62023TJ0553
A TÖRVÉNYSZÉK ÍTÉLETE (kibővített tizedik tanács)
2025. szeptember 3. (
*1
)
„Személyes adatok továbbítása az Egyesült Államokba – A Bizottság végrehajtási határozata a személyes adatok Egyesült Államok által biztosított megfelelő szintű védelméről – Hatékony jogorvoslathoz való jog – A magán‑ és a családi élethez való jog – Kizárólag a személyes adatok automatizált kezelésén alapuló döntések – A személyes adatok kezelésének biztonsága”
A T‑553/23. sz. ügyben,
Philippe Latombe (lakóhelye: Nantes [Franciaország], képviselik: N. Coutrelis, J.‑B. Soufron és T. Lamballe ügyvédek)
felperes
az Európai Bizottság (képviselik: D. Calleja Crespo, A. Bouchagiar, H. Kranenborg és C. Ladenburger, meghatalmazotti minőségben)
alperes ellen,
támogatják:
Írország (képviselik: M. Browne, S. Finnegan és A. Joyce, meghatalmazotti minőségben; segítőik: S. Brittain barrister és C. Donnelly SC)
és
az Amerikai Egyesült Államok (képviselik: B. Walsh, S. Barton és A. Finlay solicitors, E. Barrington SC és D. Hardiman barrister)
beavatkozó felek,
A TÖRVÉNYSZÉK (kibővített tizedik tanács),
tagjai: O. Porchia elnök, M. Jaeger (előadó), L. Madise, P. Nihoul és S. Verschuur bírák,
hivatalvezető: I. Kurme tanácsos,
tekintettel a 2023. október 12‑i Latombe kontra Bizottság végzésre (T‑553/23 R, nem tették közzé, EU:T:2023:621),
tekintettel az eljárás írásbeli szakaszára,
tekintettel a 2025. április 1‑jei tárgyalásra,
meghozta a következő
Ítéletet
1
Az EUMSZ 263. cikkre alapított keresetében a felperes, Philippe Latombe, lényegében az (EU) 2016/679 európai parlamenti és tanácsi rendelet szerint a személyes adatoknak az EU–USA adatvédelmi keret által biztosított megfelelő szintű védelméről szóló, 2023. július 10‑i (EU) 2023/1795 bizottsági végrehajtási határozat (HL 2023. L 231., 118. o.; a továbbiakban: megtámadott határozat) megsemmisítését kéri.
I. A jogvita előzményei
2
A felperes francia állampolgár, aki azt állítja, hogy különböző informatikai platformokat használ, amelyek a személyes adatait gyűjtik és továbbítják az Egyesült Államokba.
3
A személyes adatoknak az Európai Unióból az Egyesült Államokba történő továbbítását illetően a Bíróság először a 2015. október 6‑i Schrems ítéletben (C‑362/14, a továbbiakban: „Schrems I ítélet, EU:C:2015:650) érvénytelennek nyilvánította a 95/46/EK európai parlamenti és tanácsi irányelv alapján hozott, az Amerikai Egyesült Államok Kereskedelmi Minisztériuma által kiadott „biztonságos kikötő” adatvédelmi elvek által biztosított védelem megfelelőségéről szóló, 2000. július 26‑i 2000/520/EK bizottsági határozatot (HL 2000. L 215., 7. o.; magyar nyelvű különkiadás 16. fejezet, 1. kötet, 119. o.).
4
Másodszor, a 2020. július 16‑i Facebook Ireland és Schrems ítéletben (C‑311/18, a továbbiakban: „Schrems II ítélet, EU:C:2020:559) a Bíróság érvénytelennek nyilvánította az EU‑USA adatvédelmi pajzs által biztosított védelem megfelelőségéről szóló, 2016. július 12‑i (EU) 2016/1250 bizottsági végrehajtási határozatot (HL 2016. L 207., 1. o.; a továbbiakban: az adatvédelmi pajzsra vonatkozó megfelelőségi határozat).
5
A „Schrems I” és a „Schrems II” ítéletben az érvényesség vizsgálatára irányuló előzetes döntéshozatal iránti kérelemmel megkeresett Bíróság többek között úgy ítélte meg, hogy az Európai Bizottságnak a fenti 3. és 4. pontban említett megfelelőségi határozatokban foglalt értékelésével ellentétben a személyes adatok továbbítását szabályozó biztonságos kikötői rendszer és adatvédelmi pajzs (a továbbiakban: adatvédelmi pajzs) nem biztosítja az alapvető szabadságok és jogok által biztosított védelmi szinttel lényegében azonos védelmi szintet.
6
A „Schrems II” ítéletet követően a Bizottság tárgyalásokat kezdett az Egyesült Államok kormányával egy esetleges új megfelelőségi határozat elfogadása céljából, amely tiszteletben tartja a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 2. o.; HL 2021. L 74., 35. o.; a továbbiakban: GDPR) 45. cikkének (2) bekezdésében foglalt, a Bíróság által értelmezett követelményeket.
7
Így 2022. október 7‑én az Amerikai Egyesült Államok elfogadta az Executive Order 14086‑et (14086. sz. elnöki rendelet, a továbbiakban: 14086. elnöki rendelet), amely megerősíti az Egyesült Államokban székhellyel rendelkező hírszerző ügynökségek által végzett jelfelderítési tevékenységekre vonatkozó, a magánélet védelmét szolgáló intézkedéseket. E rendeletet kiegészítette az Attorney General Order No. 5517–2022 (5517–2022. sz. legfőbb ügyészi rendelet, a továbbiakban: legfőbb ügyészi rendelet), amely a Code of Federal Regulations (CFR, a szövetségi rendeletek kódexe) 28. címébe beiktatta a Data Protection Review Court (adatvédelmi felülvizsgálati bíróság, a továbbiakban: DPRC) létrehozásáról szóló és annak működését szabályozó 201. részt.
8
2023. július 10‑én a Bizottság, miután megvizsgálta ezeket az egyesült államokbeli szabályozási fejleményeket, a GDPR 45. cikkének (3) bekezdése alapján elfogadta a megtámadott határozatot, amely a személyes adatoknak az Unió és az Egyesült Államok közötti áramlásának új transzatlanti keretét állapítja meg. Az említett határozat 1. cikke kimondja, hogy az Amerikai Egyesült Államok megfelelő szintű védelmet biztosít az Unióból az ezen országban székhellyel rendelkező és az „EU‑USA adatvédelmi keret” (a továbbiakban: adatvédelmi keret) azon listáján szereplő szervezeteknek (a továbbiakban: az adatvédelmi kerethez tartozó szervezetek) továbbított személyes adatok tekintetében, amelyet az Egyesült Államok Kereskedelmi Minisztériuma vezet és tesz nyilvánosan elérhetővé.
II. A felek kérelmei
9
A felperes azt kéri, hogy a Törvényszék:
–
lényegében teljes egészében semmisítse meg a megtámadott határozatot;
–
a Bizottságot kötelezze a költségek viselésére.
10
Az Írország és az Amerikai Egyesült Államok által támogatott Bizottság azt kéri, hogy a Törvényszék:
–
a keresetet mint elfogadhatatlant utasítsa el;
–
másodlagosan a keresetet mint megalapozatlant utasítsa el;
–
a felperest kötelezze a költségek viselésére.
III. A jogkérdésről
A. Az elfogadhatatlansági kifogásról
11
A Törvényszék Hivatalához 2023. december 1‑jén benyújtott külön beadványában a Bizottság elfogadhatatlansági kifogást emelt a Törvényszék eljárási szabályzatának 130. cikke alapján.
12
A Bizottság arra hivatkozik, hogy a kereset elfogadhatatlan, mivel a felperesnek nincs kereshetőségi joga, nem fűződik érdeke az eljáráshoz, és a megtámadott határozat megsemmisíteni kért része e határozat többi részétől elválaszthatatlan.
13
A felperes vitatja a Bizottság érveit, és azt állítja, hogy a keresete elfogadható.
14
Emlékeztetni kell arra, hogy az uniós bíróság jogosult mérlegelni az egyes ügyek körülményei alapján, hogy a megfelelő igazságszolgáltatás indokolja‑e a kereset anélkül történő érdemi elutasítását, hogy előzetesen határozna annak elfogadhatóságáról (lásd ebben az értelemben: 2002. február 26‑iTanács kontra Boehringer ítélet, C‑23/00 P, EU:C:2002:118, 51. és 52. pont).
15
Így a jelen ügy körülményeire tekintettel a Törvényszék úgy véli, hogy mivel a kereset az alábbi 16–204. pontban kifejtett indokok miatt mindenképpen megalapozatlan, a megfelelő igazságszolgáltatás érdekében meg kell vizsgálni annak megalapozottságát, anélkül hogy előzetesen határozni kellene annak elfogadhatóságáról (lásd ebben az értelemben: 2014. október 10‑iMarchiani kontra Parlament ítélet, T‑479/13, nem tették közzé, EU:T:2014:866, 23. pont; 2023. december 20‑iNaturstrom kontra Bizottság ítélet, T‑60/21, nem tették közzé, EU:T:2023:839, 74. pont).
B. Az ügy érdeméről
16
A felperes a keresete alátámasztása érdekében öt jogalapra hivatkozik:
–
az első, az Európai Gazdasági Közösség által használt nyelvek meghatározásáról szóló, 1958. április 15‑i 1. tanácsi rendelet (HL 1958. P 17., 385. o.; magyar nyelvű különkiadás 1. fejezet, 1. kötet, 3. o.) 3. és 4. cikkének megsértésére alapított jogalap;
–
a második, az Európai Unió Alapjogi Chartája 7. és 8. cikkének megsértésére alapított jogalap;
–
a harmadik, az említett Charta 47. cikke második bekezdésének és a GDPR 45. cikke (2) bekezdésének megsértésére alapított jogalap;
–
a negyedik, a GDPR 22. cikkének megsértésére alapított jogalap;
–
az ötödik, a GDPR 45. cikkének (2) bekezdésével összefüggésben értelmezett 32. cikkének megsértésére alapított jogalap.
17
A tárgyaláson a felperes elállt az 1/1958 rendelet 3. és 4. cikkének megsértésére vonatkozó első jogalapjától. Éppen ezért kizárólag a második, harmadik, negyedik és ötödik jogalapját kell megvizsgálni.
1.
Előzetes észrevételek
18
Először is meg kell jegyezni, hogy a GDPR 45. cikkének (1) bekezdése előírja, hogy a személyes adatok harmadik országba történő továbbítása a Bizottság azon határozatával engedélyezhető, amely szerint e harmadik ország, annak valamely területe, vagy egy vagy több meghatározott ágazata megfelelő védelmi szintet biztosít. E rendelkezés az említett rendelet V. fejezetében található, amelynek célja – amint arra a Bíróság rámutatott –, hogy biztosítsa a személyes adatoknak az uniós jog által e rendelet alapján biztosított védelme magas szintjének folyamatos fenntartását a harmadik országba irányuló továbbításuk esetén (lásd ebben az értelemben: „Schrems II” ítélet, 93. pont).
19
E tekintetben a Bíróság pontosította, hogy annak megkövetelése nélkül, hogy az érintett harmadik ország az uniós jogrendben biztosítottal megegyező védelmi szintet biztosítson, a GDPR 45. cikkének (1) bekezdésében foglalt „megfelelő védelmi szint” kifejezést úgy kell érteni, mint amely megköveteli, hogy e harmadik ország – belföldi joga vagy vállalt nemzetközi kötelezettségei alapján – az Alapjogi Chartával összefüggésben értelmezett, említett rendelet által az Unióban biztosított védelmi szinttel lényegében egyenértékű védelmi szintet biztosítson ténylegesen az alapvető jogok és szabadságok számára (lásd ebben az értelemben: „Schrems II” ítélet, 94. és 162. pont).
20
A Bíróság azt is megállapította, hogy még ha a harmadik ország által a személyes adatok megfelelő védelmi szintjének biztosítása érdekében igénybe vett eszközök különbözhetnek is az Unióban az Alapjogi Chartával összefüggésben értelmezett 95/46 irányelvből eredő követelmények tiszteletben tartásának biztosítása érdekében alkalmazott eszközöktől, ezen eszközöknek a gyakorlatban akkor is hatékonyaknak kell lenniük ahhoz, hogy az Unióban biztosított védelemmel lényegében azonos védelmet biztosítsanak („Schrems I” ítélet, 74. pont).
21
Ezenkívül a Bíróság megállapította, hogy figyelembe véve egyrészt azt a jelentős szerepet, amelyet a személyes adatok védelme a magánélet tiszteletben tartásához való alapvető jogra tekintettel betölt, másrészt azon személyek nagy számát tekintve, akiknek az alapjogai sérülhetnek, ha a személyes adatokat olyan harmadik országba továbbítják, amely nem biztosít megfelelő védelmi szintet, a Bizottság harmadik ország által biztosított védelmi szint megfelelő mivoltát érintő mérlegelési jogköre korlátozott, így az uniós bíróságnak szigorú felülvizsgálatnak kellett alávetnie a megfelelőségi határozat jogszerűségét („Schrems I” ítélet, 78. pont).
22
Másodszor emlékeztetni kell arra, hogy az állandó ítélkezési gyakorlat szerint valamely uniós jogi aktus jogszerűségét az elfogadásának időpontjában fennálló ténybeli és jogi elemekre tekintettel kell értékelni, vagyis a határozat elfogadását követő aktusok nem befolyásolhatják e határozat érvényességét (lásd: 2019. október 17‑iAlcogroup és Alcodis kontra Bizottság ítélet, C‑403/18 P, EU:C:2019:870, 45. pont, valamint az ott hivatkozott ítélkezési gyakorlat; 2021. január 28‑iQualcomm és Qualcomm Europe kontra Bizottság ítélet, C‑466/19 P, EU:C:2021:76, 82. pont, valamint az ott hivatkozott ítélkezési gyakorlat). Ennélfogva a jelen ügyben a Bizottság által a megtámadott határozat jogszerűségére vonatkozóan végzett értékeléseket kizárólag az annak elvégzésekor a Bizottság rendelkezésére álló információk alapján kell megvizsgálni.
23
Ebben az összefüggésben kell elemezni a felperes által felhozott jogalapokat, megvizsgálva először a harmadik jogalapot, majd a második jogalapot, ezt követően a negyedik jogalapot, végül pedig az ötödik jogalapot.
2.
A harmadik, az Alapjogi Charta 47. cikke második bekezdésének és a GDPR 45. cikke (2) bekezdésének megsértésére alapított jogalapról
24
Harmadik jogalapjával a felperes azt állítja, hogy a Bizottság megsértette az Alapjogi Charta 47. cikkének második bekezdését és a GDPR 45. cikkének (2) bekezdését, mivel a megtámadott határozatban azt állapította meg, hogy a DPRC megfelelő védelmi szintet biztosít az uniós polgárok azon joga tekintetében, hogy a törvény által megelőzően létrehozott független és pártatlan bírósághoz fordulhassanak.
25
Elöljáróban megjegyzendő, hogy az Alapjogi Charta 47. cikkének második bekezdése a következőképpen szól:
„Mindenkinek joga van arra, hogy ügyét a törvény által megelőzően létrehozott független és pártatlan bíróság tisztességesen, nyilvánosan és észszerű időn belül tárgyalja. Mindenkinek biztosítani kell a lehetőséget tanácsadás, védelem és képviselet igénybevételéhez.”
26
Az Alapjogi Chartához fűzött magyarázatok (HL 2007. C 303., 17. o.) szerint az említett Charta 47. cikkének második bekezdése megfelel az emberi jogok és alapvető szabadságok védelméről szóló, 1950. november 4‑én Rómában aláírt egyezmény (kihirdette: az 1993. évi XXXI. törvény; a továbbiakban: EJEE) 6. cikke (1) bekezdésének. E rendelkezés a következőképpen fogalmaz:
„Mindenkinek joga van arra, hogy ügyét a törvény által létrehozott független és pártatlan bíróság tisztességesen, nyilvánosan és észszerű időn belül tárgyalja, és hozzon határozatot polgári jogi jogai és kötelezettségei tárgyában, illetőleg az ellene felhozott büntetőjogi vádak megalapozottságát illetően.”
27
E tekintetben emlékeztetni kell arra, hogy az ítélkezési gyakorlat szerint, mivel az EJEE – amíg az Unió nem csatlakozott hozzá – nem minősül az uniós jogrendbe szervesen beépülő jogforrásnak, valamely másodlagos jogi aktus érvényességét kizárólag az Alapjogi Chartában biztosított alapvető jogokra tekintettel kell vizsgálni (2015. szeptember 3‑iInuit Tapiriit Kanatami és társai kontra Bizottság ítélet, C‑398/13 P, EU:C:2015:535, 45. és 46. pont).
28
Ugyanakkor az ítélkezési gyakorlat elismeri, hogy egyrészt az EUSZ 6. cikk (3) bekezdése értelmében az EJEE által elismert alapvető jogok általános elvekként az uniós jog részét képezik, másrészt pedig, hogy az Alapjogi Charta 52. cikkének (3) bekezdéséből az következik, hogy az abban elismert, az EJEE által garantáltaknak megfelelő jogok értelme és terjedelme megegyezik az e jogoknak az EJEE által biztosított értelemmel és terjedelemmel (lásd: 2018. május 31‑iKorwin‑Mikke kontra Parlament ítélet, T‑770/16, EU:T:2018:320, 38. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
29
Következésképpen az ítélkezési gyakorlat szerint a koherencia érdekében, és anélkül, hogy ez sértené az uniós jog és az Európai Unió Bíróságának autonómiáját, az Alapjogi Chartában foglalt azon jogokat, amelyek megfelelnek az EJEE‑ben biztosított jogoknak, az Emberi Jogok Európai Bírósága (a továbbiakban: EJEB) ítélkezési gyakorlatát is figyelembe véve kell értelmezni (lásd ebben az értelemben: 2023. november 9‑iStaatssecretaris van Justitie en Veiligheid [A súlyos sérelem fogalma] ítélet, C‑125/22, EU:C:2023:843, 59. pont; 2018. május 31‑iKorwin‑Mikke kontra Parlament ítélet, T‑770/16, EU:T:2018:320, 38. pont).
30
Ebből az ítélkezési gyakorlat szerint az következik, hogy a Bíróságnak az Alapjogi Charta 52. cikkének (3) bekezdése alapján ügyelnie kell arra, hogy a Charta 47. cikkének második bekezdésére vonatkozó értelmezése olyan védelmi szintet biztosítson, amely nem sérti az EJEE 6. cikkének (1) bekezdésében rögzített és az EJEB által értelmezett védelmi szintet (lásd: 2021. október 6‑iW. Ż. [A legfelsőbb bíróság rendkívüli felülvizsgálati és közjogi tanácsa – Kinevezés] ítélet, C‑487/19, EU:C:2021:798, 123. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
31
Megjegyzendő továbbá, hogy a GDPR 45. cikkének (2) bekezdése előírja, hogy a harmadik ország által biztosított védelmi szint megfelelőségének értékelésekor a Bizottság különösen a következő tényezőket veszi figyelembe:
„a)
[…] hogy az érintettek, akiknek a személyes adatait továbbítják, rendelkeznek‑e hatékonyan érvényesíthető – a hatékony közigazgatási és bírósági jogorvoslatot is magukban foglaló – jogokkal;
b)
a szóban forgó harmadik országban létezik‑e egy vagy több olyan független és hatékonyan működő felügyeleti hatóság – a szóban forgó nemzetközi szervezet pedig ilyen hatóság ellenőrzése alatt áll‑e –, amely felelős az adatvédelmi szabályok betartásának biztosításáért és végrehajtásáért, rendelkezik többek között megfelelő kikényszerítési hatáskörrel, és felelős az érintettek részére történő, a jogaik gyakorlásával kapcsolatos segítségnyújtásért és tanácsadásért, valamint a tagállami felügyeleti hatóságokkal való együttműködésért.”
32
E körülményekre figyelemmel kell megvizsgálni a felperes által a jelen jogalap alátámasztására felhozott két kifogást.
a)
A harmadik jogalap keretében felhozott első kifogásról, amely szerint a DPRC nem független és pártatlan bíróság
33
A harmadik jogalapja keretében felhozott első kifogással a felperes azt állítja, hogy a DPRC az Alapjogi Charta 47. cikkének második bekezdése értelmében véve nem független és pártatlan bíróság, hanem a végrehajtó hatalomtól függő, bíróságon kívüli szerv.
34
Az Írország és az Amerikai Egyesült Államok által támogatott Bizottság vitatja a felperes érvelését.
35
Elöljáróban megjegyzendő, hogy az ítélkezési gyakorlat szerint a bíróságok függetlenségére vonatkozó e követelmény – amely a bírói hivatás velejárója – a hatékony bírói jogvédelemhez való jog és a tisztességes eljáráshoz való alapvető jog lényegéből következik, amely döntő jelentőségű a jogalanyok uniós jogból eredő valamennyi joga védelmének biztosítása és a tagállamok EUSZ 2. cikkben felsorolt közös értékeinek, különösen pedig a jogállamiság értékének a megőrzése szempontjából (2021. július 15‑iBizottság kontra Lengyelország [Fegyelmi felelősségi rendszer] ítélet, C‑791/19, EU:C:2021:596, 58. pont, valamint az ott hivatkozott ítélkezési gyakorlat). A hatalmi ágak szétválasztása elvének megfelelően, amely a jogállam működését jellemzi, a bíróságok függetlenségét biztosítani kell különösen a jogalkotó és a végrehajtó hatalom tekintetében (lásd: 2021. május 18‑iAsociația Forumul Judecătorilor din România és társai ítélet, C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 és C‑397/19, EU:C:2021:393, 195. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
36
Az ítélkezési gyakorlat egyértelművé teszi, hogy a bíróságok függetlenségére vonatkozó követelmény két szempontot foglal magában. Az első – külső – szempont azt követeli meg, hogy az érintett fórum teljesen autonóm módon gyakorolja feladatkörét anélkül, hogy bármilyen hierarchikus kapcsolatban lenne, vagy bárkinek alá lenne rendelve, és anélkül hogy bárhonnan utasításokat kapna, így védett az olyan külső beavatkozással vagy nyomással szemben, amely veszélyeztetheti tagjai határozathozatalának függetlenségét, és befolyásolhatja határozataikat. A második – belső – szempont a „pártatlanság” fogalmával áll összefüggésben, és arra vonatkozik, hogy egyenlő távolságot kell tartani a jogvitában részt vevő felektől, illetve e feleknek a jogvita tárgyához fűződő mindenkori érdekeitől. E szempont megköveteli az objektivitást, valamint azt, hogy a jogvita megoldása során a jogszabály szigorú alkalmazásán kívül semmilyen más érdek ne érvényesüljön (lásd: 2021. december 21‑iEuro Box Promotion és társai ítélet, C‑357/19, C‑379/19, C‑547/19, C‑811/19 és C‑840/19, EU:C:2021:1034, 224. pont, valamint az ott hivatkozott ítélkezési gyakorlatot).
37
Az uniós jog értelmében megkövetelt függetlenségi és pártatlansági garanciák olyan szabályok meglétét igénylik – különösen ami a fórum összetételét, a kinevezést, a megbízatás időtartamát, valamint a tagjaikat érintő elfogultsági, kizárási és felmentési okokat illeti –, amelyek a jogalanyok számára biztosítják minden, az említett fórum külső tényezők általi befolyásolhatatlanságára, valamint az ütköző érdekek vonatkozásában fennálló semlegességére vonatkozó jogos kétség kizárását (lásd: 2021. július 15‑iBizottság kontra Lengyelország [Fegyelmi felelősségi rendszer] ítélet, C‑791/19, EU:C:2021:596, 59. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
38
A felperes által a jelen kifogás alátámasztására felhozott három érvet ebben az összefüggésben kell megvizsgálni.
1) Az első érvről, amely szerint a DPRC nem független és pártatlan bíróság, mivel feladata a Civil Liberties Protection Officer of the Director of National Intelligence határozatainak felülvizsgálata
39
Első érvével a felperes lényegében arra hivatkozik, hogy a DPRC nem független és pártatlan bíróság, mivel feladata a Civil Liberties Protection Officer of the Director of National Intelligence (a nemzeti hírszerzési igazgató polgári szabadságjogi tisztviselője, Egyesült Államok; a továbbiakban: CLPO) határozatainak felülvizsgálata, aki az Egyesült Államok nemzeti hírszerzési igazgatójának hivatalához (a továbbiakban: a nemzeti hírszerzési igazgató hivatala) tartozik.
40
Az Írország és az Amerikai Egyesült Államok által támogatott Bizottság vitatja a felperes érvét.
41
Az egyértelműség kedvéért pontosítandó, hogy a harmadik jogalap keretében felhozott első kifogás első érvét lényegében úgy kell érteni, hogy a felperes szerint egyrészt a valamely érintett személy által – aki az Egyesült Államok jelfelderítési tevékenységeket szabályozó jogának olyan megsértésére kíván hivatkozni, amely sérti a magánélet és a polgári szabadságjogok védelméhez fűződő érdekeit (a továbbiakban: személyes adatokkal kapcsolatos panasz) – az Unióban benyújtott, személyes adatokkal kapcsolatos panasz kezelése során a CLPO nem rendelkezik a függetlenségét biztosító megfelelő garanciákkal, mivel a nemzeti hírszerzési igazgató hivatalához tartozik, másrészt pedig a DPRC nem független és pártatlan bíróság a CLPO‑t övező garanciák elégtelensége miatt.
42
Mindenekelőtt megjegyzendő, hogy a CLPO függetlenségére vonatkozó garanciák vizsgálata nem releváns annak értékelése szempontjából, hogy a DPRC független és pártatlan bíróságnak minősül‑e. A DPRC‑t ugyanis a CLPO‑tól független ellenőrző szervként hozták létre, amely előtt – amint az a megtámadott határozat (184) preambulumbekezdéséből kitűnik – a személyes adatokkal kapcsolatos panaszt benyújtó személy, valamint a hírszerző közösség minden tagja kérheti a CLPO határozatának felülvizsgálatát, és a 14086. elnöki rendelet több garanciát is előírt annak érdekében, hogy a DPRC független és pártatlan módon felülvizsgálhassa és adott esetben megváltoztathassa a CLPO határozatait.
43
Először is, a megtámadott határozat (185) és (186) preambulumbekezdéséből kitűnik – és ezt a felperes sem vitatja –, hogy a DPRC legalább hat bíróból áll, akiket az Attorney General (legfőbb ügyész, Egyesült Államok; a továbbiakban: legfőbb ügyész) – négyéves megújítható időtartamra, a szövetségi bírói karra alkalmazottakkal azonos kiválasztási kritériumok alapján és korábbi bírói tapasztalatuk figyelembevételével – nevez ki a Privacy and Civil Liberties Oversight Boarddal (adatvédelmi és polgári szabadságjogi felügyelő tanács, Egyesült Államok, a továbbiakban: PCLOB), a Secretary of Commerce‑szel (kereskedelmi miniszter, Egyesült Államok) és a nemzeti hírszerzés igazgatójával folytatott konzultációt követően. Így a bíráknak jogi szakembereknek, vagyis az ügyvédi kamara aktív tagjainak kell lenniük, megfelelő engedéllyel kell rendelkezniük a jog gyakorlására, és megfelelő tapasztalattal kell rendelkezniük a magánélet védelmére és a nemzetbiztonságra vonatkozó jog terén. Ezenkívül a legfőbb ügyésznek törekednie kell annak biztosítására, hogy adott időpontban a bírák legalább fele előzetes bírói tapasztalattal rendelkezzen, és valamennyi bírónak rendelkeznie kell a minősített nemzetbiztonsági információkhoz való hozzáféréshez szükséges biztonsági tanúsítvánnyal. Csak azok nevezhetők ki a DPRC‑be, akik megfelelnek a fent említett képesítéseknek, és kinevezésük időpontjában vagy az azt megelőző két évben nem voltak a végrehajtó hatalmi ág alkalmazottai. Hasonlóképpen, a DPRC bírái hivatali idejük alatt nem tölthetnek be hivatalos tisztséget vagy állást az Egyesült Államok kormányán belül.
44
Másodszor, a megtámadott határozat (188) és (189) preambulumbekezdéséből kitűnik – anélkül, hogy azt a felperes vitatná –, hogy a CLPO határozatait a DPRC három bíróból álló tanácsa teljes egészében felülvizsgálja, különleges főtanácsnok közreműködésével. Márpedig az említett felülvizsgálat során a DPRC nem kizárólag a CLPO által szolgáltatott iratokra támaszkodik, hanem a panaszos, a bírákat segítő különleges főtanácsnok és a hírszerző ügynökségek által továbbított információkra és beadványokra, valamint adott esetben azokra a további információkra is, amelyeket a személyes adatokkal kapcsolatos panasz vizsgálata során bekért. Ezenfelül e felülvizsgálat során a Supreme Court of the United States (az Egyesült Államok legfelsőbb bírósága) vonatkozó ítélkezési gyakorlatát kell alkalmaznia.
45
Harmadszor, a megtámadott határozat (190) és (191) preambulumbekezdéséből kitűnik – anélkül, hogy azt a felperes vitatná –, hogy a DPRC megváltoztatási jogkörrel rendelkezik, nem köti a CLPO határozata, és az utóbbival való egyet nem értés esetén a személyes adatokkal kapcsolatos panaszra vonatkozóan saját határozatot fogadhat el. Ráadásul a DPRC által hozott határozattól függetlenül ez a határozat kötelező erejű és végleges. Így mind a hírszerző ügynökségek, mind az Egyesült Államok kormánya köteles annak eleget tenni.
46
A fentiekből következik, hogy a 14086. elnöki rendelet által a DPRC működésére és hatásköreire vonatkozóan előírt garanciák lehetővé teszik a CLPO által elfogadott határozatok független és pártatlan felülvizsgálatát. A felperes tehát megalapozatlanul állítja, hogy a CLPO‑ra alkalmazandó garanciák elégtelensége befolyásolja a DPRC függetlenségét és pártatlanságát.
47
Mindenesetre a CLPO függetlenségét biztosítani hivatott garanciák állítólagos elégtelenségét illetően a következőket kell megjegyezni.
48
Megjegyzendő, hogy – amint az a megtámadott határozat (176)–(181) preambulumbekezdéséből kitűnik, anélkül hogy azt a felperes vitatná – a legfőbb ügyészi rendelettel kiegészített 14086. elnöki rendelet külön jogorvoslati mechanizmust hozott létre a személyes adatokkal kapcsolatos panaszok kezelésére. Ezt a panaszt az egyes tagállamokban a személyes adatok kezelésének felügyeletéért felelős felügyeleti hatósághoz kell benyújtani, amely ezt követően továbbítja azt a CLPO‑nak, feltéve hogy az tartalmazza a megtámadott határozat (178) preambulumbekezdésében megjelölt elemeket, mégpedig azon személyes adatokra vonatkozó információkat, amelyekről észszerűen feltételezhető, hogy azokat az Egyesült Államokba továbbították, azon eszközökre vonatkozó információkat, amelyekkel feltételezhetően továbbították azokat, azon egyesült államokbeli kormányzati szervek azonosítását (amennyiben ismert), amelyekről feltételezhető, hogy részt vesznek az állítólagos jogsértésben, az Egyesült Államok joga állítólagos megsértésére vonatkozó jogalapot és a kért kártérítés jellegét. Ebben az összefüggésben a CLPO‑nak meg kell határoznia, hogy a hírszerző ügynökségek megsértették‑e az Egyesült Államok alkalmazandó jogát, és amennyiben igen, elrendelheti a kárenyhítési intézkedések végrehajtását. A CLPO‑nak az említett panasszal kapcsolatos határozata kötelező erejű.
49
Kétségtelen, hogy a megtámadott határozat (179) preambulumbekezdésében a Bizottság rámutat arra, hogy a CLPO a nemzeti hírszerzési igazgató hivatalának részét képezi, és hogy a személyes adatokkal kapcsolatos panasz kivizsgálására vonatkozó különös hatáskörén kívül általánosabb jelleggel köteles biztosítani, hogy a polgári szabadságjogok és a magánélet védelme megfelelően beépüljön az említett hivatal és a hírszerző ügynökségek szabályzataiba és eljárásaiba, és hogy azok megfeleljenek a magánélet és a polgári szabadságjogok védelmére vonatkozó követelményeknek. Mindazonáltal egyrészt meg kell jegyezni, hogy – amint az e preambulumbekezdésben szerepel – a CLPO függetlenségének biztosítása érdekében a 14086. elnöki rendelet úgy rendelkezik, hogy a CLPO‑t csak az említett igazgató mentheti fel tisztségéből megfelelő indokkal, azaz kötelességszegés, hivatali visszaélés, biztonság megsértése, hivatali mulasztás vagy alkalmatlanság esetén. Másrészt, amint az a megtámadott határozat (180) preambulumbekezdéséből kitűnik, a hírszerző ügynökségek és a nemzeti hírszerzési igazgató nem akadályozhatják vagy nem befolyásolhatják indokolatlanul a CLPO munkáját, akinek a személyes adatokkal kapcsolatos panasz vizsgálata során pártatlanul kell alkalmaznia a jogot, figyelembe véve mind a nemzetbiztonsági érdekeket, mind a magánélet védelmét.
50
E körülmények között a jelen érvet el kell utasítani.
2) A második érvről, amely szerint a DPRC nem független és pártatlan bíróság, mivel a legfőbb ügyész által a PCLOB‑val folytatott konzultációt követően kinevezett bírákból áll
51
Második érvével a felperes lényegében azt állítja, hogy a DPRC nem független és pártatlan bíróság, mivel olyan bírákból áll, akiket a legfőbb ügyész a PCLOB‑val, a végrehajtó hatalomtól függő szervvel való konzultációt követően nevez ki.
52
Az Írország és az Amerikai Egyesült Államok által támogatott Bizottság vitatja a felperes érvét.
53
Először is, a megtámadott határozat (110) preambulumbekezdéséből kitűnik, hogy a PCLOB a végrehajtó hatalmi ágon belül létrehozott független ügynökség. Ezen ügynökség függetlensége különösen az összetételéből következik. Ugyanis egy kétpárti, öttagú igazgatótanácsból áll, akiket az Egyesült Államok elnöke a szenátus jóváhagyásával hat évre nevez ki. E tagokat szakmai képesítésük, eredményeik, közéleti tevékenységük, a polgári szabadságjogok és a magánélet védelme terén szerzett szakértelmük, valamint tapasztalataik alapján, politikai hovatartozásuktól függetlenül kell kiválasztani. A testületnek nem lehet háromnál több olyan tagja, aki ugyanahhoz a politikai párthoz tartozik. A PCLOB tagjaként kinevezett személy a testületben betöltött tisztségének ideje alatt nem lehet a szövetségi kormány választott tisztviselője, tisztségviselője vagy alkalmazottja, a PCLOB tagjaként betöltött tisztség kivételével.
54
Ebből következik, hogy bár a PCLOB‑t a végrehajtó hatalmon belül hozták létre, alapító okirata szerint olyan független ügynökség, amelynek feladata, hogy többek között a magánélet és a polgári szabadságjogok védelme érdekében pártatlanul felügyelje a végrehajtó hatalom által végzett munkát. Így, amint arra a megtámadott határozat (194) preambulumbekezdése rámutat – anélkül, hogy a felperes ezt vitatná –, évente felül kell vizsgálnia, hogy a CLPO és a DPRC az előírt határidőn belül kezelte‑e a beérkezett panaszokat, teljes körű hozzáférést kapott‑e a szükséges információkhoz, a felülvizsgálati eljárás során megfelelően figyelembe vette‑e a 14086. elnöki rendelet valamennyi biztosítékát, és hogy a hírszerző ügynökségek eleget tettek‑e a határozataiknak. E felülvizsgálatot követően nyilvánosan tanúsítania kell, hogy a CLPO és a DPRC tiszteletben tartotta ezeket a garanciákat. Ezenkívül jelentést kell benyújtania az Egyesült Államok elnökének, a legfőbb ügyésznek, a nemzeti hírszerzési igazgatónak, a hírszerző ügynökségek vezetőinek, a CLPO‑nak és a United States Congress (Egyesült Államok kongresszusa) hírszerzési bizottságainak. Ezt a jelentést nem titkosított változatban kell közzétenni. A legfőbb ügyész, a nemzeti hírszerzési igazgató, a CLPO és a hírszerző ügynökségek vezetői kötelesek végrehajtani a jelentésben foglalt valamennyi ajánlást.
55
E körülmények között az a tény, hogy a PCLOB‑t a végrehajtó hatalmon belül hozták létre, önmagában nem teszi lehetővé annak megállapítását, hogy a DPRC bíráinak kinevezése előtti konzultáció miatt a DPRC nem független és pártatlan bíróság.
56
Másodszor meg kell jegyezni, hogy annak biztosítása érdekében, hogy a DPRC bírái függetlenek legyenek a végrehajtó hatalomtól, a 14086. elnöki rendelet előírja, hogy kinevezésükkor a legfőbb ügyésznek tiszteletben kell tartania a fenti 43. pontban említett kritériumokat és feltételeket. Ráadásul, amint az a megtámadott határozat (187) preambulumbekezdéséből kitűnik, a DPRC bíráit csak a legfőbb ügyész mentheti fel, és kizárólag alapos indokkal, nevezetesen kötelességszegés, hivatali visszaélés, biztonság megsértése, hivatali mulasztás vagy alkalmatlanság miatt, miután kellően figyelembe vette a szövetségi bírákra alkalmazandó, a bírói etikai szabályokra és a bírósági alkalmatlansági eljárásra vonatkozó szabályokat.
57
Ebből következik, hogy a DPRC bíráinak kinevezésére és felmentésére vonatkozó szabályok nem kérdőjelezhetik meg a DPRC függetlenségét és pártatlanságát.
58
Harmadszor meg kell jegyezni, hogy a megtámadott határozat 3. cikkének (1) bekezdése értelmében a Bizottság köteles folyamatosan figyelemmel kísérni az említett határozat tárgyát képező jogi keret alkalmazását – ideértve az újbóli adattovábbítások lebonyolításának, az egyéni jogok gyakorlásának és az egyesült államokbeli hatóságok e határozat alapján továbbított adatokhoz való hozzáférésének a feltételeit – annak értékelése céljából, hogy Egyesült Államok az 1. cikk értelmében továbbra is megfelelő szintű védelmet biztosít‑e. Így az említett cikk (5) bekezdésének megfelelően, amennyiben a Bizottság arra utaló körülményről szerez tudomást, hogy már nem biztosított a védelem megfelelő szintje, erről tájékoztatja az illetékes egyesült államokbeli hatóságokat, és szükség esetén úgy határoz, hogy felfüggeszti, módosítja vagy hatályon kívül helyezi ezt a határozatot, vagy korlátozza alkalmazási körét. Ebből következik, hogy ha megváltozik az Egyesült Államokban a megtámadott határozat elfogadásának időpontjában hatályos azon jogi keret, amely a Bizottságot arra késztette, hogy a határozatban úgy ítélje meg, hogy a DPRC az uniós jog által biztosított védelemmel lényegében egyenértékű jogi védelmet nyújt, a Bizottság szükség esetén határoz a megtámadott határozat felfüggesztéséről, módosításáról vagy hatályon kívül helyezéséről, illetve hatályának korlátozásáról.
59
E megfontolások összességére tekintettel a jelen érvet el kell utasítani.
3) A harmadik érvről, amely szerint a DPRC nem független és pártatlan bíróság, mivel a legfőbb ügyészi rendelet a napi szintű felügyelet kizárásán túl nem zárja ki annak lehetőségét, hogy a DPRC bírái a végrehajtó hatalom részéről másfajta felügyeletnek is alá legyenek vetve
60
Harmadik érvével a felperes lényegében arra hivatkozik, hogy a DPRC nem független és pártatlan bíróság, mivel a legfőbb ügyészi rendelet a napi szintű felügyelet kizárásán túl nem zárja ki annak lehetőségét, hogy a DPRC bírái a végrehajtó hatalom részéről másfajta felügyeletnek is alá legyenek vetve.
61
Az Írország és az Amerikai Egyesült Államok által támogatott Bizottság vitatja a felperes érvét.
62
Megjegyzendő, hogy bár az iratokból kitűnik, hogy a legfőbb ügyészi rendelet 201.7. cikkének d) pontja értelmében a DPRC bírái nem tartozhatnak a legfőbb ügyész napi szintű felügyelete alá, a megtámadott határozat (187) preambulumbekezdése azt is jelzi, hogy a 14086. elnöki rendelet értelmében a hírszerző ügynökségek és a legfőbb ügyész nem akadályozhatják és nem befolyásolhatják indokolatlanul a DPRC munkáját. Ezenkívül az iratokból kitűnik, hogy a 14086. elnöki rendelet és a legfőbb ügyészi rendelet korlátozza a végrehajtó hatalom azon lehetőségét, hogy befolyásolja a DPRC munkáját, megállapítva, hogy a DPRC bíráit csak a legfőbb ügyész mentheti fel, és kizárólag a fenti 56. pontban megjelölt okokból.
63
Ebben az összefüggésben a jelen érvet, ennélfogva pedig a harmadik jogalap keretében felhozott első kifogást teljes egészében el kell utasítani.
b)
A harmadik jogalap keretében felhozott második kifogásról, amely szerint a DPRC nem törvény által megelőzően létrehozott bíróság
64
A harmadik jogalapjának keretében felhozott második kifogással a felperes arra hivatkozik, hogy a DPRC az Alapjogi Charta 47. cikkének második bekezdése értelmében véve nem törvény által megelőzően létrehozott bíróság, mivel azt nem az Egyesült Államok kongresszusa által elfogadott törvény hozta létre, hanem a végrehajtó hatalom jogi aktusa, mégpedig a legfőbb ügyész határozata.
65
Az Írország és az Amerikai Egyesült Államok által támogatott Bizottság vitatja a felperes érvelését.
66
Először is, a Bíróságnak az EJEE 6. cikkének (1) bekezdésére vonatkozó, az EJEB ítélkezési gyakorlata fényében kialakított ítélkezési gyakorlatából (EJEB, 2020. december 1., Guðmundur Andri Ástráðsson v. Izland, EC:ECHR:2020:1201JUD002637418, 231. és 233. §) az következik, hogy bár a törvény által megelőzően létrehozott bírósághoz való jog önálló jognak minősül, mégis nagyon szorosan kapcsolódik a függetlenség és pártatlanság e rendelkezésben foglalt garanciáihoz. Konkrétabban, noha az ezen fogalmak által diktált valamennyi követelmény olyan meghatározott célt szolgál, amely a tisztességes eljárás sajátos garanciáit jelenti, ugyanazon alapelvek, így a jog uralmának elve és a hatalmi ágak szétválasztása tiszteletben tartására irányulnak. E követelmények mindegyikének alapját tehát az a követelmény képezi, hogy megőrizzék azt a bizalmat, amelyet az igazságszolgáltatásnak a jogalanyokban keltenie kell, valamint e hatalmi ág többi hatalmi ágtól való függetlenségét (lásd: 2022. február 22‑iOpenbaar Ministerie [A kibocsátó tagállam törvényei által létrehozott bíróság] ítélet, C‑562/21 PPU és C‑563/21 PPU, EU:C:2022:100, 56. pont, valamint az ott hivatkozott ítélkezési gyakorlat; 2022. március 29‑iGetin Noble Bank ítélet, C‑132/20, EU:C:2022:235, 117. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
67
A Bíróság az EJEB ítélkezési gyakorlatára hivatkozva (EJEB, 2014. július 8., Biagioli kontra San Marino ítélet, CE:ECHR:2014:0708DEC000816213, 72–74. §; lásd még: EJEB, 2019. május 2., Pasquini kontra San Marino ítélet, CE:ECHR:2019:0502JUD005095616, 100. és 101. §, valamint az ott hivatkozott ítélkezési gyakorlat) pontosította, hogy a „törvény által megelőzően létrehozott” kifejezés célja annak elkerülése, hogy az igazságszolgáltatási rendszer szervezését a végrehajtó hatalom mérlegelési jogkörére bízzák, és hogy ezt a területet a törvényhozó hatalom által a hatáskörének gyakorlására vonatkozó szabályoknak megfelelően elfogadott törvény szabályozza. Ez a kifejezés így a jogállamiság elvét tükrözi, és nem csupán a bíróság fennállásának jogi alapjára vonatkozik, hanem az egyes ügyekben az eljáró tanács összetételére, valamint a belső jog bármely más rendelkezésére, amelynek megsértése szabálytalanná teszi egy vagy több bíró részvételét az ügy vizsgálatában, ami magában foglalja különösen az érintett bíróság tagjainak függetlenségére és pártatlanságára vonatkozó rendelkezéseket (lásd: 2022. március 29‑iGetin Noble Bank ítélet, C‑132/20, EU:C:2022:235, 121. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
68
Ebben az összefüggésben a Bíróság megállapította, hogy a törvény által megelőzően létrehozott bíróság követelményének megsértésére, következésképpen az ilyen jogsértésre vonatkozó megállapítás számos olyan tényező átfogó értékelésétől függ, amelyek együttesen véve jogos kétségeket ébresztenek a jogalanyokban a bírák függetlenségét és pártatlanságát illetően (lásd: 2022. február 22‑iOpenbaar Ministerie [A kibocsátó tagállam törvényei által létrehozott bíróság] ítélet, C‑562/21 PPU és C‑563/21 PPU, EU:C:2022:100, 74. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
69
Így a Bíróság megállapította, hogy az a körülmény, hogy egy olyan szerv, mint a nemzeti igazságszolgáltatási tanács, amely a bírák kinevezésének folyamatában vesz részt, döntő jelleggel a jogalkotó által kiválasztott tagokból áll, önmagában nem vonhatja kétségbe az ezen eljárás végén kinevezett bírák függetlenségét, azonban más lehet a helyzet akkor, ha ugyanez a körülmény – más releváns elemekkel és azon feltételekkel együtt, amelyek mellett e kiválasztásokra sor kerül – ilyen kétségeket ébreszt (lásd: 2022. február 22‑iOpenbaar Ministerie [A kibocsátó tagállam törvényei által létrehozott bíróság] ítélet, C‑562/21 PPU és C‑563/21 PPU, EU:C:2022:100, 75. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
70
Egyébiránt az EJEB a 2020. december 1‑jei Guðmundur Andri Ástráðsson kontra Izland ítéletében (CE:ECHR:2020:1201JUD002637418, 207. és 212. §) úgy ítélte meg, hogy a bírák végrehajtó vagy törvényhozó hatalom általi kinevezése megengedhető, feltéve hogy az így kinevezett bírákat az igazságszolgáltatási feladataik ellátása során semmiféle nyomásgyakorlás vagy befolyás nem éri.
71
Ezen ítélkezési gyakorlatból lényegében az következik, hogy annak értékeléséhez, hogy teljesülnek‑e az Alapjogi Charta 47. cikkének második bekezdéséből eredő követelmények, nem csupán a bíróságot létrehozó és annak működési szabályait meghatározó jogi szöveg alaki jellegét kell értékelni, hanem meg kell vizsgálni, hogy e jogi szöveg a többi hatalmi ágtól, különösen a végrehajtó hatalomtól való függetlenségének és pártatlanságának biztosítására irányuló megfelelő garanciákat tartalmaz‑e.
72
Másodszor emlékeztetni kell arra, hogy – amint azt a Bíróság a „Schrems I” és a „Schrems II” ítéletben megállapította – egy megfelelőségi határozat keretében a Bizottságnak nem arról kell meggyőződnie, hogy a harmadik ország releváns rendelkezései megegyeznek az Unióban hatályban lévő rendelkezésekkel, hanem arról, hogy azok lényegében egyenértékűek az uniós jog által – az Alapjogi Chartával összefüggésben értelmezett – GDPR alapján garantált rendelkezésekkel (lásd a fenti 19. és 20. pontot). Ebből következik, hogy a jelen ügyben a Törvényszéknek meg kell vizsgálnia a Bizottság által a megtámadott határozatban tett azon megfelelőségi megállapítás megalapozottságát, amely szerint az Egyesült Államok jogának a DPRC létrehozására és működésére vonatkozó rendelkezései az uniós jog által a Charta 47. cikkének második bekezdésében előírt garanciákkal lényegében egyenértékű garanciákat nyújtanak. Ilyen garanciákat nyújtanak különösen akkor, ha az e bíróságot létrehozó és annak működési szabályait meghatározó jogi szöveg célja a többi hatalmi ággal, különösen a végrehajtó hatalommal szembeni függetlenségének és pártatlanságának biztosítása, annak ellenére, hogy az említett szöveg alaki szempontból nem minősül törvénynek.
73
A jelen ügyben a megtámadott határozat (185) preambulumbekezdéséből kitűnik – anélkül, hogy azt a felperes vitatná –, hogy a DPRC‑t a legfőbb ügyészi rendelet hozta létre. Ebből következik, hogy a DPRC‑t nem a jogalkotó hatalom, nevezetesen az Egyesült Államok kongresszusa által elfogadott törvény hozta létre, hanem a végrehajtó hatalom jogi aktusa. A legfőbb ügyész ugyanis az Egyesült Államok igazságügyi minisztériumának vezetője, és az Egyesült Államok szövetségi kormányán belül a jogalkalmazásért felel. Az Egyesült Államok elnökének fő tanácsadója minden jogi kérdésben, és tagja a kabinetjének.
74
Ebben az összefüggésben meg kell vizsgálni, hogy a 14086. elnöki rendelet és a legfőbb ügyészi rendelet – az uniós joggal lényegében egyenértékű módon – előír‑e a DPRC függetlenségének és pártatlanságának biztosítására irányuló garanciákat.
75
E tekintetben először is meg kell jegyezni, hogy az iratokból kitűnik – anélkül, hogy ezt vitatták volna –, hogy:
–
a legfőbb ügyész az Egyesült Államok jogi kérdéseit – így a 14086. elnöki rendelet hatálya alá tartozó, az Unióból történő adattovábbítással kapcsolatos kérdéseket is – illető kötelező erejű határozatok kibocsátására vonatkozó alkotmányos hatásköre alapján fogadta el a legfőbb ügyészi rendeletet;
–
a DPRC létrehozásával a legfőbb ügyész átruházta rá az arra vonatkozó hatáskörét, hogy döntsön az uniós polgár által vitatott jelfelderítési tevékenységek jogszerűségéről; így a legfőbb ügyész de iure már nem jogosult a DPRC‑re ruházott hatáskör gyakorlására mindaddig, amíg az fennáll;
–
amint az a megtámadott határozat 63. oldalán található 366. lábjegyzetben szerepel, az Egyesült Államok Legfelsőbb Bírósága elismerte annak lehetőségét, hogy a legfőbb ügyész döntéshozatali jogkörrel rendelkező olyan független szerveket hozzon létre, mint a DPRC; ezenfelül kimondta, hogy a legfőbb ügyész által átruházott hatáskör kötelező a végrehajtó hatalomra nézve; így az említett bíróság ítélkezési gyakorlatából kitűnik, hogy amíg a legfőbb ügyészi rendelet hatályban marad, e rendelet köti a végrehajtó hatalmat, és sem a hírszerző ügynökségek, sem az Egyesült Államok kormánya nem vizsgálhatja felül vagy vonhatja vissza a határozatait.
76
Másodszor emlékeztetni kell egyrészt arra, hogy a megtámadott határozatból lényegében kitűnik, hogy:
–
a DPRC bíráit a legfőbb ügyész nevezi ki a fenti 43. pontban említett kritériumok alapján és feltételek mellett;
–
a DPRC bíráit kizárólag a legfőbb ügyész mentheti fel egyedül a fenti 56. pontban említett okokból és a szövetségi bírákra alkalmazandó, a bírói etikai szabályokra és a bírói alkalmatlansági eljárásra vonatkozó szabályok tiszteletben tartása mellett;
–
a DPRC által elfogadott határozat kötelező erejű és végleges. Így mind a végrehajtó hatalom, mind a hírszerző ügynökségek kötelesek annak eleget tenni;
–
a DPRC által végzett munkát a PCLOB a fenti 54. pontban megjelölt korlátok között felügyeli.
77
Másrészt, amint az a megtámadott határozat (187)–(189) preambulumbekezdéséből kitűnik, a DPRC bíráinak feladataik ellátása során tiszteletben kell tartaniuk a következő eljárási garanciákat:
–
egy három bíróból, köztük egy elnökből álló tanácsban kell megvizsgálniuk a személyes adatokkal kapcsolatos panaszt; a három bíróból álló tanács összetételét minden egyes ügyben az igazságügyi minisztérium adatvédelmi és polgári szabadságjogi hivatala választja ki, amelynek feladata, hogy adminisztratív támogatást nyújtson a DPRC‑nek, biztosítva, hogy minden ítélkező testületben legalább egy olyan bíró legyen, aki rendelkezik bírói tapasztalattal;
–
a személyes adatokkal kapcsolatos panasz elbírálása során a bírákat egy különleges főtanácsnok segíti, akit a kereskedelmi miniszterrel, a nemzeti hírszerzési igazgatóval és a PCLOB‑val folytatott konzultációt követően a legfőbb ügyész nevez ki kétéves, megújítható időszakra; a különleges főtanácsnoknak megfelelő tapasztalattal kell rendelkeznie a magánélet védelme és a nemzetbiztonsági jog területén, tapasztalt jogásznak, valamint az ügyvédi kamara aktív és bejegyzett tagjának kell lennie; ezenkívül a kinevezése időpontját megelőző két évben nem állhatott a végrehajtó hatalmi ág alkalmazásában; a különleges főtanácsnoknak hozzáféréssel kell rendelkeznie valamennyi információhoz, beleértve a minősített adatokat is, és bár nem a panaszos érdekeit védi, és nem áll ügyvéd‑ügyfél viszonyban a panaszossal, biztosítania kell, hogy a panaszos érdekei minden esetben képviselve legyenek, és hogy a DPRC bírái valamennyi releváns jogi és ténybeli kérdésről megfelelő tájékoztatást kapjanak;
–
döntésük meghozatala érdekében figyelembe kell venniük a nyomozati iratokat, a panaszos, a különleges főtanácsnok, a hírszerző ügynökségek és a CLPO által szolgáltatott információkat és beadványokat, valamint adott esetben a CLPO által a DPRC kérésére továbbított kiegészítő információkat;
–
a személyes adatokkal kapcsolatos panaszról többségi szavazással írásbeli határozatot fogadnak el.
78
Harmadrészt megjegyzendő, hogy a Bíróság által a „Schrems II” ítéletben az adatvédelmi pajzs ombudsmannak a végrehajtó hatalom általi felmentésére vonatkozó garanciák hiányával és a határozatai kötelező jellegének hiányával kapcsolatban megállapított hiányosságokat orvosolták. Az iratokból ugyanis kitűnik, hogy a 14086. elnöki rendelet korlátozza azokat az eseteket, amikor a legfőbb ügyész felmentheti a DPRC bíráit, és előírja, hogy határozatai kötelező erejűek.
79
E körülmények között a harmadik jogalap keretében felhozott első kifogást el kell utasítani.
80
Ezt a következtetést nem teheti kérdésessé az, hogy az iratokból kitűnik, hogy a DPRC, bár – az Egyesült Államok jogrendszerének más bíróságaihoz hasonlóan – jogosult jogi kérdésekben határozni, nem minősül az Egyesült Államok alkotmányának III. cikke alapján létrehozott igazságügyi hatóságnak.
81
A „Schrems II” ítéletben ugyanis a Bíróság úgy ítélte meg, hogy a hatékony bírói jogvédelmet nemcsak a rendes bíróságokhoz tartozó bíróság, hanem bármely más olyan „szerv” is biztosíthatja, amely az Alapjogi Charta 47. cikkében meghatározott garanciákkal lényegében egyenértékű garanciákat nyújt azon személyek számára, akiknek az adatait az Egyesült Államokba továbbították („Schrems II” ítélet, 197. pont).
82
A fenti megfontolások összességére tekintettel a harmadik jogalapot teljes egészében el kell utasítani.
3.
A második, az Alapjogi Charta 7. és 8. cikkének megsértésére alapított jogalapról
83
Második jogalapjával a felperes arra hivatkozik, hogy a Bizottság megsértette az Alapjogi Charta 7. és 8. cikkét, amennyiben a megtámadott határozatban úgy ítélte meg, hogy az Amerikai Egyesült Államok megfelelő védelmi szintet biztosít a személyes adatoknak ezen ország hírszerző ügynökségei általi tömeges gyűjtése tekintetében.
a)
A második jogalap tárgyáról
84
Meg kell jegyezni, hogy a keresetlevél 2. és 23. oldalán, valamint a válasz 4. oldalán a második jogalap megfogalmazásakor a felperes arra hivatkozik, hogy a Bizottság megsértette az Alapjogi Charta 7. és 8. cikkét, nemcsak a tömeges adatgyűjtés, hanem a személyes adatok tömeges megfigyelése tekintetében is. Mindazonáltal az említett jogalap megfogalmazását követő okfejtésekben a felperes érvelése kizárólag ezen adatok tömeges gyűjtésére összpontosítja.
85
A megtámadott határozat 46. oldalán található 250. lábjegyzetből, az említett határozat (141) preambulumbekezdéséből, valamint a felek által pervezető intézkedés keretében és a tárgyaláson feltett kérdésekre adott válaszokból kitűnik‑ anélkül, hogy a vita tárgyát képezné ‑, hogy:
–
az Egyesült Államokban a jelfelderítés nemzetbiztonsági célú gyűjtése, beleértve az Unióból továbbított adatokat is, kizárólag „célzott gyűjtés” formáját öltheti; ezt a kifejezést az Egyesült Államok joga nem határozza meg, de általában a hírszerző ügynökségek által a Foreign Intelligence Surveillance Act (a külföldi hírszerzői tevékenység megfigyelésről szóló törvény, a továbbiakban: FISA) és a 14086. elnöki rendelet alapján;
–
az Egyesült Államokon kívül végzett, egy konkrét személyre, kommunikációs fiókra vagy más meghatározott célpontra irányuló hírszerzési adatgyűjtés értendő alatta, beleértve azt az esetet is, amikor a személyes adatokat az Unióból az adatvédelmi kerethez tartozó szervezetek felé továbbítják, a jelfelderítés nemzetbiztonsági célú gyűjtése elsősorban célzott gyűjtés révén történik; márpedig, amennyiben a 14086. elnöki rendelet 2. szakasza b) pontjának iii. alpontja értelmében vett, validált hírszerzési prioritás részesítendő előnyben, amelyet célzott adatgyűjtéssel észszerűen nem lehet elérni, a hírszerző ügynökségek a személyes adatok „tömeges gyűjtését” végezhetik; a tömeges gyűjtést az Egyesült Államok joga a 14086. elnöki rendelet 4. szakaszának b) pontjában úgy határozza meg, mint a nagy mennyiségű jelfelderítés gyűjtése, amelyet műszaki vagy üzemeltetési megfontolások miatt megkülönböztető eszközök (például egyedi azonosítók vagy kiválasztási kritériumok használata) nélkül szereznek be; a tömeges gyűjtést az Executive Orders 13284 (2003), 13355 (2004) és 13470 (2008) (13284/2003, 13355/2004 és 13470/2008. sz. elnöki rendelet) által módosított, Executive Order 12333, United States Intelligence Activities (az Egyesült Államok hírszerzési tevékenységéről szóló 12333. sz. elnöki rendelet) szabályozza, amely számos biztosítékot és korlátozást ír elő;
–
a személyes adatok tekintetében végzett „tömeges megfigyelés”, amelyre a Bizottság a megtámadott határozat 250. lábjegyzetében korlátozások és biztosítékok nélkül végzett, általános és különbségtétel nélküli adatgyűjtésként hivatkozik, az Egyesült Államokban nem megengedett, és nem végezhető el sem a területén, sem azon kívül.
86
A fentiekből következik, hogy mivel a tömeges megfigyelés az Egyesült Államokban nem engedélyezett, és a tömeges gyűjtésre kizárólag az Egyesült Államokon kívül kerülhet sor, a jelen jogalap tárgya a jelen ügyben annak értékelésére korlátozódik, hogy a Bizottság megsértette‑e az Alapjogi Charta 7. és 8. cikkét az Egyesült Államok hírszerző ügynökségei által végzett, az Unióból az adatvédelmi kerethez tartozó szervezetek felé továbbított személyes adatok tömeges gyűjtése tekintetében, ami nem foglalja magában a személyes adatoknak az Egyesült Államok vagy a tagállamok hírszerző ügynökségei által adott esetben az Unió területén végzett gyűjtését.
b)
A második jogalap keretében felhozott első kifogásról, amely szerint a FISA 702. cikke alapján végzett hírszerzési tevékenységekre nem vonatkoznak a 14086. elnöki rendelet által előírt garanciák
87
A második jogalapjának keretében felhozott első kifogással a felperes arra hivatkozik, hogy a Bizottság megsértette az Alapjogi Charta 7. és 8. cikkét, mivel a megtámadott határozatban lényegében úgy ítélte meg, hogy az Amerikai Egyesült Államok az uniós jog által a Chartával összefüggésben értelmezett GDPR alapján biztosított védelmi szinttel lényegében azonos védelmi szintet biztosít, annak ellenére, hogy a FISA 702. cikke lehetőséget biztosít az Egyesült Államok hírszerző ügynökségei számára a más országok állampolgárai személyes adatainak tömegesen gyűjtésére.
88
Az Írország és az Amerikai Egyesült Államok által támogatott Bizottság vitatja a felperes érvelését.
89
Megjegyzendő, hogy a FISA 702. cikke nem teszi lehetővé a tömeges gyűjtést, hanem kizárólag a személyes adatok célzott gyűjtését.
90
Ebből következik, hogy mivel a FISA 702. cikke nem a személyes adatok tömeges gyűjtésére vonatkozik, az a jelen ügy szempontjából irreleváns.
91
Így a második jogalap keretben felhozott első kifogást el kell utasítani.
c)
A második jogalap keretében felhozott második kifogásról, amely szerint a 14086. elnöki rendelet a személyes adatok tömeges gyűjtését nem köti valamely igazságügyi vagy közigazgatási hatóság előzetes engedélyéhez
92
A második jogalapja keretében felhozott második kifogással a felperes arra hivatkozik, hogy a Bizottság megsértette az Alapjogi Charta 7. és 8. cikkét, mivel a megtámadott határozatban úgy ítélte meg, hogy az Amerikai Egyesült Államok az uniós jog által a Chartával összefüggésben értelmezett GDPR alapján biztosított védelmi szinttel lényegében azonos védelmi szintet biztosít, annak ellenére, hogy a 14086. elnöki rendelet nem írja elő az Egyesült Államok hírszerző ügynökségeinek arra vonatkozó kötelezettségét, hogy a személyes adatok tömeges gyűjtését megelőzően előzetes engedélyt szerezzenek be valamely igazságügyi vagy közigazgatási hatóságtól.
93
Az Írország és az Amerikai Egyesült Államok által támogatott Bizottság vitatja a felperes érvelését.
94
A jelen ügyben az iratokból kitűnik – anélkül, hogy ezt a felek vitatnák –, hogy az Egyesült Államok joga nem kötelezi a hírszerző ügynökségeket arra, hogy az Unióból az adatvédelmi kerethez tartozó szervezetek felé továbbított személyes adatok tömeges gyűjtését megelőzően igazságügyi vagy közigazgatási hatóságtól engedélyt szerezzenek be.
95
Azt kell megállapítani, hogy az előzetes engedély e hiánya érintheti‑e a megtámadott határozat jogszerűségét, amennyiben kérdésessé teheti az említett határozat 1. cikkében szereplő azon következtetést, amely szerint az Amerikai Egyesült Államok a személyes adatok védelmének megfelelő szintjét biztosítja.
96
Elöljáróban emlékeztetni kell arra, hogy – amint azt a Bíróság a „Schrems II” ítéletben megállapította – a megfelelőségi határozat jogszerűségének értékeléséhez meg kell vizsgálni, hogy a harmadik ország joga az alapvető jogok és szabadságok védelmének az Alapjogi Chartával összefüggésben értelmezett GDPR által az Unióban biztosított védelmi szinttel lényegében egyenértékű szintjét biztosítja‑e (lásd a fenti 19. pontot).
97
A felperes által a jelen kifogás alátámasztására felhozott négy érvet ebben az összefüggésben kell megvizsgálni.
1) A „Schrems II” ítéletre alapított, első érvről
98
Első érvével a felperes lényegében arra hivatkozik, hogy – a Bíróság által a „Schrems II” ítéletben többek között a bírósági felülvizsgálat bevezetésének hiánya miatt megsemmisített, a védelmi pajzsra vonatkozó megfelelőségi határozat esetéhez hasonlóan – a személyes adatoknak a jelen ügyben az Egyesült Államok hírszerző ügynökségei által végzett tömeges gyűjtése nem képezi bírósági felügyelet tárgyát, és azt nem övezik kellően egyértelmű és pontos szabályok.
99
Az Írország és az Amerikai Egyesült Államok által támogatott Bizottság vitatja a felperes érvét.
100
Meg kell jegyezni, hogy a „Schrems II” ítéletben a Bíróság megállapította, hogy az Alapjogi Charta 7. és 8. cikke az Unión belül megkövetelt védelmi szinthez tartozik, amelynek tiszteletben tartását a Bizottságnak meg kell állapítania, mielőtt a GDPR 45. cikkének (1) bekezdése alapján megfelelőségi határozatot fogadna el. A Bíróság szerint ugyanis valamely természetes személy személyes adatainak bármilyen kezelése, ideértve azoknak a megfelelőségi határozat keretében harmadik országba történő továbbítását is, érinti mind e személynek a magánélet tiszteletben tartásához való, a Charta 7. cikkében biztosított alapvető jogát, mind pedig az e Charta 8. cikkében szereplő, a személyes adatainak védelméhez való jogát („Schrems II” ítélet, 169–171. pont).
101
Mindazonáltal a Bíróság pontosította, hogy az Alapjogi Charta 7. és 8. cikkében biztosított jogok nem korlátlan jogosultságokat jelentenek, hanem azokat a társadalomban betöltött szerepük alapján kell megítélni („Schrems II” ítélet, 172. pont).
102
Így az Alapjogi Charta 52. cikke (1) bekezdésének megfelelően a Charta 7. és 8. cikkében elismert jogok és szabadságok gyakorlása csak a törvény által, és e jogok lényeges tartalmának tiszteletben tartásával korlátozható. Ezt meghaladóan, az arányosság elvére figyelemmel az említett jogok és szabadságok korlátozására csak akkor és annyiban kerülhet sor, ha az elengedhetetlen és ténylegesen az Unió által elismert általános érdekű célkitűzéseket vagy mások jogainak és szabadságainak védelmét szolgálja („Schrems II” ítélet, 174. pont).
103
Ebben az összefüggésben a Bíróság megállapította, hogy a módosított 12333. elnöki rendelet által az Egyesült Államok hírszerző ügynökségei számára biztosított azon lehetőség, hogy anélkül férjenek hozzá az Unióból továbbított személyes adatokhoz, hogy e hozzáférés bármiféle bírósági felügyelet alá tartozna, nem teszi lehetővé a személyes adatok hírszerző ügynökségek által végzett tömeges gyűjtésének kellően egyértelmű és pontos körülhatárolását. Így úgy ítélte meg, hogy az említett elnöki rendelet nem felel meg az uniós jogban az arányosság elvéhez társított minimumkövetelményeknek, és hogy az e rendelet alapján végrehajtott megfigyelési programok nem a feltétlenül szükséges mértékre korlátozódnak („Schrems II” ítélet, 183. és 184. pont).
104
Pontosítani kell a „Schrems II” ítélet 183. pontjában szereplő „bármiféle bírósági felügyelet” kifejezésnek tulajdonítandó értelmezést.
105
E tekintetben megjegyzendő, hogy a „Schrems II” ítéletben, különösen az említett ítélet 183. pontjában, illetve a „bármiféle bírósági felügyelet” kifejezésben semmi nem utal arra, hogy a személyes adatok tömeges gyűjtését független hatóság által kiadott előzetes engedélyhez kellene kötni. Éppen ellenkezőleg, az említett kifejezésnek és ezen ítélet 186–197. pontjának együttes olvasatából az tűnik ki, hogy az ilyen gyűjtést engedélyező határozatnak legalábbis utólagos bírósági felülvizsgálat tárgyát kell képeznie.
106
A jelen ügyben, amint az a fenti 24–82. pontban megállapításra került, a 14086. elnöki rendelet és a legfőbb ügyészi rendelet szerint az Egyesült Államok hírszerző ügynökségei által végzett jelfelderítési tevékenységek – ideértve azt az esetet is, amikor ez utóbbiak személyes adatok tömeges gyűjtését végzik – a DPRC utólagos bírósági felügyelete alá tartoznak, amelynek határozatai véglegesek és kötelező erejűek, és mind az Egyesült Államok kormányára, mind pedig az említett ügynökségekre nézve kötelezőek. Következésképpen a felperes állításával ellentétben nem állapítható meg, hogy a személyes adatoknak a hírszerző ügynökségek által a megtámadott határozat alapján végzett tömeges gyűjtése e tekintetben nem felel meg a „Schrems II” ítéletből eredő követelményeknek.
107
Ezenfelül elsősorban emlékeztetni kell arra, hogy – amint az a megtámadott határozat (141) preambulumbekezdéséből kitűnik, anélkül hogy azt a felperes vitatná – a 14086. elnöki rendelet megállapítja, hogy a hírszerző ügynökségeknek a személyes adatok célzott gyűjtését kell előnyben részesíteniük. Így a tömeges gyűjtés csak egy validált hírszerzési prioritás előmozdítása érdekében engedélyezett, amennyiben az ahhoz szükséges információk célzott gyűjtéssel észszerűen nem szerezhetők be. E tekintetben meg kell jegyezni, hogy az említett határozat (135) preambulumbekezdéséből kitűnik, hogy a validált hírszerzési prioritásokat egy olyan különleges eljárás keretében határozzák meg, amelynek célja az alkalmazandó jogi követelményeknek, különösen a magánéletre és a polgári szabadságjogokra vonatkozó követelményeknek való megfelelés biztosítása. Konkrétabban, a hírszerzési prioritásokat a nemzeti hírszerzési igazgató dolgozza ki, és azokat jóváhagyásra benyújtja az Egyesült Államok elnökének. Márpedig az említett igazgatónak, mielőtt hírszerzési prioritásokat javasolna az Egyesült Államok elnökének, minden egyes prioritás tekintetében értékelést kell beszereznie a CLPO‑tól. Ezen értékelés keretében a CLPO‑nak meg kell határoznia, hogy a szóban forgó prioritás előmozdít‑e a 14086. elnöki rendeletben felsorolt egy vagy több jogszerű célt, hogy azt nem tiltott jelfelderítési adatgyűjtésre szánták‑e, és hogy azt követően állapították‑e meg, hogy megfelelően figyelembe vették valamennyi érintett személy magánéletével és polgári szabadságjogaival kapcsolatos szempontokat, függetlenül azok állampolgárságától és tartózkodási helyétől.
108
Másodsorban megjegyzendő, hogy – amint azt a megtámadott határozat (127)–(131), (134) és (135) preambulumbekezdése hangsúlyozza, anélkül hogy azt a felperes vitatná – a 14086. elnöki rendelet olyan alapvető követelményeket határoz meg, amelyek valamennyi jelfelderítési tevékenységre vonatkoznak, beleértve azt az esetet is, amikor e tevékenységeket személyes adatok tömeges gyűjtése útján végzik.
109
Először is, az jelfelderítési tevékenységeknek törvényen vagy elnöki felhatalmazáson kell alapulniuk, és azokat az Egyesült Államok jogával, különösen alkotmányával összhangban kell végezni.
110
Másodszor, a jelfelderítési tevékenységekre csak akkor kerülhet sor, ha valamennyi releváns tényező észszerű értékelése alapján megállapítást nyert, hogy a tevékenységek egy validált hírszerzési prioritás követéséhez szükségesek.
111
Harmadszor, a jelfelderítési tevékenységeket az engedélyezett hírszerzési prioritással arányos mértékben és módon kell végezni annak érdekében, hogy megfelelő egyensúlyt teremtsenek a hírszerzési prioritás fontossága és az érintett személyek magánéletére és polgári szabadságaira gyakorolt hatás között, állampolgárságuktól és tartózkodási helyüktől függetlenül.
112
Negyedszer, a 14086. elnöki rendelet felsorolja azokat az általános célkitűzéseket, amelyeket jelfelderítési tevékenységek nem követhetnek. Ez magában foglalja a kritika, az eltérő vélemény, vagy az eszmék vagy politikai vélemények egyének vagy sajtó általi szabad kifejezésének megakadályozását, a személyek etnikai hovatartozásuk, fajuk, nemük, nemi identitásuk, szexuális irányultságuk vagy vallásuk alapján történő hátrányos megkülönböztetését, vagy az egyesült államokbeli vállalkozások versenyelőnyhöz juttatását.
113
Harmadsorban, a megtámadott határozat (141) preambulumbekezdéséből kitűnik – anélkül, hogy azt a felperes vitatná –, hogy a 14086. elnöki rendelet a személyes adatok tömeges gyűjtése esetén alkalmazandó különleges biztosítékokat állapít meg.
114
Mindenekelőtt a 14086. elnöki rendelet előírja, hogy módszereket és technikai intézkedéseket kell alkalmazni annak érdekében, hogy az összegyűjtött adatok csak a validált hírszerzési prioritás követéséhez szükségesre korlátozódjanak, ugyanakkor minimálisra kell csökkenteni a nem releváns információk gyűjtését.
115
Ezt követően a 14086. elnöki rendelet rámutat, hogy a személyes adatok tömeges gyűjtésére csak hat konkrét cél (a továbbiakban: a tömeges adatgyűjtés konkrét céljai), azaz a terrorizmus, a kémkedés, a tömegpusztító fegyverek, a kiberfenyegetések, az Egyesült Államok személyi állománya vagy szövetségesei elleni fenyegetések és a nemzetközi bűnözés elleni védelem érdekében kerülhet sor. Lehetővé teszi az Egyesült Államok elnöke számára, hogy naprakésszé tegye az említett konkrét célkitűzéseket, ha olyan új nemzetbiztonsági követelmények, például új vagy fokozott nemzetbiztonsági fenyegetések merülnek fel, amelyek esetében úgy véli, hogy a személyes adatok tömeges gyűjtése alkalmazható. E frissítéseket főszabály szerint a nemzeti hírszerzési igazgatónak nyilvánosságra kell hoznia, kivéve ha az Egyesült Államok elnöke úgy ítéli meg, hogy ez önmagában veszélyt jelentene ezen ország nemzetbiztonságára nézve.
116
Végül a 14086. elnöki rendelet előírja, hogy a tömegesen szerzett jelfelderítési adatok lekérdezésére csak akkor kerülhet sor, ha a tömeges adatgyűjtés konkrét céljai keretében az egy validált hírszerzési prioritás követéséhez szükséges, valamint csak azon szabályzatokkal és eljárásokkal összhangban, amelyek megfelelően figyelembe veszik a lekérdezéseknek az összes személy magánéletére és polgári szabadságaira gyakorolt hatását, állampolgárságuktól vagy tartózkodási helyüktől függetlenül.
117
E körülmények között nem állítható érvényesen, hogy a tömeges adatgyűjtés végrehajtása nem kellően egyértelműen és pontosan körülhatárolt.
118
E megfontolások összességére tekintettel a jelen érvet el kell utasítani.
2) A 2020. október 6‑i La Quadrature du Net és társai ítéletre (C‑511/18, C‑512/18 és C‑520/18) alapított, második érvről
119
Második érvével a felperes kifejezetten a 2020. október 6‑iLa Quadrature du Net és társai ítélet (C‑511/18, C‑512/18 és C‑520/18, EU:C:2020:791) 189. pontjára hivatkozva azt állítja, hogy a Bíróság megállapította a hírszerző ügynökségek azon kötelezettségét, hogy a csatlakozási adatoknak az azokat birtokló szolgáltatóktól való gyűjtését megelőzően igazságügyi vagy közigazgatási hatóság engedélyét kell beszerezniük. Álláspontja szerint az Egyesült Államok hírszerző ügynökségei által az Unióból továbbított személyes adatok tömeges gyűjtése a jelen ügyben nem kötött előzetes engedélyhez.
120
Az Írország és az Amerikai Egyesült Államok által támogatott Bizottság vitatja a felperes érvét.
121
Meg kell állapítani, hogy a 2020. október 6‑iLa Quadrature du Net és társai ítéletben (C‑511/18, C‑512/18 és C‑520/18, EU:C:2020:791) a Bíróság többek között megállapította, hogy a 2009. november 25‑i 2009/136/EK európai parlamenti és tanácsi irányelvvel (HL 2009. L 337., 11. o.; helyesbítés: HL 2013. L 241., 9. o.) módosított, az elektronikus hírközlési ágazatban a személyes adatok kezeléséről, feldolgozásáról [helyesen: a személyes adatok kezeléséről] és a magánélet védelméről szóló, 2002. július 12‑i 2002/58/EK európai parlamenti és tanácsi irányelv (elektronikus hírközlési adatvédelmi irányelv) (HL 2002. L 201., 37. o.; magyar nyelvű különkiadás 13. fejezet, 29. kötet, 514. o.) 15. cikkének a Charta 7., 8. és 11. cikkével, valamint 52. cikkének (1) bekezdésével összefüggésben értelmezett (1) bekezdését úgy kell értelmezni, hogy azzal nem ellentétes az olyan nemzeti szabályozás, amely az elektronikus hírközlési szolgáltatások nyújtóit egyrészt többek között a forgalmi és helymeghatározó adatok automatizált elemzésére és valós idejű gyűjtésére, másrészt a használt végberendezések helymeghatározására vonatkozó műszaki adatok valós idejű gyűjtésére kötelezi, amennyiben a gyűjtés azokra a személyekre korlátozódik, akik tekintetében alapos okkal feltételezhető, hogy valamilyen módon terrorcselekményekben működnek közre, és amennyiben bíróság, illetve független közigazgatási szerv előzetes ellenőrzése alá tartozik (az említett ítélet 192. pontja).
122
Ebből következik, hogy a 2020. október 6‑iLa Quadrature du Net és társai ítélet (C‑511/18, C‑512/18 és C‑520/18, EU:C:2020:791) alapjául szolgáló ügyben szóban forgó eset eltér a jelen ügyben szóban forgó esettől. A jelen ügyben nem annak szükségességéről van szó, hogy a terrorcselekményekben való részvétellel gyanúsított felhasználók forgalmi és helymeghatározó adatainak az elektronikus hírközlési szolgáltatók általi gyűjtését igazságügyi vagy közigazgatási hatóság előzetes ellenőrzésétől kell‑e függővé tenni, hanem annak értékeléséről, hogy az, hogy az Egyesült Államok joga nem írja elő a hírszerző ügynökségek azon kötelezettségét, hogy az ezen országba továbbított személyes adatok tömeges gyűjtését megelőzően igazságügyi vagy közigazgatási hatóság előzetes engedélyét kérjék, kérdésessé teszi‑e a Bizottság által a megtámadott határozatban tett megfelelőségi megállapítás megalapozottságát.
123
E körülmények között meg kell állapítani, hogy a 2020. október 6‑iLa Quadrature du Net és társai ítéletre (C‑511/18, C‑512/18 és C‑520/18, EU:C:2020:791) való hivatkozás a jelen ügy szempontjából irreleváns.
124
E következtetést nem teheti kérdésessé a 2024. április 30‑iLa Quadrature du Net és társai (Személyes adatok és a hamisítás elleni küzdelem) ítélet (C‑470/21, EU:C:2024:370) figyelembevétele, amellyel kapcsolatban a jelen ügyben részt vevő feleket pervezető intézkedés útján felkérték, hogy nyilatkozzanak.
125
A 2024. április 30‑i La Quadrature du Net és társai (Személyes adatok és a hamisítás elleni küzdelem) ítélet (C‑470/21, EU:C:2024:370) alapjául szolgáló ügy a szerzői és szomszédos jogoknak az interneten elkövetett jogsértésekkel szembeni védelméért felelős nemzeti hatóság számára a hamisítás elleni küzdelem érdekében biztosított, az elektronikus hírközlési szolgáltatás nyújtója által megőrzött, az IP‑címnek megfelelő, személyazonosságra vonatkozó adatokhoz való hozzáférés jogszerűségére vonatkozott. Közelebbről, e hozzáférést a szerzői vagy szomszédos jogokat sértő tevékenység folytatásával gyanúsítható IP‑cím jogosult azonosításának célja indokolta, amennyiben védett műveket jogellenesen tett hozzáférhetővé az interneten, hogy azokat más személyek letölthessék. E körülmények között a Bíróság megállapította, hogy bíróság vagy független közigazgatási szerv általi előzetes felülvizsgálat követelménye:
–
nem vonatkozik arra az esetre, ha az illetékes nemzeti hatóság kizárólag az érintett felhasználó azonosítása céljából fért hozzá valamely személy IP‑címnek megfelelő, személyazonosságra vonatkozó adataihoz, mégpedig anélkül, hogy ezek az adatok összekapcsolhatók lennének a lebonyolított közlésekre vonatkozó információkkal, mivel az ilyen hozzáféréssel járó beavatkozás nem minősíthető súlyosnak (az említett ítélet 133. és 134. pontja);
–
vonatkozik arra az esetre, azt megelőző jelleggel, hogy az illetékes nemzeti hatóság összekapcsolná valamely személy IP‑címnek megfelelő személyazonossági adatait az interneten annak érdekében jogellenesen hozzáférhetővé tett műre vonatkozó fájllal, hogy azt más személyek letölthessék, és azt megelőzően, hogy azt megállapító levelet küldött volna az érintettnek, hogy e személy jogellenes cselekményt követett el (lásd ebben az értelemben: az említett ítélet 141. pontja).
126
Ebből következik, hogy a 2024. április 30‑iLa Quadrature du Net és társai (Személyes adatok és a hamisítás elleni küzdelem) ítélet (C‑470/21, EU:C:2024:370) alapjául szolgáló ügy a nemzeti hatóságoknak valamely IP‑címhez a hamisítás elleni küzdelem céljából való hozzáférésére vonatkozik, és hogy ez a tárgy különbözik az Unióból továbbított személyes adatok hírszerző ügynökségek általi tömeges gyűjtésétől. Ennélfogva az említett ítélet alapján nem állapítható meg, hogy az Unióból továbbított személyes adatoknak az Egyesült Államok hírszerző ügynökségei általi tömeges gyűjtéséhez előzetes engedélyre lenne szükség.
127
Így a jelen érvet el kell tehát utasítani.
3) Az EJEB 2021. május 25‑i Big Brother Watch és társai kontra Egyesült Királyság ítéletére (CE:ECHR:2021:0525JUD005817013) alapított, harmadik érvről
128
Harmadik érvével a felperes lényegében arra hivatkozik, hogy az EJEB a 2021. május 25‑i Big Brother Watch és társai kontra Egyesült Királyság ítéletben (CE:ECHR:2021:0525JUD005817013, a továbbiakban: Big Brother Watch ítélet) megállapította, hogy a személyes adatok tömeges lehallgatására irányuló tevékenységekhez független hatóság előzetes engedélye szükséges, amint a megfigyelési művelet céljait és terjedelmét meghatározták. Álláspontja szerint az Unióból továbbított személyes adatoknak az Egyesült Államok hírszerző ügynökségei általi tömeges gyűjtéséhez a jelen ügyben nem szükséges előzetes engedély.
129
Az Írország és az Amerikai Egyesült Államok által támogatott Bizottság vitatja a felperes érvét.
130
Megjegyzendő, hogy a Big Brother Watch ítélet alapjául szolgáló ügy különösen azon brit titkos megfigyelési rendszernek az EJEE 8. cikkével való összeegyeztethetőségére vonatkozott, amely lehetővé tette a hírszerző ügynökségek számára, hogy tömegesen megfigyeljék az elektronikus hírközléseket és a kapcsolódó kommunikációs adatokat, vagyis a főszabály szerint a Brit‑szigeteken kívül megvalósított, lehallgatott kommunikációkhoz kapcsolódó forgalmi adatokat.
131
Ezenkívül, amint az a fenti 29. pontban hivatkozott ítélkezési gyakorlatból kitűnik, mivel az EJEE 8. cikke az Alapjogi Charta 7. cikkéhez hasonlóan a magán‑ és a családi élet tiszteletben tartásához való jogot rögzíti, az EJEB‑nek az EJEE 8. cikkére vonatkozó ítélkezési gyakorlatát figyelembe kell venni a Charta 7. cikke hatályának értelmezése során. Ebből következik, hogy amennyiben a Törvényszék úgy ítéli meg, hogy a Big Brother Watch ítélet releváns a jelen ügy szempontjából, az EJEB által ebben az ítéletben az EJEE 8. cikkének hatályát illetően kifejtett megfontolásokat figyelembe kell venni a Charta 7. cikke hatályának értelmezése során.
132
E tekintetben emlékeztetni kell arra, hogy a Big Brother Watch ítéletben az EJEB a főszabály szerint a Brit‑szigeteken kívül megvalósított elektronikus hírközlések és kapcsolódó kommunikációs adatok brit hírszerző szolgálatok általi tömeges lehallgatásának jogszerűségéről határozott.
133
Márpedig, amint arra a jelen ügy felei a pervezető intézkedésre adott válaszukban és a tárgyaláson rámutattak, az EJEB által a Big Brother Watch ítéletben kifejtettek a jelen ügy szempontjából relevánsak, mivel úgy tűnik, hogy a személyes adatoknak az említett ítélet alapjául szolgáló ügyben szóban forgó tömeges lehallgatása magában foglalja a megtámadott határozat tárgyát képező tömeges adatgyűjtést is.
134
Először is megjegyzendő, hogy míg a Big Brother Watch ítélet francia nyelvi változata a „interception en masse” kifejezést, addig az angol változat a „bulk interception” kifejezést használja, amely a francia „interception en vrac” kifejezésnek pontosabban megfelel.
135
Másodszor, a célzott lehallgatással ellentétben az EJEB a Big Brother Watch ítéletben szóban forgó lehallgatást nem meghatározott személyekre vonatkozó megfigyelésként határozta meg, ami következésképpen nagyszámú személyt és kapcsolódó kommunikációs adatot érinthet, és így igen széles hatókörrel bírhat, mivel többek között lehetővé tette a külföldi hírszerzés keretében történő információgyűjtést és az ismert vagy ismeretlen szereplők jelentette új fenyegetések felderítését. Ráadásul, az említett Bíróság szerint a nemzetbiztonság védelméhez kapcsolódó célja miatt a tömeges lehallgatást az illetékes hatóságok általában titokban végzik, ami azt jelenti, hogy a rendszer működésére vonatkozó információkat nem, vagy alig hozzák nyilvánosságra (lásd ebben az értelemben: Big Brother Watch ítélet, 322. §).
136
Harmadszor, a Big Brother Watch ítéletben az EJEB úgy ítélte meg, hogy bár a tömeges lehallgatási rendszerek nem mindig ugyanazt a modellt követik, és végrehajtásuk módja változhat, anélkül hogy mindig szigorú időrendi sorrendet tartanának, a tömeges lehallgatás egy lépcsőzetesen felépülő folyamat, amely lényegében a következő négy szakaszból áll (a továbbiakban: a lehallgatás szakaszai):
a)
nagyszámú személy elektronikus kommunikációjának és a kapcsolódó kommunikációs adatoknak a tömeges lehallgatása és kezdeti megőrzése;
b)
konkrét szelektorok alkalmazása a megőrzött kommunikáció és a kapcsolódó kommunikációs adatok tekintetében, a hírszerző szolgálatok számára érdekesnek bizonyuló kommunikációk azonosítása érdekében;
c)
a kiválasztott kommunikáció és a kapcsolódó kommunikációs adatok elemzők általi vizsgálata;
d)
az adatok ezt követő megőrzése és felhasználása hírszerzési jelentésbe foglalás, más belföldi hírszerző szolgálatokkal való közlés vagy külföldi hírszerző szolgálatoknak való továbbítás céljából (lásd ebben az értelemben: Big Brother Watch ítélet, 325–329. §).
137
Ebből következik, hogy a megtámadott határozat tárgyát képezőhöz hasonló, a személyes adatok tömeges gyűjtésére irányuló művelet az EJEB által a Big Brother Watch ítéletben meghatározott lehallgatás első szakaszának körébe tartozik, mivel nagyszámú személy Unióból továbbított személyes adatainak a nemzetbiztonság védelme céljából történő gyűjtéséből áll.
138
Ebben az összefüggésben a megtámadott határozathoz hasonló, a GDPR 45. cikkének (3) bekezdése alapján elfogadott megfelelőségi határozat jogszerűségének értékelése keretében le kell vonni a Big Brother Watch ítéletből eredő következtetéseket.
139
E tekintetben elsősorban megjegyzendő, hogy a Big Brother Watch ítéletben az EJEB pontosította, hogy az EJEE 8. cikke nem tiltja a nemzetbiztonságnak vagy más alapvető nemzeti érdekeknek a súlyos külső fenyegetésekkel szembeni védelme érdekében történő tömeges lehallgatást, és hogy az államok széles mérlegelési mozgástérrel rendelkeznek a lehallgatási rendszer számukra szükséges típusának meghatározását illetően (Big Brother Watch ítélet, 347. §).
140
Másodsorban, az EJEB megállapította, hogy a személyes adatok tömeges lehallgatását több, végponttól végpontig terjedő biztosítéknak kell öveznie, amelyek együttvéve minden tömeges lehallgatási rendszer sarokkövét képezik, nevezetesen:
–
valamely független hatóság engedélyének megszerzése, amint a szóban forgó megfigyelési művelet tárgya és terjedelme meghatározásra került (Big Brother Watch ítélet, 350. §);
–
felügyeleti rendszer és utólagos független bírósági felülvizsgálat létrehozása (lásd ebben az értelemben: Big Brother Watch ítélet, 336–347. §);
–
a lehallgatás egyes szakaszaiban hozott valamennyi intézkedés szükségességét és arányosságát biztosító jogi szabályok előírása (lásd ebben az értelemben: Big Brother Watch ítélet, 350. §); e tekintetben az említett bíróság emlékeztetett arra, hogy az EJEE 8. cikkében biztosított jogokba való beavatkozás e cikk (2) bekezdése alapján csak akkor igazolható, ha azt törvény írja elő, az e bekezdésben felsorolt egy vagy több jogszerű célra irányul, és egy demokratikus társadalomban e célok eléréséhez szükséges; márpedig a titkos megfigyelés területén az elfogadott intézkedések előreláthatósága azt jelenti, hogy a belső jog kellően egyértelműen, mindenki számára érthető módon megjelöli, hogy a közhatalom milyen körülmények között és milyen feltételek mellett jogosult ilyen intézkedésekhez folyamodni (Big Brother Watch ítélet, 332. és 333. §).
141
Harmadsorban, az EJEB arra hivatkozott, hogy bár az EJEE 8. cikke a lehallgatás valamennyi szakaszára alkalmazandó, a garanciák előírásának szükségessége a folyamat előrehaladtával, következésképpen pedig a magánélet tiszteletben tartásához való jog sérelme mértékének erősödésével egyre nő. Így álláspontja szerint a folyamat végén, amikor az egy adott személyre vonatkozó információkat kielemzik, vagy a kommunikációk tartalmát elemző vizsgálja, a garanciák megléte minden addiginál nagyobb mértékben szükséges (lásd ebben az értelemben: Big Brother Watch ítélet, 330–331. §);
142
Negyedsorban, az EJEB úgy ítélte meg, hogy mivel a gyakorlatban nem megvalósítható, hogy a hírszerző ügynökségek által a kommunikációk kiszűréséhez használt valamennyi szelektort belefoglalják az előzetes engedélybe, ezen engedély hatályát korlátozni kell annak érdekében, hogy az legalább az alkalmazandó szelektortípusokra vagy ‑kategóriákra kiterjedjen (Big Brother Watch ítélet, 354. §).
143
A jelen ügyben egyrészt emlékeztetni kell arra, hogy – amint azt a Bíróság a „Schrems I” és a „Schrems II” ítéletben megállapította – a megfelelőségi határozat keretében a Bizottságnak nem arról kell meggyőződnie, hogy a harmadik ország releváns rendelkezései megegyeznek az Unióban hatályban lévő rendelkezésekkel, hanem arról, hogy azok lényegében egyenértékűek (lásd a fenti 19. és 20. pontot).
144
Másrészt meg kell állapítani, hogy mivel a személyes adatoknak az Egyesült Államok hírszerző ügynökségei által végzett, a jelen jogvita tárgyát képező tömeges gyűjtése a lehallgatásnak az EJEB által a Big Brother Watch ítéletben meghatározott első szakasza keretében végzett adatkifürkészéshez hasonlítható, a tömeges adatgyűjtés e konkrét szakaszára vonatkozóan korlátozottabb a hírszerző ügynökségek diszkrecionális jogkörét korlátozó garanciák előírásának szükségessége, tekintettel arra az összefüggésre, amelyben a lehallgatásra sor kerül. A jelen ügyben ugyanis kizárólag a személyes adatoknak a hírszerző ügynökségek általi kezdeti tömeges lehallgatásáról van szó, kizárva a későbbi tevékenységeket, amelyek nem képezik e kereset tárgyát, és amelyek adott esetben konkrét szelektorok alkalmazásából, a gyűjtött adatok elemzéséből, valamint azok felhasználásából, illetve későbbi továbbításából állhatnak.
145
Ebből következik, hogy az előzetes engedély előírása nem az egyetlen olyan biztosíték, amelynek a személyes adatok tömeges lehallgatását öveznie kell, hanem egyike azon elemeknek, amelyek együttvéve valamennyi tömeges lehallgatási rendszer sarokkövét képezik. E tekintetben emlékeztetni kell arra, hogy az Egyesült Államok hatályos joga olyan jogi szabályokat ír elő, amelyek kellően egyértelműen és pontosan meghatározzák a személyes adatok tömeges gyűjtésének az Egyesült Államok hírszerző ügynökségei általi végrehajtását (lásd a fenti 107–116. pontot), és az adataik továbbításával érintett személyek számára biztosítja a DPRC előtti hatékony bírósági jogorvoslathoz való jogot (lásd a fenti 33–63. pontot). Ezenkívül a megtámadott határozat (162)–(169) preambulumbekezdése jelzi – anélkül, hogy azt a felperes vitatná –, hogy a hírszerző ügynökségek által végzett hírszerzési tevékenységeket a PCLOB felügyeli, amely – amint az a fenti 54. pontból kitűnik – az alapító okirata szerint független ügynökségként jött létre. Ugyanakkor az említett tevékenységeket elsősorban az egyes hírszerző ügynökségeken belül az említett jog felügyeletéért és tiszteletben tartásáért felelős jogi tisztviselők és megbízottak, másodsorban az egyes hírszerző ügynökségek által végzett külföldi hírszerzési tevékenységek felügyeletével megbízott független főellenőr, harmadsorban az Intelligence Oversight Board (hírszerzési felügyeleti testület, Egyesült Államok), a President’s Intelligence Advisory Board (elnöki hírszerzési tanácsadó testület, Egyesült Államok) keretében létrejött és annak felügyeletével megbízott testület felügyeli, hogy az Egyesült Államok hatóságai a jogszabályokat tiszteletben tartják‑e, negyedsorban pedig az Egyesült Államok kongresszusán belül létrehozott különbizottságok felügyelik, amelyek a külföldön végzett hírszerzési tevékenységek tekintetében rendelkeznek felügyeleti feladatkörökkel.
146
E megfontolásokra tekintettel nem vonható le az a következtetés, hogy az a tény, hogy az Unióból továbbított személyes adatoknak az Egyesült Államok hírszerző ügynökségei általi kezdeti tömeges gyűjtése tekintetében nem írtak elő előzetes engedélyt, elegendő annak megállapításához, hogy az Egyesült Államok joga a Big Brother Watch ítéletből levont tanulságok fényében nem nyújt az uniós jogban előírtakkal lényegében egyenértékű garanciákat.
147
Így a jelen érvet el kell tehát utasítani.
4) Az európai adatvédelmi biztos 5/2023. sz. véleményére alapított, negyedik érvről
148
Negyedik érvével a felperes arra hivatkozik, hogy a személyes adatoknak az EU–USA adatvédelmi keret szerinti megfelelő védelméről szóló bizottsági végrehajtási határozat tervezetéről szóló, 2023. február 28‑i 5/2023. sz. véleményében (a továbbiakban: 5/2023. sz. vélemény) az Európai Adatvédelmi Testület (a továbbiakban: EDPB) hangsúlyozta annak fontosságát, hogy a személyes adatok tömeges gyűjtését előzetes engedélyhez kössék. Álláspontja szerint az Unióból továbbított személyes adatoknak az Egyesült Államok hírszerző ügynökségei általi tömeges gyűjtése a jelen ügyben nem kötött előzetes engedélyhez.
149
Az Írország és az Amerikai Egyesült Államok által támogatott Bizottság vitatja a felperes érvét.
150
Meg kell jegyezni, hogy az 5/2023. sz. véleményt az EDPB a GDPR 70. cikke (1) bekezdésének s) pontja alapján bocsátotta ki. E rendelkezés előírja, hogy az EDPB saját kezdeményezésére vagy a Bizottság kérésére véleményt bocsát ki a Bizottság számára a valamely harmadik országban biztosított védelmi szint megfelelőségének megítéléséhez.
151
Márpedig, amikor az EDPB a GDPR 70. cikkének (1) bekezdése alapján jár el, csupán tanácsadói feladatot lát el olyan vélemények, iránymutatások, ajánlások és legjobb gyakorlatok kidolgozása révén, amelyek nem váltanak ki kötelező joghatásokat (lásd ebben az értelemben: a Bíróság elnökének 2023. november 29‑ieurópai adatvédelmi biztos kontra ESZT végzése, C‑413/23 P, nem tették közzé, EU:C:2023:1036, 11. pont). Így e vélemény nem köti a Bizottságot, hanem szabadon értékelheti, hogy ezen ország joga összességében véve a személyes adatok tömeges gyűjtése tekintetében az uniós jog által biztosított védelmi szinttel lényegében egyenértékű védelmi szintet biztosít‑e. Mindenesetre meg kell állapítani, hogy az említett véleményben az EDPB nem fejtette ki, hogy a személyes adatok tömeges gyűjtésére vonatkozó előzetes felülvizsgálat bevezetésének hiánya szükségképpen aláásná a személyes adatok adatvédelmi keret szerinti védelmi szintje megfelelőségének Bizottság általi pozitív értékelését. Épp ellenkezőleg, ugyanezen vélemény 165. pontjában megjegyezte, hogy ezen értékeléshez az ügy valamennyi körülményét figyelembe kell venni, különösen pedig azt, hogy az Amerikai Egyesült Államok utólagos bírósági felülvizsgálatot és jogorvoslati mechanizmust vezetett‑e be.
152
Ebben az összefüggésben az 5/2023. sz. vélemény nem teszi lehetővé annak megállapítását, hogy az Unióból továbbított személyes adatoknak az Egyesült Államok hírszerző ügynökségei általi tömeges gyűjtését előzetes engedélyhez kell kötni, és hogy az ezen ország által nyújtott védelem lényegében nem egyenértékű az uniós jog által biztosított védelemmel.
153
Így a jelen érvet, ennélfogva pedig a második jogalap keretében felhozott második kifogást teljes egészében el kell utasítani.
d)
A második jogalap keretében felhozott harmadik kifogásról, amely szerint a 14086. elnöki rendelet felhatalmazza az Egyesült Államok elnökét arra, hogy a tömeges gyűjtés konkrét céljainak titkos naprakésszé tételét engedélyezze
154
A második jogalap keretében felhozott harmadik kifogásával a felperes arra hivatkozik, hogy a Bizottság megsértette az Alapjogi Charta 7. és 8. cikkét, amikor a megtámadott határozatban úgy ítélte meg, hogy az Amerikai Egyesült Államok az uniós jog által a Chartával összefüggésben értelmezett GDPR alapján biztosított védelmi szinttel lényegében egyenértékű védelmi szintet biztosít, annak ellenére, hogy a 14086. elnöki rendelet nemzetbiztonsági okokból lehetőséget biztosít az Egyesült Államok elnökének arra, hogy engedélyezze a tömeges gyűjtés konkrét céljainak titkos naprakésszé tételét. Közelebbről úgy véli, hogy az EJEB 2015. december 4‑i Roman Zakharov kontra Oroszország ítéletében (CE:ECHR:2015:1204JUD004714306, a továbbiakban: Zakharov ítélet) megállapítottakkal ellentétben az elnök számára e konkrét célok naprakésszé tételére vonatkozó hatáskör biztosítása nem teszi lehetővé, hogy a személyes adatok továbbításával érintett személyek pontosan azonosítsák azt a jogi keretet, amelyben ezen adatokat az Egyesült Államokban kezelik.
155
Az Írország és az Amerikai Egyesült Államok által támogatott Bizottság vitatja a felperes érvelését.
156
Megjegyzendő, hogy a Zakharov ítéletben az EJEB úgy ítélte meg, hogy a magán‑ és családi élet tiszteletben tartásához való alapvető jogba való beavatkozás csak akkor igazolható az EJEE 8. cikkének (2) bekezdése alapján, ha azt törvény írja elő (Zakharov ítélet, 227. §). Márpedig az említett Bíróság szerint a „törvényben meghatározott” kifejezés azt jelenti, hogy a vitatott intézkedésnek az érintett személy számára hozzáférhetőnek, hatásait illetően pedig előre láthatónak kell lennie (Zakharov ítélet, 228. §). A kommunikáció lehallgatása terén az „előreláthatóság” nem azt jelenti, hogy az egyénnek előre kell tudnia, hogy a hatóságok várhatóan mikor hallgathatják le a kommunikációját, hanem lényegében azt, hogy a magán‑ és családi élet tiszteletben tartásához való joga korlátozásának egyértelmű szabályokból kell következnie (Zakharov ítélet, 229. §).
157
Emlékeztetni kell továbbá arra, hogy a fenti 29. pontban hivatkozott ítélkezési gyakorlat értelmében, mivel az EJEE 8. cikke az Alapjogi Charta 7. cikkéhez hasonlóan a magán‑ és a családi élet tiszteletben tartásához való jogot rögzíti, az EJEB‑nek az EJEE 8. cikkére vonatkozó ítélkezési gyakorlatát, így a Zakharov‑ítéletet is figyelembe kell venni – mint a jelen ügyben is – a Charta 7. cikke hatályának értelmezése során.
158
E tekintetben a 14086. elnöki rendelet 2. szakasza c) pontjának ii. alpontjából kitűnik, hogy az Egyesült Államok elnökének biztosított azon lehetőség, hogy a tömeges gyűjtés konkrét céljainak jegyzékét frissítse, nem korlátlan, hanem kizárólag azokra az esetekre korlátozódik, amikor e naprakésszé tételt olyan új nemzetbiztonsági követelmények felmerülése teszi szükségessé, mint a nemzetbiztonságot fenyegető olyan új veszélyek vagy fokozott fenyegetések, amelyek esetében a személyes adatok tömeges gyűjtése alkalmazható. E rendelkezésből ezt meghaladóan kitűnik, amit az Amerikai Egyesült Államok a tárgyaláson megerősített, hogy az említett konkrét céloknak az elnök általi frissítése nem titkos, hanem azt a nemzeti hírszerzési igazgató közzéteszi, kivéve ha az elnök úgy ítéli meg, hogy a nyilvánosságra hozatal önmagában veszélyt jelentene az ország nemzetbiztonságára nézve. Ezenkívül a tömeges adatgyűjtésre még ebben az esetben is vonatkozik a 14086. elnöki rendelet által előírt valamennyi biztosíték és korlátozás, és ha az érintett személy panaszt nyújt be a személyes adatokkal kapcsolatban, a panasz elbírálását a CLPO felügyeli, és adott esetben a DPRC felülvizsgálja.
159
Ebben az összefüggésben nem tekinthető úgy, hogy az Egyesült Államok elnökének biztosított azon lehetőség, hogy naprakésszé tegye a tömeges gyűjtés konkrét céljainak listáját, ellentétes az EJEB által a Zakharov ítéletben meghatározott követelményekkel.
160
Így a második jogalap keretében felhozott harmadik kifogást, ennélfogva pedig az említett jogalap egészét el kell utasítani.
4.
A negyedik, a GDPR 22. cikkének megsértésére alapított jogalapról
161
Negyedik jogalapjával a felperes azt állítja, hogy a Bizottság megsértette a GDPR 22. cikkét, mivel a megtámadott határozatban nem írt elő az érintettek azon jogát rögzítő rendelkezést, hogy velük szemben ne lehessen kizárólag a személyes adatok automatizált kezelésén, köztük a profilalkotáson alapuló, rájuk nézve joghatást kifejtő vagy őket jelentős mértékben érintő döntéseket hozni (a továbbiakban: teljesen automatizált döntések).
162
Elöljáróban megjegyzendő, hogy a GDPR 22. cikkének szövege a következőképpen fogalmaz:
„(1)   Az érintett jogosult arra, hogy ne terjedjen ki rá az olyan, kizárólag automatizált adatkezelésen – ideértve a profilalkotást is – alapuló döntés hatálya, amely rá nézve joghatással járna vagy őt hasonlóképpen jelentős mértékben érintené.
(2)   Az (1) bekezdés nem alkalmazandó abban az esetben, ha a döntés:
a)
az érintett és az adatkezelő közötti szerződés megkötése vagy teljesítése érdekében szükséges;
b)
meghozatalát az adatkezelőre alkalmazandó olyan uniós vagy tagállami jog teszi lehetővé, amely az érintett jogainak és szabadságainak, valamint jogos érdekeinek védelmét szolgáló megfelelő intézkedéseket is megállapít; vagy
c)
az érintett kifejezett hozzájárulásán alapul.”
163
Megjegyzendő továbbá, hogy a GDPR 22. cikkének (1) bekezdésében szereplő „profilalkotás” fogalmát ugyanezen rendelet 4. cikkének 4. pontja úgy határozza meg, mint a „személyes adatok automatizált kezelésének bármely olyan formája, amelynek során a személyes adatokat valamely természetes személyhez fűződő bizonyos személyes jellemzők értékelésére, különösen a munkahelyi teljesítményhez, gazdasági helyzethez, egészségi állapothoz, személyes preferenciákhoz, érdeklődéshez, megbízhatósághoz, viselkedéshez, tartózkodási helyhez vagy mozgáshoz kapcsolódó jellemzők elemzésére vagy előrejelzésére használják”.
164
Ebből következik, hogy a GDPR 22. cikke értelmében minden érintettnek joga van ahhoz, hogy ne terjedjen ki rá a kizárólag automatizált személyesadat‑kezelésen alapuló döntés hatálya, ideértve azt az esetet is, amikor az adatkezelés a viselkedése bizonyos aspektusainak elemzéséből és előrejelzéséből áll.
165
Márpedig a megtámadott határozatból kitűnik, hogy az nem foglalkozik kifejezetten a teljesen automatizált döntések kérdésével.
166
Így azt kell meghatározni, hogy ennek elmulasztása érintheti‑e a megtámadott határozat jogszerűségét, amennyiben kérdésessé teheti az említett határozat 1. cikkében szereplő azon következtetést, amely szerint az Amerikai Egyesült Államok a személyes adatok védelmének megfelelő szintjét biztosítja.
167
Ebben az összefüggésben kell elemezni a felperes által a negyedik jogalapjának alátámasztására felhozott három kifogást, kezdve az együttesen vizsgálandó első és harmadik kifogással.
a)
A negyedik jogalap keretében felhozott első és harmadik kifogásról, amelyek szerint egyrészt az a tény, hogy a teljesen automatizált döntéseket általában olyan adatkezelők hozzák, amelyek – az Unióban letelepedett adatkezelők lévén – a GDPR hatálya alá tartoznak, nem nyújt biztosítékot a többi esetet illetően, másrészt pedig az, hogy az Egyesült Államok joga ágazati védelmet biztosít azokban az esetekben, amikor a teljesen automatizált döntések meghozatala nem tartozik az említett rendelet hatálya alá, a jelen ügyben nem releváns
168
A negyedik jogalap keretében felhozott első és harmadik kifogásával a felperes egyrészt azt állítja, hogy az, hogy a teljesen automatizált döntéseket általában olyan adatkezelők hozzák, amelyek – az Unióban letelepedett adatkezelők lévén – a GDPR hatálya alá tartoznak, a többi esetet illetően nem nyújt garanciát. Másrészt arra hivatkozik, hogy az a körülmény, hogy az Egyesült Államok joga ágazati védelmet nyújt abban az esetben, ha az ilyen határozatok elfogadása nem tartozik az említett rendelet hatálya alá, a jelen ügyben nem releváns, mivel e körülmény alapján nem vonható le az a következtetés, hogy általános szinten az ezen ország által valamennyi teljesen automatizált döntés tekintetében biztosított védelem egyenértékű az e rendelet 22. cikkében biztosított védelemmel.
169
Az Írország és az Amerikai Egyesült Államok által támogatott Bizottság vitatja a felperes érvelését.
170
Megjegyzendő, hogy a megtámadott határozat (33) preambulumbekezdéséből kitűnik, hogy a személyes adatoknak az Unióból az Egyesült Államokba történő továbbítása esetén a teljesen automatizált döntéshozatal tekintetében három esetet kell megkülönböztetni.
171
Először is, előfordulhat, hogy a teljesen automatizált döntéseket az Unióban letelepedett olyan adatkezelő hozza meg, amely az Unióban gyűjtötte az érintettek személyes adatait. E tekintetben megjegyzendő, hogy a GDPR 4. cikkének 7. pontja úgy határozza meg az adatkezelőt, mint az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza. Ebben az esetben, mivel az említett rendelet 3. cikke (1) bekezdésének megfelelően az adatkezelő e rendelet hatálya alá tartozik, tiszteletben kell tartania az e rendelet 22. cikkében az ilyen döntések tekintetében előírt követelményeket.
172
Másodszor, előfordulhat, hogy a teljesen automatizált döntéseket vagy az Unióban letelepedett adatkezelő nevében eljáró, harmadik országban letelepedett adatfeldolgozó hozza, aki számára az Unióban gyűjtött személyes adatokat az adatkezelő továbbította, vagy pedig az Unióban letelepedett adatfeldolgozó nevében eljáró további adatfeldolgozó, aki számára az Unióban gyűjtött adatokat az előbbi adatfeldolgozó továbbította. E tekintetben pontosítani kell, hogy a GDPR 4. cikkének 8. pontja úgy határozza meg az adatfeldolgozó fogalmát, mint az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely az adatkezelő nevében személyes adatokat kezel. Ezekben az esetekben, mivel a külföldi adatfeldolgozók az uniós adatkezelő vagy ‑feldolgozó nevében járnak el, e rendelet 3. cikkének (1) bekezdése értelmében az említett rendelet hatálya alá tartoznak. Így az ilyen döntéseket illetően az adatkezelőnek és az adatfeldolgozónak meg kell felelnie az ugyanezen rendelet 22. cikkében előírt követelményeknek.
173
Harmadszor, előfordulhat, hogy a teljesen automatizált döntéseket nem az Unióban letelepedett adatkezelő vagy adatfeldolgozó hozza, aki azonban az Unióban tartózkodó érintetteket szólítja meg azáltal, hogy árukat vagy szolgáltatásokat kínál számukra, vagy viselkedésüket figyelemmel kíséri. Márpedig ebben az esetben a GDPR 3. cikkének (2) bekezdése előírja, hogy a külföldi adatkezelő és adatfeldolgozó az említett rendelet hatálya alá tartozik. Így a teljesen automatizált döntéseket illetően meg kell felelniük az említett rendelet 22. cikkében előírt követelményeknek.
174
Ebből következik, hogy a megtámadott határozatból kitűnik, hogy elhanyagolható azon esetek száma, amelyekben a teljesen automatizált döntések nem tartoznak a GDPR 22. cikkének hatálya alá, és arra az esetre korlátozódnak, amikor közvetlenül az adatvédelmi kerethez tartozó szervezetek gyűjtik a személyes adatokat az Unióban, anélkül azonban, hogy az uniós polgárok számára árukat vagy szolgáltatásokat kínálnának, illetve anélkül, hogy az említett rendelet 3. cikkének (2) bekezdése értelmében véve a viselkedésüket megfigyelnék.
175
Márpedig a megtámadott határozat (35) és (36) preambulumbekezdéséből kitűnik – anélkül, hogy azt a felperes vitatná –, hogy ezekben az esetekben az Egyesült Államok joga a GDPR‑ban előírtakhoz hasonló ágazati védelmet nyújt az olyan területeken, mint a hitelnyújtás, a jelzáloghitel‑ajánlatok, foglalkoztatás, a lakhatás és a biztosítás, ahol a legvalószínűbb, hogy az adatvédelmi kerethez tartozó szervezetek teljesen automatizált döntéseket hoznak.
176
Így a fogyasztói hitelek területén a Fair Credit Reporting Act (a méltányos hitelminősítésről szóló törvény) és az Equal Credit Opportunity Act (egyenlő hitellehetőségekről szóló törvény) olyan biztosítékokat tartalmaz, amelyek a fogyasztók számára magyarázathoz való jogot és a teljesen automatizált döntések megtámadásához való jogot biztosítanak. Ezek a törvények számos területen – így a hitel, a foglalkoztatás, a lakhatás és a biztosítás területén – relevánsak. Ezenkívül a Civil Rights Act (a polgári jogokról szóló törvény) VII. címe és a Fair Housing Act (a méltányos lakhatásról szóló törvény) védelmet biztosítanak az egyének számára az adott esetben bizonyos jellemzők alapján megkülönböztetéshez vezető teljesen automatizált döntéshozatalban használt modellek tekintetében, és biztosítják az egyének számára az ilyen döntések megtámadásához való jogot. Továbbá, az egészségügyi információkat illetően az Egyesült Államok hatóságai által a Health Insurance Portability and Accountability Act (az egészségbiztosítás hordozhatóságáról és elszámoltathatóságáról szóló törvény) alapján elfogadott szabályok megkövetelik, hogy az egészségügyi szolgáltatók olyan tájékoztatást kapjanak, amelyek lehetővé teszik számukra, hogy tájékoztassák az egyéneket az egészségügyi ágazatban használt automatizált döntéshozatali rendszerekről.
177
Ebben az összefüggésben a felperes állításával ellentétben nem állapítható meg, hogy az Egyesült Államok joga által előírt ágazati védelem a jelen ügyben irreleváns amiatt, hogy nem ugyanaz az általános hatálya, mint a GDPR 22. cikkének.
178
E tekintetben emlékeztetni kell arra, hogy a „Schrems I” és a „Schrems II” ítéletben a Bíróság kimondta, hogy anélkül, hogy megkövetelné, hogy az érintett harmadik ország az uniós jogrendben biztosítottal megegyező védelmi szintet biztosítson, a GDPR 45. cikkének (1) bekezdésében foglalt „megfelelő védelmi szint” kifejezést úgy kell érteni, mint amely megköveteli, hogy e harmadik ország – belföldi joga, vagy vállalt nemzetközi kötelezettségei alapján ‑ az Alapjogi Chartával összefüggésben értelmezett, említett rendelet által az Unióban biztosított védelmi szinttel lényegében egyenértékű védelmi szintet biztosítson ténylegesen az alapvető jogok és szabadságok számára (lásd a fenti 19. és 20. pontot).
179
Ezenfelül a „Schrems I” ítéletben a Bíróság megállapította, hogy még ha a harmadik ország által a személyes adatok megfelelő védelmi szintjének biztosítása érdekében igénybe vett eszközök különbözhetnek is az Unióban alkalmazott eszközöktől, ezen eszközöknek a gyakorlatban akkor is hatékonyaknak kell lenniük ahhoz, hogy az Unióban biztosított védelemmel lényegében azonos védelmet biztosítsanak (lásd a fenti 20. pontot).
180
E megfontolások összességére tekintettel a negyedik jogalap keretében felhozott első és harmadik kifogást el kell utasítani.
b)
A negyedik jogalap keretében felhozott második kifogásról, amely szerint a Bizottság által 2018‑ban megrendelt, a védelmi pajzshoz tartozó, egyesült államokbeli szervezetek által hozott teljesen automatizált döntések csekély számát bizonyító tanulmány a jelen ügyben irreleváns
181
A negyedik jogalap keretében felhozott második kifogásával a felperes azt állítja, hogy a jelen ügyben nem releváns az a tény, hogy a megtámadott határozat (34) preambulumbekezdésében hivatkozott, a teljesen automatizált döntésekre vonatkozó, a Bizottság által 2018‑ban megrendelt tanulmány, amelynek eredményei az EU–USA védelmi pajzs működésének második éves felülvizsgálatáról szóló, az Európai Parlamenthez és a Tanácshoz intézett, 2018. december 19‑i COM(2018) 860 final bizottsági jelentés (a továbbiakban: 2018. évi tanulmány) 4.1.5 pontjában szerepelnek, arra a következtetésre jutott, hogy a védelmi pajzshoz tartozó, egyesült államokbeli szervezetek által hozott teljesen automatizált döntések léte nem bizonyított. Közelebbről arra hivatkozik, hogy az említett tanulmány az adatvédelmi pajzsra vonatkozó azon megfelelőségi határozatra hivatkozik, amelyet a Bíróság a „Schrems II” ítéletben megsemmisített, és nem veszi figyelembe a jelenlegi helyzetet, amelyet a mesterséges intelligencián alapuló, teljesen automatizált szolgáltatások rendkívül gyors fejlődése jellemez.
182
Az Írország és az Amerikai Egyesült Államok által támogatott Bizottság vitatja a felperes érvelését.
183
A 2018. évi tanulmányból többek között kitűnik, hogy egyrészt abban az időszakban semmilyen adat nem tette lehetővé annak megállapítását, hogy az Egyesült Államokban letelepedett, a védelmi pajzshoz tartozó vállalkozások teljesen automatizált döntéseket hoztak, másrészt pedig, hogy az Amerikai Egyesült Államok ágazati jogszabályokat hajtott végre olyan területeken, mint a fogyasztói hitel, a foglalkoztatás, a lakhatás, a biztosítás és az egészségügy, ahol a legvalószínűbb, hogy teljesen automatizált döntéseket hoznak.
184
E tekintetben elsősorban meg kell jegyezni, hogy a 2018. évi tanulmányt nem említi a védelmi pajzsra vonatkozó megfelelőségi határozat, és azt a Bizottság az említett határozat hatálybalépését követően rendelte meg. Az a tény tehát, hogy e határozatot a Bíróság a „Schrems II” ítéletben megsemmisítette, a jelen ügy szempontjából nem releváns. Ezenkívül a „Schrems II” ítéletben a Bíróság nem az említett tanulmányban megjelölt elemek alapján semmisítette meg az említett határozatot.
185
Másodsorban kétségtelen, hogy a 2018. évi tanulmány nem az Egyesült Államokban 2023‑ban, a megtámadott határozat elfogadásának időpontjában fennálló ténybeli és jogi helyzetet vette figyelembe, hanem a tanulmány elvégzésekor, 2018‑ban fennálló ténybeli és jogi helyzetet. Mindazonáltal az EU–USA adatvédelmi pajzs működésének harmadik éves felülvizsgálatáról szóló, az Európai Parlamenthez és a Tanácshoz intézett, 2019. október 23‑i COM(2019) 495 final bizottsági jelentés megerősítette azon esetek csekély számát, amelyekben az adatvédelmi pajzshoz tartozó szervezetek teljesen automatizált döntéseket hoznak. E jelentésben ugyanis többek között az szerepelt, hogy korlátozott az adatvédelmi pajzshoz tartozó, az Egyesült Államokban letelepedett azon szervezetek száma, amelyek teljesen automatizált döntéseket hoznak, és hogy az e szervezetek által hozott döntések általában nem váltanak ki joghatásokat, illetve egyéb hatást az érintett személyekre nézve.
186
Harmadsorban megjegyzendő, hogy a felperes a beadványaiban nem terjesztett elő olyan bizonyítékot, amely lehetővé tenné annak megállapítását, hogy a 2018. évi tanulmány elkészítését követően az Egyesült Államokban letelepedett szervezetek teljesen automatizált döntéseket hoztak, és nem fejtette ki a jogilag megkövetelt módon, hogy a mesterséges intelligencia fejlődése miért tenné a tanulmányt irrelevánssá.
187
Így a negyedik jogalap keretében felhozott második kifogást, ennélfogva pedig az említett jogalap egészét el kell utasítani.
5.
Az ötödik, a GDPR 45. cikkének (2) bekezdésével összefüggésben értelmezett 32. cikkének megsértésére alapított jogalap
188
Ötödik jogalapjával a felperes arra hivatkozik, hogy a Bizottság megsértette a GDPR 45. cikkének (2) bekezdésével összefüggésben értelmezett 32. cikkét, mivel a megtámadott határozatban megállapította, hogy az Amerikai Egyesült Államok az Unióban biztosított védelmi szinttel lényegében egyenértékű védelmi szintet biztosít az Unióból az Egyesült Államokban letelepedett adatkezelők és adatfeldolgozók részére továbbított személyes adatok kezelése biztonságának garantálását célzó megfelelő technikai és szervezési intézkedések bevezetése tekintetében.
189
E tekintetben a felperes elsősorban arra hivatkozik, hogy a megtámadott határozat I. melléklete II. része 4. pontjának a) alpontja csupán azt írja elő, hogy az adatvédelmi kerethez tartozó szervezeteknek kizárólag akkor kell észszerű és megfelelő biztonsági intézkedéseket tenniük, ha személyes adatokat hoznak létre, tartanak fenn, használnak fel vagy terjesztenek. Így semmilyen biztonsági intézkedést nem követelnek meg abban az esetben, ha e szervezetek az Unióból származó személyes adatokba betekintenek. A felperes azt állítja, hogy a betekintés pedig a személyes adatokra vonatkozó, a GDPR 4. cikkének 2. pontjában szereplő „adatkezelés” fogalmába tartozó műveletek egyike.
190
Másodsorban a felperes azt állítja, hogy a megtámadott határozat I. melléklete III. része 6. pontjának f) alpontja azt a kötelezettséget írja elő az Egyesült Államokban letelepedett, az adatvédelmi keretből kilépő szervezetek számára, hogy továbbra is tartsák tiszteletben az e határozatban szereplő elveket, ideértve az adatkezelés biztonságára vonatkozó elveket is, mindaddig, amíg az Unióból az Egyesült Államokba továbbított személyes adatokat tárolják, felhasználják vagy nyilvánosságra hozzák, azonban nem ír elő ilyen kötelezettséget arra az esetre, ha ugyanezen szervezetek személyes adatokba betekintenek.
191
Az Írország és az Amerikai Egyesült Államok által támogatott Bizottság vitatja a felperes érvelését.
192
Elöljáróban mindenekelőtt emlékeztetni kell arra, hogy a GDPR 32. cikkének szövege a következő:
„(1)   Az adatkezelő és az adatfeldolgozó a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak érdekében, hogy a kockázat mértékének megfelelő szintű adatbiztonságot garantálja, ideértve, többek között, adott esetben:
a)
a személyes adatok álnevesítését és titkosítását;
b)
a személyes adatok kezelésére használt rendszerek és szolgáltatások folyamatos bizalmas jellegének biztosítását, integritását, rendelkezésre állását és ellenálló képességét;
c)
fizikai vagy műszaki incidens esetén az arra való képességet, hogy a személyes adatokhoz való hozzáférést és az adatok rendelkezésre állását kellő időben vissza lehet állítani;
d)
az adatkezelés biztonságának garantálására hozott technikai és szervezési intézkedések hatékonyságának rendszeres tesztelésére, felmérésére és értékelésére szolgáló eljárást.
(2)   A biztonság megfelelő szintjének meghatározásakor kifejezetten figyelembe kell venni az adatkezelésből eredő olyan kockázatokat, amelyek különösen a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítéséből, elvesztéséből, megváltoztatásából, jogosulatlan nyilvánosságra hozatalából vagy az azokhoz való jogosulatlan hozzáférésből erednek.”
193
A GDPR 32. cikkében szereplő „adatkezelés” fogalmát ugyanezen rendelet 4. cikke 2. pontja akként határozza meg, mint a „személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés”.
194
Az ítélkezési gyakorlat szerint többek között a GDPR 4. cikkének 2. pontjában szereplő „bármely művelet” kifejezésből kitűnik, hogy az uniós jogalkotó az „adatkezelés” fogalmát tágan kívánta értelmezni, amit az említett rendelkezésben felsorolt műveletekkel kapcsolatban használt „így” kifejezés nem kimerítő jellege is megerősít (lásd: 2024. március 7‑iEndemol Shine Finland ítélet, C‑740/22, EU:C:2024:216, 29. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
195
Végül megjegyzendő, hogy azon tényezők között, amelyeket a Bizottságnak a GDPR 45. cikke (2) bekezdésének a) pontja alapján a harmadik ország által nyújtott védelem szintjének értékelésekor figyelembe kell vennie, szerepelnek az ezen ország által a személyes adatokra vonatkozóan végrehajtott biztonsági intézkedések.
196
A felperes által a jelen kifogás alátámasztására felhozott két érvet ebben az összefüggésben kell megvizsgálni.
197
E tekintetben emlékeztetni kell arra, hogy a megtámadott határozat I. melléklete II. része 4. pontja a) alpontjának megfogalmazása a következő:
„A személyes adatokat létrehozó, fenntartó, felhasználó vagy terjesztő szervezeteknek indokolt és megfelelő intézkedéseket kell tenniük, hogy megóvják az adatokat az elvesztéstől, a visszaéléstől, valamint a jogosulatlan hozzáféréstől, közléstől, megváltoztatástól és megsemmisítéstől, megfelelően figyelembe véve a kezeléssel járó kockázatokat és a személyes adatok természetét.”
198
Továbbá a megtámadott határozat I. melléklete III. része 6. pontjának f) alpontja a következőképpen szól:
„A szervezetnek alkalmaznia kell az elveket valamennyi személyes adatra, amelyet az Európai Uniótól az EU–USA adatvédelmi keretben kapott. Az elvek betartására vonatkozó kötelezettségvállalást nem kötik időkorláthoz az azon idő alatt fogadott személyes adatok tekintetében, amíg a szervezet élvezi az EU–USA adatvédelmi keret előnyeit; a szervezet kötelezettségvállalása azt jelenti, hogy továbbra is alkalmazza az elveket az ilyen adatok esetében mindaddig, amíg tárolja, felhasználja vagy nyilvánosságra hozza azokat, még akkor is, ha a későbbiekben bármilyen okból kilép az EU–USA adatvédelmi keretből.”
199
Ebből következik, hogy a megtámadott határozat I. melléklete II. része 4. pontjának a) alpontja és III. része 6. pontjának f) alpontja nem érinti a személyes adatok kezelésének a GDPR 4. cikkének 2. pontja értelmében vett semmilyen formáját. Ellenkezőleg, egyrészt az elsőként említett pont azokra az esetekre korlátozza az adatvédelmi kerethez tartozó szervezetek biztonsági intézkedések elfogadására vonatkozó kötelezettségét, amikor személyes adatokat hoznak létre, tartanak fenn, használnak fel vagy terjesztenek. Másrészt a másodikként említett pont azt írja elő, hogy az adatvédelmi keretből kilépő szervezeteknek továbbra is alkalmazniuk kell a megtámadott határozatban szereplő elveket mindaddig, amíg az Unióból az Egyesült Államokba továbbított személyes adatokat tárolnak, használnak fel vagy hoznak nyilvánosságra.
200
Márpedig először is emlékeztetni kell arra, hogy a „Schrems I” és a „Schrems II” ítéletben a Bíróság úgy ítélte meg, hogy nem szükséges, hogy a harmadik ország az uniós jogrendben biztosítottal azonos jogi védelmet biztosítson (lásd a fenti 19. és 20. pontot). Ebből következik, hogy amennyiben a Bizottság a megtámadott határozatban azt állapítja meg, hogy az Egyesült Államok e határozat elfogadásának időpontjában hatályos joga az uniós jogban előírttal lényegében egyenértékű védelmi szintet biztosít, nem szükséges, hogy az említett határozat a GDPR‑ban szereplőkkel pontosan megegyező feltételeket tartalmazzon.
201
Másodszor, a megtámadott határozat I. melléklete II. része 4. pontjának a) alpontjában szereplő elveket az említett határozat (23) preambulumbekezdésében szereplő tényezők fényében kell értelmezni, amely preambulumbekezdés a GDPR 32. cikkéhez hasonlóan a következőket írja elő:
„A személyes adatokat továbbá olyan módon kell kezelni, amely biztosítja biztonságukat, többek között az illetéktelen vagy jogellenes kezelés elleni védelmüket, illetve az adatok véletlen elvesztése, megsemmisítése vagy károsodása elleni védelmüket. Az adatkezelőknek és az adatfeldolgozóknak ebből a célból megfelelő technikai vagy szervezeti intézkedéseket kell hozniuk, hogy a személyes adatokat a lehetséges veszélyektől megvédjék. Ezeket az intézkedéseket a technika állásának, a kapcsolódó költségeknek, az adatkezelés jellegének, hatókörének, körülményeinek és céljainak, valamint az egyének jogait érintő kockázatoknak a figyelembevételével kell értékelni.”
202
Harmadszor megjegyzendő, hogy a megtámadott határozat I. melléklete II. része 4. pontjának a) alpontjában szereplő „létrehozó”, „fenntartó”, „felhasználó” és „terjesztő” kifejezések, valamint az ugyanezen melléklet III. része 6. pontjának f) alpontjában szereplő „tárol”, „felhasznál” és „nyilvánosságra hoz” kifejezések a személyes adatoknak a GDPR 32. cikke értelmében vett „kezelésében” álló művelet konkrét megnyilvánulásai, és hogy e kifejezések az említett cikkhez hasonlóan a személyes adatokkal kapcsolatos műveletek széles körét hivatottak lefedni.
203
Negyedszer, a „felhasznál” kifejezés, amely mind a megtámadott határozat I. melléklete II. része 4. pontjának a) alpontjában, mind ugyanezen melléklet III. része 6. pontjának f) alpontjában szerepel, akként határozható meg, mint valamely dolog meghatározott célra vagy hasznosításra történő igénybevétele. Ebből a szempontból a személyes adatok felhasználása magában foglalja az adatokba való betekintést is, mivel az adatokhoz való hozzáféréshez per definitionem hozzájutás, vagyis betekintés szükséges. Ebből következik, hogy nem megalapozott a felperes azon érve, amely szerint a megtámadott határozat semmilyen biztonsági intézkedést nem követel meg abban az esetben, ha az adatvédelmi kerethez tartozó szervezetek az Unióból származó személyes adatokba betekintenek.
204
E körülmények összességére tekintettel az ötödik jogalapot, ennélfogva pedig a kereset egészét el kell utasítani.
IV. A költségekről
205
Az eljárási szabályzat 134. cikkének (1) bekezdése alapján a Törvényszék a pervesztes felet kötelezi a költségek viselésére, ha a pernyertes fél ezt kérte.
206
A felperest, mivel pervesztes lett, a Bizottság kérelmének megfelelően kötelezni kell a saját költségein felül a Bizottság részéről felmerült költségek viselésére, ideértve az ideiglenes intézkedés iránti eljárás keretében felmerült költségeket is.
207
Egyébiránt az eljárási szabályzat 138. cikkének (1) bekezdése értelmében az eljárásba beavatkozó tagállamok és intézmények maguk viselik saját költségeiket. Következésképpen Írország maga viseli saját költségeit.
208
Ezenkívül az eljárási szabályzat 138. cikkének (3) bekezdése értelmében a Törvényszék elrendelheti, hogy az e cikk (1) és a (2) bekezdésében nem említett beavatkozó felek maguk viseljék saját költségeiket. A jelen ügyben úgy kell határozni, hogy az Amerikai Egyesült Államok maga viseli saját költségeit.
A fenti indokok alapján
A TÖRVÉNYSZÉK (kibővített tizedik tanács)
a következőképpen határozott:
1)
A Törvényszék a keresetet elutasítja.
2)
Philippe Latombe maga viseli saját költségeit, valamint az Európai Bizottság részéről felmerült költségeket, ideértve az ideiglenes intézkedés iránti eljáráshoz kapcsolódó költségeket.
3)
Írország maga viseli saját költségeit.
4)
Az Amerikai Egyesült Államok maga viseli saját költségeit.
Porchia
Jaeger
Madise
Nihoul
Verschuur
Kihirdetve Luxembourgban, a 2025. szeptember 3‑i nyilvános ülésen.
Aláírások
(
*1
)	Az eljárás nyelve: francia.