NÁVRHY GENERÁLNEHO ADVOKÁTA

HENRIK SAUGMANDSGAARD ØE

prednesené 19. decembra 2019 ( 1 )

Vec C–311/18

Data Protection Commissioner

proti

Facebook Ireland Limited,

Maximillian Schrems,

za účasti:

The United States of America,

Electronic Privacy Information Centre,

BSA Business Software Alliance, Inc.,

Digitaleurope

[návrh na začatie prejudiciálneho konania, ktorý podal High Court (Vyšší súd, Írsko)]

„Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 2 ods. 2 – Pôsobnosť – Prenos osobných údajov na obchodné účely do Spojených štátov amerických – Spracúvanie prenesených údajov orgánmi verejnej moci Spojených štátov amerických na účely národnej bezpečnosti – Článok 45 – Posúdenie primeranosti úrovne ochrany zabezpečenej v tretej krajine – Článok 46 – Primerané záruky poskytnuté prevádzkovateľom – Štandardné doložky o ochrane – Článok 58 ods. 2 – Právomoci vnútroštátnych dozorných orgánov – Rozhodnutie 2010/87/EÚ – Platnosť – Vykonávacie rozhodnutie (EÚ) 2016/1250 – ‚Štít na ochranu osobných údajov medzi EÚ a USA‘ – Platnosť – Články 7, 8 a 47 Charty základných práv Európskej únie“

Obsah

I. Úvod II. Právny rámec A. Smernica 95/46/ES B. GDPR C. Rozhodnutie 2010/87 D. Rozhodnutie o „štíte na ochranu osobných údajov“ III. Spor vo veci samej, prejudiciálne otázky a konanie na Súdnom dvore IV. Analýza A. Úvodné poznámky B. O prípustnosti návrhu na začatie prejudiciálneho konania 1. O uplatniteľnosti ratione temporis smernice 95/46 2. O predbežnej povahe pochybností vyjadrených komisárom 3. O pochybnostiach spojených s definíciou skutkového rámca C. O uplatniteľnosti práva Únie na prenosy osobných údajov do tretieho štátu, ktorý ich pravdepodobne spracuje na účely národnej bezpečnosti (prvá otázka) D. O úrovni ochrany požadovanej v rámci prenosu založeného na štandardných zmluvných doložkách (prvá časť šiestej otázky) E. O platnosti rozhodnutia 2010/87 vzhľadom na články 7, 8 a 47 Charty (siedma, ôsma a jedenásta otázka) 1. O povinnostiach záväzných pre prevádzkovateľov 2. O povinnostiach záväzných pre dozorné orgány F. O nepotrebnosti odpovedania na ostatné prejudiciálne otázky a preskúmania platnosti rozhodnutia o „štíte na ochranu osobných údajov“ 1. O nepotrebnosti odpovedí Súdneho dvora na ostatné otázky vzhľadom na predmet sporu vo veci samej 2. O dôvodoch, ktoré svedčia v neprospech toho, aby Súdny dvor vykonal preskúmanie so zreteľom na predmet konania vedeného komisárom G. Subsidiárne pripomienky týkajúce sa účinkov a platnosti rozhodnutia o „štíte na ochranu osobných údajov“ 1. O vplyve rozhodnutia o „štíte na ochranu osobných údajov“ na to, ako dozorný orgán vybavuje sťažnosť týkajúcu sa zákonnosti prenosu založeného na zmluvných zárukách 2. O platnosti rozhodnutia o „štíte na ochranu osobných údajov“ a) Spresnenia týkajúce sa obsahu preskúmania platnosti rozhodnutia o primeranosti 1) O podmienkach porovnania umožňujúcich posúdiť „podstatnú rovnocennosť“ úrovne ochrany 2) O potrebe zabezpečiť primeranú úroveň ochrany počas fázy tranzitu údajov 3) O zohľadnení skutkových zistení vyslovených Komisiou a vnútroštátnym súdom o práve USA 4) O rozsahu štandardu „podstatnej rovnocennosti“ b) O platnosti rozhodnutia o „štíte na ochranu osobných údajov“ vzhľadom na práva na rešpektovanie súkromného života a na ochranu osobných údajov 1) O existencii zásahov 2) O povahe zásahov „stanovených zákonom“ 3) O neexistencii narušenia podstaty základných práv 4) O sledovaní legitímneho cieľa 5) O nevyhnutnosti a primeranosti zásahov c) O platnosti rozhodnutia o „štíte na ochranu osobných údajov“ z hľadiska práva na účinný prostriedok nápravy 1) O účinnosti súdnych prostriedkov nápravy stanovených právom USA 2) O vplyve mechanizmu ombudsmana na úroveň ochrany práva na účinný prostriedok nápravy V. Návrh

I. Úvod

1. Keďže neexistujú spoločné záruky v oblasti ochrany osobných údajov na celosvetovej úrovni, sú cezhraničné toky takýchto údajov spojené s rizikom prerušenia kontinuity úrovne ochrany zabezpečovanej v rámci Európskej únie. S cieľom podporiť tieto toky a zároveň obmedziť toto riziko normotvorca Únie zaviedol tri mechanizmy, na základe ktorých môžu byť osobné údaje prenesené z Únie do tretieho štátu.

2. Po prvé takýto prenos možno vykonať na základe rozhodnutia, ktorým Európska komisia konštatuje, že dotknutý tretí štát zabezpečuje „primeranú úroveň ochrany“ údajov, ktoré sú do tohto štátu prenášané. ( 2 ) Po druhé, ak takéto rozhodnutie neexistuje, prenos je povolený, ak ho sprevádzajú „primerané záruky“ ( 3 ). Tieto záruky môžu mať podobu zmluvy medzi vývozcom a dovozcom údajov, ktorá obsahuje štandardné doložky o ochrane údajov prijaté Komisiou. Po tretie nariadenie GDPR stanovuje niektoré výnimky založené okrem iného na súhlase dotknutej osoby, ktoré dovoľujú prenos do tretej krajiny aj bez rozhodnutia o primeranosti alebo primeraných záruk. ( 4 )

3. Návrh na začatie prejudiciálneho konania, ktorý podal High Court (Vyšší súd, Írsko), sa týka druhého z týchto mechanizmov. Presnejšie sa týka toho, či je rozhodnutie 2010/87/EÚ ( 5 ), ktorým Komisia stanovila štandardné zmluvné doložky pre určité kategórie prenosov, platné vzhľadom na články 7, 8 a 47 Charty základných práv Európskej únie (ďalej len „Charta“).

4. Tento návrh bol podaný v rámci sporu medzi Data Protection Commissioner (komisár pre ochranu údajov, Írsko, ďalej len „komisár“) na jednej strane a spoločnosťou Facebook Ireland Ltd a pánom Maximillianom Schremsom na druhej strane. Pán Schrems predložil komisárovi sťažnosť na prenos osobných údajov týkajúcich sa jeho osoby spoločnosťou Facebook Ireland na jej materskú spoločnosť Facebook Inc. so sídlom v Spojených štátoch amerických (ďalej len „USA“). Komisár zastáva názor, že vybavenie tejto sťažnosti závisí od toho, či je rozhodnutie 2010/87 platné. V tejto súvislosti sa obrátil na vnútroštátny súd, aby tento položil Súdnemu dvoru v tomto ohľade otázku.

5. Hneď na úvod uvádzam, že preskúmanie prejudiciálnych otázok neodhalilo podľa môjho názoru žiadnu skutočnosť, ktorá by mohla ovplyvniť platnosť rozhodnutia 2010/87.

6. Vnútroštátny súd okrem toho poukázal na určité pochybnosti, ktoré sa v podstate týkajú primeranosti úrovne ochrany zabezpečovanej USA vzhľadom na zásahy činností spravodajských orgánov USA do výkonu základných práv osôb, ktorých údaje sú do tejto tretej krajiny prenášané. Tieto pochybnosti nepriamo spochybňujú posúdenia Komisie v tejto súvislosti vo vykonávacom rozhodnutí (EÚ) 2016/1250 ( 6 ). Aj keď vyriešenie sporu vo veci samej si nevyžaduje, aby Súdny dvor o tejto otázke rozhodol, a preto mu navrhujem, aby tak neurobil, subsidiárne uvediem dôvody, ktoré ma vedú k pochybnostiam o platnosti tohto rozhodnutia.

7. Moja analýza sa ako celok bude riadiť hľadaním rovnováhy medzi potrebou preukázať „primeranú mieru pragmatizmu s cieľom umožniť interakciu so zvyškom sveta“ ( 7 ) na jednej strane a potrebou potvrdiť základné hodnoty uznané v právnych poriadkoch Únie a jej členských štátov, a to najmä v Charte, na druhej strane.

II. Právny rámec

A. Smernica 95/46/ES

8. Článok 3 ods. 2 smernice 95/46/ES o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov ( 8 ) stanovoval: „Táto smernica sa neuplatňuje na spracovanie osobných údajov: – v priebehu činností, ktoré sú mimo rozsahu zákona spoločenstva, ako sú tie, ktoré sú uvedené v hlave V a VI Zmluvy o Európskej únii a v žiadnom prípade sa neuplatňujú na operácie spracovania týkajúce sa verejnej bezpečnosti, obrany, bezpečnosti štátu (vrátane hospodárskej prosperity štátu, keď sa operácia spracovania týka záležitostí bezpečnosti štátu) a činností štátu v oblastiach trestného zákona, …“

9. Článok 13 ods. 1 tejto smernice znel: „Členské štáty môžu prijať legislatívne opatrenia na obmedzenie rozsahu povinností a práv uvedených v článkoch 6 ods. 1, v článku 10 a 11 ods. 1, v článkoch 12 a 21, keď takéto obmedzenie vytvára [predstavuje – neoficiálny preklad] nevyhnutné opatrenia na zabezpečenie údajov o [na zabezpečenie – neoficiálny preklad]: a) štátnej bezpečnosti; b) obran[y]; c) verejnej bezpečnosti; d) prevencii, vyšetrovaní, pátraní a trestnom konaní alebo porušení etiky pre predpísané profesie [predchádzania trestným činom alebo porušovaniam pravidiel etiky pre regulované profesie, ich vyšetrovania, odhaľovania a stíhania – neoficiálny preklad]; e) dôležitom hospodárskom alebo finančnom záujme [dôležitého hospodárskeho alebo finančného záujmu – neoficiálny preklad] členského štátu alebo Európskej únie, vrátane peňažných, rozpočtových a daňových záležitostí; f) monitorovaní, inšpekcii alebo regulačnej funkcii spojenej aj s výkonom oficiálneho orgánu v prípadoch uvedených v písmenách c), d) a e) [monitorovacej, kontrolnej alebo regulačnej funkcie spojenej, hoci aj príležitostne, s výkonom verejnej moci v prípadoch uvedených v písmenách c), d) a e) – neoficiálny preklad]; g) ochrane osoby pracujúcej s údajmi [ochrany dotknutej osoby – neoficiálny preklad] alebo práv a slobôd ostatných.“

10. Článok 25 uvedenej smernice stanovoval: „1. Členské štáty zabezpečia, aby sa prenos osobných údajov, ktoré sa spracovávajú alebo sú určené na spracovanie po prenose, do tretej krajiny mohol urobiť len, bez toho, aby boli dotknuté vnútroštátne ustanovenia prijaté v súlade s ostatnými ustanoveniami tejto smernice, [ak – neoficiálny preklad] príslušná tretia krajina zaistí adekvátnu úroveň ochrany. 2. Adekvátnosť úrovne ochrany, ktorú poskytuje tretia krajina sa hodnotí vzhľadom na všetky okolnosti týkajúce sa operácie prenosu údajov alebo komplexu operácií prenosu údajov; zvláštna pozornosť sa venuje charakteru údajov, účelu a trvaniu navrhnutej operácie alebo operácií spracovania, krajine pôvodu a krajine konečného určenia, právnym normám aj všeobecným aj sektorovým, platným v príslušnej tretej krajine a profesionálnym predpisom a bezpečnostným opatreniam, ktorým táto krajina vyhovuje [ktoré sa tam dodržiavajú – neoficiálny preklad]. … 6. Komisia môže zistiť [konštatovať – neoficiálny preklad], podľa postupu uvedeného v článku 31 ods. 2, že tretia krajina zaisťuje adekvátnu úroveň ochrany v rámci znenia odseku 2 tohto článku, z dôvodu jej vnútroštátneho práva alebo medzinárodných dohôd, ktoré podpísala, najmä na základe záverov jednaní uvedených v odseku 5, na ochranu súkromného života a osobných práv a slobôd [slobôd a základných práv osôb – neoficiálny preklad]. Členské štáty prijmú opatrenia potrebné na dosiahnutie súladu s rozhodnutím Komisie.“

11. Článok 26 ods. 2 a 4 tej istej smernice stanovoval: „2. Bez toho, aby boli dotknuté ustanovenia odseku 1 môže členský štát schváliť prenos alebo súbor prenosov osobných údajov do tretej krajiny, ktorá nezaistí adekvátnu úroveň ochrany v rámci znenia článku 25 ods. 2, vtedy keď kontrolór [prevádzkovateľ – neoficiálny preklad] uvádza záruky s ohľadom na ochranu súkromia a základných práv a slobôd jednotlivcov a pokiaľ ide o uplatnenie príslušných práv; takéto záruky môžu vyplývať najmä z príslušných zmluvných klauzúl. … 4. Ak Komisia rozhodne…, že určité štandardné zmluvné klauzuly ponúkajú dostatočné záruky, ako sa to požaduje v odseku 2, členské štáty podniknú nevyhnutné opatrenia, na dosiahnutie súladu s rozhodnutím Komisie.“

12. Článok 28 ods. 3 smernice 95/46 znel takto: „Každý [Každý dozorný orgán – neoficiálny preklad] je zabezpečený [má – neoficiálny preklad] najmä: … – efektívnymi právomocami intervencie [efektívne právomoci intervencie – neoficiálny preklad], ako sú napríklad doručenie stanovísk pred vykonaním operácii spracovania, podľa článku 20 a zabezpečenie príslušného zverejnenia takýchto stanovísk, nariadenie zablokovania, vymazania alebo zničenia údajov, uvalenie dočasného alebo úplného zákazu na spracovanie, upozornenie alebo pripomenutie kontrolórovi [prevádzkovateľovi – neoficiálny preklad], alebo oznámenie záležitosti vnútroštátnemu parlamentu alebo iným politickým inštitúciám, …“

B. GDPR

13. GDPR svojím článkom 94 ods. 1 zrušilo smernicu 95/46 s účinnosťou od 25. mája 2018, kedy toto nariadenie nadobudlo účinnosť v súlade s jeho článkom 99 ods. 2.

14. Článok 2 ods. 2 tohto nariadenia stanovuje: „Toto nariadenie sa nevzťahuje na spracúvanie osobných údajov: a) v rámci činnosti, ktorá nepatrí do pôsobnosti práva Únie; b) členskými štátmi pri vykonávaní činností patriacich do rozsahu pôsobnosti kapitoly 2 hlavy V ZEÚ; … d) príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania, alebo výkonu trestných sankcií vrátane ochrany pred ohrozením verejnej bezpečnosti a jeho predchádzania.“

15. Článok 4 ods. 2 tohto nariadenia vymedzuje pojem „spracúvanie“ ako „operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov, napríklad získavanie, zaznamenávanie, usporadúvanie, štrukturovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia, bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami“.

16. Článok 23 GDPR stanovuje: „1. V práve Únie alebo práve členského štátu, ktorému prevádzkovateľ alebo sprostredkovateľ podliehajú, sa prostredníctvom legislatívneho opatrenia môže obmedziť rozsah povinností a práv ustanovených v článkoch 12 až 22 a v článku 34, ako aj v článku 5, pokiaľ jeho ustanovenia zodpovedajú právam a povinnostiam ustanoveným v článkoch 12 až 22, ak takéto obmedzenie rešpektuje podstatu základných práv a slobôd a je nevyhnutným a primeraným opatrením v demokratickej spoločnosti s cieľom zaistiť: a) národnú bezpečnosť; b) obranu; c) verejnú bezpečnosť; d) predchádzanie trestným činom, ich vyšetrovanie, odhaľovanie alebo stíhanie alebo výkon trestných sankcií vrátane ochrany pred ohrozením verejnej bezpečnosti a jeho predchádzanie; e) iné dôležité ciele všeobecného verejného záujmu Únie alebo členského štátu, najmä predmet dôležitého hospodárskeho alebo finančného záujmu Únie alebo členského štátu…; … 2. Konkrétne musí každé legislatívne opatrenie uvedené v odseku 1 obsahovať osobitné ustanovenia, ktoré v relevantných prípado[ch] upravujú aspoň: a) účely spracúvania alebo kategórie spracúvania; b) kategórie osobných údajov; c) rozsah zavedených obmedzení; d) záruky zabraňujúce zneužitiu údajov alebo nezákonnému prístupu či prenosu; e) určenie prevádzkovateľa alebo kategórií prevádzkovateľov; f) doby uchovávania a uplatniteľné záruky, pričom sa zohľadní povaha, rozsah a účely spracúvania alebo kategórie spracúvania; g) riziká pre práva a slobody dotknutých osôb a h) práva dotknutých osôb na informovanie o obmedzení, pokiaľ tým nie je ohrozený účel obmedzenia.“

17. Článok 44 tohto nariadenia, nazvaný „Všeobecná zásada prenosov“, stanovuje: „Akýkoľvek prenos osobných údajov, ktoré sa spracúvajú alebo sú určené na spracúvanie po prenose do tretej krajiny alebo medzinárodnej organizácii, sa uskutoční len vtedy, ak prevádzkovateľ a sprostredkovateľ dodržiavajú podmienky stanovené v tejto kapitole, ako aj ostatné ustanovenia tohto nariadenia vrátane podmienok následných prenosov osobných údajov z predmetnej tretej krajiny alebo od predmetnej medzinárodnej organizácie do inej tretej krajiny, alebo inej medzinárodnej organizácii. Všetky ustanovenia v tejto kapitole sa uplatňujú s cieľom zabezpečiť, aby sa neohrozila úroveň ochrany fyzických osôb zaručená týmto nariadením.“

18. Článok 45 uvedeného nariadenia, nazvaný „Prenosy na základe rozhodnutia o primeranosti“, stanovuje: „1. Prenos osobných údajov do tretej krajiny alebo medzinárodnej organizácii sa môže uskutočniť, ak Komisia rozhodla, že tretia krajina, územie alebo jeden či viaceré určené sektory v danej tretej krajine alebo predmetná medzinárodná organizácia zaručujú primeranú úroveň ochrany. Na takýto prenos nie je nutné žiadne osobitné povolenie. 2. Pri posudzovaní primeranosti úrovne ochrany zohľadňuje Komisia najmä tieto skutočnosti: a) právny štát, dodržiavanie ľudských práv a základných slobôd, príslušné právne predpisy, a to všeobecné aj odvetvové, vrátane predpisov týkajúcich sa verejnej bezpečnosti, obrany, národnej bezpečnosti a trestného práva a prístupu orgánov verejnej moci k osobným údajom, ako aj vykonávanie takýchto právnych predpisov, pravidiel ochrany údajov, profesijných pravidiel a bezpečnostných opatrení vrátane pravidiel pre následný prenos osobných údajov do ďalšej tretej krajiny alebo medzinárodnej organizácii, ktoré sa v danej tretej krajine alebo medzinárodnej organizácii dodržiavajú, judikatúr[u], ako aj účinné a vymáhateľné práva dotknutej osoby a účinné správne a súdne prostriedky nápravy pre dotknuté osoby, ktorých osobné údaje sa prenášajú; b) existenci[u] a účinné pôsobenie jedného či viacerých nezávislých dozorných orgánov v predmetnej tretej krajine, alebo ktorému podlieha medzinárodná organizácia, so zodpovednosťou za zabezpečenie a presadzovanie dodržiavania pravidiel ochrany údajov vrátane primeraných právomocí pre presadzovanie práva, za poskytovanie pomoci a poradenstva dotknutým osobám pri výkone ich práv a za spoluprácu s dozornými orgánmi členských štátov; a c) medzinárodné záväzky, ktoré dotknutá tretia krajina alebo medzinárodná organizácia prevzala, alebo iné záväzky vyplývajúce z právne záväzných dohovorov alebo nástrojov, ako aj z jej účasti na viacstranných alebo regionálnych systémoch, najmä vo vzťahu k ochrane osobných údajov. 3. Komisia môže po posúdení primeranosti úrovne ochrany rozhodnúť prostredníctvom vykonávacieho aktu, že tretia krajina, územie alebo jeden či viaceré určené sektory v tretej krajine alebo medzinárodná organizácia zaručujú primeranú úroveň ochrany v zmysle odseku 2 tohto článku. Vo vykonávacom akte sa stanoví mechanizmus pravidelného preskúmania, ktoré sa uskutočňuje najmenej raz za štyri roky, v ktorom sa zohľadnia všetky významné zmeny v tretej krajine alebo medzinárodnej organizácii. … 4. Komisia priebežne monitoruje vývoj v tretích krajinách a medzinárodných organizáciách, ktorý by mohol ovplyvniť pôsobenie rozhodnutí prijatých podľa odseku 3 tohto článku a rozhodnutí prijatých na základe článku 25 ods. 6 smernice [95/46]. 5. Komisia na základe dostupných informácií, najmä v nadväznosti na preskúmanie uvedené v odseku 3 tohto článku, rozhodne, že tretia krajina, územie alebo jeden či viaceré určené sektory v tretej krajine alebo medzinárodná organizácia už nezaručujú primeranú úroveň ochrany v zmysle odseku 2 tohto článku, v potrebnom rozsahu prostredníctvom vykonávacích aktov bez retroaktívneho účinku zruší, zmení alebo pozastaví rozhodnutie uvedené v odseku 3 tohto článku. … 6. Komisia začne konzultácie s treťou krajinou alebo medzinárodnou organizáciou s cieľom napraviť stav, ktorý viedol k rozhodnutiu prijatému podľa odseku 5. … 9. Rozhodnutia prijaté Komisiou na základe článku 25 ods. 6 smernice 95/46/ES zostávajú v platnosti, pokiaľ ich Komisia nezmení, nenahradí alebo nezruší rozhodnutím prijatým v súlade s odsekom 3 alebo 5 tohto článku.“

19. Článok 46 toho istého nariadenia, nazvaný „Prenosy vyžadujúce primerané záruky“, je formulovaný takto: „1. Ak neexistuje rozhodnutie podľa článku 45 ods. 3, prevádzkovateľ alebo sprostredkovateľ môže uskutočniť prenos osobných údajov do tretej krajiny alebo medzinárodnej organizácii len vtedy, ak prevádzkovateľ alebo sprostredkovateľ poskytol primerané záruky, a za podmienky, že dotknuté osoby majú k dispozícii vymožiteľné práva a účinné právne prostriedky nápravy. 2. Primerané záruky uvedené v odseku 1 sa môžu ustanoviť bez toho, aby sa dozorný orgán žiadal o akékoľvek osobitné povolenie [aby bolo potrebné akékoľvek osobitné povolenie dozorného orgánu – neoficiálny preklad], prostredníctvom: … c) štandardných doložiek o ochrane údajov, ktoré prijala Komisia v súlade s postupom preskúmania uvedeným v článku 93 ods. 2; … 5. Povolenia členského štátu alebo dozorného orgánu na základe článku 26 ods. 2 smernice [95/46] zostávajú v platnosti, pokým ich tento dozorný orgán podľa potreby nezmení, nenahradí alebo nezruší. Rozhodnutia prijaté Komisiou na základe článku 26 ods. 4 smernice [95/46] zostávajú v platnosti, pokiaľ ich Komisia podľa potreby nezmení, nenahradí alebo nezruší rozhodnutím prijatým v súlade s odsekom 2 tohto článku.“

20. Článok 58 ods. 2, 4 a 5 GDPR znie: „2. Každý dozorný orgán má všetky tieto nápravné právomoci: a) upozorniť prevádzkovateľa alebo sprostredkovateľa na to, že plánované spracovateľské operácie pravdepodobne porušia ustanovenia tohto nariadenia; b) napomenúť prevádzkovateľ[a] alebo sprostredkovateľ[a], ak spracovateľské operácie porušili ustanovenia tohto nariadenia; c) nariadiť prevádzkovateľovi alebo sprostredkovateľovi, aby vyhovel žiadostiam dotknutej osoby o uplatnenie jej práv podľa tohto nariadenia; d) nariadiť prevádzkovateľovi alebo sprostredkovateľovi, aby svoje spracovateľské operácie zosúladil podľa potreby určeným spôsobom a v rámci určenej lehoty s ustanoveniami tohto nariadenia; e) nariadiť prevádzkovateľovi, aby porušenie ochrany osobných údajov oznámil dotknutej osobe; f) nariadiť dočasné alebo trvalé obmedzenie vrátane zákazu spracúvania; … i) uložiť v závislosti od okolností každého jednotlivého prípadu správnu pokutu podľa článku 83, a to popri opatreniach uvedených v tomto odseku alebo namiesto nich; j) nariadiť pozastavenie toku údajov príjemcovi v tretej krajine alebo medzinárodnej organizácii. … 4. Výkon právomocí udelených dozornému orgánu podľa tohto článku podlieha primeraným zárukám vrátane účinného súdneho prostriedku nápravy a riadneho procesu, stanoveným v práve Únie a v práve členského štátu v súlade s chartou. 5. Každý členský štát prostredníctvom právnych predpisov stanoví, že jeho dozorný orgán má právomoc upozorniť justičné orgány na porušenia tohto nariadenia a prípadne začať súdne konanie alebo sa na ňom inak zúčastniť s cieľom presadiť dodržiavanie ustanovení tohto nariadenia.“

C. Rozhodnutie 2010/87

21. Článok 26 ods. 4 smernice 95/46 bol základom pre tri rozhodnutia prijaté Komisiou, v ktorých táto konštatovala, že štandardné zmluvné doložky, ktoré sú v nich uvedené, poskytujú primerané záruky, pokiaľ ide o ochranu súkromia a základných práv a slobôd jednotlivcov, ako aj pokiaľ ide o uplatnenie príslušných práv (ďalej len „rozhodnutia o štandardných zmluvných doložkách“) ( 9 ).

22. Patrí medzi ne rozhodnutie 2010/87, ktorého článok 1 stanovuje, že „štandardné zmluvné doložky uvedené v prílohe sa považujú za doložky, ktoré poskytujú primerané záruky, pokiaľ ide o ochranu súkromia a základných práv a slobôd jednotlivcov ako aj pokiaľ ide o uplatnenie príslušných práv, ako to požaduje článok 26 ods. 2 smernice [95/46]“.

23. Podľa článku 3 tohto rozhodnutia: „Na účely tohto rozhodnutia sa uplatňujú tieto pojmy: … c) ‚vývozca údajov‘ je prevádzkovateľ, ktorý prenáša osobné údaje; d) ‚dovozca údajov‘ je spracovateľ usadený v tretej krajine, ktorý súhlasí, že bude od vývozcu údajov prijímať osobné údaje určené na spracovanie v mene vývozcu údajov po prenose v súlade s jeho pokynmi a podmienkami tohto rozhodnutia a ktorý nepodlieha systému tretej krajiny zaisťujúcemu primeranú ochranu v zmysle článku 25 ods. 1 smernice [95/46]; … f) ‚príslušné právo týkajúce sa ochrany údajov‘ sú právne predpisy chrániace základné práva a slobody jednotlivcov a najmä ich právo [právo na súkromie – neoficiálny preklad] vo vzťahu k spracovaniu osobných údajov, uplatniteľné na prevádzkovateľa údajov v členskom štáte, v ktorom je vývozca údajov usadený; …“

24. Vo svojom pôvodnom znení článok 4 ods. 1 uvedeného rozhodnutia stanovoval: „Bez toho, aby boli dotknuté ich právomoci podnikať právne opatrenia na zabezpečenie dodržiavania vnútroštátnych ustanovení prijatých podľa kapitol II, III, V a VI smernice [95/46], môžu príslušné úrady v členských štátoch uplatniť svoje existujúce právomoci zakázať alebo pozastaviť toky údajov do tretích krajín s cieľom ochrany osôb vo vzťahu k spracovaniu ich osobných údajov v prípadoch, ak: a) sa zistí, že právo, ktorému vývozca údajov alebo subdodávateľ podlieha, mu ukladá povinnosti vo forme výnimky z príslušného práva týkajúceho sa ochrany údajov, ktoré presahujú obmedzenia nevyhnutné v demokratickej spoločnosti stanovené v článku 13 smernice [95/46], ak je pravdepodobné, že tieto povinnosti budú mať závažný nepriaznivý účinok na záruky poskytované príslušným právom týkajúcim sa ochrany údajov a štandardnými zmluvnými doložkami; b) príslušný orgán zistí, že dovozca údajov alebo subdodávateľ nerešpektoval štandardné zmluvné doložky uvedené v prílohe, alebo c) existuje veľká pravdepodobnosť, že štandardné zmluvné doložky uvedené v prílohe nie sú alebo nebudú dodržiavané a pokračujúcim prenosom by vzniklo bezprostredné riziko vážneho poškodenia subjektov údajov.“

25. Článok 4 rozhodnutia 2010/87 vo svojom súčasnom znení, ktoré vyplýva zo zmeny rozhodnutia 2010/87 vykonávacím rozhodnutím (EÚ) 2016/2297 ( 10 ), stanovuje, že „keď príslušné orgány členských štátov uplatnia svoje právomoci podľa článku 28 ods. 3 smernice [95/46], dôsledkom čoho je pozastavenie alebo trvalý zákaz tokov údajov do tretích krajín v záujme ochrany fyzických osôb v súvislosti so spracovaním ich osobných údajov, príslušný členský štát o tom bezodkladne informuje Komisiu, ktorá príslušné informácie postúpi ostatným členským štátom“.

26. Príloha rozhodnutia 2010/87 obsahuje súbor štandardných zmluvných doložiek. Konkrétne doložka 3 uvedená v tejto prílohe, nazvaná „Doložka o oprávnenosti tretej strany“, stanovuje: „1. Subjekt údajov môže ako oprávnená tretia strana uplatňovať voči vývozcovi údajov túto doložku, doložku 4 písm. b) až i), doložku 5 písm. a) až e) a písm. g) až j), doložku 6 ods. 1 a 2, doložku 7, doložku 8 ods. 2 a doložky 9 až 12. 2. Subjekt údajov môže uplatňovať voči dovozcovi údajov túto doložku, doložku 5 písm. a) až e) a písm. g), doložku 6, doložku 7, doložku 8 ods. 2 a doložky 9 až 12 v prípadoch, keď vývozca údajov fakticky zmizol alebo prestal právne existovať, pokiaľ prípadný nástupnícky subjekt neprevzal na základe zmluvy alebo podľa zákona všetky právne záväzky vývozcu údajov, v dôsledku čoho prijíma práva a záväzky vývozcu údajov a subjekt údajov ich v takom prípade môže uplatňovať voči tomuto subjektu. …“

27. Doložka 4 uvedená v tejto prílohe, nazvaná „Povinnosti vývozcu údajov“, stanovuje: „Vývozca údajov súhlasí a zaručuje sa, že: a) spracovanie osobných údajov vrátane ich prenosu bolo a bude aj naďalej vykonávané v súlade s relevantnými ustanoveniami príslušného práva týkajúceho sa ochrany údajov (a prípadne bolo oznámené príslušným orgánom členského štátu, v ktorom má vývozca údajov sídlo) a že neporušuje relevantné ustanovenia daného štátu; b) nariadil a v priebehu trvania služieb spracovania osobných údajov bude nariaďovať dovozcovi údajov, aby prenášané osobné údaje spracovával len v mene vývozcu údajov a v súlade s príslušným právom týkajúcim sa ochrany osobných údajov a s doložkami; c) dovozca údajov poskytne dostatočné záruky, pokiaľ ide o technické a organizačné bezpečnostné opatrenia uvedené v dodatku 2 k tejto zmluve; d) po vyhodnotení požiadaviek príslušného práva týkajúceho sa ochrany údajov sú bezpečnostné opatrenia primerané na zabezpečenie ochrany osobných údajov proti neúmyselnému alebo neoprávnenému zničeniu alebo neúmyselnej strate, zmene, neoprávnenému prezradeniu alebo prístupu najmä v prípadoch, ak spracovanie zahŕňa prenos údajov prostredníctvom siete, ako aj proti všetkým ostatným nezákonným formám spracovania, a že tieto opatrenia zabezpečujú úroveň bezpečnosti primeranú rizikám spojeným so spracovávaním údajov a s povahou údajov, ktoré sa majú chrániť, vzhľadom na stav techniky a nákladnosť ich implementácie; e) zabezpečí plnenie bezpečnostných opatrení; f) ak bude prenos zahŕňať osobitné kategórie údajov, subjekt údajov bol alebo bude informovaný pred jeho uskutočnením alebo čo najskôr po ňom, že môže dôjsť k prenosu jeho údajov do tretej krajiny, ktorá neposkytuje primeranú ochranu v zmysle smernice [95/46]; g) postúpi akékoľvek oznámenie prijaté od vývozcu údajov alebo subdodávateľa podľa doložky 5 písm. b) a doložky 8 ods. 3 dozornému orgánu na ochranu údajov, pokiaľ sa vývozca údajov rozhodne pokračovať v prenose alebo zrušiť jeho pozastavenie; h) na požiadanie poskytne subjektom údajov kópiu doložiek uvedených v tejto prílohe s výnimkou dodatku 2 a súhrnný opis bezpečnostných opatrení, ako aj kópiu akejkoľvek subdodávateľskej zmluvy o službách spracovania údajov, ktorú je nutné uzavrieť v súlade s doložkami, pokiaľ doložky alebo zmluva neobsahujú obchodné informácie, v tomto prípade môže tieto obchodné informácie vynechať; i) v prípade zadania zákazky na spracovanie údajov subdodávateľovi sa činnosť spojená so spracovaním vykonáva v súlade s doložkou 11 subdodávateľom, ktorý zabezpečuje prinajmenšom rovnakú úroveň ochrany osobných údajov a práv subjektu údajov ako dovozca údajov podľa doložiek, a j) zabezpečí dodržiavanie doložky 4 písm. a) až i).“

28. Doložka 5 uvedená v tejto prílohe, nazvaná „Povinnosti vývozcu údajov(1)“, stanovuje: „Dovozca údajov sa zaväzuje a zaručuje, že: a) bude spracovávať osobné údaje iba v mene vývozcu údajov a v súlade s jeho pokynmi a doložkami; ak z akýchkoľvek dôvodov nebude môcť toto dodržiavanie pokynov a doložiek zabezpečiť, zaväzuje sa bezodkladne o tom informovať vývozcu údajov, ktorý je v takom prípade oprávnený pozastaviť prenos údajov a/alebo zmluvu vypovedať; b) nemá dôvod sa domnievať, že právne predpisy, ktorým podlieha, mu bránia plniť pokyny vývozcu údajov a jeho záväzky vyplývajúce zo zmluvy a že v prípade zmeny týchto právnych predpisov, ktorá by mohla mať závažný nepriaznivý účinok na záruky a záväzky stanovené doložkami, bezodkladne oznámi túto zmenu vývozcovi údajov, ktorý je v takom prípade oprávnený pozastaviť prenos údajov a/alebo zmluvu vypovedať; c) pred spracovaním prenášaných osobných údajov vykonal organizačné a technické zabezpečenia uvedené v dodatku 2; d) vývozcovi údajov bezodkladne oznámi: i) akékoľvek právne záväzné požiadavky na sprístupnenie osobných údajov zo strany orgánu presadzovania práva, pokiaľ to nie je inak zakázané, napríklad trestným právom, v záujme zachovania dôvernosti vyšetrovania v rámci presadzovania práva; ii) akýkoľvek neúmyselný alebo neoprávnený prístup a iii) akékoľvek požiadavky pochádzajúce priamo od subjektov údajov bez toho, aby na tieto požiadavky reagoval s výnimkou prípadu, ak je tým inak poverený; e) bude bezodkladne a riadne reagovať na všetky otázky vývozcu údajov súvisiace s jeho spracovateľskými činnosťami osobných údajov, ktoré sú predmetom prenosu, a že bude rešpektovať odporučenia dozorného orgánu, pokiaľ ide o spracovanie prenášaných údajov; f) na žiadosť vývozcu údajov sprístupní svoje zariadenia spracovania údajov na audit spracovateľských činností zahrnutých v doložkách, ktorý vykoná vývozca údajov alebo inšpekčný orgán zložený z nezávislých členov s požadovanou odbornou kvalifikáciou, ktorí budú viazaní povinnosťou mlčanlivosti a budú vybraní vývozcom údajov prípadne po dohode s dozorným orgánom; …“

29. Poznámka pod čiarou 1, na ktorú sa v doložke 5 uvedenej v prílohe rozhodnutia 2010/87 odkazuje, stanovuje: „Povinné požiadavky vnútroštátnych právnych predpisov vzťahujúcich sa na dovozcu údajov, ktoré nepresahujú rámec toho, čo je nevyhnutné v demokratickej spoločnosti na základe jedného zo záujmov uvedených v článku 13 ods. 1 smernice [95/46], t. j. ak predstavujú opatrenia nevyhnutné na zabezpečenie obrany národnej bezpečnosti, verejnej bezpečnosti, na predchádzanie, vyšetrovanie, odhaľovanie a stíhanie trestných činov alebo porušenie etických zásad regulovaných profesií, významného hospodárskeho alebo finančného záujmu štátu alebo ochrany subjektov údajov alebo práv a slobôd iných, nie sú v rozpore so štandardnými zmluvnými doložkami. Príkladmi takých povinných požiadaviek, ktoré nepresahujú rámec toho, čo je v demokratickej spoločnosti nevyhnutné, sú okrem iného medzinárodne uznávané sankcie, požiadavky na priznanie daní alebo požiadavky v súvislosti s ohlasovacou povinnosťou na účely boja proti praniu špinavých peňazí.“

30. Doložka 6 obsiahnutá v tejto prílohe, nazvaná „Zodpovednosť“, znie: „1. Strany sa dohodli že subjekt údajov, ktorý utrpel škodu v dôsledku porušenia povinností uvedených v doložke 3 alebo doložke 11 spôsobeného ktoroukoľvek zo strán alebo subdodávateľom, má nárok na odškodnenie od vývozcu údajov. 2. Ak subjekt údajov nemôže v súlade s odsekom 1 požadovať odškodnenie od vývozcu údajov za porušenie niektorej z povinností dovozcu údajov alebo jeho subdodávateľa uvedených v doložke 3 alebo doložke 11, pretože vývozca údajov fakticky zmizol, prestal právne existovať alebo sa stal platobne neschopným, dovozca údajov sa zaväzuje, že subjekt údajov smie uplatňovať nároky voči dovozcovi údajov, ako by bol vývozcom údajov, pokiaľ prípadný nástupnícky subjekt neprevzal na základe zmluvy alebo podľa zákona všetky právne záväzky vývozcu údajov, v dôsledku čoho ich subjekt údajov môže uplatňovať voči tomuto subjektu. …“

31. Doložka 7 uvedená v tejto prílohe, nazvaná „Mediácia a súdna právomoc“, stanovuje: „1. Dovozca údajov súhlasí, že ak subjekt údajov voči nemu uplatní práva v prospech tretej strany a/alebo nárok na odškodnenie podľa týchto doložiek, dovozca údajov prijme rozhodnutie subjektu údajov: a) postúpiť spor na sprostredkovanie nezávislou osobou alebo prípadne dozorným orgánom; b) postúpiť spor súdom v členskom štáte, v ktorom má sídlo vývozca údajov. 2. Strany sa dohodli, že rozhodnutím subjektu údajov nebudú dotknuté jeho hmotné ani procesné práva na podávanie žalôb v súlade s ostatnými ustanoveniami vnútroštátneho alebo medzinárodného práva.“

32. Doložka 9 uvedená v tej istej prílohe, nazvaná „Rozhodné právo“, stanovuje, že doložky sa majú riadiť právom členského štátu, v ktorom je vývozca údajov usadený.

D. Rozhodnutie o „štíte na ochranu osobných údajov“

33. Článok 25 ods. 6 smernice 95/46 slúžil ako základ pre prijatie dvoch po sebe nasledujúcich rozhodnutí Komisie, v ktorých táto konštatovala, že USA zaručujú primeranú úroveň ochrany osobných údajov prenášaných do podnikov so sídlom v USA, ktoré prostredníctvom postupu osvedčenia vydávaného samotnou organizáciou vyhlásili, že dodržiavajú zásady uvedené v týchto rozhodnutiach.

34. Ako prvé Komisia prijala rozhodnutie 2000/520/ES o primeranosti ochrany poskytovanej zásadami „bezpečného prístavu“ a súvisiacimi s často kladenými otázkami vydanými Ministerstvom obchodu USA ( 11 ). V rozsudku zo 6. októbra 2015, Schrems ( 12 ), Súdny dvor toto rozhodnutie vyhlásil za neplatné.

35. V nadväznosti na tento rozsudok Komisia ako druhé prijala rozhodnutie „o štíte na ochranu osobných údajov“.

36. Článok 1 tohto rozhodnutia stanovuje: „1. Na účely článku 25 ods. 2 smernice [95/46] Spojené štáty zabezpečujú primeranú úroveň ochrany osobných údajov prenášaných z Únie organizáciám v USA v rámci štítu na ochranu osobných údajov medzi EÚ a USA. 2. Štít na ochranu osobných údajov medzi EÚ a USA tvoria zásady vydané Ministerstvom obchodu USA 7. júla 2016, ktoré sú uvedené v prílohe II, a oficiálne vyhlásenia a záväzky obsiahnuté v dokumentoch uvedených v prílohách I, III až VII. 3. Na účely odseku 1 sa osobné údaje prenášajú v rámci štítu na ochranu osobných údajov medzi EÚ a USA, keď sa prenášajú z Únie organizáciám v USA, ktoré sú zahrnuté do ‚zoznamu organizácií zapojených do štítu na ochranu osobných údajov‘, ktorý vedie a sprístupňuje verejnosti Ministerstvo obchodu USA v súlade s oddielmi I a III zásad stanovených v prílohe II.“

37. Príloha III A tohto rozhodnutia s názvom „Mechanizmus ombudsmana pre štít na ochranu osobných údajov medzi EÚ a USA týkajúci sa signálového spravodajstva“, pripojená k listu Johna Kerryho ako Secretary of State (minister zahraničných vecí USA) zo 7. júla 2016, obsahuje memorandum opisujúce nové konanie pred ombudsmanom ako „hlavným koordinátorom medzinárodnej diplomacie v oblasti informačných technológií“ (ďalej len „ombudsman“), ktorého vymenúva minister zahraničných vecí.

38. Podľa tohto memoranda bolo toto konanie zavedené „v záujme uľahčenia spracovávania žiadostí týkajúcich sa prístupu, na účely národnej bezpečnosti, k údajom prenášaným z [Únie] do Spojených štátov na základe štítu na ochranu osobných údajov, štandardných zmluvných doložiek, záväzných firemných pravidiel, ‚výnimiek‘ alebo ‚možných budúcich výnimiek‘ stanovenými postupmi v súlade s platnými právnymi predpismi a politikou Spojených štátov, a odpovedania na tieto žiadosti“.

III. Spor vo veci samej, prejudiciálne otázky a konanie na Súdnom dvore

39. Pán Schrems, rakúsky štátny príslušník s bydliskom v Rakúsku, je používateľom sociálnej siete Facebook. Všetci používatelia tejto sociálnej siete s bydliskom na území Únie sú povinní pri svojej registrácii uzavrieť zmluvu so spoločnosťou Facebook Ireland, dcérskou spoločnosťou spoločnosti Facebook Inc., ktorá má sídlo v USA. Osobné údaje týchto používateľov sa v celom rozsahu alebo sčasti prenášajú na servery patriace spoločnosti Facebook Inc., nachádzajúce sa na území USA, kde sú predmetom spracúvania.

40. Pán Schrems predložil 25. júna 2013 komisárovi sťažnosť, v ktorej od neho v podstate žiadal, aby spoločnosti Facebook Ireland zakázal prenášať jeho osobné údaje do USA. Uviedol, že platné právo a prax v tejto tretej krajine nezabezpečujú dostatočnú ochranu osobných údajov uchovávaných na území tejto krajiny pred zásahmi vyplývajúcimi z činností sledovania, ktoré vykonávajú orgány verejnej moci. Pán Schrems v tejto súvislosti odkázal na odhalenia pána Edwarda Snowdena týkajúce sa činností informačných služieb USA, a to najmä činností National Security Agency (Národná bezpečnostná agentúra, USA, ďalej len „NSA“).

41. Táto sťažnosť bola zamietnutá najmä z dôvodu, že o každej otázke týkajúcej sa primeranosti ochrany zaručenej v USA bolo treba rozhodnúť podľa rozhodnutia o „bezpečnom prístave“. V tomto rozhodnutí Komisia konštatovala, že táto tretia krajina poskytuje primeranú úroveň ochrany osobných údajov prenášaných do podnikov nachádzajúcich sa na území tejto krajiny, ktoré dodržiavajú zásady stanovené v uvedenom rozhodnutí.

42. Pán Schrems podal proti rozhodnutiu o zamietnutí jeho sťažnosti žalobu na High Court (Vyšší súd). Tento súd sa domnieval, že hoci pán Schrems formálne nespochybnil platnosť rozhodnutia o „bezpečnom prístave“, svojou sťažnosťou v skutočnosti namietal proti zákonnosti režimu zavedeného týmto rozhodnutím. Za týchto okolností uvedený súd položil Súdnemu dvoru otázky, ktoré sa v podstate týkali toho, či sú orgány členských štátov príslušné pre ochranu údajov (ďalej len „dozorné orgány“) v prípade, že rozhodujú o sťažnosti týkajúcej sa ochrany práv a slobôd jednotlivca pri spracúvaní osobných údajov, ktoré sa ho týkajú a ktoré boli prenesené do tretieho štátu, viazané zisteniami o primeranosti úrovne ochrany poskytovanej týmto tretím štátom, ktoré vyslovila Komisia na základe článku 25 ods. 6 smernice 95/46, aj keď sťažovateľ proti týmto zisteniam namieta.

43. Súdny dvor po tom, čo v bodoch 51 a 52 rozsudku Schrems rozhodol, že rozhodnutie o primeranosti je pre dozorné orgány záväzné, pokiaľ nebolo vyhlásené za neplatné, v bodoch 63 a 65 tohto rozsudku uviedol: „63. … Ak osoba, ktorej osobné údaje boli alebo by mohli byť prenesené do tretej krajiny, ktorá je predmetom rozhodnutia Komisie podľa článku 25 ods. 6 smernice 95/46, podá na vnútroštátny dozorný orgán žiadosť týkajúcu sa ochrany jej práv a slobôd pri spracovaní týchto údajov a spochybňuje v rámci tejto žiadosti…, zlučiteľnosť tohto rozhodnutia s ochranou súkromia a slobôd a základných práv osôb, je úlohou tohto orgánu preskúmať túto žiadosť so všetkou náležitou starostlivosťou, ktorá sa vyžaduje. … 65. Za… predpokladu, keď uvedený orgán považuje výhrady vznesené [touto osobou], za dôvodné, ten istý orgán musí v súlade s článkom 28 ods. 3 prvým pododsekom treťou zarážkou smernice 95/46 v spojení najmä s článkom 8 ods. 3 Charty mať možnosť obrátiť sa na súdne orgány. V tomto ohľade je úlohou vnútroštátneho zákonodarcu stanoviť prostriedky nápravy umožňujúce dotknutému vnútroštátnemu dozornému orgánu uplatniť výhrady, ktoré považuje za dôvodné, na vnútroštátnych súdoch, aby tieto podali, ak majú rovnaké pochybnosti ako tento orgán, pokiaľ ide o platnosť rozhodnutia Komisie, návrh na začatie prejudiciálneho konania na účely preskúmania platnosti tohto rozhodnutia.“

44. Súdny dvor v uvedenom rozsudku takisto preskúmal platnosť rozhodnutia o „bezpečnom prístave“ vzhľadom na požiadavky vyplývajúce zo smernice 95/46 v spojení s Chartou. Po tomto preskúmaní vyhlásil toto rozhodnutie za neplatné. ( 13 )

45. V nadväznosti na rozsudok Schrems vnútroštátny súd zrušil rozhodnutie, ktorým komisár zamietol sťažnosť pána Schremsa, a vrátil ho komisárovi na preskúmanie. Komisár začal vyšetrovanie a vyzval pána Schremsa, aby upravil znenie svojej sťažnosti vzhľadom na vyhlásenie neplatnosti rozhodnutia o „bezpečnom prístave“.

46. Pán Schrems na tento účel požiadal Facebook Ireland, aby identifikovala právne základy prenosov osobných údajov používateľov sociálnej siete Facebook z Únie do USA. Facebook Ireland bez toho, aby identifikovala všetky právne základy, o ktoré sa opiera, odkázala na dohodu o prenose a spracovávaní údajov (data transfer processing agreement) uzatvorenú medzi ňou a spoločnosťou Facebook Inc., ktorá bola v platnosti od 20. novembra 2015, a odvolala sa na rozhodnutie 2010/87.

47. Vo svojej upravenej sťažnosti pán Schrems na jednej strane tvrdí, že doložky obsiahnuté v tejto dohode nie sú v súlade so štandardnými zmluvnými doložkami uvedenými v prílohe rozhodnutia 2010/87. Na druhej strane pán Schrems tvrdí, že tieto štandardné zmluvné doložky nemôžu v žiadnom prípade byť základom pre prenos osobných údajov, ktoré sa ho týkajú, do USA. Je to tak preto, že právo USA ukladá spoločnosti Facebook Inc. povinnosť sprístupniť osobné údaje používateľov orgánom USA, ako sú NSA a Federal Bureau of Investigation (Federálny úrad pre vyšetrovanie, USA, ďalej len „FBI“), v rámci programov sledovania, ktoré bránia výkonu práv zaručených v článkoch 7, 8 a 47 Charty. Pán Schrems tvrdí, že neexistuje žiaden prostriedok nápravy, ktorý by dotknutým osobám umožňoval uplatniť si svoje práva na rešpektovanie súkromného života a na ochranu osobných údajov. Za týchto okolností pán Schrems od komisára žiada, aby tento prenos pozastavil na základe článku 4 rozhodnutia 2010/87.

48. Facebook Ireland v rámci vyšetrovania vedeného komisárom potvrdila, že naďalej prenáša osobné údaje používateľov sociálnej siete Facebook s bydliskom v Únii do USA a že na tento účel sa z veľkej časti opiera o štandardné zmluvné doložky uvedené v prílohe rozhodnutia 2010/87.

49. Cieľom komisárovho vyšetrovania bolo na jednej strane určiť, či USA zabezpečujú primeranú ochranu osobných údajov občanov Únie, a na druhej strane, v prípade zápornej odpovede určiť, či rozhodnutia o štandardných zmluvných doložkách predstavujú dostatočné záruky, pokiaľ ide o ochranu základných práv a slobôd občanov Únie.

50. V tejto súvislosti sa komisár v návrhu rozhodnutia (draft decision) predbežne domnieval, že právo USA neposkytuje účinné prostriedky nápravy v zmysle článku 47 Charty občanom Únie, ktorých údaje sa prenášajú do USA, kde hrozí ich spracovanie agentúrami USA na účely národnej bezpečnosti spôsobom nezlučiteľným s článkami 7 a 8 Charty. Záruky stanovené doložkami uvedenými v prílohe rozhodnutí o štandardných zmluvných doložkách tento nedostatok podľa neho nenapravujú, pretože nie sú pre orgány alebo agentúry USA záväzné a dotknutým osobám priznávajú iba zmluvné práva proti vývozcovi a/alebo dovozcovi údajov.

51. Za týchto okolností komisár rozhodol, že o sťažnosti pána Schremsa nemôže rozhodnúť, kým Súdny dvor nepreskúma platnosť rozhodnutí o štandardných zmluvných doložkách. Komisár preto podľa ustanovenia bodu 65 rozsudku Schrems predložil vec na konanie vnútroštátnemu súdu, aby tento v prípade, že s pochybnosťami komisára súhlasí, predložil Súdnemu dvoru návrh na začatie prejudiciálneho konania o platnosti týchto rozhodnutí.

52. Vláde USA, Electronic Privacy Information Centre (EPIC), Business Software Alliance (BSA) a Digitaleurope bolo povolené vstúpiť do konania pred vnútroštátnym súdom ako vedľajším účastníkom.

53. Aby určil, či súhlasí s pochybnosťami komisára o platnosti rozhodnutí o štandardných zmluvných doložkách, High Court (Vyšší súd) zobral na vedomie dôkazy predložené stranami sporu a vypočul nimi predložené tvrdenia, ako aj tvrdenia predložené vedľajšími účastníkmi konania. Konkrétne boli ako dôkazy predložené znalecké posudky o ustanoveniach práva USA. V írskom práve sa zahraničné právo považuje za skutkovú okolnosť, ktorá musí byť preukázaná rovnakým spôsobom ako akákoľvek iná skutočnosť. Na základe týchto dôkazov vnútroštátny súd posúdil ustanovenia práva USA povoľujúce sledovanie vládnymi orgánmi a agentúrami, fungovanie dvoch verejne známych programov sledovania („PRISM“ a „Upstream“), rôzne prostriedky nápravy dostupné jednotlivcom, ktorých práva boli opatreniami sledovania porušené, ako aj systémové záruky a kontrolné mechanizmy. Vnútroštátny súd uviedol výsledky tohto posúdenia v rozsudku z 3. októbra 2017, ktorý je pripojený k jeho návrhu na začatie prejudiciálneho konania [ďalej len „rozsudok High Court (Vyšší súd) z 3. októbra 2017“].

54. V tomto rozsudku vnútroštátny súd spomedzi právnych základov, ktoré povoľujú zaznamenávanie zahraničných komunikácií spravodajskými službami USA, odkázal na článok 702 Foreign Intelligence and Surveillance Act (zákon o sledovaní v rámci zahraničného spravodajstva, ďalej len „zákon FISA“) a na Executive Order 12333 (vykonávacie nariadenie č. 12333, ďalej len „vykonávacie nariadenie č. 12333“).

55. Podľa zistení uvedených v tomto rozsudku článok 702 zákona FISA dovoľuje, aby Attorney General (generálny prokurátor, USA) a Director of National Intelligence (DNI) (riaditeľ národnej spravodajskej služby, USA) spoločne s cieľom získať informácie v oblasti zahraničného spravodajstva udelili povolenie na obdobie jedného roka na sledovanie osôb, ktoré nie sú americkými občanmi, ani nemajú v USA trvalý pobyt (ďalej len „osoby, ktoré nie sú občanmi ani rezidentmi USA“), ak je dôvodné domnievať sa, že sa nachádzajú mimo územia USA. ( 14 ) Podľa zákona FISA sa pojmom „zahraničné spravodajstvo“ označujú informácie o schopnosti vlády poskytnúť ochranu pred zahraničnými útokmi, terorizmom, šírením zbraní hromadného ničenia, ako aj o riadení zahraničných vecí USA. ( 15 )

56. Tieto ročné povolenia, rovnako ako postupy upravujúce zacielenie osôb, ktoré sa majú sledovať, a spracúvanie („minimalizáciu“) získaných informácií ( 16 ) musí schváliť Foreign Intelligence Surveillance Court (Súd pre sledovanie v rámci zahraničného spravodajstva, USA, ďalej len „súd FISC“). Zatiaľ čo „tradičné“ sledovanie uskutočnené na základe iných ustanovení zákona FISA si vyžaduje, aby bol preukázaný „pravdepodobný dôvod“, pre ktorý možno mať podozrenie, že sledované osoby sú súčasťou zahraničnej mocnosti alebo sú jej agentmi, činnosti sledovania vykonávané na základe článku 702 zákona FISA nepodliehajú ani preukázaniu takéhoto „pravdepodobného dôvodu“, ani schváleniu zacielenia určitých osôb súdom FISC. Vnútroštátny súd ďalej zistil aj to, že postupy minimalizácie sa neuplatňujú na osoby, ktoré nie sú občanmi ani rezidentmi USA, nachádzajúce sa mimo USA.

57. V praxi je to tak, že keď súd FISC udelí povolenie, agentúra NSA zašle poskytovateľom elektronických komunikačných služieb so sídlom v USA pokyny obsahujúce kritériá vyhľadávania, takzvané „selektory“, priradené k zacieleným osobám (ako sú telefónne čísla alebo emailové adresy). Títo poskytovatelia sú potom povinní agentúre NSA poskytnúť údaje zodpovedajúce selektorom a musia zachovávať pokyny, ktoré im boli adresované, v tajnosti. Majú možnosť podať na súd FISC žalobu o zmenu alebo zrušenie pokynu agentúry NSA. Proti rozhodnutiu súdu FISC možno podať odvolanie na Foreign Intelligence Surveillance Court of Review (Revízny súd pre sledovanie v rámci zahraničného spravodajstva, USA, ďalej len „súd FISCR“).

58. High Court (Vyšší súd) konštatoval, že článok 702 zákona FISA slúži ako právny základ pre programy PRISM a Upstream.

59. V rámci programu PRISM sú poskytovatelia elektronických komunikačných služieb povinní predložiť agentúre NSA všetky komunikácie „zo“ selektora alebo „do“ selektora, ktorý im NSA oznámila. Časť týchto komunikácií bola zaslaná FBI a Central Intelligence Agency (Ústredná spravodajská služba, USA, ďalej len „CIA“). V roku 2015 bolo sledovaných 94386 osôb a v roku 2011 vláda USA v rámci tohto programu získala viac ako 250 miliónov komunikácií.

60. Program Upstream je postavený na povinnej pomoci podnikov prevádzkujúcich „chrbtovú“ sieť, t. j. sieť káblov, prepínačov a smerovačov, cez ktorú prechádzajú telefonické komunikácie a internetová komunikácia. Tieto podniky sú povinné umožniť agentúre NSA kopírovať a filtrovať internetové toky s cieľom získať komunikácie „zo“ selektora, „do“ selektora alebo „o“ selektore, ktorý bol v pokyne tejto agentúry uvedený. Komunikácie „o“ selektore sú tie, ktoré na tento selektor odkazujú, pričom nie je nevyhnutné, aby sa osoba priradená k uvedenému selektoru, ktorá nie je občanom ani rezidentom USA, na týchto komunikáciách zúčastnila. Hoci zo stanoviska súdu FISC z 26. apríla 2017 vyplýva, že od tohto dátumu už vláda USA nezhromažďuje a nezískava žiadne komunikácie „o“ selektore, v tomto stanovisku sa neuvádza, že agentúra NSA prestala kopírovať a filtrovať toky komunikácií prechádzajúce cez jej monitorovacie zariadenie. Agentúra NSA tak má podľa všetkého v programe Upstream prístup tak k metaúdajom, ako aj k obsahu komunikácií. Agentúra NSA od roku 2011 zhromaždila približne 26,5 milióna hovorov ročne v rámci programu Upstream, čo však predstavuje len malú časť komunikácií podliehajúcich procesu filtrovania vykonávaného na základe tohto programu.

61. Okrem toho podľa zistení High Court (Vyšší súd) vykonávacie nariadenie č. 12333 dovoľuje monitorovanie elektronických komunikácií mimo územia USA, pričom na účely zahraničného spravodajstva umožňuje prístup k údajom buď „na ceste“ na územie USA, alebo k údajom „prechádzajúcim“ týmto územím, ktoré nie sú určené na spracovanie na tomto území, ako aj zhromažďovanie a uchovávanie týchto údajov. Vykonávacie nariadenie č. 12333 definuje pojem „zahraničné spravodajstvo“ tak, že zahŕňa aj informácie týkajúce sa schopností, úmyslov alebo činností zahraničných vlád, zahraničných organizácií alebo zahraničných osôb. ( 17 )

62. Vykonávacie nariadenie č. 12333 oprávňuje agentúru NSA na prístup k podmorským káblom umiestneným na dne Atlantického oceánu, cez ktoré sa prenášajú údaje z Únie do USA, skôr, ako tieto údaje prídu do USA, a teda sa na ne budú vzťahovať ustanovenia zákona FISA. Neexistuje však žiadny dôkaz o tom, že by bol nejaký program na základe tohto vykonávacieho nariadenia realizovaný.

63. Hoci vykonávacie nariadenie č. 12333 stanovuje obmedzenia týkajúce sa zhromažďovania, uchovávania a šírenia informácií, tieto obmedzenia sa neuplatňujú na osoby, ktoré nie sú občanmi ani rezidentmi USA. Takéto osoby sú oprávnené len na záruky uvedené v Presidential Policy Directive 28 (prezidentská politická smernica 28, ďalej len „smernica PPD–28“), ktorá sa uplatňuje na všetky činnosti zhromažďovania a používania informácií v oblasti zahraničného signálového spravodajstva. Smernica PPD–28 stanovuje, že rešpektovanie súkromného života je neoddeliteľnou súčasťou úvah, ktoré sa majú zohľadniť pri plánovaní týchto činností, že jediným účelom získavania musí byť získavanie informácií v oblasti zahraničného spravodajstva a tiež kontrarozviedky, a že uvedené činnosti musia byť „čo možno najpresnejšie zacielené“.

64. Podľa vnútroštátneho súdu činnosti agentúry NSA založené na vykonávacom nariadení č. 12333, ktoré môže byť prezidentom USA kedykoľvek zmenené alebo zrušené, nie sú upravené zákonom, nepodliehajú súdnemu dohľadu a nemožno proti nim podať súdny prostriedok nápravy.

65. Na základe týchto konštatovaní sa tento súd domnieva, že USA vykonávajú hromadné a nediferencované spracúvanie osobných údajov, v dôsledku ktorých môže dotknutým osobám hroziť porušenie práv, ktoré pre ne plynú z článkov 7 a 8 Charty.

66. Okrem toho vnútroštátny súd uvádza, že občania Únie nemajú prístup k rovnakým súdnym prostriedkom nápravy proti nezákonnému spracúvaniu ich osobných údajov orgánmi USA ako štátni príslušníci USA. Štvrtý dodatok Ústavy USA, ktorý predstavuje najvýznamnejšiu ochranu proti nezákonnému sledovaniu, sa nevzťahuje na tých občanov Únie, ktorí s USA nemajú významný dobrovoľný vzťah. Hoci títo majú k dispozícii určité iné prostriedky nápravy, stoja im v ceste významné prekážky.

67. Konkrétne článok III Ústavy USA podmieňuje každú žalobu na federálne súdy tým, že dotknutá osoba preukáže svoju aktívnu legitimáciu (standing). Aktívna legitimácia predpokladá najmä to, že táto osoba preukáže, že jej vznikla skutočná škoda, ktorá je jednak konkrétna a individualizovaná, a jednak súčasná alebo bezprostredne hroziaca. Vnútroštátny súd sa domnieva, pričom sa odvoláva okrem iného na rozsudok Supreme Court of the United States (Najvyšší súd USA), Clapper v. Amnesty International US ( 18 ), že splnenie tejto podmienky je v praxi nadmerne sťažené najmä vzhľadom na to, že neexistuje žiadna povinnosť informovať dotknuté osoby o opatreniach sledovania, ktoré boli voči nim prijaté. ( 19 ) Časť prostriedkov nápravy, ktoré majú občania Únie k dispozícii, navyše podlieha dodržaniu iných obmedzujúcich podmienok, ako napríklad potrebe preukázať peňažnú škodu. Zvrchovaná imunita priznaná spravodajským agentúram a utajenie dotknutých informácií takisto predstavujú prekážku pre uplatnenie niektorých prostriedkov nápravy. ( 20 )

68. High Court (Vyšší súd) okrem toho spomína rôzne mechanizmy kontroly a dohľadu nad činnosťami spravodajských agentúr.

69. Medzi tieto patrí na jednej strane mechanizmus každoročného osvedčovania programov založených na článku 702 zákona FISA súdom FISC, v rámci ktorého však súd FISC neschvaľuje individuálne selektory. Zhromažďovanie informácií v oblasti zahraničného spravodajstva podľa vykonávacieho nariadenia č. 12333 okrem toho nepodlieha žiadnemu predchádzajúcemu súdnemu preskúmaniu.

70. Na druhej strane vnútroštátny súd poukazuje na viaceré mechanizmy mimosúdneho dohľadu nad spravodajskými činnosťami. Spomína obzvlášť úlohu Inspectors General (generálni inšpektori, USA), ktorí sú v rámci každej spravodajskej agentúry poverení dohľadom nad činnosťami sledovania. Ďalej, osoby, ktoré sú v rámci jednotlivých agentúr ustanovené do funkcie úradníkov pre ochranu občianskych slobôd alebo súkromia (civil liberties or privacy officers), predkladajú správy Privacy and Civil Liberties Oversight Board (Rada pre dohľad nad ochranou súkromia a občianskych slobôd, USA, ďalej len „rada PCLOB“), nezávislej agentúre patriacej pod výkonnú moc. Rada PCLOB pravidelne predkladá správy parlamentným výborom a prezidentovi. Dotknuté agentúry sú povinné o udalostiach, pri ktorých došlo k porušeniu pravidiel a postupov upravujúcich zhromažďovanie zahraničného spravodajstva, upovedomiť aj riaditeľa národnej spravodajskej služby. Správa o týchto udalostiach sa predkladá aj súdu FISC. Kongres USA prostredníctvom spravodajských výborov snemovne reprezentantov a senátu takisto zodpovedá za kontrolu činností zahraničného spravodajstva.

71. High Court (Vyšší súd) však zdôrazňuje zásadný rozdiel medzi pravidlami, ktorých cieľom je zabezpečiť, že sa údaje získajú zákonným spôsobom a že po ich získaní nedôjde k ich zneužitiu, na jednej strane a na druhej strane prostriedkami nápravy, ktoré sú dostupné v prípade, že dôjde k porušeniu týchto pravidiel. Ochranu základných práv dotknutých osôb možno zabezpečiť len vtedy, ak im účinné prostriedky nápravy umožňujú uplatniť si svoje práva v prípade porušenia uvedených pravidiel.

72. Za týchto okolností vnútroštátny súd považuje za dôvodné tvrdenia predložené komisárom o tom, že obmedzenia, ktorými právne predpisy USA podmieňujú právo na prostriedok nápravy pre osoby, ktorých údaje sa z Únie prenášajú, nerešpektujú podstatu práva zaručeného v článku 47 Charty a v každom prípade predstavujú neprimerané zásahy do výkonu tohto práva.

73. Toto posúdenie nie je podľa High Court (Vyšší súd) spochybnené tým, že vláda USA zaviedla mechanizmus ombudsmana opísaný v rozhodnutí o „štíte na ochranu osobných údajov“. Vnútroštátny súd po zdôraznení, že tento mechanizmus je prístupný občanom Únie, ktorí sa dôvodne domnievajú, že ich údaje boli prenesené podľa rozhodnutí o štandardných zmluvných doložkách ( 21 ), uviedol, že ombudsman nepredstavuje súd, ktorý spĺňa požiadavky článku 47 Charty, a predovšetkým nie je nezávislý od výkonnej moci. ( 22 ) Uvedený súd tiež pochybuje o tom, že zásah ombudsmana, proti rozhodnutiu ktorého nemožno podať súdny prostriedok nápravy, predstavuje účinný prostriedok nápravy. Tento zásah totiž neumožňuje osobám, ktorých osobné údaje boli nezákonne zhromaždené, spracované alebo zdieľané, aby získali odškodnenie alebo príkaz na ukončenie nezákonných činností, pretože ombudsman nepotvrdzuje a ani nepopiera, že sťažovateľ bol predmetom elektronického sledovania.

74. Vnútroštátny súd po tom, ako takto predniesol svoje pochybnosti o obsahovej rovnocennosti záruk podľa práva USA s požiadavkami vyplývajúcimi z článkov 7, 8 a 47 Charty, vyjadril obavy v súvislosti s tým, či štandardné zmluvné doložky stanovené v rozhodnutiach o štandardných zmluvných doložkách – ktoré svojou povahou nie sú pre orgány USA záväzné – napriek tomu dokážu zabezpečiť ochranu základných práv dotknutých osôb. Tento súd z toho vyvodil záver, že súhlasí s pochybnosťami komisára o platnosti týchto rozhodnutí.

75. V tejto súvislosti sa vnútroštátny súd okrem iného domnieva, že na rozptýlenie týchto pochybností nestačí, že článok 28 ods. 3 smernice 95/46, na ktorý odkazuje článok 4 rozhodnutia 2010/87, priznáva dozorným orgánom právomoc pozastaviť alebo zakázať prenosy založené na štandardných zmluvných doložkách stanovených v tomto rozhodnutí. Okrem toho, že táto právomoc má podľa jeho názoru iba diskrečný charakter, vnútroštátny súd má s ohľadom na odôvodnenie 11 rozhodnutia 2010/87 pochybnosti o možnosti jej uplatnenia v prípade, keď sa zistené nedostatky netýkajú konkrétneho a výnimočného prípadu, ale sú všeobecnej a systémovej povahy. ( 23 ) Domnieva sa tiež, že riziko, že sa v rôznych členských štátoch prijmú rozdielne rozhodnutia, môže brániť tomu, aby sa konštatovanie takýchto nedostatkov zverilo dozorným orgánom.

76. Za týchto podmienok High Court (Vyšší súd) rozhodnutím zo 4. mája 2018 ( 24 ), ktoré bolo Súdnemu dvoru doručené 9. mája 2018, rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky: „1. V situácii, keď súkromná spoločnosť prenáša osobné údaje z členského štátu [Únie] súkromnej spoločnosti v tretej krajine na komerčné účely podľa [rozhodnutia 2010/87] a [tieto] môžu byť ďalej spracúvané v tretej krajine jej orgánmi na účely národnej bezpečnosti, ale aj na účely presadzovania práva a plnenia úloh zahraničných vecí uvedenej tretej krajiny, uplatňuje sa právo EÚ, vrátane Charty, na prenos týchto údajov bez ohľadu na ustanovenia článku 4 ods. 2 ZEÚ vo vzťahu k národnej bezpečnosti a ustanovenia prvej zarážky článku 3 ods. 2 smernice [95/46] vo vzťahu k verejnej bezpečnosti, obrane a bezpečnosti štátu? 2. a) Pri určovaní toho, či prenosom údajov z [Únie] do tretej krajiny na základe rozhodnutia [2010/87], v ktorej sa môžu ďalej spracúvať na účely národnej bezpečnosti, došlo k porušeniu práv fyzickej osoby, je príslušným porovnávacím prostriedkom na účely [95/46] smernice: i) Charta, ZEÚ, ZFEÚ, smernica [95/46], [Európsky dohovor o ochrane ľudských práv a základných slobôd, podpísaný v Ríme 4. novembra 1950 (ďalej len ‚EDĽP‘)] (alebo iné ustanovenie práva [Únie]); alebo ii) vnútroštátne právne predpisy jedného alebo viacerých členských štátov? b) Ak je príslušným porovnávacím prostriedkom bod ii), majú byť do porovnávacieho prostriedku zahrnuté aj postupy v kontexte národnej bezpečnosti v jednom alebo viacerých členských štátoch? 3. Pri posudzovaní toho, či tretia krajina zabezpečuje úroveň ochrany vyžadovanú právnymi predpismi EÚ pre osobné údaje prenášané do tejto krajiny na účely článku 26 smernice [95/46], mala by sa úroveň ochrany v tejto tretej krajine posudzovať na základe: a) platných pravidiel v tejto tretej krajine vyplývajúcich z jej vnútroštátnych právnych predpisov alebo medzinárodných záväzkov a praxe určenej na zabezpečenie súladu s týmito pravidlami, vrátane odborných pravidiel a bezpečnostných opatrení, ktoré sa v tejto tretej krajine dodržiavajú; alebo b) pravidiel uvedených v písmene a) spolu s takými administratívnymi a regulačnými postupmi a postupmi v oblasti dodržiavania právnych predpisov, a zárukami vyplývajúcimi zo zásad, postupmi, protokolmi, mechanizmami dohľadu a mimosúdnymi prostriedkami nápravy, ktoré existujú v tejto tretej krajine? 4. Vzhľadom na skutočnosti zistené High Court (Vyšší súd) vo vzťahu k právnym predpisom Spojených štátov amerických, ak sa osobné údaje prenášajú z [Únie] do USA na základe rozhodnutia [2010/87], porušuje to práva fyzickej osoby podľa článkov 7 alebo 8 Charty? 5. Vzhľadom na skutočnosti zistené High Court (Vyšší súd) vo vzťahu k právnym predpisom Spojených štátov amerických, ak sa osobné údaje prenášajú z [Únie] do USA na základe rozhodnutia [2010/87]: a) rešpektuje úroveň ochrany, ktorú poskytujú USA, podstatu práva fyzickej osoby na súdny prostriedok nápravy za porušenie jej práv na ochranu osobných údajov, zaručený článkom 47 Charty? Ak je odpoveď na písmeno a) kladná, b) sú obmedzenia vyplývajúce z právnych predpisov Spojených štátov amerických pre právo fyzickej osoby na súdny prostriedok nápravy v kontexte americkej národnej bezpečnosti primerané v zmysle článku 52 Charty a nevymykajú sa rámcu toho, čo je v demokratickej spoločnosti nevyhnutné na účely národnej bezpečnosti? 6. a) Aká je úroveň ochrany, ktorú je potrebné poskytnúť osobným údajom prenášaným do tretej krajiny na základe štandardných zmluvných doložiek prijatých v súlade s rozhodnutím Komisie podľa článku 26 ods. 4 smernice [95/46] v spojení s ustanoveniami [tejto smernice] a najmä podľa [jej] článkov 25 a 26 v spojení s Chartou? b) Ktoré záležitosti je potrebné zohľadniť pri posudzovaní toho, či úroveň ochrany poskytnutá údajom prenášaným do tretej krajiny na základe rozhodnutia [2010/87] spĺňa požiadavky smernice [95/46] a Charty? 7. Vylučuje skutočnosť, že štandardné zmluvné doložky platia medzi vývozcom údajov a dovozcom údajov a nezaväzujú vnútroštátne orgány tretej krajiny, ktoré môžu od dovozcu údajov požadovať, aby sprístupnil ich bezpečnostným službám na ďalšie spracúvanie osobné údaje prenesené podľa ustanovení upravených v rozhodnutí [2010/87], aby doložky poskytovali primerané záruky, ako to predpokladá článok 26 ods. 2 smernice [95/46]? 8. Ak dovozca údajov z tretej krajiny podlieha právnym predpisom o sledovaní, ktoré sú podľa názoru [dozorného orgánu] v rozpore so štandardnými zmluvnými doložkami alebo článkami 25 a 26 smernice [95/46] alebo Charty, je [dozorný orgán] povinný využiť svoje právomoci na presadzovanie práva podľa článku 28 ods. 3 smernice [95/46] na prerušenie toku údajov alebo je výkon týchto právomocí vzhľadom na odôvodnenie 11 [rozhodnutia 2010/87] obmedzený iba na výnimočné prípady alebo môže [dozorný orgán] využiť svoju voľnú úvahu a neprerušiť toky údajov? 9 a) Predstavuje rozhodnutie [‚o štíte na ochranu osobných údajov‘] na účely článku 25 ods. 6 smernice [95/46] všeobecne záväzné konštatovanie, ktoré je záväzné pre [dozorné orgány] a súdy členských štátov v zmysle, že USA zabezpečujú primeranú úroveň ochrany v zmysle článku 25 ods. 2 smernice [95/46] z dôvodu svojho vnútroštátneho práva alebo medzinárodných záväzkov, ktoré prijali? b) Ak nie, aký (prípadný) význam má rozhodnutie [‚o štíte na ochranu osobných údajov‘] pri posudzovaní primeranosti záruk poskytnutých údajom prenášaným do Spojených štátov, ktoré sa prenášajú na základe rozhodnutia [2010/87]? 10. Vzhľadom na zistenia High Court (Vyšší súd) vo vzťahu k právnym predpisom Spojených štátov amerických zabezpečuje inštitút ombudsmana pre štít na ochranu osobných údajov podľa [prílohy III A] k rozhodnutiu [‚o štíte na ochranu osobných údajov‘] v spojení s existujúcim režimom v Spojených štátoch prostriedok nápravy pre dotknuté osoby, ktorých osobné údaje sa prenášajú do USA na základe rozhodnutia [2010/87], ktorý je zlučiteľný s článkom 47 Charty? 11. Porušuje rozhodnutie [2010/87] články 7, 8 alebo 47 Charty?“

77. Komisár, Facebook Ireland, pán Schrems, vláda USA, EPIC, BSA, Digitaleurope, Írsko, belgická, česká, nemecká, holandská, rakúska, poľská a portugalská vláda a vláda Spojeného kráľovstva, Európsky parlament, ako aj Komisia predložili Súdnemu dvoru písomné pripomienky. Komisár, Facebook Ireland, pán Schrems, vláda USA, EPIC, BSA, Digitaleurope, Írsko, nemecká, francúzska, holandská, rakúska vláda a vláda Spojeného kráľovstva, Parlament, Komisia, ako aj Európsky výbor pre ochranu údajov (ďalej len „EDPB“) boli zastúpené na pojednávaní 9. júla 2019.

IV. Analýza

A. Úvodné poznámky

78. Po vyhlásení neplatnosti rozhodnutia o „bezpečnom prístave“ Súdnym dvorom v rozsudku Schrems sa v prenosoch osobných údajov do USA pokračovalo na iných právnych základoch. Konkrétne spoločnosti vyvážajúce údaje mali možnosť využívať zmluvy s dovozcami údajov zahŕňajúce štandardné doložky vypracované Komisiou. Tieto doložky takisto slúžia ako právny základ pre prenosy do mnohých iných tretích krajín, pre ktoré Komisia neprijala rozhodnutie o primeranosti. ( 25 ) Rozhodnutie o „štíte na ochranu osobných údajov“ v súčasnosti umožňuje podnikom, ktoré samy osvedčili svoje dodržiavanie v ňom uvedených zásad, aby bez ďalších formalít uskutočnili prenos osobných údajov do USA.

79. Ako sa výslovne uvádza v návrhu vnútroštátneho súdu na začatie prejudiciálneho konania a ako to zdôraznili BSA, Digitaleurope, Írsko, rakúska a francúzska vláda, Parlament, ako aj Komisia, spor vo veci samej, ktorý je predmetom konania pred High Court (Vyšší súd), má za cieľ určiť len to, či je rozhodnutie, ktorým Komisia zaviedla štandardné zmluvné doložky uvádzané ako základ pre prenosy, na ktoré sa vzťahuje sťažnosť pána Schremsa, t. j. rozhodnutie 2010/87 ( 26 ), platné.

80. Tento spor má svoj pôvod v návrhu, ktorým komisár požiadal vnútroštátny súd, aby Súdnemu dvoru položil prejudiciálnu otázku týkajúcu sa platnosti rozhodnutia 2010/87. Podľa vnútroštátneho súdu sa tak spor vo veci samej týka výkonu prostriedku nápravy, k zavedeniu ktorého boli členské štáty vyzvané Súdnym dvorom v bode 65 rozsudku Schrems.

81. Pripomínam, že Súdny dvor v bode 63 tohto rozsudku rozhodol, že dozorný orgán je povinný s náležitou starostlivosťou vybaviť sťažnosť, v rámci ktorej osoba, ktorej osobné údaje boli alebo by mohli byť prenesené do tretej krajiny, na ktorú sa vzťahuje rozhodnutie o primeranosti, spochybňuje zlučiteľnosť tohto rozhodnutia so základnými právami zakotvenými v Charte. Podľa bodu 65 uvedeného rozsudku musí mať tento orgán na základe článku 28 ods. 3 prvého pododseku tretej zarážky smernice 95/46 (ktorému zodpovedá článok 58 ods. 5 nariadenia GDPR) v spojení s článkom 8 ods. 3 Charty právomoc podať návrh na začatie súdneho konania v prípade, že považuje výhrady uvedené v tejto sťažnosti za dôvodné. V tejto súvislosti musí vnútroštátny zákonodarca stanoviť prostriedky nápravy, ktoré tomuto orgánu umožnia predložiť tieto výhrady vnútroštátnym súdom, aby tieto súdy, ak s pochybnosťami tohto orgánu súhlasia, podali na návrh na začatie prejudiciálneho konania o platnosti predmetného rozhodnutia.

82. Rovnako ako vnútroštátny súd sa domnievam, že tieto zistenia sa analogicky uplatnia v prípade, ak má dozorný orgán pri vybavovaní sťažnosti, ktorá mu bola predložená, pochybnosti nie o platnosti rozhodnutia o primeranosti, ale o platnosti rozhodnutia, akým je rozhodnutie 2010/87, ktorým sa stanovujú štandardné zmluvné doložky pre prenos osobných údajov do tretích krajín. Na rozdiel od tvrdenia nemeckej vlády nie je rozhodujúce, či tieto pochybnosti zodpovedajú výhradám, na ktoré ho upozornil sťažovateľ, alebo či tento orgán spochybňuje platnosť predmetného rozhodnutia z vlastnej iniciatívy. Požiadavky vyplývajúce z článku 58 ods. 5 nariadenia GDPR a článku 8 ods. 3 Charty, na ktorých je odôvodnenie Súdneho dvora založené, sa totiž uplatňujú bez ohľadu na právny základ prenosu, proti ktorému bola sťažnosť na dozorný orgán podaná, a na dôvody, ktoré tento orgán viedli v rámci vybavovania tejto sťažnosti k pochybnostiam o platnosti predmetného rozhodnutia.

83. Vzhľadom na uvedené spresnenie komisár požiadal vnútroštátny súd, aby Súdnemu dvoru položil otázku o platnosti rozhodnutia 2010/87, z toho dôvodu, že vysvetlenie Súdneho dvora v tejto veci považuje za nevyhnutné pre vybavenie sťažnosti, ktorou pán Schrems od neho žiada, aby vykonal právomoc, ktorú mu priznáva článok 28 ods. 3 druhá zarážka – a v súčasnosti článok 58 ods. 2 písm. f) nariadenia GDPR – t. j., aby nariadil pozastavenie prenášania osobných údajov týkajúcich sa pána Schremsa spoločnosťou Facebook Ireland spoločnosti Facebook Inc.

84. Zatiaľ čo spor vo veci samej sa teda týka len platnosti rozhodnutia 2010/87 in abstracto, konanie na prvom stupni vedené komisárom súvisí s výkonom právomoci komisára prijímať nápravné opatrenia v konkrétnom prípade. Súdnemu dvoru navrhnem, aby sa obmedzil na preskúmanie položených otázok v rozsahu potrebnom na rozhodnutie o platnosti rozhodnutia 2010/87, pretože takéto preskúmanie bude postačovať na to, aby vnútroštátny súd mohol vyriešiť spor, ktorý prejednáva. ( 27 )

85. Skôr, ako sa posúdi platnosť tohto rozhodnutia, je potrebné zamietnuť niektoré námietky vznesené proti prípustnosti návrhu na začatie prejudiciálneho konania.

B. O prípustnosti návrhu na začatie prejudiciálneho konania

86. Prípustnosť návrhu na začatie prejudiciálneho konania bola spochybnená z rôznych dôvodov, ktoré sa týkajú najmä neuplatniteľnosti smernice 95/46 z hľadiska ratione temporis uvedenej v prejudiciálnych otázkach (oddiel 1), skutočnosti, že konanie pred komisárom nedospelo do dostatočne pokročilého štádia na účely odôvodnenia jeho užitočnosti (oddiel 2), a existencie nejasností sprevádzajúcich skutkový rámec opísaný vnútroštátnym súdom (oddiel 3).

87. Na tieto námietky neprípustnosti odpoviem s ohľadom na prezumpciu relevantnosti, ktorá sa vzťahuje na otázky položené Súdnemu dvoru na základe článku 267 ZFEÚ. Podľa ustálenej judikatúry môže Súdny dvor odmietnuť rozhodnúť o návrhu na začatie prejudiciálneho konania podanom vnútroštátnym súdom len vtedy, ak je zjavné, že požadovaný výklad práva Únie nemá nijakú súvislosť s existenciou alebo predmetom sporu vo veci samej, pokiaľ ide o hypotetický problém, alebo ak Súdny dvor nedisponuje skutkovými a právnymi podkladmi potrebnými na užitočnú odpoveď na otázky, ktoré mu boli položené. ( 28 )

1. O uplatniteľnosti ratione temporis smernice 95/46

88. Facebook Ireland namieta neprípustnosť prejudiciálnych otázok z dôvodu, že odkazujú na smernicu 95/46, hoci táto smernica bola zrušená a nahradená nariadením GDPR s účinnosťou od 25. mája 2018. ( 29 )

89. Súhlasím s názorom, že platnosť rozhodnutia 2010/87 treba preskúmať vzhľadom na ustanovenia nariadenia GDPR.

90. Článok 94 ods. 2 tohto nariadenia stanovuje, že „odkazy na zrušenú smernicu sa považujú za odkazy na [uvedené nariadenie]“. Podľa môjho názoru z toho vyplýva, že tým, že rozhodnutie 2010/87 uvádza ako právny základ článok 26 ods. 4 smernice 95/46, má sa chápať tak, že odkazuje na článok 46 ods. 2 písm. c) nariadenia GDPR, ktorý v podstate preberá jeho obsah. ( 30 ) Vykonávacie rozhodnutia prijaté Komisiou podľa článku 26 ods. 4 smernice 95/46 pred nadobudnutím účinnosti nariadenia GDPR sa preto musia vykladať s prihliadnutím na toto nariadenie. Prípadné posúdenie ich platnosti sa takisto musí vykonať s ohľadom na uvedené nariadenie.

91. Tento záver nie je v rozpore s judikatúrou, podľa ktorej sa zákonnosť aktu Únie má posudzovať podľa skutkových a právnych okolností existujúcich v čase prijatia tohto aktu. Táto judikatúra sa totiž týka preskúmania platnosti aktu Únie vzhľadom na relevantné skutkové okolnosti v čase jeho prijatia ( 31 ) alebo na procesné pravidlá upravujúce jeho prijatie. ( 32 ) Naopak, Súdny dvor opakovane preskúmal platnosť aktov sekundárneho práva z hľadiska hmotnoprávnych noriem vyššej právnej sily, ktoré nadobudli účinnosť po prijatí týchto aktov. ( 33 )

92. Skutočnosť, že v znení prejudiciálnych otázok je označený akt, ktorý už nie je ratione temporis uplatniteľný, síce odôvodňuje preformulovanie týchto otázok, nemôže však spôsobiť ich neprípustnosť. ( 34 ) Ako uviedli komisár a pán Schrems, odkazy na smernicu 95/46 v znení prejudiciálnych otázok sa navyše môžu vysvetliť vzhľadom na procesný harmonogram prejednávanej veci, keďže tieto otázky boli Súdnemu dvoru predložené skôr, ako nariadenie GDPR nadobudlo účinnosť.

93. V každom prípade ustanovenia nariadenia GDPR, ktoré budú na účely analýzy prejudiciálnych otázok rozoberané – t. j. konkrétne jeho články 45, 46 a 58 – v podstate preberajú obsah článkov 25, 26 a 28 smernice 95/46 a zároveň ho rozvíjajú a spresňujú. Pokiaľ ide o ich relevantnosť na účely rozhodnutia o platnosti rozhodnutia 2010/87, nevidím žiadny dôvod priznať týmto ustanoveniam nariadenia GDPR iný rozsah, než aký mali príslušné ustanovenia smernice 95/46. ( 35 )

2. O predbežnej povahe pochybností vyjadrených komisárom

94. Podľa nemeckej vlády je návrh na začatie prejudiciálneho konania neprípustný z dôvodu, že konanie o prostriedku nápravy uvedené v bode 65 rozsudku Schrems predpokladá, že dozorný orgán si už vytvoril konečný názor na dôvodnosť výhrad vznesených sťažovateľom proti platnosti predmetného rozhodnutia. Podľa nej však o takýto prípad nejde v prejednávanej veci, keďže komisár vyjadril pochybnosti o platnosti rozhodnutia 2010/87, proti ktorému pán Schrems okrem iného nenamieta, v návrhu rozhodnutia, ktorý bol prijatý predbežne s výhradou prípadného predloženia ďalších pripomienok zo strany spoločnosti Facebook Ireland a pána Schremsa.

95. Podľa môjho názoru sa predbežná povaha pochybností vyjadrených komisárom nedotýka prípustnosti návrhu na začatie prejudiciálneho konania. Kritériá prípustnosti prejudiciálnej otázky totiž musia byť posúdené vo vzťahu k predmetu sporu, tak ako ho vymedzil vnútroštátny súd. ( 36 ) Pritom je nesporné, že tento sa týka platnosti rozhodnutia 2010/87. Z návrhu na začatie prejudiciálneho konania a rozsudku, ktorý je k nemu pripojený, vyplýva, že vnútroštátny súd usúdil, že pochybnosti vyjadrené komisárom – bez ohľadu na to, či tieto boli predbežné alebo konečné – sú dôvodné, a v dôsledku toho položil Súdnemu dvoru otázku o platnosti tohto rozhodnutia. Za týchto okolností nie sú žiadne pochybnosti o tom, že vysvetlenie Súdneho dvora v tejto súvislosti je relevantné na to, aby vnútroštátny súd mohol vyriešiť spor, o ktorom rozhoduje.

3. O pochybnostiach spojených s definíciou skutkového rámca

96. Vláda Spojeného kráľovstva tvrdí, že skutkový rámec opísaný vnútroštátnym súdom vykazuje viacero nedostatkov, ktoré svedčia proti prípustnosti prejudiciálnych otázok. Tvrdí, že vnútroštátny súd neobjasnil, či boli osobné údaje týkajúce sa pána Schremsa skutočne prenesené do USA, a v prípade kladnej odpovede ani to, či boli orgánmi USA zhromaždené. Právny základ týchto prípadných prenosov takisto nebol s určitosťou identifikovaný, keďže návrh na začatie prejudiciálneho konania uvádzal len toľko, že údaje európskych používateľov sociálnej siete Facebook sú prenášané „prevažne“ na základe štandardných zmluvných doložiek stanovených v rozhodnutí 2010/87. V každom prípade podľa nej nebolo preukázané, že tieto doložky sú v zmluve medzi spoločnosťou Facebook Ireland a spoločnosťou Facebook Inc., ktorá bola uvedená ako základ sporných prenosov, verne prevzaté. Nemecká vláda spochybňuje prípustnosť návrhu na začatie prejudiciálneho konania aj z dôvodu, že vnútroštátny súd nepreskúmal, či niet pochýb o tom, že pán Schrems dal na dané prenosy svoj súhlas, pričom v takom prípade by tieto boli platne založené na článku 26 ods. 1 smernice 95/46 [ktorého obsah je v podstate prevzatý v článku 49 ods. 1 písm. a) nariadenia GDPR].

97. Tieto tvrdenia nijako nespochybňujú relevantnosť návrhu na začatie prejudiciálneho konania vo vzťahu k predmetu sporu vo veci samej. Keďže tento spor vzišiel z toho, že komisár vykonal prostriedok nápravy stanovený v bode 65 rozsudku Schrems, jeho samotným cieľom je dosiahnuť, aby vnútroštátny súd predložil návrh na začatie prejudiciálneho konania o platnosti rozhodnutia 2010/87. Nemecká vláda a vláda Spojeného kráľovstva v skutočnosti spochybňujú nevyhnutnosť prejudiciálnych otázok, nie pokiaľ ide o určenie toho, či je toto rozhodnutie platné, ale pokiaľ ide o ich nevyhnutnosť na to, aby komisár mohol rozhodnúť konkrétne o sťažnosti pána Schremsa.

98. V každom prípade, aj z pohľadu tohto konania na prvom stupni, ktoré je základom pre spor vo veci samej, sa mi prejudiciálne otázky týkajúce sa platnosti rozhodnutia 2010/87 nezdajú byť irelevantné. Vnútroštátny súd totiž preukázal, že Facebook Ireland po vyhlásení neplatnosti rozhodnutia o „bezpečnom prístave“ naďalej prenáša údaje svojich používateľov do USA a že tieto prenosy sú prinajmenšom sčasti založené na rozhodnutí 2010/87. Navyše, hoci môže byť výhodné, aby boli všetky relevantné skutočnosti preukázané skôr, ako vnútroštátny súd vykoná svoju právomoc na základe článku 267 ZFEÚ, je iba na ňom, aby posúdil, v ktorom štádiu konania potrebuje rozhodnutie Súdneho dvora v prejudiciálnom konaní. ( 37 )

99. Na základe uvedeného sa domnievam, že návrh na začatie prejudiciálneho konania je prípustný.

C. O uplatniteľnosti práva Únie na prenosy osobných údajov do tretieho štátu, ktorý ich pravdepodobne spracuje na účely národnej bezpečnosti (prvá otázka)

100. Svojou prvou otázkou sa vnútroštátny súd pýta, či sa právo Únie uplatňuje na prenos osobných údajov spoločnosťou so sídlom v členskom štáte do spoločnosti so sídlom v tretej krajine na obchodné účely, ak po tom, čo sa s prenosom začalo, môžu orgány verejnej moci tejto tretej krajiny údaje spracúvať na účely zahŕňajúce ochranu národnej bezpečnosti.

101. Význam tejto otázky pre rozhodnutie sporu vo veci samej spočíva v tom, že ak by takýto prenos nepatril do pôsobnosti práva Únie, všetky námietky vznesené proti platnosti rozhodnutia 2010/87 v prejednávanej veci by boli neopodstatnené.

102. Ako poznamenal vnútroštátny súd, spracúvanie osobných údajov na účely národnej bezpečnosti bolo z pôsobnosti smernice 95/46 vylúčené na základe článku 3 ods. 2 tejto smernice. Článok 2 ods. 2 nariadenia GDPR v súčasnosti spresňuje, že toto nariadenie sa okrem iného neuplatňuje na spracovanie údajov v rámci činnosti, ktorá nepatrí do pôsobnosti práva Únie, alebo na spracovanie údajov príslušnými orgánmi na účely ochrany verejnej bezpečnosti. Tieto ustanovenia odrážajú skutočnosť, že článok 4 ods. 2 ZEÚ vyhradzuje členským štátom právomoc v oblasti ochrany národnej bezpečnosti.

103. Komisár, pán Schrems, Írsko, nemecká, rakúska, belgická, belgická, česká, holandská, poľská a portugalská vláda, ako aj Parlament a Komisia tvrdia, že na prenosy, o aké ide v sťažnosti pána Schremsa, sa tieto ustanovenia nevzťahujú, a preto patria do pôsobnosti práva Únie. Facebook Ireland obhajuje opačné stanovisko. Ja súhlasím s názorom prvých spomenutých strán.

104. V tejto súvislosti je dôležité zdôrazniť, že prenos osobných údajov z členského štátu do tretej krajiny ako taký predstavuje „spracúvanie“ v zmysle článku 4 ods. 2 nariadenia GDPR vykonávané na území členského štátu. ( 38 ) Cieľom prvej prejudiciálnej otázky je práve určiť, či sa právo Únie uplatňuje na spracúvanie spočívajúce v samotnom prenose. Táto otázka sa netýka uplatniteľnosti práva Únie na prípadné neskoršie spracúvanie údajov, ktoré boli do USA prenesené, orgánmi USA na účely národnej bezpečnosti, ktoré sú z územnej pôsobnosti nariadenia GDPR vylúčené. ( 39 )

105. Z tohto hľadiska treba na účely určenia, či sa na prenos predmetných údajov uplatňuje právo Únie, zohľadniť len činnosť, pod ktorú tento prenos patrí, pričom účel prípadného ďalšieho spracúvania, ktoré na prenesených údajoch vykonajú orgány verejnej moci tretej krajiny určenia, nie je relevantný. ( 40 )

106. Z návrhu vnútroštátneho súdu na začatie prejudiciálneho konania pritom vyplýva, že prenos uvedený v sťažnosti pána Schremsa je súčasťou obchodnej činnosti. Tento prenos sa okrem toho neuskutočnil s cieľom umožniť neskoršie spracúvanie predmetných údajov orgánmi USA na účely národnej bezpečnosti.

107. Navyše, prístup navrhovaný spoločnosťou Facebook Ireland by zbavil ustanovenia nariadenia GDPR týkajúce sa prenosov do tretích krajín potrebného účinku, pretože nikdy nemožno vylúčiť, že sa údaje prenesené v rámci obchodnej činnosti budú po ich prenose spracúvať na účely národnej bezpečnosti.

108. Výklad, ktorý navrhujem, má oporu v znení článku 45 ods. 2 písm. a) nariadenia GDPR. Toto ustanovenie uvádza, že pri prijímaní rozhodnutia o primeranosti Komisia zohľadní aj právne predpisy dotknutej tretej krajiny v oblasti národnej bezpečnosti. Z toho možno vyvodiť záver, že možnosť, že údaje budú orgánmi tretej krajiny určenia spracúvané na účely ochrany národnej bezpečnosti, nerobí právo Únie neuplatniteľným na spracúvanie spočívajúce v prenose údajov do tejto tretej krajiny.

109. Odôvodnenie a závery prijaté Súdnym dvorom v rozsudku Schrems takisto vychádzajú z tejto premisy. Konkrétne Súdny dvor v rozsudku Schrems preskúmal platnosť rozhodnutia o „bezpečnom prístave“ v rozsahu, v akom sa týkalo prenosu osobných údajov do USA, kde mohli byť zhromažďované a spracovávané na účely ochrany národnej bezpečnosti, s ohľadom na článok 25 ods. 6 smernice 95/46 v spojení s Chartou. ( 41 )

110. Vzhľadom na tieto úvahy sa domnievam, že právo Únie sa uplatňuje na prenos osobných údajov z členského štátu do tretej krajiny, keď k tomuto prenosu dochádza v rámci obchodnej činnosti, pričom je irelevantné, že prenesené údaje prípadne budú orgánmi verejnej moci tejto tretej krajiny spracúvané s cieľom chrániť jej národnú bezpečnosť.

D. O úrovni ochrany požadovanej v rámci prenosu založeného na štandardných zmluvných doložkách (prvá časť šiestej otázky)

111. Vnútroštátny súd sa v prvej časti svojej šiestej otázky pýta, aká úroveň ochrany základných práv dotknutých osôb musí byť zabezpečená na to, aby mohli byť osobné údaje prenášané do tretej krajiny na základe štandardných zmluvných doložiek, ktoré sú stanovené v rozhodnutí 2010/87.

112. Tento súd zdôrazňuje, že v rozsudku Schrems Súdny dvor vyložil ustanovenie článku 25 ods. 6 smernice 95/46 (ktorého obsah je v podstate prebratý v článku 45 ods. 3 nariadenia GDPR) o tom, že Komisia môže prijať rozhodnutie o primeranosti, až keď sa ubezpečí, že dotknutá tretia krajina zaručuje adekvátnu úroveň ochrany, tak, že vychádza z predpokladu, že Komisia konštatuje, že táto krajina zabezpečuje úroveň ochrany slobôd a základných práv, ktorá je v podstate rovnocenná úrovni ochrany zaručenej v rámci Únie podľa tejto smernice v spojení s Chartou. ( 42 )

113. V tomto kontexte je Súdny dvor v prvej časti šiestej prejudiciálnej otázky vyzvaný, aby určil, či uplatnenie „štandardných zmluvných doložiek“ prijatých Komisiou podľa článku 26 ods. 4 smernice 95/46 – ktoré zodpovedajú „štandardným doložkám o ochrane“ v súčasnosti spomenutým v článku 46 ods. 2 písm. c) nariadenia GDPR – musí umožniť dosiahnutie úrovne ochrany, ktorá zodpovedá takémuto istému štandardu „podstatnej rovnocennosti“.

114. V tejto súvislosti článok 46 ods. 1 nariadenia GDPR stanovuje, že ak neexistuje rozhodnutie o primeranosti, prevádzkovateľ môže preniesť osobné údaje do tretej krajiny, „len vtedy, ak… poskytol primerané záruky, a za podmienky, že dotknuté osoby majú k dispozícii vymožiteľné práva a účinné právne prostriedky nápravy“ (kurzívou zvýraznil generálny advokát). ( 43 ) Podľa článku 46 ods. 2 písm. d) nariadenia GDPR môžu tieto záruky okrem iného vyplývať zo „štandardných doložiek o ochrane“ vypracovaných Komisiou.

115. Podobne ako komisár, pán Schrems a Írsko sa domnievam, že „primerané záruky“ poskytnuté prevádzkovateľom, na ktoré odkazuje článok 46 ods. 1 nariadenia GDPR, musia zabezpečiť, že právam osôb, ktorých údaje sú prenášané, prináleží, tak ako pri prenose založenom na rozhodnutí o primeranosti, úroveň ochrany, ktorá je v podstate rovnocenná úrovni ochrany, ktorá vyplýva z nariadenia GDPR v spojení s Chartou.

116. Tento záver vyplýva z cieľa tohto ustanovenia a z právneho nástroja, ktorého je súčasťou.

117. Cieľom článkov 45 a 46 nariadenia GDPR je zabezpečiť kontinuitu vysokej úrovne ochrany osobných údajov zabezpečenej týmto nariadením v prípade, keď sa prenášajú mimo Únie. Článkom 44 nariadenia GDPR s názvom „Všeobecná zásada prenosov“ sa totiž začína kapitola V, ktorá sa týka prenosov do tretích krajín, pričom sa v ňom uvádza, že všetky ustanovenia tejto kapitoly sa uplatňujú s cieľom zabezpečiť, aby sa v prípade prenosu do tretieho štátu neohrozila úroveň ochrany zaručená nariadením GDPR. ( 44 ) Cieľom tohto predpisu je predísť tomu, že sa prenosom osobných údajov do tretej krajiny na účely ich spracúvania v tejto krajine obídu štandardy ochrany vyplývajúce z práva Únie. ( 45 ) Vzhľadom na tento cieľ nie je rozhodujúce, či sa prenos zakladá na rozhodnutí o primeranosti alebo na zárukách poskytnutých prevádzkovateľom, okrem iného prostredníctvom štandardných zmluvných doložiek. Požiadavky na ochranu základných práv zaručených Chartou sa nelíšia v závislosti od právneho základu, na ktorom je konkrétny prenos založený. ( 46 )

118. Naproti tomu spôsob, akým sa zachováva kontinuita vysokej úrovne ochrany, sa líši v závislosti od právneho základu prenosu.

119. Na jednej strane je cieľom rozhodnutia o primeranosti určiť, že dotknutá tretia krajina sama zabezpečuje úroveň ochrany, ktorá je v podstate rovnocenná tej, ktorú ukladá právo Únie. Prijatie rozhodnutia o primeranosti predpokladá, že Komisia najprv pri určenej tretej krajine posúdi úroveň ochrany zaručenú právom a praxou tejto tretej krajiny vo svetle faktorov uvedených v článku 45 ods. 3 nariadenia GDPR. Osobné údaje môžu byť potom prenášané do uvedenej tretej krajiny bez toho, aby prevádzkovateľ musel získať osobitné povolenie.

120. Na druhej strane, ako je podrobnejšie vysvetlené v nasledujúcej časti, primeranými zárukami, ktoré poskytuje prevádzkovateľ, sa má zabezpečiť vysoká úroveň ochrany v prípade, že záruky dostupné v tretej krajine určenia sú nedostatočné. Hoci teda článok 46 ods. 1 nariadenia GDPR dovoľuje, aby sa osobné údaje prenášali do tretích štátov, ktoré nezabezpečujú primeranú úroveň ochrany, toto ustanovenie takéto prenosy povoľuje len vtedy, ak sú primerané záruky poskytnuté inými prostriedkami. Štandardné zmluvné doložky prijaté Komisiou v tejto súvislosti predstavujú všeobecný mechanizmus uplatniteľný na prenosy bez ohľadu na tretiu krajinu určenia a na úroveň ochrany, ktorá je v nej zabezpečená.

E. O platnosti rozhodnutia 2010/87 vzhľadom na články 7, 8 a 47 Charty (siedma, ôsma a jedenásta otázka)

121. Svojou siedmou otázkou sa vnútroštátny súd v podstate pýta, či je rozhodnutie 2010/87 neplatné z dôvodu, že nie je záväzné pre orgány tretích štátov, do ktorých sa údaje prenášajú na základe štandardných zmluvných doložiek stanovených v prílohe k tomuto rozhodnutiu, a najmä preto, že týmto orgánom nebráni vyžiadať si od dovozcu údajov, aby im tieto údaje dal k dispozícii. Táto otázka tak spochybňuje samotnú možnosť zabezpečenia primeranej úrovne ochrany týchto údajov prostredníctvom mechanizmov, ktoré sú výlučne zmluvnej povahy. Jedenásta otázka sa týka všeobecnejšie platnosti rozhodnutia 2010/87 vzhľadom na články 7, 8 a 47 Charty.

122. Ôsmou otázkou sa od Súdneho dvora žiada, aby určil, či je dozorný orgán povinný využiť právomoci, ktoré mu zveruje článok 58 ods. 2 písm. f) a j) nariadenia GDPR, aby pozastavil prenos do tretej krajiny založený na štandardných zmluvných doložkách stanovených v rozhodnutí 2010/87, ak sa domnieva, že dovozca údajov v nej podlieha povinnostiam, ktoré mu bránia tieto doložky dodržať a ktoré spôsobujú, že nie je zabezpečená primeraná ochrana prenášaných údajov. Keďže odpoveď na túto otázku sa podľa môjho názoru dotýka platnosti rozhodnutia 2010/87 ( 47 ), rozoberiem ju spolu so siedmou a jedenástou otázkou.

123. Znenie článku 46 ods. 1 nariadenia GDPR, ktoré stanovuje, že „ak neexistuje rozhodnutie podľa článku 45 ods. 3, prevádzkovateľ alebo sprostredkovateľ môže uskutočniť prenos osobných údajov do tretej krajiny…, ak prevádzkovateľ alebo sprostredkovateľ poskytol primerané záruky…“ (kurzívou zvýraznil generálny advokát), zdôrazňuje logiku, z ktorej vychádzajú zmluvné mechanizmy, akým je zmluvný mechanizmus stanovený v rozhodnutí 2010/87. Ako zdôrazňujú odôvodnenia 108 a 114 nariadenia GDPR, tieto mechanizmy majú za cieľ umožniť prenosy do tretích krajín, pre ktoré Komisia neprijala rozhodnutie o primeranosti, pričom prípadné nedostatky v ochrane zaručenej právnym poriadkom tejto tretej krajiny sú potom vynahradené zárukami, ktoré sa vývozca a dovozca údajov zaviažu zmluvne dodržiavať.

124. Vzhľadom na to, že dôvod existencie zmluvných záruk spočíva práve v odstránení možných nedostatkov v ochrane poskytovanej tretími krajinami určenia, bez ohľadu na to, o ktoré krajiny ide, nie je možné, aby platnosť rozhodnutia, ktorým Komisia konštatuje, že určité štandardné doložky tieto nedostatky dostatočne napravujú, závisela od úrovne ochrany zabezpečovanej jednotlivo v každej z týchto tretích krajín, do ktorých sa údaje prípadne prenesú. Platnosť takéhoto rozhodnutia závisí výlučne od spoľahlivosti záruk, ktoré tieto doložky stanovujú s cieľom vynahradiť prípadnú nedostatočnosť ochrany v tretej krajine určenia. Účinnosť týchto záruk musí byť posúdená aj s prihliadnutím na záruky spočívajúce v právomociach dozorných orgánov podľa článku 58 ods. 2 nariadenia GDPR.

125. V tejto súvislosti, ako v podstate uviedli komisár, pán Schrems, BSA, Írsko, rakúska, francúzska, poľská a portugalská vláda, ako aj Komisia, záruky, ktoré sú v štandardných zmluvných doložkách obsiahnuté, môžu byť oslabené, ba dokonca zmarené, ak právo tretej krajiny určenia ukladá dovozcovi povinnosti, ktoré sú v rozpore s požiadavkami podľa týchto doložiek. Právny kontext prevládajúci v tretej krajine určenia tak môže v závislosti od konkrétnych okolností prenosu ( 48 ) znemožniť splnenie povinností stanovených týmito doložkami.

126. Za týchto podmienok, ako to zdôraznili pán Schrems a Komisia, je zmluvný mechanizmus stanovený v článku 46 ods. 2 písm. c) nariadenia GDPR založený na vyvodení zodpovednosti voči vývozcovi a subsidiárne tiež voči dozorným orgánom. Prevádzkovateľ, a ak nie on, tak dozorný orgán, v jednotlivých prípadoch pri každom konkrétnom prenose preskúma, či je právo tretej krajiny určenia prekážkou výkonu štandardných doložiek, a teda aj primeranej ochrany prenesených údajov, a teda, či sa prenosy musia zakázať alebo pozastaviť.

127. Vzhľadom na tieto pripomienky sa domnievam, že skutočnosť, že rozhodnutie 2010/87 a štandardné zmluvné doložky, ktoré sú v ňom uvedené, nie sú pre orgány tretej krajiny určenia záväzné, sama osebe nespôsobuje neplatnosť tohto rozhodnutia. Súlad rozhodnutia 2010/87 s článkami 7, 8 a 47 Charty závisí podľa môjho názoru od toho, či existujú dostatočne pevné mechanizmy umožňujúce zabezpečiť, že sa presuny založené na štandardných zmluvných doložkách pozastavia alebo zakážu, ak dôjde k porušeniu týchto doložiek alebo ak je nemožné ich dodržať.

128. V tejto súvislosti článok 46 ods. 1 nariadenia GDPR stanovuje, že prenos založený na primeraných zárukách sa môže uskutočniť len „za podmienky, že dotknuté osoby majú k dispozícii vymožiteľné práva a účinné právne prostriedky nápravy“. Bude potrebné overiť, či záruky stanovené v doložkách uvedených v prílohe rozhodnutia 2010/87 umožňujú spolu s právomocami dozorných orgánov zabezpečiť dodržiavanie tejto podmienky. Podľa môjho názoru o takýto prípad ide len vtedy, ak existuje povinnosť – uložená prevádzkovateľom (oddiel 1) a v prípade, že títo sú nečinní, dozorným orgánom (oddiel 2) – pozastaviť alebo zakázať prenos, ak z dôvodu rozporu medzi povinnosťami vyplývajúcimi zo štandardných doložiek a povinnosťami vyplývajúcimi z práva tretej krajiny určenia tieto doložky nemožno dodržať.

1. O povinnostiach záväzných pre prevádzkovateľov

129. Po prvé, štandardné zmluvné doložky uvedené v prílohe rozhodnutia 2010/87 vyžadujú, aby sa v prípade rozporu medzi povinnosťami, ktoré sú v nich stanovené, a požiadavkami vyplývajúcimi z práva tretej krajiny určenia, tieto doložky neuplatnili ako základ prenosu do tejto tretej krajiny alebo, ak už bol prenos na základe uvedených doložiek iniciovaný, aby bol vývozca o tomto rozpore informovaný a mohol tento prenos pozastaviť.

130. Podľa doložky 5 písm. a) sa tak dovozca zaväzuje spracovávať prenesené osobné údaje výlučne v mene vývozcu údajov a v súlade s jeho pokynmi, ako aj so štandardnými zmluvnými doložkami. Ak dovozca nemôže tieto doložky dodržať, zaväzuje sa bezodkladne o tom informovať vývozcu, ktorý je v takom prípade oprávnený pozastaviť prenos a/alebo zmluvu vypovedať. ( 49 )

131. Poznámka pod čiarou 5 týkajúca sa doložky 5 spresňuje, že štandardné doložky nie sú porušené, ak dovozca splní povinné požiadavky vnútroštátnych právnych predpisov, ktoré sa na neho vzťahujú v tretej krajine, pokiaľ tieto požiadavky nepresahujú rámec toho, čo je v demokratickej spoločnosti nevyhnutné na účely ochrany niektorého zo záujmov uvedených v článku 13 ods. 1 smernice 95/46 (ktorého obsah je v podstate prevzatý v článku 23 ods. 1 nariadenia GDPR), medzi ktoré patrí verejná bezpečnosť a národná bezpečnosť. Naopak, nedodržanie týchto doložiek s cieľom splniť si protichodnú povinnosť založenú na práve tretej krajiny určenia, ktoré ide nad rámec toho, čo je primerané na ochranu oprávneného záujmu uznaného Úniou, sa považuje za porušenie uvedených doložiek.

132. Podľa môjho názoru, ako tvrdia pán Schrems a Komisia, doložku 5 písm. a) nemožno vykladať tak, že znamená, že pozastavenie prenosu alebo výpoveď zmluvy je v prípade, že dovozca nemôže štandardné doložky dodržať, len dobrovoľné. Hoci táto doložka uvádza v tomto zmysle iba právo v prospech vývozcu, toto znenie musí byť chápané vo vzťahu k zmluvnému rámcu, do ktorého patrí. Skutočnosť, že vývozcovi je priznané právo, pokiaľ ide o jeho bilaterálne vzťahy s dovozcom, pozastaviť prenos alebo vypovedať zmluvu v prípade, že štandardné doložky nie je schopný splniť, sa nedotýka povinnosti vzťahujúcej sa na výrobcu, aby tak urobil vzhľadom na požiadavky ochrany práv dotknutých osôb vyplývajúce z nariadenia GDPR. Akýkoľvek iný výklad by mal za následok neplatnosť rozhodnutia 2010/87 v tom zmysle, že ním stanovené štandardné zmluvné doložky by neumožňovali, aby bol prenos sprevádzaný „primeranými zárukami“, ako to vyžaduje článok 46 ods. 1 nariadenia GDPR v spojení s ustanoveniami Charty. ( 50 )

133. Navyše, podľa doložky 5 písm. b) dovozca osvedčuje, že nemá dôvod domnievať sa, že mu právne predpisy, ktorým podlieha, bránia plniť pokyny vývozcu a záväzky, ktoré mu vyplývajú zo zmluvy. V prípade zmeny týchto právnych predpisov, ktorá by mohla mať závažný nepriaznivý účinok na záruky a záväzky stanovené štandardnými doložkami, bezodkladne oznámi túto zmenu vývozcovi, ktorý je v takom prípade oprávnený pozastaviť prenos údajov a/alebo zmluvu vypovedať. Podľa doložky 4 písm. g) musí vývozca v prípade, ak sa rozhodne v prenose pokračovať, postúpiť oznámenie prijaté od dovozcu príslušnému dozornému orgánu.

134. Tu považujem za potrebné uviesť niekoľko spresnení týkajúcich sa obsahu preskúmania, ktoré majú zmluvné strany vykonať, aby s ohľadom na poznámku pod čiarou týkajúcu sa doložky 5 určili, či povinnosti, ktoré právo tretieho štátu dovozcovi ukladá, znamenajú porušenie štandardných doložiek, a preto bránia tomu, aby bol prenos sprevádzaný primeranými zárukami. Táto problematika bola v podstate nastolená v druhej časti šiestej prejudiciálnej otázky.

135. Takéto preskúmanie podľa môjho názoru zahŕňa zohľadnenie všetkých okolností charakteristických pre konkrétny prenos, medzi ktoré možno zaradiť povahu údajov a ich prípadnú citlivosť, mechanizmy uplatňované vývozcom a/alebo dovozcom na zabezpečenie jeho bezpečnosti ( 51 ), povahu a účel spracúvania orgánmi verejnej moci tretej krajiny, ktorému budú údaje vystavené, spôsoby tohto spracúvania, ako aj obmedzenia a záruky zabezpečené touto treťou krajinou. Prvky charakterizujúce činnosti spracúvania orgánmi verejnej moci a záruky uplatniteľné v právnom poriadku tejto tretej krajiny sa podľa môjho názoru môžu prekrývať s tými, ktoré sú uvedené v článku 45 ods. 2 nariadenia GDPR.

136. Po druhé, štandardné zmluvné doložky uvedené v prílohe rozhodnutia 2010/87 zavádzajú v prospech subjektov údajov vymožiteľné práva, ako aj prostriedky nápravy proti vývozcovi a subsidiárne proti dovozcovi.

137. Doložka 3 s názvom „Doložka o oprávnenosti tretej strany“ tak vo svojom odseku 1 priznáva subjektu údajov prostriedok nápravy proti vývozcovi v prípade porušenia, okrem iného, doložky 5 písm. a) alebo b). Podľa doložky 3 ods. 2 môže subjekt údajov v prípade, že vývozca fakticky zmizol alebo prestal právne existovať, túto doložku uplatniť voči dovozcovi.

138. Doložka 6 ods. 1 priznáva každému subjektu údajov, ktorý utrpel škodu z dôvodu nesplnenia povinností uvedených v doložke 3, právo na náhradu vzniknutej škody od vývozcu. Podľa doložky 7 ods. 1 dovozca súhlasí, že ak subjekt údajov voči nemu uplatní práva v prospech tretej strany a/alebo nárok na odškodnenie, akceptuje rozhodnutie tejto osoby o tom, že sa spor postúpi na mediáciu nezávislou osobou alebo prípadne dozorným orgánom, alebo že sa postúpi súdom v členskom štáte, v ktorom má vývozca sídlo.

139. Okrem prostriedkov nápravy, ktoré majú dotknuté osoby k dispozícii podľa štandardných zmluvných doložiek stanovených v prílohe rozhodnutia 2010/87, môžu dotknuté osoby, pokiaľ sa domnievajú, že tieto doložky boli porušené, požiadať dozorné orgány o prijatie nápravných právomocí podľa článku 58 ods. 2 nariadenia GDPR, na ktorý odkazuje článok 4 rozhodnutia 2010/87. ( 52 )

2. O povinnostiach záväzných pre dozorné orgány

140. Nasledujúce dôvody ma podobne ako pána Schremsa, Írsko, nemeckú, rakúsku, belgickú, holandskú a portugalskú vládu, ako aj EDPB vedú k záveru, že článok 58 ods. 2 nariadenia GDPR ukladá dozorným orgánom v prípade, že po starostlivom preskúmaní dospejú k presvedčeniu, že údajom preneseným do tretej krajiny neprináleží primeraná ochrana, pretože dohodnuté zmluvné doložky nie sú dodržané, povinnosť prijať vhodné nápravné opatrenia, aby túto protiprávnosť napravili, v prípadne potreby tak, že nariadia pozastavenie prenosu.

141. V prvom rade na rozdiel od toho, čo tvrdí komisár, poznamenávam, že žiadne ustanovenie rozhodnutia 2010/87 neobmedzuje výkon právomocí „nariadiť dočasné alebo trvalé obmedzenie vrátane zákazu spracúvania“ a „nariadiť pozastavenie toku údajov príjemcovi v tretej krajine alebo medzinárodnej organizácii“, ktoré sú dozorným orgánom priznané na základe článku 58 ods. 2 písm. f) a j) RGPD, na výnimočné prípady.

142. Je pravda, že článok 4 ods. 1 rozhodnutia 2010/87 vo svojom pôvodnom znení obmedzoval výkon právomocí dozorných orgánov pozastaviť alebo zakázať cezhraničné toky údajov na osobitné prípady, keď bolo preukázané, že hrozilo, že prenos na zmluvnom základe významne negatívne ovplyvní záruky určené na ochranu dotknutej osoby. No článok 4 tohto rozhodnutia, zmenený Komisiou v roku 2016 s cieľom dosiahnuť súlad s rozsudkom Schrems ( 53 ),