C 297/4

Rozsudek Soudního dvora (velkého senátu) ze dne 16. července 2020 (žádost o rozhodnutí o předběžné otázce High Court – Irsko) – Data Protection Commissioner v. Facebook Ireland Limited, Maximillian Schrems

(Věc C-311/18) (1)

(„Řízení o předběžné otázce - Ochrana fyzických osob v souvislosti se zpracováním osobních údajů - Listina základních práv Evropské unie - Články 7, 8 a 47 - Nařízení (EU) 2016/679 - Článek 2 odst. 2 - Působnost - Předávání osobních údajů do třetích zemí pro obchodní účely - Článek 45 - Rozhodnutí Komise o odpovídající ochraně - Článek 46 - Předávání založené na vhodných zárukách - Článek 58 - Pravomoci dozorových úřadů - Zpracování předávaných údajů orgány veřejné moci třetí země pro účely národní bezpečnosti - Posouzení odpovídající úrovně ochrany ve třetí zemi - Rozhodnutí 2010/87/EU - Standardní doložky o ochraně pro předávání osobních údajů do třetích zemí - Vhodné záruky poskytnuté správcem - Platnost - Prováděcí rozhodnutí (EU) 2016/1250 - Odpovídající úroveň ochrany poskytovaná štítem Evropská unie-USA na ochranu soukromí - Platnost - Stížnost fyzické osoby, jejíž osobní údaje byly předány z Evropské unie do Spojených států“)

(2020/C 297/05)

Jednací jazyk: angličtina

Předkládající soud

High Court (Irsko)

Účastníci původního řízení

Žalobce: Data Protection Commissioner

Žalovaní: Facebook Ireland Limited, Maximillian Schrems

za účasti: The United States of America, Electronic Privacy Information Centre, BSA Business Software Alliance Inc., Digitaleurope

Výrok

1) Článek 2 odst. 1 a 2 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) musí být vykládán v tom smyslu, že předávání osobních údajů prováděné pro obchodní účely hospodářským subjektem usazeným v členském státě jinému hospodářskému subjektu usazenému ve třetí zemi spadá do působnosti tohoto nařízení i tehdy, když tyto údaje mohou být při tomto předávání nebo po něm zpracovány orgány dotyčné třetí země pro účely veřejné bezpečnosti, obrany a bezpečnosti státu.

2) Článek 46 odst. 1 a čl. 46 odst. 2 písm. c) nařízení 2016/679 musí být vykládány v tom smyslu, že vhodné záruky, vymahatelná práva a účinná právní ochrana vyžadované uvedenými ustanoveními musí zajistit, aby se na práva osob, jejichž osobní údaje jsou předávány do třetí země na základě standardních doložek o ochraně osobních údajů, vztahovala úroveň ochrany, která je v zásadě rovnocenná úrovni ochrany zaručené v Evropské unii tímto nařízením ve spojení s Listinou základních práv Evropské unie. Pro tyto účely je při posuzování úrovně ochrany zajištěné v kontextu takového předávání zejména třeba vzít v úvahu jednak smluvní ujednání mezi správcem nebo zpracovatelem usazenými v Evropské unii a příjemcem předávaných údajů usazeným v dotyčné třetí zemi, a jednak – v souvislosti s případným přístupem orgánů veřejné moci této třetí země k takto předávaným osobním údajům – relevantní prvky právního řádu této země, zejména prvky uvedené v čl. 45 odst. 2 uvedeného nařízení.

3) Článek 58 odst. 2 písm. f) a j) nařízení 2016/679 musí být vykládán v tom smyslu, že neexistuje-li rozhodnutí o odpovídající ochraně platně přijaté Evropskou komisí, je příslušný dozorový úřad povinen dočasně nebo trvale zakázat předávání osobních údajů do třetí země na základě standardních doložek o ochraně osobních údajů přijatých Komisí, když tento dozorový úřad dospěje na základě všech okolností daného předávání k názoru, že tyto doložky nejsou nebo nemohou být v této třetí zemi dodrženy a že ochrana předaných údajů vyžadovaná unijním právem, zejména články 45 a 46 uvedeného nařízení a Listinou, nemůže být v případě, že předávání nepozastavil nebo neukončil sám správce nebo zpracovatel usazení v Unii, zajištěna jinými prostředky.

4) Přezkum rozhodnutí Komise 2010/87/EU ze dne 5. února 2010 o standardních smluvních doložkách pro předávání osobních údajů zpracovatelům usazeným ve třetích zemích podle směrnice Evropského parlamentu a Rady 95/46/ES, ve znění prováděcího rozhodnutí Komise (EU) 2016/2297 ze dne 16. prosince 2016, vzhledem k článkům 7, 8 a 47 Listiny základních práv Evropské unie neodhalil žádnou skutečnost, která by mohla mít dopad na platnost tohoto rozhodnutí.

5) Prováděcí rozhodnutí Komise (EU) 2016/1250 ze dne 12. července 2016 podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající úrovni ochrany poskytované štítem EU-USA na ochranu soukromí je neplatné.

(1) Úř. věst. C 249, 16.7.2018.