Věc C‑362/14

Maximillian Schrems

v.

Data Protection Commissioner

[žádost o rozhodnutí o předběžné otázce podaná High Court (Irsko)]

„Řízení o předběžné otázce – Osobní údaje – Ochrana fyzických osob v souvislosti se zpracováním těchto údajů – Listina základních práv Evropské unie – Články 7, 8 a 47 – Směrnice 95/46/ES – Články 25 a 28 – Předávání osobních údajů třetím zemím – Rozhodnutí 2000/520/ES – Předávání osobních údajů do Spojených států – Neodpovídající úroveň ochrany – Platnost – Stížnost fyzické osoby, jejíž osobní údaje byly předány z Evropské unie do Spojených států – Pravomoci vnitrostátních orgánů dozoru“

Shrnutí – rozsudek Soudního dvora (velkého senátu) ze dne 6. října 2015

1.        Sbližování právních předpisů – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Směrnice 95/46 – Výklad ve světle základních práv

(Listina základních práv Evropské unie; směrnice Evropského parlamentu a Rady 95/46)

2.        Sbližování právních předpisů – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Směrnice 95/46 – Vnitrostátní orgány dozoru – Požadavek nezávislosti

(Článek 16 odst. 2 SFEU; Listina základních práv Evropské unie, čl. 8 odst. 3; směrnice Evropského parlamentu a Rady 95/46, bod 62 odůvodnění a čl. 28 odst. 1)

3.        Sbližování právních předpisů – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Směrnice 95/46 – Vnitrostátní orgány dozoru – Pravomoci – Dohled nad předáváním osobních údajů do třetích zemí – Zahrnutí

(Listina základních práv Evropské unie, čl. 8 odst. 3; směrnice Evropského parlamentu a Rady 95/46, článek 28)

4.        Sbližování právních předpisů – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Směrnice 95/46 – Předávání osobních údajů do třetích zemí – Přijetí rozhodnutí Komise, v němž tento orgán konstatuje, že třetí země zajišťuje odpovídající úroveň ochrany – Rozhodnutí závazné pro všechny členské státy, kterým je určeno – Přezkum platnosti takového rozhodnutí – Příslušné úlohy vnitrostátních orgánů dozoru a vnitrostátních soudů

(Článek 288 čtvrtý pododstavec SFEU; Listina základních práv Evropské unie, čl. 8 odst. 3 a článek 47; směrnice Evropského parlamentu a Rady 95/46, čl. 25 odst. 6 a čl. 28 odst. 3 a 4)

5.        Sbližování právních předpisů – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Směrnice 95/46 – Předávání osobních údajů do třetích zemí – Přijetí rozhodnutí Komise, v němž tento orgán konstatuje, že třetí země zajišťuje odpovídající úroveň ochrany – Vnitrostátní orgán dozoru, k němuž byla podána žádost týkající se ochrany práv a svobod v souvislosti se zpracováním předaných osobních údajů týkajících se žadatele – Žadatel zpochybňující odpovídající úroveň ochrany v dotyčné třetí zemi – Povinnost uvedeného orgánu posoudit žádost – Rozsah posouzení

(Listina základních práv Evropské unie, články 7, 8 a 47; směrnice Evropského parlamentu a Rady 95/46, čl. 25 odst. 6 a článek 28)

6.        Sbližování právních předpisů – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Směrnice 95/46 – Předávání osobních údajů do třetích zemí – Přijetí rozhodnutí Komise, v němž tento orgán konstatuje, že třetí země zajišťuje odpovídající úroveň ochrany – Pojem „odpovídající úroveň ochrany“ – Kritéria pro posouzení – Posuzovací pravomoc Komise

(Směrnice Evropského parlamentu a Rady 95/46, čl. 25 odst. 2 a 6)

7.        Sbližování právních předpisů – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Směrnice 95/46 – Předávání osobních údajů do třetích zemí – Přijetí rozhodnutí Komise, v němž tento orgán konstatuje, že třetí země zajišťuje odpovídající úroveň ochrany – Rozhodnutí 2000/520, v němž se konstatuje, že Spojené státy zajišťují odpovídající úroveň ochrany – Neplatnost

(Listina základních práv Evropské unie; směrnice Evropského parlamentu a Rady 95/46, čl. 25 odst. 6 a článek 28; rozhodnutí Komise 2000/520, články 1 až 4)

8.        Základní práva – Respektování soukromého života – Ochrana osobních údajů – Unijní právní předpisy obsahující zásah do těchto základních práv – Podmínky – Dostatečné záruky proti riziku zneužití – Dodržení zásady proporcionality

(Listina základních práv Evropské unie, články 7 a 8)

1.        Viz znění rozhodnutí.

(viz bod 38)

2.        Viz znění rozhodnutí.

(viz body 40, 41)

3.        Vnitrostátní orgány dozoru disponují širokou škálou pravomocí a tyto pravomoci, které jsou demonstrativně vyjmenovány v čl. 28 odst. 3 směrnice 95/46 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, jsou prostředky nezbytnými k plnění jejich úkolů, jak to zdůrazňuje bod 63 odůvodnění této směrnice. Uvedené orgány jsou tak zejména nadány pravomocemi provádět šetření, jako je například pravomoc shromažďovat veškeré informace nezbytné pro splnění jejich úkolu dozoru, pravomocemi účinně zasáhnout, jako je například pravomoc dočasně nebo trvale zakázat zpracování údajů, nebo též pravomocí obrátit se na soud.

Pokud jde o pravomoc dohledu nad předáváním osobních údajů do třetích zemí, z čl. 28 odst. 1 a 6 směrnice 95/46 vpravdě vyplývá, že se pravomoci vnitrostátních orgánů dozoru vztahují na zpracovávání osobních údajů na území členského státu, jemuž tyto orgány podléhají, takže nejsou na základě tohoto článku 28 nadány pravomocemi v souvislosti se zpracováním takových údajů na území třetí země. Předání osobních údajů z členského státu do třetí země však jako takové představuje zpracování osobních údajů ve smyslu čl. 2 písm. b) směrnice 95/46, prováděné na území členského státu. Vzhledem k tomu, že vnitrostátní orgány dozoru jsou v souladu s čl. 8 odst. 3 Listiny základních práv Evropské unie a článkem 28 směrnice 95/46 pověřeny dohledem nad dodržováním unijních předpisů týkajících se ochrany fyzických osob v souvislosti se zpracováním osobních údajů, každý z těchto orgánů je tudíž nadán pravomocí ověřit, zda předání osobních údajů z členského státu, kterému tyto orgány podléhají, do třetí země dodržuje požadavky stanovené uvedenou směrnicí.

(viz body 43–45, 47)

4.        Komise může na základě čl. 25 odst. 6 směrnice 95/46 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů přijmout rozhodnutí, v němž konstatuje, že třetí země zajišťuje odpovídající úroveň ochrany. Adresáty tohoto rozhodnutí jsou v souladu s druhým pododstavcem tohoto ustanovení členské státy, které musejí přijmout opatření nezbytná pro dosažení souladu s rozhodnutím Komise. Podle čl. 288 čtvrtého pododstavce SFEU je toto rozhodnutí závazné pro všechny členské státy, kterým je určeno, a platí tedy pro všechny jejich orgány v rozsahu, v němž má za účinek povolení předání osobních údajů z členských států do třetí země, na kterou se toto rozhodnutí vztahuje.

Dokud tak nebylo rozhodnutí Komise prohlášeno Soudním dvorem – který má jako jediný pravomoc rozhodnout o neplatnosti unijního aktu – za neplatné, nemohou členské státy a jejich orgány, včetně jejich nezávislých orgánů dozoru, přijmout opatření odporující tomuto rozhodnutí, jako např. akty směřující ke zjištění se závazným účinkem, že třetí země, na kterou se vztahuje uvedené rozhodnutí, nezajišťuje odpovídající úroveň ochrany. Aktům unijních orgánů totiž v zásadě svědčí presumpce legality, a tudíž zakládají právní účinky tak dlouho, dokud nejsou vzaty zpět, zrušeny v rámci žaloby na neplatnost nebo prohlášeny za neplatné v návaznosti na žádost o rozhodnutí o předběžné otázce nebo na námitku protiprávnosti.

Vnitrostátní soudy jsou sice oprávněny přezkoumat platnost unijního aktu, nemají však pravomoc k tomu, aby samy konstatovaly neplatnost takového aktu. Tím spíše nejsou vnitrostátní orgány dozoru oprávněny k tomu, aby při posuzování žádosti ve smyslu čl. 28 odst. 4 této směrnice, týkající se slučitelnosti výše zmíněného rozhodnutí Komise s ochranou soukromí a základních práv a svobod osob, samy konstatovaly neplatnost takovéhoto rozhodnutí.

Dospěje-li uvedený orgán k závěru, že skutečnosti uplatněné na podporu takovéto žádosti jsou neopodstatněné, a z tohoto důvodu uvedenou žádost zamítne, osoba, která tuto žádost podala, musí mít podle čl. 28 odst. 3 druhého pododstavce směrnice 95/46 ve spojení s článkem 47 Listiny základních práv Evropské unie právo na přístup k prostředkům nápravy před soudem, které jí umožní napadnout toto rozhodnutí nepříznivě zasahující do jejího právního postavení před vnitrostátními soudy. Za těchto podmínek platí, že mají-li vnitrostátní soudy za to, že jeden nebo více důvodů neplatnosti unijního aktu uvedených účastníky řízení nebo popřípadě uplatněných bez návrhu jsou opodstatněné, musí přerušit řízení a předložit Soudnímu dvoru žádost o rozhodnutí o předběžné otázce směřující k posouzení platnosti.

Má-li uvedený orgán v opačném případě za to, že výtky uplatněné osobou, která se na něj obrátila se žádostí týkající se ochrany svých práv a svobod v souvislosti se zpracováním svých osobních údajů, jsou opodstatněné, musí mít tento orgán v souladu s čl. 28 odst. 3 prvním pododstavcem třetí odrážkou směrnice 95/46, ve spojení zejména s čl. 8 odst. 3 Listiny základních práv Evropské unie, možnost obrátit se na soud. V tomto ohledu přísluší vnitrostátnímu normotvůrci, aby stanovil procesní prostředky, které by dotyčnému vnitrostátnímu orgánu dozoru umožnily uplatnit výtky, jež považuje za opodstatněné, před vnitrostátními soudy, aby tyto soudy v případě, že sdílejí pochybnosti vyjádřené tímto orgánem ohledně platnosti rozhodnutí Komise, předložily žádost o rozhodnutí o předběžné otázce za účelem přezkumu platnosti tohoto rozhodnutí.

(viz body 51, 52, 61, 62, 64, 65)

5.        Článek 25 odst. 6 směrnice 95/46 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, ve spojení s články 7, 8 a 47 Listiny základních práv Evropské unie, musí být vykládán v tom smyslu, že rozhodnutí přijaté na základě tohoto ustanovení, v němž Komise konstatuje, že třetí země zajišťuje odpovídající úroveň ochrany, nebrání tomu, aby orgán dozoru členského státu ve smyslu článku 28 této směrnice posoudil žádost osoby týkající se ochrany jejích práv a svobod v souvislosti se zpracováním osobních údajů, které se jí týkají a které byly předány z členského státu do této třetí země, pokud tato osoba tvrdí, že právo a praxe platné v této zemi nezajišťují odpovídající úroveň ochrany.

V opačném případě by bylo osobám, jejichž osobní údaje byly nebo by mohly být předány do dotyčné třetí země, upřeno právo – zaručené v čl. 8 odst. 1 a 3 Listiny základních práv Evropské unie – obrátit se na vnitrostátní orgány dozoru se žádostí za účelem ochrany svých základních práv.

Kromě toho žádost ve smyslu čl. 28 odst. 4 směrnice 95/46, v níž taková osoba tvrdí, že právo a praxe platné v této zemi nezajišťují navzdory zjištění učiněnému Komisí v rozhodnutí přijatém na základě čl. 25 odst. 6 této směrnice odpovídající úroveň ochrany, musí být chápána v tom smyslu, že se v podstatě týká slučitelnosti tohoto rozhodnutí s ochranou soukromí a základních práv a svobod osob. Za těchto podmínek musí uvedený orgán v případě, že se osoba, jejíž osobní údaje byly nebo by mohly být předány do třetí země, na kterou se vztahuje rozhodnutí Komise na základě čl. 25 odst. 6 směrnice 95/46, obrátí na vnitrostátní orgán dozoru s výše uvedenou žádostí, posoudit tuto žádost s veškerou náležitou péčí.

(viz body 58, 59, 63, 66 a výrok 1)

6.        Výraz „odpovídající úroveň ochrany“ obsažený v čl. 25 odst. 6 směrnice 95/46 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů musí být chápán v tom smyslu, že vyžaduje, aby dotyčná třetí země skutečně zajišťovala na základě svých vnitrostátních předpisů nebo svých mezinárodních závazků takovou úroveň ochrany základních práv a svobod, jaká je v zásadě rovnocenná úrovni zaručené v rámci Unie na základě uvedené směrnice, vykládané ve světle Listiny základních práv Evropské unie.

Za těchto podmínek je Komise při přezkumu úrovně ochrany poskytované třetí zemí povinna posoudit obsah pravidel platných v této zemi, které vyplývají z vnitrostátních předpisů nebo mezinárodních závazků této země, jakož i praxi směřující k zajištění dodržování těchto pravidel, přičemž musí Komise podle čl. 25 odst. 2 směrnice 95/46 přihlédnout ke všem okolnostem souvisejícím s předáním osobních údajů do třetí země. Stejně tak s ohledem na skutečnost, že se úroveň ochrany zajišťovaná třetí zemí může vyvíjet, je na Komisi, aby po přijetí rozhodnutí na základě čl. 25 odst. 6 směrnice 95/46 pravidelně ověřovala, zda zjištění ohledně odpovídající úrovně ochrany zajišťované dotyčnou třetí zemí je stále skutkově a právně podložené. Takové ověřování je každopádně závazné tehdy, když některé indicie vyvolávají v tomto ohledu určité pochybnosti.

S ohledem na významnou úlohu ochrany osobních údajů z hlediska základního práva na respektování soukromého života a na značný počet osob, jejichž základní práva mohou být porušena v případě předání osobních údajů do třetí země, jež nezajišťuje odpovídající úroveň ochrany, je posuzovací pravomoc Komise ohledně odpovídající úrovně ochrany zajišťované třetí zemí omezena, takže přezkum požadavků plynoucích z článku 25 směrnice 95/46 vykládaného ve světle Listiny základních práv Evropské unie musí být striktní.

(viz body 73, 75, 76, 78)

7.        Přijetí rozhodnutí Komisí na základě čl. 25 odst. 6 směrnice 95/46 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, jako je rozhodnutí 2000/520 o odpovídající ochraně poskytované podle zásad bezpečného přístavu a s tím souvisejících často kladených otázek vydaných Ministerstvem obchodu Spojených států, vyžaduje, aby tento orgán s náležitým odůvodněním konstatoval, že dotyčná třetí země skutečně zajišťuje na základě svých vnitrostátních předpisů nebo mezinárodních závazků takovou úroveň ochrany základních práv, jaká je v zásadě rovnocenná úrovni zaručené v unijním právním řádu.

Vzhledem k tomu, že Komise v rozhodnutí 2000/520 toto konstatování neučinila, je článek 1 tohoto rozhodnutí v rozporu s požadavky stanovenými v čl. 25 odst. 6 směrnice 95/46 vykládaném ve světle Listiny základních práv Evropské unie, a je tudíž neplatný. Zásady bezpečného přístavu totiž platí pouze pro organizace ve Spojených státech s vlastním osvědčením, které získávají osobní údaje z Unie, aniž se vyžaduje, aby veřejné orgány Spojených států podléhaly těmto zásadám. Navíc rozhodnutí 2000/520 umožňuje zásahy do základních práv osob, jejichž osobní údaje jsou nebo by mohly být předávány z Unie do Spojených států, jež se opírají o požadavky související s bezpečností státu a veřejným zájmem nebo o vnitrostátní předpisy Spojených států, aniž obsahuje zjištění ohledně existence pravidel státního charakteru ve Spojených státech, jež mají omezit případné zásahy do těchto práv osob, a aniž se zmiňuje o existenci účinné právní ochrany před zásahy tohoto druhu.

Kromě toho přijetím článku 3 rozhodnutí 2000/520 překročila Komise pravomoc, kterou jí přiznává čl. 25 odst. 6 směrnice 95/46, vykládaný ve světle Listiny základních práv Evropské unie, a tento článek je tudíž neplatný. Uvedený článek musí být totiž chápán v tom smyslu, že upírá vnitrostátním orgánům dozoru pravomoci, které pro ně vyplývají z článku 28 směrnice 95/46, v případě, že osoba v rámci žádosti podané na základě tohoto ustanovení tvrdí skutečnosti, které mohou zpochybnit slučitelnost rozhodnutí Komise, v němž bylo na základě čl. 25 odst. 6 této směrnice konstatováno, že třetí země zajišťuje odpovídající úroveň ochrany, s ochranou soukromí a základních práv a svobod osob. Prováděcí pravomoc, kterou unijní normotvůrce přiznal Komisi v čl. 25 odst. 6 směrnice 95/46, přitom tomuto orgánu nesvěřuje pravomoc omezit výše uvedené pravomoci vnitrostátních orgánů dozoru.

Vzhledem k tomu, že články 1 a 3 rozhodnutí 2000/520 jsou neoddělitelně spjaty s články 2 a 4, jakož i s přílohami tohoto rozhodnutí, vede jejich neplatnost k tomu, že je dotčena platnost tohoto rozhodnutí jako celku.

(viz body 82, 87–89, 96–98, 102–105 a výrok 2)

8.        Unijní právní předpisy obsahující zásah do základních práv zaručených články 7 a 8 Listiny základních práv Evropské unie musí stanovit jasná a přesná pravidla pro rozsah a použití dotčeného opatření, která stanoví minimální požadavky, tak aby osoby, o jejichž osobní údaje se jedná, měly dostatečné záruky umožňující účinně chránit své údaje proti riziku zneužití a proti jakémukoli neoprávněnému přístupu k těmto údajům a jejich protiprávnímu využívání. Potřeba takových záruk je o to významnější v případě, kdy jsou osobní údaje zpracovávány automaticky a existuje značné riziko neoprávněného přístupu k těmto údajům. Dále je především třeba podotknout, že ochrana základního práva na respektování soukromého života na unijní úrovni vyžaduje, aby výjimky z ochrany osobních údajů a její omezení byly činěny v mezích toho, co je naprosto nezbytné.

Na naprosto nezbytné se tedy neomezuje taková právní úprava, která globálně dovoluje uchovávání všech osobních údajů všech osob, jejichž osobní údaje byly předány z Unie, bez jakéhokoli rozlišení, omezení nebo výjimky činěných v závislosti na sledovaném cíli a bez stanovení objektivního kritéria umožňujícího vymezit přístup veřejných orgánů k údajům a jejich následné využití pro konkrétní účely, striktně omezené a způsobilé odůvodnit zásah způsobený jak přístupem k těmto údajům, tak jejich využíváním.

Konkrétně právní úprava, která veřejným orgánům umožňuje globální přístup k obsahu elektronických komunikací, musí být považována za zasahující do podstaty základního práva na respektování soukromého života zaručeného článkem 7 Listiny základních práv Evropské unie.

Stejně tak právní úprava, která nestanoví procesním subjektům žádnou možnost využít právních prostředků s cílem získat přístup k osobním údajům, které se jich týkají, nebo dosáhnout opravy či výmazu těchto údajů, nerespektuje podstatu základního práva na účinnou právní ochranu zakotveného v článku 47 Listiny základních práv Evropské unie. První pododstavec tohoto článku totiž vyžaduje, aby každý, jehož práva a svobody zaručené právem Unie byly porušeny, měl za podmínek stanovených tímto článkem právo na účinné prostředky nápravy před soudem. V tomto ohledu je samotná existence účinného soudního přezkumu určeného k zajištění dodržování ustanovení unijního práva inherentní existenci právního státu.

(viz body 91–95)