Presuda Suda (veliko vijeće) od 16. srpnja 2020. (zahtjev za prethodnu odluku koji je uputio High Court (Irska) – Data Protection Commissioner protiv Facebook Ireland Limited, Maximilliana Schremsa

(predmet C-311/18)¹

(Zahtjev za prethodnu odluku – Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Povelja Europske unije o temeljnim pravima – Članci 7., 8. i 47. – Uredba (EU) 2016/679 – Članak 2. stavak 2. – Područje primjene – Prijenosi osobnih podataka trećim zemljama u komercijalne svrhe – Članak 45. – Komisijina odluka o primjerenosti – Članak 46. – Prijenosi uz odgovarajuće zaštitne mjere – Članak 58. – Ovlasti nadzornih tijela – Obrada prenesenih podataka koju za potrebe nacionalne sigurnosti izvršavaju javna tijela treće zemlje – Ocjena primjerenosti razine zaštite koju osigurava treća zemlja – Odluka 2010/87/EU – Standardne klauzule o zaštiti za prijenos osobnih podataka trećoj zemlji – Odgovarajuće mjere zaštite koje nudi voditelj obrade – Valjanost – Provedbena odluka (EU) 2016/1250 – Primjerenost zaštite koju osigurava europsko-američki sustav zaštite privatnosti – Valjanost – Pritužba fizičke osobe čiji su podaci preneseni iz Europske unije u Sjedinjene Američke Države)

Jezik postupka: engleski

Sud koji je uputio zahtjev

High Court (Irska)

Stranke glavnog postupka

Tužitelj: Data Protection Commissioner

Tuženici: Facebook Ireland Limited, Maximillian Schrems

uz sudjelovanje: The United States of America, Electronic Privacy Information Centre, BSA Business Software Alliance Inc., Digitaleurope

Izreka

Članak 2. stavke 1. i 2. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) treba tumačiti na način da je područjem primjene te uredbe obuhvaćen prijenos osobnih podataka izvršen u komercijalne svrhe s gospodarskog subjekta s poslovnim nastanom u državi članici drugom gospodarskom subjektu s poslovnim nastanom u trećoj zemlji, bez obzira na to što tijekom ili nakon tog prijenosa te podatke mogu obrađivati tijela predmetne treće zemlje u svrhu javne sigurnosti, obrane ili nacionalne sigurnosti.

Članak 46. stavak 1. i članak 46. stavak 2. točku (c) Uredbe 2016/679 valja tumačiti tako da odgovarajuće zaštitne mjere, provediva prava i djelotvorni pravni lijekovi koji se zahtijevaju tim odredbama moraju osigurati da prava osoba čiji se osobni podaci prenose trećoj zemlji na temelju standardnih klauzula o zaštiti podataka uživaju razinu zaštite koja je bitno ekvivalentna onoj zajamčenoj u okviru Europske unije tom uredbom, tumačenom u vezi s Poveljom Europske unije o temeljnim pravima. U tom smislu ocjena razine zaštite koja se osigurava u kontekstu takvog prijenosa mora osobito uzeti u obzir kako ugovorne odredbe koje su ugovorili voditelj obrade ili izvršitelj obrade s poslovnim nastanom u Europskoj uniji i primatelj podataka s poslovnim nastanom u predmetnoj trećoj zemlji tako i, kad je riječ o eventualnom pristupu javnih tijela te treće zemlje tako prenesenim osobnim podacima, relevantne elemente njezina pravnog sustava, osobito one navedene u članku 45. stavku 2. navedene uredbe.

Članak 58. stavak 2. točke (f) i (j) Uredbe 2016/679 treba tumačiti na način da je nadležno nadzorno tijelo, osim ako postoji odluka o primjerenosti koju je Europska komisija valjano donijela, dužno obustaviti ili zabraniti prijenos podataka trećoj zemlji na temelju standardnih klauzula o zaštiti podataka koje je donijela Komisija kada to nadzorno tijelo smatra, u vezi sa svim okolnostima tog prijenosa, da te klauzule nisu ili ne mogu biti poštovane u toj trećoj zemlji i da zaštita prenesenih podataka koja se zahtijeva pravom Unije, osobito člancima 45. i 46. te uredbe i Poveljom o temeljnim pravima, ne može biti osigurana drugim sredstvima, ako voditelj obrade ili izvršitelj obrade s poslovnim nastanom u Uniji sam nije obustavio prijenos ili ga okončao.

Analizom Odluke Komisije 2010/87/EU od 5. veljače 2010. o standardnim ugovornim klauzulama za prijenos osobnih podataka obrađivačima u trećim zemljama u skladu s Direktivom 95/46/EZ Europskog parlamenta i Vijeća, kako je izmijenjena Provedbenom odlukom Komisije (EU) 2016/2297 od 16. prosinca 2016., s obzirom na članke 7., 8. i 47. Povelje o temeljnim pravima, nije utvrđen nijedan element koji bi mogao utjecati na valjanost te odluke.

Provedbena odluka Komisije (EU) 2016/1250 od 12. srpnja 2016. o primjerenosti zaštite u okviru europsko-američkog sustava zaštite privatnosti u skladu s Direktivom 95/46/EZ Europskog parlamenta i Vijeća nevaljana je.

____________

¹ SL C 249, 16. 7. 2018.