ΠΡΟΤΑΣΕΙΣ ΤΟΥ ΓΕΝΙΚΟΥ ΕΙΣΑΓΓΕΛΕΑ

HENRIK SAUGMANDSGAARD ØE

της 19ης Δεκεμβρίου 2019 ( 1 )

Υπόθεση C-311/18

Data Protection Commissioner

κατά

Facebook Ireland Limited,

Maximillian Schrems,

παρισταμένων των:

The United States of America,

Electronic Privacy Information Centre,

BSA Business Software Alliance, Inc.,

Digitaleurope

[αίτηση του High Court (ανωτέρου δικαστηρίου, Ιρλανδία)

για την έκδοση προδικαστικής αποφάσεως]

«Προδικαστική παραπομπή – Προστασία φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Άρθρο 2, παράγραφος 2 – Πεδίο εφαρμογής – Διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τις Ηνωμένες Πολιτείες της Αμερικής για εμπορικούς σκοπούς – Επεξεργασία των διαβιβαζόμενων δεδομένων από τις δημόσιες αρχές των Ηνωμένων Πολιτειών της Αμερικής για σκοπούς εθνικής ασφάλειας – Άρθρο 45 – Εκτίμηση της επάρκειας του επιπέδου προστασίας που διασφαλίζεται σε τρίτη χώρα – Άρθρο 46 – Παροχή κατάλληλων εγγυήσεων από τον υπεύθυνο επεξεργασίας – Τυποποιημένες ρήτρες προστασίας – Άρθρο 58, παράγραφος 2 – Εξουσίες των αρχών ελέγχου – Απόφαση 2010/87/ΕΕ – Κύρος – Εκτελεστική απόφαση (ΕΕ) 2016/1250 – “Ασπίδα Προστασίας της Ιδιωτικής Ζωής ΕΕ-ΗΠΑ” – Κύρος – Άρθρα 7, 8 και 47 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης»

Περιεχόμενα

I. Εισαγωγή II. Το νομοθετικό πλαίσιο Α. Η οδηγία 95/46 Β. Ο ΓΚΠΔ Γ. Η απόφαση 2010/87 Δ. Η απόφαση για την «Ασπίδα Προστασίας Ιδιωτικής Ζωής» III. Η διαφορά της κύριας δίκης, τα προδικαστικά ερωτήματα και η διαδικασία ενώπιον του Δικαστηρίου IV. Ανάλυση Α. Προκαταρκτικές παρατηρήσεις Β. Επί του παραδεκτού της προδικαστικής παραπομπής 1. Επί της εφαρμογής ratione temporis της οδηγίας 95/46 2. Επί του προσωρινού χαρακτήρα των αμφιβολιών που διατύπωσε ο ΕΠΔ 3. Επί των αμφιβολιών σχετικά με τον καθορισμό του πραγματικού πλαισίου Γ. Επί της εφαρμογής του δικαίου της Ένωσης στις διαβιβάσεις δεδομένων προσωπικού χαρακτήρα για εμπορικούς σκοπούς προς τρίτο κράτος το οποία ενδέχεται να τα επεξεργαστεί για σκοπούς εθνικής ασφάλειας (πρώτο ερώτημα) Δ. Επί του απαιτούμενου επιπέδου προστασίας στο πλαίσιο διαβιβάσεως που θεμελιώνεται σε τυποποιημένες συμβατικές ρήτρες (πρώτο σκέλος του έκτου ερωτήματος) Ε. Επί του κύρους της αποφάσεως 2010/87 υπό το πρίσμα των άρθρων 7, 8 και 47 του Χάρτη (έβδομο, όγδοο και ενδέκατο ερώτημα) 1. Επί των υποχρεώσεων που υπέχουν οι υπεύθυνοι επεξεργασίας 2. Επί των υποχρεώσεων που υπέχουν οι αρχές ελέγχου ΣΤ. Επί της διαπιστώσεως ότι δεν είναι αναγκαία η απάντηση στα λοιπά προδικαστικά ερωτήματα και η εξέταση του κύρους της αποφάσεως για την «Ασπίδα Προστασίας Ιδιωτικής Ζωής» 1. Επί της διαπιστώσεως ότι δεν είναι αναγκαία η απάντηση του Δικαστηρίου υπό το πρίσμα του αντικειμένου της διαφοράς της κύριας δίκης 2. Επί των λόγων για τους οποίους δεν είναι αναγκαία εξέταση από το Δικαστήριο της υπό κρίση υποθέσεως υπό το πρίσμα του αντικειμένου της εκκρεμούς ενώπιον του ΕΠΔ διαδικασίας Ζ. Επικουρικές παρατηρήσεις σχετικά με τις επιπτώσεις και το κύρος της αποφάσεως για την «Ασπίδα Προστασίας Ιδιωτικής Ζωής» 1. Επί των επιπτώσεων της αποφάσεως για την «Ασπίδα Προστασίας Ιδιωτικής Ζωής» στο πλαίσιο της εξετάσεως από αρχή ελέγχου καταγγελίας σχετικά με τη νομιμότητα διαβιβάσεως που θεμελιώνεται σε εγγυήσεις που έχουν συνομολογηθεί με σύμβαση 2. Επί του κύρους της αποφάσεως για την «Ασπίδα Προστασίας Ιδιωτικής Ζωής» α) Διευκρινίσεις ως προς το περιεχόμενο της εξετάσεως του κύρους της αποφάσεως επάρκειας 1) Επί των όρων της συγκρίσεως που καθιστούν δυνατή την αξιολόγηση της «ουσιαστικής ισοδυναμίας» του επιπέδου προστασίας 2) Επί της ανάγκης διασφαλίσεως ικανοποιητικού επιπέδου προστασίας κατά το στάδιο της διαμετακομίσεως δεδομένων 3) Επί της συνεκτιμήσεως των διαπιστώσεων ως προς τα πραγματικά περιστατικά στις οποίες προέβη η Επιτροπή και το αιτούν δικαστήριο σχετικά με το δίκαιο των Ηνωμένων Πολιτειών 4) Επί της εμβέλειας του προτύπου της «ουσιαστικής ισοδυναμίας» β) Επί του κύρους της αποφάσεως για την «Ασπίδα Προστασίας Ιδιωτικής Ζωής» υπό το πρίσμα των δικαιωμάτων σεβασμού της ιδιωτικής ζωής και προστασίας των δεδομένων προσωπικού χαρακτήρα 1) Επί της υπάρξεως επεμβάσεων 2) Επί του «προβλεπομένου από τον νόμο» χαρακτήρα των επεμβάσεων 3) Επί της μη προσβολής του βασικού περιεχομένου των θεμελιωδών δικαιωμάτων 4) Επί της επιδιώξεως θεμιτού σκοπού 5) Επί του αναγκαίου και αναλογικού χαρακτήρα των επεμβάσεων γ) Επί του κύρους της αποφάσεως για την «Ασπίδα Προστασίας Ιδιωτικής Ζωής» υπό το πρίσμα του δικαιώματος αποτελεσματικής προσφυγής 1) Επί της αποτελεσματικότητας των δικαστικών προσφυγών που προβλέπει το αμερικανικό δίκαιο 2) Επί των επιπτώσεων του μηχανισμού διαμεσολαβήσεως επί του επιπέδου προστασίας του δικαιώματος αποτελεσματικής προσφυγής V. Πρόταση

I. Εισαγωγή

1. Ελλείψει κοινών εγγυήσεων όσον αφορά την προστασία δεδομένων προσωπικού χαρακτήρα σε παγκόσμιο επίπεδο, οι διασυνοριακές ροές τέτοιων δεδομένων ενέχουν κίνδυνο διακοπής της συνέχειας του επιπέδου προστασίας που διασφαλίζεται εντός της Ευρωπαϊκής Ένωσης. Ο νομοθέτης της Ένωσης, επιδιώκοντας να διευκολύνει αυτές τις ροές περιορίζοντας ταυτοχρόνως τον ως άνω κίνδυνο, θέσπισε τρεις μηχανισμούς βάσει των οποίων δεδομένα προσωπικού χαρακτήρα μπορούν να διαβιβαστούν από την Ένωση προς τρίτο κράτος.

2. Πρώτον, τέτοια διαβίβαση μπορεί να πραγματοποιηθεί βάσει αποφάσεως με την οποία η Επιτροπή διαπιστώνει ότι διασφαλίζεται, στο αντίστοιχο κράτος μέλος, «επαρκές επίπεδο προστασίας» των προσωπικών δεδομένων που διαβιβάζονται σ’ αυτό ( 2 ). Δεύτερον, ελλείψει τέτοιας αποφάσεως, η διαβίβαση επιτρέπεται εφόσον συνοδεύεται από «κατάλληλες εγγυήσεις» ( 3 ). Οι εν λόγω εγγυήσεις μπορούν να λάβουν τη μορφή συμβάσεως μεταξύ του εξαγωγέα και του εισαγωγέα των δεδομένων, που να περιλαμβάνει τυποποιημένες ρήτρες προστασίας οι οποίες καταρτίζονται από την Επιτροπή. Τρίτον, ο ΓΚΠΔ προβλέπει ορισμένες παρεκκλίσεις, οι οποίες στηρίζονται ειδικότερα στη συγκατάθεση του υποκείμενου των δεδομένων και επιτρέπουν τη διαβίβαση προς τρίτη χώρα έστω και σε περίπτωση ελλείψεως αποφάσεως επάρκειας ή κατάλληλων εγγυήσεων ( 4 ).

3. Η αίτηση προδικαστικής αποφάσεως που υπέβαλε το High Court (ανώτερο δικαστήριο, Ιρλανδία) αφορά τον δεύτερο από τους μηχανισμούς αυτούς. Ειδικότερα, αφορά το κύρος της αποφάσεως 2010/87/ΕΕ ( 5 ), με την οποία η Επιτροπή όρισε τυποποιημένες συμβατικές ρήτρες για ορισμένες κατηγορίες διαβιβάσεων, υπό το πρίσμα των άρθρων 7, 8 και 47 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης (στο εξής: Χάρτης).

4. Η αίτηση αυτή υποβλήθηκε στο πλαίσιο ένδικης διαφοράς μεταξύ του Data Protection Commissioner (Επίτροπος Προστασίας Δεδομένων, Ιρλανδία, στο εξής: ΕΠΔ), της Facebook Ireland Ltd και του Maximillian Schrems. Ο Maximillian Schrems υπέβαλε καταγγελία στον ΕΠΔ σχετικά με τη διαβίβαση δεδομένων προσωπικού χαρακτήρα που τον αφορούσαν από τη Facebook Ireland στη μητρική της εταιρία Facebook Inc., η οποία είναι εγκατεστημένη στις Ηνωμένες Πολιτείες της Αμερικής (στο εξής: Ηνωμένες Πολιτείες).

5. Αναφέρω εκ προοιμίου ότι, κατά τη γνώμη μου, από την εξέταση των προδικαστικών ερωτημάτων δεν προέκυψε κανένα στοιχείο δυνάμενο να θίξει το κύρος της αποφάσεως 2010/87.

6. Εξάλλου, το αιτούν δικαστήριο εξέφρασε ορισμένες αμφιβολίες όσον αφορά, κατ’ ουσίαν, την επάρκεια του διασφαλιζόμενου από τις Ηνωμένες Πολιτείες επιπέδου προστασίας, λόγω των επεμβάσεων που συνεπάγονται οι δραστηριότητες των αμερικανικών Υπηρεσιών Πληροφοριών στην άσκηση των θεμελιωδών δικαιωμάτων των προσώπων των οποίων τα δεδομένα διαβιβάζονται προς την εν λόγω τρίτη χώρα. Οι αμφιβολίες αυτές θέτουν εμμέσως υπό αμφισβήτηση τις εκτιμήσεις τις οποίες η Επιτροπή διατύπωσε, επί του θέματος αυτού, στην εκτελεστική απόφαση (ΕΕ) 2016/1250 ( 6 ). Μολονότι δεν είναι απαραίτητο προς επίλυση της διαφοράς της κύριας δίκης να αποφανθεί το Δικαστήριο επί του συγκεκριμένου ζητήματος και, ως εκ τούτου, προτείνω να μην το εξετάσει, εντούτοις θα εκθέσω επικουρικώς τους λόγους για τους οποίους διατηρώ επιφυλάξεις ως προς το κύρος της προαναφερθείσας αποφάσεως.

7. Η ανάλυσή μου θα έχει ως γνώμονα την εξεύρεση ισορροπίας μεταξύ, αφενός, της ανάγκης να επιδειχθεί «λογικός ρεαλισμός προκειμένου να καταστεί δυνατή η επικοινωνία με τον υπόλοιπο κόσμο» ( 7 ), και, αφετέρου, της ανάγκης να διαφυλαχθούν οι θεμελιώδεις αξίες που κατοχυρώνονται, ιδίως μέσω του Χάρτη, τόσο στην έννομη τάξη της Ένωσης όσο και σε εκείνες των κρατών μελών της.

II. Το νομικό πλαίσιο

Α. Η οδηγία 95/46/ΕΚ

8. Το άρθρο 3, παράγραφος 2, της οδηγίας 95/46/ΕΚ, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών ( 8 ), όριζε τα εξής: «Οι διατάξεις της παρούσας οδηγίας δεν εφαρμόζονται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα: – η οποία πραγματοποιείται στο πλαίσιο δραστηριοτήτων που δεν εμπίπτουν στο πεδίο εφαρμογής του κοινοτικού δικαίου, όπως οι δραστηριότητες που προβλέπονται στις διατάξεις των τίτλων V και VI της συνθήκης για την Ευρωπαϊκή Ένωση και, εν πάση περιπτώσει, στην επεξεργασία δεδομένων που αφορά τη δημόσια ασφάλεια, την εθνική άμυνα, την ασφάλεια του κράτους (συμπεριλαμβανομένης και της οικονομικής ευημερίας του, εφόσον η επεξεργασία αυτή συνδέεται με θέματα ασφάλειας του κράτους) και τις δραστηριότητες του κράτους σε τομείς του ποινικού δικαίου, – […]».

9. Το άρθρο 13, παράγραφος 1, της ως άνω οδηγίας είχε ως εξής: «Τα κράτη μέλη μπορούν να περιορίζουν με νομοθετικά μέτρα την εμβέλεια των υποχρεώσεων και δικαιωμάτων που προβλέπονται από τις διατάξεις του άρθρου 6 παράγραφος 1, του άρθρου 10, του άρθρου 11 παράγραφος 1, και των άρθρων 12 και 21, όταν ο περιορισμός αυτός απαιτείται για τη διαφύλαξη: α) της ασφάλειας του κράτους· β) της άμυνας· γ) της δημόσιας ασφάλειας· δ) της πρόληψης, διερεύνησης, διαπίστωσης και δίωξης παραβάσεων του ποινικού νόμου ή της δεοντολογίας των νομοθετικά κατοχυρωμένων επαγγελμάτων· ε) σημαντικού οικονομικού ή χρηματοοικονομικού συμφέροντος κράτους μέλους ή της Ευρωπαϊκής Ένωσης, συμπεριλαμβανομένων των νομισματικών, δημοσιονομικών και φορολογικών θεμάτων· στ) αποστολής ελέγχου, επιθεώρησης ή ρυθμιστικών καθηκόντων που συνδέονται, έστω και ευκαιριακά, με την άσκηση δημόσιας εξουσίας στις περιπτώσεις που αναφέρονται στα στοιχεία γ), δ) και ε)· ζ) της προστασίας του προσώπου στο οποίο αναφέρονται τα δεδομένα ή των δικαιωμάτων και ελευθεριών άλλων προσώπων.»

10. Το άρθρο 25 της εν λόγω οδηγίας όριζε τα εξής: «1. Τα κράτη μέλη προβλέπουν ότι η διαβίβαση προς τρίτη χώρα δεδομένων προσωπικού χαρακτήρα, που έχουν υποστεί επεξεργασία ή πρόκειται να υποστούν επεξεργασία μετά τη διαβίβασή τους, επιτρέπεται μόνον εάν, τηρουμένων των εθνικών διατάξεων που θεσπίζονται σύμφωνα με τις λοιπές διατάξεις της παρούσας οδηγίας, η εν λόγω τρίτη χώρα εξασφαλίζει ικανοποιητικό επίπεδο προστασίας. 2. Η επάρκεια της προστασίας που παρέχεται από τρίτη χώρα σταθμίζεται λαμβανομένων υπόψη όλων των περιστάσεων που επηρεάζουν μια διαβίβαση ή κατηγορία διαβιβάσεων δεδομένων· ειδικότερα, εξετάζονται η φύση των δεδομένων, οι σκοποί και η διάρκειά της ή των προβλεπομένων επεξεργασιών, η χώρα προέλευσης και τελικού προορισμού, οι γενικοί ή τομεακοί κανόνες δικαίου, οι επαγγελματικοί κανόνες και τα μέτρα ασφαλείας που ισχύουν στην εν λόγω τρίτη χώρα. […] 6. Η Επιτροπή μπορεί να αποφανθεί, με τη διαδικασία που αναφέρεται στο άρθρο 31 παράγραφος 2, ότι μια τρίτη χώρα εξασφαλίζει ικανοποιητικό επίπεδο προστασίας κατά την έννοια της παραγράφου 2 του παρόντος άρθρου, λόγω της εσωτερικής της νομοθεσίας ή των διεθνών δεσμεύσεων που έχει αναλάβει, ιδίως κατόπιν των διαπραγματεύσεων που αναφέρονται στην παράγραφο 5, ώστε να εξασφαλίζει την προστασία της ιδιωτικής ζωής και των θεμελιωδών ελευθεριών και δικαιωμάτων των προσώπων. Τα κράτη μέλη λαμβάνουν τα αναγκαία μέτρα προκειμένου να συμμορφωθούν με την απόφαση της Επιτροπής.»

11. Το άρθρο 26, παράγραφοι 2 και 4, της ίδιας οδηγίας προέβλεπε τα εξής: «2. Με την επιφύλαξη της παραγράφου 1, ένα κράτος μέλος μπορεί να επιτρέπε[ι] μία ή πλείονες διαβιβάσεις δεδομένων προσωπικού χαρακτήρα προς τρίτη χώρα η οποία δεν εξασφαλίζει ικανοποιητικό επίπεδο προστασίας κατά την έννοια του άρθρου 25 παράγραφος 2 εφόσον ο υπεύθυνος της επεξεργασίας παρέχει επαρκείς εγγυήσεις για την προστασία της ιδιωτικής ζωής και των θεμελιωδών δικαιωμάτων και ελευθεριών των προσώπων καθώς και την άσκηση των σχετικών δικαιωμάτων· οι εγγυήσεις μπορούν ιδίως να απορρέουν από κατάλληλες συμβατικές ρήτρες. […] 4. Εάν η Επιτροπή αποφανθεί […] ότι ορισμένες τυποποιημένες συμβατικές ρήτρες παρέχουν τις επαρκείς εγγυήσεις που αναφέρονται στην παράγραφο 2, τα κράτη μέλη λαμβάνουν τα αναγκαία μέτρα για να συμμορφωθούν προς την απόφαση της Επιτροπής.»

12. Το άρθρο 28, παράγραφος 3, της οδηγίας 95/46 είχε ως εξής: «Κάθε αρχή ελέγχου διαθέτει συγκεκριμένα: […] – αποτελεσματικές εξουσίες παρέμβασης, όπως για παράδειγμα την εξουσία να διατυπώνει γνώμες πριν από την εκτέλεση των επεξεργασιών, σύμφωνα με το άρθρο 20, και να διασφαλίζει την κατάλληλη δημοσιότητα των γνωμών αυτών, την εξουσία να επιτάσσει τη δέσμευση, διαγραφή ή την καταστροφή δεδομένων, να απαγορεύει επίσης προσωρινά ή οριστικά την επεξεργασία, να απευθύνει προειδοποίηση ή επίπληξη προς τον υπεύθυνο για την επεξεργασία ή να προσφεύγει στα εθνικά κοινοβούλια ή άλλα εθνικά πολιτικά όργανα, […]».

Β. Ο ΓΚΠΔ

13. Όπως ορίζεται στο άρθρο 94, παράγραφος 1, του ΓΚΠΔ, ο κανονισμός αυτός κατήργησε την οδηγία 95/46 από τις 25 Μαΐου 2018, ημερομηνία κατά την οποία τέθηκε σε ισχύ ο ίδιος σύμφωνα με το άρθρο του 99, παράγραφος 1.

14. Το άρθρο 2, παράγραφος 2, του εν λόγω κανονισμού προβλέπει τα εξής: «Ο παρών κανονισμός δεν εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα: α) στο πλαίσιο δραστηριότητας η οποία δεν εμπίπτει στο πεδίο εφαρμογής του δικαίου της Ένωσης, β) από τα κράτη μέλη κατά την άσκηση δραστηριοτήτων που εμπίπτουν στο πεδίο εφαρμογής του κεφαλαίου 2 του τίτλου V της ΣΕΕ, […] δ) από αρμόδιες αρχές για τους σκοπούς της πρόληψης, της διερεύνησης, της ανίχνευσης ή της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων, συμπεριλαμβανομένης της προστασίας και πρόληψης έναντι κινδύνων που απειλούν τη δημόσια ασφάλεια.»

15. Το άρθρο 4, σημείο 2, του ίδιου κανονισμού ορίζει ως «επεξεργασία»«κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή».

16. Το άρθρο 23 του ΓΚΠΔ προβλέπει τα εξής: «1. Το δίκαιο της Ένωσης ή του κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία των δεδομένων μπορεί να περιορίζει μέσω νομοθετικού μέτρου το πεδίο εφαρμογής των υποχρεώσεων και των δικαιωμάτων που προβλέπονται στα άρθρα 12 έως 22 και στο άρθρο 34, καθώς και στο άρθρο 5, εφόσον οι διατάξεις του αντιστοιχούν στα δικαιώματα και τις υποχρεώσεις που προβλέπονται στα άρθρα 12 έως 22, όταν ένας τέτοιος περιορισμός σέβεται την ουσία των θεμελιωδών δικαιωμάτων και ελευθεριών και συνιστά αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία για τη διασφάλιση: α) της ασφάλειας του κράτους, β) της εθνικής άμυνας, γ) της δημόσιας ασφάλειας, δ) της πρόληψης, της διερεύνησης, της ανίχνευσης ή της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων, περιλαμβανομένης της προστασίας από απειλές κατά της δημόσιας ασφάλειας και της πρόληψης αυτών, ε) άλλων σημαντικών στόχων γενικού δημόσιου συμφέροντος της Ένωσης ή κράτους μέλους, ιδίως σημαντικού οικονομικού ή χρηματοοικονομικού συμφέροντος της Ένωσης ή κράτους μέλους […], […] 2. Ειδικότερα, κάθε νομοθετικό μέτρο το οποίο αναφέρεται στην παράγραφο 1 περιέχει συγκεκριμένες διατάξεις τουλάχιστον, ανάλογα με την περίπτωση, όσον αφορά: α) τους σκοπούς της επεξεργασίας ή τις κατηγορίες επεξεργασίας, β) τις κατηγορίες δεδομένων προσωπικού χαρακτήρα, γ) το πεδίο εφαρμογής των περιορισμών που επιβλήθηκαν, δ) τις εγγυήσεις για την πρόληψη καταχρήσεων ή παράνομης πρόσβασης ή διαβίβασης, ε) την ειδική περιγραφή του υπευθύνου επεξεργασίας ή των κατηγοριών των υπευθύνων επεξεργασίας, στ) τις περιόδους αποθήκευσης και τις ισχύουσες εγγυήσεις, λαμβάνοντας υπόψη τη φύση, το πεδίο εφαρμογής και τους σκοπούς της επεξεργασίας ή τις κατηγορίες επεξεργασίας, ζ) τους κινδύνους για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων και η) το δικαίωμα των υποκειμένων των δεδομένων να ενημερώνονται σχετικά με τον περιορισμό, εκτός εάν αυτό μπορεί να αποβεί επιζήμιο για τους σκοπούς του περιορισμού.»

17. Το άρθρο 44 του κανονισμού αυτού, το οποίο επιγράφεται «Γενικές αρχές για διαβιβάσεις», ορίζει τα εξής: «Κάθε διαβίβαση δεδομένων προσωπικού χαρακτήρα τα οποία υποβάλλονται σε επεξεργασία ή προορίζονται να υποβληθούν σε επεξεργασία μετά από τη διαβίβασή τους σε τρίτη χώρα ή διεθνή οργανισμό πραγματοποιείται μόνο εάν, με την επιφύλαξη των λοιπών διατάξεων του παρόντος κανονισμού, οι προϋποθέσεις που θεσπίζονται στο παρόν κεφάλαιο τηρούνται από τον υπεύθυνο επεξεργασίας και τον εκτελούντα την επεξεργασία, μεταξύ άλλων για περαιτέρω διαβιβάσεις δεδομένων προσωπικού χαρακτήρα από την τρίτη χώρα ή τον διεθνή οργανισμό σε άλλη τρίτη χώρα ή άλλο διεθνή οργανισμό. Όλες οι διατάξεις του παρόντος κεφαλαίου εφαρμόζονται με σκοπό να διασφαλίζεται ότι το επίπεδο προστασίας των φυσικών προσώπων που εγγυάται ο παρών κανονισμός δεν υπονομεύεται.»

18. Κατά το άρθρο 45 του εν λόγω κανονισμού, το οποίο τιτλοφορείται «Διαβιβάσεις βάσει απόφασης επάρκειας»: «1. Η διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τρίτη χώρα ή διεθνή οργανισμό μπορεί να πραγματοποιηθεί εφόσον η Επιτροπή έχει αποφασίσει ότι διασφαλίζεται επαρκές επίπεδο προστασίας από την τρίτη χώρα, από έδαφος ή από έναν ή περισσότερους συγκεκριμένους τομείς στην εν λόγω τρίτη χώρα ή από τον εν λόγω διεθνή οργανισμό. Για μια τέτοια διαβίβαση δεν απαιτείται ειδική άδεια. 2. Κατά την εκτίμηση της επάρκειας του επιπέδου προστασίας, η Επιτροπή λαμβάνει υπόψη, ιδίως, τα ακόλουθα στοιχεία: α) το κράτος δικαίου, τον σεβασμό των ανθρώπινων δικαιωμάτων και των θεμελιωδών ελευθεριών, τη σχετική νομοθεσία, τόσο τη γενική όσο και την τομεακή, μεταξύ άλλων όσον αφορά τη δημόσια ασφάλεια, την άμυνα, την εθνική ασφάλεια και το ποινικό δίκαιο και την πρόσβαση των δημοσίων αρχών σε δεδομένα προσωπικού χαρακτήρα, καθώς και την εφαρμογή αυτής της νομοθεσίας, τους κανόνες περί προστασίας δεδομένων, τους επαγγελματικούς κανόνες και τα μέτρα ασφάλειας, περιλαμβανομένων των κανόνων για τις περαιτέρω διαβιβάσεις δεδομένων προσωπικού χαρακτήρα σε άλλη χώρα ή διεθνή οργανισμό που τηρούνται στη συγκεκριμένη τρίτη χώρα ή τον διεθνή οργανισμό, νομολογία, καθώς και ουσιαστικά και εκτελεστά δικαιώματα υποκειμένων των δεδομένων και αποτελεσματικά διοικητικά και δικαστικά μέσα προσφυγής για τα υποκείμενα των δεδομένων των οποίων τα δεδομένα προσωπικού χαρακτήρα διαβιβάζονται, β) την ύπαρξη και την αποτελεσματική λειτουργία μίας ή περισσότερων ανεξάρτητων εποπτικών αρχών οι οποίες βρίσκονται στην εν λόγω τρίτη χώρα ή στις οποίες υπόκειται ένας διεθνής οργανισμός, υπεύθυνων να διασφαλίζουν και να επιβάλουν τη συμμόρφωση προς τους κανόνες προστασίας δεδομένων, συμπεριλαμβανομένων επαρκών εξουσιών επιβολής, να συνδράμουν και να συμβουλεύουν τα υποκείμενα των δεδομένων κατά την άσκηση των δικαιωμάτων τους και να συνεργάζονται με τις εποπτικές αρχές των κρατών μελών, και γ) τις διεθνείς δεσμεύσεις που έχει αναλάβει η εν λόγω τρίτη χώρα ή ο διεθνής οργανισμός ή άλλες υποχρεώσεις οι οποίες απορρέουν από νομικά δεσμευτικές συμβάσεις ή πράξεις και από τη συμμετοχή τους σε πολυμερή ή περιφερειακά συστήματα, ιδίως όσον αφορά την προστασία δεδομένων προσωπικού χαρακτήρα. 3. Η Επιτροπή, αφού εκτιμήσει την επάρκεια του επιπέδου προστασίας, μπορεί να αποφασίσει, μέσω εκτελεστικής πράξης, ότι εξασφαλίζεται επαρκές επίπεδο προστασίας κατά την έννοια της παραγράφου 2 του παρόντος άρθρου από τρίτη χώρα ή έδαφος ή έναν ή περισσότερους συγκεκριμένους τομείς σε τρίτη χώρα ή από διεθνή οργανισμό. Η εκτελεστική πράξη προβλέπει μηχανισμό περιοδικής επανεξέτασης, τουλάχιστον ανά τετραετία, στην οποία συνεκτιμώνται όλες οι σχετικές εξελίξεις στην τρίτη χώρα ή τον διεθνή οργανισμό. […] 4. Η Επιτροπή παρακολουθεί σε συνεχή βάση εξελίξεις σε τρίτες χώρες και διεθνείς οργανισμούς που θα μπορούσαν να επηρεάσουν τη λειτουργία αποφάσεων που εκδίδονται σύμφωνα με την παράγραφο 3 του παρόντος άρθρου και αποφάσεων που εκδίδονται βάσει του άρθρου 25 παράγραφος 6 της [οδηγίας 95/46]. 5. Η Επιτροπή, όταν οι υπάρχουσες πληροφορίες αποκαλύπτουν, κυρίως κατόπιν της επανεξέτασης που αναφέρεται στην παράγραφο 3 του παρόντος άρθρου, ότι μια τρίτη χώρα, έδαφος ή συγκεκριμένος τομέας σε τρίτη χώρα ή διεθνής οργανισμός δεν διασφαλίζει πλέον επαρκές επίπεδο προστασίας κατά την έννοια της παραγράφου 2 του παρόντος άρθρου, καταργεί, τροποποιεί ή αναστέλλει, στον βαθμό που είναι αναγκαίο, την απόφαση της παραγράφου 3 του παρόντος άρθρου μέσω εκτελεστικών πράξεων χωρίς αναδρομική ισχύ. […] 6. Η Επιτροπή ξεκινά διαβουλεύσεις με την τρίτη χώρα ή τον διεθνή οργανισμό με σκοπό την επανόρθωση της κατάστασης απόρροια της οποίας είναι η απόφαση που έχει ληφθεί δυνάμει της παραγράφου 5. […] 9. Οι αποφάσεις που εκδίδονται από την Επιτροπή βάσει του άρθρου 25 παράγραφος 6 της [οδηγίας 95/46] παραμένουν σε ισχύ έως ότου τροποποιηθούν, αντικατασταθούν ή καταργηθούν με απόφαση της Επιτροπής εκδοθείσα σύμφωνα με την παράγραφο 3 ή 5 του παρόντος άρθρου.»

19. Το άρθρο 46 του ίδιου κανονισμού, το οποίο φέρει τον τίτλο «Διαβιβάσεις που υπόκεινται σε κατάλληλες εγγυήσεις», έχει ως εξής: «1. Ελλείψει απόφασης δυνάμει του άρθρου 45 παράγραφος 3, ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία μπορεί να διαβιβάσει δεδομένα προσωπικού χαρακτήρα σε τρίτη χώρα ή διεθνή οργανισμό μόνο εάν ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία έχει παράσχει κατάλληλες εγγυήσεις και υπό την προϋπόθεση ότι υφίστανται εκτελεστά δικαιώματα και αποτελεσματικά ένδικα μέσα για τα υποκείμενα των δεδομένων. 2. Οι κατάλληλες εγγυήσεις που αναφέρονται στην παράγραφο 1 μπορούν να προβλέπονται, χωρίς να απαιτείται ειδική άδεια εποπτικής αρχής, μέσω: […] γ) τυποποιημένων ρητρών προστασίας δεδομένων που εκδίδονται από την Επιτροπή σύμφωνα με τη διαδικασία εξέτασης που προβλέπεται στο άρθρο 93 παράγραφος 2, […] 5. Οι άδειες από κράτος μέλος ή εποπτική αρχή βάσει του άρθρου 26 παράγραφος 2 της [οδηγίας 95/46] παραμένουν σε ισχύ έως ότου τροποποιηθούν, αντικατασταθούν ή καταργηθούν, εάν απαιτείται, από την εν λόγω εποπτική αρχή. Οι αποφάσεις που εκδίδονται από την Επιτροπή βάσει του άρθρου 26 παράγραφος 4 της [οδηγίας 95/46] παραμένουν σε ισχύ έως ότου τροποποιηθούν, αντικατασταθούν ή καταργηθούν, εάν απαιτείται, με απόφαση της Επιτροπής εκδοθείσα σύμφωνα με την παράγραφο 2 του παρόντος άρθρου.»

20. Κατά το άρθρο 58, παράγραφοι 2, 4 και 5, του ΓΚΠΔ: «2. Κάθε αρχή ελέγχου διαθέτει όλες τις ακόλουθες διορθωτικές εξουσίες: α) να απευθύνει προειδοποιήσεις στον υπεύθυνο επεξεργασίας ή στον εκτελούντα την επεξεργασία ότι σκοπούμενες πράξεις επεξεργασίας είναι πιθανόν να παραβαίνουν διατάξεις του παρόντος κανονισμού, β) να απευθύνει επιπλήξεις στον υπεύθυνο επεξεργασίας ή στον εκτελούντα την επεξεργασία όταν πράξεις επεξεργασίας έχουν παραβεί διατάξεις του παρόντος κανονισμού, γ) να δίνει εντολή στον υπεύθυνο επεξεργασίας ή στον εκτελούντα την επεξεργασία να συμμορφώνεται προς τα αιτήματα του υποκειμένου των δεδομένων για την άσκηση των δικαιωμάτων του σύμφωνα με τον παρόντα κανονισμό, δ) να δίνει εντολή στον υπεύθυνο επεξεργασίας ή στον εκτελούντα την επεξεργασία να καθιστούν τις πράξεις επεξεργασίας σύμφωνες με τις διατάξεις του παρόντος κανονισμού, εάν χρειάζεται, με συγκεκριμένο τρόπο και εντός ορισμένης προθεσμίας, ε) να δίνει εντολή στον υπεύθυνο επεξεργασίας να ανακοινώνει την παραβίαση δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων, στ) να επιβάλλει προσωρινό ή οριστικό περιορισμό, περιλαμβανομένης της απαγόρευσης της επεξεργασίας, […] θ) να επιβάλλει διοικητικό πρόστιμο δυνάμει του άρθρου 83, επιπλέον ή αντί των μέτρων που αναφέρονται στην παρούσα παράγραφο, ανάλογα με τις περιστάσεις κάθε μεμονωμένης περίπτωσης, ι) να δίνει εντολή για αναστολή της κυκλοφορίας δεδομένων σε αποδέκτη σε τρίτη χώρα ή σε διεθνή οργανισμό. […] 4. Η άσκηση εκ μέρους εποπτικής αρχής των εξουσιών της δυνάμει του παρόντος άρθρου υπόκειται στις δέουσες εγγυήσεις, περιλαμβανομένης της άσκησης πραγματικής δικαστικής προσφυγής και της τήρησης της προσήκουσας διαδικασίας, όπως προβλέπονται στο δίκαιο της Ένωσης και το δίκαιο των κρατών μελών σύμφωνα με τον Χάρτη. 5. Κάθε κράτος μέλος προβλέπει διά νόμου ότι η οικεία εποπτική αρχή έχει την εξουσία να γνωστοποιεί στις δικαστικές αρχές τις παραβιάσεις του παρόντος κανονισμού και, κατά περίπτωση, να κινεί ή να μετέχει κατ' άλλο τρόπο σε νομικές διαδικασίες, ώστε να επιβάλει τις διατάξεις του παρόντος κανονισμού.»

Γ. Η απόφαση 2010/87

21. Η Επιτροπή εξέδωσε, βάσει του άρθρου 26, παράγραφος 4, της οδηγίας 95/46, τρεις αποφάσεις με τις οποίες διαπίστωσε ότι οι τυποποιημένες συμβατικές ρήτρες που περιέχονται στις τρεις αυτές αποφάσεις παρέχουν επαρκείς εγγυήσεις όσον αφορά την προστασία της ιδιωτικής ζωής και των θεμελιωδών δικαιωμάτων και ελευθεριών των προσώπων, καθώς και ως προς την άσκηση των αντίστοιχων δικαιωμάτων (στο εξής: αποφάσεις ΤΣΡ) ( 9 ).

22. Μεταξύ αυτών περιλαμβάνεται η απόφαση 2010/87, το άρθρο 1 της οποίας ορίζει ότι «[ο]ι τυποποιημένες συμβατικές ρήτρες που περιλαμβάνονται στο παράρτημα θεωρείται ότι παρέχουν επαρκείς εγγυήσεις για την προστασία της ιδιωτικής ζωής και των θεμελιωδών δικαιωμάτων και ελευθεριών των προσώπων, καθώς και για την άσκηση των σχετικών δικαιωμάτων, όπως επιβάλλει το άρθρο 26 παράγραφος 2 της [οδηγίας 95/46]».

23. Κατά το άρθρο 3 της αποφάσεως αυτής: «Για τους σκοπούς της παρούσας απόφασης, ισχύουν οι ακόλουθοι ορισμοί: […] γ) ως “εξαγωγέας δεδομένων” νοείται ο υπεύθυνος επεξεργασίας ο οποίος διαβιβάζει τα δεδομένα προσωπικού χαρακτήρα· δ) ως “εισαγωγέας δεδομένων” νοείται ο εκτελών επεξεργασία που είναι εγκατεστημένος σε τρίτη χώρα και ο οποίος συμφωνεί να παραλάβει από τον εξαγωγέα δεδομένων δεδομένα προσωπικού χαρακτήρα που προορίζονται, μετά τη διαβίβαση, για επεξεργασία για λογαριασμό του εξαγωγέα, σύμφωνα με τις οδηγίες του και σύμφωνα με τους όρους της παρούσας απόφασης, και ο οποίος δεν υπόκειται σε μηχανισμό τρίτης χώρας που διασφαλίζει ικανοποιητική προστασία, κατά την έννοια του άρθρου 25 παράγραφος 1 της [οδηγίας 95/46]· […] στ) ως “εφαρμοστέο δίκαιο περί προστασίας των δεδομένων” νοείται η νομοθεσία που προστατεύει τα θεμελιώδη δικαιώματα και ελευθερίες των ατόμων, και ιδίως το δικαίωμα προστασίας της ιδιωτικής τους ζωής από την επεξεργασία δεδομένων προσωπικού χαρακτήρα, η οποία εφαρμόζεται σε υπεύθυνο επεξεργασίας δεδομένων στο κράτος μέλος στο οποίο είναι εγκατεστημένος ο εξαγωγέας δεδομένων· […]».

24. Όπως ίσχυε αρχικώς, το άρθρο 4 της εν λόγω αποφάσεως προέβλεπε, στην παράγραφο 1, τα εξής: «Με την επιφύλαξη των εξουσιών τους να λαμβάνουν μέτρα προκειμένου να εξασφαλίζουν την τήρηση των εθνικών διατάξεων που εκδίδονται σύμφωνα με τα κεφάλαια II, III, V και VI της [οδηγίας 95/46], οι αρμόδιες αρχές των κρατών μελών μπορούν να ασκούν τις υφιστάμενες εξουσίες τους για να απαγορεύουν ή να αναστέλλουν τη ροή δεδομένων προς τρίτες χώρες προκειμένου να προστατεύουν τα φυσικά πρόσωπα από την επεξεργασία δεδομένων προσωπικού χαρακτήρα που τα αφορούν στις περιπτώσεις κατά τις οποίες: α) τεκμηριώνεται ότι η νομοθεσία στην οποία υπόκειται ο εισαγωγέας δεδομένων ή ο υπεργολάβος επεξεργασίας τον υποχρεώνει να παρεκκλίνει από το εφαρμοστέο δίκαιο περί προστασίας των δεδομένων πέραν των αναγκαίων σε μια δημοκρατική κοινωνία ορίων, όπως ορίζεται στο άρθρο 13 της [οδηγίας 95/46], στην περίπτωση που η υποχρέωση αυτή ενδέχεται να έχει σημαντικές αρνητικές επιπτώσεις στις εγγυήσεις που παρέχονται από το εφαρμοστέο δίκαιο περί προστασίας των δεδομένων και τις τυποποιημένες συμβατικές ρήτρες· β) αρμόδια αρχή απέδειξε ότι ο εισαγωγέας δεδομένων ή ο υπεργολάβος επεξεργασίας δεν τήρησε τις τυποποιημένες συμβατικές ρήτρες του παραρτήματος· ή γ) υπάρχει σοβαρή πιθανότητα ότι οι τυποποιημένες συμβατικές ρήτρες του παραρτήματος δεν τηρούνται ή δεν θα τηρηθούν και ότι η συνέχιση της διαβίβασης δημιουργεί άμεσο κίνδυνο πρόκλησης σοβαρής ζημίας στα πρόσωπα στα οποία αναφέρονται τα δεδομένα.»

25. Όπως ισχύει σήμερα, μετά την τροποποίηση της αποφάσεως 2010/87 με την εκτελεστική απόφαση (ΕΕ) 2016/2297 ( 10 ), το άρθρο 4 της αποφάσεως 2010/87 ορίζει ότι, «[ό]ταν αρμόδια αρχή κράτους μέλους ασκεί τις εξουσίες της βάσει του άρθρου 28 παράγραφος 3 της [οδηγίας 95/46] για να αναστείλει ή να απαγορεύσει οριστικά ροή δεδομένων προς τρίτη χώρα προς τον σκοπό της προστασίας φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα που τα αφορούν, το οικείο κράτος μέλος ενημερώνει, χωρίς καθυστέρηση, την Επιτροπή, η οποία διαβιβάζει τις σχετικές πληροφορίες στα λοιπά κράτη μέλη».

26. Το παράρτημα της αποφάσεως 2010/87 περιέχει μια δέσμη τυποποιημένων συμβατικών ρητρών. Ειδικότερα, η ρήτρα 3 του παραρτήματος αυτού προβλέπει, υπό τον τίτλο «Ρήτρα δικαιούχου τρίτου», τα εξής: «1. Το πρόσωπο στο οποίο αναφέρονται τα δεδομένα μπορεί να επικαλεσθεί ως τρίτος δικαιούχος έναντι του εξαγωγέα δεδομένων την παρούσα ρήτρα, καθώς και τη ρήτρα 4 στοιχεία β) ως θ), τη ρήτρα 5 στοιχεία α) ως ε), και ζ) ως ι), τη ρήτρα 6 παράγραφοι 1 και 2, τη ρήτρα 7, τη ρήτρα 8 παράγραφος 2 και τις ρήτρες 9 έως 12. 2. Το άτομο στο οποίο αναφέρονται τα δεδομένα μπορεί να επικαλεσθεί έναντι του εισαγωγέα δεδομένων την παρούσα ρήτρα, καθώς και τη ρήτρα 5 στοιχεία α) ως ε) και ζ), τη ρήτρα 6, τη ρήτρα 7, τη ρήτρα 8 παράγραφος 2, και τις ρήτρες 9 έως 12, στις περιπτώσεις που ο εξαγωγέας δεδομένων έπαυσε να υφίσταται από πραγματική ή νομική άποψη, εκτός εάν το σύνολο των νομικών υποχρεώσεών του εκχωρήθηκε, βάσει σύμβασης ή βάσει νόμου, σε διάδοχο οντότητα, η οποία συνεπώς αναλαμβάνει τα δικαιώματα και τις υποχρεώσεις του εξαγωγέα δεδομένων, και έναντι του οποίου το πρόσωπο στο οποίο αναφέρονται τα δεδομένα μπορεί να επικαλεσθεί τις εν λόγω ρήτρες. […]»

27. Η ρήτρα 4 του ως άνω παραρτήματος, με τίτλο «Υποχρεώσεις του εξαγωγέα δεδομένων», ορίζει τα εξής: «Ο εξαγωγέας δεδομένων συμφωνεί και εγγυάται: α) ότι η επεξεργασία, περιλαμβανομένης και της διαβίβασης δεδομένων προσωπικού χαρακτήρα, έχει πραγματοποιηθεί και θα συνεχίσει να πραγματοποιείται σύμφωνα με τις σχετικές διατάξεις του εφαρμοστέου δικαίου περί προστασίας των δεδομένων (και, όπου συντρέχει περίπτωση, έχει κοινοποιηθεί στις αρμόδιες αρχές του κράτους μέλους στο οποίο είναι εγκατεστημένος ο εξαγωγέας δεδομένων) και δεν παραβιάζει τις σχετικές διατάξεις του εν λόγω κράτους· β) ότι έχει υποδείξει και θα υποδεικνύει καθ’ όλη τη διάρκεια των υπηρεσιών επεξεργασίας δεδομένων προσωπικού χαρακτήρα στον εισαγωγέα δεδομένων να επεξεργάζεται τα διαβιβαζόμενα δεδομένα προσωπικού χαρακτήρα αποκλειστικά για λογαριασμό του εξαγωγέα δεδομένων και σύμφωνα με το εφαρμοστέο δίκαιο περί προστασίας των δεδομένων και σύμφωνα με τις ρήτρες· γ) ότι ο εισαγωγέας δεδομένων θα παρέχει επαρκείς εγγυήσεις όσον αφορά τα τεχνικά και οργανωτικά μέτρα ασφαλείας που καθορίζονται στο προσάρτημα 2 της παρούσας σύμβασης· δ) ότι, μετά την αξιολόγηση των απαιτήσεων του εφαρμοστέου δικαίου περί προστασίας των δεδομένων, τα μέτρα ασφαλείας είναι επαρκή για την προστασία των δεδομένων προσωπικού χαρακτήρα από την τυχαία ή παράνομη καταστροφή, την τυχαία απώλεια, την αλλοίωση, τη μη εξουσιοδοτημένη κοινοποίηση ή πρόσβαση, ιδίως όταν η επεξεργασία συνεπάγεται τη διαβίβαση δεδομένων μέσω δικτύου, καθώς και από κάθε άλλη παράνομη μορφή επεξεργασίας, και ότι τα μέτρα αυτά διασφαλίζουν κατάλληλο επίπεδο ασφάλειας σε σχέση με τους κινδύνους που συνεπάγεται η επεξεργασία και η φύση των προς προστασία δεδομένων, λαμβανομένου υπόψη του τεχνολογικού επιπέδου και του κόστους εφαρμογής τους· ε) ότι θα διασφαλίσει την τήρηση των μέτρων ασφαλείας· στ) ότι, εάν η διαβίβαση αφορά ειδικές κατηγορίες δεδομένων, το πρόσωπο στο οποίο αναφέρονται τα δεδομένα έχει ενημερωθεί ή θα ενημερωθεί πριν από τη διαβίβαση ή το συντομότερο δυνατό ύστερα απ’ αυτήν ότι τα δεδομένα που το αφορούν ενδέχεται να διαβιβαστούν σε τρίτη χώρα που δεν παρέχει ικανοποιητική προστασία κατά την έννοια της [οδηγίας 95/46]· ζ) ότι θα διαβιβάζει κάθε κοινοποίηση που λαμβάνει από τον εισαγωγέα δεδομένων ή κάθε υπεργολάβο επεξεργασίας σύμφωνα με τη ρήτρα 5 στοιχείο β) και τη ρήτρα 8 παράγραφος 3 στην εποπτική αρχή προστασίας δεδομένων αν ο εξαγωγέας δεδομένων αποφασίσει να συνεχίσει τη διαβίβαση ή να άρει την αναστολή· η) να θέσει κατόπιν αιτήσεως στη διάθεση των προσώπων στα οποία αναφέρονται τα δεδομένα αντίγραφο των ρητρών, με εξαίρεση το προσάρτημα 2, και συνοπτική παρουσίαση των μέτρων ασφαλείας, καθώς και αντίγραφο κάθε σύμβασης που αφορά την παροχή υπηρεσιών υπεργολαβίας επεξεργασίας που πρέπει να συναφθεί σύμφωνα με τις ρήτρες, εκτός αν οι ρήτρες ή η σύμβαση περιέχουν εμπορικές πληροφορίες, οπότε μπορεί να αφαιρέσει τις πληροφορίες αυτές· θ) ότι, στην περίπτωση υπεργολαβίας επεξεργασίας, η δραστηριότητα επεξεργασίας εκτελείται σύμφωνα με τη ρήτρα 11 από υπεργολάβο επεξεργασίας που παρέχει τουλάχιστον το ίδιο επίπεδο προστασίας για τα δεδομένα προσωπικού χαρακτήρα και τα δικαιώματα του προσώπου στο οποίο αναφέρονται τα δεδομένα όπως και ο εισαγωγέας δεδομένων βάσει των ρητρών αυτών· και ι) ότι θα εξασφαλίσει την τήρηση της ρήτρας 4 στοιχεία α) ως θ).»

28. Η ρήτρα 5 του ίδιου παραρτήματος ορίζει, υπό τον τίτλο «Υποχρεώσεις του εισαγωγέα δεδομένων (1)», τα εξής: «Ο εισαγωγέας δεδομένων συμφωνεί και εγγυάται: α) ότι θα επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα μόνο για λογαριασμό του εξαγωγέα δεδομένων και σύμφωνα με τις οδηγίες του και τις ρήτρες· αν δεν μπορεί να εξασφαλίσει τη συμμόρφωση αυτή για οποιουσδήποτε λόγους, συμφωνεί να ενημερώνει αμέσως τον εξαγωγέα δεδομένων για την αδυναμία του να συμμορφωθεί, οπότε ο εξαγωγέας δεδομένων δικαιούται να αναστείλει τη διαβίβαση των δεδομένων και/ή να λύσει τη σύμβαση· β) ότι δεν έχει λόγους να πιστεύει ότι η νομοθεσία που ισχύει γι’ αυτόν τον εμποδίζει να τηρήσει τις οδηγίες που λαμβάνει από τον εξαγωγέα δεδομένων και να εκπληρώσει τις υποχρεώσεις του βάσει της σύμβασης και ότι, αν γίνει τροποποίηση της εν λόγω νομοθεσίας η οποία ενδέχεται να έχει σημαντικό αρνητικό αντίκτυπο στις εγγυήσεις και τις υποχρεώσεις που προβλέπονται από τις ρήτρες, θα κοινοποιεί αμέσως την αλλαγή στον εξαγωγέα δεδομένων, μόλις αυτή περιέλθει σε γνώση του, οπότε ο εξαγωγέας δεδομένων θα δικαιούται να αναστείλει τη διαβίβαση των δεδομένων και/ή να λύσει τη σύμβαση· γ) ότι έχει λάβει τα τεχνικά και οργανωτικά μέτρα ασφαλείας που ορίζονται στο προσάρτημα 2 πριν από την επεξεργασία των διαβιβαζόμενων δεδομένων προσωπικού χαρακτήρα· δ) ότι θα ενημερώνει αμέσως τον εξαγωγέα δεδομένων σχετικά με: i) κάθε νομικά δεσμευτικό αίτημα κοινοποίησης των δεδομένων προσωπικού χαρακτήρα που υποβάλλεται από αρχή επιβολής του νόμου, εκτός αν υπάρχει σχετική απαγόρευση, όπως απαγόρευση συνοδευόμενη από ποινικές κυρώσεις για τη διατήρηση του εμπιστευτικού χαρακτήρα αστυνομικής έρευνας· ii) κάθε τυχαία ή μη εξουσιοδοτημένη πρόσβαση· και iii) κάθε αίτημα που λαμβάνει απευθείας από τα πρόσωπα στα οποία αναφέρονται τα δεδομένα χωρίς να τους απαντά, εκτός αν του έχει δοθεί η σχετική άδεια· ε) ότι θα ανταποκρίνεται άμεσα και με ακρίβεια σε όλα τα αιτήματα πληροφοριών του εξαγωγέα δεδομένων σχετικά με την εκ μέρους του επεξεργασία των δεδομένων προσωπικού χαρακτήρα που αποτελούν αντικείμενο της διαβίβασης και ότι θα συμμορφώνεται με τη γνώμη της αρχής ελέγχου όσον αφορά την επεξεργασία των διαβιβαζόμενων δεδομένων· στ) ότι, αιτήσει του εξαγωγέα δεδομένων, θα διαθέτει προς έλεγχο τις εγκαταστάσεις επεξεργασίας δεδομένων προκειμένου να ελέγχονται οι δραστηριότητες επεξεργασίας που καλύπτονται από τις ρήτρες. Ο έλεγχος θα διενεργείται από τον εξαγωγέα δεδομένων ή από οργανισμό επιθεώρησης αποτελούμενο από μέλη ανεξάρτητα που διαθέτουν τα απαιτούμενα επαγγελματικά προσόντα και τα οποία θα δεσμεύονται από υποχρέωση εχεμύθειας και θα επιλέγονται από τον εξαγωγέα δεδομένων, κατά περίπτωση, κατόπιν συμφωνίας με την αρχή ελέγχου· […]».

29. Κατά την υποσημείωση 1, στην οποία παραπέμπει ο τίτλος της ρήτρας 5 που περιλαμβάνεται στο παράρτημα της αποφάσεως 2010/87: «Οι δεσμευτικές απαιτήσεις της εθνικής νομοθεσίας που ισχύουν για τον εισαγωγέα των δεδομένων και που δεν υπερβαίνουν το αναγκαίο σε μια δημοκρατική κοινωνία μέτρο για ένα από τα συμφέροντα που αναφέρονται στο άρθρο 13 παράγραφος 1 της οδηγίας [95/46], δηλαδή αν πρόκειται για μέτρο αναγκαίο για τη διαφύλαξη της ασφάλειας του κράτους, της άμυνας, της δημόσιας ασφάλειας, της πρόληψης, διερεύνησης, διαπίστωσης και δίωξης παραβάσεων του ποινικού νόμου ή της δεοντολογίας των νομοθετικά κατοχυρωμένων επαγγελμάτων, σημαντικού οικονομικού ή χρηματοοικονομικού συμφέροντος, της προστασίας του προσώπου στο οποίο αναφέρονται τα δεδομένα ή των δικαιωμάτων και ελευθεριών άλλων προσώπων, δεν έρχονται σε αντίθεση με τις τυποποιημένες συμβατικές ρήτρες. Ορισμένα παραδείγματα τέτοιων δεσμευτικών απαιτήσεων οι οποίες δεν υπερβαίνουν το αναγκαίο σε μια δημοκρατική κοινωνία μέτρο είναι, μεταξύ άλλων, οι διεθνώς αναγνωρισμένες κυρώσεις, οι απαιτήσεις υποβολής φορολογικών δηλώσεων ή οι απαιτήσεις υποβολής εκθέσεων για την καταπολέμηση δραστηριοτήτων νομιμοποίησης εσόδων από παράνομες δραστηριότητες.»

30. Η ρήτρα 6 του παραρτήματος αυτού τιτλοφορείται «Ευθύνη» και έχει ως εξής: «1. Τα συμβαλλόμενα μέρη συμφωνούν ότι κάθε πρόσωπο στο οποίο αναφέρονται τα δεδομένα το οποίο υφίσταται ζημία συνεπεία αθέτησης των υποχρεώσεων που αναφέρονται στη ρήτρα 3 ή στη ρήτρα 11 από έναν από τους συμβαλλόμενους ή από υπεργολάβο επεξεργασίας δικαιούται να λάβει αποζημίωση από τον εξαγωγέα δεδομένων για τη ζημία την οποία υπέστη. 2. Αν το πρόσωπο στο οποίο αναφέρονται τα δεδομένα αδυνατεί να αξιώσει αποζημίωση, σύμφωνα με την παράγραφο 1, έναντι του εξαγωγέα δεδομένων λόγω αθέτησης από τον εισαγωγέα δεδομένων ή τον υπεργολάβο επεξεργασίας του κάποιας από τις υποχρεώσεις τους που αναφέρονται στη ρήτρα 3 ή στη ρήτρα 11, διότι ο εξαγωγέας δεδομένων έχει παύσει να υφίσταται από πραγματική ή νομική άποψη ή έχει καταστεί αφερέγγυος, ο εισαγωγέας δεδομένων συμφωνεί ότι το πρόσωπο στο οποίο αναφέρονται τα δεδομένα μπορεί να ασκήσει αγωγή εναντίον του σαν να επρόκειτο για τον εξαγωγέα δεδομένων, εκτός αν το σύνολο των νομικών υποχρεώσεων του εξαγωγέα δεδομένων εκχωρήθηκε, βάσει σύμβασης ή βάσει νόμου, σε κάποια διάδοχο οντότητα έναντι της οποίας το πρόσωπο στο οποίο αναφέρονται τα δεδομένα μπορεί να επικαλεσθεί τα δικαιώματά του. […]»

31. Η ρήτρα 7 του εν λόγω παραρτήματος φέρει τον τίτλο «Διαμεσολάβηση και δικαιοδοσία» και ορίζει τα εξής: «1. Ο εισαγωγέας δεδομένων συμφωνεί ότι αν, βάσει των ρητρών, το πρόσωπο στο οποίο αναφέρονται τα δεδομένα επικαλείται έναντι αυτού το δικαίωμα του δικαιούχου τρίτου και/ή διεκδικεί αποζημίωση για τη ζημία που υπέστη, θα δεχθεί την απόφαση του προσώπου στο οποίο αναφέρονται τα δεδομένα: α) να παραπέμψουν τη διαφορά στη διαμεσολάβηση ανεξάρτητου προσώπου ή, κατά περίπτωση, της αρχής ελέγχου· β) να παραπέμψουν τη διαφορά στα δικαστήρια του κράτους μέλους στο οποίο είναι εγκατεστημένος ο εξαγωγέας δεδομένων. 2. Τα συμβαλλόμενα μέρη συμφωνούν ότι η επιλογή στην οποία προβαίνει το πρόσωπο στο οποίο αναφέρονται τα δεδομένα δεν θίγει τα ουσιαστικού ή δικονομικού δικαίου δικαιώματά του να αναζητήσει έννομη προστασία βάσει άλλων διατάξεων του εθνικού ή του διεθνούς δικαίου.»

32. Η ρήτρα 9 του ίδιου παραρτήματος επιγράφεται «Εφαρμοστέο δίκαιο» και προβλέπει ότι οι τυποποιημένες συμβατικές ρήτρες διέπονται από το δίκαιο του κράτους μέλους στο οποίο είναι εγκατεστημένος ο εξαγωγέας δεδομένων.

Δ. Η απόφαση για την «Ασπίδα Προστασίας Ιδιωτικής Ζωής»

33. Το άρθρο 25, παράγραφος 6, της οδηγίας 95/46 αποτέλεσε τη βάση για να εκδώσει η Επιτροπή δύο διαδοχικές αποφάσεις με τις οποίες διαπίστωσε ότι οι Ηνωμένες Πολιτείες εξασφαλίζουν ικανοποιητικό επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα τα οποία διαβιβάζονται προς εγκατεστημένες στις Ηνωμένες Πολιτείες επιχειρήσεις που έχουν δηλώσει ότι προσχωρούν, μέσω διαδικασίας αυτοπιστοποιήσεως, στις αρχές που διατυπώνονται στις αποφάσεις αυτές.

34. Αρχικώς, η Επιτροπή εξέδωσε την απόφαση 2000/520/ΕΚ σχετικά με την επάρκεια της προστασίας που παρέχεται από τις αρχές «ασφαλούς λιμένα για την προστασία της ιδιωτικής ζωής» και τις συναφείς συχνές ερωτήσεις που εκδίδονται από το Υπουργείο Εμπορίου των [Ηνωμένων Πολιτειών] ( 11 ). Με την απόφαση της 6ης Οκτωβρίου 2015, Schrems ( 12 ), το Δικαστήριο έκρινε ότι η απόφαση εκείνη ήταν ανίσχυρη.

35. Κατόπιν της προαναφερθείσας αποφάσεως του Δικαστηρίου, η Επιτροπή εξέδωσε, εν συνεχεία, την απόφαση για την «Ασπίδα Προστασίας Ιδιωτικής Ζωής».

36. Το άρθρο 1 της αποφάσεως αυτής ορίζει τα εξής: «1. Για τους σκοπούς του άρθρου 25 παράγραφος 2 της οδηγίας 95/46/ΕΚ, οι Ηνωμένες Πολιτείες της Αμερικής εξασφαλίζουν ικανοποιητικό επίπεδο προστασίας για τα δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται από την Ένωση σε οργανισμούς στις ΗΠΑ στο πλαίσιο της ασπίδας προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ. 2. Η ασπίδα προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ συνίσταται στις Αρχές που εκδόθηκαν από το Υπουργείο Εμπορίου των ΗΠΑ στις 7 Ιουλίου 2016, όπως παρατίθενται στο παράρτημα II, καθώς και στις επίσημες δηλώσεις και δεσμεύσεις που περιλαμβάνονται στα έγγραφα που απαριθμούνται στο παράρτημα I και στα παραρτήματα III έως VII. 3. Για τον σκοπό της παραγράφου 1, η διαβίβαση δεδομένων προσωπικού χαρακτήρα πραγματοποιείται στο πλαίσιο της ασπίδας προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ όταν τα δεδομένα διαβιβάζονται από την Ένωση σε οργανισμούς στις ΗΠΑ που περιλαμβάνονται στον «κατάλογο της ασπίδας προστασίας», ο οποίος τηρείται και δημοσιοποιείται από το Υπουργείο Εμπορίου των ΗΠΑ, σύμφωνα με τα τμήματα I και III των Αρχών που παρατίθενται στο παράρτημα II.»

37. Το παράρτημα III A της αποφάσεως αυτής, το οποίο τιτλοφορείται «Μηχανισμός Διαμεσολαβητή της ασπίδας προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ Όσον αφορά τη συλλογή πληροφοριών σημάτων» κι έχει επισυναφθεί στην από 7 Ιουλίου 2016 επιστολή του Secretary of State (Υπουργού Εξωτερικών των Ηνωμένων Πολιτειών) John Kerry, περιλαμβάνει υπόμνημα όπου περιγράφεται μια νέα διαδικασία διαμεσολαβήσεως ενώπιον ενός «Ανώτατου Συντονιστή για τη Διεθνή Διπλωματία στον Τομέα της Τεχνολογίας των Πληροφοριών» (στο εξής: Διαμεσολαβητής) διοριζόμενου από τον Υπουργό Εξωτερικών.

38. Όπως αναφέρεται στο υπόμνημα, η διαδικασία αυτή τέθηκε σε εφαρμογή «για να διευκολύνει την επεξεργασία αιτημάτων που συνδέονται με την πρόσβαση για λόγους εθνικής ασφάλειας σε δεδομένα που διαβιβάζονται από την ΕΕ στις Ηνωμένες Πολιτείες σύμφωνα με την ασπίδα προστασίας, τις τυποποιημένες συμβατικές ρήτρες (ΤΣΡ), τους δεσμευτικούς εταιρικούς κανόνες (ΔΕΚ), τις “παρεκκλίσεις” ή τις “πιθανές μελλοντικές παρεκκλίσεις” μέσω των εδραιωμένων οδών που προβλέπονται από το εφαρμοστέο δίκαιο και τις πολιτικές των ΗΠΑ, καθώς και την απόκριση σε τέτοιου είδους αιτήματα».

III. Η διαφορά της κύριας δίκης, τα προδικαστικά ερωτήματα και η διαδικασία ενώπιον του Δικαστηρίου

39. Ο M. Schrems, Αυστριακός υπήκοος και κάτοικος Αυστρίας, είναι χρήστης του μέσου κοινωνικής δικτύωσης Facebook. Όλοι οι χρήστες του Facebook που κατοικούν στο έδαφος της Ένωσης οφείλουν να υπογράψουν, κατά την εγγραφή τους, σύμβαση με τη Facebook Ireland, θυγατρική της Facebook Inc., η οποία έχει την έδρα της στις Ηνωμένες Πολιτείες. Τα δεδομένα προσωπικού χαρακτήρα αυτών των χρηστών διαβιβάζονται, εν όλω ή εν μέρει, σε διακομιστές που ανήκουν στη Facebook Inc. και είναι εγκατεστημένοι στις Ηνωμένες Πολιτείες, όπου τα δεδομένα αυτά υπόκεινται σε επεξεργασία.

40. Στις 25 Ιουνίου 2013, ο M. Schrems υπέβαλε στον ΕΠΔ καταγγελία με την οποία ζητούσε από αυτήν, κατ’ ουσίαν, να απαγορεύσει στη Facebook Ireland να διαβιβάζει στις Ηνωμένες Πολιτείες τα δεδομένα προσωπικού χαρακτήρα που τον αφορούν. Υποστήριζε ότι η νομοθεσία και η ισχύουσα πρακτική στις Ηνωμένες Πολιτείες δεν εξασφαλίζουν ικανοποιητική προστασία των εκεί αποθηκευόμενων δεδομένων προσωπικού χαρακτήρα έναντι των παρεμβάσεων που συνεπάγονται οι δραστηριότητες παρακολουθήσεως εκ μέρους δημοσίων αρχών. Ο M. Schrems αναφέρθηκε ως προς το ζήτημα αυτό στις αποκαλύψεις που έκανε ο Edward Snowden σχετικά με τις δραστηριότητες των Υπηρεσιών Πληροφοριών των Ηνωμένων Πολιτειών, και ιδίως της National Security Agency (NSA) (Υπηρεσίας Εθνικής Ασφαλείας, Ηνωμένες Πολιτείες).

41. Η καταγγελία αυτή απορρίφθηκε με την αιτιολογία, μεταξύ άλλων, ότι κάθε ζήτημα σχετικό με την επάρκεια της προστασίας που διασφαλίζεται στις Ηνωμένες Πολιτείες πρέπει να κρίνεται σύμφωνα με την απόφαση περί «ασφαλούς λιμένα». Με την απόφαση αυτή, η Επιτροπή είχε διαπιστώσει ότι η συγκεκριμένη τρίτη χώρα παρείχε ικανοποιητικό επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα που διαβιβάζονται προς επιχειρήσεις οι οποίες είναι εγκατεστημένες στο έδαφός της και έχουν προσχωρήσει στις αρχές που διατυπώνονταν στην εν λόγω απόφαση.

42. Ο M. Schrems άσκησε ενώπιον του High Court (ανωτέρου δικαστηρίου, Ιρλανδία) προσφυγή κατά της απορριπτικής αποφάσεως επί της καταγγελίας του. Το δικαστήριο αυτό έκρινε ότι, παρότι ο M. Schrems δεν προσέβαλε τυπικώς το κύρος της αποφάσεως περί «ασφαλούς λιμένα», ωστόσο, στην πραγματικότητα, με την καταγγελία του αμφισβήτησε τη νομιμότητα του καθεστώτος που θεσπίστηκε με την απόφαση εκείνη. Υπό τις συνθήκες αυτές, υπέβαλε στο Δικαστήριο προδικαστικά ερωτήματα με σκοπό να διευκρινιστεί, κατ’ ουσίαν, αν οι αρχές των κρατών μελών που είναι επιφορτισμένες με την προστασία των δεδομένων (στο εξής: αρχές ελέγχου), σε περίπτωση όπου έχει κατατεθεί καταγγελία σε σχέση με την προστασία των δικαιωμάτων και των ελευθεριών προσώπου έναντι της επεξεργασίας διαβιβασθέντων σε τρίτο κράτος δεδομένων προσωπικού χαρακτήρα που αφορούν τον καταγγέλλοντα, δεσμεύονται από τις διαπιστώσεις στις οποίες έχει προβεί η Επιτροπή, βάσει του άρθρου 25, παράγραφος 6, της οδηγίας 95/46, αναφορικά με την επάρκεια του επιπέδου προστασίας στο αντίστοιχο τρίτο κράτος, έστω και αν ο καταγγέλλων αμφισβητεί τις διαπιστώσεις αυτές.

43. Το Δικαστήριο, αφού κατέστησε σαφές, με τις σκέψεις 51 και 52 της αποφάσεως Schrems, ότι η απόφαση επάρκειας δεσμεύει τις αρχές ελέγχου για όσο διάστημα δεν έχει κριθεί ανίσχυρη, έκρινε, στις σκέψεις 63 και 65 της αποφάσεως αυτής, τα εξής: «63. […] [ό]ταν πρόσωπο του οποίου τα δεδομένα προσωπικού χαρακτήρα διαβιβάστηκαν ή θα μπορούσαν να διαβιβαστούν προς τρίτη χώρα για την οποία έχει εκδοθεί απόφαση της Επιτροπής βάσει του άρθρου 25, παράγραφος 6, της οδηγίας 95/46 υποβάλλει σε εθνική αρχή ελέγχου αίτηση σχετικά με την προστασία των δικαιωμάτων και των ελευθεριών του έναντι της επεξεργασίας των δεδομένων αυτών και στην αίτηση αυτή αμφισβητεί, […] το συμβατό της αποφάσεως αυτής με την προστασία της ιδιωτικής ζωής, τότε η εθνική αρχή οφείλει να εξετάζει την ανωτέρω αίτηση με τη δέουσα επιμέλεια. […] 65. Στην […] περίπτωση, κατά την οποία η αρχή ελέγχου κρίνει βάσιμες τις αιτιάσεις που προέβαλε [αυτό το πρόσωπο], η εν λόγω αρχή, σύμφωνα με το άρθρο 28, παράγραφος 3, πρώτο εδάφιο, τρίτη περίπτωση, της οδηγίας 95/46 υπό το πρίσμα του άρθρου 8, παράγραφος 3, του Χάρτη, πρέπει να έχει τη δυνατότητα να προσφύγει σε δικαστήριο. Ως προς το ζήτημα αυτό απόκειται στον εθνικό νομοθέτη να προβλέψει μέσα παροχής ενδίκου προστασίας παρέχοντα τη δυνατότητα στην οικεία εθνική αρχή ελέγχου να προβάλει τις αιτιάσεις που κρίνει βάσιμες ενώπιον των εθνικών δικαστηρίων, ώστε αυτά, αν συμφωνούν ότι υπάρχουν αμφιβολίες ως προς το κύρος της αποφάσεως της Επιτροπής, να υποβάλουν προδικαστικό ερώτημα προς έλεγχο του κύρους της συγκεκριμένης αποφάσεως.»

44. Στην απόφασή του, το Δικαστήριο εξέτασε επίσης το κύρος της αποφάσεως περί «ασφαλούς λιμένα» υπό το πρίσμα των απαιτήσεων που απορρέουν από την οδηγία 95/46, σε συνδυασμό με τον Χάρτη. Κατόπιν της εξετάσεως αυτής, έκρινε την απόφαση εκείνη ανίσχυρη ( 13 ).

45. Μετά την έκδοση της αποφάσεως Schrems το αιτούν δικαστήριο ακύρωσε την απόφαση με την οποία ο ΕΠΔ είχε απορρίψει την καταγγελία του M. Schrems και ανέπεμψε την καταγγελία στον ΕΠΔ για εξέταση. Ο ΕΠΔ κίνησε διαδικασία έρευνας και κάλεσε τον M. Schrems να αναδιατυπώσει την καταγγελία του, λαμβάνοντας υπόψη ότι η απόφαση περί «ασφαλούς λιμένα» κρίθηκε ανίσχυρη.

46. Στο πλαίσιο αυτό, ο M. Schrems ζήτησε από τη Facebook Ireland να προσδιορίσει τις νομικές βάσεις επί των οποίων στηρίζονται οι διαβιβάσεις δεδομένων προσωπικού χαρακτήρα των χρηστών του μέσου κοινωνικής δικτύωσης Facebook από την Ένωση προς τις Ηνωμένες Πολιτείες. Η Facebook Ireland, χωρίς να προσδιορίσει όλες τις νομικές βάσεις επί των οποίων στηρίζεται, αναφέρθηκε σε συμφωνία συναφθείσα μεταξύ αυτής και της Facebook Inc. για τη διαβίβαση και επεξεργασία δεδομένων (data transfer processing agreement), η οποία εφαρμοζόταν από τις 20 Νοεμβρίου 2015, και επικαλέστηκε την απόφαση 2010/87.

47. Με την καταγγελία του, όπως αυτή αναδιατυπώθηκε, ο M. Schrems υποστηρίζει, αφενός, ότι οι ρήτρες οι οποίες περιέχονται στην ανωτέρω συμφωνία δεν είναι σύμφωνες με τις τυποποιημένες συμβατικές ρήτρες που περιλαμβάνονται στο παράρτημα της αποφάσεως 2010/87. Αφετέρου, ο M. Schrems ισχυρίζεται ότι, εν πάση περιπτώσει, οι εν λόγω τυποποιημένες συμβατικές ρήτρες δεν θα μπορούσαν να αποτελέσουν τη βάση για τη διαβίβαση των δεδομένων προσωπικού χαρακτήρα που τον αφορούν προς τις Ηνωμένες Πολιτείες. Τούτο επειδή, κατά την άποψή του, το αμερικανικό δίκαιο επιβάλλει στη Facebook Inc. να θέτει τα δεδομένα προσωπικού χαρακτήρα των χρηστών στη διάθεση αμερικανικών αρχών όπως είναι η NSA και το Federal Bureau of Investigation (FBI) (Ομοσπονδιακό Γραφείο Ερευνών, Ηνωμένες Πολιτείες), στο πλαίσιο προγραμμάτων παρακολουθήσεως τα οποία παρακωλύουν την άσκηση των δικαιωμάτων που κατοχυρώνονται στα άρθρα 7, 8 και 47 του Χάρτη. Ο M. Schrems υποστηρίζει ότι δεν υφίσταται κανένα μέσο έννομης προστασίας που να δίνει τη δυνατότητα στα υποκείμενα των δεδομένων να προβάλουν τα δικαιώματά τους για σεβασμό της ιδιωτικής ζωής και για προστασία των δεδομένων προσωπικού χαρακτήρα. Υπό τις συνθήκες αυτές, ο M. Schrems ζήτησε από τον ΕΠΔ να αναστείλει τη διαβίβαση των δεδομένων, κατ’ εφαρμογήν του άρθρου 4 της αποφάσεως 2010/87.

48. Στο πλαίσιο της έρευνας που διεξήγαγε ο ΕΠΔ, η Facebook Ireland παραδέχθηκε ότι εξακολουθεί να διαβιβάζει προς τις Ηνωμένες Πολιτείες τα δεδομένα προσωπικού χαρακτήρα των χρηστών του μέσου κοινωνικής δικτύωσης Facebook που διαμένουν στην Ένωση και ότι προβαίνει στη διαβίβαση αυτή στηριζόμενη, σε μεγάλο βαθμό, στις τυποποιημένες συμβατικές ρήτρες οι οποίες περιλαμβάνονται στο παράρτημα της αποφάσεως 2010/87.

49. Σκοπός της έρευνας την οποία διεξήγαγε ο ΕΠΔ ήταν να εξακριβωθεί, αφενός, αν οι Ηνωμένες Πολιτείες εξασφαλίζουν ικανοποιητική προστασία των δεδομένων προσωπικού χαρακτήρα των πολιτών της Ένωσης και, αφετέρου, σε περίπτωση που δεν ισχύει κάτι τέτοιο, αν οι αποφάσεις ΤΡΠπαρέχουν επαρκείς εγγυήσεις όσον αφορά την προστασία των θεμελιωδών δικαιωμάτων και ελευθεριών των προσώπων αυτών.

50. Σε σχέδιο αποφάσεώς της (draft decision), ο ΕΠΔ συνήγαγε, ως προσωρινό συμπέρασμα, ότι το αμερικανικό δίκαιο δεν παρέχει αποτελεσματικά μέσα έννομης προστασίας, κατά την έννοια του άρθρου 47 του Χάρτη, στους πολίτες της Ένωσης των οποίων τα δεδομένα διαβιβάζονται στις Ηνωμένες Πολιτείες, όπου τα δεδομένα αυτά είναι πιθανόν να τύχουν επεξεργασίας από τις αμερικανικές υπηρεσίες για σκοπούς εθνικής ασφάλειας κατά τρόπο ασυμβίβαστο προς τα άρθρα 7 και 8 του Χάρτη. Οι δε εγγυήσεις τις οποίες προβλέπουν οι ρήτρες που περιλαμβάνονται σε παράρτημα των αποφάσεων ΤΡΠδεν θεραπεύουν αυτό το κενό, δεδομένου ότι δεν δεσμεύουν τις αρχές και τις υπηρεσίες των Ηνωμένων Πολιτειών, ενώ παρέχουν στα υποκείμενα των δεδομένων μόνον συμβατικά δικαιώματα έναντι του εξαγωγέα και/ή του εισαγωγέα των δεδομένων.

51. Υπό τις συνθήκες αυτές, ο ΕΠΔ έκρινε ότι δεν μπορούσε να αποφανθεί επί της καταγγελίας του M. Schrems, αν το Δικαστήριο δεν εξέταζε προηγουμένως το κύρος των αποφάσεων ΤΣΡ. Επομένως, σύμφωνα με όσα διαλαμβάνονται στη σκέψη 65 της αποφάσεως Schrems, ο ΕΠΔ κίνησε διαδικασία ενώπιον του αιτούντος δικαστηρίου ζητώντας του, εφόσον συμμερίζεται τις αμφιβολίες της, να υποβάλει στο Δικαστήριο αίτηση προδικαστικής αποφάσεως ως προς το κύρος των αποφάσεων αυτών.

52. Η Κυβέρνηση των Ηνωμένων Πολιτειών, η Electronic Privacy Information Centre (EPIC), η Business Software Alliance (BSA) και η Digitaleurope άσκησαν παρέμβαση ενώπιον του αιτούντος δικαστηρίου.

53. Το High Court (ανώτερο δικαστήριο), προκειμένου να κρίνει αν συμμερίζεται τις αμφιβολίες που διατύπωσε ο ΕΠΔ ως προς το κύρος των αποφάσεων ΤΣΡ, έλαβε τα αποδεικτικά στοιχεία που προσκόμισαν οι διάδικοι και άκουσε τους ισχυρισμούς που προέβαλαν οι διάδικοι καθώς και οι παρεμβαίνοντες. Ειδικότερα, όσον αφορά τις διατάξεις του δικαίου των Ηνωμένων Πολιτειών, προσκομίστηκαν αποδεικτικά στοιχεία από πραγματογνώμονες. Κατά το ιρλανδικό δίκαιο, το αλλοδαπό δίκαιο θεωρείται πραγματικό ζήτημα το οποίο πρέπει να αποδεικνύεται με αποδεικτικά στοιχεία με τον ίδιο τρόπο όπως κάθε άλλο πραγματικό ζήτημα. Βάσει αυτών των αποδεικτικών στοιχείων, το αιτούν δικαστήριο αξιολόγησε τις διατάξεις του δικαίου των Ηνωμένων Πολιτειών οι οποίες επιτρέπουν την παρακολούθηση από τις κυβερνητικές αρχές και υπηρεσίες, τη λειτουργία δύο δημοσίως αναγνωρισμένων προγραμμάτων παρακολουθήσεως («PRISM» και «Upstream»), τα διάφορα μέσα έννομης προστασίας που παρέχονται στους ιδιώτες των οποίων τα δικαιώματα έχουν προσβληθεί λόγω εφαρμογής μέτρων παρακολουθήσεως, καθώς και τις συστημικές εγγυήσεις και τους μηχανισμούς ελέγχου. Το εν λόγω δικαστήριο κατέγραψε τα πορίσματα αυτής της αξιολογήσεως σε απόφαση της 3ης Οκτωβρίου 2017, η οποία επισυνάφθηκε στη διάταξη περί παραπομπής [στο εξής: απόφαση του High Court (ανωτέρου δικαστηρίου) της 3ης Οκτωβρίου 2017].

54. Στη συγκεκριμένη απόφαση, το αιτούν δικαστήριο ανέφερε, μεταξύ των νομικών βάσεων που επιτρέπουν την παρακολούθηση αλλοδαπών επικοινωνιών από τις αμερικανικές Υπηρεσίες Πληροφοριών, το άρθρο 702 του Foreign Intelligence Surveillance Act (FISA) (νόμου περί παρακολούθησης επικοινωνιών αλλοδαπών Υπηρεσιών Πληροφοριών, στο εξής: νόμος FISA) και το Executive Order 12333 (εκτελεστικό διάταγμα 12333, στο εξής: E.O. 12333).

55. Σύμφωνα με τις διαπιστώσεις που περιλαμβάνονται στην απόφαση του High Court (ανωτέρου δικαστηρίου) της 3ης Οκτωβρίου 2017, το άρθρο 702 του νόμου FISA παρέχει στον Attorney General (Γενικό Εισαγγελέα, Ηνωμένες Πολιτείες) και στον Director of National Intelligence (DNI) (Διευθυντή της Εθνικής Υπηρεσίας Πληροφοριών, Ηνωμένες Πολιτείες) τη δυνατότητα να δώσουν από κοινού άδεια ώστε να παρακολουθούνται, για ένα έτος και με σκοπό την εξασφάλιση πληροφοριών από την αλλοδαπή, πρόσωπα που δεν είναι Αμερικανοί πολίτες ούτε διαμένουν μονίμως στις Ηνωμένες Πολιτείες (στο εξής: μη Αμερικανοί πολίτες), όταν ευλόγως μπορεί να θεωρηθεί ότι βρίσκονται εκτός της επικράτειας των Ηνωμένων Πολιτειών ( 14 ). Κατά τον νόμο FISA, ως «πληροφορίες από την αλλοδαπή» νοούνται τα πληροφοριακά στοιχεία που σχετίζονται τόσο με την ικανότητα της Κυβερνήσεως να προφυλάξει τη χώρα από αλλοδαπές επιθέσεις, από την τρομοκρατία και από τη διάδοση των όπλων μαζικής καταστροφής, όσο και με την άσκηση της εξωτερικής πολιτικής των Ηνωμένων Πολιτειών ( 15 ).

56. Αυτές οι άδειες ετήσιας ισχύος, καθώς και, αφενός, οι διαδικασίες για τη στόχευση προσώπων με σκοπό την παρακολούθηση και, αφετέρου, η επεξεργασία («ελαχιστοποίηση») των πληροφοριών που συλλέγονται ( 16 ), πρέπει να εγκρίνονται από το Foreign Intelligence Surveillance Court (FISC) (δικαστήριο δυνάμει του νόμου FISA, Ηνωμένες Πολιτείες). Ενώ για την «παραδοσιακή» παρακολούθηση η οποία πραγματοποιείται δυνάμει άλλων διατάξεων του νόμου FISA απαιτείται να αποδειχθεί ότι υπάρχει «αποχρώσα αιτία» υπονοιών ότι τα πρόσωπα που τελούν υπό παρακολούθηση ανήκουν σε ξένη δύναμη ή είναι πράκτορες ξένης δύναμης, οι δραστηριότητες παρακολουθήσεως δυνάμει του άρθρου 702 του νόμου FISA δεν προϋποθέτουν την απόδειξη τέτοιας «αποχρώσας αιτίας» ούτε την έγκριση, από το FISC, της στοχεύσεως συγκεκριμένων προσώπων. Επιπλέον, πάντοτε σύμφωνα με τις διαπιστώσεις του αιτούντος δικαστηρίου, οι διαδικασίες ελαχιστοποιήσεως δεν εφαρμόζονται στους μη Αμερικανούς πολίτες που βρίσκονται εκτός των Ηνωμένων Πολιτειών.

57. Στην πράξη, άπαξ και εγκριθεί η άδεια από το FISC, η NSA αποστέλλει σε εγκατεστημένους στις Ηνωμένες Πολιτείες παρόχους υπηρεσιών ηλεκτρονικών επικοινωνιών οδηγίες οι οποίες περιέχουν κριτήρια αναζητήσεως, αποκαλούμενα «επιλογείς», που συνδέονται με πρόσωπα-στόχους (όπως αριθμούς τηλεφώνου ή διευθύνσεις ηλεκτρονικού ταχυδρομείου). Οι εν λόγω πάροχοι υποχρεούνται στο εξής να διαβιβάζουν στην NSA τα δεδομένα τα οποία αντιστοιχούν στους επιλογείς και, παράλληλα, οφείλουν να τηρούν το απόρρητο όσον αφορά τις οδηγίες που τους απευθύνονται. Οι πάροχοι αυτοί έχουν το δικαίωμα να υποβάλουν ενώπιον του FISC αίτημα τροποποίησης ή κατάργησης μιας οδηγίας της NSA. Η απόφαση του FISC δύναται να προσβληθεί με έφεση ενώπιον του Foreign Intelligence Surveillance Court of Review (FISCR) (δευτεροβάθμιου δικαστηρίου δυνάμει του νόμου FISA, Ηνωμένες Πολιτείες).

58. Το High Court (ανώτερο δικαστήριο) διαπίστωσε ότι το άρθρο 702 του νόμου FISA χρησιμεύει ως νομική βάση για τα προγράμματα PRISM και Upstream.

59. Στο πλαίσιο του προγράμματος PRISM, οι πάροχοι υπηρεσιών ηλεκτρονικών επικοινωνιών υποχρεούνται να θέτουν στη διάθεση της NSA όλες τις επικοινωνίες που «προέρχονται από» ή «απευθύνονται προς» τον επιλογέα τον οποίο έχει προσδιορίσει η NSA. Ορισμένες από αυτές τις επικοινωνίες διαβιβάζονται στο FBI και στη Central Intelligence Agency (CIA) (Κεντρική Υπηρεσία Πληροφοριών, Ηνωμένες Πολιτείες). Το 2015, 94386 άτομα βρίσκονταν υπό παρακολούθηση ενώ το 2011, στο πλαίσιο του προγράμματος αυτού, η Κυβέρνηση των Ηνωμένων Πολιτειών εξασφάλισε πρόσβαση σε περισσότερες από 250 εκατομμύρια επικοινωνίες.

60. Το πρόγραμμα Upstream βασίζεται στην υποχρεωτική συνδρομή των επιχειρήσεων που εκμεταλλεύονται τον «κορμό» -δηλαδή το δίκτυο καλωδίων, διακοπτών και δρομολογητών- από όπου διέρχονται οι τηλεφωνικές επικοινωνίες και οι διαδικτυακές επικοινωνίες. Οι επιχειρήσεις αυτές είναι αναγκασμένες να επιτρέπουν στην NSA να αντιγράφει και να φιλτράρει τις ροές διαδικτυακής κίνησης προκειμένου να συγκεντρώνει επικοινωνίες οι οποίες «προέρχονται από», «απευθύνονται προς» ή «αφορούν» κάποιον επιλογέα που μνημονεύεται σε οδηγία της εν λόγω Υπηρεσίας. Ως επικοινωνίες «που αφορούν» επιλογέα νοούνται εκείνες στις οποίες γίνεται αναφορά στον συγκεκριμένο επιλογέα, χωρίς να συμμετέχει, κατ’ ανάγκη, στην επικοινωνία ο μη Αμερικανός πολίτης που συνδέεται με τον επιλογέα. Μολονότι από τη γνωμοδότηση του FISC της 26ης Απριλίου 2017 προκύπτει ότι, από την ημερομηνία αυτή κι εντεύθεν, η Αμερικανική Κυβέρνηση ούτε συλλέγει ούτε αποκτά πλέον πρόσβαση σε επικοινωνίες «που αφορούν» επιλογέα, εντούτοις από τη γνωμοδότηση αυτή δεν συνάγεται ότι η NSA έπαυσε να αντιγράφει και να φιλτράρει τις ροές επικοινωνιών που διέρχονται από το δικό της σύστημα παρακολουθήσεως. Έτσι, βάσει του προγράμματος Upstream, η NSA έχει, κατά τα φαινόμενα, πρόσβαση τόσο στα μεταδεδομένα όσο και στο περιεχόμενο των επικοινωνιών. Από το 2011 κι έπειτα, η NSA φέρεται να έχει συλλέξει, στο πλαίσιο του προγράμματος Upstream, περίπου 26,5 εκατομμύρια επικοινωνίες κατ’ έτος, αριθμός ο οποίος αντιπροσωπεύει, ωστόσο, μικρό μόνο μέρος των επικοινωνιών που υπόκεινται στη διαδικασία φιλτραρίσματος στο πλαίσιο του προγράμματος αυτού.

61. Εξάλλου, σύμφωνα με τις διαπιστώσεις του High Court (ανωτέρου δικαστηρίου), το E.O. 12333 επιτρέπει την παρακολούθηση των ηλεκτρονικών επικοινωνιών εκτός της επικράτειας των Ηνωμένων Πολιτειών καθόσον, με σκοπό την εξασφάλιση πληροφοριών από την αλλοδαπή, παρέχει δυνατότητα προσβάσεως είτε σε δεδομένα «υπό διαμετακόμιση» προς το έδαφος των Ηνωμένων Πολιτειών είτε σε δεδομένα που «διέρχονται» από αυτό χωρίς να προορίζονται για επεξεργασία εκεί, καθώς και δυνατότητα συλλογής και διατηρήσεως των ως άνω δεδομένων. Το E.O. 12333 ορίζει ως «πληροφορίες από την αλλοδαπή» όσες σχετίζονται με τις δυνατότητες, προθέσεις ή δραστηριότητες ξένων κυβερνήσεων, οργανώσεων ή προσώπων ( 17 ).

62. Κατά το αιτούν δικαστήριο, η NSA έχει, δυνάμει του E.O. 12333, εξουσία πρόσβασης στα υποβρύχια καλώδια του Ατλαντικού Ωκεανού μέσω των οποίων τα δεδομένα διαβιβάζονται από την Ένωση στις Ηνωμένες Πολιτείες, προτού τα δεδομένα αυτά να φθάσουν στις Ηνωμένες Πολιτείες και, ως εκ τούτου, να υπόκεινται στις διατάξεις του νόμου FISA. Ωστόσο, δεν υφίσταται κανένα αποδεικτικό στοιχείο ότι έχει τεθεί σε εφαρμογή οποιοδήποτε τέτοιο πρόγραμμα δυνάμει του προαναφερθέντος προεδρικού διατάγματος.

63. Μολονότι το E.O. 12333 προβλέπει περιορισμούς όσον αφορά τη συλλογή, τη διατήρηση και τη διάδοση πληροφοριών, οι περιορισμοί αυτοί δεν ισχύουν για μη Αμερικανούς πολίτες. Αυτοί απολαύουν μόνον των εγγυήσεων που περιλαμβάνονται στην Presidential Policy Directive 28 (προεδρική οδηγία πολιτικής 28, στο εξής: PPD 28), η οποία έχει εφαρμογή σε όλες τις δραστηριότητες συλλογής και χρήσεως πληροφοριών από την αλλοδαπή με ηλεκτρομαγνητικά μέσα. Η PPD 28 ορίζει ότι ο σεβασμός της ιδιωτικής ζωής αποτελεί αναπόσπαστο μέρος των εκτιμήσεων που πρέπει να λαμβάνονται υπόψη κατά τον προγραμματισμό των δραστηριοτήτων αυτών, ότι η συλλογή πρέπει να έχει ως μοναδικό σκοπό την απόκτηση πληροφοριών από την αλλοδαπή και πληροφοριών για σκοπούς αντικατασκοπείας και ότι οι εν λόγω δραστηριότητες πρέπει να είναι «όσο το δυνατόν πιο στοχευμένες».

64. Κατά το αιτούν δικαστήριο, οι δραστηριότητες της NSA βάσει του E.O. 12333, το οποίο μπορεί να τροποποιηθεί ή να ανακληθεί ανά πάσα στιγμή από τον Πρόεδρο των Ηνωμένων Πολιτειών, δεν ρυθμίζονται από τον νόμο, δεν υπόκεινται σε δικαστικό έλεγχο και δεν μπορούν να προσβληθούν με κανένα ένδικο βοήθημα.

65. Βάσει των διαπιστώσεων αυτών, το αιτούν δικαστήριο εκτιμά ότι οι Ηνωμένες Πολιτείες προβαίνουν σε μαζική και χωρίς διάκριση επεξεργασία δεδομένων προσωπικού χαρακτήρα, η οποία ενέχει, για τα υποκείμενα των δεδομένων, κίνδυνο προσβολής των δικαιωμάτων που αντλούν από τα άρθρα 7 και 8 του Χάρτη.

66. Επιπλέον, το αιτούν δικαστήριο επισημαίνει ότι οι πολίτες της Ένωσης δεν έχουν πρόσβαση στα ίδια μέσα ένδικης προστασίας κατά της παράνομης επεξεργασίας των δεδομένων τους προσωπικού χαρακτήρα από τις αμερικανικές αρχές, όπως έχουν οι Αμερικανοί υπήκοοι. Η τέταρτη τροποποίηση του Συντάγματος των Ηνωμένων Πολιτειών, η οποία αποτελεί τη σημαντικότερη προστασία κατά της παράνομης παρακολουθήσεως, δεν ισχύει για τους πολίτες της Ένωσης που δεν έχουν ουσιώδη εκούσιο δεσμό με τις Ηνωμένες Πολιτείες. Παρότι διαθέτουν ορισμένα άλλα μέσα έννομης προστασίας, ωστόσο αυτά προσκρούουν σε σημαντικά εμπόδια.

67. Ειδικότερα, σύμφωνα με το άρθρο ΙΙΙ του Συντάγματος των Ηνωμένων Πολιτειών η άσκηση οποιασδήποτε προσφυγής ενώπιον των ομοσπονδιακών δικαστηρίων εξαρτάται από τη στοιχειοθέτηση από το ενδιαφερόμενο πρόσωπο της ενεργητικής νομιμοποιήσεως του (standing). Η ενεργητική νομιμοποίηση προϋποθέτει, μεταξύ άλλων, ότι ο ενδιαφερόμενος αποδεικνύει ότι υφίσταται πραγματική ζημία η οποία πρέπει να είναι, αφενός, συγκεκριμένη και εξατομικευμένη και, αφετέρου, ενεστώσα ή επικείμενη. Παραπέμποντας, μεταξύ άλλων, στην απόφαση του Supreme Court of the United States (Ανωτάτου Δικαστηρίου των Ηνωμένων Πολιτειών), Clapper κατά Amnesty International US ( 18 ), το αιτούν δικαστήριο εκτιμά ότι στην πράξη είναι εξαιρετικά δύσκολο να πληρούται η προϋπόθεση αυτή, λαμβανομένου ιδίως υπόψη του ότι δεν υφίσταται υποχρέωση ενημερώσεως των υποκειμένων των δεδομένων για τα μέτρα παρακολουθήσεως που λαμβάνονται εις βάρος τους ( 19 ). Επιπλέον, για την άσκηση ορισμένων άλλων μέσων έννομης προστασίας που έχουν στη διάθεσή τους οι πολίτες της Ένωσης απαιτείται, επιπλέον, να πληρούνται και άλλες περιοριστικές προϋποθέσεις, όπως η απόδειξη υπάρξεως περιουσιακής ζημίας. Το προνόμιο της ετεροδικίας που αναγνωρίζεται στις Υπηρεσίες Πληροφοριών και η διαβάθμιση των σχετικών πληροφοριών αποτελούν επίσης εμπόδιο στην άσκηση ορισμένων μέσων έννομης προστασίας ( 20 ).

68. Επιπλέον, το High Court (ανώτερο δικαστήριο) αναφέρεται σε διάφορους μηχανισμούς ελέγχου και εποπτείας των δραστηριοτήτων των Υπηρεσιών Πληροφοριών.

69. Μεταξύ αυτών περιλαμβάνονται, αφενός, ο μηχανισμός της ετήσιας πιστοποιήσεως από το FISC των προγραμμάτων που στηρίζονται στο άρθρο 702 του νόμου FISA, στο πλαίσιο του οποίου πάντως το FISC δεν εγκρίνει τους μεμονωμένους επιλογείς. Εξάλλου, η συλλογή πληροφοριών από την αλλοδαπή δυνάμει του E.O. 12333 δεν υπόκειται σε προηγούμενο δικαστικό έλεγχο.

70. Αφετέρου, το αιτούν δικαστήριο κάνει λόγο για διάφορους μηχανισμούς εξωδικαστικής εποπτείας των δραστηριοτήτων συγκέντρωσης πληροφοριών. Το αιτούν δικαστήριο αναφέρει, ειδικότερα, τον ρόλο των Inspectors General (Γενικών Επιθεωρητών, Ηνωμένες Πολιτείες) οι οποίοι είναι επιφορτισμένοι, εντός των διαφόρων Υπηρεσιών Πληροφοριών με την εποπτεία των δραστηριοτήτων παρακολουθήσεως. Επιπλέον, η Privacy and Civil Liberties Oversight Board (PCLOB) (Επιτροπή Εποπτείας της Ιδιωτικής Ζωής και των Ατομικών Ελευθεριών, ΗΠΑ), ένα ανεξάρτητο όργανο που εντάσσεται στην εκτελεστική εξουσία, λαμβάνει τις εκθέσεις των προσώπων τα οποία ορίζονται, σε κάθε Υπηρεσία, ως υπάλληλοι αρμόδιοι για την προστασία των ατομικών ελευθεριών ή της ιδιωτικής ζωής (civil liberties or privacy officers). Η PCLOB συντάσσει τακτικά εκθέσεις προς τις κοινοβουλευτικές επιτροπές και τον Πρόεδρο. Οι οικείες Υπηρεσίες πρέπει να επισημαίνουν περιστατικά σχετικά με τη μη τήρηση των κανόνων και των διαδικασιών που ρυθμίζουν τη συλλογή πληροφοριών από την αλλοδαπή, μεταξύ άλλων, στον DNI [Διευθυντή της Εθνικής Υπηρεσίας Πληροφοριών]. Τα περιστατικά αυτά κοινοποιούνται και στο FISC. Το Κογκρέσο των ΗΠΑ, μέσω των επιτροπών πληροφοριών της Βουλής των Αντιπροσώπων και της Γερουσίας, είναι επίσης υπεύθυνο για τον έλεγχο των δραστηριοτήτων σχετικά με τις πληροφορίες από την αλλοδαπή.

71. Ωστόσο, το High Court (ανώτερο δικαστήριο) υπογραμμίζει τη θεμελιώδη διαφορά μεταξύ, αφενός, των κανόνων που αποσκοπούν να διασφαλίσουν ότι τα δεδομένα αποκτώνται νομίμως και ότι, από την στιγμή που αποκτηθούν, δεν χρησιμοποιούνται καταχρηστικώς, και, αφετέρου, των διαθέσιμων μέσων έννομης προστασίας σε περίπτωση παράβασης των κανόνων αυτών. Η προστασία των θεμελιωδών δικαιωμάτων των υποκειμένων των δεδομένων κατοχυρώνεται μόνον εφόσον υφίστανται μέσα έννομης προστασίας που να τους παρέχουν πραγματικά τη δυνατότητα να προβάλουν τα δικαιώματά τους σε περίπτωση μη τηρήσεως των εν λόγω κανόνων.

72. Υπό τις συνθήκες αυτές, το αιτούν δικαστήριο εκτιμά ότι είναι βάσιμα τα επιχειρήματα τα οποία προβάλλει ο ΕΠΔ προς στήριξη της άποψης ότι οι περιορισμοί που επιβάλλει το αμερικανικό δίκαιο στο δικαίωμα προσφυγής των προσώπων των οποίων τα δεδομένα διαβιβάζονται από την Ένωση δεν σέβονται το βασικό περιεχόμενο του δικαιώματος που κατοχυρώνεται στο άρθρο 47 του Χάρτη και ότι, εν πάση περιπτώσει, οι περιορισμοί αυτοί συνιστούν δυσανάλογες επεμβάσεις στην άσκηση του συγκεκριμένου δικαιώματος.

73. Κατά το High Court (ανώτερο δικαστήριο), η ως άνω εκτίμηση δεν τίθεται εν αμφιβόλω επειδή η Κυβέρνηση των Ηνωμένων Πολιτειών έθεσε σε εφαρμογή τον μηχανισμό διαμεσολαβήσεως που περιγράφεται στην απόφαση για την «Ασπίδα Προστασίας Ιδιωτικής Ζωής». Αφού τόνισε ότι οι πολίτες της Ένωσης οι οποίοι ευλόγως θεωρούν ότι τα δεδομένα τους έχουν διαβιβαστεί δυνάμει των αποφάσεων ΤΡΠέχουν πρόσβαση στον μηχανισμό αυτόν ( 21 ), το αιτούν δικαστήριο παρατήρησε ότι ο Διαμεσολαβητής δεν είναι δικαστήριο που πληροί τις απαιτήσεις του άρθρου 47 του Χάρτη και, ειδικότερα, δεν είναι ανεξάρτητος από την εκτελεστική εξουσία ( 22 ). Το αιτούν δικαστήριο διατηρεί επίσης αμφιβολίες ως προς το κατά πόσον η παρέμβαση του Διαμεσολαβητή, του οποίου οι αποφάσεις δεν υπόκεινται σε ένδικη προσφυγή, συνιστά αποτελεσματικό μέσο έννομης προστασίας. Συγκεκριμένα, η παρέμβαση αυτή δεν παρέχει στα πρόσωπα των οποίων τα προσωπικά δεδομένα έχουν παρανόμως συλλεγεί, επεξεργαστεί ή κοινοποιηθεί ούτε τη δυνατότητα να λάβουν αποζημίωση ούτε τη δυνατότητα να εξασφαλίσουν, μέσω της λήψης ασφαλιστικών μέτρων, την παύση των παράνομων πράξεων, δεδομένου ότι ο Διαμεσολαβητής δεν μπορεί ούτε να επιβεβαιώσει ούτε να διαψεύσει ότι έχει εφαρμοστεί μέτρο ηλεκτρονικής παρακολουθήσεως στη συγκεκριμένη υπόθεση που υποβάλλεται στην κρίση του.

74. Αφού εξέφρασε τις επιφυλάξεις του ως προς την ουσιαστική ισοδυναμία των προβλεπόμενων από το αμερικανικό δίκαιο εγγυήσεων με τις απαιτήσεις που απορρέουν από τα άρθρα 7, 8 και 47 του Χάρτη, το αιτούν δικαστήριο διερωτήθηκε μήπως οι προβλεπόμενες στις αποφάσεις ΤΡΠτυποποιημένες συμβατικές ρήτρες –οι οποίες, ως εκ της φύσεώς τους, δεν δεσμεύουν τις αμερικανικές αρχές– είναι παρά ταύτα ικανές να διασφαλίσουν την προστασία των θεμελιωδών δικαιωμάτων των υποκειμένων των δεδομένων. Το αιτούν δικαστήριο κατέληξε στο συμπέρασμα ότι συμμερίζεται τις αμφιβολίες του ΕΠΔ όσον αφορά το κύρος των αποφάσεων αυτών.

75. Το αιτούν δικαστήριο εκτιμά, ειδικότερα, επ’ αυτού ότι το άρθρο 28, παράγραφος 3, της οδηγίας 95/46, στο οποίο παραπέμπει το άρθρο 4 της αποφάσεως 2010/87, δεν αρκεί για να άρει τις σχετικές αμφιβολίες στον βαθμό που αναγνωρίζει στις αρχές ελέγχου την εξουσία να αναστέλλουν ή να απαγορεύουν τις διαβιβάσεις που έχουν ως νομική βάση τις προβλεπόμενες στην εν λόγω απόφαση τυποποιημένες συμβατικές ρήτρες. Το αιτούν δικαστήριο, διερωτάται αν, υπό το πρίσμα της αιτιολογικής σκέψεως 11 της αποφάσεως 2010/87, η εξουσία αυτή, η οποία κατά την κρίση του παρέχει απλώς διακριτική ευχέρεια, μπορεί να ασκηθεί όταν οι διαπιστωθείσες ελλείψεις δεν αφορούν συγκεκριμένη και εξαιρετική περίπτωση, αλλά έχουν γενικό και συστημικό χαρακτήρα ( 23 ). Κατά την εκτίμηση του αιτούντος δικαστηρίου, ο κίνδυνος να εκδοθούν αποκλίνουσες αποφάσεις στα διάφορα κράτη μέλη αποτελεί επίσης στοιχείο το οποίο ενδεχομένως δεν συνηγορεί υπέρ της αναγνωρίσεως στις αρχές ελέγχου της εξουσίας να διαπιστώνουν την ύπαρξη τέτοιων ελλείψεων.

76. Υπό τις συνθήκες αυτές, το High Court (ανώτερο δικαστήριο) κατέληξε, με απόφαση της 4ης Μαΐου 2018 ( 24 ), η οποία περιήλθε στο Δικαστήριο στις 9 Μαΐου 2018, ότι έπρεπε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα: «1) Σε περίπτωση που δεδομένα προσωπικού χαρακτήρα διαβιβάζονται από ιδιωτική εταιρία εγκατεστημένη σε κράτος μέλος της [Ένωσης] προς άλλη ιδιωτική εταιρία σε τρίτη χώρα για εμπορικούς σκοπούς, δυνάμει της αποφάσεως [ΤΡΠ], και υπόκεινται ενδεχομένως σε περαιτέρω επεξεργασία από τις αρχές της τρίτης χώρας για σκοπούς εθνικής ασφάλειας, αλλά και επιβολής του νόμου και διαχειρίσεως των εξωτερικών της υποθέσεων, τυγχάνει εφαρμογής το δίκαιο της Ένωσης (περιλαμβανομένου του Χάρτη) ανεξαρτήτως των διατάξεων του άρθρου 4, παράγραφος 2, ΣΕΕ, που αφορά την εθνική ασφάλεια, και του άρθρου 3, παράγραφος 2, πρώτη περίπτωση, της οδηγίας [95/46], που αφορά τη δημόσια ασφάλεια, την εθνική άμυνα και την ασφάλεια του κράτους; 2) (α) Για να διαπιστωθεί εάν υφίσταται προσβολή των δικαιωμάτων ενός φυσικού προσώπου λόγω της διαβιβάσεως δεδομένων δυνάμει της αποφάσεως [ΤΡΠ] από την [Ένωση] προς τρίτη χώρα όπου ενδεχομένως τα δεδομένα θα υποστούν περαιτέρω επεξεργασία για σκοπούς εθνικής ασφάλειας, ποιο είναι, για τους σκοπούς της οδηγίας [95/46], το σημείο αναφοράς για την απαιτούμενη σύγκριση: i) ο Χάρτης, η ΣΕΕ, η ΣΛΕΕ, η οδηγία [95/46], η [Ευρωπαϊκή Σύμβαση για την Προάσπιση των Δικαιωμάτων του Ανθρώπου και των Θεμελιωδών Ελευθεριών που υπογράφτηκε στη Ρώμη στις 4 Νοεμβρίου 1950], (ή οποιαδήποτε άλλη διάταξη του δικαίου της [Ένωσης]), ή ii) το εθνικό δίκαιο ενός ή περισσοτέρων κρατών μελών; (β) Αν το σημείο αναφοράς είναι το ii, θα πρέπει να συνεκτιμηθούν στο πλαίσιο της συγκρίσεως και οι πρακτικές οι οποίες εφαρμόζονται, σε σχέση με την εθνική ασφάλεια, σε ένα ή περισσότερα κράτη μέλη; 3) Κατά την αξιολόγηση του κατά πόσον μια τρίτη χώρα διασφαλίζει το επίπεδο προστασίας το οποίο απαιτείται από το δίκαιο της Ένωσης για τα δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται στη χώρα αυτή για τους σκοπούς του άρθρου 26 της οδηγίας [95/46], το επίπεδο προστασίας στην τρίτη χώρα πρέπει να αξιολογηθεί με βάση: (α) τους εφαρμοστέους κανόνες στην τρίτη χώρα, όπως απορρέουν από το εθνικό δίκαιο ή από τις διεθνείς δεσμεύσεις, και τις πρακτικές που έχουν σχεδιαστεί προκειμένου να διασφαλίζεται η συμμόρφωση με τους κανόνες αυτούς, περιλαμβανομένων των επαγγελματικών κανόνων και μέτρων ασφαλείας που τηρούνται στην τρίτη χώρα, ή (β) τους κανόνες στους οποίους αναφέρεται το στοιχείο αʹ, σε συνδυασμό με τυχόν διοικητικές και κανονιστικές πρακτικές καθώς και πρακτικές συμμόρφωσης, εγγυήσεις, διαδικασίες, πρωτόκολλα, εποπτικούς μηχανισμούς και εξωδικαστικά μέσα έννομης προστασίας που υφίστανται στην τρίτη χώρα; 4) Λαμβανομένων υπόψη των πραγματικών περιστατικών που διαπίστωσε το High Court [(ανώτερο δικαστήριο)] αναφορικά με το δίκαιο των Ηνωμένων Πολιτειών, υφίσταται προσβολή των δικαιωμάτων των φυσικών προσώπων κατά τα άρθρα 7 ή/και 8 του Χάρτη, σε περίπτωση που διαβιβάζονται δεδομένα προσωπικού χαρακτήρα από την [Ένωση] προς τις Ηνωμένες Πολιτείες δυνάμει της αποφάσεως [ΤΡΠ]; 5) Λαμβανομένων υπόψη των πραγματικών περιστατικών που διαπίστωσε το High Court [(ανώτερο δικαστήριο)] αναφορικά με το δίκαιο των Ηνωμένων Πολιτειών, σε περίπτωση που τα δεδομένα προσωπικού χαρακτήρα διαβιβάζονται από την [Ένωση] προς τις Ηνωμένες Πολιτείες δυνάμει της αποφάσεως [ΤΡΠ]: (α) το επίπεδο προστασίας που παρέχεται από τις Ηνωμένες Πολιτείες σέβεται το βασικό περιεχόμενο του δικαιώματος προσφυγής ενός φυσικού προσώπου σε περίπτωση προσβολής των δικαιωμάτων του/της περί προστασίας δεδομένων, όπως κατοχυρώνεται στο άρθρο 47 του Χάρτη; Σε περίπτωση καταφατικής απαντήσεως στο πέμπτο ερώτημα στοιχείο αʹ: (β) Είναι οι περιορισμοί που επιβάλλονται από το δίκαιο των Ηνωμένων Πολιτειών στο δικαίωμα δικαστικής προσφυγής ενός φυσικού προσώπου σε πλαίσιο που άπτεται της εθνικής ασφάλειας των Ηνωμένων Πολιτειών, αναλογικοί κατά την έννοια του άρθρου 52 του Χάρτη και μη υπερβαίνοντες το μέτρο του αναγκαίου για σκοπούς εθνικής ασφάλειας σε μια δημοκρατική κοινωνία; 6) (α) Ποιο είναι το απαιτούμενο επίπεδο προστασίας σε σχέση με προσωπικά δεδομένα τα οποία διαβιβάζονται προς τρίτη χώρα δυνάμει τυποποιημένων συμβατικών ρητρών που συνάπτονται σύμφωνα με απόφαση της Επιτροπής κατά την έννοια του άρθρου 26, παράγραφος 4, [της οδηγίας 95/46], λαμβανομένων υπόψη των διατάξεων της οδηγίας [95/46], και ειδικότερα των άρθρων 25 και 26, υπό το πρίσμα του Χάρτη; (β) Ποια είναι τα στοιχεία που πρέπει να λαμβάνονται υπόψη όταν αξιολογείται κατά πόσον το επίπεδο προστασίας δεδομένων που διαβιβάζονται προς τρίτη χώρα δυνάμει της αποφάσεως [ΤΡΠ] πληροί τις απαιτήσεις της οδηγίας [95/46] και του Χάρτη; 7) Το γεγονός ότι οι τυποποιημένες συμβατικές ρήτρες εφαρμόζονται μεταξύ του εξαγωγέα δεδομένων και του εισαγωγέα δεδομένων και δεν είναι δεσμευτικές για τις εθνικές αρχές τρίτης χώρας, η οποία ενδέχεται να απαιτήσει από εισαγωγέα δεδομένων να θέσει τα δεδομένα που διαβιβάστηκαν δυνάμει των προβλεπόμενων στην απόφαση [ΤΡΠ] ρητρών στη διάθεση των υπηρεσιών ασφαλείας της, προκειμένου να υποστούν περαιτέρω επεξεργασία, σημαίνει ότι αποκλείεται να προκύπτουν από τις ρήτρες επαρκείς εγγυήσεις κατά την έννοια του άρθρου 26, παράγραφος 2, της οδηγίας [95/46]; 8) Σε περίπτωση που εισαγωγέας δεδομένων από τρίτη χώρα υπόκειται σε νομικό πλαίσιο παρακολουθήσεως, το οποίο κατά την άποψη μιας αρχής προστασίας δεδομένων συγκρούεται με τις [τυποποιημένες ρήτρες προστασίας] ή με τα άρθρα 25 και 26 της οδηγίας [95/46] ή/και με τον Χάρτη, είναι η αντίστοιχη αρχή προστασίας δεδομένων υποχρεωμένη να ασκήσει τις εξουσίες της από το άρθρο 28, παράγραφος 3, της οδηγίας [95/46] για να αναστείλει τις ροές δεδομένων, ή ασκούνται οι εξουσίες αυτές μόνο σε εξαιρετικές περιπτώσεις, λαμβανομένης υπόψη της αιτιολογικής σκέψης 11 της αποφάσεως [ΤΡΠ], ή μήπως μπορεί η αρχή προστασίας δεδομένων να στηριχθεί στη διακριτική της ευχέρεια και να μην αναστείλει τις ροές δεδομένων; 9) (α) Για τους σκοπούς του άρθρου 25, παράγραφος 6, της οδηγίας [95/46], συνιστά η απόφαση [ΑΠΙΖ] γενικής ισχύος διαπίστωση, δεσμευτική τόσο για τις αρχές προστασίας δεδομένων όσο και για τα δικαστήρια των κρατών μελών, από την οποία απορρέει ότι οι Ηνωμένες Πολιτείες διασφαλίζουν ικανοποιητικό επίπεδο προστασίας κατά την έννοια του άρθρου 25, παράγραφος 2, της οδηγίας [95/46], λόγω του εθνικού τους δικαίου ή των διεθνών δεσμεύσεων που έχουν αναλάβει; (β) Σε περίπτωση αρνητικής απαντήσεως, ασκεί τυχόν επιρροή η απόφαση [ΑΠΙΖ] στην αξιολόγηση της επάρκειας των εγγυήσεων οι οποίες παρέχονται σε σχέση με τα δεδομένα που διαβιβάζονται προς τις Ηνωμένες Πολιτείες δυνάμει της αποφάσεως [ΤΡΠ];; (10) Λαμβανομένων υπόψη των διαπιστώσεων του High Court [(ανώτερου δικαστηρίου)] σχετικά με το δίκαιο των Ηνωμένων Πολιτειών, διασφαλίζει η θέσπιση του μηχανισμού του Διαμεσολαβητή της ασπίδας προστασίας της ιδιωτικής ζωής σύμφωνα με το παράρτημα Α του παραρτήματος ΙΙΙ της αποφάσεως [ΑΠΙΖ], σε συνδυασμό με το υπάρχον καθεστώς στις Ηνωμένες Πολιτείες, ότι οι Ηνωμένες Πολιτείες παρέχουν συμβατή με το άρθρο 47 του Χάρτη έννομη προστασία στους ενδιαφερομένους των οποίων τα δεδομένα προσωπικού χαρακτήρα διαβιβάστηκαν προς τις Ηνωμένες Πολιτείες δυνάμει της αποφάσεως [ΤΡΠ]; (11) Αντιβαίνει η απόφαση [ΤΡΠ] στα άρθρα 7, 8 και 47 του Χάρτη;»

77. Ο ΕΠΔ, η Facebook Ireland, ο M. Schrems, η Κυβέρνηση των Ηνωμένων Πολιτειών, το EPIC, η BSA, η Digitaleurope, η Ιρλανδία, η Βελγική, η Τσεχική, η Γερμανική, η Ολλανδική, η Αυστριακή, η Πολωνική, η Πορτογαλική Κυβέρνηση και η Κυβέρνηση του Ηνωμένου Βασιλείου, το Ευρωπαϊκό Κοινοβούλιο καθώς και η Επιτροπή κατέθεσαν γραπτές παρατηρήσεις ενώπιον του Δικαστηρίου. Ο ΕΠΔ, η Facebook Ireland, ο M. Schrems, η Κυβέρνηση των Ηνωμένων Πολιτειών, το EPIC, η BSA, η Digitaleurope, η Ιρλανδία, η Γερμανική, η Γαλλική, η Ολλανδική, η Αυστριακή Κυβέρνηση και η Κυβέρνηση του Ηνωμένου Βασιλείου, το Κοινοβούλιο, η Επιτροπή καθώς και Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (European Data Protection Board, ΕΣΠΔ) εκπροσωπήθηκαν στην επ’ ακροατηρίου συζήτηση της 9ης Ιουλίου 2019.

IV. Ανάλυση

Α. Προκαταρκτικές παρατηρήσεις

78. Αφότου το Δικαστήριο κήρυξε, με την απόφαση Schrems, ανίσχυρη την απόφαση περί «ασφαλούς λιμένα», η διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τις Ηνωμένες Πολιτείες συνεχίστηκε, αλλά στηριζόμενη σε άλλες νομικές βάσεις. Ειδικότερα, οι εταιρίες-εξαγωγείς δεδομένων στηρίχθηκαν σε συμβάσεις με τους εισαγωγείς των δεδομένων, οι οποίες περιλαμβάνουν τυποποιημένες ρήτρες καταρτισθείσες από την Επιτροπή. Οι ρήτρες αυτές χρησιμεύουν ως νομική βάση και για τη διαβίβαση προς πολλές άλλες τρίτες χώρες για τις οποίες η Επιτροπή δεν έχει εκδώσει απόφαση επάρκειας ( 25 ). Η απόφαση για την «Ασπίδα Προστασίας Ιδιωτικής Ζωής» επιτρέπει πλέον σε όσες επιχειρήσεις επιβεβαιώνουν, μέσω αυτοπιστοποιήσεως, ότι προσχωρούν στις αρχές που διατυπώνονται στην απόφαση αυτή να διαβιβάζουν δεδομένα προσωπικού χαρακτήρα προς τις Ηνωμένες Πολιτείες χωρίς άλλες διατυπώσεις.

79. Όπως ρητώς αναφέρεται στη διάταξη περί παραπομπής και όπως υπογράμμισαν η BSA, η Digitaleurope, η Ιρλανδία, η Αυστριακή και η Γαλλική Κυβέρνηση, το Κοινοβούλιο καθώς και η Επιτροπή, το μοναδικό ζήτημα στη διαφορά της κύριας δίκης που εκκρεμεί ενώπιον του High Court (ανωτέρου δικαστηρίου) είναι να κριθεί αν είναι έγκυρη η απόφαση με την οποία η Επιτροπή θέσπισε τις τυποποιημένες συμβατικές ρήτρες που προβάλλονται ως βάση για την πραγματοποίηση των διαβιβάσεων τις οποίες καταγγέλλει ο M. Schrems, δηλαδή η απόφαση 2010/87 ( 26 ).

80. Η παρούσα διαφορά ανάγεται σε καταγγελία ως προς την οποία ο ΕΠΔ ζήτησε από το αιτούν δικαστήριο να υποβάλει στο Δικαστήριο προδικαστικό ερώτημα σχετικά με το κύρος της αποφάσεως 2010/87. Κατά τα λεγόμενα του αιτούντος δικαστηρίου, η διαφορά της κύριας δίκης αφορά, επομένως, την άσκηση του μέσου έννομης προστασίας το οποίο όφειλαν να θεσπίσουν τα κράτη μέλη σύμφωνα με τα όσα διαλαμβάνονταν στη σκέψη 65 της αποφάσεως Schrems.

81. Υπενθυμίζεται ότι το Δικαστήριο, στη σκέψη 63 της αποφάσεως εκείνης, έκρινε ότι οι αρχές ελέγχου οφείλουν να αντιμετωπίζουν με όλη την δέουσα επιμέλεια κάθε καταγγελία στο πλαίσιο της οποίας το υποκείμενο δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν ή θα μπορούσαν να διαβιβαστούν προς τρίτη χώρα για την οποία έχει εκδοθεί απόφαση επάρκειας αμφισβητεί τη συμβατότητα της αποφάσεως αυτής με τα θεμελιώδη δικαιώματα που κατοχυρώνονται στον Χάρτη. Κατά τη σκέψη 65 της αποφάσεως Schrems, σε περίπτωση που αρχή ελέγχου κρίνει βάσιμες τις αιτιάσεις οι οποίες προβλήθηκαν με την καταγγελία, η αρχή αυτή πρέπει να έχει, σύμφωνα με το άρθρο 28, παράγραφος 3, πρώτο εδάφιο, τρίτη περίπτωση, της οδηγίας 95/46 (στο οποίο αντιστοιχεί το άρθρο 58, παράγραφος 5, του ΓΚΠΔ), σε συνδυασμό με το άρθρο 8, παράγραφος 3, του Χάρτη, τη δυνατότητα να προσφύγει σε δικαστήριο. Ο εθνικός νομοθέτης υποχρεούται συναφώς να θεσπίσει μέσα έννομης προστασίας που να παρέχουν στην εθνική αρχή ελέγχου τη δυνατότητα να προβάλει τις προαναφερθείσες αιτιάσεις ενώπιον των εθνικών δικαστηρίων, ώστε αυτά, εφόσον συμμερίζονται τις αμφιβολίες της ως άνω αρχής, να υποβάλουν προδικαστικό ερώτημα σχετικά με το κύρος της επίμαχης αποφάσεως.

82. Όπως και το αιτούν δικαστήριο, εκτιμώ ότι τα συμπεράσματα αυτά ισχύουν κατ’ αναλογίαν και στην περίπτωση κατά την οποία η αρχή ελέγχου, στο πλαίσιο υποβληθείσας ενώπιον της καταγγελίας, αμφισβητεί το κύρος όχι αποφάσεως επάρκειας, αλλά αποφάσεως με την οποία θεσπίζονται τυποποιημένες συμβατικές ρήτρες για τη διαβίβαση προσωπικών δεδομένων προς τρίτες χώρες, όπως η απόφαση 2010/87. Αντιθέτως προς όσα υποστήριξε η Γερμανική Κυβέρνηση, δεν έχει σημασία αν οι αμφιβολίες αυτές δημιουργήθηκαν λόγω των αιτιάσεων που έθεσε υπόψη της αρχής ελέγχου ο καταγγέλλων ή αν η αρχή αυτή αμφισβήτησε αυτοβούλως το κύρος της επίμαχης αποφάσεως. Συγκεκριμένα, οι απορρέουσες από το άρθρο 58, παράγραφος 5, του ΓΚΠΔ και από το άρθρο 8, παράγραφος 3, του Χάρτη απαιτήσεις, που αποτέλεσαν το έρεισμα της αιτιολογίας του Δικαστηρίου, ισχύουν όποια και αν είναι η νομική βάση της διαβιβάσεως την οποία αφορά η κατατεθείσα ενώπιον της αρχής ελέγχου καταγγελία και όποιοι και αν είναι οι λόγοι που οδήγησαν την εν λόγω αρχή να αμφισβητήσει το κύρος της οικείας αποφάσεως.

83. Τούτου λεχθέντος, ο λόγος για τον οποίο ο ΕΠΔ ζήτησε από το αιτούν δικαστήριο να υποβάλει στο Δικαστήριο ερώτημα σχετικά με το κύρος της αποφάσεως 2010/87 είναι ότι κρίνει ότι η διευκρίνιση του ζητήματος αυτού από το Δικαστήριο είναι αναγκαία για την εξέταση της καταγγελίας με την οποία ο M. Schrems της ζητεί να ασκήσει την εξουσία που της παρείχε το άρθρο 28, παράγραφος 3, δεύτερη περίπτωση, της οδηγίας 95/46 –και της παρέχει πλέον το άρθρο 58, παράγραφος 2, στοιχείο στʹ, του ΓΚΠΔ– να αναστείλει τη διαβίβαση των προσωπικών δεδομένων που τον αφορούν από τη Facebook Ireland στη Facebook Inc.

84. Επομένως, ενώ η διαφορά της κύριας δίκης αφορά αποκλειστικώς το in abstracto κύρος της αποφάσεως 2010/87, η «υποκείμενη» διαδικασία που εκκρεμεί ενώπιον του ΕΠΔ αφορά την άσκηση, εκ μέρους του ΕΠΔ, της εξουσίας της να λάβει διορθωτικά μέτρα σε συγκεκριμένη περίπτωση. Προτείνω στο Δικαστήριο να εξετάσει τα υποβληθέντα ερωτήματα μόνο στον βαθμό που είναι αναγκαίο για να αποφανθεί επί του κύρους της αποφάσεως 2010/87, εφόσον αυτή η εξέταση αρκεί για να επιλύσει το αιτούν δικαστήριο την ενώπιόν του εκκρεμή διαφορά ( 27 ).

85. Πριν από την εκτίμηση του κύρους της αποφάσεως αυτής, πρέπει να τεθούν εκποδών ορισμένες ενστάσεις που διατυπώθηκαν ως προς το παραδεκτό της αιτήσεως προδικαστικής αποφάσεως.

Β. Επί του παραδεκτού της προδικαστικής παραπομπής

86. Το παραδεκτό της αιτήσεως προδικαστικής αποφάσεως αμφισβητήθηκε για διαφόρους λόγους, αφού υποστηρίχθηκε, ειδικότερα, ότι η οδηγία 95/46 στην οποία αναφέρονται τα προδικαστικά ερωτήματα δεν έχει εφαρμογή ratione temporis (ενότητα 1), ότι η διαδικασία ενώπιον του ΕΠΔ δεν είχε φθάσει σε αρκούντως προχωρημένο στάδιο ώστε να δικαιολογείται η υποβολή προδικαστικών ερωτημάτων (ενότητα 2) και ότι εξακολουθούν να υπάρχουν αβεβαιότητες ως προς το πραγματικό πλαίσιο που περιγράφεται από το αιτούν δικαστήριο (ενότητα 3).

87. Θα απαντήσω σ’ αυτούς τους λόγους απαραδέκτου έχοντας κατά νου το τεκμήριο λυσιτέλειας το οποίο ισχύει υπέρ των ερωτημάτων που υποβάλλονται στο Δικαστήριο δυνάμει του άρθρου 267 ΣΛΕΕ. Κατά πάγια νομολογία, το Δικαστήριο μπορεί να απορρίψει αίτηση εθνικού δικαστηρίου για την έκδοση προδικαστικής αποφάσεως μόνον όταν προκύπτει προδήλως ότι η ζητούμενη ερμηνεία του δικαίου της Ένωσης ουδεμία σχέση έχει με το υποστατό ή με το αντικείμενο της διαφοράς της κύριας δίκης, όταν το πρόβλημα είναι υποθετικής φύσης ή ακόμη όταν το Δικαστήριο δεν έχει στη διάθεσή του τα πραγματικά και νομικά στοιχεία που είναι αναγκαία για να δώσει χρήσιμη απάντηση στα υποβαλλόμενα ερωτήματα ( 28 ).

1. Επί της εφαρμογής ratione temporis της οδηγίας 95/46

88. Η Facebook Ireland υποστηρίζει ότι τα προδικαστικά ερωτήματα είναι απαράδεκτα για τον λόγο ότι κάνουν αναφορά στην οδηγία 95/46, ενώ η οδηγία αυτή από τις 25 Μαΐου 2018 καταργήθηκε και αντικαταστάθηκε από την ΓΚΠΔ ( 29 ).

89. Συμφωνώ με την άποψη ότι το κύρος της αποφάσεως 2010/87 πρέπει να εξεταστεί υπό το πρίσμα των διατάξεων του ΓΚΠΔ.

90. Κατά το άρθρο 94, παράγραφος 2, του κανονισμού αυτού, «[ο]ι παραπομπές στην καταργούμενη οδηγία θεωρούνται παραπομπές [στον εν λόγω κανονισμό]». Εξ αυτού συνάγεται, κατά την άποψή μου, ότι η απόφαση 2010/87, καθόσον μνημονεύει ως νομική βάση το άρθρο 26, παράγραφος 4, της οδηγίας 95/46, πρέπει να νοηθεί ότι παραπέμπει στο άρθρο 46, παράγραφος 2, στοιχείο γʹ, του ΓΚΠΔ, το οποίο επαναλαμβάνει κατ’ ουσίαν το περιεχόμενο εκείνης της διατάξεως ( 30 ). Συνεπώς, οι εκτελεστικές αποφάσεις που έχει εκδώσει η Επιτροπή δυνάμει του άρθρου 26, παράγραφος 4, της οδηγίας 95/46, πριν από την έναρξη ισχύος του ΓΚΠΔ, πρέπει να ερμηνεύονται υπό το πρίσμα αυτού του κανονισμού. Υπό το πρίσμα του ίδιου κανονισμού πρέπει να εκτιμηθεί και το κύρος τους, όπου συντρέχει τέτοια περίπτωση.

91. Το συμπέρασμα αυτό δεν αναιρείται από τη νομολογία κατά την οποία η νομιμότητα πράξεως της Ένωσης πρέπει να εκτιμάται σε συνάρτηση με τα πραγματικά και νομικά στοιχεία που υφίστανται κατά τον χρόνο εκδόσεως της πράξεως. Η νομολογία αυτή αφορά, πράγματι, την εξέταση του κύρους πράξεως της Ένωσης υπό το πρίσμα των κρίσιμων πραγματικών περιστάσεων που υφίστανται κατά τον χρόνο εκδόσεως αυτής ( 31 ) ή των διαδικαστικών κανόνων που ρυθμίζουν την έκδοση της ( 32 ). Αντιθέτως, το Δικαστήριο έχει επανειλημμένως εξετάσει το κύρος πράξεων του παράγωγου δικαίου υπό το πρίσμα υπέρτερων ουσιαστικών κανόνων δικαίου που τέθηκαν σε εφαρμογή μετά την έκδοση αυτών των πράξεων ( 33 ).

92. Πάντως, η μνεία, στη διατύπωση των προδικαστικών ερωτημάτων, μιας πράξεως που δεν έχει πλέον εφαρμογή ratione temporis δικαιολογεί μεν την αναδιατύπωσή τους, δεν μπορεί όμως να συνεπάγεται το απαράδεκτο των ερωτημάτων αυτών ( 34 ). Όπως υποστήριξαν άλλωστε ο ΕΠΔ και ο M. Schrems, οι παραπομπές στην οδηγία 95/46 στη διατύπωση των προδικαστικών ερωτημάτων οφείλονται μάλλον στη χρονολογία κατά την οποία έλαβαν χώρα οι δικονομικές πράξεις στην υπό κρίση υπόθεση, αφού τα ερωτήματα αυτά υποβλήθηκαν στο Δικαστήριο πριν από την έναρξη ισχύος του ΓΚΠΔ.

93. Σε κάθε περίπτωση, οι διατάξεις του ΓΚΠΔ που θα εξεταστούν κατά την ανάλυση των προδικαστικών ερωτημάτων –ήτοι, ειδικότερα, τα άρθρα 45, 46 και 58– επαναλαμβάνουν κατά βάση το περιεχόμενο των άρθρων 25, 26 και 28 της οδηγίας 95/46, εμπλουτίζοντάς το και αποκλίνοντας ελάχιστα σε ορισμένες λεπτομέρειες. Όσον αφορά τα στοιχεία τους τα οποία έχουν σημασία για την εκτίμηση του κύρους της αποφάσεως 2010/87, δεν βλέπω κανέναν λόγο να αναγνωριστεί στις διατάξεις του ΓΚΠΔ διαφορετικό εννοιολογικό πεδίο από εκείνο των αντίστοιχων διατάξεων της οδηγίας 95/46 ( 35 ).

2. Επί του προσωρινού χαρακτήρα των αμφιβολιών που διατύπωσε ο ΕΠΔ

94. Κατά τη Γερμανική Κυβέρνηση, η αίτηση προδικαστικής αποφάσεως είναι απαράδεκτη διότι η ένδικη διαδικασία για την οποία γίνεται λόγος στη σκέψη 65 της αποφάσεως Schrems προϋποθέτει ότι η αρχή ελέγχου έχει διαμορφώσει οριστική άποψη ως προς το βάσιμο των αιτιάσεων που προβάλλει ο προσφεύγων όσον αφορά το κύρος της επίμαχης αποφάσεως. Τούτο δεν συμβαίνει εν προκειμένω, καθόσον ο ΕΠΔ διατύπωσε τις αμφιβολίες της ως προς το κύρος της αποφάσεως 2010/87, το οποίο εξάλλου δεν αμφισβητείται από τον M. Schrems, στο πλαίσιο ενός σχεδίου αποφάσεως που είχε εκδοθεί προσωρινώς με την επιφύλαξη της τυχόν καταθέσεως συμπληρωματικών παρατηρήσεων εκ μέρους της Facebook Ireland και του M. Schrems.

95. Κατά την άποψή μου, ο προσωρινός χαρακτήρας των αμφιβολιών του ΕΠΔ δεν επηρεάζει το παραδεκτό της αιτήσεως προδικαστικής αποφάσεως. Συγκεκριμένα, τα κριτήρια παραδεκτού προδικαστικού ερωτήματος πρέπει να εκτιμώνται σε σχέση με το αντικείμενο της διαφοράς όπως αυτό ορίζεται από το αιτούν δικαστήριο ( 36 ). Εν προκειμένω δεν αμφισβητείται ότι το αντικείμενο αφορά το κύρος της αποφάσεως 2010/87. Όπως προκύπτει από τη διάταξη περί παραπομπής και από τη συνημμένη σε αυτήν απόφαση, το αιτούν δικαστήριο έκρινε ότι οι αμφιβολίες που εξέφρασε ο ΕΠΔ –χωρίς να έχει σημασία αν οι αμφιβολίες αυτές διατυπώθηκαν προσωρινώς ή οριστικώς– είναι βάσιμες και, ως εκ τούτου, υπέβαλε στο Δικαστήριο αίτηση προδικαστικής αποφάσεως σχετικά με το κύρος της αποφάσεως 2010/87. Υπό τις συνθήκες αυτές, οι διευκρινίσεις που θα δώσει το Δικαστήριο επί του ζητήματος είναι χωρίς καμία αμφιβολία σημαντικές για να μπορέσει το αιτούν δικαστήριο να επιλύσει τη διαφορά της οποίας έχει επιληφθεί.

3. Επί των αμφιβολιών σχετικά με τον ορισμό του πραγματικού πλαισίου

96. Η Κυβέρνηση του Ηνωμένου Βασιλείου ισχυρίζεται ότι το πραγματικό πλαίσιο όπως αυτό περιγράφεται από το αιτούν δικαστήριο παρουσιάζει πολλά κενά τα οποία θέτουν ζήτημα παραδεκτού των προδικαστικών ερωτημάτων. Το αιτούν δικαστήριο δεν διευκρίνισε αν τα δεδομένα προσωπικού χαρακτήρα που αφορούν τον M. Schrems πράγματι διαβιβάστηκαν προς τις Ηνωμένες Πολιτείες ούτε κατά πόσον, σε περίπτωση που κάτι τέτοιο έχει συμβεί, τα δεδομένα αυτά έχουν συλλεγεί από τις αμερικανικές αρχές. Ούτε προσδιορίστηκε με βεβαιότητα η νομική βάση αυτών των πιθανών διαβιβάσεων, δεδομένου ότι η διάταξη περί παραπομπής αναφέρει απλώς ότι τα στοιχεία των Ευρωπαίων χρηστών του μέσου κοινωνικής δικτύωσης Facebook διαβιβάστηκαν «κατά μεγάλο μέρος» βάσει των τυποποιημένων συμβατικών ρητρών που προβλέπει η απόφαση 2010/87. Εν πάση περιπτώσει, κατά την άποψή του, δεν αποδείχθηκε ότι η σύμβαση μεταξύ της Facebook Ireland και της Facebook Inc., της οποίας έγινε επίκληση προς στήριξη της επίδικης διαβιβάσεως, ενσωματώνει πιστά τις ρήτρες αυτές. Και η Γερμανική Κυβέρνηση αμφισβητεί το παραδεκτό της αιτήσεως προδικαστικής αποφάσεως, για τον λόγο ότι το αιτούν δικαστήριο δεν εξέτασε αν ο M. Schrems είχε δώσει τη ρητή συγκατάθεσή του για την επίμαχη διαβίβαση, οπότε στην περίπτωση αυτή η διαβίβαση θα μπορούσε να έχει ως νομική βάση το άρθρο 26, παράγραφος 1, της οδηγίας 95/46 (το περιεχόμενο του οποίου επαναλαμβάνεται κατ’ ουσίαν στο άρθρο 49, παράγραφος 1, στοιχείο αʹ, του ΓΚΠΔ).

97. Τα επιχειρήματα αυτά ουδόλως θέτουν εν αμφιβόλω τη λυσιτέλεια της προδικαστικής παραπομπής, από πλευράς του αντικειμένου της διαφοράς της κύριας δίκης. Εφόσον η διαφορά αυτή πηγάζει από την άσκηση, εκ μέρους του ΕΠΔ, του μέσου έννομης προστασίας που προβλέπεται στη σκέψη 65 της αποφάσεως Schrems, σκοπός της είναι να δεχθεί το εθνικό δικαστήριο να υποβάλει αίτηση προδικαστικής αποφάσεως σχετικά με το κύρος της αποφάσεως 2010/87. Η Γερμανική Κυβέρνηση και η Κυβέρνηση του Ηνωμένου Βασιλείου, δεν αμφισβητούν, στην πραγματικότητα, το κατά πόσον τα προδικαστικά ερωτήματα είναι αναγκαία για να κριθεί το κύρος της αποφάσεως 2010/87, αλλά το κατά πόσον είναι αναγκαία για να μπορέσει ο ΕΠΔ να αποφανθεί in concreto επί της καταγγελίας του M. Schrems.

98. Εν πάση περιπτώσει, ακόμη και υπό το πρίσμα της «υποκείμενης» διαδικασίας στην οποία βασίζεται η διαφορά της κύριας δίκης, τα προδικαστικά ερωτήματα που αφορούν το κύρος της αποφάσεως 2010/87 δεν είναι, κατά τη γνώμη μου, άνευ σημασίας. Τούτο διότι το αιτούν δικαστήριο διαπίστωσε ότι η Facebook Ireland συνέχισε να διαβιβάζει τα δεδομένα των χρηστών της προς τις Ηνωμένες Πολιτείες και αφότου η απόφαση περί «ασφαλούς λιμένα» κηρύχθηκε ανίσχυρη και ότι οι διαβιβάσεις αυτές έχουν ως νομική βάση, τουλάχιστον εν μέρει, την απόφαση 2010/87. Επιπλέον, μολονότι είναι ενδεχομένως χρήσιμο να έχουν εξακριβωθεί όλα τα κρίσιμα πραγματικά περιστατικά πριν από την άσκηση της αρμοδιότητας του αιτούντος δικαστηρίου δυνάμει του άρθρου 267 ΣΛΕΕ, εναπόκειται αποκλειστικώς σε αυτό να εκτιμήσει σε ποιο στάδιο της διαδικασίας χρειάζεται προδικαστική απόφαση από το Δικαστήριο ( 37 ).

99. Λαμβανομένων υπόψη των προεκτεθέντων, φρονώ ότι η αίτηση προδικαστικής αποφάσεως είναι παραδεκτή.

Γ. Επί της εφαρμογής του δικαίου της Ένωσης στις διαβιβάσεις δεδομένων προσωπικού χαρακτήρα για εμπορικούς σκοπούς προς τρίτο κράτος το οποία ενδέχεται να τα επεξεργαστεί για σκοπούς εθνικής ασφάλειας (πρώτο ερώτημα)

100. Με το πρώτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ερωτά αν το δίκαιο της Ένωσης έχει εφαρμογή στην περίπτωση διαβιβάσεως δεδομένων προσωπικού χαρακτήρα από εταιρία η οποία έχει την έδρα της σε κράτος μέλος προς εταιρία εγκατεστημένη σε τρίτη χώρα, όταν, μετά την έναρξη της διαβιβάσεως, ενδέχεται τα δεδομένα να υποστούν επεξεργασία από τις δημόσιες αρχές της εν λόγω τρίτης χώρας για σκοπούς που περιλαμβάνουν την προστασία της εθνικής ασφάλειας.

101. Η σημασία του ερωτήματος αυτού για την επίλυση της διαφοράς της κύριας δίκης έγκειται στο γεγονός ότι, αν η διαβίβαση αυτή δεν εμπίπτει στο πεδίο εφαρμογής του δικαίου της Ένωσης, οι ενστάσεις κατά του κύρους της αποφάσεως 2010/87 που προβλήθηκαν στην υπό κρίση υπόθεση καθίστανται άνευ ερείσματος.

102. Όπως παρατήρησε το αιτούν δικαστήριο, η επεξεργασία δεδομένων προσωπικού χαρακτήρα για λόγους εθνικής ασφάλειας δεν εμπίπτει στο πεδίο εφαρμογής της οδηγίας 95/46, δυνάμει του άρθρου 3, παράγραφος 2, της οδηγίας αυτής. Το άρθρο 2, παράγραφος 2, του ΓΚΠΔ διευκρινίζει πλέον ότι αυτός ο κανονισμός δεν εφαρμόζεται, μεταξύ άλλων, στην επεξεργασία δεδομένων προσωπικού χαρακτήρα όταν γίνεται στο πλαίσιο δραστηριότητας η οποία δεν εμπίπτει στο πεδίο εφαρμογής του δικαίου της Ένωσης ή από αρμόδιες αρχές για τους σκοπούς προστασίας της δημόσιας ασφάλειας. Οι διατάξεις αυτές απηχούν την επιφύλαξη την οποία αναγνωρίζει υπέρ των κρατών μελών το άρθρο 4, παράγραφος 2, ΣΕΕ, προς διατήρηση της αρμοδιότητάς τους στον τομέα της προστασίας της εθνικής ασφάλειας.

103. Ο ΕΠΔ, ο M. Schrems, η Ιρλανδία, η Γερμανική, η Αυστριακή, η Βελγική, η Τσεχική, η Ολλανδική, η Πολωνική και η Πορτογαλική Κυβέρνηση, καθώς και το Κοινοβούλιο και η Επιτροπή υποστηρίζουν ότι διαβιβάσεις όπως αυτές τις οποίες αφορά η καταγγελία του M. Schrems δεν καλύπτονται από τις προαναφερθείσες διατάξεις και επομένως εμπίπτουν στο πεδίο εφαρμογής του δικαίου της Ένωσης. Η Facebook Ireland υποστηρίζει την αντίθετη άποψη. Συμφωνώ με την άποψη των πρώτων.

104. Υπογραμμίζεται συναφώς ότι η διαβίβαση δεδομένων προσωπικού χαρακτήρα από κράτος μέλος προς τρίτη χώρα αποτελεί, αυτή καθεαυτήν, «επεξεργασία» υπό την έννοια του άρθρου 4, σημείο 2, του ΓΚΠΔ, η οποία πραγματοποιείται στο έδαφος κράτους μέλους ( 38 ). Σκοπός του πρώτου προδικαστικού ερωτήματος είναι να κριθεί αν το δίκαιο της Ένωσης εφαρμόζεται επί της επεξεργασίας που συνίσταται στην ίδια τη διαβίβαση. Το ερώτημα αυτό δεν αφορά τη δυνατότητα εφαρμογής του δικαίου της Ένωσης στην τυχόν περαιτέρω επεξεργασία στην οποία υποβάλλονται από τις αμερικανικές αρχές, για σκοπούς εθνικής ασφάλειας, τα δεδομένα που διαβιβάζονται προς τις Ηνωμένες Πολιτείες, αφού, ασφαλώς, αυτή η περαιτέρω δεν εμπίπτει στο εδαφικό πεδίο εφαρμογής του ΓΚΠΔ ( 39 ).

105. Υπό το πρίσμα αυτό, προκειμένου να κριθεί αν το δίκαιο της Ένωσης εφαρμόζεται στη διαβίβαση των επίμαχων δεδομένων, πρέπει να ληφθεί υπόψη μόνον η δραστηριότητα στο πλαίσιο της οποίας εντάσσεται η εν λόγω διαβίβαση, χωρίς να έχει σημασία ο σκοπός της τυχόν περαιτέρω επεξεργασίας που ενδέχεται υποστούν τα διαβιβαζόμενα δεδομένα από δημόσιες αρχές της τρίτης χώρας προορισμού ( 40 ).

106. Από τη δε διάταξη περί παραπομπής προκύπτει ότι η διαβίβαση την οποία αφορά η καταγγελία του M. Schrems εντάσσεται στο πλαίσιο εμπορικής δραστηριότητας. Εξάλλου, η διαβίβαση αυτή δεν πραγματοποιείται με σκοπό να γίνει περαιτέρω επεξεργασία των επίμαχων δεδομένων από τις αμερικανικές αρχές για σκοπούς εθνικής ασφάλειας.

107. Εξάλλου, η προσέγγιση την οποία προτείνει η Facebook Ireland στερεί από τις διατάξεις του ΓΚΠΔ που αφορούν τις διαβιβάσεις προς τρίτες χώρες την πρακτική αποτελεσματικότητά τους, καθόσον ουδέποτε μπορεί να αποκλειστεί το ενδεχόμενο να τύχουν τα δεδομένα που διαβιβάζονται στο πλαίσιο εμπορικής δραστηριότητας περαιτέρω επεξεργασίας για σκοπούς εθνικής ασφάλειας σε στάδιο μεταγενέστερο της διαβιβάσεως.

108. Η ερμηνεία που προτείνω επιβεβαιώνεται από το γράμμα του άρθρου 45, παράγραφος 2, στοιχείο αʹ, του ΓΚΠΔ. Η διάταξη αυτή ορίζει ότι η Επιτροπή, κατά την έκδοση αποφάσεως επάρκειας, λαμβάνει υπόψη, μεταξύ άλλων, τη νομοθεσία της αντίστοιχης τρίτης χώρας όσον αφορά την εθνική ασφάλεια. Εξ αυτού μπορεί να συναχθεί ότι το γεγονός ότι τα δεδομένα ενδεχομένως να υφίστανται από τις αρχές της τρίτης χώρας προορισμού επεξεργασία με σκοπό την προστασία της εθνικής ασφάλειας δεν σημαίνει ότι το δίκαιο της Ένωσης δεν εφαρμόζεται στην επεξεργασία η οποία συνίσταται στη διαβίβαση δεδομένων προς την τρίτη αυτή χώρα.

109. Στην ίδια παραδοχή εδράζονται τόσο το σκεπτικό όσο και τα συμπεράσματα που διατύπωσε το Δικαστήριο στην απόφαση Schrems. Ειδικότερα, στην απόφαση εκείνη, το Δικαστήριο εξέτασε υπό το πρίσμα του άρθρου 25, παράγραφος 6, της οδηγίας 95/46, σε συνδυασμό με τον Χάρτη, και το κύρος της αποφάσεως περί «ασφαλούς λιμένα», στο μέτρο που αφορούσε τη διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τις Ηνωμένες Πολιτείες όπου συλλέγονταν και υφίσταντο επεξεργασία για σκοπούς προστασίας της εθνικής ασφάλειας ( 41 ).

110. Λαμβανομένων υπόψη των ανωτέρω σκέψεων, εκτιμώ ότι το δίκαιο της Ένωσης έχει εφαρμογή στην περίπτωση διαβιβάσεως προσωπικών δεδομένων από κράτος μέλος προς τρίτη χώρα, όταν η διαβίβαση αυτή εντάσσεται στο πλαίσιο εμπορικής δραστηριότητας, χωρίς να έχει σημασία αν τα διαβιβαζόμενα δεδομένα ενδέχεται να υποστούν από τις δημόσιες αρχές της εν λόγω τρίτης χώρας επεξεργασία με σκοπό την προστασία της εθνικής της ασφάλειας.

Δ. Επί του απαιτούμενου επιπέδου προστασίας στο πλαίσιο διαβιβάσεως που θεμελιώνεται σε τυποποιημένες συμβατικές ρήτρες (πρώτο σκέλος του έκτου ερωτήματος)

111. Με το πρώτο σκέλος του έκτου προδικαστικού ερωτήματος, το αιτούν δικαστήριο ζητεί να διευκρινιστεί ποιο είναι το επίπεδο προστασίας των θεμελιωδών δικαιωμάτων των υποκειμένων των δεδομένων το οποίο πρέπει να διασφαλίζεται προκειμένου να είναι δυνατή η διαβίβαση σε τρίτη χώρα δεδομένων προσωπικού χαρακτήρα δυνάμει των τυποποιημένων συμβατικών ρητρών που προβλέπει η απόφαση 2010/87.

112. Το αιτούν δικαστήριο επισημαίνει ότι, στην απόφαση Schrems, το Δικαστήριο ερμήνευσε το άρθρο 25, παράγραφος 6, της οδηγίας 95/46 (το περιεχόμενο του οποίου επαναλαμβάνεται κατ’ ουσίαν στο άρθρο 45, παράγραφος 3, του ΓΚΠΔ), καθόσον προέβλεπε ότι η Επιτροπή δεν μπορεί να εκδώσει απόφαση επάρκειας παρά μόνον αφού βεβαιωθεί ότι η οικεία τρίτη χώρα εξασφαλίζει επαρκές επίπεδο προστασίας, υπό την έννοια ότι προϋποθέτει ότι η Επιτροπή έχει διαπιστώσει ότι η χώρα αυτή διασφαλίζει επίπεδο προστασίας των θεμελιωδών δικαιωμάτων και ελευθεριών ουσιαστικά ισοδύναμο με εκείνο που κατοχυρώνεται εντός της Ένωσης δυνάμει της οδηγίας αυτής σε συνδυασμό με τον Χάρτη ( 42 ).

113. Στο πλαίσιο αυτό, με το πρώτο σκέλος του έκτου προδικαστικού ερωτήματος το Δ