C 297/4

Hotărârea Curții (Marea Cameră) din 16 iulie 2020 (cerere de decizie preliminară formulată de High Court (Irlanda) – Irlanda) – Data Protection Commissioner/Facebook Ireland Limited, Maximillian Schrems

(Cauza C-311/18) (1)

(„Trimitere preliminară - Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal - Carta drepturilor fundamentale a Uniunii Europene - Articolele 7, 8 și 47 - Regulamentul (UE) 2016/679 - Articolul 2 alineatul (2) - Domeniu de aplicare - Transferuri de date cu caracter personal în scopuri comerciale către țări terțe - Articolul 45 - Decizie privind caracterul adecvat al nivelului de protecție a Comisiei - Articolul 46 - Transferuri în baza unor garanții adecvate - Articolul 58 - Competențe ale autorităților de supraveghere - Prelucrare a datelor transferate de autoritățile publice ale unei țări terțe în scopuri de securitate națională - Aprecierea caracterului adecvat al nivelului de protecție asigurat în țara terță - Decizia 2010/87/UE - Clauze standard de protecție pentru transferul de date cu caracter personal către țări terțe - Garanții adecvate oferite de operator - Validitate - Decizia de punere în aplicare (UE) 2016/1250 - Caracterul adecvat al protecției oferite de Scutul de confidențialitate Uniunea Europeană-Statele Unite - Validitate - Plângere formulată de o persoană fizică ale cărei date au fost transferate din Uniunea Europeană către Statele Unite)

(2020/C 297/05)

Limba de procedură: engleza

Instanța de trimitere

High Court (Irlanda)

Părțile din procedura principală

Reclamant: Data Protection Commissioner

Pârâți: Facebook Ireland Limited, Maximillian Schrems

cu participarea: The United States of America, Electronic Privacy Information Centre, BSA Business Software Alliance Inc., Digitaleurope

Dispozitivul

1) Articolul 2 alineatele (1) și (2) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) trebuie interpretat în sensul că un transfer de date cu caracter personal efectuat în scopuri comerciale de un operator economic stabilit într-un stat membru către un alt operator economic stabilit într-o țară terță intră în domeniul de aplicare al acestui regulament, în pofida faptului că, în cursul sau în urma transferului menționat, datele respective sunt susceptibile de a fi prelucrate de autoritățile țării terțe în cauză în scopuri de siguranță publică, de apărare și de securitate a statului.

2) Articolul 46 alineatul (1) și articolul 46 alineatul (2) litera (c) din Regulamentul 2016/679 trebuie interpretate în sensul că garanțiile adecvate, drepturile opozabile și căile de atac eficiente prevăzute de aceste dispoziții trebuie să asigure că drepturile persoanelor ale căror date cu caracter personal sunt transferate către o țară terță în temeiul unor clauze standard de protecție a datelor beneficiază de un nivel de protecție în esență echivalent cu cel garantat în cadrul Uniunii Europene de regulamentul menționat, interpretat în lumina cartei. În acest scop, evaluarea nivelului de protecție asigurat în contextul unui astfel de transfer trebuie în special să ia în considerare atât stipulațiile contractuale convenite între operator sau persoana împuternicită de operator stabiliți în Uniunea Europeană și destinatarul transferului stabilit în țara terță în cauză, cât și, în ceea ce privește un eventual acces al autorităților publice ale acestei țări terțe la datele cu caracter personal astfel transferate, elementele relevante ale sistemului juridic al acesteia, în special cele prevăzute la articolul 45 alineatul (2) din regulamentul menționat.

3) Articolul 58 alineatul (2) literele (f) și (j) din Regulamentul 2016/679 trebuie interpretat în sensul că, cu excepția cazului în care există o decizie privind caracterul adecvat al nivelului de protecție adoptată în mod valabil de Comisia Europeană, autoritatea de supraveghere competentă este obligată să suspende sau să interzică un transfer de date către o țară terță întemeiat pe clauze standard de protecție a datelor adoptate de Comisie, atunci când această autoritate de supraveghere consideră, în lumina tuturor împrejurărilor proprii transferului menționat, că aceste clauze nu sunt sau nu pot fi respectate în țara terță respectivă și că protecția datelor transferate impusă de dreptul Uniunii, în special de articolele 45 și 46 din acest regulament și de Carta drepturilor fundamentale, nu poate fi asigurată prin alte mijloace, în cazul în care operatorul însuși sau persoana împuternicită de operator stabiliți în Uniune nu a suspendat ori nu a încetat transferul.

4) Analiza Deciziei 2010/87/UE a Comisiei din 5 februarie 2010 privind clauzele contractuale tip pentru transferul de date cu caracter personal către persoanele stabilite în țări terțe în temeiul Directivei 95/46/CE a Parlamentului European și a Consiliului, astfel cum a fost modificată prin Decizia de punere în aplicare (UE) 2016/2297 a Comisiei din 16 decembrie 2016, în raport cu articolele 7, 8 și 47 din Carta drepturilor fundamentale, nu a evidențiat niciun element de natură să afecteze validitatea acestei decizii.

5) Decizia de punere în aplicare (UE) 2016/1250 a Comisiei din 12 iulie 2016 în temeiul Directivei 95/46/CE a Parlamentului European și a Consiliului privind caracterul adecvat al protecției oferite de Scutul de confidențialitate UE-SUA este nevalidă.

(1) JO C 249, 16.7.2018.