Vec C‑362/14

Maximillian Schrems

proti

Data Protection Commissioner

[návrh na začatie prejudiciálneho konania, ktorý podal High Court (Írsko)]

„Návrh na začatie prejudiciálneho konania — Osobné údaje — Ochrana fyzických osôb pri spracovaní týchto údajov — Charta základných práv Európskej únie — Články 7, 8 a 47 — Smernica 95/46/ES — Články 25 a 28 — Prenos osobných údajov do tretích krajín — Rozhodnutie 2000/520/ES — Prenos osobných údajov do Spojených štátov — Neprimeraná úroveň ochrany — Platnosť — Sťažnosť fyzickej osoby, ktorej osobné údaje boli prenesené z Európskej únie do Spojených štátov — Právomoci vnútroštátnych dozorných orgánov“

Abstrakt – Rozsudok Súdneho dvora (veľká komora) zo 6. októbra 2015

Aproximácia právnych predpisov — Ochrana fyzických osôb pri spracovaní osobných údajov — Smernica 95/46 — Prenos osobných údajov do tretích krajín — Prijatie rozhodnutia konštatujúceho primeranú úroveň ochrany v tretej krajine Komisiou — Vnútroštátny dozorný orgán, na ktorý sa obrátila osoba so žiadosťou týkajúcou sa ochrany práv a slobôd pri spracovaní prenesených údajov týkajúcich sa žiadateľa — Žiadateľ, ktorý spochybňuje primeranú úroveň ochrany v tejto tretej krajine — Povinnosť tohto orgánu preskúmať žiadosť — Rozsah skúmania

Pozri text rozhodnutia. (pozri bod 38)

Pozri text rozhodnutia. (pozri body 40, 41)

Vnútroštátny dozorné orgány disponujú veľkým rozsahom právomocí a tieto právomoci, ktoré sú demonštratívne vymenované v článku 28 ods. 3 smernice 95/46 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov, predstavujú nevyhnutné prostriedky na vykonávanie ich povinností, ako to zdôrazňuje odôvodnenie 63 tejto smernice. Tieto orgány majú najmä vyšetrovacie právomoci, akým je právo zbierať všetky nevyhnutné informácie pre plnenie ich kontrolných povinností, efektívne právomoci intervencie, ako je napríklad uvalenie dočasného alebo úplného zákazu na spracovanie údajov, alebo tiež právomoc obrátiť sa na súdne orgány. Pokiaľ ide o právomoc kontrolovať prenosy osobných údajov do tretích krajín, z článku 28 ods. 1 a 6 smernice 95/46 iste vyplýva, že právomoci vnútroštátnych dozorných orgánov sa týkajú spracovania osobných údajov vykonaných na území členského štátu, ktorému tieto orgány podliehajú, takže nemajú právomoci na základe tohto článku 28 vo vzťahu k spracovaniu takýchto údajov vykonanému na území tretej krajiny. Napriek tomu činnosť spočívajúca v prenose osobných údajov z členského štátu do tretej krajiny však ako taká predstavuje spracovanie osobných údajov v zmysle článku 2 písm. b) smernice 95/46 vykonané na území členského štátu. V dôsledku toho keďže vnútroštátne dozorné orgány sú v súlade s článkom 8 ods. 3 Charty základných práv Európskej únie a s článkom 28 smernice 95/46 poverené kontrolou dodržiavania pravidiel Únie o ochrane fyzických osôb pri spracovaní osobných údajov, každý z nich má právomoc overiť, či prenos osobných údajov z členského štátu, ktorému podlieha, do tretej krajiny spĺňa požiadavky stanovené touto smernicou. (pozri body 43 – 45, 47)

Komisia môže prijať na základe článku 25 ods. 6 smernice 95/46 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov rozhodnutie, ktorým sa konštatuje, že tretia krajina zaisťuje primeranú úroveň ochrany. Adresátom takéhoto rozhodnutia sú v súlade s druhým pododsekom tohto ustanovenia členské štáty, ktoré musia prijať opatrenia potrebné na dosiahnutie súladu s týmto rozhodnutím. Podľa článku 288 štvrtého odseku ZFEÚ je záväzné pre všetky členské štáty, ktoré sú jeho adresátmi, a teda aj pre všetky ich orgány v rozsahu, v akom má za následok, že oprávňuje prenosy osobných údajov z členských štátov do tretej krajiny, ktorá je ním dotknutá. Preto pokiaľ rozhodnutie Komisie nebolo vyhlásené za neplatné Súdnym dvorom, ktorý jediný má právomoc rozhodnúť o neplatnosti aktu Únie, členské štáty a ich orgány, medzi ktoré patria ich nezávislé dozorné orgány, nepochybne nemôžu prijať opatrenia v rozpore s týmto rozhodnutím, akým sú akty, ktorými sa záväzne konštatuje, že tretia krajina dotknutá uvedeným rozhodnutím nezaisťuje primeranú úroveň ochrany. Akty inštitúcií Únie totiž požívajú v zásade prezumpciu zákonnosti, a preto majú právne účinky dovtedy, kým neboli zrušené orgánom, ktorý ich prijal, zrušené v konaní o žalobe o neplatnosť alebo vyhlásené za neplatné v nadväznosti na návrh na začatie prejudiciálneho konania alebo námietku nezákonnosti. Hoci vnútroštátne súdy majú nepochybne právo preskúmať platnosť aktu Únie, nemajú napriek tomu právomoc samy určiť neplatnosť takéhoto aktu. A fortiori vnútroštátne dozorné orgány pri skúmaní žiadosti v zmysle článku 28 ods. 4 tejto smernice týkajúcej sa zlučiteľnosti takéhoto rozhodnutia Komisie s ochranou súkromia a slobôd a základných práv osôb nemajú právo samy určiť neplatnosť takéhoto rozhodnutia. Za predpokladu, že uvedený orgán dospeje k záveru, že skutočnosti uvedené na podporu takejto žiadosti sú nedôvodné a túto žiadosť z tohto dôvodu odmietne, osoba, ktorá ju podala, musí mať, ako vyplýva z článku 28 ods. 3 druhého pododseku smernice 95/46 v spojení s článkom 47 Charty základných práv Európskej únie, možnosť podať súdne prostriedky nápravy, ktoré jej umožnia spochybniť takéto rozhodnutie, ktoré jej spôsobuje ujmu, na vnútroštátnych súdoch. Za týchto podmienok sú tieto súdy povinné prerušiť konanie a predložiť Súdnemu dvoru návrh na začatie prejudiciálneho konania o posúdenie platnosti, pokiaľ sa domnievajú, že jeden alebo viaceré dôvody neplatnosti uvedené účastníkmi konania, prípadne vznesené z úradnej moci, sú dôvodné. Za opačného predpokladu, keď uvedený orgán považuje výhrady vznesené osobou, ktorá podala žiadosť týkajúcu sa ochrany jej práv a slobôd pri spracovaní jej osobných údajov, za dôvodné, ten istý orgán musí v súlade s článkom 28 ods. 3 prvým pododsekom treťou zarážkou smernice 95/46 v spojení najmä s článkom 8 ods. 3 Charty základných práv Európskej únie mať možnosť obrátiť sa na súdne orgány. V tomto ohľade je úlohou vnútroštátneho zákonodarcu stanoviť prostriedky nápravy umožňujúce dotknutému vnútroštátnemu dozornému orgánu uplatniť výhrady, ktoré považuje za dôvodné, na vnútroštátnych súdoch, aby tieto podali, ak majú rovnaké pochybnosti ako tento orgán, pokiaľ ide o platnosť rozhodnutia Komisie, návrh na začatie prejudiciálneho konania na účely preskúmania platnosti tohto rozhodnutia. (pozri body 51, 52, 61, 62, 64, 65)

Článok 25 ods. 6 smernice 95/46 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov v spojení s článkami 7, 8 a 47 Charty základných práv Európskej únie sa má vykladať v tom zmysle, že rozhodnutie prijaté podľa tohto ustanovenia, ktorým Komisia konštatuje, že tretia krajina zaisťuje primeranú úroveň ochrany, nebráni tomu, aby dozorný orgán členského štátu v zmysle článku 28 tejto smernice preskúmal žiadosť osoby v súvislosti s ochranou jej práv a slobôd pri spracovaní osobných údajov, ktoré sa jej týkajú a ktoré boli prenesené z členského štátu do tejto tretej krajiny, ak táto osoba tvrdí, že platné právo a prax v tejto krajine nezaisťujú primeranú úroveň ochrany. Ak by to bolo inak, osoby, ktorých osobné údaje boli alebo by mohli byť prenesené do dotknutej tretej krajiny, by boli zbavené práva zaručeného článkom 8 ods. 1 a 3 Charty základných práv Európskej únie podať na vnútroštátne dozorné orgány žiadosť na účely ochrany ich základných práv. Okrem toho žiadosť v zmysle článku 28 ods. 4 smernice 95/46, ktorou táto osoba uvádza, že právo a prax tejto krajiny nezaisťujú, napriek tomu, čo konštatovala Komisia v rozhodnutí prijatom podľa článku 25 ods. 6 tejto smernice, primeranú úroveň ochrany, treba vnímať v podstate ako týkajúcu sa zlučiteľnosti tohto rozhodnutia s ochranou súkromia a slobôd a základných práv osôb. Za týchto podmienok ak osoba, ktorej osobné údaje boli alebo by mohli byť prenesené do tretej krajiny, ktorá je predmetom rozhodnutia Komisie podľa článku 25 ods. 6 smernice 95/46, podá na vnútroštátny dozorný orgán takúto žiadosť, je úlohou tohto orgánu preskúmať túto žiadosť so všetkou náležitou starostlivosťou, ktorá sa vyžaduje. (pozri body 58, 59, 63, 66 a bod 1 výroku)

Výraz „primeraná úroveň ochrany“ nachádzajúci sa v článku 25 ods. 6 smernice 95/46 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov treba chápať v tom zmysle, že vyžaduje, aby táto tretia krajina skutočne zaistila z dôvodu jej vnútroštátneho práva alebo medzinárodných dohôd, ktoré podpísala, úroveň ochrany slobôd a základných práv, ktorá je v podstate rovnocenná úrovni ochrany zaručenej v rámci Únie podľa tejto smernice v spojení s Chartou základných práv Európskej únie. Za týchto podmienok pri skúmaní úrovne ochrany ponúkanej treťou krajinou musí Komisia posúdiť obsah pravidiel uplatniteľných v tejto krajine, ktoré vyplývajú z vnútroštátneho práva alebo medzinárodných dohôd, ktoré podpísala, ako aj prax smerujúcu k zabezpečeniu dodržiavania týchto pravidiel, pričom táto inštitúcia musí v súlade s článkom 25 ods. 2 smernice 95/46 zohľadniť všetky okolnosti týkajúce sa prenosu osobných údajov do tretej krajiny. Rovnako vzhľadom na skutočnosť, že úroveň ochrany zaručená treťou krajinou sa môže vyvíjať, je úlohou Komisie po prijatí rozhodnutia podľa článku 25 ods. 6 smernice 95/46 pravidelne preskúmať, či zistenie týkajúce sa primeranej úrovne ochrany zaručenej dotknutou treťou krajinou je stále skutkovo a právne odôvodnené. Takéto overenie je v každom prípade potrebné, ak z indícií vyplývajú pochybnosti v tomto ohľade. Vzhľadom na dôležitú úlohu, ktorú na jednej strane zohráva ochrana osobných údajov so zreteľom na základné právo rešpektovania súkromného života a na druhej strane významné množstvo osôb, ktorých základné práva môžu byť porušené v prípade prenosu osobných údajov do tretej krajiny, ktorá nezaisťuje primeranú úroveň ochrany, je voľná úvaha Komisie, pokiaľ ide o úroveň ochrany zaistenú treťou krajinou, obmedzená, takže treba pristúpiť k prísnemu preskúmaniu požiadaviek vyplývajúcich z článku 25 smernice 95/46 v spojení s Chartou základných práv Európskej únie. (pozri body 73, 75, 76, 78)

Prijatie rozhodnutia na základe článku 25 ods. 6 smernice 95/46 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov Komisiou, akým je rozhodnutie 2000/520 o primeranosti ochrany poskytovanej zásadami bezpečného prístavu a súvisiacimi často kladenými otázkami vydanými Ministerstvom obchodu Spojených štátov amerických, vyžaduje riadne odôvodnené konštatovanie tejto inštitúcie, že dotknutá tretia krajina skutočne zaisťuje z dôvodu jej vnútroštátneho práva alebo medzinárodných dohôd, ktoré podpísala, úroveň ochrany základných práv, ktorá je v podstate rovnocenná úrovni ochrany zaručenej v právnom poriadku Únie. Preto v rozsahu, v akom tak Komisia vo svojom rozhodnutí 2000/520 neurobila, článok 1 tohto rozhodnutia porušuje požiadavky stanovené v článku 25 ods. 6 smernice 95/46 v spojení s Chartou základných práv Európskej únie a je preto neplatný. Zásady bezpečného prístavu sú totiž výlučne uplatniteľné na americké samocertifikované organizácie, ktoré získali osobné údaje z Únie bez toho, aby sa vyžadovalo, že americké orgány verejnej moci budú podliehať týmto zásadám. Navyše rozhodnutie 2000/520 umožňuje zasahovanie založené na požiadavkách týkajúcich sa národnej bezpečnosti, verejného záujmu alebo vnútroštátneho práva Spojených štátov, a to do základných práv osôb, ktorých osobné údaje sú alebo by mohli byť prenesené z Únie do Spojených štátov bez toho, aby obsahovalo ustanovenie, čo sa týka existencie pravidiel štátnej povahy v Spojených štátoch, ktorých cieľom by bolo obmedzenie prípadných zásahov do týchto práv, a ustanovenie o existencii účinnej právnej ochrany pred zásahmi tohto druhu. Okrem toho Komisia prekročila právomoc, ktorá jej bola priznaná v článku 25 ods. 6 smernice 95/46 v spojení s Chartou základných práv Európskej únie, prijatím článku 3 rozhodnutia 2000/520, ktorý je z tohto dôvodu neplatný. Tento článok treba totiž chápať tak, že zbavuje vnútroštátne dozorné orgány právomocí, ktoré im vyplývajú z článku 28 smernice 95/46 v prípade, keď osoba uvedie v rámci žiadosti podľa tohto ustanovenia skutočnosti spôsobilé spochybniť zlučiteľnosť rozhodnutia Komisie, ktoré na základe článku 25 ods. 6 tejto smernice konštatovalo, že tretia krajina zaisťuje primeranú úroveň ochrany, s ochranou súkromného života a slobôd a základných práv osôb. Vykonávacia právomoc priznaná Komisii normotvorcom Únie v článku 25 ods. 6 smernice 95/46 však nepriznáva tejto inštitúcii právomoc obmedziť právomoci vnútroštátnych dozorných orgánov. Vzhľadom na to, že články 1 a 3 rozhodnutia 2000/520 sú neoddeliteľné od článkov 2 a 4, ako aj od jeho príloh, ich neplatnosť má za následok neplatnosť celého rozhodnutia. (pozri body 82, 87 – 89, 96 – 98, 102 – 105 a bod 2 výroku)