GENERALINIO ADVOKATO

HENRIK SAUGMANDSGAARD ØE IŠVADA,

pateikta 2019 m. gruodžio 19 d. ( 1 )

Byla C‑311/18

Data Protection Commissioner

prieš

Facebook Ireland Limited,

Maximilian Schrems,

dalyvaujant:

The United States of America,

Electronic Privacy Information Centre,

BSA Business Software Alliance, Inc.,

Digitaleurope

(High Court (Aukštasis Teismas, Airija) pateiktas prašymas priimti prejudicinį sprendimą)

„Prašymas priimti prejudicinį sprendimą – Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas (ES) 2016/679 – 2 straipsnio 2 dalis – Taikymo sritis – Asmens duomenų perdavimas komerciniais tikslais į Jungtines Amerikos Valstijas – Jungtinių Amerikos Valstijų valdžios institucijų atliekamas perduotų duomenų tvarkymas nacionalinio saugumo tikslais – 45 straipsnis – Trečiojoje šalyje užtikrinamo apsaugos lygio tinkamumo vertinimas – 46 straipsnis – Duomenų valdytojo užtikrinamos tinkamos apsaugos priemonės – Standartinės apsaugos sąlygos – 58 straipsnio 2 dalis – Nacionalinių priežiūros institucijų įgaliojimai – Sprendimas 2010/87/ES – Galiojimas – Įgyvendinimo sprendimas (ES) 2016/1250 – JAV ir ES „privatumo skydas“ – Galiojimas – Europos Sąjungos pagrindinių teisių chartijos 7, 8 ir 47 straipsniai“

Turinys

I. Įvadas II. Teisinis pagrindas A. Direktyva 95/46/EB B. BDAR C. Sprendimas 2010/87 D. Sprendimas dėl „privatumo skydo“ III. Pagrindinė byla, prejudiciniai klausimai ir procesas Teisingumo Teisme IV. Analizė A. Įvadinės pastabos B. Dėl prašymo priimti prejudicinį sprendimą priimtinumo 1. Dėl Direktyvos 95/46 taikytinumo „ratione temporis“ 2. Dėl DPC išreikštų abejonių negalutinio pobūdžio 3. Dėl neaiškumų, susijusių su faktinių aplinkybių nustatymu C. Dėl Sąjungos teisės taikytinumo asmens duomenų perdavimui komerciniais tikslais į trečiąją valstybę, kuri gali juos tvarkyti nacionalinio saugumo tikslais (pirmasis klausimas) D. Dėl apsaugos lygio, reikalaujamo perduodant duomenis remiantis standartinėmis sutarčių sąlygomis (šeštojo prejudicinio klausimo pirma dalis) E. Dėl Sprendimo 2010/87 galiojimo atsižvelgiant į Chartijos 7, 8 ir 47 straipsnius (septintasis, aštuntasis ir vienuoliktasis prejudiciniai klausimai) 1. Dėl duomenų valdytojams tenkančių įpareigojimų 2. Dėl priežiūros institucijoms tenkančių įpareigojimų F. Dėl būtinybės atsakyti į kitus prejudicinius klausimus ir nagrinėti sprendimo dėl „privatumo skydo“ galiojimą nebuvimo 1. Dėl to, kad Teisingumo Teismo atsakymai nėra reikalingi, atsižvelgiant į pagrindinės bylos dalyką 2. Dėl priežasčių, kodėl Teisingumo Teismas, nagrinėdamas šią bylą, neturėtų atsižvelgti į DPC vykdomos procedūros dalyką G. Papildomos pastabos, susijusios su sprendimo dėl „privatumo skydo“ padariniais ir galiojimu 1. Dėl sprendimo dėl „privatumo skydo“ poveikio, priežiūros institucijai nagrinėjant skundą dėl sutartinėmis garantijomis grindžiamo duomenų perdavimo teisėtumo 2. Dėl sprendimo dėl „privatumo skydo“ galiojimo a) Patikslinimai, susiję su sprendimo dėl tinkamumo galiojimo analizės turiniu 1) Dėl lyginimo sąlygų, leidžiančių įvertinti, ar apsaugos lygis yra „iš esmės toks pats“ 2) Dėl būtinybės užtikrinti tinkamą duomenų apsaugos lygį duomenų perdavimo etapu 3) Dėl atsižvelgimo į Komisijos ir prašymą priimti prejudicinį sprendimą pateikusio teismo konstatuotas faktines aplinkybes, susijusias su JAV teise 4) Dėl „esminio tapatumo“ reikalavimo taikymo srities b) Dėl sprendimo dėl „privatumo skydo“ galiojimo atsižvelgiant į teisę į privataus gyvenimo gerbimą ir teisę į asmens duomenų apsaugą 1) Dėl ribojimų buvimo 2) Dėl to, ar ribojimai yra „numatyti įstatymo“ 3) Dėl poveikio pagrindinių teisių esmei nebuvimo 4) Dėl teisėto tikslo siekimo 5) Dėl ribojimų būtinumo ir proporcingumo c) Dėl sprendimo dėl „privatumo skydo“ galiojimo atsižvelgiant į teisę į veiksmingą teisinę gynybą 1) Dėl JAV teisėje numatytų teisminių teisių gynimo priemonių veiksmingumo 2) Dėl ombudsmeno institucijos poveikio teisės į veiksmingą teisinę gynybą apsaugos lygiui V. Išvada

I. Įvadas

1. Nesant bendrų pasauliniu lygmeniu taikomų garantijų asmens duomenų apsaugos srityje kyla grėsmė, kad, siunčiant šių duomenų srautus tarp valstybių, nebebus užtikrinamas Sąjungoje suteikiamas duomenų apsaugos lygis. Siekdamas palengvinti šiuos srautus ir apriboti šią grėsmę Sąjungos teisės aktų leidėjas nustatė tris mechanizmus, kuriuos taikant asmens duomenys gali būti perduodami iš Sąjungos į trečiąją valstybę.

2. Pirma, asmens duomenys gali būti perduodami į trečiąją valstybę remiantis sprendimu, kuriuo Europos Komisija nustato, kad atitinkama trečioji valstybė užtikrina į ją perduodamų duomenų „tinkamo lygio apsaugą“ ( 2 ). Antra, jeigu tokio sprendimo nėra, duomenis perduoti leidžiama, jei taikomos „tinkamos apsaugos priemonės“ ( 3 ). Šios apsaugos priemonės gali būti duomenų eksportuotojo ir duomenų importuotojo sudaryta sutartis, į kurią įtrauktos Komisijos priimtos standartinės duomenų apsaugos sąlygos. Trečia, BDAR numatytos tam tikros leidžiančios nukrypti nuostatos, grindžiamos, be kita ko, duomenų subjekto sutikimu, pagal kurias duomenis į trečiąją valstybę leidžiama perduoti net nesant sprendimo dėl tinkamumo ar tinkamų apsaugos priemonių ( 4 ).

3. High Court (Aukštasis Teismas, Airija) pateiktas prašymas priimti prejudicinį sprendimą susijęs su antruoju iš šių mechanizmų. Kalbant konkrečiau, jis susijęs su Sprendimo 2010/87/ES ( 5 ), kuriuo Komisija nustatė sutarčių standartines sąlygas kai kurioms perduodamų duomenų kategorijoms, atsižvelgiant į Europos Sąjungos pagrindinių teisių chartijos (toliau – Chartija) 7, 8 ir 47 straipsnius.

4. Šis prašymas buvo pateiktas nagrinėjant Data Protection Commissioner (Duomenų apsaugos komisaras, Airija, toliau – DPC), Facebook Ireland Ltd ir Maximillian Schrems ginčą. Šis asmuo padavė skundą DPC dėl bendrovės Facebook Ireland perduotų jo asmens duomenų jos patronuojančiajai bendrovei Facebook Inc., įsteigtai Jungtinėse Amerikos Valstijose (toliau – JAV). DPC nuomone, šio skundo nagrinėjimas priklauso nuo to, ar Sprendimas 2010/87 galioja. Šiomis aplinkybėmis jis kreipėsi į prašymą priimti prejudicinį sprendimą pateikusį teismą, prašydamas pateikti Teisingumo Teismui prašymą priimti prejudicinį sprendimą šiuo klausimu.

5. Pirmiausia reikėtų nurodyti, kad, mano nuomone, prejudicinių klausimų analizė neatskleidė jokios informacijos, kuri turėtų poveikį Sprendimo 2010/87 galiojimui.

6. Prašymą priimti prejudicinį sprendimą pateikęs teismas taip pat iškėlė kelias abejones, iš esmės susijusias su JAV užtikrinamo apsaugos lygio tinkamumu, atsižvelgiant į JAV žvalgybos institucijų taikomus asmenų, kurių duomenys perduodami į šią trečiąją valstybę, pagrindinių teisių įgyvendinimo ribojimus. Šiomis abejonėmis netiesiogiai kvestionuojami Komisijos vertinimai, kuriuos ji pateikė šiuo klausimu Įgyvendinimo sprendime (ES) 2016/1250 ( 6 ). Nors siekiant išspręsti pagrindinėje byloje kilusį ginčą Teisingumo Teismui nėra būtinybės nagrinėti šio klausimo, todėl siūlau jo nenagrinėti, papildomai nurodysiu priežastis, dėl kurių man kyla klausimų dėl šio sprendimo galiojimo.

7. Visa mano analizė bus grindžiama siekiu surasti pusiausvyrą tarp, viena vertus, būtinybės laikytis „pagrįstai pragmatiško požiūrio, kad būtų įmanoma sąveika su likusiu pasauliu“ ( 7 ), ir, kita vertus, būtinybės įtvirtinti pagrindines vertybes, pripažįstamas Sąjungos ir jos valstybių narių teisės sistemose, visų pirma Chartijoje.

II. Teisinis pagrindas

A. Direktyva 95/46/EB

8. Direktyvos 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ( 8 ) 3 straipsnio 2 dalyje buvo nurodyta: „Ši direktyva netaikoma tvarkant asmens duomenis: – kai yra užsiimama tokia veikla, kuri nepatenka į Bendrijos teisės taikymo sritį, kaip antai veikla, kuri numatyta Europos Sąjungos sutarties V ir VI dalyse, taip pat kai atliekamos tvarkymo operacijos, susijusios su visuomenės saugumu, gynyba, valstybės saugumu (taip pat ir valstybės ekonomine gerove, kai tvarkymo operacija susijusi su valstybės saugumo klausimais) ir su valstybės veiksmais baudžiamosios teisės srityje; <…>“

9. Šios direktyvos 13 straipsnio 1 dalis buvo suformuluota taip: „Valstybės narės gali priimti teisines priemones, kad apribotų 6 straipsnio 1 dalyje, 10 straipsnyje, 11 straipsnio 1 dalyje bei 12 ir 21 straipsniuose numatytų prievolių ir teisių mastą, kai toks apribojimas yra reikalinga apsaugos priemonė norint užtikrinti: a) nacionalinį saugumą; b) gynybą; c) visuomenės saugumą; d) kriminalinių nusikaltimų bei reglamentuojamų profesijų etikos pažeidimų prevenciją, tyrimą, išaiškinimą ir persekiojimą; e) svarbius ekonominius ar finansinius valstybės narės ar Europos Sąjungos interesus, įskaitant ir monetarinius, biudžeto ar mokesčių klausimus; f) kontrolės, tikrinimo ar taisyklių nustatymo funkciją, kuri susijusi, bent atsitiktinai, su įgaliojimų vykdymu c, d ir e punktuose nurodytais atvejais; g) duomenų subjekto apsaugą arba kitų asmenų teisių ir laisvių apsaugą.“

10. Minėtos direktyvos 25 straipsnyje buvo nurodyta: „1. Valstybės narės numato, kad asmens duomenys, kurie yra tvarkomi arba kuriuos juos perdavus ketinama tvarkyti, gali būti perduodami į trečiąją šalį tik tuo atveju, jeigu nepažeidžiant nacionalinių nuostatų, priimtų pagal kitas šios direktyvos nuostatas, ši trečioji šalis užtikrina adekvatų apsaugos lygį. 2. Apsaugos, kurią suteikia trečioji šalis, lygio adekvatumas įvertinamas atsižvelgiant į [visas] duomenų perdavimo operacijos ar operacijų grupės aplinkybes; ypatingas dėmesys atkreipiamas į duomenų pobūdį, siūlomos tvarkymo operacijos ar operacijų tikslą ir trukmę, duomenų kilmės bei paskirties valstybę ar valstybes, bendrųjų ir atskiriems sektoriams taikomų įstatymų, galiojančių trečiojoje šalyje, nuostatas, taip pat profesines taisykles ir saugumo priemones, kurių laikomasi toje valstybėje. <…> 6. 31 straipsnio 2 dalyje nurodyta tvarka Komisija gali išsiaiškinti, kad adekvatų apsaugos lygį, kaip numatyta šio straipsnio 2 dalyje, trečioji šalis užtikrina savo šalies įstatymais arba tarptautiniais įsipareigojimais, kuriuos ji yra prisiėmusi, ypač po 5 dalyje nurodytų derybų dėl asmenų privataus gyvenimo ir pagrindinių laisvių bei teisių apsaugos. Valstybės narės imasi reikalingų priemonių, kad būtų laikomasi Komisijos sprendimo.“

11. Tos pačios direktyvos 26 straipsnio 2 ir 4 dalyse buvo numatyta: „2. Nepažeisdama šio straipsnio 1 dalies nuostatų, valstybė narė gali leisti perduoti asmens duomenis į trečiąją šalį, kuri neužtikrina adekvataus apsaugos lygio pagal 25 straipsnio 2 dalį, jeigu domenų valdytojas pateikia adekvačias apsaugos priemones asmenų privatumui ir pagrindinėms teisėms bei laisvėms apsaugoti ir atitinkamoms teisėms įgyvendinti; tokios apsaugos priemonės gali būti išdėstytos atitinkamuose sutarčių punktuose. <…> 4. Jei <…> Komisija nusprendžia kad atitinkami standartiniai sutarčių punktai numato pakankamas apsaugos priemones, kaip reikalauja šio straipsnio 2 dalies nuostatos, valstybės narės imasi reikalingų priemonių, kad būtų laikomasi Komisijos sprendimo.“

12. Direktyvos 95/46 28 straipsnio 3 dalis buvo suformuluota taip: „Kiekvienai valdžios institucijai suteikiami: <…> – įgaliojimai veiksmingai įsikišti, pavyzdžiui, įgaliojimai pareikšti nuomonę, iš anksto įvertinus tvarkymo operacijas pagal 20 straipsnį, ir užtikrinti, kad tokios nuomonės būtų tinkamu būdu skelbiamos viešai, taip pat įgaliojimai nurodyti blokuoti, ištrinti arba sunaikinti duomenis, laikinai arba visiškai uždrausti tvarkyti duomenis, įspėti arba papeikti duomenų valdytoją arba įgaliojimai perduoti klausimą nacionaliniams parlamentams ar kitoms politinėms institucijoms svarstyti, <…>“

B. BDAR

13. Pagal BDAR 94 straipsnio 1 dalį šiuo reglamentu Direktyva 95/46 buvo panaikinta nuo 2018 m. gegužės 25 d., kai pagal jo 99 straipsnio 2 dalį pradėtas taikyti šis reglamentas.

14. BDAR 2 straipsnio 2 dalyje nurodyta: „Šis reglamentas netaikomas asmens duomenų tvarkymui, kai: a) duomenys tvarkomi vykdant veiklą, kuriai Sąjungos teisė netaikoma; b) duomenis tvarko valstybės narės, vykdydamos veiklą, kuriai taikomas ES sutarties V antraštinės dalies 2 skyrius; <…> d) duomenis tvarko kompetentingos valdžios institucijos nusikalstamų veikų prevencijos, tyrimo, nustatymo ar patraukimo baudžiamojon atsakomybėn už jas, baudžiamųjų sankcijų vykdymo, įskaitant apsaugą nuo grėsmių visuomenės saugumui ir jų prevenciją, tikslais.“

15. To paties reglamento 4 straipsnio 2 punkte duomenų tvarkymas apibrėžiamas kaip „bet kokia automatizuotomis arba neautomatizuotomis priemonėmis su asmens duomenimis ar asmens duomenų rinkiniais atliekama operacija ar operacijų seka, kaip antai rinkimas, įrašymas, rūšiavimas, sisteminimas, saugojimas, adaptavimas ar keitimas, išgava, susipažinimas, naudojimas, atskleidimas persiunčiant, platinant ar kitu būdu sudarant galimybę jais naudotis, taip pat sugretinimas ar sujungimas su kitais duomenimis, apribojimas, ištrynimas arba sunaikinimas“.

16. BDAR 23 straipsnyje numatyta: „1. Sąjungos ar valstybės narės teise, kuri taikoma duomenų valdytojui arba duomenų tvarkytojui, teisėkūros priemone gali būti apribotos 12–22 straipsniuose ir 34 straipsnyje, taip pat 5 straipsnyje tiek, kiek jo nuostatos atitinka 12–22 straipsniuose numatytas teises ir prievoles, nustatytos prievolės ir teisės, kai tokiu apribojimu gerbiama pagrindinių teisių ir laisvių esmė ir jis demokratinėje visuomenėje yra būtina ir proporcinga priemonė siekiant užtikrinti: a) nacionalinį saugumą; b) gynybą; c) visuomenės saugumą; d) užtikrinti nusikalstamų veikų prevenciją, tyrimą, atskleidimą, baudžiamąjį persekiojimą už jas, įskaitant apsaugą nuo grėsmių visuomenės saugumui ir šių grėsmių prevenciją, arba bausmių vykdymą; e) kitus Sąjungos ar valstybės narės svarbius tikslus, susijusius su bendrais viešaisiais interesais, visų pirma svarbiu ekonominiu ar finansiniu Sąjungos ar valstybės narės interesu <…>; <…> 2. Visų pirma visose 1 dalyje nurodytose teisėkūros priemonėse pateikiamos konkrečios nuostatos, susijusios tam tikrais atvejais bent su: a) duomenų tvarkymo tikslais arba duomenų tvarkymo kategorijomis, b) asmens duomenų kategorijomis, c) nustatytų apribojimų apimtimi, d) apsaugos priemonėmis, kuriomis siekiama užkirsti kelią piktnaudžiavimui arba neteisėtam susipažinimui su duomenimis ar jų perdavimui, e) duomenų valdytojo arba duomenų valdytojų kategorijų apibūdinimu, f) saugojimo laikotarpiais ir taikytinomis apsaugos priemonėmis, atsižvelgiant į duomenų tvarkymo arba duomenų tvarkymo kategorijų pobūdį, aprėptį ir tikslus, g) pavojais duomenų subjektų teisėms ir laisvėms, ir h) duomenų subjektų teise būti informuotiems apie apribojimą, nebent tai pakenktų apribojimo tikslui.“

17. Šio reglamento 44 straipsnyje „Bendras duomenų perdavimo principas“ nurodyta: „Asmens duomenys, kurie yra tvarkomi arba kuriuos ketinama tvarkyti juos perdavus į trečiąją valstybę arba tarptautinei organizacijai, perduodami tik tuo atveju, jei duomenų valdytojas ir duomenų tvarkytojas, laikydamiesi kitų šio reglamento nuostatų, laikosi šiame skyriuje nustatytų sąlygų, be kita ko, susijusių su tolesniu asmens duomenų perdavimu iš tos trečiosios valstybės ar tarptautinės organizacijos į kitą trečiąją šalį ar kitai tarptautinei organizacijai. Visos šio skyriaus nuostatos taikomos siekiant užtikrinti, kad nebūtų pakenkta šiuo reglamentu garantuojamam fizinių asmenų apsaugos lygiui.“

18. Šio reglamento 45 straipsnyje „Duomenų perdavimas remiantis sprendimu dėl tinkamumo“ nustatyta: „1. Perduoti asmens duomenis į trečiąją valstybę arba tarptautinei organizacijai galima, jeigu Komisija nusprendė, kad atitinkama trečioji valstybė, teritorija arba vienas ar daugiau nurodytų sektorių toje trečiojoje valstybėje, arba atitinkama tarptautinė organizacija užtikrina tinkamo lygio apsaugą. Tokiam duomenų perdavimui specialaus leidimo nereikia. 2. Vertindama apsaugos lygio tinkamumą Komisija visų pirma atsižvelgia į šiuos aspektus: a) teisinės valstybės principą, pagarbą žmogaus teisėms ir pagrindinėms laisvėms, atitinkamus bendruosius ir atskiriems sektoriams skirtus teisės aktus, įskaitant susijusius su visuomenės saugumu, gynyba, nacionaliniu saugumu, baudžiamąja teise ir valdžios institucijų prieiga prie asmens duomenų, taip pat tokių teisės aktų įgyvendinimą, duomenų apsaugos taisykles, profesines taisykles ir saugumo priemones, įskaitant taisykles dėl tolesnio asmens duomenų perdavimo į kitą trečiąją valstybę ar kitai tarptautinei organizacijai, kurių laikomasi toje valstybėje arba kurių laikosi ta tarptautinė organizacija, teismų praktikos precedentus, taip pat veiksmingas ir vykdytinas duomenų subjektų teises ir veiksmingas administracines bei teismines duomenų subjektų, kurių asmens duomenys yra perduodami, teisių gynimo priemones; b) tai, ar yra ir ar veiksmingai veikia viena ar kelios nepriklausomos priežiūros institucijos trečiojoje šalyje arba kurioms yra pavaldi tarptautinė organizacija ir kurių atsakomybė yra užtikrinti, kad būtų laikomasi duomenų apsaugos taisyklių ir jos būtų vykdomos, įskaitant tinkamus vykdymo įgaliojimus padėti duomenų subjektams naudotis savo teisėmis ir patarti, kaip tai daryti, ir bendradarbiauti su valstybių narių priežiūros institucijomis; ir c) atitinkamos trečiosios valstybės arba tarptautinės organizacijos prisiimtus tarptautinius įsipareigojimus ar kitus įsipareigojimus, atsirandančius dėl teisiškai privalomų konvencijų ar priemonių, taip pat dėl jų dalyvavimo daugiašalėse ar regioninėse sistemose, visų pirma kiek tai susiję su asmens duomenų apsauga. 3. Komisija, įvertinusi apsaugos lygio tinkamumą, gali nuspręsti, priimdama įgyvendinimo aktą, kad trečioji valstybė, teritorija arba vienas ar daugiau nurodytų sektorių toje trečiojoje valstybėje, arba tarptautinė organizacija užtikrina tinkamo lygio apsaugą, kaip apibrėžta šio straipsnio 2 dalyje. Įgyvendinimo akte numatomas periodinės peržiūros, atliekamos bent kas ketverius metus, kuria atsižvelgiama į visus atitinkamus pokyčius trečiojoje valstybėje ar tarptautinėje organizacijoje, mechanizmas. <…> 4. Komisija nuolat stebi pokyčius trečiosiose valstybėse ir tarptautinėse organizacijose, kurie galėtų daryti poveikį pagal šio straipsnio 3 dalį priimtų sprendimų ir pagal [Direktyvos 95/46] 25 straipsnio 6 dalį priimtų sprendimų veikimui. 5. Komisija nusprendžia, kad trečioji valstybė, teritorija arba nurodytas vienas ar keli sektoriai trečiojoje valstybėje, arba tarptautinė organizacija nebeužtikrina tinkamo lygio apsaugos, kaip apibrėžta šio straipsnio 2 dalyje, jei tai paaiškėja iš turimos informacijos, visų pirma atlikus šio straipsnio 3 dalyje nurodytą peržiūrą, reikiamu mastu įgyvendinimo aktais panaikina arba iš dalies pakeičia šio straipsnio 3 dalyje nurodytą sprendimą, arba sustabdo jo galiojimą nustatydama, kad tai netaikoma atgaline data. <…> 6. Komisija pradeda konsultacijas su trečiąja valstybe arba tarptautine organizacija, siekdama, kad padėtis, dėl kurios buvo priimtas sprendimas pagal 5 dalį, būtų ištaisyta. <…> 9. Sprendimai, kuriuos Komisija priėmė remdamasi [Direktyvos 95/46] 25 straipsnio 6 dalimi, lieka galioti tol, kol Komisijos sprendimu, priimtu pagal šio straipsnio 3 ar 5 dalį, jie bus iš dalies pakeisti, pakeisti naujais sprendimais arba panaikinti.“

19. To paties reglamento 46 straipsnis „Duomenų perdavimas taikant tinkamas apsaugos priemones“ suformuluotas taip: „1. Jeigu nėra priimtas sprendimas pagal 45 straipsnio 3 dalį, duomenų valdytojas arba duomenų tvarkytojas gali perduoti asmens duomenis į trečiąją valstybę arba tarptautinei organizacijai tik tuo atveju, jeigu duomenų valdytojas arba duomenų tvarkytojas yra nustatęs tinkamas apsaugos priemones, su sąlyga, kad suteikiama galimybė naudotis vykdytinomis duomenų subjektų teisėmis ir veiksmingomis duomenų subjektų teisių gynimo priemonėmis. 2. 1 dalyje nurodytos tinkamos apsaugos priemonės, nereikalaujant specialaus priežiūros institucijos leidimo, gali būti nustatomos: <…> c) standartinėmis duomenų apsaugos sąlygomis, kurias Komisija priima laikydamasi 93 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros; <…> 5. Leidimai, kuriuos valstybė narė arba priežiūros institucija suteikė remdamasi [Direktyvos 95/46] 26 straipsnio 2 dalimi, lieka galioti tol, kol ta priežiūros institucija prireikus juos iš dalies pakeis, pakeis naujais leidimais arba panaikins. Sprendimai, kuriuos Komisija priėmė remdamasi [Direktyvos 95/46] 26 straipsnio 4 dalimi, lieka galioti tol, kol Komisijos sprendimu, priimtu pagal šio straipsnio 2 dalį, jie bus prireikus iš dalies pakeisti, pakeisti naujais sprendimais arba panaikinti.“

20. BDAR 58 straipsnio 2, 4 ir 5 dalyse nurodyta: „2. Kiekviena priežiūros institucija turi visus šiuos įgaliojimus imtis taisomųjų veiksmų: a) įspėti duomenų valdytoją arba duomenų tvarkytoją, kad numatomomis duomenų tvarkymo operacijomis gali būti pažeistos šio reglamento nuostatos; b) pareikšti papeikimus duomenų valdytojui arba duomenų tvarkytojui, kai duomenų tvarkymo operacijomis buvo pažeistos šio reglamento nuostatos; c) nurodyti duomenų valdytojui arba duomenų tvarkytojui patenkinti duomenų subjekto prašymus pasinaudoti savo teisėmis pagal šį reglamentą; d) nurodyti duomenų valdytojui arba duomenų tvarkytojui suderinti duomenų tvarkymo operacijas su šio reglamento nuostatomis, tam tikrais atvejais – nustatytu būdu ir per nustatytą laikotarpį; e) nurodyti duomenų valdytojui pranešti duomenų subjektui apie asmens duomenų saugumo pažeidimą; f) nustatyti laikiną arba galutinį duomenų tvarkymo apribojimą, įskaitant tvarkymo draudimą; <…> i) skirti administracinę baudą pagal 83 straipsnį, kartu taikydama šioje dalyje nurodytas priemones arba vietoj jų, atsižvelgiant į kiekvieno konkretaus atvejo aplinkybes; j) nurodyti sustabdyti duomenų srautus duomenų gavėjui trečiojoje valstybėje arba tarptautinei organizacijai. <…> 4. Naudojimuisi pagal šį straipsnį priežiūros institucijai suteiktais įgaliojimais taikomos atitinkamos apsaugos priemonės, įskaitant veiksmingą apskundimą teismine tvarka ir tinkamą procesą, kaip nustatyta Sąjungos ir valstybės narės teisėje, laikantis Chartijos. 5. Kiekviena valstybė narė teisės aktais nustato, kad jos priežiūros institucija turi įgaliojimus atkreipti teisminių institucijų dėmesį į šio reglamento pažeidimus ir tam tikrais atvejais pradėti teismo procesą arba kitaip dalyvauti teismo procese siekiant užtikrinti šio reglamento nuostatų vykdymą.“

C. Sprendimas 2010/87

21. Pagal Direktyvos 95/46 26 straipsnio 4 dalį Komisija priėmė tris sprendimus, jais konstatavo, kad juose nustatytos sutarčių standartinės sąlygos užtikrina tinkamas apsaugos priemones ginant asmenų privatų gyvenimą ir pagrindines asmens teises ir laisves, susijusias su atitinkamų teisių įgyvendinimu (toliau – sprendimai dėl SSS) ( 9 ).

22. Vienas iš jų yra Sprendimas 2010/87, jo 1 straipsnyje nustatyta, kad „priede pateiktos standartinės sutarčių sąlygos laikomos užtikrinančiomis tinkamas apsaugos priemones pagal [Direktyvos 95/46] 26 straipsnio 2 dalies reikalavimus, ginant privatumo teisę ir pagrindines asmens teises ir laisves, susijusias su atitinkamų teisių įgyvendinimu“.

23. Šio sprendimo 3 straipsnyje nurodyta: „Šio sprendimo tikslais taikomos šios apibrėžtys: <…> c) „duomenų eksportuotojas“ – duomenų valdytojas, kuris perduoda asmens duomenis; d) „duomenų importuotojas“ – trečiojoje šalyje įsikūręs duomenų tvarkytojas, sutinkantis iš duomenų eksportuotojo gauti asmens duomenis ir gautus duomenis tvarkyti duomenų eksportuotojo vardu, laikydamasis jo duotų nurodymų bei šio sprendimo sąlygų, ir nepriklausantis trečiosios šalies tinkamos apsaugos užtikrinimo sistemai, kaip nustatyta [Direktyvos 95/46] 25 straipsnio 1 dalyje; <…> f) „taikytina duomenų apsaugos teisė“ – teisės aktai, ginantys pagrindines asmenų teises ir laisves (ypač jų teisę į privatų gyvenimą) tvarkant asmens duomenis, kurių turi laikytis duomenų valdytojas toje valstybėje narėje, kurioje įsikūręs duomenų eksportuotojas; <…>“

24. Minėto sprendimo pirminės redakcijos 4 straipsnio 1 dalyje buvo numatyta: „Nepažeidžiant valstybių narių kompetentingų institucijų teisės imtis veiksmų, kad būtų užtikrintas nacionalinių nuostatų, priimtų įgyvendinant [Direktyvos 95/46] II, III, V ir VI skyrių reikalavimus, vykdymas, jos gali pasinaudoti joms suteiktomis teisėmis uždrausti ar sustabdyti duomenų srautus į trečiąsias šalis, siekiant apsaugoti asmenis, kurių asmens duomenys yra tvarkomi. Šiomis teisėmis minėtosios institucijos gali pasinaudoti[, jeigu]: a) nustatoma, kad teisės aktu, kurio turi laikytis duomenų importuotojas arba pagalbinis duomenų tvarkytojas, jam keliami reikalavimai verčia nukrypti nuo taikomos duomenų apsaugos teisės ir tie reikalavimai viršija [Direktyvos 95/46] 13 straipsnyje nustatytus apribojimus, reikalingus demokratinėje visuomenėje, jei tie reikalavimai gali ypač neigiamai paveikti taikytiname duomenų apsaugos teisėje ar standartinėse sutarčių sąlygose nustatytas garantijas; b) kompetentinga institucija nustato, kad duomenų importuotojas arba pagalbinis duomenų tvarkytojas nevykdo priede pateiktų standartinių sutarčių sąlygų; arba c) yra reali tikimybė, kad priede pateiktos standartinės sutarčių sąlygos yra nevykdomos arba bus nevykdomos ir kad toliau perduodant duomenis duomenų subjektams iškils didelės žalos grėsmė.“

25. To paties sprendimo aktualios redakcijos (po Sprendimo 2010/87 pakeitimo Įgyvendinimo sprendimu (ES) 2016/2297 ( 10 )) 4 straipsnyje nurodyta, kad „kai valstybių narių kompetentingos institucijos įgyvendina savo įgaliojimus pagal [Direktyvos 95/46] 28 straipsnio 3 dalį ir dėl šios priežasties sustabdomi arba neribotam laikui uždraudžiami duomenų srautai į trečiąsias šalis, kad apsaugotų asmenis atsižvelgiant į jų asmens duomenų tvarkymą, atitinkama valstybė narė nedelsdama informuoja Komisiją, kuri šią informaciją perduoda kitoms valstybėms narėms“.

26. Sprendimo 2010/87 priede pateikiamos visos standartinės sutarčių sąlygos. Visų pirma šio priedo 3 sąlygoje „Trečiosios šalies naudos gavėjos sąlyga“ numatyta: „1. Duomenų subjektas gali iškelti ieškinį duomenų eksportuotojui kaip trečiajai šaliai naudos gavėjai pagal šią sąlygą, 4 sąlygos b–i punktus, 5 sąlygos a–e ir g–j punktus, 6 sąlygos 1–2 dalis, 7 sąlygą, 8 sąlygos 2 dalį ir 9–12 sąlygas. 2. Duomenų subjektas gali iškelti ieškinį duomenų importuotojui pagal šią sąlygą, 5 sąlygos a–e ir g punktus, 6 sąlygą, 7 sąlygą, 8 sąlygos 2 dalį ir 9–12 sąlygas tais atvejais, kai duomenų eksportuotojas yra faktiškai dingęs, teisiškai nutraukė savo veiklą arba tapo nemokus, išskyrus atvejus, kai visus duomenų eksportuotojo teisinius įsipareigojimus sutartimi arba teisiniais veiksmais perėmė veiklos tęsėjas. Jis prisiima duomenų eksportuotojo teises ir įsipareigojimus, ir tokiu atveju duomenų subjektas gali iškelti tokiai įstaigai ieškinį. <…>“

27. Minėto priedo 4 sąlygoje „Duomenų eksportuotojo įsipareigojimai“ nurodyta: „Duomenų eksportuotojas sutinka ir užtikrina, kad: a) asmens duomenų tvarkymas, įskaitant jų perdavimą, yra ir bus vykdomas laikantis susijusių taikytinos duomenų apsaugos teisės nuostatų (ir, jei taikytina, apie jį pranešta atitinkamoms valstybės narės, kurioje įsikūręs duomenų eksportuotojas, institucijoms) ir juo nepažeidžiamos atitinkamos tos valstybės nuostatos; b) jis davė nurodymus duomenų importuotojui ir visą asmens duomenų tvarkymo paslaugų laikotarpį duos nurodymus tvarkyti perduotus asmens duomenis tik duomenų eksportuotojo vardu ir laikantis taikytinos duomenų apsaugos teisės ir šių sąlygų; c) duomenų importuotojas suteiks pakankamas garantijas, susijusias su techninėmis ir organizacinėmis saugumo priemonėmis, nustatytas šios sutarties 2 priedėlyje; d) įvertinus taikytinos duomenų apsaugos teisės reikalavimus apsaugos priemonės yra tinkamos, kad asmens duomenys būtų apsaugoti nuo atsitiktinio ar neteisėto sunaikinimo arba nuo atsitiktinio praradimo, pakeitimo, nesankcionuoto atskleidimo arba nesankcionuotos prieigos prie jų, ypač tais atvejais, kai tvarkymo proceso metu duomenys perduodami tinklu, taip pat nuo visų kitų neteisėtų tvarkymo formų, ir kad šiomis priemonėmis užtikrinamas tinkamas apsaugos lygis atsižvelgiant į riziką, susijusią su tvarkymu, ir saugotinų duomenų pobūdį ir atsižvelgiant į tų priemonių modernumą bei jų įgyvendinimo išlaidas; e) užtikrins saugumo priemonių laikymąsi; f) ypatingų kategorijų duomenų perdavimo atveju duomenų subjektui buvo pranešta arba bus pranešta prieš arba kuo greičiau po duomenų perdavimo, kad jo duomenys gali būti perduoti trečiajai šaliai, neužtikrinančiai reikiamos apsaugos pagal [Direktyvą 95/46]; g) persiųs bet kokį pranešimą, gautą iš duomenų importuotojo arba pagalbinio duomenų tvarkytojo pagal 5 sąlygos b punktą ir 8 sąlygos 3 dalį duomenų apsaugos priežiūros institucijai, jeigu duomenų eksportuotojas nusprendžia tęsti perdavimą arba nutraukti sustabdymą; h) pagal pageidavimą pateiks duomenų subjektui šių sąlygų kopiją (išskyrus 2 priedėlį ir saugumo priemonių aprašymo santrauką) ir bet kokios sutarties dėl pagalbinio tvarkymo paslaugų, kuri buvo sudaryta laikantis šių sąlygų, kopiją, išskyrus atvejus, kai sąlygose arba sutartyje yra komercinės informacijos; tokiu atveju jis gali pašalinti tokią komercinę informaciją; i) pagalbinio tvarkymo atveju tvarkymo veiklą pagal 11 sąlygą vykdo pagalbinis duomenų tvarkytojas, užtikrinantis bent tokį patį asmens duomenų ir duomenų subjekto teisių apsaugos lygį, kokį užtikrina duomenų importuotojas pagal šias sąlygas; ir j) užtikrins atitiktį 4 sąlygos a–i punktams.“

28. To paties priedo 5 sąlygoje „Duomenų importuotojo įsipareigojimai(1)“ nurodyta: „Duomenų importuotojas sutinka ir užtikrina, kad: a) tvarkys asmens duomenis tik duomenų eksportuotojo vardu ir laikysis jo nurodymų ir šių sąlygų; jeigu jis dėl bet kokių priežasčių negali užtikrinti atitikties, jis sutinka kuo skubiau pranešti duomenų importuotojui apie tai, kad jis negali užtikrinti atitikties, ir tokiu atveju duomenų eksportuotojas turi teisę sustabdyti duomenų perdavimą ir (arba) nutraukti sutartį; b) neturi pagrindo manyti, kad pagal jam taikytiną teisę jis negalės vykdyti iš duomenų eksportuotojo gautų nurodymų ir savo įsipareigojimų pagal sutartį, o jeigu ši teisė pakeičiama ir šie pakeitimai turi didelį neigiamą poveikį pagal šias sąlygas teikiamoms garantijoms ir prisiimtiems įsipareigojimams, jis kuo greičiau praneš apie šiuos pasikeitimus duomenų eksportuotojui, kai tik apie juos sužinos, o duomenų eksportuotojas tokiu atveju turi teisę sustabdyti duomenų perdavimą ir (arba) nutraukti sutartį; c) prieš pradėdamas tvarkyti perduotus asmens duomenis jis įgyvendino 2 priedėlyje nustatytas technines ir organizacines saugumo priemones; d) kuo greičiau praneš duomenų eksportuotojui apie: i) bet kokį teisiškai įpareigojantį teisėsaugos institucijų prašymą atskleisti asmens duomenis, išskyrus atvejus, kai tai draudžiama, pvz., draudimas pagal baudžiamąją teisę, kuriuo siekiama užtikrinti teisėsaugos institucijų vykdomo tyrimo konfidencialumą; ii) bet kokią atsitiktinę arba nesankcionuotą prieigą prie duomenų; ir iii) bet kokius tiesioginius duomenų subjektų prašymus, neatsakydamas į juos, išskyrus atvejus, kai jis turi leidimą tai daryti; e) greitai ir tinkamai atsakys į visas duomenų eksportuotojo užklausas, susijusias su jo vykdomu perduoti skirtų asmens duomenų tvarkymu, ir laikysis priežiūros institucijos rekomendacijų, susijusių su perduotų duomenų tvarkymu; f) duomenų eksportuotojo prašymu leis atlikti savo duomenų tvarkymo priemonių auditą, kiek tai susiję su šių sąlygų apimama duomenų tvarkymo veikla, kurį atliks duomenų eksportuotojas arba tikrinimo grupė, sudaryta iš nepriklausomų narių, kurie turi reikiamą profesinę kvalifikaciją, yra saistomi pasižadėjimo saugoti konfidencialumą ir kuriuos atrinko duomenų eksportuotojas, kai taikytina, suderinęs tai su priežiūros institucija; <…>“

29. Sprendimo 2010/87 priede esančios 5 sąlygos 1 išnašoje nurodyta: „Duomenų importuotojui taikytini privalomi nacionalinių teisės aktų reikalavimai, kurie, atsižvelgiant į [Direktyvos 95/46] 13 straipsnio 1 dalį, neviršija demokratinėje visuomenėje reikalingų apribojimų, t. y. jeigu jie yra būtina priemonė užtikrinti nacionalinį saugumą, gynybą, visuomenės saugumą, baudžiamųjų nusikaltimų bei reglamentuojamų profesijų etikos pažeidimų prevenciją, tyrimą, išaiškinimą ir persekiojimą, svarbius valstybės ekonominius bei finansinius interesus, apsaugoti duomenų subjektą arba kitų asmenų teises ir laisves, neprieštarauja standartinėms sutarčių sąlygoms. Tokių privalomų reikalavimų, kurie neviršija demokratinėje visuomenėje reikalingų apribojimų, yra, inter alia, tarptautiniu mastu pripažintos sankcijos, mokestinių ataskaitų reikalavimai arba pinigų plovimo prevencijos ataskaitų reikalavimai.“

30. Šiame priede esanti 6 sąlyga „Atsakomybė“ suformuluota taip: „1. Šalys susitaria, kad bet koks duomenų subjektas, kuriam bet kuri šalis arba pagalbinis duomenų tvarkytojas padarė žalą, nes neįvykdė 3 arba 11 sąlygoje nustatytų įsipareigojimų, turi teisę gauti kompensaciją iš duomenų eksportuotojo dėl patirtos žalos. 2. Jeigu duomenų subjektas negali reikalauti kompensacijos, kaip nustatyta 1 dalyje, iš duomenų eksportuotojo dėl duomenų importuotojo arba jo pagalbinio duomenų tvarkytojo padaryto bet kurio iš jų įsipareigojimų, įvardytų 3 arba 11 sąlygose, pažeidimo dėl to, kad duomenų eksportuotojas yra faktiškai dingęs, teisiškai nutraukė savo veiklą arba tapo nemokus, duomenų importuotojas sutinka, kad duomenų subjektas gali iškelti ieškinį duomenų importuotojui, tarytum jis būtų duomenų eksportuotojas, išskyrus atvejį, kai visus duomenų eksportuotojo teisinius įsipareigojimus sutartimi arba teisiniais veiksmais perėmė veiklos tęsėjas; tokiais atvejais duomenų subjektas gindamas savo teises gali iškelti ieškinį tokiam tęsėjui. <…>“

31. Šiame priede esančioje 7 sąlygoje „Tarpininkavimas ir jurisdikcija“ nurodyta: „1. Duomenų importuotojas sutinka, kad jeigu duomenų subjektas prieš jį pasinaudoja trečiosios šalies naudos gavėjos teisėmis ir (arba) pareikalauja kompensuoti žalą pagal šias sąlygas, duomenų importuotojas sutiks su duomenų subjekto sprendimu: a) kreiptis dėl ginčo į tarpininką, kurio vaidmenį atliktų nepriklausomas asmuo arba, kai taikytina, priežiūros institucija; b) kreiptis dėl ginčo į valstybės narės, kurioje įsisteigęs duomenų eksportuotojas, teismą. 2. Šalys sutinka, kad duomenų subjekto pasirinkimas nepažeis jo esminių arba procedūrinių teisių imtis teisių gynimo priemonių pagal kitas nacionalinės arba tarptautinės teisės nuostatas.“

32. To paties priedo 9 sąlygoje „Reglamentuojantys teisės aktai“ numatyta, kad standartinės sutarčių sąlygos reglamentuojamos valstybės narės, kurioje įsikūręs duomenų eksportuotojas, teisės.

D. Sprendimas dėl „privatumo skydo“

33. Komisija, remdamasi Direktyvos 95/46 25 straipsnio 6 dalimi, iš eilės priėmė du sprendimus, jais konstatavo, kad JAV užtikrina tinkamą asmens duomenų, perduodamų JAV įsteigtoms įmonėms, pareiškusioms, kad, taikydamos autosertifikavimo procedūrą, laikysis šiuose sprendimuose įtvirtintų principų, apsaugos lygį.

34. Pirmiausia Komisija priėmė Sprendimą 2000/520/EB dėl „saugaus uosto“ privatumo principų teikiamos apsaugos pakankamumo ir su tuo susijusių JAV komercijos departamento pateiktų „Dažnai užduodamų klausimų“ ( 11 ). 2015 m. spalio 6 d. Sprendime Schrems ( 12 ) Teisingumo Teismas pripažino šį sprendimą negaliojančiu.

35. Po šio Teisingumo Teismo sprendimo Komisija priėmė sprendimą dėl „privatumo skydo“.

36. Šio sprendimo 1 straipsnyje nurodyta: „1. Atsižvelgdamos į [Direktyvos 95/46] 25 straipsnio 2 dalį, Jungtinės Amerikos Valstijos užtikrina tinkamą asmens duomenų, kuriuos pagal ES ir JAV „privatumo skydą“ Sąjunga perdavė Jungtinių Amerikos Valstijų organizacijoms, apsaugos lygį. 2. ES ir JAV „privatumo skydą“ sudaro 2016 m. liepos 7 d. JAV komercijos departamento paskelbti privatumo principai, kurie išdėstyti II priede ir oficialiuose pareiškimuose ir įsipareigojimuose, kurie pateikti I, III–VII prieduose nurodytuose dokumentuose. 3. Pagal šio straipsnio 1 dalį asmens duomenys perduodami pagal ES ir JAV „privatumo skydą“ tais atvejais, kai jie iš Sąjungos perduodami Jungtinių Amerikos Valstijų organizacijoms, įrašytoms į „privatumo skydo“ sąrašą, kurį pagal II priede išdėstytų privatumo principų I ir III skirsnius tvarko ir viešai skelbia JAV komercijos departamentas.“

37. Šio sprendimo III priedo A priede „ES ir JAV „privatumo skydo“ ombudsmeno mechanizmas dėl signalų žvalgybos“, pridėtame prie tuometinio Secretary of State (JAV valstybės sekretorius) 2016 m. liepos 7 d. John Kerry rašto, yra memorandumas, jame apibūdinama nauja ombudsmeno procedūra, pavedant valstybės sekretoriui paskirti „Tarptautinės informacinių technologijų diplomatijos vyresnįjį koordinatorių“ (toliau – ombudsmenas).

38. Kaip nurodyta šiame memorandume, ši procedūra buvo nustatyta tam, „kad palengvintų prašymų dėl prieigos prie duomenų, perduotų pagal [Sąjungos] ir JAV „privatumo skydą“, standartines sutarčių sąlygas, privalomas įmonių taisykles, išimtis arba galimas būsimas išimtis nacionalinio saugumo tikslais, nagrinėjimą pasinaudojant Jungtinių Amerikos Valstijų taikomuose įstatymuose ir politikoje nustatytais būdais ir šių prašymų patenkinimą“.

III. Pagrindinė byla, prejudiciniai klausimai ir procesas Teisingumo Teisme

39. Austrijoje gyvenantis Austrijos pilietis M. Schrems yra socialinio tinklo Facebook naudotojas. Visų Sąjungos teritorijoje gyvenančių asmenų, norinčių naudotis šiuo socialiniu tinklu, per registracijos procedūrą prašoma pasirašyti sutartį su Facebook Ireland, Jungtinėse Amerikos Valstijose įsikūrusios patronuojančiosios bendrovės Facebook Inc. patronuojamąja bendrove. Šių naudotojų asmens duomenys (visi arba jų dalis) perduodami į JAV teritorijoje esančius Facebook Inc. priklausančius serverius ir ten tvarkomi.

40. 2013 m. birželio 25 d. M. Schrems pateikė skundą DPC, jame iš esmės prašė uždrausti Facebook Ireland perduoti jo asmens duomenis į JAV. Minėtame skunde jis nurodė, kad pagal šios trečiosios šalies teisę ir praktiką jos teritorijoje laikomi asmens duomenys nėra pakankamai apsaugoti nuo ribojimų, atsirandančių dėl šios šalies viešosios valdžios institucijų vykdomos stebėjimo veiklos. Šiuo klausimu M. Schrems rėmėsi Edward Snowden atskleista informacija apie JAV žvalgybos tarnybų, visų pirma National Security Agency (Nacionalinė saugumo agentūra, toliau – NSA), veiklą.

41. Šis skundas buvo atmestas motyvuojant, be kita ko, tuo, kad kiekvienas klausimas, susijęs su JAV užtikrinamos apsaugos tinkamumu, turi būti sprendžiamas vadovaujantis sprendimu dėl „saugaus uosto“. Tame sprendime Komisija nustatė, kad ši trečioji šalis užtikrina tinkamą jos teritorijoje esančioms įmonėms perduodamų asmens duomenų apsaugos lygį, laikydamasi minėtame sprendime įtvirtintų principų.

42. M. Schrems apskundė sprendimą atmesti jo skundą High Court (Aukštasis teismas). Šis teismas nusprendė, kad nors M. Schrems formaliai neginčijo sprendimo dėl „saugaus uosto“ galiojimo, iš tikrųjų savo skunde jis nesutiko su šiame sprendime nustatytos tvarkos teisėtumu. Tokiomis aplinkybėmis minėtas teismas pateikė Teisingumo Teismui klausimus, kuriais iš esmės siekiama išsiaiškinti, ar valstybių narių valdžios institucijoms, atsakingoms už duomenų apsaugą (toliau – priežiūros institucijos), gavusioms skundą dėl asmens teisių ir laisvių tvarkant jo asmens duomenis, kurie buvo perduoti į trečiąją valstybę, apsaugos, yra privalomos išvados dėl šios trečiosios valstybės užtikrinamo apsaugos lygio tinkamumo, kurias Komisija padarė pagal Direktyvos 95/46 25 straipsnio 6 dalį, nors skundo pateikėjas ginčija šias išvadas.

43. Sprendimo Schrems 51 ir 52 punktuose konstatavęs, kad sprendimas dėl tinkamumo yra privalomas priežiūros institucijoms, kol nėra pripažintas negaliojančiu, Teisingumo Teismas šio sprendimo 63 ir 65 punktuose nurodė: „63. <…> jei asmuo, kurio asmens duomenys buvo arba galėjo būti perduoti į pagal Direktyvos 95/46 25 straipsnio 6 dalį priimtame Komisijos sprendime nurodytą trečiąją šalį, pateikia nacionalinei priežiūros institucijai prašymą dėl jo teisių ir laisvių apsaugos tvarkant šiuos duomenis ir šiame prašyme ginčija <…> kad šis sprendimas suderinamas su privataus gyvenimo ir asmenų pagrindinių teisių ir laisvių apsauga, tokia institucija ypač kruopščiai turi išnagrinėti minėtą prašymą. <…> 65. <…> kai minėta institucija mano, kad asmens, pateikusio jai prašymą dėl teisių ir laisvių apsaugos tvarkant jo asmens duomenis, pateikti kaltinimai pagrįsti, remdamasi Direktyvos 95/46 28 straipsnio 3 dalies pirmos pastraipos trečia įtrauka, siejama, be kita ko, su Chartijos 8 straipsnio 3 dalimi, ji turi galėti kreiptis į teismą. Šiuo atžvilgiu nacionalinis teisės aktų leidėjas turi numatyti teisių gynimo priemones, leidžiančias atitinkamai nacionalinei priežiūros institucijai remtis nacionaliniuose teismuose kaltinimais, kurie, jos nuomone, yra pagrįsti, tam, kad šie teismai, vertindami Komisijos sprendimo galiojimą, pateiktų prašymą priimti prejudicinį sprendimą, jei, kaip ir priežiūros institucija, turėtų abejonių dėl šio sprendimo galiojimo.“

44. Minėtame sprendime Teisingumo Teismas taip pat nagrinėjo sprendimo dėl „saugaus uosto“ galiojimą atsižvelgiant į reikalavimus, kylančius iš Direktyvos 95/46, aiškinamos atsižvelgiant į Chartiją. Atlikęs šią analizę jis pripažino minėtą sprendimą negaliojančiu ( 13 ).

45. Po Sprendimo Schrems prašymą priimti prejudicinį sprendimą pateikęs teismas panaikino sprendimą, kuriuo DPC atmetė M. Schrems skundą, ir grąžino jį DPC nagrinėti iš naujo. DPC pradėjo tyrimą ir paprašė M. Schrems performuluoti savo skundą atsižvelgiant į sprendimo dėl „saugaus uosto“ pripažinimą negaliojančiu.

46. Šiuo tikslu M. Schrems paprašė Facebook Ireland nustatyti teisinius pagrindus, kuriais yra grindžiamas socialinio tinklo Facebook naudotojų asmens duomenų perdavimas iš Sąjungos į JAV. Facebook Ireland, nepateikdama visų teisinių pagrindų, kuriais remiasi, nurodė susitarimą dėl duomenų perdavimo ir tvarkymo (data transfer processing agreement), sudarytą tarp jos pačios ir Facebook Inc., taikytiną nuo 2015 m. lapkričio 20 d., ir rėmėsi Sprendimu 2010/87.

47. Performuluotame skunde M. Schrems nurodo, pirma, kad šio susitarimo sąlygos neatitinka Sprendimo 2010/87 priede nustatytų sutarčių standartinių sąlygų. Antra, M. Schrems teigia, kad šios standartinės sutarčių sąlygos bet kuriuo atveju negalėjo būti pagrindas perduoti jo asmens duomenis į JAV. Taip yra, nes pagal JAV teisę Facebook Inc. privalo pateikti naudotojų asmens duomenis JAV valdžios institucijoms, kaip antai NSA ir Federal Bureau of Investigation (FBI) (Federalinis tyrimų biuras, JAV), pagal stebėjimo programas, kuriomis kliudoma įgyvendinti Chartijos 7, 8 ir 47 straipsniuose užtikrinamas teises. M. Schrems teigimu, nė viena teisių gynimo priemonė neleidžia duomenų subjektams remtis savo teisėmis į privataus gyvenimo gerbimą ir asmens duomenų apsaugą. Tokiomis aplinkybėmis M. Schrems prašo DPC sustabdyti šį duomenų perdavimą pagal Sprendimo 2010/87 4 straipsnį.

48. DPC atliekant tyrimą Facebook Ireland pripažino, kad toliau perduoda Sąjungoje gyvenančių socialinio tinklo Facebook naudotojų asmens duomenis į JAV ir kad šiuo tikslu ji daugiausia remiasi Sprendimo 2010/87 priede esančiomis standartinėmis sutarčių sąlygomis.

49. DPC tyrimu buvo siekiama nustatyti, pirma, ar JAV užtikrina tinkamą Sąjungos piliečių asmens duomenų apsaugą, ir, antra, jeigu ne, ar sprendimai dėl SSS suteikia tinkamas apsaugos priemones, kiek tai susiję su šių asmenų laisvių ir pagrindinių teisių apsauga.

50. Šiuo klausimu sprendimo projekte (draft decision) DPC laikinai nusprendė, kad pagal JAV teisę Sąjungos piliečiams, kurių duomenys perduodami į JAV, kur JAV agentūros gali juos tvarkyti nacionalinio saugumo tikslais su Chartijos 7 ir 8 straipsniais nesuderinamu būdu, nesuteikiamos veiksmingos teisių gynimo priemonės, kaip tai suprantama pagal Chartijos 47 straipsnį. Sprendimų dėl SSS priede esančiose sąlygose numatytos apsaugos priemonės šios spragos nepanaikintų, nes jos nėra privalomos JAV valdžios institucijoms ar agentūroms ir suteikia duomenų subjektams tik sutartyje numatytas teises duomenų eksportuotojo ir (arba) importuotojo atžvilgiu.

51. Tokiomis aplinkybėmis DPC konstatavo, kad negali priimti sprendimo dėl M. Schrems skundo, kol Teisingumo Teismas nėra išnagrinėjęs sprendimų dėl SSS galiojimo klausimo. Taigi DPC, atsižvelgdamas į tai, kas nurodyta Sprendimo Schrems 65 punkte, kreipėsi į prašymą priimti prejudicinį sprendimą pateikusį teismą, prašydamas jo, jeigu jis pritartų DPC iškeltoms abejonėms, pateikti Teisingumo Teismui prašymą priimti prejudicinį sprendimą dėl šių sprendimų galiojimo.

52. JAV vyriausybė, Electronic Privacy Information Centre (EPIC) (Elektroninio privatumo informacijos centras), Business Software Alliance (BSA) (Komercinės programinės įrangos aljansas) ir Digitaleurope buvo leista įstoti į bylą prašymą priimti prejudicinį sprendimą pateikusiame teisme.

53. Siekdamas nustatyti, ar pritaria DPC iškeltoms abejonėms dėl sprendimų dėl SSS galiojimo, High Court (Aukštasis Teismas) gavo ginčo šalių pateiktus įrodymus ir išklausė jų bei įstojusių į bylą šalių argumentus. Visų pirma ekspertai pateikė įrodymų dėl JAV teisės nuostatų. Pagal Airijos teisę užsienio teisė laikoma fakto klausimu, kuris turi būti įrodytas pateikiant įrodymų, kaip ir bet kuri kita faktinė aplinkybė. Remdamasis šiais įrodymais, prašymą priimti prejudicinį sprendimą pateikęs teismas įvertino JAV teisės nuostatas, pagal kurias valdžios institucijoms ir agentūroms leidžiama vykdyti stebėjimą, dviejų viešai pripažintų stebėjimo programų (PRISM ir Upstream) veikimą, įvairias teisių gynimo priemones, suteikiamas privatiems asmenims, kurių teisės buvo pažeistos stebėjimo priemonėmis, taip pat sistemines apsaugos priemones ir priežiūros mechanizmus. Minėtas teismas šio vertinimo rezultatus pateikė 2017 m. spalio 3 d. sprendime, pridėtame prie jo nutarties dėl prašymo priimti prejudicinį sprendimą (toliau – 2017 m. spalio 3 d.High Court (Aukštasis Teismas) sprendimas).

54. Tame sprendime prašymą priimti prejudicinį sprendimą pateikęs teismas kaip vieną iš teisinių pagrindų, leidžiančių JAV žvalgybos tarnyboms perimti užsienio komunikaciją, nurodė Foreign Intelligence and Surveillance Act (FISA) (Įstatymas dėl užsienio žvalgybos informacijos stebėjimo) ir Executive Order 12333 (Prezidento vykdomasis įsakymas Nr. 12333, toliau – EO 12333).

55. Kaip nustatyta minėtame teismo sprendime, pagal FISA 702 straipsnį Attorney General (JAV generalinis prokuroras) ir Director of National Intelligence (DNI) (JAV nacionalinės žvalgybos vadovas) kartu gali duoti leidimą vienus metus stebėti asmenis, kurie nėra JAV piliečiai ir nuolat negyvena JAV (toliau – ne JAV asmenys), siekiant gauti informaciją užsienio žvalgybos srityje, jeigu yra pagrindo manyti, kad šie asmenys yra už JAV teritorijos ribų ( 14 ). Kaip nurodyta FISA, sąvoka „užsienio žvalgyba“ reiškia informaciją, susijusią su vyriausybės gebėjimu apsisaugoti nuo užsienio išpuolių, terorizmo, masinio naikinimo ginklų platinimo ir informaciją, susijusią su JAV užsienio reikalų tvarkymu ( 15 ).

56. Šiuos metinius leidimus, taip pat numatomų stebėti asmenų tikslingo pasirinkimo procedūras ir surinktos informacijos tvarkymą (angl. minimisation) ( 16 ) turi patvirtinti Foreign Intelligence Surveillance Court (FISC) (Užsienio žvalgybos priežiūros teismas, JAV). Nors vykdant „tradicinį“ stebėjimą remiantis kitomis FISA nuostatomis reikalaujama, kad būtų nustatytas „tikėtinas pagrindas“, leidžiantis įtarti, kad stebimi asmenys priklauso užsienio valdžiai ar yra jos agentai, o stebėjimo veiklai, vykdomai pagal FISA 702 straipsnį, nereikalaujama nei nustatyti tokio „tikėtino pagrindo“, nei kad FISC patvirtintų numatomų stebėti konkrečių asmenų tikslingą pasirinkimą. Be to, kaip konstatavo prašymą priimti prejudicinį sprendimą pateikęs teismas, minimalios informacijos procedūros netaikomos ne JAV asmenims, esantiems už JAV ribų.

57. Praktiškai, kai FISC duoda leidimą, NSA siunčia JAV įsteigtiems elektroninių ryšių paslaugų teikėjams nurodymus su paieškos kriterijais, kurie vadinami „selektoriais“ ir yra siejami su tiksliniais asmenimis (pavyzdžiui, telefono numeris arba e. pašto adresas). Taigi šie paslaugų teikėjai privalo perduoti selektorius atitinkančius duomenis NSA ir saugoti paslaptį dėl jiems skirtų nurodymų. Jie gali pareikšti ieškinį FISC dėl NSA nurodymų pakeitimo arba netaikymo. FISC sprendimas gali būti skundžiamas Foreign Intelligence Surveillance Court of Review (FISCR) (Užsienio žvalgybos informacijos stebėjimo apeliacinis teismas, JAV).

58. High Court (Aukštasis Teismas) konstatavo, kad FISA 702 straipsnis yra programų PRISM ir Upstream teisinis pagrindas.

59. Pagal programą PRISM elektroninių ryšių paslaugų teikėjai turi perduoti NSA visus pranešimus, „išsiunčiamus iš“ NSA nurodyto selektoriaus arba „skirtus“ jam. Dalis šių pranešimų būtų siunčiama FBI ir Central Intelligence Agency (CIA) (Centrinė žvalgybos agentūra, JAV). 2015 m. buvo stebimi 94386 asmenys, o 2011 m. JAV vyriausybė pagal šią programą gavo, kaip teigiama, daugiau kaip 250 mln. pranešimų.

60. Programa Upstream grindžiama įmonių, naudojančių „dorsale“ (kabelių, perjungiklių ir maršrutizatorių tinklas), per kurį perduodami telefonu ir internetu siunčiami pranešimai, privalomai teikiama pagalba. Šios įmonės privalo leisti NSA kopijuoti ir filtruoti interneto duomenų srautą siekiant gauti pranešimus, „išsiunčiamus iš“ šios agentūros nurodyme paminėto selektoriaus, šiam selektoriui „skirtus“ pranešimus arba pranešimus, „susijusius su“ šios agentūros nurodyme paminėtu selektoriumi. Pranešimai, „susiję su“ selektoriumi, yra tie, kuriuose nurodomas šis selektorius ir su šiuo selektoriumi nebūtinai siejamas ne JAV asmuo. Nors pagal 2017 m. balandžio 26 d. FISC nuomonę nuo šios datos Amerikos vyriausybė neberenka ir nebegauna pranešimų, „susijusių su“ selektoriumi, šioje nuomonėje nenurodyta, kad NSA nustojo kopijuoti ir filtruoti per jos taikomą stebėjimo mechanizmą pereinančių pranešimų srautą. Vadinasi, tai reiškė, kad vykdant programą Upstream NSA gauna ir metaduomenis, ir pranešimų turinį. Nuo 2011 m. NSA pagal programą Upstream gaudavo beveik 26,5 mln. pranešimų per metus, bet tai tik nedidelė dalis pranešimų, kuriems pagal šią programą buvo taikomas filtravimas.

61. Be to, kaip nustatė High Court (Aukštasis Teismas), pagal EO 12333 elektroninius pranešimus leidžiama stebėti ir už JAV teritorijos ribų, leidžiant užsienio žvalgybos tikslais gauti duomenis, kurie „perduodami“ per šią teritoriją arba ją „kerta“ ir nėra skirti tvarkyti joje, taip pat rinkti ir saugoti šiuos duomenis. EO 12333 sąvoka „užsienio žvalgyba“ apibrėžiama kaip apimanti informaciją, susijusią su užsienio valdžios, užsienio organizacijų ar užsieniečių galimybėmis, ketinimais ar veikla ( 17 ).

62. Pagal EO 12333 NSA buvo suteikta teisė naudotis Atlanto vandenyno dugne esančiais povandeniniais kabeliais, kuriais duomenys perduodami iš Sąjungos į JAV, dar prieš šiems duomenims pasiekiant JAV, vadinasi, prieš pradedant jiems taikyti FISA nuostatas. Vis dėlto nėra jokių įrodymų, kad pagal šį prezidento įsakymą būtų vykdoma kokia nors programa.

63. Nors EO 12333 numatyti informacijos rinkimo, saugojimo ir sklaidos apribojimai, šie apribojimai netaikomi ne JAV asmenims. Pastariesiems taikomos tik tos apsaugos priemonės, kurios nurodytos Presidential Policy Directive 28 (Prezidento politikos direktyva Nr. 28, toliau – PPD 28), taikomoje visai elektromagnetinės kilmės informacijos užsienio žvalgybos srityje rinkimo ir naudojimo veiklai. PPD 28 nurodyta, kad privataus gyvenimo gerbimas yra vienas iš motyvų, į kuriuos atsižvelgtina planuojant šią veiklą, kad informacija turi būti renkama vieninteliu tikslu gauti informaciją užsienio žvalgybos ir kontršnipinėjimo srityje ir kad ši veikla turi būti „kuo tikslingesnė“.

64. Kaip nurodo prašymą priimti prejudicinį sprendimą pateikęs teismas, NSA veikla, grindžiama EO 12333, kurį JAV prezidentas gali bet kada iš dalies pakeisti ar panaikinti, nėra reglamentuota įstatymo, jai netaikoma teismų kontrolė ir dėl jos nėra galimybės pareikšti ieškinio teisme.

65. Konstatavęs šias aplinkybes, minėtas teismas laikosi pozicijos, kad JAV masiškai ir be jokios atrankos tvarko asmens duomenis, todėl gali būti pažeistos duomenų subjektų teisės, kurias jie turi pagal Chartijos 7 ir 8 straipsnius.

66. Minėtas teismas taip pat nurodo, kad Sąjungos piliečiams nėra prieinamos tos pačios kaip ir JAV piliečiams teisminės teisių gynimo priemonės dėl JAV valdžios institucijų atliekamo neteisėto jų asmens duomenų tvarkymo. JAV Konstitucijos Ketvirtoji pataisa, kurioje numatyta didžiausia apsauga nuo neteisėto stebėjimo, netaikytina Sąjungos piliečiams, neturintiems savanoriško reikšmingo ryšio su JAV. Nors jiems suteikiamos tam tikros kitos teisių gynimo priemonės, jie susiduria su didelėmis kliūtimis.

67. Visų pirma pagal JAV Konstitucijos III straipsnį kiekvienas suinteresuotasis asmuo, norėdamas pareikšti ieškinį federaliniuose teismuose, turi įrodyti savo teisę pareikšti ieškinį (standing). Teisė pareikšti ieškinį suteikiama, jeigu, be kita ko, šis asmuo įrodo patyręs realią žalą, kuri, pirma, yra konkreti ir individuali ir, antra, esama arba neišvengiama. Remdamasis, be kita ko, Supreme Court of the United States (JAV Aukščiausiasis Teismas) sprendimu Clapper v. Amnesty International US ( 18 ), prašymą priimti prejudicinį sprendimą pateikęs teismas mano, kad praktiškai šią sąlygą pernelyg sunku įvykdyti, atsižvelgiant, be kitų aspektų, į tai, kad nėra jokios pareigos informuoti duomenų subjektus apie jiems taikomas sekimo priemones ( 19 ). Be to, Sąjungos piliečiams prieinamų teisių gynimo priemonių daliai taikomos ir kitos ribojančios sąlygos, pavyzdžiui, būtinybė įrodyti turtinę žalą. Žvalgybos agentūroms pripažįstamas imunitetas ir atitinkamos informacijos įslaptinimas taip pat neleidžia pasinaudoti kai kuriomis teisių gynimo priemonėmis ( 20 ).

68. High Court (Aukštasis Teismas) taip pat nurodo įvairius žvalgybos agentūrų veiklos kontrolės ir priežiūros mechanizmus.

69. Tarp jų yra, pirma, FISC taikomas FISA 702 straipsniu grindžiamų programų metinio sertifikavimo mechanizmas, tačiau jį taikydamas FISC netvirtina atskirų selektorių. Be to, informacijos rinkimui užsienio žvalgybos srityje pagal EO 12333 netaikoma jokia išankstinė teisminė kontrolė.

70. Antra, prašymą priimti prejudicinį sprendimą pateikęs teismas nurodo kelis žvalgybos veiklos neteisminės priežiūros mechanizmus. Jis visų pirma mini Inspectors General (generaliniai inspektoriai, JAV), kurie kiekvienoje žvalgybos agentūroje yra atsakingi už stebėjimo veiklos priežiūrą, vaidmenį. Be to, Privacy and Civil Liberties Oversight Board (PCLOB) (Privataus gyvenimo ir pilietinių laisvių priežiūros valdyba, JAV) kaip nepriklausoma vykdomosios valdžios grandies agentūra gauna kiekvienoje agentūroje paskirtų pilietinių laisvių arba privatumo pareigūnų (civil liberties or privacy officers) ataskaitas. PCLOB reguliariai rengia ataskaitas parlamento komitetams ir prezidentui. Atitinkamos agentūros turi pranešti, be kita ko, DNI apie incidentus, susijusius su taisyklių ir procedūrų, reglamentuojančių užsienio žvalgybos informacijos rinkimą, pažeidimu. Apie šiuos incidentus pranešama ir FISC. JAV Kongresas per Atstovų rūmų ir Senato žvalgybos komitetus taip pat yra atsakingas už užsienio žvalgybos veiklos kontrolę.

71. Vis dėlto High Court (Aukštasis Teismas) pažymi esminį skirtumą tarp, pirma, taisyklių, kuriomis siekiama užtikrinti, kad duomenys būtų gaunami teisėtai ir kad po to, kai šie duomenys gaunami, naudojant juos nebūtų piktnaudžiaujama, ir, antra, teisių gynimo priemonių, kurios yra prieinamos pažeidus šias taisykles. Duomenų subjektų pagrindinių teisių apsauga užtikrinama tik veiksmingomis teisių gynimo priemonėmis, leidžiančiomis asmenims remtis savo teisėmis, jeigu minėtos taisyklės pažeidžiamos.

72. Tokiomis aplinkybėmis prašymą priimti prejudicinį sprendimą pateikęs teismas laiko pagrįstais DPC pateiktus argumentus, pagal kuriuos JAV teisėje nustatytais asmenų, kurių duomenys perduodami iš Sąjungos, teisės pareikšti ieškinį apribojimais nepaisoma Chartijos 47 straipsnyje užtikrinamos teisės esmės ir bet kuriuo atveju jais neproporcingai ribojamas šios teisės įgyvendinimas.

73. Kaip teigia High Court (Aukštasis Teismas), tai, kad JAV vyriausybė numatė sprendime dėl „privatumo skydo“ apibūdintą ombudsmeno instituciją, neleidžia suabejoti šiuo vertinimu. Pažymėdamas, kad ši ombudsmeno institucija yra prieinama Sąjungos piliečiams, pagrįstai manantiems, kad jų duomenys buvo perduoti pagal sprendimus dėl SSS ( 21 ), šis teismas nurodė, kad ombudsmenas nėra teismas, atitinkantis Chartijos 47 straipsnio reikalavimus, visų pirma jis nėra nepriklausomas nuo vykdomosios valdžios ( 22 ). Minėtas teismas taip pat abejoja, ar ombudsmeno, kurio sprendimai negali būti skundžiami teismui, įtraukimas yra veiksminga teisių gynimo priemonė. Iš tiesų ombudsmeno įtraukimas neleidžia asmenims, kurių asmens duomenys buvo renkami, tvarkomi arba platinami neteisėtai, gauti žalos atlyginimo ar įpareigojimo nutraukti neteisėtus veiksmus, nes ombudsmenas nei patvirtina, nei paneigia, kad ieškovui buvo taikoma elektroninio stebėjimo priemonė.

74. Išdėstęs susirūpinimą jam keliančius klausimus, susijusius su tuo, ar JAV teisėje numatytos apsaugos priemonės ir iš Chartijos 7, 8 ir 47 straipsnių kylantys reikalavimai yra iš esmės tokie patys, prašymą priimti prejudicinį sprendimą pateikęs teismas klausė, ar sprendimuose dėl SSS numatytos standartinės sutarčių sąlygos, kurios pagal savo pobūdį nėra privalomos JAV valdžios institucijoms, vis dėlto gali užtikrinti duomenų subjektų pagrindinių teisių apsaugą. Tuo remdamasis minėtas teismas nusprendė, kad pritaria DPC abejonėms dėl šių sprendimų galiojimo.

75. Šiuo klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas visų pirma mano, kad Direktyvos 95/46 28 straipsnio 3 dalies, į kurią Sprendimo 2010/87 4 straipsnyje daroma nuoroda, pripažįstant priežiūros institucijoms įgaliojimus sustabdyti arba uždrausti duomenų perdavimą, grindžiamą šiame sprendime numatytomis standartinėmis sutarčių sąlygomis, nepakanka šioms abejonėms išsklaidyti. Jo nuomone, šie įgaliojimai yra tik diskreciniai, be to, prašymą priimti prejudicinį sprendimą pateikęs teismas, atsižvelgdamas į Sprendimo 2010/87 11 konstatuojamąją dalį, kelia klausimą dėl galimybės jais pasinaudoti, jeigu nustatyti trūkumai nesusiję su konkrečiu ir išimtiniu atveju, o yra bendro ir sisteminio pobūdžio ( 23 ). Taip pat, minėto teismo nuomone, rizika, kad skirtingose valstybėse narėse bus priimti skirtingi sprendimai, galėtų būti pagrindas prieštarauti, kad priežiūros institucijoms būtų pavesta konstatuoti tokius trūkumus.

76. Tokiomis aplinkybėmis High Court (Aukštasis Teismas) 2018 m. gegužės 4 d. sprendimu ( 24 ), kurį Teisingumo Teismas gavo 2018 m. gegužės 9 d., nutarė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui tokius prejudicinius klausimus: „1. Ar tais atvejais, kai privati bendrovė perduoda asmens duomenis iš [Sąjungos] valstybės narės privačiai bendrovei trečiojoje šalyje komerciniais tikslais pagal [Sprendimą 2010/87], ir toje trečiojoje šalyje jos institucijos gali toliau tvarkyti tokius asmens duomenis ne tik nacionalinio saugumo tikslais, bet ir teisėsaugos bei trečiosios šalies užsienio politikos tikslais, tokių duomenų perdavimui taikoma Sąjungos teisė (įskaitant [Chartiją]), nepaisant ESS 4 straipsnio 2 dalies nuostatų dėl nacionalinio saugumo ir [Direktyvos 95/46] 3 straipsnio 2 dalies pirmos įtraukos nuostatų dėl visuomenės saugumo, gynybos ir valstybės saugumo? 2. a) Ar norint nustatyti, ar perdavus duomenis iš [Sąjungos] į trečiąją šalį pagal Sprendimą [2010/87], kur jie gali būti toliau tvarkomi nacionalinio saugumo tikslais, buvo pažeistos asmens teisės, pagal [Direktyvą 95/46] svarbus lyginamasis teisės šaltinis yra: i) Chartija, ESS, SESV, [Direktyva 95/46], [Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvencija, pasirašyta 1950 m. lapkričio 4 d. Romoje (toliau – EŽTK) (arba kuri nors kita [Sąjungos] teisės nuostata); ar ii) vienos arba daugiau valstybių narių nacionaliniai įstatymai? b) Jeigu svarbus lyginamasis teisės šaltinis yra nurodytas ii punkte, ar į jį turi būti įtraukta ir vienos arba daugiau valstybių narių taikoma su nacionalinio saugumo užtikrinimu susijusi praktika? 3. Ar norint įvertinti, ar trečioji šalis užtikrina pagal [Sąjungos] teisę reikalaujamą asmens duomenų, perduodamų į tą šalį pagal [Direktyvos 95/46] 26 straipsnį, apsaugos lygį, apsaugos lygis toje trečiojoje šalyje turėtų būti vertinamas atsižvelgiant į: a) toje trečiojoje šalyje taikomas jos nacionalinės teisės arba tarptautinių įsipareigojimų nuostatas ir tokių nuostatų laikymosi užtikrinimo praktiką, įskaitant profesines nuostatas ir saugumo priemones, kurių laikomasi toje trečiojoje šalyje; ar b) a punkte nurodytas nuostatas kartu su administracine, reguliavimo ir reikalavimų laikymosi užtikrinimo praktika bei politikos įgyvendinimo užtikrinimo priemonėmis, procedūromis, protokolais, priežiūros mechanizmais ir neteisminėmis gynybos priemonėmis, kurios yra taikomos trečiojoje šalyje? 4. Atsižvelgiant į High Court (Aukštasis Teismas) nustatytas faktines aplinkybes, susijusias su JAV teise, jeigu asmens duomenys pagal Sprendimą [2010/87] perduodami iš [Sąjungos] į JAV, ar taip pažeidžiamos Chartijos 7 ir (arba) 8 straipsniuose numatytos asmens teisės? 5. Atsižvelgiant į High Court (Aukštasis Teismas) nustatytas faktines aplinkybes, susijusias su JAV teise, jeigu asmens duomenys perduodami iš [Sąjungos] į JAV pagal Sprendimą [2010/87]: a) ar JAV suteikiama apsauga yra tokio lygio, kad ja užtikrinama asmens teisės pasinaudoti pagal Chartijos 47 straipsnį garantuojamomis teisminės gynybos priemonėmis, kai pažeidžiamos jo teisės į duomenų privatumą, esmė? Jeigu atsakymas į a punkte pateiktą klausimą yra teigiamas: b) ar JAV teisėje numatyti asmens teisės pasinaudoti teisminės gynybos priemonėmis apribojimai, taikomi dėl JAV nacionalinio saugumo, yra proporcingi, kaip tai suprantama pagal Chartijos 52 straipsnį, ir jie neviršija to, kas būtina demokratinėje visuomenėje siekiant nacionalinio saugumo tikslų? 6. a) Kokio lygio apsaugą reikia užtikrinti asmens duomenims, perduodamiems į trečiąją šalį pagal sutarčių standartines sąlygas, nustatytas Komisijos sprendimu pagal 26 straipsnio 4 dalį, atsižvelgiant į [Direktyvos 95/46] nuostatas, visų pirma į jos 25 ir 26 straipsnius, aiškinamus atsižvelgiant į Chartiją? b) Į kokias aplinkybes reikia atsižvelgti, kai vertinama, ar pagal Sprendimą [2010/87] į trečiąją šalį perduodamiems duomenims suteikiamos apsaugos lygis atitinka [Direktyvos 95/46] ir Chartijos reikalavimus? 7. Ar aplinkybė, kad duomenų eksportuotojo ir duomenų importuotojo tarpusavio santykiams taikomos sutarčių standartinės sąlygos, nesaistančios trečiosios šalies nacionalinės valdžios institucijų, kurios gali pareikalauti duomenų importuotojo pateikti pagal [Sprendime 2010/87] pateiktas sąlygas perduotus asmens duomenis toliau tvarkyti jos saugumo tarnyboms, reiškia, kad pagal šias sąlygas negali būti pateiktos adekvačios apsaugos priemonės, kaip numatyta [Direktyvos 95/46] 26 straipsnio 2 dalyje? 8. Ar, jeigu duomenų importuotojui iš trečiosios šalies taikomi stebėjimo įstatymai, kurie, duomenų apsaugos institucijos manymu, prieštarauja [Sprendimo 2010/87] priede pateiktoms sąlygoms arba [Direktyvos 95/46] 25 ir 26 straipsniams ir (arba) Chartijai, [priežiūros] institucija privalo įgyvendinti pagal [Direktyvos 95/46] 28 straipsnio 3 dalį jai suteiktus vykdymo užtikrinimo įgaliojimus, kad sustabdytų duomenų srautus, ar tokie įgaliojimai gali būti įgyvendinami tik išimtiniais atvejais, atsižvelgiant į [Sprendimo 2010/87] 11 konstatuojamąją dalį, ar [priežiūros] institucija gali pasinaudoti diskrecija nestabdyti duomenų srautų? 9. a) Ar, atsižvelgiant į [Direktyvos 95/46] 25 straipsnio 6 dalį, Sprendimas [dėl „privatumo skydo“] yra visuotinai taikoma išvada, privaloma valstybių narių duomenų apsaugos institucijoms ir teismams, kiek jame numatyta, kad JAV savo šalies įstatymais arba prisiimtais tarptautiniais įsipareigojimais užtikrina adekvatų apsaugos lygį, kaip tai suprantama pagal [Direktyvos 95/46] 25 straipsnio 2 dalį? b) Jeigu taip nėra, kokią reikšmę Sprendimas dėl „privatumo skydo“ turi (jeigu iš viso turi), kai vertinamas apsaugos priemonių, taikomų pagal [Sprendimą 2010/87] į Jungtines Valstijas perduodamiems duomenims, tinkamumas? 10. Ar, atsižvelgiant į High Court (Aukštasis Teismas) nustatytas su JAV teise susijusias aplinkybes, „privatumo skydo“ ombudsmeno institucijos įsteigimas pagal Sprendimo dėl „privatumo skydo“ III priedo A priedą, vertinamą kartu su Jungtinėse Valstijose galiojančia sistema, užtikrina, kad JAV suteikia duomenų subjektams, kurių asmens duomenys perduodami į JAV pagal [Sprendimą 2010/87], teisių gynybos priemones, atitinkančias Chartijos 47 straipsnio reikalavimus? 11. Ar [Sprendimas 2010/87] pažeidžia Chartijos 7, 8 ir (arba) 47 straipsnius?“

77. Rašytines pastabas Teisingumo Teismui pateikė DPC, Facebook Ireland, M. Schrems, JAV vyriausybė, EPIC, BSA, Digitaleurope, Airija, Belgijos, Čekijos, Vokietijos, Nyderlandų, Austrijos, Lenkijos, Portugalijos ir Jungtinės Karalystės vyriausybės, Europos Parlamentas ir Komisija. DPC, Facebook Ireland, M. Schrems, JAV vyriausybei, EPIC, BSA, Digitaleurope, Airijos, Vokietijos, Prancūzijos, Nyderlandų, Austrijos ir Jungtinės Karalystės vyriausybėms, Parlamentui, Komisijai ir Europos duomenų apsaugos valdybai (European Data Protection Board, EDPB) buvo atstovaujama 2019 m. liepos 9 d. teismo posėdyje.

IV. Analizė

A. Įvadinės pastabos

78. Po to, kai Teisingumo Teismas Sprendimu Schrems pripažino sprendimą dėl „saugaus uosto“ negaliojančiu, asmens duomenys buvo toliau perduodami į JAV remiantis kitais teisiniais pagrindais. Visų pirma duomenis eksportuojančios bendrovės galėjo remtis sutartimis su duomenų importuotojais, į kurias buvo įtraukiamos Komisijos parengtos standartinės sąlygos. Šios sąlygos taip pat yra teisinis pagrindas perduoti duomenis į daugelį kitų trečiųjų šalių, dėl kurių Komisija nėra priėmusi sprendimo dėl tinkamumo ( 25 ). Dabar pagal sprendimą dėl „privatumo skydo“ autosertifikuotoms įmonėms, patvirtinusioms, kad laikosi šiame sprendime nustatytų principų, leidžiama perduoti asmens duomenis į JAV netaikant jokių kitų formalumų.

79. Kaip aiškiai nurodyta nutartyje dėl prašymo priimti prejudicinį sprendimą ir kaip pažymėjo BSA, Digitaleurope, Airija, Austrijos ir Prancūzijos vyriausybės, Parlamentas ir Komisija, High Court (Aukštasis Teismas) nagrinėjamoje pagrindinėje byloje siekiama vienintelio tikslo – nustatyti, ar sprendimas, kuriame Komisija nustatė standartines sutarčių sąlygas, kuriomis grindžiamas M. Schrems skunde nurodytas duomenų perdavimas, t. y. Sprendimas 2010/87 ( 26 ) galioja.

80. Šis ginčas kilo dėl skundo, kuriuo DPC paprašė prašymą priimti prejudicinį sprendimą pateikusio teismo pateikti Teisingumo Teismui prejudicinį klausimą dėl Sprendimo 2010/87 galiojimo. Kaip nurodo prašymą priimti prejudicinį sprendimą pateikęs teismas, pagrindinė byla susijusi su naudojimusi teisių gynimo priemonėmis, kurias Teisingumo Teismas Sprendimo Schrems 65 punkte įpareigojo valstybes nares nustatyti.

81. Reikėtų priminti, jog minėto sprendimo 63 punkte Teisingumo Teismas konstatavo, kad priežiūros institucija turi ypač kruopščiai išnagrinėti skundą, kuriame asmuo, kurio asmens duomenys buvo arba galėjo būti perduoti į trečiąją šalį, dėl kurios buvo priimtas sprendimas dėl tinkamumo, ginčija šio sprendimo suderinamumą su Chartijoje įtvirtintomis pagrindinėmis teisėmis. Kaip nurodyta to paties sprendimo 65 punkte, jeigu minėta institucija mano, kad šiame skunde pateikti kaltinimai yra pagrįsti, ji pagal Direktyvos 95/46 28 straipsnio 3 dalies pirmą pastraipą (ją atitinka BDAR 58 straipsnio 5 dalis), aiškinamą atsižvelgiant į Chartijos 8 straipsnio 3 dalį, turi galėti kreiptis į teismą. Šiuo atžvilgiu nacionalinės teisės aktų leidėjas turi numatyti teisių gynimo priemones, leidžiančias atitinkamai nacionalinei priežiūros institucijai remtis šiais kaltinimais nacionaliniuose teismuose, tam, kad šie teismai pateiktų prašymą priimti prejudicinį sprendimą, jei, kaip ir ši institucija, turėtų abejonių dėl nagrinėjamo sprendimo galiojimo.

82. Kaip ir prašymą priimti prejudicinį sprendimą pateikęs teismas, laikausi nuomonės, kad šios išvados pagal analogiją taikomos tuo atveju, kai priežiūros institucija, nagrinėdama jai paduotą skundą, turi abejonių ne dėl sprendimo dėl tinkamumo, o tokio sprendimo kaip Sprendimas 2010/87, kuriuo nustatomos standartinės sutarčių sąlygos, taikomos asmens duomenų perdavimui į trečiąsias šalis, galiojimo. Priešingai, nei teigia Vokietijos vyriausybė, nesvarbu, kad šios abejonės atitinka skundo pateikėjo šioje institucijoje iškeltus kaltinimus ar kad ši institucija pati savo iniciatyva kvestionuoja nagrinėjamo sprendimo galiojimą. Iš BDAR 58 straipsnio 5 dalies ir Chartijos 8 straipsnio 3 dalies kylantys reikalavimai, kuriais yra grindžiami Teisingumo Teismo motyvai, taikomi neatsižvelgiant į tai, koks duomenų perdavimo teisinis pagrindas nurodytas priežiūros institucijai pateiktame skunde, ir į priežastis, dėl kurių ši institucija, nagrinėdama šį skundą, suabejojo atitinkamo sprendimo galiojimu.

83. Atsižvelgiant į šiuos patikslinimus, DPC prašė prašymą priimti prejudicinį sprendimą pateikusio teismo pateikti Teisingumo Teismui klausimą dėl Sprendimo 2010/87 galiojimo tik todėl, kad jam atrodo, jog tam, kad būtų išnagrinėtas skundas, kuriuo M. Schrems prašo jo pasinaudoti jam pagal Direktyvos 95/46 28 straipsnio 3 dalies antrą įtrauką suteiktais įgaliojimais (kurie dabar jam suteikiami pagal BDAR 58 straipsnio 2 dalies f punktą) sustabdyti Facebook Ireland atliekamą jo asmens duomenų perdavimą Facebook Inc., yra būtinas Teisingumo Teismo išaiškinimas.

84. Vadinasi, kadangi pagrindinėje byloje kilęs ginčas susijęs tik su Sprendimo 2010/87 galiojimu in abstracto, DPC vykdoma pirminė procedūra susijusi su šios institucijos įgaliojimų konkrečiu atveju imtis taisomųjų priemonių įgyvendinimu. Siūlysiu Teisingumo Teismui išnagrinėti pateiktus klausimus tiek, kiek to reikia sprendimui dėl Sprendimo 2010/87 galiojimo priimti, nes šio nagrinėjimo pakaks tam, kad prašymą priimti prejudicinį sprendimą pateikęs teismas galėtų išspręsti jam perduotą ginčą ( 27 ).

85. Prieš vertinant šio sprendimo galiojimą reikia atmesti kai kuriuos prieštaravimus dėl prašymo priimti prejudicinį sprendimą priimtinumo.

B. Dėl prašymo priimti prejudicinį sprendimą priimtinumo

86. Prašymo priimti prejudicinį sprendimą priimtinumas buvo ginčijamas dėl įvairių priežasčių, iš esmės susijusių su prejudiciniuose klausimuose nurodytos Direktyvos 95/46 netaikytinumu ratione temporis (1 dalis), su tuo, kad DPC vykdoma procedūra nėra pakankamai pažengusi, kad būtų pateisinamas jos tikslingumas (2 dalis), ir su neišsklaidytomis abejonėmis dėl prašymą priimti prejudicinį sprendimą pateikusio teismo nurodytų faktinių aplinkybių (3 dalis).

87. Šiuos nepriimtinumo pagrindus nagrinėsiu atsižvelgdamas į svarbos prezumpciją, taikomą Teisingumo Teismui pagal SESV 267 straipsnį pateiktiems klausimams. Pagal suformuotą jurisprudenciją Teisingumo Teismas gali atsisakyti priimti sprendimą dėl prašymo priimti prejudicinį sprendimą tik jeigu akivaizdu, kad prašomas Sąjungos teisės nuostatos išaiškinimas visiškai nesusijęs su pagrindinėje byloje nagrinėjamo ginčo aplinkybėmis ar dalyku, jeigu problema hipotetinė arba Teisingumo Teismas neturi informacijos apie faktines ir teisines aplinkybes, būtinos tam, kad naudingai atsakytų į jam pateiktus klausimus ( 28 ).

1. Dėl Direktyvos 95/46 taikytinumo „ratione temporis“

88. Facebook Ireland nurodo, kad prejudiciniai klausimai yra nepriimtini todėl, kad juose nurodoma Direktyva 95/46, nors nuo 2018 m. gegužės 25 d. ši direktyva buvo panaikinta ir pakeista BDAR ( 29 ).

89. Pritariu, kad Sprendimo 2010/87 galiojimas turi būti nagrinėjamas atsižvelgiant į BDAR nuostatas.

90. Pagal šio reglamento 94 straipsnio 2 dalį „nuorodos į panaikintą direktyvą laikomos nuorodomis į šį reglamentą“. Man atrodo, tai reiškia, kad Sprendimas 2010/87, kiek jame kaip teisinis pagrindas nurodoma Direktyvos 26 straipsnio 4 dalis, turi būti suprantamas kaip nurodantis BDAR 46 straipsnio 2 dalies c punktą, kuriame iš esmės pakartojamas minėtos direktyvos nuostatos turinys ( 30 ). Taigi įgyvendinimo sprendimai, kuriuos prieš įsigaliojant BDAR Komisija priėmė pagal Direktyvos 95/46 26 straipsnio 4 dalį, turi būti aiškinami atsižvelgiant į šį reglamentą. Be to, prireikus ir jų galiojimas turi būti vertinamas remiantis šiuo reglamentu.

91. Šios išvados nepaneigia jurisprudencija, pagal kurią Sąjungos akto teisėtumas turi būti vertinamas atsižvelgiant į šio akto priėmimo dieną buvusias faktines ir teisines aplinkybes. Iš tiesų ši jurisprudencija susijusi su Sąjungos akto galiojimo nagrinėjimu atsižvelgiant į jo priėmimo metu buvusias reikšmingas faktines aplinkybes ( 31 ) arba jo priėmimą reglamentavusias procedūrines taisykles ( 32 ). Vis dėlto Teisingumo Teismas jau daug kartų nagrinėjo antrinės teisės aktų galiojimą, remdamasis aukštesnės galios materialinės teisės normomis, įsigaliojusiomis po šių aktų priėmimo ( 33 ).

92. Vis dėlto, nors yra pateisinama performuluoti prejudicinius klausimus, kuriuose nurodomas ratione temporis nebetaikomas aktas, tai negali lemti jų nepriimtinumo ( 34 ). Kaip teigia DPC ir M. Schrems, nuorodas į Direktyvą 95/46 prejudiciniuose klausimuose taip pat galima paaiškinti atsižvelgiant į šios bylos nagrinėjimo trukmę, nes šie klausimai buvo pateikti Teisingumo Teismui prieš įsigaliojant BDAR.

93. Bet kuriuo atveju BDAR nuostatose, kurios bus nagrinėjamos analizuojant prejudicinius klausimus, t. y. konkrečiai jo 45, 46 ir 58 straipsniuose, iš esmės pakartojamas (išplėtojamas atsižvelgiant į tam tikrus nedidelius skirtumus) Direktyvos 95/46 25, 26 ir 28 straipsnių turinys. Kiek tai susiję su jų aspektais, kurie yra reikšmingi priimant sprendimą dėl Sprendimo 2010/87 galiojimo, nematau jokio pagrindo šioms BDAR nuostatoms priskirti kitokią taikymo sritį nei atitinkamoms Direktyvos 95/46 nuostatoms ( 35 ).

2. Dėl DPC išreikštų abejonių negalutinio pobūdžio

94. Vokietijos vyriausybės teigimu, prašymas priimti prejudicinį sprendimą yra nepriimtinas todėl, kad Sprendimo Schrems 65 punkte nurodyta ieškinio pareiškimo procedūra reikalauja, kad priežiūros institucija būtų susidariusi galutinę nuomonę dėl ieškovo pateiktų prieštaravimų dėl nagrinėjamo sprendimo galiojimo, pagrįstumo. Taip nėra šioje byloje nagrinėjamu atveju, nes DPC išreiškė abejones dėl Sprendimo 2010/87 galiojimo (kurio, be to, M. Schrems neginčija) negalutiniame sprendimo projekte, nedarant poveikio galimam papildomų Facebook Ireland ir M. Schrems pastabų pateikimui.

95. Mano nuomone, negalutinis DPC išreikštų abejonių pobūdis neturi poveikio prašymo priimti prejudicinį sprendimą priimtinumui. Prejudicinio klausimo priimtinumo kriterijai turi būti vertinami atsižvelgiant į ginčo dalyką, kurį yra apibrėžęs prašymą priimti prejudicinį sprendimą pateikęs teismas ( 36 ). Vis dėlto neginčijama, kad jis susijęs su Sprendimo 2010/87 galiojimu. Kaip nurodyta nutartyje dėl prašymo priimti prejudicinį sprendimą ir prie jos pridėtame teismo sprendime, šis teismas mano, kad DPC išreikštos abejonės, nesvarbu, ar jos buvo negalutinės, ar galutinės, yra pagrįstos, todėl jis kreipėsi į Teisingumo Teismą su klausimu dėl šio sprendimo galiojimo. Tokiomis aplinkybėmis Teisingumo Teismo išaiškinimas šiuo klausimu yra neabejotinai svarbus minėtam teismui, kad jis galėtų išspręsti jam perduotą ginčą.

3. Dėl neaiškumų, susijusių su faktinių aplinkybių nustatymu

96. Jungtinės Karalystės vyriausybė teigia, kad prašymą priimti prejudicinį sprendimą pateikęs teismas netiksliai apibūdino faktines aplinkybes, todėl prejudiciniai klausimai yra nepriimtini. Minėtas teismas nepaaiškino, ar M. Schrems asmens duomenys tikrai buvo perduodami į JAV, o jei taip, tai ar JAV valdžios institucijos juos rinko. Be to, nebuvo tiksliai nustatytas šio galimo duomenų perdavimo teisinis pagrindas, nutartyje dėl prašymo priimti prejudicinį sprendimą tiesiog paminint, kad socialinio tinklo Facebook naudotojų Europoje duomenys „daugiausia“ perduodami remiantis Sprendime 2010/87 numatytomis standartinėmis sutarčių sąlygomis. Bet kuriuo atveju nebuvo nustatyta, kad šios sąlygos buvo tiksliai įtrauktos į Facebook Ireland ir Facebook Inc. sutartį, kuria buvo remiamasi kaip ginčijamo duomenų perdavimo pagrindu. Vokietijos vyriausybė taip pat ginčija prašymo priimti prejudicinį sprendimą priimtinumą, motyvuodama tuo, kad prašymą priimti prejudicinį sprendimą pateikęs teismas neišnagrinėjo, ar M. Schrems iš tiesų davė sutikimą perduoti duomenis, nes tokiu atveju perdavimas būtų buvęs teisėtai grindžiamas Direktyvos 95/46 26 straipsnio 1 dalimi (šios nuostatos turinys iš esmės pakartotas BDAR 49 straipsnio 1 dalies a punkte).

97. Šie argumentai neleidžia suabejoti prašymo priimti prejudicinį sprendimą svarba atsižvelgiant į pagrindinės bylos dalyką. Kadangi šis ginčas kilo DPC pasinaudojus Sprendimo Schrems 65 punkte numatyta teisių gynimo priemone, pats jo tikslas yra tas, kad nacionalinis teismas kreiptųsi prejudicinio sprendimo dėl Sprendimo 2010/87 galiojimo. Vokietijos ir Jungtinės Karalystės vyriausybės ginčija prejudicinių klausimų reikalingumą ne tam, kad būtų nustatyta, ar šis sprendimas galioja, o tam, kad DPC būtų suteikta galimybė priimti sprendimą in concreto dėl M. Schrems skundo.

98. Bet kuriuo atveju, net atsižvelgiant į šią pirminę procedūrą pagrindinėje byloje, prejudiciniai klausimai, susiję su Sprendimo 2010/87 galiojimu, man neatrodo nesvarbūs. Iš tiesų prašymą priimti prejudicinį sprendimą pateikęs teismas nustatė, kad po sprendimo dėl „saugaus uosto“ pripažinimo negaliojančiu Facebook Ireland toliau perdavinėjo savo naudotojų duomenis į JAV ir kad šios duomenų perdavimo operacijos (bent dalis jų) grindžiamos Sprendimu 2010/87. Be to, nors ir gali būti naudinga, kad visos reikšmingos faktinės aplinkybės būtų nustatytos prieš prašymą priimti prejudicinį sprendimą pateikusiam teismui pasinaudojant jam pagal SESV 267 straipsnį suteikta kompetencija, tik šis teismas turi įvertinti, kokiu proceso etapu jam yra reikalingas Teisingumo Teismo prejudicinis sprendimas ( 37 ).

99. Atsižvelgdamas į visa tai, kas išdėstyta, manau, kad prašymas priimti prejudicinį sprendimą yra priimtinas.

C. Dėl Sąjungos teisės taikytinumo asmens duomenų perdavimui komerciniais tikslais į trečiąją valstybę, kuri gali juos tvarkyti nacionalinio saugumo tikslais (pirmasis klausimas)

100. Pirmuoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas siekia išsiaiškinti, ar Sąjungos teisė taikoma tais atvejais, kai valstybėje narėje esanti bendrovė komerciniais tikslais perduoda asmens duomenis trečiojoje šalyje įsteigtai bendrovei, jeigu pradėjus perduoti duomenis šios trečiosios šalies valdžios institucijos gali tvarkyti šiuos duomenis, be kita ko, nacionalinio saugumo tikslais.

101. Šis klausimas yra svarbus sprendimui pagrindinėje byloje priimti, nes jeigu tokiam duomenų perdavimui Sąjungos teisė netaikoma, visi šioje byloje iškelti prieštaravimai dėl Sprendimo 2010/87 galiojimo netektų pagrindo.

102. Kaip pažymėjo prašymą priimti prejudicinį sprendimą pateikęs teismas, asmens duomenų tvarkymas nacionalinio saugumo tikslais nebuvo įtrauktas į Direktyvos 95/46 taikymo sritį pagal jos 3 straipsnio 2 dalį. Dabar BDAR 2 straipsnio 2 dalyje patikslinta, kad šis reglamentas netaikomas, be kita ko, duomenų tvarkymui, kai duomenys tvarkomi vykdant veiklą, kuriai Sąjungos teisė netaikoma, arba kai kompetentingos valdžios institucijos juos tvarko, siekdamos apsaugoti visuomenės saugumą. Šios nuostatos atspindi ESS 4 straipsnio 2 dalyje valstybėms narėms pripažįstamą išlygą dėl kompetencijos nacionalinio saugumo užtikrinimo srityje.

103. DPC, M. Schrems, Airija, Vokietijos, Austrijos, Belgijos, Čekijos, Nyderlandų, Lenkijos ir Portugalijos vyriausybės, taip pat Parlamentas ir Komisija teigia, kad tokiam duomenų perdavimui, kuris nurodytas M. Schrems skunde, šios nuostatos netaikomos, todėl jis patenka į Sąjungos teisės taikymo sritį. Facebook Ireland teigia priešingai. Palaikau pirmąjį iš šių požiūrių.

104. Šiuo klausimu reikėtų pažymėti, kad asmens duomenų perdavimas iš valstybės narės į trečiąją šalį savaime yra „duomenų tvarkymas“, kaip tai suprantama pagal BDAR 4 straipsnio 2 punktą, atliekamas valstybės narės teritorijoje ( 38 ). Pirmuoju prejudiciniu klausimu konkrečiai siekiama nustatyti, ar Sąjungos teisė taikoma duomenų tvarkymui, kurį sudaro pats duomenų perdavimas. Šis klausimas nėra susijęs su Sąjungos teisės taikytinumu galimam paskesniam į JAV perduotų duomenų tvarkymui, kurį JAV valdžios institucijos atliktų nacionalinio saugumo tikslais, nepatenkančiam į BDAR teritorinę taikymo sritį ( 39 ).

105. Šiuo požiūriu siekiant nustatyti, ar Sąjungos teisė taikoma nagrinėjamam duomenų perdavimui, reikia atsižvelgti tik į veiklą, kurią vykdant perduodami šie duomenys, ir nėra svarbu, kokiu tikslu vėliau trečiosios paskirties šalies viešosios valdžios institucijos galbūt tvarkys perduotus duomenis ( 40 ).

106. Vis dėlto iš nutarties dėl prašymo priimti prejudicinį sprendimą matyti, kad M. Schrems skunde nurodytas duomenų tvarkymas susijęs su komercine veikla. Be to, nagrinėjami duomenys buvo perduodami nesiekiant tikslo leisti JAV valdžios institucijoms vėliau juos tvarkyti nacionalinio saugumo tikslais.

107. Dar reikėtų pridurti, kad, laikantis Facebook Ireland siūlomo požiūrio, BDAR nuostatos, susijusios su duomenų perdavimu į trečiąsias šalis, taptų neveiksmingos, nes niekada negalima atmesti, kad vykdant komercinę veiklą perduoti duomenys po jų perdavimo bus tvarkomi nacionalinio saugumo tikslais.

108. Mano siūlomą aiškinimą patvirtina BDAR 45 straipsnio 2 dalies a punkto formuluotė. Šioje nuostatoje nurodyta, kad jeigu Komisija priima sprendimą dėl tinkamumo, ji atsižvelgia, be kita ko, į konkrečios trečiosios šalies teisės aktus nacionalinio saugumo srityje. Iš to galima spręsti, kad galimybė, kad trečiosios paskirties šalies valdžios institucijos tvarkys duomenis, siekdamos užtikrinti nacionalinį saugumą, nereiškia, kad Sąjungos teisė netaikytina duomenų tvarkymui, kurį sudaro duomenų perdavimas į šią trečiąją šalį.

109. Teisingumo Teismo motyvai ir išvados Sprendime Schrems taip pat grindžiami šia prielaida. Visų pirma Teisingumo Teismas jame nagrinėjo sprendimo dėl „saugaus uosto“ galiojimą, kiek jis buvo susijęs su asmens duomenų perdavimu į JAV, kur jie galėjo būti renkami ir tvarkomi nacionalinio saugumo užtikrinimo tikslais, atsižvelgiant į Direktyvos 95/46 25 straipsnio 6 dalį, aiškinamą atsižvelgiant į Chartiją ( 41 ).

110. Atsižvelgdamas į šiuos argumentus, laikausi nuomonės, kad Sąjungos teisė taikoma asmens duomenų perdavimui iš valstybės narės į trečiąją šalį, jeigu šie duomenys perduodami vykdant komercinę veiklą, ir tai, ar šie duomenys vėliau gali būti tvarkomi šios trečiosios šalies viešosios valdžios institucijų siekiant užtikrinti nacionalinį saugumą, neturi reikšmės.

D. Dėl apsaugos lygio, reikalaujamo perduodant duomenis remiantis standartinėmis sutarčių sąlygomis (šeštojo prejudicinio klausimo pirma dalis)

111. Šeštojo prejudicinio klausimo pirmoje dalyje prašymą priimti prejudicinį sprendimą pateikęs teismas siekia išsiaiškinti, koks yra duomenų subjektų pagrindinių teisių apsaugos lygis, kuris turi būti užtikrinamas, kad asmens duomenys galėtų būti perduodami į trečiąją šalį pagal Sprendime 2010/87 numatytas standartines sutarčių sąlygas.

112. Minėtas teismas pažymi, jog Sprendime Schrems Teisingumo Teismas Direktyvos 95/46 25 straipsnio 6 dalį (jos turinys iš esmės pakartotas BDAR 45 straipsnio 3 dalyje) tiek, kiek joje buvo numatyta, kad Komisija gali priimti sprendimą dėl tinkamumo tik įsitikinusi, kad nurodyta trečioji šalis užtikrina tinkamą apsaugos lygį, aiškino taip, kad ši šalis užtikrina iš esmės tokį patį pagrindinių laisvių ir teisių apsaugos lygį, koks garantuojamas Sąjungoje pagal šią direktyvą, aiškinamą atsižvelgiant į Chartiją ( 42 ).

113. Šiomis aplinkybėmis pagal pirmą šeštojo prejudicinio klausimo dalį Teisingumo Teismo prašoma nustatyti, ar „sutarčių standartinių sąlygų“, kurias Komisija priėmė pagal Direktyvos 95/46 26 straipsnio 4 dalį ir kurios atitinka dabar BDAR 46 straipsnio 2 dalies c punkte minimas „standartines duomenų apsaugos sąlygas“, taikymas turi leisti pasiekti tokį apsaugos lygį, kuris atitiktų tą patį „esminio tapatumo“ standartą.

114. Šiuo klausimu BDAR 46 straipsnio 1 dalyje numatyta, kad duomenų valdytojas gali perduoti asmens duomenis į trečiąją šalį nesant sprendimo dėl tinkamumo tik tuo atveju, „jeigu duomenų valdytojas arba duomenų tvarkytojas yra nustatęs tinkamas apsaugos priemones, su sąlyga, kad suteikiama galimybė naudotis vykdytinomis duomenų subjektų teisėmis ir veiksmingomis duomenų subjektų teisių gynimo priemonėmis“ (išskirta mano) ( 43 ). Pagal BDAR 46 straipsnio 2 dalies c punktą šios apsaugos priemonės, be kita ko, gali būti nustatomos Komisijos parengtomis standartinėmis duomenų apsaugos sąlygomis.

115. Pritardamas DPC, M. Schrems ir Airijai, laikausi nuomonės, kad BDAR 46 straipsnio 1 dalyje nurodytos duomenų valdytojo nustatomos „tinkamos apsaugos priemonės“ turi užtikrinti, kad asmenų, kurių duomenys perduodami, teisėms, kaip ir perduodant duomenis remiantis sprendimu dėl tinkamumo, suteikiamas apsaugos lygis būtų iš esmės toks pat kaip numatytasis BDAR, aiškinamame atsižvelgiant į Chartiją.

116. Šią išvadą lemia šios nuostatos ir teisės akto, kuriame ji įtvirtinta, tikslas.

117. BDAR 45 ir 46 straipsnių tikslas – užtikrinti šiuo reglamentu garantuojamo aukšto asmens duomenų apsaugos lygio tęstinumą, kai šie duomenys perduodami už Sąjungos ribų. BDAR 44 straipsniu „Bendras duomenų perdavimo principas“ pradedamas jo V skyrius, kuriame reglamentuojamas duomenų perdavimas į trečiąsias šalis, nurodant, kad visos šio skyriaus nuostatos taikomos siekiant užtikrinti, kad, jeigu duomenys perduodami į trečiąją valstybę, nebūtų pakenkta šiuo reglamentu garantuojamam apsaugos lygiui ( 44 ). Šia taisykle siekiama išvengti, kad perduodant asmens duomenis į trečiąją šalį jų tvarkymo tikslu būtų nepaisoma Sąjungos teisės suteikiamo apsaugos lygio ( 45 ). Atsižvelgiant į šį tikslą, nesvarbu, ar duomenų perdavimas grindžiamas sprendimu dėl tinkamumo, ar duomenų valdytojo numatytomis apsaugos priemonėmis, be kita ko, pasitelkiant standartines sutarčių sąlygas. Chartijoje užtikrinamų pagrindinių teisių apsaugos reikalavimai taikomi nedarant skirtumo pagal tai, kokiu teisiniu pagrindu grindžiamas konkretus duomenų perdavimas ( 46 ).

118. Vis dėlto tai, kaip yra išlaikomas aukšto apsaugos lygio tęstinumas, skiriasi atsižvelgiant į duomenų perdavimo teisinį pagrindą.

119. Pirma, sprendimo dėl tinkamumo tikslas – konstatuoti, kad jame nurodyta trečioji šalis pati užtikrina iš esmės tokį patį apsaugos lygį kaip tas, kuris turi būti užtikrinamas Sąjungoje. Priimdama sprendimą dėl tinkamumo Komisija prieš tai konkrečios trečiosios šalies atveju turi įvertinti šios trečiosios šalies teisėje ir praktikoje užtikrinamą apsaugos lygį atsižvelgiant į BDAR 45 straipsnio 3 dalyje nurodytus veiksnius. Taigi asmens duomenys gali būti perduodami į šią trečiąją šalį nereikalaujant, kad duomenų valdytojas gautų kokį nors leidimą.

120. Antra, kaip išsamiau paaiškinta tolesnėje šios išvados dalyje, duomenų valdytojo numatytomis tinkamomis apsaugos priemonėmis siekiama užtikrinti aukštą apsaugos lygį, jeigu trečiojoje paskirties šalyje suteikiamos apsaugos priemonės nėra pakankamos. Taigi, nors pagal BDAR 46 straipsnio 1 dalį asmens duomenis į trečiąsias valstybes leidžiama perduoti neužtikrinant tinkamo apsaugos lygio, pagal šią nuostatą šiuos duomenis leidžiama perduoti tik jeigu tinkamos apsaugos priemonės užtikrinamos kitais būdais. Šiuo atveju Komisijos priimtos standartinės sutarčių sąlygos yra duomenų perdavimui taikomas bendras mechanizmas, neatsižvelgiant į trečiąją paskirties šalį ir joje užtikrinamą apsaugos lygį.

E. Dėl Sprendimo 2010/87 galiojimo atsižvelgiant į Chartijos 7, 8 ir 47 straipsnius (septintasis, aštuntasis ir vienuoliktasis prejudiciniai klausimai)

121. Septintuoju prejudiciniu klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia sužinoti, ar Sprendimas 2010/87 negalioja todėl, kad jis nesaisto trečiųjų valstybių, į kurias duomenys perduodami remiantis šio sprendimo priede numatytomis standartinėmis sutarčių sąlygomis, valdžios institucijų, ir visų pirma todėl, kad juo šioms valdžios institucijoms nedraudžiama reikalauti, kad duomenų importuotojas pateiktų joms šiuos duomenis. Taigi šiuo klausimu kvestionuojama pati galimybė užtikrinti tinkamą tokių duomenų apsaugos lygį taikant vien sutartinio pobūdžio mechanizmus. Vienuoliktasis prejudicinis klausimas bendrai susijęs su Sprendimo 2010/87 galiojimu atsižvelgiant į Chartijos 7, 8 ir 47 straipsnius.

122. Aštuntuoju prejudiciniu klausimu Teisingumo Teismo prašoma nustatyti, ar priežiūros institucija turi pasinaudoti jai pagal BDAR 58 straipsnio 2 dalies f ir j punktus suteiktais įgaliojimais, kad sustabdytų Sprendime 2010/87 numatytomis standartinėmis sutarčių sąlygomis grindžiamą duomenų perdavimą į trečiąją šalį, jeigu mano, kad duomenų importuotojui šioje trečiojoje šalyje taikomi įpareigojimai, neleidžiantys jam laikytis šių sąlygų ir dėl šių įpareigojimų nėra užtikrinamas tinkamas perduodamų duomenų apsaugos lygis. Kadangi, mano nuomone, atsakymas į šį klausimą turi poveikį Sprendimo 2010/87 galiojimui ( 47 ), nagrinėsiu jį kartu su septintuoju ir vienuoliktuoju prejudiciniais klausimais.

123. BDAR 46 straipsnio 1 dalies formuluotė, nurodant, kad „jeigu nėra priimtas sprendimas pagal 45 straipsnio 3 dalį, duomenų valdytojas arba duomenų tvarkytojas gali perduoti asmens duomenis į trečiąją valstybę <…> tik tuo atveju, jeigu duomenų valdytojas arba duomenų tvarkytojas yra nustatęs tinkamas apsaugos priemones <…>“ (išskirta mano), parodo logiką, kuria grindžiami sutartiniai mechanizmai, kaip antai numatytieji Sprendime 2010/87. Kaip pažymėta BDAR 108 ir 114 konstatuojamosiose dalyse, šių mechanizmų tikslas – leisti perduoti duomenis į trečiąsias šalis, dėl kurių Komisija nėra priėmusi sprendimo dėl tinkamumo, todėl galimai nepakankama šios trečiosios šalies teisės sistemoje užtikrinama duomenų apsauga kompensuojama apsaugos priemonėmis, kurių duomenų eksportuotojas ir duomenų importuotojas įsipareigoja laikytis pagal sutartį.

124. Kadangi sutartinių garantijų esmė būtent ir yra užpildyti galimas trečiosios paskirties šalies siūlomos apsaugos spragas, nesvarbu, kokios jos būtų, sprendimo, kuriuo Komisija konstatuoja, kad tam tikros standartinės sąlygos tinkamai užpildo šias spragas, galiojimas negali priklausyti nuo kiekvienoje konkrečioje trečiojoje šalyje, į kurią gali būti perduodami duomenys, užtikrinamo apsaugos lygio. Tokio sprendimo galiojimas priklauso tik nuo šiose sąlygose numatytų apsaugos priemonių, skirtų galimam apsaugos nepakankamumui trečiojoje paskirties šalyje kompensuoti, patikimumo. Šių apsaugos priemonių veiksmingumas taip pat turi būti vertinamas atsižvelgiant į saugiklius – BDAR 58 straipsnio 2 dalyje numatytus priežiūros institucijų įgaliojimus.

125. Šiuo klausimu, kaip iš esmės pažymėjo DPC, M. Schrems, BSA, Airija, Austrijos, Prancūzijos, Lenkijos ir Portugalijos vyriausybės bei Komisija, standartinėse sutarčių sąlygose nustatytos garantijos gali būti susilpnintos ar net panaikintos, jeigu trečiosios paskirties šalies teisėje duomenų importuotojui nustatyti minėtų sąlygų reikalavimams prieštaraujantys įpareigojimai. Taigi dėl trečiojoje paskirties šalyje galiojančių teisės aktų, atsižvelgiant į konkrečias duomenų perdavimo aplinkybes ( 48 ), šiose sąlygose numatytų įpareigojimų gali būti neįmanoma įgyvendinti.

126. Tokiomis aplinkybėmis, kaip pažymėjo M. Schrems ir Komisija, BDAR 46 straipsnio 2 dalies c punkte numatytas sutartinis mechanizmas grindžiamas duomenų eksportuotojo ir papildomai – priežiūros institucijų atsakomybės nustatymu. Taigi atsižvelgdamas į kiekvieną konkretų atvejį dėl kiekvieno konkretaus duomenų perdavimo duomenų valdytojas arba, jam nesiėmus veiksmų, priežiūros institucija nagrinės, ar trečiosios paskirties šalies teisė kliudo įgyvendinti standartines sąlygas, vadinasi, ir užtikrinti tinkamą perduodamų duomenų apsaugą, ir ar duomenų perdavimą reikia uždrausti arba sustabdyti.

127. Atsižvelgdamas į šias pastabas manau, jog vien tai, kad Sprendimas 2010/87 ir jame nustatytos standartinės sutarčių sąlygos nesaisto trečiosios paskirties šalies valdžios institucijų, savaime nedaro šio sprendimo negaliojančio. Mano nuomone, Sprendimo 2010/87 atitiktis Chartijos 7, 8 ir 47 straipsniams priklauso nuo to, ar yra pakankamai patikimi mechanizmai, leidžiantys užtikrinti, kad standartinėmis sutarčių sąlygomis grindžiamas duomenų perdavimas būtų sustabdytas ar uždraustas pažeidus šias sąlygas arba nesant galimybės jų laikytis.

128. Šiuo klausimu BDAR 46 straipsnio 1 dalyje numatyta, kad taikant tinkamas apsaugos priemones duomenys gali būti perduodami „su sąlyga, kad suteikiama galimybė naudotis vykdytinomis duomenų subjektų teisėmis ir veiksmingomis duomenų subjektų teisių gynimo priemonėmis“. Reikės patikrinti, ar Sprendimo 2010/87 priede nustatytose sąlygose numatytos apsaugos priemonės, papildytos priežiūros institucijų įgaliojimais, leidžia užtikrinti šios sąlygos laikymąsi. Manau, taip yra tik tuo atveju, jeigu duomenų valdytojams (1 dalis), o jeigu jie nesiima veiksmų – priežiūros institucijoms (2 dalis) nustatyta pareiga sustabdyti arba uždrausti duomenų perdavimą, jeigu dėl įpareigojimų, kylančių iš sutarčių standartinių sąlygų, ir trečiosios paskirties šalies teisėje nustatytų įpareigojimų prieštaros šių sąlygų neįmanoma laikytis.

1. Dėl duomenų valdytojams tenkančių įpareigojimų

129. Pirma, pagal Sprendimo 2010/87 priede esančias standartines sutarčių sąlygas reikalaujama, kad jeigu jose numatyti įpareigojimai prieštarauja iš trečiosios paskirties šalies teisės kylantiems reikalavimams, šiomis sąlygomis negali būti remiamasi perduodant duomenis į šią trečiąją šalį, o jeigu duomenys jau buvo pradėti perduoti remiantis šiomis sąlygomis, duomenų eksportuotojui turi būti pranešama apie šį prieštaravimą ir jis gali duomenų perdavimą sustabdyti.

130. Taigi pagal 5 sąlygos a punktą duomenų importuotojas įsipareigoja tvarkyti perduotus asmens duomenis tik duomenų eksportuotojo vardu laikydamasis jo nurodymų bei sutarčių standartinių sąlygų. Jeigu duomenų importuotojas negali užtikrinti atitikties šioms sąlygoms, jis sutinka kuo skubiau pranešti duomenų importuotojui apie tai, ir tokiu atveju duomenų eksportuotojas turi teisę sustabdyti duomenų perdavimą ir (arba) nutraukti sutartį ( 49 ).

131. 5 sąlygos 5 išnašoje patikslinama, kad standartinės sutarčių sąlygos nėra pažeidžiamos, jeigu duomenų importuotojas laikosi nacionalinės teisės aktuose, kurie jam taikomi trečiojoje šalyje, įtvirtintų privalomų reikalavimų, jeigu šie reikalavimai neviršija demokratinėje visuomenėje reikalingų apribojimų, skirtų apsaugoti vienam iš Direktyvos 95/46 13 straipsnio 1 dalyje (jos turinys iš esmės pakartotas BDAR 23 straipsnio 1 dalyje) nurodytų interesų, tarp kurių yra visuomenės saugumas ir valstybės saugumas. Ir atvirkščiai, šių sąlygų nesilaikymas siekiant įvykdyti joms prieštaraujantį įpareigojimą, kylantį iš trečiosios paskirties šalies teisės, viršijantį tai, kas yra proporcinga Sąjungos pripažįstamam teisėtam interesui apsaugoti, laikomas minėtų sąlygų pažeidimu.

132. Mano nuomone, ir kaip teigia M. Schrems ir Komisija, 5 sąlygos a punktas negali būti aiškinamas taip, kad duomenų perdavimo sustabdymas ar sutarties nutraukimas yra tik neprivalomas, jeigu duomenų importuotojas negali laikytis standartinių sąlygų. Nors šioje sąlygoje nurodoma tik teisė, šioje srityje suteikiama duomenų eksportuotojui, ši formuluotė turi būti suprantama atsižvelgiant į jos sutartinį kontekstą. Tai, kad duomenų eksportuotojui dvišaliuose santykiuose su duomenų importuotoju suteikiama teisė sustabdyti duomenų perdavimą arba nutraukti sutartį, jeigu duomenų importuotojas negali laikytis standartinių sąlygų, neturi poveikio duomenų eksportuotojui nustatytai pareigai sustabdyti duomenų perdavimą arba nutraukti sutartį atsižvelgiant į duomenų subjektų teisių, kylančių iš BDAR, apsaugos reikalavimus. Bet koks kitas aiškinimas lemtų Sprendimo 2010/87 negaliojimą, nes jame numatytos standartinės sutarčių sąlygos neleistų duomenų perdavimui taikyti „tinkamas apsaugos priemones“, kaip to reikalaujama BDAR 46 straipsnio 1 dalyje, aiškinamoje atsižvelgiant į Chartijos nuostatas ( 50 ).

133. Be to, pagal 5 sąlygos b punktą duomenų importuotojas patvirtina neturintis pagrindo manyti, kad pagal jam taikytinus teisės aktus negalės vykdyti iš duomenų eksportuotojo gautų nurodymų ir įsipareigojimų pagal sutartį. Jeigu šie teisės aktai pakeičiami ir šie pakeitimai turi didelį neigiamą poveikį pagal šias sąlygas teikiamoms garantijoms ir prisiimtiems įsipareigojimams, jis kuo greičiau praneš apie šiuos pasikeitimus duomenų eksportuotojui, kai tik apie juos sužinos, o duomenų eksportuotojas tokiu atveju turi teisę sustabdyti duomenų perdavimą ir (arba) nutraukti sutartį. Pagal 4 sąlygos g punktą duomenų eksportuotojas turi persiųsti pranešimą, gautą iš duomenų importuotojo, kompetentingai priežiūros institucijai, jeigu nusprendžia tęsti perdavimą.

134. Manau, kad dabar reikia pateikti kelis patikslinimus dėl analizės, kurią sutarties šalys turi atlikti siekdamos nustatyti, ar, atsižvelgiant į 5 sąlygos išnašą, duomenų importuotojui pagal trečiosios valstybės teisę nustatyti įpareigojimai pažeidžia standartines sąlygas ir dėl to duomenų perdavimui negali būti taikomos tinkamos apsaugos priemonės, turinio. Ši problema iš esmės keliama šeštojo prejudicinio klausimo antroje dalyje.

135. Manau, siekiant atlikti tokią analizę, reikia atsižvelgti į visas kiekvieną duomenų perdavimą apibūdinančias aplinkybes, tarp kurių gali būti duomenų pobūdis ir galimas jų jautrus pobūdis, duomenų eksportuotojo ir (arba) importuotojo įgyvendinti mechanizmai duomenų saugumui užtikrinti ( 51 ), trečiosios šalies valdžios institucijų, kurioms bus pateikiami duomenys, atliekamo duomenų tvarkymo pobūdis ir tikslas, šio duomenų tvarkymo taisyklės, taip pat šios trečiosios šalies taikomi apribojimai ir garantijos. Mano supratimu, viešosios valdžios institucijų vykdomą duomenų tvarkymo veiklą apibūdinantys aspektai ir šios trečiosios šalies teisės sistemoje taikytinos apsaugos priemonės gali sutapti su įtvirtintosiomis BDAR 45 straipsnio 2 dalyje.

136. Antra, Sprendimo 2010/87 priede nustatytomis standartinėmis sutarčių sąlygomis duomenų subjektams suteikiamos teisės, kuriomis jie gali remtis, ir teisių gynimo priemonės, kuriomis jie gali pasinaudoti prieš duomenų eksportuotoją ir papildomai – prieš duomenų importuotoją.

137. 3 sąlygos „Trečiosios šalies naudos gavėjos sąlyga“ 1 dalyje numatyta duomenų subjekto teisė pareikšti ieškinį duomenų eksportuotojui, jeigu yra pažeidžiami, be kita ko, 5 sąlygos a arba b punktai. Pagal 3 sąlygos 2 dalį, jeigu duomenų eksportuotojas yra faktiškai dingęs arba teisiškai nutraukė savo veiklą, duomenų subjektas gali remtis šia sąlyga prieš duomenų importuotoją.

138. 6 sąlygos 1 dalyje kiekvienam duomenų subjektui, patyrusiam žalą dėl 3 sąlygoje numatytų įpareigojimų neįvykdymo, suteikiama teisė reikalauti, kad duomenų eksportuotojas atlygintų patirtą žalą. Pagal 7 sąlygos 1 dalį, jeigu duomenų subjektas prieš duomenų importuotoją pasinaudoja trečiosios šalies naudos gavėjos teisėmis ir (arba) pareikalauja atlyginti