C 297/4

Presuda Suda (veliko vijeće) od 16. srpnja 2020. (zahtjev za prethodnu odluku koji je uputio High Court (Irska) – Data Protection Commissioner protiv Facebook Ireland Limited, Maximilliana Schremsa

(Predmet C-311/18) (1)

(Zahtjev za prethodnu odluku - Zaštita fizičkih osoba u vezi s obradom osobnih podataka - Povelja Europske unije o temeljnim pravima - Članci 7., 8. i 47. - Uredba (EU) 2016/679 - Članak 2. stavak 2. - Područje primjene - Prijenosi osobnih podataka trećim zemljama u komercijalne svrhe - Članak 45. - Komisijina odluka o primjerenosti - Članak 46. - Prijenosi uz odgovarajuće zaštitne mjere - Članak 58. - Ovlasti nadzornih tijela - Obrada prenesenih podataka koju za potrebe nacionalne sigurnosti izvršavaju javna tijela treće zemlje - Ocjena primjerenosti razine zaštite koju osigurava treća zemlja - Odluka 2010/87/EU - Standardne klauzule o zaštiti za prijenos osobnih podataka trećoj zemlji - Odgovarajuće mjere zaštite koje nudi voditelj obrade - Valjanost - Provedbena odluka (EU) 2016/1250 - Primjerenost zaštite koju osigurava europsko-američki sustav zaštite privatnosti - Valjanost - Pritužba fizičke osobe čiji su podaci preneseni iz Europske unije u Sjedinjene Američke Države)

(2020/C 297/05)

Jezik postupka: engleski

Sud koji je uputio zahtjev

High Court (Irska)

Stranke glavnog postupka

Tužitelj: Data Protection Commissioner

Tuženici: Facebook Ireland Limited, Maximillian Schrems

uz sudjelovanje: The United States of America, Electronic Privacy Information Centre, BSA Business Software Alliance Inc., Digitaleurope

Izreka

1. Članak 2. stavke 1. i 2. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) treba tumačiti na način da je područjem primjene te uredbe obuhvaćen prijenos osobnih podataka izvršen u komercijalne svrhe s gospodarskog subjekta s poslovnim nastanom u državi članici drugom gospodarskom subjektu s poslovnim nastanom u trećoj zemlji, bez obzira na to što tijekom ili nakon tog prijenosa te podatke mogu obrađivati tijela predmetne treće zemlje u svrhu javne sigurnosti, obrane ili nacionalne sigurnosti.

2. Članak 46. stavak 1. i članak 46. stavak 2. točku (c) Uredbe 2016/679 valja tumačiti tako da odgovarajuće zaštitne mjere, provediva prava i djelotvorni pravni lijekovi koji se zahtijevaju tim odredbama moraju osigurati da prava osoba čiji se osobni podaci prenose trećoj zemlji na temelju standardnih klauzula o zaštiti podataka uživaju razinu zaštite koja je bitno ekvivalentna onoj zajamčenoj u okviru Europske unije tom uredbom, tumačenom u vezi s Poveljom Europske unije o temeljnim pravima. U tom smislu ocjena razine zaštite koja se osigurava u kontekstu takvog prijenosa mora osobito uzeti u obzir kako ugovorne odredbe koje su ugovorili voditelj obrade ili izvršitelj obrade s poslovnim nastanom u Europskoj uniji i primatelj podataka s poslovnim nastanom u predmetnoj trećoj zemlji tako i, kad je riječ o eventualnom pristupu javnih tijela te treće zemlje tako prenesenim osobnim podacima, relevantne elemente njezina pravnog sustava, osobito one navedene u članku 45. stavku 2. navedene uredbe.

3. Članak 58. stavak 2. točke (f) i (j) Uredbe 2016/679 treba tumačiti na način da je nadležno nadzorno tijelo, osim ako postoji odluka o primjerenosti koju je Europska komisija valjano donijela, dužno obustaviti ili zabraniti prijenos podataka trećoj zemlji na temelju standardnih klauzula o zaštiti podataka koje je donijela Komisija kada to nadzorno tijelo smatra, u vezi sa svim okolnostima tog prijenosa, da te klauzule nisu ili ne mogu biti poštovane u toj trećoj zemlji i da zaštita prenesenih podataka koja se zahtijeva pravom Unije, osobito člancima 45. i 46. te uredbe i Poveljom o temeljnim pravima, ne može biti osigurana drugim sredstvima, ako voditelj obrade ili izvršitelj obrade s poslovnim nastanom u Uniji sam nije obustavio prijenos ili ga okončao.

4. Analizom Odluke Komisije 2010/87/EU od 5. veljače 2010. o standardnim ugovornim klauzulama za prijenos osobnih podataka obrađivačima u trećim zemljama u skladu s Direktivom 95/46/EZ Europskog parlamenta i Vijeća, kako je izmijenjena Provedbenom odlukom Komisije (EU) 2016/2297 od 16. prosinca 2016., s obzirom na članke 7., 8. i 47. Povelje o temeljnim pravima, nije utvrđen nijedan element koji bi mogao utjecati na valjanost te odluke.

5. Provedbena odluka Komisije (EU) 2016/1250 od 12. srpnja 2016. o primjerenosti zaštite u okviru europsko-američkog sustava zaštite privatnosti u skladu s Direktivom 95/46/EZ Europskog parlamenta i Vijeća nevaljana je.

(1) SL C 249, 16. 7. 2018.