MIŠLJENJE NEZAVISNOG ODVJETNIKA

HENRIKA SAUGMANDSGAARDA ØEA

od 19. prosinca 2019. ( 1 )

Predmet C‑311/18

Data Protection Commissioner

protiv

Facebook Ireland Limited,

Maximilliana Schremsa,

uz sudjelovanje

The United States of America,

Electronic Privacy Information Centre,

BSA Business Software Alliance, Inc.,

Digitaleurope

(zahtjev za prethodnu odluku koji je uputio High Court (Visoki sud, Irska))

„Zahtjev za prethodnu odluku – Zaštita pojedinaca u vezi s obradom osobnih podataka – Uredba (EU) 2016/679 – Članak 2. stavak 2. – Područje primjene – Prijenos osobnih podataka u komercijalne svrhe u Sjedinjenim Američkim Državama – Obrada prenesenih podataka koju tijela javne vlasti Sjedinjenih Američkih Država provode u svrhu nacionalne sigurnosti – Članak 45. – Procjena primjerenosti razine zaštite osigurane u trećoj zemlji – Članak 46. – Odgovarajuće zaštitne mjere koje nudi voditelj obrade – Standardne klauzule o zaštiti – Članak 58. stavak 2. – Ovlasti nadzornih tijela – Odluka 2010/87/EU – Valjanost – Provedbena odluka (EU) 2016/1250 – ‚Europsko‑američki sustav zaštite privatnosti’ – Valjanost – Članci 7., 8. i 47. Povelje Europske unije o temeljnim pravima”

Sadržaj

I. Uvod II. Pravni okvir A. Direktiva 95/46/EZ B. GDPR C. Odluka 2010/87 D. Odluka o sustavu zaštite privatnosti III. Glavni postupak, prethodna pitanja i postupak pred Sudom IV. Analiza A. Uvodna razmatranja B. Dopuštenost zahtjeva za prethodnu odluku 1. Primjenjivost ratione temporis Direktive 95/46 2. Privremenost dvojbi koje je izrazio DPC 3. Neizvjesnosti u pogledu utvrđivanja činjeničnog okvira C. Primjenjivost prava Unije na prijenose u komercijalne svrhe osobnih podataka u treću državu koja bi ih mogla obraditi za potrebe nacionalne sigurnosti (prvo pitanje) D. Razina zaštite koja je potrebna u okviru prijenosa koji se temelji na standardnim ugovornim klauzulama (prvi dio šestog pitanja) E. Valjanost Odluke 2010/87 s obzirom na članke 7., 8. i 47. Povelje (sedmo, osmo i jedanaesto pitanje) 1. Obveze koje imaju voditelji obrade 2. Obveze koje imaju nadzorna tijela F. Nepostojanje potrebe da se odgovori na druga prethodna pitanja i ispita valjanost Odluke o sustavu zaštite privatnosti 1. Nepostojanje potrebe za odgovorima Suda s obzirom na predmet glavnog postupka 2. Razlozi protiv toga da Sud provede ispitivanje s obzirom na predmet postupka koji je u tijeku pred DPC‑om G. Podredne napomene o učincima i valjanosti Odluke o sustavu zaštite privatnosti 1. Utjecaj Odluke o sustavu zaštite privatnosti u okviru postupka u kojem nadzorno tijelo odlučuje o pritužbi koja se odnosi na zakonitost prijenosa koji se temelji na ugovornim zaštitnim mjerama 2. Valjanost Odluke o sustavu zaštite privatnosti a) Pojašnjenja u pogledu sadržaja ispitivanja koje se odnosi na valjanost odluke o primjerenosti 1) Elementi usporedbe na temelju kojih je moguća procjena „bitne ekvivalentnosti” razine zaštite 2) Potreba osiguravanja primjerene razine zaštite tijekom faze prijelaza podataka 3) Uzimanje u obzir činjeničnih utvrđenja koja su Komisija i sud koji je uputio zahtjev iznijeli u pogledu prava SAD‑a 4) Doseg standarda „bitne ekvivalentnosti” b) Valjanost Odluke o sustavu zaštite privatnosti s obzirom na prava na poštovanje privatnog života i zaštitu osobnih podataka 1) Postojanje miješanja 2) Uvjet da su miješanja „utvrđena zakonom” 3) Nepostojanje povrede biti temeljnih prava 4) Postizanje legitimnog cilja 5) Nužnost i proporcionalnost miješanja c) Valjanost Odluke o sustavu zaštite privatnosti s obzirom na pravo na djelotvoran pravni lijek 1) Djelotvornost pravnih lijekova predviđenih pravom SAD‑a 2) Utjecaj mehanizma pravobranitelja na razinu zaštite prava na djelotvoran pravni lijek V. Zaključak

I. Uvod

1. Bez zajedničkih zaštitnih mjera u području zaštite osobnih podataka na svjetskoj razini postoji opasnost od prekida u razini zaštite koja se u Europskoj uniji osigurava prekograničnim protocima takvih podataka. Kako bi pojednostavnio te protoke i pritom smanjio tu opasnost, zakonodavac Unije uspostavio je tri mehanizma na temelju kojih se osobni podaci mogu prenijeti iz Unije u treću državu.

2. Kao prvo, takav se prijenos može provesti na temelju odluke kojom Europska komisija utvrđuje da dotična treća država osigurava „primjerenu razinu zaštite” podataka koji se u nju prenose ( 2 ). Kao drugo, ako ne postoji takva odluka, prijenos se odobrava kada je osiguran „odgovarajućim zaštitnim mjerama” ( 3 ). Te zaštitne mjere mogu biti u obliku ugovora između izvoznika i uvoznika podataka koji uključuju standardne klauzule o zaštiti podataka koje donosi Komisija. GDPR‑om se predviđaju, kao treće, određena odstupanja, temeljena osobito na privoli ispitanika, kojima se omogućuje prijenos u treću zemlju čak i ako ne postoji odluka o primjerenosti ili odgovarajuće zaštitne mjere ( 4 ).

3. Zahtjev za prethodnu odluku koji je uputio High Court (Visoki sud, Irska) odnosi se na drugi od tih mehanizama. Konkretnije, odnosi se na valjanost Odluke 2010/87/EU ( 5 ), kojom je Komisija utvrdila standardne ugovorne klauzule za određene kategorije prijenosa, s obzirom na članke 7., 8. i 47. Povelje Europske unije o temeljnim pravima (u daljnjem tekstu: Povelja).

4. Taj je zahtjev podnesen u okviru spora između Data Protection Commissionera (povjerenik za zaštitu podataka, Irska, u daljnjem tekstu: DPC), s jedne strane, te društva Facebook Ireland Ltd i Maximilliana Schremsa, s druge strane. Potonji je DPC‑u podnio pritužbu u pogledu osobnih podataka koji se odnose na njega koje je društvo Facebook Ireland prenijelo društvu Facebook Inc., njegovu društvu majci sa sjedištem u Sjedinjenim Američkim Državama (u daljnjem tekstu: SAD). DPC smatra da postupanje sa tom pritužbom ovisi o tome je li Odluka 2010/87 valjana. U tom se kontekstu obratio sudu koji je uputio zahtjev za prethodnu odluku tražeći od njega da s tim u vezi postavi pitanje Sudu.

5. Najprije navodim da ispitivanjem prethodnih pitanja, prema mojem mišljenju, nije otkriven nikakav element koji bi mogao utjecati na valjanost Odluke 2010/87.

6. Osim toga, sud koji je uputio zahtjev iznio je određene dvojbe koje se u biti odnose na primjerenost razine zaštite koju SAD osigurava s obzirom na miješanja koja američka obavještajna tijela svojim djelovanjem unose u ostvarivanje temeljnih prava osoba čiji se podaci prenose u tu treću zemlju. Tim se dvojbama neizravno dovode u pitanje ocjene koje je Komisija u tom pogledu provela u Provedbenoj odluci (EU) 2016/1250 ( 6 ). Iako za rješavanje glavnog postupka nije potrebno da Sud odluči o tom pitanju te mu stoga predlažem da to ne učini, podredno ću iznijeti razloge koji me navode na preispitivanje valjanosti te odluke.

7. Cijela moja analiza temeljit će se na postizanju ravnoteže između, s jedne strane, potrebe za uspostavom „razumnog stupnja pragmatičnosti kako bi se omogućila interakcija s ostatkom svijeta” ( 7 ) i, s druge strane, potrebe za utvrđivanjem temeljnih vrijednosti priznatih u pravnim poredcima Unije i njezinih država članica, konkretno u Povelji.

II. Pravni okvir

A. Direktiva 95/46/EZ

8. Člankom 3. stavkom 2. Direktive 95/46/EZ o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka ( 8 ) određivalo se da: „Ova se Direktiva ne primjenjuje na obradu osobnih podataka: – tijekom aktivnosti koja je izvan područja primjene prava Zajednice, kao što je predviđeno u glavama V. i VI. Ugovora o Europskoj uniji i u svakom slučaju na postupke obrade koji se odnose na javnu sigurnost, obranu, nacionalnu sigurnost (uključujući gospodarsku dobrobit države kada se operacija obrade odnosi na pitanja nacionalne sigurnosti) i aktivnosti države u području kaznenog prava, […]”

9. Članak 13. stavak 1. te direktive stoga je glasio kako slijedi: „Države članice mogu donijeti propise za ograničavanje područja primjene obveza i prava iz članka 6. stavka 1., članka 10., članka 11. stavka 1. te članka 12. i 21. ove Direktive kada takvo ograničavanje predstavlja potrebne mjere za zaštitu: (a) nacionalne sigurnosti; (b) obrane; (c) javne sigurnosti; (d) sprečavanja, istrage, otkrivanja i progona kaznenih djela ili kršenja etike zakonom uređenih djelatnosti; (e) važnoga gospodarskog ili financijskog interesa države članice ili [Unije], uključujući novčana, proračunska i porezna pitanja; (f) nadzora, inspekcije ili regulatorne funkcije povezane, čak i povremeno, s izvršavanjem javnih ovlasti u slučajevima iz točke (c), (d) i (e); (g) zaštite osobe čiji se podaci obrađuju ili prava i slobode drugih.”

10. Člankom 25. navedene direktive određivalo se: „1. Države članice osiguravaju da se prijenos osobnih podataka koji se obrađuju ili koje je potrebno obraditi nakon prijenosa trećoj zemlji može izvršiti jedino ako, ne dovodeći u pitanje nacionalne odredbe donesene u skladu s drugim odredbama ove Direktive, te treće zemlje osiguraju odgovarajuću razinu zaštite. 2. Odgovarajuća razina zaštite koju osiguravaju treće zemlje procjenjuje se ovisno o svim okolnostima u vezi s prijenosom podataka ili skupom postupaka prijenosa podataka; posebno se razmatra priroda podataka, svrha i trajanje predloženog postupka ili postupka obrade, država podrijetla i država konačnog odredišta, važeća pravna pravila, kako ona opća, tako i posebna, u toj trećoj zemlji te profesionalna pravila i mjere sigurnosti koje se primjenjuju u toj državi. […]” 6. Komisija može u skladu s postupkom iz članka 31. stavka 2. ove Direktive, utvrditi da treća zemlja temeljem domaćeg zakonodavstva ili međunarodnih obveza koje je preuzela, osigurava odgovarajuću razinu zaštite u smislu stavka 2. ovog članka, posebno nakon završetka pregovora iz stavka 5. ovog članka, za zaštitu privatnog života i osnovnih sloboda i prava pojedinaca. Države članice poduzimaju mjere potrebne za usklađivanje s odlukom Komisije.”

11. Člankom 26. stavcima 2. i 4. te direktive predviđalo se: „2. Ne dovodeći u pitanje stavak 1. ovog članka, država članica može odobriti prijenos ili skup prijenosa osobnih podataka trećoj zemlji koja ne osigurava odgovarajuću razinu zaštite u smislu članka 25. stavka 2. ove Direktive, kada nadzornik daje dovoljna jamstva u vezi zaštite privatnosti i temeljnih prava i sloboda pojedinaca te u vezi ostvarivanja tih prava; takva jamstva mogu posebno proizlaziti iz odgovarajućih ugovornih klauzula. […]” 4. Ako Komisija odluči […] da neke standardne ugovorne klauzule daju dovoljna jamstva iz stavka 2. ovog članka, države članice poduzimaju odgovarajuće mjere za usklađivanje s odlukom Komisije.”

12. Članak 28. stavak 3. Direktive 95/46 glasio je kako slijedi: „Svako tijelo posebno ima: […] – učinkovite ovlasti za posredovanje, kao što je na primjer davanje mišljenja prije nego li se izvrše postupci obrade, u skladu s člankom 20. ove Direktive, te osiguranje odgovarajuće objave takvih mišljenja te ovlasti naređivanja blokiranja, brisanja ili uništavanja podataka, nametanja privremene ili konačne zabrane obrade, upozoravanja ili opominjanja nadzornika ili upućivanja predmeta nacionalnim parlamentima ili drugim političkim institucijama, […]”

B. GDPR

13. Na temelju njegova članka 94. stavka 1., GDPR‑om je stavljena izvan snage Direktiva 95/46 s učinkom od 25. svibnja 2018., kada se ta uredba počela primjenjivati u skladu s njezinim člankom 99. stavkom 2.

14. Člankom 2. stavkom 2. navedene uredbe određuje se: „Ova se Uredba ne odnosi na obradu osobnih podataka: (a) tijekom djelatnosti koja nije obuhvaćena opsegom prava nije; (b) koju obavljaju države članice kada obavljaju aktivnosti koje su obuhvaćene područjem primjene glave V. poglavlja 2. UEU‑a; […] (d) koju obavljaju nadležna tijela u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihova sprečavanja.”

15. Člankom 4. točkom 2. te uredbe „obrada” se definira kao „svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje”.

16. Člankom 23. GDPR‑a predviđa se: „1. Na temelju prava Unije ili prava države članice kojem podliježu voditelj obrade podataka ili izvršitelj obrade zakonskom mjerom može se ograničiti opseg obveza i prava iz članaka od 12. do 22. i članka 34. te članka 5. ako te odredbe odgovaraju pravima i obvezama predviđenima u člancima od 12. do 22., ako se takvim ograničenjem poštuje bit temeljnih prava i sloboda te ono predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu: (a) nacionalne sigurnosti; (b) obrane; (c) javne sigurnosti; (d) sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenopravnih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje; (e) drugih važnih ciljeva od općeg javnog interesa Unije ili države članice, osobito važnog gospodarskog ili financijskog interesa Unije ili države članice […]; […] 2. Osobito, svaka zakonodavna mjera iz stavka 1. sadrži posebne odredbe, prema potrebi, najmanje o: (a) svrhama obrade ili kategorijama obrade, (b) kategorijama osobnih podataka, (c) opsegu uvedenih ograničenja, (d) zaštitnim mjerama za sprečavanje zlouporabe ili nezakonitog pristupa ili prijenosa; (e) specifikaciji voditelja obrade ili kategorija voditeljâ obrade, (f) razdoblju pohrane i zaštitnim mjerama koje se mogu primijeniti uzimajući u obzir prirodu, opseg i svrhe obrade ili kategorije obrade; (g) rizicima za prava i slobode ispitanika; i (h) pravu ispitanika da budu obaviješteni o ograničenju, osim ako može biti štetno za svrhu tog ograničenja.”

17. Člankom 44. te uredbe, naslovljenim „Opća načela prijenosa”, određuje se: „Svaki prijenos osobnih podataka koji se obrađuju ili su namijenjeni za obradu nakon prijenosa u treću zemlju ili međunarodnu organizaciju odvija se jedino ako, u skladu s drugim odredbama ove Uredbe, voditelj obrade i izvršitelj obrade djeluju u skladu s uvjetima iz ovog poglavlja koji vrijede i za daljnje prijenose osobnih podataka iz treće zemlje ili međunarodne organizacije u još jednu treću zemlju ili međunarodnu organizaciju. Sve odredbe iz ovog poglavlja primjenjuju se kako bi se osiguralo da se ne ugrozi razina zaštite pojedinaca zajamčena ovom Uredbom.”

18. U skladu s člankom 45. navedene uredbe, naslovljenim „Prijenosi na temelju odluke o primjerenosti”: „1. Prijenos osobnih podataka trećoj zemlji ili međunarodnoj organizaciji može se dogoditi kada Komisija odluči da treća zemlja, područje, ili jedan ili više određenih sektora unutar te treće zemlje, ili međunarodna organizacija o kojoj je riječ osigurava primjerenu razinu zaštite. Takav prijenos ne zahtijeva posebno odobrenje. 2. Prilikom procjene primjerenosti stupnja zaštite Komisija osobito uzima u obzir sljedeće elemente: (a) vladavinu prava, poštovanje ljudskih prava i temeljnih sloboda, relevantno zakonodavstvo, i opće i sektorsko, što uključuje zakonodavstvo o javnoj sigurnosti, obrani, nacionalnoj sigurnosti, kaznenom pravu i pristupu tijela javne vlasti osobnim podacima, kao i provedbu tog zakonodavstva, pravila o zaštiti podataka, pravila struke i mjere sigurnosti, što uključuje pravila za daljnji prijenos osobnih podataka još jednoj trećoj zemlji ili međunarodnoj organizaciji, koja se poštuju u toj trećoj zemlji ili međunarodnoj organizaciji, sudsku praksu te postojanje djelotvornih i provedivih prava ispitanika te učinkovite upravne i sudske zaštite ispitanika čiji se osobni podaci prenose; (b) postojanje i djelotvorno funkcioniranje jednog neovisnog nadzornog tijela ili više njih u trećoj zemlji, ili tijela kojem podliježe međunarodna organizacija, s odgovornošću osiguravanja i provođenja poštovanja pravila o zaštiti podataka, što uključuje primjerene provedbene ovlasti za pomoć ispitanicima i savjetovanje ispitanika u ostvarivanju njihovih prava te za suradnju s nadzornim tijelima država članica; i (c) međunarodne obveze koje je dotična treća zemlja ili međunarodna organizacija preuzela, ili druge obveze koje proizlaze iz pravno obvezujućih konvencija ili instrumenata, kao i iz njezina sudjelovanja u multilateralnim ili regionalnim sustavima, osobito u vezi sa zaštitom osobnih podataka. 3. Komisija nakon procjene primjerenosti stupnja zaštite može putem provedbenog akta odlučiti da treća zemlja, područje, ili jedan ili više određenih sektora unutar treće zemlje, ili međunarodna organizacija osigurava primjerenu razinu zaštite u smislu stavka 2. ovog članka. U provedbenom aktu predviđa se mehanizam za periodično preispitivanje, najmanje svake četiri godine, kojim će se uzeti u obzir svi relevantni događaji u toj trećoj zemlji ili međunarodnoj organizaciji. […] 4. Komisija kontinuirano prati razvoj događaja u trećim zemljama i međunarodnim organizacijama koji bi mogli utjecati na funkcioniranje odluka donesenih u skladu sa stavkom 3. ovog članka i odluka donesenih na temelju članka 25. stavka 6. [Direktive 95/46]. 5. Ako dostupne informacije otkrivaju, a osobito nakon preispitivanja iz stavka 3. ovog članka, da treća zemlja, područje ili jedan ili više određenih sektora unutar treće zemlje, ili međunarodna organizacija više ne osigurava primjerenu razinu zaštite u smislu stavka 2. ovog članka u mjeri u kojoj je to potrebno, Komisija provedbenim aktima stavlja izvan snage, mijenja ili suspendira odluku iz stavka 3. ovog članka bez retroaktivnog učinka. […] 6. Komisija započinje savjetovanje s trećom zemljom ili međunarodnom organizacijom radi popravljanja stanja koje je dovelo do odluke u skladu sa stavkom 5. […] 9. Odluke koje je Komisija donijela na temelju članka 25. stavka 6. [Direktive 95/46] ostaju na snazi dok se ne izmijene, zamijene ili stave izvan snage odlukom Komisije donesenom u skladu sa stavkom 3. ili 5. ovog članka.”

19. Članak 46. te uredbe, naslovljen „Prijenosi koji podliježu odgovarajućim zaštitnim mjerama”, glasi kako slijedi: „1. Ako nije donesena odluka na temelju članka 45. stavka 3., voditelj obrade ili izvršitelj obrade trećoj zemlji ili međunarodnoj organizaciji osobne podatke mogu prenijeti samo ako je voditelj obrade ili izvršitelj obrade predvidio odgovarajuće zaštitne mjere i pod uvjetom da su ispitanicima na raspolaganju provediva prava i učinkoviti pravni lijekovi. 2. Odgovarajuće zaštitne mjere iz stavka 1. mogu, bez potrebe za ikakvim posebnim ovlaštenjem nadzornog tijela, pružati: […] (c) standardne klauzule o zaštiti podataka koje donosi Komisija u skladu s postupkom ispitivanja iz članka 93. stavka 2.; […] 5. Odobrenja države članice ili nadzornog tijela na temelju članka 26. stavka 2. [Direktive 95/46] ostaju valjana dok ih nadzorno tijelo prema potrebi ne izmijeni, zamijeni ili stavi izvan snage. Odluke koje je Komisija donijela na osnovi članka 26. stavka 4. [Direktive 95/46] ostaju na snazi dok se prema potrebi ne izmijene, zamijene ili stave izvan snage odlukom Komisije donesenom u skladu sa stavkom 2. ovog članka.”

20. U skladu s člankom 58. stavcima 2., 4. i 5. GDPR‑a: „2. Svako nadzorno tijelo ima sve sljedeće korektivne ovlasti: (a) izdavati upozorenja voditelju obrade ili izvršitelju obrade da bi namjeravani postupci obrade lako mogli prouzročiti kršenje odredaba ove Uredbe; (b) izdavati službene opomene voditelju obrade ili izvršitelju obrade ako se postupcima obrade krše odredbe ove Uredbe; (c) narediti voditelju obrade ili izvršitelju obrade da poštuje zahtjeve ispitanika za ostvarivanje njegovih prava u skladu s ovom Uredbom; (d) narediti voditelju obrade ili izvršitelju obrade da postupke obrade uskladi s odredbama ove Uredbe, prema potrebi na točno određen način i u točno zadanom roku; (e) narediti voditelju obrade da ispitanika obavijesti o povredi osobnih podataka; (f) privremeno ili konačno ograničiti, među ostalim zabraniti, obradu; […] (i) izreći upravnu novčanu kaznu u skladu s člankom 83. uz mjere, ili umjesto mjera koje se navode u ovom stavku, ovisno o okolnostima svakog pojedinog slučaja; (j) narediti suspenziju protoka podataka primatelju u trećoj zemlji ili međunarodnoj organizaciji. […] 4. Izvršavanje ovlasti dodijeljenih nadzornom tijelu u skladu s ovim člankom podliježe odgovarajućim zaštitnim mjerama, među ostalim djelotvornom pravnom lijeku i odgovarajućem postupku utvrđenim u pravu Unije i pravu države članice u skladu s Poveljom. 5. Svaka država članica zakonom propisuje da njezino nadzorno tijelo ima ovlasti obavijestiti pravosudna tijela o povredama ove Uredbe i, prema potrebi, pokrenuti pravne postupke ili u njima na drugi način sudjelovati kako bi se provele odredbe ove Uredbe.”

C. Odluka 2010/87

21. Na temelju članka 26. stavka 4. Direktive 95/46 Komisija je donijela tri odluke kojima je utvrdila da standardne ugovorne klauzule koje se navode u toj direktivi daju dovoljna jamstva u vezi zaštite privatnosti i temeljnih prava i sloboda pojedinaca te u vezi ostvarivanja tih prava (u daljnjem tekstu: Odluke o SUK‑ovima) ( 9 ).

22. Jedna od njih je Odluka 2010/87, u čijem se članku 1. određuje da „[s]tandardne ugovorne klauzule utvrđene u Prilogu pružaju odgovarajuće zaštitne mjere u smislu zaštite privatnosti i temeljnih prava i sloboda pojedinaca u pogledu izvršavanja odgovarajućih prava kako zahtijeva članak 26. stavak 2. [Direktive 95/46]”.

23. Na temelju članka 3. te odluke: „Za potrebe ove Odluke primjenjuju se slijedeće definicije: […] (c) ‚izvoznik podataka’ znači nadzornik koji obavlja prijenos osobnih podataka; (d) ‚uvoznik podataka’ znači obrađivač s poslovnim nastanom u trećoj zemlji koji je od izvoznika podataka suglasan primiti osobne podatke radi njihove obrade u korist izvoznika podataka po prijenosu, u skladu s njegovim uputama i uvjetima ove Odluke, i koji nije podložan sustavu treće zemlje koji osigurava odgovarajuću zaštitu u smislu članka 25. stavka 1. Direktive [95/46]; […] (f) ‚pravo koje se primjenjuje na zaštitu podataka’ znači zakonodavstvo, koje štiti temeljna prava i slobode pojedinaca i posebno njihovo pravo na privatnost u pogledu obrade osobnih podataka, koje primjenjuje nadzornik podataka u državi članici u kojoj izvoznik podataka ima poslovni nastan; […]”

24. U prvoj verziji članka 4. navedene odluke, njegovim se stavkom 1. predviđalo: „Ne dovodeći u pitanje svoje ovlasti da poduzimaju mjere za osiguranje usklađenosti s nacionalnim odredbama usvojenima u skladu s poglavljima II., III., V. i VI. [Direktive 95/46], nadležna tijela država članica mogu koristiti svoje postojeće ovlasti da zabrane ili obustave protok podataka u treće zemlje kako bi zaštitile pojedince s obzirom na obradu njihovih osobnih podataka u slučajevima gdje: (a) je utvrđeno da pravo, kojem je uvoznik podataka ili podobrađivač podložan, njemu nameće zahtjeve koji odstupaju od prava koje se primjenjuje na zaštitu podataka, koji nadilaze ograničenja nužna u demokratskom društvu u skladu s člankom 13. [Direktive 95/46] gdje bi ti zahtjevi mogli imati bitne neželjene posljedice na jamstva utvrđena pravom koje se primjenjuje na zaštitu podataka i standardnim ugovornim klauzulama; (b) je nadležno tijelo utvrdilo da uvoznik podataka ili podobrađivač nisu poštovali standardne ugovorne klauzule u Prilogu; ili (c) postoji stvarna vjerojatnost da se standardne ugovorne klauzule u Prilogu nisu ili neće poštovati i da bi daljnji prijenos prouzročio neposrednu opasnost od nanošenja teške štete osobama na koje se odnose podaci.”

25. U trenutačnoj verziji, kako proizlazi iz izmjene Odluke 2010/87 koja je uvedena Provedbenom odlukom (EU) 2016/2297 ( 10 ), člankom 4. Odluke 2010/87 određuje se da „[k]ad god nadležna tijela država članica izvršavaju svoje ovlasti u skladu s člankom 28. stavkom 3. [Direktive 95/46], a čiji je ishod suspenzija ili potpuna zabrana protoka podataka prema trećim zemljama radi zaštite osoba u pogledu obrade njihovih osobnih podataka, predmetna država članica bez odgode o tome obavješćuje Komisiju koja informacije prosljeđuje drugim državama članicama”.

26. Prilog Odluci 2010/87 sadržava niz standardnih ugovornih klauzula. Konkretno, klauzulom 3., sadržanom u tom prilogu i naslovljenom „Klauzula u korist treće strane”, predviđa se: „1. Subjekt podataka može protiv izvoznika podataka upotrijebiti ovu klauzulu i klauzulu 4. točke (b) do (i), klauzulu 5. točke (a) do (e) i (g) do (j), klauzulu 6. stavke 1. i 2., klauzulu 7., klauzulu 8. stavak 2. i klauzule 9. do 12. u korist treće stranke. 2. Subjekt podataka može protiv uvoznika podataka upotrijebiti ovu klauzulu, klauzulu 5. točke (a) do (e) i (g), klauzulu 6., klauzulu 7., klauzulu 8. stavak 2. i klauzule 9. do 12. u slučaju kada izvoznik podataka prestane postojati ili prestane postojati pred zakonom, osim ako bilo koji pravni nasljednik ne preuzme sve zakonske obveze izvoznika podataka prema ugovoru ili zakonu; u tom slučaju subjekt podataka preuzima prava i obveze izvoznika podataka te ih može upotrijebiti protiv pravnih nasljednika. […]”

27. Klauzulom 4. iz navedenog priloga, naslovljenom „Obveze izvoznika podataka”, određuje se: „Izvoznik podataka suglasan je i jamči: (a) da se obrada osobnih podataka, uključujući i sam prijenos podataka, obavljala i da će se obavljati u skladu s odgovarajućim odredbama prava primjenjivog na zaštitu podataka (te da su, prema potrebi, o tome obaviještena odgovarajuća nadležna tijela država članica u kojima izvoznik podataka ima poslovni nastan) i da neće kršiti odgovarajuće odredbe te države; (b) da je dao upute i da će davati upute uvozniku podataka tijekom trajanja usluga obrade osobnih podataka kako bi obradio osobne podatke koji su preneseni jedino u korist izvoznika podataka i u skladu s odgovarajućim odredbama prava primjenjivog na zaštitu podataka i klauzulama; (c) da će uvoznik podataka osigurati dostatna jamstva u smislu tehničkih i organizacijskih zaštitnih mjera navedenih u Dodatku 2. ovom Ugovoru; (d) da su nakon procjene zahtjeva prava primjenjivog na zaštitu podataka, zaštitne mjere prikladne kako bi zaštitile osobne podatke protiv slučajnog ili nezakonitog uništenja ili slučajnog gubitka, izmjene, neovlaštenog objavljivanja ili pristupa, posebno kada obrada uključuje prijenos podataka putem mreže, i protiv bilo kojeg drugog nezakonitog oblika obrade te da te mjere osiguravaju razinu sigurnosti koja je prikladna rizicima koje donosi obrada i priroda podataka koji se štite uzimajući u obzir najnovije tehnologije i trošak njihove primjene; (e) da će osigurati poštovanje zaštitnih mjera; (f) da je u slučaju kada prijenos uključuje posebne kategorije podataka, obavijestio subjekta podataka ili će ga unaprijed obavijestiti ili netom poslije prijenosa kako bi podaci mogli biti preneseni u treću zemlju bez odgovarajuće zaštite u skladu s [Direktivom 95/46]; (g) da će u skladu s klauzulom 5. točkom (b) i klauzulom 8. stavkom 3. proslijediti svaku obavijest zaprimljenu od uvoznika podataka ili podobrađivača nadzornim tijelima za zaštitu podataka ako izvoznik podataka odluči nastaviti s prijenosom ili ukinuti suspenziju; (h) da će subjektu podataka, po njihovu zahtjevu, staviti na raspolaganje kopiju klauzula, izuzev Dodatka 2., i sažeti opis zaštitnih mjera kao i kopiju svakog ugovora za usluge podobrade koji mora biti u skladu s klauzulama, osim ako klauzule ili ugovor sadržavaju komercijalne podatke u kojem slučaju se ti komercijalni podaci uklanjaju; (i) da u slučaju podobrade, podobrađivač obavlja aktivnost obrade u skladu s klauzulom 11. osiguravajući barem istu razinu zaštite osobnih podataka i prava subjekta podataka poput uvoznika podataka u skladu s klauzulama; i (j) da će osigurati poštovanje klauzule 4. točke a) do (i).”

28. Klauzulom 5., predviđenom u tom prilogu i naslovljenom „Obveze uvoznika podataka (1)”, određuje se: „Uvoznik podataka suglasan je i jamči: (a) obradu osobnih podatke jedino u korist izvoznika podataka i u skladu s njegovim uputama i klauzulama; ako to iz bilo kojih razloga ne može osigurati, suglasan je da o tome odmah obavijesti izvoznika podataka, te u tom slučaju izvoznik podataka ima pravo obustaviti prijenos podataka i/ili prekinuti ugovor; (b) da nema razloga za vjerovanje da ga zakonodavstvo koje se na njega primjenjuje onemogućava u ispunjavanju uputa primljenih od izvoznika podataka i njegovih obveza prema ugovoru te da će u slučaju promjene u zakonodavstvu koja bi mogla imati bitan negativan učinak na jamstva i obveze iz klauzula, o promjeni odmah obavijestiti izvoznika podataka čim toga postane svjestan, te u tom slučaju izvoznik podataka ima pravo obustaviti prijenos podataka i/ili prekinuti ugovor; (c) da je prije obrade osobnih podataka koji se prenose proveo tehničke i organizacijske zaštitne mjere navedene u Dodatku 2.; (d) da će odmah obavijestiti izvoznika podataka o: i. svakom pravno obvezujućem zahtjevu od strane tijela kaznenog progona za otkrivanje osobnih podataka osim ako drukčije nije zabranjeno poput zabrane prema kaznenom pravu radi očuvanja povjerljivosti kaznene istrage; ii. svakom slučajnom ili neovlaštenom pristupu; i iii. svakom zahtjevu primljenom izravno od osoba čiji se podaci obrađuju bez odgovaranja na taj zahtjev osim ako za to nije ovlašten; (e) da odmah i na odgovarajući način postupa sa svim upitima izvoznika podataka koji se odnose na obradu osobnih podataka podložnim prijenosu i da poštuje savjet nadzornih tijela u pogledu obrade podataka koji se prenose; (f) da na zahtjev izvoznika podataka, preda svoju opremu za obradu podataka radi revizije aktivnosti obrade obuhvaćene klauzulama, koju obavlja izvoznik podataka ili inspekcijsko tijelo, sastavljeno od nezavisnih članova, koji posjeduju odgovarajuće stručne kvalifikacije vezani obvezom čuvanja tajne, koje prema potrebi izabire izvoznik podataka u dogovoru s nadležnim tijelima; […]”

29. U skladu s bilješkom na dnu stranice 1., koja se navodi u naslovu klauzule 5. iz Priloga Odluci 2010/87: „Obvezni zahtjevi nacionalnog zakonodavstva primjenjivi na uvoznika podataka koji ne nadilaze neophodno u demokratskom društvu na temelju jednog od interesa navedenog u članku 13. stavku 1. [Direktive 95/46] to jest, ako oni predstavljaju nužnu mjeru za očuvanje nacionalne sigurnosti, obrane, javne sigurnosti, prevencije, istrage, otkrivanja i progona kaznenih djela ili kršenje etike za zakonski zaštićena zanimanja, važan ekonomski ili financijski interes države ili zaštitu osoba na koje se odnose podaci ili prava i slobode drugih, a nisu protivni standardnim ugovornim klauzulama. Neki primjeri takvih obveznih zahtjeva koji ne nadilaze neophodno u demokratskom društvu su, između ostalog, međunarodno priznate sankcije, zahtjevi za prijavu poreza ili zahtjevi za izvješća o borbi protiv pranja novca.”

30. Klauzula 6., sadržana u tom prilogu i naslovljena „Odgovornost”, glasi kako slijedi: „1. Stranke su suglasne da svaki subjekt podataka koji trpi štetu kao posljedicu svakog kršenja obveza navedenih u klauzulu 3. i klauzuli 11. od strane bilo koje stranke ili podobrađivača, ima pravo od izvoznika podataka primiti naknadu štete. 2. Ako subjekt podataka radi kršenja obveza navedenih u klauzuli 3. i klauzuli 11. od strane uvoznika podataka ili njegovog podobrađivača ne može podnijeti zahtjev za naknadu štete protiv izvoznika podataka u skladu sa stavkom 1. zbog toga što je izvoznik podataka prestao postojati ili prestao postojati pred zakonom ili postao nelikvidan, uvoznik podataka suglasan je da subjekt podataka može podnijeti zahtjev protiv uvoznika podataka umjesto izvoznika podataka, osim ako je neki pravni nasljednik preuzeo sve zakonske obveze izvoznika podataka po ugovoru ili po zakonu, te u tom slučaju subjekt podataka može prisilno koristiti svoja prava protiv tog nasljednika. […]”

31. Klauzulom 7. iz navedenog priloga, naslovljenom „Medijacija i nadležnost”, određuje se: „1. Uvoznik podataka suglasan je da ako subjekt podataka protiv njega upotrijebi prava u korist treće stranke i/ili traže naknadu štete sukladno klauzulama, uvoznik podataka prihvaća odluku subjekta podataka: (a) da nezavisna osobe ili, prema potrebi, nadležna tijela upute spor na medijaciju; (b) da spor uputi sudovima u državama članicama u kojima izvoznik podataka ima poslovni nastan. 2. Stranke su suglasne da izbor subjekta podataka ne utječe na njihova temeljna ili postupovna prava da traže rješenja u skladu s ostalim odredbama nacionalnog ili međunarodnog prava.”

32. Klauzulom 9. iz tog priloga, naslovljenom „Mjerodavno pravo”, predviđa se da se standardne ugovorne klauzule ravnaju pravom države članice u kojoj izvoznik podataka ima poslovni nastan.

D. Odluka o sustavu zaštite privatnosti

33. Na temelju članaka 25. stavka 6. Direktive 95/46 Komisija je donijela dvije uzastopne odluke kojima je utvrdila da SAD osigurava primjerenu razinu zaštite osobnih podataka, koji se prenose u poduzeća osnovana u Sjedinjenim Američkim Državama koja su izjavila da se, provođenjem postupka samocertificiranja, pridržavaju načela iz tih odluka.

34. Kao prvo, Komisija je donijela Odluku 2000/520/EZ o primjerenosti zaštite koju pružaju načela privatnosti „sigurne luke” i uz njih vezana često postavljana pitanja koje je izdalo Ministarstvo trgovine SAD‑a ( 11 ). U presudi od 6. listopada 2015., Schrems ( 12 ), Sud je tu odluku proglasio nevaljanom.

35. Nakon te presude Komisija je, kao drugo, donijela Odluku o sustavu zaštite privatnosti.

36. Člankom 1. te direktive određuje se: „1. Za potrebe članka 25. stavka 2. [Direktive 95/46] Sjedinjene Američke Države osiguravaju odgovarajuću razinu zaštite osobnih podataka koji se prenose iz Unije organizacijama u Sjedinjenim Američkim Državama u okviru europsko‑američkog sustava zaštite privatnosti. 2. Europsko‑američki sustav zaštite privatnosti uspostavljen je u skladu s Načelima koje je 7. srpnja 2016. izdalo američko Ministarstvo trgovine, kako je navedeno u Prilogu II. te u službenim izjavama i obvezama iz dokumenata navedenih u Prilogu I. i prilozima od III. do VII. 3. Za potrebe stavka 1. osobni se podaci u okviru europsko‑američkog sustava zaštite privatnosti iz Unije prenose organizacijama u Sjedinjenim Američkim Državama koje se nalaze na ‚Popisu organizacija u sustavu zaštite privatnosti’, koji vodi i objavljuje američko Ministarstvo trgovine u skladu s odjeljcima I. i III. Načela navedenih u Prilogu II.”

37. Prilog III. A toj odluci, naslovljen „Mehanizam pravobranitelja za europsko‑američki sustav za zaštitu privatnosti u vezi prikupljanja obavještajnih podataka elektroničkim izviđanjem”, priložen dopisu Johna Kerryja, koji je tada bio Secretary of State (ministar vanjskih poslova, SAD), od 7. srpnja 2016., sadržava Memorandum u kojem se utvrđuje novi postupak pravobranitelja kod „Višeg koordinatora međunarodne diplomacije u području informacijske tehnologije” (u daljnjem tekstu: pravobranitelj) kojeg imenuje ministar vanjskih poslova.

38. U skladu s tim memorandumom, taj je postupak uspostavljen „da [se] lakše obrađuj[u] zahtjev[i] povezan[i] s pristupom podacima prenesenima iz [Unije] u Sjedinjene Američke Države u okviru sustava zaštite privatnosti za potrebe nacionalne sigurnosti, sa standardnim ugovornim odredbama, obvezujućim korporativnim pravilima, ‚odstupanjima’ […] ili ‚mogućim budućim odstupanjima’ […] sredstvima utvrđenima u primjenjivim zakonima i politikama Sjedinjenih Američkih Država te da odgovara na te zahtjeve”.

III. Glavni postupak, prethodna pitanja i postupak pred Sudom

39. M. Schrems austrijski je državljanin s boravištem u Austriji koji je korisnik društvene mreže Facebook. Svi korisnici te društvene mreže s boravištem na državnom području Unije dužni su prilikom registriranja sklopiti ugovor s Facebookom Ireland, društvom kćeri Facebooka Inc. koje ima sjedište u SAD‑u. Osobni podaci tih korisnika prenose se u cijelosti ili djelomično na poslužitelje koji pripadaju Facebooku Inc., koji su smješteni na državnom području SAD‑a, gdje su predmet obrade.

40. M. Schrems uputio je 25. lipnja 2013. pritužbu DPC‑u kojom je u biti od njega zatražio da zabrani Facebooku Ireland da prenosi osobne podatke koji se odnose na njega u SAD. On je u pritužbi tvrdio da važeće pravo i praksa u toj trećoj zemlji ne jamče dovoljnu razinu zaštite osobnih podataka pohranjenih na njezinu državnom području od zadiranja u okviru nadzornih aktivnosti koje tamo provode javna tijela. U tom je pogledu M. Schrems uputio na otkrića Edwarda Snowdena u vezi s aktivnostima obavještajnih službi SAD‑a, posebice National Security Agencyja (Nacionalna sigurnosna agencija, SAD, u daljnjem tekstu: NSA).

41. Ta je pritužba odbijena, među ostalim, zato što je o svakom pitanju u vezi s primjerenosti zaštite osobnih podataka koja se osigurava u SAD‑u trebalo odlučiti u skladu s Odlukom o privatnosti „sigurne luke”. U toj je odluci Komisija utvrdila da je ta zemlja nudila primjerenu razinu zaštite osobnih podataka koji se prenose u poduzeća koja se nalaze na njezinu državnom području i koja se pridržavaju načela iz navedene odluke.

42. M. Schrems podnio je tužbu protiv odluke o odbijanju njegove pritužbe High Courtu (Visoki sud). Taj je sud smatrao da se, iako M. Schrems nije formalno doveo u pitanje valjanost Odluke o privatnosti „sigurne luke”, u njegovoj pritužbi zapravo tvrdi da je sustav uspostavljen tom odlukom nezakonit. U tim okolnostima, navedeni je sud uputio pitanja koja se u biti odnose na to jesu li tijela država članica zadužena za zaštitu podataka (u daljnjem tekstu: nadzorna tijela), kada im se podnese pritužba u vezi sa zaštitom prava i sloboda osobe u pogledu obrade osobnih podataka koji se na nju odnose i koji su preneseni u treću državu, obvezana utvrđenjima o primjerenosti razine zaštite koju pruža ta treća država koja je Komisija iznijela na temelju članka 25. stavka 6. Direktive 95/46, čak i ako podnositelj pritužbe osporava ta utvrđenja.

43. Nakon što je u točkama 51. i 52. presude Schrems smatrao da odluka o primjerenosti obvezuje nadzorna tijela sve dok je se ne proglasi nevaljanom, Sud je u točkama 63. i 65. te presude iznio sljedeće: „63. […] [K]ada osoba čiji su osobni podaci preneseni ili bi mogli biti preneseni u treću zemlju na koju se odnosi Komisijina odluka na temelju članka 25. stavka 6. Direktive 95/46, podnese zahtjev nacionalnom nadzornom tijelu u vezi sa zaštitom svojih prava i sloboda u odnosu na obradu tih podataka i tom prilikom osporava […] usklađenost te odluke sa zaštitom privatnosti i temeljnih prava i sloboda pojedinaca, to tijelo mora ispitati navedeni zahtjev sa svom dužnom pažnjom. […] 65. U [slučaju] kada navedeno tijelo smatra da su prigovori [te osobe] osnovani, to isto tijelo mora u skladu s člankom 28. stavkom 3. prvim podstavkom trećom alinejom Direktive 95/46, povezano osobito s člankom 8. stavkom 3. Povelje, imati ovlasti za sudjelovanje u sudskim postupcima. U tom je pogledu nacionalni zakonodavac dužan predvidjeti pravna sredstva koja neovisnom nadzornom tijelu omogućavaju isticanje prigovora pred nacionalnim sudovima koje smatra osnovanima, kako bi ti sudovi mogli, u slučaju da dijele sumnje tog tijela u vezi s valjanošću Komisijine odluke, uputiti zahtjev za prethodnu odluku radi ispitivanja valjanosti te odluke.”

44. Sud je u navedenoj presudi također ispitao valjanost Odluke o privatnosti „sigurne luke” s obzirom na zahtjeve koji proizlaze iz Direktive 95/46, u vezi s Poveljom. Po završetku tog ispitivanja proglasio je tu odluku nevaljanom ( 13 ).

45. Nakon presude Schrems sud koji je uputio zahtjev poništio je odluku kojom je DPC odbio pritužbu M. Schremsa te ju je vratio DPC‑u na ispitivanje. Potonji povjerenik otvorio je istragu te je pozvao M. Schremsa da preformulira svoju pritužbu uzimajući u obzir to da je Odluka o privatnosti „sigurne luke” proglašena nevaljanom.

46. U tu je svrhu M. Schrems zatražio od Facebooka Ireland da utvrdi pravne temelje na kojima se zasnivaju prijenosi osobnih podataka korisnika društvene mreže Facebook iz Unije u SAD. Facebook Ireland pozvao se na sporazum o prijenosu i obradi podataka (data transfer processing agreement) koji je sklopio s Facebookom Inc., koji se primjenjuje od 20. studenoga 2015., a da nije utvrdio sve pravne temelje na koje se oslanja, te je uputio na Odluku 2010/87.

47. U svojoj preformuliranoj pritužbi M. Schrems tvrdio je, s jedne strane, da klauzule sadržane u tom sporazumu nisu u skladu sa standardnim ugovornim klauzulama iz Priloga Odluci 2010/87. S druge strane, M. Schrems navodi da se na tim standardnim ugovornim klauzulama ni u kojem slučaju nije mogao temeljiti prijenos osobnih podataka koji se odnose na njega u SAD. To je tako zato što se američkim pravom Facebooku Inc. nalaže da osobne podatke svojih korisnika stavi na raspolaganje američkim tijelima, kao što su NSA i Federal Bureau of Investigation (Savezni istražni ured, SAD, u daljnjem tekstu: FBI), u okviru programa nadzora kojima se ometa ostvarivanje prava zajamčenih člancima 7., 8. i 47. Povelje. M. Schrems tvrdi da se nijednim pravnim lijekom ispitanicima ne omogućuje pozivanje na njihova prava na poštovanje privatnog života i zaštitu osobnih podataka. U tim okolnostima M. Schrems zahtijeva od DPC‑a da obustavi taj prijenos u skladu s člankom 4. Odluke 2010/87.

48. Facebook Ireland priznao je u okviru DPC‑ove istrage da i dalje prenosi u SAD osobne podatke korisnika društvene mreže Facebook koji imaju boravište u Uniji i da se u tu svrhu u velikom dijelu oslanja na standardne ugovorne klauzule iz Priloga Odluci 2010/87.

49. Cilj DPC‑ove istrage bio je utvrditi, s jedne strane, osigurava li SAD primjerenu zaštitu osobnih podatka građana Unije i, s druge strane, ako to nije slučaj, jesu li Odluke o SUK‑ovima dovoljna jamstva u vezi sa zaštitom temeljnih sloboda i prava tih građana.

50. U tom pogledu, u nacrtu odluke (draft decision), DPC je privremeno smatrao da se u američkom pravu ne nude djelotvorni pravni lijekovi u smislu članka 47. Povelje građanima Unije čiji se podaci prenose u SAD, gdje postoji opasnost da ih američke agencije obrađuju u svrhu nacionalne sigurnosti na način koji nije u skladu s člancima 7. i 8. Povelje. Jamstvima koja su predviđena klauzulama iz Priloga Odluka o SUK‑ovima ne rješava se taj nedostatak jer one nisu obvezujuće za tijela ili agencije SAD‑a i jer se njima ispitanicima ne daju ugovorna prava u odnosu na izvoznika i/ili uvoznika podataka.

51. U tim okolnostima DPC je smatrao da ne može odlučivati o pritužbi M. Schremsa a da Sud ne ispita valjanost Odluka o SUK‑ovima. U skladu s onim što se predviđa u točki 65. presude Schrems, DPC je stoga pokrenuo postupak pred sudom koji je uputio zahtjev kako bi potonji sud, ako se slaže s DPC‑ovim dvojbama, podnio Sudu zahtjev za prethodnu odluku u pogledu valjanosti tih odluka.

52. Vladi SAD‑a te organizacijama Electronic Privacy Information Centre (u daljnjem tekstu: EPIC), Business Software Alliance (u daljnjem tekstu: BSA) i Digitaleurope odobrena je intervencija pred sudom koji je uputio zahtjev.

53. Kako bi utvrdio slaže li se s dvojbama koje je DPC izrazio u pogledu valjanosti Odluka o SUK‑ovima, High Court (Visoki sud) primio je dokaze koje su predočile stranke spora te je saslušao njihove argumente i argumente intervenijenata. Konkretno, vještaci su iznijeli dokaze o odredbama prava SAD‑a. U irskom se pravu strano pravo smatra činjeničnim pitanjem koje treba utvrditi dokazom jednako kao i svaku drugu činjenicu. Na temelju tih dokaza sud koji je uputio zahtjev ocijenio je odredbe prava SAD‑a kojima se vladinim tijelima i agencijama odobrava nadzor, funkcioniranje dvaju javno priznatih programa nadzora (PRISM i Upstream), razna pravna sredstva dostupna pojedincima čija su prava povrijeđena mjerama nadzora, kao i sustavne zaštitne mjere i mehanizmi nadzora. Taj je sud rezultate te ocjene iznio u presudi od 3. listopada 2017., priloženoj njegovu rješenju kojim se upućuje zahtjev za prethodnu odluku (u daljnjem tekstu: presuda High Courta (Visoki sud) od 3. listopada 2017.).

54. U toj je presudi sud koji je uputio zahtjev uputio, među pravnim temeljima kojima se američkim obavještajnim službama omogućuje presretanje inozemne komunikacije, na članak 702. Foreign Intelligence Surveillance Acta (Zakon o nadzoru stranih obavještajnih informacija, u daljnjem tekstu: FISA) i na Executive Order 12333 (Izvršni nalog br. 12333, u daljnjem tekstu: EO br. 12333).

55. U skladu s utvrđenjima iz navedene presude, na temelju članka 702. FISA‑e, Attorney General (državni odvjetnik, SAD) i Director of National Intelligence (direktor Nacionalne obavještajne službe, SAD, u daljnjem tekstu: DNI) mogu zajedno odobriti, na trajanje od godinu dana, u svrhu pribavljanja stranih obavještajnih informacija, nadzor osoba koje nisu američki građani niti imaju trajno boravište u SAD‑u (takozvane „osobe koje nisu američki državljani”) kada je razumno smatrati da se nalaze izvan državnog područja SAD‑a ( 14 ). U skladu s FISA‑om, pojam „strane obavještajne informacije” označava informacije o mogućnosti vlade da štiti od inozemnih napada, terorizma, širenja oružja masovnog uništenja, kao i o vođenju vanjskih poslova SAD‑a ( 15 ).

56. Ta godišnja odobrenja, kao i postupke kojima se uređuje odabir osoba koje treba nadzirati i obrada (smanjenje količine) prikupljenih informacija ( 16 ) treba odobriti Foreign Intelligence Surveillance Court (Sud za nadzor stranih obavještajnih informacija, SAD, u daljnjem tekstu: FISC). Dok „tradicionalni” nadzor koji se provodi na temelju drugih odredbi FISA‑e zahtijeva utvrđivanje „vjerojatnog uzroka” na kojem se može temeljiti sumnja u to da nadzirane osobe pripadaju stranoj sili ili da su njezini agenti, nadzorne aktivnosti koje se obavljaju na temelju članka 702. FISA‑e nisu uvjetovane ni utvrđivanjem takvog „vjerojatnog uzroka” ni FISC‑ovim odobrenjem odabira određenih osoba. K tomu, i dalje u skladu s utvrđenjima suda koji je uputio zahtjev, postupci smanjenja količine podataka ne primjenjuju se na osobe koje nisu američki državljani, a nalaze se izvan SAD‑a.

57. U praksi, kada FISC izda odobrenje, NSA šalje pružateljima usluga elektroničke komunikacije sa sjedištem u SAD‑u upute koje sadržavaju kriterije pretraživanja, koji se nazivaju „čimbenici za odabir”, povezane s ciljanim osobama (kao što su telefonski brojevi ili adrese e‑pošte). Ti su pružatelji usluga tada obvezni NSA‑i prenijeti podatke koji odgovaraju čimbenicima za odabir i moraju čuvati tajnu u pogledu uputa koje su im dane. Oni mogu FISC‑u podnijeti zahtjev kako bi izmijenili ili uklonili neku NSA‑inu uputu. Protiv FISC‑ove odluke može se podnijeti prigovor pred Foreign Intelligence Surveillance Court of Review (FISCR) (Žalbeni sud za nadzor stranih obavještajnih informacija, SAD, u daljnjem tekstu: FISCR).

58. High Court (Visoki sud) utvrdio je da je članak 702. FISA‑e pravni temelj programa PRISM i Upstream.

59. U okviru programa PRISM, pružatelji usluga elektroničke komunikacije dužni su NSA‑i podnijeti sve komunikacije koje „šalje” ili „prima” čimbenik za odabir koji je priopćila NSA. Dio tih komunikacija prosljeđuje se FBI‑u i Central Intelligence Agencyju (Središnja obavještajna agencija, SAD, u daljnjem tekstu: CIA). U 2015. nadziralo se 94386 osoba te je u 2011. vlada SAD‑a u okviru tog programa prikupila više od 250 milijuna komunikacija.

60. Program Upstream temelji se na obveznoj pomoći poduzetnika koji čine „kostur”, odnosno mrežu kablova, preklopnika i usmjerivača, preko kojeg se prenose telefonske i internetske komunikacije. Ti su poduzetnici obvezni NSA‑i omogućiti da kopira i filtrira protok internetskog prometa kako bi prikupila komunikacije koje „šalje” ili „prima” čimbenik za odabir naveden u uputi te agencije ili koje se na njega „odnose”. Komunikacije koje se „odnose” na čimbenik za odabir jesu komunikacije u kojima se navodi taj čimbenik za odabir a da osoba koja nije američki državljanin povezana s navedenim čimbenikom za odabir ne sudjeluje nužno u njima. Iako iz FISC‑ova mišljenja od 26. travnja 2017. proizlazi da od tog datuma američka vlada više ne prikuplja niti stječe komunikacije koje se „odnose” na čimbenik za odabir, u tom se mišljenju ne navodi da NSA prestaje kopirati i filtrirati protok komunikacija koji se prenosi preko njezine nadzorne opreme. Program Upstream tako podrazumijeva da NSA ima pristup metapodacima, kao i sadržaju komunikacija. Od 2011. NSA je prikupljala oko 26,5 milijuna komunikacija godišnje u okviru programa Upstream, što ipak čini samo mali dio komunikacija koje prolaze kroz postupak filtriranja koji se provodi na temelju tog programa.

61. Osim toga, u skladu s utvrđenjima High Courta (Visoki sud), na temelju EO‑a br. 12333 odobrava se nadzor elektroničkih komunikacija izvan državnog područja SAD‑a, čime se omogućuje pristup, u svrhu prikupljanja stranih obavještajnih informacija, podacima koji su „u prijelazu” do tog državnog područja ili koji „prelaze” preko tog državnog područja, ali za koje ondje nije predviđena obrada, te prikupljanje i zadržavanje tih podataka. U EO‑u br. 12333 pojam „strane obavještajne informacije” definira se na način da on uključuje informacije o mogućnostima, namjerama ili aktivnostima stranih vlada, stranih organizacija ili stranih osoba ( 17 ).

62. Na temelju EO‑a br. 12333 NSA ima ovlašten pristup podmorskim kablovima koji se nalaze na dnu Atlantskog oceana, s pomoću kojih se podaci prenose iz Unije u SAD, prije nego što ti podaci stignu u SAD i tako podlegnu odredbama FISA‑e. Međutim, ne postoji nikakav dokaz o bilo kakvom programu uspostavljenom na temelju tog izvršnog naloga.

63. Iako se EO‑om br. 12333 predviđaju ograničenja u pogledu prikupljanja, zadržavanja i širenja informacija, ta se ograničenja ne primjenjuju na osobe koje nisu američki državljani. Potonje osobe imaju samo pravo na zaštitne mjere utvrđene u okviru Presidential Policy Directive 28 (Predsjednički ukaz br. 28, u daljnjem tekstu: PPD 28), koji se primjenjuje na sve aktivnosti prikupljanja i upotrebe stranih obavještajnih informacija prikupljenih elektroničkim izviđanjem. PPD‑om 28 određuje se da je poštovanje privatnog života sastavni dio razmatranja koja treba uzeti u obzir pri planiranju tih aktivnosti, da jedini cilj prikupljanja treba biti stjecanje stranih obavještajnih informacija, kao i protuobavještajnih informacija te da navedene aktivnosti trebaju biti „što usmjerenije”.

64. Sud koji je uputio zahtjev navodi da NSA‑ine aktivnosti temeljene na EO‑u br. 12333, koji predsjednik SAD‑a u bilo kojem trenutku može izmijeniti ili ukinuti, nisu uređene zakonom, nisu predmet sudskog nadzora i protiv njih se ne može podnijeti pravni lijek.

65. Na temelju tih utvrđenja, taj sud smatra da SAD provodi masovne i nediskriminirajuće obrade osobnih podataka koji određene ispitanike mogu izložiti opasnosti od povrede prava koja imaju na temelju članaka 7. i 8. Povelje.

66. Štoviše, navedeni sud tvrdi da građani Unije nemaju pristup istim pravnim lijekovima protiv nezakonitih obrada njihovih osobnih podataka koje provode američka tijela kao i američki državljani. Četvrti amandman Ustava SAD‑a, koji čini najvažniju zaštitu od nezakonitog nadziranja, ne primjenjuje se na građane Unije koji nemaju značajnu dobrovoljnu vezu sa SAD‑om. Iako potonji građani ipak raspolažu nekim drugim pravnim lijekovima, oni nailaze na znatne prepreke.

67. Konkretno, člankom III. Ustava SAD‑a taj se pravni lijek pred saveznim sudovima uvjetuje time da ispitanik mora utvrditi svoju aktivnu procesnu legitimaciju (standing). Aktivna procesna legitimacija podrazumijeva, među ostalim, da ta osoba mora dokazati da je pretrpjela stvarnu štetu koja je, s jedne strane, konkretna i osobna te, s druge strane, trenutačna ili neposredna. Upućivanjem, među ostalim, na presudu Supreme Courta of the United States (Vrhovni sud SAD‑a), Clapper v. Amnesty International US ( 18 ), sud koji je uputio zahtjev smatra da je taj uvjet u praksi pretjerano težak za ispuniti osobito s obzirom na to da ne postoji nikakva obveza da se ispitanike obavijesti o mjerama nadzora koje su u pogledu njih donesene ( 19 ). Dio pravnih lijekova kojima raspolažu građani Unije usto podliježe drugim ograničavajućim uvjetima, kao što je potreba utvrđivanja novčane štete. Suvereni imunitet priznat obavještajnim agencijama i klasifikacija predmetnih informacija također su prepreka podnošenju određenih pravnih lijekova ( 20 ).

68. High Court (Visoki sud) usto navodi razne mehanizme nadzora i nadgledanja aktivnosti obavještajnih agencija.

69. Među tim se mehanizmima navodi, s jedne strane, mehanizam FISC‑ova godišnjeg certificiranja programa koji se temelje na članku 702. FISA‑e, u okviru kojeg FISC ipak ne odobrava pojedinačne čimbenike za odabir. Osim toga, nikakvim se prethodnim sudskim nadzorom ne uređuje prikupljanje stranih obavještajnih informacija na temelju EO‑a br. 12333.

70. S druge strane, sud koji je uputio zahtjev upućuje na nekoliko mehanizama izvansudskog nadgledanja obavještajnih aktivnosti. Konkretno, navodi ulogu Inspectors Generala (glavni inspektori, SAD) koji su, unutar svake obavještajne agencije, zaduženi za nadgledanje nadzornih aktivnosti. K tomu, Privacy and Civil Liberties Oversight Board (Odbor za nadzor privatnosti i građanskih sloboda, SAD, u daljnjem tekstu: PCLOB), neovisna agencija unutar izvršne vlasti, prima izvješća osoba koje su u okviru svake agencije imenovane kao službenici za građanske slobode ili privatnost (civil liberties or privacy officers). PCLOB redovno priprema izvješća za kongresne odbore i Predsjednika. Predmetne agencije moraju o incidentima koji se odnose na povredu pravila i postupaka kojima je uređeno prikupljanje stranih obavještajnih informacija obavijestiti, među ostalim, DNI‑ja. Ti se incidenti također priopćuju FISC‑u. I sam kongres SAD‑a, posredstvom obavještajnih odbora Zastupničkog doma i Senata, ima odgovornost nadzirati strane obavještajne aktivnosti.

71. Međutim, High Court (Visoki sud) ističe temeljnu razliku između, s jedne strane, pravila kojima se nastoji osigurati da su podaci prikupljeni zakonito i da ih se, kada su prikupljeni, ne zloupotrebljava te, s druge strane, pravnih lijekova dostupnih kada su ta pravila povrijeđena. Zaštita temeljnih prava ispitanika osigurana je samo ako im djelotvorni pravni lijekovi omogućuju ostvarivanje prava u slučaju povrede navedenih pravila.

72. U tim okolnostima, sud koji je uputio zahtjev smatra da su utemeljeni DPC‑ovi argumenti, prema kojima ograničenja koja su američkim pravom uspostavljena u pogledu prava na pravni lijek osoba čiji su podaci preneseni iz Unije ne poštuju ključni sadržaj prava zajamčenog člankom 47. Povelje i, u svakom slučaju, čine neproporcionalna miješanja u ostvarivanje tog prava.

73. High Court (Visoki sud) smatra da ta ocjena nije dovedena u pitanje time što je vlada SAD‑a uvela mehanizam pravobranitelja opisan u Odluci o sustavu zaštite privatnosti. Nakon što je naglasio da tom mehanizmu mogu pristupiti građani Unije koji razumno smatraju da su njihovi podaci preneseni u skladu s Odlukama o SUK‑ovima ( 21 ), taj je sud napomenuo da pravobranitelj nije sud koji ispunjava zahtjeve iz članka 47. Povelje i da, konkretno, nije neovisan o izvršnoj vlasti ( 22 ). Navedeni sud također dvoji u pogledu toga je li intervencija pravobranitelja, protiv čijih se odluka ne može podnijeti pravni lijek, djelotvoran pravni lijek. Naime, tom se intervencijom osobama čiji su osobni podaci nezakonito prikupljeni, obrađeni ili dijeljeni ne omogućuje da dobiju naknadu štete ili nalog za prestanak nezakonitih radnji jer pravobranitelj ne potvrđuje niti poriče da je ispitanik bio predmet mjere elektroničkog nadzora.

74. Budući da je tako iznio svoje dvojbe o bitnoj ekvivalentnosti zaštitnih mjera predviđenih američkim pravom i zahtjeva koji proizlaze iz članaka 7., 8. i 47. Povelje, sud koji je uputio zahtjev izjavio je da dvoji u pogledu toga da standardne ugovorne klauzule predviđene u Odlukama o SUK‑ovima, koje po svojoj prirodi ne obvezuju američka tijela, ipak mogu osigurati zaštitu temeljnih prava ispitanika. Taj je sud iz toga zaključio da se slaže s DPC‑ovim dvojbama u pogledu valjanosti tih odluka.

75. U tom pogledu, sud koji je uputio zahtjev konkretno smatra da za otklanjanje tih dvojbi nije dovoljan članak 28. stavak 3. Direktive 95/46, na koji se upućuje u članku 4. Odluke 2010/87, u dijelu u kojem se nadzornim tijelima daje ovlast obustave ili zabrane prijenosa koji se temelje na standardnim ugovornim klauzulama predviđenim u toj odluci. Osim što je ta ovlast, prema njegovu mišljenju, samo diskrecijska, sud koji je uputio zahtjev pita, s obzirom na uvodnu izjavu 11. Odluke 2010/87, je li tu ovlast moguće izvršiti kada se utvrđeni nedostaci ne odnose na pojedinačan i izniman slučaj, nego kada su ti nedostaci opći i sustavni ( 23 ). Također smatra da se povjeravanju utvrđivanja takvih nedostataka nadzornim tijelima može protiviti opasnost od donošenja drukčijih odluka u različitim državama članicama.

76. U tim je okolnostima High Court (Visoki sud) odlukom od 4. svibnja 2018. ( 24 ), koju je Sud zaprimio 9. svibnja 2018., odlučio prekinuti postupak i postaviti Sudu sljedeća prethodna pitanja: „1. Kada privatno trgovačko društvo iz države članice [Unije] u komercijalne svrhe prenosi osobne podatke privatnom trgovačkom društvu u trećoj zemlji na temelju Odluke [2010/87] te bi tijela treće zemlje te podatke mogla podvrgnuti daljnjoj obradi za potrebe nacionalne sigurnosti, ali i za potrebe izvršavanja zakonodavstva i vođenja vanjskih poslova te treće zemlje, primjenjuje li se pravo Unije[, uključujući Povelju,] na prijenos podataka, neovisno o odredbama članka 4. stavka 2. UEU‑a koje se odnose na nacionalnu sigurnost i odredbama članka 3. stavka 2. prve alineje Direktive [95/46] koje se odnose na javnu sigurnost, obranu i nacionalnu sigurnost? 2. (a) Pri utvrđivanju jesu li prava pojedinca povrijeđena prijenosom podataka na temelju Odluke [2010/87] iz Unije u treću zemlju, gdje ti podaci mogu biti podvrgnuti daljnjoj obradi za potrebe nacionalne sigurnosti, je li za potrebe Direktive [95/46] relevantno mjerilo za usporedbu: i. Povelja, UEU, UFEU, Direktiva [95/46], [Europska konvencija za zaštitu ljudskih prava i temeljnih sloboda, potpisana u Rimu 4. studenoga 1950. (u daljnjem tekstu: EKLJP)] (ili bilo koja druga odredba prava Unije); ili ii. nacionalno zakonodavstvo jedne ili više država članica? (b) Ako je ii. relevantno mjerilo za usporedbu, trebaju li dio takvog mjerila biti i prakse koje se u kontekstu nacionalne sigurnosti primjenjuju u jednoj ili više država članica? 3. Kada se za potrebe članka 26. Direktive [95/46] ocjenjuje osigurava li treća zemlja za podatke koji se prenose u tu zemlju razinu zaštite koju zahtijeva pravo Unije, treba li razinu zaštite u trećoj zemlji ocijeniti s obzirom na: (a) primjenjiva pravila u trećoj zemlji koja proizlaze iz domaćih propisa ili međunarodnih obveza i praksu kojoj je svrha osigurati poštovanje tih pravila, uključujući strukovna pravila i sigurnosne mjere u toj trećoj zemlji; ili (b) pravila pod (a) i upravne, regulatorne i provedbene prakse te sustavna jamstva, postupke, protokole, nadzorne mehanizme i izvansudske pravne lijekove koji postoje u trećoj zemlji? 4. S obzirom na utvrđenja High Courta (Visoki sud) u pogledu prava [SAD‑a], radi li se o povredi pravâ pojedinaca iz članka 7. i/ili članka 8. Povelje ako se osobni podaci prenose iz Unije u [SAD] na temelju Odluke [2010/87]? 5. S obzirom na utvrđenja High Courta (Visoki sud) u pogledu prava [SAD‑a], ako se osobni podaci prenose iz Unije u [SAD] na temelju Odluke [2010/87]: (a) Poštuje li razina zaštite koju pruža [SAD] bit prava pojedinca na pravni lijek protiv povrede njegovih prava na privatnost zajamčenih člankom 47. Povelje? Ako je odgovor na (a) potvrdan, (b) Jesu li ograničenja prava pojedinca na pravni lijek koja pravo [SAD‑a] predviđa u kontekstu nacionalne sigurnosti [SAD‑a] neproporcionalna u smislu članka 52. Povelje te prekoračuju li ono što je u demokratskom društvu nužno za potrebe nacionalne sigurnosti? 6. (a) Koju razinu zaštite, s obzirom na odredbe Direktive [95/46], a osobito s obzirom na njezine članke 25. i 26. tumačene u vezi s Poveljom, treba pružiti osobnim podacima koji se u treću zemlju prenose na temelju standardnih ugovornih klauzula usvojenih u skladu s odlukom Komisije utemeljenom na članku 26. stavku 4. [te direktive]? (b) Koje čimbenike treba uzeti u obzir u ocjeni ispunjava li razina zaštite podataka koji se prenose u treću zemlju na temelju Odluke [2010/87] zahtjeve iz Direktive [95/46] i Povelje? 7. Onemogućuje li činjenica da se standardne ugovorne klauzule primjenjuju na odnos izvoznika podataka i uvoznika podataka te da ne obvezuju nacionalna tijela treće zemlje, koja od uvoznika podataka mogu zatražiti da sigurnosnim službama te zemlje stavi na raspolaganje osobne podatke prenesene na temelju klauzula Odluke [2010/87], da se u tim klauzulama predvide dovoljna jamstva u skladu s člankom 26. stavkom 2. Direktive [95/46]? 8. Ako uvoznik podataka s poslovnim nastanom u trećoj zemlji podliježe zakonima o nadzoru koje [nadzorno tijelo] smatra suprotnima standardnim ugovornim klauzulama ili člancima 25. i 26. Direktive [95/46] ili Povelji, mora li [nadzorno tijelo] upotrijebiti svoje ovlasti iz članka 28. stavka 3. Direktive [95/46] kako bi suspendiralo protoke podataka ili je upotreba tih ovlasti ograničena samo na iznimne slučajeve, s obzirom na uvodnu izjavu 11. [Odluke 2010/87], ili [nadzorno] tijelo može diskrecijski odlučiti da neće suspendirati protoke podataka? 9. (a) Za potrebe članka 25. stavka 6. Direktive [95/46], čini li Odluka [o sustavu zaštite privatnosti] utvrđenje opće primjene koje obvezuje [nadzorna tijela] i sudove država članica da smatraju da [SAD] u svojim propisima ili na temelju međunarodnih obveza koje [je] preuze[o osigurava] odgovarajuću razinu zaštite u smislu članka 25. stavka 2. Direktive [95/46]? (b) Ako ne čini, koliko je Odluka o sustavu zaštite privatnosti relevantna, ako je uopće relevantna, u ocjeni dostatnosti jamstava predviđenih u pogledu podataka koji se u [SAD] prenose na temelju Odluke [2010/87]? 10. S obzirom na utvrđenja High Courta (Visoki sud) u pogledu prava [SAD‑a], znači li uspostava mehanizma pravobranitelja za zaštitu podataka na temelju [Priloga III A] Odluci o sustavu zaštite privatnosti, kada ju se promatra u vezi s postojećim uređenjem u [SAD‑u], da [SAD] osobama čiji se [osobni] podaci prenose u [SAD] na temelju Odluke [2010/87 osigurava] pravni lijek koji je u skladu s člankom 47. Povelje? 11. Povrjeđuje li se [Odlukom 2010/87] članak 7. i/ili članak 8. i/ili članak 47. Povelje?”

77. DPC, Facebook Ireland, M. Schrems, vlada SAD‑a, EPIC, BSA, Digitaleurope, Irska, belgijska, češka, njemačka, nizozemska, austrijska, poljska i portugalska vlada te vlada Ujedinjene Kraljevine, Europski parlament i Komisija podnijeli su pisana očitovanja Sudu. DPC, Facebook Ireland, M. Schrems, vlada SAD‑a, EPIC, BSA, Digitaleurope, Irska, njemačka, francuska, nizozemska i austrijska vlada te vlada Ujedinjene Kraljevine, Parlament, Komisija i Europski odbor za zaštitu podataka (European Data Protection Board; u daljnjem tekstu: EOZP) 9. srpnja 2019. bili su zastupani na raspravi.

IV. Analiza

A. Uvodna razmatranja

78. Nakon što je Sud u presudi Schrems proglasio nevaljanom Odluku o privatnosti „sigurne luke”, prijenosi osobnih podataka u SAD nastavili su se na drugim pravnim temeljima. Konkretno, društva za izvoz podataka mogla su sklapati ugovore s uvoznicima podataka koji su uključivali standardne klauzule koje je sastavila Komisija. Te klauzule također služe kao pravni temelj za prijenose u brojne druge treće zemlje u pogledu kojih Komisija nije donijela odluku o primjerenosti ( 25 ). Odlukom o sustavu zaštite privatnosti sada se poduzetnicima koji su samocertificirali pridržavanje načela navedenih u toj odluci omogućuje prijenos osobnih podataka u SAD bez drugih formalnosti.

79. Kao što se to izričito navodi u odluci kojom se upućuje zahtjev za prethodnu odluku i kao što su to istaknuli BSA, Digitaleurope, Irska, austrijska i francuska vlada, Parlament i Komisija, glavni postupak koji je u tijeku pred High Courtom (Visoki sud) ima za jedini cilj utvrditi valjanost odluke kojom je Komisija uvela standardne ugovorne klauzule istaknute u prilog prijenosima na koje se odnosi pritužba M. Schremsa, odnosno Odluke 2010/87 ( 26 ).

80. Taj spor proizlazi iz pritužbe kojom je DPC od suda koji je uputio zahtjev tražio da uputi Sudu prethodno pitanje u pogledu valjanosti Odluke 2010/87. Taj sud tvrdi da se glavni postupak stoga odnosi na podnošenje pravnog lijeka čije je uvođenje Sud naložio državama članicama u točki 65. presude Schrems.

81. Podsjećam da je Sud u točki 63. te presude odlučio da nadzorno tijelo mora sa svom dužnom pažnjom ispitati pritužbu u okviru koje određena osoba, čiji su osobni podaci preneseni ili mogli biti preneseni u treću zemlju na koju se odnosi odluka o primjerenosti, osporava usklađenost te odluke s temeljnim pravima koja su zajamčena Poveljom. U skladu s točkom 65. navedene presude, u slučaju kada to tijelo smatra da su prigovori istaknuti u toj pritužbi osnovani, to isto tijelo mora u skladu s člankom 28. stavkom 3. prvim podstavkom trećom alinejom Direktive 95/46 (koja odgovara članku 58. stavku 5. GDPR‑a), povezano osobito s člankom 8. stavkom 3. Povelje, imati ovlasti za sudjelovanje u sudskim postupcima. U tom pogledu, nacionalni zakonodavac treba utvrditi pravne lijekove koji omogućuju isticanje tih prigovora pred nacionalnim sudovima kako bi oni mogli, ako se slažu s dvojbama navedenog tijela, podnijeti zahtjev za prethodnu odluku u pogledu valjanosti predmetne odluke.

82. Kao i sud koji je uputio zahtjev, smatram da se ti zaključci po analogiji primjenjuju kada povodom obrade pritužbe podnesene nadzornom tijelu, to tijelo ne dvoji o valjanosti odluke o primjerenosti, nego odluke, kao što je Odluka 2010/87, kojom se utvrđuju standardne ugovorne klauzule za prijenos osobnih podataka u treće zemlje. Protivno onomu što navodi njemačka vlada, nije relevantno što te dvojbe odgovaraju prigovorima koje mu je podnio podnositelj pritužbe ili što to tijelo samo dovodi u pitanje valjanost predmetne odluke. Naime, zahtjevi iz članka 58. stavka 5. GDPR‑a i članka 8. stavka 3. Povelje, na kojima se temelji obrazloženje Suda, primjenjuju se neovisno o pravnom temelju prijenosa na koji se odnosi pritužba podnesena nadzornom tijelu i razlozima zbog kojih to tijelo dvoji o valjanosti predmetne odluke u okviru obrade te pritužbe.

83. Unatoč tomu, DPC je od suda koji je uputio zahtjev zatražio da pita Sud o valjanosti Odluke 2010/87 upravo zato što smatra da je u tom pogledu pojašnjenje Suda potrebno za odlučivanje o pritužbi kojom M. Schrems od njega traži da izvrši ovlast, koja mu je bila povjerena člankom 28. stavkom 3. drugom alinejom Direktive 95/46 i koju sada ima na temelju članka 58. stavka 2. točke (f) GDPR‑a, i obustavi da Facebook Ireland prenosi Facebooku Inc. osobne podatke koji se odnose na njega.

84. Stoga, dok se glavni postupak odnosi samo na valjanost in abstracto Odluke 2010/87, postupak iz kojeg proizlazi taj postupak i koji je u tijeku pred DPC‑om odnosi se na njegovo izvršavanje ovlasti donošenja korektivnih mjera u konkretnom slučaju. Predložit ću Sudu da postavljena pitanja ispita samo koliko je potrebno da bi se odlučilo o valjanosti Odluke 2010/87 jer će takvo ispitivanje biti dovoljno kako bi sud koji je uputio zahtjev mogao riješiti spor koji se pred njim vodi ( 27 ).

85. Prije ocjene valjanosti te odluke, treba odbiti određene prigovore istaknute u pogledu dopuštenosti zahtjeva za prethodnu odluku.

B. Dopuštenost zahtjeva za prethodnu odluku

86. Dopuštenost zahtjeva za prethodnu odluku osporavana je iz nekoliko razloga koji se u biti odnose na neprimjenjivost ratione temporis Direktive 95/46 iz prethodnih pitanja (dio 1), na činjenicu da postupak pred DPC‑om nije u dovoljno uznapredovaloj fazi da bi se opravdala njegova korisnost (dio 2) i na daljnje neizvjesnosti u pogledu činjeničnog okvira koji je opisao sud koji je uputio zahtjev (dio 3).

87. Na te ću argumente o postojanju zapreke vođenju postupka odgovoriti uzimajući u obzir pretpostavku relevantnosti koja se primjenjuje na pitanja upućena Sudu na temelju članka 267. UFEU‑a. Prema ustaljenoj sudskoj praksi, Sud može odbiti odlučivati o zahtjevu za prethodnu odluku samo ako je očito da zatraženo tumačenje prava Unije nema nikakve veze s činjeničnim stanjem ili predmetom spora u glavnom postupku, ako je problem hipotetski ili ako Sud ne raspolaže činjeničnim i pravnim elementima potrebnima za davanje korisnog odgovora na upućena pitanja ( 28 ).

1. Primjenjivost ratione temporis Direktive 95/46

88. Facebook Ireland ističe da su prethodna pitanja nedopuštena jer se u njima upućuje na Direktivu 95/46, iako je ta direktiva stavljena izvan snage i zamijenjena GDPR‑om s učinkom od 25. svibnja 2018. ( 29 ).

89. Slažem se sa stajalištem prema kojem valjanost Odluke 2010/87 treba ispitati s obzirom na odredbe GDPR‑a.

90. U skladu s člankom 94. stavkom 2. te uredbe, „[u]pućivanja na direktivu koja je stavljena izvan snage tumače se kao upućivanja na [navedenu uredbu]”. Čini mi se da iz toga proizlazi da Odluku 2010/87, u dijelu u kojem se u njoj kao pravni temelj navodi članak 26. stavak 4. Direktive 95/46, treba shvatiti kao da se u njoj upućuje na članak 46. stavak 2. točku (c) GDPR‑a u kojem je u biti preuzet njegov sadržaj ( 30 ). Prema tome, provedbene odluke koje je Komisija donijela na temelju članka 26. stavka 4. Direktive 95/46 prije stupanja na snagu GDPR‑a treba tumačiti s obzirom na tu uredbu. Njihovu valjanost treba također, ako je potrebno, ocijeniti s obzirom na navedenu uredbu.

91. Taj se zaključak ne dovodi u pitanje sudskom praksom prema kojoj zakonitost akta Unije treba ocijeniti u skladu s činjeničnim i pravnim elementima koji su postojali na dan kada je taj akt donesen. Naime, ta se sudska praksa odnosi na ispitivanje valjanosti akta Unije s obzirom na činjenične okolnosti koje su bile relevantne prilikom njegova donošenja ( 31 ) ili na postupovna pravila kojima je uređeno njegovo donošenje ( 32 ). Suprotno tomu, Sud je više puta ispitao valjanost akata sekundarnog prava s obzirom na viša materijalna pravna pravila koja su na bila na snazi nakon donošenja tih akata ( 33 ).

92. Međutim, iako navođenje, u tekstu prethodnih pitanja, akta koji više nije primjenjiv ratione temporis opravdava preoblikovanje tih pitanja, ono ne može dovesti do njihove nedopuštenosti ( 34 ). Kao što su to tvrdili DPC i M. Schrems, upućivanja na Direktivu 95/46 u tekstu prethodnih pitanja mogu se uostalom objasniti vremenskim okvirom postupka u ovom predmetu, pri čemu su ta pitanja upućena Sudu prije stupanja na snagu GDPR‑a.

93. U svakom slučaju, u odredbama GDPR‑a koje ću ispitati u svrhu analize prethodnih pitanja, odnosno konkretno u njezinim člancima 45., 46. i 58., u biti je preuzet, uz neke dopune i manje izmjene, sadržaj članaka 25., 26. i 28. Direktive 95/46. Što se tiče njihovih aspekata relevantnih za odlučivanje o valjanosti Odluke 2010/87, ne vidim nijedan razlog iz kojeg bi se tim odredbama GDPR‑a dao drukčiji doseg u odnosu na odgovarajuće odredbe Direktive 95/46 ( 35 ).

2. Privremenost dvojbi koje je izrazio DPC

94. Prema mišljenju njemačke vlade, zahtjev za prethodnu odluku nedopušten je jer postupak povodom pravnog sredstva iz točke 65. presude Schrems podrazumijeva da nadzorno tijelo iznese konačno mišljenje o osnovanosti prigovora koje je podnositelj pravnog sredstva istaknuo protiv valjanosti predmetne odluke. To ovdje nije slučaj jer je DPC izrazio dvojbe u pogledu valjanosti Odluke 2010/87, koju M. Schrems osim toga ne osporava, u nacrtu odluke koji je donesen privremeno ne dovodeći u pitanje dodatna očitovanja koja će eventualno podnijeti Facebook Ireland i M. Schrems.

95. Prema mojem mišljenju, privremenost dvojbi koje je izrazio DPC ne utječe na dopuštenost zahtjeva za prethodnu odluku. Naime, kriterije dopuštenosti prethodnog pitanja treba ocijeniti s obzirom na predmet spora kako ga je definirao sud koji je uputio zahtjev ( 36 ). Međutim, nesporno je da je predmet spora valjanost Odluke 2010/87. U skladu s odlukom kojom se upućuje zahtjev za prethodnu odluku i presudom koja joj je priložena, taj je sud smatrao da su dvojbe koje je izrazio DPC, a da pritom nije važno jesu li one bile privremene ili konačne, osnovane te je posljedično pitao Sud o valjanosti te odluke. U tim okolnostima, pojašnjenje Suda u tom pogledu nedvojbeno je relevantno za rješavanje spora koji je pred njim pokrenut.

3. Neizvjesnosti u pogledu utvrđivanja činjeničnog okvira

96. Vlada Ujedinjene Kraljevine tvrdi da činjenični okvir koji je opisao sud koji je uputio zahtjev ima nekoliko nedostataka koji dovode u pitanje dopuštenost prethodnih pitanja. Taj sud nije pojasnio jesu li osobni podaci koji se odnose na M. Schremsa stvarno preneseni u SAD niti, ako jesu, jesu li ih američka tijela prikupila. Nije sa sigurnošću utvrđen ni pravni temelj tih eventualnih prijenosa s obzirom na to da se u odluci kojom se upućuje zahtjev za prethodnu odluku samo navodi da su podaci europskih korisnika društvene mreže Facebook „uvelike” preneseni na temelju standardnih ugovornih klauzula predviđenih Odlukom 2010/87. U svakom slučaju, nije utvrđeno da ugovor između Facebooka Ireland i Facebooka Inc., na koji se upućuje u prilog spornom prijenosu, vjerno odražava te klauzule. Njemačka vlada također osporava dopuštenost zahtjeva za prethodnu odluku jer sud koji je uputio zahtjev nije ispitao je li M. Schrems nedvojbeno dao pristanak za predmetne prijenose, u kojem slučaju bi se ti prijenosi valjano temeljili na članku 26. stavku 1. Direktive 95/46 (čiji je sadržaj u biti preuzet u članku 49. stavku 1. točki (a) GDPR‑a).

97. Tim se argumentima nipošto ne dovodi u pitanje relevantnost zahtjeva za prethodnu odluku s obzirom na predmet glavnog postupka. Budući da je taj spor nastao tako što je DPC podnio pravno sredstvo predviđeno u točki 65. presude Schrems, sam njegov predmet odnosi se na to da se od nacionalnog suda zatraži da podnese zahtjev za prethodnu odluku u pogledu valjanosti Odluke 2010/87. Njemačka vlada i vlada Ujedinjene Kraljevine zapravo ne osporavaju nužnost prethodnih pitanja za utvrđivanje je li ta odluka valjana, nego za to da bi DPC mogao odlučiti in concreto o pritužbi M. Schremsa.

98. U svakom slučaju, prethodna pitanja o valjanosti Odluke 2010/87 nisu nerelevantna ni sa stajališta tog postupka iz kojeg proizlazi glavni postupak. Naime, sud koji je uputio zahtjev utvrdio je da je Facebook Ireland nastavio prenositi podatke svojih korisnika u SAD nakon što je Odluka o privatnosti „sigurne luke” proglašena nevaljanom i da su se ti prijenosi, barem djelomično, temeljili na Odluci 2010/87. Usto, iako može predstavljati prednost to da su sve relevantne činjenice utvrđene prije nego što je izvršio nadležnost na temelju članka 267. UFEU‑a, na samom je sudu koji je uputio zahtjev da ocijeni u kojoj mu fazi postupka treba prethodna odluka Suda ( 37 ).

99. S obzirom na sve prethodno navedeno, smatram da je zahtjev za prethodnu odluku dopušten.

C. Primjenjivost prava Unije na prijenose u komercijalne svrhe osobnih podataka u treću državu koja bi ih mogla obraditi za potrebe nacionalne sigurnosti (prvo pitanje)

100. Svojim prvim pitanjem sud koji je uputio zahtjev želi znati primjenjuje li se pravo Unije na prijenos osobnih podataka koji provodi društvo koje se nalazi u državi članici u korist društva sa sjedištem u trećoj zemlji iz komercijalnih razloga kada, nakon što je prijenos započet, javna tijela te zemlje mogu obraditi podatke u svrhu, među ostalim, zaštite nacionalne sigurnosti.

101. To je pitanje važno za rješavanje glavnog postupka jer bi se, ako takav prijenos ne bi bio obuhvaćen područjem primjene prava Unije, pokazalo da su svi prigovori istaknuti protiv valjanosti Odluke 2010/87 u ovom predmetu neutemeljeni.

102. Kao što je to napomenuo sud koji je uputio zahtjev, obrade podataka čiji je cilj nacionalna sigurnost isključene su iz područja primjene Direktive 95/46 na temelju njezina članka 3. stavka 2. Člankom 2. stavkom 2. GDPR‑a sada se pojašnjava da se ta uredba ne primjenjuje, među ostalim, na obradu podataka tijekom djelatnosti koja nije obuhvaćena opsegom prava Unije ili koju obavljaju nadležna tijela u svrhu zaštite javne sigurnosti. Te odredbe održavaju pridržaj ovlasti koji se člankom 4. stavkom 2. UEU‑a priznaje državama članicama u području zaštite nacionalne sigurnosti.

103. DPC, M. Schrems, Irska, njemačka, austrijska, belgijska, češka, nizozemska, poljska i portugalska vlada, kao i Parlament i Komisija tvrde da prijenosi kao što su oni na koje se odnosi pritužba M. Schremsa nisu obuhvaćeni tim odredbama i da su stoga obuhvaćeni područjem primjene prava Unije. Facebook Ireland zagovara suprotnu tezu. Ja se slažem s prvonavedenim stajalištem.

104. U tom pogledu, važno je istaknuti da je prijenos osobnih podataka iz države članice u treću zemlju, kao takav, „obrada” u smislu članka 4. točke 2. GDPR‑a koja je provedena na državnom području države članice ( 38 ). Cilj je prvog prethodnog pitanja upravo utvrditi primjenjuje li se pravo Unije na obradu koja obuhvaća sam prijenos. To se pitanje ne odnosi na primjenjivost prava Unije na eventualne kasnije obrade koje američka tijela provode u svrhu nacionalne sigurnosti u pogledu podataka prenesenih u SAD, koje nisu obuhvaćene teritorijalnim područjem primjene GDPR‑a ( 39 ).

105. S tog stajališta, u svrhu utvrđivanja primjenjuje li se pravo Unije na predmetni prijenos podataka jedino treba uzeti u obzir aktivnost u okviru koje se provodi taj prijenos a da pritom nije važan cilj eventualnih kasnijih obrada podataka koje su javna tijela prenijela u treću zemlju odredišta ( 40 ).

106. Međutim, iz odluke kojom se upućuje zahtjev za prethodnu odluku proizlazi da je prijenos na koji se odnosi pritužba M. Schremsa dio komercijalne aktivnosti. Usto, taj prijenos nije proveden kako bi se američkim tijelima omogućilo da kasnije obrade predmetne podatke u svrhu nacionalne sigurnosti.

107. Uostalom, pristupom koji predlaže Facebook Ireland oduzeo bi se koristan učinak odredbama GDPR‑a koje se odnose na prijenos u treće zemlje jer se nikad ne može isključiti da će se podaci preneseni u okviru komercijalne aktivnosti obraditi u svrhu nacionalne sigurnosti nakon prijenosa.

108. Tumačenje koje predlažem potkrijepljeno je tekstom članka 45. stavka 2. točke (a) GDPR‑a. U toj se odredbi navodi da, prilikom donošenja odluke o primjerenosti, Komisija među ostalim uzima u obzir zakonodavstvo treće zemlje u pogledu nacionalne sigurnosti. Iz toga se može zaključiti da to što tijela treće zemlje odredišta mogu obrađivati podatke u svrhu zaštite nacionalne sigurnosti ne znači da je pravo Unije neprimjenjivo na obradu koja obuhvaća prijenos podataka u tu treću zemlju.

109. Rasuđivanje i zaključci koje je Sud donio u presudi Schrems temelje se također na toj pretpostavci. Konkretno, Sud je u toj presudi ispitao valjanost Odluke o privatnosti „sigurne luke” jer se ta odluka odnosila na prijenose osobnih podataka iz SAD‑a u kojem su mogli biti prikupljeni i obrađeni u svrhu zaštite nacionalne sigurnosti, u smislu članka 25. stavka 6. Direktive 95/46, u vezi s Poveljom ( 41 ).

110. S obzirom na ta razmatranja, smatram da se pravo Unije primjenjuje na prijenos osobnih podataka iz države članice u treću zemlju kada je taj prijenos obuhvaćen komercijalnom aktivnošću a da pritom nije važno da javna tijela te treće zemlje prenesene podatke mogu obraditi radi zaštite nacionalne sigurnosti.

D. Razina zaštite koja je potrebna u okviru prijenosa koji se temelji na standardnim ugovornim klauzulama (prvi dio šestog pitanja)

111. U skladu s prvim dijelom šestog pitanja, sud koji je uputio zahtjev želi znati koju razinu zaštite temeljnih prava ispitanika treba osigurati kako bi se osobni podaci mogli prenijeti u treću zemlju na temelju standardnih ugovornih klauzula predviđenih u Odluci 2010/87.

112. Taj sud ističe da je Sud u presudi Schrems protumačio članak 25. stavak 6. Direktive 95/46 (čiji je sadržaj u biti preuzet u članku 45. stavku 3. GDPR‑a), u dijelu u kojem se predviđa da Komisija može donijeti odluku o primjerenosti tek nakon što se uvjeri da dotična treća zemlja jamči odgovarajuću razinu zaštite, na način da se njime podrazumijeva da Komisija utvrdi da ta zemlja osigurava razinu zaštite temeljnih prava i sloboda koja je bitno ekvivalentna onoj zaštiti koja se jamči u okviru Unije na temelju te direktive, tumačene s obzirom na Povelju ( 42 ).

113. U tom kontekstu, prvim dijelom šestog prethodnog pitanja od Suda se traži da utvrdi treba li primjena „standardnih ugovornih klauzula” koje je Komisija donijela u skladu s člankom 26. stavkom 4. Direktive 95/46 – koje odgovaraju „standardnim klauzulama o zaštiti” sada spomenutima u članku 46. stavku 2. točki (c) GDPR‑a – omogućiti postizanje razine zaštite koja odgovara istom standardu „bitne ekvivalentnosti”.

114. U tom pogledu, člankom 46. stavkom 1. GDPR‑a predviđa se da, ako nije donesena odluka o primjerenosti, voditelj obrade trećoj zemlji osobne podatke može prenijeti „samo ako je voditelj obrade […] predvidio odgovarajuće zaštitne mjere i pod uvjetom da su ispitanicima na raspolaganju provediva prava i učinkoviti pravni lijekovi” (moje isticanje) ( 43 ). U skladu s člankom 46. stavkom 2. točkom (c) GDPR‑a, te zaštitne mjere mogu, među ostalim, proizlaziti iz standardnih klauzula o zaštiti koje je sastavila Komisija.

115. Kao i DPC, M. Schrems i Irska, smatram da se „odgovarajućim zaštitnim mjerama” koje nudi voditelj obrade i na koje se upućuje u članku 46. stavku 1. GDPR‑a treba osigurati da se na prava osoba čiji se podaci prenose primjenjuje, kao u okviru prijenosa koji se temelji na odluci o primjerenosti, razina zaštite koja je bitno ekvivalentna razini zaštite koja proizlazi iz GDPR‑a, s obzirom na Povelju.

116. Taj zaključak proizlazi iz cilja te odredbe i instrumenta čiji je dio.

117. Članci 45. i 46. GDPR‑a imaju za cilj osigurati kontinuirano visoku razinu zaštite osobnih podataka koja se osigurava tom uredbom kada se ti podaci prenose izvan Unije. Naime, člankom 44. GDPR‑a, naslovljenim „Opća načela prijenosa”, započinje poglavlje V. koje se odnosi na prijenose trećim zemljama, pri čemu se navodi da se sve odredbe iz tog poglavlja primjenjuju kako bi se osiguralo da se ne ugrozi razina zaštite zajamčena GDPR‑om u slučaju prijenosa trećoj državi ( 44 ). Tim se pravilom nastoji izbjeći da se standardi zaštite koji proizlaze iz prava Unije zaobiđu prenošenjem osobnih podataka u treću zemlju kako bi ih se ondje obradilo ( 45 ). S obzirom na taj cilj, nije važno temelji li se prijenos na odluci o primjerenosti ili na zaštitnim mjerama koje nudi voditelj obrade, osobito s pomoću ugovornih klauzula. Zahtjevi zaštite temeljnih prava zajamčenih Poveljom ne razlikuju se ovisno o pravnom temelju određenog prijenosa ( 46 ).

118. Suprotno tomu, način na koji se osigurava kontinuirano visoka razina zaštite razlikuje se ovisno o pravnom temelju prijenosa.

119. S jedne strane, cilj je odluke o primjerenosti utvrditi da sama dotična treća zemlja osigurava razinu zaštite koja je bitno ekvivalentna razini zaštite koja se mora postići u okviru prava Unije. Donošenje odluke o primjerenosti podrazumijeva da Komisija prethodno procijeni, za određenu treću zemlju, razinu zaštite koja se jamči pravom i praksama te treće zemlje s obzirom na čimbenike navedene u članku 45. stavku 3. GDPR‑a. Osobni podaci zatim se mogu prenijeti u navedenu treću zemlju a da voditelj obrade ne treba dobiti posebno odobrenje.

120. S druge strane, kao što je detaljnije izneseno u sljedećem odjeljku, odgovarajuće zaštitne mjere koje nudi voditelj obrade imaju za cilj osigurati visoku razinu zaštite u slučaju da zaštitne mjere dostupne u trećoj zemlji odredišta nisu dostatne. Stoga, iako se člankom 46. stavkom 1. GDPR‑a omogućuje da se osobni podaci prenose u treće zemlje koje ne osiguravaju primjerenu razinu zaštite, tom se odredbom takvi prijenosi odobravaju samo kada se odgovarajuće zaštitne mjere pružaju na druge načine. Standardne ugovorne klauzule koje je donijela Komisija u tom pogledu čine opći mehanizam primjenjiv na prijenose neovisno o trećoj zemlji odredišta i razini zaštite koja se ondje osigurava.

E. Valjanost Odluke 2010/87 s obzirom na članke 7., 8. i 47. Povelje (sedmo, osmo i jedanaesto pitanje)

121. Sedmim pitanjem sud koji je uputio zahtjev u biti pita je li Odluka 2010/87 nevaljana jer se njome ne obvezuju tijela trećih država u koje su podaci preneseni na temelju standardnih ugovornih klauzula predviđenih u prilogu toj odluci i, konkretno, jer ih ona ne sprečava da od uvoznika zahtijevaju da im te podatke stavi na raspolaganje. Stoga se tim pitanjem dovodi u pitanje sama mogućnost osiguravanja primjerene razine zaštite takvih podataka primjenom isključivo ugovornih mehanizama. Jedanaesto pitanje odnosi se općenitije na valjanost Odluke 2010/87 s obzirom na članke 7., 8. i 47. Povelje.

122. Osmim se pitanjem od Suda traži da utvrdi je li nadzorno tijelo dužno izvršiti ovlasti koje su mu povjerene člankom 58. stavkom 2. točkama (f) i (j) GDPR‑a kako bi obustavio prijenos u treću zemlju koji se temelji na standardnim ugovornim klauzulama predviđenim Odlukom 2010/87 kada smatra da uvoznik podataka u toj zemlji ima obveze koje ga sprečavaju da poštuje te klauzule i imaju za učinak da se ne osigurava odgovarajuća zaštita prenesenih podataka. Budući da odgovor na to pitanje, prema mojem mišljenju, utječe na valjanost Odluke 2010/87 ( 47 ), razmatram ga zajedno sa sedmim i jedanaestim pitanjem.

123. U tekstu članka 46. stavka 1. GDPR‑a, u dijelu u kojem se predviđa da, „[a]ko nije donesena odluka na temelju članka 45. stavka 3., voditelj obrade ili izvršitelj obrade trećoj zemlji […] osobne podatke mogu prenijeti samo ako je voditelj obrade ili izvršitelj obrade predvidio odgovarajuće zaštitne mjere” (moje isticanje), ističe se logika iz koje proizlaze ugovorni mehanizmi kao što su oni predviđeni Odlukom 2010/87. Kao što se to naglašava u uvodnim izjavama 108. i 114. GDPR‑a, ti mehanizmi imaju za cilj omogućiti prijenose u treće zemlje za koje Komisija nije donijela odluke o primjerenosti, pri čemu se eventualni nedostaci zaštite koja se osigurava pravnim poretkom te treće zemlje tada nadomještaju zaštitnim mjerama koje se izvoznik i uvoznik podataka ugovorno obvezuju poštovati.

124. Budući da je svrha ugovornih zaštitnih mjera upravo nadoknaditi moguće nedostatke u zaštiti koju nude treće zemlje odredišta, neovisno o tome o kojim je nedostacima riječ, valjanost odluke kojom Komisija utvrđuje da se određenim standardnim klauzulama primjereno popunjavaju ti nedostaci ne može ovisiti o razini zaštite koja se pruža u svakoj od trećih zemalja u koje je moguće prenijeti podatke. Valjanost takve odluke ovisi samo o jačini zaštitnih mjera koje se predviđaju tim klauzulama radi nadoknađivanja eventualne nedostatne zaštite u trećoj zemlji odredišta. Djelotvornost tih zaštitnih mjera treba ocijeniti uzimajući u obzir i zaštitne mjere koje obuhvaćaju ovlasti nadzornih tijela na temelju članka 58. stavka 2. GDPR‑a.

125. U tom pogledu, kao što su to u biti istaknuli DPC, M. Schrems, BSA, Irska, austrijska, francuska, poljska i portugalska vlada, kao i Komisija, zaštitne mjere koje sadržavaju standardne ugovorne klauzule mogu se umanjiti ili čak poništiti kada se pravom treće zemlje odredišta uvozniku nameću obveze koje su suprotne onomu što se zahtijeva tim klauzulama. Stoga se pravnim kontekstom u trećoj zemlji odredišta može, ovisno o konkretnim okolnostima prijenosa ( 48 ), onemogućiti izvršenje obveza predviđenih tim klauzulama.

126. U tim okolnostima, kao što su to naglasili M. Schrems i Komisija, ugovorni mehanizam predviđen u članku 46. stavku 2. točki (c) GDPR‑a temelji se na davanju odgovornosti izvozniku, kao i, podredno, nadzornim tijelima. Voditelj obrade ili, ako on ne postoji, nadzorno tijelo, ispitat će u svakom slučaju zasebno, za svaki pojedinačni prijenos, sprečava li se pravom treće zemlje odredišta izvršenje standardnih klauzula i stoga odgovarajuća zaštita prenesenih podataka na način da je prijenose potrebno zabraniti ili obustaviti.

127. S obzirom na ta očitovanja, smatram da sama činjenica da tijela treće zemlje odredišta nisu obvezane Odlukom 2010/87 i standardnim ugovornim klauzulama koje ta odluka sadržava ne podrazumijeva da je navedena odluka nevaljana. Usklađenost Odluke 2010/87 s člancima 7., 8. i 47. Povelje ovisi, prema mojem mišljenju, o tome postoje li dovoljno snažni mehanizmi kojima se može osigurati da se prijenosi koji se temelje na standardnim ugovornim klauzulama obustave ili zabrane u slučaju povrede tih klauzula ili nemogućnosti njihova ispunjavanja.

128. U tom pogledu, člankom 46. stavkom 1. GDPR‑a predviđa se da je prijenos koji se temelji na odgovarajućim zaštitnim mjerama moguć samo „pod uvjetom da su ispitanicima na raspolaganju provediva prava i učinkoviti pravni lijekovi”. Valjat će provjeriti može li se na temelju zaštitnih mjera koje su predviđene klauzulama iz Priloga Odluci 2010/87, koje su dopunjene ovlastima nadzornih tijela, osigurati poštovanje tog uvjeta. Prema mojem mišljenju, to je slučaj samo ako postoji obveza koju imaju voditelji obrade (dio 1) i, ako oni ne djeluju, nadzorna tijela (dio 2) da obustave ili zabrane prijenos kada, zbog sukoba između obveza koje proizlaze iz standardnih klauzula i obveza propisanim pravom treće zemlje odredišta, te klauzule nije moguće poštovati.

1. Obveze koje imaju voditelji obrade

129. Kao prvo, standardnim ugovornim klauzulama iz Priloga Odluci 2010/87 zahtijeva se da se u slučaju sukoba između obveza koje se njima predviđaju i zahtjeva koji proizlaze iz prava treće zemlje odredišta, na te klauzule ne poziva u prilog prijenosu u tu treću zemlju ili, ako je prijenos već započet na temelju navedenih klauzula, da se izvoznika obavijesti o tom sukobu i da on može obustaviti taj prijenos.

130. Stoga, na temelju klauzule 5. točke (a), uvoznik se obvezuje da će prenesene osobne podatke obraditi jedino u korist izvoznika te u skladu s njegovim uputama i standardnim ugovornim klauzulama. Ako uvoznik ne može postupiti u skladu s tim klauzulama, suglasan je da o tome odmah obavijesti izvoznika, te u tom slučaju izvoznik ima pravo obustaviti prijenos i/ili prekinuti ugovor ( 49 ).

131. U bilješci 5. koja se odnosi na klauzulu 5. pojašnjava se da standardne klauzule nisu povrijeđene kada uvoznik ispunjava obvezne zahtjeve nacionalnog zakonodavstva koje se na njega primjenjuje u trećoj zemlji, pod uvjetom da ti zahtjevi ne nadilaze neophodno u demokratskom društvu kako bi se zaštitio jedan od interesa navedenih u članku 13. stavku 1. Direktive 95/46 (čiji je sadržaj u bitnome preuzet u članku 23. stavku 1. GDPR‑a), među kojima su nacionalna i državna sigurnost. U obrnutom slučaju, nepoštovanje tih klauzula kako bi se ispunila suprotna obveza koja se temelji na pravu treće zemlje odredišta koja prekoračuje ono što je proporcionalno za zaštitu legitimnog interesa koji priznaje Unija smatra se povredom navedenih klauzula.

132. Prema mojem mišljenju, kao što su to tvrdili M. Schrems i Komisija, klauzula 5. točka (a) ne može se tumačiti na način da su obustava prijenosa ili prekid ugovora samo opcionalni u slučaju da uvoznik ne može poštovati standardne klauzule. Iako se u toj klauzuli navodi samo pravo koje u tom smislu ima izvoznik, taj tekst treba shvatiti kao upućivanje na ugovorni okvir kojim je obuhvaćen. Činjenicom da izvoznik ima pravo, u bilateralnim odnosima s uvoznikom, obustaviti prijenos ili prekinuti ugovor kada taj uvoznik ne može poštovati standardne klauzule ne dovodi se u pitanje obveza izvoznika da tako postupi s obzirom na zahtjeve zaštite prava ispitanika koji proizlaze iz GDPR‑a. Svako drugo tumačenje dovelo bi do nevaljanosti Odluke 2010/87 u dijelu u kojem se standardnim ugovornim klauzulama koje se tom odlukom predviđaju ne omogućuje da se prijenos izvrši uz „odgovarajuće zaštitne mjere” kao što se to zahtijeva člankom 46. stavkom 1. GDPR‑a, s obzirom na odredbe Povelje ( 50 ).

133. K tomu, u skladu s klauzulom 5. točkom (b), uvoznik jamči da nema razloga za vjerovanje da ga zakonodavstvo koje se na njega primjenjuje onemogućava u ispunjavanju uputa primljenih od izvoznika i njegovih obveza prema ugovoru. U slučaju promjene u tom zakonodavstvu koja bi mogla imati bitan negativan učinak na jamstva i obveze iz standardnih klauzula, uvoznik će o promjeni odmah obavijestiti izvoznika, te u tom slučaju izvoznik ima pravo obustaviti prijenos podataka i/ili prekinuti ugovor. U skladu s klauzulom 4. točkom (g), izvoznik treba proslijediti obavijest zaprimljenu od uvoznika nadležnom nadzornom tijelu ako izvoznik odluči nastaviti s prijenosom.

134. Smatram da je ovdje potrebno iznijeti nekoliko pojašnjenja u pogledu sadržaja ispitivanja koje trebaju provesti ugovorne strane kako bi utvrdile, s obzirom na bilješku koja se odnosi na klauzulu 5., povređuju li se obvezama koje uvoznik ima na temelju prava treće države standardne klauzule i stoga sprečava li se njima to da se prijenos izvrši uz odgovarajuće zaštitne mjere. Ta je problematika u biti istaknuta u okviru drugog dijela šestog prethodnog pitanja.

135. Takvo ispitivanje podrazumijeva, prema mojem mišljenju, uzimanje u obzir svih okolnosti svakog prijenosa, među koje se mogu ubrojiti priroda podataka i njihov eventualno osjetljiv karakter, mehanizmi koje primjenjuju izvoznik i/ili uvoznik kako bi se osigurala njihova sigurnost ( 51 ), priroda i svrha obrada koje provode javna tijela treće zemlje kojima će biti izloženi podaci, načini tih obrada, kao i ograničenja i zaštitne mjere koje osigurava ta treća zemlja. Elementi koji obilježavaju aktivnosti obrade koje provode javna tijela i zaštitne mjere primjenjive u pravnom poretku navedene treće zemlje mogu se, prema mojem mišljenju, preklapati s onima iz članka 45. stavka 2. GDPR‑a.

136. Kao drugo, standardnim ugovornim klauzulama iz Priloga Odluci 2010/87 uvode se provediva prava i pravni lijekovi u korist subjekta podataka na koje se mogu pozvati protiv izvoznika i, podredno, protiv uvoznika.

137. Stoga se klauzulom 3., naslovljenom „Klauzula u korist treće strane”, u njezinu stavku 1. predviđa pravo na podnošenje pravnog lijeka koje subjekt podataka ima protiv izvoznika u slučaju povrede, među ostalim, klauzule 5. točke (a) ili (b). U skladu s klauzulom 3. stavkom 2., kada izvoznik prestane postojati ili prestane postojati pred zakonom, subjekt podataka može tu klauzulu upotrijebiti protiv uvoznika.

138. Klauzulom 6. stavkom 1. svakom se subjektu podataka koji trpi štetu kao posljedicu kršenja obveza navedenih u klauzuli 3. priznaje pravo da od izvoznika primi naknadu štete. Na temelju klauzule 7. stavka 1., uvoznik je suglasan da ako subjekt podataka protiv njega upotrijebi prava u korist treće stranke i/ili traži naknadu štete, uvoznik prihvaća odluku subjekta podataka da nezavisna osoba ili, prema potrebi, nadležna tijela upute spor na medijaciju odnosno da spor uputi sudovima u državama članicama u kojima izvoznik ima poslovni nastan.

139. Uz pravne lijekove kojima raspolažu na temelju standardnih ugovornih klauzula predviđenih u Prilogu Odluke 2010/87, ispitanici mogu, kada smatraju da su te klauzule povrijeđene, od nadzornih tijela tražiti donošenje korektivnih mjera na temelju članka 58. stavka 2. GDPR‑a, na koji se upućuje u članku 4. Odluke 2010/87 ( 52 ).

2. Obveze koje imaju nadzorna tijela

140. Zbog sljedećih razloga smatram, kao i M. Schrems, Irska, njemačka, austrijska, belgijska, nizozemska i portugalska vlada te EOZP, da se člankom 58. stavkom 2. GDPR‑a obvezuje nadzorna tijela, kada smatraju, po završetku savjesnog ispitivanja, da podaci preneseni u treću zemlju nisu primjereno zaštićeni zbog nepoštovanja dogovorenih standardnih klauzula, na poduzimanje odgovarajućih mjera za otklanjanje te nezakonitosti, po potrebi nalaganjem obustave prijenosa.

141. Kao prvo, napominjem da se, suprotno onomu što tvrdi DPC, nijedna odredba Odluke 2010/87 ne ograničava na iznimne slučajeve izvršavanja ovlasti „privremeno[g] ili konačno[g] ogranič[avanja], među ostalim zabran[e], obrad[e]” i „nare[đivanja] suspenzij[e] protoka podataka primatelju u trećoj zemlji”, kojima nadzorna tijela raspolažu na temelju članka 58. stavka 2. točaka (f) i (j) GDPR‑a.

142. Točno je da je u prvotnoj verziji članka 4. Odluke 2010/87, u njegovu stavku 1., izvršavanje ovlasti nadzornih tijela da obustave ili zabrane prekogranične protoke podataka ograničeno na određene situacije u kojima se ustanovi da je vjerojatno da prijenos na ugovornoj osnovi može imati značajan nepovoljni učinak na jamstva namijenjena zaštiti predmetne osobe. Međutim, u članku 4. te odluke, kako ju je Komisija izmijenila 2016. kako bi postupila u skladu s presudom Schrems ( 53 ), sada se samo upućuje na te ovlasti a da ih se nipošto ne ograničava. U svakom slučaju, provedbenom odlukom Komisije, kao što je Odluka 2010/87, ne mogu se valjano ograničiti ovlasti koje su nadzornim tijelima dodijeljene na temelju samog GDPR‑a ( 54 ).

143. Taj se zaključak ne dovodi u pitanje uvodnom izjavom 11. Odluke 2010/87, u kojoj se navodi da nadzorna tijela mogu izvršavati ovlasti obustave i zabrane prijenosa samo u „iznimnim slučajevima”. Ta se uvodna izjava, koja je već bila sadržana u prvotnoj verziji te odluke, odnosila na bivši članak 4. stavak 1. navedene odluke kojim su se ograničavale ovlasti nadzornih tijela. Dok je Odluka 2010/87 bila revidirana Odlukom 2016/2297 Komisija nije povukla ili izmijenila navedenu uvodnu izjavu kako bi njezin sadržaj prilagodila sadržaju novog članka 4. Međutim, u uvodnoj izjavi 5. Odluke 2016/2297 ponovno su potvrđene ovlasti nadzornih tijela da obustave ili zabrane svaki prijenos koji smatraju protivnim pravu Unije, osobito ako uvoznik ne poštuje standardne ugovorne klauzule. Uvodnu izjavu 11. Odluke 2010/87, u dijelu u kojem se njome sada proturječi tekstu i cilju pravno obvezujuće odredbe te odluke, treba smatrati zastarjelom ( 55 ).

144. Kao drugo, suprotno onomu što tvrdi i DPC, izvršavanje ovlasti obustave i zabrane iz članka 58. stavka 2. točaka (f) i (j) GDPR‑a ne predstavlja ni samu mogućnost prepuštenu diskreciji nadzornih tijela. Prema mojem mišljenju, taj zaključak proizlazi iz tumačenja članka 58. stavka 2. GDPR‑a s obzirom na druge odredbe te uredbe i Povelje, kao i iz opće strukture i ciljeva Odluke 2010/87.

145. Konkretno, članak 58. stavak 2. GDPR‑a treba tumačiti s obzirom na članak 8. stavak 3. Povelje i članak 16. stavak 2. UFEU‑a. U skladu s tim odredbama, poštovanje zahtjeva koje podrazumijeva temeljno pravo na zaštitu osobnih podataka podliježe nadzoru neovisnih tijela. Ta zadaća nadzora nad time jesu li poštovani zahtjevi koji se odnose na zaštitu osobnih podataka, koja se navodi i u članku 57. stavku 1. točki (a) GDPR‑a, uključuje obvezu nadzornih tijela da djeluju na način da osiguraju pravilnu primjenu te uredbe.

146. Stoga nadzorno tijelo mora sa svom dužnom pažnjom ispitati pritužbu koju je podnijela osoba čiji su podaci navodno preneseni u treću državu, pri čemu su povrijeđene standardne ugovorne klauzule koje se primjenjuju na prijenos ( 56 ). Člankom 58. stavkom 1. GDPR‑a u tu se svrhu nadzornim tijelima povjeravaju znatne istražne ovlasti ( 57 ).

147. Nadležno nadzorno tijelo također je dužno na odgovarajući način reagirati na eventualne povrede prava ispitanika koje utvrdi nakon istrage. U tom pogledu, svako nadzorno tijelo, na temelju članka 58. stavka 2. GDPR‑a, raspolaže širokim rasponom sredstava, odnosno raznim ovlastima donošenja korektivnih mjera navedenim u toj odredbi, za provedbu zadaće koja mu je povjerena ( 58 ).

148. Iako je odabir na