FORSLAG TIL AFGØRELSE FRA GENERALADVOKAT

H. SAUGMANDSGAARD ØE

fremsat den 19. december 2019 ( 1 )

Sag C-311/18

Data Protection Commissioner

mod

Facebook Ireland Limited,

Maximillian Schrems,

Procesdeltagere:

The United States of America,

Electronic Privacy Information Centre,

BSA Business Software Alliance, Inc.,

Digitaleurope

(anmodning om præjudiciel afgørelse indgivet af High Court (ret i første instans, Irland))

»Præjudiciel forelæggelse – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning (EU) 2016/679 – artikel 2, stk. 2 – anvendelsesområde – overførsel af personoplysninger til forretningsmæssige formål til Amerikas Forenede Stater – behandling af de overførte oplysninger, som de offentlige myndigheder i Amerikas Forenede Stater foretager af hensyn til den nationale sikkerhed – artikel 45 – vurdering af tilstrækkeligheden af det beskyttelsesniveau, der er sikret i et tredjeland – artikel 46 – fornødne garantier, der gives af den dataansvarlige – standardbestemmelser om beskyttelse – artikel 58, stk. 2 – tilsynsmyndighedernes beføjelser – afgørelse 2010/87/EU – gyldighed – gennemførelsesafgørelse (EU) 2016/1250 – »EU’s og USA’s værn om privatlivets fred« – artikel 7, 8 og 47 i Den Europæiske Unions charter om grundlæggende rettigheder«

Indhold

I. Indledning II. Retsforskrifter A. Direktiv 95/46/EF B. Databeskyttelsesforordningen C. Afgørelse 2010/87 D. Afgørelsen om »EU’s og USA’s værn om privatlivets fred« III. Tvisten i hovedsagen, de præjudicielle spørgsmål og retsforhandlingerne for Domstolen IV. Bedømmelse A. Indledende bemærkninger B. Om formaliteten vedrørende den præjudicielle forelæggelse 1. Om den tidsmæssige anvendelse af direktiv 95/46 2. Om den foreløbige karakter af den af Commissioner udtrykte tvivl 3. Om den usikkerhed, der er forbundet med fastlæggelsen af de faktiske omstændigheder C. Hvorvidt EU-retten finder anvendelse på overførsler af personoplysninger til forretningsmæssige formål til en tredjestat, der af hensyn til den nationale sikkerhed kan foretage behandling af disse oplysninger (det første spørgsmål) D. Om det krævede beskyttelsesniveau i forbindelse med en overførsel på grundlag af standardkontraktbestemmelserne (første del af det sjette spørgsmål) E. Hvorvidt afgørelse 2010/87 er gyldig i lyset af chartrets artikel 7, 8 og 47 (det syvende, det ottende og det ellevte spørgsmål) 1. Om de forpligtelser, der påhviler de dataansvarlige 2. Om de forpligtelser, der påhviler tilsynsmyndighederne F. Om den manglende nødvendighed af at besvare de andre præjudicielle spørgsmål og af at undersøge gyldigheden af afgørelsen om »værnet om privatlivets fred« 1. Om den manglende nødvendighed af en besvarelse fra Domstolen som følge af genstanden for tvisten i hovedsagen 2. Om de grunde, der taler imod, at Domstolen foretager en undersøgelse i lyset af genstanden for den procedure, der verserer for Commissioner G. Subsidiære bemærkninger om virkningerne og gyldigheden af afgørelsen om »værnet om privatlivets fred« 1. Om betydningen af afgørelsen om »værnet om privatlivets fred« for en tilsynsmyndigheds behandling af en klage, der vedrører lovligheden af en overførsel, som foretages på grundlag af kontraktlige garantier 2. Om gyldigheden af afgørelsen om »værnet om privatlivets fred« a) Præciseringer om indholdet af undersøgelsen af, om en afgørelse om tilstrækkeligheden af beskyttelsesniveauet er gyldig 1) Om elementerne i den sammenligning, der gør det muligt at vurdere, om beskyttelsesniveauet er kendetegnet ved »væsentlig overensstemmelse« 2) Om nødvendigheden af at sikre et tilstrækkeligt beskyttelsesniveau under den fase, hvori oplysningerne er i transit 3) Hvorvidt der skal tages hensyn til de faktiske konstateringer, som Kommissionen og den forelæggende ret har foretaget med hensyn til amerikansk ret 4) Om rækkevidden af standarden for »væsentlig overensstemmelse« b) Hvorvidt afgørelsen om »værnet om privatlivets fred« er gyldig i lyset af retten til respekt for privatlivet og retten til beskyttelse af personoplysninger 1) Hvorvidt der foreligger indgreb 2) Kravet om, at indgrebene skal være »fastlagt i lovgivningen« 3) Om betingelsen om, at der ikke må gøres indgreb i de grundlæggende rettigheders væsentligste indhold 4) Om forfølgelsen af et lovligt formål 5) Hvorvidt indgrebene er nødvendige og forholdsmæssige c) Hvorvidt afgørelsen om »værnet om privatlivets fred« er gyldig i lyset af retten til adgang til effektive retsmidler 1) Om effektiviteten af de retsmidler, der er fastsat i amerikansk ret 2) Om ombudsmandsmekanismes betydning for beskyttelsesniveauet for retten til effektive retsmidler V. Forslag til afgørelse

I. Indledning

1. Eftersom der på verdensplan ikke findes fælles garantier på området for beskyttelse af personoplysninger, er den grænseoverskridende udveksling af sådanne oplysninger forbundet med en risiko for, at det ikke er muligt at opretholde det beskyttelsesniveau, der er sikret inden for Den Europæiske Union. EU-lovgiver har ud fra et ønske om at lette denne udveksling og samtidig begrænse denne risiko indført tre mekanismer, hvorefter personoplysninger kan overføres fra Unionen til en tredjestat.

2. For det første kan en sådan overførsel foretages på grundlag af en afgørelse, hvorved Europa-Kommissionen har fastslået, at den pågældende tredjestat har et »tilstrækkeligt beskyttelsesniveau« for de oplysninger, der overføres til denne tredjestat ( 2 ). For det andet er en overførsel i mangel af en sådan afgørelse tilladt, når der er fastsat de »fornødne garantier« herfor ( 3 ). Disse garantier kan have karakter af en aftale mellem dataeksportøren og dataimportøren, der indeholder de af Kommissionen vedtagne standardbestemmelser for beskyttelse. For det tredje foreskriver databeskyttelsesforordningen visse undtagelser, der bl.a. er baseret på den registreredes samtykke, og som gør det muligt at foretage en overførsel til et tredjeland, selv om der ikke foreligger en afgørelse om tilstrækkeligheden af beskyttelsesniveauet eller fornødne garantier ( 4 ).

3. Anmodningen om præjudiciel afgørelse, der er indgivet af High Court (ret i første instans, Irland), vedrører den anden af disse mekanismer. Den vedrører nærmere bestemt gyldigheden af afgørelse 2010/87/EU ( 5 ), hvorved Kommissionen under hensyn til artikel 7, 8 og 47 i Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«) har fastsat standardkontraktbestemmelser for visse kategorier af overførsler.

4. Anmodningen er blevet indgivet i forbindelse med en tvist mellem Data Protection Commissioner (kommissæren for databeskyttelse, Irland, herefter »Commissioner«), på den ene side, og Facebook Ireland Ltd og Maximillian Schrems, på den anden side. Maximillian Schrems har til Commissioner indgivet en klage over, at Facebook Ireland har overført hans personoplysninger til sit moderselskab, Facebook Inc., der har hjemsted i Amerikas Forenede Stater (herefter »USA«). Commissioner er af den opfattelse, at behandlingen af denne klage afhænger af, hvorvidt afgørelse 2010/87 er gyldig. Commissioner har i denne forbindelse indbragt sagen for den forelæggende ret med påstand om, at Domstolen forelægges spørgsmål herom.

5. Jeg vil indledningsvis nævne, at undersøgelsen af de præjudicielle spørgsmål efter min opfattelse intet har frembragt, der kan påvirke gyldigheden af afgørelse 2010/87.

6. Den forelæggende ret har i øvrigt rejst en række tvivlsspørgsmål, der i det væsentlige vedrører spørgsmålet om, hvorvidt det beskyttelsesniveau, der er sikret i USA, er tilstrækkeligt i forhold til de indgreb i udøvelsen af de grundlæggende rettigheder, der tilkommer de personer, hvis oplysninger overføres til dette tredjeland, som de amerikanske efterretningsmyndigheders aktiviteter medfører. Disse tvivlsspørgsmål indebærer indirekte en anfægtelse af de vurderinger, som Kommissionen i denne forbindelse foretog i gennemførelsesafgørelse (EU) 2016/1250 ( 6 ). Selv om det for løsningen i hovedsagen ikke er nødvendigt, at Domstolen tager stilling til dette spørgsmål, og jeg derfor vil foreslå den at afholde sig derfra, vil jeg subsidiært redegøre for de grunde, der efter min opfattelse giver anledning til at rejse tvivl om gyldigheden af denne afgørelse.

7. Jeg vil i hele min analyse tage hensyn til behovet for at finde en balance mellem dels nødvendigheden af at udvise »en rimelig grad af pragmatisme for at kunne sikre samspillet med resten af verdenen« ( 7 ), dels nødvendigheden af at fremme de grundlæggende værdier, der anerkendes i Unionens og dens medlemsstaters retsordener, herunder navnlig chartret.

II. Retsforskrifter

A. Direktiv 95/46/EF

8. Artikel 3, stk. 2, i direktiv 95/46/EF om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger ( 8 ) bestemte: »Dette direktiv gælder ikke for sådan behandling af personoplysninger, – som iværksættes med henblik på udøvelse af aktiviteter, der ikke er omfattet af fællesskabsretten, som f.eks. de aktiviteter, der er fastsat i afsnit V og VI i traktaten om Den Europæiske Union, og under ingen omstændigheder for behandling, der vedrører den offentlige sikkerhed, forsvar, statens sikkerhed (herunder statens økonomiske interesser, når behandlingen er forbundet med spørgsmål vedrørende statens sikkerhed) og statens aktiviteter på det strafferetlige område – […]«

9. Dette direktivs artikel 13, stk. 1, havde følgende ordlyd: »Medlemsstaterne kan træffe lovmæssige foranstaltninger med henblik på at begrænse rækkevidden af de forpligtelser og rettigheder, der er omhandlet i artikel 6, stk. 1, artikel 10, artikel 11, stk. 1, samt artikel 12 og 21, hvis en sådan begrænsning er en nødvendig foranstaltning af hensyn til: a) statens sikkerhed b) forsvaret c) den offentlige sikkerhed d) forebyggelse, efterforskning, afsløring og retsforfølgning i straffesager eller i forbindelse med brud på etiske regler for lovregulerede erhverv e) væsentlige økonomiske eller finansielle interesser hos en medlemsstat eller […] Union[en], herunder valuta-, budget- og skatteanliggender f) en kontrol-, tilsyns- eller reguleringsopgave, selv af midlertidig karakter, der er et led i den offentlige myndighedsudøvelse på de i litra c), d) og e) nævnte områder g) beskyttelsen af den registreredes interesser eller andres rettigheder og frihedsrettigheder.«

10. Det nævnte direktivs artikel 25 bestemte: »1. Medlemsstaterne fastsætter bestemmelser om, at videregivelse til et tredjeland af personoplysninger, der gøres til genstand for behandling, eller som skal gøres til genstand for behandling efter videregivelsen, kun må finde sted, hvis det pågældende tredjeland sikrer et tilstrækkeligt beskyttelsesniveau, og forudsat at de nationale bestemmelser, der vedtages til gennemførelse af direktivets øvrige bestemmelser, overholdes. 2. Vurderingen af, om beskyttelsesniveauet i et tredjeland er tilstrækkeligt, sker på grundlag af samtlige de forhold, der har indflydelse på en videregivelse eller en type videregivelse af oplysninger; til grund for vurderingen lægges navnlig oplysningernes art, den eller de påtænkte behandlingers formål og varighed, oprindelseslandet og det endelige bestemmelsesland, de retsregler – almindelige regler eller sektorregler – der er i kraft i det pågældende tredjeland, samt de regler for god forretningsskik og de sikkerhedsforanstaltninger, der gælder i landet. […] 6. Kommissionen kan efter proceduren i artikel 31, stk. 2, fastslå, at et tredjeland sikrer et tilstrækkeligt beskyttelsesniveau i overensstemmelse med denne artikels stk. 2, på grundlag af dets nationale lovgivning eller dets internationale forpligtelser med henblik på at beskytte privatlivet og personers grundlæggende rettigheder og frihedsrettigheder, herunder de forpligtelser, der er indgået efter de i stk. 5 nævnte forhandlinger. Medlemsstaterne træffer de foranstaltninger, der er nødvendige for at efterkomme Kommissionens afgørelse.«

11. Det samme direktivs artikel 26, stk. 2 og 4, bestemte: »2. Med forbehold af stk. 1 kan en medlemsstat give tilladelse til videregivelse eller en type videregivelse af personoplysninger til et tredjeland, der ikke sikrer et tilstrækkeligt beskyttelsesniveau i overensstemmelse med artikel 25, stk. 2, hvis den registeransvarlige yder tilstrækkelige garantier for beskyttelse af privatlivets fred, personers grundlæggende rettigheder og frihedsrettigheder samt for udøvelsen af de dertil knyttede rettigheder; sådanne garantier kan især fremgå af passende kontraktbestemmelser. […] 4. Fastslår Kommissionen […], at visse standardkontraktbestemmelser frembyder tilstrækkelige garantier i henhold til stk. 2, træffer medlemsstaterne de foranstaltninger, der er nødvendige for at efterkomme Kommissionens afgørelse.«

12. Artikel 28, stk. 3, i direktiv 95/46 havde følgende ordlyd: »Hver tilsynsmyndighed skal bl.a. kunne: […] – gribe effektivt ind ved f.eks. at afgive udtalelser forud for iværksættelsen af behandlingerne i henhold til artikel 20 og sikre en passende offentliggørelse af disse udtalelser, at beordre oplysninger blokeret, slettet eller tilintetgjort, midlertidigt eller definitivt at forbyde en behandling, at udstede en advarsel til den registeransvarlige eller påtale en overtrædelse over for den registeransvarlige eller ved at høre parlamenter eller andre nationale politiske institutioner […]«

B. Databeskyttelsesforordningen

13. Direktiv 95/46 er i henhold til databeskyttelsesforordningens artikel 94, stk. 1, blevet ophævet med virkning fra den 25. maj 2018, idet databeskyttelsesforordningen i henhold til dennes artikel 99, stk. 2, har fundet anvendelse fra dette tidspunkt.

14. Den nævnte forordnings artikel 2, stk. 2, bestemmer: »Denne forordning gælder ikke for behandling af personoplysninger: a) under udøvelse af aktiviteter, der falder uden for EU-retten b) som foretages af medlemsstaterne, når de udfører aktiviteter, der falder inden for rammerne af afsnit V, kapitel 2, i TEU […] d) som foretages af kompetente myndigheder med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed.«

15. I samme forordnings artikel 4, nr. 2), defineres »behandling« som »enhver aktivitet eller række af aktiviteter – med eller uden brug af automatisk behandling – som personoplysninger eller en samling af personoplysninger gøres til genstand for, f.eks. indsamling, registrering, organisering, systematisering, opbevaring, tilpasning eller ændring, genfinding, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring, begrænsning, sletning eller tilintetgørelse«.

16. Databeskyttelsesforordningens artikel 23 bestemmer: »1. EU-ret eller medlemsstaternes nationale ret, som den dataansvarlige eller databehandleren er underlagt, kan ved lovgivningsmæssige foranstaltninger begrænse rækkevidden af de forpligtelser og rettigheder, der er omhandlet i artikel 12-22 og 34 samt artikel 5, for så vidt bestemmelserne heri svarer til rettighederne og forpligtelserne i artikel 12-22, når en sådan begrænsning respekterer det væsentligste indhold af de grundlæggende rettigheder og frihedsrettigheder og er en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund af hensyn til: a) statens sikkerhed b) forsvaret c) den offentlige sikkerhed d) forebyggelse, efterforskning, afsløring eller retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed e) andre vigtige målsætninger i forbindelse med beskyttelse af Unionens eller en medlemsstats generelle samfundsinteresser, navnlig Unionens eller en medlemsstats væsentlige økonomiske eller finansielle interesser […] […] 2. Navnlig skal enhver lovgivningsmæssig foranstaltning, der er omhandlet i stk. 1, som minimum, hvor det er relevant, indeholde specifikke bestemmelser vedrørende: a) formålene med behandlingen eller kategorierne af behandling b) kategorierne af personoplysninger c) rækkevidden af de indførte begrænsninger d) garantierne for at undgå misbrug eller ulovlig adgang eller overførsel e) specifikation af den dataansvarlige eller kategorierne af dataansvarlige f) opbevaringsperioder og de gældende garantier under hensyntagen til behandlingens karakter, omfang og formål eller kategorier af behandling g) risiciene for de registreredes rettigheder og frihedsrettigheder, og h) de registreredes ret til at blive underrettet om begrænsningen, medmindre dette kan skade formålet med begrænsningen.«

17. Denne forordnings artikel 44, der har overskriften »Generelt princip for overførsler«, er affattet som følger: »Enhver overførsel af personoplysninger, som underkastes behandling eller planlægges behandlet efter overførsel til et tredjeland eller en international organisation, må kun finde sted, hvis betingelserne i dette kapitel med forbehold af de øvrige bestemmelser i denne forordning opfyldes af den dataansvarlige og databehandleren, herunder ved videreoverførsel af personoplysninger fra det pågældende tredjeland eller den pågældende internationale organisation til et andet tredjeland eller en anden international organisation. Alle bestemmelserne i dette kapitel anvendes for at sikre, at det beskyttelsesniveau, som fysiske personer garanteres i medfør af denne forordning, ikke undermineres.«

18. Den nævnte forordnings artikel 45, der har overskriften »Overførsler baseret på en afgørelse om tilstrækkeligheden af beskyttelsesniveauet«, bestemmer: »1. Overførsel af personoplysninger til et tredjeland eller en international organisation kan finde sted, hvis Kommissionen har fastslået, at tredjelandet, et område eller en eller flere specifikke sektorer i dette tredjeland, eller den pågældende internationale organisation har et tilstrækkeligt beskyttelsesniveau. En sådan overførsel kræver ikke specifik godkendelse. 2. Ved vurdering af beskyttelsesniveauets tilstrækkelighed tager Kommissionen navnlig følgende elementer i betragtning: a) retsstatsprincippet, respekt for menneskerettighederne og de grundlæggende frihedsrettigheder, relevant lovgivning, både generel og sektorbestemt, herunder vedrørende offentlig sikkerhed, forsvar, statens sikkerhed og strafferet og offentlige myndigheders adgang til personoplysninger, samt gennemførelsen af sådan lovgivning, databeskyttelsesregler, faglige regler og sikkerhedsforanstaltninger, herunder regler for videreoverførsel af personoplysninger til et andet tredjeland eller en anden international organisation, der gælder i dette land eller denne internationale organisation, retspraksis samt effektive rettigheder for registrerede, som kan håndhæves, og effektiv administrativ og retslig prøvelse for de registrerede, hvis personoplysninger overføres b) tilstedeværelse af en eller flere velfungerende uafhængige tilsynsmyndigheder i tredjelandet, eller som den internationale organisation er underlagt, med ansvar for at sikre og håndhæve, at databeskyttelsesreglerne overholdes, herunder tilstrækkelige håndhævelsesbeføjelser, for at bistå og rådgive de registrerede, når de udøver deres rettigheder, og for samarbejde med tilsynsmyndighederne i medlemsstaterne, og c) de internationale forpligtelser, som tredjelandet eller den internationale organisation har påtaget sig, eller andre forpligtelser, der følger af retligt bindende konventioner eller instrumenter og af landets eller organisationens deltagelse i multilaterale eller regionale systemer, navnlig vedrørende beskyttelse af personoplysninger. 3. Kommissionen kan efter vurdering af beskyttelsesniveauets tilstrækkelighed ved hjælp af en gennemførelsesretsakt fastslå, at et tredjeland, et område eller en eller flere specifikke sektorer i et tredjeland, eller en international organisation sikrer et tilstrækkeligt beskyttelsesniveau i overensstemmelse med denne artikels stk. 2. I den pågældende gennemførelsesretsakt fastsættes en mekanisme for regelmæssig revision, som foretages mindst hvert fjerde år, og som inddrager enhver relevant udvikling i tredjelandet eller den internationale organisation. […] 4. Kommissionen overvåger løbende udvikling i tredjelande og internationale organisationer, der kan påvirke virkningen af afgørelser, der er vedtaget i henhold til denne artikels stk. 3, og afgørelser og beslutninger, der er vedtaget på grundlag af artikel 25, stk. 6, i direktiv 95/46[…]. 5. Kommissionen ophæver, ændrer eller suspenderer i det omfang, det er nødvendigt, uden tilbagevirkende kraft afgørelsen omhandlet i denne artikels stk. 3 ved hjælp af gennemførelsesretsakter, hvis tilgængelige oplysninger, navnlig efter den i denne artikels stk. 3 omhandlede revision, viser, at et tredjeland, et område eller en eller flere specifikke sektorer i et tredjeland, eller en international organisation ikke længere sikrer et tilstrækkeligt beskyttelsesniveau i overensstemmelse med denne artikels stk. 2. […] 6. Kommissionen fører konsultationer med tredjelandet eller den internationale organisation med henblik på at afhjælpe den situation, der har givet anledning til en afgørelse vedtaget i henhold til stk. 5. […] 9. Afgørelser og beslutninger, der er vedtaget af Kommissionen på grundlag af artikel 25, stk. 6, i direktiv 95/46[…], gælder fortsat, indtil de ændres, erstattes eller ophæves ved en kommissionsafgørelse, der vedtages i henhold til nærværende artikels stk. 3 eller 5.«

19. Denne samme forordnings artikel 46, der har overskriften »Overførsler omfattet af fornødne garantier«, er affattet som følger: »1. Hvis der ikke er vedtaget en afgørelse i henhold til artikel 45, stk. 3, må en dataansvarlig eller databehandler kun overføre personoplysninger til et tredjeland eller en international organisation, hvis vedkommende har givet de fornødne garantier, og på betingelse af at rettigheder, som kan håndhæves, og effektive retsmidler for registrerede er tilgængelige. 2. De fornødne garantier i stk. 1 kan uden krav om specifik godkendelse fra en tilsynsmyndighed sikres gennem: […] c) standardbestemmelser om databeskyttelse vedtaget af Kommissionen efter undersøgelsesproceduren i artikel 93, stk. 2 […] 5. Godkendelser fra en medlemsstat eller en tilsynsmyndighed på grundlag af artikel 26, stk. 2, i direktiv 95/46[…] er gyldige, indtil de om nødvendigt ændres, erstattes eller ophæves af den pågældende tilsynsmyndighed. Afgørelser og beslutninger, der er vedtaget af Kommissionen på grundlag af artikel 26, stk. 4, i direktiv 95/46[…], er i kraft, indtil de om nødvendigt ændres, erstattes eller ophæves ved en kommissionsafgørelse, der vedtages i henhold til nærværende artikels stk. 2.«

20. Databeskyttelsesforordningens artikel 58, stk. 2, 4 og 5, bestemmer: »2. Hver tilsynsmyndighed har alle af følgende korrigerende beføjelser: a) at udstede advarsler til en dataansvarlig eller en databehandler om, at planlagte behandlingsaktiviteter sandsynligvis vil være i strid med denne forordning b) at udtale kritik af en dataansvarlig eller en databehandler, hvis behandlingsaktiviteter har været i strid med denne forordning c) at give den dataansvarlige eller databehandleren påbud om at imødekomme den registreredes anmodninger om at udøve sine rettigheder i henhold til denne forordning d) at give den dataansvarlige eller databehandleren påbud om at bringe behandlingsaktiviteter i overensstemmelse med bestemmelserne i denne forordning og, hvis det er hensigtsmæssigt, på en nærmere angivet måde og inden for en nærmere angivet frist e) at give den dataansvarlige påbud om at underrette den registrerede om et brud på persondatasikkerheden f) midlertidigt eller definitivt at begrænse, herunder forbyde, behandling […] i) at pålægge en administrativ bøde i henhold til artikel 83 i tillæg til eller i stedet for foranstaltningerne i dette stykke, afhængigt af omstændighederne i hvert enkelt tilfælde, og j) at påbyde suspension af overførsel af oplysninger til en modtager i et tredjeland eller til en international organisation. […] 4. Udøvelse af de beføjelser, der tillægges tilsynsmyndigheden i medfør af denne artikel, er underlagt de fornødne garantier, herunder effektive retsmidler og retfærdig procedure, der er fastsat i EU-retten eller medlemsstaternes nationale ret i overensstemmelse med chartret. 5. Hver medlemsstat fastsætter ved lov, at dens tilsynsmyndighed har beføjelse til at indbringe overtrædelser af denne forordning for de judicielle myndigheder og om nødvendigt at indlede eller på anden måde deltage i retssager med henblik på at håndhæve bestemmelserne i denne forordning.«

C. Afgørelse 2010/87

21. Kommissionen vedtog på grundlag af artikel 26, stk. 4, i direktiv 95/46 tre afgørelser, hvori den konstaterede, at de deri nævnte standardkontraktbestemmelser gav tilstrækkelige garantier for beskyttelsen af privatlivets fred og fysiske personers grundlæggende rettigheder og frihedsrettigheder samt for udøvelsen af de dertil knyttede rettigheder (herefter »afgørelserne om standardkontraktbestemmelserne«) ( 9 ).

22. Blandt disse tre afgørelser kan nævnes afgørelse 2010/87, hvis artikel 1 har følgende ordlyd: »[d]e i bilaget fastsatte standardkontraktbestemmelser anses for at yde tilstrækkelige garantier for beskyttelse af privatlivets fred og fysiske personers grundlæggende rettigheder og frihedsrettigheder samt for udøvelsen af de dertil knyttede rettigheder, som fastsat i artikel 26, stk. 2, i direktiv 95/46[…]«.

23. Denne afgørelses artikel 3 har følgende ordlyd: »I denne afgørelse forstås ved: […] c) »dataeksportør«: den registeransvarlige, der videregiver personoplysningerne d) »dataimportør«: den registerfører etableret i et tredjeland, som indvilliger i at modtage personoplysninger fra dataeksportøren med henblik på behandling på dataeksportørens vegne efter videregivelsen, i overensstemmelse med dataeksportørens instrukser og denne afgørelse, og som ikke er underlagt et tredjelands system, der sikrer et tilstrækkeligt beskyttelsesniveau som omhandlet i artikel 25, stk. 1, i direktiv 95/46[…] […] f) »den gældende databeskyttelseslovgivning«: den lovgivning, der beskytter fysiske personers grundlæggende rettigheder og frihedsrettigheder, især deres ret til beskyttelse af privatlivets fred, med hensyn til behandling af personoplysninger, og som gælder for en registeransvarlig i den medlemsstat, hvor dataeksportøren er etableret […]«

24. Den nævnte afgørelses artikel 4, stk. 1, havde i sin oprindelige affattelse følgende ordlyd: »De kompetente myndigheder i medlemsstaterne kan, uden at det berører deres beføjelse til at træffe foranstaltninger for at sikre overholdelse af de nationale bestemmelser, der vedtages i henhold til kapitel II, III, V og VI i [direktiv 95/46], gøre brug af deres beføjelser til at forbyde eller suspendere datastrømmen til tredjelande for at beskytte fysiske personer med hensyn til behandling af deres personoplysninger: a) når det er fastslået, at den lovgivning, som dataimportøren eller en underkontraheret registerfører er underlagt, pålægger den pågældende krav om at fravige den gældende databeskyttelseslovgivning i en grad, som er mere vidtgående end de restriktioner, der er nødvendige i et demokratisk samfund, som fastsat i artikel 13 i direktiv 95/46[…], når disse krav kan formodes at have en betydelig negativ virkning på den sikkerhed, der opnås ved hjælp af den gældende databeskyttelseslovgivning og standardkontraktbestemmelserne, eller b) når en kompetent myndighed har fastslået, at dataimportøren eller en underkontraheret registerfører ikke har overholdt standardkontraktbestemmelserne i bilaget, eller c) når der er stor sandsynlighed for, at standardkontraktbestemmelserne i bilaget ikke overholdes eller ikke vil blive overholdt, og at en fortsat videregivelse af oplysninger vil kunne skabe en overhængende risiko for alvorlig skade for de registrerede.«

25. Det fremgår af den nuværende affattelse af artikel 4 i afgørelse 2010/87, således som den følger af den ændring af denne afgørelse, der blev foretaget ved gennemførelsesafgørelse (EU) 2016/2297 ( 10 ), at »[n]år de kompetente myndigheder i medlemsstaterne udøver deres beføjelser i medfør af artikel 28, stk. 3, i [direktiv 95/46], og dette fører til suspension eller definitivt forbud mod overførsel af oplysninger til tredjelande med det formål at beskytte personer i forbindelse med behandlingen af deres personoplysninger, underretter den pågældende medlemsstat straks Kommissionen, som underretter de øvrige medlemsstater«.

26. Bilaget til afgørelse 2010/87 indeholder en række standardkontraktbestemmelser. Den i dette bilag indeholdte standardbestemmelse 3, der har overskriften »Tredjemandsløfte«, har bl.a. følgende ordlyd: »1. Den registrerede kan som begunstiget tredjemand håndhæve denne standardbestemmelse, standardbestemmelse 4, litra b)-i), standardbestemmelse 5, litra a)-e) og g)-j), standardbestemmelse 6, stk. 1 og 2, standardbestemmelse 7, standardbestemmelse 8, stk. 2, og standardbestemmelse 9-12 over for dataeksportøren. 2. Den registrerede kan håndhæve denne standardbestemmelse, standardbestemmelse 5, litra a)-e) og g), standardbestemmelse 6, standardbestemmelse 7, standardbestemmelse 8, stk. 2, og standardbestemmelse 9-12 over for dataimportøren i tilfælde, hvor dataeksportøren faktisk eller retligt set er ophørt med at eksistere, medmindre en eventuel retssuccessor har påtaget sig alle dataeksportørens retlige forpligtelser i henhold til kontrakt eller i henhold til lovgivning og som følge heraf overtager dataeksportørens rettigheder og forpligtelser, idet den registrerede i så fald kan håndhæve dem over for en sådan retssuccessor. […]«

27. Den i det nævnte bilag indeholdte standardbestemmelse 4, der har overskriften »Dataeksportørens pligter«, er affattet som følger: »Dataeksportøren accepterer og garanterer: a) at hans behandling af personoplysningerne, herunder selve videregivelsen, har været, og fortsat vil være i overensstemmelse med de relevante bestemmelser i den gældende databeskyttelseslovgivning (og i givet fald er blevet anmeldt til de kompetente myndigheder i den medlemsstat, hvor dataeksportøren er etableret), og at behandlingen ikke er i strid med denne stats relevante bestemmelser b) at han har instrueret og under behandlingen af personoplysninger vil instruere dataimportøren om kun at behandle de videregivne personoplysninger på dataeksportørens vegne og i overensstemmelse med den gældende databeskyttelseslovgivning og standardbestemmelserne c) at dataimportøren vil stille tilstrækkelige garantier med hensyn til de tekniske og organisatoriske sikkerhedsforanstaltninger, der er nærmere angivet i tillæg 2 til denne kontrakt d) at sikkerhedsforanstaltningerne, efter at være blevet vurderet i forhold til kravene i den gældende databeskyttelseslovgivning, er tilstrækkelige til at beskytte personoplysninger mod hændelig eller ulovlig tilintetgørelse, hændeligt tab, ændring, uautoriseret videregivelse eller adgang, især når behandlingen omfatter dataoverførsel i et net, samt mod enhver anden form for ulovlig behandling, og at disse foranstaltninger giver et passende databeskyttelsesniveau i forhold til de risici, der er forbundet med behandlingen og arten af de oplysninger, der skal beskyttes, under hensyn til det aktuelle tekniske niveau og de omkostninger, som er forbundet med deres iværksættelse e) at han vil sikre, at disse sikkerhedsforanstaltninger overholdes f) at de registrerede i tilfælde af, at videregivelsen omfatter særlige kategorier af oplysninger, er blevet informeret eller inden eller snarest muligt efter videregivelsen vil blive informeret om, at deres oplysninger kan blive videregivet til et tredjeland, der ikke sikrer et tilstrækkeligt databeskyttelsesniveau som omhandlet i [direktiv 95/46] g) at han vil sende meddelelser, som han modtager fra dataimportøren eller en eventuel underkontraheret registerfører i henhold til standardbestemmelse 5, litra b), og [standardbestemmelse] 8, stk. 3, videre til databeskyttelsesmyndigheden, hvis han beslutter at fortsætte videregivelsen eller at ophæve suspensionen h) at han efter anmodning vil stille følgende til rådighed for de registrerede: et eksemplar af standardbestemmelserne, bortset fra tillæg 2, og en kortfattet beskrivelse af sikkerhedsforanstaltningerne samt et eksemplar af enhver kontrakt om udlicitering, der skal ske i henhold til standardbestemmelserne, medmindre standardbestemmelserne eller kontrakten indeholder kommercielle oplysninger, som han i så fald kan udelade i) at behandlingen i tilfælde af udlicitering gennemføres i henhold til standardbestemmelse 11 af en underkontraheret registerfører, der frembyder mindst samme beskyttelsesniveau for den registreredes personoplysninger og rettigheder som dataimportøren i henhold til standardbestemmelserne, og j) at han vil sikre, at standardbestemmelse 4, litra a)-i), overholdes.«

28. Den i samme bilag indeholdte standardbestemmelse 5, der har overskriften »Dataimportørens pligter (1)«, har følgende ordlyd: »Dataimportøren accepterer og garanterer: a) at han udelukkende vil behandle personoplysningerne på dataeksportørens vegne og i overensstemmelse med dennes instrukser og standardbestemmelserne; såfremt han af en hvilken som helst grund ikke er i stand til at sikre en sådan overensstemmelse, indvilliger han i straks at underrette dataeksportøren herom, hvorefter dataeksportøren i så fald har ret til at suspendere dataoverførslen og/eller ophæve kontrakten b) at han ikke har grund til at tro, at han ifølge den lovgivning, han er underlagt, er forhindret i at følge de instrukser, han har modtaget fra dataeksportøren, og overholde sine forpligtelser i henhold til kontrakten, og at han, såfremt denne lovgivning ændres således, at det sandsynligvis vil få en væsentlig negativ indvirkning på de garantier og forpligtelser, der opnås ved hjælp af standardbestemmelserne, straks vil give dataeksportøren meddelelse om ændringen, så snart han får kendskab hertil, hvorefter dataeksportøren i så fald har ret til at suspendere dataoverførslen og/eller ophæve kontrakten c) at han, inden han behandler de videregivne personoplysninger, har iværksat de tekniske og organisatoriske sikkerhedsforanstaltninger, der er nærmere angivet i tillæg 2 d) at han straks vil give dataeksportøren meddelelse om: i) retshåndhævende myndigheders retligt bindende anmodninger om videregivelse af personoplysninger, medmindre dette på anden måde er forbudt, som [f.eks.] ved et forbud ifølge strafferetten med henblik på at sikre fortrolighed i efterforskningssager ii) enhver utilsigtet eller uautoriseret adgang og iii) anmodninger, der modtages direkte fra de registrerede, og som han ikke har besvaret, medmindre han på anden måde er bemyndiget dertil e) at han straks og behørigt vil behandle alle dataeksportørens forespørgsler vedrørende sin behandling af de videregivne personoplysninger og følge tilsynsmyndighedens anbefalinger med hensyn til behandling af de videregivne oplysninger f) at han på dataeksportørens anmodning vil lade sine databehandlingsfaciliteter underkaste inspektion, som omfatter den i standardbestemmelserne omhandlede databehandling, og som foretages af dataeksportøren eller et inspektionsorgan bestående af uafhængige medlemmer med tavshedspligt, der er i besiddelse af de nødvendige faglige kvalifikationer, og som udpeges af dataeksportøren, i givet fald efter aftale med tilsynsmyndigheden […]«

29. Den fodnote 1, der er anført i overskriften til standardbestemmelse 5 i bilaget til afgørelse 2010/87, har følgende ordlyd: »Obligatoriske krav i den nationale lovgivning, der finder anvendelse på dataimportøren, og som ikke er mere vidtgående end dem, der er nødvendige i et demokratisk samfund på basis af en af de grunde, der er nævnt i artikel 13, stk. 1, i direktiv 95/46[…], [dvs.] hvis de udgør en nødvendig restriktion af hensyn til statens sikkerhed, forsvaret, den offentlige sikkerhed, forebyggelse, efterforskning, afsløring og retsforfølgning i straffesager eller brud på etiske regler for lovregulerede erhverv, en medlemsstats væsentlige økonomiske eller finansielle interesser eller beskyttelsen af den registreredes interesser eller andres rettigheder og frihedsrettigheder, er ikke i strid med standardbestemmelserne. Sådanne obligatoriske krav, der ikke er mere vidtgående end det, der er nødvendigt i et demokratisk samfund, er f.eks. internationalt anerkendte sanktioner, oplysningspligt i skattesager eller oplysningspligt til bekæmpelse af hvidvaskning af penge.«

30. Den i dette bilag indeholdte standardbestemmelse 6, der har overskriften »Erstatningsansvar«, er affattet som følger: »1. Parterne er enige om, at registrerede, der har lidt skade som følge af en parts eller en underkontraheret registerførers overtrædelse af de forpligtelser, der er omhandlet i standardbestemmelse 3 eller 11, har ret til erstatning fra dataeksportøren for den lidte skade. 2. Hvis en registreret i tilfælde, hvor dataimportøren eller hans underkontraherede registerfører overtræder sine forpligtelser i henhold til standardbestemmelse 3 eller 11, ikke er i stand til at fremsætte erstatningskrav mod dataeksportøren i henhold til stk. 1, fordi dataeksportøren faktisk eller retligt set er ophørt med at eksistere eller er blevet insolvent, accepterer dataimportøren, at den registrerede kan fremsætte krav mod dataimportøren, som om han var dataeksportøren, medmindre en eventuel retssuccessor har påtaget sig alle dataeksportørens forpligtelser i henhold til kontrakt eller i henhold til lovgivning, idet den registrerede i så fald kan påberåbe sig sine rettigheder over for en sådan retssuccessor. […]«

31. Den i det nævnte bilag indeholdte standardbestemmelse 7, der har overskriften »Mægling og værneting«, har følgende ordlyd: »1. Hvis den registrerede gør tredjemandsløftet gældende over for dataimportøren og/eller kræver skadeserstatning i henhold til standardbestemmelserne, vil dataimportøren acceptere den registreredes beslutning om: a) at henvise sagen til mægling foretaget af en uvildig person eller i givet fald af tilsynsmyndigheden b) at henvise sagen til domstolene i den medlemsstat, hvor dataeksportøren er etableret. 2. Parterne er enige om, at den registreredes valg ikke har nogen indvirkning på den registreredes materielle eller processuelle rettigheder til at søge forholdet afhjulpet i overensstemmelse med andre bestemmelser i national eller international ret.«

32. Det fremgår af den i samme bilag indeholdte standardbestemmelse 9, der har overskriften »Lovvalg«, at standardbestemmelserne er underlagt lovgivningen i den medlemsstat, hvor dataeksportøren er etableret.

D. Afgørelsen om »EU’s og USA’s værn om privatlivets fred«

33. Kommissionen vedtog på grundlag af artikel 25, stk. 6, i direktiv 95/46 to på hinanden følgende afgørelser, hvori den fastslog, at USA sikrede et tilstrækkeligt beskyttelsesniveau for de personoplysninger, der blev overført til de virksomheder i USA, der ved en selvcertificeringsprocedure havde erklæret, at de tilsluttede sig de i disse afgørelser nævnte principper.

34. Kommissionen vedtog i første omgang beslutning 2000/520/EF om tilstrækkeligheden af den beskyttelse, der opnås ved hjælp af safe harbor-principperne til beskyttelse af privatlivets fred og de dertil hørende hyppige spørgsmål fra [USA’s] handelsministerium ( 11 ). I dom af 6. oktober 2015, Schrems ( 12 ), fastslog Domstolen, at denne afgørelse var ugyldig.

35. Efter denne dom vedtog Kommissionen i anden omgang afgørelsen om »værnet om privatlivets fred«.

36. Denne afgørelses artikel 1 er affattet som følger: »1. Med henblik på artikel 25, stk. 2, i direktiv 95/46[…] sikrer USA et tilstrækkeligt beskyttelsesniveau for personoplysninger, der overføres fra EU til foretagender i USA under EU’s og USA’s værn om privatlivets fred. 2. EU’s og USA’s værn om privatlivets fred består af de principper, som er opstillet af det amerikanske handelsministerium den 7. juli 2016 som fastsat i bilag II og de officielle udredninger og tilsagn indeholdt i de dokumenter, der er opført i bilag [I og III-VII]. 3. Med henblik på stk. 1 overføres personoplysninger under EU’s og USA’s værn om privatlivets fred, hvis de overføres fra EU til foretagender i USA, der er opført på »listen over deltagere i værnet om privatlivets fred«, som føres og offentliggøres af det amerikanske handelsministerium i overensstemmelse med afsnit I og III i principperne i bilag II.«

37. Bilag III A til denne afgørelse, der har overskriften »Ombudsmandsmekanismen i EU’s og USA’s værn om privatlivets fred Signalefterretning«, og som er vedlagt en skrivelse af 7. juli 2016 fra den daværende Secretary of State (udenrigsminister, USA), John Kerry, indeholder et memorandum, som beskriver en ny ombudsmandsmekanisme for sager, der vil kunne indbringes for en »Senior Coordinator for International Information Technology Diplomacy« (herefter »ombudsmanden«), og som udpeges af udenrigsministeren.

38. Det fremgår af dette memorandum, at denne procedure blev indført »for at lette behandlingen af anmodninger om adgang til oplysninger overført fra [Unionen] til USA til nationale sikkerhedsformål under værnet om privatlivets fred eller i henhold til standardkontraktbestemmelser, bindende virksomhedsregler, »undtagelser« eller »mulige fremtidige undtagelser« gennem de kanaler, der er fastlagt i gældende amerikanske love og politikker, og for at lette besvarelsen af disse anmodninger«.

III. Tvisten i hovedsagen, de præjudicielle spørgsmål og retsforhandlingerne for Domstolen

39. Maximillian Schrems, der er østrigsk statsborger med bopæl i Østrig, er bruger af det sociale netværk Facebook. Alle brugere af dette sociale netværk, der har bopæl på Unionens område, er i forbindelse med deres registrering forpligtet til at indgå en aftale med Facebook Ireland, som er et datterselskab til Facebook Inc., der selv har hjemsted i USA. Personoplysningerne vedrørende disse brugere overføres helt eller delvist til servere, der tilhører Facebook Inc., og som befinder sig i USA, hvor de er genstand for behandlinger.

40. Maximillian Schrems indgav den 25. juni 2013 en klage til Commissioner, hvori han i det væsentlige anmodede denne om at forbyde Facebook Ireland at overføre hans personoplysninger til USA. Han gjorde heri gældende, at den gældende lovgivning og praksis i dette land ikke sikrede en tilstrækkelig beskyttelse af de personoplysninger, der opbevaredes på landets område, mod de indgreb, der var forbundet med den overvågningsvirksomhed, som de offentlige myndigheder udøvede dér. Maximillian Schrems henviste i denne henseende til Edward Snowdens afsløringer om amerikanskes efterretningstjenesters aktiviteter og navnlig aktiviteterne i National Security Agency (NSA) (den nationale sikkerhedstjeneste, USA).

41. Denne klage blev afslået bl.a. med den begrundelse, at ethvert spørgsmål om, hvorvidt beskyttelsen var tilstrækkelig i USA, skulle afgøres i overensstemmelse med »safe harbor«-beslutningen. Kommissionen havde i denne beslutning fastslået, at dette tredjeland sikrede et tilstrækkeligt beskyttelsesniveau for de personoplysninger, der blev overført til de virksomheder, som var beliggende inden for dets område, og som havde tilsluttet sig de principper, der fremgår af den nævnte beslutning.

42. Maximillian Schrems anlagde sag ved High Court (ret i første instans) til prøvelse af afgørelsen om afslag på hans klage. Denne ret var af den opfattelse, at selv om Maximillian Schrems ikke formelt havde bestridt gyldigheden af »safe harbor«-beslutningen, havde han i realiteten gjort indsigelse mod lovligheden af den ved denne beslutning indførte ordning. Den nævnte ret forelagde under disse omstændigheder Domstolen spørgsmål, der nærmere bestemt vedrørte spørgsmålet om, hvorvidt medlemsstaternes databeskyttelsesmyndigheder (herefter »tilsynsmyndighederne«), når de behandler en klage, der vedrører beskyttelsen af en persons rettigheder og frihedsrettigheder i forbindelse med behandlingen af dennes personoplysninger, som er blevet overført til en tredjestat, er bundet af de konstateringer, som Kommissionen i henhold til artikel 25, stk. 6, i direktiv 95/46 har foretaget af, at denne tredjestat sikrer et tilstrækkeligt beskyttelsesniveau, selv om klageren har anfægtet disse konstateringer.

43. Efter at Domstolen i Schrems-dommens præmis 51 og 52 havde fastslået, at en afgørelse om tilstrækkeligheden af beskyttelsesniveauet er bindende for tilsynsmyndighederne, så længe denne afgørelse ikke er blevet erklæret ugyldig, udtalte den følgende i denne doms præmis 63 og 65: »63 […] Når en person, hvis personoplysninger er blevet eller kan blive videregivet til et tredjeland, der har været genstand for en afgørelse vedtaget af Kommissionen i henhold til artikel 25, stk. 6, i direktiv 95/46, indgiver en anmodning om beskyttelse af sine rettigheder og frihedsrettigheder i forbindelse med behandlingen af disse oplysninger til en national tilsynsmyndighed og i forbindelse med denne anmodning bestrider […], at afgørelsen er forenelig med beskyttelsen af privatlivet og personers frihedsrettigheder og grundlæggende rettigheder, påhviler det […] denne myndighed at behandle anmodningen med den fornødne omhu. […] 65 I det […] tilfælde, hvor den nævnte myndighed finder, at de klagepunkter, som er fremsat af den[ne] person […], er begrundede, skal myndigheden i overensstemmelse med artikel 28, stk. 3, første afsnit, tredje led, i direktiv 95/46, sammenholdt med bl.a. chartrets artikel 8, stk. 3, kunne anlægge sag. I denne henseende påhviler det den nationale lovgiver at fastsætte retsmidler, der gør det muligt for den pågældende nationale tilsynsmyndighed at gøre de klagepunkter, som den finder begrundede, gældende for de nationale domstole, således at disse, såfremt de deler myndighedens tvivl vedrørende gyldigheden af Kommissionens afgørelse, kan foretage en præjudiciel forelæggelse med henblik på en efterprøvelse af denne afgørelses gyldighed.«

44. Domstolen undersøgte i den nævnte dom endvidere gyldigheden af »safe harbor«-beslutningen i lyset af de krav, der følger af direktiv 95/46, sammenholdt med chartret. På baggrund af denne undersøgelse fastslog Domstolen, at denne beslutning var ugyldig ( 13 ).

45. Efter Schrems-dommen annullerede den forelæggende ret den afgørelse, hvorved Commissioner havde afslået Maximillian Schrems’ klage, og hjemviste klagen til behandling hos Commissioner. Commissioner indledte en undersøgelse og opfordrede Maximillian Schrems til at omformulere sin klage som følge af, at »safe harbor«-beslutningen var blevet erklæret ugyldig.

46. Maximillian Schrems anmodede i denne forbindelse Facebook Ireland om at nævne det retsgrundlag, der lå til grund for, at personoplysninger om brugerne af det sociale netværk Facebook blev overført fra Unionen til USA. Facebook Ireland henviste uden at angive hele det retsgrundlag, som den støttede sig på, til en aftale om dataoverførsel og ‑behandling (data transfer processing agreement), som Facebook Ireland havde indgået med Facebook Inc., og som havde fundet anvendelse fra den 20. november 2015, og påberåbte sig afgørelse 2010/87.

47. Maximillian Schrems gjorde i den omformulerede klage for det første gældende, at de i denne aftale indeholdte bestemmelser ikke var forenelige med de standardkontraktbestemmelser, der fremgår af bilaget til afgørelse 2010/87. Maximillian Schrems hævdede for det andet, at disse standardkontraktbestemmelser under alle omstændigheder ikke kunne begrunde overførslen af hans personoplysninger til USA. Dette skyldtes, at Facebook Inc. i henhold til amerikansk ret er forpligtet til at stille brugernes personoplysninger til rådighed for de amerikanske myndigheder, såsom NSA og Federal Bureau of Investigation (FBI) (den føderale efterforskningsmyndighed, USA), i forbindelse med overvågningsprogrammer, som hindrer udøvelsen af de rettigheder, der er sikret ved chartrets artikel 7, 8 og 47. Maximillian Schrems anførte, at der ikke fandtes retsmidler, der gjorde det muligt for de registrerede at gøre deres ret til respekt for privatlivet og ret til beskyttelse af personoplysninger gældende. Maximillian Schrems anmodede under disse omstændigheder Commissioner om at suspendere denne overførsel i henhold til artikel 4 i afgørelse 2010/87.

48. Facebook Ireland bekræftede i forbindelse med Commissioners undersøgelse, at selskabet fortsat overførte personoplysninger om de brugere af det sociale netværk Facebook, der havde bopæl i Unionen, til USA, og at den i denne forbindelse i vidt omfang støttede sig på de standardkontraktbestemmelser, der fremgår af bilaget til afgørelse 2010/87.

49. Commissioners undersøgelse havde til formål at fastlægge, dels om USA sikrede en tilstrækkelig beskyttelse af unionsborgernes personoplysninger, dels om afgørelserne om standardkontraktbestemmelserne, såfremt dette ikke måtte være tilfældet, gav tilstrækkelige garantier for beskyttelsen af disse unionsborgeres frihedsrettigheder og grundlæggende rettigheder.

50. I et udkast til afgørelse (draft decision), anførte Commissioner i denne forbindelse foreløbigt, at amerikansk ret ikke indeholdt effektive retsmidler, som omhandlet i chartrets artikel 47, for de unionsborgere, hvis oplysninger var blevet overført til USA, hvor der bestod en risiko for, at amerikanske tjenester af hensyn til den nationale sikkerhed ville behandle disse oplysninger på en måde, som var uforenelig med chartrets artikel 7 og 8. De garantier, der er sikret ved de bestemmelser, som fremgår af bilaget til afgørelserne om standardkontraktbestemmelserne, kunne ikke afhjælpe denne mangel, idet de ikke var bindende for de amerikanske myndigheder og tjenester, og idet de kun gav de registrerede kontraktlige rettigheder mod dataeksportøren og/eller dataimportøren.

51. Commissioner fandt under disse omstændigheder, at han ikke kunne tage stilling til Maximillian Schrems’ klage, før Domstolen havde undersøgt gyldigheden af afgørelserne om standardkontraktbestemmelserne. Commissioner indledte derfor i overensstemmelse med, hvad der fremgår af Schrems-dommens præmis 65, en sag ved den forelæggende ret med det formål, at denne ret, såfremt den måtte dele Commissioners tvivl, skulle forelægge Domstolen en anmodning om præjudiciel afgørelse om gyldigheden af disse afgørelser.

52. USA’s regering, Electronic Privacy Information Centre (EPIC), Business Software Alliance (BSA) og Digitaleurope fik tilladelse til at intervenere ved den forelæggende ret.

53. Med henblik på at undersøge, om High Court (ret i første instans) delte Commissioners tvivl vedrørende gyldigheden af afgørelserne om standardkontraktbestemmelserne, modtog denne ret de beviser, som parterne i tvisten havde fremlagt, og fik forelagt parternes og intervenienternes argumenter. En række eksperter foretog bl.a. en gennemgang af bestemmelserne i amerikansk ret. I henhold til irsk ret anses udenlandsk lovgivning for en faktisk omstændighed, der skal fastlægges ved bevisførelse på samme måde som en hvilken som helst anden faktisk omstændighed. På grundlag af disse beviser foretog den forelæggende ret en vurdering af de bestemmelser i amerikansk ret, der giver myndigheder og statslige organer tilladelse til at foretage overvågning, den måde, hvorpå de offentligt anerkendte overvågningsprogrammer (»PRISM« og »Upstream«), fungerer, de forskellige retsmidler, der er tilgængelige for de borgere, hvis rettigheder er blevet tilsidesat som følge af overvågningsforanstaltninger, og de systemiske garantier og tilsynsmekanismer. Denne ret anførte resultaterne af denne vurdering i en dom af 3. oktober 2017, der er vedlagt som bilag til forelæggelsesafgørelsen (herefter »dom afsagt af High Court (ret i første instans) den 3. oktober 2017«).

54. I denne dom henviste den foreliggende ret blandt de retsgrundlag, der tillader, at de amerikanske efterretningstjenester foretager opfangning af udenlandsk kommunikation, til section 702 i Foreign Intelligence Surveillance Act (FISA) (lov om overvågning af udenlandsk efterretningsvirksomhed) og til Executive Order 12333 (præsidentielt dekret nr. 12333, herefter »EO 12333«).

55. Det fremgår af de konstateringer, der er foretaget i den nævnte dom, at FISA’s section 702 giver Attorney General (statsanklageren, USA) og Director of National Intelligence (DNI) (direktøren for den nationale efterforskningstjeneste, USA) mulighed for i fællesskab at give en etårig tilladelse til, at der med henblik på at indsamle udenlandske efterretningsoplysninger foretages overvågning af personer, der ikke er amerikanske statsborgere, og som ikke har varig bopæl i USA (de såkaldte»ikke-amerikanske personer«), når det er rimeligt at antage, at de befinder sig uden for USA’s område ( 14 ). Som det fremgår af FISA betegner begrebet »udenlandske efterretninger« de oplysninger, der vedrører regeringens evne til at beskytte sig mod udenlandske angreb, terrorisme, spredning af masseødelæggelsesvåben og USA’s håndtering af udenrigsanliggender ( 15 ).

56. Disse årlige tilladelser skal i lighed med de procedurer, der gælder for målrettet overvågning af personer og behandling (»minimering«) af de indsamlede oplysninger ( 16 ), godkendes af Foreign Intelligence Surveillance Court (FISC) (ret i sager om overvågning af udenlandsk efterretningsvirksomhed, USA). Den »traditionelle« overvågning, der foretages på grundlag af andre bestemmelser i FISA, kræver, at det godtgøres, at der foreligger en »sandsynlig grund« til at mistænke, at de overvågede personer tilhører en fremmed magt eller handler som agenter for en fremmed magt, mens de overvågningsaktiviteter, der foretages i henhold til FISA’s section 702, ikke er underlagt et krav om, at det skal godtgøres, at der foreligger en sådan »sandsynlig grund«, eller at FISC skal godkende den målrettede overvågning af bestemte personer. Som det endvidere fremgår af den forelæggende rets konstateringer, finder minimeringsprocedurerne ikke anvendelse på de ikke-amerikanske personer, der opholder sig uden for USA.

57. Når FISC har meddelt tilladelse, sender NSA i praksis en instruks til de udbydere af elektroniske kommunikationstjenester, der er etableret i USA, og som indeholder søgekriterier, der benævnes »selektorer«, der vedrører de udpegede personer (såsom telefonnummer eller e-mailadresse). Disse udbydere har derefter pligt til at videregive de oplysninger, der svarer til disse selektorer, til NSA og til at hemmeligholde indholdet af de instrukser, som de har modtaget. De har mulighed for at indbringe en sag for FISC med påstand om, at der foretages en ændring af NSA’s instruks, eller at der ses bort herfra. FISC’s afgørelse kan gøres til genstand for appel ved Foreign Intelligence Surveillance Court of Review (FISCR) (appeldomstol i sager om overvågning af udenlandsk efterretningsvirksomhed, USA).

58. High Court (ret i første instans) har fastslået, at FISA’s section 702 udgør retsgrundlaget for PRISM- og Upstream-programmerne.

59. Udbyderne af elektroniske kommunikationstjenester har inden for rammerne af PRISM-programmet pligt til til NSA at videregive al kommunikation »fra« eller »til« den selektor, som NSA har givet meddelelse om. En del af denne kommunikation videregives til FBI og Central Intelligence Agency (CIA) (den centrale efterretningstjeneste, USA). I 2015 var 94386 personer genstand for overvågning, og i 2011 indhentede USA’s regering mere end 250 mio. kommunikationer inden for rammerne af dette program.

60. Upstream-programmet er baseret på en obligatorisk pligt for de virksomheder, der benytter »rygraden« – dvs. kabelnetværket, switchere og routere – hvorigennem telefon- og internetkommunikation passerer. Disse virksomheder har pligt til at give NSA mulighed for at kopiere og filtrere internettrafikken for at kunne tilgå kommunikation »fra«, »til« eller »vedrørende« en selektor, der er nævnt i en instruks fra denne tjeneste. Den kommunikation, der »vedrører« en selektor, udpeger den kommunikation, der omtaler denne selektor, uden at den ikke-amerikanske person, som den nævnte selektor vedrører, nødvendigvis har deltaget i kommunikationen. Selv om det fremgår af en meddelelse af 26. april 2017 fra FISC, at USA’s regering efter denne dato ikke længere indsamler eller erhverver kommunikation »vedrørende« en selektor, fremgår det ikke af denne meddelelse, at NSA er ophørt med at kopiere og filtrere de kommunikationsstrømme, der passerer gennem dens overvågningsinstrumenter. Upstream-programmet indebærer også, at NSA får adgang til såvel metadata som indholdet af kommunikationen. NSA har siden 2011 årligt indsamlet ca. 26,5 mio. kommunikationer inden for rammerne af Upstream-programmet, hvilket imidlertid kun udgør en lille del af den kommunikation, der behandles under den filtreringsproces, som foretages i forbindelse med dette program.

61. Det fremgår i øvrigt af de af High Court (ret i første instans) foretagne konstateringer, at det i henhold til EO 12333 er tilladt at foretage overvågning af elektronisk kommunikation uden for USA’s område ved at gøre det muligt til udenlandske efterretningsformål at tilgå oplysninger, der er i »transit« til dette område, eller som »transiterer« gennem dette område, uden at der på dette område tilsigtes en behandling heraf, og at indsamle og opbevare disse oplysninger. I EO 12333 er begrebet »udenlandske efterretninger« defineret således, at det omfatter de oplysninger, der vedrører udenlandske regeringers, udenlandske organisationers og udenlandske personers evne, hensigter og aktiviteter ( 17 ).

62. EO 12333 giver NSA mulighed for tilgå de undersøiske kabler, der ligger på havbunden i Atlanterhavet, hvorigennem der sker en overførsel af oplysninger fra Unionen til USA, før disse oplysninger når frem til USA og som følge heraf bliver omfattet af bestemmelserne i FISA. Der foreligger imidlertid ikke beviser for, at der er gennemført nogen form for program i henhold til dette præsidentielle dekret.

63. Selv om EO 12333 fastsætter begrænsninger for indsamlingen, tilbageholdelsen og udbredelsen af oplysninger, finder disse begrænsninger ikke anvendelse på ikke-amerikanske personer. Disse personer er udelukkende omfattet af de garantier, der er nævnt i Presidential Policy Directive 28 (præsidentielt strategidirektiv nr. 28, herefter »PPD 28«), som finder anvendelse på alle aktiviteter, der består i indsamling og anvendelse af oplysninger på området for signalefterretninger. Det fremgår af PPD 28, at respekt for privatlivet udgør en integrerende del af de betragtninger, der skal tages hensyn til i forbindelse med planlægningen af disse aktiviteter, at indsamlingen alene må have som formål at erhverve udenlandske efterretningsoplysninger og oplysninger om kontraspionage, og at de nævnte aktiviteter skal være »så målrettede som muligt«.

64. De aktiviteter, som NSA udfører på grundlag af EO 12333, som USA’s præsident til enhver tid kan ændre eller tilbagekalde, er efter den forelæggende rets opfattelse ikke reguleret ved lov, ikke underlagt et retsligt tilsyn og kan ikke gøres til genstand for domstolsprøvelse.

65. Denne ret er på baggrund af disse konstateringer af den opfattelse, at USA foretager omfattende og vilkårlige behandlinger af personoplysninger, der kan medføre en risiko for, at de rettigheder, der tilkommer de registrerede i henhold til chartrets artikel 7 og 8, tilsidesættes.

66. Den nævnte ret har endvidere anført, at unionsborgere ikke har adgang til de samme retsmidler til prøvelse af, om de amerikanske myndigheder har foretaget ulovlige behandlinger af deres personoplysninger, som amerikanske statsborgere. Den fjerde tillægsbestemmelse til USA’s forfatning, der udgør den vigtigste beskyttelse mod ulovlig overvågning, finder ikke anvendelse på unionsborgere, der ikke har en væsentlig og frivillig tilknytning til USA. Selv om disse unionsborgere imidlertid har adgang til visse andre retsmidler, er disse retsmidler forbundet med væsentlige forhindringer.

67. Artikel III i USA’s forfatning gør bl.a. anlæggelsen af ethvert søgsmål ved de føderale domstole betinget af, at den berørte person godtgør, at vedkommende har søgsmålskompetence (standing). Søgsmålskompetence forudsætter bl.a., at denne person godtgør at have lidt en faktisk skade, der dels er konkret og isoleret, dels er aktuel eller nært forestående. Den forelæggende ret er bl.a. med henvisning til dommen i sagen Clapper mod Amnesty International US ( 18 ) afsagt af Supreme Court of the United States (USA’s øverste domstol) af den opfattelse, at denne betingelse i praksis er uforholdsmæssigt vanskelig at opfylde, henset til bl.a. den manglende pligt til at underrette de registrerede om de overvågningsforanstaltninger, der er truffet over for dem ( 19 ). En del af de retsmidler, som unionsborgere har adgang til, er endvidere underlagt et krav om opfyldelse af andre strenge betingelser, såsom kravet om at godtgøre, at der foreligger et økonomisk tab. Den statslige immunitet, der indrømmes efterretningstjenesterne, og klassificeringen af de relevante oplysninger, udgør også en hindring for udøvelsen af visse af disse retsmidler ( 20 ).

68. High Court (ret i første instans) har endvidere redegjort for forskellige kontrol- og tilsynsmekanismer for de aktiviteter, der udføres af efterretningstjenesterne.

69. Blandt disse mekanismer indgår for det første den årlige mekanisme, hvorved FISC certificerer programmer på grundlag af FISA’s section 702, i hvilken forbindelse FISC imidlertid ikke godkender de individuelle selektorer. Indsamlingen af udenlandske efterretningsoplysninger i henhold til EO 12333 er i øvrigt ikke omfattet af nogen form for forudgående retslig prøvelse.

70. For det andet har den forelæggende ret henvist til flere mekanismer for udenretsligt tilsyn med efterretningsaktiviteter. Denne ret har bl.a. nævnt den rolle, der varetages af Inspectors General (generalinspektører, USA), der inden for hver enkelt efterretningstjeneste har ansvaret for at føre tilsyn med overvågningsaktiviteterne. Privacy and Civil Liberties Oversight Board (PCLOB) (råd for tilsyn med privatlivets fred og borgerlige rettigheder, USA), der et organ, som er uafhængigt af de udøvende myndigheder, modtager endvidere rapporter fra personer, der inden for hver enkelt tjeneste er udpeget som databeskyttelsesrådgiver (civil liberties or privacy officers). PCLOB udfærdiger løbende rapporter til de parlamentariske udvalg og præsidenten. De berørte tjenester har pligt til at gøre bl.a. DNI opmærksom på hændelser, der indebærer en tilsidesættelse af de regler og procedurer, der gælder for indsamling af udenlandske efterretninger. Disse hændelser skal desuden meddeles til FISC. USA’s Kongres er gennem Repræsentanternes Hus’ og Senatets efterretningsudvalg også pålagt ansvaret for at føre tilsyn med udenlandske efterretningsaktiviteter.

71. High Court (ret i første instans) har imidlertid fremhævet den grundlæggende forskel mellem dels de regler, der har til formål at sikre, at oplysningerne er indsamlet lovligt, og at de efter indsamlingen ikke gøres til genstand for misbrug, dels de retsmidler, der er tilgængelige, når disse regler er blevet tilsidesat. Beskyttelsen af de registreredes grundlæggende rettigheder kan kun sikres, såfremt de har adgang til effektive retsmidler, der giver dem mulighed for at gøre deres rettigheder gældende i tilfælde af, at de nævnte regler tilsidesættes.

72. Den forelæggende ret er under disse omstændigheder af den opfattelse, at det af Commissioner fremførte argument om, at de i amerikansk ret fastsatte begrænsninger af den ret til søgsmålsadgang, der tilkommer de personer, hvis oplysninger er blevet overført fra Unionen, ikke er forenelige med det væsentligste indhold af den ret, der er sikret ved chartrets artikel 47, og under alle omstændigheder udgør et uforholdsmæssigt indgreb i udøvelsen af denne ret, skal anses for begrundet.

73. High Court (ret i første instans) har anført, at den omstændighed, at USA’s regering har indført den ombudsmandsmekanisme, der er beskrevet i afgørelsen om »værnet om privatlivets fred«, ikke rejser tvivl om denne vurdering. Efter at have nævnt, at denne mekanisme er tilgængelig for de unionsborgere, der på et rimeligt grundlag vurderer, at deres oplysninger er blevet overført i henhold til afgørelserne om standardkontraktbestemmelserne ( 21 ), har denne ret anført, at ombudsmanden ikke udgør en domstol, der opfylder kravene i chartrets artikel 47, og navnlig at denne ikke er uafhængig af den udøvende magt ( 22 ). Den nævnte ret er endvidere i tvivl om, hvorvidt et indgreb, der foretages af en ombudsmand, hvis afgørelser ikke kan gøres til genstand for domstolsprøvelse, udgør et effektivt retsmiddel. Dette indgreb giver nemlig ikke de personer, hvis personoplysninger ulovligt er blevet indsamlet, behandlet eller delt, mulighed for at opnå kompensation eller et påbud om at ophøre med de ulovlige handlinger, idet ombudsmanden hverken be- eller afkræfter, at en klager har været genstand for en elektronisk overvågningsforanstaltning.

74. Efter at den forelæggende ret således har redegjort for sine betænkeligheder med hensyn til, om de garantier, der er fastsat i amerikansk ret, i det væsentlige svarer til de krav, der følger af chartrets artikel 7, 8 og 47, har den sat spørgsmålstegn ved, om de standardkontraktbestemmelser, der er fastsat i afgørelserne om standardkontraktbestemmelserne – der som følge af deres art ikke er bindende for de amerikanske myndigheder – ikke desto mindre kan sikre beskyttelsen af de registreredes grundlæggende rettigheder. Denne ret har på denne baggrund konkluderet, at den er enig i den tvivl, som Commissioner har givet udtryk for med hensyn til disse afgørelsers gyldighed.

75. Den forelæggende ret er i denne henseende bl.a. af den opfattelse, at artikel 28, stk. 3, i direktiv 95/46, hvortil der er henvist i artikel 4 i afgørelse 2010/87, for så vidt som denne bestemmelse tillægger tilsynsmyndighederne beføjelse til at suspendere eller forbyde overførsler på grundlag af de standardkontraktbestemmelser, der er fastsat i denne afgørelse, ikke er tilstrækkelig til at fjerne denne tvivl. Ud over den omstændighed, at denne beføjelse efter den forelæggende rets opfattelse kun har skønsmæssig karakter, er denne ret i lyset af 11. betragtning til afgørelse 2010/87 i tvivl om, hvorvidt det er muligt at udøve denne beføjelse, når de konstaterede mangler ikke vedrører et konkret og særligt tilfælde, men har en generel og systemisk karakter ( 23 ). Den forelæggende ret er endvidere af den opfattelse, at risikoen for, at der træffes forskellige afgørelser i forskellige medlemsstater, kan være til hinder for, at det overlades til tilsynsmyndighederne at foretage konstateringen af, om der foreligger sådanne mangler.

76. High Court (ret i første instans) har ved afgørelse af 4. maj 2018 ( 24 ), der indgik til Domstolen den 9. maj 2018, under disse omstændigheder besluttet at udsætte sagen og at forelægge Domstolen følgende præjudicielle spørgsmål: »1) Under omstændigheder, hvor et privat selskab [overfører] personoplysninger fra en medlemsstat i [Unionen] til et privat selskab i et tredjeland med et forretningsmæssigt formål i medfør af afgørelse 2010/87 […], og hvor personoplysningerne kan undergå yderligere behandling i dette tredjeland af myndighederne af hensyn til den nationale sikkerhed, men også med henblik på retshåndhævelse og tredjelandets håndtering af udenrigsanliggender, finder EU-retten (herunder [chartret]) da anvendelse på [overførslen] af oplysninger uanset bestemmelserne i artikel 4, stk. 2, TEU om national sikkerhed og bestemmelserne i artikel 3, stk. 2, første led, i direktiv 95/46[…] om offentlig sikkerhed, forsvar og statens sikkerhed? 2) a) Ved afgørelsen af, om der er tale om krænkelse af en privatpersons rettigheder ved [overførslen] af oplysninger fra [Unionen] til et tredjeland i henhold til […] afgørelse [2010/87], hvor oplysningerne kan undergå yderligere behandling af hensyn til den nationale sikkerhed, er det relevante sammenligningsgrundlag med henblik på direktiv [95/46] da: i) chartret, [EU-traktaten], [EUF-traktaten], direktiv [95/46] og [den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder, undertegnet i Rom den 4. november 1950, herefter »EMRK«] (eller andre EU-retlige bestemmelser) eller ii) en eller flere medlemsstaters nationale ret? b) Hvis det relevante sammenligningsgrundlag er [ii)], skal praksis i sammenhæng med den nationale sikkerhed i en eller flere medlemsstater da også medtages i sammenligningsgrundlaget? 3) Ved bedømmelsen af, om et tredjeland sikrer det i EU-retten krævede beskyttelsesniveau for personoplysninger, der [overføres] til det pågældende land som omhandlet i […] artikel 26 [i direktiv 95/46], bør beskyttelsesniveauet i tredjelandet da bedømmes under henvisning til: a) de gældende regler i tredjelandet, der følger af dettes nationale ret eller internationale forpligtelser, og praksis, der skal sikre overholdelsen af disse regler, herunder faglige regler og sikkerhedsforanstaltninger, som overholdes i tredjelandet, eller b) de regler, der er henvist til under a), sammen med administrativ praksis, regulerings- og overholdelsespraksis samt de politiske garantier, procedurer, protokoller, tilsynsmekanismer og udenretslige midler, der findes i tredjelandet? 4) Henset til de kendsgerninger, som High Court [(ret i første instans)] fastslog vedrørende amerikansk ret, krænker det da privatpersoners rettigheder i henhold til chartrets artikel 7 og/eller 8, hvis personoplysninger [overføres] fra [Unionen] til USA i henhold til […] afgørelse [2010/87]? 5) Henset til de kendsgerninger, som High Court [(ret i første instans)] fastslog vedrørende amerikansk ret, hvis personoplysninger overføres fra [Unionen] til USA i henhold til […] afgørelse [2010/87]: a) overholder beskyttelsesniveauet i USA da [det væsentligste indhold] af en privatpersons ret til et retsmiddel i tilfælde af krænkelse af [den pågældendes] rettigheder vedrørende personoplysninger, der garanteres ved chartrets artikel 47? Hvis svaret på a) er bekræftende, b) er de begrænsninger, som amerikansk ret pålægger en privatpersons adgang til et retsmiddel i sammenhæng med USA’s nationale sikkerhed, da forholdsmæssige i den i chartrets artikel 52 omhandlede betydning og går ikke videre end det, der er nødvendigt i et demokratisk samfund af hensyn til den nationale sikkerhed? 6) a) Hvilket beskyttelsesniveau kræves der for personoplysninger, som [overføres] til et tredjeland i medfør af standardkontraktbestemmelser vedtaget i overensstemmelse med Kommissionens afgørelse i henhold til artikel 26, stk. 4, [i direktiv 95/46,] i lyset af [dette] direktiv[s] bestemmelser, navnlig [dette direktivs] artikel 25 og 26 forstået i lyset af chartret? b) Hvilke forhold skal tages i betragtning ved bedømmelsen af, om beskyttelsesniveauet for oplysninger, der [overføres] til et tredjeland i henhold til […] afgørelse [2010/87], opfylder kravene i direktiv [95/46] og chartret? 7) Er det forhold, at standardkontraktbestemmelser finder anvendelse mellem dataeksportøren og dataimportøren og ikke er bindende for et tredjelands nationale myndigheder, som kan pålægge dataimportøren at stille personoplysninger til rådighed for landets sikkerhedstjenester med henblik på yderligere behandling, i medfør af bestemmelser, der er fastsat i […] afgørelse [2010/87], til hinder for, at bestemmelserne yder tilstrækkelige garantier som forudsat i […] artikel 26, stk. 2 [i direktiv 95/46]? 8) Hvis en dataimportør i et tredjeland er underlagt overvågningslovgivning, som efter [en tilsynsmyndigheds] opfattelse er i strid med [standardkontraktbestemmelserne], […] artikel 25 og 26 [i direktiv 95/46] […] eller chartret, skal [tilsynsmyndigheden] da anvende sine håndhævelsesbeføjelser i henhold til […] artikel 28, stk. 3, [i direktiv 95/46] til at suspendere datastrømme, eller er udøvelsen af disse beføjelser begrænset til undtagelsestilfælde i lyset af 11. betragtning til […] [afgørelse 2010/87], eller kan en [tilsyns]myndighed anvende sin skønsbeføjelse til at undlade at suspendere datastrømme? 9) a) Med henblik på anvendelsen af […] artikel 25, stk. 6, [i direktiv 95/46] udgør afgørelse[n »om værnet om privatlivets fred«] da en konstatering, der finder generel anvendelse, og som er bindende for [tilsyns]myndigheder og medlemsstaternes retsinstanser, således at USA sikrer et tilstrækkeligt beskyttelsesniveau i den i […] artikel 25, stk. 2, [i direktiv 95/46] omhandlede forstand gennem landets nationale ret eller de internationale forpligtelser, det har påtaget sig? b) Hvis den ikke gør det, hvilken betydning, om nogen, har afgørelsen [»]om værnet af privatlivets fred[«] da ved den foretagne bedømmelse af, om de garantier, der gives for oplysninger, som er videregivet til USA i medfør af […] afgørelse [2010/87], er tilstrækkelige? 10) Henset til High Courts [(ret i første instans)] konstateringer vedrørende amerikansk ret sikrer oprettelsen af ombudsmanden under [»]værnet om privatlivets fred[«] i henhold til bilag [III] A […] til afgørelsen [»]om værnet om privatlivets fred[«], sammenholdt med den eksisterende ordning i USA, da, at USA stiller et med chartrets artikel 47 foreneligt retsmiddel til rådighed for de registrerede personer, hvis personoplysninger [overføres] til USA i henhold til […] afgørelse [2010/87]? 11) Overtræder […] afgørelse [2010/87] chartrets artikel 7, 8 […] eller 47?«

77. Commissioner, Facebook Ireland, Maximillian Schrems, USA’s regering, EPIC, BSA, Digitaleurope, Irland, den belgiske, den tjekkiske, den tyske, den nederlandske, den østrigske, den polske, den portugisiske og Det Forenede Kongeriges regering samt Europa-Parlamentet og Kommissionen har indgivet skriftlige indlæg til Domstolen. Commissioner, Facebook Ireland, Maximillian Schrems, USA’s regering, EPIC, BSA, Digitaleurope, Irland, den tyske, den franske, den nederlandske, den østrigske og Det Forenede Kongeriges regering, samt Parlamentet, Kommissionen og Det Europæiske Databeskyttelsesråd (European Data Protection Board, EDPB) var repræsenteret i retsmødet, der blev afholdt den 9. juli 2019.

IV. Bedømmelse

A. Indledende bemærkninger

78. Efter at Domstolen i Schrems-dommen fastslog, at »safe harbor«-beslutningen var ugyldig, er der fortsat sket overførsel af personoplysninger til USA i medfør af andre retsgrundlag. De dataeksporterende selskaber har navnlig haft mulighed for at indgå aftaler med dataimportørerne, der indeholder de af Kommissionen udfærdigede standardbestemmelser. Disse standardbestemmelser udgør endvidere retsgrundlaget for overførslerne til en lang række andre tredjelande, i hvilken forbindelse Kommissionen ikke har vedtaget en afgørelse om tilstrækkeligheden af beskyttelsesniveauet ( 25 ). Afgørelsen »om værnet om privatlivets fred« gør det fremover muligt for de virksomheder, der har anmeldt selvcertificering om tilslutning til de deri nævnte principper, uden videre at overføre personoplysninger til USA.

79. Som det udtrykkeligt fremgår af forelæggelsesafgørelsen, og som BSA, Digitaleurope, Irland, den østrigske og den franske regering samt Parlamentet og Kommissionen har anført, har den tvist i hovedsagen, der verserer for High Court (ret i første instans), kun til formål at fastslå, om den afgørelse, hvorved Kommissionen indførte de standardkontraktbestemmelser, der er påberåbt til støtte for de overførsler, som er genstand for Maximillian Schrems’ klage, dvs. afgørelse 2010/87 ( 26 ), er gyldig.

80. Denne tvist udspringer af en klage, i hvilken forbindelse Commissioner har anmodet den forelæggende ret om at forelægge Domstolen et præjudicielt spørgsmål om gyldigheden af afgørelse 2010/87. Ifølge denne ret vedrører tvisten i hovedsagen således anvendelsen af de retsmidler, som Domstolen i Schrems-dommens præmis 65 pålagde medlemsstaterne at indføre.

81. Der erindres om, at Domstolen i denne doms præmis 63 fastslog, at en tilsynsmyndighed har pligt til med den fornødne omhu at behandle en klage, hvorved en person, hvis personoplysninger er blevet eller kan blive videregivet til et tredjeland, der har været genstand for en afgørelse om tilstrækkeligheden af beskyttelsesniveauet, bestrider, at denne afgørelse er forenelig med de grundlæggende rettigheder, der er fastsat i chartret. Det fremgår af den nævnte doms præmis 65, at i det tilfælde, hvor denne myndighed finder, at de klagepunkter, som er fremsat i denne klage, er begrundede, skal denne myndighed i henhold til artikel 28, stk. 3, første afsnit, tredje led, i direktiv 95/46 (der svarer til databeskyttelsesforordningens artikel 58, stk. 5), sammenholdt med chartrets artikel 8, stk. 3, kunne anlægge sag. Den nationale lovgiver skal i denne forbindelse fastsætte retsmidler, der gør det muligt for den pågældende myndighed at gøre disse klagepunkter gældende for de nationale domstole, således at disse, såfremt de deler den nævnte myndigheds tvivl, kan foretage en præjudiciel forelæggelse om denne afgørelses gyldighed.

82. Jeg er i lighed med den forelæggende ret af den opfattelse, at disse konklusioner finder analog anvendelse, når en tilsynsmyndighed i forbindelse med behandlingen af en klage, der er indgivet til den, er i tvivl om, hvorvidt en afgørelse, såsom afgørelse 2010/87, der indfører standardkontraktbestemmelser for overførslen af personoplysninger til tredjelande – og ikke en afgørelse om tilstrækkeligheden af beskyttelsesniveauet – er gyldig. I modsætning til, hvad den tyske regering har anført, har det ingen betydning, om denne tvivl er sammenfaldende med de klagepunkter, som klageren har fremsat over for denne myndighed, eller at denne myndighed af egen drift rejser spørgsmålet om den pågældende afgørelses gyldighed. De krav, der følger af databeskyttelsesforordningens artikel 58, stk. 5, og chartrets artikel 8, stk. 3, som Domstolens begrundelse er baseret på, finder nemlig anvendelse uafhængigt af, hvilket retsgrundlag der ligger til grund for den overførsel, som er genstand for den klage, der er indgivet til tilsynsmyndigheden, og de grunde, der har givet denne myndighed anledning til i forbindelse med behandlingen af denne klage at nære tvivl om, hvorvidt den pågældende afgørelse er gyldig.

83. Når dette er sagt, skal det nævnes, at Commissioner har anmodet den forelæggende ret om at forelægge Domstolen et spørgsmål om gyldigheden af afgørelse 2010/87, idet Commissioner er af den opfattelse, at Domstolens præcisering på dette punkt er nødvendig for behandlingen af den klage, hvorved Maximillian Schrems har anmodet Commissioner om at udøve den beføjelse, som denne var tillagt i henhold til artikel 28, stk. 3, andet led, i direktiv 95/46 – og som denne instans nu er tillagt ved databeskyttelsesforordningens artikel 58, stk. 2, litra f) – til at suspendere overførslen af hans personoplysninger fra Facebook Ireland til Facebook Inc.

84. Tvisten i hovedsagen vedrører således udelukkende spørgsmålet om, hvorvidt afgørelse 2010/87 in abstracto er gyldig, men den underliggende procedure, der verserer for Commissioner, vedrører denne myndigheds udøvelse af beføjelsen til at vedtage korrigerende foranstaltninger i et konkret tilfælde. Jeg vil foreslå Domstolen kun at undersøge de forelagte spørgsmål i det omfang, det er nødvendigt, for at tage stilling til gyldigheden af afgørelse 2010/87, idet en sådan undersøgelse er tilstrækkelig til, at den forelæggende ret kan løse den tvist, der verserer for den ( 27 ).

85. Før der foretages en vurdering af denne afgørelses gyldighed, er det hensigtsmæssigt at forkaste en række indsigelser, der er fremsat mod realitetsbehandlingen af anmodningen om præjudiciel afgørelse.

B. Om formaliteten vedrørende den præjudicielle forelæggelse

86. Der er anført forskellige grunde til, at anmodningen om præjudiciel afgørelse ikke kan antages til realitetsbehandling, som hovedsageligt vedrører den omstændighed, at direktiv 95/46, der er nævnt i de præjudicielle spørgsmål, ikke finder tidsmæssig anvendelse (afsnit 1), den omstændighed, at proceduren for Commissioner ikke havde nået et stadie, der var tilstrækkeligt fremskredent til, at det kunne anses for hensigtsmæssigt at indgive en sådan anmodning (afsnit 2), og at den forelæggende rets beskrivelse af de faktiske omstændigheder er behæftet med usikkerheder (afsnit 3).

87. Jeg vil besvare disse formalitetsindsigelser, idet jeg henviser til formodningen for, at de spørgsmål, som Domstolen forelægges i henhold til artikel 267 TEUF, er relevante. Det fremgår af fast retspraksis, at Domstolen kun kan afslå at træffe afgørelse vedrørende en anmodning om præjudiciel afgørelse, såfremt det klart fremgår, at den ønskede fortolkning af EU-retten savner enhver forbindelse med realiteten i hovedsagen eller dennes genstand, når problemet er af hypotetisk karakter, eller når Domstolen ikke råder over de faktiske og retlige oplysninger, som er nødvendige for, at den kan foretage en sagligt korrekt besvarelse af de forelagte spørgsmål ( 28 ).

1. Om den tidsmæssige anvendelse af direktiv 95/46

88. Facebook Ireland har gjort gældende, at de præjudicielle spørgsmål ikke kan antages til realitetsbehandling, idet de henviser til direktiv 95/46, selv om dette direktiv er blevet ophævet og erstattet af databeskyttelsesforordningen med virkning fra den 25. maj 2018 ( 29 ).

89. Jeg er enig i synspunktet om, at gyldigheden af afgørelse 2010/87 skal undersøges i lyset af databeskyttelsesforordningens bestemmelser.

90. Denne forordnings artikel 94, stk. 2, bestemmer, at »[h]envisninger til det ophævede direktiv gælder som henvisninger til den [nævnte] forordning«. Det følger efter min opfattelse heraf, at afgørelse 2010/87, for så vidt som den som retsgrundlag nævner artikel 26, stk. 4, i direktiv 95/46, skal forstås som en henvisning til databeskyttelsesforordningens artikel 46, stk. 2, litra c), der i det væsentlige gengiver indholdet heraf ( 30 ). De gennemførelsesafgørelser, som Kommissionen før databeskyttelsesforordningens ikrafttræden vedtog i henhold til artikel 26, stk. 4, i direktiv 95/46, skal derfor fortolkes i lyset af denne forordning. Det er endvidere i lyset af den nævnte forordning, at gyldigheden af disse afgørelser i givet fald skal vurderes.

91. Der kan ikke drages tvivl om denne konklusion med henvisning til den retspraksis, hvorefter lovligheden af en EU-retsakt skal bedømmes på grundlag af de faktiske og retlige omstændigheder, der forelå på det tidspunkt, da retsakten blev udstedt. Denne retspraksis vedrører nemlig undersøgelsen af, om en EU-retsakt, henset til de relevante faktiske omstændigheder på tidspunktet, hvor retsakten blev vedtaget ( 31 ), eller de procedureregler, der regulerer vedtagelsen af en sådan retsakt ( 32 ), er gyldig. Domstolen har til gengæld gentagne gange undersøgt gyldigheden af afledte retsakter i lyset af de trinhøjere materielle regler, der er trådt i kraft efter vedtagelsen af disse retsakter ( 33 ).

92. Selv om angivelsen af en retsakt, der ikke længere finder tidsmæssig anvendelse, i de formuleringer, der anvendes i de præjudicielle spørgsmål, kan begrunde en ændret formulering af disse spørgsmål, kan den imidlertid ikke føre til, at disse spørgsmål ikke kan antages til realitetsbehandling ( 34 ). Som Commissioner og Maximillian Schrems har anført, kan henvisningen til direktiv 95/46 i ordlyden af de præjudicielle spørgsmål i øvrigt forklares ved det proceduremæssige tidsforløb i den foreliggende sag, idet disse spørgsmål blev forelagt Domstolen før databeskyttelsesforordningens ikrafttræden.

93. De bestemmelser i databeskyttelsesforordningen, der vil blive behandlet i forbindelse med analysen af de præjudicielle spørgsmål – dvs. navnlig denne forordnings artikel 45, 46 og 58 – udgør under alle omstændigheder, bortset fra visse nuancer, i det væsentlige en præciserende gengivelse af indholdet af artikel 25, 26 og 28 i direktiv 95/46. Hvad angår de forhold, der er relevante for at kunne tage stilling til, om afgørelse 2010/87 er gyldig, foreligger der efter min opfattelse ikke nogen grund til at tillægge disse bestemmelser i databeskyttelsesforordningen en anden rækkevidde end den, der er tillagt de tilsvarende bestemmelser i direktiv 95/46 ( 35 ).

2. Om den foreløbige karakter af den af Commissioner udtrykte tvivl

94. Den tyske regering har anført, at anmodningen om præjudiciel afgørelse ikke kan antages til realitetsbehandling som følge af, at den søgsmålsprocedure, der er nævnt i Schrems-dommens præmis 65, forudsætter, at tilsynsmyndigheden har dannet sig en endelig opfattelse af, om de klagepunkter, som sagsøgeren har fremsat vedrørende gyldigheden af den omhandlede afgørelse, er begrundede. Dette er ikke tilfældet i den foreliggende sag, for så vidt som Commissioner i et udkast til afgørelse, der blev fremsat foreløbigt, uden at dette berørte Facebook Irelands og Maximillian Schrems’ mulighed for eventuelt at fremsætte supplerende bemærkninger, tilkendegav sin tvivl med hensyn til gyldigheden af afgørelse 2010/87, hvilket Maximillian Schrems ikke har bestridt.

95. Den foreløbige karakter af den tvivl, som Commissioner gav udtryk for, har efter min opfattelse ikke betydning for, om den præjudicielle forelæggelse kan antages til realitetsbehandling. Kriterierne for, hvornår et præjudicielt spørgsmål skal antages til realitetsbehandling, skal nemlig vurderes i forhold til tvistens genstand, således som denne er defineret af den forelæggende ret ( 36 ). Det er imidlertid ubestridt, at tvisten vedrører spørgsmålet om, hvorvidt afgørelse 2010/87 er gyldig. Det fremgår af forelæggelsesafgørelsen og af den dom, der er vedlagt som bilag hertil, at denne ret er af den opfattelse, at den af Commissioner udtrykte tvivl – uanset om den har foreløbig eller endelig karakter – er begrundet, og at den derfor forelægger Domstolen et spørgsmål om denne afgørelses gyldighed. Domstolens præcisering på dette punkt er under disse omstændigheder uden tvivl relevant, for at den forelæggende ret kan løse den tvist, som er indbragt for den.

3. Om den usikkerhed, der er forbundet med fastlæggelsen af de faktiske omstændigheder

96. Det Forenede Kongeriges regering har anført, at de faktiske omstændigheder, som den forelæggende ret har beskrevet, er behæftet med en række ufuldstændigheder, der er til hinder for, at de præjudicielle spørgsmål kan antages til realitetsbehandling. Denne ret har ikke belyst, om Maximillian Schrems’ personoplysninger faktisk er blevet overført til USA, eller, såfremt dette måtte være tilfældet, om de amerikanske myndigheder har indsamlet disse oplysninger. Retsgrundlaget for disse overførsler er heller ikke blevet identificeret med sikkerhed, idet der i forelæggelsesafgørelsen kun henvises til, at oplysningerne om de europæiske brugere af det sociale netværk Facebook »for en stor dels vedkommende« er blevet overført på grundlag af de standardkontraktbestemmelser, der er fastsat i afgørelse 2010/87. Det er under alle omstændigheder ikke blevet godtgjort, at den aftale mellem Facebook Ireland og Facebook Inc., hvortil der er henvist til støtte for den omtvistede overførsel, udgør en loyal anvendelse af disse bestemmelser. Den tyske regering har endvidere bestridt, at den præjudicielle forelæggelse kan antages til realitetsbehandling, idet den forelæggende ret ikke har undersøgt, om Maximillian Schrems utvivlsomt har givet samtykke til de omhandlede overførsler, i hvilket tilfælde disse overførsler gyldigt kan baseres på artikel 26, stk. 1, i direktiv 95/46, som databeskyttelsesforordningens artikel 49, stk. 1, litra a), i det væsentlige gengiver indholdet af.

97. Disse argumenter kan ikke på nogen måde rejse tvivl om, at den præjudicielle forelæggelse er relevant for genstanden for tvisten i hovedsagen. Eftersom denne tvist udspringer af, at Commissioner har udøvet det retsmiddel, der er fastsat i Schrems-dommens præmis 65, har den som sådan til formål at opnå, at den nationale ret forelægger en anmodning om præjudiciel afgørelse vedrørende gyldigheden af afgørelse 2010/87. Den tyske og Det Forenede Kongeriges regering har i realiteten ikke bestridt, at de præjudicielle spørgsmål er nødvendige for at afgøre, om denne afgørelse er gyldig, men at de er nødvendige for at sætte Commissioner i stand til in concreto at tage stilling til Maximillian Schrems’ klage.

98. Selv i betragtning af denne for tvisten i hovedsagen underliggende procedure, er de præjudicielle spørgsmål, der vedrører gyldigheden af afgørelse 2010/87, efter min opfattelse under alle omstændigheder ikke irrelevante. Den forelæggende ret har nemlig anført, at Facebook Ireland fortsatte overførslen af oplysninger om sine brugere til USA, efter at »safe harbor«-beslutningen var blevet erklæret ugyldig, og at disse overførsler i det mindste delvist var baserede på afgørelsen 2010/87. Selv om det kan være hensigtsmæssigt, at samtlige faktiske omstændigheder er fastlagt, før den forelæggende ret udøver sin kompetence i henhold til artikel 267 TEUF, tilkommer det endvidere udelukkende denne ret at vurdere, på hvilket trin i proceduren den har behov for en præjudiciel afgørelse fra Domstolen ( 37 ).

99. På baggrund af samtlige de ovenfor anførte betragtninger er det min opfattelse, at anmodningen om præjudiciel afgørelse kan antages til realitetsbehandling.

C. Hvorvidt EU-retten finder anvendelse på overførsler af personoplysninger til forretningsmæssige formål til en tredjestat, der af hensyn til den nationale sikkerhed kan foretage behandling af disse oplysninger (det første spørgsmål)

100. Den forelæggende ret ønsker med det første spørgsmål oplyst, om EU-retten finder anvendelse på en overførsel af personoplysninger, som et selskab, der er beliggende i en medlemsstat, af forretningsmæssige grunde foretager, til et selskab, der er hjemmehørende i et tredjeland, når de offentlige myndigheder i dette tredjeland af hensyn til den nationale sikkerhed kan foretage behandling af oplysningerne, efter at overførslen er påbegyndt.

101. Det centrale i dette spørgsmål for løsningen af tvisten i hovedsagen udspringer af den omstændighed, at hvis en sådan overførsel er omfattet af anvendelsesområdet for EU-retten, vil samtlige de indsigelser, der er fremsat om gyldigheden af afgørelse 2010/87 i den foreliggende sag, savne grundlag.

102. Som den forelæggende ret har anført, var behandlinger af personoplysninger, der vedrører den nationale sikkerhed, i henhold til artikel 3, stk. 2, i direktiv 95/46 ikke omfattet af anvendelsesområdet for dette direktiv. Det er nu præciseret i databeskyttelsesforordningens artikel 2, stk. 2, at denne forordning ikke gælder for behandling af personoplysninger bl.a. under udøvelse af aktiviteter, der falder uden for EU-retten, eller som foretages af kompetente myndigheder med henblik på at beskytte den offentlige sikkerhed. Disse bestemmelser afspejler det kompetenceforbehold, som medlemsstaterne i henhold til artikel 4, stk. 2, TEU er tillagt på området for beskyttelse af den nationale sikkerhed.

103. Commissioner, Maximillian Schrems, Irland, den tyske, den østrigske, den belgiske, den tjekkiske, den nederlandske, den polske og den portugisiske regering, samt Parlamentet og Kommissionen har anført, at overførsler som dem, der er omhandlet i Maximillian Schrems’ klage, ikke er omfattet af disse bestemmelser, og at sådanne overførsler derfor er omfattet af anvendelsesområdet for EU-retten. Facebook Ireland har argumenteret for det modsatte synspunkt. Jeg tilslutter mig de førstnævntes opfattelse.

104. Det er i denne forbindelse vigtigt at nævne, at overførslen af personoplysninger fra en medlemsstat til et tredjeland som sådan udgør en »behandling« i den forstand, hvori dette udtryk er anvendt i databeskyttelsesforordningens artikel 4, nr. 2), der foretages på en medlemsstats område ( 38 ). Det første præjudicielle spørgsmål har netop til formål at afgøre, om EU-retten finder anvendelse påden behandling, der udgøres af selve overførslen. Dette spørgsmål vedrører ikke spørgsmålet om, hvorvidt EU-retten finder anvendelse på de behandlinger, som de amerikanske myndigheder af hensyn til den nationale sikkerhed eventuelt senere foretager af de oplysninger, der overføres til USA, og som ikke er omfattet af det territoriale anvendelsesområde for databeskyttelsesforordningen ( 39 ).

105. Ud fra dette synspunkt skal der med henblik på at afgøre, om EU-retten finder anvendelse på den omhandlede overførsel, kun tages hensyn til den aktivitet, som denne overførsel indgår som en del af, uden at formålet med de behandlinger, som de offentlige myndigheder i bestemmelsestredjelandet eventuelt senere måtte foretage af de overførte oplysninger, tillægges betydning ( 40 ).

106. Det fremgår imidlertid af forelæggelsesafgørelsen, at den overførsel, der er genstand for Maximillian Schrems’ klage, indgår som led i en forretningsmæssig aktivitet. Denne overførsel foretages i øvrigt ikke med det formål at gøre det muligt for de amerikanske myndigheder af hensyn til den nationale sikkerhed at foretage en senere behandling af de omhandlede oplysninger.

107. Den tilgang, som Facebook Ireland har foreslået, vil i øvrigt fratage de bestemmelser i databeskyttelsesforordningen, der vedrører overførsler til tredjelande, deres effektive virkning, idet det ikke på noget tidspunkt kan udelukkes, at de oplysninger, der overføres som led i en forretningsmæssig aktivitet, efter overførslen vil blive undergivet behandling af hensyn til den nationale sikkerhed.

108. Den fortolkning, som jeg foreslår, bekræftes af ordlyden af databeskyttelsesforordningens artikel 45, stk. 2, litra a). Det fremgår af denne bestemmelse, at Kommissionen, når den træffer en afgørelse om tilstrækkeligheden af beskyttelsesniveauet, skal tage hensyn til bl.a. lovgivningen vedrørende national sikkerhed i det pågældende tredjeland. Det kan heraf udledes, at muligheden for, at myndighederne i bestemmelsestredjelandet undergiver disse oplysninger en behandling, der har til formål at beskytte den nationale sikkerhed, ikke indebærer, at EU-retten ikke finder anvendelse på den behandling, der består i at overføre oplysningerne til dette tredjeland.

109. Domstolens argumentation og konklusioner i Schrems-dommen er endvidere baseret på denne forudsætning. Domstolen undersøgte i denne dom bl.a., om »safe harbor«-beslutningen i henhold til artikel 25, stk. 6, i direktiv 95/46, sammenholdt med chartret, var gyldig, for så vidt som den vedrørte overførsler af personoplysninger til USA, hvor de kunne blive indsamlet og behandlet med henblik på at beskytte den nationale sikkerhed ( 41 ).

110. På baggrund af disse betragtninger er det min opfattelse, at EU-retten finder anvendelse på en overførsel af personoplysninger fra en medlemsstat til et tredjeland, når denne overførsel foretages som led i en forretningsmæssig aktivitet, idet det ikke er relevant, om der består en risiko for, at de offentlige myndigheder i dette tredjeland vil undergive de overførte oplysninger behandlinger, der har til formål at beskytte den nationale sikkerhed.

D. Om det krævede beskyttelsesniveau i forbindelse med en overførsel på grundlag af standardkontraktbestemmelserne (første del af det sjette spørgsmål)

111. Den forelæggende ret ønsker med første del af det sjette spørgsmål oplyst, hvilket niveau for beskyttelse af de registreredes grundlæggende rettigheder, der skal sikres for, at personoplysningerne kan overføres til et tredjeland i henhold til de standardkontraktbestemmelser, der er fastsat i afgørelse 2010/87.

112. Denne ret har anført, at Domstolen i Schrems-dommen fortolkede artikel 25, stk. 6, i direktiv 95/46 (hvis indhold i det væsentlige er gentaget i databeskyttelsesforordningens artikel 45, stk. 3), for så vidt som denne bestemmelse foreskrev, at Kommissionen kun kunne træffe en afgørelse om tilstrækkeligheden af beskyttelsesniveauet efter at have sikret sig, at det pågældende tredjeland sikrede et tilstrækkeligt beskyttelsesniveau, således at den forudsatte, at Kommissionen skulle godtgøre, at dette land sikrede et beskyttelsesniveau for frihedsrettighederne og de grundlæggende rettigheder, som i det væsentlige svarede til det niveau, der er sikret inden for Unionen i medfør af dette direktiv, sammenholdt med chartret ( 42 ).

113. Domstolen anmodes i denne forbindelse med første del af det sjette præjudicielle spørgsmål om at fastslå, om anvendelsen af de »standardkontraktbestemmelser«, som Kommissionen har vedtaget i henhold til artikel 26, stk. 4, i direktiv 95/46 – som svarer til de »standardbestemmelser om beskyttelse«, der nu er nævnt i databeskyttelsesforordningens artikel 46, stk. 2, litra c) – skal gøre det muligt at nå et beskyttelsesniveau, der svarer til den samme standard for »væsentlig overensstemmelse«.

114. Det fremgår i denne forbindelse af databeskyttelsesforordningens artikel 46, stk. 1, at hvis der ikke er vedtaget en afgørelse om tilstrækkeligheden af beskyttelsesniveauet, må en dataansvarlig kun overføre personoplysninger til et tredjeland, »hvis vedkommende har givet de fornødne garantier, og på betingelse af at rettigheder, som kan håndhæves, og effektive retsmidler for registrerede er tilgængelige« (min fremhævelse) ( 43 ). Det fremgår af databeskyttelsesforordningens artikel 46, stk. 2, litra c), at disse garantier bl.a. kan følge af de »standardbestemmelser om beskyttelse«, som Kommissionen har udfærdiget.

115. Jeg er i lighed med Commissioner, Maximillian Schrems og Irland af den opfattelse, at de »fornødne garantier«, som stilles af den dataansvarlige, og hvortil der er henvist i databeskyttelsesforordningens artikel 46, stk. 1, skal sikre, at der for de rettigheder, som tilkommer de personer, som de overførte oplysninger vedrører, gælder et beskyttelsesniveau, der i det væsentlige svarer til det niveau, der følger af databeskyttelsesforordningen, sammenholdt med chartret, således som det er tilfældet for en overførsel, der foretages på grundlag af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet.

116. Denne konklusion følger af formålet med denne bestemmelse og med den retsakt, som den indgår i.

117. Databeskyttelsesforordningens artikel 45 og 46 har til formål at sikre opretholdelsen af det beskyttelsesniveau for personoplysninger, der er sikret ved denne forordning, når de overføres uden for Unionen. Databeskyttelsesforordningens artikel 44, der har overskriften »Generelt princip for overførsler«, indleder nemlig kapitel V om overførsler til tredjelande ved at anføre, at alle bestemmelserne i dette kapitel anvendes for at sikre, at det beskyttelsesniveau, som garanteres i medfør af databeskyttelsesforordningen, ikke undermineres, når der foretages overførsel til en tredjestat ( 44 ). Denne regel har til formål at undgå, at de beskyttelsesstandarder, der følger af EU-retten, kan omgås ved at overføre personoplysninger med henblik på behandling til et tredjeland ( 45 ). Hvad angår dette formål er det uden betydning, om overførslen er baseret på en afgørelse om tilstrækkeligheden af beskyttelsesniveauet eller på de garantier, som den dataansvarlige giver, bl.a. ved hjælp af kontraktbestemmelser. Der sondres ikke mellem de krav til beskyttelse af de grundlæggende rettigheder, der er sikret ved chartret, afhængigt af, hvilket retsgrundlag en bestemt overførsel er baseret på ( 46 ).

118. Den måde, hvorpå opretholdelsen af et højt beskyttelsesniveau sikres, er til gengæld forskellig afhængigt af, hvilket retsgrundlag der ligger til grund for overførslen.

119. For det første har en afgørelse om tilstrækkeligheden af beskyttelsesniveauet til formål at fastslå, at det pågældende tredjeland selv sikrer et beskyttelsesniveau, der i det væsentlige svarer til det niveau, der skal være nået i Unionen. Vedtagelsen af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet forudsætter, at Kommissionen i forhold til et bestemt tredjeland på forhånd foretage