Lūgums sniegt prejudiciālu nolēmumu, ko 2018. gada 9. maijā iesniedza High Court (Īrija) – Data Protection Commissioner/Facebook Ireland Limited, Maximillian Schrems

(Lieta C-311/18)

Tiesvedības valoda – angļu

Iesniedzējtiesa

High Court (Īrija)

Pamatlietas puses

Prasītājs: Data Protection Commissioner

Atbildētāji: Facebook Ireland Limited, Maximillian Schrems

Prejudiciālie jautājumi

Vai - apstākļos, kad privāts uzņēmums no Eiropas Savienības (turpmāk tekstā – “Savienība”) dalībvalsts saskaņā ar Lēmumu 2010/87/ES ¹ , kurā grozījumi izdarīti ar Komisijas Lēmumu 2016/2297 ² , (turpmāk tekstā – “LSK lēmums”) komerciāliem mērķiem pārsūta personas datus privātam uzņēmumam trešajā valstī, kurā turpmāk šīs trešās valsts iestādes var tos apstrādāt ne vien valsts drošības vajadzībām, bet arī šīs trešās valsts tiesībaizsardzības un ārlietu vajadzībām, – attiecībā uz šo datu pārsūtīšanu ir piemērojami Savienības tiesību akti (tostarp Eiropas Savienības Pamattiesību harta (turpmāk tekstā – “Harta”)), neraugoties uz LES 4. panta 2. punkta noteikumiem saistībā ar valsts drošību un Direktīvas 95/46/EK ³ (turpmāk tekstā – “Direktīva”) 3. panta 2. punkta pirmā ievilkuma noteikumiem attiecībā uz sabiedrisko drošību, aizsardzību un valsts drošību?

(1) Vai šīs direktīvas izpratnē atbilstoša mēraukla, lai noteiktu, vai ir noticis fiziskas personas tiesību pārkāpums, saskaņā ar LSK lēmumu veicot datu pārsūtīšanu no Savienības uz trešo valsti, kur tos vēlāk varētu apstrādāt valsts drošības nolūkos, ir:

Harta, LES, LESD, Direktīva, ECPAK (vai jebkura cita Savienības tiesību norma), vai

vienas vai vairāku dalībvalstu valsts tiesību normas?

(2) Vai - gadījumā, ja atbilstošā mēraukla ir b) apakšpunktā minētās tiesību normas – šajā mērauklā ir iekļaujama arī prakse, kas vienā vai vairākās dalībvalstīs tiek īstenota valsts drošības jomā?

Vai, vērtējot to, vai personas datiem, kas saskaņā ar Direktīvas 26. pantu tiek pārsūtīti uz trešo valsti, šī valsts nodrošina tādu aizsardzības līmeni, kāds tiek prasīts Savienības tiesību aktos, šajā trešajā valstī esošais aizsardzības līmenis ir jāvērtē, atsaucoties uz:

a)    trešajā valstī piemērojamajiem noteikumiem, kas izriet no tās valsts tiesībām vai starptautiskajām saistībām, un praksi, ar kuru paredzēts nodrošināt šo noteikumu ievērošanu, tostarp šajā trešajā valstī ievērotajām profesionālās ētikas normām un veiktajiem drošības pasākumiem;

vai

b)    noteikumiem, kas minēti a) apakšpunktā, kopā ar administratīvo, regulēšanas un īstenošanas praksi, kā arī aizsardzības pasākumiem, procedūrām, protokoliem, pārraudzības mehānismiem un ārpustiesas tiesību aizsardzības līdzekļiem, kas ir šajā trešajā valstī?

Vai - ņemot vērā High Court (Augstā tiesa, Īrija) konstatētos faktus par ASV tiesībām – ar fiziskas personas datu pārsūtīšanu no Savienības uz ASV saskaņā ar LSK lēmumu tiek pārkāptas Hartas 7. un/vai 8. pantā paredzētās fizisko personu tiesības?

Vai - ņemot vērā High Court konstatētos faktus par ASV tiesībām - personas datu pārsūtīšanā no Savienības uz ASV saskaņā ar LSK lēmumu:

ar ASV nodrošināto aizsardzības līmeni tiek ievērota pati būtība, kas piemīt tiesībām - kas Hartas 47. pantā ir garantētas fiziskai personai - vērsties tiesā gadījumā, ja ir pārkāptas tās tiesības uz personas datu aizsardzību?

Ja atbilde uz a) apakšpunktā esošo jautājumu ir apstiprinoša,

vai ierobežojumi, ko ASV valsts drošības kontekstā fiziskas personas tiesībām vērsties tiesā paredz ASV tiesību akti, ir samērīgi Hartas 52. panta izpratnē un nepārsniedz to, kas ir vajadzīgs demokrātiskā sabiedrībā valsts drošības nolūkos?

(1) Kāda līmeņa aizsardzība - Direktīvas tiesību normu, it īpaši tās 25. un 26. panta kontekstā, lasot tos kopsakarā ar Hartu - ir jānodrošina personas datiem, kas uz trešo valsti pārsūtīti atbilstoši līguma standartklauzulām, kas pieņemtas, pamatojoties uz Komisijas lēmumu saskaņā ar 26. panta 4. punktu?

(2) Kas ir jāņem vērā, vērtējot, vai aizsardzības līmenis, kas tiek nodrošināts datiem, kas tiek pārsūtīti uz trešo valsti saskaņā ar LSK lēmumu, atbilst Direktīvas un Hartas prasībām?

Vai tas, ka līguma standartklauzulas ir piemērojamas attiecībās starp datu nosūtītāju un datu saņēmēju un nav saistošas trešās valsts iestādēm, kuras savu drošības dienestu labā varētu pieprasīt no datu saņēmēja piekļuvi, lai turpmāk apstrādātu datus, kas pārsūtīti saskaņā ar LSK lēmumā paredzētajām klauzulām, izslēdz, ka šajās klauzulās tiek sniegtas atbilstošas garantijas, kā paredzēts Direktīvas 26. panta 2. punktā?

Vai – gadījumā, ja attiecībā uz trešajā valstī esošo datu saņēmēju ir piemērojami pretizlūkošanas tiesību akti, kas datu aizsardzības iestādes ieskatā ir pretrunā LSK lēmuma pielikuma klauzulām vai Direktīvas 25. un 26. pantam un/vai Hartai - personas datu aizsardzības iestādei ir pienākums izmantot īstenošanas pilnvaras, kas tai ir paredzētas Direktīvas 28. panta 3. punktā, lai apturētu datu plūsmu, vai arī šādu pilnvaru izmantošana ir ierobežota, to paredzot tikai ārkārtas gadījumiem, ņemot vērā Direktīvas preambulas 11. apsvērumu [Komisijas Lēmuma 2010/87/ES preambulas 11. apsvērumu], vai personas datu aizsardzības iestāde var izmantot savu rīcības brīvību neapturēt datu plūsmu?

(1) Vai - Direktīvas 25. panta 6. punkta izpratnē - Lēmums (ES) 2016/1250 ⁴ (turpmāk tekstā – “Privātuma vairoga lēmums”) ir vispārpiemērojams un dalībvalstu personas datu aizsardzības iestādēm un tiesām saistošs konstatējums, ka ASV nodrošina pienācīgu aizsardzības līmeni Direktīvas 25. panta 2. punkta izpratnē ar savu valsts tiesību vai noslēgto starptautisko saistību palīdzību?

(2) Kāda – gadījumā, ja atbildams noliedzoši - ir Privātuma vairoga lēmuma nozīme, ja tāda ir, vērtējumā par aizsardzības pasākumu līmeņa pienācīgumu, kas tiek nodrošināti personas datiem, kas tiek pārsūtīti uz Amerikas Savienotajām Valstīm saskaņā ar LSK lēmumu?

Vai - ņemot vērā High Court konstatētos faktus par ASV tiesībām - Privātuma vairoga lēmuma III pielikuma A pielikumā rodamais noteikums par Privātuma vairoga ombudu, aplūkojot to kopsakarā ar Amerikas Savienotajās Valstīs pastāvošo kārtību, nodrošina, ka datu subjektiem, kuru personas dati tiek pārsūtīti uz ASV saskaņā ar LSK lēmumu, ASV paredz tādus tiesību aizsardzības līdzekļus, kas ir saderīgi ar Hartas 47. pantu?

Vai ar LSK lēmumu tiek pārkāpts Hartas 7., 8. un/vai 47. pants?

____________

¹ 2010/87/: Komisijas Lēmums (2010. gada 5. februāris) par līguma standartklauzulām attiecībā uz personas datu pārsūtīšanu trešās valstīs reģistrētiem apstrādātājiem saskaņā ar Eiropas Parlamenta un Padomes Direktīvu 95/46/EK (OV 2010, L 39, 5. lpp.).

² Komisijas Īstenošanas lēmums (ES) 2016/2297 (2016. gada 16. decembris), ar ko groza Lēmumus 2001/497/EK un 2010/87/ES par līguma standartklauzulām attiecībā uz personas datu nosūtīšanu trešām valstīm un šādās valstīs reģistrētiem apstrādātājiem saskaņā ar Eiropas Parlamenta un Padomes Direktīvu 95/46/EK (OV 2016, L 344, 100. lpp.).

³ Eiropas Parlamenta un Padomes Direktīva 95/46/EK (1995. gada 24. oktobris) par personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (OV 1995, L 281, 31. lpp.).

⁴ Komisijas Īstenošanas lēmums (ES) 2016/1250 (2016. gada 12. jūlijs) saskaņā ar Eiropas Parlamenta un Padomes Direktīvu 95/46/EK par pienācīgu aizsardzību, ko nodrošina ES un ASV privātuma vairogs (OV 2016, L 207, 1. lpp.).