Zahtjev za prethodnu odluku koji je 9. svibnja 2018. uputio High Court (Irska) – Data Protection Commissioner protiv Facebook Ireland Limited, Maximillian Schrems
(predmet C-311/18)
Jezik postupka: engleski
Sud koji je uputio zahtjev
High Court (Ireland)
Stranke glavnog postupka
Tužitelj: Data Protection Commissioner
Tuženici: Facebook Ireland Limited, Maximillian Schrems
Prethodna pitanja
1. Kada privatno trgovačko društvo iz države članice Europske unije (EU) u komercijalne svrhe prenosi osobne podatke privatnom trgovačkom društvu u trećoj zemlji na temelju Odluke 2010/87/EU1 kako je izmijenjena Odlukom Komisije 2016/22972 (u daljnjem tekstu: Odluka SCC) te bi tijela treće zemlje te podatke mogla podvrgnuti daljnjoj obradi za potrebe nacionalne sigurnosti, ali i za potrebe izvršavanja zakonodavstva i vođenja vanjskih poslova te treće zemlje, primjenjuje li se pravo Unije (uključujući Povelju Europske unije o temeljnim pravima (u daljnjem tekstu: Povelja)) na prijenos podataka, neovisno o odredbama članka 4. stavka 2. UEU-a koje se odnose na nacionalnu sigurnost i odredbama članka 3. stavka 2. prve alineje Direktive 95/46/EZ3 (u daljnjem tekstu: Direktiva) koje se odnose na javnu sigurnost, obranu i nacionalnu sigurnost?
2. (1) Pri utvrđivanju jesu li prava pojedinca povrijeđena prijenosom podataka na temelju Odluke SCC iz Unije u treću zemlju, gdje ti podaci mogu biti podvrgnuti daljnjoj obradi za potrebe nacionalne sigurnosti, je li za potrebe Direktive relevantno mjerilo za usporedbu:
(a) Povelja, UEU, UFEU, Direktiva, EKLJP (ili bilo koja druga odredba prava Unije); ili
(b) nacionalno zakonodavstvo jedne ili više država članica?
(2) Ako je (b) relevantno mjerilo za usporedbu, trebaju li dio takvog mjerila biti i prakse koje se u kontekstu nacionalne sigurnosti primjenjuju u jednoj ili više država članica?
3. Kada se za potrebe članka 26. Direktive ocjenjuje osigurava li treća zemlja za podatke koji se prenose u tu zemlju razinu zaštite koju zahtijeva pravo Unije, treba li razinu zaštite u trećoj zemlji ocijeniti s obzirom na:
(a) primjenjiva pravila u trećoj zemlji koja proizlaze iz domaćih propisa ili međunarodnih obveza i praksu kojoj je svrha osigurati poštovanje tih pravila, uključujući strukovna pravila i sigurnosne mjere u toj trećoj zemlji;
ili
(b) pravila pod (a) i upravne, regulatorne i provedbene prakse te sustavna jamstva, postupke, protokole, nadzorne mehanizme i izvansudske pravne lijekove koji postoje u trećoj zemlji?
4. S obzirom na utvrđenja High Courta (Visoki sud, Irska) u pogledu prava Sjedinjenih Država, radi li se o povredi pravâ pojedinaca iz članka 7. i/ili članka 8. Povelje ako se osobni podaci prenose iz Unije u Sjedinjene Države na temelju Odluke SCC?
5. S obzirom na utvrđenja High Courta (Visoki sud) u pogledu prava Sjedinjenih Država, ako se osobni podaci prenose iz Unije u Sjedinjene Države na temelju Odluke SCC:
(a) Poštuje li razina zaštite koju pružaju Sjedinjene Države bit prava pojedinca na pravni lijek protiv povrede njegovih prava na privatnost zajamčenih člankom 47. Povelje?
Ako je odgovor na (a) potvrdan,
(b) Jesu li ograničenja prava pojedinca na pravni lijek koja pravo Sjedinjenih Država predviđa u kontekstu nacionalne sigurnosti Sjedinjenih Država neproporcionalna u smislu članka 52. Povelje te prekoračuju li ono što je u demokratskom društvu nužno za potrebe nacionalne sigurnosti?
6. (1) Koju razinu zaštite, s obzirom na odredbe Direktive, a osobito s obzirom na njezine članke 25. i 26. tumačene u vezi s Poveljom, treba pružiti osobnim podacima koji se u treću zemlju prenose na temelju standardnih ugovornih klauzula usvojenih u skladu s odlukom Komisije utemeljenom na članku 26. stavku 4.?
(2) Koje čimbenike treba uzeti u obzir u ocjeni ispunjava li razina zaštite podataka koji se prenose u treću zemlju na temelju Odluke SCC zahtjeve iz Direktive i Povelje?
7. Onemogućuje li činjenica da se standardne ugovorne klauzule primjenjuju na odnos izvoznika podataka i uvoznika podataka te da ne obvezuju nacionalna tijela treće zemlje, koja od uvoznika podataka mogu zatražiti da sigurnosnim službama te zemlje stavi na raspolaganje osobne podatke prenesene na temelju klauzula Odluke SCC, da se u tim klauzulama predvide dovoljna jamstva u skladu s člankom 26. stavkom 2. Direktive?
8. Ako uvoznik podataka s poslovnim nastanom u trećoj zemlji podliježe zakonima o nadzoru koje tijelo nadležno za zaštitu podataka smatra suprotnima klauzulama iz Priloga Odluci SCC i člancima 25. i 26. Direktive i/ili Povelji, mora li to tijelo upotrijebiti svoje ovlasti iz članka 28. stavka 3. Direktive kako bi suspendiralo protoke podataka ili je upotreba tih ovlasti ograničena samo na iznimne slučajeve, s obzirom na uvodnu izjavu 11. Direktive, ili to tijelo može diskrecijski odlučiti da neće suspendirati protoke podataka?
9. (1) Za potrebe članka 25. stavka 6. Direktive, čini li Odluka (EU) 2016/12504 (u daljnjem tekstu: Odluka o sustavu zaštite privatnosti) utvrđenje opće primjene koje obvezuje tijela nadležna za zaštitu podataka i sudove država članica da smatraju da Sjedinjene Države u svojim propisima ili na temelju međunarodnih obveza koje su preuzele osiguravaju odgovarajuću razinu zaštite u smislu članka 25. stavka 2. Direktive?
(2) Ako ne čini, koliko je Odluka o sustavu zaštite privatnosti relevantna, ako je uopće relevantna, u ocjeni dostatnosti jamstava predviđenih u pogledu podataka koji se u Sjedinjene Države prenose na temelju Odluke SCC?
10. S obzirom na utvrđenja High Courta (Visoki sud) u pogledu prava Sjedinjenih Država, znači li uspostava mehanizma pravobranitelja za zaštitu podataka na temelju Priloga A Prilogu III. Odluci o sustavu zaštite privatnosti, kada ju se promatra u vezi s postojećim uređenjem u Sjedinjenim Državama, da Sjedinjene Države osobama čiji se podaci prenose u Sjedinjene Države na temelju Odluke SCC osiguravaju pravni lijek koji je u skladu s člankom 47. Povelje?
11. Povrjeđuje li se odlukama SCC članak 7. i/ili članak 8. i/ili članak 47. Povelje?
____________
1 Odluka Komisije od 5. veljače 2010. o standardnim ugovornim klauzulama za prijenos osobnih podataka obrađivačima u trećim zemljama u skladu s Direktivom 95/46/EZ Europskog parlamenta i Vijeća (SL 2010., L 39, str. 5.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 52., str. 250.).
2 Provedbena odluka Komisije (EU) 2016/2297 od 16. prosinca 2016. o izmjeni odluka 2001/497/EZ i 2010/87/EU o standardnim ugovornim klauzulama za prijenos osobnih podataka u treće zemlje i obrađivačima u tim zemljama u skladu s Direktivom 95/46/EZ Europskog parlamenta i Vijeća (SL 2016., L 344, str. 100.).
3 Direktiva Europskog parlamenta i Vijeća 95/46/EZ od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.)
4 Provedbena odluka Komisije (EU) 2016/1250 od 12. srpnja 2016. o primjerenosti zaštite u okviru europsko-američkog sustava zaštite privatnosti u skladu s Direktivom 95/46/EZ Europskog parlamenta i Vijeća (SL 2016., L 207, str. 1.).