Predlog za sprejetje predhodne odločbe, ki ga je vložilo High Court (Irska) 9. maja 2018 – Data Protection Commissioner/Facebook Ireland Limited, Maximillian Schrems
(Zadeva C-311/18)
Jezik postopka: angleščina
Predložitveno sodišče
High Court
Stranke v postopku v glavni stvari
Tožeča stranka: Data Protection Commissioner
Toženi stranki: Facebook Ireland Limited, Maximillian Schrems
Vprašanja za predhodno odločanje
1. Ali v okoliščinah, kadar zasebno podjetje iz države članice Evropske unije (EU) prenese osebne podatke zasebnemu podjetju v tretji državi v komercialne namene v skladu s Sklepom 2010/87/EU1 , kakor je bil spremenjen s Sklepom Komisije 2016/22792 (v nadaljevanju: Sklep o standardnih pogodbenih klavzulah), in jih lahko v tretji državi nadalje obdelujejo njeni organi za namene nacionalne varnosti, pa tudi za namene kazenskega pregona in vodenje zunanjih zadev tretje države, pravo EU (vključno z Listino Evropske unije o temeljnih pravicah (v nadaljevanju: Listina)) velja za prenos podatkov ne glede na določbe člena 4(2) PEU v zvezi z nacionalno varnostjo in določbami prve alinee člena 3(2) Direktive 95/46/ES3 (v nadaljevanju: Direktiva) v zvezi z javno varnostjo, obrambo in varnostjo države?
2. (1) Ali so pri določanju o tem, ali obstaja kršitev pravic posameznika prek prenosa podatkov iz EU v tretjo državo v skladu s Sklepom o standardnih pogodbenih klavzulah, kjer se lahko nadalje obdelujejo za namene nacionalne varnosti, pomembno merilo primerjave za namene Direktive:
(a) Listina, PEU, PDEU, Direktiva, EKČP (ali katera koli druga določba prava EU) ali
(b) nacionalni zakoni ene ali več držav članic?
(2) Ali je treba v primeru, ko so pomembno merilo primerjave (b), vanje vključiti tudi prakse v okviru nacionalne varnosti v eni ali več držav članic?
3. Ali je treba pri ocenjevanju, ali tretja država zagotavlja raven varnosti, ki jo zahteva pravo EU za osebne podatke, ki se prenesejo v to državo za namene člena 26 Direktive, raven varstva v tretji državi ocenjevati s sklicevanjem na:
(a) veljavna pravila v tretji državi, ki izhajajo iz domačega prava ali mednarodnih zavez, in prakso, oblikovano za zagotavljanje skladnosti s temi pravili, vključno s strokovnimi pravili in varnostnimi ukrepi, skladnimi z tretjo državo,
ali
(b) pravila iz (a) skupaj s takimi upravnimi, regulativnimi praksami in skladnostjo s predpisi, zaščitnimi političnimi ukrepi, postopki, protokoli, mehanizmi nadzora in izvensodnimi sredstvi, ki veljajo v tretji državi?
4. Ali so glede na dejstva, ki jih je ugotovilo High Court (višje sodišče) v zvezi s pravom ZDA [točke od 152 do 263 sodbe High Court (višje sodišče) z dne 3. oktobra 2017; http://www.courts.ie/Judgments.nsf/768d83be24938e1180256ef30048ca51/8131a5dde8baf9ff802581b70035c4ff?OpenDocument], če se osebni podatki prenesejo iz EU v ZDA v skladu s Sklepom o standardnih pogodbenih klavzulah, s tem kršene pravice posameznikov v skladu s členi 7 in/ali 8 Listine?
5. Glede na dejstva, ki jih je ugotovilo High Court (višje sodišče) v zvezi s pravom ZDA, če se osebni podatki prenesejo iz EU v ZDA v skladu s Sklepom o standardnih pogodbenih klavzulah:
(a) ali raven varstva, ki jo nudijo ZDA, spoštuje pravice posameznika do pravnega sredstva v primeru kršitve njegovih ali njenih pravic do varstva podatkov, ki jih zagotavlja člen 47 Listine?
Če je odgovor na vprašanje (a) pritrdilen:
(b) ali so omejitve, ki jih pravo ZDA nalaga v zvezi s pravico posameznika do pravnega sredstva v okviru nacionalne varnosti ZDA, sorazmerne v smislu člena 52 Listine in ne presegajo tistega, kar je potrebno v demokratični družbi za namene nacionalne varnosti?
6. (1) Kakšna je raven varstva, ki jo je treba zagotoviti za prenos osebnih podatkov v tretjo državo v skladu s standardnimi pogodbenimi klavzulami, sprejetimi v skladu s sklepom Komisije v skladu s členom 26(4) glede na določbe Direktive ter zlasti členov 25 in 26 ob upoštevanju Listine?
(2) Katere dejavnike je treba upoštevati pri ocenjevanju, ali raven varstva, ki se zagotavlja za prenos podatkov v tretjo državo v skladu s Sklepom o standardnih pogodbenih klavzulah, izpolnjuje zahteve Direktive in Listine?
7. Ali dejstvo, da se standardne pogodbene klavzule uporabljajo med izvoznikom podatkov in uvoznikom podatkov ter ne zavezujejo nacionalnih organov tretje države, ki lahko od uvoznika podatkov zahtevajo, naj prenesene osebne podatke da na voljo varnostnim službam te države za nadaljnjo obdelavo v skladu s klavzulami, zagotovljenimi v Sklepu o standardnih pogodbenih klavzulah, nasprotuje klavzulam z navedbo ustreznih zaščitnih ukrepov, kakor to predvideva člen 26(2) Direktive?
8. Če za uvoznika podatkov iz tretje države velja zakonodaja o nadzoru, ki je glede na organ za varstvo podatkov v navzkrižju s klavzulami Priloge k Sklepu o standardnih pogodbenih klavzulah ali s členoma 25 in 26 Direktive in/ali Listine, ali mora organ za varstvo podatkov uporabiti svoja izvršilna pooblastila v skladu s členom 28(3) Direktive za prekinitev pretoka podatkov ali je izvajanje takih pooblastil omejeno le izjemne primere glede na uvodno izjavo 11 Direktive [točka 11 obrazložitve Sklepa Komisije 2010/87/EU] ali pa lahko organ za varstvo podatkov uporabi svojo diskrecijsko pravico, da ne prekine pretoka podatkov?
9. (1) Ali za namene člena 25(6) Direktive predstavlja Sklep (EU) 2016/12504 (v nadaljevanju: Sklep o zasebnostnem ščitu) ugotovitev o splošni uporabi, ki organe za varstvo podatkov in sodišča držav članic zavezuje tako, da se šteje, da ZDA zagotavljajo ustrezno raven varstva v smislu člena 25(2) Direktive zaradi njihovega domačega prava ali mednarodnih zavez, ki so jih sklenile?
(2) Če to ni tako, kakšen pomen, če sploh kakšen, ima Sklep o zasebnostnem ščitu pri ocenjevanju glede ustreznosti zaščitnih ukrepov, zagotovljenih za prenesene podatke v ZDA, ki se prenašajo v skladu s Sklepom o standardnih pogodbenih klavzulah?
10. Ali glede na ugotovitve High Court (višje sodišče) v zvezi s pravom ZDA določba o varuhu človekovih pravic na področju zasebnostnega ščita v skladu s prilogami od A do III k Sklepu o zasebnostnem ščitu v zvezi z obstoječim režimom v ZDA zagotavlja pravno sredstvo za posameznike, na katere se nanašajo osebni podatki, ki se prenesejo v ZDA v skladu s Sklepom o standardnih pogodbenih klavzulah, ki je skladen s členom 47 Listine?
11. Ali Sklep o standardnih pogodbenih klavzulah krši člene 7, 8 in/ali 47 Listine?
____________
1 Sklep Komisije 2010/87 z dne 5. februarja 2010 o standardnih pogodbenih klavzulah za prenos osebnih podatkov obdelovalcem s sedežem v tretjih državah v skladu z Direktivo Evropskega parlamenta in Sveta 95/46/ES (UL 2010, L 39, str. 5).
2 Izvedbeni sklep Komisije (EU) 2016/2297 z dne 16. decembra 2016 o spremembi Odločbe 2001/497/ES in Sklepa 2010/87/EU o standardnih pogodbenih klavzulah za prenos osebnih podatkov v tretje države in obdelovalcem s sedežem v navedenih državah v skladu z Direktivo Evropskega parlamenta in Sveta 95/46/ES (UL 2016, L 344, str. 100).
3 Direktiva Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (UL 1995, L 281, str. 31).
4 Izvedbeni sklep Komisije (EU) 2016/1250 z dne 12. julija 2016 na podlagi Direktive Evropskega parlamenta in Sveta 95/46/ES o ustreznosti varstva, ki ga zagotavlja zasebnostni ščit EU-ZDA (UL 2016, L 207, str. 1).