EDICIÓN PROVISIONAL 26/11/2019

CONCLUSIONES DEL ABOGADO GENERAL

SR. HENRIK SAUGMANDSGAARD ØE

presentadas el 19 de diciembre de 2019 ( 1 )

Asunto C‑311/18

Data Protection Commissioner

contra

Facebook Ireland Limited,

Maximillian Schrems,

con intervención de

The United States of America,

Electronic Privacy Information Centre,

BSA Business Software Alliance, Inc.,

Digitaleurope

[Petición de decisión prejudicial presentada por la High Court (Tribunal Superior, Irlanda)]

«Procedimiento prejudicial — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Artículo 2, apartado 2 — Ámbito de aplicación — Transferencia de datos personales con fines comerciales a los Estados Unidos de América — Tratamiento de los datos transferidos con fines de seguridad nacional por parte de las autoridades públicas de los Estados Unidos de América — Artículo 45 — Apreciación de la adecuación del nivel de protección garantizado en un tercer país — Artículo 46 — Garantías adecuadas ofrecidas por el responsable del tratamiento — Cláusulas tipo de protección — Artículo 58, apartado 2 — Facultades de las autoridades de control — Decisión 2010/87/UE — Validez — Decisión de Ejecución (UE) 2016/1250 — “Escudo de la privacidad UE-EE. UU.” — Validez — Artículos 7, 8 y 47 de la Carta de los Derechos Fundamentales de la Unión Europea»

Índice

I. Introducción II. Marco jurídico A. Directiva 95/46/CE B. RGPD C. Decisión 2010/87 D. Decisión sobre el «Escudo de la privacidad» III. Litigio principal, cuestiones prejudiciales y procedimiento ante el Tribunal de Justicia IV. Apreciación A. Observaciones preliminares B. Sobre la admisibilidad de la petición de decisión prejudicial 1. Sobre la aplicabilidad ratione temporis de la Directiva 95/46 2. Sobre el carácter provisional de las dudas expresadas por el DPC 3. Sobre las dudas que rodean a la definición del marco fáctico C. Sobre la aplicabilidad del Derecho de la Unión a las transferencias con fines comerciales de datos personales a un tercer Estado que puede tratarlos por razones de seguridad nacional (primera cuestión prejudicial) D. Sobre el nivel de protección exigido en el marco de una transferencia basada en cláusulas contractuales tipo (primera parte de la sexta cuestión prejudicial) E. Sobre la validez de la Decisión 2010/87 en relación con los artículos 7, 8 y 47 de la Carta (cuestiones prejudiciales séptima, octava y undécima) 1. Sobre las obligaciones de los responsables del tratamiento 2. Sobre las obligaciones de las autoridades de control F. Sobre la falta de necesidad de responder a las demás cuestiones prejudiciales y de examinar la validez de la Decisión sobre el «Escudo de la privacidad» 1. Sobre la falta de necesidad de las respuestas del Tribunal de Justicia en relación con el objeto del litigio principal 2. Sobre las razones que militan en contra de un examen por parte del Tribunal de Justicia en relación con el objeto del procedimiento pendiente ante el DPC G. Observaciones con carácter subsidiario relativas a los efectos y a la validez de la Decisión sobre el «Escudo de la privacidad» 1. Sobre la influencia de la Decisión sobre el «Escudo de la privacidad» en el marco de la tramitación por parte de una autoridad de control de una reclamación relativa a la licitud de una transferencia basada en garantías contractuales 2. Sobre la validez de la Decisión sobre el «Escudo de la privacidad» a) Precisiones relativas al contenido del examen de validez de una decisión de adecuación 1) Sobre los términos de la comparación que permiten evaluar la «equivalencia sustancial» del nivel de protección 2) Sobre la necesidad de garantizar un nivel adecuado de protección durante la fase de tránsito de los datos 3) Sobre la toma en consideración de las constataciones de hecho realizadas por la Comisión y por el órgano jurisdiccional remitente sobre el Derecho estadounidense 4) Sobre el alcance del estándar de la «equivalencia sustancial» b) Sobre la validez de la Decisión sobre el «Escudo de la privacidad» en relación con los derechos al respeto de la vida privada y a la protección de los datos personales 1) Sobre la existencia de injerencias 2) Sobre el carácter «establecido por la ley» de las injerencias 3) Sobre la inexistencia de un menoscabo del contenido esencial de los derechos fundamentales 4) Sobre la persecución de un objetivo legítimo 5) Sobre el carácter necesario y proporcionado de las injerencias c) Sobre la validez de la Decisión sobre el «Escudo de la privacidad» en relación con el derecho a la tutela judicial efectiva 1) Sobre la efectividad de los recursos judiciales previstos en el Derecho estadounidense 2) Sobre la influencia de la figura del Defensor del Pueblo sobre el nivel de protección del derecho a la tutela judicial efectiva V. Conclusión

I. Introducción

1. Al no existir garantías comunes en materia de protección de datos personales a nivel mundial, los flujos transfronterizos de dichos datos presentan un riesgo de ruptura en la continuidad del nivel de protección garantizado dentro de la Unión Europea. Con el fin de facilitar dichos flujos, a la vez que se limita el mencionado riesgo, el legislador de la Unión ha establecido tres mecanismos en virtud de los cuales pueden transferirse datos personales desde la Unión a un tercer Estado.

2. En primer lugar, tal transferencia puede efectuarse sobre la base de una decisión mediante la cual la Comisión Europea declare que el tercer Estado en cuestión garantiza un «nivel de protección adecuado» de los datos que se transfieren a este. ( 2 ) En segundo lugar, en defecto de tal decisión, se puede autorizar la transferencia si se acompaña de «garantías adecuadas». ( 3 ) Dichas garantías pueden presentar la forma de un contrato entre el exportador y el importador de los datos que incluya cláusulas tipo de protección adoptadas por la Comisión. En tercer lugar, el RGPD prevé determinadas excepciones, basadas en particular en el consentimiento del interesado, que permiten la transferencia a un tercer país incluso en ausencia de una decisión de adecuación o de garantías adecuadas. ( 4 )

3. La petición de decisión prejudicial presentada por la High Court (Tribunal Superior, Irlanda) se refiere al segundo de estos mecanismos. Más concretamente, versa sobre la validez de la Decisión 2010/87/UE, ( 5 ) mediante la cual la Comisión ha establecido cláusulas contractuales tipo para determinadas categorías de transferencias, con arreglo a los artículos 7, 8 y 47 de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»).

4. Esta petición se ha presentado en el contexto de un litigio entre, por una parte, el Data Protection Commissioner (Comisario para la Protección de Datos, Irlanda; en lo sucesivo, «DPC») y, por otra parte, Facebook Ireland Ltd y el Sr. Maximillian Schrems. Este presentó ante el DPC una reclamación interpuesta en relación con la transferencia de datos personales que le conciernen por parte de Facebook Ireland a Facebook Inc., su sociedad matriz establecida en los Estados Unidos de América (en lo sucesivo, «Estados Unidos»). El DPC considera que la tramitación de esta reclamación depende de que la Decisión 2010/87 sea válida. En este contexto, ha recurrido ante el órgano jurisdiccional remitente pidiéndole que pregunte al respecto al Tribunal de Justicia.

5. De entrada, debo señalar que, en mi opinión, el examen de las cuestiones prejudiciales no ha revelado ningún elemento que pueda afectar a la validez de la Decisión 2010/87.

6. Asimismo, el órgano jurisdiccional remitente ha expresado algunas dudas referidas, en esencia, a la adecuación del nivel de protección garantizado por los Estados Unidos en relación con las injerencias que generan las actividades de los servicios de inteligencia estadounidenses en el ejercicio de los derechos fundamentales de las personas cuyos datos se transfieren a este tercer país. Estas dudas ponen indirectamente en entredicho las apreciaciones efectuadas por la Comisión a este respecto en la Decisión de Ejecución (UE) 2016/1250. ( 6 ) A pesar de que la resolución del litigio principal no exige que el Tribunal de Justicia dirima esta cuestión y de que, por tanto, le sugiero que se abstenga de ello, expondré con carácter subsidiario las razones que me llevan a cuestionar la validez de esta Decisión.

7. Todo mi análisis estará dirigido a la búsqueda de un equilibrio entre, por una parte, la necesidad de demostrar un «grado de pragmatismo razonable con el fin de permitir la interacción con el resto del mundo», ( 7 ) y, por otra parte, la de afirmar los valores fundamentales reconocidos en los ordenamientos jurídicos de la Unión y de sus Estados miembros, en particular mediante la Carta.

II. Marco jurídico

A. Directiva 95/46/CE

8. El artículo 3, apartado 2, de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos ( 8 ) establecía lo siguiente: «Las disposiciones de la presente Directiva no se aplicarán al tratamiento de datos personales: – efectuado en el ejercicio de actividades no comprendidas en el ámbito de aplicación del Derecho comunitario, como las previstas por las disposiciones de los títulos V y VI del Tratado de la Unión Europea y, en cualquier caso, al tratamiento de datos que tenga por objeto la seguridad pública, la defensa, la seguridad del Estado (incluido el bienestar económico del Estado cuando dicho tratamiento esté relacionado con la seguridad del Estado) y las actividades del Estado en materia penal, […]».

9. El artículo 13, apartado 1, de esta Directiva rezaba de la siguiente manera: «Los Estados miembros podrán adoptar medidas legales para limitar el alcance de las obligaciones y los derechos previstos en el apartado 1 del artículo 6, en el artículo 10, en el apartado 1 del artículo 11, y en los artículos 12 y 21 cuando tal limitación constituya una medida necesaria para la salvaguardia de: a) la seguridad del Estado; b) la defensa; c) la seguridad pública; d) la prevención, la investigación, la detección y la represión de infracciones penales o de las infracciones de la deontología en las profesiones reglamentadas; e) un interés económico y financiero importante de un Estado miembro o de la Unión […], incluidos los asuntos monetarios, presupuestarios y fiscales; f) una función de control, de inspección o reglamentaria relacionada, aunque solo sea ocasionalmente, con el ejercicio de la autoridad pública en los casos a que hacen referencia las letras c), d) y e); g) la protección del interesado o de los derechos y libertades de otras personas.»

10. El artículo 25 de dicha Directiva enunciaba: «1. Los Estados miembros dispondrán que la transferencia a un país tercero de datos personales que sean objeto de tratamiento o destinados a ser objeto de tratamiento con posterioridad a su transferencia, únicamente pueda efectuarse cuando, sin perjuicio del cumplimiento de las disposiciones de Derecho nacional adoptadas con arreglo a las demás disposiciones de la presente Directiva, el país tercero de que se trate garantice un nivel de protección adecuado. 2. El carácter adecuado del nivel de protección que ofrece un país tercero se evaluará atendiendo a todas las circunstancias que concurran en una transferencia o en una categoría de transferencias de datos; en particular, se tomará en consideración la naturaleza de los datos, la finalidad y la duración del tratamiento o de los tratamientos previstos, el país de origen y el país de destino final, las normas de Derecho, generales o sectoriales, vigentes en el país tercero de que se trate, así como las normas profesionales y las medidas de seguridad en vigor en dichos países. […] 6. La Comisión podrá hacer constar, de conformidad con el procedimiento previsto en el apartado 2 del artículo 31, que un país tercero garantiza un nivel de protección adecuado de conformidad con el apartado 2 del presente artículo, a la vista de su legislación interna o de sus compromisos internacionales, suscritos especialmente al término de las negociaciones mencionadas en el apartado 5, a efectos de protección de la vida privada o de las libertades o de los derechos fundamentales de las personas. Los Estados miembros adoptarán las medidas necesarias para ajustarse a la decisión de la Comisión.»

11. El artículo 26, apartados 2 y 4, de la misma Directiva establecía: «2. Sin perjuicio de lo dispuesto en el apartado 1, los Estados miembros podrán autorizar una transferencia o una serie de transferencias de datos personales a un tercer país que no garantice un nivel de protección adecuado con arreglo al apartado 2 del artículo 25, cuando el responsable del tratamiento ofrezca garantías suficientes respecto de la protección de la vida privada, de los derechos y libertades fundamentales de las personas, así como respecto al ejercicio de los respectivos derechos; dichas garantías podrán derivarse, en particular, de cláusulas contractuales apropiadas. […] 4. Cuando la Comisión decida […] que determinadas cláusulas contractuales tipo ofrecen las garantías suficientes establecidas en el apartado 2, los Estados miembros adoptarán las medidas necesarias para ajustarse a la decisión de la Comisión.»

12. El artículo 28, apartado 3, de la Directiva 95/46 estaba formulado de la siguiente manera: «La autoridad de control dispondrá, en particular, de: […] – poderes efectivos de intervención, como, por ejemplo, el de formular dictámenes antes de realizar los tratamientos, con arreglo al artículo 20, y garantizar una publicación adecuada de dichos dictámenes, o el de ordenar el bloqueo, la supresión o la destrucción de datos, o incluso prohibir provisional o definitivamente un tratamiento, o el de dirigir una advertencia o amonestación al responsable del tratamiento o el de someter la cuestión a los parlamentos u otras instituciones políticas nacionales. […]»

B. RGPD

13. El RGPD derogó la Directiva 95/46 en virtud de su artículo 94, apartado 1, con efecto a partir del 25 de mayo de 2018, fecha en la que comenzó a aplicarse este Reglamento con arreglo a su artículo 99, apartado 2.

14. El artículo 2, apartado 2, de dicho Reglamento dispone: «El presente Reglamento no se aplica al tratamiento de datos personales: a) en el ejercicio de una actividad no comprendida en el ámbito de aplicación del Derecho de la Unión; b) por parte de los Estados miembros cuando lleven a cabo actividades comprendidas en el ámbito de aplicación del capítulo 2 del título V del TUE; […] d) por parte de las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales, incluida la de protección frente a amenazas a la seguridad pública y su prevención.»

15. El artículo 4, punto 2, del mismo Reglamento define el «tratamiento» como «cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción».

16. El artículo 23 del RGPD establece: «1. El Derecho de la Unión o de los Estados miembros que se aplique al responsable o [al] encargado del tratamiento podrá limitar, a través de medidas legislativas, el alcance de las obligaciones y de los derechos establecidos en los artículos 12 a 22 y el artículo 34, así como en el artículo 5 en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los artículos 12 a 22, cuando tal limitación respete en lo esencial los derechos y libertades fundamentales y sea una medida necesaria y proporcionada en una sociedad democrática para salvaguardar: a) la seguridad del Estado; b) la defensa; c) la seguridad pública; d) la prevención, investigación, detección o enjuiciamiento de infracciones penales o la ejecución de sanciones penales, incluida la protección frente a amenazas a la seguridad pública y su prevención; e) otros objetivos importantes de interés público general de la Unión o de un Estado miembro, en particular un interés económico o financiero importante de la Unión o de un Estado miembro […]; […] 2. En particular, cualquier medida legislativa indicada en el apartado 1 contendrá como mínimo, en su caso, disposiciones específicas relativas a: a) la finalidad del tratamiento o de las categorías de tratamiento; b) las categorías de datos personales de que se trate; c) el alcance de las limitaciones establecidas; d) las garantías para evitar accesos o transferencias ilícitos o abusivos; e) la determinación del responsable o de categorías de responsables; f) los plazos de conservación y las garantías aplicables, habida cuenta de la naturaleza, alcance y objetivos del tratamiento o las categorías de tratamiento; g) los riesgos para los derechos y libertades de los interesados, y h) el derecho de los interesados a ser informados sobre la limitación, salvo si puede ser perjudicial a los fines de esta.»

17. El artículo 44 de este Reglamento, titulado «Principio general de las transferencias», enuncia: «Solo se realizarán transferencias de datos personales que sean objeto de tratamiento o vayan a serlo tras su transferencia a un tercer país u organización internacional si, a reserva de las demás disposiciones del presente Reglamento, el responsable y el encargado del tratamiento cumplen las condiciones establecidas en el presente capítulo, incluidas las relativas a las transferencias ulteriores de datos personales desde el tercer país u organización internacional a otro tercer país u otra organización internacional. Todas las disposiciones del presente capítulo se aplicarán a fin de asegurar que el nivel de protección de las personas físicas garantizado por el presente Reglamento no se vea menoscabado.»

18. Según el artículo 45 de dicho Reglamento, que lleva por título «Transferencias basadas en una decisión de adecuación»: «1. Podrá realizarse una transferencia de datos personales a un tercer país u organización internacional cuando la Comisión haya decidido que el tercer país, un territorio o uno o varios sectores específicos de ese tercer país, o la organización internacional de que se trate garantizan un nivel de protección adecuado. Dicha transferencia no requerirá ninguna autorización específica. 2. Al evaluar la adecuación del nivel de protección, la Comisión tendrá en cuenta, en particular, los siguientes elementos: a) el Estado de Derecho, el respeto de los derechos humanos y las libertades fundamentales, la legislación pertinente, tanto general como sectorial, incluida la relativa a la seguridad pública, la defensa, la seguridad nacional y la legislación penal, y el acceso de las autoridades públicas a los datos personales, así como la aplicación de dicha legislación, las normas de protección de datos, las normas profesionales y las medidas de seguridad, incluidas las normas sobre transferencias ulteriores de datos personales a otro tercer país u organización internacional observadas en ese país u organización internacional, la jurisprudencia, así como el reconocimiento a los interesados cuyos datos personales estén siendo transferidos de derechos efectivos y exigibles y de recursos administrativos y acciones judiciales que sean efectivos; b) la existencia y el funcionamiento efectivo de una o varias autoridades de control independientes en el tercer país o a las cuales esté sujeta una organización internacional, con la responsabilidad de garantizar y hacer cumplir las normas en materia de protección de datos, incluidos poderes de ejecución adecuados, de asistir y asesorar a los interesados en el ejercicio de sus derechos, y de cooperar con las autoridades de control de la Unión y de los Estados miembros, y c) los compromisos internacionales asumidos por el tercer país u organización internacional de que se trate, u otras obligaciones derivadas de acuerdos o instrumentos jurídicamente vinculantes, así como de su participación en sistemas multilaterales o regionales, en particular en relación con la protección de los datos personales. 3. La Comisión, tras haber evaluado la adecuación del nivel de protección, podrá decidir, mediante un acto de ejecución, que un tercer país, un territorio o uno o varios sectores específicos de un tercer país, o una organización internacional garantizan un nivel de protección adecuado a tenor de lo dispuesto en el apartado 2 del presente artículo. El acto de ejecución establecerá un mecanismo de revisión periódica, al menos cada cuatro años, que tenga en cuenta todos los acontecimientos relevantes en el tercer país o en la organización internacional. […] 4. La Comisión supervisará de manera continuada los acontecimientos en países terceros y organizaciones internacionales que puedan afectar a la efectiva aplicación de las decisiones adoptadas con arreglo al apartado 3 del presente artículo y de las decisiones adoptadas sobre la base del artículo 25, apartado 6, de la [Directiva 95/46]. 5. Cuando la información disponible, en particular tras la revisión a que se refiere el apartado 3 del presente artículo, muestre que un tercer país, un territorio o un sector específico de ese tercer país, o una organización internacional ya no garantiza un nivel de protección adecuado a tenor del apartado 2 del presente artículo, la Comisión, mediante actos de ejecución, derogará, modificará o suspenderá, en la medida necesaria y sin efecto retroactivo, la decisión a que se refiere el apartado 3 del presente artículo. […] 6. La Comisión entablará consultas con el tercer país u organización internacional con vistas a poner remedio a la situación que dé lugar a la decisión adoptada de conformidad con el apartado 5. […] 9. Las decisiones adoptadas por la Comisión en virtud del artículo 25, apartado 6, de la [Directiva 95/46] permanecerán en vigor hasta que sean modificadas, sustituidas o derogadas por una decisión de la Comisión adoptada de conformidad con los apartados 3 o 5 del presente artículo.»

19. El artículo 46 del mismo Reglamento, titulado «Transferencias mediante garantías adecuadas», tiene el siguiente tenor literal: «1. A falta de decisión con arreglo al artículo 45, apartado 3, el responsable o el encargado del tratamiento solo podrá transmitir datos personales a un tercer país u organización internacional si hubiera ofrecido garantías adecuadas y a condición de que los interesados cuenten con derechos exigibles y acciones legales efectivas. 2. Las garantías adecuadas con arreglo al apartado 1 podrán ser aportadas, sin que se requiera ninguna autorización expresa de una autoridad de control, por: […] c) cláusulas tipo de protección de datos adoptadas por la Comisión de conformidad con el procedimiento de examen a que se refiere el artículo 93, apartado 2; […] 5. Las autorizaciones otorgadas por un Estado miembro o una autoridad de control de conformidad con el artículo 26, apartado 2, de la [Directiva 95/46] seguirán siendo válidas hasta que hayan sido modificadas, sustituidas o derogadas, en caso necesario, por dicha autoridad de control. Las decisiones adoptadas por la Comisión en virtud del artículo 26, apartado 4, de la [Directiva 95/46] permanecerán en vigor hasta que sean modificadas, sustituidas o derogadas, en caso necesario, por una decisión de la Comisión adoptada de conformidad con el apartado 2 del presente artículo.»

20. A tenor del artículo 58, apartados 2, 4 y 5, del RGPD: «2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: a) sancionar a todo responsable o encargado del tratamiento con una advertencia cuando las operaciones de tratamiento previstas puedan infringir lo dispuesto en el presente Reglamento; b) sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; c) ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento; d) ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; e) ordenar al responsable del tratamiento que comunique al interesado las violaciones de la seguridad de los datos personales; f) imponer una limitación temporal o definitiva del tratamiento, incluida su prohibición; […] i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; j) ordenar la suspensión de los flujos de datos hacia un destinatario situado en un tercer país o hacia una organización internacional. […] 4. El ejercicio de los poderes conferidos a la autoridad de control en virtud del presente artículo estará sujeto a las garantías adecuadas, incluida la tutela judicial efectiva y al respeto de las garantías procesales, establecidas en el Derecho de la Unión y de los Estados miembros de conformidad con la Carta. 5. Cada Estado miembro dispondrá por ley que su autoridad de control esté facultada para poner en conocimiento de las autoridades judiciales las infracciones del presente Reglamento y, si procede, para iniciar o ejercitar de otro modo acciones judiciales, con el fin de hacer cumplir lo dispuesto en el mismo.»

C. Decisión 2010/87

21. El artículo 26, apartado 4, de la Directiva 95/46 condujo a la adopción por parte de la Comisión de tres Decisiones mediante las cuales constató que las cláusulas contractuales tipo enunciadas en estas ofrecen garantías suficientes respecto a la protección de la vida privada y de los derechos y libertades fundamentales de las personas, así como respecto al ejercicio de los respectivos derechos (en lo sucesivo, «Decisiones sobre las CCT»). ( 9 )

22. Entre ellas figura la Decisión 2010/87, cuyo artículo 1 dispone que «se considera que las cláusulas contractuales tipo incluidas en el anexo ofrecen las garantías adecuadas con respecto a la protección de la vida privada y de los derechos y libertades fundamentales de las personas, así como respecto al ejercicio de los correspondientes derechos, según exige el artículo 26, apartado 2, de la [Directiva 95/46]».

23. En virtud del artículo 3 de esta Decisión: «A efectos de la presente Decisión, serán aplicables las siguientes definiciones: […] c) “exportador de datos”: el responsable del tratamiento que transfiera los datos personales; d) “importador de datos”: el encargado del tratamiento establecido en un tercer país que convenga en recibir del exportador datos personales para su posterior tratamiento en nombre de este, de conformidad con sus instrucciones y los términos de la presente Decisión, y que no esté sujeto al sistema de un tercer país que garantice la protección adecuada en el sentido del artículo 25, apartado 1, de la [Directiva 95/46]; […] f) “legislación de protección de datos aplicable”: la legislación que protege los derechos y libertades fundamentales de las personas y, en particular, su derecho a la vida privada respecto del tratamiento de los datos personales, aplicable al responsable del tratamiento en el Estado miembro en que está establecido el exportador de datos; […]».

24. En su versión inicial, el artículo 4 de dicha Decisión establecía, en su apartado 1: «Las autoridades competentes de los Estados miembros, sin perjuicio de su facultad para iniciar acciones destinadas a garantizar el cumplimiento de las disposiciones de Derecho nacional adoptadas con arreglo a los capítulos II, III, V y VI de la [Directiva 95/46], podrán ejercer sus facultades para prohibir o suspender los flujos de datos hacia terceros países con objeto de proteger a las personas físicas en relación con el tratamiento de sus datos personales en los casos siguientes: a) si se determina que la legislación a la que está sujeto el importador de datos o un subencargado del tratamiento le impone desviaciones de la legislación de protección de datos aplicable que vayan más allá de las restricciones necesarias en una sociedad democrática, como establece el artículo 13 de la [Directiva 95/46], cuando tales exigencias puedan tener un importante efecto negativo sobre las garantías proporcionadas por las cláusulas contractuales tipo, o b) si una autoridad competente decide que el importador de datos o un subencargado del tratamiento no ha respetado las cláusulas contractuales tipo del anexo, o c) si existe la probabilidad sustancial de que las cláusulas contractuales tipo contenidas en el anexo no se estén respetando, o no se respeten en el futuro, y la continuación de la transferencia provoque un riesgo inminente de daños graves para los interesados.»

25. En su versión actual, según resulta de la modificación de la Decisión 2010/87 mediante la Decisión de Ejecución (UE) 2016/2297, ( 10 ) el artículo 4 de la Decisión 2010/87 dispone que «cuando las autoridades competentes de los Estados miembros ejerzan sus facultades con arreglo al artículo 28, apartado 3, de la [Directiva 95/46], y ello dé lugar a la suspensión o la prohibición definitiva de los flujos de datos hacia terceros países con el fin de proteger a las personas en lo que respecta al tratamiento de sus datos personales, el Estado miembro afectado informará inmediatamente a la Comisión, que remitirá la información a los demás Estados miembros».

26. El anexo de la Decisión 2010/87 contiene un conjunto de cláusulas contractuales tipo. En particular, la cláusula 3 que figura en dicho anexo, titulada «Cláusula de tercero beneficiario», establece: «1. Los interesados podrán exigir al exportador de datos el cumplimiento de la presente cláusula, las letras b) a i) de la cláusula 4, las letras a) a e) y g) a j) de la cláusula 5, los apartados 1 y 2 de la cláusula 6, la cláusula 7, el apartado 2 de la cláusula 8 y las cláusulas 9 a 12, como terceros beneficiarios. 2. Los interesados podrán exigir al importador de datos el cumplimiento de la presente cláusula, las letras a) a e) y g) de la cláusula 5, la cláusula 6, la cláusula 7, el apartado 2 de la cláusula 8 y las cláusulas 9 a 12, cuando el exportador de datos haya desaparecido de facto o haya cesado de existir jurídicamente, a menos que cualquier entidad sucesora haya asumido la totalidad de las obligaciones jurídicas del exportador de datos en virtud de contrato o por ministerio de la ley y a resultas de lo cual asuma los derechos y las obligaciones del exportador de datos, en cuyo caso los interesados podrán exigirlos a dicha entidad. […]»

27. La cláusula 4 enunciada en dicho anexo, que lleva por título «Obligaciones del exportador de datos», dispone: «El exportador de datos acuerda y garantiza lo siguiente: a) el tratamiento de los datos personales, incluida la propia transferencia, ha sido efectuado y seguirá efectuándose de conformidad con las normas pertinentes de la legislación de protección de datos aplicable (y, si procede, se ha notificado a las autoridades correspondientes del Estado miembro de establecimiento del exportador de datos) y no infringe las disposiciones legales o reglamentarias en vigor en dicho Estado miembro; b) ha dado al importador de datos, y dará durante la prestación de los servicios de tratamiento de los datos personales, instrucciones para que el tratamiento de los datos personales transferidos se lleve a cabo exclusivamente en nombre del exportador de datos y de conformidad con la legislación de protección de datos aplicable y con las cláusulas; c) el importador de datos ofrecerá garantías suficientes en lo que respecta a las medidas de seguridad técnicas y organizativas especificadas en el apéndice 2 del presente contrato; d) ha verificado que, de conformidad con la legislación de protección de datos aplicable, dichas medidas resultan apropiadas para proteger los datos personales contra su destrucción accidental o ilícita o su pérdida accidental, su alteración, divulgación o acceso no autorizados, especialmente cuando el tratamiento suponga la transmisión de los datos por redes, o contra cualquier otra forma ilícita de tratamiento y que dichas medidas garantizan un nivel de seguridad apropiado a los riegos que entraña el tratamiento y la naturaleza de los datos que han de protegerse, habida cuenta del estado de la técnica y del coste de su aplicación; e) asegurará que dichas medidas se lleven a la práctica; f) si la transferencia incluye categorías especiales de datos, se habrá informado a los interesados, o serán informados antes de que se efectúe aquella, o en cuanto sea posible, de que sus datos podrían ser transferidos a un tercer país que no proporciona la protección adecuada en el sentido de la [Directiva 95/46]; g) enviará la notificación recibida del importador de datos o de cualquier subencargado del tratamiento de datos a la autoridad de control de la protección de datos, de conformidad con la letra b) de la cláusula 5 y el apartado 3 de la cláusula 8, en caso de que decida proseguir la transferencia o levantar la suspensión; h) pondrá a disposición de los interesados, previa petición de estos, una copia de las cláusulas, a excepción del apéndice 2, y una descripción sumaria de las medidas de seguridad, así como una copia de cualquier contrato para los servicios de subtratamiento de los datos que debe efectuarse de conformidad con las cláusulas, a menos que las cláusulas o el contrato contengan información comercial, en cuyo caso podrá eliminar dicha información comercial; i) que, en caso de subtratamiento, la actividad de tratamiento se llevará a cabo de conformidad con la cláusula 11 por un subencargado del tratamiento que proporcionará por lo menos el mismo nivel de protección de los datos personales y los derechos de los interesados que el importador de datos en virtud de las presentes cláusulas; y j) que asegurará que las letras a) a i) de la cláusula 4 se lleven a la práctica.»

28. La cláusula 5 prevista en el mismo anexo, titulada «Obligaciones del importador de datos», establece: «El importador de datos acuerda y garantiza lo siguiente: a) tratará los datos personales transferidos solo en nombre del exportador de datos, de conformidad con sus instrucciones y las cláusulas. En caso de que no pueda cumplir estos requisitos por la razón que fuere, informará de ello sin demora al exportador de datos, en cuyo caso este estará facultado para suspender la transferencia de los datos o rescindir el contrato; b) no tiene motivos para creer que la legislación que le es de aplicación le impida cumplir las instrucciones del exportador de datos y sus obligaciones a tenor del contrato y que, en caso de modificación de la legislación que pueda tener un [importante] efecto negativo sobre las garantías y obligaciones estipuladas en las cláusulas, notificará al exportador de datos dicho cambio en cuanto tenga conocimiento de él, en cuyo caso este estará facultado para suspender la transferencia de los datos o rescindir el contrato; c) ha puesto en práctica las medidas de seguridad técnicas y organizativas que se indican en el apéndice 2 antes de efectuar el tratamiento de los datos personales transferidos; d) notificará sin demora al exportador de datos sobre: i) toda solicitud jurídicamente vinculante de divulgar los datos personales presentada por una autoridad encargada de la aplicación de ley a menos que esté prohibido, por ejemplo, por el Derecho penal para preservar la confidencialidad de una investigación [llevada] a cabo por una de dichas autoridades, ii) todo acceso accidental o no autorizado, iii) toda solicitud sin respuesta recibida directamente de los interesados, a menos que se le autorice; e) tratará adecuadamente en los períodos de tiempo prescritos todas las consultas del exportador de datos relacionadas con el tratamiento que este realice de los datos personales sujetos a transferencia y se atendrá a la opinión de la autoridad de control en lo que respecta al tratamiento de los datos transferidos; f) ofrecerá a petición del exportador de datos sus instalaciones de tratamiento de datos para que se lleve a cabo la auditoría de las actividades de tratamiento cubiertas por las cláusulas. Esta será realizada por el exportador de datos o por un organismo de inspección, compuesto por miembros independientes con las cualificaciones profesionales necesarias y sujetos a la confidencialidad, seleccionado por el exportador de datos y, cuando corresponda, de conformidad con la autoridad de control; […]».

29. Con arreglo a la nota a pie de página 1 a la que se refiere el título de la cláusula 5 que figura en el anexo de la Decisión 2010/87: «Las obligaciones impuestas por la legislación nacional aplicable al importador de datos que no vayan más allá de las restricciones necesarias en una sociedad democrática con arreglo a los intereses recogidos en el artículo 13, apartado 1, de la Directiva [95/46], es decir, si dichas obligaciones constituyen una medida necesaria para la salvaguardia de la seguridad del Estado; la defensa; la seguridad pública; la prevención, investigación, detección y enjuiciamiento de delitos o infracciones de la deontología en las profesiones reguladas; un interés económico o financiero importante del Estado o la protección del interesado o de los derechos y libertades de otras personas, no están en contradicción con las cláusulas contractuales tipo. Algunos ejemplos de obligaciones que no van más allá de las restricciones necesarias en una sociedad democrática son, entre otras, las sanciones reconocidas en el ámbito internacional, las obligaciones de notificación en materia fiscal o las impuestas por la lucha contra el blanqueo de dinero.»

30. La cláusula 6 contenida en este anexo, titulada «Responsabilidad», dice lo siguiente: «1. Las partes acuerdan que los interesados que hayan sufrido daños como resultado del incumplimiento de las obligaciones mencionadas en la cláusula 3 o en la cláusula 11 por cualquier parte o subencargado del tratamiento tendrán derecho a percibir una indemnización del exportador de datos para el daño sufrido. 2. En caso de que el interesado no pueda interponer contra el exportador de datos la demanda de indemnización a que se refiere el apartado 1 por incumplimiento por parte del importador de datos o su subencargado de sus obligaciones impuestas en la [cláusula] 3 o en la cláusula 11, por haber desaparecido de facto, cesado de existir jurídicamente o ser insolvente, el importador de datos acepta que el interesado pueda demandarle a él en el lugar del exportador de datos, a menos que cualquier entidad sucesora haya asumido la totalidad de las obligaciones jurídicas del exportador de datos en virtud de contrato o por ministerio de la ley, en cuyo caso los interesados podrán exigir sus derechos a dicha entidad. […]»

31. La cláusula 7 enunciada en dicho anexo, que lleva por título «Mediación y jurisdicción», dispone: «1. El importador de datos acuerda que, si el interesado invoca en su contra derechos de tercero beneficiario o reclama una indemnización por daños y perjuicios con arreglo a las cláusulas, aceptará la decisión del interesado de: a) someter el conflicto a mediación por parte de una persona independiente o, si procede, por parte de la autoridad de control; b) someter el conflicto a los tribunales del Estado miembro de establecimiento del exportador de datos. 2. Las partes acuerdan que las opciones del interesado no obstaculizarán sus derechos sustantivos o procedimentales a obtener reparación de conformidad con otras disposiciones de Derecho nacional o internacional.»

32. La cláusula 9 recogida en el mismo anexo, titulada «Legislación aplicable», establece que las cláusulas contractuales tipo se regirán por la legislación del Estado miembro de establecimiento del exportador de datos.

D. Decisión sobre el «Escudo de la privacidad»

33. El artículo 25, apartado 6, de la Directiva 95/46 sirvió de base para la adopción por parte de la Comisión de dos Decisiones sucesivas mediante las cuales constató que los Estados Unidos garantizan un nivel adecuado de protección de los datos personales transferidos a empresas establecidas en los Estados Unidos que, mediante un procedimiento de autocertificación, han declarado que cumplirán los principios enunciados en dichas Decisiones.

34. En primer término, la Comisión adoptó la Decisión 2000/520/CE sobre la adecuación de la protección conferida por los principios de puerto seguro para la protección de la vida privada y las correspondientes preguntas más frecuentes, publicadas por el Departamento de Comercio de [los Estados Unidos]. ( 11 ) En la sentencia de 6 de octubre de 2015, Schrems, ( 12 ) el Tribunal de Justicia declaró la invalidez de esta Decisión.

35. En segundo término, a raíz de dicha sentencia, la Comisión adoptó la Decisión sobre el «Escudo de la privacidad».

36. El artículo 1 de esta Decisión dispone: «1. A los efectos del artículo 25, apartado 2, de la [Directiva 95/46], los Estados Unidos garantizan un nivel adecuado de protección de los datos personales transferidos desde la Unión a entidades establecidas en los Estados Unidos en el marco del Escudo de la privacidad UE-EE. UU. 2. El Escudo de la privacidad UE-EE. UU. se compone de los principios establecidos por el Departamento de Comercio de los Estados Unidos el 7 de julio de 2016, tal como se exponen en el anexo II, y en los compromisos y declaraciones oficiales recogidos en los documentos enumerados en los anexos I y III a VII. 3. A los efectos del apartado 1, se considerarán datos personales transferidos en el marco del Escudo de la privacidad UE-EE. UU. aquellos que hayan sido transferidos desde la Unión a entidades establecidas en los Estados Unidos que figuren en la denominada “lista del Escudo de la privacidad”, mantenida y puesta a disposición del público por el Departamento de Comercio de los Estados Unidos, de conformidad con las secciones I a III de los principios expuestos en el anexo II.»

37. El anexo III A de esta Decisión, titulado «La figura del Defensor del Pueblo en el ámbito del Escudo de la privacidad UE-EE. UU. con relación a la inteligencia de señales», junto a una carta del Sr. John Kerry, en ese momento Secretary of State (Secretario de Estado, Estados Unidos), de 7 de julio de 2016, contiene un memorando que describe un nuevo procedimiento de mediación ante un «Coordinador superior de la diplomacia internacional en materia de tecnología de la información» (en lo sucesivo, «Defensor del Pueblo») nombrado por el Secretario de Estado.

38. Según este memorando, dicho procedimiento se estableció «para facilitar el tratamiento de las peticiones relacionadas con el acceso a efectos de la seguridad nacional a los datos transmitidos desde la [Unión] a los Estados Unidos en virtud del Escudo de la privacidad, las cláusulas contractuales estándar, las normas vinculantes para las empresas, las “excepciones” o “posibles futuras excepciones”, a través de las vías establecidas en virtud de la legislación y la política estadounidense aplicable, y la respuesta a estas peticiones».

III. Litigio principal, cuestiones prejudiciales y procedimiento ante el Tribunal de Justicia

39. El Sr. Schrems, nacional austriaco residente en Austria, es usuario de la red social Facebook. Todos los usuarios de esta red social residentes en el territorio de la Unión deben celebrar, en el momento de su inscripción, un contrato con Facebook Ireland, filial de Facebook Inc., que a su vez está establecida en los Estados Unidos. Los datos personales de estos usuarios se transfieren total o parcialmente a servidores pertenecientes a Facebook Inc., situados en el territorio de los Estados Unidos, donde son objeto de tratamiento.

40. El 25 de junio de 2013, el Sr. Schrems presentó ante el DPC una reclamación en la que le solicitaba, en esencia, que prohibiera a Facebook Ireland transferir sus datos personales a los Estados Unidos. En dicha reclamación alegaba que el Derecho y las prácticas en vigor en ese país tercero no garantizaban una protección suficiente de los datos personales conservados en su territorio contra las injerencias derivadas de las actividades de vigilancia llevadas a cabo por las autoridades públicas. El Sr. Schrems hacía referencia en ese sentido a las revelaciones del Sr. Edward Snowden sobre las actividades de los servicios de inteligencia de Estados Unidos, en particular las de la National Security Agency (Agencia de Seguridad Nacional, Estados Unidos; en lo sucesivo, «NSA»).

41. Esta reclamación fue desestimada basándose en que, en particular, toda cuestión relativa a la adecuación de la protección garantizada en los Estados Unidos debía resolverse con arreglo a la Decisión de puerto seguro. En la citada Decisión, la Comisión había declarado que este país tercero ofrecía un nivel adecuado de protección de los datos personales transferidos a empresas situadas en su territorio adheridas a los principios enunciados en dicha Decisión.

42. El Sr. Schrems interpuso un recurso contra la decisión de desestimación de su reclamación ante la High Court (Tribunal Superior). Dicho órgano jurisdiccional consideró que, si bien el Sr. Schrems no había cuestionado formalmente la validez de la Decisión de puerto seguro, en realidad su reclamación impugnaba la licitud del régimen establecido por tal Decisión. En estas circunstancias, el citado órgano jurisdiccional planteó al Tribunal de Justicia una serie de cuestiones prejudiciales que tenían por objeto, en esencia, dilucidar si las autoridades de los Estados miembros responsables de la protección de los datos (en lo sucesivo, «autoridades de control»), cuando se les formula una reclamación relativa a la protección de los derechos y libertades de una persona en relación con el tratamiento de sus datos personales que se hayan transferido a un tercer Estado, están vinculadas por las apreciaciones relativas a la adecuación del nivel de protección que ofrece dicho tercer Estado realizadas por la Comisión en virtud del artículo 25, apartado 6, de la Directiva 95/46, aun cuando el reclamante impugne tales apreciaciones.

43. Tras haber declarado, en los apartados 51 y 52 de la sentencia Schrems, que una decisión de adecuación vincula a las autoridades de control mientras no haya sido declarada inválida, el Tribunal de Justicia enunció lo siguiente en los apartados 63 y 65 de la referida sentencia: «63. […] Cuando una persona, cuyos datos personales hayan sido o pudieran ser transferidos a un tercer país que haya sido objeto de una decisión de la Comisión en virtud del artículo 25, apartado 6, de la Directiva 95/46, presenta a la autoridad nacional de control una solicitud para la protección de sus derechos y libertades frente al tratamiento de esos datos, e impugna con ocasión de esa solicitud […] la compatibilidad de dicha decisión con la protección de la vida privada y de las libertades y derechos fundamentales de las personas, incumbe a esa autoridad examinar la referida solicitud con toda la diligencia exigible. […] 65. En el supuesto [de que] esa autoridad considere fundadas las alegaciones expuestas por [esta persona], la referida autoridad debe tener capacidad para comparecer en juicio, conforme al artículo 28, apartado 3, párrafo primero, tercer guion, de la Directiva 95/46, entendido a la luz del artículo 8, apartado 3, de la Carta. A ese efecto, corresponde al legislador nacional prever las vías de acción que permitan a la autoridad nacional de control exponer las alegaciones que juzgue fundadas ante los tribunales nacionales, para que estos, si concuerdan en las dudas de esa autoridad sobre la validez de la decisión de la Comisión, planteen al Tribunal de Justicia una cuestión prejudicial sobre la validez de esta.»

44. En dicha sentencia, el Tribunal de Justicia también examinó la validez de la Decisión de puerto seguro en relación con los requisitos derivados de la Directiva 95/46, interpretada a la luz de la Carta. Al término de dicho examen, declaró la invalidez de esa Decisión. ( 13 )

45. A raíz de la sentencia Schrems, el órgano jurisdiccional remitente anuló la decisión mediante la cual el DPC había desestimado la reclamación del Sr. Schrems y la devolvió al DPC para que la examinase. Este último abrió una investigación e instó al Sr. Schrems a volver a presentar su reclamación habida cuenta de la declaración de invalidez de la Decisión de puerto seguro.

46. A tal fin, el Sr. Schrems solicitó a Facebook Ireland que identificara los fundamentos jurídicos en los que se basaban las transferencias de datos personales de los usuarios de la red social Facebook desde la Unión a los Estados Unidos. Facebook Ireland, sin identificar todas las bases jurídicas en las que se basaba, hizo referencia a un contrato de transferencia y tratamiento de datos (data transfer processing agreement) concluido entre ella misma y Facebook Inc., aplicable desde el 20 de noviembre de 2015, e invocó la Decisión 2010/87.

47. En su reclamación modificada, el Sr. Schrems alega, por una parte, que las cláusulas contenidas en dicho contrato no se ajustan a las cláusulas contractuales tipo recogidas en el anexo de la Decisión 2010/87. Por otra parte, el Sr. Schrems argumenta que, en todo caso, esas cláusulas contractuales tipo no pueden servir de base para la transferencia de datos personales relativos a su persona hacia los Estados Unidos. Afirma que esto se debe a que el Derecho estadounidense obliga a Facebook Inc. a poner los datos personales de los usuarios a disposición de las autoridades estadounidenses, como la NSA y el Federal Bureau of Investigation (Oficina Federal de Investigación, Estados Unidos; en lo sucesivo «FBI»), en el marco de programas de vigilancia que, a su entender, limitan el ejercicio de los derechos garantizados en los artículos 7, 8 y 47 de la Carta. El Sr. Schrems alega que no existe ninguna vía de recurso que permita a los interesados invocar sus derechos al respeto de la vida privada y a la protección de los datos personales. En estas condiciones, el Sr. Schrems solicita al DPC que suspenda esta transferencia en virtud del artículo 4 de la Decisión 2010/87.

48. Facebook Ireland ha reconocido, en el marco de la investigación del DPC, que continúa transfiriendo los datos personales de los usuarios de la red social Facebook residentes en la Unión a los Estados Unidos y que, a tal efecto, se basa en gran medida en las cláusulas contractuales tipo recogidas en el anexo de la Decisión 2010/87.

49. La investigación del DPC tenía por objeto determinar, por un lado, si los Estados Unidos garantizan una protección adecuada de los datos personales de los ciudadanos de la Unión y, por otro, en caso de respuesta negativa, si las Decisiones sobre las CCT ofrecen garantías suficientes en lo referente a la protección de los derechos y libertades fundamentales de estos últimos.

50. A este respecto, en un proyecto de decisión (draft decision), el DPC consideró con carácter provisional que el Derecho estadounidense no ofrece vías de recurso efectivas en el sentido del artículo 47 de la Carta a los ciudadanos de la Unión cuyos datos se transfieren a los Estados Unidos, donde pueden ser tratados por las agencias estadounidenses con fines de seguridad nacional de una manera incompatible con los artículos 7 y 8 de la Carta. Según el DPC, las garantías previstas en las cláusulas recogidas en los anexos de las Decisiones sobre las CCT no subsanan esta deficiencia, puesto que no vinculan a las autoridades o agencias de los Estados Unidos y solo confieren a los interesados derechos contractuales contra el exportador o el importador de los datos.

51. En estas circunstancias, el DPC consideró que no podía resolver la reclamación del Sr. Schrems hasta que el Tribunal de Justicia hubiera examinado la validez de las Decisiones sobre las CCT. Por lo tanto, con arreglo a lo establecido en el apartado 65 de la sentencia Schrems, el DPC inició un procedimiento ante el órgano jurisdiccional remitente al objeto de que este último, si compartía las dudas del DPC, planteara una petición de decisión prejudicial al Tribunal de Justicia sobre la validez de dichas Decisiones.

52. Se autorizó la intervención del Gobierno estadounidense, del Electronic Privacy Information Centre (EPIC), de la Business Software Alliance (BSA) y de Digitaleurope ante el órgano jurisdiccional remitente.

53. Con el fin de determinar si compartía las dudas expresadas por el DPC sobre la validez de las Decisiones sobre las CCT, la High Court (Tribunal Superior) recibió las pruebas aportadas por las partes en el litigio y oyó las alegaciones presentadas por estas, así como por los intervinientes. En particular, se presentaron pruebas periciales sobre las disposiciones del Derecho estadounidense. En Derecho irlandés, el Derecho extranjero se considera una cuestión de hecho que debe acreditarse mediante pruebas, de la misma forma que cualquier otro hecho. Sobre la base de estas pruebas, el órgano jurisdiccional remitente valoró las disposiciones del Derecho estadounidense que autorizan la vigilancia por parte de las autoridades y agencias gubernamentales, el funcionamiento de dos programas de vigilancia públicamente reconocidos («PRISM» y «Upstream»), los diferentes recursos de que disponen los particulares cuyos derechos se hayan visto vulnerados por medidas de vigilancia, así como las garantías sistémicas y los mecanismos de control. Dicho órgano jurisdiccional reseñó los resultados de esta valoración en una sentencia de primera instancia de 3 de octubre de 2017, adjunta a su resolución de remisión [en lo sucesivo, «sentencia de primera instancia de la High Court (Tribunal Superior) de 3 de octubre de 2017»].

54. En esta sentencia de primera instancia, el órgano jurisdiccional remitente hizo referencia, entre los fundamentos jurídicos que autorizan la interceptación de comunicaciones extranjeras por parte de los servicios de inteligencia estadounidenses, al artículo 702 de la Foreign Intelligence Surveillance Act (Ley de Vigilancia de la Inteligencia Exterior; en lo sucesivo, «FISA») y a la Executive Order 12333 (Decreto presidencial n.o 12333; en lo sucesivo, «EO 12333»).

55. Según las apreciaciones efectuadas en dicha sentencia de primera instancia, el artículo 702 de la FISA permite al Attorney General (Fiscal General, Estados Unidos) y al Director of National Intelligence (DNI) (Director de los Servicios de Inteligencia Nacionales, Estados Unidos; en lo sucesivo, «DNI») autorizar conjuntamente, por un plazo de un año y con el fin de obtener información en materia de inteligencia exterior, la vigilancia de personas que no sean ciudadanas estadounidenses y que no residan de forma permanente en los Estados Unidos (denominadas «personas no estadounidenses») cuando sea razonable suponer que se encuentran fuera del territorio de los Estados Unidos. ( 14 ) A tenor de la FISA, el concepto de «inteligencia exterior» significa la información relativa a la capacidad del Gobierno para prevenir los ataques extranjeros, al terrorismo, a la proliferación de las armas de destrucción masiva, así como a la administración de los asuntos exteriores de los Estados Unidos. ( 15 )

56. Estas autorizaciones anuales, al igual que los procedimientos que regulan la selección de las personas que deben ser vigiladas y el tratamiento («minimización») de la información recopilada, ( 16 ) deben ser aprobados por el Foreign Intelligence Surveillance Court (Tribunal de Vigilancia de la Inteligencia Exterior, Estados Unidos; en lo sucesivo «FISC»). Mientras que la vigilancia «tradicional» efectuada sobre la base de otras disposiciones de la FISA exige que se establezca una «causa probable» que permita sospechar que las personas vigiladas pertenecen a una potencia extranjera o que son sus agentes, las actividades de vigilancia llevadas a cabo en virtud del artículo 702 de la FISA no están supeditadas al establecimiento de tal «causa probable» ni a la aprobación por parte del FISC de la selección de personas determinadas. Asimismo, siempre de conformidad con las apreciaciones del órgano jurisdiccional remitente, los procedimientos de minimización no se aplican a las personas no estadounidenses situadas fuera de los Estados Unidos.

57. En la práctica, una vez que el FISC ha concedido su autorización, la NSA envía a los proveedores de servicios de comunicaciones electrónicas establecidos en los Estados Unidos órdenes que contienen criterios de búsqueda, denominados «selectores», asociados a personas seleccionadas como objetivos (como números de teléfono o direcciones de correo electrónico). A continuación, estos proveedores deben transmitir a la NSA los datos correspondientes a los selectores y deben mantener en secreto las órdenes que han recibido. Pueden presentar una solicitud ante el FISC dirigida a que se modifique o descarte una orden de la NSA. La decisión del FISC puede ser objeto de recurso ante la Foreign Intelligence Surveillance Court of Review (Tribunal de Revisión de la Vigilancia de la Inteligencia Exterior, Estados Unidos; en lo sucesivo «FISCR»).

58. La High Court (Tribunal Superior) señaló que el artículo 702 de la FISA constituye la base jurídica de los programas PRISM y Upstream.

59. En el marco del programa PRISM, los proveedores de servicios de comunicaciones electrónicas deben entregar a la NSA todas las comunicaciones «procedentes» del selector comunicado por esta última o «destinadas» a este. A su juicio, una parte de estas comunicaciones se transmite al FBI y a la Central Intelligence Agency (Agencia Central de Inteligencia, Estados Unidos; en lo sucesivo, «CIA»). Según el órgano jurisdiccional remitente, en 2015, 94386 personas fueron sometidas a vigilancia y, en 2011, el Gobierno estadounidense se hizo con más de 250 millones de comunicaciones en el marco de este programa.

60. El programa Upstream se basa en la asistencia obligatoria de las empresas que explotan la «red troncal» —a saber, la red de cables, conmutadores y enrutadores— por la que circulan las comunicaciones telefónicas y las comunicaciones por Internet. Estas empresas están obligadas a permitir a la NSA copiar y filtrar los flujos de tráfico de Internet con el fin de obtener comunicaciones «procedentes» de un selector mencionado en una orden de dicha agencia o «destinadas» o «relativas» a este. Las comunicaciones «relativas» a un selector designan a aquellas que hacen referencia a dicho selector, sin que la persona no estadounidense asociada a dicho selector participe necesariamente en ellas. Aunque de un dictamen del FISC de 26 de abril de 2017 se desprende que, desde esa fecha, el Gobierno estadounidense ya no recoge ni obtiene comunicaciones «relativas» a un selector, este dictamen no indica que la NSA haya dejado de copiar y filtrar los flujos de comunicaciones que circulan a través de su dispositivo de vigilancia. De este modo, en su opinión, el programa Upstream implica el acceso de la NSA tanto a los metadatos como al contenido de las comunicaciones. Considera que, desde 2011, la NSA ha recopilado alrededor de 26,5 millones de comunicaciones cada año en el marco del programa Upstream, lo que, no obstante, únicamente representa una pequeña parte de las comunicaciones sujetas al proceso de filtrado llevado a cabo en virtud de este programa.

61. Asimismo, según las apreciaciones realizadas por la High Court (Tribunal Superior), el EO 12333 autoriza la vigilancia de las comunicaciones electrónicas fuera del territorio de los Estados Unidos al permitir el acceso, con fines de inteligencia exterior, a datos que bien están «en tránsito» hacia dicho territorio, o bien «circulan» por dicho territorio sin estar destinados a ser objeto de tratamiento en este, así como la recogida y conservación de tales datos. El EO 12333 define el concepto de «inteligencia exterior» en el sentido de que incluye la información relativa a las capacidades, intenciones o actividades de gobiernos extranjeros, organizaciones extranjeras o personas extranjeras. ( 17 )

62. Según la High Court (Tribunal Superior), el EO 12333 habilita a la NSA para acceder a los cables submarinos situados sobre el lecho del océano Atlántico mediante los cuales se transfieren datos desde la Unión hacia los Estados Unidos, antes de que dichos datos lleguen a los Estados Unidos y estén sujetos, por este motivo, a las disposiciones de la FISA. Sin embargo, no existe ninguna prueba de la existencia de un programa semejante que se aplique en virtud de este decreto presidencial.

63. Aunque el EO 12333 establece límites relativos a la recogida, la conservación y la divulgación de información, estos límites no se aplican a las personas no estadounidenses. Estas últimas disfrutan únicamente de las garantías establecidas en la Presidential Policy Directive 28 (Orden Estratégica Presidencial n.o 28; en lo sucesivo, «PPD 28»), que se aplica a todas las actividades de recogida y utilización de información en materia de inteligencia exterior de señales. La PPD 28 dispone que el respeto a la vida privada forma parte integrante de las consideraciones que deben tenerse en cuenta en la planificación de estas actividades, que la recogida debe tener como único objetivo la adquisición de información en materia de inteligencia exterior, así como de contraespionaje, y que dichas actividades deben ser «lo más adaptadas posible».

64. Según el órgano jurisdiccional remitente, las actividades de la NSA basadas en el EO 12333, que el Presidente de los Estados Unidos puede modificar o revocar en cualquier momento, no se rigen por la ley, no son objeto de control jurisdiccional y no pueden ser objeto de recursos judiciales.

65. Sobre la base de estas apreciaciones, el citado órgano jurisdiccional considera que los Estados Unidos realizan un tratamiento masivo e indiscriminado de datos personales que podría exponer a los interesados al riesgo de que se violasen los derechos que les otorgan los artículos 7 y 8 de la Carta.

66. Más aún, dicho órgano jurisdiccional indica que los ciudadanos de la Unión no tienen acceso a los mismos recursos judiciales contra el tratamiento ilegal de sus datos personales por parte de las autoridades estadounidenses que los nacionales estadounidenses. La cuarta enmienda de la Constitución de los Estados Unidos, que a su entender constituye la protección más importante contra la vigilancia ilegal, no es aplicable a los ciudadanos de la Unión que carezcan de una conexión voluntaria significativa con los Estados Unidos. Si bien estos últimos, a pesar de todo, disponen de algunos otros recursos, se enfrentan a obstáculos importantes.

67. En particular, el artículo III de la Constitución de los Estados Unidos supedita todo recurso ante los tribunales federales a que el interesado acredite su legitimación activa (standing). La legitimación activa supone, en particular, que esa persona demuestre que ha sufrido un perjuicio real que sea, por una parte, concreto y particularizado, y, por otra, actual o inminente. Haciendo referencia, entre otras, a la sentencia de la Supreme Court of the United States (Tribunal Supremo de los Estados Unidos, Estados Unidos), Clapper v. Amnesty International US, ( 18 ) el órgano jurisdiccional remitente considera que, en la práctica, este requisito es excesivamente difícil de cumplir, habida cuenta, en particular, de que no existe obligación alguna de informar a los interesados sobre las medidas de vigilancia adoptadas en su contra. ( 19 ) Asimismo, entiende que una parte de los recursos a disposición de los ciudadanos de la Unión está sujeta al cumplimiento de otros requisitos restrictivos, como la necesidad de demostrar la existencia de un perjuicio económico. La inmunidad soberana reconocida a las agencias de inteligencia y la clasificación de la información de que se trata también obstaculizan el ejercicio de determinadas vías de recurso. ( 20 )

68. Asimismo, la High Court (Tribunal Superior) menciona diversos mecanismos de control y de supervisión de las actividades de las agencias de inteligencia.

69. Entre ellos figuran, por un lado, el mecanismo de certificación anual por parte del FISC de los programas basados en el artículo 702 de la FISA, en cuyo marco, no obstante, el FISC no aprueba los selectores individuales. Además, ningún control judicial previo regula la recogida de información en materia de inteligencia exterior con arreglo al EO 12333.

70. Por otro lado, el órgano jurisdiccional remitente hace referencia a diversos mecanismos de supervisión extrajudicial de las actividades de inteligencia. Menciona, en particular, el papel que desempeñan los Inspectors General (Inspectores Generales, Estados Unidos) quienes, dentro de cada agencia de inteligencia, son responsables de la supervisión de las actividades de vigilancia. Además, el Privacy and Civil Liberties Oversight Board (Consejo de Vigilancia de la Vida Privada y de las Libertades Civiles, Estados Unidos; en lo sucesivo, «PCLOB»), una agencia independiente dentro del Poder Ejecutivo, recibe los informes de personas nombradas dentro de cada agencia como agentes de las libertades civiles o de la vida privada (civil liberties or privacy officers). El PCLOB elabora regularmente informes para las comisiones parlamentarias y el Presidente. Las agencias de que se trata deben comunicar entre otros al DNI los incidentes relativos al incumplimiento de las normas y procedimientos que regulan la recogida de inteligencia exterior. Estos incidentes también se notifican al FISC. El Congreso de los Estados Unidos, a través de las comisiones de inteligencia de la Cámara de Representantes y del Senado, por su parte, es asimismo responsable de controlar las actividades de inteligencia exterior.

71. Sin embargo, la High Court (Tribunal Superior) destaca la diferencia fundamental entre, por una parte, las normas que tienen por objeto garantizar que los datos se obtengan de forma legal y que, una vez obtenidos, no se haga un uso abusivo de ellos, y, por otra parte, los recursos disponibles cuando se infringen dichas normas. La protección de los derechos fundamentales de los interesados solo se garantiza, a su entender, si existen vías de recurso efectivas que les permitan invocar sus derechos en caso de incumplimiento de dichas normas.

72. En estas circunstancias, el órgano jurisdiccional remitente considera fundadas las alegaciones, invocadas por el DPC, según las cuales las limitaciones que impone el Derecho estadounidense al derecho de recurso de las personas cuyos datos se transfieren desde la Unión no respetan el contenido esencial del derecho garantizado en el artículo 47 de la Carta y, en todo caso, constituyen injerencias desproporcionadas en el ejercicio de dicho derecho.

73. Según la High Court (Tribunal Superior), la introducción por parte del Gobierno estadounidense del mecanismo de mediación descrito en la Decisión sobre el «Escudo de la privacidad» no desvirtúa esta apreciación. Tras haber señalado que pueden acceder a este mecanismo los ciudadanos de la Unión que consideren de forma razonable que sus datos se han transferido con arreglo a las Decisiones sobre las CCT, ( 21 ) este órgano jurisdiccional observó que el Defensor del Pueblo no constituye un tribunal que responda a los requisitos establecidos en el artículo 47 de la Carta y, en particular, no es independiente del Poder Ejecutivo. ( 22 ) Dicho órgano jurisdiccional duda también de que la intervención del Defensor del Pueblo, cuyas decisiones no pueden ser objeto de un recurso judicial, represente una vía de recurso efectiva. En efecto, esta intervención no permite a las personas cuyos datos personales hayan sido recogidos, tratados o compartidos ilegalmente obtener una indemnización o una orden conminatoria para el cese de los actos ilegales, dado que el Defensor del Pueblo no confirma ni niega que un solicitante haya sido objeto de una medida de vigilancia electrónica.

74. Tras haber expuesto de esta manera sus inquietudes acerca de la equivalencia sustancial entre las garantías establecidas en el Derecho estadounidense y los requisitos derivados de los artículos 7, 8 y 47 de la Carta, el órgano jurisdiccional remitente expresó sus dudas acerca de si las cláusulas contractuales tipo previstas en las Decisiones sobre las CCT —que, por su propia naturaleza, no vinculan a las autoridades estadounidenses— pueden, con todo, garantizar la protección de los derechos fundamentales de los interesados. Este órgano jurisdiccional concluyó de lo anterior que comparte las dudas del DPC relativas a la validez de estas Decisiones.

75. A este respecto, el órgano jurisdiccional remitente considera, en particular, que el artículo 28, apartado 3, de la Directiva 95/46, al que hace referencia el artículo 4 de la Decisión 2010/87, en la medida en que reconoce a las autoridades de control la facultad de suspender o prohibir las transferencias basadas en las cláusulas contractuales tipo previstas en esta Decisión, no basta para disipar estas dudas. Además de que esta facultad únicamente tiene, a su entender, un carácter discrecional, el órgano jurisdiccional remitente se pregunta, a la vista del considerando 11 de la Decisión 2010/87, sobre la posibilidad de ejercitarla cuando las deficiencias constatadas no se refieran a un caso particular y excepcional, sino que tengan un carácter general y sistémico. ( 23 ) Considera igualmente que el riesgo de que se pronuncien decisiones contradictorias en diferentes Estados miembros podría oponerse a que se confíe la apreciación de tales deficiencias a las autoridades de control.

76. En estas circunstancias, la High Court (Tribunal Superior) decidió, mediante resolución de 4 de mayo de 2018, ( 24 ) presentada ante el Tribunal de Justicia el 9 de mayo de 2018, suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales: «1) ¿Es la normativa de la Unión, incluida la Carta, sin perjuicio de lo dispuesto en los artículos 4 TUE, apartado 2, respecto a la seguridad nacional, y 3, apartado 2, primer guion, de la [Directiva 95/46], en relación con la seguridad pública, la defensa y la seguridad del Estado, aplicable a la transferencia de datos personales en un contexto en el que una empresa privada de un Estado miembro de la [Unión] transfiere, con arreglo a la [Decisión 2010/87], a una empresa privada de un tercer país datos personales con fines comerciales que pueden ser tratados posteriormente por las autoridades de ese tercer país no solo por razones de seguridad nacional, sino también a efectos de la aplicación de la ley y de la administración de los asuntos exteriores del país? 2) a) A efectos de la Directiva [95/46], al determinar si el hecho de transferir con arreglo a la Decisión [2010/87] datos desde la [Unión] a un tercer país en el que posteriormente pueden tratarse dichos datos por razones de seguridad nacional constituye una vulneración de los derechos de una persona, ¿el elemento de referencia pertinente es: i) la Carta, el TUE, el TFUE, la Directiva [95/46], el [Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales, firmado en Roma el 4 de noviembre de 1950 (en lo sucesivo, “CEDH”)] (o cualquier otra disposición del Derecho de la Unión), o bien ii) la legislación nacional de uno o varios Estados miembros? b) Si el elemento de referencia pertinente es el mencionado en [el inciso ii)], ¿deben incluirse en él también las prácticas seguidas en el contexto de la seguridad nacional en uno o varios Estados miembros? 3) Al valorar si un tercer país garantiza el nivel de protección que exige la normativa de la Unión para transferir datos personales a dicho país a efectos del artículo 26 de la Directiva [95/46], ¿deberá evaluarse el nivel de protección ofrecido en ese tercer país atendiendo a: a) las reglas aplicables en ese tercer país derivadas de la legislación interna o de los compromisos internacionales de este, así como a la práctica seguida para asegurar el cumplimiento de esas reglas, al efecto de incluir las normas profesionales y las medidas de seguridad que aplica dicho país, o bien b) las reglas referidas en la letra a) junto con tales prácticas administrativas, reglamentarias y de ejecución y las medidas de protección y los procedimientos, protocolos, mecanismos de control y recursos extrajudiciales aplicables en el tercer país? 4) ¿Constituye una violación de los derechos de toda persona contemplados en los artículos 7 y/u 8 de la Carta la transferencia de datos personales desde la [Unión] a EE. UU. [con arreglo a la Decisión 2010/87], habida cuenta de los hechos probados por la High Court (Tribunal Superior) en relación con la normativa de EE. UU.? 5) Habida cuenta de los hechos probados por la High Court (Tribunal Superior) respecto a la normativa de EE. UU., en el supuesto de que se transfieran datos personales desde la [Unión] a EE. UU. con arreglo a la Decisión [2010/87]: a) ¿Respeta el nivel de protección proporcionado por EE. UU. el contenido esencial del derecho de toda persona a la tutela judicial efectiva garantizado por el artículo 47 de la Carta en caso de violación del derecho a mantener la privacidad de sus datos? En caso de respuesta afirmativa a la cuestión planteada en la letra a): b) ¿Son proporcionadas, en el sentido del artículo 52 de la Carta, las limitaciones impuestas por la legislación de EE. UU. al ejercicio del derecho de toda persona a la tutela judicial en el contexto de la seguridad nacional de ese país, y no van más allá de lo necesario para salvaguardar la seguridad nacional en una sociedad democrática? 6) a) ¿Cuál es, en virtud del artículo 26, apartado 4, [de la Directiva 95/46], a la luz de las disposiciones de [esta] Directiva, y en particular de [sus] artículos 25 y 26, interpretados a la luz de la Carta, el nivel de protección que debe proporcionarse a los datos personales transferidos a un tercer país con arreglo a cláusulas contractuales tipo estipuladas de conformidad con una decisión de la Comisión? b) ¿Cuáles son los elementos que han de tomarse en consideración al valorar si el nivel de protección proporcionado a los datos transferidos a un tercer país en virtud de la Decisión [2010/87] cumple los requisitos establecidos por la Directiva [95/46] y la Carta? 7) El hecho de que las cláusulas contractuales tipo sean aplicables al exportador de datos y al importador de datos, pero no resulten vinculantes para las autoridades nacionales de un tercer país, que pueden exigir al importador de datos que facilite a sus servicios de seguridad, para su posterior tratamiento, los datos personales transferidos con arreglo a las cláusulas establecidas en la Decisión [2010/87], ¿impide que se incluyan en las cláusulas contractuales tipo las garantías de protección adecuadas previstas en el artículo 26, apartado 2, de la Directiva [95/46]? 8) Si un importador de datos de un tercer país está sujeto a normas de vigilancia que, en opinión de una [autoridad de control], entran en conflicto con las [cláusulas contractuales tipo], los artículos 25 y 26 de la Directiva [95/46] o la Carta, ¿está obligada una [autoridad de control] a ejercer las facultades en materia de aplicación de la legislación que le confiere el artículo 28, apartado 3, de la Directiva [95/46], para suspender los flujos de datos, o bien el ejercicio de dichas facultades se limita únicamente a situaciones excepcionales, a la luz del considerando 11 de [la Decisión 2010/87], o acaso puede la [autoridad de control] hacer uso de su potestad discrecional para no suspender tales flujos de datos? 9) a) A los efectos del artículo 25, apartado 6, de la Directiva [95/46], ¿constituye la Decisión [sobre el “Escudo de la privacidad”] una constatación de alcance general vinculante para las [autoridades de control] y los órganos jurisdiccionales de los Estados miembros en el sentido de que EE. UU., en virtud de su legislación nacional o de los compromisos internacionales que ha suscrito, garantiza un nivel de protección adecuado en el sentido del artículo 25, apartado 2, de la Directiva [95/46]? b) Si no es así, ¿qué relevancia tiene, en su caso, la Decisión sobre el [“Escudo de la privacidad”] en la valoración efectuada en cuanto a la adecuación de la protección ofrecida a los datos transferidos a EE. UU. conforme a la Decisión [2010/87]? 10) Habida cuenta de las consideraciones de la High Court (Tribunal Superior) respecto a la legislación de EE. UU., ¿constituye la figura del Defensor del Pueblo en el ámbito del Escudo de la privacidad a que se refiere el anexo [III A] de la Decisión sobre el [“Escudo de la privacidad”], en combinación con el régimen vigente en EE. UU., una garantía de que este país ofrece una vía de recurso compatible con el artículo 47 de la Carta a los interesados cuyos datos personales son transferidos a EE. UU. con arreglo a la Decisión [2010/87]? 11) ¿Viola la Decisión [2010/87] los artículos 7, 8 y/o 47 de la Carta?»

77. El DPC, Facebook Ireland, el Sr. Schrems, el Gobierno estadounidense, el EPIC, la BSA, Digitaleurope, Irlanda, los Gobiernos alemán, neerlandés, austriaco, polaco, portugués y del Reino Unido, el Parlamento Europeo y la Comisión presentaron observaciones escritas ante el Tribunal de Justicia. El DPC, Facebook Ireland, el Sr. Schrems, el Gobierno estadounidense, el EPIC, la BSA, Digitaleurope, Irlanda, los Gobiernos belga, checo, alemán, francés, neerlandés, austriaco y del Reino Unido, el Parlamento, la Comisión y el Comité Europeo de Protección de Datos (CEPD) estuvieron representados en la vista celebrada el 9 de julio de 2019.

IV. Apreciación

A. Observaciones preliminares

78. Tras la invalidación de la Decisión de puerto seguro por parte del Tribunal de Justicia en la sentencia Schrems, las transferencias de datos personales hacia los Estados Unidos continuaron sobre la base de otros fundamentos jurídicos. En particular, las sociedades exportadoras de datos pudieron recurrir a contratos con los importadores de datos que incluían cláusulas tipo elaboradas por la Comisión. Estas cláusulas sirven también de base jurídica para las transferencias hacia una multitud de otros países terceros respecto de los cuales la Comisión no ha adoptado una decisión de adecuación. ( 25 ) Actualmente, la Decisión sobre el «Escudo de la privacidad» permite a las empresas que hayan autocertificado su adhesión a los principios enunciados en esta transferir datos personales a los Estados Unidos sin otras formalidades.

79. Tal como indica expresamente la resolución de remisión y como destacaron la BSA, Digitaleurope, Irlanda, los Gobiernos austriaco y francés, el Parlamento y la Comisión, el litigio principal, que está pendiente ante la High Court (Tribunal Superior), tiene por único objeto determinar si la Decisión mediante la cual la Comisión estableció las cláusulas contractuales tipo invocadas en apoyo de las transferencias contempladas en la reclamación del Sr. Schrems, a saber la Decisión 2010/87, ( 26 ) es válida.

80. Este litigio tiene su origen en una demanda mediante la cual el DPC solicitó al órgano jurisdiccional remitente que planteara al Tribunal de Justicia una cuestión prejudicial relativa a la validez de la Decisión 2010/87. Según este órgano jurisdiccional, el litigio principal se refiere, por tanto, al ejercicio de la vía de recurso que el Tribunal de Justicia exigió a los Estados miembros que establecieran en el apartado 65 de la sentencia Schrems.

81. Cabe recordar que, en el apartado 63 de esa sentencia, el Tribunal de Justicia declaró que las autoridades de control deben tramitar con toda la diligencia exigible las reclamaciones en cuyo marco una persona cuyos datos personales hayan sido o pudieran ser transferidos a un tercer país que haya sido objeto de una decisión de adecuación impugne la compatibilidad de dicha decisión con la protección de los derechos fundamentales consagrados en la Carta. Con arreglo al apartado 65 de dicha sentencia, cuando esa autoridad considere fundadas las alegaciones expuestas en la mencionada reclamación, la referida autoridad debe tener capacidad para comparecer en juicio, con arreglo al artículo 28, apartado 3, párrafo primero, tercer guion, de la Directiva 95/46 (que concuerda con el artículo 58, apartado 5, del RGPD), interpretado a la luz del artículo 8, apartado 3, de la Carta. A este efecto, el legislador nacional debe establecer vías de acción que permitan a dicha autoridad de control exponer estas alegaciones ante los órganos jurisdiccionales nacionales para que estos últimos, si concuerdan con las dudas de dicha autoridad, planteen una petición de decisión prejudicial sobre la validez de la decisión en cuestión.

82. Al igual que el órgano jurisdiccional remitente, considero que estas conclusiones son aplicables por analogía cuando, con ocasión de la tramitación de una reclamación presentada ante ella, una autoridad de control alberga dudas sobre la validez no de una decisión de adecuación, sino de una decisión, como la Decisión 2010/87, que establezca cláusulas contractuales tipo para la transferencia de datos personales a terceros países. En contra de lo alegado por el Gobierno alemán, carece de relevancia el hecho de que tales dudas se correspondan con imputaciones invocadas por quien interpuso la reclamación o de que tal autoridad cuestione por propia iniciativa la validez de la decisión de que se trate. En efecto, los requisitos que establecen el artículo 58, apartado 5, del RGPD y el artículo 8, apartado 3, de la Carta, en los que se fundamentó la motivación del Tribunal de Justicia, se aplican con independencia de cuáles sean el fundamento jurídico de la transferencia a la que se refiere la reclamación presentada ante la autoridad de control y los motivos que han llevado a esta autoridad a poner en duda la validez de la decisión de que se trate en el contexto de la tramitación de dicha reclamación.

83. Una vez hechas estas puntualizaciones, si el DPC solicitó al órgano jurisdiccional remitente que consultara al Tribunal de Justicia sobre la validez de la Decisión 2010/87 fue porque le pareció necesario obtener una aclaración del Tribunal de Justicia a este respecto para tramitar la reclamación mediante la cual el Sr. Schrems le solicita que ejerza la facultad, de la que disponía en virtud del artículo 28, apartado 3, segundo guion, de la Directiva 95/46 —y que actualmente le confiere el artículo 58, apartado 2, letra f), del RGPD—, de suspender la transferencia de sus datos personales por parte de Facebook Ireland a Facebook Inc.

84. Así pues, aunque el litigio principal tiene únicamente por objeto la validez in abstracto de la Decisión 2010/87, el procedimiento subyacente en curso ante el DPC versa sobre el ejercicio por parte de este de su facultad de adoptar medidas correctoras en un caso concreto. Quisiera proponer al Tribunal de Justicia que se limite a examinar las cuestiones prejudiciales planteadas en la medida necesaria para pronunciarse sobre la validez de la Decisión 2010/87, dado que tal examen es suficiente para que el órgano jurisdiccional remitente resuelva el litigio del que conoce. ( 27 )

85. Antes de analizar la validez de esta Decisión, es preciso descartar algunas objeciones planteadas contra la admisibilidad de la petición de decisión prejudicial.

B. Sobre la admisibilidad de la petición de decisión prejudicial

86. La admisibilidad de la petición de decisión prejudicial se ha impugnado por diversos motivos, referidos, esencialmente, a la inaplicabilidad ratione temporis de la Directiva 95/46 contemplada en las cuestiones prejudiciales (sección 1), al hecho de que se afirma que el procedimiento incoado ante el DPC no ha alcanzado una fase suficientemente avanzada para justificar su utilidad (sección 2) y a la persistencia de dudas relativas al marco fáctico descrito por el órgano jurisdiccional remitente (sección 3).

87. Responderé a estas causas de inadmisión de la demanda teniendo presente la presunción de pertinencia de que gozan las cuestiones prejudiciales planteadas al Tribunal de Justicia con arreglo al artículo 267 TFUE. Según reiterada jurisprudencia, el Tribunal de Justicia solo puede abstenerse de pronunciarse sobre una petición de decisión prejudicial cuando resulte evidente que la interpretación solicitada del Derecho de la Unión carece de relación alguna con la realidad o con el objeto del litigio principal, cuando el problema sea de naturaleza hipotética o cuando el Tribunal de Justicia no disponga de los elementos de hecho o de Derecho necesarios para responder de manera útil a las cuestiones planteadas. ( 28 )

1. Sobre la aplicabilidad ratione temporis de la Directiva 95/46

88. Facebook Ireland alega la inadmisibilidad de las cuestiones prejudiciales basándose en que hacen referencia a la Directiva 95/46, cuando esta Directiva fue derogada y sustituida por el RGPD con efecto a partir del 25 de mayo de 2018. ( 29 )

89. Comparto el punto de vista según el cual la validez de la Decisión 2010/87 debe examinarse a la luz de las disposiciones del RGPD.

90. A tenor del artículo 94, apartado 2, de este Reglamento, «toda referencia a la Directiva derogada se entenderá hecha [a dicho Reglamento]». A mi juicio, de ello se desprende que la Decisión 2010/87, en la medida en que menciona como fundamento jurídico el artículo 26, apartado 4, de la Directiva 95/46, debe entenderse en el sentido de que hace referencia al artículo 46, apartado 2, letra c), del RGPD, que reproduce en esencia su contenido. ( 30 ) Por consiguiente, las decisiones de ejecución adoptadas por la Comisión en virtud del artículo 26, apartado 4, de la Directiva 95/46, antes de la entrada en vigor del RGPD, deben interpretarse a la luz de dicho Reglamento. Su validez también debe evaluarse, en su caso, en función del referido Reglamento.

91. Esta conclusión no se ve desvirtuada por la jurisprudencia según la cual la legalidad de un acto de la Unión debe apreciarse en función de los elementos de hecho y de Derecho existentes en la fecha en que se adoptó dicho acto. Esta jurisprudencia se refiere, en efecto, al examen de la validez de un acto de la Unión en relación con las circunstancias de hecho pertinentes en el momento de su adopción ( 31 ) o de las normas procesales que regulan su adopción. ( 32 ) En cambio, el Tribunal de Justicia ha examinado de forma reiterada la validez de actos de Derecho derivado en función de normas sustantivas de rango superior que entraron en vigor después de la adopción de dichos actos. ( 33 )

92. Sin embargo, la mención, en el enunciado de las cuestiones prejudiciales, de un acto que ya no resulta aplicable ratione temporis, si bien justifica la reformulación de esas cuestiones, no puede suponer su inadmisión. ( 34 ) Como han alegado el DPC y el Sr. Schrems, las referencias a la Directiva 95/46 en el enunciado de las cuestiones prejudiciales, por lo demás, pueden explicarse a la luz del calendario procesal del presente asunto, dado que dichas cuestiones fueron planteadas al Tribunal de Justicia antes de la entrada en vigor del RGPD.

93. En cualquier caso, las disposiciones del RGPD que se abordarán a los efectos del análisis de las cuestiones prejudiciales —a saber, en particular, sus artículos 45, 46 y 58— reproducen en esencia, aunque desarrollándolo y con ciertas matizaciones, el contenido de los artículos 25, 26 y 28 de la Directiva 95/46. En lo tocante a sus aspectos pertinentes para resolver sobre la validez de la Decisión 2010/87, no veo ninguna razón para atribuir a estas disposiciones del RGPD un alcance distinto al de las disposiciones concordantes de la Directiva 95/46. ( 35 )

2. Sobre el carácter provisional de las dudas expresadas por el DPC

94. Según el Gobierno alemán, la petición de decisión prejudicial es inadmisible debido a que el procedimiento de recurso al que se alude en el apartado 65 de la sentencia Schrems supone que la autoridad de control se haya formado una opinión definitiva en cuanto a la procedencia de las alegaciones invocadas por el recurrente contra la validez de la Decisión en cuestión. A su entender, esto no sucede en el presente asunto, en la medida en que el DPC ha expresado sus dudas sobre la validez de la Decisión 2010/87 —que el Sr. Schrems, por lo demás, no rebate— en un proyecto de decisión presentado con carácter provisional, sin perjuicio de la posible presentación de observaciones complementarias por parte de Facebook Ireland y del Sr. Schrems.

95. En mi opinión, el carácter provisional de las dudas expresadas por el DPC no afecta a la admisibilidad de la petición de decisión prejudicial. En efecto, los criterios de admisibilidad de una cuestión prejudicial deben apreciarse en relación con el objeto del litigio tal como lo haya definido el órgano jurisdiccional remitente. ( 36 ) Pues bien, consta que este se refiere a la validez de la Decisión 2010/87. Según la resolución de remisión y la sentencia de primera instancia adjunta a esta, dicho órgano jurisdiccional estimó que las dudas expresadas por el DPC —con independencia de si estas se expresaron con carácter provisional o definitivo— estaban fundadas y, en consecuencia, preguntó al Tribunal de Justicia sobre la validez de dicha Decisión. En estas condiciones, las aclaraciones que pueda aportar el Tribunal de Justicia a este respecto son sin duda pertinentes para permitirle pronunciarse sobre el litigio del que conoce.

3. Sobre las dudas que rodean a la definición del marco fáctico

96. El Gobierno del Reino Unido alega que el marco fáctico descrito por el órgano jurisdiccional remitente presenta diversas lagunas que comprometen la admisibilidad de las cuestiones prejudiciales. Considera que el referido órgano jurisdiccional no ha aclarado si los datos personales relativos al Sr. Schrems fueron efectivamente transferidos a los Estados Unidos ni, en caso de respuesta afirmativa, si fueron recogidos por las autoridades estadounidenses. A su entender, tampoco se ha identificado con certeza la base jurídica de estas posibles transferencias, ya que la resolución de remisión se ha limitado a mencionar que los datos de los usuarios europeos de la red social Facebook se transfieren «en gran medida» basándose en las cláusulas contractuales tipo previstas en la Decisión 2010/87. En cualquier caso, entiende que no se ha acreditado que el contrato entre Facebook Ireland y Facebook Inc., invocado en apoyo de la transferencia controvertida, incorpore de forma fiel tales cláusulas. El Gobierno alemán también impugna la admisibilidad de la petición de decisión prejudicial alegando que el órgano jurisdiccional remitente no ha examinado si el Sr. Schrems dio su consentimiento de forma indubitada a las transferencias en cuestión, en cuyo caso estas se habrían basado de forma válida en el artículo 26, apartado 1, de la Directiva 95/46 [cuyo contenido reproduce esencialmente el artículo 49, apartado 1, letra a), del RGPD].

97. Estos argumentos no cuestionan en absoluto la pertinencia de la petición de decisión prejudicial en relación con el objeto del litigio principal. Dado que este litigio tiene su origen en el ejercicio por parte del DPC de la vía de recurso prevista en el apartado 65 de la sentencia Schrems, su propio objeto consiste en conseguir que el órgano jurisdiccional nacional plantee una petición de decisión prejudicial sobre la validez de la Decisión 2010/87. Los Gobiernos alemán y del Reino Unido niegan, en realidad, la necesidad de las cuestiones prejudiciales, no para determinar si dicha Decisión es válida, sino más bien para permitir al DPC pronunciarse in concreto sobre la reclamación del Sr. Schrems.

98. En todo caso, incluso desde el punto de vista de este procedimiento subyacente al litigio principal, no me parece que las cuestiones prejudiciales relativas a la validez de la Decisión 2010/87 carezcan de pertinencia. En efecto, el órgano jurisdiccional remitente ha acreditado que Facebook Ireland continuó transfiriendo los datos de sus usuarios hacia los Estados Unidos tras la invalidación de la Decisión de puerto seguro y que estas transferencias se basaron, al menos en parte, en la Decisión 2010/87. Además, aunque puede tener sus ventajas que el conjunto de los hechos pertinentes se establezca antes de que ejerza su competencia con arreglo al artículo 267 TFUE, corresponde únicamente al órgano jurisdiccional remitente apreciar en qué fase del procedimiento necesita una decisión prejudicial del Tribunal de Justicia. ( 37 )

99. Habida cuenta de las consideraciones precedentes, considero que la petición de decisión prejudicial es admisible.

C. Sobre la aplicabilidad del Derecho de la Unión a las transferencias con fines comerciales de datos personales a un tercer Estado que puede tratarlos por razones de seguridad nacional (primera cuestión prejudicial)

100. Mediante su primera cuestión prejudicial, el órgano jurisdiccional remitente pretende averiguar si el Derecho de la Unión es aplicable a una transferencia de datos personales por parte de una sociedad situada en un Estado miembro a una sociedad establecida en un tercer país realizada por razones comerciales cuando, tras haber iniciado la transferencia, los datos pueden ser tratados por las autoridades públicas de ese tercer país con fines que incluyen la protección de la seguridad nacional.

101. La trascendencia de esta cuestión para la resolución del litigio principal reside en el hecho de que, si tal transferencia quedara fuera del ámbito de aplicación del Derecho de la Unión, el conjunto de las objeciones formuladas contra la validez de la Decisión 2010/87 en el presente asunto se vería privado de fundamento.

102. Tal como ha observado el órgano jurisdiccional remitente, los tratamientos de datos personales que tienen por objeto la seguridad nacional estaban excluidos del ámbito de aplicación de la Directiva 95/46 en virtud del artículo 3, apartado 2, de esta Directiva. Actualmente, el artículo 2, apartado 2, del RGPD precisa que este Reglamento no se aplica, en particular, a los tratamientos de datos en el marco de una actividad que no se encuentre comprendida en el ámbito de aplicación del Derecho de la Unión o efectuados por las autoridades competentes con fines de protección de la seguridad pública. Estas disposiciones reflejan la reserva de competencia que el artículo 4 TUE, apartado 2, reconoce a los Estados miembros en materia de protección de la seguridad nacional.

103. El DPC, el Sr. Schrems, Irlanda, los Gobiernos alemán, austriaco, belga, checo, neerlandés, polaco y portugués, así como el Parlamento y la Comisión alegan que transferencias como las contempladas en la reclamación del Sr. Schrems no están cubiertas por estas disposiciones y, por tanto, están comprendidas en el ámbito de aplicación del Derecho de la Unión. Facebook Ireland defiende la tesis contraria. Suscribo el punto de vista de los primeros.

104. A este respecto, es importante señalar que la transferencia de datos personales a partir de un Estado miembro hacia un tercer país constituye, en sí misma, un «tratamiento», en el sentido del artículo 4, apartado 2, del RGPD, efectuado en el territorio de un Estado miembro. ( 38 ) La primera cuestión prejudicial tiene precisamente por objeto determinar si el Derecho de la Unión se aplica al tratamiento constituido por la propia transferencia. Esta cuestión no se refiere a la aplicabilidad del Derecho de la Unión a los posibles tratamientos posteriores, por las autoridades estadounidenses por razones de seguridad nacional, de los datos transferidos a los Estados Unidos, que no están comprendidos en el ámbito de aplicación territorial del RGPD. ( 39 )

105. Desde esta perspectiva, a los efectos de determinar si el Derecho de la Unión se aplica a la transferencia de datos de que se trata, solo debe tomarse en consideración la actividad en el marco de la cual se inscribe esta transferencia, sin importar el objeto de los posibles tratamientos posteriores que sufrirán los datos transferidos por las autoridades públicas del tercer país de destino. ( 40 )

106. Pues bien, de la resolución de remisión se desprende que la transferencia a la que se refiere la reclamación del Sr. Schrems forma parte de una actividad comercial. Además, esta transferencia no se produce con el objetivo de permitir el tratamiento posterior de los datos de que se trata por las autoridades estadounidenses por razones de seguridad nacional.

107. A mayor abundamiento, el enfoque propuesto por Facebook Ireland privaría de efecto útil a las disposiciones del RGPD relativas a las transferencias hacia terceros países, ya que nunca se puede excluir que los datos transferidos en el marco de una actividad comercial sean tratados por razones de seguridad nacional después de la transferencia.

108. La interpretación que propongo se ve confirmada por el tenor literal del artículo 45, apartado 2, letra a), del RGPD. Esta disposición indica que, cuando adopte una decisión de adecuación, la Comisión tendrá en cuenta, en particular, la legislación del tercer país al que se refiere en materia de seguridad nacional. De ello puede deducirse que la posibilidad de que los datos sufran, por parte de las autoridades del país tercero de destino, un tratamiento que tenga por objeto la protección de la seguridad nacional no hace que el Derecho de la Unión resulte inaplicable al tratamiento que constituye la transferencia de datos a ese país tercero.

109. El razonamiento y las conclusiones adoptados por el Tribunal de Justicia en la sentencia Schrems se basan igualmente en esta premisa. En particular, en dicha sentencia el Tribunal de Justicia examinó la validez de la Decisión de puerto seguro, en la medida en que esta tenía por objeto las transferencias de datos personales hacia los Estados Unidos, donde podían ser recogidas y tratadas por razones de protección de la seguridad nacional, teniendo en cuenta el artículo 25, apartado 6, de la Directiva 95/46, interpretada a la luz de la Carta. ( 41 )

110. Habida cuenta de estas consideraciones, estimo que el Derecho de la Unión se aplica a una transferencia de datos personales desde un Estado miembro a un tercer país cuando dicha transferencia se enmarque en una actividad comercial, con independencia de que los datos transferidos puedan ser sometidos por las autoridades públicas de dicho tercer país a tratamientos dirigidos a proteger su seguridad nacional.

D. Sobre el nivel de protección exigido en el marco de una transferencia basada en cláusulas contractuales tipo (primera parte de la sexta cuestión prejudicial)

111. A tenor de la primera parte de su sexta cuestión prejudicial, el órgano jurisdiccional remitente pretende averiguar cuál es el nivel de protección de los derechos fundamentales de los interesados que debe garantizarse para que se puedan transferir datos personales a un tercer país en virtud de las cláusulas contractuales tipo establecidas en la Decisión 2010/87.

112. El referido órgano jurisdiccional destaca que, en la sentencia Schrems, el Tribunal de Justicia interpretó el artículo 25, apartado 6, de la Directiva 95/46 (cuyo contenido reproduce esencialmente el artículo 45, apartado 3, del RGPD), en la medida en que establecía que la Comisión solo puede adoptar una decisión de adecuación tras haberse asegurado de que el tercer país en cuestión garantiza un nivel de protección adecuado, en el sentido de que supone que esta acredite que dicho país garantiza un nivel de protección de las libertades y los derechos fundamentales sustancialmente equivalente al garantizado en la Unión por esta Directiva, interpretada a la luz de la Carta. ( 42 )