Language of document :

Anmodning om præjudiciel afgørelse indgivet af High Court (Irland) den 9. maj 2018 – Data Protection Commissioner mod Facebook Ireland Limited og Maximillian Schrems

(Sag C-311/18)

Processprog: engelsk

Den forelæggende ret

High Court (Irland)

Parter i hovedsagen

Sagsøger: Data Protection Commissioner

Sagsøgte: Facebook Ireland Limited og Maximillian Schrems

Præjudicielle spørgsmål

Under omstændigheder, hvor et privat selskab videregiver personoplysninger fra en medlemsstat i Den Europæiske Union (EU) til et privat selskab i et tredjeland med et forretningsmæssigt formål i medfør af afgørelse 2010/87/EU 1 , som ændret ved Kommissionens afgørelse 2016/2297 2 (herefter »SKB-afgørelsen«), og hvor personoplysningerne kan undergå yderligere behandling i dette tredjeland af myndighederne af hensyn til den nationale sikkerhed, men også med henblik på retshåndhævelse og tredjelandets håndtering af udenrigsanliggender, finder EU-retten (herunder Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«)) da anvendelse på videregivelsen af oplysninger uanset bestemmelserne i artikel 4, stk. 2, TEU om national sikkerhed og bestemmelserne i artikel 3, stk. 2, første led, i direktiv 95/46/EF 3 (herefter »direktivet«) om offentlig sikkerhed, forsvar og statens sikkerhed?

1) Ved afgørelsen af, om der er tale om krænkelse af en privatpersons rettigheder ved videregivelsen af oplysninger fra EU til et tredjeland i henhold til SKB-afgørelsen, hvor oplysningerne kan undergå yderligere behandling af hensyn til den nationale sikkerhed, er det relevante sammenligningsgrundlag med henblik på direktivet da:

a)    chartret, TEU, TEUF, direktivet, EMRK (eller andre EU-retlige bestemmelser) eller

b)    en eller flere medlemsstaters nationale ret?

2) Hvis det relevante sammenligningsgrundlag er b), skal praksis i sammenhæng med den nationale sikkerhed i en eller flere medlemsstater da også medtages i sammenligningsgrundlaget?

Ved bedømmelsen af, om et tredjeland sikrer det i EU-retten krævede beskyttelsesniveau for personoplysninger, der videregives til det pågældende land som omhandlet i direktivets artikel 26, bør beskyttelsesniveauet i tredjelandet da bedømmes under henvisning til:

a)    de gældende regler i tredjelandet, der følger af dettes nationale ret eller internationale forpligtelser, og praksis, der skal sikre overholdelsen af disse regler, herunder faglige regler og sikkerhedsforanstaltninger, som overholdes i tredjelandet,

eller

b)    de regler, der er henvist til under a), sammen med administrativ praksis, regulerings- og overholdelsespraksis samt de politiske garantier, procedurer, protokoller, tilsynsmekanismer og udenretslige midler, der findes i tredjelandet?

Henset til de kendsgerninger, som High Court fastslog vedrørende amerikansk ret, krænker det da privatpersoners rettigheder i henhold til chartrets artikel 7 og/eller 8, hvis personoplysninger videregives fra EU til USA i henhold til SKB-afgørelsen?

Henset til de kendsgerninger, som High Court fastslog vedrørende amerikansk ret, hvis personoplysninger overføres fra EU til USA i henhold til SKB-afgørelsen:

a)    overholder beskyttelsesniveauet i USA da kerneindholdet af en privatpersons ret til et retsmiddel i tilfælde af krænkelse af hans eller hendes rettigheder vedrørende personoplysninger, der garanteres ved chartrets artikel 47?

Hvis svaret på a) er bekræftende,

b)    er de begrænsninger, som amerikansk ret pålægger en privatpersons adgang til et retsmiddel i sammenhæng med USA’s nationale sikkerhed, da forholdsmæssige i den i chartrets artikel 52 omhandlede betydning og går ikke videre end det, der er nødvendigt i et demokratisk samfund af hensyn til den nationale sikkerhed?

1) Hvilket beskyttelsesniveau kræves der for personoplysninger, som videregives til et tredjeland i medfør af standardkontraktbestemmelser vedtaget i overensstemmelse med Kommissionens afgørelse i henhold til artikel 26, stk. 4, i lyset af direktivets bestemmelser, navnlig artikel 25 og 26 forstået i lyset af chartret?

2) Hvilke forhold skal tages i betragtning ved bedømmelsen af, om beskyttelsesniveauet for oplysninger, der videregives til et tredjeland i henhold til SKB-afgørelsen, opfylder kravene i direktivet og chartret?

Er det forhold, at standardkontraktbestemmelser finder anvendelse mellem dataeksportøren og dataimportøren og ikke er bindende for et tredjelands nationale myndigheder, som kan pålægge dataimportøren at stille personoplysninger til rådighed for landets sikkerhedstjenester med henblik på yderligere behandling, i medfør af bestemmelser, der er fastsat i SKB-afgørelsen, til hinder for, at bestemmelserne yder tilstrækkelige garantier som forudsat i direktivets artikel 26, stk. 2?

Hvis en dataimportør i et tredjeland er underlagt overvågningslovgivning, som efter databeskyttelsesmyndighedens opfattelse er i strid med bestemmelserne i bilaget til SKB-afgørelsen, direktivets artikel 25 og 26 og/eller chartret, skal databeskyttelsesmyndigheden da anvende sine håndhævelsesbeføjelser i henhold til direktivets artikel 28, stk. 3, til at suspendere datastrømme, eller er udøvelsen af disse beføjelser begrænset til undtagelsestilfælde i lyset af 11. betragtning til direktivet [11. betragtning til Kommissionens afgørelse 2010/87/EU], eller kan en databeskyttelsesmyndighed anvende sin skønsbeføjelse til at undlade at suspendere datastrømme?

1) Med henblik på anvendelsen af direktivets artikel 25, stk. 6, udgør afgørelse (EU) 2016/1250 4 (»afgørelsen om værnet om privatlivets fred«) da en konstatering, der finder generel anvendelse, og som er bindende for databeskyttelsesmyndigheder og medlemsstaternes retsinstanser, således at USA sikrer et tilstrækkeligt beskyttelsesniveau i den i direktivets artikel 25, stk. 2, omhandlede forstand gennem landets nationale ret eller de internationale forpligtelser, det har påtaget sig?

2) Hvis den ikke gør det, hvilken betydning, om nogen, har afgørelsen om værnet af privatlivets fred da ved den foretagne bedømmelse af, om de garantier, der gives for oplysninger, som er videregivet til USA i medfør af SKB-afgørelsen, er tilstrækkelige?

Henset til High Courts konstateringer vedrørende amerikansk ret sikrer oprettelsen af ombudsmanden under værnet om privatlivets fred i henhold til bilag A til bilag III til afgørelsen om værnet om privatlivets fred, sammenholdt med den eksisterende ordning i USA, da, at USA stiller et med chartrets artikel 47 foreneligt retsmiddel til rådighed for de registrerede personer, hvis personoplysninger videregives til USA i henhold til SKB-afgørelsen?

Overtræder SBK-afgørelsen chartrets artikel 7, 8 og/eller 47?

____________

1     Kommissionens afgørelse 2010/87 af 5.2.2010 om standardkontraktbestemmelser for videregivelse af personoplysninger til registerførere etableret i tredjelande i henhold til Europa-Parlamentets og Rådets direktiv 95/46/EF (EUT 2010, L 39, s. 5).

2     Kommissionens gennemførelsesafgørelse (EU) 2016/2297 af 16.12.2016 om ændring af beslutning 2001/497/EF og afgørelse 2010/87/EU om standardkontraktbestemmelser for videregivelse af personoplysninger til tredjelande og registerførere etableret i tredjelande i henhold til Europa-Parlamentets og Rådets direktiv 95/46/EF (EUT 2016, L 344, s. 100).

3     Europa-Parlamentet og Rådets direktiv 95/46/EF af 24.10.1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT 1995, L 281, s. 31).

4     Kommissionens gennemførelsesafgørelse (EU) 2016/1250 af 12.7.2016 i henhold til Europa-Parlamentets og Rådets direktiv 95/46/EF om tilstrækkeligheden af den beskyttelse, der opnås ved hjælp af EU’s og USA’s værn om privatlivets fred (EUT 2016, L 207, s. 1).