(Glej točke od 43 do 45 in 47.)

Glede pooblastila za nadzor prenosov osebnih podatkov v tretje države sicer iz člena 28(1) in (6) Direktive 95/46 res izhaja, da se pooblastila nacionalnih nadzornih organov nanašajo na obdelavo osebnih podatkov, ki poteka na ozemlju države članice, ki ji pripadajo ti organi, tako da na podlagi tega člena 28 navedeni organi nimajo pooblastil v zvezi z obdelavo teh podatkov, ki poteka na ozemlju tretje države. Vendar postopek prenosa osebnih podatkov iz države članice v tretjo državo sam po sebi pomeni obdelavo osebnih podatkov v smislu člena 2(b) Direktive 95/46, ki poteka na ozemlju države članice. Ker so nacionalni nadzorni organi v skladu s členom 8(3) Listine o temeljnih pravicah in členom 28 Direktive 95/46 odgovorni za nadzor nad spoštovanjem predpisov Unije v zvezi z varstvom posameznikov glede obdelave osebnih podatkov, je vsak od teh organov pristojen za preveritev, ali prenos osebnih podatkov iz države članice, kateri pripada, v tretjo državo izpolnjuje zahteve, določene v tej direktivi.

Nacionalni nadzorni organi imajo širok razpon pooblastil in ta pooblastila, netaksativno našteta v členu 28(3) Direktive 95/46 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov, pomenijo potrebna sredstva za opravljanje njihovih nalog, kakor je navedeno v uvodni izjavi 63 te direktive. Tako imajo navedeni organi med drugim preiskovalna pooblastila, kakršna so pooblastila za zbiranje vseh informacij, ki so potrebne za izvajanje njihovih nadzornih nalog, učinkovita pooblastila za posredovanje, kot je začasna ali dokončna prepoved obdelave, in tudi pooblastilo za sodelovanje v sodnih postopkih.

V nasprotnem primeru mora navedeni organ, kadar meni, da so očitki posameznika, ki mu je predložil zahtevo v zvezi z varstvom svojih pravic in svoboščin glede obdelave svojih osebnih podatkov, utemeljeni, v skladu s členom 28(3), tretji pododstavek, Direktive 95/46, zlasti ob upoštevanju člena 8(3) Listine Evropske unije o temeljnih pravicah, imeti možnost sodelovati v sodnih postopkih. V zvezi s tem mora nacionalni zakonodajalec določiti pravna sredstva, ki zadevnemu nacionalnemu nadzornemu organu omogočajo, da očitke, ki jih šteje za utemeljene, predloži nacionalnim sodiščem, da bi ta, če bi prav tako kot ta organ dvomila o veljavnosti odločbe Komisije, sprožila postopek predhodnega odločanja za preizkus veljavnosti navedene odločbe.

Kadar navedeni organ ugotovi, da argumenti, navedeni v utemeljitev take zahteve, niso utemeljeni, in zato to zahtevo zavrne, mora imeti posameznik, ki je vložil navedeno zahtevo – kot izhaja iz člena 28(3), drugi pododstavek, Direktive 95/46 ob upoštevanju člena 47 Listine Evropske unije o temeljnih pravicah – imeti dostop do pravnih sredstev, s katerimi lahko izpodbija tako odločbo, ki posega v njegov položaj, pred nacionalnimi sodišči. V teh okoliščinah morajo ta sodišča prekiniti odločanje in Sodišču predložiti predlog za sprejetje predhodne odločbe glede presoje veljavnosti, če presodijo, da je eden ali več razlogov za neveljavnost, ki jih navajajo stranke oziroma so bili odkriti po uradni dolžnosti, utemeljen.

Čeprav so nacionalna sodišča vsekakor pristojna za preučitev veljavnosti akta Unije, pa nimajo pristojnosti sama ugotoviti neveljavnosti takega akta. A fortiori, pri preučitvi zahteve v smislu člena 28(4) te direktive, ki se nanaša na skladnost take odločbe Komisije z varstvom zasebnega življenja ter temeljnih svoboščin in pravic posameznikov, nacionalni nadzorni organi niso upravičeni, da sami ugotovijo neveljavnost take odločbe.

Zato, dokler Sodišče, ki je edino pristojno za ugotovitev neveljavnosti akta Unije, odločbe Komisije ne razglasi za neveljavno, države članice in njihovi organi, med katere spadajo tudi njihovi neodvisni nadzorni organi, zagotovo ne smejo sprejeti ukrepov v nasprotju s to odločbo, kot so akti, v katerih se z zavezujočim učinkom ugotovi, da tretja država, na katero se nanaša navedena odločba Komisije, ne zagotavlja ustrezne ravni varstva. Namreč za akte institucij Unije načeloma velja domneva zakonitosti, zaradi česar imajo pravne učinke, dokler niso umaknjeni, razglašeni za nične v okviru ničnostne tožbe ali razveljavljeni zaradi predloga za sprejetje predhodne odločbe ali ugovora nezakonitosti.

Komisija lahko na podlagi člena 25(6) Direktive 95/46 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov sprejme odločbo, s katero ugotovi, da tretja država zagotavlja ustrezno raven varstva. V skladu z drugim pododstavkom te določbe so naslovnice te odločbe države članice, ki morajo sprejeti ukrepe, potrebne za uskladitev z odločbo Komisije. V skladu z drugim pododstavkom te določbe so naslovnice te odločbe države članice, ki morajo sprejeti ukrepe, potrebne za uskladitev z odločbo Komisije. Na podlagi člena 288, četrti odstavek, PDEU, je ta odločba zavezujoča za vse države članice naslovnice in jo morajo vsi njihovi organi upoštevati v delu, v katerem dovoljuje prenose osebnih podatkov iz držav članic v tretjo državo, na katero se nanaša.

Člen 25(6) Direktive 95/46 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov je treba ob upoštevanju členov 7, 8 in 47 Listine Evropske unije o temeljnih pravicah razlagati tako, da odločba, sprejeta na podlagi te določbe, v kateri Komisija ugotavlja, da tretja država zagotavlja ustrezno raven varstva, ne preprečuje, da nadzorni organ države članice v smislu člena 28 te direktive preuči zahtevo posameznika v zvezi z varstvom njegovih pravic in svoboščin glede obdelave osebnih podatkov, ki se nanašajo nanj in ki so bili iz države članice preneseni v to tretjo državo, kadar ta posameznik zatrjuje, da veljavno pravo in praksa v tej državi ne zagotavljata ustrezne ravni varstva.

V nasprotnem primeru bi bila posameznikom, katerih osebni podatki so bili ali bi lahko bili preneseni v zadevno tretjo državo, odvzeta pravica, zagotovljena v členu 8(1) in (3) Listine Evropske unije o temeljnih pravicah, da pri nacionalnih nadzornih organih vložijo zahtevo, da bi se zaščitile njihove temeljne pravice.

Poleg tega, zahtevo v smislu člena 28(4) Direktive 95/46, s katero tak posameznik zatrjuje, da pravo in praksa te države ne zagotavljata – ne glede na to, kar je ugotovila Komisija v odločbi, sprejeti na podlagi člena 25(6) te direktive – ustrezne ravni varstva, je treba razumeti tako, da se v bistvu nanaša na skladnost te odločbe z varstvom zasebnega življenja in temeljnih svoboščin in pravic posameznikov. V teh okoliščinah mora nacionalni nadzorni organ, kadar mu posameznik, katerega osebni podatki so bili ali bi lahko bili preneseni v tretjo državo, na katero se nanaša odločba Komisije, sprejeta na podlagi člena 25(6) Direktive 95/46, predloži tako zahtevo, navedeno zahtevo preučiti z vso potrebno skrbnostjo.

(Glej točke 58, 59, 63 in 66 ter točko 1 izreka.)