Sentencia del Tribunal de Justicia (Gran Sala) de 16 de julio de 2020 [petición de decisión prejudicial planteada por la High Court (Irlanda) — Irlanda] — Data Protection Commissioner / Facebook Ireland Limited, Maximillian Schrems
(Asunto C-311/18) 1
[Procedimiento prejudicial — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Carta de los Derechos Fundamentales de la Unión Europea — Artículos 7, 8 y 47 — Reglamento (UE) 2016/679 — Artículo 2, apartado 2 — Ámbito de aplicación — Transferencias de datos personales a terceros países con fines comerciales — Artículo 45 — Decisión de adecuación de la Comisión — Artículo 46 — Transferencias mediante garantías adecuadas — Artículo 58 — Facultades de las autoridades de control — Tratamiento de los datos transferidos por parte de las autoridades públicas de un tercer país con fines de seguridad nacional — Apreciación de la adecuación del nivel de protección garantizado en el país tercero — Decisión 2010/87/UE — Cláusulas tipo de protección para la transferencia de datos personales a terceros países — Garantías adecuadas ofrecidas por el responsable del tratamiento — Validez — Decisión de Ejecución (UE) 2016/1250 — Adecuación de la protección garantizada por el Escudo de la Privacidad Unión Europea-Estados Unidos — Validez — Reclamación de una persona física cuyos datos fueron transferidos de la Unión Europea a Estados Unidos]
Lengua de procedimiento: inglés
Órgano jurisdiccional remitente
High Court (Irlanda)
Partes en el procedimiento principal
Demandante: Data Protection Commissioner
Demandadas: Facebook Ireland Limited, Maximillian Schrems
con intervención de: The United States of America, Electronic Privacy Information Centre, BSA Business Software Alliance Inc., Digitaleurope
Fallo
El artículo 2, apartados 1 y 2, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), debe interpretarse en el sentido de que está comprendida dentro del ámbito de aplicación de ese Reglamento una transferencia de datos personales realizada con fines comerciales por un operador económico establecido en un Estado miembro a otro operador económico establecido en un país tercero, a pesar de que, en el transcurso de esa transferencia o tras ella, esos datos puedan ser tratados por las autoridades del país tercero en cuestión con fines de seguridad nacional, defensa y seguridad del Estado.
El artículo 46, apartados 1 y apartado 2, letra c), del Reglamento 2016/679 debe interpretarse en el sentido de que las garantías adecuadas, los derechos exigibles y las acciones legales efectivas requeridas por dichas disposiciones deben garantizar que los derechos de las personas cuyos datos personales se transfieren a un país tercero sobre la base de cláusulas tipo de protección de datos gozan de un nivel de protección sustancialmente equivalente al garantizado dentro de la Unión Europea por el referido Reglamento, interpretado a la luz de la Carta de los Derechos Fundamentales de la Unión Europea. A tal efecto, la evaluación del nivel de protección garantizado en el contexto de una transferencia de esas características debe, en particular, tomar en consideración tanto las estipulaciones contractuales acordadas entre el responsable o el encargado del tratamiento establecidos en la Unión Europea y el destinatario de la transferencia establecido en el país tercero de que se trate como, por lo que atañe a un eventual acceso de las autoridades públicas de ese país tercero a los datos personales de ese modo transferidos, los elementos pertinentes del sistema jurídico de dicho país y, en particular, los mencionados en el artículo 45, apartado 2, del referido Reglamento.
El artículo 58, apartado 2, letras f) y j), del Reglamento 2016/679 debe interpretarse en el sentido de que, a no ser que exista una decisión de adecuación válidamente adoptada por la Comisión Europea, la autoridad de control competente está obligada a suspender o prohibir una transferencia de datos a un país tercero basada en cláusulas tipo de protección de datos adoptadas por la Comisión, cuando esa autoridad de control considera, a la luz de todas las circunstancias específicas de la referida transferencia, que dichas cláusulas no se respetan o no pueden respetarse en ese país tercero y que la protección de los datos transferidos exigida por el Derecho de la Unión, en particular, por los artículos 45 y 46 del mencionado Reglamento y por la Carta de los Derechos Fundamentales, no puede garantizarse mediante otros medios, si el responsable o el encargado del tratamiento establecidos en la Unión no han suspendido la transferencia o puesto fin a esta por sí mismos.
El examen de la Decisión 2010/87/UE de la Comisión, de 5 de febrero de 2010, relativa a las cláusulas contractuales tipo para la transferencia de datos personales a los encargados del tratamiento establecidos en terceros países, de conformidad con la Directiva 95/46/CE del Parlamento Europeo y del Consejo, en su versión modificada por la Decisión de Ejecución (UE) 2016/2297 de la Comisión, de 16 de diciembre de 2016, a la luz de los artículos 7, 8 y 47 de la Carta de los Derechos Fundamentales no ha puesto de manifiesto la existencia de ningún elemento que pueda afectar a la validez de dicha Decisión.
La Decisión de Ejecución (UE) 2016/1250 de la Comisión, de 12 de julio de 2016, con arreglo a la Directiva 95/46/CE del Parlamento Europeo y del Consejo, sobre la adecuación de la protección conferida por el Escudo de la Privacidad UE-EE. UU., es inválida.
____________
1 DO C 249 de 16.7.2018.