ЗАКЛЮЧЕНИЕ НА ГЕНЕРАЛНИЯ АДВОКАТ

H. SAUGMANDSGAARD ØE

представено на 19 декември 2019 година ( 1 )

Дело C‑311/18

Data Protection Commissioner

срещу

Facebook Ireland Limited,

Maximillian Schrems,

в присъствието на:

Съединени американски щати,

Electronic Privacy Information Centre,

BSA Business Software Alliance, Inc.,

Digitaleurope

(Преюдициално запитване, отправено от High Court (Висш съд, Ирландия)

„Преюдициално запитване — Защита на физическите лица във връзка с обработването на лични данни — Регламент (ЕС) 2016/679 — Член 2, параграф 2 — Приложно поле — Предаване на лични данни към Съединените американски щати за търговски цели — Обработване от публичните органи на Съединените американски щати на предадените данни за целите на националната сигурност — Член 45 — Преценка на адекватността на нивото на защита, осигурена в трета държава — Член 46 — Подходящи гаранции, предоставени от администратора — Стандартни клаузи за защита — Член 58, параграф 2 — Правомощия на надзорните органи — Решение 2010/87/ЕС — Валидност — Решение за изпълнение (ЕС) 2016/1250 — „Щит за личните данни в отношенията между ЕС и САЩ“ — Валидност — Членове 7, 8 и 47 от Хартата на основните права на Европейския съюз“

Съдържание

I. Въведение II. Правна уредба А. Директива 95/46/ЕО Б. ОРЗД В. Решение 2010/87 Г. Решението относно Щита за личните данни III. Спорът в главното производство, преюдициалните въпроси и производството пред Съда IV. Анализ А. Предварителни съображения Б. По допустимостта на преюдициалното запитване 1. По приложимостта на Директива 95/46 ratione temporis 2. По временния характер на изразените от КЗЛД съмнения 3. По несигурността относно определянето на фактическата обстановка В. По приложимостта на правото на Съюза към предаването за търговски цели на лични данни към трета държава, която може да ги обработва за цели, свързани с националната сигурност (първи въпрос) Г. По нивото на защита, изисквано при предаване, основаващо се на стандартни договорни клаузи (първа част на шести въпрос) Д. По валидността на Решение 2010/87 с оглед на членове 7, 8 и 47 от Хартата (седми, осми и единадесети въпрос) 1. По задълженията на администраторите 2. По задълженията на надзорните органи Е. По липсата на необходимост от отговор на останалите преюдициални въпроси и от разглеждане на валидността на решението относно Щита за личните данни 1. По липсата на необходимост от отговори на Съда с оглед на предмета на спора в главното производство 2. По доводите срещу разглеждането от Съда с оглед на предмета на висящото пред КЗЛД производство Ж. Съображения при условията на евентуалност относно действието и валидността на решението относно Щита за личните данни 1. По значението на решението относно Щита за личните данни при разглеждането от надзорен орган на жалба относно законосъобразността на предаване на данни въз основа на договорни гаранции 2. По валидността на решението относно Щита за личните данни а) Уточнения относно съдържанието на анализа на валидността на решение относно адекватното ниво на защита 1) По елементите на сравнение, позволяващи да се прецени „равностойността по същество“ на нивото на защита 2) По необходимостта да се осигури адекватно ниво на защита на етапа на пренос на данните 3) По вземането предвид на фактическите констатации относно правото на Съединените щати, направени от Комисията и от запитващата юрисдикция 4) По обхвата на стандарта за „равностойност по същество“ б) По валидността на решението относно Щита за личните данни с оглед на правото на зачитане на личния живот и правото на защита на личните данни 1) По наличието на намеса 2) По изискването намесата да е „предвидена в закон“ 3) По липсата на нарушение на основното съдържание на основните права 4) По преследването на законосъобразна цел 5) По необходимостта и пропорционалността на намесата в) По валидността на решението относно Щита за личните данни с оглед на правото на ефективни правни средства за защита 1) По ефективността на предвидените от правото на Съединените щати правни средства за съдебна защита 2) По значението на механизма на омбудсмана за нивото на защита на правото на ефективни правни средства за защита V. Заключение

I. Въведение

1. При липсата на общи гаранции за защита на личните данни в световен мащаб трансграничните потоци на такива данни са свързани с риск от нарушаване на непрекъснатостта на предоставеното в Европейския съюз равнище на защита. В стремежа си да улесни тези потоци, като същевременно ограничи този риск, законодателят на Съюза е въвел три механизъма, чрез които личните данни могат да се предават от Съюза към трета държава.

2. На първо място, такова предаване може да се извърши въз основа на решение, с което Европейската комисия установява, че третата държава осигурява „адекватно ниво на защита“ на предаваните към тази държава данни ( 2 ). На второ място, при липса на такова решение предаването е разрешено, когато са предвидени „подходящи гаранции“ ( 3 ). Тези гаранции може да са под формата на договор между износителя и вносителя на данни, съдържащ стандартни клаузи за защита, приети от Комисията. На трето място, ОРЗД предвижда някои дерогации, основани по-специално на съгласието на субекта на данните, които позволяват предаването към трета държава дори при липса на решение относно адекватното ниво на защита или подходящи гаранции ( 4 ).

3. Преюдициалното запитване, отправено от High Court (Висш съд, Ирландия), се отнася до втория от тези механизми. По-конкретно то се отнася до валидността на решение 2010/87/ЕС ( 5 ), с което Комисията установява стандартни договорни клаузи за някои категории предавания, с оглед на членове 7, 8 и 47 от Хартата на основните права на Европейския съюз (наричана по-нататък „Хартата“).

4. Запитването е отправено в рамките на спор между, от една страна, Data Protection Commissioner (Комисар за защита на личните данни, наричан по-нататък „КЗЛД“) и от друга страна, Facebook Ireland Ltd и г‑н Maximillian Schrems. Последният подава жалба до КЗЛД относно предаването на засягащи го лични данни от Facebook Ireland на Facebook Inc., негово дружество майка, установено в Съединените американски щати (наричани по-нататък „Съединените щати“). КЗЛД счита, че разглеждането на тази жалба зависи от въпроса дали Решение 2010/87 е валидно. В този контекст той сезира запитващата юрисдикция с искане да отправи запитване по този въпрос до Съда.

5. В самото начало ще посоча, че при разглеждането на преюдициалните въпроси според мен не се установяват никакви обстоятелства, които могат да засегнат валидността на Решение 2010/87.

6. Освен това запитващата юрисдикция изтъква някои съмнения, отнасящи се по същество до адекватността на осигуреното от Съединените щати равнище на защита, с оглед на намесата, която включват дейностите на американските разузнавателни служби в упражняването на основните права на лицата, чиито данни се предават към тази трета държава. Тези съмнения косвено поставят под въпрос направените от Комисията преценки в това отношение в Решение за изпълнение (ЕС) 2016/1250 ( 6 ). Въпреки че разрешаването на спора в главното производство не налага Съдът да се произнесе по този въпрос и че следователно му предлагам да не го прави, при условията на евентуалност ще изложа причините, които ме подтикват да си задам въпроси относно валидността на това решение.

7. Целият ми анализ ще се ръководи от търсенето на баланс между, от една страна, необходимостта да се демонстрира „разумна степен на прагматизъм, за да се позволи взаимодействие с останалия свят“ ( 7 ), и от друга страна, необходимостта за утвърждаване на основните ценности, гарантирани в правния ред на Съюза и на неговите държави членки, по-специално в Хартата.

II. Правна уредба

А. Директива 95/46/ЕО

8. Член 3, параграф 2 от Директива 95/46/ЕО за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни ( 8 ) е предвиждал следното: „Настоящата директива не се прилага за обработването на лични данни: – при извършване на дейности, извън приложното поле на правото на Общността, например дейностите, предвидени в дял V и дял VI от Договора за Европейския съюз, и във всички случаи при дейности по обработването на данни, отнасящи се до обществената сигурност, отбраната, държавната сигурност (включително икономическото благосъстояние на държавата, когато процесът на обработка е свързан[…] с държавната сигурност) и при дейности на държавата в областта на наказателното право, – […]“.

9. Текстът на член 13, параграф 1 от тази директива е гласял: „Държавите членки могат да приемат законодателни мерки за ограничаване на обхвата на правата и задълженията, предвидени в член 6, параграф 1, член 10, член 11, параграф 1, член 12 и член 21, ако подобно ограничаване представлява необходима мярка за гарантиране на: а) националната сигурност; б) отбраната; в) обществената сигурност; г) предотвратяването, разследването, разкриването и преследването на углавни престъпления или за нарушения на етичните кодекси при регламентираните професии; д) важни икономически и финансови интереси на държавата членка или на [Съюза], включително валутни, бюджетни и данъчни въпроси; е) функции по наблюдение, проверка или регламентиране, свързани, дори случайно, с упражняването на официални правомощия в случаите, посочени в букви в), г) и д); ж) защита на съответното физическо лице или на правата и свободите на други лица“.

10. Член 25 от Директивата е гласял: „1. Държавите членки предвиждат, че предаването на лични данни, които са подложени на обработка или са предназначени за обработка след предаването им на трета страна, може да се извършва, само ако без да се засяга спазването на националните разпоредби, приети в съответствие с другите разпоредби на настоящата директива, въпросната трета страна гарантира достатъчна степен на защита. 2. Достатъчният характер на степента на защита, предоставяна от трета страна, се преценява в светлината на всички обстоятелства, свързани с операцията по предаването на данни или набор от операции по предаване на данни; специално внимание се обръща на характера на данните, целта и продължителността на предлаганата операция или операции по обработката им, на страната по произхода и страната по крайното местоназначение, на законовите правила, както общи, така и секторни, които са в сила във въпросната трета страна, както и на професионалните правила и мерките за сигурност, които се спазват в тази страна. […] 6. Комисията може да констатира, в съответствие с процедурата, посочена в член 31, параграф 2, че трета страна гарантира достатъчна степен на защита по смисъла на параграф 2 на настоящия член, по силата на вътрешното си законодателство или на международните споразумения, сключени от нея, и по-конкретно след приключване на преговорите, упоменати в параграф 5, за защитата на личния живот и на основните свободи и права на лицата. Държавите членки предприемат необходимите мерки за спазване на решението на Комисията“.

11. Член 26, параграфи 2 и 4 от същата директива е предвиждал: „2. Без да се засягат разпоредбите на параграф 1, дадена държава членка може да разреши предаването или набора от предавания за трета страна, която не осигурява достатъчна степен на защита по смисъла на член 25, параграф 2, ако администраторът предостави достатъчни гаранции по отношение на защитата на личния живот и основните права и свободи на лицата и по отношение на упражняването на съответните права; такива гаранции могат, в частност, да произтичат от съответни договорни клаузи. […] 4. Ако Комисията реши […], че някои стандартни договорни клаузи предлагат достатъчни гаранции, както изисква параграф 2, държавите членки вземат необходимите мерки, за да спазят решението на Комисията“.

12. Член 28, параграф 3 от Директива 95/46 е гласял: „В частност, на всеки орган са предоставени: […] – ефективни правомощия на намеса, като например право на предоставяне на становища, преди извършването на операции по обработка на данни съгласно член 20, и гарантиране на подходяща публичност на подобни становища; право на разпореждане на блокиране, изтриване или унищожаване на данни, на въвеждане на временна или окончателна забрана върху обработването, на отправяне на предупреждение или строга забележка към администратора, както и право да сезира националния парламент или други политически институции, […]“.

Б. ОРЗД

13. Съгласно член 94, параграф 1 от ОРЗД този регламент отменя Директива 95/46, считано от 25 май 2018 г., датата, от която той започва да се прилага съгласно член 99, параграф 2 от него.

14. Член 2, параграф 2 от посочения регламент гласи: „Настоящият регламент не се прилага за обработването на лични данни: а) в хода на дейности, които са извън приложното поле на правото на Съюза; б) от държавите членки, когато извършват дейности, които попадат в приложното поле на дял V, глава 2 от ДЕС; […] г) от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наложените наказания, включително предпазването от и предотвратяването на заплахи за обществената сигурност“.

15. Член 4, точка 2 от същия регламент определя понятието „обработване“ като „всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване“.

16. Член 23 от ОРЗД предвижда: „1. В правото на Съюза или правото на държава членка, което се прилага спрямо администратора или обработващия лични данни, чрез законодателна мярка може да се ограничи обхватът на задълженията и правата, предвидени в членове 12—22 и в член 34, както и в член 5, доколкото неговите разпоредби съответстват на правата и задълженията, предвидени в членове 12—22, когато подобно ограничение е съобразено със същността на основните права и свободи и представлява необходима и пропорционална мярка в едно демократично общество с цел да се гарантира: а) националната сигурност; б) отбраната; в) обществената сигурност; г) предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наложените наказания, включително предпазването от и предотвратяването на заплахи за обществената сигурност; д) други важни цели от широк обществен интерес за Съюза или за държава членка, и по-специално важен икономически или финансов интерес на Съюза или на държава членка […]; […] 2. По-специално, всяка законодателна мярка, посочена в параграф 1, съдържа специални разпоредби най-малко, където е целесъобразно, по отношение на: а) целите на обработването или категориите обработване; б) категориите лични данни; в) обхвата на въведените ограничения; г) гаранциите за предотвратяване на злоупотреби или незаконен достъп или предаване; д) спецификацията на администратора или категориите администратори; е) периодите на съхранение и приложимите гаранции, като се вземат предвид естеството, обхватът и целите на обработването или категориите обработване; ж) рисковете за правата и свободите на субектите на данни; и з) правото на субектите на данни да бъдат информирани за ограничаването, освен ако това би било в разрез с целта на ограничаването“.

17. Член 44 от този регламент, озаглавен „Общ принцип на предаването на данни“, гласи: „Предаване на лични данни, които се обработват или са предназначени за обработване след предаването на трета държава или на международна организация, се осъществява само при условие че са спазени другите разпоредби на настоящия регламент, само ако администраторът и обработващият лични данни спазват условията по настоящата глава, включително във връзка с последващи предавания на лични данни от третата държава или от международната организация на друга трета държава или на друга международна организация. Всички разпоредби на настоящата глава се прилагат, за да се направи необходимото нивото на защита на физическите лица, осигурено от настоящия регламент, да не се излага на риск“.

18. Съгласно член 45 от посочения регламент, озаглавен „Предаване на данни въз основа на решение относно адекватното ниво на защита“: „1. Предаване на лични данни на трета държава или международна организация може да има, ако Комисията реши, че тази трета държава, територия или един или повече конкретни сектори в тази трета държава, или въпросната международна организация осигуряват адекватно ниво на защита. За такова предаване не се изисква специално разрешение. 2. При оценяване на адекватността на нивото на защита Комисията отчита по-специално следните елементи: а) върховенството на закона, спазването на правата на човека и основните свободи, съответното законодателство — както общо, така и секторно, включително в областта на обществената сигурност, отбраната, националната сигурност и наказателното право и достъпа на публичните органи до лични данни, а също и прилагането на такова законодателство, правилата за защита на данните, професионалните правила и мерките за сигурност, включително правилата за последващо предаване на лични данни на друга трета държава или международна организация, които се спазват в тази държава или международна организация, съдебната практика, както и действителните и приложими права на субектите на данни и ефективната административна и съдебна защита за субектите на данни, чиито лични данни се предават; б) наличието и ефективното функциониране на един или повече независими надзорни органи във въпросната трета държава или на които се подчинява дадена международна организация, отговорни за осигуряване и прилагане на правилата за защита на данните, включително адекватни правомощия за прилагане, за подпомагане и консултиране на субектите на данни при упражняването на техните права и осъществяване на сътрудничество с надзорните органи на държавите членки; и в) международните ангажименти, които съответната трета държава или международна организация е поела, или други задължения, произтичащи от правно обвързващи конвенции или инструменти, както и от участието ѝ в многостранни или регионални системи, по-конкретно по отношение на защитата на личните данни. 3. След оценка на адекватността на нивото на защита Комисията може чрез акт за изпълнение да реши, че дадена трета държава, територия или един или повече конкретни сектори в тази трета държава, или дадена международна организация осигуряват адекватно ниво на защита по смисъла на параграф 2 от настоящия член. В акта за изпълнение се предвижда механизъм за периодичен преглед най-малко веднъж на четири години, при който се отчитат всички имащи отношение промени в третата държава или международната организация. […] 4. Комисията осъществява постоянно наблюдение на развитието в трети държави и международни организации, което би могло да повлияе на действието на решенията, приети съгласно параграф 3 от настоящия член, и на решенията, приети въз основа на член 25, параграф 6 от [Директива 95/46]. 5. Ако е налице съответната информация, по-специално след прегледа по параграф 3 от настоящия член, Комисията решава, че дадена трета държава, територия, или един или повече конкретни сектори в трета държава, или дадена международна организация е престанала да осигурява адекватно ниво на защита по смисъла на параграф 2 от настоящия член, при което Комисията в необходимата степен отменя, изменя или спира прилагането на решението по параграф 3 от настоящия член чрез акт за изпълнение без обратна сила. […] 6. Комисията започва консултации с третата държава или международната организация с цел да коригира положението, довело до решението, взето по силата на параграф 5. […] 9. Решенията, приети от Комисията въз основа на член 25, параграф 6 от [Директива 95/46], остават в сила, докато не бъдат изменени, заменени или отменени с решение на Комисията, прието в съответствие с параграфи 3 или 5 от настоящия член“.

19. Член 46 от същия регламент, озаглавен „Предаване на данни с подходящи гаранции“, гласи: „1. При липса на решение съгласно член 45, параграф 3, администраторът или обработващият лични данни може да предава лични данни на трета държава или международна организация само ако е предвидил подходящи гаранции и при условие че са налице приложими права на субектите на данни и ефективни правни средства за защита. 2. Подходящите гаранции, посочени в параграф 1, могат да бъдат предвидени, без да се изисква специално разрешение от надзорния орган, посредством: […] в) стандартни клаузи за защита на данните, приети от Комисията в съответствие с процедурата по разглеждане, посочена в член 93, параграф 2; […] 5. Разрешенията, издадени от държава членка или надзорен орган въз основа на член 26, параграф 2 от [Директива 95/46], остават валидни, докато не бъдат изменени, заменени или отменени, ако е необходимо, от надзорния орган. Решенията, приети от Комисията въз основа на член 26, параграф 4 от [Директива 95/46], остават в сила, докато не бъдат изменени, заменени или отменени, ако е необходимо, с решение на Комисията, прието в съответствие с параграф 2 от настоящия член“.

20. Съгласно член 58, параграфи 2, 4 и 5 от ОРЗД: „2. Всеки надзорен орган има всички от посочените по-долу корективни правомощия: а) да отправя предупреждения до администратора или обработващия лични данни, когато има вероятност операции по обработване на данни, които те възнамеряват да извършат, да нарушат разпоредбите на настоящия регламент; б) да отправя официално предупреждение до администратора или обработващия лични данни, когато операции по обработване на данни са нарушили разпоредбите на настоящия регламент; в) да разпорежда на администратора или обработващия лични данни да изпълнят исканията на субекта на данни да упражнява правата си съгласно настоящия регламент; г) да разпорежда на администратора или обработващия лични данни да съобразят операциите по обработване на данни с разпоредбите на настоящия регламент и, ако е целесъобразно, това да стане по указан начин и в определен срок; д) да разпорежда на администратора да съобщава на субекта на данните за нарушение на сигурността на личните данни; е) да налага временно или окончателно ограничаване, в т.ч. забрана, на обработването на данни; […] и) да налага административно наказание „глоба“ или „имуществена санкция“ съгласно член 83, в допълнение към мерките, посочени в настоящия параграф, или вместо тях, в зависимост от особеностите на всеки отделен случай; й) да разпорежда преустановяването на потока на данни към получател в трета държава или към международна организация[.] […] 4. Упражняването на правомощията, предоставени на надзорния орган по силата на настоящия член, се осъществява при осигуряване на подходящи гаранции, в т.ч. ефективни съдебни средства за правна защита и справедлив съдебен процес, определени в правото на Съюза и правото на държава членка в съответствие с Хартата. 5. Всяка държава членка урежда със закон нейният надзорен орган да има правомощието да довежда нарушенията на настоящия регламент до знанието на съдебните органи и по целесъобразност да инициира или по друг начин да участва в съдебни производства, с цел осигуряване на изпълнението на настоящия регламент“.

В. Решение 2010/87

21. Въз основа на член 26, параграф 4 от Директива 95/46 Комисията приема три решения, с които установява, че посочените в тях стандартни договорни клаузи предоставят достатъчни гаранции по отношение на защитата на личния живот, свободите и основните права на лицата, както и по отношение на упражняването на съответните права (наричани по-нататък „решенията за СДК“) ( 9 ).

22. Сред тях е Решение 2010/87, чийто член 1 гласи: „[с]чита се, че стандартните договорни клаузи, съдържащи се в приложението, предоставят достатъчни гаранции за защитата на личния живот и основните права и свободи на физическите лица, както и по отношение на упражняването на съответните права, както се изисква от член 26, параграф 2 от [Директива 95/46]“.

23. Съгласно член 3 от това решение: „За целите на настоящото решение се прилагат следните определения: […] в) „износител на данни“ означава администраторът, който предава личните данни; г) „вносител на данни“ означава лицето, обработващо данните, установено в трета страна, което приема да получава от износителя на данни лични данни, предназначени за обработване от името на износителя на данни след предаване съгласно неговите инструкции и при условията на настоящото решение, и което не е част от системата на трета страна, осигуряваща достатъчна степен на защита по смисъла на член 25, параграф 1 от [Директива 95/46]; […] е) „приложимо право за защита на данните“ означава законодателството, защитаващо основните права и свободи на лицата, и по-специално правото на личен живот при обработването на лични данни, приложимо към администратор на данни в държавата членка, в която е установен износителят на данни; […]“.

24. В първоначалната си редакция член 4, параграф 1 от посоченото решение е предвиждал: „Без да се накърняват правомощията им да предприемат мерки за осигуряване на спазването на националните разпоредби, приети съгласно глави II, III, V и VI от [Директива 95/46], компетентните органи на държавите членки могат да упражняват правомощията, с които разполагат, за да забраняват или да спират потоците от данни към трети страни с цел защитата на физически лица при обработването на техните лични данни, в случай че: а) е установено, че правото, което се прилага спрямо вносителя на данни или подизпълнител, му налага задължения за дерогиране от приложимото право за защита на данните, които се простират извън ограниченията, необходими в едно демократично общество, предвидени в член 13 от [Директива 95/46], когато тези задължения могат да имат съществени неблагоприятни последици за гаранциите, предоставени от приложимото право за защита на данните и стандартните договорни клаузи; б) компетентен орган е установил, че вносителят на данни или подизпълнител не е спазил стандартните договорни клаузи от приложението; или в) е много вероятно стандартните договорни клаузи от приложението да не са или да не бъдат спазени и продължаването на предаването да създаде непосредствен риск от тежка вреда за заинтересованите физически лица“.

25. В сегашната си редакция, произтичаща от изменението на Решение 2010/87 с Решение за изпълнение (ЕС) 2016/2297 ( 10 ), член 4 от Решение 2010/87 гласи, че „[к]огато компетентните органи в държавите членки упражняват своите правомощия съгласно член 28, параграф 3 от [Директива 95/46], в резултат на което спират или окончателно забраняват потоци данни към трети страни с цел да защитят лицата във връзка с обработката на техните лични данни, въпросната държава членка следва незабавно да информира Комисията, която от своя страна ще предаде информацията на останалите държави членки“.

26. Приложението към Решение 2010/87 съдържа комплект стандартни договорни клаузи. По-специално съдържащата се в това приложение клауза 3, озаглавена „Клауза в полза на трето лице“, предвижда: „1. Заинтересованото физическо лице може да иска прилагането спрямо износителя на данни на настоящата клауза, клауза 4, букви б)—и), клауза 5, букви а)—д) и букви ж)—й), клауза 6, параграфи 1 и 2, клауза 7, клауза 8, параграф 2 и клаузи 9—12, като трето лице бенефициер. 2. Заинтересованото физическо лице може да иска прилагането спрямо вносителя на данни на настоящата клауза, клауза 5, букви а)—д) и буква ж), клауза 6, клауза 7, клауза 8, параграф 2 и клаузи 9—12, в случай че износителят на данни е изчезнал фактически или е престанал да съществува юридически, освен ако правоприемник не е поел всички правни задължения на износителя на данни чрез договор или по закон, в резултат на което правата и задълженията на износителя на данни преминават върху правоприемника, в който случай физическото лице може да иска прилагането им спрямо правоприемника. […]“.

27. Предвидената в посоченото приложение клауза 4, озаглавена „Задължения на износителя на данни“, гласи: „Износителят на данни приема и гарантира, че: а) обработването, включително самото предаване, на лични данни се извършва и ще продължава да се извършва съгласно съответните разпоредби на приложимото право за защита на данните (и ако е приложимо, съответните компетентни органи на държавата членка, в която е установен износителят на данни, са били уведомени за обработването) и не нарушава съответните разпоредби на тази държава; б) е инструктирал и по време на периода на услугите по обработване на личните данни ще инструктира вносителя на данни да обработва предаваните лични данни единствено от името на износителя на данни и в съответствие с приложимото право за защита на данните и клаузите; в) вносителят на данни осигурява достатъчни гаранции по отношение на техническите и организационните мерки за сигурност, посочени в допълнение 2 към настоящия договор; г) след оценка на изискванията на приложимото право за защита на данните мерките за сигурност са годни да защитават личните данни срещу неволно или незаконно унищожаване или неволно загубване, промяна, неразрешено разкриване или достъп, особено когато обработването предполага предаването на данни по мрежа, и срещу всяка друга незаконна форма на обработване и че тези мерки гарантират равнище на сигурност, адаптирано към рисковете, свързани с обработването и характера на данните, подлежащи на защита, като се имат предвид равнището на технологично развитие и разходите за тяхното изпълнение; д) ще осигури спазването на мерките за сигурност; е) ако предаването включва специални категории от данни, заинтересованото физическо лице е било информирано или ще бъде информирано преди или непосредствено след предаването, че неговите данни могат да бъдат предадени на трета страна, която не осигурява достатъчна степен на защита по смисъла на [Директива 95/46]; ж) ще изпрати всяко уведомление, получено от вносителя на данни или от подизпълнител съгласно клауза 5, буква б) и клауза 8, параграф 3, на надзорния орган за защита на данните, ако износителят на данни реши да продължи предаването или да отмени спирането; з) при поискване ще предостави на заинтересованото физическо лице копие от клаузите, с изключение на допълнение 2 и кратко описание на мерките за сигурност, както и копие от всеки договор за предаване за подизпълнение, който следва да бъде сключен в съответствие с клаузите, освен ако клаузите или договорът съдържат търговска информация, като в такъв случай тази търговска информация може да бъде премахната; и) в случай на предаване за подизпълнение, дейността по подизпълнение се извършва съгласно клауза 11 от подизпълнител, който предоставя поне същата степен на защита на личните данни и правата на заинтересованото физическо лице като вносителя на данни съгласно клаузите; и й) ще осигури спазването на клауза 4, букви а)—и)“.

28. Предвидената в същото приложение клауза 5, озаглавена „Задължения на вносителя на данни(1)“, гласи: „Вносителят на данни приема и гарантира, че: а) ще обработва личните данни единствено от името на износителя на данни и в съответствие с неговите инструкции и клаузите; ако не може да осигури такова съответствие по каквито и да е причини, той приема да информира своевременно износителя на данни за невъзможността да осигури съответствие, като в такъв случай износителят на данни може да спре предаването на данни и/или да прекрати договора; б) няма причини да се смята, че приложимото за него законодателство го възпрепятства да изпълнява инструкциите, получени от износителя на данни, и задълженията си по договора и че в случай на промяна на това законодателство, която може да има съществени неблагоприятни последици върху гаранциите и задълженията, предвидени от клаузите, той своевременно ще уведоми износителя на данни за промяната без забавяне, като в такъв случай износителят на данни може да спре предаването на данни и/или да прекрати договора; в) прилага техническите и организационните мерки за сигурност, посочени в допълнение 2, преди обработването на предаваните лични данни; г) своевременно ще уведомява износителя на данни за: i) всяко правнообвързващо искане за разкриване на личните данни от правоприлагащ орган, освен ако в закона не е предвидено друго, като например наказателноправна забрана за разкриване на информация с цел запазване на тайната на разследване от страна на правоприлагащ орган, ii) всеки случай на неволен или неразрешен достъп, и iii) всяко искане, получено пряко от заинтересованите физически лица, без да отговаря на такова искане, освен ако не му е било разрешено; д) ще обработва своевременно и по необходимия начин всички запитвания от страна на износителя на данни, свързани с начина му на обработване на личните данни, подлежащи на предаване, и ще се съобразява с насоките на надзорния орган по отношение на обработването на предаваните данни; е) по искане на износителя на данни ще предостави оборудването и средствата си за обработване на данни за проверка на обхванатите от клаузите дейности по обработване, която проверка се извършва от износителя на данни или от контролен орган, съставен от независими членове с необходимата професионална квалификация, който е длъжен да пази служебна тайна, избран от износителя на данни, ако е приложимо, със съгласието на надзорния орган; […]“.

29. Съгласно бележка под линия 1, към която препраща заглавието на клауза 5, съдържаща се в приложението към решение 2010/87: „Императивните изисквания на националното законодателство, прилагащи се за вносителя на данни, които не се простират извън необходимото в едно демократично общество, въз основа на един от интересите, изброени в член 13, параграф 1 от [Директива 95/46], т.е. ако те представляват необходима мярка за гарантиране на националната сигурност, отбраната, обществената сигурност, предотвратяването, разследването, разкриването и преследването на престъпления или на нарушения на етичните кодекси при регламентираните професии, важни икономически и финансови интереси на държавата или защитата на заинтересованото физическо лице или на правата и свободите на други лица, не са в противоречие със стандартните договорни клаузи. Няколко примера за такива императивни изисквания, които не се простират извън необходимото в едно демократично общество, са inter alia международно признатите санкции, изискванията за данъчно деклариране или изискванията за деклариране на мерки срещу изпирането на пари“.

30. Съдържащата се в това приложение клауза 6, озаглавена „Отговорност“, гласи: „1. Страните се споразумяват, че всяко физическо лице, което претърпи вреда в резултат на нарушаване на задълженията, посочени в клауза 3 или в клауза 11, от страна на една от страните или на подизпълнител, има право да получи обезщетение от износителя на данни за претърпяната вреда. 2. Ако заинтересованото физическо лице не може да подаде иск за обезщетение в съответствие с параграф 1, произтичащ от нарушение от страна на вносителя на данни или негов подизпълнител на техните задължения, посочени в клауза 3 или в клауза 11, поради това че износителят на данни е изчезнал фактически или е престанал да съществува юридически или е изпаднал в несъстоятелност, вносителят на данни приема, че заинтересованото физическо лице може да подаде иск срещу него, както ако той би бил износителя на данни, освен ако правоприемник не е поел всички правни задължения на износителя на данни чрез договор или по закон, в който случай физическото лице може да иска прилагането на правата си спрямо правоприемника. […]“.

31. Съдържащата се в посоченото приложение клауза 7, озаглавена „Медиация и съд“, гласи: „1. Вносителят на данни приема, че ако заинтересованото физическо лице се позове спрямо него на права като трето лице бенефициер и/или търси обезщетение за вреди съгласно настоящите клаузи, вносителят на данни ще приеме решението на заинтересованото физическо лице: а) да предаде спора за медиация от страна на независимо лице или, ако е приложимо, от страна на надзорния орган; б) да предаде спора на съдилищата в държавата членка, в която е установен износителят на данни. 2. Страните се споразумяват, че изборът на заинтересованото физическо лице не засяга неговите материални или процесуални права да търси обезщетение в съответствие с други разпоредби на националното или международното право“.

32. Съдържащата се в същото приложение клауза 9, озаглавена „Приложимо право“, предвижда, че стандартните договорни клаузи се уреждат от правото на държавата членка, в която е установен износителят на данни.

Г. Решението относно Щита за личните данни

33. Член 25, параграф 6 от Директива 95/46 е послужил като основание за приемането от Комисията на две последователни решения, с които тя установява, че Съединените щати осигуряват адекватно ниво на защита на личните данни, предавани към установени в Съединените щати предприятия, които са декларирали, че се придържат към изложените в тези решения принципи чрез процедура на самосертифициране.

34. Първо Комисията приема Решение 2000/520/ЕО относно адекватността на защитата, гарантирана от принципите за „сфера на неприкосновеност на личния живот“ и свързаните с това често задавани въпроси, публикувани от Департамента по търговия на САЩ ( 11 ). В решение от 6 октомври 2015 г., Schrems ( 12 ) Съдът обявява това решение за невалидно.

35. Вследствие на това съдебно решение Комисията по-късно приема решението относно Щита за личните данни.

36. Член 1 от това решение гласи: „1. По смисъла на член 25, параграф 2 от [Директива 95/46] Съединените американски щати гарантират адекватна степен на защита за личните данни, които се предават от Съюза към организации в Съединените щати съгласно Щита за личните данни в отношенията между ЕС и САЩ. 2. Щитът за личните данни в отношенията между ЕС и САЩ се състои от Принципите, публикувани от Министерството на търговията на САЩ на 7 юли 2016 г., както те са установени в приложение II, и официалните писмени изявления и ангажиментите, съдържащи се в документите, поместени в приложения I и III—VII. 3. За целите на параграф 1 личните данни се предават съгласно Щита за личните данни в отношенията между ЕС и САЩ, когато предаването се извършва от Съюза към организации в Съединените американски щати, които са включени в „списъка към Щита за личните данни“, който се поддържа и се предоставя за публичен достъп от Министерството на търговията на САЩ, в съответствие с точки I и III от Принципите, установени в приложение II“.

37. Приложение III А от това решение, озаглавено „Механизъм на омбудсмана на щита за личните данни в отношенията между ЕС и САЩ по отношение на радиоелектронното разузнаване“, приложено към писмо от 7 юли 2016 г. на тогавашния Secretary of State (държавен секретар на САЩ) г‑н Джон Кери, съдържа меморандум, който описва нова процедура по медиация, посредством „старши координатор на международната дипломация в областта на информационните технологии“ (наричан по-нататък „Омбудсманът“), който се назначава от държавния секретар.

38. Съгласно меморандума този механизъм е въведен „за улесняване обработването на искания във връзка с достъпа за целите на националната сигурност до данни, предавани от [Съюза] към Съединените щати съгласно Щита за личните данни, стандартни договорни клаузи (СДК), задължителни фирмени правила (ЗФП) „дерогации“ или „възможни бъдещи дерогации“, по установения ред съгласно приложимото законодателство и политиката на Съединените щати, както и предоставянето на отговор на такива искания“.

III. Спорът в главното производство, преюдициалните въпроси и производството пред Съда

39. Г‑н Schrems, пребиваващ в Австрия гражданин на тази държава, е потребител на социалната мрежа Facebook. Всички потребители на тази социална мрежа, пребиваващи на територията на Съюза, при регистрацията си са длъжни да сключат договор с Facebook Ireland, дъщерно дружество на Facebook Inc., чието седалище е в Съединените щати. Личните данни на тези потребители изцяло или частично се прехвърлят към разположени на територията на Съединените щати сървъри на Facebook Inc., където се обработват.

40. На 25 юни 2013 г. г‑н Schrems подава жалба до КЗЛД, с която по същество иска от него да забрани на Facebook Ireland да предава отнасящите се до него лични данни към Съединените щати. В жалбата г‑н Schrems твърди, че действащите в момента право и практики в тази трета страна не гарантират достатъчна защита на съхраняваните на територията ѝ лични данни срещу намесата вследствие извършваните в страната дейности по наблюдение от публичните органи. В това отношение г‑н Schrems се позовава на направените от г‑н Едуард Сноудън разкрития относно дейността на разузнавателните служби на Съединените щати, и по-специално дейността на National Security Agency (NSA) (Агенция за национална сигурност, Съединени щати).

41. Тази жалба е отхвърлена на основание по-специално, че всеки въпрос относно адекватността на осигурената защита в Съединените щати следва да се решава в съответствие с решението относно сферата на неприкосновеност. В това решение Комисията е констатирала, че тази трета страна гарантира адекватно ниво на защита на личните данни, предавани към установени на територията ѝ предприятия, които спазват изложените в посоченото решение принципи.

42. Г‑н Schrems обжалва решението за отхвърляне на жалбата му пред High Court (Висш съд). Според тази юрисдикция, въпреки че г‑н Schrems формално не е поставил под въпрос валидността на решението относно сферата на неприкосновеност, в жалбата си той всъщност оспорва законосъобразността на установения с това решение режим. При тези обстоятелства посочената юрисдикция отправя до Съда въпроси, които по същество имат за цел да се установи дали, когато са сезирани с жалба относно защитата на правата и свободите на лице във връзка с обработването на отнасящи се до него лични данни, които са предадени на трета държава, органите на държавите членки за защита на личните данни (наричани по-нататък „надзорните органи“) са обвързани от констатациите относно адекватността на предлаганата от тази трета държава степен на защита, направени от Комисията в съответствие с член 25, параграф 6 от Директива 95/46, при положение че жалбоподателят оспорва тези констатации.

43. След като в точки 51 и 52 от решение Schrems приема, че решението за адекватност обвързва надзорните органи, докато не бъде обявено за невалидно, в точки 63 и 65 от това решение Съдът посочва: „63. […] [К]огато лице, чиито лични данни са били или биха могли да бъдат прехвърлени към трета страна, по отношение на която има решение на Комисията по член 25, параграф 6 от Директива 95/46, сезира национален надзорен орган с искане, отнасящо се до защитата на неговите права и свободи при обработването на тези данни, и […] в това искане се оспорва съвместимостта на посоченото решение със защитата на личния живот и на основните права и свободи на лицата, органът трябва да разгледа искането с цялата дължима грижа. […] 65. В [хипотезата, при която] органът счете за основателни твърденията за нарушения, които са изложени от [това лице], в съответствие с член 28, параграф 3, първа алинея, трето тире от Директива 95/46, разглеждан във връзка по-специално с член 8, параграф 3 от Хартата, същият орган трябва да може да предприеме действия по съдебен ред. В това отношение националният законодател трябва да предвиди правни способи, позволяващи на съответния национален надзорен орган да изложи твърденията за нарушения, които счита за основателни, пред националните юрисдикции, така че ако последните споделят съмненията на органа относно валидността на решението на Комисията, да отправят преюдициално запитване с цел проверка на валидността на решението“.

44. В посоченото решение Съдът е разгледал също валидността на решението относно сферата на неприкосновеност с оглед на изискванията, произтичащи от Директива 95/46, разглеждана във връзка с Хартата. В края на това разглеждане той обявява посоченото решение за невалидно ( 13 ).

45. Вследствие на решението Schrems запитващата юрисдикция отменя решението, с което КЗЛД отхвърля жалбата на г‑н Schrems, и я връща на КЗЛД за разглеждане. Последният започва разследване и приканва г‑н Schrems да преформулира жалбата си с оглед на обявяването на решението относно сферата на неприкосновеност за невалидно.

46. За тази цел г‑н Schrems иска от Facebook Ireland да посочи правните основания, въз основа на които личните данни на потребителите на социалната мрежа Facebook се предават от Съюза към Съединените щати. Без да посочи всички правни основания, на които се основава, Facebook Ireland се позовава на сключено между него и Facebook Inc. споразумение за предаване и обработване на данни (data transfer processing agreement), в сила от 20 ноември 2015 г., и изтъква решение 2010/87.

47. В преформулираната си жалба г‑н Schrems изтъква, от една страна, че клаузите на това споразумение не са в съответствие със стандартните договорни клаузи, съдържащи се в приложението към Решение 2010/87. От друга страна, г‑н Schrems твърди, че във всеки случай тези стандартни договорни клаузи не могат да са основание за предаване на отнасящите се до него лични данни към Съединените щати. Това било така, тъй като американското право задължава Facebook Inc. да предоставя личните данни на потребителите си на американски органи като NSA и Federal Bureau of Investigation (FBI) (Федерално бюро за разследване, Съединени щати) в рамките на програми за наблюдение, които възпрепятствали упражняването на правата, гарантирани в членове 7, 8 и 47 от Хартата. Г‑н Schrems твърди, че нито един способ за защита не позволява на субектите на данни да упражнят правата си на зачитане на личния живот и на защита на личните данни. При това положение г‑н Schrems иска от КЗЛД да преустанови това предаване на основание член 4 от решение 2010/87.

48. По време на разследването на КЗЛД Facebook Ireland признава, че продължава да предава към Съединените щати личните данни на пребиваващите в Съюза потребители на социалната мрежа Facebook и че за тази цел се основава до голяма степен на стандартните договорни клаузи, съдържащи се в приложението към Решение 2010/87.

49. Целта на разследването на КЗЛД е да определи, от една страна, дали Съединените щати осигуряват подходяща защита на личните данни на гражданите на Съюза и от друга страна, в случай че това не е така, дали решенията за СДК предоставят достатъчни гаранции по отношение на защитата на основните права и свободи на тези граждани.

50. В това отношение в проект на решение (draft decision) КЗЛД временно приема, че американското право не предоставя съвместими с член 47 от Хартата ефективни средства за правна защита на гражданите на Съюза, чиито данни се предават към Съединените щати, където има опасност да бъдат обработвани от американските агенции за целите на националната сигурност по начин, който е несъвместим с членове 7 и 8 от Хартата. Гаранциите, предвидени от клаузите, съдържащи се в приложението към решенията за СДК, не преодолявали този недостатък, тъй като не обвързват органите или агенциите на Съединените щати и предоставят на субектите на данни само договорни права срещу вносителя и/или износителя на данни.

51. При това положение КЗЛД приема, че не може да се произнесе по жалбата на г‑н Schrems, без Съдът да разгледа валидността на решенията за СДК. Ето защо в съответствие с предвиденото в точка 65 от решение Schrems КЗЛД иска започване на производство пред запитващата юрисдикция, което има за цел последната да отправи преюдициално запитване до Съда относно валидността на тези решения, ако споделя съмненията на КЗЛД.

52. Правителството на Съединените щати, Electronic Privacy Information Centre (наричан по-нататък „EPIC“), Business Software Alliance (наричан по-нататък „BSA“) и Digitaleurope са допуснати да встъпят пред запитващата юрисдикция.

53. За да определи дали споделя съмненията на КЗЛД относно валидността на решенията за СДК, High Court (Висш съд) получава представените от страните по спора доказателства и изслушва техните доводи, както и тези на встъпилите страни. По-специално експерти са представили доказателства относно разпоредбите на правото на Съединените щати. В ирландското право чуждото законодателство се приема за фактически въпрос, който трябва да бъде установен чрез доказателства, както всеки друг факт. Въз основа на тези доказателства запитващата юрисдикция преценява разпоредбите на правото на Съединените щати, които разрешават наблюдението от страна на правителствените органи и агенции, функционирането на двете публично признати програми за наблюдение („PRISM“ и „Upstream“), различните правни средства за защита, достъпни за частноправните субекти, чиито права са нарушени от мерките за наблюдение, както и системните гаранции и механизмите за контрол. Тази юрисдикция отразява резултатите от посочената преценка в решение от 3 октомври 2017 г., приложено към акта ѝ за преюдициално запитване (наричано по-нататък „решението на High Court (Висш съд) от 3 октомври 2017 г.“).

54. В това решение сред правните основания, разрешаващи прихващането на чуждестранни съобщения от американските разузнавателни служби, запитващата юрисдикция изтъква член 702 от Foreign Intelligence and Srveillance Act (Закон за упражняване на надзор върху външното разузнаване, наричан по-нататък „FISA“) и Executive Order 12333 (Президентски указ № 12333, наричан по-нататък „EO 12333“).

55. Съгласно констатациите, направени в посоченото решение, член 702 от FISA позволява на Attorney General (главен прокурор, Съединени щати) и на Director of National Intelligence (DNI) (директор на националното разузнаване, Съединени щати) с цел събиране на външноразузнавателна информация съвместно да разрешават за срок от една година наблюдението на лица, които не са американски граждани и не пребивават трайно в Съединените щати (наречени „лица, които не са американски граждани“), когато има разумни основания да се счита, че се намират извън територията на Съединените щати ( 14 ). Съгласно FISA понятието „външноразузнавателна информация“ обозначава информацията относно способността на правителството да се защити срещу чуждите атаки, тероризма, разпространението на оръжия за масово унищожение, както и да провежда външната политика на Съединените щати ( 15 ).

56. Тези годишни разрешения, както и процедурите, уреждащи определянето на лицата за наблюдение и обработването („свеждане до минимум“) на събраната информация ( 16 ), трябва да бъдат одобрени от Foreign Intelligence Surveillance Court (FISC) (Съд по надзора върху външното разузнаване, Съединени щати). Докато „традиционното“ наблюдение, извършвано въз основа на други разпоредби на FISA, изисква да се установи „вероятна причина“, която позволява да се предполага, че наблюдаваните лица принадлежат на чуждестранна сила или са нейни агенти, дейностите по наблюдение съгласно член 702 от FISA не са предмет нито на установяването на такава „вероятна причина“, нито на одобрението от FISC на определянето на дадени лица за наблюдение. Освен това също съгласно констатациите на запитващата юрисдикция процедурите за свеждане до минимум на информацията не се прилагат за лицата, които не са американски граждани, установени извън Съединените щати.

57. На практика след получаването на разрешение от FISC NSA изпраща на установени в Съединените щати доставчици на електронни съобщителни услуги указания, съдържащи критерии за търсене, наречени „критерии за подбор“, свързани с лицата, обект на наблюдение (като телефонни номера или адреси на електронна поща). В този случай тези доставчици са длъжни да предадат на NSA данните, които съответстват на критериите за подбор, и трябва да пазят тайна по отношение на дадените им указания. Те могат да подадат искане до FISC с цел изменение или отхвърляне на указание на NSA. Решението на FISC може да бъде обжалвано пред Foreign Intelligence Surveillance Court of Review (FISCR) (Съд по преразглеждане на решенията относно надзора върху външното разузнаване, Съединени щати).

58. High Court (Висш съд) констатира, че член 702 от FISA служи като правно основание за програмите PRISM и Upstream.

59. В рамките на програмата PRISM доставчиците на електронни съобщителни услуги са длъжни да предоставят на NSA всички съобщения „от“ или „към“ посочения от нея критерий за подбор. Една част от тези съобщения се предавали на FBI и на Central Intelligence Agency (CIA) (Централно разузнавателно управление, Съединени щати). През 2015 г. били наблюдавани 94386 лица, а през 2011 г. правителството на Съединените щати се сдобило с повече от 250 милиона съобщения в рамките на тази програма.

60. Програмата Upstream се основава на задължителното съдействие на предприятията, които управляват „опорната мрежа“, а именно кабелната мрежа, комутаторите и рутерите, по която се пренасят телефонните и интернет съобщенията. Тези предприятия са принудени да позволят на NSA да копира и филтрира потоците интернет трафик, за да се сдобие със съобщенията „от“, „към“ или „относно“ критерий за подбор, посочен в указание на тази агенция. Съобщенията „относно“ критерий за подбор обозначават тези, които имат отношение към този критерий за подбор, без непременно свързаното с посочения критерий за подбор лице, което не е американски гражданин, да участва в тях. Макар от становище на FISC от 26 април 2017 г. да става ясно, че след тази дата американското правителство вече не събира и не придобива съобщения „относно“ критерий за подбор, това становище не посочва, че NSA е спряла да копира и филтрира потоци от принасяни съобщения чрез своя механизъм за наблюдение. Ето защо програмата Upstream предполага достъп на NSA както до метаданните, така и до съдържанието на съобщенията. От 2011 г. досега NSA събира по около 26,5 милиона съобщения годишно в рамките на програмата Upstream, което обаче представлява само малка част от съобщенията, обект на филтрирането, извършено съгласно тази програма.

61. Освен това съгласно констатациите на High Court (Висш съд) EO 12333 разрешава наблюдението на електронните съобщения извън територията на Съединените щати, като за външноразузнавателни цели позволява достъпа до данни, които „се пренасят“ към или „през“ тази територия, без да са предназначени за обработване там, както и събирането и съхраняването на такива данни. EO 12333 определя понятието „външноразузнавателна информация“ като включващо информацията относно възможностите, намеренията или дейностите на чужди правителства, чужди организации или чужди лица ( 17 ).

62. EO 12333 упълномощава достъпа на NSA до подводните кабели, разположени на дъното на Атлантическия океан, чрез които се предават данните от Съюза към Съединените щати, преди тези данни да пристигнат в Съединените щати и към тях да започнат да се прилагат разпоредбите на FISA. Няма обаче доказателства за програма, изпълнявана в съответствие с този президентски указ.

63. Въпреки че EO 12333 предвижда ограничения относно събирането, съхранението и разпространението на информация, тези ограничения не се прилагат за лица, които не са американски граждани. Последните се ползват единствено от гаранциите, посочени в Presidential Policy Directive 28 (Президентска изпълнителна директива № 28, наричана по-нататък „PPD 28“), която се прилага към всички дейности по събиране и използване на радиоелектронна външноразузнавателна информация. PPD 28 предвижда, че зачитането на личния живот е неразделна част от съображенията, които трябва да се вземат предвид при планирането на тези дейности, че събирането трябва да има за цел само придобиването на разузнавателни или контраразузнавателни сведения и че посочените дейности трябва да бъдат „съобразени с конкретния случай, доколкото това е практически възможно“.

64. Според запитващата юрисдикция дейностите на NSA, основаващи се на EO 12333, който във всеки един момент може да бъде изменен или отменен от президента на Съединените щати, не се уреждат от закона, не са предмет на съдебен надзор и не могат да бъдат обжалвани по съдебен ред.

65. Въз основа на тези констатации тази юрисдикция приема, че Съединените щати извършват масово и безразборно обработване на лични данни, което може да изложи субектите на данни на риск от нарушаване на техните права, произтичащи от членове 7 и 8 от Хартата.

66. Нещо повече, посочената юрисдикция изтъква, че гражданите на Съюза нямат достъп до същите правни средства за съдебна защита срещу неправомерното обработване на техните лични данни от американските органи, както американските граждани. Четвъртата поправка на Конституцията на Съединените щати, която e най важната защита срещу незаконното наблюдение, не е приложима към гражданите на Съюза, които нямат значима доброволна връзка със Съединените щати. Макар последните все пак да разполагат с някои други правни средства за защита, те се сблъскват със значителни препятствия.

67. По-специално член III от Конституцията на Съединените щати обвързва всяко правно средство за защита пред федералните юрисдикции с установяването от съответното лице на неговата процесуална легитимация (standing). Процесуалната легитимация предполага по-специално това лице да докаже, че е претърпяло действителна вреда, която, от една страна, е конкретна и персонализирана а от друга — действителна и непосредствена. Като се позовава по-специално на решение на Supreme Court of the United States (Върховен съд на Съединените щати), Clapper с/у Amnesty International US ( 18 ), запитващата юрисдикция счита, че това условие на практика е изключително трудно за изпълнение с оглед по-специално на липсата на каквото и да е задължение за информиране на субектите на данни за взетите спрямо тях мерки за наблюдение ( 19 ). Една част от правните средства за защита, достъпни за гражданите на Съюза, освен това е обвързана с други ограничителни условия, като необходимостта да се установи имуществена вреда. Суверенният имунитет, признат на разузнавателните агенции, и класифицирането на съответната информация също възпрепятствали упражняването на някои способи за защита ( 20 ).

68. Освен това High Court (Висш съд) посочва различни механизми за контрол и наблюдение на дейностите на разузнавателните агенции.

69. Сред тях са, от една страна, механизмът за ежегодно сертифициране от FISC на програмите, основани на член 702 от FISA, при което обаче FISC не одобрява индивидуалните критерии за подбор. Освен това никакъв предварителен съдебен контрол не урежда събирането на външноразузнавателна информация съгласно EO 12333.

70. От друга страна, запитващата юрисдикция се позовава на различни механизми за извънсъдебен надзор на разузнавателните дейности. Тя посочва по-конкретно ролята на Inspectors General (главни инспектори, Съединени щати), които във всяка една разузнавателна агенция отговарят за надзора на дейностите по наблюдение. Освен това Privacy and Civil Liberties Oversight Board (PCLOB) (Надзорен съвет по въпросите на неприкосновеността на личния живот и гражданските свободи, Съединени щати), независима агенция в рамките на изпълнителната власт, получава доклади от назначените към всяка агенция лица като служители по въпросите на гражданските свободи или неприкосновеността на личния живот (civil liberties or privacy officers). PCLOB подготвя редовно доклади до парламентарните комисии и президента. Съответните агенции трябва да свеждат инцидентите, свързани с нарушения на правилата и процедурите, уреждащи събирането на външноразузнавателна информация, до знанието по-специално на DNI. Тези инциденти се докладват и на FISC. Конгресът на Съединените щати посредством комисиите по въпросите на разузнаването към Камарата и Сената също носи отговорност да контролира външноразузнавателните дейности.

71. High Court (Висш съд) обаче отбелязва основната разлика между, от една страна, правилата, с които се цели да се гарантира, че данните са придобити законосъобразно и че след придобиването им с тях няма да се злоупотреби, и от друга страна, наличните правни средства за защита при нарушение на тези правила. Защитата на основните права на субектите на данни е гарантирана само ако ефективни средства за правна защита им позволяват да упражнят правата си в случай на нарушение на посочените правила.

72. При това положение запитващата юрисдикция приема за основателни доводите на КЗЛД, че ограниченията, наложени от американското законодателство на правото на средства за защита на лицата, чиито данни се предават от Съюза, не отговарят на основното съдържание на правото, гарантирано в член 47 от Хартата, и във всеки случай представляват непропорционална намеса в упражняването на това право.

73. Според High Court (Висш съд) въвеждането от американското правителство на механизма на омбудсмана, описан в решението относно Щита за личните данни, не поставя под въпрос тази преценка. След като подчертава, че този механизъм е достъпен за гражданите на Съюза, които на разумна основа считат, че техните данни са предадени съгласно решенията за СДК ( 21 ), тази юрисдикция отбелязва, че омбудсманът не е съд, отговарящ на изискванията на член 47 от Хартата, и по-конкретно не е независим от изпълнителната власт ( 22 ). Посочената юрисдикция се съмнява също, че намесата на омбудсмана, чиито решения не могат да бъдат обжалвани пред съд, е ефективно средство за правна защита. Всъщност тази намеса не позволява на лицата, чиито лични данни са събрани, обработени или споделени незаконосъобразно, да получат обезщетение или разпореждане за спиране на незаконните действия, тъй като омбудсманът нито потвърждава, нито отрича, че жалбоподател е бил обект на мярка за електронно наблюдение.

74. След като излага по този начин загрижеността си относно равностойността по същество между предвидените от американското право гаранции и изискванията, произтичащи от членове 7, 8 и 47 от Хартата, запитващата юрисдикция излага питанията си за това дали стандартните договорни клаузи, предвидени в решенията за СДК — които по своя характер не обвързват американските органи — все пак могат да гарантират защитата на основните права на субектите на данни. От това тази юрисдикция стига до извода, че споделя съмненията на КЗЛД относно валидността на тези решения.

75. В това отношение запитващата юрисдикция счита по-специално, че член 28, параграф 3 от Директива 95/46, към който препраща член 4 от Решение 2010/87, доколкото признава на надзорните органи правомощието да спрат или забранят предаване на данни, основано на предвидените в това решение стандартни договорни клаузи, не е достатъчно да разсее тези съмнения. Освен че това правомощие според нея има само дискреционен характер, запитващата юрисдикция си поставя въпроса с оглед на съображение 11 от Решение 2010/87 за възможността за упражняването му, когато установените пропуски не се отнасят до конкретен и изключителен случай, а имат общ и системен характер ( 23 ). Тя счита също така, че опасността в различните държави членки да бъдат произнесени различни решения, може да се противопостави на това установяването на такива пропуски да се повери на надзорните органи.

76. При тези обстоятелства с решение от 4 май 2018 г. ( 24 ), постъпило в секретариата на Съда на 9 май 2018 г., High Court (Висш съд) спира производството по делото и поставя на Съда следните преюдициални въпроси: „1) В случай че от частно дружество от държава членка на [Съюза] се предават лични данни към частно дружество в трета държава за търговски цели съгласно [Решение 2010/87] и тези данни могат да се обработват допълнително в третата държава от нейните органи за цели, свързани с националната сигурност, но също така и за целите на поддържането на обществения ред и провеждането на външната политика на третата държава, прилага ли се правото на Съюза (включително Хартата) по отношение на предаването на данните, независимо от разпоредбите на член 4, параграф 2 ДЕС във връзка с националната сигурност и разпоредбите на член 3, параграф 2, първо тире от [Директива 95/46] във връзка с обществената сигурност, отбраната и държавната сигурност? 2) а) За да се определи дали е извършено нарушение на правата на дадено физическо лице чрез предаването на данни от [Съюза] към трета държава съгласно Решение [2010/87], когато данните могат да се обработват допълнително за цели, свързани с националната сигурност, кой е релевантният критерий за сравнение за целите на Директива [95/46]: i) Хартата, ДЕС, ДФЕС, Директива [95/46], [Европейската конвенция за защита на правата на човека и основните свободи, подписана в Рим на 4 ноември 1950 г. (наричана по-нататък „ЕКПЧ“)] (или друга разпоредба на правото на Съюза); или ii) законодателството на една или повече държави членки? б) Ако релевантният критерий за сравнение е посоченият в [подточка ii)], следва ли практиките в контекста на националната сигурност в една или повече държави членки също да бъдат включени в критерия за сравнение? 3) Когато се преценява дали дадена трета държава осигурява изискваната от правото на Съюза степен на защита на предадените към тази държава лични данни за целите на член 26 от Директива [95/46], следва ли степента на защита в третата държава да се оценява с оглед на: а) приложимите правила в третата държава, произтичащи от вътрешното ѝ законодателство или от сключените от нея международни споразумения, както и практиката по осигуряване на спазването на тези правила, включително професионалните правила и мерките за сигурност, които се спазват в тази трета държава; или б) правилата, посочени в буква а), заедно с всички административни, регулаторни практики и практики за осигуряване на съответствие, политически гаранции, процедури, протоколи, надзорни механизми и извънсъдебни средства за защита, които съществуват в третата страна? 4) Предвид обстоятелствата, установени от High Court (Висш съд) във връзка с правото на Съединените щати, ако личните данни се предават от [Съюза] към Съединените щати съгласно Решение [2010/87], това нарушава ли правата на физическите лица по член 7 и/или член 8 от Хартата? 5) Предвид обстоятелствата, установени от High Court (Висш съд) във връзка с правото на Съединените щати, ако се предават лични данни от [Съюза] към Съединените щати съгласно Решение [2010/87]: а) Степента на защита, предоставена от Съединените щати, зачита ли основното съдържание на гарантираното с член 47 от Хартата право на физическите лица на правни средства за защита пред съд в случай на нарушение на техните права във връзка със защита на личните им данни? При утвърдителен отговор на въпроса по буква а), б) Дали ограниченията, наложени от законодателството на Съединените щати спрямо правото на физическите лица на правни средства за защита пред съд в контекста на националната сигурност на Съединените щати, са пропорционални по смисъла на член 52 от Хартата и не надхвърлят рамките на необходимото в едно демократично общество за цели, свързани с националната сигурност? 6) а) Каква е степента на защита, която следва да се осигури по отношение на личните данни, които се предават на трета държава съгласно стандартни договорни клаузи, приети в съответствие с решение на Комисията съгласно член 26, параграф 4 от Директива [95/46], в светлината на разпоредбите [на тази директива], и по-специално членове 25 и 26 [от нея], разглеждани във връзка с Хартата? б) Кои са въпросите, които трябва да бъдат взети предвид, когато се преценява дали степента на защита на данните, прехвърлени към трета страна съгласно Решение [2010/87], отговаря на изискванията на Директива [95/46] и на Хартата? 7) От обстоятелството, че стандартните договорни клаузи се прилагат само между износителя на данни и вносителя на данни и не обвързват националните органи на трета държава, които могат да изискват от вносителя на данни да предоставя на службите за сигурност за допълнителна обработка личните данни, предавани съгласно предвидените в Решение [2010/87] клаузи, следва ли, че тези клаузи не предоставят достатъчно гаранции, както се изисква от член 26, параграф 2 от Директива [95/46]? 8) Ако вносител на данни от трета страна е обект на надзорни норми, които според [надзорен орган] са в противоречие със стандартните договорни клаузи или с членове 25 и 26 от Директива [95/46] и/или с Хартата, длъжен ли е [надзорният орган] да използва своите изпълнителни правомощия съгласно член 28, параграф 3 от Директива [95/46], за да спре потока от данни, или упражняването на тези правомощия е ограничено единствено до изключителни случаи в светлината на съображение 11 от [Решение 2010/87], или [надзорният орган] може да използва правото си на преценка, за да не спира потока от данни? 9) а) За целите на член 25, параграф 6 от Директива [95/46] представлява ли [решението относно Щита за личните данни] задължителна за [надзорните органи] и съдилищата на държавите членки констатация от общ характер, че Съединените щати осигуряват достатъчна степен на защита по смисъла на член 25, параграф 2 от Директива [95/46] по силата на вътрешното си законодателство или на международните споразумения, по които са страна? б) Ако това не е така, какво значение има [решението относно Щита за личните данни], ако изобщо има някакво значение, когато се преценява дали гаранциите, осигурени по отношение на данни, предавани в Съединените щати в съответствие с Решение [2010/87], са достатъчни? 10) Предвид обстоятелствата, установени от High Court (Висш съд) във връзка с правото на Съединените щати, дали създаването на омбудсмана към Щита за личните данни съгласно [приложение III А] към [решението относно Щита за личните данни], разгледано във връзка със съществуващия в Съединените щати режим, гарантира, че Съединените щати осигуряват правни средства за защита на заинтересованите физически лица, чиито лични данни се предават към Съединените щати съгласно Решение [2010/87], които са съвместими с член 47 от Хартата? 11) Решение [2010/87] нарушава ли членове 7, 8 и/или 47 от Хартата?“.

77. Писмени становища пред Съда са представили КЗЛД, Facebook Ireland, г‑н Schrems, правителството на Съединените щати, EPIC, BSA, Digitaleurope, Ирландия, белгийското, чешкото, германското, нидерландското, австрийското, полското, португалското правителство и правителството на Обединеното кралство, Европейският парламент и Комисията. КЗЛД, Facebook Ireland, г‑н Schrems, правителството на Съединените щати, EPIC, BSA, Digitaleurope, Ирландия, германското, френското, нидерландското, австрийското правителство и правителството на Обединеното кралство, Парламентът, Комисията, както и Европейският комитет по защита на данните, ЕКЗД) са представлявани в съдебното заседание за изслушване на устните състезания, проведено на 9 юли 2019 г.

IV. Анализ

А. Предварителни съображения

78. В резултат на обявяването на решението относно сферата на неприкосновеност за невалидно от Съда в решение Schrems предаването на лични данни към Съединените щати продължава съгласно други правни основания. По-специално дружествата — износители на данни, са имали възможност да сключат договори с вносителите на данни, включващи стандартни клаузи, изготвени от Комисията. Тези клаузи служат и като правно основание за предаването на данни към много други трети държави, по отношение на които Комисията не е приела решения относно адекватното ниво на защита ( 25 ). Решението относно Щита за личните данни вече позволява на предприятията, които са се самосертифицирали, че спазват посочените в него принципи, да предават данни към Съединените щати без допълнителни формалности.

79. Както изрично е посочено в акта за преюдициално запитване и както подчертават BSA, Digitaleurope, Ирландия, австрийското и френското правителство, Парламентът, както и Комисията, единствената цел на спора в главното производство пред High Court (Висш съд) е да се установи дали решението, с което Комисията въвежда посочените в жалбата на г‑н Schrems стандартни договорни клаузи като основание за предаванията на данни, а именно Решение 2010/87 ( 26 ), е валидно.

80. Този спор води началото си от жалба, с която КЗЛД иска от запитващата юрисдикция да отправи до Съда преюдициално запитване относно валидността на Решение 2010/87. Ето защо според тази юрисдикция спорът в главното производство се отнася до използването на правния способ, който в точка 65 от решение Schrems Съдът е изискал да въведат държавите членки.

81. Напомням, че в точка 63 от това решение Съдът приема, че съответният надзорен орган е длъжен да разгледа с цялата дължима грижа жалба, в която лице, чиито лични данни са били или биха могли да бъдат прехвърлени към трета страна, по отношение на която има решение относно адекватното ниво на защита, оспорва съвместимостта на това решение с основните права, закрепени в Хартата. Съгласно точка 65 от посоченото решение в хипотезата, в която този орган счете за основателни твърденията за нарушения, които са изложени в тази жалба, той трябва да може да предприеме действия по съдебен ред в съответствие с член 28, параграф 3, първа алинея, трето тире от Директива 95/46 (на който съответства член 58, параграф 5 от ОРЗД), разглеждан във връзка с член 8, параграф 3 от Хартата. В това отношение националният законодател трябва да въведе правни способи, които му позволяват да изложи твърденията за нарушения пред националните юрисдикции, така че ако последните споделят съмненията на посочения орган, да отправят преюдициално запитване относно валидността на съответното решение.

82. Подобно на запитващата юрисдикция считам, че тези заключения се прилагат по аналогия, когато във връзка с подадена до него жалба надзорен орган има съмнения не относно валидността на решение относно адекватното ниво на защита, а на решение като Решение 2010/87, установяващо стандартни договорни клаузи за предаване на лични данни към трети страни. Противно на изтъкнатото от германското правителство, без значение е фактът, че тези съмнения съответстват на твърдения за нарушения, посочени пред него от подателя на жалбата, или че този орган по своя инициатива поставя под въпрос валидността на съответното решение. Всъщност изискванията, произтичащи от член 58, параграф 5 от ОРЗД и от член 8, параграф 3 от Хартата, на които се основават мотивите на Съда, се прилагат независимо от това какво е правното основание на предаването на данни, посочено в подадената до надзорния орган жалба, и причините, накарали този орган да се съмнява относно валидността на съответното решение при разглеждането на тази жалба.

83. Предвид това уточнение КЗЛД е поискал от запитващата юрисдикция да отправи въпрос до Съда относно валидността на Решение 2010/87, тъй като счита, че е необходимо пояснение от Съда в това отношение за целите на разглеждането на жалбата, с която г‑н Schrems иска от нея да упражни правомощието си по член 28, параграф 3, второ тире от Директива 95/46, а понастоящем по член 58, параграф 2, буква е) от ОРЗД, да спре предаването на отнасящите са до него го лични данни от Facebook Ireland към Facebook Inc.

84. Ето защо, докато спорът в главното производство се отнася само до валидността in abstracto на Решение 2010/87, производството пред КЗЛД, което е в основата на този спор, се отнася до упражняването от него на правомощието му да приема коригиращи мерки в конкретен случай. Предлагам на Съда да ограничи разглеждането на поставените въпроси до необходимото за произнасянето му по валидността на Решение 2010/87, тъй като това разглеждане ще е достатъчно да позволи на запитващата юрисдикция да разреши висящия пред нея спор ( 27 ).

85. Преди преценката на валидността на това решение следва да се отхвърлят някои възражения относно допустимостта на преюдициалното запитване.

Б. По допустимостта на преюдициалното запитване

86. Допустимостта на преюдициалното запитване се оспорва на различни основания, свързани основно с неприложимостта ratione temporis на посочената в преюдициалните въпроси Директива 95/46 (раздел 1), с факта, че производството пред КЗЛД не било достигнало достатъчно напреднал етап, който да обоснове необходимостта от запитването (раздел 2), и с наличието на несигурност около фактическата обстановка, описана от запитващата юрисдикция (раздел 3).

87. Ще отговоря на тези възражения за липса на процесуални предпоставки, без да забравям презумпцията за релевантност, с която се ползват отправените до Съда въпроси съгласно член 267 ДФЕС. Съгласно постоянната практика Съдът може да откаже да се произнесе по преюдициално запитване само ако е съвсем очевидно, че исканото тълкуване на правото на Съюза няма никаква връзка с действителността или с предмета на спора по главното производство, когато проблемът е от хипотетично естество или още когато Съдът не разполага с необходимите данни от фактическа и правна страна, за да бъде полезен с отговора на поставените му въпроси ( 28 ).

1. По приложимостта на Директива 95/46 ratione temporis

88. Facebook Ireland оспорва допустимостта на преюдициалните въпроси, тъй като посочват Директива 95/46, макар тази директива да е отменена и заменена с ОРЗД, считано от 25 май 2018 г. ( 29 ).

89. Споделям гледната точка, че валидността на Решение 2010/87 трябва да се разгледа в светлината на разпоредбите на ОРЗД.

90. Съгласно член 94, параграф 2 от този регламент „[п]озоваванията на отменената директива се тълкуват като позовавания на [посочения регламент]“. От това според мен следва, че доколкото посочва като правно основание член 26, параграф 4 от Директива 95/46, Решение 2010/87 трябва да се тълкува като препращащо към член 46, параграф 2, буква в) от ОРЗД, който до голяма степен възпроизвежда съдържанието му ( 30 ). Следователно решенията за изпълнение, приети от Комисията съгласно член 26, параграф 4 от Директива 95/46 преди влизането в сила на ОРЗД, трябва да се тълкуват в светлината на този регламент. Тяхната валидност следва също евентуално да се прецени с оглед на посочения регламент.

91. Съдебната практиката, съгласно която законосъобразността на акт на Съюза трябва да се преценява в съответствие с фактическите и правните обстоятелства, които са съществували към датата на приемане на този акт, не поставя под въпрос това заключение. Тази съдебна практика всъщност се отнася до разглеждането на валидността на акт на Съюза с оглед на релевантните фактически обстоятелства към момента на приемането му ( 31 ) или с оглед на процесуалните правила, уреждащи приемането му ( 32 ). За сметка на това Съдът многократно е разглеждал валидността на актове от вторичното право в светлината на материалноправни норми от по-висок ранг, влезли в сила след приемането на тези актове ( 33 ).

92. Посочването в текста на преюдициалните въпроси на акт, който вече не е приложим ratione temporis, макар да обосновава преформулирането на тези въпроси, не може да доведе до тяхната недопустимост ( 34 ). Както изтъкват КЗЛД и г‑н Schrems, позоваванията на Директива 95/46 в текста на преюдициалните въпроси могат освен това да се обяснят с оглед на процесуалния календар на настоящото дело, тъй като тези въпроси са отправени до Съда преди влизането в сила на ОРЗД.

93. Във всеки случай разпоредбите на ОРЗД, които ще бъдат разгледани за целите на анализа на преюдициалните въпроси — т.е. по-специално членове 45, 46 и 58 от него — по същество възпроизвеждат с малки разлики съдържанието на членове 25, 26 и 28 от Директива 95/46, като същевременно го доразвиват. Що се отнася до релевантните им аспекти за целите на произнасянето по валидността на Решение 2010/87, не виждам никаква причина на тези разпоредби от ОРЗД да се придава обхват, различен от този на съответните разпоредби на Директива 95/46 ( 35 ).

2. По временния характер на изразените от КЗЛД съмнения

94. Според германското правителство преюдициалното запитване е недопустимо, тъй като посоченото в точка 65 от решение Schrems производство по обжалване предполага, че надзорният орган трябва да си е изградил окончателно мнение за основателността на изложените от жалбоподателя твърдения за нарушения срещу валидността на разглежданото решение. Настоящият случай не бил такъв, тъй като КЗЛД е изразил съмненията си относно валидността на Решение 2010/87, която г‑н Schrems впрочем не оспорва, в междинен проект на решение, без да се засяга възможността Facebook Ireland и г‑н Schrems евентуално да представят допълнителни становища.

95. Според мен междинният характер на изразените от КЗЛД съмнения е без значение за допустимостта на преюдициалното запитване. Всъщност критериите за допустимост на преюдициален въпрос трябва да се преценяват във връзка с предмета на спора, както е определен от запитващата юрисдикция ( 36 ). Безспорно е обаче, че той се отнася до валидността на Решение 2010/87. Съгласно акта за преюдициално запитване и приложеното към него съдебно решение тази юрисдикция е приела, че независимо дали са междинни, или окончателни, съмненията, изразени от КЗЛД, са основателни и поради това е отправила въпроси до Съда относно валидността на това решение. При това положение пояснението на Съда в това отношение несъмнено е релевантно, за да ѝ позволи да разреши спора, с който е сезирана.

3. По несигурността относно определянето на фактическата обстановка

96. Правителството на Обединеното кралство твърди, че във фактическата обстановка, описана от запитващата юрисдикция, има редица пропуски, които поставят под въпрос допустимостта на преюдициалните въпроси. Тази юрисдикция не изяснила дали личните данни на г‑н Schrems действително са предадени към Съединените щати и ако това е така, дали те са събрани от американските органи. Правното основание на това евентуално предаване също не било установено еднозначно, тъй като актът за преюдициално запитване се ограничавал да посочи, че данните на европейските потребители на социалната мрежа Facebook се предават „до голяма степен“ въз основа на стандартните договорни клаузи, предвидени в Решение 2010/87. Във всеки случай не било установено, че договорът между Facebook Ireland и Facebook Inc., изтъкнат в подкрепа на спорното предаване на данни, точно отразява тези клаузи. Германското правителство също оспорва допустимостта на преюдициалното запитване, на основание че запитващата юрисдикция не е проверила дали г‑н Schrems със сигурност е дал съгласието си за разглежданото предаване на данни, в който случай то можело надлежно да се основе на член 26, параграф 1 от Директива 95/46 (чието съдържание е възпроизведено в основната му част от член 49, параграф 1, буква а) от ОРЗД).

97. Тези доводи изобщо не поставят под съмнение релевантността на преюдициалното запитване с оглед на предмета на спора в главното производство. Доколкото този спор води началото си от упражняването от КЗЛД на предвидения в точка 65 от решение Schrems правен способ, самият му предмет се състои в това от запитващата юрисдикция да се поиска да отправи преюдициално запитване относно валидността на Решение 2010/87. Германското правителство и правителството на Обединеното кралство всъщност оспорват необходимостта от преюдициалните въпроси за целите не на определянето на валидността на това решение, а на предоставянето на възможност на КЗЛД да се произнесе конкретно по жалбата на г‑н Schrems.

98. Във всеки случай преюдициалните въпроси относно валидността на Решение 2010/87 не ми изглеждат лишени от релевантност дори от гледна точка на процедурата, която е в основата на спора в главното производство. Всъщност запитващата юрисдикция е установила, че Facebook Ireland е продължило да предава данните на своите потребители към Съединените щати след обявяването на решението относно сферата на неприкосновеност за невалидно и че това предаване поне отчасти се основава на Решение 2010/87. Освен това, въпреки че може да е полезно всички релевантни факти да бъдат установени, преди запитващата юрисдикция да упражни правомощието си съгласно член 267 ДФЕС, единствено тя следва да прецени на кой етап от производството се нуждае от решение на Съда по преюдициалното запитване ( 37 ).

99. С оглед на изложеното считам, че преюдициалното запитване е допустимо.

В. По приложимостта на правото на Съюза към предаването за търговски цели на лични данни към трета държава, която може да ги обработва за цели, свързани с националната сигурност (първи въпрос)

100. С първия си въпрос запитващата юрисдикция иска да се установи дали правото на Съюза се прилага към предаване на лични данни за търговски цели от дружество, установено в държава членка, към дружество, установено в трета страна, когато след започването на предаването данните могат да бъдат обработвани от публичните органи на тази трета страна за цели, включващи защитата на националната сигурност.

101. Значението на този въпрос за разрешаването на спора в главното производство се състои във факта, че ако такова предаване се окаже извън приложното поле на правото на Съюза, всички повдигнати в настоящото дело възражения срещу валидността на Решение 2010/87 биха били лишени от основание.

102. Както отбелязва запитващата юрисдикция, обработването на личните данни, свързано с националната сигурност, е било изключено от приложното поле на Директива 95/46 в съответствие с член 3, параграф 2 от тази директива. В член 2, параграф 2 от ОРЗД понастоящем се уточнява, че този регламент не се прилага по-специално за обработването на лични данни в хода на дейности, които са извън приложното поле на правото на Съюза, или за обработването от компетентните органи за целите на защитата на обществената сигурност. Тези разпоредби отразяват факта, че член 4, параграф 2 ДЕС признава компетентността на държавите членки в областта на защитата на националната сигурност.

103. КЗЛД, г‑н Schrems, Ирландия, германското, австрийското, белгийското, чешкото, нидерландското, полското и португалското правителство, както и Парламентът и Комисията твърдят, че предаване като посоченото в жалбата на г‑н Schrems не се обхваща от тези разпоредби и следователно попада в приложното поле на правото на Съюза. Facebook Ireland твърди обратното. Споделям първата гледна точка.

104. В това отношение е важно да се подчертае, че предаването на лични данни от държава членка към трета страна само по себе си представлява по смисъла на член 4, точка 2 от ОРЗД „обработване“, извършвано на територията на държава членка ( 38 ). Първият преюдициален въпрос има за цел именно да се установи дали правото на Съюза се прилага към обработването, което представлява самото предаване на данни. Този въпрос не се отнася до приложимостта на правото на Съюза по отношение на евентуалното последващо обработване от американските органи за целите на националната сигурност на предадените на Съединените щати данни, което не попада в териториалното приложно поле на ОРЗД ( 39 ).

105. В този смисъл, за да се определи дали правото на Съюза се прилага към разглежданото предаване на данни, трябва да бъде взета предвид само дейността, включваща самото предаване, без да се разглежда предметът на евентуалното последващо обработване на предадените данни от страна на публичните органи в третата държава на местоназначението на данните ( 40 ).

106. От акта за преюдициално запитване обаче следва, че посоченото в жалбата на г‑н Schrems обработване е част от търговска дейност. Това обработване впрочем не се извършва с цел да се позволи по-нататъшно обработване от американските органи на разглежданите данни за целите на националната сигурност.

107. Освен това предложеният от Facebook Ireland подход би лишил от полезно действие разпоредбите на ОРЗД, отнасящи се до предаването на трети държави, тъй като никога не може да бъде изключено, че предадените в рамките на търговска дейност данни впоследствие няма да бъдат обработвани за целите на националната сигурност.

108. Тълкуването, което препоръчвам, се потвърждава от текста на член 45, параграф 2, буква а) от ОРЗД. Тази разпоредба посочва, че при приемането на решение относно адекватното ниво на защита Комисията взема предвид по-специално законодателството на съответната трета държава в областта на националната сигурност. От това може да се изведе, че възможността органите на третата държава на местоназначение да обработват данните за целите на защитата на националната сигурност, не прави правото на Съюза неприложимо по отношение на обработването, което представлява предаването на данни на тази трета държава.

109. Съображенията и заключенията на Съда в решение Schrems също се основават на това схващане. В него Съдът по-специално разглежда валидността на решението относно сферата на неприкосновеност, доколкото това решение се отнася до предаването на лични данни към Съединените щати, където те могат да бъдат събирани и обработвани за целите на защитата на националната сигурност, от гледна точка на член 25, параграф 6 от Директива 95/46, разглеждан в светлината на Хартата ( 41 ).

110. С оглед на тези съображения считам, че правото на Съюза се прилага за предаване на лични данни от държава членка на трета държава, когато това предаване е част от търговска дейност, независимо дали има опасност предадените данни да бъдат обработвани от публичните органи на тази трета държава с цел защитата на националната ѝ сигурност.

Г. По нивото на защита, изисквано при предаване, основаващо се на стандартни договорни клаузи (първа част на шести въпрос)

111. С първата част на шестия си въпрос запитващата юрисдикция иска да се установи какво ниво на защита на основните права на субектите на данни трябва да бъде осигурено, за да може личните данни да бъдат предавани на трета държава в съответствие със стандартните договорни клаузи, предвидени в Решение 2010/87.

112. Тази юрисдикция подчертава, че в решение Schrems Съдът тълкува член 25, параграф 6 от Директива 95/46 (чието съдържание в основната му част е възпроизведено в член 45, параграф 3 от ОРЗД) — доколкото той предвижда, че Комисията може да приеме решение относно адекватното ниво на защита едва след като се е уверила, че съответната трета държава гарантира адекватно ниво на защита — в смисъл, че Комисията следва да установи, че тази държава осигурява ниво на защита на основните права и свободи, което по същество е равностойно на гарантираното в Съюза по силата на тази директива, разглеждана във връзка с Хартата ( 42 ).

113. В този контекст с първата част от шестия преюдициален въпрос от Съда се иска да установи дали прилагането на „стандартните договорни клаузи“, приети от Комисията съгласно член 26, параграф 4 от Директива 95/46, съответстващи на „стандартните договорни клаузи“, посочени понастоящем в член 46, параграф 2, буква в) от ОРЗД, трябва да позволи да се постигне ниво на защита, съответстващо на същия стандарт за „равностойност по същество“.

114. В това отношение член 46, параграф 1 от ОРЗД предвижда, че при липса на решение относно адекватното ниво на защита администраторът може да предава лични данни на трета държава „само ако е предвидил подходящи гаранции и при условие че са налице приложими права на субектите на данни и ефективни правни средства за защита“ (курсивът е мой) ( 43 ). Съгласно член 46, параграф 2, буква в) от ОРЗД тези гаранции могат по-специално да произтичат от „стандартни клаузи за защита“, изготвени от Комисията.

115. Подобно на КЗЛД, г‑н Schrems и Ирландия считам, че предоставените от администратора „подходящи гаранции“, посочени в член 46, параграф 1 от ОРЗД, трябва да гарантират, че както при предаване, основано на решение относно адекватното ниво на защита, правата на субектите на предаваните данни се ползват от ниво на защита, което по същество е равностойно на произтичащото от ОРЗД, разглеждан във връзка с Хартата.

116. Това заключение произтича от целта на тази разпоредба и на акта, от който тя е част.

117. Членове 45 и 46 от ОРЗД имат за цел да осигурят непрекъснатостта на високото ниво на защита на личните данни, гарантирано от този регламент, когато тези данни се предават извън Съюза. Всъщност член 44 от ОРЗД, озаглавен „Общ принцип на предаването на данни“, с който започва глава V, отнасяща се до предаването на данни на трети държави, гласи, че всички разпоредби на тази глава се прилагат, за да се направи необходимото нивото на защита, осигурено от ОРЗД, да не се излага на риск при предаване на трета държава ( 44 ). Целта на това правило е да се избегне заобикалянето на произтичащите от правото на Съюза стандарти за защита при предаването на лични данни към трета държава, където да бъдат обработвани ( 45 ). С оглед на тази цел е без значение дали предаването се основава на решение относно адекватното ниво на защита, или на предоставените от администратора гаранции, по-специално посредством договорни клаузи. Правното основание, въз основа на което се извършва определено предаване, е без значение за изискванията за защита на основните права, гарантирани от Хартата ( 46 ).

118. За сметка на това начинът, по който се запазва непрекъснатостта на високото ниво на защита, е различен в зависимост от правното основание на предаването.

119. От една страна, решенията относно адекватното ниво на защита имат за цел да установят, че съответната трета държава сама осигурява ниво на защита, което по същество е равностойно на това, което трябва да бъде постигнато в Съюза. Приемането на решение относно адекватното ниво на защита предполага, че Комисията предварително преценява за определена трета държава гарантираното от правото и практиките на тази трета държава ниво на защита в светлината на факторите, изложени в член 45, параграф 3 от ОРЗД. Тогава лични данни могат да бъдат предавани към тази трета държава, без да е необходимо администраторът да получи специално разрешение.

120. От друга страна, както е изложено по-подробно в следващия раздел, предоставените от администратора подходящи гаранции имат за цел да осигурят високо ниво на защита, в случай че третата държава на местоназначение на данните не предоставя достатъчни гаранции. Ето защо макар член 46, параграф 1 от ОРЗД да позволява предаването на лични данни към трети държави, които не предоставят адекватно ниво на защита, тази разпоредба разрешава такова предаване само когато са предоставени подходящи гаранции с други средства. В това отношение приетите от Комисията стандартни договорни клаузи представляват общ механизъм, приложим към предаването на данни, независимо кои са третите държави на местоназначение на данните и какво е нивото на защита, осигурено в тях.

Д. По валидността на Решение 2010/87 с оглед на членове 7, 8 и 47 от Хартата (седми, осми и единадесети въпрос)

121. Със седмия си преюдициален въпрос запитващата юрисдикция иска от Съда по същество да установи дали Решение 2010/87 е невалидно, поради това че не обвързва органите на третите държави, към които се предават данни в съответствие със стандартните договорни клаузи, предвидени в приложението към това решение, и по-специално че то не им пречи да изискват от вносителя да им предостави на разположение тези данни. Ето защо този въпрос поставя под съмнение самата възможност да се осигури адекватно ниво на защита на такива данни посредством механизми с изцяло договорно естество. Единадесетият въпрос се отнася по-общо до валидността на Решение 2010/87 с оглед на членове 7, 8 и 47 от Хартата.

122. С осмия въпрос от Съда се иска да определи дали надзорен орган е длъжен да използва правомощията, предоставени му съгласно член 58, параграф 2, букви е) и й) от ОРЗД, за да спре предаване на данни към трета държава, основано на стандартните договорни клаузи, предвидени от Решение 2010/87, когато счита, че вносителят на данни има задължения, които не му позволяват да изпълни тези клаузи и водят до невъзможност да се осигури подходяща защита на предаваните данни. Тъй като отговорът на този въпрос според мен е от значение за определянето на валидността на Решение 2010/87 ( 47 ), ще го разгледам заедно със седмия и единадесетия въпрос.

123. Текстът на член 46, параграф 1 от ОРЗД, доколкото предвижда, че „[п]ри липса на решение съгласно член 45, параграф 3, администраторът или обработващият лични данни може да предава лични данни на трета държава […] само ако е предвидил подходящи гаранции […]“ (курсивът е мой), подчертава логиката на договорните механизми като предвидения в Решение 2010/87. Както е изтъкнато в съображения 108 и 114 от ОРЗД, тези механизми имат за цел да позволят предаването на данни към трети държави, по отношение на които Комисията не е приела решения относно адекватното ниво на защита, като в такъв случай евентуалните недостатъци на осигурената в правния ред на тези трети държави защита се компенсира от гаранциите, които износителят и вносителят на данни се задължават договорно да спазват.

124. Тъй като смисълът на договорните гаранции е именно да се преодолеят възможните недостатъци в защитата, предоставена от третите държави на местоназначение, независимо кои са те, валидността на решение, с което Комисията установява, че определени стандартни клаузи компенсират успешно тези недостатъци, не може да зависи от нивото на защита, осигурено във всяка една от конкретните трети държави, към които данните могат да се предават. Валидността на такова решение зависи единствено от надеждността на гаранциите, предвидени от тези клаузи, с цел да се компенсират евентуалните недостатъци на защитата в третата държава на местоназначение. Ефективността на тези гаранции трябва да бъде преценена, като се вземат предвид и предпазните механизми като правомощията на надзорните органи съгласно член 58, параграф 2 от ОРЗД.

125. В това отношение, както отбелязват КЗЛД, г‑н Schrems, BSA, Ирландия, австрийското, френското, полското и португалското правителство, както и Комисията, съдържащите се в договорните клаузи гаранции могат да бъдат отслабени, дори обезсилени, когато правото на третата държава на местоназначение налага на вносителя на данни задължения, които противоречат на изискваното в тези клаузи. Ето защо в зависимост от конкретните обстоятелства на предаването преобладаващият юридически контекст в третата държава на местоназначение ( 48 ) може да направи невъзможно спазването на предвидените в тези клаузи задължения.

126. При това положение, както подчертават г‑н Schrems и Комисията, договорният механизъм, предвиден в член 46, параграф 2, буква в) от ОРЗД, се основава на овластяването на износителя на данни, както и — при условията на евентуалност — на надзорните органи. Администраторът или евентуално надзорният орган следва да разглежда поотделно за всяко конкретно предаване дали правото на третата държава на местоназначение възпрепятства изпълнението на стандартните клаузи, а поради това и подходящата защита на предаваните данни, така че да е необходимо предаването да бъде забранено или спряно.

127. С оглед на тези съображения, считам, че фактът, че Решение 2010/87 и посочените в него стандартни договорни клаузи не обвързват органите на третата държава на местоназначение, сам по себе си не прави това решение невалидно. Съответствието на Решение 2010/87 с членове 7, 8 и 47 от Хартата според мен зависи от това дали има достатъчно стабилни механизми, които позволяват да се гарантира, че предаване, основано на стандартните договорни клаузи, ще бъде спряно или забранено в случай на нарушение или невъзможност за спазване на тези клаузи.

128. В това отношение член 46, параграф 1 от ОРЗД предвижда, че предаване, основано на подходящи гаранции, може да се извърши само „при условие че са налице приложими права на субектите на данни и ефективни правни средства за защита“. Следва да се провери дали гаранциите, предвидени в съдържащите се в приложението към Решение 2010/87 клаузи, допълнени от правомощията на надзорните органи, позволяват спазването на това условие. Според мен случаят е такъв само ако е налице задължение за администраторите (раздел 1), а в случай на бездействието им — за надзорните органи (раздел 2), за спиране или забрана на предаване, когато поради противоречие между произтичащите от стандартните клаузи задължения и задълженията, наложени от правото на третата държава на местоназначение, спазването на клаузите е невъзможно.

1. По задълженията на администраторите

129. На първо място съдържащите се в приложението към Решение 2010/87 стандартни договорни клаузи изискват в случай на противоречие между предвидените в тях задължения и изискванията, произтичащи от правото на третата държава на местоназначение, тези клаузи да не се изтъкват като основание за предаване към тази трета държава или, ако предаването вече е започнало въз основа на посочените клаузи, износителят на данни да бъде информиран