FÖRSLAG TILL AVGÖRANDE AV GENERALADVOKAT

HENRIK SAUGMANDSGAARD ØE

föredraget den 19 december 2019 ( 1 )

Mål C‑311/18

Data Protection Commissioner

mot

Facebook Ireland Limited,

Maximillian Schrems,

ytterligare deltagare i rättegången:

United States of America,

Electronic Privacy Information Centre,

BSA Business Software Alliance, Inc.,

Digitaleurope

(begäran om förhandsavgörande från High Court (Förvaltningsöverdomstolen, Irland))

”Begäran om förhandsavgörande – Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning (EU) 2016/679 – Artikel 2.2 – Tillämpningsområde – Överföring av personuppgifter till Amerikas förenta stater för kommersiella syften – Behandling av de överförda uppgifterna som utförs av de offentliga myndigheterna i Amerikas förenta stater för syften som avser den nationella säkerheten – Artikel 45 – Bedömning av huruvida den skyddsnivå som säkerställs i ett tredjeland är adekvat – Artikel 46 – Lämpliga skyddsåtgärder som vidtas av den personuppgiftsansvarige – Standardiserade skyddsbestämmelser – Artikel 58.2 – Tillsynsmyndigheternas befogenheter – Beslut 2010/87/EU – Giltighet – Genomförandebeslut (EU) 2016/1250 – Skölden för skydd av privatlivet i EU och Förenta staterna – Giltighet – Artiklarna 7, 8 och 47 i Europeiska unionens stadga om de grundläggande rättigheterna”

Innehållsförteckning

I. Inledning

1. Eftersom det inte har vidtagits några gemensamma åtgärder för att skydda personuppgifter på global nivå, innebär de gränsöverskridande flödena av personuppgifter en risk för avbrott i den skyddsnivå som säkerställs i Europeiska unionen. För att underlätta dessa flöden och samtidigt begränsa risken för avbrott i skyddsnivån har unionslagstiftaren inrättat tre mekanismer för överföring av personuppgifter från unionen till tredjeland.

2. Överföring kan för det första ske på grundval av ett beslut genom vilket Europeiska kommissionen har konstaterat att tredjelandet i fråga säkerställer en ”adekvat skyddsnivå” för de överförda personuppgifterna. ( 2 ) Om ett sådant beslut inte föreligger tillåts överföring för det andra om överföringen omfattas av ”lämpliga skyddsåtgärder”. ( 3 ) Dessa skyddsåtgärder kan ta formen av ett avtal mellan uppgiftsutföraren och uppgiftsinföraren, som innehåller standardskyddsklausuler som har antagits av kommissionen. I dataskyddsförordningen föreskrivs för det tredje vissa undantag som grundar sig bland annat på den registrerades samtycke, varvid överföring till ett tredjeland tillåts även om det inte föreligger något beslut om en adekvat skyddsnivå eller lämpliga skyddsåtgärder. ( 4 )

3. Begäran om förhandsavgörande från High Court (Förvaltningsöverdomstolen, Irland) avser den andra av ovannämnda mekanismer. Begäran avser närmare bestämt giltigheten av beslut 2010/87/EU, ( 5 ) i vilket kommissionen har fastställt standardavtalsklausuler för vissa kategorier av överföringar mot bakgrund av artiklarna 7, 8 och 47 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan).

4. Begäran om förhandsavgörande har ingetts i ett mål mellan Data Protection Commissioner (datatillsynsmyndigheten, Irland, nedan kallad DPC) samt Facebook Ireland Ltd och Maximillian Schrems. Maximillian Schrems ingav en anmälan till DPC avseende att Facebook Ireland överför personuppgifter rörande honom till sitt moderbolag Facebook Inc. i Amerikas förenta stater (nedan kallade Förenta staterna). DPC ansåg att prövningen av anmälan var beroende av huruvida beslut 2010/87 är giltigt. DPC vände sig därför till den hänskjutande domstolen för att denna skulle ställa en fråga till EU-domstolen om detta.

5. Det ska genast påpekas att vid min behandling av tolknings- och giltighetsfrågorna har inga omständigheter framkommit som enligt min mening kan påverka giltigheten av beslut 2010/87.

6. Den hänskjutande domstolen har emellertid också framfört tvivel rörande huruvida den skyddsnivå som Förenta staterna säkerställer är adekvat med hänsyn till de ingrepp som de amerikanska underrättelsetjänsternas verksamhet innebär i utövandet av de grundläggande rättigheterna för de personer vilkas personuppgifter överförs till detta tredjeland. Genom dessa tvivel har den indirekt ifrågasatt kommissionens bedömningar på denna punkt i genomförandebeslut (EU) 2016/1250. ( 6 ) Även om det inte är nödvändigt att domstolen avgör denna fråga för att den hänskjutande domstolen ska kunna avgöra det nationella målet och jag därför föreslår att den ska avstå från att göra detta, anger jag nedan subsidiärt skälen till att jag frågar mig huruvida detta beslut är giltigt.

7. I hela min bedömning har jag försökt uppnå en balans mellan nödvändigheten av att visa prov på en ”rimlig grad av pragmatism för att möjliggöra samverkan med resten av världen” ( 7 ) och nödvändigheten av att bekräfta de grundläggande värderingar som erkänns i unionens och dess medlemsstaters rättsordningar, särskilt i stadgan.

II. Tillämpliga bestämmelser

A. Direktiv 95/46/EG

8. I artikel 3.2 i direktiv 95/46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ( 8 ) föreskrevs följande: ”Detta direktiv gäller inte för sådan behandling av personuppgifter – som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten, exempelvis sådan verksamhet som avses i avdelningarna V och VI i Fördraget om Europeiska unionen, och inte under några omständigheter behandlingar som rör allmän säkerhet, försvar, statens säkerhet (inbegripet statens ekonomiska välstånd när behandlingen har samband med frågor om statens säkerhet) och statens verksamhet på straffrättens område, …”

9. Artikel 13.1 i detta direktiv hade följande lydelse: ”Medlemsstaterna får genom lagstiftning vidta åtgärder för att begränsa omfattningen av de skyldigheter och rättigheter som anges i artiklarna 6.1, 10, 11.1, 12 och 21 i fall då en sådan begränsning är en nödvändig åtgärd med hänsyn till a) statens säkerhet, b) försvaret, c) allmän säkerhet, d) förebyggande, undersökning, avslöjande av brott eller åtal för brott eller av överträdelser av etiska regler som gäller för lagreglerade yrken, e) ett viktigt ekonomiskt eller finansiellt intresse hos en medlemsstat eller hos [unionen], inklusive monetära frågor, budgetfrågor och skattefrågor, f) en tillsyns-, inspektions- eller regleringsfunktion som, även om den är av övergående karaktär, är förbunden med myndighetsutövning i de under punkterna c), d) och e) nämnda fallen, g) skydd av den registrerades eller andras fri- och rättigheter.”

10. I artikel 25 i nämnda direktiv angavs följande: ”1. Medlemsstaterna skall föreskriva att överföringen av personuppgifter som är under behandling eller som är avsedda att behandlas efter överföring till tredje land endast får ske om ifrågavarande tredje land – utan att detta påverkar tillämpningen av de nationella bestämmelser som antagits till följd av de andra bestämmelserna i detta direktiv – säkerställer en adekvat skyddsnivå. 2. Bedömningen av om skyddsnivån i ett tredje land är adekvat skall ske på grundval av alla de förhållanden som har samband med en överföring eller en grupp av överföringar av uppgifter. Härvid skall särskilt beaktas uppgiftens art, den eller de avsedda behandlingarnas ändamål och varaktighet, ursprungslandet och det slutliga bestämmelselandet, de allmänna respektive särskilda rättsregler som gäller i ifrågavarande tredje land liksom de regler för yrkesverksamhet och säkerhet som gäller där. … 6. Kommissionen kan, i enlighet med det i artikel 31.2 angivna förfarandet, konstatera att ett tredje land genom sin interna lagstiftning eller på grund av de internationella förpliktelser som – särskilt till följd av sådana förhandlingar som anges i punkt 5 och som gäller skyddet för privatliv och enskilda personers grundläggande fri- och rättigheter – åligger landet har en skyddsnivå som är adekvat i den mening som avses i punkt 2 i denna artikel. Medlemsstaterna skall vidta de åtgärder som är nödvändiga för att följa kommissionens beslut.”

11. I artikel 26.2 och 26.4 i samma direktiv föreskrevs följande: ”2. Utan att detta påverkar tillämpningen av punkt 1 får en medlemsstat tillåta överföring av personuppgifter till ett tredje land som inte säkerställer en skyddsnivå som är adekvat enligt artikel 25.2, om den registeransvarige ställer tillräckliga garantier för att privatliv och enskilda personers grundläggande fri- och rättigheter skyddas samt för utövningen av motsvarande rättigheter. Sådana garantier kan framgå av lämpliga avtalsklausuler. … 4. Om kommissionen… beslutar att vissa standardavtalsklausuler erbjuder tillräckliga garantier enligt punkt 2, skall medlemsstaterna vidta nödvändiga åtgärder för att följa kommissionens beslut.”

12. Artikel 28.3 i direktiv 95/46 hade följande lydelse: ”Varje tillsynsmyndighet skall särskilt ha … – effektiva befogenheter att ingripa, som till exempel att kunna avge yttranden i enlighet med artikel 20 innan en behandling äger rum, och se till att sådana yttranden i lämplig omfattning offentliggörs, att kunna besluta om blockering, utplåning eller förstöring av uppgifter, att kunna besluta om tillfälligt eller slutligt förbud mot behandling, att kunna ge den registeransvarige varning eller tillrättavisning eller att kunna hänvisa saken till nationella parlament eller till andra politiska institutioner, …”

B. Dataskyddsförordningen

13. Som det anges i artikel 94.1 i dataskyddsförordningen har direktiv 95/46 upphävts genom denna förordning med verkan från och med den 25 maj 2018, som är det datum då nämnda förordning började tillämpas i enlighet med artikel 99.2 däri.

14. I artikel 2.2 i dataskyddsförordningen föreskrivs följande: ” Denna förordning ska inte tillämpas på behandling av personuppgifter som a) utgör ett led i en verksamhet som inte omfattas av unionsrätten, b) medlemsstaterna utför när de bedriver verksamhet som omfattas av avdelning V kapitel 2 i EU-fördraget, … d) behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten.”

15. I artikel 4.2 i samma förordning definieras behandling som ”en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring”.

16. I artikel 23 i dataskyddsförordningen föreskrivs följande: ”1. Det ska vara möjligt att i unionsrätten eller i en medlemsstats nationella rätt som den personuppgiftsansvarige eller personuppgiftsbiträdet omfattas av införa en lagstiftningsåtgärd som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna 12–22 och 34, samt artikel 5 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22, om en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa a) den nationella säkerheten, b) försvaret, c) den allmänna säkerheten, d) förebyggande, förhindrande, utredning, avslöjande eller lagföring av brott eller verkställande av straffrättsliga sanktioner, inbegripet skydd mot samt förebyggande och förhindrande av hot mot den allmänna säkerheten, e) andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen,…, … 2. Framför allt ska alla lagstiftningsåtgärder som avses i punkt 1 innehålla specifika bestämmelser åtminstone, när så är relevant, avseende a) ändamålen med behandlingen eller kategorierna av behandling, b) kategorierna av personuppgifter, c) omfattningen av de införda begränsningarna, d) skyddsåtgärder för att förhindra missbruk eller olaglig tillgång eller överföring, e) specificeringen av den personuppgiftsansvarige eller kategorierna av personuppgiftsansvariga, f) lagringstiden samt tillämpliga skyddsåtgärder med beaktande av behandlingens art, omfattning och ändamål eller kategorierna av behandling, g) riskerna för de registrerades rättigheter och friheter, och h) de registrerades rätt att bli informerade om begränsningen, såvida detta inte kan inverka menligt på begränsningen.”

17. I artikel 44 i denna förordning, med rubriken ”Allmän princip för överföring av uppgifter”, anges följande: ”Överföring av personuppgifter som är under behandling eller är avsedda att behandlas efter det att de överförts till ett tredjeland eller en internationell organisation får bara ske under förutsättning att den personuppgiftsansvarige och personuppgiftsbiträdet, med förbehåll för övriga bestämmelser i denna förordning, uppfyller villkoren i detta kapitel, inklusive för vidare överföring av personuppgifter från tredjelandet eller den internationella organisationen till ett annat tredjeland eller en annan internationell organisation. Alla bestämmelser i detta kapitel ska tillämpas för att säkerställa att den nivå på skyddet av fysiska personer som säkerställs genom denna förordning inte undergrävs.”

18. Artikel 45 i nämnda förordning, med rubriken ”Överföring på grundval av ett beslut om adekvat skyddsnivå”, har följande lydelse: ”1. Personuppgifter får överföras till ett tredjeland eller en internationell organisation om kommissionen har beslutat att tredjelandet, ett territorium eller en eller flera specificerade sektorer i tredjelandet, eller den internationella organisationen i fråga säkerställer en adekvat skyddsnivå. En sådan överföring ska inte kräva något särskilt tillstånd. 2. När kommissionen bedömer om en adekvat skyddsnivå föreligger ska den särskilt beakta a) rättsstatsprincipen, respekten för de mänskliga rättigheterna och de grundläggande friheterna, relevant lagstiftning, både allmän lagstiftning och sektorslagstiftning, inklusive avseende allmän säkerhet, försvar, nationell säkerhet och straffrätt och offentliga myndigheters tillgång till personuppgifter samt tillämpningen av sådan lagstiftning, dataskyddsregler, yrkesregler och säkerhetsbestämmelser, inbegripet regler för vidare överföring av personuppgifter till ett annat tredjeland eller en annan internationell organisation, som ska följas i det landet eller den internationella organisationen, rättspraxis samt faktiska och verkställbara rättigheter för registrerade och effektiv administrativ och rättslig prövning för de registrerade vars personuppgifter överförs, b) huruvida det finns en eller flera effektivt fungerande oberoende tillsynsmyndigheter i tredjelandet, eller som utövar tillsyn över den internationella organisationen, som har ansvar för att säkerställa och kontrollera att dataskyddsregler följs, inklusive lämpliga verkställighetsbefogenheter, ge de registrerade råd och assistans när det gäller utövandet av deras rättigheter och samarbeta med medlemsstaternas tillsynsmyndigheter, och c) vilka internationella åtaganden det berörda tredjelandet eller den berörda internationella organisationen har gjort, eller andra skyldigheter som följer av rättsligt bindande konventioner eller instrument samt av dess deltagande i multilaterala eller regionala system, särskilt rörande skydd av personuppgifter. 3. Kommissionen får, efter att ha bedömt om det föreligger en adekvat skyddsnivå, genom en genomförandeakt besluta att ett tredjeland, ett territorium eller en eller flera specificerade sektorer inom ett tredjeland, eller en internationell organisation säkerställer en adekvat skyddsnivå i den mening som avses i punkt 2 i den här artikeln. Genomförandeakten ska inrätta en mekanism för regelbunden översyn, minst vart fjärde år, som ska beakta all relevant utveckling i det tredjelandet eller den internationella organisationen…. 4. Kommissionen ska fortlöpande övervaka utveckling i tredjeländer och internationella organisationer vilken kan påverka hur beslut som antagits enligt punkt 3 i den här artikeln och beslut som antagits på grundval av artikel 25.6 i [direktiv 95/46] fungerar. 5. Kommissionen ska, när tillgänglig information visar, i synnerhet efter den översyn som avses i punkt 3 i den här artikeln, att ett tredjeland, ett territorium eller en eller flera specificerade sektorer inom tredjelandet i fråga eller en internationell organisation inte längre säkerställer adekvat skydd i den mening som avses i punkt 2 i den här artikeln och, i den mån det behövs, genom genomförandeakter återkalla, ändra eller upphäva det beslut som avses i punkt 3 i den här artikeln utan retroaktiv verkan…. 6. Kommissionen ska samråda med tredjelandet eller den internationella organisationen i fråga för att lösa den situation som lett till beslutet enligt punkt 5. … 9. De beslut som antas av kommissionen på grundval av artikel 25.6 i [direktiv 95/46] ska förbli i kraft tills de ändrats, ersatts eller upphävts av ett kommissionsbeslut som antagits i enlighet med punkt 3 eller 5 i den här artikeln.”

19. Artikel 46 i samma förordning, med rubriken ”Överföring som omfattas av lämpliga skyddsåtgärder”, har följande lydelse: ”1. I avsaknad av ett beslut i enlighet med artikel 45.3, får en personuppgiftsansvarig eller ett personuppgiftsbiträde endast överföra personuppgifter till ett tredjeland eller en internationell organisation efter att ha vidtagit lämpliga skyddsåtgärder, och på villkor att lagstadgade rättigheter för registrerade och effektiva rättsmedel för registrerade finns tillgängliga. 2. Lämpliga skyddsåtgärder enligt punkt 1 får, utan att det krävs särskilt tillstånd från en tillsynsmyndighet, ta formen av … c) standardiserade dataskyddsbestämmelser som antas av kommissionen i enlighet med det granskningsförfarande som avses i artikel 93.2, … 5. Tillstånd från en medlemsstat eller tillsynsmyndighet på grundval av artikel 26.2 i [direktiv 95/46] ska förbli giltigt tills det, vid behov, ändrats, ersatts eller upphävts av den tillsynsmyndigheten. De beslut som fattas av kommissionen på grundval av artikel 26.4 i [direktiv 95/46] ska förbli i kraft tills de, vid behov, ändrats, ersatts eller upphävts av ett kommissionsbeslut som antagits i enlighet med punkt 2 i den här artikeln.”

20. I artikel 58.2, 58.4 och 58.5 i dataskyddsförordningen föreskrivs följande: ”2. Varje tillsynsmyndighet ska ha samtliga följande korrigerande befogenheter: a) Utfärda varningar till en personuppgiftsansvarig eller personuppgiftsbiträdet om att planerade behandlingar sannolikt kommer att bryta mot bestämmelserna i denna förordning. b) Utfärda reprimander till en personuppgiftsansvarig eller personuppgiftsbiträdet om behandling bryter mot bestämmelserna i denna förordning. c) Förelägga den personuppgiftsansvarige eller personuppgiftsbiträdet att tillmötesgå den registrerades begäran att få utöva sina rättigheter enligt denna förordning. d) Förelägga den personuppgiftsansvarige eller personuppgiftsbiträdet att se till att behandlingen sker i enlighet med bestämmelserna i denna förordning och om så krävs på ett specifikt sätt och inom en specifik period. e) Förelägga den personuppgiftsansvarige att meddela den registrerade att en personuppgiftsincident har inträffat. f) Införa en tillfällig eller definitiv begränsning av, inklusive ett förbud mot, behandling. … i) Påföra administrativa sanktionsavgifter i enlighet med artikel 83 utöver eller i stället för de åtgärder som avses i detta stycke, beroende på omständigheterna i varje enskilt fall. j) Förelägga om att flödet av uppgifter till en mottagare i tredje land eller en internationell organisation ska avbrytas. … 4. Utövandet av de befogenheter som tillsynsmyndigheten tilldelas enligt denna artikel ska omfattas av lämpliga skyddsåtgärder, inbegripet effektiva rättsmedel och rättssäkerhet, som fastställs i unionsrätten och i medlemsstaternas nationella rätt i enlighet med stadgan. 5. Varje medlemsstat ska i lagstiftning fastställa att dess tillsynsmyndighet ska ha befogenhet att upplysa de rättsliga myndigheterna om överträdelser av denna förordning och vid behov att inleda eller på övrigt vis delta i rättsliga förfaranden, för att verkställa bestämmelserna i denna förordning.”

C. Beslut 2010/87

21. Kommissionen har antagit tre beslut på grundval av artikel 26.4 i direktiv 95/46, vilka innehåller standardavtalsklausuler som enligt kommissionen ger tillräckliga garantier för skydd av den personliga integriteten och enskildas grundläggande rättigheter och friheter samt för utövandet av motsvarande rättigheter (nedan kallade besluten om standardavtalsklausuler) ( 9 ).

22. Ett av dessa beslut är beslut 2010/87, i vilket det i artikel 1 föreskrivs att ”[d]e standardavtalsklausuler som anges i bilagan till detta beslut ska anses ge tillräckliga garantier för skydd av den personliga integriteten och enskildas grundläggande rättigheter och friheter samt för utövandet av motsvarande rättigheter, i enlighet med vad som föreskrivs i artikel 26.2 i [direktiv 95/46]”.

23. Artikel 3 i detta beslut har följande lydelse: ”I detta beslut avses med … c) uppgiftsutförare: den registeransvarige som överför personuppgifterna, d) uppgiftsinförare: den registerförare som är etablerad i ett tredjeland och som samtycker till att från uppgiftsutföraren ta emot personuppgifter avsedda för behandling för uppgiftsutförarens räkning efter överföringen, enligt dennes instruktioner och i enlighet med detta beslut, såvida inte uppgiftsinföraren omfattas av ett system i det berörda tredjelandet som garanterar ett tillräckligt skydd i den mening som avses i artikel 25.1 i [direktiv 95/46], … f) tillämplig uppgiftsskyddslagstiftning: sådan lagstiftning som avser att skydda personers grundläggande fri- och rättigheter, särskilt deras personliga integritet i samband med behandling av personuppgifter, och som är tillämplig på registeransvariga i den medlemsstat där uppgiftsutföraren är etablerad, …”

24. I artikel 4.1 i beslutet, i dess ursprungliga lydelse, föreskrevs följande: ”Utan att det påverkar rätten för medlemsstaternas behöriga myndigheter att se till att nationella bestämmelser som antagits i enlighet med bestämmelserna i kapitlen II, III, V och VI i [direktiv 95/46] följs, får de använda sina befintliga befogenheter för att förbjuda eller avbryta flöden av uppgifter till tredjeland och därigenom skydda enskilda när det gäller behandling av personuppgifter om dem i fall där a) det konstateras att uppgiftsinföraren eller en underentreprenör enligt den lagstiftning som gäller för denne ska frångå tillämplig uppgiftsskyddslagstiftning som går utöver de restriktioner som krävs i ett demokratiskt samhälle enligt artikel 13 i [direktiv 95/46], om dessa restriktioner sannolikt har en avsevärt skadlig inverkan på de garantier som ställs i tillämplig uppgiftsskyddslagstiftning eller i standardavtalsklausulerna, b) en behörig myndighet har fastställt att uppgiftsinföraren eller en underentreprenör inte har följt standardavtalsklausulerna i bilagan, eller c) det finns skälig grund att anta att standardavtalsklausulerna i bilagan inte följs eller inte kommer att följas och att fortsatt överföring skulle medföra en överhängande risk för allvarlig skada för de registrerade.”

25. I artikel 4 i beslut 2010/87, i dess nuvarande lydelse, som följer av att beslut 2010/87 ändrats genom genomförandebeslut (EU) 2016/2297 ( 10 ) anges att ”[n]är de behöriga myndigheterna i en medlemsstat utövar sina befogenheter enligt artikel 28.3 i [direktiv 95/46] och detta leder till ett tillfälligt eller slutligt förbud mot dataflöden till tredjeländer i syfte att skydda enskilda personer med avseende på behandlingen av deras personuppgifter, ska den berörda medlemsstaten utan dröjsmål underrätta kommissionen och vidarebefordra underrättelsen till de övriga medlemsstaterna”.

26. Bilagan till beslut 2010/87 innehåller en rad standardavtalsklausuler. I klausul 3, med rubriken ”Tredjepartsberättigande”, föreskrivs följande: ”1. Den registrerade kan i egenskap av berättigad tredjepart åberopa denna klausul och klausulerna 4 b–i, 5 a–e och 5 g–j, 6.1–2, 7, 8.2 samt klausulerna 9–12 gentemot uppgiftsutföraren. 2. Den registrerade kan gentemot uppgiftsinföraren åberopa denna klausul, klausulerna 5 a–e och 5 g, klausulerna 6, 7, 8.2 samt klausulerna 9–12 i sådana fall där uppgiftsutföraren har upphört att existera i faktisk eller rättslig mening, såvida inte en annan enhet enligt avtal eller lag till fullo har övertagit uppgiftsutförarens rättsliga skyldigheter, och som en följd av detta påtar sig uppgiftsutförarens rättigheter och skyldigheter, i vilket fall den registrerade kan åberopa de ovannämnda klausulerna gentemot denna. …”

27. Klausul 4 i bilagan, med rubriken ”Uppgiftsutförarens skyldigheter”, har följande lydelse: ”Uppgiftsutföraren godtar och garanterar a) att behandlingen, inbegripet själva överföringen, av personuppgifterna har skett och även i fortsättningen kommer att ske i enlighet med tillämplig uppgiftsskyddslagstiftning (och i förekommande fall anmäls till behöriga myndigheter i den medlemsstat där uppgiftsutföraren är etablerad) och inte strider mot gällande lagar eller andra författningar i den medlemsstaten, b) att han instruerat och under behandlingen av personuppgifter kommer att instruera uppgiftsinföraren att behandla de överförda personuppgifterna endast för uppgiftsutförarens räkning och i enlighet med tillämplig uppgiftsskyddslagstiftning och klausulerna, c) att uppgiftsinföraren kommer att ge tillräckliga garantier vad gäller de tekniska och organisatoriska säkerhetsåtgärder som anges i tillägg 2 till detta avtal, d) att han, mot bakgrund av tillämplig uppgiftsskyddslagstiftning, har funnit säkerhetsåtgärderna lämpliga för att skydda personuppgifter mot oavsiktlig eller olaglig utplåning, oavsiktlig förlust, ändring, otillåtet utlämnande eller otillåten åtkomst, i synnerhet när behandlingen inbegriper överföring av uppgifter över ett nät, och mot varje annan form av olaglig behandling, med hänsyn tagen till teknikens ståndpunkt, kostnaden för vidtagande av åtgärderna och de risker behandlingen innebär och karaktären hos de uppgifter som ska behandlas, e) att han kommer att se till att säkerhetsåtgärderna följs, f) att, om överföringen avser särskilda kategorier av uppgifter, de registrerade har informerats eller informeras senast när överföringen sker eller så snart som möjligt därefter om att deras uppgifter kan komma att överföras till ett tredjeland som inte tillhandahåller adekvat skydd i den mening som avses i [direktiv 95/46], g) att vidarebefordra anmälningar från uppgiftsinföraren eller eventuella underentreprenörer i enlighet med klausul 5 b och klausul 8.3 till tillsynsmyndigheten om uppgiftsutföraren beslutar att fortsätta överföringen eller häva avbrottet, h) att på begäran tillhandahålla de registrerade en kopia av klausulerna, med undantag för tillägg 2, och en sammanfattande beskrivning av säkerhetsåtgärderna, samt en kopia av eventuella underentreprenörsavtal som måste ingås enligt klausulerna, såvida inte klausulerna eller avtalet innehåller affärsinformation, i) att uppgiftsbehandlingen vid en eventuell utläggning på entreprenad utförs i enlighet med klausul 11 av en underentreprenör som tillhandahåller åtminstone samma skyddsnivå för personuppgifter och den registrerades rättigheter som uppgiftsinföraren ska göra enligt klausulerna, och j) att han kommer att se till att klausul 4 a–i följs.”

28. I klausul 5 i samma bilaga, med rubriken ”Uppgiftsinförarens skyldigheter (1)” anges följande: ”Uppgiftsinföraren godtar och garanterar a) att behandla personuppgifter för uppgiftsutförarens räkning och enlighet med dennes instruktioner samt dessa klausuler; om han av något skäl inte kan fullgöra detta krav går han med på att omedelbart informera uppgiftsutföraren om detta, varvid uppgiftsutföraren har rätt att avbryta överföringen av uppgifter och/eller häva avtalet, b) att han inte har anledning att förmoda att den lagstiftning som är tillämplig på honom hindrar honom från att fullfölja uppdragsutförarens instruktioner och sina skyldigheter enligt detta avtal; om lagstiftningen ändras på ett sätt som sannolikt har en avsevärt skadlig inverkan på de garantier som klausulerna innebär, ska han anmäla ändringen till uppgiftsutföraren, varvid uppgiftsutföraren har rätt att avbryta överföringen av uppgifter och/eller häva avtalet, c) att han har vidtagit de tekniska och organisatoriska säkerhetsåtgärder som anges i tillägg 2 innan de överförda personuppgifterna behandlas, d) att utan dröjsmål kommer att underrätta uppgiftsutföraren om i) varje rättsligt bindande begäran från rättsliga myndigheter om utlämnande av personuppgifterna, om inte detta är förbjudet på grund av exempelvis ett straffrättsligt förbud som syftar till att bevara sekretessen vid brottsutredningar, ii) varje oavsiktlig eller otillåten åtkomst, och iii) varje förfrågan direkt från de registrerade, utan att svara på dem om han inte givits tillstånd till det, e) att utan dröjsmål och korrekt handlägga alla frågor från uppgiftsutföraren om behandling av sådana personuppgifter som överförs och att rätta sig efter tillsynsmyndighetens rekommendationer med avseende på behandlingen av de uppgifter som överförs, f) att på uppgiftsutförarens begäran ställa sin databehandlingsutrustning till förfogande för granskning av den uppgiftsbehandling som dessa klausuler avser; granskningen ska genomföras av uppgiftsutföraren eller av ett inspektionsorgan med oberoende och sakkunniga ledamöter; de av tystnadsplikt bundna ledamöterna utses av uppgiftsutföraren, i förekommande fall enligt överenskommelse med tillsynsmyndigheten, …”

29. I fotnot 1, som det hänvisas till i rubriken till klausul 5 i bilagan till beslut 2010/87, anges följande: ”Standardavtalsklausulerna är inte oförenliga med obligatoriska krav i den nationella lagstiftning som är tillämplig på uppgiftsinföraren, förutsatt att kraven inte går utöver vad som är nödvändigt i ett demokratiskt samhälle på någon av de grunder som anges i artikel 13.1 i direktiv 95/46/EG, dvs. om det är en nödvändig åtgärd med hänsyn till statens säkerhet, försvaret, den allmänna säkerheten, förebyggande, undersökning, avslöjande av brott eller åtal för brott eller av överträdelser av etiska regler som gäller för lagreglerade yrken, ett för staten viktigt ekonomiskt eller finansiellt intresse eller skydd av den registrerades eller andras fri- och rättigheter. Exempel på sådana obligatoriska krav som inte går utöver vad som krävs i ett demokratiskt samhälle är internationellt erkända sanktioner, krav på skatterapportering eller upplysningsplikt när det gäller bekämpning av penningtvätt.”

30. Klausul 6 i denna bilaga, med rubriken ”Ansvar”, har följande lydelse: ”1. Parterna är överens om att en registrerad som lidit skada till följd av att en part eller en parts underentreprenör brutit mot de skyldigheter som avses i klausul 3 eller klausul 11 har rätt till ersättning från uppgiftsutföraren. 2. Om den registrerade, i situationer där uppgiftsinföraren eller dennes underentreprenör bryter mot någon av sina skyldigheter enligt klausulerna 3 eller 11, inte kan rikta skadeståndsanspråk mot uppgiftsutföraren i enlighet med punkt 1 på grund av att uppgiftsutföraren har upphört att existera i faktisk eller rättslig mening eller har hamnat på obestånd, ska uppgiftsinföraren godta att den registrerade kan rikta ett skadeståndsanspråk mot uppgiftsinföraren som om denne var uppgiftsutföraren, såvida inte en annan enhet enligt avtal eller lag till fullo har övertagit uppgiftsutförarens rättsliga skyldigheter, i vilket fall den registrerade kan göra sina rättigheter gällande gentemot denna enhet. …”

31. I klausul 7 i nämnda bilaga, med rubriken ”Medling och forum”, anges följande: ”1. Uppgiftsinföraren samtycker till att, om den registrerade åberopar tredje parts rättigheter och/eller kräver ersättning för skador i enlighet med klausulerna, godta den registrerades beslut att a) inleda medling av tredje part eller, i tillämpliga fall, av tillsynsmyndigheten, b) hänskjuta tvisten till domstol i den medlemsstat där uppgiftsutföraren är etablerad. 2. Parterna är överens om att den registrerades val inte påverkar dennes materiella eller processuella rätt att söka gottgörelse i enlighet med andra bestämmelser i nationell eller internationell lagstiftning.”

32. I klausul 9 i samma bilaga, med rubriken ”Tillämplig lag”, föreskrivs att standardavtalsklausulerna omfattas av lagen i den medlemsstat där uppgiftsutföraren är etablerad.

D. Beslutet om skölden för skydd av privatlivet

33. Kommissionen har antagit två på varandra följande beslut på grundval av artikel 25.6 i direktiv 95/46, i vilka den har konstaterat att Förenta staterna säkerställer en adekvat skyddsnivå för personuppgifter som överförs till företag som är etablerade i Förenta staterna och som genom ett förfarande för självcertifiering har förklarat att de följer de principer som anges i dessa beslut.

34. Först antog kommissionen beslut 2000/520/EG om huruvida ett adekvat skydd säkerställs genom de principer om integritetsskydd (Safe Harbor Privacy Principles) i kombination med frågor och svar som Förenta staternas handelsministerium utfärdat. ( 11 ) I domen av den 6 oktober 2015, Schrems, ( 12 ) slog domstolen fast att detta beslut var ogiltigt.

35. Till följd av nämnda dom antog kommissionen därefter beslutet om skölden för skydd av privatlivet.

36. I artikel 1 i detta beslut föreskrivs följande: ”1. Vid tillämpningen av artikel 25.2 i [direktiv 95/46] säkerställer Förenta staterna en adekvat skyddsnivå för personuppgifter som överförs från unionen till organisationer i Förenta staterna inom ramen för skölden för skydd av privatlivet i EU och Förenta staterna. 2. Skölden för skydd av privatlivet i EU och Förenta staterna utgörs av de principer som utfärdades av Förenta staterna[s] handelsministerium den 7 juli 2016 enligt vad som anges i bilaga II samt de officiella utfästelser och åtaganden som ingår i de dokument som anges i bilagorna I samt III–VII. 3. Vid tillämpningen av punkt 1 överförs personuppgifter enligt skölden för skydd av privatlivet i EU och Förenta staterna när de överförs från unionen till organisationer i Förenta staterna som ingår i den ’förteckning över organisationer som anslutit sig till skölden’ som förvaltas och offentliggörs av Förenta staternas handelsministerium i enlighet med avsnitten I och III i de principer som anges i bilaga II.”

37. Bilaga III A till beslutet, med rubriken ”Ombudsmannen för skölden för skydd av privatlivet i EU och Förenta staterna när det gäller signalspaning”, som bifogades en skrivelse från John Kerry, dåvarande Secretary of State (utrikesminister, Förenta staterna), daterad den 7 juli 2016, innehåller ett memorandum med en beskrivning av ett nytt förfarande med en ”chefssamordnare för internationell it-diplomati” (nedan kallad ombudsmannen) som utses av utrikesministern.

38. Enligt ordalydelsen i detta memorandum inrättades detta förfarande ”för att handlägga förfrågningar om tillgång till uppgifter som överförts från [unionen] till Förenta staterna inom ramen för skölden för skydd av privatlivet rörande nationell säkerhet, standardavtalsklausuler, bindande företagsregler samt ’undantag’ eller ’möjliga framtida undantag’ genom förfaranden som fastställts enligt tillämpliga amerikanska lagar och policyer, samt hur sådana förfrågningar ska besvaras”.

III. Målet vid den nationella domstolen, giltighetsfrågorna och förfarandet vid domstolen

39. Maximillian Schrems, som är österrikisk medborgare och bosatt i Österrike, är användare av det sociala nätverket Facebook. Alla användare av detta sociala nätverk med hemvist inom unionen måste i samband med att de registrerar sig ingå ett avtal med Facebook Ireland, som är ett dotterbolag till moderbolaget Facebook Inc., vilket i sin tur har sitt säte i Förenta staterna. Användarnas personuppgifter överförs helt eller delvis till servrar tillhörande Facebook Inc. belägna i Förenta staterna, där uppgifterna behandlas.

40. Den 25 juni 2013 ingav Maximillian Schrems en anmälan till DPC, i vilken han begärde att Facebook Ireland skulle förbjudas att överföra personuppgifter rörande honom till Förenta staterna. I anmälan hävdade han att gällande lagstiftning och praxis i detta tredjeland inte garanterar ett tillräckligt skydd för lagrade personuppgifter mot intrång till följd av de offentliga myndigheternas övervakningsverksamhet. Maximillian Schrems hänvisade till Edward Snowdens avslöjanden om de amerikanska underrättelsetjänsternas verksamhet, särskilt verksamheten vid National Security Agency (NSA) (Nationella säkerhetsmyndigheten, Förenta staterna).

41. Anmälan avslogs bland annat med motiveringen att alla frågor om huruvida skyddet av personuppgifter i Förenta staterna var adekvat måste avgöras i överensstämmelse med Safe Harbor-beslutet. I detta beslut hade kommissionen konstaterat att Förenta staterna erbjöd en adekvat skyddsnivå för personuppgifter som överfördes till företag etablerade i Förenta staterna som hade anslutit sig till de principer som angavs i beslutet.

42. Maximillian Schrems överklagade DPC:s beslut att avslå hans anmälan till High Court (Förvaltningsöverdomstolen). Denna bedömde att även om Maximillian Schrems inte formellt hade ifrågasatt Safe Harbor-beslutets giltighet, hade han genom sitt överklagande i själva verkat hävdat att det system som inrättats genom detta beslut var olagligt. Mot denna bakgrund hänsköt High Court (Förvaltningsöverdomstolen) frågor till EU-domstolen för att få klarhet i huruvida de myndigheter i medlemsstaterna som ansvarar för dataskyddet (nedan kallade tillsynsmyndigheterna), när de ska pröva en anmälan rörande skyddet för en persons fri- och rättigheter med avseende på behandling av personuppgifter rörande vederbörande som har överförts till ett tredjeland, är bundna av kommissionens konstateranden enligt artikel 25.6 i direktiv 95/46 avseende att skyddsnivån i detta tredjeland är adekvat, trots att den som har ingett anmälan bestrider dessa konstateranden.

43. EU-domstolen slog i punkterna 51 och 52 i domen Schrems fast att tillsynsmyndigheterna är bundna av ett beslut om en adekvat skyddsnivå så länge som beslutet inte har ogiltigförklarats, och konstaterade därefter följande i punkterna 63 och 65: ”63. … [Det] ankommer … på en nationell tillsynsmyndighet att med vederbörlig omsorg utreda en begäran om skydd för sina fri- och rättigheter med avseende på behandling av personuppgifter som framställts av en person vars personuppgifter överförts, eller kan komma att överföras, till ett tredjeland som varit föremål för ett kommissionsbeslut med stöd av artikel 25.6 i direktiv 95/46, och i samband med vilken vederbörande … gör gällande att beslutet inte är förenligt med skyddet för privatlivet och enskilda personers grundläggande fri- och rättigheter. … 65. Om den nationella tillsynsmyndigheten… anser att det finns fog för de invändningar som framförts av [denna person], måste myndigheten, i enlighet med artikel 28.3 första stycket tredje strecksatsen i direktiv 95/46, särskilt jämförd med artikel 8.3 i stadgan, ha befogenhet att inleda rättsliga förfaranden. Det ankommer härvidlag på den nationella lagstiftaren att föreskriva rättsmedel som gör det möjligt för den nationella tillsynsmyndigheten att vid nationella domstolar göra gällande de invändningar som den anser att det finns fog för, så att nationella domstolar, för det fall att de delar myndighetens tvivel angående kommissionsbeslutets giltighet, kan hänskjuta en begäran om förhandsavgörande för att pröva detta besluts giltighet.”

44. I nämnda dom prövade domstolen även huruvida Safe Harbor-beslutet var giltigt mot bakgrund av de krav som följer av direktiv 95/46 jämfört med stadgan. Till följd av denna prövning konstaterade den att beslutet i fråga var ogiltigt. ( 13 )

45. Till följd av domen Schrems ogiltigförklarade den hänskjutande domstolen DPC:s beslut om avslag på Maximillian Schrems anmälan och återförvisade ärendet till DPC för prövning. DPC inledde en utredning och anmodade Maximillian Schrems att omformulera sin anmälan med beaktande av att Safe Harbor-beslutet hade ogiltigförklarats.

46. Maximillian Schrems begärde därför att Facebook Ireland skulle ange vilka rättsliga grunder överföringarna av personuppgifter rörande användarna av det sociala nätverket Facebook från unionen till Förenta staterna baserar sig på. Utan att ange samtliga de rättsliga grunder som överföringarna baserade sig på hänvisade Facebook Ireland till beslut 2010/87 samt till ett avtal om överföring och behandling av uppgifter (data transfer processing agreement) som hade ingåtts mellan Facebook Ireland och Facebook Inc. och som gällde från och med den 20 november 2015.

47. I sin omformulerade anmälan gjorde Maximillian Schrems gällande att klausulerna i detta avtal inte överensstämmer med standardavtalsklausulerna i bilagan till beslut 2010/87. Vidare hävdade Maximillian Schrems att dessa standardavtalsklausuler i vart fall inte kan utgöra grund för överföring av personuppgifter rörande honom till Förenta staterna. Detta är fallet eftersom Facebook Inc. enligt amerikansk rätt är skyldigt att ställa användarnas personuppgifter till förfogande för amerikanska myndigheter såsom NSA och Federal Bureau of Investigation (FBI) (Federala utredningsbyrån, Förenta staterna) inom ramen för övervakningsprogram som hindrar utövandet av de rättigheter som garanteras i artiklarna 7, 8 och 47 i stadgan. Maximillian Schrems hävdade att det inte finns något rättsmedel som gör det möjligt för de registrerade att göra gällande sin rätt till respekt för privatlivet och skydd av personuppgifter. Under dessa omständigheter begärde Maximillian Schrems att DPC skulle avbryta överföringen i enlighet med artikel 4 i beslut 2010/87.

48. Inom ramen för DPC:s utredning erkände Facebook Ireland att företaget fortsätter att överföra personuppgifterna för användare av det sociala nätverket Facebook som är bosatta i unionen till Förenta staterna och härvid till stor del grundar sig på standardavtalsklausulerna i bilagan till beslut 2010/87.

49. DPC:s utredning syftade till att avgöra dels huruvida Förenta staterna säkerställer ett adekvat skydd för unionsmedborgarnas personuppgifter, dels, om så inte är fallet, huruvida besluten om standardavtalsklausuler innehåller tillräckliga garantier vad gäller skyddet för unionsmedborgarnas grundläggande rättigheter och friheter.

50. I ett utkast till beslut (draft decision) ansåg DPC preliminärt att amerikansk lagstiftning inte erbjuder något effektivt rättsmedel i den mening som avses i artikel 47 i stadgan för unionsmedborgare vilkas personuppgifter överförs till Förenta staterna, där uppgifterna riskerar att behandlas av amerikanska organ på ett sätt som är oförenligt med artiklarna 7 och 8 i stadgan. De garantier som föreskrivs i klausulerna i bilagorna till besluten om standardavtalsklausuler avhjälper inte denna brist, eftersom de inte är bindande för amerikanska myndigheter eller organ och endast ger de registrerade avtalsrättsliga rättigheter gentemot uppgiftsutföraren och/eller uppgiftsinföraren.

51. Under dessa omständigheter bedömde DPC att den inte kan avgöra anmälan från Maximillian Schrems utan att EU-domstolen har prövat huruvida besluten om standardavtalsklausuler är giltiga. DPC inledde därför, i enlighet med vad som slås fast i punkt 65 i domen Schrems, ett förfarande vid den hänskjutande domstolen i syfte att denna, för det fall att den delar DPC:s tvivel, skulle hänskjuta en begäran om förhandsavgörande till EU-domstolen angående giltigheten av dessa beslut.

52. Förenta staternas regering, Electronic Privacy Information Centre (EPIC), Business Software Alliance (BSA) och Digitaleurope tilläts intervenera vid den hänskjutande domstolen.

53. High Court (Förvaltningsöverdomstolen) inhämtade bevisning från parterna i tvisten och lyssnade till de argument som anfördes av parterna och av intervenienterna, för att den skulle kunna avgöra om den delar DPC:s tvivel rörande giltigheten av besluten om standardavtalsklausuler. Den bevisning som presenterades av experter avsåg framför allt bestämmelser i Förenta staternas lagstiftning. Enligt irländsk rätt betraktas utländsk lagstiftning som en faktisk omständighet som ska fastställas genom bevisning på samma sätt som alla andra omständigheter. På grundval av denna bevisning utvärderade den hänskjutande domstolen de bestämmelser i Förenta staternas lagstiftning som tillåter att myndigheter och regeringsorgan utövar övervakning, funktionen hos två officiellt erkända övervakningsprogram (”PRISM” och ”Upstream”), de olika rättsmedel som är tillgängliga för enskilda vilkas rättigheter har kränkts genom övervakningsåtgärder samt de systematiska garantierna och kontrollmekanismerna. Den hänskjutande domstolen redogjorde för resultaten av sin utvärdering i en dom av den 3 oktober 2017, vilken bifogats begäran om förhandsavgörande (nedan kallad domen från High Court (Förvaltningsöverdomstolen) av den 3 oktober 2017).

54. I nämnda dom hänvisade den hänskjutande domstolen, bland de rättsliga grunder som tillåter att amerikanska underrättelsetjänster avlyssnar utländska kommunikationer, till avsnitt 702 i Foreign Intelligence Surveillance Act (FISA) (lag om underrättelseverksamhet och övervakning utomlands) och Executive Order 12333 (presidentorder nr 12333) (nedan kallad EO 12333).

55. Enligt konstaterandena i nämnda dom kan Attorney General (justitieministern, Förenta staterna) tillsammans med Director of National Intelligence (DNI) (chefen för den nationella underrättelsetjänsten, Förenta staterna) enligt avsnitt 702 i FISA, i syfte att inhämta utländska underrättelseuppgifter, utfärda årliga tillstånd för övervakning av personer som inte är amerikanska medborgare och inte är permanent bosatta i Förenta staterna (så kallade icke-amerikanska personer), om de skäligen kan antas befinna sig utanför Förenta staternas territorium. ( 14 ) Med begreppet utländsk underrättelseinformation avses enligt FISA information relaterad till regeringens förmåga att skydda sig mot utländska attacker, terrorism och spridning av massförstörelsevapen och till genomförandet av Förenta staternas utrikespolitik. ( 15 )

56. Dessa årliga tillstånd, liksom förfarandena för målinriktning på personer som ska övervakas och för behandling (”minimering”) av den insamlade informationen, ( 16 ) måste godkännas av Foreign Intelligence Surveillance Court (FISC) (Domstolen för övervakning av utländsk underrättelseinformation, Förenta staterna). Medan den ”traditionella” övervakning som utförs på grundval av andra bestämmelser i FISA kräver att ”sannolika skäl” har fastställts föreligga som föranleder misstanke om att de övervakade personerna tillhör eller är agenter för en utländsk makt, är övervakningsverksamhet som vidtas enligt avsnitt 702 i FISA inte underordnad några sådana krav på att ”sannolika skäl” har fastställts eller på att FISC har godkänt målinriktningen på bestämda personer. Dessutom är – också detta enligt den hänskjutande domstolens konstateranden – förfarandena för minimering inte tillämpliga på icke-amerikanska personer som befinner sig utanför Förenta staterna.

57. I praktiken går det till så att när FISC har beviljat tillstånd sänder NSA direktiv till leverantörer av elektroniska kommunikationstjänster etablerade i Förenta staterna. Dessa direktiv innehåller sökkriterier, så kallade ”urvalstermer”, avseende de personer som övervakningen inriktas på (såsom telefonnummer eller e-postadresser). Leverantörerna är då skyldiga att till NSA överföra de uppgifter som motsvarar urvalstermerna och måste upprätthålla sekretessen för de direktiv som de erhållit. De kan inge en ansökan till FISC om ändring av eller avvikelse från ett direktiv utfärdat av NSA. FISC:s beslut kan överklagas till Foreign Intelligence Surveillance Court of Review (FISCR) (Appellationsdomstolen för övervakning av utländsk underrättelseinformation, Förenta staterna).

58. High Court (Förvaltningsöverdomstolen) konstaterade att avsnitt 702 i FISA utgör den rättsliga grunden för programmen PRISM och Upstream.

59. Inom ramen för programmet PRISM är leverantörer av elektroniska kommunikationstjänster skyldiga att till NSA överföra alla kommunikationer ”från” eller ”till” den urvalsterm som NSA har meddelat. En del av kommunikationerna överförs till FBI och Central Intelligence Agency (CIA) (Centrala underrättelsetjänsten, Förenta staterna). År 2015 övervakades 94386 personer och år 2011 inhämtade Förenta staternas regering mer än 250 miljoner kommunikationer inom ramen för detta program.

60. Programmet Upstream bygger på obligatoriskt bistånd från de företag som handhar driften av den ”ryggrad” – det vill säga det nätverk av kablar, switchar och routrar – via vilken telekommunikationerna och internetkommunikationerna går. Dessa företag är skyldiga att låta NSA kopiera och filtrera trafikflödena på internet i syfte att inhämta kommunikationer ”från”, ”till” eller ”rörande” en urvalsterm som anges i ett direktiv från detta organ. Med kommunikationer rörande en urvalsterm avses kommunikationer som refererar till denna urvalsterm, utan att den icke-amerikanska person som associeras med urvalstermen i fråga nödvändigtvis deltar i kommunikationen. Även om det av ett yttrande från FISC av den 26 april 2017 framgår att den amerikanska regeringen från och med det datumet inte längre samlar in och inhämtar kommunikationer ”rörande” en urvalsterm, framgår det inte av yttrandet att NSA har upphört med att kopiera och filtrera de kommunikationsflöden som går via dess övervakningssystem. Programmet Upstream innebär således att NSA har tillgång till såväl metadata som innehållet i kommunikationerna. Sedan 2011 har NSA inom ramen för programmet Upstream samlat in omkring 26,5 miljoner kommunikationer per år, vilket emellertid endast utgör en liten del av de kommunikationer som omfattas av filtreringsprocessen inom ramen för detta program.

61. Enligt konstaterandena från High Court (Förvaltningsöverdomstolen) tillåter EO 12333 dessutom övervakning av elektroniska kommunikationer utanför Förenta staternas territorium genom att, i syfte att inhämta utländsk underrättelseinformation, möjliggöra åtkomst till uppgifter som antingen är under överföring till Förenta staternas territorium eller överförs via detta territorium utan att vara avsedda att behandlas där samt insamling och lagring av dessa uppgifter. I EO 12333 definieras begreppet ”utländsk underrättelseinformation” så, att det inbegriper information avseende utländska regeringars, organisationers och personers kapacitet, avsikter eller aktiviteter. ( 17 )

62. EO 12333 ger NSA befogenhet för åtkomst till de undervattenskablar på botten av Atlanten genom vilka uppgifter överförs från unionen till Förenta staterna och ger således NSA åtkomst till uppgifterna i fråga innan de når fram till Förenta staterna och därigenom omfattas av bestämmelserna i FISA. Det finns emellertid inga bevis för att något program skulle ha genomförts i enlighet med denna presidentorder.

63. Även om det i EO 12333 föreskrivs begränsningar för insamlingen, lagringen och spridningen av information, är dessa begränsningar inte tillämpliga när det gäller icke-amerikanska personer. Dessa omfattas enbart av de garantier som anges i Presidential Policy Directive 28 (presidentens policydirektiv 28, nedan kallat PPD 28), vilket är tillämpligt på all verksamhet för insamling och användning av utländska underrättelseuppgifter som erhålls genom signalspaning. I PPD 28 föreskrivs att respekt för privatlivet är en av de faktorer som ska beaktas vid planeringen av denna verksamhet, att insamlingen endast ska syfta till att inhämta utländska underrättelseuppgifter och kontraspionageuppgifter och att nämnda verksamhet ska vara ”så anpassad som möjligt”.

64. Den verksamhet som NSA grundar på EO 12333, vilken när som helst kan ändras eller återkallas av Förenta staternas president, är enligt den hänskjutande domstolen inte reglerad i lag, är inte föremål för någon rättslig tillsyn och kan inte vara föremål för rättslig prövning.

65. Mot bakgrund av ovannämnda konstateranden anser den hänskjutande domstolen att Förenta staterna genomför en urskillningslös massbehandling av personuppgifter, vilket innebär en risk för kränkning av de rättigheter som de registrerade har enligt artiklarna 7 och 8 i stadgan.

66. Den hänskjutande domstolen har dessutom angett att unionsmedborgarna inte har tillgång till samma rättsmedel som amerikanska medborgare mot olaglig behandling av personuppgifter som utförs av de amerikanska myndigheterna. Det fjärde tillägget till Förenta staternas konstitution, vilket utgör det viktigaste skyddet mot olaglig övervakning, är inte tillämpligt på unionsmedborgare som inte har någon betydande frivillig koppling till Förenta staterna. Även om de sistnämnda har tillgång till vissa andra rättsmedel, är hindren för att använda sig av dem avsevärda.

67. Framför allt krävs det enligt artikel III i Förenta staternas konstitution för att väcka talan vid federal domstol att den berörda personen visar att han eller hon har talerätt (standing). Talerätt förutsätter bland annat att vederbörande visar att han eller hon lidit faktisk skada, som dels är konkret och ska beskrivas i detalj, dels är befintlig eller omedelbart förestående. Den hänskjutande domstolen har konstaterat, bland annat med hänvisning till domen från Supreme Court of the United States (Förenta staternas högsta domstol), Clapper mot Amnesty International US, ( 18 ) att detta villkor i praktiken är alltför svårt att uppfylla, särskilt eftersom det inte finns någon skyldighet att underrätta de registrerade om övervakningsåtgärder som vidtas mot dem. ( 19 ) En del av de rättsmedel som är tillgängliga för unionsmedborgarna omfattas dessutom av andra begränsande villkor, såsom att det måste visas att man lidit ekonomisk skada. Den suveräna immunitet som underrättelsetjänsterna tillerkänns och hemligstämplingen av informationen i fråga hindrar också utövandet av vissa rättsmedel. ( 20 )

68. High Court (Förvaltningsöverdomstolen) har även beskrivit olika mekanismer för kontroll och tillsyn av underrättelsetjänsternas verksamhet.

69. Bland dessa återfinns den mekanism genom vilken FISC årligen certifierar program grundade på avsnitt 702 i FISA, inom ramen för vilken FISC emellertid inte godkänner individuella urvalstermer. När det gäller insamlin av utländska underrättelseuppgifter på grundval av EO 12333 görs ingen föregående domstolskontroll.

70. Den hänskjutande domstolen har vidare hänvisat till flera mekanismer för utomrättslig tillsyn av underrättelseverksamheten. Den har särskilt nämnt Inspectors General (allmänna inspektörer, Förenta staterna), som finns vid varje underrättelsetjänst och har i uppgift att utöva tillsyn över övervakningsverksamheten. Vidare finns Privacy and Civil Liberties Oversight Board (PCLOB) (Styrelsen för tillsyn av personlig integritet och medborgerliga fri- och rättigheter, Förenta staterna), ett oberoende organ inom den verkställande makten som mottar rapporter från de ombud för medborgerliga fri- och rättigheter eller personlig integritet (civil liberties or privacy officers) som utses vid varje underrättelsetjänst. PCLOB sammanställer regelbundna rapporter till kongressutskotten och presidenten. Underrättelsetjänsterna ska, bland annat till DNI, anmäla incidenter avseende åsidosättande av reglerna och förfarandena för insamling av utländsk underrättelseinformation. Dessa incidenter ska även rapporteras till FISC. Förenta staternas kongress har också, via underrättelseutskotten i representanthuset och i senaten, ansvar för att kontrollera verksamheten avseende utländsk underrättelseinformation.

71. High Court (Förvaltningsöverdomstolen) har emellertid betonat den grundläggande skillnaden mellan, å ena sidan, de regler som syftar till att säkerställa att uppgifterna erhålls lagligt och inte missbrukas när de väl har erhållits och, å andra sidan, de tillgängliga rättsmedlen när dessa regler har åsidosatts. Skyddet för de registrerades grundläggande rättigheter säkerställs endast om effektiva rättsmedel ger dem möjlighet att göra gällande sina rättigheter för det fallet att nämnda regler har åsidosatts.

72. Under dessa omständigheter anser den hänskjutande domstolen att det finns fog för de argument som DPC har anfört avseende att de begränsningar som föreskrivs i amerikansk lagstiftning när det gäller rätten till rättslig prövning för de personer vilkas uppgifter överförs från unionen inte är förenliga med det väsentliga innehållet i den rättighet som garanteras i artikel 47 i stadgan och i vart fall utgör ett oproportionerligt ingrepp i utövandet av denna rättighet.

73. Enligt High Court (Förvaltningsöverdomstolen) påverkas denna bedömning inte av att Förenta staternas regering har infört den ombudsmannamekanism som beskrivs i beslutet om skölden för skydd av privatlivet. Efter att ha betonat att denna mekanism är tillgänglig för unionsmedborgare som på skälig grund bedömer att deras personuppgifter har överförts i enlighet med besluten om standardavtalsklausuler, ( 21 ) har High Court (Förvaltningsöverdomstolen) påpekat att ombudsmannen inte utgör en domstol som uppfyller kraven i artikel 47 i stadgan och framför allt inte är oberoende av den verkställande makten. ( 22 ) High Court (Förvaltningsöverdomstolen) är även tveksam till huruvida ett ingripande av ombudsmannen, vars beslut inte kan vara föremål för rättslig prövning, motsvarar ett effektivt rättsmedel. Ett ingripande av ombudsmannen möjliggör nämligen inte för de personer vilkas personuppgifter har samlats in, behandlats eller delats olagligt att erhålla skadestånd eller ett föreläggande om att de olagliga handlingarna ska upphöra, eftersom ombudsmannen varken bekräftar eller förnekar att en person har varit föremål för elektronisk övervakning.

74. Efter att sålunda ha redogjort för sina farhågor rörande huruvida de skyddsåtgärder som föreskrivs i amerikansk rätt är väsentligen likvärdiga med de krav som följer av artiklarna 7, 8 och 47 i stadgan har den hänskjutande domstolen ifrågasatt huruvida de standardavtalsklausuler som föreskrivs i besluten om standardavtalsklausuler – vilka på grund av sin natur inte är bindande för de amerikanska myndigheterna – kan säkerställa skyddet för de registrerades grundläggande rättigheter. Den hänskjutande domstolen har mot denna bakgrund konstaterat att den delar DPC:s tvivel om huruvida besluten är giltiga.

75. Den hänskjutande domstolen anser särskilt att artikel 28.3 i direktiv 95/46, vilken det hänvisas till i artikel 4 i beslut 2010/87, inte räcker för att skingra dessa tvivel i den del tillsynsmyndigheterna däri tillerkänns befogenhet att avbryta eller förbjuda flöden av uppgifter som grundas på de standardavtalsklausuler som föreskrivs i detta beslut. Förutom att denna befogenhet enligt den hänskjutande domstolen endast är av diskretionär natur frågar den sig mot bakgrund av skäl 11 i beslut 2010/87 huruvida det är möjligt att utöva den, när de konstaterade bristerna inte avser ett särskilt undantagsfall utan är av allmän och systematisk karaktär. ( 23 ) Den hänskjutande domstolen anser även att risken för att skiljaktiga beslut fattas i olika medlemsstater kan utgöra hinder för att det överlåts på tillsynsmyndigheterna att konstatera sådana brister.

76. Mot denna bakgrund beslutade High Court (Förvaltningsöverdomstolen) genom beslut av den 4 maj 2018, ( 24 ) vilket inkom till EU-domstolen den 9 maj 2018, att vilandeförklara målet och ställa följande frågor till EU-domstolen: ”1) I de fall då personuppgifter överförs av ett privat företag från en medlemsstat i [unionen] till ett privat företag i ett tredje land i kommersiellt syfte enligt [beslut 2010/87] och kan behandlas ytterligare i det tredje landet av dess myndigheter för att säkerställa den nationella säkerheten, men även för brottsbekämpande syften och genomförandet av utrikespolitiken i tredje land, ska unionsrätten (inklusive [stadgan]) tillämpas på överföring av uppgifter trots bestämmelserna i artikel 4.2 FEU i fråga om nationell säkerhet och bestämmelserna i artikel 3.2 första strecksatsen i [direktiv 95/46] i fråga om den allmänna säkerheten, försvaret, statens säkerhet? 2) a) Vid fastställandet av huruvida en enskild persons rättigheter har kränkts på grund av överföringen av uppgifter från [unionen] till ett tredje land enligt [beslut 2010/87] där de kan bli föremål för vidare behandling för ändamål som berör nationell säkerhet, är den relevanta jämförelsegrunden vid tillämpningen av [direktiv 95/46] i) stadgan, FEU, FEUF, [direktiv 95/46], [Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, som undertecknades i Rom den 4 november 1950 (nedan kallad Europakonventionen)] (eller andra unionsrättsliga bestämmelser), eller ii) den nationella lagstiftningen i en eller fler medlemsstater? b) Om den relevanta jämförelsegrunden är ii), ska dåäven praxis i samband med den nationella säkerheten i en eller flera medlemsstater också användas som jämförelsegrund? 3) Vid bedömningen av om ett tredje land garanterar den skyddsnivå som föreskrivs i EU-lagstiftningen för personuppgifter som överförs till det landet i den mening som avses i artikel 26 i [direktiv 95/46], bör skyddsnivån i tredje land bedömas mot bakgrund av a) regler som är tillämpliga i tredje land till följd av dess interna lagstiftning eller dess internationella förpliktelser samt praxis vad gäller att säkerställa iakttagandet av dessa regler, inbegripet de regler för yrkesverksamhet och säkerhet som gäller där, eller b) de regler som avses i punkt a tillsammans med den administrativa praxis, regleringspraxis och efterlevnadspraxis samt politiska skyddsåtgärder, förfaranden, protokoll, tillsynsmekanismer och utomrättsliga åtgärder som gäller i tredje land? 4) Mot bakgrund av de omständigheter som har fastställts av High Court ([Förvaltningsöverdomstolen]) med avseende på amerikansk lag, föreligger en kränkning av enskilda personers rättigheter enligt artiklarna 7 och/eller 8 i stadgan om personuppgifter överförs från [unionen] till Förenta staterna enligt [beslut 2010/87]? 5) Mot bakgrund av de omständigheter som har fastställts av High Court med avseende på amerikansk lag a) är den skyddsnivå som tillhandahålls i Förenta staterna förenlig med det väsentliga innehållet i en enskild persons rätt till domstolsprövning vid kränkning av hans eller hennes rättigheter rörande uppgiftsskydd som garanteras genom artikel 47 i stadgan om personuppgifter överförs från [unionen] till Förenta staterna enligt [beslut 2010/87]? Om svaret i punkt a är jakande, b) Är de begränsningar som föreskrivs i amerikansk lag för en enskild persons rätt till domstolsprövning i samband med Förenta staternas nationella säkerhet proportionerliga i den mening som avses i artikel 52 i stadgan och håller de sig inom ramen för vad som är nödvändigt i ett demokratiskt samhälle för att skydda den nationella säkerheten? 6) a) Vilken skyddsnivå ska tilldelas med avseende på personuppgifter som överförts till ett tredje land enligt standardavtalsklausuler som antagits i enlighet med ett kommissionsbeslut enligt artikel 26.4 [i direktiv 95/46] mot bakgrund av bestämmelserna i [detta direktiv], och i synnerhet artiklarna 25 och 26 jämförda med stadgan? b) Vilka faktorer ska beaktas vid bedömningen av om den skyddsnivå som tilldelas med avseende på personuppgifter som överförs till ett tredje land enligt [beslut 2010/87] uppfyller kraven i [direktiv 95/46] och stadgan? 7) Innebär den omständigheten att standardavtalsklausuler tillämpas mellan uppgiftsutföraren och uppgiftsinföraren och är inte bindande för de nationella myndigheterna i tredje land som kan komma att kräva att uppgiftsinföraren ger säkerhetstjänsten i det landet tillgång till de personuppgifter som överförts enligt bestämmelserna i beslut [2010/87] för ytterligare behandling av personuppgifter att bestämmelserna inte kan säkerställa en adekvat skyddsnivå som föreskrivs i artikel 26.2 i [direktiv 95/46]? 8) Om en uppgiftsinförare i ett tredje land omfattas av lagar om övervakning som enligt [tillsynsmyndigheten] står i strid med [standardavtalsklausulerna] eller artiklarna 25 och 26 i [direktiv 95/46] och/eller stadgan, är en [tillsynsmyndighet] skyldig att utöva sina befogenheter att ingripa enligt artikel 28.3 i [direktiv 95/46] för att avbryta dataflödet eller kan dessa befogenheter enbart utövas i undantagsfall mot bakgrund av skäl 11 i [beslut 2010/87], eller kan en [tillsynsmyndighet] utnyttja sitt utrymme för skönsmässig bedömning för att inte avbryta dataflödet? 9) a) Utgör [beslutet om skölden för skydd av privatlivet] vid tillämpningen av artikel 25.6 i [direktiv 95/46], ett konstaterande med allmän giltighet som är bindande för [tillsynsmyndigheter] och medlemsstaternas domstolar, vilket innebär att Förenta staterna säkerställer en adekvat skyddsnivå i den mening som avses i artikel 25.2 i [direktiv 95/46], till följd av dess interna lagstiftning eller de internationella förpliktelser som landet har ingått? b) Om så inte är fallet, vilken betydelse, om någon, har beslutet om skölden för skydd av privatlivet vid bedömningen av om de garantier som föreskrivs för uppgifter som överförs till Förenta staterna enligt [beslut 2010/87] är adekvata? 10) Mot bakgrund av vad som fastställts av High Court med avseende på amerikansk rätt, säkerställer en ombudsman för skölden för skydd av privatlivet enligt [bilaga III A till] beslutet om skölden för skydd av privatlivet tillsammans med den befintliga rättsordningen i Förenta staterna att Förenta staterna tillhandahåller ett rättsmedel för registrerade vars personuppgifter överförs till Förenta staterna enligt [beslut 2010/87] som är förenligt med artikel 47 i stadgan? 11) Utgör [beslut 2010/87] ett åsidosättande av artiklarna 7, 8 och/eller 47 i stadgan?”

77. DPC, Facebook Ireland, Maximillian Schrems, Förenta staternas regering, EPIC, BSA, Digitaleurope, Irland, den belgiska, den tjeckiska, den tyska, den nederländska, den österrikiska, den polska och den portugisiska regeringen, Förenade kungarikets regering, Europaparlamentet och kommissionen har inkommit med skriftliga yttranden till domstolen. DPC, Facebook Ireland, Maximillian Schrems, Förenta staternas regering, EPIC, BSA, Digitaleurope, Irland, den tyska, den franska, den nederländska och den österrikiska regeringen, Förenade kungarikets regering, parlamentet, kommissionen och Europeiska dataskyddsstyrelsen (European Data Protection Board, EDPB) var företrädda vid förhandlingen den 9 juli 2019.

IV. Bedömning

A. Inledande anmärkningar

78. Sedan domstolen genom domen Schrems ogiltigförklarade Safe Harbor-beslutet har överföringen av personuppgifter till Förenta staterna fortsatt på grundval av andra rättsliga grunder. Särskilt har uppgiftsutförarna kunnat använda sig av avtal med uppgiftsinförarna som innehåller standardklausuler utarbetade av kommissionen. Dessa klausuler utgör även den rättsliga grunden för överföring till ett stort antal andra tredjeländer, avseende vilka kommissionen inte har antagit något beslut om en adekvat skyddsnivå. ( 25 ) Enligt beslutet om skölden för skydd av privatlivet kan företag som har självcertifierat sin anslutning till de principer som anges i detta beslut numera överföra personuppgifter till Förenta staterna utan några ytterligare formaliteter.

79. Som det uttryckligen anges i begäran om förhandsavgörande och som BSA, Digitaleurope, Irland, den österrikiska och den franska regeringen, parlamentet och kommissionen har betonat, handlar det nationella mål som är anhängigt vid High Court (Förvaltningsöverdomstolen) endast om huruvida det beslut genom vilket kommissionen införde de standardavtalsklausuler som har åberopats till stöd för den överföring som avses i anmälan från Maximillian Schrems, det vill säga beslut 2010/87, ( 26 ) är giltigt.

80. Det nationella målet har sitt upphov i en ansökan, i vilken DPC begärde att den hänskjutande domstolen skulle hänskjuta en fråga till EU-domstolen avseende giltigheten av beslut 2010/87. Enligt den hänskjutande domstolen rör det nationella målet således utövandet av det rättsmedel som EU-domstolen genom punkt 65 i domen Schrems har ålagt medlemsstaterna att inrätta.

81. Det ska erinras om att domstolen i punkt 63 i nämnda dom slog fast att en tillsynsmyndighet är skyldig att med vederbörlig omsorg utreda en anmälan i vilken en person, vars personuppgifter har eller kan komma att överföras till ett tredjeland som varit föremål för ett beslut om en adekvat skyddsnivå, gör gällande att beslutet inte är förenligt med de grundläggande rättigheter som föreskrivs i stadgan. I punkt 65 i samma dom slås fast att om denna myndighet anser att det finns fog för de invändningar som framförts i anmälan, måste den, i enlighet med artikel 28.3 första stycket tredje strecksatsen i direktiv 95/46 (som motsvaras av artikel 58.5 i dataskyddsförordningen) jämförd med artikel 8.3 i stadgan, ha befogenhet att inleda rättsliga förfaranden. Den nationella lagstiftaren måste föreskriva rättsmedel som gör det möjligt för tillsynsmyndigheten att vid nationella domstolar göra gällande dessa invändningar, så att nationella domstolar, för det fall att de delar tillsynsmyndighetens tvivel, kan hänskjuta en begäran om förhandsavgörande avseende beslutets giltighet.

82. I likhet med den hänskjutande domstolen anser jag att dessa konstateranden är analogt tillämpliga när en tillsynsmyndighet vid prövningen av en anmälan som ingetts till den tvivlar på, inte huruvida ett beslut om en adekvat skyddsnivå är giltigt, utan huruvida ett sådant beslut som beslut 2010/87, i vilket standardavtalsklausuler för överföring av personuppgifter till tredjeländer fastställts, är giltigt. I motsats till vad den tyska regeringen har gjort gällande spelar det ingen roll om dessa tvivel har föranletts av de invändningar som framförts av den som ingett anmälan eller om tillsynsmyndigheten på eget initiativ ifrågasätter giltigheten av beslutet i fråga. De krav som följer av artikel 58.5 i dataskyddsförordningen och artikel 8.3 i stadgan, som EU-domstolens resonemang grundar sig på, är nämligen tillämpliga oavsett den rättsliga grunden för den överföring som avses i anmälan till tillsynsmyndigheten och de skäl som föranlett denna att tvivla på giltigheten av det beslut som avses i anmälan.

83. Med detta sagt ska det konstateras att DPC har anmodat den hänskjutande domstolen att ställa frågor till EU-domstolen om giltigheten av beslut 2010/87, eftersom DPC anser att ett klargörande från EU-domstolen är nödvändigt för prövningen av den anmälan genom vilken Maximillian Schrems har begärt att DPC ska utöva sin befogenhet enligt artikel 28.3 andra strecksatsen i direktiv 95/46 – numera enligt artikel 58.2 f i dataskyddsförordningen – att avbryta överföringen av hans personuppgifter från Facebook Ireland till Facebook Inc.

84. Medan det nationella målet således endast avser huruvida beslut 2010/87 hypotetiskt är giltigt, avser det bakomliggande förfarandet vid DPC myndighetens utövande av sina korrigerande befogenheter i ett specifikt fall. Jag kommer att föreslå att EU-domstolen ska pröva de ställda frågorna endast i den mån det är nödvändigt för att avgöra huruvida beslut 2010/87 är giltigt, eftersom en sådan prövning räcker för att den hänskjutande domstolen ska kunna avgöra det mål som är anhängigt vid den. ( 27 )

85. Innan jag går in på bedömningen av huruvida detta beslut är giltigt behöver vissa invändningar tillbakavisas som har framförts mot att begäran om förhandsavgörande tas upp till prövning.

B. Huruvida begäran om förhandsavgörande kan tas upp till prövning

86. Det har invänts mot huruvida begäran om förhandsavgörande kan tas upp till prövning och detta av olika skäl som huvudsaklig avser att direktiv 95/46, vilket det hänvisas till i giltighetsfrågorna, inte är tidsmässigt tillämpligt (ratione temporis) (avsnitt 1), att förfarandet vid DPC inte är tillräckligt långt framskridet för att prövningen ska vara motiverad (avsnitt 2) och att osäkerhet kvarstår kring de faktiska omständigheter som den hänskjutande domstolen har beskrivit (avsnitt 3).

87. Innan jag bemöter dessa invändningar om rättegångshinder ska det erinras om att frågor som hänskjuts till EU-domstolen enligt artikel 267 FEUF presumeras vara relevanta. Enligt fast rättspraxis kan domstolen avvisa en begäran om förhandsavgörande endast då det är uppenbart att den begärda tolkningen av unionsrätten inte har något samband med de verkliga omständigheterna eller saken i det nationella målet eller då frågorna är hypotetiska eller EU-domstolen inte har tillgång till sådana uppgifter om de faktiska eller rättsliga omständigheterna som är nödvändiga för att kunna ge ett användbart svar på de frågor som ställts till den. ( 28 )

1. Den tidsmässiga tillämpligheten (ratione temporis) av direktiv 95/46

88. Facebook Ireland har gjort gällande att giltighetsfrågorna inte kan tas upp till prövning, eftersom det i dem hänvisas till direktiv 95/46, trots att detta direktiv har upphävts och ersatts av dataskyddsförordningen med verkan från och med den 25 maj 2018. ( 29 )

89. Jag delar synsättet att giltigheten av beslut 2010/87 ska prövas mot bakgrund av bestämmelserna i dataskyddsförordningen.

90. I artikel 94.2 i dataskyddsförordningen föreskrivs att ”[h]änvisningar till det upphävda direktivet ska anses som hänvisningar till denna förordning”. Av detta följer enligt min mening att hänvisningen i beslut 2010/87 till artikel 26.4 i direktiv 95/46 som rättslig grund, ska förstås som en hänvisning till artikel 46.2 c i dataskyddsförordningen, vilken i allt väsentligt har samma innehåll. ( 30 ) De genomförandebeslut som kommissionen innan dataskyddsförordningen trädde i kraft hade antagit enligt artikel 26.4 i direktiv 95/46 ska följaktligen tolkas mot bakgrund av denna förordning. Det är också mot bakgrund av denna förordning som deras giltighet vid behov ska bedömas.

91. Detta konstaterande påverkas inte av den rättspraxis enligt vilken lagligheten av en unionsrättsakt ska bedömas mot bakgrund av de faktiska och rättsliga omständigheter som förelåg vid tiden för rättsaktens antagande. Denna rättspraxis avser nämligen prövningen av huruvida en unionsrättsakt är giltig mot bakgrund av de relevanta faktiska omständigheterna vid tiden för dess antagande ( 31 ) eller mot bakgrund av förfarandereglerna för dess antagande. ( 32 ) Däremot har domstolen upprepade gånger prövat giltigheten av sekundärrättsakter mot bakgrund av överordnade materiella normer som trätt i kraft efter rättsaktens antagande. ( 33 )

92. Även om den omständigheten att det i tolknings- och giltighetsfrågorna hänvisas till en rättsakt som inte längre är tidsmässigt tillämplig (ratione temporis) motiverar att frågorna omformuleras, kan det emellertid inte medföra att de inte kan tas upp till prövning. ( 34 ) Som DPC och Maximillian Schrems har gjort gällande kan hänvisningarna i tolknings- och giltighetsfrågorna till direktiv 95/46 dessutom förklaras av tidsschemat för förfarandet i förevarande mål, eftersom frågorna hade hänskjutits till EU-domstolen innan dataskyddsförordningen trädde i kraft.

93. De bestämmelser i dataskyddsförordningen som kommer att behandlas vid bedömningen av tolknings- och giltighetsfrågorna – det vill säga framför allt artiklarna 45, 46 och 58 – återger i vart fall i allt väsentligt innehållet i artiklarna 25, 26 och 28 i direktiv 95/46, med viss utveckling så när som på vissa nyanser. Vad gäller de aspekter av bestämmelserna som är relevanta för att avgöra huruvida beslut 2010/87 är giltigt, ser jag inget skäl till att ge dessa bestämmelser i dataskyddsförordningen en annan räckvidd än den som motsvarande bestämmelser i direktiv 95/46 har. ( 35 )

2. Den prelimära karaktären hos de tvivel som uttryckts av DPC

94. Enligt den tyska regeringen kan begäran om förhandsavgörande inte tas upp till prövning, eftersom det för att inleda ett rättsligt förfarande i enlighet med punkt 65 i domen Schrems krävs att tillsynsmyndigheten har bildat sig en slutgiltig uppfattning om huruvida det finns fog för de invändningar som har anförts mot det ifrågavarande beslutets giltighet. Så är inte fallet här, eftersom DPC har uttryckt sina tvivel om giltigheten av beslut 2010/87 – som Maximillian Schrems för övrigt inte har invänt mot – i ett utkast till beslut som meddelats preliminärt och inte påverkar ett eventuellt ingivande av ytterligare synpunkter från Facebook Ireland och Maximillian Schrems.

95. Att DPC:s tvivel är av preliminär karaktär påverkar enligt min mening inte huruvida begäran om förhandsavgörande kan tas upp till prövning. De kriterier som avgör om en tolknings- eller en giltighetsfråga kan tas upp till prövning ska nämligen bedömas mot bakgrund av saken i det nationella målet såsom den har angetts av den hänskjutande domstolen. ( 36 ) Det framgår att saken i det nationella målet avser giltigheten av beslut 2010/87. Av ordalydelsen i begäran om förhandsavgörande och den därtill bifogade domen framgår att den hänskjutande domstolen har bedömt att de tvivel som uttryckts av DPC – oavsett om de är preliminära eller slutgiltiga – är välgrundade och att den följaktligen har ställt frågor till EU-domstolen om giltigheten av detta beslut. Under dessa omständigheter är ett klargörande från EU-domstolen i denna fråga utan tvekan relevant för att den hänskjutande domstolen ska kunna avgöra målet.

3. Osäkerheten kring de faktiska omständigheter som har fastställts

96. Förenade kungarikets regering har hävdat att den hänskjutande domstolens beskrivning av de faktiska omständigheterna är bristfällig på flera punkter, vilket gör att giltighetsfrågorna inte kan tas upp till prövning. Den hänskjutande domstolen har inte klarlagt huruvida personuppgifterna rörande Maximillian Schrems faktiskt har överförts till Förenta staterna och inte heller, om så är fallet, huruvida de har samlats in av de amerikanska myndigheterna. Den rättsliga grunden för den eventuella överföringen har inte heller angetts med säkerhet, eftersom det i begäran om förhandsavgörande endast anges att uppgifterna rörande de europeiska användarna av det sociala nätverket Facebook ”till stor del” överförs på grundval av de standardavtalsklausuler som föreskrivs i beslut 2010/87. Det har i vart fall inte fastställts att det avtal mellan Facebook Ireland och Facebook Inc. som har åberopats till stöd för den omtvistade överföringen troget återger dessa klausuler. Också den tyska regeringen har bestritt att begäran om förhandsavgörande kan tas upp till prövning, av det skälet att den hänskjutande domstolen inte har utrett huruvida Maximillian Schrems otvetydigt har samtyckt till överföringen i fråga, i vilket fall överföringen är förenlig med artikel 26.1 i direktiv 95/46 (vars innehåll i allt väsentligt återges i artikel 49.1 a i dataskyddsförordningen).

97. Dessa argument påverkar inte att begäran om förhandsavgörande är relevant mot bakgrund av saken i det nationella målet. Eftersom det nationella målet har sitt upphov i DPC:s utövande av det rättsmedel som föreskrivs i punkt 65 i domen Schrems, består själva saken i att den nationella domstolen ska begära ett förhandsavgörande om giltigheten av beslut 2010/87. Den tyska regeringen och Förenade kungarikets regering har egentligen bestritt att giltighetsfrågorna är nödvändiga för att DPC konkret ska kunna uttala sig om anmälan från Maximillian Schrems och inte för att avgöra huruvida beslut 2010/87 är giltigt.

98. Inte heller för det bakomliggande förfarande som har föranlett det nationella målet saknar frågorna avseende giltigheten av beslut 2010/87 emellertid relevans. Den hänskjutande domstolen har nämligen fastställt att Facebook Ireland har fortsatt att överföra uppgifter rörande sina användare till Förenta staterna efter det att Safe Harbor-beslutet ogiltigförklarades och att denna överföring åtminstone delvis grundar sig på beslut 2010/87. Det ankommer dessutom uteslutande på den hänskjutande domstolen att bedöma i vilket skede av förfarandet den har behov av ett förhandsavgörande från EU-domstolen, även om det kan vara fördelaktigt att alla de relevanta faktiska omständigheterna har fastställts innan den utövar sin befogenhet enligt artikel 267 FEUF. ( 37 )

99. Mot bakgrund av det ovan anförda anser jag att begäran om förhandsavgörande kan tas upp till prövning.

C. Huruvida unionsrätten är tillämplig på överföring av personuppgifter för kommersiella syften till ett tredjeland som kan komma att behandla uppgifterna för syften som avser den nationella säkerheten (den första frågan)

100. Genom den första frågan vill den hänskjutande domstolen få klarhet i huruvida unionsrätten är tillämplig på överföring av personuppgifter från ett bolag i en medlemsstat till ett bolag i ett tredjeland som utförs av kommersiella skäl, om uppgifterna efter det att överföringen har inletts kan komma att behandlas av offentliga myndigheter i tredjelandet för syften som inbegriper att skydda den nationella säkerheten.

101. Betydelsen av denna fråga för att avgöra det nationella målet ligger i den omständigheten att om en sådan överföring inte omfattas av unionsrättens tillämpningsområde, är samtliga de invändningar som i förevarande mål har framställts mot giltigheten av beslut 2010/87 ogrundade.

102. Enligt artikel 3.2 i direktiv 95/46 omfattades behandling av personuppgifter för syften som avsåg den nationella säkerheten, såsom den hänskjutande domstolen har påpekat, inte av direktivets tillämpningsområde. I artikel 2.2 i dataskyddsförordningen anges att denna förordning inte ska tillämpas bland annat på behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten eller behandling som behöriga myndigheter utför i syfte att skydda den allmänna säkerheten. Dessa bestämmelser speglar den befogenhet som medlemsstaterna förbehålls enligt artikel 4.2 FEU när det gäller skyddet av den nationella säkerheten.

103. DPC, Maximillian Schrems, Irland, den tyska, den österrikiska, den belgiska, den tjeckiska, den nederländska, den polska och den portugisiska regeringen, parlamentet och kommissionen har gjort gällande att den överföring som avses i anmälan från Maximillian Schrems inte omfattas av dessa bestämmelser och att den följaktligen omfattas av unionsrättens tillämpningsområde. Facebook Ireland har hävdat det motsatta. Jag instämmer i förstnämnda åsikt.

104. Det ska härvid betonas att överföring av personuppgifter från en medlemsstat till ett tredjeland i sig utgör ”behandling” i den mening som avses i artikel 4.2 i dataskyddsförordningen, som utförs inom en medlemsstats territorium. ( 38 ) Den första giltighetsfrågan syftar just till ett fastställande av huruvida unionsrätten är tillämplig på den behandling som själva överföringen utgör. Denna fråga avser inte huruvida unionsrätten är tillämplig på den eventuella ytterligare behandling av de till Förenta staterna överförda personuppgifterna som de amerikanska myndigheterna utför för syften som avser den nationella säkerheten, vilken inte omfattas av dataskyddsförordningens territoriella tillämpningsområde. ( 39 )

105. För att fastställa huruvida unionsrätten är tillämplig på den ifrågavarande överföringen av uppgifter ska således endast den verksamhet beaktas inom ramen för vilken överföringen utförs. Det saknar betydelse vilket syftet är med den eventuella ytterligare behandling av de överförda uppgifterna som utförs av de offentliga myndigheterna i det tredjeland som är bestämmelseland. ( 40 )

106. Av begäran om förhandsavgörande framgår att den överföring som avses i anmälan från Maximillian Schrems ingår i en kommersiell verksamhet. Överföringen äger inte rum i syfte att möjliggöra för de amerikanska myndigheterna att ytterligare behandla uppgifterna i fråga för syften som avser den nationella säkerheten.

107. Det synsätt som Facebook Ireland har anfört skulle frånta dataskyddsförordningens bestämmelser om överföring till tredjeländer deras ändamålsenliga verkan, eftersom det aldrig kan uteslutas att uppgifter som överförs inom ramen för en kommersiell verksamhet efter överföringen kommer att behandlas för syften som avser den nationella säkerheten.

108. Den tolkning som jag föreslår finner stöd i ordalydelsen i artikel 45.2 a i dataskyddsförordningen. I denna bestämmelse anges att när kommissionen antar ett beslut om en adekvat skyddsnivå ska den bland annat beakta det aktuella tredjelandets lagstiftning avseende nationell säkerhet. Av detta kan man sluta sig till att möjligheten att uppgifterna kommer att behandlas av myndigheterna i det tredjeland som är bestämmelseland i syfte att skydda den nationella säkerheten inte innebär att unionsrätten inte är tillämplig på den behandling som överföringen av uppgifterna till tredjelandet i fråga utgör.

109. Domstolens resonemang och konstateranden i domen Schrems vilar också på denna premiss. I den domen prövade domstolen särskilt huruvida Safe Harbor-beslutet var giltigt mot bakgrund av artikel 25.6 i direktiv 95/46 jämförd med stadgan, i den del det avsåg överföring av personuppgifter till Förenta staterna, där uppgifterna kunde komma att samlas in och behandlas i syfte att skydda den nationella säkerheten. ( 41 )

110. Mot bakgrund av det ovan anförda anser jag att unionsrätten är tillämplig på överföring av personuppgifter från en medlemsstat till ett tredjeland när överföringen ingår i en kommersiell verksamhet, oavsett om de överförda uppgifterna riskerar att behandlas av de offentliga myndigheterna i detta tredjeland i syfte att skydda den nationella säkerheten.

D. Den skyddsnivå som krävs när överföringen grundar sig på standardavtalsklausuler (den sjätte frågans första del)

111. Genom den sjätte frågans första del vill den hänskjutande domstolen få klarhet i vilken skyddsnivå för de registrerades grundläggande rättigheter som måste säkerställas för att personuppgifter ska kunna överföras till ett tredjeland på grundval av de standardavtalsklausuler som föreskrivs i beslut 2010/87.

112. Den hänskjutande domstolen har betonat att EU-domstolen i domen Schrems tolkade artikel 25.6 i direktiv 95/46 (vars innehåll i allt väsentligt återges i artikel 45.3 i dataskyddsförordningen), i den del det däri föreskrevs att kommissionen får anta ett beslut om en adekvat skyddsnivå först efter att ha försäkrat sig om att tredjelandet i fråga säkerställer en adekvat skyddsnivå, så att det krävs att detta tredjeland säkerställer en nivå för skyddet av de grundläggande rättigheterna och friheterna som är väsentligen likvärdig den skyddsnivå som garanteras inom unionen enligt detta direktiv jämfört med stadgan. ( 42 )

113. I detta sammanhang har EU-domstolen genom den sjätte giltighetsfrågans första del anmodats att fastställa huruvida tillämpningen av ”standardavtalsklausuler” som har antagits av kommissionen i enlighet med artikel 26.4 i direktiv 95/46 – vilka motsvarar de ”standardiserade dataskyddsbestämmelser” som anges i artikel 46.2 c i dataskyddsförordningen – måste möjliggöra uppnåendet av en skyddsnivå som motsvarar samma standard, det vill säga ”väsentlig likvärdighet”.

114. I artikel 46.1 i dataskyddsförordningen föreskrivs att en personuppgiftsansvarig i avsaknad av ett beslut om en adekvat skyddsnivå får överföra personuppgifter till ett tredjeland ”endast … efter att ha vidtagit lämpliga skyddsåtgärder, och på villkor att lagstadgade rättigheter för registrerade och effektiva rättsmedel för registrerade finns tillgängliga” (min kursivering). ( 43 ) Enligt artikel 46.2 c i dataskyddsförordningen kan dessa skyddsåtgärder ta formen av standardiserade dataskyddsbestämmelser som utarbetats av kommissionen.

115. I likhet med DPC, Maximillian Schrems och Irland anser jag att de ”lämpliga skyddsåtgärder” som den personuppgiftsansvarige ska vidta enligt artikel 46.1 i dataskyddsförordningen måste säkerställa att de personer vilkas uppgifter överförs, precis som vid överföring baserad på ett beslut om en adekvat skyddsnivå, åtnjuter en skyddsnivå för sina rättigheter som är väsentligen likvärdig den som följer av dataskyddsförordningen jämförd med stadgan.

116. Denna slutsats följer av syftet med denna bestämmelse och det instrument som den ingår i.

117. Artiklarna 45 och 46 i dataskyddsförordningen syftar till att säkerställa att den höga skyddsnivå för personuppgifter som föreskrivs i denna förordning vidmakthålls när uppgifterna överförs till länder utanför unionen. Kapitel V i dataskyddsförordningen, som handlar om överföring till tredjeländer, inleds med artikel 44, som har rubriken ”Allmän princip för överföring av uppgifter” och i vilken det anges att alla bestämmelser i detta kapitel ska tillämpas för att säkerställa att den skyddsnivå som säkerställs genom dataskyddsförordningen inte undergrävs vid överföring till ett tredjeland. ( 44 ) Denna bestämmelse syftar till att förhindra att de skyddsstandarder som följer av unionsrätten kringgås genom att personuppgifter överförs till ett tredjeland för att behandlas där. ( 45 ) Mot bakgrund av detta syfte är det ingen skillnad om överföringen grundas på ett beslut om en adekvat skyddsnivå eller på skyddsåtgärder som den personuppgiftsansvarige har vidtagit, bland annat genom avtalsklausuler. Kraven på skydd av de grundläggande rättigheter som garanteras i stadgan är de samma oavsett på vilken rättslig grund en viss överföring baseras. ( 46 )

118. Det sätt på vilket en hög skyddsnivå vidmakthålls skiljer sig däremot beroende på den rättsliga grunden för överföringen.

119. Ett beslut om en adekvat skyddsnivå, å ena sidan, syftar till ett fastställande av att tredjelandet i fråga självt säkerställer en skyddsnivå som är väsentligen likvärdig den som måste uppnås i unionen. För att anta ett beslut om en adekvat skyddsnivå avseende ett tredjeland krävs att kommissionen först har utvärderat den skyddsnivå som säkerställs i tredjelandets lagstiftning och praxis mot bakgrund av de faktorer som anges i artikel 45.3 i dataskyddsförordningen. Personuppgifter kan då överföras till tredjelandet i fråga utan att den personuppgiftsansvarige måste erhålla ett särskilt tillstånd.

120. De lämpliga skyddsåtgärder som ska vidtas av den personuppgiftsansvarige, å andra sidan, syftar – som det beskrivs närmare i nästa avsnitt – till att säkerställa en hög skyddsnivå när de tillgängliga skyddsåtgärderna i det tredjeland som är bestämmelseland inte är tillräckliga. Även om artikel 46.1 i dataskyddsförordningen tillåter att personuppgifter överförs till tredjeländer som inte säkerställer en adekvat skyddsnivå, får således personuppgifter överföras i enlighet med denna bestämmelse endast om lämpliga skyddsåtgärder har vidtagits genom andra medel. De standardavtalsklausuler som kommissionen har antagit utgör härvid en allmän mekanism som kan tillämpas på överföringen oavsett vilket tredjeland som är bestämmelseland och vilken skyddsnivå som säkerställs där.

E. Huruvida beslut 2010/87 är giltigt mot bakgrund av artiklarna 7, 8 och 47 i stadgan (den sjunde, den åttonde och den elfte frågan)

121. Genom den sjunde frågan vill den hänskjutande domstolen få klarhet i huruvida beslut 2010/87 är ogiltigt, eftersom det inte är bindande för myndigheterna i de tredjeländer till vilka uppgifter överförs i enlighet med de standardavtalsklausuler som föreskrivs i bilagan till detta beslut och särskilt eftersom det inte hindrar att nämnda myndigheter kräver att uppgiftsinföraren ställer uppgifterna till deras förfogande. Genom denna fråga ifrågasätts således själva möjligheten att säkerställa en adekvat skyddsnivå för sådana uppgifter genom mekanismer som uteslutande är av avtalskaraktär. Den elfte frågan avser mer allmänt giltigheten av beslut 2010/87 mot bakgrund av artiklarna 7, 8 och 47 i stadgan.

122. Genom den åttonde frågan har EU-domstolen anmodats att avgöra huruvida en tillsynsmyndighet är skyldig att använda sig av sina befogenheter enligt artikel 58.2 f och j i dataskyddsförordningen för att avbryta en överföring till tredjeland som grundar sig på de standardavtalsklausuler som föreskrivs i beslut 2010/87, om den anser att uppgiftsinföraren har skyldigheter i tredjelandet i fråga som hindrar denne från att följa klausulerna och som får till verkan att ett lämpligt skydd för de överförda uppgifterna inte säkerställs. Eftersom svaret på denna fråga enligt min mening påverkar giltigheten av beslut 2010/87, ( 47 ) behandlar jag den tillsammans med den sjunde och den elfte frågan.

123. Ordalydelsen i artikel 46.1 i dataskyddsförordningen, där det föreskrivs att ”[i] avsaknad av ett beslut i enlighet med artikel 45.3, får en personuppgiftsansvarig eller ett personuppgiftsbiträde endast överföra personuppgifter till ett tredjeland… efter att ha vidtagit lämpliga skyddsåtgärder…” (min kursivering), framhäver den logik som ligger till grund för sådana avtalsmekanismer som den som föreskrivs i beslut 2010/87. Som det betonas i skälen 108 och 114 i dataskyddsförordningen syftar dessa mekanismer till att möjliggöra överföring till tredjeländer avseende vilka kommissionen inte har antagit något beslut om en adekvat skyddsnivå, varvid de eventuella bristerna i det skydd som säkerställs i tredjelandets rättsordning kompenseras genom de skyddsåtgärder som uppgiftsutföraren och uppgiftsinföraren genom avtal åtar sig att iaktta.

124. Eftersom skälet till de avtalsmässiga skyddsåtgärdernas existens just är att de ska kompensera för möjliga brister i det skydd som det tredjeland som är bestämmelseland säkerställer, oavsett vilka dessa brister är, kan giltigheten av ett beslut genom vilket kommissionen konstaterar att vissa standardklausuler på ett adekvat sätt kompenserar för dessa brister inte vara beroende av den skyddsnivå som säkerställs i respektive tredjeland till vilka uppgifter kan överföras. Giltigheten av ett sådant beslut är endast beroende av hur pålitliga de skyddsåtgärder som föreskrivs i klausulerna är, när det gäller att kompensera för de eventuella brister i skyddet i det tredjeland som är bestämmelseland. Vid utvärderingen av skyddsåtgärdernas effektivitet ska hänsyn även tas till det skydd som tillsynsmyndigheternas befogenheter enligt artikel 58.2 i dataskyddsförordningen innebär.

125. Som DPC, Maximillian Schrems, BSA, Irland, den österrikiska, den franska, den polska och den portugisiska regeringen och kommissionen har hävdat kan det skydd som följer av standardavtalsklausulerna försvagas eller till och med omintetgöras, om uppgiftsinföraren enligt lagstiftningen i det tredjeland som är bestämmelseland åläggs skyldigheter som strider mot kraven i dessa klausuler. Det rättsliga sammanhang som råder i det tredjeland som är bestämmelseland kan, beroende på de konkreta omständigheterna kring överföringen, ( 48 ) göra det omöjligt att uppfylla de skyldigheter som föreskrivs i standardavtalsklausulerna.

126. Den avtalsmekanism som föreskrivs i artikel 46.2 c i dataskyddsförordningen vilar under dessa omständigheter, som Maximillian Schrems och kommissionen har betonat, på att uppgiftsutföraren och i andra hand tillsynsmyndigheterna görs ansvariga. Den personuppgiftsansvarige eller vid behov tillsynsmyndigheten måste för varje specifik överföring från fall till fall granska huruvida lagstiftningen i det tredjeland som är bestämmelseland hindrar genomförandet av standardklausulerna och följaktligen hindrar ett lämpligt skydd för de överförda uppgifterna, vilket innebär att överföringen måste förbjudas eller avbrytas.

127. Mot bakgrund av det ovan anförda anser jag att den omständigheten att beslut 2010/87 och de standardavtalsklausuler som det innehåller inte är bindande för myndigheterna i det tredjeland som är bestämmelseland inte i sig gör detta beslut ogiltigt. Huruvida beslut 2010/87 är förenligt med artiklarna 7, 8 och 47 i stadgan beror enligt min uppfattning på huruvida det finns tillräckligt pålitliga mekanismer som gör det möjligt att säkerställa att de överföringar som grundar sig på standardavtalsklausulerna kan avbrytas eller förbjudas, om klausulerna åsidosätts eller om det är omöjligt att följa dem.

128. I artikel 46.1 i dataskyddsförordningen föreskrivs att en överföring som grundar sig på lämpliga skyddsåtgärder endast får ske ”på villkor att lagstadgade rättigheter för registrerade och effektiva rättsmedel för registrerade finns tillgängliga”. Det måste kontrolleras om de garantier som föreskrivs i klausulerna i bilagan till beslut 2010/87, kompletterade med tillsynsmyndigheternas befogenheter, gör det möjligt att säkerställa att detta villkor är uppfyllt. Detta är enligt min mening fallet endast om det föreligger en skyldighet – för de personuppgiftsansvariga (avsnitt 1) och, för det fallet att dessa underlåter att vidta åtgärder, tillsynsmyndigheterna (avsnitt 2) – att avbryta eller förbjuda en överföring, om standardklausulerna inte kan uppfyllas på grund av en konflikt mellan de skyldigheter som följer av dessa klausuler och de skyldigheter som åläggs enligt lagstiftningen i det tredjeland som är bestämmelseland.

1. De skyldigheter som åligger de personuppgiftsansvariga

129. I standardavtalsklausulerna i bilagan till beslut 2010/87 föreskrivs att klausulerna inte ska åberopas till stöd för en överföring till det tredjeland som är bestämmelseland, i det fallet att en konflikt föreligger mellan de skyldigheter som föreskrivs i klausulerna och de krav som följer av lagstiftningen i tredjelandet i fråga, och att om överföringen redan har inletts på grundval av nämnda klausuler ska uppgiftsutföraren underrättas om konflikten och kunna avbryta överföringen.

130. Enligt klausul 5 a förbinder sig uppgiftsinföraren sig att behandla de överförda personuppgifterna för uppgiftsutförarens räkning samt i enlighet med dennes instruktioner och standardavtalsklausulerna. Om uppgiftsinföraren inte kan uppfylla detta krav, går han med på att omedelbart informera uppgiftsutföraren om detta, varvid uppgiftsutföraren har rätt att avbryta överföringen av uppgifter och/eller häva avtalet. ( 49 )

131. I fotnot 1 till klausul 5 anges att standardklausulerna inte åsidosätts när uppgiftsinföraren iakttar obligatoriska krav i den nationella lagstiftning som är tillämplig i tredjelandet, förutsatt att dessa krav inte går utöver vad som är nödvändigt i ett demokratiskt samhälle för att skydda något av de intressen som anges i artikel 13.1 i direktiv 95/46 (vars innehåll i allt väsentligt återges i artikel 23.1 i dataskyddsförordningen), bland annat den allmänna säkerheten och statens säkerhet. Ett åsidosättande av standardklausulerna i syfte att uppfylla en motstridig skyldighet som föreskrivs i lagstiftningen i det tredjeland som är bestämmelseland och som går utöver vad som är proportionerligt för att skydda ett legitimt intresse som erkänns av unionen betraktas däremot som ett åsidosättande av nämnda klausuler.

132. Enligt min mening, och som Maximillian Schrems och kommissionen har gjort gällande, kan klausul 5 a inte tolkas så, att den innebär att det är valfritt att avbryta överföringen eller häva avtalet, om uppgiftsinföraren inte klarar av att uppfylla standardklausulerna. Även om det i denna klausul endast anges att uppgiftsutföraren har en sådan rättighet, ska ordalydelsen förstås mot bakgrund av den avtalsram som klausulen ingår i. Den omständigheten att uppgiftsutföraren har en rätt att i sina bilaterala relationer med uppgiftsinföraren avbryta överföringen eller häva avtalet, om uppgiftsinföraren inte förmår följa standardklausulerna, påverkar inte den skyldig