Žádost o rozhodnutí o předběžné otázce podaná High Court (Irsko) dne 9. května 2018 – Data Protection Commissioner v. Facebook Ireland Limited a Maximillian Schrems

(Věc C-311/18)

Jednací jazyk: angličtina

Předkládající soud

High Court (Irsko)

Účastníci původního řízení

Žalobce: Data Protection Commissioner

Žalovaní: Facebook Ireland Limited a Maximillian Schrems

Předběžné otázky

1.    Za okolností, kdy jsou osobní údaje předávány soukromou společností z členského státu Evropské unie (dále jen „EU“) soukromé společnosti ve třetí zemi k obchodním účelům podle rozhodnutí 2010/87/EU1 ve znění rozhodnutí Komise 2016/22972 (dále jen „rozhodnutí o SSD“) a mohou být dále zpracovávány ve třetí zemi orgány této země pro účely národní bezpečnosti, ale také za účelem vymáhání práva a provádění zahraniční politiky třetí země, uplatní se unijní právo [včetně Listiny základních práv Evropské unie (dále jen „Listina“)] na předávání těchto údajů bez ohledu na ustanovení čl. 4 odst. 2 SEU ohledně národní bezpečnosti a ustanovení čl. 3 odst. 2 první odrážky směrnice 95/46/ES3 (dále jen „směrnice“) ohledně veřejné bezpečnosti, obrany a bezpečnosti státu?

2.    1) Je při určování, zda předáním údajů podle rozhodnutí o SSD z EU do třetí země, kde mohou být dále zpracovány pro účely národní bezpečnosti, došlo k porušení práv jednotlivce, relevantním srovnávacím kritériem pro účely směrnice:

a)    Listina, SEU, SFEU, směrnice, EÚLP (nebo jiné ustanovení unijního práva), nebo

b)    vnitrostátní právní předpisy jednoho nebo více členských států?

2) Je-li relevantním srovnávacím kritériem písmeno b), mají být do něj zahrnuty i postupy v rámci národní bezpečnosti v jednom nebo více členských státech?

3.    Měla by být při posuzování, zda třetí země zajišťuje osobním údajům předaným do uvedené země úroveň ochrany vyžadovanou unijním právem pro účely článku 26 směrnice, úroveň ochrany ve třetí zemi posuzována s odvoláním na:

a)    použitelné předpisy ve třetí zemi vyplývající z jejího vnitrostátního práva nebo mezinárodních závazků a postupy, které mají zajišťovat dodržování uvedených předpisů, včetně profesních pravidel a bezpečnostních opatření dodržovaných ve třetí zemi,

nebo

b)    právní předpisy uvedené v písmenu a) spolu s těmi správními a regulatorními postupy a postupy v oblasti dodržování právních předpisů a ochrannými opatřeními, postupy, protokoly, mechanismy dohledu a mimosoudními prostředky nápravy, které existují ve třetí zemi?

4.    Vzhledem ke skutkovým zjištěním, která učinil High Court (vrchní soud) ve vztahu k právním předpisům USA [body 152 až 263 rozsudku High Court (vrchní soud) ze dne 3. října 2017; http://www.courts.ie/Judgments.nsf/768d83be24938e1180256ef30048ca51/8131a5dde8baf9ff802581b70035c4ff?OpenDocument], je porušením práv jednotlivců podle článků 7 nebo 8 Listiny, jsou-li osobní údaje předány z EU do USA podle rozhodnutí o SSD?

5.    Vzhledem ke skutkovým zjištěním, která učinil High Court (vrchní soud) ve vztahu k právním předpisům USA, jsou-li osobní údaje předány z EU do USA podle rozhodnutí o SSD:

a)    zachovává úroveň ochrany poskytovaná USA podstatu práva jednotlivce na prostředky nápravy před soudem za porušení jeho práv na ochranu osobních údajů, zaručeného článkem 47 Listiny?

Je-li odpověď na písmeno a) kladná,

b)    jsou omezení práva jednotlivce na prostředky nápravy před soudem obsažená v právních předpisech USA v souvislosti s národní bezpečností USA přiměřená ve smyslu článku 52 Listiny a nepřekračují rámec toho, co je nezbytné v demokratické společnosti pro účely národní bezpečnosti? 

6.    1) Jaká úroveň ochrany musí být poskytnuta osobním údajům předávaným do třetí země na základě standardních smluvních doložek přijatých v souladu s rozhodnutím Komise podle čl. 26 odst. 4 s přihlédnutím k ustanovením směrnice a zejména článků 25 a 26 vykládaných ve světle Listiny?

    2) Jaké skutečnosti musí být vzaty v úvahu při posuzování, zda úroveň ochrany poskytovaná údajům předávaným do třetí země podle rozhodnutí o SSD splňuje požadavky směrnice a Listiny?

7.    Vylučuje skutečnost, že standardní smluvní doložky platí mezi vývozcem údajů a dovozcem údajů a nejsou závazné pro vnitrostátní orgány třetí země, které mohou po dovozci údajů požadovat, aby jejich zpravodajským službám zpřístupnil k dalšímu zpracování osobní údaje předané podle ustanovení obsažených v rozhodnutí to SSD, závěr, že doložky poskytují dostatečná ochranná opatření, jak předpokládá čl. 26 odst. 2 směrnice?

8.    Pokud dovozce údajů z třetí země podléhá právním předpisům o sledování, které jsou podle názoru orgánu pro ochranu osobních údajů v rozporu s ustanoveními přílohy k rozhodnutí o SSD, s články 25 a 26 směrnice nebo s Listinou, je orgán pro ochranu osobních údajů povinen použít své donucovací pravomoci podle čl. 28 odst. 3 směrnice a pozastavit toky údajů, nebo je výkon těchto pravomocí s ohledem na bod 11 odůvodnění směrnice omezen pouze na výjimečné případy, nebo může orgán pro ochranu osobních údajů využít své diskreční pravomoci a toky údajů nepozastavit? 

9.    1) Je pro účely čl. 25 odst. 6 směrnice rozhodnutí (EU) 2016/12504 (dále jen „rozhodnutí o štítu na ochranu soukromí“) obecně závazné pro orgány pro ochranu osobních údajů a soudy členských států v tom smyslu, že USA zajišťují odpovídající úroveň ochrany ve smyslu čl. 25 odst. 2 směrnice z důvodu svého vnitrostátního práva nebo mezinárodních závazků?

    2) Pokud tomu tak není, jaký význam, pokud vůbec nějaký, má rozhodnutí o štítu na ochranu soukromí při posuzování odpovídající úrovně ochranných opatření poskytovaných v souvislosti s údaji předávanými do USA podle rozhodnutí o SSD?

10.    Vzhledem ke zjištěním, která učinil High Court (vrchní soud) ve vztahu k právním předpisům USA, zajišťuje úřad ombudsmana ve věcech štítu na ochranu soukromí podle přílohy A k příloze III rozhodnutí o štítu na ochranu soukromí ve spojení se stávajícím režimem v USA, že USA poskytují prostředky nápravy subjektům údajů, jejichž osobní údaje jsou předávány do USA podle rozhodnutí o SSD, které je slučitelné s článkem 47 Listiny?

11.    Porušuje rozhodnutí o SSD články 7, 8 nebo 47 Listiny?

____________

1     Rozhodnutí Komise ze dne 5. února 2010 o standardních smluvních doložkách pro předávání osobních údajů zpracovatelům usazeným ve třetích zemích podle směrnice Evropského parlamentu a Rady 95/46/ES (Úř. věst. 2010 L 39, s. 5).

2     Prováděcí rozhodnutí Komise (EU) 2016/2297 ze dne 16. prosince 2016, kterým se mění rozhodnutí 2001/497/ES a 2010/87/EU o standardních smluvních doložkách pro předávání osobních údajů do třetích zemí a zpracovatelům usazeným v těchto zemích podle směrnice Evropského parlamentu a Rady 95/46/ES (Úř. věst. 2016, L 344, s. 100).    

3     Směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31).

4 Prováděcí rozhodnutí Komise (EU) 2016/1250 ze dne 12. července 2016 podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající úrovni ochrany poskytované štítem EU–USA na ochranu soukromí (Úř. věst. 2016, L 207, s. 1).