Tiesas (virspalāta) 2020. gada 16. jūlija spriedums (High Court (Īrija) lūgums sniegt prejudiciālu nolēmumu) – Data Protection Commissioner/Facebook Ireland Limited, Maximillian Schrems
(Lieta C-311/18) 1
(Lūgums sniegt prejudiciālu nolēmumu – Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Eiropas Savienības Pamattiesību harta – 7., 8. un 47. pants – Regula (ES) 2016/679 – 2. panta 2. punkts – Piemērojamība – Personas datu pārsūtīšana trešajām valstīm komerciāliem mērķiem – 45. pants – Komisijas lēmums par aizsardzības līmeņa pietiekamību – 46. pants – Pārsūtīšana, kurai piemērojamas atbilstošas garantijas – 58. pants – Uzraudzības iestāžu pilnvaras – Datu, kurus trešās valsts publiskās iestādes pārsūta valsts drošības nolūkos, apstrāde – Trešajā valstī nodrošinātā aizsardzības līmeņa pietiekamības vērtējums – Lēmums 2010/87/ES – Standartklauzulas attiecībā uz personas datu pārsūtīšanu uz trešajām valstīm – Pārziņa sniegtās atbilstošās garantijas – Spēkā esamība – Īstenošanas lēmums (ES) 2016/1250 – Eiropas Savienības un Amerikas Savienoto Valstu privātuma vairoga nodrošinātās aizsardzības pietiekamība – Spēkā esamība – Fiziskas personas sūdzība, kuras dati ir tikuši pārsūtīti no Eiropas Savienības uz ASV)
Tiesvedības valoda – angļu
Iesniedzējtiesa
High Court (Īrija)
Pamatlietas puses
Prasītājs: Data Protection Commissioner
Atbildētāji: Facebook Ireland Limited, Maximillian Schrems
Piedaloties: The United States of America, Electronic Privacy Information Centre, BSA Business Software Alliance Inc., Digitaleurope
Rezolutīvā daļa
Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula), 2. panta 1. un 2. punkts ir jāinterpretē tādējādi, ka šīs regulas piemērošanas jomā ietilpst personas datu pārsūtīšana, ko kādā dalībvalstī reģistrēts tirgus dalībnieks komerciālā nolūkā veic citam tirgus dalībniekam, kurš ir reģistrēts trešajā valstī, neraugoties uz iespēju, ka šīs nosūtīšanas laikā vai pēc tam šos datus attiecīgās trešās valsts iestādes var apstrādāt sabiedriskās drošības, aizsardzības un valsts drošības nolūkā.
Regulas 2016/679 46. panta 1. punkts un 46. panta 2. punkta c) apakšpunkts ir jāinterpretē tādējādi, ka šajās tiesību normās paredzētajām atbilstošām garantijām, īstenojamām tiesībām un efektīvajiem tiesību aizsardzības līdzekļiem ir jānodrošina, lai to personu tiesībām, kuru personas dati tiek pārsūtīti uz trešo valsti, pamatojoties uz datu aizsardzības standartklauzulām, tiktu piemērots būtībā līdzvērtīgs aizsardzības līmenis, kāds ir garantēts Eiropas Savienībā ar šo regulu, lasot to kopā ar Eiropas Savienības Pamattiesību hartu. Tālab, novērtējot aizsardzības līmeni, kāds tiek nodrošināts šādas pārsūtīšanas kontekstā, it īpaši ir jāņem vērā gan līguma noteikumi, par kuriem ir panākta vienošanās starp personas datu pārzini vai apstrādātāju, kas reģistrēts Savienībā, un attiecīgajā trešajā valstī reģistrēto saņēmēju, gan – attiecībā uz iespējamu šīs trešās valsts publisko iestāžu piekļuvi šādi pārsūtītajiem personas datiem – šīs trešās tiesību sistēmas būtiskie elementi, it īpaši minētās regulas 45. panta 2. punktā nosauktie.
Regulas 2016/679 58. panta 2. punkta f) un j) apakšpunkts ir jāinterpretē tādējādi, ka, ja vien pastāv likumīgi pieņemts Eiropas Komisijas lēmums par aizsardzības līmeņa pietiekamību, kompetentajai uzraudzības iestādei ir jāaptur vai jāaizliedz tāda personas datu pārsūtīšana uz trešo valsti, kuru pamatā ir Komisijas pieņemtās datu aizsardzības standartklauzulas, ja šī uzraudzības iestāde, ievērojot visus šīs pārsūtīšanas īpašos apstākļus, uzskata, ka šīs klauzulas šajā trešajā valstī netiek vai nevar tikt ievērotas un ka pārsūtīto datu aizsardzība, kāda tā ir prasīta Savienības tiesībās, konkrēti, šīs regulas 45. un 46. pantā un Pamattiesību hartā, nevar tikt nodrošināta ar citiem līdzekļiem, ja Savienībā reģistrētais datu pārzinis vai apstrādātājs nav pats apturējis vai izbeidzis šo pārsūtīšanu.
Komisijas Lēmuma 2010/87/ES (2010. gada 5. februāris) par līguma standartklauzulām attiecībā uz personas datu pārsūtīšanu trešās valstīs reģistrētiem apstrādātājiem saskaņā ar Eiropas Parlamenta un Padomes Direktīvu 95/46/EK, kurā grozījumi izdarīti ar Komisijas Īstenošanas lēmumu (ES) 2016/2297 (2016. gada 16. decembris), pārbaude Pamattiesību hartas 7., 8. un 47. panta kontekstā nav atklājusi nevienu elementu, kas varētu ietekmēt šī lēmuma spēkā esamību.
Komisijas Īstenošanas lēmums (ES) 2016/1250 (2016. gada 12. jūlijs) saskaņā ar Eiropas Parlamenta un Padomes Direktīvu 95/46/EK par pienācīgu aizsardzību, ko nodrošina ES un ASV privātuma vairogs, nav spēkā.
____________
1 OV C 249, 16.7.2018.