Дело T‑553/23
Philippe Latombe
срещу
Европейска комисия
Решение на Общия съд от 3 септември 2025 година
Предаване на лични данни към Съединените щати — Решение за изпълнение на Комисията относно адекватното ниво на защита на личните данни, осигурено в Съединените щати — Право на ефективни правни средства за защита — Право на личен и семеен живот — Решения, които се основават единствено на автоматизираното обработване на лични данни — Сигурност на обработването на лични данни
1.      Жалба за отмяна — Допустимост — Отхвърляне на жалба по същество без произнасяне по допустимостта — Право на преценка на съда на Съюза
(член 263 ДФЕС)
(вж. т. 14 и 15)
2.      Жалба за отмяна — Контрол за законосъобразност — Критерии — Отчитане само на онези обстоятелства от фактическа и правна страна, които са съществували към датата на приемане на спорния акт
(член 263 ДФЕС)
(вж. т. 22)
3.      Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Прехвърляне на лични данни към трети страни — Приемане на решение от Комисията, с което се констатира наличието на достатъчна степен на защита в трета страна — Решение 2023/1795, с което се установява адекватно ниво на защита, осигурено от Съединените американски щати — Нарушение на правото на ефективна съдебна защита — Нарушение на правото на достъп до независим и безпристрастен съд, предварително създаден със закон — Липса
(член 2 ДЕС; Харта на основните права на Европейския съюз, член 47, алинея 2; Регламент 2016/679 на Европейския парламент и на Съвета, член 45, параграф 2)
(вж. т. 24, 35—37, 39, 42, 46, 51, 53—58, 60, 62, 64 и 66—82)
4.      Основни права — Право на ефективна съдебна защита — Утвърждаване в член 47, втора алинея от Хартата на основните права и в член 6, параграф 1 от Европейската конвенция за защита правата на човека и основните свободи — Еднакъв смисъл и обхват — Ниво на защита, гарантирано от Хартата, което не нарушава нивото на защита, гарантирано от посочената конвенция
(член 6, параграф 3 ДЕС; Харта на основните права на Европейския съюз, член 47, втора алинея и член 52, параграф 3)
(вж. т. 27—30)
5.      Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Прехвърляне на лични данни към трети страни — Приемане на решение от Комисията, с което се констатира наличието на достатъчна степен на защита в трета страна — Решение 2023/1795, с което се установява адекватно ниво на защита, осигурено от Съединените американски щати — Събиране на масиви от пренасяни от Съюза лични данни, извършвано от разузнавателните агенции на Съединените щати — Нарушаване на правото на неприкосновеност на личния живот и на правото на защита на личните данни — Липса — Условия
(Харта на основните права на Европейския съюз, членове 7 и 8; Регламент 2016/679 на Европейския парламент и на Съвета, член 45)
(вж. т. 83, 92, 98, 105—108, 113, 117, 119, 122, 123, 128, 137—146, 148 и 150—153)
Резюме
В решението си Общият съд, заседаващ в разширен състав, отхвърля жалбата за отмяна, подадена от френски гражданин срещу решението на Европейската комисия относно адекватното ниво на защита, с което се въвежда новата рамка за трансатлантическите потоци от лични данни между Европейския съюз и Съединените щати(1). По този начин, като се вписва в духа на практиката на Съда в тази област(2), Общият съд дава разяснения относно преценката на безпристрастността и независимостта на Data Protection Review Court(3) (Апелативен съд в областта на защитата на личните данни, наричан по-нататък „DPRC“), както и относно проверката на законосъобразността на събирането от разузнавателните служби на тази държава на масиви от лични данни, пренасяни от Съюза.
В решения Schrems I и Schrems II Съдът обявява за невалидни предходните две решения относно адекватното ниво на защита, с мотива че системите „сфера на неприкосновеност на личния живот“ и „Щит за личните данни“, уреждащи предаването на лични данни от Съюза към Съединените щати, не гарантират ниво на защита на основните права и свободи, което по същество е равностойно на гарантираната от правото на Съюза. След това Комисията започва разговори с правителството на Съединените щати с оглед на приемането на евентуално ново решение относно адекватното ниво на защита, което да отговаря на изискванията на общия регламент относно защитата на данните(4), както са тълкувани от Съда.
На 7 октомври 2022 г. Съединените американски щати приемат Executive Order 14086 (Президентски указ № 14086, наричан по-нататък „E. O. 14086“), с който се засилват мерките за защита на правото на неприкосновеност на личния живот, приложими при дейностите по радиоелектронно разузнаване на разузнавателните агенции в Съединените щати. Този декрет е допълнен от Attorney General Order 28 CFR Part 201 (Наредба на министъра на правосъдието 28 CFR Part 201, наричана по-нататък „Наредбата на МП“), която изменя разпоредбите, уреждащи създаването и функционирането на DPRC.
На 10 юли 2023 г., след като разглежда тези промени в правната уредба, Комисията приема обжалваното решение. Сезиран с настоящата жалба за отмяна, Общият съд трябва да разгледа законосъобразността на това решение по-специално с оглед на ОРЗД и на Хартата на основните права на Европейския съюз (наричана по-нататък „Хартата“).
Съображения на Общия съд
На първо място, Общият съд се произнася по въпроса дали Комисията е нарушила член 47, втора алинея от Хартата и член 45, параграф 2 от ОРЗД, тъй като е приела в обжалваното решение, че DPRC осигурява „адекватно ниво на защита“ по отношение на правото на гражданите на Съюза на достъп до независим и безпристрастен съд, предварително създаден със закон.
В този контекст той отхвърля, на първо място, твърдението, че DPRC не е независим и безпристрастен съд, а е орган, зависим от изпълнителната власт.
За тази цел Общият съд отхвърля, първо, довода, че DPRC не представлява независим и безпристрастен съд, тъй като неговата функция се изразява в преразглеждане на решенията на Civil Liberties Protection Officer of the Director of National Intelligence (Отговорен служител по въпросите на гражданските свободи към директора на Националното разузнаване, наричан по-нататък „CLPO“) към Службата на директора на Националното разузнаване на Съединените щати.
В това отношение Общият съд отбелязва, че анализът на гаранциите за независимостта на CLPO е ирелевантен за преценката дали DPRC представлява независим и безпристрастен съд. Всъщност DPRC е създадена като независим контролен орган на CLPO и в E. O. 14086 са предвидени редица гаранции, че решенията на CLPO могат да бъдат преразгледани и евентуално изменени по независим и безпристрастен начин от DPRC.
Следователно жалбоподателят няма основание да твърди, че недостатъчните гаранции, които се прилагат за CLPO, засягат независимостта и безпристрастността на DPRC.
Второ, Общият съд отхвърля довода, че DPRC не е независим и безпристрастен съд, тъй като се състои от съдии, назначени от министъра на правосъдието след консултация с Privacy and Civil Liberties Oversight Board (Надзорен съвет по въпросите на неприкосновеността на личния живот и гражданските свободи, наричан по-нататък „PCLOB“), който е орган на изпълнителната власт.
Най-напред, Общият съд установява, че макар PCLOB да е учреден в рамките на изпълнителната власт, с оглед на състава си той е независима структура, чиято задача е да упражнява безпристрастно надзор над дейността на изпълнителната власт с оглед по-специално на защитата на неприкосновеността на личния живот и гражданските свободи.
При това положение фактът, че PCLOB е учреден в рамките на изпълнителната власт, сам по себе си не позволява да се заключи, че поради консултирането му преди назначаването на съдиите на DPRC, последният не представлява независим и безпристрастен съд.
По-нататък Общият съд отбелязва, че за да се гарантира, че съдиите от DPRC са независими от изпълнителната власт, в E. O. 14086 се предвижда, че при назначаването им министърът на правосъдието трябва да спазва определен брой критерии и условия.
От друга страна, съдиите от DPRC могат да бъдат освободени от длъжност само от министъра на правосъдието и само на валидно основание, след като надлежно са взети предвид нормите, приложими за федералните съдии, установени в Правилата за поведение на съдиите и производства за установяване на неправоспособност.
От това Общият съд прави извод, че правилата за назначаване и освобождаване от длъжност на съдиите от DPRC не могат да поставят под въпрос неговата независимост и безпристрастност.
Накрая Общият съд отбелязва, че Комисията е длъжна да следи постоянно прилагането на правната уредба, на която се основава обжалваното решение, за да определи дали Съединените американски щати продължават да осигуряват адекватното ниво на защита. Така, ако правната уредба, която е в сила в Съединените щати към момента на приемане на обжалваното решение, се промени, Комисията може при необходимост да реши да спре прилагането на обжалваното решение, да го измени или да го отмени, или да ограничи приложното му поле.
Трето, Общият съд отхвърля довода, че DPRC не представлява независим и безпристрастен съд, тъй като Наредбата на МП не изключва възможността неговите съдии да подлежат на други форми на надзор, различни от ежедневния надзор от страна на изпълнителната власт.
В това отношение Общият съд отбелязва, че макар от преписката да става ясно, че съдиите от DPRC не трябва да подлежат на ежедневен надзор от министъра на правосъдието, в обжалваното решение се посочва също, че съгласно E. O. 14086 разузнавателните агенции и министърът на правосъдието не трябва да се намесват или да оказват неправомерно влияние върху работата на DPRC. Освен това от преписката се установява, че този президентски указ и Наредбата на МП ограничават възможността на изпълнителната власт да оказва влияние върху работата на DPRC, като предвиждат, че съдиите могат да бъдат освобождавани от длъжност само от министъра на правосъдието и само на валидно основание.
На второ място, Общият съд отхвърля твърдението, че DPRC не е предварително създаден със закон, тъй като не е създаден със закон, приет от Конгреса на Съединените щати, а с акт на изпълнителната власт, конкретно с решение на министъра на правосъдието.
Общият съд най-напред припомня, че за да се прецени дали са изпълнени изискванията, произтичащи от член 47, втора алинея от Хартата, не трябва да се прави преценка само на формалното естество на правния акт, с който се учредява съд и се определят правилата за неговото функциониране, а следва да се провери дали този правен акт предвижда достатъчно гаранции, за да се осигури неговата независимост и безпристрастност по отношение на другите власти, по-специално по отношение на изпълнителната власт.
На следващо място, Общият съд отбелязва, че както постановява Съдът в решения Schrems I и Schrems II, в контекста на решение относно адекватното ниво на защита Комисията не е длъжна да се увери, че релевантните разпоредби на третата държава са идентични на тези, които са в сила в Съюза, а че по същество са равностойни на гарантираните от правото на Съюза по силата на ОРЗД, разглеждан във връзка с Хартата. От това следва, че в случая Общият съд е длъжен да провери основателността на констатацията за адекватност, направена от Комисията в обжалваното решение, съгласно която разпоредбите на правото на Съединените щати относно учредяването и функционирането на DPRC предоставят гаранции, които по същество са равностойни на предвидените от правото на Съюза в член 47, втора алинея от Хартата. Такива гаранции се предоставят по-специално, когато правният акт, с който се учредява този съд и се определят правилата за неговото функциониране, има за цел да се гарантират неговата независимост и безпристрастност по отношение на другите власти, по-специално по отношение на изпълнителната власт, въпреки че от формална гледна точка този акт не представлява закон.
В случая от обжалваното решение е видно, че DPRC не е създаден със закон, приет от законодателната власт, а именно от Конгреса на Съединените щати, а с акт на изпълнителната власт.
В този контекст Общият съд проверява дали E. O. 14086 и Наредбата на МП предвиждат гаранции, чиято цел е да се осигурят независимост и безпристрастност на DPRC, по начин, равностоен по същество на правото на Съюза.
След като разглежда по-специално реда и условията за създаване на DPRC като независим орган с правомощия за вземане на решения, реда и условията за назначаване и освобождаване от длъжност на съдиите му, както и процесуалните гаранции, свързани с изпълнението на техните задачи, Общият съд констатира, че пропуските, установени от Съда в решение Schrems II, са отстранени.
С оглед на всички изложени по-горе съображения Общият съд отхвърля в неговата цялост основанието, изведено от нарушение на член 47, втора алинея от Хартата и на член 45, параграф 2 от ОРЗД.
На второ място, Общият съд се произнася по въпроса дали Комисията е нарушила членове 7 и 8 от Хартата, отнасящи се съответно до зачитането на личния живот и до защитата на личните данни, доколкото е приела, че Съединените американски щати гарантират адекватно ниво на защита, що се отнася до събирането на масиви от лични данни от разузнавателните агенции на тази страна, въпреки че E. O. 14086 не установява задължение за тези разузнавателни агенции да получат предварително разрешение от съдебен или административен орган преди събирането на масиви от лични данни.
В този контекст Общият съд отхвърля, на първо място, довода, че събирането на масиви от лични данни, извършвано от разузнавателните служби на Съединените щати, не е предмет на съдебен надзор и не е уредено от достатъчно ясни и точни правила.
Най-напред, Общият съд подчертава, че нищо в решение Schrems II не подсказва, че събирането на масиви от лични данни трябва задължително да бъде предмет на предварително разрешение, издадено от независим орган. Напротив, от това решение следва, че решение за разрешаване на подобно събиране трябва най-малко да подлежи на последващ съдебен контрол.
В случая E. O. 14086 и Наредбата на МП предвиждат, че радиомагнитните разузнавателни дейности, извършвани от разузнавателните служби на Съединените щати, подлежат на последващ съдебен надзор на DPRC. Следователно не може да се приеме, че събирането на масиви от лични данни от разузнавателните агенции в съответствие с обжалваното решение не отговаря на изискванията, произтичащи от решение Schrems II в това отношение.
По-нататък, Общият съд отбелязва, че E. O. 14086 установява, че събирането на масиви от данни е разрешено само за да се постигне напредък по отношение на обоснован приоритет в областта на разузнаването, който не може разумно да се постигне чрез целенасочено събиране на данни, определя основни изисквания, които се прилагат за всички дейности по радиоелектронно разузнаване, и установява специфични гаранции, които се прилагат за събирането на масиви от лични данни.
При тези обстоятелства Общият съд счита, че не може основателно да се поддържа, че прилагането на събиране на масиви от данни не е регламентирано достатъчно ясно и точно.
На второ място, Общият съд отхвърля довода, че събирането от разузнавателните служби на Съединените щати на масиви от пренасяни от Съюза лични данни трябва да е предмет на предварително разрешение по силата на решение La Quadrature du Net и др(5).
В това отношение Общият съд констатира, че хипотезата, разглеждана по делото, по което е постановено решение La Quadrature du Net и др., се различава от разглежданата в настоящия случай, и заключава, че позоваването на посоченото решение е ирелевантно.
На трето място, Общият съд отхвърля довода, че събирането от разузнавателните служби на Съединените щати на масиви от пренасяни от Съюза лични данни трябва да подлежи на предварително разрешение съгласно решение Big Brother Watch(6) на ЕСПЧ.
След като констатира, че операция за събиране на масиви от лични данни, като тази, която е предмет на обжалваното решение, попада в обхвата на първия от етапите на прихващане, посочени от ЕСПЧ в решение Big Brother Watch, тъй като се състои в събиране на пренасяни от Съюза лични данни на голям брой лица за целите на защитата на националната сигурност, Общият съд извежда последиците от това решение при преценката на законосъобразността на обжалваното решение.
Така Общият съд отбелязва, че в решение Big Brother Watch Европейският съд по правата на човека е посочил, че масовото прихващане на лични данни трябва да бъде подчинено на редица гаранции, като получаването на разрешение от независим орган още при определянето на предмета и обхвата на съответната дейност по наблюдение, въвеждането на система за надзор и на независим съдебен контрол a posteriori, както и предвиждането на правни норми, които позволяват да се гарантират за всеки от етапите на прихващането необходимостта и пропорционалността на предприетите мерки.
Освен това, Европейският съд по правата на човека е посочил, че необходимостта да се предвидят гаранции нараства постепенно с преминаването на процеса през различните етапи и следователно интензитетът на засягането на правото на зачитане на личния живот се увеличава.
В този контекст Общият съд припомня, че в рамките на решение относно адекватното ниво на защита Комисията не е длъжна да се увери, че релевантните разпоредби на третата държава са идентични на тези, които са в сила в Съюза, а че по същество са равностойни.
Така в случая Общият съд счита, че необходимостта за тази конкретна фаза на събиране на масиви от данни да се предвидят гаранции, ограничаващи дискреционните правомощия на разузнавателните служби, е по-ограничена, като се има предвид контекстът, в който се извършва прихващането. Всъщност в настоящия случай става въпрос само за първоначалното прихващане на масиви от лични данни от разузнавателни агенции, но не и за последващи дейности.
Освен това Общият съд припомня, че обстоятелството, че предвиждането на предварително разрешение не е единствената гаранция, която трябва да ограничава масираното прихващане на лични данни, а е един от елементите, които, взети заедно, представляват крайъгълният камък на всяка система за масирано прихващане. В това отношение действащото право на Съединените щати предвижда правни норми, които уреждат достатъчно ясно и точно събирането на масиви от лични данни от разузнавателните агенции на Съединените щати и предоставя на лицата, засегнати от предаването на техните данни, право на ефективна съдебна защита пред DPRC. Впрочем в съображения 162—169 от обжалваното решение се посочва, без жалбоподателят да го оспорва, че PCLOB, който съгласно учредителния му акт е създаден като независима структура, упражнява контрол върху разузнавателните дейности на разузнавателните агенции. Също така тези дейности подлежат на контрол, на първо място, от страна на отговорните служители в юридическите и в надзорните служби, които в рамките на всяка разузнавателна агенция отговарят за контрола и за спазването на това право, на второ място, от страна на независим главен инспектор, който за всяка разузнавателна агенция отговаря за контрола върху дейностите по външно разузнаване на съответната агенция, на трето място — от страна на Intelligence Oversight Board (Надзорен съвет по въпросите на разузнаването, Съединени щати), създаден в рамките на President’s Intelligence Advisory Board (Консултативен съвет по въпросите на разузнаването към президента, Съединени щати), който отговаря за надзора за спазването на правото от органите на Съединените щати, както и, на четвърто място, от страна на специални комисии, създадени в рамките на Конгреса на Съединените щати, които упражняват надзорни функции по отношение на всички дейности на държавата в областта на външното разузнаване.
С оглед на тези съображения Общият съд постановява, че липсата на предварително разрешение, което да се прилага за първоначалното събиране на масиви от пренасяни от Съюза лични данни от разузнавателните агенции на Съединените щати, не е достатъчна, за да се приеме, че правото на Съединените щати не осигурява гаранции, които по същество са равностойни на предвидените от правото на Съюза.
На четвърто и последно място, Общият съд не приема довода, че събирането на масиви от пренасяни от Съюза лични данни от разузнавателните служби на Съединените щати трябва да бъде предмет на предварително разрешение съгласно Становище 5/2023, издадено от Европейския комитет по защита на данните (ЕКЗД)(7).
В това отношение Общият съд отбелязва, че Становище 5/2023 е издадено на основание член 70, параграф 1, буква т) от ОРЗД. Когато обаче действа на това основание, ЕКЗД изпълнява само консултативна функция. Следователно това становище не обвързва Комисията.
При всички положения Общият съд констатира, че в това становище ЕКЗД не посочва, че липсата на предварителен контрол по отношение на събирането на масиви от лични данни непременно засяга положителната оценка от страна на Комисията на адекватното ниво на защита на личните данни, осигурено от Рамката за защита на личните данни в отношенията между ЕС и САЩ.
Поради това Общият съд отхвърля основанието, изведено от нарушение на членове 7 и 8 от Хартата, както и настоящата жалба в нейната цялост.
1      Решение за изпълнение (ЕС) 2023/1795 на Комисията от 10 юли 2023 година съгласно Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета относно адекватното ниво на защита на личните данни в Рамката за защита на личните данни в отношенията между ЕС и САЩ (ОВ L 231, 2023 г., стр. 118, наричано по-нататък „обжалваното решение“).
2      Решения от 6 октомври 2015 г., Schrems (C‑362/14, наричано по-нататък „решение Schrems I“, EU:C:2015:650), и от 16 юли 2020 г., Facebook Ireland и Schrems (C‑311/18, наричано по-нататък „решение Schrems II“, EU:C:2020:559)
3      Това е органът, който извършва контрол в Съединените щати за законността на предаването на лични данни от Европейския съюз.
4      Член 45, параграф 2 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (ОВ L 119, 2016 г., стр. 1, и поправка в ОВ L 127, 2018 г., стр. 2, наричан по-нататък „ОРЗД“)
5      Решение от 6 октомври 2020 г., Quadrature du Net/French Data Network и др. (C‑511/18 и C‑512/18, наричано по‑нататък „решение La Quadrature du Net и др.“, EU:C:2020:791).
6      Решение на ЕСПЧ от 25 май 2021 г., Big Brother Watch и др. с/у Обединено кралство (CE:ECHR:2021:0525JUD005817013, наричано по-нататък „решение Big Brother Watch“).
7      Становище 5/2023 относно проекта на Решение за изпълнение на Европейската комисия относно адекватното ниво на защита на личните данни в Рамката за личните данните в отношенията между ЕС и САЩ от 28 февруари 2023 г. (наричано по-нататък „Становище 5/2023“).