JULKISASIAMIEHEN RATKAISUEHDOTUS

HENRIK SAUGMANDSGAARD ØE

19 päivänä joulukuuta 2019 ( 1 )

Asia C‑311/18

Data Protection Commissioner

vastaan

Facebook Ireland Limited ja

Maximillian Schrems,

Amerikan yhdysvaltojen,

Electronic Privacy Information Centren,

BSA Business Software Alliance, Inc:n ja

Digitaleuropen

osallistuessa asian käsittelyyn

(Ennakkoratkaisupyyntö – High Court (ylempi piirituomioistuin, Irlanti))

Ennakkoratkaisupyyntö – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus (EU) 2016/679 – 2 artiklan 2 kohta – Soveltamisala – Henkilötietojen siirto kaupallisessa tarkoituksessa Amerikan yhdysvaltoihin – Amerikan yhdysvaltojen viranomaisten toteuttama siirrettyjen tietojen käsittely kansallista turvallisuutta varten – 45 artikla – Kolmannen maan tietosuojan riittävyyden arviointi – 46 artikla – Rekisterinpitäjän toteuttamat asianmukaiset suojatoimet – Tietosuojaa koskevat vakiolausekkeet – 58 artiklan 2 kohta – Valvontaviranomaisten toimivaltuudet – Päätös 2010/87/EU – Pätevyys – Täytäntöönpanopäätös (EU) 2016/1250 – EU:n ja Yhdysvaltojen välinen Privacy Shield ‑järjestely – Pätevyys – Euroopan unionin perusoikeuskirjan 7, 8 ja 47 artikla

Sisällys

I Johdanto II Asiaa koskevat oikeussäännöt A Direktiivi 95/46/EY B Tietosuoja-asetus C Päätös 2010/87 D Privacy Shield ‑päätös III Pääasia, ennakkoratkaisukysymykset ja asian käsittely unionin tuomioistuimessa IV Asian tarkastelu A Alustavat toteamukset B Ennakkoratkaisupyynnön tutkittavaksi ottaminen 1. Direktiivin 95/46 ajallinen sovellettavuus 2. DPC:n ilmaisemien epäilyjen alustavuus 3. Asian tosiseikkojen määrittämiseen liittyvät epävarmuustekijät C Unionin oikeuden sovellettavuus siirrettäessä henkilötietoja kaupallisessa tarkoituksessa kolmanteen valtioon, joka saattaa käsitellä niitä kansallista turvallisuutta varten (ensimmäinen kysymys) D Edellytetty suojan taso mallisopimuslausekkeisiin perustuvan siirron yhteydessä (kuudennen kysymyksen ensimmäinen osa) E Päätöksen 2010/87 pätevyys perusoikeuskirjan 7, 8 ja 47 artiklan kannalta (seitsemäs, kahdeksas ja yhdestoista kysymys) 1. Rekisterinpitäjien velvollisuudet 2. Valvontaviranomaisten velvollisuudet F Se, ettei asiassa ole tarpeen vastata muihin ennakkoratkaisukysymyksiin eikä tutkia Privacy Shield ‑päätöksen pätevyyttä 1. Se, etteivät unionin tuomioistuimen vastaukset ole tarpeen pääasian kohteen kannalta 2. Syyt, jotka puoltavat sitä, ettei unionin tuomioistuin tutki asiaa DPC:n vireillä olevan menettelyn kohteen kannalta G Toissijaiset toteamukset Privacy Shield ‑päätöksen vaikutuksista ja pätevyydestä 1. Privacy Shield ‑päätöksen vaikutus siihen, miten valvontaviranomainen käsittelee sopimukseen perustuviin suojatoimiin perustuvan siirron laillisuudesta tehtyä kantelua 2. Privacy Shield ‑päätöksen pätevyys a) Tietosuojan riittävyyttä koskevan päätöksen pätevyyttä koskevan tarkastelun sisältöä koskevat täsmennykset 1) Vertailuperusteet, joiden nojalla voidaan arvioida, onko tietosuojan taso ”pääosiltaan vastaava” 2) Tarve varmistaa riittävä suojan taso tietojen siirtämisvaiheessa 3) Komission ja ennakkoratkaisua pyytäneen tuomioistuimen Yhdysvaltojen oikeudesta esittämien tosiseikkoja koskevien toteamusten huomioon ottaminen 4) Pääosiltaan vastaavaa koskevan vaatimuksen ulottuvuus b) Privacy Shield ‑päätöksen pätevyys yksityiselämän kunnioittamista ja henkilötietojen suojaa koskevien oikeuksien kannalta 1) Puuttumisen olemassaolo 2) Puuttumisesta säätäminen lailla 3) Perusoikeuksien keskeisen sisällön loukkaamatta jättäminen 4) Oikeutetun tavoitteen toteuttaminen 5) Puuttumisen tarpeellisuus ja oikeasuhteisuus c) Privacy Shield ‑päätöksen pätevyys tehokasta oikeussuojaa koskevan oikeuden kannalta 1) Yhdysvaltojen oikeudessa säädettyjen oikeussuojakeinojen tehokkuus 2) Oikeusasiamiesmekanismin vaikutus tehokasta oikeussuojakeinoa koskevan oikeuden suojan tasoon V Ratkaisuehdotus

I Johdanto

1. Koska maailmassa ei ole henkilötietojen suojaa koskevia yhteisiä takeita, tällaisten tietojen rajatylittäviin siirtoihin liittyy vaara keskeytyksistä Euroopan unionissa varmistetun tietosuojan tasossa. Unionin lainsäätäjä on pyrkinyt helpottamaan näiden tietojen liikkuvuutta ja samalla rajoittamaan tätä vaaraa ottamalla käyttöön kolme mekanismia, joiden perusteella henkilötietoja voidaan siirtää unionista kolmanteen valtioon.

2. Tällainen siirto voidaan ensinnäkin toteuttaa päätöksellä, jolla Euroopan komissio toteaa, että kyseinen kolmas valtio varmistaa siihen siirrettyjen tietojen ”riittävän tietosuojan tason”. ( 2 ) Jollei tällaista päätöstä ei ole tehty, toiseksi siirto on sallittu, jos siihen liittyy ”asianmukaisia suojatoimia”. ( 3 ) Nämä suojatoimet voidaan toteuttaa tietojen viejän ja tietojen tuojan välisellä sopimuksella, johon sisällytetään komission antamia tietosuojaa koskevia vakiolausekkeita. Kolmanneksi tietosuoja-asetuksessa säädetään eräistä poikkeuksista, jotka perustuvat muun muassa rekisteröidyn suostumukseen, jonka perusteella siirto kolmanteen maahan on mahdollinen jopa ilman tietosuojan riittävyyttä koskevaa päätöstä tai asianmukaisia suojatoimia. ( 4 )

3. High Courtin (ylempi piirituomioistuin, Irlanti) esittämä ennakkoratkaisupyyntö koskee toista näistä mekanismeista. Siinä on erityisesti kyse päätöksen 2010/87/EU ( 5 ), jolla komissio on laatinut mallisopimuslausekkeita tietyille siirtojen ryhmille, pätevyydestä Euroopan unionin perusoikeuskirjan (jäljempänä perusoikeuskirja) 7, 8 ja 47 artiklan kannalta.

4. Tämä kysymys on esitetty asiassa, jossa asianosaisina ovat Data Protection Commissioner (tietosuojavaltuutettu, Irlanti; jäljempänä DPC) sekä Facebook Ireland Ltd ja Maximillian Schrems. Viimeksi mainittu teki DPC:lle kantelun siitä, että Facebook Ireland oli siirtänyt hänen henkilötietojaan Amerikan yhdysvaltoihin (jäljempänä Yhdysvallat) sijoittautuneelle emoyhtiölleen Facebook Inc:lle. DPC katsoo, että tämän kantelun käsittely riippuu siitä, onko päätös 2010/87 pätevä. Tässä yhteydessä se on saattanut asian ennakkoratkaisua pyytäneen tuomioistuimen käsiteltäväksi ja pyytänyt sitä esittämään unionin tuomioistuimelle tästä kysymyksiä.

5. Totean heti alkuun, että ennakkoratkaisukysymysten tarkastelussa ei mielestäni ole tullut esiin seikkoja, jotka voisivat vaikuttaa päätöksen 2010/87 pätevyyteen.

6. Ennakkoratkaisua pyytänyt tuomioistuin on tuonut esille tiettyjä epäilyjä, jotka koskevat lähinnä Yhdysvalloissa varmistetun tietosuojan riittävyyttä siihen nähden, että Yhdysvaltojen tiedusteluviranomaiset puuttuvat toiminnallaan henkilöiden, joiden tietoja siirretään tähän kolmanteen maahan, perusoikeuksien käyttöön. Nämä epäilyt saattavat komission täytäntöönpanopäätöksessä (EU) 2016/1250 ( 6 ) tältä osin esittämät arvioinnit välillisesti kyseenalaisiksi. Vaikka pääasian ratkaisu ei edellytä unionin tuomioistuimen käsittelevän tätä kysymystä ja vaikka ehdotan sen näin ollen pidättyvän sen käsittelystä, esitän toissijaisesti syyt, joiden vuoksi olen päätynyt pohtimaan kyseisen päätöksen pätevyyttä.

7. Tätä tarkasteluani ohjaa kauttaaltaan pyrkimys saattaa tasapainoon yhtäältä se, että tarvitaan ”kohtuullista pragmaattisuutta vuorovaikutuksen mahdollistamiseksi muun maailman kanssa”, ( 7 ) ja toisaalta se, että unionin ja sen jäsenvaltioiden oikeusjärjestyksissä, erityisesti perusoikeuskirjassa, tunnustettuja perusarvoja on tarpeen lujittaa.

II Asiaa koskevat oikeussäännöt

A Direktiivi 95/46/EY

8. Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annetun direktiivin 95/46/EY ( 8 ) 3 artiklan 2 kohdassa säädettiin seuraavaa: ”Tätä direktiiviä ei sovelleta henkilötietojen käsittelyyn, – joka suoritetaan sellaisessa toiminnassa, joka ei kuulu yhteisön oikeuden soveltamisalaan, kuten toiminta, josta on määrätty Euroopan unionista tehdyn sopimuksen V ja VI osastossa, ja kaikissa tapauksissa käsittely, joka koskee yleistä turvallisuutta, puolustusta, valtion turvallisuutta (myös valtion taloudellista hyvinvointia, kun käsittelyoperaatio on sidoksissa valtion turvallisuutta koskeviin kysymyksiin) ja rikosoikeuden alalla tapahtuvaa valtion toimintaa, – –”

9. Tämän direktiivin 13 artiklan 1 kohdan sanamuoto oli seuraava: ”Jäsenvaltiot voivat toteuttaa lainsäädännöllisiä toimenpiteitä, joilla pyritään rajoittamaan 6 artiklan 1 kohdassa, 10 artiklassa, 11 artiklan 1 kohdassa sekä 12 ja 21 artiklassa säädettyjen oikeuksien ja velvoitteiden alaa, jos tällaiset rajoitukset ovat välttämättömiä, jotta varmistettaisiin a) valtion turvallisuus, b) puolustus, c) yleinen turvallisuus, d) rikosten tai, säännellyn ammattitoiminnan osalta, ammattietiikan rikkomusten torjunta, tutkinta, selvittäminen ja syyteharkinta, e) jäsenvaltiolle tai [unionille] tärkeä taloudellinen tai rahoituksellinen etu, myös rahaa, talousarviota ja verotusta koskevissa asioissa, f) valvonta-, tarkastus- tai sääntelytehtävä, joka satunnaisestikin liittyy julkisen vallan käyttämiseen c, d ja e alakohdassa tarkoitetuissa tapauksissa, g) rekisteröidyn suojelu tai muiden oikeudet ja vapaudet.”

10. Kyseisen direktiivin 25 artiklassa säädettiin seuraavaa: ”1. Jäsenvaltioiden on säädettävä siitä, että käsiteltävien tai siirron jälkeen käsiteltäviksi tarkoitettujen henkilötietojen siirto kolmanteen maahan voidaan suorittaa ainoastaan, jos kyseisessä kolmannessa maassa taataan tietosuojan riittävä taso, jollei tämän direktiivin muiden säännösten mukaisesti säädetyistä kansallisista säännöksistä muuta johdu. 2. Kolmannessa maassa taattavan tietosuojan tason riittävyyttä on arvioitava kaikkien tiettyyn siirtoon tai siirtojen ryhmään liittyvien olosuhteiden osalta; erityisesti on otettava huomioon tietojen luonne, suunnitellun käsittelyn tai suunniteltujen käsittelyjen tarkoitus ja kestoaika, alkuperämaa ja lopullinen kohde, kyseisessä kolmannessa maassa voimassa olevat yleiset tai alakohtaiset oikeussäännöt sekä ammattisäännöt ja tässä maassa noudatettavat turvatoimet. – – 6. Komissio voi 31 artiklan 2 kohdassa vahvistetun menettelyn mukaisesti todeta, että tietyssä kolmannessa maassa taataan tietosuojan riittävä taso tämän artiklan 2 kohdan tarkoittamassa merkityksessä, mikä johtuu kyseisen maan sisäisestä lainsäädännöstä tai kansainvälisistä sitoumuksista, jotka on tehty erityisesti 5 kohdassa tarkoitettujen neuvottelujen yhteydessä henkilöiden yksityiselämän ja perusoikeuksien ja ‑vapauksien turvaamiseksi. Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet noudattaakseen komission päätöstä.”

11. Saman direktiivin 26 artiklan 2 ja 4 kohdassa säädettiin seuraavaa: ”2. Jäsenvaltio voi hyväksyä henkilötietojen siirron tai siirtojen sarjan sellaiseen kolmanteen maahan, jossa ei taata 25 artiklan 2 kohdassa tarkoitettua tietosuojan riittävää tasoa, jos rekisterinpitäjä antaa riittävät takeet henkilöiden yksityisyyden suojasta ja perusoikeuksien ja ‑vapauksien suojasta sekä vastaavien oikeuksien soveltamisesta, sanotun kuitenkaan rajoittamatta 1 kohdan soveltamista; nämä takeet voivat erityisesti johtua soveltuvista sopimuslausekkeista. – – 4. Jos komissio päättää – –, että tietyillä mallisopimuslausekkeilla annetaan riittävät tämän artiklan 2 kohdassa tarkoitetut takeet, jäsenvaltioiden on toteutettava tarvittavat toimenpiteet noudattaakseen komission päätöstä.”

12. Direktiivin 95/46 28 artiklan 3 kohdan sanamuoto oli seuraava: ”Kullakin valvontaviranomaisella on erityisesti oltava: – – – tehokkaat toimintavaltuudet, kuten esimerkiksi valtuudet 20 artiklan mukaisesti antaa lausuntoja ennen käsittelyn toteuttamista ja varmistaa näiden lausuntojen asianmukainen julkistaminen taikka valtuudet määrätä tietojen suojaamisesta, poistamisesta tai tuhoamisesta tai kieltää käsittely väliaikaisesti tai lopullisesti taikka valtuudet antaa rekisterinpitäjälle huomautus tai varoitus taikka valtuudet saattaa asioita käsiteltäväksi kansalliselle parlamentille tai muille poliittisille elimille, – –”

B Tietosuoja-asetus

13. Direktiivi 95/64 kumottiin tietosuoja-asetuksen 94 artiklan 1 kohdan nojalla 25 päivästä toukokuuta 2018, jolloin tätä asetusta alettiin soveltaa sen 99 artiklan 2 kohdan mukaisesti.

14. Kyseisen asetuksen 2 artiklan 2 kohdassa säädetään seuraavaa: ”Tätä asetusta ei sovelleta henkilötietojen käsittelyyn, a) jota suoritetaan sellaisen toiminnan yhteydessä, joka ei kuulu unionin lainsäädännön soveltamisalaan; b) jota suorittavat jäsenvaltiot toteuttaessaan SEU V osaston 2 luvun soveltamisalaan kuuluvaa toimintaa; – – d) jota toimivaltaiset viranomaiset suorittavat rikosten ennalta estämistä, tutkintaa, paljastamista tai rikoksiin liittyviä syytetoimia varten tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten.”

15. Saman asetuksen 4 artiklan 2 alakohdan mukaan ”käsittelyllä” tarkoitetaan ”toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista”.

16. Tietosuoja-asetuksen 23 artiklassa säädetään seuraavaa: ”1. Rekisterinpitäjään tai henkilötietojen käsittelijään sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä voidaan lainsäädäntötoimenpiteellä rajoittaa 12–22 artiklassa ja 34 artiklassa sekä 5 artiklassa, siltä osin kuin sen säännökset vastaavat 12–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia, säädettyjen velvollisuuksien ja oikeuksien soveltamisalaa, jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja ‑vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide, jotta voidaan taata a) kansallinen turvallisuus; b) puolustus; c) yleinen turvallisuus; d) rikosten ennalta estäminen, tutkinta, paljastaminen tai rikoksiin liittyvät syytetoimet taikka rikosoikeudellisten seuraamusten täytäntöönpano, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu tai tällaisten uhkien ehkäisy; e) muut unionin tai jäsenvaltion yleiseen julkiseen etuun liittyvät tärkeät tavoitteet, erityisesti unionille tai jäsenvaltiolle tärkeä taloudellinen tai rahoituksellinen etu – –; – – 2. Edellä 1 kohdassa tarkoitettujen lainsäädäntötoimenpiteiden on sisällettävä tarpeen mukaan erityisiä säännöksiä, jotka koskevat ainakin a) käsittelytarkoitusta tai käsittelyn ryhmiä; b) henkilötietoryhmiä; c) käyttöön otettujen rajoitusten soveltamisalaa; d) suojatoimia, joilla estetään väärinkäyttö tai lainvastainen pääsy tietoihin tai niiden siirtäminen; e) rekisterinpitäjän tai rekisterinpitäjien ryhmien määrittämistä; f) tietojen säilytysaikoja ja sovellettavia suojatoimia ottaen huomioon käsittelyn tai käsittelyryhmien luonne, laajuus ja tarkoitukset; g) rekisteröidyn oikeuksiin ja vapauksiin kohdistuvia riskejä; ja h) rekisteröityjen oikeutta saada tietoa rajoituksesta, paitsi jos tämä voisi vaarantaa rajoituksen tarkoituksen.”

17. Tämän asetuksen 44 artiklassa, jonka otsikkona on ”Siirtoja koskeva yleinen periaate”, säädetään seuraavaa: ”Sellaisten henkilötietojen siirto, joita käsitellään tai joita on tarkoitus käsitellä kolmanteen maahan tai kansainväliselle järjestölle siirtämisen jälkeen, toteutetaan vain jos rekisterinpitäjä ja henkilötietojen käsittelijä noudattavat tässä luvussa vahvistettuja edellytyksiä ja ellei tämän asetuksen muista säännöksistä muuta johdu; tämä koskee myös henkilötietojen siirtämistä edelleen kyseisestä kolmannesta maasta tai kansainvälisestä järjestöstä toiseen kolmanteen maahan tai toiselle kansainväliselle järjestölle. Kaikkia tämän luvun säännöksiä on sovellettava, jotta varmistetaan, että tällä asetuksella taattua luonnollisten henkilöiden henkilötietojen suojan tasoa ei vaaranneta.”

18. Kyseisen asetuksen 45 artiklassa, jonka otsikkona on ”Siirto tietosuojan riittävyyttä koskevan päätöksen perusteella”, säädetään seuraavaa: ”1. Henkilötietojen siirto johonkin kolmanteen maahan tai kansainväliselle järjestölle voidaan toteuttaa, jos komissio on päättänyt, että kyseinen kolmas maa tai kolmannen maan alue tai yksi tai useampi tietty sektori tai kyseinen kansainvälinen järjestö varmistaa riittävän tietosuojan tason. Tällaiselle siirrolle ei tarvita erityistä lupaa. 2. Arvioidessaan tietosuojan riittävyyttä komissio ottaa huomioon etenkin seuraavat seikat: a) oikeusvaltioperiaate, ihmisoikeuksien ja perusvapauksien kunnioitus, sekä yleinen että alakohtainen asiaankuuluva lainsäädäntö, joka koskee muun muassa yleistä turvallisuutta, puolustusta, kansallista turvallisuutta ja rikosoikeutta sekä viranomaisten pääsyä henkilötietoihin, sekä tällaisen lainsäädännön täytäntöönpano, tietosuojaa koskevat säännöt, ammatilliset säännöt ja turvatoimet, mukaan lukien asianomaisessa kolmannessa maassa tai kansainvälisessä järjestössä noudatettavat säännöt henkilötietojen siirtämisestä edelleen muuhun kolmanteen maahan tai muulle kansainväliselle järjestölle, oikeuskäytäntö sekä rekisteröidyille kuuluvat vaikuttavat ja täytäntöönpanokelpoiset oikeudet ja tehokkaat hallinnolliset ja oikeudelliset muutoksenhakukeinot niitä rekisteröityjä varten, joiden henkilötietoja siirretään; b) se, onko kyseisessä kolmannessa maassa tai siinä kolmannessa maassa, jonka alaisuuteen kansainvälinen järjestö kuuluu, vähintään yksi tehokkaasti toimiva riippumaton valvontaviranomainen, joka vastaa tietosuojasääntöjen noudattamisen varmistamisesta ja täytäntöönpanosta, kuten riittävistä valvontavaltuuksista, oikeuksien käyttämistä koskevan avun ja neuvojen tarjoamisesta rekisteröidyille sekä yhteistyön tekemisestä jäsenvaltioiden valvontaviranomaisten kanssa; c) asianosaisen kolmannen maan tai kansainvälisen järjestön tekemät kansainväliset sitoumukset tai muut oikeudellisesti sitovista yleissopimuksista tai säädöksistä taikka monenvälisiin tai alueellisiin järjestelmiin osallistumisesta johtuvat velvoitteet, jotka koskevat erityisesti henkilötietojen suojaamista. 3. Komissio voi suojan riittävyyttä arvioituaan päättää, että kolmas maa tai kolmannen maan alue tai yksi tai useampi tietty sektori tai kansainvälinen järjestö tarjoaa tämän artiklan 2 kohdassa tarkoitetun riittävän tietosuojan tason. Täytäntöönpanosäädöksessä on säädettävä vähintään joka neljäs vuosi tehtävästä määräaikaistarkastelusta, jossa on otettava huomioon kaikki asiaan liittyvä kehitys kyseisessä kolmannessa maassa tai kansainvälisessä järjestössä. – – 4. Komissio seuraa jatkuvasti kolmansissa maissa ja kansainvälisissä järjestöissä tapahtuvaa kehitystä, joka saattaa vaikuttaa tämän artiklan 3 kohdan mukaisesti hyväksyttyjen päätösten ja direktiivin [95/46] 25 artiklan 6 kohdan perusteella hyväksyttyjen päätösten toimivuuteen. 5. Jos saatavilla olevista tiedoista käy ilmi varsinkin tämän artiklan 3 kohdassa tarkoitetun tarkastelun jälkeen, että kolmas maa tai kolmannen maan alue tai yksi tai useampi tietty sektori tai kansainvälinen järjestö ei tarjoa enää tämän artiklan 2 kohdassa tarkoitettua riittävää tietosuojan tasoa, komissio tekee tästä päätöksen ja tarvittaessa kumoaa tämän artiklan 3 kohdassa tarkoitetun päätöksen, muuttaa sitä tai lykkää sen voimaantuloa täytäntöönpanosäädöksellä ilman takautuvaa vaikutusta. – – 6. Komissio aloittaa neuvottelut kolmannen maan tai kansainvälisen järjestön kanssa korjatakseen tilanteen, jonka johdosta 5 kohdan mukainen päätös annettiin. – – 9. Komission direktiivin [95/46] 25 artiklan 6 kohdan nojalla antamat päätökset pysyvät voimassa, kunnes niitä muutetaan, ne korvataan tai kumotaan tämän artiklan 3 tai 5 kohdan mukaisesti annetulla komission päätöksellä.”

19. Saman asetuksen 46 artikla, jonka otsikkona on ”Siirto asianmukaisia suojatoimia soveltaen”, on muotoiltu seuraavasti: ”1. Jollei 45 artiklan 3 kohdan mukaista päätöstä ole tehty, rekisterinpitäjä tai henkilötietojen käsittelijä voi siirtää henkilötietoja kolmanteen maahan tai kansainväliselle järjestölle vain, jos kyseinen rekisterinpitäjä tai henkilötietojen käsittelijä on toteuttanut asianmukaiset suojatoimet ja jos rekisteröityjen saatavilla on täytäntöönpanokelpoisia oikeuksia ja tehokkaita oikeussuojakeinoja. 2. Edellä 1 kohdassa tarkoitettuja asianmukaisia suojatoimia voivat olla seuraavat, ilman että edellytetään erityistä valvontaviranomaisen antamaa lupaa: – – c) komission 93 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen antamat tietosuojaa koskevat vakiolausekkeet; – – 5. Hyväksynnät, jotka jäsenvaltio tai valvontaviranomainen on antanut direktiivin [95/46] 26 artiklan 2 kohdan nojalla, pysyvät voimassa, kunnes kyseinen valvontaviranomainen tarpeen vaatiessa muuttaa niitä tai korvaa tai kumoaa ne. Päätökset, jotka komissio on antanut direktiivin [95/46] 26 artiklan 4 kohdan nojalla, pysyvät voimassa, kunnes niitä tarpeen vaatiessa muutetaan, ne korvataan tai kumotaan tämän artiklan 2 kohdan mukaisesti annetulla komission päätöksellä.”

20. Tietosuoja-asetuksen 58 artiklan 2, 4 ja 5 kohdassa säädetään seuraavaa: ”2. Jokaisella valvontaviranomaisella on kaikki seuraavat korjaavat toimivaltuudet: a) varoittaa rekisterinpitäjää tai henkilötietojen käsittelijää siitä, että aiotut käsittelytoimet ovat todennäköisesti tämän asetuksen säännösten vastaisia; b) antaa huomautus rekisterinpitäjälle tai henkilötietojen käsittelijälle, jos käsittelytoimet ovat olleet tämän asetuksen säännösten vastaisia; c) määrätä rekisterinpitäjä tai henkilötietojen käsittelijä noudattamaan rekisteröidyn pyyntöjä, jotka koskevat tähän asetukseen perustuvien rekisteröidyn oikeuksien käyttöä; d) määrätä rekisterinpitäjä tai henkilötietojen käsittelijä saattamaan käsittelytoimet tämän asetuksen säännösten mukaisiksi, tarvittaessa tietyllä tavalla ja tietyn määräajan kuluessa; e) määrätä rekisterinpitäjä ilmoittamaan henkilötietojen tietoturvaloukkauksesta rekisteröidylle; f) asettaa väliaikainen tai pysyvä rajoitus käsittelylle, mukaan lukien käsittelykielto; – – i) määrätä 83 artiklan nojalla hallinnollinen sakko tässä kohdassa tarkoitettujen toimenpiteiden lisäksi tai niiden asemesta kunkin yksittäisen tapauksen olosuhteista riippuen; j) määrätä tiedonsiirtojen keskeyttämisestä kolmannessa maassa olevalle vastaanottajalle tai kansainväliselle järjestölle. – – 4. Valvontaviranomaiselle tämän artiklan nojalla annettujen valtuuksien käyttöön sovelletaan asianmukaisia suojatoimia, muun muassa tehokkaita oikeussuojakeinoja ja oikeudenmukaista menettelyä, joista säädetään unionin oikeudessa ja jäsenvaltion lainsäädännössä perusoikeuskirjan mukaisesti. 5. Kunkin jäsenvaltion on säädettävä laissa siitä, että sen valvontaviranomaisella on valtuudet saattaa tämän asetuksen rikkomiset lainkäyttöviranomaisten tietoon ja tarvittaessa panna vireille tai käynnistää muulla tavoin oikeustoimet tämän asetuksen säännösten täytäntöönpanemiseksi.”

C Päätös 2010/87

21. Komissio antoi direktiivin 95/46 26 artiklan 4 kohdan nojalla kolme päätöstä, joissa se totesi, että niissä vahvistetuilla mallisopimuslausekkeilla annetaan riittävät takeet yksityisyyden ja yksilöiden perusoikeuksien ja ‑vapauksien suojaamiseksi ja vastaavien oikeuksien toteutumiseksi (jäljempänä mallisopimuslausekkeita koskevat päätökset). ( 9 )

22. Yksi näistä päätöksistä on päätös 2010/87, jonka 1 artiklan mukaan ”liitteessä olevien mallisopimuslausekkeiden katsotaan antavan riittävät takeet yksityisyyden ja yksilöiden perusoikeuksien ja ‑vapauksien suojaamiseksi ja vastaavien oikeuksien toteutumiseksi direktiivin [95/46] 26 artiklan 2 kohdassa edellytetyllä tavalla”.

23. Tämän päätöksen 3 artiklassa säädetään seuraavaa: ”Tässä päätöksessä käytetään seuraavia määritelmiä: – – c) ’tietojen viejällä’ tarkoitetaan rekisterinpitäjää, joka siirtää henkilötietoja; d) ’tietojen tuojalla’ tarkoitetaan kolmanteen maahan sijoittautunutta henkilötietojen käsittelijää, joka hyväksyy vastaanottavansa tietojen viejältä henkilötietoja, jotka on siirron jälkeen tarkoitus käsitellä tietojen viejän puolesta tämän antamien ohjeiden mukaisesti ja tämän päätöksen mukaisia edellytyksiä noudattaen, ja jota ei koske direktiivin [95/46] 25 artiklan 1 kohdassa tarkoitettu riittävän tietosuojan takaava kolmannen maan järjestelmä; – – f) ’sovellettavalla tietosuojalainsäädännöllä’ tarkoitetaan lainsäädäntöä, jolla suojataan yksilöiden perusoikeudet ja ‑vapaudet ja erityisesti näiden yksilöiden oikeus yksityisyyteen henkilötietojen käsittelyssä ja jota sovelletaan rekisterinpitäjään siinä jäsenvaltioissa, johon tietojen viejä on sijoittautunut; – –”

24. Kyseisen päätöksen 4 artiklan alkuperäisen version 1 kohdassa säädettiin seuraavaa: ”Jäsenvaltioiden toimivaltaiset viranomaiset voivat käyttää nykyisiä toimivaltuuksiaan kolmansiin maihin suuntautuvien tiedonsiirtojen kieltämiseksi tai lykkäämiseksi suojatakseen yksilöitä näiden henkilötietojen käsittelyssä, sanotun kuitenkaan rajoittamatta kyseisten viranomaisten toimivaltuuksia toteuttaa toimenpiteitä direktiivin [95/46] II, III, V ja VI luvun nojalla annettujen kansallisten säännösten noudattamisen varmistamiseksi, jos a) todetaan, että tietojen tuojaan tai alihankkijana toimivaan käsittelijään sovellettavaan lainsäädäntöön sisältyy sellaisia vaatimuksia poiketa sovellettavasta tietosuojalainsäädännöstä, joiden rajoitukset menevät pitemmälle kuin on tarpeen demokraattisessa yhteiskunnassa direktiivin [95/46] 13 artiklan mukaan, kun kyseisillä vaatimuksilla on todennäköisesti merkittävä haitallinen vaikutus mallisopimuslausekkeilla annettaviin takeisiin; b) toimivaltainen viranomainen on todennut, ettei tietojen tuoja tai alihankkijana toimiva käsittelijä ole noudattanut liitteessä olevia mallisopimuslausekkeita; tai c) on hyvin todennäköistä, että liitteessä olevia mallisopimuslausekkeita ei noudateta tai ei tulla noudattamaan, ja siirron jatkaminen merkitsisi välitöntä vaaraa vakavan haitan aiheutumisesta rekisteröidyille.”

25. Nykyisessä versiossaan, sellaisena kuin se perustuu päätöksen 2010/87 muuttamiseen täytäntöönpanopäätöksellä (EU) 2016/2297 ( 10 ), päätöksen 2010/87 4 artiklassa säädetään, että ”kun jäsenvaltioiden toimivaltaiset viranomaiset käyttävät direktiivin [95/46] 28 artiklan 3 kohdan mukaisia toimivaltuuksiaan ja tästä seuraa se, että tiedonsiirrot kolmansiin maihin keskeytetään väliaikaisesti tai kielletään kokonaan yksilöiden suojelemiseksi heidän henkilötietojensa käsittelyssä, asianomaisen jäsenvaltion on viipymättä ilmoitettava asiasta komissiolle, joka välittää tiedon edelleen muille jäsenvaltioille”.

26. Päätöksen 2010/87 liitteeseen sisältyy useita mallisopimuslausekkeita. Erityisesti tässä liitteessä olevan lausekkeen 3, jonka otsikkona on ”Kolmatta osapuolta suojaava edunsaajalauseke”, sanamuoto on seuraava: ”1. Rekisteröity voi panna täytäntöön tämän lausekkeen, lausekkeen 4 kohdan b–i, lausekkeen 5 kohdan a–e sekä kohdan g–j, lausekkeen 6 kohdan 1 ja 2, lausekkeen 7, lausekkeen 8 kohdan 2 ja lausekkeen 9–12 tietojen viejää vastaan edunsaajana olevan kolmannen osapuolen ominaisuudessa. 2. Rekisteröity voi panna täytäntöön tämän lausekkeen, lausekkeen 5 kohdan a–e ja g, lausekkeen 6 ja 7, lausekkeen 8 kohdan 2 ja lausekkeen 9–12 tietojen tuojaa vastaan tapauksissa, joissa tietojen viejä on tosiasiallisesti lakkautettu tai lakannut oikeudellisesti olemasta, ellei mahdollinen seuraaja ole ottanut hoitaakseen tietojen viejän kaikkia oikeudellisia velvoitteita sopimuksella tai lain perusteella, minkä tuloksena se ottaa vastaan tietojen viejän oikeudet ja velvoitteet, jolloin rekisteröity voi panna lausekkeet täytäntöön tällaista seuraajaa vastaan. – –”

27. Kyseisessä liitteessä olevassa lausekkeessa 4, jonka otsikkona on ”Tietojen viejän velvollisuudet”, todetaan seuraavaa: ”Tietojen viejä hyväksyy ja takaa, että a) henkilötietojen käsittely, mukaan luettuna itse siirto, on suoritettu ja suoritetaan edelleen sovellettavan tietosuojalainsäädännön asiaankuuluvien säännösten mukaisesti (ja siitä on tarvittaessa ilmoitettu sen jäsenvaltion toimivaltaisille viranomaisille, johon tietojen viejä on sijoittautunut), ja ettei siirrolla rikota kyseisen valtion asiaankuuluvia säännöksiä, b) tietojen viejä on antanut ohjeet ja antaa koko henkilötietojen käsittelypalvelun kestoajan ohjeita tietojen tuojalle siitä, että tämä käsittelee siirrettyjä henkilötietoja ainoastaan tietojen viejän puolesta ja sovellettavan tietosuojalainsäädännön ja lausekkeiden mukaisesti, c) tietojen tuoja antaa riittävät takeet tämän sopimuksen lisäyksen 2 mukaisista teknisistä ja organisatorisista turvatoimista, d) sen jälkeen kun sovellettavan tietosuojalainsäädännön mukaiset vaatimukset on arvioitu, kyseisten turvatoimien avulla henkilötiedot voidaan asianmukaisesti suojata tahattomalta tai laittomalta tuhoamiselta, tahattomalta häviämiseltä, muuttamiselta, luvattomalta luovuttamiselta tai tietoihin pääsyltä erityisesti kun tietoja siirretään verkossa käsittelyn yhteydessä, ja muulta henkilötietojen laittomalta käsittelytavalta, ja että nämä toimet takaavat käsittelyyn liittyviä riskejä ja suojattavien tietojen luonnetta vastaavan turvallisuuden tason, kun otetaan huomioon nykyinen tekninen taso ja toimenpiteiden toteuttamisen kustannukset, e) tietojen viejä varmistaa kyseisten turvatoimien noudattamisen, f) jos siirto koskee erityisiä tietoryhmiä, rekisteröidyille on ilmoitettu tai ilmoitetaan ennen siirtoa tai mahdollisimman pian sen jälkeen, että niiden tietoja voidaan siirtää kolmanteen maahan, jossa ei taata direktiivissä [95/46] tarkoitettua tietosuojan riittävää tasoa, g) tietojen viejä toimittaa tietojen tuojalta tai alihankkijana toimivalta käsittelijältä lausekkeen 5 kohdan b ja lausekkeen 8 kohdan 3 mukaisesti saadun tiedon tietosuojaviranomaisille, kun se päättää jatkaa siirtoa tai lopettaa lykkäyksen, h) tietojen viejä saattaa rekisteröityjen saataville pyynnöstä jäljennöksen lausekkeista, paitsi lisäyksestä 2, ja yleisen kuvauksen turvatoimista, sekä jäljennöksen mahdollisesta alihankintana suoritettavia käsittelypalveluita koskevasta sopimuksesta, joka on tehtävä lausekkeiden mukaisesti, elleivät lausekkeet tai sopimus sisällä kaupallisia tietoja, jolloin tietojen viejä voi poistaa tällaiset kaupalliset tiedot, i) jos käsittely suoritetaan alihankintana, alihankkijana toimiva käsittelijä suorittaa käsittelytoiminnan lausekkeen 11 mukaisesti ja suojaa rekisteröidyn henkilötiedot ja oikeudet vähintään yhtä hyvin kuin tietojen tuoja näiden lausekkeiden mukaisesti, ja j) tietojen viejä varmistaa lausekkeen 4 kohdan a–i noudattamisen.”

28. Samaan liitteeseen sisältyvässä lausekkeessa 5, jonka otsikkona on ”Tietojen tuojan velvollisuudet (1)”, todetaan seuraavaa: ”Tietojen tuoja hyväksyy ja takaa, että a) tietojen tuoja käsittelee henkilötietoja ainoastaan tietojen viejän puolesta tämän antamien ohjeiden ja lausekkeiden mukaisesti, ja jos se ei voi noudattaa näitä ohjeita ja sääntöjä mistä tahansa syystä, se ilmoittaa tästä viipymättä tietojen viejälle, jolloin tietojen viejällä on oikeus lykätä tietojen siirtoa ja/tai irtisanoa sopimus, b) tietojen tuojalla ei ole mitään syytä olettaa, että siihen sovellettava lainsäädäntö estäisi tietojen viejältä saatujen ohjeiden noudattamisen ja tietojen tuojalle sopimuksen mukaan kuuluvien velvoitteiden täyttämisen, ja jos kyseistä lainsäädäntöä muutetaan ja muutoksella on todennäköisesti merkittävä haitallinen vaikutus lausekkeilla annettaviin takeisiin ja lausekkeiden mukaisiin velvoitteisiin, tietojen tuoja antaa muutoksen tiedoksi tietojen viejälle viipymättä saatuaan itse tiedon siitä, jolloin tietojen viejällä on oikeus lykätä tietojen siirtoa ja/tai irtisanoa sopimus, c) tietojen tuoja on pannut täytäntöön lisäyksessä 2 määritellyt tekniset ja organisatoriset turvatoimet ennen siirrettyjen henkilötietojen käsittelyä, d) tietojen tuoja ilmoittaa viipymättä tietojen viejälle seuraavista seikoista: i) säännösten täytäntöönpanosta vastaavan viranomaisen oikeudellisesti sitovasta pyynnöstä luovuttaa henkilötietoja, ellei sitä muutoin kielletä esimerkiksi rikoslainsäädännön mukaisella kiellolla lainvalvontaan liittyvien tutkimusten luottamuksellisuuden säilyttämiseksi, ii) kaikista tahattomista tai luvattomista pääsyistä tietoihin, ja iii) rekisteröidyiltä suoraan saaduista tiedusteluista niihin vastaamatta, ellei siihen muutoin anneta lupaa, e) tietojen tuoja hoitaa tietojen viejältä saadut siirrettävien henkilötietojen käsittelyyn liittyvät tiedustelut viipymättä ja asianmukaisesti ja noudattaa siirrettyjen tietojen käsittelyssä valvontaviranomaisen neuvoja, f) tietojen tuoja antaa tietojen viejän vaatimuksesta tietojenkäsittelyjärjestelmänsä tarkastettavaksi lausekkeiden piiriin kuuluvien käsittelytoimien osalta. Tarkastuksen suorittaa tietojen viejä tai vaaditun ammattipätevyyden omaavien ja salassapitovelvollisuuden alaisten riippumattomien jäsenten muodostama tarkastuselin, jonka tietojen viejä valitsee mahdollisesti valvontaviranomaisen kanssa, – –”

29. Alaviitteessä 1, johon päätöksen 2010/87 liitteessä olevassa lausekkeessa 5 viitataan, todetaan seuraavaa: ”Tietojen tuojaan sovellettavat kansallisen lainsäädännön sisältämät pakolliset vaatimukset, jotka eivät mene pitemmälle kuin on tarpeen demokraattisessa yhteiskunnassa direktiivin [95/46] 13 artiklan 1 kohdassa lueteltujen etujen perusteella, toisin sanoen vaatimukset, jotka ovat välttämättömiä, jotta varmistettaisiin valtion turvallisuus, puolustus, yleinen turvallisuus, rikosten tai, säännellyn ammattitoiminnan osalta, ammattietiikan rikkomusten torjunta, tutkinta, selvittäminen ja syyteharkinta, valtion tärkeä taloudellinen tai rahoituksellinen etu tai rekisteröidyn suojelu tai muiden oikeudet ja vapaudet, ja jotka eivät ole ristiriidassa mallisopimuslausekkeiden kanssa. Esimerkkejä tällaisista pakollisista vaatimuksista, jotka eivät mene pitemmälle kuin on tarpeen demokraattisessa yhteiskunnassa, ovat kansainvälisesti tunnustetut pakotteet, raportointivaatimukset verotusta varten ja raportointivaatimukset rahanpesun torjumiseksi.”

30. Tähän liitteeseen sisältyvän lausekkeen 6, jonka otsikkona on ”Vastuu”, sanamuoto on seuraava: ”1. Sopimuspuolet sopivat, että rekisteröidyllä, jolle on koitunut vahinkoa jonkin sopimuspuolen tai alihankkijana toimivan käsittelijän rikottua lausekkeessa 3 tai lausekkeessa 11 tarkoitettuja velvoitteita, on oikeus saada tietojen viejältä korvaus aiheutuneista vahingoista. 2. Jos rekisteröity ei voi nostaa kohdan 1 mukaista vahingonkorvauskannetta tietojen viejää vastaan, kun tietojen tuoja tai sen alihankkijana toimiva käsittelijä ei ole täyttänyt lausekkeessa 3 tai 11 tarkoitettuja velvoitteitaan, sen vuoksi, että tietojen viejä on tosiasiallisesti lakkautettu, lakannut oikeudellisesti olemasta tai todettu maksukyvyttömäksi, tietojen tuoja hyväksyy, että rekisteröity voi nostaa kanteen tietojen tuojaa vastaan samaan tapaan kuin tietojen viejää vastaan, ellei mahdollinen seuraaja ole ottanut hoitaakseen tietojen viejän kaikkia oikeudellisia velvoitteita sopimuksella tai lain perusteella, jolloin rekisteröity voi panna oikeutensa täytäntöön tällaista seuraajaa vastaan. – –”

31. Kyseisessä liitteessä olevassa lausekkeessa 7, jonka otsikkona on ”Sovittelu ja toimivaltainen tuomioistuin”, todetaan seuraavaa: ”1. Jos rekisteröity vetoaa kolmannen osapuolen etua suojaavaan oikeuteen ja/tai vaatii vahingonkorvausta lausekkeiden nojalla, tietojen tuoja hyväksyy rekisteröidyn päätöksen a) saattaa riita käsiteltäväksi sovittelumenettelyssä, jossa on mukana riippumaton henkilö tai tarvittaessa valvontaviranomainen, b) saattaa riita sen jäsenvaltion tuomioistuinten ratkaistavaksi, johon tietojen viejä on sijoittautunut. 2. Sopimuspuolet sopivat, että rekisteröidyn tekemä valinta ei vaikuta rekisteröidyn oikeuteen hakea tilanteeseen korjausta asiasisällön tai menettelyn osalta kansallisen tai kansainvälisen yksityisoikeuden muiden säännösten mukaisesti.”

32. Samaan liitteeseen sisältyvässä lausekkeessa 9, jonka otsikkona on ”Sovellettava laki”, todetaan, että lausekkeisiin sovelletaan sen jäsenvaltion lakia, johon tietojen viejä on sijoittautunut.

D Privacy Shield ‑päätös

33. Komissio antoi direktiivin 95/46 25 artiklan 6 kohdan perusteella kaksi peräkkäistä päätöstä, joissa se totesi, että Yhdysvallat takaa riittävän suojan tason henkilötiedoille, jotka siirretään Yhdysvaltoihin sijoittautuneille yrityksille, jotka ovat ilmoittaneet noudattavansa oma varmennus ‑menetelmän perusteella näiden päätösten mukaisia periaatteita.

34. Komissio teki ensin päätöksen 2000/520/EY yksityisyyden suojaa koskevien safe harbor ‑periaatteiden antaman suojan riittävyydestä ja niihin liittyvistä Yhdysvaltojen kauppaministeriön julkaisemista tavallisimmista kysymyksistä. ( 11 ) Unionin tuomioistuin totesi 6.10.2015 antamallaan tuomiolla Schrems ( 12 ) tämän päätöksen pätemättömäksi.

35. Tämän tuomion seurauksena komissio antoi seuraavaksi Privacy Shield ‑päätöksen.

36. Tämän päätöksen 1 artiklassa säädetään seuraavaa: ”1. Komissio katsoo direktiivin [95/46] 25 artiklan 2 kohdan soveltamiseksi, että Yhdysvallat takaa riittävän suojan henkilötiedoille, jotka siirretään EU:n ja Yhdysvaltojen välisen Privacy Shield ‑järjestelyn puitteissa unionista Yhdysvalloissa oleville organisaatioille. 2. EU:n ja Yhdysvaltojen välinen Privacy Shield ‑järjestely muodostuu Yhdysvaltojen kauppaministeriön 7 päivänä heinäkuuta 2016 antamista järjestelyn periaatteista, jotka on esitetty liitteessä II, ja virallisista lausumista ja sitoumuksista, jotka sisältyvät liitteissä I ja III–VII lueteltuihin asiakirjoihin. 3. Edellä olevan 1 kohdan soveltamiseksi henkilötietoja siirretään EU:n ja Yhdysvaltojen välisen Privacy Shield ‑järjestelyn puitteissa silloin, kun ne siirretään unionista sellaisille Yhdysvalloissa oleville organisaatioille, jotka on sisällytetty Yhdysvaltojen kauppaministeriön liitteessä II esitettyjen järjestelyn periaatteiden I ja III jakson mukaisesti ylläpitämään ja julkisesti saataville asettamaan Privacy Shield ‑luetteloon.”

37. Tämän päätöksen liite III A, jonka otsikkona on ”EU:n ja Yhdysvaltojen välisen Privacy Shield ‑järjestelyn signaalitiedustelua koskeva oikeusasiamiesmekanismi” ja joka on liitetty silloisen Secretary of Staten (ulkoministeri, Yhdysvallat) John Kerryn 7.7.2016 päivättyyn kirjeeseen, sisältää muistion, jossa kuvataan uutta oikeusasiamiesmekanismia, jota ulkoministerin nimeämä ”tietotekniikkaan liittyvän kansainvälisen diplomatian johtava koordinaattori” (jäljempänä oikeusasiamies) soveltaa.

38. Tämän muistion mukaan kyseisen mekanismin ”avulla helpotetaan sellaisten kysymysten ja niihin annettavien vastausten käsittelyä, jotka liittyvät [unionista] Yhdysvaltoihin toimitettuihin tietoihin ja jotka koskevat kansallisen turvallisuuden perusteella tietoihin myönnettävää pääsyä. Tietojen toimittaminen perustuu Privacy Shield ‑järjestelyyn, vakiosopimuslausekkeisiin, yrityksiä koskeviin sitoviin sääntöihin, poikkeuksiin tai mahdollisiin tuleviin poikkeuksiin, ja tiedot toimitetaan vakiintuneita reittejä pitkin Yhdysvaltojen lainsäädännön ja toimintaperiaatteiden nojalla”.

III Pääasia, ennakkoratkaisukysymykset ja asian käsittely unionin tuomioistuimessa

39. Maximillian Schrems, joka on Itävallan kansalainen ja asuu Itävallassa, on Facebook-verkkoyhteisöpalvelun käyttäjä. Kukin unionin alueella asuva tämän verkkoyhteisöpalvelun käyttäjä joutuu siihen liittyessään tekemään sopimuksen Facebook Irelandin kanssa; tämä on Facebook Inc:n, jonka kotipaikka on Yhdysvalloissa, tytäryhtiö. Näiden käyttäjien henkilötiedot siirretään kokonaan tai osittain käsiteltäviksi Facebook Inc:lle kuuluville palvelimille, jotka sijaitsevat Yhdysvaltojen alueella.

40. Schrems teki 25.6.2013 DPC:lle kantelun, jossa hän pääasiallisesti vaati tätä kieltämään Facebook Irelandia siirtämästä hänen henkilötietojaan Yhdysvaltoihin. Hänen mielestään tässä kolmannessa maassa voimassa olevat oikeussäännöt ja käytännöt eivät takaa sen alueella säilytetyille henkilötiedoille riittävää suojaa viranomaisten siellä harjoittamaan tarkkailutoimintaan perustuvalta tunkeutumiselta. Schrems viittaa tässä yhteydessä paljastuksiin, jotka Edward Snowden on tehnyt Yhdysvaltojen tiedustelupalvelujen, erityisesti National Security Agencyn (NSA) (kansallinen turvallisuusvirasto, Yhdysvallat), toiminnasta.

41. Tämä kantelu hylättiin muun muassa sillä perusteella, että kaikki kysymykset suojan riittävyydestä Yhdysvalloissa on ratkaistava safe harbor ‑päätöksen mukaisesti. Tässä päätöksessä komissio on todennut, että Yhdysvalloissa taataan riittävä suoja henkilötiedoille, jotka siirretään sen alueelle sijoittautuneille yrityksille, jotka ovat ilmoittaneet noudattavansa kyseisen päätöksen mukaisia periaatteita.

42. Schrems nosti kantelunsa hylkäämisestä tehdystä päätöksestä kanteen High Courtissa. Kyseinen tuomioistuin totesi, että vaikkei Schrems ollut muodollisesti riitauttanut safe harbor ‑päätöksen pätevyyttä, hän riitautti kantelussaan itse asiassa tällä päätöksellä käyttöön otetun järjestelmän laillisuuden. Tässä tilanteessa kyseinen tuomioistuin esitti unionin tuomioistuimelle kysymyksiä selvittääkseen, onko jäsenvaltion tietosuojaviranomaisten (jäljempänä valvontaviranomaiset), jotka käsittelevät niille tehtyä kantelua henkilön oikeuksien ja vapauksien suojasta kyseisen henkilön kolmanteen maahan siirrettyjen henkilötietojen käsittelyssä, noudatettava toteamuksia, jotka komissio on tehnyt direktiivin 96/46 25 artiklan 6 kohdan nojalla tämän kolmannen valtion tarjoaman tietosuojan riittävyydestä, vaikka kantelija kiistää nämä toteamukset.

43. Todettuaan tuomion Schrems 51 ja 52 kohdassa, että tietosuojan riittävyyttä koskeva päätös sitoo valvontaviranomaisia niin kauan kuin sitä ei ole todettu pätemättömäksi, unionin tuomioistuin totesi tämän tuomion 63 ja 65 kohdassa seuraavaa: ”63. – – kun henkilö, jonka henkilötiedot on siirretty tai voitaisiin siirtää direktiivin 95/46 25 artiklan 6 kohtaan perustuvan komission päätöksen kohteena olevaan kolmanteen maahan, saattaa kansallisen valvontaviranomaisen käsiteltäväksi vaatimuksen oikeuksiensa ja vapauksiensa suojelusta näiden tietojen käsittelyssä ja riitauttaa tällaisen vaatimuksen yhteydessä – – kyseisen päätöksen yhteensoveltuvuuden henkilöiden yksityiselämän sekä perusvapauksien ja ‑oikeuksien suojan kanssa, mainitun viranomaisen asiana on tutkia kyseinen vaatimus kaikkea asianmukaista huolellisuutta noudattaen. – – 65. – – tapauksessa, jossa kyseinen viranomainen pitää [tämän henkilön] esittämiä perusteita perusteltuina, on niin, että saman viranomaisen on direktiivin 95/46 28 artiklan 3 kohdan ensimmäisen alakohdan kolmannen luetelmakohdan, luettuna erityisesti perusoikeuskirjan 8 artiklan 3 kohdan valossa, mukaisesti voitava olla asianosaisena oikeudenkäynnissä. Tässä yhteydessä kansallisen lainsäätäjän asiana on säätää oikeussuojakeinoista, joiden avulla asianomainen kansallinen valvontaviranomainen voi esittää perusteltuina pitämänsä perusteet kansallisissa tuomioistuimissa, jotta nämä voisivat, mikäli ne kyseisen viranomaisen tavoin epäilevät komission päätöksen pätevyyttä, pyytää ennakkoratkaisua päätöksen pätevyyden tutkimiseksi.”

44. Unionin tuomioistuin tarkasteli kyseisessä tuomiossa myös safe harbor ‑päätöksen pätevyyttä direktiivistä 95/46, luettuna perusoikeuskirjan valossa, johtuvien vaatimusten kannalta. Tämän tarkastelunsa päätteeksi se totesi kyseisen päätöksen pätemättömäksi. ( 13 )

45. Ennakkoratkaisua pyytänyt tuomioistuin kumosi tuomion Schrems seurauksena päätöksen, jolla DPC oli hylännyt Schremsin kantelun, ja palautti sen DPC:n käsiteltäväksi. DPC aloitti tutkinnan ja kehotti Schremsiä muotoilemaan uudelleen kantelunsa safe harbor ‑päätöksen pätemättömyyden huomioon ottaen.

46. Tässä tarkoituksessa Schrems pyysi Facebook Irelandia ilmoittamaan, mihin oikeusperustoihin Facebook-verkkoyhteisöpalvelun käyttäjien henkilötietojen siirrot unionista Yhdysvaltoihin perustuvat. Ilmoittamatta kaikkia oikeusperustoja, joihin se tukeutuu, Facebook Ireland viittasi Facebook Inc:n kanssa tekemäänsä tietojen siirtoa ja käsittelyä koskevaan sopimukseen (data transfer processing agreement), jota on sovellettu 20.11.2015 alkaen, ja vetosi päätökseen 2010/87.

47. Uudelleen muotoillussa kantelussaan Schrems väittää, että tähän sopimukseen sisältyvät lausekkeet eivät ole päätöksen 2010/87 liitteessä olevien mallisopimuslausekkeiden mukaisia. Schrems katsoo joka tapauksessa, että hänen henkilötietojensa siirtoa Yhdysvaltoihin ei voida perustaa näihin mallisopimuslausekkeisiin. Tämä johtuu siitä, että Yhdysvaltojen oikeudessa Facebook Inc. velvoitetaan saattamaan käyttäjien henkilötiedot Yhdysvaltojen viranomaisten, kuten NSA:n ja Federal Bureau of Investigationin (FBI) (liittovaltion poliisi, Yhdysvallat), saataville tarkkailuohjelmissa, jotka rajoittavat perusoikeuskirjan 7, 8 ja 47 artiklassa taattujen oikeuksien käyttämistä. Schrems väittää, että rekisteröidyt eivät voi millään oikeussuojakeinolla vedota yksityisyyden ja henkilötietojen suojaa koskeviin oikeuksiinsa. Tässä tilanteessa Schrems vaatii DPC:tä keskeyttämään tämän siirron päätöksen 2010/87 4 artiklan perusteella.

48. Facebook Ireland myönsi DPC:n tutkinnan yhteydessä jatkavansa unionin alueella asuvien Facebook-verkkoyhteisöpalvelun käyttäjien henkilötietojen siirtämistä Yhdysvaltoihin ja tukeutuvansa tätä varten suurelta osin päätöksen 2010/87 liitteessä oleviin mallisopimuslausekkeisiin.

49. DPC:n tutkinnalla oli tarkoitus selvittää, taataanko Yhdysvalloissa unionin kansalaisten henkilötietojen riittävä suoja, ja jos ei, annetaanko mallisopimuslausekkeita koskevilla päätöksillä riittävät takeet näiden henkilöiden perusoikeuksien ja ‑vapauksien suojasta.

50. Tältä osin DPC katsoi päätösluonnoksessa (draft decision) alustavasti, että Yhdysvaltojen oikeudessa ei anneta perusoikeuskirjan 47 artiklassa tarkoitettuja tehokkaita oikeussuojakeinoja unionin kansalaisille, joiden tietoja siirretään Yhdysvaltoihin, jossa on vaarana, että Yhdysvaltojen virastot käsittelevät näitä tietoja kansallista turvallisuutta varten perusoikeuskirjan 7 ja 8 artiklan kanssa yhteensopimattomalla tavalla. Mallisopimuslausekkeita koskevien päätösten liitteenä olevilla lausekkeilla annetut takeet eivät korjaa tätä puutetta, koska ne eivät sido Yhdysvaltojen viranomaisia tai virastoja ja koska niillä annetaan rekisteröidyille vain sopimukseen perustuvia oikeuksia tietojen viejää ja/tai tuojaa vastaan.

51. Tässä tilanteessa DPC katsoi, ettei Schremsin kantelua voida ratkaista ilman, että unionin tuomioistuin tutkii mallisopimuslausekkeita koskevien päätösten pätevyyden. Tuomion Schrems 65 kohdassa todetun mukaisesti DPC saattoi ennakkoratkaisua pyytäneessä tuomioistuimessa vireille menettelyn, jotta tämä siinä tapauksessa, että se yhtyy DPC:n epäilyksiin, esittäisi unionin tuomioistuimelle ennakkoratkaisupyynnön näiden päätösten pätevyydestä.

52. Yhdysvaltojen hallitus, Electronic Privacy Information Centre (EPIC), Business Software Alliance (BSA) ja Digitaleurope hyväksyttiin osallistumaan asian käsittelyyn ennakkoratkaisua pyytäneessä tuomioistuimessa.

53. Selvittääkseen, onko DPC:n epäilyksiin mallisopimuslausekkeita koskevien päätösten pätevyydestä syytä yhtyä, High Court vastaanotti todisteita riidan asianosaisilta ja kuuli näiden asianosaisten sekä muiden osapuolten esittämät perustelut. Asiantuntijat esittivät näyttöä erityisesti Yhdysvaltojen oikeuden säännöksistä. Irlannin oikeudessa ulkomaan oikeutta pidetään tosiseikkana, jonka toteen näyttämiseksi on esitettävä todisteita samalla tavoin kuin kaikista muista tosiseikoista. Ennakkoratkaisua pyytänyt tuomioistuin arvioi näiden todisteiden perusteella Yhdysvaltojen oikeuden säännöksiä, joissa sallitaan valtion viranomaisten ja virastojen toteuttama tarkkailu, kahden julkisesti tunnustetun tarkkailuohjelman (PRISM ja Upstream) toimintaa, yksityisille, joiden oikeuksia on loukattu tarkkailutoimilla, annettuja eri oikeussuojakeinoja sekä systeemisiä takeita ja valvontamekanismeja. Kyseinen tuomioistuin sisällytti tämän arvioinnin tulokset 3.10.2017 annettuun tuomioon, joka on liitetty sen ennakkoratkaisupyyntöön (jäljempänä High Courtin 3.10.2017 antama tuomio).

54. Tässä tuomiossa ennakkoratkaisua pyytänyt tuomioistuin viittasi oikeusperustoina, joiden nojalla Yhdysvaltojen tiedustelupalveluille annetaan oikeus ulkomaisen viestinnän kaappaukseen, ulkomaantiedustelun valvonnasta annetun lain (Foreign Intelligence Surveillance Act (FISA)) 702 §:ään ja presidentin asetukseen 12333 (Executive Order 12333, jäljempänä EO 12333).

55. Kyseisessä tuomiossa esitettyjen toteamusten mukaan FISA:n 702 §:n mukaan Attorney General (oikeusministeri, Yhdysvallat) ja Director of National Intelligence (DNI) (kansallisen tiedusteluviraston johtaja, Yhdysvallat) voivat yhdessä antaa ulkomaantiedustelutietojen hankkimiseksi yhden vuoden ajaksi luvan tarkkailla henkilöitä, jotka eivät ole Yhdysvaltojen kansalaisia ja jotka eivät asu vakituisesti Yhdysvalloissa (ns. ei-yhdysvaltaiset henkilöt), jos heidän voidaan kohtuudella olettaa olevan Yhdysvaltojen ulkopuolella. ( 14 ) FISA:n mukaan ”ulkomaantiedustelu” kohdistuu tietoihin, jotka koskevat valtion kykyä varautua ulkomaisiin hyökkäyksiin, terrorismia, joukkotuhoaseiden levittämistä sekä Yhdysvaltojen ulkosuhteiden hoitamista. ( 15 )

56. Foreign Intelligence Surveillance Courtin (FISC) (ulkomaantiedustelun valvonnasta vastaava tuomioistuin, Yhdysvallat) on hyväksyttävä nämä vuosittaiset luvat sekä menettelyt, jotka koskevat tarkkailun kohteena olevien henkilöiden kohdentamista ja kerättyjen tietojen käsittelyä (ns. minimointi). ( 16 ) Kun FISA:n muihin säännöksiin perustuva ”perinteinen” tarkkailu edellyttää ”todennäköistä syytä” epäillä, että tarkkailun kohteena olevat henkilöt kuuluvat ulkovaltaan tai ovat ulkovallan edustajia, FISA:n 702 §:n nojalla toteutettu tarkkailutoiminta ei edellytä tällaista ”todennäköistä syytä” tai FISC:n antamaa hyväksyntää tiettyjen henkilöiden kohdentamiselle. Ennakkoratkaisua pyytäneen tuomioistuimen esittämistä toteamuksista ilmenee lisäksi, että minimointimenettelyjä ei sovelleta Yhdysvaltojen ulkopuolella oleviin ei-yhdysvaltalaisiin henkilöihin.

57. Käytännössä FISC:n annettua luvan NSA lähettää Yhdysvaltoihin sijoittautuneille sähköisten viestintäpalvelujen tarjoajille määräyksiä, jotka sisältävät hakukriteerejä, niin kutsuttuja valintakriteerejä, jotka liittyvät kohdennettuihin henkilöihin (kuten puhelinnumeroita tai sähköpostiosoitteita). Näillä palveluntarjoajilla on velvollisuus toimittaa valintakriteerejä vastaavat tiedot NSA:lle ja pitää niille osoitetut määräykset salassa. Ne voivat nostaa FISC:ssä kanteen ja vaatia NSA:n määräyksen muuttamista tai hylkäämistä. FISC:n ratkaisuun voi hakea muutosta Foreign Intelligence Surveillance Court of Review’ltä (FISCR) (ulkomaantiedustelun valvonnasta vastaava muutoksenhakutuomioistuin, Yhdysvallat).

58. High Court totesi, että FISA:n 702 § on oikeusperustana PRISM- ja Upstream-ohjelmille.

59. PRISM-ohjelmassa sähköisten viestintäpalvelujen tarjoajien on toimitettava NSA:lle kaikki sen ilmoittaman valintakriteerin ”lähtevä” tai ”saapuva” viestintä. Osa tästä viestinnästä toimitetaan FBI:lle ja Central Intelligence Agencylle (CIA) (keskustiedustelupalvelu, Yhdysvallat). Vuonna 2015 tarkkailtiin 94386 henkilöä, ja vuonna 2011 Yhdysvaltojen hallitus hankki yli 250 miljoonaa viestiä tämän ohjelman perusteella.

60. Upstream-ohjelma perustuu siihen, että yritykset, jotka ylläpitävät runkoverkkoa – eli kaapeliverkkoja, verkkokytkimiä ja verkkoreitittimiä –, jonka kautta puhelinviestintä ja internetviestintä siirtyvät, ovat velvollisia antamaan apuaan. Näiden yritysten on pakko antaa NSA:n kopioida ja suodattaa internetliikennettä tämän viraston määräyksessä mainitun valintakriteerin ”lähtevän”, ”saapuvan” tai sitä ”koskevan” viestinnän hankkimiseksi. Valintakriteeriä ”koskevalla” viestinnällä tarkoitetaan viestintää, jossa viitataan tähän valintakriteeriin ilman, että kyseiseen valintakriteeriin yhdistetty ei-yhdysvaltalainen henkilö välttämättä osallistuu siihen. Vaikka FISC:n 26.4.2017 antamasta lausunnosta ilmenee, että kyseisestä päivästä lukien Yhdysvaltojen hallitus ei enää kerää ja hanki tiettyä valintakriteeriä ”koskevaa” viestintää, tässä lausunnossa ei todeta, että NSA olisi lakannut kopioimasta ja suodattamasta tarkkailujärjestelmänsä kautta kulkevaa viestintävirtaa. Upstream-ohjelma merkitsee siis sitä, että NSA:lla on pääsy sekä metatietoihin että viestinnän sisältöön. Vuodesta 2011 NSA on hankkinut noin 26,5 miljoonaa viestiä vuodessa Upstream-ohjelman perusteella, mikä vastaa kuitenkin vain pientä osaa tämän ohjelman nojalla toteutettuun suodatinmenettelyyn saatetusta viestinnästä.

61. High Courtin toteamusten mukaan EO 12333:ssa hyväksytään sähköisen viestinnän tarkkailu Yhdysvaltojen alueen ulkopuolella antamalla pääsy ulkomaantiedustelua varten joko tälle alueelle ”siirrettäviin” tietoihin tai tietoihin, jotka ”siirretään” tämän alueen ”kautta” ilman, että niitä olisi tarkoitus käsitellä siellä, sekä näiden tietojen kerääminen ja säilyttäminen. EO 12333:n mukaan ulkomaantiedustelutiedolla tarkoitetaan tietoja, jotka koskevat ulkomaisten hallitusten, ulkomaisten organisaatioiden tai ulkomaalaisten henkilöiden valmiuksia, aikomuksia tai toimintaa. ( 17 )

62. EO 12333:ssa annetaan NSA:lle pääsy merenalaisiin kaapeleihin, jotka sijaitsevat Atlantin valtameren pohjassa ja joita pitkin tiedot siirretään unionista Yhdysvaltoihin ennen kuin nämä tiedot saapuvat Yhdysvaltoihin ja ovat tämän johdosta FISA:n säännösten alaisia. Ei kuitenkaan ole näyttöä siitä, että tämän presidentin asetuksen nojalla olisi pantu yhtään ohjelmaa täytäntöön.

63. Vaikka EO 12333:ssa säädetään rajoituksista tietojen keräämiselle, säilyttämiselle ja levittämiselle, näitä rajoituksia ei sovelleta ei-yhdysvaltalaisiin henkilöihin. Näillä viimeksi mainituilla henkilöillä on ainoastaan presidentin määräyksessä nro 28 (Presidential Policy Directive 28, jäljempänä PPD 28), jota sovelletaan kaikkeen ulkomaantiedustelun signaalitiedustelutietojen keräämiseen ja käyttöön, annetut takeet. PPD 28:ssä säädetään, että yksityisyyden suoja on erottamaton osa tämän toiminnan suunnittelussa huomioon otettavia näkökohtia, että tietojen keruun ainoana tarkoituksena on oltava ulkomaantiedustelu- ja vastatiedustelutietojen hankkiminen ja että tämän toiminnan on oltava ”mahdollisimman räätälöityä”.

64. Ennakkoratkaisua pyytäneen tuomioistuimen mukaan NSA:n toiminnasta, joka perustuu EO 12333:een, jonka Yhdysvaltojen presidentti voi milloin tahansa muuttaa tai kumota, ei säädetä lailla, se ei ole tuomioistuinvalvonnan kohteena eikä sen osalta ole käytettävissä oikeussuojakeinoja.

65. Näiden toteamusten perusteella kyseinen tuomioistuin katsoo, että Yhdysvallat harjoittaa laajamittaista ja erottelematonta henkilötietojen käsittelyä, joka voi saattaa rekisteröidyt vaaraan siitä, että heidän perusoikeuskirjan 7 ja 8 artiklaan perustuvia oikeuksiaan loukataan.

66. Lisäksi kyseinen tuomioistuin toteaa, että unionin kansalaisilla ei ole käytettävissään samoja oikeussuojakeinoja kuin Yhdysvaltojen kansalaisilla Yhdysvaltojen viranomaisten käsitellessä heidän henkilötietojaan lainvastaisesti. Yhdysvaltojen perustuslain neljäs lisäys, joka muodostaa tärkeimmän suojan lainvastaista valvontaa vastaan, ei ole sovellettavissa unionin kansalaisiin, joilla ei ole merkittävää omaehtoista yhteyttä Yhdysvaltoihin. Vaikka viimeksi mainituilla on käytettävissään kuitenkin joitakin muita oikeussuojakeinoja, niiden käytölle on huomattavia esteitä.

67. Erityisesti Yhdysvaltojen perustuslain III §:n mukaan kaikki kanteet liittovaltion tuomioistuimissa edellyttävät kyseessä olevan henkilön asiavaltuuden (standing) osoittamista. Asiavaltuus edellyttää, että tämä henkilö osoittaa, että hänelle on aiheutunut todellista vahinkoa, joka on yhtäältä konkreettinen ja erottuva ja toisaalta tosiasiallinen tai välittömästi uhkaava. Ennakkoratkaisua pyytänyt tuomioistuin viittaa muun muassa Supreme Court of the United Statesin (Yhdysvaltojen ylin tuomioistuin) antamaan tuomioon Clapper v. Amnesty International US ( 18 ) ja katsoo, että tätä edellytystä on käytännössä kohtuuttoman vaikea täyttää, kun otetaan huomioon, ettei rekisteröidyille tarvitse ilmoittaa heitä kohtaan toteutetuista tarkkailutoimenpiteistä. ( 19 ) Osa unionin kansalaisten käytettävissä olevista oikeussuojakeinoista edellyttää lisäksi muiden rajoittavien edellytysten noudattamista, kuten taloudellisen vahingon toteen näyttämistä. Tiedusteluelimille tunnustettu täysivaltainen koskemattomuus ja tietojen turvallisuusluokitus ovat niin ikään esteenä tiettyjen oikeussuojakeinojen käyttämiselle. ( 20 )

68. High Court viittaa lisäksi tiedusteluelinten toimintaa koskeviin eri valvonta- ja vastuumekanismeihin.

69. Näihin mekanismeihin kuuluvat yhtäältä sertifiointimekanismi, jolla FISC vahvistaa vuosittain FISA:n 702 §:ään perustuvat ohjelmat ja jonka yhteydessä FISC ei kuitenkaan hyväksy yksittäisiä valintakriteerejä. Ulkomaantiedustelutietojen keräämiseen EO 12333:n nojalla ei myöskään kohdistu minkäänlaista tuomioistuimen etukäteisvalvontaa.

70. Ennakkoratkaisua pyytänyt tuomioistuin viittaa myös useisiin tiedustelutoimintaa koskeviin tuomioistuimen ulkopuolisiin vastuumekanismeihin. Se mainitsee erityisesti Inspectors Generalin (valvontaviranomaiset, Yhdysvallat), joiden tehtävänä on tarkastaa tarkkailutoimintaa kussakin tiedusteluelimessä. Lisäksi Privacy and Civil Liberties Oversight Board (PCLOB) (yksityisyyden ja kansalaisvapauksien valvontalautakunta, Yhdysvallat), joka on toimeenpanovaltaan kuuluva itsenäinen elin, saa raportteja kussakin elimessä kansalaisvapauksiin tai yksityisyyden suojaan liittyviä tehtäviä hoitavaksi virkamieheksi (civil liberties or privacy officers) nimetyiltä henkilöiltä. PCLOB laatii säännönmukaisesti raportteja parlamentin valiokunnille ja presidentille. Kyseisten elinten on saatettava ulkomaantiedustelutietojen keräämistä sääntelevien sääntöjen ja menettelyjen noudattamatta jättämistä koskevat tapaukset muun muassa DNI:n tietoon. Näistä tapauksista raportoidaan myös FISC:lle. Myös Yhdysvaltojen kongressilla on edustajainhuoneen ja senaatin tiedusteluvaliokuntien välityksellä ulkomaantiedustelutoimintaan liittyvää valvontavastuuta.

71. High Court korostaa kuitenkin perustavanlaatuista eroa yhtäältä niiden sääntöjen, joilla on tarkoitus varmistaa, että tiedot on saatu laillisesti ja että niiden saamisen jälkeen niitä ei käytetä väärin, ja toisaalta näiden sääntöjen rikkomistapauksessa käytettävissä olevien oikeussuojakeinojen välillä. Rekisteröityjen perusoikeuksien suoja varmistetaan vain, jos he voivat tehokkaiden oikeussuojakeinojen avulla vedota oikeuksiinsa tapauksessa, jossa kyseisiä sääntöjä ei noudateta.

72. Tässä tilanteessa ennakkoratkaisua pyytänyt tuomioistuin pitää perusteltuina DPC:n väitteitä, joiden mukaan Yhdysvaltojen oikeudessa asetetut rajoitukset niiden henkilöiden oikeussuojakeinoille, joiden tietoja siirretään unionista, eivät ole perusoikeuskirjan 47 artiklassa taatun oikeuden keskeisen sisällön mukaisia ja joka tapauksessa merkitsevät suhteetonta puuttumista tämän oikeuden käyttämiseen.

73. High Courtin mukaan se, että Yhdysvaltojen hallitus on ottanut käyttöön Privacy Shield ‑päätöksessä kuvatun oikeusasiamiesmekanismin, ei kyseenalaista tätä arviointia. Korostettuaan, että tämä mekanismi on niiden unionin kansalaisten käytettävissä, joilla on kohtuullinen peruste katsoa, että heidän tietojaan on siirretty mallisopimuslausekkeita koskevien päätösten mukaisesti, ( 21 ) kyseinen tuomioistuin huomauttaa, että oikeusasiamies ei ole perusoikeuskirjan 47 artiklan vaatimukset täyttävä tuomioistuin eikä etenkään riippumaton toimeenpanovallasta. ( 22 ) Kyseinen tuomioistuin epäilee myös sitä, että oikeusasiamiehen, jonka päätöksistä ei voi valittaa tuomioistuimeen, toiminta merkitsisi tehokasta oikeussuojakeinoa. Oikeusasiamiehen toiminnan perusteella henkilöt, joiden henkilötietoja on kerätty, käsitelty tai jaettu lainvastaisesti, eivät voi saada korvausta tai määräystä lopettaa lainvastaiset toimet, koska oikeusasiamies ei vahvista tai kiistä sitä, että henkilö on ollut sähköisen tarkkailun kohteena.

74. Tuotuaan näin esille huolensa siitä, vastaavatko Yhdysvaltojen oikeudessa annetut takeet ja perusoikeuskirjan 7, 8 ja 47 artiklasta seuraavat vaatimukset pääosin toisiaan, ennakkoratkaisua pyytänyt tuomioistuin on esittänyt kysymyksiä siitä, voidaanko mallisopimuslausekkeita koskeviin päätöksiin sisältyvillä mallisopimuslausekkeilla – jotka eivät luonteensa vuoksi sido Yhdysvaltojen viranomaisia – kuitenkin varmistaa rekisteröityjen perusoikeuksien suoja. Kyseinen tuomioistuin on todennut yhtyvänsä DPC:n epäilyihin, jotka kohdistuvat näiden päätösten pätevyyteen.

75. Tältä osin ennakkoratkaisua pyytänyt tuomioistuin katsoo erityisesti, että direktiivin 95/46 28 artiklan 3 kohta, johon päätöksen 2010/87 4 artiklassa viitataan, siltä osin kuin siinä annetaan valvontaviranomaisille valta keskeyttää tai kieltää tähän päätökseen sisältyviin mallisopimuslausekkeisiin perustuvat siirrot, ei riitä poistamaan näitä epäilyjä. Ennakkoratkaisua pyytäneen tuomioistuimen mukaan tämä valta on luonteeltaan vain harkintavaltaa, minkä lisäksi se pohtii päätöksen 2010/87 johdanto-osan 11 perustelukappaleen valossa mahdollisuutta käyttää tätä valtaa, kun todetut laiminlyönnit eivät koske yksittäistä poikkeustapausta vaan ovat luonteeltaan yleisiä ja systeemisiä. ( 23 ) Se katsoo myös, että vaara eri jäsenvaltioissa annettavista erilaisista ratkaisuista voisi olla esteenä sille, että tällaisten laiminlyöntien toteaminen annetaan valvontaviranomaisten tehtäväksi.

76. Tässä tilanteessa High Court päätti 4.5.2018 tekemällään päätöksellä ( 24 ), joka on saapunut unionin tuomioistuimeen 9.5.2018, lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset: ”1) Olosuhteissa, joissa yksityinen yritys siirtää henkilötietoja [unionin] jäsenvaltiosta yksityiselle yritykselle kolmanteen maahan kaupallisessa tarkoituksessa [päätöksen 2010/87] nojalla ja näitä tietoja voivat edelleen käsitellä kolmannessa maassa sen viranomaiset kansallista turvallisuutta varten mutta myös lainvalvontaa ja kolmannen maan ulkosuhteiden hoitamista varten, sovelletaanko unionin oikeutta (mukaan lukien perusoikeuskirja) tietojensiirtoon huolimatta SEU 4 artiklan 2 kohdan kansallista turvallisuutta koskevista määräyksistä ja [direktiivin 95/46] 3 artiklan 2 kohdan ensimmäisen luetelmakohdan yleistä turvallisuutta, puolustusta ja valtion turvallisuutta koskevista säännöksistä? 2) a) Määritettäessä, onko kyseessä henkilön oikeuksien loukkaus, kun tietoja siirretään [päätöksen 2010/87] nojalla unionista kolmanteen maahan, jossa niitä voidaan edelleen käsitellä kansallista turvallisuutta varten, onko vertailuperusteena direktiivin [95/46] mukaisesti i) perusoikeuskirja, SEU, SEUT, direktiivi [95/46], [Roomassa 4.11.1950 allekirjoitettu ihmisoikeuksien ja perusvapauksien suojaamiseksi tehty yleissopimus, jäljempänä Euroopan ihmisoikeussopimus] (tai jokin muu unionin oikeussääntö) vai ii) yhden tai useamman jäsenvaltion lainsäädäntö? b) Jos vertailuperuste on ii), onko kansalliseen turvallisuuteen liittyvät käytännöt yhdessä tai useammassa jäsenvaltiossa myös sisällytettävä vertailuperusteeseen? 3) Arvioitaessa, takaako kolmas maa sinne lähetetyille henkilötiedoille unionin lainsäädännössä edellytetyn suojan tason direktiivin [95/46] 26 artiklan mukaisesti, onko suojan tasoa kolmannessa maassa arvioitava käyttäen perusteena a) kolmannessa maassa sovellettavia sääntöjä, jotka seuraavat sen omasta lainsäädännöstä tai kansainvälisistä sitoumuksista, ja näiden sääntöjen noudattamisen varmistamiseksi laadittua käytäntöä, mukaan lukien ammatilliset säännöt ja turvatoimenpiteet, joita noudatetaan kolmannessa maassa vai b) edellä a kohdassa mainittuja sääntöjä yhdessä sellaisten hallinnollisten käytäntöjen, sääntelykäytäntöjen ja valvontakäytäntöjen, toimintaperiaatteisiin liittyvien suojakeinojen, menettelyiden, protokollien, seurantajärjestelmien ja tuomioistuimen ulkopuolisten oikeussuojakeinojen kanssa, jotka kolmannessa maassa ovat käytössä? 4) Kun otetaan huomioon High Courtin Yhdysvaltojen lainsäädännöstä tekemät tosiseikkoja koskevat toteamukset, loukkaako henkilötietojen siirto unionista Yhdysvaltoihin [päätöksen 2010/87] nojalla perusoikeuskirjan 7 ja/tai 8 artiklassa tarkoitettuja yksilöiden oikeuksia? 5) Kun otetaan huomioon High Courtin Yhdysvaltojen lainsäädännöstä tekemät tosiseikkoja koskevat toteamukset siirrettäessä henkilötietoja unionista Yhdysvaltoihin [päätöksen 2010/87] nojalla, a) kunnioittaako Yhdysvaltojen tarjoama suojan taso yksilölle perusoikeuskirjan 47 artiklassa taatun oikeussuojakeinoa koskevan oikeuden keskeistä sisältöä siinä tapauksessa, että yksilön tietosuojaoikeuksia loukataan? Jos edellä a kohtaan vastataan myöntävästi, b) ovatko rajoitukset, joita Yhdysvaltojen lainsäädännössä asetetaan yksilön oikeussuojakeinoa koskevalle oikeudelle Yhdysvaltojen kansallisen turvallisuuden yhteydessä, suhteellisuusperiaatteen mukaisia perusoikeuskirjan 52 artiklassa tarkoitetulla tavalla ja sellaisia, että ne eivät mene yli sen, mikä on tarpeen demokraattisessa yhteiskunnassa kansallisen turvallisuuden perusteella? 6) a) Minkä tasoista suojaa edellytetään annettavan henkilötiedoille, jotka on siirretty kolmanteen maahan mallisopimuslausekkeiden mukaisesti, jotka on annettu [direktiivin 95/46] 26 artiklan 4 kohdan nojalla annetun komission päätöksen mukaisesti, [tämän] direktiivin säännösten valossa ja erityisesti [sen] 25 ja 26 artiklan valossa, kun ne luetaan perusoikeuskirjan valossa? b) Mitä seikkoja on otettava huomioon arvioitaessa, täyttääkö [päätöksen 2010/87] nojalla kolmanteen maahan siirretyille tiedoille annettu suojan taso direktiivissä [95/46] ja perusoikeuskirjassa asetetut vaatimukset? 7) Onko se, että mallisopimuslausekkeita sovelletaan tietojen viejän ja tietojen tuojan välillä ja ne eivät sido kansallisia viranomaisia kolmannessa maassa, joka voi pyytää tietojen tuojaa asettamaan turvallisuuspalvelujensa saataville edelleen käsittelyä varten [päätöksen 2010/87] lausekkeiden mukaisesti siirretyt henkilötiedot, esteenä sille, että lausekkeet voisivat tarjota direktiivin [95/46] 26 artiklan 2 kohdassa tarkoitetut riittävät takeet? 8) Jos kolmannen maan tietojen tuojaan sovelletaan tarkkailulainsäädäntöä, joka [valvontaviranomaisen] näkökulmasta on ristiriidassa [mallisopimuslausekkeiden] tai direktiivin [95/46] 25 ja 26 artiklan ja/tai perusoikeuskirjan kanssa, onko [valvontaviranomaisen] käytettävä direktiivin [95/46] 28 artiklan 3 kohdan mukaisia lainvalvontavaltuuksiaan keskeyttääkseen tietojensiirrot, vai onko näiden valtuuksien käyttö rajattu vain poikkeuksellisiin tapauksiin [päätöksen 2010/87] johdanto-osan 11 perustelukappaleen valossa, vai voiko [valvontaviranomainen] käyttää harkintavaltaansa ja olla keskeyttämättä tietojensiirtoa? 9) a) Onko [Privacy Shield ‑päätös] direktiivin [95/46] 25 artiklan 6 kohdassa tarkoitettu yleisesti sovellettava toteamus, joka sitoo jäsenvaltioiden [valvontaviranomaisia] ja tuomioistuimia ja jonka mukaan Yhdysvallat varmistaa direktiivin [95/46] 25 artiklan 2 kohdassa tarkoitetun riittävän suojan tason kansallisessa lainsäädännössään tai kansainvälisissä sitoumuksissaan? b) Jos näin ei ole, mitä merkitystä Privacy Shield ‑päätöksellä on arvioitaessa niiden takeiden riittävyyttä, jotka [päätöksen 2010/87] mukaisesti annetaan Yhdysvaltoihin siirretyille tiedoille? 10) Kun otetaan huomioon High Courtin tekemät toteamukset Yhdysvaltojen lainsäädännöstä, varmistaako Privacy Shield ‑päätöksen [liitteeseen III A] sisältyvä Privacy Shield ‑oikeusasiamiesjärjestelmä, kun sitä tarkastellaan yhdessä Yhdysvaltojen olemassa olevan järjestelmän kanssa, että Yhdysvallat tarjoaa rekisteröidyille, joiden henkilötietoja on siirretty Yhdysvaltoihin [päätöksen 2010/87] perusteella, oikeussuojakeinon, joka on yhteensopiva perusoikeuskirjan 47 artiklan kanssa? 11) Loukataanko [päätöksellä 2010/87] perusoikeuskirjan 7, 8 ja/tai 47 artiklaa?”

77. DPC, Facebook Ireland, Schrems, Yhdysvaltojen hallitus, EPIC, BSA, Digitaleurope, Irlanti, Belgian, Tšekin, Saksan, Alankomaiden, Itävallan, Puolan, Portugalin ja Yhdistyneen kuningaskunnan hallitukset, Euroopan parlamentti ja komissio toimittivat kirjalliset huomautuksensa unionin tuomioistuimelle. DPC, Facebook Ireland, Schrems, Yhdysvaltojen hallitus, EPIC, BSA, Digitaleurope, Irlanti, Saksan, Ranskan, Alankomaiden, Itävallan ja Yhdistyneen kuningaskunnan hallitukset, parlamentti, komissio ja Euroopan tietosuojaneuvosto (European Data Protection Board, EDPB) olivat edustettuina 9.7.2019 pidetyssä istunnossa.

IV Asian tarkastelu

A Alustavat toteamukset

78. Unionin tuomioistuimen todettua tuomiossa Schrems safe harbor ‑päätöksen pätemättömäksi henkilötietojen siirto Yhdysvaltoihin on jatkunut muiden oikeusperustojen nojalla. Erityisesti tietojen viejäyhtiöt ovat voineet turvautua tietojen tuojien kanssa tehtäviin sopimuksiin, jotka sisältävät komission laatimia mallilausekkeita. Näitä lausekkeita voidaan käyttää myös oikeusperustana siirroille useisiin muihin kolmansiin maihin, joiden osalta komissio ei ole tehnyt tietosuojan riittävyyttä koskevaa päätöstä. ( 25 ) Privacy Shield ‑päätöksen perusteella yritykset, jotka ovat antaneet oman varmennuksen siinä mainittujen periaatteiden noudattamisesta, voivat vastedes siirtää henkilötietoja Yhdysvaltoihin ilman muita muodollisuuksia.

79. Kuten ennakkoratkaisupyynnössä nimenomaisesti todetaan ja kuten BSA, Digitaleurope, Irlanti, Itävallan ja Ranskan hallitukset, parlamentti ja komissio korostavat, High Courtissa vireillä olevan pääasian ainoana tarkoituksena on sen ratkaiseminen, onko päätös, jolla komissio on ottanut käyttöön mallisopimuslausekkeet, joihin on vedottu Schremsin kantelussa tarkoitettujen siirtojen tueksi, eli päätös 2010/87 ( 26 ) pätevä.

80. Tämän oikeusriidan taustalla on hakemus, jossa DPC pyysi ennakkoratkaisua pyytänyttä tuomioistuinta esittämään unionin tuomioistuimelle ennakkoratkaisukysymyksen päätöksen 2010/87 pätevyydestä. Kyseisen tuomioistuimen mukaan pääasia koskee siten sen oikeussuojakeinon käyttöä, josta unionin tuomioistuin on tuomion Schrems 65 kohdassa velvoittanut jäsenvaltiot säätämään.

81. Unionin tuomioistuinhan totesi kyseisen tuomion 63 kohdassa, että kun henkilö, jonka henkilötiedot on siirretty tai voitaisiin siirtää tietosuojan riittävyyttä koskevan päätöksen kohteena olevaan kolmanteen maahan, saattaa valvontaviranomaisen käsiteltäväksi kantelun ja riitauttaa tämän päätöksen yhteensoveltuvuuden perusoikeuskirjassa vahvistettujen perusoikeuksien kanssa, valvontaviranomaisen on tutkittava kyseinen kantelu kaikkea asianmukaista huolellisuutta noudattaen. Kyseisen tuomion 65 kohdan mukaan tapauksessa, jossa tämä viranomainen pitää tässä kantelussa esitettyjä perusteita perusteltuina, sen on direktiivin 95/46 28 artiklan 3 kohdan ensimmäisen alakohdan kolmannen luetelmakohdan (jota tietosuoja-asetuksen 58 artiklan 5 kohta vastaa), luettuna perusoikeuskirjan 8 artiklan 3 kohdan valossa, mukaisesti voitava olla asianosaisena oikeudenkäynnissä. Tässä yhteydessä kansallisen lainsäätäjän on säädettävä oikeussuojakeinoista, joiden avulla kyseinen viranomainen voi esittää perusteltuina pitämänsä perusteet kansallisissa tuomioistuimissa, jotta nämä voisivat, mikäli ne yhtyvät kyseisen viranomaisen epäilyihin, pyytää ennakkoratkaisua kyseisen päätöksen pätevyydestä.

82. Katson ennakkoratkaisua pyytäneen tuomioistuimen tavoin, että nämä johtopäätökset pätevät analogisesti, kun valvontaviranomainen epäilee sille esitetyn kantelun käsittelyn yhteydessä tietosuojan riittävyyttä koskevan päätöksen sijaan päätöksen 2010/87 kaltaisen päätöksen, jolla vahvistetaan mallisopimuslausekkeet henkilötietojen siirrolle kolmansiin maihin, pätevyyttä. Toisin kuin Saksan hallitus väittää, on merkityksetöntä, vastaavatko nämä epäilyt kantelijan valvontaviranomaiselle esittämiä perusteita tai kyseenalaistaako tämä viranomainen kyseisen päätöksen pätevyyden omasta aloitteestaan. Tietosuoja-asetuksen 58 artiklan 5 kohdasta ja perusoikeuskirjan 8 artiklan 3 kohdasta seuraavia vaatimuksia, joihin unionin tuomioistuimen perustelut perustuvat, sovelletaan riippumatta valvontaviranomaiselle tehdyssä kantelussa tarkoitetun siirron oikeusperustasta ja syistä, jotka ovat saaneet tämän viranomaisen epäilemään kyseisen päätöksen pätevyyttä tämän kantelun käsittelyn yhteydessä.

83. Tämän tultua todetuksi on kuitenkin niin, että DPC on halunnut ennakkoratkaisua pyytäneen tuomioistuimen kysyvän unionin tuomioistuimelta päätöksen 2010/87 pätevyydestä nimenomaan sen vuoksi, että hän on pitänyt unionin tuomioistuimen tästä asiasta esittämää selvennystä tarpeellisena voidakseen käsitellä kantelun, jolla Schrems pyytää häntä käyttämään direktiivin 95/46 28 artiklan 3 kohdan toisessa luetelmakohdassa hänelle annettua toimivaltuutta – joka on sittemmin annettu tietosuoja-asetuksen 58 artiklan 2 kohdan f alakohdassa – keskeyttää Facebook Irelandin toteuttama Schremsin henkilötietojen siirto Facebook Inc:lle.

84. Kun pääasia koskee yksinomaan päätöksen 2010/87 pätevyyttä abstraktilla tasolla, sen taustalla oleva DPC:n vireillä oleva menettely koskee viimeksi mainitun korjaavien toimivaltuuksien käyttöä erityisessä tapauksessa. Ehdotan, että unionin tuomioistuin pitäytyy tarkastelemaan esitettyjä kysymyksiä siltä osin kuin se on tarpeellista päätöksen 2010/87 pätevyyden selvittämiseksi, koska ennakkoratkaisua pyytäneellä tuomioistuimella on tällaisen tarkastelun perusteella riittävät edellytykset ratkaista siinä vireillä oleva asia. ( 27 )

85. Ennen tämän päätöksen pätevyyden arvioimista on hylättävä tietyt väitteet, joiden mukaan ennakkoratkaisupyyntö pitäisi jättää tutkimatta.

B Ennakkoratkaisupyynnön tutkittavaksi ottaminen

86. Ennakkoratkaisupyynnön tutkittavaksi ottamista on vastustettu useilla perusteilla, jotka liittyvät lähinnä ennakkoratkaisukysymyksissä tarkoitetun direktiivin 95/46 ajalliseen soveltumattomuuteen (osa 1), siihen, että DPC:n menettely ei ole saavuttanut riittävän edistynyttä vaihetta, jotta ennakkoratkaisupyyntöä olisi perusteltua pitää hyödyllisenä (osa 2), ja siihen, että ennakkoratkaisua pyytäneen tuomioistuimen kuvaamiin asian tosiseikkoihin liittyy edelleen epävarmuustekijöitä (osa 3).

87. Vastaan näihin oikeudenkäyntiväitteisiin pitäen mielessä, että unionin tuomioistuimelle SEUT 267 artiklan nojalla esitetyillä kysymyksillä oletetaan olevan merkitystä asian ratkaisemisen kannalta. Vakiintuneen oikeuskäytännön mukaan unionin tuomioistuin voi kieltäytyä ratkaisemasta ennakkoratkaisupyynnön ainoastaan silloin, kun on ilmeistä, että pyydetyllä unionin oikeuden tulkitsemisella ei ole mitään yhteyttä kansallisessa tuomioistuimessa käsiteltävän asian tosiseikkoihin tai kohteeseen, jos kyseinen ongelma on luonteeltaan hypoteettinen taikka jos unionin tuomioistuimella ei ole tiedossaan niitä tosiseikkoja ja oikeudellisia seikkoja, jotka ovat tarpeen, jotta se voisi antaa hyödyllisen vastauksen sille esitettyihin kysymyksiin. ( 28 )

1. Direktiivin 95/46 ajallinen sovellettavuus

88. Facebook Ireland vetoaa ennakkoratkaisukysymysten tutkittavaksi ottamisen edellytysten puuttumiseen sillä perusteella, että niissä viitataan direktiiviin 95/46, vaikka tämä direktiivi on kumottu ja korvattu tietosuoja-asetuksella 25.5.2018 alkaen. ( 29 )

89. Yhdyn kantaan, jonka mukaan päätöksen 2010/87 pätevyyttä on tarkasteltava tietosuoja-asetuksen säännösten valossa.

90. Tämän asetuksen 94 artiklan 2 kohdan mukaan ”viittauksia kumottuun direktiivin pidetään viitauksina [kyseiseen asetukseen]”. Nähdäkseni tästä seuraa, että siltä osin kuin päätöksessä 2010/87 mainitaan oikeusperustaksi direktiivin 95/46 26 artiklan 4 kohta, siinä on ymmärrettävä viitattavan tietosuoja-asetuksen 46 artiklan 2 kohdan c alakohtaan, jossa toistetaan olennaisilta osin sen sisältö. ( 30 ) Näin ollen komission direktiivin 95/46 26 artiklan 4 kohdan nojalla ennen tietosuoja-asetuksen voimaantuloa antamia täytäntöönpanopäätöksiä on tulkittava tämän asetuksen valossa. Myös niiden pätevyyttä on tarvittaessa arvioitava kyseisen asetuksen kannalta.

91. Tätä johtopäätöstä ei kyseenalaisteta oikeuskäytännössä, jonka mukaan unionin toimen laillisuutta on arvioitava toimen antamishetkellä vallinneiden tosiseikkojen ja oikeudellisten seikkojen kannalta. Tämä oikeuskäytäntö koskee unionin toimen pätevyyden tarkastelua toimen antamisajankohtana merkityksellisten tosiasiallisten olosuhteiden kannalta ( 31 ) tai sellaisten menettelysääntöjen kannalta, joilla säännellään sen antamista. ( 32 ) Unionin tuomioistuin on sitä vastoin toistuvasti tutkinut johdetun oikeuden toimien pätevyyttä näiden toimien antamisen jälkeen voimaan tulleiden ylemmäntasoisten aineellisoikeudellisten normien kannalta. ( 33 )

92. Vaikka ennakkoratkaisukysymyksissä oleva viittaus toimeen, joka ei enää ole ajallisesti sovellettavissa, oikeuttaa näiden kysymysten muotoilemisen uudelleen, se ei kuitenkaan voi johtaa niiden tutkimatta jättämiseen. ( 34 ) Kuten DPC ja Schrems väittävät, ennakkoratkaisukysymyksissä olevat viittaukset direktiiviin 95/46 voivat selittyä myös esillä olevan asian käsittelyaikataululla, sillä nämä kysymykset on esitetty unionin tuomioistuimelle ennen tietosuoja-asetuksen voimaantuloa.

93. Tietosuoja-asetuksen säännöksissä, joita käsitellään ennakkoratkaisukysymysten arvioimiseksi, erityisesti sen 45, 46 ja 58 artiklassa, joka tapauksessa toistetaan hienoisia eroavaisuuksia lukuun ottamatta direktiivin 95/46 25, 26 ja 28 artiklan pääasiallinen sisältö ja samalla kehitetään sitä. Siltä osin kuin ne ovat merkityksellisiä päätöksen 2010/87 pätevyyden arvioimiseksi, en näe mitään syytä antaa näille tietosuoja-asetuksen säännöksille eri merkitystä kuin direktiivin 95/46 vastaaville säännöksille. ( 35 )

2. DPC:n ilmaisemien epäilyjen alustavuus

94. Saksan hallituksen mukaan ennakkoratkaisupyyntö on jätettävä tutkimatta, koska tuomion Schrems 65 kohdassa tarkoitettu muutoksenhakumenettely edellyttää, että valvontaviranomainen on muodostanut lopullisen kannan kantajan kyseessä olevan päätöksen pätevyyttä vastaan esittämistä perusteista. Näin ei ole tässä tapauksessa, koska DPC on ilmaissut epäilevänsä päätöksen 2010/87 pätevyyttä – jota Schrems ei ole riitauttanut – päätösluonnoksessa, joka on annettu alustavasti sen kuitenkaan rajoittamatta Facebook Irelandin ja Schremsin oikeutta esittää mahdollisia täydentäviä huomautuksia.

95. Mielestäni se, että DPC:n ilmaisemat epäilyt ovat alustavia, ei vaikuta ennakkoratkaisupyynnön tutkittavaksi ottamiseen. Ennakkoratkaisukysymyksen tutkittavaksi ottamisen kriteerejä on arvioitava suhteessa asian kohteeseen, sellaisena kuin ennakkoratkaisua pyytänyt tuomioistuin on sen määritellyt. ( 36 ) On selvää, että asian kohteena on päätöksen 2010/87 pätevyys. Ennakkoratkaisupyynnön ja siihen liitetyn tuomion mukaan kyseinen tuomioistuin katsoo, että DPC:n ilmaisemat epäilyt – olipa ne ilmaistu alustavasti tai lopullisesti – ovat perusteltuja, ja pyytää tämän vuoksi unionin tuomioistuinta ottamaan kantaa tämän päätöksen pätevyyteen. Tässä tilanteessa unionin tuomioistuimen tältä osin esittämällä selvennyksellä on epäilyksettä merkitystä, jotta ennakkoratkaisua pyytänyt tuomioistuin voi ratkaista käsiteltäväkseen saatetun asian.

3. Asian tosiseikkojen määrittämiseen liittyvät epävarmuustekijät

96. Yhdistyneen kuningaskunnan hallitus väittää, että ennakkoratkaisua pyytäneen tuomioistuimen kuvaus asian tosiseikoista paljastaa useita puutteita, jotka saattavat ennakkoratkaisukysymysten tutkittavaksi ottamisen kyseenalaiseksi. Kyseinen tuomioistuin ei ole sen mukaan tehnyt selväksi, onko Schremsin henkilötiedot tosiasiallisesti siirretty Yhdysvaltoihin, ja jos on, ovatko Yhdysvaltojen viranomaiset keränneet ne. Näiden mahdollisten siirtojen oikeusperustaa ei myöskään ole todettu varmuudella, sillä ennakkoratkaisupyynnössä ainoastaan mainitaan, että Facebook-verkkoyhteisöpalvelun eurooppalaisten käyttäjien tiedot siirretään ”suurelta osin” päätökseen 2010/87 sisältyvien mallisopimuslausekkeiden perusteella. Asiassa on joka tapauksessa jäänyt näyttämättä, että Facebook Irelandin ja Facebook Inc:n välisessä sopimuksessa, johon vedotaan riidanalaisten siirtojen tueksi, toistettaisiin nämä lausekkeet tarkasti. Saksan hallituksen mukaan ennakkoratkaisupyyntö on lisäksi jätettävä tutkimatta sen vuoksi, että ennakkoratkaisua pyytänyt tuomioistuin ei ole tutkinut, onko Schrems varmasti antanut suostumuksensa kyseisiin siirtoihin, jolloin ne perustuisivat pätevästi direktiivin 95/46 26 artiklan 1 kohtaan (jonka sisältö toistetaan olennaisilta osin tietosuoja-asetuksen 49 artiklan 1 kohdan a alakohdassa).

97. Näillä väitteillä ei mitenkään kyseenalaisteta ennakkoratkaisupyynnön merkitystä pääasian kohteen kannalta. Koska kyseisen asian taustalla on se, että DPC käyttää tuomion Schrems 65 kohdassa tarkoitettua oikeussuojakeinoa, sen nimenomaisena kohteena on saada kansallinen tuomioistuin esittämään ennakkoratkaisupyyntö päätöksen 2010/87 pätevyydestä. Saksan ja Yhdistyneen kuningaskunnan hallitukset eivät tosiasiassa kiistä ennakkoratkaisukysymysten tarpeellisuutta sen selvittämiseksi, onko tämä päätös pätevä, vaan niiden tarpeellisuuden, siltä kannalta, että DPC voi konkreettisesti ottaa kantaa Schremsin kanteluun.

98. Katson joka tapauksessa, että päätöksen 2010/87 pätevyyttä koskevat ennakkoratkaisukysymykset eivät ole merkityksettömiä edes tämän pääasian taustalla olevan menettelyn kannalta. Ennakkoratkaisua pyytänyt tuomioistuin toteaa, että Facebook Ireland on jatkanut käyttäjiensä tietojen siirtoa Yhdysvaltoihin safe harbor ‑päätöksen pätemättömäksi toteamisen jälkeen ja että nämä siirrot perustuvat ainakin osittain päätökseen 2010/87. Lisäksi katson, että vaikka voi olla hyödyllistä, että kaikki asian kannalta merkitykselliset tosiseikat on näytetty toteen ennen kuin tuomioistuin käyttää SEUT 267 artiklan mukaista toimivaltaansa, on yksin ennakkoratkaisua pyytäneen tuomioistuimen asiana arvioida, missä menettelyn vaiheessa se tarvitsee ennakkoratkaisua unionin tuomioistuimelta. ( 37 )

99. Kaiken edellä esitetyn perusteella ennakkoratkaisupyyntö on mielestäni otettava tutkittavaksi.

C Unionin oikeuden sovellettavuus siirrettäessä henkilötietoja kaupallisessa tarkoituksessa kolmanteen valtioon, joka saattaa käsitellä niitä kansallista turvallisuutta varten (ensimmäinen kysymys)

100. Ensimmäisellä kysymyksellään ennakkoratkaisua pyytänyt tuomioistuin haluaa tietää, sovelletaanko unionin oikeutta tilanteessa, jossa jäsenvaltiossa sijaitseva yritys siirtää henkilötietoja kolmanteen maahan sijoittautuneelle yritykselle kaupallisessa tarkoituksessa, kun siirron aloittamisen jälkeen tämän kolmannen maan viranomaiset voivat käsitellä tietoja tarkoituksiin, jotka käsittävät kansallisen turvallisuuden suojelemisen.

101. Tämän kysymyksen merkitys pääasian ratkaisun kannalta on siinä, että jos tällainen siirto jäisi unionin oikeuden soveltamisalan ulkopuolelle, kaikki tässä asiassa päätöksen 2010/87 pätevyyttä vastaan tässä asiassa esitetyt väitteet olisivat perusteettomia.

102. Kuten ennakkoratkaisua pyytänyt tuomioistuin huomauttaa, henkilötietojen siirto kansallista turvallisuutta varten oli jätetty direktiivin 95/46 soveltamisalan ulkopuolelle tämän direktiivin 3 artiklan 2 kohdan nojalla. Tietosuoja-asetuksen 2 artiklan 2 kohdassa täsmennetään nyt, että tätä asetusta ei sovelleta muun muassa henkilötietojen käsittelyyn, jota suoritetaan sellaisen toiminnan yhteydessä, joka ei kuulu unionin lainsäädännön soveltamisalaan, tai jota toimivaltaiset viranomaiset suorittavat yleisen turvallisuuden suojelua varten. Nämä säännökset heijastavat SEU 4 artiklan 2 kohdassa jäsenvaltioille kansallisen turvallisuuden suojelun alalla varattua toimivaltaa.

103. DPC, Schrems, Irlanti, Saksan, Itävallan, Belgian, Tšekin, Alankomaiden, Puolan ja Portugalin hallitukset sekä parlamentti ja komissio väittävät, että näitä säännöksiä ei sovelleta Schremsin kantelussa tarkoitettujen siirtojen kaltaisiin siirtoihin ja että ne kuuluvat siten unionin oikeuden soveltamisalaan. Facebook Ireland puoltaa vastakkaista kantaa. Kannatan ensin mainittujen näkemystä.

104. Tältä osin on korostettava, että henkilötietojen siirto jäsenvaltiosta kolmanteen maahan on sellaisenaan tietosuoja-asetuksen 4 artiklan 2 alakohdassa tarkoitettua käsittelyä jäsenvaltion alueella. ( 38 ) Ensimmäisellä ennakkoratkaisukysymyksellä on tarkoitus nimenomaan selvittää, sovelletaanko unionin oikeutta käsittelyyn, jota siirto itsessään on. Tämä kysymys ei koske unionin oikeuden sovellettavuutta tilanteessa, jossa Yhdysvaltojen viranomaiset mahdollisesti myöhemmin käsittelevät Yhdysvaltoihin siirrettyjä henkilötietoja kansallista turvallisuutta varten, sillä nämä käsittelyt eivät kuulu tietosuoja-asetuksen alueelliseen soveltamisalaan. ( 39 )

105. Tässä mielessä ratkaistaessa, sovelletaanko unionin oikeutta kyseessä olevaan tietojensiirtoon, on otettava huomioon ainoastaan toiminta, johon siirto kuuluu, eikä kohdemaana olevan kolmannen maan viranomaisten suorittaman siirrettyjen tietojen mahdollisen myöhemmän käsittelyn tarkoituksella ole merkitystä. ( 40 )

106. Ennakkoratkaisupyynnöstä ilmenee, että Schremsin kantelussa tarkoitettu siirto liittyy kaupalliseen toimintaan. Siirtoa ei myöskään toteuteta siinä tarkoituksessa, että Yhdysvaltojen viranomaiset voisivat myöhemmin käsitellä kyseisiä tietoja kansallista turvallisuutta varten.

107. Facebook Irelandin ehdottama lähestymistapa veisi myös tehokkaan vaikutuksen siirtoa kolmansiin maihin koskevilta tietosuoja-asetuksen säännöksiltä, koska ei voida koskaan pitää poissuljettuna, että kaupallisen toiminnan yhteydessä siirrettyjä tietoja käsitellään kansallista turvallisuutta varten siirron jälkeen.

108. Tietosuoja-asetuksen 45 artiklan 2 kohdan a alakohdan sanamuoto tukee puoltamaani tulkintaa. Tämän säännöksen mukaan tietosuojan riittävyyttä koskevan päätöksen antaessaan komissio ottaa huomioon muun muassa päätöksen kohteena olevan kolmannen maan lainsäädännön kansallisen turvallisuuden alalla. Tästä voidaan päätellä, että mahdollisuus, että kohdemaana olevan kolmannen maan viranomaiset käsittelevät tietoja kansallisen turvallisuuden suojelemiseksi, ei merkitse sitä, että unionin oikeutta ei voitaisi soveltaa käsittelyyn, jota tietojensiirto tähän kolmanteen maahan on.

109. Unionin tuomioistuimen päättely ja johtopäätös tuomiossa Schrems perustuvat myös tähän olettamaan. Unionin tuomioistuin tutki siinä erityisesti safe harbor ‑päätöksen pätevyyttä siltä osin kuin se koski henkilötietojen siirtoa Yhdysvaltoihin, jossa ne voitiin kerätä ja käsitellä kansallisen turvallisuuden suojelemista varten, direktiivin 95/46 25 artiklan 6 kohdan, luettuna perusoikeuskirjan valossa, kannalta. ( 41 )

110. Näillä perusteilla katson, että unionin oikeutta sovelletaan henkilötietojen siirtoon jäsenvaltiosta kolmanteen maahan, kun tämä siirto liittyy kaupalliseen toimintaan, eikä sillä, että tämän kolmannen maan viranomaiset voivat käsitellä siirrettyjä tietoja kansallisen turvallisuuden suojelemiseksi, ole merkitystä.

D Edellytetty suojan taso mallisopimuslausekkeisiin perustuvan siirron yhteydessä (kuudennen kysymyksen ensimmäinen osa)

111. Ennakkoratkaisua pyytänyt tuomioistuin pyrkii kuudennen kysymyksensä ensimmäisen osan mukaan selvittämään, minkä tasoinen perusoikeuksien suoja rekisteröidyille on taattava, jotta henkilötietoja voidaan siirtää kolmanteen maahan päätöksen 2010/87 mukaisten mallisopimuslausekkeiden nojalla.

112. Kyseinen tuomioistuin korostaa, että unionin tuomioistuin tulkitsi tuomiossa Schrems direktiivin 95/46 25 artiklan 6 kohtaa (jonka sisältö on olennaisilta osin toistettu tietosuoja-asetuksen 45 artiklan 3 kohdassa) siten, että sen mukaan komissio voi antaa tietosuojan riittävyyttä koskevan päätöksen vasta varmistuttuaan, että päätöksen kohteena oleva kolmas maa takaa tietosuojan riittävän tason, mikä edellyttää komission osoittavan, että tämä maa takaa perusoikeuksien ja ‑vapauksien suojan sellaisen tason, joka pääosiltaan vastaa tasoa, joka taataan unionissa tämän direktiivin, luettuna perusoikeuskirjan valossa, nojalla. ( 42 )

113. Tässä yhteydessä kuudennen ennakkoratkaisukysymyksen ensimmäisessä osassa unionin tuomioistuinta pyydetään ratkaisemaan, onko komission direktiivin 95/46 26 artiklan 4 kohdan mukaisesti antamien ”mallisopimuslausekkeiden” – jotka vastaavat sittemmin tietosuoja-asetuksen 46 artiklan 2 kohdan c alakohdassa mainittuja ”tietosuojaa koskevia vakiolausekkeita” – soveltamisella voitava saavuttaa suojan taso, joka on saman ”pääosiltaan vastaavaa” koskevan vaatimuksen mukainen.

114. Tietosuoja-asetuksen 46 artiklan 1 kohdassa säädetään tästä, että jollei tietosuojan riittävyyttä koskevaa päätöstä ole tehty, rekisterinpitäjä voi siirtää henkilötietoja kolmanteen maahan ”vain, jos kyseinen rekisterinpitäjä – – on toteuttanut asianmukaiset suojatoimet ja jos rekisteröityjen saatavilla on täytäntöönpanokelpoisia oikeuksia ja tehokkaita oikeussuojakeinoja” (kursivointi tässä). ( 43 ) Tietosuoja-asetuksen 46 artiklan 2 kohdan c alakohdan mukaan nämä suojatoimet voivat perustua muun muassa komission laatimiin tietosuojaa koskeviin vakiolausekkeisiin.

115. Katson DPC:n, Schremsin ja Irlannin tavoin, että rekisterinpitäjän toteuttamilla ”asianmukaisilla suojatoimilla”, joihin tietosuoja-asetuksen 46 artiklan 1 kohdassa viitataan, on varmistettava, että niiden henkilöiden oikeudet, joiden tietoja siirretään, saavat – kuten tietosuojan riittävyyttä koskevaan päätökseen perustuvassa siirrossa – pääosiltaan vastaavan suojan tason kuin tietosuoja-asetuksen seurauksena, kun sitä luetaan perusoikeuskirjan valossa.

116. Tämä johtopäätös perustuu kyseisen säännöksen ja säädöksen, jonka osa se on, tarkoitukseen.

117. Tietosuoja-asetuksen 45 ja 46 artiklan tavoitteena on varmistaa tällä asetuksella varmistetun henkilötietojen korkeatasoisen suojan jatkuvuus, kun näitä tietoja siirretään unionin ulkopuolelle. Tietosuoja-asetuksen 44 artiklalla, jonka otsikkona on ”Siirtoja koskeva yleinen periaate”, aloitetaan siirtoja kolmansiin maihin koskeva V luku säätämällä, että kaikkia tämän luvun säännöksiä on sovellettava, jotta varmistetaan, että tietosuoja-asetuksella taattua suojan tasoa ei vaaranneta siirrettäessä tietoja kolmanteen valtioon. ( 44 ) Tällä säännöllä pyritään estämään se, että unionin oikeuteen perustuvaa suojan tasoa kierrettäisiin siirtämällä henkilötietoja kolmanteen maahan niiden siellä käsittelyä varten. ( 45 ) Tämän tavoitteen kannalta on merkityksetöntä, perustuuko siirto tietosuojan riittävyyttä koskevaan päätökseen vai rekisterinpitäjän erityisesti sopimuslausekkeiden perusteella tarjoamiin takeisiin. Perusoikeuskirjassa taattujen perusoikeuksien suojaa koskevat vaatimukset ovat samoja riippumatta siitä, mihin oikeusperustaan tietty siirto perustuu. ( 46 )

118. Sen sijaan tapa, jolla korkeatasoisen suojan jatkuvuus varmistetaan, eroaa siirron oikeusperustan mukaan.

119. Tietosuojan riittävyyttä koskevan päätöksen tarkoituksena on todeta, että sen kohteena oleva kolmas maa varmistaa itse suojan tason, joka pääosiltaan vastaa tasoa, joka unionissa on saavutettava. Tietosuojan riittävyyttä koskevan päätöksen antaminen edellyttää, että komissio arvioi ennakolta tietyn kolmannen maan oikeudessa taatun suojan tasoa ja tämän kolmannen maan käytäntöjä tietosuoja-asetuksen 45 artiklan 3 kohdassa tarkoitettujen tekijöiden valossa. Tällöin henkilötietoja voidaan siirtää kyseiseen kolmanteen maahan ilman, että rekisterinpitäjän olisi hankittava erityinen lupa.

120. Kuten seuraavassa osassa selostetaan yksityiskohtaisemmin, rekisterinpitäjän toteuttamilla asianmukaisilla suojatoimilla pyritään varmistamaan korkeatasoinen suoja tilanteessa, jossa kohdemaana olevan kolmannen maan suojatoimet ovat puutteelliset. Vaikka tietosuoja-asetuksen 46 artiklan 1 kohdan mukaan henkilötietoja voidaan siirtää kolmanteen valtioon, joka ei takaa riittävää tietosuojan tasoa, tässä säännöksessä sallitaan tällaiset siirrot vain, jos asianmukaiset suojatoimet toteutetaan muilla keinoilla. Komission hyväksymät mallisopimuslausekkeet merkitsevät tältä osin yleistä mekanismia, joka on sovellettavissa siirtoihin kohdemaana olevasta kolmannesta maasta ja siellä varmistetusta tietosuojan tasosta riippumatta.

E Päätöksen 2010/87 pätevyys perusoikeuskirjan 7, 8 ja 47 artiklan kannalta (seitsemäs, kahdeksas ja yhdestoista kysymys)

121. Seitsemännellä kysymyksellään ennakkoratkaisua pyytänyt tuomioistuin kysyy lähinnä, onko päätös 2010/87 pätemätön sen vuoksi, että se ei sido sellaisten kolmansien valtioiden viranomaisia, joihin tietoja siirretään tämän päätöksen liitteeseen sisältyvien mallisopimuslausekkeiden nojalla, ja erityisesti sen vuoksi, että se ei estä niitä vaatimasta, että tietojen tuoja saattaa nämä tiedot niiden saataville. Tällä kysymyksellä saatetaan siten kyseenalaiseksi jo itse mahdollisuus varmistaa tällaisten tietojen riittävä suoja yksinomaan sopimukseen perustuvilla mekanismeilla. Yhdestoista kysymys koskee yleisemmin päätöksen 2010/87 pätevyyttä perusoikeuskirjan 7, 8 ja 47 artiklan kannalta.

122. Kahdeksannella kysymyksellä unionin tuomioistuinta pyydetään ratkaisemaan, onko valvontaviranomaisen käytettävä tietosuoja-asetuksen 58 artiklan 2 kohdan f ja j alakohdassa sille annettuja toimivaltuuksia keskeyttääkseen päätöksen 2010/87 mukaisiin mallisopimuslausekkeisiin perustuvan tietojensiirron kolmanteen maahan, jos se katsoo, että tietojen tuojalle asetetaan siellä velvoitteita, jotka estävät sitä noudattamasta näitä lausekkeita ja joiden seurauksena siirrettyjen tietojen asianmukaista suojaa ei varmisteta. Koska tähän kysymykseen annettavalla vastauksella on nähdäkseni vaikutusta päätöksen 2010/87 pätevyyteen, ( 47 ) käsittelen sitä yhdessä seitsemännen ja yhdennentoista kysymyksen kanssa.

123. Tietosuoja-asetuksen 46 artiklan 1 kohdan sanamuodossa, siltä osin kuin siinä säädetään, että ”jollei 45 artiklan 3 kohdan mukaista päätöstä ole tehty, rekisterinpitäjä tai henkilötietojen käsittelijä voi siirtää henkilötietoja kolmanteen maahan – – vain, jos kyseinen rekisterinpitäjä tai henkilötietojen käsittelijä on toteuttanut asianmukaiset suojatoimet – –” (kursivointi tässä), tuodaan esille päätöksessä 2010/87 säädetyn kaltaisten sopimusmekanismien taustalla oleva logiikka. Kuten tietosuoja-asetuksen johdanto-osan 108 ja 114 perustelukappaleessa korostetaan, näiden mekanismien tarkoituksena on mahdollistaa siirrot kolmansiin maihin, joiden osalta komissio ei ole antanut tietosuojan riittävyyttä koskevaa päätöstä, jolloin mahdolliset puutteet kyseisen kolmannen maan oikeusjärjestyksessä varmistetussa tietosuojassa kompensoidaan suojatoimilla, joita tietojen viejä ja tietojen tuoja sitoutuvat sopimusteitse noudattamaan.

124. Koska sopimukseen perustuvien suojatoimien tarkoituksena itsessään on juuri korjata mahdolliset puutteellisuudet kohdemaana olevien kolmansien maiden – olivatpa ne mitä maita tahansa – tarjoamassa suojassa, päätöksen, jolla komissio toteaa tiettyjen mallisopimuslausekkeiden korjaavan asianmukaisesti nämä puutteellisuudet, pätevyys ei voi riippua suojan tasosta kussakin nimenomaisessa kolmannessa maassa, johon tietoja voitaisiin siirtää. Tällaisen päätöksen pätevyys riippuu yksinomaan näissä lausekkeissa kohdemaana olevan kolmannen maan mahdollisen puutteellisen suojan kompensoimiseksi määrättyjen suojatoimien vakaudesta. Näiden suojatoimien tehokkuutta arvioitaessa on otettava huomioon myös tietosuoja-asetuksen 58 artiklan 2 kohtaan perustuvat valvontaviranomaisten valtuuksien muodostamat takeet.

125. Kuten DPC, Schrems, BSA, Irlanti, Itävallan, Ranskan, Puolan ja Portugalin hallitukset ja komissio ovat tuoneet esille, mallisopimuslausekkeiden sisältämiä suojatoimia voidaan heikentää tai ne voidaan tehdä jopa merkityksettömiksi, jos kohdemaana olevan kolmannen maan oikeudessa tietojen tuojalle asetetaan näissä lausekkeissa edellytetyn vastaisia velvoitteita. Kohdemaana olevan kolmannen maan asiaa koskevat oikeussäännöt voivat siirron konkreettisista olosuhteista riippuen ( 48 ) tehdä näiden lausekkeiden mukaisten velvoitteiden täyttämisestä mahdotonta.

126. Tässä tilanteessa, kuten Schrems ja komissio korostavat, tietosuoja-asetuksen 46 artiklan 2 kohdan c alakohdassa säädetty sopimusmekanismi perustuu tietojen viejän ja toissijaisesti valvontaviranomaisten vastuuseen saattamiseen. Rekisterinpitäjän tai tämän jättäessä toimimatta valvontaviranomaisen on kunkin nimenomaisen siirron osalta tapauskohtaisesti tutkittava, onko kohdemaana olevan kolmannen maan oikeus esteenä mallisopimuslausekkeiden täytäntöönpanolle ja siten siirrettyjen tietojen asianmukaiselle suojalle, jolloin siirrot on kiellettävä tai keskeytettävä.

127. Nämä toteamukset huomioon ottaen katson, että se, että päätös 2010/87 ja siihen sisältyvät mallisopimuslausekkeet eivät sido kohdemaana olevan kolmannen maan viranomaisia, ei yksinään tee tästä päätöksestä pätemätöntä. Päätöksen 2010/87 yhteensopivuus perusoikeuskirjan 7, 8 ja 47 artiklan kanssa riippuu mielestäni siitä, onko käytettävissä riittävän vakaita mekanismeja, joilla voidaan varmistaa, että mallisopimuslausekkeisiin perustuvat siirrot keskeytetään tai kielletään, jos näitä lausekkeita rikotaan tai niiden noudattaminen on mahdotonta.

128. Tältä osin tietosuoja-asetuksen 46 artiklan 1 kohdassa säädetään, että asianmukaisiin suojatoimenpiteisiin perustuva siirto voi toteutua vain, ”jos rekisteröityjen saatavilla on täytäntöönpanokelpoisia oikeuksia ja tehokkaita oikeussuojakeinoja”. On tarkistettava, voidaanko päätöksen 2010/87 liitteeseen sisältyvillä suojatoimilla, joita valvontaviranomaisten valtuudet täydentävät, varmistaa tämän edellytyksen noudattaminen. Mielestäni näin on ainoastaan sillä edellytyksellä, että on asetettu velvollisuus – joka kohdistuu rekisterinpitäjiin (osa 1), ja jos nämä jättävät toimimatta, valvontaviranomaisiin (osa 2) – keskeyttää tai kieltää siirto, jos mallisopimuslausekkeista seuraavien velvoitteiden ja kohdemaana olevan kolmannen maan oikeudessa asetettujen velvollisuuksien välisen ristiriidan vuoksi näitä lausekkeita ei voida noudattaa.

1. Rekisterinpitäjien velvollisuudet

129. Päätöksen 2010/87 liitteeseen sisältyvät mallisopimuslausekkeet edellyttävät, että tilanteessa, jossa niissä määrätyt velvoitteet ovat ristiriidassa kohdemaana olevan kolmannen maan oikeuteen perustuvien määräysten kanssa, näihin lausekkeisiin ei vedota tähän kolmanteen maahan suuntautuvan siirron tueksi, tai jos siirto on jo aloitettu näiden lausekkeiden perusteella, tietojen viejälle ilmoitetaan tästä ristiriidasta, jolloin se voi keskeyttää siirron.

130. Lausekkeen 5 kohdan a mukaan tietojen tuoja sitoutuu käsittelemään siirrettyjä henkilötietoja ainoastaan tietojen viejän puolesta tämän antamien ohjeiden ja mallisopimuslausekkeiden mukaisesti. Jos tietojen tuoja ei voi noudattaa näitä lausekkeita, se ilmoittaa tästä viipymättä tietojen viejälle, jolloin tietojen viejällä on oikeus lykätä tietojen siirtoa ja/tai irtisanoa sopimus. ( 49 )

131. Lausekkeeseen 5 liittyvässä alaviitteessä 2 täsmennetään, että mallisopimuslausekkeita ei rikota, jos tietojen tuoja noudattaa kolmannessa maassa sovellettavia kansallisen lainsäädännön sisältämiä pakollisia vaatimuksia, kunhan nämä vaatimukset eivät mene pitemmälle kuin on tarpeen demokraattisessa yhteiskunnassa direktiivin 95/46 13 artiklan 1 kohdassa (jonka sisältö on olennaisilta osin toistettu tietosuoja-asetuksen 23 artiklan 1 kohdassa) lueteltujen etujen, kuten yleisen turvallisuuden ja valtion turvallisuuden, suojaamiseksi. Kääntäen näiden lausekkeiden noudattamatta jättämistä kohdemaana olevan kolmannen maan oikeuteen perustuvan sellaisen ristiriitaisen velvollisuuden noudattamiseksi, jolla