Language of document :

Ennakkoratkaisupyyntö, jonka High Court (Irlanti) on esittänyt 9.5.2018 – Data Protection Commissioner v. Facebook Ireland Limited ja Maximillian Schrems

(Asia C-311/18)

Oikeudenkäyntikieli: englanti

Ennakkoratkaisua pyytänyt tuomioistuin

High Court

Pääasian asianosaiset

Kantaja: Data Protection Commissioner

Vastaaja: Facebook Ireland Limited ja Maximillian Schrems

Ennakkoratkaisukysymykset

Olosuhteissa, joissa yksityinen yritys siirtää henkilötietoja Euroopan unionin (EU) jäsenvaltiosta yksityiselle yritykselle kolmanteen maahan kaupallisessa tarkoituksessa päätöksen 2010/87/EU1 nojalla, sellaisena kuin se on muutettuna komission päätöksellä 2016/22972 (jäljempänä mallisopimuslausekkeita koskeva päätös), ja näitä tietoja voivat edelleen käsitellä kolmannessa maassa sen viranomaiset kansallista turvallisuutta varten mutta myös lainvalvontaa ja kolmannen maan ulkosuhteiden hoitamista varten, sovelletaanko unionin oikeutta (mukaan lukien Euroopan unionin peruskirja (jäljempänä perusoikeuskirja)) tietojensiirtoon huolimatta SEU 4 artiklan 2 kohdan kansallista turvallisuutta koskevista määräyksistä ja direktiivin 95/46/EY3 (jäljempänä direktiivi) 3 artiklan 2 kohdan ensimmäisen luetelmakohdan yleistä turvallisuutta, puolustusta ja valtion turvallisuutta koskevista säännöksistä?

(1) Määritettäessä, onko kyseessä henkilön oikeuksien loukkaus, kun tietoja siirretään mallisopimuslausekkeita koskevan päätöksen nojalla unionista kolmanteen maahan, jossa niitä voidaan edelleen käsitellä kansallista turvallisuutta varten, onko vertailuperusteena direktiivin mukaisesti

(a)     perusoikeuskirja, SEU, SEUT, direktiivi, Euroopan ihmisoikeussopimus (tai jokin muu unionin oikeussääntö) vai

(b)     yhden tai useamman jäsenvaltion lainsäädäntö?

(2)     Jos vertailuperuste on (b), onko kansalliseen turvallisuuteen liittyvät käytännöt yhdessä tai useammassa jäsenvaltiossa myös sisällytettävä vertailuperusteeseen?

Arvioitaessa, takaako kolmas maa sinne lähetetyille henkilötiedoille unionin lainsäädännössä edellytetyn suojan tason direktiivin 26 artiklan mukaisesti, onko suojan tasoa kolmannessa maassa arvioitava käyttäen perusteena

(a)     kolmannessa maassa sovellettavia sääntöjä, jotka seuraavat sen omasta lainsäädännöstä tai kansainvälisistä sitoumuksista, ja näiden sääntöjen noudattamisen varmistamiseksi laadittua käytäntöä, mukaan lukien ammatilliset säännöt ja turvatoimenpiteet, joita noudatetaan kolmannessa maassa

vai

(b)     edellä a kohdassa mainittuja sääntöjä yhdessä sellaisten hallinnollisten käytäntöjen, sääntelykäytäntöjen ja valvontakäytäntöjen, toimintaperiaatteisiin liittyvien suojakeinojen, menettelyiden, protokollien, seurantajärjestelmien ja tuomioistuimen ulkopuolisten oikeussuojakeinojen kanssa, jotka kolmannessa maassa ovat käytössä?

Kun otetaan huomioon High Courtin Yhdysvaltojen lainsäädännöstä tekemät tosiseikkoja koskevat toteamukset (High Courtin tuomio 3.10.2017, 152–263 kohta; http://www.courts.ie/Judgments.nsf/768d83be24938e1180256ef30048ca51/8131a5dde8baf9ff802581b70035c4ff?OpenDocument), loukkaako henkilötietojen siirto unionista Yhdysvaltoihin mallisopimuslausekkeita koskevan päätöksen nojalla perusoikeuskirjan 7 ja/tai 8 artiklassa tarkoitettuja yksilöiden oikeuksia?

Kun otetaan huomioon High Courtin Yhdysvalojen lainsäädännöstä tekemät tosiseikkoja koskevat toteamukset siirrettäessä henkilötietoja unionista Yhdysvaltoihin mallisopimuslausekkeita koskevan päätöksen nojalla,

(a)     kunnioittaako Yhdysvaltojen tarjoama suojan taso yksilölle perusoikeuskirjan 47 artiklassa taatun oikeussuojakeinoa koskevan oikeuden keskeistä sisältöä siinä tapauksessa, että yksilön tietosuojaoikeuksia loukataan?

Jos edellä (a) kohtaan vastataan myöntävästi,

(b)     ovatko rajoitukset, joita Yhdysvaltain lainsäädännössä asetetaan yksilön oikeussuojakeinoa koskevalle oikeudelle Yhdysvaltain kansallisen turvallisuuden yhteydessä suhteellisuusperiaatteen mukaisia perusoikeuskirjan 52 artiklassa tarkoitetulla tavalla ja sellaisia, että ne eivät mene yli sen, mikä on tarpeen demokraattisessa yhteiskunnassa kansallisen turvallisuuden perusteella? 

(1) Minkä tasoista suojaa edellytetään annettavan henkilötiedoille, jotka on siirretty kolmanteen maahan mallisopimuslausekkeiden mukaisesti, jotka on annettu 26 artiklan 4 kohdan nojalla annetun komission päätöksen mukaisesti, direktiivin säännösten valossa ja erityisesti 25 ja 26 artiklan valossa, kun ne luetaan perusoikeuskirjan valossa?

(2)     Mitä seikkoja on otettava huomioon arvioitaessa, täyttääkö mallisopimuslausekkeita koskevan päätöksen nojalla kolmanteen maahan siirretyille tiedoille annettu suojan taso direktiivissä ja perusoikeuskirjassa asetetut vaatimukset?

Onko se, että mallisopimuslausekkeita sovelletaan tietojen viejän ja tietojen tuojan välillä ja ne eivät sido kansallisia viranomaisia kolmannessa maassa, joka voi pyytää tietojen tuojaa asettamaan turvallisuuspalvelujensa saataville edelleen käsittelyä varten mallisopimuslausekkeita koskevan päätöksen lausekkeiden mukaisesti siirretyt henkilötiedot, esteenä sille, että lausekkeet voisivat tarjota direktiivin 26 artiklan 2 kohdassa tarkoitetut riittävät takeet?

Jos kolmannen maan tietojen tuojaan sovelletaan tarkkailulainsäädäntöä, joka tietosuojaviranomaisen näkökulmasta on ristiriidassa mallisopimuslausekkeita koskevan päätöksen liitteessä olevien lausekkeiden ja direktiivin 25 ja 26 artiklan ja/tai perusoikeuskirjan kanssa, onko tietosuojaviranomaisen käytettävä direktiivin 28 artiklan 3 kohdan mukaisia lainvalvontavaltuuksiaan keskeyttääkseen tietojensiirrot, vai onko näiden valtuuksien käyttö rajattu vain poikkeuksellisiin tapauksiin direktiivin johdanto-osan 11 perustelukappaleen valossa, vai voiko tietosuojaviranomainen käyttää harkintavaltaansa ja olla keskeyttämättä tietojensiirtoa?

(1) Onko päätös (EU) 2016/12504 (Privacy Shield -päätös) direktiivin 25 artiklan 6 kohdassa tarkoitettu yleisesti sovellettava toteamus, joka sitoo jäsenvaltioiden tietosuojaviranomaisia ja tuomioistuimia ja jonka mukaan Yhdysvallat varmistaa direktiivin 25 artiklan 2 kohdassa tarkoitetun riittävän suojan tason kansallisessa lainsäädännössään tai kansainvälisissä sitoumuksissaan?

(2)     Jos näin ei ole, mitä merkitystä Privacy Shield -päätöksellä on arvioitaessa niiden takeiden riittävyyttä, jotka mallisopimuslauseketta koskevan päätöksen mukaisesti annetaan Yhdysvaltoihin siirretyille tiedoille?

    Kun otetaan huomioon High Courtin tekemät toteamukset Yhdysvaltain lainsäädännöstä, varmistaako Privacy Shield -päätöksen liitteeseen III kuuluvaan liitteeseen A sisältyvä Privacy Shields -oikeusasiamiesjärjestelmä, kun sitä tarkastellaan yhdessä Yhdysvaltain olemassa olevan järjestelmän kanssa, että Yhdysvallat tarjoaa rekisteröidyille, joiden henkilötietoja on siirretty Yhdysvaltoihin mallisopimuslauseketta koskevan päätöksen perusteella, oikeussuojakeinon, joka on yhteensopiva perusoikeuskirjan 47 artiklan kanssa?

Loukataanko mallisopimuspäätöksellä perusoikeuskirjan 7, 8 ja/tai 47 artiklaa?

____________

1 Euroopan parlamentin ja neuvoston direktiivin 95/46/EY mukaisista mallisopimuslausekkeista henkilötietojen siirtoa varten kolmansiin maihin sijoittautuneille henkilötietojen käsittelijöille 5.2.2010 annettu komission päätös (EUVL 2010, L 39, s. 5).

2 Euroopan parlamentin ja neuvoston direktiivin 95/46/EY mukaisista, henkilötietojen siirtoa kolmansiin maihin ja tällaisten tietojen siirtoa kyseisiin maihin sijoittautuneille henkilötietojen käsittelijöille koskevista mallisopimuslausekkeista annettujen päätösten 2001/497/EY ja 2010/87/EU muuttamisesta 16.12.2016 annettu komission täytäntöönpanopäätös (EU) 2016/2297 (EUVL 2016, L 344, s. 100).

3 Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annettu Euroopan parlamentin ja neuvoston direktiivi 95/46/EY (EYVL 1995, L 281, s. 31).

4 Euroopan parlamentin ja neuvoston direktiivin 95/46/EY nojalla EU:n ja Yhdysvaltojen välisen Privacy Shield -järjestelyn tarjoaman tietosuojan tason riittävyydestä 12.7.2016 annettu komission täytäntöönpanopäätös (EU) 2016/1250 (EUVL 2016, L 207, s. 1).