ĢENERĀLADVOKĀTA HENRIKA SAUGMANDSGORA ĒES

[HENRIK SAUGMANDSGAARD ØE] SECINĀJUMI,

sniegti 2019. gada 19. decembrī ( 1 )

Lieta C‑311/18

Data Protection Commissioner

pret

Facebook Ireland Limited,

Maximillian Schrems,

piedaloties

Amerikas Savienotajām Valstīm,

Electronic Privacy Information Centre,

BSA Business Software Alliance, Inc.,

Digitaleurope

(High Court (Augstā tiesa, Īrija) lūgums sniegt prejudiciālu nolēmumu)

Lūgums sniegt prejudiciālu nolēmumu – Fizisku personu aizsardzība attiecībā uz personas datu apstrādi – Regula (ES) 2016/679 – 2. panta 2. punkts – Piemērošanas joma – Personas datu pārsūtīšana komerciāliem mērķiem uz Amerikas Savienotajām Valstīm – Pārsūtīto datu apstrāde, ko veic Amerikas Savienoto Valstu iestādes valsts drošības nolūkos – 45. pants – Trešajā valstī nodrošinātā aizsardzības līmeņa pietiekamības vērtējums – 46. pants – Pārziņa sniegtās atbilstošas garantijas – Datu aizsardzības standartklauzulas – 58. panta 2. punkts – Uzraudzības iestāžu pilnvaras – Īstenošanas lēmums 2010/87/ES – Spēkā esamība – Lēmums (ES) 2016/1250 – “ES un Amerikas Savienoto Valstu privātuma vairogs” – Spēkā esamība – Eiropas Savienības Pamattiesību hartas 7., 8. un 47. pants

Satura rādītājs

I. Ievads II. Atbilstošās tiesību normas A. Direktīva 95/46/EK B. VDAR C. Lēmums 2010/87 D. “Privātuma vairoga” lēmums III. Pamatlieta, prejudiciālie jautājumi un tiesvedība Tiesā IV. Vērtējums A. Ievada apsvērumi B. Par lūguma sniegt prejudiciālu nolēmumu pieņemamību 1. Par Direktīvas 95/46 piemērojamību “ratione temporis” 2. Par DPC pausto šaubu pagaidu raksturu 3. Par neskaidrībām attiecībā uz faktisko apstākļu noteikšanu C. Par Savienības tiesību piemērojamību personas datu pārsūtīšanai komerciālos nolūkos uz trešo valsti, kas tos var apstrādāt valsts drošības vajadzībām (pirmais jautājums) D. Par nepieciešamo aizsardzības līmeni tādas pārsūtīšanas ietvaros, kas pamatota ar līguma standartklauzulām (sestā jautājuma pirmā daļa) E. Par Lēmuma 2010/87 spēkā esamību, ņemot vērā Hartas 7., 8. un 47. pantu (septītais, astotais un vienpadsmitais jautājums) 1. Par pārziņiem uzliktajiem pienākumiem 2. Par uzraudzības iestādēm uzliktajiem pienākumiem F. Par to, ka nav nepieciešamības atbildēt uz citiem prejudiciālajiem jautājumiem un pārbaudīt “Privātuma vairoga” lēmuma spēkā esamību 1. Par Tiesas atbilžu nepieciešamības neesamību, ņemot vērā pamatlietas priekšmetu 2. Par iemesliem, kuru dēļ Tiesai nevajadzētu veikt vērtējumu, ņemot vērā DPC izskatāmās tiesvedības priekšmetu G. Pakārtoti apsvērumi par “Privātuma vairoga” lēmuma iedarbību un spēkā esamību 1. Par “Privātuma vairoga” lēmuma ietekmi, kad uzraudzības iestāde izskata sūdzību par tādas pārsūtīšanas likumību, kas pamatota ar līgumiskām garantijām 2. Par “Privātuma vairoga” lēmuma spēkā esamību a) Precizējumi par lēmuma par aizsardzības līmeņa pietiekamību spēkā esamības pārbaudes saturu 1) Par salīdzinājuma kritērijiem, kas ļauj novērtēt aizsardzības līmeņa “līdzvērtību pēc būtības” 2) Par nepieciešamību nodrošināt pietiekamu aizsardzības līmeni datu tranzīta stadijā 3) Par Komisijas un iesniedzējtiesas veiktā faktu konstatējuma par ASV tiesībām ņemšanu vērā 4) Par “līdzvērtības pēc būtības” standarta tvērumu b) Par “Privātuma vairoga” lēmuma spēkā esamību, ņemot vērā tiesības uz privātās dzīves neaizskaramību un tiesības uz personas datu aizsardzību 1) Par iejaukšanās pastāvēšanu 2) Par iejaukšanās “tiesību aktos paredzēto” raksturu 3) Par pamattiesību būtības aizskāruma neesamību 4) Par leģitīma mērķa sasniegšanu 5) Par iejaukšanās nepieciešamību un samērīgumu c) Par “Privātuma vairoga” lēmuma spēkā esamību, ņemot vērā tiesības uz efektīvu tiesību aizsardzību 1) Par ASV tiesībās paredzēto tiesību celt prasību tiesā efektivitāti 2) Par ombuda mehānisma ietekmi uz tiesību uz efektīvu tiesību aizsardzību aizsardzības līmeni V. Secinājumi

I. Ievads

1. Tā kā attiecībā uz personas datu aizsardzību nepastāv kopīgas garantijas pasaules līmenī, šādu datu pārrobežu plūsmas nozīmē, ka pastāv Eiropas Savienībā nodrošinātā aizsardzības līmeņa turpinātības pārrāvuma risks. Vēloties veicināt šīs plūsmas, vienlaikus ierobežojot šo risku, Savienības likumdevējs ir ieviesis trīs mehānismus, saskaņā ar kuriem personas datus no Savienības var pārsūtīt uz trešo valsti.

2. Pirmkārt, šādu pārsūtīšanu var veikt, pamatojoties uz lēmumu, ar kuru Eiropas Komisija konstatē, ka attiecīgā trešā valsts nodrošina uz to nosūtīto datu “pietiekamu aizsardzības līmeni” ( 2 ). Otrkārt, ja šāda lēmuma nav, pārsūtīšana tiek atļauta, ja to aptver “atbilstošas garantijas” ( 3 ). Šīs garantijas var izpausties kā līgums starp datu nosūtītāju un datu saņēmēju, kurā ir ietvertas Komisijas pieņemtas standarta datu aizsardzības klauzulas. Treškārt, Vispārīgajā datu aizsardzības regulā ir paredzētas dažas atkāpes, kas balstītas tostarp uz datu subjekta piekrišanu, kas ļauj veikt pārsūtīšanu uz trešo valsti pat tad, ja nav lēmuma par aizsardzības līmeņa pietiekamību vai atbilstošu garantiju ( 4 ).

3. High Court (Augstā tiesa, Īrija) lūgums sniegt prejudiciālu nolēmumu attiecas uz otro no šiem mehānismiem. Precīzāk, tas attiecas uz Lēmuma 2010/87/ES ( 5 ), ar kuru Komisija ir izstrādājusi līguma standartklauzulas attiecībā uz atsevišķām pārsūtīšanas kategorijām, spēkā esamību, ņemot vērā Eiropas Savienības Pamattiesību hartas (turpmāk tekstā – “Harta”) 7., 8. un 47. pantu.

4. Šis lūgums ir iesniegts saistībā ar tiesvedību starp Data Protection Commissioner (Datu aizsardzības komisārs, Īrija, turpmāk tekstā – “DPC”) un Facebook Ireland Ltd un Maximillian Schrems. Pēdējais minētais ir iesniedzis DPC sūdzību, kas attiecas uz viņa personas datu pārsūtīšanu, kurus Facebook Ireland nosūtīja savam mātesuzņēmumam Facebook Inc., kas ir reģistrēta Amerikas Savienotajās Valstīs (turpmāk tekstā – “ASV”). DPC uzskata, ka šīs sūdzības rezultāts ir atkarīgs no Lēmuma 2010/87 spēkā esamības. Šādā kontekstā tas vērsās iesniedzējtiesā, lūdzot tai uzdot jautājumus Tiesai.

5. Uzreiz vēlos norādīt, ka prejudiciālo jautājumu vērtējumā, manuprāt, nav atklājies neviens apstāklis, kas varētu ietekmēt Lēmuma 2010/87 spēkā esamību.

6. Turklāt iesniedzējtiesa ir norādījusi uz dažām šaubām, kas būtībā attiecas uz ASV nodrošinātā aizsardzības līmeņa pietiekamību, ņemot vērā iejaukšanos, kas ar ASV izlūkošanas iestāžu darbībām tiek radīta to personu pamattiesību īstenošanā, kuru dati tiek pārsūtīti uz šo trešo valsti. Šīs šaubas netieši liek apšaubīt Komisijas vērtējumu šajā jautājumā Īstenošanas lēmumā (ES) 2016/1250 ( 6 ). Lai gan, lai izšķirtu pamatlietu, nav nepieciešams, lai Tiesa pieņem nolēmumu par šo jautājumu, un līdz ar to es to aicinu no tā atturēties; pakārtoti izklāstīšu iemeslus, kas man liek šaubīties par šī lēmuma spēkā esamību.

7. Visu manu vērtējumu ievirzīs līdzsvara meklējumi starp, no vienas puses, nepieciešamību izrādīt “saprātīgu pragmatisma līmeni, lai nodrošinātu mijiedarbību ar pārējo pasauli” ( 7 ), un, no otras puses, nepieciešamību apstiprināt Savienības un tās dalībvalstu tiesību sistēmās it īpaši ar Hartu atzītās pamatvērtības.

II. Atbilstošās tiesību normas

A. Direktīva 95/46/EK

8. Direktīvas 95/46/EK par personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti ( 8 ) 3. panta 2. punktā bija noteikts: “Šī direktīva neattiecas uz personas datu apstrādi: – tādu pasākumu gaitā, uz kuru neattiecas Kopienas tiesību akti, kā Līguma par Eiropas Savienību V un VI sadaļā paredzētie pasākumi un, jebkurā gadījumā, uz apstrādes operācijām attiecībā uz sabiedrības drošību, aizsardzību, valsts drošību (ieskaitot valsts ekonomisko labklājību, ja apstrādes operācija attiecas uz valsts drošības jautājumiem) un uz valsts pasākumiem krimināltiesību jomā; [..].”

9. Šīs direktīvas 13. panta 1. punkts bija formulēts šādi: “Dalībvalstis var pieņemt tiesību aktus, lai ierobežotu 6. panta 1. punktā, 10. pantā, 11. panta 1. punktā, 12. pantā un 21. pantā paredzēto pienākumu un tiesību jomu, ja šāds ierobežojums ir nepieciešams aizsargpasākums: a) valsts drošībai; b) aizsardzībai; c) sabiedrības drošībai; d) kriminālsodāmu noziedzīgu nodarījumu vai reglamentētu profesiju ētikas pārkāpumu profilaksei, izziņai, atklāšanai un kriminālvajāšanai; e) dalībvalsts vai [Eiropas Savienības] svarīgās ekonomiskās vai finansiālās interesēs, ieskaitot monetāros, budžeta un nodokļu jautājumus; f) ar oficiālo pilnvaru realizāciju c), d) un e) apakšpunktā minētajos gadījumos pat laiku pa laikam saistītajai uzraudzībai, pārbaudei un reglamentējošām funkcijām; g) datu subjekta aizsardzībai vai citu personu tiesību un brīvību aizsardzībai.”

10. Minētās direktīvas 25. pantā bija paredzēts: “1. Dalībvalstis paredz to, ka personas datu, kuri atrodas apstrādē vai ir paredzēti apstrādei pēc pārsūtīšanas, pārsūtīšana var notikt tikai tad, ja, neierobežojot atbilstību attiecīgās valsts noteikumiem, kuri pieņemti saskaņā ar šīs direktīvas pārējiem noteikumiem, attiecīgā trešā valsts nodrošina pietiekamu aizsardzības līmeni. 2. Trešās valsts sniegtās aizsardzības līmeņa pietiekamība jānovērtē, paturot prātā visus ar datu pārsūtīšanas darbību vai datu pārsūtīšanas darbību kopumu cieši saistītos apstākļus; jo īpaši jāapsver datu raksturs, ierosinātās apstrādes darbības vai darbību nolūks un ilgums, izcelsmes valsts un valsts, kura ir galamērķis, attiecīgajā trešajā valstī spēkā esošās gan vispārējo, gan nozaru tiesību normas un šajā valstī ievērotie profesionālie noteikumi un drošības pasākumi. [..] 6. Saskaņā ar 31. panta 2. punktā minēto procedūru Komisija var konstatēt, ka trešā valsts nodrošina pietiekamu aizsardzības līmeni šā panta 2. punkta nozīmē, pamatojoties uz savas valsts tiesībām vai uz starptautiskajām saistībām, kuras tā noslēgusi, jo īpaši uz 5. punktā minēto sarunu par personu privātās dzīves un pamatbrīvību un tiesību aizsardzību atzinumu. Dalībvalstis veic nepieciešamos pasākumus, lai izpildītu Komisijas lēmumu.”

11. Šīs pašas direktīvas 26. panta 2. un 4. punktā bija noteikts: “2. Neierobežojot 1. punktu, dalībvalsts var atļaut personas datu pārsūtīšanu vai pārsūtījumu kopumu uz trešo valsti, kura nenodrošina pietiekamu aizsardzības līmeni 25. panta 2. punkta nozīmē, ja personas datu apstrādātājs sniedz atbilstošas garantijas attiecībā uz personu privātās dzīves un pamattiesību un brīvību aizsardzību un attiecībā uz atbilstošo tiesību izmantošanu; šādas garantijas jo īpaši var izrietēt no attiecīgajiem līguma punktiem. [..] 4. Ja Komisija [..] nolemj, ka daži līguma pamatpunkti sniedz pietiekamas garantijas, kā paredzēts 2. punktā, dalībvalstis veic nepieciešamos pasākumus, lai izpildītu Komisijas lēmumu.”

12. Direktīvas 95/46 28. panta 3. punkts bija formulēts šādi: “Katrai iestādei ir piešķirtas: [..] – efektīvas iejaukšanās pilnvaras, tādas kā, piemēram, saskaņā ar 20. pantu atzinumu sniegšana pirms datu apstrādes darbību veikšanas un pilnvaras nodrošināt šādu atzinumu atbilstīgu nodošanu atklātībai, likt noslēgt piekļuvi, dzēst vai iznīcināt datus, noteikt pagaidu vai galīgu aizliegumu datu apstrādei, brīdināt vai izteikt aizrādījumu personas datu apstrādātājam vai nodot jautājumu izskatīšanai valstu parlamentiem vai citām politiskām institūcijām, [..].”

B. VDAR

13. Atbilstoši VDAR 94. panta 1. punktam ar to no 2018. gada 25. maija tika atcelta Direktīva 95/46, proti, šajā datumā šī regula kļuva piemērojama saskaņā ar tās 99. panta 2. punktu.

14. Minētās regulas 2. panta 2. punktā ir noteikts: “Šo regulu nepiemēro personas datu apstrādei: a) tādas darbības gaitā, kas neietilpst Savienības tiesību aktu darbības jomā; b) ko īsteno dalībvalstis, veicot darbības, kas ir LES V sadaļas 2. nodaļas darbības jomā; [..] d) ko veic kompetentas iestādes, lai novērstu, izmeklētu, atklātu noziedzīgus nodarījumus vai sauktu pie atbildības par tiem, vai izpildītu kriminālsodus, tostarp lai pasargātu no draudiem sabiedriskajai drošībai un tos novērstu.”

15. Šīs pašas regulas 4. panta 2. punktā “apstrāde” ir definēta kā “jebkura ar personas datiem vai personas datu kopumiem veikta darbība vai darbību kopums, ko veic ar vai bez automatizētiem līdzekļiem, piemēram, vākšana, reģistrācija, organizēšana, strukturēšana, glabāšana, pielāgošana vai pārveidošana, atgūšana, aplūkošana, izmantošana, izpaušana, nosūtot, izplatot vai citādi darot tos pieejamus, saskaņošana vai kombinēšana, ierobežošana, dzēšana vai iznīcināšana”.

16. VDAR 23. pantā ir paredzēts: “1. Saskaņā ar Savienības vai dalībvalsts tiesību aktiem, kas piemērojami datu pārzinim vai apstrādātājam, ar leģislatīvu pasākumu var ierobežot to pienākumu un tiesību darbības jomu, kas paredzēti 12.–22. pantā un 34. pantā, kā arī 5. pantā, ciktāl tā noteikumi atbilst 12.–22. pantā paredzētajām tiesībām un pienākumiem, – ja ar šādu ierobežojumu tiek ievērota pamattiesību un pamatbrīvību būtība un tas demokrātiskā sabiedrībā ir nepieciešams un samērīgs, lai garantētu: a) valsts drošību; b) aizsardzību; c) sabiedrisko drošību; d) noziedzīgu nodarījumu novēršanu, izmeklēšanu, atklāšanu vai saukšanu pie atbildības par tiem vai kriminālsodu izpildi, tostarp aizsardzību pret sabiedriskās drošības apdraudējumiem un to novēršanu; e) citus svarīgus Savienības vai dalībvalsts vispārējo sabiedrības interešu mērķus, jo īpaši Savienībai vai dalībvalstij svarīgas ekonomiskās vai finanšu intereses [..]; [..] 2. Jo īpaši – jebkurā leģislatīvā pasākumā, kas minēts 1. punktā, ietver konkrētus noteikumus attiecīgā gadījumā vismaz par: a) nolūkiem, kādos veic apstrādi, vai apstrādes kategorijām; b) personas datu kategorijām; c) ieviesto ierobežojumu darbības jomu; d) garantijām, lai novērstu ļaunprātīgu izmantošanu vai nelikumīgu piekļuvi vai nosūtīšanu; e) pārziņa vai pārziņu kategoriju noteikšanu; f) glabāšanas laikposmiem un piemērojamām garantijām, ņemot vērā apstrādes vai apstrādes kategoriju raksturu, darbības jomu un nolūkus; g) riskiem attiecībā uz datu subjektu tiesībām un brīvībām; un h) datu subjektu tiesībām saņemt informāciju par ierobežojumu, izņemot tad, ja tas var kaitēt ierobežojuma mērķim.”

17. Šīs regulas 44. pantā “Nosūtīšanas vispārīgie principi” ir noteikts: “Personas datus, kas tiek apstrādāti vai kurus ir paredzēts apstrādāt pēc nosūtīšanas uz trešo valsti vai starptautisku organizāciju, nosūta tikai tad, ja, ņemot vērā citus šīs regulas noteikumus, pārzinis un apstrādātājs ir ievērojuši šajā nodaļā paredzētos nosacījumus, ietverot arī personas datu tālāku nosūtīšanu no trešās valsts vai starptautiskās organizācijas uz citu trešo valsti vai citu starptautisku organizāciju. Piemēro visus šīs nodaļas noteikumus, lai nodrošinātu, ka nemazinās ar šo regulu garantētais fizisku personu aizsardzības līmenis.”

18. Saskaņā ar minētās regulas 45. pantu “Nosūtīšana, pamatojoties uz lēmumu par aizsardzības līmeņa pietiekamību”: “1. Personas datu nosūtīšanu uz trešo valsti vai starptautisku organizāciju var veikt, ja Komisija ir nolēmusi, ka trešā valsts, kāda minētās trešās valsts teritorija vai viens vai vairāki konkrēti sektori, vai attiecīgā starptautiskā organizācija nodrošina pietiekamu aizsardzības līmeni. Šādai nosūtīšanai nav nepieciešama nekāda īpaša atļauja. 2. Izvērtējot aizsardzības līmeņa pietiekamību, Komisija jo īpaši ņem vērā šādus elementus: a) tiesiskums, cilvēktiesību un pamatbrīvību ievērošana, attiecīgie tiesību akti, gan vispārējie, gan nozaru, tostarp attiecībā uz sabiedrisko drošību, aizsardzību, valsts drošību un krimināltiesībām un publisko iestāžu piekļuvi personas datiem, kā arī šādu tiesību aktu, datu aizsardzības noteikumu, dienesta noteikumu un drošības pasākumu īstenošana, tostarp noteikumi par personas datu tālāku nosūtīšanu uz citu trešo valsti vai starptautisko organizāciju, kurus ievēro minētajā valstī vai minētajā starptautiskajā organizācijā, judikatūra, kā arī tas, vai pastāv efektīvas un tiesiski īstenojamas datu subjektu tiesības un efektīva aizsardzība administratīvā kārtā vai tiesā tiem datu subjektiem, kuru personas datus nosūta; b) tas, vai attiecīgajā trešā valstī vai attiecībā uz starptautisko organizāciju pastāv un efektīvi darbojas viena vai vairākas neatkarīgas uzraudzības iestādes, kuras ir atbildīgas par datu aizsardzības noteikumu ievērošanas nodrošināšanu un īstenošanu, tostarp ar adekvātām izpildes pilnvarām, par palīdzību un konsultāciju sniegšanu datu subjektiem saistībā ar viņu tiesību īstenošanu un par sadarbību ar dalībvalstu uzraudzības iestādēm; un c) starptautiskās saistības, ko ir uzņēmusies attiecīgā trešā valsts vai starptautiskā organizācija, vai citi pienākumi, kas izriet no juridiski saistošām konvencijām vai instrumentiem, kā arī no tās dalības daudzpusējās vai reģionālās sistēmās, jo īpaši saistībā ar personas datu aizsardzību. 3. Komisija pēc aizsardzības līmeņa pietiekamības izvērtēšanas ar īstenošanas aktu var nolemt, ka trešā valsts, trešās valsts teritorija vai viens vai vairāki konkrēti sektori, vai starptautiska organizācija nodrošina pietiekamu aizsardzības līmeni šā panta 2. punkta nozīmē. Īstenošanas aktā paredz periodiskas, vismaz reizi četros gados notiekošas pārskatīšanas mehānismu, kurā ņem vērā visas attiecīgās norises trešajā valstī vai starptautiskajā organizācijā. [..] 4. Komisija trešās valstīs un starptautiskajās organizācijās pastāvīgi uzrauga norises, kas varētu ietekmēt saskaņā ar šā panta 3. punktu pieņemto lēmumu un, balstoties uz [Direktīvas 95/46/EK] 25. panta 6. punktu, pieņemto lēmumu darbību. 5. Ja pieejamā informācija, jo īpaši pēc šā panta 3. punktā minētās pārskatīšanas, liecina, ka kāda trešā valsts, teritorija vai viens vai vairāki konkrēti sektori trešā valstī, vai kāda starptautiska organizācija vairs nenodrošina pietiekamu aizsardzības līmeni šā panta 2. punkta nozīmē, Komisija, pieņemot īstenošanas aktus, ciktāl tas nepieciešams, atceļ, groza vai aptur šā panta 3. punktā minēto lēmumu bez atpakaļejoša spēka. [..] 6. Komisija ar trešo valsti vai starptautisko organizāciju sāk konsultācijas, lai labotu stāvokli, kura dēļ saskaņā ar 5. punktu ir pieņemts lēmums. [..] 9. Lēmumi, ko Komisija pieņēmusi, pamatojoties uz [Direktīvas 95/46/EK] 25. panta 6. punktu, ir spēkā, kamēr tos negroza, neaizstāj vai neatceļ ar Komisijas lēmumu, kas pieņemts saskaņā ar šā panta 3. vai 5. punktu.”

19. Šīs pašas regulas 46. pants “Nosūtīšana, pamatojoties uz atbilstošām garantijām” ir formulēts šādi: “1. Ja nav pieņemts lēmums saskaņā ar 45. panta 3. punktu, pārzinis vai apstrādātājs var nosūtīt personas datus uz trešo valsti vai uz starptautisku organizāciju tikai tad, ja pārzinis vai apstrādātājs ir sniedzis atbilstošas garantijas, un ar nosacījumu, ka datu subjektiem ir pieejamas īstenojamas datu subjekta tiesības un efektīvi tiesiskās aizsardzības līdzekļi. 2. Šā panta 1. punktā minētās atbilstošās garantijas, uzraudzības iestādei neprasot īpašu atļauju, var tikt nodrošinātas ar: [..] c) standarta datu aizsardzības klauzulām, ko Komisija pieņem saskaņā ar 93. panta 2. punktā minēto pārbaudes procedūru; [..] 5. Dalībvalsts vai uzraudzības iestādes atļaujas, kas izsniegtas saskaņā ar [Direktīvas 95/46/EK] 26. panta 2. punktu, ir spēkā, kamēr minētā uzraudzības iestāde tās vajadzības gadījumā negroza, neaizstāj vai neatceļ. Lēmumi, ko Komisija pieņēmusi, pamatojoties uz [Direktīvas 95/46/EK] 26. panta 4. punktu, ir spēkā, kamēr tos vajadzības gadījumā negroza, neaizstāj vai neatceļ ar Komisijas lēmumu, kas pieņemts saskaņā ar šā panta 2. punktu.”

20. Saskaņā ar VDAR 58. panta 2., 4. un 5. punktu: “2. Katrai uzraudzības iestādei ir visas šādas korektīvās pilnvaras: a) brīdināt pārzini vai apstrādātāju, ka ar paredzētajām apstrādes darbībām, iespējams, var tikt pārkāpti šīs regulas noteikumi; b) izteikt rājienu pārzinim vai apstrādātājam, ja ar apstrādes darbībām ir tikuši pārkāpti šīs regulas noteikumi; c) izdot rīkojumu pārzinim vai apstrādātājam izpildīt datu subjekta pieprasījumu īstenot viņam saskaņā ar šo regulu piešķirtās tiesības; d) izdot rīkojumu pārzinim vai apstrādātājam saskaņot apstrādes darbības ar šīs regulas noteikumiem, vajadzības gadījumā – konkrētā veidā un konkrētā laikposmā; e) izdot rīkojumu pārzinim paziņot datu subjektam par personas datu aizsardzības pārkāpumu; f) uzlikt pagaidu vai galīgu apstrādes ierobežojumu, tostarp aizliegumu; [..] i) piemērot administratīvu naudas sodu saskaņā ar 83. pantu, papildinot vai aizstājot šajā punktā minētos pasākumus atkarībā no katras konkrētās lietas apstākļiem; j) izdot rīkojumu apturēt datu plūsmu pie saņēmēja trešā valstī vai pie starptautiskas organizācijas. [..] 4. Uzraudzības iestāde saskaņā ar šo pantu piešķirto pilnvaru īstenošanā ievēro atbilstošas garantijas, tostarp efektīvu tiesību aizsardzību tiesā un pienācīgas procedūras, kas noteiktas Savienības un dalībvalstu tiesību aktos saskaņā ar Hartu. 5. Katra dalībvalsts ar tiesību aktiem paredz, ka tās uzraudzības iestādei ir pilnvaras pievērst tiesu iestāžu uzmanību šīs regulas pārkāpumiem un vajadzības gadījumā uzsākt tiesvedību vai kā citādi iesaistīties tiesvedībā, lai īstenotu šīs regulas noteikumus.”

C. Lēmums 2010/87

21. Pamatojoties uz Direktīvas 95/46 26. panta 4. punktu Komisija ir pieņēmusi trīs lēmumus, kuros tā ir konstatējusi, ka tajā minētās līguma standartklauzulas sniedz atbilstošas garantijas attiecībā uz personu privātās dzīves un pamattiesību un brīvību aizsardzību, kā arī attiecībā uz atbilstošo tiesību izmantošanu (turpmāk tekstā – “LSK lēmumi”) ( 9 ).

22. To skaitā ir Lēmums 2010/87, kura 1. pantā ir noteikts, ka “uzskata, ka šā lēmuma pielikumā paredzētās līguma standartklauzulas sniedz pienācīgu nodrošinājumu attiecībā uz indivīdu privātās dzīves, pamattiesību un pamatbrīvību aizsardzību un attiecībā uz attiecīgo tiesību izmantošanu, kā noteikts [Direktīvas 95/46] 26. panta 2. punktā”.

23. Saskaņā ar šī lēmuma 3. pantu: “Šajā lēmumā piemēro šādas definīcijas: [..] c) “datu nosūtītājs” ir atbildīgais par datu apstrādi, kas pārsūta personas datus; d) “datu saņēmējs” ir trešā valstī reģistrēts atbildīgais par datu apstrādi, kas piekrīt personas datus saņemt no datu nosūtītāja, lai tos pēc pārsūtīšanas apstrādātu nosūtītāja uzdevumā saskaņā ar tā norādījumiem un šā lēmuma noteikumiem, un uz ko neattiecas trešās valsts sistēma, ar kuru nodrošina pienācīgu aizsardzību [Direktīvas 95/46] 25. panta 1. punkta nozīmē; [..] f) “piemērojamie tiesību akti datu aizsardzības jomā” ir tiesību akti, kas aizsargā personu pamattiesības un pamatbrīvības, un jo īpaši viņu tiesības uz privāto dzīvi attiecībā uz personas datu apstrādi, un kas attiecas uz atbildīgo par datu apstrādi dalībvalstī, kurā datu nosūtītājs ir reģistrēts; [..].”

24. Minētā lēmuma 4. panta 1. punkta sākotnējā redakcijā bija paredzēts: “Neskarot dalībvalstu kompetento iestāžu pilnvaras rīkoties, lai nodrošinātu to valsts tiesību aktu ievērošanu, kas ir pieņemti atbilstīgi [Direktīvas 95/46] II, III, V un VI nodaļai, tās var īstenot savas pašreizējās pilnvaras, lai aizliegtu vai apturētu datu plūsmu uz trešām valstīm, lai aizsargātu personas attiecībā uz viņu personas datu apstrādi, ja: a) konstatē, ka tiesību akti, kuri datu saņēmējam vai apakšapstrādātājam jāievēro, uzliek tam pienākumu atkāpties no piemērojamiem tiesību aktiem datu aizsardzības jomā, kas pārsniedz ierobežojumus, kuri ir vajadzīgi demokrātiskā sabiedrībā, kā paredzēts [Direktīvas 95/46] 13. pantā, ja ir iespējamība, ka šis pienākums var ļoti negatīvi ietekmēt garantijas, kas ir paredzētas piemērojamos tiesību aktos datu aizsardzības jomā un līguma standartklauzulās; b) kompetentā iestāde ir konstatējusi, ka datu saņēmējs vai apakšapstrādātājs nav ievērojis pielikumā minētās līguma standartklauzulas; vai c) ir liela iespējamība, ka nav ievērotas vai netiks ievērotas pielikumā minētās līguma standartklauzulas, un pārsūtīšanas turpināšana datu subjektiem radītu būtiska kaitējuma draudus.”

25. Pašreizējā redakcijā, kas izriet no Lēmuma 2010/87 grozījumiem, kuri veikti ar Īstenošanas lēmumu (ES) 2016/2297 ( 10 ), Lēmuma 2010/87 4. pantā ir noteikts, ka tad, “kad kompetentās iestādes dalībvalstī, lai pasargātu personas attiecībā uz viņu personas datu apstrādi, izmanto savas pilnvaras atbilstīgi [Direktīvas 95/46] 28. panta 3. punktam, kā rezultātā tiek apturētas vai pilnībā aizliegtas datu plūsmas uz trešām valstīm, attiecīgā dalībvalsts nekavējoties informē Komisiju, kas nosūta informāciju pārējām dalībvalstīm”.

26. Lēmuma 2010/87 pielikumā ir ietvertas visas līguma standartklauzulas. It īpaši, šajā pielikumā ietvertā 3. klauzula “Ieinteresētās trešās personas klauzula” paredz: “1. Datu subjekts kā ieinteresētā trešā persona var piemērot pret datu nosūtītāju šo klauzulu, 4. klauzulas b)–i) punktu, 5. klauzulas a)–e) un g)–j) punktu, 6. klauzulas 1. un 2. punktu, 7. klauzulu, 8. klauzulas 2. punktu un 9.–12. klauzulu. 2. Datu subjekts var piemērot pret datu saņēmēju šo klauzulu, 5. klauzulas a)–e) un g) punktu, 6. klauzulu, 7. klauzulu, 8. klauzulas 2. punktu un 9.–12. klauzulu gadījumos, kad datu nosūtītājs ir faktiski zudis vai juridiski beidzis pastāvēt, ja vien kāds tiesību pārņēmējs ar līgumu vai likumiskā kārtā nav uzņēmies visas datu nosūtītāja juridiskās saistības, kā rezultātā tas uzņemas datu nosūtītāja tiesības un pienākumus, un šādā gadījumā datu subjekts tos var piemērot pret minēto personu. [..]”

27. Minētā pielikuma 4. klauzulā “Datu nosūtītāja pienākumi” ir noteikts: “Datu nosūtītājs piekrīt un garantē, ka: a) personas datu apstrāde, tostarp pati pārsūtīšana, tiek un arī turpmāk tiks veikta saskaņā ar datu aizsardzības jomā piemērojamiem tiesību aktiem (un attiecīgos gadījumos par to tiek ziņots attiecīgajām iestādēm dalībvalstī, kurā reģistrēts datu nosūtītājs) un netiek pārkāpti minētās valsts attiecīgie noteikumi; b) tas ir devis norādījumus un visā personas datu apstrādes pakalpojumu sniegšanas laikā turpinās dot norādījumus datu saņēmējam apstrādāt pārsūtītos personas datus vienīgi datu nosūtītāja uzdevumā un saskaņā ar datu aizsardzības jomā piemērojamiem tiesību aktiem un šīm klauzulām; c) datu saņēmējs sniegs pietiekamas garantijas attiecībā uz tehniskajiem un organizatoriskajiem drošības pasākumiem, kas minēti šā līguma 2. papildinājumā; d) pēc tam, kad tiks novērtētas datu aizsardzības jomā piemērojamo tiesību aktu prasības, drošības pasākumi būs piemēroti, lai aizsargātu personas datus pret nejaušu vai nelikumīgu iznīcināšanu vai nejaušu nozaudēšanu, pārveidošanu, neatļautu izpaušanu vai piekļuvi tiem, īpaši – ja apstrāde ietver datu pārraidi elektronisko sakaru tīklā, un pret visām citām nelikumīgām apstrādes formām, un ka minētie pasākumi nodrošina raksturīgajiem apstrādes un aizsargājamo datu riskiem atbilstošu drošības pakāpi, ņemot vērā šo pasākumu pašreizējo līmeni un to īstenošanas izmaksas; e) tas nodrošinās drošības pasākumu ievērošanu; f) tad, ja pārsūtīšana ietver īpašas datu kategorijas, datu subjekts tiek vai tiks informēts iepriekš, ka tā dati varētu tikt pārraidīti uz trešo valsti, kas nesniedz pietiekamu aizsardzības līmeni [Direktīvas 95/46] nozīmē, vai iespējami drīz pēc tam; g) saskaņā ar 5. klauzulas b) punktu un 8. klauzulas 3. punktu datu aizsardzības uzraudzības iestādei tiek pārsūtīti visi paziņojumi, kas saņemti no datu saņēmēja vai kāda apakšapstrādātāja, ja datu nosūtītājs nolemj turpināt pārsūtīšanu vai atcelt aizliegumu; h) izņemot 2. papildinājumā ietvertās klauzulas, datu subjektiem pēc pieprasījuma dara pieejamu šajā pielikumā ietverto klauzulu kopiju un drošības pasākumu rezumējošu aprakstu, kā arī visu apakšuzņēmuma līgumu par apakšapstrādes pakalpojumiem kopijas, kas jāsagatavo saskaņā ar šīm klauzulām, ja vien klauzulas vai līgums nesatur komerciālu informāciju, ko tādā gadījumā datu nosūtītājs var dzēst; i) apakšapstrādes gadījumā apstrādes darbības saskaņā ar 11. klauzulu veic apakšapstrādātājs, nodrošinot vismaz tādu pašu personas datu un datu subjekta tiesību aizsardzību kā datu nosūtītājs saskaņā ar šo klauzulu noteikumiem; kā arī j) ka tas nodrošinās atbilstību 4. klauzulas a)–i) punktam.”

28. Tā paša pielikuma 5. klauzulā “Datu saņēmēja pienākumi (1)” ir noteikts: “Datu saņēmējs piekrīt un garantē, ka: a) tas apstrādās personas datus vienīgi datu nosūtītāja vārdā un saskaņā ar tā norādījumiem un klauzulām; gadījumā, ja datu saņēmējs kāda iemesla dēļ nevar nodrošināt norādījumu un klauzulu ievērošanu, tas piekrīt nekavējoties informēt par to datu nosūtītāju, un šādā gadījumā datu nosūtītājam ir tiesības apturēt datu pārsūtīšanu un/vai izbeigt līgumu; b) tam nav iemesla uzskatīt, ka datu saņēmējam piemērojamie tiesību akti neļauj tam izpildīt datu nosūtītāja norādījumus un līgumā paredzētos pienākumus, un ka gadījumā, ja tiek izdarītas tādas izmaiņas datu saņēmēja tiesību aktos, kas var negatīvi ietekmēt klauzulās noteiktās garantijas un pienākumus, tas nekavējoties paziņos par šīm izmaiņām datu nosūtītājam, tiklīdz tās kļūs zināmas, un šādā gadījumā datu nosūtītājam ir tiesības apturēt datu pārsūtīšanu un/vai izbeigt līgumu; c) pirms apstrādāt pārsūtītos personas datus, tas ir ieviesis tehniskos un organizatoriskos drošības pasākumus, kas norādīti 2. papildinājumā; d) tas nekavējoties paziņos datu nosūtītājam par: i) tiesībaizsardzības iestāžu jebkuru juridiski saistošu pieprasījumu atklāt personas datus, ja vien tas citādi nav aizliegts, piemēram, krimināltiesībās paredzētais aizliegums nolūkā saglabāt tiesībaizsardzības iestāžu veiktās izmeklēšanas konfidencialitāti; ii) jebkuru nejaušu vai neatļautu piekļuvi; kā arī iii) jebkuru pieprasījumu, kas tiešā veidā saņemts no datu subjektiem, neatbildot uz minēto pieprasījumu, ja vien tas nav citādi pilnvarots to darīt; e) nekavējoties un pienācīgi atbildēs uz visiem datu nosūtītāja pieprasījumiem, kas saistīti ar tā veikto pārsūtāmo personas datu apstrādi, un ievēros uzraudzības iestādes padomus attiecībā uz pārsūtīto datu apstrādi; f) pēc datu nosūtītāja pieprasījuma tas ļaus datu apstrādes telpās veikt revīziju par apstrādes darbībām, uz kurām attiecas klauzulas; revīziju veic datu nosūtītājs vai pārbaudes struktūra, kurā ir neatkarīgi locekļi un kurai ir vajadzīgā profesionālā kvalifikācija un konfidencialitātes saistības; šo struktūru izvēlas datu nosūtītājs, atbilstošā gadījumā vienojoties ar uzraudzības iestādi; [..].”

29. Saskaņā ar 1. zemsvītras piezīmi, uz kuru ir atsauce Lēmuma 2010/87 pielikumā ietvertās 5. klauzulas nosaukumā: “Valsts tiesību aktu obligātās prasības, ko piemēro datu saņēmējam un kas nepārsniedz prasības, kuras ir vajadzīgas demokrātiskā sabiedrībā, pamatojoties uz vienu no [Direktīvas 95/46] 13. panta 1. punktā minētajām interesēm, proti, ja tās ir nepieciešams aizsargpasākums valsts drošībai, aizsardzībai, sabiedrības drošībai, kriminālsodāmu noziedzīgu nodarījumu vai reglamentētu profesiju ētikas pārkāpumu novēršanai, izmeklēšanai, atklāšanai un kriminālvajāšanai, valsts svarīgās ekonomiskās vai finansiālās interesēs vai datu subjekta aizsardzībai vai citu personu tiesību un brīvību aizsardzībai, nav pretrunā līguma standartklauzulām. Piemēri dažām tādām obligātajām prasībām, kas nepārsniedz prasības, kuras ir vajadzīgas demokrātiskā sabiedrībā, inter alia ir starptautiski atzītas sankcijas, nodokļu deklarēšanas prasības vai prasība ziņot par nelikumīgi iegūtu līdzekļu legalizāciju.”

30. Šajā pielikumā ietvertā 6. klauzula “Atbildība” ir formulēta šādi: “1. Puses vienojas, ka datu subjektam, kam nodarīts kaitējums 3. vai 11. klauzulā minēto noteikumu pārkāpumu rezultātā, kurus izdarījusi kāda no pusēm vai apakšapstrādātājs, ir tiesības saņemt no datu nosūtītāja kompensāciju par nodarīto kaitējumu. 2. Ja datu subjekts pret datu nosūtītāju nevar vērsties ar 1. punktā minēto prasību par kompensāciju, kas izriet no tā, ka datu nosūtītājs vai tā apakšapstrādātājs nav izpildījis kādu no 3. vai 11. klauzulā minētajiem pienākumiem, sakarā ar to, ka datu nosūtītājs ir faktiski zudis vai juridiski beidzis pastāvēt, vai arī ir kļuvis maksātnespējīgs, datu saņēmējs piekrīt, ka datu subjekts var izvirzīt prasību pret datu saņēmēju tā, it kā tas būtu datu nosūtītājs, ja vien kāds tiesību pārņēmējs ar līgumu vai likumiskā kārtā nav uzņēmies visas datu nosūtītāja juridiskās saistības, kā rezultātā datu subjekts var piemērot savas tiesības pret minēto tiesību pārņēmēju. [..]”

31. Minētajā pielikumā ietvertajā 7. klauzulā “Starpniecība un jurisdikcija” ir noteikts: “1. Datu saņēmējs piekrīt, ka gadījumā, ja datu subjekts attiecībā uz to piemēro ieinteresētās trešās personas tiesības un/vai saskaņā ar klauzulām pieprasa kompensāciju par kaitējumu, datu saņēmējs pieņems datu subjekta lēmumu: a) strīda izšķiršanai izmantot neatkarīgas personas vai attiecīgā gadījumā uzraudzības iestādes starpniecību; b) nodot strīdu izskatīšanai tās dalībvalsts tiesās, kurā datu nosūtītājs ir reģistrēts. 2. Puses piekrīt, ka datu subjekta izvēle neskar tā materiālās vai procesuālās tiesības uz aizsardzības līdzekļiem saskaņā ar citiem valsts vai starptautisko tiesību noteikumiem.”

32. Tajā pašā pielikumā ietvertā 9. klauzula “Piemērojamie tiesību akti” paredz, ka līguma standartklauzulas reglamentē tās dalībvalsts tiesību akti, kurā datu nosūtītājs ir reģistrēts.

D. “Privātuma vairoga” lēmums

33. Direktīvas 95/46 25. panta 6. punkts bija pamats, lai Komisija pieņemtu divus secīgus lēmumus, kuros tā konstatēja, ka ASV nodrošina pienācīgu to personas datu aizsardzības līmeni, kas tiek nosūtīti uz ASV reģistrētiem uzņēmumiem, kuri, izmantojot pašsertifikācijas procedūru, ir paziņojuši, ka ievēro šajos lēmumos noteiktos principus.

34. Vispirms Komisija pieņēma Lēmumu 2000/520/EK par pienācīgu aizsardzību, kas noteikta ar privātuma “drošības zonas” principiem un attiecīgajiem visbiežāk uzdotajiem jautājumiem, kurus izdevusi [ASV] Tirdzniecības ministrija ( 11 ). 2015. gada 6. oktobra spriedumā lietā Schrems ( 12 ) Tiesa šo lēmumu atzina par spēkā neesošu.

35. Pēc tam – pēc šī sprieduma Komisija pieņēma “Privātuma vairoga” lēmumu.

36. Šī lēmuma 1. pantā ir noteikts: “1. [Direktīvas 95/46] 25. panta 2. punkta izpratnē Amerikas Savienotās Valstis nodrošina pienācīgu aizsardzības līmeni personas datiem, kas ES un ASV privātuma vairoga ietvaros no Savienības tiek nosūtīti organizācijām Amerikas Savienotajās Valstīs. 2. ES un ASV privātuma vairogu veido principi, kurus ASV Tirdzniecības ministrija izdevusi 2016. gada 7. jūlijā, kas izklāstīti II pielikumā, un oficiālie apgalvojumi un saistības, kas iekļautas dokumentos I un III–VII pielikumā. 3. Šā panta 1. punkta īstenošanai personas dati tiek pārsūtīti ES un ASV privātuma vairoga ietvaros, ja tos no Savienības pārsūta Amerikas Savienoto Valstu organizācijām, kuras ir iekļautas “Privātuma vairoga sarakstā”, ko uztur un publicē ASV Tirdzniecības ministrija saskaņā ar II pielikumā izklāstīto principu I un III sadaļu.”

37. Šī lēmuma III pielikuma A pielikumā “ES un ASV privātuma vairoga ombuda mehānisms Sakaru izlūkošanas jomā”, kurš ir pievienots Džona Kerija [John Kerry], kas tolaik bija Secretary of State (Valsts sekretārs, ASV), 2016. gada 7. jūlija vēstulei, ir ietverts memorands, kurā ir aprakstīta jauna starpniecības procedūra ar “vecāko koordinatoru starptautiskās informācijas tehnoloģijas diplomātijas jautājumos” (turpmāk tekstā – “ombuds”), ko iecēlis Valsts sekretārs.

38. Saskaņā ar šo memorandu šī procedūra tika ieviesta, “lai veicinātu tādu ar valsts drošību saistītu piekļuves pieprasījumu apstrādi, kuri attiecas uz datiem, ko ar iedibinātiem piemērojamos Amerikas Savienoto Valstu tiesību aktos un politikā paredzētiem līdzekļiem no [Savienības] pārsūta Amerikas Savienotajām Valstīm saskaņā ar privātuma vairogu, saistošiem uzņēmumu noteikumiem, standarta līgumu klauzulām (SLK), “atkāpēm” vai “iespējamām turpmākām atkāpēm”, kā arī atbildēšanu uz tiem”.

III. Pamatlieta, prejudiciālie jautājumi un tiesvedība Tiesā

39. M. Schrems, Austrijas pilsonis, kurš dzīvo Austrijā, ir sociālā tīkla Facebook lietotājs. Visiem šī sociālā tīkla lietotājiem, kas dzīvo Savienības teritorijā, reģistrēšanās brīdī ir jānoslēdz līgums ar Facebook Ireland, kas ir ASV reģistrētās sabiedrības Facebook Inc. meitasuzņēmums. Šo lietotāju personas dati pilnībā vai daļēji tiek nosūtīti uz Facebook Inc. piederošiem serveriem, kas atrodas ASV teritorijā, kur tos apstrādā.

40. 2013. gada 25. jūnijāM. Schrems iesniedza DPC sūdzību, kurā būtībā viņš lūdza, lai Facebook Ireland tiktu aizliegts nosūtīt viņa personas datus uz ASV. Sūdzībā viņš norādīja, ka šajā trešajā valstī spēkā esošās tiesības un prakse nenodrošinot pietiekamu šīs valsts teritorijā glabāto personas datu aizsardzību pret iejaukšanos, kas izriet no [trešās valsts] valsts iestāžu īstenotās uzraudzības. Šajā ziņā M. Schrems atsaucās uz Edvarda Snoudena [Edward Snowden] atklāto informāciju par ASV izlūkdienestu, it īpaši National Security Agency (Nacionālā drošības aģentūra, ASV, turpmāk tekstā – “NSA”) darbībām.

41. Šī sūdzība tika noraidīta, pamatojoties it īpaši uz to, ka visi jautājumi par ASV nodrošinātās aizsardzības pietiekamību ir jārisina saskaņā ar “drošības zonas” lēmumu. Šajā lēmumā Komisija bija konstatējusi, ka šī trešā valsts sniedz pietiekamu to personas datu aizsardzības līmeni, kuri tiek nosūtīti to teritorijā esošiem uzņēmumiem, kas ievēro minētajā lēmumā norādītos principus.

42. M. Schrems cēla prasību High Court (Augstā Tiesa) par lēmumu noraidīt viņa sūdzību. Šī tiesa uzskatīja, ka, lai gan M. Schrems formāli nav apstrīdējis “drošības zonas” lēmuma spēkā esamību, viņa sūdzībā tika faktiski apstrīdēts ar šo lēmumu ieviestās sistēmas tiesiskums. Šādos apstākļos minētā tiesa uzdeva Tiesai jautājumus būtībā par to, vai dalībvalstu datu aizsardzības iestādēm (turpmāk tekstā – “uzraudzības iestādes”), ja tajās ir iesniegta sūdzība par personas tiesību un brīvību aizsardzību saistībā ar to personas datu apstrādi, kuri attiecas uz šo personu un kuri ir nosūtīti uz trešo valsti, ir saistoši konstatējumi par šīs trešās valsts sniegtā aizsardzības līmeņa pietiekamību, ko Komisija veikusi saskaņā ar Direktīvas 95/46 25. panta 6. punktu, lai gan sūdzības iesniedzējs šos konstatējumus apstrīd.

43. Pēc tam, kad sprieduma Schrems 51. un 52. punktā Tiesa nosprieda, ka lēmums par aizsardzības līmeņa pietiekamību ir saistošs uzraudzības iestādēm tik ilgi, kamēr tas nav pasludināts par spēkā neesošu, šī sprieduma 63. un 65. punktā Tiesa nosprieda: “63. [..] Ja persona, kuras personas dati ir tikuši vai var tikt pārsūtīti uz trešo valsti, par ko Komisija saskaņā ar Direktīvas 95/46 25. panta 6. punktu ir pieņēmusi lēmumu, vēršas valsts uzraudzības iestādē ar prasību par tās tiesību un brīvību aizsardzību saistībā ar šo datu apstrādi un šīs prasības ietvaros [..] apstrīd šī lēmuma saderīgumu ar personu privātās dzīves neaizskaramības un pamatbrīvību un pamattiesību aizsardzību, šai iestādei minētā prasība ir jāizskata ar vislielāko rūpību. [..] 65. [..] Gadījumā, ja minētā iestāde par pamatotām atzīst iebildes, ko izvirzījusi [šī persona], šai pašai iestādei atbilstoši Direktīvas 95/46 28. panta 3. punkta pirmās daļas trešajam ievilkumam, to lasot kopā ar Hartas 8. panta 3. punktu, ir jāvar iesaistīties tiesvedībā. Šajā ziņā valsts likumdevēja ziņā ir paredzēt tiesiskās aizsardzības līdzekļus, kas valsts uzraudzības iestādei ļauj valstu tiesās izvirzīt iebildes, kuras tā uzskata par pamatotām, lai šīs tiesas – ja arī tās piekrīt šīs iestādes šaubām par Komisijas lēmuma spēkā esamību – iesniegtu lūgumu sniegt prejudiciālu nolēmumu šī lēmuma spēkā esamības izvērtēšanas nolūkos.”

44. Tiesa minētajā spriedumā arī pārbaudīja “drošības zonas” lēmuma spēkā esamību, ņemot vērā no Direktīvas 95/46 izrietošās prasības, lasot tās kopsakarā ar Hartu. Pēc šīs pārbaudes tā atzina šo lēmumu par spēkā neesošu ( 13 ).

45. Pēc sprieduma Schrems iesniedzējtiesa atcēla lēmumu, ar kuru DPC bija noraidījis M. Schrems sūdzību, un nosūtīja to DPC pārbaudei. Pēdējais minētais uzsāka izmeklēšanu un aicināja M. Schrems pārformulēt savu sūdzību, ņemot vērā “drošības zonas” lēmuma atzīšanu par spēkā neesošu.

46. Šajā nolūkā M. Schrems lūdza Facebook Ireland identificēt juridiskos pamatus, uz kuriem ir balstīta sociālā tīkla Facebook lietotāju personas datu nosūtīšana no Savienības uz ASV. Facebook Ireland, neidentificējot visus juridiskos pamatus, uz kuriem tas balstās, atsaucās uz nolīgumu par datu nosūtīšanu un apstrādi (data transfer processing agreement), kas noslēgts starp viņu un Facebook Inc. un kas ir piemērojams kopš 2015. gada 20. novembra, un norādīja uz Lēmumu 2010/87.

47. Savā pārformulētajā sūdzībā M. Schrems norāda, pirmkārt, ka šajā nolīgumā ietvertās klauzulas neatbilst līguma standartklauzulām, kas ietvertas Lēmuma 2010/87 pielikumā. Otrkārt, M. Schrems apgalvo, ka līguma standartklauzulas jebkurā gadījumā nevarot būt pamats viņa personas datu nosūtīšanai uz ASV. Tas tā esot tādēļ, ka ASV tiesības uzliek Facebook Inc. pienākumu nodot savu lietotāju personas datus tādu ASV iestāžu rīcībā kā, piemēram, NSA un Federal Bureau of Investigation (Federālais izmeklēšanas birojs, ASV, turpmāk tekstā – “FBI”) uzraudzības programmu ietvaros, kas traucējot īstenot Hartas 7., 8. un 47. pantā garantētās tiesības. M. Schrems apgalvo, ka neviens tiesību aizsardzības līdzeklis neļauj datu subjektiem īstenot viņu tiesības uz privātās dzīves neaizskaramību un personas datu aizsardzību. Šādos apstākļos M. Schrems lūdz DPC apturēt šo pārsūtīšanu, piemērojot Lēmuma 2010/87 4. pantu.

48. DPC veiktās izmeklēšanas ietvaros Facebook Ireland ir atzinis, ka tas turpina nosūtīt sociālā tīkla Facebook Savienībā dzīvojošo lietotāju personas datus uz ASV un ka šajā nolūkā tas lielā mērā balstās uz līguma standartklauzulām, kas ir ietvertas Lēmuma 2010/87 pielikumā.

49. DPC izmeklēšanas mērķis bija noteikt, pirmkārt, vai ASV nodrošina pietiekamu Savienības pilsoņu personas datu aizsardzību un, otrkārt, noliedzošas atbildes gadījumā, vai LSK lēmumi sniedz pietiekamas garantijas attiecībā uz šo pēdējo minēto pamattiesību un pamatbrīvību aizsardzību.

50. Šajā ziņā lēmuma projektā (draft decision) DPC provizoriski uzskatīja, ka ASV tiesības nenodrošina efektīvus tiesību aizsardzības līdzekļus Hartas 47. panta izpratnē Savienības pilsoņiem, kuru dati tiek nosūtīti uz ASV, kur tos, iespējams, apstrādās ASV iestādes valsts drošības nolūkos tādā veidā, kas nav saderīgs ar Hartas 7. un 8. pantu. Garantijas, kas paredzētas LSK lēmumu pielikumā ietvertajās klauzulās, nenovēršot šo trūkumu, jo tās neesot saistošas ASV iestādēm vai aģentūrām un ar tām datu subjektiem tiekot piešķirtas tikai līgumiskas tiesības attiecībā pret datu nosūtītāju un/vai saņēmēju.

51. Šādos apstākļos DPC uzskatīja, ka viņš nevar lemt par M. Schrems sūdzību, pirms Tiesa ir pārbaudījusi LSK lēmumu spēkā esamību. Atbilstoši tam, kas ir noteikts sprieduma Schrems 65. punktā, DPC tādējādi uzsāka tiesvedību iesniedzējtiesā, lai tā, ja tā piekrīt DPC šaubām, iesniedz Tiesai lūgumu sniegt prejudiciālu nolēmumu par šo lēmumu spēkā esamību.

52. ASV valdība, Electronic Privacy Information Centre (turpmāk tekstā – “EPIC”), Business Software Alliance (turpmāk tekstā – “BSA”) un Digitaleurope tika atļauts iestāties lietā iesniedzējtiesā.

53. High Court (Augstā Tiesa), lai noteiktu, vai tā piekrīt DPC izteiktajām šaubām par LSK lēmumu spēkā esamību, saņēma lietas dalībnieku iesniegtos pierādījumus un uzklausīja viņu, kā arī personu, kas iestājušās lietā, argumentus. It īpaši, pierādījumu ietvaros eksperti prezentēja ASV tiesību normas. Īrijas tiesībās ārvalsts tiesības tiek uzskatītas par faktu, kas jāpierāda tādā pašā veidā kā jebkurš citu fakts. Pamatojoties uz šiem pierādījumiem, iesniedzējtiesa izvērtēja ASV tiesību normas, ar kurām valdības iestādēm un aģentūrām ir atļauts veikt uzraudzību, divu publiski atzītu uzraudzības programmu (“PRISM” un “Upstream”) darbību, dažādās iespējas vērsties tiesā, kas ir pieejamas privātpersonām, kuru tiesības ir pārkāptas ar uzraudzības pasākumiem, kā arī sistēmiskās garantijas un kontroles mehānismus. Vērtējuma rezultātus šī tiesa atspoguļoja 2017. gada 3. oktobra spriedumā, kas ir pievienots tās lūgumam sniegt prejudiciālu nolēmumu (turpmāk tekstā – “High Court (Augstā tiesa) 2017. gada 3. oktobra spriedums”).

54. Šajā spriedumā iesniedzējtiesa kā vienu no juridiskajiem pamatiem, ar kuru ASV izlūkdienestiem tiek atļauts pārtvert ārvalstu sakarus, norāda Foreign Intelligence and Surveillance Act (Ārvalstu izlūkošanas uzraudzības likums, turpmāk tekstā – “FISA”) 702. pantu un Executive Order 12333 (Prezidenta dekrēts Nr. 12333, turpmāk tekstā – “EO 12333”).

55. Saskaņā ar šajā spriedumā izdarītajiem konstatējumiem FISA 702. pants ļauj Attorney General (ģenerālprokurors, ASV) un Director of National Intelligence (Nacionālās izlūkošanas direktors, ASV, turpmāk tekstā – “DNI”) abiem kopā atļaut – uz vienu gadu ilgu laikposmu, nolūkā iegūt informāciju ārvalstu izlūkošanas jomā – tādu personu uzraudzību, kuri nav ASV pilsoņi un kuru pastāvīgā dzīvesvieta nav ASV (tā sauktās “citu valstu personas”), ja ir pamatoti iemesli uzskatīt, ka tās atrodas ārpus ASV teritorijas ( 14 ). Saskaņā ar FISA jēdziens “ārvalstu izlūkošana” nozīmē informāciju, kas saistīta ar valdības spēju nodrošināties pret ārvalstu uzbrukumiem, terorismu, masu iznīcināšanas ieroču izplatīšanu, kā arī ar ASV ārlietām ( 15 ).

56. Šīs gada atļaujas, tāpat kā procedūras, kas reglamentē uzraugāmo personu mērķatlasi un apkopotās informācijas apstrādi (“minimizācija”) ( 16 ), ir jāapstiprina Foreign Intelligence Surveillance Court (Ārvalstu izlūkošanas uzraudzības tiesa, ASV, turpmāk tekstā – “FISC”). Lai arī “tradicionālā” uzraudzība, kuru veic, pamatojoties uz citām FISA tiesību normām, prasa, lai tiktu pierādīts “ticams iemesls”, kas ļauj uzskatīt, ka uzraugāmās personas pieder ārvalsts varai vai ir ārvalstu varas pārstāvji, uzraudzības darbības, kuras veiktas saskaņā ar FISA 702. pantu, nav pakļautas ne šādai “ticama iemesla” pierādīšanai, ne apstiprinājuma saņemšanai no FISC, lai mērķēti atlasītu noteiktas personas. Turklāt, joprojām saskaņā ar iesniedzējtiesas konstatējumiem, minimizācijas procedūras neattiecas uz citu valstu personām, kas atrodas ārpus ASV.

57. Praksē, tiklīdz FISC ir piešķīrusi atļauju, NSA nosūta ASV reģistrētiem elektronisko komunikāciju pakalpojumu sniedzējiem norādes, kuras satur meklēšanas kritērijus, ko sauc par “atlasītājiem”, sasaistot tos ar interesējošajām personām (piemēram, tālruņa numuri vai e‑pasta adreses). Šiem piegādātājiem ir pienākums nosūtīt atlasītājiem atbilstošos datus NSA, un tiem ir jāglabā noslēpums attiecībā uz tiem sniegtajām norādēm. Tie var iesniegt prasības pieteikumu FISC, lai panāktu NSA sniegtas norādes grozīšanu vai nepiemērošanu. FISC lēmumu var pārsūdzēt Foreign Intelligence Surveillance Court of Review (Ārvalstu izlūkošanas uzraudzības apelācijas tiesa, ASV, turpmāk tekstā – “FISCR”).

58. High Court (Augstā Tiesa) konstatēja, ka FISA 702. pants ir juridiskais pamats “PRISM” un “Upstream” programmām.

59. “PRISM” programmas ietvaros elektronisko komunikāciju pakalpojumu sniedzējiem ir pienākums nosūtīt NSA visas komunikācijas, kurās tās norādītais atlasītājs ir “sākumpunkts” vai “galamērķis”. Daļa no šīm komunikācijām tiekot pārsūtīta FBI un Central Intelligence Agency (Centrālā izlūkošanas pārvalde, ASV, turpmāk tekstā – “CIA”). 2015. gadā esot bijušas uzraudzītas 94386 personas, un 2011. gadā ASV valdība šīs programmas ietvaros esot ieguvusi vairāk nekā 250 miljonus komunikācijas.

60. “Upstream” programma balstās uz obligāto palīdzību no uzņēmumiem, kas ekspluatē “mugurkaulu”, proti, kabeļu tīklu, pārslēdzējus un maršrutētājus, pa kuriem cirkulē telefoniskās un interneta komunikācijas. Šie uzņēmumi ir spiesti ļaut NSA kopēt un filtrēt interneta datu plūsmu, lai iegūtu saziņu, kuras “sākumpunkts” vai “galamērķis” ir šīs aģentūras norādēs minētais atlasītājs, vai kura “attiecas uz” šo atlasītāju. Saziņa, kas “attiecas uz” atlasītāju, ir saziņa, kurā ir atsauce uz šo atlasītāju, lai gan citas valsts persona, kas ir sasaistīta ar minēto atlasītāju, ne obligāti piedalās šajā saziņā. Lai gan no FISC2017. gada 26. aprīļa atzinuma izriet, ka kopš šī datuma ASV valdība vairs nevāc un neiegūst saziņu, kas “attiecas uz” jebkādu atlasītāju, šajā atzinumā nav norādīts, ka NSA būtu pārtrauksi kopēt un filtrēt saziņas plūsmu, kas cirkulē tās uzraudzības mehānismā. Tādējādi “Upstream” programma nozīmējot NSA piekļuvi gan metadatiem, gan arī saziņas saturam. Kopš 2011. gada “Upstream” programmas ietvaros NSA esot ieguvusi aptuveni 26,5 miljonus komunikāciju gadā, kas tomēr esot tikai neliela daļa no saziņas, kas saskaņā ar šo programmu tiek filtrēta.

61. Turklāt saskaņā ar High Court (Augstā tiesa) konstatējumiem EO 12333 atļauj elektronisko komunikāciju uzraudzību ārpus ASV teritorijas, ļaujot – ārvalstu izlūkošanas nolūkā – piekļūt datiem, kas ir “tranzītā” uz šo teritoriju vai ir “tranzītā” caur šo teritoriju, lai arī šos datus nav paredzēts tur apstrādāt, kā arī vākt un glabāt šos datus. EO 12333 jēdziens “ārvalstu izlūkošana” ir definēts kā tāds, kas ietver informāciju par ārvalstu valdību, ārvalstu organizāciju vai ārvalstu personu spējām, nodomiem vai darbībām ( 17 ).

62. EO 12333 piešķirot tiesības NSA piekļūt zemūdens kabeļiem, kuri atrodas Atlantijas okeāna dzīlēs un ar kuru palīdzību dati no Savienības tiek nosūtīti uz ASV, pirms šie dati nonāk ASV un šī iemesla dēļ ir pakļauti FISA tiesību normām. Tomēr nav nekādu pierādījumu tam, ka saskaņā ar šo prezidenta dekrētu būtu īstenota jebkāda programma.

63. Lai gan EO 12333 ir paredzēti ierobežojumi attiecībā uz informācijas vākšanu, turēšanu un izplatīšanu, šie ierobežojumi neattiecas uz citu valstu personām. Uz šīm pēdējām minētajām attiecas tikai garantijas, kas ir norādītas Presidential Policy Directive 28 (Prezidenta politikas direktīva Nr. 28, turpmāk tekstā – “PPD 28”), kas ir piemērojama visām informācijas vākšanas un izmantošanas darbībām ārvalstu sakaru izlūkošanas jomā. PPD 28 ir noteikts, ka privātās dzīves neaizskaramība ir šo darbību plānošanas laikā ievērojamo apsvērumu neatņemama sastāvdaļa, ka vākšanas vienīgajam mērķim ir jābūt informācijas iegūšanai ārvalstu izlūkošanas, kā arī pretizlūkošanas jomā un ka minētajām darbībām ir jābūt “pēc iespējas precīzāk mērķētām”.

64. Iesniedzējtiesa uzskata, ka NSA darbības, kas balstās uz EO 12333, kuru ASV Prezidents var grozīt vai atsaukt jebkurā brīdī, nereglamentē tiesību akti, tās nav pakļautas tiesas uzraudzībai un par tām nevar celt prasību tiesā.

65. Pamatojoties uz šiem secinājumiem, šī tiesa uzskata, ka ASV veic plašu un visaptverošu personas datu apstrādi, kas datu subjektus pakļauj riskam, ka viņu no Hartas 7. un 8. panta izrietošās tiesības tiek pārkāptas.

66. Turklāt minētā tiesa norāda, ka Savienības pilsoņiem nav pieejama tāda pati tiesību aizsardzība tiesā pret viņu personas datu nelikumīgu apstrādi, ko veic ASV iestādes, kāda ir ASV pilsoņiem. ASV Konstitūcijas ceturtais labojums, kas esot vislielākā aizsardzība pret nelikumīgu uzraudzību, neesot piemērojams Savienības pilsoņiem, kuriem nav apzinātas, nozīmīgas saiknes ar ASV. Kaut arī šiem pēdējiem minētajiem tomēr ir dažas citas iespējas, tie tik un tā atdurtos pret būtiskiem šķēršļiem.

67. It īpaši, saskaņā ar ASV Konstitūcijas III pantu jebkāda prasības celšana federālajās tiesās ir pakārtota nosacījumam, ka attiecīgajai personai ir jāpierāda savs locus standi (standing). Locus standi konkrēti nozīmē, ka šai personai ir jāpierāda, ka viņai ir nodarīts faktisks kaitējums, kas, pirmkārt, ir konkrēts un individualizēts un, otrkārt, ir jau radies vai ir nenovēršams. Atsaucoties tostarp uz Supreme Court of the United States (ASV Augstākā tiesa) spriedumu Clapper pret Amnesty International US ( 18 ), iesniedzējtiesa uzskata, ka šo nosacījumu izpildīt praksē ir pārmērīgi grūti, ņemot it īpaši vērā to, ka nepastāv pienākums informēt datu subjektus par attiecībā uz viņiem veiktajiem uzraudzības pasākumiem ( 19 ). Daļa no Savienības pilsoņiem pieejamiem tiesību aizsardzības līdzekļiem turklāt ir pakļauta citiem ierobežojošiem nosacījumiem, piemēram, nepieciešamībai pierādīt mantisku kaitējumu. Izlūkošanas aģentūrām atzītā suverēnā imunitāte un attiecīgās informācijas klasifikācija arī esot šķērslis dažu tiesību aizsardzības līdzekļu izmantošanai ( 20 ).

68. Turklāt High Court (Augstā Tiesa) apraksta dažādus izlūkošanas aģentūru darbību kontroles un uzraudzības mehānismus.

69. Viens no tiem ir, pirmkārt, ikgadējās sertifikācijas mehānisms, kad FISC sertificē uz FISA 702. pantu balstītās programmas, kura ietvaros FISC tomēr neapstiprina individuālos atlasītājus. Turklāt nekāda iepriekšēja pārbaude tiesā nereglamentē informācijas vākšanu ārvalstu izlūkošanas jomā saskaņā ar EO 12333.

70. Otrkārt, iesniedzējtiesa atsaucas uz vairākiem izlūkošanas darbību ārpustiesas uzraudzības mehānismiem. Tā it īpaši piemin Inspectors General (ģenerālinspektori, ASV) lomu, kuru uzdevums ir pārraudzīt uzraudzības darbības katrā izlūkošanas aģentūrā. Turklāt Privacy and Civil Liberties Oversight Board (Privātuma un pilsonisko brīvību pārraudzības padome, ASV, turpmāk tekstā – “PCLOB”) – neatkarīga aģentūra izpildvaras ietvaros – saņem ziņojumus no personām, kas katrā aģentūrā ir ieceltas par pilsonisko brīvību vai privātuma aģentiem (civil liberties or privacy officers). PCLOB regulāri gatavo ziņojumus Parlamenta komisijām un Prezidentam. Attiecīgajām aģentūrām ir jāziņo tostarp DNI par incidentiem, kas saistīti ar noteikumu un procedūru par ārvalstu izlūkošanas [informācijas] vākšanu neievērošanu. Par šiem incidentiem tiek ziņots arī FISC. ASV Kongresam ar [Pārstāvju] palātas un Senāta izlūkošanas komisiju starpniecību arī ir noteikta atbildība kontrolēt ārvalstu izlūkošanas darbības.

71. Tomēr High Court (Augstā Tiesa) uzsver, ka ir būtiska atšķirība starp, no vienas puses, noteikumiem, kuru mērķis ir nodrošināt, ka dati ir iegūti likumīgi un, tiklīdz tie ir iegūti, tie netiek izmantoti ļaunprātīgi, un, no otras puses, pieejamo tiesību aizsardzību tiesā, ja šie noteikumi netiek ievēroti. Datu subjektu pamattiesību aizsardzība būtu nodrošināta tikai tad, ja tiesību aizsardzības līdzekļi tiem ļautu īstenot viņu tiesības minēto noteikumu neievērošanas gadījumā.

72. Šādos apstākļos iesniedzējtiesa uzskata par pamatotiem DPC izvirzītos argumentus, saskaņā ar kuriem ierobežojumi, kas ir noteikti ASV tiesībās attiecībā uz to personu tiesībām celt prasību, kuru dati tiek nosūtīti no Savienības, neatbilst Hartas 47. pantā garantēto tiesību būtībai, un katrā ziņā ir nesamērīga iejaukšanās šo tiesību īstenošanā.

73. High Court (Augstā tiesa) ieskatā, tas, ka ASV valdība ir ieviesusi “Privātuma vairoga” lēmumā aprakstīto ombuda mehānismu, nav pamats apšaubīt šo vērtējumu. Pēc tam, kad minētā tiesa ir uzsvērusi, ka šis mehānisms ir pieejams Savienības pilsoņiem, kuri pamatoti uzskata, ka viņu dati ir tikuši nosūtīti atbilstoši LSK lēmumiem ( 21 ), šī tiesa norādīja, ka ombuds nav tiesa, kas atbilst Hartas 47. panta prasībām, un, it īpaši, tas nav neatkarīgs no izpildvaras ( 22 ). Minētā tiesa arī šaubās, ka ombuda iesaistīšanās, kura lēmumus nevar pārsūdzēt tiesā, ir efektīvs tiesību aizsardzības līdzeklis. Šī iesaistīšanās neļauj personām, kuru personas dati ir tikuši nelikumīgi savākti, apstrādāti vai izplatīti, saņemt kompensāciju vai panākt rīkojumu pārtraukt nelikumīgās darbības, jo ombuds neapstiprina un nenoliedz, ka prasītājam ir bijis piemērots elektroniskās uzraudzības pasākums.

74. Šādi izklāstījusi savus jautājumus par ASV tiesībās paredzēto garantiju līdzvērtību pēc būtības prasībām, kas izriet no Hartas 7., 8. un 47. panta, iesniedzējtiesa pauda bažas par to, vai līguma standartklauzulas, kas paredzētas LSK lēmumos un kas pēc savas būtības nav saistošas ASV iestādēm, tomēr var nodrošināt datu subjektu pamattiesību aizsardzību. Šī tiesa secināja, ka tā piekrīt DPC šaubām par šo lēmumu spēkā esamību.

75. Šajā ziņā iesniedzējtiesa it īpaši uzskata, ka Direktīvas 95/46 28. panta 3. punkts, uz kuru ir atsauce Lēmuma 2010/87 4. pantā, ciktāl tajā ir atzītas uzraudzības iestāžu pilnvaras apturēt vai aizliegt pārsūtīšanu, kas balstīta uz šajā lēmumā paredzētajām līguma standartklauzulām, nav pietiekams, lai kliedētu šīs šaubas. Papildus tam, ka šīm pilnvarām, tās ieskatā, ir tikai ar rīcības brīvību saistīts raksturs, iesniedzējtiesa, ņemot vērā Lēmuma 2010/87 11. apsvērumu, uzdod jautājumu par iespēju tās īstenot, ja konstatētie trūkumi neattiecas uz konkrētu un izņēmuma gadījumu, bet tiem ir vispārīgs un sistēmisks raksturs ( 23 ). Tā arī uzskata, ka risks, ka dažādās dalībvalstīs tiek pasludināti atšķirīgi nolēmumi, varētu izraisīt iebildumus pret to, ka šādu trūkumu konstatēšana tiek uzticēta uzraudzības iestādēm.

76. Šādos apstākļos High Court (Augstā tiesa) ar 2018. gada 4. maija nolēmumu ( 24 ), kas Tiesā reģistrēts 2018. gada 9. maijā, nolēma apturēt tiesvedību un uzdot Tiesai šādus prejudiciālus jautājumus: “1) Vai – apstākļos, kad privāts uzņēmums no [Savienības] dalībvalsts saskaņā ar [Lēmumu 2010/87] komerciāliem mērķiem pārsūta personas datus privātam uzņēmumam trešajā valstī, kurā turpmāk šīs trešās valsts iestādes var tos apstrādāt ne vien valsts drošības vajadzībām, bet arī šīs trešās valsts tiesībaizsardzības un ārlietu vajadzībām, – attiecībā uz šo datu pārsūtīšanu ir piemērojami Savienības tiesību akti, tostarp Harta, neraugoties uz LES 4. panta 2. punkta noteikumiem par valsts drošību un [Direktīvas 95/46] 3. panta 2. punkta pirmā ievilkuma noteikumiem attiecībā uz sabiedrisko drošību, aizsardzību un valsts drošību? 2) a) Vai [Direktīvas 95/46] izpratnē atbilstoša mēraukla, lai noteiktu, vai ir noticis fiziskas personas tiesību pārkāpums, saskaņā ar Lēmumu [2010/87] veicot datu pārsūtīšanu no [Savienības] uz trešo valsti, kur tos vēlāk varētu apstrādāt valsts drošības nolūkos, ir: i) Harta, LES, LESD, Direktīva [95/46], [Eiropas Cilvēktiesību un pamatbrīvību aizsardzības konvencija, kas parakstīta Romā 1950. gada 4. novembrī (turpmāk tekstā – “ECPAK”)] (vai jebkura cita [Savienības] tiesību norma), vai ii) vienas vai vairāku dalībvalstu valsts tiesību normas? b) Vai – gadījumā, ja atbilstošā mēraukla ir ii) iedaļā minētās tiesību normas, – šajā mērauklā ir iekļaujami arī pasākumi, kas vienā vai vairākās dalībvalstīs tiek veikti saistībā ar valsts drošību? 3) Vai, vērtējot to, vai personas datiem, kas saskaņā ar Direktīvas [95/46] 26. pantu tiek pārsūtīti uz trešo valsti, šī valsts nodrošina tādu aizsardzības līmeni, kāds tiek prasīts Savienības tiesību aktos, šajā trešajā valstī esošais aizsardzības līmenis ir jāvērtē atsaucoties uz: a) trešajā valstī piemērojamajiem noteikumiem, kas izriet no tās valsts tiesībām vai starptautiskajām saistībām, un praksi, ar kuru paredzēts nodrošināt šo noteikumu ievērošanu, tostarp šajā trešajā valstī ievērotajām profesionālās ētikas normām un veiktajiem drošības pasākumiem; vai b) noteikumiem, kas minēti a) daļā, kopā ar tādu administratīvo, regulēšanas un īstenošanas praksi un aizsardzības pasākumu politiku, procedūrām, protokoliem, pārraudzības mehānismiem un ārpustiesas tiesību aizsardzības līdzekļiem, kādi ir spēkā trešajā valstī? 4) Vai – ņemot vērā High Court (Augstā tiesa) konstatētos faktus par ASV tiesībām – ar fiziskas personas datu pārsūtīšanu no [Savienības] uz ASV saskaņā ar Lēmumu [2010/87] tiek pārkāptas Hartas 7. vai 8. pantā paredzētās fizisko personu tiesības? 5) Vai – ņemot vērā High Court (Augstā tiesa) konstatētos faktus par ASV tiesībām – personas datu pārsūtīšanā no [Savienības] uz ASV saskaņā ar Lēmumu [2010/87]: a) ar ASV nodrošināto aizsardzības līmeni tiek ievērota pati būtība, kas piemīt tiesībām – kuras Hartas 47. pantā ir garantētas fiziskajai personai – vērsties tiesā gadījumā, ja ir pārkāptas tās tiesības uz personas datu aizsardzību? Ja atbilde uz a) daļā esošo jautājumu ir apstiprinoša, b) vai ierobežojumi, ko ASV valsts drošības kontekstā fiziskas personas tiesībām vērsties tiesā paredz ASV tiesību akti, ir samērīgi Hartas 52. panta izpratnē un nepārsniedz to, kas ir vajadzīgs demokrātiskā sabiedrībā valsts drošības nolūkos? 6) a) Kāda līmeņa aizsardzība – Direktīvas [95/46] tiesību normu, it īpaši tās 25. un 26. panta kontekstā, lasot tos kopsakarā ar Hartu – ir jānodrošina personas datiem, kas uz trešo valsti pārsūtīti atbilstoši līguma standartklauzulām, kuras pieņemtas, pamatojoties uz Komisijas lēmumu saskaņā ar [šīs direktīvas] 26. panta 4. punktu? b) Kas ir jāņem vērā, vērtējot, vai aizsardzības līmenis, kas tiek nodrošināts datiem, kuri tiek pārsūtīti uz trešo valsti saskaņā ar Lēmumu [2010/87], atbilst Direktīvas [95/46] un Hartas prasībām? 7) Vai tas, ka līguma standartklauzulas ir piemērojamas attiecībās starp datu nosūtītāju un datu saņēmēju un nav saistošas trešās valsts iestādēm, kuras savu drošības dienestu labā varētu pieprasīt no datu saņēmēja piekļuvi, lai turpmāk apstrādātu datus, kas pārsūtīti saskaņā ar Lēmumā [2010/87] paredzētajam klauzulām, izslēdz, ka šajās klauzulās tiek sniegtas atbilstošas garantijas, kā paredzēts Direktīvas [95/46] 26. panta 2. punktā? 8) Vai – gadījumā, ja attiecībā uz trešajā valstī esošo datu saņēmēju ir piemērojami uzraudzības tiesību akti, kas [uzraudzības iestādes] ieskatā, ir pretrunā līguma standartklauzulām vai Direktīvas [95/46] 25. un 26. pantam vai Hartai, – [uzraudzības iestādei] ir pienākums izmantot savas Direktīvas [95/46] 28. panta 3. punktā paredzētās pilnvaras, lai apturētu datu plūsmu, vai šādu pilnvaru izmantošana ir ierobežota, to paredzot tikai ārkārtas gadījumiem, ņemot vērā [Lēmuma 2010/87] 11. apsvērumu, vai [uzraudzības iestāde] var izmantot savu rīcības brīvību neapturēt datu plūsmu? 9) a) Vai – Direktīvas [95/46] 25. panta 6. punkta izpratnē – [“Privātuma vairoga”] lēmums ir vispārpiemērojams un dalībvalstu [uzraudzības iestādēm] un tiesām saistošs konstatējums, ka ASV nodrošina pietiekamu aizsardzības līmeni Direktīvas [95/46] 25. panta 2. punkta izpratnē ar savu valsts tiesību vai noslēgto starptautisko saistību palīdzību? b) Kāda – gadījumā, ja atbildams noliedzoši, – ir [“Privātuma vairoga”] lēmuma nozīme, ja tāda ir, vērtējumā par aizsardzības pasākumu līmeņa pienācīgumu, kas tiek nodrošināti personas datiem, kuri tiek pārsūtīti uz Amerikas Savienotajām Valstīm saskaņā ar Lēmumu [2010/87]? 10) Vai, ņemot vērā High Court (Augstā tiesa) atzinumus par ASV tiesībām, [“Privātuma vairoga”] lēmuma [III A pielikumā] rodamais noteikums par “Privātuma vairoga” ombudu, aplūkojot to kopsakarā ar ASV pastāvošo kārtību, nodrošina, ka datu subjektiem, kuru personas dati tiek pārsūtīti uz ASV saskaņā ar Lēmumu [2010/87], ASV paredz tādus tiesību aizsardzības līdzekļus, kas ir saderīgi ar Hartas 47. pantu? 11) Vai ar Lēmumu [2010/87] tiek pārkāpts Hartas 7., 8. vai 47. pants?”

77. DPC, Facebook Ireland, M. Schrems, ASV valdība, EPIC, BSA, Digitaleurope, Īrija, Beļģijas, Čehijas, Vācijas, Nīderlandes, Austrijas, Polijas, Portugāles un Apvienotās Karalistes valdības, Eiropas Parlaments, kā arī Komisija iesniedza Tiesai rakstveida apsvērumus. DPC, Facebook Ireland, M. Schrems, ASV valdība, EPIC, BSA, Digitaleurope, Īrija, Vācijas, Francijas, Nīderlandes, Austrijas un Apvienotās Karalistes valdības, Parlaments, Komisija, kā arī Eiropas Datu aizsardzības kolēģija (European Data Protection Board, EDPB) tika pārstāvēti 2019. gada 9. jūlija tiesas sēdē mutvārdu paskaidrojumu uzklausīšanai.

IV. Vērtējums

A. Ievada apsvērumi

78. Pēc tam, kad Tiesa spriedumā Schrems atzina “drošības zonas” lēmumu par spēkā neesošu, personas datu pārsūtīšana uz ASV turpinājās atbilstoši citiem juridiskajiem pamatiem. It īpaši, datu nosūtītājas sabiedrības varēja izmantot ar datu saņēmējiem noslēgtus līgumus, kuros bija iekļautas Komisijas izstrādātās standartklauzulas. Šīs klauzulas kalpo arī par juridisko pamatu [datu] nosūtīšanai uz daudzām citām trešajām valstīm, attiecībā uz kurām Komisija nav pieņēmusi lēmumu par aizsardzības līmeņa pietiekamību ( 25 ). “Privātuma vairoga” lēmums turpmāk dod iespēju uzņēmumiem, kuri paši ir apliecinājuši, ka ievēro tajā noteiktos principus, pārsūtīt personas datus uz ASV, neievērojot nekādas citas formalitātes.

79. Kā tas ir skaidri norādīts lūgumā sniegt prejudiciālu nolēmumu un kā to uzsvēra BSA, Digitaleurope, Īrija, Austrijas un Francijas valdības, Parlaments, kā arī Komisija, High Court (Augstā Tiesa) izskatītās lietas vienīgais mērķis ir noteikt, vai lēmums, ar kuru Komisija ir ieviesusi līguma standartklauzulas, kas ir izvirzītas, lai pamatotu M. Schrems sūdzībā minēto [personas datu] pārsūtīšanu, proti, Lēmums 2010/87 ( 26 ), ir spēkā esošs.

80. Šīs lietas pirmsākumi ir meklējami sūdzībā, ar kuru DPC lūdza iesniedzējtiesai, lai tā uzdod Tiesai prejudiciālu jautājumu par Lēmuma 2010/87 spēkā esamību. Kā norāda šī tiesa, pamatlieta tādējādi attiecas uz tāda tiesību aizsardzības līdzekļa īstenošanu, kura ieviešanu Tiesa uzdeva dalībvalstīm sprieduma Schrems 65. punktā.

81. Atgādinājumam – Tiesa šī sprieduma 63. punktā nosprieda, ka uzraudzības iestādei ar vislielāko rūpību ir jāizskata sūdzība, kā ietvaros persona, kuras personas dati ir tikuši vai var tikt pārsūtīti uz trešo valsti, attiecībā uz ko ir pieņemts lēmums par aizsardzības līmeņa pietiekamību, apstrīd šī lēmuma saderību ar Hartā paredzētajām pamattiesībām. Saskaņā ar minētā sprieduma 65. punktu gadījumā, ja šī iestāde uzskata, ka šajā sūdzībā izvirzītie iebildumi ir pamatoti, tai saskaņā ar Direktīvas 95/46 28. panta 3. punkta pirmās daļas trešo ievilkumu (kam atbilst VDAR 58. panta 5. punkts), lasot to kopā ar Hartas 8. panta 3. punktu, ir jāvar iesaistīties tiesvedībā. Šajā ziņā valsts likumdevējam ir jāparedz tiesību aizsardzības līdzekļi, kas tam ļauj izvirzīt šos iebildumus valsts tiesās, lai šīs pēdējās minētās – ja arī tās piekrīt šīs iestādes šaubām – iesniegtu lūgumu sniegt prejudiciālu nolēmumu attiecīgā lēmuma spēkā esamības izvērtēšanas nolūkos.

82. Tāpat kā iesniedzējtiesa es uzskatu, ka šie secinājumi ir piemērojami pēc analoģijas, ja, izskatot tai iesniegtu sūdzību, uzraudzības iestādei rodas šaubas nevis par to, vai ir spēkā lēmums par aizsardzības līmeņa pietiekamību, bet gan par to, vai ir spēkā tāds lēmums kā Lēmums 2010/87, ar ko ievieš līguma standartklauzulas personas datu pārsūtīšanai uz trešajām valstīm. Pretēji Vācijas valdības apgalvotajam nav nozīmes, vai šīs šaubas sakrīt ar iebildumiem, kurus tai iesniegtajā sūdzībā paudis tās iesniedzējs, vai arī šī iestāde pati apšauba attiecīgā lēmuma spēkā esamību. Proti, prasības, kas izriet no VDAR 58. panta 5. punkta un Hartas 8. panta 3. punkta, ar kurām ir nostiprināts Tiesas pamatojums, ir piemērojamas neatkarīgi no uzraudzības iestādē iesniegtajā sūdzībā minētās [datu] pārsūtīšanas juridiskajiem pamatiem un iemesliem, kas šajā iestādē, izskatot šo sūdzību, ir viesuši šaubas par attiecīgā lēmuma spēkā esamību.

83. Ņemot vērā minēto, DPC lūdza iesniedzējtiesai uzdot Tiesai jautājumu par Lēmuma 2010/87 spēkā esamību tādēļ, ka Tiesas atbilde uz šo jautājumu tam liekas nepieciešama, lai izskatītu sūdzību, ar kuru M. Schrems tam lūdz īstenot pilnvaras, kuras DPC bija piešķirtas saskaņā ar Direktīvas 95/46 28. panta 3. punkta otro ievilkumu – un kuras turpmāk tam ir piešķirtas ar VDAR 58. panta 2. punkta f) apakšpunktu –, proti, apturēt viņa personas datu pārsūtīšanu no Facebook Ireland uz Facebook Inc.

84. Tādējādi, lai gan pamatlieta attiecas vienīgi uz Lēmuma 2010/87 spēkā esamību in abstracto, pamata procedūra, kas ierosināta DPC, ir saistīta ar DPC pilnvaru piemērot korektīvus pasākumus īstenošanu konkrētā gadījumā. Es ierosināšu Tiesai izvērtēt tai uzdotos jautājumus, ciktāl tas nepieciešams, lai izlemtu par Lēmuma 2010/87 spēkā esamību, jo šāds vērtējums būs pietiekams, lai iesniedzējtiesa varētu atrisināt tajā izskatāmo strīdu ( 27 ).

85. Pirms izvērtēju šī lēmuma spēkā esamību, ir jānoraida daži iebildumi, kas izvirzīti pret lūguma sniegt prejudiciālu nolēmumu pieņemamību.

B. Par lūguma sniegt prejudiciālu nolēmumu pieņemamību

86. Lūguma sniegt prejudiciālu nolēmumu pieņemamība tika apstrīdēta dažādu iemeslu dēļ, kas galvenokārt ir saistīti ar prejudiciālajos jautājumos minētās Direktīvas 95/46 nepiemērojamību ratione temporis (1. iedaļa), ar faktu, ka process DPC nav vēl sasniedzis stadiju, lai pamatotu tā lietderību (2. iedaļa), un ar to, ka pastāv neskaidrības attiecībā uz iesniedzējtiesas aprakstītajiem faktiskajiem apstākļiem (3. iedaļa).

87. Es atbildēšu uz šīm iebildēm par nepieņemamību, paturot prātā atbilstības prezumpciju, kas attiecināma uz jautājumiem, kuri uzdoti Tiesai atbilstoši LESD 267. pantam. Saskaņā ar pastāvīgo judikatūru Tiesa var atteikties lemt par lūgumu sniegt prejudiciālu nolēmumu tikai tad, ja ir acīmredzams, ka lūgtajai Savienības tiesību interpretācijai nav nekāda sakara ar pamatlietas faktisko situāciju vai priekšmetu, ja problēmsituācija ir hipotētiska vai arī ja Tiesas rīcībā nav tādi faktiskie un tiesību elementi, kas nepieciešami, lai sniegtu lietderīgu atbildi uz tai uzdotajiem jautājumiem ( 28 ).

1. Par Direktīvas 95/46 piemērojamību “ratione temporis”

88. Facebook Ireland atsaucas uz prejudiciālo jautājumu nepieņemamību, pamatojoties uz to, ka tajos ir atsauce uz Direktīvu 95/46, jo šī direktīva no 2018. gada 25. maija tika atcelta un aizstāta ar VDAR ( 29 ).

89. Es piekrītu viedoklim, ka Lēmuma 2010/87 spēkā esamība ir jāpārbauda, ņemot vērā VDAR tiesību normas.

90. Saskaņā ar šīs regulas 94. panta 2. punktu “atsauces uz atcelto direktīvu uzskata par atsaucēm uz [šo regulu]”. No tā, manuprāt, izriet, ka Lēmums 2010/87, ciktāl tajā kā juridiskais pamats ir minēts Direktīvas 95/46 26. panta 4. punkts, ir jāsaprot kā atsauce uz VDAR 46. panta 2. punkta c) apakšpunktu, kurā būtībā ir pārņemts tā saturs ( 30 ). Līdz ar to īstenošanas lēmumi, ko Komisija pieņēmusi atbilstoši Direktīvas 95/46 26. panta 4. punktam pirms VDAR stāšanās spēkā, ir jāinterpretē, ņemot vērā šo regulu. Arī to spēkā esamība vajadzības gadījumā ir jāizvērtē, ņemot vērā minēto regulu.

91. Šo secinājumu neliek apšaubīt judikatūra, saskaņā ar kuru Savienības tiesību akta tiesiskums ir jāizvērtē atkarībā no faktiskajiem un tiesību elementiem, kas pastāvēja šī akta pieņemšanas brīdī. Šī judikatūra attiecas uz Savienības tiesību akta spēkā esamības vērtējumu, ņemot vērā tā pieņemšanas brīdī pastāvošos atbilstošos faktiskos apstākļus ( 31 ) vai procesuālos noteikumus, kas reglamentē tā pieņemšanu ( 32 ). Turpretim Tiesa ir atkārtoti vērtējusi atvasināto tiesību aktu spēkā esamību, ņemot vērā augstāka juridiska spēka materiāltiesiskās normas, kas stājušās spēkā pēc šo aktu pieņemšanas ( 33 ).

92. Tomēr tas, ka prejudiciālo jautājumu formulējumā ir norādīts tiesību akts, kas vairs nav piemērojams ratione temporis, var pamatot šo jautājumu pārformulēšanu, bet nevar izraisīt to nepieņemamību ( 34 ). Kā norādīja DPC un M. Schrems, atsauces uz Direktīvu 95/46 prejudiciālo jautājumu formulējumā var turklāt tikt izskaidrotas ar šīs lietas procesuālo grafiku, jo šie jautājumi Tiesai tika uzdoti pirms VDAR stāšanās spēkā.

93. Jebkurā gadījumā VDAR tiesību normās, kas tiks aplūkotas, lai vērtētu prejudiciālos jautājumus, proti, it īpaši tās 45., 46. un 58. pantā, galvenokārt ir pārņemts – mazliet to attīstot un niansējot – Direktīvas 95/46 25., 26. un 28. panta saturs. Attiecībā uz šo VDAR tiesību normu atbilstošajiem aspektiem, lai lemtu par Lēmuma 2010/87 spēkā esamību, es neredzu nevienu iemeslu piešķirt tām tvērumu, kas atšķirtos no Direktīvas 95/46 atbilstošo tiesību normu tvēruma ( 35 ).

2. Par DPC pausto šaubu pagaidu raksturu

94. Vācijas valdība uzskata, ka lūgums sniegt prejudiciālu nolēmumu nav pieņemams, pamatojoties uz to, ka sprieduma Schrems 65. punktā minētā vēršanās tiesā procedūra nozīmē, ka uzraudzības iestādei ir jābūt nonākušai pie galīga viedokļa par to iebildumu pamatotību, ko prasītājs izvirzījis saistībā ar attiecīgā lēmuma spēkā esamību. Šajā gadījumā tas tā neesot, jo DPC ir izteicis savas šaubas par Lēmuma 2010/87 spēkā esamību, ko M. Schrems turklāt neapstrīd, lēmuma projektā, kas pasludināts provizoriski, kas neietekmē iespēju Facebook Ireland un M. Schrems iesniegt papildu apsvērumus.

95. Manuprāt, DPC pausto šaubu pagaidu raksturs neietekmē lūguma sniegt prejudiciālu nolēmumu pieņemamību. Prejudiciālā jautājuma pieņemamības kritēriji ir jāvērtē attiecībā pret strīda priekšmetu, ko noteikusi iesniedzējtiesa ( 36 ). Nav strīda par to, ka tas attiecas uz Lēmuma 2010/87 spēkā esamību. Saskaņā ar lūgumu sniegt prejudiciālu nolēmumu un tam pievienoto spriedumu šī tiesa uzskatīja, ka DPC paustās šaubas – nav svarīgi, vai tās tika izteiktas provizoriski vai galīgi, – ir pamatotas, un līdz ar to uzdeva Tiesai jautājumu par šī lēmuma spēkā esamību. Šādos apstākļos Tiesas atbilde uz šo jautājumu, bez šaubām, ir nozīmīga, lai iesniedzējtiesai ļautu atrisināt tajā izskatāmo strīdu.

3. Par neskaidrībām attiecībā uz faktisko apstākļu noteikšanu

96. Apvienotās Karalistes valdība apgalvo, ka faktiskajos apstākļos, ko aprakstījusi iesniedzējtiesa, ir vairāki trūkumi, kuri var likt apšaubīt prejudiciālo jautājumu pieņemamību. Šī tiesa neesot noskaidrojusi, vai personas dati par M. Schrems tika faktiski pārsūtīti uz ASV, nedz arī – apstiprinošas atbildes gadījumā – vai ASV iestādes tos ir ievākušas. Šīs iespējamās pārsūtīšanas juridiskais pamats arī neesot skaidri identificēts, jo lūgumā sniegt prejudiciālu nolēmumu ir vienīgi norādīts, ka sociālā tīkla Facebook Eiropas lietotāju dati tiek pārsūtīti, “lielā mērā” balstoties uz Lēmumā 2010/87 paredzētajām līguma standartklauzulām. Katrā ziņā neesot pierādīts, ka līgumā starp Facebook Ireland un Facebook Inc., uz ko tiek izdarīta atsauce strīdīgās pārsūtīšanas pamatojumam, šīs klauzulas ir atveidotas uzticami. Vācijas valdība arī apstrīd lūguma sniegt prejudiciālu nolēmumu pieņemamību, pamatojoties uz to, ka iesniedzējtiesa nav pārbaudījusi, vai M. Schrems neapšaubāmi ir sniedzis savu piekrišanu attiecīgajai pārsūtīšanai, jo tādā gadījumā tā būtu bijusi pamatoti balstīta uz Direktīvas 95/46 26. panta 1. punktu, [kura saturs būtībā ir pārņemts VDAR 49. panta 1. punkta a) apakšpunktā].

97. Šie argumenti nekādi neliek apšaubīt lūguma sniegt prejudiciālu nolēmumu atbilstību attiecībā uz pamatlietas priekšmetu. Tā kā šis strīds izriet no sprieduma Schrems 65. punktā paredzētā tiesību aizsardzības līdzekļa īstenošanas, ko veic DPC, tā priekšmets pēc būtības ir panākt, lai valsts tiesa izteiktu lūgumu sniegt prejudiciālu nolēmumu par Lēmuma 2010/87 spēkā esamību. Vācijas un Apvienotās Karalistes valdības faktiski apstrīd prejudiciālo jautājumu nepieciešamību nevis nolūkā noteikt, vai šis lēmums ir spēkā esošs, bet nolūkā ļaut DPC pieņemt lēmumu in concreto par M. Schrems sūdzību.

98. Jebkurā gadījumā, pat no šīs pamatlietas pamatā esošās procedūras aspekta, man nešķiet, ka prejudiciālajiem jautājumiem par Lēmuma 2010/87 spēkā esamību nav nozīmes. Proti, iesniedzējtiesa ir konstatējusi, ka Facebook Ireland turpināja pārsūtīt savu lietotāju datus uz ASV pēc “drošības zonas” lēmuma atzīšanas par spēkā neesošu un ka šī pārsūtīšana vismaz daļēji tiek pamatota ar Lēmumu 2010/87. Turklāt, lai arī tas var būt izdevīgi, ka visi atbilstošie fakti ir pierādīti, pirms iesniedzējtiesa īsteno savu kompetenci saskaņā ar LESD 267. pantu, tai vienīgajai ir jāizvērtē, kurā procesa stadijā tai ir vajadzīgs Tiesas prejudiciālais nolēmums ( 37 ).

99. Ņemot vērā visu iepriekš minēto, es uzskatu, ka lūgums sniegt prejudiciālu nolēmumu ir pieņemams.

C. Par Savienības tiesību piemērojamību personas datu pārsūtīšanai komerciālos nolūkos uz trešo valsti, kas tos var apstrādāt valsts drošības vajadzībām (pirmais jautājums)

100. Ar pirmo jautājumu iesniedzējtiesa vēlas noskaidrot, vai Savienības tiesības ir piemērojamas personas datu pārsūtīšanai komerciālos nolūkos, ko veic sabiedrība, kura atrodas dalībvalstī, uz sabiedrību, kura ir reģistrēta trešajā valstī, ja pēc pārsūtīšanas šīs trešās valsts iestādes datus var apstrādāt mērķiem, kas ietver valsts drošības aizsardzību.

101. Šī jautājuma nozīme pamatlietas atrisināšanā ir tāda, ka gadījumā, ja šāda pārsūtīšana neietilpst Savienības tiesību piemērošanas jomā, visiem iebildumiem, kas izvirzīti saistībā ar Lēmuma 2010/87 spēkā esamību šajā lietā, vairs nebūtu pamatojuma.

102. Kā ir norādījusi iesniedzējtiesa, personas datu apstrāde saistībā ar valsts drošību bija izslēgta no Direktīvas 95/46 piemērošanas jomas saskaņā ar šīs direktīvas 3. panta 2. punktu. Turpmāk VDAR 2. panta 2. punktā ir precizēts, ka šī regula neattiecas tostarp uz datu apstrādi tādas darbības ietvaros, kas neietilpst Savienības tiesību piemērošanas jomā, vai [uz tādu apstrādi], ko veic kompetentās iestādes sabiedriskās drošības aizsardzības nolūkos. Šajās tiesību normās ir atspoguļota kompetence, kas ar LES 4. panta 2. punktu ir atzīta dalībvalstīm valsts drošības aizsardzības jomā.

103. DPC, M. Schrems, Īrija, Vācijas, Austrijas, Beļģijas, Čehijas, Nīderlandes, Polijas un Portugāles valdības, kā arī Parlaments un Komisija norāda, ka uz tādu pārsūtīšanu, kāda ir minēta M. Schrems sūdzībā, šīs tiesību normas neattiecas un tādējādi tā ietilpst Savienības tiesību piemērošanas jomā. Facebook Ireland aizstāv pretēju viedokli. Es pievienojos pirmajam viedoklim.

104. Šajā ziņā ir jāuzsver, ka personas datu pārsūtīšana no dalībvalsts uz trešo valsti pati par sevi ir “apstrāde” VDAR 4. panta 2. punkta nozīmē, kas tiek veikta dalībvalsts teritorijā ( 38 ). Pirmā prejudiciālā jautājuma mērķis ir konkrēti noteikt, vai Savienības tiesības ir piemērojamas apstrādei, kas ir pati pārsūtīšana. Šis jautājums neattiecas uz Savienības tiesību piemērojamību uz ASV nosūtītu datu iespējamai vēlākai apstrādei, ko veic ASV iestādes valsts drošības nolūkos, kura neietilpst VDAR teritoriālās piemērošanas jomā ( 39 ).

105. Raugoties no šāda skatupunkta, lai noteiktu, vai Savienības tiesības ir piemērojamas attiecīgo datu pārsūtīšanai, ir jāņem vērā tikai tā darbība, kuras ietvaros notiek pārsūtīšana, nepiešķirot nozīmi iespējamas vēlākas apstrādes mērķim, kurai šie pārsūtītie dati tiks pakļauti, kad tos pārsūtīs galamērķa trešās valsts iestādes ( 40 ).

106. No iesniedzējtiesas lēmuma izriet, ka M. Schrems sūdzībā minētā pārsūtīšana ir saistīta ar komerciālu darbību. Turklāt šīs pārsūtīšanas mērķis nav ļaut ASV iestādēm attiecīgos datus vēlāk apstrādāt valsts drošības nolūkos.

107. Turklāt Facebook Ireland piedāvātā pieeja laupītu VDAR tiesību normām, kas attiecas uz pārsūtīšanu uz trešajām valstīm, lietderīgo iedarbību, jo nekad nevar būt izslēgts, ka komerciālas darbības ietvaros nosūtītie dati tiks apstrādāti valsts drošības nolūkos pēc pārsūtīšanas.

108. Manis piedāvātā interpretācija ir apstiprināta VDAR 45. panta 2. punkta a) apakšpunkta formulējumā. Šajā tiesību normā ir norādīts, ka, pieņemot lēmumu par aizsardzības līmeņa pietiekamību, Komisija tostarp ņem vērā attiecīgās trešās valsts tiesību aktus valsts drošības jomā. No tā var secināt, ka iespēja, ka dati ir pakļauti tādai galamērķa trešās valsts iestāžu apstrādei, kuras mērķis ir valsts drošības aizsardzība, nepadara Savienības tiesības nepiemērojamas apstrādei, kas ir datu pārsūtīšana uz šo trešo valsti.

109. Argumentācija un secinājumi, kurus Tiesa ir paudusi spriedumā Schrems, ir balstīti arī uz šo premisu. Konkrēti, Tiesa tajā, ņemot vērā Direktīvas 95/46 25. panta 6. punktu, lasot to kopsakarā ar Hartu, pārbaudīja “drošības zonas” lēmuma spēkā esamību aspektā, kurā tas attiecās uz personas datu pārsūtīšanu uz ASV, kur tos varēja ievākt un apstrādāt valsts drošības aizsardzības nolūkos ( 41 ).

110. Ņemot vērā šos apsvērumus, es uzskatu, ka Savienības tiesības ir piemērojamas personas datu pārsūtīšanai no dalībvalsts uz trešo valsti, ja šī pārsūtīšana notiek komerciālas darbības ietvaros, nepiešķirot nozīmi tam, ka šīs trešās valsts iestādes var apstrādāt pārsūtītos datus, lai aizsargātu valsts drošību.

D. Par nepieciešamo aizsardzības līmeni tādas pārsūtīšanas ietvaros, kas pamatota ar līguma standartklauzulām (sestā jautājuma pirmā daļa)

111. Atbilstoši sestā jautājuma pirmajai daļai iesniedzējtiesa vēlas noskaidrot, kāds ir datu subjektu pamattiesību aizsardzības līmenis, kas ir jānodrošina, lai personas dati varētu tikt pārsūtīti uz trešo valsti atbilstoši Lēmumā 2010/87 paredzētajām līguma standartklauzulām.

112. Šī tiesa uzsver, ka spriedumā Schrems Tiesa interpretēja Direktīvas 95/46 25. panta 6. punktu (kura saturs būtībā ir pārņemts VDAR 45. panta 3. punktā), ciktāl tajā bija paredzēts, ka Komisija lēmumu par aizsardzības līmeņa pietiekamību var pieņemt tikai pēc tam, kad ir pārliecinājusies, ka attiecīgā trešā valsts nodrošina pietiekamu aizsardzības līmeni, proti, pieņemot, ka tā konstatē, ka šī [trešā] valsts nodrošina būtībā ekvivalentu pamatbrīvību un pamattiesību aizsardzības līmeni, kāds saskaņā ar šo direktīvu, to lasot Hartas gaismā, ir garantēts Savienībā ( 42 ).

113. Šādā kontekstā ar sestā prejudiciālā jautājuma pirmo daļu Tiesai tiek lūgts noteikt, vai līguma “standartklauzulu”, ko Komisija pieņēmusi, piemērojot Direktīvas 95/46 26. panta 4. punktu – kurš tagad atbilst VDAR 46. panta 2. punkta c) apakšpunktā minētajām “standarta datu aizsardzības klauzulām” – piemērošanai ir jāļauj sasniegt aizsardzības līmeni, kas atbilst tādam pašam “līdzvērtības pēc būtības” standartam.

114. Šajā ziņā VDAR 46. panta 1. punktā ir paredzēts, ka pārzinis vai apstrādātājs, ja nav pieņemts lēmums par aizsardzības līmeņa pietiekamību, var nosūtīt personas datus uz trešo valsti “tikai tad, ja pārzinis vai apstrādātājs ir sniedzis atbilstošas garantijas, un ar nosacījumu, ka datu subjektiem ir pieejamas īstenojamas datu subjekta tiesības un efektīvi tiesiskās aizsardzības līdzekļi” (mans izcēlums) ( 43 ). Saskaņā ar VDAR 46. panta 2. punkta c) apakšpunktu šīs garantijas var tostarp izrietēt no Komisijas izstrādātajām standarta datu aizsardzības klauzulām.

115. Tāpat kā DPC, M. Schrems un Īrija es uzskatu, ka pārziņa sniegtajām “atbilstošajām garantijām”, uz ko ir atsauce VDAR 46. panta 1. punktā, ir jānodrošina, ka to personu, kuru dati tiek pārsūtīti – kā tas ir tādas pārsūtīšanas ietvaros, kas balstīta uz lēmumu par aizsardzības līmeņa pietiekamību –, tiesībām ir tāds aizsardzības līmenis, kas ir pēc būtības līdzvērtīgs tam, kurš izriet no VDAR, lasot to kopsakarā ar Hartu.

116. Šis secinājums izriet no šīs tiesību normas mērķa un no instrumenta, kurā tā ietilpst.

117. VDAR 45. un 46. panta mērķis ir nodrošināt ar šo regulu garantētā personas datu aizsardzības augstā līmeņa nepārtrauktību, pārsūtot datus ārpus Savienības. VDAR 44. pants “Nosūtīšanas vispārīgie principi” ievada V nodaļu par personas datu nosūtīšanu uz trešajām valstīm, nosakot, ka piemēro visus šīs nodaļas noteikumus, lai nodrošinātu, ka nemazinās ar VDAR garantētais aizsardzības līmenis pārsūtīšanas gadījumā uz trešajām valstīm ( 44 ). Šī noteikuma mērķis ir novērst, ka no Savienības tiesībām izrietošie aizsardzības standarti tiek apieti, pārsūtot personas datus uz trešo valsti nolūkā tur tos apstrādāt ( 45 ). Ņemot vērā šo mērķi, nav svarīgi, ka pārsūtīšana ir pamatota ar lēmumu par aizsardzības līmeņa pietiekamību vai ar pārziņa sniegtajām atbilstošajām garantijām, it īpaši izmantojot līguma klauzulas. Attiecībā uz Hartā garantēto pamattiesību aizsardzības prasībām nav noteiktas atšķirības atkarībā no tiesiskā pamatojuma, uz kuru ir balstīta konkrētā pārsūtīšana ( 46 ).

118. Savukārt veids, kādā tiek saglabāta augstā aizsardzības līmeņa nepārtrauktība, atšķiras atkarībā no pārsūtīšanas juridiskā pamata.

119. No vienas puses, lēmuma par aizsardzības līmeņa pietiekamību mērķis ir konstatēt, ka attiecīgā trešā valsts pati nodrošina aizsardzības līmeni, kas ir pēc būtības līdzvērtīgs tam līmenim, kāds ir jāsasniedz Savienībā. Lēmuma par aizsardzības līmeņa pietiekamību pieņemšana nozīmē, ka Komisija attiecībā uz noteiktu trešo valsti iepriekš novērtē aizsardzības līmeni, kas tiek nodrošināts ar šīs trešās valsts tiesībām un praksi, ņemot vērā VDAR 45. panta 3. punktā minētos faktorus. Tādā gadījumā personas datus var pārsūtīt uz minēto trešo valsti bez vajadzības pārzinim saņemt īpašu atļauju.

120. No otras puses, kā sīkāk izklāstīts nākamajā iedaļā, pārziņa sniegto atbilstošo garantiju mērķis ir nodrošināt augstu aizsardzības līmeni gadījumā, ja galamērķa trešajā valstī pieejamās garantijas nav pietiekamas. Tādējādi, lai arī VDAR 46. panta 1. punkts pieļauj, ka personas dati tiek pārsūtīti uz trešajām valstīm, kurās nav nodrošināts pienācīgs aizsardzības līmenis, šī tiesību norma atļauj šādu pārsūtīšanu tikai tad, ja atbilstošas garantijas tiek sniegtas, izmantojot citus līdzekļus. Komisijas pieņemtās līguma standartklauzulas šajā ziņā sniedz vispārēju mehānismu, kas piemērojams pārsūtīšanai neatkarīgi no galamērķa trešās valsts un tajā nodrošinātā aizsardzības līmeņa.

E. Par Lēmuma 2010/87 spēkā esamību, ņemot vērā Hartas 7., 8. un 47. pantu (septītais, astotais un vienpadsmitais jautājums)

121. Ar septīto jautājumu iesniedzējtiesa būtībā jautā Tiesai, vai Lēmums 2010/87 ir spēkā neesošs, jo tas nav saistošs to trešo valstu iestādēm, uz kurām dati tiek nosūtīti saskaņā ar šī lēmuma pielikumā paredzētajām līguma standartklauzulām, un, it īpaši, tas neliedz šīm valstīm pieprasīt datu saņēmējam nodot šos datus to rīcībā. Tādējādi ar šo jautājumu tiek apšaubīta pati iespēja nodrošināt šādu datu pienācīgu aizsardzības līmeni, izmantojot vienīgi līgumiska rakstura mehānismus. Vienpadsmitais jautājums attiecas vispārīgāk uz Lēmuma 2010/87 spēkā esamību, ņemot vērā Hartas 7., 8. un 47. pantu.

122. Ar astoto jautājumu Tiesai tiek lūgts noteikt, vai uzraudzības iestādei ir pienākums izmantot pilnvaras, kuras tai piešķirtas ar VDAR 58. panta 2. punkta f) un j) apakšpunktu, lai apturētu pārsūtīšanu uz trešo valsti, kas pamatota ar Lēmumā 2010/87 paredzētajām līguma standartklauzulām, ja tā uzskata, ka datu saņēmējs šajā valstī ir pakļauts pienākumiem, kuri tam liedz ievērot šīs klauzulas, un tādējādi netiek nodrošināta atbilstoša pārsūtīto datu aizsardzība. Tā kā atbildei uz šo jautājumu, manuprāt, ir ietekme uz Lēmuma 2010/87 spēkā esamību ( 47 ), es to aplūkošu kopā ar septīto un vienpadsmito jautājumu.

123. VDAR 46. panta 1. punkta formulējums, ciktāl tas paredz, ka tad, “ja nav pieņemts lēmums saskaņā ar 45. panta 3. punktu, pārzinis vai apstrādātājs var nosūtīt personas datus uz trešo valsti [..] tikai tad, ja pārzinis vai apstrādātājs ir sniedzis atbilstošas garantijas [..]” (mans izcēlums), uzsver loģiku, kas tiek piemērota tādiem līgumiskiem mehānismiem kā Lēmumā 2010/87 paredzētais. Kā uzsvērts VDAR 108. un 114. apsvērumā, šo mehānismu mērķis ir ļaut pārsūtīt datus uz trešajām valstīm, attiecībā uz kurām Komisija nav pieņēmusi lēmumu par aizsardzības līmeņa pietiekamību; tādā gadījumā ar šīs trešās valsts tiesību sistēmu nodrošinātās aizsardzības iespējamos trūkumus kompensē ar garantijām, ko datu nosūtītājs un datu saņēmējs līgumiski apņemas ievērot.

124. Ja līgumisko garantiju pastāvēšanas iemesls konkrēti ir novērst iespējamos trūkumus galamērķa trešo valstu sniegtajā aizsardzībā, lai arī kādas tās būtu, tāda lēmuma spēkā esamība, ar kuru Komisija konstatē, ka atsevišķas standartklauzulas pienācīgi novērš šos trūkumus, nevar būt atkarīga no aizsardzības līmeņa, kāds ir nodrošināts katrā no konkrētajām trešajām valstīm, uz kurām dati varētu tikt pārsūtīti. Šāda lēmuma spēkā esamība ir atkarīga tikai no tā, cik stabilas ir garantijas, kas paredzētas ar šīm klauzulām, lai kompensētu iespējamo aizsardzības trūkumu galamērķa trešajā valstī. Šo garantiju efektivitāte ir jāizvērtē, ņemot vērā arī aizsargmehānismus, ko veido uzraudzības iestāžu pilnvaras saskaņā ar VDAR 58. panta 2. punktu.

125. Šajā ziņā, kā būtībā norādīja DPC, M. Schrems, BSA, Īrija, Austrijas, Francijas, Polijas un Portugāles valdības, kā arī Komisija, līguma standartklauzulās ietverto garantiju iedarbība var tikt samazināta vai pat izzust, ja galamērķa trešās valsts tiesībās datu saņēmējam ir noteikti pienākumi, kas ir pretrunā šīm klauzulām. Tādējādi galamērķa trešajā valstī pastāvošais tiesiskais konteksts atkarībā no pārsūtīšanas konkrētajiem apstākļiem ( 48 ) var padarīt šajās klauzulās paredzēto pienākumu izpildi neiespējamu.

126. Šādos apstākļos, kā to ir uzsvēris M. Schrems un Komisija, VDAR 46. panta 2. punkta c) apakšpunktā paredzētais līguma mehānisms balstās uz atbildības noteikšanu datu nosūtītājam, kā arī, pakārtoti, uzraudzības iestādēm. Attiecībā uz katru konkrēto pārsūtīšanu pārzinim vai, ja tāda nav, uzraudzības iestādei katrā gadījumā atsevišķi ir jāpārbauda, vai galamērķa trešās valsts tiesības rada šķērsli standartklauzulu izpildei un – tādējādi – pārsūtīto datu atbilstošai aizsardzībai un līdz ar to pārsūtīšana ir jāaizliedz vai jāaptur.

127. Ņemot vērā šos apsvērumus, es uzskatu, ka tas, ka Lēmums 2010/87 un tajā noteiktās līguma standartklauzulas nav saistošas galamērķa trešās valsts iestādēm, pats par sevi nepadara šo lēmumu par spēkā neesošu. Lēmuma 2010/87 saderība ar Hartas 7., 8. un 47. pantu, manuprāt, ir atkarīga no tā, vai pastāv pietiekami stabili mehānismi, kas ļauj nodrošināt, ka pārsūtīšana, kas balstās uz līguma standartklauzulām, tiek apturēta vai aizliegta gadījumā, ja šīs klauzulas tiek pārkāptas vai nav iespējams tās izpildīt.

128. Šajā ziņā VDAR 46. panta 1. punktā ir paredzēts, ka pārsūtīšana, kas balstās uz atbilstošām garantijām, var notikt tikai “ar nosacījumu, ka datu subjektiem ir pieejamas īstenojamas datu subjekta tiesības un efektīvi tiesiskās aizsardzības līdzekļi”. Vēl ir jāpārbauda, vai garantijas, kas paredzētas ar Lēmuma 2010/87 pielikumā minētajām klauzulām, tās papildinot ar uzraudzības iestāžu pilnvarām, ļauj nodrošināt šī nosacījuma ievērošanu. Manuprāt, tā tas ir tikai tad, ja pārziņiem (1. iedaļa) un – to bezdarbības gadījumā – uzraudzības iestādēm (2. iedaļa) ir noteikts pienākums apturēt vai aizliegt pārsūtīšanu, ja minētās klauzulas nevar būt ievērotas tā iemesla dēļ, ka pastāv kolīzija starp pienākumiem, kas izriet no standartklauzulām, un pienākumiem, kas noteikti galamērķa trešās valsts tiesībās.

1. Par pārziņiem uzliktajiem pienākumiem

129. Pirmkārt, līguma standartklauzulās, kas ietvertas Lēmuma 2010/87 pielikumā, ir noteikts, ka gadījumā, ja pastāv kolīzija starp tajās paredzētajiem pienākumiem un normām, kas izriet no galamērķa trešās valsts tiesībām, uz šīm klauzulām nevar atsaukties, lai pamatotu pārsūtīšanu uz šo trešo valsti vai, ja pārsūtīšana jau ir uzsākta, pamatojoties uz minētajām klauzulām, ir jāinformē datu nosūtītājs par šo kolīziju, lai viņš varētu apturēt šo pārsūtīšanu.

130. Tādējādi saskaņā ar 5. klauzulas a) punktu datu saņēmējs apņemas apstrādāt pārsūtītos personas datus vienīgi datu nosūtītāja vārdā un saskaņā ar tā norādījumiem un līguma standartklauzulām. Ja datu saņēmējs nevar nodrošināt šo klauzulu ievērošanu, tas piekrīt nekavējoties informēt par to datu nosūtītāju, un šādā gadījumā datu nosūtītājam ir tiesības apturēt datu pārsūtīšanu un/vai izbeigt līgumu ( 49 ).

131. 5. klauzulas 5. zemsvītras piezīmē ir precizēts, ka standartklauzulas nav pārkāptas, ja datu saņēmējs ievēro valsts tiesību aktu obligātās prasības, kuras viņam piemēro trešajā valstī, ja šīs prasības nepārsniedz tās, kas ir vajadzīgas demokrātiskā sabiedrībā, lai aizsargātu vienu no Direktīvas 95/46 13. panta 1. punktā minētajām interesēm (šī panta saturs būtībā ir pārņemts VDAR 23. panta 1. punktā), tostarp – sabiedrības un valsts drošību. Pretējā gadījumā šo klauzulu neievērošana, lai izpildītu tām pretrunīgu pienākumu, kurš izriet no galamērķa trešās valsts tiesībām un kurš pārsniedz to, kas ir samērīgs ar Savienības atzītu leģitīmu interešu aizsardzību, tiek uzskatīta par minēto klauzulu pārkāpumu.

132. Manuprāt, kā ir norādījis M. Schrems un Komisija, 5. klauzulas a) punktu nevar interpretēt tādējādi, ka pārsūtīšanas apturēšanai vai līguma izbeigšanai ir tikai izvēles raksturs, ja saņēmējs nevar ievērot standartklauzulas. Lai arī šajā klauzulā ir atsauce tikai uz šādām datu nosūtītāja tiesībām, šis formulējums ir jāuztver kā atsauce uz šo tiesību līgumisko ietvaru. Fakts, ka datu nosūtītājam ir piešķirtas tiesības viņa divpusējās attiecībās ar datu saņēmēju apturēt pārsūtīšanu vai lauzt līgumu, ja pēdējais minētais nevar ievērot standartklauzulas, neskar datu nosūtītāja pienākumu šādi rīkoties, ņemot vērā datu subjektu tiesību aizsardzības prasības, kas izriet no VDAR. Jebkādas citādas interpretācijas rezultātā Lēmums 2010/87 zaudētu spēku, jo tajā paredzētās līguma standartklauzulas neļautu attiecināt uz pārsūtīšanu “atbilstošas garantijas”, kā tas ir prasīts VDAR 46. panta 1. punktā, lasot to kopsakarā ar Hartas tiesību normām ( 50 ).

133. Turklāt saskaņā ar 5. klauzulas b) punktu datu saņēmējs apliecina, ka tam nav iemesla uzskatīt, ka viņam piemērojamie tiesību akti neļauj tam izpildīt datu nosūtītāja norādījumus un līgumā paredzētos pienākumus. Gadījumā, ja šajos tiesību aktos tiek izdarītas tādas izmaiņas, kas var negatīvi ietekmēt standartklauzulās noteiktās garantijas un pienākumus, tas nekavējoties par tām paziņos datu nosūtītājam, un šādā gadījumā datu nosūtītājam ir tiesības apturēt datu pārsūtīšanu un/vai izbeigt līgumu. Saskaņā ar 4. klauzulas g) punktu, ja datu nosūtītājs nolemj turpināt pārsūtīšanu, viņam ir jāpārsūta kompetentajai uzraudzības iestādei visi paziņojumi, kas saņemti no datu saņēmēja.

134. Uzskatu, ka šajā gadījumā ir jāsniedz daži precizējumi par tās pārbaudes saturu, kuru vajadzētu veikt līgumslēdzējām pusēm, lai, ņemot vērā 5. klauzulas zemsvītras piezīmi, noteiktu, vai pienākumi, ko trešās valsts tiesības uzliek datu saņēmējam, nozīmē standartklauzulu pārkāpumu un tādējādi liedz nodrošināt pārsūtīšanai atbilstošas garantijas. Šī problemātika būtībā tika izvirzīta sestā prejudiciālā jautājuma otrajā daļā.

135. Šāda pārbaude, manuprāt, nozīmē to, ka ir jāņem vērā visi apstākļi, kas raksturīgi katrai no pārsūtīšanām, tostarp datu veids un to iespējamais sensitīvais raksturs, datu nosūtītāja un/vai datu saņēmēja īstenotie mehānismi, lai garantētu to drošību ( 51 ), trešās valsts iestāžu, kurām dati būs pieejami, veiktās apstrādes veids un mērķis, šīs apstrādes kārtība, kā arī šīs trešās valsts ierobežojumi un sniegtās garantijas. Manuprāt, elementi, kas raksturo valsts iestāžu veiktās apstrādes darbības, un minētās trešās valsts tiesību sistēmā piemērojamās garantijas var pārklāties ar tiem elementiem un garantijām, kas ir paredzēti VDAR 45. panta 2. punktā.

136. Otrkārt, ar Lēmuma 2010/87 pielikumā minētajām līguma standartklauzulām datu subjektiem tiek piešķirtas pret datu nosūtītāju un, pakārtoti, pret datu saņēmēju īstenojamas tiesības, kā arī tiesību aizsardzības līdzekļi.

137. Tādējādi 3. klauzulas “Ieinteresētās trešās personas klauzula” 1. punktā ir paredzētas datu subjekta tiesības celt prasību pret datu nosūtītāju gadījumā, ja ir pārkāpts tostarp 5. klauzulas a) vai b) punkts. Saskaņā ar 3. klauzulas 2. punktu, ja datu nosūtītājs ir faktiski zudis vai juridiski beidzis pastāvēt, datu subjekts var piemērot šo klauzulu pret datu saņēmēju.

138. Ar 6. klauzulas 1. punktu datu subjektam, kam nodarīts kaitējums 3. klauzulā minēto noteikumu pārkāpumu rezultātā, tiek piešķirtas tiesības saņemt no datu nosūtītāja kompensāciju par nodarīto kaitējumu. Saskaņā ar 7. klauzulas 1. punktu datu saņēmējs piekrīt, ka gadījumā, ja datu subjekts attiecībā uz to izmanto ieinteresētās trešās personas tiesības un/vai pieprasa kompensāciju par kaitējumu, datu saņēmējs pieņems šīs personas lēmumu strīda izšķiršanai izmantot neatkarīgas personas vai, attiecīgā gadījumā, uzraudzības iestādes starpniecību vai vērsties tās dalībvalsts tiesās, kurā datu nosūtītājs ir reģistrēts.

139. Papildus tiesību aizsardzības līdzekļiem, kas ir to rīcībā atbilstoši Lēmuma 2010/87 pielikumā paredzētajām līguma standartklauzulām, datu subjekti, ja tie uzskata, ka šīs klauzulas ir pārkāptas, var lūgt uzraudzības iestādēm īstenot korektīvās pilnvaras saskaņā ar VDAR 58. panta 2. punktu, uz kuru ir atsauce Lēmuma 2010/87 4. pantā ( 52 ).

2. Par uzraudzības iestādēm uzliktajiem pienākumiem

140. Turpinājumā izklāstītie iemesli man liek uzskatīt – gluži kā M. Schrems, Īrija, Vācijas, Austrijas, Beļģijas, Nīderlandes un Portugāles valdības, kā arī EDPB –, ka ar VDAR 58. panta 2. punktu uzraudzības iestādēm, kad tās pēc rūpīgas pārbaudes veikšanas uzskata, ka uz trešo valsti pārsūtītajiem datiem netiek nodrošināta pietiekama aizsardzība līguma klauzulu neievērošanas dēļ, ir pienākums veikt atbilstošus pasākumus, lai novērstu šo nelikumību, vajadzības gadījumā izdodot rīkojumu apturēt pārsūtīšanu.

141. Pirmkārt, ir jānorāda, ka pretēji tam, ko apgalvo DPC, nevienā Lēmuma 2010/87 tiesību normā nav paredzēts, ka saskaņā ar VDAR 58. panta 2. punkta f) un j) apakšpunktu uzraudzības iestādēm piešķirtās pilnvaras “uzlikt pagaidu vai galīgu apstrādes ierobežojumu, tostarp aizliegumu” un “izdot rīkojumu apturēt datu plūsmu pie saņēmēja trešā valstī” var īstenot tikai ārkārtas gadījumos.

142. Ir taisnība, ka saskaņā ar Lēmuma 2010/87 4. panta 1. punkta sākotnējo redakciju uzraudzības iestāžu pilnvaras apturēt vai aizliegt datu pārrobežu plūsmu varēja īstenot atsevišķos gadījumos, kad ir noteikts, ka pārsūtīšana, pamatojoties uz līgumu, iespējams, var ļoti negatīvi ietekmēt garantijas, kas datu subjektam sniedz aizsardzību. Tomēr šī lēmuma, kurā Komisija izdarīja grozījumus 2016. gadā, lai izpildītu spriedumu Schrems ( 53 ), 4. pantā turpmāk ir tikai atsauce uz šīm pilnvarām, tās nekādi neierobežojot. Katrā ziņā tāds Komisijas īstenošanas lēmums kā Lēmums 2010/87 nevar likumīgi ierobežot ar pašu VDAR uzraudzības iestādēm piešķirtās pilnvaras ( 54 ).

143. Šo secinājumu nevar apšaubīt, balstoties uz Lēmuma 2010/87 11. apsvērumu, kurā ir noteikts, ka uzraudzības iestādes var izmantot pilnvaras pārtraukt un aizliegt pārsūtīšanu tikai “izņēmuma gadījumos”. Šis apsvērums, kas jau bija ietverts šī lēmuma sākotnējā redakcijā, attiecās uz minētā lēmuma iepriekšējo 4. panta 1. punktu, kurā uzraudzības iestāžu pilnvaras bija ierobežotas. Kad Lēmums 2010/87 tika pārskatīts ar Lēmumu 2016/2297, Komisija minēto apsvērumu neizņēma vai negrozīja, lai pielāgotu tā saturu jaunā 4. panta noteikumiem. Tomēr Lēmuma 2016/2297 5. apsvērums apstiprināja uzraudzības iestāžu pilnvaras apturēt vai aizliegt pārsūtīšanu, ja tās uzskata, ka tā ir pretrunā Savienības tiesībām, piemēram, ja datu saņēmējs neievēro līguma standartklauzulas. Lēmuma 2010/87 11. apsvērums, ciktāl tas ir pretrunā tā paša lēmuma juridiski saistošas tiesību normas formulējumam un mērķim, ir jāuzskata par novecojušu ( 55 ).

144. Otrkārt, pretēji tam, ko apgalvo arī DPC, VDAR 58. panta 2. punkta f) un j) apakšpunktā minēto apturēšanas un aizliegšanas pilnvaru īstenošana nav tikai vienkārša iespēja, attiecībā uz kuru uzraudzības iestādēm ir rīcības brīvība. Šis secinājums, manuprāt, izriet no VDAR 58. panta 2. punkta interpretācijas, lasot to kopsakarā ar citām šīs regulas un Hartas tiesību normām, kā arī no Lēmuma 2010/87 vispārējās sistēmas un mērķiem.

145. Konkrēti, VDAR 58. panta 2. punkts ir jālasa, ņemot vērā Hartas 8. panta 3. punktu un LESD 16. panta 2. punktu. Saskaņā ar šīm tiesību normām to prasību ievērošana, kas izriet no pamattiesībām uz personas datu aizsardzību, ir jāpakļauj neatkarīgu iestāžu kontrolei. Šis uzdevums uzraudzīt ar personas datu aizsardzību saistīto prasību ievērošanu, kas arī ir minēts VDAR 57. panta 1. punkta a) apakšpunktā, nozīmē, ka uzraudzības iestādēm ir pienākums rīkoties tā, lai nodrošinātu šīs regulas pareizu piemērošanu.

146. Tādējādi uzraudzības iestādei ar visu nepieciešamo rūpību ir jāpārbauda prasība, ko iesniegusi persona, kuras dati, kā tā apgalvo, ir pārsūtīti uz trešo valsti, neievērojot pārsūtīšanai piemērojamās līguma standartklauzulas ( 56 ). Šajā nolūkā ar VDAR 58. panta 1. punktu uzraudzības iestādēm ir piešķirtas plašas izmeklēšanas pilnvaras ( 57 ).

147. Kompetentajai uzraudzības iestādei ir arī pienākums atbilstoši reaģēt uz iespējamiem datu subjekta tiesību pārkāpumiem, ko tā ir konstatējusi savas izmeklēšanas rezultātā. Šajā ziņā katrai uzraudzības iestādei saskaņā ar VDAR 58. panta 2. punktu ir