ΔΕΕ: Η απόφαση της Επιτροπής κατά την οποία οι Ηνωμένες Πολιτείες εξασφαλίζουν ικανοποιητικό επίπεδο προστασίας των διαβιβαζόμενων δεδομένων προσωπικού χαρακτήρα είναι ανίσχυρη

Απόφαση στην υπόθεση C - 362/14 Maximillian Schrems κατά Data Protection Commissioner

 
Παρότι το Δικαστήριο είναι το μόνο αρμόδιο να κηρύξει το ανίσχυρο πράξεως της Ένωσης, οι εθνικές αρχές ελέγχου όταν επιλαμβάνονται σχετικής αιτήσεως , ακόμη και στην περίπτωση που υφίσταται απόφαση της Επιτροπής κατά την οποία τρίτη χώρα εξασφαλίζει ικανοποιητικό επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα, μπορούν να εξετάσουν αν η διαβίβαση

δεδομένων ενός προσώπου προς τη χώρα αυτή είναι σύμφωνη προς τ ι ς απαιτήσεις της νομοθεσίας της Ένωσης σχετικά με την προστασία των εν λόγω δεδομένων , καθώς και να προσφύγουν , όπως και ο ενδιαφερόμενος, ενώπιον των εθνικών δικαστηρίων, ώστε τα δικαστήρια αυτά να υποβάλουν προδικαστικό ερώτημα προκειμένου να εξετασθεί το κύρος της εν λόγω αποφάσεως Η οδηγία για την επεξεργασία δεδομένων προσωπικού χαρακτήρα

Το High Court of Ireland ( Ανώτατο Δικαστήριο της Ιρλανδίας ), το οποίο επελήφθη της υποθέσεως , ζητεί να μάθει αν η απόφαση αυτή της Επιτροπής εμποδίζει εθνική αρχή ελέγχου να ερευνήσει καταγγελία κατά την οποία τρίτη χώρα δεν εξασφαλίζει ικανοποιητικό επίπεδο προστασίας , και , εφόσον χρειάζεται , να αναστείλει τη διαβίβαση των επίμαχων δεδομένων. Στη σημερινή του απόφαση το Δικαστήριο κρίνει ότι η ύπαρξη αποφάσεως της Επιτροπής με την οποία διαπιστώνεται ότι τρίτη χώρα εξασφαλίζει ικανοποιητικό επίπεδο προστασίας στα διαβιβαζόμενα δεδομένα προσωπικού χαρακτήρα δεν εξαφανίζει ούτε περιορίζει την εξουσία που έχουν οι εθνικέ ς αρχές ελέγχου βάσει του Χάρτη των θεμελιωδών δικαιωμάτων της Ευρωπαϊκής Ένωσης και της οδηγίας. Το Δικαστήριο υπογραμμίζει , συναφώς , το δικαίωμα προστασίας των δεδομένων προσωπικού χαρακτήρα που κατοχυρώνει ο Χάρτης , καθώς και την αποστολή που έχουν οι εθνικές αρχές ελέγχου βάσει του Χάρτη. Το Δικαστήριο κρίνει καταρχάς ότι καμία διάταξη της οδηγίας δεν εμποδίζει τις εθνικές αρχές να ελέγχουν τη διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τις τρίτες χώρες για τις οποίες έχει εκδοθεί απόφαση της Επιτροπή ς. Έτσι, ακόμη και όταν έχει εκδοθεί απόφαση της Επιτροπής , οι εθνικές αρχές ελέγχου στις οποίες έχει υποβληθεί σχετική αίτηση πρέπει να μπορούν να εξετάσουν αμερόληπτα αν η διαβίβαση των δεδομένων κάποιου προσώπου προς τρίτη χώρα πληροί τους όρου ς που θέτει η οδηγία . Το Δικαστήριο υπενθυμίζει, όμως, ότι είναι το μόνο αρμόδιο να διαπιστώσει την ακυρότητα πράξεως της Ένωσης, όπως της αποφάσεως της Επιτροπής. Κατά συνέπεια, όταν εθνική αρχή ή το ίδιο το πρόσωπο που απευθύνεται στην εθνική αρχή θεωρεί ότι η απόφαση της Επιτροπής είναι άκυρη, η εν λόγω αρχή ή το εν λόγω πρόσωπο πρέπει να έχει τη δυνατότητα να προσφύγει ενώπιον των εθνικών δικαστικών αρχών ώστε, σε περίπτωση που και αυτές συμμερίζονται τις αμφιβολίες ως προς το κύρος της αποφάσεως της Επιτροπής, να μπορούν να παραπέμψουν την υπόθεση στο Δικαστήριο. Επομένως, τ ο Δικαστήριο είναι αυτό στο οποίο απόκειται τελικά να κρίνει το κύρος μιας αποφάσεως της Επιτροπής. Το Δικαστήριο εξετάζει, έτσι, το κύρος της από 26 Ιουλίου 2000 αποφάσεως της Επιτροπής. Υπ ενθυμίζει, συναφώς, ότι η Επιτροπή όφειλε να διαπιστώσει αν οι Ηνωμένες Πολιτείες εξασφαλίζουν πράγματι, λόγω της εθνικής τους νομοθεσίας και των διεθνών δεσμεύσεων που έχουν αναλάβει, επίπεδο προστασίας των θεμελιωδών δικαιωμάτων ουσιαστικά ισοδύναμο με αυτό που παρέχεται εντός της Ένωσης βάσει της οδηγίας υπό το πρίσμα του Χάρτη. Το Δικαστήριο επισημαίνει ότι η Επιτροπή δεν προέβη σε μια τέτοια διαπίστωση αλλά αρκέστηκε, απλώς, στην εξέταση του καθεστώτος του ασφαλούς λιμένα . Το Δικαστήριο , χωρίς να χρειάζεται να εξετάσει αν το καθεστώς αυτό εξασφαλίζει επίπεδο προστασίας ουσιαστικά ισοδύναμο με αυτό που παρέχεται εντός της Ένωσης , επισημαίνει ότι το εν λόγω καθεστώς εφαρμόζεται μόνο στις αμερικανικές επιχειρήσεις που προσχωρούν σε αυτό , χωρίς να δεσμεύει τις ίδιες τις δημόσιες αρχές των Ηνωμένων Πολιτειών. Εξάλλου , οι απαιτήσεις που σχετίζονται με την εθνική ασφάλεια , το δημόσιο συμφέρον και την τήρηση των νόμων των Ηνωμένων Πολιτειών υπερέχουν έναντι του καθεστώτος ασφαλούς λιμένα , με αποτέλεσμα οι αμερικανικές επιχειρήσεις να οφείλουν να αποκλίνουν, χωρίς περιορισμό, από τους κανόνες προστασίας που προβλέπει το καθεστώς αυτό , όταν οι εν λόγω αρχές συγκρούονται με τις ανωτέρω απαιτήσεις . Έτσι , το αμερικανικό καθεστώς ασφαλούς λιμένα επιτρέπει επεμβάσεις εκ μέρους των αμερικανικών δημόσιων αρχών στα θεμελιώδη δικαιώματα των προσώπων , δεδομένου ότι η απόφαση της Επιτροπής δεν αναφέρει ούτε την ύπαρξη κανόνων , στις Ηνωμένες Πολιτείες , για τον περιορισμό τυχόν επεμβάσεων ούτε την ύπαρξη αποτελεσματικής δικαστικής προστασίας από τις επεμβάσεις αυτές. Το Δικαστήριο κρίνει ότι η ανωτέρω ανάλυση σε σχέση με το συγκεκριμένο καθεστώς ενισχύεται από δύο ανακοινώσεις της Επιτροπής 4 , από τις οποίες προκύπτει ότι οι αρχές των Ηνωμένων Πολιτειών μπορούν να έχουν πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται από τα κράτη μέλη προς τις Ηνωμένες Πολιτείες και να τα επεξεργάζονται κατά τρόπο ασυμβίβαστο με τον σκοπό για τον οποίο διαβιβάστηκαν, καθ’ υπέρβαση αυτού που κατά την Επιτροπή είναι το όριο του απολύτως αναγκαίου και του αναλογικού για την προστασία της εθνικής ασφάλειας. Ομοίως , η Επιτροπή διαπίστωσε ότι για τους ενδιαφερόμενους δεν υπάρχει η δυνατότητα μέσω της διοικητικής ή της δικαστικής οδού να έχουν πρόσβαση στα δεδομένα που τους αφορούν , να εξασφαλίσουν την τροποποίηση ή τη διαγραφή τους. Όσον αφορά το επίπεδο προστασίας που είναι ουσιαστικά ισοδύναμο με τα θεμελιώδη δικαιώματα και τις ελευθερίες που προστατεύονται εντός της Ένωσης , το Δικαστήριο κρίνει ότι στο δίκαιο της Ένωσης μια ρύθμιση δεν περιορίζεται στο αναγκαίο μέτρο όταν επιτρέπει κατά γενικό τρόπο τη διατήρηση όλων των δεδομένων προσωπικού χαρακτήρα όλων των προσώπων των οποίων τα δικαιώματα διαβιβάζονται από την Ένωση προς τις Ηνωμένες Πολιτείες χωρίς καμία διαφοροποίηση, περιορισμό ή εξαίρεση σε σχέση με τον επιδιωκόμενο σκοπό και χωρίς να προβλέπονται αντικειμενικά κριτήρια για την οριοθέτηση της προσβάσεως των δημόσιων αρχών στα δεδομένα και τη μεταγενέστερη χρήση τους. Το Δικαστήριο προσθέτει ότι ρύθμιση που επιτρέπει στις δημόσιες αρχές την πρόσβαση κατά γενικευμένο τρόπο στο περιεχόμενο των ηλεκτρονικών επικοινωνιών πρέπει να θεωρηθεί ότι προσβάλλει το ουσιαστικό περιεχόμενο του θεμελιώδους δικαιώματος σεβασμού της ιδιωτικής ζωής . . Ομοίως , το Δικαστήριο επισημαίνει ότι ρύθμιση που δεν προβλέπει ένδικα βοηθήματα προκειμένου ο ενδιαφερόμενος να έχει πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που τον αφορούν ή να επιτύχει την τροποποίηση ή την κατάργηση τέτοιων δεδομένων, προσβάλλει το ουσιαστικό περιεχόμενο του θεμελιώδους δικαιώματος αποτελεσματικής δικαστικής προστασίας , καθώς η πρόβλεψη μιας τέτοιας δυνατότητας είναι αναπόσπαστα συνδεδεμένη με την ύπαρξη κράτους δικαίου . Τέλος , το Δικαστήριο κρίνει ότι η από 26 Ιουλίου 2000 απόφαση της Επιτροπής στερεί από τις εθνικές αρχές ελέγχου τις εξουσίες τους , σε περίπτωση που κάποιο πρόσωπο αμφισβητεί τη συμφωνία της αποφάσεως με την προστασία της ιδιωτικής ζωής και των θεμελιωδών δικαιωμάτων και ελευθεριών. Το Δικαστήριο κρίνει ότι η Επιτροπή δεν είχε την αρμοδιότητα να περιορίσει κατ’ αυτόν τον τρόπο τις εξουσίες των εθνικών αρχών ελέγχου . Για όλους αυτούς τους λόγους , το Δικαστήριο κρίνει ότι η από 26 Ιουλίου 2000 απόφαση της Επιτροπής είναι ανίσχυρη . Η σημερινή απόφαση του Δικαστηρίου έχει ως συνέπεια η ιρλανδική αρχή ελέγχου να οφείλει να εξετάσει την καταγγελία του M. Schrems με τη δέουσα επιμέλεια και σε αυτήν να απόκειται , κατά την ολοκλήρωση της έρευνάς της , να κρίνει αν βάσει της οδηγίας πρέπει να αναστείλει τη διαβίβαση δεδομένων των Ευρωπαίων χρηστών του Facebook προς τις Ηνωμένες Πολιτείες, με την αιτιολογία ότι η χώρα αυτή δεν εξασφαλίζει ικανοποιητικό επίπεδο προστασίας των προσωπικών δεδομένων.

1 ορίζει ότι η διαβίβαση των δεδομένων αυτών προς τρίτη χώρα κατ’ αρχήν επιτρέπεται μόνον εφόσον η εν λόγω χώρα εξασφαλίζει ικανοποιητικό επίπεδο προστασίας των δεδομένων. Κατά την ίδια οδηγία η Επιτροπή μπορεί να διαπιστώσει ότι τρίτη χώρα , λόγω της εθνικής της νομοθεσίας ή διεθνών δεσμεύσεων που έχει αναλάβει , εξασφαλίζει ικανοποιητικό επίπεδο προστασίας. Τέλος , η οδηγία προβλέπει ότι κάθε κράτος μέλος ορίζει μία ή περισσότερες δημόσιες αρχές υπεύθυνες για το ν έλεγχο της εφαρμογής , εντός του συγκεκριμένου κράτου ς , των εθνικών διατάξεων που θεσπίζονται βάσει της οδηγίας αυτής ( εθνικές αρχές ελέγχου ) Ο Maximillian Schrems, Αυστριακός υπήκοος , χρησιμοποιεί το Facebook από το 2008. Όπως ισχύει και για τους λοιπούς χρήστες του Facebook που κατοικούν στην Ένωση , τα δεδομένα που παρέχει ο M. Schrems στο Facebook διαβιβάζονται , εν όλω ή εν μέρει , από τη ν ι ρλανδικ ή θυγατρική της Facebook σε διακομιστές που βρίσκονται στις Ηνωμένες Πολιτείες , όπου τα δεδομένα αυτά αποτελούν αντικείμενο επεξεργασίας. Ο M. Schrems υπέβαλε καταγγελία στην ιρλανδική αρχή ελέγχου , θεωρώντας ότι βάσει των αποκαλύψεων στις οποίες πρ οέβη το 2013 ο Edward Snowden σχετικά με τις δραστηριότητες των υπηρεσιών πληροφοριών των Ηνωμένων Πολιτειών ( ιδίως της National Security Agency, NSA ), η νομοθεσία και οι πρακτικές των Ηνωμένων Πολιτειών δεν παρέχουν ικανοποιητική προστασία από την παρακολούθηση , εκ μέρους των δημοσίων αρχών , των δεδομένων που διαβιβάζονται προς τις Ηνωμένες Πολιτείες. Η ιρλανδική αρχή ελέγχου απέρριψε την καταγγελία , με την αιτιολογία ότι η Επιτροπή , στην από 26 Ιουλίου 2000

2 απόφασή της έκρινε ότι , στο πλαίσιο του καθεστώτος « ασφαλούς λιμένα » 3 , οι Ηνωμένες Πολιτείες εξασφαλίζουν ικανοποιητικό επίπεδο προστασίας στα διαβιβαζόμενα δεδομένα προσωπικού χαρακτήρα . 1 Οδηγία 95/46/ ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (ΕΕ L 281, σ. 31) . 2 Απόφαση 2000/520/ ΕΚ της Επιτροπής , της 26 ης Ιουλίου 2000, βάσει της οδηγίας 95/46 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου , σχετικά με την επάρκεια της προστασίας που παρέχεται από τις αρχές ασφαλούς λιμένα για την προστασία της ιδιωτικής ζωής και τις συναφείς συχνές ερωτήσεις που εκδίδονται από το Υπουργείο Εμπορίου των ΗΠΑ (ΕΕ L 215, σ. 7 ).

3 Το καθεστώς ασφαλούς λιμένα περιλαμβάνει αρχές που αφορούν την προστασία των δεδομένων προσωπικού χαρακτήρα , τις οποίες μπορούν να υιοθετήσουν οικειοθελώς οι αμερικανικές επιχειρήσεις.

 4 Ανακοίνωση της Επιτροπής προς το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο , με τίτλο «Αποκατάσταση της εμπιστοσύνης στις ροές δεδομένων μεταξύ της Ευρωπαϊκής Ένωσης και των Ηνωμένων Πολιτειών της Αμερικής [ COM (2013) 846 τελικό, 27 Νοεμβρίου 2013] και ανακοίνωση της Επιτροπής προς το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο όσον αφορά τη λειτουργία του ασφαλούς λιμένα από τη σκοπιά των πολιτών της Ένωσης και των εταιρειών που είναι εγκατεστημένες στην ΕΕ [ COM (2013) 847 τελικό , 27 Νοεμβρίου 2013] . 

http://curia.europa.eu/jcms/upload/docs/application/pdf/2015-10/cp150117el.pdf