Language of document : ECLI:EU:C:2015:650

Υπόθεση C‑362/14

Maximillian Schrems

κατά

Data Protection Commissioner

[αίτηση του High Court (Ιρλανδία)
για την έκδοση προδικαστικής αποφάσεως]

«Προδικαστική παραπομπή — Δεδομένα προσωπικού χαρακτήρα — Προστασία φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων αυτών — Χάρτης των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης — Άρθρα 7, 8 και 47 — Οδηγία 95/46/ΕΚ — Άρθρα 25 και 28 — Διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τρίτες χώρες — Απόφαση 2000/520/ΕΚ — Διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τις Ηνωμένες Πολιτείες — Μη ικανοποιητικό επίπεδο προστασίας — Κύρος — Καταγγελία φυσικού προσώπου του οποίου τα δεδομένα διαβιβάστηκαν από την Ευρωπαϊκή Ένωση προς τις Ηνωμένες Πολιτείες — Εξουσίες των εθνικών αρχών ελέγχου»

Περίληψη — Απόφαση του Δικαστηρίου (τμήμα μείζονος συνθέσεως)
της 6ης Οκτωβρίου 2015

1.        Προσέγγιση των νομοθεσιών — Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα — Οδηγία 95/46 — Ερμηνεία υπό το φως των θεμελιωδών δικαιωμάτων

(Χάρτης των Θεμελιωδών δικαιωμάτων της Ευρωπαϊκής Ένωσης· οδηγία 95/46 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου)

2.        Προσέγγιση των νομοθεσιών — Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα — Οδηγία 95/46 — Εθνικές αρχές ελέγχου — Απαίτηση ανεξαρτησίας

(Άρθρο 16 § 2 ΣΛΕΕ· Χάρτης των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, άρθρο 8 § 3· οδηγία 95/46 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, αιτιολογική σκέψη 62 και άρθρο 28 § 1)

3.        Προσέγγιση των νομοθεσιών — Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα — Οδηγία 95/46 — Εθνικές αρχές ελέγχου — Εξουσίες — Έλεγχος της διαβιβάσεως δεδομένων προσωπικού χαρακτήρα προς τρίτες χώρες — Εμπίπτει

(Χάρτης των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, άρθρο 8 § 3· οδηγία 95/46 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρο 28)

4.        Προσέγγιση των νομοθεσιών — Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα — Οδηγία 95/46 — Διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τρίτες χώρες — Έκδοση αποφάσεως της Επιτροπής με την οποία διαπιστώνεται ικανοποιητικό επίπεδο προστασίας σε τρίτη χώρα — Απόφαση δεσμευτική για όλα τα κράτη μέλη στα οποία απευθύνεται — Εξέταση του κύρους της αποφάσεως αυτής — Ρόλος των εθνικών αρχών ελέγχου και ρόλος των εθνικών δικαστηρίων

(Άρθρο 288, εδ. 4, ΣΛΕΕ· Χάρτης των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, άρθρα 8 § 3 και 47· οδηγία 95/46 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρα 25 § 6 και 28 §§ 3 και 4)

5.        Προσέγγιση των νομοθεσιών — Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα — Οδηγία 95/46 — Διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τρίτες χώρες — Έκδοση αποφάσεως της Επιτροπής με την οποία διαπιστώνεται ικανοποιητικό επίπεδο προστασίας σε τρίτη χώρα — Εθνική αρχή ελέγχου στην οποία υποβάλλεται αίτηση σχετικά με την προστασία των δικαιωμάτων και των ελευθεριών του αιτούντος έναντι της επεξεργασίας των δεδομένων του τα οποία διαβιβάζονται — Αιτών ο οποίος αμφισβητεί το ικανοποιητικό επίπεδο προστασίας στη συγκεκριμένη τρίτη χώρα — Υποχρέωση της εθνικής αρχής να εξετάσει την αίτηση — Περιεχόμενο του ελέγχου

(Χάρτης των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, άρθρα 7, 8 και 47· οδηγία 95/46 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρα 25 § 6 και 28)

6.        Προσέγγιση των νομοθεσιών — Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα — Οδηγία 95/46 — Διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τρίτες χώρες — Έκδοση αποφάσεως της Επιτροπής με την οποία διαπιστώνεται ικανοποιητικό επίπεδο προστασίας σε τρίτη χώρα — Έννοια του ικανοποιητικού επιπέδου προστασίας — Κριτήρια εκτιμήσεως — Εξουσία εκτιμήσεως της Επιτροπής

(Οδηγία 95/46 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρο 25 §§ 2 και 6)

7.        Προσέγγιση των νομοθεσιών — Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα — Οδηγία 95/46 — Διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τρίτες χώρες — Έκδοση αποφάσεως της Επιτροπής με την οποία διαπιστώνεται ικανοποιητικό επίπεδο προστασίας σε τρίτη χώρα — Απόφαση 2000/520 με την οποία διαπιστώνεται ικανοποιητικό επίπεδο προστασίας στις Ηνωμένες Πολιτείες — Ανίσχυρο

(Χάρτης των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης· οδηγία 95/46 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρα 25 § 6 και 28· απόφαση 2000/520 της Επιτροπής, άρθρα 1 έως 4)

8.        Θεμελιώδη δικαιώματα — Σεβασμός της ιδιωτικής ζωής — Προστασία δεδομένων προσωπικού χαρακτήρα — Ρύθμιση της Ένωσης η οποία συνεπάγεται επέμβαση σε αυτά τα θεμελιώδη δικαιώματα — Προϋποθέσεις — Επαρκείς εγγυήσεις έναντι των κινδύνων καταχρήσεως — Τήρηση της αρχής της αναλογικότητας

(Χάρτης των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, άρθρα 7 και 8)

1.        Βλ. το κείμενο της αποφάσεως.

(βλ. σκέψη 38)

2.        Βλ. το κείμενο της αποφάσεως.

(βλ. σκέψεις 40, 41)

3.        Οι εθνικές αρχές ελέγχου διαθέτουν ευρύ φάσμα εξουσιών και οι εξουσίες αυτές, οι οποίες απαριθμούνται ενδεικτικά στο άρθρο 28, παράγραφος 3, της οδηγίας 95/46, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών, αποτελούν τα απαραίτητα μέσα για την εκτέλεση των καθηκόντων τους, όπως υπογραμμίζεται στην αιτιολογική σκέψη 63 της οδηγίας αυτής. Έτσι, οι εν λόγω αρχές διαθέτουν, συγκεκριμένα, εξουσία διεξαγωγής έρευνας, όπως το δικαίωμα να συλλέγουν κάθε αναγκαία πληροφορία για την εκπλήρωση της αποστολής ελέγχου, αποτελεσματικές εξουσίες παρεμβάσεως, όπως να απαγορεύουν προσωρινά ή οριστικά την επεξεργασία των δεδομένων, ή ακόμα και να παρίστανται ενώπιον δικαστηρίου.

Όσον αφορά την εξουσία ελέγχου της διαβιβάσεως δεδομένων προσωπικού χαρακτήρα προς τις τρίτες χώρες, από το άρθρο 28, παράγραφοι 1 και 6, της οδηγίας 95/46 προκύπτει, βέβαια, ότι οι εξουσίες των εθνικών αρχών ελέγχου αφορούν την επεξεργασία δεδομένων προσωπικού χαρακτήρα που πραγματοποιείται στο έδαφος του οικείου κράτους μέλους, με αποτέλεσμα να μη διαθέτουν εξουσίες βάσει του άρθρου 28, όσον αφορά επεξεργασία των δεδομένων η οποία πραγματοποιείται στο έδαφος τρίτης χώρας. Η διαβίβαση, όμως, δεδομένων προσωπικού χαρακτήρα από κράτος μέλος προς τρίτη χώρα αποτελεί, αφεαυτής, επεξεργασία δεδομένων προσωπικού χαρακτήρα, υπό την έννοια του άρθρου 2, στοιχείο βʹ, της οδηγίας 95/46 η οποία πραγματοποιείται στο έδαφος κράτους μέλους. Κατά συνέπεια, δεδομένου ότι οι εθνικές αρχές ελέγχου, κατά το άρθρο 8, παράγραφος 3, του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης και το άρθρο 28 της οδηγίας 95/46, έχουν επιφορτιστεί με τον έλεγχο της τηρήσεως των κανόνων της Ένωσης σχετικά με την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, κάθε εθνική αρχή είναι αρμόδια να ελέγξει αν η διαβίβαση δεδομένων προσωπικού χαρακτήρα από το οικείο κράτος μέλος προς τρίτη χώρα πληροί τους όρους που τίθενται από την οδηγία αυτή.

(βλ. σκέψεις 43-45, 47)

4.        Η Επιτροπή μπορεί να εκδώσει βάσει του άρθρου 25, παράγραφος 6, της οδηγίας 95/46, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών, απόφαση με την οποία διαπιστώνει ότι τρίτη χώρα εξασφαλίζει ικανοποιητικό επίπεδο προστασίας. Η απόφαση αυτή, κατά το δεύτερο εδάφιο της ίδιας διατάξεως, απευθύνεται στα κράτη μέλη, τα οποία λαμβάνουν τα αναγκαία μέτρα προκειμένου να συμμορφωθούν με αυτή. Κατά το άρθρο 288, τέταρτο εδάφιο, ΣΛΕΕ, η απόφαση είναι δεσμευτική για όλα τα κράτη μέλη στα οποία απευθύνεται και δεσμεύει, επομένως, όλα τα όργανά τους, κατά τρόπον ώστε να επιτρέπεται η διαβίβαση δεδομένων προσωπικού χαρακτήρα από τα κράτη μέλη προς την τρίτη χώρα στην οποία αναφέρεται η απόφαση.

Έτσι, όσο η απόφαση της Επιτροπής δεν έχει κριθεί ανίσχυρη από το Δικαστήριο, μόνο αρμόδιο για τη διαπίστωση της ακυρότητας πράξεως της Ένωσης, τα κράτη μέλη και τα όργανά τους, στα οποία περιλαμβάνονται οι ανεξάρτητες αρχές ελέγχου, δεν μπορούν, βέβαια, να θεσπίσουν μέτρα αντίθετα προς την απόφαση αυτή της Επιτροπής, όπως πράξεις που διαπιστώνουν δεσμευτικά ότι η τρίτη χώρα την οποία αφορά η απόφαση δεν εξασφαλίζει ικανοποιητικό επίπεδο προστασίας. Συγκεκριμένα, υπέρ των πράξεων των οργάνων της Ένωσης υφίσταται, κατ’ αρχήν, τεκμήριο νομιμότητας, οι πράξεις δε αυτές παράγουν έννομα αποτελέσματα, εφόσον δεν έχουν ανακληθεί, ακυρωθεί κατόπιν προσφυγής ακυρώσεως ή κριθεί ανίσχυρες κατόπιν προδικαστικής παραπομπής ή κατόπιν ενστάσεως ελλείψεως νομιμότητας.

Τα εθνικά δικαστήρια μπορούν, βεβαίως, να εξετάσουν το κύρος πράξεως της Ένωσης, όμως δεν είναι αρμόδια να διαπιστώνουν την ακυρότητα της πράξεως αυτής. A fortiori, κατά την εξέταση αιτήσεως, υπό την έννοια του άρθρου 28, παράγραφος 4, της εν λόγω οδηγίας, σχετικά με τη συμφωνία μιας τέτοιας αποφάσεως της Επιτροπής, με την προστασία της ιδιωτικής ζωής και των θεμελιωδών δικαιωμάτων και ελευθεριών των προσώπων, οι εθνικές αρχές ελέγχου δεν δικαιούνται να προβούν οι ίδιες στη διαπίστωση της ακυρότητας της εν λόγω αποφάσεως.

Σε περίπτωση που η εν λόγω αρχή καταλήξει στο συμπέρασμα ότι είναι αβάσιμα τα στοιχεία που προβλήθηκαν προς στήριξη της αιτήσεως και απορρίψει για τον λόγο αυτό την αίτηση, τότε το πρόσωπο που την υπέβαλε πρέπει, όπως προκύπτει από το άρθρο 28, παράγραφος 3, δεύτερο εδάφιο, της οδηγίας 95/46, υπό το πρίσμα του άρθρου 47 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, να έχει τη δυνατότητα να προσβάλει την απόφαση αυτή προσφεύγοντας ενώπιον των εθνικών δικαστικών αρχών. Υπό τις συνθήκες αυτές, το εθνικό δικαστήριο οφείλει να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο προδικαστικό ερώτημα περί εκτιμήσεως του κύρους, όταν κρίνει ότι είναι βάσιμος ένας ή περισσότεροι λόγοι ακυρότητας που προβλήθηκαν από τα μέρη ή και ενδεχομένως εξετάστηκαν αυτεπαγγέλτως.

Στην αντίθετη περίπτωση, κατά την οποία η εν λόγω αρχή κρίνει βάσιμες τις αιτιάσεις που προέβαλε το πρόσωπο που υπέβαλε ενώπιόν της αίτηση σχετικά με την προστασία των δικαιωμάτων και των ελευθεριών του έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που το αφορούν, η εν λόγω αρχή, σύμφωνα με το άρθρο 28, παράγραφος 3, πρώτο εδάφιο, τρίτη περίπτωση, της οδηγίας 95/46 υπό το πρίσμα του άρθρου 8, παράγραφος 3, του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, πρέπει να έχει τη δυνατότητα να προσφύγει σε δικαστήριο. Ως προς το ζήτημα αυτό απόκειται στον εθνικό νομοθέτη να προβλέψει μέσα παροχής ενδίκου προστασίας παρέχοντα τη δυνατότητα στην οικεία εθνική αρχή ελέγχου να προβάλει τις αιτιάσεις που κρίνει βάσιμες ενώπιον των εθνικών δικαστηρίων, ώστε αυτά, αν συμφωνούν ότι υπάρχουν αμφιβολίες ως προς το κύρος της αποφάσεως της Επιτροπής, να υποβάλουν προδικαστικό ερώτημα προς έλεγχο του κύρους της συγκεκριμένης αποφάσεως.

(βλ. σκέψεις 51, 52, 61, 62, 64, 65)

5.        Το άρθρο 25, παράγραφος 6, της οδηγίας 95/46, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων, υπό το πρίσμα των άρθρων 7, 8 και 47 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, έχει την έννοια ότι απόφαση που εκδίδεται βάσει της διατάξεως αυτής, με την οποία η Επιτροπή αποφαίνεται ότι τρίτη χώρα εξασφαλίζει ικανοποιητικό επίπεδο προστασίας, δεν εμποδίζει την αρχή ελέγχου κράτους μέλους, υπό την έννοια του άρθρου 28 της οδηγίας αυτής, να εξετάσει αίτηση προσώπου σχετικά με την προστασία των δικαιωμάτων και των ελευθεριών του έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που το αφορούν, τα οποία έχουν διαβιβαστεί από κράτος μέλος προς την εν λόγω τρίτη χώρα, όταν το πρόσωπο αυτό υποστηρίζει ότι η νομοθεσία και η πρακτική στην χώρα αυτή δεν εξασφαλίζουν ικανοποιητικό επίπεδο προστασίας.

Σε διαφορετική περίπτωση, τα πρόσωπα των οποίων τα δεδομένα προσωπικού χαρακτήρα διαβιβάστηκαν ή θα μπορούσαν να διαβιβαστούν προς τη σχετική τρίτη χώρα θα έχαναν το δικαίωμα να υποβάλουν στις εθνικές αρχές ελέγχου αίτηση για την προστασία των θεμελιωδών τους δικαιωμάτων, δικαίωμα το οποίο κατοχυρώνεται με το άρθρο 8, παράγραφοι 1 και 3, του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης.

Εξάλλου, όταν ένα τέτοιο πρόσωπο υποβάλλει αίτηση, υπό την έννοια του άρθρου 28, παράγραφος 4, της οδηγίας 95/46, με την οποία υποστηρίζει ότι η νομοθεσία και η πρακτική στη χώρα αυτή, παρά τη διαφορετική διαπίστωση της Επιτροπής σε απόφαση την οποία έχει εκδώσει βάσει του άρθρου 25, παράγραφος 6, της οδηγίας αυτής, δεν παρέχουν ικανοποιητικό επίπεδο προστασίας, τότε πρέπει να θεωρηθεί ότι η εν λόγω αίτηση αφορά, κατ’ ουσίαν, το συμβατό της αποφάσεως αυτής με την προστασία της ιδιωτικής ζωής και των θεμελιωδών δικαιωμάτων και ελευθεριών των προσώπων. Υπό τις συνθήκες αυτές, όταν πρόσωπο του οποίου τα δεδομένα προσωπικού χαρακτήρα διαβιβάστηκαν ή θα μπορούσαν να διαβιβαστούν προς τρίτη χώρα για την οποία έχει εκδοθεί απόφαση της Επιτροπής βάσει του άρθρου 25, παράγραφος 6, της οδηγίας 95/46 υποβάλλει σε εθνική αρχή ελέγχου μια τέτοια αίτηση, τότε η εθνική αρχή οφείλει να εξετάζει την ανωτέρω αίτηση με τη δέουσα επιμέλεια.

(βλ. σκέψεις 58, 59, 63, 66 και διατακτ. 1)

6.        Η έκφραση «ικανοποιητικό επίπεδο προστασίας», στο άρθρο 25, παράγραφος 6, της οδηγίας 95/46, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων, πρέπει να ερμηνευθεί υπό την έννοια ότι απαιτεί η τρίτη αυτή χώρα να διασφαλίζει, λόγω της εσωτερικής της νομοθεσίας ή των διεθνών δεσμεύσεων που έχει αναλάβει, επίπεδο προστασίας των θεμελιωδών δικαιωμάτων και ελευθεριών ουσιαστικά ισοδύναμο με αυτό που εξασφαλίζεται εντός της Ένωσης βάσει της εν λόγω οδηγίας υπό το πρίσμα του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης.

Υπό τις συνθήκες αυτές, η Επιτροπή, όταν εξετάζει το επίπεδο προστασίας που παρέχει η τρίτη χώρα, οφείλει να λαμβάνει υπόψη το περιεχόμενο των κανόνων που εφαρμόζονται στη χώρα αυτή βάσει της εσωτερικής νομοθεσίας ή των διεθνών δεσμεύσεων που έχει αναλάβει η συγκεκριμένη χώρα, καθώς και την πρακτική σχετικά με την εξασφάλιση της τηρήσεως των κανόνων αυτών, δεδομένου ότι οφείλει, σύμφωνα με το άρθρο 25, παράγραφος 2, της οδηγίας 95/46, να λάβει υπόψη όλες τις περιστάσεις που σχετίζονται με τη διαβίβαση δεδομένων προσωπικού χαρακτήρα προς την τρίτη χώρα. Ομοίως, όσον αφορά το γεγονός ότι το επίπεδο προστασίας που εξασφαλίζει η τρίτη χώρα ενδέχεται να μεταβληθεί, στην Επιτροπή απόκειται, μετά την έκδοση αποφάσεως βάσει του άρθρου 25, παράγραφος 6, της οδηγίας 95/46, να ελέγχει ανά τακτά χρονικά διαστήματα αν η διαπίστωση σχετικά με το ικανοποιητικό επίπεδο προστασίας που εξασφαλίζει η τρίτη αυτή χώρα παραμένει δικαιολογημένη από πραγματικής και νομικής απόψεως. Η επαλήθευση αυτή είναι, σε κάθε περίπτωση, επιβεβλημένη όταν υφίστανται ενδείξεις που προκαλούν αμφιβολίες ως προς ζήτημα αυτό.

Λαμβανομένων υπόψη, αφενός, της σημασίας που έχει η προστασία των δεδομένων προσωπικού χαρακτήρα υπό το πρίσμα του θεμελιώδους δικαιώματος του σεβασμού της ιδιωτικής ζωής και, αφετέρου, του μεγάλου αριθμού προσώπων των οποίων τα θεμελιώδη δικαιώματα ενδέχεται να προσβληθούν σε περίπτωση διαβιβάσεως δεδομένων προσωπικού χαρακτήρα προς τρίτη χώρα η οποία δεν εξασφαλίζει ικανοποιητικό επίπεδο προστασίας, η εξουσία εκτιμήσεως της Επιτροπής ως προς την επάρκεια του επιπέδου αυτού είναι περιορισμένη, οπότε επιβάλλεται η διενέργεια ενός αυστηρού ελέγχου των απαιτήσεων που απορρέουν από το άρθρο 25 της οδηγίας 95/46 υπό το φως του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης.

(βλ. σκέψεις 73, 75, 76, 78)

7.        Η έκδοση αποφάσεως της Επιτροπής βάσει του άρθρου 25, παράγραφος 6, της οδηγίας 95/46, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων, όπως η απόφαση 2000/520, σχετικά με την επάρκεια της προστασίας που παρέχεται από τις αρχές ασφαλούς λιμένα για την προστασία της ιδιωτικής ζωής και τις συναφείς συχνές ερωτήσεις που εκδίδονται από το Υπουργείο Εμπορίου των Ηνωμένων Πολιτειών της Αμερικής, απαιτεί να διαπιστωθεί, επαρκώς αιτιολογημένα, από την Επιτροπή ότι η οικεία τρίτη χώρα εξασφαλίζει αποτελεσματικά, με την εσωτερική της νομοθεσία ή με τις διεθνείς δεσμεύσεις που έχει αναλάβει, επίπεδο προστασίας των θεμελιωδών δικαιωμάτων ουσιαστικά ισοδύναμο με αυτό που εξασφαλίζεται από την έννομη τάξη της Ένωσης.

Στο μέτρο, όμως, που η Επιτροπή, στην απόφαση 2000/520, δεν αναφέρθηκε στα ανωτέρω, το άρθρο 1 της αποφάσεως αυτής δεν σέβεται τις απαιτήσεις του άρθρου 25, παράγραφος 6, της οδηγίας 95/46 υπό το πρίσμα του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης και είναι, ως εκ τούτου, άκυρο. Συγκεκριμένα, οι αρχές ασφαλούς λιμένα εφαρμόζονται αποκλειστικά από τους αμερικανικούς οργανισμούς που έχουν αυτοπιστοποιηθεί και οι οποίοι λαμβάνουν δεδομένα προσωπικού χαρακτήρα από την Ένωση, χωρίς να επιβάλλεται στις αμερικανικές δημόσιες αρχές η υποχρέωση σεβασμού των εν λόγω αρχών. Επιπλέον, η απόφαση 2000/520 καθιστά πιθανές ενέργειες θίγουσες τα θεμελιώδη δικαιώματα των προσώπων των οποίων τα δεδομένα προσωπικού χαρακτήρα έχουν διαβιβαστεί ή θα μπορούσαν να διαβιβαστούν από την Ένωση στις Ηνωμένες Πολιτείες, στηριζόμενες στις απαιτήσεις εθνικής ασφάλειας, δημοσίου συμφέροντος ή εφαρμογής της νομοθεσίας των Ηνωμένων Πολιτειών, χωρίς να περιλαμβάνει καμία διαπίστωση σχετικά με την ύπαρξη στις Ηνωμένες Πολιτείες κρατικών κανόνων για τον περιορισμό τυχόν επεμβάσεων στα δικαιώματα αυτά και χωρίς να αναφέρεται στην ύπαρξη αποτελεσματικής δικαστικής προστασίας κατά τέτοιων επεμβάσεων.

Επίσης, η Επιτροπή υπερέβη τις αρμοδιότητες που της απένειμε το άρθρο 25, παράγραφος 6, της οδηγίας 95/46 υπό το πρίσμα του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης θεσπίζοντας το άρθρο 3 της αποφάσεως 2000/520, και ως εκ τούτου το άρθρο αυτό είναι ανίσχυρο. Ειδικότερα, το άρθρο αυτό πρέπει να ερμηνευθεί υπό την έννοια ότι στερεί από τις εθνικές αρχές ελέγχου τις εξουσίες που αντλούν από το άρθρο 28 της οδηγίας 95/46, σε περίπτωση που κάποιο πρόσωπο προβάλλει, στο πλαίσιο υποβολής αιτήσεως δυνάμει της εν λόγω διατάξεως, στοιχεία δυνάμενα να κλονίσουν τη συμβατότητα με την προστασία της ιδιωτικής ζωής και των θεμελιωδών δικαιωμάτων και ελευθεριών των προσώπων αποφάσεως με την οποία η Επιτροπή έχει διαπιστώσει, βάσει του άρθρου 25, παράγραφος 6, της οδηγίας αυτής, ότι τρίτη χώρα εξασφαλίζει ικανοποιητικό επίπεδο προστασίας. Η εκτελεστική αρμοδιότητα που απονέμει ο νομοθέτης της Ένωσης στην Επιτροπή στο άρθρο 25, παράγραφος 6, της οδηγίας 95/46 δεν της απονέμει, όμως, την εξουσία να περιορίσει τις ανωτέρω αρμοδιότητες των εθνικών αρχών ελέγχου.

Δεδομένου ότι τα άρθρα 1 και 3 της αποφάσεως 2000/520 συνδέονται άρρηκτα με τα άρθρα 2 και 4 καθώς και τα παραρτήματα αυτής, το ανίσχυρο των άρθρων 1 και 3 επηρεάζει το κύρος της αποφάσεως αυτής στο σύνολό της.

(βλ. σκέψεις 82, 87-89, 96-98, 102-105 και διατακτ. 2)

8.        Ρύθμιση της Ένωσης που συνεπάγεται επέμβαση στα θεμελιώδη δικαιώματα που προστατεύονται από τα άρθρα 7 και 8 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης πρέπει να προβλέπει σαφείς και ακριβείς κανόνες που να διέπουν την έκταση και την εφαρμογή του οικείου μέτρου και να επιβάλλουν έναν ελάχιστο αριθμό απαιτήσεων ούτως ώστε τα ενδιαφερόμενα πρόσωπα να έχουν επαρκείς εγγυήσεις ότι προστατεύονται αποτελεσματικά τα δεδομένα τους από κινδύνους καταχρήσεως, καθώς και από οποιασδήποτε αθέμιτη πρόσβαση και οποιασδήποτε αθέμιτη χρήση των δεδομένων αυτών. Η ανάγκη να παρέχονται τέτοιες εγγυήσεις είναι κατά μείζονα λόγο σημαντική, όταν τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε αυτόματη επεξεργασία και υπάρχει σημαντικός κίνδυνος παράνομης προσβάσεως σε αυτά. Εξάλλου και ιδίως, η προστασία του θεμελιώδους δικαιώματος του σεβασμού της ιδιωτικής ζωής στο επίπεδο της Ένωσης επιτάσσει οι παρεκκλίσεις από την προστασία των δεδομένων προσωπικού χαρακτήρα και οι περιορισμοί της να μην υπερβαίνουν τα όρια του απολύτως αναγκαίου.

Έτσι, δεν περιορίζεται στα όρια του απολύτως αναγκαίου μια ρύθμιση που επιτρέπει κατά γενικευμένο τρόπο τη διατήρηση του συνόλου των δεδομένων προσωπικού χαρακτήρα όλων των προσώπων των οποίων τα δεδομένα διαβιβάστηκαν από την Ένωση, χωρίς καμία διαφοροποίηση, περιορισμό ή εξαίρεση σε σχέση με τον επιδιωκόμενο σκοπό και χωρίς να προβλέπεται αντικειμενικό κριτήριο που θα μπορούσε να οριοθετήσει την πρόσβαση των δημόσιων αρχών στα δεδομένα και τη μεταγενέστερη χρήση τους για συγκεκριμένους σκοπούς, αυστηρά περιορισμένους, που μπορούν να δικαιολογήσουν την προσβολή που συνεπάγεται τόσο η πρόσβαση όσο και η χρήση των δεδομένων αυτών.

Ειδικότερα, ρύθμιση που επιτρέπει στις δημόσιες αρχές την πρόσβαση κατά γενικευμένο τρόπο στο περιεχόμενο των ηλεκτρονικών επικοινωνιών πρέπει να θεωρηθεί ότι προσβάλλει το ουσιαστικό περιεχόμενο του θεμελιώδους δικαιώματος του σεβασμού της ιδιωτικής ζωής, όπως αυτό κατοχυρώνεται από το άρθρο 7 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης.

Ομοίως, ρύθμιση που δεν προβλέπει ένδικα βοηθήματα προκειμένου ο ενδιαφερόμενος να έχει πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που τον αφορούν ή να επιτύχει την τροποποίηση ή την κατάργηση τέτοιων δεδομένων δεν σέβεται το ουσιαστικό περιεχόμενο του θεμελιώδους δικαιώματος αποτελεσματικής δικαστικής προστασίας, όπως αυτό κατοχυρώνεται στο άρθρο 47 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης. Συγκεκριμένα, το πρώτο εδάφιο του άρθρου αυτού ορίζει ότι, σε περιπτώσεις προσβολής των δικαιωμάτων και των ελευθεριών που διασφαλίζονται από το δίκαιο της Ένωσης, ο ενδιαφερόμενος πρέπει να έχει, στην πράξη, τη δυνατότητα να προσφύγει στη δικαιοσύνη σύμφωνα με τις προϋποθέσεις που προβλέπει το συγκεκριμένο άρθρο. Η ύπαρξη αποτελεσματικού δικαστικού ελέγχου για την προστασία της τηρήσεως των διατάξεων της Ένωσης είναι αναπόσπαστα συνδεδεμένη με την ύπαρξη κράτους δικαίου.

(βλ. σκέψεις 91-95)