Comisia poate adopta, în temeiul articolului 25 alineatul (6) din Directiva 95/46 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date, o decizie prin care să constate că o țară terță asigură un nivel de protecție adecvat. O astfel de decizie are drept destinatari, în conformitate cu cel de al doilea paragraf al dispoziției menționate, statele membre, care trebuie să ia măsurile necesare pentru a se conforma acesteia. În temeiul articolului 288 al patrulea paragraf TFUE, aceasta are un caracter obligatoriu pentru toate statele membre destinatare și este obligatorie, așadar, pentru toate organele lor, în măsura în care are drept efect autorizarea transferurilor de date cu caracter personal din statele membre către țările terțe vizate de aceasta.

În acest sens, atât timp cât decizia Comisiei nu a fost declarată nevalidă de către Curte, singura competentă să constate nevaliditatea unui act al Uniunii, statele membre și organele lor, printre care se numără și autoritățile lor de supraveghere independente, nu pot, desigur, să adopte măsuri contrare acestei decizii, cum ar fi acte prin care se urmărește să se constate cu efect obligatoriu că țara terță vizată de decizia menționată nu asigură un nivel de protecție adecvat. Astfel, actele instituțiilor Uniunii beneficiază în principiu de o prezumție de legalitate și produc, așadar, efecte juridice atât timp cât nu au fost revocate, anulate în cadrul unei acțiuni în anulare sau declarate nule în urma unei trimiteri preliminare ori a unei excepții de nelegalitate.

Deși instanțele naționale sunt, desigur, competente să examineze validitatea unui act al Uniunii, acestea nu dispun însă de competența de a constata ele însele nevaliditatea unui astfel de act. A fortiori, cu ocazia examinării unei cereri, în sensul articolului 28 alineatul (4) din această directivă, privind compatibilitatea unei decizii a Comisiei cu protecția vieții private și a drepturilor și libertăților fundamentale ale persoanelor, autoritățile naționale de supraveghere nu sunt abilitate să constate ele însele nevaliditatea unei astfel de decizii.

În ipoteza în care autoritatea menționată ajunge la concluzia că elementele invocate în susținerea unei astfel de cereri sunt nefondate și respinge, prin urmare, această cerere, persoana care a introdus cererea menționată trebuie, așa cum rezultă din cuprinsul articolului 28 alineatul (3) al doilea paragraf din Directiva 95/46 interpretat în lumina articolului 47 din Carta drepturilor fundamentale a Uniunii Europene, să aibă acces la căi de atac jurisdicționale care să îi permită să conteste o asemenea decizie cauzatoare de prejudicii la instanțele naționale. În aceste condiții, aceste instanțe sunt obligate să suspende judecarea cauzei și să sesizeze Curtea cu o procedură de trimitere preliminară în aprecierea validității atunci când consideră că unul sau mai multe motive de nevaliditate formulate de părți sau, dacă este cazul, invocate din oficiu sunt întemeiate.

În ipoteza contrară, în care autoritatea menționată consideră întemeiate motivele invocate de persoana care a sesizat‑o cu o cerere de protecție a drepturilor și libertăților sale în ceea ce privește prelucrarea datelor cu caracter personal, aceeași autoritate trebuie, conform articolului 28 alineatul (3) primul paragraf a treia liniuță din Directiva 95/46 interpretat în lumina în special a articolului 8 alineatul (3) din Carta drepturilor fundamentale a Uniunii Europene, să aibă competența de a acționa în justiție. În această privință, revine legiuitorului național sarcina de a prevedea căi de atac care să permită autorității naționale de supraveghere în cauză să invoce motivele pe care le consideră întemeiate în fața instanțelor naționale, astfel încât acestea din urmă să efectueze, dacă împărtășesc îndoielile acestei autorități în ceea ce privește validitatea deciziei Comisiei, o trimitere preliminară în vederea examinării validității acestei decizii.

(a se vedea punctele 51, 52, 61, 62, 64 și 65)