No que diz respeito ao poder de controlar as transferências de dados pessoais para os países terceiros, é certo que decorre do artigo 28.o, n.os 1 e 6, da Diretiva 95/46 que os poderes das autoridades nacionais de controlo respeitam aos tratamentos de dados pessoais efetuados no território do Estado‑Membro dessas autoridades, pelo que não dispõem de poderes, ao abrigo deste artigo 28.o, relativamente aos tratamentos de tais dados efetuados no território de um país terceiro. Porém, a transferência de dados pessoais de um Estado‑Membro para um país terceiro constitui, enquanto tal, um tratamento de dados pessoais na aceção do artigo 2.o, alínea b), da Diretiva 95/46, efetuado no território de um Estado‑Membro. Por conseguinte, uma vez que as autoridades nacionais de controlo estão encarregadas, nos termos do artigo 8.o, n.o 3, da Carta dos Direitos Fundamentais da União Europeia e do artigo 28.o da Diretiva 95/46, da fiscalização do cumprimento das regras da União relativas à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais, cada uma delas tem, portanto, competência para verificar se uma transferência de dados pessoais do Estado‑Membro dessa autoridade para um país terceiro respeita os requisitos estabelecidos por esta diretiva.

As autoridades nacionais de controlo dispõem de um amplo leque de poderes, enumerados de forma não exaustiva no artigo 28.o, n.o 3, da Diretiva 95/46, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, que constituem os meios necessários para a realização das suas funções, como sublinha o considerando 63 desta diretiva. Assim, as referidas autoridades gozam, nomeadamente, de poderes de inquérito, tais como recolher todas as informações necessárias ao desempenho das suas funções de controlo, de poderes efetivos de intervenção, tais como proibir temporária ou definitivamente um tratamento de dados, ou, ainda, do poder de intervir em processos judiciais.

A Comissão pode, com base no artigo 25.o, n.o 6, da Diretiva 95/46, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, adotar uma decisão que constate que um país terceiro assegura um nível de proteção adequado. Nos termos do segundo parágrafo desta disposição, tal decisão tem como destinatários os Estados‑Membros, os quais devem tomar as medidas necessárias para lhe dar cumprimento. Por força do artigo 288.o, quarto parágrafo, TFUE, a referida decisão possui caráter obrigatório para todos os Estados‑Membros destinatários e impõe‑se, portanto, a todos os seus órgãos, na medida em que tem por efeito autorizar transferências de dados pessoais dos Estados‑Membros para o país terceiro visado pela mesma.

Assim, enquanto a decisão da Comissão não for declarada inválida pelo Tribunal de Justiça, o Tribunal de Justiça é o único competente para declarar a invalidade de um ato da União, os Estados‑Membros e os seus órgãos, entre os quais se encontram as autoridades de controlo independentes, não podem adotar medidas contrárias a essa decisão, tais como atos destinados a constatar, com efeitos vinculativos, que o país terceiro visado pela referida decisão não assegura um nível de proteção adequado. Com efeito, os atos das instituições da União gozam, em princípio, de uma presunção de legalidade e produzem, portanto, efeitos jurídicos enquanto não forem revogados, anulados no âmbito de um recurso de anulação ou declarados inválidos na sequência de um pedido prejudicial ou de uma questão prévia de ilegalidade.

Embora possam apreciar a validade de um ato da União, como uma decisão da Comissão adotada nos termos do artigo 25.o, n.o 6, da Diretiva 95/46, os órgãos jurisdicionais nacionais não têm, todavia, competência para declarar, eles próprios, a invalidade de tal ato. Por maioria de razão, ao examinarem um pedido, na aceção do artigo 28.o, n.o 4, desta diretiva, relativo à compatibilidade de uma decisão da Comissão adotada nos termos do artigo 25.o, n.o 6, da referida diretiva com a proteção da vida privada e das liberdades e direitos fundamentais das pessoas, as autoridades nacionais de controlo não têm o direito de declarar, elas próprias, a invalidade de tal decisão.

Na hipótese de a referida autoridade chegar à conclusão de que os elementos apresentados em apoio desse pedido são infundados e, por essa razão, o arquivar, a pessoa que o apresentou deve, como resulta do artigo 28.o, n.o 3, segundo parágrafo, da Diretiva 95/46, lido à luz do artigo 47.o da Carta dos Direitos Fundamentais da União Europeia, ter acesso às vias de recurso jurisdicionais que lhe permitam impugnar essa decisão que lhe é desfavorável perante os órgãos jurisdicionais nacionais. Nestas condições, esses órgãos jurisdicionais nacionais são obrigados a suspender a instância e a apresentar ao Tribunal de Justiça um pedido de decisão prejudicial de apreciação da validade, quando considerem que um ou vários dos fundamentos de invalidade invocados pelas partes ou, sendo caso disso, suscitados oficiosamente, são procedentes.

Na hipótese contrária, em que considere fundadas as críticas apresentadas pela pessoa que lhe apresentou um pedido relativo à proteção dos seus direitos e liberdades no que diz respeito ao tratamento dos seus dados pessoais, a referida autoridade deve, nos termos do artigo 28.o, n.o 3, primeiro parágrafo, terceiro travessão, da Diretiva 95/46, lido à luz, nomeadamente, do artigo 8.o, n.o 3, da Carta dos Direitos Fundamentais da União Europeia, poder intervir num processo judicial. A este respeito, incumbe ao legislador nacional prever vias de recurso que permitam à autoridade nacional de controlo em causa invocar as críticas que considera fundadas perante os órgãos jurisdicionais nacionais, para que estes últimos, caso partilhem das dúvidas dessa autoridade quanto à validade da decisão da Comissão, procedam a um reenvio prejudicial para efeitos da apreciação da validade dessa decisão.

(cf. n.os 51, 52, 61, 62, 64, 65)