STANOVISKO GENERÁLNÍHO ADVOKÁTA

HENRIKA SAUGMANDSGAARDA ØE

přednesené dne 19. prosince 2019 ( 1 )

Věc C‑311/18

Data Protection Commissioner

proti

Facebook Ireland Limited,

Maximillianu Schremsovi,

za účasti

Spojených států amerických,

Electronic Privacy Information Centre,

BSA Business Software Alliance, Inc.,

Digitaleurope

[žádost o rozhodnutí o předběžné otázce podaná High Court (Vrchní soud, Irsko)]

„Řízení o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení (EU) č. 2016/679 – Článek 2 odst. 2 – Působnost – Předávání osobních údajů pro obchodní účely do Spojených států amerických – Zpracování předaných údajů orgány veřejné moci Spojených států amerických pro účely národní bezpečnosti – Článek 45 – Posouzení odpovídající úrovně ochrany zajišťované třetí zemí – Článek 46 – Vhodné záruky poskytnuté správcem – Standardní doložky o ochraně – Článek 58 odst. 2 – Pravomoci orgánů dozoru – Rozhodnutí 2010/87/EU – Platnost – Prováděcí rozhodnutí (EU) 2016/1250 – ‚Štít EU-USA na ochranu soukromí‘ – Platnost – Články 7, 8 a 47 Listiny základních práv Evropské unie“

Obsah

I. Úvod II. Právní rámec A. Směrnice 95/46/ES B. GDPR C. Rozhodnutí 2010/87 D. Rozhodnutí o štítu na ochranu soukromí III. Spor v původním řízení, předběžné otázky a řízení před Soudním dvorem IV. Analýza A. Úvodní poznámky B. K přípustnosti žádosti o rozhodnutí o předběžné otázce 1. K časové působnosti směrnice 95/46 2. K předběžné povaze pochybností vyjádřených DPC 3. K nejistotě ohledně vymezení skutkového rámce C. K použitelnosti unijního práva na předávání osobních údajů za obchodními účely do třetího státu, který je může zpracovávat pro účely národní bezpečnosti (první otázka) D. K úrovni ochrany vyžadované v rámci předávání založeného na standardních smluvních doložkách (první část šesté otázky) E. K platnosti rozhodnutí 2010/87 s ohledem na články 7, 8 a 47 Listiny (sedmá, osmá a jedenáctá otázka) 1. K povinnostem správců 2. K povinnostem orgánů dozoru F. K neexistenci nutnosti odpovědět na ostatní předběžné otázky a přezkoumat platnost rozhodnutí o štítu na ochranu soukromí 1. K neexistenci nutnosti odpovědí Soudního dvora s ohledem na předmět sporu v původním řízení 2. K důvodům, které svědčí v neprospěch přezkumu Soudního dvora s ohledem na předmět řízení probíhajícího u DPC G. Podpůrné poznámky týkající se účinků a platnosti rozhodnutí o štítu na ochranu soukromí 1. K dopadu rozhodnutí o štítu na ochranu soukromí v rámci vyřízení stížnosti týkající se legality předávání na základě smluvních záruk orgánem dozoru 2. K platnosti rozhodnutí o štítu na ochranu soukromí a) Upřesnění týkající se obsahu přezkumu platnosti rozhodnutí o odpovídající úrovni ochrany 1) K obsahu srovnání, které umožňuje posoudit „podstatnou rovnocennost“ úrovně ochrany 2) K nezbytnosti zajistit odpovídající úroveň ochrany během předávání údajů 3) K zohlednění skutkových zjištění provedených Komisí a předkládajícím soudem ohledně práva Spojených států 4) K dosahu standardu „podstatné rovnocennosti“ b) K platnosti rozhodnutí o štítu na ochranu soukromí z hlediska práv na respektování soukromého života a ochrany osobních údajů 1) K existenci zásahů 2) K povaze zásahů „stanovených zákonem“ 3) K neexistenci zásahu do podstaty základních práv 4) Ke sledování oprávněného cíle 5) K nezbytnosti a přiměřenosti zásahů c) K platnosti rozhodnutí o štítu na ochranu soukromí s ohledem na právo na účinnou právní ochranu 1) K účinnosti právem USA stanovených prostředků nápravy před soudem 2) K dopadu mechanismu ombudsmana na úroveň ochrany práva na účinnou právní ochranu V. Závěry

I. Úvod

1. Vzhledem k neexistenci společných záruk v oblasti ochrany osobních údajů na světové úrovni jsou přeshraniční toky takových údajů spojeny s rizikem přerušení kontinuity úrovně ochrany zajištěné v rámci Evropské unie. Za účelem usnadnění těchto toků při současném omezení tohoto rizika unijní normotvůrce zavedl tři mechanismy, na základě kterých mohou být osobní údaje předávány z Unie do třetího státu.

2. Zaprvé takové předání lze provést na základě rozhodnutí, v němž Evropská komise konstatuje, že dotčený třetí stát zajišťuje „odpovídající úroveň ochrany“ údajů, které jsou do něj předávány ( 2 ). Zadruhé v případě neexistence takového rozhodnutí je předání povoleno tehdy, pokud je spojeno s „vhodnými zárukami“ ( 3 ). Tyto záruky mohou mít podobu smlouvy mezi vývozcem a dovozcem údajů, která obsahuje standardní doložky o ochraně přijaté Komisí. GDPR stanoví zatřetí určité výjimky, založené zejména na souhlasu dotčené osoby, umožňující předání do třetí země i v případě, že neexistuje rozhodnutí o odpovídající ochraně ani vhodné záruky ( 4 ).

3. Žádost o rozhodnutí o předběžné otázce podaná High Court (Vrchní soud, Irsko) se týká druhého z těchto mechanismů. Konkrétně se týká platnosti rozhodnutí 2010/87/EU ( 5 ), kterým Komise stanovila standardní smluvní doložky pro některé kategorie předávání s ohledem na články 7, 8 a 47 Listiny základních práv Evropské unie (dále jen „Listina“).

4. Tato žádost byla podána v rámci sporu mezi Data Protection Commissioner (komisař pro ochranu údajů, Irsko, dále jen „DPC“) na straně jedné a společností Facebook Ireland Ltd a Maximillianem Schremsem na straně druhé. M. Schrems podal k DPC stížnost týkající se předávání osobních údajů, které se ho týkají, společností Facebook Ireland společnosti Facebook Inc., která je její mateřskou společností se sídlem ve Spojených státech amerických (dále jen „Spojené státy“). DPC má za to, že vyřízení této stížnosti závisí na tom, zda je rozhodnutí 2010/87 platné. V tomto kontextu se DPC obrátil na předkládací soud a požádal jej, aby se v tomto ohledu dotázal Soudního dvora.

5. Předesílám, že přezkum předběžných otázek podle mého názoru neodhalil žádnou skutečnost, kterou by mohla být platnost rozhodnutí 2010/87 dotčena.

6. Předkládající soud kromě toho uvedl určité pochybnosti, které se v podstatě týkají odpovídající úrovně ochrany zajišťované Spojenými státy s ohledem na zásahy do výkonu základních práv osob, jejichž údaje jsou předávány do této třetí země, z důvodu činností amerických zpravodajských orgánů. Tyto pochybnosti nepřímo zpochybňují posouzení provedená Komisí v tomto ohledu v prováděcím rozhodnutí (EU) 2016/1250 ( 6 ). I když řešení sporu v původním řízení nevyžaduje, aby Soudní dvůr tuto otázku rozhodl, a v důsledku toho navrhuji, aby Soudní dvůr na tuto otázku neodpovídal, uvedu podpůrně důvody, které mě vedou k tomu, že se budu zabývat platností tohoto rozhodnutí.

7. Celá moje analýza bude vedena snahou o rovnováhu jednak mezi nutností prokázat „rozumný stupeň pragmatismu s cílem umožnit interakci se zbytkem světa“ ( 7 ) a jednak nezbytností potvrdit základní hodnoty uznané v právních řádech Unie a jejích členských států, zejména Listinou.

II. Právní rámec

A. Směrnice 95/46/ES

8. Článek 3 odst. 2 směrnice 95/46/ES o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů ( 8 ) stanovoval: „Tato směrnice se nevztahuje na zpracování osobních údajů: – prováděné pro výkon činností, které nespadají do oblasti působnosti práva Společenství a jsou uvedeny [které nespadají do oblasti působnosti práva Společenství, jako jsou činnosti uvedené] v hlavě V a VI Smlouvy o Evropské unii, a v každém případě na zpracování, které se týká veřejné bezpečnosti, obrany, bezpečnosti státu (včetně hospodářské stability státu, pokud jsou tato zpracování spojená s otázkami bezpečnosti státu) a činnosti státu v oblasti trestního práva, […]“

9. Článek 13 odst. 1 této směrnice zněl takto: „Členské státy mohou přijmout legislativní opatření s cílem omezit rozsah povinností a práv uvedených v čl. 6 odst. 1, v článku 10, v čl. 11 odst. 1 a v článcích 12 a 21, pokud toto omezení představuje opatření nezbytné pro zajištění: a) bezpečnosti státu; b) obrany; c) veřejné bezpečnosti; d) předcházení trestným činům a jejich vyšetřování, odhalování a stíhání nebo nedodržování deontologických pravidel pro regulovaná povolání; e) významného hospodářského nebo finančního zájmu členského státu nebo [Unie], včetně měnové, rozpočtové a daňové oblasti; f) kontrolní, inspekční nebo regulační funkce vyplývající, i pouze příležitostně, z výkonu veřejné moci v případech uvedených v písmenech c), d) a e); g) ochrany subjektu údajů nebo práv a svobod druhých.“

10. Článek 25 uvedené směrnice uváděl: „1. Členské státy stanoví, že k předávání osobních údajů, které jsou předmětem zpracování nebo které mají být předmětem zpracování po předání, do třetích zemí může dojít, aniž by tím bylo dotčeno dodržování vnitrostátních předpisů přijatých na základě ostatních ustanovení této směrnice, pouze pokud dotyčná třetí země zajistí odpovídající úroveň ochrany. 2. Odpovídající úroveň ochrany poskytovaná třetí zemí se posoudí s ohledem na všechny okolnosti související s předáním nebo předáváním údajů; zejména se přihlédne k povaze údajů, účelu a trvání předpokládaného či předpokládaných zpracování, zemi původu a zemi konečného určení, právním předpisům, obecným nebo zvláštním, platným v dotčené třetí zemi, jakož i profesním pravidlům a bezpečnostním opatřením, která jsou ve třetí zemi dodržována. […] 6. Postupem podle čl. 31 odst. 2 Komise může konstatovat, že třetí země zajišťuje odpovídající úroveň ochrany ve smyslu odstavce 2 tohoto článku na základě svých vnitrostátních předpisů nebo svých mezinárodních závazků sjednaných zejména na závěr jednání uvedených v odstavci 5 s cílem zajistit ochranu soukromí a základních práv a svobod osob. Členské státy přijmou opatření nezbytná pro dosažení souladu s rozhodnutím Komise.“

11. Článek 26 odst. 2 a 4 téže směrnice stanovoval: „2. Aniž je tím dotčen odstavec 1, může členský stát povolit předání nebo předávání osobních údajů do třetí země, která nezajišťuje odpovídající úroveň ochrany ve smyslu čl. 25 odst. 2, pokud správce poskytne dostatečná ochranná opatření [dostatečné záruky] pro ochranu soukromí a základních práv a svobod osob, jakož i pro výkon odpovídajících práv; tato ochranná opatření [tyto záruky] mohou zejména vyplývat z vhodných smluvních doložek. […] 4. Pokud Komise rozhodne […], že některé standardní smluvní doložky představují dostatečná ochranná opatření uvedená [dostatečné záruky uvedené] v odstavci 2, přijmou členské státy opatření nezbytná pro dosažení souladu s rozhodnutím Komise.“

12. Článek 28 odst. 3 směrnice 95/46 zněl takto: „Každý orgán dozoru má zejména: […] – pravomoci účinně zasáhnout, jako například zaujmout stanovisko před zahájením zpracování v souladu s článkem 20 a zajistit vhodné zveřejnění těchto stanovisek nebo pravomoc nařídit blokování, výmaz nebo zničení údajů nebo dočasně nebo trvale zakázat zpracování nebo pravomoc zaslat správci upozornění či napomenutí nebo pravomoc obrátit se na parlament členského státu či na jiné politické orgány; – […]“

B. GDPR

13. Na základě čl. 94 odst. 1 GDPR toto nařízení zrušilo směrnici 95/46 s účinností k 25. květnu 2018, což je datum, ke kterému se toto nařízení začalo používat v souladu s jeho čl. 99 odst. 2.

14. Článek 2 odst. 2 uvedeného nařízení stanoví: „Toto nařízení se nevztahuje na zpracování osobních údajů prováděné: a) při výkonu činností, které nespadají do oblasti působnosti práva Unie; b) členskými státy při výkonu činností, které spadají do oblasti působnosti hlavy V kapitoly 2 Smlouvy o EU; […] d) příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení.“

15. Článek 4 bod 2 téhož nařízení vymezuje „zpracování“ jako „jakoukoli operaci nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení“.

16. Článek 23 GDPR stanoví: „1. Právo Unie nebo členského státu, které se na správce nebo zpracovatele vztahuje, může prostřednictvím legislativního opatření omezit rozsah povinností a práv uvedených v článcích 12 až 22 a v článku 34, jakož i v článku 5, v rozsahu, v jakém ustanovení tohoto článku odpovídají právům a povinnostem stanoveným v článcích 12 až 22, jestliže takové omezení respektuje podstatu základních práv a svobod a představuje nezbytné a přiměřené opatření v demokratické společnosti s cílem zajistit: a) národní bezpečnost; b) [národní] obranu; c) veřejnou bezpečnost; d) prevenci, vyšetřování, odhalování či stíhání trestných činů nebo výkon trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení; e) jiné důležité cíle obecného veřejného zájmu Unie nebo členského státu, zejména důležitý hospodářský nebo finanční zájem Unie nebo členského státu […]; […] 2. Každé legislativní opatření uvedené v odstavci 1 zejména obsahuje konkrétní ustanovení, alespoň, je-li to relevantní, pokud jde o: a) účely zpracování nebo kategorie zpracování; b) kategorie osobních údajů; c) rozsah zavedených omezení; d) záruky proti zneužití údajů nebo protiprávnímu přístupu k nim či jejich protiprávnímu předání; e) specifikaci správců nebo kategorie správců; f) doby uložení a platné záruky s ohledem na povahu, rozsah a účely zpracování nebo kategorie zpracování; g) rizika z hlediska práv a svobod subjektů údajů; a h) právo subjektů údajů být informováni o daném omezení, pokud toto informování nemůže být na újmu účelu omezení.“

17. Článek 44 tohoto nařízení, nadepsaný „Obecná zásada pro předávání“, stanoví: „K jakémukoli předání osobních údajů, které jsou předmětem zpracování nebo které jsou určeny ke zpracování po předání do třetí země nebo mezinárodní organizaci, může dojít pouze tehdy, splní-li správce a zpracovatel v závislosti na dalších ustanoveních tohoto nařízení podmínky stanovené v této kapitole, včetně podmínek pro další předávání osobních údajů z dané třetí země nebo mezinárodní organizace do jiné třetí země nebo jiné mezinárodní organizaci. Veškerá ustanovení této kapitoly se použijí s cílem zajistit, aby úroveň ochrany fyzických osob zaručená tímto nařízením nebyla znehodnocena.“

18. V souladu s článkem 45 uvedeného nařízení, nadepsaným „Předání založené na rozhodnutí o odpovídající ochraně“, platí: „1. Předávání osobních údajů do určité třetí země nebo určité mezinárodní organizaci se může uskutečnit, jestliže Komise rozhodla, že tato třetí země, určité území nebo jedno či více konkrétních odvětví v této třetí zemi nebo tato mezinárodní organizace zajišťují odpovídající úroveň ochrany. Takovéto předání nevyžaduje žádné zvláštní povolení. 2. Při posuzování odpovídající úrovně ochrany vezme Komise v úvahu zejména tyto prvky: a) právní stát, dodržování lidských práv a základních svobod, příslušné právní předpisy, obecné i odvětvové, včetně těch, které se týkají veřejné bezpečnosti, obrany, národní bezpečnosti a trestního práva a přístupu orgánů veřejné moci k osobním údajům, jakož i provádění těchto právních předpisů, pravidla ochrany údajů, profesní pravidla a související bezpečnostní opatření, včetně pravidel dalšího předávání osobních údajů do další třetí země nebo mezinárodní organizaci, která jsou v dané třetí zemi nebo mezinárodní organizaci dodržována, judikaturu, jakož i existenci účinných a vymahatelných práv subjektu údajů a účinné správní a soudní ochrany pro subjekty údajů, jejichž osobní údaje se předávají; b) existenci a účinné fungování jednoho nebo více nezávislých dozorových úřadů, které působí v dané třetí zemi nebo kterým podléhá daná mezinárodní organizace, příslušných zajišťovat a vymáhat souladu s pravidly pro ochranu údajů, včetně přiměřených vymáhacích pravomocí, poskytovat pomoc a poradenství subjektům údajů při výkonu jejich práv a spolupracovat s dozorovými úřady členských států, a c) mezinárodní závazky, které daná třetí země nebo mezinárodní organizace přijala, nebo jiné závazky vyplývající z právně závazných úmluv nebo nástrojů, jakož i z její účasti v mnohostranných či regionálních systémech, zejména pokud jde o ochranu osobních údajů. 3. Komise může po posouzení odpovídající úrovně ochrany prostřednictvím prováděcího aktu rozhodnout, že určitá třetí země, určité území či jedno nebo více konkrétních odvětví v určité třetí zemi nebo určitá mezinárodní organizace zajišťuje odpovídající úroveň ochrany ve smyslu odstavce 2 tohoto článku. Uvedený prováděcí akt stanoví mechanismus pro pravidelný přezkum prováděný nejméně každé čtyři roky, který zohlední veškerý relevantní vývoj v dotčené třetí zemi nebo mezinárodní organizaci. […] 4. Komise průběžně sleduje vývoj ve třetích zemích a mezinárodních organizacích, jenž by mohl ovlivnit fungování rozhodnutí přijatých podle odstavce 3 tohoto článku a rozhodnutí přijatých na základě čl. 25 odst. 6 [směrnice 95/46]. 5. Komise v případě, že to vyplyne z dostupných informací, zejména na základě přezkumu uvedeného v odstavci 3 tohoto článku, rozhodne, že určitá třetí země, určité území nebo konkrétní odvětví v určité třetí zemi nebo určitá mezinárodní organizace již nezajišťuje odpovídající úroveň ochrany ve smyslu odstavce 2 tohoto článku, [V případě, že z dostupných informací, zejména na základě přezkumu uvedeného v odstavci 3 tohoto článku, vyplyne, že určitá třetí země, určité území nebo konkrétní odvětví v určité třetí zemi nebo určitá mezinárodní organizace již nezajišťuje odpovídající úroveň ochrany ve smyslu odstavce 2 tohoto článku, Komise] v nezbytné míře rozhodnutí uvedené v odstavci 3 tohoto článku prováděcími akty bez zpětné působnosti zruší nebo změní anebo pozastaví jeho použitelnost. […] 6. Komise zahájí s danou třetí zemí nebo mezinárodní organizací konzultace s cílem napravit stav, který vedl k rozhodnutí podle odstavce 5. […] 9. Rozhodnutí přijatá Komisí na základě čl. 25 odst. 6 [směrnice 95/46] zůstávají platná až do chvíle, kdy je Komise změní, nahradí nebo zruší rozhodnutím přijatým podle odstavce 3 nebo 5 tohoto článku.“

19. Článek 46 téhož nařízení, nadepsaný „Předávání založené na vhodných zárukách“, stanoví následující: „1. Jestliže neexistuje rozhodnutí podle čl. 45 odst. 3, správce nebo zpracovatel mohou předat osobní údaje do třetí země nebo mezinárodní organizaci, pouze pokud správce nebo zpracovatel poskytl vhodné záruky a za podmínky, že jsou k dispozici vymahatelná práva subjektu údajů a účinná právní ochrana subjektů údajů. 2. Vhodné záruky uvedené v odstavci 1 mohou být stanoveny, aniž je zapotřebí jakékoli zvláštní povolení dozorového úřadu, pomocí: […] c) standardních doložek o ochraně osobních údajů přijatých Komisí přezkumným postupem podle čl. 93 odst. 2; […] 5. Povolení členského státu nebo dozorového úřadu na základě čl. 26 odst. 2 [směrnice 95/46] zůstávají platná až do chvíle, kdy je dozorový úřad v případě potřeby změní, nahradí nebo zruší. Rozhodnutí přijatá Komisí na základě čl. 26 odst. 4 [směrnice 95/46] zůstávají platná až do chvíle, kdy je Komise podle potřeby změní, nahradí nebo zruší rozhodnutím přijatým podle odstavce 2 tohoto článku.“

20. Podle článku 58 odst. 2, 4 a 5 GDPR platí: „2. Každý dozorový úřad má všechny tyto nápravné pravomoci: a) upozornit správce či zpracovatele, že zamýšlené operace zpracování pravděpodobně porušují toto nařízení; b) udělit napomenutí správci či zpracovateli, jehož operace zpracování porušily toto nařízení; c) nařídit správci nebo zpracovateli, aby vyhověli žádostem subjektu údajů o výkon jeho práv podle tohoto nařízení; d) nařídit správci či zpracovateli, aby uvedl operace zpracování do souladu s tímto nařízením, a to případně předepsaným způsobem a ve stanovené lhůtě; e) nařídit správci, aby subjektu údajů oznámil případy porušení zabezpečení osobních údajů; f) uložit dočasné nebo trvalé omezení zpracování, včetně jeho zákazu; […] i) uložit správní pokutu podle článku 83 vedle či namísto opatření uvedených v tomto odstavci, podle okolností každého jednotlivého případu; j) nařídit přerušení toků údajů příjemci ve třetí zemi nebo toků údajů mezinárodní organizaci. […] 4. Výkon pravomocí svěřených tímto článkem dozorovému úřadu podléhá vhodným zárukám, včetně účinné soudní ochrany a spravedlivého procesu, stanoveným v právu Unie a členského státu v souladu s Listinou. 5. Každý členský stát v právních předpisech stanoví, že jeho dozorový úřad má pravomoc upozornit na porušení tohoto nařízení justiční orgány, a pokud je to vhodné, zahájit soudní řízení či se do něj jinak zapojit s cílem vymoci dodržení tohoto nařízení.“

C. Rozhodnutí 2010/87

21. Článek 26 odst. 4 směrnice 95/46 vedl ke třem rozhodnutím Komise, ve kterých Komise konstatovala, že standardní smluvní doložky uvedené v těchto rozhodnutích poskytují dostatečné záruky s ohledem na ochranu soukromí a základních práv a svobod jednotlivců, jakož i s ohledem na výkon odpovídajících práv (dále jen „rozhodnutí SSD“) ( 9 ).

22. Mezi těmito rozhodnutími je i rozhodnutí 2010/87, jehož článek 1 stanoví, že „[s]tandardní smluvní doložky uvedené v příloze jsou považovány za dostatečná ochranná opatření [dostatečné záruky] s ohledem na ochranu soukromí a základních práv a svobod jednotlivců, jakož i s ohledem na výkon odpovídajících práv v souladu s čl. 26 odst. 2 [směrnice 95/46]“.

23. Podle článku 3 tohoto rozhodnutí platí: „Pro účely tohoto rozhodnutí se: […] c) ‚vývozcem údajů‘ rozumí správce, který předává osobní údaje; d) ‚dovozcem údajů‘ rozumí zpracovatel usazený ve třetí zemi, který se zavazuje přijímat od vývozce údajů osobní údaje určené ke zpracování jménem vývozce údajů po předání v souladu s jeho pokyny a s podmínkami tohoto rozhodnutí a který nepodléhá systému třetí země zajišťující odpovídající ochranu ve smyslu čl. 25 odst. 1 [směrnice 95/46]; […] f) ‚právem rozhodným pro ochranu údajů‘ rozumí právní předpisy ochraňující základní práva a svobody jednotlivců, a zejména jejich právo na soukromí ve vztahu ke zpracování osobních údajů, které se vztahují na správce údajů v členském státě, ve kterém je usazen vývozce údajů; […]“

24. V původním znění článek 4 uvedeného rozhodnutí v odstavci 1 stanovoval: „Aniž jsou dotčeny jejich pravomoci přijmout opatření k zajištění dodržování vnitrostátních předpisů přijatých podle kapitol II, III, V a VI směrnice 95/46[…], mohou příslušné orgány členských států vykonávat své stávající pravomoci zakázat nebo pozastavit toky údajů směřující do třetích zemí, aby tak chránily jednotlivce v souvislosti se zpracováním jejich osobních údajů v případech, kdy: a) je zjištěno, že právní předpisy, kterým dovozce údajů nebo dílčí zpracovatel podléhá, po něm vyžadují, aby se odchýlil od práva rozhodného pro ochranu údajů v rozsahu překračujícím omezení nezbytná v demokratické společnosti, jak je stanoveno v článku 13 směrnice 95/46[…], pokud tyto požadavky mají pravděpodobně výrazně nepříznivý dopad na záruky poskytované právem rozhodným pro ochranu údajů a standardními smluvními doložkami; b) příslušný orgán zjistil, že dovozce údajů nebo dílčí zpracovatel nedodržel standardní smluvní doložky uvedené v příloze nebo c) je vysoce pravděpodobné, že standardní smluvní doložky uvedené v příloze nejsou nebo nebudou dodržovány a pokračující předávání by pro subjekt údajů představovalo bezprostřední riziko vzniku značné újmy.“

25. Článek 4 rozhodnutí 2010/87 ve stávajícím znění, které vyplývá ze změny rozhodnutí 2010/87 prováděcím rozhodnutím (EU) 2016/2297 ( 10 ), stanoví, že „[p]okud příslušné orgány v členských státech uplatní pravomoc podle čl. 28 odst. 3 směrnice 95/46[…] a to povede k dočasnému nebo trvalému zákazu toku údajů do třetích zemí za účelem ochrany fyzických osob s ohledem na zpracování jejich osobních údajů, oznámí dotčený členský stát tuto skutečnost bezodkladně Komisi, která tyto informace předá ostatním členským státům“.

26. Příloha rozhodnutí 2010/87 obsahuje soubor standardních smluvních doložek. Konkrétně doložka 3 obsažená v této příloze, nadepsaná „Doložka ve prospěch třetí strany“, stanoví: „1. Subjekty údajů mohou vůči vývozci údajů uplatnit jako oprávněné třetí strany tuto doložku, doložku 4 písm. b) až i), doložku 5 písm. a) až e) a g) až j), doložku 6 odst. 1 a 2, doložku 7, doložku 8 odst. 2 a doložky 9 až 12. 2. Subjekty údajů mohou vůči dovozci údajů uplatnit tuto doložku, doložku 5 písm. a) až e) a g), doložku 6, doložku 7, doložku 8 odst. 2 a doložky 9 až 12 v případech, kdy vývozce údajů fakticky zmizel nebo kdy z právního hlediska zanikl, ledaže případný nástupnický subjekt převzal na základě smlouvy nebo právních předpisů veškeré právní povinnosti vývozce údajů a v důsledku toho přijímá práva a povinnosti vývozce údajů, přičemž v tomto případě je subjekt údajů může uplatňovat vůči tomuto subjektu. […]“

27. Doložka 4 stanovená v uvedené příloze, nadepsaná „Povinnosti vývozce údajů“, stanoví: „Vývozce údajů se zavazuje a zaručuje, že: a) zpracování osobních údajů, včetně předávání samotného, bylo a bude i nadále prováděno v souladu se souvisejícími ustanoveními práva rozhodného pro ochranu údajů (a případně bylo oznámeno příslušným orgánům členského státu, ve kterém je vývozce údajů usazen) a že neporušuje související předpisy daného státu; b) nařídil a po celou dobu poskytování služeb zpracování osobních údajů bude dovozci údajů nařizovat, aby předávané osobní údaje byly zpracovávány pouze jménem vývozce údajů a v souladu s právem rozhodným pro ochranu údajů a s doložkami; c) dovozce údajů poskytne dostatečné záruky v souvislosti s technickými a organizačními bezpečnostními opatřeními uvedenými v dodatku 2 k této smlouvě; d) po vyhodnocení požadavků práva rozhodného pro ochranu údajů jsou bezpečnostní opatření dostatečná k zajištění ochrany osobních údajů před náhodným či protiprávním zničením nebo před náhodnou ztrátou, úpravou, neoprávněným zveřejněním či přístupem, zejména v případech, kdy v souvislosti se zpracováním dochází k předávání údajů po síti, nebo před všemi ostatními protiprávními způsoby zpracování, a že tato opatření zajišťují úroveň bezpečnosti odpovídající rizikům, která v souvislosti se zpracováním hrozí, a povaze údajů, jež mají být chráněny, s ohledem na stav techniky a nákladnost jejich zavedení; e) zajistí dodržování bezpečnostních opatření; f) budou-li součástí předávání i zvláštní kategorie údajů, subjekt údajů byl nebo bude informován před předáním nebo co nejdříve poté, že jeho údaje mohou být předávány do třetí země, která neposkytuje odpovídající ochranu ve smyslu směrnice 95/46[…]; g) předá oznámení obdržené od dovozce údajů nebo případného dílčího zpracovatele podle doložky 5 písm. b) a doložky 8 odst. 3 orgánu dozoru pro ochranu údajů, pokud se vývozce údajů rozhodne pokračovat v předávání nebo odvolat jeho pozastavení; h) na požádání poskytne subjektům údajů kopii doložek, s výjimkou dodatku 2 a souhrnného popisu bezpečnostních opatření, a rovněž kopii případné smlouvy o službách dílčího zpracování, kterou je nutno uzavřít v souladu s doložkami, pokud doložky nebo smlouva neobsahují obchodní informace, v tomto případě je možno tyto obchodní informace vynechat; i) v případě dílčího zpracování je činnost spojená se zpracováním údajů vykonávána v souladu s doložkou 11 dílčím zpracovatelem, který zajišťuje přinejmenším stejnou úroveň ochrany osobních údajů a práv subjektu údajů jako dovozce údajů podle doložek, a j) zajistí shodu s doložkou 4 písm. a) až i).“

28. Doložka 5 stanovená v téže příloze, nadepsaná „Povinnosti dovozce údajů(1)“, uvádí: „Dovozce údajů se zavazuje a zaručuje, že: a) osobní údaje bude zpracovávat pouze jménem vývozce údajů a v souladu s jeho pokyny a s těmito doložkami; nebude-li moci dodržování pokynů a doložek z jakýchkoli důvodů zajistit, zavazuje se o tom neprodleně informovat vývozce údajů, který je v takovém případě oprávněn pozastavit předávání údajů a/nebo odstoupit od smlouvy; b) nemá důvod se domnívat, že mu právní předpisy, kterým podléhá, brání plnit pokyny vývozce údajů a jeho povinnosti vyplývající ze smlouvy a že v případě změny těchto právních předpisů, která by mohla mít výrazně nepříznivý dopad na ochranná opatření [záruky] a závazky stanovené doložkami, oznámí neprodleně tuto změnu vývozci údajů, který je v takovém případě oprávněn pozastavit předávání údajů a/nebo odstoupit od smlouvy; c) před zpracováním předaných osobních údajů učinil organizační a technická bezpečnostní opatření uvedená v dodatku 2; d) oznámí vývozci údajů neprodleně: i) veškeré právně závazné požadavky na zveřejnění osobních údajů ze strany donucovacího orgánu, není-li to jinak zakázáno, například trestním právem, aby byla zajištěna důvěrnost vyšetřování v rámci výkonu práva; ii) veškeré případy získání náhodného nebo neoprávněného přístupu a iii) veškeré žádosti obdržené přímo od subjektů údajů, aniž by na tyto žádosti reagoval, ledaže k tomu byl jinak oprávněn; e) vyřídí neprodleně a řádně veškeré dotazy vývozce údajů týkající se jím prováděného zpracování osobních údajů, které jsou předmětem přenosu, a že se bude řídit v souvislosti se zpracováním předávaných údajů názorem orgánu dozoru; f) na žádost vývozce údajů umožní přezkoumání činností spojených se zpracováním údajů podle doložek ve svých zařízeních na zpracování údajů, které provede vývozce údajů nebo kontrolní orgán složený z nezávislých členů s požadovanou odbornou kvalifikací, kteří budou vázáni povinností zachovat mlčenlivost a vybráni vývozcem údajů, popřípadě po dohodě s orgánem dozoru; […]“

29. Podle poznámky pod čarou 1, na kterou odkazuje nadpis doložky 5 obsažené v příloze rozhodnutí 2010/87, platí: „Povinné požadavky vnitrostátních právních předpisů vztahujících se na dovozce údajů, které nepřekračují rámec toho, co je nezbytné v demokratické společnosti, na základě jednoho ze zájmů uvedených v čl. 13 odst. 1 směrnice 95/46[…], tzn. představují-li opatření nezbytná k zajištění bezpečnosti státu, obrany, veřejné bezpečnosti, předcházení trestným činům a jejich vyšetřování, odhalování a stíhání nebo nedodržování deontologických pravidel pro regulovaná povolání, významného hospodářského nebo finančního zájmu státu nebo ochrany subjektu údajů nebo práv a svobod druhých, nejsou v rozporu se standardními smluvními doložkami. Příkladem takových povinných požadavků, které nepřekračují rámec toho, co je nezbytné v demokratické společnosti, jsou mimo jiné mezinárodně uznané sankce, požadavky na vykazování daní či požadavky na předkládání zpráv o boji proti legalizaci výnosů z trestné činnosti.“

30. Doložka 6 obsažená v této příloze, nadepsaná „Odpovědnost“, zní následovně: „1. Strany se dohodly, že subjekt údajů, který utrpěl v důsledku porušení povinností uvedených v doložce 3 nebo doložce 11 škodu způsobenou kteroukoli ze stran nebo dílčím zpracovatelem, je oprávněn obdržet od vývozce údajů za utrpěnou škodu náhradu. 2. Nemůže-li subjekt údajů uplatňovat v souladu s odstavcem 1 nárok na odškodnění vůči vývozci údajů pro porušení některé z povinností dovozce údajů nebo jeho dílčího zpracovatele uvedených v doložce 3 a 11, protože vývozce údajů fakticky zmizel, z právního hlediska zanikl nebo je v platební neschopnosti, dovozce údajů se zavazuje, že subjekt údajů smí uplatňovat nároky vůči dovozci údajů, jako by byl vývozcem údajů, ledaže případný nástupnický subjekt převzal na základě smlouvy nebo právních předpisů veškeré právní povinnosti vývozce údajů, přičemž v tomto případě může subjekt uplatňovat svá práva vůči tomuto subjektu. […]“

31. Doložka 7 uvedená ve zmíněné příloze, nadepsaná „Mediace a soudní příslušnost“, stanoví: „1. Dovozce údajů se zavazuje, že uplatní-li proti němu subjekt údajů práva ve prospěch třetí strany a/nebo uplatní-li nárok na náhradu škody podle těchto doložek, přistoupí dovozce údajů na rozhodnutí subjektu údajů: a) předat spor k mediaci prováděné nezávislou osobou nebo popřípadě orgánem dozoru; b) předat spor soudům v členském státě, ve kterém je vývozce údajů usazen. 2. Strany se dohodly, že rozhodnutím subjektu údajů nebudou dotčena jeho hmotná ani procesní práva při podávání soudních žalob v souladu s ostatními ustanoveními vnitrostátního nebo mezinárodního práva.“

32. Doložka 9 obsažená v téže příloze, nadepsaná „Rozhodné právo“, stanoví, že se smluvní doložky řídí právem členského státu, ve kterém je usazen vývozce údajů.

D. Rozhodnutí o štítu na ochranu soukromí

33. Článek 25 odst. 6 směrnice 95/46 sloužil jako základ pro dvě po sobě jdoucí rozhodnutí Komise, v nichž Komise konstatovala, že Spojené státy zajišťují odpovídající úroveň ochrany osobních údajů předávaných podnikům usazeným ve Spojených státech, které prostřednictvím vlastního osvědčení prohlásily, že přistoupí k zásadám uvedeným v těchto rozhodnutích.

34. Nejprve Komise přijala rozhodnutí 2000/520/ES o odpovídající ochraně poskytované podle zásad „bezpečného přístavu“ a s tím souvisejících „často kladených otázek“ vydaných Ministerstvem obchodu Spojených států ( 11 ). V rozsudku ze dne 6. října 2015, Schrems ( 12 ), Soudní dvůr rozhodl o neplatnosti tohoto rozhodnutí.

35. V návaznosti na tento rozsudek přijala Komise následně rozhodnutí o štítu na ochranu soukromí.

36. Článek 1 tohoto rozhodnutí stanoví: „1. Pro účely čl. 25 odst. 2 směrnice 95/46[…] Spojené státy zajišťují odpovídající úroveň ochrany osobních údajů předávaných z Unie organizacím ve Spojených státech v rámci štítu EU-USA na ochranu soukromí. 2. Štít EU-USA na ochranu soukromí sestává ze zásad vydaných Ministerstvem obchodu dne 7. července 2016, které jsou obsaženy v příloze II, a oficiálních prohlášení a závazků, které jsou obsaženy přílohách I a III až VII. 3. Pro účely odstavce 1 jsou osobní údaje předávány v rámci štítu EU-USA na ochranu soukromí, jsou-li předávány z Unie organizacím ve Spojených státech uvedeným na ‚seznamu organizací štítu na ochranu soukromí‘, který vede a zpřístupňuje Ministerstvo obchodu USA v souladu s částí I a III zásad uvedených v příloze II.“

37. Příloha III A tohoto rozhodnutí, nadepsaná „Mechanismus ombudsmana ve věcech štítu na ochranu soukromí v souvislosti se signálovým zpravodajstvím“, přiložená k dopisu Johna Kerryho, tehdejšího Secretary of State (ministr zahraničních věcí, Spojené státy), ze dne 7. července 2016, obsahuje memorandum, které stanoví nový proces mediace u „vedoucího koordinátora pro mezinárodní informační diplomacii“ (dále jen „ombudsman“), jmenovaného ministrem zahraničních věcí.

38. Podle tohoto memoranda byl tento proces zaveden s cílem „usnadn[it] zpracovávání žádostí, které se týkají přístupu k údajům pro účely národní bezpečnosti v případě údajů předaných z [Unie] do Spojených států v rámci štítu na ochranu soukromí, standardních smluvních doložek, závazných podnikových pravidel, ‚odchylek‘ nebo ‚možných budoucích odchylek‘ zavedenými postupy podle platných zákonů a politiky Spojených států a odpovědí na uvedené žádosti“.

III. Spor v původním řízení, předběžné otázky a řízení před Soudním dvorem

39. M. Schrems, rakouský státní příslušník s bydlištěm v Rakousku, je uživatelem sociální sítě Facebook. Všichni uživatelé této sociální sítě s bydlištěm na území Unie musí při registraci uzavřít smlouvu se společností Facebook Ireland, jež je dceřinou společností společnosti Facebook Inc., která je usazena ve Spojených státech. Osobní údaje těchto uživatelů jsou zcela nebo zčásti předávány serverům náležejícím společnosti Facebook Inc., které se nacházejí na území Spojených států, kde jsou tyto údaje předmětem zpracování.

40. Dne 25. června 2013 podal M. Schrems u DPC stížnost, kterou se v podstatě domáhal, aby bylo společnosti Facebook Ireland zakázáno předávat osobní údaje, které se ho týkají, do Spojených států. Ve stížnosti tvrdil, že právní předpisy a postupy v této třetí zemi nezajišťují dostatečnou ochranu osobních údajů uchovávaných na jejím území před sledováním prováděným v této zemi orgány veřejné moci. M. Schrems se v tomto ohledu odvolával na zjištění učiněná Edwardem Snowdenem o činnosti zpravodajských služeb Spojených států, konkrétně činnosti National Security Agency (NSA) (Národní bezpečnostní agentura, Spojené státy).

41. Tato stížnost byla zamítnuta zejména z důvodu, že jakákoli otázka týkající se odpovídající ochrany zajištěné ve Spojených státech musí být rozhodnuta v souladu s rozhodnutím o „bezpečném přístavu“. V tomto rozhodnutí Komise konstatovala, že tato třetí země poskytuje odpovídající úroveň ochrany osobních údajů předávaných podnikům nacházejícím se na jejím území, které přistoupily k zásadám stanoveným v uvedeném rozhodnutí.

42. M. Schrems podal žalobu proti rozhodnutí o zamítnutí své stížnosti k High Court (Vrchní soud). Uvedený soud rozhodl, že i když M. Schrems formálně nezpochybnil platnost rozhodnutí o „bezpečném přístavu“, jeho stížnost ve skutečnosti napadala legalitu režimu zavedeného tímto rozhodnutím. Za těchto podmínek uvedený soud položil Soudnímu dvoru otázky, které se v podstatě týkaly toho, zda jsou orgány členských států pověřené ochranou údajů (dále jen „orgány dozoru“) při vyřizování stížnosti týkající se ochrany práv a svobod osob v souvislosti se zpracováním osobních údajů, které se jich týkají a které byly předány do třetího státu, vázány zjištěními týkajícími se odpovídající úrovně ochrany poskytované tímto třetím státem provedenými Komisí podle čl. 25 odst. 6 směrnice 95/46, i když stěžovatel tato zjištění zpochybňuje.

43. Poté, co Soudní dvůr v bodech 51 a 52 rozsudku Schrems rozhodl, že rozhodnutí o odpovídající ochraně zavazuje orgány dozoru po dobu, dokud není toto rozhodnutí prohlášeno za neplatné, uvedl v bodech 63 a 65 tohoto rozsudku toto: „63. […] [U]vedený [musí] orgán posoudit tuto žádost s veškerou náležitou péčí v případě, že se osoba, jejíž osobní údaje byly nebo by mohly být předány do třetí země, na kterou se vztahuje rozhodnutí Komise na základě čl. 25 odst. 6 směrnice 95/46, obrátí na vnitrostátní orgán dozoru se žádostí týkající se ochrany svých práv a svobod v souvislosti se zpracováním těchto údajů a v rámci této žádosti zpochybní[…] slučitelnost tohoto rozhodnutí s ochranou soukromí a základních práv a svobod osob. […] 65. Má-li uvedený orgán […] za to, že výtky uplatněné [touto osobou] jsou opodstatněné, musí mít tento orgán v souladu s čl. 28 odst. 3 prvním pododstavcem třetí odrážkou směrnice 95/46, ve spojení zejména s čl. 8 odst. 3 Listiny, možnost obrátit se na soud. V tomto ohledu přísluší vnitrostátnímu normotvůrci, aby stanovil procesní prostředky, které by dotyčnému vnitrostátnímu orgánu dozoru umožnily uplatnit výtky, jež považuje za opodstatněné, před vnitrostátními soudy, aby tyto soudy v případě, že sdílejí pochybnosti vyjádřené tímto orgánem o platnosti rozhodnutí Komise, předložily žádost o rozhodnutí o předběžné otázce za účelem přezkumu platnosti tohoto rozhodnutí.“

44. V uvedeném rozsudku Soudní dvůr rovněž přezkoumal platnost rozhodnutí o „bezpečném přístavu“ s ohledem na požadavky, které vyplývají ze směrnice 95/46, vykládané ve světle Listiny. Na závěr tohoto přezkumu toto rozhodnutí prohlásil za neplatné ( 13 ).

45. V návaznosti na rozsudek Schrems zrušil předkládající soud rozhodnutí, kterým DPC zamítl stížnost M. Schremse, a vrátil ji DPC k novému projednání a rozhodnutí. DPC zahájil šetření a vyzval M. Schremse, aby přeformuloval svou stížnost vzhledem ke zrušení platnosti rozhodnutí o „bezpečném přístavu“.

46. Za tímto účelem M. Schrems požádal společnost Facebook Ireland, aby určila právní základy, na kterých je založeno předávání osobních údajů uživatelů sociální sítě Facebook z Unie do Spojených států. Společnost Facebook Ireland, aniž určila všechny právní základy, o které se opírá, odkázala na dohodu o předávání a zpracování údajů (data transfer processing agreement) uzavřenou mezi ní a společností Facebook Inc., použitelnou od 20. listopadu 2015, a dovolávala se rozhodnutí 2010/87.

47. M. Schrems ve své přeformulované stížnosti tvrdí, že doložky obsažené v této dohodě nejsou v souladu se standardními smluvními doložkami, které jsou obsaženy v příloze rozhodnutí 2010/87. M. Schrems kromě toho tvrdí, že tyto smluvní doložky nemohou v žádném případě zakládat předání osobních údajů, které se ho týkají, do Spojených států. Je tomu tak proto, že americké právo ukládá společnosti Facebook Inc. povinnost poskytovat osobní údaje uživatelů k dispozici americkým orgánům, jako jsou NSA a Federal Bureau of Investigation (FBI) (Federální úřad pro vyšetřování, Spojené státy), v rámci sledovacích programů, které narušují výkon práv zaručených v článcích 7, 8 a 47 Listiny. M. Schrems tvrdí, že žádný procesní prostředek neumožňuje subjektům údajů uplatnit svá práva na respektování soukromého života a ochranu osobních údajů. Za těchto podmínek M. Schrems navrhl DPC, aby pozastavil toto předávání na základě článku 4 rozhodnutí 2010/87.

48. Společnost Facebook Ireland v rámci šetření DPC uznala, že nadále předává osobní údaje uživatelů sociální sítě Facebook pobývajících v Unii do Spojených států a že se za tímto účelem z velké části opírá o standardní smluvní doložky uvedené v příloze rozhodnutí 2010/87.

49. Cílem šetření DPC bylo určit jednak to, zda Spojené státy zajišťují odpovídající ochranu osobních údajů občanů Unie, a jednak, v případě záporné odpovědi, to, zda rozhodnutí SSD představují vhodné záruky, co se týče ochrany základních práv a svobod těchto občanů.

50. V tomto ohledu DPC v návrhu rozhodnutí (draft decision) dospěl k předběžnému závěru, že americké právo neposkytuje účinné procesní prostředky ve smyslu článku 47 Listiny občanům Unie, jejichž údaje jsou předávány do Spojených států, kde existuje nebezpečí, že mohou být zpracovány americkými agenturami pro účely národní bezpečnosti způsobem neslučitelným s články 7 a 8 Listiny. Záruky stanovené v doložkách uvedených v příloze rozhodnutí SSD tuto mezeru nenapravují, jelikož nejsou pro orgány či agentury Spojených států závazné a přiznávají subjektům údajů pouze smluvní práva proti vývozci nebo dovozci údajů.

51. Za těchto podmínek se DPC domníval, že nemůže rozhodnout o stížnosti M. Schremse, aniž Soudní dvůr přezkoumá platnost rozhodnutí SSD. DPC proto v souladu s tím, co stanoví bod 65 rozsudku Schrems, zahájil řízení u předkládajícího soudu směřující k tomu, aby tento soud, pokud bude sdílet pochybnosti DPC, předložil Soudnímu dvoru žádost o rozhodnutí o předběžné otázce týkající se platnosti těchto rozhodnutí.

52. Vládě Spojených států, Electronic Privacy Information Centre (VIPO), Business Software Alliance (BSA) a Digitaleurope bylo povoleno vstoupit do řízení před předkládajícím soudem jako vedlejší účastníci.

53. Za účelem určení, zda sdílí pochybnosti vyjádřené DPC o platnosti rozhodnutí SSD, obdržel High Court (Vrchní soud) důkazy předložené stranami sporu a vyslechl argumenty předložené těmito stranami, jakož i vedlejšími účastníky. Předmětem důkazů předložených znalci byla zejména ustanovení práva Spojených států. V irském právu je zahraniční právo považováno za skutkovou otázku, která musí být prokázána stejným způsobem jako jakákoli jiná skutečnost. Na základě těchto důkazů předkládající soud posoudil ustanovení práva Spojených států, která povolují sledování vládními orgány a agenturami, fungování dvou veřejně uznávaných sledovacích programů („PRISM“ a „Upstream“), různé procesní prostředky poskytnuté jednotlivcům, jejichž práva byla porušena prostřednictvím sledování, jakož i systémové záruky a kontrolní mechanismy. Uvedený soud zaznamenal výsledky tohoto posouzení v rozsudku ze dne 3. října 2017, připojeném k jeho předkládacímu usnesení [dále jen „rozsudek High Court (Vrchní soud) ze dne 3. října 2017“].

54. V tomto rozsudku předkládající soud mezi právními základy povolujícími odposlechy zahraničních komunikací americkými zpravodajskými službami odkazuje na článek 702 Foreign Intelligence Surveillance Act (FISA) (zákon o dohledu nad zahraničními zpravodajskými službami) a Executive Order 12333 (nařízení prezidenta č. 12333, dále jen „EO 12333“).

55. Podle zjištění provedených v uvedeném rozsudku článek 702 FISA umožňuje Attorney General (státní zástupce, Spojené státy) a Director of National Intelligence (DNI) (ředitel národního zpravodajství, Spojené státy), aby za účelem získání informací v oblasti zahraničního zpravodajství společně na dobu jednoho roku povolili sledování osob, které nejsou americkými občany a nemají trvalé bydliště ve Spojených státech (tzv. „neamerické osoby“), pokud je důvodné se domnívat, že se nacházejí mimo území Spojených států ( 14 ). Podle FISA pojem „zahraniční zpravodajství“ označuje informace o schopnosti vlády chránit se před cizími útoky, terorismu, šíření zbraní hromadného ničení, jakož i vedení zahraničních věcí Spojených států ( 15 ).

56. Tato roční povolení, jakož i postupy, které upravují zacílení osob, které mají být sledovány, a zpracování („minimalizaci“) shromážděných informací ( 16 ), musí být schváleny Foreign Intelligence Surveillance Court (FISC) (Soud pro uplatňování zákona FISA, Spojené státy). Zatímco „tradiční“ sledování prováděné na základě jiných ustanovení FISA vyžaduje, aby byla prokázána „pravděpodobná příčina“ vyvolávající podezření, že sledované osoby náležejí k zahraniční moci nebo jsou jejími agenty, sledování prováděné na základě článku 702 FISA nepodléhá prokázání takové „pravděpodobné příčiny“, ani schválení zacílení určených osob Soudem pro uplatňování zákona FISA. Mimoto rovněž podle zjištění předkládajícího soudu se postupy pro minimalizaci neuplatní ve vztahu k neamerickým osobám nacházejícím se mimo Spojené státy.

57. V praxi poté, co bylo povolení Soudem pro uplatňování zákona FISA uděleno, zašle NSA poskytovatelům služeb elektronických komunikací, usazeným ve Spojených státech, směrnice obsahující kritéria pro vyhledávání, nazvaná „selektory“, spojená s cílovými osobami (jako například telefonní čísla nebo emailové adresy). Tito poskytovatelé jsou poté povinni předat údaje, které odpovídají selektorům NSA, a musí zachovávat mlčenlivost ve vztahu ke směrnicím, které jsou jim určeny. Mohou podat u Soudu pro uplatňování zákona FISA návrh na změnu nebo odmítnutí směrnice NSA. Rozhodnutí Soudu pro uplatňování zákona FISA může být napadeno odvoláním u Foreign Intelligence Surveillance Court of Review (FISCR) (Odvolací soud pro uplatňování zákona FISA, Spojené státy).

58. High Court (Vrchní soud) konstatoval, že článek 702 FISA slouží jako právní základ pro programy PRISM a Upstream.

59. V rámci programu PRISM mají poskytovatelé služeb elektronických komunikací povinnost předložit NSA veškerou komunikaci „pocházející od“ selektoru, který NSA sdělila, nebo „určenou pro“ takový selektor. Část této komunikace je předána FBI a Central Intelligence Agency (CIA) (Ústřední zpravodajská služba, Spojené státy). V roce 2015 bylo sledováno 94386 osob a v roce 2011 získala vláda Spojených států 250 milionů komunikací v rámci tohoto programu.

60. Program Upstream spočívá v povinné pomoci podniků provozujících „páteřní sítě“ – a sice kabelovou síť, přepínače a směrovače – na kterých probíhají telefonní hovory a internetová komunikace. Tyto podniky jsou povinny umožnit NSA kopírování a filtrování internetových toků za účelem získání komunikace „pocházející od“, „určené pro“ nebo „týkající se“ selektoru uvedeného ve směrnici této agentury. Komunikace „týkající se“ selektoru označují tu komunikaci, která odkazuje na tento selektor, aniž se jí uvedená neamerická osoba, která je spojena s uvedeným selektorem, nutně účastní. I když ze stanoviska Soudu pro uplatňování zákona FISA ze dne 26. dubna 2017 vyplývá, že od tohoto data americká vláda již neshromažďuje a nezískává komunikace „týkající se“ určitého selektoru, není v tomto stanovisku uvedeno, že by NSA zastavila kopírování a filtrování komunikačních toků, které jsou přenášeny prostřednictvím jejího mechanismu sledování. Program Upstream předpokládá přístup NSA k metadatům i k obsahu komunikací. Od roku 2011 NSA v rámci programu Upstream shromáždila přibližně 26,5 milionu komunikací ročně, což však představuje jen malou část komunikací, které podléhají procesu filtrování provedeného na základě tohoto programu.

61. Kromě toho podle zjištění High Court (Vrchní soud) EO 12333 povoluje sledování elektronických komunikací mimo území Spojených států tím, že umožňuje přístup za účelem zahraničního zpravodajství k údajům, které „směřují“ na toto území nebo tímto územím „procházejí“, aniž by na něm byla určena ke zpracování, jakož i shromažďování a uchovávání těchto údajů. EO 12333 definuje pojem „zahraniční zpravodajství“ jako zahrnující informace o kapacitách, záměrech nebo činnostech zahraničních vlád, zahraničních organizací nebo zahraničních osob ( 17 ).

62. EO 12333 zmocňuje NSA k přístupu k podmořským kabelům, které se nacházejí na dně Atlantického oceánu a prostřednictvím kterých jsou údaje předávány z Unie do Spojených států, tedy před tím, než tyto údaje přijdou do Spojených států a podléhaly by z tohoto důvodu ustanovením FISA. Neexistuje však žádný důkaz o jakémkoli programu prováděném na základě tohoto nařízení prezidenta.

63. Ačkoli EO 12333 stanoví omezení týkající se shromažďování, zajišťování a šíření informací, nevztahují se tyto meze na neamerické osoby. Na tyto osoby se vztahují pouze záruky uvedené v Presidential Policy Directive 28 (strategická prezidentská směrnice č. 28, dále jen „PPD 28“), která se vztahuje na všechny činnosti shromažďování a používání informací v oblasti zahraničního zpravodajství elektromagnetického původu. PPD 28 stanoví, že respektování soukromého života je nedílnou součástí úvah, které je třeba vzít v úvahu při plánování těchto činností, že jediným účelem shromažďování musí být získání informací v oblasti zahraničního zpravodajství, jakož i kontrarozvědky a že uvedené činnosti musí být „v nejvyšší možné míře uzpůsobeny na míru“.

64. Podle předkládajícího soudu nejsou činnosti NSA založené na EO 12333, které může být kdykoliv změněno nebo zrušeno prezidentem Spojených států, upraveny zákonem, nejsou předmětem soudního dohledu a nelze je napadnout procesními prostředky u soudů.

65. Na základě těchto zjištění má tento soud za to, že Spojené státy provádějí rozsáhlé a bez rozdílu uplatňované zpracování osobních údajů, které může subjekty údajů vystavovat riziku porušení práv, která pro ně vyplývají z článků 7 a 8 Listiny.

66. Kromě toho uvedený soud uvádí, že občané Unie nemají přístup k týmž soudním žalobám proti nedovolenému zpracování svých osobních údajů ze strany amerických orgánů, jako mají američtí státní příslušníci. Čtvrtý dodatek k Ústavě Spojených států, který představuje nejvýznamnější ochranu před protiprávním sledováním, je nepoužitelný na občany Unie, kteří nevykazují významné dobrovolné spojení se Spojenými státy. Nicméně i když mají tito občané k dispozici některé jiné žaloby, naráží na významné překážky.

67. Konkrétně článek III Ústavy Spojených států stanoví jako podmínku pro podání žaloby k federálnímu soudu prokázání právního zájmu dotčené osoby na podání žaloby (standing). Právní zájem na podání žaloby zejména předpokládá, že tato osoba prokáže, že jí vznikla skutečná škoda, která je jednak konkrétní a rozlišitelná a jednak skutečná a bezprostřední. S odkazem mimo jiné na rozsudek Supreme Court of the United States (Nejvyšší soud Spojených států), Clapper v. Amnesty International US ( 18 ), má předkládající soud za to, že tato podmínka je v praxi příliš obtížně splnitelná, zejména s ohledem na neexistenci jakékoli povinnosti informovat subjekty údajů o opatřeních přijatých ve vztahu k nim ( 19 ). Část žalob, které mají k dispozici občané Unie, podléhá navíc jiným omezujícím podmínkám, jako je nutnost prokázat finanční újmu. Svrchovaná imunita přiznaná zpravodajským agenturám a klasifikace dotyčných informací rovněž brání výkonu některých procesních prostředků ( 20 ).

68. High Court (Vrchní soud) navíc poukazuje na různé mechanismy kontroly a dozoru nad činnostmi zpravodajských agentur.

69. Patří mezi ně mechanismus roční certifikace programů založených na článku 702 FISA prostřednictvím Soudu pro uplatňování zákona FISA, v jehož rámci však uvedený soud neschvaluje jednotlivé selektory. Kromě toho žádný předchozí soudní přezkum neupravuje shromažďování informací týkajících se zahraničního zpravodajství na základě EO 12333.

70. Předkládající soud kromě toho odkazuje na několik mechanismů mimosoudního dohledu nad zpravodajskými činnostmi. Uvádí zejména úlohu Inspectors General (generální inspektoři, Spojené státy), kteří jsou v rámci každé zpravodajské agentury pověřeni dohledem nad činnostmi sledování. Kromě toho Privacy and Civil Liberties Oversight Board (PCLOB) (Rada pro dohled nad soukromím a občanskými svobodami, Spojené státy), nezávislá agentura v rámci výkonné moci, přijímá zprávy od osob určených v rámci každé agentury za zmocněnce občanskoprávních svobod nebo soukromí (civil liberties or privacy officers). PCLOB připravuje pravidelně zprávy pro parlamentní inspektory a prezidenta. Dotčené agentury musí oznamovat události týkající se porušení pravidel a postupů upravujících shromažďování zahraničního zpravodajství zejména DNI. Tyto události jsou rovněž oznamovány Soudu pro uplatňování zákona FISA. Kongres Spojených států rovněž prostřednictvím výborů pro zpravodajství Kongresu a Senátu nese odpovědnost za kontrolu zahraničního zpravodajství.

71. High Court (Vrchní soud) nicméně zdůrazňuje zásadní rozdíl zaprvé mezi pravidly, která mají zajistit, aby údaje byly získávány v souladu s právními předpisy a aby jakmile jsou získány, nebyly zneužity, a zadruhé dostupnými procesními prostředky, pokud jsou tato pravidla porušena. Ochrana základních práv subjektů údajů je zajištěna pouze tehdy, když jim účinné procesní prostředky umožňují uplatnit jejich práva v případě porušení uvedených pravidel.

72. Za těchto podmínek považuje předkládající soud za opodstatněné argumenty, kterých se dovolává DPC a podle nichž omezení, která ukládá americké právo z hlediska práva osob, jejichž údaje jsou předávány z Unie, podat žalobu, nerespektují podstatu práva zaručeného článkem 47 Listiny a v každém případě představují nepřiměřené zásahy do výkonu tohoto práva.

73. Podle High Court (Vrchní soud) skutečnost, že vláda Spojených států zavedla mechanismus ombudsmana popsaný v rozhodnutí o štítu na ochranu soukromí, toto posouzení nezpochybňuje. Tento soud poté, co zdůraznil, že tento mechanismus je dostupný občanům Unie, kteří mají za to, že jejich údaje byly předány v souladu s rozhodnutími SSD ( 21 ), poznamenal, že ombudsman není soudem, který splňuje požadavky článku 47 Listiny, a zejména není nezávislý na výkonné moci ( 22 ). Uvedený soud má rovněž pochybnosti o tom, že zásah ombudsmana, jehož rozhodnutí nelze napadnout žalobou, představuje účinný právní prostředek. Tento zásah totiž neumožňuje osobám, jejichž osobní údaje byly protiprávně shromažďovány, zpracovávány nebo sdíleny, aby se domáhaly náhrady škody nebo příkazu ukončit protiprávní jednání, jelikož ombudsman nepotvrzuje ani nepopírá, že vůči žalobci bylo vydáno opatření elektronického sledování.

74. Po uvedení svých obav o podstatné rovnocennosti mezi zárukami stanovenými americkým právem a požadavky vyplývajícími z článků 7, 8 a 47 Listiny vyslovil předkládající soud pochybnosti o tom, zda smluvní doložky stanovené v rozhodnutích SSD – které ze své povahy nejsou závazné pro americké orgány – mohou nicméně zajistit ochranu základních práv subjektů údajů. Tento soud z toho vyvodil, že sdílí pochybnosti DPC týkající se platnosti těchto rozhodnutí.

75. V tomto ohledu má předkládající soud zejména za to, že čl. 28 odst. 3 směrnice 95/46, na který odkazuje článek 4 rozhodnutí 2010/87, v rozsahu, v němž přiznává orgánům dozoru pravomoc pozastavit nebo zakázat předávání založená na smluvních doložkách stanovených v uvedeném rozhodnutí, nepostačuje k rozptýlení těchto pochybností. Mimo to, že podle jeho názoru má tato pravomoc pouze diskreční povahu, se předkládající soud ve světle bodu 11 odůvodnění rozhodnutí 2010/87 zabývá tím, zda je možné tuto pravomoc vykonat, jestliže se zjištěné nedostatky netýkají zvláštního a výjimečného případu, ale mají obecný a systémový charakter ( 23 ). Rovněž se domnívá, že nebezpečí, že v různých členských státech budou vydána rozdílná rozhodnutí, může bránit tomu, aby bylo zjištění takových nedostatků svěřeno kontrolním orgánům.

76. Za těchto podmínek se High Court (Vrchní soud, Irsko) rozhodnutím ze dne 4. května 2018 ( 24 ), došlým kanceláři Soudního dvora dne 9. května 2018, rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky: „1) Za okolností, kdy jsou osobní údaje předávány soukromou společností z členského státu [Unie] soukromé společnosti ve třetí zemi k obchodním účelům podle rozhodnutí […] 2010/87 a mohou být dále zpracovávány ve třetí zemi orgány této země pro účely národní bezpečnosti, ale také za účelem vymáhání práva a provádění zahraniční politiky třetí země, uplatní se na předávání těchto údajů unijní právo [včetně Listiny základních práv Evropské unie] bez ohledu na ustanovení čl. 4 odst. 2 SEU ohledně národní bezpečnosti a ustanovení čl. 3 odst. 2 první odrážky směrnice 95/46[…] ohledně veřejné bezpečnosti, obrany a bezpečnosti státu? 2) a) Je při určování, zda předáním údajů podle rozhodnutí [2010/87] z [Unie] do třetí země, kde mohou být dále zpracovány pro účely národní bezpečnosti, došlo k porušení práv jednotlivce, relevantním srovnávacím kritériem pro účely směrnice: i) Listina, SEU, SFEU, směrnice [95/46], [Evropská úmluva o ochraně lidských práv a základních svobod, podepsaná dne 4. listopadu 1950 v Římě (dále jen ‚EÚLP‘)] (nebo jiné ustanovení unijního práva), nebo ii) vnitrostátní právní předpisy jednoho nebo více členských států? b) Je-li relevantním srovnávacím kritériem písmeno b), mají do něj být zahrnuty i postupy v rámci národní bezpečnosti v jednom nebo více členských státech? 3) Měla by být při posuzování, zda třetí země zajišťuje osobním údajům předaným do uvedené země úroveň ochrany vyžadovanou unijním právem pro účely článku 26 směrnice [95/46], úroveň ochrany ve třetí zemi posuzována s odvoláním na: a) použitelné předpisy ve třetí zemi vyplývající z jejího vnitrostátního práva nebo mezinárodních závazků a postupy, které mají zajišťovat dodržování uvedených předpisů, včetně profesních pravidel a bezpečnostních opatření dodržovaných ve třetí zemi, nebo b) právní předpisy uvedené v písmenu a) spolu s těmi správními a regulatorními postupy a postupy v oblasti dodržování právních předpisů a ochrannými opatřeními, postupy, protokoly, mechanismy dohledu a mimosoudními prostředky nápravy, které existují ve třetí zemi? 4) Vzhledem ke skutkovým zjištěním, která učinil High Court (Vrchní soud) ve vztahu k právním předpisům USA, je porušením práv jednotlivců podle článků 7 nebo 8 Listiny, jsou-li osobní údaje předávány z [Unie] do USA podle rozhodnutí [2010/87]? 5) Vzhledem ke skutkovým zjištěním, která učinil High Court (Vrchní soud) ve vztahu k právním předpisům USA, jsou-li osobní údaje předány z [Unie] do USA podle rozhodnutí [2010/87]: a) zachovává úroveň ochrany poskytovaná USA podstatu práva jednotlivce na prostředky nápravy před soudem při porušení jeho práv na ochranu osobních údajů, zaručeného článkem 47 Listiny? Je-li odpověď na písmeno a) kladná, b) jsou omezení práva jednotlivce na prostředky nápravy před soudem obsažená v právních předpisech USA v souvislosti s národní bezpečností USA přiměřená ve smyslu článku 52 Listiny a nepřekračují rámec toho, co je nezbytné v demokratické společnosti pro účely národní bezpečnosti? 6) a) Jaká úroveň ochrany musí být poskytnuta osobním údajům předávaným do třetí země na základě standardních smluvních doložek přijatých v souladu s rozhodnutím Komise podle čl. 26 odst. 4 směrnice [95/46] s přihlédnutím k jejím ustanovením a zejména článkům 25 a 26 vykládaným ve světle Listiny? b) Jaké skutečnosti musí být vzaty v úvahu při posuzování, zda úroveň ochrany poskytovaná údajům předávaným do třetí země podle rozhodnutí [2010/87] splňuje požadavky směrnice a Listiny? 7) Vylučuje skutečnost, že standardní smluvní doložky platí mezi vývozcem údajů a dovozcem údajů a nejsou závazné pro vnitrostátní orgány třetí země, které mohou po dovozci údajů požadovat, aby jejich zpravodajským službám zpřístupnil k dalšímu zpracování osobní údaje předané podle ustanovení obsažených v rozhodnutí [2010/87], závěr, že doložky poskytují dostatečné záruky, jak předpokládá čl. 26 odst. 2 směrnice [95/46]? 8) Pokud dovozce údajů z třetí země podléhá právním předpisům o sledování, které jsou podle názoru orgánu [dozoru] v rozporu [se standardními smluvními doložkami], s články 25 a 26 směrnice [95/46] nebo s Listinou, je [tento orgán] povinen použít své donucovací pravomoci podle čl. 28 odst. 3 směrnice [95/46] a pozastavit toky údajů, nebo je výkon těchto pravomocí s ohledem na bod 11 odůvodnění [rozhodnutí 2010/87] omezen pouze na výjimečné případy, nebo může [orgán dozoru] využít své diskreční pravomoci a toky údajů nepozastavit? 9) a) Je pro účely čl. 25 odst. 6 směrnice [95/46], rozhodnutí […] o štítu na ochranu soukromí[…] obecně závazné pro [orgány dozoru] a soudy členských států v tom smyslu, že USA zajišťují odpovídající úroveň ochrany ve smyslu čl. 25 odst. 2 směrnice [95/46] na základě svého vnitrostátního práva nebo mezinárodních závazků? b) Pokud tomu tak není, jaký význam, pokud vůbec nějaký, má rozhodnutí o štítu na ochranu soukromí při posuzování odpovídající úrovně ochranných opatření poskytovaných v souvislosti s údaji předávanými do USA podle rozhodnutí [2010/87]? 10) Vzhledem ke zjištěním, která učinil High Court (Vrchní soud) ve vztahu k právním předpisům USA, zaručuje úřad ombudsmana ve věcech štítu na ochranu soukromí podle přílohy [III A] rozhodnutí o štítu na ochranu soukromí ve spojení se stávajícím režimem v USA, že USA poskytují prostředky nápravy subjektům údajů, jejichž osobní údaje jsou předávány do USA podle rozhodnutí [2010/87], které jsou slučitelné s článkem 47 Listiny? 11) Porušuje rozhodnutí [2010/87] články 7, 8 nebo 47 Listiny?“

77. DPC, Facebook Ireland, M. Schrems, vláda Spojených států, EPIC, BSA, Digitaleurope, Irsko, belgická, česká, německá, nizozemská, rakouská, polská a portugalská vláda a vláda Spojeného království, Evropský parlament, jakož i Komise předložili Soudnímu dvoru písemná vyjádření. DPC, Facebook Ireland, M. Schrems, vláda Spojených států, EPIC, BSA, Digitaleurope, Irsko, německá, francouzská, nizozemská a rakouská vláda a vláda Spojeného království, Parlament, Komise, jakož i evropský sbor pro ochranu údajů (European Data Protection Board, EDPB) byly zastoupeny na jednání k přednesu řečí, které se konalo dne 9. července 2019.

IV. Analýza

A. Úvodní poznámky

78. V návaznosti na zrušení rozhodnutí o „bezpečném přístavu“ Soudním dvorem v rozsudku Schrems pokračovalo předávání osobních údajů do Spojených států na základě jiných právních základů. Společnosti vyvážející údaje mohly zejména využít smlouvy s dovozci údajů, které zahrnovaly standardní doložky vypracované Komisí. Tyto doložky rovněž slouží jako právní základ pro předávání do mnoha jiných třetích zemí, ohledně kterých Komise nepřijala rozhodnutí o odpovídající úrovni ochrany ( 25 ). Rozhodnutí o štítu na ochranu soukromí nyní umožňuje podnikům, které autocertifikovaly (samy osvědčily) přijetí zásad v něm uvedených, předávat osobní údaje do Spojených států bez dalších formalit.

79. Jak výslovně uvádí předkládací rozhodnutí a jak zdůraznily BSA, Digitaleurope, Irsko, rakouská a francouzská vláda, Parlament, stejně jako Komise, spor v původním řízení, probíhající před High Court (Vrchní soud), má pouze určit, zda je rozhodnutí, kterým Komise zavedla standardní smluvní doložky, dovolávané na podporu předání uvedených ve stížnosti M. Schremse, a sice rozhodnutí 2010/87 ( 26 ), platné.

80. Tento spor vychází ze stížnosti, kterou DPC požádal předkládající soud, aby Soudnímu dvoru předložil předběžnou otázku týkající se platnosti rozhodnutí 2010/87. Podle tvrzení předkládajícího soudu se tak spor v původním řízení týká výkonu opravného prostředku, jehož zavedení Soudní dvůr přikázal členským státům v bodě 65 rozsudku Schrems.

81. Pro připomenutí Soudní dvůr rozhodl v bodě 63 uvedeného rozsudku, že orgán dozoru je povinen s veškerou vyžadovanou řádnou péčí projednat stížnost, v níž osoba, jejíž osobní údaje byly nebo by mohly být předány do třetí země, na kterou se vztahuje rozhodnutí o odpovídající úrovni ochrany, zpochybní slučitelnost tohoto rozhodnutí se základními právy zakotvenými Listinou. Podle bodu 65 uvedeného rozsudku, má-li uvedený orgán za to, že výtky uplatněné v této stížnosti jsou opodstatněné, musí mít tento orgán v souladu s čl. 28 odst. 3 prvním pododstavcem třetí odrážkou směrnice 95/46 (kterému odpovídá čl. 58 odst. 5 GDPR) ve spojení zejména s čl. 8 odst. 3 Listiny možnost obrátit se na soud. V tomto ohledu přísluší vnitrostátnímu zákonodárci, aby stanovil procesní prostředky, které by dotyčnému orgánu dozoru umožnily uplatnit výtky před vnitrostátními soudy, aby tyto soudy v případě, že sdílejí pochybnosti vyjádřené tímto orgánem, předložily žádost o rozhodnutí o předběžné otázce za účelem přezkumu platnosti tohoto rozhodnutí.

82. Stejně jako předkládající soud se domnívám, že tyto závěry se uplatní per analogiam, pokud má orgán dozoru při projednávání stížnosti podané u tohoto orgánu pochybnosti o platnosti nikoli rozhodnutí o odpovídající úrovni ochrany, nýbrž takového rozhodnutí, jako je rozhodnutí 2010/87, kterým se stanoví standardní smluvní doložky pro předávání osobních údajů do třetích zemí. Na rozdíl od toho, co tvrdí německá vláda, není významné, zda tyto pochybnosti odpovídají výtkám předloženým tomuto orgánu stěžovatelem, nebo zda tento orgán zpochybní platnost dotčeného rozhodnutí na základě vlastního rozhodnutí. Požadavky vyplývající z čl. 58 odst. 5 GDPR a čl. 8 odst. 3 Listiny, na kterých se zakládá odůvodnění Soudního dvora, se totiž uplatní bez ohledu na právní základ předání uvedeného ve stížnosti podané u orgánu dozoru a na důvody, které vedly tento orgán k pochybnostem o platnosti dotčeného rozhodnutí v rámci projednávání této stížnosti.

83. Je však třeba uvést, že když DPC požádal předkládající soud o to, aby se obrátil na Soudní dvůr kvůli platnosti rozhodnutí 2010/87, bylo to z důvodu, že považoval objasnění ze strany Soudního dvora k této otázce za nezbytné k vyřízení stížnosti, kterou jej M. Schrems žádá, aby vykonal pravomoc, kterou mu svěřuje čl. 28 odst. 3 druhá odrážka směrnice 95/46 – a kterou mu nyní přiznává čl. 58 odst. 2 písm. f) GDPR – a sice pozastavit předávání osobních údajů, které se ho týkají, společností Facebook Ireland společnosti Facebook Inc.

84. Zatímco se spor v původním řízení týká pouze platnosti in abstracto rozhodnutí 2010/87, podkladové řízení probíhající před DPC se týká jeho výkonu pravomoci přijmout nápravná opatření v konkrétním případě. Navrhnu Soudnímu dvoru, aby se zaměřil na přezkum položených otázek v rozsahu nezbytném pro rozhodnutí o platnosti rozhodnutí 2010/87, jelikož takový přezkum bude postačovat k tomu, aby předkládající soud vyřešil spor, který mu byl předložen ( 27 ).

85. Před posouzením platnosti tohoto rozhodnutí je třeba odmítnout určité námitky vznesené proti přípustnosti žádosti o rozhodnutí o předběžné otázce.

B. K přípustnosti žádosti o rozhodnutí o předběžné otázce

86. Přípustnost žádosti o rozhodnutí o předběžné otázce byla zpochybněna z různých důvodů, které se v zásadě týkají nepoužitelnosti ratione temporis směrnice 95/46, uvedené v předběžných otázkách (oddíl 1), skutečnosti, že řízení před DPC nedosáhlo dostatečně pokročilého stadia k tomu, aby byla odůvodněna jejich potřebnost (oddíl 2), a přetrvávající nejistoty týkající se skutkového rámce popsaného předkládajícím soudem (oddíl 3).

87. Na tyto námitky nepřípustnosti odpovím s ohledem na domněnku relevance otázek položených Soudnímu dvoru na základě článku 267 SFEU. Podle ustálené judikatury je Soudní dvůr oprávněn odmítnout rozhodnout o žádosti o rozhodnutí o předběžné otázce pouze tehdy, je-li zjevné, že požadovaný výklad unijního práva nemá žádný vztah k realitě nebo předmětu sporu v původním řízení, jestliže se jedná o hypotetický problém nebo také jestliže Soudní dvůr nedisponuje skutkovými a právními poznatky nezbytnými pro užitečnou odpověď na otázky, které jsou mu položeny ( 28 ).

1. K časové působnosti směrnice 95/46

88. Facebook Ireland namítá nepřípustnost předběžných otázek z důvodu, že odkazují na směrnici 95/46, zatímco tato směrnice byla s účinností od 25. května 2018 zrušena a nahrazena GDPR ( 29 ).

89. Sdílím názor, že platnost rozhodnutí 2010/87 musí být zkoumána ve světle ustanovení GDPR.

90. V souladu s čl. 94 odst. 2 tohoto nařízení „[o]dkazy na zrušenou směrnici se považují za odkazy na toto nařízení“. Podle mého názoru z toho vyplývá, že rozhodnutí 2010/87 v rozsahu, v němž uvádí jako právní základ čl. 26 odst. 4 směrnice 95/46, musí být chápáno tak, že odkazuje na čl. 46 odst. 2 písm. c) GDPR, který v podstatě přejímá jeho obsah ( 30 ). V důsledku toho musí být prováděcí rozhodnutí přijatá Komisí na základě čl. 26 odst. 4 směrnice 95/46 před vstupem GDPR v platnost vykládána ve světle tohoto nařízení. Jejich platnost musí být případně posouzena rovněž s ohledem na uvedené nařízení.

91. Tento závěr není zpochybněn judikaturou, podle níž musí být legalita unijního aktu posuzována podle skutkových a právních okolností existujících ke dni, kdy byl tento akt přijat. Tato judikatura se totiž týká přezkumu platnosti unijního aktu s ohledem na skutkové okolnosti relevantní při jeho přijímání ( 31 ) nebo na procesní pravidla, která upravují jeho přijetí ( 32 ). Soudní dvůr naproti tomu opakovaně přezkoumal platnost aktů sekundárního práva z hlediska hmotněprávních norem vyšší právní síly, které vstoupily v platnost po přijetí těchto aktů ( 33 ).

92. Skutečnost, že je ve znění předběžných otázek uveden akt, který již není ratione temporis použitelný, sice odůvodňuje přeformulování těchto otázek, avšak nemůže vést k jejich nepřípustnosti ( 34 ). Jak tvrdili DPC a M. Schrems, odkazy na směrnici 95/46 ve znění předběžných otázek lze ostatně vysvětlit s ohledem na procesní harmonogram projednávané věci, neboť tyto otázky byly Soudnímu dvoru předloženy před vstupem GDPR v platnost.

93. V každém případě ustanovení GDPR, která budou zkoumána pro účely analýzy předběžných otázek – a sice zejména jeho články 45, 46 a 58 – v podstatě až na jemné rozdíly přejímají a rozvíjejí obsah článků 25, 26 a 28 směrnice 95/46. Co se týče jejich relevantních aspektů pro účely rozhodnutí o platnosti rozhodnutí 2010/87, nevidím žádný důvod přiznat těmto ustanovením GDPR jiný dosah, než mají odpovídající ustanovení směrnice 95/46 ( 35 ).

2. K předběžné povaze pochybností vyjádřených DPC

94. Podle německé vlády je žádost o rozhodnutí o předběžné otázce nepřípustná z důvodu, že odvolací řízení, které je uvedeno v bodě 65 rozsudku Schrems, předpokládá, že orgán dozoru přijme konečné stanovisko k opodstatněnosti výtek vznesených stěžovatelem proti platnosti dotčeného rozhodnutí. Tak tomu v projednávané věci není, neboť DPC vyjádřil pochybnosti o platnosti rozhodnutí 2010/87, které M. Schrems ostatně nezpochybňuje, v návrhu rozhodnutí, který byl vydán předběžně, aniž tím bylo dotčeno případné podání doplňujících vyjádření ze strany společnosti Facebook Ireland a M. Schremse.

95. Domnívám se, že předběžná povaha pochybností vyjádřených DPC nemá vliv na přípustnost žádosti o rozhodnutí o předběžné otázce. Kritéria přípustnosti předběžné otázky je totiž třeba posuzovat ve vztahu k předmětu sporu, jak je vymezen předkládajícím soudem ( 36 ). Je přitom nesporné, že se týká platnosti rozhodnutí 2010/87. Podle předkládacího rozhodnutí a rozsudku k němu přiloženému se tento soud domníval, že pochybnosti vyjádřené DPC – aniž je důležité, zda byly předběžné nebo konečné – jsou opodstatněné, a proto se Soudního dvora dotázal na platnost tohoto rozhodnutí. Za těchto podmínek je objasnění Soudního dvora v tomto ohledu nepochybně relevantní k tomu, aby předkládající soud mohl rozhodnout o sporu, který mu byl předložen.

3. K nejistotě ohledně vymezení skutkového rámce

96. Vláda Spojeného království tvrdí, že skutkový rámec popsaný předkládajícím soudem obsahuje několik mezer, které ohrožují přípustnost předběžných otázek. Tento soud neobjasnil, zda osobní údaje týkající se M. Schremse byly do Spojených států skutečně předány, ani, v případě kladné odpovědi, zda byly shromážděny americkými orgány. Ani právní základ pro tato případná předání nebyl s určitostí určen, jelikož předkládací rozhodnutí se omezuje na uvedení toho, že údaje evropských uživatelů sociální sítě Facebook jsou předávány „z velké části“ na základě standardních smluvních doložek stanovených v rozhodnutí 2010/87. V každém případě nebylo prokázáno, že smlouva mezi společností Facebook Ireland a Facebook Inc., dovolávaná na podporu sporného předávání, věrně přejímá tyto doložky. Německá vláda rovněž zpochybňuje přípustnost žádosti o rozhodnutí o předběžné otázce z důvodu, že předkládající soud nezkoumal, zda M. Schrems nepochybně udělil souhlas s předmětnými předáními, v kterémžto případě by tato předání byla platně založena na čl. 26 odst. 1 směrnice 95/46 [jehož obsah v podstatě přebírá čl. 49 odst. 1 písm. a) GDPR].

97. Tyto argumenty nijak nezpochybňují relevanci žádosti o rozhodnutí o předběžné otázce s ohledem na předmět sporu v původním řízení. Vzhledem k tomu, že tento spor má původ ve výkonu procesního prostředku, který je stanoven v bodě 65 rozsudku Schrems, ze strany DPC, je jeho samotným předmětem dosáhnout u vnitrostátního soudu předložení žádosti o rozhodnutí o předběžné otázce týkající se platnosti rozhodnutí 2010/87. Německá vláda a vláda Spojeného království ve skutečnosti popírají nezbytnost předběžných otázek nikoli pro určení, zda je toto rozhodnutí platné, ale k tomu, aby DPC mohl rozhodnout in concreto o stížnosti M. Schremse.

98. V každém případě i z hlediska tohoto řízení, které je podkladem pro spor v původním řízení, se mi předběžné otázky týkající se platnosti rozhodnutí 2010/87 nejeví jako irelevantní. Předkládající soud totiž prokázal, že společnost Facebook Ireland nadále předávala údaje svých uživatelů do Spojených států i po zrušení rozhodnutí o „bezpečném přístavu“ a že tato předávání jsou přinejmenším z části založena na rozhodnutí 2010/87. Navíc, i když může být výhodné, aby všechny relevantní skutečnosti byly prokázány dříve, než předkládající soud vykoná svou pravomoc na základě článku 267 SFEU, pouze tomuto soudu přísluší, aby posoudil, v jaké fázi řízení potřebuje rozhodnutí Soudního dvora o předběžné otázce ( 37 ).

99. Vzhledem k výše uvedeným úvahám se domnívám, že žádost o rozhodnutí o předběžné otázce je přípustná.

C. K použitelnosti unijního práva na předávání osobních údajů za obchodními účely do třetího státu, který je může zpracovávat pro účely národní bezpečnosti (první otázka)

100. Podstatou první otázky předkládajícího soudu je, zda se unijní právo vztahuje na předávání osobních údajů společností, která je usazena v členském státě, společnosti usazené ve třetí zemi uskutečňované z obchodních důvodů, pokud takové údaje mohou být poté, co bylo předávání zahájeno, zpracovány veřejnými orgány této třetí země za účely, které zahrnují i ochranu národní bezpečnosti.

101. Význam této otázky pro řešení sporu v původním řízení spočívá v tom, že pokud by takové předávání spadalo mimo působnost unijního práva, byly by všechny námitky vznesené proti platnosti rozhodnutí 2010/87 v projednávané věci neopodstatněné.

102. Jak uvedl předkládající soud, zpracování osobních údajů, jež se týká národní bezpečnosti, bylo z působnosti směrnice 95/46 vyloučeno na základě jejího čl. 3 odst. 2. Nyní čl. 2 odst. 2 GDPR upřesňuje, že se toto nařízení nevztahuje na zpracování osobních údajů prováděné při výkonu činností, které nespadají do oblasti působnosti unijního práva, nebo příslušnými orgány za účelem ochrany před hrozbami pro veřejnou bezpečnost. Tato ustanovení odrážejí výhradu pravomoci, kterou čl. 4 odst. 2 SEU přiznává členským státům v oblasti ochrany národní bezpečnosti.

103. DPC, M. Schrems, Irsko, německá, rakouská, belgická, česká, nizozemská, polská a portugalská vláda, jakož i Parlament a Komise tvrdí, že na takové předávání, jako je předávání uvedené ve stížnosti M. Schremse, se tato ustanovení nevztahují, a proto spadá do působnosti unijního práva. Společnost Facebook Ireland zastává opačný názor. Ztotožňuji se s prvně uvedeným názorem.

104. V tomto ohledu je třeba zdůraznit, že předávání osobních údajů z členského státu do třetí země představuje jako takové „zpracování“ ve smyslu čl. 4 bodu 2 GDPR prováděné na území členského státu ( 38 ). Předmětem první předběžné otázky je právě určit, zda se unijní právo vztahuje na zpracování, kterým je samotné předávání. Tato otázka se netýká použitelnosti unijního práva na případné následné zpracovávání údajů předaných do Spojených států americkými orgány pro účely národní bezpečnosti, které nespadá do místní působnosti GDPR ( 39 ).

105. Z tohoto hlediska je třeba pro účely určení, zda se unijní právo vztahuje na předávání dotčených údajů, zohlednit pouze činnost, v jejímž rámci dochází k tomuto předávání, aniž je relevantní účel případného následného zpracování předaných údajů veřejnými orgány třetí země určení ( 40 ).

106. Z předkládacího rozhodnutí přitom vyplývá, že předávání uvedené ve stížnosti M. Schremse je součástí obchodní činnosti. K tomuto předávání ostatně nedochází s cílem umožnit následné zpracování dotčených údajů americkými orgány pro účely národní bezpečnosti.

107. Přístup navržený společností Facebook Ireland by ostatně zbavil užitečného účinku ustanovení GDPR týkající se předávání do třetích zemí, jelikož nelze nikdy vyloučit, že údaje předávané v rámci obchodní činnosti budou po předání zpracovávány pro účely národní bezpečnosti.

108. Výklad, který zastávám, je potvrzen zněním čl. 45 odst. 2 písm. a) GDPR. Toto ustanovení uvádí, že pokud Komise přijímá rozhodnutí o odpovídající úrovni ochrany, vezme v úvahu zejména právní předpisy třetí země, které se týkají národní bezpečnosti. Z toho lze vyvodit, že možnost, že údaje budou zpracovány ze strany orgánů třetí země určení za účelem ochrany národní bezpečnosti, nečiní unijní právo nepoužitelným na zpracování představované předáním údajů do této třetí země.

109. Úvahy a závěry, které Soudní dvůr přijal v rozsudku ve věci Schrems, spočívají rovněž na tomto předpokladu. Soudní dvůr v něm zejména přezkoumal platnost rozhodnutí o „bezpečném přístavu“ v rozsahu, v němž se týká předávání osobních údajů do Spojených států, kde mohly být shromažďovány a zpracovávány pro účely ochrany národní bezpečnosti, s ohledem na čl. 25 odst. 6 směrnice 95/46 ve spojení s Listinou ( 41 ).

110. S ohledem na tyto úvahy mám za to, že se unijní právo vztahuje na předávání osobních údajů z členského státu do třetí země, pokud je toto předávání součástí obchodní činnosti, aniž je relevantní, že předávané údaje mohou být zpracovány ze strany veřejných orgánů této třetí země za účelem ochrany národní bezpečnosti.

D. K úrovni ochrany vyžadované v rámci předávání založeného na standardních smluvních doložkách (první část šesté otázky)

111. První částí šesté otázky se předkládající soud táže, jaká je úroveň ochrany základních práv subjektů údajů, která musí být zajištěna proto, aby mohly být osobní údaje předávány do třetí země na základě standardních smluvních doložek uvedených v rozhodnutí 2010/87.

112. Uvedený soud zdůrazňuje, že v rozsudku Schrems vyložil Soudní dvůr čl. 25 odst. 6 směrnice 95/46 (jehož obsah je v podstatě převzat v čl. 45 odst. 3 GDPR) tak, že stanoví, že Komise může přijmout rozhodnutí o odpovídající úrovni ochrany pouze poté, co se ujistila, že třetí země, na kterou se vztahuje, zaručuje odpovídající úroveň ochrany, tak, že předpokládá, že tato země prokáže, že zajišťuje úroveň ochrany základních práv a svobod, která je v zásadě rovnocenná úrovni zaručené v rámci Unie na základě této směrnice vykládané ve světle Listiny ( 42 ).

113. V tomto kontextu první část šesté předběžné otázky vyzývá Soudní dvůr k tomu, aby určil, zda použití „standardních smluvních doložek“ přijatých Komisí na základě čl. 26 odst. 4 směrnice 95/46 – které odpovídají „standardním doložkám o ochraně“ nyní uvedeným v čl. 46 odst. 2 písm. c) GDPR – musí umožnit dosažení úrovně ochrany odpovídající témuž standardu „podstatné rovnocennosti“.

114. V tomto ohledu čl. 46 odst. 1 GDPR stanoví, že správce může předat osobní údaje do třetí země, „pouze pokud správce poskytl vhodné záruky a za podmínky, že jsou k dispozici vymahatelná práva subjektu údajů a účinná právní ochrana subjektů údajů“ (kurziva provedena autorem tohoto stanoviska) ( 43 ). Podle čl. 46 odst. 2 písm. c) GDPR mohou tyto záruky vyplývat zejména ze standardních doložek o ochraně vypracovaných Komisí.

115. Stejně jako DPC, M. Schrems a Irsko mám za to, že „odpovídající záruky“ poskytnuté správcem, na které odkazuje čl. 46 odst. 1 GDPR, musí zajistit, aby práva subjektů, jejichž údaje jsou předávány, požívala, tak jako v rámci předávání založeného na rozhodnutí o odpovídající úrovni ochrany, úroveň ochrany, která je v zásadě rovnocenná úrovni ochrany, která vyplývá z GDPR ve spojení s Listinou.

116. Tento závěr vyplývá z cíle tohoto ustanovení a z předpisu, jehož je součástí.

117. Cílem článků 45 a 46 GDPR je zajistit kontinuitu vysoké úrovně ochrany osobních údajů zajištěné tímto nařízením, jsou-li předávány mimo Unii. Článek 44 GDPR, nadepsaný „Obecná zásada pro předávání“, totiž zahajuje kapitolu V týkající se předávání osobních údajů do třetích zemí tím, že stanoví, že veškerá ustanovení této kapitoly se použijí s cílem zajistit, aby úroveň ochrany zaručená GDPR nebyla v případě předávání do třetího státu znehodnocena ( 44 ). Cílem tohoto pravidla je zabránit tomu, aby byly standardy ochrany vyplývající z unijního práva obcházeny předáváním osobních údajů do třetí země za účelem jejich zpracování ( 45 ). S ohledem na tento cíl nezáleží na tom, zda je předávání založeno na rozhodnutí o odpovídající úrovni ochrany, nebo na zárukách poskytnutých správcem, zejména prostřednictvím smluvních doložek. Požadavky na ochranu základních práv zaručených Listinou nečiní rozdíl v závislosti na právním základu, na němž dané předání spočívá ( 46 ).

118. Naproti tomu způsob, jakým je zachována kontinuita vysoké úrovně ochrany, se liší v závislosti na právním základu předávání.

119. Cílem rozhodnutí o odpovídající úrovni ochrany je konstatovat, že uvedená třetí země sama zajišťuje takovou úroveň ochrany, jako je úroveň ochrany, které musí být dosaženo v Unii. Přijetí rozhodnutí o odpovídající úrovni ochrany předpokládá, že Komise předem posoudí úroveň ochrany zaručenou právem a zvyklostmi určité třetí země ve světle faktorů stanovených v čl. 45 odst. 3 GDPR. Osobní údaje tedy mohou být předávány do uvedené třetí země, aniž správce musí získat zvláštní povolení.

120. Kromě toho, jak je podrobněji vysvětleno v následujícím oddíle, vhodné záruky nabízené správcem směřují k zajištění vysoké úrovně ochrany v případě nedostatečnosti záruk dostupných ve třetí zemi určení. I když čl. 46 odst. 1 GDPR umožňuje, aby byly osobní údaje předávány do třetích států, které nezajišťují odpovídající úroveň ochrany, toto ustanovení však takové předávání umožňuje pouze v případě, že jsou vhodné záruky poskytnuty jinými prostředky. Standardní smluvní doložky přijaté Komisí v tomto ohledu představují obecný mechanismus použitelný na předávání bez ohledu na třetí zemi určení a úroveň ochrany, která je v ní zajištěna.

E. K platnosti rozhodnutí 2010/87 s ohledem na články 7, 8 a 47 Listiny (sedmá, osmá a jedenáctá otázka)

121. Podstatou sedmé otázky předkládajícího soudu je, zda je rozhodnutí 2010/87 neplatné z důvodu, že nezavazuje orgány třetích států, do kterých jsou předávány údaje na základě standardních smluvních doložek stanovených v příloze k tomuto rozhodnutí, a zejména že jim nebrání v tom, aby požadovaly od dovozce, aby jim tyto údaje poskytl. Tato otázka tedy zpochybňuje samotnou možnost zajistit odpovídající úroveň ochrany těchto údajů prostřednictvím mechanismů výlučně smluvní povahy. Jedenáctá otázka se týká obecně platnosti rozhodnutí 2010/87 s ohledem na články 7, 8 a 47 Listiny.

122. Osmá otázka vyzývá Soudní dvůr, aby určil, zda je orgán dozoru povinen využít pravomocí, které mu přiznává čl. 58 odst. 2 písm. f) a j) GDPR, k pozastavení předávání do třetí země na základě standardních smluvních doložek stanovených v rozhodnutí 2010/87, pokud má za to, že dovozce údajů v ní podléhá povinnostem, které mu brání v plnění těchto doložek a mají za následek, že není zajištěna odpovídající ochrana předaných údajů. Vzhledem k tomu, že odpověď na tuto otázku má podle mého názoru dopad na platnost rozhodnutí 2010/87 ( 47 ), budu se jí zabývat společně se sedmou a jedenáctou otázkou.

123. Když znění čl. 46 odst. 1 GDPR stanoví, že „[j]estliže neexistuje rozhodnutí podle čl. 45 odst. 3, správce nebo zpracovatel mohou předat osobní údaje do třetí země […], pouze pokud správce nebo zpracovatel poskytl vhodné záruky […]“ (kurziva provedena autorem tohoto stanoviska), zdůrazňuje logiku, kterou mají takové smluvní mechanismy, jako je mechanismus stanovený v rozhodnutí 2010/87. Jak zdůrazňují body 108 a 114 odůvodnění GDPR, cílem těchto mechanismů je umožnit předávání do třetích zemí, pro které Komise nepřijala rozhodnutí o odpovídající úrovni ochrany, přičemž případné nedostatky ochrany zajištěné v právním řádu této třetí země jsou tedy vyrovnány zárukami, které se vývozce a dovozce údajů smluvně zaváží dodržovat.

124. Vzhledem k tomu, že důvod existence smluvních záruk spočívá právě ve zhojení možných mezer v ochraně poskytované třetími zeměmi určení, nemůže platnost rozhodnutí, v němž Komise konstatuje, že některé standardní doložky tyto mezery odpovídajícím způsobem vyplňují, záviset na úrovni ochrany zajištěné v každé z konkrétních třetích zemí, do kterých mohou být údaje předávány. Platnost takového rozhodnutí závisí pouze na pevnosti záruk, které stanoví tyto doložky s cílem vyrovnat případnou nedostatečnost ochrany ve třetí zemi určení. Efektivita těchto záruk musí být posuzována rovněž s ohledem na záruky představované pravomocemi orgánů dozoru na základě čl. 58 odst. 2 GDPR.

125. V tomto ohledu, jak v podstatě uvedli DPC, M. Schrems, BSA, Irsko, rakouská, francouzská, polská a portugalská vláda, jakož i Komise, záruky, které obsahují standardní smluvní doložky, mohou být oslabeny, ba dokonce zmařeny, jestliže právo třetí země určení ukládá dovozci údajů povinnosti, které jsou v rozporu s tím, co vyžadují tyto doložky. Právní kontext v třetí zemi určení tak může v závislosti na konkrétních okolnostech předávání ( 48 ) znemožňovat splnění povinností stanovených těmito doložkami.

126. Za těchto podmínek, jak zdůraznil M. Schrems a Komise, je smluvní mechanismus stanovený v čl. 46 odst. 2 písm. c) GDPR založen na odpovědnosti vývozce údajů, jakož i podpůrně, orgánů dozoru. V každém jednotlivém případě správce nebo, v případě jeho nečinnosti, orgán dozoru, přezkoumá, zda právo třetí země určení brání splnění standardních doložek, a tudíž i odpovídající ochraně předávaných údajů, takže je třeba předávání zakázat nebo pozastavit.

127. Vzhledem k těmto vyjádřením se domnívám, že skutečnost, že rozhodnutí 2010/87 a standardní smluvní doložky, které stanoví, nejsou pro orgány třetí země určení závazné, sama o sobě nečiní toto rozhodnutí neplatné. Soulad rozhodnutí 2010/87 s články 7, 8 a 47 Listiny podle mého názoru závisí na tom, zda existují dostatečně pevné mechanismy, které umožňují zajistit, aby se předávání založené na standardních smluvních doložkách pozastavilo nebo bylo zakázáno v případě porušení těchto doložek nebo nemožnosti je splnit.

128. V tomto ohledu čl. 46 odst. 1 GDPR stanoví, že k předání založenému na vhodných zárukách může dojít pouze „za podmínky, že jsou k dispozici vymahatelná práva subjektu údajů a účinná právní ochrana“. Bude třeba ověřit, zda záruky stanovené v doložkách uvedených v příloze rozhodnutí 2010/87, které jsou doplněny pravomocemi orgánů dozoru, umožňují zajistit dodržení této podmínky. Podle mého názoru tomu tak je pouze tehdy, pokud existuje povinnost – správců (oddíl 1) a v případě jejich nečinnosti orgánů dozoru (oddíl 2) – pozastavit nebo zakázat předávání, pokud z důvodu rozporu mezi povinnostmi vyplývajícími ze standardních doložek a povinnostmi uloženými právem třetí země určení nemohou být tyto doložky dodrženy.

1. K povinnostem správců

129. Zaprvé standardní smluvní doložky uvedené v příloze rozhodnutí 2010/87 vyžadují, aby v případě rozporu mezi povinnostmi, které stanoví, a požadavky vyplývajícími z práva třetí země určení nebyly tyto doložky uplatňovány na podporu předávání do této třetí země nebo, pokud již bylo předávání zahájeno na základě uvedených doložek, byl vývozce údajů o tomto rozporu informován a mohl toto předávání zastavit.

130. Na základě doložky 5 písm. a) se dovozce zavazuje, že osobní údaje bude zpracovávat pouze jménem vývozce údajů a v souladu s jeho pokyny a se standardními smluvními doložkami. Nebude-li moci dovozce dodržování doložek zajistit, zavazuje se o tom neprodleně informovat vývozce údajů, který je v takovém případě oprávněn pozastavit předávání údajů nebo odstoupit od smlouvy ( 49 ).

131. Poznámka pod čarou 5 k doložce 5 stanoví, že standardní doložky nejsou porušeny, pokud dovozce údajů splní povinné požadavky vnitrostátních právních předpisů vztahujících se na dovozce údajů v třetí zemi, které nepřekračují rámec toho, co je nezbytné v demokratické společnosti, na základě jednoho ze zájmů uvedených v čl. 13 odst. 1 směrnice 95/46 (jehož obsah je v zásadě převzat v čl. 23 odst. 1 GDPR), mezi které patří i veřejná bezpečnost a bezpečnost státu. Naopak porušení těchto doložek za účelem dosažení souladu s kontradiktorní povinností vycházející z práva třetí země určení, která překračuje meze toho, co je přiměřené ochraně legitimního zájmu, který Unie uznává, se považuje za porušení uvedených doložek.

132. Podle mého názoru, jak tvrdili M. Schrems a Komise, doložku 5 písm. a) nelze vykládat tak, že znamená, že pozastavení předávání nebo odstoupení od smlouvy je pouze fakultativní, pokud dovozce není schopen dodržovat standardní doložky. I když tato doložka zmiňuje pouze právo vývozce údajů v tomto smyslu, musí být toto znění chápáno ve vztahu ke smluvnímu rámci, jehož je součástí. Skutečnost, že vývozce údajů má v rámci svých dvoustranných vztahů s dovozcem údajů právo pozastavit předávání nebo odstoupit od smlouvy, pokud se dovozce údajů nachází v neschopnosti dostát dotčeným doložkám, není na újmu povinnosti vývozce údajů postupovat tak s ohledem na požadavky na ochranu práv subjektů údajů vyplývající z GDPR. Jakýkoli jiný výklad by vedl k neplatnosti rozhodnutí 2010/87, jelikož smluvní doložky, které stanoví, by nedovolovaly opatřit předávání „vhodnými zárukami“, jak vyžaduje čl. 46 odst. 1 GDPR vykládaný ve světle ustanovení Listiny ( 50 ).

133. Navíc podle doložky 5 písm. b) dovozce údajů osvědčuje, že nemá důvod se domnívat, že mu právní předpisy, kterým podléhá, brání plnit pokyny vývozce údajů a jeho povinnosti vyplývající ze smlouvy. Pokud jsou tyto právní předpisy předmětem změny, která by mohla mít výrazně nepříznivý dopad na záruky a povinnosti stanovené standardními doložkami, oznámí dovozce údajů neprodleně tuto změnu vývozci údajů, který je v takovém případě oprávněn pozastavit předávání údajů nebo odstoupit od smlouvy. V souladu s doložkou 4 písm. g) předá vývozce oznámení obdržené od dovozce příslušnému orgánu dozoru, pokud se vývozce rozhodne pokračovat v předávání.

134. Považuji za nezbytné zde uvést několik upřesnění týkajících se obsahu přezkumu, který musí strany smlouvy provést s ohledem na poznámku pod čarou k doložce 5 za účelem určení, zda povinnosti, které právo třetího státu ukládá dovozci, s sebou nesou porušení standardních doložek, a tudíž brání, aby bylo předávání doplněno vhodnými zárukami. Tato problematika byla v podstatě vznesena v rámci druhé části šesté předběžné otázky.

135. Takový přezkum podle mého názoru vyžaduje zohlednění všech okolností charakterizujících každé předávání, mezi které patří i povaha údajů a jejich případná citlivá povaha, mechanismy zavedené vývozcem nebo dovozcem údajů za účelem zajištění jejich bezpečnosti ( 51 ), povaha a účel zpracování ze strany veřejných orgánů třetí země, jehož předmětem údaje budou, podmínky tohoto zpracování, jakož i omezení a záruky poskytované touto třetí zemí. Mám za to, že prvky charakterizující činnosti zpracování veřejnými orgány a záruky použitelné v právním řádu uvedené třetí země se mohou překrývat s těmi, které jsou uvedeny v čl. 45 odst. 2 GDPR.

136. Zadruhé standardní smluvní doložky uvedené v příloze rozhodnutí 2010/87 zavádějí ve prospěch subjektů údajů vymahatelná práva a účinnou právní ochranu proti vývozci a podpůrně proti dovozci údajů.

137. Doložka 3, nadepsaná „Doložka ve prospěch třetí strany“, v odstavci 1 stanoví právo subjektu údajů podat žalobu proti vývozci údajů v případě porušení zejména doložky 5 písm. a) nebo b). V souladu s doložkou 3 odst. 2 v případech, kdy vývozce údajů fakticky zmizel nebo kdy z právního hlediska zanikl, je subjekt údajů oprávněn tuto doložku uplatnit proti dovozci údajů.

138. Doložka 6 odst. 1 poskytuje jakémukoli subjektu údajů, který utrpěl v důsledku porušení povinností uvedených v doložce 3 škodu, právo obdržet od vývozce údajů za utrpěnou škodu náhradu. Na základě doložky 7 odst. 1 se dovozce údajů zavazuje, že uplatní-li proti němu subjekt údajů práva ve prospěch třetí strany nebo uplatní-li nárok na náhradu škody, přistoupí dovozce údajů na rozhodnutí subjektu údajů předat spor k mediaci prováděné nezávislou osobou nebo popřípadě orgánem dozoru či předat spor soudům v členském státě, ve kterém je vývozce údajů usazen.

139. Vedle procesních prostředků, které mají k dispozici na základě standardních smluvních doložek stanovených v příloze rozhodnutí 2010/87, mohou subjekty údajů, pokud se domnívají, že tyto doložky byly porušeny, požádat orgány dozoru o přijetí nápravných opatření na základě čl. 58 odst. 2 GDPR, na nějž odkazuje článek 4 rozhodnutí 2010/87 ( 52 ).

2. K povinnostem orgánů dozoru

140. Z následujících důvodů vyvozuji, stejně jako M. Schrems, Irsko, německá, rakouská, nizozemská a portugalská vláda, jakož i EDPB, že čl. 58 odst. 2 GDPR ukládá orgánům dozoru, pokud po provedení pečlivého přezkumu mají za to, že údaje předávané do třetí země nepožívají odpovídající ochrany z důvodu nedodržení dohodnutých smluvních doložek, přijmout vhodná opatření k nápravě této protiprávnosti, a pokud je to nezbytné, nařídit pozastavení předávání.

141. Zaprvé podotýkám, že na rozdíl od toho, co tvrdí DPC, žádné ustanovení rozhodnutí 2010/87 neomezuje výkon pravomocí „uložit dočasné nebo trvalé omezení zpracování, včetně jeho zákazu“, a „nařídit přerušení toků údajů příjemci ve třetí zemi nebo toků údajů mezinárodní organizaci“, které mají orgány dozoru na základě čl. 58 odst. 2 písm. f) a j) GDPR, na výjimečné případy.

142. Původní znění článku 4 rozhodnutí 2010/87 sice v odstavci 1 omezilo výkon pravomocí orgánů dozoru pozastavit nebo zakázat přeshraniční toky údajů na určité případy, kdy je prokázáno, že předávání založené na smluvních podmínkách může mít závažné negativní důsledky pro záruky určené k ochraně subjektu údajů. Nicméně článek 4 tohoto rozhodnutí, pozměněný Komisí v roce 2016 za účelem dosažení souladu s rozsudkem Schrems ( 53 ), se nyní omezuje na odkázání na tyto pravomoci, aniž by je jakkoli omezoval. V každém případě prováděcí rozhodnutí Komise, jako je rozhodnutí 2010/87, nemůže platně omezit pravomoci svěřené orgánům dozoru na základě samotného GDPR ( 54 ).

143. Tento závěr není zpochybněn bodem 11 odůvodnění rozhodnutí 2010/87, který stanoví, že pravomoc pozastavit a zakázat předávání údajů lze uplatnit pouze „ve výjimečných případech“. Tento bod odůvodnění, který byl již obsažen v původní verzi tohoto rozhodnutí, se vztahoval k bývalému čl. 4 odst. 1 uvedeného rozhodnutí, který omezoval pravomoci orgánů dozoru. Při změně rozhodnutí 2010/87 rozhodnutím 2016/2297 Komise nezrušila, ani nezměnila uvedený bod odůvodnění za účelem jeho přizpůsobení obsahu znění nového článku 4. Bod 5 odůvodnění rozhodnutí 2016/2297 přesto znovu potvrdil pravomoc orgánů dozoru pozastavit nebo zakázat jakékoli předávání, které považují za odporující unijnímu právu, zejména z důvodu nedodržení standardních smluvních doložek dovozcem údajů. Bod 11 odůvodnění rozhodnutí 2010/87 je tím, že nyní odporuje znění i cíli právně závazného ustanovení tohoto rozhodnutí, třeba kvalifikovat jako obsoletní ( 55 ).

144. Zadruhé na rozdíl od toho, co rovněž tvrdí DPC, výkon pravomocí v oblasti pozastavení a zákazu stanovených v čl. 58 odst. 2 písm. f) a j) GDPR nepředstavuje ani pouhou možnost ponechanou na uvážení orgánů dozoru. Tento závěr podle mého názoru vyplývá z výkladu čl. 58 odst. 2 GDPR ve světle ostatních ustanovení tohoto nařízení a Listiny, jakož i z obecné systematiky a cílů rozhodnutí 2010/87.

145. Zejména čl. 58 odst. 2 GDPR musí být vykládán ve světle čl. 8 odst. 3 Listiny a čl. 16 odst. 2 SFEU. V souladu s těmito ustanoveními dodržování požadavků, které s sebou nese základní právo na ochranu osobních údajů, podléhá kontrole nezávislých orgánů. Tento úkol dozoru nad dodržováním požadavků týkajících se ochrany osobních údajů, uvedený rovněž v čl. 57 odst. 1 písm. a) GDPR, implikuje povinnost orgánů dozoru jednat takovým způsobem, aby zajistily správné provádění tohoto nařízení.

146. Orgán dozoru tak musí s veškerou požadovanou péčí přezkoumat stížnost podanou subjektem, jehož údaje jsou údajně předávány do třetího státu v rozporu se standardními smluvními doložkami použitelnými na předávání ( 56 ). Článek 58 odst. 1 GDPR svěřuje za tímto účelem orgánům dozoru značné vyšetřovací pravomoci ( 57 ).

147. Příslušný orgán dozoru je rovněž povinen náležitě reagovat na případná porušení práv subjektu údajů, která konstatuje na závěr šetření. V tomto ohledu má každý orgán dozoru na základě čl. 58 odst. 2 GDPR širokou škálu prostředků – různé pravomoci přijímat nápravná opatření vyjmenované v tomto ustanovení – k plnění úkolu, který mu byl svěřen ( 58 ).

148. I když volba nejúčinnějšího prostředku spadá do uvážení příslušného orgánu dozoru s ohledem na všechny okolnosti dotčeného předávání, je tento orgán povinen plně splnit svůj úkol dozoru, který mu byl svěřen. Tento orgán případně musí pozastavit předávání, pokud dospěje k závěru, že nejsou dodržovány standardní smluvní doložky a vhodná ochrana předávaných údajů nemůže být zajištěna jinými prostředky, ledaže by předávání ukončil sám vývozce.

149. Tento výklad je podpořen čl. 58 odst. 4 GDPR který stanoví, že výkon pravomocí svěřených tímto článkem orgánu dozoru podléhá vhodným zárukám, včetně účinné soudní ochrany a spravedlivého procesu, v souladu s článkem 47 Listiny. Článek 78 odst. 1 a 2 GDPR kromě toho uznává právo každé osoby na účinnou soudní ochranu proti právně závaznému rozhodnutí orgánu dozoru, které se jí týká, nebo pokud se tento orgán nezabývá její stížností ( 59 ).

150. Tato ustanovení znamenají, jak v podstatě tvrdí M. Schrems, BSA, Irsko, polská vláda a vláda Spojeného království, jakož i Komise, že rozhodnutí, kterým orgán dozoru nezakáže nebo nepozastaví předávání do třetí země na žádost osoby, která se dovolává nebezpečí, že údaje, které se jí týkají, tam budou zpracovávány v rozporu s jejími základními právy, může být předmětem žaloby. Uznání práva na účinnou soudní ochranu přitom předpokládá existence vázané, a nikoli čistě diskreční pravomoci orgánů dozoru. Kromě toho M. Schrems a Komise správně zdůraznili, že výkon účinného soudního přezkumu znamená, že orgán, který je autorem napadeného aktu, musí tento akt řádně odůvodnit