Predmet C‑362/14

Maximillian Schrems

protiv

Data Protection Commissioner

(zahtjev za prethodnu odluku koji je uputio High Court (Irska))

„Zahtjev za prethodnu odluku – Osobni podaci – Zaštita fizičkih osoba u pogledu obrade tih podataka – Povelja Europske unije o temeljnim pravima – Članci 7., 8. i 47. – Direktiva 95/46/EZ – Članci 25. i 28. – Prijenos osobnih podataka trećim zemljama – Odluka 2000/520/EZ – Prijenos osobnih podataka u SAD – Neodgovarajuća razina zaštite – Valjanost – Pritužba fizičke osobe čiji su podaci preneseni iz Europske unije u SAD – Ovlasti nacionalnih nadzornih tijela“

Sažetak – Presuda Suda (veliko vijeće) od 6. listopada 2015.

1.        Usklađivanje zakonodavstava – Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Direktiva 95/46 – Tumačenje u skladu s temeljnim pravima

(Povelja Europske unije o temeljnim pravima; Direktiva Europskog parlamenta i Vijeća 95/46)

2.        Usklađivanje zakonodavstava – Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Direktiva 95/46 – Nacionalna nadzorna tijela – Zahtjev neovisnosti

(čl. 16. st. 2. UFEU‑a; Povelja Europske unije o temeljnim pravima, čl. 8. st. 3.; Direktiva Europskog parlamenta i Vijeća 95/46, uvodna izjava 62. i čl. 28. st. 1.)

3.        Usklađivanje zakonodavstava – Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Direktiva 95/46 – Nacionalna nadzorna tijela – Ovlasti – Nadzor prijenosa osobnih podataka u treće zemlje – Uključenost

(Povelja Europske unije o temeljnim pravima, čl. 8. st. 3.; Direktiva Europskog parlamenta i Vijeća 95/46, čl. 28.)

4.        Usklađivanje zakonodavstava – Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Direktiva 95/46 – Prijenos osobnih podataka trećim zemljama – Komisijino donošenje odluke kojom se utvrđuje odgovarajuća razina zaštite u trećoj zemlji – Odluka koja je obvezujuća za sve države članice adresate – Ispitivanje valjanosti takve odluke – Odnosne uloge nacionalnih nadzornih tijela i nacionalnih sudova

(čl. 288. četvrti podstavak UFEU‑a; Povelja Europske unije o temeljnim pravima, čl. 8. st. 3. i čl. 47.; Direktiva Europskog parlamenta i Vijeća 95/46, čl. 25. st. 6. i čl. 28. st. 3. i 4.)

5.        Usklađivanje zakonodavstava – Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Direktiva 95/46 – Prijenos osobnih podataka trećim zemljama – Komisijino donošenje odluke kojom se utvrđuje odgovarajuća razina zaštite u trećoj zemlji – Nacionalno nadzorno tijelo koje razmatra zahtjev u vezi sa zaštitom prava i sloboda u pogledu obrade prenesenih podataka koji se odnose na podnositelja zahtjeva – Podnositelj zahtjeva koji osporava odgovarajuću razinu zaštite u toj trećoj zemlji – Obveza navedenog tijela da ispita zahtjev – Doseg ispitivanja

(Povelja Europske unije o temeljnim pravima, čl. 7., 8. i 47.; Direktiva Europskog parlamenta i Vijeća 95/46, čl. 25. st. 6. i čl. 28.)

6.        Usklađivanje zakonodavstava – Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Direktiva 95/46 – Prijenos osobnih podataka trećim zemljama – Komisijino donošenje odluke kojom se utvrđuje odgovarajuća razina zaštite u trećoj zemlji – Pojam odgovarajuće razine zaštite – Kriteriji za ocjenu – Diskrecijska ovlast Komisije

(Direktiva Europskog parlamenta i Vijeća 95/46, čl. 25. st. 2. i 6.)

7.        Usklađivanje zakonodavstava – Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Direktiva 95/46 – Prijenos osobnih podataka trećim zemljama – Komisijino donošenje odluke kojom se utvrđuje odgovarajuća razina zaštite u trećoj zemlji – Odluka 2000/520 o utvrđivanju odgovarajuće razine zaštite u Sjedinjenim Američkim Državama – Invalidnost

(Povelja Europske unije o temeljnim pravima; Direktiva Europskog parlamenta i Vijeća 95/46, čl. 25. st. 6. i čl. 28.; Odluka Komisije 2000/520, čl. 1. do 4.)

8.        Temeljna prava – Poštovanje privatnog života – Zaštita osobnih podataka – Propis Unije kojim se miješa u ta temeljna prava – Pretpostavke – Dostatna jamstva protiv opasnosti zlouporabe – Poštovanje načela proporcionalnosti

(Povelja Europske unije o temeljnim pravima, čl. 7. i 8.)

1.        Vidjeti tekst odluke.

(t. 38.)

2.        Vidjeti tekst odluke.

(t. 40., 41.)

3.        Nacionalna nadzorna tijela raspolažu širokim rasponom ovlasti, indikativno navedenih u članku 28. stavku 3. Direktive 95/46 o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka, koje predstavljaju sva nužna sredstva za provedbu njihovih zadaća, kao što se to naglašava u uvodnoj izjavi 63. te direktive. Zato navedena tijela imaju istražne ovlasti, kao što su to ovlasti za prikupljanje svih podataka potrebnih za izvršavanje njihovih nadzornih dužnosti, učinkovite ovlasti za posredovanje, kao što je to nametanje privremene ili konačne zabrane obrade, ili ovlasti za sudjelovanje u sudskim postupcima.

Kad je riječ o ovlasti nadzora prijenosa osobnih podataka u treće zemlje, iz članka 28. stavaka 1. i 6. Direktive 95/46 doista proizlazi da se ovlasti nacionalnih nadzornih tijela odnose na obrade osobnih podataka koje se provode na državnom području države članice u kojoj se nalaze ta tijela, pa stoga na temelju tog članka 28. ne raspolažu ovlastima u pogledu obrada takvih podataka koje su provedene na državnom području treće zemlje. Međutim, postupak prijenosa osobnih podataka iz države članice u treću zemlju jest kao takav obrada osobnih podataka u smislu članka 2. točke (b) Direktive 95/46 koja je provedena na državnom području države članice. Posljedično, budući da su nacionalna nadzorna tijela, u skladu s člankom 8. stavkom 3. Povelje Europske unije o temeljnim pravima i člankom 28. Direktive 95/46, zadužena za nadzor poštovanja Unijinih pravila o zaštiti fizičkih osoba u vezi s obradom osobnih podataka, svako od tih tijela nadležno je za provjeru poštuje li prijenos tih podataka iz države članice, u kojoj se ta tijela nalaze, u treću zemlju zahtjeve utvrđene u toj direktivi.

(t. 43.‑45., 47.)

4.        Komisija može na temelju članka 25. stavka 6. Direktive 95/46 o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka donijeti odluku kojom se utvrđuje da treća zemlja osigurava odgovarajuću razinu zaštite. U skladu s drugim podstavkom te odredbe, takva je odluka upućena državama članicama, koje su dužne poduzeti mjere potrebne za usklađivanje s tom odlukom. Na temelju članka 288. četvrtog stavka UFEU‑a, odluka je obvezujuća za sve države članice kojima je upućena te je, dakle, obvezujuća za sva njihova tijela jer se njome dopuštaju prijenosi osobnih podataka iz država članica u treće zemlje na koje se odnosi ta odluka.

Na taj način, sve dok Sud, koji je jedini nadležan za utvrđivanje nevaljanosti akta Unije, ne proglasi Komisijinu odluku nevaljanom, države članice i njihova tijela, uključujući neovisna nadzorna tijela, ne mogu donositi mjere koje su suprotne toj odluci, kao što su to akti kojima se s obvezujućim učinkom utvrđuje da treće zemlje na koje se odnosi ta odluka ne osiguravaju odgovarajuću razinu zaštite. Naime, akti Unijinih institucija načelno uživaju presumpciju zakonitosti i stoga proizvode pravne učinke sve dok ih se ne povuče, poništi u okviru tužbe za poništenje ili proglasi nevaljanim povodom zahtjeva za prethodnu odluku ili prigovora nezakonitosti.

Iako nacionalni sudovi uistinu imaju pravo ispitati valjanost akta Unije, oni ipak nemaju ovlasti da sâmi proglase nevaljanost takvog akta. A fortiori, kod ispitivanja zahtjeva u smislu članka 28. stavka 4. te direktive, koji se odnosi na usklađenost Komisijine odluke sa zaštitom privatnosti i temeljnih prava i sloboda pojedinaca, nacionalna nadzorna tijela nemaju pravo sâma utvrditi nevaljanost takve odluke.

U slučaju da navedeno tijelo zaključi da su elementi koji su istaknuti u prilog takvom zahtjevu neosnovani i zbog toga odbije taj zahtjev, osoba koja je podnijela navedeni zahtjev mora imati pristup, kao što to proizlazi iz članka 28. stavka 3. drugog podstavka Direktive 95/46, povezano s člankom 47. Povelje Europske unije o temeljnim pravima, sudskim pravnim sredstvima koja joj omogućuju pobijanje pred nacionalnim sudovima takve odluke kojom je oštećena. U tim okolnostima, ti sudovi moraju prekinuti postupak i obratiti se Sudu putem postupka povodom prethodnog pitanja koje se tiče valjanosti kada smatraju da su osnovani jedan ili više razloga nevaljanosti na koje se pozovu stranke ili, ako je primjenjivo, na koje sud pazi po službenoj dužnosti.

U protivnom slučaju, kada navedeno tijelo smatra da su prigovori osobe koja je podnijela zahtjev u vezi sa zaštitom njezinih prava i sloboda u odnosu na obradu osobnih podataka osnovani, to isto tijelo mora u skladu s člankom 28. stavkom 3. prvim podstavkom trećom alinejom Direktive 95/46, povezano osobito s člankom 8. stavkom 3. Povelje Europske unije o temeljnim pravima, imati ovlasti za sudjelovanje u sudskim postupcima. U tom je pogledu nacionalni zakonodavac dužan predvidjeti pravna sredstva koja nacionalnom nadzornom tijelu omogućavaju isticanje prigovora pred nacionalnim sudovima koje smatra osnovanima, kako bi ti sudovi mogli, u slučaju da dijele sumnje tog tijela u vezi s valjanošću Komisijine odluke, uputiti zahtjev za prethodnu odluku radi ispitivanja valjanosti te odluke.

(t. 51., 52., 61., 62., 64., 65.)

5.        Članak 25. stavak 6. Direktive 95/46 o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka, tumačen u svjetlu članaka 7., 8. i 47. Povelje Europske unije o temeljnim pravima, treba tumačiti na način da odluka donesena na temelju te odredbe kojom Komisija utvrđuje da treća zemlja osigurava odgovarajuću razinu zaštite, ne onemogućava nadzorno tijelo države članice u smislu članka 28. te direktive da ispita zahtjev osobe u vezi sa zaštitom njezinih prava i sloboda u pogledu obrade osobnih podataka koji se nju odnose i koji su preneseni iz države članice u tu treću zemlju, a nastavno na navode te osobe da važeće pravo i praksa u toj trećoj zemlji ne osiguravaju odgovarajuću razinu zaštite.

U protivnom bi osobama čiji su osobni podaci preneseni ili bi mogli biti preneseni u dotičnu treću zemlju bilo oduzeto pravo, zajamčeno u članku 8. stavcima 1. i 3. Povelje Europske unije o temeljnim pravima, na podnošenje zahtjeva za zaštitu njihovih temeljnih prava nacionalnim nadzornim tijelima.

Usto, zahtjev u smislu članka 28. stavka 4. Direktive 95/46 u kojem takva osoba navodi da važeće pravo i praksa u toj zemlji ne osiguravaju odgovarajuću razinu zaštite, neovisno o Komisijinom utvrđenju u odluci donesenoj na temelju članka 25. stavka 6. te direktive, valja shvatiti na način da se u biti odnosi na usklađenost te odluke sa zaštitom privatnosti i temeljnih prava i sloboda pojedinaca. U tim okolnostima, kada osoba, čiji su osobni podaci preneseni ili bi mogli biti preneseni u treću zemlju na koju se odnosi Komisijina odluka na temelju članka 25. stavka 6. Direktive 95/46, podnese zahtjev nacionalnom nadzornom tijelu, to tijelo mora ispitati navedeni zahtjev sa svom dužnom pažnjom.

(t. 58., 59., 63., 66. i t. 1. izreke)

6.        Izraz „odgovarajuća razina zaštite“ iz članka 25. stavka 6. Direktive 95/46 o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka mora se shvatiti na način da zahtijeva da ta treća zemlja djelotvorno osigura, temeljem domaćeg zakonodavstva ili međunarodnih obveza koje je preuzela, razinu zaštite temeljnih prava i sloboda koja je bitno ekvivalentna onoj zaštiti koja se jamči u okviru Unije na temelju te direktive, tumačene u svjetlu Povelje Europske unije o temeljnim pravima.

U tim uvjetima Komisija je dužna kod ispitivanja razine zaštite koju pruža treća zemlja procijeniti sadržaj primjenjivih pravila u toj zemlji koja proizlaze iz domaćeg zakonodavstva ili međunarodnih obveza koje je preuzela, kao i praksu kojoj je cilj osigurati poštovanje tih pravila, a ta institucija mora u skladu s člankom 25. stavkom 2. Direktive 95/46 uzeti u obzir sve okolnosti u vezi s prijenosom osobnih podataka u treću zemlju. Također, s obzirom na činjenicu da se razina zaštite koju osigurava treća zemlja može mijenjati, Komisija je nakon donošenja odluke na temelju članka 25. stavka 6. Direktive 95/46 dužna periodično provjeravati činjeničnu i pravnu opravdanost utvrđenja o odgovarajućoj razini zaštite koju osigurava predmetna treća zemlja. Takva provjera se u svakom slučaju nameće kad na temelju indicija nastane sumnja u tom pogledu.

Uzimajući u obzir, s jedne strane, važnu ulogu koju ima zaštita osobnih podataka u odnosu na temeljno pravo na poštovanje privatnog života i, s druge strane, značajan broj osoba čija se temeljna prava mogu povrijediti u slučaju prijenosa osobnih podataka u treću zemlju koja ne osigurava odgovarajuću razinu zaštite, ovlast Komisijine procjene je li ta razina odgovarajuća jest smanjena pa je potrebno provesti strog nadzor zahtjeva koji proizlaze iz članka 25. Direktive 95/46, tumačenog u svjetlu Povelje Europske unije o temeljnim pravima.

(t. 73., 75., 76., 78.)

7.        Komisijino donošenje odluke na temelju članka 25. stavka 6. Direktive 95/46 o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka, kao što je to Odluka Komisije 2000/520 o primjerenosti zaštite koju pružaju načela privatnosti „sigurne luke” i uz njih vezana često postavljana pitanja koje je izdalo Ministarstvo trgovine SAD‑a, zahtijeva valjano obrazloženo utvrđenje te institucije da dotična treća zemlja djelotvorno osigurava, temeljem svojeg domaćeg zakonodavstva ili međunarodnih obveza koje je preuzela, razinu zaštite temeljnih prava koja je bitno ekvivalentna onoj koja se jamči u pravnom poretku Unije.

Međutim, s obzirom na to da Komisija to nije učinila u svojoj Odluci 2000/250, članak 1. te odluke povrijedio je zahtjeve utvrđene u članku 25. stavku 6. Direktive 95/46, tumačenog u svjetlu Povelje Europske unije o temeljnim pravima. Dakle, načela „sigurne luke” primjenjuju se jedino na organizacije iz SAD‑a koje su provele vlastito potvrđivanje i primaju osobne podatke iz Unije, a javna tijela SAD‑a nisu podvrgnuta poštovanju navedenih načela. Štoviše, Odluka 2000/520 omogućuje miješanje, na temelju uvjeta nacionalne sigurnosti, javnog interesa, ili uvjeta za provedbu zakona SAD‑a, u temeljna prava osoba čiji se osobni podaci prenose ili bi se mogli prenositi iz Unije u SAD, a da ne sadržava nikakvo utvrđenje o postojanju državnih pravila SAD‑a za ograničavanje mogućih miješanja u ta prava, kao ni utvrđenje o učinkovitoj pravnoj zaštiti protiv miješanja takve naravi.

Usto, Komisija je donošenjem članka 3. Odluke 2000/520 prekoračila nadležnost koja joj je dodijeljena u članku 25. stavku 6. Direktive 95/46, tumačenom u svjetlu Povelje, te je on stoga nevaljan. Naime, taj članak treba, dakle, shvatiti na način da nacionalnim nadzornim tijelima oduzima ovlasti koje ona imaju na temelju članka 28. Direktive 95/46 u slučaju kada osoba prilikom zahtjeva na temelju te odredbe navede elemente koji mogu dovesti u pitanje usklađenost Komisijine odluke, kojom je na temelju članka 25. stavka 6. te direktive utvrđeno da treća zemlja osigurava odgovarajuću razinu zaštite, sa zaštitom privatnosti i temeljnih sloboda i prava pojedinaca. Međutim, provedbena ovlast koju je Unijin zakonodavac dodijelio Komisiji u članku 25. stavku 6. Direktive 95/46 ne daje joj nadležnost da ograniči navedene ovlasti nacionalnih nadzornih tijela.

Budući da su članci 1. i 3. Odluke 2000/520 neodvojivi od njezinih članaka 2. i 4., kao i od njezinih priloga, njihova nevaljanost utječe na valjanost te odluke u cjelini.

(t. 82., 87.‑89., 96.‑98., 102.‑105. i t. 2. izreke)

8.        Propis Unije koji se miješa u temeljna prava zajamčena u člancima 7. i 8. Povelje Europske unije o temeljnim pravima mora predvidjeti jasna i precizna pravila koja uređuju doseg i primjenu mjere te propisati minimalne uvjete na način da osobe čiji se osobni podaci obrađuju raspolažu dostatnim jamstvima koja omogućuju učinkovitu zaštitu njihovih podataka od rizika zloporabe kao i od svih nezakonitih pristupa i uporabe tih podataka. Nužnost raspolaganja takvim jamstvima još je i značajnija kada su osobni podaci podvrgnuti automatskoj obradi te postoji značajan rizik od nezakonitog pristupa tim podacima. Osim toga i nadasve, zaštita temeljnog prava na poštovanje privatnog života na razini Unije zahtijeva da su odstupanja i ograničenja u zaštiti osobnih podataka u granicama onog što je strogo nužno.

Stoga propis koji općenito dopušta zadržavanje cjelokupnih osobnih podataka svih osoba čiji su podaci preneseni iz Unije, bez ikakvog razlikovanja, ograničenja ili iznimke s obzirom na postavljeni cilj, i koji ne predviđa objektivan kriterij koji bi omogućavao ograničenje pristupa javnih tijela podacima i njihovu naknadnu uporabu u svrhe koje su točno određene, strogo ograničene i mogu opravdati miješanje koje obuhvaća i pristup i uporabu tih podataka, nije ograničen na ono što je strogo nužno.

Posebice, nužno je smatrati da propis koji omogućava javnim tijelima općenit pristup sadržaju elektroničkih komunikacija povređuje bitan sadržaj temeljnog prava na poštovanje privatnog života koje je zajamčeno u članku 7. Povelje Europske unije o temeljnim pravima.

Također, propis koji pojedincima ne pruža nikakvu mogućnost korištenja pravnim sredstvima radi pristupa osobnim podacima koji se na njih odnose, ili radi ispravka ili brisanja takvih podataka, ne poštuje bitan sadržaj temeljnog prava na djelotvornu sudsku zaštitu, kao što je to propisano u članku 47. Povelje Europske unije o temeljnim pravima. Naime, stavak 1. tog članka zahtijeva da svatko čija su prava i slobode zajamčeni pravom Unije povrijeđeni ima pravo na djelotvoran pravni lijek pred sudom, u skladu s uvjetima utvrđenima tim člankom. U tom pogledu, sâmo postojanje djelotvornog sudskog nadzora radi osiguranja poštovanja Unijinih pravnih odredaba svojstveno je postojanju pravne države.

(t. 91.‑95.)