OPINIA RZECZNIKA GENERALNEGO

HENRIKA SAUGMANDSGAARDA ØE

przedstawiona w dniu 19 grudnia 2019 r. ( 1 )

Sprawa C-311/18

Data Protection Commissioner

przeciwko

Facebook Ireland Limited,

Maximillian Schrems,

przy udziale:

The United States of America,

Electronic Privacy Information Centre,

BSA Business Software Alliance, Inc.,

Digitaleurope

[wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez High Court (wysoki trybunał, Irlandia)]

Odesłanie prejudycjalne – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuł 2 ust. 2 – Zakres stosowania – Przekazywanie danych osobowych do Stanów Zjednoczonych Ameryki w celach komercyjnych – Przetwarzanie przekazanych danych przez organy publiczne Stanów Zjednoczonych Ameryki do celów bezpieczeństwa narodowego – Artykuł 45 – Ocena odpowiedniego charakteru stopnia ochrony zapewnianego w państwie trzecim – Artykuł 46 – Odpowiednie zabezpieczenia zapewniane przez administratora – Standardowe klauzule ochrony danych – Artykuł 58 ust. 2 – Uprawnienia krajowych organów nadzorczych – Decyzja 2010/87/UE – Ważność – Decyzja wykonawcza (UE) 2016/1250 – „Tarcza Prywatności UE–USA” – Ważność – Artykuły 7, 8 i 47 Karty praw podstawowych Unii Europejskiej

Spis treści

I. Wprowadzenie II. Ramy prawne A. Dyrektywa 95/46/WE B. RODO C. Decyzja 2010/87 D. Decyzja w sprawie Tarczy Prywatności III. Postępowanie główne, pytania prejudycjalne i postępowanie przed Trybunałem IV. Analiza A. Uwagi wstępne B. W przedmiocie dopuszczalności odesłania prejudycjalnego 1. W przedmiocie stosowania dyrektywy 95/46 ratione temporis 2. W przedmiocie tymczasowego charakteru wątpliwości wyrażonych przez DPC 3. W przedmiocie wątpliwości dotyczących ustalenia okoliczności faktycznych C. W przedmiocie możliwości zastosowania prawa Unii do przekazywania danych osobowych w celach komercyjnych do państwa trzeciego, w którym mogą one być przetwarzane do celów bezpieczeństwa narodowego (pytanie pierwsze) D. W przedmiocie stopnia ochrony wymaganego w związku z przekazywaniem danych na podstawie standardowych klauzul umownych (pierwsza część pytania szóstego) E. W przedmiocie ważności decyzji 2010/87 w świetle art. 7, 8 i 47 karty (pytania siódme, ósme i jedenaste) 1. W przedmiocie obowiązków ciążących na administratorach 2. W przedmiocie obowiązków spoczywających na organach nadzorczych F. W przedmiocie braku potrzeby udzielania odpowiedzi na pozostałe pytania prejudycjalne i badania ważności decyzji w sprawie Tarczy Prywatności 1. W przedmiocie braku potrzeby udzielania odpowiedzi przez Trybunał z uwagi na przedmiot sporu w postępowaniu głównym 2. Względy przemawiające przeciwko badaniu przez Trybunał pozostałych pytań w świetle przedmiotu toczącego się przed DPC postępowania G. Uwagi uzupełniające dotyczące skutków i ważności decyzji w sprawie Tarczy Prywatności 1. Wpływ decyzji w sprawie Tarczy Prywatności na rozpatrywanie przez organ nadzorczy skargi dotyczącej zgodności z prawem przekazywania danych w oparciu o zabezpieczenia umowne 2. W przedmiocie ważności decyzji w sprawie Tarczy Prywatności a) Wyjaśnienia dotyczące zakresu badania ważności decyzji stwierdzającej odpowiedni stopień ochrony 1) W przedmiocie kryteriów porównawczych umożliwiających ocenę merytorycznej równoważności stopnia ochrony 2) W przedmiocie konieczności zapewnienia odpowiedniego stopnia ochrony na etapie tranzytu danych 3) W przedmiocie uwzględnienia poczynionych przez Komisję i sąd odsyłający ustaleń faktycznych dotyczących prawa Stanów Zjednoczonych 4) W przedmiocie znaczenia standardu „merytorycznej równoważności” b) W przedmiocie ważności decyzji w sprawie Tarczy Prywatności w świetle prawa do poszanowania życia prywatnego i do ochrony danych osobowych 1) W przedmiocie istnienia ingerencji 2) Charakter ingerencji w świetle wymogu, aby były one „przewidziane ustawą” 3) Warunek dotyczący braku naruszenia istoty praw podstawowych 4) W przedmiocie warunku dotyczącego dążenia do prawnie uzasadnionego celu 5) W przedmiocie niezbędności i proporcjonalności ingerencji c) Ważność decyzji w sprawie Tarczy Prywatności w świetle prawa do skutecznego środka prawnego 1) W przedmiocie skuteczności przewidzianych w prawie Stanów Zjednoczonych środków ochrony prawnej 2) W przedmiocie wpływu mechanizmu mediacji na stopień ochrony prawa do skutecznego środka ochrony prawnej V. Wnioski

I. Wprowadzenie

1. W związku z brakiem wspólnych zabezpieczeń dotyczących ochrony danych osobowych w skali ogólnoświatowej, transgraniczne przepływy takich danych wiążą się z ryzykiem przerwania ciągłości poziomu ochrony zapewnianego w ramach Unii Europejskiej. W trosce o ułatwienie tych przepływów przy jednoczesnym ograniczeniu powyższego ryzyka, prawodawca Unii ustanowił trzy mechanizmy, zgodnie z którymi dane osobowe mogą być przekazywane z Unii do państwa trzeciego.

2. W pierwszej kolejności, takie przekazywanie danych może odbywać się na podstawie decyzji, w której Komisja Europejska stwierdzi, że dane państwo trzecie zapewnia „odpowiedni stopień ochrony” danych, które są do niego przekazywane ( 2 ). W drugiej kolejności, w przypadku braku takiej decyzji, przekazywanie danych jest dozwolone, jeżeli zostaną zapewnione „odpowiednie zabezpieczenia” ( 3 ). Zabezpieczenia te mogą przybrać postać zawieranych między podmiotami przekazującymi i odbierającymi dane umów zawierających standardowe klauzule ochrony danych przyjęte przez Komisję. W trzeciej kolejności, w RODO ustanowione zostały pewne odstępstwa oparte w szczególności na zgodzie osoby, której dane dotyczą, umożliwiające przekazanie danych do państwa trzeciego w przypadku braku decyzji stwierdzającej odpowiedni stopień ochrony albo odpowiednich zabezpieczeń ( 4 ).

3. Niniejszy wniosek o wydanie orzeczenia w trybie prejudycjalnym przedłożony przez High Court (wysoki trybunał, Irlandia) dotyczy drugiego z tych mechanizmów. Ściślej rzecz ujmując, wniosek ten dotyczy ważności decyzji 2010/87/UE ( 5 ) – w której Komisja ustanowiła standardowe klauzule umowne dla pewnych kategorii przekazywania danych – w świetle art. 7, 8 i 47 Karty praw podstawowych Unii Europejskiej (zwanej dalej „kartą”).

4. Wniosek ten został złożony w ramach sporu, jaki zaistniał pomiędzy Data Protection Commissioner (komisarzem ds. ochrony danych, Irlandia, zwanym dalej „DPC”) a Facebook Ireland Ltd i Maximillianem Schremsem. Maximillian Schrems wniósł do DPC skargę dotyczącą przekazania jego danych osobowych przez spółkę Facebook Ireland do jej spółki dominującej, Facebook Inc. z siedzibą w Stanach Zjednoczonych Ameryki (zwanych dalej „Stanami Zjednoczonymi”). DPC uznał, że wydanie rozstrzygnięcia w przedmiocie tej skargi jest uzależnione od tego, czy decyzja 2010/87 jest ważna. W tym kontekście zwrócił się on do sądu odsyłającego o skierowanie do Trybunału Sprawiedliwości pytania w tym względzie.

5. Pragnę wskazać na wstępie, że w mojej ocenie analiza pytań prejudycjalnych nie doprowadziła do ujawnienia żadnej okoliczności, która mogłaby mieć wpływ na ważność decyzji 2010/87.

6. Ponadto sąd odsyłający dał wyraz pewnym wątpliwościom dotyczącym zasadniczo odpowiedniego charakteru stopnia ochrony, jaki zapewniają Stany Zjednoczone, w związku ingerowaniem przez amerykańskie organy wywiadu w korzystanie z praw podstawowych przez osoby, których dane są przekazywane do tego państwa trzeciego. Wątpliwości te w sposób pośredni podważają oceny poczynione przez Komisję w tym przedmiocie, zawarte w decyzji wykonawczej (UE) 2016/1250 ( 6 ). Mimo że dla rozstrzygnięcia sporu w postępowaniu głównym nie jest konieczne, aby Trybunał rozstrzygnął tę kwestię (w związku z czym proponuję mu, aby tego nie czynił), tytułem uzupełnienia przedstawię powody, które każą mi wątpić w ważność tej decyzji.

7. Całość mojej analizy będzie nakierowana na poszukiwanie równowagi między koniecznością wykazania „rozsądnego stopnia pragmatyzmu, w celu umożliwienia interakcji z resztą świata” ( 7 ) z jednej strony, i, z drugiej strony, koniecznością afirmacji podstawowych wartości uznanych w porządkach prawnych Unii i jej państw członkowskich, w szczególności w karcie.

II. Ramy prawne

A. Dyrektywa 95/46/WE

8. Artykuł 3 ust. 2 dyrektywy 95/46/WE w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych ( 8 ) stanowił: „Niniejsza dyrektywa nie ma zastosowania do przetwarzania danych osobowych: – w ramach działalności wykraczającej poza zakres prawa Wspólnoty, jak np. dane, o których stanowi tytuł V i VI Traktatu o Unii Europejskiej, a w żadnym razie do działalności na rzecz bezpieczeństwa publicznego, obronności, bezpieczeństwa państwa (łącznie z dobrą kondycją gospodarcza państwa, gdy działalność ta dotyczy spraw związanych z bezpieczeństwem państwa) oraz działalności państwa w obszarach prawa karnego, […]”.

9. Artykuł 13 ust. 1 tej dyrektywy miał następujące brzmienie: „Państwo członkowskie może przyjąć środki ustawodawcze w celu ograniczenia zakresu praw i obowiązków, przewidzianego w art. 6 ust. 1, art. 10, art. 11 ust. 1, art. 12 oraz 21, kiedy ograniczenie takie stanowi środek konieczny dla zabezpieczenia: a) bezpieczeństwa narodowego; b) obronności; c) bezpieczeństwa publicznego; d) działań prewencyjnych, prowadzonych czynności dochodzeniowo-śledczych i prokuratorskich w sprawach karnych lub sprawach o naruszenie zasad etyki w zawodach podlegających regulacji; e) ważnego interesu ekonomicznego lub finansowego państwa członkowskiego lub [Unii], łącznie z kwestiami pieniężnymi, budżetowymi i podatkowymi; f) funkcji kontrolnych, inspekcyjnych i regulacyjnych związanych, nawet sporadycznie, z wykonywaniem władzy publicznej w przypadkach wymienionych w lit. c)–e); g) ochrony osoby, której dane dotyczą oraz praw i wolności innych osób”.

10. Artykuł 25 tej dyrektywy miał następujące brzmienie: „1. Państwa członkowskie zapewniają, aby przekazywanie do państwa trzeciego danych osobowych poddawanych przetwarzaniu lub przeznaczonych do przetwarzania po ich przekazaniu mogło nastąpić tylko wówczas gdy, niezależnie od zgodności z krajowymi przepisami przyjętymi na podstawie innych przepisów niniejszej dyrektywy, dane państwo trzecie zapewni odpowiedni stopień ochrony. 2. Odpowiedni stopień ochrony danych zapewnianej przez państwo trzecie należy oceniać w świetle wszystkich okoliczności dotyczących operacji przekazania danych lub zbioru takich operacji; szczególną uwagę zwracać się będzie na charakter danych, cel i czas trwania proponowanych operacji przetwarzania danych, kraj pochodzenia i kraj ostatecznego przeznaczenia, przepisy prawa, zarówno ogólne jak i branżowe, obowiązujące w państwie trzecim oraz przepisy zawodowe i środki bezpieczeństwa stosowane w tym państwie. […] 6. Komisja może stwierdzić, zgodnie z procedurą określoną w art. 31 ust. 2, że państwo trzecie zapewnia prawidłowy stopień ochrony w znaczeniu ust. 2 niniejszego artykułu, co wynika z jego prawa krajowego lub międzynarodowych zobowiązań, jakie państwo to przyjęło, szczególnie po zakończeniu negocjacji określonych w ust. 5, w zakresie ochrony życia prywatnego i podstawowych praw i wolności osób fizycznych. Państwa członkowskie podejmują środki niezbędne w celu wykonania decyzji Komisji”.

11. Artykuł 26 ust. 2 i 4 tej dyrektywy stanowił: „2. Bez uszczerbku dla ust. 1, państwo członkowskie może zezwolić na przekazanie lub przekazywanie danych osobowych do państwa trzeciego, które nie zapewnia odpowiedniego stopnia ochrony w znaczeniu art. 25 ust. 2, jeżeli administrator danych zaleci odpowiednie zabezpieczenia odnośnie do ochrony prywatności oraz podstawowych praw i wolności osoby oraz odnośnie do wykonywania odpowiednich praw; takie środki zabezpieczające mogą w szczególności wynikać z odpowiednich klauzul umownych. […] 4. Jeżeli Komisja postanowi […], że określone klauzule umowne zapewniają odpowiednie środki zabezpieczające wymagane w ust. 2, państwa członkowskie podejmą konieczne środki w celu zastosowania się do decyzji Komisji”.

12. Artykuł 28 ust. 3 dyrektywy 95/46 brzmiał następująco: „Każdy organ jest w szczególności wyposażony w: […] – skuteczne uprawnienia interwencyjne, jak np. prawo do wyrażania opinii przed przystąpieniem do operacji przetwarzania danych zgodnie z art. 20, oraz zapewnienia odpowiedniej publikacji swoich opinii, zarządzania blokady, usunięcia lub zniszczenia danych, nakładania czasowego lub ostatecznego zakazu przetwarzania danych, ostrzegania lub upominania administratora danych, lub też prawo kierowania sprawy do parlamentów narodowych lub innych instytucji politycznych, […]”.

B. RODO

13. Artykuł 94 ust. 1 RODO uchylił dyrektywę 95/46 ze skutkiem od dnia 25 maja 2018 r., począwszy od którego to dnia rozporządzenie to ma zastosowanie, zgodnie z jego art. 99 ust. 2.

14. Artykuł 2 ust. 2 tego rozporządzenia stanowi: „Niniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych: a) w ramach działalności nieobjętej zakresem prawa Unii; b) przez państwa członkowskie w ramach wykonywania działań wchodzących w zakres tytułu V rozdział 2 TUE; […] d) przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom”.

15. Artykuł 4 pkt 2 tego rozporządzenia definiuje „przetwarzanie” jako „operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie”.

16. Artykuł 23 RODO stanowi: „1. Prawo Unii lub prawo państwa członkowskiego, któremu podlegają administrator danych lub podmiot przetwarzający, może aktem prawnym ograniczyć zakres obowiązków i praw przewidzianych w art. 12–22 i w art. 34, a także w art. 5 – o ile jego przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 12–22 – jeżeli ograniczenie takie nie narusza istoty podstawowych praw i wolności oraz jest w demokratycznym społeczeństwie środkiem niezbędnym i proporcjonalnym, służącym: a) bezpieczeństwu narodowemu; b) obronie; c) bezpieczeństwu publicznemu; d) zapobieganiu przestępczości, prowadzeniu postępowań przygotowawczych, wykrywaniu lub ściganiu czynów zabronionych lub wykonywaniu kar, w tym ochronie przed zagrożeniami dla bezpieczeństwa publicznego i zapobieganiu takim zagrożeniom; e) innym ważnym celom leżącym w ogólnym interesie publicznym Unii lub państwa członkowskiego, w szczególności ważnemu interesowi gospodarczemu lub finansowemu Unii lub państwa członkowskiego […]; […] 2. W szczególności akt prawny, o którym mowa w ust. 1, musi zawierać szczegółowe przepisy przynajmniej – w stosownym przypadku – o: a) celach przetwarzania lub kategorii przetwarzania; b) kategoriach danych osobowych; c) zakresie wprowadzonych ograniczeń; d) zabezpieczeniach zapobiegających nadużyciom lub niezgodnemu z prawem dostępowi lub przekazywaniu; e) określeniu administratora lub kategorii administratorów; f) okresach przechowywania oraz mających zastosowanie zabezpieczeniach z uwzględnieniem charakteru, zakresu i celów przetwarzania lub kategorii przetwarzania; g) ryzykach naruszenia praw lub wolności osoby, której dane dotyczą; oraz h) prawie osób, których dane dotyczą, do uzyskania informacji o ograniczeniach, o ile nie narusza to celu ograniczenia”.

17. Artykuł 44 tego rozporządzenia, zatytułowany „Ogólna zasada przekazywania”, stanowi: „Przekazanie danych osobowych, które są przetwarzane lub mają być przetwarzane po przekazaniu do państwa trzeciego lub organizacji międzynarodowej, następuje tylko, gdy – z zastrzeżeniem innych przepisów niniejszego rozporządzenia – administrator i podmiot przetwarzający spełnią warunki określone w niniejszym rozdziale, w tym warunki dalszego przekazania danych z państwa trzeciego lub przez organizację międzynarodową do innego państwa trzeciego lub innej organizacji międzynarodowej. Wszystkie przepisy niniejszego rozdziału należy stosować z myślą o zapewnieniu, by nie został naruszony stopień ochrony osób fizycznych zagwarantowany w niniejszym rozporządzeniu”.

18. Zgodnie z art. 45 tego rozporządzenia zatytułowanym „Przekazywanie na podstawie decyzji stwierdzającej odpowiedni stopień ochrony”: „1. Przekazanie danych osobowych do państwa trzeciego lub organizacji międzynarodowej może nastąpić, gdy Komisja stwierdzi, że to państwo trzecie, terytorium lub określony sektor lub określone sektory w tym państwie trzecim lub dana organizacja międzynarodowa zapewniają odpowiedni stopień ochrony. Takie przekazanie nie wymaga specjalnego zezwolenia. 2. Oceniając, czy stopień ochrony jest odpowiedni, Komisja uwzględnia w szczególności następujące elementy: a) praworządność, poszanowanie praw człowieka i podstawowych wolności, odpowiednie ustawodawstwo – zarówno ogólne, jak i sektorowe – w tym w dziedzinie bezpieczeństwa publicznego, obrony, bezpieczeństwa narodowego i prawa karnego oraz dostępu organów publicznych do danych osobowych, a także wdrażanie takiego ustawodawstwa, zasady ochrony danych osobowych, zasady dotyczące wykonywania zawodu, środki bezpieczeństwa, w tym zasady dalszego przekazywania danych osobowych do kolejnego państwa trzeciego lub innej organizacji międzynarodowej, których przestrzega się w tym państwie lub w organizacji międzynarodowej, orzecznictwo, a także istnienie skutecznych i egzekwowalnych praw osób, których dane dotyczą, oraz prawa osób, których dane dotyczą, których dane osobowe są przekazywane, do skutecznych administracyjnych i sądowych środków zaskarżenia; b) istnienie i skuteczne działanie co najmniej jednego niezależnego organu nadzorczego w państwie trzecim lub w stosunku do organizacji międzynarodowej, mającego obowiązek zapewniać i egzekwować przestrzeganie przepisów o ochronie danych – w tym posiadające odpowiednie uprawnienia do egzekwowania przestrzegania przepisów – pomagać i doradzać osobom, których dane dotyczą, w toku wykonywania przysługujących im praw, a także współpracować z organami nadzorczymi państw członkowskich; oraz c) międzynarodowe zobowiązania zaciągnięte przez dane państwo trzecie lub daną organizację międzynarodową lub inne obowiązki wynikające z prawnie wiążących konwencji lub instrumentów oraz z udziału w systemach wielostronnych lub regionalnych, w szczególności w dziedzinie ochrony danych osobowych. 3. Po dokonaniu oceny, czy stopień ochrony jest odpowiedni, Komisja może w drodze aktu wykonawczego przyjąć decyzję stwierdzającą, że państwo trzecie, terytorium lub określony sektor lub określone sektory w tym państwie trzecim lub organizacja międzynarodowa zapewniają odpowiedni stopień ochrony w rozumieniu ust. 2 niniejszego artykułu. W akcie wykonawczym przewiduje się mechanizm okresowego przeglądu – przynajmniej raz na cztery lata – podczas którego uwzględnia się wszelkie mające znaczenie zmiany w państwie trzecim lub organizacji międzynarodowej. […] 4. Komisja na bieżąco monitoruje zmiany w państwach trzecich i organizacjach międzynarodowych mogące wpłynąć na obowiązywanie decyzji przyjętych na mocy ust. 3 niniejszego artykułu oraz decyzji przyjętych na podstawie art. 25 ust. 6 [dyrektywy 95/46]. 5. Jeżeli dostępne informacje na to wskazują, w szczególności po przeglądzie, o którym mowa w ust. 3 niniejszego artykułu, Komisja przyjmuje decyzję stwierdzającą, że państwo trzecie – lub terytorium lub jeden lub więcej określonych sektorów w tym państwie trzecim – lub organizacja międzynarodowa przestały zapewniać odpowiedni stopień ochrony w rozumieniu ust. 2 niniejszego artykułu, i w niezbędnym zakresie uchyla, zmienia lub zawiesza decyzję, o której mowa w ust. 3 niniejszego artykułu, w drodze aktów wykonawczych bez mocy wstecznej. […] 6. Komisja podejmuje konsultacje z państwem trzecim lub organizacją międzynarodową w celu zaradzenia sytuacji będącej przyczyną decyzji przyjętej na mocy ust. 5. […] 9. Decyzje przyjęte przez Komisję na mocy art. 25 ust. 6 [dyrektywy 95/46] pozostają w mocy do czasu ich zmiany, zastąpienia lub uchylenia decyzją Komisji przyjętą zgodnie z ust. 3 lub 5 niniejszego artykułu”.

19. Artykuł 46 tego rozporządzenia, zatytułowany „Przekazywanie z zastrzeżeniem odpowiednich zabezpieczeń”, ma następujące brzmienie: „1. W razie braku decyzji na mocy art. 45 ust. 3 administrator lub podmiot przetwarzający mogą przekazać dane osobowe do państwa trzeciego lub organizacji międzynarodowej wyłącznie, gdy zapewnią odpowiednie zabezpieczenia, i pod warunkiem, że obowiązują egzekwowalne prawa osób, których dane dotyczą, i skuteczne środki ochrony prawnej. 2. Odpowiednie zabezpieczenia, o których mowa w ust. 1, można zapewnić – bez konieczności uzyskania specjalnego zezwolenia ze strony organu nadzorczego – za pomocą: […] c) standardowych klauzul ochrony danych przyjętych przez Komisję zgodnie z procedurą sprawdzającą, o której mowa w art. 93 ust. 2; […] 5. Zezwolenia wydane przez państwo członkowskie lub organ nadzorczy na podstawie art. 26 ust. 2 [dyrektywy 95/46] zachowują ważność do czasu ich zmiany, zastąpienia lub uchylenia w razie potrzeby przez ten organ. Decyzje przyjęte przez Komisję na mocy art. 26 ust. 4 [dyrektywy 95/46] pozostają w mocy do czasu ich zmiany, zastąpienia lub uchylenia w razie potrzeby decyzją Komisji przyjętą zgodnie z ust. 2 niniejszego artykułu”.

20. Zgodnie z art. 58 ust. 2, 4 i 5 RODO: „2. Każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia naprawcze: a) wydawanie ostrzeżeń administratorowi lub podmiotowi przetwarzającemu dotyczących możliwości naruszenia przepisów niniejszego rozporządzenia poprzez planowane operacje przetwarzania; b) udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania; c) nakazanie administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia; d) nakazanie administratorowi lub podmiotowi przetwarzającemu dostosowania operacji przetwarzania do przepisów niniejszego rozporządzenia, a w stosownych przypadkach wskazanie sposobu i terminu; e) nakazanie administratorowi zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych; f) wprowadzanie czasowego lub całkowitego ograniczenia przetwarzania, w tym zakazu przetwarzania; […] i) zastosowanie, oprócz lub zamiast środków, o których mowa w niniejszym ustępie, administracyjnej kary pieniężnej na mocy art. 83, zależnie od okoliczności konkretnej sprawy; j) zakazanie zawieszenia przepływu danych do odbiorcy w państwie trzecim lub do organizacji międzynarodowej. […] 4. Wykonywanie uprawnień powierzonych organowi nadzorczemu na mocy niniejszego artykułu podlega odpowiednim zabezpieczeniom – w tym prawu do skutecznego środka ochrony prawnej przed sądem i rzetelnego procesu, określonym w prawie Unii i prawie państwa członkowskiego zgodnie z kartą. 5. Każde państwo członkowskie przewiduje w swoich przepisach, że jego organ nadzorczy jest uprawniony do wniesienia do organów wymiaru sprawiedliwości sprawy dotyczącej naruszenia niniejszego rozporządzenia oraz w stosownych przypadkach do wszczęcia lub do uczestniczenia w inny sposób w postępowaniu sądowym w celu wyegzekwowania stosowania przepisów niniejszego rozporządzenia”.

C. Decyzja 2010/87

21. W oparciu o art. 26 ust. 4 dyrektywy 95/46 Komisja przyjęła trzy decyzje (zwane dalej „decyzjami w sprawie standardowych klauzul umownych”) ( 9 ), w których stwierdziła, że sformułowane w nich standardowe klauzule umowne zapewniają odpowiednie gwarancje ochrony prywatności oraz podstawowych praw i wolności osób fizycznych oraz wykonywania odpowiednich praw.

22. Jedną z tych decyzji jest decyzja 2010/87, której art. 1 stanowi, że „[s]tandardowe klauzule umowne określone w załączniku uważa się za zapewniające odpowiednie gwarancje ochrony prywatności oraz podstawowych praw i wolności osób fizycznych oraz wykonywania odpowiednich praw zgodnie wymogami art. 26 ust. 2 [dyrektywy 95/46]”.

23. Zgodnie z art. 3 tej decyzji: „Do celów niniejszej decyzji stosuje się poniższe definicje: […] c) »podmiot przekazujący dane« oznacza administratora danych, który przekazuje dane osobowe; d) »podmiot odbierający dane« oznacza administratora danych prowadzącego działalność gospodarczą w państwie trzecim, który wyraża zgodę na otrzymywanie od podmiotu przekazującego danych osobowych w celu ich przetwarzania w imieniu podmiotu przekazującego po przekazaniu zgodnie z instrukcjami tego ostatniego i warunkami określonymi w niniejszej decyzji i który nie podlega systemowi państwa trzeciego zapewniającemu odpowiednią ochronę w rozumieniu art. 25 ust. 1 dyrektywy [95/46]; […] f) »właściwe prawo o ochronie danych« oznacza prawodawstwo chroniące podstawowe prawa i wolności osób fizycznych, a w szczególności ich prawo do prywatności w odniesieniu do przetwarzania danych osobowych, właściwe dla administratora danych w państwie członkowskim, w którym podmiot przekazujący dane prowadzi działalność gospodarczą; […]”.

24. W pierwotnej wersji art. 4 ust. 1 tej decyzji miał następujące brzmienie: „Bez uszczerbku dla swoich kompetencji do podejmowania działań w celu zapewnienia zgodności z przepisami prawa krajowego przyjętego na mocy rozdziałów II, III, V i VI [dyrektywy 95/46], właściwe organy w państwach członkowskich mogą wykonywać przysługujące im obecnie uprawnienia do zakazania lub zawieszenia przekazywania danych do państw trzecich w celu ochrony osób fizycznych w zakresie przetwarzania ich danych osobowych, w przypadkach, w których: a) ustalono, że prawo, któremu podlega podmiot odbierający dane lub podwykonawca przetwarzania, nakłada na niego wymagania dotyczące odstępowania od stosowania zasad ochrony danych, które wykraczają poza ograniczenia konieczne w demokratycznym społeczeństwie w rozumieniu w art. 13 [dyrektywy 95/46], jeżeli wymagania te mogą mieć istotne negatywne skutki dla gwarancji ustanowionych we właściwym prawie o ochronie danych i w standardowych klauzulach umownych; b) właściwy organ ustalił, że podmiot odbierający dane lub podwykonawca przetwarzania naruszył standardowe klauzule umowne określone w załączniku; lub; c) istnieje istotne prawdopodobieństwo, że standardowe klauzule umowne zawarte w załączniku nie są lub nie będą przestrzegane, a kontynuowanie przekazywania danych może stworzyć realne zagrożenie wyrządzenia poważnej szkody osobom, których dane dotyczą”.

25. W aktualnym brzmieniu wynikającym ze zmiany decyzji 2010/87 dokonanej decyzją wykonawczą (UE) 2016/2297 ( 10 ), art. 4 decyzji 2010/87 stanowi, że „[w] przypadku gdy właściwe organy w państwach członkowskich wykonują swoje uprawnienia na podstawie art. 28 ust. 3 [dyrektywy 95/46], co prowadzi do zawieszenia lub ostatecznego zakazu przepływu danych do państw trzecich w celu ochrony osób fizycznych w związku z przetwarzaniem ich danych osobowych, dane państwo członkowskie bezzwłocznie informuje o tym Komisję, która przekazuje tę informację pozostałym państwom członkowskim”.

26. Załącznik do decyzji 2010/87 zawiera szereg standardowych klauzul umownych. W szczególności klauzula 3 zawarta w tym załączniku, nosząca tytuł „Klauzula na rzecz osoby trzeciej”, stanowi: „1. Osoba, której dotyczą dane, może żądać od podmiotu przekazującego dane wykonania niniejszej klauzuli, klauzuli 4 lit. b)–i), klauzuli 5 lit. a)–e) oraz lit. g)–j), klauzuli 6 pkt 1 i 2, klauzuli 7, klauzuli 8 pkt 2 i klauzuli [klauzul] 9–12, jako osoba trzecia, na rzecz której zawarto umowę. 2. Osoba, której dotyczą dane, może żądać od podmiotu odbierającego dane wykonania niniejszej klauzuli, klauzuli 5 lit. a)–e) oraz lit. g), klauzuli 6, klauzuli 7, klauzuli 8 pkt 2 i klauzul 9–12 w przypadkach, w których podmiot przekazujący dane przestał istnieć faktycznie lub formalnie. Jeżeli jednak na podstawie umowy lub z mocy prawa podmiot będący jego następcą przejął wszystkie zobowiązania prawne podmiotu przekazującego dane, skutkiem czego przyjął na siebie jego prawa i obowiązki, osoba, której dane dotyczą, może żądać wykonania wymienionych klauzul od tego następcy. […]”.

27. Klauzula 4 sformułowana w tym załączniku, zatytułowana „Obowiązki podmiotu przekazującego dane”, ma następujące brzmienie: „Podmiot przekazujący dane zgadza się na poniższe warunki i gwarantuje, że: a) przetwarzanie danych, włącznie z samym ich przekazywaniem, odbywało się i będzie się nadal odbywało zgodnie z odpowiednimi przepisami właściwego prawa o ochronie danych (i w stosownych przypadkach było przedmiotem powiadomienia odpowiednich władz państwa członkowskiego, w którym podmiot przekazujący dane prowadzi działalność gospodarczą) oraz bez naruszenia odpowiednich przepisów tego państwa; b) nakazał i będzie nakazywał podmiotowi odbierającemu dane podczas całego okresu świadczenia usług przetwarzania danych osobowych, przetwarzanie przekazywanych danych osobowych wyłącznie w imieniu podmiotu przekazującego dane oraz zgodnie z właściwym prawem o ochronie danych i z niniejszymi klauzulami; c) podmiot odbierający dane zapewni wystarczające gwarancje w odniesieniu do technicznych i organizacyjnych środków bezpieczeństwa wyszczególnionych w dodatku 2 do niniejszej umowy; d) biorąc pod uwagę ocenę wymogów właściwego prawa o ochronie danych osobowych, środki bezpieczeństwa są odpowiednie do ochrony danych osobowych przed przypadkowym lub bezprawnym zniszczeniem, przypadkową utratą, zmianą, nieupoważnionym ujawnieniem lub dostępem, w szczególności jeżeli przetwarzanie obejmuje przekazywanie danych za pomocą sieci, oraz przed innymi niezgodnymi z prawem formami przetwarzania, a także że środki te zapewniają poziom bezpieczeństwa odpowiedni do ryzyka, jakie stanowi przetwarzanie i charakter danych podlegających ochronie, uwzględniając stan wiedzy w tej dziedzinie i koszty ich wdrożenia; e) zapewni zgodność ze środkami bezpieczeństwa; f) jeżeli przekazanie obejmuje szczególne kategorie danych, osoba, której dane dotyczą, została poinformowana lub będzie poinformowana przed przekazaniem lub jak najszybciej po przekazaniu o tym, że jej dane mogą być przekazane do państwa trzeciego, które nie zapewnia odpowiedniej ochrony w rozumieniu [dyrektywy 95/46]; g) prześle wszelkie zawiadomienia otrzymane od podmiotu odbierającego dane lub podwykonawcy przetwarzania na mocy klauzuli 5 lit. b) i klauzuli 8 pkt 3 do organu nadzorczego ds. ochrony danych, jeżeli podmiot przekazujący dane zdecyduje się kontynuować przekazywanie danych lub znieść zawieszenie; h) na żądanie udostępni osobie, której dotyczą dane, kopię niniejszych klauzul, z wyjątkiem dodatku 2, oraz skrócony opis środków bezpieczeństwa, a także kopię każdej umowy dotyczącej usług podwykonawstwa przetwarzania danych, która musi być zawarta zgodnie z niniejszymi klauzulami; jednakże w przypadku gdy klauzule lub umowa zawierają informacje handlowe, informacje te można usunąć; i) w przypadku podwykonawstwa przetwarzania danych działalność związana z przetwarzaniem prowadzona jest zgodnie z klauzulą 11 przez podwykonawcę przetwarzania zapewniającego co najmniej ten sam poziom ochrony danych osobowych i praw osoby, której dane dotyczą, co podmiot odbierający dane zgodnie z niniejszymi klauzulami; oraz; j) zapewni zgodność z klauzulą 4 lit. a)–i)”.

28. Klauzula 5 zawarta w tym załączniku, zatytułowana „Obowiązki podmiotu odbierającego dane” ma następujące brzmienie: „Podmiot odbierający dane zgadza się na poniższe warunki i gwarantuje, że: a) będzie przetwarzał dane osobowe wyłącznie w imieniu podmiotu przekazującego dane i zgodnie z jego instrukcjami oraz niniejszymi klauzulami; jeżeli z jakichkolwiek powodów nie może zapewnić takiej zgodności, zgadza się na natychmiastowe poinformowanie podmiotu przekazującego dane o niemożności spełnienia tego warunku, a podmiot przekazujący dane jest w takim przypadku uprawniony do zawieszenia przekazywania danych lub rozwiązania umowy; b) nie ma powodu, by sądzić, że prawodawstwo mające do niego zastosowanie uniemożliwia mu wypełnianie instrukcji otrzymanych od podmiotu przekazującego dane i jego obowiązków wynikających z umowy oraz że w przypadku zmiany prawodawstwa, która może mieć istotne negatywne skutki dla gwarancji i obowiązków określonych w niniejszych klauzulach, zawiadomi o tym jak najszybciej podmiot przekazujący dane, który w takim przypadku jest uprawniony do zawieszenia przekazywania danych lub rozwiązania umowy; c) wdrożył techniczne i organizacyjne środki bezpieczeństwa wyszczególnione w dodatku 2 przed przetwarzaniem przekazanych danych osobowych; d) niezwłocznie powiadomi podmiot przekazujący dane o: (i) jakichkolwiek prawnie wiążących wnioskach o ujawnienie danych osobowych ze strony organów ścigania, chyba że powiadomienie o takim wniosku jest zakazane, na przykład na mocy prawa karnego w celu zachowania poufności postępowań prowadzonych przez organy ścigania; (ii) jakimkolwiek przypadkowym lub nieupoważnionym dostępie; oraz (iii) jakimkolwiek żądaniu otrzymanym bezpośrednio od osób, których dotyczą dane, bez udzielenia odpowiedzi na to żądanie, chyba że został on w inny sposób upoważniony do takiego postępowania; e) niezwłocznie i we właściwy sposób zajmie się wszystkimi zapytaniami ze strony podmiotu przekazującego dane, dotyczącymi przetwarzania przez siebie danych osobowych będących przedmiotem przekazania, oraz zastosuje się do zaleceń organów nadzorczych w odniesieniu do przetwarzania przekazywanych danych; f) na żądanie podmiotu przekazującego dane przedstawi swoje urządzenia do przetwarzania danych w celu kontroli działalności związanej z przetwarzaniem danych objętej niniejszymi klauzulami, przeprowadzanej przez podmiot przekazujący dane lub organ kontrolny złożony z niezależnych członków i posiadający wymagane kwalifikacje zawodowe, związany obowiązkiem zachowania poufności, wybrany przez podmiot przekazujący dane, w stosownych przypadkach w porozumieniu z organem nadzorczym; […]”.

29. Zgodnie z przypisem 1, do którego odsyła tytuł klauzuli 5 załącznika do decyzji 2010/87: „Obowiązujące wymogi przepisów krajowych mające zastosowanie do podmiotu odbierającego dane, które nie wykraczają poza to, co konieczne w demokratycznym społeczeństwie na podstawie jednego z interesów wymienionych w art. 13 ust. 1 dyrektywy [95/46] (tj. jeżeli stanowią środek konieczny do zabezpieczenia: bezpieczeństwa narodowego, obronności, bezpieczeństwa publicznego, zapobiegania przestępstwom lub czynom stanowiącym naruszenie zasad etyki w zawodach regulowanych i ich dochodzenia, wykrywania i ścigania, ważnego interesu ekonomicznego lub finansowego państwa lub ochrony osoby, której dane dotyczą, lub praw i wolności innych osób), nie są sprzeczne ze standardowymi klauzulami umownymi. Niektóre przykłady wspomnianych bezwzględnie obowiązujących wymogów niewykraczających poza to, co konieczne w demokratycznym społeczeństwie, to m.in. sankcje uznane na szczeblu międzynarodowym, wymagania związane ze sprawozdawczością podatkową lub w zakresie przeciwdziałania praniu pieniędzy”.

30. Klauzula 6 zawarta w tym załączniku, zatytułowana „Odpowiedzialność”, ma następujące brzmienie: „1. Strony uzgadniają, że każda osoba, której dotyczą dane, która poniosła szkodę w wyniku jakiegokolwiek naruszenia obowiązków, o których mowa w klauzuli 3 lub 11, przez którąkolwiek ze stron lub podwykonawcę przetwarzania, jest uprawniona do uzyskania odszkodowania za poniesioną szkodę od podmiotu przekazującego dane. 2. Jeżeli osoba, której dane dotyczą, nie jest w stanie wystąpić przeciw podmiotowi przekazującemu dane z roszczeniem o odszkodowanie zgodnie z pkt 1, wynikającym z naruszenia przez podmiot odbierający dane lub jego podwykonawcę przetwarzania któregokolwiek z ich obowiązków, o których mowa w klauzuli 3 lub klauzuli 11, ponieważ podmiot przekazujący dane przestał istnieć faktycznie lub formalnie lub stał się niewypłacalny, podmiot odbierający dane zgadza się na wystąpienie przez osobę, której dotyczą dane, z roszczeniem wobec podmiotu odbierającego dane, tak jakby był on podmiotem przekazującym dane; jeżeli jednak jakikolwiek podmiot będący jego następcą przejął na podstawie umowy lub z mocy prawa wszystkie zobowiązania prawne podmiotu przekazującego dane, osoba, której dane dotyczą, może egzekwować swoje prawa wobec tego następcy. […]”.

31. Klauzula 7 zawarta w omawianym załączniku, zatytułowana „Mediacja i sąd właściwy”, stanowi: „1. Podmiot odbierający dane zgadza się na to, że jeżeli osoba, której dotyczą dane, powołuje się wobec niego na prawa osoby trzeciej, na rzecz której zawarto umowę lub występuje o odszkodowanie za szkody na podstawie niniejszych klauzul, podmiot odbierający dane przyjmie decyzję osoby, której dane dotyczą, o: a) przekazaniu sporu do mediacji prowadzonej przez niezależną osobę lub, w stosownych przypadkach, organ nadzorczy; b) przekazaniu sporu do sądów w państwie członkowskim, w którym prowadzi działalność gospodarczą podmiot przekazujący dane. 2. Strony uzgadniają, że wybór osoby, której dotyczą dane, nie będzie naruszał jej materialnych lub proceduralnych praw do środków ochrony prawnej zgodnie z odrębnymi przepisami prawa krajowego lub międzynarodowego”.

32. Zawarta w tym samym załączniku klauzula 9, zatytułowana „Prawo właściwe” przewiduje, że standardowe klauzule umowne podlegają prawu państwa członkowskiego, w którym prowadzi działalność podmiot przekazujący dane.

D. Decyzja w sprawie Tarczy Prywatności

33. Artykuł 25 ust. 6 dyrektywy 95/46 posłużył za podstawę do przyjęcia przez Komisję dwóch kolejnych decyzji, w których stwierdziła ona, że Stany Zjednoczone zapewniają odpowiedni stopień ochrony danych osobowych przekazywanych mającym siedziby w tym kraju przedsiębiorstwom, które w ramach procedury samocertyfikacji złożyły oświadczenia o zobowiązaniu się do przestrzegania zasad wyrażonych w tych decyzjach.

34. W pierwszej kolejności Komisja przyjęła decyzję 2000/520/WE w sprawie adekwatności ochrony przewidzianej przez zasady ochrony prywatności w ramach „bezpiecznej przystani” oraz przez odnoszące się do nich najczęściej zadawane pytania, wydane przez Departament Handlu [Stanów Zjednoczonych] ( 11 ). W wyroku z dnia 6 października 2015 r., Schrems ( 12 ) Trybunał stwierdził nieważność tej decyzji.

35. W drugiej kolejności, w następstwie tego wyroku, Komisja przyjęła decyzję w sprawie „Tarczy Prywatności”.

36. Artykuł 1 tej decyzji stanowi: „1. Do celów art. 25 ust. 2 [dyrektywy 95/46] Stany Zjednoczone zapewniają odpowiedni stopień ochrony danych osobowych przekazywanych z Unii do podmiotów w Stanach Zjednoczonych w ramach Tarczy Prywatności UE–USA. 2. Na Tarczę Prywatności UE–USA składają się zasady wydane przez Departament Handlu Stanów Zjednoczonych w dniu 7 lipca 2016 r., jak wskazano w załączniku II, oraz oficjalne oświadczenia i zobowiązania zawarte w dokumentach przedstawionych w załącznikach I, III–VII. 3. Do celów ust. 1 dane osobowe są przekazywane w ramach Tarczy Prywatności UE–USA, w przypadku gdy przekazuje się je z Unii do podmiotów w Stanach Zjednoczonych, które figurują w „wykazie podmiotów uczestniczących w programie Tarczy Prywatności” prowadzonym i udostępnianym publicznie przez Departament Handlu Stanów Zjednoczonych zgodnie z sekcjami I i III zasad przedstawionych w załączniku II”.

37. Załącznik III A do tej decyzji, zatytułowany „Urząd Rzecznika ds. Tarczy Prywatności UE–USA w odniesieniu do rozpoznania radioelektronicznego”, dołączony do pisma ówczesnego Secretary of State (Sekretarza Stanu, Stany Zjednoczone) Johna Kerry’ego, z dnia 7 lipca 2016 r., zawiera memorandum opisujące nową procedurę mediacji przeprowadzaną przed „starszym rzecznikiem ds. międzynarodowej dyplomacji w dziedzinie technologii informacyjnej” (zwanym dalej „rzecznikiem”) wyznaczonym przez Sekretarza Stanu.

38. Zgodnie z powyższym memorandum procedura ta została wdrożona „aby ułatwić rozpatrywanie wniosków dotyczących dostępu ze względów bezpieczeństwa narodowego do danych przekazywanych Stanom Zjednoczonym przez [Unię] zgodnie z Tarczą Prywatności, standardowymi klauzulami umownymi, wiążącymi regułami korporacyjnymi, »odstępstwami« lub »możliwymi przyszłymi odstępstwami« za pomocą kanałów ustanowionych na mocy obowiązujących przepisów i polityki Stanów Zjednoczonych oraz aby ułatwić udzielanie odpowiedzi na te wnioski”.

III. Postępowanie główne, pytania prejudycjalne i postępowanie przed Trybunałem

39. Maximilian Schrems, obywatel austriacki zamieszkały w Austrii, jest użytkownikiem sieci społecznościowej Facebook. Od wszystkich użytkowników tej sieci społecznościowej zamieszkałych na terytorium Unii wymagane jest w chwili rejestracji zawarcie umowy z Facebook Ireland, spółką zależną spółki Facebook Inc. z siedzibą w Stanach Zjednoczonych. Dane osobowe tych użytkowników są w całości lub w części przekazywane na serwery należące do spółki Facebook Inc. położone na terytorium Stanów Zjednoczonych, gdzie dane te są przetwarzane.

40. W dniu 25 czerwca 2013 r. M. Schrems złożył skargę do DPC, w której żądał zasadniczo, aby organ ten zakazał spółce Facebook Ireland przekazywania jego danych osobowych do Stanów Zjednoczonych. Podniósł on w swej skardze, że prawo i praktyka obowiązujące w tym państwie trzecim nie zapewniają wystarczającej ochrony danych osobowych przechowywanych na jego terytorium przed prowadzonymi przez organy władzy publicznej działaniami nadzorczymi. Maximilian Schrems powołał się w tym względzie na ujawnione przez Edwarda Snowdena informacje na temat działalności amerykańskich służb wywiadowczych, a w szczególności służb National Security Agency (NSA) (Krajowej Agencji Bezpieczeństwa, Stany Zjednoczone).

41. Skarga ta została oddalona między innymi na tej podstawie, że wszelkie kwestie dotyczące odpowiedniego charakteru stopnia ochrony zapewnianego w Stanach Zjednoczonych winny być rozstrzygane zgodnie z decyzją w sprawie bezpiecznej przystani. W decyzji tej Komisja stwierdziła, że to państwo trzecie zapewnia odpowiedni stopień ochrony danych osobowych przekazywanych przedsiębiorstwom mającym siedziby na jego terytorium, które zobowiązały się przestrzegać zasad wyrażonych w tej decyzji.

42. Maximilian Schrems zaskarżył decyzję oddalającą jego skargę do High Court (wysokiego trybunału, Irlandia). Sąd ten uznał, że mimo iż M. Schrems formalnie nie zakwestionował ważności decyzji w sprawie bezpiecznej przystani, w rzeczywistości w swojej skardze podważa on zgodność z prawem systemu ustanowionego na mocy tej decyzji. W związku z tym sąd ten zwrócił się do Trybunału z pytaniami zmierzającymi zasadniczo do ustalenia, czy organy władzy państwa członkowskiego odpowiedzialne za ochronę danych osobowych (zwane dalej „organami nadzorczymi”), rozpatrując skargę dotyczącą ochrony praw i wolności osoby w odniesieniu do przetwarzania dotyczących jej danych osobowych, które zostały przekazane do państwa trzeciego, są związane poczynionymi przez Komisję na podstawie art. 25 ust. 6 dyrektywy 95/46 ustaleniami odnoszącymi się do adekwatności stopnia ochrony zapewnianego przez to państwo trzecie, w sytuacji gdy skarżący kwestionuje te ustalenia.

43. Po ustaleniu w pkt 51 i 52 wyroku Schrems, że decyzja stwierdzająca odpowiedni stopień ochrony wiąże organy nadzorcze dopóki nie zostanie stwierdzona jej nieważność, Trybunał w pkt 63 i 65 tego wyroku orzekł, co następuje: „63. […] [j]eśli osoba, której dane osobowe zostały lub mogły zostać przekazane do państwa trzeciego będącego przedmiotem decyzji Komisji przyjętej na mocy art. 25 ust. 6 dyrektywy 95/46, wnosi do krajowego organu nadzorczego skargę dotyczącą ochrony jej praw i wolności w zakresie przetwarzania tych danych i podważa w tej skardze […], zgodność tej decyzji z ochroną życia prywatnego oraz podstawowych praw i wolności jednostek, to krajowy organ nadzorczy zobowiązany jest do rozpatrzenia tej skargi z wszelką wymaganą starannością. […] 65. W […] sytuacji, w której omawiany organ uzna zarzuty podniesione przez [tę] osobę […] za zasadne, organ ten powinien – zgodnie z art. 28 ust. 3 akapit pierwszy [tiret trzecie] dyrektywy 95/46 w związku w szczególności z art. 8 ust. 3 karty – mieć prawo pozywania do sądu. W tym względzie do krajowego ustawodawcy należy ustanowienie drogi prawnej umożliwiającej krajowemu organowi nadzorczemu podniesienie zarzutów, które uważa on za zasadne, przed sądami krajowymi, po to, aby te ostatnie, jeśli podzielają wątpliwości tego organu co do ważności decyzji Komisji, wystąpiły z wnioskiem o wydanie orzeczenia w trybie prejudycjalnym w celu zbadania ważności tej decyzji”.

44. W omawianym wyroku Trybunał przeanalizował również ważność decyzji w sprawie bezpiecznej przystani w kontekście wymogów wynikających z dyrektywy 95/46 w związku z kartą. W wyniku powyższej analizy Trybunał stwierdził nieważność tej decyzji ( 13 ).

45. W następstwie wydania wyroku Schrems sąd odsyłający uchylił decyzję, na mocy której DPC oddalił skargę M. Schremsa i przekazał tę skargę do ponownego rozpoznania przez DPC. Ten ostatni wszczął postępowanie i zwrócił się do M. Schremsa, aby ten przeformułował skargę z uwagi na stwierdzenie nieważności decyzji w sprawie bezpiecznej przystani.

46. W tym celu M. Schrems zwrócił się do spółki Facebook Ireland o wskazanie podstaw prawnych dla przekazywania danych osobowych użytkowników sieci społecznościowej Facebook z Unii do Stanów Zjednoczonych. Facebook Ireland, nie wskazując wszystkich podstaw prawnych, na jakich się opiera, powołała się na umowę w sprawie przekazywania i przetwarzania danych (data transfer processing agreement) zawartą pomiędzy tą spółką a Facebook Inc., mającą zastosowanie od dnia 20 listopada 2015 r., jak również na decyzję 2010/87.

47. W przeformułowanej skardze M. Schrems podnosi, po pierwsze, że zawarte w tej umowie klauzule nie są zgodne ze standardowymi klauzulami umownymi zawartymi w załączniku do decyzji 2010/87. Po drugie, M. Schrems twierdzi, że te standardowe klauzule umowne w żadnym razie nie mogą stanowić podstawy dla przekazywania jego danych osobowych do Stanów Zjednoczonych. Jest tak dlatego, że prawo amerykańskie wymaga, aby spółka Facebook Inc. udostępniała dane osobowe swoich użytkowników amerykańskim organom, takim jak NSA i Federal Bureau of Investigation (FBI) (federalne biuro śledcze, Stany Zjednoczone) w ramach programów nadzoru, które stoją na przeszkodzie korzystaniu z praw gwarantowanych w art. 7, 8 i 47 karty. Maximilian Schrems zarzuca, że brak jest środków ochrony prawnej, które umożliwiałyby zainteresowanym osobom egzekwowanie ich praw do poszanowania życia prywatnego i do ochrony danych osobowych. W związku z tym wnosi on do DPC o zawieszenie przekazywania tych danych zgodnie z art. 4 decyzji 2010/87.

48. W ramach prowadzonego przez DPC dochodzenia Facebook Ireland przyznała, że w dalszym ciągu przekazuje dane osobowe użytkowników sieci społecznościowej Facebook zamieszkałych w Unii do Stanów Zjednoczonych oraz że opiera się ona w tym celu głównie na standardowych klauzulach umownych zawartych w załączniku do decyzji 2010/87.

49. Prowadzone przez DPC dochodzenie miało na celu ustalenie, po pierwsze, czy Stany Zjednoczone zapewniają odpowiednią ochronę danych osobowych obywateli Unii, i, po drugie, gdyby tak nie było, czy decyzje w sprawie standardowych klauzul umownych zapewniają wystarczające gwarancje, jeśli chodzi o ochronę wolności i praw podstawowych tych obywateli.

50. W projekcie decyzji (draft decision) DPC uznał w tym względzie wstępnie, że prawo amerykańskie nie oferuje skutecznych środków ochrony prawnej w rozumieniu art. 47 karty, obywatelom Unii, których dane osobowe są przekazywane do Stanów Zjednoczonych, gdzie mogą podlegać przetwarzaniu przez amerykańskie agencje do celów bezpieczeństwa narodowego w sposób niezgodny z art. 7 i 8 karty. Zabezpieczenia ustanowione w klauzulach znajdujących się w załączniku do decyzji w sprawie standardowych klauzul umownych nie wypełniają tej luki, ponieważ nie są one wiążące dla amerykańskich organów lub agencji i przyznają zainteresowanym osobom wyłącznie prawa mające źródło w umowie, których mogą one dochodzić od podmiotu przekazującego dane lub od podmiotu odbierającego dane.

51. W tych okolicznościach DPC uznał, że nie może wydać orzeczenia w przedmiocie skargi M. Schremsa bez zbadania przez Trybunał ważności decyzji w sprawie standardowych klauzul umownych. Zgodnie z tym, co stanowi pkt 65 wyroku Schrems, DPC doprowadził więc do wszczęcia przed sądem odsyłającym postępowania zmierzającego do tego, aby ów sąd, jeżeli podziela wątpliwości DPC, wystąpił do Trybunału z odesłaniem prejudycjalnym dotyczącym ważności tych decyzji.

52. Rząd Stanów Zjednoczonych, Electronic Privacy Information Centre (EPIC), Business Software Alliance (BSA) i Digitaleurope zostali dopuszczeni do udziału w postępowaniu przed sądem odsyłającym w charakterze interwenientów.

53. High Court (wysoki trybunał, Irlandia), aby stwierdzić, czy podziela wyrażone przez DPC wątpliwości co do ważności decyzji w sprawie standardowych klauzul umownych, dopuścił dowody przedstawione przez strony sporu oraz wysłuchał argumentów przedstawionych przez nie i przez interwenientów. Przedmiotem dowodu były w szczególności przepisy prawa Stanów Zjednoczonych, które zostały przedstawione przez biegłych. W prawie irlandzkim, prawo obce uznawane jest za okoliczność faktyczną, która, tak jak każda inna okoliczność faktyczna, podlega ustaleniu przy pomocy dowodów. W oparciu o te dowody sąd odsyłający dokonał oceny przepisów prawa Stanów Zjednoczonych zezwalających na prowadzenie czynności nadzorczych przez organy i agencje rządowe, funkcjonowania dwóch publicznie znanych programów nadzorczych („PRISM” i „Upstream”), różnych środków prawnych, jakimi dysponują jednostki, których prawa zostały naruszone przez zastosowanie środków nadzorczych oraz zabezpieczeń systemowych i mechanizmów kontroli. Sąd ten zawarł wyniki tej oceny w wyroku z dnia 3 października 2017 r. [zwanym dalej „wyrokiem High Court (wysokiego trybunału) z dnia 3 października 2017 r.”], stanowiącym załącznik do postanowienia odsyłającego.

54. W wyroku tym sąd odsyłający, wśród podstaw prawnych zezwalających na przechwytywanie zagranicznych wiadomości przez amerykańskie służby wywiadowcze, wymienił art. 702 Foreign Intelligence and Surveillance Act (FISA) (ustawy o nadzorze w dziedzinie wywiadu zagranicznego) oraz Executive Order 12333 (dekret prezydencki nr 12333, zwany dalej „EO 12333”).

55. Zgodnie z ustaleniami dokonanymi w tym wyroku art. 702 FISA upoważnia Attorney General (prokuratora generalnego, Stany Zjednoczone) i Director of National Intelligence (DNI) (dyrektora państwowych służb wywiadu, Stany Zjednoczone) działających łącznie, do wydania na okres jednego roku (w celu pozyskiwania zagranicznych informacji wywiadowczych) zezwolenia na prowadzenie czynności nadzorczych wobec osób, które nie są obywatelami amerykańskimi ani nie zamieszkują na stałe w Stanach Zjednoczonych (tzw. „osoby niebędące obywatelami ani rezydentami amerykańskimi”), gdy można racjonalnie założyć, że przebywają one poza terytorium Stanów Zjednoczonych ( 14 ). Zgodnie z FISA pojęcie „zagranicznych informacji wywiadowczych” oznacza informacje dotyczące możliwości rządu w zakresie zabezpieczenia się przed atakami z zewnątrz, terroryzmu, rozprzestrzeniania broni masowego rażenia oraz prowadzenia przez Stany Zjednoczone polityki zagranicznej ( 15 ).

56. Powyższe roczne zezwolenia, podobnie jak procedury regulujące namierzanie osób poddawanych nadzorowi oraz przetwarzanie („minimalizację”) zebranych informacji ( 16 ), wymagają wydania zgody przez Foreign Intelligence Surveillance Court (FISC) (sąd ds. nadzoru nad obcym wywiadem, Stany Zjednoczone). O ile „tradycyjny” nadzór prowadzony na podstawie innych przepisów FISA wymaga wykazania „prawdopodobnej przyczyny” pozwalającej podejrzewać, że namierzane osoby mają związki z obcym mocarstwem lub są jego agentami, to prowadzenie nadzoru na podstawie art. 702 FISA nie jest uzależnione ani od wykazania takiej „prawdopodobnej przyczyny”, ani od udzielenia przez FISC zgody na namierzanie określonych osób. Ponadto – również zgodnie z ustaleniami sądu odsyłającego – procedury minimalizacji nie mają zastosowania w stosunku do osób niebędących obywatelami ani rezydentami amerykańskimi przebywających poza Stanami Zjednoczonymi.

57. W praktyce po udzieleniu zgody przez FISC NSA przesyła dostawcom usług łączności elektronicznej mającym siedziby w Stanach Zjednoczonych wytyczne zawierające kryteria wyszukiwania nazywane „selektorami”, skojarzone z namierzanymi osobami (takie jak numery telefonu czy adresy poczty elektronicznej). Dostawcy ci są wtedy obowiązani do przekazywania NSA danych zgodnych z selektorami oraz do zachowania w tajemnicy wytycznych, które otrzymali. Mają oni możliwość wniesienia skargi do FISC w celu zmiany lub uchylenia wytycznej NSA. Od orzeczenia FISC przysługuje apelacja do Intelligence Surveillance Court of Review (FISCR) (sąd rozpatrujący środki odwoławcze od orzeczeń w sprawach nadzoru nad wywiadem zagranicznym, Stany Zjednoczone).

58. High Court (wysoki trybunał, Irlandia) stwierdził, że podstawę prawną programów PRISM i Upstream stanowi art. 702 FISA.

59. W ramach programu PRISM dostawcy usług łączności elektronicznej obowiązani są przekazywać do NSA wszystkie komunikaty „wychodzące z” lub „przychodzące do” selektora przekazanego przez tę agencję. Część komunikatów jest przekazywana do FBI oraz do Central Intelligence Agency (CIA) (centralnej agencji wywiadowczej, Stany Zjednoczone). W 2015 r. nadzorem było objętych 94386 osób, a w 2011 r. rząd Stanów Zjednoczonych pozyskał w ramach tego programu ponad 250 milionów komunikatów.

60. Program Upstream polega na świadczeniu obowiązkowego wsparcia przez przedsiębiorstwa korzystające z „infrastruktury szkieletowej” – czyli sieci kabli, przełączników sieciowych i ruterów – w ramach której odbywa się tranzyt komunikatów telefonicznych i komunikatów internetowych. Przedsiębiorstwa te mają obowiązek umożliwienia NSA kopiowania i filtrowania internetowego ruchu danych w celu pozyskiwania komunikatów „wychodzących z”, „przychodzących do” lub „dotyczących” selektora wskazanego w wytycznych tej agencji. Komunikaty „dotyczące” danego selektora są to komunikaty, które odnoszą się do tego selektora, przy czym osoba niebędąca obywatelem ani rezydentem amerykańskim skojarzona z tym selektorem nie musi koniecznie uczestniczyć w komunikacji. Choć z opinii FISC z dnia 26 kwietnia 2017 r. wynika, że począwszy od tej daty rząd amerykański już nie gromadzi i nie pozyskuje komunikatów „dotyczących” selektora, opinia ta nie świadczy o tym, że NSA zaprzestała kopiowania i filtrowania komunikatów w trakcie ich tranzytu przez jej własne urządzenia służące do inwigilacji. Program Upstream zakłada zatem udzielanie NSA dostępu zarówno do metadanych, jak i do treści komunikatów. Od 2011 r. NSA gromadzi w ramach programu Upstream około 26,5 mln komunikatów rocznie, co jednakże stanowi tylko niewielką część komunikatów poddanych procesowi filtrowania, jaki odbywa się w ramach tego programu.

61. Poza tym, zgodnie z ustaleniami High Court (wysokiego trybunału, Irlandia), EO 12333 zezwala na sprawowanie nadzoru nad komunikatami elektronicznymi poza terytorium Stanów Zjednoczonych, umożliwiając (dla celów wywiadu zagranicznego) uzyskanie dostępu do danych, które bądź to są „w tranzycie” w kierunku tego terytorium, bądź też odbywają „tranzyt” przez to terytorium, lecz nie mają podlegać na nim przetwarzaniu, oraz zbieranie i przechowywanie tych danych. EO 12333 definiuje pojęcie „zagranicznych informacji wywiadowczych” jako obejmujące informacje, które dotyczą możliwości, zamiarów lub działalności obcych rządów, zagranicznych organizacji lub cudzoziemców ( 17 ).

62. EO 12333 umożliwia NSA uzyskanie dostępu do podwodnych kabli ułożonych na dnie Oceanu Atlantyckiego, przy pomocy których dane są przekazywane z Unii do Stanów Zjednoczonych, jeszcze zanim dane te dotrą do Stanów Zjednoczonych i zostaną z tego względu objęte przepisami FISA. Brak jest jednak dowodów na to, że na podstawie tego dekretu prezydenckiego został wprowadzony w życie jakikolwiek program.

63. Mimo, że EO 12333 przewiduje ograniczenia dotyczące zbierania, zatrzymywania i rozpowszechniania informacji, ograniczenia te nie mają zastosowania w przypadku osób niebędących obywatelami ani rezydentami amerykańskimi. Tym ostatnim przysługują wyłącznie gwarancje sformułowane w Presidential Policy Directive 28 (strategicznej dyrektywie prezydenckiej nr 28, zwanej dalej „PPD 28”), która ma zastosowanie do wszelkiej działalności polegającej na zbieraniu i wykorzystaniu zagranicznych informacji wywiadowczych pochodzenia elektromagnetycznego. PPD 28 stanowi, że poszanowanie życia prywatnego należy do względów, jakie należy brać pod uwagę przy planowaniu tej działalności, że jedynym celem zbierania danych może być pozyskiwanie zagranicznych informacji wywiadowczych i kontrwywiadowczych oraz że proces ten powinien być „w naj „w jak największym stopniu dostosowany do indywidualnych potrzeb”.

64. Zdaniem sądu odsyłającego czynności NSA oparte na EO 12333, który w każdej chwili może być zmieniony lub uchylony przez prezydenta Stanów Zjednoczonych, nie są regulowane prawem, nie podlegają kontroli sądowej i nie mogą zostać zaskarżone do sądu.

65. Na podstawie powyższych ustaleń sąd ten uznaje, że Stany Zjednoczone przetwarzają dane osobowe na skalę masową i bez rozróżnienia, co może narażać osoby, których to dotyczy, na ryzyko naruszenia praw przysługujących im na podstawie art. 7 i 8 karty.

66. Co więcej, sąd ten wskazuje, że obywatele Unii nie mają dostępu do tych samych co obywatele amerykańscy sądowych środków ochrony prawnej przed niezgodnym z prawem przetwarzaniem ich danych osobowych przez organy amerykańskie. Czwarta poprawka do konstytucji Stanów Zjednoczonych, która jego zdaniem stanowi najważniejszy środek ochrony przed prowadzeniem niezgodnego z prawem nadzoru, nie ma zastosowania w przypadku obywateli Unii, których nie łączą dobrowolne i istotne więzi ze Stanami Zjednoczonymi. Nawet jeżeli tym obywatelom przysługują pewne inne środki prawne, to korzystanie z nich wiąże się z istotnymi utrudnieniami.

67. W szczególności art. III konstytucji Stanów Zjednoczonych uzależnia możliwość skorzystania ze środków ochrony prawnej przed sądami federalnymi od wykazania legitymacji procesowej (standing) przez zainteresowaną osobę. Przysługiwanie tej legitymacji procesowej jest uzależnione w szczególności od wykazania przez tę osobę poniesienia rzeczywistej szkody, która, po pierwsze, jest konkretna i zindywidualizowana, i, po drugie, doszło już do jej wyrządzenia lub jest ono nieuchronne. Powołując się między innymi na wyrok Supreme Court of the United States (sądu najwyższego Stanów Zjednoczonych), Clapper przeciwko Amnesty International US ( 18 ), sąd odsyłający uważa, że ten warunek jest praktyce nadmiernie trudny do spełnienia, w szczególności ze względu na brak obowiązku informowania osób, których dane dotyczą, o zastosowanych w stosunku do nich środkach nadzorczych ( 19 ). Część środków ochrony prawnej, jakimi dysponują obywatele Unii, jest poza tym uzależniona od spełnienia innych ograniczających warunków, takich jak konieczność wykazania szkody o charakterze majątkowym. Immunitet państwowy, z jakiego korzystają agencje wywiadu, oraz objęcie omawianych informacji klauzulami tajności, także stanowią przeszkodę w korzystaniu z niektórych środków ochrony prawnej ( 20 ).

68. High Court (wysoki trybunał, Irlandia) wymienia ponadto różne mechanizmy służące kontroli i nadzoru nad działalnością agencji wywiadowczych.

69. Znajduje się wśród nich, po pierwsze, mechanizm corocznego zatwierdzania przez FISC programów mających za podstawę art. 702 FISA, przy czym jednak w ramach tego mechanizmu FISC nie zatwierdza poszczególnych selektorów. Poza tym, zbieranie zagranicznych informacji wywiadowczych na podstawie EO 12333 nie jest poprzedzone jakąkolwiek kontrolą sądową.

70. Po drugie, sąd odsyłający wymienia kilka pozasądowych mechanizmów nadzoru nad działalnością wywiadowczą. Wskazuje on w szczególności na rolę odgrywaną przez Inspectors General (inspektorów generalnych, Stany Zjednoczone), którzy w ramach każdej agencji wywiadowczej odpowiadają za nadzór nad działalnością wywiadowczą. Poza tym, Privacy and Civil Liberties Oversight Board (zwana dalej „PCLOB”) (rada nadzorująca kwestie prywatności i praw obywatelskich, Stany Zjednoczone), będąca niezależną agencją w ramach władzy wykonawczej, otrzymuje sprawozdania od wyznaczonych w każdej agencji urzędników odpowiedzialnych za kwestie praw obywatelskich lub prywatności (civil liberties or privacy officers). PCLOB sporządza regularnie sprawozdania przeznaczone dla komisji Kongresu i dla prezydenta. Agencje, których to dotyczy, obowiązane są raportować, między innymi do DNI, o incydentach związanych z naruszeniem zasad i procedur rządzących zbieraniem informacji przez wywiad zagraniczny. Incydenty takie są również raportowane do FISC. Za kontrolę działalności wywiadu zagranicznego odpowiada także Kongres Stanów Zjednoczonych za pośrednictwem komisji ds. wywiadu w Izbie Reprezentantów i Senacie.

71. Jednakże High Court (wysoki trybunał, Irlandia) podkreśla podstawową różnicę między zasadami służącymi zapewnieniu, aby dane były pozyskiwane w sposób legalny oraz aby (gdy zostaną już pozyskane) nie były wykorzystywane w sposób mający znamiona nadużycia, z jednej strony, a dostępnymi środkami ochrony prawnej na wypadek naruszenia tych zasad, z drugiej strony. Ochrona praw podstawowych osób, których dane dotyczą, może być zapewniona wyłącznie wówczas, gdy skuteczne środki ochrony prawnej umożliwiają im dochodzenie ich praw w przypadku naruszenia rzeczonych zasad.

72. W tych okolicznościach sąd odsyłający uznaje zasadność podniesionych przez DPC argumentów, zgodnie z którymi ograniczenia, jakie nakłada amerykańskie prawo na środki ochrony prawnej przysługujące osobom, których dane są przekazywane z Unii, naruszają zasadniczą treść prawa gwarantowanego przez art. 47 karty i w każdym razie stanowią nieproporcjonalną ingerencję w korzystanie z tego prawa.

73. Zdaniem High Court (wysokiego trybunału, Irlandia) oceny tej nie podważa fakt wprowadzenia przez rząd Stanów Zjednoczonych mechanizmu mediacji opisanego w decyzji w sprawie Tarczy Prywatności. Podkreśliwszy, że mechanizm ten jest dostępny dla obywateli Unii, którzy na podstawie racjonalnych przesłanek uważają, że ich dane osobowe zostały przekazane zgodnie z decyzjami w sprawie standardowych klauzul umownych ( 21 ), sąd ten zwrócił uwagę, że rzecznik nie jest sądem spełniającym wymogi wynikające z art. 47 karty, a w szczególności nie jest niezawisły względem władzy wykonawczej ( 22 ). Sąd ten ma również wątpliwości, czy interwencja ze strony rzecznika, którego decyzje nie podlegają zaskarżeniu do sądu, jest skutecznym środkiem ochrony prawnej. Jego udział nie umożliwia bowiem osobom, których dane osobowe były zbierane, przetwarzane lub udostępniane w sposób niezgodny z prawem, uzyskania odszkodowania lub nakazu zaprzestania niezgodnych z prawem działań, skoro rzecznik nie potwierdza ani nie zaprzecza, że względem skarżącego był stosowany środek elektronicznego nadzoru.

74. Po przedstawieniu swoich wątpliwości co do istnienia merytorycznej równoważności gwarancji przewidzianych w prawie amerykańskim i wymogów wynikających z art. 7, 8 i 47 karty, sąd odsyłający wyraził wątpliwość dotyczącą tego, czy zawarte w decyzjach w sprawie standardowych klauzul umownych standardowe klauzule umowne – które, ze względu na ich charakter, nie są wiążące dla amerykańskich organów władzy – mogą jednak zapewnić ochronę praw podstawowych osób, których dane dotyczą. Sąd ten stwierdził, że podziela wątpliwości DPC co do ważności tych decyzji.

75. W tym względzie sąd odsyłający uważa w szczególności, że art. 28 ust. 3 dyrektywy 95/46, do którego odwołuje się art. 4 decyzji 2010/87, przyznając organom nadzorczym uprawnienie do zawieszenia lub zakazania przekazywania danych na podstawie standardowych klauzul umownych przewidzianych w tej decyzji, nie jest wystarczający, aby rozwiać te wątpliwości. Poza tym, że, zdaniem sądu odsyłającego, uprawnienie to ma jedynie charakter uznaniowy, sąd ten zastanawia się, w związku z motywem 11 decyzji 2010/87, czy istnieje możliwość wykonania tego uprawnienia w sytuacji, gdy stwierdzone uchybienia nie odnoszą się do pojedynczego, wyjątkowego przypadku, lecz mają charakter powszechny i systemowy ( 23 ). Sąd odsyłający uważa również, że prawdopodobieństwo wydania w różnych państwach członkowskich rozbieżnych decyzji może przemawiać przeciwko powierzeniu organom nadzorczym obowiązków w zakresie stwierdzania takich uchybień.

76. W tych okolicznościach High Court (wysoki trybunał), orzeczeniem z dnia 4 maja 2018 r. ( 24 ), które wpłynęło do Trybunału w dniu 9 maja 2018 r., zawiesił postępowanie i zwrócił się do Trybunału z następującymi pytaniami prejudycjalnymi: „1) W sytuacji, gdy dane osobowe są przekazywane przez prywatne przedsiębiorstwo z państwa członkowskiego [Unii] do prywatnego przedsiębiorstwa w państwie trzecim w celach komercyjnych na podstawie [decyzji 2010/87] i mogą być dalej przetwarzane w tym państwie trzecim przez jego organy dla celów bezpieczeństwa narodowego, ale także dla celów egzekwowania prawa [utrzymania porządku publicznego] i prowadzenia spraw zagranicznych w tym kraju [państwie] trzecim, czy prawo [Unii] (w tym także karta) ma zastosowanie do przekazywania danych niezależnie od postanowień art. 4 ust. 2 TUE w odniesieniu do bezpieczeństwa narodowego i od postanowień art. 3 ust. 2 tiret pierwsze [dyrektywy 95/46] w odniesieniu do bezpieczeństwa publicznego, obronności i bezpieczeństwa państwa? 2) a) Aby określić, czy przekazywanie danych w oparciu o [decyzję 2010/87] z [Unii] do państwa trzeciego, gdzie mogą one być dalej przetwarzane dla celów bezpieczeństwa narodowego, stanowi naruszenie praw jednostki, właściwym punktem odniesienia dla celów dyrektywy [95/46] jest: (i) karta, TUE, TFUE, dyrektywa [95/46], [europejska Konwencja o ochronie praw człowieka i podstawowych wolności, podpisana w Rzymie w dniu 4 listopada 1950 r. (zwana dalej „EKPC”).] (czy też jakikolwiek inny przepis prawa Unii); czy (ii) prawa krajowe jednego lub większej liczby państw członkowskich? b) Jeżeli właściwym punktem odniesienia jest określony w (ii), czy obejmuje on także praktyki w kontekście bezpieczeństwa narodowego w jednym lub większej liczbie państw członkowskich? 3) Przy ocenie, czy państwo trzecie zapewnia poziom ochrony wymagany przez prawo [Unii] dla danych osobowych przekazywanych do tego państwa w rozumieniu art. 26 dyrektywy [95/46], czy poziom ochrony w państwie trzecim powinien być oceniany poprzez odniesienie do: a) obowiązujących przepisów w państwie trzecim, wynikających z jego prawa krajowego lub zobowiązań międzynarodowych oraz z praktyk mających na celu zapewnienie zgodności z tymi przepisami, zasad wykonywania zawodu i środków bezpieczeństwa, które są przestrzegane w tym państwie trzecim; czy b) przepisów, o których mowa w lit. a) wraz z praktykami administracyjnymi, regulacyjnymi i praktykami w zakresie zgodności oraz polityką w zakresie środków bezpieczeństwa, procedurami, protokołami, mechanizmami kontroli i systemami pozasądowego rozstrzygania sporów istniejącymi w tym państwie trzecim? 4) Przy uwzględnieniu stanu faktycznego ustalonego przez High Court (wysoki trybunał) w odniesieniu do prawa Stanów Zjednoczonych, czy przekazywanie danych osobowych z [Unii] do Stanów Zjednoczonych na podstawie decyzji [2010/87] narusza prawa osób fizycznych wynikające z art. 7 lub 8 karty? 5) Przy uwzględnieniu stanu faktycznego ustalonego przez High Court (wysoki trybunał) w odniesieniu do prawa Stanów Zjednoczonych, jeżeli dane osobowe są przekazywane z [Unii] do Stanów Zjednoczonych na podstawie decyzji [2010/87]: a) Czy poziom ochrony w prawie Stanów Zjednoczonych zapewnia poszanowanie istoty prawa osób fizycznych do korzystania z sądowych środków ochrony prawnej w związku z naruszeniem ich prawa do poufności danych osobowych zagwarantowanych przez art. 47 karty? Jeżeli odpowiedź na pytanie a) jest twierdząca: b) Czy ograniczenia, jakie nakłada prawo Stanów Zjednoczonych na prawo jednostki do korzystania z sądowych środków ochrony prawnej w kontekście bezpieczeństwa narodowego Stanów Zjednoczonych, są proporcjonalne w rozumieniu art. 52 karty i nie wykraczają poza to, co jest niezbędne w społeczeństwie demokratycznym dla celów bezpieczeństwa narodowego? 6) a) W świetle przepisów dyrektywy [95/46], a w szczególności jej art. 25 i 26 interpretowanych w świetle karty, jaki poziom ochrony należy zapewnić przy przekazywaniu danych osobowych do państwa trzeciego na podstawie standardowych klauzul umownych przyjętych zgodnie z decyzją Komisji w oparciu o art. 26 ust. 4 [tej dyrektywy]? b) Jakie kwestie należy wziąć pod uwagę przy ocenie, czy poziom ochrony danych osobowych przekazywanych do państwa trzeciego na podstawie decyzji [2010/87] spełnia wymogi dyrektywy [95/46] i karty? 7) Czy okoliczność, że standardowe klauzule umowne obowiązują pomiędzy podmiotem przekazującym a odbierającym dane i nie są wiążące dla władz krajowych państwa trzeciego, które mogą wymagać od podmiotu odbierającego dane udostępniania jego służbom bezpieczeństwa w celu dalszego przetwarzania danych osobowych przekazywanych na mocy klauzul przewidzianych w decyzji [2010/87], wyklucza zapewnienie przez te klauzule odpowiednich zabezpieczeń zgodnie z art. 26 ust. 2 dyrektywy [95/46]? 8) Jeżeli podmiot odbierający dane w państwie trzecim jest objęty przepisami dotyczącymi nadzoru, które zdaniem [organu nadzorczego] są sprzeczne ze standardowymi klauzulami umownymi lub z art. 25 i 26 dyrektywy [95/46] lub z kartą, czy [organ nadzorczy] jest zobowiązany do skorzystania ze swoich uprawnień wykonawczych zgodnie z art. 28 ust. 3 dyrektywy [95/46] w celu zawieszenia przepływu danych, czy też wykonywanie tych uprawnień jest ograniczone do sytuacji wyjątkowych, w świetle motywu 11 [decyzji 2010/87], względnie czy [organ nadzorczy] w ramach swobodnego uznania może nie zawieszać przepływu danych? 9) a) Dla celów art. 25 ust. 6 dyrektywy [95/46], czy decyzja [w sprawie Tarczy Prywatności] stanowi ustalenie o powszechnym zastosowaniu wiążące dla [organów nadzorczych] oraz sądów państw członkowskich stwierdzające, że Stany Zjednoczone zapewniają odpowiedni stopień ochrony w rozumieniu art. 25 ust. 2 dyrektywy [95/46], co wynika z prawa krajowego Stanów Zjednoczonych lub z międzynarodowych zobowiązań, jakie państwo to przyjęło? b) Jeżeli nie, jakie znaczenie, jeśli w ogóle, ma decyzja [w sprawie Tarczy Prywatności] przy prowadzeniu oceny adekwatności zabezpieczeń przewidzianych dla danych przekazywanych do Stanów Zjednoczonych na mocy decyzji [2010/87]? 10) Przy uwzględnieniu ustaleń High Court (wysokiego trybunału) w odniesieniu do prawa Stanów Zjednoczonych, czy powołanie Rzecznika ds. Tarczy Prywatności zgodnie z [załącznikiem III A] do decyzji w sprawie Tarczy Prywatności, w związku z istniejącym systemem w Stanach Zjednoczonych zapewnia, że prawo Stanów Zjednoczonych przewiduje środek ochrony prawnej dla osób, których dane osobowe są przekazywane do Stanów Zjednoczonych na podstawie decyzji [2010/87], zgodny z art. 47 karty? 11) Czy decyzja [2010/87] narusza art. 7, 8 lub 47 karty?”.

77. DPC, Facebook Ireland, M. Schrems, rząd Stanów Zjednoczonych, EPIC, BSA, Digitaleurope, Irlandia, rządy niemiecki, niderlandzki, austriacki, polski, portugalski i Zjednoczonego Królestwa, Parlament Europejski i Komisja przedstawili przed Trybunałem uwagi na piśmie. DPC, Facebook Ireland, M. Schrems, rząd Stanów Zjednoczonych, EPIC, BSA, Digitaleurope, Irlandia, rządy belgijski, czeski, niemiecki, francuski, niderlandzki, austriacki i Zjednoczonego Królestwa, Parlament, Komisja oraz Europejska Rada Ochrony Danych (European Data Protection Board, EROD) byli reprezentowani podczas rozprawy, która odbyła się w dniu 9 lipca 2019 r.

IV. Analiza

A. Uwagi wstępne

78. W wyniku stwierdzenia przez Trybunał w wyroku Schrems nieważności decyzji w sprawie bezpiecznej przystani przekazywanie danych osobowych do Stanów Zjednoczonych było kontynuowane w oparciu o inne podstawy prawne. Spółki przekazujące dane mogły w szczególności zawierać z podmiotami odbierającymi dane umowy zawierające standardowe klauzule opracowane przez Komisję. Klauzule te służą również za podstawę prawną przekazywania danych do wielu innych państw trzecich, w stosunku do których Komisja nie przyjęła decyzji stwierdzającej odpowiedni stopień ochrony ( 25 ). Decyzja w sprawie Tarczy Prywatności umożliwia obecnie przedsiębiorstwom, które przyjęły zasady wyrażone w tej decyzji w drodze samocertyfikacji, przekazywanie danych osobowych do Stanów Zjednoczonych bez żadnych innych formalności.

79. Jak wynika jednoznacznie z postanowienia odsyłającego i jak podkreślili BSA, Digitaleurope, Irlandia, rządy austriacki i francuski, Parlament i Komisja, zawisły przed High Court (wysokim trybunałem) spór w postępowaniu głównym dotyczy wyłącznie ustalenia, czy decyzja, na mocy której Komisja wprowadziła standardowe klauzule umowne powoływane jako podstawa przekazywania danych, o których mowa w skardze M. Schremsa, a mianowicie decyzja 2010/87 ( 26 ), jest ważna.

80. Spór ten został zapoczątkowany skargą, w drodze której DPC zwrócił się do sądu odsyłającego, aby ten skierował do Trybunału pytanie prejudycjalne odnoszące się do ważności decyzji 2010/87. Sąd odsyłający twierdzi, że w związku z tym spór w postępowaniu głównym dotyczy korzystania ze środka ochrony prawnej, do ustanowienia którego Trybunał zobowiązał państwa członkowskie w pkt 65 wyroku Schrems.

81. Dla przypomnienia, Trybunał w pkt 63 tego wyroku orzekł, że organ nadzorczy obowiązany jest rozpatrzyć z wszelką wymaganą starannością skargę, w której osoba, której dane osobowe zostały lub mogły zostać przekazane do państwa trzeciego będącego przedmiotem decyzji stwierdzającej odpowiedni stopień ochrony, kwestionuje zgodność tej decyzji z prawami podstawowymi ustanowionymi w karcie. Zgodnie z pkt 65 omawianego wyroku, w sytuacji, w której organ ten uzna zarzuty podniesione w tej skardze za zasadne, powinien on – zgodnie z art. 28 ust. 3 akapit pierwszy tiret trzecie dyrektywy 95/46 (którego odpowiednikiem jest art. 58 ust. 5 RODO) w związku z art. 8 ust. 3 karty – mieć prawo pozywania do sądu. W tym względzie do krajowego ustawodawcy należy ustanowienie środków ochrony prawnej umożliwiających temu organowi podniesienie zarzutów przed sądami krajowymi, po to, aby te ostatnie, jeśli podzielają wątpliwości rzeczonego organu, wystąpiły z wnioskiem o wydanie orzeczenia w trybie prejudycjalnym w celu zbadania ważności rozpatrywanej decyzji.

82. Podobnie jak sąd odsyłający uważam, że powyższe wnioski mają zastosowanie w drodze analogii do sytuacji, gdy organ nadzorczy, w związku z rozpatrywaniem wniesionej doń skargi, nie ma wątpliwości co do ważności decyzji stwierdzającej odpowiedni stopień ochrony, lecz co do ważności decyzji takiej jak decyzja 2010/87, wprowadzającej standardowe klauzule umowne na potrzeby przekazywania danych osobowych do państw trzecich. Wbrew temu, co twierdzi rząd niemiecki, bez znaczenia jest to, czy te wątpliwości odpowiadają zarzutom podniesionym przed tym organem przez skarżącego, czy też organ ten zakwestionował ważność danej decyzji ze swej własnej inicjatywy. Wymogi wynikające z art. 58 ust. 5 RODO i z art. 8 ust. 3 karty, na których opiera się przedstawione przez Trybunał uzasadnienie, mają bowiem zastosowanie niezależnie od podstawy prawnej przekazywania danych, którego dotyczy skarga wniesiona do organu nadzorczego i powodów, dla których organ ten ma wątpliwości co do ważności decyzji analizowanej w ramach rozpatrywania tej skargi.

83. Uściśliwszy powyższe, należy wskazać, że wystąpienie przez DPC do sądu odsyłającego, aby ten zadał Trybunałowi pytanie o ważność decyzji 2010/87, jest umotywowane tym, że DPC uważa, iż udzielenie przez Trybunał wyjaśnień w tym przedmiocie jest niezbędne dla rozpatrzenia skargi, w której M. Schrems żąda, aby organ ten skorzystał z uprawnienia, jakim dysponuje na mocy art. 28 ust. 3 tiret drugie dyrektywy 95/46 – i które obecnie przyznaje mu art. 58 ust. 2 lit. f) RODO – do zawieszenia przekazywania dotyczących go danych osobowych przez Facebook Ireland do Facebook Inc.

84. W związku z tym, chociaż spór w postępowaniu głównym dotyczy wyłącznie ważności decyzji 2010/87 in abstracto, leżące u podstaw tego sporu postępowanie przed DPC wiąże się ze skorzystaniem przez ten organ w konkretnym przypadku z przysługujących mu uprawnień naprawczych. Zaproponuję Trybunałowi, aby ograniczył się do przeprowadzenia analizy przedłożonych pytań w zakresie niezbędnym do wydania orzeczenia co do ważności decyzji 2010/87, ponieważ taka analiza jest wystarczająca do tego, aby umożliwić sądowi odsyłającemu rozstrzygnięcie zawisłego przed nim sporu ( 27 ).

85. Przed dokonaniem oceny ważności tej decyzji należy oddalić pewne zastrzeżenia podniesione względem dopuszczalności wniosku o wydanie orzeczenia w trybie prejudycjalnym.

B. W przedmiocie dopuszczalności odesłania prejudycjalnego

86. Dopuszczalność wniosku o wydanie orzeczenia w trybie prejudycjalnym była kwestionowana z różnych powodów związanych zasadniczo z brakiem zastosowania ratione temporis dyrektywy 95/46, której dotyczą pytania prejudycjalne (część 1), z okolicznością, że postępowanie przed DPC nie znajduje się na dostatecznie zaawansowanym etapie, aby uzasadnić użyteczność takiego wniosku (część 2) oraz z istnieniem niepewności odnoszących się do okoliczności faktycznych opisanych przez sąd odsyłający (część 3).

87. Odpowiem na powyższe zarzuty niedopuszczalności nie zapominając o domniemaniu, zgodnie z którym pytania przedłożone Trybunałowi na podstawie art. 267 TFUE mają znaczenie dla sprawy. Zgodnie z utrwalonym orzecznictwem, Trybunał może odmówić rozstrzygnięcia w przedmiocie postawionego przez sąd krajowy pytania prejudycjalnego tylko wtedy, gdy oczywiste jest, że wykładnia przepisu prawa Unii, o którą się zwrócono, nie ma żadnego związku ze stanem faktycznym lub z przedmiotem sporu w postępowaniu głównym, gdy problem jest natury hipotetycznej bądź gdy Trybunał nie dysponuje informacjami w zakresie stanu faktycznego lub prawnego, które są niezbędne do udzielenia przydatnej odpowiedzi na przedstawione mu pytania ( 28 ).

1. W przedmiocie stosowania dyrektywy 95/46 ratione temporis

88. Facebook Ireland twierdzi, że pytania prejudycjalne są niedopuszczalne, ponieważ odnoszą się do dyrektywy 95/46, podczas gdy dyrektywa ta została uchylona i zastąpiona przez RODO ze skutkiem od dnia 25 maja 2018 r. ( 29 )..

89. Podzielam punkt widzenia, zgodnie z którym ważność decyzji 2010/87 należy rozpatrywać w świetle przepisów RODO.

90. Zgodnie z art. 94 ust. 2 tego rozporządzenia, „[o]desłania do uchylonej dyrektywy należy traktować jako odesłania do [rzeczonego rozporządzenia]”. Wynika z tego, jak się wydaje, że w przypadku gdy decyzja 2010/87 wskazuje jako podstawę prawną art. 26 ust. 4 dyrektywy 95/46, należy to traktować jako odesłanie do art. 46 ust. 2 lit. c) RODO, który zasadniczo zawiera powtórzenie treści wcześniejszego przepisu ( 30 ). W związku z tym decyzje wykonawcze przyjęte przez Komisję przed wejściem w życie RODO na mocy art. 26 ust. 4 dyrektywy 95/46 należy interpretować w świetle tego rozporządzenia. Także ważność tych decyzji powinna być w razie potrzeby oceniana na gruncie rzeczonego rozporządzenia.

91. Wniosku tego nie podważa orzecznictwo, w myśl którego zgodność aktu Unii z prawem winna być oceniana w świetle okoliczności faktycznych i prawnych istniejących w dniu, w którym akt ten został wydany. Orzecznictwo to dotyczy bowiem badania ważności aktu Unii w świetle okoliczności faktycznych istotnych w chwili przyjmowania tego aktu ( 31 ) lub w świetle zasad procedury regulującej przyjmowanie tego aktu ( 32 ). Natomiast Trybunał wielokrotnie badał ważność aktów prawa wtórnego na gruncie materialnoprawnych norm wyższego rzędu, które weszły w życie po przyjęciu tych aktów ( 33 ).

92. O ile zatem wskazanie w treści pytań prejudycjalnych aktu prawnego, który nie ma już zastosowania ratione temporis, uzasadnia przeformułowanie tych pytań, to nie może ono jednak skutkować ich niedopuszczalnością ( 34 ). Jak podnieśli DPC i M. Schrems, zawarte w treści pytań prejudycjalnych odesłania do dyrektywy 95/46 można zresztą wyjaśnić biorąc pod uwagę harmonogram proceduralny niniejszej sprawy, ponieważ pytania te zostały przedłożone Trybunałowi przed wejściem w życie RODO.

93. W każdym razie przepisy RODO, które będą omawiane na potrzeby analizy pytań prejudycjalnych – a mianowicie, w szczególności jego art. 45, 46 i 58 – stanowią zasadniczo powtórzenie treści art. 25, 26 i 28 dyrektywy 95/46 (rozbudowując ją i wprowadzając pewne drobne różnice). Jeśli chodzi o czynniki istotne dla oceny ważności decyzji 2010/87, nie dostrzegam żadnego powodu, aby nadawać tym przepisom RODO znaczenie odmienne od znaczenia przepisów dyrektywy 95/46 stanowiących ich odpowiednik ( 35 ).

2. W przedmiocie tymczasowego charakteru wątpliwości wyrażonych przez DPC

94. Zdaniem rządu niemieckiego rozpatrywany wniosek o wydanie orzeczenia w trybie prejudycjalnym jest niedopuszczalny, ponieważ do skorzystania z drogi prawnej, o której mowa w pkt 65 wyroku Schrems, wymagane jest, aby organ nadzorczy wyrobił sobie ostateczną opinię co do zasadności zarzutów podniesionych przez skarżącego względem ważności rozpatrywanej decyzji. W tym wypadku tak nie jest, ponieważ DPC wyraził wątpliwości co do ważności decyzji 2010/87, która nie została zakwestionowana przez M. Schremsa, w projekcie decyzji, mającym charakter tymczasowy z uwagi na możliwość złożenia przez Facebook Ireland i M. Schremsa uwag dodatkowych.

95. Moim zdaniem tymczasowy charakter wątpliwości wyrażonych przez DPC nie ma wpływu na dopuszczalność odesłania prejudycjalnego. Kryteria dopuszczalności pytania prejudycjalnego powinny bowiem podlegać ocenie z punktu widzenia przedmiotu sporu określonego przez sąd odsyłający ( 36 ). Nie ma zaś wątpliwości, że spór ten dotyczy ważności decyzji 2010/87. Z brzmienia postanowienia odsyłającego i załączonego do niego wyroku wynika, że sąd ten uznał, iż wyrażone przez DPC wątpliwości – niezależnie od tego, czy mają charakter tymczasowy czy ostateczny – są zasadne, i w konsekwencji zwrócił się do Trybunału z pytaniem o ważność tej decyzji. W tych okolicznościach udzielenie przez Trybunał wyjaśnień w tym przedmiocie niewątpliwie jest istotne dla umożliwienia temu sądowi rozstrzygnięcia zawisłego przed nim sporu.

3. W przedmiocie wątpliwości dotyczących ustalenia okoliczności faktycznych

96. Rząd Zjednoczonego Królestwa twierdzi, że opis okoliczności faktycznych przedstawiony przez sąd odsyłający zawiera kilka luk, które wyłączają możliwość uznania pytań prejudycjalnych za dopuszczalne. Sąd ten nie wyjaśnił, czy dane osobowe dotyczące M. Schremsa zostały rzeczywiście przekazane do Stanów Zjednoczonych, a jeżeli tak, to czy były one gromadzone przez organy amerykańskie. Brak jest również pewności co do podstawy prawna ewentualnego przekazywania tych danych, ponieważ postanowienie odsyłające ogranicza się do stwierdzenia, że dane europejskich użytkowników sieci społecznościowej Facebook są przekazywane „w dużej części” na podstawie standardowych klauzul umownych przewidzianych w decyzji 2010/87. W każdym razie nie zostało wykazane, że wskazana jako podstawa spornego przekazywania danych umowa, która została zawarta pomiędzy Facebook Ireland a Facebook Inc., zawiera te właśnie klauzule. Rząd niemiecki kwestionuje dopuszczalność odesłania prejudycjalnego także z tego względu, że sąd odsyłający nie zbadał, czy M. Schrems jednoznacznie wyraził zgodę na przekazanie jego danych, co sprawiłoby, iż miałoby ono należytą podstawę prawną w postaci art. 26 ust. 1 dyrektywy 95/46 [którego treść została zasadniczo powtórzona w art. 49 ust. 1 lit. a) RODO].

97. Argumenty te w żadnym razie nie podważają znaczenia, jakie ma odesłanie prejudycjalne dla sporu zawisłego w postępowaniu głównym. Ponieważ spór ten powstał w związku ze skorzystaniem przez DPC ze środka ochrony prawnej przewidzianego w pkt 65 wyroku Schrems, jego przedmiotem jest właśnie skłonienie sądu krajowego do wystąpienia z odesłaniem prejudycjalnym dotyczącym ważności decyzji 2010/87. W rzeczywistości rząd niemiecki i rząd Zjednoczonego Królestwa kwestionują potrzebę skierowania pytań prejudycjalnych nie dla ustalenia, czy decyzja ta jest ważna, lecz dla umożliwienia DPC wypowiedzenia się in concreto co do skargi M. Schremsa.

98. W każdym razie, nawet z punktu widzenia tego postępowania leżącego u podstaw sporu w postępowaniu głównym, pytania prejudycjalne dotyczące ważności decyzji 2010/87 nie wydają mi się pozbawione znaczenia. Sąd odsyłający ustalił bowiem, że Facebook Ireland, po tym, gdy została stwierdzona nieważność decyzji w sprawie bezpiecznej przystani, nadal przekazywała dane osobowe swoich użytkowników do Stanów Zjednoczonych oraz że czyniła to, przynajmniej w części, na podstawie decyzji 2010/87. Ponadto, mimo że ustalenie przez sąd odsyłający wszystkich istotnych okoliczności faktycznych jeszcze przed wykonaniem przezeń uprawnienia wynikającego z art. 267 TFUE może być użyteczne, to wyłącznie do tego sądu należy ocena, na jakim etapie postępowania jest mu potrzebne uzyskanie od Trybunału orzeczenia wydanego w trybie prejudycjalnym ( 37 ).

99. Mając na względzie powyższe uważam, że wniosek o wydanie orzeczenia w trybie prejudycjalnym jest dopuszczalny.

C. W przedmiocie możliwości zastosowania prawa Unii do przekazywania danych osobowych w celach komercyjnych do państwa trzeciego, w którym mogą one być przetwarzane do celów bezpieczeństwa narodowego (pytanie pierwsze)

100. Poprzez pytanie pierwsze sąd odsyłający zmierza do ustalenia, czy prawo Unii ma zastosowanie do przekazywania danych osobowych w celach komercyjnych przez spółkę mającą siedzibę w państwie członkowskim do spółki mającej siedzibę w państwie trzecim w sytuacji, gdy, po zainicjowaniu tego przekazywania, dane osobowe mogą podlegać przetwarzaniu przez organy publiczne tego państwa trzeciego między innymi do celów ochrony bezpieczeństwa narodowego.

101. Znaczenie tego pytania dla rozstrzygnięcia sporu w postępowaniu głównym polega na tym, że gdyby takie przekazywanie znajdowało się poza zakresem stosowania prawa Unii, wszystkie podniesione w niniejszej sprawie zastrzeżenia co do ważności decyzji 2010/87 stałyby się bezpodstawne.

102. Jak zauważył sąd odsyłający, przetwarzanie danych osobowych w ramach ochrony bezpieczeństwa narodowego jest wyłączone z zakresu stosowania dyrektywy 95/46 na mocy jej art. 3 ust. 2. Obecnie w art. 2 ust. 2 RODO wyjaśniono, że rozporządzenie to nie ma zastosowania między innymi do przetwarzania danych w ramach działalności nieobjętej zakresem prawa Unii lub przetwarzania przez właściwe organy do celów ochrony bezpieczeństwa publicznego. Przepisy te odzwierciedlają wynikające z art. 4 ust. 2 TUE zastrzeżenie kompetencji dla państw członkowskich w dziedzinie ochrony bezpieczeństwa narodowego.

103. DPC, M. Schrems, Irlandia, rządy niemiecki, austriacki, belgijski, czeski, niderlandzki, polski i portugalski, jak również Parlament i Komisja twierdzą, że przekazywanie danych takie jak to, którego dotyczy skarga M. Schremsa, nie podlega powyższym przepisom, w związku z czym wchodzi w zakres stosowania prawa Unii. Facebook Ireland opowiada się za przeciwnym stanowiskiem. Przychylam się do tego pierwszego poglądu.

104. Należy w tym względzie podkreślić, że przekazywanie danych osobowych z państwa członkowskiego do państwa trzeciego stanowi samo w sobie „przetwarzanie” w rozumieniu art. 4 pkt 2 RODO, dokonywane na terytorium państwa członkowskiego ( 38 ). Przedmiotem pierwszego pytania prejudycjalnego jest właśnie ustalenie, czy prawo Unii stosuje się do przetwarzania, które sprowadza się do samego tylko przekazywania danych. Pytanie to nie dotyczy stosowania prawa Unii do ewentualnego późniejszego przetwarzania (przez organy amerykańskie do celów bezpieczeństwa narodowego) danych, które zostały przekazane do Stanów Zjednoczonych, gdyż takie przetwarzanie z pewnością nie jest objęte terytorialnym zakresem stosowania RODO ( 39 ).

105. Z tego punktu widzenia, aby ustalić, czy prawo Unii ma zastosowanie do przekazywania danych, którego dotyczy sprawa, należy brać pod uwagę wyłącznie działalność, w której ramy wpisuje się to przekazywanie danych, natomiast nie jest istotny przedmiot ewentualnego dalszego przetwarzania, któremu zostaną poddane dane przekazane przez organy władzy publicznej docelowego państwa trzeciego ( 40 ).

106. Z postanowienia odsyłającego wynika zaś, że przekazywanie danych, o którym mowa w skardze M. Schremsa, stanowi część działalności prowadzonej w celach komercyjnych. Ponadto umożliwienie późniejszego przetwarzania tych danych przez organy amerykańskie do celów bezpieczeństwa narodowego nie jest celem tego przekazywania danych (nawet drugorzędnym).

107. Wreszcie, przyjęcie podejścia proponowanego przez Facebook Ireland pozbawiałoby skuteczności przepisy RODO dotyczące przekazywania danych do państw trzecich, ponieważ nigdy nie można wykluczyć, że dane przekazywane w ramach działalności komercyjnej będą później przetwarzane do celów bezpieczeństwa narodowego.

108. Proponowana przeze mnie wykładnia znajduje potwierdzenie w treści art. 45 ust. 2 lit. a) RODO. Zgodnie z tym przepisem Komisja, przyjmując decyzję stwierdzającą odpowiedni stopień ochrony, uwzględnia w szczególności ustawodawstwo danego państwa trzeciego w dziedzinie bezpieczeństwa narodowego. Można na tej podstawie wyciągnąć wniosek, że możliwość, iż dane będą przetwarzane przez organy docelowego państwa trzeciego do celów ochrony bezpieczeństwa narodowego, nie przesądza o tym, że prawo Unii nie ma zastosowania do przetwarzania polegającego na przekazaniu danych do tego państwa trzeciego.

109. Rozumowanie i wnioski, do jakich doszedł Trybunał w wyroku Schrems, również opierają się na tym założeniu. W wyroku tym Trybunał badał w szczególności ważność decyzji w sprawie bezpiecznej przystani w zakresie, w jakim decyzja ta dotyczyła właśnie przekazywania danych osobowych do Stanów Zjednoczonych, gdzie mogły one być zbierane i przetwarzane do celów ochrony bezpieczeństwa narodowego, na podstawie art. 25 ust. 6 dyrektywy 95/46, w świetle postanowień karty ( 41 ).

110. Mając na względzie powyższe rozważania uważam, że prawo Unii ma zastosowanie do dokonywanego w ramach działalności komercyjnej przekazywania danych osobowych z państwa członkowskiego do państwa trzeciego, przy czym bez znaczenia jest okoliczność, że przekazywane dane mogą podlegać przetwarzaniu przez organy publiczne tego państwa trzeciego w celach służących ochronie bezpieczeństwa narodowego rzeczonego państwa.

D. W przedmiocie stopnia ochrony wymaganego w związku z przekazywaniem danych na podstawie standardowych klauzul umownych (pierwsza część pytania szóstego)

111. Zgodnie z brzmieniem pierwszej części pytania szóstego sąd odsyłający stara się ustalić, jaki stopień ochrony praw podstawowych osób, których dane dotyczą, należy zapewnić, aby te dane osobowe mogły zostać przekazane do państwa trzeciego na podstawie standardowych klauzul umownych przewidzianych w decyzji 2010/87.

112. Sąd ten podkreśla, że w wyroku Schrems Trybunał dokonał takiej wykładni art. 25 ust. 6 dyrektywy 95/46 (którego treść została zasadniczo powtórzona w art. 45 ust. 3 RODO), zgodnie z którą przepis ten umożliwia Komisji przyjęcie decyzji stwierdzającej odpowiedni stopień ochrony wyłącznie wówczas, jeżeli upewni się ona, iż dane państwo trzecie zapewnia odpowiedni stopień ochrony, co wymaga ustalenia przez nią, że państwo to zapewnia stopień ochrony podstawowych praw i wolności merytorycznie równoważny stopniowi ochrony gwarantowanemu w Unii na mocy tej dyrektywy w związku z kartą ( 42 ).

113. W tym kontekście pierwsza część szóstego pytania prejudycjalnego wymaga od Trybunału ustalenia, czy zastosowanie „standardowych klauzul umownych” przyjmowanych przez Komisję na podstawie art. 26 ust. 4 dyrektywy 95/46 – odpowiadających „standardowym klauzulom ochrony danych”, o których mowa obecnie w art. 46 ust. 2 lit. c) RODO – powinno umożliwić osiągnięcie stopnia ochrony odpowiadającego temu samemu standardowi „merytorycznej równoważności”.

114. Artykuł 46 ust. 1 RODO stanowi w tym względzie, że w razie braku decyzji stwierdzającej odpowiedni stopień ochrony, administrator może przekazać dane osobowe do państwa trzeciego „wyłącznie, gdy [zapewni] odpowiednie zabezpieczenia, i pod warunkiem, że obowiązują egzekwowalne prawa osób, których dane dotyczą, i skuteczne środki ochrony prawnej” (wyróżnienie moje) ( 43 ). Zgodnie z art. 46 ust. 2 lit. c) RODO zabezpieczenia te mogą wynikać między innymi ze standardowych klauzul ochrony danych opracowanych przez Komisję.

115. Podobnie jak DPC, M. Schrems i Irlandia uważam, że zapewniane przez administratora „odpowiednie zabezpieczenia”, o których mowa w art. 46 ust. 1 RODO, powinny gwarantować, że prawa przysługujące osobom, których dane są przekazywane korzystają (podobnie jak w przypadku przekazywania na podstawie decyzji stwierdzającej odpowiedni stopień ochrony) z poziomu ochrony równoważnego pod względem merytorycznym z tym, który wynika z RODO interpretowanego w świetle karty.

116. Powyższy wniosek wynika z celu, jakiemu służy ten przepis, oraz z aktu prawnego, w którym jest zawarty.

117. Artykuły 45 i 46 RODO mają na celu zapewnienie ciągłości stopnia ochrony danych osobowych gwarantowanego przez to rozporządzenie, w sytuacji gdy dane te są przekazywane poza Unię. Artykuł 44 RODO zatytułowany „Ogólna zasada przekazywania” otwiera bowiem rozdział V dotyczący przekazywania danych osobowych do państw trzecich i stanowi, że wszystkie przepisy tego rozdziału należy stosować z myślą o zapewnieniu, by w sytuacji, gdy dane osobowe są przekazywane do państwa trzeciego, nie został naruszony stopień ochrony osób fizycznych zagwarantowany w RODO ( 44 ). Zasada ta ma na celu uniknięcie sytuacji, w której standardy ochrony wynikające z prawa Unii byłyby obchodzone poprzez przekazanie danych osobowych do państwa trzeciego w celu ich przetwarzania w tym państwie ( 45 ). Mając na uwadze ów cel obojętne jest, czy przekazywanie danych odbywa się na podstawie decyzji stwierdzającej odpowiedni stopień ochrony, czy na podstawie zabezpieczeń zapewnianych przez administratora, w szczególności poprzez klauzule umowne. Wymogi ochrony praw podstawowych gwarantowanych w karcie nie różnią się w zależności od podstawy prawnej, na jakiej opiera się określone przekazywanie danych ( 46 ).

118. Natomiast sposoby zapewnienia ciągłości wysokiego stopnia ochrony różnią się w zależności od podstawy prawnej przekazywania danych.

119. Po pierwsze, przedmiotem decyzji stwierdzającej odpowiedni stopień ochrony jest stwierdzenie, że dane państwo trzecie samodzielnie zapewnia stopień ochrony równoważny pod względem merytorycznym z tym, którego osiągnięcia wymaga prawo Unii. Przyjęcie decyzji stwierdzającej odpowiedni stopień ochrony winno być poprzedzone dokonaniem przez Komisję, w odniesieniu do określonego państwa trzeciego, oceny stopnia ochrony zapewnianego przez prawo i praktyki stosowane w tym państwie trzecim w świetle czynników wymienionych w art. 45 ust. 3 RODO. W takim przypadku dane osobowe mogą być przekazane do tego państwa trzeciego bez konieczności uzyskiwania przez administratora specjalnego zezwolenia.

120. Po drugie (co zostanie omówione dokładniej w następnej części niniejszej opinii), oferowane przez administratora odpowiednie zabezpieczenia służą zapewnieniu wysokiego stopnia ochrony na wypadek, gdyby zabezpieczenia dostępne w docelowym państwie trzecim były niewystarczające. Chociaż więc w art. 46 ust. 1 RODO przewidziana została możliwość przekazywania danych osobowych do państw trzecich, które nie zapewniają odpowiedniego stopnia ochrony, to przepis ten zezwala na takie przekazywanie wyłącznie wtedy, gdy odpowiednie zabezpieczenia są zapewnione przy pomocy innych środków. Przyjęte przez Komisję standardowe klauzule umowne stanowią w związku z tym ogólny mechanizm mający zastosowanie do przekazywania danych niezależnie od tego, jakie państwo trzecie jest państwem docelowym ani od tego, jaki stopień ochrony jest w nim zapewniany.

E. W przedmiocie ważności decyzji 2010/87 w świetle art. 7, 8 i 47 karty (pytania siódme, ósme i jedenaste)

121. Poprzez pytanie siódme sąd odsyłający zwraca się w istocie do Trybunału o ustalenie, czy decyzja 2010/87 jest nieważna, gdyż nie wiąże organów władzy państw trzecich, do których przekazywane są dane osobowe na podstawie standardowych klauzul umownych przewidzianych w załączniku do tej decyzji, a w szczególności nie stoi ona na przeszkodzie nałożeniu na podmiot odbierający dane wymogu przekazania tych danych do dyspozycji tych organów. Pytanie to poddaje zatem w wątpliwość samą możliwość zapewnienia odpowiedniego stopnia ochrony takich danych przy pomocy mechanizmu o wyłącznie kontraktowym charakterze. Pytanie jedenaste odnosi się ogólnie do ważności decyzji 2010/87 w świetle art. 7, 8 i 47 karty.

122. W ramach pytania ósmego zadaniem Trybunału jest ustalenie, czy organ nadzorczy ma obowiązek skorzystania z uprawnień powierzonych mu na mocy art. 58 ust. 2 lit. f) i j) RODO i zawiesić przekazywanie danych do państwa trzeciego oparte na standardowych klauzulach umownych przewidzianych w decyzji 2010/87, gdy uzna, że na podmiot odbierający dane podlega w tym państwie nałożone zostały obowiązki, które uniemożliwiają mu przestrzeganie tych klauzul i które skutkują brakiem zapewnienia odpowiedniej ochrony przekazanych danych osobowych. Ponieważ, moim zdaniem, odpowiedź na to pytanie ma wpływ na ważność decyzji 2010/87 ( 47 ), przeanalizuję je łącznie z pytaniami siódmym i jedenastym.

123. Treść art. 46 ust. 1 RODO, zgodnie z którym „[w] razie braku decyzji na mocy art. 45 ust. 3 administrator lub podmiot przetwarzający mogą przekazać dane osobowe do państwa trzeciego […] wyłącznie gdy zapewnią odpowiednie zabezpieczenia” (wyróżnienie moje), stanowi wyraz logiki leżącej u podstaw mechanizmów kontraktowych, takich jak ten przewidziany w decyzji 2010/87. Jak podkreślono w motywach 108 i 114 RODO, mechanizmy te mają na celu umożliwienie przekazywania danych do państw trzecich, w stosunku do których Komisja nie przyjęła decyzji stwierdzającej odpowiedni stopień ochrony, w taki sposób, że ewentualne braki ochrony zapewnianej w porządku prawnym tego państwa trzeciego są rekompensowane poprzez zabezpieczenia, które podmiot przekazujący dane i podmiot odbierający zobowiązują się zapewnić na podstawie umowy.

124. Skoro więc celem zabezpieczeń o charakterze kontraktowym jest właśnie uzupełnienie możliwych braków w ochronie zapewnianej przez docelowe państwa trzecie (jakiekolwiek by one nie były), ważność decyzji, w której Komisja stwierdza, że pewne standardowe klauzule w odpowiedni sposób uzupełniają te braki, nie może zależeć od stopnia ochrony, jaki zapewniają poszczególne państwa trzecie, do których mogłyby być przekazane dane osobowe. Ważność takiej decyzji zależy wyłącznie od skuteczności zabezpieczeń ustanowionych poprzez te klauzule w celu zrekompensowania ewentualnych braków ochrony w docelowym państwie trzecim. Skuteczność tych zabezpieczeń należy oceniać uwzględniając również ochronę, jaką dają uprawnienia organów nadzorczych, wynikające z art. 58 ust. 2 RODO.

125. W związku z tym, jak zauważyli zasadniczo DPC, M. Schrems, BSA, Irlandia, rządy austriacki, francuski, polski i portugalski oraz Komisja, z