CELEX: 62018CN0311
Language: nl
Date: 2018-05-09 00:00:00
Title: Zaak C-311/18: Verzoek om een prejudiciële beslissing ingediend door de High Court (Ierland) op 9 mei 2018 — Data Protection Commissioner / Facebook Ireland Limited, Maximillian Schrems

201806290051986602018/C 249/213112018CJC24920180716NL01NLINFO_JUDICIAL20180509151731Zaak C-311/18: Verzoek om een prejudiciële beslissing ingediend door de High Court (Ierland) op 9 mei 2018 — Data Protection Commissioner / Facebook Ireland Limited, Maximillian Schrems
 ---documentbreak--- C2492018NL1510120180509NL0021151173Verzoek om een prejudiciële beslissing ingediend door de High Court (Ierland) op 9 mei 2018 — Data Protection Commissioner / Facebook Ireland Limited, Maximillian Schrems
   (Zaak C-311/18)2018/C 249/21Procestaal: Engels
      Verwijzende rechter
   
   High Court
   
      Partijen in het hoofdgeding
   
   
      Verzoekende partij: Data Protection Commissioner
   
      Verwerende partijen: Facebook Ireland Limited, Maximillian Schrems
   
      Prejudiciële vragen
   
   
            1)
         
         
            Is het Unierecht (met inbegrip van het Handvest van de grondrechten van de Europese Unie; hierna: „Handvest”), onverminderd de bepalingen van artikel 4, lid 2, VEU met betrekking tot de nationale veiligheid en de bepalingen van artikel 3, lid 2, eerste streepje, van richtlijn 95/46/EG (
                  1
               ) (hierna: „richtlijn”) met betrekking tot de openbare veiligheid, defensie en de veiligheid van de Staat, van toepassing op de doorgifte van persoonsgegevens in omstandigheden waarin persoonsgegevens door een particuliere onderneming vanuit een lidstaat van de Europese Unie voor commerciële doeleinden aan een particuliere onderneming in een derde land worden doorgegeven overeenkomstig besluit 2010/87/EU (
                  2
               ), zoals gewijzigd bij uitvoeringsbesluit (EU) 2016/2297 (
                  3
               ) van de Commissie (hierna: „MCB-besluit”), en die persoonsgegevens in het derde land mogelijk door de autoriteiten van dat land verder worden verwerkt ten behoeve van de nationale veiligheid, maar ook ten behoeve van de rechtshandhaving en het voeren van het buitenlandbeleid van het derde land?
         
      
            2)
         
         
            
               
                        (1)
                     
                     
                        Wat is in het kader van de richtlijn de relevante vergelijkingsmaatstaf bij de vaststelling of er sprake is van schending van de rechten van een natuurlijke persoon als gevolg van de doorgifte van gegevens op grond van het MCB-besluit vanuit de Unie naar een derde land waar deze gegevens mogelijk verder worden verwerkt ten behoeve van de nationale veiligheid:
                        
                                 a)
                              
                              
                                 het Handvest, het VEU, het VWEU, de richtlijn, het EVRM (of andere bepalingen van het Unierecht); of
                              
                           
                                 b)
                              
                              
                                 het nationale recht van een of meer lidstaten?
                              
                           
                  
                        (2)
                     
                     
                        Indien b) de relevante vergelijkingsbasis is, moeten dan ook de praktijken in het kader van de nationale veiligheid in een of meer lidstaten in de vergelijkingsmaatstaf worden opgenomen?
                     
                  
      
            3)
         
         
            Dient bij de beoordeling of een derde land het door het Unierecht vereiste beschermingsniveau waarborgt voor persoonsgegevens die op grond van artikel 26 van de richtlijn naar dat land worden doorgegeven, het beschermingsniveau in het derde land dan te worden beoordeeld aan de hand van:
            
                     a)
                  
                  
                     de in het derde land geldende regels die voortvloeien uit de nationale wetgeving of de internationale verbintenissen van dat land en de praktijk die tot doel heeft de naleving van die regels te waarborgen, alsmede de beroepscodes en de veiligheidsmaatregelen die in die landen worden nageleefd;
                     of
                  
               
                     b)
                  
                  
                     de onder a) bedoelde regels, samen met de administratieve, regelgevende en nalevingspraktijken en beleidswaarborgen, procedures, protocollen, toezichtmechanismen en buitengerechtelijke verhaalsmogelijkheden die in het derde land bestaan?
                  
               
      
            4)
         
         
            Schendt de doorgifte van persoonsgegevens vanuit de EU naar de VS op grond van het MCB-besluit, gelet op de feiten die de High Court met betrekking tot het recht van de VS heeft vastgesteld, de rechten die natuurlijke personen ontlenen aan artikel 7 en/of artikel 8 van het Handvest?
         
      
            5)
         
         
            Gelet op de feiten die de High Court met betrekking tot het recht van de VS heeft vastgesteld en indien persoonsgegevens op grond van het MCB-besluit vanuit de EU naar de VS worden doorgegeven:
            
                     a)
                  
                  
                     eerbiedigt het door de VS geboden beschermingsniveau dan de wezenlijke inhoud van het in artikel 47 van het Handvest gewaarborgde recht van een natuurlijke persoon op een voorziening in rechte in geval van schending van zijn recht op gegevensbescherming?
                     Indien het antwoord op a) bevestigend is,
                  
               
                     b)
                  
                  
                     zijn de beperkingen die naar Amerikaans recht worden gesteld aan het recht van een natuurlijke persoon op een doeltreffende voorziening in rechte in het kader van de nationale veiligheid van de VS evenredig in de zin van artikel 52 van het Handvest en gaan zij niet verder dan wat in een democratische samenleving noodzakelijk is ten behoeve van de nationale veiligheid?
                  
               
      
            6)
         
         
            
               
                        1)
                     
                     
                        Welk beschermingsniveau moet worden geboden aan persoonsgegevens die naar een derde land worden doorgegeven op grond van modelcontractbepalingen die overeenkomstig een besluit van de Commissie als bedoeld in artikel 26, lid 4, zijn vastgesteld, in het licht van de bepalingen van de richtlijn, en met name de artikelen 25 en 26, gelezen in samenhang met het Handvest?
                     
                  
                        2)
                     
                     
                        Met welke elementen moet rekening worden gehouden bij de beoordeling of het beschermingsniveau dat uit hoofde van het MCB-besluit wordt geboden aan gegevens die naar een derde land worden doorgegeven, in overeenstemming is met de vereisten van de richtlijn en het Handvest?
                     
                  
      
            7)
         
         
            Belet het feit dat de modelcontractbepalingen van toepassing zijn tussen de gegevensexporteur en de gegevensimporteur en niet bindend zijn voor de nationale autoriteiten van een derde land dat van de gegevensimporteur kan verlangen dat hij de overeenkomstig de bepalingen van het MCB-besluit doorgegeven persoonsgegevens ter beschikking stelt van zijn veiligheidsdiensten met het oog op verdere verwerking, dat de modelcontractbepalingen voldoende waarborgen bieden als bedoeld in artikel 26, lid 2, van de richtlijn?
         
      
            8)
         
         
            Indien een gegevensimporteur uit een derde land onderworpen is aan toezichtswetten die naar het oordeel van een gegevensbeschermingsautoriteit in strijd zijn met de bepalingen van de bijlage bij het MCB-besluit of de artikelen 25 en 26 van de richtlijn en/of het Handvest, is een gegevensbeschermingsautoriteit dan verplicht haar handhavingsbevoegdheden uit hoofde van artikel 28, lid 3, van de richtlijn uit te oefenen om de gegevensstromen op te schorten, of is de uitoefening van die bevoegdheden enkel beperkt tot uitzonderlijke gevallen, zoals bedoeld in [overweging 11 van besluit 2010/87/EU], of kan een gegevensbeschermingsautoriteit haar discretionaire bevoegdheid uitoefenen om de gegevensstromen niet op te schorten?
         
      
            9)
         
         
            
               
                        1)
                     
                     
                        Vormt uitvoeringsverordening (EU) 2016/1250 (
                              4
                           ) (hierna: „privacyschildverordening”) voor de toepassing van artikel 25, lid 6, van de richtlijn een constatering met algemene strekking die voor de gegevensbeschermingsautoriteiten en de rechterlijke instanties van de lidstaten bindend is, zodat de VS op grond van hun nationale wetgeving of de internationale verbintenissen die zij zijn aangegaan, een passend beschermingsniveau in de zin van artikel 25, lid 2, van de richtlijn waarborgen?
                     
                  
                        2)
                     
                     
                        Zo niet, welke relevantie heeft de privacyschildverordening dan eventueel voor de beoordeling of er voldoende waarborgen worden geboden voor naar de Verenigde Staten doorgegeven gegevens die op grond van het MCB-besluit zijn doorgegeven?
                     
                  
      
            10)
         
         
            Zorgt de instelling van de privacyschildombudsman in de zin van bijlage A van bijlage III bij de privacyschildverordening, gelet op de vaststellingen van de High Court met betrekking tot het Amerikaanse recht, in samenhang met de bestaande regeling in de VS, ervoor dat de VS de betrokkenen van wie de persoonsgegevens op grond van het MCB-besluit naar de VS worden doorgegeven, rechtsbescherming bieden die verenigbaar is met artikel 47 van het Handvest?
         
      
            11)
         
         
            Schendt het MCB-besluit artikel 7, artikel 8 en/of artikel 47 van het Handvest?
         
      (
         1
      )	Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L 281, blz. 31).
   (
         2
      )	Besluit 2010/87/EU van de Commissie van 5 februari 2010 betreffende modelcontractbepalingen voor de doorgifte van persoonsgegevens aan in derde landen gevestigde verwerkers krachtens richtlijn 95/46/EG van het Europees Parlement en de Raad (PB 2010, L 39, blz. 5).
   (
         3
      )	Uitvoeringsbesluit (EU) 2016/2297 van de Commissie van 16 december 2016 tot wijziging van beschikking 2001/497/EG en besluit 2010/87/EU betreffende modelcontractbepalingen voor de doorgifte van persoonsgegevens naar derde landen en aan in derde landen gevestigde verwerkers, krachtens richtlijn 95/46/EG van het Europees Parlement en de Raad (PB 2016, L 344, blz. 100).
   (
         4
      )	Uitvoeringsverordening (EU) 2016/1250 van de Commissie van 12 juli 2016 overeenkomstig richtlijn 95/46/EG van het Europees Parlement en de Raad betreffende de gepastheid van de door het EU-VS-privacyschild geboden bescherming (PB 2016, L 207, blz. 1).