Language of document :

Rozsudek Soudního dvora (velkého senátu) ze dne 16. července 2020 (žádost o rozhodnutí o předběžné otázce High Court - Irsko) – Data Protection Commissioner v. Facebook Ireland Limited, Maximillian Schrems

(Věc C-311/18)1

„Řízení o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Listina základních práv Evropské unie – Články 7, 8 a 47 – Nařízení (EU) 2016/679 – Článek 2 odst. 2 – Působnost – Předávání osobních údajů do třetích zemí pro obchodní účely – Článek 45 – Rozhodnutí Komise o odpovídající ochraně – Článek 46 – Předávání založené na vhodných zárukách – Článek 58 – Pravomoci dozorových úřadů – Zpracování předávaných údajů orgány veřejné moci třetí země pro účely národní bezpečnosti – Posouzení odpovídající úrovně ochrany ve třetí zemi – Rozhodnutí 2010/87/EU – Standardní doložky o ochraně pro předávání osobních údajů do třetích zemí – Vhodné záruky poskytnuté správcem – Platnost – Prováděcí rozhodnutí (EU) 2016/1250 – Odpovídající úroveň ochrany poskytovaná štítem Evropská unie-USA na ochranu soukromí – Platnost – Stížnost fyzické osoby, jejíž osobní údaje byly předány z Evropské unie do Spojených států“

Jednací jazyk: angličtina

Předkládající soud

High Court (Irsko)

Účastníci původního řízení

Žalobce: Data Protection Commissioner

Žalovaní: Facebook Ireland Limited, Maximillian Schrems

za účasti: The United States of America, Electronic Privacy Information Centre, BSA Business Software Alliance Inc., Digitaleurope

Výrok

Článek 2 odst. 1 a 2 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) musí být vykládán v tom smyslu, že předávání osobních údajů prováděné pro obchodní účely hospodářským subjektem usazeným v členském státě jinému hospodářskému subjektu usazenému ve třetí zemi spadá do působnosti tohoto nařízení i tehdy, když tyto údaje mohou být při tomto předávání nebo po něm zpracovány orgány dotyčné třetí země pro účely veřejné bezpečnosti, obrany a bezpečnosti státu.

Článek 46 odst. 1 a čl. 46 odst. 2 písm. c) nařízení 2016/679 musí být vykládány v tom smyslu, že vhodné záruky, vymahatelná práva a účinná právní ochrana vyžadované uvedenými ustanoveními musí zajistit, aby se na práva osob, jejichž osobní údaje jsou předávány do třetí země na základě standardních doložek o ochraně osobních údajů, vztahovala úroveň ochrany, která je v zásadě rovnocenná úrovni ochrany zaručené v Evropské unii tímto nařízením ve spojení s Listinou základních práv Evropské unie. Pro tyto účely je při posuzování úrovně ochrany zajištěné v kontextu takového předávání zejména třeba vzít v úvahu jednak smluvní ujednání mezi správcem nebo zpracovatelem usazenými v Evropské unii a příjemcem předávaných údajů usazeným v dotyčné třetí zemi, a jednak – v souvislosti s případným přístupem orgánů veřejné moci této třetí země k takto předávaným osobním údajům – relevantní prvky právního řádu této země, zejména prvky uvedené v čl. 45 odst. 2 uvedeného nařízení.

Článek 58 odst. 2 písm. f) a j) nařízení 2016/679 musí být vykládán v tom smyslu, že neexistuje-li rozhodnutí o odpovídající ochraně platně přijaté Evropskou komisí, je příslušný dozorový úřad povinen dočasně nebo trvale zakázat předávání osobních údajů do třetí země na základě standardních doložek o ochraně osobních údajů přijatých Komisí, když tento dozorový úřad dospěje na základě všech okolností daného předávání k názoru, že tyto doložky nejsou nebo nemohou být v této třetí zemi dodrženy a že ochrana předaných údajů vyžadovaná unijním právem, zejména články 45 a 46 uvedeného nařízení a Listinou, nemůže být v případě, že předávání nepozastavil nebo neukončil sám správce nebo zpracovatel usazení v Unii, zajištěna jinými prostředky.

Přezkum rozhodnutí Komise 2010/87/EU ze dne 5. února 2010 o standardních smluvních doložkách pro předávání osobních údajů zpracovatelům usazeným ve třetích zemích podle směrnice Evropského parlamentu a Rady 95/46/ES, ve znění prováděcího rozhodnutí Komise (EU) 2016/2297 ze dne 16. prosince 2016, vzhledem k článkům 7, 8 a 47 Listiny základních práv Evropské unie neodhalil žádnou skutečnost, která by mohla mít dopad na platnost tohoto rozhodnutí.

Prováděcí rozhodnutí Komise (EU) 2016/1250 ze dne 12. července 2016 podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající úrovni ochrany poskytované štítem EU-USA na ochranu soukromí je neplatné.

____________

1 Úř. věst. C 249, 16.7.2018.