Vec C‑362/14
Maximillian Schrems
proti
Data Protection Commissioner
[návrh na začatie prejudiciálneho konania, ktorý podal High Court (Írsko)]
„Návrh na začatie prejudiciálneho konania – Osobné údaje – Ochrana fyzických osôb pri spracovaní týchto údajov – Charta základných práv Európskej únie – Články 7, 8 a 47 – Smernica 95/46/ES – Články 25 a 28 – Prenos osobných údajov do tretích krajín – Rozhodnutie 2000/520/ES – Prenos osobných údajov do Spojených štátov – Neprimeraná úroveň ochrany – Platnosť – Sťažnosť fyzickej osoby, ktorej osobné údaje boli prenesené z Európskej únie do Spojených štátov – Právomoci vnútroštátnych dozorných orgánov“
Abstrakt – Rozsudok Súdneho dvora (veľká komora) zo 6. októbra 2015
1. Aproximácia právnych predpisov – Ochrana fyzických osôb pri spracovaní osobných údajov – Smernica 95/46 – Výklad s prihliadnutím na základné práva
(Charta základných práv Európskej únie; smernica Európskeho parlamentu a Rady 95/46)
2. Aproximácia právnych predpisov – Ochrana fyzických osôb pri spracovaní osobných údajov – Smernica 95/46 – Vnútroštátne dozorné orgány – Požiadavka nezávislosti
(Článok 16 ods. 2 ZFEÚ; Charta základných práv Európskej únie, článok 8 ods. 3; smernica Európskeho parlamentu a Rady 95/46, odôvodnenie 62 a článok 28 ods. 1)
3. Aproximácia právnych predpisov – Ochrana fyzických osôb pri spracovaní osobných údajov – Smernica 95/46 – Vnútroštátne dozorné orgány – Právomoci – Kontrola prenosu osobných údajov do tretích krajín – Zahrnutie
(Charta základných práv Európskej únie, článok 8 ods. 3; smernica Európskeho parlamentu a Rady 95/46, článok 28)
4. Aproximácia právnych predpisov – Ochrana fyzických osôb pri spracovaní osobných údajov – Smernica 95/46 – Prenos osobných údajov do tretích krajín – Prijatie rozhodnutia konštatujúceho primeranú úroveň ochrany v tretej krajine Komisiou – Rozhodnutie, ktoré je záväzné pre všetky členské štáty, ktoré sú jeho adresátmi – Preskúmanie platnosti tohto rozhodnutia – Vzájomné úlohy vnútroštátnych dozorných orgánov a vnútroštátnych súdov
(Článok 288 štvrtý odsek ZFEÚ; Charta základných práv Európskej únie, článok 8 ods. 3 a článok 47; smernica Európskeho parlamentu a Rady 95/46, článok 25 ods. 6 a článok 28 ods. 3 a 4)
5. Aproximácia právnych predpisov – Ochrana fyzických osôb pri spracovaní osobných údajov – Smernica 95/46 – Prenos osobných údajov do tretích krajín – Prijatie rozhodnutia konštatujúceho primeranú úroveň ochrany v tretej krajine Komisiou – Vnútroštátny dozorný orgán, na ktorý sa obrátila osoba so žiadosťou týkajúcou sa ochrany práv a slobôd pri spracovaní prenesených údajov týkajúcich sa žiadateľa – Žiadateľ, ktorý spochybňuje primeranú úroveň ochrany v tejto tretej krajine – Povinnosť tohto orgánu preskúmať žiadosť – Rozsah skúmania
(Charta základných práv Európskej únie, články 7, 8 a 47; smernica Európskeho parlamentu a Rady 95/46, článok 25 ods. 6 a článok 28)
6. Aproximácia právnych predpisov – Ochrana fyzických osôb pri spracovaní osobných údajov – Smernica 95/46 – Prenos osobných údajov do tretích krajín – Prijatie rozhodnutia konštatujúceho primeranú úroveň ochrany v tretej krajine Komisiou – Pojem primeraná úroveň ochrany – Kritériá posúdenia – Voľná úvaha Komisie
(Smernica Európskeho parlamentu a Rady 95/46, článok 25 ods. 2 a 6)
7. Aproximácia právnych predpisov – Ochrana fyzických osôb pri spracovaní osobných údajov – Smernica 95/46 – Prenos osobných údajov do tretích krajín – Prijatie rozhodnutia konštatujúceho primeranú úroveň ochrany v tretej krajine Komisiou – Rozhodnutie 2000/520 konštatujúce primeranú úroveň ochrany v Spojených štátoch – Neplatnosť
(Charta základných práv Európskej únie; smernica Európskeho parlamentu a Rady 95/46, článok 25 ods. 6 a článok 28; rozhodnutie Komisie 2000/520, články 1 až 4)
8. Základné práva – Rešpektovanie súkromného života – Ochrana osobných údajov – Právna úprava Únie zasahujúca do týchto základných práv – Podmienky – Dostatočné záruky proti riziku zneužitia – Dodržiavanie zásady proporcionality
(Charta základných práv Európskej únie, články 7 a 8)
1. Pozri text rozhodnutia.
(pozri bod 38)
2. Pozri text rozhodnutia.
(pozri body 40, 41)
3. Vnútroštátny dozorné orgány disponujú veľkým rozsahom právomocí a tieto právomoci, ktoré sú demonštratívne vymenované v článku 28 ods. 3 smernice 95/46 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov, predstavujú nevyhnutné prostriedky na vykonávanie ich povinností, ako to zdôrazňuje odôvodnenie 63 tejto smernice. Tieto orgány majú najmä vyšetrovacie právomoci, akým je právo zbierať všetky nevyhnutné informácie pre plnenie ich kontrolných povinností, efektívne právomoci intervencie, ako je napríklad uvalenie dočasného alebo úplného zákazu na spracovanie údajov, alebo tiež právomoc obrátiť sa na súdne orgány.
Pokiaľ ide o právomoc kontrolovať prenosy osobných údajov do tretích krajín, z článku 28 ods. 1 a 6 smernice 95/46 iste vyplýva, že právomoci vnútroštátnych dozorných orgánov sa týkajú spracovania osobných údajov vykonaných na území členského štátu, ktorému tieto orgány podliehajú, takže nemajú právomoci na základe tohto článku 28 vo vzťahu k spracovaniu takýchto údajov vykonanému na území tretej krajiny. Napriek tomu činnosť spočívajúca v prenose osobných údajov z členského štátu do tretej krajiny však ako taká predstavuje spracovanie osobných údajov v zmysle článku 2 písm. b) smernice 95/46 vykonané na území členského štátu. V dôsledku toho keďže vnútroštátne dozorné orgány sú v súlade s článkom 8 ods. 3 Charty základných práv Európskej únie a s článkom 28 smernice 95/46 poverené kontrolou dodržiavania pravidiel Únie o ochrane fyzických osôb pri spracovaní osobných údajov, každý z nich má právomoc overiť, či prenos osobných údajov z členského štátu, ktorému podlieha, do tretej krajiny spĺňa požiadavky stanovené touto smernicou.
(pozri body 43 – 45, 47)
4. Komisia môže prijať na základe článku 25 ods. 6 smernice 95/46 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov rozhodnutie, ktorým sa konštatuje, že tretia krajina zaisťuje primeranú úroveň ochrany. Adresátom takéhoto rozhodnutia sú v súlade s druhým pododsekom tohto ustanovenia členské štáty, ktoré musia prijať opatrenia potrebné na dosiahnutie súladu s týmto rozhodnutím. Podľa článku 288 štvrtého odseku ZFEÚ je záväzné pre všetky členské štáty, ktoré sú jeho adresátmi, a teda aj pre všetky ich orgány v rozsahu, v akom má za následok, že oprávňuje prenosy osobných údajov z členských štátov do tretej krajiny, ktorá je ním dotknutá.
Preto pokiaľ rozhodnutie Komisie nebolo vyhlásené za neplatné Súdnym dvorom, ktorý jediný má právomoc rozhodnúť o neplatnosti aktu Únie, členské štáty a ich orgány, medzi ktoré patria ich nezávislé dozorné orgány, nepochybne nemôžu prijať opatrenia v rozpore s týmto rozhodnutím, akým sú akty, ktorými sa záväzne konštatuje, že tretia krajina dotknutá uvedeným rozhodnutím nezaisťuje primeranú úroveň ochrany. Akty inštitúcií Únie totiž požívajú v zásade prezumpciu zákonnosti, a preto majú právne účinky dovtedy, kým neboli zrušené orgánom, ktorý ich prijal, zrušené v konaní o žalobe o neplatnosť alebo vyhlásené za neplatné v nadväznosti na návrh na začatie prejudiciálneho konania alebo námietku nezákonnosti.
Hoci vnútroštátne súdy majú nepochybne právo preskúmať platnosť aktu Únie, nemajú napriek tomu právomoc samy určiť neplatnosť takéhoto aktu. A fortiori vnútroštátne dozorné orgány pri skúmaní žiadosti v zmysle článku 28 ods. 4 tejto smernice týkajúcej sa zlučiteľnosti takéhoto rozhodnutia Komisie s ochranou súkromia a slobôd a základných práv osôb nemajú právo samy určiť neplatnosť takéhoto rozhodnutia.
Za predpokladu, že uvedený orgán dospeje k záveru, že skutočnosti uvedené na podporu takejto žiadosti sú nedôvodné a túto žiadosť z tohto dôvodu odmietne, osoba, ktorá ju podala, musí mať, ako vyplýva z článku 28 ods. 3 druhého pododseku smernice 95/46 v spojení s článkom 47 Charty základných práv Európskej únie, možnosť podať súdne prostriedky nápravy, ktoré jej umožnia spochybniť takéto rozhodnutie, ktoré jej spôsobuje ujmu, na vnútroštátnych súdoch. Za týchto podmienok sú tieto súdy povinné prerušiť konanie a predložiť Súdnemu dvoru návrh na začatie prejudiciálneho konania o posúdenie platnosti, pokiaľ sa domnievajú, že jeden alebo viaceré dôvody neplatnosti uvedené účastníkmi konania, prípadne vznesené z úradnej moci, sú dôvodné.
Za opačného predpokladu, keď uvedený orgán považuje výhrady vznesené osobou, ktorá podala žiadosť týkajúcu sa ochrany jej práv a slobôd pri spracovaní jej osobných údajov, za dôvodné, ten istý orgán musí v súlade s článkom 28 ods. 3 prvým pododsekom treťou zarážkou smernice 95/46 v spojení najmä s článkom 8 ods. 3 Charty základných práv Európskej únie mať možnosť obrátiť sa na súdne orgány. V tomto ohľade je úlohou vnútroštátneho zákonodarcu stanoviť prostriedky nápravy umožňujúce dotknutému vnútroštátnemu dozornému orgánu uplatniť výhrady, ktoré považuje za dôvodné, na vnútroštátnych súdoch, aby tieto podali, ak majú rovnaké pochybnosti ako tento orgán, pokiaľ ide o platnosť rozhodnutia Komisie, návrh na začatie prejudiciálneho konania na účely preskúmania platnosti tohto rozhodnutia.
(pozri body 51, 52, 61, 62, 64, 65)
5. Článok 25 ods. 6 smernice 95/46 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov v spojení s článkami 7, 8 a 47 Charty základných práv Európskej únie sa má vykladať v tom zmysle, že rozhodnutie prijaté podľa tohto ustanovenia, ktorým Komisia konštatuje, že tretia krajina zaisťuje primeranú úroveň ochrany, nebráni tomu, aby dozorný orgán členského štátu v zmysle článku 28 tejto smernice preskúmal žiadosť osoby v súvislosti s ochranou jej práv a slobôd pri spracovaní osobných údajov, ktoré sa jej týkajú a ktoré boli prenesené z členského štátu do tejto tretej krajiny, ak táto osoba tvrdí, že platné právo a prax v tejto krajine nezaisťujú primeranú úroveň ochrany.
Ak by to bolo inak, osoby, ktorých osobné údaje boli alebo by mohli byť prenesené do dotknutej tretej krajiny, by boli zbavené práva zaručeného článkom 8 ods. 1 a 3 Charty základných práv Európskej únie podať na vnútroštátne dozorné orgány žiadosť na účely ochrany ich základných práv.
Okrem toho žiadosť v zmysle článku 28 ods. 4 smernice 95/46, ktorou táto osoba uvádza, že právo a prax tejto krajiny nezaisťujú, napriek tomu, čo konštatovala Komisia v rozhodnutí prijatom podľa článku 25 ods. 6 tejto smernice, primeranú úroveň ochrany, treba vnímať v podstate ako týkajúcu sa zlučiteľnosti tohto rozhodnutia s ochranou súkromia a slobôd a základných práv osôb. Za týchto podmienok ak osoba, ktorej osobné údaje boli alebo by mohli byť prenesené do tretej krajiny, ktorá je predmetom rozhodnutia Komisie podľa článku 25 ods. 6 smernice 95/46, podá na vnútroštátny dozorný orgán takúto žiadosť, je úlohou tohto orgánu preskúmať túto žiadosť so všetkou náležitou starostlivosťou, ktorá sa vyžaduje.
(pozri body 58, 59, 63, 66 a bod 1 výroku)
6. Výraz „primeraná úroveň ochrany“ nachádzajúci sa v článku 25 ods. 6 smernice 95/46 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov treba chápať v tom zmysle, že vyžaduje, aby táto tretia krajina skutočne zaistila z dôvodu jej vnútroštátneho práva alebo medzinárodných dohôd, ktoré podpísala, úroveň ochrany slobôd a základných práv, ktorá je v podstate rovnocenná úrovni ochrany zaručenej v rámci Únie podľa tejto smernice v spojení s Chartou základných práv Európskej únie.
Za týchto podmienok pri skúmaní úrovne ochrany ponúkanej treťou krajinou musí Komisia posúdiť obsah pravidiel uplatniteľných v tejto krajine, ktoré vyplývajú z vnútroštátneho práva alebo medzinárodných dohôd, ktoré podpísala, ako aj prax smerujúcu k zabezpečeniu dodržiavania týchto pravidiel, pričom táto inštitúcia musí v súlade s článkom 25 ods. 2 smernice 95/46 zohľadniť všetky okolnosti týkajúce sa prenosu osobných údajov do tretej krajiny. Rovnako vzhľadom na skutočnosť, že úroveň ochrany zaručená treťou krajinou sa môže vyvíjať, je úlohou Komisie po prijatí rozhodnutia podľa článku 25 ods. 6 smernice 95/46 pravidelne preskúmať, či zistenie týkajúce sa primeranej úrovne ochrany zaručenej dotknutou treťou krajinou je stále skutkovo a právne odôvodnené. Takéto overenie je v každom prípade potrebné, ak z indícií vyplývajú pochybnosti v tomto ohľade.
Vzhľadom na dôležitú úlohu, ktorú na jednej strane zohráva ochrana osobných údajov so zreteľom na základné právo rešpektovania súkromného života a na druhej strane významné množstvo osôb, ktorých základné práva môžu byť porušené v prípade prenosu osobných údajov do tretej krajiny, ktorá nezaisťuje primeranú úroveň ochrany, je voľná úvaha Komisie, pokiaľ ide o úroveň ochrany zaistenú treťou krajinou, obmedzená, takže treba pristúpiť k prísnemu preskúmaniu požiadaviek vyplývajúcich z článku 25 smernice 95/46 v spojení s Chartou základných práv Európskej únie.
(pozri body 73, 75, 76, 78)
7. Prijatie rozhodnutia na základe článku 25 ods. 6 smernice 95/46 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov Komisiou, akým je rozhodnutie 2000/520 o primeranosti ochrany poskytovanej zásadami bezpečného prístavu a súvisiacimi často kladenými otázkami vydanými Ministerstvom obchodu Spojených štátov amerických, vyžaduje riadne odôvodnené konštatovanie tejto inštitúcie, že dotknutá tretia krajina skutočne zaisťuje z dôvodu jej vnútroštátneho práva alebo medzinárodných dohôd, ktoré podpísala, úroveň ochrany základných práv, ktorá je v podstate rovnocenná úrovni ochrany zaručenej v právnom poriadku Únie.
Preto v rozsahu, v akom tak Komisia vo svojom rozhodnutí 2000/520 neurobila, článok 1 tohto rozhodnutia porušuje požiadavky stanovené v článku 25 ods. 6 smernice 95/46 v spojení s Chartou základných práv Európskej únie a je preto neplatný. Zásady bezpečného prístavu sú totiž výlučne uplatniteľné na americké samocertifikované organizácie, ktoré získali osobné údaje z Únie bez toho, aby sa vyžadovalo, že americké orgány verejnej moci budú podliehať týmto zásadám. Navyše rozhodnutie 2000/520 umožňuje zasahovanie založené na požiadavkách týkajúcich sa národnej bezpečnosti, verejného záujmu alebo vnútroštátneho práva Spojených štátov, a to do základných práv osôb, ktorých osobné údaje sú alebo by mohli byť prenesené z Únie do Spojených štátov bez toho, aby obsahovalo ustanovenie, čo sa týka existencie pravidiel štátnej povahy v Spojených štátoch, ktorých cieľom by bolo obmedzenie prípadných zásahov do týchto práv, a ustanovenie o existencii účinnej právnej ochrany pred zásahmi tohto druhu.
Okrem toho Komisia prekročila právomoc, ktorá jej bola priznaná v článku 25 ods. 6 smernice 95/46 v spojení s Chartou základných práv Európskej únie, prijatím článku 3 rozhodnutia 2000/520, ktorý je z tohto dôvodu neplatný. Tento článok treba totiž chápať tak, že zbavuje vnútroštátne dozorné orgány právomocí, ktoré im vyplývajú z článku 28 smernice 95/46 v prípade, keď osoba uvedie v rámci žiadosti podľa tohto ustanovenia skutočnosti spôsobilé spochybniť zlučiteľnosť rozhodnutia Komisie, ktoré na základe článku 25 ods. 6 tejto smernice konštatovalo, že tretia krajina zaisťuje primeranú úroveň ochrany, s ochranou súkromného života a slobôd a základných práv osôb. Vykonávacia právomoc priznaná Komisii normotvorcom Únie v článku 25 ods. 6 smernice 95/46 však nepriznáva tejto inštitúcii právomoc obmedziť právomoci vnútroštátnych dozorných orgánov.
Vzhľadom na to, že články 1 a 3 rozhodnutia 2000/520 sú neoddeliteľné od článkov 2 a 4, ako aj od jeho príloh, ich neplatnosť má za následok neplatnosť celého rozhodnutia.
(pozri body 82, 87 – 89, 96 – 98, 102 – 105 a bod 2 výroku)
8. Právna úprava Únie obsahujúca zásah do základných práv zaručených článkami 7 a 8 Charty základných práv Európskej únie musí stanoviť jasné a presné pravidlá upravujúce rozsah a uplatnenie opatrenia a stanovujúce minimálne požiadavky spôsobom, aby osoby, ktorých osobné údaje boli dotknuté, mali dostatočné záruky, ktoré umožnia účinne chrániť ich údaje pred rizikami zneužitia, ako aj pred akýmkoľvek nezákonným prístupom a akýmkoľvek nezákonným použitím týchto údajov. Nevyhnutnosť disponovať takými zárukami je o to dôležitejšia, keď sú osobné údaje spracovávané automaticky a keď existuje značné riziko nezákonného prístupu k týmto údajom. Okrem toho a najmä, ochrana základného práva na rešpektovanie súkromného života na úrovni Únie vyžaduje, aby výnimky a obmedzenia v súvislosti s ochranou osobných údajov nepôsobili nad rámec toho, čo je prísne nevyhnutné.
Na prísnu nevyhnutnosť tak nie je obmedzená právna úprava, ktorá všeobecne oprávňuje uchovávanie všetkých osobných údajov každej osoby, ktorej osobné údaje boli prenesené z Únie bez toho, aby stanovovala akékoľvek rozlíšenie, obmedzenie alebo výnimku na základe sledovaného cieľa, a bez toho, aby sa stanovilo objektívne kritérium umožňujúce vymedziť prístup orgánov verejnej moci k údajom a ich neskoršie použitie na účely, ktoré sú presné, prísne obmedzené a spôsobilé odôvodniť zásah, ktorý spôsobuje tak prístup, ako aj používanie týchto údajov.
Konkrétne, právnu úpravu umožňujúcu orgánom verejnej moci všeobecný prístup k obsahu elektronických komunikácií treba považovať za právnu úpravu, ktorá zasahuje do podstaty obsahu základného práva na rešpektovanie súkromného života, ako je zaručené článkom 7 Charty základných práv Európskej únie.
Rovnako právna úprava, ktorá neupravuje nijakú možnosť osoby podliehajúcej súdnej právomoci uplatniť právne prostriedky nápravy, aby mala prístup k osobným údajom, ktoré sa jej týkajú, alebo dosiahnuť opravu alebo vymazanie takýchto údajov, nerešpektuje podstatu obsahu základného práva na účinnú súdnu ochranu, ako je upravené článkom 47 Charty základných práv Európskej únie. Prvý odsek tohto článku totiž vyžaduje, aby každý, koho práva a slobody zaručené právom Únie boli porušené, mal za podmienok ustanovených v tomto článku právo na účinný prostriedok nápravy pred súdom. V tejto súvislosti samotná existencia účinného súdneho preskúmavania na účely dodržania ustanovení práva Únie je súčasťou existencie právneho štátu.
(pozri body 91 – 95)