nikomu podriadený a od nikoho neprijímal príkazy alebo inštrukcie, bez ohľadu na ich pôvod, čím je chránený pred vonkajšími zásahmi alebo tlakmi, ktoré by mohli ohroziť nezávislosť rozhodovania jeho členov a ovplyvniť ich rozhodnutia. Druhé, vnútorné hľadisko sa pripája k pojmu „nestrannosť“ a týka sa rovnakého odstupu od účastníkov konania a ich jednotlivých záujmov vo vzťahu k predmetu sporu. Tento druhý aspekt vyžaduje rešpektovanie objektívnosti a neexistenciu akéhokoľvek záujmu na vyriešení sporu mimo striktného uplatnenia právneho predpisu (pozri rozsudok z 21. decembra 2021, Euro Box Promotion a i., C‑357/19, C‑379/19, C‑547/19, C‑811/19 a C‑840/19, EU:C:2021:1034, bod 224 a citovanú judikatúru).
37      Záruky nezávislosti a nestrannosti vyžadované podľa práva Únie stanovujú ako požiadavku existenciu pravidiel, najmä pokiaľ ide o zloženie orgánu, menovanie, funkčné obdobia, ako aj dôvody zdržania sa hlasovania, vylúčenia pre zaujatosť a odvolania jeho členov, ktoré umožňujú odstrániť akékoľvek oprávnené pochybnosti vo vnímaní osôb podliehajúcich súdnej právomoci, pokiaľ ide o neovplyvniteľnosť uvedeného orgánu vonkajšími činiteľmi a jeho neutralitu vo vzťahu k protichodným záujmom [pozri rozsudok z 15. júla 2021, Komisia/Poľsko (Disciplinárny režim sudcov), C‑791/19, EU:C:2021:596, bod 59 a citovanú judikatúru].
38      Práve v tomto kontexte treba preskúmať všetky tri tvrdenia uvádzané žalobcom na podporu tejto výhrady.
1)      O prvom tvrdení, podľa ktorého DPRC nie je nezávislým a nestranným súdom, keďže jeho úlohou je preskúmavať rozhodnutia Civil Liberties Protection Officer of the Director of National Intelligence
39      Svojím prvým tvrdením žalobca v podstate tvrdí, že DPRC nie je nezávislým a nestranným súdom, keďže jeho úlohou je preskúmavať rozhodnutia Civil Liberties Protection Officer of the Director of National Intelligence (úradník pre ochranu občianskych slobôd podliehajúci riaditeľovi národnej spravodajskej služby, ďalej len „CLPO“, Spojené štáty), ktorý je pričlenený k úradu riaditeľa národnej spravodajskej služby Spojených štátov (ďalej len „riaditeľ národnej spravodajskej služby“).
40      Komisia, ktorú v konaní podporujú Írsko a Spojené štáty americké, proti tvrdeniu žalobcu namieta.
41      V záujme jasnosti treba spresniť, že prvé tvrdenie v rámci prvej výhrady tretieho žalobného dôvodu sa má vykladať v tom zmysle, že podľa žalobcu v podstate platí, že po prvé pri vybavovaní sťažnosti týkajúcej sa osobných údajov, podanej v Únii dotknutou osobou, ktorá sa chce domáhať konštatovania porušenia práva Spojených štátov upravujúceho činnosti signálového spravodajstva, ktoré poškodzuje jej záujmy v oblasti ochrany súkromného života a občianskych slobôd (ďalej len „sťažnosť týkajúca sa osobných údajov“), CLPO neposkytuje dostatočné záruky na zabezpečenie jeho nezávislosti, a to z dôvodu, že je pričlenený k úradu riaditeľa národnej spravodajskej služby, a po druhé DPRC nie je nezávislým a nestranným súdom, a to z dôvodu nedostatočných záruk vzťahujúcich sa na CLPO.
42      Na úvod treba uviesť, že preskúmanie záruk týkajúcich sa nezávislosti CLPO je irelevantné na účely posúdenia, či DPRC predstavuje nezávislý a nestranný súd. DPRC bol totiž zriadený ako nezávislý kontrolný orgán vo vzťahu k CLPO, pričom ako vyplýva z odôvodnenia 184 napadnutého rozhodnutia, osoba, ktorá podala sťažnosť týkajúcu sa osobných údajov, ako aj ktorákoľvek zložka spravodajských služieb, môže na DPRC predložiť návrh na preskúmanie rozhodnutia CLPO, a v E.O. 14086 bolo stanovených viacero záruk na ten účel, aby rozhodnutia CLPO mohli byť zo strany DPRC preskúmané, a prípadne zmenené, nezávisle a nestranne.
43      Po prvé z odôvodnení 185 a 186 napadnutého rozhodnutia vyplýva – pričom žalobca to nespochybňuje –, že DPRC sa skladá najmenej zo šiestich sudcov, ktorých vymenúva Attorney General (generálny prokurátor, Spojené štáty, ďalej len „generálny prokurátor“) po porade s Privacy and Civil Liberties Oversight Board (Rada pre dohľad nad rešpektovaním súkromného života a občianskych slobôd, Spojené štáty americké, ďalej len „PCLOB“), Secretary of Commerce (štátny tajomník pre obchod, Spojené štáty americké) a riaditeľom národnej spravodajskej služby na obnoviteľné funkčné obdobie štyroch rokov, pričom sú použité rovnaké kritériá, aké sa uplatňujú na sudcov federálneho súdnictva, s prihliadnutím na ich predchádzajúce odborné skúsenosti v súdnictve. Sudcovia teda musia byť príslušníkmi právnického povolania, to znamená aktívnymi členmi advokátskej komory s riadnym oprávnením na výkon advokátskej praxe, a musia mať primerané skúsenosti v oblasti práva na ochranu súkromného života a národnej bezpečnosti. Okrem toho sa generálny prokurátor musí usilovať zabezpečiť, aby v ktoromkoľvek okamihu mala aspoň polovica sudcov predchádzajúce skúsenosti v súdnictve, a všetci sudcovia musia mať bezpečnostnú previerku umožňujúcu prístup k utajovaným skutočnostiam týkajúcim sa národnej bezpečnosti. Na DPRC môžu byť vymenované len osoby, ktoré spĺňajú vyššie uvedené podmienky a ktoré v čase vymenovania nie sú a ani v predchádzajúcich dvoch rokoch neboli zamestnancami exekutívnej zložky moci. Taktiež platí, že sudcovia DPRC nesmú počas funkčného obdobia vykonávať žiadnu úradnú funkciu ani byť zamestnaní v rámci vlády Spojených štátov.
44      Po druhé z odôvodnení 188 a 189 napadnutého rozhodnutia vyplýva, pričom žalobca to nespochybňuje, že rozhodnutia CLPO v plnom rozsahu preskúmava senát DPRC zložený z troch sudcov, ktorým poskytuje právnu pomoc osobitný advokát. Pri uvedenom preskúmaní však DPRC nevychádza len zo spisu, ktorý mu predložil CLPO, ale aj z informácií a pripomienok poskytnutých zo strany sťažovateľa, osobitného advokáta, ktorý poskytuje právnu pomoc jeho sudcom, a spravodajských agentúr, a tiež prípadne z dodatočných informácií, o ktoré DPRC požiadal v priebehu preskúmania sťažnosti týkajúcej sa osobných údajov. Okrem toho musí pri tomto preskúmaní uplatniť príslušnú judikatúru Supreme Court of the United States (Najvyšší súd Spojených štátov).
45      Po tretie z odôvodnení 190 a 191 napadnutého rozhodnutia vyplýva, pričom žalobca to nespochybňuje, že DPRC má právomoc zmeniť rozhodnutie, nie je viazaný rozhodnutím CLPO a v prípade, že má od neho odlišný názor, môže prijať vlastné rozhodnutie o sťažnosti týkajúcej sa osobných údajov. Navyše bez ohľadu na to, aké rozhodnutie DPRC prijme, je toto rozhodnutie záväzné a konečné. Tak spravodajské agentúry, ako aj vláda Spojených štátov sú teda povinné ich dodržiavať.
46      Z vyššie uvedeného vyplýva, že záruky stanovené v E.O. 14086, pokiaľ ide o fungovanie a právomoci DPRC, umožňujú nezávislé a nestranné preskúmanie rozhodnutí prijatých zo strany CLPO. Tvrdenie žalobcu, že nedostatočnosť záruk uplatniteľných na CLPO má vplyv na nezávislosť a nestrannosť DPRC, tak nie je opodstatnené.
47      V každom prípade, pokiaľ ide o údajnú nedostatočnosť záruk, ktoré majú zabezpečiť nezávislosť CLPO, treba uviesť nasledujúce skutočnosti.
48      Je potrebné poukázať na to, že ako vyplýva z odôvodnení 176 až 181 napadnutého rozhodnutia, pričom žalobca to nespochybňuje, že na základe E.O. 14086, doplneného nariadením AG, sa zaviedol osobitný mechanizmus opravného prostriedku na účely vybavenia sťažnosti týkajúcej sa osobných údajov. Táto sťažnosť musí byť predložená dozornému orgánu, ktorý je v každom členskom štáte zodpovedný za dohľad nad spracúvaním osobných údajov, pričom tento ju následne postúpi CLPO, za predpokladu, že obsahuje náležitosti uvedené v bode 178 napadnutého rozhodnutia, t. j. informácie týkajúce sa osobných údajov, o ktorých sa možno dôvodne domnievať, že boli prenesené do Spojených štátov, prostriedky, ktorými – ako sa možno domnievať – boli prenesené, totožnosť – ak je známa – subjektov vlády Spojených štátov podozrivých z účasti na údajnom porušení, základ údajného porušenia práva Spojených štátov a povahu požadovanej náhrady škody. V tejto súvislosti musí CLPO určiť, či spravodajské agentúry porušili uplatniteľné právo Spojených štátov, a ak áno, môže nariadiť, aby vykonali nápravné opatrenia. Rozhodnutie CLPO týkajúce sa uvedenej sťažnosti je záväzné.
49      Je pravda, že v odôvodnení 179 napadnutého rozhodnutia Komisia uvádza, že CLPO je súčasťou úradu riaditeľa národnej spravodajskej služby a že okrem jeho osobitnej právomoci na preskúmavanie sťažnosti týkajúcej sa osobných údajov je vo všeobecnosti povinný zabezpečovať, aby ochrana občianskych slobôd a súkromného života bola primerane začlenená do politík a postupov tohto úradu a spravodajských agentúr a aby tieto agentúry dodržiavali uplatniteľné požiadavky v oblasti ochrany súkromného života a občianskych slobôd. Treba však poznamenať, že po prvé ako sa uvádza v tomto odôvodnení, v E.O. 14086 sa s cieľom zabezpečiť nezávislosť CLPO stanovuje, že CLPO môže byť odvolaný z funkcie len uvedeným riaditeľom, a to len z oprávnených dôvodov, to znamená v prípade protiprávneho konania, pochybenia, narušenia bezpečnosti, nedbanlivosti alebo nespôsobilosti. Po druhé, ako vyplýva z odôvodnenia 180 napadnutého rozhodnutia, spravodajské agentúry a riaditeľ národnej spravodajskej služby nesmú sťažovať prácu CLPO alebo vo vzťahu k jeho práci vyvíjať nenáležitý vplyv, a CLPO musí pri posudzovaní sťažnosti týkajúcej sa osobných údajov uplatňovať právo nestranne, pričom musí zohľadňovať záujmy národnej bezpečnosti, a zároveň záujmy týkajúce sa ochrany súkromného života.
50      Za týchto okolností treba toto tvrdenie zamietnuť.
2)      O druhom tvrdení, podľa ktorého DPRC nie je nezávislým a nestranným súdom, keďže sa skladá zo sudcov vymenovaných generálnym prokurátorom po porade s PCLOB
51      Svojím druhým tvrdením žalobca v podstate tvrdí, že DPRC nie je nezávislým a nestranným súdom, keďže sa skladá zo sudcov vymenovaných generálnym prokurátorom po porade s PCLOB, ktorá je orgánom závislým od výkonnej moci.
52      Komisia, ktorú v konaní podporujú Írsko a Spojené štáty americké, proti tvrdeniu žalobcu namieta.
53      V prvom rade z odôvodnenia 110 napadnutého rozhodnutia vyplýva, že PCLOB je nezávislou agentúrou zriadenou v rámci výkonnej moci. Nezávislosť tejto agentúry vyplýva najmä z jej zloženia. Skladá sa totiž zo zástupov obidvoch politických strán, a to konkrétne z piatich členov, ktorých vymenúva prezident Spojených štátov so súhlasom Senátu na pevne stanovené funkčné obdobie šiestich rokov. Uvedení členovia sa musia vyberať výlučne na základe ich odbornej kvalifikácie, dosiahnutých výsledkov, verejného postavenia, odborných znalostí v oblasti občianskych slobôd a súkromného života, ako aj príslušných skúseností, a to bez ohľadu na politickú príslušnosť. PCLOB nesmie mať viac než troch členov z tej istej politickej strany. Osoba vymenovaná za člena PCLOB nesmie počas výkonu svojej funkcie zastávať žiadnu funkciu voleného činiteľa, úradníka ani zamestnanca federálnej vlády okrem funkcie člena PCLOB.
54      Z uvedeného vyplýva, že hoci bola PCLOB zriadená v rámci výkonnej moci, v štatúte, na základe ktorého bola zriadená, bola koncipovaná ako nezávislá agentúra, ktorej úlohou je nestranne dohliadať na uskutočňovanie úkonov zo strany výkonnej moci, s cieľom chrániť predovšetkým súkromný život a občianske slobody. Ako sa uvádza v odôvodnení 194 napadnutého rozhodnutia, pričom žalobca to nespochybňuje, PCLOB musí každý rok vykonať kontrolu toho, či CLPO a DPRC vybavovali veci, ktoré im boli predložené, v stanovených lehotách, či mali prístup ku všetkým potrebným informáciám, či zohľadnili všetky záruky stanovené v E.O. 14086 a či spravodajské agentúry vyhoveli ich rozhodnutiam. Po tomto overení musí PCLOB verejne potvrdiť, že CLPO a DPRC tieto záruky dodržali. Okrem toho musí predložiť správu prezidentovi Spojených štátov, generálnemu prokurátorovi, riaditeľovi národnej spravodajskej služby, vedúcim spravodajských agentúr, CLPO a spravodajským výborom United States Congress (Kongres USA). Táto správa sa zverejňuje v odtajnenej verzii. Generálny prokurátor, riaditeľ národnej spravodajskej služby, CLPO a vedúci spravodajských agentúr sú povinní splniť všetky odporúčania uvedené v tejto správe.
55      Za týchto podmienok skutočnosť, že PCLOB bol zriadený v rámci výkonnej moci, sama osebe neumožňuje dospieť k záveru, že DPRC – z dôvodu, že k vymenovaniu sudcov DPRC dochádza po porade s PCLOB –, nie je nezávislým a nestranným súdom.
56      V druhom rade treba poznamenať, že na to, aby sa zabezpečilo, že sudcovia DPRC budú nezávislí od výkonnej moci, E.O. 14086 stanovuje, že pri ich vymenovaní musí generálny prokurátor dodržať kritériá a podmienky uvedené v bode 43 vyššie. Navyše ako vyplýva z odôvodnenia 187 napadnutého rozhodnutia, sudcov DPRC môže odvolať len generálny prokurátor, a to len z oprávnených dôvodov, ktorými sú konkrétne protiprávne konanie, pochybenie, narušenie bezpečnosti, nedbanlivosť alebo nespôsobilosť, po náležitom zohľadnení noriem uplatniteľných na federálnych sudcov, stanovených v rámci pravidiel týkajúcich sa profesijnej etiky a konania o určení nespôsobilosti na výkon sudcovskej funkcie.
57      Z uvedeného vyplýva, že pravidlá týkajúce sa vymenúvania a odvolávania sudcov DPRC nemôžu spochybniť jeho nezávislosť a nestrannosť.
58      V treťom rade treba uviesť, že podľa článku 3 ods. 1 napadnutého rozhodnutia je Komisia povinná priebežne monitorovať uplatňovanie právneho rámca, z ktorého uvedené rozhodnutie vychádza, najmä podmienky uskutočňovania následných prenosov osobných údajov, podmienky uplatňovania individuálnych práv a podmienky, za akých majú orgány verejnej moci Spojených štátov prístup k údajom prenášaným na základe tohto rozhodnutia, a to s cieľom určiť, či Spojené štáty americké naďalej zabezpečujú primeranú úroveň ochrany. Podľa odseku 5 uvedeného článku, ak má Komisia k dispozícii informácie, ktoré naznačujú, že primeraná úroveň ochrany už nie je zabezpečená, informuje o tom orgány Spojených štátov a v prípade potreby rozhodne o pozastavení uplatňovania napadnutého rozhodnutia, jeho zmene, zrušení alebo o obmedzení rozsahu jeho pôsobnosti. Z uvedeného vyplýva, že ak sa zmení právny rámec platný v Spojených štátoch v čase prijatia napadnutého rozhodnutia, ktorý viedol Komisiu k záveru – vyjadrenému v tomto rozhodnutí –, že DPRC poskytuje právnu ochranu, ktorá je v podstate rovnocenná ochrane zaručenej právom Únie, Komisia v prípade potreby rozhodne o pozastavení uplatňovania napadnutého rozhodnutia, jeho zmene, zrušení alebo o obmedzení rozsahu jeho pôsobnosti.
59      Vzhľadom na všetky tieto úvahy treba toto tvrdenie zamietnuť.
3)      O treťom tvrdení, podľa ktorého DPRC nie je nezávislým a nestranným súdom, keďže nariadenie AG nevylučuje možnosť, že jeho sudcovia podliehajú iným formám dohľadu než každodennému dohľadu zo strany výkonnej moci
60      V rámci svojho tretieho tvrdenia žalobca v podstate tvrdí, že DPRC nie je nezávislým a nestranným súdom, keďže nariadenie AG nevylučuje možnosť, že jeho sudcovia podliehajú iným formám dohľadu než každodennému dohľadu zo strany výkonnej moci.
61      Komisia, ktorú v konaní podporujú Írsko a Spojené štáty americké, proti tvrdeniu žalobcu namieta.
62      Treba poznamenať, že zatiaľ čo zo spisu vyplýva, že podľa článku 201 ods. 7 písm. d) nariadenia AG sudcovia DPRC nesmú podliehať každodennému dohľadu generálneho prokurátora, v odôvodnení 187 napadnutého rozhodnutia sa tiež uvádza, že podľa E.O. 14086 spravodajské agentúry a generálny prokurátor nesmú sťažovať prácu CLPO alebo vo vzťahu k jeho práci vyvíjať nenáležitý vplyv. Okrem toho zo spisu vyplýva, že E.O. 14086 a nariadenie AG obmedzujú možnosť výkonnej moci vyvíjať vplyv na prácu DPRC, keď stanovujú, že jeho sudcovia môžu byť odvolaní len generálnym prokurátorom a len z dôvodov uvedených v bode 56 vyššie.
63      V tomto kontexte treba toto tvrdenie odmietnuť, a preto treba prvú výhradu tretieho žalobného dôvodu zamietnuť v celom rozsahu.
b)      O druhej výhrade tretieho žalobného dôvodu, podľa ktorej DPRC nie je súdom zriadeným zákonom
64      Druhou výhradou tretieho žalobného dôvodu žalobca tvrdí, že DPRC nebol zriadený zákonom v zmysle článku 47 druhého odseku Charty základných práv, keďže nebol vytvorený na základe zákona prijatého Kongresom Spojených štátov, ale na základe aktu výkonnej moci, ktorým je konkrétne rozhodnutie generálneho prokurátora.
65      Komisia, ktorú v konaní podporujú Írsko a Spojené štáty americké, proti argumentácii žalobcu namieta.
66      V prvom rade z judikatúry Súdneho dvora, ktorá bola rozvinutá s prihliadnutím na judikatúru ESĽP týkajúcu sa článku 6 ods. 1 EDĽP (rozsudok ESĽP z 1. decembra 2020, Guðmundur Andri Ástráðsson v. Island, CE:ECHR:2020:1201JUD002637418, body 231 a 233), vyplýva, že hoci právo na súd zriadený zákonom predstavuje samostatné právo, toto právo je napriek tomu veľmi úzko spojené so zárukami nezávislosti a nestrannosti uvedenými v tom istom ustanovení. Konkrétnejšie, hoci každá z požiadaviek, ktoré sú týmito pojmami nariadené, sleduje konkrétny účel, ktorý z nich robí osobitné záruky spravodlivého súdneho konania, cieľom týchto záruk je dodržiavanie základných zásad, ktorými sú vláda práva a oddelenie mocí. Každá z týchto požiadaviek tak vychádza zo zásadnej požiadavky zachovať dôveru, ktorú musí súdna moc vzbudzovať u osoby podliehajúcej súdnej právomoci, a nezávislosť tejto moci vo vzťahu k ostatným mociam [pozri rozsudky z 22. februára 2022, Openbaar Ministerie (Súd zriadený zákonom v členskom štáte, ktorý vydal zatykač), C‑562/21 PPU a C‑563/21 PPU, EU:C:2022:100, bod 56 a citovanú judikatúru, a z 29. marca 2022, Getin Noble Bank, C‑132/20, EU:C:2022:235, bod 117 a citovanú judikatúru].
67      Súdny dvor tiež reflektujúc judikatúru ESĽP (rozsudok ESĽP, 8. júla 2014, Biagioli v. San Marino, CE:ECHR:2014:0708DEC000816213, body 72 až 74; pozri tiež rozsudok ESĽP, 2. mája 2019, Pasquini v. San Marino, CE:ECHR:2019:0502JUD005095616, body 100 a 101 a citovanú judikatúru), uviedol, že výraz „zriadený zákonom“ má za cieľ zabrániť tomu, aby bola organizácia súdneho systému ponechaná na voľnú úvahu výkonnej moci, a zabezpečiť to, aby bola táto oblasť upravená zákonom prijatým zákonodarnou mocou spôsobom, ktorý je v súlade s normami vymedzujúcimi výkon jej právomoci. Tento výraz tak odráža zásadu právneho štátu a týka sa nielen právneho základu samotnej existencie súdu, ale aj zloženia rozhodovacieho orgánu v každej veci, ako aj každého iného ustanovenia vnútroštátneho práva, ktorého nedodržanie spôsobuje protiprávnosť účasti jedného alebo viacerých sudcov na preskúmaní veci, čo zahŕňa najmä ustanovenia týkajúce sa nezávislosti a nestrannosti členov príslušného súdu (pozri rozsudok z 29. marca 2022, Getin Noble Bank, C‑132/20, EU:C:2022:235, bod 121 a citovanú judikatúru).
68      V tejto súvislosti Súdny dvor rozhodol, že konštatovanie týkajúce sa existencie porušenia požiadavky na súd zriadený zákonom a dôsledkov takéhoto porušenia podlieha celkovému posúdeniu viacerých skutočností, ktoré posudzované ako celok prispievajú k vzniku oprávnených pochybností u osôb podliehajúcich súdnej právomoci, pokiaľ ide o nezávislosť a nestrannosť sudcov [pozri rozsudok z 22. februára 2022, Openbaar Ministerie (Súd zriadený zákonom v členskom štáte, ktorý vydal zatykač), C‑562/21 PPU a C‑563/21 PPU, EU:C:2022:100, bod 74 a citovanú judikatúru].
69      Súdny dvor tak konštatoval, že okolnosť, že taký orgán, akým je Štátna súdna rada, ktorý je zapojený do procesu vymenovania sudcov, je v prevažnej miere zložený z členov vybraných zákonodarnou mocou, sama osebe nemôže viesť k pochybnostiam o nezávislosti sudcov vymenovaných na konci tohto procesu, ale že to pritom môže byť inak v prípade, že táto okolnosť v spojení s inými relevantnými skutočnosťami a podmienkami, za ktorých sa tento výber uskutočnil, vedie k vzniku takýchto pochybností [pozri rozsudok z 22. februára 2022, Openbaar Ministerie (Súd zriadený zákonom v členskom štáte, ktorý vydal zatykač), C‑562/21 PPU a C‑563/21 PPU, EU:C:2022:100, bod 75 a citovanú judikatúru].
70      Okrem toho ESĽP vo svojom rozsudku z 1. decembra 2020, Guðmundur Andri Ástráðsson v. Island (CE:ECHR:2020:1201JUD002637418, body 207 a 212), rozhodol, že vymenovanie sudcov výkonnou mocou alebo zákonodarcom je prípustné, pokiaľ takto vymenovaní sudcovia nie sú pri výkone svojej sudcovskej funkcie vystavení akémukoľvek tlaku alebo vplyvu.
71      Z tejto judikatúry v podstate vyplýva, že na posúdenie toho, či sú splnené požiadavky, ktoré vyplývajú z článku 47 druhého odseku Charty základných práv, sa nemožno obmedziť len na posúdenie formálnej povahy právneho textu, ktorým sa zriaďuje súd a vymedzujú pravidlá jeho fungovania, ale treba overiť, či tento právny text stanovuje dostatočné záruky na zabezpečenie jeho nezávislosti a nestrannosti vo vzťahu k ostatným mociam, predovšetkým vo vzťahu k výkonnej moci.
72      V druhom rade treba pripomenúť, že ako rozhodol Súdny dvor v rozsudku Schrems I a v rozsudku Schrems II, Komisia nie je v rámci rozhodovania o primeranosti povinná ubezpečiť sa o tom, že príslušné ustanovenia tretej krajiny sú totožné s ustanoveniami platnými v Únii, ale o tom, že tieto sú v podstate rovnocenné s ustanoveniami zaručenými právom Únie podľa nariadenia GDPR v spojení s Chartou základných práv (pozri body 19 a 20 vyššie). Z uvedeného vyplýva, že v prejednávanej veci je Všeobecný súd povinný overiť dôvodnosť konštatovania o primeranosti vykonaného Komisiou v napadnutom rozhodnutí, podľa ktorého ustanovenia práva Spojených štátov týkajúce sa zriadenia a fungovania DPRC poskytujú záruky, ktoré sú v podstate rovnocenné zárukám stanoveným právom Únie v článku 47 druhom odseku Charty. Takéto záruky sú poskytnuté konkrétne vtedy, keď právny text, ktorým sa zriaďuje tento súd a vymedzujú sa pravidlá jeho fungovania, má za cieľ zabezpečiť jeho nezávislosť a nestrannosť vo vzťahu k ostatným mociam, predovšetkým vo vzťahu k výkonnej moci, a to napriek tomu, že uvedený text z formálneho hľadiska nepredstavuje zákon.
73      V prejednávanej veci z odôvodnenia 185 napadnutého rozhodnutia vyplýva – pričom žalobca to nespochybňuje –, že DPRC bol zriadený nariadením AG. Z toho vyplýva že DPRC nebol vytvorený zákonom prijatým zákonodarnou mocou, t. j. Kongresom Spojených štátov, ale aktom výkonnej moci. Generálny prokurátor je totiž vedúcim predstaviteľom ministerstva spravodlivosti Spojených štátov a hlavným orgánom, ktorý je zodpovedný za presadzovanie práva v rámci federálnej vlády Spojených štátov. Generálny prokurátor je hlavným poradcom prezidenta Spojených štátov vo všetkých právnych otázkach a je členom jeho kabinetu.
74      V tejto súvislosti je potrebné overiť, či E.O. 14086 a nariadenie AG poskytujú záruky na zabezpečenie nezávislosti a nestrannosti DPRC spôsobom, ktorý je v podstate rovnocenný s právom Únie.
75      V tejto súvislosti treba po prvé poznamenať, že zo spisu vyplýva, pričom to nebolo spochybnené, že:
–        generálny prokurátor prijal nariadenie AG na základe svojej zákonnej právomoci vydávať záväzné rozhodnutia o otázkach práva Spojených štátov, a to vrátane tých, ktoré sa týkajú prenosu údajov z Únie, ktoré upravuje E.O. 14086,
–        na základe zriadenia DPRC generálny prokurátor na tento orgán delegoval svoju právomoc rozhodovať o zákonnosti činností signálového spravodajstva, ktoré napadol občan Únie; generálny prokurátor tak už de iure
nie je oprávnený vykonávať právomoc, ktorú delegoval na DPRC, a to po dobu existencie tohto orgánu,
–        ako sa uvádza v poznámke pod čiarou 366 na strane 63 napadnutého rozhodnutia, Najvyšší súd Spojených štátov uznal možnosť generálneho prokurátora zriaďovať nezávislé orgány s rozhodovacou právomocou, akým je aj DPRC; okrem toho konštatoval, že delegovanie právomoci zo strany generálneho prokurátora na jeho splnomocneného zástupcu je pre výkonnú moc záväzné; z judikatúry uvedeného súdu teda vyplýva, že pokiaľ nariadenie AG zostáva v platnosti, výkonná moc je ním viazaná a ani spravodajské agentúry, ani vláda Spojených štátov nemôžu rozhodnutia DPRC preskúmať alebo zrušiť.
76      Po druhé treba na jednej strane pripomenúť, že z napadnutého rozhodnutia v podstate vyplýva, že:
–        sudcov DPRC vymenúva generálny prokurátor na základe kritérií a v súlade s podmienkami uvedenými v bode 43 vyššie,
–        sudcov DPRC môže odvolať len generálny prokurátor, a to len z dôvodov uvedených v bode 56 vyššie a v súlade s normami uplatniteľnými na federálnych sudcov, stanovenými v rámci pravidiel týkajúcich sa profesijnej etiky a konania o určení nespôsobilosti na výkon sudcovskej funkcie,
–        rozhodnutie prijaté DPRC je záväzné a konečné; výkonná moc, ako aj spravodajské agentúry sú teda povinné mu vyhovieť,
–        práca, ktorú vykonáva DPRC, podlieha dohľadu zo strany PCLOB v medziach uvedených v bode 54 vyššie.
77      Na druhej strane, ako vyplýva z odôvodnení 187 až 189 napadnutého rozhodnutia, sudcovia DPRC musia pri plnení svojich úloh v rámci DPRC dodržiavať tieto procesné záruky:
–        musia preskúmať sťažnosť týkajúcu sa osobných údajov v senáte zloženom z troch sudcov, z ktorých jeden je predseda senátu; zloženie trojčlenného senátu v jednotlivej veci vyberá na rotačnej báze Úrad pre občianske slobody a súkromný život pôsobiaci v rámci ministerstva spravodlivosti, ktorého úlohou je poskytovanie administratívnej podpory DPRC, pričom zabezpečí, aby v každom senáte zasadal aspoň jeden sudca s predchádzajúcimi skúsenosťami v súdnictve,
–        pri preskúmavaní sťažnosti týkajúcej sa osobných údajov poskytuje senátu právnu pomoc osobitný advokát, ktorého vymenúva generálny prokurátor po porade so štátnym tajomníkom pre obchod, riaditeľom národnej spravodajskej služby a PCLOB na obnoviteľné dvojročné funkčné obdobie; osobitný advokát musí mať primerané skúsenosti v oblasti práva na súkromný život a národnej bezpečnosti, musí byť skúseným advokátom a aktívnym členom advokátskej komory; navyše v čase vymenovania nesmie platiť, že bol v predchádzajúcich dvoch rokoch zamestnancom výkonnej moci; osobitný advokát má prístup ku všetkým informáciám vrátane utajovaných skutočností a napriek tomu, že nechráni záujmy sťažovateľa a že medzi ním a sťažovateľom neexistuje vzťah advokát – klient, musí zabezpečiť, aby boli v každej veci zastúpené záujmy sťažovateľa a aby boli sudcovia DPRC riadne informovaní o všetkých relevantných právnych a skutkových otázkach,
–        na účely vydania svojho rozhodnutia musia zohľadniť vyšetrovací spis, informácie a pripomienky, ktoré predložil sťažovateľ, osobitný advokát, spravodajské agentúry a CLPO, a tiež prípadne dodatočné informácie poskytnuté zo strany CLPO na žiadosť DPRC,
–        musia prijať rozhodnutie o sťažnosti týkajúce sa osobných údajov písomne a väčšinou hlasov.
78      Po tretie treba uviesť, že nedostatky, na ktoré poukázal Súdny dvor v rozsudku Schrems II, pokiaľ ide o neexistenciu záruk súvisiacich so skutočnosťou, že zo strany výkonnej moci došlo k odvolaniu ombudsmana pre štít na ochranu osobných údajov, a s tým, že rozhodnutia DPRC nie sú záväzné, boli napravené. Zo spisu totiž vyplýva, že E.O. 14086 obmedzuje prípady, keď generálny prokurátor môže odvolať sudcov DPRC, a stanovuje, že jeho rozhodnutia sú záväzné.
79      V tejto súvislosti treba druhú výhradu tretieho žalobného dôvodu zamietnuť.
80      Tento záver nemôže spochybniť tá skutočnosť, že zo spisu vyplýva, že DPRC napriek tomu, že je – rovnako ako iné súdy v rámci právneho poriadku Spojených štátov – oprávnený rozhodovať o právnych otázkach, nie je súdnym orgánom zriadeným na základe článku III Ústavy Spojených štátov.
81      V rozsudku Schrems II totiž Súdny dvor konštatoval, že účinnú súdnu ochranu môže zabezpečiť nielen súd patriaci do sústavy súdnictva, ale aj akýkoľvek iný „orgán“, ktorý osobám, ktorých údaje sa prenášajú do Spojených štátov, poskytuje záruky, ktoré sú v podstate rovnocenné zárukám vyžadovaným článkom 47 Charty základných práv (rozsudok Schrems II, bod 197).
82      Vzhľadom na všetky vyššie uvedené úvahy musí byť tretí žalobný dôvod zamietnutý v celom rozsahu.
3.      O druhom žalobnom dôvode založenom na porušení článkov 7 a 8 Charty základných práv
83      V rámci svojho druhého žalobného dôvodu žalobca tvrdí, že Komisia porušila články 7 a 8 Charty základných práv v rozsahu, v akom v napadnutom rozhodnutí konštatovala, že Spojené štáty americké zabezpečujú primeranú úroveň ochrany, pokiaľ ide o hromadné získavanie osobných údajov spravodajskými agentúrami tejto krajiny.
a)      O predmete druhého žalobného dôvodu
84      Treba poznamenať, že na stranách 2 a 23 žaloby, ako aj na strane 4 repliky žalobca v rámci formulácie znenia druhého žalobného dôvodu zmieňuje porušenie článkov 7 a 8 Charty základných práv zo strany Komisie, pokiaľ ide nielen o hromadné, ale aj rozsiahle získavanie osobných údajov. V úvahách, ktoré nasledujú po uvedení znenia daného žalobného dôvodu, však žalobca sústreďuje svoju argumentáciu výlučne na hromadné získavanie týchto údajov.
85      Z poznámky pod čiarou 250 na strane 46 napadnutého rozhodnutia, z odôvodnenia 141 uvedeného rozhodnutia – pričom to nie je spochybnené –, ako aj z odpovedí účastníkov konania na otázky položené prostredníctvom opatrenia na zabezpečenie priebehu konania a na pojednávaní vyplýva, že:
–        v USA môže mať získavanie informácií zo signálového spravodajstva na účely národnej bezpečnosti, a to aj pokiaľ ide o údaje prenášané z Únie, len formu „cieleného zberu“; tento výraz nie je v práve Spojených štátov vymedzený, ale vo všeobecnosti sa používa na opis získavania informácií o konkrétnej osobe, komunikačnom účte alebo inom identifikovanom cieli, ktoré vykonávajú spravodajské agentúry na základe Foreign Intelligence Surveillance Act (zákon o sledovaní zahraničných spravodajských informácií, ďalej len „FISA“) a E.O. 14086,
–        mimo Spojených štátov, a to aj v prípade tranzitu osobných údajov z Únie do organizácií ROOÚ, sa získavanie informácií zo signálového spravodajstva na účely národnej bezpečnosti uskutočňuje prednostne prostredníctvom cieleného zberu; ak je pritom potrebné zvýšiť validovanú spravodajskú prioritu v zmysle oddielu 2 písm. b) bodu iii) E.O. 14086, ktorú nemožno primerane dosiahnuť cieleným zberom, spravodajské agentúry môžu vykonať „hromadné získavanie“ osobných údajov; hromadné získavanie je v práve Spojených štátov vymedzené v oddiele 4 písm. b) E.O. 14086 ako povolené získavanie veľkého množstva informácií zo signálového spravodajstva, ktoré sa z technických alebo prevádzkových dôvodov vykonáva bez použitia diskriminantov, akými sú napríklad osobitné identifikátory alebo kritériá výberu; hromadné získavanie upravuje E.O. 14086 a Executive Order 12333, United States Intelligence Activities (prezidentský dekrét č. 12333 o spravodajských činnostiach Spojených štátov), v znení Executive Orders 13284 (2003), 13355 (2004) a 13470 (2008) (prezidentské dekréty č. 13284/2003, 13355/2004 a 13470/2008), ktoré vo vzťahu k tomuto získavaniu ukladajú viaceré záruky a obmedzenia,
–        „rozsiahle získavanie“ osobných údajov, ktoré Komisia v poznámke pod čiarou 250 napadnutého rozhodnutia označuje za získavanie, ktoré sa uskutočňuje všeobecným a nediferencovaným spôsobom bez obmedzení a záruk, nie je v Spojených štátoch povolené a nemožno ho uskutočňovať ani na jeho území, ani mimo neho.
86      Z vyššie uvedeného vyplýva, že keďže rozsiahle získavanie osobných údajov nie je v Spojených štátoch povolené a že ich hromadné získavanie možno uskutočniť výlučne mimo Spojených štátov, predmet tohto žalobného dôvodu sa v prejednávanej veci obmedzuje na posúdenie toho, či sa Komisia dopustila porušenia článkov 7 a 8 Charty základných práv, pokiaľ ide o hromadné získavanie osobných údajov – prostredníctvom spravodajských agentúr Spojených štátov – ktoré sú v tranzite z Únie do organizácií ROOÚ, s výnimkou akéhokoľvek získavania osobných údajov, ktoré prípadne vykonávajú spravodajské agentúry Spojených štátov alebo členských štátov na území Únie.
b)      O prvej výhrade druhého žalobného dôvodu, podľa ktorej spravodajské činnosti vykonávané podľa článku 702 FISA nepodliehajú zárukám stanoveným v E.O. 14086
87      Prvou výhradou svojho druhého žalobného dôvodu žalobca tvrdí, že Komisia porušila články 7 a 8 Charty základných práv, keď v napadnutom rozhodnutí v podstate konštatovala, že Spojené štáty americké poskytujú úroveň ochrany, ktorá je v podstate rovnocenná úrovni ochrany zaručenej právom Únie na základe GDPR v spojení s uvedenou Chartou, a to napriek tomu, že článok 702 FISA poskytuje spravodajským agentúram Spojených štátov možnosť hromadne získavať osobné údaje štátnych príslušníkov iných krajín.
88      Komisia, ktorú v konaní podporujú Írsko a Spojené štáty americké, proti argumentácii žalobcu namieta.
89      Treba uviesť, že článok 702 FISA neumožňuje hromadné získavanie osobných údajov, ale len ich cielené získavanie.
90      Z toho vyplýva, že vzhľadom na to, že článok 702 FISA sa netýka hromadného získavania osobných údajov, je v prejednávanej veci irelevantný.
91      Prvú výhradu druhého žalobného dôvodu teda treba zamietnuť.
c)      O druhej výhrade druhého žalobného dôvodu, podľa ktorej E.O. 14086 nepodmieňuje hromadné získavanie osobných údajov predchádzajúcim povolením zo strany súdneho alebo správneho orgánu
92      Druhou výhradou svojho druhého žalobného dôvodu žalobca tvrdí, že Komisia porušila články 7 a 8 Charty základných práv, keď v napadnutom rozhodnutí konštatovala, že Spojené štáty americké poskytujú úroveň ochrany, ktorá je v podstate rovnocenná úrovni ochrany zaručenej právom Únie na základe GDPR v spojení s uvedenou Chartou, a to napriek tomu, že E.O. 14086 nestanovuje spravodajským agentúram Spojených štátov povinnosť získať pred začatím hromadného získavania osobných údajov predchádzajúce povolenie zo strany súdneho alebo správneho orgánu.
93      Komisia, ktorú v konaní podporujú Írsko a Spojené štáty americké, proti argumentácii žalobcu namieta.
94      V prejednávanej veci zo spisu vyplýva, pričom účastníci konania to nespochybňujú, že právo Spojených štátov neukladá spravodajským agentúram povinnosť získať predchádzajúce povolenie súdneho alebo správneho orgánu pred začatím uskutočňovania hromadného získavania osobných údajov, ktoré sú v tranzite z Únie do organizácií ROOÚ.
95      Treba určiť, či táto absencia predchádzajúceho povolenia môže mať vplyv na zákonnosť napadnutého rozhodnutia, keďže by mohla spochybniť záver uvedený v článku 1 uvedeného rozhodnutia, podľa ktorého Spojené štáty americké poskytujú primeranú úroveň ochrany osobných údajov.
96      Na úvod treba pripomenúť, že ako rozhodol Súdny dvor v rozsudku Schrems II, na účely posúdenia zákonnosti rozhodnutia o primeranosti je potrebné posúdiť, či právo tretej krajiny zabezpečuje takú úroveň ochrany slobôd a základných práv, ktorá je v podstate rovnocenná úrovni ochrany zaručenej v rámci Únie na základe nariadenia GDPR v spojení s Chartou základných práv (pozri bod 19 vyššie).
97      Práve v tomto kontexte treba preskúmať všetky štyri tvrdenia uvádzané žalobcom na podporu tejto výhrady.
1)      O prvom tvrdení založenom na rozsudku Schrems II
98      V rámci svojho prvého tvrdenia žalobca v podstate tvrdí, že ako to bolo v prípade rozhodnutia o primeranosti týkajúceho sa štítu na ochranu osobných údajov, ktoré Súdny dvor v rozsudku Schrems II zrušil predovšetkým z toho dôvodu, že nedošlo k zavedeniu súdneho preskúmania, hromadné získavanie osobných údajov, ktoré v prejednávanej veci uskutočňujú spravodajské agentúry Spojených štátov, nepodlieha preskúmaniu zo strany súdov a neexistuje preň dostatočne jasný a presný právny rámec.
99      Komisia, ktorú v konaní podporujú Írsko a Spojené štáty americké, proti tvrdeniu žalobcu namieta.
100    Treba poznamenať, že v rozsudku Schrems II Súdny dvor uviedol, že články 7 a 8 Charty základných práv tvoria súčasť úrovne ochrany požadovanej v rámci Únie, ktorej dodržiavanie musí Komisia konštatovať predtým, ako prijme rozhodnutie o primeranosti podľa článku 45 ods. 1 nariadenia GDPR. Podľa Súdneho dvora totiž každé spracovanie osobných údajov fyzickej osoby, vrátane ich prenosu do tretej krajiny v rámci rozhodnutia o primeranosti, ovplyvňuje tak základné právo tejto osoby na rešpektovanie súkromného života zaručené v článku 7 Charty, ako aj jej právo na ochranu osobných údajov uvedené v článku 8 Charty (rozsudok Schrems II, body 169 až 171).
101    Súdny dvor však spresnil, že práva zakotvené v článkoch 7 a 8 Charty základných práv nie sú absolútnymi výsadami, ale musia sa vnímať vo vzťahu k ich úlohe v spoločnosti (rozsudok Schrems II, bod 172).
102    V súlade s článkom 52 ods. 1 Charty základných práv teda platí, že akékoľvek obmedzenie výkonu práv a slobôd uznaných článkami 7 a 8 v uvedenej Charte musí byť ustanovené zákonom a rešpektovať podstatu týchto práv a slobôd. Okrem toho pri dodržaní zásady proporcionality možno tieto práva a slobody obmedziť len vtedy, ak je to nevyhnutné a skutočne to zodpovedá cieľom všeobecného záujmu, ktoré sú uznané Úniou, alebo ak je to potrebné na ochranu práv a slobôd iných (rozsudok Schrems II, bod 174).
103    V tejto súvislosti Súdny dvor rozhodol, že možnosť prístupu spravodajských agentúr Spojených štátov k osobným údajom, ktoré sú v tranzite z Únie – t. j. možnosť poskytnutá na základe prezidentského dekrétu č. 12333 v znení neskorších predpisov –, bez toho, aby tento prístup podliehal akémukoľvek preskúmaniu zo strany súdov, neumožňuje dostatočne jasne a presne vymedziť rozsah hromadného získavania osobných údajov, ktoré vykonávajú spravodajské agentúry. Konštatoval teda, že uvedený prezidentský dekrét nezodpovedá minimálnym požiadavkám, ktoré sú v práve Únie spojené so zásadou proporcionality, a že programy sledovania vykonávané na základe tohto dekrétu sa neobmedzujú na to, čo je striktne nevyhnutné (rozsudok Schrems II, body 183 a 184).
104    Je potrebné objasniť, ako sa má vykladať výraz „[aké]koľvek preskúmani[e] zo strany súdov,“ uvedený v bode 183 rozsudku Schrems II.
105    V tejto súvislosti treba uviesť, že nič v rozsudku Schrems II, predovšetkým v jeho bode 183, a vo výraze „[aké]koľvek preskúmani[e] zo strany súdov“ nenaznačuje, že by hromadné získavanie osobných údajov muselo povinne podliehať predchádzajúcemu povoleniu vydanému nezávislým orgánom. Naopak zo spoločného výkladu uvedeného výrazu a bodov 186 až 197 tohto rozsudku vyplýva, že rozhodnutie, ktorým sa takéto získavanie povoľuje, musí prinajmenšom podliehať súdnemu preskúmania a posteriori.
106    V prejednávanej veci, ako je uvedené v bodoch 24 až 82 vyššie, na základe E.O. 14086 a nariadenia AG podliehajú činnosti signálového spravodajstva vykonávané spravodajskými agentúrami Spojených štátov – aj v prípade, že tieto agentúry uskutočňujú hromadné získavanie osobných údajov –, súdnemu preskúmaniu a posteriori
zo strany DPRC, ktorého rozhodnutia sú konečné a záväzné a uplatňujú sa tak vo vzťahu k vláde Spojených štátov, ako aj vo vzťahu k uvedeným agentúram. V dôsledku uvedeného v rozpore s tým, čo tvrdí žalobca, nemožno usudzovať, že hromadné získavanie osobných údajov, uskutočňované spravodajskými agentúrami na základe napadnutého rozhodnutia, nespĺňa požiadavky, ktoré v tejto súvislosti vyplývajú z rozsudku Schrems II.
107    Navyše treba v prvom rade pripomenúť, že ako vyplýva z odôvodnenia 141 napadnutého rozhodnutia, pričom žalobca to nespochybňuje, E.O. 14086 stanovuje, že spravodajské agentúry musia uprednostňovať cielené získavanie osobných údajov. Hromadné získavanie je teda povolené len na ten účel, aby sa zvýšila validovaná priorita v oblasti spravodajských informácií, ktorú nemožno primerane dosiahnuť cieleným získavaním. V tejto súvislosti treba poznamenať, že z odôvodnenia 135 uvedeného rozhodnutia vyplýva, že validované spravodajské priority sa stanovujú v rámci osobitného postupu, ktorého cieľom je zabezpečiť dodržiavanie uplatniteľných právnych požiadaviek, predovšetkým požiadaviek týkajúcich sa súkromného života a občianskych slobôd. Konkrétne platí, že spravodajské priority určuje riaditeľ národnej spravodajskej služby a tieto podliehajú schváleniu zo strany prezidenta Spojených štátov. Pred tým, ako riaditeľ navrhne prezidentovi Spojených štátov spravodajské priority, pritom musí byť tomuto riaditeľovi vo vzťahu ku každej priorite predložené posúdenie zo strany CLPO. V rámci tohto posúdenia musí CLPO určiť, či predmetná priorita sleduje jeden alebo viacero legitímnych cieľov vymenovaných v E.O. 14086, či nebola vytvorená na získavanie informácií zo signálového spravodajstva na zakázané účely a či bola stanovená po náležitom zohľadnení aspektov týkajúcich sa súkromného života a občianskych slobôd všetkých dotknutých osôb, bez ohľadu na ich štátnu príslušnosť a miesto bydliska.
108    V druhom rade treba uviesť, že ako sa zdôrazňuje v odôvodneniach 127 až 131, 134 a 135 napadnutého rozhodnutia, pričom žalobca to nespochybňuje, E.O. 14086 stanovuje základné požiadavky, ktoré sa uplatňujú na všetky činnosti signálového spravodajstva, a to aj vtedy, keď sa vykonávajú prostredníctvom hromadného získavania osobných údajov.
109    Po prvé musia byť činnosti signálového spravodajstva založené na zákone alebo povolení prezidenta a musia sa vykonávať v súlade s právom Spojených štátov predovšetkým ich Ústavy.
110    Po druhé sa činnosti signálového spravodajstva môžu vykonávať až po tom, ako sa na základe primeraného posúdenia všetkých relevantných faktorov určí, že sú potrebné na dosiahnutie validovanej spravodajskej priority.
111    Po tretie sa činnosti signálového spravodajstva musia vykonávať spôsobom primeraným validovanej spravodajskej priorite, pre ktorú boli povolené, aby sa dosiahla správna rovnováha medzi významom spravodajskej priority a vplyvom na súkromný život a občianske slobody dotknutej osoby, bez ohľadu na jej štátnu príslušnosť a miesto pobytu.
112    Po štvrté sú v E.O. 14086 vymenované všeobecné ciele, ktoré činnosťami signálového spravodajstva nemôžu byť sledované. Ide predovšetkým o ciele spočívajúce v zabraňovaní kritike, nesúhlasu alebo slobodnému vyjadrovaniu politických myšlienok alebo názorov zo strany osôb alebo tlače, v znevýhodňovaní ľudí na základe ich etnickej príslušnosti, rasy, rodu, sexuálnej identity, sexuálnej orientácie alebo náboženstva alebo v poskytnutí konkurenčnej výhody podnikom so sídlom v Spojených štátoch.
113    V treťom rade z odôvodnenia 141 napadnutého rozhodnutia vyplýva, pričom žalobca to nespochybňuje, že E.O. 14086 stanovuje osobitné záruky, ktoré sa uplatňujú na hromadné získavanie osobných údajov.
114    Predovšetkým sa v E.O. 14086 stanovuje, že sa musia použiť metódy a technické opatrenia s cieľom obmedziť získavané údaje len na to, čo je potrebné na dosiahnutie validovanej spravodajskej priority, a zároveň sa musí minimalizovať získavanie nesúvisiacich informácií.
115    Ďalej sa v E.O. 14086 uvádza, že hromadné získavanie osobných údajov možno vykonávať len na šesť osobitných účelov (ďalej len „osobitné účely hromadného získavania“), ktorými sú konkrétne ochrana pred terorizmom, špionážou, zbraňami hromadného ničenia, kybernetickými hrozbami, hrozbami namierenými proti zamestnancom Spojených štátov alebo ich spojencom a nadnárodnou trestnou činnosťou. V uvedenom akte sa stanovuje možnosť prezidenta Spojených štátov aktualizovať uvedené osobitné účely, ak sa objavia nové požiadavky národnej bezpečnosti, akými sú napríklad nové hrozby alebo zvýšené hrozby pre národnú bezpečnosť, vo vzťahu ku ktorým prezident usudzuje, že by sa hromadné získavanie osobných údajov mohlo použiť. Tieto aktualizácie musí riaditeľ národnej spravodajskej služby v zásade zverejniť, okrem prípadu, keď prezident Spojených štátov usúdi, že by to samo osebe predstavovalo riziko pre národnú bezpečnosť tejto krajiny.
116    Napokon sa v E.O. 14086 stanovuje, že akékoľvek vyhľadávanie spomedzi hromadne získaných údajov signálového spravodajstva sa môže uskutočniť len vtedy, ak je to potrebné na dosiahnutie validovanej spravodajskej priority, v rámci plnenia osobitných účelov hromadného získavania a v súlade s politikami a postupmi, ktoré náležite zohľadňujú vplyv vyhľadávania týchto údajov na súkromný život a občianske slobody všetkých dotknutých osôb, bez ohľadu na ich štátnu príslušnosť alebo miesto pobytu.
117    Za týchto okolností nemožno oprávnene tvrdiť, že pre vykonávanie hromadného získavania osobných údajov neexistuje dostatočne jasný a presný právny rámec.
118    Vzhľadom na všetky uvedené úvahy treba toto tvrdenie zamietnuť.
2)      O druhom tvrdení založenom na rozsudku zo 6. októbra 2020, La Quadrature du Net a i. (C‑511/18, C‑512/18 a C‑520/18)
119    Svojím druhým tvrdením žalobca, ktorý výslovne odkazuje na bod 189 rozsudku zo 6. októbra 2020, La Quadrature du Net a i. (C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791), tvrdí, že Súdny dvor stanovil povinnosť spravodajských agentúr získať predchádzajúci súhlas súdneho alebo správneho orgánu pred získavaním údajov o pripojení od subjektov, ktoré týmito údajmi disponujú. Podľa jeho názoru hromadné získavanie osobných údajov, ktoré sú v tranzite z Únie, zo strany spravodajských agentúr Spojených štátov v prejednávanej veci nepodlieha takémuto predchádzajúcemu povoleniu.
120    Komisia, ktorú v konaní podporujú Írsko a Spojené štáty americké, proti tvrdeniu žalobcu namieta.
121    Treba uviesť, že v rozsudku zo 6. októbra 2020, La Quadrature du Net a i. (C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791), Súdny dvor konštatoval okrem iného to, že článok 15 ods. 1 smernice Európskeho parlamentu a Rady 2002/58/ES z 12. júla 2002, týkajúcej sa spracovávania osobných údajov a ochrany súkromia v sektore elektronických komunikácií (smernica o súkromí a elektronických komunikáciách) (Ú. v. ES L 201, 2002, s. 37; Mim. vyd. 13/029, s. 514), zmenenej smernicou Európskeho parlamentu a Rady 2009/136/ES z 25. novembra 2009 (Ú. v. EÚ L 337, 2009, s. 11), v spojení s článkami 7, 8 a 11, ako aj s článkom 52 ods. 1 Charty základných práv sa má vykladať v tom zmysle, že nebráni vnútroštátnej právnej úprave, ktorá od poskytovateľov elektronických komunikačných služieb vyžaduje, aby použili zber údajov o prenose dát a polohe v reálnom čase, za predpokladu, že sa toto právo obmedzí na osoby, v prípade ktorých existuje oprávnený dôvod na podozrenie, že sa podieľajú na teroristických aktivitách, a podlieha predchádzajúcemu preskúmaniu zo strany súdu alebo nezávislého správneho orgánu (bod 192 uvedeného rozsudku).
122    Z uvedeného vyplýva, že prípad, o ktorý išlo vo veci, v ktorej bol vydaný rozsudok zo 6. októbra 2020, La Quadrature du Net a i. (C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791), sa líši od prípadu, o ktorý ide v prejednávanej veci. V prejednávanej veci nejde o posúdenie potreby zabezpečiť, aby získavanie údajov o prenose dát a polohe užívateľov, pri ktorých existuje podozrenie, že sa nejakým spôsobom podieľajú na teroristických činnostiach, zo strany poskytovateľov elektronických komunikačných služieb, podliehalo predchádzajúcemu preskúmaniu zo strany súdnu alebo správneho orgánu, ale ide o posúdenie toho, či skutočnosť, že právo Spojených štátov nestanovuje povinnosť, aby spravodajské agentúry pred hromadným získavaním osobných údajov, ktoré sú v tranzite do tejto krajiny, získali predchádzajúce povolenie zo strany súdneho alebo správneho orgánu, spochybňuje dôvodnosť konštatovania primeranosti, ku ktorému dospela Komisia v napadnutom rozhodnutí.
123    Za týchto okolností treba dospieť k záveru, že odkaz na rozsudok zo 6. októbra 2020, La Quadrature du Net a i. (C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791), nie je v prejednávanej veci relevantný.
124    Tento záver nemožno spochybniť na základe zohľadnenia rozsudku z 30. apríla 2024, La Quadrature du Net a i. (Osobné údaje a boj proti porušovaniu autorských práv) (C‑470/21, EU:C:2024:370), ku ktorému boli účastníci konania v prejednávanej veci vyzvaní, aby sa vyjadrili, prostredníctvom opatrenia na zabezpečenie priebehu konania.
125    Vo veci, v ktorej bol vydaný rozsudok z 30. apríla 2024, La Quadrature du Net a i. (Osobné údaje a boj proti porušovaniu autorských práv) (C‑470/21, EU:C:2024:370), išlo o zákonnosť prístupu vnútroštátneho orgánu verejnej moci zodpovedného za ochranu autorských práv a s nimi súvisiacich práv pred porušovaním týchto práv, ku ktorému dochádza na internete, k údajom uchovávaným poskytovateľmi elektronických komunikačných služieb, týkajúcim sa totožnosti osôb, ktorá zodpovedá IP adresám, na účely boja proti porušovaniu autorských práv. Tento prístup bol konkrétne odôvodnený cieľom identifikovať držiteľa IP adresy, ktorý sa dopustil činnosti porušujúcej autorské práva alebo s nimi súvisiace práva, keďže tento držiteľ nezákonne sprístupnil na internete chránené diela na účely ich stiahnutia inými osobami. Za týchto okolností Súdny dvor rozhodol, že predchádzajúce preskúmanie zo strany súdu alebo nezávislého správneho orgánu:
–        nie je potrebné zaviesť, ak má príslušný vnútroštátny orgán prístup k údajom o totožnosti osoby, zodpovedajúcim IP adrese výlučne na účely identifikácie dotknutého používateľa a bez možnosti spojiť tieto údaje s informáciami o uskutočnených komunikáciách, pokiaľ zásah, ktorý predstavuje takéto spracúvanie uvedených údajov, v zásade nemožno kvalifikovať ako závažný (body 133 a 134 uvedeného rozsudku),
–        je potrebné zaviesť predtým, ako príslušný vnútroštátny orgán prepojí údaje o totožnosti osoby, zodpovedajúce IP adrese, so súborom týkajúcim sa diela, ktoré bolo nezákonne sprístupnené na internete na účely jeho sťahovania inými osobami, a predtým ako dotknutej osobe zašle list, v ktorom sa konštatuje, že sa táto osoba dopustila protiprávnych skutkov (pozri v tomto zmysle bod 141 tohto rozsudku).
126    Z uvedeného vyplýva, že vec, v ktorej bol vydaný rozsudok z 30. apríla 2024, La Quadrature du Net a i. (Osobné údaje a boj proti porušovaniu autorských práv) (C‑470/21, EU:C:2024:370), sa týka prístupu k IP adrese zo strany vnútroštátnych orgánov na účely boja proti porušovaniu autorských práv a že takýto predmet je odlišný od hromadného získavania osobných údajov, ktoré sú v tranzite z Únie, zo strany spravodajských agentúr. Vzhľadom na uvedený rozsudok preto nemožno konštatovať, že hromadné získavanie osobných údajov, ktoré sú v tranzite z Únie, zo strany spravodajských agentúr Spojených štátov, musí podliehať predchádzajúcemu povoleniu.
127    Toto tvrdenie je preto potrebné zamietnuť.
3)      O treťom tvrdení založenom na rozsudku ESĽP z 25. mája 2021, Big Brother Watch a i. v. Spojené kráľovstvo (CE:ECHR:2021:0525JUD005817013)
128    Svojím tretím tvrdením žalobca v podstate tvrdí, že ESĽP vo svojom rozsudku z 25. mája 2021, Big Brother Watch a i. v. Spojené kráľovstvo (CE:ECHR:2021:0525JUD005817013, ďalej len „rozsudok Big Brother Watch“), konštatoval, že činnosti hromadného zachytávania osobných údajov musia podliehať predchádzajúcemu povoleniu zo strany nezávislého orgánu od okamihu, keď boli vymedzené ciele a rozsah operácie sledovania. Podľa jeho názoru hromadné získavanie osobných údajov, ktoré sú v tranzite z Únie, zo strany spravodajských agentúr Spojených štátov v prejednávanej veci takémuto predchádzajúcemu povoleniu nepodlieha.
129    Komisia, ktorú v konaní podporujú Írsko a Spojené štáty americké, namieta proti tomuto tvrdeniu žalobcu.
130    Treba poukázať na to, že vec, v ktorej bol vydaný rozsudok Big Brother Watch, sa týkala okrem iného toho, či britský režim tajného sledovania, ktorý spravodajským agentúram poskytoval možnosť hromadne zachytávať elektronické komunikácie a súvisiace komunikačné údaje, t. j. údaje o prenose dát týkajúce sa zachytávaných komunikácií, ktoré sa v zásade uskutočňovali mimo Britských ostrovov, je v súlade s článkom 8 EDĽP.
131    Okrem toho, ako vyplýva z judikatúry citovanej v bode 29 vyššie, keďže článok 8 EDĽP rovnako ako článok 7 Charty základných práv zakotvuje právo na rešpektovanie súkromného a rodinného života, pri výklade rozsahu článku 7 Charty treba zohľadniť judikatúru ESĽP týkajúcu sa článku 8 EDĽP. Z uvedeného vyplýva, že ak by Všeobecný súd mal usúdiť, že rozsudok Big Brother Watch je v prejednávanej veci relevantný, pri výklade rozsahu článku 7 Charty by sa mali zohľadniť úvahy ESĽP uvedené v tomto rozsudku, pokiaľ ide o rozsah článku 8 EDĽP.
132    V tejto súvislosti treba pripomenúť, že v rozsudku Big Brother Watch sa ESĽP vyjadril k zákonnosti hromadného zachytávania elektronických komunikácií britskými spravodajskými službami a súvisiacich komunikačných údajov, ktoré sa v zásade uskutočňovali mimo Britských ostrovov.
133    Ako pritom účastníci konania v prejednávanej veci uviedli vo svojej odpovedi na opatrenie na zabezpečenie priebehu konania a na pojednávaní, úvahy, ktoré ESĽP uviedol v rozsudku Big Brother Watch, sú v prejednávanej veci relevantné, keďže hromadné zachytávanie osobných údajov, o ktoré išlo vo veci, v ktorej bol vydaný uvedený rozsudok, možno vnímať tak, že zahŕňa hromadné získavanie, ktoré je predmetom napadnutého rozhodnutia.
134    Po prvé treba poukázať na to, že zatiaľ čo francúzske znenie rozsudku Big Brother Watch na označenie hromadného získavania údajov používa výraz „interception en masse“, anglická verzia používa výraz „bulk interception“, ktorý presnejšie zodpovedá francúzskemu pojmu „interception en vrac“.
135    Po druhé platí, že ako protiklad k cielenému zachytávaniu bolo zachytávanie spravodajských informácií, o ktoré išlo v rozsudku Big Brother Watch, vymedzené zo strany ESĽP ako zachytávanie, ktoré sa nevzťahovalo na konkrétne osoby, a v dôsledku toho sa mohlo dotknúť veľkého počtu osôb a súvisiacich komunikačných údajov, a teda mať veľmi široký rozsah, keďže okrem iného umožňovalo získavať informácie v rámci zahraničného spravodajstva a odhaľovať nové hrozby pochádzajúce od známych alebo neznámych aktérov. Navyše podľa ESĽP platí, že hromadné zachytávanie údajov vzhľadom na jeho účel súvisiaci s ochranou národnej bezpečnosti vykonávajú príslušné orgány spravidla tajne, čo znamená, že tieto orgány zverejňujú o fungovaní systému len málo informácií, ba dokonca žiadne (pozri v tomto zmysle rozsudok Big Brother Watch, bod 322).
136    Po tretie ESĽP v rozsudku Big Brother Watch konštatoval, že hoci nie všetky režimy hromadného zachytávania údajov sú vytvorené na základe toho istého modelu a spôsoby ich uplatňovania sa môžu meniť bez toho, aby sa vždy dodržalo prísne chronologické poradie, hromadné zachytávanie údajov je postupným procesom, ktorý sa v podstate odohráva v týchto štyroch etapách (ďalej len „etapy zachytávania údajov“):
a)      hromadné zachytávanie a prvotné uchovávanie elektronických komunikácií prináležiacich veľkému počtu osôb a súvisiacich komunikačných údajov;
b)      uplatnenie osobitných výberových kritérií na zadržané komunikácie a súvisiace komunikačné údaje s cieľom identifikovať komunikáciu, ktorá by mohla spravodajské služby zaujímať;
c)      preskúmanie vybraných komunikácií a súvisiacich komunikačných údajov analytikmi;
d)      následné zadržanie údajov a ich použitie na účely ich zahrnutia do správy spravodajskej služby, ich oznamovania iným spravodajským službám krajiny alebo ich prenosu zahraničným spravodajským službám (pozri v tomto zmysle rozsudok Big Brother Watch, body 325 až 329).
137    Z uvedeného vyplýva, že hromadné získavanie osobných údajov, akým je aj to, ktoré je predmetom napadnutého rozhodnutia, patrí do rámca prvej z etáp zachytávania údajov, ktoré ESĽP identifikoval v rozsudku Big Brother Watch, keďže spočíva v zhromaždení – na účely ochrany národnej bezpečnosti – osobných údajov, ktoré sú v tranzite z Únie, veľkého počtu osôb.
138    V tomto kontexte treba vyvodiť dôsledky z rozsudku Big Brother Watch v rámci posúdenia zákonnosti rozhodnutia o primeranosti prijatého na základe článku 45 ods. 3 GDPR, akým je aj napadnuté rozhodnutie.
139    V tejto súvislosti treba v prvom rade poznamenať, že ESĽP v rozsudku Big Brother Watch uviedol, že článok 8 EDĽP nezakazuje hromadné zachytávanie údajov uskutočňované s cieľom chrániť národnú bezpečnosť alebo iné základné národné záujmy pred vážnymi vonkajšími hrozbami a že štáty disponujú širokou mierou voľnej úvahy pri stanovovaní typu režimu zachytávania údajov, ktorý potrebujú (rozsudok Big Brother Watch, bod 347).
140    V druhom rade ESĽP uviedol, že pre hromadné zachytávanie osobných údajov sa musí stanoviť právny rámec tvorený viacerými zárukami – a to od začiatku až do konca –, ktoré ako celok predstavujú základný stavebný prvok akéhokoľvek systému hromadného zachytávania údajov a ktorými sú konkrétne:
–        získanie povolenia zo strany nezávislého orgánu už pri vymedzení predmetu a rozsahu predmetnej operácie sledovania (rozsudok Big Brother Watch, bod 350),
–        zavedenie systému dohľadu a nezávislého súdneho preskúmania a posteriori
(pozri v tomto zmysle rozsudok Big Brother Watch, body 336 a 347),
–        stanovenie právnych pravidiel na zabezpečenie toho, aby opatrenia prijaté v každej fáze zachytávania údajov boli nevyhnutné a primerané (pozri v tomto zmysle rozsudok Big Brother Watch, bod 350); v tejto súvislosti ESĽP pripomenul, že zásah do práv zaručených článkom 8 EDĽP možno vzhľadom na odsek 2 tohto článku odôvodniť len vtedy, ak je stanovený zákonom, sleduje jeden alebo viacero legitímnych cieľov vymenovaných v tomto odseku a je nevyhnutný v demokratickej spoločnosti na dosiahnutie týchto cieľov; v oblasti tajného sledovania pritom predvídateľnosť prijatých opatrení znamená, že vnútroštátne právo musí byť dostatočne jasné na to, aby pre všetkých primerane stanovovalo, za akých okolností a za akých podmienok je orgán verejnej moci oprávnený prijať takéto opatrenia (rozsudok Big Brother Watch, body 332 a 333).
141    V treťom rade ESĽP uviedol, že hoci sa článok 8 EDĽP uplatňuje na každú z etáp zachytávania údajov, potreba stanoviť záruky sa postupne zvyšuje v rámci toho, ako daný proces prechádza týmito jednotlivými etapami, a preto sa intenzita zásahu do práva na rešpektovanie súkromného života stále zvyšuje. Podľa názoru ESĽP je teda prítomnosť záruk viac než kedykoľvek predtým nevyhnutná práve na konci daného procesu, keď sa informácie týkajúce sa konkrétnej osoby analyzujú alebo keď je obsah komunikácií skúmaný analytikom (pozri v tomto zmysle rozsudok Big Brother Watch, body 330 a 331).
142    Vo štvrtom rade ESĽP konštatoval, že vzhľadom na to, že nie je prakticky uskutočniteľné, aby boli do rámca predchádzajúceho povolenia zahrnuté všetky výberové kritériá používané spravodajskými agentúrami na filtrovanie získaných komunikácií, rozsah tohto povolenia musí byť obmedzený tak, aby zahŕňal prinajmenšom druhy alebo kategórie výberových kritérií, ktoré sa majú použiť (rozsudok Big Brother Watch, bod 354).
143    V prejednávanej veci treba na jednej strane pripomenúť, že ako rozhodol Súdny dvor v rozsudkoch Schrems I a Schrems II, Komisia nie je v rámci rozhodnutia o primeranosti povinná sa ubezpečiť o tom, že relevantné ustanovenia tretej krajiny sú totožné s ustanoveniami platnými v Únii, ale o tom, že sú v podstate rovnocenné (pozri body 19 a 20 vyššie).
144    Na druhej strane treba konštatovať, že vzhľadom na to, že hromadné získavanie osobných údajov spravodajskými agentúrami Spojených štátov, proti ktorému sa namieta v rámci tohto sporu, možno prirovnať k zachytávaniu údajov, ku ktorému dochádza v rámci prvej z fáz zachytávania údajov, ktoré vymedzil ESĽP v rozsudku Big Brother Watch, platí, že potreba stanoviť pre túto konkrétnu fázu hromadného získavania údajov záruky obmedzujúce diskrečnú právomoc spravodajských agentúr je obmedzenejšia, a to vzhľadom na kontext, v ktorom sa zachytávanie údajov uskutočňuje. Predmetom prejednávanej veci je totiž len prvotné hromadné zachytávanie osobných údajov spravodajskými agentúrami, a nie aj následné činností, ktoré nie sú predmetom tejto žaloby a ktoré by prípadne mohli spočívať v použití konkrétnych výberových kritérií, skúmaní získaných údajov a ich neskoršom použití alebo sprístupnení.
145    Z uvedeného vyplýva, že stanovenie povinnosti získať predchádzajúce povolenie nie je jedinou zárukou, s ktorou musí byť hromadné zachytávanie osobných údajov spojené, ale je jednou zo skutočností, ktoré ako celok predstavujú základný stavebný prvok akéhokoľvek režimu hromadného zachytávania údajov. V tejto súvislosti treba pripomenúť, že platné právo Spojených štátov stanovuje právne pravidlá, ktoré predstavujú dostatočne jasný a presný právny rámec pre vykonávanie hromadného získavania osobných údajov spravodajskými agentúrami Spojených štátov (pozri body 107 až 116 vyššie) a priznáva osobám dotknutým prenosom ich údajov právo na účinný prostriedok nápravy pred súdom, a to pred DPRC (pozri body 33 až 63 vyššie). Okrem toho sa v odôvodneniach 162 až 169 napadnutého rozhodnutia uvádza, pričom žalobca to nespochybňuje, že spravodajské činnosti vykonávané spravodajskými agentúrami podliehajú kontrole zo strany PCLOB, ktorý, ako vyplýva z bodu 54 vyššie, bol na základe štatútu, ktorým bol zriadený, koncipovaný ako nezávislá agentúra. Uvedené činnosti taktiež podliehajú dohľadu po prvé zo strany právnych zástupcov a poverených úradníkov, ktorí sú v rámci každej spravodajskej agentúry zodpovední za dohľad a dodržiavanie uvedeného práva, po druhé zo strany nezávislého generálneho inšpektora povereného vo vzťahu ku každej spravodajskej agentúre dohľadom nad činnosťami zahraničného spravodajstva, vykonávaných dotknutou agentúrou, a po tretie zo strany Intelligence Oversight Board (Rada pre dohľad nad spravodajskými službami, Spojené štáty), ktorá je zriadená v rámci President’s Intelligence Advisory Board (Poradná rada prezidenta pre spravodajské informácie, Spojené štáty americké) a ktorá je povinná dohliadať na dodržiavanie práva orgánmi Spojených štátov amerických, a tiež po štvrté zo strany osobitných výborov zriadených v rámci Kongresu Spojených štátov, ktoré vykonávajú funkcie dohľadu nad všetkými činnosťami zahraničného spravodajstva tejto krajiny.
146    Vzhľadom na tieto úvahy nemožno dospieť k záveru, že nestanovenie povinnosti získať predchádzajúce povolenie, ktoré by sa vzťahovalo na prvotné hromadné získavanie osobných údajov, ktoré sú v tranzite z Únie, zo strany spravodajských agentúr Spojených štátov, postačuje na konštatovanie, že právo Spojených štátov neposkytuje – s ohľadom na poznatky vyvodené z rozsudku Big Brother Watch – záruky, ktoré sú v podstate rovnocenné zárukám stanoveným právom Únie.
147    Toto tvrdenie je teda potrebné zamietnuť.
4)      O štvrtom tvrdení založenom na stanovisku 5/2023 európskeho dozorného úradníka pre ochranu údajov
148    Svojím štvrtým tvrdením žalobca tvrdí, že Európsky výbor pre ochranu údajov (ďalej len „EDPB“) vo svojom stanovisku 5/2023 z 28. februára 2023 k návrhu vykonávacieho rozhodnutia Komisie, ktorým sa konštatuje primeraná úroveň ochrany osobných údajov na základe rámca pre ochranu osobných údajov medzi EÚ a USA (ďalej len „stanovisko 5/2023“), zdôraznil, že je dôležité, aby hromadné získavanie osobných údajov podliehalo predchádzajúcemu povoleniu. Podľa jeho názoru hromadné získavanie osobných údajov, ktoré sú v tranzite z Únie, zo strany spravodajských agentúr Spojených štátov nie je v prejednávanej veci predmetom predchádzajúceho povolenia.
149    Komisia, ktorú v konaní podporujú Írsko a Spojené štáty americké, proti tomuto tvrdeniu žalobcu namieta.
150    Treba poznamenať, že stanovisko 5/2023 vydal EDPB na základe článku 70 ods. 1 písm. s) GDPR. V tomto ustanovení sa uvádza, že EDPB môže z vlastnej iniciatívy alebo na žiadosť Komisie poskytnúť Komisii stanovisko, v ktorom sa posúdi primeranosť úrovne ochrany v tretej krajine.
151    Keď pritom EDPB koná na základe článku 70 ods. 1 GDPR, vykonáva len poradnú funkciu prostredníctvom vypracúvania stanovísk, usmernení, odporúčaní a odporúčaní týkajúcich sa osvedčených postupov, ktoré nemajú záväzné právne účinky (pozri v tomto zmysle uznesenie predsedu Súdneho dvora z 29. novembra 2023, EDPB/SRB, C‑413/23 P, neuverejnené, EU:C:2023:1036, bod 11). Toto stanovisko teda Komisiu nezaväzuje a táto môže slobodne posúdiť, či právo tejto krajiny celkovo poskytuje takú úroveň ochrany, ktorá je v podstate rovnocenná úrovni ochrany zaručenej právom Únie, pokiaľ ide o hromadné získavanie osobných údajov. V každom prípade treba konštatovať, že EDPB v uvedenom stanovisku neuviedol, že by nezavedenie predchádzajúceho preskúmania týkajúceho sa hromadného získavania osobných údajov nevyhnutne malo rušiaci vplyv na kladné posúdenie primeranosti úrovne ochrany osobných údajov, ktorú poskytuje ROOÚ, zo strany Komisie. Naopak EDPB v bode 165 toho istého stanoviska uviedol, že toto posúdenie závisí od všetkých okolností konkrétnej veci, a predovšetkým od zavedenia – Spojenými štátmi americkými – súdneho preskúmania a posteriori a mechanizmu opravných prostriedkov.
152    V tejto súvislosti stanovisko 5/2023 neumožňuje konštatovať, že hromadné získavanie osobných údajov, ktoré sú v tranzite z Únie, zo strany spravodajských agentúr Spojených štátov musí byť predmetom predchádzajúceho povolenia a že ochrana poskytovaná touto krajinou nie je v podstate rovnocenná s ochranou zaručenou právom Únie.
153    Preto je potrebné toto tvrdenie odmietnuť, a v dôsledku toho treba druhú výhradu druhého žalobného dôvodu zamietnuť v celom rozsahu.
d)      O tretej výhrade druhého žalobného dôvodu, podľa ktorej E.O. 14086 priznáva prezidentovi Spojených štátov právomoc povoliť tajnú aktualizáciu osobitných účelov hromadného získavania údajov
154    Treťou výhradou svojho druhého žalobného dôvodu žalobca tvrdí, že Komisia porušila články 7 a 8 Charty základných práv, keď v napadnutom rozhodnutí konštatovala, že Spojené štáty americké poskytujú úroveň ochrany, ktorá je v podstate rovnocenná úrovni ochrany zaručenej právom Únie podľa GDPR v spojení s Chartou, a to napriek tomu, že E.O. 14086 poskytuje prezidentovi Spojených štátov možnosť z dôvodov národnej bezpečnosti povoliť tajnú aktualizáciu osobitných účelov hromadného získavania údajov. Žalobca sa konkrétne domnieva, že v rozpore s tým, čo bolo rozhodnuté v rozsudku ESĽP zo 4. decembra 2015, Roman Zakharov v. Rusko (CE:ECHR:2015:1204JUD004714306, ďalej len „rozsudok Zakharov“), na základe skutočnosti, že sa prezidentovi priznáva právomoc aktualizovať tieto osobitné účely, nemajú osoby dotknuté prenosom osobných údajov možnosť presne identifikovať právny rámec, v akom sa tieto údaje v Spojených štátoch spracúvajú.
155    Komisia, ktorú v konaní podporujú Írsko a Spojené štáty americké, proti argumentácii žalobcu namieta.
156    Treba poznamenať, že ESĽP v rozsudku Zakharov konštatoval, že zásah do základného práva na rešpektovanie súkromného a rodinného života možno odôvodniť na základe článku 8 ods. 2 EDĽP len vtedy, ak je stanovený zákonom (rozsudok Zakharov, bod 227). Podľa ESĽP výraz „stanovený zákonom“ znamená, že sporné opatrenie musí byť dotknutej osobe prístupné a že musí byť predvídateľné, pokiaľ ide o jeho účinky (rozsudok Zakharov, bod 228). Pokiaľ ide o zachytávanie komunikácie, „predvídateľnosť“ neznamená to, že jednotlivec musí mať možnosť predvídať, kedy môžu orgány zachytávať jeho komunikáciu, ale v podstate to, že obmedzenia jeho práva na rešpektovanie súkromného a rodinného života musia vyplývať z jasných pravidiel (rozsudok Zakharov, bod 229).
157    Treba tiež pripomenúť, že v súlade s judikatúrou citovanou v bode 29 vyššie platí, že vzhľadom na to, že článok 8 EDĽP zakotvuje právo na rešpektovanie súkromného a rodinného života rovnako ako článok 7 Charty základných práv, treba pri výklade článku 7 Charty – tak ako v prejednávanom prípade – zohľadniť judikatúru ESĽP týkajúcu sa článku 8 EDĽP, a teda aj rozsudok Zakharov.
158    V tejto súvislosti z oddielu 2 písm. c) bodu ii) bodu C E.O. 14086 vyplýva, že možnosť poskytnutá prezidentovi Spojených štátov aktualizovať zoznam osobitných účelov hromadného získavania údajov nie je neobmedzená, ale obmedzuje sa len na prípady, keď sa táto aktualizácia stane nevyhnutnou z dôvodu vzniku nových požiadaviek národnej bezpečnosti, akými sú nové hrozby alebo zvýšené hrozby pre národnú bezpečnosť, vo vzťahu ku ktorým by sa hromadné získavanie osobných údajov mohlo použiť. Navyše z tohto ustanovenia vyplýva – a Spojené štáty americké to aj potvrdili na pojednávaní –, že aktualizácia uvedených osobitných účelov zo strany prezidenta nie je tajná, ale je zverejňovaná riaditeľom národnej spravodajskej služby, s výnimkou prípadu, že sa prezident domnieva, že toto zverejnenie samo osebe predstavuje riziko pre národnú bezpečnosť jeho krajiny. Okrem toho aj v tomto prípade podlieha hromadné získavanie všetkým zárukám a obmedzeniam stanoveným v E.O. 14086 a pokiaľ dotknutá osoba podá sťažnosť týkajúcu sa osobných údajov, táto sťažnosť je predmetom dohľadu zo strany CLPO a prípadne preskúmania zo strany DPRC.
159    V tejto súvislosti nemožno konštatovať, že možnosť prezidenta Spojených štátov aktualizovať zoznam osobitných účelov hromadného získavania údajov je v rozpore s požiadavkami, ktoré ESĽP určil v rozsudku Zakharov.
160    Tretiu výhradu druhého žalobného dôvodu je teda potrebné odmietnuť, a preto treba uvedený žalobný dôvod zamietnuť v celom rozsahu.
4.      O štvrtom žalobnom dôvode založenom na porušení článku 22 GDPR
161    Svojím štvrtým žalobným dôvodom žalobca tvrdí, že Komisia porušila článok 22 GDPR, keď v napadnutom rozhodnutí neuviedla ustanovenie, ktoré by zakotvovalo právo dotknutých osôb na to, aby sa na ne nevzťahovali rozhodnutia založené výlučne na automatizovanom spracúvaní osobných údajov, vrátane profilovania, ktoré má voči nim právne účinky, ktoré sa ich týkajú, alebo ich významne ovplyvňujú (ďalej len „plne automatizované rozhodnutia“).
162    Na úvod treba uviesť, že článok 22 GDPR znie:
„1.      Dotknutá osoba má právo na to, aby sa na ňu nevzťahovalo rozhodnutie, ktoré je založené výlučne na automatizovanom spracúvaní, vrátane profilovania, a ktoré má právne účinky, ktoré sa jej týkajú alebo ju podobne významne ovplyvňujú.
2.      Odsek 1 sa neuplatňuje, ak je rozhodnutie:
a)      nevyhnutné na uzavretie alebo plnenie zmluvy medzi dotknutou osobou a prevádzkovateľom,
b)      povolené právom Únie alebo právom členského štátu, ktorému prevádzkovateľ podlieha a ktorým sa zároveň stanovujú aj vhodné opatrenia zaručujúce ochranu práv a slobôd a oprávnených záujmov dotknutej osoby, alebo
c)      založené na výslovnom súhlase dotknutej osoby.“
163    Treba tiež poznamenať, že pojem „profilovanie“, ktorý je uvedený v článku 22 ods. 1 nariadenia GDPR, je vymedzený v článku 4 ods. 4 tohto nariadenia ako „akákoľvek forma automatizovaného spracúvania osobných údajov, ktoré pozostáva z použitia týchto osobných údajov na vyhodnotenie určitých osobných aspektov týkajúcich sa fyzickej osoby, predovšetkým analýzy alebo predvídania aspektov dotknutej fyzickej osoby súvisiacich s výkonnosťou v práci, majetkovými pomermi, zdravím, osobnými preferenciami, záujmami, spoľahlivosťou, správaním, polohou alebo pohybom“.
164    Z uvedeného vyplýva, že podľa článku 22 GDPR má každá dotknutá osoba právo na to, aby sa na ňu nevzťahovalo rozhodnutie založené výlučne na automatizovanom spracúvaní osobných údajov, a to vrátane prípadu, keď toto opatrenie spočíva v analýze a predvídaní určitých aspektov jej správania.
165    Z napadnutého rozhodnutia pritom vyplýva, že sa osobitne nezaoberá otázkou týkajúcou sa plne automatizovaných rozhodnutí.
166    Treba teda rozhodnúť, či takéto opomenutie môže mať vplyv na zákonnosť napadnutého rozhodnutia, keďže by mohlo spochybniť záver uvedený v článku 1 uvedeného rozhodnutia, podľa ktorého Spojené štáty americké poskytujú primeranú úroveň ochrany osobných údajov.
167    Práve v tomto kontexte treba analyzovať všetky tri výhrady uvádzané žalobcom na podporu jeho štvrtého žalobného dôvodu, pričom treba začať prvou a treťou výhradou, ktoré treba preskúmať spoločne.
a)      O prvej a tretej výhrade štvrtého žalobného dôvodu, podľa ktorých po prvé skutočnosť, že plne automatizované rozhodnutia sú vo všeobecnosti prijímané prevádzkovateľmi, na ktorých – keďže sú usadení v Únii – sa vzťahuje GDPR, neposkytuje záruku, pokiaľ ide o ostatné prípady, a po druhé to, že právo Spojených štátov stanovuje sektorovú ochranu v prípadoch, keď prijatie plne automatizovaných rozhodnutí nepatrí do pôsobnosti uvedeného nariadenia, nie je v prejednávanej veci relevantné
168    Prvou a treťou výhradou svojho štvrtého žalobného dôvodu žalobca po prvé tvrdí, že skutočnosť, že plne automatizované rozhodnutia sú vo všeobecnosti prijímané prevádzkovateľmi, na ktorých – keďže sú usadení v Únii – sa vzťahuje GDPR, neposkytuje záruku, pokiaľ ide o ostatné prípady. Žalobca po druhé uvádza, že okolnosť, že právo Spojených štátov poskytuje sektorovú ochranu v prípade, že prijatie takýchto rozhodnutí nepatrí do pôsobnosti uvedeného nariadenia, je v prejednávanej veci irelevantná, keďže na základe tejto okolnosti nemožno dospieť k záveru, že vo všeobecnosti je ochrana, ktorú táto krajina poskytuje v súvislosti so všetkými plne automatizovanými rozhodnutiami, rovnocenná s ochranou zaručenou článkom 22 tohto nariadenia.
169    Komisia, ktorú v konaní podporujú Írsko a Spojené štáty americké, proti argumentácii žalobcu namieta.
170    Treba uviesť, že z odôvodnenia 33 napadnutého rozhodnutia vyplýva, že v prípade prenosu osobných údajov z Únie do Spojených štátov treba pri prijímaní plne automatizovaných rozhodnutí rozlišovať tri prípady.
171    Po prvé môže dôjsť k tomu, že plne automatizované rozhodnutia prijme prevádzkovateľ usadený v Únii, ktorý v Únii získal osobné údaje dotknutých osôb. V tejto súvislosti treba poznamenať, že v článku 4 ods. 7 GDPR je prevádzkovateľ vymedzený ako fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý sám alebo spoločne s inými určí účely a prostriedky spracúvania osobných údajov. V tomto prípade vzhľadom na to, že prevádzkovateľ podlieha GDPR na základe jeho článku 3 ods. 1, musí tento prevádzkovateľ dodržiavať požiadavky stanovené v článku 22 tohto nariadenia, pokiaľ ide o takéto rozhodnutia.
172    Po druhé existuje možnosť, že plne automatizované rozhodnutia prijme buď sprostredkovateľ usadený v tretej krajine, konajúci v mene prevádzkovateľa usadeného v Únii, ktorý mu preniesol osobné údaje, ktoré získal v Únii, alebo sprostredkovateľ v druhom stupni, konajúci v mene sprostredkovateľa v prvom stupni usadeného v Únii, ktorý mu preniesol údaje, ktoré získal v Únii. V tejto súvislosti treba uviesť, že v článku 4 ods. 8 GDPR je sprostredkovateľ vymedzený ako fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý spracúva osobné údaje v mene prevádzkovateľa. V týchto prípadoch vzhľadom na to, že zahraniční sprostredkovatelia konajú v mene prevádzkovateľa alebo sprostredkovateľa z Únie, podliehajú GDPR na základe jeho článku 3 ods. 1. Pokiaľ teda ide o takéto rozhodnutia, prevádzkovateľ a sprostredkovateľ musia dodržiavať požiadavky stanovené v článku 22 tohto nariadenia.
173    Po tretie môže nastať situácia, že plne automatizované rozhodnutia prijme prevádzkovateľ alebo sprostredkovateľ, ktorí nie sú usadení v Únii, ale ktorí sa cielene dostávajú do kontaktu s dotknutými osobami nachádzajúcimi sa v Únii, keď im ponúkajú tovar alebo služby alebo sledujú ich správanie. V tomto prípade pritom článok 3 ods. 2 GDPR stanovuje, že prevádzkovateľ a zahraničný sprostredkovateľ podliehajú tomuto nariadeniu. Pokiaľ teda ide o plne automatizované rozhodnutia, tieto musia spĺňať požiadavky stanovené v článku 22 uvedeného nariadenia.
174    Na základe uvedeného platí, že z napadnutého rozhodnutia vyplýva, že prípady, v ktorých plne automatizované rozhodnutia nepatria do pôsobnosti článku 22 GDPR, sú len okrajové a obmedzujú sa na prípad, keď organizácie ROOÚ získavajú osobné údaje priamo v Únii, pričom však občanom Únie neponúkajú tovar alebo služby a nesledujú ich správanie v zmysle článku 3 ods. 2 uvedeného nariadenia.
175    Z odôvodnení 35 a 36 napadnutého rozhodnutia pritom vyplýva, pričom žalobca to nespochybňuje, že v týchto prípadoch právo Spojených štátov poskytuje sektorovú ochranu podobnú tej, ktorú stanovuje GDPR v oblastiach, akými sú poskytovanie úverov, ponuky hypoték, rozhodnutia o prijatí do zamestnania, zamestnanie, bývanie a poistenie, v ktorých je väčšia pravdepodobnosť toho, že organizácie ROOÚ prijímajú plne automatizované rozhodnutia.
176    V oblasti spotrebiteľského úveru tak Fair Credit Reporting Act (zákon o spravodlivom poskytovaní informácií o úveroch) a Equal Credit Opportunity Act (zákon o rovnosti príležitostí v oblasti úverov) obsahujú záruky, ktoré spotrebiteľom poskytujú určitú formu práva na vysvetlenie a právo napadnúť plne automatizované rozhodnutia. Tieto zákony sa uplatňujú na širokú škálu oblastí vrátane poskytovania úverov, zamestnania, bývania a poistenia. Okrem toho hlava VII Civil Rights Act (zákon o občianskych právach) a Fair Housing Act (zákon o spravodlivom bývaní) chránia fyzické osoby pred vzormi používanými v plne automatizovaných rozhodnutiach, ktoré by mohli viesť k diskriminácii na základe určitých charakteristických vlastností, a priznávajú im právo takéto rozhodnutia napadnúť. Navyše pokiaľ ide o informácie týkajúce sa zdravia, v normách prijatých orgánmi Spojených štátov na základe Health Insurance Portability and Accountability Act (zákon o prenositeľnosti zdravotného poistenia a zodpovednosti v oblasti zdravotného poistenia) sa vyžaduje, aby poskytovateľom zdravotnej starostlivosti boli oznámené informácie, ktoré im umožnia informovať osoby o systémoch na prijímanie plne automatizovaných rozhodnutí, používaných v odvetví zdravotníctva.
177    V tejto súvislosti v rozpore s tým, čo tvrdí žalobca, nemožno konštatovať, že sektorová ochrana stanovená právom Spojených štátov nie je v prejednávanej veci relevantná, lebo nemá rovnakú všeobecnú pôsobnosť ako článok 22 GDPR.
178    V tejto súvislosti treba pripomenúť, že v rozsudkoch Schrems I a Schrems II Súdny dvor uviedol, že výraz „primeraná úroveň ochrany“ uvedený v článku 45 ods. 1 GDPR – ktorý pritom nevyžaduje, aby dotknutá tretia krajina zaručovala rovnakú úroveň ochrany, ako je úroveň ochrany zaručená v právnom poriadku Únie –, treba chápať tak, že vyžaduje, aby táto tretia krajina na základe svojich vnútroštátnych právnych predpisov alebo medzinárodných dohôd, ktorými je viazaná, skutočne zabezpečila úroveň ochrany slobôd a základných práv, ktorá je v podstate rovnocenná úrovni ochrany zaručenej v rámci Únie na základe uvedeného nariadenia v spojení s Chartou základných práv (pozri body 19 a 20 vyššie).
179    Okrem toho Súdny dvor v rozsudku Schrems I Súdny dvor konštatoval, že hoci prostriedky, ktoré tretia krajina použila na zabezpečenie primeranej úrovne ochrany osobných údajov, môžu byť odlišné od prostriedkov uplatňovaných v rámci Únie, tieto prostriedky sa musia v praxi ukázať ako účinné, aby sa zabezpečila ochrana, ktorá je v podstate rovnocenná ochrane zaručenej v rámci Únie (pozri bod 20 vyššie).
180    Vzhľadom na všetky uvedené úvahy je prvú a tretiu výhradu, ktoré sa uvádzajú v rámci štvrtého žalobného dôvodu, potrebné zamietnuť.
b)      O druhej výhrade štvrtého žalobného dôvodu, podľa ktorej štúdia objednaná Komisiou v roku 2018, ktorá preukazuje, že ide len o okrajové prípady, keď organizácie so sídlom v Spojených štátoch, ktoré pristúpili k štítu na ochranu osobných údajov, prijali plne automatizované rozhodnutia, je v prejednávanej veci irelevantná
181    Druhou výhradou svojho štvrtého žalobného dôvodu žalobca tvrdí, že skutočnosť, že v štúdii týkajúcej sa plne automatizovaných rozhodnutí, citovanej v odôvodnení 34 napadnutého rozhodnutia, ktorú si Komisia objednala v roku 2018 a ktorej výsledky sú uvedené v bode 4.1.5 správy Komisie Európskemu parlamentu a Rade COM(2018) 860 final z 19. decembra 2018 o druhom každoročnom preskúmaní fungovania štítu na ochranu osobných údajov (ďalej len „štúdia z roku 2018“), sa dospelo k záveru, že neexistuje dôkaz o existencii plne automatizovaných rozhodnutí prijatých organizáciami so sídlom v Spojených štátoch, ktoré pristúpili k štítu na ochranu osobných údajov, je v prejednávanej veci irelevantná. Žalobca konkrétne tvrdí, že uvedená štúdia sa odvoláva na rozhodnutie o primeranosti týkajúce sa štítu na ochranu osobných údajov, ktoré Súdny dvor v rozsudku Schrems II zrušil, a že nezohľadňuje súčasnú situáciu, ktorá sa vyznačuje mimoriadne rýchlym vývojom plne automatizovaných služieb založených na umelej inteligencii.
182    Komisia, ktorú v konaní podporujú Írsko a Spojené štáty americké, proti argumentácii žalobcu namieta.
183    Zo štúdie z roku 2018 vyplýva okrem iného po prvé to, že v danom čase neexistoval žiadny údaj, na základe ktorého by sa dalo usudzovať, že podniky so sídlom v Spojených štátoch, ktoré pristúpili k štítu na ochranu osobných údajov, prijali plne automatizované rozhodnutia, a po druhé to, že Spojené štáty americké zaviedli sektorové právne predpisy v oblastiach, akými sú spotrebiteľské úvery, zamestnanie, bývanie, poistenie a zdravotníctvo, v ktorých existuje väčšia pravdepodobnosť toho, že budú prijímané plne automatizované rozhodnutia.
184    V tejto súvislosti treba v prvom rade poznamenať, že štúdia z roku 2018 sa v rozhodnutí o primeranosti týkajúcom sa štítu na ochranu osobných údajov neuvádza a Komisia ju objednala po nadobudnutí účinnosti uvedeného rozhodnutia. Skutočnosť, že toto rozhodnutie bolo Súdnym dvorom v rozsudku Schrems II zrušené, je tak v prejednávanej veci irelevantná. Okrem toho Súdny dvor v rozsudku Schrems II nezrušil uvedené rozhodnutie na základe skutočností uvedených v uvedenej štúdii.
185    V druhom rade je síce pravda, že štúdia z roku 2018 nezohľadnila skutkovú a právnu situáciu, ktorá existovala v Spojených štátoch amerických v roku 2023, t. j. ku dňu prijatia napadnutého rozhodnutia, ale situáciu, ktorá existovala v roku 2018, keď bola táto štúdia realizovaná. Platí však, že to, že prípady, keď organizácie so sídlom v Spojených štátoch, ktoré pristúpili k štítu na ochranu osobných údajov, prijali plne automatizované rozhodnutia, sú len okrajovými prípadmi, bolo potvrdené v správe Komisie Európskemu parlamentu a Rade COM(2019) 495 final z 23. októbra 2019 o treťom každoročnom preskúmaní fungovania štítu na ochranu osobných údajov. V tejto správe sa totiž uvádzalo okrem iného to, že počet organizácií so sídlom v Spojených štátoch zúčastňujúcich sa na štíte na ochranu osobných údajov, ktoré prijali plne automatizované rozhodnutia, je obmedzený a že rozhodnutia prijímané týmito organizáciami vo všeobecnosti nemajú právne účinky a nevyvolávajú iné účinky vo vzťahu k dotknutým osobám.
186    V treťom rade treba poznamenať, že žalobca vo svojich písomných podaniach nepredložil nijaký dôkaz, na základe ktorého by bolo možné dospieť k záveru, že po realizovaní štúdie z roku 2018 organizácie so sídlom v Spojených štátoch prijali plne automatizované rozhodnutia, a z právneho hľadiska dostatočne nevysvetlil dôvod, pre ktorý by vývoj umelej inteligencie spôsobil, že je uvedená štúdia irelevantná.
187    V tomto kontexte treba druhú výhradu štvrtého žalobného dôvodu odmietnuť, a preto treba uvedený žalobný dôvod zamietnuť v celom rozsahu.
5.      O piatom žalobnom dôvode založenom na porušení článku 32 GDPR v spojení s článkom 45 ods. 2 GDPR
188    Svojím piatym žalobným dôvodom žalobca tvrdí, že Komisia porušila článok 32 GDPR v spojení s článkom 45 ods. 2 tohto nariadenia, keď v napadnutom rozhodnutí konštatovala, že Spojené štáty americké poskytujú úroveň ochrany, ktorá je v podstate rovnocenná úrovni ochrany zaručenej v Únii, pokiaľ ide o zavedenie – zo strany prevádzkovateľov a sprostredkovateľov usadených v Spojených štátoch – primeraných technických a organizačných opatrení na zaistenie bezpečnosti spracúvania osobných údajov prenášaných z Únie do tejto krajiny.
189    V tejto súvislosti žalobca v prvom rade tvrdí, že bod II.4 písm. a) prílohy 1 k napadnutému rozhodnutiu stanovuje len to, že organizácie ROOÚ musia prijať primerané a vhodné bezpečnostné opatrenia výlučne len vtedy, keď vytvárajú, uchovávajú, využívajú alebo šíria osobné údaje. Keď teda tieto organizácie nahliadajú do osobných údajov pochádzajúcich z Únie, žiadne bezpečnostné opatrenie sa nevyžaduje. Žalobca tvrdí, že nahliadnutie pritom patrí medzi operácie zahrnuté pod pojem „spracúvanie“ osobných údajov, uvedený v článku 4 ods. 2 GDPR.
190    V druhom rade žalobca tvrdí, že bod III.6 písm. f) prílohy 1 k napadnutému rozhodnutiu stanovuje povinnosť organizácií so sídlom v Spojených štátoch, ktoré od ROOÚ odstúpia, naďalej dodržiavať zásady uvedené v tomto rozhodnutí, vrátane zásad týkajúcich sa bezpečnosti spracúvania, po celú dobu toho, ako uchovávajú, využívajú alebo sprístupňujú osobné údaje prenášané z Únie do Spojených štátov, no nestanovuje takúto povinnosť v prípade, že tieto organizácie nahliadajú do osobných údajov.
191    Komisia, ktorú v konaní podporujú Írsko a Spojené štáty americké, proti argumentácii žalobcu namieta.
192    Na úvod treba v prvom rade pripomenúť, že článok 32 GDPR znie:
„1.      Prevádzkovateľ a sprostredkovateľ prijmú so zreteľom na najnovšie poznatky, náklady na vykonanie opatrení a na povahu, rozsah, kontext a účely spracúvania, ako aj na riziká s rôznou pravdepodobnosťou a závažnosťou pre práva a slobody fyzických osôb, primerané technické a organizačné opatrenia s cieľom zaistiť úroveň bezpečnosti primeranú tomuto riziku, pričom uvedené opatrenia prípadne zahŕňajú aj:
a)      pseudonymizáciu a šifrovanie osobných údajov;
b)      schopnosť zabezpečiť trvalú dôvernosť, integritu, dostupnosť a odolnosť systémov spracúvania a služieb;
c)      schopnosť včas obnoviť dostupnosť osobných údajov a prístup k nim v prípade fyzického alebo technického incidentu;
d)      proces pravidelného testovania, posudzovania a hodnotenia účinnosti technických a organizačných opatrení na zaistenie bezpečnosti spracúvania.
2.      Pri posudzovaní primeranej úrovne bezpečnosti sa prihliada predovšetkým na riziká, ktoré predstavuje spracúvanie, a to najmä v dôsledku náhodného alebo nezákonného zničenia, straty, zmeny, neoprávneného poskytnutia osobných údajov, ktoré sa prenášajú, uchovávajú alebo inak spracúvajú, alebo neoprávneného prístupu k takýmto údajom.“
193    Ďalej platí, že pojem „spracúvanie“, ktorý sa uvádza v článku 32 GDPR, je v článku 4 ods. 2 GDPR vymedzený ako „operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov, napríklad získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia, bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami“.
194    Podľa judikatúry predovšetkým z výrazu „[akákoľvek] operácia“ uvedeného v článku 4 ods. 2 GDPR vyplýva, že normotvorca Únie mal v úmysle priznať pojmu „spracúvanie“ široký rozsah, čo potvrdzuje aj demonštratívny charakter – vyjadrený pojmom „napríklad“ – výpočtu operácií v uvedenom ustanovení (pozri rozsudok zo 7. marca 2024, Endemol Shine Finland, C‑740/22, EU:C:2024:216, bod 29 a citovanú judikatúru).
195    Napokon treba uviesť, že medzi skutočnosti, ktoré musí Komisia zohľadniť pri tom, ako na základe článku 45 ods. 2 písm. a) nariadenia GDPR posudzuje úroveň ochrany poskytovanej treťou krajinou, patria bezpečnostné opatrenia týkajúce sa osobných údajov vykonané touto krajinou.
196    Práve v tomto kontexte treba spoločne preskúmať obidve tvrdenia uvádzané žalobcom na podporu tohto žalobného dôvodu.
197    V tejto súvislosti treba pripomenúť, že bod II.4 písm. a) prílohy 1 k napadnutému rozhodnutiu znie takto:
„Organizácie, ktoré vytvárajú, uchovávajú, využívajú alebo poskytujú osobné informácie, musia uskutočniť primerané a vhodné opatrenia, aby zabránili strate týchto informácií, ich zneužitiu a neoprávnenému prístupu k nim, ich sprístupneniu, zmene a zničeniu, pričom zohľadnia riziká spojené so spracúvaním a s povahou osobných údajov.“
198    Okrem toho bod III.6 písm. f) prílohy 1 k napadnutému rozhodnutiu znie:
„Organizácia musí uplatňovať zásady v súvislosti so všetkými osobnými údajmi získanými z EÚ na základe [ROOÚ]. Záväzok dodržiavať zásady nie je časovo obmedzený vo vzťahu k osobným údajom získavaným v priebehu obdobia, v ktorom daná organizácia využíva výhody vyplývajúce z [ROOÚ]. Záväzok organizácie znamená, že bude vo vzťahu k takýmto údajom naďalej uplatňovať zásady tak dlho, ako ich bude uchovávať, využívať alebo sprístupňovať, a to dokonca aj vtedy, ak následne od [ROOÚ] z akéhokoľvek dôvodu odstúpi.“
199    Z uvedeného vyplýva, že bod II.4 písm. a) a bod III.6 písm. f) prílohy 1 k napadnutému rozhodnutiu sa netýkajú akejkoľvek formy spracúvania osobných údajov v zmysle článku 4 ods. 2 GDPR. Naopak na jednej strane prvý z uvedených bodov obmedzuje povinnosť organizácií ROOÚ prijať bezpečnostné opatrenia len na prípady, keď osobné údaje vytvárajú, spravujú, využívajú alebo šíria. Na druhej strane druhý z uvedených bodov stanovuje, že organizácie, ktoré odstúpia od ROOÚ, musia naďalej uplatňovať zásady uvedené v napadnutom rozhodnutí, a to po celú dobu toho, ako uchovávajú, využívajú alebo sprístupňujú osobné údaje prenášané z Únie do Spojených štátov.
200    Po prvé pritom treba pripomenúť, že Súdny dvor v rozsudkoch Schrems I a Schrems II konštatoval, že nie je nevyhnutné, aby tretia krajina zabezpečila rovnakú právnu ochranu, ako je ochrana zaručená v právnom poriadku Únie (pozri body 19 a 20 vyššie). Z toho vyplýva, že ak Komisia v napadnutom rozhodnutí konštatuje, že právo Spojených štátov účinné v čase prijatia tohto rozhodnutia zaručuje takú úroveň ochrany, ktorá je v podstate rovnocenná úrovni ochrany stanovenej v práve Únie, nie je nevyhnutné, aby uvedené rozhodnutie obsahovalo presne tie isté podmienky, aké sú uvedené v GDPR.
201    Po druhé platí, že zásady uvedené v bode II.4 písm. a) prílohy 1 k napadnutému rozhodnutiu sa majú vykladať s prihliadnutím na skutočnosti uvedené v odôvodnení 23 uvedeného rozhodnutia, v ktorom sa podobne ako v článku 32 GDPR uvádza:
„Osobné údaje by sa mali spracúvať spôsobom, ktorým sa zaistí ich bezpečnosť vrátane ochrany pred neoprávneným alebo nezákonným spracúvaním a náhodnou stratou, zničením alebo poškodením. Na tento účel by prevádzkovatelia a sprostredkovatelia mali prijať vhodné technické alebo organizačné opatrenia na ochranu osobných údajov pred možnými hrozbami. Tieto opatrenia by sa mali posúdiť s prihliadnutím na najmodernejšie postupy, súvisiace náklady a povahu, rozsah, súvislosti a účel spracúvania, ako aj na riziká, ktoré predstavujú pre práva jednotlivcov.“
202    Po tretie treba uviesť, že pojmy „vytvárať“, „uchovávať“, „využívať“ a „poskytovať“, ktoré sú uvedené v bode II.4 písm. a) prílohy 1 k napadnutému rozhodnutiu, ako aj pojmy „uchovávať“, „využívať“ a „sprístupňovať“, ktoré sú uvedené v bode III.6 písm. f) tejto prílohy, sú osobitnými prejavmi operácie spočívajúcej v „spracúvaní“ osobných údajov v zmysle článku 32 GDPR a že na rovnakom základe ako spracúvanie majú za cieľ pokryť širokú škálu operácií týkajúcich sa osobných údajov.
203    Po štvrté pojem „využívať“, ktorý sa nachádza tak v bode II.4 písm. a) prílohy 1 k napadnutému rozhodnutiu, ako aj v bode III.6 písm. f) tejto prílohy, sa zvykne vymedzovať ako to, že sa niečo uplatní na konkrétny účel alebo použitie. Z tohto hľadiska zahŕňa využívanie osobných údajov nahliadanie do nich, keďže už z podstaty veci vyplýva, že na to, aby bolo možné údaje použiť, je nevyhnutné k nim mať najprv prístup, a teda do nich nahliadnuť. Z uvedeného vyplýva, že tvrdenie žalobcu, podľa ktorého sa v napadnutom rozhodnutí nevyžaduje žiadne bezpečnostné opatrenie v prípade, že organizácie ROOÚ nahliadajú do osobných údajov pochádzajúcich z Únie, nie je dôvodné.
204    Vzhľadom na všetky vyššie uvedené úvahy treba piaty žalobný dôvod zamietnuť, a preto sa musí žaloba zamietnuť v celom jej rozsahu.
IV.    O trovách
205    Podľa článku 134 ods. 1 rokovacieho poriadku účastník konania, ktorý vo veci nemal úspech, je povinný nahradiť trovy konania, ak to bolo v tomto zmysle navrhnuté.
206    Keďže Komisia navrhla uložiť žalobcovi povinnosť nahradiť trovy konania a žalobca nemal vo veci úspech, je opodstatnené uložiť mu povinnosť znášať svoje vlastné trovy konania a nahradiť trovy konania vynaložené Komisiou, a to aj v rámci konania o nariadení predbežného opatrenia.
207    Okrem toho podľa článku 138 ods. 1 rokovacieho poriadku členské štáty a inštitúcie, ktoré vstúpili do konania ako vedľajší účastníci konania, znášajú svoje vlastné trovy konania. Z toho vyplýva, že Írsko znáša svoje vlastné trovy konania.
208    Navyše podľa článku 138 ods. 3 rokovacieho poriadku môže Všeobecný súd rozhodnúť, že vlastné trovy konania znášajú aj iní vedľajší účastníci konania než vedľajší účastníci uvedení v odsekoch 1 a 2 tohto článku. V prejednávanej veci je opodstatnené rozhodnúť tak, že Spojené štáty americké znášajú svoje vlastné trovy konania.
Z týchto dôvodov
VŠEOBECNÝ SÚD (desiata rozšírená komora)
rozhodol takto:
1.      Žaloba sa zamieta.
2.      Pán Philippe Latombe znáša svoje vlastné trovy konania a je povinný nahradiť trovy konania, ktoré vynaložila Európska komisia, a to vrátane trov konania o nariadení predbežného opatrenia.
3.      Írsko znáša svoje vlastné trovy konania.
4.      Spojené štáty americké znášajú svoje vlastné trovy konania.
Porchia
Jaeger
Madise
Nihoul
Verschuur
Rozsudok bol vyhlásený na verejnom pojednávaní v Luxemburgu 3. septembra 2025.
Podpisy
*      Jazyk konania: francúzština.