CONCLUSÕES DO ADVOGADO‑GERAL

HENRIK SAUGMANDSGAARD ØE

apresentadas em 19 de dezembro de 2019 ( 1 )

Processo C‑311/18

Data Protection Commissioner

contra

Facebook Ireland Limited,

Maximillian Schrems,

sendo intervenientes:

The United States of America,

Electronic Privacy Information Centre,

BSA Business Software Alliance, Inc.,

Digitaleurope

[pedido de decisão prejudicial apresentado pela High Court (Tribunal Superior, Irlanda)]

«Reenvio prejudicial — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento (UE) 2016/679 — Artigo 2.o, n.o 2 — Âmbito de aplicação — Transferência de dados pessoais para fins comerciais para os Estados Unidos — Tratamento pelas autoridades públicas dos Estados Unidos, para efeitos de segurança nacional, dos dados transferidos — Artigo 45.o — Apreciação da adequação do nível de proteção num país terceiro — Artigo 46.o — Garantias adequadas oferecidas pelo responsável pelo tratamento — Cláusulas‑tipo de proteção — Artigo 58.o, n.o 2 — Poderes das autoridades nacionais de controlo — Decisão 2010/87/UE — Validade — Decisão (UE) 2016/1250 — “Escudo de Proteção da Privacidade UE‑EUA” — Validade — Artigos 7.o, 8.o e 47.o da Carta dos Direitos Fundamentais da União Europeia»

Índice

I. Introdução II. Quadro jurídico A. Diretiva 95/46 B. RGPD C. Decisão 2010/87 D. Decisão «Escudo de Proteção da Privacidade» III. Litígio no processo principal, questões prejudiciais e tramitação processual no Tribunal de Justiça IV. Análise A. Considerações preliminares B. Quanto à admissibilidade do reenvio prejudicial 1. Quanto à aplicabilidade ratione temporis da Diretiva 95/46 2. Quanto ao caráter provisório das dúvidas expressas pelo DPC 3. Quanto às incertezas que rodeiam a definição do quadro factual C. Quanto à aplicabilidade do direito da União às transferências de dados pessoais para fins comerciais para um Estado terceiro suscetível de os tratar para fins de segurança nacional (primeira questão) D. Quanto ao nível de proteção exigido no âmbito de uma transferência baseada em cláusulas contratuais‑tipo (primeira parte da sexta questão) E. Quanto à validade da Decisão 2010/87 à luz dos artigos 7.o, 8.o e 47.o da Carta (sétima, oitava e décima primeira questões) 1. Quanto às obrigações que incumbem aos responsáveis pelo tratamento 2. Quanto às obrigações das autoridades de controlo F. Quanto ao caráter desnecessário das outras questões prejudiciais e do exame da validade da Decisão «Escudo de Proteção da Privacidade» 1. Quanto ao caráter desnecessário das respostas do Tribunal de Justiça em relação ao objeto do processo principal 2. Quanto às razões que se opõem a um exame pelo Tribunal de Justiça à luz do objeto do processo pendente no DPC G. Observações subsidiárias relativas aos efeitos e à validade da Decisão «Escudo de Proteção da Privacidade» 1. Quanto ao impacto da Decisão «Escudo de Proteção da Privacidade» no âmbito do tratamento, por uma autoridade de controlo, de uma queixa relativa à legalidade de uma transferência baseada em garantias contratuais 2. Quanto à validade da Decisão «Escudo de Proteção da Privacidade a) Esclarecimentos relativos ao conteúdo do exame da validade de uma decisão de adequação 1) Quanto aos termos da comparação que permitem avaliar a «equivalência substancial» do nível de proteção 2) Quanto à necessidade de assegurar um nível adequado de proteção durante a fase de trânsito de dados 3) Quanto à tomada em consideração das conclusões factuais da Comissão e do órgão jurisdicional de reenvio no que respeita ao direito dos Estados Unidos 4) Quanto ao alcance do padrão da «equivalência substancial» b) Quanto à validade da Decisão «Escudo de Proteção da Privacidade» no que se refere aos direitos ao respeito pela vida privada e à proteção dos dados pessoais 1) Quanto à existência de ingerências 2) Quanto à previsão por lei das ingerências 3) Quanto à inexistência de violação do conteúdo essencial dos direitos fundamentais 4) Quanto à prossecução de um objetivo legítimo 5) Quanto à necessidade e à proporcionalidade das ingerências c) Quanto à validade da Decisão «Escudo de Proteção da Privacidade» relativamente ao direito à ação 1) Quanto à efetividade das vias de recurso judiciais previstas pelo direito americano 2) Quanto ao impacto do mecanismo de mediação no nível de proteção do direito a uma via de recurso efetiva V. Conclusão

I. Introdução

1. Na falta de garantias comuns em matéria de proteção dos dados pessoais a nível mundial, os fluxos transfronteiriços desses dados são acompanhados de um risco de quebra na continuidade do nível de proteção assegurado na União Europeia. Preocupado em facilitar esses fluxos, limitando simultaneamente este risco, o legislador da União criou três mecanismos ao abrigo dos quais os dados pessoais podem ser transferidos da União para um país terceiro.

2. Em primeiro lugar, essa transferência pode ser operada com fundamento numa decisão em que a Comissão declare que o Estado terceiro em causa assegura um «nível de proteção adequado» dos dados para o qual são transferidos ( 2 ). Em segundo lugar, na falta dessa decisão, a transferência é autorizada quando for acompanhada de «garantias adequadas» ( 3 ). Essas garantias podem assumir a forma de um contrato entre o exportador e o importador dos dados que integre cláusulas‑tipo de proteção adotadas pela Comissão. O RGPD prevê, em terceiro lugar, determinadas derrogações, baseadas, nomeadamente, no consentimento do titular dos dados, que permitem a transferência para um país terceiro mesmo na falta de uma decisão de adequação ou de garantias adequadas ( 4 ).

3. O pedido de decisão prejudicial apresentado pela High Court (Tribunal Superior, Irlanda) diz respeito ao segundo destes mecanismos. Mais especificamente, diz respeito à validade da Decisão 2010/87/UE ( 5 ), através da qual a Comissão estabeleceu cláusulas contratuais‑tipo para certas categorias de transferências, ao abrigo dos artigos 7.o, 8.o e 47.o da Carta dos Direitos Fundamentais da União Europeia (a seguir «Carta»).

4. Este pedido foi apresentado no contexto de um litígio que opõe o Data Protection Commissioner (Comissário para a Proteção de Dados, Irlanda, a seguir «DPC») à Facebook Ireland Ltd e a M. Schrems relativamente a uma queixa, apresentada por este último, sobre a transferência dos seus dados pessoais pela Facebook Ireland para a Facebook Inc., a sua sociedade‑mãe, com sede nos Estados Unidos da América (a seguir «Estados Unidos»). O DPC considera que o tratamento desta queixa depende da questão de saber se a Decisão 2010/87 é válida. Neste contexto, ele pediu ao órgão jurisdicional de reenvio que interrogasse o Tribunal de Justiça a esse respeito.

5. Antes de mais, refiro que a análise das questões prejudiciais não revelou, na minha opinião, nenhum facto suscetível de afetar a validade da Decisão 2010/87.

6. Por outro lado, o órgão jurisdicional de reenvio salientou algumas dúvidas a respeito, em substância, da adequação do nível de proteção assegurado pelos Estados Unidos em relação às ingerências das autoridades de informação americanas no exercício dos direitos fundamentais das pessoas cujos dados são transferidos para este país terceiro. Essas dúvidas põem indiretamente em causa as apreciações efetuadas pela Comissão a este respeito na Decisão de Execução (UE) 2016/1250 ( 6 ). Embora a resolução do litígio no processo principal não necessite que o Tribunal de Justiça se pronuncie sobre esta questão e lhe sugira, portanto, que se abstenha de o fazer, explicarei, a título subsidiário, as razões que me levam a interrogar‑me acerca da validade desta decisão.

7. Toda a minha análise será orientada para a procura de um equilíbrio entre, por um lado, a necessidade de demonstrar um «nível razoável de pragmatismo para permitir a interação com o resto do mundo» ( 7 ), e, por outro, a de afirmar os valores fundamentais reconhecidos nas ordens jurídicas da União e dos seus Estados‑Membros, especialmente pela Carta.

II. Quadro jurídico

A. Diretiva 95/46

8. O artigo 3.o, n.o 2, da Diretiva 95/46/CE, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados ( 8 ), dispunha: «A presente diretiva não se aplica ao tratamento de dados pessoais: – efetuado no exercício de atividades não sujeitas à aplicação do direito comunitário, tais como as previstas nos títulos V e VI do Tratado da União Europeia, e, em qualquer caso, ao tratamento de dados que tenha como objeto a segurança pública, a defesa, a segurança do Estado (incluindo o bem‑estar económico do Estado quando esse tratamento disser respeito a questões de segurança do Estado), e as atividades do Estado no domínio do direito penal, […]»

9. O artigo 13.o, n.o 1, desta diretiva tinha a seguinte redação: «Os Estados‑Membros podem tomar medidas legislativas destinadas a restringir o alcance das obrigações e direitos referidos no n.o 1 do artigo 6.o, no artigo 10.o, no n.o 1 do artigo 11.o e nos artigos 12.o e 21.o, sempre que tal restrição constitua uma medida necessária à proteção: a) Da segurança do Estado; b) Da defesa; c) Da segurança pública; d) Da prevenção, investigação, deteção e repressão de infrações penais e de violações da deontologia das profissões regulamentadas; e) De um interesse económico ou financeiro importante de um Estado‑Membro ou da União Europeia, incluindo nos domínios monetário, orçamental ou fiscal; f) De missões de controlo, de inspeção ou de regulamentação associadas, ainda que ocasionalmente, ao exercício da autoridade pública, nos casos referidos nas alíneas c), d) e); g) De pessoa em causa ou dos direitos e liberdades de outrem.»

10. O artigo 25.o da referida diretiva enunciava: «1. Os Estados‑Membros estabelecerão que a transferência para um país terceiro de dados pessoais objeto de tratamento, ou que se destinem a ser objeto de tratamento após a sua transferência, só pode realizar‑se se, sob reserva da observância das disposições nacionais adotadas nos termos das outras disposições da presente Diretiva, o país terceiro em questão assegurar um nível de proteção adequado. 2. A adequação do nível de proteção oferecido por um país terceiro será apreciada em função de todas as circunstâncias que rodeiem a transferência ou o conjunto de transferências de dados; em especial, serão tidas em consideração a natureza dos dados, a finalidade e a duração do tratamento ou tratamentos projetados, os países de origem e de destino final, as regras de direito, gerais ou setoriais, em vigor no país terceiro em causa, bem como as regras profissionais e as medidas de segurança que são respeitadas nesse país. […] 6. A Comissão pode constatar, nos termos do procedimento previsto no n.o 2 do artigo 31.o, que um país terceiro assegura um nível de proteção adequado na aceção do n.o 2 do presente artigo em virtude da sua legislação interna ou dos seus compromissos internacionais, subscritos nomeadamente na sequência das negociações referidas no n.o 5, com vista à proteção do direito à vida privada e das liberdades e direitos fundamentais das pessoas. 7. Os Estados‑Membros tomarão as medidas necessárias para dar cumprimento à decisão da Comissão.»

11. O artigo 26.o, n.os 2 e 4, da mesma diretiva previa: «2. Sem prejuízo do n.o 1, um Estado‑Membro pode autorizar uma transferência ou um conjunto de transferências de dados pessoais para um país terceiro que não assegura um nível de proteção adequado na aceção do n.o 2 do artigo 25.o, desde que o responsável pelo tratamento apresente garantias suficientes de proteção da vida privada e dos direitos e liberdades fundamentais das pessoas, assim como do exercício dos respetivos direitos; essas garantias podem, designadamente, resultar de cláusulas contratuais adequadas. […] 4. Sempre que a Comissão decidir […] que certas cláusulas contratuais‑tipo oferecem as garantias suficientes referidas no n.o 2, os Estados‑Membros tomarão as medidas necessárias para dar cumprimento à decisão da Comissão.»

12. O artigo 28.o, n.o 3, da Diretiva 95/46 estava formulado nos seguintes termos: «Cada autoridade do controlo disporá, nomeadamente: […] – de poderes efetivos de intervenção, tais como, por exemplo, o de emitir pareceres previamente à execução adequada desses pareceres, o de ordenar o bloqueio, o apagamento ou a destruição dos dados, o de proibir temporária ou definitivamente o tratamento, o de dirigir uma advertência ou uma censura ao responsável pelo tratamento ou o de remeter a questão para os parlamentos nacionais ou para outras instituições políticas, – […]»

B. RGPD

13. Nos termos do seu artigo 94.o, n.o 1, o RGPD revogou a Diretiva 95/46 com efeitos a partir de 25 de maio de 2018, data em que o referido regulamento entrou em vigor em conformidade com o seu artigo 99.o, n.o 2.

14. O artigo 2.o, n.o 2, do referido regulamento dispõe: «O presente regulamento não se aplica ao tratamento de dados pessoais; a) Efetuado no exercício de atividades não sujeitas à aplicação do direito da União; b) Efetuado pelos Estados‑Membros no exercício de atividades abrangidas pelo âmbito de aplicação do título V, capítulo 2, do TUE; […] d) Efetuado pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública.»

15. O artigo 4.o, ponto 2, do mesmo regulamento define «tratamento» como «uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição».

16. O artigo 23.o do RGPD prevê: «1. O direito da União ou dos Estados‑Membros a que estejam sujeitos o responsável pelo tratamento ou o seu subcontratante pode limitar por medida legislativa o alcance das obrigações e dos direitos previstos nos artigos 12.o a 22.o e no artigo 34.o, bem como no artigo 5.o, na medida em que tais disposições correspondam aos direitos e obrigações previstos nos artigos 12.o a 22.o, desde que tal limitação respeite a essência dos direitos e liberdades fundamentais e constitua uma medida necessária e proporcionada numa sociedade democrática para assegurar, designadamente: a) A segurança do Estado; b) A defesa; c) A segurança pública; d) A prevenção, investigação, deteção ou repressão de infrações penais, ou a execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública; e) Outros objetivos importantes do interesse público geral da União ou de um Estado‑Membro, nomeadamente um interesse económico ou financeiro importante da União ou de um Estado‑Membro […]; […] 2. Em especial, as medidas legislativas referidas no n.o 1 incluem, quando for relevante, disposições explícitas relativas, pelo menos: a) Às finalidades do tratamento ou às diferentes categorias de tratamento; b) Às categorias de dados pessoais; c) Ao alcance das limitações impostas; d) Às garantias para evitar o abuso ou o acesso ou transferência ilícitos; e) À especificação do responsável pelo tratamento ou às categorias de responsáveis pelo tratamento; f) Aos prazos de conservação e às garantias aplicáveis, tendo em conta a natureza, o âmbito e os objetivos do tratamento ou das categorias de tratamento; g) Aos riscos específicos para os direitos e liberdades dos titulares dos dados; e h) Ao direito dos titulares dos dados a serem informados da limitação, a menos que tal possa prejudicar o objetivo da limitação.»

17. O artigo 44.o deste regulamento, com a epígrafe «Princípio geral das transferências», enuncia: «Qualquer transferência de dados pessoais que sejam ou venham a ser objeto de tratamento após transferência para um país terceiro ou uma organização internacional só é realizada se, sem prejuízo das outras disposições do presente regulamento, as condições estabelecidas no presente capítulo forem respeitadas pelo responsável pelo tratamento e pelo subcontratante, inclusivamente no que diz respeito às transferências ulteriores de dados pessoais do país terceiro ou da organização internacional para outro país terceiro ou outra organização internacional. Todas as disposições do presente capítulo são aplicadas de forma a assegurar que não é comprometido o nível de proteção das pessoas singulares garantido pelo presente regulamento.»

18. Em conformidade com o artigo 45.o do referido regulamento, com a epígrafe «Transferências com base numa decisão de adequação»: «1. Pode ser realizada uma transferência de dados pessoais para um país terceiro ou uma organização internacional se a Comissão tiver decidido que o país terceiro, um território ou um ou mais setores específicos desse país terceiro, ou a organização internacional em causa, assegura um nível de proteção adequado. Esta transferência não exige autorização específica. 2. Ao avaliar a adequação do nível de proteção, a Comissão tem nomeadamente em conta os seguintes elementos: a) O primado do Estado de direito, o respeito pelos direitos humanos e liberdades fundamentais, a legislação pertinente em vigor, tanto a geral como a setorial, nomeadamente em matéria de segurança pública, defesa, segurança nacional e direito penal, e respeitante ao acesso das autoridades públicas a dados pessoais, bem como a aplicação dessa legislação e das regras de proteção de dados, das regras profissionais e das medidas de segurança, incluindo as regras para a transferência ulterior de dados pessoais para outro país terceiro ou organização internacional, que são cumpridas nesse país ou por essa organização internacional, e a jurisprudência, bem como os direitos dos titulares dos dados efetivos e oponíveis, e vias de recurso administrativo e judicial para os titulares de dados cujos dados pessoais sejam objeto de transferência; b) A existência e o efetivo funcionamento de uma ou mais autoridades de controlo independentes no país terceiro ou às quais esteja sujeita uma organização internacional, responsáveis por assegurar e impor o cumprimento das regras de proteção de dados, e dotadas de poderes coercitivos adequados para assistir e aconselhar os titulares dos dados no exercício dos seus direitos, e cooperar com as autoridades de controlo dos Estados‑Membros; e c) Os compromissos internacionais assumidos pelo país terceiro ou pela organização internacional em causa, ou outras obrigações decorrentes de convenções ou instrumentos juridicamente vinculativos, bem como da sua participação em sistemas multilaterais ou regionais, em especial em relação à proteção de dados pessoais. 3. Após avaliar a adequação do nível de proteção, a Comissão pode decidir, através de um ato de execução, que um país terceiro, um território ou um ou mais setores específicos de um país terceiro, ou uma organização internacional, garante um nível de proteção adequado na aceção do n.o 2 do presente artigo. O ato de execução prevê um procedimento de avaliação periódica, no mínimo de quatro em quatro anos, que deverá ter em conta todos os desenvolvimentos pertinentes no país terceiro ou na organização internacional. […] 4. A Comissão controla, de forma continuada, os desenvolvimentos nos países terceiros e nas organizações internacionais que possam afetar o funcionamento das decisões adotadas nos termos do n.o 3 do presente artigo e das decisões adotadas com base no artigo 25.o, n.o 6, da [Diretiva 95/46]. 5. A Comissão, sempre que a informação disponível revelar, nomeadamente na sequência da revisão a que se refere o n.o 3 do presente artigo, que um país terceiro, um território ou um ou mais setores específicos de um país terceiro, ou uma organização internacional, deixou de assegurar um nível de proteção adequado na aceção do n.o 2 do presente artigo, na medida do necessário, revoga, altera ou suspende a decisão referida no n.o 3 do presente artigo, através de atos de execução, sem efeitos retroativos. […] 6. A Comissão inicia consultas com o país terceiro ou a organização internacional com vista a corrigir a situação que tiver dado origem à decisão tomada nos termos do n.o 5. […] 9. As decisões adotadas pela Comissão com base no artigo 25.o, n.o 6, da [Diretiva 95/46] permanecem em vigor até que sejam alteradas, substituídas ou revogadas por uma decisão da Comissão adotada em conformidade com o n.o 3 ou o n.o 5 do presente artigo.»

19. O artigo 46.o do mesmo regulamento, com a epígrafe «Transferências sujeitas a garantias adequadas», está formulado nos seguintes termos: «1. Não tendo sido tomada qualquer decisão nos termos do artigo 45.o, n.o 3, os responsáveis pelo tratamento ou subcontratantes só podem transferir dados pessoais para um país terceiro ou uma organização internacional se tiverem apresentado garantias adequadas, e na condição de os titulares dos dados gozarem de direitos oponíveis e de medidas jurídicas corretivas eficazes. 2. Podem ser previstas as garantias adequadas referidas no n.o 1, sem requerer nenhuma autorização específica de uma autoridade de controlo, por meio de: […] c) Cláusulas‑tipo de proteção de dados adotadas pela Comissão pelo procedimento de exame referido no artigo 93.o, n.o 2; […] 5. As autorizações concedidas por um Estado‑Membro ou uma autoridade de controlo com base no artigo 26.o, n.o 2, da [Diretiva 95/46] continuam válidas até que a mesma autoridade de controlo as altere, substitua ou revogue, caso seja necessário. As decisões adotadas pela Comissão com base no artigo 26.o, n.o 4, da [Diretiva 95/46] permanecem em vigor até que sejam alteradas, substituídas ou revogadas, caso seja necessário, por uma decisão da Comissão adotada em conformidade com o n.o 2 do presente artigo.»

20. Nos termos do artigo 58.o, n.os 2, 4 e 5, do RGPD: «2. Cada autoridade de controlo dispõe dos seguintes poderes de correção: a) Fazer advertências ao responsável pelo tratamento ou ao subcontratante no sentido de que as operações de tratamento previstas são suscetíveis de violar as disposições do presente regulamento; b) Fazer repreensões ao responsável pelo tratamento ou ao subcontratante sempre que as operações de tratamento tiverem violado as disposições do presente regulamento; c) Ordenar ao responsável pelo tratamento ou ao subcontratante que satisfaça os pedidos de exercício de direitos apresentados pelo titular dos dados nos termos do presente regulamento; d) Ordenar ao responsável pelo tratamento ou ao subcontratante que tome medidas para que as operações de tratamento cumpram as disposições do presente regulamento e, se necessário, de uma forma específica e dentro de um prazo determinado; e) Ordenar ao responsável pelo tratamento que comunique ao titular dos dados uma violação de dados pessoais; f) Impor uma limitação temporária ou definitiva ao tratamento de dados, ou mesmo a sua proibição; […] i) Impor uma coima nos termos do artigo 83.o, para além ou em vez das medidas referidas no presente número, consoante as circunstâncias de cada caso; j) Ordenar a suspensão do envio de dados para destinatários em países terceiros ou para organizações internacionais. […] 4. O exercício dos poderes conferidos à autoridade de controlo nos termos do presente artigo está sujeito a garantias adequadas, que incluem o direito à ação judicial efetiva e a um processo equitativo, previstas no direito da União e dos Estados‑Membros, em conformidade com a Carta. 5. Os Estados‑Membros estabelecem por lei que as suas autoridades de controlo estão habilitadas a levar as violações do presente regulamento ao conhecimento das autoridades judiciais e, se necessário, a intentar ou de outro modo intervir em processos judiciais, a fim de fazer aplicar as disposições do presente regulamento.»

C. Decisão 2010/87

21. O artigo 26.o, n.o 4, da Diretiva 95/46 deu lugar à adoção pela Comissão de três decisões nas quais declarou que as cláusulas contratuais‑tipo aí previstas oferecem garantias suficientes em relação à proteção da vida privada e das liberdades e dos direitos fundamentais das pessoas, bem como ao exercício dos direitos correspondentes (a seguir «Decisões CCT») ( 9 ).

22. Entre estas figura a Decisão 2010/87, cujo artigo 1.o prevê que «[se considera] que as cláusulas contratuais‑tipo constantes do anexo oferecem garantias adequadas de proteção da vida privada e dos direitos e liberdades fundamentais das pessoas, assim como do exercício dos respetivos direitos, tal como exigido no artigo 26.o, n.o 2, da [Diretiva 95/46]».

23. Nos termos do artigo 3.o desta decisão: «Para efeitos do disposto na presente decisão, entende‑se por: […] c) “Exportador de dados”, o responsável pelo tratamento que transfere dados pessoais; d) “Importador de dados”, o subcontratante estabelecido num país terceiro que concorda em receber, do exportador de dados, dados pessoais para serem tratados por conta deste depois da transferência, em conformidade com as suas instruções e nos termos da presente decisão, e que não está sujeito a um sistema de um país terceiro que assegure uma proteção adequada, na aceção do artigo 25.o, n.o 1, da [Diretiva 95/46]; […] f) “Legislação sobre proteção de dados aplicável”, a legislação que protege os direitos e as liberdades fundamentais das pessoas e, em especial, o seu direito à proteção da vida privada no que diz respeito ao tratamento dos seus dados pessoais, aplicável a um responsável pelo tratamento dos dados no Estado‑Membro em que o exportador de dados está estabelecido; […]»

24. Na sua versão inicial, o artigo 4.o da referida decisão previa, no seu n.o 1: «Sem prejuízo das suas competências para tomar medidas que garantam o cumprimento das disposições nacionais adotadas por força dos capítulos II, III, V e VI da [Diretiva 95/46], as autoridades competentes dos Estados‑Membros podem exercer as suas competências para proibir ou suspender o fluxo de dados para países terceiros, de forma a proteger as pessoas no que diz respeito ao tratamento dos seus dados pessoais, nos casos em que: a) Esteja comprovado que a legislação a que o importador de dados ou um subcontratante ulterior está sujeito lhe impõe requisitos que lhe permitem derrogar à legislação sobre proteção de dados aplicável e que ultrapassam as restrições necessárias numa sociedade democrática, tal como previsto no artigo 13.o da [Diretiva 95/46] sempre que estes requisitos possam ter um efeito adverso substancial nas garantias fornecidas pela legislação sobre proteção de dados aplicável e pelas cláusulas contratuais‑tipo; b) Seja determinado, por uma entidade competente, que o importador de dados ou um subcontratante ulterior não respeitou as cláusulas contratuais‑tipo constantes do anexo; ou c) Existam fortes probabilidades de as cláusulas contratuais‑tipo constantes do anexo não estarem a ser ou não virem a ser cumpridas e de a continuação da transferência dos dados poder causar graves prejuízos aos titulares dos dados.»

25. Na sua versão atual, tal como resulta da alteração da Decisão 2010/87 pela Decisão de Execução (UE) 2016/2297 ( 10 ), o artigo 4.o da Decisão 2010/87 enuncia que «[s]empre que as autoridades competentes dos Estados‑Membros exerçam os seus poderes nos termos do artigo 28.o, n.o 3, da [Diretiva 95/46], conduzindo assim à suspensão ou proibição definitiva dos fluxos de dados para países terceiros a fim de proteger pessoas singulares no que respeita ao tratamento dos seus dados pessoais, o Estado‑Membro em causa deve, sem demora, informar a Comissão, a qual, por sua vez, informará os outros Estados‑Membros».

26. O anexo à Decisão 2010/87 contém um conjunto de cláusulas contratuais‑tipo. Especificamente, a cláusula 3 deste anexo, com a epígrafe «Cláusula do terceiro beneficiário», prevê: «1. O titular dos dados pode fazer aplicar contra o exportador de dados a presente cláusula, a cláusula 4, alíneas b) a i), a cláusula 5, alíneas a) a e) e g) a j), a cláusula 6, n.os 1 e 2, a cláusula 7, a cláusula 8, n.o 2, e as cláusulas 9 a 12, na qualidade de terceiro beneficiário. 2. O titular dos dados pode fazer aplicar, contra o importador de dados a presente cláusula, a cláusula 5, alíneas a) a e) e g), as cláusulas 6 e 7, a cláusula 8, n.o 2, e as cláusulas 9 a 12, em caso de desaparecimento de facto ou de extinção legal do exportador de dados, a menos que qualquer entidade sucessora tenha assumido a totalidade das obrigações legais do exportador de dados mediante contrato ou por força da lei, e consequentemente assuma os direitos e obrigações do exportador de dados, podendo nesse caso o titular dos dados invocá‑los contra tal entidade. […]»

27. A cláusula 4 do referido anexo, com a epígrafe «Obrigações do exportador de dados», dispõe: «O exportador de dados acorda e garante: a) Que o tratamento dos dados pessoais, incluindo a própria transferência, foi e continuará a ser feito de acordo com as disposições pertinentes da legislação sobre proteção de dados aplicável (e que, se aplicável, foi notificada às entidades competentes do Estado‑Membro em que o exportador de dados está estabelecido) e que não viola as disposições pertinentes desse Estado; b) Que deu e continuará a dar instruções ao importador de dados durante os serviços de tratamento de dados pessoais para tratar os dados pessoais transferidos apenas por conta do exportador de dados e em conformidade com a legislação sobre proteção de dados aplicável e com as cláusulas; c) Que o importador de dados oferecerá garantias suficientes em relação às medidas de segurança técnicas e organizativas especificadas no apêndice 2 do presente contrato; d) Que, depois de avaliar os requisitos da legislação sobre proteção de dados aplicável, as medidas de segurança são adequadas para proteger os dados pessoais contra a destruição acidental ou ilícita, a perda acidental, a alteração, a divulgação ou o acesso não autorizados, nomeadamente quando o tratamento implicar a sua transmissão por rede, e contra qualquer outra forma de tratamento ilícito e que estas medidas asseguram um nível de segurança adequado em relação aos riscos que o tratamento representa e à natureza dos dados a proteger, atendendo aos conhecimentos técnicos disponíveis e aos custos resultantes da sua aplicação; e) Que zelará pelo cumprimento das medidas de segurança; f) Que, se a transferência envolver categorias especiais de dados, o titular dos dados foi informado ou será informado antes ou o mais depressa possível após a transferência, de que os seus dados poderão ser transmitidos para um país terceiro que não garante um nível de proteção adequado na aceção da [Diretiva 95/46]; g) Que enviará qualquer notificação recebida do importador de dados ou de qualquer subcontratante ulterior à autoridade de controlo responsável pela proteção dos dados, nos termos da cláusula 5, alínea b), e da cláusula 8, n.o 3, se decidir continuar a transferência ou levantar a suspensão; h) Que disponibilizará aos titulares dos dados, mediante pedido, um exemplar das cláusulas, com exceção do apêndice 2, e uma descrição sumária das medidas de segurança, bem como um exemplar de qualquer contrato de serviços de subcontratação ulterior que tenha de ser celebrado em conformidade com as cláusulas, a menos que estas ou o contrato contenham informações comerciais, caso em que poderá suprimir essas informações; i) Que, em caso de subcontratação ulterior, a atividade de tratamento é realizada em conformidade com a cláusula 11 por um subcontratante que assegure pelo menos o mesmo nível de proteção dos dados pessoais e dos direitos dos titulares dos dados que o importador de dados em conformidade com as cláusulas; e j) Que zelará pelo cumprimento da cláusula 4, alíneas a) a i).»

28. A cláusula 5 prevista no mesmo anexo, com a epígrafe «Obrigações do importador de dados (1)», enuncia: «O importador de dados acorda e garante: a) Que tratará os dados pessoais exclusivamente por conta do exportador de dados e de acordo com as instruções do exportador de dados e as presentes cláusulas; se não puder cumpri‑las por qualquer motivo, concorda em informar o exportador de dados o mais rapidamente possível da sua incapacidade, caso em que o exportador de dados tem o direito de suspender a transferência de dados e/ou rescindir o contrato; b) Que não tem qualquer razão para crer que a legislação que lhe é aplicável o impede de respeitar as instruções recebidas do exportador de dados e as obrigações que lhe incumbem por força do contrato e que, no caso de haver uma alteração nesta legislação que possa ter um efeito adverso substancial nas garantias e obrigações conferidas pelas cláusulas, notificará imediatamente essa alteração ao exportador de dados, logo que dela tiver conhecimento, tendo neste caso o exportador de dados o direito de suspender a transferência de dados e/ou de rescindir o contrato; c) Que aplicou as medidas de segurança técnicas e organizativas previstas no apêndice 2 antes de tratar os dados pessoais transferidos; d) Que notificará imediatamente o exportador de dados no que respeita a: i) qualquer pedido juridicamente vinculativo de divulgação dos dados pessoais por parte de uma autoridade competente para a aplicação da lei, a não ser que exista uma proibição em contrário, como uma proibição prevista no direito penal para preservar a confidencialidade de uma investigação policial; ii) qualquer acesso acidental ou não autorizado; e iii) qualquer pedido recebido diretamente dos titulares de dados, sem responder a esse pedido, a não ser que tenha sido autorizado a fazê‑lo; e) Que responderá rápida e adequadamente a todos os pedidos de informação do exportador de dados relacionados com o tratamento por si efetuado dos dados pessoais objeto da transferência e que se submeterá aos conselhos da autoridade de controlo relativamente ao tratamento dos dados transferidos; f) Que, a pedido do exportador de dados, apresentará os seus meios de tratamento de dados para auditoria das atividades de tratamento abrangidas pelas cláusulas, que será efetuada pelo exportador de dados ou por um organismo de inspeção, composto por membros independentes que possuam as qualificações profissionais exigidas e estejam vinculados por um dever de confidencialidade, escolhido pelo exportador de dados e, se necessário, de acordo com a autoridade de controlo; […]»

29. Nos termos da nota [2], para a qual remete o título da cláusula 5 que consta do anexo da Decisão 2010/87: «Os requisitos obrigatórios da legislação nacional aplicáveis ao importador de dados que não excedam o necessário numa sociedade democrática, com base num dos interesses enunciados no artigo 13.o, n.o 1, da Diretiva [95/46], ou seja, se constituírem uma medida necessária à proteção da segurança e da defesa do Estado, da segurança pública, da prevenção, investigação, deteção e repressão de infrações penais, ou de violações da deontologia das profissões regulamentadas, de um importante interesse económico ou financeiro do Estado, ou da proteção do titular dos dados ou dos direitos e liberdades de outrem, não são contrários ao disposto nas cláusulas contratuais‑tipo. Constituem exemplos de requisitos obrigatórios que não excedem o necessário numa sociedade democrática, nomeadamente, as sanções reconhecidas internacionalmente, as obrigações de comunicação em matéria fiscal ou de comunicação no âmbito do combate ao branqueamento de capitais.»

30. A cláusula 6 deste anexo, com a epígrafe «Responsabilidade», tem a seguinte redação: «1. As partes acordam que qualquer titular dos dados que tenha sofrido danos resultantes de qualquer incumprimento das obrigações referidas nas cláusulas 3 ou 11 por qualquer parte ou subcontratante ulterior tem o direito de obter reparação do exportador de dados pelos danos sofridos. 2. Se o titular dos dados não puder intentar uma ação de reparação em conformidade com o n.o 1 contra o exportador de dados, por incumprimento pelo importador de dados ou o seu subcontratante de quaisquer das suas obrigações referidas nas cláusulas 3 e 11, devido ao desaparecimento de facto ou extinção legal ou à insolvência do exportador de dados, o importador de dados aceita que o titular dos dados lhe possa intentar uma ação como se fosse o exportador de dados, a menos que qualquer entidade sucessora tenha assumido a totalidade das obrigações legais do exportador de dados, mediante contrato ou por força da lei, caso em que o titular dos dados pode invocar os seus direitos contra essa entidade. […]»

31. A cláusula 7 enunciada no referido anexo, com a epígrafe «Mediação e jurisdição», dispõe: «1. O importador de dados acorda que se o titular dos dados invocar contra ele os direitos de terceiro beneficiário e/ou exigir uma indemnização por perdas e danos ao abrigo das cláusulas, aceita a decisão do titular dos dados de: a) Submeter o litígio a mediação de uma pessoa independente ou, quando aplicável, da autoridade de controlo; b) Submeter o litígio aos tribunais do Estado‑Membro em que o exportador de dados está estabelecido. 2. As partes acordam que a opção do titular dos dados não prejudicará os direitos materiais ou processuais do mesmo de obter reparação em conformidade com outras disposições do direito nacional ou internacional.»

32. A cláusula 9 que figura no mesmo anexo, com a epígrafe «Direito aplicável», prevê que as cláusulas contratuais‑tipo são regidas pelo direito do Estado‑Membro onde o exportador de dados está estabelecido.

D. Decisão «Escudo de Proteção da Privacidade»

33. O artigo 25.o, n.o 6, da Diretiva 95/46 serviu de base à adoção pela Comissão de duas decisões sucessivas nas quais declarou que os Estados Unidos asseguram um nível adequado de proteção dos dados pessoais transferidos para as empresas estabelecidas nos Estados Unidos que declararam aderir, através de um procedimento de autocertificação, aos princípios estabelecidos nessas decisões.

34. Numa primeira fase, a Comissão adotou a Decisão 2000/520/CE, relativa à relevância do nível de proteção assegurado pelos princípios de «porto seguro» e pelas respetivas questões mais frequentes (FAQ) publicados pelo US Department of Commerce (Ministério do Comércio dos Estados Unidos da América) ( 11 ). No Acórdão de 6 de outubro de 2015, Schrems ( 12 ), o Tribunal de Justiça declarou esta decisão inválida.

35. Na sequência desse acórdão, a Comissão adotou a Decisão «Escudo de Proteção da Privacidade».

36. O artigo 1.o desta decisão dispõe: «1. Para efeitos do artigo 25.o, n.o 2, da [Diretiva 95/46], os Estados Unidos devem assegurar um nível de proteção adequado dos dados pessoais transferidos da União para organizações dos Estados Unidos ao abrigo do Escudo de Proteção da Privacidade UE‑EUA. 2. O Escudo de Proteção da Privacidade UE‑EUA é constituído pelos princípios emitidos pelo Department of Commerce dos EUA [(Ministério do Comércio dos Estados Unidos da América)] em 7 de julho de 2016, tal como estabelecido no anexo II e nas declarações e compromissos oficiais constantes dos documentos enumerados nos anexos I e III a VII. 3. Para efeitos do n.o 1, os dados pessoais são transferidos ao abrigo do Escudo de Proteção da Privacidade UE‑EUA sempre que sejam transferidos da União para organizações nos Estados Unidos que constem da «lista do Escudo de Proteção da Privacidade», mantida e disponibilizada ao público pelo Department of Commerce dos EUA (Ministério do Comércio dos Estados Unidos da América), em conformidade com as secções I e III dos princípios estabelecidos no anexo II.»

37. O anexo III A desta decisão, com a epígrafe «Mecanismo do Mediador para o Escudo de Proteção da Privacidade UE‑EUA [r]elativamente à informação de origem eletromagnética», apenso a uma carta de John Kerry, então secretário de Estado, datada de 7 de julho de 2016, contém um memorando que descreve um novo processo de mediação por um «coordenador superior da diplomacia internacional em matéria de tecnologias da informação» (a seguir «Mediador») nomeado pelo secretário de Estado.

38. Nos termos desse memorando, este procedimento foi implementado «a fim de facilitar o tratamento dos pedidos relacionados com o acesso para efeitos de segurança nacional aos dados transmitidos da [União] para os EUA nos termos do Escudo de Proteção da Privacidade, de cláusulas contratuais‑tipo, regras vinculativas para as empresas, “derrogações” ou “possíveis derrogações futuras” através de vias estabelecidas em conformidade com a legislação e política norte‑americanas aplicáveis.»

III. Litígio no processo principal, questões prejudiciais e tramitação processual no Tribunal de Justiça

39. M. Schrems , cidadão austríaco residente na Áustria, é utilizador da rede social Facebook. Todos os utilizadores desta rede social que residem em território da União são obrigados, no momento da sua inscrição, a celebrar um contrato com a Facebook Ireland, uma filial da Facebook Inc., sedeada nos Estados Unidos. Os dados pessoais desses utilizadores são, no todo ou em parte, transferidos para servidores pertencentes à Facebook Inc. situados em território dos Estados Unidos, onde são objeto de tratamento.

40. Em 25 de junho de 2013, M. Schrems apresentou uma queixa junto do DPC na qual pedia, em substância, que a Facebook Ireland fosse proibida de transferir os seus dados pessoais para os Estados Unidos. Alegava que o direito e as práticas em vigor neste país terceiro não ofereciam uma proteção suficiente dos dados pessoais conservados no seu território contra a intrusão decorrente das atividades de vigilância exercidas pelas autoridades públicas. M. Schrems referia‑se, a este respeito, às revelações feitas por Edward Snowden sobre as atividades dos serviços de informação dos Estados Unidos, em particular da National Security Agency (NSA) (Agência Nacional de Segurança, Estados Unidos).

41. Esta queixa foi arquivada com o fundamento, nomeadamente, de que qualquer questão relativa à adequação da proteção assegurada nos Estados Unidos deve ser decidida em conformidade com a Decisão «Porto Seguro». Nessa decisão, a Comissão tinha considerado que esse país terceiro assegurava um nível adequado de proteção dos dados pessoais transferidos para as empresas situadas no seu território que tinham aderido aos princípios enunciados na referida decisão.

42. M. Schrems interpôs recurso da decisão de arquivamento da sua queixa para a High Court (Tribunal Superior). Este órgão jurisdicional considerou que, embora M. Schrems não tenha colocado formalmente em causa a validade da Decisão «Porto Seguro», a sua queixa denunciava, na realidade, a legalidade do regime instituído por essa decisão. Nestas condições, o referido órgão jurisdicional submeteu ao Tribunal de Justiça questões que visam, em substância, saber se as autoridades de proteção de dados dos Estados‑Membros (a seguir «autoridades de controlo»), quando chamadas a pronunciarem‑se sobre uma queixa relativa à proteção dos direitos e liberdades de uma pessoa no que respeita ao tratamento de dados pessoais que lhe digam respeito e que tenham sido transferidos para um Estado terceiro, estão vinculados pelas conclusões da Comissão relativas à adequação do nível de proteção oferecido por esse Estado terceiro nos termos do artigo 25.o, n.o 6, da Diretiva 95/46, quando o queixoso conteste essas conclusões.

43. Após ter declarado, nos n.os 51 e 52 do Acórdão Schrems, que uma decisão de adequação vincula as autoridades de controlo até ser declarada nula, o Tribunal de Justiça enunciou o seguinte, nos n.os 63 e 65 do referido acórdão: «63. […] [Q]uando uma pessoa, cujos dados pessoais tenham sido ou possam ser transferidos para um país terceiro objeto de uma decisão da Comissão nos termos do artigo 25.o, n.o 6, da Diretiva 95/46, apresenta a uma autoridade nacional de controlo um pedido relativo à proteção dos seus direitos e liberdades no que diz respeito ao tratamento desses dados e contesta, por ocasião desse pedido, […], a compatibilidade dessa decisão com a proteção da vida privada e das liberdades e direitos fundamentais das pessoas, incumbe a essa autoridade examinar o referido pedido com toda a diligência exigida. […] 65. Na hipótese […] em que considere fundadas as críticas apresentadas [por essa pessoa], a referida autoridade deve, nos termos do artigo 28.o, n.o 3, primeiro parágrafo, terceiro travessão, da Diretiva 95/46, lido à luz, nomeadamente, do artigo 8.o, n.o 3, da Carta, poder intervir num processo judicial. A este respeito, incumbe ao legislador nacional prever vias de recurso que permitam à autoridade nacional de controlo em causa invocar as críticas que considera fundadas perante os órgãos jurisdicionais nacionais, para que estes últimos, caso partilhem das dúvidas dessa autoridade quanto à validade da decisão da Comissão, procedam a um reenvio prejudicial para efeitos da apreciação da validade dessa decisão.»

44. Nesse acórdão, o Tribunal de Justiça examinou igualmente a validade da Decisão «Porto Seguro» no que respeita às exigências decorrentes da Diretiva 95/46, lida à luz da Carta. No final deste exame, declarou a decisão inválida ( 13 ).

45. Na sequência do Acórdão Schrems, o órgão jurisdicional de reenvio anulou a decisão através da qual o DPC tinha arquivado a queixa de M. Schrems e devolveu esta última ao DPC para exame. Este último abriu um inquérito e convidou M. Schrems a reformular a sua queixa tendo em conta a invalidade da Decisão «Porto Seguro».

46. Para o efeito, M. Schrems pediu à Facebook Ireland que identificasse os fundamentos jurídicos em que assentam as transferências dos dados pessoais dos utilizadores da rede social Facebook desde a União até os Estados Unidos. Sem identificar todas as bases jurídicas em que se apoia, a Facebook Ireland fez referência a um acordo de transferência e de tratamento de dados (data transfer processing agreement) celebrado entre ela e a Facebook Inc., aplicável desde 20 de novembro de 2015, e invocou a Decisão 2010/87.

47. Na sua queixa reformulada, M. Schrems alega, por um lado, que as cláusulas contidas nesse acordo não são conformes com as cláusulas contratuais‑tipo que figuram no anexo da Decisão 2010/87. Por outro lado, M. Schrems alega que, em qualquer caso, essas cláusulas contratuais‑tipo não podem servir de base à transferência dos seus dados pessoais para os Estados Unidos. É isso que acontece, pois a legislação dos EUA impõe à Facebook Inc. a disponibilização dos dados pessoais dos seus utilizadores às autoridades dos EUA, como a NSA e o Federal Bureau of Investigation (FBI) (Agência Federal de Investigação), no âmbito de programas de vigilância que obstam ao exercício dos direitos garantidos pelos artigos 7.o, 8.o e 47.o da Carta. M. Schrems sustenta que nenhuma via de recurso judicial permite aos titulares de dados fazer valer os seus direitos ao respeito da vida privada e à proteção dos dados pessoais. Nestas condições, M. Schrems pede ao DPC que suspenda essa transferência e aplicação do artigo 4.o da Decisão 2010/87.

48. A Facebook Ireland reconheceu, no âmbito do inquérito do DPC, que continua a transferir os dados pessoais dos seus utilizadores da rede social Facebook que residem na União para os Estados Unidos e que, para o efeito, se baseia em grande parte nas cláusulas contratuais‑tipo constantes do anexo da Decisão 2010/87.

49. O inquérito do DPC tinha por objetivo determinar, por um lado, se os Estados Unidos asseguram uma proteção adequada dos dados pessoais dos cidadãos da União e, por outro, se as Decisões CCT apresentam garantias suficientes no que respeita à proteção das liberdades e dos direitos fundamentais destes últimos.

50. A este respeito, num projeto de decisão (draft decision), o DPC considerou provisoriamente que o direito americano não oferece vias de recurso efetivas na aceção do artigo 47.o da Carta aos cidadãos da União cujos dados são transferidos para os Estados Unidos, onde correm o risco de ser tratados pelas agências americanas para efeitos de segurança nacional de forma incompatível com os artigos 7.o e 8.o da Carta. As garantias previstas nas cláusulas que figuram no anexo das Decisões CCT não corrigem essa lacuna, uma vez que não são vinculativas para as autoridades ou agências dos Estados Unidos e apenas conferem aos titulares dos dados direitos contratuais contra o exportador e/ou importador dos dados.

51. Nestas circunstâncias, o DPC considerou que não se podia pronunciar sobre a queixa de M. Schrems sem que o Tribunal de Justiça examinasse a validade das Decisões CCT. Em conformidade com o que prescreve o n.o 65 do Acórdão Schrems, o DPC deu, por conseguinte, início a um processo junto do órgão jurisdicional de reenvio para que este, caso partilhe as dúvidas do DPC, submeta ao Tribunal de Justiça uma questão prejudicial sobre a validade destas decisões.

52. O Governo dos Estados Unidos, o Electronic Privacy Information Centre (EPIC), a Business Software Alliance (BSA) e a Digitaleurope foram autorizados a intervir perante o órgão jurisdicional de reenvio.

53. Para determinar se partilha das dúvidas expressas pelo DPC sobre a validade das Decisões CCT, a High Court (Tribunal Superior) recebeu as provas produzidas pelas partes em litígio e ouviu os argumentos apresentados por estas últimas e pelos intervenientes. Em especial, as disposições do direito dos Estados Unidos foram objeto da apresentação de provas por peritos. Em direito irlandês, o direito estrangeiro é considerado uma questão de facto que deve ser estabelecida por prova da mesma forma que qualquer outro facto. Com base nessas provas, o órgão jurisdicional de reenvio apreciou as disposições do direito dos Estados Unidos que permitem a vigilância pelas autoridades e agências governamentais, o funcionamento de dois programas de vigilância publicamente reconhecidos («PRISM» e «Upstream»), as diversas vias de recurso disponíveis para os particulares cujos direitos foram violados por medidas de vigilância, bem como as garantias sistémicas e os mecanismos de fiscalização. Esse tribunal consignou os resultados dessa apreciação num Acórdão de 3 de outubro de 2017, anexado ao seu despacho de reenvio [a seguir «Acórdão da High Court (Tribunal Superior) de 3 de outubro de 2017»].

54. Nesse acórdão, o órgão jurisdicional de reenvio referiu, entre os fundamentos jurídicos que autorizam a interceção de comunicações estrangeiras pelos serviços de informação americanos, a secção 702 do Foreign Intelligence and Surveillance Act (FISA) (Lei relativa à Vigilância e à Informação Externas) e a Executive Order 12333 (Decreto Presidencial n.o 12333, a seguir «EO 12333 »).

55. De acordo com os factos apurados no referido acórdão, a secção 702 do FISA permite que o Attorney General (Procurador‑Geral, Estados Unidos) e o Director of National Intelligence (DNI) (Diretor de Informação Nacional, Estados Unidos) autorizem conjuntamente, por um período de um ano, com a finalidade de obter informações externas, a vigilância de pessoas que não são cidadãos americanos nem residentes permanentes nos Estados Unidos (chamadas «pessoas não americanas»), quando for razoável pensar que estão localizadas fora do território dos Estados Unidos ( 14 ). Segundo o FISA, o conceito de «informação externa» designa as informações relativas à capacidade do Governo de se prevenir dos ataques estrangeiros, do terrorismo, da proliferação de armas de destruição maciça e à condução dos negócios estrangeiros dos Estados Unidos ( 15 ).

56. Essas autorizações anuais, assim como os procedimentos que regem a seleção das pessoas a vigiar e o tratamento («minimização») das informações recolhidas ( 16 ), devem ser aprovados pela Foreign Intelligence Surveillance Court (FISC) (Tribunal de Supervisão dos Serviços de Informações Externas, Estados Unidos). Enquanto a vigilância «tradicional» efetuada com fundamento noutras disposições do FISA exige que seja estabelecida uma «causa provável» que permita suspeitar que as pessoas sob vigilância pertencem ou são agentes de uma potência estrangeira, as atividades de vigilância efetuadas ao abrigo da secção 702 do FISA não estão sujeitas ao estabelecimento dessa «causa provável» nem à aprovação pelo FISC da seleção de determinadas pessoas. Além disso, ainda segundo os factos apurados pelo órgão jurisdicional de reenvio, os procedimentos de minimização não são aplicados às pessoas não americanas localizadas fora dos Estados Unidos.

57. Na prática, uma vez concedida a autorização pelo FISC, a NSA envia aos prestadores de serviços de comunicações eletrónicas estabelecidos nos Estados Unidos orientações que contêm critérios de pesquisa, denominados «seletores», associados a pessoas‑alvo (como números de telefone ou endereços de correio eletrónico). Estes prestadores estão então obrigados a transmitir à NSA os dados que correspondem aos seletores e devem guardar sigilo quanto às orientações que lhes são dirigidas. Podem apresentar um pedido ao FISC para alterar ou rejeitar uma diretiva da NSA. A decisão do FISC pode ser objeto de recurso para o Foreign Intelligence Surveillance Court of Review (FISCR) (Tribunal de Recurso das Decisões em Matéria de Vigilância e de Informação Externas, Estados Unidos).

58. A High Court (Tribunal Superior) constatou que a secção 702 do FISA constitui a base legal dos programas PRISM e Upstream.

59. No âmbito do programa PRISM, os prestadores de serviços de comunicações eletrónicas estão obrigados a enviar à NSA todas as comunicações «provenientes de» ou «destinadas a» um seletor comunicado por esta última. Parte dessas comunicações são transmitidas ao FBI e à Central Intelligence Agency (CIA) (Agência Central de Informação, Estados Unidos). Em 2015, 94386 pessoas foram vigiadas e, em 2011, o Governo dos EUA obteve mais de 250 milhões de comunicações no âmbito deste programa.

60. O programa Upstream baseia‑se na assistência obrigatória das empresas que exploram a «espinha dorsal» — a saber, a rede de cabos, comutadores e routers — na qual transitam as comunicações telefónicas e as comunicações de Internet. Essas empresas são obrigadas a permitir que a NSA copie e filtre os fluxos de tráfego de Internet a fim de obter comunicações «provenientes de», «destinadas a» ou «respeitantes a» um seletor mencionado numa diretiva desta agência. As comunicações «respeitantes a» um seletor correspondem às que se referem a esse seletor, sem que a pessoa não americana associada ao referido seletor participe nelas necessariamente. Embora resulte de um parecer do FISC de 26 de abril de 2017 que, desde esta data, o Governo americano não recolhe nem adquire mais comunicações «respeitantes» a um seletor, esse parecer não refere que a NSA tenha deixado de copiar e de filtrar os fluxos de comunicações que transitam através do seu sistema de vigilância. O programa Upstream implica, assim, o acesso da NSA tanto aos metadados como ao conteúdo das comunicações. Desde 2011, a NSA recolheu cerca de 26,5 milhões de comunicações por ano no âmbito do programa Upstream, o que representa, porém, apenas uma pequena parte das comunicações sujeitas ao processo de filtragem operado ao abrigo desse programa.

61. Por outro lado, de acordo com as conclusões da High Court (Tribunal Superior), o EO 12333 autoriza a vigilância de comunicações eletrónicas fora do território dos Estados Unidos ao permitir o acesso, para fins de informação externa, a dados «em trânsito» para esse território, ou «que transitam» por esse território sem que se destinem a ser tratadas, bem como a recolha e a conservação desses dados. A EO 12333 define o conceito de «informação externa» no sentido de que inclui as informações relacionadas com as capacidades, intenções ou atividades de Governos, organizações ou pessoas estrangeiras ( 17 ).

62. A EO 12333 permite à NSA aceder aos cabos submarinos situados no leito do Oceano Atlântico através dos quais os dados são transferidos da União para os EUA, antes de esses dados chegarem aos EUA e ficarem, por esse motivo, sujeitos às disposições do FISA. No entanto, não há nenhuma prova de um qualquer programa implementado ao abrigo deste decreto presidencial.

63. Ainda que o EO 12333 preveja limites respeitantes à recolha, à retenção e à divulgação de informações, esses limites não são aplicáveis às pessoas não americanas. Estas últimas beneficiam apenas das garantias enunciadas pela Presidential Policy Directive 28 (Diretiva Estratégica Presidencial n.o 28, a seguir «PPD 28»), que é aplicável a todas as atividades de recolha e de utilização de informações em matéria de informação externa de origem eletromagnética. A PPD 28 dispõe que o respeito da vida privada é parte integrante das considerações a ter em conta no planeamento dessas atividades, que a recolha deve ter como único objetivo a aquisição de informações em matéria de informação externa e de contraespionagem e que as referidas atividades devem ser «tão personalizadas quanto possível».

64. De acordo com o órgão jurisdicional de reenvio, as atividades da NSA baseadas no EO 12333 , que pode ser alterado ou revogado a qualquer momento pelo presidente dos Estados Unidos, não são regidas pela lei, não estão sujeitas a fiscalização judicial e não podem ser objeto de uma ação judicial.

65. Com base nestas considerações, aquele órgão jurisdicional considera que os Estados Unidos procedem a tratamentos massivos e indiscriminados de dados pessoais que podem expor os titulares dos dados a um risco de violação dos direitos que lhes são conferidos pelos artigos 7.o e 8.o da Carta.

66. Além disso, o referido órgão jurisdicional refere que os cidadãos da União não têm acesso às mesmas vias de recurso contra tratamentos ilícitos dos seus dados pessoais pelas autoridades americanas que os cidadãos dos EUA. A Quarta Emenda da Constituição dos EUA, que constitui a proteção mais importante contra a vigilância ilegal, é inaplicável aos cidadãos da União que não tenham uma ligação voluntária significativa com os Estados Unidos. Embora esses cidadãos disponham, contudo, de alguns outras vias de recurso, enfrentam obstáculos significativos.

67. Em especial, o artigo III da Constituição dos Estados Unidos subordina qualquer ação para os tribunais federais à prova, pelo interessado, da sua legitimidade (standing). A legitimidade pressupõe, nomeadamente, que essa pessoa demonstre ter sofrido um dano real que seja, por um lado, concreto e específico, e, por outro, atual ou iminente. Remetendo, entre outros, para o Acórdão do Supreme Court of the United States (Supremo Tribunal dos Estados Unidos), Clapper c. Amnesty International US ( 18 ), o órgão jurisdicional de reenvio considera que este requisito é, na prática, excessivamente difícil de preencher, tendo em conta, nomeadamente, a inexistência de uma obrigação de informar as pessoas interessadas das medidas de vigilância adotadas a respeito delas ( 19 ). Acresce que uma parte das vias de recurso à disposição dos cidadãos da União está sujeita ao cumprimento de outras condições restritivas, como a necessidade de estabelecer um prejuízo pecuniário. A imunidade soberana concedida às agências de informação e o caráter confidencial das informações em causa impedem igualmente o exercício de determinadas vias de recurso ( 20 ).

68. Além disso, a High Court (Tribunal Superior) refere diversos mecanismos de fiscalização e de supervisão das atividades das agências de informação.

69. Entre estes figuram, por um lado, o mecanismo de certificação anual pelo FISC dos programas baseados na secção 702 do FISA, no âmbito do qual o FISC não aprova, no entanto, seletores individuais. Além disso, nenhuma fiscalização judicial prévia regula a recolha de informações em matéria de informação externa ao abrigo do EO 12333 .

70. Por outro lado, o órgão jurisdicional de reenvio refere vários mecanismos de supervisão extrajudicial das atividades de informações. Em particular, menciona o papel dos Inspectors General (Inspetores‑gerais, Estados Unidos), que, em cada agência de informação, são responsáveis pela supervisão das atividades de vigilância. Além disso, o Privacy and Civil Liberties Oversight Board (PCLOB) (Comissão de Supervisão da Privacidade e das Liberdades Civis, Estados Unidos), uma agência independente dentro do poder executivo, recebe relatórios de pessoas designadas em cada agência na qualidade de agentes das liberdades civis ou da privacidade (civil liberties or privacy officers). O PCLOB prepara regularmente relatórios dirigidos às comissões parlamentares e ao Presidente. As agências em causa devem comunicar, nomeadamente, ao DNI os incidentes relativos à violação das regras e dos procedimentos de recolha de informação externa. Esses incidentes são também comunicados ao FISC. O Congresso americano, através das comissões de informação da Câmara e do Senado, também é responsável pela fiscalização das atividades de informação externa.

71. No entanto, a High Court (Tribunal Superior) sublinha a diferença fundamental entre, por um lado, as regras destinadas a garantir que os dados são obtidos legalmente e que, uma vez obtidos, não são utilizados abusivamente, e, por outro, as vias de recurso judiciais disponíveis em caso de violação dessas regras. A proteção dos direitos fundamentais dos titulares de dados só será assegurada se vias de recurso efetivas lhes permitirem invocar os seus direitos em caso de violação das referidas regras.

72. Nestas circunstâncias, o órgão jurisdicional de reenvio considera fundados os argumentos avançados pelo DPC segundo os quais as limitações impostas pelo direito americano ao direito à ação das pessoas cujos dados são transferidos da União não respeitam o conteúdo essencial do direito garantido pelo artigo 47.o da Carta e, em todo o caso, constituem uma ingerência desproporcionada no exercício desse direito.

73. Segundo a High Court (Tribunal Superior), a introdução pelo Governo dos EUA do mecanismo de mediação descrito na Decisão «Escudo de Proteção da Privacidade» não põe em causa esta apreciação. Depois de ter salientado que este mecanismo é acessível aos cidadãos da União que considerem, numa base razoável, que os seus dados foram transferidos em conformidade com as Decisões CCT ( 21 ), esse órgão jurisdicional observou que o Mediador não é um tribunal que responda às exigências do artigo 47.o da Carta e, em especial, não é independente do poder executivo ( 22 ). O referido órgão jurisdicional também duvida de que a intervenção do Mediador, cujas decisões não podem ser objeto de recurso judicial, represente uma via de recurso efetivo. Com efeito, essa intervenção não permite que as pessoas cujos dados pessoais foram ilegalmente recolhidos, tratados ou partilhados obtenham uma indemnização ou uma injunção para cessar os atos ilegais, uma vez que o Mediador não confirma nem desmente que um queixoso foi objeto de uma medida de vigilância eletrónica.

74. Tendo assim manifestado as suas dúvidas quanto à equivalência substancial entre as garantias previstas pelo direito americano e as exigências que decorrem dos artigos 7.o, 8.o e 47.o da Carta, o órgão jurisdicional de reenvio interroga‑se quanto à questão de saber se as cláusulas contratuais‑tipo previstas nas Decisões CCT — que, pela sua natureza, não vinculam as autoridades americanas ‑ são, no entanto, suscetíveis de assegurar a proteção dos direitos fundamentais dos titulares de dados. Esse órgão jurisdicional concluiu que partilha as dúvidas do DPC quanto à validade destas decisões.

75. A este respeito, o órgão jurisdicional de reenvio considera, nomeadamente, que o artigo 28.o, n.o 3, da Diretiva 95/46, para o qual remete o artigo 4.o da Decisão 2010/87, na medida em que reconhece às autoridades de controlo o poder de suspender ou de proibir as transferências baseadas nas cláusulas contratuais‑tipo previstas nessa decisão, não é suficiente para dissipar essas dúvidas. Além de, na sua opinião, esse poder revestir apenas natureza discricionária, o órgão jurisdicional de reenvio interroga‑se, à luz do considerando 11 da Decisão 2010/87, sobre a possibilidade de o exercer quando as deficiências constatadas não respeitam a um caso particular e excecional, mas revestem caráter geral e sistémico ( 23 ). Considera também que o risco de serem proferidas decisões divergentes em diferentes Estados‑Membros pode impedir que a constatação dessas falhas seja confiada às autoridades de controlo.

76. Nestas condições, a High Court (Tribunal Superior), por Decisão de 4 de maio de 2018 ( 24 ), que deu entrada no Tribunal de Justiça em 9 de maio de 2018, decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais: «1) Em circunstâncias nas quais uma empresa privada transfere, com base na [Decisão 2010/87], de um Estado‑Membro da [União] para uma empresa privada num país terceiro, para fins comerciais, dados pessoais que podem ser tratados posteriormente pelas autoridades do país terceiro não só para fins de segurança nacional mas também para efeitos da [manutenção da ordem pública] e da administração dos assuntos externos do país terceiro, [é] o direito da UE [incluindo a Carta] aplicável à transferência dos dados, [não obstante as] disposições do artigo 4.o, n.o 2, TUE relativas à segurança nacional e as disposições do artigo 3.o, n.o 2, primeiro travessão, da [Diretiva 95/46] [relativas] à segurança pública, [à] defesa e [à] segurança do Estado? 2) a) Para efeitos da Diretiva [95/46], ao determinar se constitui violação dos direitos de uma pessoa [a transferência de] dados ao abrigo Decisão [2010/87], a partir da [União] para um país terceiro no qual esses dados podem ser posteriormente tratados para fins de segurança nacional, o elemento de referência pertinente é: i) A Carta, o TUE, o TFUE, a Diretiva [95/46], a [Convenção Europeia dos Direitos do Homem e das Liberdades Fundamentais, assinada em Roma em 4 de novembro de 1950 (a seguir “CEDH”] (ou qualquer outra disposição do direito da União), ou: ii) A legislação nacional de um ou mais Estados‑Membros? b) Se o elemento de referência pertinente for o referido [em ii)], devem ser igualmente incluídas nesse elemento as práticas seguidas [em matéria de] segurança nacional num ou em vários Estados‑Membros? 3) Ao avaliar se um país terceiro assegura o nível de proteção exigido pelo direito da União para transferir dados pessoais para esse país, para efeitos do artigo 26.o da Diretiva [95/46], deve o nível de proteção no país terceiro ser avaliado por referência: a) às regras aplicáveis no país terceiro decorrentes da sua legislação interna ou dos [seus] compromissos internacionais […] e à prática seguida para garantir o cumprimento dessas regras, [incluindo] as regras profissionais e as medidas de segurança aplicadas no país terceiro; ou b) às regras referidas na alínea a), juntamente com as práticas administrativas, regulamentares e de [aplicação da lei], e as medidas de proteção, […] os procedimentos, protocolos [e] mecanismos de supervisão [bem como as] vias de recurso extrajudiciais aplicáveis no país terceiro? 4) Constitui violação dos direitos das pessoas, previstos nos artigos 7.o e/ou 8.o da Carta, a transferência de dados pessoais da [União] para os EUA ao abrigo da Decisão [2010/87], tendo em conta os factos apurados pela High Court [(Tribunal Superior)] em relação à lei dos EUA? 5) Tendo em conta os factos apurados pela High Court [(Tribunal Superior)] em relação à lei dos EUA, no caso de serem transferidos dados pessoais da [União] para os EUA ao abrigo da Decisão [2010/87]: a) O nível de proteção conferido pelos EUA respeita o conteúdo essencial do direito das pessoas a [uma ação] judicial [por] violação dos seus direitos [à confidencialidade] dos dados, consagrado no artigo 47.o da Carta? Se a resposta à alínea a) for afirmativa: b) As limitações impostas pela legislação dos EUA ao direito das pessoas a [uma ação] judicial no contexto da segurança nacional dos EUA são proporcionadas, na aceção do artigo 52.o da Carta, e não excedem o que é necessário numa sociedade democrática para fins de segurança nacional? 6) a) Qual é, […] à luz das disposições da Diretiva [95/46] e, em especial, dos [seus] artigos 25.o e 26.o, interpretados à luz da Carta, o nível de proteção que deve ser concedido aos dados pessoais transferidos para um país terceiro ao abrigo de cláusulas contratuais‑tipo estipuladas em conformidade com uma decisão da Comissão[, a título do artigo 26.o, n.o 4, dessa diretiva]? b) Quais são os elementos a ter em conta, ao avaliar se o nível de proteção concedido aos dados transferidos para um país terceiro ao abrigo da Decisão [2010/87] cumpre as exigências da Diretiva [95/46] e da Carta? 7) O facto de as cláusulas contratuais‑tipo serem aplicáveis ao exportador de dados e ao importador de dados, mas não serem vinculativas para as autoridades nacionais de um país terceiro, que podem exigir que o importador de dados disponibilize [aos] seus serviços de segurança, para […] tratamento posterior, os dados pessoais transferidos ao abrigo das cláusulas previstas na Decisão [2010/87], [exclui] que [essas] cláusulas [ofereçam as] garantias de proteção adequadas previstas no artigo 26.o, n.o 2, da Diretiva [95/46]? 8) Se um importador de dados de um país terceiro estiver sujeito a leis de vigilância que, na opinião de uma autoridade de [controlo], estejam em conflito com as cláusulas do anexo da Decisão [2010/87] ou com os artigos 25.o e 26.o da Diretiva [95/46] e/ou com a Carta, é uma autoridade de [controlo] obrigada a exercer os seus poderes de execução previstos no artigo 28.o, n.o 3, da Diretiva [95/46] para suspender os fluxos de dados, ou o exercício desses poderes limita‑se apenas a casos excecionais, à luz do considerando 11 da [Decisão 2010/87/], ou pode uma autoridade de [controlo] utilizar o seu poder discricionário para não suspender esses fluxos de dados? 9) a) Para efeitos do artigo 25.o, n.o 6, da Diretiva [95/46], constitui a Decisão [“Escudo de Proteção da Privacidade”] uma [declaração] de aplicação geral que é vinculativa para as autoridades de [controlo] e para os tribunais dos Estados‑Membros, [segundo a qual] os Estados Unidos[, em razão do seu direito interno ou dos seus compromissos internacionais, garantem] um nível de proteção adequado, na aceção do artigo 25.o, n.o 2, da Diretiva [95/46]? b) Se assim não for, [qual é a eventual relevância] da Decisão [“Escudo de Proteção da Privacidade”] na avaliação realizada sobre a adequação [das garantias oferecidas] aos dados transferidos para os Estados Unidos em conformidade com a Decisão [2010/87]? 10) Tendo em conta as considerações da High Court [(Tribunal Superior)] relativas à legislação dos EUA, constitui a previsão de um Mediador para o Escudo de Proteção da Privacidade a que se refere o [anexo III A] da Decisão [“Escudo de Proteção da Privacidade”], quando considerada em conjugação com o regime vigente nos Estados Unidos, uma garantia de que este país oferece uma via de recurso compatível com o artigo 47.o da Carta […] àqueles cujos dados pessoais são transferidos para os EUA ao abrigo da Decisão [2010/87]? 11) A Decisão [2010/87] viola os artigos 7.o, 8.o ou 47.o da Carta?»

77. O DPC, a Facebook Ireland, M. Schrems , o Governo dos Estados Unidos, a EPIC, a BSA, a Digitaleurope, a Irlanda, os Governos belga, checo, alemão, neerlandês, austríaco, polaco, português e do Reino Unido, o Parlamento Europeu e a Comissão apresentaram observações escritas ao Tribunal de Justiça. O DPC, a Facebook Ireland, M. Schrems , o Governo dos EUA, o EPIC, a BSA, a Digitaleurope, a Irlanda, os Governos belga, checo, alemão, francês, neerlandês, austríaco e do Reino Unido, o Parlamento, a Comissão e o Comité Europeu de Proteção de Dados (CEPD) estiveram representados na audiência de 9 de julho de 2019.

IV. Análise

A. Considerações preliminares

78. Na sequência da anulação da Decisão «Porto Seguro» pelo Tribunal de Justiça no Acórdão Schrems, as transferências de dados pessoais para os Estados Unidos prosseguiram com base noutros fundamentos jurídicos. Especificamente, as empresas exportadoras de dados puderam recorrer a contratos com importadores de dados que incluem cláusulas‑tipo elaboradas pela Comissão. Estas cláusulas servem também de base jurídica para as transferências para diversos países terceiros a respeito dos quais a Comissão não adotou uma decisão de adequação ( 25 ). A Decisão «Escudo de Proteção da Privacidade» passou a permitir às empresas que autocertificaram a sua adesão aos princípios aí enunciados transferir dados pessoais para os Estados Unidos sem outras formalidades.

79. Como expressamente refere a decisão de reenvio e como salientaram a BSA, a Digitaleurope, a Irlanda, os Governos austríaco e francês, o Parlamento e a Comissão, o litígio no processo principal, pendente na High Court (Tribunal Superior), tem como único objetivo determinar se a decisão através da qual a Comissão estabeleceu as cláusulas contratuais‑tipo invocadas em apoio das transferências visadas na queixa de M. Schrems , a saber, a Decisão 2010/87, é válida ( 26 ).

80. O presente litígio tem origem num pedido que o DPC dirigiu ao órgão jurisdicional de reenvio no sentido de este submeter ao Tribunal de Justiça uma questão prejudicial relativa à validade da Decisão 2010/87. Nas palavras desse órgão jurisdicional, o litígio no processo principal diz, assim, respeito ao exercício da via de recurso cuja previsão pelos Estados‑Membros o Tribunal de Justiça ordenou no n.o 65 do Acórdão Schrems.

81. Recorde‑se que o Tribunal de Justiça declarou, no n.o 63 desse acórdão, que uma autoridade de controlo é obrigada a tratar com toda a diligência exigida uma queixa no âmbito da qual uma pessoa, cujos dados pessoais tenham sido ou possam ser transferidos para um país terceiro objeto de uma decisão de adequação, conteste a compatibilidade dessa decisão com os direitos fundamentais consagrados pela Carta. Nos termos do n.o 65 do referido acórdão, se essa autoridade considerar que as objeções formuladas nessa queixa são fundadas, deve, nos termos do artigo 28.o, n.o 3, primeiro parágrafo, terceiro travessão, da Diretiva 95/46 (a que corresponde o artigo 58.o, n.o 5, do RGPD), lido à luz do artigo 8.o, n.o 3, da Carta, ter o direito de intentar uma ação judicial. A este respeito, o legislador nacional deve estabelecer as vias de recurso que lhe permitam invocar essas críticas perante os órgãos jurisdicionais nacionais, para que estes últimos, caso partilhem das dúvidas da referida autoridade, procedam a um reenvio prejudicial sobre a validade da decisão em causa.

82. À semelhança do órgão jurisdicional de reenvio, considero que estas conclusões são aplicáveis por analogia quando, por ocasião do tratamento de uma queixa apresentada perante ela, uma autoridade de controlo tenha dúvidas sobre a validade não de uma decisão de adequação, mas de uma decisão, como a Decisão 2010/87, que estabelece cláusulas contratuais‑tipo para a transferência de dados pessoais para países terceiros. Contrariamente ao que alega o Governo alemão, não importa que essas dúvidas correspondam a críticas que lhe foram transmitidas pelo queixoso ou que essa autoridade ponha em causa por iniciativa própria a validade da decisão em questão. Com efeito, as exigências que decorrem do artigo 28.o, n.o 3, da Diretiva 95/46 e do artigo 8.o, n.o 3, da Carta, nos quais se baseia a fundamentação do Tribunal de Justiça, aplicam‑se qualquer que seja o fundamento jurídico da transferência visada pela queixa apresentada à autoridade de controlo e o motivo que levou essa autoridade a duvidar da validade da decisão em questão no âmbito do tratamento dessa queixa.

83. Feito o esclarecimento, se o DPC pediu ao órgão jurisdicional de reenvio para interrogar o Tribunal de Justiça sobre a validade da Decisão 2010/87, foi porque um esclarecimento do Tribunal de Justiça sobre a matéria lhe pareceu necessário ao tratamento da queixa através da qual M. Schrems lhe pede para exercer o poder, de que estava investido por força do artigo 28.o, n.o 3, segundo travessão, da Diretiva 95/46 — e que lhe passou a ser conferido pelo artigo 58.o, n.o 2, alínea f), do RGPD — de suspender a transferência de dados pessoais que lhe dizem respeito pela Facebook Ireland para a Facebook Inc.

84. Assim, enquanto o litígio no processo principal diz apenas respeito à validade in abstracto da Decisão 2010/87, o processo subjacente em curso no DPC diz respeito ao exercício por este último do seu poder de adotar medidas corretivas num caso específico. Proporei ao Tribunal de Justiça que se limite a examinar as questões suscitadas na medida do necessário para se pronunciar sobre a validade da Decisão 2010/87, uma vez que tal exame bastará para permitir ao órgão jurisdicional de reenvio resolver o litígio que lhe foi submetido ( 27 ).

85. Antes de apreciar a validade daquela decisão, devem ser afastadas algumas objeções suscitadas contra a admissibilidade do pedido de decisão prejudicial.

B. Quanto à admissibilidade do reenvio prejudicial

86. A admissibilidade do pedido de decisão prejudicial foi contestada com base em diversos fundamentos relativos, essencialmente, à inaplicabilidade ratione temporis da Diretiva 95/46, referida nas questões prejudiciais (Secção 1), ao facto de o processo no DPC não ter alcançado uma fase suficientemente avançada para justificar a sua utilidade (Secção 2) e à subsistência de incertezas quanto ao quadro factual descrito pelo órgão jurisdicional de reenvio (Secção 3).

87. Responderei a essas exceções de inadmissibilidade tendo em mente a presunção de pertinência de que gozam as questões submetidas ao Tribunal de Justiça nos termos do artigo 267.o TFUE. Segundo jurisprudência constante, o Tribunal de Justiça só pode recusar pronunciar‑se sobre um pedido de decisão prejudicial se for manifesto que a interpretação solicitada do direito da União não tem nenhuma relação com a realidade ou o objeto do litígio no processo principal, quando o problema for hipotético ou ainda quando o Tribunal de Justiça não dispuser dos elementos de facto e de direito necessários para dar uma resposta útil às questões que lhe são submetidas ( 28 ).

1. Quanto à aplicabilidade ratione temporis da Diretiva 95/46

88. A Facebook Ireland invoca a inadmissibilidade das questões prejudiciais pelo facto de fazerem referência à Diretiva 95/46, quando esta diretiva tinha sido revogada e substituída pelo RGPD com efeitos a 25 de maio de 2018 ( 29 ). Este regulamento rege, desde essa data, as transferências de dados pessoais relativos a utilizadores da rede social Facebook da União para os Estados Unidos.

89. Partilho da opinião de que a validade da Decisão 2010/87 deve ser examinada à luz das disposições do RGPD.

90. Em conformidade com o artigo 94.o, n.o 2, deste regulamento, «[a]s remissões para a diretiva revogada são consideradas remissões para [o referido regulamento]». Daqui decorre, parece‑me, que a Decisão 2010/87, na medida em que menciona como fundamento jurídico o artigo 26.o, n.o 4, da Diretiva 95/46, deve ser interpretada no sentido de que remete para o artigo 46.o, n.o 2, alínea c), do RGPD, que reproduz, no essencial, o seu conteúdo ( 30 ). Por conseguinte, as decisões de execução adotadas pela Comissão nos termos do artigo 26.o, n.o 4, da Diretiva 95/46, antes da entrada em vigor do RGPD, devem ser interpretadas à luz do referido regulamento. É igualmente à luz do referido regulamento que a sua validade deve, sendo caso disso, ser avaliada.

91. Esta conclusão não é posta em causa pela jurisprudência segundo a qual a legalidade de um ato da União deve ser apreciada em função dos elementos de facto e de direito existentes na data de adoção desse ato. Com efeito, esta jurisprudência diz respeito ao exame da validade de um ato da União à luz das circunstâncias de facto pertinentes aquando da sua adoção ( 31 ) ou das regras processuais que regulam a sua adoção ( 32 ). Em contrapartida, o Tribunal de Justiça examinou repetidamente a validade de atos de direito derivado à luz de normas materiais de nível superior que entraram em vigor após a adoção desses atos ( 33 ).

92. No entanto, a designação, no enunciado das questões prejudiciais, de um ato que já não é aplicável ratione temporis, embora justifique a reformulação dessas questões, não pode conduzir à sua inadmissibilidade ( 34 ). Como alegaram o DPC e M. Schrems , as referências à Diretiva 95/46 no enunciado das questões prejudiciais podem, de resto, ser explicadas à luz do calendário processual do presente processo, uma vez que estas questões foram submetidas ao Tribunal de Justiça antes da entrada em vigor do RGPD.

93. Em todo o caso, as disposições do RGPD que serão abordadas para efeitos da análise das questões prejudiciais — a saber, em especial, os seus artigos 45.o, 46.o e 58.o — reproduzem, no essencial, embora o desenvolvam e lhe introduzam algumas nuances, o conteúdo dos artigos 25.o, 26.o e 28.o da Diretiva 95/46. No que se refere aos seus aspetos relevantes para efeitos de decidir sobre a validade da Decisão 2010/87, não concebo nenhuma razão para atribuir a essas disposições do RGPD um alcance distinto do das disposições correspondentes da Diretiva 95/46 ( 35 ).

2. Quanto ao caráter provisório das dúvidas expressas pelo DPC

94. Segundo o Governo alemão, o pedido de decisão prejudicial é inadmissível na medida em que o processo judicial referido no n.o 65 do Acórdão Schrems pressupõe que a autoridade de controlo tenha formado uma opinião definitiva quanto ao mérito das alegações aduzidas pelo recorrente contra a validade da decisão em causa. Não é esse o caso no presente processo, uma vez que o DPC expressou as suas dúvidas quanto à validade da Decisão 2010/87, que, de resto, M. Schrems não contesta, num projeto de decisão proferida a título provisório, sem prejuízo da eventual apresentação de observações adicionais por parte da Facebook Ireland e de M. Schrems .

95. Na minha opinião, a natureza provisória das dúvidas expressas pelo DPC não afeta a admissibilidade do reenvio prejudicial. Com efeito, os critérios de admissibilidade de uma questão prejudicial devem ser apreciados em relação ao objeto do litígio conforme definido pelo órgão jurisdicional de reenvio ( 36 ). Ora, é pacífico que este diz respeito à validade da Decisão 2010/87. Nos termos da decisão de reenvio e do acórdão que lhe está anexo, esse órgão jurisdicional considerou que as dúvidas expressas pelo DPC — independentemente de o ter feito a título provisório ou definitivo — têm fundamento e consequentemente interrogou o Tribunal de Justiça quanto à validade dessa decisão. Nestas condições, o esclarecimento do Tribunal de Justiça é indubitavelmente relevante para lhe permitir resolver o litígio que lhe foi submetido.

3. Quanto às incertezas que rodeiam a definição do quadro factual

96. O Governo do Reino Unido alega que o quadro factual descrito pelo órgão jurisdicional de reenvio contém várias lacunas que comprometem a admissibilidade das questões prejudiciais. Esse órgão jurisdicional não esclareceu se os dados pessoais respeitantes a M. Schrems foram efetivamente transferidos para os Estados Unidos nem, em caso afirmativo, se foram recolhidos pelas autoridades americanas. A base jurídica dessas eventuais transferências também não foi identificada com certeza, limitando‑se a decisão de reenvio a referir que os dados dos utilizadores europeus da rede social Facebook são transferidos «em grande parte» com base em cláusulas contratuais‑tipo previstas pela Decisão 2010/87. Em todo o caso, não tinha sido demonstrado que o contrato entre a Facebook Ireland e a Facebook Inc., invocado em apoio da transferência controvertida, incorpora fielmente essas cláusulas. O Governo alemão contesta também a admissibilidade do reenvio prejudicial pelo facto de o órgão jurisdicional de reenvio não ter verificado se M. Schrems deu indubitavelmente o seu consentimento para as transferências em causa, caso em que estas se baseavam validamente no artigo 26.o, n.o 1, da Diretiva 95/46[, cujo conteúdo o artigo 49.o, n.o 1, alínea a), do RGPD reproduz no essencial].

97. Estes argumentos não põem de modo algum em causa a pertinência do reenvio prejudicial em relação ao objeto do litígio do processo principal. Uma vez que este litígio tem a sua génese no exercício pelo DPC da via de recurso prevista no n.o 65 do Acórdão Schrems, o seu próprio objeto consiste em obter do órgão jurisdicional nacional um reenvio prejudicial sobre a validade da Decisão 2010/87. Os Governos alemão e do Reino Unido contestam, na realidade, a necessidade das questões prejudiciais, não para determinar se esta Decisão é válida, mas para permitir que o DPC se pronuncie in concreto sobre a queixa de M. Schrems .

98. Em todo o caso, mesmo do ponto de vista do processo subjacente ao litígio do processo principal, as questões prejudiciais relativas à validade da Decisão 2010/87 não me parecem irrelevantes. Com efeito, o órgão jurisdicional de reenvio estabeleceu que a Facebook Ireland continuou a transferir os dados dos seus utilizadores para os Estados Unidos após a anulação da Decisão «Porto Seguro» e que essas transferências se baseiam, pelo menos em parte, nessa decisão. Além disso, embora possa ser vantajoso que todos os factos relevantes sejam apurados antes de exercer a sua competência nos termos do artigo 267.o TFUE, cabe apenas ao órgão jurisdicional de reenvio apreciar em que fase do processo necessita de uma decisão prejudicial do Tribunal de Justiça ( 37 ).

99. Tendo em conta as considerações anteriores, entendo que o pedido de decisão prejudicial é admissível.

C. Quanto à aplicabilidade do direito da União às transferências de dados pessoais para fins comerciais para um Estado terceiro suscetível de os tratar para fins de segurança nacional (primeira questão)

100. Com a sua primeira questão, o órgão jurisdicional de reenvio pretende saber se o direito da União é aplicável a uma transferência de dados pessoais por uma sociedade situada num Estado‑Membro para uma sociedade estabelecida num país terceiro por razões comerciais se, depois da transferência se ter iniciado, os dados puderem ser tratados pelas autoridades públicas desse país terceiro para fins que incluam a proteção da segurança nacional.

101. O desafio que esta questão coloca à resolução do litígio no processo principal reside no facto de, se essa transferência não fosse abrangida pelo âmbito de aplicação do direito da União, todas as objeções formuladas contra a validade da Decisão 2010/87 neste processo não teriam fundamento.

102. Como observou o órgão jurisdicional de reenvio, o tratamento de dados pessoais para fins de segurança nacional estava excluído do âmbito de aplicação da Diretiva 95/46 por força do seu artigo 3.o, n.o 2. O artigo 2.o, n.o 2, do RGPD especifica atualmente que este regulamento não se aplica ao tratamento de dados pessoais efetuado no exercício de atividades não sujeitas à aplicação do direito da União ou efetuado pelas autoridades competentes para efeitos de proteção da segurança pública. Estas disposições refletem a reserva de competência que o artigo 4.o, n.o 2, do TUE reconhece aos Estados‑Membros em matéria de proteção da segurança nacional.

103. O DPC, M. Schrems , a Irlanda, os Governos alemão, austríaco, belga, checo, neerlandês, polaco e português, o Parlamento e a Comissão alegam que transferências como as visadas na queixa de M. Schrems não estão abrangidas por estas disposições e que, portanto, se enquadram no âmbito de aplicação do direito da União. A Facebook Ireland defende a tese inversa. Eu adiro ao ponto de vista dos primeiros.

104. A este respeito, importa sublinhar que a transferência de dados pessoais a partir de um Estado‑Membro para um país terceiro constitui, enquanto tal, um «tratamento» na aceção do artigo 4.o, ponto 2, do RGPD, efetuado no território de um Estado‑Membro ( 38 ). A primeira questão prejudicial tem, precisamente, por objeto determinar se o direito da União se aplica ao tratamento que constitui a própria transferência. Esta questão não diz respeito à aplicabilidade do direito da União aos eventuais tratamentos posteriores, pelas autoridades americanas para efeitos de segurança nacional, dos dados transferidos para os Estados Unidos, dados esses que estão seguramente excluídos do âmbito territorial do RGPD ( 39 ).

105. Nesta perspetiva, só deve ser tomada em consideração, para efeitos de determinar se o direito da União se aplica à transferência dos dados em causa, a atividade no âmbito da qual se inscreve a própria transferência, sem que importe o objeto de eventuais tratamentos posteriores a que serão submetidos os dados transferidos no país terceiro de destino ( 40 ).

106. Ora, resulta da decisão de reenvio que a transferência visada na queixa de M. Schrems faz parte de uma atividade comercial. Aliás, esta transferência não é feita com o objetivo de permitir que os dados em causa sejam tratados posteriormente pelas autoridades americanas para fins de segurança nacional.

107. De resto, a abordagem proposta pela Facebook Ireland privaria de efeito útil as disposições do RGPD relativas às transferências para países terceiros, uma vez que nunca se pode excluir que dados transferidos no decurso de uma atividade comercial sejam tratados para fins de segurança nacional após a respetiva transferência.

108. A interpretação que preconizo é confirmada na redação do artigo 45.o, n.o 2, alínea a), do RGPD. Esta disposição refere que, quando adota uma decisão de adequação, a Comissão tem em conta, nomeadamente, a legislação em matéria de segurança nacional do país terceiro em causa. Pode inferir‑se daqui que a possibilidade de os dados serem sujeitos, por parte das autoridades do país terceiro de destino, a um tratamento que tem por objeto a proteção da segurança nacional não torna o direito da União inaplicável ao tratamento que é constituído pela transferência de dados para esse país terceiro.

109. O raciocínio e as conclusões adotadas pelo Tribunal de Justiça no Acórdão Schrems baseiam‑se igualmente nesta premissa. Em especial, o Tribunal de Justiça examinou nesse acórdão a validade da Decisão «Porto Seguro», à luz do artigo 25.o, n.o 6, da Diretiva 95/46, lido à luz da Carta, na medida em que dizia respeito à transferência de dados pessoais para os Estados Unidos, onde eram suscetíveis de ser recolhidos e tratados para efeitos de proteção da segurança nacional ( 41 ).

110. Tendo em conta estas considerações, entendo que o direito da União se aplica à transferência de dados pessoais de um Estado‑Membro para um país terceiro quando essa transferência se inscreve numa atividade comercial, sem que seja importante que os dados transferidos corram o risco de ser tratados pelas autoridades públicas desse país terceiro a fim de proteger a segurança nacional.

D. Quanto ao nível de proteção exigido no âmbito de uma transferência baseada em cláusulas contratuais‑tipo (primeira parte da sexta questão)

111. Nos termos da primeira parte da sua sexta questão, o órgão jurisdicional de reenvio pretende saber qual é o nível de proteção dos direitos fundamentais dos titulares de dados que deve ser assegurado para que os dados pessoais possam ser transferidos para um país terceiro ao abrigo das cláusulas contratuais‑tipo previstas na Decisão 2010/87.

112. Esse órgão jurisdicional sublinha que, no Acórdão Schrems, o Tribunal de Justiça interpretou o artigo 25.o, n.o 6, da Diretiva 95/46 (cujo conteúdo é, no essencial, reproduzido no artigo 45.o, n.o 3, do RGPD), na medida essa disposição previa que a Comissão só pode adotar uma decisão de adequação depois de se ter assegurado que o país terceiro em causa garante um nível de proteção adequado, no sentido de que pressupõe que esta decisão estabelece que esse país assegura um nível de proteção das liberdades e direitos fundamentais substancialmente equivalente ao conferido dentro da União nos termos da Diretiva 95/46, lida à luz da Carta ( 42 ).

113. Neste contexto, a primeira parte da sexta questão prejudicial convida o Tribunal de Justiça a estabelecer se a aplicação das cláusulas contratuais‑tipo adotadas pela Comissão nos termos do artigo 26.o, n.o 4, da Diretiva 95/46 — que correspondem às «clásulas‑tipo» a partir de agora mencionadas no artigo 46.o, n.o 2, alínea c), do RGPD — deve permitir atingir um nível de proteção correspondente ao mesmo padrão de «equivalência substancial».

114. A este propósito, o artigo 46.o, n.o 1, do RGPD prevê que, se não tiver sido tomada uma decisão de adequação, os responsáveis pelo tratamento só podem transferir dados pessoais para um país terceiro «se tiverem apresentado garantias adequadas, e na condição de os titulares dos dados gozarem de direitos oponíveis e de medidas jurídicas corretivas eficazes» (o sublinhado é meu) ( 43 ). Nos termos do artigo 46.o, n.o 2, alínea c), do RGPD, essas garantias podem resultar, nomeadamente, de «cláusulas‑tipo de proteção» elaboradas pela Comissão.

115. À semelhança do DPC, de M. Schrems e da Irlanda, considero que as «garantias adequadas» fornecidas pelo responsável pelo tratamento às quais se refere o artigo 46.o, n.o 1, do RGPD devem assegurar que os direitos das pessoas cujos dados são transferidos beneficiam, tal como no âmbito de uma transferência baseada numa decisão de adequação, de um nível de proteção substancialmente equivalente ao resultante do RGPD, lido à luz da Carta.

116. Esta conclusão decorre do objetivo desta disposição e do instrumento de que faz parte.

117. Os artigos 45.o e 46.o do RGPD têm como objetivo assegurar a continuidade do elevado nível de proteção dos dados pessoais assegurado por este regulamento, quando transferidos para fora da União. Com efeito, o artigo 44.o do RGPD, com a epígrafe «Princípio geral das transferências», abre o capítulo V, relativo às transferências para países terceiros, enunciando que todas as disposições deste capítulo são aplicadas de forma a assegurar que não é comprometido o nível de proteção garantido pelo RGPD em caso de transferência para um Estado terceiro ( 44 ). Esta regra visa evitar que os padrões de proteção que decorrem do direito da União sejam contornados transferindo dados pessoais para um país terceiro com vista ao seu tratamento nesses países ( 45 ). À luz deste objetivo, é indiferente que a transferência se baseie numa decisão de adequação ou em garantias oferecidas pelo responsável do tratamento, nomeadamente através de cláusulas contratuais. As exigências de proteção dos direitos fundamentais garantidos pela Carta não estabelecem qualquer distinção em função da base jurídica em que assenta uma determinada transferência ( 46 ).

118. Em contrapartida, a forma como a continuidade do elevado nível de proteção é preservada difere em função da base jurídica da transferência.

119. Por um lado, uma decisão de adequação tem como objeto estabelecer que o país terceiro visado assegura ele próprio um nível de proteção substancialmente equivalente àquele que deve ser alcançado dentro do direito da União. A adoção de uma decisão de adequação pressupõe que a Comissão avalie previamente, em relação a um determinado país terceiro, o nível de proteção garantido pela legislação e pelas práticas desse país terceiro, à luz dos fatores enunciados no artigo 45.o, n.o 3, do RGPD. Os dados pessoais podem então ser transferidos para o referido país terceiro sem que o responsável pelo tratamento tenha de obter uma autorização específica.

120. Por outro lado, como exposto com maior detalhe na secção seguinte, as garantias adequadas oferecidas pelo responsável pelo tratamento destinam‑se a assegurar um elevado nível de proteção na hipótese de uma insuficiência das garantias disponíveis no país terceiro de destino. Assim, embora o artigo 46.o, n.o 1, do RGPD permita a transferência de dados pessoais para Estados terceiros que não asseguram um nível adequado de proteção, esta disposição só permite essas transferências quando forem oferecidas garantias adequadas por outros meios. As cláusulas contratuais‑tipo adotadas pela Comissão preveem, a este respeito, um mecanismo geral aplicável às transferências seja qual for o país terceiro de destino e o nível de proteção que é aí assegurado.

E. Quanto à validade da Decisão 2010/87 à luz dos artigos 7.o, 8.o e 47.o da Carta (sétima, oitava e décima primeira questões)

121. Com a sua sétima questão, o órgão jurisdicional de reenvio pergunta, em substância, se a Decisão 2010/87 é inválida pelo facto de não impor nenhuma obrigação às autoridades dos Estados terceiros para os quais os dados pessoais são transferidos ao abrigo das cláusulas contratuais‑tipo previstas no anexo desta decisão e, em particular, pelo facto de não os impedir de exigir ao importador que coloque esses dados à sua disposição. Assim, esta questão põe em causa a própria possibilidade de assegurar um nível adequado de proteção desses dados através de mecanismos de natureza exclusivamente contratual. A décima primeira questão incide, em termos mais globais, sobre a validade da Decisão 2010/87 à luz dos artigos 7.o, 8.o e 47.o da Carta.

122. A oitava questão convida o Tribunal de Justiça a determinar se uma autoridade de controlo é obrigada a usar dos poderes que lhe são conferidos pelo artigo 58.o, n.o 2, alíneas f) e j), do RGPD para suspender uma transferência para um país terceiro com base nas cláusulas contratuais‑tipo previstas na Decisão 2010/87 se considerar que o importador de dados está ali sujeito a obrigações que o impedem de honrar essas cláusulas e que têm por efeito não ser assegurada uma proteção adequada dos dados transferidos. Na medida em que a resposta a esta questão tem, na minha opinião, impacto na validade da Decisão 2010/87 ( 47 ), trato‑a conjuntamente com a sétima e décima primeira questões.

123. O enunciado do artigo 46.o, n.o 1, do RGPD, na medida em que prevê que, «[n]ão tendo sido tomada qualquer decisão nos termos do artigo 45.o, n.o 3, os responsáveis pelo tratamento ou subcontratantes só podem transferir dados pessoais para um país terceiro […] se tiverem apresentado garantias adequadas […]» (o sublinhado é meu), expõe a lógica de que procedem os mecanismos contratuais como o previsto na Decisão 2010/87. Como sublinham os considerandos 108 e 114 do RGPD, estes mecanismos têm por objeto permitir as transferências para países terceiros relativamente aos quais a Comissão não adotou uma decisão de adequação, uma vez que as eventuais insuficiências da proteção assegurada no ordenamento jurídico desse país são então compensadas por garantias que o exportador e o importador dos dados se obrigam contratualmente a respeitar.

124. Uma vez que a razão de ser das garantias contratuais consiste precisamente em sanar as possíveis lacunas na proteção oferecida pelos países terceiros de destino quaisquer que eles sejam, a validade de uma decisão pela qual a Comissão considera que determinadas cláusulas‑tipo preenchem adequadamente essas lacunas não pode depender do nível de proteção oferecido em cada um dos países terceiros para os quais os dados podem ser transferidos. A validade dessa decisão depende apenas da solidez das garantias que essas cláusulas preveem para compensar uma eventual insuficiência da proteção no país terceiro de destino. A eficácia destas garantias deve ser avaliada tendo em conta também as salvaguardas que constituem os poderes das autoridades de controlo nos termos do artigo 58.o, n.o 2, do RGPD.

125. A este respeito, tal como salientaram, no essencial, o DPC, M. Schrems , a BSA, a Irlanda, os Governos austríaco, francês, polaco e português e a Comissão, as garantias contidas nas cláusulas contratuais‑tipo podem ser reduzidas, ou mesmo suprimidas, quando a legislação do país terceiro de destino impõe ao importador obrigações contrárias ao que é exigido nessas cláusulas. Assim, o contexto jurídico prevalecente no país terceiro de destino pode, em funç